Kişisel Verileri Saklama ve İmha Politikası

1. Giriş

1.1 Amaç

Kişisel Verileri Saklama ve İmha Politikası (“Politika”),

Veri Sorumlusu Unvanı: Neuroverse Clinic Sağlık Hizmetleri

Veri Sorumlusu Adresi: İnönü, Nizamiye Cd. No:1-9, 34373 Şişli/İstanbul

Veri Sorumlusu Telefonu: +90 507 267 04 25

Veri Sorumlusu E-posta Adresi: info@neuroverseclinic.com

Veri Sorumlusu Web Sitesi: https://neuroverseclinic.com

Neuroverse Clinic tarafından gerçekleştirilen kişisel veri saklama ve imha faaliyetlerine ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.

Neuroverse Clinic; nörolojik rehabilitasyon, robotik rehabilitasyon, fizik tedavi ve sağlık hizmetleri faaliyetleri kapsamında işlediği kişisel verilerin Türkiye Cumhuriyeti Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), ilgili yönetmelikler ve diğer mevzuat hükümlerine uygun olarak işlenmesini ve korunmasını temel ilke olarak benimsemektedir.

Kişisel verilerin saklanması ve imhasına ilişkin tüm iş ve işlemler işbu Politika kapsamında yürütülmektedir.

1.2 Kapsam

Bu Politika;

• Hastalar,

• Hasta yakınları,

• Refakatçiler,

• İnternet sitesi ziyaretçileri,

• İletişim ve başvuru formu dolduran kişiler,

• Çalışanlar,

• Çalışan adayları,

• Tedarikçiler,

• İş ortakları,

• Hizmet sağlayıcılar

başta olmak üzere Neuroverse Clinic tarafından kişisel verileri işlenen tüm gerçek kişileri kapsamaktadır.

Politika, Neuroverse Clinic tarafından yönetilen ve kişisel verilerin işlendiği tüm fiziksel ve elektronik kayıt ortamlarında gerçekleştirilen kişisel veri işleme faaliyetlerinde uygulanır.

1.3 Kısaltmalar ve Tanımlar

Bu Politikada yer alan hukuki ve teknik terimler aşağıdaki anlamları ifade eder:

Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi işlemi.

Çalışan: Neuroverse Clinic bünyesinde görev yapan personel.

EBYS: Elektronik Belge Yönetim Sistemi.

Elektronik Ortam: Kişisel verilerin elektronik cihazlar aracılığıyla oluşturulduğu, işlendiği, saklandığı ve aktarıldığı ortamlar.

Elektronik Olmayan Ortam: Elektronik ortamlar dışında kalan yazılı, basılı ve fiziksel ortamlar.

Hizmet Sağlayıcı: Neuroverse Clinic’e sözleşme kapsamında hizmet sunan gerçek veya tüzel kişiler.

İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

İlgili Kullanıcı: Verilerin teknik olarak depolanması ve korunmasından sorumlu kişiler dışında, veri sorumlusunun talimatları doğrultusunda kişisel veri işleyen kişiler.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemi.

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu.

Kayıt Ortamı: Kişisel verilerin işlendiği her türlü elektronik veya fiziksel ortam.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Veri İşleme Envanteri: Veri işleme faaliyetlerinin amaç, kategori, saklama süresi ve güvenlik tedbirleri ile birlikte kayıt altına alındığı envanter.

Kişisel Verilerin İşlenmesi: Kişisel veriler üzerinde gerçekleştirilen her türlü elde etme, kaydetme, saklama, aktarma, sınıflandırma ve kullanma işlemi.

Kurul: Kişisel Verileri Koruma Kurulu.

Özel Nitelikli Kişisel Veri: Sağlık verileri başta olmak üzere Kanun kapsamında özel koruma altında bulunan kişisel veriler.

Periyodik İmha: Kanunda belirtilen şartların ortadan kalkması halinde kişisel verilerin belirli aralıklarla silinmesi, yok edilmesi veya anonim hale getirilmesi işlemi.

Politika: Kişisel Verileri Saklama ve İmha Politikası.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği sistem.

VERBİS: Veri Sorumluları Sicil Bilgi Sistemi.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen gerçek veya tüzel kişi.

Yönetmelik: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

2. Saklama ve İmhaya İlişkin Açıklamalar

Neuroverse Clinic tarafından işlenen kişisel veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat hükümlerine uygun olarak saklanmakta, saklama süresinin sona ermesi veya işleme amacının ortadan kalkması halinde mevzuata uygun yöntemlerle imha edilmektedir.

2.1 Saklamaya İlişkin Açıklamalar

6698 sayılı Kanun’un 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4. maddesinde işlenen kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği belirtilmiş, 5. ve 6. maddelerinde ise kişisel veri işleme şartları düzenlenmiştir.

Bu kapsamda kişisel veriler, ilgili mevzuatta öngörülen süreler boyunca veya işlenme amaçlarının gerektirdiği süre kadar muhafaza edilmektedir.

2.1.1 Kişisel Veri Saklamayı Gerektiren Hukuki Sebepler

İşlenen kişisel veriler aşağıdaki hukuki sebeplerden en az birinin varlığı halinde saklanmaktadır:

• Kanunlarda açıkça öngörülmesi,

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin gerekli olması,

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması,

• Koruyucu hekimlik, tıbbi teşhis, tedavi, bakım ve rehabilitasyon hizmetlerinin yürütülmesi,

• İlgili kişinin açık rızasının bulunması.

2.1.2 Saklamayı Gerektiren İşleme Amaçları

Kişisel veriler aşağıdaki amaçlar doğrultusunda işlenmekte ve saklanmaktadır:

• Hasta başvuru süreçlerinin yürütülmesi,

• Muayene, değerlendirme, teşhis, tedavi ve rehabilitasyon hizmetlerinin planlanması ve yürütülmesi,

• Nörolojik rehabilitasyon süreçlerinin yürütülmesi,

• Robotik rehabilitasyon uygulamalarının planlanması ve takibi,

• Fizik tedavi ve rehabilitasyon hizmetlerinin sunulması,

• Hasta kayıtlarının oluşturulması ve güncellenmesi,

• Randevu oluşturulması, planlanması ve takibinin sağlanması,

• Hasta ve hasta yakınlarıyla iletişim faaliyetlerinin yürütülmesi,

• Tıbbi kayıtların oluşturulması ve muhafaza edilmesi,

• Sağlık hizmetlerinin geliştirilmesi ve hizmet kalitesinin artırılması,

• Finans ve muhasebe işlemlerinin yürütülmesi,

• Faaliyetlerin ilgili sağlık mevzuatına uygun şekilde yürütülmesi,

• Hukuki işlerin takibi ve yürütülmesi,

• Talep, öneri ve şikâyetlerin değerlendirilmesi,

• Web sitesi iletişim formları aracılığıyla iletilen başvuruların değerlendirilmesi,

• Fiziksel mekân güvenliğinin sağlanması,

• Saklama ve arşiv faaliyetlerinin yürütülmesi,

• Veri güvenliği süreçlerinin yürütülmesi,

• Yetkili kamu kurum ve kuruluşlarına bilgi verilmesi,

• Tanıtım, bilgilendirme ve iletişim faaliyetlerinin yürütülmesi.

2.2 İmhayı Gerektiren Sebepler

Kişisel veriler aşağıdaki durumların ortaya çıkması halinde silinir, yok edilir veya anonim hale getirilir:

• İşlenmesine dayanak teşkil eden mevzuat hükümlerinin değiştirilmesi veya yürürlükten kaldırılması,

• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

• Kişisel veri işlemenin yalnızca açık rızaya dayanması halinde ilgili kişinin açık rızasını geri çekmesi,

• İlgili kişinin Kanun’un 11. maddesi kapsamında kişisel verilerinin silinmesi veya yok edilmesine ilişkin talebinin kabul edilmesi,

• Yapılan başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içerisinde cevap verilmemesi üzerine Kişisel Verileri Koruma Kurulu tarafından talebin uygun bulunması,

• Kişisel verilerin saklanmasını gerektiren azami sürenin sona ermesi ve daha uzun süre saklanmasını gerektiren herhangi bir hukuki sebebin bulunmaması.

Bu durumlarda kişisel veriler, ilgili kişinin talebi üzerine veya re’sen, ilgili mevzuata uygun yöntemlerle silinir, yok edilir veya anonim hale getirilir.

3. Teknik ve İdari Tedbirler

Neuroverse Clinic, kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi ile kişisel verilerin mevzuata uygun şekilde imha edilmesinin sağlanması amacıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi ve ilgili mevzuat hükümleri kapsamında gerekli teknik ve idari tedbirleri almaktadır.

3.1 Teknik Tedbirler

İşlenen kişisel verilerin güvenliğinin sağlanması amacıyla aşağıdaki teknik tedbirler uygulanmaktadır:

• Ağ ve uygulama güvenliği sağlanmaktadır.

• Güncel antivirüs yazılımları kullanılmaktadır.

• Güvenlik duvarı (Firewall) sistemleri kullanılmaktadır.

• Yetkilendirme ve erişim kontrol mekanizmaları uygulanmaktadır.

• Görev değişikliği yapan veya kurumdan ayrılan personelin erişim yetkileri kaldırılmaktadır.

• Bilgi sistemlerine ilişkin güvenlik güncellemeleri düzenli olarak takip edilmektedir.

• Sunucu, bilgisayar ve yazılımların güvenlik kontrolleri gerçekleştirilmektedir.

• Özel nitelikli kişisel verilere erişim yetkileri sınırlandırılmaktadır.

• Düzenli veri yedekleme işlemleri gerçekleştirilmektedir.

• Dijital ortamlarda saklanan kişisel veriler için gerekli durumlarda silme, yok etme veya anonim hale getirme işlemleri uygulanmaktadır.

• Web sitesi, hasta kayıt sistemleri ve bilgi teknolojileri altyapısında güncel güvenlik önlemleri kullanılmaktadır.

• Veri kaybı ve yetkisiz erişim risklerine karşı gerekli koruma mekanizmaları uygulanmaktadır.

3.2 İdari Tedbirler

Kişisel verilerin korunması amacıyla aşağıdaki idari tedbirler uygulanmaktadır:

• Kişisel veri güvenliğine ilişkin politika ve prosedürler oluşturulmuştur.

• Çalışanların veri güvenliği konusundaki farkındalıklarının artırılmasına yönelik eğitim ve bilgilendirme çalışmaları yürütülmektedir.

• Gizlilik yükümlülükleri sözleşmeler ve taahhütnameler ile güvence altına alınmaktadır.

• Hizmet alınan üçüncü taraflarla yapılan sözleşmelerde veri güvenliği hükümlerine yer verilmektedir.

• Kişisel veri içeren fiziksel ve dijital ortamların güvenliği sağlanmaktadır.

• Kişisel veri güvenliği ihlallerinin raporlanması ve yönetilmesine ilişkin süreçler oluşturulmuştur.

• Kişisel verilere erişimler görev ve yetki bazında sınırlandırılmaktadır.

• Özel nitelikli kişisel verilerin korunmasına yönelik ilave güvenlik önlemleri uygulanmaktadır.

• Kişisel veri işleme faaliyetleri düzenli olarak gözden geçirilmekte ve gerekli iyileştirmeler yapılmaktadır.

• Periyodik denetimler ile veri güvenliği süreçlerinin etkinliği kontrol edilmektedir.

• Hasta kayıtları ve sağlık verilerinin gizliliğinin korunmasına yönelik özel prosedürler uygulanmaktadır.

• Kişisel verilerin yalnızca işlenme amacıyla bağlantılı, sınırlı ve ölçülü şekilde işlenmesi sağlanmaktadır.

4. Saklama ve İmha Süreleri

Neuroverse Clinic tarafından faaliyetler kapsamında işlenen kişisel verilere ilişkin saklama süreleri, ilgili mevzuat hükümleri, sağlık mevzuatı ve kişisel verilerin işlenme amaçları dikkate alınarak belirlenmektedir.

Gerekli görülmesi halinde saklama süreleri güncellenebilir.

Saklama süresi sona eren kişisel veriler, ilgili mevzuata uygun olarak ilk periyodik imha döneminde silinir, yok edilir veya anonim hale getirilir.

4.1 Saklama Süreleri Tablosu

4.2 İmha Süreleri

Neuroverse Clinic, Kanun ve ilgili Yönetmelik hükümleri kapsamında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha döneminde gerekli işlemleri gerçekleştirir.

İlgili kişinin Kanun’un 11. maddesi kapsamında kişisel verilerinin silinmesi veya yok edilmesine ilişkin talepte bulunması halinde;

• Kişisel verilerin işlenmesini gerektiren tüm şartlar ortadan kalkmışsa, talebe konu kişisel veriler en geç 30 (otuz) gün içerisinde silinir, yok edilir veya anonim hale getirilir.

• Kişisel verilerin işlenmesini gerektiren hukuki sebeplerin devam etmesi halinde talep gerekçesi açıklanarak reddedilebilir.

• Başvuru sonucu ilgili kişiye en geç 30 (otuz) gün içerisinde yazılı veya elektronik ortamda bildirilir.

5. Periyodik İmha Süreleri

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 11. maddesi uyarınca periyodik imha süresi 6 (altı) ay olarak belirlenmiştir.

Kişisel veriler, ilgili mevzuatta öngörülen saklama sürelerinin sona ermesi veya işlenme amacının ortadan kalkması halinde, ilk periyodik imha döneminde işbu Politikada belirtilen yöntemlerle silinir, yok edilir veya anonim hale getirilir.

Neuroverse Clinic, kişisel verilerin saklama süresi sona erdiğinde veya işlenmesini gerektiren hukuki sebepler ortadan kalktığında, ilgili verilerin mevzuata uygun şekilde imha edilmesini sağlamakla yükümlüdür.

6. İmha Yöntemleri

İlgili mevzuatta öngörülen sürelerin sona ermesi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, re’sen veya ilgili kişinin talebi üzerine aşağıda belirtilen yöntemlerle imha edilmektedir.

6.1 Kişisel Verilerin Silinmesi

Kişisel veriler aşağıdaki yöntemlerle silinmektedir:

6.2 Kişisel Verilerin Yok Edilmesi

Kişisel veriler aşağıdaki yöntemlerle yok edilmektedir:

6.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, verilerin başka bilgilerle eşleştirilmesi halinde dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Anonim hale getirilen veriler üzerinde ilgili kişinin kimliğinin doğrudan veya dolaylı olarak tespit edilmesi mümkün değildir.

Neuroverse Clinic tarafından gerçekleştirilen anonimleştirme işlemlerinde, Kişisel Verileri Koruma Kurumu tarafından yayımlanan rehberler ve ilgili mevzuat hükümleri dikkate alınmakta; veri minimizasyonu, maskeleme, toplulaştırma ve benzeri uygun teknikler kullanılmaktadır.

Anonim hale getirilen veriler hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde muhafaza edilir ve yalnızca istatistiksel analiz, bilimsel çalışma, hizmet kalitesinin artırılması ve kurumsal değerlendirme amaçlarıyla kullanılabilir.

7. İmha İşleminin Hukuka Uygunluğunu Sağlamak İçin Alınan Tedbirler

Talep üzerine veya periyodik imha süreçleri kapsamında gerçekleştirilen tüm imha işlemleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili Yönetmelik hükümleri ve işbu Politika doğrultusunda yerine getirilmektedir.

7.1 Teknik Tedbirler

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerinde aşağıdaki teknik tedbirler uygulanmaktadır:

• Bilgi sistemlerine erişim yetkileri kontrol altında tutulmaktadır.

• Kişisel verilerin imhası sırasında verilerin geri getirilemeyecek şekilde silinmesi sağlanmaktadır.

• Yetkisiz erişimi önleyici teknik güvenlik önlemleri uygulanmaktadır.

• Silme ve yok etme işlemleri kayıt altına alınmakta ve gerektiğinde denetlenebilmektedir.

• Dijital ortamlarda bulunan kişisel veriler için güvenli imha yöntemleri kullanılmaktadır.

• Özel nitelikli kişisel verilerin imhasında ilave güvenlik tedbirleri uygulanmaktadır.

7.2 İdari Tedbirler

Kişisel verilerin imha süreçlerinde aşağıdaki idari tedbirler uygulanmaktadır:

• Çalışanlara kişisel verilerin korunması, veri güvenliği ve imha süreçleri konusunda gerekli eğitim ve bilgilendirmeler verilmektedir.

• İmha süreçleri düzenli olarak denetlenmektedir.

• Tespit edilen eksiklik ve riskler için gerekli düzeltici ve önleyici faaliyetler gerçekleştirilmektedir.

• İmha işlemlerinin ilgili mevzuata uygun şekilde yürütülmesi sağlanmaktadır.

• Veri güvenliği süreçleri düzenli olarak gözden geçirilmekte ve güncellenmektedir.

• Kişisel veri işleme ve imha faaliyetleri kayıt altına alınmaktadır.

8. Kayıt Ortamları

Kişisel veriler, Neuroverse Clinic tarafından ilgili mevzuat hükümlerine uygun şekilde aşağıda belirtilen fiziksel ve elektronik ortamlarda saklanabilmektedir.

9. Kişisel Veri Güvenliği İçin Alınan Tedbirler

Neuroverse Clinic tarafından kişisel verilerin güvenliğinin sağlanması amacıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi ve ilgili mevzuat hükümleri kapsamında gerekli teknik ve idari tedbirler uygulanmaktadır.

9.1 Teknik Tedbirler

• Ağ ve uygulama güvenliği sağlanmaktadır.

• Güncel antivirüs sistemleri kullanılmaktadır.

• Güvenlik duvarları kullanılmaktadır.

• Düzenli veri yedekleme işlemleri yapılmaktadır.

• Silme, yok etme ve anonim hale getirme süreçleri uygulanmaktadır.

• Veri kaybını önleyici güvenlik önlemleri kullanılmaktadır.

• Sistem güvenlik güncellemeleri düzenli olarak gerçekleştirilmektedir.

• Hasta kayıt sistemleri ve dijital veri ortamları düzenli olarak kontrol edilmektedir.

• Yetkilendirme ve erişim kontrol mekanizmaları uygulanmaktadır.

9.2 İdari Tedbirler

• Veri güvenliğine ilişkin politika ve prosedürler oluşturulmuştur.

• Çalışanların veri güvenliği farkındalığını artırmaya yönelik eğitim ve bilgilendirme çalışmaları yürütülmektedir.

• Erişim yetkileri görev ve sorumluluklara göre sınırlandırılmaktadır.

• Kişisel veri içeren fiziksel ortamların güvenliği sağlanmaktadır.

• Yangın, sel ve benzeri risklere karşı gerekli önlemler alınmaktadır.

• Düzenli denetimler gerçekleştirilmektedir.

• Veri minimizasyonu ilkesi uygulanmaktadır.

• Kişisel veri güvenliği süreçleri düzenli olarak takip edilmektedir.

• Özel nitelikli kişisel verilerin korunmasına yönelik ek güvenlik tedbirleri uygulanmaktadır.

10. Personel Unvan, Birim ve Görev Dağılımı

Kişisel verilerin saklanması, korunması ve imhasına ilişkin süreçlerde görev alan kişilerin sorumlulukları aşağıdaki şekilde belirlenmiştir.

11. Politikada Yapılan Güncellemeler

Mevzuat değişiklikleri, Kişisel Verileri Koruma Kurulu kararları veya teknolojik gelişmeler doğrultusunda işbu Politika güncellenebilir.

Yapılan değişiklikler güncel metne işlenerek Neuroverse Clinic’in internet sitesi üzerinden yayımlanır.

Güncellemeler Tablosu

12. Son Hükümler

İşbu Kişisel Verileri Saklama ve İmha Politikası Neuroverse Clinic tarafından hazırlanmış olup;

• İlgili kişilerin talebi halinde paylaşılmakta,

• Uygun görülen fiziki ortamlarda bulundurulmakta,

• Neuroverse Clinic internet sitesi üzerinden yayımlanarak kamuoyunun erişimine sunulmaktadır.

Politika yayım tarihinde yürürlüğe girer.