KVKK Saklama ve İmha Politikası

İstanbul Ephesus Hotel Ephesus Otelcilik ve Turizm Anonim Şirketi KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI 1. POLİTİKANIN AMACI Hazırlanan işbu Kişisel Verileri Saklama ve İmha Politikası (‘‘Politika’’), 6698 sayılı Kişisel Verilerin Korunması Kanunu (‘‘KVKK’’ veya ‘‘Kanun’’) ve 28 Ekim 2017 tarihinde Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (‘‘Yönetmelik’’) başta olmak üzere ilgili mevzuat uyarınca yükümlülüklerimizi yerine getirmek ve veri sahiplerinin kişisel verilerinin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirilmesi amacıyla veri sorumlusu sıfatıyla Ephesus Otelcilik ve Turizm A.Ş. (“İstanbul Ephesus Hotel”, “Ephesus Hotel” veya kısaca “Şirket”) tarafından hazırlanmıştır. Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Şirket tarafından bu doğrultuda hazırlanmış olan Politikaya uygun gerçekleştirilir. 2. TANIMLAR VE AÇIKLAMALAR Ephesus Otelcilik ve Turizm A.Ş. tarafından hazırlanan ve kamuoyu ile paylaşılan Ephesus Hotel Kişisel Verileri Koruma Politikası’nda kişisel verilerin korunmasına dair temel kavram tanımları ve açıklamalara ulaşabilirsiniz. 3. SORUMLULUK İstanbul Ephesus Hotel tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir. 2 4. DÜZENLENEN KAYIT ORTAMLARI Şirket bünyesinde saklanan kişisel veriler, ilgili verinin niteliğine ve hukuki yükümlülüklere uygun bir şekilde aşağıdaki kayıt ortamlarında hassas bir şekilde muhafaza edilir. Elektronik ortamlar: Elektronik olmayan ortamlar: ● Kişisel bilgisayarlar (masaüstü, dizüstü), Şirket bilgisayarları (masaüstü, dizüstü) ● Ağ cihazları ● Mobil cihazlar ve içerisindeki saklama alanları (telefon, tablet vb.) ● Ağ üzerinde veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri ● Sunucular (e-posta, veri tabanı, web, dosya paylaşım, etki alanı, yedekleme,) ● Yazılımlar (ofis yazılımları, portal, vb.) ● Yazıcı, Fotoğraf makinesi, Kamera, Tarayıcı, Fotokopi makinesi ● Optik diskler (CD, DVD, vb.) ● Çıkartılabilir diskler (USB, hafıza kartı, vb.) ● Arşiv ● Birim dolapları ● Birim arşivi ● Muhasebe birimi ● Yazılı, basılı, görsel materyal ve ortamlar ● Manuel veri kayıt sistemleri (müşteri anket formları, ziyaretçi defteri, aday değerlendirme formları) 5. İLKELER İstanbul Ephesus Hotel tarafından kişisel verilerin saklanması ve imhasında aşağıda yer alan ilkeler çerçevesinde hareket edilmektedir: A. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde Kanun’un 4. maddesinde sayılan ilkeler ile 12. maddesi kapsamında alınması gereken ve işbu Politikada belirtilen teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve işbu Politikaya tamamen uygun hareket edilmektedir. B. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler İstanbul Ephesus Hotel tarafından kayıt altına alınmakta ve 3 söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 2 yıl süreyle saklanmaktadır. C. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca seçilmektedir. Ancak, İlgili Kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilecektir. D. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler İstanbul Ephesus Hotel tarafından resen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından İstanbul Ephesus Hotel’e başvurulması halinde; i) İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir, ii) Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir. 6. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR Şirket bünyesinde bulunan kişisel veriler, Şirketin hizmetlerinin sunulması, ticari faaliyetlerinin kesintisiz olarak sürdürülmesi, insan kaynakları süreçlerinin planlanması ve yürütülmesi, müşteri ilişkilerinin yürütülmesi, çalışan hak ve menfaatlerinin planlanması, tedarik ve iş ortağı süreçlerinin planlanması ve yürütülmesi, etkin iletişimin sağlanması, yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde hukuki yükümlülüklerin yerine getirilmesi, sektöre özgü yükümlülüklerin yerine getirilmesi, gerekli kalite ve standart denetim süreçlerinin yerine getirilmesi, kamu kurum ve kuruluşlarına bilgi verilmesi, kurumsal iletişimin sağlanması, güvenliğin sağlanması, istatistiksel çalışmaların yapılması, analiz çalışmalarının yapılması, raporlama çalışmalarının yapılması, imzalanan sözleşme ve protokollerin yüklediği edimlerin ifa edilmesi, mevzuatının gerektirdiği şartların yerine getirilmesi, ileride doğabilecek hukuki uyuşmazlıklarda delil olarak kullanılması veya ispat yükümlülüğünün yerine getirilmesi, yazılı, basılı ve elektronik dergi ve bülten çalışmalarının yapılması, eğitim süreçlerinin planlanması, arşiv süreçlerinin işletilmesi, tedarik zincirinin yürütülmesi amaçlarıyla aşağıda yer alan veri işleme şartları dahilinde İşbu Politikada belirtilen elektronik ya da elektronik olmayan ortamlarda güvenli ve hassas bir şekilde saklanır. Şirket bünyesinde bulunan kişisel veriler, aşağıda yer alan veri işleme şartlarının ortadan kalkması halinde resen veya ilgili kişinin talebi üzerine imha edilir. Bu şartlar şunlardır: 4 - Açık rızanın varlığı, - Yasal düzenleme varlığı (Mevzuatta açıkça belirtilmesi), - Fiili imkânsızlık nedeniyle açık rızanın alınamaması, - Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, - Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, - İlgili kişinin kişisel verisinin kendisi tarafından alenileştirilmiş olması, - Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, - İlgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması. Aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, İSTANBUL EPHESUS HOTEL tarafından re’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir: a. Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, b. Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması, c. İlgili kişinin, Kanun’un 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi, d. Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması. e. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması, f. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, g. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması, 5 7. SAKLAMANIN HUKUKİ SEBEPLERİ - 6698 sayılı Kişisel Verilerin Korunması Kanunu, - 6098 sayılı Türk Borçlar Kanunu, - 6102 sayılı Türk Ticaret Kanunu - 213 sayılı Vergi Usul Kanunu - 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, - 6361 sayılı İş Sağlığı ve Güvenliği Kanunu, - 4982 Sayılı Bilgi Edinme Kanunu, - 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun, - 4857 sayılı İş Kanunu, - 6502 Tüketicinin Korunması Hakkında Kanun, Şirketimiz bünyesinde toplanan kişisel veriler yukarıdaki kanunlar uyarınca ve bunlarla sınırlı olmamak üzere yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama amaçları ve saklama süreleri kadar saklanmaktadır 8. KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla 6698 sayılı KVKK’nın 12. maddesindeki ilkeler çerçevesinde, İSTANBUL EPHESUS HOTEL tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır: ✓ Ağ güvenliği ve uygulama güvenliği sağlanmaktadır. ✓ Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır. ✓ Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur. ✓ Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır. ✓ Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır. ✓ Gerektiğinde veri maskeleme önlemi uygulanmaktadır. ✓ Gizlilik taahhütnameleri yapılmaktadır. ✓ Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır. ✓ Güçlü şifre ve parola kullanımının yanı sıra, düzenli aralıklarla şifre ve parolaların değiştirilmesi sağlanır. ✓ Güncel anti-virüs sistemleri kullanılmaktadır. 6 ✓ Güvenlik duvarları kullanılmaktadır. ✓ İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir. ✓ Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir. ✓ Kişisel veri envanteri hazırlanmıştır. ✓ Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir. ✓ Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır. ✓ Kişisel veri güvenliğinin takibi yapılmaktadır. ✓ Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır. ✓ Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır. ✓ Kişisel veri içeren ortamların güvenliği sağlanmaktadır. ✓ Kişisel veriler mümkün olduğunca azaltılmaktadır. ✓ Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır. ✓ Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır. ✓ Mevcut risk ve tehditler belirlenmiştir. ✓ Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır. 9. KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER İSTANBUL EPHESUS HOTEL tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde İSTANBUL EPHESUS HOTEL tarafından re’sen yahut ilgili kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir. Kişisel verileri imha etmeye (silmeye, yok etmeye ve anonim hale getirmeye) yönelik Şirket bünyesinde bulunan uygulamalar aşağıdaki gibidir: Kişisel Verilerin Silinmesi ● Kâğıt ortamında bulunan kişisel veriler; karartma yöntemi (çizilerek/ boyanarak/ silinerek) kullanılarak silinmektedir. Karartma işlemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak ilgili kullanıcılara görünemez hale getirilmesi şeklinde yapılmaktadır. ● Uzman Tarafından Güvenli Olarak Silme: Bazı durumlarda kendisi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda 7 uzman olan kişi tarafından ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde güvenli olarak silinir. ● Yazılımdan Güvenli Olarak Silme: Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken; ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır. ● Merkezi sunucuda yer alan ofis dosyaları, dosyanın işletim sistemindeki silme komutu ile silinmesi veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması ile gerçekleştirilmektedir. ● Taşınabilir medyada bulunan kişisel veriler (örneğin flash tabanlı saklama ortamında bulunan veriler) ise şifreli olarak saklanmakta ve bu ortamlara uygun yazılımlar kullanılarak silinmektedir. ● Bulut sisteminde ilgili verilerin silme komutu verilerek silinmesi; merkezi sunucuda bulunan dosya veya dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması; veri tabanlarında ilgili satırların veri tabanı komutları ile silinmesi; veya taşınabilir medyada yani flash ortamında bulunan verilerin uygun yazılımlar kullanılarak silinmesi bu kapsamda sayılabilecektir. Ancak, kişisel verilerin silinmesi işlemi, diğer verilere de sistem içerisinde erişilememe ve bu verileri kullanamama sonucunu doğuracak ise, aşağıdaki koşulların sağlanması kaydıyla, kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek duruma getirilerek arşivlenmesi halinde de kişisel veriler silinmiş sayılacaktır. ● Veri tabanlarında bulunan kişisel veriler, ilgili satırların/sütunların ya da tablo içerisinde yer alan hücrelerin veri tabanı komutları ile (DELETE vb.) silinmektedir. Kişisel Verilerin Yok Edilmesi ● Yerel sistemler üzerindeki kişisel verilerin yok edilmesi; ‘de-manyetize’ etme (medyanın özel bir cihazdan geçirilerek yüksek bir değerde manyetik alana maruz bırakılması), fiziksel yok etme (Medya ve manyetik medyanın eritilmesi, yakılması, öğütücülerin kullanılması) ve üzerine yazma gibi yöntemlerle yok edilmektedir. ● Çevresel sistemler üzerindeki kişisel verilerin yok edilmesi; Ağ cihazları (switch, router vb.), Flash tabanlı ortamlar/sabit disklerin (ATA “SATA, PATA vb.”, SCSI “SCSI Express vb.), Manyetik bant, Manyetik disk gibi üniteler, Mobil telefonlar (Sim kart ve sabit hafıza alanları), Veri kayıt ortamı çıkartılabilir ya da sabit olan yazıcı ve parmak izli kapı geçiş sistemi gibi çevre birimler, Optik diskler olarak belirtebileceğimiz çevresel kayıt sistemleri dijital ortam ise ürün özelliği olarak destekleniyorsa gibi yok etme komutunu kullanmak, dijital ortamın ürün özelliği olarak desteklenmiyorsa üreticinin önerdiği yok etme yöntemini kullanmak ya da "de-manyetize etme, fiziksel yok etme, üzerine yazma” olarak belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak, son olarak dijital ortam değil ise "de-manyetize etme, fiziksel yok etme, üzerine yazma” yöntemlerin uygun bir ya da birkaçı kullanılmak suretiyle yok edilmesi gerekir. ● Fiziksel Yok Etme: Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi 8 sistemi uygulanmaktadır. Kâğıt ve mikrofiş ortamındaki verilerin yok edilmesi de, başka bir şekilde yok edilmeleri mümkün olmadığından bu şekilde gerçekleştirilmelidir. ● Üzerine Yazma: Üzerine yazma yöntemi, verinin okunabilmesi ve kurtarılabilmesini imkânsızlaştıran veri yok etme yöntemidir. ● Bulut ortamında bulunan kişisel veriler şifrelenerek saklanmakta ve imha süresi geldiğinde yok etme komutu uygulanmaktadır. Yukarıda sayılan durumların gerçekleşmesi sırasında İSTANBUL EPHESUS HOTEL; KVKK, Yönetmelik ve ilgili diğer mevzuat hükümlerine veri güvenliğinin sağlanması amacıyla tam uyum sağlamakta ve gerekli tüm idari ve teknik tedbirleri almaktadır. Kişisel Verilerin Anonim Hale Getirilmesi ● Maskeleme yöntemi ile veri sahibinin tanımlanmasını sağlayan temel belirleyici bilgiler (Örn: isim, soy-isim, TCKN) çıkartılarak anonimleştirme gerçekleştirilmektedir. ● Kayıttan çıkarma yönteminde veriler arasında tekillik ihtiva eden veri satırı kayıtlar arasından çıkaralar saklanan veriler anonim hale getirilmektedir. ● Bölgesel gizleme yönteminde ise tek bir verinin çok az görülebilir bir kombinasyon yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin gizlenmesi anonimleştirmeyi sağlamaktadır. ● Betimleyici nitelikteki verilerin çıkartılması yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanlar çıkarılarak mevcut veri seti anonim hale getirilmektedir. ● Toplulaştırma yöntemi ile kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek bir şekilde (Örn: 25 ile 30 yaş aralığındaki kişilerden gelen iş başvurusunun daha fazla olması) çıkartılarak anonimleştirme gerçekleştirilmektedir. ● Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler KVKK’nın 28. maddesi uyarınca, kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi durumunda bu durum Kanun kapsamı dışında kalacak ve açık rıza temini gerekmeyecektir. ● Veri Türetme yöntemi ile kişisel verilerin içeriğinden daha genel bir içerik oluşturularak ve kişisel verinin herhangi bir şekilde bir kişiyle bağdaştırılamayacak şekilde (örn: doğum tarihleri yerine yaş yazılması) anonim hale getirme gerçekleştirilmektedir. 9 10. SAKLAMA VE İMHA SÜRECİ VE SÜRELERE İLİŞKİN TABLO Şirket bünyesinde bulunan kişisel veriler; ilgili mevzuatta öngörülmesi durumunda bu mevzuatta belirtilen süre boyunca saklanmaktadır. Kişisel verilerin işlenme amacı sona ermiş, ilgili mevzuat ve şirketin belirlediği saklama süresinin de sonuna gelinmişse, kişisel veriler olası hukuki uyuşmazlıkların çözümlenmesi, yetkili kamu kurum ve kuruluşların hukuka uygun taleplerinin karşılanması veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi amacıyla saklanmaktadır. İstanbul Ephesus Hotel tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda sırasıyla belirtilen ölçütlerden yararlanılmaktadır: 1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır. 2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla; a. Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırmaya tabi tutulur. Özel nitelikte olduğu tespit edilen tüm kişisel veriler imha edilir. Söz konusu verilerin imhasında uygulanacak yöntem verinin niteliği ve saklanmasının İstanbul Ephesus Hotel nezdindeki önem derecesine göre belirlenir. b. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu örneğin; verinin saklanmasında İstanbul Ephesus Hotel’in meşru bir amacının olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir. c. Kişisel Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi ya da hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir. İstanbul Ephesus Hotel tarafından tespit edilen saklama, imha ve periyodik imha sürelerine, işbu Politika’nın devam eden kısmında yer alan ‘‘Saklama ve İmha Süreleri Belgesinden ulaşabilirsiniz. 10 Saklama süresi dolan kişisel veriler, devam eden bölümde yer alan Saklama ve İmha Süreleri belgesi çerçevesinde, 6 aylık periyodlarla işbu Politika’da yer verilen usullere uygun olarak imha edilir. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır. EK - KİŞİSEL VERİLERİN SAKLAMA VE İMHA SÜRELERİ : Veri Kategorisi Veri Saklama Süresi 1-Kimlik Kişisel Veri 10 Yıl 2-İletişim Kişisel Veri 10 Yıl 3-Özlük Kişisel Veri 10 Yıl 4-Hukuki İşlem Kişisel Veri 10 Yıl 5-Müşteri İşlem Kişisel Veri 10 Yıl 6-Fiziksel Mekân Güvenlik Kamerası kayıtları 30 gün 7-İşlem Güvenliği Kişisel Veri 2 Yıl 8-Finans Kişisel Veri 10 Yıl 9-Mesleki Deneyim Kişisel Veri 10 Yıl 10-Pazarlama Kişisel Veri 10 Yıl 11-Görsel Ve İşitsel Kayıtlar Kişisel Veri 10 Yıl 12-Sağlık Bilgileri Özel Nitelikli Kişisel Veri 15 Yıl 13-Ceza Mahkûmiyeti Ve Güvenlik Tedbirleri Özel Nitelikli Kişisel Veri 10 Yıl 14-Çalışan işlem bilgisi Kişisel Veri 10 Yıl 15-Aile bireyleri ve yakın bilgisi Kişisel Veri 10 Yıl 16-Cinsiyet Kişisel Veri 10 Yıl 17-Sigorta bilgisi Kişisel Veri 10 Yıl 11 Süreç (Faaliyet) Faaliyetin Yasal Dayanağı Silme Zamanı Saklamanın Yasal Dayanağı Yok Etme Zamanı Müşteri rezervasyon bilgilerinin alınması. 6098 TBK Rezervasyon sonucu sözleşme kurulmaz ise 1 yıllık sürenin sonunda; sözleşme kurulursa 10 yıllık sürenin sonunda ilgili kişisel veriler silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Müşteri kayıt bilgilerinin alınması. 6098 TBK Sözleşme tarihinden itibaren 10 yıllık sürenin sonunda ilgili kişisel veriler silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Toplantı, seminer, düğün ve diğer tüm organizasyonlar için katılım bilgilerinin tutulması 6098 TBK Etkinlik kayıt evraklarının oluşturulmasından itibaren 10 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Otel, konaklama ve organizasyon hizmetleri dışında Şirketin yaptığı diğer iş ve işlemlere dair kayıtların tutulması Genel hukuk kuralları ve ilgili mevzuat İş ve işlemin hukuki sonuç doğurması anından itibaren 10 yıllık sürenin sonunda ilgili dokümanlar silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Personel adayı değerlendirmesi/ Mülakat Genel hükümler Aday işe alınırsa özlük dosyasına aktarılır. Aday işe alınmazsa başvuru tarihinden itibaren 1 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Personelin özlük dosyası (özel sağlık sigortası bilgileri, zimmet formları, bordrolar, hak edişler, yan haklar ve edimler, iletişim bilgileri, disiplin kayıtları, eğitim-sertifikabeceri bilgileri, izinler, 4857 İK 6098 TBK Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK TBK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 12 puantajlar, bildirgeler, özgeçmiş bilgileri, transkript, hesap bilgileri, sürücü belgesi, oturma izni işlemleri, teşvikler, sınavlar, fotoğraf, çalışma belgesi, sosyal yardım ve sosyal izinler, kesintiler, ödemeler, kayıtlar, seyahatler, sigorta bilgileri, plaka, araç vb.) Adli sicil kayıtları 5352 sayılı Adli Sicil Kanunu’ndaki sürelere paralel bir şekilde güncelliği sorgulanır ve açık rızanın varlığı araştırılır. Personelin kimlik bilgileri ile işe giriş ve işten çıkış bilgilerinin tutulması 4857 İK 6098 TBK 6331 İSG Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK TBK İSG KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Personel ödeme/kesinti işlemleri (İş avansı, Prim, İkramiye, Ayni Yardımlar, Banka Promosyonları, BES, Kıdem, İhbar, İkale, İştirak, Harcırah ve Seyahat Ödemeleri gibi) 4857 İK 6098 TBK Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İşe giriş sağlık muayeneleri ve periyodik-poliklinik sağlık muayeneleri, istirahat raporları (çok tehlikeli işler grubu) 4857 İK 6098 TBK 6331 İSG Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İSG İK TBK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İşe giriş sağlık muayeneleri ve periyodik-poliklinik sağlık muayeneleri, istirahat raporları 4857 İK 6098 TBK 6331 İSG Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İSG İK TBK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 13 İş kazası tutanağı, acil durum kayıt formu, iş kazası muayenesi ve olay kayıtları, sonuç bildirimi (çok tehlikeli işler grubu) 6331 İSG Kazaya karışan kişi ile sözleşme varsa: Sözleşmenin sona ermesinden itibaren 20 yıllık sürenin sonunda silinir. Kazaya karışan kişi ile sözleşme yoksa: Kaza tarihinden itibaren 10 yıllık sürenin sonunda silinir. İSG KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İş kazası tutanağı, acil durum kayıt formu, iş kazası muayenesi ve olay kayıtları, sonuç bildirimi (çok tehlikeli işler grubu harici) 6331 İSG Kazaya karışan kişi ile sözleşme varsa: Sözleşmenin sona ermesinden itibaren 20 yıllık sürenin sonunda silinir. Kazaya karışan kişi ile sözleşme yoksa: Kaza tarihinden itibaren 10 yıllık sürenin sonunda silinir. İSG KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İş Sağlığı ve Güvenliği dahilinde gerçekleştirilen eğitim kayıtları (çok tehlikeli işler grubu) 4857 İK 6331 İSG Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK İSG KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İş Sağlığı ve Güvenliği dahilinde gerçekleştirilen eğitim kayıtları (çok tehlikeli işler grubu harici) 4857 İK 6331 İSG Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK İSG KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Aydınlatılmış Onam Formu 4857 İK 6098 TBK 6331 İSG Kişi ile sözleşme varsa: Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. Kişi ile sözleşme yoksa: Onam tarihinden İK İSG TBK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 14 itibaren 10 yıllık sürenin sonunda silinir. Sair çalışma alanları kontrol formları 6098 TBK Formun güncelliğini yitirmesiyle 10 yıl içinde silinir. TBK İK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Aşı, Pansuman ve Enjeksiyon Defteri, Poliklinik Defteri 6331 İSG Yeni deftere geçildiğinde arşive kaldırılır. Arşive kaldırıldıktan 15 yıl sonra silinir. İSG TBK İK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İş Sağlığı ve Güvenliği haricinde gerçekleştirilen eğitim kayıtları 4857 İK 4721 MK 6098 TBK Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. İK MK TBK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İSG Kurul toplantısı yapılması 6331 İSG Toplantı tarihinden itibaren 10 yıl süre sonra değerlendirilerek güncelliğini kaybedenler silinir. İSG Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 5237 sayılı Türk Ceza Kanunu kapsamında soruşturmayı gerektiren haller Ceza zamanaşımı süresi kadar saklanır, bu sürenin sonunda ilk periyodik imha işleminde yok edilir. Dava/icra/arabuluculuk dosyalarının tutulması 1136 AVK 7251 HMK 2004 İİK Dosyanın kesinleşmesinden itibaren 10 yıllık sürenin sonunda silinir. AVK HMK İİK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Ceza soruşturmasını gerektiren hususlarda ceza zamanaşımı süresinin bitimini 15 takip eden ilk periyodik imha işleminde yok edilir. Portal 6098 TBK 6102 TTK Otel faaliyetlerine ilişkin kullanılan (HOTELIA) otomasyondaki veriler 10 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Sürece yayılı olmayan hizmet – mal – ürün alımları 6098 TBK 6102 TTK Alım tarihinden itibaren 10 yıllık sürenin sonunda silinir. TBK TTK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Sürece yayılı olan hizmet – mal – ürün alımları (İhale/Teklif) 6098 TBK 6102 TTK İhale/Teklif sonucu olumlu ise sözleşmesel veya hukuki ilişkinin bitiminden itibaren 10 yıllık sürenin sonunda silinir. İhale/Teklif sonucu olumsuz ise ihale tarihinden itibaren 5 yıllık sürenin sonunda silinir. TBK TTK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Gelen – giden kargo teslim alan ve teslim eden - Sürecin bitiminden itibaren 1 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Gelen – giden arama kayıtları - Kayıtların tutulmasının ardından 1 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 16 Fihrist – telefon ve eposta adresleri (çalışan) 6098 TBK Sözleşmenin sona ermesinden itibaren 1 yıllık sürenin sonunda silinir. TBK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Kamera kayıtları - 30 günlük süreyle üzerine yazılır. KVKK İK TBK 30-45 günlük süreyle üzerine yazılır. Kendiliğinden imha edilmiş olur. Log kayıtları ve İnternet Trafik Bilgileri 6698 KVKK 5651 sayılı Kanun Kaydın alınmasından itibaren 5 yıllık sürenin sonunda silinir. KVKK Dijital veriler silme anıyla beraber; yok edilmeye müsait olan evraklar silme tarihinden itibaren ilk periyodik imha işleminde imha/yok edilir. Telefon ses kaydı - Kaydın alınmasından itibaren 1 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Denetim belgeleri 4721 MK 6102 TTK 213 VUK Ve sair kanun Denetimin türü, maiyeti, denetim sonucunda alınacak aksiyonlar gözetilir. Her halükârda denetim tarihinden itibaren 10 yıllık sürenin sonunda silinir. MK TTK VUK KVKK Ve sair kanun Saklanmasına lüzum görülmeyen belgeler silme tarihinde imha edilir. Saklanmasına lüzum görülen belgelere şirketin ihtiyacı ve güncellik gözetilerek imha süresi belirlenir. 17 Faturalar (Sürece yayılı işlemler) 213 VUK 6102 TTK Sürecin sonlanmasını takip eden 10 yıllık sürenin sonunda silinir. VUK TTK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Faturalar (Sürece yayılı olmayan işlemler) 213 VUK 6102 TTK Faturanın kesildiği yılı takip eden 10 yıllık sürenin sonunda silinir. VUK TTK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Tedarikçiler ile yürütülen süreç ve dokümanlar (Örn: tedarikçi ödemeleri, ödeme makbuzu, irsaliye, poliçe, mutabakat, hak ediş, icra yazıları, beyannameler, zeyilname, hizmet ve danışmanlık alımları, bildirgeler, formlar, imza sirküleri, mail order) 6098 TBK 213 VUK 6102 TTK Faturanın kesildiği yılı takip eden 10 yıllık sürenin sonunda silinir. TBK VUK TTK KVKK Tedarikçi ile sözleşmesel veya hukuki işlemin sona ermesinden itibaren 5 yılın sonunda imha edilir. Teminat mektubu/ Çek 6102 TTK İlişkinin bitiminden itibaren 10 yıllık sürenin sonunda silinir. TTK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. GSM giderleri/ Araç giderleri - İşlemin gerçekleştiği yılı takip eden 10 yılın sonunda silinir. TBK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Talep, şikâyet ve memnuniyet süreci (sözleşmeden kaynaklanan) 6098 TBK Talebin veya şikâyetin çözüme kavuşturulmasının ardından 10 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. 18 Talep, şikâyet ve memnuniyet süreci (sözleşmeden kaynaklanmayan) - Talebin veya şikâyetin çözüme kavuşturulmasının ardından 10 yıllık sürenin sonunda silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Acil durum planlamasının yapılması 6331 İSG Güncelliğinin yitirmesiyle 10 yıllık süre içinde silinir. KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. Düzenlenen veya katılım sağlanan kurumsal etkinliğin fotoğraflanması ve video oluşturulması 6698 KVKK Açık rıza aranmayan haller için silme zarureti yoktur. Açık rıza geri alınmadıkça silinmez. Ancak amaçla bağlı ve ölçülü bir şekilde kullanılması gerektiği için, farklı amaçlarla kullanılamaz. KVKK Açık rıza dahilinde gerçekleştirilen ve imhası mümkün olanlar için açık rızanın geri alınmasını takip eden ilk periyodik imha işleminde yok edilir. Cihaz (bilgisayar, mobil cihaz ve gsm hattı) zimmet formu 6098 TBK 4857 İK Sözleşmenin sona ermesinden itibaren 10 yıllık sürenin sonunda silinir. TBK İK KVKK Silme tarihinden itibaren ilk periyodik imha işleminde yok edilir. İmza sirküleri 6102 TTK ve sair kanun Güncellik ve duyulan ihtiyaca göre belirlenir. Güncelliğini yitiren belgeler 10 yıllık sürenin bitiminin ardından silinir. TTK ve sair kanun Güncellik ve duyulan ihtiyaca göre belirlenir. Güncel olmayan ve ihtiyaç duyulmayanlar yok edilir. İmha tutanağı 6698 KVKK İmhanın gerçekleştirilmesinden itibaren 5 yıllık sürenin sonunda silinir. KVKK Tüzel kişiliğin sona erme tarihinden itibaren 5 yıl sonra yok edilir. Gelen – giden evrak/ Şirket işleyişini ilgilendiren yazışmalarınevrakların takibi Evrakın niteliğine göre işbu tabloda yer alan süreler uygulanır. 19 E-posta içerikleri E-postalar 6 aylık periyotlar halinde gözden geçirilir. E-postada kişisel veri ihtiva eden belge ve kayıtlara bakılarak işbu tabloda yer alan süreler uygulanır. Tabloda belirtilmeyen hususlar İşbu tabloda belirtilmeyen süreçlere ait kişisel verilere yönelik saklama ve imha süreleri; kişisel veri ihtiva eden belge ve kayıtların saklanmak zorunda olduğu süre, faaliyet gösterilen sektörde teamül kabul edilen süreler, ilgili kişiler ile hukuki ilişkinin devam edeceği süre, hukuka ve dürüstlük kurallarına uygun olarak veri sorumlusunun meşru menfaatinin geçerli olacağı süre, kişisel verinin güncelliği gibi hususların göz önünde bulundurularak ve tablodan yararlanılarak belirlenir. Birimler bazında saklama ve imha sürecinin işletilmesi Saklama ve imha süreçleri işletilirken, ilgili birimden/birimlerden saklama ve imhaya konu kişisel veri veya kişisel veri ihtiva eden belge temin edilir. Saklama ve imha süreçleri ilgili birim/birimler ile koordineli bir şekilde işletilir. İmhanın ertelenmesi İşbu tabloda belirtilen saklama, silme, yok etme, anonim hale getirme zamanlarının sonuna gelindiğinde, saklama ve imhaya ilişkin değerlendirme yapılır. Değerlendirme sonucunda kişisel verinin (veya kişisel veri ihtiva eden belgenin) güncelliği, hukuki veya sözleşmesel ilişkinin ve yükümlülüklerinin devam etme durumu, kişisel veriye veya ilgili belgeye duyulan objektif ihtiyaç durumu değerlendirilerek saklama ve imha süreci işletilir veya makul bir süreye ertelenir. Bu işlem tutanak altına alınır. Tutanak, en az 3 yıl süre ile saklanır. AÇIK RIZANIN GERİ ALINMASI İlgili kişinin açık rızası ile işlenebilen kişisel veriler, ilgili kişinin açık rızasını geri alması söz konusu olduğunda imha edilir. 11. PERİYODİK İMHA SÜRELERİ Periyodik imhanın gerçekleşeceği işlem zaman aralıkları Şirket yetkililerince belirlenecektir. Ancak iki periyodik imha işleminin aralığı prensip olarak en fazla 6 ay olacaktır. Kişisel verilerin imha edilmesine ilişkin yükümlülüğün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel veriler silinecek, yok edilecek veya anonim hale getirilecektir. Silinen, yok edilen ve anonim hale getirilen verilere ilişkin işlemlerin bulunduğu tutanaklar diğer hukuki yükümlülükler hariç olmak üzere en az 3 yıl süre ile saklanır. 20 İlk Yayımlanma: Kasım 2025 Son Güncelleme: 29 Nisan 2026