GİZLİLİK POLİTİKASI

1. Veri Sorumlusu ve Veri İşleyen

Bu Gizlilik Politikası, aşağıda bilgileri yer alan tüzel kişilik tarafından yönetilen HR Skript SaaS İnsan Kaynakları yönetim platformuna (hrskript.com ve app.hrskript.com) ilişkindir.

Şirket Bilgileri

• Unvan: Hızlı Elektronik Ticaret ve Yazılım Teknolojileri Ltd. Şti.
• Adres: Divanyolu Cad. No:15/307 Sultanahmet, Fatih, İstanbul
• Vergi Dairesi: Beyazıt
• Vergi No: 4620284303
• Mersis No: 0462028430300013
• İTO Sicil No: 527409
• E-posta: [email protected]
• Web: hrskript.com

6698 sayılı KVKK kapsamında, HR Skript platformunu ziyaret eden ve kullanan kişiler bakımından şirketimiz "veri sorumlusu" sıfatıyla hareket etmektedir. Platformumuzu kullanan işveren şirketlerin (tenant) çalışanlarına ait kişisel veriler bakımından ise şirketimiz "veri işleyen" konumundadır. Bu ayrım, KVKK'nın 3. maddesi ile Kişisel Verileri Koruma Kurulu kararları doğrultusunda belirlenmiştir.

2. Tanımlar

Bu politikada kullanılan terimler:

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (KVKK md. 3/1-d)
• Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti, güvenlik tedbirleri, biyometrik ve genetik veriler (KVKK md. 6)
• Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi (KVKK md. 3/1-ı)
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi (KVKK md. 3/1-ğ)
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi (KVKK md. 3/1-ç)
• Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza (KVKK md. 3/1-a)
• Platform: hrskript.com web sitesi ve app.hrskript.com SaaS uygulaması
• Tenant: HR Skript platformunu kullanan işveren şirket
• Çalışan Verisi: Tenant tarafından platforma yüklenen çalışan özlük, bordro ve İK bilgileri

3. Topladığımız Kişisel Veriler

HR Skript olarak aşağıdaki kategorilerdeki kişisel verileri toplamakta ve işlemekteyiz:

a) Kimlik ve İletişim Bilgileri

Ad, soyad, e-posta adresi, telefon numarası, şirket adı, unvan ve pozisyon bilgisi.

b) Hesap ve Erişim Bilgileri

Kullanıcı adı, şifre özeti (hash), oturum bilgileri, IP adresi, giriş/çıkış geçmişi ve iki faktörlü kimlik doğrulama verileri.

c) Çalışan Özlük Verileri

İşveren (tenant) tarafından platforma yüklenen çalışan bilgileri: TC kimlik numarası, doğum tarihi ve yeri, SGK sicil numarası, nüfus cüzdanı/kimlik kartı bilgileri, medeni durum, adres, banka hesap bilgileri (IBAN), eğitim ve mesleki geçmiş, işe giriş/çıkış tarihleri, iş sözleşmesi bilgileri, maaş ve yan haklar, izin kayıtları, performans değerlendirmeleri, disiplin kayıtları, eğitim ve sertifika bilgileri. Bu veriler 4857 sayılı İş Kanunu'nun 75. maddesi kapsamında işverenin özlük dosyası tutma yükümlülüğü çerçevesinde işlenmektedir.

d) Finansal ve Fatura Bilgileri

Fatura adresi, vergi kimlik numarası, ödeme geçmişi ve abonelik bilgileri. Kredi/banka kartı bilgileri tarafımızca saklanmaz; PCI-DSS sertifikalı ödeme altyapı sağlayıcısı tarafından işlenir.

e) Teknik ve Kullanım Verileri

Tarayıcı türü ve sürümü, işletim sistemi, cihaz bilgisi, ekran çözünürlüğü, sayfa görüntüleme kayıtları, tıklama ve gezinme verileri, özellik kullanım istatistikleri, hata günlükleri ve çerez kimlikleri.

4. Özel Nitelikli Kişisel Veriler

KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veriler (sağlık durumu, engellilik derecesi, kan grubu, biyometrik veriler vb.), platform üzerinde yalnızca tenant işverenin sorumluluğunda ve ilgili çalışanın açık rızası alınmak koşuluyla işlenmektedir.

1 Haziran 2024 tarihinde yürürlüğe giren KVKK değişiklikleriyle güncellenen madde 6 hükümleri çerçevesinde, sağlık ve cinsel hayat dışındaki özel nitelikli veriler kanunlarda öngörülen hallerde açık rıza aranmaksızın işlenebilmektedir. Sağlık verilerinin işlenmesi ise sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından, kamu sağlığının korunması ve koruyucu hekimlik gibi belirli amaçlarla mümkündür.

HR Skript, veri işleyen sıfatıyla özel nitelikli verilerin korunması için Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli tedbirleri (ayrı şifreleme katmanı, sınırlı erişim yetkisi, özel denetim kaydı) uygulamaktadır.

5. Kişisel Verilerin İşlenme Amaçları

Topladığımız kişisel veriler aşağıdaki amaçlarla işlenmektedir:

• Platform hesabının oluşturulması, kimlik doğrulama ve hesap güvenliğinin sağlanması
• SaaS İK platform hizmetlerinin (izin yönetimi, bordro, performans değerlendirme, işe alım, çalışan self-servis, özlük dosyası yönetimi) sunulması
• Abonelik yönetimi, faturalama ve ödeme süreçlerinin yürütülmesi
• Teknik destek ve müşteri hizmetleri taleplerinin karşılanması
• Ürün geliştirme ve hizmet kalitesinin iyileştirilmesi için anonimleştirilmiş kullanım analizleri yapılması
• 6698 sayılı KVKK, 4857 sayılı İş Kanunu, 5510 sayılı SGK Kanunu, 213 sayılı Vergi Usul Kanunu ve ilgili mevzuat kapsamındaki yasal yükümlülüklerin yerine getirilmesi
• Güvenlik ihlallerinin tespiti, önlenmesi, soruşturulması ve yetkili makamlara bildirilmesi
• İş sağlığı ve güvenliği mevzuatı kapsamındaki yükümlülüklerin desteklenmesi (6331 sayılı İSG Kanunu)
• Açık rıza alınması koşuluyla pazarlama iletişimi ve kampanya bildirimleri gönderilmesi

6. Hukuki İşleme Dayanakları

Kişisel verilerinizi KVKK'nın 5. ve 6. maddeleri kapsamında aşağıdaki hukuki dayanaklara istinaden işlemekteyiz:

• Kanunda açıkça öngörülme (md. 5/2-a): İş Kanunu, SGK Kanunu ve Vergi Usul Kanunu'nda belirtilen yasal yükümlülükler
• Sözleşmenin kurulması ve ifası (md. 5/2-c): Platform abonelik sözleşmesinin hayata geçirilmesi ve SaaS hizmetlerinin sunulması için zorunlu işlemler
• Hukuki yükümlülük (md. 5/2-ç): Vergi mevzuatı, iş hukuku, SGK düzenlemeleri ve diğer yasal gereklilikler
• Bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e): Olası hukuki uyuşmazlıklarda hak ve menfaatlerin korunması
• Meşru menfaat (md. 5/2-f): Güvenlik izleme, dolandırıcılık tespiti, sistem performans optimizasyonu ve hizmet kalitesinin iyileştirilmesi
• Açık rıza (md. 5/1 ve md. 6/2): Pazarlama iletişimi, zorunlu olmayan çerezler ve özel nitelikli kişisel verilerin işlenmesi

7. SaaS Platformunda Veri İşleyen Rolü

HR Skript, çok kiracılı (multi-tenant) bir SaaS İnsan Kaynakları yönetim platformudur. Bu mimari kapsamında roller şu şekilde dağılmaktadır:

Veri Sorumlusu: İşveren (Tenant)

• Çalışan verilerinin işlenme amaçlarını ve kapsamını belirler
• Çalışanlarına karşı KVKK kapsamındaki aydınlatma yükümlülüğünü yerine getirir
• Özel nitelikli veriler için çalışanlarından açık rıza alır
• 4857 sayılı İş Kanunu md. 75 uyarınca özlük dosyası tutma yükümlülüğünü taşır
• Çalışan verilerinin hukuka uygun işlenmesinden birincil olarak sorumludur

Veri İşleyen: HR Skript (Hızlı Elektronik Ticaret ve Yazılım Teknolojileri Ltd. Şti.)

• Çalışan verilerini yalnızca veri sorumlusu işverenin talimatları ve platform hizmet sözleşmesi çerçevesinde işler
• Verileri işleme amacı dışında kullanmaz ve üçüncü taraflarla pazarlama amacıyla paylaşmaz
• KVKK md. 12 uyarınca veri güvenliği için gerekli teknik ve idari tedbirleri alır
• Veri ihlali durumunda veri sorumlusunu gecikmeksizin bilgilendirir
• Hizmet ilişkisinin sona ermesi halinde verileri veri sorumlusuna iade eder veya talimat doğrultusunda imha eder
• Veri işleme faaliyetlerine ilişkin kayıt tutar ve denetim hakkını tanır

Veri sorumlusu ile veri işleyen arasındaki yükümlülükler, taraflar arasında imzalanan "Veri İşleme Sözleşmesi" ile ayrıntılı olarak düzenlenmektedir. Bu sözleşme, KVKK ve Kişisel Verileri Koruma Kurulu kararları doğrultusunda hazırlanmıştır.

8. İşveren ve Çalışan Verilerinin İşlenmesi

a) 4857 Sayılı İş Kanunu Kapsamında

İş Kanunu'nun 75. maddesi gereğince işveren, çalıştırdığı her işçi için bir özlük dosyası düzenlemek ve bu dosyada kimlik bilgilerinin yanı sıra kanunlar uyarınca düzenlenmesi gereken her türlü belge ve kaydı saklamak zorundadır. İşveren ayrıca, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür.

HR Skript platformu, işverenlerin bu yasal yükümlülüklerini dijital ortamda yerine getirmelerine olanak sağlayan bir araçtır. Platform üzerinde saklanan çalışan özlük bilgilerinin hukuka uygun işlenmesinin sorumluluğu veri sorumlusu sıfatıyla işverene aittir.

b) 5510 Sayılı SGK Kanunu Kapsamında

Sosyal Güvenlik Kurumu mevzuatı uyarınca işverenler, işyeri ile ilgili tüm defter ve belgeleri ilgili bulundukları yılı takip eden takvim yılından başlayarak 10 yıl süreyle saklamak zorundadır. Platform, bu sürelere uyum sağlamak üzere veri saklama politikalarını düzenlemektedir.

c) 6331 Sayılı İSG Kanunu Kapsamında

İş sağlığı ve güvenliği mevzuatı uyarınca çalışanların sağlık gözetimi kayıtları, iş kazası ve meslek hastalığı bildirimleri gibi veriler 15 yıla kadar saklanması gerekebilmektedir. Bu nitelikteki veriler özel nitelikli kişisel veri kapsamında olup, KVKK md. 6 hükümleri çerçevesinde ek güvenlik tedbirleriyle korunmaktadır.

d) Çalışan Hakları

Tenant işverenin çalışanları, KVKK md. 11 kapsamındaki tüm haklarını (bilgi edinme, düzeltme, silme, itiraz vb.) birincil olarak veri sorumlusu sıfatıyla kendi işverenine yöneltir. HR Skript, veri sorumlusunun bu talepleri yerine getirmesine teknik destek sağlar. Çalışanlar, platform üzerindeki kendi verilerine erişim ve güncelleme haklarını çalışan self-servis modülü aracılığıyla kullanabilir.

9. Verilerin Paylaşımı ve Aktarımı

Kişisel verilerinizi KVKK'nın 8. maddesi çerçevesinde, yalnızca aşağıdaki alıcı gruplarıyla ve belirtilen amaçlar dahilinde paylaşmaktayız:

• Bulut altyapı sağlayıcıları: Platform sunucuları Türkiye ve AB veri merkezlerinde (Hetzner) barındırılmaktadır
• Ödeme altyapı sağlayıcısı: Abonelik ödemeleri PCI-DSS sertifikalı güvenli ödeme sağlayıcıları aracılığıyla işlenir
• E-posta ve bildirim servisleri: Platform bildirimleri ve işlem e-postaları için üçüncü taraf servis sağlayıcılar kullanılır
• Muhasebe ve ERP entegrasyonları: Fatura ve ödeme verilerinin muhasebe süreçlerine aktarılması
• Yetkili kamu kurum ve kuruluşları: Yasal zorunluluk halinde (SGK, vergi dairesi, mahkeme kararı vb.) ilgili makamlara bilgi verilmesi
• Bağımsız denetçiler: Yasal zorunluluklar ve sözleşmesel yükümlülükler çerçevesinde denetim faaliyetleri

Kişisel verilerinizi asla satmaz, kiralamaz veya ticari amaçla üçüncü taraflara devretmeyiz. Tüm veri aktarımlarında aktarım yapılan tarafla gizlilik sözleşmesi imzalanmaktadır.

10. Yurt Dışına Veri Aktarımı

Kişisel verilerinizin yurt dışına aktarılması söz konusu olduğunda, KVKK'nın 1 Haziran 2024 tarihinde güncellenen 9. maddesi uyarınca aşağıdaki mekanizmalar uygulanmaktadır:

• Kişisel Verileri Koruma Kurulu tarafından yeterli korumanın bulunduğu ilan edilen ülkelere aktarım
• Yeterli korumanın bulunmadığı ülkelerde, standart sözleşme maddeleri (SCC) veya bağlayıcı şirket kuralları çerçevesinde taahhüt verilmesi
• İlgili kişinin açık rızasının alınması
• Standart sözleşme maddelerine dayalı aktarımlar için Kurul'a 5 iş günü içinde bildirim yapılması (bildirim yapılmaması halinde 50.000-1.000.000 TL idari para cezası öngörülmektedir)

Platformumuzun temel altyapısı Türkiye ve AB veri merkezlerinde konumlandırılmıştır. Çalışan verileri mümkün olan en yüksek düzeyde Türkiye sınırları içinde tutulmaktadır.

11. Veri Saklama Süreleri

Kişisel veriler, ilgili oldukları amaç için gerekli olan süre boyunca ve yasal yükümlülükler çerçevesinde saklanmaktadır. Temel saklama süreleri:

• Aktif hesap verileri: Hesap aktif olduğu sürece
• Hesap kapatma sonrası kullanıcı verileri: 3 yıl (Borçlar Kanunu genel zamanaşımı)
• Çalışan özlük verileri: İş ilişkisinin sona ermesinden itibaren 10 yıl (4857 sayılı İş Kanunu ve Borçlar Kanunu zamanaşımı)
• SGK ile ilgili defter ve belgeler: İlgili yılı takip eden takvim yılından itibaren 10 yıl (5510 sayılı SGK Kanunu)
• İş sağlığı ve güvenliği kayıtları (sağlık gözetimi): 15 yıla kadar (6331 sayılı İSG Kanunu)
• Fatura ve muhasebe kayıtları: 10 yıl (213 sayılı Vergi Usul Kanunu)
• İş Kanunu'ndan doğan tazminat ve ücret alacaklarına ilişkin kayıtlar: 5 yıl (4857 sayılı İş Kanunu zamanaşımı)
• Güvenlik ve erişim günlükleri: 2 yıl
• Pazarlama onay/ret kayıtları: Rızanın geri alınmasından itibaren 3 yıl (ispat yükümlülüğü)
• Çerez onay kayıtları: 1 yıl

Saklama süresi dolan veriler, Kişisel Veri Saklama ve İmha Politikamız doğrultusunda periyodik olarak (yılda iki kez) silme, yok etme veya anonimleştirme yoluyla imha edilmektedir.

12. Veri Güvenliği Tedbirleri

HR Skript, KVKK'nın 12. maddesi uyarınca kişisel verilerinizin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla aşağıdaki teknik ve idari tedbirleri uygulamaktadır:

Teknik Tedbirler

• TLS 1.3 şifreleme ile veri iletiminin güvence altına alınması
• Veri tabanı düzeyinde AES-256 şifreleme
• Özel nitelikli kişisel veriler için ek şifreleme katmanı
• Çok kiracılı (multi-tenant) mimaride veri izolasyonu; her tenantın verisi diğer tenantlardan tam olarak ayrıştırılmıştır
• Rol tabanlı erişim kontrolü (RBAC) ile en az yetki prensibi
• İki faktörlü kimlik doğrulama (2FA) desteği
• Web uygulama güvenlik duvarı (WAF) ve DDoS koruması
• Düzenli güvenlik açığı taramaları ve penetrasyon (sızma) testleri
• Otomatik günlük yedekleme ve coğrafi olarak ayrı lokasyonda felaket kurtarma (DR)
• Erişim günlüklerinin değiştirilemez (immutable) formatta kayıt altına alınması

İdari Tedbirler

• Tüm çalışanlar ile gizlilik ve veri koruma sözleşmesi imzalanması
• Çalışanlara düzenli KVKK ve veri güvenliği eğitimi verilmesi
• Veri işleme envanterinin tutulması ve güncel tutulması
• Kişisel Veri Saklama ve İmha Politikası'nın uygulanması
• Veri işleme süreçlerinin düzenli iç denetimden geçirilmesi
• Üçüncü taraf hizmet sağlayıcılarla veri işleme sözleşmelerinin akdedilmesi

13. İlgili Kişinin Hakları

KVKK'nın 11. maddesi uyarınca, kişisel verisi işlenen herkes (ilgili kişi) aşağıdaki haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
• KVKK md. 7 çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini talep etme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğranması halinde zararın giderilmesini talep etme

Platform üzerinden çalışan olarak erişim sağlayan kişiler, yukarıdaki haklarını birincil olarak veri sorumlusu sıfatıyla kendi işverenlerine yöneltir. HR Skript, veri sorumlusunun bu talepleri teknik olarak yerine getirmesine destek sağlar.

14. Başvuru ve Şikayet Yöntemi

Haklarınızı kullanmak için kimliğinizi doğrulayan belgelerle birlikte aşağıdaki kanallardan başvurabilirsiniz:

• E-posta: [email protected] (konu satırına "KVKK Başvurusu" yazınız)
• Yazılı başvuru: Divanyolu Cad. No:15/307 Sultanahmet, Fatih, İstanbul adresine noter aracılığıyla veya iadeli taahhütlü posta ile
• Kayıtlı Elektronik Posta (KEP): Güvenli elektronik imza ile KEP adresi üzerinden
• Platform içi başvuru: app.hrskript.com üzerindeki destek/iletişim formu aracılığıyla

Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ayrıca bir maliyet gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarife uygulanacaktır.

Başvurunuzun yanıtından memnun kalmamanız halinde, yanıtı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikayette bulunma hakkınız saklıdır.

15. Çerezler

hrskript.com ve app.hrskript.com'da kullanılan çerez türleri, amaçları ve yönetim seçeneklerine ilişkin detaylı bilgi için Çerez Politikamızı (hrskript.com/cerez-politikasi) inceleyebilirsiniz. Zorunlu çerezler haricindeki analitik ve pazarlama çerezleri yalnızca açık rızanız alınarak çalıştırılmaktadır.

16. Veri İhlali Bildirim Prosedürü

Kişisel veri ihlali tespit edilmesi halinde HR Skript, KVKK'nın 12/5. maddesi uyarınca aşağıdaki prosedürü uygular:

• İhlal tespit edildikten sonra en kısa sürede Kişisel Verileri Koruma Kurulu'na bildirim yapılması
• Veri sorumlusu konumundaki tenant işverenlerin gecikmeksizin bilgilendirilmesi
• İhlalin niteliğine göre etkilenen ilgili kişilerin uygun yollarla haberdar edilmesi
• İhlalin kapsamı, etkileri ve alınan önlemlerin kayıt altına alınması
• Benzer ihlallerin tekrarını önleyecek teknik ve idari tedbirlerin derhal uygulanması

17. Politika Güncellemeleri

Bu Gizlilik Politikası, yasal düzenlemelerdeki değişiklikler, veri işleme faaliyetlerimizdeki güncellemeler veya Kişisel Verileri Koruma Kurulu kararları doğrultusunda revize edilebilir. Önemli değişiklikler olduğunda sizi platform içi bildirim veya e-posta aracılığıyla haberdar ederiz. Politikanın güncel versiyonu her zaman hrskript.com/gizlilik-politikasi adresinde yayımlanacaktır.

18. İletişim

Gizlilik Politikası veya kişisel verilerinizle ilgili her türlü soru ve talebiniz için:

• Şirket: Hızlı Elektronik Ticaret ve Yazılım Teknolojileri Ltd. Şti.
• Adres: Divanyolu Cad. No:15/307 Sultanahmet, Fatih, İstanbul
• E-posta: [email protected]
• Web: hrskript.com