KVKK Politikası

IC GAYRİMENKUL YATIRIM ORTAKLIĞI ANONİM ŞİRKETİ
İŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI

GİRİŞ

6698 Sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) 7 Nisan 2016 tarihinde yürürlüğe girmiş olup “kimliği belirli veya belirlenebilir” gerçek kişilere (“ilgili kişi”) ilişkin her türlü bilginin işlenmesine ilişkin düzenlemeleri içermektedir. IC Gayrimenkul Yatırım Ortaklığı Anonim Şirketi (“Şirket”) olarak Kanun gereği kişisel verilerin hukuka uygun olarak işlenmesi ve korunmasına azami önem veriyor, tüm planlama ile faaliyetlerimizde bu özenle hareket ediyoruz. Bu bilinçle Şirketimiz, kişisel verilerin korunması ve işlenmesi için tüm idari ve teknik tedbirleri almaktadır. Bu konunun en önemli ayağını ise işbu Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”) ile yönetilen; Çalışan Adayları’mızın, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşbirliği İçinde Olduğumuz Kurumların Çalışanları’nın, Hissedarları’nın, Yetkilileri’nin ve Üçüncü Kişi’lerin kişisel verilerinin korunması oluşturmaktadır.

Anayasa’nın 20. maddesine göre, herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bir Anayasal hak olan kişisel verilerin korunması konusunda Şirketimiz, işbu Politika ile yönetilen; Çalışan Adayları’nın, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçiler’inin, İşbirliği İçinde Olduğu Kurumların Çalışanları, Hissedarları, Yetkilileri’nin ve Üçüncü Kişi’lerin kişisel verilerinin korunmasına gerekli özeni göstermekte ve bunu bir şirket politikası haline getirmektedir.

İşbu Politika’da kişisel verilerin işlenmesinde Şirket olarak benimsediğimiz ve aşağıda sıralanan temel ilkelere ilişkin detaylı açıklamalarda bulunulacaktır:

Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme,
Kişisel verileri doğru ve gerektiğinde güncel tutma,
Kişisel verileri belirli, açık ve meşru amaçlar için işleme,
Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işleme,
Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme,
Kişisel veri sahiplerini aydınlatma ve bilgilendirme,
Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi kurma,
Kişisel verilerin muhafazasında gerekli tedbirleri alma,
Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılmasında, ilgili mevzuata ve Kişisel Verilerin Korunması Kurulu’nun (“Kurul”) düzenlemelerine uygun davranma,
Özel nitelikli kişisel verilerin işlenmesine ve korunmasına gerekli hassasiyeti gösterme.

1. Politika’nın Amacı

İşbu Politika’nın amacı, Şirketimizin Kişisel Veri İşleme ve İmha Politikası’nın (“Politika”) dayanağı olan başta Anayasa olmak üzere, Uluslararası Sözleşmeler, 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), 2016/679 sayılı Avrupa Birliği Veri Koruma Tüzüğü (General Data Protection Regulation) (“GDPR”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ve diğer ilgili yasal mevzuata uyacağı usul ve esaslar hakkında kişisel veri sahiplerini -Çalışan Adayları’mız, Şirket Hissedarları, Şirket Yetkilileri, Ziyaretçi’lerimiz, İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları, Yetkilileri ile Üçüncü Kişi’ler başta olmak üzere- bilgilendirmek ve Kanun’un amacına uygun olarak kişisel verilerin işlenmesi ve korunması ile işlenen kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin usul ve esasları belirlemek, başta Anayasa’nın 20. maddesinde düzenlenen özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini azami derecede korumaktır. Politika’nın amacı doğrultusunda, Şirketimiz tarafından gerçekleştirilen kişisel verilerin işlenmesi ve korunması faaliyetlerinde mevzuata tam uyumun sağlanması ile kişisel veri sahiplerinin özel hayat gizliliği ve veri güvenliği hakkının korunmasını hedeflemekteyiz.

2. Politika’nın Kapsamı

İşbu Politika; Çalışan Adayları’mızın, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşbirliği İçinde Olduğumuz Kurumların Çalışanları’nın, Hissedarları’nın, Yetkilileri’nin ve Üçüncü Kişi’lerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Bu doğrultuda yukarıda sayılan kişisel veri sahiplerine Politika hükümlerinin tamamı uygulanabileceği gibi yalnızca bir kısım hükümleri de uygulanabilecektir.

3. Politika’nın ve İlgili Mevzuatın Uygulanması

İşbu Politika, yürürlükte bulunan mevzuat ile ortaya konulan kuralların Şirketimizin uygulamaları kapsamında somutlaştırılıp düzenlenmesiyle oluşturulmuştur. Bu kapsamda kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir. Şirket olarak Kanun’da öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıkları yürütmekteyiz.

4. Politika’nın Yürürlüğü

Şirketimiz tarafından düzenlenerek yürürlüğe girmiştir. Politika Şirketimizin internet sitesinde https://www.icholding.com.tr/TR/gayrimenkul yayımlanır.

II. KİŞİSEL VERİLERİN KORUNMASI

Şirketimiz tarafından veri güvenliğini sağlamak adına Kanun’un 12. maddesi gereği aşağıda belirtilen tedbir ve önlemler alınmaktadır.

1. Güvenlik

Şirketimiz Kanun’a uygun olarak kişisel verilerin hukuka aykırı biçimde erişilmesini ve işlenmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

2. Denetim

Şirketimiz yukarıda açıklanan veri güvenliğinin tesisi ve alınan tedbirlerin düzenliliğini ve devamlılığını sağlamak amacıyla gerekli denetimleri yapar ve yaptırır. Bu kapsamda hem Şirket içerisinde IK, IT ve Hukuk birimlerinden birer katılımcı olacak şekilde bir ekip oluşturulmuş olup hem de dışarıdan destek alınmaktadır.

3. Gizlilik

Şirketimiz, ilgili veri sorumluları ve veri işleyenlerin, sahip oldukları kişisel verileri Kanun ve Politika hükümlerine aykırı olarak başkasına açıklamamaları ve işleme amacı dışında kullanmamaları için teknolojik imkân ve uygulama maliyetlerine göre gerekli tüm teknik ve idari tedbirleri almaktadır. Bu kapsamda Şirket çalışanlarımız ile Kanun ve Politika hakkında bilgilendirilme ve eğitim çalışmaları yapılmaktadır.

4. Kişisel Verilere Yetkisiz Erişim

Şirketimiz tarafından işlenen kişisel verilerin Kanun’a uygun olmayan yollarla başkaları tarafından elde edilmesi halinde, Şirketimiz bu durumu en kısa sürede ilgili kişine ve Kurul’a bildirilmesi için gerekli işlemleri yürütür. Kurul tarafından gerekli görülmesi halinde bu durum Kurul’un internet sitesinde ya da Kurul tarafından uygun görülecek başka bir yöntemle ilan edilebilir.

5. İlgili Kişilerin Yasal Haklarının Gözetilmesi

Şirketimiz, ilgili kişilerin Politika ve Kanun’un uygulanması ile ilgili tüm yasal haklarını gözetir ve bu haklarının korunması için gerekli tüm önlemleri alır.

6. Özel Nitelikli Kişisel Verilerin Korunması

Kanun’un 6. maddesine göre kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel veriler, işlenmeleri halinde sahipleri hakkında ayrımcılık yapılmasına veya mağduriyete neden olma riski taşıyan veriler olup diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir. Bu nedenle Şirketimiz tarafından bu tür verilerin alınmaması ana prensip olmakla birlikte, hukuka uygun olarak işlenen bu tür kişisel verilerin korunması için gerekli tüm tedbirler hassasiyetle alınır.

III. KİŞİSEL VERİLERİN İŞLENMESİ VE AKTARILMASI

1. Kişisel Verilerin İşlenmesinde Genel İlkeler

Şirketimiz tarafından kişisel veriler, Kanun’da ve bu Politika’da öngörülen usul ve esaslara uygun olarak işlenir. Şirketimiz kişisel verileri işlerken Kanun’un 4. maddesiyle düzenlenmiş olan aşağıdaki ilkelere uygun hareket eder.

a. Hukuka ve Dürüstlük Kurallarına Uygun Olma

Şirketimiz kişisel verileri, ilgili mevzuata ve dürüstlük kuralının gereklerine uygun olarak işler ve bu sınırlar içerisinde kullanır. Bu kapsamda Şirketimiz kişisel veri işlenirken ilgili kişinin çıkarları ile makul beklentilerini dikkate alır ve ilgili kişi için söz konusu veri işleme faaliyetinin şeffaf olmasına özen gösterir.

b. Doğru ve Gerektiğinde Güncel Olma

Şirketimiz, kişisel veri sahiplerinin temel haklarını ve meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlar. Bu kapsamda verilerin elde edildiği kaynakların belirli olması, doğruluğunun teyit edilmesi, güncellenmesi gerekip gerekmediğinin değerlendirilmesi gibi hususları özenle dikkate alır. Şirketimiz ilgili kişinin bilgilerinin doğru ve güncel olmasını temin edecek kanalları açık tutar.

c. Belirli, Açık ve Meşru Amaçlar İçin İşlenme

Şirketimiz, kişisel verileri meşru amaçlar doğrultusunda işler ve açık ve kesin olarak belirlenen veri işlenme amacını ilgili kişilerle paylaşır. Amacın meşru olması, Şirketimizin işlediği kişisel verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetlerle bağlantılı ve bunlar için gerekli olması anlamına gelir. İlgili kişilere yapılan aydınlatmalarda ve alınan açık rızalarda ilgili kişilerden alınan verilerin hangi amaçlarla işlendiği açık ve net olarak belirtilir.

d. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirketimiz, işlenen kişisel verilerin, belirlenen amaçların gerçekleştirilebilmesine elverişli olması ve söz konusu amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmemesi sağlanır. Bu kapsamda Şirketimiz tarafından sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işleme yoluna gidilmemektedir.

e. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme

Şirketimiz, ilgili mevzuatta verilerin saklanması için öngörülen bir süre bulunması halinde bu sürelere uyar; aksi durumda kişisel verileri, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza eder. Kişisel verilerin saklanma süresi Şirketimizce yürütülen iş veya hizmetin yahut elde edilen verinin niteliğine göre değişiklik göstermektedir. Şirketimiz tarafından bir kişisel verinin işlenme şartlarının tamamının ortadan kalkması durumunda, söz konusu verinin imha yükümlülüğünün ortaya çıktığı tarihi takip eden ilk 6 aylık periyodik imha döneminde imha edilir.

2. Kişisel Verilerin İşlenme Şartları

Kişisel veri sahibinin açık rıza vermesi, kişisel verilerin hukuka uygun olarak işlenmesini mümkün kılan hukuki dayanaklardan bir tanesidir. Açık rıza dışında, aşağıda yazan diğer şartlardan birinin varlığı durumunda da kişisel veriler işlenebilir. Kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı olabilir.

Açık Rıza

Kişisel veri sahibinin kişisel verileri, farklı bir şarta dayalı olarak işlenmediği durumlarda, açık rızaya dayalı olarak işlenmektedir. Kişisel veri sahipleri, işlenen kişisel verilerinin hangileri olduğu, kişisel verilerinin hangi amaçlarla ve hangi sebeplerle işlendiği, kişisel verilerinin hangi kaynaklardan toplandığı, bu kişisel verilerin kimlerle paylaşılacağı ve nasıl kullanılacağı hakkında bilgilendirilerek bu şekilde açık rızaları alınmaktadır.

a. Kanunlarda Açıkça Öngörülmesi

Şirketimiz kişisel veri sahiplerinin kişisel verilerini açık rızaları olmasa dahi kanunların açıkça öngördüğü hallerde işleyebilir. Örneğin Çalışanlarımız’ın kişisel verilerinin İş Hukuku mevzuatı uyarınca işlenmesi bu kapsamda değerlendirilecektir.

b. Fiili İmkânsızlık Nedeniyle Rızasını Açıklayamayacak Durumda Bulunan veya Rızasına Hukuki Geçerlilik Tanınmayan Kişinin Kendisinin ya da Bir Başkasının Hayatı veya Beden Bütünlüğünün Korunması için Zorunlu Olması

Şirketimiz tarafından ilgili kişinin içinde bulunduğu fiili imkânsızlık nedeniyle rızasını açıklayamadığı ya da açıklanan rızanın geçerli olmadığı hallerde, kişilerin hayatının veya beden bütünlüğünün korunması için kişisel veriler açık rıza olmadan işlenebilir. Örneğin kişinin şuurunun yerinde olmadığı veya akıl hastası olması sebebiyle rızasının geçerli olmadığı bir durumda, hayat veya beden bütünlüğünün korunması amacıyla, tıbbi müdahale yapılması sırasında ilgili kişinin kişisel verileri işlenebilecektir. Bu kapsamda hürriyeti kısıtlanan bir kişinin yerinin belirlenmesi amacıyla kendisinin taşımakta olduğu telefon, bilgisayar veya diğer teknik bir araç üzerinden kişisel verilerinin işlenmesi ilgili kişinin açık rızasına tabii değildir.

c. Bir Sözleşmenin Kurulması veya İfasıyla Doğrudan Doğruya İlgili Olması Kaydıyla, Sözleşmenin Taraflarına Ait Kişisel Verilerin İşlenmesinin Gerekli Olması

Şirketimiz tarafından bir sözleşmenin kurulması veya ifasıyla ilgili olarak kişisel veriler işlenebilecektir. Örneğin, yapılan bir sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap numarası alınabilecektir.

d. Şirketimizin Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması

Şirketimizin hukuki yükümlülüklerini yerine getirmesi için kişisel verilerin işlenmesi zorunlu ise, ilgili kişilerin açık rızası olmaksızın gerekli kişisel veriler Şirketimizce işlenebilecektir. Örneğin Şirketimiz tarafından vergi denetimi sırasında Çalışanlarımız’a veya Müşterilerimiz’e ait bilgiler ilgili kamu görevlilerinin incelemesine sunulabilecektir.

e. İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olması

Şirketimiz tarafından ilgili kişinin kendisi tarafından alenileştirilen, bir başka ifadeyle herhangi bir şekilde kamuoyuna açıklanmış olan ve böylece herkes tarafından bilinebilecek hale gelen kişisel verileri, bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabulüyle işlenebilir.

f. Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Veri İşlemenin Zorunlu Olması

Şirketimiz hukuken meşru bir hakkın kullanılması veya korunması için veri işlemenin zorunlu olduğu hallerde ilgili kişilerin kişisel verilerini açık rıza aramaksızın işleyebilir.

g. İlgili Kişinin Temel Hak ve Özgürlüklerine Zarar Vermemek Kaydıyla, Şirketimiz Tarafından Meşru Menfaatleri İçin Veri İşlenmesinin Zorunlu Olması

Şirketimiz, ilgili kişilerin Kanun ve Politika kapsamında korunan temel hak ve özgürlerine zarar vermemek kaydıyla meşru menfaatlerinin temini için kişisel verilerin işlenmesinin zorunlu olduğu durumlarda ilgili kişilerin kişisel verilerini işleyebilir. Şirketimiz, kişisel verilerin korunmasına ilişkin temel ilkelere uyulması ve Şirketimiz ile ilgili kişilerin menfaat dengesinin gözetilmesi konusunda gerekli hassasiyeti göstermektedir.

3. Özel Nitelikli Kişisel Verilerin İşlenme Şartları

Şirketimiz özel nitelikli kişisel verileri, gereklilik doğmadıkça ve ilgilinin açık rızası olmaksızın işlemez. Ancak sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilecektir. Sağlıkla ilgili kişisel veriler Şirketimiz tarafından ancak kamu sağlığının korunması, tıbbi teşhis ve tedavi ile bakım hizmetlerinin yürütülmesi ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunduğumuz koşullarda ilgili kişinin açık rızası aranmaksızın işlenir. Şirketimiz özel nitelikteki kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması konusunda gerekli işlemleri yürütmektedir.

4. Kişisel Verilerin Yurt Dışına Aktarılma Şartları

Şirketimiz kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemleri alarak ilgili kişilerin kişisel verilerini ve özel nitelikli kişisel verilerini yurt dışındaki üçüncü kişilere aktarabilir. Şirketimiz tarafından kişisel veriler; Kanun’un 9. maddesi ışığında Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere aktarılabilir.

IV. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ VE HUKUKİ SEBEBİ, SINIFLANDIRILMASI, İŞLENME VE AKTARILMA AMAÇLARI, KİMLERE AKTARILDIĞI

1. Kişisel Veri Toplamanın Yöntemi ve Hukuki Sebebi

Kişisel veriler; her türlü sözlü, yazılı, elektronik ortamda; teknik ve sair yöntemlerle, Şirketimiz internet sitesi gibi muhtelif yollarla, Politika’da yer verilen amaçların gerçekleştirilmesi amacıyla mevzuat, sözleşme, talep ve isteğe dayalı hukuki sebepler çerçevesinde kanunlardan doğan sorumlulukları eksiksiz ve doğru bir şekilde yerine getirilebilmesi için toplanır ve Şirketimiz veya Şirketimiz tarafından görevlendirilen veri işleyenler tarafından işlenir.

2. Kişisel Verilerin Sınıflandırılması

Kimlik Bilgisi: Kişinin kimliğine dair adı-soyadı, T.C. kimlik numarası, medeni durumu, uyruk bilgisi, anne-baba adı-soyadı, doğum yeri - tarihi, cinsiyeti ve sair kimlik bilgileri ve bu bilgileri içeren ehliyet, nüfus cüzdanı ve pasaport, tapu senedi ve sair belgeler ile vergi numarası, SGK numarası, imza bilgisi, taşıt plakası ve sair bilgiler.

İletişim Bilgisi: Telefon numarası (ev, iş, vs.), adres, e-posta adresi, faks numarası, IP adresi ve sair bilgiler.

İşlem Güvenliği Bilgisi: Şirketin faaliyetlerini yürütürken, gerek ilgili kişinin gerekse de Şirketin teknik, idari, hukuki ve ticari güvenliğine ilişkin işlenen kişisel veriler. Örneğin; internet kullanıcı adı ve şifresi.

Finansal Bilgi: Şirketin ilgili kişi ile kurmuş olduğu işçi - işveren ilişkisi uyarınca ortaya çıkan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, şube kodu, banka kart bilgileri, IBAN numarası, kredi kartı bilgisi, finansal profil, kredi notu, malvarlığı verisi, gelir bilgisi ve sair bilgiler.

Görsel ve İşitsel Bilgi: Fotoğraf ve kamera kayıtları, ses kayıtları ile bu verilerin bulunduğu yer aldığı herhangi tüm veriler ve sair bilgiler.

Özlük Bilgisi: İlgili kişi ile çalışma ilişkisi içerisinde olan gerçek kişilerin özlük haklarının korunmasına temel olacak bilgilerin elde edilmesine yönelik işlenen her türlü kişisel veriler.

Lokasyon Bilgisi: Şirket veya Şirketin grup şirketleri veya işbirliği içerisinde olunan şirket ve kurumların faaliyet ve operasyonları çerçevesinde ilgili kişi tarafından Şirket ve Şirket grup şirketleri araçları kullanırken ilgili kişinin bulunduğu yerin konumunu tespit eden bilgiler; seyahat verileri ve sair bilgiler.

Aile Bireyleri ve Yakın Bilgisi: Şirket veya Şirketin grup şirketleri veya işbirliği içerisinde olunan şirket ve kurumların faaliyet ve operasyonları çerçevesinde veya Şirketin ve ilgili kişinin hukuki ve diğer menfaatlerini korumak amacıyla ilgili kişinin aile bireyleri, (örn. eş, anne, baba, çocuk), yakınları ve acil durumlarda ulaşılabilecek diğer kişiler hakkında, yukarıda tanımlandığı şekilde, kimlik bilgileri ve iletişim bilgileri.

Fiziksel Mekân Güvenlik Bilgisi: Fiziksel mekâna girişte, fiziksel mekânın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları ve güvenlik noktasında alınan kayıtlar ve sair veriler.

Hukuki İşlem Bilgisi: Şirketin hukuki alacak ve haklarının tespiti, takibi ve borçlarının ifası ile kanuni yükümlülükleri kapsamında işlenen veriler.

Özel Nitelikli Kişisel Bilgi: Kanun’un 6.madddesi uyarınca belirtilen kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Talep/Şikâyet Yönetimi Bilgisi: Şirketimize yöneltilmiş olan talep veya şikâyetin alınması ve değerlendirilmesine ilişkin kişisel veriler.

3. Kişisel Verilerin İşlenme Amaçları

Şirketimiz kişisel verileri ilgili mevzuat hükümleri gereğince hizmetlerimizi sunabilmek ve bu hizmetlerin kalitesini artırabilmek, kamu otoritelerince öngörülen ve/veya istisna olarak sayılan faaliyetleri, Şirketin/Grup Şirketlerin faaliyetlerini yerine getirebilmek, bilgi saklama, raporlama, bilgilendirme yükümlülüklerine uymak, insan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması, ticari ortaklıklarımızın ve stratejilerimizin doğru olarak planlanması ve yürütülmesi, Şirketimizin ve iş ortaklarımızın hukuki, ticari ve fiziki güvenliğinin temini, Şirketimiz kurumsal işleyişinin sağlanması amacıyla kullanılacaktır. Ayrıca Şirketimizi ziyaret edebilmeniz, ziyaretinizle ilgili güvenlik ve meşru menfaatlerin korunabilmesi, Şirketimizin ürün ve hizmetlerinin sunulabilmesi, bu konuda aldığınız/alacağınız ürün ve hizmete ilişkin iletişim kurulabilmesi, ayrıca pazarlama faaliyetlerinde kullanılabilmesi, ürün/hizmet teklifi, modelleme, raporlama, skorlama, risk izleme, mevcut veya yeni ürün çalışmaları ve potansiyel müşteri tespiti gibi Şirketimizin faaliyet konuları ile ilgili hizmetleri sunabilmek ve bu hizmetlerin kalitesini artırabilmek ve diğer faaliyetlerini yerine getirebilmek, bilgilendirme yükümlülüklerine uymak ile Şirketimiz internet sitesinde sunulan hizmetlerin geliştirilmesi, Şirketimize talep ve şikâyetlerini iletenler ile iletişime geçilmesi, Şirketimiz internet sitesinde oluşan hataların giderilmesi amaçlarıyla sınırlı olarak Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları kapsamında işler.

4. Kişisel Verilerin Aktarılma Amaçları

Kişisel verileriniz, insan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması, ticari ortaklıklarımızın ve stratejilerimizin doğru olarak planlanması ve yürütülmesi, Şirketimizin ve iş ortaklarımızın hukuki, ticari ve fiziki güvenliğinin temini, Şirketimiz kurumsal işleyişinin sağlanması, Şirketimiz tarafından sunulan ürün ve hizmetlerden sizleri en iyi şekilde faydalandırmak için çalışmaların yapılması; Şirketimiz tarafından sunulan ürün ve hizmetlerin sizlerin talep, ihtiyaç ve isteklerinize göre özel hale getirilerek sizlere önerilmesi, veri güvenliğinin en üst düzeyde sağlanması, veri tabanlarının oluşturulması, Şirketimiz internet sitesinde sunulan hizmetlerin geliştirilmesi, Şirketimize talep ve şikâyetlerini iletenler ile iletişime geçilmesi, Şirketimiz internet sitesinde oluşan hataların giderilmesi amaçlarıyla sınırlı olarak Kanun’un 8. ve 9. maddelerinde belirtilen şartlar kapsamında aktarılır.

5. Kişisel Verilerin Aktarılacağı Kişiler

Kişisel verileriniz Şirketimiz tarafından; iş ortaklarımıza, tedarikçilerimize, grup şirketlerimize, iştiraklerimize, işbirliği içinde bulunduğumuz şirket ve kurumlara, akdi veya kanuni yükümlülüklerimizi yerine getirmek amacıyla dışarıdan hizmet aldığımız şirketlere (güvenlik, sağlık, iş güvenliği, hukuk vb. konularda), yetkili kurum ve kuruluşlara aktarılabilir. Bu kapsamda Şirketimiz kişisel verilerimizin aktarıldığı birimler arasında da kişisel verilerinizin aktarılmasının Kanun’a uygunluğunu en üst düzeyde gözetir.

V. KİŞİSEL VERİLERİN GÜVENLİĞİ İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER, KİŞİSEL VERİLERİN İMHA POLİTİKASI VE SAKLAMA SÜRELERİ

Teknik Tedbirler

Şirket, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, Kanun’un 12’nci maddesi ve yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile bu yönetmelik ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. Şirket tarafından kişisel verilerin güvenli ortamlarda saklanması için alınan başlıca teknik tedbirler aşağıda sıralanmaktadır:

Kişisel verilerin güvenli ortamlarda saklanması için teknolojik gelişmelere uygun sistemler kullanılmaktadır.
Teknik konularda uzman personel istihdam edilmektedir.
Saklanma alanlarına yönelik teknik güvenlik sistemleri kurulmakta, alınan teknik önlemler iç kontrol gereği ilgilisine raporlanmakta, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir.
Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programları kullanılmaktadır.
Kişisel verilerin bulunduğu veri depolama alanlarına erişimlerin loglanmasına ilişkin çalışmaların devam etmekte ve sistemin bazı kısımlarında loglama yapılmaktadır.
Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
Şirketin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
Kurum içerisinde erişim talimatları oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Şirket tarafından buna uygun bir sistem ve altyapı oluşturulmuştur.
Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
Kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtlarının loglanmasına ilişkin çalışmalar devam etmekte ve sistemin bazı kısımlarında loglama yapılmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması sağlanmaktadır.
Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.

İdari Tedbirler

Şirket tarafından kişisel verilerin güvenli ortamlarda saklanması için alınan başlıca idari tedbirler aşağıda sıralanmaktadır:

Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri ve ilgili diğer mevzuat hakkında eğitimler verilmektedir.
Şirket tarafından kişisel verilerin saklanması ve işlenmesi konusunda teknik gereklilikler sebebiyle dışarıdan bir hizmet alınması durumunda, kişisel verilerin hukuka uygun olarak aktarıldığı ilgili firmalar ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlanacağına ilişkin hükümlere yer verilmekte ve/veya bu kişiler ile Veri Aktarım Taahhütnameleri akdedilmektedir.
Şirket tarafından yürütülen faaliyetlere ilişkin çalışanlara gizlilik sözleşmeleri imzalatılmaktadır.
Kişisel veri işlemeye başlamadan önce Şirket, ilgili kişileri aydınlatma yükümlülüğünü yerine getirmektedir.
Kişisel veri işleme envanteri hazırlanmıştır.
Şirket içi periyodik ve rastgele denetimler yapılmaktadır.
Çalışanlara yönelik bilgi güvenliği eğitimleri verilmektedir.
Şirket’in yürütmekte olduğu tüm faaliyetler detaylı olarak tüm iş birimleri özelinde analiz edilerek, bu analiz neticesinde ilgili iş birimlerinin gerçekleştirmiş olduğu şirket faaliyetleri özelinde kişisel veri işleme faaliyetleri ortaya konulmaktadır.
Şirket departmanlarının yürütmekte olduğu kişisel veri işleme faaliyetleri, bu faaliyetlerin Kanun’un aradığı kişisel veri işleme şartlarına uygunluğun sağlanması için yerine getirilecek olan gereklilikler her bir iş birimi ve yürütmekte olduğu detay faaliyet özelinde belirlenmektedir.
Bölüm bazında belirlenen hukuksal uyum gerekliliklerinin sağlanması için ilgili iş birimleri özelinde farkındalık yaratılmakta ve uygulama kuralları belirlenmekte; bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler şirket içi politikalar ve eğitimler yoluyla hayata geçirilmektedir.
Şirket ile çalışanlar arasındaki hukuki ilişkiyi yöneten sözleşme ve belgelere, Şirket’in politikaları, prosedürleri, iş talimatları ve kanunla getirilen istisnalar dışında, kişisel verileri işlememe, ifşa etmeme ve kullanmama yükümlülüğü getiren kayıtlar konulmakta ve bu konuda çalışanların farkındalığı yaratılmakta ve denetimler yürütülmektedir.

1. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi

Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklı kalmak kaydı ile Şirketimiz, 5237 sayılı Türk Ceza Kanunu’nun 138. maddesinde, Kanun’un 7. maddesinde ve 28.10.2017 tarihli Resmi Gazete’de Yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hükümlerinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verileri resen veya ilgili kişinin talebi üzerine siler, yok eder veya anonim hale getirir.

Öte yandan Yönetmelik’in ‘İlkeler’ başlıklı 7. Maddesi uyarınca kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi ile ilgili yapılan bütün işlemler Şirketimiz tarafından kayıt altına alınır ve söz konusu kayıtlar diğer hukuki yükümlülüklerimiz saklı kalmak kaydıyla en az 3 yıl boyunca saklanır.

Kişisel verilerin silinmesi ile bu veriler ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Buna göre veri sorumlusu olarak Şirketimiz, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli her türlü teknik ve idari tedbirleri almaktadır.

Verilerin yok edilmesi ise , bilgilerin tekrar geri getirilemeyecek ve kullanılamayacak şekilde, verilerin kaydedildiği evrak, dosya, CD, disket, hard disk gibi veri saklamaya elverişli materyallerin imha edilmesini ifade etmektedir.

Verilerin anonim hale getirilmesiyle , kişisel verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi kastedilmektedir.

2. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Teknikleri

a. Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri

Şirketimiz ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin tamamen ortadan kalkması halinde kendi kararına istinaden veya ilgili kişinin talebi üzerine kişisel verileri silebilir veya yok edebilir.

Şirketimiz silme ve yok etme işlemleri için aşağıdaki yöntemleri kullanabilir:

Fiziksel Olarak Yok Etme (Physical Destruction): Kişisel veriler Şirketimizce herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler yok edilirken ilgili kişisel verinin hiç kimse tarafından sonradan erişilemeyecek, kullanılamayacak ve geri getirilemeyecek biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

Uzman Tarafından Güvenli Olarak Yok Etme (Sending to a Specialist for Secure Deletion): Şirketimiz bazı durumlarda kendisi adına kişisel verileri yok etmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından güvenli olarak yok edilebilir.

b. Kişisel Verileri Anonim Hale Getirme Teknikleri

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kanun’unun 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler Kanun kapsamının dışında olup, ilgili kişinin açık rızası aranmayacaktır, Kurum tarafından belirtilen anonimleştirme teknikleri kullanılabilecektir.

3. Kişisel Verilerin Saklanma ve Periyodik İmha Süreleri

Şirketimiz, kişisel verileri kanunlarda ve sair mevzuatta öngörülen süreler uyarınca saklamaktadır. Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin kanunlarda ve sair mevzuatta bir süre düzenlemesi bulunmuyorsa, kişisel veriler Şirketimizin o kişisel veriyi işlediği zaman yürütülen faaliyet kapsamında kişisel veriyi işleme amacının gerçekleşmesine kadar süre boyunca işlenmektedir. Bu veriler imha yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha tarihi ve işleminde silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Şirketimiz, işleme amacı sona ermiş kişisel verileri imha etmek amacıyla 15-30 Ocak ve 15-30 Haziran tarihlerini periyodik imha tarihleri olarak belirlemiştir. Bu tarihlerde, işlenmesini gerektiren sebepleri ortadan kalkan kişisel veriler otomatik, yarı otomatik veya manuel olarak imha edilecektir.

VI. KİŞİSEL VERİLERİN İŞLENMESİ BAKIMINDAN AYDINLATMA VE İLGİLİ KİŞİNİN KANUNDA YER ALAN HAKLARI

1. İlgili Kişinin Aydınlatılması

Şirketimiz, Kanun’unun 10. maddesine ve 10.03.2018 tarihli Resmi Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini –ilgileri kişileri- aydınlatmaktadır. Bu kapsamda yukarıda da ifade edildiği üzere varsa, Şirket temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin sahip olduğu hakları konusunda aydınlatma yapmaktadır.

2. İlgili Kişinin Kanunda Yer Alan Hakları

Şirketimiz, Kanun’un 11.maddesi ile 10.03.2018 tarihli Resmi Gazete’de yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümleri uyarınca size haklarınızı bildirmekte; söz konusu hakların nasıl kullanılacağına dair yol göstermekte ve tüm bunlar için gerekli iç işleyişi, idari ve teknik düzenlemeleri gerçekleştirmektedir. Şirketimiz, Kanun’un 11.maddesi uyarınca ilgili kişilere;

Kişisel veri işlenip işlenmediğini öğrenme,
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
Kanun’un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
Kanun’un 11. maddesinin (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarının olduğunu açıklar.

Kanun’un uygulanmasıyla ilgili taleplerinizi https://www.icholding.com.tr/TR/gayrimenkul adresinden ulaşabileceğiniz Kişisel Verilerin Korunması Kanunu İlgili Kişi Başvuru Formu’nu kullanarak başvuru formunda açıklanan yöntemlerle iletebilecektir. Şirketimiz, Kanun’un 13/2. maddesi gereğince kendisine iletilen talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak söz konusu işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurul tarafından belirlenen tarifedeki ücret alınabilir.

Şirketimiz, talebinizi kabul edebileceği gibi gerekçesini açıklayarak reddedebilir; cevabını yazılı olarak veya elektronik ortamda bildirir. Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunmanız veya başvurunuza süresi içerisinde cevap verilmemesi hallerinde; cevabımızı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunma hakkına sahipsiniz.

VII. POLİTİKA VE KANUNUN TAMAMEN VEYA KISMEN UYGULANMAYACAĞI HALLER

Bu Politika ve Kanun hükümleri Kanun’un 28/1. maddesi gereğince aşağıdaki hâllerde uygulanmayacaktır:

Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

Bu Politika’nın ve Kanun’un amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10., zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11. ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. maddeleri, Kanun’un 28/2. maddesi gereğince aşağıdaki hâllerde uygulanmayacaktır:

Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

VIII. İLGİLİ KİŞİLERİN SINIFLANDIRILMASI VE KİŞİSEL VERİLER İLE EŞLEŞTİRİLMESİ

1. İlgili Kişilerin Sınıflandırılması

Bu Politika ve Kanun’un koruması kapsamından, Kanun’un 3. maddesi gereğince sadece gerçek kişiler faydalanabilmektedir; bu kapsamda ilgili kişiler aşağıdaki şekilde gruplandırılmıştır:

Çalışan Adayı: Şirketimize herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini şirketimizin incelemesine açmış olan gerçek kişilerdir.

Grup Şirket Müşterisi: IC Gayrimenkul Yatırım Ortaklığı A.Ş. üzerinden kişisel verileri elde edilen kişilerdir.

Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı: Şirketimizin her türlü iş ilişkisi içerisinde bulunduğu gerçek kişiler ile Şirketimizin her türlü iş ilişkisi içerisinde bulunduğu gerçek ve tüzel kişilerde (iş ortağı, tedarikçi gibi) çalışan, hissedarları ve yetkilileri dâhil olmak üzere, tüm gerçek kişilerdir.

Şirket Müşterisi: Şirketimizle herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Şirketimizin sunmuş olduğu ürün ve hizmetleri kullanan veya kullanmış olan gerçek kişilerdir.

Potansiyel Müşteri: Ürün ve hizmetlerimizi kullanma talebinde veya ilgisinde bulunmuş veya bu ilgiye sahip olabileceği ticari teamül ve dürüstlük kurallarına uygun olarak değerlendirilmiş gerçek kişilerdir.

Şirket Çalışanı: IC Gayrimenkul Yatırım Ortaklığı A.Ş. ve bağlı şirketler bünyesinde çalışan gerçek kişilerdir.

Şirket Hissedarı: IC Gayrimenkul Yatırım Ortaklığı A.Ş. ve bağlı şirketlerin hissedarı olan kişilerdir.

Şirket Yetkilisi: IC Gayrimenkul Yatırım Ortaklığı A.Ş. ve bağlı şirketlerin yönetim kurulu üyesi ve diğer yetkili kişilerdir.

Üçüncü Kişi: Şirket Çalışanları için hazırlanan IC Gayrimenkul Yatırım Ortaklığı A.Ş. Politikası kapsamına girmeyen ve bu Politika’da herhangi bir ilgili kişi kategorisine girmeyen diğer kişilerdir.

Ziyaretçi: Şirketimizin sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan veya internet sitelerimizi herhangi bir amaç ile ziyaret eden tüm gerçek kişilerdir.

2. Kişisel Veriler ile İlgili Kişilerin Eşleştirilmesi, Veri Sorumlusu ve Veri İşleyenler

Yukarıda tanım ve kapsamları verilen sınıflandırılmış kişisel verilerin, sınıflandırılmış kişisel veri sahipleri ile eşleştirmesi aşağıda sunulmaktadır.

Veri Kategorileri	Veri İçeriği	İlgili Kişi
Kimlik bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Ehliyet, Nüfus Cüzdanı, İkametgâh, Pasaport, Avukatlık Kimliği, Evlilik Cüzdanı gibi dokümanlarda yer alan tüm bilgiler	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
İletişim bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; telefon numarası, adres, e-mail gibi bilgiler	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
Müşteri bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; ticari faaliyetlerimiz ve bu çerçevede iş birimlerimizin yürüttüğü operasyonlar neticesinde müşterinin yetkilisi veya çalışanı ilgili kişi hakkında elde edilen bilgiler (müşteri numarası vb)	Potansiyel Müşteri, Müşteri, Ziyaretçi, Üçüncü Kişiler.
Müşteri işlem bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ürün ve hizmetlerimizin kullanımına yönelik kayıtlar ile müşterinin ürün ve hizmetleri kullanımı için gerekli olan talimatları ve talepleri gibi bilgiler	Potansiyel Müşteri, Müşteri, Ziyaretçi, Üçüncü Kişiler.
Fiziksel mekân güvenlik bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; fiziksel mekâna girişte, fiziksel mekânın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler (giriş çıkış logları, ziyaret bilgileri vb)	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
İşlem güvenliği bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ticari faaliyetlerimizi yürütürken teknik, idari, hukuki ve ticari yükümlülüklerin gerçekleştirilmesinin temini amaçları için işlenen kişisel verileriniz (internet sitesi şifre ve parola bilgileri gibi)	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
Risk yönetimi bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ticari, teknik ve idari risklerimizi yönetebilmemiz için bu alanlarda genel kabul görmüş hukuki, ticari teamül ve dürüstlük kuralına uygun olarak kullanılan yöntemler vasıtasıyla işlenilen kişisel veriler	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
Finansal bilgi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Müşterinin her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin Müşterinin yetkilisi veya çalışanının kişisel verileri	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.
Özlük Bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Şirket ile çalışma ilişkisi içerisinde olan gerçek kişilerin özlük haklarının oluşmasına temel olacak bilgilerin elde edilmesine yönelik işlenen her türlü kişisel veri	Şirket İş Ortağı, İş Ortaklarının Yetkilisi, Çalışanı; Çalışan Adayı, Üçüncü Kişiler.
Lokasyon Bilgisi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; ilgili kişinin Şirket iş birimleri tarafından yürütülen operasyonlar çerçevesinde Şirketin ürün ve hizmetlerinin kullanımı sırasında veya iş birliği içerisinde olduğumuz kurumların çalışanlarının Şirket araçlarını kullanırken bulunduğu yerin konumunu tespit eden bilgiler (GPS lokasyonu, seyahat verileri vb)	Şirket Hissedarları, Yetkilileri, Çalışanları, İş Ortakları, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı
Özel Nitelikli Kişisel Bilgi	Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini içerir bilgiler	Şirket Hissedarı; Şirket Yetkilisi; Şirket Müşterisi; Grup Şirket Müşterisi; Potansiyel Müşteri; Şirket İş Ortağı, İş Ortaklarının Hissedarı, Yetkilisi, Çalışanı; Çalışan Adayı; Ziyaretçi, Üçüncü Kişiler.

Yönetmelik’in 6. maddesi gereğince Şirketimizde kişisel verileri saklama ve imha süreçlerinde yer alanların unvanlarına, birimlerine ve KVK Kanunu kapsamındaki görev tanımlarına yer verilmiştir.

Veri İşleyen Birimler	Görev Tanımları
İnsan Kaynakları Birimi /Personel Müdürlüğü	Çalışan Adayları’yla görüşme yapılması, Şirket çalışanları ile yapılan iş sözleşmeleri ve Çalışan’ların özlük dosyalarının saklanması, Şirket içi personel yönetmeliğinin hazırlanması ve Çalışan’lara verilmesi,
Satın Alma Birimi	Şirket tarafından ihtiyaç duyulan ürünlerin ve hizmetlerin Şirket’in hedefleri doğrultusunda satın alınması.
Hukuk Birimi	Şirket iş ve işleyişinin gerektirdiği hukuki alt yapının temin edilmesi, Şirketi ilgilendiren hukuki uyuşmazlıklara ilişkin işlemlerin yürütülmesi,
Bilişim Teknolojileri Birimi	Şirket’te kullanılan cihazların güvenliği için gerekli önlemlerin alınması, Kullanılan cihazların ve özellikle yazılımların bakım ve onarım işlerinin yürütülmesi, Kullanılan cihaz, yazılım ve veri tabanlarına uzaktan erişim yetkilendirmelerinin yapılması, Cihaz, yazılım ve veri tabanlarının bakım, güncelleme, entegrasyon ve onarımı için yapılan sözleşmeler kapsamında yüklenicilere bu cihaz, yazılım ve veri tabanlarına erişim sağlamak, yönetmek, kontrol ve denetimin sağlanması, VPN yönlendirme ve yetkilendirmelerinin yapılması, Elektronik cihazlara müdahale edilmesi.
Finans ve Mali İşler Birimi	Çalışanların özlük hakları kapsamında bilinmesi gereken maaş bilgilerinin ve ödeme bilgilerinin kaydedilmesi, Şirket’in faaliyetleri için yapılan harcama bilgilerinin kaydedilmesi.