KVKK Kamuoyunu Aydınlatma Metni
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ İzmir Diyaliz Merkezleri
Veri sorumlusu: DAPHNE ÖZEL SAĞLIK EĞİTİM VE TUR. YAT. SAN. TİC. A.Ş.
Merkez adresi: Hürriyet Bulvarı No: 5/1 Musullugil İşhanı Kat:8 Daire:803 Çankaya/Konak/İzmir
İnternet sitesi: https://www.izmirdiyaliz.com
KEP adresi: daphneozelsaglik@hs01.kep.tr
KVKK başvuru e-posta adresi: kvkk@izmirdiyaliz.com
MERSİS / sicil numarası: 0270035087300016 / İZM-110253
Yürürlük / son güncelleme tarihi: 02.09.2026 / 02.09.2026
1. Amaç, Kapsam Ve Aydınlatmanın Niteliği
İşbu İnternet Sitesi Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere kişisel verilerin korunmasına ilişkin yürürlükteki mevzuat uyarınca, yukarıda bilgileri bulunan DAPHNE ÖZEL SAĞLIK EĞİTİM VE TUR. YAT. SAN. TİC. A.Ş. tarafından veri sorumlusu sıfatıyla işletilen “İzmir Diyaliz Merkezleri” adlı internet sitesini ziyaret eden, sitedeki formları kullanan, bilgi veya randevu talebinde bulunan, iletişim kanallarına yönelen, iş başvurusu yapan ve sair surette Şirket ile dijital ortamda temas kuran gerçek kişilerin kişisel verilerinin hangi kapsamda işlendiği hususunda açık, belirli ve erişilebilir biçimde bilgi vermek amacıyla hazırlanmıştır.
Aydınlatma yükümlülüğü, kişisel veri işleme faaliyetinin açık rızaya veya Kanun'da öngörülen başka bir işleme şartına dayanmasından bağımsızdır. Açık rızaya tabi bir faaliyet bulunması hâlinde aydınlatma ile açık rıza süreçleri birbirinden ayrı yürütülür; açık rıza hizmetin ön şartı hâline getirilmez ve ilgili kişiye rızasını vermeme veya sonradan geri alma konusunda gerçek bir seçim imkânı sağlanır. İşbu metnin kabul edildiğine dair bir kutucuğun işaretlenmesi, tek başına açık rıza olarak yorumlanmaz.
Site, diyaliz merkezleri ve ilgili sağlık hizmetleri hakkında tanıtım ve bilgilendirme sağlayabilir. İnternet sitesindeki içerikler genel bilgilendirme niteliğindedir; hekim değerlendirmesinin, tıbbi tanının, tedavi planının veya acil sağlık hizmetinin yerini almaz. Acil sağlık durumlarında internet sitesi, form veya e-posta kullanılmamalı; 112 Acil Çağrı Merkezi'ne veya en yakın sağlık kuruluşuna başvurulmalıdır.
2. Veri Sorumlusunun Kimliği Ve Iletişim Bilgileri
Kişisel verileriniz bakımından veri sorumlusu DAPHNE ÖZEL SAĞLIK EĞİTİM VE TUR. YAT. SAN. TİC. A.Ş. dır. Şirketin ticaret sicilinde kayıtlı merkez adresi Hürriyet Bulvarı No: 5/1 Musullugil İşhanı Kat:8 Daire:803 Çankaya/Konak/İzmir, KEP adresi daphneozelsaglik@hs01.kep.tr, kişisel verilerin korunmasına ilişkin başvurularda kullanılacak e-posta adresi kvkk@izmirdiyaliz.com ve internet sitesi adresi https://www.izmirdiyaliz.com'dir. Site üzerinde farklı sağlık kuruluşları veya diyaliz merkezleri tanıtılıyorsa, her kuruluşun somut veri işleme faaliyeti bakımından veri sorumlusu sıfatı ayrıca değerlendirilir. Şirket yalnızca yönlendirme veya listeleme hizmeti veriyor; form verisini ilgili merkeze iletiyorsa, bu ilişkinin tarafları ve sorumluluk dağılımı kullanıcıya formun bulunduğu ekranda ayrıca açıklanır.
3. İlgili Kişi Grupları
Bu metin; internet sitesi ziyaretçilerini, hasta veya hasta adaylarını, hasta yakınlarını ve refakatçileri, bilgi ve randevu talebinde bulunanları, iletişim formu kullanıcılarını, telefon veya WhatsApp yönlendirmesi üzerinden irtibat kuranları, e-bülten ya da elektronik ticari ileti abonelerini, iş ve staj başvurusu yapan adayları, tedarikçi veya iş ortağı temsilcilerini, sağlık profesyonellerini, şikâyet, öneri veya talep iletenleri ve bunların kişisel verilerini Şirkete ileten kanuni temsilci veya yetkili kişileri kapsar. Bir kişi başkasına ait veri ilettiğinde, veriyi hukuka uygun şekilde paylaşma yetkisine sahip olduğunu ve gerekli bilgilendirmeyi yaptığını gözetmekle sorumludur.
4. İşlenebilecek Kişisel Veri Kategorileri
4.1. Kimlik, İletişim Ve Talep Bilgileri
Ad, soyadı, doğum tarihi veya yaş bilgisi, cinsiyet, T.C. kimlik numarası veya yabancı kimlik/pasaport bilgisi yalnızca ilgili formun amacı bakımından zorunlu ve hukuken gerekli olduğu ölçüde; telefon numarası, e-posta adresi, adres, iletişim tercihi, başvuru tarihi, seçilen merkez, hizmet veya bölüm, randevu tercihi, mesaj ve açıklama alanına yazılan içerik, çağrı veya yazışma kayıtları, başvuru ve talep yönetimine ilişkin işlem bilgileri işlenebilir. Genel bilgi veya geri arama taleplerinde kimlik numarası gibi yüksek riskli alanlar zorunlu tutulmaz.
4.2. Sağlık Verileri Ve Diğer Özel Nitelikli Kişisel Veriler
İlgili kişinin kendisi tarafından form, e-posta, dosya yükleme alanı, WhatsApp veya başka bir kanal üzerinden iletilmesi ya da sunulacak sağlık hizmetinin değerlendirilmesi bakımından hukuken gerekli olması hâlinde; hastalık, tanı, tedavi, diyaliz programı, laboratuvar sonucu, rapor, reçete, ilaç, engellilik, kan grubu, alerji, önceki sağlık hizmetleri, hekim değerlendirmesi, tıbbi görüntü, epikriz ve benzeri sağlık verileri ile sağlık verisini ortaya çıkarabilecek açıklamalar işlenebilir. Biyometrik ve genetik veriler, ancak site üzerinde böyle bir işleme açıkça ve gerçekten bulunuyorsa ilgili faaliyete özgü ayrı aydınlatma yapılarak işlenir. Din, mezhep, siyasi düşünce, ceza mahkûmiyeti, sendika üyeliği, cinsel hayat ve benzeri site hizmetiyle ilgisiz özel nitelikli verilerin serbest metin alanlarına yazılmaması gerekir.
Sağlık verileri, Kanun'un özel nitelikli kişisel verilere ilişkin güncel hükümlerinde belirtilen şartlardan birinin bulunması ve Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması kaydıyla işlenir. Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması, yönetimi ve finansmanı kapsamında sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından gerçekleştirilen işlemler, somut faaliyetin niteliğine göre hukuki dayanak oluşturabilir. Bu kapsam dışında ve başka bir işleme şartının bulunmadığı hâllerde açık rıza ayrı bir metinle alınır.
4.3. İşlem Güvenliği Ve Dijital Iz Verileri
IP adresi, bağlantı ve erişim zamanı, istek ve yanıt kayıtları, oturum bilgisi, hata kayıtları, cihaz türü, işletim sistemi, tarayıcı türü ve sürümü, dil tercihi, yaklaşık konum veya ülke bilgisi, yönlendiren sayfa, görüntülenen sayfalar, tıklama ve gezinme bilgileri, form güvenliği kayıtları, trafik bilgileri, kötüye kullanım ve siber güvenlik göstergeleri, çerez ve benzeri teknolojiler aracılığıyla oluşturulan tanımlayıcılar işlenebilir. Kesin konum, cihaz parmak izi, reklam kimliği veya çapraz site takibi yalnızca gerçekten kullanılıyorsa, kullanıcıya özel ve açık bilgi verilerek ve gerekli hukuki şart sağlanarak işlenir.
4.4. Görsel, Işitsel Ve Belge Içerikleri
Kullanıcının kendi tercihiyle yüklediği fotoğraf, video, ses kaydı, kimlik veya yetki belgesi, sağlık raporu, tetkik sonucu, özgeçmiş, diploma, sertifika ve diğer ekler ile bu belgelerde yer alan kişisel veriler işlenebilir. Site üzerinden görüntülü görüşme veya çağrı kaydı yapılacaksa kayıt başlamadan önce ayrıca bilgilendirme yapılır; kayıt için gerekli hukuki şart bulunmadan ses veya görüntü kaydı alınmaz.
4.5. İş Başvurusu Verileri
Kariyer veya iş başvurusu modülü bulunması hâlinde; adayın kimlik ve iletişim bilgileri, eğitim ve mesleki deneyimi, özgeçmişi, yabancı dil ve yetkinlik bilgileri, referansları, askerlik ve çalışma izni durumu, ücret beklentisi, mülakat notları ile adayın kendi isteğiyle ilettiği belgeler işlenebilir. Sağlık, engellilik, adli sicil veya benzeri özel nitelikli veriler ancak pozisyon bakımından hukuken gerekli ve ölçülü olduğu, uygun işleme şartı bulunduğu ve yeterli önlemler alındığı ölçüde talep edilir. Referans kişilerin bilgileri paylaşılmadan önce bu kişilere gerekli bilgilendirme yapılması adayın sorumluluğundadır.
4.6. Hukuki İşlem, Finans Ve Pazarlama Verileri
Uyuşmazlık, şikâyet, başvuru ve hukuki süreçlere ilişkin kayıtlar; yetkili makam yazışmaları; bir çevrim içi ödeme veya ücretlendirme işlevi varsa fatura ve ödeme işlem bilgileri; e-bülten veya ticari elektronik ileti tercihi, izin ve ret kayıtları; kampanya ve etkinlik etkileşimleri işlenebilir. Banka kartı verileri doğrudan lisanslı ödeme hizmeti sağlayıcısı tarafından alınıyorsa Şirketin kart verisine erişip erişmediği ödeme ekranında ayrıca belirtilir; güvenlik kodu gibi kimlik doğrulama verileri Şirket tarafından kalıcı olarak saklanmaz.
5. Kişisel Verilerin İşlenme Amaçları
Kişisel veriler, veri minimizasyonu ilkesi gözetilerek ve ilgili faaliyetin gerektirdiği ölçüde; internet sitesinin yayımlanması, işletilmesi ve güvenliğinin sağlanması; kullanıcının talep ettiği sayfa ve hizmetlerin sunulması; bilgi, iletişim, geri arama ve randevu taleplerinin alınması, doğrulanması, ilgili birime veya merkeze yönlendirilmesi ve sonuçlandırılması; hasta kabul ve ön değerlendirme süreçlerinin planlanması; sağlık hizmetlerinin planlanması, yürütülmesi ve finansmanı; hasta ve çalışan güvenliğinin sağlanması; çağrı, talep, öneri, memnuniyet ve şikâyet yönetimi; kullanıcı deneyiminin geliştirilmesi; sitenin performans ve hata analizlerinin yapılması; siber saldırı, dolandırıcılık, kötüye kullanım ve yetkisiz erişimin önlenmesi; hukuki yükümlülüklerin yerine getirilmesi; yetkili kurum taleplerinin karşılanması; bir hakkın tesisi, kullanılması veya korunması; denetim ve iç kontrol; iş ve staj başvurularının değerlendirilmesi; e-bülten ve ticari ileti faaliyetlerinin gerekli izinler çerçevesinde yürütülmesi; saklama ve arşiv yükümlülüklerinin yerine getirilmesi amaçlarıyla işlenebilir.
Şirket, toplanan kişisel verileri yukarıdaki amaçlarla bağdaşmayan yeni bir amaç için işlemeyi planladığında, yeni işleme başlamadan önce ilgili kişiye ayrıca bilgi verir ve gerekli ise yeni bir hukuki şart veya açık rıza temin eder. Sağlık verileri reklam hedefleme, kullanıcı profilleme veya ilgisiz ticari amaçlarla kullanılmaz. Sağlık hizmetine erişim için gerekli olmayan pazarlama rızası, hizmetin sunulmasının koşulu hâline getirilmez.
6. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri
Somut işleme faaliyetinin niteliğine göre kişisel veriler; kanunlarda açıkça öngörülmesi; fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunmasının zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması ve alenileştirme iradesine uygun işlenmesi; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması ya da açık rıza hukuki sebeplerine dayanılarak işlenir.
Özel nitelikli kişisel veriler bakımından Kanun'un güncel özel işleme şartları esas alınır. Sağlık ve cinsel hayata ilişkin veriler; hukuken izin verilen hâllerde kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amaçlarıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir. Ayrıca istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi; bir hakkın tesisi, kullanılması veya korunması; ilgili kişinin alenileştirme iradesine uygun işleme ve kanunda öngörülen diğer şartlar somut olaya göre uygulanabilir. Hiçbir uygun işleme şartı bulunmuyorsa açık rıza alınır.
7. Kişisel Verilerin Elde Edilme Yöntemleri
Veriler; internet sitesindeki iletişim, randevu, bilgi, şikâyet, iş başvurusu, dosya yükleme, üyelik ve benzeri formların doldurulması; telefon, e-posta, KEP, kısa mesaj, WhatsApp veya benzeri iletişim kanallarına yönelme; canlı destek, çevrim içi görüşme ve çağrı merkezi görüşmeleri; çerezler, pikseller, etiketler, yerel depolama, sunucu günlükleri ve benzeri teknolojiler; sosyal medya veya arama motoru yönlendirmeleri; kullanıcının yetkilendirdiği üçüncü kişiler; sağlık kuruluşları veya mevzuatın izin verdiği yetkili kaynaklar aracılığıyla tamamen veya kısmen otomatik yollarla yahut veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilebilir.
Bir veri doğrudan ilgili kişiden elde edilmemişse, aydınlatma kural olarak verilerin elde edilmesinden itibaren makul süre içinde; veriler ilgili kişiyle iletişim amacıyla kullanılacaksa ilk iletişim kurulması sırasında; başka bir alıcıya aktarılması öngörülüyorsa en geç ilk aktarım sırasında, yürürlükteki istisnalar saklı kalmak üzere yerine getirilir.
8. Zorunlu Ve İsteğe Bağlı Alanlar İle Veri Minimizasyonu
Formlarda zorunlu alanlar, talebin alınması ve sonuçlandırılması için gerçekten gerekli bilgilerle sınırlandırılır ve açıkça işaretlenir. İsteğe bağlı alanların boş bırakılması, talep edilen temel hizmetin sunulmasını engellemez. Kullanıcıların serbest metin alanlarına gereksiz kimlik numarası, banka bilgisi, ayrıntılı sağlık belgesi veya üçüncü kişilere ait veri yazmaması; yalnızca talebin çözümü için gerekli bilgiyi paylaşması beklenir. Şirket, gereksiz veya ölçüsüz verileri silme, maskeleme, iade etme ya da güvenli bir kanala yönlendirme hakkını saklı tutar.
9. Çerezler Ve Benzeri Teknolojiler
Site, teknik olarak zorunlu çerezleri; oturumun sürdürülmesi, kullanıcının açıkça talep ettiği bir hizmetin sunulması, güvenliğin sağlanması, yük dengeleme ve tercihlerin hatırlanması gibi amaçlarla kullanabilir. Analitik, performans, işlevsel, reklam veya sosyal medya çerezleri ile kullanıcı davranışını izleyen benzeri teknolojiler yalnızca sitede gerçekten mevcutsa ve uygulanabilir hukuki şart sağlanmışsa etkinleştirilir. Açık rıza gereken çerezler, kullanıcı siteye ilk girdiğinde rıza vermeden önce yerleştirilmez; “kabul et” ve “reddet” seçenekleri eşit görünürlük ve kolaylıkta sunulur; önceden işaretli kutu, sessizlik, siteyi kullanmaya devam etme veya çerez duvarı yoluyla geçerli rıza varsayılmaz.
Kullanıcı, tercih paneli üzerinden çerez kategorileri bazında seçim yapabilir ve tercihlerini daha sonra aynı kolaylıkla değiştirebilir. Rızanın geri alınması, geri alma öncesindeki işlemenin hukuka uygunluğunu etkilemez. Çerezlerin adı, sağlayıcısı, amacı, türü, birinci/üçüncü taraf niteliği, süresi, aktarıldığı taraf ve hukuki dayanağı ayrıca yayımlanacak Çerez Politikası'nda güncel olarak gösterilir. Tarayıcı ayarları ile çerezlerin silinmesi mümkün olmakla birlikte bu yöntem, sitede bulunması gereken rıza yönetim mekanizmasının yerine geçmez.
Google Analytics, Google Ads, Meta Pixel, YouTube, reCAPTCHA, harita, canlı destek, CDN veya benzeri üçüncü taraf hizmetlerden hangileri kullanılıyorsa, yalnızca fiilen kullanılan hizmetler Çerez Politikası ve tercih panelinde adıyla belirtilir; bu sağlayıcıların yurt dışına veri aktarımı doğurup doğurmadığı ayrıca değerlendirilir. Varsayımsal sağlayıcı isimleri yayımlanmaz.
10. Kişisel Verilerin Yurt İçinde Aktarılması
Kişisel veriler, belirtilen amaçların gerçekleştirilmesi ve hukuki şartların bulunması ölçüsünde; Şirketin yetkili birimleri ve çalışanlarıyla, ilgili diyaliz merkezi veya sağlık kuruluşuyla, hekimler ve sağlık personeliyle, bilgi teknolojileri, barındırma, siber güvenlik, çağrı merkezi, iletişim, arşiv, denetim, hukuk, mali müşavirlik, kargo ve benzeri hizmet sağlayıcılarla, ödeme kuruluşlarıyla, sigorta şirketleri ve anlaşmalı kurumlarla, tedarikçiler ve iş ortaklarıyla, yetkili kamu kurum ve kuruluşlarıyla, adli ve idari mercilerle ve kanunen yetkili özel hukuk kişileriyle paylaşılabilir.
Aktarım, alıcının görevi ve aktarım amacıyla sınırlı tutulur; erişim yetkileri ihtiyaca göre belirlenir. Veri işleyen hizmet sağlayıcılarla amaç, kapsam, süre, gizlilik, güvenlik, alt yüklenici kullanımı, ihlal bildirimi, silme/iade ve denetim hükümleri içeren sözleşmeler kurulması; sağlık verilerinin aktarımında ayrıca uygun teknik ve idari tedbirlerin uygulanması esastır. Site yalnızca farklı merkezlere aracılık ediyorsa, kullanıcının seçtiği veya talebin niteliği gereği yetkili olan merkeze aktarım yapılır; belirsiz ve sınırsız bir alıcı kitlesine aktarım yapılmaz.
11. Kişisel Verilerin Yurt Dışına Aktarılması
İnternet sitesinin barındırılması, e-posta, bulut depolama, analitik, güvenlik, içerik dağıtım ağı, çevrim içi form, harita, video, canlı destek veya benzeri hizmetlerin yurt dışında yerleşik sağlayıcılardan alınması ya da veriye yurt dışından erişilmesi, kişisel verilerin yurt dışına aktarılması sonucunu doğurabilir. Şirket, fiilî veri akışını ve alt hizmet sağlayıcıları tespit ederek, yurt dışına aktarımı 6698 sayılı Kanun'un güncel 9'uncu maddesindeki aktarım rejimine uygun biçimde gerçekleştirir.
Yurt dışına aktarımda öncelikle yeterlilik kararı bulunup bulunmadığı değerlendirilir. Yeterlilik kararı bulunmadığı hâllerde, Kanun'da öngörülen işleme şartlarından birinin varlığına ek olarak; Kurul tarafından ilan edilen standart sözleşmenin imzalanması ve süresinde Kuruma bildirilmesi, bağlayıcı şirket kuralları, Kurulca onaylanan yazılı taahhütname veya kanunda öngörülen diğer uygun güvence yöntemlerinden biri kullanılır. Düzenli aktarım için yeterlilik kararı veya uygun güvence bulunmadığında, yalnızca arızi nitelikteki aktarımlar bakımından Kanun'da sınırlı olarak sayılan istisnalardan biri mevcutsa aktarım yapılabilir. Açık rıza, yapısal ve sürekli aktarımlarda uygun güvence mekanizmalarını bertaraf eden genel bir çözüm olarak kullanılmaz.
12. Otomatik Karar Verme Ve Profilleme
Site kapsamında kişilerin hukuki sonucunu veya benzer şekilde önemli ölçüde etkileyen, yalnızca otomatik işleme dayalı bir karar verme faaliyeti yürütülmüyorsa bu husus açıkça belirtilir. Böyle bir faaliyet ileride kullanılacaksa, işleyişin temel mantığı, beklenen sonuçlar, ilgili kişinin itiraz ve insan müdahalesi talep etme imkânı ile veri güvenliği önlemleri hakkında faaliyete başlamadan önce ayrıca bilgi verilir. Basit trafik istatistikleri veya randevu sıralaması, tek başına önemli sonuç doğuran otomatik karar olarak nitelendirilmez; somut sistem ayrıca değerlendirilir.
13. Saklama Süreleri Ve Imha
Kişisel veriler, ilgili mevzuatta öngörülen süreler ile işleme amacının gerektirdiği süre boyunca saklanır. Süre belirlenirken talebin sonuçlandırılması, sağlık hizmetine ilişkin yasal kayıt yükümlülükleri, zamanaşımı ve hak düşürücü süreler, denetim ve uyuşmazlık ihtimali, yetkili makam talepleri ve bilgi güvenliği kayıtlarının gerekliliği dikkate alınır. Sürenin sona ermesi veya işleme şartlarının ortadan kalkması üzerine veriler, re'sen veya ilgili kişinin talebi üzerine kişisel veri saklama ve imha politikasına uygun olarak silinir, yok edilir ya da anonim hâle getirilir.
Sağlık hizmetine dönüşen başvurulara ait veriler, sağlık mevzuatındaki özel saklama sürelerine tabi olabilir. Yedeklerde bulunan veriler, yedekleme döngüsü ve erişim kısıtları dikkate alınarak ilk uygun imha döneminde güvenli biçimde silinir.
14. Kişisel Veri Güvenliği
Şirket, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla riskle orantılı teknik ve idari tedbirler uygular. Bu tedbirler, somut sisteme göre; rol tabanlı ve asgari yetkili erişim, güçlü kimlik doğrulama, ayrıcalıklı hesap yönetimi, güncel yazılım ve güvenlik yamaları, ağ ve uygulama güvenliği, zararlı yazılım koruması, güvenli kod geliştirme, güvenlik testleri, güvenlik duvarı ve saldırı tespit/önleme, aktarım sırasında ve uygun hâllerde depolamada şifreleme, anahtar yönetimi, veri maskeleme veya takma adlandırma, güvenli yedekleme, kayıt ve izleme, veri kaybı önleme, güvenli silme, fiziksel alan güvenliği, çalışan gizlilik taahhütleri, eğitim, yetki matrisi, tedarikçi incelemesi, sözleşmesel güvenlik hükümleri, periyodik denetim, olay müdahale ve iş sürekliliği planlarını içerebilir.
Özel nitelikli kişisel veriler için ayrı politika ve prosedür oluşturulması; bu verilere erişen çalışanların belirlenmesi ve eğitilmesi; erişim kayıtlarının düzenli kontrolü; elektronik aktarımda şifreli ve güvenli yöntemlerin, fiziksel aktarımda ise kapalı ve kayıtlı yöntemlerin kullanılması; uzaktan erişimin sınırlandırılması ve çok faktörlü kimlik doğrulama gibi ilave önlemlerin uygulanması esastır. İnternet üzerinden yapılan hiçbir aktarımın mutlak güvenliği garanti edilemeyeceğinden, kullanıcıların hesap ve cihaz güvenliğini sağlaması, şüpheli bağlantıları kullanmaması ve hassas belgeleri yalnızca Şirketin belirlediği güvenli kanallardan iletmesi gerekir.
15. Kişisel Veri Ihlalleri
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya veri güvenliğini etkileyen bir olay meydana gelmesi hâlinde Şirket, olayın niteliğini ve riskini değerlendirir; ihlali sınırlandırır, delilleri korur ve yürürlükteki kurallar uyarınca Kişisel Verileri Koruma Kuruluna ve ihlalden etkilenen ilgili kişilere mümkün olan en kısa sürede bildirim yapılmasını sağlar. Veri işleyen hizmet sağlayıcılar, ihlali gecikmeksizin Şirkete bildirmekle yükümlü kılınır. Kullanıcılar şüpheli bir olayı kvkk@izmirdiyaliz.com üzerinden bildirebilir.
16. Çocuklara Ve Kısıtlılara Ait Veriler
Site doğrudan çocuklara yönelik değilse, çocukların site üzerinden tek başına sağlık veya kimlik verisi iletmemesi gerekir. Çocuğa veya hukuken kısıtlı kişiye ilişkin başvuru, veli, vasi veya yetkili temsilci tarafından ve yetkinin doğrulanmasına yetecek ölçüde bilgiyle yapılmalıdır. Şirket, çocuğun yaşı, algılama kapasitesi, işleme faaliyetinin riski ve ilgili mevzuatı dikkate alarak çocuğa uygun, sade ve katmanlı bilgilendirme sunar; gerekli hâllerde veli/vasi yetkisini doğrular. Çocuğun üstün yararı, veri minimizasyonu ve özel güvenlik önlemleri gözetilir.
17. Üçüncü Taraf Bağlantılar, Gömülü Içerikler Ve Sosyal Medya
Site, üçüncü taraf internet sitelerine, harita, video, sosyal medya veya iletişim hizmetlerine bağlantı verebilir. Kullanıcının bu bağlantılara tıklaması veya gömülü içeriği etkinleştirmesi, ilgili üçüncü tarafın kendi veri işleme faaliyetine yol açabilir. Şirket, kendi kontrolü dışındaki üçüncü taraf sitelerin içerik ve gizlilik uygulamalarından sorumlu değildir; ancak kendi sayfasına yerleştirdiği üçüncü taraf araçlar bakımından veri akışını tespit etmek, kullanıcıyı bilgilendirmek ve gerekli rıza/aktarım mekanizmasını kurmakla yükümlüdür. Salt üçüncü taraf politikasına bağlantı verilmesi, Şirketin aydınlatma yükümlülüğünü ortadan kaldırmaz.
18. Ticari Elektronik İleti Ve E-Bülten
E-bülten, kampanya, etkinlik veya tanıtım iletileri gönderilecekse, iletişim bilgileri elektronik ticari ileti mevzuatı ve kişisel verilerin korunması kuralları çerçevesinde işlenir. Ticari ileti izni, sağlık hizmeti veya bilgi talebinin yerine getirilmesi için zorunlu tutulmaz; hizmet iletisi ile pazarlama iletisi ayrıştırılır. İlgili kişi her iletide sunulan ret kanalı üzerinden tercihini değiştirebilir. Ret talebinin yerine getirilmesi için gerekli sınırlı kayıt, yeniden ileti gönderilmemesini sağlamak ve hukuki yükümlülüğü ispat etmek amacıyla saklanabilir.
19. İlgili Kişinin Hakları
İlgili kişi, Kanun'un 11'inci maddesi uyarınca Şirkete başvurarak kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme; verilerin eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme; Kanun'daki şartlar çerçevesinde silinmesini veya yok edilmesini isteme; düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme ve verilerin kanuna aykırı işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
20. Veri Sorumlusuna Başvuru Usulü
Başvurular; ilgili kişinin kimliğini ve talebini açıkça ortaya koyacak şekilde, yazılı olarak Hürriyet Bulvarı No: 5/1 Musullugil İşhanı Kat:8 Daire:803 Çankaya/Konak/İzmir adresi'ne bizzat veya noter aracılığıyla; güvenli elektronik imza ya da mobil imza kullanılarak daphneozelsaglik@hs01.kep.tr 'ne; ilgili kişi tarafından daha önce Şirkete bildirilen ve Şirket sisteminde kayıtlı bulunan e-posta adresi üzerinden kvkk@izmirdiyaliz.com adresine veya mevzuatın izin verdiği diğer yöntemlerle iletilebilir. Başvuruda ad ve soyadı, imza gerekiyorsa imza, T.C. kimlik numarası veya yabancılar için pasaport/kimlik numarası, tebligata esas adres, varsa e-posta ve telefon numarası, talep konusu ve talebe ilişkin bilgi ve belgeler bulunmalıdır.
Şirket, başvuruyu niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret alınabilir. Başvurunun başkalarının verilerini veya güvenliğini etkilemesi hâlinde kimlik ve yetki doğrulaması için ek bilgi talep edilebilir; ancak başvuru amacıyla orantısız kişisel veri istenmez. Vekâleten başvurularda kişisel verilerin korunmasına ilişkin talepte bulunma yetkisini gösteren belgenin sunulması gerekir. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, Kanun'da öngörülen süre ve şartlarla Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.
21. Metnin Güncellenmesi Ve Erişilebilirliği
Şirket; mevzuat, Kurul kararları, internet sitesinin teknik yapısı, kullanılan hizmet sağlayıcılar veya veri işleme faaliyetlerindeki değişiklikler nedeniyle bu metni güncelleyebilir. Güncel sürüm, yürürlük tarihi ve önceki sürüme göre esaslı değişikliklerin özetiyle internet sitesinde sürekli erişilebilir tutulur. Yeni bir işleme amacı, veri kategorisi, alıcı grubu veya yurt dışı aktarım mekanizması ortaya çıktığında yalnızca genel bir güncelleme ibaresiyle yetinilmez; ilgili kişiye işleme başlamadan önce uygun yöntemle bilgi verilir ve gerekiyorsa rızası alınır. Aydınlatmanın yapıldığını ispat yükümlülüğü Şirkete ait olduğundan, sürüm ve gösterim kayıtları ölçülü biçimde saklanır.
22. Katmanlı Aydınlatma Ve Özel Süreçler
Bu ana metne ek olarak, veri toplama anında kısa ve katmanlı bildirimler kullanılmalıdır. İletişim formunda veri sorumlusunun adı, formun amacı, temel veri kategorileri, aktarım ve ayrıntılı metin bağlantısı; randevu/sağlık formunda sağlık verisinin neden istendiği, alıcı sağlık kuruluşu ve uygun hukuki dayanak; kariyer formunda aday verilerinin saklama süresi ve gelecekteki pozisyonlar için ayrı tercih; çerez panelinde her kategori için amaç, sağlayıcı, süre ve açık rıza kontrolü gösterilmelidir. Telefon, WhatsApp, çağrı merkezi veya sosyal medya üzerinden toplanan veriler için de kanalın niteliğine uygun kısa aydınlatma yapılmalıdır.
23. İletişim
Bu metin ve kişisel verilerin işlenmesi hakkında bilgi almak için DAPHNE ÖZEL SAĞLIK EĞİTİM VE TUR. YAT. SAN. TİC. A.Ş., Hürriyet Bulvarı No: 5/1 Musullugil İşhanı Kat:8 Daire:803 Çankaya/Konak/İzmir, daphneozelsaglik@hs01.kep.tr ve kvkk@izmirdiyaliz.com üzerinden iletişime geçebilirsiniz. Güvenliğiniz için sağlık raporu, kimlik belgesi veya benzeri hassas içerikleri, Şirket tarafından açıkça belirtilmeyen standart e-posta ya da sosyal medya mesajı gibi güvenli olmayan kanallardan göndermeyiniz.
24. Kişisel Veri Işleme Ilkelerinin Uygulanması
Şirket, internet sitesi kapsamındaki bütün işleme faaliyetlerinde hukuka ve dürüstlük kurallarına uygun olma; verilerin doğru ve gerektiğinde güncel olmasını sağlama; belirli, açık ve meşru amaçlar için işleme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme ilkelerine uyar. Bu ilkeler, yalnızca metinde yer verilen genel taahhütler olmayıp form alanlarının seçimi, erişim yetkilerinin tasarımı, saklama sürelerinin belirlenmesi, raporlama, aktarım ve imha işlemlerinde somut kontrol ölçütü olarak uygulanır.
Bir bilginin teknik olarak toplanabilir veya işletme bakımından yararlı olması, tek başına veri işlemenin hukuka uygun olduğu anlamına gelmez. Her veri alanı bakımından amaç, gereklilik, orantılılık, daha az müdahaleci yöntem bulunup bulunmadığı, hukuki sebep ve saklama süresi değerlendirilir. İstatistik ve hizmet geliştirme amaçları mümkün olduğu ölçüde anonim veya toplulaştırılmış veriyle yürütülür. Anonimleştirme, yalnızca kimliğin doğrudan kaldırılması değil, veri setinin başka verilerle eşleştirilmesi de dikkate alındığında kişinin belirlenebilirliğinin geri döndürülemez biçimde ortadan kaldırılmasını ifade eder.
25. İnternet Sitesi Işlevleri Bazında Ayrıntılı Işleme Faaliyetleri
25.1. Site Ziyareti Ve İçerik Sunumu
Ziyaret sırasında IP adresi, bağlantı zamanı, talep edilen kaynak, HTTP yanıt kodu, veri aktarım miktarı, yönlendiren adres, tarayıcı ve cihaz bilgisi gibi sunucu kayıtları; sayfanın kullanıcı cihazına iletilmesi, sistem ve ağ güvenliğinin sağlanması, hata teşhisi, kapasite yönetimi, kötüye kullanımın önlenmesi, hukuki yükümlülüklerin yerine getirilmesi ve bir hakkın tesisi, kullanılması veya korunması amaçlarıyla işlenebilir. Bu kayıtların reklam profillemesi amacıyla kullanılması ayrı bir faaliyettir ve gerekli hukuki şart sağlanmadan güvenlik kaydı bu amaçla yeniden kullanılmaz.
25.2. İletişim, Bilgi Ve Geri Arama Formu
Ad-soyad, telefon veya e-posta, tercih edilen iletişim yöntemi, konu ve mesaj içeriği; kullanıcının talebinin alınması, kimliğinin makul ölçüde doğrulanması, doğru birime yönlendirilmesi, cevaplandırılması ve işlem geçmişinin ispatı amaçlarıyla işlenebilir. Talep bir sağlık kuruluşunun hizmetine ilişkinse veri, kullanıcının seçtiği ya da talebi karşılamaya yetkili ilgili merkeze aktarılabilir. Genel iletişim formunda sağlık dosyası yüklenmesine imkân verilmemeli; kullanıcı sağlık verisi yazmışsa erişim sınırlandırılarak güvenli sağlık iletişim kanalına taşınmalı ve gereksiz kopyalar imha edilmelidir.
25.3. Randevu Ve Sağlık Hizmeti Ön Başvurusu
Kimlik ve iletişim bilgileri, merkez ve hekim tercihi, talep edilen hizmet, uygun tarih ve saat, diyaliz tedavisine ilişkin zorunlu ön bilgiler ve kullanıcının ilettiği sağlık belgeleri; randevunun oluşturulması, sağlık hizmeti sunum kapasitesinin planlanması, hasta güvenliğinin sağlanması, tıbbi ön değerlendirmenin yetkili sağlık personeli tarafından yapılması ve mevzuattan doğan sağlık hizmeti yükümlülüklerinin yerine getirilmesi amacıyla işlenebilir. İnternet sitesi üzerinden yapılan ön başvuru, tek başına kesin randevu, hasta kabulü veya tıbbi uygunluk kararı oluşturmaz. Sağlık verilerinin idari personel tarafından yalnızca yönlendirme için görülmesi gereken hâllerde içerik ayrıştırılır ve ayrıntılı tıbbi veriye erişim yetkili sağlık personeliyle sınırlandırılır.
25.4. Şikâyet, Memnuniyet, Öneri Ve Hasta Hakları Başvuruları
Başvuranın kimliği ve iletişim bilgileri, olayın tarihi, ilgili merkez ve çalışan, hizmet ve sağlık kayıtları, iddia ve talepler, inceleme notları, tanık veya üçüncü kişi bilgileri; başvurunun araştırılması, hasta haklarının korunması, hizmet kalitesinin geliştirilmesi, hukuki yükümlülüklerin yerine getirilmesi ve muhtemel uyuşmazlıklarda hakların korunması amacıyla işlenebilir. Şikâyet incelemelerinde yalnızca görevi gereği bilmesi gereken kişiler erişim sağlar; şikâyetin muhatabına üçüncü kişilerin gereksiz sağlık veya iletişim bilgileri açıklanmaz.
25.5. Telefon, Çağrı Merkezi Ve Whatsapp Yönlendirmesi
Site üzerindeki telefon veya WhatsApp bağlantısına tıklanması, kullanıcının ilgili hizmet sağlayıcının uygulamasına geçmesine ve bu sağlayıcının kendi koşulları kapsamında veri işlemesine yol açabilir. Şirket tarafından alınan mesajlar, iletişim ve randevu süreçlerinin yürütülmesi amacıyla işlenir. Sağlık verisi içeren belgeler için uçtan uca güvenli, kurumsal erişim kontrollü bir kanal tercih edilir; kişisel telefon, ortak kullanıcı hesabı veya kontrolsüz masaüstü yedeklemesi kullanılmaz. Çağrı kaydı alınması hâlinde kaydın amacı, hukuki sebebi, süresi ve başvuru kanalı görüşme başında bildirilir; yalnızca kalite gerekçesiyle sınırsız kayıt tutulmaz.
25.6. İş Başvurusu Ve Insan Kaynakları Havuzu
Belirli bir ilana yapılan başvurunun değerlendirilmesi ile adayın ileride açılabilecek pozisyonlar için havuzda tutulması ayrı amaçlardır. Mevcut ilan için gerekli veriler sözleşme kurulması öncesindeki değerlendirme, hukuki yükümlülük ve meşru menfaat şartlarına dayanabilir. Gelecekteki pozisyonlar için daha uzun süreli saklama gerekiyorsa aday ayrıca aydınlatılır ve faaliyetin niteliğine göre ayrı bir tercih veya açık rıza alınır. Referans kontrolü başlatılmadan önce aday bilgilendirilir; referans kişiden yalnızca mesleki değerlendirme için ölçülü bilgi alınır.
25.7. E-Bülten, Etkinlik Ve Tanıtım
Bilgilendirici sağlık içeriği ile kişiye yönelik ticari tanıtım ayrıştırılır. Kullanıcının iletişim bilgisi, yalnızca randevu talep etmiş olması nedeniyle pazarlama listesine eklenmez. Ticari elektronik ileti için gerekli onay, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ikincil mevzuat çerçevesinde alınır; onayın kim tarafından, ne zaman, hangi kanal ve kapsamda verildiği ispatlanabilir biçimde kaydedilir ve ret bildirimi süresinde uygulanır. Ticari ileti onayı ile KVKK açık rızasının amaç ve hukuki nitelik bakımından farklı olabileceği gözetilir.
25.8. Çevrim İçi Ödeme Veya Ücret Bilgisi
Sitede ödeme işlevi bulunuyorsa ödeme tutarı, işlem zamanı, fatura ve tahsilat bilgileri; sözleşmenin kurulması ve ifası, mali yükümlülüklerin yerine getirilmesi, dolandırıcılığın önlenmesi ve uyuşmazlık yönetimi amaçlarıyla işlenebilir. Kart numarası ve güvenlik kodunun doğrudan ödeme kuruluşunca alındığı modelde, Şirketin erişmediği kart verileri kendi veri envanterine varmış gibi gösterilmez; buna karşılık işlem referansı ve ödeme sonucu kayıtlarının Şirkete aktarıldığı açıkça belirtilir. PCI DSS gibi sektörel güvenlik standartları, uygulanabilir olduğu ölçüde teknik tasarımda dikkate alınır; bu standartlara uyum, KVKK yükümlülüklerinin yerine geçtiği şeklinde yorumlanmaz.
26. Sağlık ve Diyaliz Mevzuatıyla Bağlantılı Veri Işleme
Diyaliz hizmetine ilişkin kişisel veriler; 3359 sayılı Sağlık Hizmetleri Temel Kanunu, 1219 sayılı Tababet ve Şuabatı San'atlarının Tarzı İcrasına Dair Kanun, Hasta Hakları Yönetmeliği, Kişisel Sağlık Verileri Hakkında Yönetmelik, Diyaliz Merkezleri Hakkında Yönetmelik, Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu ile sağlık hizmeti sunucularına ilişkin kayıt, bildirim, denetim, hasta güvenliği ve finansman düzenlemeleri kapsamında işlenebilir. İlgili düzenlemenin bulunması, her sağlık verisinin sınırsız biçimde işlenmesine izin vermez; işleme faaliyeti ilgili yükümlülüğün konusu, amacı, yetkili kişisi ve saklama süresiyle sınırlı olmalıdır.
Hasta dosyası, diyaliz seans kayıtları, tedavi ve izlem bilgileri, tıbbi cihaz ve ilaç uygulama kayıtları, laboratuvar sonuçları, hekim ve sağlık personeli notları, sevk ve epikriz bilgileri, komplikasyon ve olay kayıtları, bildirim ve faturalandırma verileri yalnızca internet sitesinde gerçekten bu süreçlere bağlanan bir modül bulunması hâlinde bu metnin kapsamına girer. İnternet sitesi yalnızca tanıtım ve iletişim işlevi görüyorsa, hastane bilgi yönetim sistemi veya merkez içi tedavi kayıtlarının tamamı bu web aydınlatma metnine yapay biçimde dahil edilmemeli; hasta kabulünde ayrı ve ayrıntılı sağlık hizmeti aydınlatması yapılmalıdır.
Tıbbi sır ve hasta mahremiyeti yükümlülüğü, verinin yakın, işveren, sigorta şirketi veya başka bir sağlık kuruluşunca talep edilmesiyle ortadan kalkmaz. Kanuni yetki, hastanın geçerli talimatı, tıbbi gereklilik veya başka uygun hukuki sebep bulunmadan açıklama yapılmaz. Telefonla bilgi taleplerinde arayan kişinin kimliği ve yetkisi uygun yöntemle doğrulanır; yalnızca doğum tarihi veya kolayca öğrenilebilir bilgiler yüksek riskli sağlık verisine erişim için tek doğrulama unsuru olarak kullanılmaz.
27. Özel Nitelikli Kişisel Verilerin Işlenme Şartlarının Ayrıntısı
Kanun'un 6'ncı maddesi uyarınca özel nitelikli kişisel verilerin işlenmesi, kural olarak bu maddede sayılan şartlardan birinin bulunmasına ve Kurulun belirlediği yeterli önlemlerin alınmasına bağlıdır. Somut faaliyete göre; ilgili kişinin açık rızası; işlemenin kanunlarda açıkça öngörülmesi; fiilî imkânsızlık içindeki kişinin hayatı veya beden bütünlüğünün korunması; ilgili kişinin alenileştirdiği verinin alenileştirme iradesine uygun işlenmesi; bir hakkın tesisi, kullanılması veya korunması; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi; vakıf, dernek ve benzeri oluşumlara özgü sınırlı şartlar; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca işlenmesi ve kanunda düzenlenen diğer şartlar uygulanabilir.
Her özel nitelikli veri işlemesinde dayanılan bent veri envanterinde açıkça gösterilir. “Sağlık hizmeti veriyoruz” veya “açık rıza alınmıştır” şeklindeki genel ifadeler, amaç ve veri kategorisi eşleştirmesinin yerine geçmez. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade olmalıdır; hizmetin ifası için zorunlu olmayan pazarlama, analitik veya paylaşım faaliyetleri tek bir toplu rıza altında birleştirilmez. Rızanın geri alınması kolaylaştırılır ve geri alma sonrasında başka hukuki şart bulunmayan işlemler durdurulur.
28. Yurt Dışına Aktarım Mekanizmalarının Teknik Ve Hukuki Ayrıntısı
Yurt dışına aktarım değerlendirmesi yalnızca sunucunun fiziksel konumuna göre yapılmaz. Yurt dışında yerleşik destek ekibinin uzaktan erişimi, küresel içerik dağıtım ağı, hata izleme, e-posta yönlendirme, güvenlik telemetrisi, web analitiği, gömülü video veya harita, üçüncü taraf çerez ve yazılım geliştirme kiti kullanımı da aktarım oluşturabilir. Şirket, veri akışını alan adı, uç nokta, hizmet sağlayıcı, alt işleyen, veri merkezi, erişim ülkesi, veri kategorisi ve amaç düzeyinde haritalandırır.
Yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara aktarımda Kanun'un 5'inci veya 6'ncı maddesindeki işleme şartlarından biri de bulunmalıdır. Yeterlilik kararı bulunmadığında uygun güvence olarak bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme veya Kurulun iznine tabi yazılı taahhütname kullanılabilir. Standart sözleşmenin, imzaların tamamlanmasından itibaren mevzuatta öngörülen süre içinde Kuruma bildirilmesi; metnin Kurulca ilan edilen esas yapısının değiştirilmemesi; eklerde veri kategorisi, amaç, alıcı, saklama, teknik/idari önlem ve özel nitelikli veri tedbirlerinin somutlaştırılması gerekir. Standart sözleşmede taraf, veri akışı veya eklerde esaslı değişiklik olursa güncelleme ve bildirim yükümlülüğü ayrıca değerlendirilir.
Uygun güvence ve yeterlilik kararının bulunmadığı hâllerde arızi aktarım istisnaları dar yorumlanır. İlgili kişinin muhtemel riskler hakkında bilgilendirildikten sonra aktarıma açık rıza vermesi; ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin talebi üzerine sözleşme öncesi tedbirler; ilgili kişi yararına üçüncü kişiyle sözleşme; üstün kamu yararı; bir hakkın tesisi, kullanılması veya korunması; fiilî imkânsızlık içindeki kişinin hayatı veya beden bütünlüğü; meşru menfaati bulunan kişilerin erişimine açık sicilden aktarım gibi kanuni istisnalar ancak düzenli ve tekrarlayan aktarım niteliğinde olmayan somut olaylarda kullanılabilir. Yapısal bulut veya analitik hizmeti arızi aktarım istisnasına dayandırılmaz.
29. Ayrıntılı Teknik Ve Idari Güvenlik Mimarisi
29.1. Yönetişim Ve Varlık Yönetimi
Kişisel veri envanteri, veri akış diyagramı, bilgi varlığı envanteri, sistem sahipliği, risk değerlendirmesi ve veri sınıflandırma şeması güncel tutulur. Sağlık verisi, kimlik doğrulama verisi ve erişim anahtarı gibi yüksek riskli varlıklar ayrıca sınıflandırılır. Yeni form, eklenti, API veya hizmet sağlayıcı devreye alınmadan önce mahremiyet ve güvenlik etki değerlendirmesi yapılır; varsayılan ayarlar en az veri işleme ve en kısa saklama esasına göre belirlenir.
29.2. Kimlik Ve Erişim Yönetimi
Her kullanıcıya kişisel hesap tanımlanır; ortak hesap kullanımı istisnai ve kayıtlı hâllerle sınırlandırılır. Yetkiler görev, veri kategorisi, işlem türü ve süreye göre asgari ayrıcalık ilkesiyle verilir. Ayrıcalıklı yönetici hesapları günlük kullanım hesaplarından ayrılır; çok faktörlü kimlik doğrulama, güçlü parola ve oturum politikaları uygulanır. İşe giriş, görev değişikliği ve işten ayrılma süreçlerinde yetki verme, değiştirme ve derhal kaldırma adımları insan kaynakları ile bilgi teknolojileri arasında kontrollü yürütülür; yetkiler periyodik olarak gözden geçirilir.
29.3. Kriptografi Ve Anahtar Yönetimi
İletim sırasında güncel ve güvenli TLS yapılandırması; uygun hâllerde veritabanı, dosya, yedek ve taşınabilir ortam şifrelemesi kullanılır. Şifreleme anahtarları veriden ayrı, erişimi sınırlı ve yaşam döngüsü yönetilen ortamlarda tutulur; üretim parolaları kaynak kodda, açık yapılandırma dosyasında veya herkese açık depoda saklanmaz. Sağlık belgelerinin e-postayla gönderilmesi zorunluysa dosya ve parola farklı kanallardan iletilir veya güvenli portal kullanılır.
29.4. Uygulama Ve Ağ Güvenliği
Güvenli yazılım geliştirme yaşam döngüsü, kod inceleme, bağımlılık ve bileşen envanteri, güvenlik güncellemesi ve yama yönetimi uygulanır. Girdi doğrulama, çıktı kodlama, CSRF koruması, güvenli oturum yönetimi, oran sınırlama, bot ve kötüye kullanım önleme, dosya türü/boyutu doğrulama, zararlı yazılım taraması ve güvenli hata mesajları sağlanır. Üretim, test ve geliştirme ortamları ayrılır; gerçek sağlık verisi test ortamında kullanılmaz veya geri döndürülemez biçimde anonimleştirilir. Ağlar işlev ve risk seviyesine göre bölümlendirilir; yönetim arayüzleri halka açık internetten doğrudan erişime kapatılır veya güçlü ek kontrollerle korunur.
29.5. Loglama, Izleme Ve Zaman Bütünlüğü
Kimlik doğrulama, yetki değişikliği, sağlık verisine erişim, dışa aktarma, silme, yönetim işlemleri, başarısız giriş, olağandışı sorgu ve güvenlik olayları kaydedilir. Loglar, amaçla sınırlı veri içerir; parola, güvenlik kodu, tam kart bilgisi veya gereksiz sağlık verisi loglanmaz. Kayıtların bütünlüğü, erişim kısıtı, merkezi zaman senkronizasyonu, saklama süresi ve düzenli incelemesi sağlanır. Uyarılar için sorumlu ekip, önem derecesi ve müdahale süresi tanımlanır; yalnızca log üretmek yeterli kabul edilmez.
29.6. Zafiyet, Test Ve Değişiklik Yönetimi
Bilinen zafiyetler için düzenli tarama, risk bazlı sızma testi, yama önceliklendirmesi ve düzeltme doğrulaması yapılır. İnternet sitesi, form ve API değişiklikleri test ve onay sürecinden geçirilir; geri dönüş planı bulunur. Kritik güvenlik açıkları için olağan periyodik bakım beklenmeden hızlandırılmış müdahale uygulanır. Test raporları, bulunan açıkların kişisel veriye etkisi ve kapatma kanıtlarıyla birlikte izlenir.
29.7. Yedekleme, İş Sürekliliği Ve Güvenli Imha
Yedekler şifreli, erişimi kısıtlı ve ana sistemden mantıksal olarak ayrılmış tutulur; geri yükleme testleri yapılır. Fidye yazılımı riskine karşı değiştirilemez veya çevrim dışı yedek seçenekleri değerlendirilir. Saklama süresi dolan veriler aktif sistem, arşiv, taşınabilir ortam ve yedek yaşam döngüsü bakımından imha planına tabi tutulur. Disk ve cihazlar yeniden kullanım veya elden çıkarma öncesinde doğrulanabilir güvenli silme ya da fiziksel imha işleminden geçirilir.
29.8. Tedarikçi Ve Alt İşleyen Güvenliği
Hizmet sağlayıcı seçimi öncesinde güvenlik ve mahremiyet yeterliliği, veri konumu, alt işleyenler, sertifikalar, geçmiş ihlaller, erişim yöntemi, veri iade/silme kapasitesi ve iş sürekliliği incelenir. Sözleşmelerde yalnızca talimatla işleme, gizlilik, uygun güvenlik, personel erişimi, alt işleyen onayı/bildirimi, denetim ve bilgi sağlama, ihlali derhal bildirme, başvuru desteği, hizmet sonunda iade ve güvenli silme hükümleri yer alır. Sertifika veya standart beyanı tek başına yeterli görülmez; yüksek riskli sağlayıcılar periyodik olarak yeniden değerlendirilir.
30. Veri İhlali Müdahale Sürecinin Ayrıntısı
Olası ihlal; yetkisiz erişim veya açıklamanın yanı sıra yanlış alıcıya e-posta gönderimi, belge kaybı, zararlı yazılım, hesabın ele geçirilmesi, kullanılabilirlik kaybı, bütünlüğün bozulması, gereğinden uzun saklama ve hukuka aykırı iç kullanım hâllerini de kapsayabilir. Şirket; tespit, sınırlama, kök neden analizi, delil muhafazası, etkilenen sistem ve kişilerin belirlenmesi, risk değerlendirmesi, bildirim, iyileştirme ve kapanış adımlarını içeren yazılı olay müdahale planı uygular.
Kurula bildirimde ihlalin zamanı ve tespit zamanı, veri ve ilgili kişi kategorileri, tahmini kişi ve kayıt sayısı, olası sonuçlar, alınan veya önerilen önlemler ve irtibat bilgileri sunulur. Bütün bilgiler aynı anda mevcut değilse gerekçesiyle aşamalı bildirim yapılabilir. İlgili kişiye yapılacak bildirim açık ve sade olmalı; ihlalin niteliğini, muhtemel etkileri, kişinin alabileceği önlemleri ve iletişim kanalını içermelidir. İhlal kayıtları, bildirim gerekip gerekmediğine ilişkin değerlendirme ve gerekçe dahil olmak üzere denetime elverişli biçimde saklanır.
31. Saklama Süresi Belirleme Metodolojisi
Saklama süreleri gelişigüzel tek bir yıl sayısı üzerinden belirlenmez. Her kayıt grubu bakımından doğrudan kanuni süre, sağlık hizmeti kayıt yükümlülüğü, sözleşme ilişkisi, vergi ve ticaret kayıtları, elektronik haberleşme veya internet trafik kayıtları, başvuru cevap süresi, zamanaşımı, olası uyuşmazlık, denetim ihtiyacı ve teknik yedek döngüsü ayrı değerlendirilir. Dayanak ortadan kalktığında yalnızca kullanıcı hesabının görünürden kaldırılmasıyla yetinilmez; aktif kopya, indeks, arama kaydı, geçici dosya, önbellek ve aktarılmış alıcılar bakımından uygulanabilir imha ve bildirim süreci yürütülür.
Hukuki uyuşmazlık veya resmî inceleme nedeniyle silinmesi gereken kayda geçici hukuki muhafaza uygulanması gerekiyorsa, veri olağan kullanıma kapatılır, erişim sınırlandırılır ve yalnızca ilgili uyuşmazlık amacıyla tutulur. Süre sonunda silme, yok etme veya anonimleştirme yönteminin veri ortamına uygunluğu doğrulanır ve periyodik imha işlemleri tutanak altına alınır.
32. İlgili Kişi Başvurularının Değerlendirilmesindeki Sınırlar
Başvuru hakkı, başkasına ait kişisel verilerin sınırsız biçimde açıklanması sonucunu doğurmaz. Bir erişim talebi üçüncü kişilerin verisini, ticari sırrı, meslek sırrını, bilgi güvenliğini veya yürüyen hukuki süreci etkiliyorsa; talep reddedilmeden önce maskeleme, kısmi erişim, özet sunma veya güvenli inceleme gibi daha ölçülü yöntemler değerlendirilir. Ret veya kısmi cevap hukuki ve fiilî gerekçesiyle açıklanır. Kanun'un 28'inci maddesindeki tam veya kısmi istisnalar, yalnızca şartları somut olayda gerçekten mevcutsa ve dar yorumlanarak uygulanır.
Silme talebi geldiğinde verinin işlenmesini zorunlu kılan sağlık, mali, adli veya idari kayıt yükümlülüğü bulunuyorsa, talep bu yönüyle gerekçeli olarak reddedilebilir veya veri işleme kısıtlanabilir. Buna karşılık saklama yükümlülüğü, verinin pazarlama, profilleme veya başka ikincil amaçlarla kullanılmasına dayanak oluşturmaz. Düzeltme, silme ve yok etme işlemleri, uygulanabilir olduğu ölçüde verinin aktarıldığı alıcılara bildirilir.
33. VERBİS, Envanter, Politika Ve İspat Yükümlülüğü
Şirketin Veri Sorumluları Siciline kayıt yükümlülüğü bulunup bulunmadığı güncel Kurul kararları ve istisna ölçütleri üzerinden değerlendirilir. Kayıt yükümlülüğü varsa Sicile bildirilen amaç, veri kategorisi, ilgili kişi grubu, alıcı, azami saklama süresi ve güvenlik tedbirleri fiilî internet sitesi akışıyla uyumlu tutulur. Sicil kaydı, aydınlatma yükümlülüğünün yerine geçmez; Sicile kayıt istisnası da Kanun'un diğer yükümlülüklerini ortadan kaldırmaz.
Kişisel veri işleme envanteri, saklama ve imha politikası, özel nitelikli veri politikası, erişim yetki matrisi, ihlal müdahale planı, başvuru prosedürü, tedarikçi sözleşmeleri, çalışan eğitim ve gizlilik kayıtları, çerez tarama raporları, rıza ve ret logları ile aydınlatma metni sürümleri birbirleriyle tutarlı olmalıdır. Aydınlatmanın yapıldığının ispatı veri sorumlusuna ait olduğundan, kullanıcıya hangi sürümün hangi tarihte gösterildiğini kanıtlayan kayıt ölçülü ve güvenli biçimde tutulur.
34. Uygulanacak Mevzuat Ve Düzenleyici Çerçeve
İşbu metin başta Türkiye Cumhuriyeti Anayasası'nın özel hayatın gizliliği ve kişisel verilerin korunmasına ilişkin 20'nci maddesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere; 7499 sayılı Kanunla getirilen özel nitelikli kişisel veri ve yurt dışı aktarım değişiklikleri, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik dikkate alınarak uygulanır.
Sağlık hizmeti ve diyaliz süreçleri bakımından 3359 sayılı Sağlık Hizmetleri Temel Kanunu, 1219 sayılı Kanun, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, Hasta Hakları Yönetmeliği, Kişisel Sağlık Verileri Hakkında Yönetmelik, Diyaliz Merkezleri Hakkında Yönetmelik ve ilgili Sağlık Bakanlığı ile Sosyal Güvenlik Kurumu düzenlemeleri; internet ve iletişim süreçlerinde 5651 sayılı Kanun ve ilgili ikincil düzenlemeler, 5809 sayılı Elektronik Haberleşme Kanunu, 5070 sayılı Elektronik İmza Kanunu; ticari ileti ve çevrim içi işlemlerde 6563 sayılı Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, 6502 sayılı Tüketicinin Korunması Hakkında Kanun; sözleşme, ticari kayıt ve delil süreçlerinde 6098 sayılı Türk Borçlar Kanunu, 6102 sayılı Türk Ticaret Kanunu, 6100 sayılı Hukuk Muhakemeleri Kanunu ve ilgili vergi mevzuatı, somut faaliyetin kapsamına girdiği ölçüde dikkate alınır.
Kişisel Verileri Koruma Kurulunun 31.01.2018 tarihli ve 2018/10 sayılı özel nitelikli kişisel verilerde yeterli önlemler kararı; çerez uygulamaları, aydınlatma ve açık rızanın ayrılması, veri güvenliği, veri ihlali bildirimi ve yurt dışına aktarım hakkındaki güncel karar, rehber ve standart sözleşmeleri de uygulamada esas alınır. Mevzuat listesi, internet sitesinde fiilen yürütülmeyen bir faaliyete yapay dayanak yaratmaz; her hüküm yalnızca konu, kişi ve amaç bakımından uygulanabilir olduğu ölçüde kullanılır.