Politique de protection et de traitement des données personnelles

Public concerné : toutes les personnes physiques dont les données personnelles sont traitées dans le cadre de l’application mobile et du site internet Attendify+.

Rédigée et approuvée par : Adil Onur Karahan Şahıs Şirketi.

1. Introduction

Adil Onur Karahan Şahıs Şirketi (la « Société ») fournit à ses utilisateurs, via l’application mobile et le site internet Attendify+ (la « Plateforme »), des services d’emploi du temps, de suivi des présences et des absences, de gestion des examens, des devoirs et des notes, ainsi que de stockage et de synchronisation des données sur le serveur.

La Société accorde de l’importance à la protection des données personnelles dans le cadre de ses activités. La présente Politique de protection et de traitement des données personnelles (la « Politique ») constitue la réglementation de base relative à l’application, aux processus métier relevant de la Plateforme, des procédures et principes fixés par la loi n° 6698 relative à la protection des données personnelles (la « Loi »).

1.1. Objet

La présente Politique a pour objet d’assurer l’application effective, dans les processus métier relevant de la Plateforme, des procédures et principes prévus par la Loi et la législation applicable. La Société prend les mesures administratives et techniques nécessaires au traitement et à la protection des données personnelles et renforce la sensibilisation en la matière.

1.2. Champ d’application

La Politique couvre l’ensemble des données personnelles obtenues, dans les processus métier relevant de la Plateforme, par des moyens automatisés ou, à condition de faire partie d’un système d’enregistrement de données, par des moyens non automatisés. Les données conservées uniquement sur l’appareil de l’utilisateur en cas d’utilisation en tant qu’invité, et qui ne sont pas transmises à la Société, ne sont pas traitées par la Société.

1.3. Fondement

La Politique repose sur la Loi et la législation applicable. Les données personnelles sont également traitées afin de remplir les obligations découlant de la législation à laquelle la Société est soumise, notamment la loi n° 6563 sur la réglementation du commerce électronique, la loi n° 6102 portant Code de commerce turc, la loi n° 5651 sur la réglementation des publications diffusées sur internet, la loi n° 5237 portant Code pénal turc et la loi n° 6502 sur la protection des consommateurs. En cas de contradiction entre la législation en vigueur et la Politique, la législation en vigueur s’applique.

1.4. Définitions

2. Protection des données personnelles

2.1. Garantie de la sécurité des données personnelles : afin de prévenir la divulgation, l’accès ou le transfert illicites des données personnelles ou tout autre problème de sécurité susceptible de survenir, la Société prend, en fonction de la nature des données, les mesures prévues à l’article 12 de la Loi et tient compte des guides publiés par l’Autorité.

2.2. Données personnelles sensibles : le fonctionnement de la Plateforme ne nécessite pas de données personnelles sensibles et de telles données ne sont pas demandées. Si l’utilisateur saisit de sa propre initiative de telles données dans les notes ou les motifs, celles-ci sont conservées uniquement en tant que contenu de l’utilisateur, ne sont traitées à aucune autre fin et sont protégées conformément à l’article 6 de la Loi et aux mesures fixées par le Conseil.

2.3. Sensibilisation : la Société veille à sensibiliser les personnes ayant accès aux données personnelles au traitement licite et à la protection de ces données ; elle met à jour ces actions en fonction des évolutions de la législation.

3. Traitement des données personnelles

3.1. Principes généraux — Les données personnelles sont traitées conformément aux principes énoncés à l’article 4 de la Loi :

• Conformité à la loi et au principe de bonne foi : traitement dans la mesure requise par les processus métier et sans porter atteinte aux droits et libertés fondamentaux des personnes.
• Exactitude et, si nécessaire, mise à jour : adoption des mesures nécessaires pour que les données traitées soient exactes et à jour.
• Traitement pour des finalités déterminées, explicites et légitimes.
• Caractère lié, limité et proportionné au regard des finalités du traitement.
• Conservation pendant la durée prévue par la législation ou nécessaire à la finalité du traitement ; à l’issue de cette durée, effacement, destruction ou anonymisation.

3.2. Conditions du traitement — Les données personnelles sont traitées sur le fondement d’au moins une des conditions énumérées à l’article 5 de la Loi :

• Traitement expressément prévu par la loi,
• Nécessité de protéger la vie ou l’intégrité physique de la personne elle-même, qui se trouve dans l’impossibilité de fait d’exprimer son consentement, ou d’un tiers,
• Lien direct avec la conclusion ou l’exécution d’un contrat (les traitements relevant du contrat d’inscription reposent sur cette condition),
• Nécessité pour la Société de remplir ses obligations légales,
• Données rendues publiques par la personne concernée elle-même,
• Nécessité pour la constatation, l’exercice ou la protection d’un droit,
• Nécessité aux fins des intérêts légitimes de la Société, à condition de ne pas porter atteinte aux droits et libertés fondamentaux de la personne concernée,
• Existence du consentement explicite de la personne concernée lorsque les conditions ci-dessus ne sont pas réunies.

Le traitement de données nécessaire à l’inscription n’est pas subordonné au consentement explicite. Le consentement explicite n’est requis que pour les sujets pour lesquels il doit être recueilli séparément et de manière facultative ; il peut être retiré à tout moment.

3.3. Information de la personne concernée : les personnes concernées sont informées, au moyen de la Notice d’information KVKK et de la Politique de confidentialité publiées sur la Plateforme, des finalités pour lesquelles leurs données sont traitées, des personnes avec lesquelles elles sont partagées, des méthodes de collecte, du fondement juridique et des droits dont elles disposent.

3.4. Partage des données personnelles : les données personnelles peuvent être partagées avec des tiers conformément aux finalités du traitement et moyennant les mesures de sécurité nécessaires, conformément à l’article 8 de la Loi et, en cas de transfert à l’étranger, à son article 9.

4. Catégories de données et groupes de destinataires

Les principales catégories de données traitées dans le cadre de la Plateforme sont les suivantes : informations de compte et de contact, informations d’utilisation de la Plateforme (cours, présences, examens, devoirs, notes, notes vocales et pièces jointes, sessions Pomodoro), informations Explorer et communautés (profil, informations scolaires, publications, j’aime, votes et signalements), informations relatives à la sécurité des opérations, informations publicitaires ainsi qu’informations relatives aux demandes et aux procédures juridiques. Le détail des données traitées, ainsi que de leurs finalités et fondements juridiques, figure dans la Notice d’information KVKK.

Les données personnelles peuvent être partagées, pour les finalités déterminées et conformément aux principes énoncés au point 3.4, avec les groupes de destinataires suivants :

5. Mesures relatives à la protection des données personnelles

La Société prend les mesures techniques et administratives nécessaires à la protection des données personnelles qu’elle traite. À ce titre, les données sont chiffrées par SSL/TLS lors de leur transmission, les mots de passe et les clés de session sont conservés de manière irréversible, l’accès aux données personnelles est limité par des autorisations, les données de chaque utilisateur ne sont accessibles que par sa propre session et des contrôles réguliers des vulnérabilités de sécurité sont effectués. Si, malgré toutes les mesures prises, des données personnelles sont obtenues illicitement par des tiers, la Société en informe dans les plus brefs délais les personnes concernées et le Conseil.

6. Conservation et élimination des données personnelles

La Société conserve les données personnelles pendant la durée prévue par la législation applicable, lorsqu’une telle durée existe, ou, à défaut, pendant la durée nécessaire à la finalité du traitement. Les durées de conservation par catégorie de données figurent dans la Politique de conservation et d’élimination des données personnelles. Les données personnelles dont la durée de conservation a expiré sont éliminées par l’une des méthodes suivantes : effacement, destruction ou anonymisation. L’élimination effectuée à la demande de la personne concernée est soumise aux mêmes principes.

7. Droits des personnes concernées

7.1. Droits — Conformément à l’article 11 de la Loi, les personnes concernées ont le droit de :

• Savoir si vos données personnelles font l’objet d’un traitement,
• Si tel est le cas, demander des informations à ce sujet,
• Connaître la finalité du traitement de vos données personnelles et savoir si elles sont utilisées conformément à cette finalité,
• Connaître les tiers auxquels elles sont transférées, en Turquie ou à l’étranger,
• Demander la rectification de vos données en cas de traitement incomplet ou inexact, ainsi que la notification de cette opération aux tiers auxquels elles ont été transférées,
• Demander l’effacement ou la destruction de vos données lorsque les motifs ayant justifié leur traitement ont disparu, bien qu’elles aient été traitées conformément à la Loi, ainsi que la notification de cette opération aux tiers auxquels elles ont été transférées,
• Vous opposer à la survenance d’un résultat qui vous est défavorable du fait de l’analyse des données traitées exclusivement au moyen de systèmes automatisés,
• Demander la réparation du préjudice subi en cas de traitement illicite de vos données personnelles.

7.2. Exercice des droits — Les personnes concernées peuvent transmettre leurs demandes relatives à ces droits par les moyens ci-dessous, au moyen du Formulaire de demande de la personne concernée disponible sur la page Nos politiques ou d’une requête écrite conforme au Communiqué :

Nous vous prions d’indiquer « Demande de la personne concernée au titre de la loi sur la protection des données personnelles » sur l’enveloppe ou dans l’objet de l’e-mail.

*Pour les demandes effectuées en personne, seule la présentation du recto de votre pièce d’identité est requise (de sorte que les rubriques groupe sanguin et religion ne soient pas visibles).

7.3. Réponse aux demandes — La Société traite gratuitement les demandes dûment transmises dans les plus brefs délais et au plus tard dans un délai de 30 (trente) jours. Si l’opération engendre un coût supplémentaire, des frais peuvent être perçus selon le barème fixé par le Conseil.

7.4. Cas de rejet de la demande — La Société peut rejeter la demande, en indiquant ses motifs, dans les cas énumérés à l’article 28 de la Loi (tels que le traitement à des fins statistiques après anonymisation ; le traitement à des fins artistiques, historiques, littéraires ou scientifiques ou dans le cadre de la liberté d’expression ; les procédures judiciaires et d’exécution des peines ; la prévention du crime ou les enquêtes pénales ; les données rendues publiques par la personne concernée elle-même ; les missions de contrôle et de régulation des institutions publiques ; la protection des intérêts économiques et financiers de l’État), ainsi que lorsque la demande est susceptible de faire obstacle aux droits et libertés d’autrui, exige des efforts disproportionnés ou porte sur des informations accessibles au public.

7.5. Droit de réclamation auprès du Conseil — En cas de rejet de la demande, de réponse jugée insuffisante ou d’absence de réponse dans le délai imparti, la personne concernée peut introduire une réclamation auprès du Conseil dans un délai de trente jours à compter de la date à laquelle elle a pris connaissance de la réponse de la Société et, en tout état de cause, dans un délai de soixante jours à compter de la date de la demande.

7.6. Informations pouvant être demandées au demandeur — Afin de déterminer si le demandeur est bien la personne concernée et de préciser la demande, la Société peut demander des informations complémentaires à l’intéressé et lui poser des questions relatives à sa demande.

8. Mise en œuvre

La Politique a été mise en vigueur après approbation par le représentant habilité de la Société. Le représentant habilité de la Société est responsable de l’application et de la mise à jour de la Politique ainsi que du suivi des tâches et opérations qui en relèvent. La mise en œuvre technique de la Politique est assurée par la Politique de conservation et d’élimination des données personnelles.

9. Entrée en vigueur et publication

La Politique entre en vigueur à la date de sa publication sur la Plateforme. Les modifications apportées à la Politique sont mises à la disposition des personnes concernées par leur publication sur la Plateforme et s’appliquent à compter de la date de leur publication.