Дербес деректерді сақтау және жою саясаты

1. Саясаттың мақсаты

Adil Onur Karahan Şahıs Şirketi («Компания») Attendify+ мобильді қолданбасы және интернет-сайты («Платформа») аясында өңдейтін дербес деректерге қатысты осы Дербес деректерді сақтау және жою саясаты («Сақтау және жою саясаты») дербес деректердің «Дербес деректерді қорғау туралы» 6698 нөмірлі Заңға («Заң») сәйкес техникалық және ұйымдастырушылық тұрғыдан қорғалуын, сондай-ақ өңдеу шарттары жойылған жағдайда 28.10.2017 жылғы Ресми газетте жарияланған Дербес деректерді өшіру, біржола жою немесе анонимдеу туралы ереженің («Ереже») нормаларының қолданылуын реттеу мақсатында қабылданды.

2. Дербес деректер сақталатын тіркеу орталары

Дербес деректер ең алдымен Заң талаптарына, сондай-ақ тиісті заңнамаға сәйкес мына орталарда қауіпсіз түрде сақталады:

• Электрондық орталар: Түркиядағы Платформа серверлеріндегі MySQL дерекқоры және жазба тіркемелеріне арналған файл орны, серверге кіру журналдары, сақтық көшірме орталары, электрондық пошта жәшігі; пайдаланушының өз құрылғысындағы дерекқор, файл орны және қауіпсіз қойма.
• Физикалық орталар: қолмен қол қойылған деректер субъектілерінің өтініштері және оларға қатысты хат алмасулар.

3. Сақтау мен жоюды талап ететін негіздер

Дербес деректер әсіресе Платформа қызметін жалғастыру, заңды міндеттерді орындау және пайдаланушылармен қарым-қатынасты басқару мақсатында сақталады. Сақтауды талап ететін негіздер мыналар:

• Дербес деректердің келісімшартты жасасуға және орындауға тікелей қатысты болуы,
• Құқықты белгілеу, жүзеге асыру немесе қорғау,
• Адамдардың негізгі құқықтары мен бостандықтарына зиян келтірмеу шартымен Компанияның заңды мүддесінің болуы,
• Компанияның заңды міндеттерін орындауы,
• Заңнамада дербес деректерді сақтаудың тікелей көзделуі,
• Айқын келісімді талап ететін сақтау әрекеттері бойынша деректер субъектісінің айқын келісімінің болуы.

Ережеге сәйкес мына жағдайларда дербес деректер өз бастамасымен немесе өтініш бойынша өшіріледі, біржола жойылады немесе анонимделеді:

• Өңдеуге немесе сақтауға негіз болатын заңнама нормаларының өзгертілуі немесе күшін жоюы,
• Өңдеуді немесе сақтауды талап ететін мақсаттың жойылуы,
• Заңның 5 және 6-баптарындағы өңдеу шарттарының жойылуы,
• Өңдеу тек айқын келісімге негізделген жағдайларда қатысты тұлғаның келісімін кері қайтарып алуы,
• Қатысты тұлғаның Заңның 11-бабының 2 (e) және (f) тармақшалары аясындағы өшіру, біржола жою немесе анонимдеу туралы өтінішінің қабылдануы,
• Компания осындай өтінішті қабылдамаған, оның жауабы жеткіліксіз деп танылған немесе мерзімінде жауап бермеген жағдайда Кеңеске берілген шағымды Кеңестің негізді деп тануы,
• Ең ұзақ сақтау мерзімі өткеніне қарамастан деректерді одан әрі сақтауды ақтайтын шарттың болмауы.

4. Дербес деректерді қорғау үшін қабылданған шаралар

Компания Заңның 12-бабына сәйкес дербес деректердің заңсыз өңделуінің және оларға заңсыз қол жеткізудің алдын алу және олардың сақталуын қамтамасыз ету үшін тиісті қауіпсіздік деңгейін қамтамасыз ететін техникалық және ұйымдастырушылық шараларды қабылдайды. Барлық шараларға қарамастан деректерді үшінші тұлғалар заңсыз жолмен иеленген жағдайда бұл туралы қатысты тұлғаға және Кеңеске мүмкіндігінше қысқа мерзімде хабарланады.

4.1. Техникалық шаралар

• Желі және қолданба қауіпсіздігі қамтамасыз етіледі, деректер берілісі SSL/TLS арқылы шифрланады.
• Құпиясөздер, растау кодтары және сеанс кілттері кері қайтарылмайтын түрде (хэштеліп) сақталады.
• Серверге және дерекқорға қол жеткізу өкілеттікпен шектелген, әр пайдаланушының деректеріне тек оның өз сеансы арқылы қол жеткізуге болады.
• Аутентификация нүктелерінде сұраныстар шегі қолданылады, кіру журналдары тұрақты түрде жүргізіледі.
• Брандмауэр және шабуылдардың алдын алу шаралары қолданылады, бағдарламалық жасақтама өзекті күйде ұсталады.
• Дербес деректердің сақтық көшірмесі жасалады және сақтық көшірмелердің қауіпсіздігі қамтамасыз етіледі.
• Ағымдағы тәуекелдер мен қатерлер анықталған, қауіпсіздік осалдықтарына тұрақты тексерулер жүргізіледі.

4.2. Ұйымдастырушылық шаралар

• Дербес деректерге тек қызметтік міндетіне байланысты қажеттілігі бар адамдардың қол жеткізуі қамтамасыз етіледі.
• Дербес деректер берілетін қызмет провайдерлерімен жасалатын келісімшарттарға деректер қауіпсіздігі туралы талаптар енгізіледі, провайдерлердің хабардарлығы қамтамасыз етіледі.
• Дербес деректерге қол жеткізетін адамдармен құпиялылық туралы міндеттемелер жасалады.
• Деректер қауіпсіздігі мәселелері туралы жедел хабарланады және заңсыз иелену жағдайлары туралы тиісті тұлғаға және Кеңеске мүмкіндігінше қысқа мерзімде хабарланады.
• Заң талаптарының орындалуына тексерулер жүргізіледі, анықталған осалдықтар жойылады.

5. Дербес деректерді жою тәсілдері

Компания дербес деректерді өңдеуді талап ететін негіздер жойылған жағдайда өз шешімімен немесе қатысты тұлғаның талабы бойынша мына тәсілдердің бірімен немесе бірнешеуімен жояды. Процесс өшірілетін деректерді анықтау, қатысты тұлғаларды анықтау, қол жеткізу тәсілдерін анықтау және деректерді жою қадамдары арқылы жүргізіледі.

5.1. Өшіру

• Дерекқорда дербес деректер орналасқан жолдарды немесе бағандарды өшіру,
• Сервердегі тіркеме файлдарын өшіру және файлдарға қатысты пайдаланушының қол жеткізу құқықтарын алып тастау,
• Қағаз тасығыштағы деректерді бояп жасыру әдісімен оқылмайтын күйге келтіру.

5.2. Біржола жою

• Сақтық көшірме орталарындағы деректерді сақтық көшірме циклінің соңында қалпына келтірілмейтіндей етіп қайта жазу,
• Қағаз құжаттарды қағаз жоятын құрылғымен жою,
• Магниттік тасығыштарды магнитсіздендіру немесе физикалық түрде жою.

5.3. Анонимдеу

• Маскалау: дербес деректің негізгі сәйкестендіруші ақпаратын деректер жиынынан алып тастау.
• Жазбаларды алып тастау: бірегейлігі бар деректер жолдарын жазбалар қатарынан алып тастау.
• Жалпылау (жаһандық кодтау): деректерді неғұрлым жалпы мазмұнға айналдыру.

Заңның 28-бабына сәйкес анонимделген деректер зерттеу, жоспарлау және статистика мақсатында өңделуі мүмкін; бұл әрекеттер Заңның қолданылу аясынан тыс. Компания жою тәсілін деректер тіркелген ортаға қарай өз қалауымен айқындайды.

6. Сақтау және жою мерзімдері

Заңнамада мерзім көзделсе, сол мерзім сақталады; көзделмесе, дербес деректер мына мерзімдер бойы сақталады.

Қатысты тұлғаның өшіру туралы талаптары мерзімді жоюды күтпей орындалады. Басқа жағдайларда мерзім аяқталғанда дербес деректер осы күннен кейінгі алғашқы мерзімді жою кезінде өшіріледі, біржола жойылады немесе анонимделеді. Жою әрекеттері тіркеледі және бұл тіркеу мәліметтері өзге заңды міндеттерге нұқсан келтірмей кемінде үш жыл сақталады.

7. Мерзімді жою кезеңі

Ереженің 11-бабына сәйкес мерзімді жою кезеңі 6 ай болып белгіленген. Осыған сәйкес жыл сайын маусым және желтоқсан айларында мерзімді жою жүргізіледі.

8. Қайта қарау және күшін жою

Сақтау және жою саясаты өзгертілген немесе күші жойылған жағдайда жаңа құжат Платформадағы Саясаттарымыз бетінде жарияланады.

9. Күшіне енуі

Осы Сақтау және жою саясаты жарияланған күнінен бастап күшіне енеді.