个人数据保护

个人数据处理的基本原则：

符合法律和诚信原则的处理

我公司在处理个人数据时，遵循法律法规规定的原则以及一般信任和诚信规则。

正确并在必要时保持最新

公司已采取必要措施，确保所处理的个人数据是准确和最新的，并且通过提供信息向数据主体提供必要的机会，以确保所处理的数据反映真实情况。

为特定、明确和合法的目的而处理

我公司明确而确定地规定了合法和符合法律的个人数据处理目的。我公司仅在提供的服务相关且必要的范围内处理个人数据。我公司将在个人数据处理活动开始之前明确个人数据将被用于何种目的。

与处理目的相关、有限且适度

公司按照《个人数据保护法》(KVKK)及相关其他法规的要求，根据数据类别，以实现既定目的的适宜性、与目的实现相关性及适度性进行数据处理，并避免处理不必要的个人数据。

根据相关法规规定或为实现其处理目的所需的时期内保留

公司处理的个人数据仅在相关法规规定的或为处理目的所必需的期间内保留。在此范围内，如果相关法规规定了数据的保存期限，公司将遵守该期限；如果没有规定，公司仅在为处理目的所必需的期间内保留数据。公司不会基于未来可能使用的情况而保存数据。

• 在物理安全措施范围内（出入口门、办公室、产品交付区域、仓库的安全以及员工识别卡的使用等），所有人员都必须遵守既定规则。
• 保护病毒和攻击者的责任属于信息处理负责人。负责人应向上级管理层报告保护病毒和攻击者所需的硬件和软件，并采取必要的预防措施。这些措施包括由卫生部要求的、含有防病毒软件和防火墙等硬件和软件设备的最低条件。这些软件的更新由信息管理系统负责人负责。在更新时，他会通知上级管理层并进行更新。

个人数据处理活动符合KVKK的实施

KVKK法规定了个人数据的处理条件，公司按照下列规定的条件处理个人数据。

除法律规定的例外情况外，公司仅在获得数据主体明确同意的情况下处理个人数据。如果存在法律规定的以下情形，即使没有数据主体的明确同意，也可以处理个人数据。

• 法律明确规定的情况，
• 由于事实上的不可能而无法表达同意或其同意在法律上无效的人为了保护自己或他人的生命或身体完整性而必须做的情况，
• 在直接与合同的建立或履行相关的情况下，处理合同双方的个人数据是必要的。
• 为了让数据控制者履行其法律义务的必要性,
• 由数据主体本人公开的信息，
• 个人数据处理是建立、使用或保护某项权利所必需的，
• 在不损害数据主体的基本权利和自由的前提下，为数据控制者的合法利益而必须处理数据。
• 在处理被认为从多方面对数据主体保护具有更关键重要性的特殊类别个人数据时，公司会表现出特别的敏感性。在此范围内，只要质量管理部确定已采取足够的措施，这类数据在没有数据主体明确同意的情况下不会被处理。但是，除健康和性生活相关数据外的特殊类别个人数据，在法律规定的情况下，也可以在没有数据主体明确同意的情况下进行处理。

与健康和性生活相关的数据，在采取足够预防措施并存在以下列出的原因时，可以在未获得其明确同意的情况下处理：

• 保护公共健康，
• 预防医学
• 医学诊断,
• 实施治疗和护理服务，
• 医疗服务及其资金的规划和管理。

对公司依法开展的个人数据处理活动以及为保护个人数据而采用的系统进行说明，是为了在此范围内向我们的客户、潜在客户、员工、员工候选人、公司授权人员、访客、合作机构的员工、负责人以及个人数据被处理的第三方等由公司处理个人数据的人员提供信息，从而实现透明度。

• 根据医疗中心BY.YD.002“信息管理系统机构政策”，已建立域结构，所有计算机以“登录”方式在域结构中运行。不加入域的计算机将从局域网中移除，局域网中的设备之间不进行信息交换。
• 除通过计算机进行官方文件、程序和培训文件外，不得进行文件交换。
• 互联网访问和电子邮件使用连接由医学中心的防火墙设备控制。
• 为所有在医疗中心上班的授权人员创建企业电子邮件地址。
• 电子邮件和密码在对相关人员进行培训时传达。
• 用户承认在电子邮件中表达的所有言论均为其本人所有。用户对发送可能构成犯罪的；威胁、非法、侮辱、粗口或诽谤内容以及违反道德的消息负有责任。
• 用户不得在其账户中包含在法律上构成犯罪的材料和文件，也不得使用对个人账户持有者有害的应用程序。
• 未经相关人员允许，不能使用其他系统的服务器或其他用户的账户发送消息。
• 用户不得将其账户用于商业和盈利目的。不得向大量用户批量发送用于广告、宣传、公告等目的的电子邮件（垃圾邮件）。
• 用户对其账户中所有信息因出版权所产生的法律责任自行承担。

个人数据主体的告知与信息提供

本公司根据《个人数据保护法》第10条的规定，在获取个人数据时会对个人数据主体进行告知。在此范围内，本公司会说明个人数据将用于何种目的、所处理的个人数据可以向谁以及以何种目的转移、个人数据的收集方式及法律依据，以及个人数据主体所拥有的权利。

宪法第20条规定，每个人都有权获得关于其个人数据的信息。根据这一规定，《个人数据保护法》第11条在个人数据主体的权利中也列出了“请求信息”。在此范围内，我公司在个人数据主体提出信息请求时，会根据宪法第20条和《个人数据保护法》第11条提供必要的信息。

个人数据处理目的

包括您的健康数据在内的特殊类型个人数据和个人数据，可以被公司以有限和适度的方式处理，用于与以下所列目的相关的活动，这些目的包括但不限于下列内容；

• 您的姓名、姓氏、土耳其共和国身份证号、临时土耳其共和国身份证号、护照号、出生地点和日期、婚姻状况、性别、保险或病人协议号及识别您的其他身份信息。
• 您的地址、电话号码、电子邮件地址
• 您的测试结果、实验室和影像检查结果、体检数据、处方信息等在提供医疗诊断、治疗和护理服务过程中获得的健康及性生活相关数据，以及不限于此的健康数据，
• 您的IBAN号码、信用卡信息，
• 在您参观我们的医疗中心期间，闭路电视系统拍摄到的图像和音频记录，
• 当您与病人接待/咨询部门联系时，您的语音通话记录将被保存，
• 为了医疗服务的资金筹措和规划，提供与私人健康保险相关的数据。

本公司仅在《个人数据保护法》第6698号第5条第2款和第6条第3款所述的个人数据处理条件下，按照该法规定的目的和条件处理个人数据。

这些目的和条件；

• 公司在处理您的个人数据时相关活动的进行应当在法律中有明确规定，
• 公司处理您的个人数据与订立或履行合同直接相关且必要，
• 为了使公司能够履行法律义务而必须处理您的个人数据，
• 在您的个人数据已经由您公开的情况下；公司可以在公开目的范围内处理您的个人数据，
• 公司处理您的个人数据对于公司、您或第三方的权利的确立、行使或保护是必要的，
• 在不损害您的基本权利和自由的前提下，为了公司合法利益而开展个人数据处理活动的必要性
• 公司进行个人数据处理活动，是出于保护个人数据主体或他人的生命或身体完整性的必要，在这种情况下，个人数据主体因实际不可能或法律效力缺失而无法表明其同意时进行的。
• 除健康和性生活外的个人特定敏感信息的处理在法律上有规定
• 由负有保密义务的个人或有权的机构和组织，为了保护公共健康、预防医学、进行医学诊断、治疗和护理服务，以及为健康服务及其资金的规划和管理，处理个人数据主体关于健康和性生活的特殊性质的个人数据。

在上述条件下；我公司可以处理个人数据，包括但不限于以下目的：

• 保护公共健康、预防医学、执行医疗诊断、治疗和护理服务，
• 为了医疗服务及其资金的规划和管理
• 身份验证
• 如果您预约，可通知您有关预约的情况。
• 确认与医疗中心签约机构的关系
• 履行法律和监管要求
• 通过病人服务、财务部门、市场部门，为您的医疗服务提供资金支持，支付检查、诊断和治疗费用，
• 根据有关法规，与卫生部及其他公共机构和组织共享所请求的信息，
• 在医疗服务的资金筹措范围内，分享私人保险公司所请求的各种信息。
• 为改进我们提供的服务，分析您对医疗服务的使用情况
• 为了公司进行商业活动相关部门所需工作的开展及相关业务流程的执行；
• 规划和执行确保业务活动和业务连续性的活动，
• 财务和/或会计事务的跟踪，
• 向有权机构提供法律法规要求的信息，
• 规划和执行企业沟通活动，
• 确保我公司人力资源政策的执行;
• 确保我们公司及与我们公司有业务关系的人员的法律和商业安全；
• 对现有客户进行满意度评估活动、组织和活动管理，
• 执行职业健康与安全活动，
• 执行信息和物理安全流程
• 确认通过企业网站和移动应用程序进行操作的用户信息，

个人数据的删除、销毁或匿名化处理

在不违反其他法律中关于个人数据删除、销毁或匿名化的规定的前提下，公司即使已根据本法及其他法律的规定进行了处理，一旦处理的必要原因消失，将依照BY.PR.004《信息安全与个人数据保护程序》中规定的原则，主动或应个人数据主体/相关人士的请求，删除、销毁或进行匿名化处理。

个人数据的删除；是指将个人数据对于相关用户完全不可访问且无法再次使用的过程。

数据销毁是指使个人数据任何人都无法以任何方式访问、恢复或再次使用的过程。

通过将数据匿名化，即使个人数据与其他数据匹配，也确保无法以任何方式将其与已知或可识别的自然人联系起来。

个人数据的转移

在所说明的目的范围内处理的您的个人数据；应符合《个人数据保护法》规定的基本原则，并在《个人数据保护法》第8条和第9条所述的个人数据处理条件和目的范围内，

• 卫生部及其下属部门，
• 您授权的代表，
• 私人保险公司，
• 社会保障机构
• 总警察局及其他执法机构，
• 人口管理局，
• 土耳其药师协会，
• 法院及各种司法机关、中央和其他第三方，
• 律师，
• 我们在医学诊断和治疗中合作的实验室、医疗中心、救护车、医疗设备和提供医疗服务的机构，
• 为了能够提供服务，我们的供应商在有限范围内可以提供支持，

可以与……分享。

个人数据的跨境转移

本公司可以根据符合法律的个人数据处理目的，采取必要的安全措施，将个人数据主体的个人数据和特殊类型的个人数据传输给海外的第三方。本公司处理的个人数据将传输至被KVK机构宣告具有足够保护的外国（“具有足够保护的外国”），或者在缺乏足够保护的情况下，传输至土耳其和相关外国的数据控制者书面承诺提供足够保护并获得KVK机构许可的外国（“承诺提供足够保护的数据控制者所在外国”）。本公司在此过程中遵循KVK法第9条规定的相关规定。

建筑物、设施入口及其中进行的个人数据处理活动与网站访问者

• 公司在建筑设施入口和设施内部进行的个人数据处理活动，均以符合宪法、《个人数据保护法》（KVK法）及相关其他法规的方式进行。
• 为了确保公司的安全，我公司在公司建筑和设施中进行安全摄像监控活动，并开展关于访客出入跟踪的个人数据处理活动。
• 通过使用监控摄像头以及记录访客的出入信息，本公司进行个人数据处理活动。
• 公司通过安全摄像监控活动，旨在保护公司及他人的安全利益，在此范围内，公司遵守宪法、《个人数据保护法》及其他相关法规进行操作。
• 我公司在大楼、设施入口及设施内部通过摄像头监控系统记录访客的影像。
• 本公司在使用监控摄像头进行监控活动时，旨在提高所提供服务的质量、确保其可靠性、保障公司、客户及其他人员的安全，以及维护客户在所接受服务中的权益。
• 我们公司为了安全目的进行摄像监控活动，遵守《个人数据保护法》(KVK Kanunu)中的相关规定。公司开展的摄像监控活动按照《私人安保服务法》及相关法规进行。
• 只有少数公司员工可以访问以数字形式记录和保存的记录。拥有访问权限的少数人员承诺通过保密承诺书保护其访问数据的机密性。
• 公司根据《个人数据保护法》第12条，为确保通过摄像监控活动获得的个人数据的安全，采取必要的技术和管理措施。

除上述摄像头记录之外，本公司还将进行个人数据处理活动，以保障安全并用于本政策中所述目的，跟踪公司建筑物和设施中来宾的出入情况。

• 在作为访客进入本公司大楼时，访客的姓名和姓氏会被收集，或者通过公司悬挂或以其他方式向访客提供的文本，本人将在此范围内被告知相关信息。为进行访客进出登记而获得的数据仅为此目的而处理，或者相关个人数据会被记录在物理环境中的数据记录系统中。
• 为了确保公司的安全以及本程序中所述的目的；在您停留我公司建筑和设施期间，我公司可向申请的访客提供互联网接入。在这种情况下，您的互联网访问日志将根据《第5651号法》及依照该法制定的法规的强制性条款进行记录；这些记录仅在授权的公共机构要求或公司内部审计过程中，为履行相关法律义务而进行处理。
• 在此框架下获得的日志记录仅有限数量的公司员工可以访问。拥有访问这些记录权限的公司员工仅在有权的公共机构或组织的要求或审计过程中使用这些记录，并与依法有权的人士分享。有限数量的记录访问人员通过保密承诺声明将保护其访问数据的机密性。
• 通过网站的Cookie政策向访问者提供信息公开。

个人数据类别

• 身份信息（姓名，父母姓名，母亲娘家姓氏，出生日期，出生地点，婚姻状况，身份证序列号，土耳其身份证号等）
• 联系方式（地址编号、电子邮件地址、通信地址、注册电子邮件地址（KEP）、电话号码等）
• 位置（所在地点的位置信息）
• 人事（工资单信息、纪律调查、入职和离职证明记录、财产申报信息、简历信息、绩效评估报告等）
• 法律事务（如与司法机关通信中的信息、诉讼档案中的信息）
• 客户交易（如呼叫中心记录、发票、本票、支票信息、柜台收据信息、订单信息、请求信息等）
• 物理场所安全（如员工和访客的出入登记信息、摄像记录等）
• 操作安全（如IP地址信息、网站访问信息、用户名和密码信息等），
• 风险管理（如用于管理商业、技术、行政风险的信息处理）
• 财务（资产负债表信息、财务绩效信息、信用和风险信息、财产信息等）
• 职业经验（文凭信息、参加的课程、职内培训信息、证书、成绩单信息等）
• 营销（购物历史信息、问卷、cookie 记录、通过活动研究获得的信息）
• 视觉和听觉记录（如视觉和听觉记录）
• 种族和民族（如种族和民族信息）
• 政治观点信息（表示政治观点的信息、政党会员信息等）
• 哲学信仰、宗教、教派及其他信仰（如关于宗教归属的信息、哲学信仰的信息、教派归属的信息、其他信仰的信息）
• 服饰（关于服饰的信息）
• 协会会员资格（如协会会员信息）
• 基金会会员资格（如基金会会员信息）
• 工会会员资格（例如工会会员信息）
• 健康信息（关于残疾状况的信息、血型信息、个人健康信息、使用的设备和假肢信息等）
• 性生活（如有关性生活的信息）
• 刑事判决和安全措施（如关于刑事判决的信息，关于安全措施的信息等）
• 生物识别数据（如手掌信息、指纹信息、视网膜扫描信息、面部识别信息）
• 遗传数据（如基因数据）
• 其他信息（如由用户确定的数据类型）

数据主体群体

• 员工候选人
• 员工
• 受试者
• 新闻中涉及的个人
• 股东/合伙人
• 潜在的产品或服务购买者
• 考试候选人
• 实习生
• 供应商员工
• 供应商负责人
• 产品或服务的接受者
• 监护人 / 代理人 / 代表
• 访客
• 其他

个人数据处理与保护的技术和管理措施

公司已采取一切必要的技术和管理措施，以确保个人数据保护所需的适当安全水平。KVKK第12条规定的措施如下：

• 防止个人数据被非法处理，
• 防止个人数据被非法访问，
• 确保个人数据的保存

作为数据控制者，公司已启动必要流程，以实施以下技术和管理措施，以改善《个人数据保护法》合规过程。

• 权限矩阵
• 权限控制
• 访问日志
• 用户账户管理
• 网络安全应用
• 安全 加密 渗透
• 日志记录数据掩码
• 数据丢失防护软件
• 备份防火墙
• 最新的防病毒系统
• 删除、销毁或匿名化的关键管理
• 编制个人数据处理清单
• 企业政策（访问、信息安全、使用、存储和销毁等） 合同（数据控制者 - 数据控制者，数据控制者 - 数据处理者之间），
• 保密承诺书
• 机构内部定期和/或随机检查
• 风险分析
• 劳动合同、纪律管理条例（添加符合法律的条款）机构通信（危机管理、委员会及相关人员通知流程、声誉管理等），
• 培训与意识活动（信息安全和法律）向数据责任人登记信息系统（VERBİS）报送

个人数据主体根据《个人数据保护法》第11条列举的权利

作为个人数据主体，如果您通过本《个人数据保护法告知文本》中规定的方式向我们公司提出关于您权利的请求，公司将根据请求的性质，在最迟30（三十）天内免费完成处理。但是，如果个人数据保护委员会规定了费用，公司将收取公司确定的费用。

在此范围内，个人数据主体；

• 了解个人数据是否被处理
• 如果个人数据已被处理，可以请求相关信息，
• 了解个人数据的处理目的及其是否按照目的使用，
• 了解在国内或国外传输个人数据的第三方，
• 如果个人数据处理不完整或错误，可以要求其更正，并要求将此处理通知数据已传输的第三方，
• 即便已按照《个人数据保护法》（KVK法）及相关其他法律规定处理，在导致处理的原因消失的情况下，可要求删除或销毁个人数据，并要求通知向第三方传输个人数据的处理情况，
• 通过自动系统分析处理的数据，从而对个人本人产生不利结果时，对该结果提出异议的权利，
• 个人有权在其个人数据因非法处理而遭受损害时，要求赔偿损失。

作为相关人员，您需要以书面形式向本公司提交权利主张。在此框架下，为了能够有效且快速地处理您根据《个人数据保护法》第11条向本公司提出的申请，我们建议您使用在本网站“个人数据保护”栏目下的“相关人员信息请求申请表”文件，并根据您的请求提供可能需要的文件/信息以及用于识别身份的必要文件，可亲自提交或通过挂号回执信提交。此外，您也可以作为在线用户（使用您之前向本公司提供并在本公司系统中登记的电子邮件地址）通过 .............................com.tr 向我们传达您的请求。

确定

在出现机构人员非自愿丢失或出现的档案、防病毒程序运行中出现的问题、非自愿运行的程序或弹出的窗口、未经授权的人员进入关键信息处理设施、机密文件暴露于外部干扰、未按照规定程序操作等可疑情况时，机构人员应进行事件报告。

评估与报告

当信息安全违规事件通过İO.FR.001“不良事件报告表”报告给质量管理部时，质量管理部会评估违规事件，如果认定为违规，将通过报告通知上级管理层。

报告中至少应包括以下标题；

• 收集的证据。
• 证据类型。
• 证据保存地点。
• 证据的日期和时间。
• 如果已经启动了与事件相关的纠正措施，则填写纠正措施表格
• 违规事件的发现日期和时间。

信息安全事件报告时需注意的事项如下：

• 物理安全规定及环境中的出入信息。
• 无效的安全控制。
• 信息的机密性、完整性、可访问性状态的泄露。
• 人为错误。
• 不受控制的软件或硬件系统更改。
• 故障。
• 访问控制。
• 不符合政策和程序。
• 由系统安全软件检测到的漏洞

上述标题下创建的记录将在质量管理评估会议中进行评估。违规事件将在风险评估范围内进行衡量。

评估机制如下：

• 在评估违规事件时，将考虑事件数量和事件影响。
• 来自违规事件的数据将在风险评估中用作衡量标准。
• 影响值在信息安全会议上讨论后，根据记录数量和记录的影响反映到风险可能性值中。
• 如果年末的记录数量增长在7%至10%之间，将为用户额外提供意识培训。
• 如果年底记录数量增加了11%至30%，则会安排额外会议以审查程序。
• 如果年末的记录数量增长达到或超过31%，将进行意识培训、程序更新、投资和结构性变更决策。

干预

• 不会对可能破坏或毁坏证据的任何漏洞进行关闭操作。
• 对于通过检查或报告的情况发现并收集了证据的所有事件，应在其他操作之前先纠正导致事件的漏洞。
• 在认为需要干预时，实施BY.PR.001业务连续性程序。

采取预防措施和获得经验

对已发现并收集证据的信息安全事件，将采取必要措施以防止其再次发生。所有发生的信息安全事件都会被审查以获取经验，并将学习到的信息记录在案。获取经验旨在防止任何安全事件的重复发生，或在事件再次发生时能更快地找到解决办法。

为预防安全违规事件，可执行以下任一操作：

• 审查生成的记录并登记解决方案所需的信息。
• 对于由于错误操作引起的事件，必须制定书面程序。
• 由于程序引起的事件，程序将被重新审查并纠正。
• 检查已发生的信息安全事件是否有风险记录，如果有，则重新评估风险；如果没有，则创建风险记录以供评估。
• 对于因访问引起的问题，访问需重新审核，其他类似的访问权限也需检查。
• 对于由软件和应用程序引起的事件，检查更新，并通过漏洞修补、更新、补丁开发等方法关闭事件。
• 对于物理设备引起的问题所采取的预防措施，也应应用于其他类似设备。
• 对于由有害代码引起的事件，将确定问题源并评估安全软件的有效性。发现的措施必须应用到所有系统中。

记录和证据收集

• 在记录和证据收集阶段，应首先检查事件和责任人能否确定的记录是否完整且未被破坏。
• 只有完整性得到保证的记录才能用于证据。
• 信息安全违规事件收集的证据将保存三年。
• 在信息安全违规事件检测相关情况下，如果存在的话，必须保留摄像头记录、访问记录、控制记录、系统安全软件保存的记录、为解决问题所需的成本记录、评估信息安全违规事件所需的记录，以及可以确定未来事件频率、损失和成本界限的记录。

改进，

• 对员工进行信息安全和个人数据保护的意识培训。
• 信息管理系统中使用的密码符合部委的密码政策。
• 信息管理系统负责人和用户均签署保密协议。
• 对信息管理系统的物理危险、软件和硬件相关问题、信息安全、信息隐私、个人数据保护以及用户错误等方面进行风险评估。
• 在信息安全违规事件中，应通过纠正性措施和状况分析评估进行改进，并在改进后通知高层管理人员和员工。