Politique de conservation et de suppression des données personnelles

Objet et champ d'application

Cette traduction est fournie à titre informatif. La version turque fait foi juridiquement.

La présente Politique de conservation et de suppression des données personnelles (la « Politique ») a été établie par HC ORGANİZE TEKSTİL SAN. TİC. LTD. ŞTİ. (la « Société »), en qualité de responsable du traitement, afin de remplir nos obligations au titre de la loi turque n° 6698 sur la protection des données personnelles (la « Loi ») et du Règlement sur l'effacement, la destruction ou l'anonymisation des données personnelles (le « Règlement »), qui constitue la réglementation d'application de la Loi, et d'informer les personnes concernées des principes de détermination de la durée maximale de conservation nécessaire aux finalités du traitement de leurs données personnelles ainsi que des processus d'effacement, de destruction et d'anonymisation.

Définitions

• Consentement explicite : consentement relatif à un sujet déterminé, fondé sur une information préalable et exprimé librement.
• Utilisateur concerné : personnes qui traitent des données personnelles au sein de l'organisation du responsable du traitement ou conformément aux pouvoirs et instructions reçus de celui-ci, à l'exclusion de la personne ou de l'unité chargée du stockage technique, de la protection et de la sauvegarde des données.
• Suppression : effacement, destruction ou anonymisation des données personnelles.
• Support d'enregistrement : tout support contenant des données personnelles traitées par des moyens entièrement ou partiellement automatisés, ou par des moyens non automatisés à condition de faire partie d'un système d'enregistrement de données.
• Traitement des données personnelles : toute opération effectuée sur des données, telle que l'obtention, l'enregistrement, le stockage, la conservation, la modification, la réorganisation, la divulgation, le transfert, la reprise, la mise à disposition, la classification ou le blocage de l'utilisation des données personnelles, par des moyens entièrement ou partiellement automatisés, ou par des moyens non automatisés à condition de faire partie d'un système d'enregistrement de données.
• Anonymisation des données personnelles : le fait de rendre les données personnelles impossibles à associer, en aucune manière, à une personne physique identifiée ou identifiable, même par recoupement avec d'autres données.
• Effacement des données personnelles : le fait de rendre les données personnelles inaccessibles et inutilisables de quelque manière que ce soit pour les Utilisateurs concernés.
• Destruction des données personnelles : opération consistant à rendre les données personnelles inaccessibles, irrécupérables et inutilisables par quiconque et de quelque manière que ce soit.
• Conseil : le Conseil de protection des données personnelles.
• Suppression périodique : opération d'effacement, de destruction ou d'anonymisation effectuée d'office, à intervalles réguliers définis dans la politique de conservation et de suppression des données personnelles, lorsque toutes les conditions de traitement des données personnelles prévues par la Loi ont disparu.
• Personne concernée : personne physique dont les données personnelles sont traitées.

Principes

La Société agit selon les principes suivants pour la conservation et la suppression des données personnelles :

• L'effacement, la destruction et l'anonymisation des données personnelles sont effectués en pleine conformité avec la Loi, les dispositions de la législation applicable, les décisions du Conseil et la présente Politique.
• Toutes les opérations relatives à l'effacement, à la destruction et à l'anonymisation des données personnelles sont consignées par la Société, et ces enregistrements sont conservés pendant au moins 5 (cinq) ans, sans préjudice des autres obligations légales.
• Sauf décision contraire du Conseil, nous choisissons la méthode appropriée parmi l'effacement, la destruction ou l'anonymisation d'office des données personnelles. Toutefois, à la demande de la Personne concernée, la méthode appropriée sera choisie en en expliquant les motifs.
• Lorsque toutes les conditions de traitement des données personnelles prévues aux articles 5 et 6 de la Loi ont disparu, les données personnelles sont effacées, détruites ou anonymisées par la Société d'office ou à la demande de la personne concernée.

En cas de demande adressée à la Société par la Personne concernée à ce sujet, les demandes transmises reçoivent une réponse dans un délai maximal de 30 (trente) jours ; si les données faisant l'objet de la demande ont été transférées à des tiers, ceux-ci en sont informés et il est veillé à ce que les opérations nécessaires soient effectuées auprès d'eux.

Explications relatives aux motifs de conservation et de suppression

Les données personnelles des personnes concernées sont conservées par la Société dans les limites prévues par la Loi et les autres législations applicables, notamment pour (1) la poursuite des activités commerciales, (2) l'exécution des obligations légales, (3) la planification et l'exécution des droits et avantages des salariés. Les motifs de conservation sont les suivants :

• la conservation des données personnelles en raison de leur lien direct avec la conclusion et l'exécution de contrats,
• la conservation des données personnelles aux fins d'établissement, d'exercice ou de protection d'un droit,
• la nécessité de conserver les données personnelles pour les intérêts légitimes de la Société, à condition de ne pas porter atteinte aux droits et libertés fondamentaux des personnes,
• la conservation des données personnelles aux fins d'exécution d'une obligation légale de la Société,
• la conservation des données personnelles expressément prévue par la législation,
• l'existence du consentement explicite des personnes concernées pour les activités de conservation qui le requièrent.

Conformément au Règlement, dans les cas énumérés ci-dessous, les données personnelles des personnes concernées sont effacées, détruites ou anonymisées par la Société d'office ou sur demande :

• lorsque cela devient nécessaire en raison de la modification ou de l'abrogation des dispositions de la législation constituant le fondement du traitement ou de la conservation des données personnelles,
• lorsque la finalité justifiant le traitement ou la conservation des données personnelles a disparu,
• lorsque les conditions requises pour le traitement des données personnelles prévues aux articles 5 et 6 de la Loi ont disparu,
• lorsque la personne concernée retire son consentement, dans les cas où le traitement des données personnelles repose uniquement sur le consentement explicite,
• lorsque le responsable du traitement accepte la demande d'effacement, de destruction ou d'anonymisation de ses données personnelles présentée par la personne concernée dans le cadre des droits prévus à l'article 11 de la Loi,
• lorsque le responsable du traitement rejette la demande d'effacement, de destruction ou d'anonymisation présentée par la personne concernée, que sa réponse est jugée insuffisante ou qu'il ne répond pas dans le délai prévu par la Loi, et qu'une plainte est déposée auprès du Conseil et jugée fondée par celui-ci,
• lorsque, bien que la durée maximale de conservation des données personnelles soit écoulée, il n'existe aucune condition justifiant une conservation plus longue.

Durées de conservation et de suppression

Pour déterminer les durées de conservation et de suppression de vos données personnelles obtenues par la Société conformément à la Loi et aux autres législations applicables, les critères suivants sont appliqués dans l'ordre indiqué :

1. Si la législation prévoit une durée de conservation pour la donnée personnelle en question, cette durée est respectée. À l'expiration de cette durée, la donnée est traitée conformément au point suivant.
2. À l'expiration de la durée de conservation prévue par la législation, ou lorsque la législation applicable ne prévoit aucune durée de conservation pour la donnée en question, successivement : les données personnelles sont classées en données personnelles et en données personnelles sensibles, sur la base de la définition figurant à l'article 6 de la Loi. Toutes les données personnelles identifiées comme sensibles sont supprimées. La méthode de suppression appliquée est déterminée en fonction de la nature de la donnée et du degré d'importance de sa conservation pour la Société.
3. La conformité de la conservation de la donnée aux principes énoncés à l'article 4 de la Loi est examinée ; par exemple, il est vérifié si la Société a un intérêt légitime à conserver la donnée. Les données dont la conservation pourrait contrevenir aux principes de l'article 4 de la Loi sont effacées, détruites ou anonymisées.
4. Il est déterminé sous laquelle ou lesquelles des exceptions prévues aux articles 5 et 6 de la Loi la conservation de la donnée peut être appréciée. Dans le cadre des exceptions identifiées, les durées raisonnables de conservation des données sont déterminées. À l'expiration de ces durées, les données sont effacées, détruites ou anonymisées.

Les durées de conservation, de suppression et de suppression périodique déterminées par la Société figurent en annexe de la présente Politique. Les données personnelles dont la durée de conservation est écoulée sont anonymisées ou supprimées, conformément aux procédures prévues dans la présente Politique, par périodes de 6 (six) mois, dans le cadre des délais de suppression figurant en annexe. Toutes les opérations relatives à l'effacement, à la destruction et à l'anonymisation des données personnelles sont consignées, et ces enregistrements sont conservés pendant au moins 5 (cinq) ans, sans préjudice des autres obligations légales.

Procédures, mesures techniques et administratives relatives à la conservation et à la suppression des données personnelles

Les données personnelles collectées lorsque leur traitement est nécessaire à l'exécution des obligations qui incombent à notre Société dans le cadre de l'emploi, à l'établissement d'un droit, au service client, à l'exercice des droits des consommateurs et à l'accès à d'autres prestations et/ou à l'exécution des responsabilités et obligations commerciales, financières et juridiques qui y sont liées, à la sécurité de notre Société ou aux intérêts légitimes de notre Société, sont enregistrées dans le système. En outre, toutes les données conservées sous forme de copie numérique sont enregistrées sur le serveur situé au siège de la Société.

Afin d'assurer la conservation sécurisée de vos données personnelles, de prévenir leur traitement et leur accès illicites et de garantir leur suppression conforme à la loi, l'ensemble des mesures administratives et techniques prises par la Société dans le cadre des principes de l'article 12 de la Loi est énuméré ci-dessous.

Mesures administratives

Dans le cadre des mesures administratives, la Société :

• limite l'accès interne aux données personnelles conservées au personnel dont la fonction exige cet accès. La limitation de l'accès tient également compte du caractère sensible ou non de la donnée et de son degré d'importance.
• en cas d'obtention illicite des données personnelles traitées par des tiers, en informe dans les plus brefs délais la personne concernée et le Conseil.
• en matière de partage des données personnelles, signe avec les personnes destinataires un contrat-cadre relatif à la protection des données personnelles et à la sécurité des données, ou assure la sécurité des données par des clauses ajoutées au contrat existant.
• emploie un personnel informé et expérimenté en matière de traitement des données personnelles et dispense à son personnel les formations nécessaires sur la législation relative à la protection des données personnelles et sur la sécurité des données.
• réalise et fait réaliser les audits nécessaires pour assurer l'application des dispositions de la Loi au sein de sa propre personne morale. Elle remédie aux failles de confidentialité et de sécurité révélées par les audits.
• veille à ce que des mesures de sécurité suffisantes soient prises selon le support contenant les données personnelles (contre les fuites électriques, les incendies, les inondations, les vols, etc.) et empêche les entrées et sorties non autorisées dans ces environnements.

Mesures techniques

Dans le cadre des mesures techniques, la Société :

• effectue les contrôles internes nécessaires dans le cadre des systèmes mis en place.
• conduit les processus d'évaluation des risques des technologies de l'information et d'analyse d'impact sur l'activité dans le cadre des systèmes mis en place.
• assure la mise en place de l'infrastructure technique permettant d'empêcher ou de surveiller les fuites de données hors de l'entreprise, ainsi que l'établissement des matrices correspondantes.
• assure le contrôle des vulnérabilités des systèmes en recourant régulièrement et en cas de besoin à des services de tests d'intrusion.
• veille à ce que les droits d'accès aux données personnelles des employés des unités informatiques soient maintenus sous contrôle.
• assure la destruction des données personnelles de manière irréversible et sans laisser de trace d'audit.
• conformément à l'article 12 de la Loi, protège tout support numérique contenant des données personnelles par des méthodes de chiffrement ou de cryptographie répondant aux exigences de sécurité de l'information.
• assure la journalisation sécurisée de toutes les opérations effectuées sur les données personnelles sensibles.
• suit en permanence les mises à jour de sécurité des environnements contenant les données et fait réaliser régulièrement les tests de sécurité nécessaires.
• lorsque les données personnelles sensibles sont accessibles via un logiciel, effectue les habilitations des utilisateurs de ce logiciel et fait réaliser régulièrement ses tests de sécurité.
• lorsqu'un accès à distance aux données personnelles sensibles est nécessaire, met en place un système d'authentification à au moins deux facteurs.

En cas de transfert de données personnelles sensibles, la Société veille :

• si les données doivent être transférées par e-mail, à ce qu'elles soient transmises sous forme chiffrée via une adresse e-mail d'entreprise ou un compte KEP (courrier électronique recommandé),
• si les données doivent être transférées par des supports tels que des clés USB, CD ou DVD, à ce qu'elles soient chiffrées par des méthodes cryptographiques,
• si le transfert s'effectue entre des serveurs situés dans des environnements physiques différents, à ce qu'il soit réalisé via un VPN établi entre les serveurs ou par SFTP,
• si les données doivent être transférées sur support papier, à ce que le document soit envoyé au format « documents classifiés ».

Missions et pouvoirs du Comité de protection des données personnelles

Le Comité de protection des données personnelles est chargé de communiquer la Politique aux unités opérationnelles concernées et de suivre la mise en œuvre de ses exigences. Le Comité effectue les annonces et notifications nécessaires afin que les unités concernées suivent les évolutions telles que les modifications de la législation relative à la protection des données personnelles, les actes réglementaires et décisions du Conseil, les décisions de justice ou les changements de processus, de pratiques et de systèmes, et mettent à jour si nécessaire leurs processus ; il définit et communique aux unités concernées les processus d'examen, d'évaluation, de suivi et de finalisation de la Loi et de ses règlements d'application, des décisions et réglementations du Conseil, des décisions de justice et des décisions et/ou demandes des autres autorités compétentes.

Entrée en vigueur de la Politique, cas de violation et sanctions

La présente Politique entrera en vigueur après avoir été communiquée à l'ensemble des salariés et, dès son entrée en vigueur, elle sera contraignante pour toutes les unités opérationnelles, les consultants, les prestataires de services externes et toute personne traitant des données personnelles.

Le suivi du respect des exigences de la Politique par les salariés relève de la responsabilité de leurs supérieurs hiérarchiques. En cas de constatation d'un comportement contraire à la Politique, le supérieur du salarié concerné en informe immédiatement le supérieur hiérarchique de niveau supérieur. Si la violation est d'une gravité importante, le supérieur de niveau supérieur en informe sans délai le Comité de protection des données personnelles.

À l'égard du salarié ayant agi en violation de la Politique, la mesure administrative nécessaire sera prise après évaluation par les Ressources humaines.

ANNEXE 1 : Tableau des durées de conservation et de suppression des données personnelles

Les données personnelles sont conservées pendant les durées indiquées dans le tableau ci-dessous, compte tenu des éléments précisés dans les articles pertinents de la Politique, puis anonymisées ou détruites à l'expiration de ces durées :

Si la finalité d'utilisation de la donnée personnelle par la Société n'a pas pris fin, si la durée de conservation prévue par la législation applicable pour cette donnée est supérieure aux durées du tableau, ou si le délai de prescription de l'action relative au sujet concerné exige une conservation plus longue que celle du tableau, les durées indiquées ci-dessus pourront ne pas s'appliquer. Dans ce cas, c'est la durée qui expire en dernier, entre la finalité d'utilisation, la législation spéciale et le délai de prescription, qui s'applique.

Demande de la personne concernée

Pour exercer vos droits au titre de la KVKK, vous pouvez demander le Formulaire de demande de la personne concernée auprès du service des ressources humaines de notre Société ; vous pouvez ensuite transmettre le formulaire rempli par écrit à l'adresse de notre Société ou par e-mail à ik@hcorganize.com. Les demandes sont traitées gratuitement dans un délai maximal de 30 jours.