Kişisel Verilerin Korunması Kanunu

1. GİRİŞ

Kişisel verilerin korunması, ÇAVUŞDENT AĞIZ VE DİŞ SAĞLIĞI POLİKLİNİĞİ ("Çavuşdent" veya "Poliklinik") için en öncelikli kurumsal sorumluluklar arasında yer almaktadır. Polikliniğimiz, bu doğrultuda yürürlükteki tüm mevzuata eksiksiz uyum sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almaktadır.

İşbu Çavuşdent Kişisel Verilerin Korunması ve İşlenmesi Politikası ("Politika") çerçevesinde, Polikliniğimiz tarafından yürütülen kişisel veri işleme faaliyetlerine ilişkin benimsenen ilkeler ile söz konusu faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ("Kanun" veya "KVKK") uyumunu sağlamaya yönelik temel prensipler açıklanmaktadır.

1.2. Amaç

İşbu Politika; kişisel verilerin korunması konusunda KVKK'ya tam uyum sağlamak amacıyla Çavuşdent tarafından yürütülecek uyum faaliyetlerinin yönetilmesine rehberlik etmek üzere hazırlanmıştır.

Çavuşdent, işbu Politikada belirlenen ilkeler doğrultusunda, kişisel verilerin hukuka uygun biçimde korunması ve işlenmesi için gerekli düzenlemeleri gerçekleştirecek; çalışanlarının ve iş ortaklarının bu konudaki farkındalıklarının oluşturulması amacıyla gerekli altyapı ve sistemleri kuracaktır.

1.3. Kapsam

İşbu Politika; çalışanlarımız, çalışan adaylarımız, poliklinik yöneticilerimiz, hissedarlarımız, hastalarımız/müşterilerimiz, ziyaretçilerimiz, işbirliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkilileri ile üçüncü kişiler dahil olmak üzere kişisel verileri Polikliniğimiz tarafından işlenen tüm gerçek kişilere ilişkin olup; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verileri kapsamaktadır.

1.4. Politikanın Uygulanması ve Yürürlüğü

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükteki ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükteki mevzuat ile Politika arasında herhangi bir uyumsuzluk bulunması hâlinde, Polikliniğimiz yürürlükteki mevzuat hükümlerinin esas alınacağını kabul etmektedir.

İşbu Politikanın yürürlük tarihi 02.05.2025'dir.

2. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

İşbu Politika, Çavuşdent'in KVKK ve ilgili mevzuatta düzenlenen kuralları nasıl uygulayacağına ilişkin rehber niteliğindedir.

Polikliniğimiz, Anayasa'nın 20. maddesine ve KVKK'nın 4. maddesine uygun olarak; hukuka ve dürüstlük kurallarına uygun, doğru ve güncel, belirli, açık ve meşru amaçlar güdülmek suretiyle, amaçla bağlantılı, sınırlı ve ölçülü bir biçimde kişisel veri işleme faaliyetinde bulunmaktadır.

3. KİŞİSEL VERİLERİN MEVZUATA UYGUN OLARAK İŞLENMESİ

3.1. Hukuka ve Dürüstlük Kuralına Uygun İşleme

Çavuşdent, kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu çerçevede kişisel veriler, Polikliniğimizin faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.

3.2. Kişisel Verilerin Doğru ve Güncel Olmasını Sağlama

Çavuşdent; hasta ve çalışan başta olmak üzere tüm ilgili kişilerin temel haklarını ve meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamakta; bu doğrultuda gerekli teknik ve idari tedbirleri almaktadır.

3.3. Belirli, Açık ve Meşru Amaçlarla İşleme

Polikliniğimiz, meşru ve hukuka uygun kişisel veri işleme amaçlarını açık ve kesin biçimde belirlemekte; kişisel verileri sunulan sağlık hizmetiyle bağlantılı ve bu hizmetler için zorunlu olan kadar işlemektedir.

3.4. Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Polikliniğimiz, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte; amacın gerçekleştirilmesiyle ilgili olmayan ya da ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır.

3.5. Gerekli Süre Kadar Muhafaza Etme

Polikliniğimiz, kişisel verileri yalnızca ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Saklama süresinin sona ermesi veya işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler silinmekte, yok edilmekte veya anonim hâle getirilmektedir. Gelecekte kullanım ihtimali gerekçesiyle kişisel veriler Polikliniğimizce saklanmamaktadır.

4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel veriler, KVKK'nın 5. maddesinde belirtilen işleme şartlarından bir veya birkaçına dayalı olarak işlenebilmektedir. Bu kapsamda Polikliniğimiz, her kişisel veri işleme faaliyetinin bu şartlardan birine dayanıp dayanmadığını değerlendirmekte; herhangi bir şarta dayanmayan işleme faaliyetleri durdurulmaktadır.

Kişisel veri sahibinin açık rızasına ek olarak aşağıdaki şartlardan birinin varlığı hâlinde, açık rıza aranmaksızın kişisel veri işlenebilecektir:

a) Kişisel Veri Sahibinin Açık Rızası

Kişisel veri sahibinin belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradeyle verdiği açık rızası, kişisel veri işlemenin temel hukuki dayanaklarından birini oluşturmaktadır.

b) Kanunlarda Açıkça Öngörülmesi

İlgili kanun hükmünde kişisel verilerin işlenmesine ilişkin açık bir düzenleme yer alması hâlinde, veri sahibinin açık rızası aranmaksızın işlem yapılabilecektir.

c) Fiilî İmkânsızlık

Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel veri işlenmesinin zorunlu olduğu hâllerde işlem yapılabilecektir.

d) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi

Veri sahibinin taraf olduğu bir sözleşmenin kurulması ya da ifasıyla doğrudan doğruya ilgili olmak kaydıyla, kişisel verilerin işlenmesinin zorunlu olduğu hâllerde işlem yapılabilecektir.

e) Hukuki Yükümlülüğün Yerine Getirilmesi

Polikliniğimizin tabi olduğu hukuki yükümlülüklerin yerine getirilmesi amacıyla kişisel veri işlenmesinin zorunlu olduğu hâllerde işlem yapılabilecektir.

f) Verinin Alenileştirilmiş Olması

Veri sahibinin kişisel verisini kendisinin alenileştirmiş olması hâlinde, söz konusu veri alenileştirme amacıyla sınırlı olarak işlenebilecektir.

g) Bir Hakkın Tesisi veya Korunması için Zorunluluk

Bir hakkın tesisi, kullanılması veya korunması amacıyla veri işlemenin zorunlu olduğu hâllerde işlem yapılabilecektir.

h) Meşru Menfaat

Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Polikliniğimizin meşru menfaatleri için veri işlenmesinin zorunlu olduğu hâllerde işlem yapılabilecektir.

4.2. Özel Nitelikli Kişisel Verilerin İşlenmesi

KVKK'nın 6. maddesi uyarınca; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler "özel nitelikli" kişisel veri olarak sınıflandırılmaktadır.

Çavuşdent, sağlık hizmetlerinin niteliği gereği hastalarına ait sağlık verilerini de işlemekte olup bu verilerin işlenmesinde Kanun'da öngörülen özel düzenlemelere ve Kişisel Verileri Koruma Kurulu'nun belirlediği yöntemlere tam uyum sağlanmaktadır.

• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler: Kanunda açıkça öngörülmesi hâlinde açık rıza aranmaksızın; aksi durumda açık rıza alınarak işlenecektir.
• Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler: Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın; aksi durumda açık rıza alınarak işlenecektir.

5. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI

Çavuşdent, KVKK'nın 10. maddesi uyarınca, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatma yükümlülüğünü eksiksiz yerine getirmektedir. Bu kapsamda veri sahipleri aşağıdaki konularda bilgilendirilmektedir:

• Veri sorumlusu sıfatıyla Çavuşdent'in kimliği,
• Kişisel verilerinin hangi amaçlarla işleneceği,
• Kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki dayanağı,
• KVKK'nın 11. maddesi kapsamında sahip oldukları haklar.

6. KİŞİSEL VERİLERİN AKTARILMASI

Kişisel veri sahibinin açık rızası olmaksızın dahi aşağıda belirtilen şartlardan birinin varlığı hâlinde Çavuşdent tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler de dahil olmak üzere gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir:

• Kişisel verilerin aktarılmasına ilişkin faaliyetlerin kanunlarda açıkça öngörülmesi,
• Aktarımın bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,
• Polikliniğimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Kişisel verilerin veri sahibi tarafından alenileştirilmiş olması ve alenileştirme amacıyla sınırlı kalınması,
• Polikliniğin, veri sahibinin veya üçüncü kişilerin haklarının tesisi, kullanılması ya da korunması için zorunlu olması,
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatlerimiz için zorunlu olması,
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak kişinin kendisinin ya da bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması.

6.2. Özel Nitelikli Kişisel Verilerin Aktarılması

Özel nitelikli kişisel veriler, işbu Politikada belirtilen ilkelere uygun olarak ve Kurul'un belirlediği yöntemler dahil gerekli her türlü idari ve teknik tedbir alınarak aktarılabilecektir. Söz konusu verilerin yurt dışına aktarılması söz konusu olduğunda, yeterli korumaya sahip ülkelere veya yeterli korumayı taahhüt eden veri sorumlularının bulunduğu yabancı ülkelere aktarım yapılacaktır.

6.3. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amaçları

7. İŞLENEN KİŞİSEL VERİLERİN KATEGORİZASYONU VE İŞLENME AMAÇLARI

Polikliniğimizde, KVKK'nın 4., 5. ve 6. maddeleri ile ikincil mevzuat çerçevesinde, ilgili kişiler aydınlatılarak ve hukuki işleme şartlarından en az birine dayanılarak kişisel veriler işlenmektedir. İşlenen kişisel veri kategorileri aşağıda yer almaktadır:

Bu veriler; sağlık hizmetlerinin sunulması, hasta güvenliğinin sağlanması, yasal yükümlülüklerin yerine getirilmesi, muhasebe ve finans süreçlerinin yönetilmesi ile idari ve operasyonel faaliyetlerin sürdürülmesi amacıyla işlenmektedir.

8. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN TEDBİRLER

8.1. Genel Güvenlik Tedbirleri

Çavuşdent, KVKK'nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı biçimde açıklanmasını, erişilmesini, aktarılmasını veya başka suretle gerçekleşebilecek güvenlik ihlallerini önlemek amacıyla, korunacak verinin niteliğine uygun teknik ve idari tedbirleri almaktadır.

8.2. Teknik Tedbirler

• Sistem güvenliği altyapısı sürekli olarak güncellenmekte ve geliştirilmektedir.
• Bilişim sistemlerine erişim, yetki matrisi çerçevesinde sınırlandırılmaktadır.
• Güvenlik duvarı, saldırı önleme sistemi ve antivirüs yazılımları aktif biçimde kullanılmaktadır.
• Kişisel veriler, şifreli ve kriptografik yöntemlerle korunmaktadır.
• Silinen kişisel verilerin geri getirilemeyecek şekilde imha edilmesi için gerekli altyapı sağlanmıştır.
• Güvenlik açıkları düzenli olarak izlenmekte ve yamaları uygulanmaktadır.
• Veri yedekleme sistemleri etkin biçimde kullanılmaktadır.

8.3. İdari Tedbirler

• Kişisel Veri Koruma Komitesi oluşturulmuş ve görev dağılımı belirlenmiştir.
• Çalışanlar, KVKK uyumu konusunda periyodik olarak eğitime tabi tutulmaktadır.
• Veri minimizasyonu ilkesi benimsenerek yalnızca gerekli veriler işlenmektedir.
• Çalışanlar ve üçüncü taraflarla akdedilen sözleşmelere kişisel verilerin korunmasına ilişkin hükümler eklenmiştir.
• Özel nitelikli veri işleyen personel için gizlilik sözleşmeleri düzenlenmiştir.
• İç denetim birimi tarafından KVKK uyumu periyodik olarak denetlenmektedir.

9. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Çavuşdent, kişisel verileri ilgili mevzuatta öngörülen süreler ile işlendikleri amaç için gerekli olan süreler boyunca muhafaza etmektedir. Saklama süresi sona eren ya da işlenmesini gerektiren sebepler ortadan kalkan veriler; silme, yok etme veya anonimleştirme yöntemlerinden uygun olanıyla imha edilmektedir.

9.1. Saklama Süreleri

9.2. Periyodik İmha

Çavuşdent, saklama süresi sona eren kişisel verileri en geç 180 gün içinde imha etmektedir. Periyodik imha işlemleri her yıl Mayıs ve Kasım aylarında gerçekleştirilmektedir.

10. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI

10.1. Veri Sahiplerinin Hakları

KVKK'nın 11. maddesi uyarınca kişisel veri sahipleri aşağıdaki haklara sahiptir:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Verilerin eksik veya yanlış işlenmesi hâlinde düzeltilmesini ve üçüncü kişilere bildirilmesini isteme,
• İşlenmesini gerektiren sebeplerin ortadan kalkması hâlinde silinmesini veya yok edilmesini ve üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine sonuç çıkmasına itiraz etme,
• Verilerin kanuna aykırı işlenmesi nedeniyle uğranılan zararın giderilmesini talep etme.

10.2. Hakların Kullanılması

Yukarıda belirtilen haklarınıza ilişkin taleplerinizi; kimliğinizi ispatlayan belgelerle birlikte aşağıdaki yöntemlerden biriyle Çavuşdent'e iletebilirsiniz:

• Yazılı başvuru (noter aracılığıyla veya elden): Muhittin Mah. Salih Omurtak Cad. Mühendis Kamil İnan Apt, No:63 İç Kapı No:1 Çorlu/Tekirdağ
• Telefon: 0 531 849 56 59  |  0 282 673 48 96
• E-posta aracılığıyla: info@cavusdent.com

Başvuruların üçüncü kişiler aracılığıyla yapılabilmesi için kişisel veri sahibi tarafından düzenlenmiş özel vekâletname ibrazı gerekmektedir.

10.3. Başvuruların Sonuçlandırılması

Çavuşdent, iletilen başvuruları talebin niteliğine göre en geç otuz (30) gün içinde ücretsiz olarak sonuçlandıracaktır. Kişisel Verileri Koruma Kurulu'nca ücret öngörülmesi hâlinde, Kurul tarafından belirlenen tarife esas alınacaktır.

10.4. Kurula Şikâyet Hakkı

Kişisel veri sahibi, başvurusunun reddedilmesi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde; Polikliniğimizin cevabını öğrendiği tarihten itibaren otuz (30) gün ve her hâlde başvuru tarihinden itibaren altmış (60) gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkına sahiptir.