1. GENEL HÜKÜMLER
Kişisel Veri İşleme Politikası (bundan sonra Politika olarak anılacaktır), 27 Temmuz 2006 tarihli ve 152-FZ sayılı “Kişisel Veriler Hakkında” Federal Kanun (bundan sonra FZ-152 olarak anılacaktır) uyarınca geliştirilmiştir.
Bu Politika, Sinan Invest LLC'de (bundan sonra Operatör olarak anılacaktır) kişisel verilerin işlenmesi prosedürünü ve kişisel verilerin güvenliğinin sağlanmasına yönelik önlemleri tanımlar; bu önlemler, kişisel verilerin işlenmesi sırasında bireylerin ve vatandaşların hak ve özgürlüklerinin korunmasını, gizlilik hakkının, kişisel ve aile sırlarının korunmasını içerir.
Bu Politika aşağıdaki temel kavramları kullanmaktadır:
Kişisel verilerin otomatik işlenmesi – kişisel verilerin bilgisayar teknolojisi kullanılarak işlenmesi;
Kişisel verilerin bloke edilmesi - kişisel verilerin işlenmesinin geçici olarak durdurulması (kişisel verilerin açıklığa kavuşturulması için işlemenin gerekli olduğu durumlar hariç);
Kişisel veri bilgi sistemi - veritabanlarında yer alan kişisel veriler ve bunların işlenmesini sağlayan bilgi teknolojileri ve teknik araçlar kümesi;
Kişisel verilerin anonimleştirilmesi - ek bilgi kullanılmadan belirli bir kişisel veri sahibinin kişisel verilere sahip olup olmadığının belirlenmesinin imkansız hale geldiği eylemler;
Kişisel verilerin işlenmesi - kişisel verilerle otomasyon araçları kullanılarak veya kullanılmadan gerçekleştirilen her türlü işlem (operasyon) veya işlem kümesi; toplama, kaydetme, sistemleştirme, biriktirme, saklama, açıklama (güncelleme, değiştirme), çıkarma, kullanma, aktarma (dağıtma, sağlama, erişim), anonimleştirme, engelleme, silme, imha etme dahil.
Operatör - kişisel verilerin işlenmesini organize eden ve/veya gerçekleştiren, ayrıca kişisel verilerin işlenme amaçlarını, işleme tabi tutulan kişisel verilerin bileşimini ve kişisel verilerle gerçekleştirilen eylemleri (işlemleri) belirleyen, bağımsız olarak veya diğer kişilerle birlikte hareket eden bir devlet kurumu, belediye kurumu, tüzel kişi veya gerçek kişi;
Kişisel veriler – doğrudan veya dolaylı olarak tanımlanmış veya tanımlanabilir bir bireyle (kişisel verilerin konusu) ilgili her türlü bilgi;
Kişisel verilerin sağlanması – kişisel verilerin belirli bir kişiye veya belirli bir kişi grubuna açıklanmasını amaçlayan eylemler;
Kişisel verilerin yayılması - kişisel verilerin belirsiz sayıda kişiye ifşa edilmesini (kişisel verilerin aktarılması) veya sınırsız sayıda kişinin kişisel verilerle tanışmasını amaçlayan eylemler; buna kişisel verilerin medyada yayınlanması, bilgi ve telekomünikasyon ağlarında paylaşılması veya kişisel verilere başka herhangi bir yolla erişim sağlanması dahildir;
Kişisel verilerin sınır ötesi transferi - kişisel verilerin yabancı bir devletin topraklarına, yabancı bir devletin hükümet organına, yabancı bir şahsa veya yabancı bir tüzel kişiye aktarılması.
Kişisel verilerin imhası - kişisel veri bilgi sistemindeki kişisel verilerin içeriğinin geri yüklenmesinin imkansız hale gelmesine ve/veya kişisel verilerin maddi taşıyıcılarının imha edilmesine yol açan eylemler;
Şirket, 152 sayılı Federal Kanun'un 18.1. maddesinin 2. fıkrası uyarınca bu Kişisel Veri İşleme Politikasını yayınlamak veya başka bir şekilde sınırsız erişimi sağlamakla yükümlüdür.
2. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN İLKELER VE KOŞULLAR
2.1 Kişisel verilerin işlenmesinin ilkeleri
Operatör, kişisel verileri aşağıdaki prensiplere göre işler:
- Hukuka uygunluk ve adil temel;
- Kişisel verilerin işlenmesini belirli, önceden belirlenmiş ve meşru amaçların gerçekleştirilmesiyle sınırlandırmak;
- Kişisel verilerin toplanma amaçlarıyla bağdaşmayan kişisel verilerin işlenmesinin önlenmesi;
- Kişisel verileri içeren ve işlenmesi birbiriyle bağdaşmayan amaçlar için gerçekleştirilen veri tabanlarının birleştirilmesinin önlenmesi;
- Yalnızca işleme amaçlarına uygun olan kişisel verileri işlemek;
- İşlenen kişisel verilerin içeriğinin ve hacminin, belirtilen işleme amaçlarına uygunluğu;
- Kişisel verilerin işlenmesinin, işleme amaçlarının belirtilen sınırlarıyla orantılı olarak aşırı olmasının önlenmesi;
- Kişisel verilerin işlenmesinin amaçlarıyla ilgili olarak kişisel verilerin doğruluğunu, yeterliliğini ve uygunluğunu sağlamak;
- Kişisel verilerin işlenmesinin amaçlarına ulaşılması durumunda veya bu amaçlara ulaşma ihtiyacının ortadan kalkması halinde, veri işleme sorumlusunun işlenen kişisel veri ihlallerini ortadan kaldıramaması durumunda, federal kanun aksini öngörmedikçe, kişisel verilerin imha edilmesi veya anonimleştirilmesi.
2.2 Kişisel verilerin işlenmesine ilişkin şartlar
Operatör, aşağıdaki koşullardan en az birinin yerine getirilmesi durumunda kişisel verileri işler:
- Kişisel verilerin işlenmesi, kişisel verilerin sahibinin kişisel verilerinin işlenmesine verdiği rıza ile gerçekleştirilir;
- Kişisel verilerin işlenmesi, Rusya Federasyonu'nun uluslararası bir anlaşması veya kanunu tarafından öngörülen hedeflere ulaşmak, Rusya Federasyonu mevzuatı tarafından operatöre yüklenen işlevlerin, yetkilerin ve yükümlülüklerin yerine getirilmesi ve uygulanması için gereklidir;
- Kişisel verilerin işlenmesi, adaletin sağlanması, adli bir işlemin yerine getirilmesi, Rusya Federasyonu'nun icra işlemlerine ilişkin mevzuatına uygun olarak icraya tabi başka bir organ veya yetkilinin işleminin yerine getirilmesi için gereklidir;
- Kişisel verilerin işlenmesi, kişisel veri sahibinin taraf, yararlanıcı veya kefil olduğu bir sözleşmenin yerine getirilmesi için, ayrıca kişisel veri sahibinin girişimiyle yapılan bir sözleşmenin akdedilmesi veya kişisel veri sahibinin yararlanıcı veya kefil olacağı bir sözleşmenin akdedilmesi için gereklidir;
- Kişisel verilerin işlenmesi, veri sahibinin hak ve özgürlüklerini ihlal etmemesi koşuluyla, veri sorumlusunun veya üçüncü tarafların haklarının ve meşru menfaatlerinin kullanılması veya toplumsal açıdan önemli amaçların gerçekleştirilmesi için gereklidir;
- Kişisel veriler işlenir ve bu verilere, kişisel verilerin sahibi tarafından veya onun talebi üzerine sınırsız sayıda kişi erişim izni verilir (bundan sonra kamuya açık kişisel veriler olarak anılacaktır);
- Federal yasaya uygun olarak yayınlanması veya zorunlu olarak açıklanması gereken kişisel veriler işlenmektedir.
2.3 Kişisel verilerin gizliliği
Veri sorumlusu ve kişisel verilere erişim sağlayan diğer kişiler, federal kanun aksini öngörmedikçe, kişisel verilerin sahibinin rızası olmadan kişisel verileri üçüncü şahıslara ifşa etmemek veya dağıtmamakla yükümlüdür.
2.4 Kişisel verilerin kamuya açık kaynakları
Bilgilendirme amacıyla, İşletmeci, veri sahiplerinin kişisel verilerinin kamuya açık kaynaklarını oluşturabilir; bunlar arasında dizinler ve adres defterleri de yer alabilir. Kamuya açık kişisel veri kaynakları, veri sahibinin yazılı izniyle, soyadı, adı, baba adı, doğum tarihi ve yeri, iş unvanı, iletişim telefon numaraları, e-posta adresi ve veri sahibi tarafından sağlanan diğer kişisel verileri içerebilir.
Bir kişi hakkındaki bilgiler, ilgili kişinin talebi üzerine veya bir mahkeme ya da yetkili devlet organlarının kararıyla, herhangi bir zamanda kamuya açık kişisel veri kaynaklarından çıkarılabilir.
2.5 Kişisel verilerin özel kategorileri
Operatör, aşağıdaki durumlarda ırk, milliyet, siyasi görüşler, dini veya felsefi inançlar, sağlık durumu veya özel hayata ilişkin özel kategorideki kişisel verileri işleyebilir:
- Kişisel verilerin sahibi, kişisel verilerinin işlenmesine yazılı olarak onay vermiştir;
- Kişisel veriler, ilgili kişi tarafından kamuya açık hale getirilmiştir;
- Kişisel verilerin işlenmesi, devlet sosyal yardımı mevzuatı, iş hukuku mevzuatı, Rusya Federasyonu'nun devlet emeklilik hükümleri kapsamındaki emeklilikler ve iş gücü emeklilikleri hakkındaki mevzuatına uygun olarak gerçekleştirilir;
- Kişisel verilerin işlenmesi, ilgili kişinin veya diğer kişilerin yaşamını, sağlığını veya diğer hayati çıkarlarını korumak için gereklidir ve ilgili kişinin rızasının alınması mümkün değildir;
- Kişisel verilerin işlenmesi, tıbbi ve önleyici amaçlarla, tıbbi teşhis koymak, tıbbi ve tıbbi-sosyal hizmetler sağlamak amacıyla gerçekleştirilir; ancak bu kişisel verilerin işlenmesinin, tıp faaliyetleriyle profesyonel olarak uğraşan ve Rusya Federasyonu mevzuatına göre tıbbi gizliliği korumakla yükümlü bir kişi tarafından gerçekleştirilmesi şartıyla
- Kişisel verilerin işlenmesi, kişisel veri sahibinin veya üçüncü şahısların haklarının tesis edilmesi veya kullanılması için ve ayrıca adalet yönetimiyle bağlantılı olarak gereklidir;
- Kişisel verilerin işlenmesi, zorunlu sigorta türlerine ilişkin mevzuat ve sigorta mevzuatına uygun olarak gerçekleştirilir.
Federal yasada aksi belirtilmedikçe, özel kategorideki kişisel verilerin işlenmesi, işlenmelerinin nedenleri ortadan kalktığı anda derhal sonlandırılmalıdır.
Kişisel verilerin adli sicil kayıtlarına ilişkin olarak işlenmesi, Operatör tarafından yalnızca federal yasalara uygun olarak belirlenen durumlarda ve şekilde gerçekleştirilebilir.
2.6 Biyometrik kişisel veriler
Kişinin fizyolojik ve biyolojik özelliklerini tanımlayan ve kimliğinin belirlenmesine olanak sağlayan bilgiler -biyometrik kişisel veriler- Operatör tarafından yalnızca ilgili kişinin yazılı izniyle işlenebilir.
2.7 Kişisel verilerin işlenmesinin başka bir kişiye emanet edilmesi
Operatör, federal kanun aksini öngörmedikçe, ilgili kişinin rızasıyla ve o kişiyle yapılan bir anlaşmaya dayanarak kişisel verilerin işlenmesini başka bir kişiye devretme hakkına sahiptir. Operatör adına kişisel verileri işleyen kişi, 152 sayılı Federal Kanun'da belirtilen kişisel verilerin işlenmesine ilişkin ilke ve kurallara uymakla yükümlüdür.
2.8 Kişisel verilerin sınır ötesi transferi
Veri işleme operatörü, kişisel verilerin aktarılmasının gerçekleştirileceği yabancı devletin, bu aktarım başlamadan önce kişisel veri sahiplerinin haklarının yeterli düzeyde korunmasını sağladığından emin olmakla yükümlüdür.
Kişisel verilerin, kişisel veri sahiplerinin haklarının yeterli düzeyde korunmasını sağlamayan yabancı devletlerin topraklarına sınır ötesi aktarımı aşağıdaki durumlarda gerçekleştirilebilir:
- Kişisel verilerin sınır ötesi transferine ilişkin olarak ilgili kişiden yazılı onay alınması;
- Kişisel verilerin sahibinin taraf olduğu bir sözleşmenin yürütülmesi.
3. KİŞİSEL VERİ SAHİBİNİN HAKLARI
3.1 Kişisel verilerin işlenmesine ilişkin kişisel verilerin sahibi tarafından verilen onay
Kişisel verilerinin verilmesine ilişkin kararı, ilgili kişi kendi özgür iradesiyle ve kendi menfaatleri doğrultusunda gönüllü olarak verir ve bu verilerin işlenmesine rıza gösterir. Kişisel verilerin işlenmesine ilişkin rıza, federal kanun aksini öngörmedikçe, ilgili kişi veya temsilcisi tarafından alındığını teyit etmeyi sağlayan herhangi bir biçimde verilebilir.
Kişisel verilerin işlenmesine ilişkin olarak ilgili kişinin rızasının kanıtlanması veya 152 sayılı Federal Kanun'da belirtilen gerekçelerin varlığının kanıtlanması yükümlülüğü Operatöre aittir.
3.2 Kişisel veri sahibinin hakları
Kişisel verilerin sahibi, federal yasalar uyarınca bu hak sınırlandırılmadığı sürece, kişisel verilerinin işlenmesiyle ilgili olarak Operatörden bilgi alma hakkına sahiptir. Kişisel verilerin sahibi, kişisel verilerinin eksik, güncel olmayan, yanlış, yasa dışı yollarla elde edilmiş olması veya belirtilen işleme amacı için gerekli olmaması durumunda, Operatörden kişisel verilerinin açıklığa kavuşturulmasını, bloke edilmesini veya imha edilmesini talep etme ve haklarını korumak için yasal olarak öngörülen önlemleri alma hakkına sahiptir.
Potansiyel tüketicilerle iletişim araçları aracılığıyla doğrudan temas kurarak mal, iş ve hizmetlerin pazarda tanıtımı amacıyla ve ayrıca siyasi kampanyalar için kişisel verilerin işlenmesi, yalnızca ilgili kişinin önceden verdiği onay ile mümkündür. Şirket, bu tür bir onayın alındığını kanıtlamadığı sürece, bu tür kişisel veri işleme, ilgili kişinin önceden verdiği onay olmaksızın gerçekleştirilmiş sayılır.
Veri sahibi tarafından talep edilmesi halinde, veri sorumlusu, yukarıda belirtilen amaçlar doğrultusunda kişisel verilerinin işlenmesini derhal durdurmakla yükümlüdür.
Kişisel verilerin otomatik işlenmesine dayalı olarak, kişisel veri sahibine ilişkin hukuki sonuçlar doğuran veya kişisel veri sahibinin haklarını ve meşru menfaatlerini başka şekilde etkileyen kararlar almak yasaktır; ancak federal yasalarca öngörülen durumlar veya kişisel veri sahibinin yazılı onayının bulunması halleri bu yasağın istisnasıdır.
Kişisel verilerin sahibi, İşletmecinin kişisel verilerini 152 sayılı Federal Kanun'un gereklerini ihlal ederek veya başka bir şekilde hak ve özgürlüklerini ihlal ederek işlediğine inanıyorsa, İşletmecinin eylemlerine veya eylemsizliklerine karşı Kişisel Verilerin Sahiplerinin Haklarını Koruma Yetkili Kurumuna veya mahkemeye itiraz etme hakkına sahiptir.
Kişisel verilerin sahibi, mahkemede zararların ve/veya manevi tazminatın tazmini de dahil olmak üzere haklarını ve meşru menfaatlerini koruma hakkına sahiptir.
4. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI
Operatör tarafından işlenen kişisel verilerin güvenliği, kişisel verilerin korunması alanındaki federal mevzuatın gerekliliklerini karşılamak için gerekli olan yasal, organizasyonel ve teknik önlemlerin uygulanmasıyla sağlanmaktadır.
Kişisel verilere yetkisiz erişimi önlemek için Operatör aşağıdaki organizasyonel ve teknik önlemleri uygulamaktadır:
- Kişisel verilerin işlenmesi ve korunmasının düzenlenmesinden sorumlu yetkililerin atanması;
- Kişisel verilere erişimi olan kişi sayısını sınırlamak;
- Katılımcıların, kişisel verilerin işlenmesi ve korunmasına ilişkin federal mevzuat ve Operatörün düzenleyici belgelerinin gerekliliklerine aşina hale getirilmesi;
- Bilgi taşıyıcılarının muhasebesinin, depolanmasının ve dolaşımının organizasyonu;
- Kişisel verilerin işlenmesi sırasında güvenliklerine yönelik tehditlerin belirlenmesi ve bunlara dayalı tehdit modellerinin oluşturulması;
- Tehdit modeline dayalı bir kişisel veri koruma sisteminin geliştirilmesi;
- Bilgi güvenliği araçlarının kullanıma hazır olup olmadığını ve etkinliğini kontrol etmek;
- Kullanıcıların bilgi kaynaklarına ve bilgi işleme için kullanılan yazılım ve donanımlara erişiminin sınırlandırılması;
- Kişisel veri bilgi sistemlerinin kullanıcılarının eylemlerinin kayıt altına alınması ve muhasebeleştirilmesi;
- Kişisel veri koruma sistemlerini eski haline getirmek için virüs koruma yazılımlarının ve araçlarının kullanımı;
- Gerektiğinde güvenlik duvarı, izinsiz giriş tespiti, güvenlik analizi ve kriptografik bilgi koruma araçlarının uygulanması;
- İşletmecinin tesislerine erişim kontrolünün düzenlenmesi ve kişisel verilerin işlenmesi için kullanılan teknik araçlarla tesislerin korunması.
5. SON HÜKÜMLER
Kişisel veri operatörü olarak Operatörün diğer hak ve yükümlülükleri, Rusya Federasyonu'nun kişisel veriler alanındaki mevzuatı tarafından belirlenir.
Kişisel verilerin işlenmesi ve korunmasına ilişkin kuralları ihlal etmekten suçlu bulunan Operatör yetkilileri, federal yasalarca belirlenen usule göre mali, disiplin, idari, hukuki veya cezai sorumlulukla karşı karşıya kalacaktır.
