Kişisel Veri İmha Politikası
Veri sorumlusu, Özel DR. CINIK Tıp Merkezi (ERC Estetik Turizm Sağlık Hizmetleri Tic. Ltd. Şti.), kişisel verilerinizi Anayasa, 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve diğer ilgili mevzuat ile uyumlu olarak hazırlanan bu Kişisel Veri Saklama ve İmha Politikası’nda belirtilen genel ilkelere ve düzenlemelere uygun şekilde saklar ve imha eder.
Bu Politika ile Şirket, KVKK kapsamında kişisel veri işleme faaliyetlerine konu olan gerçek kişisel verilerin saklanması ve imhasına ilişkin genel ilkeleri ortaya koymayı ve mevzuat ile belirlenen yükümlülükleri yerine getirmeyi amaçlamaktadır.
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanan onay,
Alıcı Grubu: Kişisel verilerin veri sorumlusu tarafından aktarıldığı gerçek veya tüzel kişi kategorisi,
Anonimleştirme: Kişisel verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi,
İlgili Kullanıcı: Veri sorumlusunun organizasyonu içinde veya veri sorumlusundan alınan yetki ve talimat doğrultusunda kişisel verileri işleyen, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim hariç kişiler,
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (ör. ad-soyad, TCKN, e-posta, adres, doğum tarihi, kredi kartı numarası, banka hesap numarası)
İlgili Kişi: Kişisel verisi işlenen gerçek kişi,
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, erişilebilir hale getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,
Periyodik İmha: KVKK’da yer alan kişisel veri işleme şartlarının tamamının ortadan kalkması halinde, bu Politika’da belirtilen tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
Politika Kapsamındaki Kayıt Ortamları
Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri işleme faaliyetlerine konu olan tüm kişisel verileri kapsar. Ayrıca, Politika’da atıfta bulunulan belgeler hem fiziksel hem de dijital kopyaları kapsamaktadır.
Kişisel verilerin işlenmesine ilişkin faaliyetler kapsamında, tamamen veya kısmen otomatik olan ya da otomatik olmayan yollarla işlenen ve herhangi bir veri kayıt sisteminin parçası olan kişisel veriler, aşağıdaki ortamlarda saklanmaktadır:
Şirket bilgisayarları, e-posta hesapları, masaüstü bilgisayarlar, çalışanların araçları (ör. cep telefonları), yedekleme alanları, kağıt dosyalar, klasörler, ziyaretçi defterleri, CD’ler, DVD’ler, USB’ler, sabit diskler, yazıcılar, fotokopi makineleri vb.
Kişisel Verilerin Saklanması ve İmhası Taleplerinin Sebepleri
Kişisel veri işleme faaliyetleri aşağıdaki ilkelere dayanmaktadır:
Kanuna ve dürüstlük kuralına uygunluk,
Kişisel verilerin gerektiğinde doğru ve güncel olmasının sağlanması,
Belirli, açık ve meşru amaçlarla işlenmesi,
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi.
Şirketimiz, kişisel verileri, aşağıda belirtilen Kişisel Verilerin Korunması Kanunu’nun (KVKK) 5. ve 6. maddelerinde yer alan kişisel veri işleme amaçları ve şartlarına uygun olarak saklamakta ve kullanmakta; bu şartların tamamının ortadan kalkması halinde, herhangi bir talep olmaksızın veya kişisel veri sahibinin talebi üzerine kişisel verileri imha etmektedir:
Kişisel Veri Sahibinin Açık Rızasının Bulunması: Kişisel verilerin işlenmesinin ilk şartı, veri sahibinin açık rızasının bulunmasıdır.
Kanunlarda Açıkça Öngörülmesi: Veri sahibinin kişisel verileri, kanunlarda açıkça öngörülmesi halinde, açık rızası alınmaksızın işlenebilir.
Fiili İmkansızlık Nedeniyle Kişisel Veri Sahibinin Açık Rızasının Alınamaması: Kişinin açık rızasını açıklayamayacak durumda olması veya rızasına hukuki geçerlilik tanınamaması halinde, kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerinin işlenmesinin zorunlu olması durumunda, veri sahibinin kişisel verileri işlenebilir.
Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgili Olması: Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel veriler işlenebilir.
Hukuki Yükümlülük: Şirketimizin hukuki yükümlülüklerini yerine getirebilmesi için veri işlemenin zorunlu olması halinde, veri sahibinin kişisel verileri işlenebilir.
Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi: Veri sahibinin kişisel verisini kendisi tarafından alenileştirmesi halinde, ilgili kişisel veri yalnızca alenileştirilme amacıyla sınırlı olarak işlenebilir.
Bir Hakkın Tesisi veya Korunması İçin Zorunlu Veri İşleme: Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde, veri sahibinin kişisel verileri işlenebilir.
Şirketimizin Meşru Menfaati İçin Zorunlu Veri İşleme: Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri işleme şirketimizin meşru menfaatleri için zorunlu ise, veri sahibinin kişisel verileri işlenebilir.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi
Kişisel veriler, işlenmesine dayanak olan ilgili mevzuat hükümlerinin değişmesi veya yürürlükten kalkması, işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, kişisel verilerin yalnızca açık rıza ile işlendiği durumlarda veri sahibinin açık rızasını geri çekmesi, kişisel verilerin saklanmasını gerektiren azami sürenin sona ermesi ve kişisel verilerin daha uzun süre saklanmasını haklı kılan herhangi bir şartın bulunmaması halinde, ilgili kişinin talebi üzerine veya re’sen şirket tarafından silinir, yok edilir veya anonim hale getirilir.
Kişisel Verileri Koruma Kurulu tarafından aksi bir karar alınmadıkça, şirketimiz kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi için teknolojik imkanlara ve uygulama maliyetine göre uygun yöntemi re’sen seçer. Kişisel veri sahibinin talebi halinde, uygun yöntemin gerekçesi açıklanır. Bu işlemlerin her birinde gerekli teknik ve idari tedbirler alınır.
Alınan Teknik ve İdari Tedbirler
Şirketimiz, KVKK’nın 12. maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile bu Politika ve Kişisel Verileri Koruma Kurulu kararları doğrultusunda, aşağıdaki hususlarda teknolojik imkanlar ve uygulama maliyetlerine göre gerekli teknik ve idari tedbirleri almaktadır:
Gerekli yazılım ve donanımlar belirlenmiştir. Bilgisayarlar ve e-posta hesaplarında güçlü şifreler kullanılmaktadır.
Müşteri bilgilerinin korunması açısından korunması gereken hususlar personele eğitimlerle aktarılmış, iş sözleşmeleriyle sorumlulukları yazılı hale getirilmiştir. (Gizlilik Sözleşmeleri) Bu yükümlülük, ilgili kişilerin görevlerinden ayrılmasından sonra da devam etmektedir.
Tüm verilerin yedeklenmesi için gerekli altyapı oluşturulmuştur.
Bilgisayarlarda verilere erişebilecek çalışanlar belirlenmiştir.
Müşteri dosya ve bilgileri yalnızca ilgili kişilere, yazılı onay verdikleri yakınlarına, mevzuat çerçevesinde ilgili kamu kurum ve kuruluşlarına ve yargı süreçlerinde yetkili adli mercilere verilmektedir.
Kişisel verilerin işlenmesine başlamadan önce, ilgili kişilere aydınlatma yükümlülüğü yerine getirilmektedir.
Kişisel veri işleme envanteri hazırlanmıştır.
Saklama ve İmha Süreleri
Şirketimiz, kişisel verileri yalnızca uymakla yükümlü olduğu mevzuatta belirtilen süre boyunca veya işlendikleri amaç için gerekli olan süre kadar saklar ve imha eder.
Kişisel veri sahibi, şirketimize başvurarak kişisel verilerinin imha edilmesini talep ederse:
Kişisel verilerin işlenmesine ilişkin tüm şartlar ortadan kalkmışsa: Kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibini bilgilendirir, talebe konu kişisel veriler üçüncü kişilere aktarılmışsa üçüncü kişiye de bildirir; gerekli işlemlerin üçüncü kişi nezdinde yapılmasını sağlar.
Kişisel verilerin işlenmesine ilişkin tüm şartlar ortadan kalkmamışsa: Kişisel veri sahibinin talebi, KVKK'nın 13. maddesinin üçüncü fıkrasına uygun olarak gerekçesi açıklanarak reddedilebilir ve ret kararı en geç otuz gün içinde yazılı veya dijital olarak kişisel veri sahibine bildirilir.
Periyodik İmha Süreleri
Kişisel verilerin imha yükümlülüğünün doğduğu tarihten sonraki ilk periyodik imha işleminde kişisel veriler imha edilir. Bu kapsamda, kişisel verilerin imha yükümlülüğü doğarsa, 6 ay içinde imha edilir.
SÜREÇSAKLAMA SÜRESİİMHA SÜRESİSözleşmelerin HazırlanmasıSözleşmenin sona ermesinden itibaren 10 yılSaklama süresinin bitimini takip eden ilk periyodik imha dönemiİnsan Kaynakları Süreçlerinin YürütülmesiFaaliyetin sona ermesinden itibaren 10 yılSaklama süresinin bitimini takip eden ilk periyodik imha dönemiDonanım ve Yazılım Erişim Süreçlerinin Yürütülmesi5 yılSaklama süresinin bitimini takip eden ilk periyodik imha dönemiZiyaretçi ve Toplantı Katılımcılarının Kaydı5 yılSaklama süresinin bitimini takip eden ilk periyodik imha dönemiKişisel Sağlık Verisi Kaydımevzuatta belirtilen süreSaklama süresinin bitimini takip eden ilk periyodik imha dönemiKimlik verisimevzuatta belirtilen süreSaklama süresinin bitimini takip eden ilk periyodik imha dönemiKamera kayıtlarıÖzel Hastaneler Yönetmeliği gereği en az 2 ay saklanırSaklama süresinin bitimini takip eden ilk periyodik imha dönemi
Bu Politika, internet sitesinde yayımlandığı tarihten itibaren yürürlüğe girmiş sayılır.