Bewaar- en vernietigingsbeleid persoonsgegevens

Doel en reikwijdte

Deze vertaling is bedoeld ter informatie. De Turkse tekst is juridisch bindend.

Dit Bewaar- en Vernietigingsbeleid Persoonsgegevens ("Beleid") is opgesteld door HC ORGANİZE TEKSTİL SAN. TİC. LTD. ŞTİ. ("Vennootschap") in haar hoedanigheid van verwerkingsverantwoordelijke, om te voldoen aan onze verplichtingen op grond van de Wet nr. 6698 inzake de Bescherming van Persoonsgegevens ("Wet") en de Verordening inzake het Wissen, Vernietigen of Anonimiseren van Persoonsgegevens ("Verordening"), die de secundaire regelgeving bij de Wet vormt, en om betrokkenen te informeren over de beginselen voor het bepalen van de maximale bewaartermijn die nodig is voor het doel waarvoor uw persoonsgegevens worden verwerkt, en over de procedures voor wissen, vernietigen en anonimiseren.

Definities

• Uitdrukkelijke toestemming: toestemming over een specifiek onderwerp, gebaseerd op informatie en vrijelijk gegeven.
• Betrokken gebruiker: personen die persoonsgegevens verwerken binnen de organisatie van de verwerkingsverantwoordelijke of op basis van de bevoegdheid en instructie van de verwerkingsverantwoordelijke, met uitzondering van de persoon of eenheid die verantwoordelijk is voor de technische opslag, bescherming en back-up van de gegevens.
• Vernietiging: het wissen, vernietigen of anonimiseren van persoonsgegevens.
• Opslagmedium: elk medium waarin persoonsgegevens zich bevinden die geheel of gedeeltelijk geautomatiseerd worden verwerkt, of niet-geautomatiseerd worden verwerkt op voorwaarde dat zij deel uitmaken van een gegevensregistratiesysteem.
• Verwerking van persoonsgegevens: elke bewerking die op gegevens wordt uitgevoerd, zoals het verkrijgen, registreren, opslaan, bewaren, wijzigen, herordenen, bekendmaken, doorgeven, overnemen, beschikbaar maken, classificeren of het verhinderen van het gebruik van persoonsgegevens, geheel of gedeeltelijk geautomatiseerd of niet-geautomatiseerd op voorwaarde dat zij deel uitmaken van een gegevensregistratiesysteem.
• Anonimisering van persoonsgegevens: het zodanig bewerken van persoonsgegevens dat zij op geen enkele wijze, zelfs niet door koppeling met andere gegevens, in verband kunnen worden gebracht met een geïdentificeerde of identificeerbare natuurlijke persoon.
• Wissen van persoonsgegevens: het zodanig bewerken van persoonsgegevens dat zij op geen enkele wijze toegankelijk of herbruikbaar zijn voor de betrokken gebruikers.
• Vernietigen van persoonsgegevens: het zodanig bewerken van persoonsgegevens dat zij door niemand op enigerlei wijze toegankelijk, herstelbaar of herbruikbaar zijn.
• Autoriteit: de Turkse Autoriteit voor de Bescherming van Persoonsgegevens (Kişisel Verileri Koruma Kurulu).
• Periodieke vernietiging: het wissen, vernietigen of anonimiseren dat ambtshalve en met terugkerende tussenpozen wordt uitgevoerd zoals bepaald in het bewaar- en vernietigingsbeleid, wanneer alle in de Wet genoemde voorwaarden voor de verwerking van persoonsgegevens zijn komen te vervallen.
• Betrokkene: de natuurlijke persoon wiens persoonsgegevens worden verwerkt.

Beginselen

Bij het bewaren en vernietigen van persoonsgegevens handelt de Vennootschap volgens de onderstaande beginselen:

• Bij het wissen, vernietigen en anonimiseren van persoonsgegevens wordt volledig gehandeld in overeenstemming met de Wet en de relevante wettelijke bepalingen, de besluiten van de Autoriteit en dit Beleid.
• Alle handelingen met betrekking tot het wissen, vernietigen en anonimiseren van persoonsgegevens worden door de Vennootschap geregistreerd en deze registraties worden, met uitzondering van andere wettelijke verplichtingen, ten minste 5 (vijf) jaar bewaard.
• Tenzij de Autoriteit anders beslist, kiezen wij zelf de passende methode voor het ambtshalve wissen, vernietigen of anonimiseren van persoonsgegevens. Op verzoek van de betrokkene wordt de passende methode echter gekozen met toelichting van de reden.
• Wanneer alle in de artikelen 5 en 6 van de Wet genoemde voorwaarden voor de verwerking van persoonsgegevens zijn komen te vervallen, worden de persoonsgegevens door de Vennootschap ambtshalve of op verzoek van de betrokkene gewist, vernietigd of geanonimiseerd.

Indien de betrokkene zich hierover tot de Vennootschap wendt, worden de ingediende verzoeken uiterlijk binnen 30 (dertig) dagen beantwoord; indien de gegevens waarop het verzoek betrekking heeft aan derden zijn doorgegeven, wordt dit meegedeeld aan de derde aan wie de gegevens zijn doorgegeven en wordt ervoor gezorgd dat de nodige handelingen bij die derden worden uitgevoerd.

Toelichting op de redenen die bewaring en vernietiging vereisen

Persoonsgegevens van betrokkenen worden door de Vennootschap bewaard binnen de grenzen van de Wet en andere relevante wetgeving, in het bijzonder voor (1) de voortzetting van de commerciële activiteiten, (2) het nakomen van wettelijke verplichtingen, (3) het plannen en uitvoeren van de rechten en secundaire arbeidsvoorwaarden van werknemers. De redenen die bewaring vereisen zijn de volgende:

• Bewaring van persoonsgegevens omdat zij rechtstreeks verband houden met het sluiten en uitvoeren van overeenkomsten,
• Bewaring van persoonsgegevens met het oog op het vestigen, uitoefenen of beschermen van een recht,
• Bewaring van persoonsgegevens die noodzakelijk is voor de gerechtvaardigde belangen van de Vennootschap, op voorwaarde dat de fundamentele rechten en vrijheden van personen niet worden geschaad,
• Bewaring van persoonsgegevens om enige wettelijke verplichting van de Vennootschap na te komen,
• Uitdrukkelijke wettelijke voorschriften voor het bewaren van persoonsgegevens,
• De aanwezigheid van de uitdrukkelijke toestemming van betrokkenen voor bewaaractiviteiten waarvoor uitdrukkelijke toestemming vereist is.

Overeenkomstig de Verordening worden persoonsgegevens van betrokkenen in de onderstaande gevallen door de Vennootschap ambtshalve of op verzoek gewist, vernietigd of geanonimiseerd:

• Wanneer dit noodzakelijk is door wijziging of intrekking van de wettelijke bepalingen die de grondslag vormen voor de verwerking of bewaring van persoonsgegevens,
• Wanneer het doel dat de verwerking of bewaring van persoonsgegevens vereist, is komen te vervallen,
• Wanneer de voorwaarden voor de verwerking van persoonsgegevens in de artikelen 5 en 6 van de Wet zijn komen te vervallen,
• Wanneer de betrokkene zijn toestemming intrekt in gevallen waarin de verwerking van persoonsgegevens uitsluitend op basis van uitdrukkelijke toestemming plaatsvindt,
• Wanneer het verzoek van de betrokkene tot het wissen, vernietigen of anonimiseren van zijn persoonsgegevens in het kader van zijn rechten uit artikel 11 van de Wet door de verwerkingsverantwoordelijke wordt aanvaard,
• Wanneer de verwerkingsverantwoordelijke het verzoek van de betrokkene tot het wissen, vernietigen of anonimiseren van zijn persoonsgegevens afwijst, zijn antwoord ontoereikend wordt bevonden of hij niet binnen de wettelijke termijn antwoordt; er een klacht wordt ingediend bij de Autoriteit en dit verzoek door de Autoriteit gegrond wordt bevonden,
• Wanneer de maximale bewaartermijn voor persoonsgegevens is verstreken en er geen enkele voorwaarde bestaat die een langere bewaring van de persoonsgegevens rechtvaardigt.

Bewaar- en vernietigingstermijnen

Bij het bepalen van de bewaar- en vernietigingstermijnen van uw persoonsgegevens, die door de Vennootschap zijn verkregen in overeenstemming met de Wet en andere relevante wetgeving, worden achtereenvolgens de volgende criteria gehanteerd:

1. Indien de wetgeving een termijn voorschrijft voor het bewaren van de betreffende persoonsgegevens, wordt deze termijn in acht genomen. Na afloop van die termijn worden de gegevens behandeld volgens het volgende punt.
2. Indien de in de wetgeving voorgeschreven bewaartermijn voor de betreffende persoonsgegevens is verstreken of de wetgeving geen termijn voor het bewaren ervan voorschrijft, worden de persoonsgegevens achtereenvolgens geclassificeerd als persoonsgegevens en bijzondere persoonsgegevens op basis van de definitie in artikel 6 van de Wet. Alle persoonsgegevens die als bijzonder zijn aangemerkt, worden vernietigd. De bij de vernietiging toe te passen methode wordt bepaald op basis van de aard van de gegevens en het belang van de bewaring ervan voor de Vennootschap.
3. Er wordt nagegaan of de bewaring van de gegevens in overeenstemming is met de beginselen van artikel 4 van de Wet, bijvoorbeeld of de Vennootschap een gerechtvaardigd doel heeft voor de bewaring. Gegevens waarvan is vastgesteld dat de bewaring in strijd kan zijn met de beginselen van artikel 4 van de Wet, worden gewist, vernietigd of geanonimiseerd.
4. Er wordt vastgesteld onder welke van de in de artikelen 5 en 6 van de Wet voorziene uitzonderingen de bewaring van de gegevens kan worden beoordeeld. In het kader van de vastgestelde uitzonderingen worden de redelijke termijnen bepaald gedurende welke de gegevens moeten worden bewaard. Na afloop van deze termijnen worden de gegevens gewist, vernietigd of geanonimiseerd.

De door de Vennootschap vastgestelde bewaar-, vernietigings- en periodieke vernietigingstermijnen vindt u in de bijlage bij dit Beleid. Persoonsgegevens waarvan de bewaartermijn is verstreken, worden in het kader van de in de bijlage bij dit Beleid vermelde vernietigingstermijnen, met tussenpozen van 6 (zes) maanden en volgens de in dit Beleid beschreven procedures, geanonimiseerd of vernietigd. Alle handelingen met betrekking tot het wissen, vernietigen en anonimiseren van persoonsgegevens worden geregistreerd en deze registraties worden, met uitzondering van andere wettelijke verplichtingen, ten minste 5 (vijf) jaar bewaard.

Procedures, technische en administratieve maatregelen voor het bewaren en vernietigen van persoonsgegevens

Persoonsgegevens die worden verzameld voor het nakomen van de verplichtingen van onze Vennootschap in het kader van de tewerkstelling, wanneer gegevensverwerking noodzakelijk is voor het vestigen van een recht, voor klantenservice, consumentenrechten en andere mogelijkheden waarvan u gebruik kunt maken en/of het nakomen van de daarmee samenhangende commerciële, financiële en juridische verantwoordelijkheden en verplichtingen, het waarborgen van de veiligheid van onze Vennootschap of wanneer de verwerking van uw persoonsgegevens noodzakelijk is voor de gerechtvaardigde doeleinden van onze Vennootschap, worden in het systeem verwerkt. Daarnaast worden alle gegevens die in digitale vorm worden bewaard, opgeslagen op de server op het hoofdkantoor van de Vennootschap.

Alle administratieve en technische maatregelen die de Vennootschap heeft genomen in het kader van de beginselen van artikel 12 van de Wet, om uw persoonsgegevens veilig te bewaren, onrechtmatige verwerking en toegang te voorkomen en de gegevens rechtmatig te vernietigen, zijn hieronder opgesomd.

Administratieve maatregelen

In het kader van de administratieve maatregelen:

• beperkt de Vennootschap de interne toegang tot bewaarde persoonsgegevens tot het personeel dat op grond van zijn functieomschrijving toegang nodig heeft. Bij het beperken van de toegang wordt ook rekening gehouden met de vraag of de gegevens bijzonder zijn en met hun belang.
• meldt de Vennootschap, indien verwerkte persoonsgegevens op onrechtmatige wijze door anderen zijn verkregen, dit zo snel mogelijk aan de betrokkene en aan de Autoriteit.
• sluit de Vennootschap met betrekking tot het delen van persoonsgegevens kaderovereenkomsten inzake de bescherming van persoonsgegevens en gegevensbeveiliging met de personen met wie persoonsgegevens worden gedeeld, of waarborgt zij de gegevensbeveiliging via bepalingen die aan de bestaande overeenkomst worden toegevoegd.
• neemt de Vennootschap personeel in dienst dat deskundig en ervaren is op het gebied van de verwerking van persoonsgegevens en geeft zij haar personeel de nodige opleidingen over de wetgeving inzake de bescherming van persoonsgegevens en gegevensbeveiliging.
• voert de Vennootschap de nodige audits uit of laat deze uitvoeren om de toepassing van de bepalingen van de Wet binnen haar eigen rechtspersoon te waarborgen. Zij verhelpt de vertrouwelijkheids- en beveiligingslacunes die uit de audits naar voren komen.
• zorgt de Vennootschap ervoor dat, afhankelijk van het medium waarin persoonsgegevens zich bevinden, voldoende beveiligingsmaatregelen worden genomen (tegen elektrische lekkage, brand, overstroming, diefstal enz.) en verhindert zij onbevoegde toegang tot deze omgevingen.

Technische maatregelen

In het kader van de technische maatregelen:

• voert de Vennootschap de nodige interne controles uit binnen de opgezette systemen.
• voert de Vennootschap binnen de opgezette systemen de processen uit voor de risicobeoordeling van informatietechnologie en de bedrijfsimpactanalyse.
• zorgt de Vennootschap voor de technische infrastructuur die het weglekken van gegevens buiten de organisatie verhindert of bewaakt, en voor het opstellen van de bijbehorende matrices.
• laat de Vennootschap regelmatig en wanneer nodig penetratietests uitvoeren om systeemkwetsbaarheden te controleren.
• zorgt de Vennootschap ervoor dat de toegangsrechten tot persoonsgegevens van medewerkers van de IT-afdelingen onder controle worden gehouden.
• zorgt de Vennootschap ervoor dat de vernietiging van persoonsgegevens onomkeerbaar is en geen controlespoor achterlaat.
• beschermt de Vennootschap overeenkomstig artikel 12 van de Wet alle digitale media waarin persoonsgegevens worden bewaard met versleuteling of cryptografische methoden die voldoen aan de eisen van informatiebeveiliging.
• zorgt de Vennootschap ervoor dat de transactielogboeken van alle handelingen met bijzondere persoonsgegevens veilig worden bijgehouden.
• volgt de Vennootschap voortdurend de beveiligingsupdates van de media waarin de gegevens zich bevinden en laat zij de nodige beveiligingstests regelmatig uitvoeren.
• voert de Vennootschap, wanneer bijzondere persoonsgegevens via software toegankelijk zijn, de gebruikersautorisaties voor die software uit en laat zij de beveiligingstests van die software regelmatig uitvoeren.
• voorziet de Vennootschap in een authenticatiesysteem met ten minste twee stappen wanneer op afstand toegang tot bijzondere persoonsgegevens nodig is.

Wanneer bijzondere persoonsgegevens worden doorgegeven, zorgt de Vennootschap ervoor dat:

• indien de gegevens per e-mail moeten worden doorgegeven, dit versleuteld gebeurt via een zakelijk e-mailadres of via een geregistreerd elektronisch postadres (KEP),
• indien de gegevens via media zoals USB-sticks, cd's of dvd's moeten worden doorgegeven, deze met cryptografische methoden worden versleuteld,
• indien de doorgifte plaatsvindt tussen servers in verschillende fysieke omgevingen, dit gebeurt via een VPN tussen de servers of via SFTP,
• indien de gegevens op papier moeten worden doorgegeven, het document wordt verzonden in de vorm van "vertrouwelijke documenten".

Taken en bevoegdheden van het Comité voor de Bescherming van Persoonsgegevens

Het Comité voor de Bescherming van Persoonsgegevens is verantwoordelijk voor het bekendmaken van het Beleid aan de betrokken bedrijfsonderdelen en voor het toezicht op de naleving ervan. Het Comité voor de Bescherming van Persoonsgegevens doet de nodige aankondigingen en kennisgevingen zodat de betrokken bedrijfsonderdelen ontwikkelingen volgen, zoals wijzigingen in de wetgeving inzake de bescherming van persoonsgegevens, regelgevende handelingen en besluiten van de Autoriteit, rechterlijke uitspraken of wijzigingen in processen, toepassingen en systemen, en indien nodig hun bedrijfsprocessen bijwerken; het bepaalt de processen voor het onderzoeken, beoordelen, opvolgen en afronden van de Wet en de secundaire regelgeving, de besluiten en regelingen van de Autoriteit, rechterlijke uitspraken en besluiten en/of verzoeken van andere bevoegde instanties, en maakt deze bekend aan de betrokken onderdelen.

Inwerkingtreding van het Beleid, inbreuken en sancties

Dit Beleid treedt in werking door bekendmaking aan alle medewerkers en is vanaf de inwerkingtreding bindend voor alle bedrijfsonderdelen, adviseurs, externe dienstverleners en iedereen die persoonsgegevens verwerkt.

Het toezicht op de naleving van het Beleid door medewerkers valt onder de verantwoordelijkheid van hun leidinggevenden. Wanneer gedrag in strijd met het Beleid wordt vastgesteld, wordt de kwestie onmiddellijk door de leidinggevende van de betrokken medewerker gemeld aan de naasthogere leidinggevende. Bij een ernstige inbreuk informeert de hogere leidinggevende onverwijld het Comité voor de Bescherming van Persoonsgegevens.

Tegen een medewerker die in strijd met het Beleid handelt, worden na een beoordeling door Personeelszaken de nodige administratieve maatregelen genomen.

BIJLAGE 1: Tabel met bewaar- en vernietigingstermijnen van persoonsgegevens

Persoonsgegevens worden, rekening houdend met de bepalingen in de betreffende artikelen van het Beleid, gedurende de in de onderstaande tabel vermelde termijnen bewaard en na afloop daarvan geanonimiseerd of vernietigd:

Indien het doel waarvoor de Vennootschap de betreffende persoonsgegevens gebruikt nog niet is vervallen, indien de door de relevante wetgeving voorgeschreven bewaartermijn voor de betreffende persoonsgegevens langer is dan de in de tabel vermelde termijnen, of indien de verjaringstermijn van de rechtsvordering over de betreffende kwestie een langere bewaring van de persoonsgegevens dan de in de tabel vermelde termijnen vereist, kunnen de in de bovenstaande tabel vermelde termijnen buiten toepassing blijven. In dat geval geldt de termijn die het laatst afloopt: die van het gebruiksdoel, de bijzondere wetgeving of de verjaringstermijn van de rechtsvordering.

Verzoek van de betrokkene

Om uw rechten in het kader van de KVKK uit te oefenen, kunt u het Aanvraagformulier voor Betrokkenen opvragen bij de afdeling Personeelszaken van onze Vennootschap; het ingevulde formulier kunt u schriftelijk naar het adres van onze Vennootschap of naar het e-mailadres ik@hcorganize.com sturen. Verzoeken worden kosteloos en uiterlijk binnen 30 dagen afgehandeld.