KVKK ve Kişisel Verilerin İşlenmesi Politikası

1. Giriş

HASSAN MEDİKAL ÜRÜNLER SAĞ. VE GÜZ. HİZ. TİC. LTD. ŞTİ. (“ÖZEL ESTEBELLA POLİKLİNİĞİ”), kişisel verilerin korunması ve işlenmesinde başta Anayasa'nın 20. maddesinde düzenlenen özel hayatın gizliliğini temel almak üzere kişilerin temel hak ve özgürlüklerini korumaya azami önem atfetmektedir. Bu çerçevede ÖZEL ESTEBELLA POLİKLİNİĞİ, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) uyarınca kişisel verilerin hukuka uygun olarak korunması ve işlenmesine özen göstermektedir.

Kişilerin kişisel verilerinin güvenliğinin sağlanması ÖZEL ESTEBELLA POLİKLİNİĞİ'nin öncelikli hedeflerindendir. Bu nedenle, kişisel verilerin güvenli şekilde işlenmesi ve bu verilere hukuka aykırı erişimin veya sızıntının engellenmesi amacıyla, yürürlükteki mevzuata uygun gerekli güvenlik tedbirleri alınmaktadır.

1.1 Politika'nın Amacı

Politika'nın amacı, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin korunması ve işlenmesinde ÖZEL ESTEBELLA POLİKLİNİĞİ'nin yükümlülükleri ile uyacağı usul ve esaslar hakkında Kişisel Veri Sahiplerini bilgilendirmektir.

1.2 Politika'nın Kapsamı

Bu Politika; gerçek kişi olmak kaydıyla Müşteriler (Hastalar/Danışanlar), Çalışanlar, Çalışan Adayları ve Ziyaretçiler için hazırlanmıştır ve bu kişiler kapsamında uygulanır. Hangi sıfatla olursa olsun tüzel kişilere bu Politika uygulanmayacaktır.

1.3 Yürürlük

Politika 01.12.2021 tarihinde yürürlüğe girmiş olup ÖZEL ESTEBELLA POLİKLİNİĞİ'ne ait kurumsal web sitelerinde yayımlanarak Veri Sahiplerinin erişimine sunulur.

Tanımlar

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır.
Aydınlatma Yükümlülüğü: Veri sorumlusunun, kişisel verilerini işlediği kişilere; verilerin kim tarafından, hangi amaçlarla ve hangi hukuki gerekçelere dayanarak işlenebileceği, kimlere aktarılabileceği hususunda bilgi vermesi yükümlülüğüdür.
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini ifade eder.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Kişisel Verilerin İşlenmesi: Kişisel verilerin otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması, sınıflandırılması gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.
Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.

2. Kişisel Verilerin Korunması

Güvenlik: ÖZEL ESTEBELLA POLİKLİNİĞİ, KVKK ve GDPR uyarınca kişisel verileri güvenli şekilde saklamak ve hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü idari ve teknik tedbiri alır.

Denetim: Alınan tedbirlerin düzenliliğini ve devamlılığını sağlamak amacıyla gerekli denetimler yapılır. Teknik tedbirler yılda altı aylık periyodik dönemlerde yetkili kişilerce denetlenir.

Gizlilik: Veri İşleyen'in görevi kapsamında öğrendiği kişisel verileri aykırı şekilde açıklamaması için gerekli idari ve teknik tedbirler alınır; çalışanlarla gizlilik sözleşmeleri imzalanır, tedarikçilerden gizlilik taahhütleri alınır.

Yetkisiz ifşa: İşlenen kişisel verilerin hukuka aykırı yollarla elde edilmesi halinde durum, KVK Kurulunca belirlenen süreler dahilinde Veri Sahibine ve KVK Kuruluna bildirilir.

Özel nitelikli kişisel veriler: Bu veriler için Kurul tarafından belirlenen yeterli önlemler hassasiyetle alınır.

3. Kişisel Verilerin İşlenmesi ve Aktarılması

ÖZEL ESTEBELLA POLİKLİNİĞİ kişisel verileri işlerken aşağıdaki genel ilkelere uyar:

Hukuka, dürüstlük kurallarına ve şeffaflık ilkesine uygun olma,
Belirli, açık ve meşru amaçlar için işlenme,
İşlendikleri amaçla bağlantılı, sınırlı, ölçülü ve gerekli olma,
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilme,
Bütünlük ve gizlilik ilkelerine uygun olma,
Hesap verilebilirlik ilkesine uygun olma.

Kişisel veriler, kural olarak Veri Sahibi'nin açık rızası ile işlenir. Aşağıdaki şartlardan birinin varlığı halinde açık rıza aranmaksızın işlenebilir:

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
Hukuki yükümlülüğün yerine getirilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
İlgili kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat için zorunlu olması.

Özel nitelikli kişisel veriler yalnızca açık rıza ile; ayrıca sağlık ve cinsel hayat dışındaki veriler kanunda öngörülmesi halinde, sağlık ve cinsel hayata ilişkin veriler ise kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişiler tarafından açık rıza aranmaksızın işlenebilir.

Aktarım: Kişisel veriler, KVKK 8. ve 9. maddeleri ile GDPR 45. ve 49. maddelerine uygun olarak, yukarıda sayılan şartlardan birine dayalı ve sınırlı olarak üçüncü kişilere aktarılabilir.

4. Kişisel Veri Kategorileri ve Veri Konusu Kişi Grupları

Kişisel veriler aşağıdaki kategorilerde işlenmektedir: Kimlik, İletişim, Özlük, Fiziksel Mekan Güvenliği, Finans, Görsel ve İşitsel Kayıtlar, Haberleşme Kayıtları ve Müşteri İşlem. Özel nitelikli kişisel veriler ise Sağlık Bilgileri (kan grubu, alerjiler, kronik hastalıklar, geçirilmiş uygulamalar, tahlil ve görüntüleme sonuçları, cilt analiz bilgileri vb.) ile Biyometrik Veri (görüntü, ses, video) kategorilerinden oluşur.

Veri konusu kişi grupları: Çalışan Adayı, Müşteri (hasta/danışan), Çalışan ve Ziyaretçi'dir. Bu Politika yalnızca gerçek kişileri kapsar.

5. Kişisel Verileri Toplama Yöntemi ve Hukuki Sebebi

Kişisel verileriniz; iş başvuru formları, personel bilgi formları, ibraz edilen belgeler, posta ve e-postalar, kurumsal telefonlar, fotoğraf/video kayıtları, web sitesi, güvenlik kameraları, hasta aydınlatma formları, tahlil sonuçları, sağlık bilgi formları ve sunucusu yurt dışında bulunan hizmet sağlayıcıları aracılığıyla toplanır.

Toplama, Kanun'un 5. ve 6. maddeleri ile GDPR 6. ve 9. maddeleri uyarınca; ilgili kişinin açık rızası, kanunlarda açıkça öngörülmesi, alenileştirme, sözleşmenin kurulması/ifası, sağlık verilerinde kamu sağlığının korunması ve tıbbi hizmetlerin yürütülmesi, hukuki yükümlülük, bir hakkın korunması ve meşru menfaat hukuki sebeplerinden birine dayanılarak yapılır.

6. Kişisel Verilerin İşlenme Amaçları

Hasta/danışanların verileri; hasta dosyası oluşturmak, muayene, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerini yürütmek, kontrol süreçlerini gerçekleştirmek, hastalarla iletişime geçmek, randevu süreçlerini yönetmek, hasta memnuniyeti ve talep yönetimini sağlamak, hukuki ve akdi yükümlülükleri yerine getirmek, mevzuat gereği saklanması gereken verileri muhafaza etmek ve gerektiğinde konsültasyon almak amaçlarıyla işlenir.

İnternet sitesini ziyaret eden çevrimiçi ziyaretçilerin trafik bilgileri, bilgi güvenliği süreçlerinin yürütülmesi amacıyla ve 5651 sayılı Kanun kapsamındaki yükümlülükler gereği otomatik olarak işlenir. Telefon ve e-posta gibi kanallarla yapılan haberleşmeler, iş faaliyetlerinin yürütülmesi/denetimi ile talep ve şikâyetlerin takibi amacıyla kaydedilebilir.

7. Kişisel Verilerin Aktarıldığı Kişiler/Kuruluşlar

Kişisel verileriniz, aktarım amacının gerektirdiği ölçüde ve gerekli güvenlik tedbirleri uygulanarak aşağıdaki kişi ve kuruluşlara aktarılabilir:

Konsültasyon amacıyla diğer uzman hekimlere,
Sigortalı çalışanlara, tedarikçilere,
Mali müşavir, vergi ve finans danışmanları ile denetçilere,
Hukuk danışmanı ve veri koruma görevlisine,
Veri tabanı (server) sağlayıcıları ile klinik yönetim yazılım sistemi hizmet sağlayıcılarına,
Tercümanlar, web danışmanı, IT danışmanı ve turizm acentalarına,
Kanunlar çerçevesinde yetkilendirilmiş kamu kurum ve kuruluşları ile yargı makamlarına.

8. Kişisel Verilerin İmhası ve Saklanma Süreleri

Diğer kanunlardaki hükümler saklı kalmak kaydıyla, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, Kişisel Veri Saklama ve İmha Politikası'na uygun olarak re'sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

Kişisel veriler, kanunlarda ve ilgili mevzuatta öngörülen süreler boyunca saklanır. Öngörülen bir süre yoksa, verinin işlenme amacının gerçekleşmesi için gerekli süre kadar saklanır, ardından periyodik imha süreleri çerçevesinde silinir, yok edilir veya anonim hale getirilir.

9. Veri Sahibinin KVKK ve GDPR Uyarınca Hakları

KVKK'nın 11. maddesi uyarınca veri sahibi olarak şu haklara sahipsiniz:

Kişisel verinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme,
İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
Eksik veya yanlış işlenmişse düzeltilmesini, işlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini veya yok edilmesini isteme ve bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhe bir sonuç çıkmasına itiraz etme,
Kanuna aykırı işleme sebebiyle zarara uğranması halinde zararın giderilmesini talep etme.

Avrupa Birliği vatandaşları veya AB ülkelerinde ikamet edenler ayrıca GDPR kapsamında erişim (m.15), düzeltme (m.16), silme (m.17), işlemenin kısıtlanması (m.18), veri taşınması (m.20) ve itiraz (m.21) haklarına sahiptir.

Haklarınızı kullanmak için, talebinizi açık ve anlaşılır şekilde belirten yazılı başvurunuzu ıslak imzalı olarak ve kimliğinizi ispat eden belgelerle birlikte ÖZEL ESTEBELLA POLİKLİNİĞİ adresine elden sunabilir, noter kanalıyla gönderebilir veya güvenli e-imza ile imzalayarak [email protected] adresine iletebilirsiniz. Talebiniz en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

Yürürlük Tarihi: 01.12.2021 — Güncelleme Tarihi: 01.12.2021