Προστασία προσωπικών δεδομένων

Βασικές Αρχές στην Επεξεργασία Προσωπικών Δεδομένων:

Επεξεργασία σύμφωνα με το νόμο και τον κανόνα της ειλικρίνειας

Η εταιρεία μας ενεργεί κατά την επεξεργασία προσωπικών δεδομένων σύμφωνα με τις αρχές που προβλέπονται από τους νομικούς κανονισμούς και σύμφωνα με τον γενικό κανόνα εμπιστοσύνης και ειλικρίνειας.

Ορθότητα και, εάν χρειάζεται, επικαιροποίηση

Λαμβάνονται τα αναγκαία μέτρα ώστε τα προσωπικά δεδομένα που υποβάλλονται σε επεξεργασία από την Εταιρεία να είναι ακριβή και επικαιροποιημένα, και παρέχονται οι απαραίτητες ενημερώσεις στους κατόχους των δεδομένων για να διασφαλίζεται ότι τα δεδομένα που υποβάλλονται σε επεξεργασία αντικατοπτρίζουν την πραγματική κατάσταση.

Επεξεργασία για συγκεκριμένους, σαφείς και νόμιμους σκοπούς

Η εταιρεία μας προσδιορίζει με σαφή και ορισμένο τρόπο τον νόμιμο και σύμφωνα με το δίκαιο σκοπό επεξεργασίας προσωπικών δεδομένων. Η εταιρεία μας επεξεργάζεται τα προσωπικά δεδομένα όσο είναι απαραίτητο και συνδεδεμένα με τις παρεχόμενες υπηρεσίες. Ο σκοπός για τον οποίο θα υποβληθούν σε επεξεργασία τα προσωπικά δεδομένα από την εταιρεία μας καθορίζεται πριν από την έναρξη της δραστηριότητας επεξεργασίας προσωπικών δεδομένων.

Σύνδεση με τον σκοπό για τον οποίο επεξεργάζονται, περιορισμένη και μετρημένη

Τα δεδομένα από την εταιρεία υποβάλλονται σε επεξεργασία σύμφωνα με τον Νόμο για την Προστασία Προσωπικών Δεδομένων (KVKK) και τη σχετική νομοθεσία, ανά κατηγορία δεδομένων, κατά τρόπο που επιτρέπει την επίτευξη των καθορισμένων σκοπών, σχετίζονται με την επίτευξη του σκοπού και είναι μετρημένα, ενώ αποφεύγεται η επεξεργασία προσωπικών δεδομένων που δεν είναι απαραίτητα.

Διατήρηση για όσο διάστημα προβλέπεται από τη σχετική νομοθεσία ή για όσο είναι αναγκαίο για τον σκοπό για τον οποίο επεξεργάζονται

Τα προσωπικά δεδομένα που υποβάλλονται σε επεξεργασία από την Εταιρεία διατηρούνται μόνο για το χρονικό διάστημα που προβλέπεται από την ισχύουσα νομοθεσία ή για όσο διάστημα είναι απαραίτητο για τον σκοπό για τον οποίο υποβλήθηκαν σε επεξεργασία. Στο πλαίσιο αυτό, η Εταιρεία συμμορφώνεται με τις προθεσμίες που προβλέπονται από την ισχύουσα νομοθεσία για τη διατήρηση των δεδομένων, εφόσον υπάρχει τέτοια προθεσμία και, εάν δεν υπάρχει, διατηρεί τα δεδομένα μόνο για το χρονικό διάστημα που είναι αναγκαίο για τον σκοπό για τον οποίο υποβλήθηκαν σε επεξεργασία. Η Εταιρεία δεν διατηρεί δεδομένα βασιζόμενη στην πιθανότητα μελλοντικής χρήσης.

• Στο πλαίσιο των μέτρων φυσικής ασφάλειας (πόρτες εισόδου και εξόδου, γραφεία, χώροι παράδοσης προϊόντων, ασφάλεια αποθηκών και χρήση καρτών ταυτότητας προσωπικού κ.λπ.), όλοι οι υπάλληλοι τηρούν τους καθορισμένους κανόνες.
• Η προστασία από ιούς και επιτιθέμενους ανήκει στον Υπεύθυνο Πληροφορικής. Ο υπεύθυνος ενημερώνει τη διοίκηση για τον απαραίτητο εξοπλισμό και λογισμικό για προστασία από ιούς και επιτιθέμενους και λαμβάνει τα απαραίτητα μέτρα. Αυτά τα μέτρα περιλαμβάνουν τις ελάχιστες απαιτήσεις που ορίζει το υπουργείο υγείας, οι οποίες περιλαμβάνουν υλικό και λογισμικό όπως λογισμικά αντι-ιικών προγραμμάτων και τείχη προστασίας (firewall). Η ενημέρωση αυτών των λογισμικών ανήκει στον Υπεύθυνο Συστήματος Διαχείρισης Πληροφοριών. Όταν έρθει η ώρα για ενημέρωση, ενημερώνει τη διοίκηση και πραγματοποιεί τις ενημερώσεις.

Διεξαγωγή δραστηριοτήτων επεξεργασίας προσωπικών δεδομένων σύμφωνα με τον KVKK

Ο Νόμος KVKK καθορίζει τους όρους επεξεργασίας των προσωπικών δεδομένων και η Εταιρεία επεξεργάζεται προσωπικά δεδομένα σύμφωνα με τους όρους που αναφέρονται παρακάτω.

Εκτός από τις εξαιρέσεις που αναφέρονται στο νόμο, η Εταιρεία επεξεργάζεται προσωπικά δεδομένα μόνο με τη σαφή συγκατάθεση των κατόχων δεδομένων. Σε περίπτωση που συντρέχουν οι παρακάτω περιπτώσεις που αναφέρονται στο νόμο, τα προσωπικά δεδομένα μπορούν να επεξεργαστούν ακόμη και χωρίς τη σαφή συγκατάθεση του κατόχου.

• Να προβλέπεται σαφώς από τους νόμους,
• Η αναγκαιότητα προστασίας της ζωής ή της σωματικής ακεραιότητας του ίδιου ή άλλου προσώπου για άτομο που δεν μπορεί να εκφράσει τη συγκατάθεσή του λόγω πραγματικής αδυναμίας ή για το οποίο η συγκατάθεση δεν αναγνωρίζεται νομικά,
• Η επεξεργασία προσωπικών δεδομένων που ανήκουν στα μέρη μιας σύμβασης είναι αναγκαία, με την προϋπόθεση ότι σχετίζεται άμεσα με τη σύναψη ή την εκτέλεση μιας σύμβασης.
• Η υποχρεωτικότητα για τον Υπεύθυνο Δεδομένων να εκπληρώνει τη νομική του υποχρέωση,
• Δημόσια κοινοποιημένα από τον ίδιο τον κάτοχο δεδομένων,
• Η επεξεργασία δεδομένων είναι απαραίτητη για την εγκατάσταση, χρήση ή προστασία ενός δικαιώματος,
• Υπό τον όρο να μην βλάπτονται τα θεμελιώδη δικαιώματα και ελευθερίες του κατόχου δεδομένων, η επεξεργασία δεδομένων είναι υποχρεωτική για τα νόμιμα συμφέροντα του υπευθύνου δεδομένων.
• Η Εταιρεία δείχνει ιδιαίτερη ευαισθησία κατά την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων, των οποίων η προστασία θεωρείται πιο κρίσιμη από διάφορες απόψεις για τους υποκειμένους των δεδομένων. Στο πλαίσιο αυτό, εφόσον ληφθούν τα επαρκή μέτρα που καθορίζονται από τη Μονάδα Διαχείρισης Ποιότητας, αυτά τα δεδομένα δεν επεξεργάζονται χωρίς τη ρητή συγκατάθεση των υποκειμένων των δεδομένων. Ωστόσο, ειδικές κατηγορίες προσωπικών δεδομένων εκτός των δεδομένων υγείας και σεξουαλικής ζωής μπορούν επίσης να επεξεργάζονται χωρίς τη ρητή συγκατάθεση του υποκειμένου των δεδομένων σε περιπτώσεις που προβλέπονται από τη νομοθεσία.

Όσον αφορά δεδομένα που σχετίζονται με την υγεία και τη σεξουαλική ζωή, μπορούν να επεξεργαστούν χωρίς τη ρητή συγκατάθεση του ατόμου, υπό τον όρο ότι λαμβάνονται επαρκή μέτρα και υφίστανται οι παρακάτω αιτίες:

• Η προστασία της δημόσιας υγείας,
• Προληπτική ιατρική,
• Ιατρική διάγνωση,
• Η εκτέλεση υπηρεσιών θεραπείας και φροντίδας,
• Σχεδιασμός και διαχείριση των υγειονομικών υπηρεσιών και της χρηματοδότησής τους.

Η παροχή διευκρινίσεων σχετικά με τη νόμιμη επεξεργασία προσωπικών δεδομένων που διενεργείται από την εταιρεία και τα συστήματα που έχουν υιοθετηθεί για την προστασία των προσωπικών δεδομένων αποσκοπεί στην ενημέρωση των πελατών μας, των υποψήφιων πελατών μας, των εργαζομένων μας, των υποψηφίων εργαζομένων, των υπευθύνων της εταιρείας μας, των επισκεπτών μας, των εργαζομένων και των υπευθύνων των οργανισμών με τους οποίους συνεργαζόμαστε και των τρίτων των οποίων τα προσωπικά δεδομένα επεξεργάζονται, πρωτίστως, από την εταιρεία μας, με στόχο τη διασφάλιση της διαφάνειας.

• Σύμφωνα με την BY.YD.002 Πολιτική Οργανισμού για το Σύστημα Διαχείρισης Πληροφοριών του ιατρικού κέντρου, έχει δημιουργηθεί δομή domain και όλοι οι υπολογιστές λειτουργούν σε κατάσταση "login" στο domain. Οι υπολογιστές που δεν είναι συνδεδεμένοι στο domain απομακρύνονται από το τοπικό δίκτυο και δεν γίνεται ανταλλαγή πληροφοριών μεταξύ των συσκευών στο τοπικό δίκτυο.
• Δεν μπορεί να γίνει ανταλλαγή αρχείων, εκτός από επίσημα έγγραφα, προγράμματα και εκπαιδευτικά έγγραφα μέσω υπολογιστών
• Η πρόσβαση στο διαδίκτυο και οι συνδέσεις χρήσης ηλεκτρονικού ταχυδρομείου ελέγχονται από τη συσκευή τείχους προστασίας που βρίσκεται στο Ιατρικό κέντρο.
• Για όλο το εξουσιοδοτημένο προσωπικό που ξεκινά εργασία στο ιατρικό κέντρο δημιουργείται εταιρικό e-mail.
• Τα email και οι κωδικοί πρόσβασης παρέχονται στο αρμόδιο προσωπικό κατά τη διάρκεια της εκπαίδευσης.
• Ο χρήστης αποδέχεται ότι όλες οι εκφράσεις που διατυπώνει κατά τη διάρκεια του ηλεκτρονικού ταχυδρομείου ανήκουν σε αυτόν. Ο χρήστης είναι υπεύθυνος για την αποστολή μηνυμάτων που μπορούν να θεωρηθούν εγκληματικά, απειλητικά, παράνομα, υβριστικά, προσβλητικά ή δυσφημιστικά, καθώς και για μηνύματα που είναι αντίθετα με την ηθική.
• Ο χρήστης δεν μπορεί να τοποθετεί στο λογαριασμό του υλικό και έγγραφα που αποτελούν νομικό αδίκημα και δεν μπορεί να χρησιμοποιεί εφαρμογές που βλάπτουν άλλους κατόχους λογαριασμών.
• Δεν επιτρέπεται να χρησιμοποιεί κανείς τον διακομιστή ενός άλλου συστήματος ή τον λογαριασμό άλλου χρήστη χωρίς την άδεια του ενδιαφερόμενου για να στείλει μηνύματα.
• Ο χρήστης δεν μπορεί να χρησιμοποιεί τον λογαριασμό του για εμπορικούς ή κερδοσκοπικούς σκοπούς. Δεν μπορεί να στέλνει μαζικά μηνύματα ηλεκτρονικού ταχυδρομείου (SPAM) σε πολλούς χρήστες για σκοπούς διαφήμισης, προώθησης ή ανακοινώσεων.
• Ο χρήστης είναι υπεύθυνος για οποιεσδήποτε νομικές υποχρεώσεις προκύπτουν από τα δικαιώματα δημοσίευσης όλων των πληροφοριών που περιέχονται στον λογαριασμό του.

Ενημέρωση και πληροφόρηση του υποκειμένου των προσωπικών δεδομένων

Η εταιρεία μας, σύμφωνα με το άρθρο 10 του Νόμου περί Προστασίας Προσωπικών Δεδομένων (KVK), ενημερώνει τους κατόχους προσωπικών δεδομένων κατά τη συλλογή προσωπικών δεδομένων. Στο πλαίσιο αυτό, η εταιρεία παρέχει πληροφορίες σχετικά με τον σκοπό επεξεργασίας των προσωπικών δεδομένων, σε ποιούς και για ποιο σκοπό μπορούν να μεταβιβαστούν τα επεξεργασμένα προσωπικά δεδομένα, τη μέθοδο και τη νομική βάση συλλογής προσωπικών δεδομένων καθώς και τα δικαιώματα των κατόχων προσωπικών δεδομένων.

Στο άρθρο 20 του Συντάγματος έχει καθοριστεί ότι κάθε άτομο έχει το δικαίωμα να ενημερώνεται σχετικά με τα προσωπικά του δεδομένα. Στο πλαίσιο αυτό, το άρθρο 11 του Νόμου για την Προστασία των Προσωπικών Δεδομένων περιλαμβάνει την «αίτηση πληροφόρησης» ανάμεσα στα δικαιώματα του υποκειμένου των προσωπικών δεδομένων. Η εταιρεία μας, στο πλαίσιο αυτό, παρέχει την αναγκαία ενημέρωση σε περίπτωση που το υποκείμενο των προσωπικών δεδομένων ζητήσει πληροφορίες, σύμφωνα με το άρθρο 20 του Συντάγματος και το άρθρο 11 του Νόμου για την Προστασία των Προσωπικών Δεδομένων.

Σκοποί Επεξεργασίας Προσωπικών Δεδομένων

Τα δεδομένα υγείας σας, καθώς και τα προσωπικά σας δεδομένα που έχουν ειδική φύση, μπορούν να υποβάλλονται σε επεξεργασία από την Εταιρεία με περιορισμένο και αναλογικό τρόπο, σε σχέση με τους σκοπούς που αναφέρονται παρακάτω, χωρίς να περιορίζονται σε αυτούς.

• Το όνομά σας, το επίθετό σας, ο αριθμός ταυτότητας Τ.Κ., ο προσωρινός αριθμός ταυτότητας Τ.Κ., ο αριθμός διαβατηρίου σας, ο τόπος και η ημερομηνία γέννησής σας, η οικογενειακή σας κατάσταση, το φύλο σας, ο αριθμός ασφάλισης ή ο αριθμός πρωτοκόλλου ασθενούς, καθώς και άλλα στοιχεία ταυτότητάς σας που σας προσδιορίζουν.
• Η διεύθυνσή σας, ο αριθμός τηλεφώνου σας, η διεύθυνση ηλεκτρονικού ταχυδρομείου σας
• Τα αποτελέσματα των εξετάσεών σας, τα εργαστηριακά και απεικονιστικά σας αποτελέσματα, τα δεδομένα της εξέτασής σας, οι πληροφορίες των συνταγών σας, όπως και τα δεδομένα σας που σχετίζονται με την υγεία και τη σεξουαλική ζωή σας κατά την παροχή ιατρικών διαγνώσεων, θεραπείας και φροντίδας και, χωρίς να περιορίζεται σε αυτά, τα δεδομένα υγείας σας,
• Ο αριθμός IBAN σας, τα στοιχεία της πιστωτικής σας κάρτας,
• Κατά τη διάρκεια της επίσκεψής σας στο ιατρικό μας κέντρο, οι εικόνες και η ηχογράφηση από το σύστημα κλειστού κυκλώματος θα καταγραφούν.
• Οι καταγεγραμμένες ηχητικές συνομιλίες σας όταν επικοινωνείτε με τη Γραμματεία/Πληροφορίες Ασθενών,
• Τα δεδομένα σας σχετικά με την ιδιωτική ασφάλιση υγείας για τον σκοπό της χρηματοδότησης και του σχεδιασμού των υπηρεσιών υγείας.

Η εταιρεία μας επεξεργάζεται προσωπικά δεδομένα περιορισμένα στους σκοπούς και τις προϋποθέσεις που αναφέρονται στις διατάξεις της παραγράφου 2 του άρθρου 5 και της παραγράφου 3 του άρθρου 6 του Νόμου για την Προστασία Προσωπικών Δεδομένων αριθ. 6698.

Αυτοί οι σκοποί και οι προϋποθέσεις;

• Η σαφής πρόβλεψη από τους Νόμους για τη διεξαγωγή της σχετικής δραστηριότητας από την Εταιρεία μας όσον αφορά την επεξεργασία των προσωπικών σας δεδομένων,
• Η επεξεργασία των προσωπικών σας δεδομένων από την Εταιρεία μας είναι άμεσα σχετική και αναγκαία για τη σύσταση ή την εκτέλεση μιας σύμβασης,
• Η επεξεργασία των προσωπικών σας δεδομένων είναι υποχρεωτική προκειμένου η Εταιρεία μας να εκπληρώσει τη νομική της υποχρέωση,
• Υπό τον όρο ότι τα προσωπικά σας δεδομένα έχουν καταστεί δημόσια από εσάς· η Εταιρεία μας μπορεί να επεξεργαστεί τα δεδομένα σας περιορισμένα για σκοπούς δημοσιοποίησης,
• Η επεξεργασία των προσωπικών σας δεδομένων από την Εταιρεία μας είναι υποχρεωτική για την εγκαθίδρυση, χρήση ή προστασία των δικαιωμάτων της Εταιρείας μας ή των δικών σας ή τρίτων προσώπων,
• Με την προϋπόθεση να μην βλάπτονται τα θεμελιώδη δικαιώματα και οι ελευθερίες σας, η εταιρεία μας πρέπει να διεξάγει δραστηριότητες επεξεργασίας προσωπικών δεδομένων για τα νόμιμα συμφέροντά της,
• Η επεξεργασία προσωπικών δεδομένων από την εταιρεία μας είναι αναγκαία για την προστασία της ζωής ή της σωματικής ακεραιότητας του κατόχου των προσωπικών δεδομένων ή κάποιου άλλου και, σε αυτήν την περίπτωση, ο κάτοχος των προσωπικών δεδομένων βρίσκεται σε κατάσταση που δεν μπορεί να δώσει τη συγκατάθεσή του λόγω πραγματικής αδυναμίας ή νομικής αδυναμίας.
• Νομοθετικό πλαίσιο για την επεξεργασία ειδικών προσωπικών δεδομένων πέραν της υγείας και της σεξουαλικής ζωής του κατόχου τους,
• Η επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων σχετικά με την υγεία και τη σεξουαλική ζωή του υποκειμένου των δεδομένων γίνεται για την προστασία της δημόσιας υγείας, την προληπτική ιατρική, τη διάγνωση, τη θεραπεία και την παροχή υπηρεσιών υγειονομικής περίθαλψης, καθώς και για τον σχεδιασμό και τη διαχείριση της χρηματοδότησης των υπηρεσιών υγείας, από πρόσωπα υπό υποχρέωση τήρησης απορρήτου ή από εξουσιοδοτημένους οργανισμούς και φορείς.

Υπό τους παραπάνω αναφερόμενους όρους, η Εταιρεία μας μπορεί να επεξεργάζεται προσωπικά δεδομένα για τους εξής σκοπούς, χωρίς να περιορίζεται σε αυτούς:

• Η προστασία της δημόσιας υγείας, πρόληψη στην ιατρική, εκτέλεση υπηρεσιών ιατρικής διάγνωσης, θεραπείας και φροντίδας,
• Με σκοπό τον σχεδιασμό και τη διαχείριση των υγειονομικών υπηρεσιών και της χρηματοδότησής τους
• Επαλήθευση της ταυτότητάς σας
• Σε περίπτωση που κλείσετε ραντεβού, μπορούμε να σας ενημερώσουμε σχετικά με το ραντεβού.
• Να επιβεβαιώνετε τις σχέσεις σας με τους οργανισμούς που έχουν συμφωνία με το ιατρικό κέντρο.
• Η συμμόρφωση με τις νομικές και κανονιστικές απαιτήσεις
• Η χρηματοδότηση των υπηρεσιών υγείας σας, καθώς και η κάλυψη των εξόδων για εξετάσεις, διάγνωση και θεραπεία, από τα τμήματα Υπηρεσιών Ασθενών, Οικονομικών και Μάρκετινγκ,
• Η κοινοποίηση των ζητούμενων πληροφοριών στο Υπουργείο Υγείας και σε άλλους δημόσιους φορείς σύμφωνα με την ισχύουσα νομοθεσία,
• Η κοινοποίηση κάθε είδους πληροφοριών που ζητούν οι ιδιωτικές ασφαλιστικές εταιρείες στο πλαίσιο χρηματοδότησης των υπηρεσιών υγείας.
• Για τη βελτίωση των υπηρεσιών που παρέχουμε, την ανάλυση της χρήσης των υπηρεσιών υγείας
• Για την πραγματοποίηση των εμπορικών δραστηριοτήτων που εκτελεί η εταιρεία, τα σχετικά τμήματα μας εκτελούν τις απαραίτητες εργασίες και διεξάγουν τις σχετικές επιχειρησιακές διαδικασίες.
• Ο σχεδιασμός και η εκτέλεση των δραστηριοτήτων για τη διασφάλιση των επιχειρηματικών δραστηριοτήτων και της επιχειρησιακής συνέχειας,
• Παρακολούθηση οικονομικών και/ή λογιστικών εργασιών,
• Πληροφόρηση σε αρμόδιους οργανισμούς βάσει νομοθεσίας,
• Σχεδιασμός και εκτέλεση δραστηριοτήτων εταιρικής επικοινωνίας,
• Η διασφάλιση της εκτέλεσης των πολιτικών ανθρώπινου δυναμικού της εταιρείας μας;
• Η εξασφάλιση της νομικής και εμπορικής ασφάλειας της εταιρείας μας και των ατόμων που έχουν επιχειρηματικές σχέσεις με την εταιρεία μας;
• Διενέργεια δραστηριοτήτων αξιολόγησης ικανοποίησης για τους υπάρχοντες πελάτες μας, οργάνωση και διαχείριση εκδηλώσεων,
• Η εκτέλεση δραστηριοτήτων υγείας και ασφάλειας στην εργασία,
• Διεκπεραίωση διαδικασιών ασφάλειας πληροφοριών και φυσικής ασφάλειας
• Επιβεβαίωση των πληροφοριών του χρήστη που πραγματοποιεί συναλλαγές μέσω της εταιρικής μας ιστοσελίδας και των εφαρμογών κινητής τηλεφωνίας,

Διαγραφή, Καταστροφή ή Ανωνυμοποίηση Προσωπικών Δεδομένων

Υπό την επιφύλαξη των διατάξεων άλλων νόμων σχετικά με τη διαγραφή, καταστροφή ή ανωνυμοποίηση των προσωπικών δεδομένων, η Εταιρεία διαγράφει, καταστρέφει ή ανωνυμοποιεί τα Προσωπικά Δεδομένα αυτεπάγγελτα ή κατόπιν αιτήματος του Υποκειμένου των Δεδομένων/Σχετικού Ατόμου σύμφωνα με τις αρχές που περιγράφονται στην BY.PR.004 Διαδικασία Ασφάλειας Πληροφοριών και Προστασίας Προσωπικών Δεδομένων, όταν παύουν να υφίστανται οι λόγοι επεξεργασίας, ακόμη και αν η επεξεργασία έχει γίνει σύμφωνα με τον παρόντα Νόμο και άλλες νόμιμες διατάξεις.

Η διαγραφή προσωπικών δεδομένων είναι η διαδικασία κατά την οποία τα Προσωπικά Δεδομένα καθίστανται εντελώς μη προσβάσιμα και αδύνατο να χρησιμοποιηθούν ξανά από τα σχετικά άτομα.

Η καταστροφή των δεδομένων είναι η διαδικασία κατά την οποία τα Προσωπικά Δεδομένα γίνονται εντελώς απρόσιτα, μη ανακτήσιμα και μη επαναχρησιμοποιήσιμα από οποιονδήποτε.

Με την ανωνυμοποίηση των δεδομένων, εξασφαλίζεται ότι τα Προσωπικά Δεδομένα δεν μπορούν ποτέ να συσχετιστούν με ένα συγκεκριμένο ή αναγνωρίσιμο φυσικό πρόσωπο, ακόμα και αν αυτά συσχετιστούν με άλλα δεδομένα.

Μεταβίβαση Προσωπικών Δεδομένων

Τα προσωπικά σας δεδομένα που υποβάλλονται επεξεργασία εντός των αναφερόμενων σκοπών· σύμφωνα με τις βασικές αρχές που προβλέπονται στον Νόμο για την Προστασία Προσωπικών Δεδομένων (KVKK) και στο πλαίσιο των προϋποθέσεων και σκοπών επεξεργασίας προσωπικών δεδομένων που αναφέρονται στα άρθρα 8 και 9 του KVKK,

• Υπουργείο Υγείας και συνδεδεμένες υπομονάδες,
• Οι αντιπρόσωποι στους οποίους έχετε δώσει εξουσιοδότηση,
• Ιδιωτικές ασφαλιστικές εταιρείες,
• Υπηρεσία Κοινωνικής Ασφάλισης,
• Γενική Διεύθυνση Αστυνομίας και λοιπές δυνάμεις καταστολής,
• Γενική Διεύθυνση Μητρώου Πληθυσμού,
• Ένωση Φαρμακοποιών Τουρκίας,
• Τα δικαστήρια και κάθε είδους δικαστική αρχή, κεντρικοί και άλλοι τρίτοι,
• Δικηγόροι,
• Για ιατρική διάγνωση και θεραπεία, τα εργαστήρια, τα ιατρικά κέντρα, τα ασθενοφόρα, τις ιατρικές συσκευές και τους φορείς παροχής υγειονομικής περίθαλψης με τους οποίους συνεργαζόμαστε,
• Προκειμένου να μπορούν να παρέχονται οι υπηρεσίες, περιορισμένα οι προμηθευτές μας,

Μπορεί να κοινοποιηθεί σε.

Μεταφορά Προσωπικών Δεδομένων στο Εξωτερικό

Η εταιρεία μας μπορεί να μεταβιβάζει τα προσωπικά δεδομένα και τα ευαίσθητα προσωπικά δεδομένα του υποκειμένου των δεδομένων σε τρίτους στο εξωτερικό, λαμβάνοντας τα απαραίτητα μέτρα ασφαλείας στο πλαίσιο των νόμιμων σκοπών επεξεργασίας προσωπικών δεδομένων. Τα προσωπικά δεδομένα από την εταιρεία μας μεταβιβάζονται σε ξένες χώρες που έχουν ανακοινωθεί από τον Οργανισμό Προστασίας Δεδομένων Προσωπικού Χαρακτήρα ότι διαθέτουν επαρκή προστασία («Ξένη Χώρα με Επαρκή Προστασία») ή, σε περίπτωση που δεν υπάρχει επαρκής προστασία, σε ξένες χώρες όπου οι υπεύθυνοι επεξεργασίας στην Τουρκία και στη σχετική ξένη χώρα έχουν εγγράφως δεσμευτεί για επαρκή προστασία και υπάρχει η έγκριση του Οργανισμού Προστασίας Δεδομένων Προσωπικού Χαρακτήρα («Ξένη Χώρα με Υπεύθυνο Επεξεργασίας που Δεσμεύεται για Επαρκή Προστασία»). Η εταιρεία μας ενεργεί σύμφωνα με τις διατάξεις που προβλέπονται στο άρθρο 9 του Νόμου για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα.

Κτίριο, Εισόδους Εγκαταστάσεων και Δραστηριότητες Επεξεργασίας Προσωπικών Δεδομένων Μέσα σε Αυτές, καθώς και Επισκέπτες της Ιστοσελίδας

• Οι δραστηριότητες επεξεργασίας προσωπικών δεδομένων που πραγματοποιούνται από την εταιρεία στις εισόδους και εντός των εγκαταστάσεων του κτιρίου διεξάγονται σύμφωνα με το Σύνταγμα, τον Νόμο περί Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (KVK) και τη σχετική νομοθεσία.
• Προκειμένου να εξασφαλίσει η εταιρεία μας την ασφάλεια, πραγματοποιείται από την εταιρεία μας επεξεργασία προσωπικών δεδομένων για την παρακολούθηση με κάμερες ασφαλείας στα κτίρια και τις εγκαταστάσεις της εταιρείας μας, καθώς και για την καταγραφή των εισόδων και εξόδων των επισκεπτών.
• Η χρήση καμερών ασφαλείας και η καταγραφή εισόδου και εξόδου επισκεπτών συνιστά επεξεργασία προσωπικών δεδομένων από την Εταιρεία μας.
• Η εταιρεία διεξάγει παρακολούθηση με κάμερα ασφαλείας· ο σκοπός αυτής είναι η προστασία των συμφερόντων για την ασφάλεια της εταιρείας και τρίτων προσώπων, και στο πλαίσιο αυτό η εταιρεία μας ενεργεί σύμφωνα με το Σύνταγμα, τον Νόμο για την Προστασία Προσωπικών Δεδομένων (KVK) και τη σχετική νομοθεσία.
• Στην είσοδο του κτιρίου της εταιρείας μας, στις εγκαταστάσεις και εντός αυτής, καταγράφονται εικόνες των επισκεπτών μας μέσω συστήματος παρακολούθησης με κάμερες.
• Η εταιρεία μας, στο πλαίσιο της δραστηριότητας παρακολούθησης με κάμερα ασφαλείας, έχει σκοπούς όπως η βελτίωση της ποιότητας της προσφερόμενης υπηρεσίας, η διασφάλιση της αξιοπιστίας, η προστασία της ασφάλειας της εταιρείας, των πελατών και άλλων προσώπων και η προστασία των συμφερόντων των πελατών όσον αφορά την υπηρεσία που λαμβάνουν.
• Η δραστηριότητα παρακολούθησης με κάμερα που διεξάγεται από την εταιρεία μας για λόγους ασφαλείας πραγματοποιείται σύμφωνα με τις ρυθμίσεις που περιέχονται στον Νόμο για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα (KVK). Η δραστηριότητα παρακολούθησης με κάμερα που διεξάγεται από την εταιρεία μας συνεχίζεται σύμφωνα με τον Νόμο για τις Υπηρεσίες Ιδιωτικής Ασφάλειας και την ισχύουσα νομοθεσία.
• Η πρόσβαση στα αρχεία που καταγράφονται και διατηρούνται σε ψηφιακή μορφή είναι περιορισμένη σε λίγους υπαλλήλους της Εταιρείας. Ο περιορισμένος αριθμός ατόμων που έχουν πρόσβαση στα αρχεία δηλώνει με δήλωση εμπιστευτικότητας ότι θα διατηρήσει την εμπιστευτικότητα των δεδομένων στα οποία έχει πρόσβαση.
• Η εταιρεία μας λαμβάνει τα αναγκαία τεχνικά και διοικητικά μέτρα για την ασφάλεια των προσωπικών δεδομένων που προκύπτουν από τη δραστηριότητα παρακολούθησης με κάμερα, σύμφωνα με το Άρθρο 12 του Νόμου KVK.

Εκτός από την καταγραφή με κάμερα που αναφέρεται παραπάνω, η Εταιρεία μας προβαίνει σε δραστηριότητες επεξεργασίας προσωπικών δεδομένων για την παρακολούθηση της εισόδου και εξόδου επισκεπτών στα κτίρια και εγκαταστάσεις μας, προς διασφάλιση της ασφάλειας και για τους σκοπούς που αναφέρονται σε αυτήν την Πολιτική.

• Κατά την απόκτηση των ονομάτων και επωνύμων των ατόμων που έρχονται ως επισκέπτες στους χώρους της Εταιρείας μας ή μέσω κειμένων που εκτίθενται από την Εταιρεία ή διατίθενται με άλλους τρόπους στους επισκέπτες, οι κάτοχοι των εν λόγω προσωπικών δεδομένων ενημερώνονται στο πλαίσιο αυτό. Τα δεδομένα που συλλέγονται για την παρακολούθηση εισόδου-εξόδου επισκεπτών επεξεργάζονται μόνο για αυτόν τον σκοπό ή τα σχετικά προσωπικά δεδομένα καταγράφονται σε φυσικό περιβάλλον στο σύστημα καταγραφής δεδομένων.
• Προκειμένου να εξασφαλίσει η εταιρεία μας την ασφάλεια και για τους σκοπούς που αναφέρονται σε αυτή τη Διαδικασία· κατά τη διάρκεια της παραμονής σας στα κτίρια και τις εγκαταστάσεις μας, η εταιρεία μας μπορεί να παρέχει πρόσβαση στο διαδίκτυο στους επισκέπτες που το ζητούν. Σε αυτή την περίπτωση, τα αρχεία καταγραφής των προσβάσεων στο διαδίκτυο καταγράφονται σύμφωνα με τον Νόμο αριθ. 5651 και τις διατάξεις της νομοθεσίας που εκδόθηκαν σύμφωνα με αυτόν τον νόμο. Αυτά τα αρχεία επεξεργάζονται μόνο εφόσον ζητηθούν από τις αρμόδιες δημόσιες αρχές ή προκειμένου να εκπληρωθεί η σχετική νομική μας υποχρέωση κατά τις διαδικασίες ελέγχου που πραγματοποιούνται εντός της εταιρείας.
• Μόνο ένας περιορισμένος αριθμός εργαζομένων της Εταιρείας έχει πρόσβαση στα αρχεία καταγραφής που αποκτήθηκαν στο πλαίσιο αυτό. Οι εργαζόμενοι της Εταιρείας που έχουν πρόσβαση σε αυτά τα αρχεία χρησιμοποιούν τα δεδομένα αυτά μόνο για να ανταποκριθούν σε αιτήματα από εξουσιοδοτημένους δημόσιους οργανισμούς ή κατά τη διάρκεια διαδικασιών ελέγχου και τα μοιράζονται αποκλειστικά με πρόσωπα που είναι νομικά εξουσιοδοτημένα. Ένας περιορισμένος αριθμός προσώπων που έχουν πρόσβαση στα αρχεία δηλώνουν με υπεύθυνη δήλωση περί εμπιστευτικότητας ότι θα προστατεύσουν την εμπιστευτικότητα των δεδομένων στα οποία έχουν πρόσβαση.
• Οι επισκέπτες της ιστοσελίδας ενημερώνονται μέσω της πολιτικής cookies.

Κατηγορίες Προσωπικών Δεδομένων

• Ταυτότητα (όνομα και επώνυμο, όνομα πατέρα και μητέρας, πατρικό επώνυμο μητέρας, ημερομηνία γέννησης, τόπος γέννησης, οικογενειακή κατάσταση, αριθμός σειράς δελτίου ταυτότητας, αριθμός ταυτότητας ΤC κ.λπ.)
• Επικοινωνία (όπως αριθμός διεύθυνσης, διεύθυνση ηλεκτρονικού ταχυδρομείου, διεύθυνση επικοινωνίας, καταχωρημένη διεύθυνση ηλεκτρονικού ταχυδρομείου (KEP), αριθμός τηλεφώνου)
• Τοποθεσία (πληροφορίες γεωγραφικής θέσης)
• Προσωπικά στοιχεία (πληροφορίες μισθοδοσίας, πειθαρχικές έρευνες, αρχεία εισόδου-εξόδου από την εργασία, δηλώσεις περιουσίας, βιογραφικά στοιχεία, εκθέσεις αξιολόγησης απόδοσης κ.λπ.)
• Νομική Δράση (πληροφορίες σε αλληλογραφία με δικαστικές αρχές, πληροφορίες σε δικογραφία κ.λπ.)
• Συναλλαγές Πελατών (καταγραφές κέντρου κλήσεων, τιμολόγια, γραμμάτια, πληροφορίες επιταγών, πληροφορίες αποδείξεων ταμείου, πληροφορίες παραγγελιών, πληροφορίες αιτήσεων κ.ά.)
• Ασφάλεια φυσικού χώρου (πληροφορίες εισόδου και εξόδου εργαζομένων και επισκεπτών, εγγραφές καμερών κ.λπ.)
• Ασφάλεια διαδικασιών (Πληροφορίες διευθύνσεων IP, πληροφορίες εισόδου και εξόδου από ιστοσελίδες, πληροφορίες κωδικών και συνθηματικών κ.ά.),
• Διαχείριση Κινδύνου (π.χ. πληροφορίες που επεξεργάζονται για τη διαχείριση εμπορικών, τεχνικών, διοικητικών κινδύνων)
• Οικονομικά (πληροφορίες ισολογισμού, πληροφορίες χρηματοοικονομικής απόδοσης, πληροφορίες πιστώσεων και κινδύνου, πληροφορίες περιουσιακών στοιχείων κ.λπ.)
• Επαγγελματική Εμπειρία (πληροφορίες για πτυχίο, παρακολουθούμενα μαθήματα, πληροφορίες επαγγελματικής κατάρτισης, πιστοποιητικά, πληροφορίες αναλυτικής βαθμολογίας κ.λπ.)
• Μάρκετινγκ (πληροφορίες ιστορικού αγορών, έρευνες, αρχεία cookies, πληροφορίες που συλλέγονται μέσω εκστρατειών)
• Οπτικές και ακουστικές εγγραφές (όπως οπτικές και ακουστικές εγγραφές)
• Φυλή και Εθνική Καταγωγή (πληροφορίες όπως η φυλή και η εθνική καταγωγή)
• Πληροφορίες για την Πολιτική Σκέψη (πληροφορίες που δηλώνουν την πολιτική σκέψη, όπως η συμμετοχή σε πολιτικό κόμμα)
• Φιλοσοφικές Πεποιθήσεις, Θρησκεία, Δόγμα και Άλλες Πιστεύωσες (πληροφορίες σχετικά με τη θρησκευτική τους ταυτότητα, πληροφορίες σχετικά με τις φιλοσοφικές τους πεποιθήσεις, πληροφορίες σχετικά με το δόγμα τους, πληροφορίες σχετικά με τις άλλες τους πεποιθήσεις κ.λπ.)
• Εμφάνιση και Ενδυμασία (πληροφορίες σχετικά με την εμφάνιση και την ενδυμασία)
• Μέλος Συλλόγου (όπως πληροφορίες μέλους συλλόγου)
• Μέλος Ιδρύματος (π.χ. πληροφορίες μέλους ιδρύματος)
• Συνδικαλιστική Ιδιότητα (όπως πληροφορίες για τη συνδικαλιστική ιδιότητα)
• Ιατρικές Πληροφορίες (π.χ. πληροφορίες σχετικά με την αναπηρία, ομάδα αίματος, προσωπικές ιατρικές πληροφορίες, πληροφορίες σχετικά με χρησιμοποιούμενες συσκευές και προσθετικά)
• Σεξουαλική Ζωή (πληροφορίες σχετικά με τη σεξουαλική ζωή κ.λπ.)
• Καταδίκη και Μέτρα Ασφαλείας (πληροφορίες σχετικά με την καταδίκη, πληροφορίες σχετικά με τα μέτρα ασφαλείας κ.λπ.)
• Βιομετρικά Δεδομένα (όπως πληροφορίες παλάμης, δακτυλικά αποτυπώματα, σαρώσεις αμφιβληστροειδούς, στοιχεία αναγνώρισης προσώπου)
• Γενετικά Δεδομένα (όπως γενετικά δεδομένα)
• Άλλες Πληροφορίες (όπως τύποι δεδομένων που θα οριστούν από τον χρήστη)

Ομάδες Υποκειμένων Δεδομένων

• Υποψήφιος Υπάλληλος
• Υπάλληλος
• Υποκείμενο
• Το άτομο που αφορά η είδηση
• Μέτοχος/Συνεργάτης
• Πιθανός αγοραστής προϊόντος ή υπηρεσίας
• Υποψήφιος εξετάσεων
• Πρακτικάριος
• Υπάλληλος Προμηθευτή
• Υπεύθυνος Προμηθευτή
• Άτομο που λαμβάνει Προϊόν ή Υπηρεσία
• Κηδεμόνας / Επικυρηγμένος / Εκπρόσωπος
• Επισκέπτης
• Άλλο

Επεξεργασία Προσωπικών Δεδομένων - Τεχνικά και Διοικητικά Μέτρα που Λαμβάνονται για την Προστασία τους

Η εταιρεία λαμβάνει όλα τα τεχνικά και διοικητικά μέτρα που απαιτούνται για την διασφάλιση του κατάλληλου επιπέδου ασφάλειας για την προστασία προσωπικών δεδομένων. Τα μέτρα που προβλέπονται στο άρθρο 12 του KVKK είναι τα εξής:

• Να αποτραπεί η παράνομη επεξεργασία των προσωπικών δεδομένων,
• Να αποτραπεί η παράνομη πρόσβαση σε προσωπικά δεδομένα,
• Διασφάλιση της διατήρησης των προσωπικών δεδομένων

Ως Υπεύθυνος Δεδομένων, η Εταιρεία έχει ξεκινήσει τη διαδικασία εφαρμογής των παρακάτω Τεχνικών και Διοικητικών Μέτρων για τη βελτίωση της συμμόρφωσης με τον KVKK.

• Μήτρα εξουσιοδότησης
• Έλεγχος εξουσιοδότησης
• Αρχεία Πρόσβασης
• Διαχείριση Λογαριασμού Χρήστη
• Εφαρμογή Ασφάλειας Δικτύου
• Ασφάλεια Κρυπτογράφηση Διάρρηξη
• Καταγραφή Log και Απόκρυψη Δεδομένων
• Λογισμικά Πρόληψης Απώλειας Δεδομένων
• Αντίγραφα ασφαλείας Τείχη προστασίας
• Ενημερωμένα Συστήματα Αντι-Ιών
• Διαχείριση Κλειδιών Διαγραφή, Καταστροφή ή Ανωνυμοποίηση
• Σύνταξη Απογραφής Επεξεργασίας Προσωπικών Δεδομένων
• Εταιρικές Πολιτικές (Πρόσβαση, Ασφάλεια Πληροφοριών, Χρήση, Αποθήκευση και Καταστροφή κ.λπ.) Συμβάσεις (Υπεύθυνος Δεδομένων - Υπεύθυνος Δεδομένων, Υπεύθυνος Δεδομένων - Επεξεργαστής Δεδομένων)
• Δηλώσεις Εμπιστευτικότητας
• Ενδοϋπηρεσιακοί Περιοδικοί και/ή Τυχαίοι Έλεγχοι
• Αναλύσεις Κινδύνου
• Σύμβαση εργασίας, Κανονισμός Πειθαρχίας (Προσθήκη διατάξεων σύμφωνων με το Νόμο) Εταιρική επικοινωνία (Διαχείριση κρίσεων, διαδικασίες ενημέρωσης της επιτροπής και του σχετικού ατόμου, διαχείριση φήμης κ.λπ.),
• Δραστηριότητες Εκπαίδευσης και Ευαισθητοποίησης (Ασφάλεια Πληροφοριών και Νόμος) Αναφορά στο Σύστημα Μητρώου Υπευθύνων Επεξεργασίας Δεδομένων (VERBİS)

Τα Δικαιώματα του Υποκειμένου των Προσωπικών Δεδομένων που Αναφέρονται στο Άρθρο 11 του Νόμου για την Προστασία των Προσωπικών Δεδομένων

Ως υποκείμενα των προσωπικών δεδομένων, σε περίπτωση που απευθύνετε τις αιτήσεις σας σχετικά με τα δικαιώματά σας στην Εταιρεία μας με τους τρόπους που ορίζονται παρακάτω στο Κείμενο Ενημέρωσης για την Προστασία των Προσωπικών Δεδομένων, η Εταιρεία μας θα ολοκληρώσει δωρεάν το αίτημά σας το αργότερο εντός τριάντα (30) ημερών ανάλογα με το είδος του αιτήματος. Ωστόσο, εάν το Συμβούλιο Προστασίας Προσωπικών Δεδομένων προβλέπει τέλη, θα καταβάλλεται το τέλος που ορίζεται στον τιμοκατάλογο που καθορίζεται από την Εταιρεία μας.

Στο πλαίσιο αυτό, οι κάτοχοι προσωπικών δεδομένων;

• Γνωστοποίηση αν γίνεται επεξεργασία προσωπικών δεδομένων,
• Να ζητηθεί πληροφορία εάν τα προσωπικά δεδομένα έχουν υποβληθεί σε επεξεργασία,
• Να γνωρίζουν τον σκοπό της επεξεργασίας των προσωπικών δεδομένων και αν αυτά χρησιμοποιούνται σύμφωνα με τον σκοπό τους,
• Να γνωρίζει τα τρίτα μέρη στα οποία μεταβιβάζονται προσωπικά δεδομένα εντός ή εκτός χώρας,
• Να ζητηθεί η διόρθωση των προσωπικών δεδομένων σε περίπτωση που αυτά έχουν υποβληθεί σε επεξεργασία ελλιπώς ή λανθασμένα και, στο πλαίσιο αυτό, να ενημερωθούν τρίτα πρόσωπα στα οποία έχουν διαβιβαστεί τα προσωπικά δεδομένα,
• Παρά το γεγονός ότι η επεξεργασία έχει πραγματοποιηθεί σύμφωνα με τον Νόμο για την Προστασία των Προσωπικών Δεδομένων (KVKK) και άλλες σχετικές νομικές διατάξεις, σε περίπτωση που οι λόγοι που απαιτούν την επεξεργασία παύσουν να υπάρχουν, το δικαίωμα να ζητείται η διαγραφή ή καταστροφή των προσωπικών δεδομένων και να ενημερώνονται τα τρίτα μέρη στα οποία έχουν μεταβιβαστεί τα προσωπικά δεδομένα για την εκτέλεση αυτής της διαδικασίας,
• Η δυνατότητα άρνησης μιας απόφασης που παράγει αρνητικό αποτέλεσμα για το ίδιο το άτομο μέσω της αποκλειστικής ανάλυσης των επεξεργασμένων δεδομένων με αυτόματα συστήματα,
• Έχει το δικαίωμα να ζητήσει αποκατάσταση της ζημίας που προκύπτει από την παράνομη επεξεργασία προσωπικών δεδομένων.

Ως σχετικό άτομο, θα πρέπει να υποβάλετε τα αιτήματά σας για δικαιώματα εγγράφως στην Εταιρεία μας. Στο πλαίσιο αυτό, για τη σωστή και γρήγορη διαχείριση των αιτήσεών σας που θα υποβάλετε στην Εταιρεία μας σύμφωνα με το άρθρο 11 του Νόμου για την Προστασία των Προσωπικών Δεδομένων (KVK), σας προτείνουμε να χρησιμοποιήσετε το έγγραφο «Φόρμα Αίτησης Πληροφοριών Σχετικού Ατόμου» που βρίσκεται στην ιστοσελίδα μας υπό τον τίτλο Προστασία Προσωπικών Δεδομένων, παρέχοντας επίσης τα έγγραφα/πληροφορίες που ενδέχεται να απαιτούνται ανάλογα με το αίτημά σας καθώς και τα απαραίτητα έγγραφα για την ταυτοποίηση της ταυτότητάς σας, είτε αυτοπροσώπως είτε με συστημένη επιστολή με απόδειξη παραλαβής. Επιπλέον, μπορείτε να υποβάλετε το αίτημά σας ως διαδικτυακός χρήστης χρησιμοποιώντας τη Φόρμα Αίτησης Πληροφοριών Σχετικού Ατόμου (με τη διεύθυνση ηλεκτρονικού ταχυδρομείου που έχετε ήδη δηλώσει στην Εταιρεία μας και είναι καταχωρισμένη στο σύστημά μας) μέσω του .............................com.tr.

Διαπίστωση

Το προσωπικό του φορέα αναφέρει περιστατικά σε περιπτώσεις όπως χαμένα ή εμφανιζόμενα αρχεία χωρίς τη θέληση τους, προβλήματα στη λειτουργία του αντι-ιικού λογισμικού, ανεπιθύμητα προγράμματα ή ανοίγματα παραθύρων, παρουσία μη εξουσιοδοτημένου προσωπικού σε εγκαταστάσεις επεξεργασίας κρίσιμων πληροφοριών, εκτεθειμένα σε εξωτερική παρέμβαση απόρρητα αρχεία, μη συμμόρφωση με τις καθορισμένες διαδικασίες κ.ά.

Αξιολόγηση και Αναφορά

Όταν τα περιστατικά παραβίασης της ασφάλειας πληροφοριών αναφέρονται στην Μονάδα Διαχείρισης Ποιότητας με την İO.FR.001 Φόρμα Αναφοράς Ανεπιθύμητου Περιστατικού, η Μονάδα Διαχείρισης Ποιότητας αξιολογεί το περιστατικό παραβίασης και αν αποφασίσει ότι υπάρχει παραβίαση, ενημερώνει τη διοίκηση με έκθεση.

Η αναφορά περιλαμβάνει τουλάχιστον τους ακόλουθους τίτλους·

• Συλλεχθέντα αποδεικτικά στοιχεία.
• Τύπος αποδεικτικού.
• Τόπος φύλαξης αποδεικτικών στοιχείων.
• Ημερομηνία και ώρα του αποδεικτικού.
• Εάν έχει ξεκινήσει διορθωτική ενέργεια σχετική με το περιστατικό, η φόρμα διορθωτικής ενέργειας
• Η ημερομηνία και ώρα καταγραφής του περιστατικού παραβίασης.

Τα σημεία που πρέπει να ληφθούν υπόψη για την αναφορά περιστατικών ασφάλειας πληροφοριών είναι τα εξής:

• Διατάξεις φυσικής ασφάλειας και πληροφορίες εισόδου σε περιβάλλοντα.
• Αναποτελεσματικός έλεγχος ασφαλείας.
• Παραβίαση της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας της πληροφορίας.
• Ανθρώπινα λάθη.
• Μη ελεγχόμενες αλλαγές σε λογισμικό ή υλικό συστήματος.
• Βλάβες.
• Έλεγχος πρόσβασης.
• Μη συμμόρφωση με πολιτικές και διαδικασίες.
• Τα κενά που εντοπίζονται από τα λογισμικά ασφάλειας του συστήματος.

Οι καταχωρήσεις που ανοίγονται για τους παραπάνω αναφερόμενους τίτλους αξιολογούνται στις συναντήσεις αξιολόγησης διαχείρισης ποιότητας. Τα επεισόδια παραβίασης μετρώνται στο πλαίσιο της αξιολόγησης κινδύνου.

Ο μηχανισμός αξιολόγησης είναι ο εξής:

• Στην αξιολόγηση των περιστατικών παραβίασης λαμβάνεται υπόψη ο αριθμός των περιστατικών και η επίδρασή τους.
• Τα δεδομένα που προέρχονται από περιστατικά παραβίασης χρησιμοποιούνται ως μέτρα στις αξιολογήσεις κινδύνου.
• Η τιμή επιρροής συζητείται στις συναντήσεις ασφάλειας πληροφοριών και αντικατοπτρίζεται στις πιθανότητες κινδύνου με βάση τον αριθμό των καταγεγραμμένων και την επίδραση των καταγραφών.
• Σε περίπτωση αύξησης 7% έως 10% στον αριθμό των καταχωρήσεων που δημιουργούνται στο τέλος του έτους, παρέχονται επιπλέον εκπαιδεύσεις ευαισθητοποίησης στους χρήστες.
• Σε περίπτωση αύξησης κατά 11% έως 30% στον αριθμό των καταγραφών στο τέλος του έτους, διοργανώνεται πρόσθετη συνάντηση για επανεξέταση των διαδικασιών.
• Σε περίπτωση αύξησης 31% ή μεγαλύτερης στον αριθμό των καταχωρήσεων που δημιουργούνται στο τέλος του έτους, λαμβάνονται εκπαιδεύσεις ευαισθητοποίησης, ενημερώσεις διαδικασιών, επενδυτικές και δομικές αλλαγές.

Παρέμβαση

• Δεν εκτελείται καμία διαδικασία κλεισίματος για οποιαδήποτε αδυναμία που θα μπορούσε να καταστρέψει ή να αλλοιώσει τα στοιχεία.
• Για όλους τους ελέγχους ή τα αναφερόμενα περιστατικά για τα οποία έχουν συλλεγεί αποδεικτικά στοιχεία, η αδυναμία που προκάλεσε το περιστατικό διορθώνεται πριν από οποιαδήποτε άλλη ενέργεια.
• Όταν κρίνεται απαραίτητο, εφαρμόζεται η BY.PR.001 Διαδικασία Επιχειρησιακής Συνέχειας.

Λήψη μέτρων και απόκτηση εμπειρίας

Τα εντοπισμένα περιστατικά παραβίασης της ασφάλειας των πληροφοριών και τα στοιχεία που συλλέγονται λαμβάνονται τα απαραίτητα μέτρα για την αποφυγή μελλοντικής επανάληψής τους. Όλα τα περιστατικά παραβίασης της ασφάλειας των πληροφοριών εξετάζονται προκειμένου να αποκτηθεί εμπειρία και οι αποκτηθείσες γνώσεις καταγράφονται. Η απόκτηση εμπειρίας έχει ως στόχο είτε να μην επαναληφθεί κάποιο περιστατικό παραβίασης είτε να βρεθεί πιο σύντομα λύση σε περίπτωση επανάληψής του.

Για να ληφθούν προφυλάξεις σε περίπτωση ενός περιστατικού παραβίασης της ασφάλειας, μπορεί να εφαρμοστεί οποιαδήποτε από τις παρακάτω διαδικασίες:

• Εξετάζονται τα δημιουργημένα αρχεία και καταχωρούνται οι απαραίτητες πληροφορίες για τρόπους επίλυσης.
• Για γεγονότα που προκύπτουν από λανθασμένες εφαρμογές, δημιουργούνται απαραίτητα γραπτές διαδικασίες.
• Για τα γεγονότα που προκύπτουν από διαδικασίες, οι διαδικασίες επανεξετάζονται και διορθώνονται.
• Ελέγχεται εάν υπάρχει καταγραφή κινδύνου για το περιστατικό ασφάλειας πληροφοριών που συνέβη, εάν υπάρχει επανεκτιμάται ο κίνδυνος, εάν δεν υπάρχει δημιουργείται καταγραφή κινδύνου για εκτίμηση.
• Για προβλήματα που σχετίζονται με την πρόσβαση, οι προσβάσεις ελέγχονται ξανά και οι άλλες παρόμοιες εξουσιοδοτήσεις πρόσβασης ελέγχονται επίσης.
• Σε περιστατικά που προκύπτουν από λογισμικό και εφαρμογές, ελέγχονται οι ενημερώσεις, και το περιστατικό κλείνει με μεθόδους όπως κλείσιμο ευπάθειας, ενημέρωση, ανάπτυξη patch.
• Τα μέτρα που λαμβάνονται για προβλήματα που προκύπτουν από φυσικό εξοπλισμό εφαρμόζονται επίσης σε άλλον παρόμοιο εξοπλισμό.
• Για περιστατικά που προκύπτουν από κακόβουλο κώδικα, εντοπίζεται η πηγή του προβλήματος και αξιολογείται η επάρκεια των λογισμικών ασφαλείας. Τα μέτρα που βρέθηκαν εφαρμόζονται απαραίτητα σε όλα τα συστήματα.

Καταγραφή και Συλλογή Αποδείξεων

• Στο στάδιο της καταγραφής και συλλογής αποδείξεων, ελέγχεται πρωτίστως ότι η ακεραιότητα των αρχείων μέσω των οποίων μπορούν να εντοπιστούν το συμβάν και ο υπεύθυνος παραμένει ανέπαφη.
• Μόνο τα αρχεία των οποίων η ακεραιότητα έχει διατηρηθεί χρησιμοποιούνται ως αποδεικτικά.
• Τα στοιχεία που συλλέγονται για τα περιστατικά παραβίασης της ασφάλειας πληροφοριών διατηρούνται για 3 χρόνια.
• Σε περιπτώσεις ανίχνευσης περιστατικών παραβίασης της ασφάλειας πληροφοριών, αν υπάρχουν, διατηρούνται οπωσδήποτε τα αρχεία από κάμερες, τα αρχεία πρόσβασης, τα αρχεία ελέγχου, τα αρχεία που τηρούνται από τα συστήματα ασφαλείας του λογισμικού, τα αρχεία κόστους που απαιτούνται για την επίλυση των προβλημάτων, καθώς και αρχεία που μπορεί να χρειαστούν για την αξιολόγηση των περιστατικών παραβίασης της ασφάλειας πληροφοριών και για τον καθορισμό της συχνότητας, των ζημιών και των ορίων κόστους μελλοντικών περιστατικών.

Βελτίωση,

• Παρέχεται εκπαίδευση ευαισθητοποίησης στους εργαζόμενους σχετικά με την ασφάλεια πληροφοριών και την προστασία των προσωπικών δεδομένων.
• Οι κωδικοί πρόσβασης που χρησιμοποιούνται στο σύστημα διαχείρισης πληροφοριών είναι συμβατοί με τις πολιτικές κωδικών πρόσβασης του Υπουργείου.
• Οι υπεύθυνοι και οι χρήστες του συστήματος διαχείρισης πληροφοριών υπογράφουν συμφωνία εμπιστευτικότητας.
• Γίνεται αξιολόγηση κινδύνου σχετικά με φυσικούς κινδύνους για το σύστημα διαχείρισης πληροφοριών, προβλήματα λογισμικού και υλικού, ασφάλεια πληροφοριών, εμπιστευτικότητα πληροφοριών, προστασία προσωπικών δεδομένων και ανθρώπινα λάθη.
• Σε περίπτωση παραβιάσεων ασφάλειας πληροφοριών, πρέπει να γίνονται διορθωτικές ενέργειες και αξιολόγηση της κατάστασης, βελτιώσεις και να ενημερώνονται η ανώτερη διοίκηση και οι εργαζόμενοι μετά τη βελτίωση.