Kişisel Verilerin Korunması ve İşlenmesi Politikası

KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

Doküman No: KVKK_11 · Yayın Tarihi: 02.10.2026

1. GİRİŞ

Oredata Yazılım Anonim Şirketi (“Oredata” veya “Şirket”) olarak kişisel verilerin korunmasını, faaliyetlerimizin ayrılmaz bir parçası ve müşterilerimiz, çalışanlarımız ve iş ortaklarımız nezdindeki güvenilirliğimizin temel unsuru olarak görüyoruz.

İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”), 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili ikincil mevzuat kapsamında Şirket tarafından yürütülen kişisel veri işleme faaliyetlerinde uyulacak temel ilke ve esasları belirleyen çatı belgedir. Şirket’in diğer tüm kişisel verilerin korunmasına ilişkin politika, prosedür, form ve metinleri işbu Politika ile birlikte yorumlanır ve uygulanır.

1.1. Amaç

Politika’nın amacı; Şirket’in kişisel veri işleme faaliyetlerinin Kanun’a ve ilgili mevzuata uygun olarak yürütülmesini sağlamak, ilgili kişileri Şirket’in bu alandaki yaklaşımı hakkında bilgilendirmek ve Şirket çalışanlarına uygulamada yol göstermektir.

1.2. Kapsam

Politika; Şirket çalışanları, eski çalışanları, çalışan adayları ve bunların referans olarak gösterdiği kişiler, stajyerleri, çalışan yakınları, müşterileri ve müşteri yetkilileri ile çalışanları, potansiyel müşterileri, tedarikçileri, iş ortakları, danışmanları, etkinlik katılımcıları, ziyaretçileri, Şirket ortakları ve yetkilileri ile internet sitesi kullanıcılarına ait kişisel verilerin işlenmesine ilişkin tüm faaliyetleri kapsar.

Şirket’in müşterileri adına veri işleyen sıfatıyla yürüttüğü faaliyetler bakımından Politika, müşteri ile akdedilen sözleşme ve müşterinin talimatları saklı kalmak kaydıyla, Şirket’in Kanun’un 12 nci maddesi kapsamındaki yükümlülükleri bakımından uygulanır.

1.3. Politika’nın diğer belgelerle ilişkisi

Politika, Şirket’in aşağıdaki belgeleri ile bir bütün oluşturur:

• Kişisel Veri Saklama ve İmha Politikası (KVKK_12) ve ekli imha prosedürleri,
• Veri İhlali Yönetimi ve Müdahale Planı Politikası (KVKK_16),
• Özel Nitelikli Kişisel Verilerin Korunması Politikası (KVKK_18),
• Çalışan Cihaz, Sistem ve İletişimlerinin Denetimi Politikası (KVKK_19),
• İlgili Kişi Başvurularının Yönetimi Prosedürü (KVKK_20),
• Erişim Yetkilendirme ve Yetki Matrisi Prosedürü (KVKK_21),
• Yurt Dışına Aktarımda Standart Sözleşme Kullanım Kılavuzu (KVKK_38),
• Veri İşleyen Sıfatıyla Müşteri Projelerinde Kişisel Veri İşleme Prosedürü (KVKK_22),
• Şirket’in aydınlatma metinleri, açık rıza beyanları ve kişisel veri aktarım/veri işleyen sözleşmeleri.

2. TANIMLAR

3. KİŞİSEL VERİLERİN İŞLENMESİNDE UYULAN GENEL İLKELER

Şirket, kişisel verileri Kanun’un 4 üncü maddesinde düzenlenen aşağıdaki genel ilkelere uygun olarak işler. Bu ilkeler, bir işleme faaliyetinin Kanun’un 5 inci veya 6 ncı maddesindeki şartlardan birine dayanıyor olmasından bağımsız olarak, her hâlükârda uygulanır.

3.1. Hukuka ve dürüstlük kurallarına uygun olma

Kişisel veriler, ilgili kişilerin makul beklentileri gözetilerek ve şeffaflık ilkesine uygun şekilde işlenir. İlgili kişinin öngöremeyeceği veya beklemeyeceği şekilde gizli bir işleme yapılmaz.

3.2. Doğru ve gerektiğinde güncel olma

Şirket, işlediği kişisel verilerin doğruluğunu ve güncelliğini sağlamak için makul tedbirleri alır; ilgili kişilere verilerinin güncellenmesini talep etme imkânı sunar.

Kişisel veri içeren belgeler, ilgili kişinin Şirket’e bildirdiği iletişim adresine gönderilir; adresin ilgili kişiye ait olduğu, kişinin hesabını etkinleştirmesi veya bilinen bir kanaldan teyidi gibi yöntemlerle doğrulanır.

3.3. Belirli, açık ve meşru amaçlar için işlenme

Kişisel veriler, işleme faaliyetinden önce belirlenmiş, açıkça ortaya konmuş ve meşru amaçlar için işlenir. Aydınlatma metinlerinde “muhtelif amaçlarla” ve benzeri muğlak ifadelere yer verilmez; her amaç ayrı ayrı gösterilir.

3.4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma

Amacın gerçekleştirilmesi için gerekli olmayan kişisel veriler toplanmaz. Bu ilke uyarınca Şirket:

• İşe girişte adli sicil kaydı belgesini saklamaz; belge yalnızca kanunen zorunlu olan hâllerde talep edilir, incelenir ve iade veya imha edilir.
• Çalışanlara ait istirahat raporlarının içeriğini İnsan Kaynakları nezdinde tutmaz; yalnızca rapor tarih aralığı ve gün sayısı işlenir.
• Müşterilere aday veya çalışan özgeçmişi iletilmesi gereken hâllerde, mümkün olduğu ölçüde kimlik bilgileri kapatılmış özgeçmiş kullanılmasını tercih eder.
• Müşteri projelerinde, projenin gerektirdiği asgari veri ile çalışır ve mümkün olan hâllerde maskeli veya anonimleştirilmiş veri kullanılmasını esas alır.

3.5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

Saklama süreleri, Kişisel Veri Saklama ve İmha Politikası’nda faaliyet bazında belirlenmiştir. Süre sonunda veriler resen veya talep üzerine imha edilir. Süresiz saklama yapılmaz.

4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

4.1. Genel nitelikli kişisel veriler

Kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez. Ancak Kanun’un 5 inci maddesinin ikinci fıkrasında sayılan şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işleme yapılabilir:

• Kanunlarda açıkça öngörülmesi,
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Şirket, işleme faaliyetini öncelikle Kanun’un 5 inci maddesinin ikinci fıkrasındaki şartlardan birine dayandırmayı esas alır. Açık rıza, yalnızca başka bir işleme şartının bulunmadığı hâllerde başvurulan bir hukuki sebeptir. Bu yaklaşım, işlemenin rızanın geri alınmasına bağlı hâle gelmesini önlemek amacını taşır.

4.2. Özel nitelikli kişisel veriler

Özel nitelikli kişisel veriler, ancak Kanun’un 6 ncı maddesinin üçüncü fıkrasında sayılan şartlardan birinin varlığı hâlinde işlenebilir. 7499 sayılı Kanun ile 1 Haziran 2024 tarihinde yürürlüğe giren düzenleme uyarınca bu şartlar şunlardır:

• İlgili kişinin açık rızasının bulunması,
• Kanunlarda açıkça öngörülmesi,
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

Özel nitelikli kişisel verilerin işlenmesinde Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı kararı uyarınca ayrıca yeterli önlemler alınır. Ayrıntılı düzenleme, Özel Nitelikli Kişisel Verilerin Korunması Politikası’nda yer alır.

4.3. Açık rızanın alınmasına ilişkin esaslar

• Açık rıza, aydınlatma yükümlülüğünün yerine getirilmesinden sonra ve aydınlatma metninden ayrı bir metinle alınır. Kurul’un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı uyarınca açık rıza metni ile aydınlatma metninin iç içe geçmiş şekilde sunulması hukuka aykırıdır.
• Her işleme amacı için ayrı ayrı seçim yapılabilmesi sağlanır; tek bir onay kutusu ile birden fazla amaç için toplu rıza alınmaz.
• Rıza kutucukları önceden işaretli olarak sunulmaz.
• Açık rızanın alındığına ilişkin ispat yükü Şirket’e ait olduğundan, rıza kayıtları; tarih, ilgili kişi ve onay anında sunulan metnin versiyonu tespit edilebilecek şekilde kayıt altına alınır.
• Bir hizmetin sunulması, açık rıza verilmesi şartına bağlanmaz.
• İşveren-çalışan ilişkisi gibi taraflar arasında güç dengesizliği bulunan hâllerde açık rızaya dayanılmasından mümkün olduğunca kaçınılır; başka bir işleme şartı mevcutsa ona dayanılır.

5. AYDINLATMA YÜKÜMLÜLÜĞÜ

Şirket, Kanun’un 10 uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatır.

Aydınlatma metinlerinde asgari olarak şu hususlara yer verilir: veri sorumlusunun ve varsa temsilcisinin kimliği; kişisel verilerin hangi amaçla işleneceği; işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği; kişisel veri toplamanın yöntemi ve hukuki sebebi; Kanun’un 11 inci maddesinde sayılan haklar.

Aydınlatma yükümlülüğü bakımından uyulan esaslar:

• Aydınlatma, açık rızaya dayanılıp dayanılmadığından bağımsız olarak her işleme faaliyetinde yerine getirilir.
• İşleme amacının değişmesi hâlinde, yeni faaliyetten önce yeniden aydınlatma yapılır.
• Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı Şirket’e ait olduğundan, metnin ilgili kişiye sunulduğu kayıt altına alınır.
• Aydınlatma metinleri, Şirket’in Veri Sorumluları Sicili’ne (VERBİS) bildirdiği bilgilerle uyumlu tutulur.
• Metinlerin dili anlaşılır, açık ve sade tutulur.

Şirket’in yürürlükteki aydınlatma metinlerinin güncel hâlleri Şirket’in internet sitesinde veya ilgili sürecin yürütüldüğü kanalda yayımlanır.

6. KİŞİSEL VERİLERİN AKTARILMASI

6.1. Yurt içinde aktarım

Kişisel veriler, Kanun’un 8 inci maddesi uyarınca, Kanun’un 5 inci maddesinin ikinci fıkrasında veya yeterli önlemler alınmak kaydıyla 6 ncı maddesinin üçüncü fıkrasında öngörülen şartlardan birinin varlığı hâlinde ya da ilgili kişinin açık rızası ile yurt içinde üçüncü kişilere aktarılabilir. Aktarım da başlı başına bir işleme faaliyeti olduğundan, her aktarım için ayrı bir hukuki sebep belirlenir.

Şirket, kişisel veri aktardığı tüm taraflarla — hizmet sağlayıcılar, tedarikçiler, müşteriler, iş ortakları, danışmanlar ve benzeri — yazılı bir kişisel veri aktarım sözleşmesi veya veri işleyen sözleşmesi akdeder. Mevcut ticari sözleşmede bu hususları karşılayan hükümler bulunuyorsa ayrıca sözleşme akdedilmesi gerekmez; bu değerlendirme KVKK Uyum Sorumlusu tarafından yapılır.

6.2. Yurt dışına aktarım

Yurt dışına aktarım, Kanun’un 7499 sayılı Kanun ile değişik 9 uncu maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca aşağıdaki sıralama gözetilerek yapılır:

• Kanun’un 5 inci ve 6 ncı maddelerindeki şartlardan birinin varlığı ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması,
• Yeterlilik kararı bulunmaması hâlinde, Kanun’un 5 inci ve 6 ncı maddelerindeki şartlardan birinin varlığı ve ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla uygun güvencelerden birinin sağlanması (yazılı taahhütname ve Kurul izni, bağlayıcı şirket kuralları, standart sözleşme, uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni),
• Yukarıdakilerin sağlanamaması hâlinde, yalnızca arızi olmak kaydıyla Kanun’un 9 uncu maddesinin altıncı fıkrasındaki hâllerin varlığı.

Şirket’in faaliyetleri, bulut tabanlı yazılım ve altyapı hizmetlerinin yoğun kullanımı nedeniyle önemli ölçüde yurt dışına veri aktarımı içermektedir. Aktarım yapılan her alıcı, mekanizması ve Kurum’a yapılan bildirimin tarihi KVKK Kayıt Defterleri’ndeki Yurt Dışı Aktarım Defteri’nde izlenir. Uygulama esasları Yurt Dışına Aktarımda Standart Sözleşme Kullanım Kılavuzu’nda gösterilmiştir.

7. VERİ GÜVENLİĞİNE İLİŞKİN TEDBİRLER

Şirket, Kanun’un 12 nci maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alır.

7.1. Teknik tedbirler

• Bilgi güvenliği yönetim sistemi TS EN ISO/IEC 27001 standardına göre kurulmuş ve belgelendirilmiştir.
• Erişim yetkileri rol bazlı olarak tanımlanır; görevin gerektirdiği asgari yetki ilkesi uygulanır ve yetkiler periyodik olarak gözden geçirilir.
• Kullanıcı hesaplarında güçlü parola politikası ve çok faktörlü kimlik doğrulama uygulanır.
• Uç noktalarda EDR/antivirüs ve veri sızıntısı önleme çözümleri kullanılır.
• Mobil cihazlar merkezi cihaz yönetimi ile yönetilir.
• Ağ trafiği güvenlik duvarı ile korunur; log kayıtları tutulur ve incelenir.
• Veriler düzenli olarak yedeklenir ve yedekler güvenli ortamda saklanır.
• Özel nitelikli kişisel veriler, ayrı ve erişimi kısıtlanmış ortamlarda ve uygun kriptografik yöntemlerle korunur.
• Sistemlerde güvenlik açığı taramaları ve güncelleme yönetimi yapılır.

7.2. İdari tedbirler

• Kişisel veri işleme envanteri hazırlanmış olup güncel tutulur.
• Çalışanlara işe girişte ve düzenli aralıklarla kişisel verilerin korunması eğitimi verilir.
• Çalışanlarla gizlilik taahhütnamesi ve bilgi güvenliği beyanı imzalanır; standart yetki seti dışında kişisel verilere erişim yetkisi tanımlananlardan Kişisel Verilerin Korunması Taahhütnamesi, özel nitelikli kişisel verilere erişimi bulunanlardan ayrıca Özel Nitelikli Kişisel Verilere Erişim Taahhütnamesi alınır.
• Veri aktarılan taraflarla yazılı sözleşme akdedilir.
• Politika ve prosedürlere uyum gerektiğinde gözden geçirilir.
• Yetki değişikliklerinde ve işten ayrılışlarda erişim yetkileri gecikmeksizin kaldırılır.

7.3. Veri işleyenlerle ilişkiler

Kişisel verilerin Şirket adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, Kanun’un 12 nci maddesinin ikinci fıkrası uyarınca Şirket, bu tedbirlerin alınması hususunda veri işleyenle birlikte müştereken sorumludur. Bu nedenle veri işleyenlerle akdedilen sözleşmelerde asgari olarak; işlemenin yalnızca Şirket’in talimatlarıyla yapılacağı, gizlilik yükümlülüğü, alt veri işleyen kullanımının Şirket’in iznine bağlı olması, güvenlik tedbirleri, veri ihlali hâlinde gecikmeksizin bildirim, denetim hakkı ve sözleşme sonunda iade veya imha yükümlülüğü düzenlenir.

8. VERİ İHLALİ HÂLİNDE YAPILACAKLAR

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Şirket, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir. Kurul’a bildirim, Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararında öngörülen süre içinde yapılır. Süreç, Veri İhlali Yönetimi ve Müdahale Planı Politikası’nda ayrıntılı olarak düzenlenmiştir.

9. İLGİLİ KİŞİNİN HAKLARI

Herkes, veri sorumlusu sıfatıyla Şirket’e başvurarak kendisiyle ilgili olarak Kanun’un 11 inci maddesinde sayılan haklarını kullanabilir. Başvurular, İlgili Kişi Başvurularının Yönetimi Prosedürü uyarınca Kanun’da öngörülen süre içinde sonuçlandırılır.

Kanun’un 28 inci maddesinde sayılan hâllerde Kanun hükümleri uygulanmaz veya kısmen uygulanır. Bu kapsamda ilgili kişinin yalnızca zararın giderilmesini talep etme hakkı saklı kalmak üzere Kanun’un 11 inci maddesindeki haklarını kullanamayacağı hâller, her başvuruda somut olarak değerlendirilir.

10. VERİ SORUMLULARI SİCİLİ (VERBİS)

Şirket, Kanun’un 16 ncı maddesi ve Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca kayıt yükümlülüğü kapsamında olduğu ölçüde Veri Sorumluları Sicili’ne kaydolur ve bildirimlerini günceller.

VERBİS’e yapılan bildirimlerin, kişisel veri işleme envanteri ve aydınlatma metinleriyle uyumlu olması sağlanır. Bildirime esas bilgilerde değişiklik olması hâlinde güncelleme, mevzuatta öngörülen süre içinde yapılır.

11. EĞİTİM VE FARKINDALIK

Şirket, çalışanlarına kişisel verilerin korunması konusunda işe girişte ve düzenli aralıklarla eğitim verir. Eğitimlerde asgari olarak; genel ilkeler, işleme şartları, aydınlatma ve açık rıza ayrımı, veri minimizasyonu, saklama ve imha süreleri, veri ihlali hâlinde yapılması gerekenler ve ilgili kişi başvurularının yönlendirilmesi konuları ele alınır. Katılım, KVKK Eğitim Katılım Tutanağı ile kayıt altına alınır.

12. POLİTİKANIN YÜRÜRLÜĞÜ, GÜNCELLENMESİ VE YAYIMI

Politika, Yönetim Kurulu kararı ile yürürlüğe girer. Mevzuat değişikliği veya Şirket süreçlerinde esaslı bir değişiklik hâlinde gözden geçirilir ve gerektiğinde güncellenir.

Politika’nın güncel hâli Şirket çalışanlarının erişimine açık ortamda ve Şirket’in internet sitesinde yayımlanır. Politika ile mevzuat arasında bir çelişki bulunması hâlinde mevzuat hükümleri uygulanır.

13. VERSİYON TAKİP TABLOSU