1. はじめに
個人データの保護は、RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti.（以下「当社」または「RG Labs」）の最も重要な優先事項の一つであり、この点に関するすべての現行法令を遵守するため最大限の努力を払っています。本「個人データの保護および処理に関するポリシー」（以下「本ポリシー」）では、当社が行う個人データ処理活動の遂行において採用している原則、および当社のデータ処理活動を法律第6698号「個人データ保護法」（以下「法」）の規定に適合させるために採用している基本原則を説明し、これによりデータ主体に情報を提供して必要な透明性を確保しています。
この点に関する当社の責任を十分に認識したうえで、個人データは本ポリシーに基づいて処理されています。
データ管理者：RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti.
納税者番号（VKN/TCKN）：0110043048
住所：Küçükbakkalköy, Selvili Sok. No:4/79, 34750 Ataşehir/İstanbul
2. 目的
RG Labsは、個人データの保護に関するトルコ共和国憲法、法律第6698号「個人データ保護法」（KVKK）および関係法令の規定を遵守し、データ主体の権利を保護することを約束します。
この観点から、当社は、従業員、インターン、求職者、当社の顧客または潜在顧客である法人の代表者および従業員、外部サービス提供者の代表者および従業員、ウェブサイトまたはデジタルプラットフォームの利用者、イベントおよび研修の参加者、ならびにサプライヤーの連絡担当者に関して処理される個人データの安全を確保し、これらのデータが法令に従って処理されることを保証するため、書面による個人データ保護ポリシーを採用しています。
本ポリシーの目標は、KVKKへの準拠を全社的な体制のもとで仕組み化すること、データ処理プロセスにおける説明責任を確保すること、個人データの処理活動を記録し監査すること、第三者とのデータ共有プロセスを管理すること、従業員の意識を高め研修を実施すること、個人データを法令および信義誠実の原則に従って処理すること、透明性を確保すること、当社自身のプロセスに適したデータセキュリティ管理策を実施すること、ならびに個人データの保護に関する義務を履行することです。
3. 適用範囲
本ポリシーは、RG Labsが自社の内部プロセスにおいて処理する個人データに適用されます。本ポリシーは、従業員、求職者、インターン、当社の顧客または潜在顧客である法人の代表者および従業員、外部サービス提供者の代表者および従業員、ウェブサイトまたはデジタルプラットフォームの利用者、イベントおよび研修の参加者、サプライヤーの従業員、ならびに当社の事業活動の範囲内で限定的に処理される業務データに関する個人データの処理活動を対象とします。
当社の顧客である法人または自然人が保有する、その顧客自身の顧客の個人データは、RG Labsのシステムで処理または保存されないため、本ポリシーは当該顧客データを対象としません。
本ポリシーの規定は、RG Labsのすべての部門、従業員、およびKVKKに基づく個人データ処理プロセスに関与するすべての社内関係者に適用されます。
当社がサービス提供の際に協力する第三者は、自らの個人データ処理活動について独立したデータ管理者であり、本ポリシーはRG Labs自身の処理活動のみを対象とします。
4. 目標
本ポリシーは、RG Labsにおいて個人データを法令に従って処理・保護することへの意識を醸成し、データセキュリティのプロセスを持続可能な体制で運用し、KVKKへの準拠を社内で標準化することを目的としています。
この観点から、KVK（個人データ保護）ポリシーは、KVKKおよび関係法令が定める義務を履行するための指針となる枠組みを提供し、当社自身のデータ処理活動に適した組織的・技術的管理策の実施を支援します。
5. 定義および略語
| 用語 | 定義 |
|---|---|
| 会社情報 | RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti. |
| 明示的同意 | 特定の事項に関し、情報提供に基づき、自由意思により表明された同意。 |
| 匿名化 | 個人データを、個人データとしての性質を失い、かつその状態を元に戻すことができないように変更することです。 |
| 関係者 | 個人データが処理される自然人。例：従業員、求職者、サプライヤーの連絡担当者。 |
| 個人データ | 特定された、または特定可能な自然人に関するあらゆる情報。例：氏名、トルコ共和国身分証明番号、メールアドレス、住所、生年月日など。 |
| 特別な種類の個人データ | 人種、民族的出自、政治的意見、哲学的信条、宗教、宗派その他の信仰、服装、団体・財団・労働組合への加入、健康、性生活、刑事上の有罪判決および保安処分に関するデータ、ならびに生体データおよび遺伝データ。 |
| 個人データの処理 | 個人データの全部もしくは一部を自動的な手段により、またはデータ記録システムの一部であることを条件として自動的でない手段により、取得、記録、保存、保管、変更、再編成、開示、移転、承継、取得可能化、分類し、またはその利用を阻止するなど、データに対して行われるあらゆる処理。 |
| データ管理者 | 個人データの処理目的および手段を決定し、データが体系的に保管される場所を管理する自然人または法人。 |
| KVKK | 2016年4月7日付第29677号官報で公布された、2016年3月24日付法律第6698号「個人データ保護法」。 |
| ポリシー | 当社の個人データの保護および処理に関するポリシー。 |
| 定期廃棄 | 法律に定める個人データの処理要件がすべて消滅した場合に、定期的に実施される消去、破棄または匿名化の処理。 |
| KEP | あらゆる商業上・法律上のやり取りや文書の共有を送信したとおりの形で保護し、受信者を確実に特定する登録電子郵便（KEP）システム。 |
| KVKK委員会 | 当社内でKVKKのプロセスを調整し、法令への準拠を継続的に監視するために設置された委員会。 |
6. 処理される個人データの分類
個人データとは、特定された、または特定可能な自然人に関するあらゆる情報をいいます。個人データの保護は自然人のみに関係するものであり、法人に属し、自然人に関する情報を含まない情報は個人データ保護の対象外とされています。
| 個人データの区分 | 小見出しと説明 |
|---|---|
| 認証 | 氏名、トルコ共和国身分証明番号、国籍、父母の氏名、出生地、生年月日、性別などの情報を含む書類、ならびに納税者番号、社会保険（SGK）番号、署名情報など。 |
| お問い合わせ | 電話番号、住所、メールアドレス、ファクス番号など。 |
| 人事 | 給与情報、懲戒調査、入退社書類の記録、履歴書情報、人事評価報告書など。 |
| 法律行為 | 司法当局とのやり取りに関する情報、訴訟記録に含まれる情報など。 |
| 顧客取引 | 請求書、約束手形、小切手の情報、リクエスト情報、注文情報など。 |
| 物理的空間のセキュリティ | 従業員のオフィス入退出記録、カメラ（映像および音声）の記録など。 |
| 取引の安全 | ウェブサイトのログイン・ログアウト情報、IPアドレス情報、パスワード情報など。 |
| 職歴 | 卒業証書の情報、受講した講座、職業研修の情報、成績証明書の情報、資格証明書など。 |
| 映像および音声の記録 | オフィス内のカメラにより取得される映像および音声の記録。 |
| 特別な種類の個人データ | KVKK第6条に定めるデータ（例：血液型を含む健康データ、生体データなど）。 |
RG Labsは、業務プロセスにおいて、従業員に関する法令が義務付ける特別な種類のデータのみを必要な場合に処理します。顧客または第三者の特別な種類のデータは処理しません。
7. 個人データが保管される環境
| 電子的環境 | 電子的でない環境 |
|---|---|
| サーバー（ドメイン、バックアップ、メール、データベース、Web、ファイル共有など）、ソフトウェア、情報セキュリティ機器、パーソナルコンピューター、モバイル機器 | プリンター、スキャナー、コピー機、紙、書面・印刷物・視覚媒体、部署のキャビネット |
8. 個人データの処理目的
当社は、個人データを、当社の事業活動の遂行に必要であり、かつ以下の目的に限定して処理しています。
8.1. 雇用関係に関するプロセスの遂行
- 求職者の評価、採用プロセスの遂行
- 従業員の人事ファイルの作成、給与、福利厚生および給与計算の処理
- 従業員のパフォーマンスおよび能力評価プロセスの遂行
8.2. 労働安全衛生および職場秩序の確保
- 法的義務に基づく労働安全衛生記録の保持
- 当社オフィスのセキュリティ確保、カメラシステムの運用
- オフィスエリアへのアクセス管理
8.3. 管理、財務および業務プロセスの遂行
- 会計および財務処理の遂行
- 契約およびサプライヤー管理のプロセスの遂行
- 請求、購買、支出および支払のプロセスの遂行
- 内部監査、報告および統制活動の遂行
8.4. 情報セキュリティおよび技術基盤の運用
- システムアクセスの管理およびログ取得
- サイバーセキュリティのプロセスおよび運用上のセキュリティ管理の実施
- データのバックアップ、紛失・侵害の防止、アクセス権限付与のプロセスの遂行
8.5. 法的義務の履行
- 法令に基づく、権限ある公的機関への情報提供
- 監査、調査および公的なやり取りに関する義務の履行
- 訴訟、強制執行手続などの司法手続の遂行
8.6. 企業コミュニケーションおよび社内調整の確保
- 従業員との社内コミュニケーションの遂行
- 研修、告知および情報提供のプロセスの実施
- イベント、オリエンテーションおよび従業員支援活動の実施
9. 個人データの保護に関する事項
9.1. 個人データの安全確保
当社は、個人データの違法な処理、権限のないアクセス、開示、またはセキュリティ上の脆弱性の発生を防止するため、KVKK第12条に基づき必要な技術的・組織的措置を講じています。
この観点から、アクセス権限の制限、ユーザーアカウントの管理、ネットワークおよびシステムのセキュリティ管理、記録とログ取得の仕組み、安全な保管および廃棄のプロセスを実施しており、個人データには職務上の必要に応じて権限を付与された従業員のみがアクセスできます。
個人データが処理されるすべてのプロセスにおいて、従業員のデータセキュリティ意識を高めるための情報提供が行われており、従業員は職務上アクセスする個人データの機密性を保持し、これらのデータを権限のない者または第三者と共有しない義務を負います。
9.2. 特別な種類の個人データの保護
RG Labsは、特別な種類の個人データを、従業員に関する法令が義務付ける場合に限って処理しています。この範囲で処理される特別な種類のデータは、労働安全衛生上の義務の履行、または社会保険（SGK）法令に基づき必要となる健康データなど、限られた記録にとどまります。
当社は、処理するこれらの限られた特別な種類の個人データについて、KVKK第6条に基づき必要な技術的・組織的措置を講じ、これらのデータへのアクセスを権限を付与された者のみに制限し、当該データが安全に保管されるようにしています。
9.3. 事業部門の意識向上および監査
当社は、個人データの保護に関する義務について従業員の意識を高めることを目指しており、そのために必要な情報提供を行っています。新入社員にはKVKKとデータセキュリティに関する基礎的な啓発研修を実施し、さらに業務プロセス上必要な場合には、従業員に当該事項について情報を提供しています。
9.4. ビジネスパートナーおよびサプライヤーの意識向上
当社は、個人データの保護に関する義務がサプライヤーおよびビジネスパートナーによっても履行されるよう、各当事者と締結する契約に秘密保持および個人データ保護に関する条項を盛り込んでいます。
10. 個人データの処理に関する事項
当社は、個人データの処理において法令に定める一般原則を遵守することを重視しています。この観点から、憲法および個人データ保護法に従い、以下の原則に沿って行動しています。
10.1. 法令に定める原則に従った個人データの処理
10.1.1. 法令および信義誠実の原則の遵守
当社は、個人データ保護法第4条に従い、個人データの処理に関して、法令および信義誠実の原則に従い、正確かつ必要に応じて最新の状態で、特定された明確かつ正当な目的のもとで、目的に関連し、限定的かつ比例的な形で個人データの処理活動を行っています。
10.1.2. 正確性および必要に応じた最新性の確保
処理されるデータの正確性と最新性を確保するため、データ処理手順において必要な措置を講じており、関係者には自らのデータを更新し、処理されたデータに誤りがある場合にはそれを訂正するための申請手段を提供しています。
10.1.3. 特定された、明確かつ正当な目的による処理
個人データは、明確かつ具体的に定められた目的に関連し、限定的かつ比例的に処理されています。関連のない、または処理する必要のない個人データの処理は避けています。
10.1.4. 処理目的との関連性、限定性および比例性
個人データは、明確かつ具体的に定められた目的に関連し、限定的かつ比例的に処理されています。法的要件がない限り、特別な種類の個人データは処理されず、処理される場合には、関係法令に定める要件の範囲内でのみ、必要な技術的・組織的措置を講じて処理されます。
10.1.5. 関係法令に定める期間の保存
当社は、処理する個人データを、関係法令に定める期間、または個人データの処理目的に必要な期間に限り保管しています。個人データは、定められた保存期間の終了時に、定期廃棄の期間または関係者からの申請に応じて、定められた廃棄方法（消去、破棄、匿名化のいずれかまたは組み合わせ）により廃棄されます。
10.2. 個人データの処理要件
データ主体が明示的同意を与える場合を除き、個人データの処理活動の根拠は、以下に定める要件の一つまたは複数となり得ます。
- 法律に明示的に定められていること
- 事実上の不能により、関係者の明示的同意を得ることができないこと
- 契約の締結または履行に直接関係すること
- データ管理者が法的義務を履行するために必要であること
- 関係者が自らの個人データを公開したこと
- 権利の設定、行使または保護のためにデータ処理が必要であること
- データ管理者の正当な利益のためにデータ処理が必要であること
10.3. 特別な種類の個人データの処理
当社は、特別な種類の個人データの処理に特に慎重を期しています。健康および性生活以外の特別な種類の個人データは、法律に明示的に定められている場合、データ主体の明示的同意を得ることなく処理することができます。健康および性生活に関する特別な種類の個人データは、公衆衛生の保護、予防医療、医学的診断、治療およびケアサービスの遂行を目的として、守秘義務を負う者または権限ある機関によってのみ処理することができます。
10.4. データ主体への通知
当社は、法第10条および下位法令に従い、データ主体に情報を提供しています。この観点から、当社は関係者に対し、個人データがデータ管理者としての誰により、どのような目的で処理されるのか、どのような目的で誰と共有されるのか、どのような方法で収集されるのか、その法的根拠、ならびにデータ主体の権利について情報を提供しています。
10.5. 個人データの移転
当社は、個人データの移転に関して、KVKKに定めるところ、および個人データ保護委員会が行った決定と規制に従って行動しています。当社が処理する個人データは、法令が義務付ける場合に限り、かつ処理目的に限定して、関係する公的機関、または契約関係に基づきサービスを受けるデータ処理者の立場にある当事者に移転されることがあります。
個人データの移転が行われる場合、関係者には通知文によりデータの処理および移転のプロセスについて情報が提供されます。
11. 個人データの保存および廃棄
当社は、個人データを、処理目的に必要な期間、および当該活動に適用される法令に定める最低期間に従って保管しています。法定期間が存在しない場合、個人データは処理目的に必要な期間保管されます。個人データは、定められた保存期間の終了時に、定期廃棄の期間またはデータ主体からの申請に応じて、定められた廃棄方法（消去、破棄、匿名化のいずれかまたは組み合わせ）により廃棄されます。
12. データ主体の権利およびその行使
12.1. データ主体の権利
関係者は、自らの個人データについて次の権利を有します。
- 個人データが処理されているかどうかを知ること
- 個人データが処理されている場合、それに関する情報を請求すること
- 個人データの処理目的、およびそれらが目的に沿って利用されているかどうかを知ること
- 国内または国外で個人データが移転された第三者を知ること
- 個人データが不完全または不正確に処理されている場合、その訂正を請求すること
- 個人データの処理を必要とする理由が消滅した場合、個人データの消去または破棄を請求すること
- 訂正、消去または破棄の処理について、個人データが移転された第三者への通知を求めること
- 処理されたデータがもっぱら自動化されたシステムにより分析された結果、自己に不利益な結果が生じることに異議を申し立てること
- 個人データが法律に違反して処理されたことにより損害を被った場合、損害の賠償を請求すること
12.2. 権利の行使
関係者は、上記の権利を、www.rglabs.io に掲載されている関係者申請フォームにより申請することで行使できます。
12.3. 当社による申請への回答
データ主体が権利に関する請求を所定の手続に従って当社に提出した場合、当社は請求の内容に応じて可能な限り速やかに、遅くとも30（三十）日以内に、無償で当該請求を処理します。ただし、処理に別途費用を要する場合には、委員会が定める料金表に従って料金を徴収することがあります。
12.4. 関係者が権利を主張できない場合
KVKK第28条第2項に基づき、次の場合には、損害の賠償を請求する権利を除き、関係者は権利を行使することができません。
- 犯罪の防止または犯罪捜査のために、個人データの処理が必要であること
- 関係者自身により公開された個人データの処理
- 法律に基づく権限により、所管の公的機関が監督または規制の業務を遂行するために、個人データの処理が必要であること
- 予算、税務および財政に関する国家の経済的・財政的利益の保護のために、個人データの処理が必要であること
13. 個人データが処理される特別な場合
13.1. カメラによる監視活動
RG Labsのオフィスが入居する建物の入口および共用エリアに関するカメラ記録は建物管理者が保持しており、これらのエリアに関する記録をRG Labsが処理することはありません。
RG Labsのオフィスエリアには当社が設置したカメラシステムがあり、このシステムはセキュリティ目的に限り映像および音声を記録しています。これらの記録へのアクセス権限は限られた数の権限ある職員にのみ付与され、記録は安全な環境に保管され、KVKKおよび関係法令に従って管理されています。
13.2. 来訪者の入退出の記録
セキュリティ確保のため、当社の建物において来訪者の入退出を記録する個人データ処理活動を行っています。来訪者の入退出記録のために取得したデータはこの目的のためにのみ処理され、当該個人データは物理的環境のデータ記録システムに記録されます。
13.3. ウェブサイトの訪問者
Cookieの記録は、当社公式ウェブサイトの動作および利用を改善するために使用されています。ウェブサイトで行われた設定を記憶するためにいくつかのCookieを利用しており、これにより利用者に改善されたパーソナライズされた体験を提供しています。ウェブサイトで使用しているCookieの詳細については、公式ウェブサイトのCookie通知文をご確認ください。
14. 個人データの処理活動に関する義務
14.1. データ管理者登録簿への登録および届出の義務
当社は、個人データ保護法第16条および「データ管理者登録簿に関する規則」の手続と原則に従い、データ管理者登録簿への登録義務を負っており、当社は当該義務を履行済みです。
14.2. データ主体への通知義務
当社は、個人データを収集する際、KVKK第10条に従い、関係者に明確に情報を提供しています。通知文には、当社の商号、所在地および連絡先、個人データの区分、個人データの処理目的、処理された個人データを誰にどの目的で移転し得るか、データの収集方法および法的根拠、ならびにKVKK第11条に定める関係者の権利が記載されています。
14.3. 個人データの安全確保義務
当社は、個人データ保護法第12条に従い、個人データの違法な処理の防止、個人データへの違法なアクセスの防止、および個人データの保管の確保を目的として、適切なセキュリティ水準を確保するために必要なあらゆる技術的・組織的措置を講じています。
14.3.1. 組織的措置
- 通知文が作成されている
- 従業員向けにデータセキュリティに関する規定を含む懲戒規程が整備されている
- 従業員向けにデータセキュリティに関する研修および啓発活動が定期的に実施されている
- 秘密保持誓約書が締結されている
- 締結された契約にはデータセキュリティに関する規定が含まれている
- 個人データ処理台帳が作成されている
- 個人データ保護委員会が設置されている
- 個人データのセキュリティに関するポリシーおよび手順が定められている
- 特別な種類の個人データのセキュリティに関するプロトコルおよび手順が定められ、実施されている
14.3.2. 技術的措置
- ネットワークセキュリティおよびアプリケーションセキュリティが確保されている
- 従業員向けの権限マトリクスが作成されている
- アクセスログが定期的に取得されている
- アクセス、情報セキュリティ、利用、保管および廃棄に関する社内ポリシーが作成されている
- 職務が変更された従業員または退職した従業員の権限が削除されている
- 最新のウイルス対策システムが使用されている
- 個人データはバックアップされ、バックアップされた個人データの安全が確保されている
- ログ記録は利用者が介入できない形で保持されている
- 社内で定期的および／または抜き打ちの監査が実施されている
14.4. 個人データ保護委員会の決定を履行する義務
当社は、個人データ保護機関の執行機関である個人データ保護委員会の決定に従って行動しています。
14.5. データ主体からの申請に回答する義務
当社は、データ管理者として、個人データ保護法第13条に従い、データ主体からの個人データに関する請求を、請求の内容に応じて可能な限り速やかに、遅くとも30（三十）日以内に処理しています。
14.6. 個人データの消去、破棄および匿名化の義務
KVKK第5条および第6条に定める個人データの処理要件がすべて消滅した場合、個人データはデータ管理者により、職権でまたは関係者の請求に基づき、消去、破棄または匿名化されなければなりません。
15. 本ポリシーおよび関係法令の適用
個人データの処理および保護に関しては、現行の関係法令が優先的に適用されます。現行法令と本ポリシーとの間に不整合がある場合、当社は現行法令が適用されることを認め、これを保証します。
16. 本ポリシーの発効
本ポリシーの発効日は2025年7月1日です。
本ポリシーは当社ウェブサイトで公開され、データ主体の請求に応じて関係者の閲覧に供されます。