व्यक्तिगत डेटा सुरक्षा

व्यक्तिगत डेटा प्रोसेसिंग में मूल सिद्धांत:

कानून और ईमानदारी के नियम का पालन करने वाली प्रक्रिया

हमारी कंपनी; व्यक्तिगत डेटा के प्रसंस्करण में कानूनी विनियमों द्वारा निर्धारित सिद्धांतों तथा सामान्य भरोसा और ईमानदारी के नियमों के अनुसार कार्य करती है।

सही और आवश्यक होने पर अद्यतन रहना

कंपनी द्वारा संसाधित व्यक्तिगत डेटा को सही और अद्यतन स्थिति में रखने के लिए आवश्यक उपाय किए जाते हैं और संसाधित किए जा रहे डेटा की वास्तविक स्थिति को प्रतिबिंबित करने के उद्देश्य से सूचनाएँ भी प्रदान की जाती हैं, जिससे डेटा मालिकों को आवश्यक सुविधाएँ प्रदान की जाती हैं।

निश्चित, स्पष्ट और वैध उद्देश्यों के लिए प्रसंस्करण

हमारी कंपनी वैध और कानूनी रूप से उचित व्यक्तिगत डेटा प्रसंस्करण के उद्देश्य को स्पष्ट और निश्चित रूप से निर्धारित करती है। हमारी कंपनी व्यक्तिगत डेटा को उस सेवा से संबंधित रूप में और केवल आवश्यकतानुसार ही प्रसंस्कृत करती है। हमारी कंपनी द्वारा व्यक्तिगत डेटा किस उद्देश्य के लिए प्रसंस्कृत किया जाएगा, यह व्यक्तिगत डेटा प्रसंस्करण गतिविधि शुरू होने से पहले ही निर्धारित किया जाता है।

संसाधित किए जाने का उद्देश्य, सीमित और मापनीय होना

कंपनी द्वारा डेटा को, KVKK और संबंधित अन्य कानूनों के अनुसार, डेटा श्रेणियों के अनुसार निर्धारित उद्देश्यों को पूरा करने के योग्य, उद्देश्य की पूर्ति से संबंधित और संतुलित रूप से संसाधित किया जा रहा है, और जिन व्यक्तिगत डेटा की आवश्यकता नहीं है उनके प्रसंस्करण से बचा जा रहा है।

संबंधित कानून में निर्दिष्ट या जिन उद्देश्यों के लिए संसाधित किया गया है, उनके लिए आवश्यक अवधि तक संरक्षण

कंपनी द्वारा संसाधित व्यक्तिगत डेटा केवल संबंधित कानून में निर्दिष्ट अवधि के लिए या जिन उद्देश्यों के लिए इसे संसाधित किया गया है, उतनी ही अवधि के लिए रखा जाता है। इस संदर्भ में, यदि संबंधित कानून में डेटा को संग्रहीत करने के लिए कोई अवधि निर्धारित है, तो कंपनी उस अवधि का पालन करती है; यदि ऐसी कोई अवधि नहीं है, तो कंपनी डेटा को केवल उसके संसाधित किए गए उद्देश्य के लिए आवश्यक अवधि के लिए रखती है। कंपनी भविष्य में उपयोग की संभावना के आधार पर डेटा को संग्रहीत नहीं करती।

• भौतिक सुरक्षा उपायों के दायरे में (प्रवेश और निकासी द्वार, कार्यालय कक्ष, उत्पाद वितरण क्षेत्र, गोदामों की सुरक्षा और कर्मचारी पहचान पत्रों का उपयोग आदि) सभी कर्मचारियों द्वारा निर्धारित नियमों का पालन किया जाता है।
• वायरस और हमलावरों से सुरक्षा सूचना प्रौद्योगिकी अधिकारी की जिम्मेदारी है। जिम्मेदार व्यक्ति, वायरस और हमलावरों से सुरक्षा के लिए आवश्यक हार्डवेयर और सॉफ़्टवेयर को शीर्ष प्रबंधन को सूचित करता है और आवश्यक उपाय करता है। इन उपायों में एंटीवायरस सॉफ़्टवेयर और फ़ायरवॉल जैसी हार्डवेयर और सॉफ़्टवेयर उपकरण शामिल होते हैं, जो स्वास्थ्य मंत्रालय द्वारा मांगी गई न्यूनतम आवश्यकताओं को पूरा करते हैं। इन सॉफ़्टवेयरों को अपडेट करना सूचना प्रबंधन प्रणाली के प्रभारी का काम है। अपडेट का समय आने पर, शीर्ष प्रबंधन को सूचित करके अपडेट करता है।

व्यक्तिगत डेटा प्रसंस्करण गतिविधियों का KVKK के अनुसार निष्पादन

केवीकेए के तहत व्यक्तिगत डेटा के संसाधन की शर्तों को विनियमित किया गया है और कंपनी द्वारा व्यक्तिगत डेटा नीचे दिए गए शर्तों के अनुसार संसाधित किया जा रहा है।

कानून में वर्णित अपवादों को छोड़कर, कंपनी केवल डेटा मालिकों की स्पष्ट सहमति प्राप्त करके व्यक्तिगत डेटा को संसाधित करती है। निम्नलिखित परिस्थितियों में, यदि डेटा मालिक की स्पष्ट सहमति न हो, तब भी व्यक्तिगत डेटा संसाधित किया जा सकता है।

• कानों में स्पष्ट रूप से पूर्वानुमानित होना,
• व्यक्ति की सहमति व्यक्त करने में असमर्थ होने या उसकी सहमति को कानूनी मान्यता न मिलने के कारण, स्वयं या किसी अन्य की जीवन रक्षा या शारीरिक अखंडता की सुरक्षा के लिए आवश्यक होना,
• किसी अनुबंध की स्थापना या उसके निष्पादन से सीधे संबंधित होने की शर्त पर अनुबंध पक्षों के व्यक्तिगत डेटा को संसाधित करना आवश्यक होना।
• डेटा नियंत्रक की कानूनी जिम्मेदारी को पूरा करने के लिए आवश्यक होना,
• डेटा स्वामी द्वारा स्वयं प्रकाशित किया गया होना,
• किसी अधिकार की स्थापना, उसके प्रयोग या संरक्षण के लिए डेटा प्रसंस्करण का अनिवार्य होना,
• डेटा स्वामी के मौलिक अधिकारों और स्वतंत्रताओं को नुकसान न पहुँचाते हुए, डेटा नियंत्रक के वैध हितों के लिए डेटा संसाधित करना अनिवार्य होना।
• डेटा मालिकों के दृष्टिकोण से सुरक्षा की विभिन्न दृष्टियों से अधिक महत्वपूर्ण समझी जाने वाली विशेष प्रकृति के व्यक्तिगत डेटा के प्रसंस्करण में कंपनी विशेष संवेदनशीलता दिखाती है। इस संदर्भ में, गुणवत्ता प्रबंधन इकाई द्वारा निर्धारित पर्याप्त उपायों को लागू करने की शर्त पर, इस प्रकार के डेटा को डेटा मालिक की स्पष्ट सहमति के बिना प्रसंस्कृत नहीं किया जाता है। हालांकि, स्वास्थ्य और यौन जीवन से संबंधित डेटा को छोड़कर, विशेष प्रकृति के व्यक्तिगत डेटा, कानूनों में पूर्वस्थापित परिस्थितियों में, डेटा मालिक की स्पष्ट सहमति के बिना भी प्रसंस्कृत किया जा सकता है।

स्वास्थ्य और यौन जीवन से संबंधित डेटा केवल पर्याप्त सावधानियाँ अपनाए जाने की शर्त पर और नीचे बताए गए कारणों की उपस्थिति में बिना उनकी स्पष्ट सहमति के संसाधित किया जा सकता है:

• सार्वजनिक स्वास्थ्य की रक्षा,
• रोकथाम चिकित्सा,
• चिकित्सीय निदान,
• उपचार और देखभाल सेवाओं का संचालन,
• स्वास्थ्य सेवाओं और वित्तपोषण की योजना और प्रबंधन।

कंपनी द्वारा कानूनी तरीके से संचालित व्यक्तिगत डेटा प्रोसेसिंग गतिविधियों और व्यक्तिगत डेटा की सुरक्षा के लिए अपनाई गई प्रणालियों के बारे में विवरण प्रदान करना, इस संदर्भ में हमारे ग्राहक, संभावित ग्राहक, कर्मचारी, कर्मचारी उम्मीदवार, कंपनी अधिकारी, आगंतुक, हमारे साथ सहयोग करने वाले संस्थाओं के कर्मचारी, अधिकारी और जिन तीसरे पक्षों का व्यक्तिगत डेटा प्रोसेस किया जाता है, मुख्य रूप से उन व्यक्तियों को सूचित करके पारदर्शिता सुनिश्चित करना है जिनका व्यक्तिगत डेटा हमारी कंपनी द्वारा संसाधित किया जाता है।

• चिकित्सा केंद्र ने BY.YD.002 सूचना प्रबंधन प्रणाली संस्थागत नीति के अनुसार डोमेन संरचना बनाई है और सभी कंप्यूटर डोमेन संरचना में "लॉगिन" स्थिति में काम करते हैं। डोमेन से जुड़े नहीं कंप्यूटर स्थानीय नेटवर्क से हटा दिए जाते हैं, और स्थानीय नेटवर्क में उपकरणों के बीच जानकारी का आदान-प्रदान नहीं किया जाता है।
• कंप्यूटर के माध्यम से सरकारी दस्तावेज़ों, प्रोग्रामों और शिक्षा संबंधी दस्तावेज़ों के अलावा किसी भी फ़ाइल का आदान-प्रदान नहीं किया जा सकता।
• इंटरनेट एक्सेस और ईमेल उपयोग कनेक्शन को मेडिकल सेंटर में मौजूद फ़ायरवॉल डिवाइस द्वारा नियंत्रित किया जाता है।
• चिकित्सा केंद्र में नौकरी शुरू करने वाले सभी अनुमत कर्मचारियों के लिए एक कॉर्पोरेट ईमेल पता बनाया जाता है।
• ईमेल और पासवर्ड संबंधित कर्मियों को प्रशिक्षण देते समय वितरित किए जाते हैं।
• उपयोगकर्ता स्वीकार करता है कि ईमेल के दौरान व्यक्त किए गए सभी वाक्यांश उसके अपने हैं। ऐसी गतिविधियों के लिए उपयोगकर्ता जिम्मेदार है जो अपराध में आ सकती हैं; धमकी देने वाले, अवैध, अपमानजनक, गाली या मानहानि वाले, अनैतिक संदेश भेजने के लिए।
• उपयोगकर्ता अपने खाते में कानूनी दृष्टि से अपराध उत्पन्न करने वाले सामग्री और दस्तावेज़ नहीं रख सकता, व्यक्तिगत खाता धारकों को नुकसान पहुंचाने वाले एप्लिकेशन का उपयोग नहीं कर सकता।
• किसी अन्य सिस्टम के सर्वर या किसी अन्य उपयोगकर्ता के खाते का उपयोग संबंधित व्यक्ति की अनुमति के बिना संदेश भेजने के उद्देश्य से नहीं कर सकता।
• उपयोगकर्ता अपने खाते का व्यापारिक और लाभकारी उद्देश्य से उपयोग नहीं कर सकता। बहुत सारे उपयोगकर्ताओं को सामूहिक रूप से विज्ञापन, प्रचार, सूचना आदि उद्देश्यों के लिए (SPAM) ईमेल नहीं भेज सकता।
• उपयोगकर्ता के खाते में मौजूद किसी भी प्रकार की जानकारी के प्रकाशन अधिकारों से उत्पन्न कानूनी जिम्मेदारियां उपयोगकर्ता पर ही होंगी।

व्यक्तिगत डेटा धारक की जानकारी देना और सूचित करना

हमारी कंपनी, KVK कानून के अनुच्छेद 10 के अनुसार, व्यक्तिगत डेटा प्राप्त करते समय डेटा स्वामियों को सूचित करती है। इस संदर्भ में, कंपनी यह स्पष्ट करती है कि व्यक्तिगत डेटा किस उद्देश्य के लिए संसाधित किया जाएगा, संसाधित व्यक्तिगत डेटा किसे और किस उद्देश्य के लिए हस्तांतरित किया जा सकता है, व्यक्तिगत डेटा संग्रह का तरीका और कानूनी आधार क्या है, और व्यक्तिगत डेटा स्वामियों के पास कौन-कौन से अधिकार हैं।

संविधान के अनुच्छेद 20 में स्पष्ट किया गया है कि हर किसी को अपनी व्यक्तिगत जानकारी के बारे में जानकारी प्राप्त करने का अधिकार है। इसी doğr में केवीके कानून के अनुच्छेद 11 में व्यक्तिगत डेटा मालिक के अधिकारों में 'जानकारी का अनुरोध करना' भी शामिल है। हमारी कंपनी इस संदर्भ में, संविधान के अनुच्छेद 20 और केवीके कानून के अनुच्छेद 11 के अनुसार, यदि व्यक्तिगत डेटा मालिक जानकारी का अनुरोध करता है, तो आवश्यक जानकारी प्रदान करती है।

व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्य

आपका स्वास्थ्य डेटा, विशेष रूप से संवेदनशील व्यक्तिगत डेटा और आपका व्यक्तिगत डेटा, कंपनी द्वारा नीचे सूचीबद्ध उद्देश्यों के साथ-साथ इसमें शामिल, लेकिन इन्हीं तक सीमित नहीं, सीमित और मापनीय तरीके से संसाधित किया जा सकता है;

• आपका नाम,surname, T.C. पहचान संख्या, अस्थायी T.C. पहचान संख्या, पासपोर्ट संख्या, जन्म स्थान और तारीख, वैवाहिक स्थिति, लिंग, बीमा या रोगी प्रोटोकॉल संख्या और अन्य पहचान डेटा जो आपको पहचानते हैं।
• आपका पता, फ़ोन नंबर, ईमेल पता
• आपके परीक्षण परिणाम, प्रयोगशाला और इमेजिंग परिणाम, जांच डेटा, नुस्खे की जानकारी जैसी चिकित्सा निदान, उपचार और देखभाल सेवाओं के संचालन के दौरान प्राप्त स्वास्थ्य और यौन जीवन से संबंधित डेटा और इन्हीं तक सीमित न होकर आपके स्वास्थ्य डेटा,
• आपका IBAN नंबर, क्रेडिट कार्ड जानकारी,
• चिकित्सा केंद्र का दौरा करते समय आपके द्वारा ली गई सीसीटीवी कैमरा प्रणाली की छवि और ध्वनि रिकॉर्डिंग,
• यदि आप रोगी प्रवेश/परामर्श से संपर्क करते हैं, तो आपकी रिकॉर्ड की गई ध्वनि वार्तालाप दर्ज की जाती है,
• स्वास्थ्य सेवाओं के वित्त पोषण और योजना बनाने के उद्देश्य से निजी स्वास्थ्य बीमा से संबंधित आपका डाटा

हमारी कंपनी व्यक्तिगत डेटा को उन उद्देश्यों और शर्तों तक सीमित करके संसाधित करती है जो 6698 नंबर के व्यक्तिगत डेटा संरक्षण कानून के अनुच्छेद 5 की धारा 2 और अनुच्छेद 6 की धारा 3 में निर्दिष्ट व्यक्तिगत डेटा प्रसंस्करण शर्तों के भीतर हैं।

इन उद्देश्यों और शर्तों;

• कंपनी द्वारा आपके व्यक्तिगत डेटा की प्रोसेसिंग के संबंध में संबंधित गतिविधि का कानूनों में स्पष्ट रूप से पूर्वानुमानित होना,
• हमारी कंपनी द्वारा आपके व्यक्तिगत डेटा को संसाधित करना किसी अनुबंध के गठन या उसके निष्पादन से सीधे संबंधित और आवश्यक होना,
• आपके व्यक्तिगत डेटा को संसाधित करना हमारी कंपनी के कानूनी दायित्व को पूरा करने के लिए अनिवार्य होना,
• आपके व्यक्तिगत डेटा का आपकी ओर से सार्वजनिक कर दिया जाना शर्त के साथ; केवल आपके द्वारा सार्वजनिक करने के उद्देश्य के लिए हमारी कंपनी द्वारा संसाधित होना,
• हमारी कंपनी द्वारा आपके व्यक्तिगत डेटा का संसाधित होना हमारी कंपनी या आपके या तृतीय पक्ष के अधिकारों की स्थापना, उपयोग या संरक्षण के लिए अनिवार्य होना
• आपके मूल अधिकारों और स्वतंत्रताओं को हानि न पहुँचाते हुए, हमारी कंपनी के वैध हितों के लिए व्यक्तिगत डेटा प्रसंस्करण गतिविधियाँ अनिवार्य होने पर,
• हमारी कंपनी द्वारा व्यक्तिगत डेटा संसाधन गतिविधियों को संचालित करने का कारण यह है कि यह व्यक्तिगत डेटा के स्वामी या किसी अन्य व्यक्ति के जीवन या शारीरिक अखंडता की रक्षा के लिए आवश्यक है, और ऐसी स्थिति में व्यक्तिगत डेटा का स्वामी किसी क्रियात्मक असमर्थता या कानूनी अयोग्यता के कारण अपनी सहमति नहीं दे सकता।
• व्यक्तिगत डेटा मालिक के स्वास्थ्य और यौन जीवन के अलावा विशेष प्रकार के व्यक्तिगत डेटा के प्रसंस्करण का कानूनों में पूर्वावधान होना,
• व्यक्तिगत डेटा स्वामी के स्वास्थ्य और यौन जीवन से संबंधित विशेष प्रकार के व्यक्तिगत डेटा की सार्वजनिक स्वास्थ्य की सुरक्षा, निवारक चिकित्सा, चिकित्सीय निदान, उपचार और देखभाल सेवाओं के संचालन, स्वास्थ्य सेवाओं और उनके वित्तपोषण की योजना और प्रबंधन के उद्देश्य के लिए, गोपनीयता बनाए रखने की जिम्मेदारी वाले व्यक्ति या अधिकृत संस्था और संगठन द्वारा संसाधित किया जाना।

उपरोक्त उल्लिखित परिस्थितियों में; हमारी कंपनी व्यक्तिगत डेटा को, इनमें सीमित न रहते हुए, निम्नलिखित उद्देश्यों के लिए संसाधित कर सकती है:

• सार्वजनिक स्वास्थ्य की रक्षा, निवारक चिकित्सा, चिकित्सीय निदान, उपचार और देखभाल सेवाओं का संचालन,
• स्वास्थ्य सेवाओं और वित्तपोषण की योजना और प्रबंधन के उद्देश्य से
• आपकी पहचान की पुष्टि
• यदि आप अपॉइंटमेंट लेते हैं, तो आपको अपॉइंटमेंट के बारे में सूचित किया जा सकता है।
• चिकित्सा केंद्र के साथ अनुबंधित संस्थाओं के साथ अपने संबंध की पुष्टि करना।
• कानूनी और विनियामक आवश्यकताओं को पूरा करना
• रोगी सेवाओं, वित्तीय मामलों, और विपणन विभागों द्वारा आपके स्वास्थ्य सेवाओं के वित्तपोषण, जांच, निदान और उपचार खर्चों की व्यवस्था की जाती है,
• संबंधित कानून के अनुसार, स्वास्थ्य मंत्रालय और अन्य सरकारी संस्थाओं के साथ मांगी गई सूचनाओं का साझा करना,
• स्वास्थ्य सेवाओं के वित्त पोषण के संदर्भ में निजी बीमा कंपनियों द्वारा मांगी गई किसी भी प्रकार की जानकारी साझा करना
• प्रदान की गई सेवाओं के सुधार के उद्देश्य से आपके स्वास्थ्य सेवाओं के उपयोग का विश्लेषण करना
• कंपनी द्वारा किए जाने वाले व्यावसायिक गतिविधियों को पूरा करने के लिए संबंधित कार्य इकाइयों द्वारा आवश्यक कार्य किए जाने और इससे जुड़े व्यावसायिक प्रक्रियाओं को संचालित करने के दिशा में;
• कारोबार गतिविधियों और व्यापार निरंतरता सुनिश्चित करने वाली गतिविधियों की योजना बनाना और निष्पादन,
• वित्त और/या लेखा कार्यों का पालन,
• अधिकृत संस्थाओं को कानून से उत्पन्न जानकारी प्रदान करना,
• कॉर्पोरेट संचार गतिविधियों की योजना बनाना और उन्हें लागू करना,
• हमारी कंपनी की मानव संसाधन नीतियों के संचालन की सुनिश्चितता;
• हमारी कंपनी और हमारी कंपनी के साथ व्यावसायिक संबंध रखने वाले व्यक्तियों की कानूनी और व्यावसायिक सुरक्षा सुनिश्चित करना;
• वर्तमान ग्राहकों के लिए संतोष मूल्यांकन गतिविधियों का संचालन, संगठन और कार्यक्रम प्रबंधन,
• काम के स्वास्थ्य और सुरक्षा गतिविधियों का संचालन,
• जानकारी और भौतिक सुरक्षा प्रक्रियाओं का संचालन।
• कॉर्पोरेट इंटरनेट साइट और मोबाइल ऐप्लिकेशन के माध्यम से लेन-देन करने वाले की जानकारी की पुष्टि करना,

व्यक्तिगत डेटा को मिटाना, नष्ट करना या गुमनाम बनाना

व्यक्तिगत डेटा को हटाने, नष्ट करने या गुमनाम बनाने से संबंधित अन्य कानूनों में निहित प्रावधानों को बरकरार रखते हुए, कंपनी इस कानून और अन्य कानूनों के प्रावधानों के अनुरूप डेटा को प्रोसेस करने के बावजूद, यदि प्रोसेसिंग की आवश्यकता समाप्त हो जाती है, तो व्यक्तिगत डेटा को स्वेच्छा से या डेटा सब्जेक्ट/संबंधित व्यक्ति की मांग पर BY.PR.004 सूचना सुरक्षा एवं व्यक्तिगत डेटा संरक्षण प्रक्रिया में उल्लिखित सिद्धांतों के अनुसार हटा देती है, नष्ट करती है या गुमनाम बनाती है।

व्यक्तिगत डेटा को हटाना; संबंधित उपयोगकर्ताओं के लिए व्यक्तिगत डेटा को किसी भी रूप में पहुँच से बाहर और फिर से उपयोग न करने योग्य बनाने की प्रक्रिया है।

डेटा का नष्ट करना वह प्रक्रिया है जिससे व्यक्तिगत डेटा किसी के द्वारा किसी भी तरह से एक्सेस नहीं किया जा सकता, पुनः प्राप्त नहीं किया जा सकता और पुन: उपयोग नहीं किया जा सकता।

डेटा को गुमनाम बनाने के द्वारा, यह सुनिश्चित किया जाता है कि व्यक्तिगत डेटा को अन्य डेटा के साथ मिलाने के बावजूद किसी भी परिस्थिति में किसी निश्चित या पहचान योग्य वास्तविक व्यक्ति से जोड़ा नहीं जा सकता।

व्यक्तिगत डेटा का स्थानांतरण

घोषित उद्देश्यों के दायरे में संसाधित आपके व्यक्तिगत डेटा; KVKK में निर्धारित मूल सिद्धांतों के अनुसार और KVKK के धारा 8 और 9 में उल्लिखित व्यक्तिगत डेटा प्रसंस्करण शर्तों और उद्देश्यों के भीतर,

• स्वास्थ्य मंत्रालय और इसके अधीनस्थ विभाग,
• आपके द्वारा अधिकृत प्रतिनिधि,
• विशेष बीमा कंपनियाँ,
• सामाजिक सुरक्षा संस्थान,
• सुरक्षा महासंचालनालय और अन्य कानून प्रवर्तन एजेंसियां,
• जनसंख्या सामान्य निदेशालय,
• तुर्की फ़ार्मासिस्ट संघ,
• अदालते और हर प्रकार के न्यायिक प्राधिकरण, केंद्रीय और अन्य तीसरे पक्ष,
• वकील,
• चिकित्सीय निदान और उपचार के लिए जिन प्रयोगशालाओं, चिकित्सा केंद्रों, एम्बुलेंस, चिकित्सीय उपकरण और स्वास्थ्य सेवा प्रदाने वाले संस्थानों के साथ हम सहयोग में हैं,
• सेवाओं की उपलब्धता के उद्देश्य से सीमित रूप से हमारे आपूर्तिकर्ता,

साझा किया जा सकेगा।

व्यक्तिगत डेटा का विदेशों में स्थानांतरण

हमारी कंपनी कानूनी रूप से वैध व्यक्तिगत डेटा प्रसंस्करण उद्देश्यों के अनुरूप आवश्यक सुरक्षा उपायों को अपनाकर व्यक्तिगत डेटा धारक के व्यक्तिगत डेटा और विशेष प्रकार के व्यक्तिगत डेटा को विदेशों में तीसरे पक्ष को ट्रांसफर कर सकती है। हमारी कंपनी द्वारा व्यक्तिगत डेटा; व्यक्तिगत डेटा संरक्षण संस्थान (KVK Kurumu) द्वारा पर्याप्त सुरक्षा वाले घोषित विदेशी देशों ('पर्याप्त सुरक्षा वाले विदेशी देश') में या पर्याप्त सुरक्षा न होने की स्थिति में, तुर्की और संबंधित विदेशी देशों में डेटा नियंत्रकों द्वारा पर्याप्त सुरक्षा लिखित रूप में प्रतिबद्ध की गई और KVK संस्था की अनुमति प्राप्त विदेशी देशों ('पर्याप्त सुरक्षा का वचन देने वाले डेटा नियंत्रक वाले विदेशी देश') को ट्रांसफर किया जाएगा। हमारी कंपनी इस संदर्भ में KVK कानून के अनुच्छेद 9 में निर्धारित दिशा-निर्देशों के अनुसार कार्य कर रही है।

इमारत, सुविधाओं की प्रवेश बिंदु और उनके अंदर की व्यक्तिगत डेटा प्रसंस्करण गतिविधियां और वेबसाइट आगंतुक

• कंपनी द्वारा भवन और सुविधाओं के प्रवेश द्वारों पर और सुविधा के भीतर की जाने वाली व्यक्तिगत डेटा प्रोसेसिंग गतिविधियाँ संविधान, KVK कानून और संबंधित अन्य नियमों के अनुसार संचालित की जाती हैं।
• हमारी कंपनी द्वारा सुरक्षा सुनिश्चित करने के उद्देश्य से, हमारी कंपनी की इमारतों और सुविधाओं में सुरक्षा कैमरों के माध्यम से निगरानी गतिविधि और मेहमानों के प्रवेश-निर्गमन की निगरानी के लिए व्यक्तिगत डेटा प्रसंस्करण की गतिविधि की जाती है।
• सुरक्षा कैमरों का उपयोग और आगंतुकों के प्रवेश और निकासी की रिकॉर्डिंग के माध्यम से हमारी कंपनी द्वारा व्यक्तिगत डेटा प्रसंस्करण गतिविधियां की जाती हैं।
• कंपनी, सुरक्षा कैमरा के माध्यम से निगरानी गतिविधि; कंपनी और अन्य व्यक्तियों की सुरक्षा सुनिश्चित करने से संबंधित हितों की रक्षा करने का उद्देश्य रखती है और इस संदर्भ में हमारी कंपनी संविधान, KVK कानून और संबंधित अन्य कानूनों के अनुसार कार्य कर रही है।
• हमारी कंपनी की इमारत, परिसर के प्रवेश पर और परिसर के भीतर कैमरे के माध्यम से निगरानी प्रणाली द्वारा हमारे आगंतुकों की छवि रिकॉर्डिंग की जाती है।
• हमारी कंपनी, सुरक्षा कैमरा निगरानी गतिविधि के अंतर्गत; प्रदान की जाने वाली सेवा की गुणवत्ता बढ़ाने, इसकी विश्वसनीयता सुनिश्चित करने, कंपनी, ग्राहकों और अन्य व्यक्तियों की सुरक्षा सुनिश्चित करने और ग्राहकों को प्राप्त सेवा से संबंधित हितों की रक्षा करने जैसे उद्देश्य रखती है।
• हमारी कंपनी द्वारा सुरक्षा उद्देश्यों के लिए कैमरा के माध्यम से निगरानी गतिविधि संचालित करने में KVK कानून में उल्लिखित विनियमों का पालन किया जा रहा है। हमारी कंपनी द्वारा संचालित कैमरा निगरानी गतिविधि, विशेष सुरक्षा सेवाओं से संबंधित कानून और संबंधित नियमों के अनुसार जारी रखी जाती है।
• डिजिटल माध्यम में रिकॉर्ड किए गए और संग्रहीत रिकॉर्ड्स तक केवल कंपनी के सीमित कर्मचारी ही पहुँच सकते हैं। जिनके पास रिकॉर्ड्स तक पहुँच है, वह सीमित संख्या के लोग गोपनीयता प्रतिबद्धता के साथ यह घोषणा करते हैं कि वे पहुँचे गए डेटा की गोपनीयता बनाए रखेंगे।
• हमारी कंपनी, KVK कानून की धारा 12 के अनुसार, कैमरा निगरानी गतिविधि के परिणामस्वरूप प्राप्त व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए आवश्यक तकनीकी और प्रशासनिक उपाय स्वीकार करती है।

उपरोक्त उल्लेखित कैमरे में रिकॉर्डिंग के अलावा, हमारी कंपनी द्वारा; सुरक्षा सुनिश्चित करने और इस नीति में उल्लिखित उद्देश्यों के लिए, हमारी कंपनी की इमारतों और सुविधाओं में आगंतुकों के आगमन और प्रस्थान का पालन करने हेतु व्यक्तिगत डेटा संसाधन गतिविधियाँ की जाती हैं।

• हमारी कंपनी की इमारतों में मेहमान के रूप में आने वाले व्यक्तियों के नाम और उपनाम प्राप्त किए जाते हैं, या कंपनी के पास लगाए गए या अन्य तरीकों से मेहमानों की पहुंच के लिए प्रस्तुत किए गए ग्रंथों के माध्यम से संबंधित व्यक्तिगत डेटा धारकों को इस संदर्भ में सूचित किया जाता है। मेहमान प्रवेश-निकास ट्रैकिंग के उद्देश्य से प्राप्त किए गए डेटा केवल इस उद्देश्य के लिए संसाधित किए जाते हैं या संबंधित व्यक्तिगत डेटा भौतिक वातावरण में डेटा रिकॉर्डिंग सिस्टम में दर्ज किए जाते हैं।
• हमारी कंपनी द्वारा सुरक्षा सुनिश्चित करने और इस प्रावधान में उल्लिखित उद्देश्यों के लिए; हमारी कंपनी द्वारा भवन और सुविधाओं में आपके प्रवास के दौरान अनुरोध करने वाले आगंतुकों को इंटरनेट एक्सेस उपलब्ध कराया जा सकता है। इस स्थिति में, आपके इंटरनेट एक्सेस से संबंधित लॉग रिकॉर्ड को 5651 नंबर की अधिनियम और इस अधिनियम के अनुसार तैयार किए गए नियमों के मुख्य प्रावधानों के अनुसार रिकॉर्ड किया जाता है; ये रिकॉर्ड केवल संबंधित सरकारी संस्थाओं द्वारा अनुरोध किए जाने पर या कंपनी के भीतर निगरानी प्रक्रियाओं को पूरा करने के लिए हमारे कानूनी दायित्व को निभाने के उद्देश्य से संसाधित किए जाते हैं।
• इस संदर्भ में प्राप्त लॉग रिकॉर्ड्स तक केवल सीमित संख्या में कंपनी कर्मचारियों की पहुँच है। उल्लेखित रिकॉर्ड्स तक पहुँच रखने वाले कंपनी कर्मचारी इन रिकॉर्ड्स का उपयोग केवल अधिकृत सार्वजनिक संस्थानों और संगठनों की मांग या निरीक्षण प्रक्रियाओं के लिए करते हैं और कानूनी रूप से अधिकृत व्यक्तियों के साथ साझा करते हैं। रिकॉर्ड्स तक पहुँच रखने वाले सीमित संख्या में लोग गोपनीयता प्रतिज्ञा के साथ पहुँच किए गए डेटा की गोपनीयता की रक्षा करने की घोषणा करते हैं।
• इंटरनेट साइट पर आने वालों के लिए कुकी नीति के माध्यम से जानकारी प्रदान की जाती है।

व्यक्तिगत डेटा की श्रेणियाँ

• पहचान (नाम और उपनाम, माता - पिता का नाम, माता का मातृकुल नाम, जन्म तिथि, जन्म स्थान, वैवाहिक स्थिति, निवास प्रमाण पत्र का श्रेणी क्रमांक, टीसी पहचान संख्या आदि)
• संपर्क (पता संख्या, ई-मेल पता, संपर्क पता, पंजीकृत इलेक्ट्रॉनिक मेल पता (KEP), फोन संख्या आदि)
• स्थान (जहाँ वह स्थित है उसकी स्थिति जानकारी)
• व्यक्तिगत (पेरोल जानकारी, अनुशासनात्मक जाँच, नौकरी प्रवेश-निकास दस्तावेज़ रिकॉर्ड, संपत्ति घोषणा जानकारी, बायोडाटा जानकारी, प्रदर्शन मूल्यांकन रिपोर्ट जैसी)
• कानूनी कार्यवाही (न्यायिक प्राधिकरणों के साथ पत्राचार में जानकारी, मुकदमे की फाइल में जानकारी जैसी)
• ग्राहक लेन-देन (कॉल सेंटर रिकॉर्ड, चालान, नोट, चेक जानकारी, काउंटर रसीदों में जानकारी, आदेश की जानकारी, अनुरोध की जानकारी आदि)
• भौतिक स्थान सुरक्षा (कर्मचारी और आगंतुकों की प्रवेश-निकास रिकॉर्ड जानकारी, कैमरा रिकॉर्ड आदि)
• लेनदेन सुरक्षा (IP पते की जानकारी, वेबसाइट प्रवेश/निकास जानकारी, पासवर्ड और संकेतशब्द की जानकारी जैसी)
• जोखिम प्रबंधन (व्यावसायिक, तकनीकी, प्रशासनिक जोखिमों के प्रबंधन के लिए संचित जानकारी जैसी)
• वित्त (बैलेंस शीट जानकारी, वित्तीय प्रदर्शन जानकारी, क्रेडिट और जोखिम जानकारी, संपत्ति जानकारी जैसी)
• व्यावसायिक अनुभव (डिप्लोमा जानकारी, लिए गए पाठ्यक्रम, व्यावसायिक प्रशिक्षण जानकारी, प्रमाणपत्र, ट्रांसक्रिप्ट जानकारी आदि)
• मार्केटिंग (खरीदारी इतिहास की जानकारी, सर्वेक्षण, कुकी रिकॉर्ड, अभियान कार्य से प्राप्त जानकारी)
• दृश्य और श्रव्य रिकॉर्ड (जैसे दृश्य और श्रव्य रिकॉर्ड)
• जाति और नस्लीय मूल (जैसे जाति और नस्लीय मूल की जानकारी)
• राजनीतिक विचार संबंधित जानकारी (जैसे राजनीतिक विचार प्रदर्शित करने वाली जानकारी, राजनीतिक दल की सदस्यता की जानकारी)
• दार्शनिक विश्वास, धर्म, संप्रदाय और अन्य विश्वास (धार्मिक संबंध से संबंधित जानकारी, दार्शनिक विश्वास से संबंधित जानकारी, संप्रदाय संबंधी जानकारी, अन्य विश्वासों से संबंधित जानकारी जैसी)
• पोशाक और वेशभूषा (पोशाक और वेशभूषा से संबंधित जानकारी)
• संगठन की सदस्यता (जैसे संगठन सदस्यता की जानकारी)
• फ़ाउंडेशन सदस्यता (जैसे फ़ाउंडेशन सदस्यता की जानकारी)
• संघ सदस्यता (जैसे संघ सदस्यता की जानकारी)
• स्वास्थ्य जानकारी (असक्षमता स्थिति से संबंधित जानकारी, रक्त समूह की जानकारी, व्यक्तिगत स्वास्थ्य जानकारी, प्रयुक्त उपकरण और प्रोस्थेसिस की जानकारी जैसी)
• यौन जीवन (यौन जीवन से संबंधित जानकारी जैसी)
• दंड सजाय और सुरक्षा उपाय (दंड सज़ा से संबंधित जानकारी, सुरक्षा उपायों से संबंधित जानकारी जैसी)
• बायोमेट्रिक डेटा (हाथ की हथेली की जानकारी, फ़िंगरप्रिंट जानकारी, रेटिना स्कैन जानकारी, चेहरे की पहचान जानकारी जैसी)
• जनेटिक डेटा (जनेटिक डेटा जैसे)
• अन्य जानकारी (उपयोगकर्ता द्वारा निर्दिष्ट डेटा प्रकार जैसे)

डेटा विषय व्यक्ति समूह

• कर्मचारी उम्मीदवार
• कर्मचारी
• प्रयोगकर्ता
• समाचार के विषय में व्यक्ति
• शेयरहोल्डर/साझेदार
• संभावित उत्पाद या सेवा प्राप्तकर्ता
• परीक्षा उम्मीदवार
• इंटर्न
• सप्लायर कर्मचारी
• सप्लायर अधिकारी
• उत्पाद या सेवा प्राप्त करने वाला व्यक्ति
• अभिभावक / संरक्षक / प्रतिनिधि
• आगंतुक
• अन्य

व्यक्तिगत डेटा के प्रसंस्करण और सुरक्षा के लिए उठाए गए तकनीकी और प्रशासनिक उपाय

कंपनी व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यक उचित सुरक्षा स्तर सुनिश्चित करने के लिए सभी आवश्यक तकनीकी और प्रशासनिक उपाय करती है। KVKK के अनुच्छेद 12 में वर्णित उपाय इस प्रकार हैं:

• व्यक्तिगत डेटा के अवैध प्रोसेसिंग को रोकना,
• व्यक्तिगत डेटा तक अवैध पहुंच को रोकना,
• व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करना

डेटा नियंत्रक के रूप में कंपनी ने KVKK अनुपालन प्रक्रिया को सुधारने के लिए निम्नलिखित तकनीकी और प्रशासनिक उपायों को लागू करने के लिए आवश्यक प्रक्रिया शुरू की है।

• प्राधिकरण मैट्रिक्स
• प्राधिकरण नियंत्रण
• पहुँच लॉग्स
• उपयोगकर्ता खाता प्रबंधन
• नेटवर्क सुरक्षा अनुप्रयोग
• सुरक्षा एन्क्रिप्शन प्रवेश परीक्षण
• लॉग रिकॉर्ड डेटा मास्किंग
• डेटा हानि निवारण सॉफ़्टवेयर
• बैकअप फायरवॉल
• वर्तमान एंटी-वायरस सिस्टम
• हटाने, मिटाने या नाममात्र बनाने की कुंजी प्रबंधन
• व्यक्तिगत डेटा प्रबंधन सूची तैयार करना
• कॉर्पोरेट नीतियाँ (पहुँच, सूचना सुरक्षा, उपयोग, संग्रहण और नष्ट करना आदि) अनुबंध (डेटा नियंत्रक - डेटा नियंत्रक, डेटा नियंत्रक - डेटा प्रसंस्कर्ता के बीच)
• गोपनीयता प्रतिज्ञाएँ
• संस्थान के भीतर समय-समय पर और/या यादृच्छिक निरीक्षण
• जोखिम विश्लेषण
• काम का अनुबंध, अनुशासन नियमावली (कानून के अनुसार प्रावधानों का समावेशन), संस्थागत संचार (संकट प्रबंधन, समिति और संबंधित व्यक्ति को सूचित करने की प्रक्रियाएं, प्रतिष्ठा प्रबंधन आदि)
• प्रशिक्षण और जागरूकता गतिविधियाँ (सूचना सुरक्षा और कानून) डेटा नियंत्रक रजिस्टर सूचना प्रणाली (VERBİS) में सूचित की जाती हैं।

व्यक्तिगत डेटा स्वामी के KVK कानून की धारा 11 में उल्लिखित अधिकार

व्यक्तिगत डेटा स्वामियों के रूप में, यदि आप अपने अधिकारों से संबंधित अनुरोध हमें इस व्यक्तिगत डेटा संरक्षण कानून सूचना नोटिस में नीचे दर्ज विधियों के अनुसार भेजते हैं, तो हमारी कंपनी अनुरोध की प्रकृति के अनुसार उसे अधिकतम 30 (तीस) दिनों में मुफ्त में निपटाएगी। हालांकि, यदि व्यक्तिगत डेटा संरक्षण बोर्ड द्वारा शुल्क का प्रावधान किया जाता है, तो हमारी कंपनी द्वारा निर्धारित शुल्क लिया जाएगा।

इस दायरे में व्यक्तिगत डेटा मालिक;

• व्यक्तिगत डेटा संसाधित किया गया है या नहीं यह जानना,
• यदि व्यक्तिगत डेटा प्रोसेस किया गया है तो इसके बारे में जानकारी का अनुरोध करना,
• व्यक्तिगत डेटा के प्रोसेसिंग का उद्देश्य और यह उद्देश्य के अनुसार उपयोग किया जा रहा है या नहीं, यह जानना,
• देश के भीतर या बाहर व्यक्तिगत डेटा को स्थानांतरित किए जाने वाले तीसरे पक्षों को जानना,
• यदि व्यक्तिगत डेटा अधूरा या गलत प्रोसेस किया गया हो तो इसे सही करने का अनुरोध करना और इस प्रक्रिया के तहत किए गए कार्य को उन तीसरे पक्षों को सूचित करने का अनुरोध करना जिनसे व्यक्तिगत डेटा साझा किया गया है,
• केवीके अधिनियम और संबंधित अन्य कानून प्रावधानों के अनुसार संसाधित होने के बावजूद, यदि इसे संसाधित करने की आवश्यकता समाप्त हो जाती है, तो व्यक्तिगत डेटा को मिटाने या नष्ट करने की मांग करना और इस संबंध में किए गए कार्य को व्यक्तिगत डेटा को प्राप्त करने वाले तीसरे पक्षों को सूचित करने की मांग करना,
• प्रसंस्कृत किए गए डेटा का विशेष रूप से स्वचालित सिस्टम के माध्यम से विश्लेषण करने के द्वारा व्यक्ति के खिलाफ किसी परिणाम को उत्पन्न करने पर आपत्ति दर्ज करना,
• व्यक्तिगत डेटा के अवैध प्रोसेसिंग के कारण नुकसान होने पर, उस नुकसान की भरपाई का अनुरोध करने का अधिकार है.

संबंधित व्यक्ति के रूप में, आपको अपने हक़ के दावों को लिखित रूप में हमारे कंपनी को भेजने की आवश्यकता है। इस संदर्भ में, KVK कानून की धारा 11 के अंतर्गत हमारे कंपनी को की जाने वाली आपकी अपीलों को सही और तेज़ तरीके से प्रबंधित करने के लिए, हमारी वेबसाइट पर "व्यक्तिगत डेटा संरक्षण" शीर्षक के तहत उपलब्ध "संबंधित व्यक्ति जानकारी अनुरोध आवेदन फॉर्म" का उपयोग करने की सलाह दी जाती है, और आपकी मांग के अनुसार आवश्यक दस्तावेज़/जानकारी और पहचान सत्यापन के लिए आवश्यक दस्तावेज़ प्रदान करते हुए इसे व्यक्तिगत रूप से या रिटर्न रसीद के साथ भेजा जाना चाहिए। इसके अलावा, संबंधित व्यक्ति जानकारी अनुरोध फॉर्म को आप ऑनलाइन उपयोगकर्ता के रूप में (पहले हमारे कंपनी को सूचित किए गए और हमारे सिस्टम में पंजीकृत ईमेल पते के साथ) .............................com.tr के माध्यम से भी हमें भेज सकते हैं।

निरूपण

संस्थान के कर्मचारी, अनिच्छा से खोई हुई या सामने आई फाइलें, एंटीवायरस एजेंट के कामकाज में उत्पन्न समस्याएँ, अनजाने में चलने वाले प्रोग्राम या खुली विंडो, अनधिकृत कर्मचारी का संवेदनशील सूचना प्रसंस्करण सुविधाओं में होना, गोपनीय फाइलों का बाहरी हस्तक्षेप के लिए खुला होना, लिखित प्रक्रियाओं के अनुसार कार्रवाई न करना आदि संदिग्ध परिस्थितियों में घटना की सूचना देते हैं।

मूल्यांकन और रिपोर्टिंग

जब सूचना सुरक्षा उल्लंघन घटनाओं की सूचना İO.FR.001 अनचाही घटना रिपोर्ट फॉर्म के माध्यम से गुणवत्ता प्रबंधन इकाई को दी जाती है, तो गुणवत्ता प्रबंधन इकाई उल्लंघन घटना का मूल्यांकन करती है और यदि यह उल्लंघन है, तो रिपोर्ट के माध्यम से शीर्ष प्रबंधन को सूचित करती है।

रिपोर्ट में कम से कम निम्नलिखित शीर्षक होने चाहिए;

• संग्रहित साक्ष्य।
• साक्ष्य का प्रकार।
• साबितियों को संग्रहीत करने का स्थान।
• साक्ष्य की तारीख और समय।
• यदि घटना के संबंध में सुधारात्मक गतिविधि शुरू की गई है तो सुधारात्मक गतिविधि फ़ॉर्म
• उल्लंघन की घटना की तिथि और समय।

सूचना सुरक्षा घटना रिपोर्टिंग के लिए ध्यान देने योग्य बातें निम्नलिखित हैं:

• भौतिक सुरक्षा व्यवस्थाएँ और वातावरण में प्रवेश जानकारी।
• बेअसर सुरक्षा नियंत्रण।
• सूचना की गोपनीयता, अखंडता, सुलभता की स्थिति का उल्लंघन।
• मानव त्रुटियाँ।
• अनियंत्रित सॉफ्टवेयर या हार्डवेयर सिस्टम में परिवर्तन।
• खराबियां।
• पहुँच नियंत्रण।
• नीतियों और प्रक्रियाओं के अनुपालन में असंगति।
• सिस्टम सुरक्षा सॉफ़्टवेयर द्वारा पहचानी गई कमजोरियाँ।

उपरोक्त उल्लिखित शीर्षकों के लिए खोले गए रिकॉर्ड्स को गुणवत्ता प्रबंधन मूल्यांकन बैठकों में आंका जाएगा। उल्लंघन की घटनाओं को जोखिम मूल्यांकन के अंतर्गत मापा जाता है।

मूल्यांकन तंत्र निम्नलिखित है:

• उल्लंघन की घटनाओं का मूल्यांकन करते समय घटना की संख्या और प्रभाव पर विचार किया जाता है।
• उल्लंघन की घटनाओं से प्राप्त डेटा का उपयोग जोखिम मूल्यांकन में माप के रूप में किया जाता है।
• प्रभाव मूल्य सुरक्षा जानकारी बैठकों में चर्चा की जाती है और रिकॉर्ड की संख्या और रिकॉर्ड के प्रभाव के अनुसार जोखिम संभावना मूल्यों में परिलक्षित होता है।
• साल के अंत में बने रिकॉर्ड की संख्या में %7 से %10 की वृद्धि होने की स्थिति में उपयोगकर्ताओं को अतिरिक्त रूप से जागरूकता प्रशिक्षण दिया जाता है।
• साल के अंत में रिकॉर्ड की संख्या में 11% से 30% तक की वृद्धि होने की स्थिति में प्रक्रियाओं की समीक्षा के लिए अतिरिक्त बैठक आयोजित की जाएगी।
• साल के अंत में बने रिकॉर्ड की संख्या में %31 और उससे अधिक वृद्धि होने की स्थिति में जागरूकता प्रशिक्षण, प्रक्रियाओं का अद्यतन, निवेश और संरचनात्मक बदलाव के निर्णय लिए जाते हैं।

हस्तक्षेप

• किसी भी कमजोरी के लिए बंद करने की कार्रवाई नहीं की जाती जो सबूतों को नष्ट या बिगाड़ सकती हो।
• नियंत्रणों या रिपोर्ट किए गए मामलों द्वारा ज्ञात और साक्ष्य एकत्रित किए गए सभी घटनाओं के लिए, अन्य प्रक्रियाओं से पहले उस घटना का कारण बनने वाली कमजोरी को सुधारना आवश्यक है।
• हस्तक्षेप के लिए आवश्यक समझे जाने पर BY.PR.001 व्यवसाय निरंतरता प्रक्रिया लागू की जाती है।

सावधानी और अनुभव प्राप्त करना

पहचाने गए और साक्ष्यों के साथ एकत्र किए गए सूचना सुरक्षा उल्लंघन घटनाओं के दोबारा होने से रोकने के लिए आवश्यक कदम उठाए जाते हैं। सभी हुई सूचना सुरक्षा उल्लंघन घटनाओं की समीक्षा अनुभव प्राप्त करने के उद्देश्य से की जाती है और सीखी गई जानकारी को रिकॉर्ड किया जाता है। अनुभव प्राप्त करने का उद्देश्य किसी भी उल्लंघन घटना के दोबारा न होने या दोबारा होने की स्थिति में समस्या का समाधान अधिक जल्दी ढूँढ पाना है।

किसी सुरक्षा उल्लंघन की घटना को रोकने के लिए निम्नलिखित में से कोई भी उपाय लागू किया जा सकता है:

• सृजित रिकॉर्ड की जाँच की जाती है और समाधान के तरीकों के लिए आवश्यक जानकारी रिकॉर्ड की जाती है।
• गलत प्रक्रियाओं के कारण होने वाली घटनाओं के लिए निश्चित रूप से लिखित प्रक्रियाएं बनाई जाती हैं।
• प्रक्रियाओं से उत्पन्न घटनाओं के लिए प्रक्रियाओं की फिर से समीक्षा की जाती है और उन्हें ठीक किया जाता है।
• घटी हुई जानकारी सुरक्षा घटना का जोखिम रिकॉर्ड मौजूद है या नहीं जांचा जाता है, यदि मौजूद है तो जोखिम का पुनर्मूल्यांकन किया जाता है, अगर नहीं है तो मूल्यांकन के लिए जोखिम रिकॉर्ड बनाया जाता है।
• पहुँच से संबंधित समस्याओं के लिए पहुँचों की पुनः जाँच की जाती है, अन्य समान पहुँच अनुमतियाँ भी जांची जाती हैं।
• सॉफ्टवेयर और एप्लिकेशन से उत्पन्न घटनाओं में अपडेट की जांच की जाती है, और घटनाओं को बंद करने के लिए कमजोरी को बंद करना, अपडेट करना, पैच विकसित करना जैसी विधियाँ अपनाई जाती हैं।
• भौतिक उपकरणों से उत्पन्न समस्याओं के लिए लिए गए उपाय अन्य समान उपकरणों पर भी लागू होते हैं।
• हानिकारक कोड से होने वाली घटनाओं के लिए समस्या का स्रोत पता लगाया जाता है और सुरक्षा सॉफ़्टवेयर की पर्याप्तता की समीक्षा की जाती है। पाए गए उपायों को सभी सिस्टम पर अवश्य लागू किया जाता है।

रिकॉर्ड और सबूत संकलन

• रिकॉर्ड और सबूत संकलन चरण में, सबसे पहले यह जांच की जाती है कि घटना और जिम्मेदार की पहचान की जा सकने वाली रिकॉर्ड की अखंडता बाधित नहीं हुई है।
• सिर्फ़ संपूर्णता बनाए रखने वाले रिकॉर्ड प्रमाण के लिए उपयोग किए जाते हैं।
• सूचना सुरक्षा उल्लंघन घटनाओं के लिए एकत्र किए गए सबूत 3 वर्षों तक रखे जाते हैं।
• सूचना सुरक्षा उल्लंघन की घटना का पता लगाने के मामलों में, यदि मौजूद हों, तो कैमरा फ़ुटेज, पहुँच रिकॉर्ड, नियंत्रण रिकॉर्ड, सिस्टम सुरक्षा सॉफ़्टवेयर द्वारा रखे गए रिकॉर्ड, समस्याओं के समाधान के लिए आवश्यक लागत रिकॉर्ड, सूचना सुरक्षा उल्लंघन घटनाओं के मूल्यांकन के लिए आवश्यक और भविष्य की घटनाओं की आवृत्ति, नुकसान और लागत सीमाओं को निर्धारित करने वाले रिकॉर्ड रखे जाते हैं।

सुधार

• कर्मचारियों को जानकारी सुरक्षा और व्यक्तिगत डेटा की सुरक्षा के बारे में जागरूकता प्रशिक्षण दिया जाता है।
• जानकारी प्रबंधन प्रणाली में उपयोग किए गए पासवर्ड मंत्रालय की पासवर्ड नीतियों के अनुसार हैं।
• जानकारी प्रबंधन प्रणाली के जिम्मेदारों और उपयोगकर्ताओं को गोपनीयता अनुबंध पर हस्ताक्षर कराए जाते हैं।
• जानकारी प्रबंधन प्रणाली से जुड़े भौतिक खतरों, सॉफ़्टवेयर और हार्डवेयर समस्याओं, जानकारी सुरक्षा, जानकारी गोपनीयता, व्यक्तिगत डेटा की सुरक्षा, उपयोगकर्ता त्रुटियों जैसी चीज़ों पर जोखिम मूल्यांकन किया जाता है।
• जानकारी सुरक्षा उल्लंघनों में सुधारात्मक गतिविधियों और स्थिति विश्लेषण का मूल्यांकन करके सुधार किए जाते हैं और सुधार के बाद उच्च प्रबंधन और कर्मचारियों को सूचित किया जाता है।