个人数据保护、处理与隐私
1-目的
作为BOSS4房地产建筑工业与对外贸易股份公司（BOSS4 GAYRIMENKUL İNŞAAT SANAYİ VE DIŞ TİCARET A.Ş.），我们的首要任务是确保包括客户、供应商和员工在内的自然人的个人数据，根据土耳其共和国宪法、我国所加入的国际人权条约，以及《个人数据保护法》（编号6698，“KVKK”）等相关法规得到处理，并确保数据主体能够有效行使其权利。
因此，包括但不限于以下情况：我们在活动中获取的员工、供应商、客户、潜在客户、访问我们网站的用户，通过自动或非自动方式（即使是任何数据记录系统的一部分）获得的所有个人数据的处理、存储和传输均依照BOSS4房地产建筑工业与对外贸易股份公司个人数据保护与处理政策（“政策”）进行。
保护个人数据并尊重数据主体的基本权利和自由，是我们处理个人数据政策的基本原则。因此，我们的所有数据处理活动均在保护私人生活、通信秘密、思想与信仰自由以及有效法律途径权利的前提下进行。
为了保护个人数据，我们采取所有必要的行政和技术保护措施，以符合相关法规和最新技术要求，并根据数据的性质实施。
本政策解释了在商业、社会责任及类似活动中分享的个人数据如何依据KVKK原则进行处理、存储、传输、删除或匿名化。
2-适用范围
本政策适用于公司处理的所有个人数据，包括客户、业务联系、合作伙伴、员工、供应商、代工厂、潜在客户及其他第三方。
本政策适用于公司拥有或管理的、所有个人数据处理活动，并在制定过程中参考了KVKK、相关个人数据法律法规及国际标准。
3-定义与缩略语
本节简要说明政策中使用的专用术语、概念及缩略语。
- 公司：BOSS4房地产建筑工业与对外贸易股份公司
- 明确同意：针对特定事项，在知情和自愿基础上明确给予的、无歧义的、仅限于该操作的批准。
- 匿名化：将个人数据处理为即使与其他数据匹配，也无法关联至任何特定或可识别的自然人。
- 员工：公司人员
- 数据主体（相关人员）：个人数据被处理的自然人
- 个人数据：与特定或可识别自然人相关的所有信息
- 特殊类别个人数据：包括个人的种族、族裔、政治观点、哲学信仰、宗教或其他信仰、服饰、协会、基金会或工会会员资格、健康、性生活、刑事定罪及安全措施数据，以及生物识别和基因数据
- 个人数据处理：对个人数据进行的任何操作，包括完全或部分自动处理，或通过任何数据记录系统非自动方式处理、记录、存储、保存、修改、重新组织、披露、传输、获取、分类或限制使用等。
- 数据处理者：根据数据控制者授权，为数据控制者处理个人数据的自然人或法人
- 数据控制者：确定个人数据处理目的和手段，并负责数据记录系统建立和管理的自然人或法人
- KVKK委员会：个人数据保护委员会
- KVKK机构：个人数据保护机构
- KVKK：2016年4月7日发布在第29677号官方公报的个人数据保护法
- 政策：BOSS4房地产建筑工业与对外贸易股份公司个人数据保护与处理政策
4-角色与责任
公司管理层负责监督政策、规则和规定未被遵守时的通知、审查及制裁机制的设定和运行。
5-法律义务
根据KVKK，作为数据控制者，我们在个人数据保护和处理方面的法律义务如下：
5.1. 信息告知义务
在收集个人数据时，应向数据主体说明：
- 数据处理目的
- 我们及如有代表人的身份信息
- 数据可能传输的对象及目的
- 数据收集方式及法律依据
- 法律赋予的权利
我们确保本政策公开、易懂、便于访问。
5.2. 数据安全义务
作为数据控制者，我们根据法律规定采取行政和技术措施保护所持有的个人数据。相关措施在政策第9和第10节详细说明。
6-个人数据分类
6.1. 个人数据
个人数据是与特定或可识别自然人相关的所有信息。仅限自然人信息受保护，法人信息或不包含自然人信息的数据不在保护范围内，因此本政策不适用于法人数据。
6.2. 特殊类别个人数据
包括个人的种族、族裔、政治观点、哲学信仰、宗教或其他信仰、服饰、协会、基金会或工会会员资格、健康、性生活、刑事定罪及安全措施数据，以及生物识别和基因数据。
7-个人数据处理
7.1. 处理原则
我们遵循以下原则处理个人数据：
7.1.1. 合法和诚信处理
个人数据应在诚信、透明及信息告知义务框架下处理。
7.1.2. 确保数据准确和及时更新
我们采取必要措施保证数据的准确性和及时性，并允许数据主体更新或纠正错误数据。
7.1.3. 特定、明确和合法目的
公司明确处理范围和内容，并在法律及商业常规下，为合法目的处理个人数据。
7.1.4. 数据处理应与目的相关、有限且适度
仅为明确目的处理数据，避免不相关或不必要的处理。特殊类别数据处理需取得明确同意。
7.1.5. 法律规定及商业合理利益下的存储
依据法规要求保存数据，并在目的达成或保存期结束后删除、销毁或匿名化。
7.2. 数据主体明确同意
除法律另有规定无需同意的情况外，需取得数据主体明确同意。
7.3. 数据处理目的
包括但不限于：活动执行、合同义务履行、客户需求分析、法律合规、市场调研、招聘评估、沟通联系、营销、合规管理、供应商管理、广告宣传、法律报告及开票等。
7.4. 特殊类别数据处理
除健康和性相关数据外，在法律规定情况下可处理，其他情况下需数据主体明确同意。
健康和性数据仅在公共健康、预防医学、医疗诊断、治疗和护理服务、健康服务规划与管理等目的，由保密责任人或授权机构在无需明确同意情况下处理。
7.5. 网站Cookie数据处理
通过Cookie收集IP信息，用于优化网站体验和个性化服务，使用结束后公司无法访问该信息。
7.6. 人力资源与雇佣目的
求职者提供的简历、学历等个人信息用于职位评估、存储和传输，属于本政策范围。
7.7. 无需同意的例外情况
如法律明确规定、合同履行、合法权益保护、公共利益、数据主体已公开信息等情况下，可无需同意处理数据。
8-个人数据传输
8.1. 国内传输
除法律例外情况外，未经数据主体或未成年监护人明确同意，不向其他个人或法人传输数据。
8.2. 国际传输
仅在数据主体明确同意及符合法律规定的情况下，可向保障充分的国家传输个人数据。
8.3. 接收方
包括但不限于供应商、客户、合作伙伴、集团公司、法律授权机构及第三方服务提供者，依据法律第8和9条规定传输数据。
8.4. 合法传输措施
采取技术措施（数据存储、数据库安全、技术基础设施、风险防控、杀毒、防火墙）
采取行政措施（访问权限管理、员工培训、合同约束及政策管理）
9-个人数据存储
9.1. 存储期限
依据法律及处理目的所需时间存储数据，目的终止或数据主体要求删除时，删除、销毁或匿名化处理。
9.2. 存储措施
技术措施：建立删除、销毁、匿名化技术及监督机制；安全存储措施
行政措施：员工培训，第三方合作合同保障数据安全
10-个人数据安全
10.1. 安全义务
防止非法处理、非法访问，确保合法存储，并采取技术及行政措施。
10.2. 防止非法处理措施
内部审查、员工培训、第三方合作合同安全条款、异常披露时向KVKK报告。
11-数据主体权利
包括：查询处理情况、获取信息、知晓目的、了解传输方、纠正错误数据、删除或销毁数据、通知第三方、反对自动分析结果、索赔损失等权利。
11.1. 权利行使
数据主体可通过KVKK规定方法或公司地址提交书面申请，并附身份验证文件。如为未成年人，由监护人提交。