Kişisel Veri Saklama ve İmha Politikası

İşbu Kişisel Veri Saklama ve İmha Politikası ("Politika"), Yusuf Ordu – MadeInAI tarafından yürütülen kişisel veri işleme faaliyetlerinde kişisel verilerin hukuka uygun şekilde saklanmasını, işleme amacı veya hukuki dayanağı ortadan kalktığında ise uygun yöntemlerle silinmesini, yok edilmesini veya anonim hâle getirilmesini sağlamak amacıyla hazırlanmıştır.

Politika; MadeInAI'ın veri sorumlusu olarak işlediği veriler ile müşteri kurumlar adına veri işleyen sıfatıyla gerçekleştirdiği işleme faaliyetleri arasındaki sorumluluk ayrımını da kapsar.

Politikanın uygulanmasında başta 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve yürürlükteki ilgili mevzuat dikkate alınır.

MadeInAI kişisel veri yaşam döngüsünü aşağıdaki temel prensipler doğrultusunda yönetir:

MadeInAI'ın Veri Sorumlusu Olduğu Veriler

MadeInAI internet sitesini ziyaret eden, doğrudan MadeInAI ile iletişim kuran, teklif veya demo talep eden kişiler ile MadeInAI'ın kendi müşteri ve ticari ilişkileri kapsamında işlenen kişisel veriler bakımından ilgili faaliyetin niteliğine göre MadeInAI veri sorumlusu olabilir.

MadeInAI'ın Veri İşleyen Olduğu Veriler

MadeInAI müşterisi olan klinik, hukuk bürosu, şirket veya diğer kurumların telefon hatları, iletişim sistemleri veya otomasyon altyapıları kapsamında işlenen müşteri, arayan veya diğer üçüncü kişilere ait veriler bakımından veri sorumlusu ilgili müşteri kurum olabilir.

Bu hâllerde MadeInAI; müşteri kurumun hukuka uygun talimatları ve taraflar arasındaki sözleşme kapsamında veri işleyen sıfatıyla hareket eder.

MadeInAI'ın iletişim, sesli sistem, otomasyon ve benzeri hizmetlerinin teknik olarak yürütülmesi sırasında ortaya çıkan operasyonel kişisel veriler için temel saklama süresi azami 30 gündür.

Bu kapsamdaki veriler, işleme amacının daha erken sona ermesi hâlinde 30 günlük azami süre beklenmeden de silinebilir, yok edilebilir veya anonim hâle getirilebilir.

30 günlük süre, verinin ilgili sistemde oluşturulduğu, kaydedildiği veya işleme amacı bakımından son kez gerekli olduğu tarihten itibaren ilgili teknik işleme göre hesaplanabilir.

Kişisel veriler bakımından uygulanacak genel saklama yaklaşımı aşağıdaki şekildedir.

MadeInAI tarafından teknik hizmet kapsamında işlenen ses kayıtları yalnız ilgili hizmetin yürütülmesi, görüşmenin teknik olarak işlenmesi, müşteri kurumun talep ettiği fonksiyonun gerçekleştirilmesi ve gerektiğinde sistemsel hata veya hizmet kalitesinin somut olay bazında incelenmesi amacıyla işlenebilir.

Ses kayıtları, kişisel veri işleme amacının sona ermesinden sonra arşiv veya veri havuzu oluşturmak amacıyla saklanmaz.

Hizmet sağlayıcı alt işleyenlerin teknik olarak verilere eriştiği veya bu verileri geçici olarak barındırdığı durumlarda, ilgili hizmet sözleşmeleri ve teknik imkanlar kapsamında aynı saklama ve imha yaklaşımının uygulanması hedeflenir.

MadeInAI'ın sunduğu dijital hizmetler kapsamında işlenen operasyonel kişisel veriler fiziksel kayıt ortamlarında tutulmaz.

Çağrı kayıtları, ses verileri, transkriptler, otomasyon verileri, iletişim kayıtları ve benzeri operasyonel veriler için basılı dosya, fiziksel arşiv, CD/DVD, taşınabilir fiziksel medya veya benzeri fiziksel kayıt sistemi oluşturulmaz.

Kişisel verilerin silinmesi; ilgili verilerin yetkili kullanıcılar bakımından erişilemez ve tekrar kullanılamaz hâle getirilmesini ifade eder.

Teknik altyapının yapısına göre silme işlemlerinde aşağıdaki yöntemlerden biri veya birkaçı uygulanabilir:

Yok etme; kişisel verinin hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesini amaçlayan imha yöntemidir.

Elektronik veri ortamlarında teknik olarak uygulanabilir olduğu ölçüde:

Bir verinin anonim kabul edilebilmesi için, söz konusu verinin başka verilerle eşleştirilmesi dâhil olmak üzere hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememesi gerekir.

Sadece ad-soyad veya telefon numarasının kaldırılmış olması, kalan veriler üzerinden kişinin tekrar belirlenebilmesi mümkünse tek başına anonimleştirme olarak kabul edilmez.

Anonimleştirme yapılması hâlinde teknik ve operasyonel ihtiyaca göre:

Bir verinin aktif sistemden silinmesi, teknik yedekleme mekanizmaları nedeniyle aynı verinin sınırlı bir süre boyunca yedek sistemlerde bulunmasına yol açabilir.

Böyle bir durumda ilgili veri aktif işlem amacıyla kullanılmaz ve olağan yedekleme döngüsü içerisinde devreden çıkarılır.

Ses, görüşme veya otomasyon hizmetlerinde kullanılan alt işleyen veya teknik hizmet sağlayıcıların sistemlerinde bulunan operasyonel verilerin de sözleşmesel ve teknik imkânlar çerçevesinde 30 günlük azami saklama politikasına uygun şekilde kaldırılması hedeflenir.

MadeInAI, yalnız mevzuatta tanınan azami periyodik imha sürelerine dayanmak yerine operasyonel veriler bakımından daha kısa bir yaşam döngüsü uygulamayı esas alır.

Sistem yapısının elverdiği ölçüde 30 günlük saklama sürelerinin teknik otomasyon, zamanlanmış görev, veri yaşam döngüsü kuralı veya benzeri mekanizmalarla uygulanması hedeflenir.

Otomatik işlemin başarısız olması, altyapı değişikliği veya teknik hata bulunması hâlinde ilgili verilerin ayrıca kontrol edilmesi ve imha işleminin tamamlanması sağlanır.

Gerçekleştirilen silme, yok etme veya anonimleştirme işlemleri mevzuatın gerektirdiği ölçüde kayıt altına alınır.

İmha kayıtlarında, gerekli olduğu ölçüde; imha tarihi, ilgili veri kategorisi, uygulanan imha yöntemi, işlemi gerçekleştiren sistem veya sorumlu birim ve işlemin sonucu gibi bilgiler tutulabilir.

Bu kayıtlar, imha edilen esas kişisel verinin yeniden oluşturulmasına yol açacak gereksiz içerikleri kapsamaz.

İmha işlemlerine ilişkin kayıtlar, yürürlükteki mevzuat kapsamında en az üç yıl süreyle saklanır.

Bir kişisel veri güvenliği olayında tarafların sorumluluğu, ilgili veri işleme faaliyetindeki veri sorumlusu ve veri işleyen sıfatlarına göre belirlenir.

MadeInAI Veri İşleyen Konumundaysa

Müşteri kurum adına işlenen kişisel veriler bakımından MadeInAI'ın bir kişisel veri ihlalini öğrenmesi hâlinde, müşteri veri sorumlusunun kendi hukuki yükümlülüklerini yerine getirebilmesi amacıyla olayın ilgili müşteri kuruma gecikmeksizin bildirilmesi esas alınır.

Müşteri Kurum Veri Sorumlusuysa

Müşteri kurum, KVKK kapsamında veri sorumlusu olduğu kişisel veri ihlalini öğrendiği tarihten itibaren, yürürlükteki Kurul kararlarında öngörülen şekilde gecikmeksizin ve en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna gerekli bildirimi yapmakla yükümlüdür.

İhlalden etkilenen ilgili kişilere yapılması gereken bildirimler de veri sorumlusu müşteri kurum tarafından olayın niteliğine ve yürürlükteki mevzuata göre yerine getirilir.

Bir veri ihlalinin gerçekleşmesi veya gerçekleştiğinden şüphe edilmesi hâlinde, imha ve saklama süreçleri olayın delillerinin korunması ve ihlalin sınırlandırılması ihtiyacıyla birlikte değerlendirilir.

Bir güvenlik olayının araştırılması için gerekli teknik olay kayıtları, olayın araştırılması veya hukuki yükümlülüklerin yerine getirilmesi amacıyla zorunlu olduğu ölçüde 30 günlük olağan operasyonel süreden farklı bir hukuki temelde geçici olarak muhafaza edilebilir.

MadeInAI'ın veri işleyen olduğu hizmetlerde müşteri kurumun veri sorumlusu sıfatıyla aşağıdaki yükümlülükleri yerine getirmesi beklenir:

İlgili kişiler, KVKK kapsamında şartların oluşması hâlinde kişisel verilerinin silinmesini veya yok edilmesini talep edebilir.

MadeInAI'ın veri sorumlusu olduğu süreçlerde başvurular KVKK'nın 13. maddesi ve ilgili başvuru mevzuatı kapsamında değerlendirilir.

MadeInAI'ın yalnız veri işleyen olduğu süreçlerde başvurunun asıl muhatabı ilgili müşteri veri sorumlusudur. Müşteri veri sorumlusu tarafından MadeInAI'a hukuka uygun bir silme veya imha talimatı iletilmesi hâlinde gerekli teknik işlem uygulanır.

Başvurular, uygulanabilir mevzuat kapsamında en geç 30 gün içerisinde sonuçlandırılır.

Bir kişisel verinin MadeInAI'ın kullandığı bir teknik hizmet sağlayıcı veya alt işleyen sisteminde bulunması hâlinde, uygulanabilir sözleşmesel ve teknik mekanizmalar kullanılarak ilgili verinin kaldırılması sağlanır veya kaldırılması talep edilir.

Ana sistemde gerçekleştirilen silme işleminin alt işleyen sistemindeki ilgili kopyalar bakımından da uygulanması için gerekli teknik süreçler yürütülür.

Alt işleyenin teknik yedeklerinde kalan veriler, ilgili sağlayıcının güvenli yedekleme ve silme döngüsü kapsamında devreden çıkarılır.

MadeInAI'ın hizmetin ifası sırasında eriştiği kişisel veriler, hizmet amacıyla bağdaşmayan ikincil amaçlarla işlenmez.

Özellikle müşteri kurumların görüşme, ses, transkript, telefon veya iletişim verileri:

30 günlük saklama politikası, MadeInAI'ın operasyonel hizmet verileri için benimsediği azami süreyi ifade eder.

Vergi mevzuatı, ticaret mevzuatı, muhasebe yükümlülükleri, uyuşmazlıklar, yetkili makam talepleri veya başka bir kanuni zorunluluk nedeniyle belirli verilerin daha uzun süre saklanması gerekiyorsa yalnız bu hukuki zorunluluk kapsamındaki gerekli veri, ilgili yasal süre boyunca muhafaza edilebilir.

MadeInAI genel iletişim, demo veya otomasyon hizmetlerini gereksiz özel nitelikli kişisel veri toplamak amacıyla tasarlamaz.

Müşteri kurumun faaliyetinin niteliği nedeniyle özel nitelikli kişisel verilerin teknik olarak işlenmesi söz konusu olduğunda, veri sorumlusu müşteri kurumun bu işleme faaliyeti için gerekli hukuki şartları ve güvenlik tedbirlerini sağlaması gerekir.

Bu tür veriler MadeInAI'ın eğitim veya model geliştirme faaliyetlerinin konusu yapılmaz ve ilgili hizmet için gerekli azami teknik sürenin ötesinde tutulmaz.

Bu Politika; kullanılan altyapının, saklama mekanizmalarının, alt işleyenlerin, hizmetlerin veya yürürlükteki mevzuatın değişmesi hâlinde gözden geçirilebilir ve güncellenebilir.

Saklama ve imha politikası ile teknik sistemlerdeki fiilî saklama sürelerinin uyumlu olması esastır. Teknik sistemlerde Politika'dan daha uzun bir süre tespit edilmesi hâlinde gerekli düzeltici işlem yapılır.

Yeni bir veri kategorisi veya yeni bir işleme faaliyeti oluşturulması hâlinde bu verinin saklama süresi ve imha yöntemi ayrıca değerlendirilir.

Saklama, silme, yok etme, anonimleştirme veya kişisel veri işleme faaliyetleriyle ilgili başvurular için MadeInAI ile aşağıdaki kanallar üzerinden iletişim kurulabilir.

İşbu Politika MadeInAI'ın kişisel veri saklama ve imha süreçlerine ilişkin kamuya açık temel esaslarını düzenler.

Politika, yayımlandığı yürürlük tarihinden itibaren uygulanır ve gerektiğinde yeni sürüm numarasıyla güncellenir.