Politique de Conservation et de Destruction des Données Personnelles

POLITIQUE DE CONSERVATION ET DE DESTRUCTION DES DONNÉES PERSONNELLES

1. OBJECTIF ET CHAMP D'APPLICATION

BULKOON AYAKKABI VE DERİ ÜRÜNLERİ SANAYİ TİCARET LİMİTED ŞİRKETİ (“Notre Société”), conformément à ses responsabilités légales découlant des réglementations légales pertinentes, s'engage à respecter les règlements relatifs à la protection, au traitement et à la destruction des données personnelles. La présente Politique de Conservation et de Destruction des Données Personnelles (“Politique”) contient le cadre et les principes relatifs aux travaux de conservation et de destruction nécessaires dans le cadre de la législation pertinente.

Conformément au Règlement sur la Suppression, la Destruction ou l'Anonymisation des Données Personnelles publié dans le Journal Officiel n° 30224 du 28 octobre 2017 (“Règlement”), les responsables des données sont tenus de préparer une politique de conservation et de destruction des données personnelles conformément à l'inventaire de traitement des données personnelles. L'objectif de cette Politique, préparée sur la base de la réglementation ci-dessus, est de déterminer les durées maximales nécessaires à la suppression, à la destruction ou à l'anonymisation des données personnelles traitées par notre Société, ainsi que de définir les rôles et responsabilités des personnes impliquées dans ces processus.

Le champ d'application de cette Politique comprend les durées maximales de conservation des données personnelles, ainsi que les mesures techniques et administratives prises pour garantir la conservation et la destruction légales des données personnelles, ainsi que les unités impliquées dans la gestion des processus concernés au sein de notre Société et les environnements d'enregistrement ;

2. DÉFINITIONS

Environnement Électronique : Environnements où les données personnelles peuvent être créées, lues, modifiées et écrites à l'aide d'appareils électroniques,

Environnement Non Électronique : Tous les autres environnements écrits, imprimés, visuels, etc. en dehors des environnements électroniques,

Loi : La Loi n° 6698 sur la Protection des Données Personnelles,

Données Personnelles : Toute information concernant une personne physique identifiée ou identifiable,

Traitement des Données Personnelles : Toute opération effectuée sur des données personnelles, que ce soit par des moyens automatisés ou non, y compris la collecte, l'enregistrement, le stockage, la conservation, la modification, la réorganisation, la divulgation, le transfert, l'acquisition, la mise à disposition, la classification ou l'interdiction d'utilisation,

Responsable des Données : BULKOON AYAKKABI VE DERİ ÜRÜNLERİ SANAYİ TİCARET LİMİTED ŞİRKETİ en tant que personne morale,

Comité KVK : Comité de Protection des Données Personnelles (KVK), comité qui sera constitué pour effectuer le suivi administratif des processus créés conformément à la Loi sur la Protection des Données Personnelles et ses règlements secondaires, désigné par le Responsable des Données,

Personne Concernée : La personne physique dont les données personnelles sont traitées,

Autorité : Autorité de Protection des Données Personnelles,

Anonymisation : Le fait de rendre les données personnelles non associables à une personne physique identifiée ou identifiable, même en les associant à d'autres données,

Destruction : La suppression, la destruction ou l'anonymisation des données personnelles,

Environnement d'Enregistrement : Tout environnement dans lequel des données personnelles sont traitées, que ce soit par des moyens entièrement ou partiellement automatiques ou non,

Inventaire de Traitement des Données Personnelles : L'inventaire qui décrit les activités de traitement des données personnelles, les finalités de traitement, la catégorie de données, le groupe de destinataires et le groupe de personnes concernées, ainsi que les durées maximales nécessaires pour le traitement des données personnelles, les mesures de sécurité prises et les détails associés,

Politique de Conservation et de Destruction des Données Personnelles/Politique : Cette politique sur laquelle les responsables des données s'appuient pour déterminer la durée maximale nécessaire au traitement des données personnelles et pour les opérations de suppression, de destruction et d'anonymisation,

Destruction Périodique : La suppression, la destruction ou l'anonymisation des données personnelles qui sera effectuée de manière automatique à intervalles réguliers lorsque toutes les conditions de traitement des données personnelles prévues par la Loi sont supprimées,

Utilisateur Concerné : Les personnes qui traitent les données personnelles au sein de l'organisation du Responsable des Données, à l'exception de la personne ou de l'unité responsable du stockage, de la protection et de la sauvegarde des données personnelles.

Règlement : Règlement sur la Suppression, la Destruction ou l'Anonymisation des Données Personnelles

VERBİS : Système d'Information du Registre des Responsables des Données

3. ENVIRONNEMENTS D'ENREGISTREMENT

Dans le cadre des activités de notre Société, des données personnelles sont collectées auprès des employés, des candidats à l'emploi, des clients, des clients potentiels, des visiteurs ainsi que des employés et des responsables des fournisseurs, et les données personnelles collectées sont conservées de manière conforme à la législation pertinente dans les environnements indiqués ci-dessous :

Environnements Électroniques

Serveurs (domaine, sauvegarde, e-mail, base de données, web, partage de fichiers, etc.)
Logiciels (logiciels de bureau, portail, EBYS, VERBİS.)
Appareils de sécurité informatique (pare-feu, détection et prévention des intrusions, fichiers journaux, antivirus, etc.) ⎫ Ordinateurs personnels (de bureau, portables)
Appareils mobiles (téléphone, tablette, etc.)
Disques optiques (CD, DVD, etc.)
Mémoires amovibles (USB, carte mémoire, etc.)
Imprimante, scanner, photocopieur

Environnements Non Électroniques

Papier
Systèmes manuels d'enregistrement des données (formulaires d'enquête, formulaires de service, formulaires de candidature)
Autres environnements écrits, imprimés, visuels

RESPONSABILITÉ

Pour la publication, la mise à jour et le suivi de l'application de cette Politique, notre Société sera représentée par le Conseil d'Administration ; un Comité KVK sera constitué et sera habilité à traiter toutes ces questions. Le Comité KVK sera composé du Responsable des Ressources Humaines, du Responsable des Affaires Administratives et du Responsable des Systèmes d'Information. Le Comité KVK remplit les fonctions et responsabilités suivantes ;

Assurer la conformité à la durée de conservation des données personnelles,
Gérer le processus de destruction des données personnelles pendant la période de destruction périodique,
Réviser la Politique au moins une fois par an,
Élaborer et publier la Procédure de Conservation et de Destruction des Données Personnelles qui détaillera les règles de traitement basées sur la Politique, ainsi que d'autres procédures jugées nécessaires,
Distribuer les tâches nécessaires pour l'application de la Politique et des procédures, habiliter les personnes jugées appropriées et organiser des formations sur la conformité à la Loi,
Suivre et planifier l'application de toutes les mesures techniques et administratives prises conformément à l'article 12 de la Loi,
Identifier les mesures nécessaires pour assurer la conformité à la Loi et à la législation pertinente, surveiller leur application et assurer la coordination nécessaire,
Suivre les processus liés aux demandes et réclamations des personnes physiques dont les données personnelles sont traitées et prendre les mesures nécessaires pour résoudre les problèmes pouvant survenir concernant l'application de la Loi et/ou de la Politique et des procédures,
Gérer les relations avec l'Autorité.

5. RAISONS JUSTIFIANT LA CONSERVATION DES DONNÉES

L'article 3 de la Loi définit le concept de traitement des données personnelles, et l'article 4 stipule que lors du traitement des données personnelles, il faut respecter les principes suivants ;

a) Être conforme à la loi et aux règles de bonne foi.

b) Être exact et, si nécessaire, à jour.

c) Être traité pour des finalités déterminées, explicites et légitimes.

d) Être lié, limité et proportionné à la finalité pour laquelle elles sont traitées.

e) Être conservées pour la durée prévue par la législation pertinente ou pour la durée nécessaire à la finalité pour laquelle elles sont traitées.

Les articles 5 et 6 de la Loi énumèrent les conditions de traitement des données personnelles. En conséquence, dans le cadre des activités de notre Société, les données personnelles sont conservées pour la durée prévue par la législation pertinente ou pour la durée nécessaire à nos finalités de traitement.

5.1. RAISONS LÉGALES

Loi n° 6698 sur la Protection des Données Personnelles,
Loi n° 6098 sur le Code Civil Turc,
Loi n° 6102 sur le Code de Commerce Turc,
Loi n° 5510 sur la Sécurité Sociale et l'Assurance Maladie Générale,
Loi n° 5651 sur la Réglementation des Publications en Ligne et la Lutte Contre les Crimes Commis par le biais de ces Publications,
Loi n° 6331 sur la Santé et la Sécurité au Travail,
Loi n° 4857 sur le Droit du Travail,
Autres réglementations secondaires en vigueur en vertu de ces lois.

5.2. FINALITÉS JUSTIFIANT LA CONSERVATION

Les données personnelles conservées au sein de notre Société sont conservées conformément à la Loi et à notre Politique de Données Personnelles (vous pouvez accéder à la politique pertinente à l'adresse https://bulkoon.com/kvk-politikasi) pour les raisons et objectifs mentionnés ici.

6. MESURES TECHNIQUES ET ADMINISTRATIVES

NOTRE SOCIÉTÉ prend toutes les mesures techniques et administratives nécessaires pour garantir la sécurité des données personnelles et prévenir leur traitement et leur accès illégaux, en fonction des caractéristiques de l'environnement dans lequel les données personnelles sont conservées.

Ces mesures comprennent, sans s'y limiter, les mesures administratives et techniques suivantes, en fonction des caractéristiques des données personnelles concernées et de l'environnement dans lequel elles sont conservées.

6.1. MESURES TECHNIQUES

La sécurité du réseau et la sécurité des applications sont assurées.
Un réseau à système fermé est utilisé pour les transferts de données personnelles par réseau.
La gestion des clés est appliquée.
Des mesures de sécurité sont prises dans le cadre de l'approvisionnement, du développement et de la maintenance des systèmes informatiques.
La sécurité des données personnelles stockées dans le cloud est assurée.
Une matrice d'autorisation a été créée pour les employés.
Les journaux d'accès sont régulièrement tenus.
Des mesures de masquage des données sont appliquées si nécessaire.
Des systèmes antivirus à jour sont utilisés.
Des pare-feu sont utilisés.
Des mesures de sécurité supplémentaires sont prises pour les données personnelles transférées par voie papier, et les documents concernés sont envoyés sous forme de documents classés confidentiels.
La sécurité des données personnelles est surveillée.
Des mesures de sécurité sont prises concernant les entrées et sorties des environnements physiques contenant des données personnelles.
La sécurité des environnements physiques contenant des données personnelles contre les risques externes (incendie, inondation, etc.) est assurée.
La sécurité des environnements contenant des données personnelles est assurée.
Les données personnelles sont réduites autant que possible.
Les données personnelles sont sauvegardées, et la sécurité des données personnelles sauvegardées est également assurée.
Un système de gestion des comptes utilisateurs et de contrôle des autorisations est appliqué, et leur suivi est également effectué.
Les enregistrements des journaux sont conservés sans intervention de l'utilisateur.
Les risques et menaces existants ont été identifiés.
Si des données personnelles sensibles doivent être envoyées par e-mail, elles doivent être envoyées de manière cryptée et en utilisant un compte e-mail sécurisé ou un compte e-mail institutionnel.
Des systèmes de détection et de prévention des intrusions sont utilisés.
Des tests d'intrusion sont effectués.
Des mesures de cybersécurité ont été prises et leur application est continuellement surveillée.
Le chiffrement est effectué.
Des logiciels de prévention de la perte de données sont utilisés.

6.2. MESURES ADMINISTRATIVES

Des règlements disciplinaires contenant des dispositions sur la sécurité des données pour les employés existent.
Des formations et des sensibilisations sur la sécurité des données sont organisées à intervalles réguliers pour les employés.
Des politiques institutionnelles concernant l'accès, la sécurité de l'information, l'utilisation, la conservation et la destruction ont été élaborées et mises en œuvre.
Des engagements de confidentialité sont signés.
Les autorisations des employés ayant changé de poste ou ayant quitté l'entreprise sont annulées.
Les contrats signés contiennent des dispositions sur la sécurité des données.
Des politiques et procédures de sécurité des données personnelles ont été établies.
Les problèmes de sécurité des données personnelles sont signalés rapidement.
Des audits périodiques et/ou aléatoires sont effectués et réalisés en interne.
Des protocoles et procédures pour la sécurité des données personnelles sensibles ont été établis et appliqués.
La sécurité des données des prestataires de services traitant des données est contrôlée à intervalles réguliers.
La sensibilisation des prestataires de services traitant des données à la sécurité des données est assurée.

7. RAISONS JUSTIFIANT LA DESTRUCTION DES DONNÉES

Les données personnelles conservées au sein de notre Société ;

La modification ou l'abrogation des dispositions légales pertinentes qui constituent la base du traitement,
La disparition de l'objectif nécessitant leur traitement ou leur conservation,
Dans les cas où le traitement des données personnelles ne se fait que sur la base du consentement explicite, le retrait du consentement explicite par la personne concernée,
Acceptation par notre Société de la demande de suppression et de destruction des données personnelles formulée par la personne concernée dans le cadre de ses droits en vertu de l'article 11 de la Loi,
Le refus par notre Société de la demande de suppression, de destruction ou d'anonymisation des données personnelles formulée par la personne concernée, si la réponse est jugée insuffisante ou si aucune réponse n'est donnée dans le délai prévu par la Loi ; dépôt d'une plainte auprès de l'Autorité et acceptation de cette demande par l'Autorité,
Le dépassement de la durée maximale de conservation des données personnelles et l'absence de toute condition justifiant la conservation des données personnelles plus longtemps,

Dans ces cas, les données personnelles seront supprimées, détruites ou anonymisées par notre Société à la demande de la personne concernée.

7. MÉTHODES DE DESTRUCTION

7.1. SUPPRESSION DES DONNÉES

Il s'agit du processus par lequel les données personnelles deviennent inaccessibles et inutilisables pour les utilisateurs concernés.

Données Personnelles dans un Environnement Physique : Les données dont la durée de conservation est expirée dans de tels environnements deviennent inaccessibles et inutilisables de quelque manière que ce soit. Dans ce cadre, la méthode de masquage peut être utilisée. La méthode de masquage consiste à rendre les données personnelles sur le document concerné invisibles pour d'autres utilisateurs en les rendant irréversibles avec de l'encre indélébile dans les cas où cela est possible, et en les rendant illisibles par des solutions technologiques dans les cas où cela n'est pas possible.

Données Personnelles dans un Environnement Électronique : Les données dont la durée de conservation est expirée dans de tels environnements sont supprimées en utilisant des méthodes qui rendent les données irrécupérables à partir du logiciel concerné.

7.2. DESTRUCTION DES DONNÉES
Il s'agit du processus par lequel les données personnelles deviennent inaccessibles, irrécupérables et inutilisables par quiconque.

Les données dont la durée de conservation est expirée dans de tels environnements sont détruites en utilisant la méthode appropriée, soit par destruction physique, soit par écriture.

Appareils Réseau : Les méthodes de magnétisation, de destruction physique ou d'écriture appropriées sont utilisées pour les équipements tels que les commutateurs, les routeurs, etc.

Environnements Basés sur Flash : Les méthodes recommandées par le fabricant ou les méthodes de destruction physique ou d'écriture appropriées sont utilisées.

Cartes SIM et Cartes Mémoire Fixes : Les méthodes de destruction physique ou d'écriture appropriées sont utilisées.

Disques Optiques : Ils sont détruits par des méthodes physiques.

Imprimantes, Systèmes de Contrôle d'Accès par Empreinte Digitale : Ils sont détruits par des méthodes physiques ou d'écriture appropriées.

Environnements en Papier : Les données personnelles contenues dans des environnements en papier sont détruites à l'aide de destructeurs de papier.

7.3. ANONYMISATION DES DONNÉES

Il s'agit du processus par lequel les données personnelles deviennent inaccessibles et non associables à une personne physique identifiée ou identifiable, même lorsqu'elles sont associées à d'autres données. L'anonymisation consiste à retirer ou modifier tous les identifiants directs et/ou indirects d'un ensemble de données, empêchant ainsi l'identification de la personne concernée ou la perte de la caractéristique d'être identifiable au sein d'un groupe ou d'une foule, de manière à ne pas être associée à une personne physique. Les données qui ne désignent pas une personne spécifique à la suite de l'empêchement ou de la perte de ces caractéristiques sont considérées comme des données anonymisées. Toutes les opérations de déconnexion effectuées sur les enregistrements dans le système d'enregistrement des données personnelles, qu'elles soient automatiques ou non, telles que le regroupement, le masquage, la dérivation, la généralisation, la randomisation, sont appelées méthodes d'anonymisation. Il est essentiel d'évaluer si les données personnelles anonymisées peuvent être inversées par diverses interventions et si elles peuvent redevenir identifiables et distinctives pour des personnes physiques.

8. DURÉES DE CONSERVATION DES DONNÉES EN VERTU DE LA LÉGISLATION PERTINENTE

Des durées de conservation sont déterminées pour toutes les données personnelles conservées au sein de notre Société. Lors de la détermination des durées de conservation, la législation pertinente est d'abord prise en compte, et si aucune durée n'est prévue par la législation pertinente, la durée nécessaire au traitement des données personnelles est considérée. Les durées pertinentes sont indiquées dans l'Inventaire des Données Personnelles et dans VERBİS.

Les données personnelles mentionnées dans l'Inventaire de Traitement des Données Personnelles sont conservées conformément aux réglementations légales ci-dessous, à moins qu'il n'existe une situation juridique qui interrompe ou suspende la période de prescription, et elles seront détruites lors de la première destruction périodique suivant la période de conservation.

Catégorie de Données

Durée de Conservation des Données

Identité