Kişisel Veri Saklama ve İmha Politikası

Veri sorumlusu Neda Deniz Uluslararası Sağlık Turizmi Hizmetleri Limited Şirketi, kişisel verilerinizi başta Anayasa olmak üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve diğer ilgili mevzuata uygun şekilde hazırlanan işbu Kişisel Veri Saklama ve İmha Politikası'nda belirtilen genel prensipler ve düzenlemelere uygun şekilde saklamakta ve imha etmektedir.

İşbu Politika ile şirket, KVKK kapsamındaki kişisel veri işleme faaliyetlerine konu gerçek kişi verilerinin saklanması ve imha edilmesine ilişkin genel ilke ve prensiplerin ortaya konulması ve mevzuatla belirlenen yükümlülüklerin yerine getirilmesi amaçlanmaktadır.

Tanımlar

• Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
• Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.
• Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere; veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (ör. ad-soyad, T.C. kimlik numarası, e-posta, adres, doğum tarihi, kredi kartı numarası, banka hesap numarası).
• İlgili kişi: Kişisel verisi işlenen gerçek kişi.
• Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• Özel nitelikli kişisel veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
• Periyodik imha: KVKK'da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, işbu Politika'da belirtilen ve tekrar eden aralıklarla re'sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika ile düzenlenen kayıt ortamları

Politika, KVKK kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri kapsamaktadır. Ayrıca Politika ile atıf yapılan dokümanlar hem fiziki hem de dijital kopyaları kapsamaktadır.

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel veriler aşağıdaki ortamlarda saklanmaktadır: şirket bilgisayarları, e-posta hesapları, masaüstü bilgisayarlar, çalışanların araçları (ör. cep telefonu), yedekleme alanları, kâğıt dosyalar, klasörler, ziyaretçi defteri, CD, DVD, USB, harici diskler, yazıcı ve fotokopi makinesi.

Saklamayı ve imhayı gerektiren sebepler

Kişisel veri işleme faaliyetlerinde aşağıdaki ilkeler esas alınmaktadır:

• Hukuka ve dürüstlük kuralına uygun olunması.
• Kişisel verilerin doğru ve gerektiğinde güncel olmasının sağlanması.
• Belirli, açık ve meşru amaçlarla işleme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme.

Şirketimiz kişisel verileri, kişisel veri işleme amaçlarıyla ve KVKK'nın 5. ve 6. maddelerinde yer alan aşağıdaki işlenme şartlarına istinaden saklamakta ve kullanmakta olup, söz konusu şartların tamamının ortadan kalkması halinde kişisel verileri re'sen veya kişisel veri sahibinin talebi üzerine imha etmektedir:

• Kişisel veri sahibinin açık rızasının bulunması: Kişisel verilerin işlenme şartlarından birincisi, sahibinin açık rızasıdır.
• Kanunlarda açıkça öngörülmesi: Veri sahibinin kişisel verileri, kanunlarda açıkça öngörülmesi halinde açık rızası alınmadan hukuka uygun olarak işlenebilecektir.
• Fiilî imkânsızlık sebebiyle açık rızanın alınamaması: Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
• Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması: Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür.
• Hukuki yükümlülük: Şirketimizin hukuki yükümlülüklerini yerine getirmesi için veri işlemenin zorunlu olması halinde kişisel veri sahibinin verileri işlenebilecektir.
• Kişisel verinin alenileştirilmesi: Veri sahibinin kişisel verisini kendisi tarafından alenileştirmiş olması halinde ilgili kişisel veriler alenileştirmeyle sınırlı olarak işlenebilecektir.
• Bir hakkın tesisi veya korunması için zorunluluk: Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
• Şirketin meşru menfaati için zorunluluk: Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla şirketimizin meşru menfaatleri için veri işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Kişisel verinin silinmesi, imha edilmesi veya anonim hale getirilmesi

Kişisel veriler; işlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde ilgili kişinin açık rızasını geri alması, kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması durumlarında; şirket tarafından ilgili kişinin talebi üzerine ya da re'sen silinir, yok edilir veya anonim hale getirilir.

Kişisel Verileri Koruma Kurulu tarafından aksine bir karar alınmadıkça; kişisel verileri re'sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını, teknolojik imkânlar ve uygulama maliyetine göre şirketimiz seçmektedir. Kişisel veri sahibinin talebi halinde uygun yöntemin gerekçesi açıklanmaktadır. Bu işlemlerin her birinde gerekli teknik ve idari tedbirler alınmaktadır.

Alınan teknik ve idari tedbirler

Şirketimiz KVKK'nın 12. maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kişisel Verileri Koruma Kurulu kararları uyarınca, teknolojik imkânlar ve uygulama maliyetine göre aşağıdaki tedbirleri almaktadır:

• Gerekli yazılım ve donanım belirlenmiştir. Bilgisayarlarda ve e-posta hesaplarında güçlü şifreler kullanılmaktadır.
• Müşteri bilgisinin korunması açısından korunması gerekenler personelimize eğitimlerle aktarılmış, iş akitleriyle sorumlulukları yazılı hale getirilmiştir (gizlilik sözleşmeleri). Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam etmektedir.
• Tüm verilerin yedeklenmesi amacıyla gerekli altyapı oluşturulmuştur.
• Bilgisayarlarda verilere ulaşabilecek çalışanlar belirlenmiştir.
• Müşteri dosyaları ve bilgileri yalnızca ilgililerin kendilerine, yazılı onay verdikleri yakınlarına, mevzuatı çerçevesinde ilgili kamu kurum ve kuruluşlarına ve adli durumlarda yetkili adli mercilere verilmektedir.
• Kişisel veri işlemeye başlamadan önce ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
• Kişisel veri işleme envanteri hazırlanmıştır.

Saklama ve imha süreleri

Şirketimiz kişisel verileri, ancak uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmekte ve süre sonunda imha etmektedir.

Başvuru üzerine imha

Kişisel veri sahibinin şirketimize başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde:

• İşleme şartlarının tamamı ortadan kalkmışsa: talep en geç otuz gün içinde sonuçlandırılır ve kişisel veri sahibine bilgi verilir. Talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa bu durum üçüncü kişiye bildirilir ve üçüncü kişi nezdinde gerekli işlemlerin yapılması temin edilir.
• İşleme şartlarının tamamı ortadan kalkmamışsa: talep, KVKK'nın 13. maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir; ret cevabı kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da dijital ortamda bildirilir.

Periyodik imha süreleri

Kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde kişisel veriler imha edilmektedir. Bu kapsamda, imha yükümlülüğünün ortaya çıkması halinde veriler altı aylık periyotlar halinde imha işlemine tabi tutulmaktadır.

Bu Politika, internet sitesinde yayımlanmasının ardından yürürlüğe girmiş kabul edilir.

İletişim