GARENTA TRANSPORTATION SOLUTIONS INC.

ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. ВВЕДЕНИЕ

1.1. Цель и сфера действия политики

Закон № 6698 о защите персональных данных («Закон») вступил в силу 7 апреля 2016 года; целью настоящей Политики обработки и защиты персональных данных Garenta Transportation Solutions Inc. («Политика») является обеспечение соответствия Garenta Transportation Solutions Inc. («Garenta» или «Компания») требованиям Закона и определение принципов, которым необходимо следовать при выполнении обязательств Компании в отношении защиты и обработки персональных данных.

Политика определяет условия обработки персональных данных и устанавливает основные принципы, принятые Компанией при обработке персональных данных. В этом контексте Политика охватывает все виды деятельности по обработке персональных данных, осуществляемые Компанией в рамках Закона, всех субъектов данных, чьи данные обрабатываются Компанией, и все обрабатываемые персональные данные. Вопросы, касающиеся обработки персональных данных сотрудников Компании, не включены в данную Политику, а регулируются отдельно в Политике обработки и защиты персональных данных сотрудников Garenta Transportation Solutions Inc. Определения терминов, используемых в Политике, приведены в ПРИЛОЖЕНИИ-1.

1.2. Дата вступления в силу и поправки

Политика опубликована на веб-сайте Компании и открыта для общественности. В случае противоречия между положениями настоящей Политики и действующим законодательством, особенно Законом, применяются положения законодательства.

Компания оставляет за собой право вносить поправки в Политику параллельно с законодательными нормами. Текущая версия Политики доступна на веб-сайте Компании.

2. СУБЪЕКТЫ ДАННЫХ, ЦЕЛИ ОБРАБОТКИ ДАННЫХ И КАТЕГОРИИ ДАННЫХ, ОТНОСЯЩИЕСЯ К ДЕЯТЕЛЬНОСТИ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОСУЩЕСТВЛЯЕМОЙ НАШЕЙ КОМПАНИЕЙ

2.1. Субъекты данных

Субъектами данных в рамках Политики являются все физические лица, за исключением сотрудников Компании, чьи персональные данные обрабатываются Компанией. В этом контексте основные категории субъектов данных следующие:

Категории субъектов данных перечислены для общих справочных целей. Тот факт, что субъект данных не подпадает ни под одну из этих категорий, не отменяет его статуса субъекта данных, как это определено в Законе.

2.2. Цели обработки персональных данных

Ваши персональные данные и особые категории персональных данных могут обрабатываться Компанией для следующих целей в соответствии с условиями обработки персональных данных, изложенными в Законе и соответствующем законодательстве:

2.3. Категории персональных данных

Ваши персональные данные, классифицированные ниже, обрабатываются Компанией в соответствии с условиями обработки персональных данных, изложенными в Законе и соответствующем законодательстве.

3. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Принципы обработки персональных данных

Ваши персональные данные обрабатываются Компанией в соответствии с принципами обработки персональных данных, изложенными в статье 4 Закона.

Соблюдение этих принципов является обязательным для любой деятельности по обработке персональных данных:

Обработка персональных данных в соответствии с законом и доброй совестью: Компания действует в соответствии с законами, подзаконными актами и общими принципами права при обработке ваших персональных данных. Она уделяет внимание обработке персональных данных ограниченным образом для цели обработки и учитывает разумные ожидания субъекта данных.

Обеспечение точности и актуальности персональных данных: Компания заботится о том, чтобы обрабатываемые ею персональные данные были актуальными, и проводит необходимые проверки в этом отношении. Субъекты данных имеют право требовать исправления или удаления неточных и устаревших данных.

Обработка персональных данных для конкретных, четко определенных и законных целей: Компания определяет цели обработки данных перед каждым видом деятельности по обработке персональных данных и гарантирует, что эти цели не являются незаконными.

Обеспечение соответствия, ограниченности и соразмерности персональных данных цели, для которой они обрабатываются: Деятельность Компании по обработке данных ограничивается персональными данными, необходимыми для достижения цели сбора, и принимаются необходимые меры для предотвращения обработки персональных данных, не связанных с этой целью.

Хранение персональных данных только в течение периода, требуемого законодательством или необходимого для цели обработки: Когда цель обработки персональных данных перестает существовать или истекает период, указанный в законодательстве, персональные данные удаляются, уничтожаются или обезличиваются Компанией.

3.2. Условия обработки персональных данных

Ваши персональные данные обрабатываются Компанией, если существует хотя бы одно из условий обработки персональных данных, указанных в статье 5 Закона.

Пояснения вышеупомянутых условий следующие:

Существование явного согласия субъекта данных: В тех случаях, когда другие условия обработки данных отсутствуют, персональные данные субъекта данных могут обрабатываться Компанией в соответствии с общими принципами, указанными в Разделе 3.1, при условии, что субъект данных дает свое согласие с достаточной информацией о деятельности по обработке персональных данных, по своей свободной воле, без колебаний и ограничено этой конкретной сделкой.

Деятельность по обработке персональных данных прямо предусмотрена в законах: В этом случае персональные данные могут обрабатываться Компанией без явного согласия субъекта данных в рамках соответствующего правового регулирования.

Обработка персональных данных является обязательной в связи с тем, что невозможно получить явное согласие из-за фактической невозможности: Персональные данные субъекта данных, который не может выразить свое согласие или чье согласие не считается юридически действительным, будут обрабатываться Компанией, если обработка персональных данных является обязательной для защиты жизни или физической неприкосновенности субъекта данных или третьего лица.

Деятельность по обработке персональных данных напрямую связана с заключением или исполнением договора: Если необходимо обрабатывать персональные данные сторон договора, заключенного или уже подписанного между субъектом данных и Компанией, то деятельность по обработке персональных данных будет осуществляться.

Деятельность по обработке персональных данных является обязательной для контроллера данных для выполнения своего юридического обязательства: Компания обрабатывает персональные данные с целью выполнения своих юридических обязательств, установленных действующим законодательством.

Персональные данные были обнародованы субъектом данных: Персональные данные, которые были обнародованы субъектом данных каким-либо образом и, таким образом, открыты для всех, могут обрабатываться Компанией без явного согласия субъектов данных, ограничиваясь целью публичного раскрытия.

Обработка персональных данных является обязательной для установления, осуществления или защиты права: Компания может обрабатывать персональные данные субъектов данных без их явного согласия в ситуации принуждения.

Обработка данных является обязательной для законных интересов контроллера данных, при условии, что это не наносит ущерба основным правам и свободам субъекта данных: Персональные данные могут обрабатываться Компанией при условии соблюдения баланса интересов между Компанией и субъектом данных. В этом контексте Компания сначала определяет законный интерес, который она получит от деятельности по обработке данных. Она оценивает возможное влияние обработки персональных данных на права и свободы субъекта данных и, если считает, что баланс не нарушен, осуществляет деятельность по обработке данных.

3.3. Условия обработки особых категорий персональных данных

В статье 6 Закона в ограниченном порядке перечислены особые категории персональных данных. К ним относятся: раса, этническое происхождение, политические взгляды, философские убеждения, религия, секта или другие убеждения, одежда, членство в ассоциациях, фондах или профсоюзах, здоровье, половая жизнь, судимость и меры безопасности, а также биометрические и генетические данные. Компания может обрабатывать особые категории персональных данных, принимая дополнительные меры, определенные Советом по защите персональных данных, в следующих случаях:

Существование явного согласия субъекта данных: В тех случаях, когда другие условия обработки данных отсутствуют, особые категории персональных данных субъекта данных могут обрабатываться Компанией в соответствии с общими принципами, указанными в Разделе 3.1, и путем принятия дополнительных мер безопасности, при условии, что субъект данных дает свое согласие с достаточной информацией о деятельности по обработке персональных данных, по своей свободной воле, без колебаний и ограничено этой конкретной сделкой.

Деятельность по обработке персональных данных прямо предусмотрена в законах: В этом случае особые категории персональных данных могут обрабатываться Компанией в рамках соответствующего правового регулирования.

Персональные данные были обнародованы субъектом данных: Персональные данные, которые были обнародованы субъектом данных каким-либо образом и, таким образом, открыты для всех, могут обрабатываться Компанией без явного согласия субъектов данных, ограничиваясь целью публичного раскрытия и в соответствии с волей публичного раскрытия.

Обработка персональных данных является обязательной в связи с тем, что невозможно получить явное согласие из-за фактической невозможности: Особые категории персональных данных субъекта данных, который не может выразить свое согласие или чье согласие не считается юридически действительным, будут обрабатываться Компанией, если обработка особых категорий персональных данных является обязательной для защиты жизни или физической неприкосновенности субъекта данных или третьего лица.

Обязательно для установления, осуществления или защиты права: Компания может обрабатывать особые категории персональных данных субъектов данных без их явного согласия в ситуации принуждения.

Обязательно для защиты здоровья населения, профилактической медицины, медицинской диагностики, услуг лечения и ухода, а также для планирования, управления и финансирования услуг здравоохранения лицами или уполномоченными учреждениями и организациями, обязанными соблюдать конфиденциальность: Компания может обрабатывать особые категории персональных данных субъектов данных без их явного согласия в ситуации принуждения.

Обязательно для выполнения юридических обязательств в областях трудоустройства, охраны труда и техники безопасности, социального обеспечения, социальных услуг и социальной помощи: Компания может обрабатывать особые категории персональных данных субъектов данных без их явного согласия в ситуации принуждения.

Для фондов, ассоциаций и других некоммерческих организаций или союзов, созданных для политических, философских, религиозных или профсоюзных целей, ограничиваясь сферой их деятельности и при условии, что они не разглашаются третьим лицам, в соответствии с законодательством и их целями: Компания может обрабатывать особые категории персональных данных субъектов данных без их явного согласия в ситуации принуждения, когда данные касаются нынешних или бывших членов и филиалов или лиц, имеющих регулярные отношения с этими организациями и союзами.

4. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

Компания может передавать персональные данные внутри страны или за рубеж в соответствии со статьями 8 и 9 Закона и дополнительными положениями, определенными Советом по защите персональных данных.

Передача персональных данных третьим лицам внутри страны: Ваши персональные данные могут быть переданы Компанией, если существует хотя бы одно из условий обработки данных, указанных в статьях 5 и 6 Закона и поясненных в Разделе 3 настоящей Политики, и соблюдены основные принципы в отношении обработки данных.

Передача персональных данных третьим лицам за рубежом: Персональные данные могут передаваться за границу нашей Компанией в соответствии со статьей 9 Закона и принципами, изложенными в настоящей Политике, путем принятия технических и административных мер, как это поясняется ниже.

(i) Передача на основании решения о достаточности защиты, принятого для соответствующей страны, международной организации или секторов внутри страны: Персональные данные могут быть переданы за границу Компанией, если существует одно из условий, изложенных в статьях 5 и 6 Закона, и Совет принял решение о достаточности защиты для страны, международной организации или секторов внутри страны, в которую будут переданы данные. Решение о достаточности защиты принимается Советом и публикуется в Официальном вестнике. Совет также может запрашивать мнение соответствующих учреждений и организаций, когда это необходимо. Решение о достаточности защиты оценивается не реже одного раза в четыре года. В результате оценки или в других случаях, когда это сочтено необходимым, Совет может вносить изменения, приостанавливать или отзывать решение о достаточности защиты с перспективным эффектом.

(ii) В отсутствие решения о достаточности защиты: При условии, что существует одно из условий обработки персональных данных, изложенных в статьях 5 и 6 Закона, и субъект данных имеет возможность осуществить свои права и может подать заявление на эффективное средство правовой защиты в стране, в которую будут переданы данные, данные могут быть переданы за границу Компанией, если одной из сторон обеспечивается одна из следующих надлежащих гарантий:

Если существует международный договор, заключенный между государственными учреждениями и организациями или международными организациями в иностранном государстве и государственными учреждениями и организациями или профессиональными организациями со статусом государственного учреждения в Турции, и Совет разрешает эту передачу, данные могут быть переданы за границу Компанией.

Если существуют обязательные корпоративные правила, которые включают положения о защите персональных данных внутри группы компаний, занимающихся совместной экономической деятельностью, и одобрены Советом, данные могут быть переданы за границу Компанией.

Если существует стандартный договор, опубликованный Советом, который включает в себя такие вопросы, как категории данных, цели передачи данных, получатели данных и группы получателей, технические и административные меры, которые должны быть приняты получателем данных, и дополнительные меры, принятые для особых категорий персональных данных, и Совет уведомлен об этом стандартном договоре в течение установленного законом срока, данные могут быть переданы за границу Компанией.

Если имеется письменное обязательство, которое включает положения об обеспечении надлежащей защиты, и Совет разрешает эту передачу, данные могут быть переданы за границу Компанией.

(iii) Передача на основании исключительных обстоятельств: В отсутствие решения о достаточности защиты и если одна из надлежащих гарантий не может быть предоставлена, персональные данные могут быть переданы за границу Компанией в исключительном порядке, если существует одно из следующих обстоятельств:

Субъект данных дает явное согласие на передачу, при условии, что он был проинформирован о возможных рисках.

Передача является обязательной для исполнения договора между субъектом данных и контроллером данных или для осуществления преддоговорных мер, принятых по запросу субъекта данных.

Передача является обязательной для заключения или исполнения договора, заключаемого между контроллером данных и другим физическим или юридическим лицом в пользу субъекта данных.

Передача является обязательной для превосходного общественного интереса.1

Передача персональных данных является обязательной для установления, осуществления или защиты права.2

Передача персональных данных является обязательной для защиты жизни или физической неприкосновенности3 лица, которое фактически не может выразить свое согласие или чье согласие не является юридически действительным.

Передача осуществляется из государственного или открытого реестра лицам, имеющим законный интерес, при условии соблюдения условий, необходимых для доступа к реестру в соответствующем законодательстве, и передача запрашивается лицом, имеющим законный интерес.

В рамках общих принципов и условий обработки данных, содержащихся в статьях 8 и 9 Закона, Компания может передавать данные сторонам, классифицированным в таблице ниже:

5. ИНФОРМИРОВАНИЕ СУБЪЕКТОВ ДАННЫХ И ПРАВА СУБЪЕКТОВ ДАННЫХ

Согласно статье 10 Закона, субъекты данных должны быть проинформированы об обработке персональных данных до или, самое позднее, во время обработки.

На основании вышеупомянутой статьи Компания, как контроллер данных, создала необходимую внутреннюю структуру для обеспечения того, чтобы субъекты данных были проинформированы в каждом случае деятельности по обработке персональных данных.

В этом контексте;

• О цели обработки ваших персональных данных см. Раздел 2.2 настоящей Политики.
• О сторонах, которым передаются ваши персональные данные, и цели передачи см. Раздел 4 настоящей Политики.
• Чтобы ознакомиться с условиями обработки ваших персональных данных, которые могут быть собраны по различным каналам в физической или электронной среде, см. Разделы 3.2 и 3.3 настоящей Политики.

Мы хотели бы сообщить вам, что как субъект данных вы имеете следующие права в соответствии со статьей 11 Закона:

• Узнать, обрабатываются ли ваши персональные данные,
• Запросить информацию, если ваши персональные данные были обработаны,
• Узнать цель обработки ваших персональных данных и используются ли они в соответствии со своей целью,
• Знать третьих лиц, которым ваши персональные данные передаются внутри страны или за рубежом,
• Запросить исправление ваших персональных данных, если они являются неполными или обработаны неверно, и запросить, чтобы эта процедура была доведена до сведения третьих лиц, которым были переданы ваши персональные данные,
• Запросить удаление или уничтожение ваших персональных данных, если причины для их обработки исчезли, несмотря на то, что они были обработаны в соответствии с Законом и другими соответствующими законодательными положениями, и запросить, чтобы эта процедура была доведена до сведения третьих лиц, которым были переданы ваши персональные данные,
• Возражать против результата, который возникает против вас в результате анализа обработанных данных исключительно через автоматизированные системы,
• Требовать компенсацию за ущерб, если вы понесли ущерб из-за незаконной обработки ваших персональных данных.

Вы можете отправить свои запросы относительно ваших вышеупомянутых прав в нашу Компанию, заполнив форму заявки субъекта данных Garenta Transportation Solutions Inc., которую вы можете получить на веб-сайте Компании.

Ваши запросы будут обработаны бесплатно в кратчайшие сроки и не позднее тридцати дней; однако, если операция требует дополнительных затрат, с вас может взиматься плата в соответствии с тарифом, установленным Советом по защите персональных данных. Компания в ходе оценки заявлений сначала определяет, действительно ли заявитель является обладателем прав.

Кроме того, Компания может запросить подробную и дополнительную информацию, если сочтет это необходимым для лучшего понимания запроса. Ответы на запросы субъектов данных даются в письменной или электронной форме.

В случае отклонения запроса субъекту данных будут объяснены причины отклонения.

6. УДАЛЕНИЕ, УНИЧТОЖЕНИЕ И ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Если причины для обработки персональных данных, обработанных в соответствии с Законом и другим соответствующим законодательством, исчезли, персональные данные будут удалены, уничтожены или обезличены Компанией, по должности или по запросу субъекта данных, в соответствии с инструкциями, опубликованными Советом.

7. ОГРАНИЧЕНИЯ НА СФЕРУ ДЕЙСТВИЯ И ПРИМЕНЕНИЕ ЗАКОНА

Согласно статье 28 Закона, поскольку следующие случаи не включены в сферу действия Закона, субъекты данных не могут осуществлять свои права в отношении следующих вопросов:

(1) Обработка персональных данных физическими лицами исключительно в рамках деятельности, связанной с ними самими или членами их семей, проживающими в одном доме, при условии, что они не передаются третьим лицам и обеспечивается соблюдение обязательств по обеспечению безопасности данных.

(2) Обработка персональных данных для таких целей, как официальная статистика, исследования, планирование и статистика, путем их обезличивания.

(3) Обработка персональных данных для художественных, исторических, литературных или научных целей или в рамках свободы выражения мнений при условии, что это не наносит ущерба национальной обороне, национальной безопасности, общественной безопасности, общественному порядку, экономической безопасности, конфиденциальности частной жизни или личным правам и не представляет собой преступление.

(4) Обработка персональных данных в рамках профилактической, защитной и разведывательной деятельности, осуществляемой государственными учреждениями и организациями, уполномоченными законом для обеспечения национальной обороны, национальной безопасности, общественной безопасности, общественного порядка или экономической безопасности.

(5) Обработка персональных данных судебными или правоохранительными органами в связи с расследованием, преследованием, решением суда или исполнительным производством.

В соответствии с целью и основными принципами настоящего Закона и пропорционально им, обязанность контроллера данных информировать и права субъекта данных, регулируемые в статьях 10 и 11 Закона, за исключением права требовать возмещения убытков, не применяются в следующих случаях:

(1) Обработка персональных данных является обязательной для предотвращения преступления или для уголовного расследования.

(2) Персональные данные были обнародованы самими субъектами данных.

(3) Обработка персональных данных является обязательной для исполнения обязательств по аудиту или регулированию или для дисциплинарного расследования или преследования государственными учреждениями и организациями, уполномоченными законом, или профессиональными организациями со статусом государственного учреждения.

(4) Обработка персональных данных является обязательной для защиты экономических и финансовых интересов государства в отношении бюджета, налогов и финансовых вопросов.

8. ТЕХНИЧЕСКИЕ И АДМИНИСТРАТИВНЫЕ МЕРЫ, ПРИНИМАЕМЫЕ ДЛЯ БЕЗОПАСНОГО ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРЕДОТВРАЩЕНИЯ ИХ НЕЗАКОННОЙ ОБРАБОТКИ И ДОСТУПА

Наша Компания принимает все необходимые технические и административные меры для обеспечения уровня безопасности в соответствии со статьей 12 Закона.

В этом контексте наша Компания принимает все необходимые (i) административные и (ii) технические меры, (iii) создает систему внутреннего аудита внутри компании и (iv) действует в соответствии с мерами, предусмотренными в Законе в случае незаконного разглашения персональных данных.

8.1. Административные меры, принимаемые нашей Компанией для обеспечения законной обработки персональных данных и предотвращения несанкционированного доступа

Она обучает сотрудников Компании и обеспечивает их осведомленность о праве на защиту персональных данных.

Необходимые положения, касающиеся предотвращения незаконной обработки персональных данных, предотвращения несанкционированного доступа к данным и законного хранения данных, добавляются в договоры, заключенные с лицами, которым персональные данные передаются на законных основаниях, и с третьими лицами, от которых получены технические услуги для хранения персональных данных, и обеспечивается соблюдение ими этих мер в своих организациях.

Деятельность по обработке персональных данных, осуществляемая нашей Компанией, подробно изучается, и в этом контексте определяются шаги, которые необходимо предпринять для обеспечения соблюдения условий обработки персональных данных, предусмотренных Законом.

Практики, которые необходимо выполнить для обеспечения соответствия Закону, определяются и регулируются внутренними политиками.

8.2. Технические меры, принимаемые нашей Компанией для обеспечения законной обработки персональных данных и предотвращения несанкционированного доступа

Наша Компания принимает технические меры в соответствии с технологическими разработками в отношении защиты персональных данных, и принятые меры обновляются и возобновляются параллельно с разработками.

Для решения технических вопросов нанимается опытный персонал.

Регулярно проводятся аудиты для реализации принятых мер.

Устанавливается программное обеспечение и системы для обеспечения безопасности.

Право доступа к персональным данным, обрабатываемым в нашей Компании, ограничено соответствующими сотрудниками в соответствии с определенной целью обработки.

8.3. Исполнение аудиторской деятельности

В соответствии со статьей 12 Закона Компания проводит аудит функциональности технических и административных мер, принятых в рамках защиты и безопасности персональных данных, и реализует практики, обеспечивающие непрерывность функции. Результаты этой проверки доводятся до сведения соответствующего отдела в рамках внутренних операций компании, и проводятся необходимые мероприятия по улучшению всех принятых мер.

8.4. Меры, которые должны быть приняты в случае незаконного разглашения персональных данных

Если персональные данные, обработанные в соответствии с Законом и соответствующим законодательством, незаконно получены другими лицами, Компания без промедления проинформирует Совет по защите персональных данных и соответствующих субъектов данных в соответствии с пунктом 5 статьи 12 Закона.

9. ОПРЕДЕЛЕНИЯ