1. ZWECK:
Diese Richtlinie zum Schutz personenbezogener Daten und zum Schutz der Privatsphäre ("Richtlinie"), Güneş Tel Çekme San. Ve Tic. A.Ş. ("Gesellschaft") legt die Grundsätze fest, die innerhalb der Gesellschaft und/oder von der Gesellschaft bei der Erfüllung ihrer Verpflichtungen zum Schutz personenbezogener Daten und bei der Verarbeitung personenbezogener Daten in Übereinstimmung mit den Bestimmungen der einschlägigen Gesetzgebung, insbesondere des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten, zu befolgen sind. Die Gesellschaft verpflichtet sich, in Bezug auf personenbezogene Daten innerhalb seiner eigenen Struktur in Übereinstimmung mit dieser Richtlinie und den gemäß der Richtlinie umzusetzenden Verfahren zu handeln.
2. UMFANG:
Diese Richtlinie deckt alle Aktivitäten in Bezug auf personenbezogene Daten ab, die von der Gesellschaft verarbeitet werden, und gilt für solche Aktivitäten.
Diese Richtlinie gilt für personenbezogene Daten von Mitarbeitern der Gesellschaft , Bewerbern, Dienstleistern, Besuchern und anderen Dritten, die in den Geltungsbereich dieser Richtlinie fallen, und diese Richtlinie gilt für alle Aufzeichnungsmedien und Aktivitäten zur Verarbeitung personenbezogener Daten, die dem Unternehmen gehören oder von ihm verwaltet werden. Diese Richtlinie gilt nicht für Daten, die nicht als personenbezogene Daten einzustufen sind.
3. BEZEICHNUNGEN:
"Ausdrückliche Zustimmung" bezieht sich auf eine Zustimmung, die auf Informationen zu einem bestimmten Thema beruht und mit freiem Willen ausgedrückt wird.
"Anonymisierung" bedeutet, dass die personenbezogenen Daten unter keinen Umständen mit einer bestimmten oder bestimmbaren natürlichen Person in Verbindung gebracht werden können, auch nicht durch Abgleich mit anderen Daten.
"Auskunftspflicht" bezieht sich auf die Verpflichtung des für die Verarbeitung Verantwortlichen oder der von ihm beauftragten Person, der betroffenen Person im Rahmen von Artikel 10 des KVKK bei der Erfassung personenbezogener Daten Auskunft zu erteilen.
"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (im Rahmen dieser Richtlinie umfasst der Begriff „personenbezogene Daten“ auch „besondere Kategorien personenbezogener Daten“, die weiter unten definiert werden, soweit dies angemessen ist).
"Verarbeitung personenbezogener Daten" ist jeder Vorgang, der mit personenbezogenen Daten durchgeführt wird, wie z. B. das Beschaffen, Erfassen, Speichern, Aufbewahren, Ändern, Reorganisieren, Offenlegen, Übermitteln, Übernehmen, Bereitstellen, Klassifizieren oder Verhindern der Nutzung personenbezogener Daten mit ganz oder teilweise automatischen oder nichtautomatischen Mitteln, sofern er Teil eines Datenerfassungssystems ist.
"Ausschuss" bezieht sich auf den Ausschuss, der für die Umsetzung dieser Richtlinie und der gemäß dieser Richtlinie umzusetzenden KVKK-Verfahren verantwortlich ist.
"Ausschuss" bezeichnet den Ausschuss für den Schutz personenbezogener Daten.
"Behörde" bezieht sich auf die Behörde für den Schutz personenbezogener Daten.
"KVKK" bezieht sich auf das Gesetz Nr. 6698 über den Schutz personenbezogener Daten..
"KVKK" bezieht sich auf das Gesetz Nr. 6698 über den Schutz personenbezogener Daten.
"KVK-Vorschriften" bezieht sich auf das Gesetz Nr. 6698 über den Schutz personenbezogener Daten und andere einschlägige Rechtsvorschriften zum Schutz personenbezogener Daten, verbindliche Beschlüsse, Grundsatzentscheidungen, Bestimmungen, Anweisungen von Regulierungs- und Aufsichtsbehörden, Gerichten und anderen offiziellen Behörden sowie geltende internationale Vereinbarungen und andere Rechtsvorschriften zum Datenschutz.
"KVK-Verfahren" bezieht sich auf die Verfahren, die die Verpflichtungen festlegen, die das Unternehmen, die Mitarbeiter und der Ausschuss im Rahmen dieser Richtlinie einzuhalten haben.
"Sensible personenbezogene Daten" sind Daten über Rasse, ethnische Herkunft, politische Meinung, Weltanschauung, Religion, Sekte oder sonstige Überzeugungen, Aussehen und Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten.
"Löschung" bedeutet, dass personenbezogene Daten für die betreffenden Nutzer unzugänglich und nicht wiederverwendbar gemacht werden.
"Datenverarbeiter" bezieht sich auf die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet, indem sie von dem für die Verarbeitung Verantwortlichen ermächtigt wird.
Der Begriff "betroffene Person" bezieht sich auf alle natürlichen Personen, deren personenbezogene Daten von oder im Namen der Gesellschaft verarbeitet werden.
"Verarbeitung Verantwortliche" ist die natürliche oder juristische Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt und für die Einrichtung und Verwaltung des Datenerfassungssystems verantwortlich ist.
"Vernichtung" bezieht sich auf den Prozess der Unzugänglichkeit, Unwiederherstellbarkeit und Unbrauchbarkeit personenbezogener Daten durch irgendjemanden.
4. POLITIK ZUM SCHUTZ PERSONENBEZOGENER DATEN
4.1 Verarbeitung personenbezogener Daten in Übereinstimmung mit dem Gesetz und nach Treu und Glauben
Die Gesellschaft verarbeitet personenbezogene Daten in Übereinstimmung mit dem Gesetz und nach Treu und Glauben und auf der Grundlage des Grundsatzes der Verhältnismäßigkeit.
4.2 Ergreifen der erforderlichen Maßnahmen, um sicherzustellen, dass personenbezogene Daten richtig und auf dem neuesten Stand sind, wenn dies erforderlich ist
Die Gesellschaftergreift alle erforderlichen Maßnahmen, um sicherzustellen, dass die personenbezogenen Daten vollständig, richtig und aktuell sind, und aktualisiert die entsprechenden personenbezogenen Daten, wenn die betroffene Person Änderungen der personenbezogenen Daten im Rahmen der KVKK-Verordnungen beantragt.
4.3 Verarbeitung personenbezogener Daten zu spezifischen, ausdrücklichen und rechtmäßigen Zwecken
Vor der Verarbeitung personenbezogener Daten wird der Zweck, für den die personenbezogenen Daten verarbeitet werden, vom Unternehmen festgelegt. In diesem Zusammenhang wird die betroffene Person über den Geltungsbereich der KVK-Vorschriften aufgeklärt und ihre ausdrückliche Zustimmung eingeholt, sofern erforderlich.
4.4 Personenbezogene Daten sind für den Zweck, für den sie verarbeitet werden, relevant, begrenzt und verhältnismäßig
Die Gesellschaft verarbeitet personenbezogene Daten nur in Ausnahmefällen im Rahmen der KVK-Verordnungen (Art. 5.2 und Art. 6.3 KVKK) oder zweckentsprechend im Rahmen der von der betroffenen Person eingeholten ausdrücklichen Einwilligung (Art. 5.1 und Art. 6.2 KVKK) und unter Beachtung des Grundsatzes der Verhältnismäßigkeit. Der für die Datenverarbeitung Verantwortliche verarbeitet personenbezogene Daten in einer Weise, die der Erfüllung der angegebenen Zwecke förderlich ist, und vermeidet die Verarbeitung personenbezogener Daten, die nicht mit der Erfüllung des Zwecks in Zusammenhang stehen oder nicht benötigt werden.
4.5 Aufbewahrung personenbezogener Daten für den Zeitraum, der in den einschlägigen Rechtsvorschriften festgelegt ist oder für den Zweck der Verarbeitung erforderlich ist
Die Gesellschaft bewahrt personenbezogene Daten so lange auf, wie es für den jeweiligen Zweck erforderlich ist. Wenn die Gesellschaft personenbezogene Daten länger aufbewahren möchte, als in den KVK-Verordnungen festgelegt oder durch den Zweck der Verarbeitung personenbezogener Daten erforderlich ist, handelt die Gesellschaft in Übereinstimmung mit den in den KVK-Verordnungen festgelegten Verpflichtungen. Nach Ablauf der für den Zweck der Verarbeitung der personenbezogenen Daten erforderlichen Frist werden die personenbezogenen Daten gelöscht oder anonymisiert. In diesem Fall wird sichergestellt, dass Dritte, an die die Gesellschaft personenbezogene Daten übermittelt, diese ebenfalls löschen, vernichten oder anonymisieren. Der Ausschuss ist für die Durchführung der Verfahren zur Löschung, Vernichtung und Anonymisierung zuständig. In diesem Zusammenhang wird das erforderliche Verfahren vom Ausschuss festgelegt.
4.6 ERARBEITUNG VON PERSONENBEZOGENEN DATEN - AUSDRÜCKLICHE ZUSTIMMUNG
Personenbezogene Daten werden verarbeitet, nachdem die betroffenen Personen im Rahmen der Erfüllung der Informationspflicht informiert wurden und wenn die betroffenen Personen ihre ausdrückliche Zustimmung gegeben haben. Die betroffenen Personen werden über ihre Rechte informiert, bevor sie im Rahmen der Offenlegungspflicht ihre ausdrückliche Zustimmung erteilen. Die ausdrückliche Zustimmung der betroffenen Person wird durch Methoden eingeholt, die mit den KVK-Verordnungen übereinstimmen. Ausdrückliche Zustimmungen werden vom Unternehmen nachweislich für den erforderlichen Zeitraum im Rahmen der KVK-Vorschriften aufbewahrt. Der Ausschuss ist verpflichtet, dafür zu sorgen, dass die Offenlegungsverpflichtung bei allen Verarbeitungen personenbezogener Daten erfüllt wird und dass die ausdrückliche Zustimmung eingeholt wird, wenn dies erforderlich ist, und dass die eingeholte ausdrückliche Zustimmung aufbewahrt wird. Alle Mitarbeiter der Abteilung, die personenbezogene Daten verarbeiten, sind verpflichtet, die Anweisungen des Ausschusses, diese Richtlinie und die dieser Richtlinie beigefügten KVK-Verfahren zu befolgen.
4.7 Verarbeitung von personenbezogenen Daten ohne ausdrückliche Zustimmung
In Fällen, in denen die Verarbeitung personenbezogener Daten ohne ausdrückliche Zustimmung im Rahmen der KVK-Verordnungen (Artikel 5.2 des KVKK) vorgesehen ist, kann die Gesellschaft personenbezogene Daten verarbeiten, ohne die ausdrückliche Zustimmung der betroffenen Person einzuholen. Falls personenbezogene Daten auf diese Weise verarbeitet werden, verarbeitet die Gesellschaft personenbezogene Daten innerhalb der in den KVK-Verordnungen festgelegten Grenzen. In diesem Zusammenhang:
Personenbezogene Daten können von der Gesellschaft ohne ausdrückliche Zustimmung verarbeitet werden, wenn dies in den Gesetzen ausdrücklich vorgesehen ist. Personenbezogene Daten können vom Unternehmen ohne ausdrückliche Einwilligung verarbeitet werden, wenn dies zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person, die ihre Einwilligung aufgrund tatsächlicher Unmöglichkeit nicht erteilen kann oder deren Einwilligung nicht rechtsgültig ist, zwingend erforderlich ist.
Sofern dies in direktem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht, können personenbezogene Daten von der Gesellschaft ohne die ausdrückliche Zustimmung der betroffenen Personen verarbeitet werden, wenn dies zur Verarbeitung der personenbezogenen Daten der Vertragsparteien erforderlich ist.
Wenn die Verarbeitung personenbezogener Daten für die Gesellschaft zwingend erforderlich ist, um seine rechtlichen Verpflichtungen zu erfüllen, können personenbezogene Daten vom Unternehmen ohne die ausdrückliche Zustimmung der betroffenen Personen verarbeitet werden.
Personenbezogene Daten, die von der betroffenen Person veröffentlicht wurden, können von der Gesellschaft verarbeitet werden, ohne dass eine ausdrückliche Zustimmung eingeholt wird.
Wenn die Verarbeitung personenbezogener Daten für die Begründung, die Ausübung oder den Schutz eines Rechts zwingend erforderlich ist, können personenbezogene Daten von der Gesellschaft verarbeitet werden, ohne dass eine ausdrückliche Zustimmung eingeholt wird. Sofern die Grundrechte und -freiheiten der betroffenen Person nicht beeinträchtigt werden, können personenbezogene Daten vom Unternehmen ohne ausdrückliche Zustimmung verarbeitet werden, wenn die Datenverarbeitung für die berechtigten Interessen der Gesellschaft zwingend erforderlich ist.
I. ERARBEITUNG BESONDERER KATEGORIEN VON PERSONENBEZOGENEN DATEN 4.8 Spezielle Kategorien personenbezogener Daten
Spezielle Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn die ausdrückliche Einwilligung der betroffenen Person vorliegt oder wenn die Verarbeitung für besondere Kategorien personenbezogener Daten mit Ausnahme von Daten zum Sexualleben und zur persönlichen Gesundheit ausdrücklich gesetzlich vorgeschrieben ist.
Personenbezogene Daten, die sich auf die Gesundheit und das Sexualleben beziehen, dürfen ohne ausdrückliche Zustimmung nur von Personen, die der Schweigepflicht unterliegen (z. B. Betriebsarzt), oder von befugten Einrichtungen und Organisationen zum Zwecke des Schutzes der öffentlichen Gesundheit, der Prävention, der medizinischen Diagnose, der Behandlung und der Pflegedienste, der Planung und Verwaltung der Gesundheitsdienste und der Finanzierung verarbeitet werden.
Bei der Verarbeitung sensibler personenbezogener Daten werden von der Gesellschaft festgelegte Maßnahmen ergriffen. Die Gesellschaft bietet regelmäßige Schulungen zu den KVK-Vorschriften und der Sicherheit besonderer Kategorien personenbezogener Daten für Mitarbeiter an, die mit der Verarbeitung besonderer Kategorien personenbezogener Daten befasst sind.
Sie wird Vertraulichkeitsvereinbarungen treffen. Sie muss den Umfang und die Dauer der Berechtigung von Nutzern, die zum Zugriff auf sensible personenbezogene Daten berechtigt sind, eindeutig festlegen. Führen Sie regelmäßig Genehmigungsprüfungen durch.
Unverzügliche Aufhebung der Genehmigungen von Mitarbeitern, die ihren Aufgabenbereich wechseln oder ihren Arbeitsplatz verlassen, und unverzügliche Rücknahme des dem betreffenden Mitarbeiter zugewiesenen Bestands.
Im Falle der Übertragung auf elektronische Medien mit besonderen Merkmalen ist die Gesellschaft für die elektronischen Medien verantwortlich, in denen die besonders qualifizierten Daten verarbeitet, gespeichert und/oder abgerufen werden:
Die sensiblen personenbezogenen Daten werden mit kryptografischen Methoden gespeichert. Bewahren Sie kryptografische Schlüssel in sicheren und unterschiedlichen Umgebungen auf.
Sie protokolliert sicher die Transaktionsaufzeichnungen aller Bewegungen, die mit sensiblen personenbezogenen Daten durchgeführt werden.
Kontinuierliche Verfolgung der Sicherheitsaktualisierungen der Umgebungen, in denen sich sensible personenbezogene Daten befinden, regelmäßige Durchführung der erforderlichen Sicherheitstests und Aufzeichnung der Testergebnisse.
Wenn über eine Software auf sensible personenbezogene Daten zugegriffen wird, nimmt sie Benutzerberechtigungen für diese Software vor, führt regelmäßig Sicherheitstests für diese Software durch bzw. lässt diese durchführen und zeichnet die Testergebnisse auf.
Im Falle eines Fernzugriffs auf sensible personenbezogene Daten wird sie ein mindestens zweistufiges Authentifizierungssystem bereitstellen.
Werden besondere Kategorien personenbezogener Daten in einer physischen Umgebung verarbeitet, so ist die Gesellschaft für die physische Umgebung verantwortlich, in der die Daten verarbeitet, gespeichert und/oder abgerufen werden:
Gewährleistung angemessener Sicherheitsmaßnahmen (gegen Stromausfall, Feuer, Überschwemmung, Diebstahl usw.) entsprechend der Art der Umgebung, in der sich die sensiblen personenbezogenen Daten befinden.
Sie wird das unbefugte Betreten und Verlassen verhindern, indem sie die physische Sicherheit dieser Umgebungen gewährleistet.
Im Falle der Übermittlung besonderer personenbezogener Daten ist der für die Datenverarbeitung Verantwortliche:
Wenn die Übermittlung sensibler personenbezogener Daten per E-Mail erforderlich ist, wird eine verschlüsselte Unternehmens-E-Mail-Adresse oder ein Konto für elektronische Post ("KEP") verwendet.
Wenn es notwendig ist, sensible persönliche Daten über Medien wie tragbare Speicher, CDs oder DVDs zu übertragen, werden sie mit kryptografischen Methoden verschlüsselt und der kryptografische Schlüssel auf verschiedenen Medien aufbewahrt.
Wenn es erforderlich ist, sensible personenbezogene Daten zwischen Servern in verschiedenen physischen Umgebungen zu übertragen, wird die Übertragung durch die Einrichtung eines VPN zwischen den Servern oder durch die SFTP-Methode durchgeführt.
Wenn die Übermittlung sensibler personenbezogener Daten in Papierform erforderlich ist, trifft er die notwendigen Vorkehrungen gegen Risiken wie Diebstahl, Verlust oder unbefugte Einsichtnahme in das Dokument und versendet das Dokument im Format „vertraulicher Dokumente“.
Zusätzlich zu den oben genannten Vorschriften handelt die Gesellschaft in Übereinstimmung mit den KVK-Vorschriften, insbesondere mit dem vom Vorstand veröffentlichten Leitfaden für die Sicherheit personenbezogener Daten, einschließlich besonderer Datenkategorien. Der Ausschuss wird in jedem Fall, der die Verarbeitung besonderer Kategorien personenbezogener Daten erfordert, von dem betreffenden Mitarbeiter informiert. Wenn nicht klar ist, ob es sich bei den Daten um besondere Kategorien personenbezogener Daten handelt oder nicht, holt die zuständige Dienststelle die Stellungnahme des Ausschusses ein.
II. AUFBEWAHRUNGSFRIST FÜR PERSONENBEZOGENE DATEN
Personenbezogene Daten werden in der Gesellschaft für die Dauer der einschlägigen gesetzlichen Aufbewahrungsfristen und für den Zeitraum aufbewahrt, der für die Durchführung der mit diesen Daten verbundenen Tätigkeiten und die in dieser Richtlinie genannten Zwecke erforderlich ist. Personenbezogene Daten, deren Verwendungszweck beendet und die gesetzliche Aufbewahrungsfrist abgelaufen ist, werden vom Unternehmen gemäß Artikel 7 KVKK gelöscht, vernichtet oder anonymisiert.
4.9 LÖSCHUNG, VERNICHTUNG UND ANONYMISIERUNG VON PERSONENBEZOGENEN DATEN
Wenn der rechtmäßige Zweck für die Verarbeitung personenbezogener Daten entfällt, werden die betreffenden personenbezogenen Daten gelöscht, vernichtet oder anonymisiert. Situationen, in denen personenbezogene Daten gelöscht, vernichtet oder anonymisiert werden sollten, werden vom Ausschuss verfolgt.
Der Ausschuss ist für die Durchführung der Verfahren zur Löschung, Vernichtung und Anonymisierung zuständig. In diesem Zusammenhang wird das erforderliche Verfahren vom Ausschuss festgelegt.
Die Gesellschaft speichert personenbezogene Daten nicht im Hinblick auf eine mögliche zukünftige Nutzung.
Alle Lösch-, Vernichtungs- und Anonymisierungsmaßnahmen, die die Gesellschaft in Bezug auf personenbezogene Daten durchführt, müssen in Übereinstimmung mit den in der Richtlinie zur Aufbewahrung, Vernichtung und Anonymisierung personenbezogener Daten festgelegten Grundsätzen erfolgen.
4.10 ÜBERMITTLUNG VON PERSONENBEZOGENEN DATEN UND VERARBEITUNG PERSONENBEZOGENER DATEN DURCH DRITTE
Die Gesellschaft kann personenbezogene Daten an eine dritte natürliche oder juristische Person im In- und/oder Ausland in Übereinstimmung mit den PDP-Verordnungen übermitteln, indem es die erforderlichen Maßnahmen in Übereinstimmung mit den Zwecken der Verarbeitung personenbezogener Daten ergreift. In diesem Fall stellt die Gesellschaft sicher, dass auch Dritte, an die es personenbezogene Daten weitergibt, diese Richtlinie einhalten.
In diesem Zusammenhang werden den mit dem Dritten geschlossenen Verträgen die erforderlichen Schutzbestimmungen hinzugefügt. Der Artikel, der den Verträgen mit Dritten, an die personenbezogene Daten jeglicher Art übermittelt werden, hinzuzufügen ist, ist beim Ausschuss erhältlich.
Jeder Mitarbeiter ist verpflichtet, im Falle einer Übermittlung personenbezogener Daten das in dieser Richtlinie beschriebene Verfahren zu durchlaufen. Verlangt der Dritte, an den personenbezogene Daten übermittelt werden, eine Änderung des vom Ausschuss mitgeteilten Artikels, so wird dies dem Ausschuss von dem Mitarbeiter unverzüglich mitgeteilt.
9. 10. Übermittlung von personenbezogenen Daten an Dritte in der Türkei
Personenbezogene Daten können vom Unternehmen ohne ausdrückliche Zustimmung in den in Artikel 5.2 des KVKK und Artikel 6.3 genannten Ausnahmefällen an Dritte in der Türkei übermittelt werden, sofern angemessene Maßnahmen getroffen werden, oder in anderen Fällen, sofern die ausdrückliche Zustimmung der betroffenen Person eingeholt wird (Artikel 5.1 und Artikel 6.2 des KVKK). Die Mitarbeiter der Gesellschaft und Die Gesellschaft sind gemeinsam und gesamtschuldnerisch dafür verantwortlich, dass die Übermittlung personenbezogener Daten an Dritte in der Türkei im Einklang mit den KVK-Verordnungen erfolgt.
4.11 Übermittlung von personenbezogenen Daten an Dritte im Ausland
Personenbezogene Daten können vom Unternehmen in den in Artikel 5.2 und Artikel 6.3 des KVKK genannten Ausnahmefällen oder in anderen Fällen ohne ausdrückliche Zustimmung der betroffenen Person an Dritte im Ausland übermittelt werden (Artikel 5.1 und Artikel 6.2 des KVKK).
Für den Fall, dass personenbezogene Daten ohne ausdrückliche Zustimmung gemäß den KVK-Vorschriften übermittelt werden, muss eine der folgenden Bedingungen auch in Bezug auf das Land, in das die Daten übermittelt werden, vorliegen:
Wenn das Land, in das die personenbezogenen Daten übertragen werden, nicht auf der Liste der sicheren Länder des Ausschusses steht (für Liste verfolgen Sie bitte die aktuelle Liste des Ausschusses), holen Die Gesellschaft und die für die Datenverarbeitung Verantwortlichen in dem betreffenden Land die Genehmigung des Ausschusses ein, indem sie sich schriftlich verpflichten, einen angemessenen Schutz zu gewährleisten.
Die Mitarbeiter der Gesellschaft und Die Gesellschaft sind gemeinsam und gesamtschuldnerisch dafür verantwortlich, dass die Übermittlung personenbezogener Daten an Dritte im Ausland mit den KVK-Vorschriften übereinstimmt.
4.12 OFFENLEGUNGSPFLICHT DER GESELLSCHAF
10. 11.
Gemäß Artikel 10 des KVKK informiert Die Gesellschaft die betroffenen Personen vor der Verarbeitung der personenbezogenen Daten. In diesem Zusammenhang erfüllt Die Gesellschaft die Offenlegungspflicht bei der Beschaffung von personenbezogenen Daten. Die Benachrichtigung der betroffenen Personen im Rahmen der Offenlegungspflicht umfasst jeweils die folgenden Elemente:
Identität des für die Verarbeitung Verantwortlichen und seines Vertreters, falls vorhanden,
Der Zweck, für den die personenbezogenen Daten verarbeitet werden,
An wen und zu welchem Zweck die verarbeiteten personenbezogenen Daten weitergegeben werden können,
Die Methode und der rechtliche Grund für die Erhebung personenbezogener Daten,
Die Rechte der betroffenen Personen sind in Artikel 11 des KVKK aufgeführt.
Gemäß Artikel 20 der Verfassung der Türkische Republik und Artikel 11 des KVKK stellt Die Gesellschaft die erforderlichen Informationen zur Verfügung, wenn die betroffene Person Informationen anfordert.
Auf Anfrage der betroffenen Personen gemäß der KVKK-Verordnung informiert Die Gesellschaft die betroffene Person über die von ihr verarbeiteten personenbezogenen Daten.
Der Mitarbeiter, der den entsprechenden Prozess durchführt, und Die Gesellschaft sind gemeinsam und gesamtschuldnerisch dafür verantwortlich, dass die erforderliche Offenlegungspflicht vor der Verarbeitung personenbezogener Daten erfüllt wird. In diesem Zusammenhang legt der Ausschuss das erforderliche KVK-Verfahren fest, um dem Ausschuss jeden neuen Datenverarbeitungsprozess zu melden. Handelt es sich bei dem Datenverarbeiter um einen Dritten, bei dem es sich nicht um Die Gesellschaft handelt, muss sich dieser vor Beginn der Verarbeitung personenbezogener Daten in einem schriftlichen Vertrag verpflichten, die oben genannten Verpflichtungen einzuhalten. In Fällen, in denen Dritte personenbezogene Daten an Die Gesellschaft übermitteln, wird der Artikel, der den Verträgen hinzugefügt werden soll, vom Ausschuss eingeholt. Jeder Mitarbeiter ist verpflichtet, wenn personenbezogene Daten von einem Dritten an Die Gesellschaft übermittelt werden das in dieser Richtlinie beschriebene Verfahren zu durchlaufen. Verlangt der Dritte, der die personenbezogenen Daten übermittelt, eine Änderung des vom Ausschuss übermittelten Artikels, so teilt der Arbeitnehmer dem Ausschuss unverzüglich mit.
4.13 RECHTE DER BETROFFENEN PERSONEN
11. 12.
Die Gesellschaft antwortet auf die folgenden Anfragen der betroffenen Personen, deren persönliche Daten es gemäß den KVK-Verordnungen besitzt:
Erfahren, ob personenbezogene Daten vom Unternehmen verarbeitet werden,
Informationen über die Verarbeitung ihrer personenbezogenen Daten zu verlangen, um zu erfahren,
zu welchem Zweck die personenbezogenen Daten verarbeitet werden und ob sie entsprechend ihrem Zweck verwendet werden,
die Dritten zu kennen, an die personenbezogene Daten im In- oder Ausland übermittelt werden, Die Berichtigung personenbezogener Daten im Falle einer unvollständigen oder unrichtigen Verarbeitung durch Die Gesellschaft zu verlangen, die Löschung oder Vernichtung personenbezogener Daten durch Die Gesellschaft zu verlangen, wenn die Gründe, die die Verarbeitung personenbezogener Daten erfordern, nicht mehr nach den Grundsätzen des Zwecks, der Dauer und der Rechtmäßigkeit bewertet werden können, zu verlangen, dass diese Vorgänge Dritten mitgeteilt werden, an die personenbezogene Daten im Falle der Berichtigung, Löschung oder Vernichtung personenbezogener Daten durch Die Gesellschaft übermittelt werden, Falls die verarbeiteten personenbezogenen Daten ausschließlich durch automatisierte Systeme analysiert werden,
Einspruch gegen dieses Ergebnis zu erheben, falls es zum Nachteil der betroffenen Person ausfällt, für den Fall, dass die Verarbeitung personenbezogener Daten gegen das Gesetz verstößt und die betroffene Person aus diesem Grund einen Schaden erleidet, den Ersatz des Schadens zu verlangen.
In den Fällen, in denen die betroffenen Personen ihre Rechte ausüben wollen und/oder der Meinung sind, dass Die Gesellschaft bei der Verarbeitung personenbezogener Daten nicht im Rahmen dieser Richtlinie handelt, können sie ihre Anträge an unser Unternehmen richten, indem sie das Formular auf der Website der Gesellschaft ausfüllen oder ihre eigenen Anträge in einer Weise erstellen, die den von der Datenschutzbehörde festgelegten Bedingungen entspricht, und zwar persönlich, notariell oder per Einschreiben mit Rückschein oder per eingeschriebener elektronischer Post (KEP), mit gesicherter elektronischer Unterschrift, mit mobiler Unterschrift oder unter Verwendung der uns zuvor mitgeteilten und in unserem System registrierten E-Mail-Adresse über die nachstehenden Kontaktadressen mit einem nass unterschriebenen Antrag. Bitte bestätigen Sie vor der Antragstellung die aktuellen Antragsverfahren aus der Gesetzgebung. Wenn die betroffenen Personen ihre Anträge in Bezug auf die oben genannten Rechte schriftlich an Die Gesellschaft richten, wird Die Gesellschaft den Antrag je nach Art des Antrags spätestens innerhalb von dreißig Tagen unentgeltlich bearbeiten. Falls bei der Bearbeitung der Anträge durch den für die Verarbeitung Verantwortlichen zusätzliche Kosten entstehen, kann der für die Verarbeitung Verantwortliche die Gebühren nach dem vom Datenschutzausschuss festgelegten Tarif verlangen.
4.14 DATENMANAGEMENT UND SICHERHEIT
12. 13.
Die Gesellschaft setzt einen Ausschuss ein, um seinen Verpflichtungen gemäß den KVK-Verordnungen nachzukommen, die Umsetzung der für die Umsetzung dieser Politik erforderlichen KVK-Verfahren zu gewährleisten und zu überwachen und Vorschläge für deren Funktionieren zu machen.
Alle Mitarbeiter, die an dem betreffenden Prozess beteiligt sind, sind gemeinsam und einzeln für den Schutz personenbezogener Daten in Übereinstimmung mit dieser Richtlinie und den KVK-Verfahren verantwortlich.
Die Verarbeitung personenbezogener Daten durch Die Gesellschaft wird durch technische Systeme entsprechend den technischen Möglichkeiten und den Anwendungskosten überwacht.
Es wird Personal eingesetzt, das sich mit technischen Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten auskennt.
Die Mitarbeiter der Gesellschaft werden über den Schutz und die Verarbeitung personenbezogener Daten im Einklang mit dem Gesetz informiert und geschult.
Das erforderliche KVK-Verfahren wird eingerichtet, um sicherzustellen, dass Mitarbeiter, die Zugang zu personenbezogenen Daten im Unternehmen benötigen, Zugang zu diesen personenbezogenen Daten haben.
Die Mitarbeiter der Gesellschaft dürfen nur im Rahmen der ihnen zugewiesenen Befugnisse und in Übereinstimmung mit dem jeweiligen PDP-Verfahren auf personenbezogene Daten zugreifen. Jeder Zugriff und jede Verarbeitung durch den Arbeitnehmer, die über seine Befugnis hinausgeht, ist rechtswidrig und stellt einen Grund zur Kündigung des Arbeitsvertrags aus wichtigem Grund dar.
Die Gesellschaft benachrichtigt den Ausschuss unverzüglich, wenn der Mitarbeiter den Verdacht hat, dass die Sicherheit personenbezogener Daten nicht ausreichend gewährleistet ist, oder wenn er eine solche Sicherheitslücke feststellt. Ein detailliertes KVK-Verfahren für die Sicherheit personenbezogener Daten wird vom Ausschuss festgelegt.
Jede Person, der ein Firmengerät zugewiesen wird, ist für die Sicherheit der ihr zugewiesenen Geräte verantwortlich.
Jeder Mitarbeiter der Gesellschaft oder jede im Unternehmen tätige Person ist für die Sicherheit der physischen Akten in seinem/ihrem Verantwortungsbereich verantwortlich. Für den Fall, dass im Rahmen der KVK-Verordnung zusätzliche Sicherheitsmaßnahmen für die Sicherheit personenbezogener Daten gefordert werden oder zu fordern sind, sind alle Mitarbeiter verpflichtet, die zusätzlichen Sicherheitsmaßnahmen einzuhalten und die Kontinuität dieser Sicherheitsmaßnahmen zu gewährleisten.
Um personenbezogene Daten in sicheren Umgebungen zu speichern, werden Soft- und Hardware, einschließlich Virenschutzsysteme und Firewalls, entsprechend der technischen Entwicklung installiert.
Um den Verlust oder die Beschädigung personenbezogener Daten zu verhindern, werden Sicherungsprogramme eingesetzt und angemessene Sicherheitsmaßnahmen ergriffen. Es werden die erforderlichen Maßnahmen ergriffen, um die Dokumente, die personenbezogene Daten enthalten, im Unternehmen mit verschlüsselten Systemen zu schützen. In diesem Zusammenhang werden personenbezogene Daten nicht in Gemeinschaftsbereichen und auf dem Schreibtisch gespeichert. Dateien, Ordner usw., die personenbezogene Daten enthalten, werden nicht auf den Desktop oder in den allgemeinen Ordner verschoben, Informationen auf den Computern der Gesellschaft werden nicht auf ein anderes Gerät wie einen USB-Stick usw. übertragen und nicht aus dem Unternehmen entfernt.
Der Ausschuss ist zusammen mit dem Vorstand dafür verantwortlich, technische und administrative Maßnahmen zum Schutz aller personenbezogenen Daten im Unternehmen zu ergreifen, die Entwicklungen und administrativen Aktivitäten kontinuierlich zu überwachen, die notwendigen KVK-Verfahren auszuarbeiten und im Unternehmen bekannt zu machen sowie deren Einhaltung zu gewährleisten und zu überwachen. In diesem Zusammenhang organisiert der Ausschuss mit Zustimmung des Verwaltungsrats die notwendigen Schulungen, um die Mitarbeiter zu sensibilisieren.
Wenn eine Abteilung innerhalb der Gesellschaft sensible personenbezogene Daten verarbeitet, wird diese Abteilung vom Ausschuss über die Bedeutung, die Sicherheit und die Vertraulichkeit der von ihr verarbeiteten personenbezogenen Daten informiert, und die betreffende Abteilung wird gemäß den Anweisungen des Ausschusses handeln. Nur eine begrenzte Anzahl von Mitarbeitern ist berechtigt, auf sensible personenbezogene Daten zuzugreifen, und der Ausschuss wird eine Liste dieser Mitarbeiter erstellen und sie überwachen.
Alle personenbezogenen Daten, die innerhalb der Gesellschaft verarbeitet werden, gelten als "vertrauliche Informationen" der Gesellschaft . Die Mitarbeiter der Gesellschaft wurden darüber informiert, dass ihre Verpflichtungen in Bezug auf die Sicherheit und Vertraulichkeit personenbezogener Daten auch nach Beendigung der Geschäftsbeziehung fortbestehen, und die Mitarbeiter der Gesellschaft haben sich verpflichtet, diese Regeln einzuhalten.
4.15 SCHULUNG
13.
Die Gesellschaft bietet seinen Mitarbeitern die erforderlichen Schulungen zum Schutz personenbezogener Daten im Rahmen der Richtlinie und der beigefügten KVK-Verfahren und KVKK-Verordnungen an.
In den Schulungen werden die Definitionen der besonderen Kategorien personenbezogener Daten und die Verfahren zu deren Schutz ausdrücklich erwähnt.
Wenn ein Mitarbeiter der Gesellschaft physisch oder in einer Computerumgebung auf personenbezogene Daten zugreift, schult Die Gesellschaft den betreffenden Mitarbeiter speziell im Hinblick auf diese Zugriffe (z. B. auf das Computerprogramm, auf das zugegriffen wird).
4.16 AUFSICHT
Die Gesellschaft hat das Recht, jederzeit und von Amts wegen ohne vorherige Ankündigung zu prüfen, ob alle Mitarbeiter, Abteilungen und Auftragnehmer der Gesellschaft im Einklang mit dieser Richtlinie und den KVK-Vorschriften handeln, und führt in diesem Zusammenhang die erforderlichen Routineprüfungen durch. Der Ausschuss legt ein KVK-Verfahren für diese Prüfungen fest, legt es dem Verwaltungsrat zur Genehmigung vor und sorgt für die Umsetzung des Verfahrens.
4.17 VERSTÖSSE
Jeder Mitarbeiter der Gesellschaft meldet dem Ausschuss Geschäfte, Transaktionen oder Handlungen, die seiner Meinung nach gegen die in den KVK-Vorschriften und dieser Richtlinie festgelegten Verfahren und Grundsätze verstoßen. In diesem Zusammenhang erstellt der Ausschuss einen Aktionsplan für den betreffenden Verstoß in Übereinstimmung mit dieser Richtlinie und den KVK-Verfahren Auf der Grundlage der übermittelten Informationen bereitet der Ausschuss die Benachrichtigung der betroffenen Person oder der Behörde über den Verstoß vor, wobei die geltenden Rechtsvorschriften, insbesondere die KVK-Verordnungen, berücksichtigt werden. In diesem Fall übernimmt die Kontaktperson des für die Verarbeitung Verantwortlichen die Korrespondenz und Kommunikation mit der Behörde.
4.18 ÄNDERUNGEN, DIE AN DER POLITIK VORGENOMMEN WERDEN MÜSSEN
Diese Richtlinie kann von der Gesellschaft mit Zustimmung des Generaldirektors geändert werden. Die Gesellschaft gibt den aktualisierten Text der Richtlinie per E-Mail an seine Mitarbeiter weiter, damit diese die Änderungen an der Richtlinie überprüfen können, oder macht ihn den Mitarbeitern und betroffenen Personen über die Internetadresse.
4.19 DATUM DES INKRAFTTRETENS DER POLITIK
Diese Version der Richtlinie wurde vom Generaldirektor der Gesellschaft am 18.12.2018 genehmigt und trat in Kraft.
