Traitement des données personnelles

INVENTAIRE DES ACTIVITÉS DE TRAITEMENT DES DONNÉES PERSONNELLES DE YOUSIZER.COM

04.01.2026

1. INFORMATIONS SUR LE RESPONSABLE DU TRAITEMENT DES DONNÉES

Yoursizer Teknoloji agit en qualité de responsable du traitement des données conformément à la loi n° 6698 relative à la protection des données personnelles (KVKK). Ce document précise l’identité et la structure juridique de notre entreprise et garantit que nos activités de traitement des données personnelles sont enregistrées de manière transparente, systématique et conforme à la loi. Ces informations constituent un point de référence essentiel pour les personnes concernées souhaitant exercer leurs droits et communiquer avec notre entreprise.

2. MÉTHODOLOGIE ET PORTÉE DE L'INVENTAIRE

Le présent inventaire des activités de traitement des données personnelles a été établi afin de garantir que les processus de traitement des données personnelles de Yoursizer Technology sont pleinement conformes aux dispositions de la loi n° 6698 relative à la protection des données personnelles (KVKK) et du règlement relatif à l’effacement, à la destruction ou à l’anonymisation des données personnelles, ainsi qu’à toute autre législation secondaire applicable. Cet inventaire repose sur les « Principes généraux » énoncés à l’article 4 de la KVKK. Ces principes comprennent l’obligation de traiter les données personnelles conformément à la loi et aux règles de loyauté, de les rendre exactes et à jour lorsque cela est nécessaire, de les traiter pour des finalités spécifiques, explicites et légitimes, de les rendre pertinentes, limitées et proportionnées à la finalité du traitement, et de les conserver pendant la durée prévue par la législation applicable ou nécessaire à la finalité du traitement.

Notre inventaire recense toutes les activités de traitement de données personnelles réalisées par notre entreprise selon une approche par activité. Cette méthodologie vise à associer systématiquement chaque processus métier (par exemple, la gestion de comptes, le développement d'algorithmes, le support client) à une activité, ainsi qu'aux catégories de données traitées dans le cadre de cette activité (par exemple, les informations d'identité, les données biométriques, les données de sécurité des transactions), aux finalités du traitement, à la base juridique, aux durées maximales de conservation et aux destinataires auxquels les données sont transférées. De cette manière, la transparence de nos processus de traitement des données est renforcée, les risques sont gérés plus efficacement et les droits des personnes concernées sont mieux protégés.

La catégorisation des données, conformément à l'esprit de la loi turque sur la protection des données personnelles (KVKK), repose sur le regroupement des données personnelles selon leurs caractéristiques communes. Par exemple, les informations telles que le nom, le prénom et l'adresse électronique sont classées dans la catégorie « Données d'identité et de contact » ; les mesures telles que la taille et le tour de taille sont classées dans la catégorie « Données biométriques » ; et les données techniques telles que l'adresse IP et les informations du navigateur sont classées dans la catégorie « Données de sécurité des transactions ». Cette classification détaillée garantit l'application correcte des exigences légales et des mesures de sécurité spécifiques à chaque type de données. L'inventaire est un document dynamique et est régulièrement mis à jour en fonction des changements pouvant survenir dans les activités de notre entreprise ou au sein de la législation.

3. MATRICE DE TRAITEMENT DES DONNÉES BASÉE SUR L'ACTIVITÉ

Les activités de traitement des données personnelles de Yoursizer Teknoloji couvrent un large éventail de domaines, englobant le fonctionnement de base de notre plateforme, les services qu'elle propose et ses processus opérationnels. Le tableau ci-dessous détaille la portée de chaque activité, les catégories

de données traitées, la base juridique, les durées maximales de conservation et les destinataires potentiels. Ce tableau a été établi conformément aux principes de « traitement à des fins spécifiques, explicites et légitimes » et de « pertinence, limitation et proportionnalité au regard de la finalité du traitement », tels qu'énoncés à l'article 4 de la loi turque sur la protection des données personnelles (KVKK).

4. CRITÈRES DE STOCKAGE, DE SAUVEGARDE ET DE DESTRUCTION DES DONNÉES

Yoursizer Technology applique rigoureusement le principe de « conservation des données pendant la durée nécessaire à la finalité du traitement », tel que stipulé à l'article 4 de la loi allemande sur la protection des données personnelles (KVKK), ainsi que les dispositions du Règlement général sur la protection des données (RGPD) relatif à l'effacement, la destruction ou l'anonymisation des données personnelles, lors des opérations de stockage, de sauvegarde et de destruction des données personnelles. Ces procédures visent à garantir la sécurité et la confidentialité des données à chaque étape de leur cycle de vie.

4.1. Détermination des durées de stockage :Les durées maximales de conservation spécifiées dans la matrice de traitement des données ont été déterminées en tenant compte de la finalité du traitement de chaque catégorie de données, des obligations légales applicables et de la nécessité de fournir des preuves en cas de litiges. Cela est particulièrement vrai pour les documents financiers et comptables (factures, relevés de paiement/transaction, contrats/bons de livraison et documents similaires), qui sont régis par des législations telles que le Code de commerce turc (TTK) et la loi de procédure fiscale (VUK).10 ans Il existe une obligation légale de conservation des données. Après une période de 10 ans, les données sont anonymisées et peuvent être utilisées pour l'alimentation des algorithmes. En cas de demande de suppression, les données sont chiffrées et détruites de manière irréversible, conformément à la législation. Ces enregistrements sont conservés pendant une durée supérieure à la durée générale spécifiée dans l'inventaire, comme le prévoit la législation applicable, en raison de l'obligation de tenir des registres et documents commerciaux. Les données biométriques et les paramètres des avatars 3D utilisés pour le développement des algorithmes et à des fins d'analyse statistique sont stockés sous forme anonymisée ou pseudonymisée, dans l'intérêt légitime du système d'améliorer ses capacités d'apprentissage et sa précision.10 ansElle est conservée pendant une période déterminée. Cette période est mise en œuvre selon des mesures techniques et administratives empêchant l'identification directe de la personne concernée.

4.2. Politique et rotation des sauvegardes :Notre entreprise effectue régulièrement des sauvegardes de données personnelles afin de garantir la continuité de ses activités et de prévenir toute perte de données. Les données stockées sur les supports de sauvegarde sont soumises aux mêmes normes de sécurité que les données du système en production. Plus précisément, pour les données stockées sur les supports de sauvegarde…72 joursUne période de rotation a été mise en place. Les sauvegardes sont conservées pendant 72 jours, après quoi elles sont automatiquement supprimées et remplacées par de nouvelles. Cette période offre un équilibre entre les besoins de récupération des données et les obligations de minimisation et de destruction des données. Les durées de conservation des sauvegardes sont gérées de manière à ne jamais excéder les durées de conservation maximales du système en production. En particulier pour les sauvegardes de données biométriques, l'accès est strictement restreint et protégé par chiffrement, même pendant cette période de rotation de 72 jours.

4.3. Méthodes de destruction et destruction périodique :Si la finalité du traitement cesse d’exister ou si le délai légal de conservation expire, les données personnelles sont effacées, détruites ou anonymisées automatiquement ou à la demande de la personne concernée, conformément à l’article 7 du Règlement général sur la protection des données (RGPD). Notre société effectue ces opérations périodiquement et, en tout état de cause…ne dépassant pas six moisElle est effectuée à intervalles réguliers.

Les méthodes de destruction utilisées sont les suivantes :

• •Effacement sécurisé (effacement permanent) :Rendre les enregistrements de bases de données ou les données des systèmes de fichiers totalement inaccessibles et inutilisables pour les utilisateurs concernés. Ceci est réalisé en écrasant les données avec des informations arbitraires ou en supprimant définitivement les enregistrements de la base de données.

• •Destruction cryptographique :Les données chiffrées deviennent illisibles par la destruction irréversible de leurs clés de chiffrement. Cette méthode est particulièrement utilisée dans les environnements de sauvegarde chiffrés.

• •Anonymisation :L'anonymisation est le processus qui consiste à rendre les données personnelles impossibles à relier à une personne physique identifiée ou identifiable, même combinées à d'autres données. Cette technique est particulièrement utilisée pour le stockage à long terme des données à des fins de développement d'algorithmes. Des méthodes telles que l'agrégation, le masquage, l'espacement et l'amplification du bruit permettent de rompre définitivement le lien entre les données et l'individu. L'irréversibilité du processus d'anonymisation est vérifiée par des rapports techniques et des audits indépendants.

• •Destruction physique :La destruction irréversible des supports de stockage physiques (disque dur, clé USB, etc.).

Tous les processus de destruction sont consignés et ces enregistrements sont conservés pendant au moins trois ans, sous réserve d'autres obligations légales.

5. GROUPES DE TRANSFERT ET DE RÉCEPTION DE DONNÉES

Yoursizer Technology respecte scrupuleusement les conditions stipulées aux articles 8 et 9 de la loi turque sur la protection des données personnelles (KVKK) lors des transferts de données personnelles. Ces transferts sont effectués uniquement à des fins définies et légitimes, dans le respect du principe de minimisation des données et en prenant les mesures de sécurité nécessaires.

5.1. Transferts nationaux :Les données personnelles traitées au sein de notre entreprise peuvent être transférées principalement aux groupes de destinataires nationaux suivants :

• •Équipe de direction interne et services concernés :Les données personnelles sont partagées entre les services concernés et le personnel autorisé uniquement en cas de nécessité, conformément aux finalités du traitement (par exemple, le service client pour la gestion des comptes, l'équipe de développement logiciel pour la création d'algorithmes, le service comptable pour la facturation). Ces transferts sont indispensables au fonctionnement interne de l'entreprise et à la fourniture des services.

• •Fournisseurs d'infrastructures techniques :Des données personnelles peuvent être transférées à nos partenaires commerciaux turcs qui fournissent des services de bases de données (par exemple, architectures PostgreSQL et MongoDB), d'hébergement de serveurs, de gestion des journaux et d'autres services de support technique, ce transfert étant nécessaire à l'exécution de ces services. Ces transferts sont fondés sur l'article 5/2-c (Exécution du contrat) de la loi turque sur la protection des données personnelles (KVKK) afin de respecter nos obligations contractuelles et d'assurer le fonctionnement continu de notre plateforme.

• •Unité Comptabilité/Finance :Les données relatives aux processus de paiement et de facturation sont partagées avec notre service comptable et financier afin de respecter les obligations légales.

• •Institutions et organisations publiques autorisées :Vos données personnelles peuvent être transférées aux institutions et organisations publiques compétentes afin de remplir une obligation légale ou à la demande des autorités judiciaires/administratives autorisées (article 5/2-ç de la loi KVKK).

5.2. Transferts internationaux :Notre entreprise n'effectue actuellement aucun transfert direct de données à l'international. Toutes les données personnelles sont traitées et stockées dans des centres de données situés en Turquie. Toutefois, si nous devions collaborer à l'avenir avec des prestataires de services internationaux ou si nos services d'infrastructure cloud étaient hébergés dans des centres de données à l'étranger, nous veillerions au respect intégral de l'article 9 de la loi turque sur la protection des données personnelles (KVKK) et de la législation applicable. En cas de transfert de données, une ou plusieurs des garanties suivantes seraient mises en œuvre :

• •Transfert de données vers des pays reconnus compétents par l'Autorité de protection des données personnelles,

• •Dans les cas où aucune décision de qualification n'est disponible, les clauses contractuelles standard (CCS) annoncées par le Conseil seront utilisées et communiquées à l'Institution. ● L’existence d’un engagement écrit contenant des dispositions visant à assurer une protection adéquate, et l’autorisation du transfert par le Conseil d’administration.

Dans tous les cas, des mesures techniques et administratives telles que le chiffrement, les restrictions d'accès, l'autorisation basée sur les rôles et la journalisation seront mises en œuvre pour assurer la sécurité des données transmises ; et le destinataire des données sera contractuellement tenu de fournir le même niveau de protection.

6. MESURES TECHNIQUES ET ADMINISTRATIVES RELATIVES À LA SÉCURITÉ DES DONNÉES

Yoursizer Technology met en œuvre toutes les mesures techniques et administratives nécessaires pour garantir la sécurité des données personnelles conformément à l'article 12 de la loi KVKK (loi sur la protection des données personnelles) et réévalue régulièrement ces mesures. Des mesures supplémentaires et plus strictes sont appliquées, notamment pour les données personnelles sensibles telles que les données biométriques.

6.1. Mesures techniques :

• •Sécurité des bases de données :

• •Isolation du réseau (isolation VPC) :Les bases de données (systèmes relationnels et documentaires tels que PostgreSQL et MongoDB) sont hébergées dans des réseaux virtuels privés (VPC – Virtual Private Cloud) totalement isolés de la couche

applicative. Ceci garantit que les bases de données ne sont accessibles que par l'intermédiaire de serveurs d'applications autorisés, empêchant ainsi tout accès direct depuis Internet.

• •Bibliothéconomie turque (TLS) :Toutes les communications de données entre les bases de données, les serveurs d'applications et les autres systèmes autorisés sont chiffrées de bout en bout à l'aide du protocole TLS (Transport Layer Security). Cela empêche toute interception des données pendant leur transmission par des personnes non autorisées.

• •Chiffrement au repos :Les données personnelles stockées dans les bases de données sont protégées par des algorithmes de chiffrement robustes au niveau du disque (chiffrement au repos). Les clés de chiffrement sont gérées de manière sécurisée par un système de gestion de clés (KMS) distinct et à accès restreint.

• •Chiffrement basé sur le domaine :Pour les données sensibles telles que les données biométriques, outre le chiffrement au niveau de la base de données, des techniques de chiffrement au niveau des champs peuvent être mises en œuvre au niveau de

l'application. Cela permet une protection des données plus granulaire.

• •Gestion des accès et autorisation (RBAC/MFA) :

• •Contrôle d'accès basé sur les rôles (RBAC) :L'accès aux données personnelles est strictement limité selon le principe du moindre privilège, conformément aux

descriptions de poste et à la grille d'autorisation de chaque employé. Chaque employé n'a accès qu'aux données nécessaires à l'exercice de ses fonctions.

• •Authentification multifacteurs (MFA) :L’authentification multifacteurs (MFA) est obligatoire pour tous les systèmes qui donnent accès à l’environnement de production et aux données sensibles.

• •Journaux d'accès :L'accès aux données personnelles est consigné en détail, notamment qui a accédé à quelles données et à quel moment. Ces journaux sont régulièrement surveillés et analysés afin de détecter les anomalies.

• •Pseudonymisation :Les données biométriques (mensurations corporelles et paramètres d'avatar 3D) sont notamment dissociées des informations permettant l'identification directe et associées à un jeton ou à un identifiant utilisateur. Cette dissociation rend l'identification

directe plus difficile lors de l'analyse des ensembles de données. Cette technique est conforme au principe de « pertinence, limitation et proportionnalité » énoncé à l'article 4/2-ç de la loi turque sur la protection des données personnelles (KVKK).

• •Mises à jour de sécurité et gestion des vulnérabilités :Tous les systèmes et logiciels sont régulièrement mis à jour avec des correctifs de sécurité. Des analyses de vulnérabilité et des tests d'intrusion sont effectués périodiquement afin d'identifier et de corriger les failles de sécurité potentielles.

• •Gestion des secrets :Les informations sensibles, telles que les informations de connexion à la base de données et les clés API, sont gérées par des systèmes de gestion de secrets sécurisés (tels que HashiCorp Vault, AWS Secrets Manager) et ne sont pas stockées directement dans le code.

6.2. Mesures administratives :

• •Formation et sensibilisation du personnel :Tous les employés reçoivent une formation régulière sur la protection des données personnelles, la sécurité des données et la présente politique d'inventaire, de stockage et de destruction. Le niveau de sensibilisation des employés est constamment renforcé.

• •Accords de confidentialité :Des accords de confidentialité sont signés avec tous les employés et partenaires commerciaux ayant accès aux données personnelles.

• •Minimisation des données :Lors de la collecte de données personnelles, le principe adopté est de ne collecter que les données strictement nécessaires à la fourniture du service. Une procédure d'information et de consentement explicite distincte est mise en œuvre pour les données facultatives.

• •Plan d'inspection et d'intervention en cas d'incident :Les processus de traitement des données et les mesures de sécurité font l'objet d'audits réguliers. Un plan de réponse aux incidents est en place afin de garantir une intervention rapide et efficace en cas de violation de données.

7. GESTION DES CIRCONSTANCES EXCEPTIONNELLES ET PARTICULIÈRES

En tant que société Yoursizer Technology, et compte tenu de la nature de notre service, nous ne traitons généralement pas de données personnelles sensibles (article 6 de la loi kényane sur la protection des données personnelles). Cependant, dans des circonstances exceptionnelles, les utilisateurs peuvent être amenés à partager volontairement des données personnelles sensibles (telles que des données de santé, l'appartenance syndicale, l'appartenance religieuse ou sectaire, les opinions politiques, les condamnations pénales, etc.) qui ne relèvent pas de la finalité du service, notamment dans les champs de texte libre ou lors de demandes d'assistance. La gestion de ces situations est effectuée avec la plus grande rigueur, dans le respect des principes de licéité et de loyauté, ainsi que des principes de pertinence, de limitation et de proportionnalité au regard de la finalité, énoncés à l'article 4 de la loi kényane sur la protection des données personnelles.

7.1. Principe de traitement des données :

• •Traitement minimal :Les données personnelles sensibles communiquées par l'utilisateur sans son consentement sont traitées uniquement aux fins d'évaluation de la demande et de la mise en œuvre du service d'assistance, et ce, dans la stricte mesure du strict minimum. Ces données n'étant pas nécessaires au fonctionnement de notre plateforme, nous veillons à ce qu'elles ne soient pas conservées de manière permanente dans nos systèmes.
• •Sensibilisation et avertissement :Les formulaires de demande d'assistance ou les champs de saisie de texte libre incluent des rappels et des informations conseillant aux utilisateurs de ne pas partager de données personnelles sensibles.

• •Base juridique :Le traitement de ces données peut reposer sur des fondements juridiques tels que l’« exécution d’un contrat » (fourniture de services d’assistance), l’« intérêt légitime » (gestion et justification de la demande) ou le « consentement explicite » (volonté de partage) de la personne concernée, selon la nature de la demande. Toutefois, ces fondements ne légitiment pas le traitement des données à des fins autres que la finalité principale du service ; ils permettent uniquement la gestion de la situation en cours.

7.2. Destruction rapide et minimisation :

• •Ces données personnelles sensibles, partagées sans consentement, sont conservées pendant une courte période, limitée au traitement de la demande d'assistance et à la fourniture de preuves en cas de litige. Par exemple, une fois la demande d'assistance traitée, les données concernées sont supprimées ou détruites de manière sécurisée dans les meilleurs délais (par exemple, sous quelques jours ou semaines).

• •Si l'anonymisation des données est possible, cette méthode est privilégiée. Cependant, comme ces données sont souvent non structurées, on utilise généralement des méthodes de suppression ou de destruction sécurisées plutôt que l'anonymisation.

• •Le transfert de données à l'étranger et leur partage avec des tiers ne sont généralement pas autorisés. Si des prestataires de services essentiels (par exemple, pour la transmission de courriels) interviennent, ce transfert n'a lieu que sur instruction, à des fins limitées et sous réserve des garanties contractuelles et techniques nécessaires. Le respect intégral de l'article 9 de la loi relative à la protection des données personnelles et de la législation connexe est assuré dans le cadre de ces processus.

La gestion de ces circonstances exceptionnelles témoigne de l'engagement de notre entreprise envers les principes de minimisation et de sécurité des données.

8. APPROBATION ET DATE D'ENTRÉE EN VIGUEUR

Le présent inventaire des activités de traitement des données personnelles a été élaboré afin de documenter les processus de traitement des données personnelles de Yoursizer Technology de manière transparente et conforme à la législation. Cet inventaire témoigne de l'engagement de notre entreprise en matière de protection des données personnelles et s'applique à tous les services concernés.

L'inventaire sera régulièrement revu et mis à jour en fonction des évolutions législatives ou des processus métier de notre entreprise. La période de mise à jour sera d'au moins [nombre] ans.tous les six moisCela a été établi. Ces révisions périodiques visent à garantir que l'inventaire soit toujours à jour, exact et complet.

Cet inventaire,04.01.2026Elle est entrée en vigueur le [date] avec l'approbation du Conseil d'administration.

Approuvé par :