KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

9.2. Kişisel Verilerin Yurt Dışına Aktarılması

9.2.1 İlgili Kişinin Kişisel Verilerinin Yurt Dışına Aktarılmasına İlişkin Açık Rızasının Bulunması

Yeditepe Üniversitesi tarafından kişisel verilerin yurt dışına aktarılmasında; öncelikli olarak kanunun 5. maddesinin ikinci fıkrasında sayılı şartlardan herhangi birinin mevcut olup olmadığı değerlendirilmekte, bu şartlardan herhangi birinin mevcut olmaması halinde açık rızanın alınması suretiyle kişisel veriler yurt dışına aktarılabilmektedir.

9.2.2 İlgili Kişinin Açık Rızası Bulunmasa Dahi Kişisel Verilerin İşlenmesine İlişkin Şartların Sağlanması Kaydıyla Kişisel Verilerin Aktarılması

6698 sayılı KVK Kanunun 5. Maddesinin ikinci fıkrasında yazılı ve aşağıda belirtili;

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin aktarılmasının gerekli olması,
• Yeditepe Üniversite’sinin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Özel nitelikli verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri aktarımının zorunlu olması

Şartlarından herhangi birinin varlığı halinde açık rıza aranmaksızın ve, Kişisel verinin aktarılacağı yabancı ülkede;

a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulunun izninin bulunması,
kaydıyla Yeditepe Üniversitesi tarafından yurt dışına aktarılabilecektir.
 
9.3. Özel Nitelikli Verilerin Aktarılması

9.3.1. Özel Nitelikli Verilerin Yurt İçine Aktarılması

Özel Nitelikli Veriler, KVK Kanununun 8. maddesinde öngörülen düzenlemeye uygun olarak,

A)Açık rıza gerektiren hallerde 8. maddenin 1. fıkrası gereğince açık rıza alınmak suretiyle,
B))Yeterli önlemler alınmak kaydıyla 6. maddenin 3. fıkrasında yazılı;

• Sağlık ve cinsel hayat dışındaki kişisel veriler(ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler)kanunlarda öngörülen hâllerde,
• Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi ve ayrıca sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi kapsamında,
• açık rıza aranmaksızın Yeditepe Üniversitesi tarafından yurtiçinde aktarılabilecektir.

9.3.2.Özel Nitelikli Verilerin Yurt Dışına Aktarılması

6698 sayılı KVK Kanunun 9. maddesi uyarınca;

- Açık rıza gerektiren hallerde açık rızaların alınması suretiyle,
- Yeterli önlemler alınmak kaydıyla 6. maddenin 3. fıkrasında yazılı şartlardan herhangi birinin varlığı halinde açık rıza aranmaksızın ve,

Kişisel verinin aktarılacağı yabancı ülkede;

a)Yeterli korumanın bulunması,
b)Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulunun izninin bulunması,
kaydıyla Yeditepe Üniversitesi tarafından yurt dışına aktarılabilecektir.

10– YEDİTEPE ÜNİVERSİTESİ TARAFINDAN İŞLENEN KİŞİSEL VERİLERİN KATEGORİZASYONU

Yeditepe Üniversitesi, KVK Kanunu’nun 10. maddesine uygun olarak aydınlatma yükümlülüğü kapsamında hangi kişisel veri sahibi gruplarının hangi kişisel verilerini işlediğini kişisel veri sahibine bildirmek amacıyla aşağıda açıklamıştır:
 

KİŞİSEL VERİ KATEGORİZASYONU KİŞİSEL VERİ KATEGORİZASYONU AÇIKLAMA

12. KİŞİSEL VERİLERİ TOPLAMA YÖNTEMİ

Kişisel veriler; Yeditepe Üniversitesi veya bağlı merkez ve birimleri, internet sitesi, sosyal medya mecraları, çağrı merkezi, mobil uygulamalar ve benzeri vasıtalarla sözlü, yazılı ya da elektronik olarak toplanabilecektir.

13. VERİ SORUMLUSU SIFATI İLE ÜNİVERSİTENİN YÜKÜMLÜLÜKLERİ

Yeditepe Üniversitesi, kişisel verilerin elde edilmesi sırasında yetkilendirdiği kişilerle, ilgili
kişilere;

a)Veri sorumlusunun ve varsa temsilcisinin kimliği,
b)Kişisel verilerin hangi amaçla işleneceği,
c)İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d)11 inci maddede sayılan diğer hakları konusunda bilgi vermektedir.

14. İLGİLİ KİŞİNİN HAKLARI

14.1 Kişisel Veri Sahibinin Aydınlatılması

Yeditepe Üniversitesi tarafından, ilgili kişilere ‘Aydınlatma Metni’ ile; Üniversitenin kimliği, kişisel verilerin toplanma yöntemi ve hukuki sebebi, kişisel verilerin işlenme amaçları, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği ve kişisel veri sahibinin KVKK m. 11’de sayılan hakları konularında bilgilendirme yapılmaktadır. Bu amaçla Yeditepe Üniversitesi web sitelerine bu politika ile birlikte müşteri aydınlatma metni yayınlanmıştır.

14.2 Kişisel Veri Sahibinin KVKK çerçevesindeki Hakları

KVKK’ nın “İstisnalar” başlıklı 28. maddesinde öngörülen haller saklı kalmak kaydıyla, Kanun’un 11. maddesi çerçevesinde ilgili kişiler Yeditepe Üniversitesi’ne başvurarak, kişisel verilerin;

• İşlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi verilmesini talep etme,
• İşlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş ise düzeltilmesini isteme,
• Kanun’un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme,
• (e) ve (f) bentleri uyarınca yapılan işlemlerin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesin isteme,
• Münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

14.3 Kişisel Veri Sahibinin Haklarını Kullanması

Yeditepe Üniversitesi, ilgili kişilerin haklarını nasıl kullanacağına ilişkin olarak yol göstermekte olup, başvurular Yeditepe Üniversitesi’nin ‘www.yeditepe.edu.tr’ adresinde yer alan ‘Veri Sahibi Başvuru Formu’ doldurulduktan sonra, aşağıda yer alan yöntemlerle yazılı veya elektronik ortamda yapılabilmektedir.

Yazılı olarak talepte bulunulması halinde;

Veri Sahibi Başvuru Formu’ nun ıslak imzalı bir nüshası, Yeditepe Üniversitesi Yazı İşleri Müdürlüğü’ne ilgili kişinin kimliğini tespit edici bir belge ile şahsen veya 11. madde kapsamında sayılan haklara ilişkin başvuru yapmaya yetkili olunduğunu gösterir ve noter tasdikli bir vekâletname ile vekâleten teslim edilebilmekte ya da noter aracılığıyla ‘İnönü Mah. Kayışdağı Cad. 326A, 26 Ağustos Yerleşimi, 34755, Ataşehir/ İstanbul” adresine gönderilebilmektedir.

Elektronik olarak talepte bulunulması halinde;

Veri Sahibi Başvuru Formu, 5070 sayılı Elektronik İmza Kanunu’nda tanımlı olan “güvenli elektronik imza” sertifikasına sahip bir elektronik ya da mobil imza ile imzalanarak, “Yeditepe Üniversitesi Kayıtlı Elektronik Posta (KEP) adresi olan “yeditepeuniversitesi@hs03.kep.tr''adresine gönderilebilmekte ya da ilgili kişiye ait, Yeditepe Üniversitesi’ne daha önce bildirilen ve Yeditepe Üniversitesi sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik Yeditepe Üniversitesi tarafından geliştirilmiş bir yazılım ya da uygulama olması halinde bu vasıtalar aracılığıyla da iletilebilmektedir.

Yukarıda sayılan başvurunun geçerli bir başvuru olarak kabul edilebilmesi için, Veri Sorumlusuna Başvuru Usulleri Hakkında Tebliğ uyarınca başvuruda, ilgili kişinin;

a) Ad, soyadı ve başvuru yazılı ise imza,
b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,
c) Tebligata esas yerleşim yeri veya iş yeri adresi,
ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
d) Talep konusu,
bilgilerini belirtmesi zorunludur. Aksi halde başvuru geçerli bir başvuru olarak değerlendirilmeyecektir.
 
14.4 Üniversite’nin Başvurulara Cevap Verme Süresi

Yeditepe Üniversitesi’ne iletilen talepler, talebin niteliğine göre en kısa sürede ve en geç otuz gün içerisinde, Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ’ in 7. maddesinde belirlenen işlem ücreti karşılığında, yazılı olarak veya elektronik ortamda cevaplandırılmaktadır.

14.5 Kişisel Veri Sahibinin Haklarını İleri Süremeyeceği Haller

Kişisel veri sahipleri, KVK Kanunu’nun 28. maddesi gereğince aşağıdaki haller KVK Kanunu kapsamı dışında tutulduğundan, bu konularda 15.2’de sayılan haklarını ileri süremezler:

a. Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,

b. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek
kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,

c. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi,

d. Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVK Kanunu’nun 28/2 maddesi gereğince; aşağıda sıralanan hallerde kişisel veri sahipleri zararın giderilmesini talep etme hakkı hariç, 15.2’de sayılan diğer haklarını ileri süremezler:

a. Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması,

b. Kişisel veri sahibinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,

c. Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması,

d. Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

15. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI

15.1 Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan Teknik Tedbirler

• Yeditepe Üniversitesi, KVK Kanunu uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik tedbirleri almakta, gerekli denetimleri yapmakta veya yaptırmaktadır.
• 30.12.2017 tarih, 30286 sayılı Resmi Gazete’ de yayımlanarak 01.01.2018 tarihinde yürürlüğe giren ‘Veri Sorumluları Sicili Hakkındaki Yönetmelik” m.11/3 uyarınca; Kişisel Veri işleme amaç ve yollarının belirlenmesi, Veri İşleme Süreçlerinin takibi ve denetimi, KVK Kanunu ve ikincil düzenlemeler kapsamında yükümlülüklerin etkin olarak yerine getirilmesi, Kişisel Verilerin KVKK prosedürlerine uygun şekilde korunmasına yönelik güvenlik düzeyini temin için gelişmelerin ve idari faaliyetlerin takip edilerek gerekli KVKK prosedürlerinin hazırlanması, teknik ve idari önlemlerin alınması, Politikanın yürürlük ve denetiminin sağlanması amacıyla, Yeditepe Üniversitesi bünyesinde ‘Veri Sorumluları Komitesi’ oluşturulmuştur.
• Teknik konularda mevcut personelimize ek olarak teknik personel istihdam edilmektedir.
• Kişisel veri işleme faaliyetleri teknik sistemlerle denetlenmekte, ilgili denetim raporu Veri Sorumlusu Komitesi tarafından da incelenmek suretiyle alınması gereken ek teknik tedbirler belirlenerek ivedilikle uygulamaya koyulmaktadır.
• KVK Kanunu kapsamında alınması gereken teknik önlemler çerçevesinde, mevcut altyapının veri güvenliği açısından analizi ve varsa eksiklik /iyileştirme noktalarının belirlenmesi uyumlu olmayan alanların geliştirilmesi amacıyla oluşturulan yol haritası doğrultusunda ilgili eksikliklerin giderilmesi, verilere dışarıdan yapılabilecek yetkisiz erişimlerin engellenmesi için gerekli yazılım ve donanımların kurulması ve ilgili testlerin yapılması amacıyla üçüncü kişi/kuruluşlarla teknik destek konusunda sözleşmeler akdedilecektir.
• Kişisel Veriler Koruma Kurulu Kararları ve ikincil düzenlemeler kapsamında doğacak yükümlülüklerle ilgili olarak gerekli iç prosedürler ivedi olarak oluşturulmakta ve ilgili teknik tedbirler düzenlenerek çalışanlara bildirilmektedir

15.2 Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan İdari Tedbirler

Yeditepe Üniversitesi kişisel verilerin hukuka uygun işlenmesini sağlamak için alınan başlıca idari tedbirler aşağıda sıralanmaktadır:

• Yeditepe Üniversitesi çalışanlarına 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili yönetmelikler çerçevesinde bilgilendirme çalışmaları yapılmakta ve bu konuda periyodik olarak eğitimler verilmektedir.
• Çalışanlardan hizmet akitlerinin devamı süresince öğrenmiş oldukları kişisel ve özel nitelikli verilerin işlenmesinde KVK Kanununda öngörülen hükümlere uygun davranacakları, bu verileri kanunda belirtili ölçü, kapsam, süre, Üniversite’nin tabi olduğu mevzuat ve ikincil düzenlemeler kapsamı haricinde başka herhangi bir amaçla ve açık rıza gerektiren konularda veri sahibinin açık rızasını vermiş olduğu amaç dışında işlemeyecekleri, kişisel veri sahibinin Üniversite’ye verilmiş ‘açık rızası’ olmadıkça kanunen paylaşmakla yükümlü olunan kuruluşlar dışında verilerin yurtiçi ve yurtdışındaki üçüncü kişilere aktarılmayacağı, bu yükümlülüklerin hizmet akdinin sona ermesinden sonra da devam edeceği, kişisel verilerin herhangi bir çalışan tarafından hukuka aykırı olarak işlendiğinin öğrenilmesi halinde durumun derhal Veri Sorumlusu Komitesi’ne iletme yükümlülüğünün bulunduğu hususlarında taahhütleri alınmakta ve sözleşmelerde ihlaller halinde uygulanacak yaptırımlar belirlenmektedir.
• Yeditepe Üniversitesi ile işbirliği içerisinde olan veri işleyen kişi/kuruluşlarla devam eden sözleşmelerde ve yapılmakta olan sözleşmelerde, veri işleyenin kendisine aktarılan kişisel verileri veri işleme amaç ve kapsamı dışında işlemeyeceği, bu verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amaçlarıyla uygun güvenlik düzeyini temin etmeye yönelik olarak her türlü teknik ve idari tedbiri alacakları, kişisel verileri sözleşmeye aykırı olarak üçüncü şahıslara ifşa etmeyecekleri konularında taahhütleri alınmaktadır.
• Üniversitemiz tüm departmanları tarafından yürütülen kişisel veri işleme faaliyetleri incelenerek oluşturulmuş ‘Veri Envanteri’ doğrultusunda, çalışanların kişisel ve özel nitelikli verilere erişimi departman bazında yetki sınırlandırma kararları ile düzenlenmektedir. İlgili denetimler Veri Sorumluları Komitesi tarafından yapılmaktadır.
• Kişisel Verilerin güvenli olarak saklanılması, bu verilerin hukuka aykırı olarak işlenmesi, yok edilmesi, değiştirilmesi veya silinmesini önlemek için uygulama maliyetlerine göre gerekli idari tedbirler alınmaktadır.
   

15.3 Kişisel Verilerin Hukuka Aykırı Erişimini Engellemek için Alınan Teknik Tedbirler

• Kişisel verilere hukuka aykırı olarak yetkisiz erişimi engellemek, bu verilerin tedbirsizlik veya yetkisiz olarak ifşa edilmesini engellemek amacıyla, uygulama maliyetlerine göre teknik tedbirler alınmakta, periyodik olarak güncellenmekte ve yenilenmektedir.
• Kişisel Veriler Koruma Kurulu Kararları ve ikincil düzenlemeler kapsamında doğacak yükümlülüklerle ilgili olarak gerekli iç prosedürler ivedi olarak oluşturulmakta ve teknik tedbirler düzenlenerek çalışanlara bildirilmektedir.
• Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kurulmaktadır.
• Yetki sınırlaması yönünde alınan idari ve teknik kararlarla, çalışanların kendilerine tahsis edilen yetki çerçevesinde bilgilere erişmesi ve bu bilgileri kullanması sağlanmaktadır.

15.4. Kişisel Verilerin Hukuka Aykırı Erişimini Engellemek için Alınan İdari Tedbirler

Yeditepe Üniversitesi tarafından kişisel verilere hukuka aykırı erişimini engellemek için alınan başlıca idari tedbirler aşağıda sıralanmaktadır:

• Kişisel verilere erişim ve yetkilendirme süreçlerine ilişkin idari kararlar alınarak uygulanmakta, ilgili kararlar konusunda çalışanlara bilgilendirme yapılmakta ve kararların uygulanması Veri Sorumlusu Komitesi tarafından da denetlenmektedir.
• Çalışanlar, öğrendikleri kişisel verileri mevzuata aykırı olarak başkasına açıklayamayacakları, işleme amacı dışında kullanamayacakları ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda hizmet sözleşmelerinde gerekli düzenlemeler yapılmaktadır.
• Yeditepe Üniversitesi ve bağlı merkez ve birimlerinde staj yapan stajyerler, staj süresince herhangi bir şekilde öğrenilen kişisel verilerin, KVK Kanununa aykırı olarak başkasına açıklanmayacağı, bu verilere hukuka aykırı olarak erişilemeyeceği, verilerin işleme amacı dışında kullanılamayacağı konusunda bilgilendirilmekte ve stajyerlerden ilgili taahhütler alınmaktadır.
• Gizli dokümanların tüm sayfalarına “GİZLİDİR” ifadesi basılmaktadır.
• Hizmet sözleşmelerinde ‘gizli bilgi’nin tanımı yapılmakta olup, çalışanların gizli bilgileri kanuna uygun olarak gizli tutmak ve korumak için gerekli her türlü özeni göstereceği, bu bilgileri Üniversite’nin yazılı izni olmadan kopyalayıp saklamayacakları, Üniversite’nin tabi olduğu mevzuat hükümleri çerçevesinde paylaşmakla yükümlü olduğu kuruluşlar dışında hiçbir üçüncü kişi ile yazılı, sözlü ve/veya elektronik ortamda paylaşmayacakları, gizli bilgilerin, bir başka çalışan tarafından ek protokol hükümlerine aykırı olarak ifşa edildiğini öğrenmesi halinde durumu derhal sorumlu olduğu birim yetkilisine yazılı olarak bildirecekleri, hizmet sözleşmesinin sona ermesi halinde gizli bilgileri içeren materyal, araç ve dokümanları teslim tutanağı mukabilinde Üniversite’ye teslim edecekleri taahhütleri alınmaktadır.

 
15.5. Kişisel Verilerin Güvenli Ortamlarda Saklanması için Alınan Teknik Tedbirler

Kişisel verilerin güvenli ortamlarda saklanması için alınan başlıca teknik tedbirler aşağıda sıralanmaktadır:

• Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programları kullanılmaktadır.
• Teknik konularda uzman ek personel istihdam edilmektedir.
• Sunucular, fiziksel olarak güvenli ortamlarda tutulmaktadır. Bu ortamlara girebilecek teknik personel belirlenerek, yetkisiz girişler engellenmiştir.
• Çalışanların Üniversite sistemine girişleri kullanıcı adı ve parolası ile yapılmakta olup, çalışanlar kullanıcı adı ve şifresini üçüncü kişilerle paylaşmamaları gerektiği konusunda eğitilmektedir.
• Sunucu üzerinde çalışan işletim sistemlerinin, sistem yazılımlarının ve güvenlik amaçlı yazılımların sürekli güncellenmesi sağlanmaktadır.
• Sunucu günlükleri (loglar) düzenli aralıklarla denetim ve izlemeye tabi tutulmaktadır.
• Veritabanı sunucuları, modemler, santral, anti-virüs programı, toplu eposta gönderim yazılımı erişim şifreleri sadece Bilgi İşlem Sorumlusu nezdinde tutulmaktadır.

15.6. Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumunda Alınacak Tedbirler

• Yeditepe Üniversitesi, KVK Kanun’un 12. maddesine uygun olarak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, bu durumun ivedilikle ‘Veri Sorumlusu Komitesi’ne, ilgili kişisel veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan sistemi yürütmek üzere gerekli idari tedbirleri almaktadır.

16. BİNA, TESİS GİRİŞLERİ İLE BİNA TESİS İÇERİSİNDE YAPILAN KİŞİSEL VERİ İŞLEME FAALİYETLERİ İLE İNTERNET SİTESİ ZİYARETÇİLERİ

Yeditepe Üniversitesi tarafından bina tesis girişlerinde ve tesis içerisinde yapılan kişisel veri işleme faaliyetleri, Anayasa’ya, KVK Kanunu’na ve ilgili diğer mevzuata uygun bir biçimde yürütülmekte olup, güvenliğin sağlanması amacıyla, Yeditepe Üniversitesi binalarında ve tesislerinde güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır.

17. YEDİTEPE ÜNİVERSİTESİ BİNA, TESİS GİRİŞLERİNDE VE İÇERİSİNDE YÜRÜTÜLEN KAMERA İLE İZLEME FAALİYETİ

Yeditepe Üniversitesi tarafından yürütülen kamera ile izleme faaliyeti, Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak sürdürülmektedir.

Yeditepe Üniversitesi, bina ve tesislerinde güvenliğin sağlanması amacıyla, yürürlükte bulunan ilgili mevzuatta öngörülen amaçlarla ve KVK Kanunu’nda sayılan kişisel veri işleme şartlarına uygun olarak güvenlik kamerası izleme faaliyetinde bulunmaktadır.

Yeditepe Üniversitesi tarafından KVK Kanunu’nun 10. Maddesine uygun olarak, kişisel veri sahibi aydınlatılmaktadır. Yeditepe Üniversitesi genel hususlara ilişkin olarak yaptığı aydınlatmanın (Bkz. Bölüm 15.1) kamera ile izleme faaliyetine ilişkin birden fazla yöntem ile bildirimde bulunmaktadır. Böylelikle, kişisel veri sahibinin temel hak ve özgürlüklerine zarar verilmesinin engellenmesi, şeffaflığın ve kişisel veri sahibinin aydınlatılmasının sağlanması amaçlanmaktadır. Yeditepe Üniversitesi tarafından kamera ile izleme faaliyetine yönelik olarak; Yeditepe Üniversitesi internet sitesinde işbu Politika yayımlanmakta (çevrimiçi politika düzenlemesi) ve izlemenin yapıldığı alanların girişlerine izleme yapılacağına ilişkin bildirim yazısı asılmaktadır (yerinde aydınlatma).

Yeditepe Üniversitesi KVK Kanunu’nun 4. maddesine uygun olarak, kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işlemektedir. Yeditepe Üniversitesi tarafından video kamera ile izleme faaliyetinin sürdürülmesindeki amaç bu Politika’da sayılan amaçlarla sınırlı olup, güvenlik kameralarının izleme alanları, sayısı ve ne zaman izleme yapılacağı, güvenlik amacına ulaşmak için yeterli ve bu amaçla sınırlı olarak uygulamaya alınmaktadır. Kişinin mahremiyetini güvenlik amaçlarını aşan şekilde müdahale sonucu doğurabilecek alanlarda (örneğin, tuvaletler) izlemeye tabi tutulmamaktadır.

Canlı kamera görüntüleri ile dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda Yeditepe Üniversitesi çalışanının erişimi bulunmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

18. YEDİTEPE ÜNİVERSİTESİ BİNA, TESİS GİRİŞLERİNDE VE İÇERİSİNDE YÜRÜTÜLEN MİSAFİR GİRİŞ ÇIKIŞLARININ TAKİBİ

Yeditepe Üniversitesi tarafından; güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla, Yeditepe Üniversitesi binalarında ve tesislerinde misafir giriş çıkışlarının takibine yönelik ve bu amaçla sınırlı olarak kişisel veri işleme faaliyetinde bulunulmaktadır. Misafir olarak Yeditepe Üniversitesi binalarına gelen kişilerin isim ve soyadları elde edilirken ya da Yeditepe Üniversitesi nezdinde asılan ya da diğer şekillerde misafirlerin erişimine sunulan metinler aracılığıyla söz konusu kişisel veri sahipleri bu kapsamda aydınlatılmaktadırlar.

19. YEDİTEPE ÜNİVERSİTESİ BİNA VE TESİSLERİNDE ZİYARETÇİ’LERİMİZE SAĞLANAN İNTERNET ERİŞİMLERİNE İLİŞKİN KAYITLARIN SAKLANMASI

Yeditepe Üniversitesi tarafından güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla; Yeditepe Üniversitesi tarafından bina ve tesislerimiz içerisinde kalınan süre boyunca talep eden Ziyaretçilere internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerine ilişkin log kayıtları 5651 Sayılı Kanun ve bu Kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya Yeditepe Üniversitesi içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir. Bu çerçevede elde edilen log kayıtlarına yalnızca sınırlı sayıda Yeditepe Üniversitesi çalışanının erişimi bulunmakta olup, bahsi geçen kayıtlara erişimi olan Yeditepe Üniversitesi çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşundan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilerle paylaşmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

20. İNTERNET SİTESİ ZİYARETÇİLERİ

Yeditepe Üniversitesi sahibi olduğu internet sitelerinde; bu siteleri ziyaret eden kişilerin sitelerdeki ziyaretlerini ziyaret amaçlarıyla uygun bir şekilde gerçekleştirmelerini temin etmek; kendilerine özelleştirilmiş içerikler gösterebilmek ve çevrimiçi reklamcılık faaliyetlerinde bulunabilmek maksadıyla teknik vasıtalarla (Örn. Kurabiyeler-cookie gibi) site içerisindeki internet hareketlerini kaydedilmektedir.
 
21. KİŞİSEL VERİLERİ SAKLAMA SÜRELERİ

Kişisel veriler, Yeditepe Üniversitesi ve bağlı merkez ve birimlerinin tabi olduğu, başta Yükseköğretim mevzuatı olmak üzere, Sağlık Hizmetleri Temel Kanunu, Özel Hastaneler Yönetmeliği, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu ve sair kanunlar ile ikincil düzenlemeler kapsamında ilgili yükümlülüklerin yerine getirilebilmesi için, veri işleme ve zamanaşımı sürelerine riayet edilerek işlenmekte ve kanunlarda veri işleme sürelerine ilişkin değişiklik yapılması halinde, belirlenen yeni süreler esas alınmaktadır. Mevzuatta veri işleme sürelerine ilişkin bir hüküm bulunmadığı hallerde, kişisel veriler, Yeditepe Üniversitesi’nin uygulamalarına veya kişisel verilerin saklanma amacının devam edip etmemesine göre gereken süre kadar saklanmakta, daha sonra verinin niteliği uyarınca silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Kişisel verilerin işlenme amacı sona ermiş, ilgili mevzuat ve Yeditepe Üniversitesi’nin belirlediği saklama sürelerinin de sonuna gelinmişse, kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla saklanabilmektedir. Bu durumda saklanan kişisel verilere herhangi bir başka amaçla erişilmemekte ve ancak ilgili hukuki uyuşmazlıkta kullanılması gerektiği zaman ilgili kişisel verilere erişim sağlanmaktadır. Bahsi geçen hakkın ileri sürülebilmesine yönelik zaman aşımı sürelerinin sona ermesinden sonra kişisel veriler silinmekte, yok edilmekte veya anonim hale getirilmektedir.

22. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ

Yeditepe Üniversitesi tarafından, KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, mevzuatta öngörülen sürelerin geçmiş olması veya işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, kişisel verilerin resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hâle getirilmesi için gerekli idari tedbirler alınmakta ve ayrıca bu konuda teknik alt yapıyı kurma çalışmalarına devam edilmektedir. Yeditepe Üniversitesi tarafından periyodik imha tarihleri belirlenmiş olup, yükümlülüğün başlaması ile beraber çeşitli aralıklarla periyodik imhanın yapılacağına göre takvim oluşturulmuştur.

23. GÜNCELLEME

Bu Politikayı güncelleme sorumluluğu Veri Sorumlusu Komitesi’ne aittir. Yapılacak güncellemeler Üniversite Rektörü’nün onayı ile yürürlüğe girecektir.
Politika, olağan olarak yılda bir defa Mayıs ayında gözden geçirilerek güncellenecektir.
Yeditepe Üniversitesi, mevzuattaki değişmeler kapsamında Politikayı gözden geçirme ve güncelleştirme hakkını saklı tutar.

24. YEDİTEPE ÜNİVERSİTESİ KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI’NIN DİĞER POLİTİKALARLA OLAN İLİŞKİSİ

Yeditepe Üniversitesi, işbu belge ile ortaya koyulan esasları, Üniversite bünyesindeki diğer veri varlıklarına ilişkin politikalar ve kişisel verilerin korunması ve işlenmesi konusunda iç kullanıma yönelik alt prosedürleri temel alarak oluşturmuştur.