KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
ve GİZLİLİK BİLDİRİMİ

BULUŞ ENERJİ ANONİM ŞİRKETİ
6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuat kapsamında hazırlanmıştır.

İçindekiler

1. Giriş ve Amaç
2. Tanımlar ve Kısaltmalar
3. Veri Sorumlusunun Kimliği
4. Kapsam ve Şirketimizin Rolü (Veri Sorumlusu / Veri İşleyen)
5. İlgili Kişi (Veri Sahibi) Grupları
6. İşlenen Kişisel Veri Kategorileri
7. Kişisel Verilerin İşlenme Amaçları
8. Kişisel Veri İşlemenin Hukuki Sebepleri
9. Özel Nitelikli Kişisel Verilerin İşlenmesi
10. Kişisel Verilerin Toplanma Yöntemleri
11. Kişisel Verilerin Aktarılması ve Alıcı Grupları
12. Yurt Dışına Aktarım
13. Veri İşleyen Sıfatıyla İşlenen Veriler (Dağıtım Şirketleri Adına)
14. Kişisel Verilerin Saklanması ve İmhası
15. Kişisel Veri İşleme İlkelerimiz
16. Veri Güvenliğine İlişkin Tedbirler
17. İlgili Kişinin Hakları (KVKK m.11)
18. Hakların Kullanılması ve Başvuru Yöntemi
19. Çerezler
20. VERBİS Kaydı
21. Politikanın Yürürlüğü ve Güncellenmesi

1. Giriş ve Amaç

Buluş Enerji Anonim Şirketi (bundan sonra “Şirket” veya “Buluş Enerji” olarak anılacaktır) olarak; çalışanlarımızın, çalışan adaylarımızın, iş ortaklarımızın, tedarikçilerimizin, ziyaretçilerimizin, hissedarlarımızın ve faaliyetlerimiz kapsamında ilişkide bulunduğumuz tüm gerçek kişilerin kişisel verilerinin hukuka uygun olarak işlenmesine ve korunmasına azami önem veriyoruz.

İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası ve Gizlilik Bildirimi (“Politika”), başta 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve bu Kanuna ilişkin ikincil mevzuat olmak üzere yürürlükteki düzenlemelere uyum sağlamak; kişisel verilerin hangi amaçlarla, hangi hukuki sebeplere dayanılarak işlendiği, kimlere aktarılabileceği, toplanma yöntemi ve ilgili kişilerin hakları konusunda şeffaf bir biçimde bilgilendirme yapmak amacıyla hazırlanmıştır. Bu Politika aynı zamanda Kanun’un 10. maddesi kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesine hizmet eder.

Şirketimiz; elde ettiği kişisel verilerin güvenli şekilde saklanması ve bu verilere hukuka aykırı her türlü erişimin veya sızıntının engellenmesi için verileri yalnızca yetkili kişi, kurum ve kuruluşlarla, asgari ölçüde ve mevzuata uygun güvenlik tedbirleri alınarak paylaşır.

2. Tanımlar ve Kısaltmalar

3. Veri Sorumlusunun Kimliği

Kanun uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla Buluş Enerji A.Ş. tarafından aşağıdaki iletişim bilgileri kapsamında işlenmektedir:

4. Kapsam ve Şirketimizin Rolü (Veri Sorumlusu / Veri İşleyen)

Şirketimiz faaliyetlerini iki farklı sıfatla yürütmekte olup kişisel veri işleme rolleri bu ayrıma göre belirlenir:

a) Veri Sorumlusu sıfatıyla: Şirketimiz; kendi çalışanları, çalışan adayları ve stajyerleri, tedarikçi ve iş ortağı yetkilileri, ziyaretçileri, hissedar/ortakları ile müşteri/iş ortağı temsilcilerine ait kişisel veriler bakımından veri sorumlusudur. İşbu Politika esas olarak bu kapsamdaki işleme faaliyetlerini düzenler.

b) Veri İşleyen sıfatıyla: Şirketimiz; elektrik, su veya doğalgaz dağıtım şirketleri ile akdettiği hizmet sözleşmeleri kapsamında, bu şirketler adına ve talimatları doğrultusunda yürüttüğü saha hizmetlerinde (sayaç okuma, açma-kapama, abonelik ve şebeke işlemleri vb.) işlediği abone/tüketici verileri bakımından veri işleyendir. Bu verilerin veri sorumlusu, hizmet verilen ilgili dağıtım şirketidir. Söz konusu veriler, ilgili dağıtım şirketinin kayıt ve envanterinde yer alır; bu Politika'nın 13. bölümünde ayrıca açıklanmıştır.

5. İlgili Kişi (Veri Sahibi) Grupları

Şirketimiz tarafından veri sorumlusu sıfatıyla kişisel verileri işlenen başlıca ilgili kişi grupları şunlardır:

• Çalışanlar (ve gerektiğinde çalışan yakınları)
• Çalışan adayları ve stajyerler
• Tedarikçi / iş ortağı yetkilileri ve çalışanları
• Müşteri / iş ortağı (dağıtım şirketi) yetkilileri
• Hissedarlar / ortaklar
• Ziyaretçiler
• Web sitesi ziyaretçileri
• İlgili kişi sıfatıyla başvuruda bulunan kişiler

Dağıtım şirketleri adına saha hizmetleri kapsamında verileri işlenen abone/tüketiciler bakımından Şirketimiz veri işleyen olduğundan, bu grup 13. bölümde ayrıca ele alınmıştır.

6. İşlenen Kişisel Veri Kategorileri

Şirketimiz, Kişisel Veri İşleme Envanteri ile uyumlu olarak aşağıdaki kategorilerde kişisel veri işlemektedir:

7. Kişisel Verilerin İşlenme Amaçları

Yukarıdaki kişisel veriler, KVKK'nın 4., 5. ve 6. maddelerinde öngörülen ilke ve şartlara uygun olarak, başlıca aşağıdaki amaçlarla işlenmektedir:

• Çalışanlar için iş akdi ve mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi
• İnsan kaynakları ve özlük süreçlerinin planlanması ve yürütülmesi
• Çalışanlar için yan haklar ve menfaatlerin sağlanması; ücret/maaş ödemelerinin yürütülmesi
• Çalışan adayı / stajyer seçme ve yerleştirme süreçlerinin yürütülmesi
• İş sağlığı ve güvenliği faaliyetlerinin ve yasal yükümlülüklerin yürütülmesi
• Mal / hizmet satın alım ve tedarik süreçleri ile sözleşme süreçlerinin yürütülmesi
• Müşteri / iş ortağı ilişkilerinin yönetimi ve faaliyetlerin yürütülmesi
• Finans ve muhasebe işlerinin yürütülmesi; faturalandırma, beyanname ve yasal bildirimler
• Saha operasyonlarının BEE.SAHA üzerinden yönetimi (konum/mesai takibi ve görevlendirme), acil durum/panik bildirimlerine müdahale ve iş güvenliğinin sağlanması
• Fiziksel mekan güvenliğinin sağlanması (ziyaretçi kayıtları, kamera)
• Bilgi güvenliği süreçlerinin yürütülmesi ve log kayıtlarının tutulması
• İletişim faaliyetlerinin yürütülmesi; talep ve şikâyetlerin takibi
• Hukuk işlerinin takibi, dava/icra süreçlerinin yürütülmesi ve hakların korunması
• Yetkili kişi, kurum ve kuruluşlara mevzuattan doğan bilgi verme yükümlülüğünün yerine getirilmesi
• Saklama ve arşiv faaliyetlerinin yürütülmesi; faaliyetlerin mevzuata uygun yürütülmesi ve denetimi
• Şirket operasyonlarının ve iş sürekliliğinin güvenli biçimde sağlanması

8. Kişisel Veri İşlemenin Hukuki Sebepleri

Kişisel verileriniz, yukarıdaki amaçlar doğrultusunda KVKK'nın 5. maddesinde düzenlenen aşağıdaki hukuki sebeplere dayanılarak işlenir:

• m.5/2-a — Kanunlarda açıkça öngörülmesi,
• m.5/2-c — Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• m.5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• m.5/2-e — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• m.5/2-f — İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Yukarıdaki şartlardan herhangi birinin bulunmadığı ve işlemenin zorunlu olmadığı hâllerde kişisel verileriniz yalnızca açık rızanıza (m.5/1) dayanılarak işlenir. Açık rıza gerektiren işlemlerde, ilgili açık rıza ayrıca ve özgür iradeyle alınır; açık rızanın verilmemesi temel hizmet ve hakların kullanımına engel teşkil etmez.

9. Özel Nitelikli Kişisel Verilerin İşlenmesi

Sağlık, adli sicil (ceza mahkûmiyeti ve güvenlik tedbirleri) gibi özel nitelikli kişisel verileriniz, KVKK'nın 6. maddesi kapsamında ve yalnızca aşağıdaki şartların varlığı hâlinde işlenir:

• İlgili kişinin açık rızasının bulunması, veya
• Kanunlarda öngörülmesi, ya da
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik gibi alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması (7499 sayılı Kanun ile yeniden düzenlenen m.6/3 hükümleri).

Çalışanlarımıza ait sağlık ve adli sicil verileri esas olarak istihdam ve iş sağlığı/güvenliği mevzuatından doğan yükümlülükler kapsamında işlenir; bu veriler artırılmış idari ve teknik güvenlik tedbirleriyle korunur ve yalnızca amaçla sınırlı olarak yetkili kişilerce erişilebilir.

10. Kişisel Verilerin Toplanma Yöntemleri

Kişisel verileriniz; iş başvuru ve özlük formları, sözleşmeler ve ekleri, e-posta ve KEP, basılı/elektronik belgeler, şirket içi yazılım ve bilgi sistemleri, web sitesi ve iletişim formları, güvenlik kamerası ve araç takip sistemleri ile sözlü, yazılı veya elektronik kanallar aracılığıyla; tamamen veya kısmen otomatik ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır.

11. Kişisel Verilerin Aktarılması ve Alıcı Grupları

Kişisel verileriniz, yukarıda belirtilen amaçlarla sınırlı olmak ve KVKK'nın 8. maddesindeki şartlara uyulmak kaydıyla, gerekli olduğu ölçüde aşağıdaki alıcı gruplarına aktarılabilir:

Aktarımlarda veri minimizasyonu ilkesi gözetilir; veriler yalnızca amaçla sınırlı ve asgari ölçüde paylaşılır. Aktarım yapılan taraflardan, mevzuata ve gizliliğe uyum konusunda taahhüt alınır.

12. Yurt Dışına Aktarım

Şirketimiz kişisel verileri yurt dışına aktarmamaktadır. Tüm kişisel veriler Türkiye'de bulunan sistemlerde ve ortamlarda işlenmekte ve saklanmaktadır. İleride yurt dışına aktarım gerektiren bir işleme faaliyetinin doğması hâlinde, KVKK'nın 9. maddesinde öngörülen şartlara (ilgili kişinin açık rızası veya Kanunda sayılan diğer güvenceler) uyulacak ve ilgili kişiler ayrıca bilgilendirilecektir.

13. Veri İşleyen Sıfatıyla İşlenen Veriler (Dağıtım Şirketleri Adına)

Şirketimiz, elektrik, su veya doğalgaz dağıtım şirketleriyle akdettiği hizmet sözleşmeleri kapsamında, bu şirketlerin abonelerine/tüketicilerine ait kişisel verileri (ad-soyad, adres, tesisat/sözleşme hesap no, sayaç no, endeks/tüketim, iletişim ve işlem bilgileri gibi) veri işleyen sıfatıyla işler. Bu işleme faaliyetinin temel esasları şunlardır:

• Bu verilerin veri sorumlusu, hizmet verilen ilgili elektrik, su veya doğalgaz dağıtım şirketidir; Şirketimiz verileri yalnızca dağıtım şirketinin yazılı talimatı ve sözleşme kapsamında işler.
• Veriler, sözleşmede öngörülen amaç ve süre dışında kullanılmaz, üçüncü kişilere aktarılmaz.
• Hizmetin sona ermesi hâlinde veriler, dağıtım şirketinin talimatına göre iade edilir veya imha edilir.
• Bu kapsamdaki kişisel veriler, ilgili dağıtım şirketinin VERBİS kaydı ve kişisel veri işleme envanterinde yer alır; Şirketimizin kendi veri sorumlusu envanterine ve VERBİS kaydına dahil edilmez.
• Şirketimiz, veri işleyen sıfatıyla KVKK'nın 12. maddesi kapsamında gerekli teknik ve idari tedbirleri almakla yükümlüdür.

14. Kişisel Verilerin Saklanması ve İmhası

Kişisel verileriniz, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreler boyunca saklanır. Mevzuatta bir süre öngörülmüşse (örneğin İş Kanunu, SGK mevzuatı, 6102 sayılı TTK ve 213 sayılı VUK kapsamında genel olarak 10 yıl; iş sağlığı ve güvenliği mevzuatı kapsamında kişisel sağlık kayıtları için 15 yıl) veri en az bu süre kadar saklanır. İşleme amacının ortadan kalkması ve saklamayı gerektiren başka bir hukuki sebebin bulunmaması hâlinde veriler, Şirketimizin Kişisel Veri Saklama ve İmha Politikası uyarınca periyodik imha süreçleriyle silinir, yok edilir veya anonim hale getirilir.

15. Kişisel Veri İşleme İlkelerimiz

Tüm kişisel veri işleme faaliyetlerimizde KVKK'nın 4. maddesinde yer alan aşağıdaki ilkelere uyarız:

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

16. Veri Güvenliğine İlişkin Tedbirler

Kişisel verilerinizin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek ile verilerin muhafazasını sağlamak amacıyla, KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tedbirleri alırız:

İdari Tedbirler

• Kişisel Veri İşleme Envanteri hazırlanmış ve güncel tutulmaktadır.
• Kurumsal politikalar (Saklama-İmha, Özel Nitelikli Veri, Bilgi Güvenliği) yürürlüğe konmuştur.
• Çalışanlara KVKK ve bilgi güvenliği eğitimleri verilmekte, gizlilik/taahhütnameler imzalatılmaktadır.
• Erişimler görev tanımına göre sınırlandırılmakta, yetki matrisi uygulanmaktadır.
• Tedarikçi ve iş ortaklarıyla gizlilik ve veri işleme/aktarım sözleşmeleri yapılmaktadır.
• İlgili kişilere aydınlatma yapılmakta; kurum içi periyodik denetimler gerçekleştirilmektedir.

Teknik Tedbirler

• Ağ ve uygulama güvenliği sağlanmakta; güvenlik duvarı ve zararlı yazılım koruması kullanılmaktadır.
• Erişim kayıtları loglanmakta, güçlü parola politikası uygulanmaktadır.
• Veriler düzenli olarak yedeklenmekte, güncel güvenlik yamaları uygulanmaktadır.
• Özel nitelikli veriler şifreleme (kriptografik yöntemler) ile korunmakta, aktarımda KEP/şifreli e-posta veya SFTP kullanılmaktadır.
• Saklama ve İmha Politikası'na uygun periyodik imha gerçekleştirilmektedir.

17. İlgili Kişinin Hakları (KVKK m.11)

KVKK'nın 11. maddesi uyarınca, veri sahibi olarak Şirketimize başvurarak aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme/silme/yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

18. Hakların Kullanılması ve Başvuru Yöntemi

Yukarıdaki haklarınıza ilişkin taleplerinizi, "İlgili Kişi Başvuru Formu"nu kullanarak veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen yöntemlerle Şirketimize iletebilirsiniz:

• Yazılı / posta: Islak imzalı başvurunuzu, kimliğinizi tevsik edici belgelerle, Sırakapılar Mah. 1778 Sk. No: 2 İç Kapı No: 6 Merkezefendi / DENİZLİ adresine iletebilirsiniz.
• KEP: bulusenerji@hs01.kep.tr
• E-posta: bilgi@bulusenerji.com.tr (sistemimizde kayıtlı e-posta adresiniz üzerinden)
• Şahsen: Kimliğinizi tevsik edici belge ile bizzat başvurarak.

Başvurunuzda ad-soyad, başvuru yazılı ise imza, T.C. kimlik numarası (yabancılar için pasaport numarası), tebligata esas adres, varsa e-posta/telefon ve talep konusunun bulunması zorunludur. Talepleriniz, niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret alınabilir.

19. Çerezler

Şirketimiz web sitesinde, sitenin çalışması için zorunlu çerezler ile (varsa) onayınıza bağlı analitik/işlevsel çerezler kullanılmaktadır. Çerezlere ilişkin ayrıntılı bilgi, ayrı bir belge olarak hazırlanan Çerez Politikası ve Aydınlatma Metni'nde yer almaktadır.

20. VERBİS Kaydı

Şirketimiz, KVKK ve ilgili Kurul kararları uyarınca Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğünü yerine getirmektedir. Veri işleyen sıfatıyla işlenen abone/tüketici verileri bu kayıt kapsamı dışında olup ilgili dağıtım şirketinin kaydında yer alır.

21. Politikanın Yürürlüğü ve Güncellenmesi

İşbu Politika, Şirketimiz tarafından yayımlandığı tarihte yürürlüğe girer. Mevzuat değişiklikleri, Kurul kararları veya iş süreçlerindeki değişiklikler doğrultusunda Politika güncellenebilir. Esaslı değişiklikler, uygun kanallar (web sitesi vb.) aracılığıyla ilgili kişilere duyurulur. Güncel sürüm Şirketimizin web sitesinde yayımlanır ve KVKK dosyasında saklanır.

BULUŞ ENERJİ ANONİM ŞİRKETİ
MERSİS: 0189140315500001  |  Vergi Dairesi/No: Pamukkale V.D. / 1891403155
Adres: Sırakapılar Mah. 1778 Sk. No: 2 İç Kapı No: 6 Merkezefendi / DENİZLİ
KEP: bulusenerji@hs01.kep.tr  |  E-posta: bilgi@bulusenerji.com.tr  |  Tel: (0258) 265 02 23  |  Web: bulusenerji.com.tr
Belge Sürümü: 1.0  |  Yürürlük / Düzenleme Tarihi: [.....]