Política de Conservación y Eliminación de Datos Personales

1. Finalidad de la Política

La presente Política de Conservación y Eliminación de Datos Personales («Política de Conservación y Eliminación»), relativa a los datos personales tratados por Adil Onur Karahan Şahıs Şirketi («la Empresa») en el marco de la aplicación móvil y el sitio web de Attendify+ («la Plataforma»), se ha dictado con el fin de regular la protección técnica y administrativa de los datos personales de conformidad con la Ley n.º 6698 de Protección de Datos Personales (KVKK, en adelante «la Ley») y la aplicación, cuando desaparezcan las condiciones para su tratamiento, de las disposiciones del Reglamento sobre la Supresión, Destrucción o Anonimización de los Datos Personales («el Reglamento»), publicado en el Boletín Oficial de Turquía (Resmî Gazete) de 28.10.2017.

2. Soportes de registro en los que se conservan los datos personales

Los datos personales se conservan de forma segura en los siguientes soportes, de conformidad con la normativa aplicable y, en particular, con las disposiciones de la Ley:

• Soportes electrónicos: la base de datos MySQL y el espacio de archivos de los adjuntos de los apuntes, ubicados en los servidores de la Plataforma en Turquía; los registros de acceso al servidor, los soportes de copia de seguridad y el buzón de correo electrónico; la base de datos, el espacio de archivos y el almacenamiento seguro del propio dispositivo del usuario.
• Soportes físicos: las solicitudes de los titulares de datos con firma manuscrita y la correspondencia relacionada con ellas.

3. Motivos que requieren la conservación y la eliminación

Los datos personales se conservan, en particular, para poder mantener las actividades de la Plataforma, cumplir las obligaciones legales y gestionar las relaciones con los usuarios. Los motivos que requieren la conservación son los siguientes:

• Que los datos personales estén directamente relacionados con la celebración y ejecución del contrato,
• La constitución, el ejercicio o la protección de un derecho,
• La existencia de un interés legítimo de la Empresa, siempre que no perjudique los derechos y libertades fundamentales de las personas,
• El cumplimiento de las obligaciones legales de la Empresa,
• Que la normativa prevea expresamente la conservación de los datos personales,
• La existencia del consentimiento explícito del titular de los datos en las actividades de conservación que lo requieran.

De conformidad con el Reglamento, los datos personales se suprimen, destruyen o anonimizan de oficio o a solicitud en los siguientes supuestos:

• La modificación o derogación de las disposiciones normativas en las que se basa el tratamiento o la conservación,
• La desaparición de la finalidad que requiere el tratamiento o la conservación,
• La desaparición de las condiciones de tratamiento previstas en los artículos 5 y 6 de la Ley,
• La retirada del consentimiento por parte del interesado, en los casos en que el tratamiento se base únicamente en el consentimiento explícito,
• La aceptación de la solicitud de supresión, destrucción o anonimización presentada por el interesado en el marco de los subapartados 2 (e) y (f) del artículo 11 de la Ley,
• La estimación por parte de la Junta de la reclamación presentada ante ella tras la denegación por la Empresa de una solicitud en este sentido, una respuesta considerada insuficiente o la falta de respuesta en plazo,
• La inexistencia, pese a haber transcurrido el plazo máximo de conservación, de una condición que justifique conservar los datos durante más tiempo.

4. Medidas adoptadas para la protección de los datos personales

De conformidad con el artículo 12 de la Ley, la Empresa adopta las medidas técnicas y administrativas que garantizan un nivel de seguridad adecuado para impedir el tratamiento y el acceso ilícitos a los datos personales y para garantizar su custodia. Si, pese a todas las medidas, terceros obtienen los datos por medios ilícitos, esta situación se notificará cuanto antes al interesado y a la Junta.

4.1. Medidas técnicas

• Se garantiza la seguridad de la red y de las aplicaciones, y la transmisión de datos se cifra mediante SSL/TLS.
• Las contraseñas, los códigos de verificación y las claves de sesión se almacenan de forma irreversible (mediante resumen criptográfico).
• El acceso al servidor y a la base de datos está limitado mediante autorizaciones, y a los datos de cada usuario solo puede accederse con su propia sesión.
• Se aplica un límite de solicitudes en los puntos de autenticación y se mantienen registros de acceso de forma periódica.
• Se utilizan cortafuegos y medidas de prevención de ataques, y el software se mantiene actualizado.
• Se hacen copias de seguridad de los datos personales y se garantiza la seguridad de dichas copias.
• Se han identificado los riesgos y amenazas existentes y se realizan controles periódicos para detectar vulnerabilidades de seguridad.

4.2. Medidas administrativas

• Se garantiza que solo accedan a los datos personales las personas que los necesiten por razón de sus funciones.
• Se incluyen cláusulas de seguridad de los datos en los contratos celebrados con los proveedores de servicios a los que se transfieren datos personales, y se procura la concienciación de dichos proveedores.
• Se suscriben compromisos de confidencialidad con las personas que acceden a los datos personales.
• Los problemas de seguridad de los datos se notifican con rapidez, y los casos de obtención ilícita se comunican cuanto antes al interesado y a la Junta.
• Se realizan auditorías sobre la aplicación de las disposiciones de la Ley y se subsanan las deficiencias detectadas.

5. Métodos de eliminación de los datos personales

Cuando desaparezcan los motivos que requieren su tratamiento, la Empresa elimina los datos personales, por decisión propia o a solicitud del interesado, mediante uno o varios de los métodos siguientes. El proceso se lleva a cabo en las siguientes fases: identificación de los datos que deben eliminarse, identificación de las personas afectadas, identificación de los métodos de acceso y eliminación de los datos.

5.1. Supresión

• Supresión de las filas o columnas de la base de datos que contienen datos personales,
• Supresión de los archivos adjuntos del servidor y revocación de los derechos de acceso de los usuarios a dichos archivos,
• Conversión de los datos en soporte papel en ilegibles mediante el método de tachado.

5.2. Destrucción

• Sobrescritura irrecuperable de los datos de los soportes de copia de seguridad al final del ciclo de copias,
• Destrucción de los documentos en papel mediante una destructora de papel,
• Desmagnetización o destrucción física de los soportes magnéticos.

5.3. Anonimización

• Enmascaramiento: eliminación del conjunto de datos de la información identificativa principal del dato personal.
• Supresión de registros: eliminación, de entre los registros, de las filas de datos que contienen elementos singulares.
• Generalización (codificación global): transformación del dato en un contenido más general.

De conformidad con el artículo 28 de la Ley, los datos anonimizados pueden tratarse con fines de investigación, planificación y estadística; estas operaciones quedan fuera del ámbito de la Ley. La Empresa determina libremente el método de eliminación en función del soporte en el que estén registrados los datos.

6. Plazos de conservación y eliminación

Si la normativa prevé un plazo, se respeta dicho plazo; en caso contrario, los datos personales se conservan durante los plazos indicados a continuación.

Las solicitudes de supresión del interesado se atienden sin esperar a la eliminación periódica. En los demás casos, al término del plazo, los datos personales se suprimen, destruyen o anonimizan en la primera eliminación periódica posterior a dicha fecha. Las operaciones de eliminación se registran y estos registros se conservan durante al menos tres años, sin perjuicio de otras obligaciones legales.

7. Periodicidad de la eliminación periódica

De conformidad con el artículo 11 del Reglamento, el plazo de eliminación periódica se ha fijado en 6 meses. En consecuencia, la eliminación periódica se lleva a cabo cada año en los meses de junio y diciembre.

8. Revisión y derogación

En caso de modificación o derogación de la Política de Conservación y Eliminación, la nueva regulación se anunciará en la página Nuestras políticas de la Plataforma.

9. Entrada en vigor

La presente Política de Conservación y Eliminación entra en vigor en la fecha de su publicación.