Saklama ve İmha Politikası

6698 sayılı Kanun ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca hazırlanmıştır.

Madde 1 — Amaç

Bu Politika, [ŞİRKET UNVANI] ("Şirket") tarafından işlenen kişisel verilerin saklanmasına ve imhasına yönelik iş ve işlemlere ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.

Madde 2 — Kapsam

Politika; Platform kullanıcılarına (hastalara), danışman hekimlere, çalışanlara, çalışan adaylarına, tedarikçilere, ziyaretçilere ve diğer üçüncü kişilere ait kişisel verileri kapsar. Şirketin sahip olduğu ya da Şirket tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamlarında ve kişisel veri işlenmesine yönelik tüm faaliyetlerde bu Politika uygulanır.

Platformda işlenen tetkik sonuçları (OCT, refraksiyon ve benzeri) özel nitelikli kişisel veridir. Bu verilere ilişkin saklama ve imha işlemleri, Kurulun 31.01.2018 tarihli ve 2018/10 sayılı kararı uyarınca belirlenen ayrı politika ve prosedürle birlikte uygulanır.

Madde 3 — Tanımlar

Madde 4 — Sorumluluk ve Görevler

Şirketin tüm çalışanları ve birimleri; kişisel verilerin hukuka uygun olarak elde edilmesi, işlenmesi, saklanması ve imhası konusunda sorumlu birimlere tam ve aktif destek verir. Saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımları EK TABLO 1'de gösterilmiştir.

Madde 5 — Kayıt Ortamları

Kişisel veriler, EK TABLO 2'de listelenen ortamlarda hukuka uygun ve güvenli biçimde muhafaza edilir.

Madde 6 — Saklamayı Gerektiren Hukuki Sebepler

• Kişisel verilerin sözleşmelerin kurulması ve ifasıyla doğrudan doğruya ilgili olması,
• Bir hakkın tesisi, kullanılması veya korunması amacıyla saklanmasının zorunlu olması,
• Şirketin hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
• Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketin meşru menfaatleri için saklamanın zorunlu olması,
• Açık rızaya dayalı saklama faaliyetleri bakımından ilgili kişinin açık rızasının bulunması (sağlık verileri bakımından geçerli dayanak budur).

Madde 7 — Saklamayı Gerektiren İşleme Amaçları

• Üyelik ve hesap yönetimi ile Platform hizmetlerinin sunulması,
• Kullanıcının tetkiklerini görüntülemesi, geçmişe dönük takip etmesi ve dilediğinde hekimle paylaşabilmesi,
• Ücretli danışmanlık hizmetinin sunulması ve randevu süreçlerinin yönetilmesi,
• Ödeme, faturalandırma ve yasal defter ve kayıtların tutulması,
• Talep ve şikâyetlerin karşılanması, ilgili kişi başvurularının sonuçlandırılması,
• Bilgi güvenliğinin sağlanması ve log kayıtlarının tutulması,
• İleride doğabilecek hukuki uyuşmazlıklarda ispat yükümlülüğünün yerine getirilmesi.

Madde 8 — İmhayı Gerektiren Hukuki Sebepler

Kişisel veriler, aşağıdaki hâllerde ilgili kişinin talebi üzerine veya resen silinir, yok edilir ya da anonim hâle getirilir:

• İşlemeye esas teşkil eden mevzuat hükümlerinin değiştirilmesi veya kaldırılması,
• İşlemeyi veya saklamayı gerektiren amacın ortadan kalkması,
• İşlemenin yalnızca açık rızaya dayandığı hâllerde ilgili kişinin açık rızasını geri alması,
• Kanun'un 11. maddesi kapsamında yapılan silme veya yok etme başvurusunun kabul edilmesi,
• Azami saklama süresinin dolmuş olması ve daha uzun süre saklamayı haklı kılacak bir şartın bulunmaması.

Sağlık verilerinde silme talebi mutlak değildir: mevzuatta öngörülen zorunlu saklama süresi dolmamışsa, tıbbi süreç sürüyorsa veya veriyle ilgili bir hukuki uyuşmazlık devam ediyorsa veri bu süre boyunca silinemez. Bu hâllerde talep, mümkün olduğu ölçüde anonim hâle getirme veya takma adlandırma yoluyla karşılanır ve ilgili kişiye gerekçesiyle birlikte bilgi verilir.

Madde 9 — Teknik Tedbirler

• Sistemler kapsamında gerekli iç kontroller yapılır; bilgi teknolojileri risk değerlendirmesi ve iş etki analizi yürütülür.
• Verilerin Şirket dışına sızmasını engelleyecek veya gözlemleyecek teknik altyapı temin edilir ve yetki matrisleri oluşturulur.
• Düzenli olarak ve ihtiyaç hâlinde sızma testi yapılır; sistem zafiyetleri kontrol edilir.
• Bilgi teknolojileri biriminde çalışanların kişisel verilere erişim yetkileri kontrol altında tutulur.
• Kişisel verilerin saklandığı dijital ortamlar güncel kriptografik yöntemlerle şifrelenir; şifreleme anahtarları verilerden ayrı ve güvenli ortamda tutulur.
• Özel nitelikli veriye erişim log kaydına alınır; hekim ekranında kimlik filigranı uygulanır.
• Yok etme işlemi, geri döndürülemeyecek ve denetim izi bırakmayacak şekilde gerçekleştirilir.

Madde 10 — İdari Tedbirler

• Saklanan kişisel verilere erişim, iş tanımı gereği erişmesi gereken personelle sınırlandırılır; sınırlandırmada verinin özel nitelikli olup olmadığı dikkate alınır.
• Verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde durum, öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurula, etkilenen kişilere ise makul olan en kısa sürede bildirilir.
• Kişisel verilerin paylaşıldığı taraflarla veri güvenliğine ilişkin sözleşme imzalanır; danışman hekimlerle protokol, hizmet sağlayıcılarla veri işleyen sözleşmesi akdedilir.
• Personele ve verilere erişimi olan hekimlere kişisel verilerin korunması eğitimi verilir; gizlilik taahhütnamesi imzalatılır.
• Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimler yapılır veya yaptırılır; tespit edilen zafiyetler giderilir.

Madde 11 — Kişisel Verilerin Silinmesi Yöntemleri

Kişisel veriler EK TABLO 3'te belirtilen yöntemlerle silinir.

Madde 12 — Kişisel Verilerin Yok Edilmesi Yöntemleri

Kişisel veriler EK TABLO 4'te belirtilen yöntemlerle yok edilir.

Madde 13 — Saklama ve İmha Süreleri

Saklama süresi belirlenirken öncelikle mevzuatta bir süre öngörülüp öngörülmediğine bakılır; öngörülmüşse o süreye uyulur. Bunun dışında EK TABLO 5'teki saklama ve imha süresi tablosu esas alınır.

Madde 14 — Periyodik İmha Süresi

Şirket, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirir. Periyodik imha, yedekleme ortamlarını da kapsar; teknik olarak derhâl imhası mümkün olmayan yedeklerde veriler erişime kapatılır ve ilk periyodik imha döneminde imha edilir. Her imha işlemi tutanakla kayıt altına alınır.

Madde 15 — Politikanın Yayımlanması, Saklanması ve Güncellenmesi

Politika, ıslak imzalı (basılı) ve elektronik ortamda olmak üzere iki biçimde yayımlanır ve internet sitesinde kamuoyuna ilan edilir. Basılı nüsha Şirket bünyesinde saklanır. Politika ihtiyaç duyuldukça gözden geçirilir; VERBİS kaydında değişiklik gerektiren bir güncelleme yapılırsa değişiklik, meydana geldiği tarihten itibaren yedi gün içinde VERBİS'e işlenir.

Madde 16 — Yürürlük

Politika, Şirketin internet sitesinde yayımlanmasının ardından yürürlüğe girmiş kabul edilir. Yürürlükten kaldırılmasına karar verilmesi hâlinde, ıslak imzalı eski nüshalar iptal edilerek imzalanır ve en az beş yıl süreyle Şirket tarafından saklanır.

Yürürlük tarihi: [GG.AA.YYYY] — Sürüm: [1.0]

EK TABLO 1 — Saklama ve İmha Süreçleri Görev Dağılımı

EK TABLO 2 — Kişisel Veri Saklama Ortamları

EK TABLO 3 — Kişisel Verilerin Silinmesi Yöntemleri

EK TABLO 4 — Kişisel Verilerin Yok Edilmesi Yöntemleri

EK TABLO 5 — Saklama ve İmha Süresi Tablosu