GROVTEK VERİ SAKLAMA VE İMHA POLİTİKASI

Yürürlük Tarihi: 26.08.2025

Versiyon: 1.0

1. Amaç

İşbu politika, Valide-i Atik Mah. Nuhkuyusu Cad. No: 73A Üsküdar/İstanbul adresinde mukim GROVTEK TEKNOLOJİ A.Ş. ("Grovtek") bünyesinde işlenen kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuat kapsamında saklanması ve imha edilmesine ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.

2. Kapsam

İşbu politika, Grovtek'in faaliyetleri kapsamında işlediği tüm kişisel veriler ile bu verilerin tutulduğu fiziki ve dijital ortamlarda uygulanır.

Grovtek burada belirtilen kişisel verileri KVKK'ya, ilgili Kişisel Verileri Koruma Kurulu ("Kurul") kararlarına ve ikincil mevzuata uygun şekilde https://www.ismarliyo.com/aydinlatma'nde belirtilen sebeplere ve amaçlara uygun olarak işlemektedir. İşbu politika anılan her bir ilgili kişi grubu için işlenen kişisel verilerin saklama ve imhası bakımından ilgili Aydınlat Metni'nin tamamlayıcısı niteliğindedir.

3. Tanımlar

İşbu politika kapsamında,

• Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
• Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,
• Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar,
• İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi,
• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,
• Kanun ya da KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu'nu,
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
• Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,
• Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
• Kurul: Kişisel Verileri Koruma Kurulunu,
• Kurum: Kişisel Verileri Koruma Kurumunu,
• Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişiyi,
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişiyi ve işbu Politika özelinde Grovtek'i ifade eder.

4. Sorumluluk ve Görev Dağılımları

Grovtek bünyesindeki tüm birimler ve çalışanlar, sorumlu birimlerin belirlediği teknik ve idari tedbirlerin etkili şekilde uygulanmasına; birim çalışanlarının eğitimi, farkındalığının artırılması, izlenmesi ve düzenli olarak denetlenmesine; kişisel verilerin hukuka aykırı işlenmesinin ve erişiminin engellenmesine; verilerin hukuka uygun şekilde saklanmasına yönelik tüm ortamlarda gerekli veri güvenliği önlemlerinin alınmasına aktif olarak destek sağlar.

5. Kayıt Ortamları

Grovtek sistematik günlük faaliyetleri kapsamında fiziksel ortamda kişisel veri işlememektedir. Ancak sistematik olmayan faaliyetler kapsamında yetkili kamu kurum ve kuruluşları ile gerçekleştirilebilecek olan yazışmalar veya doğrudan ilgili kişi grupları tarafından fiziksel ortamda veri sunulması ya da talep edilmesi durumunda arızi olarak fiziksel ortamda veri işleme faaliyeti gerçekleşebilmektedir.

6. Saklamayı Gerektiren Hukuki Sebepler

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler.

7. Saklamayı Gerektiren İşleme Amaçları

• Yazılım gelişme süreçlerini yürütmek.
• Kullanıcı sözleşmesinin ifasını gerçekleştirmek ve gerekli doğrulamaları yapmak.
• İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek.
• Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü.

8. İmhayı Gerektiren Sebepler

• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması.
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması.
• Kanunun 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Grovtek tarafından kabul edilmesi.
• Grovtek'in, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması.
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

9. Teknik ve İdari Tedbirler

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun şekilde saklanması ve imha edilmesi için Grovtek tarafından aşağıdaki teknik ve idari tedbirler alınır.

10. Kişisel Verileri İmha Teknikleri

Grovtek, kişisel verilerin imhası sürecinde KVKK ve ilgili mevzuat kapsamında belirlenen teknik standartlara uygun olarak hareket etmektedir. Kişisel verilerin anonim hale getirilmesi işleminde, verilerin geri döndürülemeyecek şekilde işlenmesini sağlayan gelişmiş kriptografik yöntemler ve hash algoritmaları kullanılmaktadır. Bu teknikler, verilerin orijinal haline geri dönüşünü matematiksel olarak imkansız kılmakta ve veri güvenliğini en üst düzeyde tutmaktadır.

Anonim hale getirme işlemi, veri setlerinden doğrudan tanımlayıcı bilgilerin çıkarılması, kayıtları çıkartma, bölgesel gizleme, genelleştirme, kategorik verilerin genelleştirilmesi ve sayısal verilerin aralıklara bölünmesi gibi başta olmak üzere uygulamada sıklıkla kabul gören yöntemlerle gerçekleştirilmektedir. Bu süreçte, veri kalitesi korunurken, veri sahibinin kimliğinin belirlenmesi mümkün olmayacak şekilde veri dönüşümü sağlanmaktadır. Anonim hale getirilen veriler, artık kişisel veri niteliğinde olmadığından, KVKK kapsamı dışında kalarak araştırma, istatistik ve geliştirme amaçlarıyla kullanılabilmektedir.

11. Saklama ve İmha Süreleri

Aşağıda örnek saklama ve imha süreleri belirtilmiştir:

Bireysel Ismarlayan Verileri

İşletme Sahibi Ismarlayan Verileri

Öğrenci Verileri

12. Periyodik İmha

Kişisel veriler en geç 6 aylık periyotlarla gözden geçirilerek, saklama süresi sona eren veriler imha edilir.

13. Politikanın Güncellenmesi ve Yayınlanması

Politika sadece elektronik ortamda https://www.ismarliyo.com/veri-saklama-ve-imha-politikasi adresinde yayınlanır.

Politika, ihtiyaç duyuldukça Grovtek tarafından gözden geçirilip güncellenebilir. Bu durumda Politikanın başlığı altında yer alan güncelleme tarihleri, versiyon numarası ve yürürlük tarihi de uygun şekilde güncellenir.

Politika güncellemeleri ilgili kişilere e-posta, uygulama ya da internet sitesi arayüzünde pop-up, yazılı bilgilendirme ve Grovtek tarafından uygun görülen diğer yöntemlerle bildirilir.

Politika güncellemelerinin aksi açıkça belirtilmedikçe güncelleme tarihinden itibaren 30 gün sonra yürürlüğe girer.