Veri kaynakları
Kişisel veriler, aşağıdakilerden biri geçerli olmadıkça, doğrudan ilgili kişiden toplanmalıdır:
- İşin amacının doğası gereği kişisel verilerin diğer kişi veya kurumlardan toplanması gerekmektedir.
- Toplama, veri sahibinin hayati menfaatlerini korumak veya başka bir kişiye ciddi zarar gelmesini veya yaralanmasını önlemek amacıyla acil durum koşulları altında gerçekleştirilmelidir.
Kişisel veriler veri sahibinden başka birinden toplandığında, aşağıdaki durumlardan biri geçerli olmadıkça veri sahibine toplama hakkında bilgi verilmelidir:
- Veri sahibine ilgili bilgiler başka yollarla verilmişti.
- Mesleki sır saklama yükümlülüğü gereği bilgilerin gizli kalması zorunludur.
- Kişisel verilerin toplanması, işlenmesi veya aktarılmasına ilişkin açıkça bir ulusal kanun düzenlemesi bulunmaktadır.
Kişisel verileri hakkında bilgilendirme yapılması gerektiği belirlenen durumlarda, bu bilgilendirme derhal, ancak kişisel verilerin ilk toplandığı veya kaydedildiği tarihten itibaren en geç bir takvim ayı içinde, veri sahibi ile iletişim kurmak amacıyla kullanılıyorsa ilk iletişim anında, başka bir alıcıya açıklanıyorsa açıklama anında yapılmalıdır.
Veri Sorumlusu Bildirimi
Malvern International, yürürlükteki yasalar gerektirdiğinde, sözleşme uyarınca veya kişisel verilerinin işlenme amacına ilişkin olarak ilgili kişilere bilgi sağlayacaktır.
Bir veri sahibinden kişisel verilerinin işlenmesi için onay vermesi istendiğinde ve veri sahibinden herhangi bir kişisel veri toplandığında, aşağıdakilerden biri geçerli olmadıkça, dikkat çekici bir şekilde tüm uygun açıklamalar yapılacaktır:
- Veri sahibi zaten bilgiye sahip.
- Yasal bir muafiyet, açıklama ve/veya onay gereklilikleri için geçerlidir.
- Açıklama elektronik olarak veya yazılı olarak verilebilir.
Personel İçin Gizlilik Bildirimleri
Malvern International, Firma Personeline kişisel verilerinin toplanması ve işlenmesiyle ilgili bir gizlilik bildiriminde bulunacaktır.
Malvern International will also include an online Privacy Notice for potential third parties other than Company Personnel and an online ‘Cookie Notice’ fulfilling the requirements of applicable law.
Profil Çıkarma ve Otomatik Karar Verme
Malvern International şu anda profilleme ve otomatik karar verme işlemleri yapmamaktadır. Profilleme ve otomatik karar verme işlemlerinin yapılması gerekirse, yalnızca veri sahibi ile bir sözleşme yapmak veya sözleşmeyi yerine getirmek için ya da yasaların yetki verdiği durumlarda yapılacaktır. Bu gibi durumlarda, veri sahibine aşağıdaki imkanlar sunulacaktır:
- Onların bakış açısını dile getirin
- Otomatik karar verme hakkında bilgi alın.
- Otomatik sistemin kullandığı mantığı gözden geçirin
- Otomatik sistemi ek verilerle destekleyin
- Otomatik kararın bir insan tarafından gözden geçirilmesini sağlayın
- Otomatik karara itiraz edin
- Otomatik karar vermeye itiraz edin.
Otomatik karar alma süreçlerinin profillendirilmesi, veri koruma hukukunda ciddi şekilde kısıtlanmıştır ve yalnızca bir veri koruma etki değerlendirmesi tamamlandıktan sonra gerçekleştirilmelidir. Personelin, Veri Koruma Görevlisinin tavsiye ve desteğini almadan otomatik profillendirme veya karar alma faaliyetlerini yürütmesine izin verilmez.
Dijital Pazarlama
Malvern International, hiç kimsenin dijital pazarlama kampanyaları yürütemeyeceğini, bu kampanyaların doğrudan pazarlama materyalleriyle yürütülmesi durumunda, yalnızca mobil telefonlar, e-posta ve internet gibi dijital kanallar aracılığıyla bu materyallerin veri koruma yasalarına uygun olması gerekeceğini. Malvern International ile ilişkili herhangi birinin, veri sahibinden önceden izin almadan bir dijital pazarlama kampanyası yürütmek istemesi durumunda, kampanyanın önce Veri Koruma Görevlisi tarafından onaylanması gerekmektedir.
Kişisel verilerin dijital pazarlama amacıyla işlenmesine onay verildiği durumlarda, veri sahibine ilk iletişim anında, verilerinin bu amaçla işlenmesine her aşamada itiraz etme hakkı olduğu bilgisi verilmelidir. Veri sahibi itirazda bulunursa, kişisel verilerinin dijital pazarlamayla ilgili işlenmesi derhal durdurulmalı ve tamamen silinmek yerine, çıkış kararlarının kaydıyla birlikte bir engelleme listesinde tutulmalıdır.
Dijital pazarlama bir ‘işletmeden işletmeye’ bağlamında yürütüldüğünde, bireylere dijital pazarlama yapılmasına ilişkin onay göstergesini alma zorunluluğu olmadığı, ancak onlardan cayılma fırsatı verildiği belirtilmelidir.
Veri Saklama
Adil işlemeyi sağlamak amacıyla, kişisel veriler, toplandığı veya daha sonra işlendiği amaçlarla ilgili olarak gereğinden uzun süre Malvern International tarafından saklanmayacaktır.
Malvern International'ın kişisel verileri ne kadar süreyle saklaması gerektiği Ek 1'de belirtilmiştir. Bu, saklama sürelerini etkileyen yasal, sözleşmesel ve iş gereksinimleri dikkate alınarak belirlenmiştir. Saklanması gerektiğine dair artık bir ihtiyaç bulunmadığı doğrulandığında, yasal bir gerekçe olmadıkça, tüm kişisel veriler mümkün olan en kısa sürede silinmeli veya imha edilmelidir. Ek 1'deki saklama kılavuzuna uygun olarak kişisel verileri imha etmeme veya silmeme yönündeki herhangi bir karar yazılı olarak belgelendirilmeli ve CEO tarafından onaylanmalıdır.
Veri Koruma
Malvern International, kişisel verilerin güvenliğini sağlamak amacıyla fiziksel, teknik ve organizasyonel tedbirler alacaktır. Bu, veri kaybını veya zarar görmesini, yetkisiz değişiklik, erişim veya işlenmesini ve insan eylemi veya fiziksel veya doğal çevrenin maruz bırakabileceği diğer risklerin önlenmesini kapsar.
Malvern International tarafından benimsenmesi gereken asgari güvenlik önlemleri aşağıda belirtilmiştir:
- Kişisel verilerin işlendiği veri işleme sistemlerine yetkisiz kişilerin erişmesini önleyin.
- Bir veri işleme sistemini kullanma hakkına sahip kişilerin, ihtiyaç ve yetkilerinin ötesinde kişisel verilere erişmesini önleyin.
- Elektronik iletim sırasında kişisel verilerin taşınması sırasında yetkisiz olarak okunamaz, kopyalanamaz, değiştirilemez veya kaldırılamaz hale getirilmesini sağlayın.
- Kişisel verilerin bir veri işleme sistemine kim tarafından girildiğini, üzerinde değişiklik yapıldığını veya sistemden kim tarafından kaldırıldığını belirlemek için erişim günlüklerinin bulunduğundan emin olun.
- Veri işleyen tarafından işlem yapılması durumunda, verilerin yalnızca veri sorumlusunun talimatlarına uygun olarak işlenebileceğini garanti ediniz.
- Kişisel verilerin istenmeyen zarar görmeye veya kaybolmaya karşı korunmasını sağlayın.
- Farklı amaçlar için toplanan kişisel verilerin ayrı olarak işlenebildiğinden ve işlendiğinden emin olun.
- Kişisel verilerin gereğinden uzun süre saklanmamasını sağlayın.
- Şirket personelinin, Veri Koruma mevzuatı kapsamındaki temel uyumluluk gereklilikleri konusunda eğitilmesini ve bu politika uyarınca kişisel verilerin güvenliğinin nasıl sağlanacağını anlamasını sağlayın.
Şirket Personeli Sorumlulukları
Malvern International adına çalışan veya Malvern International adına hareket eden herkes, bu politika ve ilgili politikalara uygun olarak verilerin uygun şekilde toplandığından, saklandığından ve işlendiğinden emin olmakla sorumludur.
CEO ve İK İş Ortağı, bu politikayı gözden geçirmek ve Malvern International’nın veri koruma sorumlulukları ile Verilerin İşlenmesi ile ilgili riskler hakkında Yönetim Kurulunu bilgilendirmekten sorumludur. Bu politika veya veri koruma ile ilgili sorular bu kişiye yönlendirilmelidir.
Şirket Personelinin şunları yapması gerekir:
- Malvern International için yaptıkları işi yapabilmeleri ve yetkilendirilmeleri halinde Kişisel Verilere erişilebilir. Verileri yalnızca elde edildikleri belirtilen yasal amaçla kullanmalıdırlar.
- Kişisel Verileri gayriresmi olarak paylaşmayın.
- Kişisel Verileri güvende tutun ve yetkisiz kişilerle paylaşmayın.
- düzenli olarak gözden geçirmeleri ve gerektiğinde veya talep edildiğinde işledikleri Kişisel Verileri güncellemeleri. Bu, kendi iletişim bilgileri değiştiğinde bize bildirmelerini içerir.
- Kişisel Verilerin gereksiz kopyalarını oluşturmamalı ve oluşturulan tüm kopyaları güvenli bir şekilde saklamalı ve imha etmelidir.
- güçlü parolalar kullanın ve parolalarınızı başka kimseyle paylaşmayın.
- Masada olmadıkları zaman bilgisayar ekranlarını kilitlemelidirler.
- Yetkiniz olmadan Kişisel Verileri Şirket binalarından dışarı çıkarmayın.
- Veri korumadan emin değilseniz veya veri koruma veya güvenlik alanlarında iyileştirebileceğimiz herhangi bir alan fark ederseniz İK İş Ortağı'ndan yardım isteyin.
Kişisel Veriler, yetkili harici kişilere elektronik olarak aktarılmadan önce şifrelenmelidir. Bunu nasıl yapabileceğiniz konusunda daha fazla bilgi için BT ile görüşün.
Veri Sahibinin kimliğinin belirlenemeyeceği şekilde verileri anonimleştirmeyi veya ayrı anahtarlar/kodlar kullanmayı düşünün.
Kişisel Veriler, Malvern International'ye ait olmayan kişisel bilgisayarlarda veya diğer cihazlarda saklanmamalıdır.
Kişisel Veriler, yasalara uygunluk ve CEO'nun onayı haricinde Avrupa Ekonomik Alanı dışına asla aktarılmamalıdır.
Masa çekmeceleri ve dosya dolapları kilitli olmalıdır. Kişisel Veri içeren kağıtları ortalıkta bırakmayınız.
Artık gerekmeyen Kişisel Veriler, güvenli bir şekilde parçalanmalı ve imha edilmelidir.
Politika Uygulaması
Şirket Personeli tarafından bu politakanın kasti veya ihmal yoluyla ihlal edilmesi, disiplin prosedürümüze uygun olarak bu personele karşı disiplin cezası uygulanmasına neden olabilir.
Kişisel Verilerin, bilgi talebinin bir parçası olduğu halde saklanması veya yok edilmesi suçtur (aşağıya bakınız). Bu davranış, disiplin prosedürümüze göre de ciddi disiplin cezası anlamına gelir ve işten çıkarma ile sonuçlanabilir.
Bu politikanın örnekler sunduğu, ancak bunun hiçbir şekilde kapsamlı bir liste olmadığı ve zaman zaman başka özel kuralların da bildirilebileceği unutulmamalıdır.
Veri Sahibi Hakları ve Veri Sahibi Talepleri
Veri Konuları (Şirket Personelini de içerir), Malvern Internationaltarafından işlenen kişisel verileriyle ilgili bir dizi hakka sahiptir. Bunlar, veri konusuna ilişkin gizlilik bildiriminde ayrıntılı olarak belirtilecektir. Şirket Personeline bir gizlilik bildirimi verilecektir. Üçüncü taraflar gizlilik bildirimlerine çevrimiçi erişebilecek veya doğrudan bir kopya talep edebilecektir.
Malvern International, veri sahiplerinin aşağıdaki haklarını kullanmalarını sağlayacak ve kolaylaştıracak bir sistem kuracaktır:
- Bilgi erişimi
- İşlemeye itiraz
- Otomatik karar verme ve profillemeye itiraz
- İşlemenin Kısıtlanması
- Veri taşınabilirliği
- Veri düzeltme
- Veri silme
Yukarıda listelenen haklarla ilgili bir talepte bulunulması halinde, Malvern International her talebi yürürlükteki tüm veri koruma yasalarına ve düzenlemelerine uygun olarak değerlendirecektir. Bir personel üyesi talep alırsa, talebi kendisi yönetmesine izin verilmez ve mümkün olan en kısa sürede veri koruma görevlisine bildirmesi gerekir.
Veri Sahipleri, haklarıyla ilgili bir talebi yazılı olduğu sürece yapabilirler. Ancak Veri Sahiplerinin, talep formunu (İK'dan temin edilebilir) talep etmeleri ve kullanmaları ve bunu İK departmanına ibraz etmeleri teşvik edilir. Bu, talebin Malvern International içindeki doğru kişilere ulaşmasını ve zamanında işlenmesini sağlayacaktır.
Kimliklerini doğrulamaları istendiğinde veri sahiplerinin kimliklerini doğrulamaları gerekecektir. Bunu yapmamaları isteklerinin yerine getirilmemesiyle sonuçlanabilir.
Veri sahipleri, kendi kişisel verileri hakkında aşağıdaki bilgileri edinme hakkına sahiptir:
- Kişisel verilerinin toplanma, işlenme, kullanma ve saklama amaçları.
- Kişisel verilerin alındığı kaynak(lar), eğer veriler ilgili kişiden alınmamışsa.
- İlgili kişinin saklanan kişisel verilerinin kategorileri.
- Kişisel verilerin aktarıldığı veya aktarılabileceği alıcılar veya alıcı kategorileri ve bu alıcıların yerleri.
- Kişisel verilerin öngörülen saklama süresi veya saklama süresinin belirlenmesine ilişkin gerekçe.
- Otomatik karar verme, profil çıkarma dahil olmak üzere herhangi birinin kullanımı.
- Veri sahibinin kişisel verilerinin işlenmesine itiraz etme, veri koruma makamına şikayette bulunma, kişisel verilerinin düzeltilmesini veya silinmesini talep etme, kişisel verilerinin işlenmesinin kısıtlanmasını talep etme hakkı.
Kişisel verilere erişim veya kişisel verilerin düzeltilmesi talepleri, teslim alındığı anda kaydedilecek olan İK Departmanına yönlendirilmelidir. Her talebe, veri sahibinden yazılı talebin alınmasını takiben 30 gün içinde yanıt verilecektir. Talep edenin veri sahibi veya yetkili yasal temsilcisi olduğunun doğrulanması için uygun doğrulama yapılmalıdır. Veri sahipleri, yanlış, yanıltıcı, güncel olmayan veya eksik kişisel verilerin Malvern International tarafından düzeltilmesini veya tamamlanmasını talep etme hakkına sahip olacaktır.
Eğer Malvern International 30 gün içinde talebe yanıt veremezse, belirtilen süre içinde aşağıdakileri sağlamayı taahhüt edecektir:
- İstek alındı bildirimi.
- Bugüne kadar elde edilen tüm bilgiler.
- Talep edilen bilginin veya değişikliklerin veri sahibine sağlanmayacak ayrıntıları, ret neden(ler)i ve karara itiraz etmek için mevcut olan herhangi bir prosedür.
- İlk talep gönderildiğinden itibaren en geç 3 ay olacak şekilde, kalan yanıtların sağlanacağı tahmini bir tarih.
- Veri sahibinin ödeyeceği herhangi bir maliyetin tahmini (örneğin, talebin aşırı nitelikte olduğu durumlarda).
- Veri sahibinin takip için iletişime geçeceği kişinin adı ve iletişim bilgileri.
Veri sahibinin talep ettiği bilginin başka bir kişinin kişisel verilerini ortaya çıkarabileceği durumların ortaya çıkabileceği unutulmamalıdır. Bu gibi durumlarda, kişinin haklarını korumak için gerekli veya uygun olduğu ölçüde bilginin karartılması veya saklanması gerekir.
Kolluk kuvvetleri talepleri ve açıklamaları
Belirli durumlarda, kişisel verilerin bir veri sahibi tarafından bilinmesi veya onayının alınması olmaksızın paylaşılmasına izin verilir. Bu durum, kişisel verilerin açıklanmasının aşağıdaki amaçlardan herhangi biri için gerekli olduğu hallerde geçerlidir:
- Suçun önlenmesi veya tespiti.
- Suçluların yakalanması veya kovuşturulması.
- Vergi veya resim tahsili veya toplanması.
- Bir Mahkeme emriyle veya herhangi bir yasal kural uyarınca.
Eğer Malvern International bu amaçlardan biri için kişisel verileri işlerse, bu politikanın işleme kurallarına bir istisna uygulayabilir, ancak yalnızca bunu yapmamanın söz konusu davaya zarar verme olasılığı olduğu ölçüde.
Veri Koruma eğitimi
Malvern International Kişisel verilere erişimi olan tüm çalışanlar, bu politikaya ilişkin sorumluluklarını personel başlangıç eğitimlerinin bir parçası olarak açıklanacaktır. Malvern International, personeli için düzenli Veri Koruma eğitimleri ve usuli rehberlik sağlayacak ve bu eğitimlerin tamamlanması zorunludur.
Malvern International siteleri arasındaki transferler
Malvern International'nin çeşitli lokasyonlarındaki operasyonlarını etkin bir şekilde yürütebilmesi için, kişisel verilerin bir lokasyondan diğerine aktarılması gerektiği veya kişisel verilere yurt dışı bir lokasyondan erişim sağlanması gerektiği durumlar olabilir. Bu tür bir durum meydana gelirse, kişisel veriyi gönderen lokasyon, bu kişisel verinin korunmasını sağlamaktan ve ayrıca Avrupa Ekonomik Alanı dışındaki veri aktarımlarına uyumluluğu sağlamaktan sorumlu olacaktır. Tüm personel, verilerin resmi ve yetkilendirilmiş yollar kullanılarak aktarılmasını sağlamalıdır. Personelin WhatsApp veya diğer anlık mesajlaşma hizmetleri gibi kişisel platformları kullanarak verileri gayri resmi olarak paylaşmasına izin verilmez.,
Üçüncü Taraflara Aktarımlar
Malvern International kişisel verileri yalnızca meşru bir şekilde işleneceğine ve alıcı tarafından uygun şekilde korunacağına dair güvence aldığında üçüncü taraflara aktaracak veya üçüncü tarafların erişimine izin verecektir. Üçüncü taraf işlemesi gerçekleştiğinde, Malvern International geçerli yasaya göre üçüncü tarafın aktarılan kişisel verilerin veri denetleyicisi veya veri işleyicisi olarak kabul edilip edilmediğini ilk önce belirleyecektir.
Üçüncü tarafın bir veri denetleyicisi olarak kabul edildiği durumlarda, aktarılan kişisel verilerle ilgili her iki tarafın sorumluluklarını netleştirmek için denetleyici ile uygun bir sözleşme akdedilecektir.
Üçüncü tarafın bir veri işleyicisi olarak kabul edildiği durumlarda, Malvern International veri işleyici ile yeterli bir işleme sözleşmesi yapmaya gayret edecektir. Sözleşme, veri işleyicinin kişisel verileri daha fazla ifşa edilmekten korumasını ve kişisel verileri yalnızca Malvern International talimatlarına uyarak işlemesini gerektirecektir. Ek olarak, sözleşme, veri işleyicinin kişisel verileri korumak için uygun teknik ve organizasyonel önlemleri uygulamasını ve kişisel veri ihlallerini bildirme prosedürlerini uygulamaya koymasını gerektirecektir.
Malvern International, hizmetleri bir üçüncü tarafa dış kaynaklı sağladığında, üçüncü tarafın kendi adına kişisel veri işleyip işlemeyeceğini ve dış kaynak kullanımının herhangi bir üçüncü ülke kişisel veri aktarımları içerip içermeyeceğini belirleyecektir. Her iki durumda da, böyle bir işleme ve üçüncü ülke aktarımları için dış kaynak anlaşmasına yeterli hükümlerin dahil edildiğinden emin olacaktır.
Şikayet Yönetimi
Kişisel verilerinin işlenmesiyle ilgili şikayette bulunan veri sahipleri, Veri Koruma e-posta adresine yönlendirilmelidir gdpr@malvernplc.com
İhlal Bildirimi
Kişisel verilerin çalınması veya ifşa edilmesi nedeniyle kişisel veri ihlalinden şüphelenen herhangi bir şahıs, ne olduğunu açıklayarak derhal Veri Koruma Görevlisini bilgilendirmelidir. Olayın bildirimi e-posta yoluyla şu adresten yapılabilir: gdpr@malvernplc.com
Veri Koruma Görevlisi, kişisel veri ihlali olup olmadığını doğrulamak için bildirilen tüm olayları araştıracaktır. Kişisel veri ihlali doğrulanırsa, Veri Koruma Görevlisi, ilgili kişisel verilerin kritiklik ve miktarına göre ilgili yetkili prosedürü izleyecektir. Ciddi kişisel veri ihlalleri durumunda, Malvern International, kişisel veri ihlali müdahalesini koordine etmek ve yönetmek için acil durum müdahale ekibini başlatacak ve başkanlığını yapacaktır.
