KVKK ve Kişisel Verilerin Korunması Politikası

Son güncelleme: [Yürürlük tarihi: müşteri dolduracak]

1. Veri Sorumlusunun Kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" veya "Kanun") uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla CN Denetim ve SMMM A.Ş. ("Şirket", "CN Denetim") tarafından aşağıda açıklanan kapsamda işlenmektedir.

Unvan	CN Denetim ve SMMM A.Ş.
Adres	Şenlikköy Mh. Harman Sk. No:42/A D:5, Florya / Küçükçekmece / İstanbul
E-posta	info@cndenetim.com.tr
Telefon	[Telefon: müşteri dolduracak]
KEP adresi	[KEP adresi: müşteri dolduracak]
VERBİS kayıt numarası	[VERBİS No: müşteri dolduracak]
Mersis numarası	[Mersis No: müşteri dolduracak]
Vergi dairesi / numarası	[Vergi dairesi ve numarası: müşteri dolduracak]
KVKK irtibat kişisi	[İrtibat kişisi adı ve iletişim bilgisi: müşteri dolduracak]

2. Politikanın Amacı ve Kapsamı

Bu Politika; Şirketimizin bağımsız denetim, mali müşavirlik, vergi danışmanlığı, Ar-Ge ve tasarım merkezi ile teşvik danışmanlığı faaliyetleri sırasında elde ettiği kişisel verilerin, KVKK ve ilgili ikincil mevzuata uygun şekilde işlenmesi, saklanması, aktarılması ve imha edilmesine ilişkin esasları belirler.

Politika; müşterilerimizi ve müşteri yetkililerini, müşterilerimizin bordro/özlük hizmeti kapsamında verilerini bize aktardığı çalışanlarını, tedarikçilerimizi, iş ortaklarımızı, çalışan adaylarımızı, çalışanlarımızı ve internet sitemizin ziyaretçilerini kapsar.

3. Tanımlar

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel nitelikli kişisel veri: Kanun'un 6. maddesinde sayılan sağlık, ceza mahkûmiyeti, biyometrik veri gibi veriler.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi.

4. Kişisel Verilerin İşlenmesinde Uyulan İlkeler

Şirketimiz, Kanun'un 4. maddesinde sayılan aşağıdaki ilkelere uygun hareket eder:

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

5. İşlenen Kişisel Veri Kategorileri

Veri kategorisi	Örnek veriler
Kimlik	Ad soyad, T.C. kimlik numarası, vergi kimlik numarası, doğum tarihi, imza
İletişim	E-posta adresi, telefon, adres, KEP adresi
Müşteri işlem ve finans	Muhasebe ve yevmiye kayıtları, mali tablolar, fatura ve dekont bilgileri, beyanname bilgileri, banka hesap ve IBAN bilgisi, teşvik/destek başvuru dosyaları
Mesleki deneyim	Unvan, görev, meslek odası ve ruhsat bilgileri, imza sirküleri kapsamındaki yetki bilgileri
Özlük (müşteri çalışanlarına ait — bordro/SGK hizmeti kapsamında)	SGK sicil numarası, ücret ve prim bilgisi, işe giriş/çıkış bildirgeleri, izin ve puantaj kayıtları
Çalışan ve çalışan adayı	Özgeçmiş, öğrenim bilgisi, referans bilgileri, iş başvurusu iletişim bilgileri
Hukuki işlem	Vekâletname ve yetki belgeleri, dava/icra dosyası bilgileri, resmî kurum yazışmaları
İşlem güvenliği	İnternet sitesi log kayıtları, IP adresi, tarayıcı bilgisi, oturum çerezi kayıtları

Not: Şirket binasında güvenlik kamerası kaydı yapılıp yapılmadığı ve bu kapsamda görsel kayıt verisi işlenip işlenmediği hususu [Güvenlik kamerası kaydı: müşteri teyit edecek] şeklinde teyit edildikten sonra bu tabloya eklenecektir.

Özel nitelikli kişisel veriler yalnızca zorunlu hallerde (örneğin mevzuat gereği ibrazı gereken sağlık raporu veya engellilik indirimi belgeleri) ve Kanun'un 6. maddesindeki şartlar sağlanarak işlenir; ayrı bir güvenlik politikası ile korunur.

6. Kişisel Verilerin İşlenme Amaçları

• Bağımsız denetim, mali müşavirlik, muhasebe ve vergi danışmanlığı hizmetlerinin sunulması,
• Ar-Ge/Tasarım Merkezi, Teknopark ve diğer teşvik ile destek başvurularının hazırlanması, takibi ve raporlanması,
• Sözleşme süreçlerinin kurulması, ifası ve takibi; teklif ve fiyatlandırma süreçlerinin yürütülmesi,
• Beyanname, bildirim ve raporların ilgili kamu kurumlarına iletilmesi,
• Faturalandırma, tahsilat ve finans/muhasebe süreçlerinin yürütülmesi,
• Mevzuattan doğan saklama, bildirim ve bilgi verme yükümlülüklerinin yerine getirilmesi,
• İletişim formu, e-posta ve telefon üzerinden gelen talep ve şikâyetlerin karşılanması,
• Açık rızaya dayalı olarak e-bülten ve bilgilendirme içeriklerinin gönderilmesi,
• Bilgi güvenliği süreçlerinin yürütülmesi ve internet sitesinin güvenli çalıştırılması,
• Çalışan adayı başvurularının değerlendirilmesi ve insan kaynakları süreçlerinin yürütülmesi.

7. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel verileriniz, Kanun'un 5. maddesinde düzenlenen aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Kanunlarda açıkça öngörülmesi: 213 sayılı Vergi Usul Kanunu, 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu, 6102 sayılı Türk Ticaret Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu (KGK) düzenlemeleri.
• Sözleşmenin kurulması veya ifası için gerekli olması: Danışmanlık ve denetim sözleşmelerinin hazırlanması ve yürütülmesi.
• Hukuki yükümlülüğün yerine getirilmesi: Beyanname, bildirim ve saklama yükümlülükleri; 5549 sayılı Kanun kapsamındaki kimlik tespiti ve şüpheli işlem bildirimi yükümlülükleri.
• Bir hakkın tesisi, kullanılması veya korunması: Uyuşmazlık hâlinde delil ve kayıtların muhafazası.
• Meşru menfaat: Bilgi güvenliği, iş sürekliliği ve hizmet kalitesinin ölçülmesi.
• Açık rıza: Yalnızca e-bülten aboneliği gibi rızaya dayalı işlemler.

8. Kişisel Verilerin Aktarılması

Kişisel verileriniz, Kanun'un 8. ve 9. maddelerindeki şartlara uygun olarak ve amaçla sınırlı biçimde;

• Gelir İdaresi Başkanlığı, Sosyal Güvenlik Kurumu, Ticaret Bakanlığı, KGK, MASAK, TÜBİTAK, KOSGEB, Sanayi ve Teknoloji Bakanlığı ve ilgili teknopark yönetici şirketleri gibi yetkili kamu kurum ve kuruluşlarına,
• Mevzuat gereği bilgi talep eden adli ve idari mercilere,
• Hizmetin yürütülmesi için çalışılan hukuk, bilişim, arşiv ve e-dönüşüm hizmet sağlayıcılarına (veri işleyen sıfatıyla, gizlilik taahhüdü altında)

aktarılabilir. Kişisel verileriniz pazarlama amacıyla üçüncü kişilere satılmaz veya kiralanmaz.

Yurt dışına aktarım: Şirketimizin kullandığı barındırma ve e-posta altyapısının konumuna bağlı olarak yurt dışına aktarım söz konusu olabilir. Bu kapsamda kullanılan hizmet sağlayıcılar ve sunucu lokasyonları [Yurt dışına aktarım yapılan hizmet sağlayıcılar ve ülkeler: müşteri dolduracak] netleştirildikten sonra bu bölümde açıkça listelenecek ve aktarım, Kanun'un 9. maddesindeki şartlara (standart sözleşme, taahhütname veya açık rıza) uygun olarak yapılacaktır.

9. Saklama Süreleri ve İmha

Kişisel verileriniz, işlendikleri amaç için gerekli olan süre ve ilgili mevzuatta öngörülen asgari saklama süreleri boyunca muhafaza edilir. Başlıca süreler:

• Vergi ve muhasebe kayıtları: Vergi Usul Kanunu uyarınca 5 yıl,
• Ticari defter ve belgeler: Türk Ticaret Kanunu uyarınca 10 yıl,
• Bağımsız denetim çalışma kâğıtları ve denetim dosyaları: KGK düzenlemeleri uyarınca 10 yıl,
• İş ilişkisine dair özlük kayıtları: ilgili iş ve sosyal güvenlik mevzuatındaki zamanaşımı süreleri boyunca,
• İletişim formu kayıtları: talebin sonuçlandırılmasından itibaren 2 yıl,
• E-bülten abonelik kaydı: abonelikten çıkılana kadar,
• İnternet sitesi log kayıtları: 2 yıl,
• Değerlendirilmeyen çalışan adayı başvuruları: 1 yıl.

Sürelerin sona ermesi hâlinde kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir.

10. Veri Güvenliğine İlişkin Tedbirler

• Yetki matrisi ve rol bazlı erişim kontrolü; verilere yalnızca görev gereği erişim izni olan personelin erişmesi,
• Güçlü parola politikası, oturum süresi sınırı ve güvenli oturum çerezi kullanımı,
• İnternet sitesi ve panel erişiminde HTTPS/TLS şifrelemesi,
• Düzenli yedekleme ve yedeklerin erişim kontrollü ortamda saklanması,
• Personel ile gizlilik taahhütnameleri imzalanması ve düzenli farkındalık eğitimi,
• Veri işleyen hizmet sağlayıcılar ile KVKK uyumlu veri işleme sözleşmeleri akdedilmesi,
• Fiziksel arşivin kilitli ve erişimi sınırlı alanlarda tutulması.

Bir veri ihlali tespit edilmesi hâlinde Şirketimiz, durumu en kısa sürede ve ilgili mevzuatta öngörülen süre içinde Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirir.

11. İlgili Kişinin Hakları

Kanun'un 11. maddesi uyarınca ilgili kişi olarak Şirketimize başvurarak;

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemler ile analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

12. Başvuru Yöntemi

Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak;

• Islak imzalı dilekçe ile Şenlikköy Mh. Harman Sk. No:42/A D:5, Florya / Küçükçekmece / İstanbul adresine şahsen veya noter aracılığıyla,
• Güvenli elektronik imza veya mobil imza ile [KEP adresi: müşteri dolduracak] adresine,
• Şirketimize daha önce bildirdiğiniz ve sistemimizde kayıtlı bulunan e-posta adresinizden info@cndenetim.com.tr adresine

iletebilirsiniz. Başvurunuzda adınız soyadınız, imzanız (yazılı başvuruda), T.C. kimlik numaranız, tebligata esas adresiniz, varsa e-posta ve telefon bilginiz ile talebinizin konusu yer almalıdır.

Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

13. Politikanın Güncellenmesi

Bu Politika, mevzuat değişiklikleri ve Şirket süreçlerindeki güncellemeler doğrultusunda yenilenebilir. Güncel metin her zaman bu sayfada yayımlanır.