1. AMAÇ

Türkiye Cumhuriyeti Anayasa’sının 20’nci maddesine göre; herkes özel hayatına ve aile hayatına saygı gösterilmesini ve kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar.

Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacı ile 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanunu”) 07.04.2016 Tarihli 29677 Sayılı Resmi Gazetede yayımlanarak yürürlüğe girmiştir.

Panora İşletmecilik ve Ticaret Anonim Şirketi (“Şirket”), Şirket dahilinde; müşterilerden, hissedar/ortaklardan, ziyaretçilerden, tedarikçi yetkililerinden, tedarikçi çalışanlarından, taşeron yetkililerinden, taşeron çalışanlarından, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden, kefillerden, internet sitesi ve kioskları kullananlardan, kısacası sayılanlarla sınırlı olmamak üzere faaliyetler sırasında temas edilen kişilerden edindiği tüm kişisel verilerin işlenmesi, saklanması, aktarılmasına ilişkin işlemleri, Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”)’na göre gerçekleştirmektedir.

İşbu Politika ile kişisel verilerin işlenmesi ve işlenen verilerin korunmasına yönelik faaliyetler, kişisel verileri işlenen ilgilinin bilgilendirilmesi dahil hak ve yükümlülükleri ile veri sorumlusu olan Şirket’in ilgili yasalar kapsamındaki hak ve yükümlülükleri Şirket politikası haline getirilerek hukuka uygunluğun sağlanması amaçlanmaktadır.

2. TANIMLAR

KVK Kanunu ve işbu Politika’da kullanılan tanımlar aşağıdaki gibidir.

Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onay.
Anonim Hale Getirme	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişi ile ilişkilendirilemeyecek hâle getirilmesi.
İlgili Kişi	Kişisel verisi işlenen gerçek kişi.
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin bir parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi açıklanması, aktarılması, devralınması, elde edilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
KVK Kurulu	Kişisel Verileri Koruma Kurulu.
KVK Kurumu	Kişisel Verileri Koruma Kurumu.
KVK Kanunu	07 Nisan 2016 Tarihli ve 29677 Sayılı Resmi Gazete’de yayımlanan 6698 Sayılı Kişisel Verileri Koruma Kanunu.
Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Kayıt Sistemi	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
Veri Sorumlusu	Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve/veya tüzel kişi.

3. KİŞİSEL VERİLERİN İŞLENMESİNDE UYULACAK GENEL İLKELER

Şirket, başta Türkiye Cumhuriyeti Anayasası olmak üzere KVK Kanunu ile KVK Kurumu tarafından çıkartılacak olan her türlü düzenlemeye uygun olarak kişisel verileri hukuka uygun işleyecektir.

Bu kapsamda Şirket kişisel verilerin işlenmesinde aşağıda belirtilen ilkelere uygun olarak hareket ederek hukuka uygunluğu sağlayacak ve devamlılığını gözetecektir:

3.1. Hukuka ve Dürüstlük Kurallarına Uygun Olma

Şirket, Türkiye Cumhuriyeti Anayasası ile güvence altına alınan kişisel verileri ilgili Yasalar ve bu Yasalara uygun olarak çıkartılan ve çıkartılacak olan mevzuat kapsamında hukuka ve dürüstlük kuralına uygun işleyecektir.

3.2. Doğru ve Gerektiğinde Güncel Olma

Şirket; işlenen kişisel verilerin doğruluğuna ilişkin önlemleri azami derece almakta olup, herhangi bir hata olması halinde bunların düzeltilmesi ve işlenen kişisel verilerde değişiklik olması hallerinde gerekli güncellemeyi yapacaktır.

3.3. Belirli, Açık ve Meşru Amaçlar İçin İşleme

Şirket, kişisel verileri amaç ve faaliyetleri kapsamındaki yükümlülük ve taahhütleri gerçekleştirmek amacıyla KVK Kanunu’nun öngördüğü şekilde belirli, açık ve meşru amaçlar için işlemektedir.

3.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirket, sadece amaçlarının yerine getirilmesi ve faaliyetleri kapsamında ihtiyaç duyulan kişisel verileri işlemekte, amaç ve faaliyet alanı dışındaki kişisel verileri işlememektedir.

3.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme

Şirket tarafından işlenen kişisel veriler, ilgili Yasa ve mevzuatta öngörülen ve veri işlenme amaçları ile sınırlı olarak gerektiği süre kadar muhafaza edilmektedir. Bu kapsamda, Şirket öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya ilgili kişinin başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

4. KİŞİSEL VERİLERİN İŞLENMESİ GENEL ŞARTLARI

Kişisel veriler, Türkiye Cumhuriyeti Anayasasının 20’nci maddesinin üçüncü fıkrasında belirtildiği şekilde ancak Kanunda öngörülen hallerde veya kişinin açık rızası ile işlenebilmektedir. Bu kapsamda Şirket kişisel verileri amaç ve faaliyetleri kapsamında Kanunda öngörülen hallerde ve ilgili kişinin açık rızası ile işlemektedir.

KVK Kanunu’nun 5’inci maddesine göre kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. İlgili kişinin açık rızası belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür irade ile açıklanmalıdır.

Kişisel veriler, yine KVK Kanununun 5’inci maddesinin ikinci fıkrasında sayılan şartların birisinin bulunması halinde, açık rıza olmaksızın da işlenebilmektedir.

Buna göre;

4.1. Kanunlarda Açıkça Öngörülmesi Halinde

Gerek KVK Kanunu ve ilgili mevzuatı gerekse diğer Yasa ve mevzuatlarda açıkça öngörülmesi halinde, kişisel veriler ilgili kişinin rızası olmasa dahi işlenebilecektir. Şirket Kanunlarda öngörülmesi halinde açık rıza olmasa dahi kişisel verileri işleyecektir.

4.2. Fiili İmkânsızlık Nedeniyle Rızasını Açıklayamayacak Durumda Bulunan Veya Rızasına Hukuki Geçerlilik Tanınmayan Kişinin Kendisinin Ya Da Bir Başkasının Hayatı Veya Beden Bütünlüğünün Korunması İçin Zorunlu Olması Halinde

İlgili kişinin açık rıza veremeyecek durumda olması veya rızasına hukuken geçerlilik tanınamadığı hallerde ve ayrıca ilgili kişinin ya da bir başka kişinin hayatı veya beden bütünlüğünü korumak için zorunlu olması halinde Şirket tarafından kişisel veriler açık rıza olmaksızın işlenebilecektir.

4.3. Bir Sözleşmenin Kurulması Veya İfasıyla Doğrudan Doğruya İlgili Olması Kaydıyla, Sözleşmenin Taraflarına Ait Kişisel Verilerin İşlenmesinin Gerekli Olması Halinde

Bir sözleşmenin kurulması veya ifası ile doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde Şirket tarafından kişisel veriler açık rıza olmaksızın işlenebilecektir.

4.4. Veri Sorumlusunun Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması Halinde

KVK Kanunu ile Şirket veri sorumlusu olup, Şirket hukuki yükümlülüklerini yerine getirebilmek amacıyla zorunlu olan kişisel verileri açık rıza olmaksızın işleyebilecektir.

4.5. İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olması Halinde

İlgili kişinin herhangi bir yolla alenileştirmiş olduğu kişisel veriler Şirket amaç ve faaliyetleri için gerekli olması halinde açık rıza olmaksızın işlenebilecektir.

4.6. Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Veri İşlemenin Zorunlu Olması Halinde

Kişisel verinin işlenmesi bir hakkın tesisi, kullanılması veya korunması için zorunlu olması hallinde kişisel veriler ilgili kişinin rızası olmaksızın işlenebilecektir.

4.7. İlgili Kişinin Temel Hak Ve Özgürlüklerine Zarar Vermemek Kaydıyla, Veri Sorumlusunun Meşru Menfaatleri İçin Veri İşlenmesinin Zorunlu Olması Halinde

Şirket’in meşru menfaatlerinin korunması için kişisel verilerin işlenmesinin zorunlu olması halinde kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket tarafından kişisel veriler rıza olmaksızın işlenebilecektir.

Şirket tarafından işlenen kişisel veriler yukarıda belirtilen KVK Kanunu’nun 5’inci maddesinin ikinci fıkrasında sayılan şartlardan bir ve/veya birkaçına dayalı olarak ve bu şartlarla sınırlı olarak işlenmektedir.

Şirket tarafından yukarıda sayılanlar dışında kişisel veri işlenme ihtiyacı ortaya çıkması halinde ilgili kişiden açık rıza alınarak veri işlenecektir.

5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

Kanun kapsamında hassasiyet arz eden kişisel verilere, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir. Bu “özel nitelikli” kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde işlenmektedir:

(i) Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde müşteriler, kiracılar, ziyaretçiler, çalışanlar, hissedarlar, tedarikçiler, taşeronlar, üçüncü kişilerin açık rızaları aranmaksızın işlenebilecektir. Aksi halde belirtilen kişilerin açık rızası alınacaktır.

(ii) Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde yukarıda (i) maddesinde belirtilenlerin açık rızası alınacaktır.

6. KİŞİSEL VERİLERİN TOPLANMA VE İŞLENME YÖNTEMLERİ İLE HUKUKİ SEBEPLERİ

Müşteriler, kiracılar, ziyaretçiler, çalışanlar, hissedarlar, tedarikçiler, taşeronlar, üçüncü kişilerin kişisel verileri Şirketi ile temas etmeniz halinde, Şirketin yönetimi tarafından, matbu ve çevrimiçi formlar, telefon, faks, e-posta, kargo v.b. vasıtalarla elektronik ve/veya fiziki ortamdan toplanmakta ve işlenmektedir.

Bunun haricinde, kişisel veriler Kanun’un 5. ve 6. maddelerinde düzenlenen hükümler çerçevesinde ve ayrıca bulunması halinde açık rıza hukuki sebeplerine dayalı olarak işlenmektedir.

7. KİŞİSEL VERİ KATEGORİLERİ

Şirket tarafından toplanan ve kullanılan, kişisel veriler özellikle şunlardır:

KİŞİSEL VERİ KATEGORİLERİ	AÇIKLAMA
Kimlik Verisi	Müşterilerden, hissedar/ortaklardan, tedarikçi yetkililerinden, tedarikçi çalışanlarından, taşeron çalışanlarından, taşeron yetkililerinden, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden, kefillerden ve diğer üçüncü kişilerden toplanan; Ad-Soyad Bilgisi, T.C. Kimlik Numarası Bilgisi, Uyruk Bilgisi, Anne Adı- Baba Adı Bilgisi, Medeni Hal Bilgisi, Nüfus Cüzdanı Seri Numarası Bilgisi, Nüfus Cüzdanı Sıra Numarası Bilgisi, Doğum Yeri Bilgisi, Doğum Tarihi Bilgisi, Cinsiyet Gibi Bilgeleri İçeren Ehliyet, Pasaport Nüfus Cüzdanı Sureti Gibi Belgeler, İmza/Paraf Bilgisi.
İletişim Verisi	Müşterilerden, hissedar/ortaklardan, tedarikçi yetkililerinden, tedarikçi çalışanlarından, taşeron çalışanlarından, taşeron yetkililerinden, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden, kefillerden ve diğer üçüncü kişilerden toplanan; Telefon Numarası Bilgisi, Faks Numarası Bilgisi, Açık Adres Bilgisi, Kayıtlı Elektronik Posta (KEP) Bilgisi, E-Posta Adresi Bilgisi. (Dâhili Numarası ve Kurumsal E-Posta Adresi Dâhil)
Özlük Verisi	Alt yüklenici, tedarikçi, taşeron ve benzeri iş ilişkide bulunulan kurumların yetkilileri ve çalışanlarından toplanan; Bordro Bilgileri gibi gerçek kişilerin özlük haklarının oluşmasına temel olan her türlü kişisel veriler.
Hukuki İşlem Verisi	Müşterilerden, hissedar/ortaklardan, tedarikçi yetkililerinden, tedarikçi çalışanlarından, kiracı yetkililerinden ve diğer üçüncü kişilerden toplanan; Hukuki alacak ve hakların tespiti, takibi ve borçların ifası ile kanuni yükümlülükler ve Şirket politikalarına uyum kapsamında işlenen kişisel veriler ile icra takip dosyalarına ilişkin dosya ve borç bilgileri (Mahkeme ve idari merci kararları gibi belgelerde yer alan bilgiler).
Müşteri İşlem Verisi	Müşterilerden, ziyaretçilerden, tedarikçi yetkililerinden, taşeron yetkililerinden, kiracı yetkililerinden ve diğer üçüncü kişilerden toplanan; Fatura Bilgisi, Çek/Senet Bilgisi, Etkinlik ve Kampanyalar Esnasında Toplanan Form Belgeleri, Başvuru ve Şikâyet Formları.
Fiziksel Mekân Güvenlik Verisi	Müşterilerden, ziyaretçilerden, hissedar/ortaklardan, tedarikçi yetkililerinden, tedarikçi çalışanlarından, taşeron yetkililerinden, taşeron çalışanlarından, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden ve diğer üçüncü kişilerden toplanan; Fiziksel mekâna girişte ve mekânın içerisinde kalış sırasında alınan güvenlik ve kamera kayıtları gibi kişisel verilerdir.
Risk Yönetimi Verisi	Müşterilerden, hissedar/ortaklardan, kiracı şirketin yetkililerinden, taşeron çalışanlarından, taşeron yetkililerinden, tedarikçi çalışanı, tedarikçi yetkililerinden ve diğer üçüncü kişilerden toplanan; Ticari, teknik ve idari risklerimizi yönetebilmemiz için bu alanlarda genel kabul görmüş hukuki, ticari teamül ve dürüstlük kuralına uygun olarak kullanılan yöntemler vasıtasıyla işlenen kişisel veriler.
Finansal Veri	Müşterilerden, tedarikçi yetkililerinden, taşeron yetkililerinden, kiracı yetkililerinden ve diğer üçüncü kişilerden toplanan; Vergi Numarası Bilgisi, Harcama Tutarı Bilgisi, Ödeme Bilgisi, Banka Hesap Bilgisi Kredi Kartı Bilgileri.
Pazarlama Verisi	Müşterilerden pazarlama amacıyla topladığımız; Alışveriş Alışkanlıkları Bilgileri, Müşteri Beğenilerini Gösteren Kayıt ve Değerlendirme Bilgileri, Anket Kayıtları Bilgisi, Çerez Kayıtları Bilgisi gibi kampanya çalışması ile elde edilen veriler.
Görsel/İşitsel Verisi	Müşterilerden, ziyaretçilerden, hissedar/ortaklardan, tedarikçi çalışanlarından, taşeron çalışanlarından, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden ve diğer üçüncü kişilerden toplanan; Fiziksel mekân güvenlik bilgileri kapsamına girmeyen fotoğraf, ses ve görüntü kaydı gibi kişisel verilerdir.
Özel Nitelikli Kişisel Veriler	Müşterilerden, acil durum hallerinden kaynaklı olarak gerektiği takdirde alışveriş merkezinin acil tıbbi müdahale ünitesinde görev alan tıbbi teknikerler tarafından sağlık verisi alınabilmektedir.
Diğer Veriler	Müşterilerden, ziyaretçilerden, hissedar/ortaklardan, tedarikçi yetkililerinden, tedarikçi çalışanlarından, taşeron yetkililerinden, taşeron çalışanlarından, kiracı yetkililerinden, kiracı çalışanlarından, kiracıların işbirliği içerisinde olduğu taşeron çalışanlarından, habere konu kişilerden ve diğer üçüncü kişilerden toplanan; Plaka Tanıma Sistemi Bilgileri, Otopark Giriş-Çıkış Saati Bilgileri, Alışveriş ve İş Merkezi Giriş ve Çıkış Saati Bilgileri.

8. KİŞİSEL VERİ KONUSU KİŞİ GRUPLARI

Kişisel verileri işlenen veri sahiplerinin sınıflandırılması aşağıdaki gibidir.

KİŞİSEL VERİ KONUSU KİŞİ GRUBU	AÇIKLAMA
Müşteri	Panora Alışveriş Merkezi’ne alışveriş ve ziyaret amacıyla gelen, hizmetlerinden faydalanan, internet sitesini, kioskları kullanan gerçek kişiler anlamına gelmektedir.
Ziyaretçi	Şirket’e iş ve ziyaret amacı ile gelen gerçek kişiler anlamına gelmektedir.
Hissedar/Ortak	Şirket gerçek ve tüzel kişi ortakları.
Kiracı	Panora Alışveriş Merkezi ile kira ilişkisi içerisinde olan ve/veya olma yönünde talebi bulunan gerçek ve/veya tüzel kişi hissedarları, yetkilileri veya çalışanları olan gerçek kişiler anlamına gelmektedir.
Tedarikçi	Şirket kiracılarına ürün ya da hizmet sağlayan şirketlerin hissedarları, yetkilileri veya çalışanları olan gerçek kişiler anlamına gelmektedir.
Taşeron	Bir iş veya bir işin bir bölüm veya eklentileri için iş alan gerçek kişiler ile bu kişinin kendi adına sigortalı olarak çalıştırdığı gerçek kişiler anlamına gelmektedir.
Kefil	Gerçek kişi garantör anlamına gelmektedir.
Habere Konu Kişi	Halka mal olmuş gerçek kişi ünlü anlamına gelmektedir.
Diğer Üçüncü Kişiler	Şirket’in faaliyetleri ile doğrudan ilişkili olmasa da Şirket’in ürün ve/veya hizmetlerinden yararlanan diğer gerçek kişiler anlamına gelmektedir.

9. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

Şirket; kişisel verileri, KVK Kanunu ve ilgili diğer mevzuat hükümleri ile işbu Şirket Politikası kapsamında aşağıda belirtilen amaçlar ve şartlar çerçevesinde ancak bunlarla sınırlı olmamak kaydıyla işlemektedir.

9.1. Şirket İnsan Kaynakları Prosedür, Politika ve Süreçlerini Planlanması ve/veya Uygulanması Amacıyla;

• Çalışanların iş faaliyetlerinin takibi ve/veya denetimi,
• Görevlendirme süreçlerinin mevzuata uygun yönetilmesi,
• İş sağlığı ve/veya güvenliği çerçevesinde gerçekleştirilmesi gereken faaliyetlerin planlanması ve/veya icrası,
• Alt işveren çalışanlarının özlük kayıtlarının oluşturulması, denetimi ve/veya takibi faaliyetlerinin planlanması ve/veya icrası.

9.2. Şirket ve/veya Şirketle İş İlişkisi İçerisinde Olan Üçüncü Kişilerin Hem Hukuki Hem Teknik Anlamda Güvenliğinin Sağlanması Faaliyetlerinin Planlanması ve /veya Uygulanması Amacıyla;

• Şirket faaliyetlerinin Şirket prosedürleri ve/veya ilgili mevzuata uygun olarak yürütülmesinin temini için gerekli operasyonel faaliyetlerinin düzenlenmesi ve/veya icrası ve güvenliği ile faaliyetlerin mevzuata uygun yürütülmesi,
• Şirket iç/dış denetim, teftiş, soruşturma ve/veya kontrol faaliyetlerinin planlanması ve/veya icrası,
• Şirket yerleşkeleri ve/veya tesislerinin güvenliğinin temini,
• Hukuk işlerinin, sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,
• Hukuki ilişkinin sona ermesinden sonra işlem geçmişine ilişkin bilgilerin uyuşmazlık halinde delil olarak kullanılması,
• Resmi kurum ve/veya kuruluşlardan talep edilen bilgi veya belge ile taleplerin sağlanması ve kayıt altına alınması faaliyetlerinin düzenlenmesi ve/veya icrası,
• Acil durum ve/veya olay yönetimi süreçlerinin planlanması ve/veya icrası,
• Bilgi teknolojileri alt yapısının oluşturulması ve/veya yönetilmesi,
• Erişim yetkilerinin yürütülmesi,
• Şirket dışındaki kişilerin bilgiye erişim yetkisinin tanımlanması ve/veya denetimi,
• Verilerin doğru ve/veya güncel olmasının sağlanması,
• Şirket demirbaşlarının ve/veya kaynaklarının güvenliğinin temini,
• Fiziksel mekân güvenliğinin temini.

9.3. Şirket Tarafından ve/veya Şirket Nam Ve Hesabına Sunulan Ürün ve/veya Hizmetlerden İlgili Kişileri Faydalandırmak Ve Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi İçin Gerekli Çalışmaların Gerçekleştirilmesi Ve İlgili İş Süreçlerinin Devamlılığının Sağlanması Amacıyla;

• Müşteri ilişkileri yönetimi süreçlerinin yürütülmesi,
• Dijital ve/veya diğer mecralar aracılığı ile toplanan müşteri talep ve/veya şikâyetlerinin değerlendirilmesi,
• Dijital ve/veya diğer mecralarda reklam ve/veya tanıtım, kampanya, promosyon ve/veya pazarlama aktivitelerinin tasarlanması ve/veya icrası,
• Şirket web sitesi de dahil olmak üzere yazılı ve görsel basın, sosyal medya veya afiş/katalog/bülten gibi şirketin haberlerinin ve reklamlarının geçtiği tüm belge ve mecralarda yayınlanması/paylaşılması,
• Kurumsal iletişim ve bu kapsamda sair organizasyon, etkinlik, kampanya, konser ve davetlerin düzenlenmesi ve bunlar hakkında bilgilendirme yapılması,
• Çekiliş/kampanya kayıtlarının oluşturulması ve çekiliş işlemlerinin yürütülmesi,
• Pazar araştırma çalışmalarının yürütülmesi,
• Satış ve pazarlama analiz çalışmalarını ile Ürün/Hizmetlerin pazarlama süreçlerinin yönetilmesi,
• Ziyaretçi kayıtlarının oluşturulması ve takibi.

9.4. Şirket Tarafından Yürütülen Ticari ve/veya Operasyonel Faaliyetlerin Gerçekleştirilmesi İçin İlgili İş Birimler Tarafından Gerekli Çalışmaların Yapılması Ve Buna Bağlı İş Süreçlerinin Yürütülmesi Amacıyla,

• Mal/hizmet satın alma süreçlerinin planlanması ve yürütülmesi,
• Mal/hizmet satış süreçlerinin yürütülmesi,
• Mal hizmet satış sonrası destek hizmetlerin yürütülmesi,
• Finans ve/veya muhasebe işlerinin takibi, iş faaliyetlerinin verimlilik ve/veya yerindelik analizlerinin gerçekleştirilmesi faaliyetlerinin planlanması ve/veya icrası,
• Kurumsal yönetim faaliyetlerinin planlanması ve/veya icrası,
• Şirket ürünlerinin stok ve/veya sevkiyat işlemlerinin planlanması ve/veya icrası,
• Kurumsal iletişim faaliyetlerinin planlanması ve yürütülmesi,
• Operasyon ve/veya verimlilik süreçlerinin planlanması ve/veya uygulanması,
• Şirket içi/dışı raporlama faaliyetlerinin planlanması ve/veya icrası.

9.5. Şirket Ticari Hayatının ve İş Geliştirme Stratejilerinin Planlanması, Düzenlenmesi ve Uygulanması Amacıyla,

• Şirketin finansal risk süreçlerinin planlanması ve/veya icrası,
• Saklama ve arşiv faaliyetlerinin yürütülmesi,
• Yatırım süreçlerinin yönetilmesi,
• İş ortakları /tedarikçi ve taşeronlarla olan ilişkilerin yönetimi,
• Hissedarları, bağlı ortaklıkları ve iştiraklari ile olan organik bağ süreçlerinin getirdiği faaliyetlerin düzenlenmesi ve süreçlerin yönetimi,
• Şirket ve ortaklık hukuku işlemlerinin gerçekleştirilmesi faaliyetlerinin planlanması ve/veya icrası,
• Taşınmaz kiralama süreçlerinin planlanması ve/veya icrası,
• Kiracı/kiracı çalışanları/kiracı taşeronları ilişkilerinin operasyonel yönetimi, güvenliği ve icrası.

10. KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN HUSUSLAR

Şirket, hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak topladığı kişisel verileri gerektiği hallerde üçüncü kişilere aktarabilmektedir. Şirket bu doğrultuda Kanun’un 8’inci ve 9’uncu maddesinde öngörülen düzenlemelere uygun hareket etmektedir.

10.1. Kişisel Verilerin Aktarılması

Kişisel veri sahiplerinin açık rızası olmasa dahi aşağıda belirtilen şartlardan bir ya da birkaçının mevcut olması halinde Şirket tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler de dahil gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir.

• Kişisel verilerin aktarılmasına ilişkin ilgili faaliyetlerin kanunlarda açıkça öngörülmesi,
• Kişisel verilerin Şirket tarafından aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,
• Kişisel verilerin aktarılmasının Şirketin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Kişisel verilerin veri sahipleri tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde Şirket tarafından aktarılması,
• Kişisel verilerin Şirket tarafından aktarılmasının Şirket’in veya ilgili kişinin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması,
• Kişisel veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri aktarımı faaliyetinde bulunulmasının zorunlu olması,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması.

Kişisel veriler yurt dışına aktarılacak ise yukarıda yer alan şartlara ek olarak Şirket tarafından kişisel veriler, Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılır.

10.2. Özel Nitelikli Kişisel Verilerin Aktarılması

Şirket, özel nitelikli kişisel verileri, işbu Politika ’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alarak ve aşağıdaki şartların varlığı halinde aktarılabilecektir:

(i) Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde müşteriler, kiracılar, ziyaretçiler, çalışanlar, hissedarlar, tedarikçiler, taşeronlar, üçüncü kişilerin açık rıza aranmaksızın aktarılabilecektir. Aksi halde çalışanlarımızın açık rızası alınacaktır.

(ii) Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın aktarılabilecektir. Aksi halde müşteriler, kiracılar, ziyaretçiler, çalışanlar, hissedarlar, tedarikçiler, taşeronlar, üçüncü kişilerin açık rızası alınacaktır.

Eğer özel nitelikli kişisel veriler yurt dışına aktarılacak ise yukarıda yer alan şartlara ek olarak Yeterli Korumaya Sahip Yabancı Ülkeler’e veya Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkeler’e özel nitelikli kişisel veriler aktarılır.

Şirket’in elde etmiş olduğu kişisel veriler, kural olarak yurtdışı ile paylaşılmamaktadır. Ancak; müşteriler, yaptıkları alışverişler sonrasında vergi iadelerinin sağlanması için TAX-FREE sistemine başvuru yapmaktadırlar. TAX-FREE sitemi kapsamında, vergileri iade edilecek kişiler, pasaport ve alışveriş bilgilerini, Global Blue Turistik Hizmetler Anonim Şirketi ile paylaşarak vergi iadelerini gerçekleştirmektedirler.

11. KİŞİSEL VERİLERİN SAKLANMASI

Şirket tarafından işlenen bu veriler ilgili Kanunlarda ve mevzuatlarda öngörülen süre boyunca saklanmaktadır. Bu kapsamda, Şirket öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya ilgili kişinin başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

Bununla birlikte; kişisel verilerin işlenme amacı sona ermiş ve ilgili Kanun ve mevzuatlarda öngörülen süreler dolmuş olsa dahi, işlenen kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ileri sürülebilecek her türlü hak ve talebe ilişkin savunmanın tesis edilmesi amacıyla saklanabilecektir. Bu saklama sürelerinin belirlenmesinde kişisel veriye bağlı ileri sürülebilecek her türlü hak ve talebe ilişkin zamanaşımı süreleri geçse dahi daha önce Şirket aleyhine yöneltilen benzer hak ve talepler de göz önüne alınarak belirlenecektir. Bu kapsamda saklanan kişisel veriler yalnızca hukuki uyuşmazlıklarda kullanılması gerektiğinde kullanılacak, başka herhangi bir amaç için bu verilere erişim sağlanmayacaktır.

12. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ USULLERİ

Şirket tarafından başta Türkiye Cumhuriyeti Anayasası olmak üzere ilgili Kanun ve Yönetmeliklere uygun olarak işlenen kişisel veriler KVK Kanunu’nun 7’inci maddesi hükmü gereğince; işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler Şirket tarafından alınacak karar ile veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir.

Şirket, tarafından kişisel verilerin silinmesi ve yok edilmesi aşamasında; kişisel veriler fiziksel olarak yok edilmesi, yazılımdan güvenli yöntemlerle silinmesi ve gerekmesi halinde uzmanlar tarafından güvenli şekilde bir daha kurtarılamayacak şekilde silinerek yok edilir.

Şirket kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin olarak diğer kanunlarda yer alan hükümler ile KVK Kurulu tarafından yönetmelikle belirlenecek usul ve esasları da göz önüne alacaktır.

13. VERİ AKTARIMI YAPILABİLECEK ALICI GRUPLARI VE AKTARIM AMAÇLARI

Şirket tarafından işlenen kişisel veriler, işlenme amaçları ile sınırlı olarak ve KVK Kanunu’nun 8 ve 9’uncu maddelerinde öngörülen düzenlemelere uygun olarak aşağıda yer alan üçüncü kişilere aktarılmaktadır.

Şirket tarafından kişisel verilerin aktarılması aşamasında gerekli koruma ve güvenlik tedbirleri alınmaktadır.

Veri Aktarımı Yapılabilecek Kişiler	Tanımı	Veri Aktarım Amacı
Tedarikçiler	Şirket ticari faaliyetlerinin yürütülmesi kapsamında Şirket veri işleme amaçları ve talimatları doğrultusunda Şirkete hizmet sunan taraflar anlamına gelmektedir. Bu kapsamda; Şirket’in iş sağlığı ve güvenliğinin sağlanması amacı ile İş Sağlığı ve Güvenliği Firması ve İş Yeri Hekimi, Şirket’in ve Şirket ile iş ilişkisi içerisinde olan ilgili kişilerin hukuki ve teknik güvenliğinin temini faaliyetlerinin planlanması ve/veya icrası kapsamında Şirket’in anlaşmalı olarak çalıştığı Güvenlik Firması ve Bilişim Firması, Şirket tarafından ve/veya Şirket nam ve hesabına sunulan ürün ve/veya hizmetlerden ilgili kişileri faydalandırmak için gerekli çalışmaların yapılması ve ilgili iş süreçlerinin yürütülmesi kapsamında Şirket’in anlaşmalı olarak çalıştığı Yazılım Firmaları, İletişim Firmaları ve Danışmanlık Firmaları Yapılan alışverişler sonrasında müşterilerin vergi iadelerinin sağlanması kapsamında Turizm Alışveriş Vergi İadesi Firması, Ödemelerin gerçekleştirilmesi kapsamında Türkiye Bankalar Birliği bünyesindeki bankalar veya diğer finansal kuruluşlar,	Şirketin tedarikçiden dış kaynaklı olarak temin ettiği ve Şirketin ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin Şirkete sunulmasını sağlamak amacıyla sınırlı olarak kişisel veriler aktarılmaktadır.
Hissedarlar/İştirakler ve Bağlı Ortaklıklar	İlgili mevzuat hükümlerine göre Şirketin ticari faaliyetlerine ilişkin stratejilerinin ve denetim faaliyetlerinin tasarlanması konusunda yetkili olan Panora Gayrimenkul ve Yatırım Ortaklığı Anonim Şirketi anlamına gelmektedir.	İlgili mevzuat hükümlerine göre Şirketin ticari faaliyetlerine ilişkin stratejilerin tasarlanması ve denetim amaçlarıyla sınırlı olarak kişisel veriler aktarılmaktadır.
Kanunen Yetkili Kamu Kurum ve Kuruluşları	İlgili mevzuat hükümlerine göre Şirketten bilgi ve belge almaya yetkili kamu kurum ve kuruluşları anlamına gelmektedir. Mahkemeler, Noterler, Vergi Daireleri, Emniyet Birimleri v.b.	İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dâhilinde talep ettiği amaçla sınırlı olarak kişisel veriler aktarılmaktadır.
Kanunen Yetkili Özel Kurumlar ve Özel Hukuk Gerçek ve Tüzel Kişileri	İlgili mevzuat hükümleri uyarınca kanunen belirlenmiş belirli şartlara uygun olarak kurulmuş ve yine kanunun belirlediği çerçevede faaliyetlerini devam ettiren kurum veya kuruluşlar anlamına gelmektedir. İş birliği kapsamında çalışılan firmalarımız ile paylaşılmaktadır. Denetim faaliyetlerinin yürütülmesi kapsamında anlaşmalı olduğumuz denetim şirketleri ile kişisel veriler paylaşılmaktadır. Çekiliş faaliyetlerinin yürütülmesi kapsamında Milli Piyango İdaresi Genel Müdürlüğü ile paylaşılmaktadır. Hukuk faaliyetlerinin yürütülmesi kapsamında anlaşmalı olduğumuz hukuk büroları ile kişisel veriler paylaşılmaktadır.	İlgili özel kurum ve kuruluşların yürütmekte olduğu faaliyetler kapsamında giren konular ile ilgili sınırlı olarak ve gerçek kişilere sağlanan hak ve menfaatlerin sağlanması amacıyla kişisel veriler paylaşılmaktadır.
Taşeronlar	Bir iş veya bir işin bir bölüm veya eklentileri için Şirket’ten iş alan taraflar anlamına gelmektedir.	Şirket’in ticari faaliyetlerini yerine getirmek amacıyla sınırlı olarak kişisel veriler aktarılmaktadır.
Panora Alışveriş Merkezi Kiracıları/Çalışanları	Panora Alışveriş Merkezi kiracıları ile bahse konu kiracıların yetkilileri ve çalışanları anlamına gelmektedir.	Şirket’in ticari faaliyetlerini yerine getirmek amacıyla sınırlı olarak kişisel veriler aktarılmaktadır.
Herkese Açık	İnternet sitesi ile sosyal medya hesaplarını ziyaret eden, Milli Piyango çekilişlerini kazanan kişilerin ilan edildiği gazete haberlerine fiziken ve/veya elektronik ortamlardan ulaşan, yine Milli Piyango çekilişlerini kazanan kişilerin ilan edildiği ve Panora Alışveriş Merkezi içerisindeki belirli noktalarda yer alan panolara ulaşan herkes anlamına gelmektedir.	İnternet sitesi, sosyal medya hesapları ve Milli Piyango çekilişlerini kazanan kişilerin ilan edildiği gazete ve panolarda yer alan kişisel veriler bahse konu internet sitesi ile sosyal medya hesaplarını ziyaret eden, gazete ve panolara ulaşan herkes’e aktarılmaktadır.

14. İLGİLİ KİŞİLERİN AYDINLATILMASI

Şirket tarafından kişisel verileri işlenen ilgili kişinin aydınlatılması ve bilgilendirilmesi amacına yönelik olarak “Kişisel Verilerin Korunması Kanunu Hakkında Aydınlatma Metni” hazırlanmış olup, ilgili kişilere aydınlatma metni ile KVK Kanununda öngörülen şekilde ve sürelerde gerekli bilgilendirme yapılmaktadır.

Aydınlatma Metni’nde veri sorumlusu Şirket unvanı, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel verilerin toplanma yöntemi ve hukuki sebebi ile ilgili kişinin KVK Kanunu’nun 11’nci maddesindeki haklarına ilişkin aydınlatma ve bilgilendirme yapılmaktadır.

Ayrıca bu metin ile de Şirket’in kişisel verilerin korunması ve işlenmesi usul ve esasları belirlendiği kadar ilgili kişiler KVK Kanunu kapsamında ayrıntılı olarak da aydınlatılmakta ve bilgilendirilmektedir.

Şirket, KVK Kanunu kapsamındaki aydınlatma yükümlülüğünü zaman kısıtlaması olmaksızın değişik tarih ve şekillerde yerine getirmektedir. Bu kapsamda gerek Kişisel Verilerin Korunması Kanunu Hakkında Aydınlatma Metni gerekse belirlenen Şirket Politikaları ile KVK Kanunu kapsamındaki diğer aydınlatıcı ve bilgilendirici hususlar başta kamuoyuna açık şekilde http://www.panora.com.tr/kvkk internet adresi olmak üzere duyurulmaktadır.

Ayrıca Şirket tarafından tüm bu hususlar elektronik posta, SMS, posta kanalı ve belirlenecek diğer yöntemlerle kişisel veri sahiplerine bildirilecektir.

Şirket tarafından yapılacak bu aydınlatma ve bilgilendirme aşamasında gerekmesi halinde katmanlı bilgilendirme yöntemi de dahil birçok farklı yöntemler kullanılabilecektir.

15. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINMASI GEREKEN TEDBİRLER

Şirket, KVK Kanunu’nun 12’inci maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptırmaktadır. İşlenen kişisel verilerin teknik ve idari tüm tedbirler alınmış olmasına rağmen, kanuni olmayan yollarla üçüncü kişiler tarafından ele geçirilmesi durumunda Şirket, bu durumu mümkün olan en kısa süre içerisinde ilgili birimlere haber verir.

15.1. İdari Tedbirler

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Çalışanlar ile Şirket arasındaki ilişkiyi düzenleyen ve kişisel veri içeren her türlü belgeye kişisel verilerin hukuka uygun olarak işlenmesi için KVK Kanunu ile öngörülen yükümlülüklere uygun hareket edilmesi gerektiğine, kişisel verilerin ifşa edilmemesi gerektiğine, kişisel verilerin hukuka aykırı olarak kullanılmaması gerektiğine ve kişisel verilere ilişkin gizlilik yükümlülüğünün Şirket ile olan iş akdinin sona ermesinden sonra dahi devam ettiğine ilişkin kayıtlar eklenmektedir.
• Çalışanlar, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda Şirket tarafından bilgilendirilmekte ve bu doğrultuda çalışanlardan gerekli taahhütlenameler alınmaktadır.
• Çalışanlar tarafından gerçekleştirilecek kişisel veri işleme faaliyetleri için şirket içinde sorumlu çalışanlar tayin edilmektedir. Kişisel veri işleme faaliyetleri neticesinde elde edilen kişisel verilere erişim yetkisi olacak çalışan sayısı olabildiğince sınırlı tutulmaktadır. Bu kapsamda; kişisel verilere erişimi gereksiz olan çalışanlar var ise bu çalışanların erişim yetkilerini kaldırılmakta veya sınırlandırılmaktadır.
• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulanmaya başlanmıştır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durum en kısa sürede ilgilisine ve KVK Kurul’una bildirilmektedir.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri işlenmesi hukuksal uyum gerekliliklerine uygun olarak Şirket içinde iş birimi bazında kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Şirket tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.
• Şirket tarafından kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam edilmektedir.
• Şirket tarafından, iş birimi bazında kişisel veri işlenmesi hukuksal uyum gerekliliklerine uygun olarak Şirket içinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.
• Şirket tarafından çalışanların iş faaliyetlerine ilişkin kişisel verilerinin işlenmesi sonucunda elde edilen veriler üzerinden bir çalışan aleyhinde şikâyet prosedürü veya disiplin süreci başlatılmadan önce, çalışanlara elde edilmiş verileri görme, bu veriler hakkında açıklamada bulunma ve savunma hakkı verilmektedir.
• Şirket tüzel kişiliği nezdinde KVK Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapılmakta ve/veya yaptırılmaktadır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini giderilmektedir.
• Şirket tarafından, veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda farkındalığını sağlanmaktadır.
• Şirket tarafından, veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Şirket’in, kişisel verileri aktardığı üçüncü şahısların da, işbu Politika ve KVK Kanunu hükümleri doğrultusunda verileri hukuka uygun olarak işleme ve muhafaza etme ve verilere hukuka uygun olarak erişme yükümlülüklerini yerine getirmesinden KVK Kanunu’nun 12’inci maddesi uyarınca sorumluluğu bulunmaktadır. Bu nedenle; Şirket tarafından üçüncü kişilere veri aktarılırken, Şirket ile üçüncü kişiler arasında imzalanacak sözleşmelerde ve her türlü düzenlemede bu şartların sağlanmasını ve Şirket’e denetim yapma yetkisi verilmesini içeren taahhütler üçüncü kişilerden alınmaktadır.

15.2. Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Çalışanlara ait kişisel verilerin dizüstü bilgisayarlar gibi çeşitli vasıtalarla işyerinden çıkarılması halinde gerekli güvenlik önlemlerinin alınması ve bu önlemler hakkında ilgili çalışanların bilgilendirilmesi sağlanmaktadır.
• Erişim logları düzenli olarak tutulmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• İş birimi bazında belirlenen hukuksal uyum gerekliliklerine uygun olarak erişim ve yetkilendirme teknik çözümleri devreye alınmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kişisel verilerin güvenliğini sağlamak için gereken tüm makul önlemler alınmaktadır. Alınan önlemler, yetkisiz erişim risklerini, kaza ile veri kayıplarını, verilerin kasti silinmesini veya verilerin zarar görmesini engelleyecek şekilde kurgulanmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Teknolojideki gelişmelere uygun teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmek ve yenilenmektedir.
• Teknik konularda bilgili personel istihdam edilmektedir.
• Veri korunması ile ilgili şifreleme yapılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

15.3. Kişisel Verilerin Korunması Konusunda Alınan Tedbirlerin Denetimi

KVK Kanunu kapsamında, Şirket veri sorumlusu sıfatına haiz olacak olup VERBİS sistemine kayıt olacaktır. Yönetmelik’in 11’inci maddesinin 1inci fıkrasında “Türkiye’de yerleşik olan tüzel kişilerin Kanun kapsamındaki veri sorumlusu yükümlülükleri, ilgili mevzuat hükümlerine göre tüzel kişiliği temsil ve ilzama yetkili yetkili organ veya ilgili mevzuatta belirtilen kişi veya kişiler marifetiyle yerine getirilir. Tüzel kişiliği temsile yetkili organ Kanunun uygulanması bakımından yerine getirilecek yükümlülükler ile ilgili olarak bir veya birden fazla kişiye görevlendirilebilir.” şeklinde düzenleme yapılmıştır.

Şirket tarafından, KVK Kanunu ve Veri Koruma Kurulu düzenlemeleri kapsamındaki tüm iş ve işlemlerin takibinden ve koordinasyonundan sorumlu asıl yetkili, Pazarlama Müdürü olmak üzere; tüm departmanların üst düzey yöneticileri yetkili kılınmıştır. Her bir üst düzey yönetici, departmanlardaki İlgili Kullanıcı’ların Kanun ve Yönetmelik çerçevesinde hazırlanan işbu Politika ile Saklama ve İmha Politikası’na uygun davranıp davranmadığını denetlemekle yükümlü olacaktır. Tüm departmanların üst düzey yöneticileri belirtilen periyodik imha sürelerinde İmha Politikası doğrultusunda gerçekleştirdiği işlemleri, Pazarlama Müdürüne raporlayacaktır. Pazarlama Müdürü, tüm departmanların üst düzey yöneticilerinin denetim ve işlem raporlarını yapılan toplantılarda Yönetim Kurulu’na sunacaktır. Karar alınmasını gerektiren durumlarda Pazarlama Müdürünün de görüşü alındıktan Yönetim Kurulu’nun karar almasını müteakip alınan karar uygulamaya konulacaktır.

16. İLGİLİ KİŞİNİN HAKLARI VE HAKLARIN KULLANMASI BAŞVURUSU YÖNTEMİ

16.1. İlgili Kişinin Hakları

KVK Kanunu’nun 11 inci maddesi gereği kişisel verileri işlenen ilgili kişi;

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinin işlenme amacı ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Kişisel verilerinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme,
• Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Kişisel verilerinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde bunların silinmesini, yok edilmesini veya anonim hale getirilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle veri sahibinin aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

Yukarıda sıralanan haklara yönelik başvurularınızı, http://www.panora.com.tr/kvkk adresinden ulaşabileceğiniz Panora İşletmecilik ve Ticaret Anonim Şirketi Veri Sahibi Başvuru Formu’nu doldurarak Şirket’e iletebilirsiniz.

16.2. Başvuru Araçları

Kişisel veri sahiplerinin KVK Kanunu’ndan doğan haklarına ilişkin başvurularının, KVK Kanunu’nun 13’üncü maddesine uygun bir biçimde yazılı olarak veya KVK Kurulu’nun belirleyeceği diğer yöntemler ile Şirket’e iletilmesi gerekmektedir.

	BAŞVURU YÖNTEMİ	BAŞVURU YAPILACAK ADRES	BAŞVURUDA GÖSTERİLECEK BİLGİ
YAZILI BAŞVURU	Islak İmzalı Şahsen Başvuru veya Noter Vasıtası İle Başvuru	Oran Mahallesi, Kudüs Caddesi, No:3/317, Çankaya/Ankara	Zarfın/tebligatın üzerine “Kişisel Verilerin Korunması Kanunu Kapsamında Bilgi Talebi” yazılacaktır.
KAYITLI ELEKTRONİK POSTA (KEP) ADRESİ İLE BAŞVURU	Kayıtlı Elektronik Posta (KEP) Adresi İle Başvuru	panora@hs02.kep.tr	E-posta’nın konu kısmına “Kişisel Verilerin Korunması Kanunu Bilgi Talebi” yazılacaktır.
SİSTEMİMİZDE BULUNAN ELEKTRONİK POSTA ADRESİ İLE BAŞVURU	Şirket Sisteminde Kayıtlı Bulunan Elektronik Posta Adresiniz Kullanılmak Sureti İle Başvuru	info@panora.com.tr	E-posta’nın konu kısmına “Kişisel Verilerin Korunması Kanunu Bilgi Talebi” yazılacaktır.

• Başvurularda yer alan talepler niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır ve sonuç yazılı olarak ya da elektronik ortamda bildirilecektir. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, ilgilisinden Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilerek alınacaktır.
• Şirket tarafından, yapılan başvuru ve talebin haklı görülmesi halinde gereği gecikmeksizin yerine getirilecektir. Yapılan başvuru ve talebin reddi halinde ise, red gerekçesi ilgili kişiye başvuru ve talep dilekçesinde belirtildiği şekilde yazılı olarak veya elektronik ortamda bildirilecektir.
• Şirket tarafından başvuru ve talebin red edilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hallerinde, ilgili kişinin başvuru ve talep cevabını öğrendiği tarihten itibaren 30 (otuz) gün ve her halde başvuru tarihinden itibaren 60 (altmış) gün içinde KVK Kurulu’na şikâyette bulunma hakkı vardır.

17. İSTİSNALAR

Aşağıda sayılan KVK Kanunu kapsamı dışında tutulan haller için Kişisel Veri Sahibi bu konularda yukarıda sayılan haklarını ileri süremezler ve bu nedenle Şirket iletilen talepleri yerine getirme yükümlülüğü altında değildir:

• Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,
• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,
• , Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi,
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.
• KVK Kanunu gereğince aşağıdaki hallerde Kişisel Veri Sahibi zararın giderilmesini talep etme hakkı hariç diğer haklarını aşağıda belirtilen durumlarda ileri süremezler:
• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

Paylaşılan verilerin doğru olması ve güncel bir şekilde muhafaza edilmesi, KVK Kanunu anlamında veri üzerinde sahip olunan hakların kullanabilmesi ve ilgili diğer mevzuat açısından önemli olup, yanlış bilgi verilmesinden doğacak sorumluluklar tamamen Kişisel Veri Sahibi’ne aittir.

18. VERİ SORUMLUSU KİMLİK VE İLETİŞİM BİLGİLERİ

İşbu Politika, Türkiye’de kurulu ve aşağıda bilgileri verilen Panora İşletmecilik ve Ticaret Anonim Şirketi tarafından “Veri Sorumlusu” sıfatıyla ilgili veri sahibi kişilere hitaben düzenlenmiştir.


Ticari Unvan : Panora İşletmecilik ve Ticaret Anonim Şirketi
Adres : Oran Mahallesi, Kudüs Caddesi, No:3/317, Çankaya/Ankara
Mersis No :0721037161900018
Telefon No : +90 (312) 490 42 50
Faks No :+90 (312) 490 42 60
Mail Adresi : info@panora.com.tr
KEP Adresi : panora@hs02.kep.tr