KVKK Politikası

KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI

1. GİRİŞ, KAPSAM VE TANIMLAR
   • Giriş: 6698 sayılı Kişisel Verilerin Korunması Kanunu ve bu kapsamda yayımlanan ikincil düzenlemeler ile Kişisel Verileri Koruma Kurulunun (“Kurul”) kurul kararları (birlikte “KVK Kanunu veya Kanun”) 07.04.2016 tarihli Resmî Gazetede yayımlanarak yürürlüğe girmesi ile bireylerin kişisel verilerinin bütüncül bir düzenleme içerisinde korunması yasal düzenleme altına alınmıştır. Bu kapsamda, Kişisel Verileri Koruması ve İşlenmesi Politikası (“Politika”), Dr. Nazmi Narin (“Klinik/Kliniğimiz”)’ın KVK Kanunu ve ilgili mevzuat tarafından ortaya konulan kuralları somut olarak nasıl uygulayacaklarına ilişkin yol gösterici bir nitelik taşımaktadır. Kliniğimiz bu doğrultuda kendi bünyesinde Politika’ya uyum için gerekli düzenlemeleri yaparak ve periyodik olarak Politika’ya uyum konusunda denetim mekanizmalarını işleterek Politika’ya uygunluğun devamlılığını sağlayacaktır.

• Kapsam: İşbu Politika; Klinik olarak, madde 1.3.’de tanımlanan Çalışanların, Ürün veya Hizmet Alan Kişilerin (“Hastalar”), Tedarikçilerin veya otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlediğimiz tüm kişisel verilere ilişkindir.

• Tanımlar: KVK Kanunu ve ikincil düzenlemelerde yer alan tanımlar bu kısımda belirtilmemekte olup, bu Politika içerisinde ayrıca tanımlanmadığı sürece düzenlemelerde yer aldığı şekilde kullanılmaktadır.

2. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN UYGULANACAK İLKELER

Kliniğimiz tarafından KVK Kanun’a uyum sağlanması ve uyumun sürdürülmesi için aşağıda sıralanan temel ilkeler benimsenmelidir:

• Hukuka ve Dürüstlük Kuralına Uygun İşleme: Kliniğimiz; Türkiye Cumhuriyeti Anayasası başta olmak Kanun’a uygun olarak, kişisel veri işleme faaliyetlerini hukuka ve dürüstlük kurallarına uygun biçimde yürütmektedir.
• Doğru ve Gerektiğinde Güncel Olmasını Sağlama: Kliniğimiz; ilgili kişilerin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır. Bu doğrultuda gerekli tedbirleri almaktadır.
• Belirli, Açık ve Meşru Amaçlarla İşleme: Kliniğimiz, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Kliniğimiz, kişisel verileri yürütmekte olduğu ticari faaliyet ile bağlantılı ve bunlar için gerekli olan kadar işlemektedir.
• İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Kliniğimiz, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır.
• İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme: Kliniğimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Kliniğimiz öncelikle ilgili mevzuatlarda kişisel verilerin saklanması için öngörülen bir süre varsa bu süreye uymakta; böyle bir süre bulunmamaktaysa, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir.

3. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kanun ile kişisel verilerin işlenme koşulları düzenlenmiş olup, Kliniğimiz tarafından kişisel veriler aşağıda belirtilen koşullara uygun olarak işlenmektedir. Kanun’da sayılan istisnalar dışında, Kliniğimiz, ancak veri sahibinin açık rızasını temin etmek suretiyle kişisel veri işlemektedir. Kanun’da sayılan aşağıdaki hallerin varlığı durumunda ise, veri sahibi ilgili kişinin açık rızası olmasa dahi kişisel veriler işlenebilmektedir.

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayati veya beden bütünlüğünün korunması için zorunlu olması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kanun’da belirtilen veri sahibi ilgili kişinin “özel nitelikli kişisel verileri”nin ise; Kanun’da sınırlı olarak sayılan şartlardan birinin bulunmaması halinde işlenmesi yasaktır. Bu verilerin işlenmesi ancak;

• İlgili kişinin açık rızasının olması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, hallerinde işlenmesi mümkündür.

Kliniğimiz, çocuk kardiyolojisi alanında hekimlik hizmeti sunmakta olduğundan, Kliniğimizden hizmet alan hastalara dair sağlık verileri; sır saklama yükümlülüğü altında bulunan hekimimiz ve yardımcı sağlık personeli tarafından, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması şartına dayanarak işlenmektedir.

4. KİŞİSEL VERİLERİN AKTARILMASI

• Kişisel Verilerin Yurt İçindeki Kişilere Aktarılması

Kliniğimiz kişisel verilerin üçüncü taraflarla paylaşılması hususunda, diğer kanunlarda yer alan hükümler saklı kalmak kaydıyla, Kanun’da düzenlenen şartlara özenle uymaktadır. Bu çerçevede, kişisel veriler, Kliniğimiz tarafından veri sahibinin açık rızası olmadan aktarılmamaktadır. Ancak, Kanun düzenlemeleri gereği işbu Politika madde 3.1.’de belirtilen şartlardan birinin varlığı halinde kişisel veriler Kliniğimiz tarafından veri sahibi ilgili kişinin açık rızası olmaksızın da aktarılabilecektir.

• Kişisel Verilerin Yurtdışına Aktarılması

Kişisel verilerin yurtdışına aktarılması, Kanun’un 9. maddesi doğrultusunda;

• Kurul tarafından verilmiş yeterlilik kararı bulunması,
• Yeterlilik kararı bulunmaması halinde Kanun’un 5. ve 6. maddelerinde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, uygun güvencelerden birinin taraflarca sağlanması,
• Yeterlilik kararının bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması durumunda ise arızi olmak kaydıyla sadece Kanun’un 9. Maddesinin 6. Fıkrasında sayılan hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir.

 Ancak Kliniğimiz tarafından, mevcut işleme süreçleri dahilinde, yurt dışına kişisel veri aktarılan bir süreç bulunmamaktadır.

• Kliniğimiz Tarafından Kişisel Verilerin Aktarılması

Yukarıda belirtilen Kanun düzenlemeleri dahilinde, Kliniğimiz meşru ve hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak ve gizlilik koşullarını oluşturarak, ilgili kişinin kişisel verilerini ve özel nitelikli kişisel verilerini;

1. Yurtiçinde; başta yasal zorunluluk halleri nedeniyle T.C. Sağlık Bakanlığı’na, Türk Tabipler Birliği’ne ve diğer yetkili kamu kurum ve kuruluşlarına, ödemeler dahilinde Türkiye Bankalar Birliği bünyesindeki bankalar ile hukuki, muhasebe ve çalışan süreçlerinin ilgili düzenlemelere uygun takibi için yetki verilmiş olan vekil ve temsilcilere, Kliniğimizin temin ettiği mal ve hizmetler ve ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin temini için tedarikçilere, faaliyetlerimiz dahilinde çalıştığımız sigorta şirketine, Kliniğimizin vekalet ilişkisi içerisinde bulunduğu hukuk ofislerine, denetim firmalarına ve mali müşavirlik ofisine, ayrıca Kanunen yetkili düzenleyici, denetleyici kurumlar ile mahkeme ve icra müdürlükleri gibi sair resmi kuruluşlara, kişisel verilerinizi talep etmeye yetkili olan diğer kamu kurum ve kuruluşlarına aktarılabilecektir.
2. Yurtdışında; 4.2. maddede ifade edilen şartlara ve Kanun’daki düzenlemelere uygun olarak kişisel veriler diğer ülkelere aktarılabilecektir. Ancak Kliniğimiz tarafından, mevcut işleme süreçleri dahilinde, yurt dışına kişisel veri aktarılan bir süreç bulunmamaktadır.

5. KLİNİĞİMİZ TARAFINDAN İŞLENEN KİŞİSEL VERİLERİN KATEGORİZASYONU VE İŞLENME AMAÇLARI

Kliniğimiz, KVK Kanunu’nun 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatmaktadır. Bu kapsamda Kliniğimiz, varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin sahip olduğu hakları konusunda aydınlatma yapmaktadır.

İşbu Politika ’da belirtilen şartlar çerçevesinde, işlenen kişisel veri kategorilerine ve kategoriler hakkında detaylı bilgilere Politika’nın EK- 1 (“Kişisel Veri Kategorileri”) dokümanından ulaşılabilecektir. Söz konusu kişisel verilerin işleme amaçlarına ilişkin detaylı bilgiler Politika’nın EK- 2’sinde (“Kişisel Veri İşleme Amaçları”) yer almaktadır. EK -2 ‘de belirtilen işleme amaçları, Kliniğimizin mevcut işleme amaçları olup, Kliniğimizin gelecekteki ticari, yönetimsel ve operasyonel faaliyetlerini yürütebilmesi için Kliniğimiz tarafından yeni işleme amaçları eklenebilecektir. Böyle bir durumda, Kliniğimiz, sizleri en hızlı şekilde bilgilendirecek ve ilgili metinlerde güncellemeler yapabilecektir. 

Kliniğimiz nezdinde; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, KVK Kanunu’nun 5. maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. maddede belirtilen ilkeler olmak üzere KVK Kanunu’nda belirtilen genel ilkelere ve KVK Kanunu’nda düzenlenen bütün yükümlülüklere uyularak ve Kliniğimizin Kişisel Veri Saklama ve İmha Prosedüründe belirtilen sürelerle sınırlı olarak EK-1 (“Kişisel Veri Kategorileri”)’de belirtilen kategorilerdeki kişisel veriler, KVK Kanunu’nun 10. maddesi uyarınca ilgili kişiler bilgilendirilmek suretiyle işlenmektedir.

6. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN İDARİ VE TEKNİK TEDBİRLER

• Kişisel Verilen Korunmasına İlişkin Alınan İdari Tedbirler:

Kliniğimiz bünyesinde işbu Politika ve bu Politika’ya bağlı süreçleri yönetmek, uygulamak ve belirlenen aksiyonları yerine getirmek üzere gerekli yetkilendirmeleri yapan sorumlu kişiler bulunmaktadır. Kliniğimiz, İşletme içi bilgilendirmeler, farkındalık eğitimleri, uyarı mekanizmaları (pano, duyuru, vb.) ile kişisel verilerin işlenmesi ve korunması amacıyla Klinik içerisinde farkındalık yaratmak, uygulama kuralları belirlemek ve uygulamanın sürekliliğini sağlamaktadır. Kliniğimizin yürütmüş olduğu tüm faaliyetleri dahilinde gerekli gizlilik sözleşmeleri imzalanmaktadır. Ayrıca, Kliniğimiz kişisel verilerin toplanması, işlenmesi, tasnifi, silinmesi / yok edilmesi / erişim haklarının kaldırılması / anonim hale getirilmesi süreçlerinin etkin şekilde uygulandığını doğrulamak üzere yıllık denetimler planlanmaktadır.

• Kişisel Verilerin Güvenliğinin Sağlanmasına İlişkin Alınan Teknik Tedbirler: Kliniğimiz, Kanun’un 12. maddesine uygun olarak işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik Kurum düzenlemelerine uygun gerekli teknik tedbiri almakta ve bu kapsamda gerekli çalışmaları gerçekleştirmektedir.

Bununla birlikte, Kliniğimiz tarafından kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından Kurul düzenlemelerine uygun ve özenle uygulanmaktadır.

7. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ

Kliniğimiz, Kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması veya belirlenen saklama süresinin sona ermesi hâlinde resen veya veri sahibi ilgili kişinin talebi üzerine Kliniğimiz tarafından ayrıca oluşturulan; silme, yok etme, anonim hale getirme ile kişisel verilerin imha yöntemleri ve süreçlerini anlatır politikada belirlenen uygulamalar dahilinde kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Kliniğimiz, Kurul tarafından yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale getirilmesine ilişkin rehberde belirtilen silme ve anonim hale getirme yöntemlerinden, iş süreçleri ve faaliyetlerine en uygun olan bir veya birkaç tekniği kullanarak siler veya anonimleştirerek kullanmaya devam eder.

8. VERİ SAHİBİ İLGİLİ KİŞİNİN HAKLARI

Kliniğimiz, Kanun’un 10. maddesine uygun olarak ilgili kişinin haklarını kendisine bildirmekte, bu hakların nasıl kullanılacağı konusunda ilgili kişiye yol göstermektedir ve Kanun’un 13. maddesine ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak talepleri yazılı olarak veya belirlediği diğer yöntemler ile alarak, süreçleri yürütmektedir.

• İlgili Kişinin Hakları

Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

• İlgili Kişinin Haklarını Kullanması

Veri sorumlusu ilgili kişi, Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ (“Tebliğ”) düzenlemelerine uygun olarak, Tebliğ Madde 5 dahilinde aşağıda belirtilen başvuruda bulunması zorunlu bilgileri belirtmek suretiyle kendi oluşturduğu başvuru talep yazısı ile Kliniğimize başvurabilecektir.

Tebliğ Madde 5’de Belirtilen Başvuruda Bulunması Zorunlu Bilgiler;

1. a) Ad, soyad ve başvuru yazılı ise imza,
2. b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,
3. c) Tebligata esas yerleşim yeri veya iş yeri adresi,

ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,

1. d) Talep konusu.

Veri sorumlusu ilgili kişi haklarını ve Kanun uygulanmasına ilişkin taleplerini, ilgili düzenlemeler gereği yukarıda belirtilen zorunlu bilgileri de içerecek şekilde ıslak imzalı olarak Kliniğimize yapılacak şahsi başvuru ya da noter kanalıyla veyahut güvenli elektronik imza ile imzaladıktan sonra KEP adresiniz ile nazmi.narin@hs01.kep.tr’ne veya Klinik’in veri kayıt sisteminde halihazırda kayıtlı olan e-posta adresinizi kullanılarak Kliniğimizin e- posta adresine iletebilirsiniz. Yukarıda belirtilen söz konusu zorunlu bilgileri içermeyen başvurular Kliniğimiz tarafından reddedilecek veya işleme alınmayacaktır.

• Kliniğimizin Başvurulara Cevap Vermesi

Kliniğimiz, veri sahibi ilgili kişinin başvurularını yazılı veya elektronik olarak cevaplandırabilir. Veri sahibi ilgili kişinin, işbu Politika madde 8.2’de yer alan haklara ilişkin talebini belirtilen usule uygun olarak Kliniğimize iletmesi durumunda, Kliniğimiz talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarife uyarınca ücret alınabilecektir. Ayrıca, veri sahiplerinin taleplerinin doğru sonuçlandırılması sürecinde, Kliniğimiz tarafından başvuran veri sahiplerinden ek bilgi veyahut belge talep edilebilecektir. Kliniğimizin başvurulara cevap vermesine yönelik diğer hususlar, “KVKK Kapsamında İlgili Kişi Başvuru ve Yanıt Prosedürü” içerisinde düzenlenmiştir.

9. POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER

Kanun düzenlemeleri veya Kliniğimiz süreç değişikleri dahilinde yapılacak her türlü değişikliği müteakip işbu Politika’da değişiklik yapılabilecektir.

10. VERİ SORUMLUSU BİLGİLERİ

      Prof. Dr. Nazmi Narin

Adres: Mansuroğlu Mah.1593/1 Sok. No:6 Lider Centrio C Blok Daire:39 Bayraklı/İzmir

Kep: nazmi.narin@hs01.kep.tr

EK-1 KİŞİSEL VERİ KATEGORİZASYONU

EK-2 KİŞİSEL VERİLERİN İŞLENME AMAÇLARI