Kişisel Verilerin İşlenmesi Politikası

Kapsam ve uygulama

Bu politika, ESG360’ın (“ESG360”, “biz”) ESG danışmanlığı, değerlendirme, raporlama, iklim, tedarik zinciri, sürdürülebilir finans, eğitim ve dijital izleme hizmetleri, ticari ilişkileri ve internet sitesi kapsamında kişisel verileri nasıl işlediğini açıklar. ESG360, İstanbul, Türkiye merkezlidir ve Global Alliance Register’ın (“GAR”) bir iştirakidir.

Politika; potansiyel ve mevcut müşterilerin ve çalışanlarının, bir müşteri adına incelediğimiz kayıtlarda bilgisi yer alan kişilerin (örneğin çalışanlar, tedarikçiler, yükleniciler, yönetim kurulu üyeleri ve proje katılımcıları), eğitim katılımcılarının, iş ortaklarının, tedarikçilerin, iş başvurusunda bulunanların, internet sitesi ziyaretçilerinin ve diğer iş bağlantılarının kişisel verileri için geçerlidir. Belirli projeler, tüzel kişiler veya ülkeler için ayrı bildirimler de geçerli olabilir.

Roller ve sorumluluklar

Duruma bağlı olarak ESG360, veri sorumlusu (kişisel verilerin işlenme amaçlarını ve yöntemlerini biz belirleriz; örneğin kendi müşteri ilişkilerimiz, faturalandırma, kalite ve internet sitesi için) veya veri işleyen (bir hizmet ilişkisini yürütürken müşterinin talimatları doğrultusunda kişisel verileri işleriz; örneğin bir müşterinin iş gücü, tedarikçi veya saha kayıtlarını incelerken) olarak hareket eder.

Bir hizmet ilişkisine, örneğin bağımsız doğrulama veya güvence için, akredite veya yetkilendirilmiş iş ortakları dâhil olduğunda, her iş ortağı kendi veri işleme faaliyetlerinden ve verdiği bağımsız kararlardan sorumludur. ESG360 kendisi belgelendirme yapmaz, akreditasyon vermez ve güvence vermez.

İşlediğimiz kişisel veriler

• Kimlik ve iletişim verileri: ad, unvan, işveren, e-posta adresi, telefon numarası, posta adresi.
• Mesleki veriler: görev, nitelikler, eğitime katılım, hizmet ilişkisiyle ilgili sorumluluklar.
• Hizmet ilişkisi verileri: sorular, bilgi talebi başvuruları ve takip numaraları, teklifler, sözleşmeler, yazışmalar, çıktılar, toplantı notları.
• Müşteri tarafından sağlanan proje verileri: değerlendirme, durum tespiti veya raporlama için bize sağlanan, kişileri tanımlayabilecek nitelikteki iş gücü, iş sağlığı ve güvenliği, tedarikçi, yönetişim, emisyon ve operasyonel kayıtlar.
• Finansal veriler: faturalama bilgileri, ödeme referansları ve vergi kayıtları.
• Teknik veriler: IP adresi, tarayıcı ve cihaz bilgileri, güvenlik kayıtları ve internet sitesi kullanım verileri.
• İletişim kayıtları: e-postalar, mesajlar, şikâyetler ve geri bildirimler.

Verilerin kaynağı

Doğrudan sizden (formlar, e-posta, görüşmeler, toplantılar); işvereninizden veya birlikte çalıştığımız kuruluştan; tedarikçilerden, alt yüklenicilerden ve iş ortaklarından; GAR ve grup şirketlerinden; düzenleyici kurumlardan ve kamuya açık mesleki veya kurumsal kaynaklardan; ayrıca internet sitemiz ve bilgi sistemlerimiz aracılığıyla otomatik olarak.

İşleme amaçları

• Soruları ve bilgi talebi başvurularını yanıtlamak, takip numaraları ve onaylar düzenlemek.
• Teklif hazırlamak; ESG stratejisi, değerlendirme, durum tespiti, raporlama, iklim, tedarik zinciri, sürdürülebilir finans, eğitim ve dijital izleme hizmetlerini sunmak.
• Sözleşmeleri, faturalamayı, tedarikçi ve iş ortağı ilişkilerini yönetmek.
• Bağımsız doğrulama, belgelendirme veya güvence gerektiğinde akredite ve yetkilendirilmiş iş ortaklarıyla koordinasyon sağlamak.
• Kalite kontrol, kayıt tutma, risk yönetimi, güvenlik ve dolandırıcılığın önlenmesi.
• Yasal, vergisel, düzenleyici ve mesleki yükümlülüklere uymak; hukuki taleplerin tesisi, kullanılması veya savunulması.
• Hizmet bilgilerini ve, izin verilen durumlarda, talep ettiğiniz bültenleri ve etkinlik bilgilerini göndermek.

Hukuki sebepler

Bağlama göre şunlara dayanırız: bir sözleşmenin ifası veya sözleşme öncesinde talebiniz üzerine atılan adımlar; hukuki yükümlülüğün yerine getirilmesi; ilgili kişinin hak ve özgürlüklerine zarar vermemek kaydıyla işimizi yürütmek ve korumak yönündeki meşru menfaatlerimiz; bir hakkın tesisi, kullanılması veya korunması; ve hukukun gerektirdiği hâllerde (örneğin bazı çerezler veya pazarlama mesajları için) açık rızanız. Verileri 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında işlediğimizde, bu Kanun’un 5 ve 6’ncı maddelerindeki işleme şartlarına dayanırız. AB veya Birleşik Krallık veri koruma hukukunun uygulandığı durumlarda ise GDPR (AB Genel Veri Koruma Tüzüğü) veya Birleşik Krallık’taki karşılığının 6’ncı maddesine (ve ilgili olduğu ölçüde 9’uncu maddesine) dayanırız. Rızanızı dilediğiniz zaman geleceğe etkili olarak geri çekebilirsiniz.

Proje ve müşteri kayıtları

Bir müşteriden aldığımız kayıtlar, o müşterinin çalışanlarına, tedarikçilerine veya paydaşlarına ait kişisel veriler içerebilir. Bu kayıtları yalnızca üzerinde anlaşılan hizmet ilişkisi için kullanır, erişimi ihtiyaç duyanlarla sınırlandırır, müşterilerden yalnızca gerekli olanı paylaşmalarını ve mümkün olduğunda anonim hâle getirmelerini veya toplulaştırmalarını isteriz. Kanıtlar, çalışma kâğıtları ve çıktılar; sonuçlara nasıl ulaşıldığını göstermek, mesleki gereklilikleri karşılamak veya bir müşteri ya da iş ortağının bunlara dayanması gerektiği için saklanabilir.

Özel nitelikli kişisel veriler

Bir hizmet ilişkisi gerçekten gerektirmedikçe (örneğin saha değerlendirmesindeki iş sağlığı ve güvenliği olay kayıtları gibi) sağlık, sendika üyeliği veya biyometrik veri gibi özel nitelikli kişisel verileri talep etmeyiz. Bu tür veriler işlendiğinde ek güvenceler uygular ve verileri yalnızca hukuka uygun bir sebebe dayanarak işleriz.

Paylaşım ve ifşa

• Yetkili ESG360 personeli ve GAR grup şirketleri; bilmesi gereken ilkesi çerçevesinde.
• Bir hizmet ilişkisinde bizimle birlikte çalışan akredite ve yetkilendirilmiş iş ortakları, denetçiler, doğrulayıcılar ve danışmanlar.
• Hizmet sağlayıcılar: barındırma, e-posta ve iletişim, güvenlik, bülten gönderimi, muhasebe, hukuk ve profesyonel danışmanlar.
• Hukukun gerektirdiği hâllerde veya hukuki hakları korumak için kamu otoriteleri, düzenleyici kurumlar ve mahkemeler.
• Bir şirket yeniden yapılandırmasında alıcı veya halef; gizlilik çerçevesinde.

Alıcılar yalnızca rolleri için gereken bilgileri alır ve gizlilik, sözleşmesel veya yasal yükümlülüklerle bağlıdır. Kişisel verileri satmayız.

Yurt dışına aktarımlar

ESG360 Türkiye’dedir; grubumuz, iş ortaklarımız ve hizmet sağlayıcılarımız ise başka ülkelerde faaliyet göstermektedir. Kişisel veriler yurt dışına aktarıldığında, bunu KVKK’nın (madde 9 dâhil) ve uygulanabildiği ölçüde GDPR’ın gereklerine uygun olarak; yeterlilik kararları, standart sözleşme hükümleri, taahhütler veya gerekli ve geçerli olduğu durumlarda açık rızanız gibi hukukun tanıdığı güvencelerle gerçekleştiririz.

Saklama ve imha

Kişisel verileri yalnızca yukarıdaki amaçlar için makul ölçüde gerekli olan süre boyunca ve hukukun gerektirdiği şekilde saklarız. Başlıca belirleyici unsurlar; hizmet ilişkisinin süresi ve ilgili zamanaşımı süreleri, vergi ve muhasebe yükümlülükleri, mesleki kayıt tutma gereklilikleri ve hukuki taleplerdir. Soru ve bilgi talebi kayıtları, bir ticari ilişki doğmadıkça son iletişimden sonra sınırlı bir süre saklanır. Veriye artık ihtiyaç kalmadığında silinir, yok edilir veya anonim hâle getirilir.

Güvenlik ve gizlilik

Role dayalı erişim kontrolü, kimlik doğrulama, mümkün olduğunda iletim sırasında şifreleme, yedekleme, izleme ile personel ve hizmet sağlayıcılar için gizlilik taahhütleri dâhil olmak üzere riske uygun teknik ve idari tedbirler uygularız. Hiçbir sistem tamamen güvenli olmadığından tedbirlerimizi düzenli olarak gözden geçirir, müşterilerimizden gereksiz kişisel veri göndermekten kaçınmalarını isteriz.

Haklarınız

KVKK madde 11 uyarınca ve uygulanabildiği ölçüde GDPR kapsamında; kişisel verilerinizin işlenip işlenmediğini ve buna ilişkin bilgi talep edebilir; işleme amaçlarını ve bu amaçlara uygun kullanılıp kullanılmadığını, yurt içinde veya yurt dışında verilerin aktarıldığı alıcıları öğrenebilir; eksik veya yanlış verilerin düzeltilmesini, silinmesini veya yok edilmesini ve bu işlemlerin alıcılara bildirilmesini isteyebilir; münhasıran otomatik analiz sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz edebilir; hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini talep edebilir ve GDPR kapsamında ayrıca işlemenin kısıtlanmasını, veri taşınabilirliğini ve itiraz hakkını kullanabilirsiniz. Rızanızı dilediğiniz zaman geri çekebilirsiniz.

Bir hakkınızı kullanmak için aşağıda belirtilen şekilde bizimle iletişime geçiniz. Kimliğinizi doğrulamamız gerekebilir ve hukukun öngördüğü süreler içinde yanıt veririz (KVKK uyarınca mümkün olan en kısa sürede ve en geç otuz gün içinde). Kayıtları hukuken saklamamız gerektiğinde veya hukuki taleplere karşı savunma yapmak için gerektiğinde haklar sınırlanabilir.

İnternet sitesi, çerezler ve elektronik iletişim

İnternet sitemizi kullandığınızda, siteyi işletmek ve güvenliğini sağlamak için teknik verileri işleriz. İsteğe bağlı çerezler ve benzeri teknolojiler yalnızca rızanızla kullanılır; bu rızayı alt bilgi bölümündeki Çerez Tercihleri üzerinden yönetebilirsiniz. Çerez Politikası ve İnternet Sitesi Gizlilik Politikası’na bakınız. Bültenlerden dilediğiniz zaman abonelikten çıkabilirsiniz.

Çocuklar

Hizmetlerimiz kuruluşlara ve yetişkin profesyonellere yöneliktir. Genel hizmetlerimiz aracılığıyla çocuklara ait kişisel verileri bilerek toplamayız.

Otomatik araçlar ve yapay zekâ

İdari, analitik veya taslak hazırlama işlerinde otomatik ve yapay zekâ destekli araçlar kullanabiliriz. Bu araçlar çalışanlarımızın mesleki muhakemesini destekler, onun yerini almaz; ayrıca bireyler hakkında hukuki veya benzer şekilde önemli sonuçlar doğuran kararları yalnızca otomatik yollarla vermeyiz.

Şikâyetler ve denetim makamları

Lütfen endişelerinizi öncelikle bize iletiniz. Ayrıca Kişisel Verileri Koruma Kurulu’na (KVKK) veya GDPR’ın uygulandığı durumlarda ikamet ettiğiniz, çalıştığınız ya da iddia edilen ihlalin gerçekleştiği yerdeki ülkenin denetim makamına şikâyette bulunma hakkına sahipsiniz.

Güncellemeler ve iletişim

Bu politikayı güncelleyebiliriz; üstteki tarih geçerli sürümü gösterir. İlgili dokümanlar: İnternet Sitesi Gizlilik Politikası, Çerez Politikası, Genel Şartlar ve Koşullar.

GAR GÖZETİM MÜH. BAĞ. DEN. BEL. MÜŞ. VE EĞT. LTD. ŞTİ. (ESG360)
19 Mayıs Mahallesi, S. Ercan Caddesi, Paşa Korusu No: 18, Daire 6, Kazasker, Kadıköy, İstanbul, Türkiye
Telefon: +90 (216) 599 0127
Gizlilik ve veri talepleri: privacy@esg360.com.tr
Vergi Kimlik No: 3890699972, Erenköy Vergi Dairesi, İstanbul, Türkiye
Sorular ve veri talepleri: iletişim sayfamız veya bilgi talep formu aracılığıyla; uygun olduğunda “Veri talebi” olarak belirtilmelidir.