1.1. Bu Politikanın Amacı

Bu belge (Politika), MOYA GAVAN LİMİTED ŞİRKETİ (Şirket) tarafından kişisel veri işlemenin amaçlarını ve genel ilkelerini ve uygulanan kişisel veri koruma önlemlerini belirler.

Şirket kişisel veri sorumlusudur. Bu Politika herkesin inceleyebileceği, kamuya açık bir Şirket belgesidir.

1.2. Şirketin Temel Hakları

Kişisel veriler, 27 Temmuz 2006 tarihli 152-FZ sayılı Kişisel Veriler Hakkında Federal Kanunun (152-FZ sayılı Federal Kanun) ilke ve kurallarına uygun, hukuka ve dürüstlük kurallarına uygun biçimde, bu Kanunda öngörülen istisnalar dışında veri sahibinin onayına dayanılarak işlenir.

Şirket, sağlanan kişisel verilerin eksiksizliğini, doğruluğunu ve yeterliliğini ve gerektiğinde işleme amaçları bakımından güncelliğini kontrol etme hakkını saklı tutar. Yanlış veya eksik kişisel veri tespit edilirse Şirket veri sahibiyle tüm ilişkilerini sona erdirebilir.

Kişisel veri işleme onayı veri sahibinin temsilcisinden alınırsa Şirket, temsilcinin veri sahibi adına onay verme yetkisini doğrular.

Şirket, 152-FZ sayılı Federal Kanunun 6. maddesinin 1. fıkrasının 2–11. bentleri, 10. maddesinin 2. fıkrası ve 11. maddesinin 2. fıkrasında belirtilen dayanakları doğrulamak koşuluyla kişisel verileri veri sahibi dışındaki bir kişiden alabilir.

Veri sahibi kişisel veri işleme onayını geri çekerse Şirket, 152-FZ sayılı Federal Kanunun 6. maddesinin 1. fıkrasının 2–11. bentleri, 10. maddesinin 2. fıkrası ve 11. maddesinin 2. fıkrasında belirtilen dayanakların bulunması halinde onay olmaksızın işlemeye devam edebilir.

Federal kanunda aksi öngörülmedikçe veri sahibinin onayıyla Şirket, sözleşme veya uygun bir işlem (Şirket talimatı) yoluyla kişisel veri işlemeyi üçüncü kişilere verebilir. Şirket talimatıyla kişisel veri işleyen kişi, 152-FZ sayılı Federal Kanunun ilke ve kurallarına uymalıdır. Talimatta kişisel veriler, gerçekleştirilecek eylem veya işlemler ve işleme amaçları belirtilmelidir. Veri işleyenin gizliliği koruması, 152-FZ sayılı Federal Kanunun 18. maddesinin 5. fıkrasına ve 18.1. maddesine uyması ve Şirketin talebi üzerine, işleme başlamadan önce de dahil talimat süresi boyunca, talimatı yerine getirmek için alınan önlemleri ve Kanun gerekliliklerine uyumu doğrulayan belge ve bilgileri sunması zorunlu kılınmalıdır. Talimat güvenli işlemeyi gerektirmeli ve aynı Kanunun 21. maddesinin 3.1. fıkrasında öngörülen durumlarda Şirkete bildirim dahil, 19. maddesi kapsamındaki veri koruma gerekliliklerini belirtmelidir.

Şirket talimatıyla kişisel veri işleyen kişinin veri sahibinden onay alması gerekmez.

Şirket kişisel veri işlemeyi üçüncü bir kişiye verdiğinde, bu kişinin eylemlerinden veri sahibine karşı Şirket sorumlu olmaya devam eder. Şirket talimatıyla hareket eden veri işleyen Şirkete karşı sorumludur.

Şirket kişisel veri işlemeyi yabancı bir gerçek veya tüzel kişiye verirse bu kişilerin eylemlerinden veri sahibine karşı hem Şirket hem de talimatıyla hareket eden veri işleyen sorumludur.

1.3. Şirketin Temel Yükümlülükleri

Rusya mevzuatında aksi öngörülmedikçe Şirket, veri sahibinin onayı olmadan kişisel veri toplamaz, işlemez veya üçüncü kişilere aktarmaz.

Veri sahibinin, temsilcisinin veya yetkili kişisel veri koruma makamının başvurusu ya da talebi üzerine hukuka aykırı işleme tespit edilirse Şirket, başvuru veya talebin alınmasından itibaren inceleme süresince ilgili kişisel verileri engeller veya Şirket talimatıyla başka bir kişi işliyorsa engellenmesini sağlar.

Veri sahibinin veya temsilcisinin başvurusu ya da talebi veya yetkili kişisel veri koruma makamının talebi üzerine yanlış kişisel veri tespit edilirse Şirket, engellemenin veri sahibinin veya üçüncü kişilerin haklarını ve yasal menfaatlerini ihlal etmemesi koşuluyla, başvuru veya talebin alınmasından itibaren inceleme süresince ilgili verileri engeller veya Şirket talimatıyla başka bir kişi işliyorsa engellenmesini sağlar.

Yanlışlık doğrulanırsa Şirket, veri sahibinden, temsilcisinden, yetkili kişisel veri koruma makamından bilgi veya gerekli diğer belgeleri aldıktan sonra 7 iş günü içinde kişisel verileri düzeltir ya da Şirket talimatıyla başka bir kişi işliyorsa düzeltilmesini sağlar ve engellemeyi kaldırır.

Şirketin veya talimatıyla hareket eden kişinin hukuka aykırı kişisel veri işlemesi tespit edilirse Şirket, tespitten itibaren 3 iş günü içinde hukuka aykırı işlemeyi durdurur veya talimatıyla hareket eden kişinin durdurmasını sağlar.

İşleme hukuka uygun hale getirilemiyorsa Şirket, hukuka aykırı işlemenin tespitinden itibaren 10 iş günü içinde kişisel verileri imha eder veya imhasını sağlar. Şirkette kişisel veri işlemeyi düzenlemekten sorumlu kişi, işlemenin hukuka aykırı olup olmadığını ve imhanın gerekip gerekmediğini belirleyerek yönetimi bilgilendirir. Şirket, ihlallerin giderildiğini veya verilerin imha edildiğini veri sahibine veya temsilcisine bildirir. Veri sahibi veya temsilcisinin başvurusu ya da yetkili kişisel veri koruma makamının talebi bu makam tarafından iletilmişse Şirket makama da bildirimde bulunur.

Kişisel verilerin hukuka aykırı veya kazara aktarımının (sağlama, yayma veya erişim) bir veya daha fazla veri sahibinin haklarını ihlal ettiği tespit edilirse Şirket, olayın kendisi, yetkili kişisel veri koruma makamı veya başka ilgili kişi tarafından tespitinden sonra bu makama şu bildirimleri yapmalıdır:

1. 24 saat içinde olay, olası nedenleri, veri sahiplerinin haklarına beklenen zararlar ve sonuçlarını gidermek için alınan önlemler hakkında bilgi; ayrıca olay hakkında kişisel veri koruma makamıyla iletişim kurmak üzere Şirketin yetkilendirdiği kişinin bilgileri;

2. 72 saat içinde iç soruşturmanın sonuçları ve biliniyorsa eylemleri olaya neden olan kişilerin bilgileri.

Kişisel veri işleme amacına ulaşıldığında Şirket, amaca ulaşıldığı tarihten itibaren 30 gün içinde işlemeyi durdurur ve verileri imha eder veya talimatıyla işleyen kişinin bunu yapmasını sağlar. Veri sahibinin taraf, lehtar veya garantör olduğu sözleşmede ya da Şirket ile veri sahibi arasındaki başka bir anlaşmada aksi öngörülmesi veya Şirketin 152-FZ sayılı Federal Kanun ya da diğer federal kanunlar uyarınca onaysız işleme yetkisine sahip olması halleri saklıdır.

Veri sahibi onayını geri çekerse Şirket işlemeyi durdurur veya talimatıyla işleyen kişinin durdurmasını sağlar. Verilerin saklanması artık işleme amaçları için gerekli değilse Şirket, geri çekme bildiriminin alınmasından itibaren 30 gün içinde verileri imha eder veya imhasını sağlar. Veri sahibinin taraf, lehtar veya garantör olduğu sözleşmede ya da Şirket ile veri sahibi arasındaki başka bir anlaşmada aksi öngörülmesi veya Şirketin 152-FZ sayılı Federal Kanun ya da diğer federal kanunlar uyarınca onaysız işleme yetkisine sahip olması halleri saklıdır.

Veri sahibi kişisel veri işlemenin durdurulmasını talep ederse Şirket, 152-FZ sayılı Federal Kanunun 6. maddesinin 1. fıkrasının 2–11. bentleri, 10. maddesinin 2. fıkrası ve 11. maddesinin 2. fıkrasındaki durumlar dışında, talebin alınmasından itibaren 10 iş günü içinde işlemeyi durdurur veya veri işleyenin durdurmasını sağlar. Şirket, istenen bilginin sağlanma süresinin uzatılmasını açıklayan gerekçeli bildirimi veri sahibine gönderirse bu süre en fazla 5 iş günü uzatılabilir.

Şirket, veri sahibi veya temsilcisinin kişisel verilerin eksik, yanlış ya da güncelliğini yitirmiş olduğunu doğrulayan bilgileri sağlamasından itibaren 7 iş günü içinde gerekli değişiklikleri yapar.

Şirket, veri sahibi veya temsilcisinin kişisel verilerin hukuka aykırı elde edildiğini ya da belirtilen işleme amacı için gereksiz olduğunu doğrulayan bilgileri sağlamasından itibaren 7 iş günü içinde verileri imha eder. Şirket, yapılan değişiklikleri ve alınan önlemleri veri sahibine veya temsilcisine bildirir ve verilerin aktarıldığı üçüncü kişileri bilgilendirmek için makul çaba gösterir.

Kişisel veriler yukarıdaki sürelerde imha edilemiyorsa Şirket verileri engeller veya talimatıyla başka bir kişi işliyorsa engellenmesini sağlar ve federal kanunda başka süre öngörülmedikçe en fazla 6 ay içinde imhayı sağlar.

Kişisel verilerin imhası, yetkili kişisel veri koruma makamının belirlediği gerekliliklere göre doğrulanır.

Federal İletişim, Bilgi Teknolojileri ve Kitle İletişim Denetim Servisinin 28 Ekim 2022 tarihli 179 sayılı Kişisel Verilerin İmhasının Doğrulanmasına İlişkin Gerekliliklerin Onaylanması Hakkında Emri (Gereklilikler) uyarınca, Şirket kişisel verileri otomasyon olmadan işliyorsa imha bir kişisel veri imha tutanağıyla doğrulanır.

Şirket kişisel verileri otomatik olarak işliyorsa imha, Gerekliliklerin 3. ve 4. bentlerine uygun imha tutanağı ve kişisel veri bilgi sisteminin olay günlüğünden alınan dışa aktarım (günlük çıktısı) ile doğrulanır.

Günlük çıktısı Gerekliliklerin 5. bendinde istenen bazı bilgileri içeremiyorsa eksik bilgiler imha tutanağına yazılır.

Şirket kişisel verileri hem otomatik hem otomatik olmayan yollarla işliyorsa imha, Gerekliliklerin 3. ve 4. bentlerine uygun imha tutanağı ve 5. bendine uygun günlük çıktısı ile doğrulanır.

İmha tutanağı ve günlük çıktısı, kişisel verilerin imhasından sonra 3 yıl saklanmalıdır.

1.4. Kişisel Veri Sahiplerinin Temel Hakları

Veri sahibi kişisel verilerini sağlayıp sağlamamaya karar verir ve işlemeye özgürce, gönüllü olarak ve kendi menfaatine onay verir. Federal kanunun gerektirdiği hallerde işleme için veri sahibinin yazılı onayı gerekir. Federal kanuna uygun elektronik imzayla imzalanmış elektronik belgedeki onay, veri sahibinin el yazısıyla imzaladığı kâğıt üzerindeki yazılı onaya eşdeğerdir.

Yasal menfaatlerini korumak için veri sahipleri veya temsilcileri şu haklara sahiptir:

1. otomatik işleme dahil kişisel verileri ve bunların işlenmesi hakkında eksiksiz bilgi almak;

2. 152-FZ sayılı Federal Kanunun 14. maddesinin 8. fıkrasında öngörülen haller dışında, kişisel verilerini içeren her türlü kaydın kopyasını almak dahil, kişisel verilerine serbestçe ve ücretsiz erişmek;

3. eksik, güncelliğini yitirmiş, yanlış, hukuka aykırı elde edilmiş veya belirtilen işleme amacı için gereksiz kişisel verilerin düzeltilmesini, engellenmesini veya imhasını talep etmek ve haklarını korumak için hukuki tedbirler almak. Şirket verileri kaldırmayı, düzeltmeyi, engellemeyi veya imha etmeyi reddederse veri sahibi uygun gerekçelerle yazılı itiraz sunabilir;

4. Şirketten, daha önce yanlış, eksik, güncelliğini yitirmiş, hatalı, hukuka aykırı elde edilmiş veya gereksiz kişisel veriler verilen herkese, üçüncü kişilerin engelleme veya imha işlemleri dahil tüm değişiklik veya kaldırmaları bildirmesini istemek;

5. veri sahibi, Şirketin 152-FZ sayılı Federal Kanunu ihlal ettiğini veya hak ve özgürlüklerini başka şekilde çiğnediğini düşünürse kişisel verilerinin işlenmesi ve korunmasına ilişkin hukuka aykırı eylem veya ihmallerine karşı mahkemeye ya da yetkili kişisel veri koruma makamına başvurmak. Veri sahibi, mahkemeler aracılığıyla zararların tazminini ve/veya manevi tazminat talep etmek dahil haklarını ve yasal menfaatlerini koruma hakkına sahiptir.

Veri sahibi, kişisel verilerinin işlenmesine ilişkin aşağıdaki bilgiler dahil bilgi edinme hakkına sahiptir:

1. Şirketin kişisel veri işlediğinin teyidi;

2. işlemenin hukuki dayanakları ve amaçları;

3. Şirketin kullandığı işleme amaçları ve yöntemleri;

4. Şirketin adı ve adresi ile Şirket çalışanları dışında kişisel verilere erişen veya Şirketle yapılan sözleşme ya da federal kanun uyarınca verilerin açıklanabileceği kişiler hakkında bilgi;

5. federal kanun bu verilerin sağlanması için farklı bir usul öngörmedikçe, veri sahibine ilişkin işlenen kişisel veriler ve bunların kaynağı;

6. saklama süreleri dahil işleme süreleri;

7. 152-FZ sayılı Federal Kanun kapsamındaki hakların kullanılma usulü;

8. gerçekleştirilen veya planlanan sınır ötesi veri aktarımlarına ilişkin bilgi;

9. Şirket talimatıyla kişisel veri işlemesi verilen veya verilecek kişinin unvanı ya da soyadı, adı ve baba adı ile adresi;

10. Şirketin 152-FZ sayılı Federal Kanunun 18.1. maddesi kapsamındaki yükümlülüklerini nasıl yerine getirdiğine ilişkin bilgi;

11. 152-FZ sayılı Federal Kanun veya diğer federal kanunlarda öngörülen diğer bilgiler.

Veri sahibine talebi üzerine işlenen kişisel verilere erişim sağlanmışsa, federal kanun, buna dayanılarak çıkarılan düzenleme veya veri sahibinin taraf, lehtar ya da garantör olduğu sözleşme daha kısa süre belirlemedikçe, ilk başvuru veya talepten en erken 30 gün sonra Şirkete bilgi ve erişim için yeniden başvurabilir.

İlk başvuruya yanıt olarak bilgi ve/veya işlenen kişisel veriler eksiksiz sağlanmadıysa veri sahibi 30 günlük süre dolmadan tekrar başvurabilir. Tekrar talebinde başvurunun gerekçesi açıklanmalıdır.

Şirket, 152-FZ sayılı Federal Kanunun 14. maddesinin 4. ve 5. fıkralarındaki koşulları karşılamayan tekrar talebini reddedebilir. Ret gerekçeli olmalıdır. Reddin haklı olduğunu kanıtlama yükü Şirkete aittir.

Veri sahibinin kişisel verilerine erişim hakkı, aşağıdaki durumlar dahil federal kanunlar uyarınca kısıtlanabilir:

1. operasyonel soruşturma, karşı istihbarat ve istihbarat faaliyetleriyle elde edilenler dahil kişisel verilerin ulusal savunma, devlet güvenliği ve kolluk amaçlarıyla işlenmesi;

2. Rusya ceza muhakemesi hukukunun şüpheli veya sanığın bu verileri incelemesine izin verdiği durumlar dışında, veri sahibini suç şüphesiyle gözaltına alan, ceza yargılamasında suçlayan veya suçlama öncesi önleyici tedbir uygulayan makamların kişisel veri işlemesi;

3. kişisel verilerin kara para aklama ve terörün finansmanıyla mücadele mevzuatı kapsamında işlenmesi;

4. veri sahibinin erişiminin üçüncü kişilerin haklarını ve yasal menfaatlerini ihlal edecek olması;

5. ulaşım sisteminin istikrarlı ve güvenli işleyişini sağlamak ve kişileri, toplumu ve devleti sisteme yönelik hukuka aykırı müdahalelerden korumak için Rusya ulaşım güvenliği mevzuatının öngördüğü durumlarda kişisel veri işlenmesi.

5.1. Şirket Tarafından Gerçekleştirilen Kişisel Veri İşlemleri

Şirket şu kişisel veri işlemlerini gerçekleştirir:

1. Rusya iş mevzuatına uyum için: aktarma (erişim), kaydetme, engelleme, düzenleme, aktarma (sağlama), kullanma, silme, anonimleştirme, biriktirme, toplama, saklama, netleştirme (güncelleme veya değiştirme), imha ve erişip alma;

2. Sözleşmesel ilişkileri kurmak ve yerine getirmek için: aktarma (yayma), aktarma (erişim), kaydetme, engelleme, düzenleme, aktarma (sağlama), kullanma, silme, anonimleştirme, biriktirme, toplama, saklama, netleştirme (güncelleme veya değiştirme), imha ve erişip alma.

5.2. Kişisel Veri İşleme Yöntemleri

Şirket şu kişisel veri işleme yöntemlerini kullanır:

1. Rusya iş mevzuatına uyum için, iç ağ üzerinden aktarım yapılmadan ancak internet üzerinden aktarım yapılarak otomatik ve otomatik olmayan karma işleme kullanılır;

2. Sözleşmesel ilişkileri kurmak ve yerine getirmek için, hem iç ağ hem internet üzerinden aktarım yapılarak otomatik işleme kullanılır.

5.3. Kişisel Verilerin Üçüncü Kişilere Aktarılması

Üçüncü kişi: Alan Adı Kayıt Şirketi REG.RU LLC, vergi kimlik numarası (INN) 7733568767.

Üçüncü kişinin adresi: Leningradski Bulvarı 72, Bina 3, Moskova, Moskova Bölgesi, 125315, Rusya.

Aktarım koşulları: Veri Sorumlusunun talimatları.

Sınır ötesi kişisel veri aktarımı: yok.

Üçüncü kişiye aktarım yöntemi: internet üzerinden otomatik aktarım.

Aktarım amacı: sistemdeki bilgi işlemenin dış kaynak kullanımıyla gerçekleştirilmesi.

Aktarılan veriler ve veri sahipleri:

1) hizmet talep eden, yabancı uyruklular dahil gerçek kişiler:

Herkese açık kişisel veriler: iletişim bilgileri (telefon numarası ve e-posta adresi), soyad, ad, baba adı ve fotoğraf.

Üçüncü kişinin işleme yöntemleri: iç ağ üzerinden aktarım içeren ve internet üzerinden aktarım içermeyen otomatik işleme.

Üçüncü kişinin izin verilen işlemleri: engelleme, kaydetme, erişip alma, kullanma, biriktirme, aktarma (erişim), aktarma (sağlama), aktarma (yayma), toplama, düzenleme, silme, imha, netleştirme (güncelleme veya değiştirme) ve saklama.

5.4. Kişisel Veri İşlemede Güvenlik Önlemleri

Şirket, kişisel verileri işlerken hukuka aykırı veya kazara erişim, imha, değiştirme, engelleme, kopyalama, sağlama, yayma ve diğer hukuka aykırı eylemlere karşı gerekli hukuki, organizasyonel ve teknik önlemleri alır ve alınmasını sağlar.

Şirket kişisel veri güvenliğini aşağıdaki önlemlerle sağlar:

1. Kişisel Veriler Hakkında Kanunun ihlalinden veri sahiplerine doğabilecek zararı, yetkili kişisel veri koruma makamının gerekliliklerine uygun olarak değerlendirmek ve bu zararı Kanun kapsamındaki yükümlülükleri yerine getirmeye yönelik koruma önlemleriyle karşılaştırmak;

2. Kişisel Veriler Hakkında Kanuna ve kişisel veri işlemeyi düzenleyen Şirket iç belgelerine uyumun iç kontrolünü ve/veya denetimini yapmak;

3. işlemeye doğrudan katılan çalışanları Rusya kişisel veri mevzuatı, Şirketin kişisel veri işleme politikası ve iç işleme düzenlemeleri hakkında bilgilendirmek ve/veya eğitmek;

4. her işleme amacı için kişisel veri kategorileri ve listesini, veri sahibi kategorilerini, işleme yöntemlerini, işleme ve saklama sürelerini ve amaçlara ulaşıldığında veya diğer hukuki dayanaklar doğduğunda imha usullerini belirleyen Şirket kişisel veri işleme politikası ve iç düzenlemeler yayınlamak; Rusya mevzuatı ihlallerini önleme, tespit etme ve sonuçlarını giderme usullerini belirleyen iç düzenlemeler yayınlamak;

5. kişisel veri içeren elektronik ortamların envanterini tutmak;

6. kişisel veri işlemeyi düzenlemekten sorumlu bir kişi atamak;

7. yetkisiz erişim sonucunda değiştirilmiş veya imha edilmiş kişisel verileri geri yüklemek;

8. öngörülen uygunluk değerlendirme prosedürünü geçmiş bilgi güvenliği araçlarını kullanmak;

9. kişisel veri bilgi sistemlerinde işleme sırasında kişisel veri güvenliği tehditlerini belirlemek;

10. kişisel veri bilgi sistemi devreye alınmadan önce kişisel veri güvenliği önlemlerinin etkinliğini değerlendirmek;

11. bilgi sisteminde işlenen kişisel verilere erişim kuralları belirlemek ve bu verilerle ilgili tüm işlemlerin kaydedilmesini ve izlenmesini sağlamak;

12. kişisel verilere yetkisiz erişimi tespit etmek ve önlem almak; kişisel veri bilgi sistemlerine bilgisayar saldırılarını tespit edip önlemek, sonuçlarını gidermek ve bilgisayar güvenliği olaylarına müdahale etmek dahil;

13. kişisel veri güvenliği önlemlerini ve kişisel veri bilgi sistemlerinin koruma düzeyini izlemek;

14. kişisel veri koruma gerekliliklerini karşılamak ve Rusya Federasyonu Hükümetinin belirlediği koruma düzeylerine ulaşmak için gerekli organizasyonel ve teknik güvenlik önlemlerini uygulamak;

15. Rusya Federasyonunun bilgi kaynaklarına yönelik bilgisayar saldırılarını tespit etme, önleme ve sonuçlarını giderme devlet sistemiyle iş birliği yapmak; kişisel verilere hukuka aykırı erişim, sağlama, yayma veya aktarıma yol açan bilgisayar güvenliği olaylarını bildirmek dahil.

5.5. Şirketin Kişisel Veri Tabanları Tamamen Rusya Federasyonu İçindedir.

5.6. Kişisel Veri İşleme Süreleri

Şirketin işlediği kişisel veriler aşağıdaki durumlarda imha edilmeli veya anonimleştirilmelidir:

1. işleme amaçlarına ulaşılması veya artık gerekli olmaması;

2. veri sahibinin işleme onayını geri çekmesi;

3. işleme onayının süresinin dolması;

4. hukuka uygun işlemenin sağlanamaması;

5. Şirketin faaliyetlerini sona erdirmesi.

5.7. Otomasyon Olmadan Kişisel Veri İşleme Koşulları

Şirket, kişisel verileri otomasyon olmadan işlerken Rusya Federasyonu Hükümetinin 15 Eylül 2008 tarihli 687 sayılı Otomasyon Olmadan Kişisel Veri İşlemenin Özelliklerine İlişkin Yönetmeliğin Onaylanması Hakkında Kararına uyar.

Bu tür işlemede kişisel veriler, ayrı fiziksel ortamlara veya formların belirlenmiş bölüm ya da alanlarına kaydedilmesi dahil diğer bilgilerden ayrılır.

Kişisel veriler, veri sahibinin kimliğinin belirlenmesine olanak tanıyan biçimde, işleme amaçlarının gerektirdiğinden daha uzun süre saklanmaz.