Kişisel Verileri Saklama ve İmha Politikası

İşbu Kişisel Veri Saklama ve İmha Politikası (bundan sonra “Politika” olarak anılacaktır.), 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca veri sorumlusu olan Atatürk Mah. Ataşehir Bulvarı No:16/30 Ataşehir - İstanbul adresinde bulunan “ATAŞEHİR MEDİKAL SAĞLIK HİZMETLERİ VE TİC. LTD. ŞTİ.” (bundan sonra “Şirket” olarak anılacaktır.) tarafından hazırlanmıştır.

1. AMAÇ VE KAPSAM

İşbu politikanın amacı, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.

Şirket tarafından; Şirket çalışanları, çalışan adayları, Şirkete mal ve hizmet sağlayıcıları (kargocular, yemek getirenler, nakliye hizmeti verenler dahil) ve bunların çalışanları gibi üçüncü kişiler), Şirket olarak iş ilişkisi içerisinde bulunulan tedarikçi, nakliyeci, alt yükleniciler ile hizmet sunan taraflar ve görevlileri, çalışanları ve temsilcileri gibi üçüncü kişiler, Şirket hizmeti verilen gayrimenkulleri ziyaret eden kişiler, Şirket tarafından istihdam edilen çalışanlar ile web sitemizi ziyaret eden kişiler de dahil diğer tüm üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup, Şirket’in sahip olduğu ya da Şirket tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ile kişisel veri işlenmesine yönelik tüm faaliyetlerde bu Politika uygulanacaktır.

2. Tanımlar

3. Kişisel Veri Saklama Ve İmha Politikası İle Düzenlenen Kayıt Ortamları

1. Şirket bünyesinde yer alan kişisel veriler, ilgili kişisel verinin niteliğine ve hukuki yükümlülüklerimize uygun şekilde aşağıda sayılan kayıt ortamlarında tutulmakta ve saklanmaktadır:

5. Kağıt ortamlar: Kağıt, manuel veri kayıt sistemleri (formlar ziyaretçi giriş defteri )yazılı, basılı, görsel ortamlar, birim dolapları, evrak depolama/istifleme alanları, arşiv

5. Elektronik ortamlar: Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım, vb.),yazılımlar, bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb.), kişisel bilgisayarlar (Masaüstü, dizüstü), mobil cihazlar (telefon, tablet vb.), optik diskler (CD, DVD vb.), çıkartılabilir bellekler (USB, Hafıza Kart vb.),yazıcı, tarayıcı, fotokopi makinesi

5. Bulut ortamlar: Şirketin kullanımında olan, kriptografik yöntemlerle şifrelenmiş internet tabanlı sistemlerin kullanıldığı ortamlardır.

1. Ancak, bir kısım veriler sahip oldukları özel nitelikler ya da hukuki yükümlülüklerimiz nedeniyle burada gösterilen ortamlardan farklı bir ortamda tutulabilir. Şirket, her halde veri sorumlusu sıfatıyla hareket etmekte ve kişisel verileri Kanun’a, Kişisel Verilerin İşlenmesi ve Korunması Politikası’na ve işbu Kişisel Veri Saklama ve İmha Politikası’na uygun olarak işlemek ve korumaktadır.

4. Kayıt Ortamlarının Güvenliğinin Sağlanması

Şirket, kişisel verilerinizin güvenli bir şekilde saklanması ile hukuka aykırı şekilde işlenmesi ve erişilmesinin önlenmesi için ilgili kişisel veri ile tutulduğu ortamın niteliklerine uygun olarak gerekli tüm teknik ve idari tedbirleri almaktadır.

1. Teknik Tedbirler

Şirket, kişisel verilerin saklandığı tüm ortamların, ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki teknik tedbirleri almaktadır:

5. Kişisel verilerin tutulduğu ortamlarda yalnızca teknolojik gelişmelere uygun güncel ve güvenli sistemler kullanılmaktadır.
5. Kişisel verilerin tutulduğu ortamlara yönelik olarak fiziki önlemler alındığı gibi yazılımsal olarak siber güvenlik ve anti-virüs yazılımları ve güvenlik duvarları ile güvenli ağ sistemleri de kullanılmaktadır.

5. Kişisel verilerin tutulduğu ortamlara veriye erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmekte ve tüm erişimler kayıt altına alınmaktadır.
5. İnternet kullanıcılarının, işlem hareketleri kaydı (log kayıtları) düzenli olarak tutulmaktadır.
5. Şirket bünyesinde kişisel verilerin tutulduğu ortamların güvenliğini sağlamak üzere yeterli teknik personel bulundurmaktadır/hizmet alımı yapmaktadır.

1. İdari Tedbirler

Şirket, kişisel verilerin saklandığı tüm ortamların, ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki idari tedbirleri almaktadır:

5. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
5. Kişisel verileri işlemeye başlamadan önce İlgili Kişiler’i aydınlatma yükümlülüğü yerine getirilmektedir.
5. Kişisel veriler mümkün olduğunca azaltılmaktadır.
5. Kişisel verilere erişimi olan tüm Şirket çalışanlarının bilgi güvenliği, kişisel veriler ve özel hayatın gizliliği konularında farkındalıklarının artırılması ve bilinçlendirilmesi için çalışmalar yapılmaktadır.
6. Gizlilik taahhütnameleri yapılmaktadır. İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
5. Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
5. Kişisel verilerin teknik ya da hukuki gereklilikler nedeniyle üçüncü kişilere aktarılması halinde ilgili üçüncü kişilerle kişisel verilerin korunması amacıyla protokoller imzalanmakta, ilgili üçüncü kişilerin bu protokollerdeki yükümlülüklerine uyması için gerekli tüm özen gösterilmektedir.
5. Bilgi güvenliği, özel hayatın gizliliği ve kişisel verilerin korunması alanındaki gelişmeleri takip etmek ve gerekli aksiyonları almak üzere hukuki ve teknik danışmanlık hizmeti alınmaktadır.

5. Saklamayı Gerektiren Hukuki Sebepler

5. 3359 sayılı Sağlık Hizmetleri Temel Kanunu,
5. 663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname,
5. Ağız Ve Diş Sağlığı Hizmeti Sunulan Özel Sağlık Kuruluşları Hakkında Yönetmelik
5. Özel Hastaneler Yönetmeliği,
6. Türk Diş Hekimleri Birliği Kanunu,
5. 213 sayılı Vergi Usul Kanunu
5. 2004 sayılı İcra İflas Kanunu
5. 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
5. 4857 sayılı İş Kanunu
5. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
5. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği
5. 4982 Sayılı Bilgi Edinme Kanunu
5. 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun
5. 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
5. 6098 sayılı Türk Borçlar Kanunu
5. 6102 sayılı Türk Ticaret Kanunu
5. 6502 sayılı Tüketicinin Korunması Hakkında Kanun
5. 6698 sayılı Kişisel Verilerin Korunması Kanunu
5. İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik,
5. Ücret, Prim, İkramiye ve Bu Nitelikteki Her Türlü İstihkakın Bankalar Aracılığıyla Ödenmesine Dair Yönetmelik

6. Saklamayı Gerektiren İşleme Amaçları[İ1]

Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel veriyi aşağıdaki amaçlar doğrultusunda saklar:

5. Acil durum yönetimi süreçlerinin yürütülmesi,
5. Bilgi güvenliği süreçlerinin yürütülmesi,
5. Çalışan Adayı / Stajyer / Öğrenci Seçme ve Yerleştirme süreçlerinin yürütülmesi,
5. Çalışan Adayı’nın başvuru sürecinin yürütülmesi,
6. Çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi,
5. Çalışan için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi,
5. Eğitim faaliyetlerinin yürütülmesi,
5. Faaliyetlerin mevzuata uygun yürütülmesi,
5. Finans ve muhasebe işlerinin yürütülmesi,
5. Fiziksel mekân güvenliğinin temin etmesi,
5. Hukuk işlerinin takip edilmesi ve yürütülmesi,
5. İç Denetim / Soruşturma / İstihbarat faaliyetlerinin yürütülmesi,
5. İleride ortaya çıkması muhtemel hukuki uyuşmazlıklarda ispat yükümlülüğünün yerine getirilmesi
5. İlgili kişilerin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından ilgili kişilerin açık rızasının bulunması,
5. İnsan Kaynakları süreçlerinin planlanması,
5. İş faaliyetlerinin yürütülmesi / denetlenmesi,
5. İş sağlığı / güvenliği faaliyetlerinin yürütülmesi,
5. İş süreçlerinin iyileştirilmesine yönelik önerilerin alınması ve değerlendirmesi,
5. İş sürekliliğinin sağlanması faaliyetlerinin yürütülmesi,
5. Kurumsal iletişim faaliyetleri kapsamında iç ve dış iletişimlerin gerçekleştirilmesi
5. Mal / Hizmet satın-alım süreçlerinin yürütülmesi,
5. Mal / Hizmet satış sonrası destek hizmetlerinin yürütülmesi,
5. Mal / Hizmet satış süreçlerinin yürütülmesi,
5. Mal / Hizmet üretim ve operasyon süreçlerinin yürütülmesi,
5. Şirket müşterisi ile olan ilişkilerin yönetim süreçlerinin yürütülmesi,
5. Şirket müşterilerinin memnuniyetine yönelik aktivitelerin yürütülmesi,
5. Organizasyon ve etkinliklerin yönetilmesi,
5. Performans değerlendirme süreçlerinin yürütülmesi,
5. Risk yönetimi süreçlerinin yürütülmesi,
5. Saklama ve arşiv faaliyetlerinin yürütülmesi,
5. Satın alınan ürünlere ilişkin garanti ve bakım-onarım faaliyetlerinin gerçekleştirilmesi,
5. Sözleşme süreçlerinin yürütülmesi,
5. Talep / Şikayetlerin takip edilmesi,
5. Ürün / Hizmetlerin pazarlama süreçlerinin yürütülmesi,
5. Ürünlerin Endüstriyel Tasarım Dairesi Başkanlığı tescil sürecinin yürütülmesi,
5. Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesinin sağlanması
5. Yetkili Kamu Kurum ve Kuruluşları ile İlgili Kişiler’den gelen evrak ve belgelerin kayıt altına alınması,
5. Yetkili kişi, kurum ve kuruluşlara bilgi verilmesi,
5. Yönetim faaliyetlerinin yürütülmesi ve
5. Zimmet faaliyetlerinin yürütülmesi.

7. İmhayı Gerektiren Sebepler

Şirket’in, İlgili Kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde kişisel veriler;

5. İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
5. İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
5. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, İlgili Kişi’nin açık rızasını geri alması,
5. Kişisel Veri Sahibi’nin/İlgili Kişi’nin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Şirketimiz tarafından kabul edilmesi,
6. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
5. KVK Kurulu’na şikâyette bulunması ve bu talebin KVK Kurulu tarafından uygun bulunması ve/veya
5. KVKK’nın 11. maddesi gereği İlgili Kişi’nin hakları çerçevesinde kişisel verilerin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun kabul edilmesi,

durumlarında, Şirket tarafından İlgili Kişi’nin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

8. Kişisel Verilerin İmha Teknikleri

Kişisel veriler üzerinde; imha etme tekniklerinden yani bir başka ifade ile silme, yok etme veya anonim hale getirme tekniklerinden hangisinin seçileceği ve uygulanacağı re’sen gerçekleştirilen imhalarda Şirket tarafından belirlenir. Ancak imhanın, ilgili kişinin talebi üzerine gerçekleşecek olması halinde, ilgili kişinin talebi ile mümkün olduğunca bağlı kalınır. Kişisel verileri imha etmeye (silmeye, yok etmeye ve anonim hale getirmeye) yönelik Şirket bünyesinde bulunan uygulamalar aşağıdaki gibidir:

1. Kişisel Verilerin Silinmesi

5. Bulut sisteminde bulunan veriler silme komutu verilerek silinmektedir.
5. Merkezi sunucuda yer alan ofis dosyaları, dosyanın işletim sistemindeki silme komutu ile silinmesi veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması ile gerçekleştirilmektedir.
5. Kağıt ortamında bulunan kişisel veriler; karartma yöntemi (çizilerek, boyanarak ve/veya silinerek) kullanılarak silinmektedir. Karartma işlemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak ilgili kullanıcılara görünemez hale getirilmesi şeklinde yapılmaktadır.
5. Taşınabilir medyada bulunan kişisel veriler (örneğin flash tabanlı saklama ortamında bulunan veriler) ise şifreli olarak saklanmakta ve bu ortamlara uygun yazılımlar kullanılarak silinmektedir.
6. Veri tabanlarında bulunan kişisel veriler, ilgili satırların/sütunların ya da tablo içerisinde yer alan hücrelerin veri tabanı komutları ile silinmektedir.

1. Kişisel Verilerin Yok Edilmesi

5. Yerel sistemler üzerindeki kişisel verilerin yok edilmesi; de-manyetize etme (medyanın özel bir cihazdan geçirilerek yüksek bir değerde manyetik alana maruz bırakılması), fiziksel yok etme (Medya ve manyetik medyanın eritilmesi, yakılması, öğütücülerin kullanılması) ve üzerine yazma yöntemiyle yok edilmektedir.
5. Çevresel sistemler üzerindeki kişisel verilerin yok edilmesi; Ağ cihazları (switch, router vb.), Flash tabanlı ortamlar/sabit disklerin, Manyetik bant, Manyetik disk gibi üniteler, Mobil telefonlar (Sim kart ve sabit hafıza alanları), Veri kayıt ortamı çıkartılabilir ya da sabit olan yazıcı ve parmak izli kapı geçiş sistemi gibi çevre birimler, Optik diskler olarak belirtebileceğimiz çevresel kayıt sistemleri dijital ortam ise ürün özelliği olarak destekleniyorsa gibi yok etme komutunu kullanmak, dijital ortamın ürün özelliği olarak desteklenmiyorsa üreticinin önerdiği yok etme yöntemini kullanmak ya da “de-manyetize etme, fiziksel yok etme, üzerine yazma” olarak belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak, son olarak dijital ortam değil ise “de-manyetize etme, fiziksel yok etme, üzerine yazma” yöntemlerin uygun bir ya da birkaçı kullanılmak suretiyle yok edilmesi gerekir.
5. Kağıt ve mikro ofis ortamlarında bulunan kişisel veriler bulunduğu kalıcı ve fiziksel olarak ortam üzerine yazılı olduğundan, bu verilerin bulunduğu ana ortamın yok edilerek imha işlemi gerçekleştirilmektedir.
5. Bulut ortamında bulunan kişisel veriler şifrelenerek saklanmakta ve imha süresi geldiğinde yok etme komutu uygulanmaktadır.

1. Kişisel Verilerin Anonim Hale Getirilmesi

5. Maskeleme yöntemi ile veri sahibinin tanımlanmasını sağlayan temel belirleyici bilgiler (örn: isim, soyisim, TCKN) çıkartılarak anonimleştirme gerçekleştirilmektedir.
5. Toplulaştırma yöntemi ile kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek bir şekilde çıkartılarak anonimleştirme gerçekleştirilmektedir.
5. Veri Türetme yöntemi ile kişisel verilerin içeriğinden daha genel bir içerik oluşturularak ve kişisel verinin herhangi bir şekilde bir kişiyle bağdaştırılamayacak şekilde (örn: doğum tarihleri yerine yaş yazılması) anonim hale getirme gerçekleştirilmektedir.

9. Saklama ve İmha Süreleri

Şirket tarafından, kişisel verilerin saklanma süreleri belirlenirken yürürlükte bulunan mevzuat ve süreç konusu verilerin işlenme amaçları göz önünde tutularak bir belirleme yapılmaktadır. Saklama süreleri, her halükârda kanuni yükümlülükler ve ilgili zamanaşımı süreleri ışığında tespit edilmektedir. Söz konusu saklama süreleri üzerinde, gerekmesi halinde Şirket tarafından güncellemeler yapılabilmektedir. Veri işleme amacının ortadan kalkması halinde, verilerin tutulmasına olanak sağlayan başka bir hukuki sebep veya dayanak bulunmadığı sürece veriler silinmekte, yok edilmekte veya anonim hale getirilmektedir.

10. Periyodik İmha

Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda; Şirket, işleme şartları ortadan kalkmış olan kişisel verileri işbu Kişisel Verileri Saklama ve İmha Politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek bir işlemle siler, yok eder veya anonim hale getirir.

11. İmha İşleminin Hukuka Uygunluk Denetimi

Şirket, gerek talep üzerine gerekse periyodik imha süreçlerinde re’sen gerçekleştirdiği imha işlemlerini Kanuna, sair mevzuata, Kişisel Verilerin İşlenmesi ve Korunması Politikasına ve işbu Kişisel Veri Saklama ve İmha Politikasına uygun olarak yapar. Şirket, imha işlemlerinin bu düzenlemelere uygun olarak yapıldığını temin etmek amacıyla bir takım idari ve teknik tedbirler almaktadır.

12. Politikanın Yayımlanması ve Saklanması

Politika, ıslak imzalı (basılı kağıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, web sitesinde kamuya açıklanır. Basılı kağıt nüshası da Şirket nezdinde fiziken uygun koşul ve tedbirler dahilinde fiziken dosyada muhafaza edilir.

13. Politikanın Yürürlüğü ve Güncellenme Periyodu

Şirket tarafından düzenlenen İşbu Politika, gg/aa/yyyy tarihinde yürürlüğe girmiş olup; işbu Politika, ilgili mevzuatta gerçekleşen değişikliklerle uyumlu olarak güncellenecektir.

Veri Sorumlusu : Ataşehir Medikal Sağlık Hizmetleri ve Tic. Ltd. Şti.

Adres : Atatürk Mah. Ataşehir Bulvarı No:16/30 Ataşehir - İstanbul

Telefon : ……………….

E-posta : ……………….

Vergi No : ……………….