POLİSAN KANSAİ BOYA SANAYİ VE TİCARET A.Ş.

KİŞİSEL VERİLERİN KORUNMASI KANUNU KAPSAMINDA AYDINLATMA METNİ

Polisan Kansai Boya Sanayi ve Ticaret A.Ş. kişisel verilerinizin hukuka uygun olarak toplanması, saklanması ve paylaşılmasını sağlamak ve gizliliğinizi korumak amacıyla uygun teknik ve idari güvenlik tedbirlerini almaktadır.

Amacımız; 6698 sayılı Kişisel Verilerin Korunması Kanununun 10. maddesi gereğince ve sizlerin memnuniyeti doğrultusunda, kişisel verilerinizin alınma şekilleri, işlenme amaçları, paylaşılan kişiler, hukuki nedenleri ve haklarınız konularında sizi en şeffaf şekilde bilgilendirmektir.

İşbu Aydınlatma Metni; kurumsal internet sitesi, e-ticaret platformu, çağrı merkezi, fabrika ve idari tesisler dahil olmak üzere Polisan Kansai Boya Sanayi ve Ticaret A.Ş. ile temas eden müşteriler, bayiler/iş ortakları, tedarikçiler, tesis ziyaretçileri, taşeron / alt yüklenici çalışanları ve çalışan/taşeron adayları dahil tüm ilgili kişi gruplarını kapsayan genel çerçeveyi düzenler. Her bir ilgili kişi grubuna özgü ek hüküm, işlenen veri ve aktarım bilgisi bu metnin Ek bölümlerinde (Ek-1 ila Ek-4) ayrıca belirtilmiştir; genel bölümler ile ilgili ekin çelişmesi halinde ek bölüm esas alınır.

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (“6698 sayılı Kanun”/“KVKK”) uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla Polisan Kansai Boya Sanayi ve Ticaret A.Ş. tarafından aşağıda açıklanan kapsamda işlenmektedir.

2. İşlenen Kişisel Veri Kategorileri

İlgili kişi grubunuza göre değişmekle birlikte, aşağıdaki kategorilerde kişisel veri işlenebilmektedir:

• Kimlik Bilgisi: ad-soyad, T.C. kimlik no / vergi no, doğum tarihi
• İletişim Bilgisi: adres, telefon, e-posta
• Müşteri İşlem Bilgisi: sipariş, fatura, cari hesap, şikâyet/talep kayıtları
• İşlem Güvenliği Bilgisi: IP adresi, çerez kayıtları, log kayıtları, kullanıcı hesabı ve kimlik doğrulama kayıtları (kullanıcı adı, giriş-çıkış kayıtları; açık parola tutulmaz)
• Sağlık Bilgisi: fabrika/tesis ziyaretçileri ve taşeron/tedarikçi saha çalışanları için iş sağlığı ve güvenliği kapsamında (İSG evrakları); ürün kaynaklı sağlık şikâyetlerinin yönetiminde; çalışan adaylarında yalnızca iş teklifinin kabulünden sonraki İSG sürecinde
• Fiziksel Mekân Güvenliği Bilgisi: tesis giriş-çıkış kayıtları, güvenlik kamerası (CCTV) görüntüleri
• Hukuki işlem ve uyum bilgisi, pazarlama-satış bilgisi
• Lokasyon Bilgisi: sevkiyat ve saha süreçlerinde tedarikçi/taşeron araç ve personeline ilişkin konum kaydı
• Ticari Bilgi: tedarikçi ve iş ortağı yetkililerine ilişkin ticari faaliyet bilgileri

Özel nitelikli kişisel veriler; yalnızca KVKK m.6/3’teki şartlarla ve yukarıda belirtilen dar kapsamla sınırlı olarak işlenir. İşe alım sürecinde adaylardan özel nitelikli veri Talep Edilmez; adli sicil kaydı yalnızca mevzuatın açıkça gerektirdiği pozisyonlar için, sağlık verisi ise yalnızca iş teklifinin kabulünden sonra işyeri hekimliğince yürütülen İSG sürecinde işlenir (ayrıntı: Çalışan Adayı Aydınlatma Metni).

Şirket çalışanları ve stajyerlerine ilişkin kişisel veri işleme faaliyetleri işbu metnin kapsamı dışındadır. Bu gruplara yönelik bilgilendirme, FPB.POL.005-03.00 Kişisel Verilerin İşlenmesine İlişkin Çalışan Aydınlatma Metni ile ayrıca yapılmakta olup, söz konusu metne İnsan Kaynakları Direktörlüğü ve şirket içi doküman yönetim sistemi (QDMS) üzerinden erişilebilir.

3. Kişisel Verilerin İşlenme Amaçları

Toplanan kişisel verileriniz; ürün ve hizmetlerin sunulması, sözleşmesel yükümlülüklerin ifası, yasal raporlama/bilgi saklama yükümlülüklerine uyum, satış ve pazarlama faaliyetlerinin yürütülmesi, sipariş ve ödeme süreçlerinin yönetimi, müşteri memnuniyeti ve şikâyet yönetimi, tesis ve operasyon güvenliğinin sağlanması, iş sağlığı ve güvenliği yükümlülüklerinin yerine getirilmesi ve resmi makam taleplerinin yanıtlanması amaçlarıyla işlenmektedir.

4. Hukuki Sebepler

Kişisel verileriniz KVKK m.5 ve m.6’da sayılan aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Kanunlarda açıkça öngörülmüş olması
• Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
• Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Temel hak ve özgürlüklerinize zarar vermemek kaydıyla meşru menfaatimiz için zorunlu olması
• Açık rızanızın bulunması (bkz. Bölüm 10) — Özel nitelikli kişisel veriler (örneğin fabrika ziyaretçileri ve taşeron/alt yüklenici çalışanlarına ilişkin sınırlı sağlık/İSG verileri) ise KVKK m.6/3 uyarınca, başta istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hukuki sebebine dayanılarak işlenir; çalışanlara ilişkin ayrıntılı bilgilendirme ayrı Çalışan Aydınlatma Metninde yer alır.

5. Kişisel Veri Toplama Yöntemi

Kişisel verileriniz; internet sitemiz ve mobil uygulamamız, e-ticaret platformumuz, çağrı merkezimiz, sosyal medya hesaplarımız, mağaza/showroom ve fabrika ziyaretleri, bayi/tedarikçi sözleşme süreçleri, iş başvurusu ve istihdam süreçleri aracılığıyla, elektronik veya fiziki ortamda, otomatik ya da otomatik olmayan yöntemlerle toplanmaktadır.

6. Kişisel Verilerin Aktarılması

6.1 Yurt İçi Aktarım

Kişisel verileriniz; iş ortaklarımıza, hissedarlarımıza, iştiraklerimize, kanunen yetkili kamu kurum ve kuruluşlarına, hizmet aldığımız tedarikçilere (lojistik/kargo, bilişim, çağrı merkezi, pazarlama hizmet sağlayıcıları vb.) yukarıda belirtilen amaçlarla sınırlı olarak aktarılmaktadır.

6.2 Yurt Dışı Aktarım

Kişisel verileriniz, gerektiği ölçüde yurt dışına aktarılabilmektedir. Bu aktarım, KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca Kurul tarafından ilan edilen Standart Sözleşmeler başta olmak üzere uygun güvenceler kullanılarak gerçekleştirilir. Yurt dışında yerleşik alıcı grupları arasında; Kansai Paint Co., Ltd. ve grup şirketleri, bilişim altyapısı, kurumsal e-posta ve bulut hizmeti sağlayıcıları ile dijital pazarlama/analitik ve sosyal medya hizmet sağlayıcıları yer alır. Alıcılar, ülkeler ve her aktarım için kullanılan m.9 mekanizması Yurt Dışına Aktarım Envanterinde tanımlıdır. Süreklilik arz etmeyen (arızi) aktarımlar bakımından KVKK m.9/6 hükümleri uygulanır.

7. Veri Güvenliği Tedbirleri

Şirketimiz, kişisel verilerinizin gizliliğini ve bütünlüğünü korumak amacıyla aşağıdaki idari ve teknik tedbirleri almaktadır:

• Kişisel verilere erişim, görev tanımına dayalı yetkilendirme ve erişim kontrolleriyle sınırlandırılmaktadır; ilgili verilere erişimi olan roller görev tanımlarında ve erişim yetki matrisinde tanımlanır
• Bilgi sistemleri güvenliğine yönelik periyodik risk değerlendirmesi yapılmaktadır
• Elektronik ortamda iletilen veriler şifreleme/güvenli bağlantı (SSL vb.) teknolojileriyle korunmaktadır
• Sızma testleri (penetrasyon testleri), yılda en az bir kez yetkili ve bağımsız üçüncü taraf güvenlik firmalarına yaptırılmakta; önemli sistem değişikliklerinde taramalar tekrarlanmaktadır (İşletim Güvenliği Yönetimi Prosedürü). Sunucu yedekleri günlük olarak otomatik alınmakta ve felaket senaryolarına karşı periyodik geri yükleme (restore) testleri gerçekleştirilmektedir (Yedekleme Prosedürü). Merkezî log yönetimi yapılmakta; güvenlik olayları ve ağ altyapısı 7/24 esasına göre izlenmektedir. Tüm uç noktalarda ve sunucularda merkezî ve gerçek zamanlı zararlı yazılım koruması (EDR/antivirüs) uygulanmaktadır. Kurum içi ve dışı veri iletişiminde uçtan uca şifreli ve güvenli aktarım protokolleri (TLS, HTTPS, SFTP, VPN) kullanılmaktadır (Bilgi Güvenliği Son Kullanıcı Kuralları; Bilgi Sistemleri Güvenlik ve Haberleşme Prosedürü). Ağ erişim kontrolü ve kimlik doğrulama merkezî olarak yönetilmekte; sistem sıkılaştırma ve güvenlik duvarı kuralları güncel tutulmaktadır. Veri güvenliği ve farkındalık eğitimleri ile gerekli görülen diğer teknik ve idari güvenlik kontrolleri uygulanmaktadır. (Kullanılan ürün ve markalar, güvenlik gerekçesiyle bu metinde anılmaz; ayrıntılar ilgili iç prosedürlerde tanımlıdır.)

8. Saklama Süreleri

Kişisel verileriniz, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre boyunca ve her hâlükârda işleme amaçları için gerekli olan azami süreyi aşmayacak şekilde saklanmaktadır. Saklama sürelerinin belirlenmesinde ilgili mevzuat hükümleri, zamanaşımı süreleri, Şirketimizin hukuki yükümlülükleri, meşru menfaatleri ve kişisel veri işleme amaçları dikkate alınmaktadır. Saklama süresinin sona ermesi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler, Şirketimizin Kişisel Veri Saklama ve İmha Politikası ve Prosedürü ile Kişisel Veri Saklama ve İmha Süreleri Tablosu ve ilgili mevzuat uyarınca silinir, yok edilir veya anonim hâle getirilir.

9. Güvenlik Kamerası (CCTV) ile İzleme

Fabrika, idari bina ve eklentilerinde, iş sağlığı ve güvenliği ile mülkiyet/tesis güvenliğinin sağlanması amacıyla güvenlik kamerası sistemi kullanılmaktadır (KVKK Kurumu’nun 08.06.2026 tarihli “İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu” dikkate alınarak):

• İzleme, orantılılık ilkesi gözetilerek yalnızca giriş-çıkış noktaları, üretim alanları ve ortak kullanım alanlarıyla sınırlıdır
• Soyunma odası, tuvalet, mescit ve dinlenme alanı gibi mahremiyet beklentisinin yüksek olduğu alanlarda kamera bulunmamaktadır (24.08.2026 tarihli Kamera Envanteri ile teyit edilmiştir)
• Kameralar çalışan performans veya verimlilik takibi amacıyla kullanılmamaktadır
• Görüntüler, Kişisel Verileri Koruma Kurumunun 08.06.2026 tarihli duyurusu doğrultusunda mümkün olan en kısa süreyle gerekçelendirilmiş olarak kayıt tarihinden itibaren 30 Gün saklanır; bu süre sonunda kayıt sistemi (NVR/DVR) üzerinde döngüsel kayıt (en eski görüntünün üzerine otomatik yazılması) veya zamanlanmış otomatik silme mekanizmasıyla, insan müdahalesi olmaksızın otomatik olarak imha edilir. Görüntülere yalnızca yetkilendirilmiş personel erişebilir.
• Bir olayla (iş kazası, güvenlik ihlali, hukuki uyuşmazlık vb.) ilgili görüntüler, istisnai olarak ilgili sürecin sonuçlanmasına kadar ayrıca saklanabilir
• Tesisi ziyaret eden herkes, giriş noktasında görünür pano/tabela ile ayrıca bilgilendirilir; bkz. Ek-3

10. Açık Rızaya Dayalı İşleme ve Rızanın Geri Alınması

Pazarlama, reklam, tanıtım ve profilleme amaçlı kişisel veri işleme faaliyetleri KVKK kapsamında Açık Rızanıza; ticari elektronik ileti gönderimi ise 6563 sayılı Kanun kapsamında İleti Yönetim Sistemi (İYS) üzerinden yönetilen Ticari Elektronik İleti Onayınıza dayanır. Bu iki onay birbirinden ayrı alınır ve ayrı ayrı geri alınabilir. Ticari ileti gönderimlerinden önce izinler İYS üzerinden kontrol edilir; alınan onaylar ve ret bildirimleri İYS’ye süresi içinde işlenir. Açık rızanızı Bölüm 12’de belirtilen başvuru kanallarından; ticari ileti tercihlerinizi ise iletilerdeki “abonelikten çık” / ret bağlantısından, çağrı merkezimizden, e-Devlet veya vatandas.iys.org.tr üzerinden ücretsiz olarak dilediğiniz zaman değiştirebilirsiniz.

11. Kişisel Veri Sahibinin Hakları (KVKK m.11)

Kişisel veri sahibi olarak aşağıdaki haklara sahipsiniz:

• Kişisel veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme
• Eksik/yanlış işlenmişse düzeltilmesini isteme
• İşlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini/yok edilmesini isteme
• Bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme

12. Başvuru Yöntemi ve Yanıt Süresi

Yukarıdaki haklarınızı kullanmak için başvurunuzu, 6698 sayılı Kanun’un 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca yazılı olarak veya kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza ya da sistemimizde kayıtlı e-posta adresinizi kullanarak iletebilirsiniz.

• Yazılı başvuru: Gebkim DemircilerOSB Mh. Refik Baydur Cd. No:7/3 Dilovası / KOCAELİ
• E-posta: kvkk@polisankansai.com
• KEP: polisanboya@hs03.kep.tr
• İlgili Kişi Başvuru Formuna buradan ulaşabilirsiniz. Formun kullanılması zorunlu değildir.

Başvurunuz en geç otuz gün içinde sonuçlandırılır. Başvuruya cevabın ücretlendirilmesi halinde, Kişisel Verileri Koruma Kurulu tarafından o yıl için belirlenen güncel tarife esas alınır.

EK-1: Müşteri ve E-Ticaret Kullanıcıları için Özel Hükümler

İşlenen ek veri: hesap bilgisi, sipariş/sepet geçmişi, ödeme ve teslimat bilgisi, çerez ve platform kullanım verisi

• Ek amaç: sipariş oluşturma ve teslimat, ödeme işlemlerinin yürütülmesi, ürün/hizmet önerisi (profilleme), kullanıcı deneyiminin iyileştirilmesi
• Ek aktarım: ödeme kuruluşları/bankalar, kargo firmaları, pazarlama teknolojisi sağlayıcıları
• İnternet sitemiz ve çevrim içi platformlarımızda kullanılan çerezler ve benzeri teknolojiler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin ayrıntılı bilgiler, ayrı bir doküman olarak yayımlanan Çerez Politikasında yer almaktadır; söz konusu dokümana polisankansai.com adresi üzerinden ulaşılabilir.

EK-2: Bayi ve İş Ortakları için Özel Hükümler

• İşlenen ek veri: yetkili temsilci kimlik/iletişim bilgisi, cari hesap, sözleşme ve teminat bilgisi
• Ek amaç: bayilik sözleşmesinin kurulması/ifası, kampanya ve hak ediş süreçlerinin yürütülmesi, saha ziyaret koordinasyonu
• Bayilik sözleşmesinin imzalanması sürecinde ilgili kişilere sözleşme içeriğinde KVKK kapsamında gerekli aydınlatma yapılmakta olup, işlenen kişisel veriler, işleme amaçları, hukuki sebepler, aktarım bilgileri ve ilgili kişi haklarına ilişkin güncel KVKK Aydınlatma Metni Bayi Portalı üzerinden ayrıca erişime sunulmaktadır.

EK-3: Fabrika/Tesis Ziyaretçileri için Özel Hükümler

• İşlenen ek veri: ziyaretçi kimlik/iletişim bilgisi, giriş-çıkış kaydı, güvenlik kamerası görüntüsü (bkz. Bölüm 9)
• Ek amaç: tesis güvenliğinin ve iş sağlığı-güvenliğinin sağlanması, acil durum yönetimi
• Tesis girişinde görünür bir aydınlatma panosu bulundurulur; ziyaretçi kayıt formunda bu metne kısa link/QR kod ile erişim sağlanır

EK-4: Tedarikçi ve Taşeronlar için Özel Hükümler

• İşlenen ek veri: yetkili kişi kimlik/iletişim bilgisi, finans/fatura bilgisi, müteahhit / taşeron çalışanları için İSG evrakları (adli sicil kaydı, aylık hizmet dökümü, İSG temel eğitim kaydı, sağlık raporu, mesleki eğitim belgesi, ikametgâh). Bu evraklardan sağlık raporu ve adli sicil kaydı ÖZEL NİTELİKLİ kişisel veri içerir; KVKK m.6/3 kapsamındaki hukuki yükümlülükler (İSG mevzuatı) uyarınca işlenir ve erişim sınırlandırılır
• Ek amaç: satın alma ve tedarik süreçlerinin yürütülmesi, sözleşme yönetimi, tesis içi çalışan güvenliğinin sağlanması