Kişisel Verilerin İşlenmesi ve Korunması Politikası

1. Amaç ve Kapsam

Barutçu Seyahat Oto. Tur. San. Tic. A.Ş. (bundan böyle “Şirket” olarak anılacaktır), İsmet Kaptan Mah. Gazi Osman Paşa Bulv. No:3 D:805, İzmir, Türkiye adresinde faaliyet göstermekte olup sağlık turizmi, seyahat ve bunlarla bağlantılı hizmetler sunmaktadır. Şirketin USHAŞ No’su AK-1693‘tür.

Şirket; çalışanlarına, müşterilerine, hastalarına, ziyaretçilerine, tedarikçilerine, iş ortaklarına ve faaliyetleri kapsamında kişisel verileri işlenen veya herhangi bir şekilde iletişim kurulan tüm gerçek kişilere ait kişisel verilerin korunmasına büyük önem vermektedir.

Şirket, kişisel verilerin işlenmesi ve korunması faaliyetlerini, başta 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) olmak üzere ilgili mevzuat, Kişisel Verileri Koruma Kurulu kararları, sağlık mevzuatı, sağlık turizmi mevzuatı ve uygulanabildiği hallerde Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) hükümlerine uygun şekilde yürütmektedir.

İşbu Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”), Şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin temel ilke ve prosedürlerin belirlenmesi ve kişisel verilerin toplanması, elde edilmesi, kaydedilmesi, saklanması, kullanılması, aktarılması, sınıflandırılması, güncellenmesi ve gerektiğinde silinmesi, yok edilmesi veya anonim hale getirilmesi süreçleri hakkında şeffaflığın sağlanması amacıyla hazırlanmıştır.

2. Tanımlar ve Kısaltmalar

Çalışan: Şirket bünyesinde iş sözleşmesi veya benzeri hukuki ilişki kapsamında çalışan gerçek kişiyi ifade eder.

İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi ifade eder. Çalışanlar, müşteriler, hastalar, ziyaretçiler ve Şirketten hizmet alan diğer gerçek kişiler bu kapsamda değerlendirilebilir.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.

Özel Nitelikli Kişisel Veri: KVKK kapsamında özel korumaya tabi tutulan ve özellikle sağlık, biyometrik ve genetik veriler başta olmak üzere mevzuatta özel nitelikli olarak tanımlanan kişisel verileri ifade eder.

Kişisel Verilerin İşlenmesi: Kişisel veriler üzerinde gerçekleştirilen; toplama, elde etme, kaydetme, depolama, değiştirme, aktarma, sınıflandırma, kullanma, açıklama ve benzeri her türlü işlemi ifade eder.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişiyi ifade eder.

KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu ifade eder.

GDPR: Avrupa Birliği Genel Veri Koruma Tüzüğü’nü ifade eder.

USHAŞ: Uluslararası Sağlık Hizmetleri A.Ş.’yi ifade eder.

Gizlilik Sözleşmesi: Tedavi veya sağlık hizmetinin başlamasından önce, tedavi sürecinde elde edilen bilgi, belge, kişisel veri ve özel nitelikli kişisel verilerin gizliliğinin korunmasına ilişkin tarafların hak ve yükümlülüklerini düzenlemek amacıyla yapılabilecek sözleşmeyi ifade eder.

3. Kişisel Verilerin İşlenmesinde Temel İlkeler

3.1. Hukuka ve Dürüstlük Kurallarına Uygunluk

Şirket, kişisel verileri Anayasa, KVKK, ilgili mevzuat ve diğer hukuki düzenlemelere ve dürüstlük kurallarına uygun şekilde işler.

3.2. Doğru ve Gerektiğinde Güncel Olma

Şirket, işlediği kişisel verilerin doğru ve gerektiğinde güncel olması için gerekli idari ve teknik tedbirleri alır.

3.3. Belirli, Açık ve Meşru Amaçlarla İşlenme

Kişisel veriler belirli, açık ve meşru amaçlarla işlenir. Şirket, kişisel verileri yalnızca hizmetlerin sunulması, sözleşmesel ve yasal yükümlülüklerin yerine getirilmesi ve mevzuatın izin verdiği diğer amaçlarla işler.

3.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirket, belirlenen amaçların gerçekleştirilmesi için gerekli olan kişisel verileri işler ve amaçla ilgisi bulunmayan veya gereğinden fazla kişisel veri işlemez.

3.5. Gerekli Süre Kadar Muhafaza

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir.

4. Kişisel Verilerin İşlenme Şartları

Şirket, kişisel verileri KVKK’nın 5. maddesinde belirtilen hukuki sebeplere dayanarak işler.

Aşağıdaki hallerden birinin bulunması durumunda açık rıza alınmaksızın kişisel verilerin işlenmesi mümkündür:

• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifası için gerekli olması,
• Şirketin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketin meşru menfaatleri için zorunlu olması,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin veya başka bir kişinin hayatı ya da beden bütünlüğünün korunması için zorunlu olması.

Açık rızanın alınmasının mevzuat gereği zorunlu olduğu durumlarda, ilgili kişiden yeterli bilgilendirme yapılarak, özgür iradeye dayalı ve belirli bir konuya ilişkin açık rıza alınır.

5. Özel Nitelikli Kişisel Verilerin İşlenmesi

Sağlık verileri, biyometrik veriler, genetik veriler ve KVKK kapsamında özel nitelikli kişisel veri olarak değerlendirilen diğer veriler özel korumaya tabidir.

Şirket, özel nitelikli kişisel verileri yalnızca KVKK’nın 6. maddesinde öngörülen şartların bulunması ve gerekli güvenlik tedbirlerinin alınması halinde işler.

Sağlık turizmi ve sağlık hizmetleri kapsamında gerekli olması halinde:

• Sağlık durumu ve teşhis bilgileri,
• Hasta geçmişi,
• Muayene ve tıbbi raporlar,
• İlaç kullanım bilgileri,
• Kan grubu bilgileri,
• Engellilik durumuna ilişkin bilgiler,
• Kullanılan tıbbi cihaz ve protez bilgileri,
• Laboratuvar sonuçları,
• Tıbbi görüntüleme sonuçları,
• Tedavi ve cerrahi işlem bilgileri,
• Diğer gerekli sağlık bilgileri

işlenebilir.

6. Tedavi Öncesi Gizlilik Sözleşmesi

Şirket tarafından sunulan sağlık turizmi ve sağlık hizmetleri kapsamında, gerekli görülmesi halinde tedavi veya sağlık hizmetinin başlamasından önce ilgili kişi ile Gizlilik Sözleşmesi yapılabilir.

Söz konusu sözleşmenin amacı, ilgili kişinin tedavi süreciyle bağlantılı bilgi ve belgelerin gizliliğinin korunmasını sağlamak ve tarafların kişisel verilerin korunmasına ilişkin hak ve yükümlülüklerini belirlemektir.

Gizlilik kapsamında özellikle aşağıdaki bilgiler korunur:

• Kimlik ve iletişim bilgileri,
• Sağlık ve tedavi bilgileri,
• Tıbbi geçmiş,
• Teşhis ve muayene sonuçları,
• Tedavi planları,
• Tedavi sürecine ilişkin bilgiler,
• Fotoğraf ve video kayıtları,
• Tıbbi raporlar ve belgeler,
• Diğer kişisel ve özel nitelikli kişisel veriler.

Tedavi sürecinde elde edilen kişisel verilere yalnızca tedavi ve sağlık hizmetinin yürütülmesinde görev alan kişiler tarafından, görevlerinin gerektirdiği ölçüde erişilebilir.

Şirket; çalışanları, hizmet sağlayıcıları, iş ortakları ve tedavi sürecinde görev alan diğer kişiler bakımından gerekli gizlilik yükümlülüklerini oluşturabilir.

Gizlilik Sözleşmesi, Şirketin KVKK ve diğer mevzuattan doğan bilgilendirme, açık rıza alma, veri güvenliği ve yetkili kurumlara veri aktarma yükümlülüklerini ortadan kaldırmaz.

7. Kişisel Verilerin Toplanması ve İşlenmesi Yöntemleri

Kişisel veriler; fiziksel formlar, sözleşmeler, başvuru formları, telefon görüşmeleri, e-posta, internet siteleri, elektronik sistemler, online platformlar, sağlık kayıtları, faturalar, ödeme belgeleri, çağrı merkezi kayıtları ve benzeri kanallar aracılığıyla toplanabilir.

8. İşlenen Kişisel Veri Kategorileri

9. Kişisel Verilerin İşlenme Amaçları

• Sağlık turizmi ve seyahat hizmetlerinin sunulması,
• Sağlık hizmetlerinin organize edilmesi ve koordine edilmesi,
• Hasta ve müşteri kayıtlarının oluşturulması ve yönetilmesi,
• Randevu ve organizasyon süreçlerinin yürütülmesi,
• Muayene, teşhis, tedavi, cerrahi işlem ve bakım süreçlerinin yürütülmesi,
• Tedavi öncesi ve sonrası iletişim ve takip faaliyetlerinin yürütülmesi,
• Hasta ve müşteri taleplerinin yönetilmesi,
• Çağrı merkezi faaliyetlerinin yürütülmesi,
• Faturalandırma ve ödeme işlemlerinin gerçekleştirilmesi,
• Muhasebe ve finans işlemlerinin yürütülmesi,
• Yasal ve düzenleyici yükümlülüklerin yerine getirilmesi,
• Sağlık ve sağlık turizmi mevzuatından doğan yükümlülüklerin yerine getirilmesi,
• Sağlık Bakanlığı ve yetkili kurumlara karşı yükümlülüklerin yerine getirilmesi,
• USHAŞ ve ilgili kurumlara bildirim ve raporlama yapılması,
• Hasta memnuniyeti ve talep yönetiminin gerçekleştirilmesi,
• Bilgi güvenliği ve iş sürekliliğinin sağlanması,
• Hukuki ve idari süreçlerin yürütülmesi,
• Yetkili makamların bilgi ve belge taleplerinin karşılanması,
• Yasal saklama ve bildirim yükümlülüklerinin yerine getirilmesi.

10. Kişisel Verilerin Üçüncü Kişilere Aktarılması

Şirket tarafından işlenen kişisel veriler, KVKK ve diğer ilgili mevzuata uygun olmak kaydıyla, işleme amacıyla bağlantılı, sınırlı ve ölçülü olmak şartıyla üçüncü kişilere aktarılabilir.

Kişisel veriler; tedavi ve sağlık hizmetlerinin güvenli ve etkin şekilde sunulması, tedavi süreçlerinin planlanması ve yürütülmesi, sağlık hizmetlerinin koordinasyonu, yasal ve idari yükümlülüklerin yerine getirilmesi ve mevzuatın izin verdiği diğer amaçlarla aktarılabilir.

Mevzuatın izin verdiği veya zorunlu kıldığı hallerde kişisel veriler:

• Sağlık Bakanlığı’na,
• USHAŞ’a,
• Yetkili kamu kurum ve kuruluşlarına,
• Kamu hastanelerine,
• Özel hastanelere,
• Özel kliniklere,
• Tıp merkezlerine,
• Polikliniklere,
• Hekimlere ve sağlık profesyonellerine,
• Laboratuvarlara,
• Tanı ve görüntüleme merkezlerine,
• Diğer yetkili sağlık hizmeti sağlayıcılarına,
• Sigorta şirketlerine,
• Hizmet sağlayıcılara ve iş ortaklarına,
• Mali, hukuki ve danışmanlık hizmeti sağlayıcılarına,
• Adli ve idari makamlara,
• Mevzuat kapsamında yetkilendirilmiş diğer kişi ve kuruluşlara

aktarılabilir.

11. Tedavi Amacıyla Özel Hastane ve Kliniklere Veri Aktarımı

Sağlık turizmi ve tedavi organizasyonları kapsamında Şirket, tedavinin yürütülmesi için gerekli kişisel verileri ve özel nitelikli kişisel verileri kamu veya özel sağlık kuruluşlarına aktarabilir.

Bu kapsamda veriler aşağıdaki alıcılara aktarılabilir:

• Özel hastaneler,
• Özel klinikler,
• Tıp merkezleri,
• Poliklinikler,
• Hekimler,
• Diğer sağlık çalışanları,
• Laboratuvarlar,
• Tanı ve görüntüleme merkezleri,
• Diğer yetkili sağlık hizmeti sağlayıcıları.

Özellikle sağlık durumu, tıbbi geçmiş, teşhis, muayene sonuçları, laboratuvar sonuçları, görüntüleme sonuçları, ilaç ve tedavi bilgileri, engellilik durumu, kullanılan tıbbi cihaz ve protez bilgileri ile tedavinin yürütülmesi için gerekli diğer sağlık bilgileri aktarılabilir.

Bu aktarımlar; tedavinin planlanması ve yürütülmesi, teşhis ve tedavi işlemlerinin gerçekleştirilmesi, sağlık çalışanlarının gerekli tıbbi bilgilere erişebilmesi, tedavi öncesi ve sonrası kontrollerin yapılması, sağlık hizmetlerinin koordinasyonu ve hasta güvenliğinin sağlanması amaçlarıyla gerçekleştirilebilir.

Sağlık verilerinin özel hastanelere, özel kliniklere veya diğer sağlık hizmeti sağlayıcılarına aktarılması sırasında KVKK’nın özel nitelikli kişisel verilere ilişkin hükümleri ile sağlık mevzuatı ve diğer ilgili mevzuat hükümlerine uyulur.

Tedavi veya sağlık hizmetinin sunulması için gerekli olmayan kişisel veriler aktarılmaz.

12. Sağlık Bakanlığı ve USHAŞ’a Veri Aktarımı

Özel nitelikli kişisel veri niteliğindeki sağlık verileri, KVKK ve sağlık turizmi mevzuatı kapsamında gerekli olması halinde Sağlık Bakanlığı, USHAŞ ve diğer yetkili kamu kurum ve kuruluşlarına aktarılabilir.

Bu aktarımlar aşağıdaki amaçlarla gerçekleştirilebilir:

• Sağlık turizmi faaliyetlerinin yürütülmesi,
• Sağlık hizmetlerinin planlanması ve koordinasyonu,
• Yasal bildirim ve raporlama yükümlülüklerinin yerine getirilmesi,
• Kamu sağlığının korunması,
• Sağlık hizmetlerinin denetlenmesi ve düzenlenmesi,
• Diğer yasal ve düzenleyici yükümlülüklerin yerine getirilmesi.

Bu tür aktarımlar yalnızca mevzuatın izin verdiği veya zorunlu kıldığı durumlarda ve ilgili amaç için gerekli ve ölçülü olduğu ölçüde gerçekleştirilir.

13. Yurt Dışına Veri Aktarımı

Kişisel verilerin yurt dışına aktarılması, KVKK’nın 9. maddesi ve ilgili mevzuatta düzenlenen şartlara uygun olarak gerçekleştirilir.

Yurt dışına veri aktarımının gerekli olması halinde Şirket; yeterlilik kararı, uygun güvenceler veya mevzuatta öngörülen diğer hukuka uygun aktarım mekanizmalarına uygun hareket eder.

Şirket, yurt dışına veri aktarımı sırasında ilgili kişilerin temel hak ve özgürlüklerinin korunması ve kişisel verilerin güvenliğinin sağlanması için gerekli tedbirleri alır.

14. Kişisel Verilerin Saklanması

Şirket, kişisel verileri yürürlükteki mevzuatta öngörülen süre veya işleme amacının gerektirdiği süre boyunca fiziksel ve elektronik ortamlarda güvenli şekilde saklar.

Saklama süreleri belirlenirken yasal saklama süreleri, işleme amacı, hukuki yükümlülükler, zamanaşımı süreleri ve olası hukuki uyuşmazlıklarda delillerin korunması gerekliliği dikkate alınır.

Saklama süresinin sona ermesi veya işleme amacının ortadan kalkması halinde kişisel veriler mevzuata uygun şekilde silinir, yok edilir veya anonim hale getirilir.

15. Veri Güvenliği İçin Alınan Tedbirler

Şirket, KVKK’nın 12. maddesi kapsamında kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve kişisel verilerin güvenli şekilde muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri alır.

15.1. İdari Tedbirler

• Kişisel verilerin korunmasına ilişkin iç politika ve prosedürler oluşturulur.
• Çalışanlara KVKK ve veri güvenliği eğitimleri verilir.
• Çalışanların erişim yetkileri görev ve sorumluluklarına göre belirlenir.
• Verilerin aktarıldığı üçüncü kişilerle gerekli sözleşmeler yapılır.
• Tedavi süreçlerinde görev alan kişiler için gizlilik yükümlülükleri oluşturulur.
• Kişisel veri işleme süreçleri düzenli olarak kontrol edilir.
• Gerekli denetim ve kontroller gerçekleştirilir.
• Veri güvenliği ihlallerinde mevzuat kapsamında gerekli işlemler yapılır.

15.2. Teknik Tedbirler

• Yetkilendirme ve erişim kontrol mekanizmaları uygulanır.
• Bilgi sistemleri uygun güvenlik tedbirleriyle korunur.
• Gerektiğinde şifreleme ve benzeri güvenlik yöntemleri kullanılır.
• Bilgi sistemleri üzerinde güvenlik kontrolleri gerçekleştirilir.
• Kişisel verilere erişim yetkileri sınırlandırılır.
• Yetkisiz erişim ve veri sızıntısının önlenmesine yönelik teknik altyapı kullanılır.
• Gerekli yedekleme, loglama ve diğer teknik güvenlik tedbirleri uygulanır.

16. KVKK’nın 11. Maddesi Kapsamında İlgili Kişilerin Hakları

6698 sayılı KVKK’nın 11. maddesi kapsamında ilgili kişiler, Şirket’e başvurarak aşağıdaki haklarını kullanabilir:

1. Kişisel verilerinin işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmiş kişisel verilerin düzeltilmesini isteme,
6. Kanuni şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
7. Yapılan düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. Otomatik sistemler vasıtasıyla yapılan analiz sonucunda aleyhe bir sonuç ortaya çıkmasına itiraz etme,
9. Kanuna aykırı veri işlenmesi nedeniyle zarara uğranması halinde zararın giderilmesini talep etme.

17. GDPR Kapsamındaki Haklar

GDPR’ın Şirketin veri işleme faaliyetlerine uygulanabilir olduğu hallerde, ilgili kişilerin GDPR kapsamında sahip olduğu haklara da saygı gösterilir.

• Kişisel verilere erişim hakkı,
• Düzeltme hakkı,
• Silme hakkı,
• İşlemenin kısıtlanması hakkı,
• Veri taşınabilirliği hakkı,
• İşlemeye itiraz hakkı,
• Otomatik karar verme ve profillemeye ilişkin haklar.

Bu hakların kullanılması GDPR’da belirtilen şartlar, sınırlamalar ve istisnalara tabidir.

18. Politikanın Güncellenmesi

Şirket; mevzuat değişiklikleri, faaliyet alanındaki değişiklikler, yeni kişisel veri işleme süreçlerinin oluşturulması veya mevcut süreçlerin değiştirilmesi halinde işbu Politikayı güncelleyebilir.

Güncellenen Politika, Şirket tarafından uygun görülen iletişim kanalları aracılığıyla ilgili kişilerin bilgisine sunulur.

19. Son Hükümler

Şirket, sunduğu tüm hizmetlerde kişisel veri güvenliğini temel prensiplerden biri olarak kabul eder.

Özellikle sağlık turizmi ve tedavi süreçleri kapsamında işlenen sağlık verileri ve diğer özel nitelikli kişisel verilerin gizliliğinin korunmasına büyük önem verilir.

Gerekli görülmesi halinde tedavi süreci başlamadan önce ilgili kişi ile Gizlilik Sözleşmesi yapılır. Bu sözleşme, tedavi sürecinde elde edilen kişisel veriler ve özel nitelikli kişisel verilerin gizliliğine ilişkin tarafların yükümlülüklerini ve yetkisiz açıklamaların önlenmesine ilişkin hükümleri düzenler.

Gizlilik Sözleşmesi, Şirketin KVKK ve diğer mevzuat kapsamında sahip olduğu bilgilendirme, veri güvenliği, saklama, bildirim ve yetkili kurumlara veri aktarımı yükümlülüklerini ortadan kaldırmaz.

Şirket, mevzuatın izin verdiği veya zorunlu kıldığı hallerde kişisel verileri Sağlık Bakanlığı, USHAŞ, kamu ve özel hastaneler, özel klinikler, tıp merkezleri, poliklinikler, hekimler, laboratuvarlar, tanı ve görüntüleme merkezleri ve diğer yetkili sağlık hizmeti sağlayıcılarına aktarabilir.

Söz konusu aktarım; teşhis, tedavi, tıbbi takip, bakım, rehabilitasyon, sağlık hizmetlerinin koordinasyonu, yasal yükümlülüklerin yerine getirilmesi veya diğer hukuka uygun amaçlarla ve her durumda işleme amacıyla bağlantılı, sınırlı ve ölçülü olarak gerçekleştirilir.

Şirket, hizmetlerin sunulması ve tedavi sürecinin tüm aşamalarında ilgili kişilerin mahremiyetinin, kişisel verilerinin ve sağlık bilgilerinin güvenliğinin korunması için gerekli tüm tedbirleri almayı taahhüt eder.