Politikalarımız

Kişisel Verilen İşlenmesi ve Korunması Politikası

1. AMAÇ VE KAPSAM

CEFA MAKİNA SANAYİ VE TİCARET A.Ş. (“CEFA” veya “Şirket”), jeneratör tasarımı, üretimi, satışı ve servis faaliyetleri alanında faaliyet göstermektedir. Bu faaliyetler sırasında çalışanlarına, çalışan adaylarına, stajyerlerine, hissedarlarına ve yönetim kurulu üyelerine, müşterilerinin, tedarikçilerinin, bayilerinin ve iş ortaklarının yetkili ve çalışanlarına, alt işveren ve hizmet sağlayıcı çalışanlarına ve tesis ziyaretçilerine ait kişisel verileri işlemektedir.

İşbu Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”), 7499 sayılı Kanun ile KVKK’da yapılan değişiklikler, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ve Kişisel Verileri Koruma Kurulu (“Kurul”) kararları başta olmak üzere ilgili mevzuat (“KVK Mevzuatı”) uyarınca, Şirket’in kişisel verileri hangi ilke ve kurallar çerçevesinde işlediğini, koruduğunu ve aktardığını açıklamak amacıyla hazırlanmıştır.

Politika; Şirket’in tüm birimlerinde, tesislerinde, şantiye ve saha hizmetlerinde ve çalışanların yurt dışı görevlendirmelerinde, tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işlenen tüm kişisel verilere uygulanır.

2. TANIMLAR

3. KİŞİSEL VERİLERİN İŞLENMESİNDE TEMEL İLKELER

CEFA, KVKK’nın 4. maddesi uyarınca kişisel verileri;

• Hukuka ve dürüstlük kurallarına uygun,
• Doğru ve gerektiğinde güncel,
• Belirli, açık ve meşru amaçlar için,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilerek

işler. Amaç için gerekli olmayan veri talep edilmez; “ihtiyaten” veya ileride kullanılabileceği düşüncesiyle veri toplanmaz.

4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

4.1. Kişisel Veriler (KVKK md. 5)

Kişisel veriler ilgili kişinin açık rızası ile veya aşağıdaki şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işlenir:

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Şirket, yukarıdaki şartlardan birinin bulunduğu hâllerde açık rızaya başvurmaz; açık rızayı yalnızca başka bir işleme şartının bulunmadığı hâllerde ve ilgili kişinin özgür iradesine dayanacak şekilde talep eder. Açık rıza hiçbir şekilde bir mal veya hizmetin sunulması ya da iş ilişkisinin kurulması için ön koşul yapılmaz ve aydınlatma metniyle birlikte, aynı belge üzerinde alınmaz.

4.2. Özel Nitelikli Kişisel Veriler (KVKK md. 6)

Özel nitelikli kişisel veriler, 7499 sayılı Kanun ile yapılan değişiklik uyarınca, ilgili kişinin açık rızası ile veya aşağıdaki şartlardan birinin varlığı hâlinde işlenir:

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş veya oluşumların, tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veya bu kuruluşlarla düzenli olarak temasta olan kişilere yönelik olması.

Bu kapsamda çalışanların işe giriş ve periyodik muayene sonuçları, iş kazası ve meslek hastalığı kayıtları, engellilik durumu gibi sağlık verileri, iş sağlığı ve güvenliği ile istihdama ilişkin hukuki yükümlülükler çerçevesinde; işyeri hekimi ve yetkili sağlık personeli eliyle ve sır saklama yükümlülüğü altında işlenir. Özel nitelikli kişisel veriler için Kurul’un belirlediği ek tedbirler uygulanır.

5. İLGİLİ KİŞİ GRUPLARI, VERİ KATEGORİLERİ VE İŞLEME AMAÇLARI

Ayrıntılı veri işleme faaliyetleri, Şirket’in Kişisel Veri İşleme Envanteri’nde amaç, hukuki sebep, veri kategorisi, alıcı grubu, saklama süresi ve yurt dışı aktarım bilgisiyle birlikte gösterilir.

6. KİŞİSEL VERİLERİN AKTARILMASI

6.1. Yurt İçine Aktarım (KVKK md. 8)

Kişisel veriler, KVKK md. 5 ve 6’daki şartlardan birine dayanarak ve amaçla sınırlı olarak; yetkili kamu kurum ve kuruluşlarına (SGK, Vergi Dairesi, Çalışma ve Sosyal Güvenlik Bakanlığı, İŞKUR, yargı mercileri, kolluk), işyeri hekimi ve İSG hizmet sağlayıcılarına (OSGB), bankalara, sigorta şirketlerine, seyahat acentelerine, lojistik ve gümrük müşavirliği hizmeti verenlere, bilgi teknolojileri hizmet sağlayıcılarına, bağımsız denetim, mali müşavirlik ve hukuk danışmanlarına, müşteri ve iş ortaklarına aktarılabilir.

6.2. Yurt Dışına Aktarım (KVKK md. 9)

CEFA; ürünlerini çok sayıda ülkeye ihraç etmekte, yurt dışında bayi ve temsilcilik ağıyla çalışmakta, yurt dışındaki müşteri ve bayilerine kurulum, devreye alma, servis ve eğitim hizmeti vermekte ve uluslararası fuarlara katılmaktadır. Bu nedenle kişisel veriler, ancak KVKK md. 9’da öngörülen aşağıdaki mekanizmalardan birine dayanarak yurt dışına aktarılır:

• Yeterlilik kararı: KVKK md. 5 veya 6’daki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurul’un yeterlilik kararı bulunması.
• Uygun güvenceler: Yeterlilik kararı bulunmayan hâllerde, işleme şartlarından birinin varlığı, ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının aktarımın yapılacağı ülkede de bulunması kaydıyla; Kurul tarafından ilan edilen standart sözleşmenin imzalanması, Kurul’ca onaylanan bağlayıcı şirket kuralları veya Kurul izni alınan yazılı taahhütname. Standart sözleşmeler, imzalandıktan sonra beş iş günü içinde Kurum’a bildirilir.
• Arızi aktarım: Yeterlilik kararı ve uygun güvence bulunmaması hâlinde, yalnızca arızi olmak kaydıyla ve KVKK md. 9/6’daki hâllerden birinin varlığında; özellikle (a) ilgili kişi ile Şirket arasındaki sözleşmenin ifası için zorunlu olması, (b) ilgili kişi yararına Şirket ile diğer bir gerçek veya tüzel kişi arasında yapılacak sözleşmenin kurulması veya ifası için zorunlu olması, (c) bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, (d) fiili imkânsızlık hâlinde hayat veya beden bütünlüğünün korunması için zorunlu olması ya da (e) ilgili kişinin olası riskler hakkında bilgilendirilmesi kaydıyla açık rıza vermesi.

Düzenli ve tekrarlayan aktarımlar (ör. yurt dışındaki bayi, distribütör veya iştirakle sürekli veri paylaşımı) arızi aktarım istisnasına dayandırılmaz; bu aktarımlar için standart sözleşme veya diğer uygun güvenceler sağlanır.

6.3. Çalışanların Yurt Dışı Görevlendirmeleri

Çalışanların yurt dışındaki müşteri sahalarında jeneratör setlerinin kurulumu, devreye alınması, bakım-onarım ve garanti hizmetlerinin verilmesi, bayi ve müşterilere ürün eğitimi verilmesi ile uluslararası fuar ve iş görüşmelerine katılım, yurt dışındaki bayi ve temsilciliklerle koordinasyon amacıyla yurt dışına gönderilmesi hâlinde; vize başvurusu için yabancı ülke temsilciliklerine veya yetkilendirilmiş vize başvuru merkezlerine, havayolu şirketlerine, konaklama tesislerine, seyahat sağlık sigortası ve asistans şirketlerine, yurt dışındaki müşteri, bayi veya iş ortağına ve görev yapılan ülkenin yetkili makamlarına kişisel veri aktarılabilir. Bu aktarımlar:

• Görevlendirmenin ve iş sözleşmesinin ifası için zorunlu olanlarla sınırlı tutulur (yalnızca vize, seyahat, konaklama, sahaya giriş ve sigorta için gerekli veriler),
• Her görevlendirme öncesinde Görevlendirme Kontrol Listesi ile kayıt altına alınır,
• Yurt dışındaki müşteri veya iş ortağıyla düzenli paylaşım söz konusuysa standart sözleşme ile güvence altına alınır,
• Zorunlu olmayan veya çalışanın kişisel tercihine dayanan aktarımlarda (ör. görev sonrası özel seyahat uzatması, aile bireylerine ait bilgiler) çalışanın olası riskler konusunda bilgilendirilmiş açık rızasına dayanır.

Vize başvuruları mümkün olan hâllerde çalışanın kendisi tarafından yapılır; banka hesap dökümü, SGK hizmet dökümü gibi belgeler çalışan tarafından doğrudan sunulur. Sağlık verisi içeren aktarımlar (ör. seyahat sağlık sigortası için sağlık beyanı) yalnızca çalışanın olası riskler hakkında bilgilendirilmiş açık rızasıyla veya acil durumda hayat ve beden bütünlüğünün korunması için zorunlu olması hâlinde yapılır.

Çalışanlar, yurt dışı görevlendirme kapsamındaki veri işleme ve aktarım faaliyetleri hakkında Çalışan Aydınlatma Metni ile ayrıca bilgilendirilir. Yurt dışında bulunduğu süre içinde çalışanın kullandığı şirket cihazları için Bölüm 9.3’teki seyahat güvenliği tedbirleri uygulanır.

7. AYDINLATMA YÜKÜMLÜLÜĞÜ VE AÇIK RIZA

Şirket, kişisel verileri elde ederken ilgili kişiyi; veri sorumlusunun kimliği, işleme amaçları, aktarılabilecek alıcı grupları ve aktarım amaçları, toplama yöntemi ve hukuki sebebi ile KVKK md. 11’deki hakları konusunda Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e uygun olarak aydınlatır. Aydınlatma metinlerinde “ve benzeri”, “vb.” gibi belirsiz ifadelere yer verilmez; işleme amacı ile hukuki sebep birbiriyle eşleştirilerek açıklanır.

Açık rıza gerektiren işlemlerde rıza, aydınlatmadan ayrı bir belge ile, her işlem için ayrı ayrı ve “kabul ediyorum / kabul etmiyorum” seçenekleri sunularak alınır. Açık rızanın geri alınması her zaman mümkündür ve geri alma ileriye etkili sonuç doğurur.

8. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanır. Saklama süreleri, imha yöntemleri ve periyodik imha süreleri CEFA Kişisel Veri Saklama ve İmha Politikası’nda (İK-P-07) düzenlenmiştir. İşleme şartlarının tamamı ortadan kalkan kişisel veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

9. KİŞİSEL VERİ GÜVENLİĞİ İÇİN ALINAN TEDBİRLER

9.1. İdari Tedbirler

• Kişisel veri işleme envanteri hazırlanmış olup periyodik olarak güncellenir.
• Çalışanlara işe girişte ve yılda en az bir kez kişisel verilerin korunması ve bilgi güvenliği eğitimi verilir; eğitim kayıtları saklanır.
• Çalışanlarla gizlilik sözleşmesi imzalanır; iş sözleşmeleri ve disiplin yönetmeliğine kişisel verilerin korunmasına ilişkin hükümler eklenir.
• Erişim yetkileri “bilmesi gereken” ilkesine göre görev tanımlarıyla sınırlandırılır; görev değişikliği ve işten ayrılışta yetkiler derhal güncellenir veya kaldırılır.
• Veri işleyenlerle (bordro, bulut, BT destek, OSGB, güvenlik, kargo vb. hizmet sağlayıcılar) veri işleme sözleşmesi imzalanır; veri işleyenin yalnızca Şirket talimatıyla hareket etmesi, sır saklaması, ihlali derhal bildirmesi ve denetime izin vermesi güvence altına alınır.
• Özel nitelikli kişisel verilere erişebilecek çalışanlar isim bazında belirlenir ve listesi Kişisel Verileri Koruma Komitesi tarafından tutulur.

9.2. Teknik Tedbirler

• Güvenlik duvarı, saldırı tespit/önleme, güncel antivirüs ve e-posta güvenliği çözümleri kullanılır; yama ve güncelleme yönetimi düzenli yapılır.
• Kullanıcı hesapları kişiye özeldir; güçlü parola politikası ve kritik sistemlerde çok faktörlü kimlik doğrulama uygulanır; yönetici yetkileri sınırlı sayıda kişiye verilir.
• Kişisel veri içeren sistemlere erişim loglanır, loglar düzenli olarak incelenir; periyodik zafiyet taraması ve sızma testi yapılır.
• Dizüstü bilgisayar ve taşınabilir cihazlarda tam disk şifreleme kullanılır; kişisel veri içeren dosyalar e-postayla gönderilirken şifrelenir.
• Yedekler düzenli olarak alınır, ağdan ayrık ve şifreli olarak saklanır, geri yükleme testleri yapılır.
• Kişisel veri içeren fiziki evrak kilitli dolap ve arşivlerde tutulur; arşiv ve sunucu odalarına girişler kayıt altına alınır.
• Bakım veya onarım için dışarı gönderilen cihazlardaki veri depolama birimleri sökülür veya güvenli şekilde silinir.

9.3. Yurt Dışı Görev ve Saha Çalışmalarında Güvenlik Tedbirleri

• Yurt dışına götürülen şirket cihazları şifreli olmalı ve görev için gerekli olmayan kişisel veri ile teknik doküman cihazda bulundurulmamalıdır; erişim mümkün olduğunca şirket VPN’i üzerinden sağlanır.
• Kamuya açık Wi-Fi ağlarında VPN kullanılmadan şirket sistemlerine bağlanılmaz.
• Pasaport, vize ve kimlik belgelerinin kopyaları yalnızca güvenli kanallarla ve yalnızca gerekli alıcılarla paylaşılır; kişisel e-posta veya mesajlaşma uygulamaları üzerinden gönderilmez.
• Cihazın kaybolması, çalınması veya sınır kapısında incelemeye alınması hâlinde durum derhal Bilgi İşlem birimine ve Komite’ye bildirilir; uzaktan kilitleme ve silme imkânı kullanılır.
• Müşteri sahasında (yurt içi veya yurt dışı) elde edilen müşteri çalışanlarına ait veriler yalnızca hizmetin ifası için kullanılır ve görev sonunda Şirket sistemlerine aktarılarak cihazlardan silinir.

10. KİŞİSEL VERİ İHLALLERİ

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde durum, gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirilir; etkilenen ilgili kişilere ise ihlalden etkilenen kişilerin tespit edilmesinin ardından makul olan en kısa süre içinde bildirim yapılır. Şirket bünyesinde ihlal müdahale planı bulunur; ihlaller, etkileri ve alınan önlemler kayıt altına alınır.

11. ÇALIŞMA ORTAMINDA İZLEME FAALİYETLERİ

11.1. Kamera ile İzleme

Tesislerin giriş-çıkışları, üretim alanları, depo ve sevkiyat sahaları, otopark ve çevre güvenliği; can ve mal güvenliği ile iş sağlığı ve güvenliğinin sağlanması amacıyla kamera ile izlenmektedir. Kamera kayıtları çalışanların mesai, devam veya performans takibi amacıyla kullanılmaz. Soyunma odaları, tuvaletler, duş ve ibadet alanları ile dinlenme odaları gibi özel hayatın gizliliğini ihlal edecek alanlarda kamera bulunmaz. Ses kaydı alınmaz. Kamera bulunan alanlara uyarı levhaları asılır; kayıtlar 22 gün sonunda otomatik olarak silinir, kayıtlara erişim yetkili kişilerle sınırlıdır ve erişimler kayıt altına alınır.

11.2. Giriş-Çıkış ve Mesai Takibi

Personel giriş-çıkış ve mesai takibi kart, şifre veya benzeri biyometrik olmayan yöntemlerle yapılır. Mesai takibi amacıyla parmak izi, yüz tanıma, avuç içi damar izi gibi biyometrik veriler işlenmez.

11.3. Kurumsal E-posta ve Bilgi Sistemlerinin Denetimi

Şirket tarafından tahsis edilen e-posta hesapları, bilgisayarlar, telefonlar ve iletişim araçları iş amaçlı kullanım için verilir. Bu araçlar üzerinde bilgi güvenliğinin sağlanması, ticari sırların ve kişisel verilerin korunması amacıyla otomatik güvenlik taramaları (zararlı yazılım, istenmeyen e-posta ve veri sızıntısı önleme) ile erişim ve trafik kayıtlarının tutulması yapılır. Kurul’un 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı doğrultusunda denetim kademeli ve ölçülü yapılır: önce otomatik güvenlik kontrolleri, gerektiğinde içerik dışı trafik ve log kayıtları; içerik incelemesi ise yalnızca somut bir şüphe veya olay bulunması ve daha az müdahaleci yöntemlerin yetersiz kalması hâlinde, Komite Başkanının yazılı onayıyla, şüpheyle sınırlı olarak ve tutanakla yapılır. Genel ve sürekli içerik incelemesi yapılmaz; denetim açık rızaya dayandırılmaz; çalışanların kişisel e-posta, mesajlaşma ve sosyal medya hesaplarına teknik imkân bulunsa dahi erişilmez. İşten ayrılan çalışanın hesabı derhal kapatılır ve gelen iletiler sınırlı süreyle otomatik yanıt veya yetkili yönlendirmeyle yönetilir. Kullanım kuralları, denetimin amacı, kapsamı, yöntemi ve saklama süreleri Kurumsal İletişim Araçları Kullanım ve Denetim Politikası’nda düzenlenmiştir.

12. İLGİLİ KİŞİNİN HAKLARI VE BAŞVURU

KVKK md. 11 uyarınca ilgili kişi; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK md. 7’de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak CEFA Başvuru Usul ve Esasları ile Başvuru Formu’nda belirtilen yöntemlerle yapılabilir ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Tebliğ’de belirlenen ücret alınabilir. Başvurulara verilen cevaplar, ret hâlinde gerekçesiyle birlikte, yazılı olarak veya elektronik ortamda bildirilir; telefonla veya yüz yüze sözlü cevap verilmez.

13. VERİ SORUMLULARI SİCİLİ (VERBİS)

CEFA, Veri Sorumluları Sicili Hakkında Yönetmelik ve Kurul kararları uyarınca sicile kayıt yükümlülüğünün kapsamını değerlendirir; kayıt yükümlüsü olması hâlinde VERBİS kaydını yapar ve sicile kayıtlı bilgilerde meydana gelen değişiklikleri, değişikliğin meydana gelmesinden itibaren 7 gün içinde sicile yansıtır.

14. ORGANİZASYON VE SORUMLULUKLAR

Bu Politika’nın uygulanmasından CEFA Yönetim Kurulu tarafından atanan Kişisel Verileri Koruma Komitesi sorumludur. Komite’nin görev ve çalışma esasları Kişisel Verileri Koruma Komitesi İç Yönergesi’nde düzenlenmiştir. Tüm çalışanlar, görevleri kapsamında bu Politika’ya uymakla yükümlüdür; aykırılıklar disiplin süreçlerine konu olabilir.

15. YÜRÜRLÜK VE GÜNCELLEME

Politika, Yönetim Kurulu …./…./2026 tarihli onayıyla yürürlüğe girer ve Şirket’in internet sitesinde (www.cefamakina.com.tr) yayımlanır. Politika en az yılda bir kez ve mevzuatta değişiklik olduğunda gözden geçirilir. Önceki sürümler, yürürlükten kalktıkları tarihten itibaren en az 5 yıl süreyle arşivde saklanır.