kvkk.politika
kvkk.politika

KVKK POLİTİKA

İÇİNDEKİLER

1-Amaç ve Kapsam

2-Politika Esasları

3-Kişisel Verilerin Kategorileri

4-Kişisel Verilerin İşlenme Amaçları

5. Kişisel Verilerin Aktarımı

6. Kişisel Verilerin Saklanma Süreleri

7. Politika Kapsamındaki Kişi Grupları

8. Yabancı Ülkelere Aktarılan Bilgiler

9. Kişisel Veri Sahibinin Aydınlatılması

10. Kişisel Veri Sahibinin Açık Rızasının Bulunması

11. Görüntü Kaydı Bilgileri

12-Kişisel Veri Sahibinin Başvurularına Cevap Verme ve Taleplerinin Sonuçlandırılması

13-Kişisel Veri Sahibinin KVK Kurulu’na Şikâyette Bulunma Hakkı

14-Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Şartları

15-Roller ve Sorumluluklar

16-Kişisel Verilerin Güvenliğinin ve Gizliliğinin Sağlanması

17-Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

1. Amaç ve Kapsam:

Özel Bartın Diyaliz Merkezi ve Sağlık Hizmetleri LTD. ŞTİ (Merkez), kişisel verilerin işlenmesi ve korunmasına ilişkin yürürlükte bulunan tüm mevzuata uygun davranmak için azami gayreti göstermektedir.

Kişisel Verilerin Korunması ve İşlenmesi Politikası (Politika) çerçevesinde, Merkez tarafından gerçekleştirilen kişisel verileri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler açıklanmaktadır.

Politika ile, Merkez faaliyetlerinin şeffaflık içinde yürütülmesi ilkesinin sürdürülebilirliği amaçlanmaktadır. Bu kapsamda Merkez, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (KVK Kanunu), yer alan düzenlemelere uyumlu temel prensipler belirlemekte ve Merkez tarafından yerine getirilen uygulamalar açıklanmaktadır.

Politika, diyaliz tedavisi uygulanan hastaların, çalışanların ve iş başvurusu yapan kişilerin otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen kişisel verileri, özel nitelikli kişisel verileri, yurt dışı ile paylaşılan kişisel verileri kapsamaktadır.

2. Politika Esasları:

2.1. Genel Esaslar

Politika, Merkez’in www.bartindiyaliz.com.tr internet sitesinde yayınlanır. Mevzuatta gerçekleştirilecek değişiklik ve yeniliklere paralel olarak, Politikada yapılacak değişiklikler, veri sahiplerinin kolaylıkla erişim sağlayabileceği biçimde erişime açılacaktır.

2.2. Politika Revizyonu

İlk olarak hazırlamış ve internet sitemizde daha önce yayınlamış olduğumuz 02.01.2020 tarihli Politika, VERBİS sistemine kayıt işlemlerimizi yaparken edindiğimiz bilgi, tecrübe ve konuyu daha iyi kavrayışımız sonrası revize edilerek iş bu Politika 20.05.2020 tarihinde yeniden ve daha kapsamlı olarak oluşturulmuştur.

3. Kişisel Verilerin Kategorileri:

3.1. Merkezimizde hem Kişisel Veri hem de Özel Nitelikli Kişisel Veriler işlenebilmektedir. VERBİS sisteminde yer alan başlıklardan; Kimlik, İletişim, Lokasyon, Özlük, Hukuki İşlem, Müşteri İşlem, Fiziksel Mekan Güvenliği, Risk Yönetimi, Mesleki Deneyim, Görsel ve İşitsel Kayıtlar, Sağlık Bilgileri, Ceza Mahkumiyeti ve Güvenlik Tedbirleri, Biyometrik Veri, Genetik Veri başlıklarında veriler işlenmektedir.

3.2. VERBİS’e Kayıtlı Veri Kategorilerimiz:

Veri Kategorisi	Veri Özelliği
Kimlik; Ad soyad, Anne - baba adı, Anne kızlık soyadı, Doğum tarihi, Doğum yeri, Medeni hali, Nüfus cüzdanı seri sıra no, TC kimlik no v.b.	Kişisel Veri
İletişim; Adres no, E-posta adresi, İletişim adresi, Kayıtlı elektronik posta adresi (KEP), Telefon no v.b.	Kişisel Veri
Lokasyon; Bulunduğu yerin konum bilgileri v.b.	Kişisel Veri
Özlük; Bordro bilgileri, Disiplin soruşturması, İşe giriş belgesi kayıtları, Mal bildirimi bilgileri, Özgeçmiş bilgileri, Performans değerlendirme raporları	Kişisel Veri
Hukuki İşlem; Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler v.b.	Kişisel Veri
Müşteri İşlem; Çağrı merkezi kayıtları, Fatura, senet, çek bilgileri, Gişe dekontlarındaki bilgiler, Sipariş bilgisi, Talep bilgisi v.b.	Kişisel Veri
Fiziksel Mekan Güvenliği; Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, Kamera kayıtları v.b.	Kişisel Veri
Risk Yönetimi; Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler v.b.	Kişisel Veri
Mesleki Deneyim; Diploma bilgileri, Gidilen kurslar, Meslek içi eğitim bilgileri, Sertifikalar, Transkript bilgileri v.b.	Kişisel Veri
Görsel Ve İşitsel Kayıtlar; Görsel ve İşitsel kayıtlar v.b.	Kişisel Veri
Sağlık Bilgileri; Engellilik durumuna ait bilgiler, Kan grubu bilgisi, Kişisel sağlık bilgileri, Kullanılan cihaz ve protez bilgileri v.b.	Özel Nitelikli Kişisel Veri
Ceza Mahkûmiyeti Ve Güvenlik Tedbirleri; Ceza mahkumiyetine ilişkin bilgiler, Güvenlik tedbirlerine ilişkin bilgiler v.b.	Özel Nitelikli Kişisel Veri
Biyometrik Veri; Avuç içi bilgileri, Parmak izi bilgileri, Retina taraması bilgileri, Yüz tanıma bilgileri v.b.	Özel Nitelikli Kişisel Veri
Genetik Veri; Genetik veriler v.b.	Özel Nitelikli Kişisel Veri

3.3. Merkezimizde İşlenen Veri Kategorilerinin Veri sahiplerine Göre Listelenmesi ve Açıklamaları.

VERİ SAHİBİ	VERİ KATEGORİSİ	AÇIKLAMA
ÇALIŞAN ADAYI	Özlük	İş Başvuru Formunda yer alan bilgiler, C.V.
ÇALIŞAN	Kimlik Bilgisi	Nüfus cüzdanı bilgileri
	Özlük Mesleki Deneyim Mesleki Yeterlilik Belgesi	Hekim, Uzman Hekimlik Diplomaları, Diyaliz Hekimi Sertifikaları, İşyeri Hekimliği Sertifikası, Hemşirelik, Acil Tıbbi Teknisyen, Diyaliz Teknikeri Diplomaları ve Hemodiyaliz Hemşireliği Sertifikaları, Diğer Üniversite, Yüksek Okul, Lise Diplomaları, Aşçı, Hasta Bakım, TMGD Sertifikaları.
	İletişim Bilgisi	Telefon, adres, mail adresleri
	Sürücü Yeterlilik Belgeleri	Ehliyet, SRC, Psikoteknik değerlendirne belgeleri.
	Maaş Ödemesi	Banka hesap İBAN No
	Sağlık Bilgileri Tıbbi Dokümanlar	İşyeri hekimliği uygulamaları
	Vukuatlı Nüfus Cüzdan Örneği	Bakmakla Yükümlü Olduğu Kişiler İçin Yan Haklar
	Hukuki İşlem	Adli makamlar ile yazışmalar
	Ceza Mahkumiyeti	Adli sicil kaydı
HİSSEDAR / ORTAK	Kimlik Bilgisi	Nüfus cüzdanı bilgileri
	Mesleki Yeterlilik Belgeleri	Diploma, Sertifika
	İletişim Bilgisi	Telefon, adres, mail adresleri
	Maaş Ödemesi	Banka hesap İBAN No
	Hukuki İşlem	Adli makamlar ile yazışmalar
STAJYER	Kimlik Bilgisi	Nüfus cüzdanı bilgileri
STAJYER	Mesleki Yeterlilik Belgeleri	Staj Belgeleri
TEDARİKÇİ (ÇALIŞANI VE YETKİLİSİ)	Kimlik Bilgisi	Nüfus cüzdanı bilgileri
	Mesleki Yeterlilik Belgeleri	Diploma, Teknik Yeterlilik Belgesi,
	İletişim Bilgisi	Telefon, adres, mail adresleri
	Lokasyon	Konum Bilgileri
	Müşteri İşlem	Fatura Bilgileri, Vergi no
HİZMET ALAN KİŞİ (DİYALİZ HASTALARI, VELİ, VASİ)	Kimlik Bilgisi	Nüfus cüzdanı bilgileri
	Rapor	Hemodiyaliz uygulaması için zorunlu olan Diyaliz Raporu
	İletişim Bilgileri	Hasta iletişimini sağlamak ve hasta naklini gerçekleştirmek için gerekli olan telefon, adres bilgileri, hasta yakını telefon ve adresleri
	Biyometrik Veri	Biyometrik kimlik doğrulama (Avuç içi vasküler iz verisi)
	Genetik Veri	Kalıtsal hastalık bilgileri
	Sağlık Bilgileri Tıbbi Dokümanlar	Merkezimiz dışında oluşan, teşhis ve tedavi sürecimiz için gerekli olan tıbbi bilgiler; epikriz, hastanelerde yapılan tetkik, ameliyat, yatış bilgileri, e-nabız bilgileri
	Sağlık Bilgileri Tıbbi Dokümanlar	Merkezimizde yapılan tıbbi işlemler sonucu oluşan tıbbi bilgiler; anamnez formu, muayene formu, seans formu, diyetisyen notu, uzman notu, tıbbi uygulama bilgileri, tahlil ve tetkik sonuçları vb.
ZİYARETÇİ	Görsel Veriler	Kamera Kayıtları
MERKEZ GÜVENLİĞİ	Fiziksel Mekan Güvenlik Bilgisi	Diyaliz merkezi bahçesinde ve bina içinde bulunan güvenlik kameraları ile alınan görüntü kayıtları. Tüm ‘Kişi Grupları’ için geçerlidir.
DİĞER	Talep ve Şikayet Yönetimi Bilgisi	Merkezimize yöneltilmiş olan her türlü talep veya şikayetin alınması ve değerlendirilmesine ilişkin kişisel veriler

4. Kişisel Verilerin İşlenme Amaçları:

4.1. Merkezimiz 6698 Sayılı Kişisel Verilerin Korunması Kanununda belirtilen amaçlar ve koşullarla sınırlı olarak kişisel verileri işlemektedir.

Merkezimiz tarafından kişisel verilerin işlenme amaç ve koşullarını oluşturan, açık rıza almayı gerektirmeyen, kanunda yer alan başlıca durumlar aşağıda sıralanmıştır;

·Kişisel verilerin Merkezimiz tarafından işlenmesinin, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması (Merkezimiz ile SGK arasında imzalanan hizmet alımı sözleşmesi, Merkezimiz ile Laboratuvar, Tıp Merkezi ve Diyetisyen arasında imzalanan hizmet alım sözleşmeleri)

·Kişisel verilerin işlenmesinin, Merkezimizin ticari, hukuki ve hizmet yükümlülüklerini yerine getirebilmesi için zorunlu olması (Sosyal Güvenlik Kurumu ve Sağlık Bakanlığı mevzuatı)

·Kişisel verilerin Merkezimiz tarafından işlenmesinin, Merkezimizin veya sizlerin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması (Sağlık hizmeti alma hakkı olan hastalar, kendisi ve aile bireyleri için haklardan yararlanacak olan çalışanlar)

·Kişi temel hak ve özgürlüklerine zarar vermemek kaydıyla Merkezimiz meşru menfaatleri için kişisel veri işleme faaliyetinde bulunulmasının zorunlu olması (Merkezin verdiği tedavi hizmetleri karşılığında fatura oluşturabilmesi için gerekli veriler)

·Merkezimiz tarafından kişisel veri işleme faaliyetinde bulunulmasının kişisel veri sahibinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması ve bu durumda da kişisel veri sahibinin fiili imkânsızlık veya hukuki geçersizlik nedeniyle rızasını açıklayamayacak durumda bulunması

·Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde.

Yukarıda belirtilen şartların bulunmaması halinde; kişisel veri işleme faaliyetinde bulunmak için Merkez, kişisel veri sahiplerinin açık rızalarına başvurmaktadır.

Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmeti yürütülmesi başlıkları altında Özel Nitelikli Kişisel Veri işlemeye haiz sır saklama yükümlülüğü bulunan bir meslek kuruluşuyuz.

4.2. Merkez'in insan kaynakları politikaları ve süreçlerinin planlanması ve icra edilmesi, hasta tedavi süreçleri kapsamında aşağıdaki amaçlarla kişisel veriler işlemektedir.

·Çalışanlar için yan haklar ve menfaatlerin planlanması ve icrası

·Çalışanların bilgiye erişim yetkilerinin planlanması ve icrası

·Çalışanların iş faaliyetlerinin takibi ve/veya denetimi

·İşyeri hekimliği uygulamaları

·Eğitim faaliyetlerinin planlanması

·Finans ve/veya muhasebe işlerinin takibi

·İnsan kaynakları süreçlerinin planlanması

·İletişim faaliyetlerinin planlanması ve icrası

·Hasta memnuniyeti süreçlerinin planlanması ve/veya takibi

·Hasta talep ve/veya şikayetlerinin takibi

·Personel temin süreçlerinin yürütülmesi

·Çalışanları için iş akdi ve/veya mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi

·Merkez demirbaşlarının ve/veya kaynaklarının güvenliğinin temini

·Merkez denetim faaliyetlerinin planlanması ve icrası

·Merkez dışı eğitim faaliyetlerinin planlanması ve icrası

·Merkez içi atama-terfi ve işten ayrılma süreçlerinin planlanması ve icrası

·Merkez yerleşkesinin güvenliğinin temini

·Yetenek - kariyer gelişimi faaliyetlerinin planlanması ve icrası

·Yetkili kişi ve/veya kuruluşlara mevzuattan kaynaklı bilgi verilmesi

Bu amaçlar çerçevesinde Merkezimizce yürütülen faaliyetlerin önemli bir kısmı, Kanunun 5. maddesinin 2. fıkrasında ve 6. Maddesinin 3. Fıkrasında belirtilen kişisel veri sahibinin açık rızasını gerektirmeyen faaliyet ve süreçlerdir. Merkezimiz Kanun’un anılan maddeleri kapsamında olmayan faaliyet ve süreçleri için kişisel veri sahibinin açık rızasını ayrıca almaktadır.

4.3. VERBİS’ e Kayıtlı Kişisel Veri İşleme Amacı ve Veri Kategorisi Tablomuz:

KİŞİSEL VERİ İŞLEME AMACI

Acil durum yönetim süreçleri

Bilgi güvenliği süreçleri

Çalışan adayı/stajyer yerleştirme süreçleri

Çalışan adayı başvuru süreçleri

İş akdi, mevzuat yükümlülükleri

Çalışanlar için yan haklar, menfaatler

Denetim/etik faaliyetler

Eğitim faaliyetlerinin yürütülmesi

Erişim yetkilerinin yürütülmesi

Faaliyetlerin mevzuata uygun yürütülmesi

Finans ve muhasebe işlerinin yürütülmesi

Fiziksel mekan güvenliğinin temini

Görevlendirme süreçlerinin yürütülmesi

Hukuk işlerinin takibi ve yürütülmesi

İç denetim/soruşturma/istihbarat faaliyetleri

İletişim faaliyetlerinin yürütülmesi

İnsan kaynakları süreçlerinin planlanması

İş faaliyetlerinin yürütülmesi/denetimi

İş sağlığı/güvenliği faaliyetleri

İş süreçlerinin iyileştirilmesi önerileri

İş sürekliliğinin sağlanması faaliyetleri

Mal/hizmet satın alım süreçleri

Mal/hizmet üretim ve operasyon süreçleri

Müşteri ilişkileri süreçleri

Müşteri memnuniyetine yönelik aktiviteler

Organizasyon ve etkinlik yönetimi

Risk yönetimi süreçlerinin yürütülmesi

Saklama ve arşiv faaliyetleri

Sözleşme süreçlerinin yürütülmesi

Talep/şikayetlerin takibi

Taşınır mal ve kaynakların güvenliği

Tedarik zinciri yönetimi süreçleri

Ücret politikasının yürütülmesi

Yatırım süreçlerinin yürütülmesi

Yetenek/kariyer gelişimi faaliyetleri

Yetkili kurum ve kuruluşlara bilgi verilmesi

Yönetim faaliyetlerinin yürütülmesi

5. Kişisel Verilerin Aktarımı

5.1. Merkezimiz hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir. Merkezimiz bu doğrultuda KVK Kanunu’nun 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.

5.2. Hizmet Sunumunu Tamamlayabilmemiz İçin Kişisel Veri Aktarımı Yapılması Zorunlu Durumlar:

VERİ AKTARIMI YAPILABİLECEK KİŞİ ve KURUMLAR	TANIMI	VERİ AKTARIM AMACI
SGK-MEDULA	Sosyal Güvenlik Kurumu Hizmet Alımı Sözleşmesi	SGK ile anlaşmalı olarak sağlık hizmet sunumu yapan merkezimizin sözleşmeden doğan sorumlulukları
Sağlık Bakanlığı	S.B. Merkezi Sağlık Veri Kayıt Sistemleri	Sağlık Bakanlığından ruhsatlı Hemodiyaliz Merkezi olarak, Bakanlığa karşı sorumluluklarımız
Aktif DYBS Listesinde Yetkili Yazılım Firması	MEDULA ile bağlantı	SGK MEDULA programına erişim için kullanımı zorunlu olan yazılım tedarikçisi firma. Sağlık Bakanlığının Aktif DYBS listesinde yer alan yazılım firmasıdır.
Yetkili Laboratuvar	Hasta ve Çalışanların periyodik tetkiklerinin yapılması	SGK ve Sağlık Bakanlığına karşı sorumluluklarımız ve hasta tanı ve tedavi süreçlerinde zorunlu olan tetkiklerin yapılması için sözleşme yapılan laboratuvardır. Sağlık Bakanlığı tarafından ruhsatlı ve SGK ile sözleşmesi olan bir laboratuvardır.
Yetkili Röntgen Tesisi	Hasta ve Çalışanların periyodik röntgenlerinin çekilmesi, raporlanması	SGK ve Sağlık Bakanlığına karşı sorumluluklarımız ve hasta tanı ve tedavi süreçlerinde zorunlu olan tetkiklerin yapılması için sözleşme yapılan röntgen tesisidir. Sağlık Bakanlığı tarafından ruhsatlı ve SGK ile sözleşmesi olan bir Tıp Merkezi bünyesindedir.
Diyetisyen	Hasta beslenmesinin düzenlenmesi	Hasta tedavi sürecinin bir parçası olarak zorunlu olan ve Merkezimizde seans günlerinde hastaları değerlendiren anlaşmalı diyetisyen.
Muhasebe	Şirket muhasebesinin tutulması. Çalışan haklarının temini	Gelen-giden fatura ve eklerinde yer alan tedarikçi ve hasta bilgileri. Çalışan kimlik, iletişim, bordro, maluliyet vb. bilgiler

5.3. VERBİS’e Kayıtlı Veri Aktarım Alıcı Gruplarımız:

·Gerçek kişiler veya özel hukuk tüzel kişileri

·Hissedarlar

·İş ortakları

·Tedarikçiler

·Yetkili kamu Kurum ve Kuruluşları

6. Kişisel Verilerin Saklanma Süreleri:

6.1. Genel Prensipler

Saklama süreleri konusunda ana belirleyici, çalışanlar, işe başvuranlar ve hastalar açısından kişisel verilerin, ilgili kanun ve mevzuatlarda belirtilen zorunlu saklama sürelerine uyulmasıdır. Saklanma sürelerine ilişkin mevzuatta bir zaman belirtilmemiş olan kişisel veriler, o veriyi işlerken yürütülen faaliyet ile bağlı olarak Merkezin uygulamaları ve ticari yaşamının teamülleri dikkate alınarak saklama süreleri belirlenir.

Kişisel veriler, 6698 sayılı kanunun 5-6. Maddelerinde yer alan kişisel verilerin işlenme şartlarının ortadan kalkması halinde veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine imha edilir.

6.2. Kişisel Veri Saklama Süreleri Tablosu;

Kimlik	Kişisel Veri	10 Yıl
İletişim	Kişisel Veri	10 Yıl
Lokasyon	Kişisel Veri	10 Yıl
Özlük	Kişisel Veri	10 Yıl
Hukuki İşlem	Kişisel Veri	10 Yıl
Müşteri İşlem	Kişisel Veri	10 Yıl
Fiziksel Mekan Güvenliği	Kişisel Veri	1 Ay
Risk Yönetimi	Kişisel Veri	10 Yıl
Mesleki Deneyim	Kişisel Veri	10 Yıl
Görsel Ve İşitsel Kayıtlar	Kişisel Veri	1 Ay
Sağlık Bilgileri	Özel Nitelikli Kişisel Veri	10 Yıl
Ceza-Mahkûmiyet	Özel Nitelikli Kişisel Veri	10 Yıl
Biyometrik Veri	Özel Nitelikli Kişisel Veri	SGK Medulada kayıtlı veri ile eşleşme ve onayı alınıyor. Biyometrik veri merkezimizde saklanmıyor.
Genetik Veri	Özel Nitelikli Kişisel Veri	10 Yıl

6.3. Veri Saklama Sürelerine İlişkin Özel Durum Açıklamaları:

Çalışanların özlük dosyalarında bulunan kişisel verileri çalıştığı sürece saklanır, işten ayrılmasından itibaren 10 (on) yıl saklanmaya devam edilir. On yılın tamamlandığı ay içinde periyodik olarak ve/veya veri saklama süresinin sona ermesinden sonra veri sorumlusu tarafından belirlenen altı (6) aylık periyodik imha süresi içerisinde imha edilir.

Vergi, Muhasebe kayıtları 10 (on) yıl saklanır, on yılın tamamlandığı ay içinde periyodik olarak ve/veya veri saklama süresinin sona ermesinden sonra veri sorumlusu tarafından belirlenen altı (6) aylık periyodik imha süresi içerisinde imha edilir.

Çalışan adaylarının kişisel verileri 6 (altı) ay saklanır. Altı ayın tamamlandığı ay içinde periyodik olarak ve/veya ve/veya veri saklama süresinin sona ermesinden önce veri sorumlusu tarafından belirlenen altı (6) aylık periyodik imha süresi içerisinde imha edilir.

Hastaların kişisel sağlık verilerinin Merkezimizce, verinin oluştuğu tarihten itibaren 10 (on) yıl boyunca saklanması, SGK hizmet alım sözleşmesi uyarınca zorunludur. Her veri için ayrı olarak, 10 (on) yılın tamamlandığı tarihten itibaren en geç altı ay içerisinde imha uygulanmaktadır.

Ölmüş bir kişinin sağlık verileri, Sağlık Bakanlığı yönetmelikleri gereği en az 20 (yirmi) yıl boyunca saklanır, 20 (yirmi) yılın tamamlandığı tarihten itibaren en geç altı ay içerisinde imha uygulanmalıdır.

7. Politika Kapsamındaki Kişi Grupları:

7.1. Politika kapsamında olan ve Merkez tarafından kişisel verileri işlenen veri sahibi kişi grupları VERBİS’e kayıtlı haliyle tablodaki gibidir

VERİ KATEGORİLERİ	KİŞİ GRUPLARI
VERİ KATEGORİLERİ	ÇALIŞAN ADAYI	ÇALIŞAN	HİSSEDAR ORTAK	STAJYER	TEDARİKÇİ ÇALIŞANI	TEDARİKÇİ YETKİLİSİ	ÜRÜN VE HİZMET ALAN KİŞİ	VELİ VASİ TEMSİLCİ	ZİYARETÇİ
KİMLİK	+	+	+	+			+	+
İLETİŞİM	+	+	+	+			+	+
LOKASYON	+	+	+	+			+	+
ÖZLÜK		+	+
HUKUKİ İŞLEM		+	+
MÜŞTERİ İŞLEM						+
MEKAN GÜVENLİĞİ	+	+	+	+	+	+	+	+	+
RİSK YÖNETİMİ		+	+				+
MESLEKİ DENEYİM	+	+	+	+		+	+
GÖRSEL KAYITLAR	+	+	+	+	+	+	+	+	+
SAĞLIK BİLGİLERİ		+	+				+
MAHKÜMİYET BİLGİSİ		+
BİOMETRİK VERİ							+
GENETİK VERİ							+

7.2. Merkezimiz Özelinde Kişi Gruplarının Açıklayıcı Tanımlanma Tablosu aşağıdadır.

VERİ KONUSU KİŞİ GRUBU	AÇIKLAMASI
Çalışan Adayı	Merkezimize herhangi bir yolla iş başvurusunda bulunmuş, C.V. bırakmış yada iş başvuru formu doldurmuş olan gerçek kişiler
Çalışanlar	Merkezimizde Diyaliz Hekimi, İş Yeri Hekimi, Uzman Hekim, Hemşire, ATT, Diyaliz Teknikeri, Muhasebe (Kalite Yönetim Direktörü, TMGD, Hasta Kabul Sorumlusu, İnsan Kaynakları), Şoför, Teknisyen, Hizmetli Personel (Temizlik Personeli, Aşçı, Kalorifer Görevlisi, Çamaşırhane Personeli) unvanları ile çalışan görevliler.
Hissedar / Ortak	Özel Bartın Diyaliz Merkezinin ortakları.
Stajyer	Staj programına alınan sağlık meslek öğrencileri.
Tedarikçi	Ürün veya hizmet alımı yaptığımız şahıslar ve firmaların sahibi, yetkilisi veya çalışanı.
Ürün veya hizmet alan kişi	Hemodiyaliz tedavisi uygulanması için merkezimize başvuran, tedavi programına alınan, tedavisi haftada 1-4 seans üzerinden sürdürülen hastalar, bunların veli / vasi / temsilcisi. Yurt dışında yaşayan, Türkiye Cumhuriyeti vatandaşı olan veya olmayan, tedavisi haftada 1-4 seans üzerinden sürdürülen hastalar bunların veli / vasi / temsilcisi.
Ziyaretçi	Diyaliz merkezine çalışma ve tedavi dışı amaçlarla gelen kişiler.

8. Yabancı Ülkelere Aktarılan Bilgiler

8.1. Merkezimiz, yurt dışında ikamet eden Türkiye Cumhuriyeti vatandaşı veya yabancı uyruklu kişilerin tedavileri sırasında edinilen kişisel verileri işlemektedir. Yapılan hizmetin bedelini fatura ederken bu kişisel verilerden isim-soyisim, yurt dışı sigorta şirketinin sicil numarası, iletişim adresi, diyaliz tedavisi uygulanan gün ve saatleri içeren sınırlı miktarda kişisel veriyi, fatura eki olarak yurt dışı sigorta şirketine aktarmamız zorunludur. Bu aktarım için hastalardan açık rıza alınmaktadır.

Merkezimiz bu doğrultuda KVK Kanunu’nun 9. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.

8.2. Veri sorumlusu sıfatı ile işlediğimiz kişisel verilerin yabancı ülkelere aktarılma durumları aşağıda gösterilmiştir.

Veri Kategorisi	Aktarım Durumu
Kimlik; Ad soyad, Yurtdışı sosyal güvenlik sicil no.	Aktarılıyor
İletişim; İletişim adresi,	Aktarılıyor
Lokasyon; Bulunduğu yerin konum bilgileri	Aktarılmıyor
Özlük; Bordro bilgileri, Disiplin soruşturması, İşe giriş belgesi kayıtları, Mal bildirimi bilgileri, Özgeçmiş bilgileri, Performans değerlendirme raporları	Aktarılmıyor
Hukuki İşlem; Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler	Aktarılmıyor
Müşteri İşlem; Fatura.	Aktarılıyor
Fiziksel Mekan Güvenliği; Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, Kamera kayıtları	Aktarılmıyor
Risk Yönetimi; Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler	Aktarılmıyor
Mesleki Deneyim; Diploma bilgileri, Gidilen kurslar, Meslek içi eğitim bilgileri, Sertifikalar, Transkript bilgileri	Aktarılmıyor
Görsel Ve İşitsel Kayıtlar; Görsel ve İşitsel kayıtlar	Aktarılmıyor
Sağlık Bilgileri; Diyaliz seans gün ve saatleri.	Aktarılıyor
Ceza Mahkûmiyeti Ve Güvenlik Tedbirleri; Ceza mahkumiyetine ilişkin bilgiler, Güvenlik tedbirlerine ilişkin bilgiler	Aktarılmıyor
Biyometrik Veri; Avuç içi bilgileri, Parmak izi bilgileri, Retina taraması bilgileri, Yüz tanıma bilgileri	Aktarılmıyor
Genetik Veri; Genetik veriler	Aktarılmıyor

9. Kişisel Veri Sahibinin Aydınlatılması:

Merkez, KVK Kanunu’nun 10. ve 11. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında veri sahiplerinin bilgilendirilmesini sağlamak için gerekli süreçleri yürütmektedir. Bu kapsamda Merkez tarafından veri sahiplerine sunulan aydınlatma metinlerinde aşağıda sıralanan bilgiler bulunmaktadır:

1. Merkezimizin unvanı,

2. Merkez tarafından veri sahiplerinin kişisel verilerinin hangi amaçla işleneceği,

3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

4. Kişisel veri toplamanın yöntemi ve hukuki sebebi,

5. Veri sahibinin aşağıda sayılan hakların bulunduğu;

·Kişisel verilerinin işlenip işlenmediğini öğrenme,

·Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

·Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

·Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

·Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme

·Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesi isteğinin aktarılan üçüncü kişilere bildirilmesini isteme,

·Kanunun 7. Maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme

·Kanunun 7. Maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesi isteminin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme

·İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme

·Kişisel verilerin kanuna aykırı olarak islenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

10. Kişisel Veri Sahibinin Açık Rızasının Bulunması:

Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır. Merkezimiz, kanunun 5. Maddesi 2. fıkrası veya 6. Maddesi 3.fıkrasına dayanarak kişisel verileri işlemek için onay almamayı tercih edebilir.

11. Görüntü Kaydı Bilgileri:

Merkezimiz, güvenlik kamerası ile izleme faaliyeti kapsamında; sunulan hizmetin kalitesini artırmak, güvenilirliğini sağlamak, Merkezin, veri sahibinin ve diğer kişilerin can ve mal güvenliğini sağlamak ve bu sayılanların meşru menfaatlerini korumak gibi amaçlar taşımaktadır. Ayrıca Sağlık Bakanlığı Kalite Yönetim Sistemi kapsamında, Tesis Yönetimi, Çalışan ve Hasta Güvenliği başlıklarında zorunlu sayılmıştır.

Diyaliz Merkezi bina içerisinde genel kullanım alanları ve bahçede kameralar ile görüntü kaydı yapılmaktadır. Bu görüntüler ancak Sorumlu Hekim (Şirket Yetkilisi) tarafından geri çağrılarak izlenebilmekte ve ortalama bir ay saklanmaktadır.

Merkezimizde kamera ile görüntü kaydı yapıldığı, asılan yazılar ile çalışan, hasta, hasta yakını ve diğer gelenlere duyurulmuştur.

12. Kişisel Veri Sahibinin Başvurularına Cevap Verme ve Taleplerinin Sonuçlandırılması:

Veri sahiplerinin kişisel verilerine ilişkin taleplerini Merkezimize yazılı olarak iletmeleri durumunda, Merkez veri sorumlusu sıfatıyla KVK Kanunu’nun 13. maddesine uygun olarak, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde sonuçlandırılmasını sağlamak üzere gerekli süreçleri yürütmektedir.

Merkez, veri güvenliğinin sağlanması kapsamında, başvuruda bulunan kişinin başvuruya konu kişisel verinin sahibi olup olmadığını tespit etmek amacıyla bilgi talep edebilir. Merkezimiz ayrıca kişisel veri sahibinin başvurusunun talebe uygun bir biçimde sonuçlandırılmasını sağlamak adına, kişisel veri sahibine başvurusu ile ilgili soru yöneltebilir.

Veri sahibinin başvurusunun; diğer kişilerin hak ve özgürlüklerini engelleme ihtimali olması, orantısız çaba gerektirmesi, bilginin kamuya açık bir bilgi olması gibi durumlarda, gerekçesi açıklanarak talep reddedilebilir.

12.1. Mevzuat Gereği Kişisel Veri Sahiplerinin Hakları Dışında Kalan Haller

KVK Kanunu’nun 28. maddesi gereğince aşağıdaki hallerin KVK Kanunu’nun kapsamında olmaması sebebiyle, kişisel veri sahiplerinin aşağıda yer alan konularda haklarını ileri sürmeleri mümkün olmayacaktır:

·Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.

·Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.

·Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.

·Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

12.2. KVK Kanunu’nun 28/2 maddesi gereğince; aşağıda sıralanan hallerde zararın giderilmesini talep etme hariç olmak üzere, kişisel veri sahiplerinin haklarını ileri sürmeleri mümkün olmayacaktır:

·Kişisel veri islemenin suç islenmesinin önlenmesi veya suç soruşturması için gerekli olması.

·Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin islenmesi.

·Kişisel veri islemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.

·Kişisel veri islemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

13. Kişisel Veri Sahibinin KVK Kurulu’na Şikâyette Bulunma Hakkı:

Kişisel veri sahibi KVK Kanunu’nun 14. maddesi gereğince başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; Merkezimizin cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde KVK Kurulu’na şikâyette bulunabilir.

14. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Şartları:

KVK Kanunu’nun 7. Maddesi ve ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Merkezimizin kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

Merkezimizin KVK Kanunu’nun Madde 5 fıkra (2) hükümleri uyarınca kişisel verileri muhafaza etme hak ve/veya yükümlülüğü olan hallerde veri sahibinin talebini yerine getirmeme hakkı saklıdır.

Merkezimiz tarafından en çok kullanılan silme veya yok etme teknikleri aşağıda sıralanmaktadır:

14.1. Fiziksel Olarak Yok Etme; Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

14.2. Yazılımdan Güvenli Olarak Silme; Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken/yok edilirken; bir daha kurtarılamayacak biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır.

14.3. Kişisel Verileri Anonim Hale Getirme Teknikleri: Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder. Merkezimiz, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında kişisel verileri anonimleştirebilir. KVK Kanunu’nun 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler KVK Kanunu kapsamı dışındadır.

15. Roller ve Sorumluluklar:

Merkezimizde, veri sorumlusu tüzel kişilik adına imza yetkili kişi Şirket ortağı ve aynı anda Diyaliz Mesul Müdürüdür. Diyaliz çalışanlarından, hekimler, diyaliz başhemşiresi, diyaliz hemşireleri, diyaliz teknikerleri, diyaliz hemşiresi hükmünde olan acil tıp teknikerleri, muhasebe biriminde çalışanlar, ‘Veri İşleyen’ durumundadır. Tüm Merkez çalışanları işbu Politikanın uygulanmasını ve Politikaya uyulmasını sağlamakla yükümlüdür.

16. Kişisel Verilerin Güvenliğinin ve Gizliliğinin Sağlanması:

Merkez tarafından, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, imkanlar dahilinde, korunacak verinin niteliğine göre gerekli her türlü tedbir alınmaktadır.

Bu kapsamda Merkez tarafından gerekli idari ve teknik tedbirler alınmakta, Merkez bünyesinde denetim sistemi kurulmakta ve kişisel verilerin kanuni olmayan yollarla ifşası durumunda KVK Kanunu’nda öngörülen tedbirlere uygun olarak hareket edilmektedir.

16.1. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Merkez Tarafından Alınan İdari Tedbirler;

·Merkez kişisel verilerin korunması hukukuna ilişkin olarak çalışanlarını eğitmekte ve bilinçlendirilmelerini sağlamaktadır. Çalışanlarına yönelik, nitelik, teknik bilgi, becerinin geliştirilmesi eğitimleri, bilgi güvenliği eğitimleri, kişisel verilerin hukuka aykırı işlenmesinin önlenmesi eğitimleri, kişisel verilere hukuka aykırı erişilmesinin önlenmesi eğitimleri, kişisel verilerin muhafazasının sağlanması eğitimleri, iletişim teknikleri hakkında eğitimler verilmektedir.

·Bilgi güvenliği ve mahremiyet ile ilgili mevzuat hükümlerine aykırı davranacak olan çalışanlar için disiplin cezası uygulanacaktır.

·Kurum içi periyodik ve rastgele denetimler yapılmaktadır.

·Kişisel veri işlemeye başlamadan önce ilgili kişilere aydınlatma yükümlülüğü yerine getirilmektedir.

·Kişisel veri aktarımı, Merkezimiz gibi SGK ile anlaşmalı ve Sağlık Bakanlığından ruhsatlı, KVK hükümlerine tabi, sır saklama yükümlülüğü bulunan laboratuvar, tıp merkezlerine yapılabilmektedir.

16.2. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Merkez Tarafından Alınan Teknik Tedbirler;

·Merkez tarafından kişisel verilerin korunmasına ilişkin, teknolojinin imkân verdiği ölçüde teknik önlemler alınmakta ve alınan önlemler gelişmelere paralel olarak güncellenmekte ve iyileştirilmektedir.

·Kurumun bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.

·Merkez bünyesinde islenmekte olan kişisel verilere erişim yetkisi, belirlenen isleme amacı doğrultusunda ilgili çalışanlar ile sınırlandırılır.

·Hekimler, hasta kabul ve muhasebe, diyaliz hemşireleri-teknikerleri kullanımı için bilgisayarlar tahsis edilmiş olup bu bilgisayarlar kullanıcılarının belirlediği şifreler ile açılmaktadır.

·Güvenliği temin edecek yazılımlar kurulmuştur.

·Bilgisayarların bağlı olduğu ve verilerin depolandığı ana server kilitli odada bulunmaktadır.

·Bilgilerin düzenli aralıklarla yedeklemesi yapılmaktadır. Yedekler kilit altında saklanmaktadır.

·Hasta dosyaları sadece seans süresince takip ve tedavi için zorunlu olarak hasta başlarında bulundurulmakta ve tedavi saatleri dışında dolaplara saklanmaktadır.

·Güncel olmayan, ancak saklanması gerekli olan belgeler kapısı ve dolapları kilitli arşivde saklanmaktadır.

·Bulut depolama sistemi kullanılmamaktadır.

·Bilgi sistemleri güncel halde tutulmaktadır.

17. Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler:

Merkez tarafından yürütülen kişisel veri isleme faaliyeti kapsamında, kişisel verilerin hukuka aykırı olarak yetkisiz kimseler tarafından elde edilmesi durumunda, vakit kaybedilmeksizin durum KVK Kurulu’na ve ilgili veri sahiplerine bildirilecektir.

KVKK POLİTİKA KİŞİSEL VERİ POLİTİKA

Yayınlanma Tarihi: 22/05/2020

kvkk.politikakvkk.politika