Kişisel Verileri Saklama ve İmha Politikası

1. GİRİŞ

1.1 Amaç

İşbu Kişisel Verileri Saklama ve İmha Politikası (“Politika”), veri sorumlusu sıfatıyla UĞUR SAĞLIK HİZMETLERİ ANONİM ŞİRKETİ “ÖZEL AKADEMİ HASTANESİ” (Bundan sonra “AKADEMİ HASTANESİ” ve/veya “Şirket” olarak anılacaktır) 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), Kanun’un ikincil düzenlemesini teşkil eden ve 28 Ekim 2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) başta olmak üzere Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Korunması Yönetmeliği ile ilgili mevzuat uyarınca kişisel verileri saklama, silme, yok etme ve anonim hale getirme süreçleri hakkındaki usul ve esasları belirlemek, kişisel verileri AKADEMİ HASTANESİ tarafından işlenen ilgili kişileri bilgilendirmek, Kanun ve ilgili mevzuat kapsamındaki yükümlülüklerin yerine getirilmesi amaçlarıyla hazırlanmıştır.

AKADEMİ HASTANESİ, temel iş prensipleri doğrultusunda çalışanlarına, çalışan adaylarına, stajyerlerine, tedarikçi yetkililerine, tedarikçi çalışanlarına, doğrudan veya dolaylı gerçek kişi hissedar/ortaklara, potansiyel ürün ve hizmet alıcılarına, tüm hasta ve hasta yakınları ile refakatçilerine ve diğer üçüncü kişilere ait tüm kişisel verilerin, T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname, Özel Hastaneler Yönetmeliği ve Sağlık Bakanlığı düzenlemeleri ve sair mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

Kişisel verilerin saklanmasına, silinmesine, yok edilmesine, anonim hale getirilmesine ve imhasına ilişkin iş ve işlemler, AKADEMİ HASTANESİ tarafından bu doğrultuda hazırlanmış olan işbu Politika’ya uygun olarak gerçekleştirilmektedir.

1.2 Kapsam

AKADEMİ HASTANESİ çalışanlarına, çalışan adaylarına, stajyerlerine, tedarikçi yetkililerine, tedarikçi çalışanlarına, doğrudan veya dolaylı gerçek kişi hissedar/ortaklara, potansiyel ürün ve hizmet alıcılarına, tüm hasta ve hasta yakınları ile refakatçilerine ve diğer üçüncü kişilere ait tüm kişisel veriler bu Politika kapsamında olup AKADEMİ HASTANESİ ’in sahip olduğu ya da AKADEMİ HASTANESİ tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamları hakkında ve kişisel veri işlenmesine yönelik tüm faaliyetlerde bu Politika uygulanır.

1.3 Kısaltmalar ve Tanımlar

2. SORUMLULUK VE GÖREV DAĞILIMLARI

AKADEMİ HASTANESİ çalışanları bu Politika‘da belirlenen kurallara uymak ve kişisel verilerin işlenmesinden sorumlu birimlere gerekli desteği vermekle yükümlüdürler. Kişisel verileri işleyen şirket çalışanları, verilerin işlenmesi faaliyetlerini yürütürken, temel ilkelere, kişisel veri işleme şartlarına ve özel nitelikli kişisel veri işleme şartlarına uygun hareket etmektedirler.

Bu doğrultuda aşağıda belirtilen Kişisel Verileri Koruma Komitesi üyelerinden seçilen sorumlular, birimleri ve kişisel verilerin saklanması ve imhası süreçlerindeki görevleri detaylı olarak açıklanmıştır.

Tablo 1: Saklama ve imha süreçleri görev dağılımı

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım Tablo 1’de verilmiştir.

3. KAYIT ORTAMLARI

Kişisel veriler, AKADEMİ HASTANESİ tarafından Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.

Tablo 2: Kişisel veri saklama ortamları

4. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

AKADEMİ HASTANESİ tarafından kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler çerçevesinde hareket edilmektedir.

4.1 Saklamaya İlişkin Açıklamalar

Kanunun 4. maddesinde kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6. maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, faaliyetlerimiz çerçevesinde işlenen kişisel veriler, ilgili mevzuata tabi olarak ve/veya işleme amaçlarımıza uygun süre kadar saklanır. Bu süreler, en az altı aylık periyotlarla ihtiyaca göre revize edilebilmekte olup VERBİS üzerinden ilgili kişilere ilan edilerek duyurulmaktadır.

4.1.1 Saklamayı Gerektiren Hukuki Sebepler

AKADEMİ HASTANESİ ’nin işlemekte olduğu kişisel veriler, faaliyet alanında ilgili mevzuata tabi olarak ve/veya işleme amaçlarımıza uygun süre kadar muhafaza edilmektedir. Bu doğrultuda kişisel veriler aşağıda sayılan mevzuat ile sayılanlarla sınırlı olmamak üzere yürürlükte olan yahut yürürlüğe girecek diğer mevzuat hükümleri kapsamında muhafaza edilecektir.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6098 sayılı Türk Borçlar Kanunu
• 5237 sayılı Türk Ceza Kanunu
• 6102 sayılı Türk Ticaret Kanunu
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 3359 sayılı Sağlık Hizmetleri Kanunu
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
• 4857 sayılı İş Kanunu
• Kişisel Sağlık Verileri Hakkında Yönetmelik
• Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Korunması Yönetmeliği
• Özel Hastaneler Yönetmeliği
• Arşiv Hizmetleri Hakkında Yönetmelik
• 663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname,
• KVKK Kararları
• Bu kanunlar uyarınca yürürlükte olan yasal mevzuat ile sair ikincil düzenlemeler çerçevesinde işlenmekte ve ilgili yasalar kapsamında öngörülen saklama süreleri kadar saklanmaktadır.

4.1.2 Saklamayı Gerektiren İşleme Amaçları

Kişisel veriler, AKADEMİ HASTANESİ tarafından özellikle ticari faaliyetlerin sürdürülmesi, hukuki yükümlülüklerin yerine getirilmesi, personel süreçlerinin planlanması ve yönetilmesi, dava ve icra takipleri başta olmak üzere hukuki ihtilafların yönetilmesi amacıyla fiziki veya elektronik ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

Kişisel veriler aşağıdaki amaçlarla işlenmektedir:

• Acil Durum Yönetimi Süreçlerinin Yürütülmesi
• Bilgi Güvenliği Süreçlerinin Yürütülmesi
• Çalışan Adayı / Stajyer / Öğrenci Seçme Ve Yerleştirme Süreçlerinin Yürütülmesi
• Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
• Çalışan Memnuniyeti ve Bağlılığı Süreçlerinin Yürütülmesi
• Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi
• Denetim/Etik Faaliyetlerinin Yürütülmesi
• Eğitim Faaliyetlerinin Yürütülmesi
• Erişim Yetkilerinin Yürütülmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Finans Ve Muhasebe İşlerinin Yürütülmesi
• Firma/Ürün/ Hizmetlere Bağlılık Süreçlerinin Yürütülmesi
• Görevlendirme Süreçlerinin Yürütülmesi
• Hukuk İşlerinin Takibi Ve Yürütülmesi
• İç Denetim/ Soruşturma/ İstihbarat Faaliyetlerinin Yürütülmesi
• İletişim Faaliyetlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Sağlığı/ Güvenliği Faaliyetlerinin Yürütülmesi
• İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
• Lojistik Faaliyetlerinin Yürütülmesi
• Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
• Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
• Mal / Hizmet Satış Süreçlerinin Yürütülmesi
• Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi
• Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
• Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
• Organizasyon ve Etkinlik Yönetimi
• Pazarlama ve Analiz Çalışmalarının Yürütülmesi
• Performans Değerlendirme Süreçlerinin Yürütülmesi
• Reklam/ Kampanya/Promosyon Süreçlerinin Yürütülmesi
• Risk Yönetimi Süreçlerinin Yürütülmesi
• Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
• Sosyal Sorumluluk ve Sivil Toplum Aktivitelerinin Yürütülmesi
• Sözleşme Süreçlerinin Yürütülmesi
• Sponsorluk Faaliyetlerinin Yürütülmesi
• Talep/ Şikayetlerin Takibi
• Taşınır Mal Ve Kaynakların Güvenliğinin Temini
• Ücret Politikasının Yürütülmesi
• Ürün/Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
• Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
• Yetenek/Kariyer Gelişimi Faaliyetlerinin Yürütülmesi
• Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi
• Ziyaretçi Kayıtlarının Oluşturulması Ve Takibi

4.2 İmhayı Gerektiren Sebepler

Kişisel veriler;

• İlgili kişinin, Kanuni hakları çerçevesinde kişisel verilerinin silinmesi veya yok edilmesi talebinin veri sorumlusu tarafından incelenerek uygun görülmesi,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
• Kişisel verilerin işlenmesine, saklanmasına ve imhasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya yürürlükten kaldırılması,
• Kişisel verilerin işlenmesini veya saklanmasını gerektiren meşru amacın ortadan kalkması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin tamamlanmış olması, kişisel verileri daha uzun süre saklamayı gerektirecek herhangi bir şartın olmaması,
• Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması, durumlarında AKADEMİ HASTANESİ tarafından silinir ve/veya yok edilir ve/veya anonim hale getirilir.

SAĞLIK PERSONELLERİNİN KİŞİLERİN SAĞLIK VERİLERİNE ERİŞİM KRİTERLERİ

(1) Sağlık hizmeti sunumunda görevli kişiler; ilgili kişinin sağlık verilerine ancak, verilecek olan sağlık hizmetinin gereği ile sınırlı olmak kaydıyla erişebilir.

(2) (Değişik:RG-3/12/2025-33096) Kişilerin sağlık verilerine Kanunun 6 ncı maddesinin üçüncü fıkrasında yer alan işleme şartları ile sınırlı olmak üzere ancak;

a) Kişinin kayıtlı olduğu aile hekimi tarafından herhangi bir süre sınırı olmaksızın,

b) Kişinin sağlık hizmeti almak amacıyla başvurduğu hekim tarafından; sağlık hizmeti aldığı günler, konsültasyon veya kontrol muayene süresi dâhil olmak üzere alınan sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar,

c) Kişinin sağlık hizmeti almak amacıyla başvurduğu sağlık hizmeti sunucusunda görevli hekimler tarafından; sağlık hizmeti aldığı günler, konsültasyon veya kontrol muayene süresi dâhil olmak üzere alınan sağlık hizmetiyle doğrudan bağlantılı işlemler tamamlanıncaya kadar,

ç) Hastanın yatışının yapıldığı sağlık hizmet sunucusunda görev yapan hekimler tarafından, hasta sağlık hizmet sunucusundan taburcu olana kadar,

d) Acil servis üzerinden girişi yapılan kişilerin, ilgili sağlık hizmeti ile sınırlı olmak üzere, giriş yapılan acil servisin bulunduğu sağlık tesisindeki görevli tüm hekimler tarafından taburcu olana kadar, erişilebilir.

(3) (Değişik:RG-3/12/2025-33096) e-Nabız hesabı üzerinden güvenlik ayarı tercihinde bulunan kişilerin sağlık verilerine, kendi güvenlik ayarları çerçevesinde erişim sağlanır. İlgili kişiler, güvenlik ayarları ve sonuçları konusunda ayrıntılı şekilde bilgilendirilir. Güvenlik ayarları ve geçmiş sağlık verilerinin görüntülenememesi nedeniyle sağlık hizmeti sunumunda meydana gelebilecek aksaklık ve zararlardan Bakanlık sorumlu olmaz. Bu fıkranın ilk cümlesi, ikinci fıkranın (ç) ve (d) bentlerinde belirtilen hallerde Kanunun 6 ncı maddesinin üçüncü fıkrasında yer alan işleme şartları ile sınırlı olmak kaydıyla uygulanmaz.

(4) (Danıştay Onuncu Dairesinin 17/10/2023 tarihli ve E.:2019/10544; K.:2023/5655 sayılı kararı ile iptal fıkra) (Yeniden düzenleme:RG-3/12/2025-33096) Sunulan güvenlik tercihlerindeki durumlarda sağlık verilerine erişilmesini istemeyen kişilerin geçmiş sağlık verilerine, kişinin kendisi tarafından profilinde beyan edilen telefon numarasına gönderilecek olan kodun hekim ile paylaşılması ve hekim tarafından sisteme girilmesi halinde erişilebilir.

(5) (Değişik:RG-3/12/2025-33096) Kişiler e-Nabız güvenlik ayarlarını dördüncü fıkra doğrultusunda gerçekleştirmiş olsalar dahi tutukluluk ve hükümlülük gibi haller nedeniyle dördüncü fıkra kapsamında gönderilecek koda ulaşamayacakları durumlarda herhangi bir güvenlik ayarı kontrolü yapılmaz ve kişinin sağlık verilerine Kanunun 6 ncı maddesinin üçüncü fıkrasında yer alan işleme şartları ile sınırlı olmak kaydıyla aile hekimi ve muayene olduğu tüm hekimler erişim sağlayabilir. Bu hallerin ortadan kalkması durumunda kişi yeniden güvenlik ayarları tercihinde bulunabilir.

(6) Mahremiyet düzeyi daha yüksek olan, başkaları tarafından görülmesi ve bilinmesi halinde kişilerin sosyal hayatını ve ruh sağlığını olumsuz etkileme riski taşıyan kişisel sağlık verileri Bakanlıkça belirlenir ve sağlık personelinin bu verilere erişimine ölçülü kısıtlar getirilebilir.

5. TEKNİK VE İDARİ TEDBİRLER

Kişisel verileri güvenli bir şekilde saklamak ve hukuka aykırı işlenmesini ve erişilmesini önlemek için AKADEMİ HASTANESİ olarak aldığımız teknik ve idari tedbirler sayılanlarla sınırlı olmamak üzere aşağıda yer almaktadır.

5.1 Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Erişim logları düzenli olarak tutulmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testleri uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

5.2. İdari Tedbirler

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

6. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, AKADEMİ HASTANESİ tarafından resen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

AKADEMİ HASTANESİ nezdinde bulunan Kişisel Verilerin imhası için Yönetmelik kapsamındaki imha yöntemlerinden silme, yok etme ve anonimleştirme yöntemleri benimsenmiştir.

Tablo 3: Kişisel Verilerin İmhası

7. SAKLAMA VE İMHA SÜRELERİ

Şirket’imiz tarafından, faaliyetleri kapsamında işlenmekte olan kişisel veriler yasalarda öngörülen süreler ile zamanaşımı boyunca saklanmakta olup, saklama süreleri genel olarak;

• Kişisel verilerin, veri bazında saklama ve imha süreleri “Kişisel Verileri İşleme Envanteri”nde
• Veri kategorileri bazında VERBİS’e kayıtta,
• Kişisel Verileri Koruma ve Gizlilik Politikasında belirtildiği şekildedir.

8. PERİYODİK İMHA SÜRESİ

AKADEMİ HASTANESİ, periyodik imha süresini 6 ay olarak belirlemiştir.

9. POLİTİKA’NIN YAYINLANMASI VE SAKLANMASI

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda hazırlanır. Internet adresimizden [https://www.eregliakademihastanesi.com.tr] yayımlanır. Basılı kâğıt nüshası da İnsan Kaynakları Müdürlüğünce saklanır.

10. POLİTİKA’NIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir. Güncellenmiş versiyonları tekrar yayımlanır.

11. POLİTİKANIN YÜRÜRLÜĞÜ

AKADEMİ HASTANESİ, işbu Politika’da faaliyetlerin gerektirdiği ölçüde yasal açıdan gerekli olan değişiklikleri yapabilir. Söz konusu değişikliğe uğramış olan Politika metninin [https://www.eregliakademihastanesi.com.tr] sitesinde paylaşılması ile yürürlüğe girecektir. AKADEMİ HASTANESİ ayrıca tüm ilgili kişi gruplarına yapılacak değişikliklerle ilgili elektronik posta yoluyla bildirimde bulunacaktır.