حماية البيانات الشخصية

المبادئ الأساسية لمعالجة البيانات الشخصية:

المعالجة وفقًا للقانون ومبدأ حسن النية

تتصرف شركتنا في معالجة البيانات الشخصية بما يتوافق مع المبادئ التي أقرّتها الأنظمة القانونية ومع قاعدة الثقة العامة وحسن النية.

الدقة والتحديث عند الحاجة

تُتخذ التدابير اللازمة لضمان أن تكون البيانات الشخصية التي تعالجها الشركة دقيقة ومحدّثة، وتُمنح لأصحاب البيانات الإمكانيات اللازمة من خلال تزويدهم بالمعلومات لضمان أن تعكس البيانات المعالَجة الوضع الحقيقي.

المعالجة لأغراض محددة وواضحة ومشروعة

تحدد شركتنا غرض معالجة البيانات الشخصية المشروع والقانوني بشكل واضح ومحدد. وتعالج شركتنا البيانات الشخصية بما يرتبط بالخدمة التي تقدمها وبالقدر اللازم لها فقط. ويُحدَّد الغرض من معالجة البيانات الشخصية من قبل شركتنا قبل بدء نشاط معالجة البيانات الشخصية.

أن تكون مرتبطة بالغرض من معالجتها ومحدودة ومتناسبة

تعالج الشركة البيانات وفقًا لـ KVKK والتشريعات الأخرى ذات الصلة، بما يتناسب مع تحقيق الأغراض المحددة لكل فئة من فئات البيانات، ويكون ذا صلة بتحقيق الغرض ومتناسبًا معه، مع تجنّب معالجة البيانات الشخصية التي لا حاجة إليها.

الاحتفاظ بها للمدة المنصوص عليها في التشريعات ذات الصلة أو اللازمة لتحقيق الغرض من معالجتها

تُحفَظ البيانات الشخصية التي تعالجها الشركة فقط للمدة المنصوص عليها في التشريعات ذات الصلة أو للمدة اللازمة للغرض الذي عولجت من أجله. وفي هذا السياق، تلتزم الشركة بالمدة المحددة في التشريعات ذات الصلة لحفظ البيانات إن وُجدت؛ وفي حال عدم وجود مدة محددة، تحتفظ بالبيانات فقط للمدة اللازمة للغرض الذي عولجت من أجله. ولا تحتفظ الشركة بالبيانات بناءً على احتمال استخدامها مستقبلًا.

• يلتزم جميع الموظفين بالقواعد المحددة في إطار التدابير الأمنية المادية (مثل أبواب الدخول والخروج، وغرف المكاتب، ومناطق تسليم المنتجات، وأمن المستودعات، واستخدام بطاقات تعريف الموظفين).
• تقع مسؤولية الحماية من الفيروسات والمهاجمين على عاتق مسؤول تقنية المعلومات. ويقوم المسؤول بإبلاغ الإدارة العليا بالأجهزة والبرامج اللازمة للحماية من الفيروسات والمهاجمين، ويتخذ التدابير اللازمة. وتتكون هذه التدابير من الحد الأدنى من المتطلبات التي تشترطها وزارة الصحة، والتي تشمل أدوات مادية وبرمجية مثل برامج مكافحة الفيروسات وجدران الحماية (firewall). ويقع تحديث هذه البرامج على عاتق مسؤول نظام إدارة المعلومات، الذي يقوم بإبلاغ الإدارة العليا عند حلول موعد التحديث وإجراء التحديثات.

تنفيذ أنشطة معالجة البيانات الشخصية وفقًا لـ KVKK

نظّم قانون KVKK شروط معالجة البيانات الشخصية، وتقوم الشركة بمعالجة البيانات الشخصية وفقًا لهذه الشروط المذكورة أدناه.

باستثناء الحالات المنصوص عليها في القانون، لا تقوم الشركة بمعالجة البيانات الشخصية إلا بعد الحصول على الموافقة الصريحة لأصحاب البيانات. أما في حال توفر إحدى الحالات التالية المنصوص عليها في القانون، فيمكن معالجة البيانات الشخصية حتى دون الموافقة الصريحة لصاحب البيانات.

• أن يكون منصوصًا عليه صراحة في القوانين،
• أن تكون معالجة البيانات ضرورية لحماية حياة أو سلامة جسد الشخص نفسه أو شخص آخر، وذلك في حالة الشخص الذي يتعذر عليه الإفصاح عن موافقته بسبب استحالة فعلية أو الذي لا يُعترف بموافقته قانونيًا،
• أن تكون معالجة البيانات الشخصية الخاصة بأطراف العقد ضرورية، شريطة أن تكون مرتبطة مباشرة بإنشاء العقد أو تنفيذه.
• كون ذلك ضروريًا لتمكين المتحكم بالبيانات من الوفاء بالتزامه القانوني،
• أن يكون صاحب البيانات قد قام بنشرها علنًا بنفسه،
• أن تكون معالجة البيانات ضرورية لإنشاء حق أو استخدامه أو حمايته،
• كون معالجة البيانات ضرورية لتحقيق المصالح المشروعة للمتحكم بالبيانات، بشرط عدم الإضرار بالحقوق والحريات الأساسية لصاحب البيانات.
• تُبدي الشركة حساسية خاصة في معالجة البيانات الشخصية ذات الطبيعة الخاصة التي يُعتقد أن حمايتها تكتسي أهمية أكبر من نواحٍ عدة بالنسبة لأصحاب البيانات. وفي هذا الإطار، لا تُعالَج هذه الأنواع من البيانات دون الموافقة الصريحة لأصحابها، شريطة اتخاذ التدابير الكافية التي تحددها وحدة إدارة الجودة. غير أنه يمكن معالجة البيانات الشخصية ذات الطبيعة الخاصة، عدا البيانات المتعلقة بالصحة والحياة الجنسية، دون الموافقة الصريحة لصاحب البيانات في الحالات المنصوص عليها في القوانين.

أما البيانات المتعلقة بالصحة والحياة الجنسية، فيجوز معالجتها دون الحصول على الموافقة الصريحة، شريطة اتخاذ التدابير الكافية وتوافر أحد الأسباب المذكورة أدناه:

• حماية الصحة العامة،
• الطب الوقائي،
• التشخيص الطبي،
• تنفيذ خدمات العلاج والرعاية،
• تخطيط وإدارة الخدمات الصحية وتمويلها.

تقديم إيضاحات حول نشاط معالجة البيانات الشخصية الذي تجريه الشركة بما يتوافق مع القانون، والأنظمة المعتمدة لحماية البيانات الشخصية، وذلك بهدف تحقيق الشفافية من خلال إعلام الأشخاص الذين تُعالَج بياناتهم الشخصية من قبل شركتنا، وفي مقدمتهم عملاؤنا وعملاؤنا المحتملون وموظفونا والمرشحون للعمل لدينا ومسؤولو الشركة وزوارنا وموظفو ومسؤولو المؤسسات التي نتعاون معها والأطراف الثالثة التي تُعالَج بياناتهم الشخصية.

• وفقًا لسياسة المؤسسة لنظام إدارة المعلومات BY.YD.002 الخاصة بالمركز الطبي، تم إنشاء بنية نطاق (domain)، وتعمل جميع أجهزة الحاسوب في حالة "تسجيل دخول" ضمن بنية النطاق. تُستبعد الأجهزة غير المرتبطة بالنطاق من الشبكة المحلية، ولا يتم تبادل المعلومات بين الأجهزة داخل الشبكة المحلية.
• لا يجوز تبادل الملفات عبر أجهزة الكمبيوتر باستثناء المستندات الرسمية والبرامج والمواد التدريبية
• تخضع روابط الوصول إلى الإنترنت واستخدام البريد الإلكتروني للمراقبة من خلال جهاز الجدار الناري (Firewall) الموجود في المركز الطبي.
• يُنشأ بريد إلكتروني مؤسسي لجميع الموظفين المخوّلين الذين يبدأون العمل في المركز الطبي.
• يتم تسليم البريد الإلكتروني وكلمات المرور للموظفين المعنيين أثناء تقديم التدريب.
• يقر المستخدم بأن جميع العبارات التي يُعبّر عنها أثناء استخدام البريد الإلكتروني تخصه هو. ويكون المستخدم مسؤولًا عن إرسال أي رسائل قد تشكل جريمة، مثل الرسائل التهديدية أو غير القانونية أو المهينة أو التي تتضمن سبًا أو قذفًا أو تخالف الآداب العامة.
• لا يجوز للمستخدم أن يضع في حسابه أي مواد أو وثائق تشكل جريمة من الناحية القانونية، ولا أن يستخدم ممارسات تضر بأصحاب الحسابات الشخصية.
• لا يجوز استخدام خادم نظام آخر أو حساب مستخدم آخر لغرض إرسال الرسائل دون إذن الشخص المعني.
• لا يجوز للمستخدم استخدام حسابه لأغراض تجارية أو ربحية. ولا يجوز له إرسال رسائل بريد إلكتروني جماعية (سبام) لعدد كبير من المستخدمين لأغراض الإعلان أو الترويج أو الإعلانات ونحو ذلك.
• تقع على عاتق المستخدم المسؤولية القانونية الناشئة عن حقوق نشر أي معلومات موجودة في حسابه.

إفصاح وإعلام صاحب البيانات الشخصية

تقوم شركتنا، وفقًا للمادة 10 من قانون حماية البيانات الشخصية، بإعلام أصحاب البيانات الشخصية عند الحصول على بياناتهم الشخصية. وفي هذا الإطار، توضّح الشركة الغرض من معالجة البيانات الشخصية، والجهات التي يمكن نقل البيانات الشخصية المعالَجة إليها والغرض من ذلك، وطريقة جمع البيانات الشخصية وسببها القانوني، والحقوق التي يتمتع بها صاحب البيانات الشخصية.

تنص المادة 20 من الدستور على أن لكل شخص الحق في أن يُعلَم بالبيانات الشخصية المتعلقة به. وفي هذا الإطار، أُدرج "طلب المعلومات" ضمن حقوق صاحب البيانات الشخصية في المادة 11 من قانون حماية البيانات الشخصية. وتقوم شركتنا في هذا الصدد، وفقًا للمادة 20 من الدستور والمادة 11 من قانون حماية البيانات الشخصية، بتقديم المعلومات اللازمة عند طلب صاحب البيانات الشخصية ذلك.

أغراض معالجة البيانات الشخصية

يجوز للشركة معالجة بياناتكم الصحية على وجه الخصوص وسائر بياناتكم الشخصية ذات الطابع الخاص وبياناتكم الشخصية، بشكل مرتبط ومحدود ومتناسب مع الأغراض الواردة أدناه، بما في ذلك على سبيل المثال لا الحصر ما يلي؛

• اسمكم ولقبكم، ورقم هويتكم الوطنية التركية (T.C.)، ورقم هويتكم الوطنية المؤقت، ورقم جواز سفركم، ومكان وتاريخ ميلادكم، وحالتكم الاجتماعية، وجنسكم، ورقم تأمينكم أو رقم بروتوكول المريض الخاص بكم، وسائر بيانات الهوية الأخرى التي تُعرّف بكم.
• عنوانكم، ورقم هاتفكم، وبريدكم الإلكتروني
• بياناتكم الصحية المتعلقة بالصحة والحياة الجنسية التي يتم الحصول عليها أثناء تنفيذ خدمات التشخيص والعلاج والرعاية الطبية، مثل نتائج فحوصاتكم ونتائج المختبر والتصوير وبيانات الفحص ومعلومات الوصفات الطبية، وبياناتكم الصحية دون الاقتصار على ما ذكر،
• رقم الآيبان (IBAN) الخاص بكم، ومعلومات بطاقتكم الائتمانية،
• تسجيلات الصوت والصورة الخاصة بكم التي يتم الحصول عليها عبر نظام الدوائر التلفزيونية المغلقة أثناء زيارتكم لمركزنا الطبي،
• تسجيلات مكالماتكم الصوتية التي تُحفظ في حال تواصلكم مع قسم استقبال المرضى/الاستعلامات،
• بياناتكم المتعلقة بالتأمين الصحي الخاص بغرض تمويل الخدمات الصحية وتخطيطها

تعالج شركتنا البيانات الشخصية بما يقتصر على الأغراض والشروط الواردة ضمن شروط معالجة البيانات الشخصية المنصوص عليها في الفقرة 2 من المادة 5 والفقرة 3 من المادة 6 من القانون رقم 6698 لحماية البيانات الشخصية.

هذه الأغراض والشروط؛

• أن يكون قيام شركتنا بالنشاط ذي الصلة بمعالجة بياناتكم الشخصية منصوصًا عليه صراحة في القوانين،
• أن تكون معالجة بياناتكم الشخصية من قبل شركتنا مرتبطة بشكل مباشر وضرورية لإنشاء عقد أو تنفيذه،
• أن تكون معالجة بياناتكم الشخصية ضرورية لتمكين شركتنا من الوفاء بالتزامها القانوني،
• شريطة أن تكونوا قد قمتم بالإفصاح العلني عن بياناتكم الشخصية بأنفسكم؛ معالجتها من قبل شركتنا بشكل يقتصر على غرض هذا الإفصاح العلني،
• أن تكون معالجة بياناتكم الشخصية من قبل شركتنا ضرورية لإنشاء حقوق شركتنا أو حقوقكم أو حقوق أطراف ثالثة أو استخدامها أو حمايتها،
• كون معالجة البيانات الشخصية ضرورية لتحقيق المصالح المشروعة لشركتنا، شريطة عدم الإضرار بحقوقكم وحرياتكم الأساسية،
• كون قيام شركتنا بمعالجة البيانات الشخصية ضروريًا لحماية حياة صاحب البيانات أو شخص آخر أو سلامته الجسدية، وكون صاحب البيانات في هذه الحالة غير قادر على إبداء موافقته بسبب استحالة فعلية أو بطلان قانوني،
• أن يكون معالجة البيانات الشخصية ذات الطابع الخاص، غير المتعلقة بصحة صاحب البيانات وحياته الجنسية، منصوصًا عليها في القوانين،
• معالجة البيانات الشخصية ذات الطابع الخاص المتعلقة بصحة صاحب البيانات وحياته الجنسية، من قبل أشخاص ملزمين بواجب الحفاظ على السرية أو من قبل مؤسسات وجهات مختصة، بهدف حماية الصحة العامة، وممارسة الطب الوقائي، وتقديم خدمات التشخيص الطبي والعلاج والرعاية، وتخطيط وإدارة الخدمات الصحية وتمويلها.

في ظل الشروط المذكورة أعلاه؛ يمكن لشركتنا معالجة البيانات الشخصية للأغراض التالية، دون أن تقتصر عليها:

• حماية الصحة العامة، وممارسة الطب الوقائي، وتقديم خدمات التشخيص الطبي والعلاج والرعاية،
• بغرض تخطيط وإدارة الخدمات الصحية وتمويلها
• التحقق من هويتكم
• التمكّن من إعلامكم بشأن الموعد في حال قمتم بحجز موعد.
• تأكيد علاقتكم بالمؤسسات المتعاقدة مع المركز الطبي
• الوفاء بالمتطلبات القانونية والتنظيمية
• قيام أقسام خدمات المرضى، والشؤون المالية، والتسويق، بتمويل خدماتكم الصحية وتغطية نفقات الفحوصات والتشخيص والعلاج،
• مشاركة المعلومات المطلوبة مع وزارة الصحة والجهات والمؤسسات العامة الأخرى وفقًا للتشريعات ذات الصلة،
• مشاركة جميع أنواع المعلومات التي تطلبها شركات التأمين الخاصة في إطار تمويل الخدمات الصحية
• تحليل استخدامكم للخدمات الصحية بهدف تطوير الخدمات التي نقدّمها
• من أجل تنفيذ الأنشطة التجارية التي تقوم بها الشركة، عن طريق قيام وحدات العمل المعنية لدينا بالدراسات اللازمة وتنفيذ إجراءات العمل المرتبطة بها؛
• تخطيط وتنفيذ أنشطة ضمان الأعمال واستمرارية العمل،
• متابعة الأعمال المالية و/أو المحاسبية،
• تقديم المعلومات إلى الجهات المختصة بموجب التشريعات،
• تخطيط وتنفيذ أنشطة التواصل المؤسسي،
• ضمان تنفيذ سياسات الموارد البشرية لشركتنا؛
• ضمان الأمن القانوني والتجاري لشركتنا وللأشخاص الذين لديهم علاقة عمل مع شركتنا؛
• تنفيذ أنشطة تقييم رضا عملائنا الحاليين، وإدارة التنظيمات والفعاليات،
• تنفيذ أنشطة الصحة والسلامة المهنية،
• تنفيذ عمليات أمن المعلومات والأمن المادي
• التحقق من معلومات الشخص الذي يقوم بمعاملات عبر موقعنا الإلكتروني المؤسسي والتطبيقات الجوالة،

حذف البيانات الشخصية أو إتلافها أو جعلها مجهولة الهوية

مع الحفاظ على الأحكام الواردة في القوانين الأخرى المتعلقة بمحو البيانات الشخصية أو إتلافها أو إخفاء هويتها، تقوم الشركة، رغم معالجتها للبيانات وفقًا لهذا القانون وأحكام القوانين الأخرى، بمحو البيانات الشخصية أو إتلافها أو إخفاء هويتها من تلقاء نفسها أو بناءً على طلب صاحب البيانات الشخصية/الشخص المعني، وذلك في حال زوال الأسباب التي تستوجب معالجتها، وفقًا للمبادئ الواردة في إجراء أمن المعلومات وحماية البيانات الشخصية BY.PR.004.

محو البيانات الشخصية هو العملية التي يتم بموجبها جعل البيانات الشخصية غير قابلة للوصول إليها أو إعادة استخدامها بأي شكل من الأشكال بالنسبة للمستخدمين المعنيين.

أما إتلاف البيانات فهو العملية التي يتم بموجبها جعل البيانات الشخصية غير قابلة للوصول إليها أو استعادتها أو إعادة استخدامها من قبل أي شخص وبأي شكل من الأشكال.

يُقصد بإخفاء هوية البيانات جعل البيانات الشخصية، حتى لو تم مطابقتها مع بيانات أخرى، غير قابلة بأي شكل من الأشكال للربط بشخص طبيعي محدد الهوية أو قابل للتحديد.

نقل البيانات الشخصية

تُعالَج بياناتكم الشخصية التي تُجمع ضمن الأغراض الموضحة أعلاه وفقًا للمبادئ الأساسية المنصوص عليها في KVKK، وفي إطار شروط وأغراض معالجة البيانات الشخصية المحددة في المادتين 8 و9 من KVKK،

• وزارة الصحة ووحداتها الفرعية التابعة لها،
• ممثلوكم الذين منحتموهم التفويض،
• شركات التأمين الخاصة،
• مؤسسة الضمان الاجتماعي،
• مديرية الأمن العام وقوات الأمن الأخرى،
• المديرية العامة للأحوال المدنية،
• نقابة الصيادلة التركية،
• المحاكم وجميع الجهات القضائية، والمراكز، وسائر الأطراف الثالثة،
• المحامون،
• المختبرات ومراكز الطب المتعاونة معنا لأغراض التشخيص والعلاج الطبي، وخدمات الإسعاف، والمؤسسات المزوّدة للأجهزة الطبية والخدمات الصحية،
• مورّدونا، وذلك بشكل محدود بغرض تقديم الخدمات،

يمكن مشاركتها معها.

نقل البيانات الشخصية إلى الخارج

يمكن لشركتنا نقل البيانات الشخصية والبيانات الشخصية ذات الطبيعة الخاصة لصاحب البيانات إلى أطراف ثالثة في الخارج، وذلك باتخاذ التدابير الأمنية اللازمة تحقيقًا لأغراض معالجة البيانات الشخصية المشروعة. وتُنقل البيانات الشخصية من قبل شركتنا إلى الدول الأجنبية التي أعلنت هيئة حماية البيانات الشخصية أنها توفر حماية كافية ("الدولة الأجنبية ذات الحماية الكافية")، أو في حال عدم وجود حماية كافية، إلى الدول الأجنبية التي تعهّد فيها المتحكمون بالبيانات في تركيا وفي الدولة الأجنبية المعنية كتابيًا بتوفير حماية كافية وحصلوا على إذن من هيئة حماية البيانات الشخصية ("الدولة الأجنبية التي يوجد فيها متحكم بالبيانات متعهّد بتوفير حماية كافية"). وتتصرف شركتنا في هذا الإطار وفقًا للأحكام المنصوص عليها في المادة 9 من قانون حماية البيانات الشخصية.

أنشطة معالجة البيانات الشخصية عند مداخل المباني والمنشآت وداخلها، وزوّار الموقع الإلكتروني

• تُنفَّذ أنشطة معالجة البيانات الشخصية التي تجريها الشركة عند مداخل المباني والمنشآت وداخل المنشآت بما يتوافق مع الدستور وقانون حماية البيانات الشخصية والتشريعات الأخرى ذات الصلة.
• تقوم شركتنا، بهدف ضمان الأمن، بأنشطة معالجة البيانات الشخصية المتعلقة بالمراقبة بكاميرات الأمن في مباني شركتنا ومنشآتها وبمتابعة دخول وخروج الزوار.
• تقوم شركتنا بتنفيذ نشاط معالجة البيانات الشخصية من خلال استخدام كاميرات المراقبة وتسجيل عمليات دخول وخروج الزوار.
• تهدف الشركة من خلال نشاط المراقبة بكاميرات الأمن إلى حماية مصالحها المتعلقة بضمان أمن الشركة والأشخاص الآخرين، وتتصرف شركتنا في هذا الإطار وفقًا للدستور وقانون حماية البيانات الشخصية والتشريعات الأخرى ذات الصلة.
• تُسجَّل صور زوارنا عن طريق نظام المراقبة بالكاميرات عند مداخل مباني شركتنا ومنشآتها وداخلها.
• تهدف شركتنا، في إطار نشاط المراقبة بكاميرات الأمن، إلى أغراض من قبيل تحسين جودة الخدمة المقدَّمة وضمان موثوقيتها، وضمان أمن الشركة والعملاء والأشخاص الآخرين، وحماية مصالح العملاء المتعلقة بالخدمة التي يتلقونها.
• يُجرى نشاط المراقبة بالكاميرات لأغراض أمنية من قبل شركتنا بما يتوافق مع الأحكام الواردة في قانون حماية البيانات الشخصية. ويستمر نشاط المراقبة بالكاميرات الذي تنفذه شركتنا بما يتوافق مع قانون خدمات الأمن الخاص والتشريعات ذات الصلة.
• لا يمكن الوصول إلى السجلات المسجَّلة والمحفوظة في البيئة الرقمية إلا لعدد محدود من موظفي الشركة. ويقر العدد المحدود من الأشخاص الذين لديهم إمكانية الوصول إلى هذه السجلات، بموجب تعهد بالسرية، بأنهم سيحافظون على سرية البيانات التي يصلون إليها.
• تُتخذ من قبل شركتنا، وفقًا للمادة 12 من قانون حماية البيانات الشخصية، التدابير التقنية والإدارية اللازمة لضمان أمن البيانات الشخصية التي يتم الحصول عليها نتيجة نشاط المراقبة بالكاميرات.

بالإضافة إلى التسجيل بالكاميرا المذكور أعلاه، تقوم شركتنا، بهدف ضمان الأمن وللأغراض المحددة في هذه السياسة، بنشاط معالجة البيانات الشخصية المتعلق بمتابعة دخول وخروج الزوار في مباني شركتنا ومنشآتها.

• يتم إعلام أصحاب البيانات الشخصية المعنيين في هذا النطاق عند الحصول على أسمائهم وألقابهم كزوّار قادمين إلى مباني شركتنا، وذلك من خلال النصوص المعلّقة داخل الشركة أو المتاحة للزوار بطرق أخرى. تُعالَج البيانات التي يتم الحصول عليها بغرض تتبع دخول وخروج الزوار لهذا الغرض فقط، أو تُسجَّل البيانات الشخصية المعنية في نظام تسجيل البيانات في بيئة مادية.
• يمكن لشركتنا، بهدف ضمان الأمن وللأغراض المحددة في هذا الإجراء، توفير إمكانية الوصول إلى الإنترنت لزوارنا الذين يطلبون ذلك خلال مدة تواجدهم داخل مبانينا ومنشآتنا. وفي هذه الحالة، تُسجَّل سجلات الدخول (log) المتعلقة بوصولكم إلى الإنترنت وفقًا للأحكام الآمرة للقانون رقم 5651 والتشريعات المنظَّمة بموجبه؛ ولا تُعالَج هذه السجلات إلا في حال طلبها من قبل الجهات والمؤسسات العامة المختصة أو ضمن عمليات التدقيق التي تُجرى داخل الشركة تحقيقًا لالتزامنا القانوني ذي الصلة.
• لا يمكن الوصول إلى سجلات الدخول التي يتم الحصول عليها في هذا الإطار إلا لعدد محدود من موظفي الشركة. يقوم موظفو الشركة الذين لديهم إمكانية الوصول إلى هذه السجلات المذكورة بالوصول إليها فقط لاستخدامها في طلبات أو عمليات تدقيق واردة من الجهات الحكومية المخوّلة، ومشاركتها مع الأشخاص المخوّلين قانونًا. ويقر العدد المحدود من الأشخاص الذين لديهم إمكانية الوصول إلى هذه السجلات، بموجب تعهد بالسرية، بأنهم سيحافظون على سرية البيانات التي يصلون إليها.
• يتم إعلام زوار الموقع الإلكتروني من خلال سياسة ملفات تعريف الارتباط (الكوكيز).

فئات البيانات الشخصية

• الهوية (مثل الاسم واللقب، اسم الأم والأب، اسم الأم قبل الزواج، تاريخ الميلاد، مكان الميلاد، الحالة الاجتماعية، الرقم التسلسلي لبطاقة الهوية، رقم الهوية الوطنية التركية)
• التواصل (مثل رقم العنوان، البريد الإلكتروني، عنوان التواصل، عنوان البريد الإلكتروني المسجل (KEP)، رقم الهاتف)
• الموقع الجغرافي (معلومات الموقع الحالي)
• شؤون الموظفين (مثل معلومات كشوف الرواتب، التحقيقات التأديبية، سجلات مستندات الالتحاق بالعمل وتركه، معلومات إقرارات الذمة المالية، السيرة الذاتية، تقارير تقييم الأداء)
• الإجراءات القانونية (مثل المعلومات الواردة في المراسلات مع الجهات القضائية، والمعلومات الواردة في ملف الدعوى)
• معاملات العملاء (مثل سجلات مركز الاتصال، معلومات الفواتير والسندات والشيكات، معلومات إيصالات الشباك، معلومات الطلبات، معلومات الطلبات المقدَّمة)
• أمن المكان المادي (مثل سجلات دخول وخروج الموظفين والزوار، وتسجيلات الكاميرات)
• أمن المعاملات (مثل معلومات عنوان IP، بيانات الدخول والخروج من الموقع الإلكتروني، معلومات كلمات المرور)
• إدارة المخاطر (مثل المعلومات التي تُعالَج لإدارة المخاطر التجارية والتقنية والإدارية)
• المالية (مثل معلومات الميزانية العمومية، ومعلومات الأداء المالي، ومعلومات الائتمان والمخاطر، ومعلومات الممتلكات)
• الخبرة المهنية (مثل معلومات الشهادات، الدورات التي تم حضورها، معلومات التدريب المهني، الشهادات، معلومات كشوف الدرجات)
• التسويق (معلومات سجل التسوق، الاستبيانات، سجلات ملفات تعريف الارتباط، المعلومات التي يتم الحصول عليها من خلال الحملات الترويجية)
• التسجيلات المرئية والصوتية (مثل التسجيلات المرئية والصوتية)
• العرق والأصل الإثني (مثل المعلومات المتعلقة بالعرق والأصل الإثني)
• معلومات الرأي السياسي (مثل المعلومات التي تُبيّن الرأي السياسي، معلومات العضوية في حزب سياسي)
• المعتقد الفلسفي، والدين، والمذهب، والمعتقدات الأخرى (مثل المعلومات المتعلقة بالانتماء الديني، والمعتقد الفلسفي، والانتماء المذهبي، والمعتقدات الأخرى)
• المظهر واللباس (المعلومات المتعلقة بالمظهر واللباس)
• عضوية الجمعيات (مثل معلومات عضوية الجمعيات)
• عضوية الوقف (مثل معلومات عضوية الوقف)
• العضوية النقابية (مثل معلومات العضوية النقابية)
• المعلومات الصحية (مثل معلومات حالة الإعاقة، فصيلة الدم، المعلومات الصحية الشخصية، معلومات الأجهزة والأطراف الاصطناعية المستخدمة)
• الحياة الجنسية (مثل المعلومات المتعلقة بالحياة الجنسية)
• الإدانات الجزائية والتدابير الأمنية (مثل المعلومات المتعلقة بالإدانات الجزائية، والمعلومات المتعلقة بالتدابير الأمنية)
• البيانات البيومترية (مثل معلومات راحة اليد، وبصمات الأصابع، ومسح الشبكية، والتعرف على الوجه)
• البيانات الجينية (مثل البيانات الجينية)
• معلومات أخرى (مثل أنواع البيانات التي يحددها المستخدم)

فئات أصحاب البيانات

• المرشح للعمل
• الموظف
• الخاضع للتجربة
• الشخص موضوع الخبر
• المساهم/الشريك
• المشتري المحتمل للمنتج أو الخدمة
• المتقدّم للامتحان
• المتدرّب
• موظف المورّد
• مسؤول المورّد
• الشخص المتلقي للمنتج أو الخدمة
• الولي / الوصي / الممثل
• زائر
• أخرى

التدابير التقنية والإدارية المتخذة لمعالجة البيانات الشخصية وحمايتها

تتخذ الشركة جميع التدابير التقنية والإدارية اللازمة لضمان توفير المستوى الأمني المناسب اللازم لحماية البيانات الشخصية. والتدابير المنصوص عليها في المادة 12 من KVKK هي كما يلي:

• منع معالجة البيانات الشخصية بشكل غير قانوني،
• منع الوصول غير القانوني إلى البيانات الشخصية،
• ضمان حفظ البيانات الشخصية

بصفتها المتحكم بالبيانات، بدأت الشركة العملية اللازمة لتطبيق التدابير التقنية والإدارية التالية من أجل تحسين عملية الامتثال لـ KVKK.

• مصفوفة الصلاحيات
• التحكم في الصلاحيات
• سجلات الوصول
• إدارة حسابات المستخدمين
• تطبيق أمن الشبكة
• الأمان التشفير الاختراق
• إخفاء بيانات سجلات النظام (Log)
• برامج منع فقدان البيانات
• جدران الحماية للنسخ الاحتياطي
• أنظمة مكافحة الفيروسات المحدَّثة
• إدارة مفاتيح الحذف أو الإتلاف أو إخفاء الهوية
• إعداد جرد معالجة البيانات الشخصية
• السياسات المؤسسية (الوصول، أمن المعلومات، الاستخدام، الحفظ والإتلاف، وغير ذلك) العقود (بين المتحكم بالبيانات - المتحكم بالبيانات، وبين المتحكم بالبيانات - معالج البيانات)
• تعهدات السرية
• عمليات التدقيق الدورية و/أو العشوائية الداخلية
• تحليلات المخاطر
• عقد العمل، لائحة الانضباط (إضافة أحكام متوافقة مع القانون)، التواصل المؤسسي (إدارة الأزمات، عمليات إبلاغ اللجنة وصاحب الشأن، إدارة السمعة، وغير ذلك)
• أنشطة التدريب والتوعية (أمن المعلومات والقانون) الإخطار إلى نظام سجل المسؤولين عن البيانات (VERBİS)

حقوق صاحب البيانات الشخصية المنصوص عليها في المادة 11 من قانون حماية البيانات الشخصية

في حال قمتم، بصفتكم أصحاب بيانات شخصية، بتقديم طلباتكم المتعلقة بحقوقكم إلى شركتنا عبر الطرق المحددة أدناه في نص إفصاح قانون حماية البيانات الشخصية هذا، ستقوم شركتنا، وفقًا لطبيعة الطلب، بإنهائه مجانًا خلال مدة أقصاها 30 (ثلاثين) يومًا. غير أنه في حال قرر مجلس حماية البيانات الشخصية فرض رسم، فسيتم تحصيل الرسم المحدد وفق التعرفة التي تقررها شركتنا.

في هذا النطاق، يتمتع أصحاب البيانات الشخصية؛

• معرفة ما إذا كانت البيانات الشخصية قد عولجت أم لا،
• طلب معلومات حول ذلك في حال معالجة بياناته الشخصية،
• معرفة الغرض من معالجة البيانات الشخصية وما إذا كانت تُستخدم بما يتوافق مع هذا الغرض،
• معرفة الأطراف الثالثة التي تُنقل إليها البيانات الشخصية داخل البلاد أو خارجها،
• طلب تصحيح البيانات الشخصية في حال معالجتها بشكل ناقص أو غير صحيح، وطلب إبلاغ الأطراف الثالثة التي نُقلت إليها البيانات الشخصية بهذا الإجراء،
• طلب محو أو إتلاف البيانات الشخصية في حال زوال الأسباب التي تستوجب معالجتها رغم معالجتها وفقًا لأحكام KVKK والقوانين الأخرى ذات الصلة، وطلب إبلاغ الأطراف الثالثة التي نُقلت إليها البيانات الشخصية بهذا الإجراء،
• الاعتراض على ظهور نتيجة ضد الشخص نفسه نتيجة تحليل البيانات المعالجة حصريًا عبر أنظمة آلية،
• يحق له طلب تعويض الضرر في حال تعرضه لضرر نتيجة معالجة بياناته الشخصية بشكل مخالف للقانون.

يجب عليكم، بصفتكم صاحب البيانات ذي الصلة، تقديم طلبات حقوقكم إلى شركتنا كتابيًا. وفي هذا الإطار، ولضمان إدارة الطلبات التي ستقدمونها إلى شركتنا بموجب المادة 11 من KVKK بشكل سليم وسريع، نوصي باستخدام وثيقة "نموذج طلب معلومات صاحب البيانات ذي الصلة" الموجودة تحت عنوان حماية البيانات الشخصية على موقعنا الإلكتروني، وتقديمها شخصيًا أو عبر بريد مسجل مع إشعار استلام، مع إرفاق المستندات/المعلومات التي قد تُطلب حسب طلبكم والمستندات اللازمة لإثبات هويتكم. كما يمكنكم، كمستخدم عبر الإنترنت، إرسال طلبكم إلينا من خلال نموذج طلب معلومات صاحب البيانات ذي الصلة عبر .............................com.tr (باستخدام عنوان البريد الإلكتروني الذي سبق أن أبلغتم به شركتنا والمسجل في نظامنا).

الاكتشاف

يقوم موظفو المؤسسة بالإبلاغ عن الحوادث في الحالات المشبوهة مثل اختفاء أو ظهور ملفات دون قصد، أو حدوث مشاكل في عمل برنامج مكافحة الفيروسات، أو تشغيل برامج أو فتح نوافذ دون قصد، أو وجود موظفين غير مخولين في منشآت معالجة المعلومات الحساسة، أو تعرّض الملفات السرية للتدخل الخارجي، أو عدم تنفيذ الإجراءات وفقًا للإجراءات المكتوبة، وما شابه ذلك.

التقييم وإعداد التقارير

عند الإبلاغ عن حوادث انتهاك أمن المعلومات إلى وحدة إدارة الجودة عبر نموذج الإبلاغ عن الحوادث غير المرغوب فيها İO.FR.001، تقوم وحدة إدارة الجودة بتقييم الحادثة، وإذا قررت أنها تشكل انتهاكًا، تُبلغ الإدارة العليا بذلك عبر تقرير.

يتضمّن التقرير العناوين التالية على الأقل؛

• الأدلة المجمَّعة.
• نوع الدليل.
• مكان حفظ الأدلة.
• تاريخ ووقت الدليل.
• نموذج الإجراء التصحيحي في حال بدء إجراء تصحيحي متعلق بالحادثة
• تاريخ ووقت اكتشاف حادثة الاختراق.

فيما يلي الأمور التي يجب مراعاتها عند الإبلاغ عن حوادث أمن المعلومات:

• الترتيبات الأمنية المادية ومعلومات الدخول إلى الأماكن.
• ضبط أمني غير فعّال.
• انتهاك سرية المعلومات أو سلامتها أو إمكانية الوصول إليها.
• الأخطاء البشرية.
• تغييرات غير خاضعة للرقابة في أنظمة البرمجيات أو الأجهزة.
• الأعطال.
• التحكم في الوصول.
• عدم التوافق مع السياسات والإجراءات.
• الثغرات التي تكتشفها برامج أمن النظام.

تُقيَّم السجلات المفتوحة للعناوين المذكورة أعلاه في اجتماعات تقييم إدارة الجودة. وتُقاس حوادث الانتهاك ضمن نطاق تقييم المخاطر.

آلية التقييم هي كما يلي:

• عند تقييم حوادث الاختراق، يؤخذ في الاعتبار عدد الحوادث ومدى تأثيرها.
• تُستخدم البيانات الناتجة عن حوادث الاختراق كمقياس في تقييمات المخاطر.
• تتم مناقشة قيمة التأثير في اجتماعات أمن المعلومات، وتُعكس على قيم احتمالية المخاطر بناءً على عدد السجلات وتأثيرها.
• في حال حدوث زيادة تتراوح بين 7% و10% في عدد السجلات المتكوّنة في نهاية العام، تُقدَّم للمستخدمين تدريبات توعوية إضافية.
• في حال حدوث زيادة تتراوح بين 11% و30% في عدد السجلات المتكوّنة في نهاية العام، يُعقد اجتماع إضافي لمراجعة الإجراءات.
• في حال حدوث زيادة بنسبة 31% فأكثر في عدد السجلات المتكوّنة في نهاية العام، تُتَّخذ قرارات بشأن التدريب التوعوي وتحديث الإجراءات والاستثمار والتغيير الهيكلي.

التدخل

• لا يتم تنفيذ أي إجراء إغلاق بسبب أي ثغرة قد تؤدي إلى إتلاف الأدلة أو إفسادها.
• بالنسبة لجميع الحوادث التي يتم اكتشافها وجمع أدلتها من خلال عمليات التدقيق أو الحالات المُبلَّغ عنها، يتم أولًا، قبل أي إجراء آخر، تصحيح الثغرة التي تسببت في وقوع الحادثة.
• عند الحاجة إلى التدخل، يُطبَّق إجراء استمرارية العمل BY.PR.001.

اتخاذ التدابير واكتساب الخبرة

تُتخذ التدابير اللازمة لمنع تكرار حوادث انتهاك أمن المعلومات التي تم اكتشافها وجمع أدلتها مستقبلًا. وتُراجَع جميع حوادث انتهاك أمن المعلومات التي وقعت بهدف اكتساب الخبرة، وتُسجَّل المعلومات المستفادة منها. ويهدف اكتساب الخبرة إلى منع تكرار أي حادث انتهاك أو إيجاد حل للمشكلة في وقت أقصر عند تكرارها.

يمكن تطبيق أي من الإجراءات التالية لاتخاذ تدابير وقائية إزاء حادثة انتهاك أمني:

• تُفحَص السجلات التي يتم إنشاؤها، وتُسجَّل المعلومات اللازمة لإيجاد سبل الحل.
• تُوضع بالضرورة إجراءات مكتوبة للحوادث الناتجة عن الممارسات الخاطئة.
• بالنسبة للحوادث الناجمة عن الإجراءات، تتم مراجعة الإجراءات من جديد وتصحيحها.
• يتم التحقق مما إذا كان هناك سجل مخاطر لحادث أمن المعلومات الذي وقع؛ فإن وُجد يُعاد تقييم المخاطر، وإن لم يوجد يُنشأ سجل مخاطر لتقييمه.
• بالنسبة للمشكلات الناجمة عن الوصول، تُراجَع صلاحيات الوصول مجددًا، ويتم أيضًا التحقق من صلاحيات الوصول المماثلة الأخرى.
• يتم التحقق من التحديثات في الحوادث الناتجة عن البرامج والتطبيقات، ويُغلق الحادث باستخدام طرق مثل سد الثغرات والتحديث وتطوير التصحيحات (patch).
• تُطبَّق التدابير المتخذة بشأن المشكلات الناجمة عن الأجهزة المادية على الأجهزة المماثلة الأخرى أيضًا.
• يتم تحديد مصدر المشكلة بالنسبة للحوادث الناتجة عن الأكواد الضارة، وتُدرَس مدى كفاية برامج الأمان. وتُطبَّق التدابير المتوصَّل إليها بالضرورة على جميع الأنظمة.

جمع السجلات والأدلة

• في مرحلة جمع السجلات والأدلة، يتم أولًا التحقق من عدم المساس بسلامة السجلات التي يمكن من خلالها تحديد الحادثة والمسؤول عنها.
• لا تُستخدم كأدلة إلا السجلات التي حُفظت سلامتها.
• تُحفَظ الأدلة التي تُجمَع بشأن حوادث انتهاك أمن المعلومات لمدة 3 سنوات.
• في الحالات المتعلقة باكتشاف حادثة انتهاك لأمن المعلومات، تُحفَظ بالضرورة تسجيلات الكاميرات إن وُجدت، وسجلات الوصول، وسجلات المراقبة، والسجلات التي تحتفظ بها برامج أمن النظام، وسجلات التكاليف اللازمة لحل المشكلات، والسجلات التي قد يُحتاج إليها لتقييم حوادث انتهاك أمن المعلومات ولتحديد وتيرة الحوادث المستقبلية وحدود الأضرار والتكاليف.

التحسين

• يُقدَّم تدريب توعوي للموظفين في مجال أمن المعلومات وحماية البيانات الشخصية.
• تتوافق كلمات المرور المستخدَمة في نظام إدارة المعلومات مع سياسات كلمات المرور الصادرة عن الوزارة.
• تُوقَّع اتفاقية سرية مع المسؤولين عن نظام إدارة المعلومات ومستخدميه.
• يُجرى تقييم للمخاطر فيما يتعلق بالمخاطر المادية التي تهدد نظام إدارة المعلومات، والمشكلات المتعلقة بالبرمجيات والأجهزة، وأمن المعلومات، وخصوصية المعلومات، وحماية البيانات الشخصية، وأخطاء المستخدمين، وما شابه ذلك.
• في حالات انتهاك أمن المعلومات، تُجرى الأنشطة التصحيحية وتقييم تحليل الوضع، وتُنفَّذ التحسينات، ويتم بعد ذلك إبلاغ الإدارة العليا والموظفين.