Schutz personenbezogener Daten

Grundprinzipien bei der Verarbeitung personenbezogener Daten:

Verarbeitung gemäß dem Recht und Grundsatz der Fairness

Unser Unternehmen handelt bei der Verarbeitung personenbezogener Daten gemäß den durch gesetzliche Vorschriften festgelegten Grundsätzen sowie nach dem allgemeinen Grundsatz von Vertrauen und Ehrlichkeit.

Genau und bei Bedarf aktuell sein

Das Unternehmen ergreift die erforderlichen Maßnahmen, um sicherzustellen, dass die verarbeiteten personenbezogenen Daten korrekt und aktuell sind, und gewährt den Dateninhabern die notwendigen Möglichkeiten, indem Informationen bereitgestellt werden, um sicherzustellen, dass die verarbeiteten Daten den tatsächlichen Gegebenheiten entsprechen.

Verarbeitung für bestimmte, eindeutige und legitime Zwecke

Unser Unternehmen legt den rechtmäßigen und gesetzeskonformen Zweck der Verarbeitung personenbezogener Daten klar und eindeutig fest. Unser Unternehmen verarbeitet personenbezogene Daten in Zusammenhang mit den bereitgestellten Dienstleistungen und nur in dem dafür notwendigen Umfang. Die Zwecke, für die personenbezogene Daten von unserem Unternehmen verarbeitet werden, werden bereits vor Beginn der Tätigkeit zur Verarbeitung personenbezogener Daten festgelegt.

Mit dem Verarbeiteten Zweck Verbunden, Begrenzt und Maßvoll Sein

Die vom Unternehmen verarbeiteten Daten werden gemäß KVKK und den einschlägigen anderen Vorschriften in einer Weise verarbeitet, die es ermöglicht, die nach Datenkategorien festgelegten Zwecke zu erreichen, im Zusammenhang mit der Erreichung des Zwecks stehen und verhältnismäßig sind, wobei die Verarbeitung nicht benötigter personenbezogener Daten vermieden wird.

Aufbewahrung für die im einschlägigen Recht vorgesehenen oder für den verfolgten Zweck erforderliche Dauer

Die vom Unternehmen verarbeiteten personenbezogenen Daten werden nur so lange aufbewahrt, wie es das einschlägige Gesetz vorsieht oder für den Zweck, zu dem sie verarbeitet wurden, erforderlich ist. In diesem Zusammenhang hält sich das Unternehmen, wenn das einschlägige Gesetz eine Aufbewahrungsfrist für die Daten vorsieht, an diese Frist; existiert eine solche Frist nicht, werden die Daten nur so lange aufbewahrt, wie es für den Zweck, zu dem sie verarbeitet wurden, erforderlich ist. Das Unternehmen bewahrt Daten nicht auf der Grundlage ihrer möglichen zukünftigen Nutzung auf.

• Im Rahmen physischer Sicherheitsmaßnahmen (Ein- und Ausgangstüren, Büroräume, Produktlieferbereiche, Sicherheit von Lagern und Verwendung von Personalausweisen usw.) sind die festgelegten Regeln von allen Mitarbeitern einzuhalten.
• Der Schutz vor Viren und Angreifern liegt in der Verantwortung des IT-Beauftragten. Der Verantwortliche informiert das obere Management über die für den Schutz vor Viren und Angreifern erforderliche Hardware und Software und trifft die notwendigen Maßnahmen. Diese Maßnahmen bestehen aus den vom Gesundheitsministerium geforderten Mindestanforderungen, einschließlich Hardware- und Softwaregeräten wie Antivirus-Software und Firewalls. Die Aktualisierung dieser Software liegt in der Zuständigkeit des Beauftragten für Informationsmanagementsysteme. Bei Fälligkeit der Aktualisierung informiert er das obere Management und führt die Aktualisierungen durch.

Durchführung von Tätigkeiten zur Verarbeitung personenbezogener Daten in Übereinstimmung mit dem KVKK

Durch das KVG sind die Bedingungen für die Verarbeitung personenbezogener Daten geregelt, und die Gesellschaft verarbeitet personenbezogene Daten gemäß den nachstehend aufgeführten Bedingungen.

Mit Ausnahme der im Gesetz genannten Ausnahmen verarbeitet das Unternehmen personenbezogene Daten nur mit ausdrücklicher Zustimmung der Betroffenen. In den im Gesetz genannten folgenden Fällen können personenbezogene Daten auch ohne ausdrückliche Zustimmung des Betroffenen verarbeitet werden.

• Eindeutig gesetzlich vorgesehen,
• Wenn es aufgrund tatsächlicher Unmöglichkeit nicht möglich ist, die Einwilligung zu erklären, oder die Einwilligung rechtlich nicht anerkannt wird, wenn es erforderlich ist, das Leben oder die körperliche Unversehrtheit der betreffenden Person oder einer anderen Person zu schützen,
• Die Verarbeitung personenbezogener Daten der Vertragsparteien, solange sie direkt mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängt, ist erforderlich.
• Es ist zwingend erforderlich, dass der Datenverantwortliche seine gesetzliche Pflicht erfüllen kann,
• Dass die betroffene Person die Daten selbst öffentlich gemacht hat,
• Die Verarbeitung von Daten zur Einrichtung, Ausübung oder Verteidigung eines Rechts ist erforderlich,
• Verarbeitung von Daten ist für die berechtigen Interessen des Verantwortlichen erforderlich, ohne die Grundrechte und Freiheiten der betroffenen Person zu beeinträchtigen.
• Bei der Verarbeitung von besonders schützenswerten personenbezogenen Daten, die aus Sicht der Betroffenen als besonders kritisch angesehen werden, zeigt das Unternehmen besondere Sensibilität. In diesem Rahmen werden solche Daten nur dann verarbeitet, wenn ausreichende Maßnahmen, die von der Qualitätsmanagementeinheit festgelegt wurden, getroffen wurden, und dies nicht ohne die ausdrückliche Einwilligung der Betroffenen erfolgt. Allerdings können besonders schützenswerte personenbezogene Daten, mit Ausnahme von Daten über Gesundheit und Sexualleben, auch ohne ausdrückliche Einwilligung der Betroffenen verarbeitet werden, wenn dies in den Gesetzen vorgesehen ist.

Daten im Zusammenhang mit Gesundheit und Sexualleben können unter der Voraussetzung, dass ausreichende Maßnahmen getroffen werden, und bei Vorliegen der nachstehend aufgeführten Gründe ohne ausdrückliche Einwilligung verarbeitet werden:

• Schutz der öffentlichen Gesundheit,
• Präventivmedizin,
• Medizinische Diagnose,
• Durchführung von Behandlungs- und Pflegeleistungen,
• Planung und Verwaltung von Gesundheitsdiensten und deren Finanzierung.

Erklärungen über die rechtmäßig durch das Unternehmen durchgeführte Verarbeitung personenbezogener Daten und die diesbezüglich übernommenen Systeme zum Schutz personenbezogener Daten abzugeben, dient dazu, Transparenz zu gewährleisten, indem insbesondere unsere Kunden, potenzielle Kunden, unsere Mitarbeiter, Bewerber, Unternehmensvertreter, Besucher, Mitarbeiter und Vertreter von Institutionen, mit denen wir zusammenarbeiten, sowie dritte Personen, deren personenbezogene Daten verarbeitet werden, durch das Unternehmen informiert werden.

• Im Einklang mit der Institutionspolitik BY.YD.002 zum Informationsmanagementsystem des Medizinzentrums wurde eine Domänenstruktur eingerichtet, und alle Computer arbeiten im "Login"-Modus innerhalb der Domänenstruktur. Computer, die nicht mit der Domäne verbunden sind, werden vom lokalen Netzwerk entfernt, und zwischen den Geräten im lokalen Netzwerk findet kein Informationsaustausch statt.
• Über Computer dürfen außer offiziellen Dokumenten, Programmen und Ausbildungsunterlagen keine Dateien ausgetauscht werden
• Internetzugang und E-Mail-Nutzungsverbindungen werden vom Firewallsystem des Medizinzentrums kontrolliert.
• Für alle autorisierten Mitarbeiter, die im Medizinzentrum anfangen, wird eine unternehmensbezogene E-Mail-Adresse erstellt.
• E-Mails und Passwörter werden dem zuständigen Personal während der Schulung übermittelt.
• Der Nutzer erkennt an, dass alle Äußerungen, die er während der E-Mail äußert, ihm gehören. Der Nutzer ist verantwortlich für das Versenden von Nachrichten, die strafbar sind; bedrohlich, illegal, beleidigend, vulgär oder verleumderisch sind oder gegen die Moral verstoßen.
• Der Benutzer darf in seinem Konto keine Materialien und Dokumente platzieren, die rechtlich strafbar sind, und darf keine schädlichen Anwendungen für Privatkontoinhaber verwenden.
• Es ist nicht erlaubt, den Server eines anderen Systems oder das Konto eines anderen Benutzers ohne die Zustimmung der betreffenden Person zum Zweck des Versendens von Nachrichten zu verwenden.
• Der Benutzer darf sein Konto nicht für kommerzielle und gewinnorientierte Zwecke verwenden. Er darf keine Werbe-, Promotions-, Ankündigungs- usw. (SPAM) E-Mails in großer Zahl an viele Benutzer senden.
• Der Benutzer ist für alle rechtlichen Verantwortlichkeiten, die sich aus den Veröffentlichungsrechten aller Informationen auf seinem Konto ergeben, verantwortlich.

Aufklärung und Information des Betroffenen über personenbezogene Daten

Unser Unternehmen informiert die Eigentümer personenbezogener Daten gemäß Artikel 10 des KVG-Gesetzes beim Erfassen personenbezogener Daten. In diesem Zusammenhang informiert das Unternehmen darüber, zu welchem Zweck die personenbezogenen Daten verarbeitet werden, an wen und zu welchem Zweck die verarbeiteten personenbezogenen Daten weitergegeben werden können, über die Methode und den rechtlichen Grund der Datenerhebung sowie über die Rechte, die den Eigentümern personenbezogener Daten zustehen.

In Artikel 20 der Verfassung wird festgestellt, dass jeder das Recht hat, über die ihn betreffenden persönlichen Daten informiert zu werden. In diesem Zusammenhang wird in Artikel 11 des KVK-Gesetzes das Recht des Inhabers persönlicher Daten auf „Informationsanfrage“ angegeben. Unser Unternehmen stellt in diesem Rahmen gemäß Artikel 20 der Verfassung und Artikel 11 des KVK-Gesetzes die erforderliche Information bereit, falls der Inhaber persönlicher Daten eine Informationsanfrage stellt.

Zwecke der Verarbeitung personenbezogener Daten

Ihre Gesundheitsdaten sowie besondere Kategorien personenbezogener Daten und personenbezogene Daten im Allgemeinen können vom Unternehmen für die im Folgenden aufgeführten Zwecke und in Verbindung mit diesen, einschließlich, aber nicht beschränkt auf, in eingeschränkter und angemessener Weise verarbeitet werden;

• Ihr Vorname, Nachname, türkische Identitätsnummer, vorläufige türkische Identitätsnummer, Reisepassnummer, Geburtsort und -datum, Familienstand, Geschlecht, Versicherungs- oder Patientenprotokollnummer und andere identifizierende Daten von Ihnen.
• Ihre Adresse, Telefonnummer, E-Mail-Adresse
• Ihre Testergebnisse, Labor- und Bildgebungsbefunde, Untersuchungsergebnisse, Rezeptinformationen sowie im Allgemeinen alle während der Durchführung medizinischer Diagnose-, Behandlungs- und Pflegedienstleistungen erhobenen Gesundheits- und Informationen zu Ihrem Sexualleben und darüber hinaus Ihre Gesundheitsdaten,
• Ihre IBAN-Nummer, Ihre Kreditkarteninformationen,
• Während Ihres Besuchs in unserem Medizinzentrum werden die Bilder und Tonaufnahmen Ihres überwachten Kamerasystems gespeichert.
• Ihre aufgezeichneten Telefongespräche, wenn Sie mit der Patientenaufnahme/-beratung in Kontakt treten,
• Ihre Daten in Bezug auf private Krankenversicherung zum Zwecke der Finanzierung und Planung von Gesundheitsdiensten

Unser Unternehmen verarbeitet personenbezogene Daten ausschließlich zu den Zwecken und unter den Bedingungen, die in Absatz 2 von Artikel 5 und Absatz 3 von Artikel 6 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten angegeben sind.

Diese Zwecke und Bedingungen;

• Die ausdrückliche gesetzliche Voraussetzung für die Verarbeitung Ihrer personenbezogenen Daten durch das Unternehmen im Zusammenhang mit der jeweiligen Tätigkeit,
• Die Verarbeitung Ihrer personenbezogenen Daten durch unser Unternehmen ist direkt mit dem Abschluss oder der Erfüllung eines Vertrags verbunden und erforderlich,
• Die Verarbeitung Ihrer personenbezogenen Daten ist erforderlich, damit unser Unternehmen seine gesetzlichen Verpflichtungen erfüllen kann,
• Vorausgesetzt, dass Ihre personenbezogenen Daten von Ihnen offengelegt wurden; Verarbeitung durch unser Unternehmen ist auf den Zweck der Offenlegung beschränkt,
• Die Verarbeitung Ihrer personenbezogenen Daten durch unser Unternehmen ist erforderlich, um die Rechte unseres Unternehmens oder Ihre Rechte oder die Rechte Dritter zu schaffen, zu nutzen oder zu schützen,
• Unter der Bedingung, dass die grundlegenden Rechte und Freiheiten der Betroffenen nicht verletzt werden, ist die Verarbeitung personenbezogener Daten zur Wahrung der berechtigten Interessen unseres Unternehmens erforderlich,
• Wenn die Verarbeitung personenbezogener Daten durch unser Unternehmen erforderlich ist, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer anderen Person zu schützen, und die betroffene Person in diesem Fall aufgrund tatsächlicher Unmöglichkeit oder rechtlicher Ungültigkeit ihre Einwilligung nicht erklären kann,
• Verarbeitung personenbezogener Daten besonderer Kategorie des Dateninhabers außer Gesundheit und Sexualleben, soweit es gesetzlich vorgesehen ist
• Die Verarbeitung besonderer Kategorien personenbezogener Daten über die Gesundheit und das Sexualleben der betroffenen Person durch Personen, die zur Verschwiegenheit verpflichtet sind, oder durch zuständige Behörden und Einrichtungen zum Zweck des Schutzes der öffentlichen Gesundheit, der präventiven Medizin, der medizinischen Diagnose, der Behandlung und Pflege, der Planung und Verwaltung von Gesundheitsleistungen und deren Finanzierung.

Unter den oben genannten Bedingungen kann unser Unternehmen personenbezogene Daten für die folgenden Zwecke verarbeiten, ohne darauf beschränkt zu sein:

• Schutz der öffentlichen Gesundheit, Präventivmedizin, Durchführung medizinischer Diagnose-, Behandlungs- und Betreuungsleistungen,
• Zum Zwecke der Planung und Verwaltung von Gesundheitsdiensten und deren Finanzierung
• Bestätigung Ihrer Identität
• Im Falle einer Terminvereinbarung besteht die Möglichkeit, Sie über den Termin zu informieren.
• Die Beziehung zu den mit dem Medizinzentrum vereinbarten Institutionen bestätigen
• Erfüllung gesetzlicher und regulatorischer Anforderungen
• Die Finanzierung Ihrer Gesundheitsleistungen sowie die Kosten für Untersuchungen, Diagnosen und Behandlungen werden durch die Abteilungen Patientenservices, Finanzwesen und Marketing abgedeckt,
• Die Weitergabe der angeforderten Informationen an das Gesundheitsministerium und andere öffentliche Institutionen und Organisationen gemäß den einschlägigen gesetzlichen Bestimmungen,
• Weitergabe sämtlicher von privaten Versicherungsgesellschaften im Rahmen der Finanzierung von Gesundheitsdiensten geforderten Informationen
• Zur Verbesserung der von uns angebotenen Dienstleistungen analysieren wir Ihre Nutzung der Gesundheitsdienste
• Im Hinblick auf die Durchführung der vom Unternehmen betriebenen kommerziellen Tätigkeiten werden die erforderlichen Arbeiten von unseren zuständigen Abteilungen durchgeführt und die damit verbundenen Geschäftsprozesse umgesetzt;
• Planung und Durchführung der Geschäftstätigkeiten und der Sicherstellung der Geschäftskontinuität,
• Verfolgung von Finanz- und/oder Buchhaltungsgeschäften,
• Übermittlung von Informationen an zuständige Behörden aufgrund gesetzlicher Anforderungen,
• Planung und Durchführung der Aktivitäten der Unternehmenskommunikation,
• Die Gewährleistung der Durchführung der Personalpolitik unseres Unternehmens;
• Die Gewährleistung der rechtlichen und kommerziellen Sicherheit unseres Unternehmens und der Personen, die in einer Geschäftsbeziehung mit unserem Unternehmen stehen;
• Durchführung von Zufriedenheitsbewertungsaktivitäten für unsere bestehenden Kunden, Organisation und Eventmanagement,
• Durchführung von Arbeits- und Gesundheitsschutzmaßnahmen,
• Durchführung von Informations- und physikalischen Sicherheitsprozessen
• Die Bestätigung der Informationen der Person, die über unsere Unternehmenswebsite und mobilen Anwendungen Transaktionen durchführt,

Löschung, Vernichtung oder Anonymisierung personenbezogener Daten

Vorbehaltlich der Bestimmungen anderer Gesetze über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten löscht, vernichtet oder anonymisiert das Unternehmen die personenbezogenen Daten von Amts wegen oder auf Antrag des Betroffenen im Rahmen der im Verfahren BY.PR.004 zur Informationssicherheit und zum Schutz personenbezogener Daten genannten Grundsätze, wenn die Gründe, die ihre Verarbeitung erforderlich machen, trotz Einhaltung dieses Gesetzes und anderer gesetzlicher Bestimmungen entfallen.

Löschung personenbezogener Daten; ist der Vorgang, durch den personenbezogene Daten für die betreffenden Nutzer auf keine Weise mehr zugänglich und nicht wiederverwendbar gemacht werden.

Die Löschung der Daten ist der Vorgang, bei dem personenbezogene Daten für niemanden zugänglich, nicht wiederherstellbar und nicht erneut verwendbar gemacht werden.

Durch die Anonymisierung der Daten wird sichergestellt, dass die personenbezogenen Daten selbst dann, wenn sie mit anderen Daten abgeglichen werden, in keiner Weise einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Übermittlung personenbezogener Daten

Im Rahmen der angegebenen Zwecke verarbeitete personenbezogene Daten werden gemäß den grundlegenden Prinzipien des KVKK und unter Berücksichtigung der in den Artikeln 8 und 9 des KVKK genannten Bedingungen und Zwecke der Datenverarbeitung verarbeitet,

• Gesundheitsministerium und untergeordnete Einheiten
• Die Vertreter, denen Sie Berechtigungen erteilt haben,
• Private Versicherungsgesellschaften,
• Soziale Sicherungseinrichtung,
• Generaldirektion für Sicherheit und andere Strafverfolgungsbehörden,
• Generaldirektion für Bevölkerung
• Türkischer Apothekerverband,
• Gerichte und alle Arten von Justizbehörden, zentrale und sonstige Dritte,
• Anwälte,
• Für medizinische Diagnose und Behandlung arbeiten wir mit Laboren, medizinischen Zentren, Rettungsdiensten, medizinischen Geräten und Einrichtungen der Gesundheitsversorgung zusammen.
• Zum Zweck der Bereitstellung der Dienstleistungen nur eingeschränkt unsere Lieferanten,

kann geteilt werden.

Übermittlung personenbezogener Daten ins Ausland

Unser Unternehmen kann im Rahmen rechtmäßiger Zwecke der Verarbeitung personenbezogener Daten unter Einhaltung der erforderlichen Sicherheitsmaßnahmen die personenbezogenen Daten und besonderen Kategorien personenbezogener Daten der betroffenen Person an Dritte im Ausland übertragen. Die personenbezogenen Daten werden von unserem Unternehmen entweder in Länder mit ausreichendem Schutz übertragen, die von der KVK-Behörde als solche anerkannt wurden („Länder mit ausreichendem Schutz“) oder, falls kein ausreichender Schutz vorhanden ist, in Länder, in denen die für die Verarbeitung Verantwortlichen in der Türkei und im betreffenden Ausland schriftlich ausreichenden Schutz garantieren und die Genehmigung der KVK-Behörde vorliegt („Länder, in denen der für die Verarbeitung Verantwortliche ausreichenden Schutz garantiert“). Unser Unternehmen handelt in diesem Zusammenhang in Übereinstimmung mit den in Artikel 9 des KVK-Gesetzes vorgesehenen Bestimmungen.

Gebäude, Einrichtungen, Eingänge sowie personenbezogene Datenverarbeitungsaktivitäten innerhalb und Besucher der Internetseite

• Die vom Unternehmen an den Eingängen und innerhalb der Einrichtung durchgeführten Tätigkeiten zur Verarbeitung personenbezogener Daten werden im Einklang mit der Verfassung, dem KVG-Gesetz und den entsprechenden anderen Rechtsvorschriften durchgeführt.
• Im Rahmen der von unserem Unternehmen zur Gewährleistung der Sicherheit durchgeführten Maßnahmen werden in den Gebäuden und Anlagen unseres Unternehmens Überwachungsaktivitäten mittels Sicherheitskameras sowie die Verarbeitung personenbezogener Daten zur Nachverfolgung des Ein- und Ausgangs von Gästen durchgeführt.
• Durch die Verwendung von Überwachungskameras und die Aufzeichnung der Ein- und Ausgänge von Gästen wird durch unser Unternehmen eine Verarbeitung personenbezogener Daten durchgeführt.
• Die Überwachungstätigkeit des Unternehmens durch Sicherheitskameras dient dem Zweck, die Interessen des Unternehmens und anderer Personen in Bezug auf die Sicherheit zu schützen, und in diesem Zusammenhang handelt unser Unternehmen in Übereinstimmung mit der Verfassung, dem KVKK-Gesetz und den einschlägigen anderen Vorschriften.
• An den Eingängen zu den Gebäuden und Anlagen unseres Unternehmens sowie innerhalb der Anlagen werden durch Überwachungsanlagen die Bildaufnahmen unserer Besucher erfasst.
• Unser Unternehmen verfolgt im Rahmen der Überwachungstätigkeiten mit Sicherheitskameras die Ziele, die Qualität der angebotenen Dienstleistungen zu verbessern, deren Zuverlässigkeit sicherzustellen, die Sicherheit des Unternehmens, der Kunden und anderer Personen zu gewährleisten und die Interessen der Kunden im Hinblick auf die erhaltenen Dienstleistungen zu schützen.
• Die von unserem Unternehmen zu Sicherheitszwecken durchgeführte Kameraüberwachung erfolgt in Übereinstimmung mit den Bestimmungen des KVKK-Gesetzes. Die von unserem Unternehmen durchgeführte Kameraüberwachung wird im Einklang mit dem Gesetz über private Sicherheitsdienste und den entsprechenden Vorschriften fortgesetzt.
• Nur eine begrenzte Anzahl von Unternehmensmitarbeitern hat Zugriff auf digital gespeicherte und aufbewahrte Aufzeichnungen. Die wenigen Personen mit Zugriff erklären mit einer Vertraulichkeitsvereinbarung, dass sie die Vertraulichkeit der auf die zugegriffenen Daten wahren.
• werden von unserem Unternehmen gemäß Artikel 12 des KVKK-Gesetzes die notwendigen technischen und administrativen Maßnahmen getroffen, um die Sicherheit der durch die Kameraüberwachung erhaltenen personenbezogenen Daten zu gewährleisten.

Abgesehen von der oben erwähnten Kamerarecording-Tätigkeit verarbeitet unser Unternehmen personenbezogene Daten zum Zweck der Sicherheit und für die in dieser Richtlinie genannten Zwecke, um den Ein- und Ausgang von Gästen in den Gebäuden und Anlagen unseres Unternehmens zu überwachen.

• Bei Personen, die als Gäste in die Gebäude unseres Unternehmens kommen, werden Vor- und Nachnamen erhoben, und die betreffenden personenbezogenen Dateninhaber werden in diesem Zusammenhang durch Texte, die im Unternehmen ausgehängt oder auf andere Weise den Gästen zugänglich gemacht werden, aufgeklärt. Die im Rahmen der Gästeein- und -ausgangsüberwachung erhobenen Daten werden ausschließlich zu diesem Zweck verarbeitet oder die betreffenden personenbezogenen Daten werden in physischer Form im Datenerfassungssystem gespeichert.
• Zur Gewährleistung der Sicherheit durch unser Unternehmen und zu den in diesem Verfahren genannten Zwecken kann Besuchern, die dies während ihres Aufenthalts in unseren Gebäuden und Anlagen wünschen, Internetzugang bereitgestellt werden. In diesem Fall werden die Protokolldaten Ihrer Internetzugänge gemäß dem Gesetz Nr. 5651 und den auf diesem Gesetz basierenden zwingenden Vorschriften aufgezeichnet; diese Aufzeichnungen werden nur auf Antrag zuständiger öffentlicher Stellen oder zur Erfüllung unserer diesbezüglichen rechtlichen Verpflichtungen im Rahmen interner Prüfungsprozesse innerhalb des Unternehmens verarbeitet.
• Innerhalb dieses Rahmens haben nur eine begrenzte Anzahl von Mitarbeitern des Unternehmens Zugriff auf die dabei erhobenen Protokolldaten. Die genannten Mitarbeiter des Unternehmens, die Zugriff auf diese Aufzeichnungen haben, greifen auf diese nur zu, um Anfragen oder Prüfungsprozesse von zuständigen öffentlichen Institutionen zu bearbeiten, und teilen sie mit rechtlich befugten Personen. Die begrenzte Anzahl von Personen, die Zugriff auf die Aufzeichnungen haben, erklärt mit einer Vertraulichkeitsvereinbarung, dass sie die Vertraulichkeit der Daten, auf die sie zugreifen, wahren werden.
• Besucher der Webseite werden über die Cookie-Richtlinie aufgeklärt.

Kategorien personenbezogener Daten

• Identität (Vorname und Nachname, Name von Mutter und Vater, Mädchenname der Mutter, Geburtsdatum, Geburtsort, Familienstand, Seriennummer des Personalausweises, türkische Identitätsnummer usw.)
• Kommunikation (Adressnummer, E-Mail-Adresse, Korrespondenzadresse, registrierte elektronische Postadresse (KEP), Telefonnummer usw.)
• Standort (Informationen über den Aufenthaltsort)
• Persönliche Daten (Gehaltsinformationen, Disziplinaruntersuchungen, Ein- und Austrittsdokumente, Vermögensangaben, Lebenslaufinformationen, Leistungsbeurteilungsberichte usw.)
• Rechtlicher Vorgang (wie Informationen in der Korrespondenz mit Justizbehörden, Informationen in der Gerichtsakte)
• Kundenoperation (wie Callcenter-Aufzeichnungen, Rechnungen, Schuldscheine, Scheckinformationen, Informationen auf Kassenzetteln, Bestellinformationen, Anfrageninformationen)
• Physische Sicherheit des Raums (Ein- und Ausgangsregistrierungsinformationen von Mitarbeitern und Besuchern, Kameraaufzeichnungen usw.)
• Transaktionssicherheit (wie IP-Adresseninformationen, An- und Abmeldedaten von Websites, Benutzername und Passwortinformationen)
• Risikomanagement (wie für die Verwaltung von geschäftlichen, technischen und administrativen Risiken verarbeitete Informationen)
• Finanzen (Bilanzinformationen, Informationen zur finanziellen Leistung, Kredit- und Risikoinformationen, Vermögensinformationen usw.)
• Berufserfahrung (Abschlussinformationen, besuchte Kurse, berufsbezogene Ausbildungsinformationen, Zertifikate, Transkriptinformationen usw.)
• Marketing (Informationen über Kaufhistorie, Umfragen, Cookie-Daten, Informationen, die durch Kampagnenarbeit gewonnen wurden)
• Visuelle und auditive Aufnahmen (wie visuelle und auditive Aufnahmen)
• Rasse und ethnische Herkunft (wie Informationen über Rasse und ethnische Herkunft)
• Politische Meinungsinformationen (Informationen, die politische Ansichten angeben, wie Mitgliedschaftsinformationen politischer Parteien)
• Philosophischer Glaube, Religion, Konfession und andere Überzeugungen (Informationen über religiöse Zugehörigkeit, Informationen über philosophische Überzeugungen, Informationen über konfessionelle Zugehörigkeit, Informationen über andere Überzeugungen usw.)
• Kleidung und Erscheinungsbild (Informationen zu Kleidung und Erscheinungsbild)
• Vereinsmitgliedschaft (wie Informationen über die Mitgliedschaft in einem Verein)
• Stiftungsmitgliedschaft (z. B. Informationen zur Stiftungsmitgliedschaft)
• Gewerkschaftsmitgliedschaft (wie Angaben zur Gewerkschaftsmitgliedschaft)
• Gesundheitsinformationen (Informationen über Behinderungen, Blutgruppeninformationen, persönliche Gesundheitsdaten, verwendete Geräte und Prothesen)
• Sexuelles Leben (Informationen zum sexuellen Leben usw.)
• Strafverfolgung und Sicherheitsmaßnahmen (Informationen zur Strafverfolgung, Informationen zu Sicherheitsmaßnahmen usw.)
• Biometrische Daten (Handflächeninformationen, Fingerabdruckinformationen, Netzhaut-Scan-Informationen, Gesichtserkennungsinformationen usw.)
• Genetische Daten (wie genetische Daten)
• Andere Informationen (wie vom Benutzer festgelegte Datentypen)

Gruppen betroffener Personen

• Bewerber
• Mitarbeiter
• Proband
• Die in der Nachricht erwähnte Person
• Aktionär/Partner
• Potenzieller Produkt- oder Dienstleistungsempfänger
• Prüfungskandidat
• Praktikant
• Lieferantenmitarbeiter
• Lieferantenbeauftragter
• Empfänger von Produkten oder Dienstleistungen
• Elternteil / Vormund / Vertreter
• Besucher
• Andere

Verarbeitung personenbezogener Daten - Technische und administrative Maßnahmen zu deren Schutz

Das Unternehmen ergreift alle erforderlichen technischen und administrativen Maßnahmen, um das angemessene Sicherheitsniveau zum Schutz personenbezogener Daten zu gewährleisten. Die in Artikel 12 des KVKK vorgesehenen Maßnahmen sind folgende:

• Verhinderung der unrechtmäßigen Verarbeitung personenbezogener Daten,
• Verhinderung des unrechtmäßigen Zugriffs auf personenbezogene Daten,
• Sicherstellung der Aufbewahrung personenbezogener Daten

Als Verantwortlicher für die Daten hat das Unternehmen den notwendigen Prozess eingeleitet, um die folgenden technischen und administrativen Maßnahmen zur Verbesserung des KVKK-Konformitätsprozesses umzusetzen.

• Berechtigungsmatrix
• Berechtigungskontrolle
• Zugriffsprotokolle
• Benutzerkontoverwaltung
• Netzwerksicherheitsanwendung
• Sicherheit Verschlüsselung Penetration
• Protokolldaten-Datenmaskierung
• Software zur Verhinderung von Datenverlust
• Backup Firewalls
• Aktuelle Antiviren-Systeme
• Schlüsselverwaltung für Löschen, Vernichten oder Anonymisierung
• Anlegen eines Verzeichnisses der Verarbeitung personenbezogener Daten
• Unternehmensrichtlinien (Zugang, Informationssicherheit, Nutzung, Aufbewahrung und Vernichtung usw.) Verträge (Verantwortlicher für Daten - Verantwortlicher für Daten, Verantwortlicher für Daten - Auftragsverarbeiter)
• Vertraulichkeitsvereinbarungen
• Interne periodische und/oder zufällige Überprüfungen der Einrichtung
• Risikoanalysen
• Arbeitsvertrag, Disziplinarordnung (Ergänzung um gesetzeskonforme Bestimmungen) Unternehmenskommunikation (Krisenmanagement, Verfahren zur Information von Komitee und betroffenen Personen, Reputationsmanagement usw.)
• Schulungs- und Sensibilisierungsmaßnahmen (Informationssicherheit und Gesetz) Meldung an das Register der Verantwortlichen für Daten (VERBİS)

Rechte der betroffenen Person gemäß Artikel 11 des KVG-Gesetzes

Als betroffene Personen können Sie Ihre Anfragen bezüglich Ihrer Rechte über die im vorliegenden Aufklärungsdokument zum Schutz personenbezogener Daten festgelegten Methoden an unser Unternehmen übermitteln; unser Unternehmen wird die Anfrage kostenfrei je nach Art der Anfrage spätestens innerhalb von 30 (dreißig) Tagen bearbeiten. Sollte der Rat für den Schutz personenbezogener Daten eine Gebühr festlegen, wird die vom Unternehmen festgelegte Gebühr erhoben.

In diesem Rahmen haben die Inhaber personenbezogener Daten;

• Erfahren, ob personenbezogene Daten verarbeitet werden oder nicht
• Anforderung von Informationen, wenn personenbezogene Daten verarbeitet wurden,
• Erkenntnis über den Zweck der Verarbeitung personenbezogener Daten und ob diese ihrer Bestimmung entsprechend verwendet werden,
• Kenntnis der Dritten, an die personenbezogene Daten innerhalb oder außerhalb des Landes weitergegeben werden,
• Bei unvollständig oder fehlerhaft verarbeiteten personenbezogenen Daten deren Berichtigung verlangen und in diesem Zusammenhang die Mitteilung der vorgenommenen Verarbeitung an Dritte, an die die personenbezogenen Daten weitergegeben wurden, verlangen,
• Die Löschung oder Vernichtung personenbezogener Daten zu verlangen, auch wenn diese gemäß dem KVG-Gesetz und den Bestimmungen anderer einschlägiger Gesetze verarbeitet wurden, sobald die Gründe für deren Verarbeitung entfallen, und die Mitteilung der diesbezüglich durchgeführten Verarbeitung an Dritte zu verlangen, an die die personenbezogenen Daten weitergegeben wurden,
• Widerspruch gegen ein ausschließlich durch automatische Systeme aufgrund der verarbeiteten Daten zuungunsten der Person entstehendes Ergebnis,
• Im Falle von Schäden durch unrechtmäßige Verarbeitung personenbezogener Daten besteht das Recht, die Beseitigung des Schadens zu verlangen.

Als betroffene Person müssen Sie Ihre Anspruchsrechte schriftlich an unser Unternehmen übermitteln. In diesem Rahmen empfehlen wir Ihnen, für die Anträge, die Sie gemäß Artikel 11 des KV Datenschutzgesetzes an unser Unternehmen richten, das Dokument "Antragsformular für Betroffeneninformationen" zu verwenden, das unter dem Titel Schutz personenbezogener Daten auf unserer Website verfügbar ist. Dies dient dazu, Ihre Anträge effizient und schnell zu bearbeiten. Bitte stellen Sie die erforderlichen Dokumente/Informationen, die je nach Ihrem Antrag benötigt werden, sowie die zur Identifizierung erforderlichen Unterlagen persönlich zu oder senden Sie sie per Einschreiben mit Rückschein. Darüber hinaus können Sie das Betroffeneninformationsantragsformular auch als Online-Benutzer (mit der zuvor bei unserem Unternehmen angegebenen und im System registrierten E-Mail-Adresse) über .............................com.tr an uns übermitteln.

Feststellung

Das Personal der Einrichtung meldet Vorfälle bei ungewolltem Verlust oder Auffinden von Akten, Problemen bei der Ausführung des Antivirenprogramms, unbeabsichtigt ausgeführten Programmen oder geöffneten Fenstern, unbefugtem Zugang von Personal zu kritischen Informationsverarbeitungseinrichtungen, der Anfälligkeit geheimer Dateien für externe Eingriffe, Nichtbefolgung der festgelegten Verfahren usw.

Bewertung und Berichterstattung

Wenn Informationssicherheitsvorfälle mit dem Formular İO.FR.001 zur Meldung unerwünschter Ereignisse an die Qualitätsmanagementeinheit gemeldet werden, bewertet die Qualitätsmanagementeinheit den Vorfall und informiert das obere Management mittels Bericht, falls sie zu dem Schluss kommt, dass ein Verstoß vorliegt.

Der Bericht enthält mindestens die folgenden Überschriften;

• Gesammelte Beweise.
• Beweisart.
• Ort der Beweissicherung.
• Beweisdatum und -zeit.
• Wenn eine korrigierende Maßnahme zur Bearbeitung des Vorfalls eingeleitet wurde, das Formular für korrigierende Maßnahmen
• Datum und Uhrzeit des festgestellten Verstoßes.

Bei der Berichterstattung über Informationssicherheitsvorfälle sind folgende Punkte zu beachten:

• Physische Sicherheitsregelungen und Zugangsinformationen zu Umgebungen.
• Unwirksame Sicherheitskontrolle.
• Verletzung des Zustands der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.
• Menschliche Fehler.
• Unkontrollierte Software- oder Hardware-Systemänderungen.
• Fehler.
• Zugangskontrolle.
• Nichtübereinstimmung mit Richtlinien und Verfahren.
• Von System-Sicherheitssoftware erkannte Schwachstellen.

Die für die oben genannten Rubriken eröffneten Datensätze werden in den Qualitätsmanagement-Bewertungssitzungen bewertet. Verstöße werden im Rahmen der Risikobewertung gemessen.

Der Bewertungsmechanismus ist wie folgt:

• Bei der Bewertung von Verstößen werden die Anzahl der Vorfälle und die Auswirkungen berücksichtigt.
• Daten aus Vorfällen von Verstößen werden als Messgröße bei Risikobewertungen verwendet.
• Der Wirkungswert wird in Informationssicherheitsbesprechungen diskutiert und entsprechend der Anzahl der Aufzeichnungen und der Wirkung der Aufzeichnungen auf die Risikowahrscheinlichkeitswerte übertragen.
• Wenn die Anzahl der erfassten Datensätze am Jahresende um 7 % bis 10 % steigt, erhalten die Benutzer zusätzlich Sensibilisierungsschulungen.
• Falls es am Jahresende zu einem Anstieg der Anzahl der Einträge um 11 % bis 30 % kommt, wird ein zusätzliches Treffen zur Überprüfung der Verfahren abgehalten.
• Wenn die Anzahl der erfassten Datensätze am Jahresende um 31 % oder mehr steigt, werden Sensibilisierungsschulungen, Verfahrensaktualisierungen, Investitions- und Strukturänderungsentscheidungen getroffen.

Eingriff

• Für keine Schwachstelle, die Beweise zerstören oder beschädigen könnte, wird ein Schließvorgang durchgeführt.
• Für alle Vorfälle, die durch Kontrollen oder gemeldete Zustände festgestellt und deren Beweise gesammelt wurden, wird zunächst die Schwachstelle behoben, die den Vorfall verursacht hat.
• Wenn ein Eingriff erforderlich erscheint, wird das Verfahren BY.PR.001 zur Geschäftskontinuität angewendet.

Vorsorgemaßnahmen und Erfahrungen sammeln

Notwendige Maßnahmen werden ergriffen, um festgestellte und deren Beweise gesammelte Vorfälle von Informationssicherheitsverletzungen künftig zu verhindern. Alle vorkommenden Informationssicherheitsverletzungen werden zur Erfahrungssammlung überprüft, und die gewonnenen Erkenntnisse werden dokumentiert. Erfahrungssammlung zielt darauf ab, jede Verletzung nicht zu wiederholen oder, falls sie erneut auftritt, das Problem schneller zu lösen.

Zu Maßnahmen zur Verhinderung eines Sicherheitsvorfalls kann einer der folgenden Vorgänge angewendet werden:

• Die erstellten Aufzeichnungen werden überprüft und die notwendigen Informationen für Lösungswege erfasst.
• Für Vorfälle, die durch falsche Anwendungen verursacht werden, werden unbedingt schriftliche Verfahren erstellt.
• Für Ereignisse, die aus Verfahren resultieren, werden die Verfahren erneut überprüft und korrigiert.
• Es wird überprüft, ob ein Risikoeintrag für das aufgetretene Informationssicherheitsereignis vorhanden ist, falls ja, wird das Risiko erneut bewertet, falls nein, wird ein Risikoeintrag zur Bewertung erstellt.
• Bei zugriffsbedingten Problemen werden die Zugriffe erneut überprüft, andere ähnliche Zugriffsberechtigungen werden ebenfalls kontrolliert.
• Bei Vorfällen, die durch Software und Anwendungen verursacht wurden, werden Updates überprüft, der Vorfall wird durch Methoden wie Schwachstellenbehebung, Aktualisierung oder Patch-Entwicklung geschlossen.
• Für Probleme, die durch physische Geräte verursacht werden, werden die ergriffenen Maßnahmen auch auf andere ähnliche Geräte angewendet.
• Bei Vorfällen, die durch schädliche Codes verursacht werden, wird die Ursache des Problems identifiziert und die Angemessenheit der Sicherheitssoftware überprüft. Die ergriffenen Maßnahmen werden unbedingt auf alle Systeme angewendet.

Aufzeichnung und Beweissicherung

• In der Phase der Aufzeichnung und Beweissicherung wird zunächst geprüft, ob die Integrität der Aufzeichnungen, anhand derer das Ereignis und die Verantwortlichen festgestellt werden können, nicht beeinträchtigt ist.
• Nur vollständig intakte Aufzeichnungen werden als Beweis verwendet.
• Die zur Informationssicherheitsverletzung gesammelten Beweise werden 3 Jahre lang aufbewahrt.
• Im Falle der Feststellung eines Informationssicherheitsvorfalls werden, sofern vorhanden, unbedingt Kameraufzeichnungen, Zugriffsdaten, Kontrollaufzeichnungen, von System-Sicherheitssoftware geführte Protokolle, für die Lösung von Problemen erforderliche Kostenaufzeichnungen sowie Aufzeichnungen, die für die Bewertung von Informationssicherheitsvorfällen benötigt werden und zukünftige Ereignisse hinsichtlich Häufigkeit, Schaden und Kostenrahmen bestimmen können, aufbewahrt.

Verbesserung

• Mitarbeiter werden im Bereich Informationssicherheit und Schutz personenbezogener Daten entsprechend geschult.
• Die im Informationsmanagementsystem verwendeten Passwörter stimmen mit den Passwort-Richtlinien des Ministeriums überein.
• Verantwortliche und Benutzer des Informationsmanagementsystems unterzeichnen eine Vertraulichkeitsvereinbarung.
• Es wird eine Risikoanalyse in Bezug auf physische Gefahren für das Informationsmanagementsystem, Software- und Hardwareprobleme, Informationssicherheit, Informationsvertraulichkeit, Schutz personenbezogener Daten sowie Benutzerfehler durchgeführt werden.
• Bei Verstößen gegen die Informationssicherheit werden korrigierende Maßnahmen durchgeführt und eine Situationsanalyse bewertet, Verbesserungen vorgenommen und nach der Verbesserung die oberste Führungsebene sowie die Mitarbeiter informiert.