TAÇ AMBALAJ SAN. TİC. A.Ş. (SOCIÉTÉ) INVENTAIRE DU TRAITEMENT DES DONNÉES PERSONNELLES ET POLITIQUE DE PROTECTION DES DONNÉES PERSONNELLES
1. INTRODUCTION
En tant que responsable du traitement des données, Taç Ambalaj San. Tic. A.Ş. (« Taç Ambalaj », « Société ») accorde une grande importance à la protection des données personnelles relatives à ses employés, clients et autres personnes physiques avec lesquelles elle est en relation. Cette politique et les autres politiques écrites au sein de la Société visent à garantir que les données personnelles de nos employés, clients actifs et potentiels ainsi que de tiers soient traitées et protégées conformément à la loi. Dans ce cadre, des mesures administratives et techniques sont prises par la Société pour le traitement et la protection des données personnelles conformément à la Loi n° 6698 et aux réglementations pertinentes. Cette politique présente les principes fondamentaux adoptés par la Société pour les processus de traitement des données personnelles, tels que décrits ci-dessous :
2. OBJECTIF ET CHAMP D’APPLICATION DE LA POLITIQUE
La politique de protection des données personnelles de la Société vise à informer les employés et clients sur les processus et principes relatifs au traitement des données personnelles obtenues dans le cadre de l’utilisation des paiements par carte virtuelle (telles que nom et prénom, nom de l’entreprise, numéro de téléphone portable, numéro partiellement anonymisé de carte, orderId, IP, identifiant système, customerId, code client dans le système, numéro de carte de crédit, CVV, date d’expiration de la carte, etc.), conformément à l’article 5/2-c de la Loi n° 6698. Ces données sont traitées, utilisées, partagées, classées et conservées dans le cadre du contrat accepté lors de l’inscription au système afin de garantir la sécurité des paiements. La politique présente les principes de traitement des données personnelles par Taç Ambalaj San. Tic. A.Ş. selon l’ordre prévu par la loi et s’applique aux employés et clients de la Société.
3. MISE EN VIGUEUR DE LA POLITIQUE
La présente politique a été mise en vigueur par la Société à la date de .... Elle est publiée sur le site Internet de la Société (www.tacambalaj.com) et peut être consultée par les titulaires de données sur demande.
4. DÉFINITIONS
Les définitions importantes utilisées dans la politique de protection des données personnelles de la Société sont les suivantes :
ABRÉVIATION DÉFINITION
| Consentement explicite | Consentement donné librement et sur la base d’une information préalable concernant un sujet spécifique.
| Notification des obligations d’information | Communiqué publié au Journal officiel n° 30356 le 10 mars 2018 concernant les procédures et principes applicables à l’exécution des obligations d’information.
| Utilisateur concerné | Personne ou unité traitant les données personnelles conformément aux instructions et autorisations du responsable du traitement, à l’exception de la personne responsable de la conservation, de la protection et de la sauvegarde des données.
| Destruction | Suppression, destruction ou anonymisation des données personnelles.
| Destruction périodique | Procédure de suppression, destruction ou anonymisation effectuée à intervalles réguliers conformément à la politique de conservation et de destruction lorsque les conditions de traitement des données personnelles ne sont plus remplies.
| Loi / KVKK | Loi n° 6698 sur la protection des données personnelles.
| Support de stockage | Tout support contenant des données personnelles, qu’il soit totalement ou partiellement automatisé, ou faisant partie d’un système de stockage de données, y compris les méthodes non automatisées.
| Donnée personnelle | Toute information concernant une personne physique identifiée ou identifiable.
| Traitement des données personnelles | Toute opération effectuée sur des données personnelles, y compris la collecte, l’enregistrement, la conservation, la modification, la divulgation, la transmission, la mise à disposition, le classement, l’utilisation, ou le blocage.
| Anonymisation des données personnelles | Transformation des données personnelles de telle manière qu’elles ne puissent plus être reliées à une personne identifiée ou identifiable, même par croisement avec d’autres données.
| Suppression des données personnelles | Rendre les données personnelles inaccessibles et inutilisables pour les utilisateurs concernés.
| Destruction des données personnelles | Rendre les données personnelles définitivement inaccessibles, irrécupérables et inutilisables par quiconque.
| Comité | Autorité de protection des données personnelles.
| Données personnelles sensibles | Données concernant la race, l’origine ethnique, les opinions politiques, croyances philosophiques, religieuses ou autres, appartenance à des syndicats ou fondations, santé, vie sexuelle, condamnations pénales et mesures de sécurité, ainsi que les données biométriques et génétiques.
| Titulaire / Personne concernée | Personne physique dont les données personnelles sont traitées.
| Responsable du traitement | Personne physique ou morale déterminant les finalités et les moyens de traitement des données personnelles et responsable de l’établissement et de la gestion du système de stockage des données.
| Sous-traitant | Personne physique ou morale traitant les données personnelles pour le compte du responsable du traitement conformément à l’autorisation donnée par ce dernier.
| Règlement | Règlement sur le registre des responsables du traitement.
Conformément à la loi KVKK, la Société sera responsable du traitement des données et sera inscrite au système VERBİS. Le conseil de direction, conformément aux articles pertinents du Code de commerce turc (TCC), désigne les personnes autorisées à représenter et gérer la Société pour assurer la coordination et le suivi de toutes les activités liées à la loi KVKK et aux règlements du Comité de protection des données. Les directeurs de département sont responsables de la surveillance de la conformité des utilisateurs concernés aux politiques de la Société et aux procédures d’anonymisation et de destruction périodique. Les rapports sont transmis à l’autorité principale et présentés au conseil d’administration.
5. PROCÉDURES ET PRINCIPES RELATIFS À LA PROTECTION DES DONNÉES PERSONNELLES
5.1. PRINCIPES GÉNÉRAUX RELATIFS AU TRAITEMENT
La Société traite les données personnelles conformément à la loi KVKK et aux autres législations applicables. Les principes suivants sont strictement respectés lors du traitement des données :
5.2. CONDITIONS DE TRAITEMENT DES DONNÉES PERSONNELLES
Les conditions de traitement des données personnelles sont réglementées par la loi sur la protection des données personnelles (KVKK), et la SOCIÉTÉ traite les données personnelles conformément aux conditions énoncées ci-dessous. Sauf dans les exceptions prévues par la loi, la SOCIÉTÉ ne traite les données personnelles qu'avec le consentement explicite du titulaire des données. Toutefois, si l'une des conditions suivantes prévues par la loi est remplie, les données personnelles peuvent être traitées même sans le consentement explicite du titulaire des données :
Pour les données personnelles sensibles, qui sont considérées comme critiques pour la protection des titulaires des données, la SOCIÉTÉ accorde une attention particulière. Dans ce cadre, ces données ne sont pas traitées sans le consentement explicite des titulaires, sauf si les mesures suffisantes déterminées par le Conseil sont mises en place. Cependant, à l'exception des données de santé et de la vie sexuelle, les données personnelles sensibles peuvent être traitées sans consentement explicite dans les cas prévus par la loi. Les données relatives à la santé et à la vie sexuelle peuvent être traitées sans consentement explicite, sous réserve de mesures suffisantes et dans les cas suivants :
5.3. MÉTHODES DE COLLECTE ET DE TRAITEMENT DES DONNÉES PERSONNELLES
La SOCIÉTÉ traite les données personnelles des personnes physiques conformément aux articles 4, 5 et 6 de la loi KVKK et aux articles 6, 7, 9 et 10 du règlement, sur la base de l’"Inventaire du Traitement des Données Personnelles" obligatoire, qui doit inclure les informations suivantes. Même si l’inventaire du traitement des données personnelles n’est pas mentionné explicitement dans la présente politique et dans la politique de destruction, les sections ci-dessous seront considérées comme faisant partie de l’inventaire si elles contiennent les informations suivantes :
5.3.1. Groupes de personnes concernées par les données personnelles
Groupe de personnes concernées Description
| Employés / Clients de la SOCIÉTÉ | Employés de la SOCIÉTÉ, employés des succursales et personnes physiques autorisées parmi les clients ; personnes physiques autorisées des sous-traitants qui aident les employés à respecter les obligations de production, d’exportation et de sécurité marketing dans le cadre des règles et obligations légales de la SOCIÉTÉ.
5.3.2. Catégorisation des données
Catégorie de données Description
| Informations d'identité | Données permettant d’identifier directement ou indirectement une personne physique, traitées partiellement ou totalement de manière automatique ou manuelle, incluant : nom, prénom, numéro d'identité turc, nationalité, nom des parents, lieu d’enregistrement, lieu et date de naissance, sexe, état civil, documents officiels (carte d’identité, passeport, permis), numéro fiscal, numéro SGK, signature, etc.
| Informations de contact | Données permettant d’identifier directement ou indirectement une personne physique, incluant : numéro de téléphone, adresse, e-mail, fax, adresse IP, etc.
| Informations de sécurité | Données permettant d’identifier directement ou indirectement une personne physique, incluant : enregistrements de caméras, informations sur plaques de véhicules, enregistrements audio lors d’appels téléphoniques, données de sécurité physique et accès aux locaux.
| Données personnelles sensibles | Données permettant d’identifier directement ou indirectement une personne physique, incluant : données de santé, données biométriques, informations religieuses et sur l’adhésion à des associations, etc., conformément à l’article 6 de la loi KVKK.
| Informations de gestion des demandes / plaintes | Données permettant d’identifier directement ou indirectement une personne physique, liées aux demandes et plaintes des clients adressées à la SOCIÉTÉ.
5.3.3. Objectifs du traitement des données personnelles
Les données personnelles obtenues peuvent être traitées aux fins suivantes :
Ces catégories sont à titre informatif, et la SOCIÉTÉ peut en ajouter d’autres en fonction de ses activités commerciales futures, en vous informant rapidement des mises à jour.
5.4. TRANSFERT DES DONNÉES PERSONNELLES À DES TIERS EN TURQUIE
La SOCIÉTÉ respecte les dispositions légales du KVKK concernant le partage de données avec des tiers. Les données personnelles ne sont pas transférées à des tiers sans le consentement explicite du titulaire des données, sauf si l’une des conditions suivantes est remplie :
Pour les données sensibles, sous réserve de mesures adéquates, elles peuvent être transférées sans consentement explicite pour :
5.5. TRANSFERT DES DONNÉES PERSONNELLES À L'ÉTRANGER
Le transfert de données personnelles à l’étranger nécessite le consentement explicite du titulaire, conformément à l’article 9 du KVKK. Cependant, si les conditions permettant le traitement sans consentement sont remplies, les données peuvent être transférées à l’étranger si le pays de destination offre une protection adéquate, ou si les responsables de traitement turc et étranger s’engagent par écrit à assurer cette protection et que le Conseil KVKK donne son autorisation.
5.6. CONSERVATION DES DONNÉES PERSONNELLES
Les données personnelles sont conservées de manière sécurisée, physiquement ou électroniquement, pendant une durée appropriée pour les besoins commerciaux de la SOCIÉTÉ. Sauf dispositions légales obligeant une conservation plus longue, les données sont supprimées, détruites ou anonymisées lorsque leur objectif de traitement prend fin, soit d’office par la SOCIÉTÉ, soit à la demande du titulaire. Les données détruites de cette manière ne peuvent plus être récupérées. Néanmoins, si des intérêts légitimes existent, les données peuvent être conservées jusqu’à la fin du délai de prescription générale de dix ans prévu par le Code des obligations, sans nuire aux droits et libertés du titulaire.
5.7. MESURES DE SÉCURITÉ DES DONNÉES
La SOCIÉTÉ prend toutes les mesures techniques et administratives nécessaires pour assurer un niveau de sécurité approprié des données personnelles, conformément à l’article 12(1) du KVKK, afin :
Mesures prises par la SOCIÉTÉ dans ce cadre :
5.7.1. Mesures administratives
• La SOCIÉTÉ effectue et fait effectuer les contrôles nécessaires au sein de son institution ou organisation afin d’assurer l’application des dispositions de la loi.
• En cas d’obtention illégale par des tiers des données personnelles traitées, la SOCIÉTÉ en informe dans les plus brefs délais la personne concernée et l’Autorité.
• Dans les cas de transfert de données personnelles, des clauses relatives aux obligations de sécurité des données du destinataire sont incluses dans les contrats conclus avec les parties destinataires des données.
• Les activités de traitement des données personnelles menées par la SOCIÉTÉ sont examinées en détail, et les mesures à prendre pour assurer la conformité aux conditions de traitement des données prévues par la loi sur la protection des données personnelles (KVK) sont déterminées.
• La SOCIÉTÉ identifie les pratiques à mettre en œuvre pour assurer la conformité à la loi KVK et les régule au moyen de politiques internes.
• La SOCIÉTÉ emploie du personnel compétent et expérimenté concernant le traitement des données personnelles et assure les formations KVK nécessaires à son personnel.
5.7.2. Mesures techniques
• La SOCIÉTÉ prend, dans la mesure permise par la technologie, des mesures techniques pour protéger les données personnelles, et ces mesures sont mises à jour et améliorées parallèlement aux évolutions technologiques.
• Des services sont obtenus auprès d’institutions compétentes pour les questions techniques.
• Des audits réguliers sont effectués pour assurer l’application des mesures prises.
• Des logiciels et systèmes garantissant la sécurité sont installés.
• L’accès aux données personnelles traitées au sein de la SOCIÉTÉ est limité aux employés concernés conformément à l’objectif de traitement défini.
• Une infrastructure technique est mise en place pour empêcher et/ou surveiller la fuite de données personnelles hors de l’organisation, et des matrices correspondantes sont créées.
5.8. Obligation d’information de la SOCIÉTÉ
Conformément à l’article 10 de la loi KVK, la SOCIÉTÉ informe les titulaires des données personnelles de leurs droits et les guide sur la manière de les exercer. La SOCIÉTÉ met en place les canaux, procédures internes et mesures administratives et techniques nécessaires pour l’évaluation des droits des titulaires et pour les informer conformément à l’article 13 de la loi KVK.
Selon l’article 10 de la KVK, les titulaires doivent être informés avant ou au moment de la collecte de leurs données. Les informations à communiquer comprennent :
• L’identité du responsable du traitement et de son représentant le cas échéant,
• Les finalités du traitement des données personnelles,
• Les destinataires éventuels des données personnelles et leurs finalités,
• La méthode et le fondement juridique de la collecte des données,
• Les autres droits énumérés à l’article 11 de la KVK.
Pour se conformer à cette obligation, la SOCIÉTÉ a préparé des déclarations d’information à fournir aux titulaires de données pour chaque processus et chaque personne concernée. Après la communication de ces déclarations, la SOCIÉTÉ a également préparé des formulaires de consentement explicite pour les activités et catégories de données nécessitant le consentement afin de poursuivre ses activités commerciales. Ces formulaires donnent aux titulaires le choix de permettre ou non le traitement de leurs données personnelles et les informent des conséquences si le consentement explicite n’est pas donné, conformément aux régulations européennes correspondantes.
Conformément à l’article 28(1) de la KVK, la SOCIÉTÉ n’a pas d’obligation d’information dans les cas suivants :
• Traitement des données personnelles exclusivement pour des activités personnelles ou familiales,
• Traitement des données à des fins de recherche, planification ou statistiques sous forme anonymisée,
• Traitement à des fins artistiques, historiques, littéraires ou scientifiques, ou dans le cadre de la liberté d’expression, sans porter atteinte aux droits ou à la sécurité,
• Traitement par des institutions publiques ayant des missions de prévention, protection ou renseignement,
• Traitement par des autorités judiciaires ou pénitentiaires dans le cadre d’enquêtes, poursuites ou exécutions.
Conformément à l’article 28(2), la SOCIÉTÉ n’est pas tenue d’informer dans les cas suivants :
• Traitement nécessaire pour prévenir un crime ou enquêter sur un crime,
• Traitement de données rendues publiques par le titulaire lui-même,
• Traitement nécessaire pour l’exercice de fonctions de contrôle ou de réglementation par des institutions publiques ou professionnelles habilitées,
• Traitement nécessaire pour protéger les intérêts économiques et financiers de l’État.
5.9. Droits des titulaires des données
La SOCIÉTÉ prend les mesures nécessaires pour permettre l’exercice des droits des titulaires des données prévus à l’article 11 de la KVK concernant les données traitées conformément à cette politique, notamment :
a) Savoir si les données personnelles sont traitées,
b) Demander des informations sur les données traitées,
c) Connaître la finalité du traitement et son adéquation à cet objectif,
d) Connaître les tiers auxquels les données sont transférées,
e) Demander la correction des données incomplètes ou incorrectes,
f) Demander la suppression ou l’anonymisation conformément à l’article 7,
g) Demander la notification des tiers ayant reçu les données,
h) S’opposer au traitement automatique produisant des résultats préjudiciables,
i) Demander réparation en cas de préjudice dû à un traitement illégal.
5.9.1. Cas où les droits ne peuvent être exercés
Les droits énumérés ci-dessus ne peuvent être exercés dans certains cas définis aux articles 28/1 et 28/2 de la KVK, notamment le traitement à des fins statistiques, scientifiques, artistiques, de sécurité nationale ou judiciaire.
5.9.2. Modalités d’exercice des droits
Les titulaires peuvent soumettre leurs demandes gratuitement via :
(a) Email à www.tacambalaj.com,
(b) Par courrier recommandé, notaire ou remise en main propre à Akcaburgaz Mah. 3088 Sk. No:30/2 Esenyurt / Istanbul, accompagné du formulaire de demande.
5.9.3. Droit de porter plainte auprès de l’Autorité KVK
Si la réponse est insuffisante, refusée ou non fournie dans les délais, le titulaire peut porter plainte dans un délai de 30 jours à compter de la réception de la réponse et au plus tard 60 jours à compter de la demande.
5.10. Réponse de la SOCIÉTÉ aux demandes
5.10.1. Procédure et délai
La SOCIÉTÉ répondra aux demandes dans un délai maximum de 30 jours gratuitement, sauf frais fixés par l’Autorité KVK.
5.10.2. Informations demandées
La SOCIÉTÉ peut demander des informations pour vérifier l’identité du demandeur et clarifier la demande.
5.10.3. Droit de refus
La SOCIÉTÉ peut refuser une demande dans les cas prévus par la loi, notamment pour des données traitées à des fins statistiques, artistiques, scientifiques, de sécurité ou judiciaires, ou si la demande porte atteinte aux droits d’autrui ou exige un effort disproportionné.
6. Autres dispositions
En cas de conflit entre cette politique et la législation, la législation prévaut. Les modifications de la politique seront publiées avec la date d’entrée en vigueur et les articles concernés.
7. Révision et abrogation
La version révisée ou nouvelle sera publiée et annoncée.
8. Entrée en vigueur
Cette politique est entrée en vigueur le 01.09.2020.
9. Exécution
Les directeurs de département de la SOCIÉTÉ sont responsables de l’exécution de la politique conformément à la loi KVK et aux règlements de l’Autorité.
10. Diffusion
La politique est publiée sur le site internet et l’intranet de la SOCIÉTÉ et communiquée aux tiers, employés et clients.
12. Documents de référence
• Loi n° 6698 sur la protection des données personnelles,
• Règlement sur la suppression, l’anonymisation ou la destruction des données personnelles.