ПОЛИТИКА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

1
İstanbul Ephesus Hotel
Ephesus Otelcilik ve Turizm Anonim Şirketi
ПОЛИТИКА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
&
РУКОВОДСТВО
ОПРЕДЕЛЕНИЯ / ПОЯСНЕНИЯ
Стамбул
2
A. ЦЕЛЬ И ОБЛАСТЬ ПРИМЕНЕНИЯ
Целью настоящей политики является предоставление пояснений в отношении деятельности по
обработке персональных данных, законно осуществляемой компанией Ephesus Otelcilik ve Turizm
Anonim Şirketi («Ephesus», «Ephesus Hotel» или сокращённо «КОМПАНИЯ») в качестве оператора
персональных данных в рамках турецкого Закона № 6698 о защите персональных данных (KVKK).
Цель этих пояснений — информировать соответствующих лиц и тем самым обеспечить
прозрачность в области персональных данных.
Ephesus Hotel обладает статусом оператора персональных данных в соответствии с Законом
№ 6698, и для выполнения обязательств, требуемых этим статусом, осуществляет необходимую
работу по соответствию, выраженную в данной Политике, в соответствии с положениями
Конституции Турецкой Республики, международными договорами по правам человека, участником
которых является Турция, а также всеми положениями законодательства о защите данных, в
первую очередь Законом № 6698. По этой причине деятельность по защите персональных данных
наших сотрудников, кандидатов на трудоустройство, стажёров, клиентов/потенциальных клиентов,
деловых партнёров/потенциальных деловых партнёров, поставщиков/потенциальных поставщиков,
посредников, третьих лиц, с которыми мы вступаем в договорные отношения, и всех других
соответствующих лиц управляется нашей Компанией в соответствии с принципами настоящей
Политики.
В этом контексте наша Компания подробно разъясняет в настоящей Политике, а также в других
политиках KVKK, подготовленных Ephesus Hotel и обнародованных, свою деятельность по
обработке персональных данных, методы и правовые основы сбора, какие группы лиц
обрабатываются, какие категории персональных данных обрабатываются в отношении этих групп
лиц, в каких бизнес-процессах и с какими целями используются эти персональные данные,
технические и организационные меры безопасности, кому и с какими целями могут передаваться
персональные данные, сроки хранения персональных данных, права субъектов данных и порядок
их реализации, а также передачу данных уполномоченным учреждениям и организациям.
Защита персональных данных и соблюдение основных прав и свобод физических лиц, чьи
персональные данные собираются, является основным принципом нашей политики в области
обработки персональных данных. По этой причине мы осуществляем всю деятельность, при
которой обрабатываются персональные данные, с соблюдением неприкосновенности частной
жизни, тайны переписки, свободы мысли и вероисповедания и права на эффективные средства
правовой защиты.
Для защиты персональных данных в соответствии с законодательством и современными
технологиями мы принимаем все организационные и технические меры защиты, необходимые в
зависимости от характера соответствующих данных.
Наши политики применяются ко всей деятельности по обработке персональных данных в
Ephesus Hotel и подготовлены с учётом KVKK, иного законодательства о персональных данных и
международных стандартов в этой области. Регулярные процедуры контроля и проверки в
отношении вопросов, охватываемых политикой, будут осуществляться в соответствии с
критериями оценки и мониторинга эффективности, которые будут установлены Компанией. В этой
связи Компания также подготовила необходимые дисциплинарные директивы и соглашения о
конфиденциальности.
В соответствии с пунктом 2 статьи 4 Закона № 6698 о защите персональных данных и в рамках
целей, указанных в разделе «Цели обработки персональных данных» настоящей Политики,
3
Компания придерживается следующих принципов в отношении обработки персональных данных:
✓ соответствие закону и правилам добросовестности,
✓ точность и при необходимости актуальность,
✓ обработка для определённых, явных и законных целей,
✓ связанность с целью обработки, ограниченность и соразмерность,
✓ хранение в течение срока, предусмотренного соответствующим законодательством или
необходимого для целей обработки.
B. ОПРЕДЕЛЕНИЯ И КЛАССИФИКАЦИИ В НАШИХ ПОЛИТИКАХ
1. Определения понятий и пояснения
Понятие Пояснение
Явное согласие Согласие по определённому вопросу, основанное на информации и
выраженное по свободной воле.
Анонимизация Приведение персональных данных в такое состояние, при котором
они никаким образом не могут быть связаны с определённым или
определяемым физическим лицом, даже путём сопоставления с
другими данными.
Сотрудник/Персонал Работники, персонал или стажёры.
Электронная среда Среды, в которых персональные данные могут создаваться,
считываться, изменяться и записываться с помощью электронных
устройств.
Неэлектронная среда Все письменные, печатные, визуальные и другие среды, кроме
электронных.
Субъект данных Физическое лицо, чьи персональные данные обрабатываются.
Уполномоченный пользователь Лица, обрабатывающие персональные данные внутри организации
оператора или в соответствии с полномочиями и указаниями,
полученными от оператора, за исключением лица или
подразделения, ответственного за техническое хранение, защиту и
резервное копирование данных.
Уничтожение Удаление, уничтожение или анонимизация персональных данных.
Среда хранения Любая среда, в которой обрабатываются персональные данные
полностью или частично автоматизированным способом или
неавтоматизированным способом при условии, что они являются
частью какой-либо системы регистрации данных.
Зарегистрированный
электронный почтовый адрес
(KEP)
Система, которая сохраняет все виды коммерческой и юридической
переписки и обмена документами в отправленной форме,
окончательно идентифицирует получателя, обеспечивает полную
неизменность содержимого и делает его юридически
действительным, безопасным и окончательным доказательством.
Персональные данные Любая информация, относящаяся к определённому или
определяемому физическому лицу.
4
Понятие Пояснение
Обработка персональных
данных
Любая операция, осуществляемая над персональными данными
полностью или частично автоматизированным способом либо
неавтоматизированным способом при условии, что они являются
частью какой-либо системы регистрации данных, такая как
получение, запись, хранение, сбережение, изменение,
реорганизация, раскрытие, передача, получение, обеспечение
доступности, классификация или предотвращение использования.
Управление Турецкое управление по защите персональных данных (KVK Kurulu)
Учреждение Турецкое учреждение по защите персональных данных Турецкой
Республики (KVKK)
KVKK, Закон Турецкий Закон № 6698 о защите персональных данных
Клиент Физическое/юридическое лицо, которое независимо от наличия
договорных отношений с Ephesus Hotel
использовало/использует/приобретает продукты и услуги,
предлагаемые Компанией.
Специальные категории
персональных данных
Данные о расе, этническом происхождении, политических взглядах,
философских убеждениях, религии, конфессии или иных
убеждениях, одежде, членстве в объединениях, фондах или
профсоюзах, здоровье, половой жизни, уголовном осуждении и
мерах безопасности, а также биометрические и генетические
данные.
Периодическое уничтожение В случае исчезновения всех условий обработки персональных
данных, указанных в Законе, процесс удаления, уничтожения или
анонимизации, который осуществляется по собственной
инициативе с повторяющейся периодичностью, указанной в
политике хранения и уничтожения персональных данных.
Политика(и) Уведомление о защите данных, Политика защиты персональных
данных, Политика хранения и уничтожения персональных данных,
Политика в отношении файлов cookie
Удаление Приведение персональных данных в состояние, при котором они
никаким образом недоступны и не могут быть повторно
использованы соответствующими пользователями.
Компания Ephesus Otelcilik ve Turizm Anonim Şirketi
Поставщик Физическое/юридическое лицо, оказывающее или желающее
оказывать услуги в соответствии с распоряжениями и указаниями
Компании.
Ephesus Hotel Ephesus Otelcilik ve Turizm A.Ş.
Третье лицо Третьи лица — физические лица, связанные со сторонами,
упомянутыми в Политике Компании, в целях обеспечения
безопасности коммерческих операций или защиты прав и
обеспечения интересов упомянутых лиц (например, поручитель,
сопровождающее лицо и т. д.).
Обработчик данных Физическое и юридическое лицо, обрабатывающее персональные
данные от имени оператора на основании полномочий,
предоставленных оператором.
5
Понятие Пояснение
Система регистрации данных Система регистрации, каталог, в котором персональные данные
обрабатываются путём структурирования согласно определённым
критериям.
Оператор персональных
данных
Физическое или юридическое лицо, определяющее цели и средства
обработки персональных данных и ответственное за установление
и управление системой регистрации данных: Ephesus Otelcilik ve
Turizm Anonim Şirketi
Уничтожение Приведение персональных данных в состояние, при котором они
никем и никаким образом не могут быть доступны, восстановлены
или повторно использованы.
Посетитель Физическое лицо, входящее в физические помещения,
принадлежащие Ephesus Hotel, с различными целями.
2. Классификация персональных данных
2.1. Персональные данные
Защита персональных данных касается только физических лиц; информация, относящаяся к
юридическим лицам и не содержащая сведений о физических лицах, исключена из защиты
персональных данных. Поэтому настоящая Политика, как правило, не применяется к данным
юридических лиц.
2.2. Специальные категории персональных данных
Данные о расе, этническом происхождении, политических взглядах, философских убеждениях,
религии, конфессии или иных убеждениях лиц, а также одежде, членстве в объединениях, фондах
или профсоюзах, здоровье, половой жизни, уголовном осуждении и мерах безопасности, а также
биометрические и генетические данные являются специальными категориями персональных
данных. Они определены в статье 6 Закона № 6698.
2.3. Категории персональных данных
Указанные ниже категории персональных данных обрабатываются нашей Компанией в течение
сроков, указанных в Политике хранения и уничтожения KVKK Ephesus Hotel, ограниченно одним
или несколькими из условий обработки персональных данных, указанных в статье 5 Закона, на
основании законных и правомерных целей обработки персональных данных, информируя
соответствующих лиц согласно статье 10 KVKK № 6698, в соответствии с общими принципами,
указанными в Законе, особенно принципами, касающимися обработки персональных данных,
указанными в статье 4, и всеми обязанностями, регулируемыми Законом.
Категория данных Пояснение
Информация о членах семьи
и близких
Информация о членах семьи и близких субъекта персональных данных
с целью защиты правовых и иных интересов Компании и субъекта
данных.
Визуальные и аудиозаписи Фотографии и записи камер, которые явно принадлежат
определённому или определяемому физическому лицу (за
исключением записей в рамках Информации о безопасности
физических помещений).
6
Категория данных Пояснение
Финансы Персональные данные, обрабатываемые в отношении информации,
документов и записей, отражающих все финансовые результаты,
созданные в зависимости от типа правовых отношений нашей
Компании с субъектом персональных данных; обрабатываемые
частично или полностью автоматизированным способом или как часть
системы регистрации данных неавтоматизированным способом; явно
принадлежащие определённому или определяемому физическому
лицу; а также данные, такие как номер банковского счёта, IBAN,
информация о кредитной карте, финансовый профиль, данные об
имуществе, данные о доходах, данные о заработной плате.
Информация о безопасности
физических помещений
Персональные данные о записях и документах, оформляемых при
входе в физическое помещение, во время пребывания в физическом
помещении (в местах общего пользования, таких как коридоры); записи
камер и записи в зонах безопасности и т. п.; в рамках системы
регистрации данных и явно принадлежащие определённому или
определяемому физическому лицу.
Правовые действия Персональные данные, обрабатываемые в рамках установления и
преследования наших прав и требований, исполнения наших
обязательств и соблюдения юридических обязанностей и политик
Компании (Сведения в переписке с судебными органами, сведения в
материалах дела, Протоколы, Разрешения, Лицензии, Образцы
подписей, Списки присутствия, Записи Торгового реестра, Формы
ремонта и обслуживания неисправностей и т. п.).
Контактная информация Номер телефона, адрес, электронная почта, имя пользователя в
социальных сетях, номер факса, адрес KEP и т. п.
Информация о безопасности
транзакций
Ваши персональные данные, обрабатываемые для обеспечения нашей
технической, организационной, юридической и коммерческой
безопасности при осуществлении нашей коммерческой деятельности
(например, логи, информация об IP-адресах, информация о паролях и
кодах, информация о входе/выходе на веб-сайте).
Идентификационная
информация
Данные, содержащие сведения о личности человека: имя-фамилия,
идентификационный номер ТР (TCKN), имена родителей, место
рождения, дата рождения, семейное положение, серийный номер
удостоверения личности и т. п.; документы, такие как водительское
удостоверение, удостоверение личности и паспорт, ИНН и т. п.;
номерной знак автомобиля, данные о гражданстве.
Данные о поле Данные, определяющие пол субъекта персональных данных (женский,
мужской).
Информация о клиентских
операциях
Информация, такая как инструкции и запросы клиента в отношении
использования наших продуктов и услуг; явно принадлежащая
определённому или определяемому физическому лицу и находящаяся
в системе регистрации данных; а также информация, добровольно
переданная нам соответствующим лицом в результате нашей
коммерческой деятельности и операций, проводимых нашими
бизнес-подразделениями в этих рамках.
Уголовное осуждение и меры
безопасности
Сведения об уголовном осуждении, являющиеся специальной
категорией персональных данных, сведения о мерах безопасности и т.
п.
7
Категория данных Пояснение
Сведения о здоровье Сведения о статусе инвалидности, информация о группе крови, личная
медицинская информация, информация об используемых устройствах
и протезах и т. п.
Информация о служебных
операциях работника
Данные, такие как размер обуви, размер одежды, рост, вес и т. п.,
обрабатываемые для обеспечения соответствия размерам форменной
одежды и обуви наших сотрудников и стажёров.
Личное дело Все виды персональных данных, обрабатываемых для получения
сведений, которые станут основой для формирования трудовых прав
физических лиц, состоящих в трудовых отношениях с нашей
Компанией (сведения о расчётных листах, дисциплинарных
расследованиях, записи о документе о приёме на работу, сведения
резюме, отчёты об оценке эффективности, сведения о воинской
обязанности и т. п.).
Страховые сведения Данные, такие как номер полиса и страхования, обрабатываемые в
рамках социального страхования или частного страхового полиса
наших сотрудников и стажёров.
Профессиональный опыт Сведения о дипломах, посещённых курсах, внутрипроизводственном
обучении, сертификатах, квалификационных документах поставщиков,
выписках и т. п. кандидатов на трудоустройство, сотрудников и
стажёров.
3. Субъекты персональных данных («Заинтересованные лица»)
Субъект персональных
данных
Пояснение
Сотрудники/Стажёры Физические лица, заключившие с нашей Компанией трудовой договор,
и стажёры.
Кандидат на
трудоустройство
Физические лица, подавшие заявление о приёме на работу в нашу
Компанию любым способом или предоставившие своё резюме и
соответствующую информацию для рассмотрения нашей Компанией
(включая кандидатов на стажировку).
Лицо, получающее продукт
или услугу (Клиенты)
Физические лица, использующие или использовавшие продукты и
услуги, предлагаемые нашей Компанией.
Потенциальный получатель
продукта или услуги
Физические лица, не вступившие в договорные отношения с нашей
Компанией или ещё не использовавшие продукты или услуги нашей
Компании.
Акционер/Партнёр Физические лица, являющиеся акционерами нашей Компании, и
физические лица, являющиеся членами совета директоров компании.
Уполномоченное лицо
поставщика
Физические лица в организациях, с которыми наша Компания состоит в
любых деловых отношениях, включая акционеров и уполномоченных
лиц этих организаций.
Работник поставщика Лица, работающие в организациях, с которыми наша Компания состоит
в любых деловых отношениях.
8
Субъект персональных
данных
Пояснение
Третьи лица Третьи лица — физические лица, связанные с упомянутыми выше
сторонами в целях ведения отношений или защиты прав упомянутых
лиц или нашей Компании и обеспечения интересов (Например,
поручитель, члены семьи и близкие) или иные физические лица, не
подпадающие под действие настоящей политики.
Посетители Физические лица, входящие в физические помещения, принадлежащие
нашей Компании, с различными целями или посещающие наши
веб-сайты.
C. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ОБРАБАТЫВАЕМЫЕ EPHESUS HOTEL
Персональные данные, обрабатываемые Ephesus Hotel, собираются согласно статье 5 Закона
№ 6698 о защите персональных данных следующим образом:
• явное предусмотрение в законах (например, ведение личного дела работника в соответствии с
законом),
• необходимость обработки персональных данных сторон договора при условии её прямой
связи с заключением или исполнением договора (например, регистрация контактной и
идентификационной информации лиц, делающих бронирование в ресторане),
• обнародование самим заинтересованным лицом (например, обработка социальными сетями
отеля фотографии проживания, опубликованной самим клиентом на своём аккаунте в
социальных сетях — отметка и репост),
• необходимость обработки данных для законных интересов оператора при условии, что это не
нарушает основные права и свободы заинтересованного лица (например, изучение записей
камер видеонаблюдения и информационной системы для обеспечения безопасности отеля
или быстрого реагирования в чрезвычайных ситуациях, таких как наводнение, пожар),
• необходимость обработки данных для установления, осуществления или защиты права
(например, хранение необходимой информации уволенного работника в течение срока
исковой давности).
На основании этих правовых причин данные собираются устно, в электронной или письменной
форме через уведомления и иные каналы связи от уполномоченных лиц, учреждений и
организаций, а также административных и судебных органов.
Категории персональных данных, которые различаются и меняются в зависимости от типа и
характера отношений между Компанией и заинтересованным лицом, используемого канала связи и
цели обработки персональных данных, и которые обрабатываются в соответствии с принципами
настоящей Политики, в целом следующие:
- идентифицирующая информация о личности, созданная Компанией,
- специфические для лица данные, хранящиеся в целях проверки личности,
- визуальные и аудио данные,
- контактная информация и записи,
- сведения о физических лицах в документах, относящихся к юридическим лицам,
- идентифицирующая и квалифицирующая информация, созданная Компанией о кандидатах на
трудоустройство, сотрудниках, стажёрах и представителях,
9
- медицинские данные о сотрудниках, кандидатах на трудоустройство, стажёрах и
представителях Компании,
- финансовые данные в отношении операций, осуществляемых в деятельности Компании,
- специальные категории данных о здоровье и уголовном осуждении в личных делах
сотрудников,
- специальные категории персональных данных, содержащиеся в клиентских регистрационных
файлах и переданные нам клиентами добровольно без нашего запроса.
Эти данные подробно определены в системе VERBİS через специально подготовленный для
Компании Реестр персональных данных. Некоторые из них относятся к специальным категориям
персональных данных и их обработка основана на более строгих процедурах.
Специальные категории персональных данных обрабатываются нами с принятием
организационных и технических мер, предписанных Управлением по защите персональных данных,
при наличии явного согласия заинтересованного лица или в случаях, обязательно требуемых
законодательством. Определённые специальные категории персональных данных,
обрабатываемые нами в отношении заинтересованных лиц, следующие:
❖ Медицинская информация сотрудников, включая медицинский анамнез, обрабатывается в
соответствии с нашими юридическими обязательствами в рамках личного дела, а информация
о группе крови — для обеспечения экстренной потребности в крови наших сотрудников и их
близких.
❖ Медицинская информация наших клиентов (наличие пищевой аллергии, статус инвалидности
и т. п.) обрабатывается для целей предоставления персонализированного обслуживания.
❖ Сведения об одежде, манере одеваться и размерах тела сотрудников обрабатываются для
обеспечения соответствия размерам форменной одежды, используемой ими при выполнении
своих обязанностей.
D. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Наши общие цели обработки данных
Персональные данные могут обрабатываться Компанией в рамках целей, приведённых ниже в
качестве примеров, и могут храниться в течение времени, требуемого этими целями и
соответствующими юридическими сроками;
✓ полное и качественное оказание услуг проживания и других услуг в нашем отеле,
✓ полное осуществление прямых продаж через рестораны нашего отеля,
✓ полное проведение в нашем отеле совещаний, семинаров, свадеб и других мероприятий,
✓ осуществление коммерческой деятельности в рамках юридических и административных
обязательств,
✓ переговоры, составление и исполнение договоров,
✓ оказание поддержки заинтересованному лицу в рамках запросов и вопросов,
✓ осуществление рекламной и маркетинговой деятельности,
✓ получение мнений заинтересованных лиц через опросы и голосования и обеспечение
удовлетворённости клиентов,
✓ осуществление процессов оценки кандидатов и приёма на работу,
✓ управление кадрами Компании,
✓ планирование и реализация корпоративных мероприятий по устойчивому развитию,
10
✓ осуществление коммерческой деятельности в целях ведения деловых партнёрств с
Компанией,
✓ исполнение договоров, заключаемых между Компанией и третьими лицами, и иных
юридических обязательств,
✓ идентификация и создание записей,
✓ осуществление и обеспечение непрерывности коммерческой деятельности,
✓ информирование о полученных процессах обслуживания,
✓ возможность составления статистики, связанной с операциями, и формирования
соответствующих списков, объединения коммерческой статистики и анализа,
✓ исследование и разработка продуктов, услуг и возможностей персонального выбора,
✓ выполнение функций, таких как программное обеспечение, корпоративное планирование
ресурсов, отчётность, маркетинг,
✓ возможность пользоваться акциями и кампаниями,
✓ в связи с мероприятиями безопасности на рабочем месте,
✓ возможность проведения необходимых проверок качества, конфиденциальности и стандартов,
✓ исполнение требований, установленных законами и нормативными актами (налоговое
законодательство, законодательство о защите прав потребителей, законодательство об
обязательствах, торговое право и все соответствующее законодательство),
✓ исполнение обязательств в отношении электронных счетов, электронного архива и
электронной накладной,
✓ выполнение запросов государственных учреждений и организаций в соответствии с
требованиями или обязательными нормами законодательства (обмен информацией и т. п.),
✓ исполнение юридических обязательств, указанных в Законе № 6698,
✓ отправка электронных сообщений в целях информирования о новых продуктах, кампаниях и
акциях, при условии предварительного согласия,
✓ исполнение юридических обязательств в отношении трудоустройства персонала,
✓ открытие зарплатных счетов для персонала, при необходимости предоставление арендных
автомобилей, телефонов, телефонных линий, талонов на питание, выполнение операций по
автоматической индивидуальной пенсионной системе,
✓ различные приложения для управления персоналом,
✓ экстренная медицинская помощь,
✓ отслеживание и мониторинг больничных листов или контроль состояния здоровья,
необходимого для выполнения работником своих обязанностей,
✓ отслеживание ареста заработной платы персонала,
✓ надлежащее обеспечение и контроль политики и стандартов качества, информационной
безопасности и конфиденциальности,
✓ связь с лицами, указанными работниками с их согласия, в случае чрезвычайных ситуаций,
✓ расчёт расходов персонала,
✓ определение и контроль входа и выхода на работу,
✓ подготовка отчётов и анализа для высшего руководства Компании,
✓ проведение оценки эффективности и определение политики оплаты труда,
✓ запись изображений с камер в связи с мероприятиями конфиденциальности и безопасности на
рабочем месте.
11
Эти цели подробно описаны в Реестре персональных данных в VERBİS.
2. Наши верхнеуровневые цели обработки персональных данных
Верхнеуровневые цели обработки персональных данных в соответствии с категоризацией,
подготовленной нашей Компанией, представлены ниже:
➢ планирование и реализация кадровой политики и процессов нашей Компании,
➢ выполнение необходимой работы соответствующими бизнес-подразделениями для
реализации коммерческой деятельности, осуществляемой нашей Компанией, и ведение
связанных бизнес-процессов,
➢ выполнение необходимой работы нашими бизнес-подразделениями для того, чтобы
заинтересованные лица могли пользоваться продуктами и услугами, предлагаемыми нашей
Компанией, и ведение связанных бизнес-процессов,
➢ планирование и реализация коммерческих и деловых стратегий Компании,
➢ обеспечение юридической, технической и коммерческо-деловой безопасности нашей
Компании и заинтересованных лиц, находящихся с нашей Компанией в деловых отношениях,
➢ планирование и реализация коммерческих и деловых стратегий нашей Компании.
3. Наши специальные цели обработки данных
➢ управление процессами чрезвычайных ситуаций,
➢ управление процессами информационной безопасности,
➢ процессы отбора и трудоустройства кандидатов на работу/стажёров,
➢ процессы подачи заявлений кандидатами на трудоустройство,
➢ процессы удовлетворённости и приверженности сотрудников,
➢ выполнение обязательств по трудовому договору и законодательству в отношении
сотрудников,
➢ процессы дополнительных прав и льгот для сотрудников,
➢ аудит / этические мероприятия,
➢ обеспечение соответствия форменной одежды размерам сотрудников,
➢ учебные мероприятия,
➢ управление правами доступа,
➢ осуществление деятельности в соответствии с законодательством,
➢ финансово-бухгалтерские операции,
➢ процессы приверженности компании/продукту/услугам,
➢ обеспечение безопасности физических помещений,
➢ процессы назначения,
➢ ведение и осуществление юридических вопросов,
➢ внутренний аудит / расследования,
➢ коммуникационная деятельность,
➢ планирование кадровых процессов,
➢ осуществление / аудит коммерческой деятельности,
➢ деятельность по охране труда и технике безопасности,
➢ обеспечение непрерывности бизнеса,
12
➢ получение и оценка предложений по улучшению бизнес-процессов,
➢ процессы закупки товаров/услуг,
➢ процессы продаж товаров/услуг,
➢ процессы производства и эксплуатации товаров/услуг,
➢ процессы потерянных и найденных вещей,
➢ процессы управления отношениями с клиентами,
➢ мероприятия по удовлетворённости клиентов,
➢ управление организацией и мероприятиями,
➢ маркетинговый анализ,
➢ процессы оценки эффективности,
➢ процессы рекламы / кампаний / акций,
➢ процессы управления рисками,
➢ отслеживание страховых операций,
➢ процессы заключения договоров,
➢ отслеживание запросов/жалоб,
➢ обеспечение безопасности движимого имущества и ресурсов,
➢ осуществление политики оплаты труда,
➢ процессы маркетинга продуктов/услуг,
➢ обеспечение безопасности операций оператора персональных данных,
➢ операции по разрешению на работу и проживание иностранного персонала,
➢ мероприятия по развитию талантов / карьеры,
➢ предоставление информации уполномоченным лицам, учреждениям и организациям,
➢ управленческая деятельность,
➢ создание и ведение записей о посетителях.
Цели обработки данных в рамках нашей коммерческой деятельности
Бронирование в наших отелях может осуществляться через посреднические агентства и
туристические компании, а также возможна покупка услуг. Кроме того, хотя в настоящее время на
нашем веб-сайте нет онлайн-бронирования и услуг продаж, введение такой услуги в действие
полностью находится на усмотрение нашей Компании.
Персональные данные наших клиентов и потенциальных клиентов, обращающихся к услугам,
предоставляемым нашей Компанией через электронные среды, обрабатываются в соответствии с
Законом № 6698 и соответствующим законодательством. В случаях, когда закон не предоставляет
полномочий, для обработки ваших персональных данных требуется ваше явное согласие. В таких
случаях ваши персональные данные не обрабатываются никаким образом, если вы не дадите
явного согласия. Как Ephesus Hotel, даже в случаях, когда законодательство предоставляет нам
полномочия, мы осуществляем деятельность по обработке данных в соответствии с
законодательством, выполняя нашу обязанность по информированию в соответствии с законом и
принципами добросовестности.
E. ЮРИДИЧЕСКИЕ ОБЯЗАТЕЛЬСТВА
13
Наши юридические обязательства в рамках защиты и обработки персональных данных как
оператора персональных данных перечислены ниже:
1. Наша обязанность по информированию
Как оператор персональных данных, при сборе персональных данных мы обязаны
информировать заинтересованное лицо по следующим вопросам:
➢ с какой целью будут обрабатываться ваши персональные данные,
➢ наша личность, информация о личности нашего представителя при наличии,
➢ кому и с какой целью могут передаваться обрабатываемые персональные данные,
➢ наш метод сбора данных и его правовое основание и
➢ ваши права, вытекающие из KVKK № 6698.
Как Ephesus Hotel, мы стремимся к тому, чтобы данная Политика была понятной и
легкодоступной.
2. Наша обязанность по обеспечению безопасности данных
Как оператор персональных данных, мы принимаем административные и технические меры,
предусмотренные законодательством, для обеспечения безопасности персональных данных,
находящихся в нашем распоряжении. Обязанности по обеспечению безопасности данных и
принимаемые меры подробно описаны в Политике хранения и уничтожения KVKK Ephesus Hotel.
F. СБОР И ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Сбор персональных данных
Компания может получать персональные данные непосредственно от сотрудников и клиентов,
представителей, деловых партнёров, через колл-центр, канал онлайн-помощи, филиалы и иные
физические среды, а также собирать персональные данные через веб-сайты, мобильные
приложения, социальные сети и иные общедоступные каналы или организации и подобные
мероприятия для выполнения целей, приведённых в качестве примеров в разделе «Цели
обработки персональных данных» настоящей Политики, в рамках условий, предусмотренных в
статьях 5 и 6 KVKK № 6698.
2. Передача персональных данных
Компания осуществляет передачу данных филиалам, представителям, деловым партнёрам и
уполномоченным официальным учреждениям/организациям с принятием организационных и
технических мер, в случае необходимости и в соразмерном объёме, в рамках целей, приведённых в
качестве примеров в разделе «Цели обработки персональных данных» настоящей Политики, и в
соответствии с положениями статьи 8 Закона № 6698.
Передача данных осуществляется внутри страны очень ограниченно, за границу никаким
образом не осуществляется. Однако вопрос передачи данных за границу другими операторами
персональных данных, принимающими клиентов от имени и за счёт Ephesus Hotel в рамках
двусторонних договоров с туристическими агентствами и аналогичными посредническими лицами и
компаниями, не связан с нашей Компанией.
2.1. Передача внутри страны
14
Как Ephesus Hotel, мы действуем в соответствии с правилами, предусмотренными в KVKK, и
решениями, принятыми Управлением по защите персональных данных, в отношении передачи
персональных данных. Без ущерба для оснований законности, имеющихся в законодательстве,
персональные данные и специальные категории данных не передаются третьим лицам без явного
согласия Заинтересованного лица. Тем не менее, в случаях, когда явное согласие
заинтересованного лица не требуется, возможна передача персональных данных уполномоченным
лицам и учреждениям в силу полномочий, предоставленных Законом № 6698.
2.2. Передача за границу
Персональные данные, как правило, не могут передаваться за границу без явного согласия
заинтересованного лица. В рамках изменений, внесённых статьёй 34 Закона № 7499 от 2.3.2024 в
Закон № 6698, в определённых случаях стала возможной передача персональных данных за
границу. Однако как Ephesus Hotel мы не передаём за границу персональные данные, поступающие
к нам непосредственно в качестве оператора, независимо от деятельности наших деловых
партнёров, с которыми мы состоим в двусторонних деловых отношениях.
2.3. Третьи лица, которым передаются персональные данные
Обрабатываемые нами персональные данные могут передаваться внутри страны следующим
категориям лиц в рамках правил, указанных в настоящей Политике, в соответствии со статьями 8 и
9 Закона:
- 1) Наши акционеры
- 2) Наши деловые партнёры
- 3) Физические лица или юридические лица частного права
- 4) Уполномоченные государственные учреждения и организации
- 5) Поставщики
Получатель Описание Цель передачи данных
Наши акционеры С акционерами нашей Компании можно
ознакомиться на веб-странице
Стамбульского управления торгового
реестра.
Ограниченно целями
информирования или аудита
коммерческой деятельности
нашей Компании.
Деловой партнёр Наши деловые партнёры в целях, таких
как продажа, реклама и маркетинг
продуктов и услуг нашей Компании,
банки — наши деловые партнёры для
осуществления платёжных и инкассовых
операций.
Ограниченно обеспечением
выполнения целей создания
делового партнёрства.
Физические лица или
юридические лица
частного права
Учреждения или организации, созданные
в соответствии с определёнными
условиями, установленными законом,
согласно положениям соответствующего
законодательства, и продолжающие
свою деятельность в установленных
законом рамках (Например: независимые
аудиторы, адвокаты, у которых мы
получаем юридические услуги,
бухгалтер, врач предприятия).
Ограниченно обеспечением
выполнения целей создания
делового партнёрства.
15
Получатель Описание Цель передачи данных
Уполномоченные
государственные
учреждения и
организации
Государственные учреждения и
организации, уполномоченные получать
информацию и документы от нашей
Компании в соответствии с положениями
соответствующего законодательства
(Суды, прокуратуры, управления
безопасности, налоговые управления,
İŞKUR, SGK, GİB, Управление по
конкуренции, министерства и т. п.).
Ограниченно целью,
запрашиваемой
соответствующими
государственными учреждениями
и организациями в рамках их
правовых полномочий.
Поставщики Стороны, оказывающие услуги нашей
Компании в соответствии с целями и
инструкциями нашей Компании по
обработке данных в рамках
осуществления коммерческой
деятельности нашей Компании.
Ограниченно целью обеспечения
предоставления услуг,
получаемых нашей Компанией от
поставщиков внешним образом и
необходимых для осуществления
коммерческой деятельности
нашей Компании.
2.4. Меры, принимаемые нами для обеспечения законной передачи персональных
данных
Принимаемые нами организационные и технические меры для защиты персональных данных
содержатся в Политике хранения и уничтожения данных Ephesus Hotel.
G. СРОК ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРИНИМАЕМЫЕ МЕРЫ
1. Сроки хранения
Персональные данные хранятся в Компании в течение соответствующих юридических сроков
хранения или в течение времени, необходимого для осуществления деятельности, связанной с
этими данными, и целей, указанных в настоящей Политике. Персональные данные, цель
использования которых отпала или юридический срок хранения которых истёк, уничтожаются
Компанией в соответствии с Политикой хранения и уничтожения данных.
В случаях, когда мы обрабатываем персональные данные с несколькими целями, при
отпадении всех целей обработки данных или по запросу заинтересованного лица, при отсутствии в
законодательстве препятствий для удаления данных, данные удаляются, уничтожаются или
хранятся в анонимизированном виде. В вопросах уничтожения, удаления или анонимизации
соблюдаются положения законодательства и решения Управления по защите персональных
данных.
2. Меры, принимаемые нами в отношении хранения персональных данных
2.1. Технические меры
Мы создаём технические инфраструктуры и механизмы контроля для удаления, уничтожения и
анонимизации персональных данных, принимаем необходимые меры для безопасного хранения
персональных данных и устанавливаем системы безопасности в соответствии с технологическими
разработками в отношении мест хранения персональных данных.
2.2. Организационные меры
16
Мы информируем и повышаем осведомлённость наших сотрудников о технических и
организационных рисках, связанных с хранением персональных данных, проводим обучение, и в
случае сотрудничества с третьими лицами в отношении хранения персональных данных включаем
в договоры с компаниями, которым передаются персональные данные, положения о принятии
необходимых мер безопасности для защиты и безопасного хранения переданных персональных
данных.
H. УДАЛЕНИЕ, УНИЧТОЖЕНИЕ ИЛИ АНОНИМИЗАЦИЯ ПЕРСОНАЛЬНЫХ
ДАННЫХ
Персональные данные, собранные в рамках наших целей обработки, обрабатываются и
хранятся в рамках наших целей обработки и положений действующего законодательства.
Персональные данные удаляются, уничтожаются или анонимизируются при полном
прекращении наших целей обработки или по запросу Заинтересованного лица. Указанные
процессы удаления, уничтожения и анонимизации осуществляются в рамках «Политики хранения и
уничтожения KVKK Ephesus Hotel» при условии сохранения положений соответствующего
законодательства.
При удалении, уничтожении или анонимизации ваших персональных данных принимаются
меры безопасности, указанные в настоящей Политике. Записи о проведённых операциях по
удалению, уничтожению или анонимизации персональных данных хранятся не менее 10 лет, без
ущерба для других положений закона и законодательства. Если иное не указано Управлением по
защите персональных данных, Ephesus Hotel выбирает подходящий способ среди методов
удаления, уничтожения или анонимизации персональных данных. По запросу Заинтересованного
лица подходящий способ выбирается с обоснованием причины.
I. ПРАВА ЗАИНТЕРЕСОВАННОГО ЛИЦА В ОТНОШЕНИИ НАШЕЙ КОМПАНИИ
В нашей Компании в соответствии со статьёй 11 KVKK № 6698 регулируются права физических
лиц, чьи персональные данные обрабатываются, и согласно этой статье заинтересованные лица
имеют в нашей Компании следующие права:
- узнать, обрабатываются ли его персональные данные,
- если персональные данные обработаны, запросить информацию об этом,
- узнать цель обработки персональных данных и используются ли они в соответствии с целью,
- знать третьих лиц внутри страны, которым переданы персональные данные,
- требовать исправления персональных данных в случае их неполной или неверной обработки,
- требовать удаления или уничтожения данных в случае отпадения причин, требующих
обработки персональных данных,
- требовать уведомления третьих лиц, которым переданы персональные данные, о действиях
исправления и удаления,
- требовать возмещения ущерба в случае возникновения ущерба в связи с обработкой
персональных данных в нарушение закона.
Запросы заинтересованных лиц на реализацию одного из вышеуказанных прав будут
удовлетворены Компанией не позднее 30 дней.
Эти запросы можно передать через каналы связи нашей Компании или через специально
подготовленный нами эксклюзивный Бланк запроса субъекта данных; указанными методами. Эти
17
методы:
- отправка Бланка запроса субъекта данных, имеющегося на нашем сайте, с подписью и копией
удостоверения личности по адресу «Mesih Paşa, Aksaray Cad. No:24, 34130 Fatih/İstanbul»,
- личное обращение с действительным удостоверением личности по адресу коммерческого
центра нашей Компании «Mesih Paşa, Aksaray Cad. No:24, 34130 Fatih/İstanbul»,
Ваши запросы о правах, связанные с вашими персональными данными, оцениваются и
отвечаются не позднее 30 дней с даты их поступления к нам. В случае отрицательной оценки
вашего обращения обоснованные причины отказа направляются по электронной почте или почте
по адресу, указанному в обращении.
Согласно Сообщению о порядке и принципах обращения к оператору, в обращении
заинтересованного лица обязательно должны быть указаны имя, фамилия, подпись в случае
письменного обращения, номер удостоверения ТР, (в случае если лицо иностранец — номер
паспорта), место жительства или адрес рабочего места для уведомлений, при наличии адрес
электронной почты для уведомлений, номер телефона и номер факса, а также сведения о
предмете запроса.
Заинтересованное лицо должно в обращении, содержащем пояснения о праве, которое оно
желает реализовать, чётко и понятно указать запрашиваемый предмет. Информация и документы,
относящиеся к обращению, должны прилагаться к обращению.
Предмет запроса должен относиться лично к заявителю; если действия осуществляются от
имени другого лица, то заявитель должен быть специально уполномочен на это и эти полномочия
должны быть документально подтверждены (специальная доверенность). Кроме того, обращение
должно содержать идентификационные и адресные данные, а к обращению должны прилагаться
документы, подтверждающие личность.
Запросы, поданные неуполномоченными третьими лицами от имени другого лица, не
рассматриваются.
Наше право отклонить запрос:
Запросы, связанные с персональными данными, могут быть отклонены в следующих случаях,
не ограничиваясь ими:
- обработка персональных данных в целях, таких как исследование, планирование и статистика,
путём их анонимизации с помощью официальной статистики,
- обработка персональных данных в целях искусства, истории, литературы или научных целях
или в рамках свободы выражения мнений при условии, что они не нарушают тайну частной
жизни Заинтересованного лица или его личных прав и не образуют состава преступления,
- обработка персональных данных, обнародованных Заинтересованным лицом,
- отсутствие у обращения обоснованной причины,
- наличие в обращении требования, противоречащего соответствующему законодательству,
- несоблюдение порядка обращения.
J. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ
Ephesus Hotel придаёт большое значение защите конфиденциальности и безопасности
персональных данных. В этом направлении принимаются необходимые технические и
организационные меры безопасности для защиты персональных данных от несанкционированного
18
доступа, ущерба, потери или разглашения. В этом направлении в соответствии со статьёй 12
Закона применяются необходимый контроль системного доступа, контроль доступа к данным,
контроль безопасной передачи, контроль непрерывности бизнеса и иные необходимые
корпоративные средства контроля для предотвращения обработки обрабатываемых персональных
данных в нарушение закона, предотвращения незаконного доступа к данным и обеспечения их
сохранения.
Принимаемые нами организационные и технические меры в целом следующие:
✓ Обеспечивается безопасность сети и приложений.
✓ Принимаются меры безопасности при закупке, разработке и обслуживании ИТ-систем.
✓ Обеспечивается безопасность персональных данных, хранящихся в облаке.
✓ Действуют дисциплинарные положения, содержащие нормы по безопасности данных для
сотрудников.
✓ Для сотрудников регулярно проводятся обучение и мероприятия по повышению
осведомлённости о безопасности данных.
✓ Используется программное обеспечение для предотвращения потери данных (DLP).
✓ Помимо использования надёжных паролей, обеспечивается их регулярная смена.
✓ Для безопасности удалённого подключения используется метод с самым высоким уровнем
шифрования и безопасности.
✓ Регулярно отслеживается наличие уязвимостей безопасности, устанавливаются
соответствующие исправления безопасности.
✓ Журналы доступа ведутся регулярно.
✓ Подготовлены и применяются корпоративные политики по доступу, информационной
безопасности, использованию, хранению и уничтожению.
✓ При необходимости применяются меры маскирования данных.
✓ Заключаются соглашения о конфиденциальности.
✓ Полномочия сотрудников в этой области отзываются при изменении должности или
увольнении.
✓ Используются актуальные антивирусные системы.
✓ Используются межсетевые экраны.
✓ Подписанные договоры содержат положения о безопасности данных.
✓ Определены политики и процедуры безопасности персональных данных.
✓ Проблемы безопасности персональных данных оперативно сообщаются.
✓ Осуществляется мониторинг безопасности персональных данных.
✓ Принимаются необходимые меры безопасности при входе и выходе в физические среды,
содержащие персональные данные.
✓ Обеспечивается безопасность физических сред, содержащих персональные данные, от
внешних рисков (пожар, наводнение и т. п.).
✓ Обеспечивается безопасность сред, содержащих персональные данные.
✓ Персональные данные сокращаются насколько это возможно.
✓ Персональные данные резервируются, обеспечивается также безопасность резервных копий.
✓ Применяется и контролируется система управления учётными записями пользователей и
контроля полномочий.
19
✓ Проводятся и заказываются внутренние периодические и/или случайные проверки.
✓ Журналы ведутся таким образом, чтобы исключить вмешательство пользователей.
✓ Определены существующие риски и угрозы.
Несмотря на все принятые меры, в случае выявления нарушения данных об этом будет
сообщено соответствующим субъектам персональных данных и Учреждению Турецкой Республики
по защите персональных данных и в кратчайшие сроки будет обнародовано.
K. УВЕДОМЛЕНИЕ О ЗАЩИТЕ ДАННЫХ И ЯВНЫЕ СОГЛАСИЯ
Ephesus Hotel подготовил отдельные уведомления для каждой группы субъектов данных и
разместил их в физических и виртуальных средах так, чтобы заинтересованные лица могли
получить к ним доступ. Уведомления, подготовленные Компанией, адресованы:
➢ Сотрудникам/Кандидатам на трудоустройство (включая стажёров)
➢ Деловым партнёрам/Поставщикам/Дилерам/Посредникам (включая потенциальных)
➢ Клиентам, которые будут размещены, и клиентам, которые будут приобретать наши другие
продукты и услуги (включая потенциальных)
➢ Посетителям
L. КОМИТЕТ KVKK EPHESUS HOTEL, РОЛЬ И ОТВЕТСТВЕННОСТЬ КОМИТЕТА
1. Комитет KVKK Ephesus Hotel
Как Ephesus Hotel, Комитет KVKK, который будет создан в Компании, будет состоять из 1
председателя и достаточного количества членов.
2. Роль и ответственность комитета
2.1. Надзор
Подразделение Генерального управления отвечает за определение и функционирование
механизмов уведомления, рассмотрения и применения санкций в случае несоблюдения настоящей
Политики, правил и положений, а также за вышестоящий надзор за их функционированием.
2.2. Утверждение
Настоящая Политика утверждена Комитетом KVK Ephesus Hotel, и Комитет KVK является
уполномоченным органом для утверждения создания, применения и при необходимости
обновления Политики. Комитет KVK отвечает за принятие необходимых мер для обеспечения
соблюдения Политики сотрудниками, участвующими в деятельности, за которую он несёт
ответственность, а также внешними сервисными компаниями, рассмотрение вопросов с целью
выявления нарушений Политики и их передачу подразделению «Надзор».
2.3. Обновление
Подготовка, разработка, исполнение и обновление настоящей Политики являются
обязанностью Генерального управления. Оно при необходимости оценивает данную Политику с
точки зрения актуальности и необходимости развития.
2.4. Распространение
20
Внутреннее распространение подготовленного документа является обязанностью
подразделения Генерального управления.
2.5. Информирование
В рамках настоящей Политики публикация подготовленного документа в системе интранет
является обязанностью подразделения Генерального управления.
M. ПУБЛИКАЦИЯ, ХРАНЕНИЕ, ВСТУПЛЕНИЕ В СИЛУ И ОБНОВЛЕНИЕ
ПОЛИТИКИ
1. Публикация и хранение Политики
Настоящая Политика вступает в силу с одобрения Комитета KVK Ephesus Hotel.
Настоящая Политика хранится в двух разных средах: на печатной бумаге и в электронной
форме. На веб-странице Компании размещена текущая версия документов.
2. Вступление Политики в силу
Настоящая Политика считается вступившей в силу после её публикации на веб-сайте
Компании. В случае принятия решения об отмене настоящей Политики старые экземпляры
Политики аннулируются Генеральным управлением и хранятся в течение 5 лет.
3. Обновление Политики
Настоящая Политика без какого-либо уведомления пересматривается не реже одного раза в
год и при необходимости обновляется в рамках принципов, определённых в Процедуре управления
документацией. По этой причине рекомендуется периодически пересматривать настоящую
Политику.
Дата первой публикации: 3.11.2025
Обновления: 28 апреля 2026
Последнее обновление: 28 апреля 2026
Примечание: Это русский перевод турецкого оригинала. В случае разночтений или юридических споров
приоритет имеет турецкая оригинальная версия.