Protección de datos personales

Principios Fundamentales en el Procesamiento de Datos Personales:

Tratamiento Conforme a la Ley y al Principio de Honestidad

Nuestra empresa actúa en el procesamiento de datos personales de acuerdo con los principios establecidos por las regulaciones legales y conforme a la regla general de confianza y honestidad.

Ser preciso y estar actualizado cuando sea necesario

Se toman las medidas necesarias para asegurar que los datos personales procesados por la Compañía estén correctos y actualizados, y se brindan informaciones y facilidades a los titulares de los datos para asegurar que los datos reflejen la situación real.

Procesamiento para Fines Específicos, Claros y Legítimos

Nuestra empresa determina de manera clara y precisa el propósito de procesamiento de datos personales que sea legítimo y conforme a la ley. Nuestra empresa procesa los datos personales en relación con el servicio que proporciona y solo en la medida necesaria para ello. El propósito para el cual se procesarán los datos personales por nuestra empresa se establece antes de que comience la actividad de procesamiento de datos personales.

Ser limitados y medidos, relacionados con el propósito para el cual fueron procesados

Los datos por parte de la empresa se procesan de manera adecuada para lograr los fines determinados según las categorías de datos, relacionados con la realización del propósito y de manera proporcional, de conformidad con la Ley de Protección de Datos Personales (KVKK) y otra legislación pertinente, y se evita el procesamiento de datos personales que no sean necesarios.

Conservación durante el período previsto en la legislación aplicable o necesario para el propósito para el que se procesan

Los datos personales procesados por la Compañía se conservan únicamente durante el período previsto en la legislación aplicable o el tiempo necesario para el propósito para el cual se procesan. En este sentido, la Compañía cumple con el período previsto en la legislación aplicable para la conservación de los datos; si no existe tal período, los datos se conservan únicamente durante el tiempo necesario para el propósito para el cual se procesan. La Compañía no conserva los datos basándose en la posibilidad de uso futuro.

• Dentro del marco de las medidas de seguridad física (puertas de entrada y salida, oficinas, áreas de entrega de productos, seguridad de los almacenes y uso de tarjetas de identificación del personal, etc.) todas las reglas establecidas deben ser cumplidas por todo el personal.
• La protección contra virus y atacantes corresponde al Responsable de Informática. El responsable informa a la alta dirección sobre el hardware y software necesarios para la protección contra virus y atacantes y toma las medidas necesarias. Estas medidas incluyen los requisitos mínimos exigidos por el Ministerio de Salud, que constan de aparatos de hardware y software, como programas antivirus y cortafuegos. La actualización de estos softwares está a cargo del Responsable del Sistema de Gestión de Información. Cuando llega el momento de la actualización, informa a la alta dirección y realiza las actualizaciones.

Realización de las Actividades de Procesamiento de Datos Personales de Conformidad con la KVKK

La Ley de KVKK regula las condiciones de procesamiento de datos personales, y la Compañía procesa los datos personales de acuerdo con las condiciones mencionadas a continuación.

Exceptuando las excepciones mencionadas en la Ley, la Compañía solo procesa datos personales obteniendo el consentimiento explícito de los titulares de los datos. Sin embargo, en caso de que existan las siguientes situaciones indicadas por la Ley, los datos personales pueden ser procesados incluso sin el consentimiento explícito del titular.

• Previsión explícita en las leyes,
• Que sea necesario para proteger la vida o la integridad corporal de la persona misma o de otra persona, en el caso de que la persona se encuentre en una situación en la que no pueda expresar su consentimiento por imposibilidad fáctica, o cuando su consentimiento no tenga validez jurídica,
• La necesidad de procesar los datos personales de las partes del contrato únicamente si está directamente relacionado con la formación o ejecución de un contrato.
• Que sea obligatorio para que el responsable de datos pueda cumplir con su obligación legal,
• Divulgación realizada por el propio titular de los datos,
• La necesidad de procesar datos para el establecimiento, uso o protección de un derecho,
• Procesamiento de datos necesario para los intereses legítimos del responsable del tratamiento, siempre que no dañe los derechos y libertades fundamentales del titular de los datos.
• En el procesamiento de datos personales especiales, que se considera de importancia crítica desde varios puntos de vista para los titulares de los datos, la Compañía muestra una sensibilidad particular. En este contexto, estos datos no se procesan sin el consentimiento explícito de los titulares de los datos, siempre y cuando se tomen las medidas adecuadas determinadas por la Unidad de Gestión de Calidad. Sin embargo, los datos personales especiales, excepto los relacionados con la salud y la vida sexual, pueden procesarse sin el consentimiento explícito del titular de los datos en los casos previstos por la ley.

Los datos relacionados con la salud y la vida sexual pueden procesarse sin el consentimiento explícito, siempre que se tomen las precauciones adecuadas y exista alguna de las siguientes razones:

• Protección de la salud pública,
• Medicina preventiva,
• Diagnóstico médico,
• La realización de servicios de tratamiento y cuidado,
• Planificación y gestión de los servicios de salud y su financiación.

Brindar información sobre la actividad de tratamiento de datos personales llevada a cabo de manera legal por la empresa y los sistemas adoptados para la protección de los datos personales tiene como objetivo garantizar la transparencia al informar, en este contexto, a nuestros clientes, clientes potenciales, empleados, candidatos a empleo, directivos de la empresa, visitantes, empleados y directivos de las instituciones con las que colaboramos, y a terceros cuyos datos personales se procesan, sobre el tratamiento de sus datos personales por parte de nuestra empresa.

• De acuerdo con la Política Institucional del Sistema de Gestión de la Información BY.YD.002 del centro médico, se ha establecido una estructura de dominio y todas las computadoras funcionan "logeadas" en la estructura de dominio. Las computadoras que no están conectadas al dominio se desconectan de la red local, y no se intercambia información entre los dispositivos en la red local.
• No se puede intercambiar archivos a través de computadoras, excepto documentos oficiales, programas y materiales educativos
• El acceso a Internet y las conexiones de uso de correo electrónico son controladas por el dispositivo firewall ubicado en el centro médico.
• A todo el personal autorizado que comience a trabajar en el centro médico se le crea una dirección de correo electrónico corporativa.
• Los correos electrónicos y contraseñas se transmiten al personal correspondiente durante la capacitación.
• El usuario reconoce que todas las expresiones que manifieste durante el correo electrónico le pertenecen. El usuario es responsable del envío de mensajes que puedan constituir un delito; amenazantes, ilegales, insultantes, obscenos o difamatorios, o mensajes que sean contrarios a la moral.
• El usuario no puede incluir en su cuenta materiales y documentos que constituyan un delito desde el punto de vista legal, ni puede utilizar aplicaciones que perjudiquen a los propietarios de cuentas personales.
• No se puede utilizar el servidor de otro sistema o la cuenta de otro usuario con el propósito de enviar mensajes sin el permiso de la persona correspondiente.
• El usuario no puede utilizar su cuenta con fines comerciales o de lucro. No puede enviar correos electrónicos en masa (SPAM) con fines de publicidad, promoción, anuncios, etc., a un gran número de usuarios.
• El usuario es responsable de todas las responsabilidades legales que puedan derivarse de los derechos de publicación de cualquier información contenida en su cuenta.

La Información y Notificación al Titular de los Datos Personales

Nuestra empresa, de acuerdo con el artículo 10 de la Ley de Protección de Datos Personales (KVK), informa a los titulares de los datos personales durante la obtención de los datos personales. En este contexto, la empresa proporciona información sobre con qué propósito se procesarán los datos personales, a quiénes y con qué propósito pueden ser transferidos los datos personales procesados, el método y la base legal para la recopilación de los datos personales, y los derechos que posee el titular de los datos personales.

En el artículo 20 de la Constitución se establece que todos tienen el derecho a ser informados sobre sus datos personales. En este contexto, en el artículo 11 de la Ley de Protección de Datos Personales (KVK) también se menciona entre los derechos del titular de los datos personales el "derecho a solicitar información". Nuestra empresa, en este marco, proporciona la información necesaria si el titular de los datos personales solicita información de acuerdo con el artículo 20 de la Constitución y el artículo 11 de la Ley KVK.

Finalidades del Tratamiento de Datos Personales

Sus datos de salud, así como sus datos personales y sus datos personales de naturaleza especial, pueden ser procesados por la Compañía de manera limitada y proporcionada, en relación con los fines que se indican a continuación, incluidos pero no limitados a los siguientes;

• Su nombre, apellido, número de identificación turco (T.C. Kimlik numarası), número de identificación turco temporal, número de pasaporte, lugar y fecha de nacimiento, estado civil, género, número de seguro o número de protocolo médico y otros datos de identificación que lo describen.
• Su dirección, número de teléfono, dirección de correo electrónico
• Sus resultados de pruebas, resultados de laboratorio e imagenología, datos de exámenes, información de recetas, así como los datos relacionados con la salud y la vida sexual obtenidos durante la realización de servicios médicos de diagnóstico, tratamiento y atención, y sin limitarse a ellos, sus datos de salud,
• Su número IBAN, la información de su tarjeta de crédito,
• Durante su visita a nuestro centro médico, la grabación de video y audio del sistema de cámaras de circuito cerrado
• Las grabaciones de las llamadas realizadas cuando se comunique con Admisión/Información para pacientes,
• Sus datos relacionados con el seguro de salud privado con el fin de financiar y planificar los servicios de salud

Nuestra empresa procesa los datos personales de manera limitada a los fines y condiciones establecidos en el párrafo 2 del artículo 5 y el párrafo 3 del artículo 6 de la Ley sobre la Protección de Datos Personales No. 6698.

Estos propósitos y condiciones;

• Que nuestra Compañía lleve a cabo la actividad relativa al procesamiento de sus datos personales esté expresamente prevista en las Leyes,
• Que el procesamiento de sus datos personales por nuestra Compañía sea directamente relevante y necesario para la celebración o cumplimiento de un contrato,
• El procesamiento de sus datos personales es obligatorio para que nuestra Compañía pueda cumplir con sus obligaciones legales,
• Siempre que sus datos personales hayan sido divulgados por ustedes; el procesamiento limitado de los mismos por nuestra Compañía con el propósito de divulgación,
• Que el procesamiento de sus datos personales por nuestra Compañía sea necesario para el establecimiento, ejercicio o protección de los derechos de nuestra Compañía o de ustedes o de terceros
• Siempre que no se perjudique sus derechos y libertades fundamentales, la Compañía se ve obligada a realizar actividades de procesamiento de datos personales para sus intereses legítimos
• Que la actividad de procesamiento de datos personales realizada por nuestra empresa sea necesaria para proteger la vida o la integridad corporal del titular de los datos personales o de otra persona, y en tal caso, que el titular de los datos personales no pueda expresar su consentimiento debido a la imposibilidad fáctica o invalidez legal,
• Previsión legal para el procesamiento de datos personales de carácter especial del titular, exceptuando los relativos a su salud y vida sexual,
• El procesamiento de los datos personales de carácter especial relacionados con la salud y la vida sexual del titular de los datos personales se realiza con el fin de proteger la salud pública, la medicina preventiva, el diagnóstico médico, la prestación de servicios de tratamiento y cuidado, la planificación y gestión de los servicios de salud y su financiamiento, por personas bajo obligación de confidencialidad o por instituciones y organizaciones autorizadas.

Bajo las condiciones mencionadas anteriormente; Nuestra empresa puede procesar datos personales con los siguientes fines, sin limitarse a ellos:

• Protección de la salud pública, medicina preventiva, ejecución de servicios de diagnóstico médico, tratamiento y cuidado,
• Con el propósito de planificar y gestionar los servicios de salud y su financiación
• Verificación de su identidad
• En caso de que usted solicite una cita, se le puede informar sobre dicha cita.
• Confirmar su relación con las instituciones acordadas con el centro médico
• Cumplimiento de los requisitos legales y regulatorios
• La financiación de sus servicios de salud, la cobertura de gastos de análisis, diagnóstico y tratamiento por parte de los departamentos de Servicios al Paciente, Asuntos Financieros y Marketing,
• De acuerdo con la legislación pertinente, el intercambio de información solicitada con el Ministerio de Salud y otras instituciones y organismos públicos,
• Compartir todo tipo de información solicitada por compañías de seguros privadas en el marco de la financiación de los servicios de salud
• Con el fin de mejorar los servicios que ofrecemos, analizar el uso de los servicios de salud
• Para la realización de las actividades comerciales llevadas a cabo por la empresa, los departamentos relevantes realizan los trabajos necesarios y gestionan los procesos de trabajo correspondientes;
• Planificación y ejecución de las actividades empresariales y de aseguramiento de la continuidad del negocio,
• Seguimiento de negocios financieros y/o contables,
• Proporcionar información a las autoridades competentes derivada de la legislación,
• Planificación y ejecución de las actividades de comunicación corporativa,
• Garantizar la implementación de las políticas de recursos humanos de nuestra empresa;
• Garantizar la seguridad jurídica y comercial de nuestra empresa y de las personas que mantienen relaciones comerciales con nuestra empresa;
• Realización de actividades de evaluación de satisfacción para nuestros clientes actuales, organización y gestión de eventos,
• Realización de actividades de salud y seguridad en el trabajo,
• Ejecución de los procesos de seguridad de la información y física
• Confirmar la información de quien realiza transacciones a través de nuestro sitio web corporativo y aplicaciones móviles,

Eliminación, Destrucción o Anonimización de Datos Personales

Salvo lo dispuesto en otras leyes relativas a la eliminación, destrucción o anonimización de los Datos Personales, la Compañía, aún cuando haya procesado los Datos Personales de conformidad con esta Ley y otras disposiciones legales, si desaparecen las razones que requieren su procesamiento, eliminará, destruirá o anonimizará los Datos Personales de oficio o a solicitud del Titular de los Datos Personales / Persona Concernida, de acuerdo con los principios establecidos en el Procedimiento de Seguridad de la Información y Protección de Datos Personales BY.PR.004.

Eliminación de datos personales; es el proceso mediante el cual los Datos Personales se vuelven inaccesibles e inutilizables de ninguna manera para los usuarios pertinentes.

La eliminación de los datos, por otro lado, es el proceso mediante el cual los Datos Personales se vuelven inaccesibles, irrecuperables e imposibles de reutilizar por cualquier persona.

Con la anonimización de los datos, se garantiza que los Datos Personales no puedan asociarse de ninguna manera con una persona física identificada o identificable, incluso si se combinan con otros datos.

Transferencia de Datos Personales

Los datos personales que se procesan en el contexto de los fines explicados; de acuerdo con los principios fundamentales previstos en la KVKK y dentro de las condiciones y fines de procesamiento de datos personales indicados en los artículos 8 y 9 de la KVKK,

• Ministerio de Salud y sus unidades subordinadas,
• Sus representantes a quienes han otorgado autoridad,
• Compañías de seguros privadas,
• Instituto de Seguridad Social,
• Dirección General de Seguridad y otras fuerzas de seguridad,
• Dirección General de Población,
• Unión de Farmacéuticos de Turquía,
• Tribunales y todo tipo de autoridades judiciales, centrales y demás terceros,
• Abogados,
• Laboratorios, centros médicos, ambulancias, dispositivos médicos e instituciones que proporcionan servicios de salud con los que colaboramos para diagnóstico y tratamiento médico,
• Con el fin de proporcionar los servicios, nuestros proveedores de manera limitada,

podrá compartirse con.

Transferencia de Datos Personales al Extranjero

Nuestra empresa, tomando las medidas de seguridad necesarias de acuerdo con los fines legales de procesamiento de datos personales, puede transferir los datos personales y los datos personales de carácter especial del titular de los datos a terceros en el extranjero. Los datos personales por nuestra empresa se transfieren a países extranjeros que, según lo declarado por la Autoridad de Protección de Datos Personales (KVK), tienen protección adecuada ('País Extranjero con Protección Adecuada') o, en caso de que no exista suficiente protección, a países extranjeros donde los responsables del tratamiento en Turquía y en el país extranjero involucrado hayan garantizado por escrito la protección adecuada y cuenten con la autorización de la Autoridad de Protección de Datos Personales ('País Extranjero donde se encuentra el Responsable del Tratamiento que Garantiza Protección Adecuada'). Nuestra empresa actúa de conformidad con las disposiciones previstas en el artículo 9 de la Ley de Protección de Datos Personales (KVK).

Entradas de Edificios e Instalaciones, Actividades de Tratamiento de Datos Personales Realizadas en su Interior y Visitantes del Sitio Web

• Las actividades de tratamiento de datos personales realizadas por la empresa en los accesos a las instalaciones del edificio y dentro de las instalaciones se llevan a cabo de conformidad con la Constitución, la Ley de Protección de Datos Personales (KVK Kanunu) y otras normativas aplicables.
• Con el fin de garantizar la seguridad, nuestra empresa lleva a cabo actividades de procesamiento de datos personales mediante la supervisión con cámaras de seguridad en los edificios e instalaciones de la empresa y el seguimiento de las entradas y salidas de los visitantes.
• El uso de cámaras de seguridad y el registro de las entradas y salidas de los visitantes constituye una actividad de procesamiento de datos personales realizada por nuestra empresa.
• La actividad de monitoreo mediante cámaras de seguridad de la empresa tiene como objetivo proteger los intereses relacionados con la seguridad de la empresa y de otras personas, y en este contexto, nuestra empresa actúa de conformidad con la Constitución, la Ley de Protección de Datos Personales (KVK) y otra legislación pertinente.
• En las entradas de los edificios, instalaciones de nuestra empresa y dentro de las instalaciones, se registran imágenes de nuestros visitantes a través de un sistema de cámaras de vigilancia.
• Nuestra empresa, en el marco de la actividad de monitoreo con cámaras de seguridad; tiene como objetivos aumentar la calidad del servicio ofrecido, garantizar su fiabilidad, proteger la seguridad de la empresa, los clientes y otras personas, y proteger los intereses de los clientes respecto al servicio que reciben.
• La actividad de vigilancia mediante cámaras realizada por nuestra empresa con fines de seguridad se lleva a cabo de conformidad con las disposiciones establecidas en la Ley de Protección de Datos Personales (KVK). La actividad de vigilancia mediante cámaras realizada por nuestra empresa se mantiene de acuerdo con la Ley de Servicios de Seguridad Privada y la legislación correspondiente.
• Solo un número limitado de empleados de la Compañía tienen acceso a los registros que se almacenan y conservan en formato digital. Las pocas personas que tienen acceso a los registros declaran, mediante un compromiso de confidencialidad, que protegerán la confidencialidad de los datos a los que acceden.
• De conformidad con el artículo 12 de la Ley KVK, nuestra empresa toma las medidas técnicas y administrativas necesarias para garantizar la seguridad de los datos personales obtenidos como resultado de la actividad de vigilancia mediante cámaras.

Además del registro mediante cámara mencionado anteriormente, nuestra Compañía realiza actividades de procesamiento de datos personales para garantizar la seguridad y con los fines indicados en esta Política, con el objetivo de monitorear el ingreso y salida de visitantes en los edificios e instalaciones de nuestra Compañía.

• Al obtenerse los nombres y apellidos de las personas que ingresan a los edificios de nuestra Compañía como invitados, o a través de los textos que se exhiben en la Compañía o se ponen a disposición de los invitados de otras formas, los titulares de dichos datos personales son informados en este contexto. Los datos obtenidos con el fin de llevar un seguimiento de entradas y salidas de los invitados se procesan únicamente para este propósito o los datos personales relevantes se registran en el sistema de registro de datos en formato físico.
• Para garantizar la seguridad y con los propósitos indicados en este Procedimiento; nuestra empresa puede proporcionar acceso a internet a los Visitantes que lo soliciten durante su estancia dentro de los Edificios e Instalaciones de nuestra empresa. En este caso, los registros de acceso a internet se registran de acuerdo con la Ley N.º 5651 y las disposiciones obligatorias de la legislación reglamentaria de dicha Ley; estos registros solo se procesan si son requeridos por las autoridades públicas competentes o con el fin de cumplir con nuestras obligaciones legales en los procesos de auditoría realizados dentro de la Empresa.
• Solo un número limitado de empleados de la Compañía tienen acceso a los registros de registro obtenidos en este marco. Los empleados de la Compañía que tienen acceso a dichos registros acceden a ellos únicamente para utilizarlos en solicitudes de instituciones públicas autorizadas o en procesos de auditoría y los comparten únicamente con personas legalmente autorizadas. El reducido número de personas que tienen acceso a los registros declara, mediante un compromiso de confidencialidad, que protegerá la confidencialidad de los datos a los que accede.
• Se proporciona información a los visitantes del sitio web a través de la política de cookies.

Categorías de Datos Personales

• Identificación (nombre y apellido, nombre del padre y de la madre, apellido de soltera de la madre, fecha de nacimiento, lugar de nacimiento, estado civil, número de serie del documento de identidad, número de identificación nacional, etc.)
• Comunicación (número de dirección, dirección de correo electrónico, dirección de contacto, dirección de correo electrónico registrada (KEP), número de teléfono, etc.)
• Ubicación (información de la ubicación del lugar donde se encuentra)
• Personal (información de nómina, investigaciones disciplinarias, registros de entrada y salida del trabajo, información de declaración de bienes, información de currículum, informes de evaluación de desempeño, etc.)
• Procedimiento legal (información en correspondencia con autoridades judiciales, información en el expediente judicial, etc.)
• Operación del cliente (como registros del centro de llamadas, factura, letra de cambio, información de cheque, información en los recibos de taquilla, información de pedidos, información de solicitudes)
• Seguridad del Espacio Físico (información de registro de entradas y salidas de empleados y visitantes, grabaciones de cámaras, etc.)
• Seguridad de las transacciones (información de dirección IP, información de entrada y salida del sitio web, información de contraseñas y claves, etc.)
• Gestión de Riesgos (como la información procesada para la gestión de riesgos comerciales, técnicos y administrativos)
• Finanzas (información de balance, información sobre desempeño financiero, información sobre crédito y riesgo, información sobre patrimonio, etc.)
• Experiencia profesional (información del diploma, cursos realizados, información sobre formación en el trabajo, certificados, información de transcripciones, etc.)
• Marketing (información sobre historial de compras, encuestas, registros de cookies, información obtenida mediante campañas)
• Registros visuales y auditivos (como grabaciones visuales y auditivas)
• Raza y Origen Étnico (información sobre raza y origen étnico, etc.)
• Información sobre pensamientos políticos (información que indica la opinión política, información sobre la membresía en un partido político, etc.)
• Creencias filosóficas, religión, secta y otras creencias (información sobre afiliación religiosa, información sobre creencias filosóficas, información sobre afiliación sectaria, información sobre otras creencias, etc.)
• Apariencia y vestimenta (información sobre apariencia y vestimenta)
• Membresía en Asociación (como información de membresía en asociación)
• Membresía de la Fundación (como información de membresía de la fundación)
• Membresía en sindicatos (como información sobre la membresía en sindicatos)
• Información de Salud (como información sobre discapacidad, grupo sanguíneo, información personal de salud, dispositivos y prótesis utilizados)
• Vida Sexual (información relacionada con la vida sexual, etc.)
• Condena Penal y Medidas de Seguridad (información sobre condenas penales, información sobre medidas de seguridad, etc.)
• Datos biométricos (información de la palma de la mano, información de huellas dactilares, información de escaneo de retina, información de reconocimiento facial, etc.)
• Datos Genéticos (como datos genéticos)
• Otra Información (como tipos de datos que serán determinados por el usuario)

Grupos de Personas Sujetos de los Datos

• Candidato a Empleado
• Empleado
• Sujeto
• Persona mencionada en la noticia
• Accionista/Socio
• Potencial Comprador de Producto o Servicio
• Candidato a examen
• Practicante
• Empleado del proveedor
• Representante del proveedor
• Persona que Recibe el Producto o Servicio
• Padre / Tutor / Representante
• Visitante
• Otro

Medidas Técnicas y Administrativas Adoptadas para el Tratamiento y Protección de Datos Personales

La empresa adopta todas las medidas técnicas y administrativas necesarias para garantizar el nivel de seguridad adecuado para la protección de los datos personales. Las medidas previstas en el artículo 12 de la KVKK son las siguientes:

• Prevenir el procesamiento ilegal de los datos personales,
• Prevenir el acceso ilegal a los datos personales,
• Proteger la conservación de los datos personales

Como Responsable de Datos, la Compañía ha iniciado el proceso necesario para la implementación de las siguientes Medidas Técnicas y Administrativas con el fin de mejorar el proceso de Cumplimiento con KVKK.

• Matriz de Autoridad
• Control de permisos
• Registros de acceso
• Gestión de cuentas de usuario
• Aplicación de Seguridad de Red
• Seguridad Cifrado Penetración
• Enmascaramiento de Datos de Registros de Log
• Software de Prevención de Pérdida de Datos
• Cortafuegos de respaldo
• Sistemas Antivirus Actualizados
• Gestión de claves para Eliminación, Destrucción o Anonimización
• Preparación del Inventario de Procesamiento de Datos Personales
• Políticas Corporativas (Acceso, Seguridad de la Información, Uso, Almacenamiento y Eliminación, etc.) Contratos (Responsable de Datos - Responsable de Datos, Responsable de Datos - Encargado de Tratamiento de Datos)
• Declaraciones de Confidencialidad
• Inspecciones periódicas y/o aleatorias dentro de la institución
• Análisis de Riesgo
• Contrato de trabajo, Reglamento de Disciplina (Incorporación de Disposiciones Conforme a la Ley) Comunicación Corporativa (Gestión de Crisis, Comité y Procesos de Información a la Persona Relacionada, Gestión de Reputación, etc.)
• Actividades de Capacitación y Concienciación (Seguridad de la Información y Ley) Notificación al Sistema de Registro de Responsables de Datos (VERBİS)

Derechos del Titular de los Datos Según el Artículo 11 de la Ley de Protección de Datos Personales

Como titulares de datos personales, si envía sus solicitudes relacionadas con sus derechos a nuestra Compañía mediante los métodos establecidos a continuación en el Texto de Clarificación de la Ley de Protección de Datos Personales, nuestra Compañía resolverá la solicitud de forma gratuita dentro de un máximo de 30 (treinta) días según la naturaleza de la solicitud. Sin embargo, si la Autoridad de Protección de Datos Personales prevé un costo, se cobrará la tarifa establecida por nuestra Compañía.

En este contexto, los titulares de datos personales;

• Saber si se procesan o no datos personales,
• Solicitar información sobre los datos personales si han sido procesados,
• Conocer el propósito del procesamiento de los datos personales y si se utilizan de acuerdo con este propósito,
• Conocer a los terceros a quienes se transfieren los datos personales dentro o fuera del país,
• Solicitar la corrección de los datos personales en caso de que hayan sido procesados de manera incompleta o incorrecta y, en este contexto, solicitar que se notifique a los terceros a los que se han transferido los datos personales sobre esta acción,
• A pesar de que los datos personales se procesen de conformidad con la Ley de Protección de Datos Personales y otras disposiciones legales aplicables, solicitar la eliminación o destrucción de los datos personales cuando desaparezcan las razones que justifican su procesamiento y solicitar que el proceso realizado en este contexto sea notificado a terceros a quienes se hayan transferido estos datos personales,
• Impugnación de un resultado adverso para la persona mediante el análisis de los datos procesados exclusivamente por medios automáticos,
• Tiene derecho a solicitar la reparación del daño en caso de que los datos personales sean procesados ilegalmente y causen perjuicio.

Como persona interesada, debe enviar sus reclamaciones de derechos por escrito a nuestra Compañía. En este sentido, para gestionar de manera correcta y rápida las solicitudes que realice a nuestra Compañía en el marco del artículo 11 de la Ley de Protección de Datos Personales (KVK), le recomendamos utilizar el documento "Formulario de Solicitud de Información de la Persona Interesada" que se encuentra bajo el título de Protección de Datos Personales en nuestro sitio web, y proporcionar los documentos/información necesarios según su solicitud, así como los documentos que acrediten su identidad, ya sea en persona o mediante carta registrada con acuse de recibo. Además, también puede enviar su solicitud a través de .............................com.tr utilizando el formulario de solicitud de información para personas interesadas como usuario en línea (con la dirección de correo electrónico que haya proporcionado previamente a nuestra Compañía y que esté registrada en nuestro sistema).

Determinación

El personal de la institución informa sobre cualquier incidente en casos de archivos perdidos o encontrados involuntariamente, problemas en el funcionamiento del agente antivirus, programas que se ejecutan de forma involuntaria o ventanas abiertas, presencia de personal no autorizado en instalaciones críticas de procesamiento de información, archivos confidenciales expuestos a interferencias externas, incumplimiento de los procedimientos establecidos, etc.

Evaluación y Reporte

Cuando los incidentes de violación de la seguridad de la información se informan a la Unidad de Gestión de Calidad mediante el Formulario de Notificación de Incidente No Deseado İO.FR.001, la Unidad de Gestión de Calidad evalúa el incidente de violación y, si se determina que hubo una violación, informa a la alta dirección mediante un informe.

El informe contiene al menos los siguientes títulos;

• Pruebas recopiladas.
• Tipo de evidencia.
• Lugar de conservación de pruebas.
• Fecha y hora de la evidencia.
• Si se ha iniciado una acción correctiva relacionada con el incidente, el formulario de acción correctiva
• Fecha y hora de detección del incidente de violación.

Los aspectos a tener en cuenta para la notificación de incidentes de seguridad de la información son los siguientes:

• Regulaciones de seguridad física e información de acceso a los entornos.
• Control de seguridad ineficaz.
• Violación del estado de confidencialidad, integridad y accesibilidad de la información.
• Errores humanos.
• Cambios de software o hardware no controlados.
• Averías.
• Control de acceso.
• Incumplimiento de políticas y procedimientos.
• Vulnerabilidades detectadas por software de seguridad del sistema.

Los registros abiertos para los temas mencionados anteriormente se evaluarán en las reuniones de revisión de gestión de calidad. Los incidentes de incumplimiento se medirán dentro del alcance de la evaluación de riesgos.

El mecanismo de evaluación es el siguiente:

• En la evaluación de los incidentes de violación, se consideran el número de incidentes y el impacto de los mismos.
• Los datos provenientes de incidentes de violación se utilizan como medida en las evaluaciones de riesgo.
• El valor del impacto se discute en las reuniones de seguridad de la información y se refleja en los valores de probabilidad de riesgo según el número de registros y el impacto de los registros.
• Si a fin de año el número de registros aumenta entre un 7% y un 10%, se brindarán capacitaciones adicionales de concienciación a los usuarios.
• Si al final del año hay un aumento del 11% al 30% en el número de registros, se organizará una reunión adicional para revisar los procedimientos.
• Si a fin de año el número de registros aumenta en un 31% o más, se tomarán decisiones sobre capacitaciones de concienciación, actualizaciones de procedimientos, inversiones y cambios estructurales.

Intervención

• No se realiza ningún cierre por vulnerabilidad que pueda destruir o dañar la evidencia.
• Para todos los incidentes detectados mediante controles o situaciones reportadas y cuyos evidencias han sido recopiladas, la vulnerabilidad que causó el incidente se corrige antes de otros procesos.
• Cuando se considere necesario intervenir, se aplica el Procedimiento de Continuidad del Negocio BY.PR.001.

Tomar precauciones y adquirir experiencia

Se toman las medidas necesarias para prevenir que los incidentes de seguridad de la información detectados y cuyas pruebas se han recopilado vuelvan a ocurrir. Todos los incidentes de seguridad de la información que ocurren se revisan con el propósito de adquirir experiencia y la información aprendida se registra. La adquisición de experiencia tiene como objetivo evitar que cualquier incidente se repita o, si vuelve a ocurrir, encontrar una solución al problema en menos tiempo.

Cualquiera de los siguientes procedimientos puede aplicarse para prevenir un incidente de violación de seguridad:

• Los registros creados se examinan y se registran la información necesaria para las soluciones.
• Para los incidentes causados por aplicaciones incorrectas, se deben elaborar procedimientos escritos.
• Los procedimientos se revisan y corrigen para los eventos derivados de los procedimientos.
• Se verifica si existe un registro de riesgo del incidente de seguridad de la información ocurrido; si existe, el riesgo se reevalúa, y si no existe, se crea un registro de riesgo para ser evaluado.
• Para los problemas relacionados con el acceso, los accesos se vuelven a revisar y también se controlan otros permisos de acceso similares.
• En los incidentes derivados de software y aplicaciones se controlan las actualizaciones, y el incidente se cierra mediante métodos como cierre de vulnerabilidades, actualización y desarrollo de parches.
• Las medidas tomadas para problemas derivados de los equipos físicos se aplican también a otros equipos similares.
• Para los incidentes causados por códigos maliciosos, se identifica la fuente del problema y se evalúa la suficiencia de los programas de seguridad. Las medidas encontradas se aplican obligatoriamente a todos los sistemas.

Registro y recopilación de evidencia

• En la fase de registro y recopilación de evidencia, en primer lugar, se verifica que la integridad de los registros mediante los cuales se puede determinar el evento y el responsable no se haya visto comprometida.
• Solo se utilizan registros cuya integridad se haya mantenido como evidencia.
• Las pruebas recogidas para incidentes de violación de la seguridad de la información se conservan durante 3 años.
• En los casos relacionados con la detección de incidentes de violación de la seguridad de la información, se conservan, si existen, registros de cámaras, registros de acceso, registros de control, registros mantenidos por software de seguridad del sistema, registros de costos necesarios para la resolución de problemas, así como registros que puedan ser necesarios para evaluar incidentes de violación de la seguridad de la información y que determinarán la frecuencia futura de los incidentes, los límites de daño y los costos.

Mejora

• Se proporciona formación de concienciación a los empleados sobre seguridad de la información y protección de datos personales.
• Las contraseñas utilizadas en el sistema de gestión de la información son compatibles con las políticas de contraseñas del Ministerio.
• Se hace que los responsables y usuarios del sistema de gestión de la información firmen un acuerdo de confidencialidad.
• Se realiza una evaluación de riesgos sobre peligros físicos dirigidos al sistema de gestión de la información, problemas relacionados con software y hardware, seguridad de la información, confidencialidad de la información, protección de datos personales y errores de los usuarios.
• En las violaciones de seguridad de la información se deben realizar actividades correctivas y evaluar la situación, implementar mejoras y, después de la mejora, informar a la alta dirección y a los empleados.