KVKK Aydınlatma Metni ve Kişisel Veri Politikası

Amaç, kapsam ve hukuki dayanak

Bu Kişisel Verilerin Korunması ve İşlenmesi Politikası’nın amacı, Seaacademyik İnsan Kaynakları Hizmetleri tarafından yürütülen faaliyetlerde kişisel verilerin hangi kurallar çerçevesinde işlendiğini açıklamak; ilgili kişilerin bilgiye erişimini ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) kapsamındaki haklarını kullanmasını kolaylaştırmaktır.

Politika; insan kaynakları danışmanlığı, mavi yaka ve beyaz yaka işe alım, toplu işe alım, aday araştırma ve yönlendirme, özel istihdam bürosu faaliyetleri, bordrolama ve personel süreç desteği, eğitim ve belgelendirme, tedarikçi ilişkileri, iş geliştirme, sözleşme yönetimi, internet sitesi, iletişim kanalları ve fiziki ofis süreçlerinde işlenen kişisel verilere uygulanır.

Politikanın dayandığı başlıca düzenlemeler

• 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuat,
• 4904 sayılı Türkiye İş Kurumu ile İlgili Bazı Düzenlemeler Hakkında Kanun ve özel istihdam bürolarına ilişkin düzenlemeler,
• 4857 sayılı İş Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu ile iş ve sosyal güvenlik mevzuatı,
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 6102 sayılı Türk Ticaret Kanunu, 6098 sayılı Türk Borçlar Kanunu ve 213 sayılı Vergi Usul Kanunu,
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ticari iletişim mevzuatı,
• 5651 sayılı Kanun ile elektronik kayıt ve bilgi güvenliğine ilişkin uygulanabilir düzenlemeler.

Veri sorumlusunun kimliği ve iletişim bilgileri

KVKK bakımından veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Bu politika kapsamındaki veri sorumlusu bilgileri aşağıdadır.

Kişisel veri işlemede uyguladığımız temel ilkeler

Seaacademyik, bütün kişisel veri işleme faaliyetlerinde KVKK’nın 4’üncü maddesinde yer alan genel ilkelere uyar ve veri yaşam döngüsünü aşağıdaki esaslara göre yönetir.

Politika kapsamındaki ilgili kişi grupları

“İlgili kişi”, kişisel verisi işlenen gerçek kişiyi ifade eder. Seaacademyik’in faaliyetlerine göre aşağıdaki gruplardan biri veya birkaçı kapsamında bulunabilirsiniz.

İşlenebilecek kişisel veri kategorileri

İşlenen veri kapsamı; ilgili kişinin niteliğine, talep ettiği hizmete, başvurduğu pozisyona ve yürütülen hukuki ilişkiye göre değişir. Aşağıdaki tablo, Seaacademyik faaliyetlerinde gündeme gelebilecek veri kategorilerini ve tipik örnekleri gösterir; her kişiden tabloda yer alan bütün veriler alınmaz.

Kişisel veri işleme amaçları ve hukuki sebepler

Kişisel veriler, her somut işlem için KVKK’nın 5’inci veya özel nitelikli veriler bakımından 6’ncı maddesinde yer alan bir işleme şartına dayanılarak kullanılır. Açık rıza, her işlem için varsayılan veya zorunlu dayanak değildir; başka bir hukuki sebebin bulunmadığı ve rızanın özgürce verilebildiği durumlarda ayrı olarak değerlendirilir.

Kişisel verileri hangi yöntemlerle topluyoruz?

Veriler; tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle, aşağıdaki fiziksel ve elektronik kanallardan elde edilebilir.

Dolaylı elde edilen kişisel veriler

Bir işveren, referans kişisi, kariyer platformu veya diğer hukuka uygun kaynak üzerinden veri edinildiğinde; ilgili kişiye makul süre içinde, kişiyle ilk iletişim kurulacağı sırada veya veri ilk kez aktarılmadan önce uygulanabilir aydınlatma yapılır. Verinin kaynağı ve elde edilme amacı kayıt altına alınabilir.

Çalışan adayı ve işe alım süreçlerinde veri yönetimi

Seaacademyik’in işe alım yaklaşımı, yalnızca CV toplamaya değil; adayın bilgisi dâhilinde, pozisyona ilişkin somut kriterlere göre ölçülü değerlendirme yapmaya dayanır. Başvuru süreci genel olarak aşağıdaki veri yaşam döngüsü içinde yönetilir.

Özgeçmişte yer almaması önerilen bilgiler

Pozisyon açısından açıkça gerekli değilse adaylardan; din, mezhep, siyasi görüş, biyometrik veri, ayrıntılı sağlık öyküsü, aile bireylerinin kimlik bilgileri, banka hesabı, kimlik kartı görüntüsü ve benzeri yüksek riskli bilgileri CV’ye eklememeleri istenir. Adayın kendiliğinden gönderdiği gereksiz veriler mümkün olduğunda değerlendirme dışı bırakılır, karartılır veya silinir.

Referans kontrolü

Referans kontrolü; adayın bilgisi dâhilinde, pozisyon için gerekli ve ölçülü sorularla sınırlı yürütülür. Referans kişiden elde edilen bilgiler doğruluk, amaçla sınırlılık ve ayrımcılık yasağı gözetilerek değerlendirilir. Önceki işverenden hukuka aykırı veya ilgisiz bilgi talep edilmez.

Aday havuzu

Sonuçlanmış bir başvurunun gelecekteki pozisyonlar için saklanması, somut sürecin koşullarına göre meşru menfaat değerlendirmesine veya ayrı açık rızaya dayandırılır. Aday, kendisine sunulan kanallar üzerinden havuzdan çıkarılmayı talep edebilir; yasal saklama zorunlulukları ve hakların korunması için gerekli sınırlı kayıtlar saklıdır.

Çalışan, stajyer ve görevlendirilen personel süreçleri

İş ilişkisi kurulması hâlinde aday verilerinin bir bölümü özlük ve istihdam süreçlerine aktarılabilir. Çalışan verileri; iş sözleşmesinin kurulması ve yürütülmesi, ücret ve yan hakların sağlanması, SGK ve vergi yükümlülükleri, çalışma süreleri, izin, eğitim, performans, iş sağlığı ve güvenliği, disiplin, zimmet ve işten ayrılış işlemleri için gerekli olduğu ölçüde işlenir.

Çalışan verileri bakımından sınırlandırmalar

• Özlük dosyasına erişim, görevi gereği erişmesi gereken yetkili kişilerle sınırlandırılır.
• Sağlık verileri, erişimi sınırlandırılmış ve uygun güvenlik tedbirleri uygulanmış ortamlarda tutulur.
• Çalışan izleme yöntemleri kullanılırsa amaç, kapsam ve yöntem hakkında önceden şeffaf bilgilendirme yapılır.
• Performans değerlendirmesi, doğrulanabilir işle ilgili kriterlere dayandırılır; ayrımcı veya amaç dışı veri kullanılmaz.
• İşten ayrılma sonrasında veriler, yasal yükümlülükler ve olası hak talepleri için gereken süreyle sınırlı saklanır.

Müşteri işyerinde görevlendirme

Bordrolama, dış kaynak veya personel görevlendirme hizmetlerinde; vardiya, devam, görev, iş sağlığı ve güvenliği, performans ve işyeri erişim bilgileri, hizmetin yürütülmesi için müşteri işverenle paylaşılabilir. Tarafların veri sorumlusu / veri işleyen rolleri, somut hizmet modeli ve sözleşme hükümlerine göre ayrıca belirlenir.

İşveren, müşteri, tedarikçi ve iş ortağı süreçleri

İşveren veya kurumsal müşteri yetkililerine ait ad-soyad, görev, kurumsal iletişim bilgisi, imza / yetki, talep, teklif, sözleşme ve operasyon yazışmaları; hizmet ilişkisinin kurulması, aday sunumu, işe başlama takibi, raporlama, faturalama, denetim ve hukuki yükümlülüklerin yürütülmesi amaçlarıyla işlenebilir.

İşveren müşterilerin aday verilerine ilişkin sorumluluğu

• Aday verileri yalnızca bildirilen pozisyon ve işe alım amacı için kullanılmalıdır.
• CV ve aday değerlendirme kayıtları yetkisiz kişilerle veya başka şirketlerle paylaşılmamalıdır.
• Adayın başvurmadığı farklı bir amaçla veri kullanılacaksa uygun aydınlatma ve hukuki şart sağlanmalıdır.
• Süreç sonunda saklama amacı kalmayan aday kayıtları güvenli şekilde silinmeli veya imha edilmelidir.
• Veri ihlali şüphesinde Seaacademyik ile gecikmeksizin koordinasyon kurulmalıdır.

Tedarikçi ve hizmet sağlayıcı yetkililerine ait veriler ise satın alma, sözleşme, erişim yetkisi, hizmet kalitesi, ödeme, bilgi güvenliği ve iş sürekliliği süreçlerinde kullanılabilir.

Kişisel verilerin yurt içinde aktarılması

Kişisel veriler, KVKK’nın 8’inci maddesindeki şartlara uygun olarak; yalnızca aktarım amacının gerektirdiği veriyle sınırlı biçimde ve gerekli güvenlik tedbirleri alınarak aşağıdaki alıcı gruplarına aktarılabilir.

Aktarım öncesinde alıcı ihtiyacı, amaç, veri minimizasyonu, erişim yetkisi ve güvenlik koşulları değerlendirilir. Veri işleyen hizmet sağlayıcılarla gerektiğinde gizlilik, veri güvenliği ve talimatla işleme yükümlülükleri sözleşmesel olarak düzenlenir.

Kişisel verilerin yurt dışına aktarılması

İnternet altyapısı, bulut, e-posta, iletişim, analitik veya yazılım hizmetlerinin teknik yapısı nedeniyle kişisel verilerin yurt dışına aktarılması gündeme gelebilir. Böyle bir aktarım, “hizmet sağlayıcı kullanılıyor” gerekçesiyle otomatik ve sınırsız biçimde yapılmaz; KVKK’nın 9’uncu maddesindeki güncel aktarım rejimi uygulanır.

Uygulanabilecek aktarım mekanizmaları

1. İlgili ülke, uluslararası kuruluş veya sektör hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararı bulunması,
2. Yeterlilik kararı yoksa Kanun’daki işleme şartlarından birinin bulunması ve standart sözleşme, bağlayıcı şirket kuralları, Kurulca onaylanan taahhütname veya kamu kurumları arasındaki uygun düzenleme gibi güvencelerden birinin sağlanması,
3. Yeterlilik kararı ve uygun güvence bulunmayan hâllerde, yalnızca Kanun’da sayılan arızi aktarım koşullarından birinin somut olayda gerçekleşmesi.

Saklama süreleri, silme, yok etme ve anonimleştirme

Kişisel veriler süresiz saklanmaz. Süreler; veri işleme amacı, ilgili mevzuatta öngörülen saklama yükümlülüğü, zamanaşımı süreleri, olası uyuşmazlıklar ve veri minimizasyonu ilkesi birlikte değerlendirilerek kişisel veri işleme envanteri ile saklama-imha prosedüründe belirlenir.

İmha yöntemleri

• Silme: Verinin ilgili kullanıcılar için erişilemez ve yeniden kullanılamaz hâle getirilmesi.
• Yok etme: Verinin hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi.
• Anonimleştirme: Verinin başka verilerle eşleştirilse dahi belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Silme talebinin kabul edilmesi, her durumda bütün kayıtların anında ortadan kaldırılacağı anlamına gelmez. Yasal saklama yükümlülüğü veya devam eden bir hakkın korunması gereği varsa veri, bu amaçlarla sınırlı ve erişimi kısıtlı şekilde tutulabilir; süre sona erdiğinde imha edilir.

Kişisel veri güvenliği için uygulanan tedbirler

Seaacademyik, KVKK’nın 12’nci maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla faaliyetin niteliğine ve risk düzeyine uygun teknik ve idari tedbirleri uygular.

Kişisel veri ihlali yönetimi

Kişisel verilerin hukuka aykırı şekilde elde edildiğinin öğrenilmesi hâlinde; olayın sınırlandırılması, etkisinin değerlendirilmesi, delillerin korunması, risk azaltıcı tedbirlerin uygulanması ve mevzuatın gerektirdiği bildirimlerin yapılması için veri ihlali müdahale süreci işletilir. İlgili kişilere ve Kişisel Verileri Koruma Kurulu’na yapılacak bildirimler olayın koşullarına göre gecikmeksizin ele alınır.

Özel nitelikli kişisel verilerin korunması

Özel nitelikli kişisel veriler, hukuka aykırı işlenmeleri hâlinde ilgili kişi bakımından ayrımcılık veya ciddi mağduriyet riski doğurabilecek verilerdir. Seaacademyik; sağlık, engellilik, ceza mahkûmiyeti ve güvenlik tedbirleri, sendika üyeliği gibi verileri yalnızca ilgili süreç bakımından zorunlu ve ölçülü olduğu durumda işler.

İnsan kaynakları süreçlerinde uygulanabilecek hukuki koşullar

• İşleme faaliyetinin kanunlarda açıkça öngörülmesi,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal hizmetler alanındaki hukuki yükümlülüklerin yerine getirilmesi için işlemenin zorunlu olması,
• Bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması,
• İlgili kişinin alenileştirdiği verilerin alenileştirme iradesine uygun biçimde işlenmesi,
• Diğer işleme şartlarının bulunmadığı hâllerde, belirli ve özgür iradeye dayalı açık rıza alınması.

Özel nitelikli veriler için erişim yetkileri ayrıca sınırlandırılır; güvenli aktarım, kayıt, gizlilik, personel farkındalığı ve periyodik yetki kontrolü gibi ek önlemler uygulanır. İşe alım kararında ayrımcılığa yol açabilecek ve pozisyonla ilgisiz özel nitelikli veriler kullanılmaz.

İnternet sitesi, formlar, çerezler ve üçüncü taraf bağlantıları

İletişim ve başvuru formları

İnternet sitesindeki form alanlarına yazdığınız bilgiler; talebinizi almak, kimliğinizi ve iletişim tercihinizi doğrulamak, size dönüş yapmak, aday veya işveren sürecini başlatmak ve bilgi güvenliğini sağlamak için işlenir. Zorunlu alanlar, ilgili talebin cevaplanabilmesi için gereken asgari bilgiyle sınırlandırılmalıdır.

Çerez ve benzeri teknolojiler

Zorunlu çerezler; sayfanın çalışması, güvenlik, oturum ve tercihlerin korunması gibi temel işlevler için kullanılabilir. Analitik, reklam veya profilleme çerezleri kullanılması hâlinde, uygulanabilir hukuki şartlara göre çerez yönetim paneli üzerinden tercih sunulur ve gerekli olduğu durumda çalıştırılmadan önce açık rıza alınır. Rıza vermemek, zorunlu olmayan çerezleri reddetmek veya daha sonra tercihi değiştirmek temel site kullanımını engellememelidir.

Sunucu ve güvenlik kayıtları

IP adresi, erişim zamanı, talep edilen sayfa, hata kaydı ve temel cihaz / tarayıcı verileri; site güvenliği, kötüye kullanımın önlenmesi, teknik hata analizi ve mevzuattan doğan yükümlülükler için sınırlı süreyle kaydedilebilir.

WhatsApp, harita, video ve sosyal medya bağlantıları

Üçüncü taraf platformlara ait bağlantılara tıkladığınızda ilgili sağlayıcının kendi gizlilik koşulları uygulanabilir. Yalnızca bağlantı gösterilmesi ile, üçüncü taraf içeriğinin sayfaya gömülmesi ve ziyaretçi verisinin sağlayıcıya otomatik aktarılması aynı işlem değildir. Gömülü içerik veya üçüncü taraf teknoloji kullanılması hâlinde aktarım, çerez ve yurt dışı aktarım koşulları ayrıca değerlendirilir.

Aday eşleştirme, değerlendirme ve otomatik sistemler

Aday arama veya başvuru yönetim sistemleri; anahtar kelime, lokasyon, vardiya, deneyim, yetkinlik ve ücret beklentisi gibi pozisyonla ilişkili kriterlere göre sıralama veya eşleştirme desteği sağlayabilir. Bu araçlar kullanıldığında veri kalitesi, ayrımcılık riski, açıklanabilirlik ve insan kontrolü gözetilir.

• Aday hakkında hukuki veya benzer ölçüde önemli sonuç doğuran kararların yalnızca açıklanamayan otomatik puana dayandırılmaması esastır.
• Değerlendirme kriterleri pozisyonla ilgili, ölçülü ve doğrulanabilir olmalıdır.
• Cinsiyet, sağlık, siyasi görüş, din veya benzeri korunan özelliklere dayalı ayrımcı profil oluşturulmaz.
• İlgili kişi, kendisi aleyhine bir sonucun yalnızca otomatik sistemlerle analiz edilmesine itiraz etme hakkını kullanabilir.
• Yanlış veya güncel olmayan veri tespit edilirse düzeltme mekanizması işletilir.

Çocuklara ait kişisel veriler

İşe alım veya staj sürecinde reşit olmayan kişilere ait verilerin işlenmesi gündeme geldiğinde; yaş, hukuki işlem ehliyeti, veli / vasi onayı, iş mevzuatı ve çocuğun üstün yararı birlikte değerlendirilir. Çocuklardan pazarlama veya profilleme amacıyla gereksiz veri toplanmaz.

KVKK’nın 11’inci maddesi kapsamındaki haklarınız

Kişisel verisi işlenen gerçek kişiler, Kanun’un 11’inci maddesi uyarınca Seaacademyik’e başvurarak aşağıdaki haklarını kullanabilir.

Veri sorumlusuna başvuru yöntemi

KVKK kapsamındaki taleplerinizi, kimliğinizi doğrulamaya elverişli bilgi ve belgelerle birlikte aşağıdaki yöntemlerden biriyle iletebilirsiniz. Başvurunun güvenli ve doğru kişiye ait olduğunun doğrulanabilmesi için yalnızca gerekli ölçüde ek bilgi talep edilebilir.

Başvuruda bulunması gereken bilgiler

Başvuruların cevaplanması

Başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. İşlem ayrıca bir maliyet gerektirmediği sürece başvuru ücretsiz cevaplanır. Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücretin uygulanması gereken hâllerde başvuru sahibine bilgi verilir. Talep kabul edilir veya hukuki ve fiilî gerekçesi açıklanarak reddedilir; cevap yazılı ya da elektronik ortamda bildirilir.

Kimlik doğrulama ve temsil

Başkası adına yapılan başvurularda özel yetkiyi gösteren vekâletname veya kanuni temsil belgesi istenebilir. Kimlik belgesi örneği gerekli olursa, başvuru doğrulaması için gerekmeyen alanların kapatılması önerilir. Kimlik doğrulama verileri farklı bir amaçla kullanılmaz.

Kişisel Verileri Koruma Kurulu’na şikâyet hakkı

KVKK kapsamında Kurul’a şikâyette bulunmadan önce veri sorumlusuna başvuru yolu tüketilmelidir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi; veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir.

Kurul başvurularına ilişkin güncel usul, adres ve elektronik başvuru kanalları için Kişisel Verileri Koruma Kurumu’nun resmî internet sitesi olan kvkk.gov.tr ziyaret edilmelidir.

Politikanın güncellenmesi ve yürürlüğü

Bu politika; mevzuat, Kişisel Verileri Koruma Kurulu kararları, Seaacademyik hizmetleri, iş süreçleri veya kullanılan teknolojilerde meydana gelen değişiklikler doğrultusunda güncellenebilir. Maddi değişiklikler, niteliğine göre internet sitesinde yayımlanır veya ilgili kişilere uygun iletişim kanalıyla duyurulur.

Politikanın güncel sürümü https://seaacademyik.com adresinde yayımlandığı tarihte yürürlüğe girer. Önceki sürümler, ispat ve mevzuata uyum amaçlarıyla kontrollü biçimde arşivlenebilir.

KVKK hakkında sık sorulan sorular