Gizlilik Politikası

Veri işlemenin niteliği, kapsamı, bağlamı ve amaçları gereğince Banka, veri işlemenin etkisini tespit etmek, değerlendirmek, ölçmek, takip etmek ve riskleri minimize etmek için düzenli risk değerlendirmeleri ve bilgi güvenliği denetimleri gerçekleştirir. Banka, Düzenlemeler’e uyumu sağlamak için yeterli ve uygun teknik ve idari tedbirleri uygular ve bu tedbirlerin alındığını kayıt altına alır.

Banka buna ilişkin aşağıdaki başlıklar altında gerekli faaliyetleri yürütür:

5.1 Politika ve Prosedürler

• Çalışanların veri koruma ile ilgili rollerini ve sorumluluklarını anlamaları, bunlara ilişkin süreçlerin yürütülmesi ve denetlenmesi için gerekli çerçevelerin çizildiği politika ve prosedür dokümanları oluşturulmuştur.
• Politika ve prosedürler düzenli olarak güncellenmekte ve Düzenlemeler ile Banka’nın faaliyetlerine uyumluluğu gözetilmektedir.
• Politika ve prosedürler tüm çalışanların erişimine açık ve hazırdır.

5.2 Eğitim ve Farkındalık

• Tüm çalışanları kapsayan düzenli veri koruma eğitimi verilir ve yıllık olarak güncelliği kontrol edilir.
• Veri koruma konusunda özel rolü veya fonksiyonu olan personele, temel düzeyin ötesinde ek eğitimler sağlanır.
• Banka içerisinde personele yönelik farkındalık arttırıcı duyuru, etkinlik vb. çalışmalar yapılır.

5.3 İlgili Kişi Hakları

• Banka, veri sorumlusu sıfatıyla, ilgili kişilerin Kanun’un 11. maddesi kapsamında yer alan haklarıyla ilgili kişileri bilgilendirir.
• Kişilerin bu haklarına ilişkin taleplerini ileteceği kanallar tesis edilir.
• İletilen taleplerin incelenmesi, değerlendirilmesi ve süresi içerisinde karşılanması için Banka içerisinde gerekli organizasyonel akışlar tanımlanır.
• Hatalı kayıtların düzeltilmesi, eksik kayıtların tamamlanması veya gerektiğinde ek açıklamalar eklenmesi için uygun sistem ve prosedürler oluşturulur.

5.4 Şeffaflık

• İşlenen kişisel veriler, verilerin elde edilme yöntemleri, işlenme amaçları, aktarıldığı taraflar, ilgili kişi hakları ve başvuru kanalları bilgilerinin yer aldığı aydınlatma metinleri süreçlere yerleştirilmiştir.
•  Aydınlatma metinlerinin kişilere zamanında sunulduğunu ortaya koyabilecek kayıt sistemleri oluşturulmuştur.
• Kişilere sunulan bilgilerinin doğru, güncel ve etkili olduğundan emin olmak için bu bilgiler düzenli olarak gözden geçirilir.
• Aydınlatma metinleri kişilerin kolayca erişebileceği şekilde; Banka’nın internet sitesi, mobil uygulamaları ve internet bankacılığı platformları gibi elektronik ortamlarında dijital olarak, şube ve genel müdürlük gibi ortamlarda fiziksel olarak yayınlanır.

5.5 Hukuka Uygunluğun Sağlanması

• Kişisel verilerin işlenme amacına bağlı olarak işlemeye dayanak olan hukuki sebepler belirlenir, mevzuattaki değişiklikler ve gelişmeler doğrultusunda düzenli olarak kontrol edilir.
• Kişisel verilerin işlenmesinin hukuki sebebinin açık rıza olduğu hallerde, açık rızanın bilgilendirmeye dayalı ve özgür irade beyanıyla verilmesinin sağlanması için gerekli yapıları kurgular.
• Kişilerin diledikleri zaman açık rıza tercihlerini değiştirebileceği/geri alabileceği yapıları kurgular.

5.6 Risk Yönetimi

• Banka, kişisel verilere ilişkin riskleri belirler ve bu riskleri yönetmek için uygun politikaları, prosedürleri ve kontrolleri yürürlüğe alır.
• Riskleri yönetmek için tasarımda ve varsayılan olarak gizlilik ilkeleri uygulanır.
• Bilgiyi işleyen veya depolayan yazılımların (sistemlerin veya uygulamaların) kabul edilebilir kullanımı için kurallar belirlenmiştir, uygulamalar üzerinde risk değerlendirmeleri ve kontrolleri yapılır.
• Kişisel veri işleme faaliyetlerine ilişkin iç ve dış denetimler gerçekleştirilir.

5.7 Kayıt Yönetimi

• Kayıtların oluşturulması, bu kayıtların veri gizliliğine ve güvenliğine ilişkin standartlara uygun olarak muhafaza edilmesi sağlanır.
• Kişisel verilerin Banka içi dolaşımı ve Banka dışı aktarımı sırasında veri güvenliğini sağlayacak kontroller ve önemler alınır.
• Kişisel veriler için saklama süreleri belirlenir ve veriler belirlenen süreler doğrultusunda, ilgili politika ve prosedürlere uygun olarak periyodik olarak gözden geçirilir. Saklama süresi dolan veriler kayıt ortamlarında imha edilir.
• Kişisel verilere erişim yalnızca yetkili personelle sınırlandırır ve kullanıcıların erişim yetkileri düzenli olarak gözden geçirilir.
• Kayıt ortamlarına yetkisiz erişimlerin engellenmesi için gerekli teknik ve idari tedbirler alınır.
• Fiziksel alanlar, yetkisiz erişimi, tahribatı ve kişisel verilere yönelik müdahaleyi önlemek için güvenli hale getirilir.
• Ciddi kesintilere yönelik kurtarma planları, kişisel verilerin kaybına karşı koruma sağlamak için oluşturulmuş sistemler ile uygulamalar mevcuttur ve kayıt ortamlarında yedekleme yapılmaktadır.

5.8 İhlal Yönetimi

• Kişisel veri ihlal vakalarını tespit etmek, yönetmek, etkilerini azaltmak ve/veya ortadan kaldırmak ile uygun şekilde kaydetmek için Banka prosedürleri mevcuttur.
• Veri ihlali gerçekleşmesi halinde Banka içerisinde kimlere raporlama yapılacağı, Kanun kapsamında yapılacak bildirimler ile veri ihlalinin olası sonuçlarının değerlendirilmesi, sorumlulukların belirlenmesi gibi konuları içeren bir veri ihlali müdahale planı oluşturulmuş olup, belirli aralıklarla gözden geçirilir.
• Banka, ihlali öğrendiği tarihten itibaren, gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirir ve veri ihlalinden etkilenen kişiler belirlenerek makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa diğer yöntemlerle bildirim yapar.
• Veri ihlallerine ilişkin bilgiler, etkiler ve alınan önlemler kayıt altına alınır.