Bir veri denetleyicisi olarak Grand Hotels Management and Marketing Ltd, kişisel bilgilerinizi işlerken sizi nelerin beklediğini bildirmekle yükümlüdür.

Bilgi işlemede şeffaflık

I. Gizlilik Politikası Beyanı

1. Grand Hotels Management & Marketing Ltd yönetimi, Genel Veri Koruma Yönetmeliği (Yönetmelik (AB) 2016/679) uyarınca kişisel verilerin işlenmesi ve Grand Hotels Management & Marketing Ltd’nin kişisel verilerini topladığı ve işlediği bireylerin “hak ve özgürlüklerinin” korunmasına ilişkin AB ve Üye Devlet mevzuatına uymayı taahhüt eder.
2. Genel Yönetmelik uyarınca, ilgili diğer belgeler ve ilgili süreç ve prosedürler bu politikada açıklanmaktadır.
3. Bu politika, müşterilerin, çalışanların, tedarikçilerin ve ortakların kişisel verileri ve Grand Hotels Management and Marketing Ltd kuruluşunun çeşitli kaynaklardan işlediği diğer kişisel verilerle ilgili olarak yürütülenler de dahil olmak üzere tüm kişisel veri işleme faaliyetleri için geçerlidir.
4. Kontrolör, işleme faaliyetlerine ilişkin bir kayıt(lar) tutacaktır. Kayıt(lar)ı muhafaza etmek üzere bir Veri Koruma Görevlisi/Veri Koruma Yetkilisinin görevlendirildiği hallerde, Grand Hotels Management and Marketing Ltd’nin faaliyetlerine ilişkin her türlü değişikliğin söz konusu kayıt(lar)a girilmesinden ve veri koruma etki değerlendirmeleri de dahil olmak üzere diğer ek gerekliliklerden sorumlu olacaktır. Bu kayıt, talep üzerine denetim makamına sunulmalıdır.
5. Bu politika, Grand Hotels Management and Marketing Ltd’nin tüm çalışanları/işçileri (ve paydaşları) ile işlemcileri ve onların personeli için geçerlidir. Genel Düzenlemelerin herhangi bir şekilde ihlal edilmesi, istihdam disiplininin ihlali olarak değerlendirilecek ve cezai bir suç iddiası olması durumunda, konu mümkün olan en kısa sürede değerlendirilmek üzere ilgili devlet makamlarına iletilecektir.
6. Ortaklar, dış tedarikçiler, müşteriler vb. dahil olmak üzere Grand Hotels Management and Marketing Ltd ile veya onun için çalışan ve kontrolörün kişisel verilerine erişimi olan veya olabilecek üçüncü tarafların bu politikayı okuması ve buna uyması gerekmektedir. Kontrolörün, kendisi tarafından işlenen kişisel verilere erişim izni verdiği herhangi bir üçüncü tarafla, işleme AB veya Üye Devlet yasaları tarafından gerekli kılınmadığı sürece, Grand Hotels Management & Marketing Ltd’ye sözleşmenin getirdiği yükümlülüklere uygunluk konusunda kontroller yapma hakkı veren bir veri gizliliği sözleşmesi imzalaması gerekmektedir.

II. (AB) 2016/679 sayılı Tüzük kapsamındaki yükümlülükler ve sorumluluklar

1. Grand Hotels Management and Marketing Ltd, 2016/679 sayılı Tüzük (AB) kapsamında bir veri denetleyicisidir ve Grand Hotels Management and Marketing Ltd’de iyi veri işleme uygulamalarının geliştirilmesi ve teşvik edilmesinden sorumlu olmak da dahil olmak üzere GDPR gerekliliklerine uyulmamasının tüm sorumluluğunu ve risklerini taşımaktadır.
2. Kişisel veri işleyicisi, kontrolörün organizasyonu dışında, kontrolör adına kişisel verileri doğrudan işleyen herhangi bir kişidir – tüm bilgileri depolar, dijitalleştirir, kataloglar, vb.
3. Veri koruma görevlisi veya bir iş tanımı veya görevlendirme uyarınca kişisel verilerin korunmasına ilişkin görevleri yürüten kişi (veri koruma görevlisi/sorumlu kişi) veri koruma konularının görüşüldüğü kontrolör yönetimi toplantılarına katılır ve kontrolöre veri koruma mevzuatı ve iyi uygulamalara uyum göstermesi için tavsiyelerde bulunur.

DPO’ya yapılan bu raporlama şunları içerir:

• Bu politikanın gerektirdiği şekilde 2016/679 sayılı YÖNETMELİK (AB) gerekliliklerini geliştirmek ve uygulamak;
• politika uyumluluğu ile ilgili olarak güvenlik ve risk yönetimi.
• Uygun, nitelikli ve deneyimli olması gereken veri koruma görevlisi, kontrolörün yönetim organı tarafından seçilir (yapısına ve yasal şekline bağlı olarak). Veri koruma görevlisi, bu politikanın uygulanmasının izlenmesi de dahil olmak üzere, sözleşmeden doğan yükümlülüklerine uygun olarak ve GDPR’nin gerektirdiği şekilde, GDPR’nin ve diğer yerel ve Avrupa veri koruma mevzuatının uygulanması konusunda kontrolöre tavsiyelerde bulunacak ve bilgi verecektir.
• Veri Koruma Görevlisinin GDPR kapsamında özel görevleri de vardır – veri koruma uyumluluğunun herhangi bir yönü hakkında açıklama isteyen kontrolör çalışanları için irtibat noktasıdır. Veri Koruma Görevlisi aynı zamanda denetim makamının irtibat kişisidir.
• Veri koruma mevzuatına uyum, veri sorumlusunun kişisel verileri işleyen tüm çalışanlarının sorumluluğundadır.
• Grand Hotels Management and Marketing Ltd’nin Eğitim Politikası (Eğitim Politikası), şirket çalışanlarının/işçilerinin belirli rollerine ilişkin özel eğitim ve farkındalık gerekliliklerini belirler.
  
  

III. Veri Koruma İlkeleri

Kişisel verilerin işlenmesi, 2016/679 sayılı Tüzüğün (AB) 5. Maddesinde belirtilen veri koruma ilkelerine uygun olarak gerçekleştirilir. Grand Hotels Management and Marketing Ltd’nin politika ve prosedürleri bu ilkelere uyumu sağlamak üzere tasarlanmıştır.

1. Kişisel veriler hukuka uygun, adil ve şeffaf bir şekilde işlenmelidir

Yasal – kişisel verileri işlemeden önce yasal bir dayanak belirlemek. Bunlar “işleme gerekçeleri” olarak adlandırılır, örneğin “rıza”. İlgili kişinin rızası, kişisel verilerin işlenmesi için gerekçelerden biridir. Ayrıca, bir sözleşmenin ifası veya kontrolörün meşru menfaati de olabilir, bu durumlarda rıza verilmesine gerek yoktur.

Adil işleme – işlemenin adil olması için, veri kontrolörü veri sahiplerine her bir özel durumda ve her bir özel amaç için gerekli olan belirli bilgileri anlaşılır, özlü ve veri sahibi tarafından erişilebilir bir şekilde sağlamalıdır. Bu, kişisel verilerin doğrudan veri sahiplerinden veya diğer kaynaklardan elde edilip edilmediğine bakılmaksızın geçerlidir.

Şeffaf – (AB) 2016/679 sayılı Tüzük, GDPR’nin 12, 13 ve 14. maddelerinde düzenlenen “şeffaflık” ilkesi kapsamında veri sahiplerine hangi bilgilerin sunulması gerektiğine ilişkin gereklilikleri belirlemektedir. GDPR’nin atıfta bulunulan hükümlerine göre, bilgilerin veri sahibine anlaşılabilir bir biçimde, açık ve anlaşılabilir bir dil kullanılarak iletilmesi gerekmektedir, yani veri sahipleri tarafından imzalanacak gizlilik beyanları detaylı ve spesifik, anlaşılabilir ve erişilebilir olmalıdır. Grand Hotels Management and Marketing Ltd tarafından veri sahibinin bilgilendirilmesine ilişkin kurallar, ilgili şeffaflık prosedüründe belirtilmekte olup, bildirim bir gizlilik bildirimi yoluyla yapılmaktadır.

Специфичната информация, която дружеството предоставя на субекта на данните, включва като минимум: данни, които идентифицират администратора и данните за контакт на администратора и контактите на ДЛЗД, ако има такова; целите на обработването, за което личните данни са предназначени както и правното основание за обработването; периода, за който ще се съхраняват личните данни; съществуването на следните права – да поиска достъп до данните, коригиране, изтриване (право „да бъдеш забравен“), ограничаване на обработването, както право на възражение срещу у

• Kişisel veriler yalnızca belirli, açık ve meşru amaçlar için toplanabilir

Belirli amaçlar için elde edilen veriler, Grand Hotels Management and Marketing Ltd. şirketinin Veri İşleme Faaliyetleri Kaydının(GDPR Madde 30) bir parçası olarak resmi olarak beyan edilenler dışındaki amaçlar için kullanılmayacaktır. Bir veri işleme şeffaflık prosedürü ilgili kuralları belirler.

• Kontrolörün topladığı kişisel veriler, ilgili işlemenin amacı için gerekli olanlarla sınırlı olmalıdır (belirli bir konu için işlenebilecek verilerin en aza indirilmesi ilkesi)
• Veri koruma görevlisi, yalnızca işleme amacı için kesinlikle gerekli olan bilgilerin toplanmasını sağlayacaktır.
• Yeni bilgi sistemlerinde veri toplama gereklilikleri de dahil olmak üzere tüm veri toplama formları (elektronik veya kağıt üzerinde), iyi niyetle işleme beyanı veya Gizlilik Beyanına (kişisel verilerin gizli tutulmasına ilişkin bildirim) bir bağlantı içermeli ve şirketin web sitelerinde kamuya açık olmadıkları sürece sorumlu kişi tarafından onaylanmalıdır.
• Veri Koruma Görevlisi, toplanan verilerin yeterli, ilgili ve aşırı olmamasını sağlamak için en az yılda bir kez periyodik kontroller yapmakla yükümlüdür.
• Kişisel veriler her zaman doğru ve güncel olmalı ve gecikmeksizin (mümkün olan teknik çözümlerin sınırları dahilinde) silinmesine veya düzeltilmesine izin vermek için makul çaba gösterilmelidir.
• Veri sorumlusu tarafından tutulan veriler gözden geçirilmeli ve gerektiğinde güncellenmelidir. Veriler, yanlış olma ihtimali olan yerlerde saklanmamalıdır.
• Veri Koruma Görevlisi / Veri Koruma Sorumlusu, tüm personelin doğru veri toplama ve bakımının önemi konusunda eğitilmesini sağlamalıdır.
• Grand Hotels Management and Marketing Ltd. tarafından saklanmak üzere ilettiği verilerin doğru ve güncel olduğunu beyan etmek de veri sahibinin görevidir. Veri sahibi tarafından kontrolöre yönelik bir formun doldurulması, burada yer alan verilerin gönderim tarihinde doğru olduğuna dair bir beyan içerecektir.
• Çalışanların, müşterilerin ve diğer herkesin, kişisel veri kayıtlarının güncellenebilmesi için durumlarındaki değişiklikleri Grand Hotels Management and Marketing Ltd’ye bildirmeleri gerekmektedir. Durum değişikliğine ilişkin herhangi bir bildirimin kaydedilmesini ve uygun işlemin yapılmasını sağlamak Grand Hotels Management and Marketing Ltd’nin sorumluluğundadır.
• Veri Koruma Görevlisi/Veri Koruma Sorumlusu, toplanan verilerin hacmini, değişme hızını ve diğer ilgili faktörleri dikkate alarak kişisel verilerin doğruluğunu ve güncelliğini korumak için uygun prosedürlerin ve politikaların yürürlükte olmasını sağlayacaktır.
• Veri Koruma Görevlisi / Veri Koruma Yetkilisi, en az yılda bir kez, Grand Hotels Management and Marketing Ltd tarafından işlenen tüm kişisel verilerin saklama sürelerini veri envanterine atıfta bulunarak gözden geçirecek ve kayıtlı amaç bağlamında artık gerekli olmayan verileri belirleyecektir. Bu veriler, veri sorumlusunun prosedür ve politikalarına uygun olarak usulüne uygun şekilde imha edilir.
• Veri Koruma Görevlisi/Veri Koruma Sorumlusu, verilerin düzeltilmesine yönelik taleplerin bir ay içinde yanıtlanmasını sağlayacaktır. Bu süre, karmaşık talepler için iki ay daha uzatılabilir. Grand Hotels Management and Marketing Ltd’nin talebe uymamaya karar vermesi halinde, Veri Koruma Görevlisi/Veri Koruma Yetkilisi, ret nedenlerini açıklamak için veri sahibine yanıt vermeli ve denetim makamına şikayette bulunma ve telafi isteme hakkı konusunda bilgilendirmelidir.
• Veri Koruma Görevlisi/Veri Koruma Yetkilisi, yanlış veya güncel olmayan kişisel verilerin sağlandığı tüm üçüncü tarafları, bilgilerin yanlış veya güncel olmadığı ve veri sahipleri hakkında karar vermek için kullanmamaları konusunda bilgilendirmeli ve gerektiğinde kişisel verilerin düzeltilmesi için üçüncü taraflara yönlendirmelidir.

• Kişisel veriler, yalnızca işleme için gerekli olduğu sürece veri sahibinin tanımlanabileceği bir biçimde tutulmalıdır.
• Kişisel verilerin işleme tarihinden sonra saklandığı durumlarda, bir veri ihlali durumunda veri sahibinin kimliğini korumak için uygun bir şekilde (en aza indirilmiş, şifrelenmiş, takma adla) saklanacaktır.
• Kişisel veriler Veri Saklama ve İmha Prosedürüne uygun olarak saklanacak ve saklama süresi geçtikten sonra bu prosedürde belirtilen prosedürlere uygun olarak güvenli bir şekilde imha edilecektir.
• Veri Koruma Görevlisi / Veri Koruma Yetkilisi, ilgili prosedürde tanımlanan saklama süresini aşan her türlü veri saklama işlemini özellikle onaylamalı ve gerekçenin açıkça tanımlandığından ve veri koruma mevzuatının gerekliliklerine uygun olduğundan emin olmalıdır. Bu onay yazılı olarak verilmelidir.
• Kişisel veriler uygun güvenliği sağlayacak şekilde işlenmelidir (GDPR Madde 24, Madde 32)

Veri Koruma Görevlisi, Grand Hotels Management and Marketing Ltd’nin veri işleme faaliyetlerine ilişkin tüm koşulları dikkate alarak, gerekli olduğu durumlarda bir ilk etki değerlendirmesi gerçekleştirecektir. Kişisel veri ihlalinin söz konusu olduğu herhangi bir özel durumda, veri koruma görevlisi, veri sorumlusunun işletmesindeki sorumlu kişi olarak bir risk değerlendirmesi gerçekleştirmeli ve yüksek bir riskin tespit edildiği durumlarda denetim makamını ve/veya veri sahibini bilgilendirmelidir. Belirli bir durumda riski değerlendirirken, veri koruma görevlisi bir ihlalin meydana gelmesi halinde bireylere (örn. personel veya müşteriler) verilebilecek zarar veya kaybın kapsamını, müşteri güveninin kaybedilmesi de dahil olmak üzere kontrolöre verilebilecek olası itibar zararını vb. göz önünde bulundurmalıdır. Kişisel verilerin güvenliğinin sağlanması aynı zamanda veri koruma görevlisinin sağlayacağı ve asgari olarak aşağıdakileri içerebilecek uygun teknik tedbirlerin alınmasını da içerir:

• Şifre koruması;
• Ağdaki boşta kalan iş istasyonlarının otomatik olarak kilitlenmesi;
• USB ve diğer taşınabilir depolama ortamları için erişim haklarını kaldırın (zorunlu virüs kontrolü ve veri aktarımı günlüğü sağlanmışsa bir istisna olabilir);
• Antivirüs yazılımı ve güvenlik duvarları;
• Geçici olarak görevlendirilen personel de dahil olmak üzere rol tabanlı erişim hakları
• Dizüstü bilgisayarlar veya diğerleri gibi kuruluşun tesislerinden ayrılan cihazların korunması;
• Yerel ve geniş alan ağlarının güvenliği;
• Takma ad ve anonimleştirme gibi gizlilik artırıcı teknolojiler;
• Grand Hotels Management and Marketing Ltd. için uygun uluslararası güvenlik standartlarını belirlemek.

Uygun kurumsal önlemleri değerlendirirken, Veri Koruma Görevlisi aşağıdakileri dikkate alacaktır:

• Grand Hotels Management and Marketing Ltd. şirketinde uygun eğitim seviyeleri;
• Çalışanların güvenilirliğini dikkate alan tedbirler (örneğin, değerlendirmeler, referanslar, vb.);
• Veri korumanın iş sözleşmelerine dahil edilmesi;
• Veri işleme ihlalleri için disiplin önlemlerinin belirlenmesi;
• Personelin ilgili güvenlik standartlarına uygunluğunun düzenli olarak kontrol edilmesi;
• Elektronik ve kağıt tabanlı kayıtlara fiziksel erişimi kontrol edin;
• “Temiz işyeri” politikasının benimsenmesi – işyerinden ayrılırken, tüm iş belgeleri kaldırılmalı veya uygun ve kısıtlı alanlarda saklanmalıdır – özel dolaplar, kilitli odalar, artık ihtiyaç duyulmayan belgelerin imhası vb;
• Kağıt veri tabanını kilitlenebilir duvar dolaplarında saklayın;
• Taşınabilir elektronik cihazların işyeri dışında kullanımını sınırlandırın;
• Çalışanların işyerinde kişisel cihaz kullanımını kısıtlayın;
• Parolaların oluşturulması ve kullanımı için açık kurallar benimseyin;
• Kişisel verilerin düzenli olarak yedeklenmesi ve kopyaların fiziksel olarak tesis dışında saklanması;
• Verileri AB dışına aktarırken uygun güvenlik önlemlerini almaları için karşı taraf kuruluşlara sözleşmeye dayalı yükümlülükler getirmek.

Uygun tedbirlerin değerlendirilmesinde, kişisel verilere yönelik belirlenen risklerin yanı sıra veri sahiplerinin zarar görme olasılığı da dikkate alınmalıdır.

• Hesap verebilirlik ilkesine uygunluk

(AB) 2016/679 sayılı Tüzük hesap verebilirliği ve yönetilebilirliği teşvik eden ve şeffaflık gerekliliklerini tamamlayan hükümler içermektedir. Madde 5(2) ‘deki hesap verebilirlik ilkesi, kontrolörün GDPR’deki diğer ilkelere uygunluğunu göstermesini gerektirir ve bunun kendi sorumluluğu olduğunu açıkça belirtir.

Grand Hotels Yönetim ve Pazarlama Ltd. veri koruma politikalarını uygulayarak, davranış kurallarına uyarak, uygun teknik ve organizasyonel önlemleri uygulayarak ve tasarım aşamasında veri koruma tekniklerini ve varsayılan olarak veri korumayı, veri koruma etki değerlendirmesini, veri ihlali bildirim prosedürünü vb. benimseyerek veri koruma ilkelerine uygunluğunu göstermektedir.

IV. Veri sahiplerinin hakları

1. GDPR kapsamında, veri sahibi kişisel verilerinin işlenmesine ilişkin olarak aşağıdaki haklara sahiptir:
2. Verilere erişim de dahil olmak üzere, kontrolör tarafından işlenen kendisiyle ilgili kişisel veriler ve bunların işlenme amacı hakkında bilgi edinmenin yanı sıra verilerin alıcıları ve verilerin aktarıldığı üçüncü taraflar hakkında bilgi edinme.
3. Veri sorumlusundan kişisel verilerinin bir kopyasını talep edebilir;
4. Yanlış veya artık güncel olmayan kişisel verilerin düzeltilmesini kontrolörden isteme;
5. Veri sorumlusundan kişisel verilerin silinmesini talep etme (unutulma hakkı);
6. Kontrolörden kişisel verilerin işlenmesini kısıtlamasını talep edin, bu durumda veriler yalnızca saklanacak ancak işlenmeyecektir;
7. Kişisel verilerinin işlenmesine itiraz etmek;
8. Kendisiyle ilgili kişisel verilerin doğrudan pazarlama amacıyla işlenmesine itiraz etmek.
9. GDPR hükümlerinden herhangi birinin ihlal edildiğini düşünmesi halinde bir denetim makamına şikayette bulunmak;
10. Kişisel verilerin yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta talep edilmesi ve sağlanması;
11. Kontrolöre ayrı bir talepte bulunarak herhangi bir zamanda kişisel verilerin işlenmesine verilen onayı geri çekmek;
12. İnsan müdahalesi olasılığı olmaksızın kendisini önemli ölçüde etkileyen otomatik kararlara tabi tutulmamalıdır;
13. Kendi rızaları olmadan gerçekleşen otomatik profillemeye karşı çıkın;
14. Grand Hotels Yönetim ve Pazarlama Ltd. veri sahibinin yukarıda belirtilen haklarını kullanmasını sağlamak için gerekli koşulları sağlayacaktır:
15. Veri sahipleri, Grand Hotels Management and Marketing Ltd’nin veri sahibinin talebine verilecek yanıtın Genel Yönetmeliğin gerekliliklerini karşılamasını nasıl sağlayacağını da açıklayan ilgili prosedürde açıklandığı şekilde verilere erişim taleplerinde bulunabilir.
16. Bir veri sahibinin taleplerinin açıkça temelsiz veya aşırı olması durumunda, özellikle tekrarlayan nitelikleri nedeniyle, Grand Hotels Management and Marketing Ltd, bilgi sağlama, iletişim kurma veya talep edilen eylemi gerçekleştirmenin idari maliyetlerini dikkate alarak makul bir ücret talep edebilir veya talep üzerine hareket etmeyi reddedebilir.
17. Veri sahipleri, kişisel verilerinin işlenmesiyle ilgili olarak Grand Hotels Management and Marketing Ltd’ye itirazda bulunma hakkına sahiptir. Bir veri sahibinin talebinin işlenmesi ve veri sahibi tarafından itirazların sunulması, şirketin kabul edilen kurallarına uygun olarak gerçekleştirilecektir. Bulgaristan’daki denetim makamı Kişisel Verilerin Korunması Komisyonu adresidir. Veri Koruma Kurumu kişisel verilerin korunmasından sorumludur, Sofya, Bulgaristan, 1592 Sofia Blvd. “1595 Prof. 2(cpdp.bg).

V. Rıza

1. Grand Hotels Management and Marketing Ltd. “rıza” ile, veri sahibinin kendisiyle ilgili kişisel verilerin işlenmesine rıza gösterdiğini ifade eden bir beyan veya açıkça onaylayıcı bir eylem yoluyla veri sahibinin isteklerinin özgürce verilmiş, belirli, bilgilendirilmiş ve açık bir şekilde belirtilmesi anlamına gelir. Veri sahibi rızasını istediği zaman geri çekebilir. Veri sahibinin rızası, işleme için alternatif bir yasal dayanak bulunmadığında gerekli olacaktır.
2. Grand Hotels Management and Marketing Ltd. “rızayı” yalnızca veri sahibinin amaçlanan işleme hakkında tam olarak bilgilendirildiği ve baskıya maruz kalmadan rızasını verdiği durumlar olarak anlar. Baskı altında veya yanıltıcı bilgilere dayanılarak alınan rıza, kişisel verilerin işlenmesi için geçerli bir dayanak olmayacaktır.
3. Rıza, veri sahibine yapılan bir iletişime yanıt verilmemesinden çıkarılamaz. Rızanın mevcut olması için kontrolör ile veri sahibi arasında aktif bir iletişim olmalıdır. Kontrolör, işleme faaliyetleri için rızanın gerekli olduğu durumlarda bu faaliyetler için rıza talep etmeli ve almalıdır.
4. Özel veri kategorileri için, işleme için alternatif bir yasal dayanak olmadığı sürece, Veri Sahiplerinin Kişisel Verilerinin İşlenmesi için Onay Alma Prosedürüne uygun olarak açık yazılı onay alınmalıdır.
5. Veri sahibinin kişisel veya özel kategorilerdeki verilerin işlenmesine yönelik rızası, her bir spesifik işleme amacı için veri sahibi tarafından kontrolöre sağlanan ilgili rıza belgesi temelinde verilir. Veri sahibinin bir sözleşme imzalaması halinde, verileri başka bir yasal temelde toplandığı için rıza gerekli değildir.
6. Grand Hotels Management and Marketing Ltd, çocukların kişisel verilerini işlediğinde, uygulamayı yapan ebeveynlerden (ebeveynler, vasiler vb.) izin alır. Bu gereklilik 16 yaşın altındaki çocuklar için geçerlidir.

VI. Veri Güvenliği

1. Görev tanımları uyarınca, kontrolör adına belirli kişisel verileri işleme görevi olan kontrolör çalışanları, Grand Hotels Management and Marketing Ltd’nin söz konusu üçüncü tarafa verilere erişim hakkı vermediği sürece, verileri üçüncü taraflara ifşa etmemelerini sağlamak da dahil olmak üzere, verilerin işlenmesi ve saklanmasının güvenliğini sağlamakla yükümlüdür.
2. Kişisel verilere veya bunların bir kısmına yalnızca bunları işleme/saklama görevi olan kişiler erişebilmelidir ve erişim yalnızca belirlenmiş erişim kontrolü kurallarına uygun olarak verilebilir. Örneğin tüm kişisel veriler saklanmalıdır:
3. kontrollü erişimli bir odada; ve/veya kilitli bir dolapta veya dosya dolabında; ve/veya
4. bilgisayarlı ise, bilgiye erişimi kontrol etmek için kurumsal ve teknik önlemlerde (örn. erişim kontrol kuralları) belirtilen dahili gerekliliklere uygun olarak şifre korumalı; ve/veya
5. Bilgiye erişimi kontrol etmek için kurumsal ve teknik önlemlere uygun olarak korunan taşınabilir bilgisayar ortamında saklanır.
6. Bilgisayar ekranlarının ve terminallerinin Grand Hotels Management and Marketing Ltd’nin yetkili çalışanları/işçileri dışında hiç kimse tarafından görüntülenememesini sağlamak için düzenlemeler yapmak. Tüm çalışanların/işçilerin, her türlü bilgiye erişim izni verilmeden önce, kurumsal ve teknik erişim önlemlerinin yanı sıra iş istasyonu kilitleme kurallarına uymaları için eğitilmeleri ve ilgili sözleşme maddelerini/beyannameyi kabul etmeleri gerekmektedir.
7. Kağıt kayıtlar yetkisiz kişilerin erişebileceği yerlerde bırakılmamalı ve açık izin olmaksızın belirlenen ofis binalarından çıkarılmamalıdır. Kağıt kayıtlar, devam eden müşteri destek çalışmaları için artık gerekli olmadığında, belirlenmiş bir prosedür/kural ve uygun protokol uyarınca imha edilmelidir.
8. Kişisel veriler yalnızca kabul edilen prosedüre uygun olarak silinebilir veya imha edilebilir. Saklama (arşivleme) süresi sona eren kağıt kayıtlar ‘gizli atık’ olarak parçalanmalı ve imha edilmelidir. Yedek bilgisayarların sabit sürücülerindeki veriler silinmeli veya sürücüler belirlenen politikalara/prosedürlere göre imha edilmelidir.
9. Kişisel verilerin “tesis dışında” işlenmesi, kişisel verilerin kaybolması, çalınması veya ihlal edilmesi açısından potansiyel olarak daha büyük bir risk oluşturmaktadır. Personel, verileri tesis dışında işlemek için özel olarak yetkilendirilmiştir.

VII. Veri ifşası

1. Grand Hotels Management and Marketing Ltd, kişisel verilerin, belirlenen prosedürün gerektirmediği makul bir şüphe varsa, aile üyeleri, arkadaşlar, devlet yetkilileri, hatta soruşturma yapanlar dahil olmak üzere yetkisiz üçüncü taraflara ifşa edilmemesini sağlamalıdır. Tüm çalışanlar/işçiler, başka bir kişi hakkında tutulan kişisel verileri üçüncü bir tarafa ifşa etmeleri istendiğinde dikkatli olmalıdır. Bilginin ifşa edilmesinin kurum tarafından yürütülen işin ihtiyaçlarıyla ilgili olup olmadığının göz önünde bulundurulması önemlidir. Böyle bir ihlal riskinden kaçınmak için çalışanlara özel eğitim ve periyodik brifingler verilmelidir.
2. Üçüncü taraflardan veri sağlanmasına yönelik tüm talepler uygun belgelerle desteklenmeli ve bu tür tüm açıklamalar görüş için Veri Koruma Görevlisi / Veri Koruma Sorumlusu ile koordine edilmelidir.
3. Kişisel veriler, yetkilerinin kullanılması ve yerine getirilmesinde yetkili kamu makamlarına sağlanacaktır.

VIII. Veri depolama ve imha

1. Grand Hotels Yönetim ve Pazarlama Ltd. kişisel verileri, verilerin toplanma amaçlarıyla ilgili olarak gerekli olandan daha uzun süre veri sahiplerinin tanımlanmasına izin verecek şekilde tutmaz.
2. Grand Hotels Management and Marketing Ltd, kişisel verileri yalnızca arşivleme amaçları, kamu yararı amaçları, bilimsel veya tarihi araştırma amaçları ve istatistiksel amaçlar için işleniyorsa ve yalnızca veri sahibinin haklarını ve özgürlüklerini korumak için uygun teknik ve organizasyonel önlemler alınmışsa daha uzun süre saklayabilir.
3. Her bir kişisel veri kategorisi için saklama süresi, Grand Hotels Management and Marketing Ltd’nin verileri saklamasını gerektiren yasal yükümlülükler de dahil olmak üzere, bu süreyi belirlemek için kullanılan kriterler gibi bir Veri Saklama ve İmha Prosedüründe belirtilmiştir.
4. Verilerin saklanması ve imhasına ilişkin prosedür ve kullanılmayan kayıt ortamındaki bilgilerin imhasına ilişkin kurallar her durumda geçerli olacaktır.
5. Kişisel veriler, uygun teknik veya organizasyonel tedbirler (‘bütünlük ve gizlilik’) uygulanarak yetkisiz veya yasa dışı işlemeye ve kazara kayıp, imha veya hasara karşı koruma da dahil olmak üzere yeterli düzeyde güvenlik sağlanması ilkesine (Genel TüzükMadde 5(1)(f)) uygun olarak imha edilmelidir;

IX. Veri aktarımı

AB içinden AB üyesi olmayan ülkelere (Genel Tüzük’te ‘üçüncü ülkeler’ olarak anılmaktadır) veri aktarımı, veri sahiplerinin temel haklarının uygun bir ‘koruma düzeyi’ olmadığı sürece yasa dışıdır.

Kişisel verilerin AB dışına aktarılması, belirtilen koruma önlemlerinden veya istisnalardan bir veya daha fazlası geçerli olmadığı sürece yasaktır:

1. Yeterlilik Kararı

Avrupa Komisyonu, gerçek kişilerin hak ve özgürlüklerinin yeterli düzeyde korunup korunmadığını değerlendirmek için üçüncü ülkeleri, bölgeleri ve/veya üçüncü ülkelerdeki belirli sektörleri değerlendirebilir. Avrupa Ekonomik Alanı (EEA) üyesi olan ancak AB üyesi olmayan ülkelerin yeterlilik kararı için uygun olduğu varsayılır.

• Bağlayıcı şirket kuralları

Grand Hotels Management and Marketing Ltd, uygun olduğu durumlarda verilerin AB dışına aktarılması için onaylanmış zorunlu kurumsal politikalar benimseyebilir. Bunun için ilgili denetim makamının onayına sunulması gerekir.

• Standart sözleşme maddeleri

Kontrolör, Avrupa Ekonomik Alanı dışındaki veri aktarımları için yerleşik standart sözleşme veri koruma maddelerini benimseyebilir. Grand Hotels Management and Marketing Ltd’nin ilgili denetim makamı tarafından onaylanan standart sözleşme maddelerini kabul etmesi halinde, yeterliliğin otomatik olarak tanınması söz konusu olur.

• İstisnalar

Bir yeterlilik kararı, bağlayıcı kurumsal kurallar ve/veya sözleşme hükümlerinin bulunmaması halinde, kişisel verilerin üçüncü bir ülkeye veya uluslararası bir kuruluşa aktarımı yalnızca aşağıdaki koşullardan biri altında gerçekleştirilir: veri sahibinin söz konusu aktarımların olası riskleri hakkında bilgilendirilerek önerilen aktarıma açıkça rıza göstermiş olması; aktarımın veri sahibi ile kontrolör arasındaki bir sözleşmenin ifası veya veri sahibinin talebi üzerine alınan sözleşme öncesi tedbirlerin ifası için gerekli olması; aktarımın

X. Veri işleme kaydı (veri envanteri)

1. Grand Hotels Management and Marketing Ltd, Yönetmelik (AB) 2016/679 uyum politikasına uyum sürecindeki risk ve fırsatları ele alma yaklaşımının bir parçası olarak bir veri envanteri süreci oluşturmuştur. Grand Hotels Management and Marketing Ltd veri envanteri ve iş akışı belirlenmiştir:
2. kişisel verileri kullanan iş süreçleri;
3. kişisel verilerin kaynakları;
4. veri sahibi sayısı;
5. kişisel veri kategorilerinin ve her bir kategorideki unsurların bir açıklaması;
6. işleme faaliyetleri;
7. kişisel verilerin işlenme amaçları;
8. işleme için yasal dayanak;
9. kişisel verilerin alıcıları veya alıcı kategorileri;
10. ana depolama sistemleri ve konumları;
11. AB dışına aktarıma konu olan tüm kişisel veriler;
12. saklama ve silme süreleri.

• Grand Hotels Management and Marketing Ltd, belirli kişisel veri türlerinin işlenmesiyle ilgili risklerin farkındadır.
• Grand Hotels Management and Marketing Ltd, kişisel verilerinin işlenmesiyle ilişkili olarak bireylere yönelik risk düzeyini değerlendirir. Zorunlu olduğu durumlarda, kişisel verilerin Grand Hotels Management & Marketing Ltd tarafından işlenmesi ve Grand Hotels Management & Marketing Ltd adına diğer kuruluşlar tarafından üstlenilen işlemlerle ilgili olarak veri koruma etki değerlendirmeleri yapılır.
• Grand Hotels Management and Marketing Ltd, bu kurallara uyulmaması olasılığını azaltmak için etki değerlendirmesi ile belirlenen riskleri yönetir. Bir işleme türünün, özellikle yeni teknolojilerin kullanımıyla gerçek kişilerin hak ve özgürlükleri açısından yüksek riske yol açmasının muhtemel olduğu durumlarda ve işlemenin niteliği, kapsamı, bağlamı ve amaçları dikkate alındığında, Grand Hotels Management & Marketing Ltd işleme faaliyetine devam etmeden önce amaçlanan işleme faaliyetlerinin kişisel verilerin korunması üzerindeki etkisinin bir değerlendirmesini de yapacaktır. Genel bir etki değerlendirmesi, benzer yüksek riskler arz eden bir dizi benzer işleme faaliyetini göz önünde bulundurabilir.
• Etki Değerlendirmesi sonucunda Grand Hotels Management and Marketing Ltd’nin yüksek risk nedeniyle veri sahiplerine zarar verebilecek kişisel verileri işlemeye başlayacağının açık olduğu durumlarda, işlemeye devam edip etmeme kararı gözden geçirilmek üzere Veri Koruma Görevlisine / Veri Koruma Yetkilisine iletilecektir.
• Veri Koruma Görevlisi/DPO’nun potansiyel zarar veya tehlike ya da ilgili veri miktarı hakkında ciddi endişeleri varsa, konuyu denetim makamına iletmelidir.
• Veri Koruma Görevlisi, başlangıçta envanteri çıkarılan verileri periyodik olarak gözden geçirecek, Grand Hotels Management and Marketing Ltd. faaliyetlerindeki herhangi bir değişiklik ışığında “İşleme Faaliyetleri Kaydı “na kaydedilen bilgileri gözden geçirecektir.

GİZLİLİK POLİTİKASINA EK BİLGİLER

1. Genel Veri Koruma Yönetmeliği

2016/679 sayılı Tüzük (AB) (Genel Veri Koruma Tüzüğü) 95/46/EC sayılı Veri Koruma Direktifinin yerini almaktadır. Doğrudan etkiye sahiptir ve Üye Devletlerin veri koruma mevzuatında değişiklik yapılması anlamına gelmektedir. Amacı, bireylerin ‘hak ve özgürlüklerini’ korumak ve kişisel verilerin bilgileri dışında işlenmemesini ve mümkün olduğu durumlarda rızaları ile işlenmesini sağlamaktır.

• Genel Veri Koruma Yönetmeliği tarafından belirlenen kapsam

Malzeme kapsamı– Bu Tüzük, kişisel verilerin tamamen veya kısmen otomatik yollarla işlenmesine ve kişisel veri dosyasının bir parçasını oluşturan veya kişisel veri dosyasının bir parçasını oluşturması amaçlanan kişisel verilerin diğer yollarla işlenmesine uygulanır.

Bölgesel kapsam – Genel Tüzük kuralları, AB’de yerleşik olan ve faaliyetleri bağlamında bireylerin kişisel verilerini işleyen tüm veri kontrolörleri için geçerli olacaktır. Ayrıca, mal ve hizmet sunmak için kişisel verileri işleyen veya AB’de ikamet eden veri sahiplerinin davranışlarını izleyen AB dışındaki kontrolörler için de geçerli olacaktır.

• Kavramlar

“Kişisel veri” tanımlanmış bir gerçek kişi veya tanımlanabilir bir gerçek kişi (“veri sahibi”) ile ilgili her türlü bilgi anlamına gelir; tanımlanabilir bir gerçek kişi, doğrudan veya dolaylı olarak, özellikle bir isim, kimlik numarası, konum verileri, çevrimiçi bir tanımlayıcı gibi bir tanımlayıcıya veya söz konusu gerçek kişinin fiziksel, fizyolojik, genetik, zihinsel, ekonomik, kültürel veya sosyal kimliğine özgü bir veya daha fazla faktöre atıfta bulunularak tanımlanabilen kişidir.

“Özel kategorilerdeki kişisel veriler” – ırk veya etnik köken, siyasi görüş, dini veya felsefi inanç veya sendika üyeliğini ortaya koyan kişisel veriler ile genetik verilerin, bir bireyi benzersiz şekilde tanımlayan biyometrik verilerin, sağlıkla ilgili verilerin veya bir bireyin cinsel yaşamı veya cinsel yönelimi ile ilgili verilerin işlenmesi.

“İşleme‘ kişisel veriler veya bir dizi kişisel veri üzerinde otomatik yollarla olsun veya olmasın gerçekleştirilen toplama, kaydetme, düzenleme, yapılandırma, depolama, uyarlama veya değiştirme, geri alma, danışma, kullanma, iletim yoluyla ifşa etme, yayma veya başka bir şekilde kullanıma sunma, hizalama veya birleştirme, kısıtlama, silme veya imha etme gibi herhangi bir işlem veya işlemler dizisi anlamına gelir;

“Yönetici.” – kişisel verilerin işlenmesinin amaçlarını ve araçlarını tek başına veya başkalarıyla birlikte belirleyen herhangi bir gerçek veya tüzel kişi, kamu otoritesi, ajans veya diğer organ; bu tür işlemenin amaçlarının ve araçlarının AB veya Üye Devlet hukuku tarafından belirlendiği durumlarda, kontrolör veya bunun belirlenmesine ilişkin belirli kriterler Birlik veya Üye Devlet hukukunda belirtilebilir;

“Veri Sahibi” – Kontrolör tarafından tutulan kişisel verilerin öznesi olan yaşayan herhangi bir birey.

“Veri sahibinin rızası” – Veri sahibinin kendisiyle ilgili kişisel verilerin işlenmesine rıza gösterdiğini belirten bir beyan veya açık bir olumlu eylem yoluyla isteklerinin özgürce verilmiş, belirli, bilgilendirilmiş ve açık bir şekilde belirtilmesi;

“Çocuk” – Genel Yönetmelik, çocuğu 16 yaşın altındaki herkes olarak tanımlar ve ulusal yasalar uyarınca 18 yaşın altındaki herkes olarak tanımlar. Bir çocuğun kişisel verilerinin işlenmesi yalnızca bir ebeveyn, vasi veya vasinin onay vermesi halinde yasaldır. Kontrolör bu gibi durumlarda çocuğun ebeveyn sorumluluğunu taşıyan kişinin onay verdiğini veya onay vermeye yetkili olduğunu doğrulamak için makul çabayı gösterecektir.

Veri Sorumlusu ile iletişim:

Web sitesi: www.grandhotel.bg

E-posta:

Telefon: 02 8199 221