Política de Retenção e Descarte de Dados Pessoais

1. Finalidade da política

Esta Política de Retenção e Descarte de Dados Pessoais (“Política de Retenção e Descarte”), relativa aos dados pessoais tratados por Adil Onur Karahan Şahıs Şirketi (“Empresa”) no âmbito do aplicativo móvel e do site do Attendify+ (“Plataforma”), foi emitida para regular a proteção técnica e administrativa dos dados pessoais em conformidade com a Lei nº 6698 sobre a Proteção de Dados Pessoais (“Lei”) e a aplicação, quando deixarem de existir as condições de tratamento, das disposições do Regulamento sobre a Exclusão, Destruição ou Anonimização de Dados Pessoais (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik; “Regulamento”), publicado no Diário Oficial (Resmî Gazete) de 28.10.2017.

2. Meios de registro em que os dados pessoais são armazenados

Os dados pessoais são armazenados com segurança nos meios abaixo, em conformidade com a legislação aplicável, em especial as disposições da Lei:

• Meios eletrônicos: o banco de dados MySQL e a área de arquivos dos anexos das anotações nos servidores da Plataforma na Turquia, os registros de acesso ao servidor, os meios de backup e a caixa de e-mail; o banco de dados, a área de arquivos e o armazenamento seguro no próprio dispositivo do usuário.
• Meios físicos: solicitações de titulares com assinatura de próprio punho e as respectivas correspondências.

3. Motivos que exigem a retenção e o descarte

Os dados pessoais são armazenados especialmente para permitir a continuidade das atividades da Plataforma, o cumprimento das obrigações legais e a gestão das relações com os usuários. Os motivos que exigem a retenção são os seguintes:

• Relação direta dos dados pessoais com a celebração e a execução do contrato,
• Constituição, exercício ou proteção de um direito,
• Existência de legítimo interesse da Empresa, desde que não prejudique os direitos e liberdades fundamentais das pessoas,
• Cumprimento das obrigações legais da Empresa,
• Previsão expressa, na legislação, de armazenamento dos dados pessoais,
• Existência de consentimento explícito do titular, no caso de atividades de armazenamento que o exijam.

Nos termos do Regulamento, os dados pessoais são excluídos, destruídos ou anonimizados, de ofício ou mediante solicitação, nas seguintes hipóteses:

• Alteração ou revogação das disposições legais que fundamentam o tratamento ou o armazenamento,
• Desaparecimento da finalidade que exige o tratamento ou o armazenamento,
• Desaparecimento das condições de tratamento previstas nos arts. 5 e 6 da Lei,
• Revogação do consentimento pelo titular, nos casos em que o tratamento se baseia exclusivamente no consentimento explícito,
• Aceitação da solicitação de exclusão, destruição ou anonimização apresentada pelo titular com base nas alíneas 2 (e) e (f) do art. 11 da Lei,
• Acolhimento, pelo Conselho de Proteção de Dados Pessoais (“Conselho”), da reclamação a ele apresentada após a Empresa recusar a solicitação nesse sentido, a resposta ser considerada insuficiente ou não ser respondida no prazo,
• Inexistência de condição que justifique o armazenamento por mais tempo, apesar de expirado o prazo máximo de retenção.

4. Medidas adotadas para a proteção dos dados pessoais

Em conformidade com o art. 12 da Lei, a Empresa adota medidas técnicas e administrativas que asseguram o nível de segurança adequado para prevenir o tratamento e o acesso ilícitos aos dados pessoais e garantir sua conservação. Se, apesar de todas as medidas, os dados forem obtidos ilicitamente por terceiros, o fato é comunicado ao titular e ao Conselho no menor prazo possível.

4.1. Medidas técnicas

• É garantida a segurança da rede e das aplicações, e a transmissão de dados é criptografada com SSL/TLS.
• As senhas, os códigos de confirmação e as chaves de sessão são armazenados de forma irreversível (sob a forma de hash).
• O acesso ao servidor e ao banco de dados é restrito mediante autorização, e os dados de cada usuário só podem ser acessados por meio da sua própria sessão.
• É aplicado limite de solicitações nos pontos de autenticação, e os registros de acesso são mantidos regularmente.
• São utilizadas medidas de firewall e de prevenção de ataques, e os softwares são mantidos atualizados.
• Os dados pessoais são copiados (backup), e a segurança dos backups é garantida.
• Os riscos e as ameaças existentes foram identificados, e são realizadas verificações periódicas de vulnerabilidades de segurança.

4.2. Medidas administrativas

• Assegura-se que somente as pessoas que necessitam dos dados pessoais em razão de suas funções tenham acesso a eles.
• São incluídas cláusulas de segurança de dados nos contratos firmados com os prestadores de serviços aos quais os dados pessoais são transferidos, e é promovida a conscientização desses prestadores.
• São firmados compromissos de confidencialidade com as pessoas que acessam dados pessoais.
• Os problemas de segurança de dados são relatados rapidamente, e os casos de obtenção ilícita são comunicados ao interessado e ao Conselho no menor prazo possível.
• São realizadas auditorias relativas à aplicação das disposições da Lei, e as vulnerabilidades identificadas são corrigidas.

5. Métodos de descarte dos dados pessoais

Quando deixam de existir os motivos que exigem o tratamento, a Empresa descarta os dados pessoais, por decisão própria ou mediante solicitação do titular, por um ou mais dos métodos abaixo. O processo é conduzido nas etapas de identificação dos dados a serem excluídos, identificação dos titulares envolvidos, identificação dos métodos de acesso e descarte dos dados.

5.1. Exclusão

• Exclusão das linhas ou colunas do banco de dados em que se encontram os dados pessoais,
• Exclusão dos arquivos anexos no servidor e remoção dos direitos de acesso dos usuários a esses arquivos,
• Tornar ilegíveis os dados em papel pelo método de tarjamento.

5.2. Destruição

• Sobrescrita dos dados nos meios de backup ao fim do ciclo de backup, de forma que não possam ser recuperados,
• Destruição de documentos em papel por fragmentadora de papel,
• Desmagnetização ou destruição física de mídias magnéticas.

5.3. Anonimização

• Mascaramento: remoção, do conjunto de dados, das informações identificadoras básicas do dado pessoal.
• Remoção de registros: retirada, dentre os registros, das linhas de dados que apresentem singularidade.
• Generalização (codificação global): conversão do dado em um conteúdo mais genérico.

Nos termos do art. 28 da Lei, os dados anonimizados podem ser tratados para fins de pesquisa, planejamento e estatística; essas operações estão fora do âmbito de aplicação da Lei. A Empresa define livremente o método de descarte de acordo com o meio em que o dado está registrado.

6. Prazos de retenção e descarte

Se houver prazo previsto na legislação, ele é observado; caso contrário, os dados pessoais são armazenados pelos prazos abaixo.

As solicitações de exclusão do titular são atendidas sem aguardar o descarte periódico. Nos demais casos, ao fim do prazo, os dados pessoais são excluídos, destruídos ou anonimizados no primeiro descarte periódico seguinte a essa data. As operações de descarte são registradas, e esses registros são conservados por no mínimo três anos, ressalvadas outras obrigações legais.

7. Prazo do descarte periódico

Nos termos do art. 11 do Regulamento, o prazo do descarte periódico foi fixado em 6 meses. Assim, o descarte periódico é realizado todos os anos, nos meses de junho e dezembro.

8. Revisão e revogação

Em caso de alteração ou revogação da Política de Retenção e Descarte, a nova norma é publicada na página Nossas Políticas da Plataforma.

9. Vigência

Esta Política de Retenção e Descarte entra em vigor na data de sua publicação.