Trattamento dei Dati Personali

INVENTARIO DELLE ATTIVITÀ DI TRATTAMENTO DEI DATI PERSONALI DI YOUSIZER.COM

04.01.2026

1. INFORMAZIONI SUL TITOLARE DEL TRATTAMENTO

Yoursizer Teknoloji agisce in qualità di titolare del trattamento dei dati ai sensi della Legge n. 6698 sulla protezione dei dati personali (KVKK). Il presente inventario chiarisce l'identità aziendale e la natura giuridica della nostra azienda, garantendo al contempo che le nostre attività di trattamento dei dati personali siano registrate in modo trasparente, sistematico e conforme alla legge. Queste informazioni costituiscono un punto di riferimento fondamentale per gli interessati, che possono esercitare i propri diritti e comunicare con la nostra azienda.

2. METODOLOGIA E AMBITO DELL'INVENTARIO

Il presente Inventario delle Attività di Trattamento dei Dati Personali è stato redatto per garantire che i processi di trattamento dei dati personali di Yoursizer Technology siano pienamente conformi alle disposizioni della Legge n. 6698 sulla Protezione dei Dati Personali (KVKK) e del Regolamento sulla Cancellazione, Distruzione o Anonimizzazione dei Dati Personali, nonché ad altre normative secondarie pertinenti. L'inventario si basa sui "Principi Generali" di cui all'articolo 4 del KVKK. Tali principi includono l'obbligo che i dati personali siano trattati nel rispetto della legge e delle regole di correttezza, siano accurati e aggiornati quando necessario, siano trattati per finalità determinate, esplicite e legittime, siano pertinenti, limitati e proporzionati alle finalità per le quali sono trattati e siano conservati per il periodo stabilito dalla normativa pertinente o necessario alle finalità per le quali sono trattati.

Il nostro inventario comprende tutte le attività di trattamento dei dati personali svolte dalla nostra Azienda utilizzando un "approccio basato sulle attività". Questa metodologia mira ad associare sistematicamente ogni processo aziendale (ad esempio, gestione degli account, sviluppo di algoritmi, assistenza clienti) come un'attività, insieme alle categorie di dati trattati nell'ambito di tale attività (ad esempio, informazioni sull'identità, dati biometrici, dati sulla sicurezza delle transazioni), alle finalità del trattamento, alla base giuridica, ai periodi massimi di conservazione e ai gruppi di destinatari a cui i dati vengono trasferiti. In questo modo, la trasparenza nei nostri processi di trattamento dei dati aumenta, i rischi vengono gestiti in modo più efficace e i diritti degli interessati sono meglio tutelati.

La categorizzazione dei dati, in conformità con lo spirito della KVKK (Legge turca sulla protezione dei dati personali), si basa sul raggruppamento dei dati personali in base alle loro caratteristiche comuni. Ad esempio, informazioni come nome, cognome e indirizzo e-mail sono classificate come "Informazioni di identità e contatto"; misure come altezza e circonferenza vita sono classificate come "Dati biometrici"; e dati tecnici come indirizzo IP e informazioni sul browser sono classificati come "Dati di sicurezza delle transazioni". Questa classificazione dettagliata garantisce la corretta applicazione dei requisiti legali e delle misure di sicurezza specifiche per ciascuna tipologia di dati. L'inventario è un documento dinamico e viene regolarmente aggiornato in linea con le modifiche che possono verificarsi nelle attività o nella legislazione della nostra azienda.

3. MATRICE DI ELABORAZIONE DATI BASATA SULL'ATTIVITÀ

Le attività di trattamento dei dati personali di Yoursizer Teknoloji si svolgono in un'ampia gamma di ambiti, che comprendono il funzionamento principale della nostra piattaforma, i servizi offerti e i suoi processi operativi. La matrice sottostante descrive dettagliatamente l'ambito di ciascuna attività, le categorie di dati trattati, la base giuridica, i periodi massimi di conservazione e i potenziali gruppi di destinatari. Questa matrice è stata redatta in conformità con i principi di "trattamento per finalità determinate, esplicite e legittime" e "pertinenza, limitazione e proporzionalità rispetto alle finalità per le quali sono trattati", come stabilito dall'articolo 4 del KVKK (Legge turca sulla protezione dei dati personali).

4. CRITERI DI ARCHIVIAZIONE, BACKUP E DISTRUZIONE DEI DATI

Yoursizer Technology applica meticolosamente il principio di "conservazione solo per il periodo necessario al conseguimento delle finalità per le quali sono stati trattati", come stabilito dall'articolo 4 della Legge sulla Protezione dei Dati Personali (KVKK) e dalle disposizioni del Regolamento sulla Cancellazione, Distruzione o Anonimizzazione dei Dati Personali, nei processi di archiviazione, backup e distruzione dei dati personali. Questi processi mirano a garantire la sicurezza e la riservatezza dei dati in ogni fase del loro ciclo di vita.

4.1. Determinazione dei tempi di conservazione:I periodi massimi di conservazione specificati nella Matrice di Trattamento dei Dati sono stati determinati tenendo conto della finalità del trattamento di ciascuna categoria di dati, degli obblighi di legge pertinenti e della necessità di prova in potenziali controversie legali. Ciò vale in particolare per i documenti finanziari e contabili (fatture, registrazioni di pagamenti/transazioni, contratti/bolle di consegna e documenti simili), che sono disciplinati da normative quali il Codice Commerciale Turco (TTK) e la Legge di Procedura Tributaria (VUK).10 anni Esiste un obbligo di conservazione legale e, dopo un periodo di 10 anni, i dati vengono resi anonimi e possono essere utilizzati per l'alimentazione degli algoritmi. In caso di richiesta di cancellazione, i dati vengono crittografati e distrutti in modo irreversibile, in conformità con la normativa vigente. Questi dati vengono conservati per un periodo superiore a quello generale specificato nell'inventario, come previsto dalla normativa vigente, a causa dell'obbligo di conservazione dei registri e dei documenti commerciali. I dati biometrici e i parametri degli avatar 3D utilizzati per lo sviluppo degli algoritmi e l'analisi statistica vengono conservati in forma anonima o pseudonimizzata, nell'interesse legittimo del sistema ad aumentarne i tassi di apprendimento e accuratezza.10 anniSono conservati per un periodo di tempo determinato. Tale periodo è attuato mediante misure tecniche e amministrative che impediscono l'identificazione diretta dell'interessato.

4.2. Criteri di backup e rotazione:La nostra azienda esegue regolarmente il backup dei dati personali per garantire la continuità aziendale e prevenire potenziali perdite di dati. I dati archiviati su supporti di backup sono soggetti agli stessi standard di sicurezza dei dati presenti nel sistema operativo. In particolare, per i dati archiviati su supporti di backup...72 giorniÈ stato stabilito un periodo di rotazione. Ciò significa che i backup vengono conservati per 72 giorni, dopodiché vengono automaticamente eliminati e sostituiti con nuovi backup. Questo periodo offre un approccio equilibrato tra le esigenze di recupero dei dati e gli obblighi di minimizzazione e distruzione dei dati. I periodi di conservazione dei backup sono gestiti in modo tale da non superare mai i periodi di conservazione massimi del sistema attivo. In particolare, per i backup di set di dati biometrici, l'accesso è rigorosamente limitato e protetto tramite crittografia anche durante questo periodo di rotazione di 72 giorni.

4.3. Metodi di distruzione e distruzione periodica:Se la finalità del trattamento cessa di esistere o il periodo di conservazione legale scade, i dati personali saranno cancellati, distrutti o resi anonimi automaticamente o su richiesta dell'interessato, ai sensi dell'articolo 7 del Regolamento sulla cancellazione, distruzione o anonimizzazione dei dati personali. La nostra azienda eseguirà questi processi periodicamente, in ogni caso...non superiore a sei mesiViene eseguito a intervalli di tempo.

I metodi di distruzione utilizzati sono i seguenti:

• •Cancellazione sicura (cancellazione permanente):Rendere i record del database o i dati nei file system completamente inaccessibili e inutilizzabili per gli utenti interessati. Questo risultato si ottiene sovrascrivendo i dati con informazioni arbitrarie o eliminando irreversibilmente i record del database.

• •Distruzione crittografica:I dati crittografati vengono resi illeggibili distruggendo irreversibilmente le relative chiavi di crittografia. Questo metodo è particolarmente utilizzato negli ambienti di backup crittografati.

• •Anonimizzazione:L'anonimizzazione è il processo che rende i dati personali non riconducibili a una persona fisica identificata o identificabile, anche se combinati con altri dati. Questa tecnica è utilizzata in particolare nell'archiviazione a lungo termine dei dati per lo sviluppo di algoritmi. Metodi come l'aggregazione, il mascheramento, la spaziatura e l'eliminazione del rumore interrompono completamente il collegamento tra i dati e l'individuo. L'irreversibilità del processo di anonimizzazione è verificata attraverso report tecnici e audit indipendenti.

• •Distruzione fisica:La distruzione irreversibile dei supporti di memorizzazione fisici (disco rigido, unità flash USB, ecc.).

Tutti i processi di distruzione vengono registrati e tali registrazioni vengono conservate per almeno tre anni, fatti salvi altri obblighi di legge.

5. TRASFERIMENTO DATI E GRUPPI DESTINATARI

Yoursizer Technology rispetta scrupolosamente le condizioni stabilite dagli articoli 8 e 9 del KVKK (Legge turca sulla protezione dei dati personali) nei processi di trasferimento dei dati personali. I trasferimenti di dati vengono effettuati solo per finalità definite e legittime, nel rispetto del principio di minimizzazione dei dati e adottando le necessarie misure di sicurezza. 5.1. Trasferimenti nazionali:I dati personali trattati all'interno della nostra azienda possono essere trasferiti principalmente ai seguenti gruppi di destinatari nazionali:

• •Team di gestione interna e dipartimenti correlati:I dati personali vengono condivisi tra i dipartimenti competenti e il personale autorizzato in base al principio "need-to-know", in conformità con le finalità del trattamento (ad esempio, servizio clienti per la gestione degli account, team software per lo sviluppo di algoritmi, unità contabile per la fatturazione). Tali trasferimenti sono necessari per lo svolgimento delle operazioni aziendali interne e l'erogazione dei servizi.

• •Fornitori di infrastrutture tecniche:I dati personali possono essere trasferiti ai nostri partner commerciali nazionali che forniscono servizi di database (ad esempio, architetture PostgreSQL e MongoDB), hosting di server, gestione dei log e altri servizi di supporto tecnico, nella misura necessaria per l'esecuzione di tali servizi. Tali trasferimenti si basano sull'Articolo 5/2-c (Esecuzione del Contratto) della Legge turca sulla protezione dei dati personali (KVKK) al fine di adempiere ai nostri obblighi contrattuali e garantire il funzionamento ininterrotto della nostra piattaforma.

• •Unità Contabilità/Finanza:I dati relativi ai processi di pagamento e fatturazione vengono condivisi con il nostro reparto contabilità e finanza per adempiere agli obblighi di legge. ● Istituzioni e organizzazioni pubbliche autorizzate:I tuoi dati personali possono essere trasferiti a istituzioni e organizzazioni pubbliche competenti al fine di adempiere a un obbligo legale o su richiesta delle autorità giudiziarie/amministrative autorizzate (KVKK Art. 5/2-ç).

5.2. Trasferimenti internazionali:Attualmente la nostra azienda non effettua trasferimenti internazionali diretti di dati. Tutti i dati personali vengono elaborati e archiviati in data center in Turchia. Tuttavia, in futuro, qualora dovessimo collaborare con fornitori di servizi internazionali o se i servizi di infrastruttura cloud fossero localizzati in data center all'estero, sarà garantito il pieno rispetto dell'articolo 9 del KVKK (Legge sulla protezione dei dati personali) e della legislazione correlata. In caso di tale trasferimento, saranno fornite una o più delle seguenti garanzie:

• •Trasferimento dei dati verso Paesi ritenuti competenti dal Comitato per la protezione dei dati personali,

• •Nei casi in cui non sia disponibile alcuna decisione di qualificazione, dovranno essere utilizzate le clausole contrattuali standard (SCC) annunciate dal Consiglio e comunicate all'istituzione.

• •L'esistenza di un impegno scritto contenente disposizioni volte a garantire un'adeguata protezione e l'autorizzazione del trasferimento da parte del Consiglio.

In tutti i casi, saranno implementate misure tecniche e amministrative quali crittografia, restrizioni di accesso, autorizzazione basata sui ruoli e registrazione per garantire la sicurezza dei dati trasmessi; e al destinatario dei dati sarà contrattualmente garantito di fornire lo stesso livello di protezione.

6. MISURE TECNICHE E AMMINISTRATIVE RELATIVE ALLA SICUREZZA DEI DATI

Yoursizer Technology adotta tutte le misure tecniche e amministrative necessarie per garantire la sicurezza dei dati personali ai sensi dell'articolo 12 del KVKK (Legge sulla protezione dei dati personali) e le sottopone a costante verifica. Vengono applicate misure aggiuntive e più rigorose, in particolare per i dati personali sensibili come i dati biometrici.

6.1. Misure tecniche:

• •Sicurezza del database:

• •Isolamento di rete (isolamento VPC):I database (sistemi relazionali e basati su documenti come PostgreSQL e MongoDB) sono ospitati all'interno di reti virtuali private (VPC – Virtual Private Cloud) completamente isolate dal livello applicativo. Questo garantisce che l'accesso ai database sia consentito solo tramite server

applicativi autorizzati, impedendo l'accesso diretto a Internet.

• •Biblioteconomia turca (TLS):Tutte le comunicazioni dati tra database, server applicativi e altri sistemi autorizzati sono crittografate end-to-end tramite il protocollo Transport Layer Security (TLS). Questo impedisce a persone non autorizzate di intercettare i dati durante la trasmissione.

• •Crittografia a riposo:I dati personali archiviati nei database sono protetti da algoritmi di crittografia avanzati a livello di disco (encryption-at-rest). Le chiavi di crittografia sono gestite in modo sicuro tramite un Key Management System (KMS) separato e riservato.

• •Crittografia basata sul dominio:Per aree sensibili come i dati biometrici, oltre alla crittografia a livello di database, è possibile implementare tecniche di crittografia basate sui campi a livello applicativo. Ciò consente un livello di protezione dei dati più granulare.

• •Gestione degli accessi e autorizzazione (RBAC/MFA):

• •Controllo degli accessi basato sui ruoli (RBAC):L'accesso ai dati personali è strettamente limitato secondo il principio di autorizzazione basata sul ruolo

(privilegio minimo), in linea con le descrizioni delle mansioni e la matrice di

autorizzazione dei dipendenti. A ciascun dipendente viene concesso l'accesso solo ai dati necessari per svolgere il proprio lavoro.

• •Autenticazione a più fattori (MFA):L'autenticazione a più fattori (MFA) è obbligatoria per tutti i sistemi che forniscono accesso all'ambiente di produzione e ai dati sensibili.

• •Registri di accesso:L'accesso ai dati personali viene registrato in dettaglio, specificando chi ha avuto accesso a quali dati e quando. Questi registri vengono regolarmente monitorati e analizzati per rilevare eventuali anomalie.

• •Pseudonimizzazione:In particolare, i dati biometrici (misure corporee e parametri degli avatar 3D) vengono separati dalle informazioni identificative dirette e associati a un token o a un ID utente. Ciò rende più difficile l'identificazione diretta durante l'analisi dei set di dati. Questa tecnica supporta il principio di "pertinenza allo scopo, limitatezza e proporzionalità" ai sensi dell'articolo 4/2-ç della legge turca sulla protezione dei dati personali (KVKK).

• •Aggiornamenti di sicurezza e gestione delle vulnerabilità:Tutti i sistemi e i software vengono regolarmente aggiornati con patch e aggiornamenti di sicurezza. Vengono eseguiti periodicamente scansioni delle vulnerabilità e penetration test per identificare e risolvere potenziali vulnerabilità di sicurezza.

• •Gestione dei segreti:I segreti sensibili, come le informazioni di connessione al database e le chiavi API, vengono gestiti tramite sistemi di gestione dei segreti sicuri (come HashiCorp Vault, AWS Secrets Manager) e non vengono archiviati direttamente all'interno del codice.

6.2. Misure amministrative:

• •Formazione e sensibilizzazione del personale:Tutti i dipendenti ricevono formazione regolare sulla protezione dei dati personali, sulla sicurezza dei dati e sulla presente Politica di

inventario, conservazione e distruzione. Il livello di consapevolezza dei dipendenti è costantemente aumentato.

• •Accordi sulla privacy:Vengono firmati accordi di riservatezza con tutti i dipendenti e i partner commerciali che hanno accesso ai dati personali.

• •Minimizzazione dei dati:Nella raccolta dei dati personali, il principio adottato è quello di raccogliere solo il minimo necessario per l'erogazione del servizio. Per i dati facoltativi viene seguito un processo di informativa e consenso esplicito separato.

• •Piano di ispezione e risposta agli incidenti:I processi di elaborazione dei dati e le misure di sicurezza vengono sottoposti a verifiche periodiche. È in atto un piano di risposta agli incidenti per garantire una risposta rapida ed efficace in caso di violazione dei dati.

7. GESTIONE DELLE CIRCOSTANZE ECCEZIONALI E SPECIALI

Come Yoursizer Technology, data la natura del nostro servizio, generalmente non trattiamo categorie particolari di dati personali (articolo 6 del KVKK). Tuttavia, in circostanze eccezionali, gli utenti possono condividere volontariamente categorie particolari di dati personali (come dati sanitari, appartenenza sindacale, religione/setta, opinioni politiche, condanne penali, ecc.) che esulano dallo scopo del servizio, in particolare nei campi di testo libero o durante le richieste di supporto. La gestione di tali situazioni viene effettuata meticolosamente nel quadro dei principi di "liceità e correttezza" e di "pertinenza, limitazione e proporzionalità allo scopo", come stabilito dall'articolo 4 del KVKK.

7.1. Principio di elaborazione dei dati:

• •Elaborazione minima:Le categorie particolari di dati personali condivisi dall'utente senza il suo consenso vengono trattate esclusivamente al fine di valutare la richiesta in questione e di eseguire il processo di supporto, e nella misura strettamente necessaria. Poiché questi dati non sono necessari per la fornitura dei servizi di base della nostra piattaforma, prestiamo attenzione affinché non vengano memorizzati in modo permanente nei nostri sistemi.

• •Consapevolezza e avvertenza:I moduli di richiesta di supporto o i campi di immissione di testo libero includono promemoria e informazioni che consigliano agli utenti di non condividere dati personali sensibili.

• •Base giuridica:Il trattamento di tali dati può basarsi su presupposti giuridici quali "esecuzione di un contratto" (fornitura di servizi di supporto), "legittimo interesse" (gestione e prova della richiesta) o "consenso esplicito" (volontà di condividere) dell'interessato, a seconda della natura della richiesta. Tuttavia, tali presupposti non legittimano il trattamento di dati al di fuori della finalità primaria del servizio; consentono solo la gestione della situazione attuale.

7.2. Distruzione rapida e minimizzazione:

• •Questi dati personali sensibili, condivisi senza consenso, vengono conservati per un breve periodo, limitato al completamento della richiesta di supporto e alla fornitura di prove in caso di potenziali controversie. Ad esempio, una volta completata una richiesta di supporto, i dati rilevanti vengono cancellati o distrutti in modo sicuro il prima possibile (ad esempio, entro pochi giorni o settimane).

• •Se è possibile rendere anonimi i dati, questo metodo è preferibile. Tuttavia, poiché tali dati sono spesso non strutturati, solitamente si ricorre a metodi di cancellazione o distruzione sicura anziché all'anonimizzazione.
• •Il trasferimento di dati all'estero e la condivisione con terze parti non sono generalmente consentiti. Qualora siano coinvolti fornitori di servizi essenziali (ad esempio, trasmissione di e-mail), ciò avviene solo su istruzione, per uno scopo limitato e nel rispetto delle necessarie garanzie contrattuali/tecniche. In questi processi è garantito il pieno rispetto dell'articolo 9 della Legge sulla protezione dei dati personali e della normativa correlata.

La gestione di queste circostanze eccezionali riflette l'impegno della nostra azienda nei confronti dei principi di minimizzazione e sicurezza dei dati.

8. APPROVAZIONE E DATA DI ENTRATA IN VIGORE

Il presente Inventario delle Attività di Trattamento dei Dati Personali è stato redatto per documentare i processi di trattamento dei dati personali di Yoursizer Technology in modo trasparente e conforme alla legge. L'inventario è una dimostrazione dell'impegno della nostra azienda nella protezione dei dati personali ed è vincolante per tutti i dipartimenti competenti.

L'inventario sarà rivisto e aggiornato regolarmente in linea con eventuali modifiche alla legislazione applicabile o ai processi aziendali della nostra Azienda. Il periodo di aggiornamento sarà di almeno [numero] anni.ogni sei mesiCiò è stato stabilito. Queste revisioni periodiche mirano a garantire che l'inventario sia sempre aggiornato, accurato e completo.

Questo inventario,04.01.2026È entrato in vigore il [data] con l'approvazione del Consiglio di Amministrazione.

Approvato da:

Titolo Responsabile dell'unità di audit interno

Firma : _________________________