Şirketimiz tarafından işlenen tüm kişisel veriler, KVKK ve ilgili mevzuat uyarınca işlenmektedir. KVKK 4. maddesi uyarınca kişisel verilerinizi işlerken dikkat ettiğimiz temel ilke ve prensipler aşağıda açıklanmıştır:

• Hukuka ve Dürüstlük Kuralına Uygun İşleme: Şirketimiz; kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda Şirketimiz, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacın gerektirdiği dışında kullanmamaktadır.
• Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama: Şirketimiz; kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır.
• Belirli, Açık ve Meşru Amaçlarla İşleme: Şirketimiz, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Şirketimiz, kişisel verileri sunmakta olduğu ürün ve hizmetler ile bağlantılı ve bunlar için gerekli olan kadar işlemektedir.
• İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Şirketimiz, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır.
• İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme: Şirketimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Şirketimiz tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Şirketimiz tarafından kişisel verileri işlenen çalışanlar dışındaki veri sahiplerinin kategorileri aşağıdaki tabloda yer almaktadır. Çalışanlarımızın kişisel verilerinin işlenmesine ilişkin ayrı bir politika oluşturulmuş ve şirket içinde uygulamaya alınmıştır. Aşağıdaki kategorilerin dışında yer alan kişiler de KVKK kapsamında Şirketimize taleplerini yöneltebilecek olup; bu kişilerin talepleri de değerlendirmeye alınacaktır.

Kişisel verilerinizi temel olarak aşağıdaki durumlarda toplarız:

• Ürünlerimizi ve hizmetlerimizi satın aldığınızda veya kullandığınızda,
• Bize mal sattığınızda ya da hizmet sunduğunuzda,
• Haber bültenlerimize abone olduğunuzda, pazarlama iletilerimizi almayı tercih ettiğinizde,
• Bizimle e-posta ya da telefon gibi araçlar vasıtasıyla şikâyet ya da geri bildirim iletmek için iletişime geçtiğinizde,
• Şirketimiz’e iş başvurusu yaptığınızda,
• Şirket etkinlik, seminer, konferans ve organizasyonlarımıza katıldığınızda,
• Potansiyel müşteri/tedarikçi/iş ortağı/alt işveren olarak herhangi bir amaçla bizimle iletişime geçtiğinizde.

Yukarıdaki durumlarda edindiğimiz kişisel verileri, sadece bu Politikaya uygun bir şekilde işleyeceğiz.

Sizinle ilgili işlediğimiz kişisel veriler, aramızdaki iş ilişkisinin türüne (Örn. müşteri, tedarikçi, iş ortağı vb.) ve bizimle iletişime geçme yönteminize (Örn. telefon, e-posta, basılı evrak vb.) göre değişmektedir.

Temel olarak kişisel veri işleme yöntemlerimiz, telefon veya e-posta aracılığıyla, iş etkinliklerimize, anketlerimize katılmanız veya bizimle başka herhangi bir şekilde etkileşimde bulunduğunuz durumlardır. Bu kapsamda, size ait işlediğimiz kişisel veriler aşağıdaki kategoriler altında açıklanabilir:

Veri kategorileri	Örnekler
Kimlik bilgileri	Ad, soyad, unvan, doğum tarihi gibi kimlik belgelerinde yer alan bilgiler
İrtibat bilgileri	E-posta, telefon numarası, adres
Kimliğinizi belirleyebilecek resimler ve/veya videolar	Şirketimizi ziyaret ettiğinizde güvenlik sebebiyle ya da Şirketimizin organize ettiği etkinliklere katıldığınızda işlenen fotoğraf ve video görüntüleri ve işitsel veriler
Finansal veriler	Banka hesabı verileri, fatura bilgileri
Arfesan ile kendi isteğinizle paylaşmaya karar verdiğiniz herhangi bir diğer bilgi	Kendi inisiyatifiniz ile paylaştığınız kişisel veriler, bize ilettiğiniz geri bildirim, görüşler, talep ve şikâyetler, değerlendirmeler, yorumlar ve bunlara ilişkin değerlendirmelerimiz, yüklenmiş dosyalar, ilgi alanları, sizinle iş ilişkisi kurmadan önce ayrıntılı inceleme sürecimiz için verilen bilgiler
Otomatik olarak toplanan elektronik veriler	Web sitemizi ya da uygulamalarımızı ziyaret ettiğinizde ya da kullandığınızda, haber bültenlerimize abone olduğunuzda, diğer elektronik kanallardan bizimle etkileşimde bulunduğunuzda, bize doğrudan ilettiğiniz bilgilere ek olarak bilgisayarınız, cep telefonunuz veya diğer erişim cihazınız tarafından bize gönderilen elektronik verileri de toplayabiliriz (Örn. cihaz donanım modeli, IP adresi, işletim sistemi sürümü ve ayarları, dijital kanalımızı veya ürünümüzü kullanma saat ve süreniz, konuma dayalı ürünleri veya özellikleri etkinleştirdiğiniz zaman toplanabilecek olan gerçek konumunuz, tıkladığınız linkler, hareket sensörlü verileri vb.)
Hukuki işlem ve uyum bilgisi	Hukuki alacak ve haklarımızın tespiti, takibi ve borçlarımızın ifası ile kanuni yükümlülüklerimiz ve Şirketimizin politikalarına uyum kapsamında işlenen kişisel verileriniz, denetim ve teftiş verileri
Kurumsal müşteri/Tedarikçi verileri	Hizmetlerimiz çerçevesinde iş birimlerimizin yürüttüğü operasyonlar neticesinde veri sahibi müşteri/tedarikçi ya da müşteri/tedarikçi bünyesinde yer alan çalışan, imza yetkilisi gibi veri sahipleri hakkında elde edilen bilgiler
Olay yönetim ve güvenlik bilgisi	Şirketimizin, çalışanlarını, yöneticilerini veya hissedarlarını etkileme potansiyeli olan olaylarla ilgili toplanan bilgiler ve değerlendirmeler, araç plaka ve araç bilgisi, ulaşım ve seyahat bilgileri
Diğer kaynaklardan toplanan kişisel veriler	Geçerli kanun ve düzenlemelerin izin verdiği ölçüde kamuya açık veri tabanları, birlikte çalıştığımız iş ortaklarımızın bizim adımıza kişisel veri topladığı yöntem ve platformlar üzerinden de kişisel verilerinizi toplayabiliriz. Örneğin sizinle iş ilişkisi kurulmadan önce kamuya açık kaynaklardan ticari faaliyetlerimizin ve işlemlerimizin teknik, idari ve hukuki güvenliğini sağlamak için sizinle ilgili araştırma yapabiliriz. Bunun yanında sizin tarafınızdan üçüncü kişilere ait birtakım kişisel verilerin bize iletilmesi de söz konusu olabilir (Örn. kefil, refakatçi, aile üyelerinin kişisel verileri vb.). Teknik ve idari risklerimizi yönetebilmemiz için bu alanlarda genel kabul görmüş hukuki, ticari teamül ve dürüstlük kuralına uygun olarak kullanılan yöntemler vasıtasıyla kişisel verilerinizi işleyebiliriz.

Çalışan Adaylarının, yukarıda yer alan kişisel veri kategorilerinin yanı sıra adayın tecrübesi ve niteliklerini anlamamız ve açık pozisyon için uygunluğunu değerlendirmemiz, gerekmesi halinde iletilen bilgilerin doğruluğunun kontrolünü yapmak ve adayın iletişim bilgilerini verdiği üçüncü kişiler ile iletişime geçerek aday hakkında araştırma yapmak, iş başvuru süreci ile ilgili adayla iletişime geçmek, açık pozisyona uygun işe alım yapılması, yasal mevzuata uyumu sağlamak ve Şirketimizin işe alım kuralları ve insan kaynakları politikalarını uygulamak amacıyla mezun olduğu okul, önceki iş tecrübeleri, engellilik durumu vb. kişisel verilerini toplamaktayız.

Çalışan adaylarının kişisel verileri, yazılı ve elektronik ortamlarda bulunan iş başvuru formu, Şirketimizin elektronik iş başvuru platformu, Şirketimize fiziki ya da e-posta olarak iletilen başvurular, istihdam ve danışmanlık şirketleri, yüz yüze ya da elektronik ortamda yürütülen mülakatlar, Şirketimiz tarafından çalışan adayı hakkında yapılan kontroller, insan kaynakları uzmanları tarafından işe alım sürecinde adayın uygunluğunu değerlendirmek için yapılan işe alım testleri vasıtaları ile işlenmektedir.

Çalışan adayları, iş başvurusu yaparken kişisel verilerini iletmeden önce ayrı bir belge ile KVKK’ya uygun bir şekilde detaylı olarak aydınlatılmakta ve gerekli kişisel veri işleme faaliyetleri için açık rızaları alınmaktadır.

Şirketimiz, binasına gelen ziyaretçilerin giriş çıkış işlemleri esnasında Şirketimizin, çalışanlarımızın ve ziyaretçilerimizin fiziki güvenliğinin sağlanması, işyeri kurallarının denetlenmesi amaçlarıyla kişisel verilerini işlemektedir. Bu kapsamda ziyaretçi giriş çıkış takibi amacıyla ziyaretçilerimizin isim – soy isim ve TC kimlik numaraları kimlikleri ile teyit edilerek ziyaretçi defterine not edilmektedir. Ancak ziyaretçi şirket içinde bulunduğu süre boyunca kimliği tutulmamakta, ziyaretçi defterine bahsedilen kayıt yapıldıktan sonra kimlik ziyaretçiye geri verilmektedir.

Ziyaretçi, bilgileri alınmadan önce güvenlik girişinde yer alan bir aydınlatma metni ile kişisel verilerinin işlenmesine ilişkin aydınlatılmaktadır. Ancak bu kapsamda şirketimizin meşru menfaati bulunduğu için KVKK m. 5/2/f uyarınca ziyaretçinin açık rızası alınmamaktadır. Bu veriler, sadece fiziki olarak ziyaretçi kayıt defterinde tutulmakta ve Şirket güvenliğini tehdit eden şüphe yaratacak bir durum olmadıkça başka bir ortama aktarılmamaktadır. Ancak suçun önlenmesi, Şirket güvenliğinin sağlanması gibi durumlarda bu bilgiler kullanılabilmektedir.

Bunun yanında Şirketimiz tarafından güvenliğin sağlanması ve Politika’da belirtilen amaçlarla; Şirketimiz ofisleri içerisinde kaldığınız süre boyunca talep eden ziyaretçilerimize internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerinize ilişkin log kayıtları 5651 Sayılı Kanun ve bu kanuna göre düzenlenmiş olan mevzuatın emredici hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşlar tarafından talep edilmesi veya Şirket içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir.

Bu çerçevede elde edilen log kayıtlarına yalnızca sınırlı sayıda Arfesan çalışanı erişilebilmektedir. Bahsi geçen kayıtlara erişimi olan Şirket çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşundan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilerle paylaşmaktadır.

Şirketimizin ve tesislerimizin güvenliğinin sağlanması amacıyla güvenlik kameraları kullanılmakta ve bu yolla kişisel veri işlenmektedir. Şirketimiz, güvenlik kamerası ile izleme faaliyeti kapsamında; sunulan hizmetin kalitesini artırmak, şirket fiziki yerleşkelerinin ve şirket içinde bulunan kişilerin can ve mal güvenliğini sağlamak, suiistimalleri önlemek veri sahiplerinin meşru menfaatlerini korumak gibi amaçlar taşımaktadır.

Şirketimiz tarafından güvenlik kameraları ile yapılan kişisel veri işleme faaliyetleri, Anayasa’ya, KVKK’ya, 5188 sayılı Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun bir biçimde yürütülmektedir.

Şirketimiz, KVKK m. 4’e uygun olarak, kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işlemektedir. Kişinin mahremiyetini güvenlik amaçlarını aşan şekilde müdahale sonucu doğurabilecek şekilde izlemeye tabi tutulmamaktadır. Bu kapsamda CCTV kaydı yapılan ortak alanlarda uyarı levhaları yerleştirilerek veri sahipleri bilgilendirilmektedir. Ancak Şirketimizin CCTV kayıtlarının tutulmasında meşru menfaatinin mevcut olması sebebiyle açık rızaları alınmamaktadır. Ayrıca KVKK m. 12’ye uygun olarak, CCTV izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır.

Bunun yanında CCTV kamerası bulunan alanlara, kameraların izleme alanlarına, kayıtların tutulma sürelerine ilişkin bir prosedür hazırlanmış ve Şirketimizde uygulama alınmıştır. CCTV kamerası yerleştirilmeden önce bu prosedür dikkate alınmakta ve kamera daha sonra yerleştirilmektedir. Güvenlik amacını aşan ve kişilerin mahremiyetini aşan ölçüde kamera yerleştirilmesine izin verilmemektedir. CCTV kamera görüntülerine yalnızca belli sayıda Şirket personeli erişmekte ve bu yetkiler düzenli olarak gözden geçirilmektedir. Bu kayıtlara erişimi olan personel, kişisel verileri hukuka uygun bir şekilde koruyacaklarına ilişkin taahhütname imzalamaktadır.

40.03 ve 40.03- T01 No’lu CCTV prosedürü ve Güvenlik kameraları hakkındaki aydınlatma metninde belirtilen, Şirket ofislerimiz ve fabrikalarımız içerisinde yer alan güvenlik kameraları vasıtasıyla ve bina güvenliğinin sağlanması amacıyla görüntü kaydı yapılmakta ve kayıt işlemi Bilgi İşlem Bölümü tarafından denetlenmektedir.

Kişisel verilerinizi kullanım amaçlarımız, aramızdaki iş ilişkisinin türüne (Örn. müşteri, tedarikçi, iş ortağı vb.) göre değişiklik göstermektedir. Temel olarak kişisel verilerinizi işleme amaçlarımız aşağıda yer almaktadır. Çalışan Adaylarına ilişkin kişisel veri işleme faaliyetleri, yukarıda yer alan “Çalışan Adaylarının Kişisel Verilerinin İşlenmesi” bölümü altında açıklanmaktadır.

Kişisel Veri İşleme Amaçlarımız	Örnekler
Potansiyel tedarikçi/iş ortaklarını değerlendirme	Risk kurallarımız gereği inceleme ve çıkar çatışması sürecimizin yürütülmesi
Müşteri ilişkilerinin kurulması ve yönetimi, Tedarikçi/iş ortaklarımızla sözleşme sürecinin yürütülmesi ve sonuçlandırılması	Ürünlerimizin tanıtılması, ürünlerimize ilişkin teklif sunulması, satış öncesi ürünlerimizi denemek istemeniz durumunda ürünlerimizin sunulması, ürünlerimize ilişkin satış işlemlerinin gerçekleştirilmesi, sözleşmesel ilişki içerisine girilmesi ve sözleşmesel yükümlülüklerin yerine getirilmesi, finans ve muhasebe kayıtlarımızın oluşturulması, kredi süreçlerinin yürütülmesi, sözleşmesel yükümlülüklerin yerine getirilmesi için gerekli iş ve işlemlerin gerçekleştirilmesi, satış ekiplerimiz tarafından size ziyaretlerde bulunulması, ziyaretlerimizde ilettiğiniz talep ve şikâyetleriniz için gerekli aksiyonların alınması, sosyal mecralar gibi diğer kanallar üzerinden ilettiğiniz talepleriniz için gerekli aksiyonların alınması, promosyonlarımız hakkında bilgi sağlanması ve bilgilendirme amaçlı SMS gönderimi, taleplerinizin karşılanması, sözleşmesel ilişki içerisine girilmesi, ürünlerimizin tanıtılması, size özel teklif ve kampanyaların sunulması, e-bülten gönderiminin gerçekleştirilmesi, değerlendirme anketlerinin iletilmesi, pazarlama ve optimizasyon faaliyetlerinin yürütülmesi, sosyal medya eklentileri ile dilediğiniz sosyal medya kanallarında paylaşım yapabilmenize olanak sağlanması, deneme yapılan tarlaların bakımı için işçi kiralanması, İhaleler için araştırma sürecinin yürütülmesi, ihalelere katılım sağlanması amacıyla ön yeterlilik hazırlığının yapılması, ihale tekliflerinin hazırlanması, ihalelere katılım sağlanması amacıyla ilgili kurum ve kuruluşlarla imza sirkülerinin paylaşılması, ihale sözleşmelerinin imzalanması, izin ve lisans süreçlerinin yürütülmesi, kapasite raporu, çevre izni, kanal bağlantı izni, itfaiye raporlarının alınması, Sözleşmelerin fiziki ve dijital ortamda arşivlenmesi, Arfesan adına kesilen ve onaylanan faturalara ilişkin e-fatura süreçlerinin yürütülmesi, ödeme yapılacak firmaların sistem kaydının oluşturulması, yeni bayi kartı oluşturulması/mevcut bayi kartlarında güncelleme yapılması kargo süreçlerinin yürütülmesi, lojistik süreçlerin gerçekleştirilmesi, Şirketimizin hizmetlerin satış işlemlerinin gerçekleştirilmesi, teklif sunulması, mal tedariki, faturalandırma ve faturalara ilişkin iade farkı, fiyat farkı ve iade faturası düzenlenmesi, ay sonu mutabakatlarının yapılması, sözleşme kurulması ve ifa edilmesi, sözleşme sonrası hukuki işlem güvenliğinin sağlanması, hizmet geliştirmek, yeni teknoloji ve uygulamaların değerlendirilmesi ile Şirketimizin ticari ve iş stratejilerinin belirlenmesi ve uygulanması, operasyonların yönetilmesi (talep, teklif, değerlendirme, sipariş, bütçelendirme, sözleşme), finans operasyonları, mali işlerin yönetilmesi, ticari ilişki içerisinde olduğu tüzel/gerçek kişilere alternatifler sunabilmek
Doğrudan pazarlama süreçlerinin yürütülmesi	E-posta ve telefon ile hizmetlerimize ilişkin pazarlama bildirimleri yapmak, memnuniyet anketleri yapılması ya da sosyal medya, online platformlar veya başka mecralar üzerinden yaptığınız görüş, şikâyet ve yorumların değerlendirilmesi, dönüş yapılması, şirket yenilikleri, kampanyalarla ilgili müşterilerimizi bilgilendirmek, yapılacak etkinliklerde katılımcılar ile pazarlama aktiviteleri yapılması, özel günler için tebrik kartlarının ve mektupların hazırlanması, fuarlarda, müşteri/tedarikçi görüşmelerinde, firma etkinliklerinde kartvizit bilgilerinin alınması, müşteri seyahat süreçlerinin yürütülmesi,
İletişim ve destek (talebiniz üzerine)	Hizmetlerimizle ilgili bilgi alma taleplerinin yanıtlanması, iletişim kanallarımız aracılığıyla gelen taleplere ilişkin destek sağlanması, kayıtlarımızın ve veri tabanımızın güncellenmesi, fuarlarda, saha görüşmelerinde, firma etkinliklerinde bilgilerin alınması/güncellenmesi, satış sonrası destek, müşteri portföyünün araştırılması, bu ziyaretlere ilişkin ziyaret notları alınması ve talep/şikayetlerinin alınması, (Sosyal Medya Kanalından Mesajlar, Whatsapp, Arfesan’a Gelen Telefon Aramaları, Bayi Üzerinden vb.)
Yasal yükümlülüklere uyum	Vergi ve sigorta süreçlerinin yürütülmesi, 5651 sayılı Kanun ve sair mevzuat, 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve sair mevzuat, 5237 sayılı Türk Ceza Kanunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere, ilgili mevzuattan kaynaklanan yasal yükümlülüklerimizin yerine getirilmesi, resmi kurumlar nezdindeki süreçlerin yürütülmesi, kayıt tutma ve bilgilendirme yükümlülükleri, uyum ve denetim, resmi mercilerin denetim ve teftişleri, yasal haklarımızın ve davalarımızı takibi ve sonuçlandırılması, resmi mercilerin talebi üzerine veri ifşası gibi tabi olduğumuz kanun ve düzenlemelere uyum kapsamında gerekli süreçlerin yürütülmesi, düzenleyici ve denetleyici kurumlarla, yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde KVKK’da belirtilmiş yasal yükümlülüklerin yerine getirilmesini sağlamak üzere belirlenmiş gereklilik ve zorunluluklar kapsamında
Şirket menfaatlerinin korunması ve güvenliğinin sağlanması	Şirket çıkarlarının ve menfaatlerinin korunması için gerekli denetim faaliyetlerinin yürütülmesi, çıkar çatışması kontrollerinin yapılması, Şirketimizle iş ilişkisinde olan kişilerin hukuki ve ticari güvenliğinin temini, şirket cihaz ve varlıklarının korunması için CCTV kayıtlarının tutulması, teknik ve idari güvenlik önlemlerinin alınması, sunduğumuz hizmetlerin geliştirilmesi için gerekli çalışmaların yürütülmesi, işyeri kurallarının uygulanması ve denetlenmesi, sosyal sorumluluk aktivitelerinin planlanması ve icrası, bina içinde meydana gelen tüm olay, kaza, şikâyet, kayıp çalıntı vb. durumların raporlanarak gerekli müdahalenin yapılması ve önlem alınması, bakım ve onarım yapılması sırasında oluşabilecek tehlikeli durumlar için uyulması gereken kuralların aktarılması ve taşeronların mesleki yeterliliklerinin ölçülmesi, firma çalışanlarının giriş ve çıkışlarının düzenini sağlamak ve güvenlik açısından gerekli bilgileri edinmek, gerekli kalite ve standart denetimlerimizi yapabilmek ya da kanun ve yönetmelikler ile belirlenmiş raporlama ve sair yükümlülüklerimizin yerine getirilmesi, tedarikçilerin sahaya kabulünün uygunluğunun değerlendirilmesi
Şirket ticari faaliyetlerinin planlanması ve icrası	Şirket’in kısa, orta ve uzun vadede ticari politikalarının tespit edilmesi, planlanması ve uygulanması, ticari ve iş stratejilerinin belirlenmesi ve uygulanması amacı doğrultusunda; Şirketimiz tarafından yürütülen iletişim, pazar araştırması ve sosyal sorumluluk aktiviteleri, satın alma işlemlerinin yürütülmesi,
Raporlama ve denetim	İç denetim ve raporlama süreçlerinin yürütülmesi
Hak ve menfaatlerin korunması	Şirketimiz aleyhine açılan dava, soruşturma vb. hukuki hak taleplerine karşı savunma

Çerezleri, verileriniz ve hesabınızı korumak en popüler özellikleri saptamak, bir sayfaya olan girişi saymak, kullanıcı tecrübesini geliştirmek, servislerimizi güvenli tutmak, web sitemizin daha kullanıcı dostu hale getirmek ve web sitemizi sizin ilgi ve ihtiyaçlarınıza göre ayarlanması amacıyla kullanıyoruz. Çerezler yukarıda bahsedilen işlevleri yerine getirmek için sizinle ilgili bilgileri hatırlamakta ve bu şekilde bu hizmetleri size sağlamamıza yardımcı olmaktadır.

Çerez verileriniz pazarlama amacıyla kullanılmamaktadır.

Mevcut çerezleri cihazınızdan kaldırmak istiyorsanız tarayıcı seçeneklerinizi kullanarak bunu yapabilirsiniz.

Kişisel verilerinizi başta 6102 sayılı Türk Ticaret Kanunu, 6098 sayılı Türk Borçlar Kanunu, 213 sayılı Vergi Usul Kanunu, elektronik ticaret mevzuatı olmak üzere KVKK m. 5’te düzenlenen aşağıdaki hukuki sebepler çerçevesinde işliyoruz:

Hukuki Sebep	Örnekler
KVKK ve sair mevzuat uyarınca açık rızanızı almamız gereken durumlarda rızanıza istinaden işliyoruz (Bu durumda rızanızı istediğiniz zaman geri çekebileceğinizi hatırlatmak isteriz)	Pazarlama faaliyetlerimizi yürütmek için rızanızı alıyoruz.
Geçerli mevzuatın izin verdiği herhangi bir durumda	Vergi Usul Kanunu m. 230 kapsamında fatura üzerinde ilgili kişinin adına yer verilmesi
Herhangi bir kişinin hayati önem taşıyan menfaatlerini koruma zorunluluğu olduğunda	Yönetim kurulda baygınlık geçiren yönetim kurulu üyesinin sağlık bilgisinin doktora verilmesi
Sizinle sözleşme kurmamız, sözleşmenin ifa edilmesi ve yükümlülüklerimizi bir sözleşme kapsamında yerine getirmemiz gereken durumlarda	Müşteri ile sözleşmesel ilişki kapsamında müşterinin banka hesap bilgilerinin alınması
Hukuki yükümlülüklerimizi yerine getirme,	Vergisel yükümlülüklerimizin yerine getirilmesi, mahkeme kararıyla talep edilen bilgilerin mahkemeye sunulması
Kişisel verilerinizin sizin tarafınızdan alenileştirilmiş olması halinde	Sizinle iletişime geçmemiz için bize e-posta göndermeniz, çalışan adayının iletişim bilgilerini iş başvurusu toplanan internet sitesine yazması, sosyal medya kanalları gibi vasıtalarla sizin alenileştirdiğiniz kişisel verilerin alenileştirilme amacı çerçevesinde kullanılması
Bir hakkın tesisi veya korunması için veri işlememizin zorunlu olması, hukuki haklarımızı kullanma ve aleyhimize açılan hukuki taleplere karşı savunma yapma	spat/delil niteliğinde olan belgelerin saklanması ve gerektiğinde kullanılması
Temel hak ve özgürlüklerinize zarar vermemek koşulu ile meşru menfaatlerimizin gerektirdiği durumlarda	Şirket iletişim ağlarımızın ve bilgilerimizin güvenliğini sağlamak, Şirket faaliyetlerimizi yürütmek, şüpheli işlemleri tespit etmek ve risk kurallarımıza uyum amacıyla araştırma yapmak, teknik ve güvenlik açısından IT hizmetlerinin sağlanması amacıyla depolama, barındırma, bakım, destek hizmetlerinden yararlanmak, Şirket faaliyetlerimizin verimliliğini sağlamak ve teknolojinin imkânlarından yararlanmak için bulut teknolojisinden faydalanmak

---

Kişisel Verilerinizin açık rıza ile işlendiği hallerde, işbu açık rızanızı geri almanız durumunda söz konusu açık rızaya dayalı işlemenin gerekli olduğu ticari üyelik programından çıkarılacağınızı ve söz konusu işlemeler sayesinde yararlandığınız avantajlardan ilgili tarih itibariyle yararlandırılamayacağınızı önemle belirtmek isteriz.

Yurt içinde Kişisel Verilerin Aktarımı

Şirketimiz, kişisel verilerin aktarılması konusunda başta KVKK m. 8 olmak üzere KVKK’da öngörülen ve Kurul tarafından alınan karar ve ilgili düzenlemelere uygun bir şekilde hareket etmek sorumluluğu altındadır. Kural olarak Şirketimiz tarafından veri sahiplerine ait kişisel veriler ve özel nitelikli veriler ilgili kişinin açık rızası olmadan başka gerçek kişilere veya tüzel kişilere aktarılamaz.

Ayrıca, KVKK’nın 5. ve 6. maddelerinde öngörülen durumlarda ilgilinin rızası olmaksızın da aktarım mümkündür. Şirketimiz, kişisel verileri KVKK’da ve ilgili diğer mevzuatta öngörülen şartlara uygun olarak ve mevzuatta belirtilen güvenlik önlemlerini alarak; (şayet veri sahibi kişi ile imzalı mevcut bir sözleşme var ise, söz konusu sözleşmede) Kanun veya ilgili diğer mevzuatta aksi düzenlenmediği sürece Türkiye’de bulunan üçüncü kişilere aktarabilir.

Yurt dışına Kişisel Verilerin Aktarımı

Şirketimiz, kişisel verileri Türkiye’de üçüncü kişilere aktarabileceği gibi, Türkiye’de işlenerek veya Türkiye dışında işlenip muhafaza edilmek üzere, dış kaynak kullanımı dâhil yukarıda da yer verildiği gibi Kanunda ve ilgili diğer mevzuatta öngörülen şartlara uygun olarak ve mevzuatta belirtilen güvenlik önlemlerini alarak yurt dışına da aktarılmaktadır. Şirket faaliyetlerimizin en verimli şekilde yürütülmesi ve teknolojinin imkânlarından faydalanılması için bulut bilişim teknolojisi aracılığı ile kişisel verilerinizi gerekli teknik ve idari tedbirleri alarak yurt dışına aktarmaktayız.

KVKK m. 9 uyarınca kural olarak kişisel verilerin yurt dışına aktarımı için veri sahiplerinin açık rızasını aramaktayız. Ancak KVKK m. 9 uyarınca, KVKK m. 5/2 ya da m. 6/3’te düzenlenen şartlardan birinin varlığı ve kişisel verilerin aktarılacağı yabancı ülkede

1. Yeterli korumanın bulunması,
2. Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması

kaydıyla veri sahibinin açık rızası aranmaksızın yurt dışına aktarım yapılabilir.

Bu doğrultuda Şirketimiz, yukarıda belirtilen kişisel verilerin aktarımına ilişkin açık rızanın aranmadığı istisnai durumlarda, rızasız işlenme ve aktarma şartlarına ek olarak, KVKK’ya uygun olarak verinin aktarılacağı ülkede yeterli korumanın bulunması şartı aranmaktadır. Yeterli korumanın sağlanıp sağlanmadığını Kişisel Verileri Koruma Kurulu belirleyecek olup; yeterli korumanın bulunmaması durumunda ise hem Türkiye’deki hem de ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmesi ve Kişisel Verileri Koruma Kurulunun izninin bulunması gerekmektedir.

Bu paragraf uyarınca merkezi yurtdışında bulunan ve destek aldığımız hizmet sağlayıcıları için lütfen https://www.arfesan.com.tr/saglayicilar/index.aspx linkine başvurunuz.

Yurt İçinde ve Yurt Dışında Paylaşım Yapılan Taraflar

Kişisel Verilerinizi burada tanımlanan özel durumlar dışında paylaşmayız. Arfesan içerisinde Kişisel Verilerinize erişim bu Politika içerisinde tanımlanan amaçlar doğrultusunda sadece bilgileri bilmesi gerekenlerle sınırlı olacaktır. Verilerinizin toplanma amaçlarını gerçekleştirmek için (bu amaçlar hakkında detaylı bilgi için yukarıda yer alan "Kişisel verilerinizi hangi amaçlarla kullanıyoruz?" bölümüne bakınız), Kişisel Verilerinizi aşağıda belirtilen kişi ve kurumlara aktarıyoruz:

1. Hizmet Sağlayıcılar: Şirketimizin ticari faaliyetlerini yürütürken Şirketimizin hizmetlerinin satışı, tanıtımı ve pazarlanması, satış sonrası desteği, gibi amaçlarla iş ortaklığı kurduğu tarafları tanımlamaktadır. Birçok işletme gibi, biz de bazı veri işleme faaliyetleri kapsamında işlevler ve hizmetlerin en verimli şekilde ve güncel teknolojilere uygun yürütülmesi için bilgi ve iletişim teknolojisi sağlayıcıları, danışmanlık hizmetleri sağlayıcılar, kargo şirketleri, seyahat acenteleri gibi güvenilir üçüncü şahıslarla çalışabilir ve bu kapsamda faaliyetlerimizi yürütmek için veri paylaşımında bulunabiliriz. Bu paylaşım iş ortaklığının kurulma ve ifa edilme amaçlarının yerine getirilmesini temin etme amacıyla sınırlı olarak yapılmaktadır. Şirketimizin faaliyetlerini en verimli şekilde yürütmek ve teknolojinin imkânlarından maksimum düzeyde faydalanmak için bulut bilişim teknolojileri kullanmakta ve bu kapsamda bulut bilişim hizmeti sunan firmalar aracılığı ile kişisel verilerinizi yurt içinde ve yurt dışında işleyebilmekteyiz. Paylaşım yaptığımız pazarlama hizmetleri destek firması yurtdışında kurulu olabilir ve bu kapsamda KVKK m. 8 ve m. 9 uyarınca yurtdışına veri paylaşımına ilişkin hükümlerine uygun bir şekilde yurt dışı ile veri paylaşımı gerçekleştirilmektedir.
2. Kamu Kurum ve Kuruluşları:: Kanunların gerektirdiği durumlarda veya haklarımızı korumamız gerektiğinde, kişisel verilerinizi ilgili resmi, adli ve idari merciler ile paylaşabiliriz (örn. Vergi daireleri, kolluk kuvvetleri, mahkemeler ve icra daireleri).
3. Özel Hukuk Kişileri: İlgili mevzuat hükümlerine göre Şirketimizden bilgi ve belge almaya yetkili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak kişisel veri paylaşımı yapılabilmektedir (Örn. İş Sağlığı ve Güvenliği Şirketi).
4. Profesyonel danışmanlar ve diğerleri: Hak kazandığınız maaş ve yan hakların tarafınıza sağlanabilmesi, Şirket kredi kartı işlemlerinin yönetilmesi ve adınıza şirket kredi kartı tanımlanması ve tahsis edilmesi, Kişisel Verilerinizi aşağıda belirtilenler gibi profesyonel danışmanlar dahil diğer kişiler ile paylaşıyoruz:
   • Bankalar
   • Sigorta şirketleri
   • Denetçiler
   • Avukatlar
   • Muhasebeciler
   • Medya Ajansları
   • Pazarlama Danışmanları
   • Kargo Şirketleri
   • Servis firmaları
   • Sigorta Şirketleri
   • Seyahat Acenteleri
   • Diğer harici profesyonel danışmanlar
5. Kurumsal işlemler ile bağlantılı olan diğer taraflar: Ayrıca zaman zaman Kişisel Verilerinizi kurumsal işlemler kapsamında, örneğin Şirket iş ve faaliyetlerinin yürütülmesi için yapılan sözleşmelerin, kurulan sözleşmesel ve ticari ilişkilerin yürütülmesi, şirket süreçlerimizin verimliliğinin ve güvenliğinin sağlanması, verilen taahhütlerin yerine getirilmesi için bir şirketin satışı sırasında veya bir şirketin belirli bir kısmının başka bir şirkete satışı sırasında isim, varlıkların veya hisselerin diğer herhangi bir yeniden düzenleme/yapılanma, birleşme, ortak girişim veya diğer türlü satışa veya elden çıkarmaya konu olması halinde (iflas veya benzeri işlemler ile bağlantılı olanlar da dahil) yurtiçi ve yurtdışında bulunan hizmet ve danışmanlık aldığımız firmalar ile, müşterilerimiz, alt yüklenicilerimiz, tedarikçilerimiz, iş ortaklarımız gibi kurumsal işlemler ile bağlantılı olan diğer taraflarla paylaşıyoruz.

Kişisel verilerinizi yalnızca toplandıkları amacı yerine getirmek için gerekli süre boyunca saklarız. Bu süreleri her bir iş süreci özelinde ayrı ayrı belirliyoruz ve ilgili sürelerin sona ermesinin sonunda kişisel verilerinizi saklamamız gereken başkaca bir sebep bulunmuyorsa kişisel verilerinizi KVKK’ya uygun bir şekilde imha ediyoruz.

Kişisel verilerinizin imha sürelerini belirlerken aşağıdaki kriterleri dikkate alıyoruz:

• İlgili veri kategorisinin işlenme amacı kapsamında veri sorumlusunun faaliyet gösterdiği sektörde genel teamül gereği kabul edilen süre,
• İlgili veri kategorisinde yer alan kişisel verinin işlenmesini gerekli kılan ve ilgili kişiyle tesis edilen hukuki ilişkinin devam edeceği süre,
• İlgili veri kategorisinin işlenme amacına bağlı olarak veri sorumlusunun elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak geçerli olacağı süre,
• İlgili veri kategorisinin işlenme amacına bağlı olarak saklanmasının yaratacağı risk, maliyet ve sorumlulukların hukuken devam edeceği süre,
• Belirlenecek azami sürenin ilgili veri kategorisinin doğru ve gerektiğinde güncel tutulmasına elverişli olup olmadığı,
• Veri sorumlusunun hukuki yükümlülüğü gereği ilgili veri kategorisinde yer alan kişisel verileri saklamak zorunda olduğu süre,
• Veri sorumlusu tarafından, ilgili veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zamanaşımı süresi.

Türk Ceza Kanunu’nun 138. maddesi ve KVKK’nın 7. maddesi düzenlemesi doğrultusunda kişisel veriler ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Şirketimizin kendi kararına istinaden veya kişisel veri sahibinin bu yönde bir talebi olması halinde silinir, imha edilir veya anonim hâle getirilir.

Bu kapsamda Kişisel Verileri Saklama ve İmha Politikası hazırlanmıştır. Şirketimizin ilgili mevzuat hükümleri gereğince kişisel verileri muhafaza etme hak ve/veya yükümlülüğü olan durumlarda veri sahibinin talebini yerine getirmeme hakkı saklıdır. Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlendiğinde, veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır. Şirketimiz, kendisi adına kişisel verileri işlemesi için bir kişi veya kuruluş ile anlaştığında, kişisel veriler bu kişi veya kuruluşlar tarafından bir daha kurtarılamayacak biçimde güvenli olarak silinir. Şirketimiz, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında kişisel verileri anonimleştirebilmektedir.

Kişisel verilerinizin korunması ve hukuka aykırı bir şekilde erişimini önlemek için KVK Kurumu’nun yayınladığı Kişisel Veri Güvenliği Rehberi doğrultusunda Şirketimiz tarafından gerekli idari ve teknik tedbirler alınmakta, Şirket içinde prosedürler düzenlenmekte, aydınlatma ve açık rıza metinleri hazırlanmakta ve KVKK m. 12/3 uyarınca KVKK hükümlerinin uygulanmasını sağlamak için gerekli denetimler yapılmakta veya ihtiyaç durumunda dışarıdan hizmet alımı yoluyla yaptırılmaktadır. Bu denetim sonuçları Şirketin iç işleyişi kapsamında değerlendirilir ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülür.

Yukarıda belirtilen kişisel verileriniz, Şirketimize ve/veya tedarikçilerimize ait fiziki arşivler ve bilişim sistemlerine nakledilerek, hem dijital hem de fiziki ortamda muhafaza altında tutulabilecektir. Kişisel verilerin güvenliğini sağlamak için alınan teknik ve idari tedbirler aşağıda iki başlık altında detaylı bir şekilde açıklanmaktadır.

Teknik Tedbirler

Toplanan kişisel bilgilerin korunması için Secure Socket Layer (SSL) adı verilen standart teknoloji de dahil olmak üzere, genel kabul görmüş standart teknolojileri ve işletme güvenliği yöntemlerini kullanmaktayız. Ancak, İnternet'in özelliği dolayısıyla bilgilere yetkisiz kişiler tarafından ağlar üzerinden gerekli güvenlik önlemleri olmaksızın erişilebilmektedir. Teknolojinin güncel durumuna, teknolojik uygulamanın maliyetine ve korunacak verilerin niteliğine bağlı olarak, verilerinizin imha, kayıp, tahrifat, izinsiz ifşa veya izinsiz erişim gibi risklerden korumak için teknik ve idari tedbirleri almaktayız. Bu kapsamda birlikte çalıştığımız hizmet sağlayıcılarla veri güvenliğine ilişkin sözleşmeler akdetmekteyiz. Bu hizmet sağlayıcılar ile ilgili detaylı bilgiye https://www.arfesan.com.tr/saglayicilar/index.aspx üzerinden ulaşabilirsiniz.

1. Siber Güvenliğin Sağlanması: Kişisel veri güvenliğinin sağlanması için siber güvenlik ürünleri kullanılmaktayız ancak aldığımız teknik tedbirler bununla sınırlı değildir. Güvenlik duvarı ve ağ geçidi gibi tedbirler ile internet gibi ortamlardan gelen saldırılara karşı ilk savunma hattını oluşturulmaktadır. Bununla birlikte hemen hemen her yazılım ve donanım bir takım kurulum ve yapılandırma işlemlerine tabi tutulmaktadır. Yaygın şekilde kullanılan bazı yazılımların özellikle eski sürümlerinin belgelenmiş güvenlik açıkları olabileceği dikkate alınarak, kullanılmayan yazılım ve servisler cihazlardan kaldırılmaktadır. Bu nedenle, kullanılmayan yazılım ve servislerin güncel tutulması yerine silinmesi, kolaylığı nedeniyle öncelikle tercih edilmektedir. Yama yönetimi ve yazılım güncellemeleri ile yazılım ve donanımların düzgün bir şekilde çalışması ve sistemler için alınan güvenlik tedbirlerinin yeterli olup olmadığının düzenli olarak kontrol edilmesi sağlanmaktadır.

2. Erişim Sınırlamaları: Kişisel veri içeren sistemlere erişim yetkileri sınırlandırılmakta ve düzenli olarak gözden geçirilmektedir. Bu kapsamda çalışanlara, yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmakta ve kullanıcı adı ve şifre kullanılmak suretiyle ilgili sistemlere erişim sağlanmaktadır. Söz konusu şifre ve parolalar oluşturulurken, kişisel bilgilerle ilişkili ve kolay tahmin edilecek rakam ya da harf dizileri yerine büyük küçük harf, rakam ve sembollerden oluşacak kombinasyonların tercih edilmesi sağlanmaktadır. Buna bağlı olarak, erişim yetki ve kontrol matrisi oluşturulmaktadır.

3. Şifreleme: Güçlü şifre ve parola kullanımının yanı sıra, kaba kuvvet algoritması (BFA) kullanımı gibi yaygın saldırılardan korunmak için şifre girişi deneme sayısının sınırlandırılması, düzenli aralıklarla şifre ve parolaların değiştirilmesinin sağlanması, yönetici hesabı ve admin yetkisinin sadece ihtiyaç olduğu durumlarda kullanılması için açılması ve veri sorumlusuyla ilişikleri kesilen çalışanlar için zaman kaybetmeksizin hesabın silinmesi ya da girişlerin kapatılması gibi yöntemlerle erişimin sınırlandırılması yapılmaktadır.

4. Anti Virüs Yazılımları: Kötü amaçlı yazılımlardan korunmak için ayrıca, bilgi sistem ağını düzenli olarak tarayan ve tehlikeleri tespit eden anti virüs, antispam gibi ürünlerin kullanılmakta, ayrıca bunlar güncel tutularak gereken dosyaların düzenli olarak taranmaktadır. Farklı internet siteleri ve/veya mobil uygulama kanallarından kişisel veri temin edilecekse, bağlantıların SSL ya da daha güvenli bir yol ile gerçekleştirilmesi sağlanmaktadır.

5. Kişisel Veri Güvenliğinin Takibi: Bilişim ağlarında hangi yazılım ve servislerin çalıştığının kontrol edilmesi, Bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığının belirlenmesi, Tüm kullanıcıların işlem hareketleri kaydının düzenli olarak tutulması (log kayıtları gibi), Güvenlik sorunlarının mümkün olduğunca hızlı bir şekilde raporlanması, Yapılmaktadır. Yine çalışanların sistem ve servislerdeki güvenlik zafiyetlerini ya da bunları kullanan tehditleri bildirmesi için resmi bir raporlama prosedürü oluşturulmaktadır. Bilişim sisteminin çökmesi, kötü niyetli yazılım, servis dışı bırakma saldırısı, eksik veya hatalı veri girişi, gizlilik ve bütünlüğü bozan ihlaller, bilişim sisteminin kötüye kullanılması gibi istenmeyen olaylarda deliller toplanmakta ve güvenli bir şekilde saklanmaktadır.

6. Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması: Kişisel veriler, veri sorumlularının yerleşkelerinde yer alan cihazlarda ya da kâğıt ortamında saklanıyor ise, bu cihazların ve kâğıtların çalınması veya kaybolması gibi tehditlere karşı fiziksel güvenlik önlemleri alınmaktadır. Kişisel verilerin yer aldığı fiziksel ortamların dış risklere (yangın, sel vb.) karşı uygun yöntemlerle korunmakta ve bu ortamlara giriş / çıkışlar kontrol altına alınmaktadır.

   Kişisel veriler elektronik ortamda ise, kişisel veri güvenliği ihlalini önlemek için ağ bileşenleri arasında erişim sınırlandırılabilmekte veya bileşenlerin ayrılması sağlanmaktadır. Örneğin kullanılmakta olan ağın sadece bu amaçla ayrılmış olan belirli bir bölümüyle sınırlandırılarak bu alanda kişisel verilerin işleniyor olması halinde, mevcut kaynaklar tüm ağ için değil de sadece bu sınırlı alanın güvenliğini sağlamak amacıyla ayrılabilmektedir.

   Aynı seviyedeki önlemler Şirket yerleşkesi dışında yer alan ve Şirkete ait kişisel veri içeren kâğıt ortamları, elektronik ortam ve cihazlar için de alınmaktadır. Nitekim kişisel veri güvenliği ihlalleri sıklıkla kişisel veri içeren cihazların (dizüstü bilgisayar, cep telefonu, flash disk vb.) çalınması ve kaybolması gibi nedenlerle ortaya çıksa da elektronik posta ya da posta ile aktarılacak kişisel verilerin de dikkatli bir şekilde ve yeterli tedbirler alınarak gönderilmektedir. Çalışanların şahsi elektronik cihazları ile bilgi sistem ağına erişim sağlaması durumunda bunlar için de yeterli güvenlik tedbirleri alınmaktadır.

   Kişisel veri içeren cihazların kaybolması veya çalınması gibi durumlara karşı erişim kontrol yetkilendirmesi ve/veya şifreleme yöntemlerinin kullanılması yöntemi uygulanmaktadır. Bu kapsamda şifre anahtarı, sadece yetkili kişilerin erişebileceği ortamda saklanmakta ve yetkisiz erişim önlenmektedir.

   Kişisel veri içeren kâğıt ortamındaki evraklar da kilitli bir şekilde ve sadece yetkili kişilerin erişebileceği ortamlarda saklanmakta, söz konusu evraklara yetkisiz erişim önlenmektedir.Şirketimiz, KVKK m. 12 uyarınca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede KVK Kurulu’na ve veri sahiplerine bildirir. KVK Kurulu, gerekli görmesi halinde bu durumu internet sitesinde veya başka bir yöntemle ilan edebilir.

7. Kişisel Verilerin Bulutta Depolanması: Kişisel verilerin bulutta depolanması durumunda, bulut depolama hizmeti sağlayıcısı tarafından alınan güvenlik önlemlerinin de yeterli ve uygun olup olmadığının Şirket tarafından değerlendirilmesi gerekmektedir. Bu kapsamda, bulutta depolanan kişisel verilerin neler olduğunun detaylıca bilinmesi, yedeklenmesi, senkronizasyonun sağlanması ve bu kişisel verilere gerekmesi halinde uzaktan erişim için iki kademeli kimlik doğrulama kontrolü uygulanmaktadır. Söz konusu sistemlerde yer alan kişisel verilerin depolanması ve kullanımı sırasında, kripto grafik yöntemlerle şifrelenmesi, bulut ortamlarına şifrelenerek atılması, kişisel veriler için mümkün olan yerlerde, özellikle hizmet alınan her bir bulut çözümü için ayrı ayrı şifreleme anahtarları kullanılması sağlanmaktadır. Bulut bilişim hizmet ilişkisi sona erdiğinde; kişisel verileri kullanılır hale getirmeye yarayabilecek şifreleme anahtarlarının tüm kopyaları yok edilmektedir. Kişisel verilerin bulunduğu veri depolama alanlarına erişimler loglanarak uygunsuz erişimler veya erişim denemeleri ilgililere anlık olarak iletilmektedir.

8. Bilgi Teknolojileri Sistemleri Tedariki, Geliştirme ve Bakım: Şirket tarafından yeni sistemlerin tedariki, geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmaktadır.

9. Kişisel Verilerin Yedeklenmesi: Kişisel verilerin herhangi bir sebeple zarar görmesi, yok olması, çalınması veya kaybolması gibi hallerde Şirket yedeklenen verileri kullanarak en kısa sürede faaliyete geçmeyi sağlamaktadır. Yedeklenen kişisel veriler sadece sistem yöneticisi tarafından erişilebilir olup, veri seti yedekleri ağ dışında tutulmaktadır.

İdari Tedbirler

• Şirketimizin yürütmüş olduğu tüm faaliyetler detaylı olarak tüm iş birimleri özelinde analiz edilmiş ve bu analiz neticesinde süreç bazlı bir kişisel veri işleme envanteri hazırlanmıştır. Bu envanterdeki riskli alanlar tespit edilerek gerekli hukuki ve teknik tedbirler sürekli olarak alınmaktadır. (Örn. KVKK kapsamında hazırlanması gereken belgeler bu envanterdeki riskler göz önüne alınarak hazırlanmıştır)
• Şirketimiz tarafından gerçekleştirilen kişisel veri işleme faaliyetleri bilgi güvenliği sistemleri, teknik sistemlerle ve hukuki yöntemlerle denetlenmektedir. Kişisel veri güvenliğine ilişkin politika ve prosedürler belirlenmekte bu kapsamda düzenli kontroller yapılmaktadır.
• Şirketimiz, bilgi teknolojileri ihtiyaçlarını karşılayabilmek için zaman zaman harici hizmet sağlayıcı firmalardan hizmet alabilmektedir. Bu durumda söz konusu Veri İşleyen harici hizmet sağlayıcıların en az Şirketimizin sağladığı güvenlik önlemlerini sağladığından emin olarak işlem yapılmaktadır. Bu durumda, Veri İşleyen ile yazılı bir sözleşme imzalanarak imzalanan bu sözleşmede asgari olarak aşağıdaki hususlara yer verilmektedir:
  • Veri İşleyenin sadece Veri Sorumlusunun talimatları doğrultusunda sözleşmede belirtilen veri işleme amaç ve kapsamına uygun ve KVKK ve sair mevzuata uygun bir şekilde hareket etmesi,
  • Kişisel Veri Saklama ve İmha Politikasına uygun bir şekilde hareket etmesi,
  • Veri İşleyenin işlediği kişisel verilere ilişkin süresiz süresiz sır saklama yükümlülüğüne tabi olması,
  • Herhangi bir veri ihlali olması durumunda Veri İşleyenin bu durumu derhal Veri Sorumlusuna bildirmekle yükümlü olması,
  • Şirketimizin Veri İşleyenin kişisel veri içeren sistemleri üzerinde gerekli denetimleri yapacağı veya yaptıracağı, denetim sonucu ortaya çıkan raporları ve hizmet sağlayıcı firmayı yerinde inceleyebileceği,
  • Kişisel verilerin güvenliği için gerekli teknik ve idari tedbirleri alacağı ve
  • Ayrıca, Veri İşleyen ile aramızdaki ilişkinin niteliği elverdikçe Veri İşleyene aktarılan kişisel verilerin kategori ve türleri de ayrı bir maddede belirtilmektedir.
• Kurum’un rehber ve yayınlarında vurguladığı üzere veri minimiz asyönü prensibi çerçevesinde kişisel veriler mümkün olduğunca azaltılmakta ve gerekli olmayan, güncelliğini yitirmiş ve bir amaca hizmet etmeyen kişisel veriler toplanmamakta ve eğer KHK’dan önceki dönemde toplandıysa Kişisel Veri Saklama ve İmha Politika’sına uygun bir şekilde imha edilmektedir.
• Teknik hususlar konusunda uzman personel istihdam edilmektedir.
• Şirketimiz çalışanlarının işe alınma süreçlerinde imzalanacak İş Sözleşmelerinde gizliliğe ve veri güvenliğine ilişkin olarak hükümler belirlemiştir ve çalışanlardan bu hükümlere uymasını istemektedir. Çalışanlar, kişisel verilerin korunması hukuku ve bu hukuka uygun olarak gerekli önlemlerin alınması konusunda düzenli olarak bilgilendirilmekte ve eğitilmektedir. Çalışanların rol ve sorumlulukları bu kapsamda gözden geçirilmiş ve görev tanımları revize edilmiştir.
• Teknolojik gelişmelere uygun şekilde teknik önlemler alınmakta, alınan önlemler periyodik olarak kontrol edilmekte, güncellenmekte ve yenilenmektedir.
• Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmektedir.
• Alınan teknik önlemler düzenli olarak yetkilisine raporlanmakta, risk oluşturan hususlar yeniden gözden geçirilerek gerekli teknolojik çözümlerin üretilmesi için çalışılmaktadır.
• Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kurulmaktadır.
• Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için yedekleme programları kullanılmaktadır.
• Saklanma alanlarına yönelik güvenlik sistemleri kullanılmakta, alınan teknik önlemler periyodik olarak iç kontroller gereği ilgilisine raporlanmakta, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözümler üretilmektedir. Fiziksel ortamda saklanan dosyalar/çıktılar çalışılan tedarikçi firmalar aracılığı ile saklanmakta ve sonrasında belirlenen prosedürlere uygun olarak imha edilmektedir.
• Kişisel Verilerin Korunması konusu üst yönetim tarafından da sahiplenilmekte, bu konuda özel bir Komite oluşturulmuş (KVK Komitesi) ve çalışmaya başlamıştır. Şirket KVK Komitesi’nin çalışma kurallarını düzenleyen bir yönetim politikası Şirket içinde yürürlüğe alınmış ve KVK Komitesi’nin görevleri detaylı bir şekilde açıklanmıştır.

Özel nitelikli kişisel verilerin işlenmesi ve korunması ile ilgili ayrı bir politika hazırlanmış ve yürürlüğe alınmıştır.

KVKK m. 6, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıdıkları için özel nitelikli kişisel veri olarak düzenlemiş ve bu verilerin işlenmesini daha hassas bir korumaya tabi tutmuştur.

Şirketimiz, KVKK’nın 10. maddesine uygun olarak, özel nitelikli kişisel verilerin elde edilmesi sırasında İlgili Kişileri aydınlatmaktadır. Özel nitelikli kişisel veriler, KVKK’ya uygun tedbirler alınarak ve gerekli denetimler yapılarak/yaptırılarak işlenmektedir. Kural olarak özel nitelikli kişisel verilerin işlenme şartlarından bir diğeri ise veri sahibinin açık rızasıdır. Şirketimiz, veri sahiplerine açık rızalarını belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklama fırsatını sunmaktadır.

Şirketimiz, kural olarak özel nitelikli kişisel verilerin işlenmesi için İlgili Kişilerin açık rızalarını yazılı olarak almaktadır. Ancak KVKK m. 6/3 uyarınca, KVKK m. 5/2’de belirtilen şartlardan herhangi birinin varlığı durumunda İlgili Kişilerin açık rızası aranmamaktadır. Bunun yanında KVKK m. 6/3, sağlık ve cinsel hayata ilişkin kişisel verilerin kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebileceğini düzenlemektedir. Hangi nedene dayanırsa dayansın, işleme süreçlerinde daima genel veri işleme ilkeleri dikkate alınır ve buna ilkelere uygunluk sağlanır.

Şirketimiz, özel nitelikli kişisel verilerin güvenliğinin sağlanması için özel önlemler almaktadır. Veri minimizasyonu ilkesi gereği, özel nitelikli kişisel veriler, ilgili iş süreci için gerekli olmadığı sürece toplanmamakta ve yalnızca gerekli durumlarda işlenmektedir. Özel nitelikli kişisel veri işlenmesi durumunda kanuni yükümlülüklere uymak ve KVK Kurulu tarafından belirlenen önlemlere uyum sağlamak için gerekli görülen teknik ve idari tedbirler alınmaktadır.

KVKK m. 11 uyarınca veri sahipleri olarak kişisel verilerinize ilişkin aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin Şirketimiz tarafından işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde uğradığınız zararın giderilmesini talep etme.

Bu taleplerinizi Başvuru Tebliği uyarınca aşağıda belirtilen yöntemle Şirketimize ücretsiz olarak iletebilirsiniz:

1. https://www.arfesan.com.tr/kvkk/Talep_Form.aspx adresinde bulunan formun doldurulup ıslak imzalı olarak imzalandıktan sonra Arfesan Arkan Fren Elemanları Sanayi ve Ticaret Anonim Şirketi. Gebze Organize Sanayi Bölgesi İhsan Dede Caddesi 300. Sokak No:304 Gebze / Kocaeli adresine şahsen iletilmesi (kimliğinizin ibraz edilmesi gerekeceğini hatırlatmak isteriz).
2. https://www.arfesan.com.tr/kvkk/Talep_Form.aspx adresinde bulunan formun doldurulup ıslak imzalı olarak imzalandıktan sonra Arfesan Arkan Fren Elemanları Sanayi ve Ticaret Anonim Şirketi Gebze Organize Sanayi Bölgesi İhsan Dede Caddesi 300. Sokak No:304 Gebze / Kocaeli adresine noter vasıtası ile gönderilmesi.
3. https://www.arfesan.com.tr/kvkk/Talep_Form.aspx adresinde bulunan başvuru formunun doldurulup 5070 Sayılı Elektronik İmza Kanunu kapsamındaki “güvenli elektronik imzanızla imzalandıktan sonra güvenli elektronik imzalı formun arfesan@hs02.kep.tr adresine kayıtlı elektronik posta ile gönderilmesi.
4. Şirketimize daha önce bildirilen ve Şirketimizin sisteminde kayıtlı bulunan e-posta adresinizi kullanmak suretiyle yazılı olarak iletilmesi.

Başvuruda;

Ad, soyada ve başvuru yazılı ise imza, Türkiye Cumhuriyeti vatandaşları için T.C. Kimlik Numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon numarası, talep konusu, bulunması zorunludur. Konuya ilişkin bilgi ve belgeler de başvuruya eklenir.

Kişisel veri sahipleri adına üçüncü kişiler tarafından talepte bulunulması mümkün değildir. Kişisel veri sahibinin kendisi dışında bir kişinin talepte bulunması için konuya ilişkin olarak kişisel veri sahibi tarafından başvuruda bulunacak kişi adına düzenlenmiş özel vekâletnamenin ıslak imzalı ve noter onaylı bir kopyası bulunmalıdır. Kişisel veri sahibi olarak sahip olduğunuz ve yukarıda belirtilen haklarınızı kullanmak için yapacağınız ve kullanmayı talep ettiğiniz hakka ilişkin açıklamalarınızı içeren başvuruda; talep ettiğiniz hususun açık ve anlaşılır olması, talep ettiğiniz konunun şahsınız ile ilgili olması veya başkası adına hareket ediyor iseniz bu konuda özel olarak yetkili olmanız ve yetkinizi belgelendirilmesi, başvurunun kimlik ve adres bilgilerini içermesi ve başvuruya kimliğinizi tevsik edici belgelerin eklenmesi gerekmektedir.

Bu kapsamda yapacağınız başvurular mümkün olan en kısa zaman diliminde ve en çok 30 gün içerisinde sonuçlandırılacaktır. Söz konusu başvurular ücretsizdir. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, KVK Kurulu’nca belirlenen tarifedeki ücret alınabilir.

Kişisel veri sahibinin, talebini öngörülen usule uygun olarak Şirketimize iletmesi durumunda Şirketimiz talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Şirketimiz tarafından başvuru sahibinden KVK Kurulu’nca belirlenen tarifedeki ücret alınacaktır. Şirketimiz, başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek adına ilgili kişiden bilgi talep edebilir. Şirketimiz, kişisel veri sahibinin başvurusunda yer alan hususları netleştirmek adına, kişisel veri sahibine başvurusu ile ilgili soru yöneltebilir.

KVKK m. 14 uyarınca Şirketimizce başvurunuzun reddedilmesi, verdiğimiz cevabı yetersiz bulmanız veya süresinde başvuruya cevap vermediğimiz hâllerinde; Şirketimizin cevabını öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde KVK Kurulu’na şikâyette bulunabilirsiniz.

Kişisel veri sahipleri, KVKK’nın 28. maddesi gereğince aşağıdaki haller KVKK kapsamı dışında tutulduğundan, kişisel veri sahiplerinin bu konularda yukarıda sayılan haklarını ileri süremezler:

• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarı faaliyetler kapsamında işlenmesi.
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVKK’nın 28/2 maddesi gereğince; aşağıda sıralanan hallerde kişisel veri sahipleri zararın giderilmesini talep etme hakkı hariç, diğer haklarını ileri süremezler:

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması

Yukarıda detaylıca açıklandığı üzere kişisel verileriniz depolanıp muhafaza edilebilecek, pazar araştırması, finansal ve operasyonel süreçler ile pazarlama faaliyetleri gereği sınıflandırılabilecek, değişik periyotlarda güncellenebilecek ve mevzuatın elverdiği ölçüde, yasalar çerçevesinde ve gizlilik esasları kapsamında hizmetin gerektirdiği 3. Kişiler ve/veya tedarikçiler ve/veya hizmet sağlayıcıları ve/veya bağlı bulunduğumuz yabancı hissedarlarımıza devredilebilecek, bağlı olduğumuz politikalar uyarınca ve diğer otoritelerce öngörülen nedenlerle bilgi aktarılabilecek, depolanabilecek, raporlamak suretiyle işlenebilecek elektronik veya kâğıt ortamında işleme dayanak olacak şekilde kayıt ve belge düzenlenebilecektir.

KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır.

Şirketimiz tarafından hazırlanan işbu Politika Arfesan Yönetim Kurulu tarafından alınan karar uyarınca yürürlüğe girmiştir.

Zaman içinde değişebilecek mevzuat hükümleri ve şirket politikalarımızda meydana gelebilecek değişiklikler sebebiyle bu Politika’da güncellemeler yapabileceğimizi hatırlatmak isteriz. Web sitemizde Politika’nın en güncel versiyonunu yayınlayacağız.

Kullanıcı/Kullanıcılar, web sitesine girmeden önce işbu Kişisel Verilerin Korunması Politikasını okuduklarını, burada belirtilen tüm hususlara uyacaklarını, web sitesinde yer alan içeriklerin ve Şirketimiz’ e ait tüm elektronik ortam ve bilgisayar kayıtlarının Hukuk Muhakemeleri Kanunu m. 193 uyarınca kesin delil sayılacağını gayrı kabili rücu olarak kabul, beyan ve taahhüt etmişlerdir.