حفاظت از داده‌های شخصی

اصول اساسی در پردازش داده‌های شخصی:

پردازش مطابق قانون و قاعده صداقت

شرکت ما در پردازش داده‌های شخصی، مطابق با اصول مقرر شده توسط مقررات قانونی و مطابق با اصل اعتماد عمومی و صداقت عمل می‌کند.

درست و در صورت نیاز به‌روز بودن

برای اطمینان از اینکه اطلاعات شخصی پردازش شده توسط شرکت درست و مطابق با وضعیت به‌روز باشد، اقدامات لازم اتخاذ می‌گردند و اطلاعات ارائه می‌شود تا دارندگان داده‌ها فرصت‌های لازم برای اطمینان از انعکاس وضعیت واقعی داده‌های پردازش‌شده برای آن‌ها فراهم شود.

پردازش برای اهداف مشخص، روشن و قانونی

شرکت ما هدف پردازش داده‌های شخصی را که قانونی و مطابق با قانون است، به طور روشن و قطعی تعیین می‌کند. شرکت ما داده‌های شخصی را به میزانی پردازش می‌کند که مرتبط با خدمات ارائه شده و ضروری برای آن‌ها است. هدف پردازش داده‌های شخصی توسط شرکت ما قبل از شروع فعالیت پردازش داده‌های شخصی مشخص می‌شود.

مرتبط با هدف پردازش، محدود و متناسب بودن

داده‌ها توسط شرکت مطابق با قانون حفاظت از داده‌های شخصی (KVKK) و سایر مقررات مربوطه و بر اساس دسته‌بندی داده‌ها پردازش می‌شوند به گونه‌ای که امکان تحقق اهداف مشخص شده را فراهم کنند، مرتبط با تحقق آن اهداف باشند و متناسب پردازش شوند و از پردازش داده‌های شخصی غیرضروری خودداری می‌شود.

حفظ به اندازه مدت زمان پیش‌بینی شده در قوانین مربوط یا مورد نیاز برای هدف پردازش

اطلاعات شخصی که توسط شرکت پردازش می‌شوند، تنها به مدت زمان لازم برای اهداف پردازش یا مطابق با مدت زمان تعیین‌شده در مقررات مربوطه حفظ می‌گردند. در این زمینه، شرکت در صورتی که در مقررات مربوطه مدت زمانی برای نگهداری داده‌ها مشخص شده باشد، از آن تبعیت می‌کند؛ اگر چنین مدت زمانی مشخص نباشد، داده‌ها تنها به مدت زمانی که برای هدف پردازش لازم است نگهداری می‌شوند. شرکت بر اساس امکان استفاده در آینده، داده‌ها را نگهداری نمی‌کند.

• در چارچوب اقدامات امنیت فیزیکی (درهای ورودی و خروجی، اتاق‌های اداری، مناطق تحویل محصول، ایمنی انبارها و استفاده از کارت‌های شناسایی پرسنل و غیره) تمامی پرسنل ملزم به رعایت قوانین تعیین شده هستند.
• محافظت در برابر ویروس‌ها و مهاجمان بر عهده مسئول فناوری اطلاعات است. مسئول مربوطه، برای محافظت در برابر ویروس‌ها و مهاجمان سخت‌افزار و نرم‌افزارهای لازم را به مدیریت ارشد گزارش می‌دهد و اقدامات لازم را انجام می‌دهد. این اقدامات شامل حداقل شرایط مورد نیاز توسط وزارت بهداشت است که شامل نرم‌افزارهای ضد ویروس و تجهیزات سخت‌افزاری و نرم‌افزاری مانند فایروال می‌باشد. به‌روزرسانی این نرم‌افزارها بر عهده مسئول سیستم‌های مدیریت اطلاعات است. هنگامی که زمان به‌روزرسانی فرا می‌رسد، با اطلاع دادن به مدیریت ارشد، به‌روزرسانی‌ها را انجام می‌دهد.

انجام فعالیت‌های پردازش داده‌های شخصی مطابق با KVKK

شرایط پردازش داده‌های شخصی توسط قانون حفاظت از داده‌های شخصی تنظیم شده است و داده‌های شخصی توسط شرکت مطابق با شرایط مذکور پردازش می‌شوند.

شرکت فقط با حصول رضایت صریح دارندگان داده‌ها به پردازش داده‌های شخصی می‌پردازد، مگر در موارد استثنائی که در قانون ذکر شده است. در صورت وجود شرایط زیر که در قانون ذکر شده است، داده‌های شخصی حتی بدون رضایت صریح دارنده داده می‌تواند پردازش شود.

• پیش‌بینی صریح در قوانین،
• ضرورت برای حفظ جان یا تمامیت جسمانی خود یا دیگری در صورتی که فرد به دلیل ناممکن بودن عملی نتواند رضایت خود را ابراز کند یا رضایت او از نظر قانونی معتبر نباشد،
• ضروری بودن پردازش داده‌های شخصی متعلق به طرفین قرارداد، به شرط اینکه مستقیماً با ایجاد یا اجرای قرارداد مرتبط باشد.
• الزامی بودن برای انجام تعهد قانونی مسئول داده,
• علنی شدن توسط خود صاحب داده,
• ضرورت پردازش داده‌ها برای ایجاد، استفاده یا حفاظت از یک حق,
• به شرط اینکه به حقوق و آزادی‌های اساسی صاحب داده آسیب نرساند، پردازش داده برای منافع قانونی مسئول داده ضروری است.
• شرکت در پردازش داده‌های شخصی خاص که از دیدگاه مالک داده‌ها اهمیت حیاتی بیشتری برای محافظت دارند، حساسیت ویژه‌ای نشان می‌دهد. در این راستا، به شرطی که اقدامات کافی تعیین شده توسط واحد مدیریت کیفیت اتخاذ شود، این نوع داده‌ها بدون رضایت صریح مالک داده پردازش نمی‌شوند. با این حال، داده‌های خاص شخصی به جز داده‌های مربوط به سلامت و زندگی جنسی، در شرایط پیش‌بینی شده در قوانین، حتی بدون رضایت صریح مالک داده نیز قابل پردازش هستند.

داده‌های مربوط به سلامت و زندگی جنسی، در صورت اتخاذ اقدامات کافی و وجود دلایل ذکر شده در زیر، بدون رضایت صریح قابل پردازش هستند:

• حفاظت از سلامت عمومی،
• پزشکی پیشگیرانه,
• تشخیص پزشکی,
• اجرای خدمات درمان و مراقبت
• برنامه‌ریزی و مدیریت خدمات سلامت و تأمین مالی آن.

توضیح دادن در مورد فعالیت پردازش داده‌های شخصی که توسط شرکت به طور قانونی انجام می‌شود و سیستم‌های اتخاذ شده برای حفاظت از داده‌های شخصی، در این راستا شامل مشتریان ما، مشتریان بالقوه، کارکنان ما، متقاضیان کار، مسئولان شرکت، بازدیدکنندگان، کارکنان و مسئولان سازمان‌هایی که با آن‌ها همکاری داریم و نیز افراد ثالثی که داده‌های شخصی آن‌ها پردازش می‌شود، است، به منظور اطلاع‌رسانی به اشخاصی که داده‌های شخصی‌شان توسط شرکت ما پردازش می‌شود و ایجاد شفافیت.

• مرکز پزشکی مطابق با سیاست سازمانی سیستم مدیریت اطلاعات BY.YD.002 ساختار دامنه را ایجاد کرده و تمام کامپیوترها در حالت "ورود به دامنه" کار می‌کنند. کامپیوترهایی که به دامنه متصل نیستند از شبکه محلی جدا می‌شوند و میان دستگاه‌های شبکه محلی تبادل اطلاعات صورت نمی‌گیرد.
• به جز اسناد رسمی، برنامه‌ها و مدارک آموزشی، مبادله فایل از طریق کامپیوترها مجاز نیست
• دسترسی به اینترنت و اتصالات استفاده از ایمیل توسط دستگاه فایروال موجود در مرکز پزشکی کنترل می‌شود.
• برای تمام پرسنل مجاز که در مرکز پزشکی مشغول به کار می‌شوند، آدرس ایمیل سازمانی ایجاد می‌شود.
• ایمیل‌ها و رمزهای عبور هنگام ارائه آموزش به پرسنل مربوطه ارسال می‌شوند.
• کاربر تأیید می‌کند که تمام بیانیه‌هایی که در طول ایمیل بیان می‌کند متعلق به خود اوست. ارسال پیام‌هایی که ممکن است جرم محسوب شوند؛ تهدیدآمیز، غیرقانونی، توهین‌آمیز، فحاشی یا افترا آمیز، و مغایر با اخلاق مسئولیت آن با کاربر است.
• کاربر نمی‌تواند در حساب خود مواد و اسنادی که از نظر قانونی جرم محسوب می‌شوند قرار دهد و نمی‌تواند از نرم‌افزارهایی که به دارندگان حساب‌های شخصی آسیب می‌رسانند استفاده کند.
• او نمی‌تواند سرور یک سیستم دیگر یا حساب یک کاربر دیگر را بدون اجازه شخص مربوطه برای ارسال پیام استفاده کند.
• کاربر نمی‌تواند حساب خود را به صورت تجاری و برای اهداف سودآور استفاده کند. نمی‌تواند برای تعداد زیادی کاربر به صورت گروهی ایمیل‌هایی با هدف تبلیغات، معرفی، اطلاعیه و غیره (هرزنامه) ارسال کند.
• مسئولیت قانونی ناشی از حقوق انتشار هر گونه اطلاعات موجود در حساب بر عهده کاربر است.

اطلاع‌رسانی و روشن‌سازی مالک داده‌های شخصی

شرکت ما مطابق ماده 10 قانون حفاظت از داده‌های شخصی، هنگام جمع‌آوری داده‌های شخصی، صاحبان داده‌های شخصی را مطلع می‌سازد. در این زمینه، شرکت درباره اهداف پردازش داده‌های شخصی، اشخاص و اهدافی که داده‌های پردازش‌شده ممکن است به آن‌ها منتقل شوند، روش و مبنای قانونی جمع‌آوری داده‌های شخصی و حقوق صاحب داده‌های شخصی اطلاع‌رسانی می‌کند.

در ماده ۲۰ قانون اساسی، مشخص شده است که هر فرد حق دارد درباره داده‌های شخصی مربوط به خود مطلع شود. در این راستا، در ماده ۱۱ قانون حفاظت از داده‌های شخصی نیز، حق «درخواست اطلاعات» در میان حقوق دارنده داده‌های شخصی ذکر شده است. شرکت ما در این چارچوب، در صورت درخواست اطلاع‌رسانی از سوی دارنده داده‌های شخصی، مطابق با ماده ۲۰ قانون اساسی و ماده ۱۱ قانون حفاظت از داده‌های شخصی، اطلاعات لازم را ارائه می‌دهد.

اهداف پردازش داده‌های شخصی

از جمله داده‌های سلامتی شما، داده‌های شخصی با ماهیت ویژه و داده‌های شخصی شما، توسط شرکت به شیوه‌ای محدود و متناسب و در ارتباط با اهداف زیر و محدود به این اهداف، پردازش می‌شوند؛

• نام، نام خانوادگی، شماره شناسنامه ترکیه، شماره شناسنامه موقت ترکیه، شماره گذرنامه، محل و تاریخ تولد، وضعیت تأهل، جنسیت، شماره بیمه یا پروتکل بیمار و سایر اطلاعات هویتی شما که شما را شناسایی می‌کند.
• آدرس شما، شماره تلفن شما، آدرس پست الکترونیکی شما
• نتایج آزمایش‌های شما، نتایج آزمایشگاه و تصویربرداری شما، داده‌های معاینه شما، اطلاعات نسخه‌های شما و داده‌های مربوط به سلامت و زندگی جنسی شما که در جریان اجرای خدمات تشخیص، درمان و مراقبت پزشکی به دست آمده است و محدود به این‌ها نبوده و شامل داده‌های سلامت شما می‌باشد،
• شماره‌ی IBAN شما، اطلاعات کارت اعتباری شما،
• در طول بازدید از مرکز پزشکی، تصاویر و ضبط صوتی شما توسط سیستم دوربین مداربسته گرفته می‌شود،
• در صورت تماس با پذیرش/مشاوره بیمار، ضبط مکالمه‌های صوتی شما انجام می‌شود.
• داده‌های شما در رابطه با بیمه سلامت خصوصی به منظور تأمین مالی و برنامه‌ریزی خدمات بهداشتی و درمانی.

شرکت ما داده‌های شخصی را تنها در چارچوب اهداف و شرایط ذکر شده در بند 2 ماده 5 و بند 3 ماده 6 قانون حفاظت از داده‌های شخصی شماره ۶۶۹۸ پردازش می‌کند.

این اهداف و شرایط؛

• وجود فعالیت مربوطه توسط شرکت ما در مورد پردازش داده‌های شخصی شما باید به‌طور صریح در قوانین پیش‌بینی شده باشد.
• پردازش داده‌های شخصی شما توسط شرکت ما مستقیماً مرتبط و ضروری برای ایجاد یا اجرای یک قرارداد است،
• پردازش داده‌های شخصی شما ضروری است تا شرکت ما بتواند تعهدات قانونی خود را انجام دهد،
• با شرط اینکه داده‌های شخصی شما توسط خودتان علنی شده باشد؛ پردازش داده‌ها توسط شرکت ما محدود به هدف شما از علنی‌سازی می‌شود،
• پردازش داده‌های شخصی شما توسط شرکت ما ضروری است تا حقوق شرکت ما یا شما یا اشخاص ثالث تأمین، استفاده یا محافظت شود،
• با رعایت این که به حقوق و آزادی‌های اساسی شما آسیب نرسد، فعالیت پردازش داده‌های شخصی برای منافع قانونی شرکت ما الزامی است.
• پردازش داده‌های شخصی توسط شرکت ما در صورتی مجاز است که برای حفاظت از زندگی یا یکپارچگی جسمی صاحب داده یا شخص دیگری ضروری باشد و در این حالت صاحب داده به دلیل ناممکن‌بودن عملی یا بی‌اعتباری قانونی قادر به اعلام رضایت خود نباشد.
• پردازش داده‌های شخصی حساس غیر از وضعیت سلامت و زندگی جنسی دارنده داده، در صورتی که در قوانین پیش‌بینی شده باشد
• پردازش داده‌های شخصی با ماهیت ویژه که مربوط به سلامت و زندگی جنسی دارنده داده شخصی است، توسط افرادی که تحت وظیفه محرمانگی هستند یا موسسات و نهادهای مجاز، به منظور حفاظت از سلامت عمومی، پزشکی پیشگیرانه، تشخیص پزشکی، انجام خدمات درمانی و مراقبتی، برنامه‌ریزی و مدیریت خدمات بهداشتی و تأمین مالی آن، انجام می‌شود.

تحت شرایط ذکر شده در بالا؛ شرکت ما می‌تواند داده‌های شخصی را، از جمله ولی نه محدود به اهداف زیر، پردازش کند:

• حفاظت از سلامت عمومی، پزشکی پیشگیرانه، تشخیص پزشکی، درمان و ارائه خدمات مراقبتی،
• به منظور برنامه‌ریزی و مدیریت خدمات سلامت و تأمین مالی آن
• تأیید هویت شما
• در صورت گرفتن نوبت، امکان اطلاع‌رسانی درباره نوبت برای شما فراهم است.
• تأیید ارتباط خود با مؤسسات همکار مرکز پزشکی
• رعایت الزامات قانونی و مقرراتی
• توسط بخش‌های خدمات بیمار، امور مالی و بازاریابی، تأمین مالی خدمات پزشکی شما و هزینه‌های آزمایش، تشخیص و درمان شما انجام می‌شود.
• طبق مقررات مربوطه، اشتراک‌گذاری اطلاعات درخواست‌شده با وزارت بهداشت و سایر نهادها و مؤسسات عمومی انجام می‌شود.
• به اشتراک گذاشتن هرگونه اطلاعاتی که توسط شرکت‌های بیمه خصوصی در چارچوب تأمین مالی خدمات بهداشتی و درمانی درخواست می‌شود.
• به منظور بهبود خدماتی که ارائه می‌دهیم، تحلیل استفاده شما از خدمات بهداشتی
• برای انجام فعالیت‌های تجاری که توسط شرکت اجرا می‌شوند، واحدهای مرتبط ما اقدامات لازم را انجام می‌دهند و فرآیندهای کاری مربوطه را نیز دنبال می‌کنند؛
• برنامه‌ریزی و اجرای فعالیت‌ها برای تضمین فعالیت‌های کاری و تداوم کسب‌وکار،
• پیگیری امور مالی و/یا حسابداری،
• ارائه اطلاعات به نهادهای مجاز مطابق با قانون،
• برنامه‌ریزی و اجرای فعالیت‌های ارتباطات سازمانی،
• اجرای سیاست‌های منابع انسانی شرکت ما تضمین می‌شود؛
• تأمین امنیت حقوقی و تجاری شرکت ما و افرادی که با شرکت ما در رابطه کاری هستند؛
• اجرای فعالیت‌های ارزیابی رضایت برای مشتریان فعلی، مدیریت سازمان و رویدادها
• اجرای فعالیت‌های بهداشت و ایمنی شغلی،
• اجرای فرآیندهای امنیت اطلاعات و امنیت فیزیکی
• تأیید اطلاعات شخصی که از طریق وب‌سایت سازمانی و برنامه‌های موبایل اقدام به انجام تراکنش می‌کند،

حذف، از بین بردن یا ناشناس‌سازی داده‌های شخصی

با این فرض که مقررات سایر قوانین مربوط به پاک‌سازی، از بین بردن یا ناشناس کردن داده‌های شخصی محفوظ است، شرکت، حتی اگر مطابق با این قانون و سایر مقررات قانونی اقدام کرده باشد، در صورت از بین رفتن دلایل نیاز به پردازش، داده‌های شخصی را به صورت خودکار یا بر اساس درخواست صاحب داده‌های شخصی/شخص مرتبط، در چارچوب اصول مندرج در رویهٔ امنیت اطلاعات و حفاظت از داده‌های شخصی BY.PR.004 پاک، از بین یا ناشناس می‌کند.

پاک‌سازی داده‌های شخصی؛ فرآیندی است که طی آن داده‌های شخصی برای کاربران مرتبط به هیچ وجه قابل دسترسی و استفاده مجدد نباشد.

حذف داده‌ها یعنی فرآیندی که طی آن داده‌های شخصی به گونه‌ای قرار می‌گیرند که هیچ کس به هیچ شکل قادر به دسترسی، بازیابی یا استفاده مجدد از آن‌ها نباشد.

با ناشناس‌سازی داده‌ها، تضمین می‌شود که داده‌های شخصی حتی در صورت مطابقت با سایر داده‌ها، به هیچ عنوان به شخص حقیقی شناسایی‌شده یا قابل‌شناسایی مرتبط نمی‌شوند.

انتقال داده‌های شخصی

اطلاعات شخصی شما که در چارچوب اهداف اعلام شده پردازش شده‌اند؛ مطابق با اصول پایه پیش‌بینی شده در قانون حفاظت از داده‌های شخصی و در محدوده شرایط و اهداف پردازش داده‌های شخصی مندرج در ماده ۸ و ۹ قانون حفاظت از داده‌های شخصی،

• وزارت بهداشت و واحدهای زیرمجموعه آن
• نمایندگانی که به آن‌ها دسترسی داده‌اید،
• شرکت‌های بیمه خصوصی،
• سازمان تامین اجتماعی
• اداره کل انتظامی و سایر نیروهای انتظامی،
• اداره کل ثبت احوال
• اتحادیه داروسازان ترکیه,
• دادگاه‌ها و کلیه مراجع قضایی، متمرکز و سایر اشخاص ثالث,
• وکلاء،
• آزمایشگاه‌ها، مراکز پزشکی، آمبولانس‌ها، تجهیزات پزشکی و مؤسساتی که خدمات سلامت ارائه می‌دهند و ما برای تشخیص و درمان پزشکی با آنها همکاری داریم،
• به منظور ارائه خدمات، به طور محدود تأمین‌کنندگان ما

می‌تواند به اشتراک گذاشته شود.

انتقال داده‌های شخصی به خارج از کشور

شرکت ما می‌تواند با اتخاذ تدابیر امنیتی لازم و مطابق با اهداف قانونی پردازش داده‌های شخصی، داده‌های شخصی و داده‌های شخصی با خصوصیّت ویژه متعلق به صاحب داده‌های شخصی را به اشخاص ثالث خارج از کشور منتقل کند. داده‌های شخصی توسط شرکت ما؛ به کشورهایی خارجی که توسط مؤسسه KVK به عنوان دارای حفاظت کافی اعلام شده‌اند («کشور خارجی دارای حفاظت کافی») یا در صورت عدم وجود حفاظت کافی، به کشورهایی خارجی که در آن‌ها مسئولان داده در ترکیه و کشورهای خارجی مربوطه تعهد کتبی به حفاظت کافی داده‌اند و با اجازه مؤسسه KVK هستند («کشور خارجی دارای مسئول داده تعهد کننده حفاظت کافی») منتقل می‌شوند. شرکت ما در این راستا مطابق با مقررات مندرج در ماده ٩ قانون KVK عمل می‌کند.

ساختمان، ورودی‌های تأسیسات و فعالیت‌های پردازش داده‌های شخصی انجام شده در داخل آن به همراه بازدیدکنندگان وب‌سایت

• فعالیت‌های پردازش داده‌های شخصی که توسط شرکت در ورودی‌های ساختمان و داخل تاسیسات انجام می‌شود، به شکلی مطابق با قانون اساسی، قانون حفاظت از داده‌های شخصی و سایر قوانین مرتبط اجرا می‌شوند.
• شرکت ما به منظور تأمین امنیت، در ساختمان‌ها و تأسیسات خود اقدام به نظارت با دوربین‌های مداربسته و پردازش داده‌های شخصی به منظور پیگیری ورود و خروج مهمانان می‌نماید.
• استفاده از دوربین‌های امنیتی و ثبت ورود و خروج مهمانان، توسط شرکت ما به عنوان فعالیت پردازش داده‌های شخصی انجام می‌شود.
• فعالیت نظارت با دوربین‌های امنیتی توسط شرکت به منظور حفاظت از منافع مرتبط با تأمین امنیت شرکت و دیگر افراد انجام می‌شود و در این چارچوب، شرکت ما مطابق با قانون اساسی، قانون حفاظت از داده‌های شخصی (KVK) و سایر مقررات مربوطه عمل می‌کند.
• در ورودی ساختمان و تأسیسات شرکت ما و همچنین داخل تأسیسات، از طریق سیستم نظارت با دوربین، تصاویر بازدیدکنندگان ضبط می‌شود.
• شرکت ما در چارچوب فعالیت نظارت با دوربین مداربسته؛ با اهداف افزایش کیفیت خدمات ارائه شده، تضمین اعتمادبه‌نفس، تأمین امنیت شرکت، مشتریان و دیگر افراد و حفاظت از منافع مشتریان در رابطه با خدمات دریافت‌شده عمل می‌کند.
• فعالیت نظارتی با دوربین به‌منظور امنیت توسط شرکت ما مطابق با مقررات مندرج در قانون حفاظت از داده‌های شخصی (KVK) انجام می‌شود. فعالیت نظارتی با دوربین انجام‌شده توسط شرکت ما مطابق با قانون خدمات امنیت خصوصی و مقررات مربوطه ادامه می‌یابد.
• تنها تعداد محدودی از کارکنان شرکت به رکوردهایی که به صورت دیجیتال ثبت و نگهداری شده‌اند دسترسی دارند. تعداد محدودی از افرادی که به رکوردها دسترسی دارند با تعهدنامه حفظ محرمانه‌گی اظهار می‌نمایند که محرمانگی داده‌هایی که به آن‌ها دسترسی دارند را حفظ خواهند کرد.
• شرکت ما مطابق ماده ۱۲ قانون KVK، اقدامات فنی و اداری لازم برای تأمین امنیت داده‌های شخصی به‌دست‌آمده از فعالیت نظارت با دوربین را اتخاذ می‌کند.

علاوه بر ثبت با دوربین که در بالا ذکر شد، شرکت ما اقدامات پردازش داده‌های شخصی را برای اطمینان از امنیت و اهداف ذکر شده در این سیاست، در ساختمان‌ها و تأسیسات شرکت و به منظور پیگیری ورود و خروج مهمانان انجام می‌دهد.

• هنگام جمع‌آوری نام و نام‌خانوادگی افرادی که به عنوان مهمان به ساختمان‌های شرکت ما می‌آیند، یا از طریق متون نصب‌شده در شرکت یا متون ارائه‌شده به دیگر صورت‌ها برای دسترسی مهمانان، صاحبان داده‌های شخصی موردنظر در این زمینه اطلاع داده می‌شوند. داده‌هایی که به منظور پیگیری ورود و خروج مهمانان جمع‌آوری می‌شوند، تنها برای این منظور پردازش می‌شوند یا داده‌های شخصی مربوطه در محیط فیزیکی در سیستم ثبت داده‌ها ذخیره می‌شوند.
• شرکت ما به منظور تأمین امنیت و اهدافی که در این رویه ذکر شده است؛ در طول مدت اقامت بازدیدکنندگانی که درخواست آن را داشته باشند، امکان دسترسی به اینترنت را در ساختمان‌ها و تأسیسات خود فراهم می‌کند. در این صورت، گزارش‌های مربوط به دسترسی شما به اینترنت طبق قانون شماره 5651 و مقررات ناظر بر آن ثبت می‌شود؛ این گزارش‌ها تنها در صورتی پردازش می‌شوند که توسط نهادهای دولتی مجاز درخواست شود یا در فرآیندهای بازرسی داخلی شرکت به منظور انجام تعهد قانونی مربوطه مورد استفاده قرار گیرد.
• فقط تعداد محدودی از کارمندان شرکت به سوابق لاگ به‌دست آمده در این چارچوب دسترسی دارند. کارمندانی که به این سوابق دسترسی دارند، این سوابق را تنها برای استفاده در درخواست یا فرایندهای بازرسی از سوی نهادها و مؤسسات عمومی مجاز بررسی می‌کنند و آنها را با افراد قانونی مجاز به اشتراک می‌گذارند. تعداد محدودی از افرادی که به سوابق دسترسی دارند، با تعهدنامه حفظ محرمانگی اعلام می‌کنند که محرمانگی داده‌هایی را که به آنها دسترسی دارند، حفظ خواهند کرد.
• برای بازدیدکنندگان سایت اینترنتی، از طریق سیاست کوکی‌ها اطلاع‌رسانی انجام می‌شود.

دسته‌های داده‌های شخصی

• هویت (نام و نام خانوادگی، نام مادر و پدر، نام خانوادگی قبل از ازدواج مادر، تاریخ تولد، محل تولد، وضعیت تاهل، شماره سریال کارت شناسایی، شماره شناسایی ملی و غیره)
• ارتباط (شماره آدرس، آدرس ایمیل، آدرس تماس، آدرس پست الکترونیکی ثبت‌شده (KEP)، شماره تلفن و غیره)
• مکان (اطلاعات موقعیت مکانی فرد)
• اطلاعات شخصی (اطلاعات فیش حقوقی، تحقیق انضباطی، مدارک ورود و خروج از شغل، اطلاعات اظهارنامه دارایی، سوابق تحصیلی، گزارش‌های ارزیابی عملکرد و مانند آن)
• فرآیند حقوقی (اطلاعات موجود در مکاتبات با مراجع قضایی، اطلاعات پرونده قضایی و مانند آن)
• عملیات مشتری (اطلاعات مرکز تماس، فاکتور، سفته، چک، اطلاعات موجود در رسیدهای شعبه، اطلاعات سفارش، اطلاعات درخواست و غیره)
• ایمنی مکان فیزیکی (اطلاعات ثبت ورود و خروج کارکنان و بازدیدکنندگان، ضبط دوربین‌ها و غیره)
• امنیت عملیات (اطلاعات آدرس IP، اطلاعات ورود و خروج سایت اینترنتی، اطلاعات رمز عبور و کلمه عبور و غیره)،
• مدیریت ریسک (مانند اطلاعات پردازش‌شده برای مدیریت ریسک‌های تجاری، فنی، اداری)
• امور مالی (اطلاعات ترازنامه، اطلاعات عملکرد مالی، اطلاعات اعتباری و ریسک، اطلاعات دارایی‌ها و غیره)
• تجربه شغلی (اطلاعات دیپلم، دوره‌های گذرانده شده، اطلاعات آموزش‌های حرفه‌ای، گواهینامه‌ها، اطلاعات ریزنمرات و غیره)
• بازاریابی (اطلاعات سابقه خرید، نظر سنجی، سوابق کوکی‌ها، اطلاعات به دست آمده از کمپین‌ها)
• ضبط‌های تصویری و صوتی (مانند ضبط‌های تصویری و صوتی)
• نژاد و پیشینه قومی (مانند اطلاعات نژاد و پیشینه قومی)
• اطلاعات عقاید سیاسی (اطلاعاتی که عقاید سیاسی فرد را مشخص می‌کند، اطلاعات عضویت در حزب سیاسی و غیره)
• اعتقادات فلسفی، دین، فرقه و سایر اعتقادات (اطلاعات مربوط به وابستگی دینی، اطلاعات مربوط به باور فلسفی، اطلاعات مربوط به وابستگی فرقه‌ای، اطلاعات مربوط به سایر اعتقادات و غیره)
• ظاهر و لباس (اطلاعات مربوط به ظاهر و لباس)
• عضویت انجمن (مانند اطلاعات عضویت انجمن)
• عضویت در بنیاد (مانند اطلاعات عضویت در بنیاد)
• عضویت در اتحادیه (مانند اطلاعات عضویت در اتحادیه)
• اطلاعات سلامت (اطلاعات مربوط به وضعیت معلولیت، گروه خونی، اطلاعات سلامت شخصی، اطلاعات دستگاه‌ها و پروتزهای مورد استفاده و غیره)
• زندگی جنسی (اطلاعات مربوط به زندگی جنسی و غیره)
• مجازات کیفری و تدابیر امنیتی (اطلاعات مربوط به مجازات کیفری، اطلاعات مربوط به تدابیر امنیتی و غیره)
• داده‌های بیومتریک (مانند اطلاعات کف دست، اثر انگشت، اسکن شبکیه، اطلاعات تشخیص چهره)
• داده‌های ژنتیکی (مانند داده‌های ژنتیکی)
• سایر اطلاعات (مانند نوع داده‌هایی که توسط کاربر تعیین می‌شود)

گروه‌های افراد موضوع داده

• نامزد کارمند
• کارمند
• موضوع آزمایش
• فرد موضوع خبر
• سهامدار/شریک
• خریدار بالقوه محصول یا خدمات
• نامزد امتحان
• کارآموز
• کارمند تأمین‌کننده
• مسئول تأمین‌کننده
• فرد دریافت‌کننده محصول یا خدمت
• ولی / قیم / نماینده
• بازدیدکننده
• سایر

اقدامات فنی و اداری اتخاذ شده در رابطه با پردازش و حفاظت از داده‌های شخصی

شرکت، کلیه تدابیر فنی و اداری لازم به منظور تأمین سطح امنیتی مناسب برای حفاظت از داده‌های شخصی را اتخاذ می‌کند. تدابیری که در ماده ۱۲ قانون حفاظت از داده‌های شخصی (KVKK) پیش‌بینی شده‌اند عبارتند از:

• جلوگیری از پردازش غیرقانونی داده‌های شخصی،
• جلوگیری از دسترسی غیرقانونی به داده‌های شخصی،
• حفاظت از داده‌های شخصی

به عنوان مسئول داده، شرکت فرآیند لازم برای اجرای اقدامات فنی و اداری زیر به منظور بهبود روند مطابقت با قانون حفاظت از داده‌های شخصی را آغاز کرده است.

• ماتریس دسترسی
• کنترل دسترسی
• لاگ‌های دسترسی
• مدیریت حساب کاربری
• اجرای امنیت شبکه
• امنیت رمزگذاری نفوذ
• لاگ ثبت‌ها و پوشش داده‌های اطلاعاتی
• نرم‌افزارهای جلوگیری از از دست رفتن داده
• پشتیبان‌گیری فایروال‌ها
• سیستم‌های ضدویروس به‌روز
• مدیریت کلید حذف، نابودسازی یا ناشناس‌سازی
• تهیه فهرست پردازش داده‌های شخصی
• سیاست‌های سازمانی (دسترسی، امنیت اطلاعات، استفاده، نگهداری و نابودی و غیره) قراردادها (بین مسئول داده - مسئول داده، مسئول داده - پردازشگر داده)
• تعهّدنامه‌های محرمانگی
• بازرسی‌های دوره‌ای و/یا پراکنده درون مؤسسه
• تحلیل‌های ریسک
• قرارداد کاری، آیین‌نامه انضباطی (اضافه کردن مفاد قانونی)، ارتباطات سازمانی (مدیریت بحران، کمیته و فرآیند اطلاع‌رسانی به افراد مرتبط، مدیریت شهرت و غیره)،
• فعالیت‌های آموزش و آگاه‌سازی (امنیت اطلاعات و قانون) اطلاع‌رسانی به سامانه ثبت مسئولین داده‌ها (VERBİS)

حقوق دارنده داده‌های شخصی مندرج در ماده 11 قانون حفاظت از داده‌های شخصی

به عنوان دارندگان داده‌های شخصی، در صورتی که درخواست‌های مربوط به حقوق خود را از طریق روش‌های تعیین‌شده در متن اطلاع‌رسانی قانون حفاظت از داده‌های شخصی به شرکت ما ارائه دهید، شرکت ما بسته به ماهیت درخواست، آن را حداکثر ظرف 30 (سی) روز به صورت رایگان پیگیری و نتیجه خواهد داد. با این حال، در صورتی که توسط هیئت حفاظت از داده‌های شخصی هزینه‌ای تعیین شود، هزینه مربوط طبق تعرفه تعیین‌شده توسط شرکت ما دریافت خواهد شد.

در این چارچوب، دارندگان داده‌های شخصی؛

• آگاهی از اینکه داده‌های شخصی پردازش شده است یا خیر
• درخواست اطلاع در صورت پردازش داده‌های شخصی،
• یادگیری هدف پردازش داده‌های شخصی و این‌که آیا استفاده از آن‌ها مطابق با هدف بوده است یا خیر،
• دانستن اشخاص ثالثی که داده‌های شخصی به داخل یا خارج از کشور منتقل می‌شوند،
• در صورت ناقص یا نادرست پردازش شدن داده‌های شخصی، درخواست اصلاح آن‌ها و اطلاع‌رسانی این عمل به اشخاص ثالثی که داده‌ها به آن‌ها منتقل شده است،
• با وجود اینکه مطابق قانون حفاظت از داده‌های شخصی و سایر قوانین مربوطه پردازش شده باشد، در صورت از بین رفتن دلایل پردازش، درخواست حذف یا نابودی داده‌های شخصی و درخواست اطلاع دادن به اشخاص ثالثی که داده‌های شخصی به آن‌ها منتقل شده است،
• اعتراض به نتیجه‌ای که صرفاً از طریق تحلیل داده‌های پردازش‌شده توسط سیستم‌های خودکار علیه شخص به‌دست می‌آید،
• در صورت وارد آمدن خسارت ناشی از پردازش غیرقانونی داده‌های شخصی، حق درخواست جبران خسارت را دارد.

به عنوان شخص مربوطه، لازم است درخواست‌های حقوقی خود را به صورت کتبی به شرکت ما ارائه دهید. در این چارچوب، برای مدیریت صحیح و سریع درخواست‌هایی که بر اساس ماده 11 قانون حفاظت از داده‌های شخصی (KVK) به شرکت ما ارائه می‌کنید، توصیه می‌کنیم از مدرک «فرم درخواست اطلاعات شخص مربوطه» که در بخش حفاظت از داده‌های شخصی در وب‌سایت ما موجود است، استفاده کنید و اسناد/اطلاعات مورد نیاز و مدارک شناسایی لازم را نیز ارائه داده و درخواست خود را شخصاً یا از طریق نامه با پست سفارشی به ما ارسال کنید. همچنین، می‌توانید فرم درخواست اطلاعات شخص مربوطه را به عنوان کاربر آنلاین (با استفاده از آدرس ایمیلی که قبلاً به شرکت ما اعلام کرده و در سیستم شرکت ما ثبت شده است) از طریق .............................com.tr نیز برای ما ارسال کنید.

تعیین

پرسنل مؤسسه در صورت بروز یا گم شدن ناخواسته پرونده‌ها، مشکلات ناشی از عملکرد نرم‌افزار ضد ویروس، برنامه‌های ناخواسته یا پنجره‌های باز، حضور پرسنل غیرمجاز در تأسیسات پردازش اطلاعات حساس، قابل دسترس بودن پرونده‌های محرمانه برای مداخلات خارجی، عدم انجام عملیات طبق رویه‌های نوشته شده و وضعیت‌های مشکوک مشابه، گزارش رویداد ارائه می‌دهد.

ارزیابی و گزارش‌دهی

وقتی رخدادهای نقص امنیت اطلاعات با فرم اعلان رویداد ناخواسته İO.FR.001 به واحد مدیریت کیفیت گزارش می‌شوند، واحد مدیریت کیفیت، رخداد نقص را ارزیابی می‌کند و اگر تصمیم به وجود نقص گرفت، با گزارش به مدیریت ارشد اطلاع می‌دهد.

گزارش حداقل باید شامل سرفصل‌های زیر باشد؛

• شواهد جمع‌آوری شده.
• نوع مدرک.
• محل نگهداری شواهد.
• تاریخ و زمان مدرک.
• اگر اقدام اصلاحی مربوط به حادثه آغاز شده باشد، فرم اقدام اصلاحی
• تاریخ و زمان شناسایی رویداد تخلف.

مواردی که برای گزارش‌دهی حوادث امنیت اطلاعات باید به آنها توجه شود، به شرح زیر است:

• مقررات امنیت فیزیکی و اطلاعات ورود به محیط‌ها.
• کنترل امنیتی بی‌اثر.
• نقض وضعیت محرمانگی، یکپارچگی و در دسترس بودن اطلاعات.
• خطاهای انسانی.
• تغییرات کنترل نشده در نرم‌افزار یا سیستم سخت‌افزاری.
• خرابی‌ها.
• کنترل دسترسی.
• عدم انطباق با سیاست‌ها و رویه‌ها.
• آسیب‌پذیری‌هایی که توسط نرم‌افزارهای امنیتی سیستم شناسایی شده‌اند.

ثبت‌هایی که برای سرفصل‌های ذکر شده در بالا باز شده‌اند، در جلسات ارزیابی مدیریت کیفیت بررسی می‌شوند. وقایع تخلف در چارچوب ارزیابی ریسک اندازه‌گیری می‌شوند.

مکانیزم ارزیابی به شرح زیر است:

• در ارزیابی رویدادهای تخلف، تعداد رویدادها و اثر آن‌ها مورد توجه قرار می‌گیرد.
• داده‌های وارد شده از رویدادهای تخلف به عنوان معیار در ارزیابی ریسک استفاده می‌شوند.
• مقدار اثر در جلسات امنیت اطلاعات مورد بحث قرار می‌گیرد و بر اساس تعداد رکوردها و تأثیر رکوردها، در مقادیر احتمال ریسک منعکس می‌شود.
• در صورت افزایش 7 تا 10 درصدی در تعداد ثبت‌های ایجاد شده تا پایان سال، آموزش‌های آگاهی‌بخشی اضافی به کاربران ارائه می‌شود.
• در صورت افزایش ۱۱٪ تا ۳۰٪ در تعداد سوابق ایجاد شده در پایان سال، جلسه اضافی به منظور بازبینی رویه‌ها برگزار می‌شود.
• در صورت افزایش 31٪ یا بیشتر در تعداد ثبت‌های ایجاد شده تا پایان سال، آموزش‌های آگاهی‌بخشی، به‌روزرسانی رویه‌ها، تصمیم‌گیری در مورد سرمایه‌گذاری و تغییرات ساختاری انجام می‌شود.

مداخله

• عمل بسته شدن برای هیچ گونه ضعفی که ممکن است مدارک را از بین ببرد یا خراب کند انجام نمی‌شود.
• برای تمام حوادثی که با کنترل‌ها یا وضعیت‌های گزارش شده شناسایی شده و شواهد آن جمع‌آوری شده است، ضعف ایجادکننده حادثه قبل از سایر اقدامات اصلاح می‌شود.
• در صورت لزوم برای دخالت، رویهٔ تداوم کسب‌وکار BY.PR.001 اجرا می‌شود.

پیشگیری و کسب تجربه

اقدامات لازم برای جلوگیری از بروز مجدد حوادث نقض امنیت اطلاعات که شناسایی شده و مدارک آن جمع‌آوری شده‌اند، اتخاذ می‌شود. تمام حوادث نقض امنیت اطلاعات که رخ داده‌اند، به منظور کسب تجربه مورد بازبینی قرار می‌گیرند و اطلاعات آموخته شده ثبت می‌شوند. کسب تجربه با هدف جلوگیری از تکرار هر حادثه نقض یا یافتن راه‌حل سریع‌تر در صورت وقوع مجدد آن صورت می‌گیرد.

برای پیشگیری از یک واقعه نقض امنیتی، هر یک از اقدامات زیر می‌تواند اعمال شود:

• سوابق ایجاد شده بررسی می‌شوند و اطلاعات لازم برای راه‌حل‌ها ثبت می‌گردند.
• برای رویدادهای ناشی از اجرای نادرست، حتماً دستورالعمل‌های کتبی ایجاد می‌شود.
• برای وقایع ناشی از رویه‌ها، رویه‌ها دوباره بازبینی و اصلاح می‌شوند.
• بررسی می‌شود که آیا ثبت ریسک حادثه امنیت اطلاعات رخ داده وجود دارد یا خیر، اگر وجود داشته باشد، ریسک دوباره ارزیابی می‌شود، اگر وجود نداشته باشد، ثبت ریسک برای ارزیابی ایجاد می‌گردد.
• برای مشکلات ناشی از دسترسی، دسترسی‌ها مجدداً بررسی می‌شوند و سایر مجوزهای دسترسی مشابه نیز کنترل می‌شوند.
• در حوادث ناشی از نرم‌افزار و برنامه‌ها، به‌روزرسانی‌ها بررسی می‌شوند، و حادثه با روش‌هایی مانند بستن آسیب‌پذیری، به‌روزرسانی، توسعه وصله بسته می‌شود.
• اقداماتی که برای مشکلات ناشی از تجهیزات فیزیکی اتخاذ می‌شود، در سایر تجهیزات مشابه نیز اعمال می‌گردد.
• برای حوادث ناشی از کدهای مخرب، منبع مشکل شناسایی شده و کفایت نرم‌افزارهای امنیتی بررسی می‌شود. اقدامات یافته شده حتماً بر روی تمام سیستم‌ها اعمال می‌گردد.

ثبت و جمع‌آوری شواهد

• در مرحله ثبت و جمع‌آوری شواهد، ابتدا بررسی می‌شود که یکپارچگی سوابقی که امکان شناسایی حادثه و مسئول آن را فراهم می‌کند، مختل نشده باشد.
• فقط سوابقی که تمامیت آن‌ها حفظ شده باشد برای مدرک استفاده می‌شوند.
• شواهد جمع‌آوری شده برای رخدادهای نقص امنیت اطلاعات به مدت ۳ سال نگه‌داری می‌شوند.
• در مواردی که شناسایی نقص امنیت اطلاعات رخ می‌دهد، در صورت وجود، حتماً سوابق دوربین‌ها، سوابق دسترسی، سوابق کنترل، سوابق نگه‌داری شده توسط نرم‌افزارهای امنیتی سیستم، سوابق هزینه‌های لازم برای حل مشکلات و سوابقی که برای ارزیابی رخدادهای نقص امنیت اطلاعات نیاز هستند و در آینده می‌توانند فراوانی رویدادها، میزان خسارت و محدودیت‌های هزینه را تعیین کنند، نگهداری می‌شوند.

بهبود،

• آموزش‌های آگاهی‌بخشی به کارکنان در زمینه امنیت اطلاعات و حفاظت از داده‌های شخصی ارائه می‌شود.
• گذرواژه‌های استفاده شده در سیستم مدیریت اطلاعات با سیاست‌های گذرواژه وزارتخانه هماهنگ هستند.
• مسئولین و کاربران سیستم مدیریت اطلاعات قرارداد محرمانگی را امضا می‌کنند.
• ارزیابی ریسک در مورد خطرات فیزیکی مربوط به سیستم مدیریت اطلاعات، مشکلات نرم‌افزاری و سخت‌افزاری، امنیت اطلاعات، محرمانگی اطلاعات، حفاظت از داده‌های شخصی و خطاهای کاربران انجام می‌شود.
• در صورت وقوع نقض امنیت اطلاعات، با اقدامات اصلاحی و انجام ارزیابی وضعیت، بهبودها انجام می‌شود و پس از آن مدیریت ارشد و کارکنان مطلع می‌شوند.