سیاست نگهداری و امحای داده‌های شخصی

1. هدف سیاست

این سیاست نگهداری و امحای داده‌های شخصی («سیاست نگهداری و امحا») در خصوص داده‌های شخصی پردازش‌شده توسط Adil Onur Karahan Şahıs Şirketi («شرکت») در چارچوب اپلیکیشن موبایل و وب‌سایت Attendify+ («پلتفرم»)، به منظور تنظیم حمایت فنی و اداری از داده‌های شخصی مطابق با قانون شماره‌ی 6698 حمایت از داده‌های شخصی («قانون») و، در صورت از بین رفتن شرایط پردازش، اجرای احکام آیین‌نامه‌ی حذف، نابودسازی یا بی‌نام‌سازی داده‌های شخصی («آیین‌نامه») منتشرشده در روزنامه‌ی رسمی ترکیه به تاریخ 28.10.2017 صادر شده است.

2. محیط‌های ثبتی که داده‌های شخصی در آن‌ها نگهداری می‌شوند

داده‌های شخصی مطابق با مقررات مربوط، به‌ویژه احکام قانون، به‌طور امن در محیط‌های زیر نگهداری می‌شوند:

• محیط‌های الکترونیکی: پایگاه داده‌ی MySQL و فضای فایل پیوست‌های یادداشت در سرورهای پلتفرم واقع در ترکیه، سوابق دسترسی به سرور، محیط‌های پشتیبان‌گیری، صندوق ایمیل؛ پایگاه داده، فضای فایل و ذخیره‌سازی امن در دستگاه خود کاربر.
• محیط‌های فیزیکی: درخواست‌های صاحبان داده با امضای دستی و مکاتبات مربوط به آن‌ها.

3. دلایل مستلزم نگهداری و امحا

داده‌های شخصی به‌ویژه به منظور تداوم فعالیت‌های پلتفرم، انجام تعهدات قانونی و مدیریت روابط با کاربران نگهداری می‌شوند. دلایل مستلزم نگهداری عبارت‌اند از:

• ارتباط مستقیم داده‌های شخصی با انعقاد و اجرای قرارداد،
• ایجاد، اعمال یا حمایت از یک حق،
• وجود منافع مشروع شرکت، مشروط به آنکه به حقوق و آزادی‌های بنیادین اشخاص آسیب نرساند،
• انجام تعهدات قانونی شرکت،
• پیش‌بینی صریح نگهداری داده‌های شخصی در مقررات،
• وجود رضایت صریح صاحب داده در خصوص فعالیت‌های نگهداری که مستلزم رضایت صریح است.

به موجب آیین‌نامه، در موارد زیر داده‌های شخصی رأساً یا بنا به درخواست حذف، نابود یا بی‌نام می‌شوند:

• تغییر یا لغو احکام مقرراتی که مبنای پردازش یا نگهداری هستند،
• از بین رفتن هدفی که مستلزم پردازش یا نگهداری است،
• از بین رفتن شرایط پردازش مندرج در مواد 5 و 6 قانون،
• پس گرفتن رضایت توسط شخص موضوع داده در مواردی که پردازش تنها بر رضایت صریح مبتنی است،
• پذیرش درخواست حذف، نابودسازی یا بی‌نام‌سازی شخص موضوع داده در چارچوب بندهای (e) و (f) فقره‌ی 2 ماده‌ی 11 قانون،
• وارد دانستن شکایتی از سوی هیئت که پس از رد چنین درخواستی توسط شرکت، ناکافی دانستن پاسخ یا عدم پاسخ در مهلت مقرر، به هیئت ارائه شده است،
• عدم وجود شرطی که با وجود سپری شدن حداکثر مدت نگهداری، نگهداری طولانی‌تر را توجیه کند.

4. تدابیر اتخاذشده برای حمایت از داده‌های شخصی

شرکت مطابق با ماده‌ی 12 قانون، تدابیر فنی و اداری تأمین‌کننده‌ی سطح امنیت مناسب را برای جلوگیری از پردازش و دسترسی غیرقانونی به داده‌های شخصی و تضمین حفاظت از آن‌ها اتخاذ می‌کند. در صورتی که با وجود همه‌ی تدابیر، داده‌ها از راه‌های غیرقانونی به دست اشخاص ثالث بیفتد، این وضعیت در کوتاه‌ترین زمان ممکن به شخص موضوع داده و هیئت اطلاع داده می‌شود.

4.1. تدابیر فنی

• امنیت شبکه و اپلیکیشن تأمین می‌شود و انتقال داده با SSL/TLS رمزنگاری می‌شود.
• رمزهای عبور، کدهای تأیید و کلیدهای نشست به‌صورت برگشت‌ناپذیر (چکیده‌سازی‌شده) ذخیره می‌شوند.
• دسترسی به سرور و پایگاه داده به افراد مجاز محدود شده است و داده‌های هر کاربر تنها با نشست خود او قابل دسترسی است.
• در نقاط پایانی احراز هویت محدودیت درخواست اعمال می‌شود و سوابق دسترسی به‌طور منظم نگهداری می‌شود.
• از دیواره‌ی آتش و تدابیر جلوگیری از نفوذ استفاده می‌شود و نرم‌افزارها به‌روز نگه داشته می‌شوند.
• از داده‌های شخصی نسخه‌ی پشتیبان تهیه می‌شود و امنیت نسخه‌های پشتیبان تأمین می‌شود.
• ریسک‌ها و تهدیدهای موجود شناسایی شده‌اند و بررسی‌های منظم برای آسیب‌پذیری‌های امنیتی انجام می‌شود.

4.2. تدابیر اداری

• اطمینان حاصل می‌شود که تنها افرادی که به اقتضای وظیفه‌ی خود به داده‌های شخصی نیاز دارند به آن‌ها دسترسی داشته باشند.
• در قراردادهای منعقده با ارائه‌دهندگان خدماتی که داده‌های شخصی به آن‌ها منتقل می‌شود، احکام امنیت داده گنجانده می‌شود و آگاهی ارائه‌دهندگان تأمین می‌شود.
• با اشخاصی که به داده‌های شخصی دسترسی دارند تعهدنامه‌ی محرمانگی منعقد می‌شود.
• مشکلات امنیت داده به‌سرعت گزارش می‌شود و موارد تحصیل غیرقانونی داده‌ها در کوتاه‌ترین زمان ممکن به شخص ذی‌نفع و هیئت اطلاع داده می‌شود.
• بازرسی‌هایی برای اجرای احکام قانون انجام می‌شود و آسیب‌پذیری‌های شناسایی‌شده رفع می‌شوند.

5. روش‌های امحای داده‌های شخصی

شرکت در صورت از بین رفتن دلایل مستلزم پردازش، به تصمیم خود یا بنا به درخواست شخص موضوع داده، داده‌های شخصی را با یک یا چند روش از روش‌های زیر امحا می‌کند. این فرایند با گام‌های شناسایی داده‌هایی که باید حذف شوند، شناسایی اشخاص مربوط، شناسایی روش‌های دسترسی و امحای داده‌ها انجام می‌شود.

5.1. حذف

• حذف سطرها یا ستون‌هایی از پایگاه داده که داده‌های شخصی در آن‌ها قرار دارد،
• حذف فایل‌های پیوست روی سرور و لغو حقوق دسترسی کاربران به فایل‌ها،
• ناخوانا کردن داده‌های کاغذی با روش سیاه‌کردن.

5.2. نابودسازی

• بازنویسی داده‌های موجود در محیط‌های پشتیبان‌گیری در پایان چرخه‌ی پشتیبان‌گیری به نحوی که قابل بازیابی نباشند،
• نابودسازی اسناد کاغذی با دستگاه کاغذخردکن،
• مغناطیس‌زدایی یا نابودسازی فیزیکی رسانه‌های مغناطیسی.

5.3. بی‌نام‌سازی

• ماسک‌گذاری: حذف اطلاعات شناسایی اصلی داده‌ی شخصی از مجموعه‌ی داده.
• حذف سوابق: حذف سطرهای داده‌ی دارای ویژگی یکتا از میان سوابق.
• تعمیم (کدگذاری سراسری): تبدیل داده به محتوایی کلی‌تر.

به موجب ماده‌ی 28 قانون، داده‌های بی‌نام‌شده ممکن است برای اهداف پژوهش، برنامه‌ریزی و آمار پردازش شوند؛ این پردازش‌ها خارج از دامنه‌ی قانون است. شرکت روش امحا را بر اساس محیطی که داده در آن ثبت شده است آزادانه تعیین می‌کند.

6. مدت‌های نگهداری و امحا

اگر در مقررات مدتی پیش‌بینی شده باشد، آن مدت رعایت می‌شود؛ در غیر این صورت داده‌های شخصی در طول مدت‌های زیر نگهداری می‌شوند.

درخواست‌های حذف شخص موضوع داده بدون انتظار برای امحای دوره‌ای انجام می‌شوند. در سایر موارد، پس از پایان مدت، داده‌های شخصی در نخستین امحای دوره‌ای پس از آن تاریخ حذف، نابود یا بی‌نام می‌شوند. عملیات امحا ثبت می‌شود و این سوابق، با حفظ سایر تعهدات قانونی، دست‌کم سه سال نگهداری می‌شوند.

7. دوره‌ی امحای دوره‌ای

به موجب ماده‌ی 11 آیین‌نامه، دوره‌ی امحای دوره‌ای 6 ماه تعیین شده است. بر این اساس، هر سال در ماه‌های ژوئن و دسامبر عملیات امحای دوره‌ای انجام می‌شود.

8. بازنگری و لغو

در صورت تغییر یا لغو سیاست نگهداری و امحا، مقرره‌ی جدید در صفحه‌ی سیاست‌های ما در پلتفرم اعلام می‌شود.

9. لازم‌الاجرا شدن

این سیاست نگهداری و امحا از تاریخ انتشار لازم‌الاجرا می‌شود.