| Doküman kodu | PPT-01 |
|---|---|
| Sürüm | 01 |
| Tarih | 2026-06-08 |
Giriş
Kişisel verilerin korunması, Anayasa ve 6698 sayılı Kanun kapsamında temel hak ve özgürlüklerin korunmasına ilişkin bir uyum alanıdır. Boztaş; Bozkurt Belediyesi ile yürütülen personel temini faaliyetleri, cafe işletmeciliği, çalışan/aday süreçleri, ziyaretçi ve kamera kayıtları, mali müşavirlik/Luca/e-belge, İSG/işyeri hekimi, Gmail ve WhatsApp kullanımı ile belediye internet altyapısı üzerinden oluşan kişisel veri işleme faaliyetlerini hukuka uygun, ölçülü ve denetlenebilir şekilde yürütmeyi taahhüt eder.
Bu politika, örnek politika/prosedür setindeki sistematik esas alınarak; amaç, kapsam, tanımlar, sorumlular, ilgili kişi grupları, lokasyon/sistem sınırları, veri kategorileri, işleme kuralları, aydınlatma, aktarım, saklama, teknik/idari tedbirler, imha, denetim ve eğitim başlıklarını Boztaş süreçlerine uyarlamak üzere hazırlanmıştır.
Amaç, Kapsam ve Yürürlük
Amaç
Bu politikanın amacı, Boztaş tarafından yürütülen kişisel veri işleme ve muhafaza faaliyetleri için temel esasları belirlemek; veri işleme envanteri, aydınlatma metinleri, açık rıza/onay metinleri, saklama-imha planı, veri ihlali müdahale süreçleri ve veri güvenliği tedbirleri arasında bütünlük sağlamaktır.
Kapsam
Politika; çalışanlar, çalışan adayları, eski çalışanlar, çalışan aile üyeleri ve acil durum kişileri, belediye sahasında görevlendirilen personel, cafe müşterileri, ziyaretçiler, belediye temsilcileri, tedarikçi ve hizmet sağlayıcı çalışan/yetkilileri, mali müşavir, OSGB/işyeri hekimi, bankalar, hukuk danışmanları, denetçiler ve kişisel verisi Boztaş tarafından işlenen diğer üçüncü kişilere uygulanır.
Yürürlük
Bu politika 08.06.2026 tarihinde yürürlüğe girer. Mevzuat değişiklikleri, Boztaş süreçleri, belediye ile yürütülen hizmet yapısı, veri envanteri, aydınlatma metinleri veya teknik altyapıdaki değişiklikler doğrultusunda güncellenir.
Tanım ve Kısaltmalar
| KAVRAM | AÇIKLAMA |
|---|---|
| Kanun | 6698 sayılı Kişisel Verilerin Korunması Kanunu. |
| Kurul | Kişisel Verileri Koruma Kurulu. |
| Kurum | Kişisel Verileri Koruma Kurumu. |
| Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. |
| Özel Nitelikli Kişisel Veri | Kanun’un 6. maddesinde sayılan sağlık, ceza mahkumiyeti ve güvenlik tedbirleri, biyometrik/genetik veri ve diğer özel nitelikli veri kategorileri. |
| Veri Sorumlusu | Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi. |
| Veri İşleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi. |
| İlgili Kişi | Kişisel verisi işlenen gerçek kişi. |
| İlgili Kullanıcı | Verilerin teknik depolanması, korunması ve yedeklenmesinden sorumlu kişi hariç olmak üzere, görev ve yetki kapsamında kişisel veriye erişen kişi. |
| Açık Rıza | Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. |
| İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi. |
| VERBİS | Veri Sorumluları Sicili Bilgi Sistemi. |
| OSGB | İş sağlığı ve güvenliği hizmetlerinin yürütülmesi için hizmet alınan ortak sağlık ve güvenlik birimi. |
| Luca / e-Belge | Muhasebe, e-fatura, e-arşiv ve mali kayıt süreçlerinde kullanılan elektronik hizmet sağlayıcı altyapı ve uygulamaları. |
| Sorumlular ve İlgili Kişi Grupları | |
| SORUMLU | GÖREV VE SORUMLULUK |
| Şirket yönetimi | KVKK uyum yapısının kurulması, kaynak ayrılması, sorumluların görevlendirilmesi, politika/prosedürlerin onaylanması ve uygulanmasının izlenmesinden sorumludur. |
| KVKK koordinatörü / görevlendirilen sorumlu | Envanter, aydınlatma, açık rıza, saklama-imha, ilgili kişi başvurusu, ihlal ve eğitim süreçlerini koordine eder; kayıtların tutulmasını sağlar. |
| İnsan kaynakları / personel işleri | Personel temini, özlük, bordro, puantaj, görevlendirme, izin, disiplin ve çalışan iletişim süreçlerinde veri minimizasyonu ve gizlilik kurallarına uyar. |
| Cafe işletme sorumlusu | Cafe müşteri/ziyaretçi, ödeme, fiş/fatura talebi, kamera alanı ve günlük operasyon süreçlerinde yalnızca gerekli verilerin işlenmesini sağlar. |
| Belediye BT ekibiyle irtibat sorumlusu | Boztaş’ın ayrı bir BT birimi bulunmadığı durumlarda belediye internet/altyapı desteği nedeniyle oluşabilecek erişim, log, bakım ve destek süreçlerinin yetki-gizlilik sınırlarını takip eder. |
| Mali müşavir / Luca / e-belge hizmet sağlayıcıları | Muhasebe, beyanname, bordro, fatura ve e-belge süreçlerinde kendilerine aktarılan verileri sözleşme, gizlilik ve veri güvenliği yükümlülüklerine uygun işler. |
| OSGB, işyeri hekimi ve İSG uzmanı | Sağlık ve İSG verilerini sır saklama yükümlülüğü ve ilgili mevzuat kapsamında işler; Boztaş’a yalnızca gerekli uygunluk/rapor/bildirim bilgilerini sağlar. |
| Tüm çalışanlar ve görevlendirilen personel | Bilmesi gereken prensibi, gizlilik, belge paylaşımı, WhatsApp/e-posta kullanım kuralları ve yetki sınırlarına uymakla yükümlüdür. |
İlgili kişi grupları; çalışanlar, çalışan adayları, eski çalışanlar, çalışan aile bireyleri/acil durum kişileri, belediye sahasında görevlendirilen personel, cafe müşterileri, ziyaretçiler, tedarikçi/hizmet sağlayıcı yetkilileri ve çalışanları, belediye temsilcileri, kamu kurumu temsilcileri ve kişisel verisi Boztaş tarafından işlenen diğer üçüncü kişilerden oluşur.
Lokasyon, Sistem ve Kayıt Ortamı Sınırları
Bu doküman Boztaş’ın şirket merkezi, Bozkurt Belediyesi ile yürütülen hizmet sahaları, belediye birimlerinde görevlendirilen personel süreçleri, cafe işletmesi, arşiv alanları ve Boztaş’ın kontrolünde bulunan fiziki/elektronik kayıt ortamlarına uygulanır.
- Elektronik ortamlar: kurumsal Gmail hesapları, e-posta yazışmaları, Luca/e-belge ve muhasebe kayıtları,
bordro/SGK/vergi kayıtları, kamera kayıt cihazı/NVR, bilgisayarlar, harici bellekler, telefon rehberi, WhatsApp iş grupları ve belediye internet altyapısı üzerinden kullanılan iş amaçlı elektronik kaynaklar.
- Fiziksel ortamlar: özlük dosyaları, iş başvuru formları, puantaj ve görevlendirme evrakı, sözleşme ve taahhütnameler, ziyaretçi kayıtları, kamera talep formları, imha tutanakları, İSG dosyaları, fatura/fiş/ödeme belgeleri ve arşiv dolapları.
- Taşınabilir ortamlar: dizüstü bilgisayar, telefon, USB/harici disk, yedekleme medyası ve güvenli dosya aktarım araçları; yalnızca iş gerekliliği ve yetkilendirme kapsamında kullanılabilir.
- Boztaş’ın kendisine ait web sitesi bulunmadığından web sitesi ve çerez işleme faaliyeti mevcut değildir; ileride web sitesi, çevrim içi form, e-randevu, online başvuru veya çerez kullanımı doğarsa bu doküman seti güncellenmeden uygulamaya geçilmez.
İşlenen Kişisel Veri Kategorileri
Boztaş süreçlerinde işlenen kişisel veri kategorileri envanter ve süreç bazlı aydınlatma metinlerinde detaylandırılmıştır. Politika kapsamında dikkate alınan ana kategoriler aşağıdadır:
| VERİ KATEGORİSİ | BOZTAŞ ÖRNEKLERİ |
|---|---|
| Kimlik | Ad, soyad, T.C. kimlik numarası gerektiği ölçüde, imza, görev/unvan, temsil/yetki ve özlük süreçlerinde tutulması gereken kimlik bilgileri. |
| İletişim | Telefon, e-posta, adres, KEP, acil durum iletişim kişisi ve kurumsal iletişim kanalları. |
| Özlük ve Çalışma | İşe giriş, görevlendirme, puantaj, izin, devamsızlık, bordro, eğitim, disiplin, performans ve işten çıkış kayıtları. |
| Finans | Ücret, banka/IBAN, fatura, fiş, ödeme, tahsilat, cari hesap, Luca/e-belge ve muhasebe kayıtları. |
| Fiziksel Mekan Güvenliği | Kamera görüntüsü, ziyaretçi girişi, cafe alanı güvenliği, araç/plaka bilgisi ve olay inceleme kayıtları. |
| İşlem Güvenliği | Kullanıcı adı, e-posta başlık bilgisi, log, IP, erişim yetkisi, cihaz ve sistem hareket kayıtları. |
| Sağlık ve İSG | İşyeri hekimi/OSGB süreçlerinde işe giriş/periyodik muayene, iş kazası, meslek hastalığı, sağlık uygunluk ve İSG kayıtları. |
| Hukuki İşlem | Sözleşme, taahhütname, ihtar, başvuru, dava, icra, denetim, resmi yazışma ve uyuşmazlık kayıtları. |
| Görsel ve İşitsel Kayıtlar | Kamera görüntüsü; ses kaydı kural olarak yapılmaz. Fotoğraf/video yalnızca ayrı hukuki sebep veya rıza gerektiren süreçlerde değerlendirilir. |
Kişisel Verilerin İşlenmesinde Genel İlkeler
Hukuka ve dürüstlük kurallarına uygunluk
Her faaliyet öncesinde hukuki sebep, amaç, veri kategorisi, ilgili kişi grubu ve alıcı grubu belirlenir.
Doğru ve gerektiğinde güncel olma
Çalışan, belediye sahası görevlendirme, cafe, tedarikçi ve muhasebe kayıtlarının güncelliği makul aralıklarla kontrol edilir.
Belirli, açık ve meşru amaçlarla işleme
Genel ve muğlak amaçlarla veri işlenmez; her faaliyet ilgili AYM ve envanter satırıyla ilişkilendirilir.
Amaçla bağlantılı, sınırlı ve ölçülü olma
Kimlik fotokopisi, sağlık detayı, kamera görüntüsü, WhatsApp paylaşımı veya belediye sistemi erişimi gibi riskli işlemler yalnızca zorunlu ölçüde yürütülür.
Gerekli süre kadar muhafaza etme
Saklama süreleri mevzuat, sözleşme, zamanaşımı, belediye hizmet gereklilikleri ve hukuki delil ihtiyacıyla sınırlanır; süresi dolan veriler imha edilir.
Kişisel Verilerin İşlenme Kuralları
Kişisel Veriler
Kişisel veriler kural olarak Kanun’un 5. maddesindeki işleme şartlarından en az birinin varlığı halinde işlenir. Boztaş özellikle sözleşmenin kurulması veya ifası, kanuni yükümlülük, bir hakkın tesisi/kullanılması/korunması, meşru menfaat ve açık rıza şartlarını süreç bazında değerlendirir. Açık rıza, diğer hukuki sebeplerin bulunmadığı veya mevzuatın ayrıca onay aradığı hallerde başvurulan istisnai bir dayanak olarak kullanılır.
Özel Nitelikli Kişisel Veriler
Özel nitelikli kişisel veriler Kanun’un 6. maddesi, çalışma hayatı, sosyal güvenlik, iş sağlığı ve güvenliği yükümlülükleri, koruyucu hekimlik/sağlık hizmetleri ve Kurul tarafından öngörülen yeterli önlemler çerçevesinde işlenir. Sağlık verileri kural olarak işyeri hekimi, OSGB ve sır saklama yükümlülüğü altındaki sağlık profesyonelleri tarafından yönetilir; Boztaş yalnızca görev uygunluğu, İSG yükümlülüğü ve resmi bildirim için gerekli sınırlı bilgilere erişir.
Belediye Sahası ve Cafe Süreçleri
Bozkurt Belediyesi sahasında görevlendirilen personelin belge, görev, puantaj ve iletişim verileri belediye hizmet gerekleriyle sınırlı olarak işlenir. Cafe alanında müşteri/ziyaretçi ve kamera verileri yalnızca satış, ödeme, fiş/fatura talebi, güvenlik ve olay inceleme amaçlarıyla sınırlıdır; ziyaretçi veya kamera süreçlerinde ilgisiz mali/sağlık/banka alıcılarına rutin aktarım yapılmaz.
Aydınlatma Yükümlülüğü ve İlgili Kişi Hakları
Boztaş, kişisel verilerin elde edilmesinden önce veya en geç elde edilmesi sırasında ilgili kişiyi süreç bazlı aydınlatma metinleriyle bilgilendirir. Aydınlatmalar veri sorumlusu kimliği, işlenen veri kategorileri, işleme amaçları, toplama yöntemi, hukuki sebep, alıcı grupları ve Kanun’un 11. maddesindeki hakları açıkça içerecek şekilde düzenlenir.
- Genel ve tüm süreçleri tek metinde toplayan aydınlatma yaklaşımı yerine süreç ve ilgili kişi grubu bazlı aydınlatma sistemi uygulanır.
- Açık rıza/onay metinleri aydınlatmanın yerine geçmez; ilgili aydınlatmadan sonra ve ayrı metinle alınır.
- İlgili kişi başvuruları yazılı, KEP, güvenli elektronik imza, mobil imza veya sistemde kayıtlı e-posta üzerinden alınır ve en geç otuz gün içinde sonuçlandırılır.
- Başvurularda kimlik/temsil teyidi yapılır; gereğinden fazla belge veya veri talep edilmez.
Kişisel Verilerin Aktarılması
Aktarım faaliyeti, yalnızca ilgili iş sürecinin gerektirdiği veri kategorisi ve alıcı grubu ile sınırlı olarak yapılır. Aktarım öncesinde veri minimizasyonu, gizlilik yükümlülüğü, yurt dışı aktarım ihtimali ve özel nitelikli veri bulunup bulunmadığı kontrol edilir.
| ALICI GRUBU | AKTARIM ESASI |
|---|---|
| Yetkili kamu kurumları | SGK, vergi dairesi, İŞKUR, mahkeme, icra, kolluk ve denetim makamlarıyla yalnızca kanuni yükümlülük veya resmi talep kapsamında paylaşım yapılır. |
| Bozkurt Belediyesi | Personel temini, görevlendirme, hizmet koordinasyonu, puantaj/hakediş, sahadaki iş organizasyonu ve güvenlik ihtiyaçlarıyla sınırlı aktarım yapılır. |
| Mali müşavir / Luca / e-belge | Muhasebe, bordro, beyanname, fatura, e-defter/e-arşiv ve yasal kayıt süreçleriyle sınırlı veri paylaşımı yapılır. |
| OSGB / işyeri hekimi / İSG uzmanı | İSG ve sağlık gözetimi faaliyetleriyle sınırlı; sır saklama yükümlülüğü ve özel nitelikli veri tedbirleri altında paylaşım yapılır. |
| Bankalar ve finans kuruluşları işlemle sınırlı aktarım yapılır. | Ücret, ödeme, tahsilat, POS veya banka işlemi doğduğunda |
| E-posta/bilişim hizmet sağlayıcıları | Gmail ve elektronik kaynak kullanımı nedeniyle teknik hizmet/altyapı kapsamında erişim riski değerlendirilen sınırlı işlem yapılır; düzenli yurt dışı aktarım için Kanun’un 9. maddesi mekanizmaları kontrol edilir. |
| Görevle bağlantılı tedarikçiler | Yalnızca ilgili hizmetin yürütülmesi için zorunlu veri kategorileriyle sınırlı ve sözleşmesel gizlilik hükümleri altında paylaşım yapılır. |
Yurt dışına aktarımda Kanun’un 9. maddesindeki yeterlilik kararı, uygun güvenceler, standart sözleşmeler, bağlayıcı şirket kuralları veya arızi aktarım koşulları değerlendirilir. Bu koşulların uygulanamadığı istisnai durumda açık rıza ancak ilgili aydınlatma ve risk bilgilendirmesi yapıldıktan sonra talep edilir.
Kişisel Verilerin Saklanması, Korunması ve İmhası
Saklama Esasları
Kişisel veriler, ilgili mevzuatta öngörülen süreler, işleme amacının gerektirdiği süre, sözleşmesel yükümlülükler, zamanaşımı süreleri, belediye hizmet izlenebilirliği ve hukuki uyuşmazlık riskleri dikkate alınarak saklanır. Süre sonunda veriler yalnızca hukuki delil veya savunma amacıyla sınırlı erişimli arşivde tutulabilir; bu amaç ortadan kalktığında imha edilir.
Teknik ve İdari Tedbirler
- Yetki matrisi, rol bazlı erişim ve periyodik erişim gözden geçirmesi yapılır.
- Güçlü parola, iki aşamalı doğrulama, cihaz kilidi, e-posta güvenliği ve hesap kapatma prosedürü uygulanır.
- Kamera ve özel nitelikli veri kayıtlarına erişim sınırlı tutulur; erişim kayıtları mümkün olduğunca izlenir.
- Gizlilik taahhütleri, tedarikçi/veri işleyen sözleşmeleri, çalışan eğitimleri ve disiplin hükümleri uygulanır.
- İmha işlemleri silme, yok etme veya anonim hale getirme yöntemiyle ve tutanakla gerçekleştirilir.
İlgili Dokümanlar ve Aydınlatma Bağlantısı
- Kişisel Veri İşleme Envanteri ve VERBİS değerlendirme kayıtları.
- Kişisel Veri Saklama ve İmha Planı ile periyodik imha tutanakları.
- İlgili aydınlatma metinleri: AYM-01 - AYM-16 süreç bazlı aydınlatma metinleri
- Gizlilik taahhütnameleri, veri işleyen sözleşmeleri, belediye veri paylaşım protokolü ve tedarikçi güvenliği hükümleri.
- İlgili kişi başvuru formu, veri ihlali kayıt formu, kamera talep formu ve cihaz/veri silme tutanakları.
- Açık rıza/onay metinleri yalnızca diğer hukuki sebeplerin bulunmadığı veya ayrıca onay gerektiren işlemler için uygulanır.
Politikanın Sürdürülebilirliği, Denetimi ve Eğitim
- Politika, prosedür ve talimatlar; mevzuat değişikliği, yeni iş süreci, yeni sistem/tedarikçi, veri aktarım kanalı,
belediye altyapısı değişikliği veya veri ihlali sonrası gözden geçirilir.
- KVKK uyum durumu yılda en az bir kez yönetim gündemine alınır; envanter, saklama süreleri, aydınlatma metinleri, açık rıza/onay kayıtları, tedarikçi sözleşmeleri ve erişim yetkileri kontrol edilir.
- Yeni başlayan çalışanlara oryantasyon kapsamında KVKK, gizlilik, WhatsApp/e-posta kullanımı, kamera alanları, belge paylaşımı ve veri ihlali bildirimi eğitimi verilir.
- Belediye sahasında görevlendirilen personel ve cafe çalışanları için sahaya özgü kısa talimatlar ayrıca tebliğ edilir.
- Denetim sonuçları, uygunsuzluklar ve düzeltici/önleyici faaliyetler kayıt altına alınır; tamamlanma durumu aksiyon planı üzerinden izlenir.