Kişisel Veri Saklama ve İmha Politikası
ELMİNA HEDİYELİK EŞYA SANAYİ VE TİCARET LİMİTED ŞİRKETİ
KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
| Doküman Bilgileri | |
| Versiyon | 2.1 |
| Yürürlük Tarihi | 14.09.2026 |
1. GİRİŞ VE VERİ SORUMLUSU
6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) uyarınca kişisel veriler, ELMİNA HEDİYELİK EŞYA SANAYİ VE TİCARET LİMİTED ŞİRKETİ (“Şirket”) tarafından veri sorumlusu sıfatıyla işlenmektedir. Şirket, faaliyetleri sırasında elde ettiği kişisel verileri; başta Anayasa olmak üzere Kanun, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ve diğer ilgili mevzuata uygun olarak hazırlanan işbu Kişisel Veri Saklama ve İmha Politikası’nda (“Politika”) belirtilen esaslar çerçevesinde saklamakta ve imha etmektedir.
| Veri Sorumlusu Bilgileri | |
| Unvan | ELMİNA HEDİYELİK EŞYA SANAYİ VE TİCARET LİMİTED ŞİRKETİ |
| Adres | Molla Fenari Mah. Şerefefendi Sk. Şeref Han Blok No: 42 İç Kapı No: 210 Fatih / İstanbul |
| MERSİS / Vergi No | 0333081427300001 / 3330814273 |
| KEP Adresi | elmina@hs01.kep.tr |
| E-posta | info@elminagold.com |
| İnternet Sitesi | www.elminagold.com |
| VERBİS Sicil Durumu | Sicile kayıtlıdır. Güncel kayıt, verbis.kvkk.gov.tr adresindeki Sicil Sorgulama bölümünden şirket unvanıyla sorgulanabilir. |
2. AMAÇ VE KAPSAM
İşbu Politika ile Şirket’in kişisel veri işleme faaliyetlerine konu gerçek kişi verilerinin saklanması ve imha edilmesine ilişkin genel ilke ve prensiplerin ortaya konulması ile mevzuattan doğan yükümlülüklerin yerine getirilmesi amaçlanmaktadır. Politika, Şirket’in Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri ile bu verilerin bulunduğu basılı ve elektronik tüm kayıt ortamlarını kapsar.
3. TANIMLAR
| Kavram | Tanım |
| Açık Rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. |
| Alıcı Grubu | Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi. |
| İlgili Kullanıcı | Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi ya da birim hariç olmak üzere, veri sorumlusu organizasyonu içinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler. |
| İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi. |
| Kayıt Ortamı | Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam. |
| Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (ad-soyad, T.C. kimlik numarası, e-posta adresi, adres, doğum tarihi, banka hesap numarası vb.). |
| Periyodik İmha | İşleme şartlarının tamamının ortadan kalkması durumunda, Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilen silme, yok etme veya anonim hâle getirme işlemi. |
| Veri Sorumlusu | Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. |
4. KAYIT ORTAMLARI
Şirket, kişisel verileri aşağıda belirtilen ortamlarda hukuka uygun olarak saklamaktadır:
| Elektronik Ortamlar | Fiziksel Ortamlar |
| Şirket sunucuları ve veri tabanları; bulut/üçüncü parti hizmet sağlayıcı sistemleri; internet sitesi altyapısı ve log kayıtları; e-posta hesapları; masaüstü ve dizüstü bilgisayarlar; mobil cihazlar; taşınabilir bellek ve harici diskler; yedekleme alanları; muhasebe, ERP ve CRM yazılımları. | Birim dolapları ve kilitli ofis arşivleri; evrak ve sözleşme klasörleri; matbu formlar; gelen-giden evrak kayıtları; ziyaretçi defteri. |
5. SAKLAMAYI VE İMHAYI GEREKTİREN SEBEPLER
5.1. Saklamayı Gerektiren Hukuki Sebepler
Kişisel veriler, Kanun’un 5. ve 6. maddelerinde yer alan işleme şartlarına dayalı olarak ve aşağıdaki mevzuattan doğan yükümlülükler çerçevesinde saklanmaktadır: 6698 sayılı Kanun, 6098 sayılı Türk Borçlar Kanunu, 6102 sayılı Türk Ticaret Kanunu, 213 sayılı Vergi Usul Kanunu, 4857 sayılı İş Kanunu, 6502 sayılı Tüketicinin Korunması Hakkında Kanun, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, 5651 sayılı Kanun ve ilgili ikincil mevzuat.
5.2. İmhayı Gerektiren Sebepler
Kişisel veriler; işlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilga edilmesi, işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, açık rızaya dayalı işlemelerde ilgili kişinin rızasını geri alması, ilgili kişinin Kanun’un 11. maddesi kapsamındaki talebinin Şirket tarafından kabul edilmesi, saklama süresinin sona ermesi veya Şirket’in talebi reddetmesi üzerine ilgili kişinin şikâyeti sonucunda Kurul tarafından silme, yok etme veya anonim hâle getirme kararı verilmesi hâllerinde imha edilir.
6. İMHA YÖNTEMLERİ
Şirket, Kanun’un 5. ve 6. maddelerindeki şartların tamamının ortadan kalkması hâlinde kişisel verileri; teknolojik imkânlar ve uygulama maliyetine göre uygun olan yöntemi seçmek suretiyle imha eder. İlgili kişinin talebi hâlinde seçilen yöntemin gerekçesi açıklanır.
| Yöntem | Uygulama |
| Silme | Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi. Yöntemler: veri tabanından kayıt/sütun silme, dosya sisteminden kalıcı silme, ilgili yazılımda erişim yetkilerinin kaldırılması, kâğıt ortamındaki verilerin karartılması. |
| Yok Etme | Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi. Yöntemler: fiziksel yok etme (kâğıt imha makinesi), de-manyetize etme, üzerine yazma, optik/manyetik medyanın eritilmesi veya öğütülmesi. |
| Anonim Hâle Getirme | Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi. Yöntemler: değişkenleri çıkarma, maskeleme, genelleştirme, alt/üst sınır kodlama, veri karma (shuffling). |
İmha kapsamında gerçekleştirilen tüm işlemler kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.
7. TEKNİK VE İDARİ TEDBİRLER
Şirket, Kanun’un 12. maddesi, Yönetmelik hükümleri ve Kurul kararları uyarınca aşağıdaki tedbirleri almaktadır.
7.1. Teknik Tedbirler
Ağ güvenliği ve uygulama güvenliği sağlanmakta; güvenlik duvarı ve saldırı tespit/önleme sistemleri kullanılmaktadır.
Yetki matrisi oluşturulmuş, erişimler görev tanımı ile sınırlandırılmış ve erişim logları düzenli olarak tutulmaktadır.
Şifreleme, güçlü parola politikası ve çok faktörlü kimlik doğrulama uygulanmaktadır.
Güncel anti-virüs, veri kaybı önleme (DLP) ve yedekleme çözümleri kullanılmaktadır.
Sızma testi ve zafiyet taramaları yaptırılmakta, bilgi teknolojileri sistemlerinin tedarik, geliştirme ve bakım süreçlerinde güvenlik önlemleri alınmaktadır.
Gerektiğinde veri maskeleme uygulanmakta; test ortamlarında gerçek kişisel veri kullanılmamaktadır.
İnternet sitesinde SSL/TLS sertifikası kullanılmakta, trafik kayıtları mevzuata uygun olarak tutulmaktadır.
7.2. İdari Tedbirler
Kişisel veri işleme envanteri hazırlanmış ve güncel tutulmaktadır.
Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurum içi politika ve prosedürler oluşturulmuştur.
Çalışanlara düzenli farkındalık eğitimi verilmekte; iş sözleşmeleri ve disiplin yönetmeliği veri güvenliği hükümleri içermektedir.
Çalışanlardan ve üçüncü kişilerden gizlilik taahhütnamesi alınmaktadır.
Veri işleyenlerle imzalanan sözleşmeler, Kanun’a uygun veri güvenliği ve gizlilik hükümleri içermektedir.
Veri ihlali müdahale planı oluşturulmuş, ihlallerin en geç 72 saat içinde Kurul’a bildirilmesine ilişkin süreç tanımlanmıştır.
Departman bazında yapılan işlerin kişisel veri güvenliğine etkisi periyodik olarak değerlendirilmektedir.
8. SAKLAMA VE İMHA SÜREÇLERİNDE GÖREV ALANLAR
Yönetmelik’in 5. maddesi uyarınca saklama ve imha süreçlerinde görev alanların unvan, birim ve görev tanımları aşağıdaki gibidir:
| Unvan | Birim | Görev |
| Yönetim Kurulu Üyesi / Genel Müdür | Üst Yönetim | Politika’nın onaylanması, uygulanmasının gözetimi ve gerekli kaynakların tahsisi. |
| KVKK İrtibat Kişisi | Bilgi Teknolojileri | VERBİS süreçlerinin yürütülmesi, ilgili kişi başvurularının koordinasyonu, Politika’nın güncelliğinin takibi. |
| Bilgi Teknolojileri Sorumlusu | Bilgi Teknolojileri | Elektronik ortamdaki verilerin güvenliği, yedekleme, periyodik imha işlemlerinin teknik olarak gerçekleştirilmesi ve kayıt altına alınması. |
| İnsan Kaynakları Sorumlusu | İnsan Kaynakları | Çalışan ve çalışan adayı verilerinin saklanması ve imhası, eğitim ve gizlilik taahhütnamesi süreçleri. |
| Mali İşler Sorumlusu | Muhasebe / Finans | Mali ve ticari kayıtların mevzuatta öngörülen süreler boyunca saklanması ve süre sonunda imhası. |
| Müşteri İlişkileri / Satış Sorumlusu | Satış ve Pazarlama | Müşteri, üye ve talep-şikâyet kayıtlarının saklanması ve imhası. |
| İdari İşler Sorumlusu | İdari İşler | Fiziksel arşivin yönetimi, kâğıt ortamındaki verilerin güvenli saklanması ve imhası. |
9. SAKLAMA VE İMHA SÜRELERİ
Şirket, kişisel verileri aşağıdaki tabloda belirtilen süreler boyunca saklar. Saklama süresinin sona ermesini takip eden ilk periyodik imha işleminde veriler imha edilir. Tablo, Şirket’in kişisel veri işleme envanteri ile birlikte değerlendirilir ve envanterdeki değişikliklere göre güncellenir.
| Süreç / Veri Kategorisi | Saklama Süresi | Hukuki Dayanak / Gerekçe |
| Üyelik kaydı ve üyelik hesabı bilgileri | Üyeliğin sona ermesinden itibaren 10 yıl | TBK m. 146 (genel zamanaşımı) |
| Sipariş, satış, teslimat, iade ve değişim kayıtları | Hukuki ilişkinin sona ermesinden itibaren 10 yıl | TTK m. 82, TBK m. 146 |
| İnternet sitesi iletişim/talep formu kayıtları | Talebin sonuçlandırılmasından itibaren 3 yıl | Meşru menfaat ve ispat yükümlülüğü |
| Talep ve şikâyet yönetimi kayıtları | Talebin sonuçlandırılmasından itibaren 3 yıl | 6502 sayılı Kanun ve ispat yükümlülüğü |
| Fatura, muhasebe ve mali kayıtlar | İlgili yılı takip eden yıldan itibaren 10 yıl | TTK m. 82; VUK m. 253 (asgari 5 yıl) |
| Ticari elektronik ileti onay ve ileti kayıtları | Onayın geçerliliğinin sona ermesinden / kayıt tarihinden itibaren 3 yıl | 6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m. 13 |
| İnternet sitesi trafik ve erişim (log) kayıtları | Mevzuatta öngörülen süre (asgari 1, azami 2 yıl) | 5651 sayılı Kanun ve ikincil mevzuatı |
| Çerez verileri | Çerez Aydınlatma Metni’nde çerez türü bazında belirtilen süre | Açık rıza / zorunlu çerezler bakımından meşru menfaat |
| KVKK ilgili kişi başvuru ve cevap kayıtları | Başvurunun sonuçlandırılmasından itibaren 3 yıl | Kanun m. 13-15 kapsamında ispat yükümlülüğü |
| Tedarikçi / iş ortağı yetkili ve çalışan verileri | Sözleşmenin sona ermesinden itibaren 10 yıl | TBK m. 146, TTK m. 82 |
| Çalışan özlük dosyası ve İK kayıtları | İş ilişkisinin sona ermesinden itibaren 10 yıl | İş Kanunu, SGK mevzuatı ve zamanaşımı süreleri |
| Çalışan adayı (CV) kayıtları | Başvuru tarihinden itibaren 2 yıl | Açık rıza / meşru menfaat |
| Kamera kayıtları | Azami 60 gün | Meşru menfaat — ölçülülük ilkesi |
| Ziyaretçi kayıtları | Kayıt tarihinden itibaren 2 yıl | Meşru menfaat ve güvenlik yükümlülüğü |
10. PERİYODİK İMHA SÜRESİ
Şirket, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde imha eder. Periyodik imha işlemleri altı ayda bir gerçekleştirilir; bu süre her hâlükârda Yönetmelik’in 11. maddesinde öngörülen azami süreyi aşmaz. İlgili kişinin imha talebi hâlinde ise talep, en geç otuz gün içinde sonuçlandırılır; işleme şartlarının tamamı ortadan kalkmışsa veriler imha edilir ve verilerin aktarıldığı üçüncü kişilere durum bildirilerek gerekli işlemlerin yapılması temin edilir. İşleme şartlarının devam etmesi hâlinde talep, Kanun’un 13/3. maddesi uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı en geç otuz gün içinde yazılı olarak veya elektronik ortamda bildirilir.
11. POLİTİKA’NIN GÜNCELLENMESİ VE YÜRÜRLÜK
| Versiyon | Tarih | Değişiklik |
| 2.1 | 14.09.2026 | Şirket bazında ayrıştırılmış, veri sorumlusu kimliği tekilleştirilmiş; saklama/imha süreleri tablosu, görev dağılımı, teknik-idari tedbirler ve yurt dışı aktarım rejimi güncel mevzuata uyarlanmıştır. |
İşbu Politika, yukarıda belirtilen yürürlük tarihinde yürürlüğe girmiş olup Şirket’in internet sitesinde yayımlanır. Politika ile Kanun, Yönetmelik ve Şirket Kişisel Verilerin Korunması ve İşlenmesi Politikası hükümleri arasında çelişki bulunması hâlinde Kanun, Yönetmelik ve anılan Politika hükümleri geçerli olur.