व्यक्तिगत डेटा संरक्षण और प्रसंस्करण नीति

यह अनुवाद केवल जानकारी के लिए है; क़ानूनी रूप से बाध्यकारी पाठ तुर्की भाषा का मूल पाठ है। तुर्की मूल पाठ

संक्षेप में: यह नीति बताती है कि SHE VEC A.Ş. किन सिद्धांतों के आधार पर व्यक्तिगत डेटा को प्रोसेस, हस्तांतरित, संग्रहीत और सुरक्षित करती है; यह ग्राहकों, आगंतुकों, व्यावसायिक साझेदारों, कर्मचारियों और नौकरी के उम्मीदवारों सहित हर उस व्यक्ति पर लागू होती है जिसका डेटा प्रोसेस किया जाता है। आपके लिए विस्तृत जानकारी गोपनीयता सूचना में दी गई है।

1. उद्देश्य और दायरा

यह नीति SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş. (“कंपनी”) द्वारा की जाने वाली व्यक्तिगत डेटा प्रसंस्करण गतिविधियों को तुर्की के व्यक्तिगत डेटा संरक्षण क़ानून संख्या 6698 (“क़ानून”) और संबंधित क़ानूनी प्रावधानों के अनुरूप सुनिश्चित करने के उद्देश्य से तैयार की गई है।

यह नीति ग्राहकों, संभावित ग्राहकों, आगंतुकों, आपूर्तिकर्ताओं और व्यावसायिक साझेदारों के अधिकृत प्रतिनिधियों, नौकरी के उम्मीदवारों और कर्मचारियों सहित उन सभी प्राकृतिक व्यक्तियों पर लागू होती है जिनका व्यक्तिगत डेटा कंपनी द्वारा प्रोसेस किया जाता है। नीति और क़ानूनी प्रावधानों के बीच कोई असंगति होने पर क़ानूनी प्रावधान लागू होते हैं।

2. परिभाषाएं

• व्यक्तिगत डेटा: किसी पहचाने गए या पहचाने जा सकने वाले प्राकृतिक व्यक्ति से संबंधित हर प्रकार की जानकारी।
• विशेष श्रेणी का व्यक्तिगत डेटा (özel nitelikli kişisel veri): नस्ल, जातीय मूल, राजनीतिक विचार, दार्शनिक विश्वास, धर्म, संप्रदाय, पहनावा और वेशभूषा, संघ, न्यास या ट्रेड यूनियन की सदस्यता, स्वास्थ्य, यौन जीवन, आपराधिक दोषसिद्धि और सुरक्षा उपायों से जुड़ा डेटा, तथा बायोमेट्रिक और आनुवंशिक डेटा।
• संबंधित व्यक्ति (ilgili kişi): वह प्राकृतिक व्यक्ति जिसका व्यक्तिगत डेटा प्रोसेस किया जाता है।
• डेटा नियंत्रक (veri sorumlusu): वह व्यक्ति जो व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्य और साधन निर्धारित करता है और डेटा रिकॉर्डिंग प्रणाली की स्थापना और प्रबंधन के लिए ज़िम्मेदार है।
• डेटा प्रोसेसर (डेटा संसाधक, veri işleyen): वह व्यक्ति जो डेटा नियंत्रक द्वारा दिए गए अधिकार के आधार पर उसकी ओर से व्यक्तिगत डेटा प्रोसेस करता है।
• निपटान (imha): व्यक्तिगत डेटा को मिटाना, नष्ट करना या अनाम बनाना।

3. व्यक्तिगत डेटा के प्रसंस्करण में अपनाए गए सिद्धांत

कंपनी क़ानून के अनुच्छेद 4 में निर्धारित सिद्धांतों के अनुसार कार्य करती है:

1. क़ानून और सद्भावना के नियमों के अनुरूप होना: डेटा केवल वैध और क़ानून-सम्मत तरीक़ों से एकत्र किया जाता है।
2. सटीक और आवश्यकता होने पर अद्यतन होना: संबंधित व्यक्ति के अनुरोध पर डेटा बिना देरी के सुधारा जाता है।
3. निर्दिष्ट, स्पष्ट और वैध उद्देश्यों के लिए प्रसंस्करण: प्रसंस्करण का उद्देश्य पहले से निर्धारित किया जाता है और सूचना देने का दायित्व पूरा किया जाता है।
4. उद्देश्य से जुड़ा, सीमित और आनुपातिक होना: उद्देश्य की आवश्यकता से अधिक डेटा एकत्र नहीं किया जाता; जिस डेटा की ज़रूरत नहीं है, वह मांगा नहीं जाता।
5. क़ानून में निर्धारित या प्रसंस्करण के उद्देश्य के लिए आवश्यक अवधि तक संग्रहण: अवधि समाप्त होने पर डेटा का निपटान किया जाता है।

4. प्रसंस्करण की शर्तें

नियम के रूप में व्यक्तिगत डेटा संबंधित व्यक्ति की स्पष्ट सहमति से प्रोसेस किया जाता है। क़ानून के अनुच्छेद 5/2 में सूचीबद्ध शर्तों में से किसी एक के मौजूद होने पर स्पष्ट सहमति के बिना भी प्रसंस्करण किया जा सकता है: क़ानूनों में स्पष्ट रूप से प्रावधान होना; वास्तविक असंभवता; अनुबंध के संपन्न होने या निष्पादन से प्रत्यक्ष रूप से संबंधित होना; डेटा नियंत्रक का क़ानूनी दायित्व; संबंधित व्यक्ति द्वारा स्वयं सार्वजनिक किया गया होना; किसी अधिकार की स्थापना, उपयोग या संरक्षण; संबंधित व्यक्ति के मौलिक अधिकारों और स्वतंत्रताओं को नुक़सान न पहुंचाने की शर्त पर वैध हित।

विशेष श्रेणी का व्यक्तिगत डेटा केवल क़ानून के अनुच्छेद 6 के तीसरे उप-अनुच्छेद में सूचीबद्ध शर्तों में से किसी एक के मौजूद होने पर और व्यक्तिगत डेटा संरक्षण बोर्ड (Kişisel Verileri Koruma Kurulu) द्वारा निर्धारित पर्याप्त उपाय अपनाकर प्रोसेस किया जाता है। कंपनी अपनी गतिविधियों में विशेष श्रेणी का व्यक्तिगत डेटा एकत्र न करने को सिद्धांत के रूप में अपनाती है; ऐसा डेटा केवल अनचाहे प्रभाव की सूचनाओं (कॉस्मेटोविजिलेंस) में और कर्मचारियों से जुड़े क़ानूनी प्रावधानों से उत्पन्न स्थितियों में प्रोसेस किया जा सकता है।

5. सूचना देने का दायित्व और स्पष्ट सहमति

कंपनी व्यक्तिगत डेटा प्राप्त करते समय क़ानून के अनुच्छेद 10 के अनुसार संबंधित व्यक्तियों को सूचित करती है। यह सूचना वेबसाइट पर उपलब्ध गोपनीयता सूचना, ऑर्डर और सदस्यता स्क्रीन पर दी गई जानकारी तथा अनुबंध के पाठों के माध्यम से दी जाती है।

जिन गतिविधियों के लिए स्पष्ट सहमति आवश्यक है, उनमें सहमति किसी विशिष्ट विषय से संबंधित, जानकारी पर आधारित और स्वतंत्र इच्छा से व्यक्त रूप में, एक अलग स्वीकृति बॉक्स के माध्यम से ली जाती है। गोपनीयता सूचना और स्पष्ट सहमति का पाठ अलग-अलग शीर्षकों के तहत अलग पाठों के रूप में तैयार किए जाते हैं; गोपनीयता सूचना के लिए संबंधित व्यक्ति से केवल यह पुष्टि ली जा सकती है कि उसने पाठ पढ़ लिया है और जानकारी प्राप्त कर ली है, स्वीकृति नहीं मांगी जाती। सहमति को सेवा प्रदान करने की पूर्व-शर्त के रूप में थोपा नहीं जाता। संबंधित व्यक्ति किसी भी समय अपनी सहमति वापस ले सकता है।

6. व्यक्तिगत डेटा का हस्तांतरण

व्यक्तिगत डेटा क़ानून के अनुच्छेद 8 की शर्तों के अनुसार, केवल प्रसंस्करण के उद्देश्य के लिए आवश्यक सीमा तक और आवश्यक अनुबंध संबंधी सुरक्षा-उपाय अपनाकर कूरियर कंपनियों, भुगतान संस्थाओं, आईटी और इन्फ़्रास्ट्रक्चर प्रदाताओं, सलाहकारों तथा अधिकृत सार्वजनिक संस्थाओं और संगठनों को हस्तांतरित किया जा सकता है।

तुर्की के बाहर हस्तांतरण क़ानून के अनुच्छेद 9 के अंतर्गत, सबसे पहले पर्याप्तता निर्णय के मौजूद होने पर, या मानक अनुबंध, लिखित वचनपत्र अथवा बाध्यकारी कॉर्पोरेट नियमों जैसे उपयुक्त सुरक्षा-उपाय सुनिश्चित करके किया जाता है। निरंतर प्रकृति के हस्तांतरण स्पष्ट सहमति पर आधारित नहीं किए जाते; स्पष्ट सहमति को केवल क़ानून में बताए गए कभी-कभार होने वाले (आकस्मिक) हस्तांतरण की स्थितियों में आधार बनाया जा सकता है। बोर्ड ने अभी तक किसी भी देश के लिए पर्याप्तता निर्णय नहीं दिया है। तुर्की के बाहर निरंतर प्रकृति के हस्तांतरणों (जैसे ई-कॉमर्स इन्फ़्रास्ट्रक्चर) में उपयुक्त सुरक्षा-उपाय के रूप में बोर्ड द्वारा प्रकाशित मानक अनुबंध का उपयोग किए जाने पर अनुबंध के पाठ में कोई बदलाव नहीं किया जाता, और हस्ताक्षर पूरे होने से 5 कार्यदिवसों के भीतर अनुबंध की सूचना व्यक्तिगत डेटा संरक्षण प्राधिकरण (Kişisel Verileri Koruma Kurumu) को दी जाती है। डेटा प्रोसेसर की भूमिका वाले आपूर्तिकर्ताओं के साथ डेटा प्रसंस्करण अनुबंध किए जाते हैं।

7. संग्रहण और निपटान

व्यक्तिगत डेटा उस उद्देश्य के लिए आवश्यक अवधि तक, जिसके लिए वह प्रोसेस किया जाता है, और क़ानून में निर्धारित परिसीमा तथा संग्रहण अवधियों को ध्यान में रखकर सुरक्षित रखा जाता है। जिस डेटा की संग्रहण अवधि समाप्त हो चुकी है, उसे आवधिक निपटान के समय या संबंधित व्यक्ति के अनुरोध पर मिटा दिया जाता है, नष्ट कर दिया जाता है या अनाम बना दिया जाता है। निपटान की प्रक्रियाओं का रिकॉर्ड रखा जाता है।

8. डेटा सुरक्षा से जुड़े उपाय

8.1. तकनीकी उपाय

• नेटवर्क और एप्लिकेशन सुरक्षा सुनिश्चित करना, अद्यतन सुरक्षा सॉफ़्टवेयर का उपयोग,
• डेटा को एन्क्रिप्टेड रूप में भेजना (SSL/TLS) और महत्वपूर्ण डेटा को एन्क्रिप्ट करके संग्रहीत करना,
• अधिकार मैट्रिक्स पर आधारित एक्सेस नियंत्रण, उपयोगकर्ता-स्तर पर अधिकार देना और लॉग रिकॉर्ड रखना,
• नियमित बैकअप, अपडेट और कमज़ोरियों (वल्नरेबिलिटी) की निगरानी,
• सिस्टम तक पहुंच में मज़बूत पासवर्ड नीति लागू करना।

8.2. प्रशासनिक उपाय

• व्यक्तिगत डेटा की सूची (इन्वेंटरी) तैयार करना और उसे अद्यतन रखना,
• कर्मचारियों के लिए जागरूकता प्रशिक्षण और गोपनीयता वचनपत्र,
• आपूर्तिकर्ताओं और व्यावसायिक साझेदारों के साथ डेटा प्रसंस्करण और गोपनीयता अनुबंधों पर हस्ताक्षर,
• निपटान नीति के अनुसार आवधिक जांच करना,
• डेटा उल्लंघन की स्थिति में अपनाई जाने वाली प्रतिक्रिया प्रक्रिया का निर्धारण।

9. डेटा उल्लंघन की सूचना

यदि यह पता चलता है कि प्रोसेस किया गया व्यक्तिगत डेटा अवैध तरीक़ों से दूसरों द्वारा प्राप्त कर लिया गया है, तो इसकी सूचना जल्द से जल्द और 72 घंटे से अधिक समय बीतने से पहले व्यक्तिगत डेटा संरक्षण बोर्ड को, तथा प्रभावित संबंधित व्यक्तियों को उल्लंघन से प्रभावित व्यक्तियों की पहचान होने के बाद यथाशीघ्र उचित समय में दी जाती है। डेटा प्रोसेसरों के साथ किए गए अनुबंधों में यह शर्त शामिल होती है कि उल्लंघन की सूचना कंपनी को बिना देरी के दी जाए।

10. संबंधित व्यक्ति के अधिकार और आवेदन

संबंधित व्यक्ति क़ानून के अनुच्छेद 11 में सूचीबद्ध अपने अधिकारों का उपयोग करने के लिए कंपनी को आवेदन कर सकते हैं। आवेदन के तरीक़े और प्रक्रियाएं गोपनीयता सूचना में विस्तार से दी गई हैं। आवेदनों का निपटारा अधिकतम 30 दिनों के भीतर निःशुल्क किया जाता है; उत्तर लिखित रूप में या इलेक्ट्रॉनिक माध्यम से दिया जाता है और अस्वीकृति कारण सहित बताई जाती है।

11. VERBİS पंजीकरण

कंपनी डेटा नियंत्रक रजिस्ट्री सूचना प्रणाली (Veri Sorumluları Sicil Bilgi Sistemi, VERBİS) में पंजीकरण के अपने दायित्व का हर वर्ष मूल्यांकन व्यक्तिगत डेटा संरक्षण बोर्ड द्वारा निर्धारित छूट मानदंडों के अंतर्गत करती है (इस नीति के अद्यतन की तिथि पर: वे डेटा नियंत्रक जिनके वार्षिक कर्मचारियों की संख्या 50 से कम है, वार्षिक बैलेंस शीट का कुल योग 100 मिलियन TL से कम है और जिनका मुख्य कार्यक्षेत्र विशेष श्रेणी के व्यक्तिगत डेटा का प्रसंस्करण नहीं है)। सीमाएं पार होने पर पंजीकरण कराया जाता है और रजिस्ट्री की जानकारी अद्यतन रखी जाती है।

12. नीति का अद्यतन

यह नीति क़ानूनी बदलावों और कंपनी की प्रक्रियाओं में होने वाले अपडेट के अनुसार संशोधित की जा सकती है। अद्यतन संस्करण लागू होने की तिथि के साथ www.shevec.com पर प्रकाशित किया जाता है।

13. संपर्क

SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş.
पता: Alaaddinbey Mah. 615. Sk. Ünlü Plaza 2 No: 2B, İç Kapı No: 1, Nilüfer / Bursa, तुर्की
ईमेल: destek@shevec.com
फ़ोन: +90 850 304 08 32
KEP (पंजीकृत इलेक्ट्रॉनिक मेल): shevecsaglik@hs01.kep.tr
MERSİS संख्या (केंद्रीय रजिस्ट्री संख्या): 0769189526800001

अंतिम अपडेट: 5 अक्टूबर 2026