Política de conservación y destrucción de datos personales

1. Finalidad de la Política

La presente Política de conservación y destrucción de datos personales («Política de conservación y destrucción»), relativa a los datos personales tratados por Adil Onur Karahan Şahıs Şirketi («la Empresa») en el marco de la aplicación móvil y el sitio web de Race Of Words («la Plataforma»), se ha dictado con el fin de regular la protección técnica y organizativa de los datos personales de conformidad con la Ley n.º 6698 de Protección de Datos Personales («la Ley») y la aplicación, cuando desaparezcan las condiciones de tratamiento, de las disposiciones del Reglamento sobre la Supresión, Destrucción o Anonimización de Datos Personales («el Reglamento»), publicado en el Boletín Oficial de 28.10.2017.

2. Soportes de registro en los que se conservan los datos personales

Los datos personales se conservan de forma segura, de conformidad con la normativa aplicable y, en particular, con las disposiciones de la Ley, en los siguientes soportes:

• Soportes electrónicos: base de datos MySQL en los servidores de la Plataforma, registros de acceso a los servidores, soportes de copia de seguridad, buzón de correo electrónico, almacenamiento seguro y base de datos local en el propio dispositivo del usuario.
• Soportes físicos: solicitudes de los titulares de datos con firma manuscrita y la correspondencia relativa a ellas.

3. Motivos que exigen la conservación y la destrucción

Los datos personales se conservan, en particular, para mantener las actividades de la Plataforma, cumplir las obligaciones legales y gestionar las relaciones con los usuarios. Los motivos que exigen la conservación son los siguientes:

• Que los datos personales estén directamente relacionados con la celebración y la ejecución del contrato,
• La constitución, el ejercicio o la protección de un derecho,
• La existencia de un interés legítimo de la Empresa, siempre que no se perjudiquen los derechos y libertades fundamentales de las personas,
• El cumplimiento de las obligaciones legales de la Empresa,
• La previsión expresa en la normativa de la conservación de los datos personales,
• En las actividades de conservación que requieran consentimiento explícito, la existencia del consentimiento explícito del titular de los datos.

De conformidad con el Reglamento, los datos personales se suprimen, destruyen o anonimizan de oficio o a solicitud del interesado en los siguientes supuestos:

• La modificación o derogación de las disposiciones normativas que fundamentan el tratamiento o la conservación,
• La desaparición de la finalidad que exige el tratamiento o la conservación,
• La desaparición de las condiciones de tratamiento de los artículos 5 y 6 de la Ley,
• La retirada del consentimiento por parte del interesado en los casos en que el tratamiento se base únicamente en el consentimiento explícito,
• La estimación de la solicitud de supresión, destrucción o anonimización presentada por el interesado al amparo de las letras (e) y (f) del apartado 2 del artículo 11 de la Ley,
• La estimación por la Junta de la reclamación presentada ante ella tras la denegación por la Empresa de la solicitud en ese sentido, la insuficiencia de la respuesta o la falta de respuesta en plazo,
• La inexistencia de una condición que justifique una conservación más prolongada pese a haber transcurrido el plazo máximo de conservación.

4. Medidas adoptadas para la protección de los datos personales

De conformidad con el artículo 12 de la Ley, la Empresa adopta medidas técnicas y organizativas que garantizan un nivel de seguridad adecuado para impedir el tratamiento y el acceso ilícitos a los datos personales y garantizar su conservación. Si, pese a todas las medidas, terceros obtuvieran los datos por medios ilícitos, esta circunstancia se notificará al interesado y a la Junta en el menor plazo posible.

4.1. Medidas técnicas

• Se garantiza la seguridad de la red y de las aplicaciones, y la transmisión de datos se cifra mediante SSL/TLS.
• Las contraseñas se almacenan de forma irreversible (mediante hash); los datos de las tarjetas no se conservan en la Empresa.
• El acceso a los servidores y a las bases de datos se limita mediante autorización, y se aplican la gestión de cuentas de usuario y el control de autorizaciones.
• Se mantienen registros de acceso de forma periódica.
• Se utilizan cortafuegos y medidas de prevención de intrusiones, y el software se mantiene actualizado.
• Se realizan copias de seguridad de los datos personales y se garantiza la seguridad de dichas copias.
• Se garantiza la seguridad de los datos personales conservados en la nube y en los servidores.
• Se han identificado los riesgos y amenazas existentes y se realizan controles periódicos para detectar vulnerabilidades de seguridad.

4.2. Medidas organizativas

• Se garantiza que solo accedan a los datos personales las personas que los necesiten por razón de sus funciones.
• Se incluyen cláusulas de seguridad de los datos en los contratos celebrados con los proveedores de servicios a los que se transfieren datos personales y se garantiza la concienciación de dichos proveedores.
• Se suscriben compromisos de confidencialidad con las personas que acceden a los datos personales.
• Los problemas de seguridad de los datos se comunican con rapidez y los casos de obtención ilícita se notifican al interesado y a la Junta en el menor plazo posible.
• Se realizan auditorías sobre la aplicación de las disposiciones de la Ley y se subsanan las deficiencias detectadas.

5. Métodos de destrucción de los datos personales

Cuando desaparezcan los motivos que exigen su tratamiento, la Empresa destruye los datos personales, por decisión propia o a solicitud del interesado, mediante uno o varios de los métodos que se indican a continuación. El proceso se desarrolla en las siguientes fases: identificación de los datos que deben suprimirse, identificación de las personas afectadas, identificación de los métodos de acceso y destrucción de los datos.

5.1. Supresión

• Supresión de las filas o columnas de la base de datos en las que se encuentran los datos personales,
• Revocación de los derechos de acceso de los usuarios a los archivos,
• Inutilización de los datos en papel mediante el método de tachado.

5.2. Destrucción

• Sobrescritura de los datos de los soportes de copia de seguridad al final del ciclo de copias, de modo que no puedan recuperarse,
• Destrucción de los documentos en papel mediante una destructora de papel,
• Desmagnetización o destrucción física de los soportes magnéticos.

5.3. Anonimización

• Enmascaramiento: eliminación del conjunto de datos de la información identificativa básica del dato personal.
• Supresión de registros: eliminación, de entre los registros, de las filas de datos que presentan singularidad.
• Ocultación regional: ocultación de los datos que, por sí solos, pueden resultar identificativos.
• Generalización (codificación global): transformación del dato en un contenido más general (p. ej., el país en lugar de la ubicación exacta).
• Adición de ruido: introducción de una desviación en una proporción determinada en los datos numéricos.

De conformidad con el artículo 28 de la Ley, los datos anonimizados pueden tratarse con fines de investigación, planificación y estadística; estas operaciones quedan fuera del ámbito de aplicación de la Ley. La Empresa determina libremente el método de destrucción en función del soporte en el que se hayan registrado los datos; en el marco del artículo 13 del Reglamento, el método que se utilizará en la categoría de destrucción elegida por el interesado también lo determina la Empresa.

6. Plazos de conservación y destrucción

Si la normativa prevé un plazo, se respetará dicho plazo; en caso contrario, los datos personales se conservarán durante los plazos indicados a continuación. Para la determinación de los plazos se ha tenido en cuenta el plazo general de prescripción (10 años) del Código de Obligaciones turco.

Las solicitudes de supresión de los interesados se atienden sin esperar a la destrucción periódica. En los demás casos, una vez expirado el plazo, los datos personales se suprimen, destruyen o anonimizan en la primera destrucción periódica posterior a dicha fecha. Las operaciones de destrucción se registran y dichos registros se conservan durante al menos tres años, sin perjuicio de otras obligaciones legales.

7. Periodicidad de la destrucción

De conformidad con el artículo 11 del Reglamento, la periodicidad de la destrucción periódica se ha fijado en 6 meses. En consecuencia, la destrucción periódica se lleva a cabo cada año en los meses de junio y diciembre.

8. Revisión y derogación

En caso de modificación o derogación de la Política de conservación y destrucción, la nueva regulación se publicará en la página de Políticas de la Plataforma.

9. Entrada en vigor

La presente Política de conservación y destrucción entra en vigor en la fecha de su publicación.