Veri kaynakları
Kişisel veriler, aşağıdakilerden biri geçerli olmadıkça, doğrudan ilgili kişiden toplanmalıdır:
- İşin amacının doğası gereği kişisel verilerin diğer kişi veya kurumlardan toplanması gerekmektedir.
- Toplama, veri sahibinin hayati menfaatlerini korumak veya başka bir kişiye ciddi zarar gelmesini veya yaralanmasını önlemek amacıyla acil durum koşulları altında gerçekleştirilmelidir.
Kişisel veriler veri sahibinden başka birinden toplandığında, aşağıdaki durumlardan biri geçerli olmadıkça veri sahibine toplama hakkında bilgi verilmelidir:
- Veri sahibine ilgili bilgiler başka yollarla verilmişti.
- Mesleki sır saklama yükümlülüğü gereği bilgilerin gizli kalması zorunludur.
- Kişisel verilerin toplanması, işlenmesi veya aktarılmasına ilişkin açıkça bir ulusal kanun düzenlemesi bulunmaktadır.
Kişisel verileri hakkında bilgilendirme yapılması gerektiği belirlenen durumlarda, bu bilgilendirme derhal, ancak kişisel verilerin ilk toplandığı veya kaydedildiği tarihten itibaren en geç bir takvim ayı içinde, veri sahibi ile iletişim kurmak amacıyla kullanılıyorsa ilk iletişim anında, başka bir alıcıya açıklanıyorsa açıklama anında yapılmalıdır.
Veri Sorumlusu Bildirimi
Malvern International, yürürlükteki yasalar, sözleşmeler gerektirdiğinde veya bunu yapmanın makul olarak uygun olduğunu düşündüğü durumlarda, veri sahiplerine kişisel verilerinin işlenme amacına ilişkin bilgi sağlayacaktır.
Bir veri sahibinden kişisel verilerinin işlenmesi için onay vermesi istendiğinde ve veri sahibinden herhangi bir kişisel veri toplandığında, aşağıdakilerden biri geçerli olmadıkça, dikkat çekici bir şekilde tüm uygun açıklamalar yapılacaktır:
- Veri sahibi zaten bilgiye sahip.
- Yasal bir muafiyet, açıklama ve/veya onay gereklilikleri için geçerlidir.
- Açıklama elektronik olarak veya yazılı olarak verilebilir.
Personel İçin Gizlilik Bildirimleri
Malvern International, Şirket Personeline kişisel verilerinin toplanması ve işlenmesi ile ilgili bir gizlilik bildirimi sağlayacaktır.
Malvern International ayrıca Şirket Personeli dışındaki potansiyel üçüncü taraflar için çevrimiçi bir Gizlilik Bildirimi ve yürürlükteki yasaların gerekliliklerini yerine getiren çevrimiçi bir ‘Çerez Bildirimi’ içerecektir.
Profil Çıkarma ve Otomatik Karar Verme
Malvern International şu anda profil oluşturma ve otomatik karar verme süreçlerine dahil değildir. Profil oluşturma ve otomatik karar alma süreçlerine dahil olmak gerekli hale gelirse, bu yalnızca veri sahibi ile bir sözleşmeye girmek veya bir sözleşmeyi gerçekleştirmek için veya yasalarca yetkilendirildiği durumlarda olacaktır. Bu gibi durumlarda, veri sahibine aşağıdaki hususları belirtme fırsatı verilecektir:
- Onların bakış açısını dile getirin
- Otomatik karar verme hakkında bilgi alın.
- Otomatik sistemin kullandığı mantığı gözden geçirin
- Otomatik sistemi ek verilerle destekleyin
- Otomatik kararın bir insan tarafından gözden geçirilmesini sağlayın
- Otomatik karara itiraz edin
- Otomatik karar vermeye itiraz edin.
Otomatik karar alma süreçlerinin profillendirilmesi, veri koruma hukukunda ciddi şekilde kısıtlanmıştır ve yalnızca bir veri koruma etki değerlendirmesi tamamlandıktan sonra gerçekleştirilmelidir. Personelin, Veri Koruma Görevlisinin tavsiye ve desteğini almadan otomatik profillendirme veya karar alma faaliyetlerini yürütmesine izin verilmez.
Dijital Pazarlama
Malvern International, cep telefonları, e-posta ve internet gibi dijital kanallar aracılığıyla herhangi bir kişiye yalnızca söz konusu materyalin veri koruma yasasına uygun olduğu durumlarda tanıtım veya doğrudan pazarlama materyali gönderecektir. Veri sahibinden önceden izin almadan dijital pazarlama kampanyası yürütmek isteyen Malvern International ile ilişkili herhangi bir kişi, öncelikle Veri Koruma Görevlisi tarafından onaylanmalıdır.
Kişisel verilerin dijital pazarlama amacıyla işlenmesine onay verildiği durumlarda, veri sahibine ilk iletişim anında, verilerinin bu amaçla işlenmesine her aşamada itiraz etme hakkı olduğu bilgisi verilmelidir. Veri sahibi itirazda bulunursa, kişisel verilerinin dijital pazarlamayla ilgili işlenmesi derhal durdurulmalı ve tamamen silinmek yerine, çıkış kararlarının kaydıyla birlikte bir engelleme listesinde tutulmalıdır.
Dijital pazarlama bir ‘işletmeden işletmeye’ bağlamında yürütüldüğünde, bireylere dijital pazarlama yapılmasına ilişkin onay göstergesini alma zorunluluğu olmadığı, ancak onlardan cayılma fırsatı verildiği belirtilmelidir.
Veri Saklama
Adil işlemeyi sağlamak için, kişisel veriler Malvern International tarafından başlangıçta toplandıkları veya daha sonra işlendikleri amaçlarla ilgili olarak gerekenden daha uzun süre saklanmayacaktır.
Malvern International'ın kişisel verileri saklaması gereken süre Ek 1'de belirtilmiştir. Bu, saklama sürelerini etkileyen yasal, sözleşmeye dayalı ve iş gereksinimlerini dikkate alır. Tüm kişisel veriler, artık saklanmalarına gerek kalmadığının teyit edildiği durumlarda, bunu yapmamak için meşru bir amaç olmadığı sürece mümkün olan en kısa sürede silinmeli veya imha edilmelidir. Ek 1'deki saklama kılavuzuna uygun olarak kişisel verileri imha etmeme veya silmeme kararı yazılı olarak belgelenmeli ve CEO tarafından onaylanmalıdır.
Veri Koruma
Malvern International, kişisel verilerin güvenliğini sağlamak için fiziksel, teknik ve organizasyonel önlemler alacaktır. Bu, kayıp veya hasarın, yetkisiz değişiklik, erişim veya işlemenin ve insan eylemi veya fiziksel veya doğal çevre nedeniyle maruz kalabileceği diğer risklerin önlenmesini içerir.
Malvern International tarafından benimsenecek asgari güvenlik önlemleri aşağıda belirtilmiştir:
- Kişisel verilerin işlendiği veri işleme sistemlerine yetkisiz kişilerin erişmesini önleyin.
- Bir veri işleme sistemini kullanma hakkına sahip kişilerin, ihtiyaç ve yetkilerinin ötesinde kişisel verilere erişmesini önleyin.
- Elektronik iletim sırasında kişisel verilerin taşınması sırasında yetkisiz olarak okunamaz, kopyalanamaz, değiştirilemez veya kaldırılamaz hale getirilmesini sağlayın.
- Kişisel verilerin bir veri işleme sistemine kim tarafından girildiğini, üzerinde değişiklik yapıldığını veya sistemden kim tarafından kaldırıldığını belirlemek için erişim günlüklerinin bulunduğundan emin olun.
- Veri işleyen tarafından işlem yapılması durumunda, verilerin yalnızca veri sorumlusunun talimatlarına uygun olarak işlenebileceğini garanti ediniz.
- Kişisel verilerin istenmeyen zarar görmeye veya kaybolmaya karşı korunmasını sağlayın.
- Farklı amaçlar için toplanan kişisel verilerin ayrı olarak işlenebildiğinden ve işlendiğinden emin olun.
- Kişisel verilerin gereğinden uzun süre saklanmamasını sağlayın.
- Şirket personelinin, Veri Koruma mevzuatı kapsamındaki temel uyumluluk gereklilikleri konusunda eğitilmesini ve bu politika uyarınca kişisel verilerin güvenliğinin nasıl sağlanacağını anlamasını sağlayın.
Şirket Personeli Sorumlulukları
Malvern International için veya Malvern International adına çalışan herkesin, verilerin bu politika ve ilgili politikalar doğrultusunda toplanmasını, saklanmasını ve uygun şekilde işlenmesini sağlama konusunda bazı sorumlulukları vardır.
CEO ve İK İş Ortağı, bu politikanın gözden geçirilmesinden ve Yönetim Kurulunun Malvern International'ın veri koruma sorumlulukları ve verilerin İşlenmesine ilişkin riskler konusunda güncellenmesinden sorumludur. Bu politika veya veri koruma ile ilgili her türlü soru bu kişiye yöneltilmelidir.
Şirket Personelinin şunları yapması gerekir:
- Kişisel Verilere yalnızca Malvern International için yaptıkları iş için ihtiyaç duymaları halinde ve yalnızca bunu yapma yetkisine sahip olmaları halinde erişebilirler. Verileri yalnızca elde edildikleri belirtilen yasal amaç için kullanmalıdırlar.
- Kişisel Verileri gayriresmi olarak paylaşmayın.
- Kişisel Verileri güvende tutun ve yetkisiz kişilerle paylaşmayın.
- düzenli olarak gözden geçirmeleri ve gerektiğinde veya talep edildiğinde işledikleri Kişisel Verileri güncellemeleri. Bu, kendi iletişim bilgileri değiştiğinde bize bildirmelerini içerir.
- Kişisel Verilerin gereksiz kopyalarını oluşturmamalı ve oluşturulan tüm kopyaları güvenli bir şekilde saklamalı ve imha etmelidir.
- güçlü parolalar kullanın ve parolalarınızı başka kimseyle paylaşmayın.
- Masada olmadıkları zaman bilgisayar ekranlarını kilitlemelidirler.
- Yetkiniz olmadan Kişisel Verileri Şirket binalarından dışarı çıkarmayın.
- Veri korumadan emin değilseniz veya veri koruma veya güvenlik alanlarında iyileştirebileceğimiz herhangi bir alan fark ederseniz İK İş Ortağı'ndan yardım isteyin.
Kişisel Veriler, yetkili harici kişilere elektronik olarak aktarılmadan önce şifrelenmelidir. Bunu nasıl yapabileceğiniz konusunda daha fazla bilgi için BT ile görüşün.
Veri Sahibinin kimliğinin belirlenemeyeceği şekilde verileri anonimleştirmeyi veya ayrı anahtarlar/kodlar kullanmayı düşünün.
Kişisel Veriler, Malvern International'a ait olmayan kişisel bilgisayarlara veya diğer cihazlara kaydedilmemelidir.
Kişisel Veriler, yasalara uygunluk ve CEO'nun onayı haricinde Avrupa Ekonomik Alanı dışına asla aktarılmamalıdır.
Masa çekmeceleri ve dosya dolapları kilitli olmalıdır. Kişisel Veri içeren kağıtları ortalıkta bırakmayınız.
Artık gerekmeyen Kişisel Veriler, güvenli bir şekilde parçalanmalı ve imha edilmelidir.
Politika Uygulaması
Şirket Personeli tarafından bu politakanın kasti veya ihmal yoluyla ihlal edilmesi, disiplin prosedürümüze uygun olarak bu personele karşı disiplin cezası uygulanmasına neden olabilir.
Kişisel Verilerin, bilgi talebinin bir parçası olduğu halde saklanması veya yok edilmesi suçtur (aşağıya bakınız). Bu davranış, disiplin prosedürümüze göre de ciddi disiplin cezası anlamına gelir ve işten çıkarma ile sonuçlanabilir.
Bu politikanın örnekler sunduğu, ancak bunun hiçbir şekilde kapsamlı bir liste olmadığı ve zaman zaman başka özel kuralların da bildirilebileceği unutulmamalıdır.
Veri Sahibi Hakları ve Veri Sahibi Talepleri
Veri Sahipleri (Şirket Personeli de dahil olmak üzere) Malvern International tarafından işlenen kişisel verileriyle ilgili olarak bir dizi hakka sahiptir. Bunlar, ilgili veri sahibine ilişkin gizlilik bildiriminde ayrıntılı olarak açıklanacaktır. Şirket Personeline bir gizlilik bildirimi verilecektir. Üçüncü taraflar gizlilik bildirimlerine çevrimiçi olarak erişebilecek veya doğrudan bir kopyasını talep edebilecektir.
Malvern International, veri sahiplerinin aşağıdakilerle ilgili haklarının kullanılmasını sağlamak ve kolaylaştırmak için bir sistem kuracaktır:
- Bilgi erişimi
- İşlemeye itiraz
- Otomatik karar verme ve profillemeye itiraz
- İşlemenin Kısıtlanması
- Veri taşınabilirliği
- Veri düzeltme
- Veri silme
Bir kişi yukarıda listelenen haklardan herhangi biriyle ilgili bir talepte bulunursa, Malvern International her talebi yürürlükteki tüm veri koruma yasaları ve yönetmeliklerine uygun olarak değerlendirecektir. Bir personel üyesinin bir talep alması halinde, talebi kendi başına yönetmesine izin verilmez ve mümkün olan en kısa sürede veri koruma görevlisini bilgilendirmesi gerekir.
Veri Sahipleri, yazılı olduğu sürece haklarıyla ilgili bir talepte bulunabilirler. Ancak, Veri Sahiplerinin veri sahibi talep formunu (İK'dan temin edilebilir) talep etmeleri ve kullanmaları ve bunu İK departmanına sunmaları teşvik edilir. Bu, bir talebin Malvern International bünyesindeki doğru kişiler tarafından alınmasını ve derhal işleme konulmasını sağlayacaktır.
Kimliklerini doğrulamaları istendiğinde veri sahiplerinin kimliklerini doğrulamaları gerekecektir. Bunu yapmamaları isteklerinin yerine getirilmemesiyle sonuçlanabilir.
Veri sahipleri, kendi kişisel verileri hakkında aşağıdaki bilgileri edinme hakkına sahiptir:
- Kişisel verilerinin toplanma, işlenme, kullanma ve saklama amaçları.
- Kişisel verilerin alındığı kaynak(lar), eğer veriler ilgili kişiden alınmamışsa.
- İlgili kişinin saklanan kişisel verilerinin kategorileri.
- Kişisel verilerin aktarıldığı veya aktarılabileceği alıcılar veya alıcı kategorileri ve bu alıcıların yerleri.
- Kişisel verilerin öngörülen saklama süresi veya saklama süresinin belirlenmesine ilişkin gerekçe.
- Otomatik karar verme, profil çıkarma dahil olmak üzere herhangi birinin kullanımı.
- Veri sahibinin kişisel verilerinin işlenmesine itiraz etme, veri koruma makamına şikayette bulunma, kişisel verilerinin düzeltilmesini veya silinmesini talep etme, kişisel verilerinin işlenmesinin kısıtlanmasını talep etme hakkı.
Kişisel verilere erişim veya kişisel verilerin düzeltilmesi için alınan tüm talepler, her bir talebi alındıkça kaydedecek olan İK Departmanına yönlendirilmelidir. Veri sahibinden yazılı talebin alınmasından itibaren 30 gün içinde her talebe bir yanıt verilecektir. Uygun doğrulama, talep sahibinin veri sahibi veya yetkili yasal temsilcisi olduğunu teyit etmelidir. Veri sahipleri, Malvern International'ın hatalı, yanıltıcı, güncel olmayan veya eksik kişisel verileri düzeltmesini veya tamamlamasını talep etme hakkına sahip olacaktır.
Malvern International talebe 30 gün içinde yanıt veremezse, belirtilen süre içinde aşağıdakileri sağlamayı taahhüt edecektir:
- İstek alındı bildirimi.
- Bugüne kadar elde edilen tüm bilgiler.
- Talep edilen bilginin veya değişikliklerin veri sahibine sağlanmayacak ayrıntıları, ret neden(ler)i ve karara itiraz etmek için mevcut olan herhangi bir prosedür.
- İlk talep gönderildiğinden itibaren en geç 3 ay olacak şekilde, kalan yanıtların sağlanacağı tahmini bir tarih.
- Veri sahibinin ödeyeceği herhangi bir maliyetin tahmini (örneğin, talebin aşırı nitelikte olduğu durumlarda).
- Veri sahibinin takip için iletişime geçeceği kişinin adı ve iletişim bilgileri.
Veri sahibinin talep ettiği bilginin başka bir kişinin kişisel verilerini ortaya çıkarabileceği durumların ortaya çıkabileceği unutulmamalıdır. Bu gibi durumlarda, kişinin haklarını korumak için gerekli veya uygun olduğu ölçüde bilginin karartılması veya saklanması gerekir.
Kolluk kuvvetleri talepleri ve açıklamaları
Belirli durumlarda, kişisel verilerin bir veri sahibi tarafından bilinmesi veya onayının alınması olmaksızın paylaşılmasına izin verilir. Bu durum, kişisel verilerin açıklanmasının aşağıdaki amaçlardan herhangi biri için gerekli olduğu hallerde geçerlidir:
- Suçun önlenmesi veya tespiti.
- Suçluların yakalanması veya kovuşturulması.
- Vergi veya resim tahsili veya toplanması.
- Bir Mahkeme emriyle veya herhangi bir yasal kural uyarınca.
Malvern International kişisel verileri bu amaçlardan biri için işliyorsa, bu politikada belirtilen işleme kurallarına ancak bunu yapmamanın söz konusu duruma muhtemelen halel getireceği ölçüde bir istisna uygulayabilir.
Veri Koruma eğitimi
Kişisel verilere erişimi olan tüm Malvern International çalışanlarının bu politika kapsamındaki sorumlulukları, personel işe alım eğitimlerinin bir parçası olarak kendilerine özetlenecektir. Malvern International, personeli için düzenli Veri Koruma eğitimi ve prosedürel rehberlik sağlayacaktır ve bu eğitimin tamamlanması zorunludur.
Malvern Uluslararası tesisleri arasında transferler
Malvern International'ın çeşitli sitelerinde faaliyetlerini etkin bir şekilde yürütebilmesi için, kişisel verilere denizaşırı bir konumdan erişim sağlamak amacıyla kişisel verilerin bir siteden diğerine aktarılmasının gerekli olduğu durumlar olabilir. Böyle bir durumda, kişisel verileri gönderen site, söz konusu kişisel verilerin korunmasını ve ayrıca Avrupa Ekonomik Alanı dışındaki veri aktarımlarına uygunluğu sağlamaktan sorumlu olmaya devam eder. Tüm personel, verilerin resmi ve yetkili araçlar kullanılarak aktarıldığından emin olmalıdır. Personelin WhatsApp veya diğer anlık mesajlaşma hizmetleri gibi kişisel platformları kullanarak verileri gayri resmi olarak paylaşmasına izin verilmez,
Üçüncü Taraflara Aktarımlar
Malvern International, kişisel verileri yalnızca bilgilerin alıcı tarafından meşru bir şekilde işleneceğinden ve uygun şekilde korunacağından emin olduğunda üçüncü taraflara aktaracak veya üçüncü tarafların erişimine izin verecektir. Üçüncü taraflarca işlemenin gerçekleştiği durumlarda, Malvern International öncelikle yürürlükteki yasalar uyarınca üçüncü tarafın aktarılan kişisel verilerin veri denetleyicisi veya veri işleyicisi olarak kabul edilip edilmediğini belirleyecektir.
Üçüncü tarafın bir veri denetleyicisi olarak kabul edildiği durumlarda, aktarılan kişisel verilerle ilgili her iki tarafın sorumluluklarını netleştirmek için denetleyici ile uygun bir sözleşme akdedilecektir.
Üçüncü tarafın bir veri işleyici olarak kabul edildiği durumlarda, Malvern International veri işleyici ile uygun bir işleme sözleşmesi yapmaya çalışacaktır. Sözleşme, veri işleyicinin kişisel verileri daha fazla ifşadan korumasını ve kişisel verileri yalnızca Malvern International talimatlarına uygun olarak işlemesini gerektirecektir. Buna ek olarak, anlaşma, veri işleyicinin kişisel verileri korumak için uygun teknik ve organizasyonel önlemlerin yanı sıra kişisel veri ihlallerinin bildirimini sağlamaya yönelik prosedürleri uygulamasını gerektirecektir.
Malvern International, üçüncü bir tarafa dış kaynak hizmeti verirken, üçüncü tarafın kendi adına kişisel verileri işleyip işlemeyeceğini ve dış kaynak kullanımının kişisel verilerin herhangi bir üçüncü ülkeye aktarılmasını gerektirip gerektirmeyeceğini belirleyecektir. Her iki durumda da, bu tür işleme ve üçüncü ülke aktarımları için dış kaynak kullanımı sözleşmesine yeterli hükümler eklediğinden emin olacaktır.
Şikayet Yönetimi
Kişisel verilerinin işlenmesiyle ilgili şikayette bulunan veri sahipleri, Veri Koruma e-posta adresine yönlendirilmelidir gdpr@malvernplc.com
İhlal Bildirimi
Kişisel verilerin çalınması veya ifşa edilmesi nedeniyle kişisel veri ihlalinden şüphelenen herhangi bir şahıs, ne olduğunu açıklayarak derhal Veri Koruma Görevlisini bilgilendirmelidir. Olayın bildirimi e-posta yoluyla şu adresten yapılabilir: gdpr@malvernplc.com
Veri Koruma Görevlisi, bir kişisel veri ihlalinin meydana gelip gelmediğini teyit etmek için bildirilen tüm olayları araştıracaktır. Bir kişisel veri ihlali teyit edilirse, Veri Koruma Görevlisi, ilgili kişisel verilerin kritikliğine ve miktarına bağlı olarak ilgili yetkili prosedürü izleyecektir. Ciddi kişisel veri ihlalleri için, Malvern International kişisel veri ihlali müdahalesini koordine etmek ve yönetmek için bir acil müdahale ekibi başlatacak ve bu ekibe başkanlık edecektir.
