Kişisel Verilerin Korunması

KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

1. POLİTİKANIN AMACI
2. POLİTİKANIN KAPSAMI
3. YÜRÜRLÜK VE GÜNCELLEMELER
4. TANIMLAR
5. KİŞİSEL VERİLERİN İŞLENMESİ
6. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ
7. KİŞİSEL VERİLERİN AKTARILMASI
8. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE
GETİRİLMESİ
9. KİŞİSEL VERİLERE İLİŞKİN HAKLAR VE YÜKÜMLÜLÜKLER
10. VERİ GÜVENLİĞİ, TEDBİR VE DENETİM
11. KAYIT ORTAMLARI

1. POLİTİKANIN AMACI

Hukuki ve sosyal sorumluluğunun bir parçası olarak; ECCICO KOZMETİK SANAYİ VE TİCARET ANONİM ŞİRKETİ (“ECCICO”) Türkiye Cumhuriyeti Anayasası (“Anayasa”) ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanunu”) başta olmak üzere kişisel verilerin korunmasına ilişkin yürürlükte bulunan yasal mevzuata uygun hareket etmekle mükellef olup, ECCICO, söz konusu yasal mevzuata uyumu bir yaşam döngüsü haline getirerek kişisel verileri koruma konusunda gerekli çalışmaları yürütmektedir. Bu çalışmalar kapsamında ECCICO tarafından işbu politika metni hazırlanmıştır.

ECCICO, hukuki ve sosyal sorumluluğunun bir parçası olarak, ulusal kişisel veri koruma düzenlemelerine uymayı taahhüt etmektedir. Kurum işbu Politika ile müşterilerin, potansiyel müşterilerin, çalışan adaylarının, Şirket hissedarlarının, Kurum yetkililerinin, ziyaretçilerin, iş birliği içinde olunan kurumların çalışanları, hissedarları ve yetkililerinin ve üçüncü kişilerin kişisel verilerinin korunması ve işlenmesi, silinmesi, yok edilmesi ve anonim hale getirilmesi süreçleriyle ilgili kişilerin bilgilendirmesini amaçlamaktadır.

ECCICO; kişisel verileri, yasal sorumlulukların yanında, daha iyi hizmetler sunmak amacıyla toplamaktadır. Toplanan kişisel veriler ECCICO’nun en son ürünler, avantajlı alışveriş fırsatları, kişiye özel avantajlı önerileri ve gelecekteki etkinlikleri hakkında bilgilendirme yapılmasına olanak vermektedir. Ek olarak, toplanan veriler, kişisel veri sahipleri ile bilgi alışverişi içerisinde olarak, hizmet ve servislerimizle ilgili en doğru şekilde geri bildirim almamızı sağlamaktadır.

2. POLİTİKANIN KAPSAMI

İşbu Politika; müşterilerin, potansiyel müşterilerin, çalışan adaylarının, Kurum hissedarlarının, Kurum yetkililerinin, ziyaretçilerin, iş birliği içinde olunan kurumların çalışanları, hissedarları ve yetkililerinin ve üçüncü kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir.

KVK Kanunu ve ilgili yasal mevzuat uyarınca veri sorumlusu olan ECCICO, kişisel verilerin işlenmesi ve korunmasında benimsenen temel ilkeleri, kişisel verilerin korunmasına ilişkin alınan idari ve teknik tedbirler ile işlendikleri amaç için gerekli olan azami süreyi belirleme, silme, yok etme ve anonim hale getirme işlemlerine ilişkin usul ve esasları işbu Politika ile belirlemektedir.

İşbu Politika, ECCICO’nun ve kontrolü altındaki iştiraklerinin gerçek kişi müşterileri ile ECCICO ve kontrolü altındaki iştirakleri ile belirli bir çerçeve sözleşmesi olmayan diğer gerçek kişilere de uygulanmaktadır. Bu Politikada yer alan ECCICO ifadeleri kurum ve kontrolü altındaki iştiraklerini de kapsayacaktır.

3. YÜRÜRLÜK VE GÜNCELLEMELER

Politika, Şirketimiz tarafından internet sitesinde yayımlanarak kamuoyuna sunulmuştur. Başta
6698 sayılı Kanun olmak üzere yürürlükteki mevzuat ile bu Politika’ da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır. Şirket, yasal düzenlemelere paralel olarak işbu Politika’da değişiklik yapma hakkını saklı tutar. Politika’nın güncel versiyonuna ECCICO web sitesinden (www.eccico.com) erişilebilir.

4. TANIMLAR

Açık Rıza Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür
iradeyle açıklanan rıza.

Kişisel Veri Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Örneğin; isim- soy isim, T.C. Kimlik Numarası, e- posta adresi, telefon bilgileri, adres, doğum tarihi, kredi kartı numarası vb.

Özel Nitelikli Kişisel Veri Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler

Kişisel Veri Sahibi Kişisel verisi işlenen gerçek kişi

Anonim Hale Getirme Kişisel verinin, kişisel veri niteliğini kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesidir.

Çalışan ECCICO çalışanları

Çalışan Adayı Kuruma herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini Kurumun incelemesine açmış olan gerçek kişiler

Anayasa Türkiye Cumhuriyeti Anayasası

KVK Kanunu 6698 sayılı Kişisel Verilerin Korunması Kanunu

KVK Kurulu Kişisel Verileri Koruma Kurulu
KVK Kurumu Kişisel Verileri Koruma Kurumu

Kişisel Verilerin İşlenmesi Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Müşteri Şirketimizle herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Şirketimizin sunmuş olduğu ürün ve hizmetleri kullanan veya kullanmış olan gerçek kişiler

Veri İşleyen Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir. Örneğin, Şirketimizin verilerini tutan bulut bilişim firması, müşterilere formları imzalattığı anketörleri, talimatlar çerçevesinde arama yapan çağrı merkezi vb.

Veri Kayıt Sistemi Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi

Veri Sahibi Kişisel verisi işlenen gerçek kişi

Veri Sorumlusu Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) kuran ve yöneten gerçek veya tüzel kişi veri sorumlusudur.

Veri Sorumluları Sicili KVK KANUNU Kurulu gözetiminde, KVK KANUNU Kurumu Başkanlığı tarafından tutulan ve kamuya açık olan Veri Sorumluları Sicili

Ziyaretçi Kurumun sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan veya internet sitelerini ziyaret eden gerçek kişiler

İş birliği İçerisinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri

ECCICO ile iş ilişkisi içerisinde bulunan kurumların (ifa yardımcısı, iş ortağı, tedarikçi, program ortağı vb. başta olmak ve fakat bunlarla sınırlı olmamak üzere) çalışanları, hissedarları ve yetkilileri olan gerçek kişiler

ECCICO Tedarikçileri Sözleşme temelli ECCICO’nun ürün ve/veya hizmet aldığı üçüncü kişiler

Potansiyel Müşteri Ürün ve hizmetlerimizi satın alma ve/veya kullanma talebinde bulunmuş veya bulunacağı ticari teamül ve dürüstlük kurallarına uygun olarak değerlendirilmiş gerçek kişiler
Politika ECCICO Kişisel Verileri koruma, İşleme, Saklama ve İmha
Politikası

Şirket/ ECCICO ECCICO KOZMETİK SANAYİ VE TİCARET A.Ş.

Şirket Hissedarları ECCICO hissedarı gerçek kişiler

Şirket Yetkilisi ECCICO yönetim kurulu üyesi ve diğer yetkili gerçek kişiler

ECCICO Veri Sahibi

Başvuru Formu

Veri sahiplerinin, KVK Kanunu’nun 11. Maddesinde yer alan haklarına ilişkin başvurularını kullanırken yararlanacakları başvuru formu

Üçüncü Kişi Yukarıda tanımlanan taraflarla ECCICO arasındaki ticari işlem güvenliğini sağlamak veya bahsi geçen tarafların haklarını korumak ve menfaat temin etmek üzere bu taraflarla ilişki içerisinde olan üçüncü gerçek kişiler

Politika ECCICO Kişisel Verileri Koruma, İşleme, Saklama ve İmha
Politikası

5. KİŞİSEL VERİLERİN İŞLENMESİ

Kurum, kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır. Çalışanlar, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.

ECCICO’nun kişisel veri işleme faaliyeti, hiçbir kısıtlama olmaksızın, otomatik olan, yarı otomatik olan veya otomatik olmayan yollar kullanılarak veriye yönelik gerçekleştirilen her türlü eylemi kapsar.

ECCICO, hizmetlerinin kullanıldığı süre boyunca ve ilişkinin sona ermesinin ardından da aşağıda yer verilen ilkelere uymak suretiyle, bir veri sahibinin bilgilerini işleme hakkına sahiptir.

ECCICO kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, verilere hukuka aykırı olarak erişilmesinin önlenmesi ve verilerin hukuka uygun muhafazasının sağlanması konusunda kişisel verileri aktarmış olduğu iş ortakları ve tedarikçiler gibi veri işleyen kurumlar nezdinde farkındalıklarını arttırmaktadır.

ECCICO’nun veri sorumlusu olarak kişisel verileri işlerken uymak zorunda olduğu yükümlülükler ve bu konuda geliştirdiği hukuksal, idari ve teknik tedbirlere uyma zorunluluğu kurumun tedarikçi, iş ortağı gibi çeşitli sıfatlarla ilişkide olduğu veri işleyen kurumlara, veri işleme konusunda gerçekleştirdikleri faaliyetin niteliğiyle uyumlu bir şekilde yükletilmektedir.

ECCICO, KVK Kanunu’nun 12. maddesine uygun olarak, kendi bünyesinde gerekli
denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

ECCICO, KVK Kanunu’nun 12. maddesine uygun olarak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan sistemi yürütmektedir.

5.1 KİŞİSEL VERİLERİN İŞLENMESİNİN KAPSAMI

Kurumun hizmetlerinin kullanıldığı süre boyunca ve ilişkinin sona ermesinin ardından kurum, işbu Politikada belirtilen ilkelere uymak suretiyle, bir veri sahibinin bilgilerini işleme hakkına sahip olacaktır.

Kurum tarafından yapılan kişisel veri işleme, hiçbir kısıtlama olmaksızın, otomatik olan, yarı otomatik olan veya otomatik olmayan yollar kullanılarak veriye yönelik gerçekleştirilen her türlü eylemi kapsar. Diğer bir ifadeyle kişisel veri işleme; transfer etme, yayma veya farklı yollarla sunma, gruplama veya birleştirme, bloke etme, silme veya imha etme amaçlarıyla veri sahibi veya üçüncü taraflardan veri alınması, toplanması, kaydedilmesi, fotoğraflanması, ses kaydı alınması, video kaydı alınması, organize edilmesi, depolanması, değiştirilmesi, eski haline getirilmesi, geri alınması veya açıklanması, verilerin tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, yurtdışına aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi anlamına gelir.

5.2 KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

ECCICO, aşağıdakiler dahil olmak ancak bununla sınırlı olmamak üzere, veri sahibinin veya veri sahibi tarafından belirtilen üçüncü tarafların kişisel verilerini çeşitli amaçlarla işleyebilir. ECCICO, hizmetlerinin kullanıldığı süre boyunca ve ilişkinin sona ermesinin ardından da aşağıda yer verilen ilkelere uymak suretiyle, bir veri sahibinin bilgilerini işleme hakkına sahiptir.

• ECCICO’nun hizmetlerinin usulüne uygun ve düzgün bir biçimde gerçekleştirilmesi;
• Yasal mevzuat kapsamında bulunan yükümlülüklerin yerine getirilmesi,
• Web sitemizi ve uygulamalarımızı daha kolay kullanılır hale getirmek,
• Bilginin denetim şirketlerine, ilgili vekile veya vekil edene, düzenleyici ve denetleyici
otoritelerce öngörülen bilgi saklama, raporlama, bilgilendirme ve bilgi sağlanması
• Bilgi güvenliği süreçlerinin planlanması, denetimi ve icrası,
• Çeşitli raporların, araştırmaların ve/veya sunumların hazırlanması ve sunulması,
• Hizmetlere ve ürünlere yönelik tanıtım, pazarlama, promosyon ve kampanya faaliyetlerinin
yürütülmesi,
• İnternet üzerindeki ve mağazalarımızdaki alışveriş geçmişinize ulaşmak dahil çevrimiçi hesabınızı oluşturmak ve yönetmek,
• Kişiye uygun ürünleri bulmak ve pazarlama faaliyetlerimizi daha verimli kılmak amacıyla
Veri Sahibine özel bir profil hazırlamak,
• Veri Sahibine özel reklam düzenlemeleri ile ECCINO tarafından sunulan ürün ve hizmetlerin müşterilerin beğeni, kullanım alışkanlıkları ve ihtiyaçlarına göre özelleştirilerek önerilmesi,
• Müşteriye sunulan ürün ve/veya hizmetlere bağlılık oluşturulması ve/veya arttırılması süreçlerinin planlanması ve icrası,
• Veri Sahibinin şikâyet, soru, talep ve önerilerinin toplanması, değerlendirilmesi ve karşılanması,
• Pazarlama faaliyetlerimiz kapsamında ürünlere ilişkin değerlendirmelerinizi analiz etmek,
• Özel etkinlikler, yarışmalar, çekilişler programlar, anketler ve diğer teklifleri ile ilgili sizinle iletişime geçmek ve bunlara katılımınızı idare etmek,
• Ticari elektronik ileti gönderilebilmesi, müşteriye özel kampanyaların SMS, e-posta, mobil
uygulama, sosyal medya ve internet reklamları ile duyurulması, müşteri memnuniyet
anketleri ve telesatış uygulamalarının yapılması,
• Sosyal medya hesaplarımız veya mobil uygulamalarımız hakkında sizinle iletişime geçmek
ve satış ve pazarlama faaliyetlerimizi yürütmek,
• Pazar araştırması faaliyetlerinin planlaması ve icrası,
• Müşteri ilişkileri yönetimi süreçlerinin planlanması ve icrası,
• Ürün ve/veya hizmetlerin satış süreçlerinin planlanması ve icrası,
• Lojistik faaliyetlerinin planlaması ve icrası
• Müşteri ile akdedilen sözleşmelerin gereğinin yerine getirilmesi,
• Hukuk, finans ve/veya muhasebe işlerinin takibi,

5.3 Kişisel Verilerin Mevzuatta Öngörülen İlkelere Uygun Olarak İşlenmesi

Hukuka ve DürüstlükKişisel veriler kişilerin temel hak ve özgürlüklerine zarar
Kuralına Uygun İşleme
gelmeyecek şekilde genel güven ve dürüstlük kuralına uygun olarak işlenmektedir. Bu çerçevede, kişisel veriler Şirketimizin iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.

Kişisel Verilerin DoğruŞirketimiz kişisel verilerin işlendiği süre boyunca doğru ve güncel ve Gerektiğinde Güncelolması için gerekli önlemleri almakta ve belirli sürelerle kişisel
Olmasını Sağlama
verilerin doğruluğunun ve güncelliğinin sağlanmasına ilişkin gerekli mekanizmaları kurmaktadır.

Belirli, Açık ve MeşruŞirketimiz, kişisel verilerin işlenme amaçlarını açıkça ortaya Amaçlarla İşleme

koymakta ve yine iş faaliyetleri doğrultusunda bu faaliyetlerle bağlantılı amaçlar kapsamında işlemektedir.

İşlendikleri AmaçlaŞirketimiz kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği
Bağlantılı, Sınırlı venitelikte ve ölçüde toplamakta olup belirlenen amaçlarla sınırlı
Ölçülü Olma

olarak işlemektedir.
İlgili MevzuattaŞirketimiz, kişisel verileri işlendikleri amaç için gerekli olan süre ve Öngörülen veyailgili yasal mevzuatta öngörülen minimum süre kadar muhafaza İşlendikleri Amaç içinetmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta Gerekli Olan Süre Kadarkişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini

Muhafaza Etme

tespit etmekte, bir süre belirlenmişse bu süreye uygun
davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

5.4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel veri sahibinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir. İşlenen verilerin özel nitelikli kişisel veri olması halinde, işbu Politika’nın 6. başlığı (Özel Nitelikli Kişisel Verilerin İşlenmesi) içerisinde yer alan şartlar uygulanacaktır.

Kişisel Veri Sahibinin Açık Rızasının Bulunması
Kişisel verilerin işlenme şartlarından biri veri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

Kanunlarda Açıkça Öngörülmesi
Veri sahibinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.

Fiili İmkansızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması
Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.
Şirket’in Hukuki Yükümlülüğünü Yerine Getirmesi
Şirketimizin hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi

Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Şirketimizin Meşru MenfaatiKişisel veri sahibinin temel hak ve özgürlüklerine zarar için Veri İşlemenin Zorunlu Olması

vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

6. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

I. Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde veri sahibinin açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.
II. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.

7. KİŞİSEL VERİLERİN AKTARILMASI

Şirketimiz hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere (kamu kurumlarına, tedarikçilere vb.) aktarabilmektedir. Şirketimiz bu doğrultuda Kanun’un 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.

7.1 KİŞİSEL VERİLERİN AKTARILMASI

Kişisel veri sahibinin açık rızası olmasa dahi aşağıda belirtilen şartlardan bir ya da birkaçının mevcut olması halinde Şirketimiz tarafından gerekli özen gösterilerek ve Kurul tarafından
öngörülen yöntemler de dahil gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir:

• Kişisel verilerin aktarılmasına ilişkin ilgili faaliyetlerin kanunlarda açıkça öngörülmesi,
• Kişisel verilerin Şirket tarafından aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,
• Kişisel verilerin aktarılmasının Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Kişisel verilerin veri sahibi tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde Şirketimiz tarafından aktarılması,
• Kişisel verilerin Şirket tarafından aktarılmasının Şirket’in veya veri sahibinin veya üçüncü
kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması,
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri aktarımı faaliyetinde bulunulmasının zorunlu olması,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması.

Yukarıdakilere ek olarak kişisel veriler, Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılabilecektir.

7.2. Özel Nitelikli Kişisel Verilerin Aktarılması

Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde aktarılabilecektir:
• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde veri sahibinin açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.
• Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.

Yukarıdakilere ek olarak kişisel veriler, Yeterli Korumaya Sahip Yabancı Ülke’lere yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke’lere aktarılabilecektir.

7.3. Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları

ECCICO, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak müşterilerin kişisel verilerini aşağıda sıralanan kişi kategorilerine aktarabilir:

• ECCICO iş ortaklarına, (iş ortağı, ECCICO’nun ticari faaliyetlerini yürütürken ECCICO ürün ve hizmetlerinin satışı, tanıtımı ve pazarlanması, satış sonrası desteği, lojistik desteği, ortak müşteri bağlılığı programlarının yürütülmesi gibi amaçlarla iş
ortaklığı kurduğu tarafları tanımlamakta olup, bu kişilere aktarım, iş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla sınırlı olarak yapılacaktır.)
• ECCICO tedarikçilerine, (tedarikçiler, ECCICO’nun ticari faaliyetlerini yürütürken emir ve talimatlarına uygun ve sözleşme temelli olarak Şirketimize hizmet sunan tarafları tanımlamakta olup, bu kişilere aktarım ancak ECCICO’nun tedarikçiden dış kaynaklı olarak temin ettiği ve ECCICO’nun ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin ECCICO tarafından sunulmasını sağlamak amacıyla sınırlı olarak yapılabilir.)
• ECCICO Hissedarlarına, (Hissedarlar, ilgili mevzuat hükümlerine göre ECCICO’nun ticari faaliyetlerine ilişkin stratejilerinin ve denetim faaliyetlerinin tasarlanması konusunda yetkili olan kişiler olup, ilgili mevzuat hükümlerine göre ECCICO’nun ticari faaliyetlerine ilişkin stratejilerin tasarlanması ve denetim amaçlarıyla sınırlı olarak bu kişilere aktarım yapılabilecektir.)
• Hukuken Yetkili kamu kurum ve kuruluşlarına, (bu kuruluşlar ilgili mevzuat hükümlerine göre ECCICO’dan bilgi ve belge almaya yetkili kamu kurum ve kuruluşları olup, bu kişilere aktarım ancak ilgili kamu kurum ve kuruluşlarının hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak yapılabilecektir.)
• Hukuken yetkili özel hukuk kişilerine, (bu kişiler ilgili mevzuat hükümlerine göre ECCICO’dan bilgi ve belge almaya yetkili özel hukuk kişileri olup, bu kişilere aktarım ancak ilgili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak yapılabilecektir.)
• Veri aktarım şartlarına uygun olarak diğer üçüncü kişilere.

8. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ, ANONİM HALE GETİRİLMESİ

Şirketimiz, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili yasal mevzuatta öngörülen minimum süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

ECCICO kişisel verilerin saklanmasında ve imhasında aşağıdaki ilkelere uymaktadır.
• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza
edilme.

ECCICO kişisel verileri aşağıdaki sebeplerle imha eder;
• Kişisel verilerin saklanmasına ilişkin yasalarla belirlenmiş sürelerin sona ermesi,
• ECCICO tarafından belirlenen imha süresinin sona ermesi,
• ECCICO tarafından belirlenen periyodik imha süresinin sona ermesi,
• Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası
• İlgili sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
• Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
• İlgili kişinin, hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun ECCICO tarafından kabul edilmesi,
• ECCICO’nun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya kanunda öngörülen süre içinde cevap vermemesi hallerinde; KVK Kuruluna şikâyette bulunulması
ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması
• Kişisel Verileri Koruma Kanunu’nun 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

9. KİŞİSEL VERİLERE İLİŞKİN HAKLAR VE YÜKÜMLÜLÜKLER

9.1. Kişisel Veri Sahiplerinin ECCICO Tarafından Aydınlatılması Yükümlülüğü

KVK Kanunu’nun 10. Maddesi uyarınca; ECCICO, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmakla yükümlüdür.

Bu kapsamda ECCICO, kişisel verilerin toplanması esnasında veri sahiplerine kişisel verilerin ECCICO tarafından işleneceğini, kişisel verilerinin hangi amaçlarla işleneceğini, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceğini, kişisel veri toplama yöntemi ve hukuki sebepleri ile KVK Kanunu’nun 11. Maddesi uyarınca veri sahibinin haklarının neler olduğunu bildirmekte ve açık rıza almaktadır.

9.2. Kişisel Veri Sahibinin Hakları ve Başvuru Yöntemi

Kişisel veri sahibi, KVK Kanunu’nun 11. maddesi uyarınca ECCICO’a başvurarak aşağıdaki
taleplerde bulunabilir:
• Kişisel verilerini işlenip işlenmediğini öğrenme,
• Kişisel veriler işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Kişisel verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş ise düzeltilmesini isteme,
• KVK Kanunu 7. maddesi kapsamında, KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Kişisel verilerin aktarıldığı üçüncü kişilere yukarıda sayılan (d) ve (e) bentleri uyarınca yapılan işlemlerin bildirilmesini isteme,
• İşlenen kişisel verilerin münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğranılması halinde zararın giderilmesini talep etme

Kişisel veri sahiplerinin KVK Kanunu ’nun 13’üncü maddesinin 1’inci fıkrası gereğince yukarıda belirtilen haklarını kullanmakla ilgili taleplerini “yazılı”, ECCİCO KOZMETİK SANAYİ VE TİCARET ANONİM ŞİRKETİ’ne veya KVK Kurulunun belirlediği diğer yöntemlerle Kuruma iletmeleri gerekmektedir. İletişim adresleri aşağıdaki şekildedir;
Adres : Kültür Mahallesi, Bahar Sokak, No : 2 Etiler, 34340, Beşiktaş , İstanbul
E-mail : info@eccico.com
Telefon : 0850 241 15 30

9.3. Kişisel Veri Sahibinin Hakları Dışında Kalan Haller

KVK Kanunu’nun 28. Madde ’sinin 1. Fıkrası’ nda belirtilen hallerin varlığı halinde, KVK Kanunu hükümlerinin uygulanmayacağı düzenlenmiş olup; bu kapsamda ECCICO tarafından işlenen kişisel verilere ilişkin olarak kişisel veri sahiplerinin KVK Kanunu’nda sayılan haklarını ileri sürmeleri mümkün değildir.
KVK Kanunu’nun 28. Maddesi 2. Fıkrası’ nda belirtilen hallerde kişisel veri sahipleri zararın giderilmesini talep etme hakkı hariç olmak üzere; KVK Kanunu’nda sayılan diğer haklarını ileri süremezler.

9.4. ECCICO Tarafından Kişisel Veri Sahiplerinin Başvurularına Cevap Verilmesi

KVK Kanunu’nun 13. maddesi uyarınca; kişisel veri sahibinin yukarıda yer alan usule uygun olarak ilettiği başvurusunda yer alan talepler, ECCICO tarafından, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır.

Yapılacak işlemin ayrıca bir maliyeti gerektirmesi hâlinde, ECCICO tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınabilecektir. Başvurunun ECCICO’nun hatasından kaynaklanması halinde alınan ücret ilgiliye iade edilir.

ECCICO, başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek,
başvuruda yer verilen talepleri netleştirmek adına ilgili kişiden bilgi talep edebilir.

Politika ’nın 9.2 bölümünde belirtilen usule uygun olarak ve/veya kanunen geçerli tebligat ile iletilmeyen taleplerin ECCICO’a ulaşmaması halinde ECCICO’nun sorumluluğundan bahsedilemez.

ECCICO, KVK Kanunu’nun 28. Maddesinde bahsedilen haller ve aşağıda yer alan hallerde başvuruda bulunan kişinin başvurusunu, gerekçesini açıklayarak reddedebilir:
(1) Kişisel veri sahibinin talebinin diğer kişilerin hak ve özgürlüklerini engelleme ihtimali
olması,
(2) Orantısız çaba gerektiren taleplerde bulunulmuş olması,
(3) Talep edilen bilginin kamuya açık bir bilgi olması.

9.5. Kişisel Veri Sahibinin KVK Kurulu’na Şikâyette Bulunma Hakkı

Kişisel veri sahibi, KVK Kanunu’nun 14. Maddesi’nde belirtildiği şekilde kurula şikâyette bulunabilir. Kişisel veri sahibi, KVK Kanunu’nun 13. Maddesi ve de bu Politika ’nın 9.2.
bölümünde düzenlenen başvuru hakkını kullanmadan, KVK Kurulu’na şikâyet yoluna başvuramaz.

10. VERİ GÜVENLİĞİ, TEDBİR VE DENETİM

ECCICO, KVK Kanunu’nun 12. Maddesi’ne uygun olarak, güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya üçüncü kişi firmalar ile yapılan sözleşmeler çerçevesinde yaptırmaktadır.

ECCICO tarafından hukuka uygun olarak işlenen kişisel veriler, veri güvenliğine tabidir. ECCICO, özel nitelikli kişisel veriler ve web sitelerimiz ve/veya diğer uygulamalarımız üzerinden toplanan kişisel verilerinizin gizliliğini ve güvenliğini sağlamak üzere tüm gerekli teknik ve organizasyonel önlemleri almaktadır.
ECCICO’nun herhangi bir çalışanının bu verilere yetkisiz şekilde erişmesi, bu verileri
işlemesi veya özel veya ticari amaçlarla kullanması, bu verileri yetkisiz kişilerle paylaşması veya başka bir yöntemle bu verileri erişilebilir hale getirmeleri yasaktır. ECCICO’nun çalışanları kişisel verilere ancak söz konusu görevlerinin türü ve kapsamı çerçevesinde uygun şekilde erişebilir. Bunun için rol ve sorumluluklar detaylandırılmakta ve ayrıştırılmaktadır. ECCICO’nun meşru görevi çerçevesinde yetkilendirilmemiş olan herhangi bir çalışanının bu verileri işlemesi yetkisiz işlem anlamına gelmektedir.

Yöneticiler, istihdam ilişkisinin başlangıç aşamasında çalışanlarını veri gizliliğini koruma yükümlülüğü hususunda bilgilendirmelidir. Söz konusu yükümlülük istihdamın sona ermesinden sonra da devam edecektir.

Kişisel veriler, yetkisiz erişime, yasa dışı veri işleme veya ifşaya ve verilerin kazara kaybına, değiştirilmesine veya imhasına karşı ECCICO tarafından korunmaktadır. Kişisel verilerinizin halka açık olmayan ve sadece yetkili ECCICO çalışanları (çalışanlarımızla yapılan Gizlilik Sözleşmesi kapsamında), aracılarımız ve yüklenicilerimiz tarafından erişilebilen güvenli çalışma ortamlarında saklanmaktadır.

10.1. Teknik Tedbirler

ECCICO bünyesinde kişisel veri işleme faaliyetleri ile güvenli ortamda saklanması teknik sistemlerle yürütülmekte, teknik çözüm uygulamaları yapılmaktadır. Teknolojideki gelişmelere uygun teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir.

Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği ilgilisine raporlanmakta ve risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir.

Teknik konularda bilgili personel istihdam edilmektedir.

Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kullanılmaktadır.

ECCICO, kartlı ödeme sistemlerinde veri güvenliğini sağlamak amacıyla oluşturulmuş PCI DSS (Payment Card Industry Data Security Standard) regülasyonlarına uyar ve kartlı ödeme sistemlerinde veri iletimini ve işleyişini güvenli olarak sağlar. Kredi kartı numarası
ECCICO’nun online kredi kartı uygulaması tarafından şifrelenerek bankaya iletilmekte ve üçüncü taraflarla asla paylaşılmamaktadır. Kredi kartı bilgileri ECCICO tarafından saklanmamaktadır.

Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programları kullanılmaktadır.

10.2. İdari Tedbirler

Çalışanlar, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi, mevzuata aykırı olarak başkasına açıklanamayacağı ve işleme amacı dışında kullanamayacağı konusunda bilgilendirilmekte ve eğitilmektedir.

Çalışanların kişisel verileri işlememe, ifşa etmeme ve kullanmama yükümlülüğüne uyumlarının denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler alınmaktadır.

ECCICO tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ve kişisel verilerin saklanması konusunda üçüncü kişilerden teknik hizmet alınması halinde bu kişiler ile akdedilen sözleşmelere; kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, verilere hukuka aykırı olarak erişilmesinin önlenmesi ve verilerin hukuka uygun muhafazasının sağlanması konusunda gerekli tedbirlerin alınması ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.

ECCICO, iş ortaklarına yönelik kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, verilere hukuka aykırı olarak erişilmesinin önlenmesi ve verilerin muhafazasını sağlamaya ilişkin eğitimler ve seminerler düzenlenmesini sağlamaktadır.

10.3. Denetim Faaliyetlerinin Yürütülmesi

ECCICO, KVK Kanunu’nun 12. maddesine uygun olarak, kendi ve iş ortakları bünyesinde gerekli denetimleri yapmakta veya 3. Kişi firmalar ile yapılan sözleşmeler çerçevesinde yaptırmaktadır. Bu denetim sonuçları şirketin iç işleyişi kapsamında konu ile ilgili bölüme raporlanmakta ve alınan tüm tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

ECCICO, KVK Kanunu ve ilgili mevzuata uygun olarak işlenen kişisel verilerin, kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, KVK Kanunu 12. Maddesi 5. Fıkrası uyarınca, belirtilenleri yapmakla yükümlü olup; gerekli tespit ve bildirimin yapılmasını sağlamak amacı ile gerekli sistem oluşturulmaktadır.

KVK Kurulu’na yapılan bildirim akabinde, KVK Kurulu, KVK Kanunu’nun 12. Maddesi 5. Fıkrası’nda belirtildiği şekilde bu durumu ilan edebilir.

11. KAYIT ORTAMLARI

ECCICO, KVK Kanunu’nda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlediği kişisel verileri ECCICO veri ambarına kaydetmekte ve depolamaktadır.
ECCICO sahibi olduğu internet sitelerinde; bu siteleri ziyaret eden kişilerin sitelerdeki ziyaretlerini ziyaret amaçlarıyla uygun bir şekilde gerçekleştirmelerini temin etmek; kendilerine özelleştirilmiş içerikler gösterebilmek ve çevrimiçi reklamcılık faaliyetlerinde bulunabilmek maksadıyla teknik vasıtalarla (Ör. Kurabiyeler-cookie gibi) site içerisindeki internet hareketleri kaydedilmektedir.

Bu faaliyetlere ilişkin kişisel verilerin korunması ve işlenmesine ilişkin detaylı açıklamalar ilgili internet sitelerinin “ECCICO KOZMETİK SANAYİ ve TİCARET ANONİM ŞİRKETİ İnternet Sitesi Gizlilik ve Veri Güvenliği Politikası” metinleri içerisinde yer almaktadır.