Fərdi Məlumatların Saxlanması və Məhv Edilməsi Siyasəti

1. Siyasətin məqsədi

Adil Onur Karahan Şahıs Şirketi (“Şirkət”) tərəfindən Attendify+ mobil tətbiqi və internet saytı (“Platforma”) çərçivəsində emal edilən fərdi məlumatlara dair bu Fərdi Məlumatların Saxlanması və Məhv Edilməsi Siyasəti (“Saxlama və Məhvetmə Siyasəti”) fərdi məlumatların 6698 nömrəli Fərdi Məlumatların Qorunması haqqında Qanuna (KVKK, “Qanun”) uyğun olaraq texniki və inzibati qorunmasını, emal şərtləri aradan qalxdıqda isə 28.10.2017 tarixli Rəsmi Qəzetdə (Resmî Gazete) dərc edilmiş Fərdi Məlumatların Silinməsi, Yox Edilməsi və ya Anonimləşdirilməsi haqqında Əsasnamənin (“Əsasnamə”) müddəalarının tətbiqini tənzimləmək məqsədilə qəbul edilmişdir.

2. Fərdi məlumatların saxlanıldığı qeyd mühitləri

Fərdi məlumatlar, başda Qanunun müddəaları olmaqla, müvafiq qanunvericiliyə uyğun olaraq aşağıdakı mühitlərdə təhlükəsiz şəkildə saxlanılır:

• Elektron mühitlər: Türkiyədəki Platforma serverlərində yerləşən MySQL verilənlər bazası və qeyd əlavələrinin fayl sahəsi, serverə giriş qeydləri, ehtiyat nüsxə mühitləri, e-poçt qutusu; istifadəçinin öz cihazındakı verilənlər bazası, fayl sahəsi və təhlükəsiz yaddaş.
• Fiziki mühitlər: yaş imzalı məlumat subyekti müraciətləri və onlarla bağlı yazışmalar.

3. Saxlamanı və məhv etməni tələb edən səbəblər

Fərdi məlumatlar xüsusilə Platformanın fəaliyyətinin davam etdirilməsi, hüquqi öhdəliklərin yerinə yetirilməsi və istifadəçilərlə münasibətlərin idarə edilməsi məqsədilə saxlanılır. Saxlamanı tələb edən səbəblər bunlardır:

• Fərdi məlumatların müqavilənin bağlanması və icrası ilə birbaşa əlaqəli olması,
• Hüququn yaradılması, həyata keçirilməsi və ya qorunması,
• Şəxslərin əsas hüquq və azadlıqlarına zərər vurmamaq şərti ilə Şirkətin qanuni marağının olması,
• Şirkətin hüquqi öhdəliklərini yerinə yetirməsi,
• Qanunvericilikdə fərdi məlumatların saxlanmasının açıq şəkildə nəzərdə tutulması,
• Açıq razılıq tələb edən saxlama fəaliyyətləri baxımından məlumat subyektinin açıq razılığının olması.

Əsasnaməyə əsasən aşağıdakı hallarda fərdi məlumatlar öz təşəbbüsü ilə və ya tələb əsasında silinir, yox edilir və ya anonimləşdirilir:

• Emala və ya saxlamaya əsas təşkil edən qanunvericilik müddəalarının dəyişdirilməsi və ya ləğvi,
• Emalı və ya saxlamanı tələb edən məqsədin aradan qalxması,
• Qanunun 5-ci və 6-cı maddələrindəki emal şərtlərinin aradan qalxması,
• Emalın yalnız açıq razılığa əsaslandığı hallarda aidiyyəti şəxsin razılığını geri götürməsi,
• Aidiyyəti şəxsin Qanunun 11-ci maddəsinin 2 (e) və (f) bəndləri çərçivəsində silmə, yox etmə və ya anonimləşdirmə müraciətinin qəbul edilməsi,
• Şirkətin bu istiqamətdəki müraciəti rədd etməsi, cavabın qeyri-kafi hesab edilməsi və ya vaxtında cavab verilməməsi səbəbindən Şuraya (Fərdi Məlumatların Qorunması Şurası) edilən şikayətin Şura tərəfindən əsaslı hesab edilməsi,
• Maksimum saxlama müddəti keçməsinə baxmayaraq, məlumatları daha uzun müddət saxlamağa haqq qazandıran şərtin olmaması.

4. Fərdi məlumatların qorunması üçün görülən tədbirlər

Şirkət Qanunun 12-ci maddəsinə uyğun olaraq fərdi məlumatların qanunsuz emalının və əldə edilməsinin qarşısını almaq və onların mühafizəsini təmin etmək üçün müvafiq təhlükəsizlik səviyyəsini təmin edən texniki və inzibati tədbirlər görür. Bütün tədbirlərə baxmayaraq məlumatlar qanunsuz yollarla üçüncü şəxslər tərəfindən ələ keçirildikdə bu barədə ən qısa müddətdə aidiyyəti şəxsə və Şuraya məlumat verilir.

4.1. Texniki tədbirlər

• Şəbəkə və tətbiq təhlükəsizliyi təmin edilir, məlumat ötürülməsi SSL/TLS ilə şifrələnir.
• Şifrələr, təsdiq kodları və sessiya açarları geri qaytarılmaz şəkildə (heşlənərək) saxlanılır.
• Server və verilənlər bazasına çıxış səlahiyyətlə məhdudlaşdırılıb, hər istifadəçinin məlumatlarına yalnız onun öz sessiyası ilə çıxış mümkündür.
• Autentifikasiya nöqtələrində sorğu limiti tətbiq edilir, giriş qeydləri müntəzəm aparılır.
• Təhlükəsizlik divarı (firewall) və hücumların qarşısının alınması tədbirlərindən istifadə edilir, proqram təminatı aktual saxlanılır.
• Fərdi məlumatların ehtiyat nüsxələri çıxarılır və ehtiyat nüsxələrin təhlükəsizliyi təmin edilir.
• Mövcud risk və təhlükələr müəyyən edilib, təhlükəsizlik boşluqlarına qarşı müntəzəm yoxlamalar aparılır.

4.2. İnzibati tədbirlər

• Fərdi məlumatlara yalnız vəzifəsinə görə ehtiyacı olan şəxslərin çıxışı təmin edilir.
• Fərdi məlumatların ötürüldüyü xidmət provayderləri ilə bağlanan müqavilələrə məlumat təhlükəsizliyi müddəaları əlavə edilir, provayderlərin məlumatlılığı təmin edilir.
• Fərdi məlumatlara çıxışı olan şəxslərlə məxfilik öhdəlikləri imzalanır.
• Məlumat təhlükəsizliyi problemləri tez bir zamanda hesabat şəklində bildirilir və qanunsuz əldə etmə halları ən qısa müddətdə aidiyyəti şəxsə və Şuraya bildirilir.
• Qanunun müddəalarının tətbiqinə dair yoxlamalar aparılır, aşkar edilən zəif cəhətlər aradan qaldırılır.

5. Fərdi məlumatların məhv edilməsi üsulları

Şirkət emalını tələb edən səbəblər aradan qalxdıqda öz qərarı ilə və ya aidiyyəti şəxsin tələbi əsasında fərdi məlumatları aşağıdakı üsullardan biri və ya bir neçəsi ilə məhv edir. Proses silinəcək məlumatların müəyyən edilməsi, aidiyyəti şəxslərin müəyyən edilməsi, çıxış üsullarının müəyyən edilməsi və məlumatların məhv edilməsi addımları ilə həyata keçirilir.

5.1. Silmə

• Verilənlər bazasında fərdi məlumatların olduğu sətir və ya sütunların silinməsi,
• Serverdəki əlavə fayllarının silinməsi və fayllara dair istifadəçi çıxış hüquqlarının ləğv edilməsi,
• Kağız daşıyıcıdakı məlumatların qaraltma üsulu ilə oxunmaz hala gətirilməsi.

5.2. Yox etmə

• Ehtiyat nüsxə mühitlərindəki məlumatların ehtiyat nüsxə dövrünün sonunda bərpa edilə bilməyəcək şəkildə üzərinə yazılması,
• Kağız sənədlərin kağız doğrayan maşınla yox edilməsi,
• Maqnit daşıyıcıların demaqnitləşdirilməsi və ya fiziki olaraq yox edilməsi.

5.3. Anonimləşdirmə

• Maskalama: fərdi məlumatın əsas müəyyənedici informasiyasının məlumat dəstindən çıxarılması.
• Qeydlərin çıxarılması: unikallıq daşıyan məlumat sətirlərinin qeydlər arasından çıxarılması.
• Ümumiləşdirmə (qlobal kodlaşdırma): məlumatın daha ümumi məzmuna çevrilməsi.

Qanunun 28-ci maddəsinə əsasən anonimləşdirilmiş məlumatlar tədqiqat, planlaşdırma və statistika məqsədilə emal edilə bilər; bu əməliyyatlar Qanunun əhatə dairəsindən kənardır. Şirkət məhvetmə üsulunu məlumatın qeydə alındığı mühitə uyğun olaraq sərbəst müəyyən edir.

6. Saxlama və məhvetmə müddətləri

Qanunvericilikdə müddət nəzərdə tutulubsa, həmin müddətə əməl edilir; nəzərdə tutulmayıbsa, fərdi məlumatlar aşağıdakı müddətlər ərzində saxlanılır.

Aidiyyəti şəxsin silmə tələbləri dövri məhvetmə gözlənilmədən yerinə yetirilir. Digər hallarda müddət bitdikdə fərdi məlumatlar həmin tarixdən sonrakı ilk dövri məhvetmədə silinir, yox edilir və ya anonimləşdirilir. Məhvetmə əməliyyatları qeydə alınır və bu qeydlər digər hüquqi öhdəliklər qüvvədə qalmaq şərti ilə ən azı üç il saxlanılır.

7. Dövri məhvetmə müddəti

Əsasnamənin 11-ci maddəsinə əsasən dövri məhvetmə müddəti 6 ay olaraq müəyyən edilmişdir. Buna uyğun olaraq hər il iyun və dekabr aylarında dövri məhvetmə əməliyyatı həyata keçirilir.

8. Yenidən baxılma və qüvvədən salınma

Saxlama və Məhvetmə Siyasəti dəyişdirildikdə və ya qüvvədən salındıqda yeni tənzimləmə Platformadakı Siyasətlərimiz səhifəsində elan edilir.

9. Qüvvəyə minmə

Bu Saxlama və Məhvetmə Siyasəti dərc edildiyi tarixdə qüvvəyə minir.