Protection des données personnelles

Principes fondamentaux dans le traitement des données personnelles :

Traitement conforme à la loi et à la règle de bonne foi

Notre entreprise agit conformément aux principes établis par les réglementations légales et selon la règle de confiance et d'honnêteté dans le traitement des données personnelles.

Exactitude et actualisation si nécessaire

La Société prend les mesures nécessaires pour que les données personnelles traitées soient exactes et à jour et, afin de garantir que les données traitées reflètent la situation réelle, informe les personnes concernées et leur offre les moyens nécessaires.

Traitement à des fins déterminées, explicites et légitimes

Notre entreprise définit de manière claire et précise l'objectif de traitement des données personnelles, qui est légitime et conforme à la loi. Notre entreprise traite les données personnelles en lien avec le service qu'elle fournit et dans la mesure nécessaire pour ceux-ci. L'objectif pour lequel les données personnelles seront traitées par notre entreprise est déterminé avant le début de l'activité de traitement des données personnelles.

Être lié à la finalité, limité et proportionné

Les données sont traitées par la société conformément à la KVKK et à d'autres législations pertinentes, de manière adaptée à la réalisation des objectifs définis pour chaque catégorie de données, en relation avec la réalisation de l'objectif et de manière proportionnée, et le traitement des données personnelles non nécessaires est évité.

Conservation pendant la durée prévue par la législation pertinente ou nécessaire à la finalité pour laquelle ils ont été traités

Les données personnelles traitées par la Société ne sont conservées que pour la durée prévue par la législation applicable ou nécessaire aux fins pour lesquelles elles sont traitées. Dans ce cadre, la Société, si la législation applicable prévoit une durée de conservation des données, s’y conforme ; à défaut d’une telle durée, elle conserve les données uniquement pour la durée nécessaire aux fins auxquelles elles sont traitées. La Société ne conserve pas les données en se fondant sur une éventuelle utilisation future.

• Dans le cadre des mesures de sécurité physique (portes d'entrée et de sortie, bureaux, zones de livraison des produits, sécurité des entrepôts et utilisation des cartes d'identification du personnel, etc.), toutes les règles établies doivent être respectées par tout le personnel.
• La protection contre les virus et les attaquants incombe au responsable informatique. Le responsable notifie la direction du matériel et des logiciels nécessaires pour la protection contre les virus et les attaquants et prend les mesures nécessaires. Ces mesures comprennent les exigences minimales demandées par le ministère de la Santé, incluant des appareils matériels et logiciels tels que les logiciels antivirus et les pare-feu. La mise à jour de ces logiciels incombe au responsable du système de gestion de l'information. Lorsque le temps de mise à jour arrive, il en informe la direction et effectue les mises à jour.

Réalisation des activités de traitement des données personnelles conformément à la LKDP

Les conditions de traitement des données personnelles sont régies par la KVKK, et la Société traite les données personnelles conformément aux conditions mentionnées ci-dessous.

À l'exception des cas d'exclusion énumérés par la loi, la Société ne traite les données personnelles qu'en obtenant le consentement explicite des détenteurs de données. Toutefois, en présence des situations suivantes énumérées par la loi, les données personnelles peuvent être traitées même sans le consentement explicite du détenteur des données.

• Prévue clairement par les lois,
• La nécessité de protéger la vie ou l'intégrité corporelle de soi-même ou d'autrui pour une personne qui est dans l'impossibilité pratique d'exprimer son consentement ou dont le consentement n'a pas de validité juridique,
• Le traitement des données personnelles des parties au contrat est nécessaire, à condition qu'il soit directement lié à la conclusion ou à l'exécution d'un contrat.
• Pour que le responsable des données puisse remplir son obligation légale, il est obligatoire
• Fait que le propriétaire des données les ait rendues publiques lui-même,
• Le traitement des données est nécessaire pour l'établissement, l'exercice ou la protection d'un droit,
• Sous réserve de ne pas nuire aux droits et libertés fondamentaux du propriétaire des données, le traitement de données est nécessaire pour les intérêts légitimes du responsable du traitement.
• Pour le traitement des données personnelles sensibles, dont la protection est considérée comme plus critique à différents égards du point de vue des titulaires de données, la Société fait preuve d'une attention particulière. Dans ce cadre, ces données ne sont pas traitées sans le consentement explicite des titulaires de données, à condition que des mesures suffisantes déterminées par l'unité de management de la qualité soient prises. Cependant, les données personnelles sensibles autres que celles liées à la santé et à la vie sexuelle peuvent également être traitées sans le consentement explicite du titulaire dans les cas prévus par la loi.

Les données relatives à la santé et à la vie sexuelle peuvent être traitées sans le consentement explicite de la personne, sous réserve de la prise de mesures de précaution suffisantes et en présence des motifs énumérés ci-dessous :

• Protection de la santé publique,
• Médecine préventive,
• Diagnostic médical,
• La réalisation des services de traitement et de soins,
• Planning et gestion des services de santé et de leur financement.

Fournir des explications sur l'activité de traitement des données personnelles menée par l'entreprise de manière légale et sur les systèmes adoptés pour la protection des données personnelles a pour but d'assurer la transparence en informant les personnes dont les données personnelles sont traitées par notre entreprise, notamment nos clients, clients potentiels, employés, candidats à l'emploi, représentants de l'entreprise, visiteurs, employés et représentants des institutions avec lesquelles nous collaborons, ainsi que les tiers dont les données personnelles sont traitées.

• Conformément à la Politique institutionnelle BY.YD.002 du système de gestion de l'information du centre médical, une structure de domaine a été créée et tous les ordinateurs fonctionnent connectés au domaine. Les ordinateurs non liés au domaine sont retirés du réseau local, et aucun échange d'informations n'a lieu entre les appareils du réseau local.
• À l'exception des documents officiels, des programmes et des documents de formation, il est interdit d'échanger des fichiers via les ordinateurs.
• L'accès à Internet et les connexions de messagerie électronique sont contrôlés par le dispositif pare-feu situé dans le centre médical.
• Une adresse e-mail professionnelle sera créée pour tout le personnel autorisé qui commence à travailler au centre médical.
• Les e-mails et mots de passe sont communiqués au personnel concerné lors des formations.
• L'utilisateur reconnaît que toutes les déclarations qu'il fait par e-mail lui appartiennent. L'utilisateur est responsable de l'envoi de messages pouvant constituer un crime ; menaçants, illégaux, offensants, injurieux ou diffamatoires, ou contraires à la morale.
• L'utilisateur ne peut pas inclure de matériel ou de documents constituant un délit au sens de la loi dans son compte, et ne peut pas utiliser des applications nuisibles envers les détenteurs de comptes personnels.
• On ne peut pas utiliser le serveur d’un autre système ou le compte d’un autre utilisateur sans l’autorisation de la personne concernée dans le but d’envoyer des messages.
• L'utilisateur ne peut pas utiliser son compte à des fins commerciales ou lucratives. Il ne peut pas envoyer d'e-mails en masse à de nombreux utilisateurs à des fins de publicité, de promotion, de notification, etc. (SPAM).
• L'utilisateur est responsable des obligations légales pouvant découler des droits de publication de toute information contenue dans son compte.

Information et éclaircissement du propriétaire des données personnelles

Notre société, conformément à l'article 10 de la loi sur la protection des données personnelles (KVK), informe les propriétaires de données personnelles lors de la collecte de ces données. Dans ce cadre, la société fournit des informations sur les finalités du traitement des données personnelles, sur les destinataires et les objectifs de la transmission des données traitées, sur la méthode et la base juridique de la collecte des données personnelles, ainsi que sur les droits dont dispose le propriétaire des données personnelles.

L'article 20 de la Constitution établit que chacun a le droit d'être informé sur les données personnelles le concernant. Dans ce cadre, l'article 11 de la loi sur la protection des données personnelles énumère également la "demande d'information" parmi les droits du détenteur de données personnelles. Notre société, dans ce cadre, fournit les informations nécessaires lorsque le détenteur de données personnelles en fait la demande, conformément à l'article 20 de la Constitution et à l'article 11 de la loi sur la protection des données personnelles.

Objectifs du traitement des données personnelles

Vos données de santé, ainsi que vos données personnelles et données à caractère personnel sensibles, peuvent être traitées par la Société de manière limitée et proportionnée en rapport avec les objectifs énumérés ci-dessous, y compris mais sans s'y limiter ;

• Votre nom, prénom, numéro d'identité turque (T.C. Kimlik numarası), numéro d'identité turque temporaire, numéro de passeport, lieu et date de naissance, état civil, sexe, numéro de sécurité sociale ou numéro de protocole patient et autres données d'identification vous concernant.
• Votre adresse, numéro de téléphone, adresse e-mail
• Vos résultats de test, vos résultats de laboratoire et d'imagerie, vos données d'examen, les informations sur vos prescriptions, ainsi que vos données relatives à votre santé et à votre vie sexuelle obtenues lors de la prestation de services médicaux de diagnostic, de traitement et de soins, et, sans s'y limiter, vos données de santé,
• Votre numéro IBAN, vos informations de carte de crédit,
• Lors de votre visite dans notre centre médical, votre image et votre enregistrement sonore sont capturés par le système de caméras de surveillance.
• Lorsque vous contactez l'Accueil/Information des patients, vos enregistrements de conversations téléphoniques sont conservés.
• Vos données concernant l'assurance maladie privée à des fins de financement et de planification des services de santé

Notre société traite les données personnelles uniquement dans le cadre des finalités et des conditions prévues par les conditions de traitement des données personnelles mentionnées au paragraphe 2 de l'article 5 et au paragraphe 3 de l'article 6 de la loi n° 6698 sur la protection des données personnelles.

Ces objectifs et conditions ;

• La réalisation par notre Société d'activités liées au traitement de vos données personnelles étant expressément prévue par les lois,
• Le traitement de vos données personnelles par notre Société est directement lié et nécessaire à la conclusion ou à l'exécution d'un contrat,
• Le traitement de vos données personnelles est obligatoire pour que notre Société puisse remplir ses obligations légales,
• À condition que vos données personnelles aient été rendues publiques par vous ; leur traitement par notre Société de manière limitée à des fins de mise en publicité,
• Le traitement de vos données personnelles par notre Société est obligatoire pour établir, exercer ou protéger les droits de notre Société, des vôtres ou de tiers,
• Sans porter atteinte à vos droits et libertés fondamentaux, il est obligatoire pour notre Société de mener des activités de traitement des données personnelles pour ses intérêts légitimes.
• Le traitement des données personnelles par notre entreprise est nécessaire pour protéger la vie ou l'intégrité physique du titulaire des données personnelles ou d'une autre personne, et dans ce cas, le titulaire des données personnelles se trouve dans l'impossibilité de donner son consentement en raison d'une incapacité physique ou d'une invalidité juridique.
• Traitement des données personnelles à caractère particulier en dehors de la santé et de la vie sexuelle du propriétaire des données, tel que prévu par la loi,
• Le traitement des données personnelles de nature particulière concernant la santé et la vie sexuelle du détenteur de données personnelles par des personnes soumises à l'obligation de confidentialité ou par des institutions et organismes compétents dans le but de protéger la santé publique, de la médecine préventive, du diagnostic médical, du traitement et de la prestation de soins, ainsi que de la planification et de la gestion des services de santé et de leur financement.

Dans les conditions mentionnées ci-dessus ; notre société peut traiter les données personnelles, y compris mais sans s'y limiter, aux fins suivantes :

• Protection de la santé publique, médecine préventive, réalisation de services de diagnostic médical, de traitement et de soins,
• Dans le but de planifier et de gérer les services de santé et leur financement
• Vérification de votre identité
• Vous informer de votre rendez-vous si vous en prenez un.
• Confirmer vos relations avec les institutions ayant un accord avec le centre médical.
• Conformité aux exigences légales et réglementaires
• Le financement de vos soins de santé, les frais d'examens, de diagnostic et de traitement sont pris en charge par les départements des Services aux patients, des Affaires financières et du Marketing.
• La transmission des informations demandées au Ministère de la Santé et aux autres institutions et organismes publics, conformément à la législation applicable,
• Partage de toute information demandée par les compagnies d'assurance privées dans le cadre du financement des services de santé
• Analyser votre utilisation des services de santé dans le but d'améliorer les services que nous proposons
• Pour la réalisation des activités commerciales menées par la société, les unités commerciales concernées effectuent les travaux nécessaires et, en conséquence, les processus commerciaux sont exécutés;
• Planification et exécution des activités visant à assurer les activités commerciales et la continuité des affaires,
• Suivi des opérations financières et/ou comptables,
• Fourniture d'informations aux autorités compétentes en vertu de la réglementation,
• Planification et exécution des activités de communication d'entreprise,
• Assurer la mise en œuvre des politiques de ressources humaines de notre entreprise ;
• Assurer la sécurité juridique et commerciale de notre entreprise et des personnes en relation d'affaires avec notre entreprise;
• Réalisation d'activités d'évaluation de la satisfaction pour nos clients existants, gestion de l'organisation et des événements,
• Réalisation des activités de santé et de sécurité au travail,
• Exécution des processus de sécurité de l'information et physique
• Vérification des informations de la personne effectuant des opérations via notre site internet d'entreprise et nos applications mobiles,

Suppression, destruction ou anonymisation des données personnelles

Sous réserve des dispositions prévues dans d'autres lois concernant la suppression, la destruction ou l'anonymisation des données personnelles, la Société, bien qu'ayant traité les données conformément à cette Loi et aux autres dispositions légales, supprimera, détruira ou anonymisera les Données Personnelles de sa propre initiative ou à la demande du Propriétaire des Données Personnelles / Personne Concernée, dans le cadre des principes figurant dans la Procédure BY.PR.004 de sécurité de l'information et de protection des données personnelles, lorsque les raisons nécessitant leur traitement disparaissent.

La suppression des données personnelles consiste en l'opération qui rend les Données Personnelles absolument inaccessibles et inutilisables pour les utilisateurs concernés.

La destruction des données consiste en ce que les Données Personnelles deviennent inaccessibles, irrécupérables et inutilisables par quiconque.

Grâce à l’anonymisation des données, il est garanti que les Données Personnelles, même si elles sont associées à d’autres données, ne pourront en aucun cas être liées à une personne physique identifiée ou identifiable.

Transfert des données personnelles

Les données personnelles que vous fournissez dans le cadre des finalités expliquées; conformément aux principes fondamentaux prévus par la KVKK et dans le cadre des conditions et finalités de traitement des données personnelles énoncées aux articles 8 et 9 de la KVKK,

• Ministère de la Santé et ses unités subordonnées,
• Les représentants à qui vous avez donné l'autorisation,
• Compagnies d'assurance privées,
• Institution de Sécurité Sociale,
• Direction générale de la sécurité et autres forces de l'ordre,
• Direction Générale de la Population,
• Union des pharmaciens de Turquie,
• Les tribunaux et tout type d'autorité judiciaire, centrale et autres tiers,
• Avocats,
• Pour le diagnostic et le traitement médicaux, les laboratoires, centres médicaux, services d'ambulance, dispositifs médicaux et institutions fournissant des services de santé avec lesquels nous coopérons,
• Pour la fourniture des services, nos fournisseurs sont limités à...

pourra être partagé avec.

Transfert des données personnelles à l'étranger

Notre entreprise peut transférer les données personnelles et les données personnelles sensibles du propriétaire des données personnelles à des tiers à l'étranger en prenant les mesures de sécurité nécessaires dans le cadre des finalités de traitement des données personnelles conformes à la loi. Les données personnelles peuvent être transférées par notre entreprise vers des pays étrangers déclarés par l'Autorité de Protection des Données comme disposant d'une protection adéquate (« Pays étranger disposant d'une protection adéquate ») ou, en l'absence de protection adéquate, vers des pays étrangers où les responsables du traitement des données en Turquie et dans le pays étranger concerné ont garanti par écrit une protection suffisante et où l'autorisation de l'Autorité de Protection des Données a été obtenue (« Pays étranger où le responsable du traitement des données garantit une protection adéquate »). Dans ce sens, notre entreprise agit conformément aux dispositions prévues à l'article 9 de la loi sur la protection des données personnelles.

Bâtiment, entrées des installations ainsi que les activités de traitement des données personnelles effectuées à l'intérieur et les visiteurs du site Internet

• Les activités de traitement des données personnelles effectuées par l'entreprise aux entrées des bâtiments et à l'intérieur des installations sont menées conformément à la Constitution, à la loi KVK et aux autres législations pertinentes.
• Dans le but d'assurer la sécurité, notre entreprise effectue un traitement de données personnelles pour la surveillance par caméras de sécurité dans les bâtiments et installations de notre entreprise, ainsi que pour le suivi des entrées et sorties des visiteurs.
• L'utilisation de caméras de surveillance et l'enregistrement des entrées et sorties des invités constituent des activités de traitement des données personnelles par notre Société.
• L'activité de surveillance par caméra de sécurité de la société a pour objectif de protéger les intérêts liés à la sécurité de la société et des autres personnes, et dans ce cadre, notre société agit conformément à la Constitution, à la loi KVKK et à d'autres législations pertinentes.
• Des enregistrements vidéo de nos visiteurs sont réalisés dans les entrées de bâtiments et installations de notre entreprise ainsi que dans les installations elles-mêmes à l'aide d'un système de surveillance par caméra.
• Notre société, dans le cadre des activités de surveillance par caméra de sécurité, a pour objectifs d'améliorer la qualité du service rendu, d'assurer sa fiabilité, de garantir la sécurité de l'entreprise, des clients et des autres personnes, ainsi que de protéger les intérêts des clients concernant le service qu'ils reçoivent.
• La surveillance par caméra effectuée par notre entreprise à des fins de sécurité est réalisée conformément aux dispositions prévues dans la loi sur la protection des données personnelles (KVK). L'activité de surveillance par caméra menée par notre entreprise est poursuivie en conformité avec la Loi relative aux services de sécurité privée et la législation pertinente.
• Seul un nombre limité d'employés de l'entreprise a accès aux enregistrements stockés et conservés dans un environnement numérique. Les quelques personnes ayant accès aux enregistrements déclarent, par un engagement de confidentialité, qu'elles protégeront la confidentialité des données auxquelles elles accèdent.
• Conformément à l'article 12 de la loi KVK, notre entreprise prend les mesures techniques et administratives nécessaires pour assurer la sécurité des données personnelles obtenues à la suite de l'activité de surveillance par caméra.

En plus de l'enregistrement par caméra mentionné ci-dessus, notre Société effectue des traitements de données personnelles dans le but d'assurer la sécurité et pour les finalités mentionnées dans cette Politique, en suivant les entrées et sorties des visiteurs dans les bâtiments et installations de notre Société.

• Lors de l'obtention des noms et prénoms des personnes venant dans nos bâtiments en tant qu'invités, ou à travers des textes affichés ou présentés d'autres manières accessibles aux invités au sein de l'entreprise, les personnes concernées par ces données personnelles sont informées dans ce cadre. Les données obtenues dans le but de suivre l'entrée et la sortie des invités ne sont traitées que pour cette finalité ou les données personnelles pertinentes sont enregistrées dans le système d'enregistrement des données en version physique.
• Dans le but d'assurer la sécurité et aux fins précisées dans cette Procédure ; notre entreprise peut fournir un accès Internet aux visiteurs qui en font la demande pendant la durée de leur séjour dans nos Bâtiments et Installations. Dans ce cas, les journaux de vos accès Internet sont enregistrés conformément aux dispositions impératives de la Loi n° 5651 et de la réglementation promulguée en vertu de cette loi ; ces enregistrements ne sont traités qu'à la demande des administrations publiques compétentes ou dans le cadre des audits internes de l'entreprise afin de remplir nos obligations légales concernées.
• Dans ce cadre, l'accès aux journaux de bord obtenus est limité à un nombre restreint d'employés de l'Entreprise. Les employés de l'Entreprise ayant accès à ces journaux y accèdent uniquement pour répondre à une demande ou pour les besoins de processus de contrôle provenant d'une institution publique autorisée, et les partagent avec des personnes légalement habilitées. Le nombre restreint de personnes ayant accès aux journaux déclare, par un engagement de confidentialité, qu'elles protégeront la confidentialité des données auxquelles elles accèdent.
• Une information est fournie aux visiteurs du site Internet via la politique relative aux cookies.

Catégories de données personnelles

• Identité (nom et prénom, nom des parents, nom de jeune fille de la mère, date de naissance, lieu de naissance, état civil, numéro de série de la carte d'identité, numéro d'identité turc, etc.)
• Communication (numéro d'adresse, adresse e-mail, adresse de contact, adresse électronique enregistrée (KEP), numéro de téléphone, etc.)
• Localisation (informations de position de l'endroit où se trouve)
• Ressources humaines (informations sur la paie, enquêtes disciplinaires, dossiers d'entrée et de sortie de l'emploi, déclarations de biens, CV, rapports d'évaluation de performance, etc.)
• Acte juridique (informations dans la correspondance avec les autorités judiciaires, informations dans les dossiers d'affaires, etc.)
• Informations sur les transactions client (comme les enregistrements du centre d'appels, la facture, les informations sur les lettres de change et les chèques, les informations sur les reçus au guichet, les informations sur les commandes, les informations sur les demandes)
• Sécurité physique des lieux (informations sur les entrées et sorties des employés et visiteurs, enregistrements des caméras, etc.)
• Sécurité des opérations (informations sur l'adresse IP, informations de connexion au site Internet, informations sur les mots de passe et les codes, etc.)
• Gestion des risques (comme les informations traitées pour la gestion des risques commerciaux, techniques et administratifs)
• Finance (informations sur le bilan, informations sur la performance financière, informations sur le crédit et le risque, informations sur le patrimoine, etc.)
• Expérience professionnelle (informations sur le diplôme, cours suivis, informations sur la formation professionnelle, certificats, informations sur les relevés de notes, etc.)
• Marketing (informations sur l'historique des achats, enquêtes, preuves de cookies, informations obtenues grâce à des campagnes promotionnelles)
• Enregistrements visuels et audio (comme les enregistrements visuels et audio)
• Race et origine ethnique (comme les informations sur la race et l'origine ethnique)
• Informations sur les opinions politiques (informations indiquant les opinions politiques ou l'appartenance à un parti politique)
• Croyances philosophiques, religion, secte et autres croyances (informations sur l'appartenance religieuse, informations sur les croyances philosophiques, informations sur l'appartenance à une secte, informations sur d'autres croyances, etc.)
• Tenue et Vêtements (informations concernant la tenue et les vêtements)
• Adhésion à une association (comme les informations sur l'adhésion à une association)
• Adhésion à la fondation (informations sur l'adhésion à la fondation, etc.)
• Appartenance syndicale (informations sur l'appartenance syndicale, etc.)
• Informations de santé (informations sur le handicap, groupe sanguin, informations personnelles de santé, informations sur les dispositifs et prothèses utilisés, etc.)
• Vie sexuelle (informations sur la vie sexuelle, etc.)
• Peine d'emprisonnement et mesures de sécurité (informations sur la peine d'emprisonnement, informations sur les mesures de sécurité, etc.)
• Donnée biométrique (telles que les informations de la paume de la main, les empreintes digitales, les informations de scan de la rétine, les informations de reconnaissance faciale)
• Données génétiques (comme les données génétiques)
• Autres informations (comme les types de données à déterminer par l'utilisateur)

Groupes de personnes concernées par les données

• Candidat à l'emploi
• Employé
• Sujet
• Personne concernée par la nouvelle
• Actionnaire/Partenaire
• Acheteur potentiel de produit ou de service
• Candidat à un examen
• Stagiaire
• Employé du fournisseur
• Responsable du fournisseur
• Personne recevant des produits ou services
• Tuteur / Représentant légal / Mandataire
• Visiteur
• Autre

Traitement des données personnelles - Mesures techniques et administratives prises pour leur protection

La société prend toutes les mesures techniques et administratives nécessaires pour assurer le niveau de sécurité approprié requis pour la protection des données personnelles. Les mesures prévues à l'article 12 de la KVKK sont les suivantes :

• Prévenir le traitement illégal des données personnelles,
• Prévenir l'accès illégal aux données personnelles,
• Assurer la conservation des données personnelles

En tant que Responsable des données, la Société a lancé le processus nécessaire pour appliquer les Mesures Techniques et Administratives suivantes afin d'améliorer le processus de Conformité à la KVKK.

• Matrice d'autorisation
• Contrôle des autorisations
• Journaux d'accès
• Gestion des comptes utilisateur
• Application de la Sécurité Réseau
• Sécurité Chiffrement Intrusion
• Masquage des données des journaux
• Logiciels de prévention de la perte de données
• Pare-feux de sauvegarde
• Systèmes antivirus à jour
• Suppression, destruction ou anonymisation des clés de gestion
• Préparation d'un inventaire de traitement des données personnelles
• Politiques d'entreprise (Accès, Sécurité de l'information, Utilisation, Conservation et Destruction, etc.) Contrats (Responsable du traitement des données - Responsable du traitement des données, Responsable du traitement des données - Sous-traitant des données)
• Engagements de confidentialité
• Inspections périodiques et/ou aléatoires au sein de l'établissement
• Analyses de risque
• Contrat de travail, règlement disciplinaire (ajout de dispositions conformes à la loi) Communication institutionnelle (gestion de crise, processus d'information du comité et des personnes concernées, gestion de la réputation, etc.)
• Activités de formation et de sensibilisation (Sécurité de l'information et loi) Notification au Système d'Information du Registre des Responsables de Traitement des Données (VERBİS)

Les droits du propriétaire des données personnelles énumérés à l'article 11 de la loi KVK

En tant que détenteurs de données personnelles, si vous transmettez vos demandes concernant vos droits à notre Société par les moyens énoncés ci-dessous dans le présent Texte d'Information sur la Loi sur la Protection des Données Personnelles, notre Société traitera la demande gratuitement dans un délai maximum de 30 (trente) jours selon la nature de la demande. Cependant, si un tarif est prévu par le Conseil de Protection des Données Personnelles, des frais seront prélevés selon le tarif déterminé par notre Société.

Dans ce cadre, les titulaires de données personnelles ;

• Savoir si des données personnelles sont traitées ou non,
• Demander des informations si les données personnelles ont été traitées,
• Connaître l'objectif du traitement des données personnelles et savoir si elles sont utilisées conformément à cet objectif,
• Connaître les tiers auxquels les données personnelles sont transférées, que ce soit à l'intérieur du pays ou à l'étranger,
• Demander la correction des données personnelles si elles ont été traitées de manière incomplète ou incorrecte et demander que le traitement effectué dans ce cadre soit communiqué aux tiers auxquels les données personnelles ont été divulguées,
• Demander la suppression ou la destruction des données personnelles lorsque, bien qu'elles aient été traitées conformément à la loi sur la protection des données personnelles (KVK) et aux autres lois pertinentes, les raisons nécessitant leur traitement ont disparu, et demander que l'opération effectuée à cet égard soit notifiée aux tiers auxquels les données personnelles ont été transférées,
• Contester l'apparition d'un résultat défavorable à la personne en analysant exclusivement les données traitées par des systèmes automatiques,
• En cas de préjudice résultant du traitement illégal des données personnelles, la personne a le droit de demander la réparation du préjudice.

En tant que personne concernée, vous devez soumettre vos demandes de droits par écrit à notre Société. Dans ce cadre, pour que les demandes que vous ferez à notre Société conformément à l’article 11 de la Loi sur la Protection des Données Personnelles soient traitées de manière correcte et rapide, nous vous recommandons d’utiliser le document intitulé « Formulaire de Demande d’Informations de la Personne Concernée » disponible sous la rubrique Protection des Données Personnelles sur notre site web, en fournissant également les documents/informations requis selon votre demande ainsi que les documents nécessaires permettant d’identifier votre identité, et de le remettre en main propre ou par lettre recommandée avec accusé de réception. De plus, vous pouvez également nous transmettre votre demande via le formulaire de demande d’informations de la personne concernée en ligne, en tant qu’utilisateur enregistré (avec l’adresse électronique que vous avez précédemment communiquée à notre Société et qui est enregistrée dans notre système) sur .............................com.tr.

Détermination

Le personnel de l'établissement signale tout incident dans les cas de dossiers perdus ou découverts involontairement, de problèmes liés au fonctionnement de l'agent antivirus, de programmes fonctionnant involontairement ou de fenêtres ouvertes, de présence de personnel non autorisé dans les installations de traitement d'informations critiques, de fichiers confidentiels exposés à des interventions externes, de non-respect des procédures écrites, etc.

Évaluation et rapportage

Lorsque les incidents de violation de la sécurité de l'information sont signalés à l'unité de management de la qualité par le Formulaire İO.FR.001 de notification d'événement indésirable, l'unité de management de la qualité évalue l'incident de violation et, si elle décide qu'il y a violation, informe la direction supérieure par un rapport.

Le rapport contient au minimum les rubriques suivantes ;

• Preuves recueillies.
• Type de preuve.
• Lieu de conservation des preuves.
• Date et heure de la preuve.
• Si une action corrective a été lancée concernant l'incident, le formulaire d'action corrective
• Date et heure de détection de l'incident de violation.

Les points à prendre en compte pour le rapport des incidents de sécurité de l'information sont les suivants :

• Réglementations de sécurité physique et informations sur les accès aux environnements.
• Contrôle de sécurité inefficace.
• Violation de la confidentialité, de l'intégrité et de la disponibilité de l'information.
• Erreurs humaines.
• Modifications non contrôlées des systèmes logiciels ou matériels.
• Pannes.
• Contrôle d'accès.
• Non-conformité aux politiques et procédures.
• Vulnérabilités détectées par les logiciels de sécurité du système.

Les enregistrements ouverts pour les sujets mentionnés ci-dessus sont évalués lors des réunions d'examen de la gestion de la qualité. Les incidents de non-conformité sont mesurés dans le cadre de l'évaluation des risques.

Le mécanisme d'évaluation est le suivant :

• Le nombre d'incidents et l'impact des incidents sont pris en compte dans l'évaluation des incidents de violation.
• Les données provenant des incidents de violation sont utilisées comme mesure dans les évaluations des risques.
• La valeur d'impact est discutée lors des réunions sur la sécurité de l'information et reflétée dans les valeurs de probabilité de risque en fonction du nombre d'enregistrements et de l'impact des enregistrements.
• Si le nombre d'enregistrements à la fin de l'année augmente de 7 à 10 %, des formations de sensibilisation supplémentaires sont dispensées aux utilisateurs.
• Si le nombre d'enregistrements à la fin de l'année augmente de 11 % à 30 %, une réunion supplémentaire est organisée pour revoir les procédures.
• Si le nombre d'enregistrements à la fin de l'année augmente de 31 % ou plus, des formations de sensibilisation, des mises à jour des procédures, des décisions d'investissement et de changements structurels sont prises.

Intervention

• Aucune procédure de fermeture n'est effectuée pour une vulnérabilité qui pourrait détruire ou altérer les preuves.
• Pour tous les incidents détectés par des contrôles ou signalements et dont les preuves ont été collectées, les vulnérabilités ayant causé l'incident sont corrigées avant toute autre opération.
• La procédure BY.PR.001 de continuité des activités est appliquée lorsque cela est jugé nécessaire pour une intervention.

Prendre des précautions et faire l'expérience

Des mesures nécessaires sont prises pour empêcher la récurrence des incidents de violation de la sécurité de l'information identifiés et dont les preuves ont été collectées. Tous les incidents de violation de la sécurité de l'information survenus sont examinés afin d'en tirer des enseignements et les informations acquises sont enregistrées. L'acquisition d'expérience vise à empêcher la répétition de tout incident de violation ou, en cas de récurrence, à résoudre le problème en un temps plus court.

Pour prévenir un incident de violation de sécurité, l'une des mesures suivantes peut être appliquée :

• Les enregistrements créés sont examinés et les informations nécessaires pour les solutions sont enregistrées.
• Pour les incidents provenant de pratiques incorrectes, des procédures écrites sont systématiquement établies.
• Les procédures sont réexaminées et corrigées pour les incidents résultant des procédures.
• Il est vérifié si un enregistrement de risque existe pour l'incident de sécurité de l'information survenu; s'il existe, le risque est réévalué, sinon un enregistrement de risque est créé pour être évalué.
• Pour les problèmes liés à l'accès, les accès sont vérifiés à nouveau, et les autres autorisations d'accès similaires sont également contrôlées.
• Dans les incidents provenant des logiciels et des applications, les mises à jour sont vérifiées, et l'incident est clôturé par des méthodes telles que la fermeture des vulnérabilités, la mise à jour ou le développement de correctifs.
• Les mesures prises pour les problèmes résultant des équipements physiques s'appliquent également à d'autres équipements similaires.
• Pour les incidents causés par des codes malveillants, la source du problème est identifiée et l'efficacité des logiciels de sécurité est examinée. Les mesures trouvées sont nécessairement appliquées à tous les systèmes.

Enregistrement et Collecte de Preuves

• Lors de l'étape d'enregistrement et de collecte de preuves, il est d'abord vérifié que l'intégrité des enregistrements permettant d'identifier l'événement et le responsable n'a pas été compromise.
• Seuls les enregistrements dont l'intégrité est préservée sont utilisés comme preuve.
• Les preuves recueillies pour les incidents de violation de la sécurité de l'information sont conservées pendant 3 ans.
• Dans les cas de détection d'une violation de la sécurité de l'information, les enregistrements des caméras, les journaux d'accès, les journaux de contrôle, les enregistrements conservés par les logiciels de sécurité système, les enregistrements des coûts nécessaires pour résoudre les problèmes, et tous les journaux qui pourraient être nécessaires pour évaluer les incidents de violation de la sécurité de l'information et déterminer la fréquence, les dommages et les limites de coût des incidents futurs, sont conservés si disponibles.

Amélioration

• Une formation de sensibilisation est dispensée aux employés sur la sécurité de l'information et la protection des données personnelles.
• Les mots de passe utilisés dans le système de gestion de l'information sont conformes aux politiques de mot de passe du Ministère.
• Les responsables et les utilisateurs du système de gestion de l'information signent un accord de confidentialité.
• Une évaluation des risques est effectuée concernant les dangers physiques pour le système de gestion de l'information, les problèmes liés aux logiciels et au matériel, la sécurité de l'information, la confidentialité des informations, la protection des données personnelles et les erreurs des utilisateurs.
• En cas de violation de la sécurité de l'information, des actions correctives doivent être menées, l'analyse de la situation doit être évaluée, des améliorations doivent être apportées et après amélioration, la direction et les employés doivent être informés.