AMAÇ VE KAPSAM

            Gaziantep Ticaret Borsası (“Borsa”) veri sorumlusu olarak, kişilerin temel hak ve özgürlüklerine son derece önem vermekte olup, ürün ve hizmetlerimizden faydalanan kişiler dahil, Borsa ile ilişkili gerçek kişilere (“Veri Sahibi”) ilişkin tüm kişisel verilerin KVK Kanunu’na uygun olarak işlenmesine, gizliliğinin ve güvenliğinin sağlanmasına azami hassasiyet göstermektedir.

            İşbu politika (“Politika”) çerçevesinde, Borsa tarafından gerçekleştirilen kişisel verileri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler açıklanmaktadır.

POLİTİKA ESASLARI

Genel Esaslar

            Politika, kişisel veri sahiplerinin erişimine açık olacak biçimde Borsa tarafından yönetilen www.gtb.org.tr internet sitesinde yayınlanır. Mevzuatta gerçekleştirilecek değişiklik ve yeniliklere paralel olarak, Politika’da yapılacak değişiklikler, veri sahiplerinin kolaylıkla erişim sağlayabileceği biçimde erişime açılacaktır.

Politika Kapsamındaki Kişi Grupları

            Politika kapsamında olan ve Borsa tarafından kişisel verileri işlenen veri sahibi grupları aşağıdaki gibidir:

KİŞİSEL VERİ SAHİPLERİNİN AYDINLATILMASI

            Borsa, KVK Kanunu’nun 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında veri sahiplerinin bilgilendirilmesini sağlamak için gerekli süreçleri yürütmektedir. Bu kapsamda Borsa tarafından veri sahiplerine sunulan aydınlatma metinlerinde aşağıda sıralanan bilgiler bulunmaktadır:

• Borsamızın unvanı,
• Kişisel verilerin işlenme amacı,
• Kişisel verilerin toplanma yöntemi ve hukuki sebebi,
• Kişisel verilerin aktarılabileceği taraflar ve aktarım amaçları,
• Kişisel veri sahibinin hakları.

KİŞİSEL VERİ SAHİPLERİNİN TALEPLERİNİN SONUÇLANDIRILMASI

            Veri sahiplerinin kişisel verilerine ilişkin taleplerini Borsamıza yazılı olarak iletmeleri durumunda, Borsa veri sorumlusu sıfatıyla KVK Kanunu’nun 13. maddesine uygun olarak, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde sonuçlandırılmasını sağlamak üzere gerekli süreçleri yürütmektedir.

            Borsa, veri güvenliğinin sağlanması kapsamında, başvuruda bulunan kişinin başvuruya konu kişisel verinin sahibi olup olmadığını tespit etmek amacıyla bilgi talep edebilir. Borsa ayrıca kişisel veri sahibinin başvurusunun talebe uygun bir biçimde sonuçlandırılmasını sağlamak adına, kişisel veri sahibine başvurusu ile ilgili soru yöneltebilir.

Kişisel Veri Sahiplerinin Hakları

KVK Kanunu’nun 11. maddesi uyarınca, Borsa’ya başvurarak aşağıda yer alan konularda talepte bulunabilirsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin KVK Kanunu’na aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Mevzuat Gereği Kişisel Veri Sahiplerinin Hakları Dışında Kalan Haller

            KVK Kanunu’nun 28. maddesi gereğince aşağıdaki hallerin KVK Kanunu’nun kapsamında olmaması sebebiyle, kişisel veri sahiplerinin aşağıda yer alan konularda haklarını ileri sürmeleri mümkün olmayacaktır:

• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarı faaliyetler kapsamında işlenmesi.
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

            KVK Kanunu’nun 28/2 maddesi gereğince; aşağıda sıralanan hallerde zararın giderilmesini talep etme hariç olmak üzere, kişisel veri sahiplerinin haklarını ileri sürmeleri mümkün olmayacaktır:

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

ROLLER VE SORUMLULUKLAR

            Kişisel verilerin işlenmesi ve korunmasına yönelik tüm faaliyetlerde, işbu Politika kılavuz olacaktır. Borsa genelindeki tüm üyelerimiz, çalışanlarımız, paydaşlarımız, tedarikçilerimiz, iş ortaklarımız ve bunların çalışanları, misafirlerimiz, ziyaretçilerimiz ve bunlarla sınırlı olmamak üzere kişisel verisi işlenen ilgili üçüncü kişiler, Politika’ya uyum ile birlikte, hukuki yönden risklerin bertaraf edilmesi ile yükümlüdürler. Borsanın tüm organ ve birimleri Politika’nın uygulanmasını ve Politika’ya uyulmasını sağlamakla yükümlüdür.

            Borsa bünyesinde bulunan irtibat kişileri, kendisine verilen görev ve sorumlulukları Politika’ya uygun şekilde gerçekleştirecektir. Bu kapsamda Veri Sorumlusu sıfatıyla Borsa bünyesindeki İrtibat Kişilerinin görev ve sorumlulukları aşağıdaki gibi tanımlanmıştır.

• Borsa genelinde bu Politika’ya uyumu ve Politika’nın öngördüğü kişisel verilerin korunması ve mevzuata uyum programının etkin bir biçimde uygulanmasını sağlamak,
• Politika’nın uygulanmasına yönelik günlük faaliyetler içerisinde gerekli görevlendirmeleri yapmak ve koordinasyonu gerçekleştirmek,
• Kişisel verilerin korunması mevzuatına uyumun sağlanması için yapılması gereken hususları tespit etmek ve yönetime bildirmek, bu kapsamdaki konularda kendiliğinden veya talep üzerine görüş bildirmek veya konuya ilişkin uzman görüşü alınması için gerekli işlemleri gerçekleştirmek,
• Kişisel verilerin korunması kapsamında mevzuat ve bilgi güvenliği konularında Borsa bünyesinde veya Borsa’nın iş birliği içerisinde olduğu kurumlar nezdinde farkındalığı artırmak, Borsa çalışanları için gerekli eğitimlerin gerçekleştirilmesini sağlamak,
• Kurum ve Kurul başta olmak üzere kişisel verilerin korunmasına yönelik kamu kurumları ve özel kuruluşlarla gerekli iletişimi sürdürmek ve takip etmek,
• Veri sahiplerinin başvurularını yönetmek, bunları nihai olarak karara bağlamak üzere üst birime iletmek ve başvurulara zamanında yanıt verilmesini sağlamak,
• Kişisel veri işleme envanterinin güncel tutulmasını ve veri sorumluları siciline gerekli bildirimlerin gerçekleştirilmesini sağlamak,
• Veri güvenliği bakımından kayda değer vakaları incelemek, kişisel veri sahipleri ve Borsamız üzerinde doğabilecek riskleri asgariye indirgemeye yönelik gerekli önlemleri tespit etmek ve uygulamak ya da uygulattırmak, Veri Sahiplerine ve Kurul’a gerekli bildirimlerin yapılmasını sağlamak,
• Politika’nın belirli periyotlarla gözden geçirilmesi ve öngörülen değişikliklerin gerekçeleriyle birlikte Yönetim’in onayına sunulmasını sağlamak,
• Kanun kapsamında Borsa tarafından kendisine verilen diğer görevleri yerine getirmek.

KİŞİSEL VERİLERİN GÜVENLİĞİNİN VE GİZLİLİĞİNİN SAĞLANMASI

            Borsa tarafından, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, imkanlar dahilinde, korunacak verinin niteliğine göre gerekli her türlü tedbir alınmaktadır.

            Bu kapsamda Borsa tarafından gerekli her türlü idari ve teknik tedbirler alınmakta, Borsa bünyesinde denetim sistemi kurulmakta ve kişisel verilerin kanuni olmayan yollarla ifşası durumunda Kanun’da öngörülen tedbirlere uygun olarak hareket edilmektedir.

Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Borsa Tarafından Alınan İdari Tedbirler

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.    
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Gizlilik taahhütnameleri yapılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Borsa Tarafından Alınan Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır
• Erişim logları düzenli olarak tutulmaktadır
• Güncel anti-virüs sistemleri kullanılmaktadır
• Güvenlik duvarları kullanılmaktadır
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır
• Saldırı tespit ve önleme sistemleri kullanılmaktadır
• Sızma testi uygulanmaktadır
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir
• Veri kaybı önleme yazılımları kullanılmaktadır

Borsa Tarafından Kişisel Verilerin Korunmasına İlişkin Denetim Faaliyetleri Yürütülmesi

            Borsa tarafından, kişisel verilerin korunması ve güvenliğinin sağlanması kapsamında alınan teknik ve idari tedbirlerin işleyişi denetlenmekte ve işleyişin devamını sağlayacak uygulamalar yürütülmektedir. Bu kapsamda gerçekleştirilen denetim faaliyetlerinin sonuçları, ilgili departmana raporlanmaktadır. Denetim sonuçları doğrultusunda verilerin korunmasına ilişkin alınan tedbirlerinin geliştirilmesini ve iyileştirilmesini sağlayacak faaliyetler yürütülmektedir.

Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

            Borsa tarafından yürütülen kişisel veri işleme faaliyeti kapsamında, kişisel verilerin hukuka aykırı olarak yetkisiz kimseler tarafından elde edilmesi durumunda, vakit kaybedilmeksizin durum Kurul’a ve ilgili veri sahiplerine bildirilecektir.

KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE VERİ İŞLEME FAALİYETİNE KONU OLAN KİŞİSEL VERİ GRUPLARI

Kişisel Veri Kategorileri

            Borsa tarafından, aşağıda belirtilen gruplardaki kişisel verileri kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenmektedir.

Kişisel Verilerinin İşlenme Amaçları

            Kişisel verileri, veri işleme şartlarına ve ilkelerine uygun olarak aşağıda sıralanan amaçlarla Borsa tarafından işlenmektedir. Aşağıda yer alan amaçların varlığı, her kişisel veri sahibi özelinde değişiklik gösterebilmektedir.

            Elde edilen kişisel veriler, Borsa tarafından KVK Kanunu’nun 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları kapsamında ve aşağıda sayılan amaçlar dahilinde işlenmektedir:

• Borsa faaliyetlerinin, süreçlerinin, 5174 sayılı “Türkiye Odalar ve Borsalar Birliği İle Odalar ve Borsalar Kanunu” ve ilgili mevzuatların gerekliliklerinin yürütülmesi için faaliyetlerin planlanması, gerçekleştirilmesi ve/veya sözlü, yazılı ya da görsel olarak fiziki ya da elektronik bildiriminin yapılması,
• Yetkili kişi veya kuruluşlara, mevzuattan kaynaklı bilgi verilmesi,
• Hukuk işlerinin takibi, planlanması veya gerçekleştirilmesi,
• Bilgi teknolojileri alt yapısının planlanması, oluşturulması veya yönetilmesi,
• İç/dış denetim, teftiş ve kontrol faaliyetlerinin planlanması veya gerçekleştirilmesi,
• Sözleşme süreçlerinin veya hukuki taleplerin takibi,
• Demirbaşların veya kaynakların güvenliğinin temini,
• Sistem ve yazılımların, binaların veya tesislerin güvenliğinin temini,
• Finans ve muhasebe işlerinin planlanması veya gerçekleştirilmesi,
• Etkinliklerin, eğitimlerin, toplantıların veya davetlerin planlanması, gerçekleştirilmesi ve/veya sözlü, yazılı ya da görsel olarak fiziki ya da elektronik bildiriminin yapılması,
• Satın alma süreçlerinin planlanması veya gerçekleştirilmesi,
• Sosyal sorumluluk, burs veya sivil toplum aktivitelerinin planlanması veya gerçekleştirilmesi,
• Sponsorluk faaliyetlerinin planlanması veya gerçekleştirilmesi,
• Kurumsal iletişim faaliyetlerinin planlanması veya gerçekleştirilmesi,
• 3. kişi şahıs çalışanlarının iş takibinin sağlanması, faaliyetlerinin planlanması veya gerçekleştirilmesi,
• Raporların hazırlanma, iş geliştirme veya tasarlama süreçlerinin planlanması veya gerçekleştirilmesi,
• Talep, şikâyet veya önerilerin alınması, değerlendirilmesi ve sonuçlandırılmasına ilişkin süreçlerin planlanması veya gerçekleştirilmesi,
• İnsan kaynakları politikalarının ve süreçlerinin planlaması veya gerçekleştirilmesi,
• Yönetim sistemleri politikalarının ve süreçlerinin planlanması veya gerçekleştirilmesi,
• Çalışan veya çalışan adayı başvurularının alınmasına, değerlendirilmesine veya mülakatların yapılmasına ilişkin faaliyetlerin planlanması veya gerçekleştirilmesi,
• Stratejilerinin planlanması veya gerçekleştirilmesi,
• Mevcut veya potansiyel; paydaş veya tedarikçilerle olan ilişkilerin yönetimi, verilen hizmetlerin ve risk değerlendirme faaliyetlerinin veya fizibilite çalışmalarının planlanması veya gerçekleştirilmesi,
• Bütçe çalışmalarının yapılması veya gerçekleştirilmesi,
• Risklerin tespiti, değerlendirilmesi veya ortadan kaldırılmasına ilişkin süreçlerin planlanması veya gerçekleştirilmesi,
• Türkiye Ürün İhtisas Borsası (TÜRİB) üyelik süreçlerinin planlanması veya gerçekleştirilmesi,
• Satış salonları seanslarının planlanması veya gerçekleştirilmesi,
• Marka ve itibarın korunmasına yönelik çalışmaların planlanması veya gerçekleştirilmesi,
• Reklam veya tanıtım amaçlı faaliyetlerin planlanması veya gerçekleştirilmesi,

Kişisel Verilerin Aktarılması

            Borsa, KVK Kanunu’nda yer alan ilkelere ve özellikle, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak Politika kapsamı dahilinde olan veri sahiplerinin kişisel verilerini aşağıda sıralanan kişi gruplarına belirtilen amaçlarla aktarılabilir:

• Yetkili kamu kurum ve kuruluşları ile yetkili özel hukuk kişilerine,
• Veri aktarım şartlarına uygun olarak, diğer üçüncü kişilere.

            Aktarımda bulunulan yukarıda belirtilen kişilerin kapsamı ve olası veri aktarım amaçları aşağıda belirtilmektedir.

Tanımlar

Politika’da kullanılan terimlere ait tanımlar aşağıda yer almaktadır: