Политика защиты персональных данных и конфиденциальности

1. ВВЕДЕНИЕ

Мы, SİBERLOCK SİBER GÜVENLİK VE DANIŞMANLIK HİZMETLERİ LİMİTED ŞİRKETİ (SİBERLOCK), со дня вступления в силу Закона № 6698 «О защите персональных данных» («KVKK» или «Закон») придаём большое значение защите персональных данных всех физических лиц, с которыми каким-либо образом взаимодействуем при осуществлении нашей коммерческой деятельности, и полному выполнению требований KVKK в этой связи. Настоящая Политика защиты персональных данных и конфиденциальности («Политика») подготовлена для информирования вас о процессах и принципах регистрации, сбора, использования, предоставления и хранения персональных данных SİBERLOCK. В настоящей Политике основы обработки SİBERLOCK персональных данных субъектов данных изложены в порядке, соответствующем положениям KVKK; эти разъяснения распространяются на наших сотрудников SİBERLOCK, действующих и потенциальных клиентов — физических и юридических лиц.

2. ПОРЯДОК И ПРИНЦИПЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

A. ОПРЕДЕЛЕНИЯ

Ниже приведены определения терминов и сокращений, используемых в настоящей Политике конфиденциальности.

Субъект данных

Означает физическое лицо, персональные данные которого обрабатываются. В соответствии с KVKK в сферу действия Закона входят только данные физических лиц. Данные юридических лиц не подпадают под действие этого Закона, если они не содержат сведений о физическом лице.

Персональные данные

Персональные данные означают любую информацию, относящуюся к определённому или определяемому физическому лицу. Для признания данных персональными необходимо, чтобы они относились к физическому лицу и это лицо было определено или могло быть определено. Понятие персональных данных охватывает все сведения о лице при условии, что оно определено или может быть определено. В этом контексте к персональным данным относятся не только сведения, раскрывающие личность человека, такие как имя, фамилия, дата и место рождения, но и все данные, позволяющие прямо или косвенно определить его: номер телефона, государственный регистрационный знак транспортного средства, номер социального страхования, номер паспорта, резюме, фотографии, видео- и аудиозаписи, отпечатки пальцев, генетическая информация, IP-адрес, адрес электронной почты, увлечения, предпочтения, лица, с которыми он взаимодействует, членство в группах и сведения о семье.

Персональные данные специальных категорий

Персональные данные специальных категорий — это данные о расе, этническом происхождении, политических взглядах, философских убеждениях, религии, конфессиональной принадлежности или иных убеждениях, внешнем виде и одежде, членстве в объединениях, фондах или профсоюзах, здоровье, половой жизни, уголовных приговорах и мерах безопасности, а также биометрические и генетические данные.

Явно выраженное согласие

Означает согласие по конкретному вопросу, основанное на информированности и выраженное свободно. Заявление о явно выраженном согласии не подчиняется каким-либо требованиям к форме. Важно, чтобы явно выраженное согласие содержало предусмотренные Законом элементы и могло быть доказано. Поэтому явно выраженное согласие может быть получено устно, письменно, в электронной форме и другими способами. Вместе с тем, если явно выраженное согласие оформляется письменно, его текст должен быть ясным, понятным и простым. Кроме того, явно выраженное согласие должно содержать утвердительное волеизъявление.

Оператор персональных данных

Означает физическое или юридическое лицо, определяющее цели и средства обработки персональных данных и отвечающее за создание и управление системой регистрации данных. Такими лицами могут быть как физические лица, так и юридические лица, например государственные учреждения, компании, объединения или фонды. Оператор персональных данных — это лицо, определяющее, «зачем» и «как» будет осуществляться обработка.

Обработчик персональных данных

Означает физическое или юридическое лицо, обрабатывающее персональные данные от имени оператора на основании предоставленных им полномочий. Деятельность обработчика данных ограничивается преимущественно техническими аспектами обработки данных. Важно, чтобы обработчик осуществлял обработку персональных данных в этих рамках в соответствии с указаниями, полученными от оператора.

Обязанность по информированию

В рамках обязанности по информированию оператор персональных данных или уполномоченное им лицо обязаны сообщить субъекту данных сведения об операторе и, при наличии, его представителе, о цели обработки данных, о том, кому и с какой целью могут передаваться обрабатываемые данные, о способе и правовом основании сбора данных, а также об иных правах, перечисленных в статье 11 Закона. Выполнение обязанности по информированию не зависит от согласия субъекта данных.

Политика обработки (хранения и уничтожения) персональных данных

Означает политику, на которую операторы персональных данных опираются при определении максимального срока, необходимого для целей обработки персональных данных, а также при их удалении, уничтожении и обезличивании.

Реестр операций по обработке персональных данных

Означает реестр, составляемый операторами персональных данных путём соотнесения осуществляемых в рамках их бизнес-процессов операций по обработке персональных данных с целями обработки, категорией данных, группой получателей и группой субъектов данных. В этом реестре подробно указываются максимальный срок, необходимый для целей обработки персональных данных, персональные данные, которые предполагается передавать в зарубежные страны, и принятые меры по обеспечению безопасности данных.

Форма обращения

Это документ, позволяющий субъектам данных узнавать, обрабатываются ли их персональные данные; запрашивать информацию об обработке, если их персональные данные обрабатывались; узнавать цели обработки и то, используются ли данные в соответствии с этими целями; узнавать о третьих лицах, которым персональные данные передаются внутри страны или за рубежом; требовать исправления персональных данных в случае их неполной или неправильной обработки; требовать удаления или уничтожения персональных данных; требовать уведомления третьих лиц, которым были переданы персональные данные, о таких действиях, как исправление, удаление и уничтожение; возражать против возникновения неблагоприятного для них результата вследствие анализа обрабатываемых данных исключительно с помощью автоматизированных систем; требовать возмещения ущерба, понесённого в результате незаконной обработки персональных данных.

B. ОБЩИЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

SİBERLOCK обрабатывает персональные данные в соответствии с порядком и принципами, предусмотренными KVKK и другими применимыми законами. В этих рамках при обработке персональных данных SİBERLOCK полностью соблюдает следующие принципы, установленные KVKK.

Соответствие закону и правилам добросовестности:

В соответствии с этим принципом процессы обработки данных SİBERLOCK осуществляются в пределах, установленных всем применимым законодательством, прежде всего Конституцией Турецкой Республики и KVKK, а также правилом добросовестности.

Точность и, при необходимости, актуальность:

Принимаются необходимые меры для обеспечения точности и актуальности персональных данных, обрабатываемых SİBERLOCK; субъектам данных предоставляются информация и необходимые возможности для того, чтобы обрабатываемые данные отражали фактическое положение дел.

Обработка для определённых, явных и законных целей:

SİBERLOCK обрабатывает персональные данные только для чётко и точно определённых законных целей и не осуществляет обработку вне этих целей. В этих рамках SİBERLOCK обрабатывает персональные данные только в связи с отношениями, установленными с субъектами данных, и при наличии необходимости.

Соответствие целям обработки, ограниченность этими целями и соразмерность:

SİBERLOCK обрабатывает данные в соответствии с KVKK и другим применимым законодательством так, чтобы обработка была пригодна для достижения целей, определённых по категориям данных, связана с достижением этих целей и соразмерна им; обработки персональных данных, в которых нет необходимости, избегают.

Хранение в течение срока, предусмотренного применимым законодательством или необходимого для целей обработки:

Персональные данные, обрабатываемые SİBERLOCK, хранятся только в течение срока, предусмотренного применимым законодательством или необходимого для целей их обработки. В этих рамках SİBERLOCK соблюдает установленный применимым законодательством срок хранения данных, если такой срок предусмотрен; при отсутствии такого срока данные хранятся только в течение времени, необходимого для целей их обработки.

C. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

SİBERLOCK обрабатывает персональные данные в соответствии со следующими условиями: за исключением случаев, перечисленных в KVKK, SİBERLOCK обрабатывает персональные данные только после получения явно выраженного согласия субъектов данных. При наличии следующих обстоятельств, предусмотренных KVKK, персональные данные могут обрабатываться и без явно выраженного согласия субъекта данных:

Обработка прямо предусмотрена законами,
Обработка необходима для защиты жизни или физической неприкосновенности самого лица, которое в силу фактической невозможности не может выразить согласие либо согласие которого не признаётся юридически действительным, или другого лица,
Обработка персональных данных сторон договора необходима при условии, что она непосредственно связана с заключением или исполнением договора,
Обработка необходима для исполнения оператором персональных данных своей правовой обязанности,
Данные сделаны общедоступными самим субъектом данных,
Обработка данных необходима для установления, осуществления или защиты права,
Обработка данных необходима для законных интересов оператора при условии, что она не нарушает основные права и свободы субъекта данных.

SİBERLOCK проявляет особую осторожность при обработке персональных данных специальных категорий, защита которых, как считается, имеет более важное значение для субъектов данных с различных точек зрения. В этих рамках, при условии принятия достаточных мер, определённых Советом, такие данные не обрабатываются без явно выраженного согласия субъектов данных. Однако персональные данные специальных категорий, за исключением данных о здоровье и половой жизни, могут обрабатываться без явно выраженного согласия субъекта данных в случаях, предусмотренных законами. При этом данные о здоровье и половой жизни могут обрабатываться без получения явно выраженного согласия соответствующего лица при условии принятия достаточных мер, для перечисленных ниже целей и лицами, обязанными соблюдать тайну, либо уполномоченными учреждениями и организациями:

Охрана общественного здоровья,
Профилактическая медицина,
Медицинская диагностика,
Оказание услуг по лечению и уходу,
Планирование и управление медицинскими услугами и их финансированием.

Для операций по обработке данных и категорий данных, требующих получения явно выраженного согласия субъекта данных для осуществления SİBERLOCK своей коммерческой деятельности, подготовлены заявления о явно выраженном согласии как для сотрудников, так и для клиентов. В заявлениях о явно выраженном согласии, подготовленных для субъектов данных, в соответствии с положениями Европейского союза, положенными в основу KVKK, субъектам данных предоставлено право выбора относительно того, может ли SİBERLOCK обрабатывать их персональные данные, и сообщено о последствиях, которые могут возникнуть, если явно выраженное согласие не будет получено.

D. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Персональные данные, полученные SİBERLOCK, могут обрабатываться в следующих рамках:

Осуществление процедур рассмотрения заявок кандидатов на трудоустройство,
Осуществление процессов, связанных с удовлетворённостью и лояльностью сотрудников,
Выполнение обязательств в отношении сотрудников, вытекающих из трудовых договоров и законодательства,
Осуществление процессов предоставления сотрудникам дополнительных льгот и преимуществ,
Осуществление процессов обеспечения информационной безопасности
Управление правами доступа
Осуществление образовательной деятельности,
Ведение деятельности в соответствии с законодательством,
Ведение финансовых и бухгалтерских операций,
Обеспечение безопасности физических помещений,
Осуществление процедур назначения на выполнение служебных заданий,
Сопровождение и ведение правовых дел,
Осуществление внутреннего аудита/расследований/разведывательной деятельности,
Осуществление коммуникационной деятельности,
Планирование процессов управления персоналом,
Осуществление/контроль хозяйственной деятельности,
Осуществление деятельности по охране труда и технике безопасности,
Осуществление процессов закупки товаров/услуг,
Осуществление процессов продажи товаров/услуг,
Осуществление процессов управления рисками
Осуществление процессов производства товаров/оказания услуг и операционной деятельности,
Осуществление процессов управления взаимоотношениями с клиентами,
Осуществление рекламных кампаний и мероприятий по продвижению,
Осуществление деятельности по хранению и архивированию,
Осуществление договорных процедур,
Отслеживание обращений/жалоб,
Предоставление информации уполномоченным лицам, учреждениям и организациям,
Осуществление управленческой деятельности,
Получение технической поддержки от компаний, предоставляющих внешние услуги,
Подготовка различных отчётов,
Предоставление консультаций и услуг в области кибербезопасности, оказание оперативной поддержки по вопросам кибербезопасности посредством ассистента на основе искусственного интеллекта (ASİLA), восстановление данных, анализ устройств и оказание соответствующих технических услуг, осуществление процессов приёма, отслеживания, возврата устройств и обеспечения цепочки сохранности доказательств, проверка целостности восстановленных данных и их безопасная передача. Обработка ограничивается указанными целями.

E. ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Полученные персональные данные безопасно хранятся на физических или электронных носителях в течение соответствующего срока для осуществления SİBERLOCK своей коммерческой деятельности. В рамках указанной деятельности SİBERLOCK соблюдает обязательства по защите персональных данных, предусмотренные всем применимым законодательством, прежде всего KVKK. За исключением случаев, когда применимое законодательство допускает или требует более длительного хранения персональных данных, при прекращении целей обработки данные будут удалены, уничтожены или обезличены SİBERLOCK по собственной инициативе либо по запросу субъектов данных, поданному с помощью прилагаемой формы обращения субъекта данных, в рамках Политики хранения и уничтожения персональных данных SİBERLOCK, подготовленной в соответствии с настоящей Политикой. При уничтожении персональных данных различными методами они будут уничтожены таким образом, чтобы их невозможно было каким-либо образом использовать повторно или восстановить. Однако при наличии законного интереса оператора персональные данные могут храниться до истечения общего срока исковой давности, установленного Турецким обязательственным кодексом, даже после прекращения цели обработки и истечения сроков, предусмотренных применимыми законами, при условии, что это не нарушает основные права и свободы субъектов данных. После истечения указанного срока исковой давности персональные данные будут удалены, уничтожены или обезличены в соответствии с описанной выше процедурой.

F. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ЛИЦАМ ВНУТРИ СТРАНЫ

При предоставлении персональных данных третьим лицам SİBERLOCK тщательно соблюдает условия, установленные KVKK, без ущерба для положений других законов. В этих рамках SİBERLOCK не передаёт персональные данные третьим лицам без получения явно выраженного согласия субъекта данных. Однако при наличии одного из следующих условий, предусмотренных KVKK, персональные данные могут передаваться и без получения явно выраженного согласия субъекта данных:

Это прямо предусмотрено законами,
Это необходимо для защиты жизни или физической неприкосновенности самого лица, которое в силу фактической невозможности не может выразить согласие либо согласие которого не признаётся юридически действительным, или другого лица,
Обработка персональных данных сторон договора необходима при условии, что она непосредственно связана с заключением или исполнением договора,
Это необходимо для исполнения оператором персональных данных своей правовой обязанности,
Данные сделаны общедоступными самим субъектом данных,
Обработка данных необходима для установления, осуществления или защиты права,
Обработка данных необходима для законных интересов оператора при условии, что она не нарушает основные права и свободы субъекта данных.

При условии принятия достаточных мер — в отношении персональных данных специальных категорий, не касающихся здоровья и половой жизни, если это предусмотрено законами, а в отношении персональных данных специальных категорий, касающихся здоровья и половой жизни, для таких целей, как:

Охрана общественного здоровья,
Профилактическая медицина,
Медицинская диагностика,
Оказание услуг по лечению и уходу,
Планирование и управление медицинскими услугами и их финансированием — ваши персональные данные могут передаваться без получения явно выраженного согласия.

При передаче персональных данных специальных категорий также соблюдаются требования, указанные в условиях обработки таких данных.

G. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ЗА РУБЕЖ

Для передачи персональных данных за рубеж в соответствии со статьёй 9 KVKK требуется явно выраженное согласие субъекта данных. Однако при наличии условий, допускающих обработку персональных данных, включая персональные данные специальных категорий, без явно выраженного согласия субъекта данных SİBERLOCK может передавать персональные данные за рубеж и без такого согласия при условии наличия достаточной защиты в иностранном государстве, в которое передаются данные. Если страна, в которую осуществляется передача, не входит в число стран с достаточным уровнем защиты, определяемых Советом, SİBERLOCK и оператор/обработчик данных в соответствующей стране письменно обязуются обеспечить достаточную защиту.

H. ОБЯЗАННОСТЬ ПО ИНФОРМИРОВАНИЮ

В соответствии со статьёй 10 KVKK субъекты данных должны быть проинформированы до получения персональных данных либо не позднее момента их получения. В рамках указанной обязанности по информированию субъектам данных должна быть предоставлена следующая информация:

Сведения об операторе персональных данных и, при наличии, его представителе,
Цель обработки персональных данных,
Лица, которым могут передаваться обрабатываемые персональные данные, и цели такой передачи,
Способ и правовое основание сбора персональных данных,
Иные права, перечисленные в статье 11 KVKK.

Для выполнения обязанности по информированию SİBERLOCK подготовила и ввела в действие информационные заявления по отдельным процессам и категориям субъектов данных.

Вместе с тем в соответствии со статьёй 28/2 KVKK SİBERLOCK не несёт обязанности по информированию в следующих случаях:

Обработка персональных данных необходима для предотвращения совершения преступления или расследования преступления,
Обрабатываются персональные данные, сделанные общедоступными самим субъектом данных,
Обработка персональных данных необходима для выполнения надзорных или регулирующих функций, а также для дисциплинарного расследования или производства уполномоченными и компетентными государственными учреждениями и организациями и профессиональными организациями, имеющими статус публичных учреждений, на основании полномочий, предоставленных законом,
Обработка персональных данных необходима для защиты экономических и финансовых интересов государства в вопросах бюджета, налогообложения и финансов.

I. ПРАВА СУБЪЕКТА ДАННЫХ

В отношении персональных данных, обрабатываемых SİBERLOCK в соответствии с принципами настоящей Политики, приняты необходимые меры для обеспечения осуществления субъектами данных прав, предоставленных статьёй 11 KVKK. Эти права перечислены ниже:

a) Узнавать, обрабатываются ли персональные данные,
b) Запрашивать информацию об обработке персональных данных, если они обрабатывались,
c) Узнавать цель обработки персональных данных и то, используются ли они в соответствии с этой целью,
d) Узнавать о третьих лицах, которым персональные данные передаются внутри страны или за рубежом,
e) Требовать исправления персональных данных, если они были обработаны неполно или неверно,
f) Требовать удаления или уничтожения персональных данных в рамках условий, предусмотренных статьёй 7 Закона,
g) Требовать уведомления третьих лиц, которым переданы персональные данные, о действиях, выполненных в соответствии с пунктами (e) и (f) выше,
h) Возражать против возникновения неблагоприятного для самого субъекта данных результата вследствие анализа обрабатываемых данных исключительно с помощью автоматизированных систем,
i) Требовать возмещения ущерба, понесённого в результате незаконной обработки персональных данных.

Субъекты данных могут осуществить перечисленные выше права, направив по адресу SİBERLOCK заказным письмом с уведомлением о вручении экземпляр формы обращения субъекта данных, содержащейся в приложении № 1 к настоящей Политике, с собственноручной подписью и приложенной ксерокопией удостоверения личности. Подробная информация о заполнении формы и её отправке в SİBERLOCK приведена в форме обращения в приложении № 1. SİBERLOCK направит ответ на соответствующее обращение субъекту данных в бумажной или электронной форме. В зависимости от характера запроса SİBERLOCK разрешит его бесплатно в кратчайший срок и не позднее тридцати (30) дней. Однако если выполнение действия требует дополнительных расходов, SİBERLOCK взимает с соответствующих лиц плату по тарифу, установленному Советом. Кроме того, при рассмотрении запросов субъектов данных SİBERLOCK может запросить у заявителей дополнительную информацию или документы.

J. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ДАННЫХ

В соответствии со статьёй 12(1) KVKK SİBERLOCK принимает все необходимые технические и организационные меры для обеспечения надлежащего уровня безопасности, необходимого для защиты персональных данных. Меры, принимаемые SİBERLOCK в этих рамках, перечислены ниже:

ОРГАНИЗАЦИОННЫЕ МЕРЫ:

В рамках организационных мер SİBERLOCK:

Для сотрудников компании проведено необходимое обучение по KVKK и обеспечено повышение осведомлённости.
Разработаны необходимые корпоративные политики в рамках KVKK.
Подготовлен реестр операций по обработке персональных данных.
Подготовлены обязательства о соблюдении конфиденциальности.
Если обрабатываемые персональные данные будут получены другими лицами незаконным путём, соответствующее лицо и Совет будут уведомлены об этом в кратчайший срок.

ТЕХНИЧЕСКИЕ МЕРЫ:

В рамках технических мер SİBERLOCK:

Обеспечивается безопасность сети и приложений.
При передаче персональных данных по сети используется сеть закрытого типа.
Используются актуальные антивирусные системы.
Используются межсетевые экраны.
Обеспечивается безопасность сред, содержащих персональные данные.
Создаются резервные копии персональных данных и обеспечивается безопасность персональных данных в резервных копиях.
Используется программное обеспечение для обнаружения и предотвращения атак.
При необходимости применяется маскирование данных.
Определяются политики и процедуры обеспечения безопасности персональных данных.
Объём персональных данных сокращается насколько возможно.
Определены и введены в действие протоколы и процедуры обеспечения безопасности персональных данных специальных категорий.
Обеспечивается защита физических сред, содержащих персональные данные, от внешних рисков.
У сотрудников, переведённых на другую должность или прекративших работу, отзываются соответствующие полномочия в этой области.
Принимаются меры безопасности при приобретении, разработке и обслуживании информационно-технологических систем.

K. ОБРАБОТКА ВИДЕОЗАПИСЕЙ

Для обеспечения общей и коммерческой безопасности объектов и предприятий Компании, контроля входа и выхода персонала, осуществления операционной деятельности нашей Компании и аналогичных целей SİBERLOCK ведёт видеозапись посетителей, сотрудников и других соответствующих лиц в соответствии с основными принципами, предусмотренными KVKK и изложенными в настоящей Политике. Эти записи безопасно хранятся на физических или электронных носителях в течение срока, соответствующего целям их обработки. В местах ведения видеозаписи на видном месте размещается предупреждение о видеозаписи для информирования субъектов данных. В рамках указанной деятельности SİBERLOCK соблюдает обязательства по защите персональных данных, предусмотренные всем применимым законодательством, прежде всего KVKK. В местах с высоким уровнем приватности видеонаблюдение не ведётся.

ПЕРЕЧЕНЬ ГРУПП ЛИЦ И УЧРЕЖДЕНИЙ, КОТОРЫМ ПРЕДОСТАВЛЯЮТСЯ ПЕРСОНАЛЬНЫЕ ДАННЫЕ

Уполномоченные государственные учреждения и организации
Компании по разработке программного обеспечения
Банки
Управление налоговых доходов (Gelir İdaresi Başkanlığı)
Совет по налоговым проверкам (Vergi Denetim Kurulu)
Управление торгового реестра и Газета торгового реестра (Ticaret Sicil Müdürlüğü ve Ticaret Sicil Gazetesi)
Нотариус
Учреждение социального обеспечения (Sosyal Güvenlik Kurumu)
İşkur
Юридический отдел
Суды и службы принудительного исполнения
Финансовый консультант и бухгалтер
Аудитор
Google LLC (услуги Analytics и рекламные услуги),
Cloudflare Inc (защита от ботов и услуги проверки безопасности (Turnstile), сеть доставки контента, определение местоположения на уровне страны/города по IP-адресу посетителя),
FingerprintJS Inc (цифровой отпечаток устройства и услуги безопасности),
Хостинг-провайдеры (услуги инфраструктуры веб-сайта и базы данных),
Поставщики услуг сканирования безопасности с использованием нескольких движков,
NetGSM (поставщик SMS-услуг),