Обработка персональных данных

ИНВЕНТАРИЗАЦИЯ ДЕЯТЕЛЬНОСТИ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ YOUSIZER.COM

04.01.2026

1. ИНФОРМАЦИЯ О КОНТРОЛЛЕРЕ ДАННЫХ

Компания Yoursizer Teknoloji выступает в качестве оператора персональных данных в соответствии с Законом № 6698 о защите персональных данных (KVKK). Данная декларация уточняет корпоративную идентичность и юридическое лицо нашей компании, обеспечивая при этом прозрачность, систематичность и соответствие законодательству в отношении нашей деятельности по обработке персональных данных. Эта информация служит важным ориентиром для субъектов данных при осуществлении своих прав и взаимодействии с нашей компанией.

2. Методология и сфера применения инвентаризации

Настоящий перечень операций по обработке персональных данных подготовлен для обеспечения полного соответствия процессов обработки персональных данных компанией Yoursizer Technology положениям Закона № 6698 о защите персональных данных (KVKK) и Регламента об удалении, уничтожении или анонимизации персональных данных, а также другим соответствующим подзаконным актам. Перечень основан на «Общих принципах», содержащихся в статье 4 KVKK. Эти принципы включают в себя обязанность обрабатывать персональные данные в соответствии с законом и принципами справедливости, обеспечивать их точность и актуальность при необходимости, обрабатывать их для конкретных, четко определенных и законных целей, обеспечивать их релевантность, ограниченность и соразмерность цели, для которой они обрабатываются, а также хранить их в течение периода, установленного соответствующим законодательством или необходимого для цели, для которой они обрабатываются.

В нашем реестре отражены все виды обработки персональных данных, осуществляемые нашей компанией, с использованием «подхода, основанного на видах деятельности». Эта методология направлена на систематическое сопоставление каждого бизнес-процесса (например, управление учетными записями, разработка алгоритмов, поддержка клиентов) с видом деятельности, а также с категориями данных, обрабатываемых в рамках этой деятельности (например, идентификационная информация, биометрические данные, данные о безопасности транзакций), целями обработки, правовым основанием, максимальными сроками хранения и группами получателей, которым передаются данные. Таким образом, повышается прозрачность наших процессов обработки данных, эффективнее управляются риски и лучше защищаются права субъектов данных.

Классификация данных, в соответствии с духом Закона Турции о защите персональных данных (KVKK), основана на группировке персональных данных по их общим характеристикам. Например, информация, такая как имя, фамилия и адрес электронной почты, классифицируется как «Информация, удостоверяющая личность и контактные данные»; измерения, такие как рост и окружность талии, классифицируются как «Биометрические данные»; а технические данные,

такие как IP-адрес и информация о браузере, классифицируются как «Данные о безопасности транзакций». Эта подробная классификация обеспечивает правильное применение правовых требований и мер безопасности, специфичных для каждого типа данных. Перечень данных является динамическим документом и регулярно обновляется в соответствии с изменениями, которые могут происходить в деятельности нашей компании или в законодательстве.

3. МАТРИЦА ОБРАБОТКИ ДАННЫХ НА ОСНОВЕ ДЕЯТЕЛЬНОСТИ

Обработка персональных данных компанией Yoursizer Teknoloji осуществляется в широком спектре областей, охватывающих основную деятельность нашей платформы, предоставляемые ею услуги и операционные процессы. Приведенная ниже таблица подробно описывает объем каждой деятельности, категории обрабатываемых данных, правовые основания, максимальные сроки хранения и потенциальные группы получателей. Эта таблица подготовлена в соответствии с принципами «обработки для конкретных, явных и законных целей» и «соответствия, ограничения и соразмерности цели, для которой они обрабатываются», как указано в статье 4 Закона Турции о защите персональных данных (KVKK).

4. КРИТЕРИИ ХРАНЕНИЯ, РЕЗЕРВНОГО КОПИРОВАНИЯ И УНИЧТОЖЕНИЯ ДАННЫХ

Компания Yoursizer Technology неукоснительно применяет принцип «хранения только в течение периода, необходимого для цели, для которой данные были обработаны», как указано в статье 4 Закона о защите персональных данных (KVKK), а также положения Регламента об удалении, уничтожении или анонимизации персональных данных, в процессах хранения, резервного копирования и уничтожения персональных данных. Эти процессы направлены на обеспечение безопасности и конфиденциальности данных на каждом этапе их жизненного цикла.

4.1. Определение сроков хранения:Максимальные сроки хранения, указанные в Матрице обработки данных, были определены с учетом цели обработки каждой категории данных, соответствующих правовых обязательств и необходимости предоставления доказательств в потенциальных правовых спорах. Это особенно актуально для финансовых и бухгалтерских документов (счета-фактуры, платежные/транзакционные записи, договоры/накладные и аналогичные документы), которые регулируются такими законами, как Торговый кодекс Турции (ТТК) и Закон о налоговом процессе (ВУК).10 лет Существует установленная законом обязанность по хранению данных, и по истечении 10 лет данные анонимизируются и могут использоваться для обучения алгоритмов. В случае запроса на удаление данные шифруются и безвозвратно уничтожаются в соответствии с законодательством. Эти записи хранятся в течение периода, превышающего общий срок, указанный в инвентарной описи, как это предусмотрено соответствующим законодательством, в связи с обязанностью вести коммерческую документацию и учет. Биометрические данные и параметры 3D-аватаров, используемые для разработки алгоритмов и статистического анализа, хранятся в анонимизированной или псевдонимизированной форме в законных интересах системы, направленных на повышение скорости обучения и точности.10 летОна хранится в течение определенного периода. Этот период обеспечивается техническими и административными мерами, исключающими прямую идентификацию соответствующего лица.

4.2. Политика резервного копирования и ротации:Наша компания регулярно создает резервные копии персональных данных для обеспечения непрерывности бизнеса и предотвращения потенциальной потери данных. Данные, хранящиеся на резервных носителях, подлежат тем же стандартам безопасности, что и данные в работающей системе. В частности, для данных, хранящихся на резервных носителях...72 дняУстановлен период ротации. Это означает, что резервные копии хранятся в течение 72 дней, после чего автоматически удаляются и заменяются новыми. Этот период обеспечивает сбалансированный подход между потребностями в восстановлении данных и обязательствами по минимизации и уничтожению данных. Сроки хранения резервных копий управляются таким образом, чтобы они никогда не превышали максимальные сроки хранения в работающей системе. В частности, для резервных копий биометрических данных доступ строго ограничен и защищен шифрованием даже в течение этого 72-дневного периода ротации.

4.3. Методы уничтожения и периодическое уничтожение:Если цель обработки данных перестает существовать или истекает установленный законом срок хранения, персональные данные подлежат автоматическому удалению, уничтожению или анонимизации либо по запросу субъекта данных в соответствии со статьей 7 Регламента об удалении, уничтожении или анонимизации персональных данных. Наша компания будет периодически осуществлять эти процессы в любом случае...не более шести месяцевЭто проводится через определенные промежутки времени.

Используемые методы уничтожения следующие:

• •Надежное удаление (полностью удаляемое):Создание полной недоступности и непригодности для использования записей базы данных или данных в файловых системах для соответствующих пользователей. Это достигается путем перезаписи данных произвольной информацией или необратимого удаления записей базы данных.

• •Криптографическое уничтожение:Зашифрованные данные становятся нечитаемыми путем необратимого уничтожения ключей шифрования. Этот метод особенно часто используется в средах резервного копирования с шифрованием.

• •Анонимизация:Анонимизация — это процесс обработки персональных данных таким образом, чтобы их невозможно было связать с конкретным или идентифицируемым физическим лицом, даже в сочетании с другими данными. Этот метод особенно часто используется для долговременного хранения данных в целях разработки алгоритмов. Такие методы, как агрегирование, маскирование, разнесение и усиление шума, полностью разрывают связь между данными и конкретным человеком. Необратимость процесса анонимизации подтверждается техническими отчетами и независимыми аудитами.

• •Физическое уничтожение:Необратимое разрушение физических носителей информации (жесткого диска, USB-накопителя и т. д.).

Все процессы уничтожения документируются, и эти записи хранятся не менее трех лет, с учетом других юридических обязательств.

5. ГРУППЫ ПЕРЕДАЧИ ДАННЫХ И ПРИЕМНИКА

Компания Yoursizer Technology неукоснительно соблюдает условия, изложенные в статьях 8 и 9 Закона Турции о защите персональных данных (KVKK), в процессе передачи персональных данных. Передача данных осуществляется только в определенных и законных целях, с соблюдением принципа минимизации данных и принятием необходимых мер безопасности.

5.1. Внутренние трансферы:Персональные данные, обрабатываемые в нашей компании, могут передаваться преимущественно следующим группам получателей внутри страны:

• •Внутренняя управленческая команда и соответствующие отделы:Персональные данные передаются между соответствующими отделами и уполномоченным персоналом только в случае необходимости, в соответствии с целями обработки (например, служба поддержки клиентов для управления учетными записями, команда разработчиков программного обеспечения для разработки алгоритмов, бухгалтерия для выставления счетов). Эти передачи необходимы для осуществления внутренних операций компании и предоставления услуг.

• •Поставщики технической инфраструктуры:Персональные данные могут передаваться нашим отечественным деловым партнерам, предоставляющим услуги по работе с базами данных (например, архитектуры PostgreSQL, MongoDB), хостингу серверов, управлению журналами и другим услугам технической поддержки, поскольку это необходимо для оказания этих услуг. Эти передачи осуществляются на основании статьи 5/2-c (Исполнение договора) Закона Турции о защите персональных данных

(KVKK) в целях выполнения наших договорных обязательств и обеспечения бесперебойной работы нашей платформы.

• •Бухгалтерский/финансовый отдел:Данные, касающиеся процессов оплаты и выставления счетов, передаются в наш бухгалтерский и финансовый отдел для выполнения юридических обязательств.

• •Уполномоченные государственные учреждения и организации:Ваши персональные данные могут быть переданы соответствующим государственным учреждениям и организациям для выполнения юридических обязательств или по запросу уполномоченных судебных/административных органов (статья 5/2-ç КВКК).

5.2. Международные переводы:В настоящее время наша компания не осуществляет прямых международных передач данных. Все персональные данные обрабатываются и хранятся в центрах обработки данных на территории Турции. Однако в будущем, в случае сотрудничества с международными поставщиками услуг или размещения облачных инфраструктурных сервисов в центрах обработки данных за рубежом, будет обеспечено полное соблюдение статьи 9 Закона о защите персональных данных (KVKK) и соответствующего законодательства. В случае такой передачи будут предоставлены одна или несколько из следующих гарантий:

• •Передача данных в страны, признанные компетентными Советом по защите персональных данных.

• •В случаях, когда решение о квалификации отсутствует, используются стандартные договорные положения (СДП), объявленные Советом, о которых сообщается в учреждение.

• •Наличие письменного обязательства, содержащего положения, обеспечивающие надлежащую защиту, и разрешение на передачу со стороны Совета директоров.

Во всех случаях для обеспечения безопасности передаваемых данных будут применяться технические и административные меры, такие как шифрование, ограничение доступа, авторизация на основе ролей и ведение журналов; при этом получателю данных будет гарантировано по договору обеспечение того же уровня защиты.

6. Технические и административные меры, связанные с безопасностью данных.

Компания Yoursizer Technology принимает все необходимые технические и административные меры для обеспечения безопасности персональных данных в соответствии со статьей 12 Закона о защите персональных данных (KVKK) и постоянно пересматривает эти меры. Применяются дополнительные и более строгие меры, особенно в отношении конфиденциальных персональных данных, таких как биометрические данные.

6.1. Технические меры:

• •Безопасность баз данных:

• •Изоляция сети (изоляция VPC):Базы данных (реляционные и

документоориентированные системы, такие как PostgreSQL и MongoDB) располагаются в частных виртуальных сетях (VPC – Virtual Private Cloud), которые полностью изолированы от прикладного уровня. Это гарантирует, что доступ к базам данных возможен только через авторизованные серверы

приложений, исключая прямой доступ через Интернет.

• •Турецкое библиотечное дело (TLS):Вся передача данных между базами данных, серверами приложений и другими авторизованными системами осуществляется с использованием сквозного шифрования по протоколу

Transport Layer Security (TLS). Это предотвращает перехват данных

посторонними лицами во время передачи.

• •Шифрование в состоянии покоя:Персональные данные, хранящиеся в базах данных, защищены надежными алгоритмами шифрования на уровне диска (шифрование в состоянии покоя). Ключи шифрования надежно управляются с помощью отдельной и ограниченной системы управления ключами (KMS).

• •Шифрование на основе домена:Для таких конфиденциальных данных, как биометрические данные, помимо шифрования на уровне базы данных, на прикладном уровне могут быть реализованы методы шифрования на уровне полей. Это позволяет обеспечить более детальную защиту данных.

• •Управление доступом и авторизация (RBAC/MFA):

• •Управление доступом на основе ролей (RBAC):Доступ к персональным данным строго ограничен в соответствии с принципом авторизации на основе ролей (минимальные привилегии), согласно должностным инструкциям сотрудников и матрице полномочий. Каждому сотруднику предоставляется доступ только к тем данным, которые необходимы для выполнения его работы.

• •Многофакторная аутентификация (МФА):Многофакторная аутентификация (МФА) обязательна для всех систем, предоставляющих доступ к

производственной среде и конфиденциальным данным.

• •Журналы доступа:Доступ к персональным данным подробно регистрируется, включая информацию о том, кто и когда получил доступ к каким данным. Эти журналы регулярно отслеживаются и анализируются для выявления аномалий.

• •Псевдонимизация:В частности, биометрические данные (измерения тела и параметры 3D-аватара) отделяются от непосредственно идентифицирующей информации и связываются с токеном или идентификатором пользователя. Это затрудняет прямую идентификацию при анализе наборов данных. Данная методика поддерживает принцип «соответствия цели, ограниченности и соразмерности», как это предусмотрено статьей 4/2-ç Закона Турции о защите персональных данных (KVKK).

• •Обновления безопасности и управление уязвимостями:Все системы и программное обеспечение регулярно обновляются с помощью обновлений безопасности и исправлений. Периодически проводятся сканирования на наличие уязвимостей и тесты на проникновение для выявления и устранения потенциальных уязвимостей в системе безопасности.

• •Управление секретами:Конфиденциальные секреты, такие как информация о подключении к базе данных и ключи API, управляются с помощью защищенных систем управления секретами (таких как HashiCorp Vault, AWS Secrets Manager) и не хранятся непосредственно в коде.

6.2. Административные меры:

• •Обучение и повышение осведомленности персонала:Все сотрудники регулярно проходят обучение по вопросам защиты персональных данных, информационной безопасности и настоящей Политики инвентаризации, хранения и уничтожения данных. Уровень осведомленности сотрудников постоянно повышается.
• •Соглашения о конфиденциальности:Соглашения о конфиденциальности подписываются со всеми сотрудниками и деловыми партнерами, имеющими доступ к персональным данным.

• •Минимизация данных:При сборе персональных данных применяется принцип сбора только минимально необходимой информации для предоставления услуги. Для необязательных данных используется отдельная процедура информирования и получения явного согласия.

• •План инспекций и реагирования на инциденты:Процессы обработки данных и меры безопасности регулярно проверяются. Разработан план реагирования на инциденты, обеспечивающий быструю и эффективную реакцию в случае утечки данных.

7. УПРАВЛЕНИЕ ИСКЛЮЧИТЕЛЬНЫМИ И ОСОБЫМИ ОБСТОЯТЕЛЬСТВАМИ

В силу специфики предоставляемых нами услуг, компания Yoursizer Technology, как правило, не обрабатывает особые категории персональных данных (статья 6 Гражданского кодекса Калифорнии). Однако в исключительных случаях пользователи могут добровольно предоставлять особые категории персональных данных (такие как данные о состоянии здоровья, членстве в профсоюзе, религии/секте, политических взглядах, судимостях и т. д.), которые выходят за рамки целей предоставления услуги, в частности, в текстовых полях или при обращении в службу поддержки. Управление такими ситуациями осуществляется тщательно в рамках принципов «законности и справедливости» и «соответствия цели, ограниченности и соразмерности», как указано в статье 4 Гражданского кодекса Калифорнии.

7.1. Принцип обработки данных:

• •Минимальная обработка:Особые категории персональных данных, предоставленных пользователем без его согласия, обрабатываются исключительно с целью оценки соответствующего запроса и осуществления процесса поддержки, и строго в минимальном объеме. Поскольку эти данные не являются необходимыми для предоставления основных услуг нашей платформы, принимаются меры для обеспечения того, чтобы они не хранились в наших системах постоянно.

• •Информирование и предупреждение:Формы запросов в службу поддержки или поля для ввода свободного текста содержат напоминания и информацию, предупреждающие пользователей о недопустимости разглашения конфиденциальных персональных данных.

• •Правовая основа:Обработка таких данных может основываться на законных основаниях, таких как «исполнение договора» (предоставление услуг поддержки), «законный интерес» (обработка и подтверждение запроса) или «явное согласие» (желание поделиться) субъекта данных, в зависимости от характера запроса. Однако эти основания не узаконивают обработку данных вне основной цели предоставления услуги; они лишь позволяют управлять текущей ситуацией.

7.2. Быстрое уничтожение и минимизация:

• •Эти конфиденциальные персональные данные, предоставленные без согласия, хранятся в течение короткого периода времени, ограниченного выполнением запроса в службу поддержки и предоставлением доказательств в случае потенциальных споров. Например, после выполнения запроса в службу поддержки соответствующие данные

надежно удаляются или уничтожаются в кратчайшие сроки (например, в течение нескольких дней или недель).

• •Если анонимизация данных возможна, этот метод предпочтительнее. Однако, поскольку такие данные часто неструктурированы, вместо анонимизации обычно применяются методы безопасного удаления или уничтожения.

• •Передача данных за границу и обмен ими с третьими лицами, как правило, запрещены. Если задействованы поставщики основных услуг (например, отправка электронной почты), это происходит только по указанию, в ограниченных целях и при наличии необходимых договорных/технических гарантий. В этих процессах обеспечивается полное соблюдение статьи 9 Закона о защите персональных данных и

соответствующего законодательства.

Управление подобными исключительными обстоятельствами отражает приверженность нашей компании принципам минимизации и защиты данных.

8. УТВЕРЖДЕНИЕ И ДАТА ВСТУПЛЕНИЯ В СИЛУ

Данный перечень операций по обработке персональных данных подготовлен для документирования процессов обработки персональных данных компанией Yoursizer Technology прозрачным и соответствующим законодательству образом. Перечень демонстрирует приверженность нашей компании защите персональных данных и является обязательным для всех соответствующих отделов.

Инвентаризация будет регулярно пересматриваться и обновляться в соответствии с любыми изменениями, которые могут произойти в действующем законодательстве или в бизнес-процессах нашей компании. Период обновления составит не менее [число] лет.каждые шесть месяцевЭто установлено. Цель этих периодических проверок — обеспечить постоянную актуальность, точность и полноту инвентарной описи.

Данный перечень,04.01.2026Оно вступило в силу [дата] с одобрения Совета директоров. Утверждено: