1. 引言
个人数据保护是 RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti.（“公司”或“RG Labs”）最重要的优先事项之一，公司在这方面尽最大努力遵守所有现行法规。本《个人数据保护与处理政策》（“本政策”）阐述了本公司开展个人数据处理活动所采用的原则，以及为使本公司数据处理活动符合第6698号《个人数据保护法》（“本法”）规定而采用的基本准则，从而通过告知个人数据主体，确保必要的透明度。
本公司充分认识到在这方面的责任，并依据本政策处理个人数据。
数据控制者：RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti.
税号/身份证号（VKN/TCKN）：0110043048
地址：Küçükbakkalköy, Selvili Sok. No:4/79, 34750 Ataşehir/İstanbul
2. 目的
RG Labs 承诺遵守《土耳其共和国宪法》、第6698号《个人数据保护法》（KVKK）及相关法规中有关个人数据保护的规定，并保护数据主体的权利。
在此范围内，为确保所处理的有关员工、实习生、求职者、作为公司客户或潜在客户的法人的代表和员工、外部服务提供商的代表和员工、网站或数字平台用户、活动和培训参与者以及供应商联系人的个人数据的安全，并确保这些数据依法处理，本公司制定了书面的个人数据保护政策。
本政策的目标是：将 KVKK 合规在企业统一框架下形成体系，确保数据处理流程中的问责，记录并审查个人数据处理活动，管控与第三方的数据共享流程，提高员工意识并开展培训，依照法律和诚实信用原则处理个人数据，确保透明，实施与公司自身流程相适应的数据安全控制，并履行与个人数据保护相关的义务。
3. 范围
本政策适用于 RG Labs 在其内部流程中处理的个人数据。本政策涵盖与以下对象有关的个人数据处理活动：员工、求职者、实习生、作为公司客户或潜在客户的法人的代表和员工、外部服务提供商的代表和员工、网站或数字平台用户、活动和培训参与者、供应商员工，以及在公司业务范围内有限处理的运营数据。
由于作为公司客户的法人或自然人所持有的其自身客户的个人数据不在 RG Labs 系统中处理或保存，本政策不涵盖上述客户数据。
本政策的规定适用于 RG Labs 内部的所有部门、员工，以及在 KVKK 范围内参与个人数据处理流程的所有内部相关方。
公司在提供服务过程中合作的第三方，就其自身的个人数据处理活动而言属于独立的数据控制者，本政策仅规范 RG Labs 自身的处理活动。
4. 目标
本政策旨在提高 RG Labs 内部依法处理和保护个人数据的意识，以可持续的结构运行数据安全流程，并使 KVKK 合规成为公司内部的标准。
在此范围内，KVK 政策为履行 KVKK 及相关法规规定的义务提供了指导框架，并支持实施与公司自身数据处理活动相适应的管理和技术控制措施。
5. 定义与缩写
| 术语 | 定义 |
|---|---|
| 公司 | RG İnternet Reklam ve Bilişim Teknolojileri Ltd. Şti. |
| 明确同意 | 针对特定事项、基于充分告知并出于自由意志作出的同意。 |
| 匿名化 | 以使个人数据丧失个人数据属性且该状态不可逆转的方式对个人数据进行更改。 |
| 数据主体 | 其个人数据被处理的自然人。例如：员工、求职者、供应商联系人。 |
| 个人数据 | 与已识别或可识别的自然人有关的任何信息。例如：姓名、土耳其身份证号码（TCKN）、电子邮件、地址、出生日期等。 |
| 特殊类别个人数据 | 与种族、民族、政治观点、哲学信仰、宗教、教派或其他信仰、着装打扮、协会、基金会或工会会员身份、健康、性生活、刑事定罪和保安处分有关的数据，以及生物特征数据和基因数据。 |
| 个人数据处理 | 对数据进行的任何操作，例如以全部或部分自动化的方式，或以非自动化方式（前提是构成某一数据记录系统的一部分）获取、记录、存储、保存、更改、重新编排、披露、传输、接收、使其可被获取、分类或阻止使用个人数据。 |
| 数据控制者 | 确定个人数据处理目的和手段、并管理数据系统化存储场所的自然人或法人。 |
| KVKK | 2016年3月24日颁布、刊登于2016年4月7日第29677号《官方公报》的关于个人数据保护的第6698号法律。 |
| 本政策 | 公司的《个人数据保护与处理政策》。 |
| 定期销毁 | 当法律规定的个人数据处理条件全部不复存在时，定期重复执行的删除、销毁或匿名化操作。 |
| KEP | 注册电子邮件（KEP）系统：按发送时的原样保存您的各类商业和法律往来函件及文件交换，并确切认定收件人身份。 |
| KVKK 委员会 | 为在公司内部协调 KVKK 相关流程并持续跟踪法规遵从情况而设立的委员会。 |
6. 所处理个人数据的分类
个人数据是与已识别或可识别的自然人有关的任何信息。个人数据保护仅涉及自然人；属于法人且不包含自然人信息的数据不在个人数据保护范围之内。
| 个人数据类别 | 子类别及说明 |
|---|---|
| 身份 | 包含姓名、土耳其身份证号码、国籍、父母姓名、出生地、出生日期、性别等信息的文件，以及税号、SGK（社会保险）号码、签名信息等。 |
| 联系我们 | 电话号码、地址、电子邮件地址、传真号码等。 |
| 人事 | 工资单信息、纪律调查、入职与离职文件记录、简历信息、绩效评估报告等。 |
| 法律事务 | 与司法机关的往来函件信息、案件卷宗中的信息等。 |
| 客户交易 | 发票、本票、支票信息、申请信息、订单信息等。 |
| 物理场所安全 | 员工进出公司办公室的记录、摄像（图像和声音）记录等。 |
| 交易安全 | 网站登录与退出信息、IP 地址信息、密码和口令信息等。 |
| 职业经历 | 学历信息、参加的课程、在职培训信息、成绩单信息、证书等。 |
| 视觉和音频记录 | 办公室内摄像头采集的图像和声音记录。 |
| 特殊类别个人数据 | KVKK 第6条规定的数据（例如：包括血型在内的健康数据、生物特征数据等）。 |
RG Labs 在业务流程中仅在必要时处理法规就员工所强制要求的特殊类别数据；不处理客户或第三方的特殊类别数据。
7. 个人数据的存放环境
| 电子介质 | 非电子介质 |
|---|---|
| 服务器（域、备份、电子邮件、数据库、Web、文件共享等）、软件、信息安全设备、个人电脑、移动设备 | 打印机、扫描仪、复印机、纸张、书面/印刷/视觉介质、部门文件柜 |
8. 个人数据的处理目的
公司仅为开展公司业务所必需，并以下列目的为限处理个人数据：
8.1. 开展劳动关系相关流程
- 评估求职者，开展招聘流程
- 建立员工人事档案，办理薪酬、福利和工资单事务
- 开展员工绩效和能力评估流程
8.2. 保障职业健康与安全及工作场所秩序
- 依照法律义务保存职业健康与安全记录
- 保障公司办公室的安全，运行摄像系统
- 管控办公区域的出入
8.3. 开展行政、财务和运营流程
- 开展会计和财务事务
- 开展合同和供应商管理流程
- 开展开票、采购、支出和付款流程
- 开展内部审计、报告和控制活动
8.4. 运行信息安全与技术基础设施
- 管理系统访问并记录日志
- 实施网络安全流程和运营安全控制
- 开展数据备份、防止丢失/泄露、访问授权等流程
8.5. 履行法律义务
- 依照法规向主管公共机构和组织提供信息
- 履行审计、调查和官方往来函件所产生的义务
- 开展诉讼、强制执行程序等司法程序
8.6. 保障企业沟通与公司内部协调
- 开展与员工的公司内部沟通
- 开展培训、公告和信息告知流程
- 开展活动、入职培训和员工支持工作
9. 关于个人数据保护的事项
9.1. 确保个人数据的安全
公司依照 KVKK 第12条采取必要的技术和管理措施，以防止个人数据被非法处理、未经授权访问、披露或出现安全漏洞。
在此范围内，公司实施了访问权限限制、用户账户管理、网络与系统安全控制、记录与日志机制以及安全保存与销毁流程；只有因工作职责获得授权的员工才能访问个人数据。
在处理个人数据的所有流程中，公司均开展提高员工数据安全意识的宣导；员工有义务对因工作职责而接触的个人数据保密，不得与未经授权的人员或各方共享。
9.2. 特殊类别个人数据的保护
RG Labs 仅在法规就员工所强制要求的情形范围内处理特殊类别个人数据。在此范围内处理的特殊类别数据仅限于少量记录，例如为履行职业健康与安全义务或依照 SGK（社会保险）法规所需的健康数据。
对于所处理的这些有限的特殊类别个人数据，本公司依照 KVKK 第6条采取必要的技术和管理措施，将对这些数据的访问仅限于获得授权的人员，并确保这些数据得到安全保存。
9.3. 提高业务部门的意识并进行监督
公司致力于提高员工对个人数据保护义务的认识，并为此开展必要的宣导。新入职员工接受 KVKK 和数据安全基础意识培训；此外，在业务流程有需要时，也会就相关事项向员工进行说明。
9.4. 提高业务合作伙伴和供应商的意识
为确保供应商和业务合作伙伴同样履行个人数据保护义务，公司在与各方签订的合同中加入保密和个人数据保护条款。
10. 关于个人数据处理的事项
公司重视在处理个人数据时遵守法规规定的一般原则。在此范围内，公司依照《宪法》和《KVK 法》遵循以下原则。
10.1. 按照法规规定的原则处理个人数据
10.1.1. 遵守法律和诚实信用原则
公司依照《KVK 法》第4条开展个人数据处理活动：遵守法律和诚实信用原则；准确并在必要时保持最新；追求特定、明确和合法的目的；与目的相关、有限且适度。
10.1.2. 准确并在必要时保持最新
公司在数据处理程序中采取必要措施，确保所处理的数据准确且最新，并为数据主体提供更新其数据以及更正已处理数据中可能存在的错误的申请渠道。
10.1.3. 出于特定、明确和合法的目的进行处理
个人数据的处理与明确、具体的目的相关，并且有限、适度。避免处理无关或无需处理的个人数据。
10.1.4. 与处理目的相关、有限且适度
个人数据的处理与明确、具体的目的相关，并且有限、适度。除非有法律要求，否则不处理特殊类别个人数据；如需处理，则仅在相关法规规定的条件范围内处理，并采取必要的技术和管理措施。
10.1.5. 在相关法规规定的期限内保存
公司仅在相关法规和法律规定的期限内，或在个人数据处理目的所需的期限内，保存其处理的个人数据。在规定的保存期限届满时，个人数据按照定期销毁周期或数据主体的申请，以规定的销毁方式（删除和/或销毁和/或匿名化）予以销毁。
10.2. 个人数据的处理条件
除个人数据主体给予明确同意外，个人数据处理活动的依据可以是下列一项或多项条件：
- 法律有明确规定
- 因事实上无法实现而不能取得数据主体的明确同意
- 与合同的订立或履行直接相关
- 为履行数据控制者的法律义务所必需
- 数据主体已公开其个人数据
- 为设立或保护某项权利，必须进行数据处理
- 为数据控制者的合法利益，必须进行数据处理
10.3. 特殊类别个人数据的处理
公司在处理特殊类别个人数据时格外审慎。除健康和性生活以外的特殊类别个人数据，在法律明确规定的情况下，可以不经数据主体明确同意而处理。与健康和性生活有关的特殊类别个人数据，则只能出于保护公共健康、预防医学、医疗诊断、治疗和护理服务的目的，由负有保密义务的人员或获授权的机构和组织处理。
10.4. 向个人数据主体履行告知
公司依照本法第10条及配套法规向个人数据主体履行告知义务。在此范围内，公司告知数据主体：作为数据控制者由谁处理个人数据、出于何种目的处理、出于何种目的与谁共享、通过何种方式收集及其法律依据，以及数据主体享有的权利。
10.5. 个人数据的传输
在个人数据传输方面，公司遵守 KVKK 的规定以及 KVK 委员会作出的决定和规章。公司处理的个人数据仅在法规强制要求的情况下，并以处理目的为限，传输给相关官方机构和组织，或在合同关系范围内传输给作为数据处理者提供服务的各方。
在涉及个人数据传输的情况下，将通过告知书向数据主体告知数据处理和传输流程。
11. 个人数据的保存与销毁
本公司按照处理目的所需的期限以及相关活动所适用法规规定的最短期限保存个人数据。如无法定期限，则个人数据在处理目的所需的期限内保存。在规定的保存期限届满时，个人数据按照定期销毁周期或数据主体的申请，以规定的销毁方式（删除和/或销毁和/或匿名化）予以销毁。
12. 个人数据主体的权利及其行使
12.1. 个人数据主体的权利
数据主体对其个人数据享有以下权利：
- 了解个人数据是否被处理
- 如个人数据已被处理，要求获取相关信息
- 了解个人数据的处理目的以及是否按目的使用
- 了解个人数据在境内或境外被传输至的第三方
- 如个人数据处理不完整或不正确，要求予以更正
- 在处理个人数据的理由不复存在时，要求删除或销毁个人数据
- 要求将更正、删除或销毁操作通知个人数据被传输至的第三方
- 对仅通过自动化系统分析所处理数据而产生的不利结果提出异议
- 因个人数据被非法处理而遭受损失时，要求赔偿损失
12.2. 权利的行使
数据主体可通过 www.rglabs.io 网站上的数据主体申请表提交申请，行使上述权利。
12.3. 本公司对申请的答复
如个人数据主体按规定程序向本公司提交有关其权利的请求，本公司将根据请求的性质，尽快并最迟在 30（三十）天内免费处理完毕。但如处理需要额外费用，可按照委员会规定的收费标准收取费用。
12.4. 数据主体不得主张其权利的情形
根据 KVKK 第28/2条的规定，在以下情形中，除要求赔偿损失的权利外，数据主体不得行使其权利：
- 个人数据处理是预防犯罪或进行刑事调查所必需
- 处理由数据主体本人公开的个人数据
- 个人数据处理是依法获得授权的主管公共机构和组织执行监督或监管职能所必需
- 个人数据处理是为保护国家在预算、税收和财政事务方面的经济和财政利益所必需
13. 处理个人数据的特殊情形
13.1. 摄像监控活动
RG Labs 办公室所在大楼的入口和公共区域的摄像记录由大楼管理方保存，RG Labs 不处理与这些区域有关的任何记录。
RG Labs 办公区域装有公司安装的摄像系统，该系统仅出于安全目的录制图像和声音。只有少数获得授权的人员有权访问这些记录，记录保存在安全的环境中，并依照 KVKK 及相关法规进行管理。
13.2. 访客出入跟踪
出于安全目的，公司对公司大楼的访客出入跟踪进行个人数据处理。为跟踪访客出入而获取的数据仅用于此目的，相关个人数据记录在纸质数据记录系统中。
13.3. 网站访问者
Cookie 记录用于改进公司官方网站的运行方式和使用体验。网站使用部分 Cookie 来记住用户在网站上的偏好设置，从而为用户提供更好的个性化体验。有关网站所用 Cookie 的详细信息，请查阅官方网站上的 Cookie 告知书。
14. 与个人数据处理活动有关的义务
14.1. 数据控制者登记簿注册与通知义务
本公司依照《KVK 法》第16条以及《数据控制者登记簿条例》规定的程序和原则，负有在数据控制者登记簿中登记的义务，本公司已履行该义务。
14.2. 向数据主体履行告知的义务
公司在收集个人数据时，依照 KVKK 第10条明确告知数据主体。告知书包括：公司名称、详细地址和联系方式，个人数据类别，个人数据的处理目的，所处理的个人数据可传输给谁以及传输目的，数据收集方式及法律依据，以及 KVKK 第11条所列的数据主体权利。
14.3. 确保个人数据安全的义务
公司依照《KVK 法》第12条，采取一切必要的技术和管理措施，确保适当的安全水平，以防止个人数据被非法处理、防止个人数据被非法访问，并确保个人数据得到妥善保存。
14.3.1. 管理措施
- 已编写告知书
- 针对员工制定了包含数据安全条款的纪律规定
- 定期为员工开展数据安全培训和意识提升活动
- 签署保密承诺书
- 所签订的合同包含数据安全条款
- 已编制个人数据处理清单
- 已成立个人数据保护委员会
- 已制定个人数据安全政策和程序
- 已制定并实施特殊类别个人数据安全协议和程序
14.3.2. 技术措施
- 保障网络安全和应用安全
- 已为员工建立权限矩阵
- 定期保存访问日志
- 已制定关于访问、信息安全、使用、保存和销毁的企业政策
- 撤销调岗或离职员工的权限
- 使用最新的防病毒系统
- 对个人数据进行备份，并确保备份数据的安全
- 日志记录以不受用户干预的方式保存
- 开展内部定期和/或随机审查
14.4. 执行 KVK 委员会决定的义务
公司遵守 KVK 机构的执行机关 KVK 委员会作出的决定。
14.5. 答复数据主体申请的义务
公司作为数据控制者，依照《KVK 法》第13条，根据请求的性质，尽快并最迟在三十（30）天内处理数据主体有关其个人数据的请求。
14.6. 删除、销毁和匿名化个人数据的义务
如 KVKK 第5条和第6条规定的个人数据处理条件全部不复存在，数据控制者必须主动或应数据主体的请求删除、销毁个人数据或对其进行匿名化处理。
15. 本政策及相关法规的实施
有关个人数据处理和保护的现行法律规定优先适用。如现行法规与本政策不一致，本公司承认并确保适用现行法规。
16. 本政策的生效
本政策的生效日期为2025年7月1日。
本政策在公司网站上发布，并应个人数据主体的请求提供给相关人员查阅。