KVKK Politikası
1. AMAÇ VE KAPSAM
Bu Politika, kişisel verilerin işlenmesinde özel hayatın gizliliği ve kişilerin temel hak ve özgürlüklerini
koruma amacıyla hazırlanmıştır. Ayrıca, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri
ile uymaları gereken usul ve esasları düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu
(“KVKK”) ve ikincil düzenlemelerine Dünya Katılım Bankası A.Ş. (“Banka”)'nin uyumunu sağlamak
üzere oluşturulmuştur.
Banka tarafından benimsenen üstün hizmet kalitesi, bireylerin haklarına saygı, şeffaflık ve dürüstlük
ilkeleri doğrultusunda, Banka’nın iç işleyişinin KVKK, ikincil düzenlemeler, Kişisel Verileri Koruma
Kurumu (“Kurum”) tavsiyeleri, Kişisel Verileri Koruma Kurulu (“Kurul”)’nun kararları, kesinleşmiş
mahkeme kararları ve diğer ilgili mevzuat kapsamında düzenlenmesi öncelikli konular arasında yer
almaktadır.
Bu Politika, KVKK’ya uyum sağlamak amacıyla yukarıda belirtilen temel ilkeler çerçevesinde
getirilecek düzenlemelerin Banka bünyesinde etkin bir şekilde uygulanmasını amaçlamaktadır.
Banka’nın müşterileri, iş ortakları, hissedarları, yöneticileri/yetkilileri, çalışanları, danışmanları,
müşavirleri, çözüm ortakları, ziyaretçileri, iş birliği ve iş ilişkisi içerisinde bulunduğu kurum ve
kuruluşlar ile bunların çalışanları, hissedarları, yetkilileri ve üçüncü kişilerin kişisel veri ve özel nitelikli
kişisel verilerinin korunması ve işlenmesine yönelik faaliyetler KVKK ve işbu Politika kapsamında ele
alınmaktadır.
Politika ile öngörülen temel düzenlemeler doğrultusunda, Banka işleyişi içerisinde kişisel verilerin
korunması ve işlenmesi bakımından gerekli idari ve teknik tedbirler alınmakta, gerekli iç prosedürler
oluşturulmakta, farkındalığın yükseltilmesi için eğitimler yapılmakta, çalışanların KVKK süreçlerine
uyumları için gerekli tedbirler alınmakta, uygun ve etkin denetim mekanizmaları ile teknolojik altyapı,
idari ve hukuki sistem kurulmaktadır.
Bu Politika, tüm bu süreçlerde gözetilecek temel ilkeleri ve KVKK ile getirilen düzenlemeler uyarınca
gerekli hususları düzenlemektedir. Banka çalışanları, Banka nezdindeki kişisel verilere temasta
bulundukları ölçüde bağlı ortaklıklar, iştirakler, iş ortakları ve Banka’nın ürün ve/veya hizmet satın
aldığı üçüncü kişiler ve bunların personelleri ile görevlendirdikleri üçüncü kişiler, bu Politika ve KVKK
başta olmak üzere kişisel verilerin korunmasına dair yasal mevzuata, Kurum tavsiyelerine, Kurul
kararlarına ve diğer mevzuat hükümlerine uygun hareket etmekle yükümlüdür.
Bu Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu’na ve ikincil düzenlemelerine istinaden
hazırlanmıştır.
2. TANIMLAR VE KISALTMALAR
Banka: Dünya Katılım Bankası A.Ş.’dir.
Veri Yönetişimi ve KVKK Komitesi: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
kapsamında veri sorumlusu olarak kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri
kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan Dünya Katılım Bankası A.Ş.’nin
KVKK ve ikincil düzenlemeler kapsamındaki yükümlülüklerini yerine getirmek üzere görevlendirdiği
“Veri Yönetişimi ve Kişisel Verileri Koruma Komitesi” dir.
Karar: 31/01/2018 tarihli Resmî Gazete’de 2018/10 Karar numarası ile yayımlanan “Özel Nitelikli
Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” konulu Kurul
Kararıdır.
Kurul: Kişisel Verileri Koruma Kurulu’dur.
Kurum: Kişisel Verileri Koruma Kurumu’dur.
KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu’dur.
Politika: Dünya Katılım Bankası A.Ş. Kişisel Verilerin Korunması İşlenmesi Saklanması ve İmhası
Politikası’dır.
Kişisel Veri: Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade
eder.
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi
veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza
mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini ifade eder.
Veri Kategorisi: Kişisel verilerin ortak özelliklerine göre gruplandırıldığı veri konusu kişi grubu veya
gruplarına ait kişisel veri gruplarını ifade eder.
Veri Konusu Kişi Grubu: Veri sorumlularının kişisel verilerini işledikleri ilgili kişi kategorisini ifade
eder.
Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini
ifade eder.
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi
bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi,
kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması,
aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının
engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.
Otomatik İşleme: Kişisel verilerin tamamen otomatik sistemler aracılığıyla işlenmesi anlamına
gelmektedir. Bu tür işleme yöntemlerinde, insan müdahalesi olmaksızın veriler otomatik olarak
toplanır, saklanır, değiştirilir veya analiz edilir.
Yarı Otomatik İşleme: Kişisel verilerin işlenmesinde hem otomatik sistemlerin hem de insan
müdahalesinin birlikte kullanıldığı bir yöntemdir. Bu tür işlemede, veriler başlangıçta otomatik
sistemler aracılığıyla toplanabilir veya işlenebilir, ancak süreç içerisinde insan müdahalesi de
gereklidir.
Kişisel Veri İşleme Envanteri: Banka’nın iş süreçlerine bağlı olarak gerçekleştirmekte olduğu
kişisel verileri işleme faaliyetlerini; kişisel verilerin elde edilme kanallarını, kişisel verileri işleme
amaçları ve hukuki sebebini, veri kategorisini, aktarılan alıcı grubu ve veri konusu kişi grubuyla
ilişkilendirerek oluşturduğu ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza
edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan
tedbirleri açıklayarak detaylandırdığı envanteri ifade eder.
Veri Sorumluları Sicil Bilgi Sistemi (“VERBİS”): Veri sorumlularının Sicile başvuruda ve Sicile
ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Kişisel Verileri Koruma
Kurumu Başkanlığı tarafından oluşturulan ve yönetilen bilişim sistemini ifade eder.
İrtibat Kişisi: Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından,
Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun
ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili
olarak, Kurum ile iletişimi sağlamak amacıyla Sicil’e kayıt esnasında bildirilen gerçek kişiyi ifade
eder.
Kişisel Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt
sisteminin kurulmasından ve yönetilmesinden sorumlu olan Banka’yı ifade eder.
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek
veya tüzel kişiyi ifade eder.
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade
eder.
İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi ifade eder.
Kişisel Verilerin İmhası: İmha, kişisel verilerin silinmesi, yok edilmesi veya anonim hale
getirilmesini ifade etmektedir.
Silme: Kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz
hale getirilmesi işlemidir.
Yok Etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar
kullanılamaz hale getirilmesi işlemidir.
Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli
veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi işlemidir.
3. GÖREV, YETKİ VE SORUMLULUKLAR
Banka, veri sorumlusu olarak bu Politika’nın tüm iç işleyiş ve süreçlerinin düzenlenmesi ve
uygulanmasından sorumludur. Mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesini
sağlamak amacıyla “Veri Yönetişimi ve KVKK Servisi” kurulmuştur. Banka, bu yükümlülüklerini Veri
Yönetişimi ve KVKK Servisi aracılığıyla yerine getirir.
Bu Politika doğrultusunda hazırlanacak iç düzenlemeler ve eğitim faaliyetlerinin uygulanmasından
Veri Yönetişimi ve KVKK Servisi sorumludur.
Banka çalışanları, Politika’ya uyum sağlamak ve ilgili mevzuat hükümleri doğrultusunda doğacak
hukuki sorumluluklar, riskler ve tehlikelerin önlenmesi için Veri Yönetişimi ve KVKK Servisi ve Veri
Yönetişimi ve KVKK Komitesi ile iş birliği yapmalıdır.
Banka'nın tüm hizmet birimleri ve organları ile tüm çalışanları, Politika’ya uygun hareket etmek ve
Politika’nın hükümlerine uyulmasını sağlamakla yükümlüdür.
Bu Politika, Banka’nın doküman yönetimi sisteminde her zaman erişilebilir şekilde muhafaza edilir
ve ayrıca Banka’nın web sitesinde yayımlanır. Politikada meydana gelecek değişiklikler, doküman
yönetimi sistemi ve web sitesine güncel olarak eklenir ve bu yolla veri sahiplerinin Politika ile
öngörülen esaslara ulaşarak bilgilenmesi sağlanır.
Politika’nın gereklerinin yerine getirilip getirilmediğinin takibi Veri Yönetişimi ve KVKK Komitesi
tarafından yapılır. Politika’ya aykırı davranış tespit edildiğinde, konu ilgili çalışanın Birim Müdürü’ne
ve diğer ilgili mercilere bildirilir; aykırılığın giderilmesi için ilgili Birim Müdürü gerekli tedbirleri alır.
Politika’ya aykırı davranan çalışan hakkında yapılacak işlem için Banka iç disiplin hükümleri
uygulanır.
Politika’nın gereklerinin yerine getirilmesi amacıyla Banka tarafından gerekli yazılımlar, sistemler ve
uygulamalar devreye alınır. Mevzuattaki değişiklikler, ilan edilen Kurum tavsiyeleri ve Kurul kararları
ile Banka’ya tebliğ edilen Kurul veya mahkeme kararları nedeniyle oluşabilecek değişiklikler Veri
Yönetişimi ve KVKK Servisi tarafından takip edilerek gerekli düzenlemeler yapılır.
4. KİŞİSEL VERİLERİ İŞLEME İLKELERİ
Uluslararası belgelerde kabul görmüş ve pek çok ülke uygulamasına yansımış olan kişisel verilerin
işlenmesine ilişkin temel ilkeler bulunmaktadır. Kanun’un 4’üncü maddesinde kişisel verilerin
işlenmesine ilişkin usul ve esaslar 108 sayılı Sözleşmeye ve 95/46/EC sayılı Avrupa Birliği Direktifine
uygun şekilde düzenlenmiştir. Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme
faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak
gerçekleştirilmelidir.
• Hukuka ve Dürüstlük Kuralına Uygun Olma: Banka tarafından gerçekleştirilen kişisel veri
işleme faaliyetleri, başta Bankacılık Mevzuatı ve kişisel verilerin korunmasına dair yasal mevzuat
olmak üzere Banka’nın tabi olduğu tüm mevzuat hükümleri doğrultusunda ve 4721 sayılı Türk
Medeni Kanunu’n 2’nci maddesi ile öngörülen dürüstlük kuralına uygun olarak yürütülür.
• Doğruluk ve Gerektiğinde Güncel Olma: Banka, kişisel verilerin doğru ve güncel tutulmasın
önem vermektedir. Bu kapsamda, ilgili kişi bilgilerinin doğru ve güncel olmasını temin edecek
kanallar açık tutulmakta, kişisel verilerin doğruluğunun ve güncelliğinin sağlanması için gerekli
tedbirler almaktadır. Ayrıca ilgili kişinin, veri sorumlusu sıfatı ile Banka’ya bildireceği taleplerin
değerlendirilmesi, bunun yanı sıra Banka’nın bizzat gerekli göreceği durumlarda, hatalı olduğu
veya güncel olmadığı tespit edilen kişisel verilerin düzeltilmesi ve doğruluğunun denetlenmesi
için idari ve teknik mekanizmalar işletilmektedir.
• Belirli, Açık ve Meşru Amaçlar için İşleme: Kişisel veriler başta Bankacılık Mevzuatı ve kişise
verilerin korunmasına dair yasal mevzuat olmak üzere, Banka’nın tabi olduğu mevzuat
kapsamında, Banka tarafından sunulan veya sunulacak olan ürün ve/veya hizmetlerle sınırlı
olmak kaydıyla hukuka uygun biçimde işlenir ve kişisel verilerin işlenme amacı verilerin
işlenmeye başlanmasından önce açık ve kesin olarak belirlenir.
• İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Kişisel veriler; işlenme amaçları ile
bağlantılı ve sınırlı olmak üzere bu amacın gerçekleşmesi için gerektiği ölçüde işlenir. Ayrıca,
verilerin işlenme amacı ile ilgili olmayan ve ihtiyaç duyulmayan kişisel verilerin işlenmesinden
kaçınılır.
• Mevzuat Hükümleri ile Öngörülen ve/veya İşlendikleri Amaç için Gerekli Olan Süre Kadar
Muhafaza Edilme: Kişisel veriler, ilgili mevzuat hükümleri ile öngörülen süreler doğrultusunda
ve verilerin işlenme amacının gerektirdiği süre boyunca işlenir. Kişisel verilerin işlenme amacının
ortadan kalkması durumunda ve mevzuat hükümleri ile öngörülen sürenin sonunda, Banka
tarafından uygun görülen yöntemle (silme, yok etme veya anonim hale getirme) imha edilir.
Ancak, kişisel verilerin işlenme amacının ortadan kalkmasına rağmen yasal saklama
yükümlülüğünün bulunması durumunda, bu veriler sadece yasal yükümlülüğün yerine getirilmesi
amacı ile sınırlı olmak üzere işlenir. Gerekli sürenin sonunda kişisel verilerin işlenmesinin
önlenmesi için gerekli idari ve teknik tedbirler alınır.
5. KİŞİSEL VERİLERİN GENEL İŞLENME ŞARTLARI
6698 sayılı Kanun’un 5’inci maddesinde kişisel verilerin işlenmesinin hangi şartlarda mümkün olduğu
düzenlenmiştir. Kişisel verilerin işlenme şartları, yani hukuka uygunluk halleri, Kanun’da sayma
yoluyla belirlenmiş olup, bu şartlar genişletilemez. Veri sorumlusu tarafından kişisel veri işleme
faaliyetinin amacının öncelikli olarak açık rıza dışındaki işleme şartlarından birine dayanıp
dayanmadığı değerlendirilmeli, eğer bu amaç Kanun’da belirtilen açık rıza dışındaki şartlardan en
az birini karşılamıyorsa, bu durumda veri işleme faaliyetinin devamı için Kanun’un 4’üncü
maddesinde hükme bağlanan genel ilkeler de dikkate alınmak suretiyle kişinin açık rızasının
alınması yoluna gidilmelidir. Bankacılık faaliyetlerinin kapsamı ve sınırları ilgili mevzuat
düzenlemelerinde kesin bir şekilde belirlenmiş olduğundan, esasen bankalarca yapılan veri işleme
uygulamaları büyük ölçüde, açık rıza dışındaki hukuka uygunluk nedenlerine dayanmaktadır. Her birveri kategorisi, birden fazla amaçla işlenerek işlendikleri amaca göre farklı hukuka uygunluk
nedenlerine tabi olabilecekleri gibi, bir işleme amacı birden fazla hukuka uygunluk nedenine de dahil
olabilmektedir.
• Açık Rıza: Kanun’un 3’üncü maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye
dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmıştır. Açık rızanın bu anlamda, rıza
veren kişinin olumlu iradesini göstermesi gerekmektedir. Kanun’un 5’inci maddesi uyarınca açık
rıza Kanun’daki kişisel veri işleme şartlarından biridir ve diğer kişisel veri işleme şartlarına göre
karşılaştırmalı bir üstünlüğü bulunmamaktadır. Kişisel verilerin işlenmesinde diğer kişisel veri
işleme şartlarının herhangi birisinin mevcut olmaması halinde, Banka tarafından ilgili kişinin açık
rızasına başvurulabilir. Bu durumlarda, ilgili kişilerin kişisel verileri, bilgilendirme yapılarak (kişinin
açık rızasına ihtiyaç duyulan hususa dair) ve açık rızası alınarak (bu husus ile sınırlı olmak üzere)
Banka tarafından işlenebilir.
• Kanunlarda Açıkça Öngörülmesi ve Hukuki Yükümlülüğün Yerine Getirilmesi: Kanun’un
5’inci maddesinin ikinci fıkrasının (a) bendinde geçen “kanunlarda açıkça öngörülmesi” ifadesi
ile kişisel verilerin işlenmesiyle ilgili herhangi bir kanunun kast edildiği anlaşılmaktadır. Anılan
hükmün (ç) fıkrası uyarınca ise veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi
için veri işlenmesinin zorunlu olduğu hallerde ilgili kişinin kişisel verileri işlemesi mümkündür.
Kanunlarda açıkça öngörülen hallerde, veri işleme faaliyetleri yasal mevzuat sınırlarını aşmamak
kaydıyla ilgili kişinin rızasına tabi olmaksızın gerçekleştirilebilmektedir. İlaveten, veri sorumlusu
sıfatına haiz Banka’nın mevzuat hükümlerinden doğan yükümlülüklerini yerine getirebilmesi için,
söz konusu yükümlülüğün sınırları ile bağlı olacak şekilde, Banka tarafından kişisel veriler
işlenmektedir.
• Meşru Menfaat: Kanun 5’inci maddesinin 2’nci fıkrasının (f) bendi, ilgili kişinin temel hak ve
özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu
olması durumunda ilgili kişinin açık rızası alınmaksızın kişisel verilerin işlenebileceğini
düzenlenmiştir. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Banka'nın
meşru menfaatleri doğrultusunda kişisel veriler işlenebilir. Ancak, "Bankanın meşru menfaatleri"
ifadesi, KVKK ile belirlenen ilkelere, kişisel verinin işlenme amacına aykırı olamaz ve Anayasa
ile güvence altına alınmış hakların özüne müdahale niteliğinde gerçekleştirilemez.
• Bir Hakkın Tesisi ve Korunması İçin Zorunlu Olma: Bankaların faaliyetlerini güvenli bir şekild
yürütebilmesi maruz kaldıkları risklerin belirlenmesine ve yönetilmesine bağlıdır. Bu kapsamda
kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde Banka
tarafından işlenebilmektedir.
• İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olma: İlgili kişinin kişisel verilerini
alenileştirmesi halinde, Banka tarafından söz konusu kişisel veriler, alenileştirilme amaçları ile
orantılı olarak işlenebilir. Bu işleme faaliyeti sırasında, Kurul’un 07/11/2019 Tarihli ve 2019/331
Sayılı Kararı ve 16/12/2020 tarihli Kamuoyu Duyurusu’nda yer alan hususlar da dikkate alınır.
• Bir Sözleşmenin Kurulması veya İfasıyla İlgili Olma: Bir sözleşmenin kurulması veya ifas
kapsamındaki yükümlülüklerin yerine getirilmesi için gerekli olan kişisel veriler, KVKK
kapsamında ilgili kişinin açık rızası aranmaksızın işlenebilir. İlgili kişiler ile Banka arasında
sözleşme ilişkisinin kurulması aşamasına ilişkin veri işleme faaliyetleri de bu kapsamda yer
almaktadır.
• Fiili İmkânsızlık Nedeniyle Açık Rızanın Alınamaması Durumu: Kanun gereği, ilgili kişinin fiili
olarak rızasını açıklamasının mümkün olmadığı veya rızasına hukuken geçerlilik
tanınamayacağı durumlarda, ilgili kişinin veya bir başkasının hayatının veya beden bütünlüğünün
korunması için kişisel verilerin işlenmesi zorunlu ise, bu kişisel veriler rıza alınmaksızın
işlenebilir. Bu düzenleme doğrultusunda öngörülen hallerde, Banka kişisel verileri
işleyebilecektir.
6. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI
Özel nitelikli kişisel veriler, Kanun’un 6’ncı maddesinde sınırlı olarak sayılmıştır. Dolayısıyla, özel
nitelikli kişisel verilerin kıyas yoluyla genişletilmesi mümkün değildir. Kanun, söz konusu verilere özel
bir önem atfetmekte ve bu verilerle ilgili daha sıkı bir düzenleme getirmektedir. Zira, bu veriler
başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz
kalabilmesine neden olabilecek nitelikte veriler olmaları dikkate alınmakta ve bu tür veriler özel
nitelikli veri olarak kabul edilmektedir.
Bu doğrultuda Kanun uyarınca Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 31 Ocak 2018 Tarihli ve
2018/10 Sayılı Kararı ile belirlenen yeterli önlemler alınmaksızın özel nitelikli verilerin işlenememesi
öngörülmekte, ayrıca Kanun’un 6’ncı maddesinin üçüncü fıkrasında özel nitelikli kişisel verilerin,
işlenmesinin yasak olduğu hükme bağlanmış ve fıkranın devamında ise tahdidi olarak sayılan
şartların varlığı halinde, yeterli önlem alınması şartı baki kalmak kaydıyla ilgili kişinin açık rızası
aranmaksızın özel nitelikli kişisel verilerin işlenmesine imkân tanınmaktadır. Buna göre özel nitelikli
kişisel veriler, Karar’da belirtilen yeterli önlemler alınarak aşağıda yer alan işlenme şartlarının varlığı
halinde Banka tarafından işlenebilecektir:
• İlgili kişinin açık rızasının bulunması halinde özel nitelikli kişisel veriler işlenebilecektir. Açık rıza
diğer özel nitelikli veri işleme şartlarına göre üstünlük teşkil etmemektedir.
• Kanunlarda açıkça öngörülmesi halinde özel nitelikli kişisel veriler işlenebilecektir
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün
korunması için zorunlu olması halinde özel nitelikli kişisel veriler işlenebilecektir.
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olarak özel
nitelikli kişisel veriler işlenebilecektir.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması halinde özel nitelikli kişise
veriler işlenebilecektir.
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu
sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi
ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması halinde özel
nitelikli kişisel veriler işlenebilecektir.
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındak
hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması halinde özel nitelikli kişisel veriler
işlenebilecektir.
7. KİŞİSEL VERİLERİN AKTARILMASI
Kişisel verilerin aktarılması, Kanun’un 3’üncü maddesinde işleme tanımı içerisinde yer bulmaktadır.
Bununla birlikte, ayrıca Kanun’un 8’inci ve 9’uncu maddelerinde özel olarak düzenlenerek iki başlık
altında ele alınmıştır. Belirtilen maddeler kapsamında hem kişisel hem de özel nitelikli kişisel veriler
yer almaktadır. Kanun’un 8’inci maddesinde kişisel verilerin yurt içinde aktarılmasına ilişkin
hükümlere, 9’uncu maddesinde ise kişisel verilerin yurt dışına aktarılmasına ilişkin hükümlere yer
verilmiştir. Kanun’da yer alan düzenlemelere istinaden, verilerin hukuka uygun bir şekilde
aktarılabilmesi için belirtilen maddelerde yer alan şartların yerine getirilmiş olması gerekmektedir.
• Kişisel Verilerin Yurt İçinde Aktarılmas
Kanun’un 8’inci maddesinde, kişisel verilerin yurt içinde aktarılmasına ilişkin usul ve esaslar
düzenlenmektedir. Kanun’un kendi sistematiği içerisinde belirlenen genel ilkeler çerçevesinde
işlenmek üzere elde edilen kişisel verilerin, 8’inci madde hükmü uyarınca ilgili kişinin açık rızası
alınmak suretiyle üçüncü kişilere aktarılabileceği hüküm altına almıştır. Ancak Kanun, kişisel verilerinişlenmesi ile bu verilerin yurt içinde aktarılması bakımından da aynı şartları aramaktadır. Dolayısı ile
kişisel veriler ilgili kişinin açık rızası aranmaksızın üçüncü kişilere aktarılabilmesi için Kanun’un 5’inci
maddesindeki şartların ayrıca aranması gerekir.
Diğer kanunlarda kişisel veri aktarımına ilişkin açıklamalar baki kalmak suretiyle, Banka Kanun’un
5’inci maddesinin ikinci fıkrası uyarınca gerekli teknik ve idari tedbirleri alarak, kişisel verileri, kişisel
veri işleme envanterinde belirtilen alıcı gruplarına aktarabilir.
• Kişisel Verilerin Yurt Dışına Aktarılmas
Kanun’un 9’uncu maddesinin birinci fıkrasına göre kişisel veriler, 5’inci ve 6’ncı maddelerde belirtilen
şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası
kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından
yurt dışına aktarılabilir. Aynı maddenin devamında kişisel verilerin yurt dışına aktarılabileceği diğer
haller düzenlenmiştir. İlaveten, kişisel verilerin yurt dışına aktarılmasına ilişkin olarak, 10/07/2024
tarihli 32598 sayılı Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında
Yönetmelik hükümleri de uygulanmaktadır. Buna göre Banka, yurt dışına veri aktarımı yaparken
9’uncu madde ve ilgili Yönetmelik hükümleri gereği işlem yapmaktadır.
• Özel Nitelikli Kişisel Verilerin Yurt İçi ve Yurt Dışına Aktarılmas
Özel nitelikli kişisel verilerin yurt içi aktarımında, Kurul’un Karar’ında belirtmiş olduğu yeterli önlemler
alınmak suretiyle 8 maddenin üçüncü fıkrasında belirtilen hallerin varlığı aranmaktadır. Karar’da
belirtilen yeterli önlemler, Politika’nın “Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü” başlığı
altında izah edilmiştir.
Özel nitelikli kişisel veriler, Kurul tarafından Karar’da belirlenen yeterli önlemler alınarak
6’ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke,
ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde,
veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir. Banka, mevzuat uyarınca
öngörülen şartları ve yükümlülükleri yerine getirerek, özel nitelikli kişisel verileri yurt içi ve yurt dışına
aktarmaktadır.
8. KİŞİSEL VERİLERİN SAKLANMASI VE İMHA EDİLMESİ
Banka’nın 6102 sayılı Türk Ticaret Kanunu’nun 64, 65 ve 82’inci maddeleri ile 5411 sayılı Bankacılık
Kanunu’nun 42’nci maddesi uyarınca, gerçekleştirdiği işlemlerle ilgili belgeleri 10 yıl süreyle saklama
yükümlülüğü bulunmaktadır. Bunun yanı sıra Banka’nın ürün ve hizmetlerin sunulması, bir sözleşme
ilişkisini de doğurduğundan, saklama sürelerinin belirlenmesinde 6098 sayılı Türk Borçlar
Kanunu’nun zamanaşımı sürelerini düzenleyen 146’ncı maddesinde yer alan her alacağın 10 yıllık
zamanaşımına tabi olduğu hususu da göz önünde bulundurulmaktadır. Verilerin imha sürelerine
ilişkin açıklamalar, Bankanın VERBİS kaydında güncel olarak yer almaktadır.
Kişisel Veri Saklama Ortamları Tablosu
Dijital Ortamlar
Sunucular (web sunucusu, veri tabanı
dosya paylaşım, etki alanı, yedekleme,
e-posta, vb.)
• Yazılımlar (Bankacılık hizmet yazılımları
yardımcı kurum içi süreç yönetim yazılımları, ofis yazılımları, portal, EBYS
vb.)
• Bilgi güvenliği cihazları (güvenlik duvarı
saldırı tespit ve engelleme, günlük kayıt
dosyası, anti virüs, siber güvenlik
uygulamaları vb.)
• Kişisel bilgisayarlar (masaüstü, dizüstü)
• Mobil cihazlar (telefon, tablet vb.
• Optik diskler (CD, DVD vb.
• Çıkartılabilir bellekler (USB, hafıza kartı
teyp kartuşları vb.)
• Yazıcı, tarayıcı, fotokopi makinesi
Dijital Olmayan Ortamlar
Kâğıt
• Dijital olmayan veri kayıt sistemleri
(anket formları, ziyaretçi giriş defteri vb.)
• Diğer yazılı, basılı ve görsel ortamlar
genel müdürlük, şubeler veya saklama
amacıyla özel hazırlanmış merkezlerdeki kilitli depo, oda, kasa, dolap veya masa
çekmeceleri vb.
• Saklamayı Gerektiren Hukuki Sebepler
Bankanın faaliyetleri çerçevesinde işlenen kişisel veriler, başta; 6698 sayılı Kişisel Verilerin
Korunması Kanunu, 5411 sayılı Bankacılık Kanunu, 5549 sayılı Suç Gelirlerinin Aklanmasının
Önlenmesi Hakkında Kanun, 6098 sayılı Türk Borçlar Kanunu, 6102 sayılı Türk Ticaret Kanunu,
4857 sayılı İş Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 6361 sayılı
İş Sağlığı ve Güvenliği Kanunu, 4208 sayılı Kara Paranın Aklanmasının Önlenmesine Dair Kanun,
6362 sayılı Sermaye Piyasası Kanunu, 4982 sayılı Bilgi Edinme Kanunu, 3071 sayılı Dilekçe
Hakkının Kullanılmasına Dair Kanun, 213 sayılı Vergi Usul Kanunu, 5464 Sayılı Banka Kartları ve
Kredi Kartları Kanunu, 6502 Sayılı Tüketicinin Korunması Hakkında Kanun, 5941 sayılı Çek Kanunu,
diğer ilgili kanun, yönetmelik, tebliğ, uluslararası anlaşmalar ve sair yasal mevzuat hükümleri ve ilgili
mevzuatın öngördüğü kişisel bilgilerin işlenmesi, saklanması, raporlanması ve diğer yükümlülüklere
uymak amacıyla işlenmekte ve saklanmaktadır.
• Saklamayı Gerektiren İşleme Amaçlar
Kişisel veriler ve özel nitelikli kişisel veriler, ilgili mevzuatta öngörülen diğer amaçları gerçekleştirmek
için işlenmeleri ve saklanmaları haricinde, genel olarak aşağıda yer alan nedenler dolayısıyla
işlenmekte ve saklanmaktadır.
Banka müşterilerine ilişkin kişisel veriler ve özel nitelikli kişisel veriler:
Bankacılık faaliyetleri çerçevesinde her türlü ürün ve hizmetlerde kullanılması,
Bankacılık hizmetlerinin mevzuata uygun olarak gerçekleştirilmesi,
Banka’nın mülkiyete dayalı haklarının ve güvenliğinin sağlanması,
Hukuki yükümlülüklerin yerine getirilmesinin sağlanması,
Hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğünün yerine getirilmesi,
İnsan kaynakları süreçlerinin yürütülmesi ve kurumsal iletişimin sağlanması,
İlgili kişilerin şikâyet, soru ve taleplerinin karşılanması,
İşlem sahibinin kimlik bilgilerini tespit ve teyit etmek için kimlik, adres ve diğer gerekli bilgilerin
kaydedilmesi; elektronik veya yazılı ortamda gerçekleştirilecek işleme dayanak olacak tüm kayıt ve
belgelerin düzenlenmesi,
BDDK, MASAK, TCMB, SPK, GİB, VDK gibi resmî kurumlarca ve KKB, BKM gibi kuruluşlarca
öngörülen ibraz, bilgi saklama, raporlama, bilgilendirme yükümlülüklerine uyulması,
Talep edilen diğer Banka ürün ve hizmetlerini sunabilmek ve bankacılık hizmetleri sözleşmesi ile
diğer kredi ve/veya ürün hizmet sözleşmeleri ve diğer tüm sözleşmelerin kurulmasını veya ifasını
sağlamak, amaçlarıyla işlenmekte ve saklanmaktadır.
Müşteri dışındaki 3. kişilere ilişkin kişisel veriler ve özel nitelikli kişisel veriler:
Doğrudan veya dolaylı olarak bankacılık faaliyetlerinden kaynaklı Bankanın tüm yasal hakları ve
meşru menfaatleri kapsamında işlenmekte ve saklanmaktadır.
Destek hizmetleri firmaları ve ürün/hizmet satın alınan firmalarla akdedilen sözleşmeler
kapsamında temin edilen kişisel veriler ve özel nitelikli kişisel veriler:
Destek hizmetleri firmaları ve tedarikçilerle imzalanan sözleşmelerin ifası ve yükümlülüklerinin yerine
getirilmesi amacıyla işlenmekte ve saklanmaktadır.
• İmhayı Gerektiren Sebepler
Banka tarafından işlenen kişisel veriler ve özel nitelikli kişisel veriler:
İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, işlenmesini veya
saklanmasını gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık
rızasını geri alması,
İlgili kişinin kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Bankamız
tarafından kabul edilmesi,
Kurul tarafından verilen kararın uygulanması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması gibi durumlarda, imha edilir.
9. VERİ SORUMLUSUNUN AYDINLATMA YÜKÜMLÜLÜĞÜ
Veri sorumlusunun (“Banka”) aydınlatma yükümlülüğü, 6698 sayılı Kanun’un 10’uncu maddesinde
ve 10 Mart 2018 tarih, 30356 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Aydınlatma
Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de
düzenlenmiştir.
Banka, kişisel verilerin ilgili kişiden elde edilmesi sırasında:
• Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
• Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulmas
esnasında,
• Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağ
esnada, ilgili kişiyi aydınlatma yükümlülüğünü yerine getirir.
Bilgilendirme yükümlülüğünün yerine getirilmesinde iş süreçlerine ve/veya kişi gruplarına bağlı
olarak kullanılacak bilgilendirme metinleri Kişisel Veri İşleme Envanteriyle uyumlu olacak şekilde Veri
Yönetişimi ve KVKK Servisi tarafından hazırlanır.
10. KİŞİSEL VERİLERİN GÜVENLİĞİNİ SAĞLAMA YÜKÜMLÜLÜĞÜ
Kişisel verilerin ve özel nitelikli kişisel verilerin güvenli bir şekilde saklanması, bu verilere güvenli bir
şekilde erişilmesi ve yetkisiz erişimlerin önlenmesi hususlarında mevzuat ve diğer düzenlemelere
uygun olarak gerekli düzenlemeler yapılır. Veri güvenliğinin tesis edilebilmesi için, Kişisel Verilerin
Korunması Kanunu ilgili mevzuat haricinde uyum sağlanması gereken bazı mevzuat, düzenleme ve
standartlar şunlardır:
• 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen
Suçlarla Mücadele Edilmesi Hakkında Kanun,
• Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik
“Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli
Önlemler” ile ilgili Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı
(“Karar”),
• Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (Payment Card Industry -PCI- Data Security
Standard -DSS-).
• İlgili Birimlerce Alınacak Teknik Tedbirler
Teknik Tedbir Yasal Dayanak
Yetki Matrisi Kimlik ve Erişim Yönetimi m.11
Yetki Kontrol Kimlik ve Erişim Yönetimi m.11
Erişim Logları Kimlik ve Erişim Yönetimi m.11
İz Kayıtlarının Oluşturulması ve Takibi m.13
Kullanıcı Hesap Yönetimi Kimlik ve Erişim Yönetimi m.11
Ağ Güvenliği Ağ Güvenliği m.14
Uygulama Güvenliği Güvenlik Konfigürasyonu Yönetimi m.15
Güvenlik Açıkları ve Yama Yönetimi m.16
Şifreleme Veri Gizliliği m.9
Erişilebilirlik Yönetimi ve Yedekleme m.27
Kimlik Doğrulama ve İşlem Güvenliği, m.34
Sızma Testi Siber Olay Yönetimi, Sızma Testi ve Siber
İstihbarat Paylaşımı m.18
Saldırı Tespit ve Önleme Sistemler Ağ Güvenliği m.14
Siber Olay Yönetimi, Sızma Testi ve Siber
İstihbarat Paylaşımı m.18
Log Kayıtları Kimlik ve Erişim Yönetimi m.11
İz Kayıtlarının Oluşturulması ve Takibi m.13
Veri Maskeleme Sır Niteliğindeki Bilgilerin Paylaşılması
Hakkında Yönetmelik m.6
Veri Kaybı Önleme Yazılımları Güvenlik Konfigürasyonu Yönetimi m.15,
Güvenlik Açıkları ve Yama Yönetimi m.16
Yedekleme Erişilebilirlik Yönetimi ve Yedekleme m.27
Güvenlik Duvarları Ağ Güvenliği m.14
Güncel Anti-Virüs Sistemleri Güvenlik Konfigürasyonu Yönetimi m.15,
Güvenlik Açıkları ve Yama Yönetimi m.16
Silme, Yok Etme veya Anonim Hale Getirme Bankacılık Kanunu m.42
Anahtar Yönetimi Veri Gizliliği m.9
Kimlik Doğrulama ve İşlem Güvenliği m.34
• İlgili Birimlerde Alınacak İdari Tedbirler
Banka tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda yer almaktadır:
• Kişisel veri güvenliğinin takibi yapılmaktadır
• Mevcut risk ve tehditler belirlenmektedir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse; mutlaka şifreli olarak ve KEP
veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri hazırlanmıştır
• Çalışanlar için veri güvenliği konusunda belli aralıklarla, eğitim ve farkındalık çalışmalar
yapılmaktadır.
• Veri güvenliğine ilişkin olarak kurumsal politikalar hazırlanmıştır
• Gizlilik taahhütnameleri yapılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve/ veya yaptırılmaktadır
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş olup
uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi
sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır
• Kişisel veriler, minimizasyon ilkesine uygun olarak mümkün olduğunca azaltılmaktadır
• Kişisel veri işlemeye başlamadan önce Banka tarafından, ilgili kişileri aydınlatma yükümlülüğ
yerine getirilmektedir.
• Kişisel veri işleme envanteri hazırlanmış ve periyodik olarak güncellenmektedir. İlavete
VERBİS’e kayıt ve kaydın güncelliğini sağlama yükümlülüğü de yerine getirilmektedir.
11. İLGİLİ KİŞİNİN HAKLARI
Kanun’ un 11’inci maddesi uyarınca, ilgili kişi veri sorumlusu sıfatı ile Banka’ya karşı aşağıdaki
haklara sahiptir:
• Kişisel verilerinin işlenip işlenmediğini öğrenmek
• Kişisel verileri işlenmiş ise buna ilişkin bilgi talep etmek
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığın
öğrenmek,
• Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilmek
• Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini istemek
• KVKK’nın 7’nci maddesinde öngörülen şartların gerçekleşmesi halinde, kişisel verilerinin
silinmesini veya yok edilmesini talep etmek ve bu taleplerinin üçüncü kişilere iletilmesini istemek,
• (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişiler
bildirilmesini istemek,
• İşlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi
aleyhine bir sonucun ortaya çıkmasına itiraz etmek,
• Kişisel verilerinin kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararı
giderilmesini talep etmek.
İlgili kişilerin yukarıda sıralanan haklarına ilişkin taleplerini Banka’ya iletmeleri durumunda, talebin
niteliğine göre en kısa sürede veya en geç otuz gün içinde ücretsiz olarak talep
sonuçlandırılmaktadır. Ancak verilecek cevabın mahiyetine göre ayrıca, Kurul tarafından belirlenen
tarifedeki ücret alınabilmektedir. Başvurunun Banka hatasından kaynaklandığının anlaşılması
halinde alınan ücret ilgili kişiye iade edilebilir.
Banka tarafından ilgili kişiye talebine ilişkin başvuru sonucu, isteği doğrultusunda yazılı olarak veya
elektronik ortamda gönderilir. Banka, talebin niteliğine göre ilgili kişinin başvurusunu kabul
edebileceği gibi, gerekçesini açıklayarak reddedebilir. Başvurunun kabul edilmesi halinde talebin
gereği Banka tarafından gecikmeksizin yerine getirilir.
Kişisel veri sahibinin, başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya öngörülen
süre içerisinde başvuruya cevap verilmemesi hallerinde otuz (30) gün içerisinde Kurul’a şikâyet hakkı
bulunduğu konusunda Banka içinde gerekli uyarılar yapılmakta ve çalışanlar bilgilendirilmektedir.
12. DİĞER HUSUSLAR
Politika’da yapılacak değişiklikler ve bu değişikliklerin yürürlüğe konulması hususunda gerekli
çalışmalar, Veri Yönetişimi ve KVKK Servisi tarafından yapılmakta ve değişiklikler Banka Yönetim
Kurulu Kararı ile yürürlüğe girmektedir.
