سياسة حفظ البيانات الشخصية وإتلافها
1. المقدمة
1.1 الغرض
تم إعداد سياسة تخزين البيانات الشخصية وتدميرها ("السياسة") لتحديد الإجراءات والمبادئ المتعلقة بالأعمال والمعاملات المتعلقة بأنشطة التخزين والتدمير التي تنفذها بورصة نيزيب للسلع (بورصة أو بورصة لدينا) .
تماشياً مع الرسالة والرؤية والمبادئ الأساسية المحددة في الخطة الإستراتيجية للبورصة؛ لقد أعطت الأولوية لمعالجة البيانات الشخصية لموظفي البورصة والمرشحين للموظفين ومقدمي الخدمات والزوار والأعضاء والأطراف الثالثة الأخرى وفقًا لدستور جمهورية تركيا والاتفاقيات الدولية وقانون حماية البيانات الشخصية رقم 6698 ("القانون") والتشريعات الأخرى ذات الصلة وضمان ممارسة الأشخاص المعنيين لحقوقهم بشكل فعال.
يتم تنفيذ الأعمال والمعاملات المتعلقة بتخزين البيانات الشخصية وتدميرها وفقًا للسياسة المعدة وفقًا لذلك من قبل البورصة لدينا.
1.2 النطاق
تقع البيانات الشخصية الخاصة بموظفي الشركة والمرشحين للموظفين ومقدمي الخدمات والزوار والأعضاء والأطراف الثالثة الأخرى ضمن نطاق هذه السياسة، وتنطبق هذه السياسة على جميع بيئات التسجيل حيث تتم معالجة البيانات الشخصية التي تملكها أو تديرها بورصة إسطنبول والأنشطة المتعلقة بمعالجة البيانات الشخصية.
1.3 الاختصارات والتعريفات
المجموعة المتلقية: فئة الشخص الطبيعي أو الاعتباري الذي يتم نقل البيانات الشخصية إليه من قبل مراقب البيانات.
الموافقة الصريحة: الموافقة على مسألة معينة، بناءً على معلومات ويتم التعبير عنها بإرادة حرة.
إخفاء الهوية: جعل البيانات الشخصية من المستحيل ربطها بشخص طبيعي محدد أو يمكن التعرف عليه بأي شكل من الأشكال، حتى عن طريق مطابقتها مع بيانات أخرى.
الموظف: موظفي البورصة لدينا.
EBYS: نظام إدارة الوثائق الإلكترونية البيئة الإلكترونية: البيئات التي يمكن فيها إنشاء البيانات الشخصية وقراءتها وتغييرها وكتابتها باستخدام الأجهزة الإلكترونية.
الوسائط غير الإلكترونية: جميع الوسائط المكتوبة والمطبوعة والمرئية وغيرها، بخلاف الوسائط الإلكترونية. بيئات أخرى.
مقدم الخدمة: الشخص الحقيقي أو الاعتباري الذي يقدم الخدمات في إطار عقد محدد مع بورصتنا.
الشخص ذو الصلة: الشخص الحقيقي الذي تتم معالجة بياناته الشخصية.
المستخدم ذو الصلة: الأشخاص الذين يقومون بمعالجة البيانات الشخصية داخل مؤسسة التحكم في البيانات أو بما يتماشى مع السلطة والتعليمات الواردة من مراقب البيانات، باستثناء الشخص أو الوحدة المسؤولة عن التخزين الفني للبيانات وحمايتها ونسخها احتياطيًا.
الإتلاف : حذف البيانات الشخصية أو إتلافها أو جعلها مجهولة الهوية.
القانون : قانون حماية البيانات الشخصية رقم 6698.
بيئة التسجيل: أي بيئة تتم فيها معالجة البيانات الشخصية بوسائل آلية أو غير آلية كلياً أو جزئياً، بشرط أن تكون جزءاً من أي نظام لتسجيل البيانات.
البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد أو يمكن التعرف عليه.
جرد معالجة البيانات الشخصية: أنشطة معالجة البيانات الشخصية التي ينفذها مراقبو البيانات اعتمادًا على عملياتهم التجارية؛ المخزون الذي يقومون بإنشائه من خلال ربط البيانات الشخصية بالأغراض والسبب القانوني لمعالجة البيانات الشخصية، وفئة البيانات، ومجموعة المستلمين المنقولين، ومجموعة الأشخاص موضوع البيانات، وتفصيل الحد الأقصى لفترة الاحتفاظ المطلوبة للأغراض التي تتم معالجة البيانات الشخصية من أجلها، والبيانات الشخصية المقرر نقلها إلى بلدان أجنبية والتدابير المتخذة فيما يتعلق بأمن البيانات.
معالجة البيانات الشخصية: جميع أنواع العمليات التي تتم على البيانات مثل الحصول على البيانات الشخصية أو تسجيلها أو تخزينها أو حفظها أو تغييرها أو إعادة ترتيبها أو الكشف عنها أو نقلها أو الاستيلاء عليها أو إتاحتها أو تصنيفها أو منع استخدامها بوسائل آلية أو غير آلية كليًا أو جزئيًا بشرط أن تكون جزءًا من أي نظام لتسجيل البيانات.
البيانات الشخصية ذات الطبيعة الخاصة: البيانات المتعلقة بعرق الأشخاص، وأصلهم العرقي، وفكرهم السياسي، ومعتقداتهم الفلسفية، ودينهم، وطائفتهم أو معتقداتهم الأخرى، والمظهر والملبس، والجمعيات، وعضوية المؤسسات أو النقابات، والصحة، والحياة الجنسية، والإدانة الجنائية والإجراءات الأمنية، والبيانات البيومترية والوراثية.
التدمير الدوري: عملية حذف البيانات الشخصية أو إتلافها أو إخفاء هويتها، والمحددة في سياسة تخزين البيانات الشخصية وتدميرها، وسيتم تنفيذها تلقائيًا على فترات متكررة، في حالة إلغاء جميع شروط معالجة البيانات الشخصية المحددة في القانون.
السياسة : سياسة حفظ البيانات الشخصية وإتلافها
معالج البيانات: الشخص الحقيقي أو الاعتباري الذي يقوم بمعالجة البيانات الشخصية نيابة عن مراقب البيانات، بناءً على السلطة الممنوحة له من مراقب البيانات.
نظام تسجيل البيانات: نظام تسجيل يتم فيه تنظيم البيانات الشخصية ومعالجتها وفق معايير معينة.
مراقب البيانات: الشخص الطبيعي أو الاعتباري الذي يحدد أغراض ووسائل معالجة البيانات الشخصية ويكون مسؤولاً عن إنشاء وإدارة نظام تسجيل البيانات.
نظام معلومات سجل مراقبي البيانات: نظام المعلومات الذي أنشأته وتديره الرئاسة، ويمكن الوصول إليه عبر الإنترنت، والذي سيستخدمه مراقبو البيانات في التقدم إلى السجل والمعاملات الأخرى ذات الصلة المتعلقة بالسجل.
VERBIS: لائحة نظام معلومات سجل مراقبي البيانات: لائحة حذف أو تدمير أو إخفاء هوية البيانات الشخصية المنشورة في الجريدة الرسمية بتاريخ 28 أكتوبر 2017.
2. توزيع المسؤوليات والواجبات
تدعم جميع الوحدات والموظفين في بورصتنا بشكل فعال الوحدات المسؤولة في مسائل التنفيذ السليم للتدابير الفنية والإدارية التي تتخذها الوحدات المسؤولة في نطاق السياسة، والتدريب ورفع الوعي لموظفي الوحدة، والمراقبة والإشراف المستمر، واتخاذ التدابير الفنية والإدارية لضمان أمن البيانات في جميع البيئات التي تتم فيها معالجة البيانات الشخصية، من أجل منع المعالجة غير القانونية للبيانات الشخصية، ومنع الوصول غير القانوني إلى البيانات الشخصية، ولضمان التخزين القانوني للبيانات الشخصية.
3. أوساط التسجيل
يتم تخزين البيانات الشخصية بشكل آمن من قبل بورصة اسطنبول في البيئات المحددة أدناه، وفقا للقانون.
أوساط حفظ البيانات الشخصية:
- الأوساط الإلكترونية، الأوساط غير الإلكترونية الخوادم (النطاق، النسخ الاحتياطي، البريد الإلكتروني، قاعدة البيانات، الويب، مشاركة الملفات، وغيرها)
- البرمجيات (برمجيات المكاتب،
- أجهزة أمن المعلومات (جدار الحماية، كشف التسلل ومنعه، ملف السجل، مكافحة الفيروسات، وما إلى ذلك)
- أجهزة الكمبيوتر الشخصية (سطح المكتب، الكمبيوتر المحمول)
- الأجهزة المحمولة (الهاتف، الجهاز اللوحي، وغيرها)،
- الأقراص الضوئية (CD، DVD، وغيرها)
- الذكريات القابلة للإزالة (USB، بطاقة الذاكرة، إلخ.)
- الطابعات والماسحات الضوئية وآلات التصوير،
- ورق،
- أنظمة تسجيل البيانات اليدوية (نماذج الاستطلاعات، دفتر دخول الزوار)
- وسائل الإعلام المكتوبة والمطبوعة والمرئية
4. توضيحات حول التخزين والتخلص
من خلال البورصة لدينا. يتم تخزين وتدمير البيانات الشخصية للموظفين والموظفين المحتملين والزوار والأعضاء والموظفين التابعين لأطراف ثالثة أو مؤسسات أو منظمات تربطنا بها علاقات كمقدمي خدمات، وفقًا للقانون.
وفي هذا السياق، ترد أدناه شرح تفصيلي بشأن التخزين والتخلص.
4.1 معلومات عن التخزين
في المادة 3 من القانون، يتم تعريف مفهوم معالجة البيانات الشخصية، في المادة 4، ينص على أن البيانات الشخصية التي تتم معالجتها يجب أن تكون مرتبطة بالغرض الذي تتم معالجتها من أجله، ومحدودة ومتناسبة ويجب الاحتفاظ بها للفترة المنصوص عليها في التشريعات ذات الصلة أو للفترة المطلوبة للغرض الذي تتم معالجتها من أجله، وفي المادتين 5 و 6، يتم إدراج شروط معالجة البيانات الشخصية.
وبناء على ذلك، وفي إطار أنشطة بورصة إسطنبول، يتم تخزين البيانات الشخصية لفترة زمنية منصوص عليها في التشريعات ذات الصلة أو المناسبة لأغراض المعالجة لدينا.
4.1.1 الأسباب القانونية التي تستوجب الحفظ
يتم الاحتفاظ بالبيانات الشخصية التي تتم معالجتها ضمن نطاق أنشطة البورصة طوال الفترة المنصوص عليها في التشريعات ذات الصلة. وفي هذا السياق، البيانات الشخصية؛
- قانون حماية البيانات الشخصية رقم 6698،
- قانون الالتزامات التركي رقم 6098،
- قانون المناقصات العامة رقم 4734،
- قانون موظفي الدولة رقم 657،
- قانون التأمينات الاجتماعية والتأمين الصحي العام رقم 5510،
- وعلى القانون رقم 5651 بشأن تنظيم المطبوعات على شبكة الإنترنت ومكافحة الجرائم المرتكبة من خلال هذه المطبوعات،
- قانون الإدارة المالية العامة رقم 5018،
- قانون الصحة والسلامة المهنية رقم 6331،
- قانون الحق في الحصول على المعلومات رقم 4982،
- وعلى القانون رقم 3071 بشأن مباشرة حق التظلم،
- قانون العمل رقم 4857،
- قانون التعليم العالي رقم 2547،
- قانون صحة المتقاعدين رقم 5434،
- قانون الخدمات الاجتماعية رقم 2828،
- اللائحة التنظيمية الخاصة بتدابير الصحة والسلامة التي يجب اتخاذها في مباني وملحقات أماكن العمل،
- اللائحة التنظيمية لخدمات الأرشيف
- اللوائح الثانوية الأخرى المعمول بها بموجب هذه القوانين
يتم تخزينه لفترات التخزين المحددة.
4.1.2 أغراض المعالجة التي تتطلب التخزين
تقوم بورصة الأوراق المالية لدينا بتخزين البيانات الشخصية التي تعالجها ضمن نطاق أنشطتها للأغراض التالية.
- تنفيذ عمليات الموارد البشرية.
- ضمان التواصل المؤسسي.
- لضمان أمن الشركة،
- أن تكون قادرة على القيام بالدراسات الإحصائية.
- أن تكون قادرة على تنفيذ الأعمال والمعاملات نتيجة العقود والبروتوكولات الموقعة.
- للتأكد من الوفاء بالالتزامات القانونية على النحو المطلوب أو الذي تتطلبه اللوائح القانونية.
- للاتصال بالأشخاص الحقيقيين/الاعتباريين الذين لديهم علاقات تجارية مع البورصة لدينا.
- إعداد التقارير القانونية.
- عبء الإثبات كدليل في النزاعات القانونية التي قد تنشأ في المستقبل.
4.2 الأسباب التي تستوجب الإتلاف
البيانات الشخصية، في حالات:
- تعديل أو إلغاء الأحكام التشريعية ذات الصلة التي تشكل أساس المعالجة،
- زوال الغرض الذي يستوجب معالجتها أو حفظها،
- في الحالات التي تتم فيها معالجة البيانات الشخصية فقط على أساس موافقة صريحة، يجب على الشخص المعني سحب موافقته الصريحة،
- وفقا للمادة 11 من القانون، يتم قبول الطلب المقدم من الشخص المعني لحذف وتدمير بياناته الشخصية في إطار حقوقه من قبل بورصتنا،
- في الحالات التي ترفض فيها بورصة اسطنبول الطلب المقدم من الشخص المعني الذي يطلب حذف بياناته الشخصية أو إتلافها أو إخفاء هويتها، أو تجد أن الإجابة المقدمة غير كافية، أو لا ترد خلال الفترة المنصوص عليها في القانون؛ تقديم شكوى إلى المجلس وموافقة المجلس على هذا الطلب،
- لقد انقضت المدة القصوى التي تتطلب تخزين البيانات الشخصية ولا توجد شروط تبرر تخزين البيانات الشخصية لفترة زمنية أطول،
وفي مثل هذه الحالات، يتم حذفها أو إتلافها أو حذفها أو إتلافها أو إخفاء هويتها بحكم منصبها بواسطة البورصة لدينا بناءً على طلب الشخص المعني.
5. التدابير الفنية والإدارية
يتم اتخاذ التدابير الفنية والإدارية من قبل بورصتنا في إطار التدابير المناسبة التي تحددها وتعلن عنها بورصتنا للبيانات الشخصية الخاصة وفقًا للمادة 12 من القانون والفقرة الرابعة من المادة 6 من القانون، من أجل تخزين البيانات الشخصية بأمان، ومنع معالجتها والوصول إليها بشكل غير قانوني، وتدمير البيانات الشخصية وفقًا للقانون.
5.1 التدابير الفنية
فيما يلي التدابير الفنية التي تتخذها بورصتنا فيما يتعلق بالبيانات الشخصية التي تعالجها:
- من خلال اختبارات الاختراق، يتم الكشف عن المخاطر والتهديدات ونقاط الضعف ونقاط الضعف، إن وجدت، فيما يتعلق بأنظمة معلومات بورصة إسطنبول ويتم اتخاذ الاحتياطات اللازمة.
- ونتيجة للتحليل في الوقت الحقيقي مع إدارة حوادث أمن المعلومات، تتم مراقبة المخاطر والتهديدات التي ستؤثر على استمرارية أنظمة المعلومات باستمرار.
- يتم الوصول إلى أنظمة المعلومات وتفويض المستخدمين من خلال مصفوفة الوصول والترخيص وسياسات الأمان من خلال الدليل النشط للشركة.
- يتم اتخاذ الاحتياطات اللازمة للأمن المادي لمعدات وبرامج وبيانات أنظمة المعلومات الخاصة بنا.
- لضمان أمن أنظمة المعلومات ضد التهديدات البيئية، يتم استخدام الأجهزة (نظام التحكم في الوصول الذي يسمح فقط للموظفين المصرح لهم بدخول غرفة النظام، ونظام المراقبة على مدار الساعة طوال أيام الأسبوع، وضمان الأمن المادي لمفاتيح الحافة التي تشكل شبكة المنطقة المحلية، ونظام إطفاء الحرائق، ونظام تكييف الهواء، وما إلى ذلك) والبرمجيات (جدران الحماية، وأنظمة منع الهجمات، والتحكم في الوصول إلى الشبكة، والأنظمة التي تمنع البرامج الضارة، وما إلى ذلك).
- يتم تحديد المخاطر لمنع المعالجة غير القانونية للبيانات الشخصية، ويتم اتخاذ التدابير الفنية المناسبة لهذه المخاطر، ويتم تنفيذ الضوابط الفنية للتدابير المتخذة.
- يتم تسجيل عمليات الوصول إلى مناطق التخزين التي تحتوي على بيانات شخصية، وتُبقى عمليات الوصول غير الملائمة أو محاولات الوصول تحت السيطرة.
- تتخذ بورصة الأوراق المالية لدينا التدابير اللازمة لضمان عدم إمكانية الوصول إلى البيانات الشخصية المحذوفة وعدم إمكانية استخدامها للمستخدمين المعنيين.
- تتم مراقبة الثغرات الأمنية، ويتم تثبيت التصحيحات الأمنية المناسبة وتحديث أنظمة المعلومات.
- يتم استخدام كلمات مرور قوية في البيئات الإلكترونية حيث تتم معالجة البيانات الشخصية.
- تُستخدم أنظمة حفظ السجلات الآمنة (التسجيل) في البيئات الإلكترونية حيث تتم معالجة البيانات الشخصية.
- تُستخدم برامج النسخ الاحتياطي للبيانات لضمان التخزين الآمن للبيانات الشخصية.
- يقتصر الوصول إلى البيانات الشخصية المخزنة في الوسائط الإلكترونية أو غير الإلكترونية وفقًا لمبادئ الوصول.
إذا تم النقل بين خوادم في بيئات فعلية مختلفة، فسيتم نقل البيانات بين الخوادم عن طريق إنشاء VPN أو استخدام طريقة FTP. إذا كان من الضروري نقل المستند عبر الورق، يتم اتخاذ الاحتياطات اللازمة ضد المخاطر مثل السرقة أو فقدان المستند أو الاطلاع عليه من قبل أشخاص غير مصرح لهم، ويتم إرسال المستند بتنسيق "سري".
5.2 التدابير الإدارية
فيما يلي التدابير الإدارية التي تتخذها بورصتنا فيما يتعلق بالبيانات الشخصية التي تعالجها:
- من أجل تحسين مؤهلات الموظفين، يتم توفير التدريب على منع المعالجة غير القانونية للبيانات الشخصية، ومنع الوصول غير القانوني إلى البيانات الشخصية، وضمان الحفاظ على البيانات الشخصية، وتقنيات الاتصال، والمعرفة والمهارات التقنية، والقانون رقم 657 والتشريعات الأخرى ذات الصلة.
- يُطلب من الموظفين التوقيع على اتفاقيات السرية المتعلقة بالأنشطة التي تقوم بها البورصة لدينا.
- تم إعداد إجراء تأديبي للموظفين الذين لا يلتزمون بالسياسات والإجراءات الأمنية.
- قبل البدء في معالجة البيانات الشخصية، تفي بورصة إسطنبول بالتزامها بإبلاغ الأشخاص المعنيين.
- تم إعداد سجل جرد معالجة البيانات الشخصية.
- يتم إجراء عمليات تدقيق دورية وعشوائية داخل الشركة.
- يتم توفير التدريب على أمن المعلومات للموظفين.
6. تقنيات إتلاف البيانات الشخصية
في نهاية الفترة المنصوص عليها في التشريعات ذات الصلة أو فترة التخزين المطلوبة للغرض الذي تتم معالجتها من أجله، يتم تدمير البيانات الشخصية من قبل بورصة اسطنبول بحكم منصبها أو بناءً على طلب الشخص المعني، باستخدام التقنيات المحددة أدناه، وفقًا للتشريعات ذات الصلة.
6.1 محو البيانات الشخصية
يتم حذف البيانات الشخصية باستخدام الطرق الموضحة أدناه.
- البيانات الشخصية الموجودة على الخوادم:
بالنسبة للبيانات الشخصية الموجودة على الخوادم التي انتهت فترة الاحتفاظ بها، يقوم مسؤول النظام بإزالة ترخيص الوصول للمستخدمين المعنيين وحذفهم.
- البيانات الشخصية الموجودة في البيئة الإلكترونية:
من بين البيانات الشخصية الموجودة في البيئة الإلكترونية، تلك البيانات التي انتهت فترة تخزينها تصبح غير قابلة للوصول وغير قابلة للاستخدام للموظفين الآخرين (المستخدمين المعنيين) باستثناء مسؤول قاعدة البيانات.
- البيانات الشخصية الموجودة في البيئة المادية:
بالنسبة للبيانات الشخصية المحفوظة في الوسائط المادية، والتي انتهت الفترة التي تتطلب تخزينها، تصبح غير قابلة للوصول وغير قابلة للاستخدام بأي شكل من الأشكال للموظفين الآخرين، باستثناء مدير الوحدة المسؤول عن أرشيف المستندات. بالإضافة إلى ذلك، يتم تطبيق السواد أيضًا عن طريق الرسم/الطلاء/مسح السطح بحيث لا يمكن قراءته.
6.2 إتلاف البيانات الشخصية
يتم تدمير البيانات الشخصية بالطرق الموضحة أدناه.
- البيانات الشخصية الموجودة في البيئة المادية:
يتم تدمير البيانات الشخصية المخزنة على الورق الذي انتهت صلاحيته بشكل لا رجعة فيه في آلات تمزيق الورق.
- البيانات الشخصية الموجودة على الوسائط البصرية / المغناطيسية:
يتم تدمير البيانات الشخصية الموجودة في الوسائط البصرية والوسائط المغناطيسية التي انتهت فترة تخزينها، ماديًا، مثل الصهر أو الحرق أو السحق. بالإضافة إلى ذلك، تصبح البيانات الموجودة على الوسائط المغناطيسية غير قابلة للقراءة عن طريق تمريرها عبر جهاز خاص وتعريضها لمجال مغناطيسي مرتفع.
6.3 إخفاء هوية البيانات الشخصية
إن إخفاء هوية البيانات الشخصية يعني أنه من المستحيل ربط البيانات الشخصية بشخص طبيعي محدد أو يمكن التعرف عليه بأي شكل من الأشكال، حتى لو كانت مطابقة لبيانات أخرى.
من أجل أن تكون البيانات الشخصية مجهولة المصدر؛ يجب إعادة البيانات الشخصية من قبل مراقب البيانات أو أطراف ثالثة و/أو جعل من المستحيل ربطها بشخص طبيعي محدد أو يمكن التعرف عليه، حتى من خلال استخدام التقنيات المناسبة فيما يتعلق ببيئة التسجيل ومجال النشاط ذي الصلة، مثل مطابقة البيانات مع بيانات أخرى.
7. فترة التخزين والتخلص
فيما يتعلق بالبيانات الشخصية التي تعالجها بورصتنا في إطار أنشطتها؛
- فترات الاحتفاظ بالبيانات الشخصية لجميع البيانات الشخصية ضمن نطاق الأنشطة التي يتم تنفيذها اعتمادًا على العمليات الموجودة في مخزون معالجة البيانات الشخصية؛
- يتم تسجيل فترات الاحتفاظ بناءً على فئات البيانات في VERBIS؛
- فترات الاحتفاظ القائمة على العمليات موجودة في سياسة تخزين البيانات الشخصية وتدميرها.
.
بالنسبة للبيانات الشخصية التي انتهت فترة تخزينها، يتم تنفيذ عملية الحذف أو التدمير أو إخفاء الهوية تلقائيًا من قبل بورصة اسطنبول.
8. فترة التدمير الدورية
وقد حددت بورصتنا فترة التدمير الدورية بـ 6 أشهر.
9. نشر السياسة وتخزينها
يتم نشر السياسة على موقعنا الإلكتروني ويتم الكشف عنها للجمهور على الموقع. يتم أيضًا الاحتفاظ بالنسخة الورقية المطبوعة في الوحدة ذات الصلة داخل البورصة لدينا.
10. فترة محدثة من السياسة
تتم مراجعة السياسة حسب الحاجة ويتم تحديث الأقسام الضرورية.
11. تنفيذ وإلغاء السياسة
تعتبر السياسة قد دخلت حيز التنفيذ بعد نشرها على الموقع الإلكتروني لبورصة الأوراق المالية لدينا.