سياسة حفظ البيانات الشخصية والتخلص منها

1. الغرض من السياسة

صدرت سياسة حفظ البيانات الشخصية والتخلص منها هذه («سياسة الحفظ والتخلص») المتعلقة بالبيانات الشخصية التي تعالجها Adil Onur Karahan Şahıs Şirketi («الشركة») في إطار تطبيق Attendify+ للهواتف المحمولة وموقعه الإلكتروني («المنصة»)، بهدف تنظيم الحماية الفنية والإدارية للبيانات الشخصية وفقًا للقانون رقم 6698 بشأن حماية البيانات الشخصية («القانون»)، وتطبيق أحكام اللائحة المتعلقة بحذف البيانات الشخصية أو إتلافها أو إخفاء هويتها (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik) («اللائحة») المنشورة في الجريدة الرسمية (Resmî Gazete) بتاريخ 28.10.2017، في حال زوال شروط معالجتها.

2. أوساط التسجيل التي تُحفظ فيها البيانات الشخصية

تُحفظ البيانات الشخصية بشكل آمن في الأوساط التالية، وفقًا للتشريعات ذات الصلة وفي مقدمتها أحكام القانون:

• الأوساط الإلكترونية: قاعدة بيانات MySQL ومساحة ملفات مرفقات الملاحظات على خوادم المنصة في تركيا، وسجلات الوصول إلى الخادم، وأوساط النسخ الاحتياطي، وصندوق البريد الإلكتروني؛ وقاعدة البيانات ومساحة الملفات والتخزين الآمن على جهاز المستخدم نفسه.
• الأوساط المادية: طلبات أصحاب البيانات الموقّعة بخط اليد والمراسلات المتعلقة بها.

3. الأسباب التي تستوجب الحفظ والتخلص

تُحفظ البيانات الشخصية خصوصًا لغرض استمرار أنشطة المنصة، والوفاء بالالتزامات القانونية، وإدارة العلاقات مع المستخدمين. والأسباب التي تستوجب الحفظ هي:

• ارتباط البيانات الشخصية ارتباطًا مباشرًا بإبرام العقد وتنفيذه،
• إنشاء حق أو ممارسته أو حمايته،
• وجود مصلحة مشروعة للشركة، شريطة عدم الإضرار بالحقوق والحريات الأساسية للأشخاص،
• وفاء الشركة بالتزاماتها القانونية،
• النص صراحةً في التشريعات على حفظ البيانات الشخصية،
• وجود الموافقة الصريحة لصاحب البيانات فيما يتعلق بأنشطة الحفظ التي تتطلب موافقة صريحة.

وفقًا للائحة، تُحذف البيانات الشخصية أو تُتلف أو تُخفى هويتها تلقائيًا أو بناءً على طلب في الحالات التالية:

• تعديل أحكام التشريعات التي تشكّل أساس المعالجة أو الحفظ، أو إلغاؤها،
• زوال الغرض الذي يستوجب المعالجة أو الحفظ،
• زوال شروط المعالجة الواردة في المادتين 5 و6 من القانون،
• سحب الشخص المعني موافقته في الحالات التي تستند فيها المعالجة إلى الموافقة الصريحة فقط،
• قبول طلب الشخص المعني بالحذف أو الإتلاف أو إخفاء الهوية في إطار البندين (e) و(f) من الفقرة 2 من المادة 11 من القانون،
• قبول المجلس للشكوى المقدَّمة إليه إثر رفض الشركة لطلب بهذا الشأن، أو اعتبار ردها غير كافٍ، أو عدم الرد في المدة المحددة،
• عدم وجود شرط يبرر الحفظ لمدة أطول رغم انقضاء المدة القصوى للحفظ.

4. التدابير المتخذة لحماية البيانات الشخصية

تتخذ الشركة، وفقًا للمادة 12 من القانون، التدابير الفنية والإدارية التي توفر مستوى أمان مناسبًا لمنع المعالجة غير المشروعة للبيانات الشخصية والوصول غير المشروع إليها، ولضمان حفظها. وإذا استولت أطراف ثالثة على البيانات بطرق غير قانونية رغم جميع التدابير، يُبلَّغ الشخص المعني والمجلس بذلك في أقرب وقت ممكن.

4.1. التدابير الفنية

• يُكفل أمن الشبكة والتطبيقات، ويُشفَّر نقل البيانات باستخدام SSL/TLS.
• تُحفظ كلمات المرور ورموز التوثيق ومفاتيح الجلسة بطريقة لا يمكن عكسها (بعد تجزئتها).
• يُقيَّد الوصول إلى الخوادم وقواعد البيانات بالصلاحيات، ولا يمكن الوصول إلى بيانات كل مستخدم إلا من خلال جلسته الخاصة.
• يُطبَّق حد للطلبات على نقاط المصادقة، وتُحفظ سجلات الوصول بانتظام.
• تُستخدم جدران الحماية وتدابير منع الاختراق، وتُحدَّث البرمجيات باستمرار.
• تُنسخ البيانات الشخصية احتياطيًا ويُكفل أمن النسخ الاحتياطية.
• حُدّدت المخاطر والتهديدات القائمة، وتُجرى فحوصات دورية للثغرات الأمنية.

4.2. التدابير الإدارية

• يُكفل ألا يصل إلى البيانات الشخصية إلا الأشخاص الذين يحتاجون إليها بحكم مهامهم.
• تُضاف أحكام أمن البيانات إلى العقود المبرمة مع مقدّمي الخدمات الذين تُنقل إليهم البيانات الشخصية، وتُكفل توعية هؤلاء المقدّمين.
• تُبرم تعهدات بالسرية مع الأشخاص الذين يصلون إلى البيانات الشخصية.
• يُبلَّغ عن مشكلات أمن البيانات بسرعة، وتُبلَّغ حالات الحصول غير المشروع على البيانات إلى المعنيين وإلى المجلس في أقرب وقت ممكن.
• تُجرى عمليات تدقيق لتطبيق أحكام القانون، وتُعالَج نقاط الضعف المكتشفة.

5. طرق التخلص من البيانات الشخصية

تتخلص الشركة من البيانات الشخصية، عند زوال الأسباب التي تستوجب معالجتها، بقرار منها أو بناءً على طلب الشخص المعني، بطريقة أو أكثر من الطرق التالية. وتُنفَّذ العملية عبر خطوات: تحديد البيانات المراد حذفها، وتحديد الأشخاص المعنيين، وتحديد طرق الوصول، ثم التخلص من البيانات.

5.1. الحذف

• حذف الصفوف أو الأعمدة التي توجد فيها البيانات الشخصية في قاعدة البيانات،
• حذف ملفات المرفقات على الخادم وإلغاء صلاحيات وصول المستخدمين إلى الملفات،
• جعل البيانات الورقية غير مقروءة بطريقة التعتيم.

5.2. الإتلاف

• الكتابة فوق البيانات في أوساط النسخ الاحتياطي في نهاية دورة النسخ الاحتياطي بحيث يتعذر استرجاعها،
• إتلاف المستندات الورقية بآلة إتلاف الورق،
• إزالة مغنطة الوسائط المغناطيسية أو إتلافها ماديًا.

5.3. إخفاء الهوية

• الحجب: إزالة المعلومات المميِّزة الأساسية للبيانات الشخصية من مجموعة البيانات.
• استبعاد السجلات: استبعاد صفوف البيانات التي تتضمن تفرّدًا من بين السجلات.
• التعميم (الترميز الشامل): تحويل البيانات إلى محتوى أكثر عمومية.

وفقًا للمادة 28 من القانون، يجوز معالجة البيانات التي أُخفيت هويتها لأغراض البحث والتخطيط والإحصاء؛ وتقع هذه المعالجة خارج نطاق القانون. وتحدد الشركة طريقة التخلص بحرية بحسب الوسط الذي سُجّلت فيه البيانات.

6. مدد الحفظ والتخلص

إذا نصّت التشريعات على مدة معينة فيُلتزم بها؛ وإلا فتُحفظ البيانات الشخصية طوال المدد التالية.

تُنفَّذ طلبات الحذف المقدَّمة من الشخص المعني دون انتظار التخلص الدوري. وفي الحالات الأخرى، تُحذف البيانات الشخصية أو تُتلف أو تُخفى هويتها عند انتهاء المدة في أول عملية تخلص دوري تلي هذا التاريخ. وتُسجَّل عمليات التخلص، وتُحفظ هذه السجلات ثلاث سنوات على الأقل، مع مراعاة الالتزامات القانونية الأخرى.

7. مدة التخلص الدوري

وفقًا للمادة 11 من اللائحة، حُدّدت مدة التخلص الدوري بـ6 أشهر. وبناءً على ذلك، تُجرى عملية التخلص الدوري في شهري يونيو وديسمبر من كل عام.

8. المراجعة والإلغاء

في حال تعديل سياسة الحفظ والتخلص أو إلغائها، يُعلَن التنظيم الجديد في صفحة سياساتنا على المنصة.

9. النفاذ

تدخل سياسة الحفظ والتخلص هذه حيز النفاذ في تاريخ نشرها.