Kişisel Verileri Saklama ve İmha Politikası

1. Giriş

1.1 Amaç

Kişisel Verileri Saklama ve İmha Politikası (“Politika”),

Veri Sorumlusu Unvanı: Doç. Dr. Mustafa Çorum

Veri Sorumlusu Adresi: Acıbadem Taksim Hastanesi, İnönü Mah. Nizamiye Caddesi No:1-9, Şişli / İstanbul

Veri Sorumlusu Telefonu: +90 507 267 04 25

Veri Sorumlusu E-posta Adresi: info@mustafacorum.com

Veri Sorumlusu Web Sitesi: https://mustafacorum.com

Doç. Dr. Mustafa Çorum tarafından gerçekleştirilmekte olan kişisel veri saklama ve imha faaliyetlerine ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.

Doç. Dr. Mustafa Çorum; hukuka uygun misyon, vizyon ve temel ilkeler doğrultusunda işlediği kişisel verilerin Türkiye Cumhuriyeti Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili diğer mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanabilmesini öncelikli ilke olarak benimsemektedir.

Kişisel verilerin saklanması ve imhasına ilişkin tüm iş ve işlemler işbu Politika kapsamında yürütülmektedir.

1.2 Kapsam

Bu Politika; hastalar, hasta yakınları, internet sitesi ziyaretçileri, iletişim formu aracılığıyla başvuru yapan kişiler, çalışanlar, çalışan adayları, tedarikçiler, hizmet sağlayıcılar ve iş ortaklarına ait kişisel verileri kapsamaktadır.

Doç. Dr. Mustafa Çorum tarafından yönetilen ve kişisel verilerin işlendiği tüm fiziksel ve elektronik kayıt ortamlarında gerçekleştirilen kişisel veri işleme faaliyetlerinde bu Politika uygulanır.

1.3 Kısaltmalar ve Tanımlar

Bu Politikada yer alan hukuki ve teknik terimler aşağıdaki anlamları ifade eder:

Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi işlemi.

Çalışan: Veri sorumlusu bünyesinde çalışan personel.

EBYS: Elektronik Belge Yönetim Sistemi.

Elektronik Ortam: Kişisel verilerin elektronik cihazlar aracılığıyla oluşturulduğu, işlendiği, saklandığı ve aktarıldığı ortamlar.

Elektronik Olmayan Ortam: Elektronik ortamlar dışında kalan yazılı, basılı ve fiziksel ortamlar.

Hizmet Sağlayıcı: Veri sorumlusuna belirli bir sözleşme kapsamında hizmet sunan gerçek veya tüzel kişiler.

İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim dışında, veri sorumlusunun talimatları doğrultusunda kişisel verileri işleyen kişiler.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemi.

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu.

Kayıt Ortamı: Kişisel verilerin tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlendiği her türlü ortam.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Veri İşleme Envanteri: Veri sorumlusunun iş süreçlerine bağlı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini detaylı şekilde gösteren envanter.

Kişisel Verilerin İşlenmesi: Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, aktarılması, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kurul: Kişisel Verileri Koruma Kurulu.

Özel Nitelikli Kişisel Veri: Kişilerin sağlık bilgileri, biyometrik verileri, genetik verileri ve Kanun kapsamında özel koruma altında bulunan diğer kişisel veriler.

Periyodik İmha: Kanunda belirtilen şartların ortadan kalkması halinde kişisel verilerin belirli aralıklarla silinmesi, yok edilmesi veya anonim hale getirilmesi işlemi.

Politika: Kişisel Verileri Saklama ve İmha Politikası.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

VERBİS: Veri Sorumluları Sicil Bilgi Sistemi.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek kişi veya tüzel kişi.

Yönetmelik: 28 Ekim 2017 tarihli Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

2. Saklama ve İmhaya İlişkin Açıklamalar

Doç. Dr. Mustafa Çorum tarafından işlenen kişisel veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak saklanmakta, saklama süresinin sona ermesi veya işleme amacının ortadan kalkması halinde mevzuata uygun yöntemlerle imha edilmektedir.

2.1 Saklamaya İlişkin Açıklamalar

6698 sayılı Kanun’un 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4. maddesinde işlenen kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği belirtilmiş, 5. ve 6. maddelerinde ise kişisel veri işleme şartları düzenlenmiştir.

Bu kapsamda kişisel veriler, ilgili mevzuatta öngörülen süreler boyunca veya işlenme amaçlarının gerektirdiği süre kadar muhafaza edilmektedir.

2.1.1 Kişisel Veri Saklamayı Gerektiren Hukuki Sebepler

İşlenen kişisel veriler aşağıdaki hukuki sebeplerden en az birinin varlığı halinde saklanmaktadır:

• Kanunlarda açıkça öngörülmesi,

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin gerekli olması,

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması,

• Koruyucu hekimlik, tıbbi teşhis, tedavi, bakım ve rehabilitasyon hizmetlerinin yürütülmesi,

• İlgili kişinin açık rızasının bulunması.

2.1.2 Saklamayı Gerektiren İşleme Amaçları

Kişisel veriler aşağıdaki amaçlar doğrultusunda işlenmekte ve saklanmaktadır:

• Hasta başvuru süreçlerinin yürütülmesi,

• Muayene, teşhis, tedavi ve rehabilitasyon hizmetlerinin planlanması ve yürütülmesi,

• Robotik rehabilitasyon, fizik tedavi ve tıbbi değerlendirme süreçlerinin yürütülmesi,

• Randevu oluşturulması ve takibinin sağlanması,

• Hasta ve hasta yakınlarıyla iletişim faaliyetlerinin yürütülmesi,

• Tıbbi kayıtların oluşturulması ve muhafaza edilmesi,

• Sağlık hizmetlerinin geliştirilmesi ve hizmet kalitesinin artırılması,

• Finans ve muhasebe işlemlerinin yürütülmesi,

• Faaliyetlerin mevzuata uygun şekilde yürütülmesi,

• Hukuki işlerin takibi ve yürütülmesi,

• Talep, öneri ve şikâyetlerin değerlendirilmesi,

• Web sitesi iletişim formları üzerinden iletilen başvuruların değerlendirilmesi,

• Fiziksel mekân güvenliğinin sağlanması,

• Saklama ve arşiv faaliyetlerinin yürütülmesi,

• Veri güvenliği süreçlerinin yürütülmesi,

• Yetkili kamu kurum ve kuruluşlarına bilgi verilmesi,

• Tanıtım ve bilgilendirme faaliyetlerinin yürütülmesi.

2.2 İmhayı Gerektiren Sebepler

Kişisel veriler aşağıdaki durumların ortaya çıkması halinde silinir, yok edilir veya anonim hale getirilir:

• İşlenmesine dayanak teşkil eden mevzuat hükümlerinin değiştirilmesi veya yürürlükten kaldırılması,

• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

• Kişisel veri işlemenin yalnızca açık rızaya dayanması halinde ilgili kişinin açık rızasını geri çekmesi,

• İlgili kişinin Kanun’un 11. maddesi kapsamında kişisel verilerinin silinmesi veya yok edilmesine ilişkin talebinin kabul edilmesi,

• Yapılan başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içerisinde cevap verilmemesi üzerine Kişisel Verileri Koruma Kurulu tarafından talebin uygun bulunması,

• Kişisel verilerin saklanmasını gerektiren azami sürenin sona ermesi ve daha uzun süre saklanmasını gerektiren herhangi bir hukuki sebebin bulunmaması.

Bu durumlarda kişisel veriler, ilgili kişinin talebi üzerine veya re’sen, mevzuata uygun yöntemlerle silinir, yok edilir veya anonim hale getirilir.

3. Teknik ve İdari Tedbirler

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun şekilde imha edilmesinin sağlanması amacıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi ve ilgili mevzuat kapsamında gerekli teknik ve idari tedbirler alınmaktadır.

3.1 Teknik Tedbirler

İşlenen kişisel verilerin güvenliğinin sağlanması amacıyla aşağıdaki teknik tedbirler uygulanmaktadır:

• Ağ ve uygulama güvenliği sağlanmaktadır.

• Güncel antivirüs yazılımları kullanılmaktadır.

• Güvenlik duvarı (firewall) sistemleri kullanılmaktadır.

• Yetkilendirme ve erişim kontrolleri uygulanmaktadır.

• Görev değişikliği yapan veya kurumdan ayrılan personelin erişim yetkileri kaldırılmaktadır.

• Bilgi sistemlerine ilişkin güvenlik güncellemeleri düzenli olarak takip edilmektedir.

• Sunucu, bilgisayar ve yazılımların güvenlik kontrolleri gerçekleştirilmektedir.

• Özel nitelikli kişisel verilere erişim yetkileri sınırlandırılmaktadır.

• Düzenli veri yedekleme işlemleri gerçekleştirilmektedir.

• Dijital ortamlarda saklanan kişisel veriler için gerekli durumlarda silme, yok etme veya anonim hale getirme işlemleri uygulanmaktadır.

• Web sitesi ve bilgi sistemlerinde güncel güvenlik önlemleri kullanılmaktadır.

3.2 İdari Tedbirler

Kişisel verilerin korunması amacıyla aşağıdaki idari tedbirler uygulanmaktadır:

• Kişisel veri güvenliğine ilişkin politika ve prosedürler oluşturulmuştur.

• Çalışanların veri güvenliği konusunda farkındalıklarının artırılmasına yönelik çalışmalar yürütülmektedir.

• Gizlilik yükümlülükleri sözleşmeler ve taahhütnameler ile güvence altına alınmaktadır.

• Hizmet alınan üçüncü taraflarla yapılan sözleşmelerde veri güvenliği hükümlerine yer verilmektedir.

• Kişisel veri içeren fiziksel ve dijital ortamların güvenliği sağlanmaktadır.

• Kişisel veri güvenliği ihlallerinin raporlanması ve yönetilmesine ilişkin süreçler oluşturulmuştur.

• Kişisel verilere erişimler görev ve yetki bazında sınırlandırılmaktadır.

• Özel nitelikli kişisel verilerin korunmasına yönelik ek güvenlik önlemleri uygulanmaktadır.

• Kişisel veri işleme faaliyetleri düzenli olarak gözden geçirilmekte ve gerekli iyileştirmeler yapılmaktadır.

• Periyodik denetimler ile veri güvenliği süreçlerinin etkinliği kontrol edilmektedir.

4. Saklama ve İmha Süreleri

Doç. Dr. Mustafa Çorum tarafından faaliyetler kapsamında işlenen kişisel verilere ilişkin saklama süreleri ilgili mevzuat hükümleri ve işleme amaçları dikkate alınarak belirlenmektedir.

Gerekli görülmesi halinde saklama süreleri güncellenebilir.

Saklama süresi sona eren kişisel veriler, ilgili mevzuata uygun olarak ilk periyodik imha döneminde silinir, yok edilir veya anonim hale getirilir.

4.1 Saklama Süreleri Tablosu

4.2 İmha Süreleri

Doç. Dr. Mustafa Çorum, Kanun ve ilgili Yönetmelik hükümleri kapsamında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha döneminde gerekli işlemleri gerçekleştirir.

İlgili kişinin Kanun’un 11. maddesi kapsamında kişisel verilerinin silinmesi veya yok edilmesine ilişkin talepte bulunması halinde;

• Kişisel verilerin işlenmesini gerektiren tüm şartlar ortadan kalkmışsa, talebe konu kişisel veriler en geç 30 (otuz) gün içerisinde silinir, yok edilir veya anonim hale getirilir.

• Kişisel verilerin işlenmesini gerektiren hukuki sebeplerin devam etmesi halinde talep gerekçesi açıklanarak reddedilebilir.

• Başvuru sonucu ilgili kişiye en geç 30 (otuz) gün içerisinde yazılı veya elektronik ortamda bildirilir.

5. Periyodik İmha Süreleri

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 11. maddesi uyarınca periyodik imha süresi 6 (altı) ay olarak belirlenmiştir.

Kişisel veriler, ilgili mevzuatta öngörülen saklama sürelerinin sona ermesi veya işlenme amacının ortadan kalkması halinde, ilk periyodik imha döneminde işbu Politikada belirtilen yöntemlerle silinir, yok edilir veya anonim hale getirilir.

6. İmha Yöntemleri

İlgili mevzuatta öngörülen sürelerin sona ermesi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, re’sen veya ilgili kişinin talebi üzerine aşağıda belirtilen yöntemlerle imha edilir.

6.1 Kişisel Verilerin Silinmesi

Kişisel veriler aşağıdaki yöntemlerle silinmektedir:

6.2 Kişisel Verilerin Yok Edilmesi

Kişisel veriler aşağıdaki yöntemlerle yok edilmektedir:

6.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, verilerin başka bilgilerle eşleştirilmesi halinde dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Anonim hale getirilen veriler üzerinde, ilgili kişinin kimliğinin doğrudan veya dolaylı olarak tespit edilmesi mümkün değildir.

Doç. Dr. Mustafa Çorum tarafından gerçekleştirilen anonimleştirme işlemlerinde, Kişisel Verileri Koruma Kurumu tarafından yayımlanan rehberler ve ilgili mevzuat hükümleri dikkate alınmakta; veri minimizasyonu, maskeleme, toplulaştırma ve benzeri uygun teknikler kullanılmaktadır.

Anonim hale getirilen veriler hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde muhafaza edilir ve yalnızca istatistiksel, bilimsel veya hizmet kalitesini artırmaya yönelik amaçlarla kullanılabilir.

7. İmha İşleminin Hukuka Uygunluğunu Sağlamak İçin Alınan Tedbirler

Talep üzerine veya periyodik imha süreçleri kapsamında gerçekleştirilen tüm imha işlemleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili Yönetmelik hükümleri ve işbu Politika doğrultusunda yerine getirilmektedir.

7.1 Teknik Tedbirler

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerinde aşağıdaki teknik tedbirler uygulanmaktadır:

• Bilgi sistemlerine erişim yetkileri kontrol altında tutulmaktadır.

• Kişisel verilerin imhası sırasında verilerin geri getirilemeyecek şekilde silinmesi sağlanmaktadır.

• Yetkisiz erişimi önleyici teknik önlemler uygulanmaktadır.

• Silme ve yok etme işlemleri kayıt altına alınmakta ve gerektiğinde denetlenebilmektedir.

• Dijital ortamlarda bulunan kişisel verilerin güvenli imha yöntemleri kullanılmaktadır.

7.2 İdari Tedbirler

Kişisel verilerin imha süreçlerinde aşağıdaki idari tedbirler uygulanmaktadır:

• Çalışanlara kişisel verilerin korunması, veri güvenliği ve imha süreçleri konusunda gerekli bilgilendirme ve eğitimler verilmektedir.

• İmha süreçleri düzenli olarak denetlenmektedir.

• Tespit edilen eksiklik ve riskler için gerekli düzeltici faaliyetler gerçekleştirilmektedir.

• İmha işlemlerinin mevzuata uygun şekilde yürütülmesi sağlanmaktadır.

8. Kayıt Ortamları

Kişisel veriler, ilgili mevzuata uygun şekilde aşağıda belirtilen fiziksel ve elektronik ortamlarda saklanabilmektedir.

9. Kişisel Veri Güvenliği İçin Alınan Tedbirler

Doç. Dr. Mustafa Çorum tarafından kişisel verilerin güvenliğinin sağlanması amacıyla Kanun’un 12. maddesi ve ilgili mevzuat kapsamında gerekli teknik ve idari tedbirler uygulanmaktadır.

9.1 Teknik Tedbirler

• Ağ ve uygulama güvenliği sağlanmaktadır.

• Güncel antivirüs sistemleri kullanılmaktadır.

• Güvenlik duvarları kullanılmaktadır.

• Düzenli veri yedekleme işlemleri yapılmaktadır.

• Silme, yok etme ve anonim hale getirme süreçleri uygulanmaktadır.

• Veri kaybını önleyici güvenlik önlemleri kullanılmaktadır.

• Sistem güvenlik güncellemeleri düzenli olarak gerçekleştirilmektedir.

9.2 İdari Tedbirler

• Veri güvenliğine ilişkin politika ve prosedürler oluşturulmuştur.

• Çalışanların veri güvenliği farkındalığını artırmaya yönelik çalışmalar yürütülmektedir.

• Erişim yetkileri görev ve sorumluluklara göre sınırlandırılmaktadır.

• Kişisel veri içeren fiziksel ortamların güvenliği sağlanmaktadır.

• Yangın, sel ve benzeri risklere karşı gerekli önlemler alınmaktadır.

• Düzenli denetimler gerçekleştirilmektedir.

• Veri minimizasyonu ilkesi uygulanmaktadır.

• Kişisel veri güvenliği süreçleri düzenli olarak takip edilmektedir.

10. Personel Unvan, Birim ve Görev Dağılımı

Kişisel verilerin saklanması, korunması ve imhasına ilişkin süreçlerde görev alan kişilerin sorumlulukları aşağıdaki şekilde belirlenmiştir.

11. Politikada Yapılan Güncellemeler

Mevzuat değişiklikleri, Kişisel Verileri Koruma Kurulu kararları veya teknolojik gelişmeler doğrultusunda işbu Politika güncellenebilir.

Yapılan değişiklikler güncel metne işlenerek internet sitesi üzerinden yayımlanır.

Güncellemeler Tablosu

12. Son Hükümler

İşbu Kişisel Verileri Saklama ve İmha Politikası Doç. Dr. Mustafa Çorum tarafından hazırlanmış olup;

• İlgili kişilerle talep halinde paylaşılmakta,

• Uygun görülen fiziki ortamlarda bulundurulmakta,

• https://mustafacorum.com internet sitesi üzerinden yayımlanarak kamuoyunun erişimine sunulmaktadır.

Politika yayım tarihinde yürürlüğe girer.