Kişisel Verileri Saklama ve İmha Politikası
NEW HIRE HR İNSAN KAYNAKLARI EĞİTİM VE DANIŞMANLIK LİMİTED ŞİRKETİ
1. Amaç ve kapsam
Bu politika, New Hire HR İnsan Kaynakları Eğitim ve Danışmanlık Limited Şirketinin (“Şirket”) kişisel verileri güvenli ve amaçla sınırlı saklaması; işleme şartları sona erdiğinde silmesi, yok etmesi veya anonim hâle getirmesi için esasları belirler. İş arayanlar, çalışan/stajyer adayları, referanslar, müşteriler ve temsilcileri, eğitim katılımcıları, çalışanlar, eğitmenler, tedarikçi ve iş ortaklarının ilgili gerçek kişileri ile site ziyaretçilerine ilişkin kayıtlar kapsamdadır.
Dayanak; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik (“İmha Yönetmeliği”), Özel İstihdam Büroları Yönetmeliği ve ilgili ticaret, vergi ve istihdam mevzuatıdır. Politika, aydınlatma veya açık rıza yerine geçmez; belgenin hazırlanması, tek başına yükümlülüklerin yerine getirildiğini göstermez.
VERBİS kayıt yükümlülüğü ayrıca değerlendirilir; bu belge Şirketin sicile kayıtlı olduğuna ilişkin beyan içermez. Politika hazırlama yükümlülüğünden bağımsız olarak hukuka uygun saklama ve imha yükümlülükleri devam eder.
2. Tanımlar
Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgi.
İlgili kişi: Kişisel verisi işlenen gerçek kişi.
İlgili kullanıcı: Verilerin teknik depolanması, korunması ve yedeklenmesinden sorumlu kişi/birim hariç, veri sorumlusu bünyesinde veya onun yetki ve talimatıyla kişisel verileri işleyen kişiler.
Kayıt ortamı: Tamamen/kısmen otomatik veya veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle işlenen verilerin bulunduğu ortam.
Silme: Verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirilmesi.
Yok etme: Verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi.
Anonimleştirme: Başka verilerle eşleştirilse dahi bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Periyodik imha: İşleme şartları sona eren verilerin belirlenen aralıklarla resen imhası.
Hukuki muhafaza: Somut yükümlülük veya uyuşmazlık nedeniyle ilgili kayıtların imhasının gerekçeli ve sınırlı süreyle durdurulması.
3. Kayıt ortamları ve envanter
Kapsama; fiilen kullanılan aday/müşteri takip sistemleri, e-posta, sunucu ve bulut depoları, bilgisayarlar, mobil cihazlar, ortak klasörler, veri tabanları, çevrim içi eğitim/görüşme uygulamaları, yedekler, taşınabilir ortamlar, kâğıt CV, sözleşme, fatura ve arşiv dosyaları girer. Bu liste belirli bir ürünün kullanıldığını veya belirli bir ülkeye aktarım yapıldığını beyan etmez.
Uygulamaya alınırken gerçek sistem ve tedarikçi listesi çıkarılır. Her veri kümesi için amaç, kategori, hukuki sebep, alıcı, ortam, başlangıç olayı, süre, sorumlu rol ve imha yöntemi envanterde eşleştirilir. Kopyalar, e-posta ekleri ve tedarikçi ortamları bu eşleştirmeden hariç tutulmaz.
4. Saklama ve imhayı gerektiren sebepler
4.1. Saklamanın hukuki sınırları
Saklama, Kanun m.5 ve özel nitelikli verilerde m.6 kapsamındaki somut işleme şartına dayanır. Başvurunun değerlendirilmesi ve sözleşmesel hizmet, meşru menfaat, hukuki yükümlülük, bir hakkın tesisi/kullanılması/korunması veya gerekli hâllerde ayrı açık rıza, işlem bazında değerlendirilir. Bir verinin ileride yararlı olabileceği düşüncesi süresiz saklama gerekçesi değildir.
Özel İstihdam Büroları Yönetmeliğinin bilgi toplama, kullanma ve saklamaya ilişkin hükmünde sayılan kayıtlar; düzenleme tarihini izleyen takvim yılı başından itibaren beş yıl saklanır. Bu kapsama iş arayanların ve işe yerleştirilenlerin kimlik, eğitim ve meslek bilgileri; işverenlerden alınan açık işlere ilişkin eğitim, meslek ve iletişim bilgileri ile hükümde sayılan ilgili belgeler girer. Bu süre her CV ekini, tüm mülakat notlarını veya ilgisiz özel nitelikli verileri topluca saklama izni değildir.
Ticari defterler, dayanak belgeleri ve ticari yazışmalar için Türk Ticaret Kanunu m.82 kapsamındaki on yıllık; vergiye ilişkin defter ve belgelerde Vergi Usul Kanunu m.253 kapsamındaki beş yıllık yükümlülükler, belge türüne ve ilgili başlangıç kuralına göre uygulanır. Aynı belge birden çok geçerli saklama yükümlülüğüne tabi ise son sona eren yükümlülük dikkate alınır. Bu kural ilgisiz verilerin tutulmasına gerekçe yapılamaz.
4.2. İmha yükümlülüğünün doğması
İşleme şartlarının tamamı ortadan kalktığında imha yükümlülüğü doğar. Başlıca sebepler; amacın sona ermesi, hizmetin tamamlanması ve saklama gereğinin kalmaması, gerekli rızanın geri çekilmesi ve başka sebep bulunmaması, saklama süresinin bitmesi, haklı silme talebi veya bağlayıcı Kurul/mahkeme kararıdır. İlgili kişinin başvurusu beklenmez.
Rızanın geri çekilmesi, yasal arşiv zorunluluğu bulunan asgari bilgilerin silinmesini zorunlu kılmaz; ancak bu bilgiler aktif aday eşleştirme, pazarlama veya başka bir amaçla kullanılamaz. İşleme ihtiyacı sona erdiğinde aktif erişim kaldırılır ve zorunlu arşiv, amaç ve erişim bakımından ayrılır.
4.3. Somut uyuşmazlık ve istisnalar
Dava, denetim veya resmî talep nedeniyle muhafaza gereken kayıtlar, dosya ve veri kapsamı belirtilerek ayrılır. Hukuki sebep, sorumlu rol, gözden geçirme tarihi ve sona erme olayı kaydedilir. Tüm arşive genel ve süresiz imha durdurması uygulanmaz. Sebep kalkınca kalan saklama şartları tekrar değerlendirilir.
5. Roller ve görevler
Şirket yönetimi: Politikayı, kaynakları ve görev dağılımını kabul eder; uygulamayı gözetir.
KVKK koordinasyon sorumluluğu verilen yetkili: Envanteri, talepleri, süre hesaplarını, imha planı ve tutanakları koordine eder; mevzuat değişikliklerini izler.
İşe alım/İK, müşteri, eğitim ve mali süreç sorumluları: Kendi kayıtlarının kapsamını, ihtiyacını ve süre başlangıcını belirler; süresi dolan verileri bildirir.
Bilişim yetkilisi veya görevlendirilen hizmet sağlayıcı: Yetkiler, silme, yedekler ve teknik doğrulamayı yürütür.
Hukuki değerlendirmeyle görevlendirilen kişi/danışman: Saklama yükümlülüklerini ve somut uyuşmazlık istisnalarını değerlendirir.
Bunlar işlevsel rol tanımlarıdır; Şirkette mevcut birimler veya atamalar varmış gibi kabul edilmez. Yönetim, uygulama öncesinde görevleri mevcut kişilere/unvanlara yazılı olarak eşleştirir. Her çalışan yetkisi dışındaki kopyalama ve saklamadan kaçınır.
6. Saklama ve imha süreleri tablosu
Tabloyu okuma: “Yasal” satırları ilgili kayıt kapsamındaki yükümlülüğü; “önerilen iç süre” satırları ise yönetimin kabulü ve envantere işlenmesi gereken operasyonel süreyi gösterir. Bu öneriler mevcut Şirket uygulaması olarak sunulmaz. İmha, şartların bitimini izleyen ilk periyodik işlemde; geçerli ilgili kişi talepleri ise en geç 30 günde sonuçlandırılır.
| Kayıt / dayanak | Süre ve başlangıç | Süre sonunda işlem |
|---|---|---|
| İŞKUR kapsamında sayılan iş arayan, yerleştirme ve açık iş kayıtları — Yasal | Düzenleme tarihini izleyen takvim yılı başından itibaren 5 yıl. Yalnızca Yönetmelikteki kayıt kapsamı. | Yasal gereklilikle sınırlı arşiv; diğer şartlar da bitmişse imha. |
| CV ve mülakat dosyasının yasal kapsam dışındaki operasyonel kısmı — Önerilen iç süre | İlgili başvurunun kapanmasından itibaren 6 ay. Somut hak koruma ihtiyacı varsa ayrıca gerekçelendirilir. | Gereksiz ek ve notları silme/yok etme; zorunlu asgari kayıtları ayırma. |
| İsteğe bağlı aktif aday havuzu — Önerilen iç süre | Havuz için ayrı rıza tarihinden itibaren 24 ay; süre rızada açıklanır. Rıza geri çekilirse aktif kullanım durur. | Geçerli yeni rıza yoksa aktif havuzdan çıkarma; yasal arşivi ayrı tutma. |
| Ticari defter ve TTK m.82 kapsamındaki belgeler — Yasal | 10 yıl; belge türüne göre son kayıt/oluşturma/alınma veya gönderilmenin gerçekleştiği takvim yılı bitiminden itibaren. | Diğer geçerli şartlar da sona erdiğinde silme/yok etme. |
| VUK kapsamındaki defter ve belgeler — Yasal | İlgili yılı takip eden takvim yılından itibaren 5 yıl. TTK dâhil diğer yükümlülükler ayrıca kontrol edilir. | Geçerli daha uzun yasal süre varsa yalnızca ilgili belgeyi tutma. |
| Eğitim katılımı, değerlendirme ve danışmanlık çalışma kayıtları — Önerilen iç süre | Hizmetin bitiminden itibaren 2 yıl; mali, ticari ve özel mevzuata tabi belgeler kendi sürelerinde tutulur. | Gereksiz kayıtları imha; istatistik gerekliyse geri döndürülemez anonimleştirme. |
| Sözleşmeye dönüşmeyen bilgi/teklif talepleri — Önerilen iç süre | Talebin kapanmasından itibaren 1 yıl; ticari yazışma veya yasal delil niteliğindeki kayıtlar ayrıca ayrılır. | Başka sebep kalmadıysa silme/yok etme. |
| Teknik erişim/güvenlik günlükleri ve döngüsel yedekler — Önerilen iç süre | Günlükler: oluşumdan itibaren 90 gün. Yedekler: oluşturulmadan itibaren en çok 90 günlük döngü; sistem bazında doğrulanır. | Güvenli silme/döngüsel yenileme; somut olay kayıtları ayrı muhafaza. |
| Silme, yok etme ve anonimleştirme işlem kayıtları — Yasal | İşlem tarihinden itibaren en az 3 yıl; başka geçerli yükümlülük varsa ilgili süre. | Dayanaklar bittiğinde kayıtların da imhası. |
Çalışan özlük, bordro ve SGK kayıtlarında ilgili iş/sosyal güvenlik mevzuatı ve belge türüne özgü süreler ayrıca envanterlenir; yukarıdaki CV süreleri çalışan dosyalarına uygulanmaz. Çerez süreleri fiilî çerez envanterinde açıklanır. Rıza/ispat ve KVKK başvuru kayıtlarında gerekli hak arama süresi olay bazında belirlenir.
7. Güvenli saklama ve imha yöntemleri
7.1. Teknik ve idari kontroller
Uygulamada; asgari yetki ve görev ayrılığı, kişiye özgü hesaplar, uygun kimlik doğrulama, güvenli aktarım/depolama, erişim kayıtları, güncelleme ve zararlı yazılım kontrolleri, fiziksel arşiv güvenliği, yedek erişimi ve tedarikçi sözleşmelerinde gizlilik/imha hükümleri sağlanır. Bu kontrollerin gerçek sistemlerde uygulanıp uygulanmadığı doğrulanır; politika bir güvenlik sertifikası değildir.
Özel nitelikli veriler için ayrı ve dar yetki grupları ile Kurulun belirlediği yeterli önlemler uygulanır. Başvuruyla ilgisiz bu tür veriler, başka geçerli işleme gereği yoksa ayrıştırılıp imha edilir. Gereksiz kimlik kopyası, kişisel cihazda CV veya kontrolsüz e-posta arşivi oluşturulmaz.
7.2. Silme
Elektronik sistemlerde ilgili kullanıcıların erişim ve yeniden kullanım imkânı kaldırılır; arama indeksleri, kopyalar, dışa aktarımlar ve uygulama ekleri kapsamda kontrol edilir. Sadece “pasif” işareti koymak, dosyayı başka klasöre taşımak veya çöp kutusuna göndermek tek başına silme sayılmaz. Veri tabanında mantıksal silme kullanılıyorsa geri kullanım yolları ve kullanıcı yetkileri gerçekten kapatılır.
Kâğıt ortamında silme, ilgili alanların okunamaz ve geri getirilemez şekilde karartılması gibi uygun yöntemlerle yapılabilir; belgenin bütünü gereksizse fiziksel yok etme tercih edilir. Alanın üstünü çizmek veya kolayca kaldırılabilen bir örtü kullanmak yeterli değildir.
7.3. Yok etme
Kâğıt belgeler geri birleştirmeyi önleyen çapraz kesim/parçalama veya güvenli lisanslı imha hizmetiyle yok edilir. Elektronik ortamda veri ve cihaz türüne uygun güvenli silme, kriptografik anahtarın geri getirilemez imhası veya fiziksel ortam imhası uygulanır. SSD ve bulut sistemlerinde sıradan üzerine yazmanın her durumda yeterli olmadığı dikkate alınır. Haricî imha hizmetinde teslim zinciri ve imha belgesi tutulur.
7.4. Anonimleştirme
İstatistik ihtiyacı varsa doğrudan ve dolaylı tanımlayıcılar kaldırılır; toplulaştırma, genelleştirme ve gerektiğinde baskılama uygulanır. Küçük gruplar ve dış kaynaklarla eşleştirme riski test edilir. Sadece isim yerine kod yazmak, maskeleme veya geri çözülebilen özetleme anonimleştirme sayılmaz; eşleştirme anahtarı bulunan veri kişisel veri olmaya devam eder.
7.5. Yedekler, tedarikçiler ve veri alıcıları
Silinen verinin yedeklerden rutin kullanım için geri dönmesi önlenir. Teknik nedenle hemen ayrılamayan yedekler erişime kapatılır, başka amaçla kullanılmaz ve tanımlı en kısa döngüde güvenli biçimde yenilenir. Geri yükleme öncesinde daha önce silinmiş kayıt listesi uygulanır; silinen kayıtlar üretim ortamında yeniden aktif edilmez. Yedek gerekçesi belirsiz süreli saklamaya dönüşemez.
Veri işleyenlere gerekli silme/yok etme talimatı gönderilir ve sonuç belgesi istenir. Bağımsız veri sorumlusu alıcıların kendi yasal yükümlülükleri ayrıca değerlendirilir; Şirket kontrol etmediği tüm kopyaların silindiğini doğrulamadan bunu taahhüt etmez. Yurt dışı sistemlerde saklama, erişim ve imha süreçleri Kanun m.9 ve ilgili aktarım mekanizmasıyla birlikte ele alınır.
8. Periyodik imha, talepler ve kayıt düzeni
8.1. Periyodik imha takvimi
Bu taslak için önerilen iç düzen: Politikanın yönetimce kabulünden itibaren ilk imha kontrolü en geç üç ay içinde yapılır ve sonraki kontroller üç ayda bir tekrarlanır. İki periyodik imha arasındaki süre hiçbir durumda altı ayı aşamaz. Kabul tarihi, ilk kontrol tarihi ve sorumlu roller uygulama kayıtlarına işlenir.
Her kontrol öncesinde süresi dolan kayıtlar çıkarılır; yasal saklama ve somut uyuşmazlık istisnaları doğrulanır. İşleme şartları sona eren kayıtlar yükümlülüğün doğmasını izleyen ilk periyodik imhada sonuçlandırılır. Hukuka aykırı aktif kullanım tespit edilirse kullanım hemen durdurulur; takvim tarihi hukuka aykırı işlemeye devam etme izni değildir. Kurulun daha kısa süre belirlediği hâller ayrıca uygulanır.
8.2. İlgili kişi başvuruları
Silme veya yok etme talebi alınırsa kimlik gerekli ve ölçülü yöntemle doğrulanır, ilgili sistemler ve alıcılar belirlenir. İşleme şartlarının tamamı kalkmışsa uygun silme, yok etme veya anonimleştirme yöntemi gerekçesiyle seçilir; işlem ve bilgilendirme en geç otuz gün içinde tamamlanır. Periyodik imha tarihi beklenmez.
Veriler üçüncü kişilere aktarılmışsa gerekli bildirim yapılır ve onların nezdinde de ilgili işlemlerin gerçekleştirilmesi sağlanır. Şartlar tamamen kalkmamışsa talep, kalan hukuki sebep ve kapsam açıklanarak en geç otuz gün içinde gerekçeli cevaplandırılır; mümkünse gereksiz bölüm ayrılarak imha edilir.
Başvurular; Tahtakale Mah. Saray Patı Sk. No: 1/7-7, Avcılar / İstanbul adresine yazılı olarak veya Şirkete daha önce bildirilmiş ve sistemde kayıtlı e-posta adresinden [email protected] adresine iletilebilir. Güvenli elektronik imza/mobil imza ile başvurular mevzuata uygun değerlendirilir. Başvuru formu veya noter kullanılması zorunlu değildir.
8.3. İşlem kayıtları ve doğrulama
Her imhada; işlem tarihi, ilgili sistem/ortam, veri kümesi ve kategori, süre başlangıcı ve bitimi, gerekçe, yöntem, uygulayan ve kontrol eden rol, veri işleyen/alıcı bildirimleri, sonuç ve varsa istisna kaydedilir. Tutanakta gereksiz CV içeriği veya özel nitelikli verinin yeni kopyası oluşturulmaz. İmha kayıtları en az üç yıl saklanır.
Sonuç; örnek erişim denemesi, ilgili kullanıcı yetkisi kontrolü, arama/indeks kontrolü, yedek geri yükleme kontrolü veya fiziksel imha belgesi gibi yönteme uygun kanıtlarla doğrulanır. Başarısız işlem tamamlanmış sayılmaz; hata kaydedilir ve giderilir.
8.4. Gözden geçirme, yürürlük ve değişiklikler
Politika en az yılda bir; yeni sistem/tedarikçi, yeni veri kategorisi, hizmet değişikliği, mevzuat değişikliği veya ihlal sonrasında ayrıca gözden geçirilir. Değişiklik kaydında sürüm, tarih, değişen bölüm, gerekçe ve kabul eden rol bulunur. İlk sürüm 1.0’dır; önceki sürüm değişikliği yoktur.
Yasal süreler dışındaki önerilen süreler, görev eşleştirmeleri ve takvim yönetimce kabul edilip fiilî sistemlere uyarlanmadan yürürlükteki şirket uygulaması olarak duyurulmamalıdır. Yasal yükümlülükler ise bu kabulden bağımsız olarak geçerlidir. Bu politika, belirsiz amaçlarla veri saklama veya yurt dışına aktarım yetkisi vermez.
Başlıca mevzuat dayanakları
6698 sayılı Kanun m.4–7 ve 12–13; İmha Yönetmeliği m.5–12; Özel İstihdam Büroları Yönetmeliğinin bilgi toplama, kullanma ve saklama hükmü; 6102 sayılı Türk Ticaret Kanunu m.82; 213 sayılı Vergi Usul Kanunu m.253. Uygulamada ilgili belgenin kapsamı ve mevzuatın güncel hâli esas alınır.
Son güncelleme: 17/10/2026