1. Veri Sorumlusu
İşbu Gizlilik Politikası, Colossae Hotel ("Şirket") bünyesinde çalışan personel, müdürler, İnsan Kaynakları uzmanları ve yönetici kadronun kişisel verilerinin işlenmesine ilişkin usul ve esasları düzenler. Veri sorumlusu sıfatıyla Şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili ikincil mevzuata uygun olarak hareket eder.
2. Toplanan Kişisel Veriler
Uygulama içerisinde yalnızca aşağıdaki veriler, çalışma ilişkisinin yürütülmesi amacıyla toplanır ve işlenir:
- Kimlik bilgileri (ad, soyad, T.C. kimlik numarası, doğum tarihi)
- İletişim bilgileri (e-posta, telefon, adres)
- Özlük bilgileri (departman, pozisyon, işe giriş/çıkış tarihi, izin kayıtları, ücret bilgisi)
- Finansal bilgiler (IBAN, banka adı, hesap sahibi adı, şube kodu)
- Görsel ve biyometrik nitelikte olmayan imza örneği
- Sisteme giriş bilgileri (IP adresi kısaltılmış, cihaz türü, tarayıcı, giriş zamanı)
- Personelin kendi rızasıyla yüklediği izin belgeleri (rapor, hastane belgesi vb.)
- Ödeme belgeleri (bordrolar)
3. İşleme Amaçları
Kişisel veriler yalnızca aşağıdaki amaçlarla işlenir:
- İş sözleşmesinin kurulması, ifası ve sona erdirilmesi
- Bordro düzenleme, maaş ödemesi ve avans hesaplama
- Yasal yükümlülüklerin yerine getirilmesi (SGK, vergi, iş sağlığı ve güvenliği)
- İzin taleplerinin yönetilmesi ve arşivlenmesi
- Şirket içi iletişim ve duyuru
- Bilgi güvenliği süreçlerinin işletilmesi (denetim, olay yönetimi)
4. Verilerin Korunmasına Yönelik Teknik Tedbirler
Şirket, veri güvenliğini üst düzey teknik standartlarla sağlar:
- Uçtan uca TLS 1.2+ şifreleme — Uygulama ile kullanıcı arasındaki tüm trafik HTTPS üzerinden aktarılır.
- Şifre saklama: Kullanıcı şifreleri hiçbir zaman düz metin olarak tutulmaz; bcrypt algoritması ile tuzlanarak (salted hash) saklanır. Şifreler için kural denetimi (uzunluk, karmaşıklık, ardışık dizi engeli) uygulanır.
- Rol tabanlı erişim (RBAC): Admin, İK, Genel Müdür, Muhasebe Müdürü, Departman Müdürü, Personel rolleri için ayrı yetki kümeleri tanımlanmıştır. Her kullanıcı yalnızca görevi için gerekli bilgileri görür.
- Maaş görünürlüğü kısıtı: Maaş bilgisi yalnızca Admin/İK/GM ve yetkilendirilmiş departman müdürleri tarafından görülebilir; personel kendi maaşı hariç kimsenin maaşını göremez.
- Tanımlı cihaz kontrolü: Her kullanıcının hesabına yalnızca doğrulanmış cihazlardan giriş yapılabilir. Bilinmeyen bir cihazdan giriş denendiğinde e-posta ile tek kullanımlık kod ve tanımlı cihazlara anlık onay bildirimi gönderilir.
- İki aşamalı doğrulama (2FA): Kullanıcı isterse hesabında 2FA'yı zorunlu kılabilir.
- Denetim izleri (audit log): Kritik işlemler (izin onayı, maaş değişikliği, kişisel veri güncelleme, silme) zaman damgalı olarak kayıt altına alınır.
- Kalıcı yedekleme: Belgeler ve bordrolar geçici olmayan nesne depolama alanında (Emergent Object Storage) yedeklenir; günlük otomatik yedek çalıştırılır.
- IP maskeleme: Kullanıcıya ait IP kayıtları arayüzde son iki oktet maskelenerek gösterilir.
- KVKK aydınlatma metni: Kayıt sürecinde ayrıca sunulur; kullanıcı onayı olmadan hesap onaylanmaz.
5. Yetkilendirme ve İdari Tedbirler
Personel kayıtları yalnızca Admin tarafından onaylanır. İK Sorumlusu, Admin'in verdiği yetki kapsamında işlem yapabilir. Şifreler kullanıcının kendi bilgisi dışında değiştirilemez; İK tarafından başlatılan her şifre değişikliği personelin kayıtlı imzasıyla onaylanmadan geçerli olmaz.
6. Saklama Süresi
Kişisel veriler, iş ilişkisinin sona ermesinden itibaren mevzuatın öngördüğü süre boyunca (SGK, vergi ve iş hukuku kapsamında en az 10 yıl) saklanır. Bu sürenin sonunda veriler silinir, imha edilir veya anonim hâle getirilir.
7. Kişisel Verilere Erişim Hakkı
KVKK madde 11 uyarınca her personel aşağıdaki haklara sahiptir:
- Kişisel verilerinin işlenip işlenmediğini öğrenme
- İşleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme
- Eksik/yanlış işlenen bilgilerin düzeltilmesini isteme
- Silme veya yok edilmesini isteme
- Otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme
- Zarara uğraması hâlinde tazminat talep etme
Bu hakların kullanımı için ik@colossaehotel.com adresine yazılı başvuru yapabilirsiniz.
8. Değişiklikler
Şirket, bu Gizlilik Politikası'nı zaman zaman güncelleyebilir. Önemli değişikliklerde tüm personele e-posta ve uygulama içi bildirim ile duyuru yapılır.