1. Стороны и роли
1.1. Настоящее Соглашение об обработке данных («Соглашение») является приложением и неотъемлемой частью Договора продажи и подписки («Договор продажи»), заключённого между Sora Yazılım Teknolojileri ((уточняется); Atatürk Mah. Ertuğrul Gazi Sk. Metropol İstanbul C1 Blok No: 2B İç Kapı No: 376, Ataşehir/İstanbul) («Sora Yazılım») и компанией, зарегистрировавшейся в Sora İK («Клиент»).
1.2. Для целей Закона Турции № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu, KVKK; далее — «Закон») в отношении персональных данных, загруженных Клиентом в Sora İK или созданных им в Sora İK («Персональные данные Клиента»):
- Клиент является ответственным за обработку данных (veri sorumlusu): в соответствии с пунктом (ı) части 1 статьи 3 Закона — стороной, которая определяет цели и средства обработки персональных данных и отвечает за создание и ведение системы учёта данных.
- Sora Yazılım является обработчиком данных (veri işleyen): в соответствии с пунктом (ğ) части 1 статьи 3 Закона — стороной, которая обрабатывает персональные данные от имени ответственного за обработку данных на основании предоставленных им полномочий.
1.3. Данные, относящиеся к собственным отношениям Sora Yazılım с клиентами (например, сведения об учётной записи, контактные и платёжные сведения уполномоченных лиц Клиента), не входят в предмет настоящего Соглашения; в отношении этих данных ответственным за обработку данных является Sora Yazılım, и применяется уведомление KVKK.
1.4. Термины, не определённые в настоящем Соглашении, имеют значение, установленное Договором продажи и Законом.
2. Предмет, характер, цель и срок обработки
| Элемент | Описание |
|---|---|
| Предмет | Предоставление Клиенту программы для управления персоналом Sora İK в рамках Договора продажи |
| Характер | Запись, хранение, просмотр, изменение Персональных данных Клиента, их использование в расчётах и отчётах, передача или выгрузка по запросу Клиента, резервное копирование и удаление |
| Цель | Исключительно использование Сервиса Клиентом, техническое обеспечение работы Сервиса, обеспечение его безопасности и поддержка Клиента |
| Срок | Срок действия Договора продажи и далее до окончания срока удаления, указанного в статье 11 |
3. Категории персональных данных и группы субъектов данных
Обрабатываемые данные зависят от модулей, которыми пользуется Клиент, и сведений, которые он вводит в Сервис. В зависимости от использования Клиентом могут обрабатываться следующие данные:
| Группа субъектов данных (ilgili kişi) | Категории персональных данных |
|---|---|
| Работники и бывшие работники Клиента (включая стажёров) | Идентификационные и контактные данные, кадровые данные (должность, подразделение, даты приёма и увольнения, договор и документы), финансовые данные (заработная плата, расчётные ведомости, сведения о банковском счёте), отпуска и посещаемость (табель, записи прихода и ухода), эффективность и обучение, профессиональный опыт, визуальные записи (фотография), безопасность операций (записи о сессиях и операциях) |
| Кандидаты на трудоустройство у Клиента | Идентификационные и контактные данные, резюме и профессиональный опыт, оценки по откликам и собеседованиям |
| Пользователи Сервиса у Клиента (руководители, сотрудники HR) | Идентификационные и контактные данные, роль и права пользователя, безопасность операций (записи о сессиях и журналы аудита) |
| Родственники работников (если их сообщает Клиент) | Идентификационные и контактные данные (например, контактное лицо на случай чрезвычайной ситуации) |
Персональные данные особой категории (özel nitelikli kişisel veri): в зависимости от использования Клиентом могут обрабатываться сведения о здоровье (например, отпуска на основании медицинских заключений, инвалидность), о членстве в объединениях, фондах или профсоюзах (например, удержания из заработной платы) и данные об уголовных судимостях и мерах безопасности (например, сведения о судимости). Клиент отвечает за то, чтобы обработка этих данных основывалась на условии обработки, предусмотренном статьёй 6 Закона. Прежде чем загружать в Сервис персональные данные особой категории, не перечисленные в настоящей таблице, Клиент письменно уведомляет Sora Yazılım.
4. Обработка по указаниям и обязанности Клиента
4.1. Sora Yazılım обрабатывает Персональные данные Клиента только по документально оформленным указаниям Клиента. К ним относятся Договор продажи, настоящее Соглашение, настройки, выполненные Клиентом в Сервисе, действия Пользователей в Сервисе и письменные указания Клиента.
4.2. Sora Yazılım не использует Персональные данные Клиента в собственных целях, не продаёт их, не обрабатывает для рекламы или профилирования и не передаёт третьим лицам вне указаний Клиента. Если по закону возникнет обязанность передать данные уполномоченным органам, Sora Yazılım заранее уведомит Клиента в той мере, в какой это допускает законодательство.
4.3. Если Sora Yazılım придёт к выводу, что указание противоречит Закону или иному законодательству, она незамедлительно уведомляет Клиента и вправе приостановить соответствующую операцию до прояснения указания.
4.4. Клиент отвечает за правомерную загрузку Персональных данных Клиента в Сервис, информирование субъектов данных, получение явно выраженного согласия (açık rıza) в необходимых случаях, достоверность данных и определение прав Пользователей.
5. Обязательство о конфиденциальности
5.1. В соответствии с частью 4 статьи 12 Закона Sora Yazılım не раскрывает другим лицам ставшие ей известными Персональные данные Клиента в нарушение положений Закона и не использует их вне целей обработки. Это обязательство сохраняется и после прекращения Договора.
5.2. Sora Yazılım обеспечивает, чтобы доступ к Персональным данным Клиента имели только те её работники, которым он необходим по служебным обязанностям, и чтобы эти работники были связаны письменными обязательствами о конфиденциальности. Доступ к учётной записи Клиента в целях поддержки осуществляется по запросу Клиента или в той мере, в какой это необходимо для обеспечения безопасности Сервиса.
6. Субобработчики
6.1. Клиент предоставляет Sora Yazılım общее разрешение привлекать следующих субобработчиков (alt işleyen). Тот же перечень публикуется на странице «Безопасность и защита данных».
| Субобработчик | Услуга | Местонахождение |
|---|---|---|
| (уточняется) | Размещение серверов, баз данных и резервных копий | (уточняется) |
| (уточняется) | Отправка писем-уведомлений | (уточняется) |
| Cloudflare, Inc. | Управление доменом (DNS) и доставка медиафайлов (media.sora-ik.com) | За пределами Турции (глобальная сеть Cloudflare) |
| Cloudflare R2 (Cloudflare, Inc.) | Хранение файлов кадровых документов и резервных копий базы данных | Европа (Восточная Европа, указание расположения EEUR; опция юрисдикции ЕС не используется) |
| Cloudflare Turnstile (Cloudflare, Inc.) | Проверка на ботов в формах | За пределами Турции |
6.2. Sora Yazılım заключает с субобработчиками договоры, содержащие обязательства по защите данных не менее строгие, чем предусмотренные настоящим Соглашением, и несёт ответственность перед Клиентом за исполнение субобработчиками этих обязательств.
6.3. Не менее чем за 30 дней до привлечения нового субобработчика или замены существующего Sora Yazılım уведомляет Клиента по электронной почте и обновляет перечень. Клиент вправе в течение 30 дней с даты уведомления заявить мотивированное возражение. Если Стороны не придут к разумному решению, Клиент вправе расторгнуть Договор продажи до вступления изменения в силу; в этом случае возвращается стоимость, приходящаяся на оставшийся срок Периода подписки.
7. Технические и административные меры
7.1. В рамках части 1 статьи 12 Закона Sora Yazılım применяет в Сервисе как минимум следующие меры для предотвращения незаконной обработки персональных данных и незаконного доступа к ним, а также для обеспечения их сохранности:
| Мера | Реализация |
|---|---|
| Шифрование при передаче | Трафик Сервиса шифруется по TLS; соединения устанавливаются по HTTPS |
| Защита паролей | Пароли хранятся в необратимом виде с использованием алгоритма argon2id |
| Авторизация доступа | Доступ к Сервису ограничивается на основе ролей и прав; роли Пользователей определяет сам Клиент |
| Журнал аудита | Административные действия записываются в журнал аудита |
| Предотвращение злоупотреблений | При входе и действиях с учётной записью действует ограничение частоты запросов; в формах используется проверка на ботов |
| Минимизация данных в журналах | В журналах адреса электронной почты маскируются, строки запросов не записываются |
| Резервное копирование | Резервные копии создаются с периодичностью: (уточняется) |
| Персонал | Доступ ограничивается служебной необходимостью; работники, имеющие доступ, связаны обязательствами о конфиденциальности |
7.2. В соответствии с частью 2 статьи 12 Закона, если персональные данные обрабатываются от имени ответственного за обработку данных другим лицом, ответственный за обработку данных несёт совместно с этим лицом ответственность за принятие указанных мер. Клиент также обязан в своей организации обеспечивать безопасность учётных записей Пользователей, предоставлять права по принципу необходимости и закрывать доступ уволившимся сотрудникам.
7.3. В отношении персональных данных особой категории Стороны сотрудничают в принятии достаточных мер, определённых Советом по защите персональных данных Турции (KVK Kurulu) в соответствии с частью 4 статьи 6 Закона.
8. Уведомление о нарушении безопасности персональных данных
8.1. Обнаружив, что Персональные данные Клиента были получены другими лицами незаконным путём, Sora Yazılım незамедлительно уведомляет об этом Клиента. Это обязательство согласуется с принципом, предусмотренным для обработчика данных Решением Совета по защите персональных данных Турции от 24.01.2019 № 2019/10, — уведомлять ответственного за обработку данных о нарушении без какой-либо задержки.
8.2. Уведомление в той мере, в какой это известно на момент его направления, содержит характер нарушения, затронутые категории данных и примерное число субъектов данных и записей, возможные последствия, принятые и предлагаемые меры, а также контактное лицо в Sora Yazılım. Если все сведения невозможно предоставить одновременно, они передаются поэтапно без задержки.
8.3. В соответствии с частью 5 статьи 12 Закона обязанность уведомить о нарушении субъектов данных и Совет по защите персональных данных Турции лежит на Клиенте как ответственном за обработку данных. Sora Yazılım предоставляет сведения, необходимые Клиенту для этих уведомлений, и сотрудничает с Клиентом для уменьшения последствий нарушения. Если это не требуется по закону, Sora Yazılım не направляет уведомления субъектам данных или Совету от имени Клиента по собственной инициативе.
9. Содействие при обращениях субъектов данных
9.1. Обращения субъектов данных, связанные с их правами по статье 11 Закона, рассматриваются Клиентом как ответственным за обработку данных в соответствии со статьёй 13 Закона.
9.2. Обращения, касающиеся Персональных данных Клиента и поступившие непосредственно в Sora Yazılım, Sora Yazılım незамедлительно передаёт Клиенту и не отвечает на них самостоятельно без указаний Клиента.
9.3. Сервис позволяет Клиенту просматривать, исправлять, выгружать и удалять данные для ответа на обращения. Если инструментов Сервиса недостаточно, Sora Yazılım оказывает техническую поддержку в разумном объёме.
10. Аудит
10.1. В соответствии с частью 3 статьи 12 Закона, чтобы ответственный за обработку данных мог исполнить обязанность проводить или организовывать проверки, Sora Yazılım по письменному запросу Клиента в разумный срок предоставляет информацию и документы, подтверждающие соблюдение настоящего Соглашения.
10.2. Если информации и документов недостаточно, Клиент вправе провести аудит самостоятельно или через независимого аудитора, связанного обязательствами о конфиденциальности. Об аудите письменно уведомляют не менее чем за 30 дней; он проводится в рабочее время так, чтобы не нарушать работу Сервиса, ограничивается одним разом в год, если нет нарушения или запроса уполномоченного органа, и проводится за счёт Клиента. Аудит не даёт доступа к данным других клиентов и коммерческой тайне Sora Yazılım.
11. Удаление и возврат данных при прекращении договора
11.1. В течение 30 дней с момента прекращения Договора продажи Клиент вправе выгрузить Персональные данные Клиента в формате CSV либо запросить выгрузку.
11.2. По истечении этого срока Персональные данные Клиента удаляются из рабочих систем. Копии в резервных хранилищах удаляются в ходе цикла резервного копирования по истечении срока (уточняется); в течение этого срока резервные копии хранятся исключительно для аварийного восстановления и не обрабатываются в иных целях.
11.3. По запросу Клиента удаление подтверждается в письменной форме. Данные, хранение которых обязательно по закону, хранятся только в течение срока и для цели, которых требует эта обязанность.
11.4. Выгрузка в установленный срок данных, на которые распространяются собственные установленные законом обязанности Клиента по хранению (например, личные дела сотрудников), является ответственностью Клиента.
12. Передача данных за пределы Турции
12.1. Персональные данные Клиента хранятся на серверах в следующем местоположении: (уточняется).
12.2. Поскольку файлы кадровых документов и резервные копии базы данных хранятся в Cloudflare R2 на серверах за пределами Турции (в Европе), Персональные данные Клиента обрабатываются за пределами Турции. Такая передача, а также передача другим зарубежным субобработчикам, указанным в статье 6, является передачей за пределы Турции по смыслу статьи 9 Закона.
12.3. Передача за пределы Турции осуществляется с соблюдением условий, предусмотренных статьёй 9 Закона. Если в качестве надлежащей гарантии используется стандартный договор, он в соответствии с частью 5 статьи 9 Закона направляется в Ведомство по защите персональных данных Турции (KVK Kurumu) в течение пяти рабочих дней с даты подписания. Основание для каждого субобработчика:.
12.4. Принимая настоящее Соглашение, Клиент даёт Sora Yazılım указание осуществлять передачу субобработчикам, указанным в статье 6. Обеспечение наличия условия обработки, служащего основанием для передачи, и информирование субъектов данных об этом являются ответственностью Клиента.
13. Ответственность и приоритет
13.1. Ответственность Сторон по настоящему Соглашению регулируется положениями об ответственности Договора продажи; императивная ответственность, вытекающая из Закона, не затрагивается.
13.2. По вопросам защиты персональных данных настоящее Соглашение имеет преимущество перед Договором продажи.
14. Вступление в силу и изменения
14.1. Настоящее Соглашение принимается в электронной форме в форме регистрации вместе с Договором продажи и вступает в силу в дату вступления в силу Договора продажи. Соглашение действует до завершения удаления данных, указанного в статье 11.
14.2. Изменения настоящего Соглашения регулируются статьёй 16 Договора продажи об изменениях. Положения настоящего пункта не затрагивают обязательных изменений, вызванных изменением законодательства.
14.3. Версия Соглашения: 1.2.
Настоящий текст является переводом оригинала на турецком языке; в случае расхождений преимущественную силу имеет турецкая версия.