法律信息

个人数据保护与处理政策

本译文仅供参考，具有法律约束力的为土耳其语原文。土耳其语原文

摘要：本政策说明 SHE VEC A.Ş. 处理、转移、保存和保护个人数据所遵循的原则；适用于数据被处理的所有人，包括客户、访客、业务合作伙伴、员工及求职者。针对您的详细告知载于《个人信息告知书》。

1. 目的与范围

本政策旨在确保 SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş.（以下简称“本公司”）开展的个人数据处理活动符合土耳其第 6698 号《个人数据保护法》（以下简称“该法”）及相关法规的规定。

本政策适用于其个人数据由本公司处理的所有自然人，包括客户、潜在客户、访客、供应商及业务合作伙伴的授权代表、求职者和员工。如本政策与法规之间存在不一致，适用法规的规定。

2. 定义

  • 个人数据：与已识别或可识别的自然人有关的任何信息。
  • 特殊类别个人数据：种族、民族、政治观点、哲学信仰、宗教、教派、着装、社团/基金会/工会成员身份、健康、性生活、刑事定罪及保安处分相关数据，以及生物识别数据和基因数据。
  • 数据主体：其个人数据被处理的自然人。
  • 数据控制者：确定个人数据处理目的和手段，并负责建立和管理数据存档系统的人。
  • 数据处理者（受托处理者）：根据数据控制者的授权，代表其处理个人数据的人。
  • 销毁（imha）：指对个人数据进行删除、销毁或匿名化。

3. 处理个人数据所遵循的原则

本公司遵循该法第 4 条规定的原则：

  1. 合法并符合诚实信用原则：仅通过正当、合法的方式收集数据。
  2. 准确并在必要时保持最新：应数据主体的要求，立即更正数据。
  3. 为特定、明确和正当的目的进行处理：事先确定处理目的，并履行告知义务。
  4. 与目的相关、有限且适度：不收集超出目的所需的数据；不要求提供不需要的数据。
  5. 在法规规定或处理目的所需的期限内保存：期限届满后，数据将被销毁。

4. 处理条件

原则上，个人数据经数据主体明示同意后处理。如存在该法第 5 条第 2 款所列条件之一，可在未征得明示同意的情况下进行处理：法律明确规定；事实上不能；与合同的订立或履行直接相关；数据控制者的法定义务；数据已由数据主体本人公开；设立、行使或保护某项权利；在不损害数据主体基本权利和自由的前提下的正当利益。

特殊类别个人数据仅在存在该法第 6 条第三款所列条件之一，且已采取个人数据保护委员会确定的充分措施的情况下进行处理。本公司在其业务活动中以不收集特殊类别个人数据为原则；此类数据仅可在不良反应报告（化妆品不良反应监测）以及因员工相关法规而产生的情形中处理。

5. 告知义务与明示同意

本公司在获取个人数据时，依据该法第 10 条告知数据主体。告知通过网站上的《个人信息告知书》、订单和会员界面中的说明以及合同文本进行。

对于需要明示同意的活动，同意通过单独的勾选框获取，且须针对特定事项、基于告知并出于自由意志作出。告知书与明示同意书作为不同标题下的独立文本分别编制；对于告知书，仅可要求数据主体反馈其已阅读并知悉文本内容，而不要求其表示同意。同意不得被强加为提供服务的前提条件。数据主体可随时撤回其同意。

6. 个人数据的转移

个人数据可依照该法第 8 条规定的条件，仅在处理目的所需的范围内，并在采取必要的合同保障措施后，转移给快递公司、支付机构、信息技术及基础设施服务提供商、顾问以及有权公共机构和组织。

向土耳其境外转移依照该法第 9 条进行，首先以存在充分性决定，或提供标准合同、承诺书或有约束力的公司规则等适当保障为前提。具有持续性的转移不以明示同意为依据；明示同意仅可在该法规定的偶发性转移情形下作为依据。委员会尚未就任何国家作出充分性决定。在具有持续性的境外转移中（例如电子商务基础设施），如使用委员会公布的标准合同作为适当保障，则不得修改合同文本，并须自签署完成之日起 5 个工作日内将合同报送个人数据保护局。与作为数据处理者的供应商签订数据处理协议。

7. 保存与销毁

个人数据的保存以处理目的所需的期间为准，并考虑法规规定的时效和保存期限。保存期限届满的数据，将在定期销毁周期内或应数据主体的要求予以删除、销毁或匿名化。销毁操作均予以记录。

8. 数据安全措施

8.1. 技术措施

  • 保障网络及应用程序安全，使用最新的安全软件；
  • 以加密方式传输数据（SSL/TLS），并以加密方式存储关键数据；
  • 基于权限矩阵的访问控制、按用户授权及保存日志记录；
  • 定期备份、更新及漏洞监控；
  • 对系统访问实行强密码策略。

8.2. 管理措施

  • 建立并持续更新个人数据清单；
  • 对员工开展意识培训并签署保密承诺书；
  • 与供应商及业务合作伙伴签署数据处理及保密协议；
  • 依照销毁政策进行定期检查；
  • 制定数据泄露事件的应对程序。

9. 数据泄露通知

如发现所处理的个人数据被他人以非法方式获取，将尽快且在不超过 72 小时内通知个人数据保护委员会，并在确定受泄露影响的人员后，在最短的合理期限内通知受影响的数据主体。与数据处理者签订的合同中均载有须立即将泄露事件通知本公司的条款。

10. 数据主体的权利与申请

数据主体可向本公司提出申请，以行使该法第 11 条所列的权利。申请方式和流程详见《个人信息告知书》。申请最迟在 30 天内免费处理完毕；答复以书面或电子方式作出，拒绝时将说明理由。

11. VERBİS 登记

本公司每年依据个人数据保护委员会确定的豁免标准（截至本政策更新之日：年度员工人数少于 50 人、年度资产负债表总额低于 1 亿 TL，且主要业务不是处理特殊类别个人数据的数据控制者），评估其在数据控制者登记信息系统（VERBİS）进行登记的义务。如超过上述门槛，将进行登记并保持登记信息为最新。

12. 本政策的更新

本政策可能根据法规变化及本公司流程的更新而修订。最新版本将注明生效日期后在 www.shevec.com 上发布。

13. 联系方式

SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş.
地址：Alaaddinbey Mah. 615. Sk. Ünlü Plaza 2 No: 2B, İç Kapı No: 1, Nilüfer / Bursa，土耳其
电子邮箱：destek@shevec.com
电话：+90 850 304 08 32
KEP（注册电子邮件）：shevecsaglik@hs01.kep.tr
MERSİS 编号（中央登记号）：0769189526800001

最后更新：2026 年 10 月 5 日