Bu politika, Akar Mühendislik bünyesindeki kişisel veri işleme faaliyetlerinin ortak kurallarını ve sorumluluklarını belirler.
Politika; çalışanlar, çalışan ve stajyer adayları, müşteriler, tedarikçiler, ziyaretçiler ve iletişim kurulan diğer gerçek kişiler için uygulanır. Sürüm: 1.0. Yürürlük tarihi: 30 Temmuz 2026.
Şirket yönetimi politika, kaynak ve görev ayrımını onaylar. KVKK irtibat sorumlusu veri envanterini, ilgili kişi başvurularını, saklama-imha takvimini ve ihlal kayıtlarını koordine eder. Birim yöneticileri kendi süreçlerinin veri minimizasyonundan ve erişim yetkilerinden sorumludur.
Kişisel verilere yalnızca işi gereği yetkilendirilen çalışanlar erişir. Ortak hesap kullanılmaz; yönetim erişimleri düzenli gözden geçirilir ve görev değişikliği veya ayrılışta gecikmeden kapatılır.
Her faaliyet için veri kategorisi, ilgili kişi grubu, amaç, toplama yöntemi, alıcı grubu, saklama süresi ve Kanun’daki somut işleme şartı veri envanterinde eşleştirilir. Bir amaç için birden fazla hukuki sebep belirsiz biçimde sıralanmaz.
Açık rıza yalnızca başka bir işleme şartı bulunmadığında, belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilebildiğinde kullanılır. Aydınlatma metni ile açık rıza talebi ayrı sunulur; aydınlatma için onay istenmez.
Özel nitelikli kişisel veriler yalnızca gerekli olduğunda, Kanun’un 6’ncı maddesindeki uygun şart belirlenerek ve ek teknik-idari tedbirlerle işlenir. İnternet başvuru formlarında kimlik kopyası, sağlık kaydı, adli sicil veya biyometrik veri istenmez.
Lise stajı dâhil 18 yaş altı adaylardan ilk aşamada yalnızca yaş grubu alınır. Veli veya yasal temsilci teyidi, başvuru olumlu ilerlediğinde, staj kabulü öncesinde ve gerekli en az veriyle ayrı güvenli süreçte yapılır.
Aktarım yapılmadan önce amaç, veri kapsamı, alıcı, hukuki sebep ve güvenlik önlemleri belgelenir. Veri işleyen sözleşmelerinde yalnızca talimatla işleme, gizlilik, güvenlik, alt işleyen, ihlal bildirimi, denetim desteği ve hizmet sonunda silme/iade hükümleri bulunur.
Yurt dışı aktarım ihtiyacında sunucu, yedekleme ve uzaktan destek konumları doğrulanır. Kanun’un 9’uncu maddesindeki yeterlilik kararı, uygun güvence veya arızi hâl mekanizmalarından geçerli olan uygulanmadan aktarım başlatılmaz.
Kanun’un 11 ve 13’üncü maddeleri kapsamındaki başvurular kayıt altına alınır, kimlik ölçülü biçimde doğrulanır, sorumlu birimlere yönlendirilir ve en geç 30 gün içinde cevaplandırılır. Cevap ve işlem delilleri güvenli biçimde saklanır.
Politika en az yılda bir; mevzuat, süreç, sistem veya hizmet sağlayıcı değiştiğinde ayrıca gözden geçirilir. Eğitimler, erişim kontrolleri, veri envanteri, sözleşmeler ve imha kayıtları iç denetimde örneklenir.
