GDPR Uyğunluğu

Ümumi Məlumatların Mühafizəsi Reqlamenti (GDPR) (Aİ) 2016/679 Avropa İttifaqı və Avropa İqtisadi Zonası daxilindəki şəxslər üçün şəxsi məlumatların mühafizəsini tənzimləyən əsas hüquqi çərçivədir. Türkiyədə Şəxsi Məlumatların Mühafizəsi haqqında 6698 nömrəli Qanun (KVKK) ekvivalent çərçivə yaradır. Meet2Be-nin operatoru olan Pinet Bilişim A.Ş. ("biz", "bizim", "Şirkət") məlumat emalı fəaliyyətinin bütün aspektlərində həm GDPR-a, həm də KVKK-ya tam riayət etməyi öhdəsinə götürür.

Bu səhifə GDPR və KVKK uyğunluq çərçivəmizi — məlumat operatoru və məlumat emalçısı rollarımızı, əsaslandığımız hüquqi əsasları, məlumat subyektlərinin hüquqlarını, texniki və təşkilati təhlükəsizlik tədbirlərimizi, alt emalçı çərçivəmizi və məlumat pozuntusuna reaksiya prosedurlarımızı — ətraflı şəkildə təqdim edir.

2016-cı ildə qəbul edilmiş Türkiyənin KVKK-sı Aİ-nin 95/46/EC nömrəli Məlumatların Mühafizəsi Direktivi əsas götürülməklə hazırlanıb və GDPR prinsipləri ilə əhəmiyyətli dərəcədə uzlaşır. Hər iki çərçivə eyni fundamental prinsipləri paylaşır: qanunilik, ədalətlilik və şəffaflıq; məqsədlə məhdudlaşma; məlumatların minimallaşdırılması; dəqiqlik; saxlanma müddəti ilə məhdudlaşma; bütövlük və məxfilik; hesabatlılıq.

Fərqlərin olduğu hallarda iki standartdan daha sərtini tətbiq edirik. Bu o deməkdir ki, Aİ/AİZ istifadəçiləri tam GDPR mühafizəsindən yararlanır, bütün istifadəçilər — o cümlədən Türkiyə istifadəçiləri — isə KVKK-dakılara bərabər və ya onlardan geniş hüquqlardan faydalanır. Uyğunluq proqramımız fərqli istifadəçi qrupları üçün ayrıca məlumat emalı prosesləri tələb etmədən hər iki çərçivəni eyni vaxtda təmin etmək üçün qurulub.

Türkiyənin KVKK Kurumu Avropa Komissiyasından adekvatlıq qərarı almağa çalışdığı üçün biz gedişatı izləyir və uyğunluq prosedurlarımızı müvafiq qaydada yeniləyəcəyik. Sərhədlərarası məlumat axınları üçün Standart Müqavilə Bəndlərimiz (SCC) aralıq dövrdə hər hansı boşluğu aradan qaldırmaq üçün artıq qüvvədədir.

Meet2Be məlumat emalı fəaliyyətinin xarakterindən asılı olaraq GDPR və KVKK çərçivəsində ikili statusda fəaliyyət göstərir:

GDPR-ın 6-cı maddəsinə və KVKK-nın 5-ci maddəsinə əsasən hər emal fəaliyyətinin qanuni əsası olmalıdır. Hər emal fəaliyyətinə tətbiq olunan əsası Emal Fəaliyyətlərinin Qeydiyyat Kitabında (RoPA) sənədləşdiririk. Mövcud altı əsas və onların fəaliyyətimizə tətbiqi belədir:

GDPR-ın 15–22-ci maddələri və KVKK-nın 11-ci maddəsi çərçivəsində şəxsi məlumatlarınıza dair geniş hüquqlara maliksiniz. Bu hüquqların bir qismi mütləq, bir qismi isə (qanuni istisnalara tabe olmaqla) şərtidir. Bütün hüquq sorğularını şəxsiyyəti təsdiq edən sənədlə birlikdə privacy@meet2be.com ünvanına göndərin. 30 gün ərzində cavab veririk; mürəkkəb sorğular bildiriş verilməklə əlavə iki ayadək uzadıla bilər.

Sorğular açıq-aşkar əsassız və ya həddindən artıq olmadıqca hüquqlarınızın həyata keçirilməsi üçün haqq tutmuruq. Şəxsiyyətinizi yoxlamaq üçün cavab müddətini bir dəfə dayandıra bilərik. Sorğunu rədd etdiyimiz halda səbəblərimizi və nəzarət orqanına şikayət vermək hüququnuzu izah edəcəyik.

Qlobal miqyasda fəaliyyət göstəririk, bu isə o deməkdir ki, məlumatlarınız Türkiyədən və AİZ-dən kənar — o cümlədən Aİ adekvatlıq qərarı olmayan — ölkələrdə saxlanıla və ya emal edilə bilər. Bütün beynəlxalq ötürmələrin GDPR-ın V Fəslinə və KVKK-nın 9-cu maddəsinə uyğunluğunu aşağıdakı mexanizmlərlə təmin edirik:

Şəxsi məlumat ötürdüyümüz bütün üçüncü ölkələrin və tətbiq olunan ötürmə mexanizminin aktual siyahısını aparırıq. Bu siyahı privacy@meet2be.com ünvanı üzrə sorğu əsasında əlçatandır.

Tədbir təşkilatçıları üçün məlumat emalçısı qismində fəaliyyət göstərdiyimiz zaman platforma vasitəsilə təqdim olunan şəxsi məlumatlara çıxışı ola bilən alt emalçıları cəlb edirik. Alt emalçılarımızın tam və aktual siyahısını aparırıq; o, privacy@meet2be.com ünvanı üzrə əlçatandır.

Bütün alt emalçılar DPA-mızdakılara ekvivalent məlumat mühafizəsi öhdəlikləri müəyyən edən yazılı alt emal müqaviləsi çərçivəsində cəlb olunur (GDPR m. 28/4). Bütün alt emalçılar cəlb edilməzdən əvvəl və sonra müntəzəm aralıqlarla lazımi yoxlamadan keçirilir.

Alt emalçılarda planlaşdırılan hər hansı dəyişiklik barədə məlumat operatoru olan müştəriləri (tədbir təşkilatçılarını) etiraz imkanı vermək üçün ən azı 30 gün əvvəl xəbərdar edirik. Müştəri etiraz edərsə və fikir ayrılığı həll oluna bilməzsə, müştəri müvafiq xidmətlərə cərimə ödəmədən xitam verə bilər.

GDPR-ın 25-ci maddəsinə və dizayn ilə susmaya görə məlumat mühafizəsi prinsipinə uyğun olaraq, məlumat mühafizəsi mülahizələrini sonradan əlavə edilən element kimi deyil, ilk andan bütün sistem işləmələrinə, funksiya dizaynına və biznes proseslərinə inteqrasiya edirik.

Dizayna görə məxfilik öhdəliklərimizə aşağıdakılar daxildir: hər konkret məqsəd üçün yalnız minimum zəruri şəxsi məlumatın toplanması (məlumatların minimallaşdırılması); texniki cəhətdən mümkün olduqda şəxsi məlumatların susmaya görə psevdonimləşdirilməsi və şifrələnməsi; susmaya görə yalnız hər məqsəd üçün ciddi şəkildə zəruri olan şəxsi məlumatın emal edilməsinin təmin olunması (susmaya görə məxfilik tənzimləmələri); şəxsi məlumat ehtiva edən yeni funksiyalar istifadəyə verilməzdən əvvəl məxfilik təsirinin nəzərdən keçirilməsi; və GDPR-ın 30-cu maddəsinin tələb etdiyi kimi bütün məlumat emalı fəaliyyətlərinin sənədləşdirilmiş qeydlərinin (ROPA) aparılması.

Mühəndislik praktikamıza şəxsi məlumatlara toxunan funksiyalar üçün kod baxışı tələbləri, məxfiliyi nəzərə alan təhlükəsizlik test protokolları və bütün mühəndislik heyəti üçün məcburi məlumat mühafizəsi təlimi daxildir.

GDPR-ın 35-ci maddəsinə əsasən fiziki şəxslərin hüquq və azadlıqları üçün yüksək risk yarada biləcək emala başlamazdan əvvəl Məlumatların Mühafizəsi üzrə Təsir Qiymətləndirməsinin (DPIA) aparılması tələb olunur. Aşağıdakıları əhatə edən bütün yeni emal fəaliyyətləri üçün DPIA aparırıq: xüsusi kateqoriyalı məlumatların genişmiqyaslı emalı; əhəmiyyətli təsirlərə malik sistematik profilləşdirmə; məxfilik nəticələri qeyri-müəyyən olan yeni texnologiyaların istifadəsi; və ya hər hansı digər yolla yüksək risk yarada biləcək emal.

Hər DPIA aşağıdakıları əhatə edir: emalın və onun məqsədlərinin təsviri; zərurilik və mütənasibliyin qiymətləndirilməsi; məlumat subyektləri üçün risklərin müəyyən edilməsi; və həmin risklərin aradan qaldırılması üçün nəzərdə tutulan tədbirlər. DPIA texniki və ya təşkilati tədbirlərlə azaldıla bilməyən yüksək qalıq riski göstərdikdə, emala başlamazdan əvvəl müvafiq nəzarət orqanı ilə məsləhətləşirik (GDPR m. 36).

DPIA sənədləri emal fəaliyyətinin bütün müddəti ərzində və ondan sonra ən azı beş (5) il saxlanılır. Emalın xarakterində, əhatəsində, kontekstində və ya məqsədlərində dəyişiklik olduqda DPIA-lar yenidən nəzərdən keçirilir.

GDPR-ın 33 və 34-cü maddələrinə, habelə KVKK tələblərinə uyğun sənədləşdirilmiş Şəxsi Məlumat Pozuntusuna Reaksiya Proseduru tətbiq edirik. Prosedurumuz pozuntuların vaxtında və sistemli şəkildə aşkarlanmasını, məhdudlaşdırılmasını, qiymətləndirilməsini və bildirilməsini təmin edir.

Pozuntu bildirişlərinə aşağıdakılar daxildir: pozuntunun xarakteri; təsirə məruz qalan məlumat subyektlərinin kateqoriyaları və təxmini sayı; ehtimal olunan nəticələr; pozuntunun aradan qaldırılması və nəticələrinin azaldılması üçün görülmüş yaxud təklif edilən tədbirlər. Nəzarət orqanına bildirişin tələb olunub-olunmamasından asılı olmayaraq bütün pozuntular daxili pozuntu reyestrimizdə qeyd olunur.

Saxlanmanın məhdudlaşdırılması prinsipinə uyğun olaraq (GDPR m. 5/1-e; KVKK m. 4/2-ç) şəxsi məlumatları yalnız ilkin məqsəd və tətbiq olunan hər hansı hüquqi öhdəlik üçün zəruri olan müddət ərzində saxlayırıq. Məlumatların saxlanma cədvəlimiz sənədləşdirilib və hər il nəzərdən keçirilir.

Əsas saxlanma müddətləri: Hesab məlumatları — abunəlik müddətində və hər hansı mübahisə yaxud iddianın həlli üçün xitamdan sonra 3 il saxlanılır. Maliyyə və ödəniş qeydləri — Türkiyə Vergi Prosedur Qanununun (VUK) tələbinə uyğun olaraq 10 il saxlanılır. Tədbir və iştirakçı məlumatları — təşkilatçının abunəliyi müddətində saxlanılır və abunəliyə xitam verildikdən sonra 90 gün ərzində silinir; hesab bağlandıqdan sonra iştirakçı məlumatlarını zəruri olduğundan artıq saxlamırıq. Server jurnalları — təhlükəsizlik məqsədi ilə 90 gün saxlanılır. Marketinq razılığı qeydləri — razılığın qüvvədə olduğu müddət ərzində və razılığın sübutu kimi ondan sonra 3 il saxlanılır.

Saxlanma müddətləri başa çatdıqda şəxsi məlumatlar sənaye standartı olan silmə üsulları ilə (şifrələnmiş məlumatlar üçün üzərinə yazma və ya kriptoqrafik silmə) təhlükəsiz şəkildə silinir yaxud geri qaytarılmaz formada anonimləşdirilir. Şəxsi məlumatları tətbiq olunan saxlanma müddətindən artıq şəxsiyyəti müəyyən etməyə imkan verən formada arxivləşdirmirik.

GDPR-ın 32-ci maddəsi və KVKK-nın 12-ci maddəsi çərçivəsində texnikanın mövcud səviyyəsini, tətbiq xərclərini, habelə emalın xarakterini, əhatəsini, kontekstini və məqsədlərini nəzərə almaqla müvafiq texniki və təşkilati tədbirlər (TOM) tətbiq edirik. Hazırkı TOM-larımıza aşağıdakılar daxildir:

• HSTS və sertifikat sabitləməsi ilə TLS 1.2 və daha yüksək versiyadan istifadə edərək ötürülən bütün şəxsi məlumatların şifrələnməsi.
• AES-256 ilə saxlanılan həssas şəxsi məlumatların şifrələnməsi.
• Emal məqsədi üçün tam identifikasiya tələb olunmadıqda şəxsi məlumatların psevdonimləşdirilməsi.
• İşçilərin yalnız konkret vəzifələri üçün zəruri olan şəxsi məlumatlara çıxışını təmin edən rol əsaslı giriş nəzarəti (RBAC).
• Şəxsi məlumat ehtiva edən sistemlərə bütün inzibati və imtiyazlı girişlər üçün çoxfaktorlu autentifikasiyanın (MFA) məcburiliyi.
• Müntəzəm zəiflik qiymətləndirmələri, nüfuzetmə testləri və təhlükəsizlik kodu baxışları.
• Şəxsi məlumatlara bütün girişlərin və onlarda edilən dəyişikliklərin hərtərəfli audit jurnalının aparılması.
• Şəxsi məlumatlara çıxışı olan bütün işçilər üçün illik məcburi məlumat mühafizəsi təlimi.
• Şəxsi məlumat emal edən bütün təchizatçılar üçün rəsmi təchizatçı yoxlaması prosesi.
• Ən azı ildə bir dəfə masaüstü məşqlərlə sınaqdan keçirilən hadisələrə reaksiya planı.

Şəxsi məlumatlarınızın tərəfimizdən emalının tətbiq olunan qanunvericiliyi pozduğunu hesab edirsinizsə, məlumatların mühafizəsi üzrə nəzarət orqanına şikayət vermək hüququnuz var. Şikayətinizi daimi yaşayış yeriniz, iş yeriniz və ya iddia edilən pozuntunun baş verdiyi yer üzrə orqana təqdim edə bilərsiniz.

Nəzarət orqanına rəsmi şikayət təqdim etməzdən əvvəl privacy@meet2be.com ünvanı ilə əvvəlcə bizimlə əlaqə saxlamağınızı xahiş edirik. Mümkün olan hallarda şikayətləri tez və qeyri-rəsmi qaydada həll etməyi öhdəmizə götürürük. Şikayət aldıqdan sonra 5 iş günü ərzində cavab verəcəyik.