Politique de conservation et d’élimination des données personnelles

1. Objet de la politique

La présente Politique de conservation et d’élimination des données personnelles (la « Politique de conservation et d’élimination »), relative aux données personnelles traitées par Adil Onur Karahan Şahıs Şirketi (la « Société ») dans le cadre de l’application mobile et du site internet Attendify+ (la « Plateforme »), a été adoptée afin d’encadrer la protection technique et administrative des données personnelles conformément à la loi n° 6698 relative à la protection des données personnelles (la « Loi ») et, lorsque les conditions de leur traitement ont disparu, l’application des dispositions du Règlement relatif à l’effacement, à la destruction ou à l’anonymisation des données personnelles (le « Règlement »), publié au Journal officiel (Resmî Gazete) du 28.10.2017.

2. Supports d’enregistrement sur lesquels les données personnelles sont conservées

Les données personnelles sont conservées de manière sécurisée sur les supports suivants, conformément à la législation applicable et en premier lieu aux dispositions de la Loi :

• Supports électroniques : base de données MySQL et espace de fichiers des pièces jointes aux notes situés sur les serveurs de la Plateforme en Turquie, journaux d’accès au serveur, supports de sauvegarde, boîte e-mail ; base de données, espace de fichiers et stockage sécurisé sur l’appareil de l’utilisateur.
• Supports physiques : demandes des personnes concernées revêtues d’une signature manuscrite et correspondance y afférente.

3. Motifs justifiant la conservation et l’élimination

Les données personnelles sont conservées notamment afin d’assurer la poursuite des activités de la Plateforme, de remplir les obligations légales et de gérer les relations avec les utilisateurs. Les motifs justifiant la conservation sont les suivants :

• Lien direct des données personnelles avec la conclusion et l’exécution du contrat,
• Constatation, exercice ou protection d’un droit,
• Existence d’un intérêt légitime de la Société, à condition de ne pas porter atteinte aux droits et libertés fondamentaux des personnes,
• Exécution par la Société de ses obligations légales,
• Conservation des données personnelles expressément prévue par la législation,
• Existence du consentement explicite de la personne concernée pour les activités de conservation nécessitant un tel consentement.

Conformément au Règlement, les données personnelles sont effacées, détruites ou anonymisées d’office ou sur demande dans les cas suivants :

• Modification ou abrogation des dispositions législatives servant de fondement au traitement ou à la conservation,
• Disparition de la finalité justifiant le traitement ou la conservation,
• Disparition des conditions de traitement prévues aux articles 5 et 6 de la Loi,
• Retrait de son consentement par la personne concernée, lorsque le traitement repose uniquement sur le consentement explicite,
• Acceptation de la demande d’effacement, de destruction ou d’anonymisation présentée par la personne concernée au titre des points 2 (e) et (f) de l’article 11 de la Loi,
• Admission par le Conseil de la réclamation introduite auprès de lui à la suite du rejet par la Société d’une telle demande, d’une réponse jugée insuffisante ou de l’absence de réponse dans le délai imparti,
• Absence de condition justifiant une conservation plus longue alors que la durée maximale de conservation est écoulée.

4. Mesures prises pour la protection des données personnelles

Conformément à l’article 12 de la Loi, la Société prend les mesures techniques et administratives assurant un niveau de sécurité approprié afin de prévenir le traitement illicite des données personnelles et l’accès illicite à celles-ci, et d’en assurer la conservation. Si, malgré toutes les mesures, des données sont obtenues illicitement par des tiers, la personne concernée et le Conseil en sont informés dans les plus brefs délais.

4.1. Mesures techniques

• La sécurité du réseau et des applications est assurée et la transmission des données est chiffrée par SSL/TLS.
• Les mots de passe, les codes de vérification et les clés de session sont conservés de manière irréversible (sous forme hachée).
• L’accès au serveur et à la base de données est limité par des autorisations ; les données de chaque utilisateur ne sont accessibles que par sa propre session.
• Une limitation du nombre de requêtes est appliquée aux points d’accès d’authentification et les journaux d’accès sont tenus régulièrement.
• Des pare-feu et des mesures de prévention des intrusions sont utilisés et les logiciels sont maintenus à jour.
• Les données personnelles sont sauvegardées et la sécurité des sauvegardes est assurée.
• Les risques et menaces existants ont été identifiés et des contrôles réguliers des vulnérabilités de sécurité sont effectués.

4.2. Mesures administratives

• Seules les personnes qui en ont besoin dans le cadre de leurs fonctions ont accès aux données personnelles.
• Des clauses relatives à la sécurité des données sont ajoutées aux contrats conclus avec les prestataires auxquels des données personnelles sont transférées, et ces prestataires sont sensibilisés.
• Des engagements de confidentialité sont conclus avec les personnes ayant accès aux données personnelles.
• Les problèmes de sécurité des données sont signalés rapidement et les cas d’obtention illicite sont notifiés dans les plus brefs délais à la personne concernée et au Conseil.
• Des contrôles relatifs à l’application des dispositions de la Loi sont effectués et les vulnérabilités détectées sont corrigées.

5. Méthodes d’élimination des données personnelles

Lorsque les motifs justifiant leur traitement ont disparu, la Société élimine les données personnelles, de sa propre initiative ou à la demande de la personne concernée, par l’une ou plusieurs des méthodes ci-dessous. Le processus comprend les étapes suivantes : identification des données à effacer, identification des personnes concernées, identification des modes d’accès et élimination des données.

5.1. Effacement

• Suppression des lignes ou colonnes de la base de données contenant des données personnelles,
• Suppression des fichiers joints sur le serveur et retrait des droits d’accès des utilisateurs à ces fichiers,
• Noircissement des données sur support papier afin de les rendre illisibles.

5.2. Destruction

• Écrasement des données figurant sur les supports de sauvegarde à la fin du cycle de sauvegarde, de manière à les rendre irrécupérables,
• Destruction des documents papier au moyen d’un destructeur de documents,
• Démagnétisation ou destruction physique des supports magnétiques.

5.3. Anonymisation

• Masquage : suppression de l’ensemble de données de l’information d’identification principale de la donnée personnelle.
• Suppression d’enregistrements : retrait, parmi les enregistrements, des lignes de données présentant un caractère unique.
• Généralisation (codage global) : transformation de la donnée en un contenu plus général.

Conformément à l’article 28 de la Loi, les données anonymisées peuvent être traitées à des fins de recherche, de planification et de statistiques ; ces traitements ne relèvent pas du champ d’application de la Loi. La Société détermine librement la méthode d’élimination en fonction du support sur lequel les données sont enregistrées.

6. Durées de conservation et d’élimination

Lorsqu’une durée est prévue par la législation, celle-ci est respectée ; à défaut, les données personnelles sont conservées pendant les durées indiquées ci-dessous.

Les demandes d’effacement de la personne concernée sont exécutées sans attendre l’élimination périodique. Dans les autres cas, à l’expiration de la durée, les données personnelles sont effacées, détruites ou anonymisées lors de la première élimination périodique suivant cette date. Les opérations d’élimination sont consignées et ces enregistrements sont conservés pendant au moins trois ans, sous réserve des autres obligations légales.

7. Délai d’élimination périodique

Conformément à l’article 11 du Règlement, le délai d’élimination périodique est fixé à 6 mois. En conséquence, une opération d’élimination périodique est effectuée chaque année aux mois de juin et de décembre.

8. Révision et abrogation

En cas de modification ou d’abrogation de la Politique de conservation et d’élimination, la nouvelle réglementation est publiée sur la page Nos politiques de la Plateforme.

9. Entrée en vigueur

La présente Politique de conservation et d’élimination entre en vigueur à la date de sa publication.