Bu Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ("Yönetmelik") uyarınca; veri sorumlusu sıfatıyla TBF KOZMETİK SANAYİ TİCARET ANONİM ŞİRKETİ ("Şirket") tarafından işlenen kişisel verilerin azami saklama sürelerinin belirlenmesi ve bu sürelerin sonunda silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları düzenler.

Politika; Şirket'in müşterileri, üyeleri, ziyaretçileri, çalışanları, tedarikçileri ve iş ilişkisi kurduğu diğer gerçek kişilere ait, tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak işlenen tüm kişisel verileri kapsar.

Kişisel veriler aşağıdaki ortamlarda saklanmaktadır:

• Elektronik: Türkiye'de konumlu veri merkezinde barındırılan sunucular ve veri tabanları; kurumsal kaynak planlama sistemi; kurumsal e-posta, doküman ve mesajlaşma platformu; şirketin çalışanlara tahsis ettiği bilgisayarlar; yedekleme sistemleri.
• Fiziksel: Özlük dosyaları, sözleşmeler, fatura ve irsaliye nüshaları gibi kâğıt ortamlar.

Kişisel veriler; sözleşmenin kurulması ve ifası, hukuki yükümlülüklerin yerine getirilmesi, bir hakkın tesisi ve korunması, Şirket'in meşru menfaati ve açık rıza sebeplerine dayanılarak saklanır.

Aşağıdaki hallerde kişisel veriler re'sen veya ilgili kişinin talebi üzerine imha edilir:

• İşleme veya saklamaya dayanak olan mevzuat hükmünün değişmesi ya da kalkması,
• İşlemeyi veya saklamayı gerektiren amacın ortadan kalkması,
• Kanun'un 5 ve 6. maddelerindeki işleme şartlarının ortadan kalkması,
• Yalnızca açık rızaya dayanan işlemede ilgili kişinin rızasını geri alması,
• İlgili kişinin Kanun'un 11. maddesi kapsamındaki silme/yok etme başvurusunun kabul edilmesi,
• Kurul'a yapılan şikâyetin Kurul tarafından uygun bulunması,
• Azami saklama süresinin dolması ve daha uzun saklamayı haklı kılan bir şartın bulunmaması.

Mevzuatta süre öngörülmüşse o süreye uyulur. Öngörülmemişse veri, işlendiği amaç için gerekli süre kadar saklanır. Şirket'in uyguladığı süreler aşağıdadır; bu süreler Şirket'in yönetim sisteminde tanımlıdır ve periyodik imha aynı değerleri uygular.

Saklama süresi dolan kişisel veriler, Yönetmelik'in 11. maddesi uyarınca en geç 6 ayda bir periyodik imha işlemiyle re'sen imha edilir. Şirket, periyodik imhayı haftalık otomatik bir işlemle sürekli olarak yürütür; yönetim sistemi son çalışma tarihini ve sonucunu gösterir. Bir sonraki çalışmaya kadar süresi dolan veriler o çalışmada imha edilir.

Üyeler, hesap ayarlarından hesaplarını devre dışı bırakabilir (geri alınabilir) veya kalıcı olarak kapatabilir. Kalıcı kapatma talebi anında işlenir: siparişi olmayan üyenin kişisel verisi derhal anonim hale getirilir; siparişi olan üyenin verisi yasal saklama süresince korunur ve süre sonunda anonim hale getirilir. Her iki halde de ticari elektronik ileti izinleri iptal edilerek İleti Yönetim Sistemi'ne bildirilir.

Diğer kanallardan (e-posta, telefon, Kurul) gelen silme talepleri, talep tarihinden itibaren en geç 30 gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir. Talebe konu verinin üçüncü kişilere aktarılmış olması halinde aktarılan taraf da bilgilendirilir.

• Anonim hale getirme (esas yöntem): Veri tabanındaki kimlik ve iletişim alanları (ad, soyad, telefon, e-posta, adres, vergi bilgileri, kullanıcı adı) geri döndürülemez sabit değerlerle ezilir. Sipariş ve işlem kayıtları kişiyle ilişkilendirilemez hale gelir; ticari belge bütünlüğü korunur.
• Silme: İşleme amacı kalmayan kayıtların yazılım üzerinden erişilemez hale getirilmesi.
• Yok etme: Kâğıt ortamdaki verilerin kırpılarak veya yakılarak; kullanım dışı kalan disk ve taşınabilir ortamların fiziksel olarak yok edilmesi.

Her imha işlemi için; işlem tarihi, uygulanan yöntem, hangi veri alanlarına dokunulduğu, hangi verinin hangi hukuki gerekçeyle korunduğu ve işlemi tetikleyen (ilgili kişi talebi, Şirket personeli veya periyodik imha) bilgisi kayıt altına alınır. Bu kayıtlar kişisel veri içermez ve en az 3 yıl saklanır.

Teknik tedbirler:

• Kimlik ve iletişim alanları veri tabanında şifreli olarak saklanır; parolalar geri döndürülemez özet algoritmasıyla tutulur.
• Sistemlere erişim rol bazlı yetkilendirme ile sınırlandırılır; hassas raporlarda görüntüleme ve dışa aktarma yetkileri ayrıştırılmıştır.
• Kişisel veri içeren dışa aktarımlar kullanıcı, zaman ve kapsam bilgisiyle denetim kaydına alınır.
• Sunucular Türkiye'de konumlu veri merkezinde, yedekli altyapı üzerinde barındırılır; veriler düzenli olarak yedeklenir ve yedekler silinmeye karşı korumalı tutulur.
• Ağ ve altyapı katmanı hizmet sağlayıcı tarafından 7/24 izlenir.
• İşten ayrılan personelin sistem hesapları çıkış süreciyle birlikte kapatılır.

İdari tedbirler:

• Kişisel verilere erişim, iş tanımı gereği erişmesi gereken personelle sınırlıdır.
• Personel, veri güvenliği ve gizlilik yükümlülükleri konusunda bilgilendirilir; kurumsal politika belgeleri onaylı olarak tebliğ edilir.
• Kişisel veri aktarılan hizmet sağlayıcılarla gizlilik ve veri işleyen yükümlülüklerini içeren sözleşmeler yapılır.
• Hukuka aykırı erişim veya ihlal halinde ilgili kişiler ve Kurul yasal süresi içinde bilgilendirilir.

Veri sızıntısı önleme ve uygulama katmanı güvenlik olay yönetimi çözümlerinin devreye alınması ile bilgi güvenliği yönetim sisteminin belgelendirilmesi Şirket'in planlanan çalışmaları arasındadır; devreye alındıkça bu Politika güncellenir.

Politika'nın uygulanmasından Şirket üst yönetimi sorumludur. Kişisel verilerin saklanması ve imhasına ilişkin teknik işlemler Bilgi Teknolojileri birimi tarafından yürütülür; çalışan verisine ilişkin işlemler İnsan Kaynakları birimi ile birlikte gerçekleştirilir.

İlgili kişiler Kanun'un 11. maddesi kapsamındaki taleplerini, sitede yayımlanan aydınlatma metninde belirtilen iletişim kanalları üzerinden Şirket'e iletebilir.

Bu Politika'nın ilk sürümü 10.11.2020 tarihinde yürürlüğe girmiş; 08.09.2026 tarihinde Şirket'in mevcut sistem ve süreçlerine göre yeniden düzenlenmiştir. Kanun ve ilgili mevzuat ile Politika arasında uyumsuzluk olması halinde mevzuat hükümleri uygulanır. Politika'da değişiklik yapılması halinde yürürlük tarihi ve ilgili maddeler güncellenir.