Opbevarings- og sletningspolitik for personoplysninger

Formål og anvendelsesområde

Denne oversættelse er til orientering. Den tyrkiske tekst er juridisk bindende.

Denne politik for opbevaring og sletning af personoplysninger ("Politikken") er udarbejdet af HC ORGANİZE TEKSTİL SAN. TİC. LTD. ŞTİ. ("Selskabet") som dataansvarlig for at opfylde vores forpligtelser efter den tyrkiske lov nr. 6698 om beskyttelse af personoplysninger ("Loven") og bekendtgørelsen om sletning, destruktion eller anonymisering af personoplysninger ("Bekendtgørelsen"), som udgør Lovens sekundære regulering, og for at informere de registrerede om principperne for fastsættelse af den maksimale opbevaringsperiode, der er nødvendig for det formål, personoplysningerne behandles til, samt om processerne for sletning, destruktion og anonymisering.

Definitioner

• Udtrykkeligt samtykke: Samtykke vedrørende et bestemt emne, der bygger på information og afgives af fri vilje.
• Relevant bruger: Personer, der behandler personoplysninger inden for den dataansvarliges organisation eller efter bemyndigelse og instruks fra den dataansvarlige, bortset fra den person eller enhed, der er ansvarlig for teknisk lagring, beskyttelse og backup af oplysningerne.
• Destruktion: Sletning, destruktion eller anonymisering af personoplysninger.
• Registreringsmedie: Ethvert medie, der indeholder personoplysninger, som behandles helt eller delvist automatisk eller ikke-automatisk, forudsat at de indgår i et registreringssystem.
• Behandling af personoplysninger: Enhver handling, der udføres på oplysninger, såsom indhentning, registrering, lagring, opbevaring, ændring, omorganisering, offentliggørelse, videregivelse, overtagelse, tilgængeliggørelse, klassificering eller hindring af brug af personoplysninger helt eller delvist automatisk eller ikke-automatisk, forudsat at de indgår i et registreringssystem.
• Anonymisering af personoplysninger: At gøre personoplysninger umulige at forbinde med en identificeret eller identificerbar fysisk person på nogen måde, selv ved sammenholdelse med andre oplysninger.
• Sletning af personoplysninger: At gøre personoplysninger utilgængelige og umulige at genbruge på nogen måde for de relevante brugere.
• Destruktion af personoplysninger: Processen, hvorved personoplysninger gøres utilgængelige, uigenkaldelige og umulige at genbruge på nogen måde for nogen.
• Rådet: Rådet for beskyttelse af personoplysninger (Kişisel Verileri Koruma Kurulu).
• Periodisk destruktion: Sletning, destruktion eller anonymisering, der udføres på eget initiativ med gentagne intervaller som angivet i politikken for opbevaring og sletning af personoplysninger, når alle betingelser for behandling af personoplysninger i Loven er bortfaldet.
• Registreret / berørt person: Den fysiske person, hvis personoplysninger behandles.

Principper

Ved opbevaring og destruktion af personoplysninger handler Selskabet inden for rammerne af følgende principper:

• Ved sletning, destruktion og anonymisering af personoplysninger handles der i fuld overensstemmelse med Loven og den relevante lovgivnings bestemmelser, Rådets afgørelser og denne Politik.
• Alle handlinger vedrørende sletning, destruktion og anonymisering af personoplysninger registreres af Selskabet, og disse registreringer opbevares i mindst 5 (fem) år, medmindre andre juridiske forpligtelser gælder.
• Medmindre Rådet træffer anden afgørelse, vælger vi selv den passende metode blandt sletning, destruktion eller anonymisering af personoplysninger på eget initiativ. På den registreredes anmodning vælges den passende metode dog med angivelse af begrundelsen.
• Når alle betingelser for behandling af personoplysninger i Lovens artikel 5 og 6 er bortfaldet, slettes, destrueres eller anonymiseres personoplysningerne af Selskabet på eget initiativ eller på den registreredes anmodning.

Henvender den registrerede sig til Selskabet herom, besvares anmodningerne senest inden 30 (tredive) dage, og er de pågældende oplysninger videregivet til tredjeparter, meddeles dette til den tredjepart, som oplysningerne er videregivet til, og det sikres, at de nødvendige handlinger foretages hos tredjeparterne.

Forklaringer om grunde til opbevaring og destruktion

De registreredes personoplysninger opbevares af Selskabet inden for de grænser, der er fastsat i Loven og anden relevant lovgivning, navnlig for (1) at kunne fortsætte de kommercielle aktiviteter, (2) at kunne opfylde juridiske forpligtelser og (3) at planlægge og opfylde medarbejdernes rettigheder og personalegoder. Grundene, der kræver opbevaring, er følgende:

• opbevaring af personoplysninger, fordi de er direkte forbundet med indgåelse og opfyldelse af aftaler,
• opbevaring af personoplysninger med henblik på at etablere, udøve eller beskytte en rettighed,
• at opbevaring af personoplysninger er nødvendig af hensyn til Selskabets legitime interesser, forudsat at det ikke skader personernes grundlæggende rettigheder og frihedsrettigheder,
• opbevaring af personoplysninger for at Selskabet kan opfylde en juridisk forpligtelse,
• at lovgivningen udtrykkeligt foreskriver opbevaring af personoplysninger,
• at de registreredes udtrykkelige samtykke foreligger for opbevaringsaktiviteter, der kræver de registreredes udtrykkelige samtykke.

I henhold til Bekendtgørelsen slettes, destrueres eller anonymiseres de registreredes personoplysninger af Selskabet på eget initiativ eller på anmodning i følgende tilfælde:

• når det er nødvendigt som følge af ændring eller ophævelse af de relevante lovbestemmelser, der ligger til grund for behandling eller opbevaring af personoplysningerne,
• når det formål, der kræver behandling eller opbevaring af personoplysningerne, bortfalder,
• når betingelserne for behandling af personoplysninger i Lovens artikel 5 og 6 bortfalder,
• når den registrerede trækker sit samtykke tilbage i tilfælde, hvor behandlingen udelukkende sker på grundlag af udtrykkeligt samtykke,
• når den dataansvarlige imødekommer den registreredes anmodning om sletning, destruktion eller anonymisering af personoplysningerne inden for rammerne af rettighederne i Lovens artikel 11,
• når der klages til Rådet, og Rådet finder anmodningen berettiget, i tilfælde hvor den dataansvarlige afviser den registreredes anmodning om sletning, destruktion eller anonymisering af personoplysningerne, svaret findes utilstrækkeligt, eller der ikke svares inden for den frist, Loven foreskriver,
• når der ikke foreligger nogen betingelse, der berettiger længere opbevaring af personoplysningerne, selv om den maksimale opbevaringsperiode er udløbet.

Opbevarings- og destruktionsperioder

Ved fastsættelse af opbevarings- og destruktionsperioder for personoplysninger, som Selskabet har indhentet i overensstemmelse med Loven og anden relevant lovgivning, anvendes følgende kriterier i nævnte rækkefølge:

1. Er der i lovgivningen fastsat en periode for opbevaring af den pågældende personoplysning, overholdes denne periode. Efter periodens udløb behandles oplysningen i henhold til nedenstående punkt.
2. Når den lovbestemte opbevaringsperiode for den pågældende personoplysning udløber, eller der ikke er fastsat nogen periode i den relevante lovgivning, klassificeres personoplysningerne i rækkefølge som personoplysninger og særlige kategorier af personoplysninger med udgangspunkt i definitionen i Lovens artikel 6. Alle personoplysninger, der konstateres at tilhøre særlige kategorier, destrueres. Metoden til destruktion fastsættes ud fra oplysningernes art og opbevaringens betydning for Selskabet.
3. Det undersøges, om opbevaringen af oplysningen er i overensstemmelse med principperne i Lovens artikel 4, f.eks. om Selskabet har et legitimt formål med at opbevare oplysningen. Oplysninger, hvis opbevaring kan være i strid med principperne i Lovens artikel 4, slettes, destrueres eller anonymiseres.
4. Det fastslås, hvilken eller hvilke af undtagelserne i Lovens artikel 5 og 6 opbevaringen af oplysningen kan henføres til. Inden for rammerne af de konstaterede undtagelser fastsættes rimelige perioder for opbevaring af oplysningerne. Ved udløb af disse perioder slettes, destrueres eller anonymiseres oplysningerne.

De opbevarings-, destruktions- og periodiske destruktionsperioder, som Selskabet har fastsat, findes i bilaget til denne Politik. Personoplysninger, hvis opbevaringsperiode er udløbet, anonymiseres eller destrueres i overensstemmelse med procedurerne i denne Politik med 6 (seks) måneders intervaller inden for rammerne af destruktionsperioderne i bilaget. Alle handlinger vedrørende sletning, destruktion og anonymisering af personoplysninger registreres, og disse registreringer opbevares i mindst 5 (fem) år, medmindre andre juridiske forpligtelser gælder.

Procedurer samt tekniske og administrative foranstaltninger for opbevaring og destruktion af personoplysninger

Personoplysninger, der indsamles, når det er nødvendigt at behandle dem til opfyldelse af Selskabets forpligtelser i forbindelse med ansættelse, når behandlingen er nødvendig for at etablere en rettighed, til kundeservice, til at du kan gøre brug af forbrugerrettigheder og øvrige muligheder og/eller til opfyldelse af de dermed forbundne kommercielle, økonomiske og juridiske ansvar og forpligtelser, til at sikre Selskabets sikkerhed eller til Selskabets legitime formål, registreres i systemet. Derudover gemmes alle oplysninger, der opbevares som digitale kopier, på serveren på Selskabets hovedkontor.

Alle administrative og tekniske foranstaltninger, som Selskabet har truffet inden for rammerne af principperne i Lovens artikel 12 for at sikre sikker opbevaring af dine personoplysninger, forhindre ulovlig behandling og adgang samt sikre lovlig destruktion af oplysningerne, er anført nedenfor.

Administrative foranstaltninger

Inden for rammerne af de administrative foranstaltninger:

• begrænser Selskabet den interne adgang til opbevarede personoplysninger til det personale, der har brug for adgang i kraft af sin jobbeskrivelse. Ved begrænsning af adgangen tages der også hensyn til, om oplysningerne tilhører særlige kategorier, og til deres betydning.
• underretter Selskabet hurtigst muligt den berørte og Rådet, hvis behandlede personoplysninger indhentes ulovligt af andre.
• sikrer Selskabet datasikkerheden ved deling af personoplysninger ved at indgå rammeaftaler om beskyttelse af personoplysninger og datasikkerhed med de personer, oplysningerne deles med, eller ved bestemmelser, der tilføjes de eksisterende aftaler.
• ansætter Selskabet personale med viden om og erfaring med behandling af personoplysninger og giver personalet den nødvendige uddannelse i lovgivningen om beskyttelse af personoplysninger og datasikkerhed.
• udfører og får Selskabet udført de nødvendige revisioner for at sikre anvendelsen af Lovens bestemmelser inden for sin egen juridiske enhed og afhjælper de svagheder i fortrolighed og sikkerhed, som revisionerne afdækker.
• sikrer Selskabet, at der træffes tilstrækkelige sikkerhedsforanstaltninger (mod elektrisk lækage, brand, oversvømmelse, tyveri m.v.) afhængigt af det miljø, hvor personoplysningerne befinder sig, og forhindrer uautoriseret adgang til disse miljøer.

Tekniske foranstaltninger

Inden for rammerne af de tekniske foranstaltninger:

• udfører Selskabet de nødvendige interne kontroller inden for de etablerede systemer.
• gennemfører Selskabet processerne for it-risikovurdering og analyse af forretningsmæssige konsekvenser inden for de etablerede systemer.
• sikrer Selskabet, at der tilvejebringes teknisk infrastruktur, der forhindrer eller overvåger, at data lækker ud af organisationen, og at de relevante matricer oprettes.
• sikrer Selskabet kontrol af systemsvagheder ved regelmæssigt og efter behov at indkøbe penetrationstest.
• sikrer Selskabet, at it-medarbejdernes adgangsrettigheder til personoplysninger holdes under kontrol.
• sikrer Selskabet, at destruktion af personoplysninger sker på en måde, der ikke kan genoprettes og ikke efterlader revisionsspor.
• beskytter Selskabet i henhold til Lovens artikel 12 alle digitale miljøer, hvor personoplysninger opbevares, med kryptering eller kryptografiske metoder, der opfylder kravene til informationssikkerhed.
• sikrer Selskabet sikker logning af transaktionsregistreringer for alle bevægelser i særlige kategorier af personoplysninger.
• følger Selskabet løbende sikkerhedsopdateringer for de miljøer, hvor oplysningerne befinder sig, og sikrer, at de nødvendige sikkerhedstests udføres regelmæssigt.
• foretager Selskabet brugerautorisation for software, hvorigennem der er adgang til særlige kategorier af personoplysninger, og sikrer, at sikkerhedstests af denne software udføres regelmæssigt.
• stiller Selskabet et system med mindst to-faktor-autentificering til rådighed, når der kræves fjernadgang til særlige kategorier af personoplysninger.

Når særlige kategorier af personoplysninger videregives, sikrer Selskabet:

• at oplysningerne, hvis de skal sendes pr. e-mail, sendes krypteret via en virksomheds-e-mailadresse eller via en registreret elektronisk postkonto (KEP),
• at oplysningerne krypteres med kryptografiske metoder, hvis de skal overføres via medier som USB-hukommelse, cd eller dvd,
• at overførslen sker via VPN mellem serverne eller med SFTP, hvis der overføres mellem servere i forskellige fysiske miljøer,
• at dokumenterne sendes i formatet "fortrolighedsklassificerede dokumenter", hvis oplysningerne skal overføres på papir.

Opgaver og beføjelser for udvalget for beskyttelse af personoplysninger

Udvalget for beskyttelse af personoplysninger er ansvarligt for at meddele Politikken til de relevante forretningsenheder og følge op på, at dens krav opfyldes. Udvalget for beskyttelse af personoplysninger foretager de nødvendige meddelelser og underretninger, så de relevante forretningsenheder kan følge ændringer i lovgivningen om beskyttelse af personoplysninger, Rådets regulerende handlinger og afgørelser, domstolsafgørelser eller ændringer i processer, praksis og systemer og om nødvendigt opdatere deres forretningsprocesser; udvalget fastlægger processerne for gennemgang, vurdering, opfølgning og afslutning af Loven og dens sekundære regulering, Rådets afgørelser og reguleringer, domstolsafgørelser samt afgørelser og/eller anmodninger fra andre kompetente myndigheder og meddeler dem til de relevante enheder.

Politikkens ikrafttræden, overtrædelser og sanktioner

Denne Politik træder i kraft ved meddelelse til alle medarbejdere og er fra ikrafttrædelsen bindende for alle forretningsenheder, konsulenter, eksterne tjenesteudbydere og alle, der behandler personoplysninger.

Opfølgningen på, om medarbejderne opfylder Politikkens krav, er de pågældende medarbejderes overordnedes ansvar. Konstateres der adfærd i strid med Politikken, indberettes sagen straks af den pågældende medarbejders overordnede til den nærmeste højere overordnede. Er overtrædelsen af væsentligt omfang, underretter den højere overordnede uden ophold udvalget for beskyttelse af personoplysninger.

Over for medarbejdere, der handler i strid med Politikken, iværksættes de nødvendige administrative skridt efter en vurdering foretaget af HR-afdelingen.

Bilag 1: Tabel over opbevarings- og destruktionsperioder for personoplysninger

Personoplysninger opbevares i de perioder, der er angivet i nedenstående tabel, under hensyntagen til bestemmelserne i Politikkens relevante punkter, og anonymiseres eller destrueres ved periodens udløb:

Hvis Selskabets formål med at anvende den pågældende personoplysning ikke er ophørt, hvis den opbevaringsperiode, som den relevante lovgivning foreskriver for den pågældende personoplysning, er længere end perioderne i tabellen, eller hvis forældelsesfristen for sager vedrørende det pågældende emne kræver, at personoplysningen opbevares længere end perioderne i tabellen, finder perioderne i ovenstående tabel muligvis ikke anvendelse. I så fald gælder den periode, der udløber senest, af anvendelsesformålet, den særlige lovgivning eller forældelsesfristen.

Anmodning fra den registrerede

For at gøre brug af dine rettigheder efter KVKK kan du rekvirere ansøgningsformularen for registrerede hos Selskabets HR-afdeling og sende den udfyldte formular skriftligt til Selskabets adresse eller til e-mailadressen ik@hcorganize.com. Anmodninger behandles gratis og afsluttes senest inden 30 dage.