Kişisel Veri Saklama ve İmha Politikası

Bu Kişisel Veri Saklama ve İmha Politikası ("Politika"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md.4, md.7 ve md.12 ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (28.10.2017 tarihli ve 30224 sayılı Resmî Gazete) çerçevesinde, veri sorumlusu Solid Reklam Ltd. Şti. ("Şirket") tarafından işlenen kişisel verilerin hangi süreyle saklanacağını ve süre sonunda nasıl silineceğini, yok edileceğini veya anonim hale getirileceğini düzenler. Yönetmelik, sicile kayıt yükümlüsü olan veri sorumlularına bu politikayı hazırlama yükümlülüğü getirmektedir; Şirketimiz kayıt yükümlülüğü bulunup bulunmadığından bağımsız olarak, şeffaflık ve iyi uygulama ilkesi gereği Politikayı uygular ve yayımlar.

1. Amaç ve Kapsam

Politikanın amacı, Şirketimizin faaliyetleri (promosyon ürünleri tedariki, baskı ve tasarım hizmetleri, teklif ve sipariş yönetimi, internet sitesi işletimi) kapsamında işlenen kişisel verilerin yalnızca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ve süre sonunda hukuka uygun biçimde imha edilmesini sağlamaktır. Politika; müşteriler, potansiyel müşteriler, iş ortakları ve tedarikçi yetkilileri, internet sitesi ziyaretçileri, e-bülten aboneleri ve başvuru sahiplerine ait tüm kişisel verileri, bunların bulunduğu elektronik ve fiziksel ortamları kapsar. Genel veri işleme esasları için KVKK Aydınlatma Metni'ne bakınız.

2. Tanımlar

• Silme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
• Yok etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi.
• Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• Periyodik imha: Kanun'da belirtilen kişisel verileri işleme şartlarının tamamının ortadan kalkması durumunda kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işleminin, Politikada belirtilen ve tekrarlanan aralıklarla yapılmasıdır.

3. Saklamayı Gerektiren Hukuki ve Teknik Sebepler

Kişisel veriler; (i) ilgili kanunlarda öngörülen saklama sürelerinin devam etmesi, (ii) sözleşmeden doğan hak ve yükümlülüklerin yerine getirilmesi ve sözleşmenin kurulması / ifası için verilerin saklanmasının gerekli olması, (iii) bir hakkın tesisi, kullanılması veya korunması için verinin saklanmasının zorunlu olması (zamanaşımı süreleri dahil), (iv) Şirketin meşru menfaatleri için saklamanın ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi, (v) Şirketin hukuki yükümlülüğünü yerine getirebilmesi için saklamanın zorunlu olması, (vi) mevzuatın verinin saklanmasını açıkça öngörmesi ve (vii) açık rızanın devam etmesi hallerinde saklanır. Bu hallerden hiçbirinin kalmaması durumunda veri imha edilir.

4. Saklama Süreleri

Aşağıdaki süreler, ilgili mevzuatın öngördüğü azami / asgari sürelere ve Şirketin uyuşmazlık zamanaşımı değerlendirmesine dayanır. "Şirket takdiri" olarak belirtilen süreler kanundan değil, veri minimizasyonu ilkesinden ve işletme ihtiyacından doğan iç süreleridir. Süreler, devam eden veya muhtemel bir uyuşmazlık, soruşturma, denetim veya yetkili makam talebi halinde, bu durum sona erene kadar uzatılır.

Kayıt / veri türü	Saklama süresi	Dayanak
Ticari defterler, fatura, irsaliye, sözleşme, sipariş, teklif onayı ve ticari yazışmalar	10 yıl (ilgili takvim yılının sonundan itibaren)	6102 sayılı TTK md.82; 213 sayılı VUK md.253 vd. (vergi yönünden en az 5 yıl, uygulamada TTK süresi esas alınır)
Muhasebe, ödeme, banka dekontu ve cari hesap kayıtları	10 yıl	TTK md.82; VUK
Müşteri sipariş, baskı, tasarım onay ve teslimat kayıtları (ayıp, cayma ve uyuşmazlık delili)	Sipariş tesliminden itibaren 10 yıl (fatura ile bağlantılı kayıtlar); tasarım dosyalarının üretim arşivi için Şirket takdiri: tesliminden itibaren 2 yıl	TTK md.82; 6098 sayılı TBK md.146-147 (zamanaşımı); 6502 sayılı Kanun'daki ayıp sorumluluğu süreleri
Sonuçlanmamış teklif talepleri ve teklif yazışmaları (sipariş verilmeyen)	Son iletişim / teklif geçerlilik tarihinden itibaren 2 yıl	Şirket takdiri (meşru menfaat; tekrar eden müşteri talepleri, teklif takibi, uyuşmazlık ihtimali)
İletişim formu mesajları ve cevapları	Talebin sonuçlandırılmasından itibaren 2 yıl	Şirket takdiri (meşru menfaat; hizmet kalitesi, olası uyuşmazlık)
"Kendin Tasarla" yüklemeleri ve siparişe dönüşmeyen taslaklar	Teklif / tasarım oturumunun sona ermesinden sonraki ilk periyodik imha döneminde; en geç 6 ay içinde	Şirket takdiri (veri minimizasyonu); özel alanda geçici saklama
E-bülten abonelik ve açık rıza kayıtları	Rıza geçerli olduğu sürece; geri alma / ret sonrasında yalnızca ispat ve tekrar gönderimi engelleme amacıyla ret kaydı ve rıza kaydı ilgili zamanaşımı süreleri boyunca	KVKK md.3, md.5; 6563 sayılı Kanun ve ilgili yönetmelik; ispat yükü veri sorumlusunda
Ticari elektronik ileti onay / ret ve İYS kayıtları	Onay geçerli olduğu sürece; ret / geri alma sonrası mevzuattaki ispat gereksinimi süresince	6563 sayılı Kanun md.6 ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik
Sunucu erişim kayıtları (log: IP, tarih-saat, URL)	İlgili mevzuatın öngördüğü süre (Kanun'da öngörülen azami iki yıl sınırını aşmayacak şekilde); güvenlik amaçlı ayrıntılı kayıtlar bu süre içinde daha kısa tutulabilir	5651 sayılı Kanun ve ilgili yönetmelik hükümleri (yükümlülük kapsamında olduğu ölçüde); KVKK md.12
Çerez verileri	Çerez Politikası'ndaki çerez süreleri (oturum çerezleri tarayıcı kapanınca; diğerleri belirtilen sürede)	Çerez onay tercihi; meşru menfaat
Veri sahibi başvuruları ve cevapları	Başvurunun sonuçlandırılmasından itibaren 5 yıl (Kurul'a şikâyet ve idari süreçler dikkate alınarak) — Şirket takdiri	KVKK md.13-14; hakkın korunması
Veri ihlali kayıtları ve bildirimleri	İhlalin kapanmasından itibaren 5 yıl — Şirket takdiri	KVKK md.12/5; Kurul kararı 2019/10
İmha tutanakları ve kayıtları	İmhadan itibaren en az 3 yıl	Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği
Hukuki uyuşmazlık, dava, icra dosyaları	Dosya kesinleşip infaz / tahsil sonuçlanana kadar ve sonrasında 10 yıl	HMK, İİK, TBK md.146; hakkın korunması
Tedarikçi ve iş ortağı yetkili iletişim bilgileri	Sözleşme ilişkisi devam ettiği sürece ve sona ermesinden itibaren 10 yıl	TTK md.82; TBK md.146

Yukarıdaki tabloda yer almayan veri türleri için, işleme amacı sona erdiğinde ve başka bir hukuki sebep bulunmadığında periyodik imha uygulanır. Süreler yürürlükteki mevzuat değiştiğinde güncellenir; mevzuattaki daha uzun veya daha kısa zorunlu süre varsa mevzuat esas alınır.

5. İmhayı Gerektiren Sebepler

Aşağıdaki hallerde kişisel veriler Şirketimizce resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir:

1. İşlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması,
2. İşlemeyi veya saklamayı gerektiren amacın ortadan kalkması,
3. Kişisel verileri işlemenin sadece açık rıza şartına dayandığı hallerde, ilgili kişinin rızasını geri alması,
4. KVKK md.11/(e) ve (f) kapsamında ilgili kişinin kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebinin Şirketçe kabul edilmesi,
5. Şirketin talebi reddetmesi, verdiği cevabı yetersiz bulması veya süresinde cevap vermemesi hallerinde, ilgili kişinin Kurul'a şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
6. Kişisel verileri saklamayı gerektiren azami sürenin geçmesine rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

6. İmha Yöntemleri

6.1. Silme

Elektronik ortamlardaki veriler (veritabanı, e-posta, sunucu dosyaları, yüklenen tasarım dosyaları, bulut hizmetleri) ilgili uygulamalardan silinir; yedeklerdeki veriler yedek yenileme döngüsüyle (rotasyon) veya güvenli silme yöntemiyle erişilemez kılınır. Veri tabanında ilgili satırlar silinir veya kimliği belirleyen alanlar boşaltılır. Fiziksel ortamlarda bulunan belgelerde silme, kişisel verilerin üzeri çizilip boyanarak veya karartılarak okunamaz hale getirilmesiyle yapılabilir.

6.2. Yok Etme

Kâğıt ortamdaki belgeler kâğıt kırpma makinelerinde geri döndürülemez biçimde imha edilir. Optik / manyetik ortamlar (CD, DVD, harici disk, USB bellek vb.) fiziksel olarak parçalanır, eritilir veya manyetik silme / üzerine yazma yöntemleriyle geri getirilemez hale getirilir. Hizmet sağlayıcıdan veri imhası talep edilmesi halinde silme belgesi istenir.

6.3. Anonim Hale Getirme

Kişisel veriler, kimlik belirten alanların çıkarılması, değişkenlerin genelleştirilmesi (ör. adres yerine il bilgisi), toplulaştırma ve benzeri yöntemlerle, geri döndürülemez biçimde kişi ile ilişkilendirilemez hale getirilir. Anonim hale getirilen veriler (örneğin site ziyaret istatistikleri, satış raporları) kişisel veri sayılmaz ve KVKK kapsamı dışında kalır.

7. Periyodik İmha

Yönetmelik gereği periyodik imha süresi her halde altı (6) ayı geçmeyecek şekilde belirlenir. Şirketimizde periyodik imha, her takvim yılında Haziran ve Aralık aylarında olmak üzere altı aylık dönemlerle gerçekleştirilir. Saklama süresi dolan veriler, sürenin dolduğu tarihi izleyen ilk periyodik imha döneminde imha edilir. İlgili kişi talepleri, bu dönemi beklemeden, KVKK md.13'te öngörülen otuz günlük süre içinde yerine getirilir. İmha, Şirket yönetimince görevlendirilen yetkili(ler)ce yürütülür; her imhada imha edilen kayıt türü, yöntem, tarih ve görevli kişi bir imha tutanağına yazılır ve tutanak en az üç yıl saklanır.

8. Teknik ve İdari Tedbirler

Verilerin saklanması ve imhası sırasında KVKK md.12 uyarınca aşağıdaki tedbirler uygulanır (ayrıntılar için Bilgi Güvenliği Politikası):

8.1. Teknik tedbirler

• Verilerin güvenli ortamlarda saklanması, yetkilendirme matrisi ve erişim kayıtlarının tutulması,
• Sunucu ve uygulama güvenlik güncellemeleri, güvenlik duvarı ve zararlı yazılımdan korunma,
• Veri iletiminde şifreli bağlantı (TLS) kullanımı; yedeklerin yetkisiz erişime karşı korunması,
• Yüklenen dosyaların sitenin herkese açık alanından ayrı, özel alanda saklanması,
• Silme ve yok etme işlemlerinin güvenli yöntemlerle yapılması ve kayıt altına alınması.

8.2. İdari tedbirler

• Çalışan ve hizmet sağlayıcılar için gizlilik taahhüdü ve sözleşme hükümleri,
• Yetki ve sorumluluk dağılımı; "bilmesi gereken" ilkesine göre erişim,
• Çalışanların kişisel verilerin korunması konusunda bilgilendirilmesi,
• Düzenli iç denetim ve politika gözden geçirmesi; veri ihlallerine karşı olay müdahale süreci.

9. Roller ve Sorumluluklar

Politikanın uygulanmasından Şirket yönetimi sorumludur. Şirket yönetimi, Politikanın yürütülmesini sağlamak üzere görevli kişi / birim atar; saklama sürelerinin izlenmesi, periyodik imhanın gerçekleştirilmesi, imha kayıtlarının tutulması ve ilgili kişi taleplerinin Veri Sahibi Başvuru Prosedürü'ne uygun olarak yanıtlanması bu görevlinin sorumluluğundadır. Tüm çalışanlar ve veri işleyenler Politikaya uymakla yükümlüdür.

10. Veri İşleyenler ve Üçüncü Taraflar

Verilerin Şirketimiz adına işlendiği hizmet sağlayıcılarla yapılan sözleşmelerde, hizmet sona erdiğinde veya Şirketimizin talebinde verilerin iade edilmesi veya imha edilmesi ve imha belgesinin sunulması hükme bağlanır. Yurt dışı aktarım yapılan sağlayıcılar bakımından KVKK Aydınlatma Metni'ndeki güvencelere uyulur.

11. Politika ile Diğer Belgeler Arasındaki İlişki

Bu Politika; KVKK Aydınlatma Metni, Ziyaretçi Aydınlatma Metni, Açık Rıza Metni, Gizlilik Politikası ve Bilgi Güvenliği Politikası ile birlikte okunur. Bir çelişki halinde mevzuat hükümleri, ardından bu Politika uygulanır.

12. Yürürlük ve Güncelleme

Politika, Şirket yönetiminin onayı ile yürürlüğe girer. Şirket, mevzuat ve Kurul kararlarındaki değişiklikler, iş süreçlerindeki gelişmeler ve en az yılda bir yapılacak gözden geçirme sonucunda Politikayı güncelleme hakkını saklı tutar. Güncel metin Sitede yayımlandığı tarihten itibaren geçerlidir. Yayımlandığı tarihten önce başlamış saklamalar da bu Politikadaki sürelere tabidir.

Yürürlük tarihi: 22 Ekim 2026