Proteção de dados pessoais

Princípios Básicos no Processamento de Dados Pessoais:

Processamento em Conformidade com a Lei e com o Princípio de Honestidade

Nossa empresa age de acordo com os princípios estabelecidos pelas regulamentações legais e com a regra geral de confiança e honestidade no processamento de dados pessoais.

Correto e Atualizado Quando Necessário

São tomadas as medidas necessárias para que os dados pessoais processados pela Empresa sejam precisos e atualizados, e os titulares dos dados recebem informações e oportunidades necessárias para garantir que os dados processados reflitam a situação real.

Processamento para Finalidades Específicas, Claras e Legítimas

Nossa empresa define de forma clara e precisa a finalidade de processamento de dados pessoais que seja legítima e legal. Nossa empresa processa os dados pessoais na medida necessária e em conexão com o serviço que fornece. Nossa empresa determina para qual finalidade os dados pessoais serão processados antes do início de qualquer atividade de processamento de dados pessoais.

Relacionado à Finalidade de Processamento, Limitado e Proporcional

Os dados são processados pela Empresa de acordo com a LGPD e outras legislações relevantes, de forma adequada para atingir os objetivos determinados por categoria de dados, relacionados com a realização do objetivo e de maneira proporcional, evitando-se o processamento de dados pessoais desnecessários.

Retenção pelo Período Previsto na Legislação Aplicável ou Necessário para a Finalidade de Processamento

Os dados pessoais processados pela Empresa são mantidos apenas pelo período necessário para as finalidades para as quais foram processados ou conforme previsto na legislação aplicável. Nesse contexto, a Empresa cumpre o prazo previsto na legislação aplicável para a retenção de dados, se houver; caso não haja tal prazo, mantém os dados apenas pelo período necessário para as finalidades para as quais foram processados. A Empresa não retém dados com base na possibilidade de uso futuro.

• No âmbito das medidas de segurança física (portas de entrada e saída, salas de escritório, áreas de entrega de produtos, segurança dos depósitos e uso de crachás de identificação do pessoal, etc.), todas as regras estabelecidas devem ser cumpridas por todo o pessoal.
• A proteção contra vírus e atacantes é de responsabilidade do Responsável pelo Processamento de Informação. O responsável informa à alta administração o hardware e o software necessários para a proteção contra vírus e atacantes e toma as medidas necessárias. Essas medidas incluem os requisitos mínimos exigidos pelo ministério da saúde, que envolvem aparatos de hardware e software, como softwares antivírus e firewalls. A atualização desses softwares é responsabilidade do Responsável pelo Sistema de Gestão da Informação. Quando chega o momento da atualização, o responsável informa a alta administração e realiza as atualizações.

Realização das Atividades de Processamento de Dados Pessoais em Conformidade com a LGPD

Com a LGPD, as condições para o processamento de dados pessoais foram regulamentadas e a Empresa processa dados pessoais de acordo com as condições mencionadas abaixo.

Exceto pelas exceções mencionadas na Lei, a Empresa processa dados pessoais somente mediante obtenção do consentimento explícito dos titulares dos dados. No caso da existência das seguintes situações previstas na Lei, os dados pessoais podem ser processados mesmo sem o consentimento explícito do titular.

• Previsão explícita nas leis,
• Necessidade para proteger a própria vida ou integridade física ou a de outra pessoa de alguém que não possa expressar consentimento devido à impossibilidade de fato ou cujo consentimento não tenha validade legal,
• Ser necessário processar os dados pessoais das partes do contrato, desde que esteja diretamente relacionado com a celebração ou execução de um contrato.
• É obrigatório para o responsável pelo tratamento de dados cumprir suas obrigações legais,
• Divulgação feita pelo próprio titular dos dados,
• A necessidade de processar dados para o estabelecimento, exercício ou defesa de um direito,
• Desde que não prejudique os direitos e liberdades fundamentais do titular dos dados, o processamento de dados é obrigatório para os interesses legítimos do controlador de dados.
• No processamento de dados pessoais especiais, que são considerados de importância crítica para a proteção dos titulares de diferentes maneiras, a Empresa demonstra sensibilidade especial. Nesse contexto, desde que sejam tomadas medidas adequadas determinadas pela Unidade de Gestão da Qualidade, tais dados não são processados sem o consentimento explícito dos titulares dos dados. No entanto, dados pessoais especiais, exceto aqueles relacionados à saúde e à vida sexual, também podem ser processados sem o consentimento explícito do titular, nos casos previstos por lei.

No caso de dados relacionados à saúde e à vida sexual, podem ser processados sem consentimento explícito, desde que medidas adequadas tenham sido adotadas e existam as razões abaixo mencionadas:

• Proteção da saúde pública,
• Medicina preventiva,
• Diagnóstico médico,
• Realização de serviços de tratamento e cuidados,
• Planejamento e gestão dos serviços de saúde e de seu financiamento.

Fornecer explicações sobre as atividades de processamento de dados pessoais realizadas legalmente pela empresa e os sistemas adotados para a proteção de dados pessoais tem como objetivo garantir a transparência, informando as pessoas cujos dados pessoais são processados pela nossa empresa, em particular nossos clientes, clientes potenciais, funcionários, candidatos a emprego, representantes da empresa, visitantes, funcionários e representantes das instituições com as quais colaboramos, e terceiros cujos dados pessoais são processados.

• De acordo com a Política Institucional do Sistema de Gestão da Informação BY.YD.002 do centro médico, a estrutura de domínio foi criada e todos os computadores operam conectados ao domínio. Computadores que não estão conectados ao domínio são removidos da rede local, e não há troca de informações entre os dispositivos na rede local.
• Fora os documentos oficiais, programas e materiais de treinamento, não é permitido o intercâmbio de arquivos através dos computadores
• O acesso à Internet e as conexões de e-mail são controlados pelo dispositivo firewall localizado no centro médico.
• Todos os funcionários autorizados que começam a trabalhar no centro médico recebem um endereço de e-mail institucional.
• E-mails e senhas são transmitidos ao pessoal relevante durante o treinamento.
• O usuário reconhece que todas as expressões manifestadas por ele durante o e-mail pertencem a ele próprio. O usuário é responsável pelo envio de mensagens que possam constituir crime; ameaçadoras, ilegais, insultuosas, contendo xingamentos ou difamação, ou mensagens que contrariem a moral.
• O usuário não pode incluir em sua conta materiais e documentos que constituam crime do ponto de vista legal, nem utilizar aplicações prejudiciais aos proprietários de contas pessoais.
• Não é permitido usar o servidor de outro sistema ou a conta de outro usuário para enviar mensagens sem a permissão da pessoa em questão.
• O usuário não pode usar sua conta com fins comerciais e lucrativos. Ele não pode enviar e-mails em massa para muitos usuários com fins de publicidade, promoção, anúncio, etc. (SPAM).
• O usuário é responsável por todas as responsabilidades legais decorrentes dos direitos de publicação sobre qualquer informação contida em sua conta.

Esclarecimento e Informação ao Titular dos Dados Pessoais

Nossa empresa, de acordo com o artigo 10 da Lei de Proteção de Dados Pessoais (KVK), informa os titulares de dados pessoais ao obter esses dados. Neste contexto, a empresa esclarece para quais finalidades os dados pessoais serão processados, a quem e para quais fins os dados processados podem ser transferidos, o método e a base legal da coleta de dados pessoais, bem como os direitos que os titulares de dados pessoais possuem.

No artigo 20 da Constituição, está estabelecido que todos têm o direito de serem informados sobre os dados pessoais que lhes dizem respeito. Nesse sentido, no artigo 11 da Lei de Proteção de Dados Pessoais (KVK), entre os direitos do titular dos dados também está incluído o "direito de solicitar informações". Nossa empresa, nesse âmbito, fornece as informações necessárias caso o titular dos dados solicite, em conformidade com o artigo 20 da Constituição e o artigo 11 da Lei KVK.

Finalidades do Tratamento de Dados Pessoais

Seus dados de saúde, juntamente com dados pessoais sensíveis e seus dados pessoais, podem ser processados pela Empresa de maneira limitada e proporcional, em conexão com os seguintes objetivos, incluindo, mas não se limitando a eles;

• Seu nome, sobrenome, número de identificação turco (T.C. Kimlik), número de identificação turco temporário, número de passaporte, local e data de nascimento, estado civil, gênero, número de seguro ou de protocolo de paciente e outros dados de identificação que permitem identificá-lo.
• Seu endereço, número de telefone, endereço de e-mail
• Seus resultados de testes, resultados de laboratório e exames de imagem, dados de consultas, informações de prescrições, bem como dados obtidos durante a execução de serviços médicos de diagnóstico, tratamento e cuidado relacionados à saúde e vida sexual, e, não se limitando a isso, seus dados de saúde,
• Seu número IBAN, informações do cartão de crédito,
• Durante sua visita ao nosso centro médico, as imagens e gravações de som do sistema de câmeras de circuito fechado
• Se você entrar em contato com o Atendimento/Consultoria ao Paciente, suas gravações de conversas de voz serão mantidas,
• Seus dados relativos ao seguro saúde privada, com o objetivo de financiar e planejar os serviços de saúde

Nossa empresa processa dados pessoais apenas dentro dos propósitos e condições estabelecidos nos parágrafos 2 do Artigo 5 e 3 do Artigo 6 da Lei nº 6698 de Proteção de Dados Pessoais.

Esses propósitos e condições;

• A previsão expressa em lei da realização da atividade relevante por nossa Empresa em relação ao processamento de seus dados pessoais,
• Que o processamento de seus dados pessoais por nossa Empresa seja diretamente relacionado e necessário para a celebração ou execução de um contrato,
• O processamento dos seus dados pessoais ser obrigatório para que nossa Empresa possa cumprir com suas obrigações legais,
• Desde que seus dados pessoais tenham sido tornados públicos por vocês; o processamento limitado dos mesmos por nossa Empresa para fins de divulgação,
• Que o processamento de seus dados pessoais por nossa Empresa seja obrigatório para estabelecer, utilizar ou proteger os direitos da nossa Empresa, de vocês ou de terceiros,
• Desde que não prejudiquem seus direitos e liberdades fundamentais, a nossa Empresa considerar necessária a realização de atividades de processamento de dados pessoais para interesses legítimos.
• A realização de atividades de processamento de dados pessoais pela nossa empresa é necessária para proteger a vida ou a integridade física do titular dos dados pessoais ou de outra pessoa, e, nesse caso, o titular dos dados pessoais não pode manifestar seu consentimento devido à impossibilidade física ou à invalidade jurídica.
• O processamento de dados pessoais sensíveis, exceto os relacionados à saúde e à vida sexual do titular, previsto na legislação,
• O processamento dos dados pessoais sensíveis relacionados à saúde e à vida sexual do titular dos dados pessoais por pessoas sujeitas ao dever de sigilo ou por instituições e organizações autorizadas é realizado com o objetivo de proteger a saúde pública, medicina preventiva, diagnóstico médico, prestação de serviços de tratamento e cuidados, bem como o planejamento e gestão do financiamento dos serviços de saúde.

Sob as condições mencionadas acima; Nossa empresa pode processar dados pessoais, inclusive, mas não se limitando, com os seguintes propósitos:

• Proteção da saúde pública, medicina preventiva, execução de serviços de diagnóstico, tratamento e cuidado médico,
• Para fins de planejamento e gestão dos serviços de saúde e de seu financiamento.
• Verificação da sua identidade
• No caso de agendamento, poder informá-lo sobre o agendamento.
• Confirmar seu relacionamento com as instituições parceiras do centro médico
• Cumprimento dos requisitos legais e regulamentares
• Pelos departamentos de Serviços ao Paciente, Finanças e Marketing, o financiamento de seus serviços de saúde, cobertura de exames, diagnóstico e despesas de tratamento,
• De acordo com a legislação aplicável, o compartilhamento das informações solicitadas com o Ministério da Saúde e outras instituições e organizações públicas,
• Compartilhamento de quaisquer informações solicitadas por companhias de seguro privadas no âmbito do financiamento dos serviços de saúde
• Analisar a utilização dos serviços de saúde a fim de melhorar os serviços que oferecemos
• Para a realização das atividades comerciais conduzidas pela Empresa, os departamentos relevantes realizam os trabalhos necessários e conduzem os processos de negócios relacionados;
• Planejamento e execução das atividades de negócios e atividades de continuidade dos negócios,
• Acompanhamento das atividades financeiras e/ou contábeis,
• Fornecimento de informações à entidades autorizadas em decorrência da legislação,
• Planejamento e execução das atividades de comunicação corporativa,
• Garantia da execução das políticas de recursos humanos da nossa empresa;
• Garantir a segurança jurídica e comercial da nossa empresa e das pessoas que mantêm relações comerciais com nossa empresa;
• Realização de atividades de avaliação de satisfação para nossos clientes atuais, organização e gerenciamento de eventos,
• Execução das atividades de saúde e segurança no trabalho,
• Execução de processos de segurança da informação e física
• Confirmar as informações de quem realiza operações através de nosso site corporativo e aplicativos móveis,

Exclusão, Destruição ou Anonimização de Dados Pessoais

Sem prejuízo das disposições de outras leis sobre a exclusão, destruição ou anonimização de Dados Pessoais, a Empresa, mesmo que tenha processado os Dados Pessoais de acordo com esta Lei e outras disposições legais, eliminará, destruirá ou anonimizará os Dados Pessoais de ofício ou mediante solicitação do Titular/Interessado dos Dados Pessoais, no quadro dos princípios estabelecidos no Procedimento de Segurança da Informação e Proteção de Dados Pessoais BY.PR.004, quando as razões para o processamento não existirem mais.

A exclusão de dados pessoais é o processo pelo qual os Dados Pessoais se tornam inacessíveis e não reutilizáveis de forma alguma para os usuários relevantes.

A destruição dos dados é o processo pelo qual os Dados Pessoais se tornam inacessíveis, irrecuperáveis e inutilizáveis por qualquer pessoa de qualquer forma.

Com a anonimização dos dados, garante-se que os Dados Pessoais, mesmo que combinados com outros dados, não possam de forma alguma ser associados a uma pessoa real cuja identidade seja específica ou identificável.

Transferência de Dados Pessoais

Os seus dados pessoais processados no âmbito dos propósitos declarados; de acordo com os princípios fundamentais previstos na LGPD e dentro das condições e finalidades de tratamento de dados pessoais indicadas nos artigos 8 e 9 da LGPD,

• Ministério da Saúde e suas unidades subordinadas,
• Seus representantes aos quais você concedeu autorização,
• Companhias de seguros privadas,
• Instituto de Seguridade Social,
• Diretoria Geral de Segurança Pública e outras forças de segurança,
• Diretoria Geral de Registro Civil,
• União de Farmacêuticos da Turquia,
• Tribunais e todo tipo de autoridade judicial, central e outros terceiros,
• Advogados,
• Laboratórios, centros médicos, serviços de ambulância, equipamentos médicos e instituições de prestação de serviços de saúde com os quais cooperamos para diagnóstico e tratamento médico,
• Para possibilitar a prestação dos serviços, nossos fornecedores são utilizados de forma limitada,

poderá ser compartilhado.

Transferência de Dados Pessoais para o Exterior

Nossa empresa pode transferir dados pessoais e dados pessoais sensíveis do titular dos dados a terceiros no exterior, tomando as medidas de segurança necessárias, de acordo com os propósitos legais de processamento de dados pessoais. Os dados pessoais tratados por nossa empresa são transferidos para países estrangeiros declarados pelo órgão de proteção de dados (KVK) como tendo proteção adequada (“País Estrangeiro com Proteção Adequada”), ou, na ausência de proteção adequada, para países estrangeiros onde os controladores de dados na Turquia e nos países estrangeiros relevantes se comprometeram por escrito a fornecer proteção suficiente e com a autorização do KVK (“País Estrangeiro com Controlador de Dados que Assegura Proteção Adequada”). Nossa empresa age de acordo com as disposições previstas no Artigo 9 da Lei de Proteção de Dados Pessoais (KVK).

Entradas de Prédios e Instalações, Atividades de Tratamento de Dados Pessoais Realizadas no Interior e Visitantes do Site

• As atividades de processamento de dados pessoais realizadas pela empresa nas entradas e dentro das instalações do prédio são conduzidas de acordo com a Constituição, a Lei de Proteção de Dados Pessoais (KVK) e outras legislações aplicáveis.
• Com o objetivo de garantir a segurança, nossa empresa realiza atividades de processamento de dados pessoais relacionadas à vigilância por câmeras de segurança nos edifícios e instalações da empresa, bem como ao monitoramento das entradas e saídas de visitantes.
• O uso de câmeras de segurança e o registro dos acessos de visitantes constitui uma atividade de processamento de dados pessoais realizada por nossa Empresa.
• A atividade de monitoramento por câmeras de segurança da Empresa tem como objetivo a proteção dos interesses relativos à segurança da empresa e de outras pessoas, e, nesse contexto, nossa Empresa age em conformidade com a Constituição, a Lei de Proteção de Dados Pessoais e outras legislações pertinentes.
• Nosso registro de imagens de visitantes é realizado por meio de sistema de monitoramento com câmeras nas entradas de edifícios e instalações e dentro das instalações da nossa empresa.
• Nossa empresa, no âmbito das atividades de monitoramento por câmeras de segurança, tem como objetivos aumentar a qualidade do serviço oferecido, garantir sua confiabilidade, assegurar a segurança da empresa, dos clientes e de outras pessoas, e proteger os interesses dos clientes em relação ao serviço que recebem.
• A realização de atividades de monitoramento por câmeras pela nossa empresa é conduzida em conformidade com as disposições estabelecidas na Lei de Proteção de Dados Pessoais (KVK) para fins de segurança. As atividades de monitoramento por câmeras realizadas pela nossa empresa são conduzidas de acordo com a Lei de Serviços de Segurança Privada e a legislação aplicável.
• Apenas um número limitado de funcionários da Empresa tem acesso aos registros gravados e mantidos em formato digital. As poucas pessoas com acesso aos registros declaram, através de um termo de confidencialidade, que protegerão a confidencialidade dos dados aos quais têm acesso.
• Nos termos do art. 12 da Lei KVK, nossa empresa toma as medidas técnicas e administrativas necessárias para garantir a segurança dos dados pessoais obtidos como resultado das atividades de monitoramento por câmeras.

Além da gravação com câmeras mencionada acima, nossa empresa realiza atividades de processamento de dados pessoais com o objetivo de monitorar a entrada e saída de hóspedes em nossos edifícios e instalações, para garantir segurança e para os fins indicados nesta Política.

• Ao obter os nomes e sobrenomes das pessoas que vêm como visitantes aos prédios de nossa Empresa, ou por meio de textos afixados ou disponibilizados de outras formas aos visitantes na Empresa, os titulares desses dados pessoais são esclarecidos dentro deste âmbito. Os dados obtidos para fins de acompanhamento de entrada e saída de visitantes são processados apenas para esse fim ou os dados pessoais relevantes são registrados em um sistema de registro de dados em formato físico.
• Com o objetivo de garantir a segurança e para os fins especificados neste Procedimento, nossa empresa pode fornecer acesso à internet para visitantes que solicitarem durante o período em que permanecem nos Edifícios e Instalações da empresa. Nesse caso, os registros de logs de seus acessos à internet são armazenados de acordo com a Lei nº 5651 e as disposições obrigatórias da legislação regulamentada por esta Lei; esses registros são processados apenas mediante solicitação das autoridades públicas competentes ou com a finalidade de cumprir nossa obrigação legal nos processos de auditoria realizados internamente na empresa.
• Apenas um número limitado de funcionários da Empresa tem acesso aos registros de log obtidos neste contexto. Os funcionários da Empresa que têm acesso aos registros mencionados acessam-nos apenas para uso em pedidos ou processos de auditoria provenientes de órgãos e instituições públicas autorizadas e compartilham-nos apenas com pessoas legalmente autorizadas. O pequeno número de pessoas que têm acesso aos registros declara, por meio de um compromisso de confidencialidade, que protegerá a confidencialidade dos dados aos quais têm acesso.
• Os visitantes do site da Internet são informados por meio da política de cookies.

Categorias de Dados Pessoais

• Identidade (nome e sobrenome, nome do pai e da mãe, sobrenome de solteira da mãe, data de nascimento, local de nascimento, estado civil, número de série da cédula de identidade, número de identidade nacional, etc.)
• Comunicação (número de endereço, endereço de e-mail, endereço de contato, endereço de correio eletrônico registrado (KEP), número de telefone, etc.)
• Localização (informações de localização do lugar em que se encontra)
• Pessoal (informações da folha de pagamento, investigação disciplinar, registros de entrada e saída no trabalho, informações de declaração de bens, informações de currículo, relatórios de avaliação de desempenho, etc.)
• Procedimento legal (informações em correspondências com autoridades judiciais, informações de processos judiciais, etc.)
• Transação do Cliente (registros do call center, fatura, informações de nota promissória, cheque, comprovantes de caixa, informações de pedidos, informações de solicitações, etc.)
• Segurança do Espaço Físico (informações de registro de entrada e saída de funcionários e visitantes, gravações de câmeras, etc.)
• Segurança de Processos (informações de endereço IP, informações de entrada e saída do site, informações de usuário e senha etc.)
• Gestão de Risco (como informações processadas para gerenciar riscos comerciais, técnicos e administrativos)
• Finanças (informações de balanço, informações de desempenho financeiro, informações de crédito e risco, informações sobre patrimônio, etc.)
• Experiência Profissional (informações sobre diplomas, cursos frequentados, treinamentos profissionais, certificados, dados de histórico escolar, etc.)
• Marketing (informações sobre histórico de compras, pesquisas, registros de cookies, informações obtidas por meio de campanhas)
• Gravações Visuais e Auditivas (como gravações visuais e auditivas)
• Raça e origem étnica (informações como raça e origem étnica)
• Informações sobre Opinião Política (informações que indicam a opinião política, informações de filiação a partido político, etc.)
• Crença Filosófica, Religião, Seita e Outras Crenças (informações sobre afiliação religiosa, informações sobre crença filosófica, informações sobre afiliação a seita, informações sobre outras crenças, etc.)
• Aparência e Vestimenta (informações sobre aparência e vestimenta)
• Associação (como informações de membro da associação)
• Associação à Fundação (como informações de associação à fundação)
• Filiação Sindical (como informações sobre filiação sindical)
• Informações de Saúde (como informações sobre condição de deficiência, tipo sanguíneo, informações de saúde pessoal, dispositivos e próteses utilizados)
• Vida Sexual (informações sobre vida sexual, etc.)
• Condenação Penal e Medidas de Segurança (informações sobre condenação penal, informações sobre medidas de segurança, etc.)
• Dados biométricos (como informações da palma da mão, impressões digitais, dados de varredura da retina, dados de reconhecimento facial)
• Dados Genéticos (como dados genéticos)
• Outras Informações (como tipos de dados a serem determinados pelo usuário)

Grupos de Pessoas Relacionados aos Dados

• Candidato a Emprego
• Empregado
• Sujeito
• Pessoa mencionada na notícia
• Acionista/Sócio
• Potencial comprador de produto ou serviço
• Candidato a exame
• Estagiário
• Funcionário do Fornecedor
• Responsável pelo Fornecedor
• Pessoa que Recebe o Produto ou Serviço
• Pai / Tutor / Representante
• Visitante
• Outro

Medidas Técnicas e Administrativas para o Tratamento e Proteção de Dados Pessoais

A empresa adota todas as medidas técnicas e administrativas necessárias para garantir o nível adequado de segurança na proteção de dados pessoais. As medidas previstas no Artigo 12 da KVKK são as seguintes:

• Evitar o processamento ilegal de dados pessoais,
• Evitar o acesso ilegal a dados pessoais,
• Garantir a preservação dos dados pessoais

Como Responsável pelo Tratamento de Dados, a Empresa iniciou o processo necessário para a implementação das seguintes Medidas Técnicas e Administrativas visando a melhoria do processo de Conformidade com a LGPD.

• Matriz de Autorizações
• Controle de Autorizações
• Registros de acesso
• Gerenciamento de Conta do Usuário
• Aplicativo de Segurança de Rede
• Segurança Criptografia Teste de Penetração
• Registro de Logs Mascaramento de Dados
• Softwares de Prevenção de Perda de Dados
• Firewalls de Backup
• Sistemas Antivírus Atualizados
• Gerenciamento de Chaves para Exclusão, Destruição ou Anonimização
• Preparação do Inventário de Processamento de Dados Pessoais
• Políticas Corporativas (Acesso, Segurança da Informação, Uso, Retenção e Destruição etc.) Contratos (Controlador de Dados - Controlador de Dados, Controlador de Dados - Processador de Dados)
• Termos de Confidencialidade
• Inspeções Periódicas e/ou Aleatórias Internas à Instituição
• Análises de Risco
• Contrato de Trabalho, Regulamento Disciplinar (Adição de Disposições Conforme a Lei) Comunicação Corporativa (Gestão de Crises, Comitê e Processos de Informação à Pessoa Relevante, Gestão de Reputação etc.)
• Atividades de Treinamento e Conscientização (Segurança da Informação e Lei) Notificação ao Sistema de Registro de Responsáveis por Dados (VERBİS)

Direitos do Titular dos Dados Pessoais Enumerados no Artigo 11 da Lei de Proteção de Dados (KVK)

Como titulares de dados pessoais, caso encaminhemos à Nossa Empresa suas solicitações relacionadas aos seus direitos, através dos métodos estabelecidos abaixo no Texto de Esclarecimento da Lei de Proteção de Dados Pessoais, Nossa Empresa concluirá sua solicitação gratuitamente no prazo máximo de 30 (trinta) dias, dependendo da natureza do pedido. No entanto, caso a Lei de Proteção de Dados Pessoais preveja a cobrança de uma taxa, será cobrada a tarifa determinada por Nossa Empresa.

Nesse contexto, os titulares dos dados pessoais;

• Saber se dados pessoais estão sendo processados ou não,
• Solicitar informações se os dados pessoais foram processados,
• Aprender o propósito do processamento de dados pessoais e se estão sendo usados de forma adequada,
• Saber os terceiros para os quais os dados pessoais são transferidos, dentro ou fora do país,
• Solicitar a correção de dados pessoais caso sejam processados de forma incompleta ou incorreta e, nesse contexto, pedir que a ação seja comunicada a terceiros aos quais os dados pessoais foram transferidos,
• Mesmo que o processamento tenha sido realizado de acordo com a Lei de Proteção de Dados Pessoais e outras leis aplicáveis, solicitar a exclusão ou destruição de dados pessoais caso deixem de existir os motivos que exigiam seu processamento e, nesse contexto, solicitar que a operação realizada seja informada a terceiros a quem os dados pessoais foram transferidos,
• Oposição ao surgimento de um resultado contra si mesmo por meio da análise exclusiva de dados processados por sistemas automáticos,
• Tem o direito de solicitar a reparação de danos caso os dados pessoais sejam processados ilegalmente e causem prejuízo.

Como pessoa interessada, você deve enviar suas reivindicações de direitos por escrito à nossa Empresa. Nesse contexto, para garantir que as solicitações que você fizer à nossa Empresa, de acordo com o Artigo 11 da Lei de Proteção de Dados Pessoais (KVK), sejam gerenciadas de forma eficaz e rápida, recomendamos que você utilize o documento "Formulário de Solicitação de Informações do Titular de Dados" disponível na seção Proteção de Dados Pessoais no nosso sítio web, fornecendo os documentos/informações necessários e documentos que comprovem sua identidade, se necessário, e enviando pessoalmente ou por carta registrada com aviso de recebimento. Além disso, você também pode enviar sua solicitação através do formulário de solicitação de informações do titular de dados online como Usuário Online (com o Endereço de E-mail previamente registrado e informado à nossa Empresa) em .........................com.tr.

Constatação

O pessoal da instituição informa os incidentes em situações suspeitas, como arquivos perdidos ou surgidos involuntariamente, problemas no funcionamento do agente antivírus, programas que funcionam involuntariamente ou janelas abertas, presença de pessoal não autorizado em instalações de processamento de informações críticas, arquivos confidenciais expostos a intervenções externas, não seguir os procedimentos escritos, etc.

Avaliação e Relatórios

Quando os incidentes de violação de segurança da informação são comunicados à Unidade de Gestão da Qualidade através do Formulário de Comunicação de Incidentes Indesejados İO.FR.001, a Unidade de Gestão da Qualidade avalia o incidente e, se decidir que houve violação, informa a administração superior por meio de um relatório.

O relatório contém pelo menos os seguintes títulos;

• Provas coletadas.
• Tipo de prova.
• Local de armazenamento de provas.
• Data e hora da prova.
• Se uma ação corretiva relacionada ao incidente foi iniciada, o formulário de ação corretiva
• Data e hora em que o incidente de violação foi identificado.

Os pontos a serem observados para o relatório de incidentes de segurança da informação são os seguintes:

• Regulamentações de segurança física e informações de acesso aos ambientes.
• Controle de segurança ineficaz.
• Violações do estado de confidencialidade, integridade e disponibilidade da informação.
• Erros humanos.
• Alterações não controladas de software ou hardware do sistema.
• Falhas.
• Controle de acesso.
• Não conformidade com políticas e procedimentos.
• Vulnerabilidades detectadas por softwares de segurança do sistema.

Os registros abertos para os tópicos mencionados acima são avaliados nas reuniões de avaliação da gestão da qualidade. Os incidentes de violação são medidos dentro do escopo da avaliação de risco.

O mecanismo de avaliação é o seguinte:

• Na avaliação dos incidentes de violação, o número de incidentes e o impacto do incidente são levados em consideração.
• Os dados provenientes dos incidentes de violação são usados como medida nas avaliações de risco.
• O valor de impacto é discutido em reuniões de segurança da informação e refletido nos valores de probabilidade de risco de acordo com o número de registros e o impacto dos registros.
• No caso de um aumento de 7% a 10% no número de registros no final do ano, treinamentos de conscientização adicionais são fornecidos aos usuários.
• Caso haja um aumento de 11% a 30% no número de registros no final do ano, uma reunião adicional é realizada para revisar os procedimentos.
• No caso de um aumento de 31% ou mais no número de registros no final do ano, são tomadas decisões sobre treinamentos de conscientização, atualizações de procedimentos, investimentos e mudanças estruturais.

Intervenção

• Nenhuma operação de encerramento será realizada para qualquer vulnerabilidade que destrua ou corrompa evidências.
• Para todos os casos identificados por controles ou situações relatadas e cujas evidências foram coletadas, antes de outros procedimentos, a vulnerabilidade que causou o evento é corrigida.
• Quando necessário para intervenção, aplica-se o Procedimento de Continuidade do Negócio BY.PR.001.

Tomando Precauções e Experienciando

Medidas necessárias são tomadas para evitar que os incidentes de violação de segurança da informação detectados e cujas evidências foram coletadas ocorram novamente. Todos os incidentes de violação de segurança da informação são revisados com o objetivo de adquirir experiência e as informações aprendidas são registradas. A aquisição de experiência visa impedir a repetição de qualquer incidente de violação ou permitir uma solução mais rápida no caso de um incidente ocorrer novamente.

Para prevenir um incidente de violação de segurança, qualquer uma das seguintes ações pode ser aplicada:

• Os registros criados são examinados e as informações necessárias para soluções são registradas.
• Procedimentos escritos devem ser obrigatoriamente criados para eventos decorrentes de aplicativos incorretos.
• Para eventos decorrentes de procedimentos, os procedimentos são revisados e corrigidos.
• Verifica-se se existe um registro de risco do incidente de segurança da informação ocorrido; se houver, o risco é reavaliado; se não houver, um registro de risco é criado para avaliação.
• Para problemas de acesso, os acessos são verificados novamente, e outras autorizações de acesso semelhantes também são controladas.
• Nos incidentes provenientes de softwares e aplicações, as atualizações são verificadas; o incidente é encerrado com métodos como fechamento de vulnerabilidade, atualização ou desenvolvimento de patch.
• As medidas tomadas para problemas decorrentes de equipamentos físicos são aplicadas também a outros equipamentos semelhantes.
• Para incidentes causados por códigos maliciosos, a origem do problema é identificada e a adequação dos softwares de segurança é examinada. As medidas encontradas são obrigatoriamente aplicadas a todos os sistemas.

Registro e Coleta de Evidências

• Na fase de registro e coleta de evidências, verifica-se inicialmente se a integridade dos registros através dos quais o evento e o responsável podem ser identificados não foi comprometida.
• Somente registros cuja integridade esteja preservada são usados como prova.
• As evidências coletadas para incidentes de violação de segurança da informação são mantidas por 3 anos.
• Em casos de detecção de incidentes de violação de segurança da informação, se houver, devem ser armazenados registros de câmeras, registros de acesso, registros de controle, registros mantidos por softwares de segurança do sistema, registros de custos necessários para a resolução de problemas, registros que possam ser necessários para a avaliação de incidentes de violação de segurança da informação e registros que possam determinar a frequência futura de incidentes, danos e limites de custo.

Melhoria

• É fornecido treinamento de conscientização para os funcionários sobre segurança da informação e proteção de dados pessoais.
• As senhas utilizadas no sistema de gestão da informação estão em conformidade com as políticas de senha do Ministério.
• Os responsáveis pelo sistema de gestão da informação e seus usuários assinam um contrato de confidencialidade.
• Realiza-se uma avaliação de risco sobre perigos físicos relacionados ao sistema de gestão da informação, problemas relacionados a software e hardware, segurança da informação, confidencialidade da informação, proteção de dados pessoais e erros dos usuários.
• Em caso de violações de segurança da informação, devem ser realizadas atividades corretivas e uma avaliação da análise da situação, realizando melhorias e informando a alta administração e os funcionários após a melhoria.