Blua Gizlilik Politikası

Giriş

Bupa Turkey Sağlık Hizmetleri A.Ş. (“Bupa” ya da “Şirket”) olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” ve/veya “Kanun”) yürürlüğe girdiği tarihten itibaren, Blua uygulaması kapsamındaki iş faaliyetlerimizi yerine getirirken herhangi bir şekilde temas ettiğimiz tüm gerçek kişilere ait kişisel verilerin korunmasına ve bu çerçevede KVKK’da yer alan gerekliliklerin eksiksiz olarak yerine getirilmesine büyük önem veriyoruz.

İşbu Kişisel Verilerin Korunması ve Gizlilik Politikası (“Politika”), Kanun ve ikincil mevzuat kapsamında veri sorumlusu olan Bupa bünyesinde kişisel verilerin toplanması, işlenmesi, saklanması ve aktarılması süreçlerinde uyulması gereken kurallar ile Kanun ve ikincil mevzuata tam uyumun sağlanması adına gerekli düzenlemelerin belirlenmesi; bu süreçler ve prensipler hakkında ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır.

Politika’da yer alan düzenleme ve açıklamalar; siz müşterilerimizi ve Bupa ile ilişki içinde bulunan diğer gerçek kişiler ve bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen Şirketimiz bünyesindeki gerçek kişileri ve departmanları kapsamaktadır.

Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler

Bupa tarafından, kişisel veriler, KVKK ve ikincil mevzuat kapsamında ve ilgili diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenmektedir. Bu çerçevede, Bupa tarafından kişisel veriler işlenirken KVKK madde 4’te yer alan aşağıdaki ilkelere tam uyum sağlanmaktadır.

Hukuka ve dürüstlük kurallarına uygun olma: Alınan kişisel verileri nasıl işlediğimiz konusunda tam şeffaflığa sahibiz. Bu ilke uyarınca, Bupa’nın veri işleme süreçleri başta Türkiye Cumhuriyeti Anayasası ve KVKK olmak üzere ilgili tüm mevzuat ile dürüstlük kuralının gerektirdiği sınırlar içinde yürütülmekte olup işlenen kişisel veriler kanunlara aykırı bir amaç için kullanılmamaktadır.
Doğru ve gerektiğinde güncel olma: Verilerin doğruluğu düzenli olarak kontrol edilmekte, güncelliği sağlanmaktadır ve işlenmekte olan verilerin gerçek durumu yansıtmasını sağlamak amacıyla bilgilendirmelerde bulunarak veri girişi için ilgili kişilere gerekli imkânlar tanınmaktadır.
Belirli, açık ve meşru amaçlar için işlenme: Kişisel veriler, yalnızca açık ve kesin olarak belirlenen meşru amaçlarla işlenmekte olup, bu amaçlar dışında veri işleme faaliyetinde bulunulmamaktadır. Bu kapsamda, Bupa yalnızca ilgili kişilerle kurulan ilişki ile bağlantılı olarak ve gerekli olması halinde kişisel veri işlemektedir.
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Kişisel veriler, belirlenen amaçların gerçekleştirilebilmesine elverişli, amacın gerçekleştirilmesiyle ilgili ve ölçülü olarak işlenmekte olup, ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmakta, sonradan kullanılabileceği varsayımı ile veri işleme faaliyeti yürütülmemektedir.
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: İşlenen kişisel veriler, ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmektedir. Bu kapsamda Bupa, başta sigortacılık mevzuatı olmak üzere ilgili diğer mevzuatlarda da verilerin saklanması için öngörülen bir süre varsa bu süreye uymakta; böyle bir süre yoksa verileri ancak işlendikleri amaç için gerekli olduğu kadar muhafaza etmektedir.

Veri Toplama ve Açık Rıza Alma Süreçlerinin İşletilmesi

İstisnalar saklı kalmak kaydıyla, kişisel verilerin işlenmesi açık rızaya tabi olup, Kanun ve ikincil mevzuat kapsamında ilgili kişinin açık rızasının alınması sürecinin zamanlamasının, kişisel verinin elde edilmesinden önce olması gerekmektedir.

Alınacak olan açık rıza metinlerinde ilgili kişiler; sektör gereklilikleri ve ilgili mevzuat kapsamında, kişisel verilerin işlenme amacına yönelik olarak açık ve ilgili işlemle sınırlı, belirsizliğe mahal vermeyecek şekilde bilgilendirilmektedir.

İlgili kişiler tarafından açık rızaların geri çekilmesi durumunda Bupa tarafından ilgili kişilere ait kişisel veriler için işleme faaliyetleri sonlandırılmaktadır.

Bupa bünyesinde bulunan kişisel verilerin, aynı kişiye ait farklı bir veri ile ilişkilendirilmesi söz konusu olduğunda, (Kanun ve ikincil mevzuat kapsamında açık rıza olmaksızın kişisel veri işlenen haller hariç olmak üzere) bahsi geçen ilişkilendirilmiş kişisel veri yalnızca rızasının alındığı kapsam dâhilinde işlenmektedir.

Bupa bünyesinde toplanan kişisel verilerin; hangi verilerin hangi aşamada toplandığına ve işlendiğine ilişkin süreçler ile kişisel verilerin toplanması ve aktarılmasında açık rıza için Kanun ve ikincil mevzuat kapsamında istisna bulunup bulunmadığı hususları ile ilgili istisnalar “Kişisel Veri Envanteri”nde belirtilmiştir.

Kişisel Verilerin İşlenme Şartları

Bupa, ilgili kişinin açık rızası ile veya KVKK’nın 5. maddesinde öngörülen hallerde açık rıza olmaksızın kişisel verileri işleyebilmektedir.

KVKK’da sayılan aşağıdaki hallerin varlığı durumunda, ilgili kişinin açık rızası olmasa dahi kişisel veriler işlenebilmektedir:

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Blua Uygulaması Üzerinde Yapılan Kişisel Veri İşleme Faaliyetleri

Şirket İçerisinde Kamera ile İzleme

Şirketimiz, çalışanlarının ve diğer kişilerin güvenliğini sağlamak ve Şirketimize giren çıkan kayıtlarının tutulması amacıyla Şirketimiz giriş çıkışları kamera ile izlenmektedir.

KVKK’da yer alan düzenlemeler doğrultusunda, Şirketimiz tarafından kamera ile izleme faaliyetine ilişkin olarak internet sitemizde işbu Politika yayımlanmakta ve izlemenin yapıldığı/görüntü kaydı alınan alanlarda ilgili kişilerin bilgilendirilmesi amacıyla, görüntü kaydı alındığına dair yazılı uyarı bulunmaktadır.

Kişilerin mahremiyetine müdahale doğurabilecek alanlarda ve çalışma alanlarında izleme söz konusu olmamaktadır. Güvenlik kamerası kayıtlarına yalnızca sınırlı sayıda Şirket çalışanımız erişebilmektedir. Bu kayıtlar işlenme amaçlarına uygun süre zarfında fiziksel veya elektronik ortamda güvenli bir şekilde saklanmaktadır.

İnternet Sitesi Ziyaretçileri

Ziyaretçiler, internet sitemizi kullanırken bilgi toplumu hizmetinin sağlanması için mutlaka gerekli olan Zorunlu Çerezlerin yanı sıra, ziyaret tarihi ve saati, izlenen sayfalar, internet sitemizde geçirilen süre ve internet sitemizi ziyaretin hemen öncesinde veya sonrasında ziyaret edilmiş olan siteler gibi bilgiler de Performans Çerezleri olarak saklanabilmektedir. Ayrıca kullanıcı deneyimini iyileştirmek amacıyla Google Analytics’i kullanıyoruz.

Şirketimizin bu faaliyetleri ile ilgili detaylı açıklamalar internet sitemizde https://www.bupa.com.tr/kisisel-verilerin-korunmasi/cerez-politikasi içerisinde yer almaktadır.

Kişisel Verilerin İşlenme Amaçları

Bupa tarafından; ad, soyad, T.C. kimlik numarası, doğum tarihi, cinsiyet, cep telefonu, e-posta adresi, IP adresi, cihaz kimliği, oturum ve giriş kayıtları, log kayıtları, cihaz modeli, işletim sistemi sürümü, uygulama sürümü, dil, çökme kayıtları, ekran kullanım istatistikleri vb. kategorisindeki kişisel veriler ve özel nitelikli kişisel veriler işlenebilecektir.

Kişisel verilerinizin işlenme amaçlarını; Blua dijital sağlık uygulamasında uçtan uca sağlık hizmetinin verilebilmesi, sağlıklı yaşamın desteklenebilmesi, hasta ile doktor arasında Video Hekimlik hizmeti verilebilmesi teşkil etmektedir.

Kişisel Verilerin Saklanması ve İmha Edilmesi

Elde edilen kişisel veriler ve özel nitelikli kişisel veriler, Bupa’nın ticari faaliyetlerinin yerine getirilebilmesi amacıyla, uygun süre zarfında fiziksel veya elektronik ortamda güvenli bir şekilde saklanmaktadır. Söz konusu faaliyetler kapsamında, Bupa tarafından kişisel verilerin korunmasına ilişkin olarak KVKK başta olmak üzere, ilgili tüm mevzuatta öngörülen yükümlülüklere uygun hareket edilmektedir. İlgili mevzuat uyarınca, kişisel verilerin daha uzun süre saklanmasına cevaz verilen veya saklanması zorunlu tutulan haller müstesna olmak kaydıyla, kişisel verilerin işlenme amaçlarının sona ermesi durumunda, Bupa tarafından Kişisel Veri Saklama ve İmha Politikası’nda izah edildiği üzere re’sen yahut internet sitesindeki https://www.bupaacibadem.com.tr/kisisel-verilerin-korunmasi/kvkk-basvuru-formu linkinde yer alan başvuru formu aracılığıyla ilgili kişilerin talebi üzerine veriler silinecek, yok edilecek yahut anonimleştirilecektir. Kişisel verilerin çeşitli yöntemler vasıtasıyla yok edilmesi durumunda, bu veriler tekrar hiçbir şekilde kullanılamayacak ve geri getirilemeyecek şekilde imha edilecektir.

Ancak veri sorumlusunun meşru menfaatinin bulunduğu durumlarda, işlenme amacının ve ilgili kanunlarda belirtilen sürelerin de sona ermesine rağmen ilgili kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla kişisel veriler, Türk Borçlar Kanunu’nda düzenlenen genel zamanaşımı süresi olan 10 (on) yılın, Türk Ceza Kanunu’nda düzenlenen uzamış zamanaşımı süresi 15 (on beş) yılın sona ermesine kadar saklanabilecektir. Bahsi geçen zamanaşımı süresinin sona ermesinin ardından kişisel veriler, yukarıda belirtilen ve Kişisel Veri Saklama ve İmha Politikası’ndaki esaslara göre silinecek, yok edilecek yahut anonim hale getirilecektir.

Kişisel Verilerin Aktarımı ve Paylaşımı

Kişisel veriler, Kanun ve ikincil mevzuat kapsamında açık rıza olmaksızın aktarım yapılabilecek istisna halleri hariç olmak üzere, kural olarak ilgili kişinin açık rızası olmaksızın aktarılamaz.

Ancak Kanun’un 8. ve 9. maddelerinde düzenlenmiş olan usul ve esaslar çerçevesinde kişisel veriler ve özel nitelikli kişisel veriler, yurtiçi ve yurtdışındaki üçüncü kişilere ilgili kişinin açık rızası aranmaksızın aktarılabilmektedir. Hizmetlerin yerine getirilmesi için, kişisel verilerin Kanun ve sair mevzuat (5684 sayılı Sigortacılık Kanunu, 6502 sayılı Tüketicinin Korunması Hakkında Kanun, 5546 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, 6102 sayılı Türk Ticaret Kanunu, 4857 sayılı İş Kanunu, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu ve bu sayılan kanunlara ilişkin sair yönetmelikler, denetleyici ve düzenleyici kurum ve kuruluşların düzenlemeleri ile kamu otoritelerinin zorunlu kıldığı haller dahil olmak fakat bunlarla sınırlı olmamak üzere) uyarınca Şirketimiz tarafından işlenebilecek ve hissedarlarımız, tedarikçilerimiz, anlaşmalı kurumlarımız, hizmet aldığı üçüncü kişiler, acenteler, brokerlar, ödeme işlemlerinin gerçekleştirilmesi için bankalar, asistans firmaları, hukuki iş ve işlemlerin yürütülmesi amacıyla sözleşmeli avukatlarla, vekalet ilişkisi içerisinde olunan gerçek ve tüzel kişiler ile iş ortaklarına ve diğer üçüncü kişilere paylaşım yapılabilecektir.

Ek olarak Bupa içerisinde prosedürlerin, faaliyetlerin ve çeşitli işleyişlerin yürütülmesi amacı ile kişisel verilerin departmanlar arası aktarımı da ilgili kişilerden açık rızaların alınması ile gerçekleştirilecek olup Kanun’un 8. ve 9. maddelerinde düzenlenmiş olan usul ve esaslar çerçevesinde açık rıza olmaksızın aktarılabilecektir.

Fiziksel ya da elektronik olarak aktarılacak kişisel verilerin aktarımı sırasında, kişisel verilerin güvenliği için aktarım yapılan ortamın güvenliği sağlanacaktır.

Aktarım yapılacak yüklenici veya tedarikçi ile veri aktarım sözleşmesi yapılmalı veya bu tedarikçi ya da yüklenicinin kişisel verileri koruyacağına ilişkin taahhüdü bulunmalıdır. Veri aktarım sözleşmelerinde/taahhütlerinde amaçlar, limit ve kısıtlamalar açıkça belirtilir ve tarafların sözleşmeye/taahhüde uyumu sağlanır.

Aktarım yapılmadan önce gerekli kontroller yapılmakta ve üçüncü kişilerle minimum sayıda bilgi paylaşılmaktadır.

Aktarıma ilişkin hukuksal dayanak olan kayıtlar detaylı olarak tutulmakta ve saklanmaktadır.

Yurt İçindeki Üçüncü Taraflara Aktarım

Bupa, kişisel verilerin üçüncü taraflarla paylaşılması hususunda, diğer kanunlarda yer alan hükümler saklı kalmak kaydıyla, KVKK’da düzenlenen şartlara özenle uymaktadır. Bu çerçevede, kişisel veriler, Bupa tarafından ilgili kişinin açık rızası temin edilmeksizin üçüncü kişilere aktarılmamaktadır. Ancak, KVKK’da öngörülen aşağıdaki şartlardan birinin varlığı halinde kişisel veriler ilgili kişinin açık rızası temin edilmeksizin de aktarılabilecektir:

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Yeterli önlemler alınmak kaydıyla; özel nitelikli kişisel veriler bakımından ise;

Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi,
Kanunlarda açıkça öngörülmesi,
Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması

hukuki sebepleri kapsamında açık rıza temin edilmeksizin kişisel verileriniz aktarılabilecektir.

Özel nitelikli kişisel verilerin aktarılmasında da bu verilerin işlenme şartlarında belirtilen koşullara uyulmaktadır.

Yurt Dışındaki Üçüncü Taraflara Aktarım

Kişisel verilerin yurt dışına aktarılmasına ilişkin olarak, Kanun’un 9. maddesi doğrultusunda terditli bir aktarım usulü izlenmektedir. Bu kapsamda ilgili kişilerin verilerinin yurt dışına aktarılmasında öncelikle, aktarım yapılacak ülke veya sektör hakkında Kurum tarafından verilmiş bir yeterlilik kararı olup olmadığı değerlendirilecektir. İlgili ülke veya sektör hakkında verilmiş bir yeterlilik kararı mevcut ise kişisel veriler yurt dışına aktarılabilecektir.

Herhangi bir ülke veya sektör hakkında verilmiş yeterlilik kararının mevcut olmaması halinde aşağıda sayılan uygun güvencelerden herhangi birinin mevcut olup olmadığı değerlendirilecek ve işbu uygun güvencelerden herhangi birisinin mevcut olması halinde kişisel verilerin yurt dışına aktarımı mümkün olacaktır.

Standart Sözleşmeler
Bağlayıcı Şirket Kuralları
Yazılı Taahhütnameler

Söz konusu uygun güvencelerin uygulanmasında, Kurum’un resmi web sitesinde yayınlanan metinler kullanılmaktadır. İşbu uygun güvencelerden herhangi birinin de mevcut olmadığı durumda, arızi (bir veya birkaç defaya mahsus) olmak kaydıyla aşağıda sayılan hallerde, kişisel veriler yurt dışına aktarılabilecektir.

İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
Aktarımın üstün bir kamu yararı için zorunlu olması.
Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

İlgili Kişinin Hakları

Aydınlatma Yükümlülüğü

Kanun’un 10. maddesi kapsamında, ilgili kişilerin, kişisel verilerin elde edilmesinden önce veya en geç elde edilmesi sırasında aydınlatılması gerekmektedir. Bu kapsamda, Şirketimiz aşağıdaki konularda aydınlatma yükümlülüğünü yerine getirmektedir:

Veri sorumlusunun ve Bilgi Güvenliği ve Veri Gizliliği Komitesi’nin kimliği,
Kişisel verilerin hangi amaçla işleneceği,
İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
Kişisel veri toplamanın yöntemi ve hukuki sebebi,
Kanun’un 11. maddesinde sayılan diğer haklar (bkz. İlgili Kişinin Hakları).

Bupa, KVKK kapsamındaki aydınlatma yükümlülüğünü yerine getirmek amacıyla, farklı süreçler açısından aydınlatma beyanları hazırlamış ve uygulamaya koymuştur.

Öte yandan, Kanun’un 28 (2). maddesi çerçevesinde, aşağıdaki hallerde Bupa’nın aydınlatma yükümlülüğü bulunmayacaktır:

Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması,
İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,
Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması,
Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

İlgili Kişinin Hakları

Bupa tarafından işbu Politika’da yer alan esaslara uygun olarak; işlenen kişisel verilere ilişkin olarak, Kanun’un 11. maddesinde ilgili kişilere tanınan hakların kullandırılması konusunda gerekli önlemler alınmıştır. Bahse konu haklar şunlardır:

Kişisel veri işlenip işlenmediğini öğrenme,
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
Kanun’un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
Kanun’un 11. maddesinin (d) ve (e) maddeleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

İlgili kişiler, yukarıda sayılan haklarını, [email protected] adresi aracılığıyla veya şirket merkezimize fiziken göndermek suretiyle kullanabilirler. Bupa, ilgili başvurulara yönelik cevabı fiziken veya elektronik olarak başvuru sahibine ulaştıracaktır.

Bupa, başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyet gerektirmesi hâlinde, ilgili kişinin başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar ücret alınmaz ancak on sayfanın üzerindeki her sayfa için 1 Türk Lirası işlem ücreti alınabilir. Başvurunun, veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.

Ayrıca, ilgili kişilerin taleplerinin sonuçlandırılması sürecinde, Bupa tarafından başvuruculardan ek bilgi veyahut belge talep edilebilecektir.

KVKK’nın 28. maddesi gereğince, aşağıdaki hallerde ilgili kişilerin haklarını ileri sürmeleri mümkün olmayacaktır:

Kişisel verilerinin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,
Kişisel verilerinin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,
Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,
Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi,
Kişisel verilerinin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVKK’nın 28 (2) maddesi gereğince ise ilgili kişiler, zararın giderilmesini talep etme hakkı hariç olmak üzere, KVKK 11. maddesinde düzenlenen haklarını ileri sürmeleri mümkün olamayacaktır:

Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması,
İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,
Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması,
Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

Kişisel Verilerin Korunmasına İlişkin Alınan Tedbirler

Bupa, KVKK’nın 12 (1). maddesi ve Kişisel Verileri Koruma Kurumu’nun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberi kapsamında kişisel verilerin korunması için gerekli olan uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almakta, ihtiyaç gördüğü noktalarda almaya da devam etmektedir.

Bupa’nın bu kapsamda aldığı önlemler aşağıda sayılmıştır:

İdari Tedbirler

Bu kapsamda;

Kişisel Veri İşleme Envanteri hazırlanmıştır,
Kurumsal politikalar ve prosedürler hazırlanmıştır,
Şirketin taraf olduğu sözleşmelere, konumuna ve sözleşme konusuna göre gerekli kişisel veri klozları eklenmiş ve/veya kişisel verilerin korunmasına ilişkin taahhütnameler imzalanmıştır (yeni imzalanan sözleşmelerde de ilgili hükümler yer almaktadır),
Çalışanlar tarafından gizlilik taahhütnameleri imzalanmıştır,
Kurum içi periyodik ve/veya rastgele denetimler yapılmaktadır,
Düzenli risk analizleri çıkarılmaktadır,
Çalışanlara da aydınlatmalar yapılmış ve iş sözleşmelerine gerekli kişisel verilerin korunması hakkında maddeler eklenmiştir,
İlgili kişinin başvurusu halinde izlenecek süreç ve iletişim süreci tanımlanmıştır,
Çalışanlar için düzenli eğitim ve farkındalık faaliyetleri yapılmaktadır,
Verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır,
Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir,
Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) bildirim yapılmıştır.

Teknik Tedbirler

Bu kapsamda;

Sızma (penetrasyon) testleri ile Şirketimizin bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır,
Şirketimizin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır,
Erişim yetki ve rol dağılımları için prosedürler oluşturulmakta ve uygulanmakta, yetki matrisi uygulanmakta, erişimler kayıt altına alınarak uygunsuz erişimler kontrol altında tutulmakta, saklama ve imha politikasına uygun imha süreçleri tanımlanmakta ve uygulanmaktadır,
Kişisel verilerin güvenli olarak saklanmasını sağlayan yedekleme programları kullanılmaktadır,
Bilgi sistemleri güncel halde tutulmakta, kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır,
Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir,
Oturum olay kaydı tutulmaktadır,
Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal ve yazılımsal (güvenlik duvarları, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır,
Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır,
Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır,
Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır,
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Şirket tarafından buna uygun bir sistem ve altyapı oluşturulmuştur,
Kişisel verilerin işlendiği elektronik ortamlarda parolalar kullanılmaktadır,
Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır,
Kullanıcıların sistemlere giriş yaparken benzersiz kullanıcı adı ve şifre kullanmaları sağlanmaktadır.

Uygunsuzlukların Takibi ve Sürekli İyileştirme

Bupa, kişisel verilerin korunması ve yönetimi sisteminin uygunluğunu, doğruluğunu ve etkinliğini sürekli olarak iyileştirmekte ve gerekli düzenleyici ve önleyici faaliyetleri gerçekleştirmektedir.

Düzenleyici Faaliyetler;

Denetim sonuçları,
Kişisel verilerin korunması yönetim sistemindeki uygunsuzluklar,
Olay ve ihlaller, performans değerlendirme,

Önleyici Faaliyetler;

Potansiyel sorunların ve nedenlerinin belirlenmesi,
Gerekli önleyici faaliyetin belirlenmesi,
Alınan aksiyonun, sonucu ve değerlendirme çalışmasının gözden geçirilmesi,
Değişken risklerin belirlenmesi ve
Önleyici faaliyetin işleme konulması ve sorunlar ile ilgili kişilerin bilgilendirilmesini

içerir.

Erişim Yönetimi

Bupa çalışanları, kişisel veri ve bilgi varlıkları erişimlerinde; iş ihtiyaçlarına, rol ve sorumluluklarına uygun olarak yetkilendirilirler.

Tüm erişim ile ilgili tanımlama, değişiklik, silme talepleri saklanmaktadır. Çalışan ile ilgili herhangi bir görev değişikliği (kurum içi/departmanlar arası transfer gibi) meydana geldiğinde, yetkilendirilmeye ilişkin güncelleme işlemleri tamamlanmalıdır. Bununla birlikte, kullanıcıya ait standart haklar dışındaki erişim yetkileri kapatılmalıdır.

Uygulanabilen tüm süreçlerde “Kimlik ve Erişim Yönetimi Prosedürü”nde yer alan görevler ayrılığı ve en az ayrıcalık ilkeleri uygulanır. Kişisel verilerin yönetilmesi sistemi dâhilinde erişimin kısıtlanması için gerekli teknolojik önlemlerin alınması gereklidir. KVKK Çalışma Grubu, kişisel verilere yetkisiz erişim olmaması adına, yılda bir kez olmak üzere sorumlusu olduğu kişisel veri ve bilgi varlıklarına erişen kişilerin erişim nedenlerini sorgular.

KVKK Çalışma Grubu, veri sahipleri ile birlikte kişisel verilerin bulunduğu uygulamalara ve ortak alanlara yetkileri talep ederek inceler. Kişisel verilere yetkisi olması gereken kullanıcılar dışında bir yetki tespit edilmesi durumunda yetki istek talepleri incelenir. Eğer, kısıtlı süre için yetki verilen/günü geçmiş veya iş ihtiyacının ortadan kalkması sebebiyle artık erişmemesi gereken kullanıcı erişimleri var ise temizlenir. Gözden geçirme işlemi, hangi kişisel veriler ve yetkilerin kontrol edildiğini belirtecek şekilde dokümante edilir ve veri sorumlusu ile paylaşılır.

Kişisel veri ve bilgi varlıklarına erişecek kullanıcı hesaplarına, iş gerekçelerini karşılamaya yönelik olandan daha fazla yetki verilmez; veri sorumlusu minimum yetki prensibi çerçevesinde açıkça gerekli olmayan yetkileri kullanıcılarına vermezler.

İzleme, Ölçme ve Denetim

Bupa, kişisel verilerin korunması amacıyla kurmuş olduğu yönetim sisteminin performansını ve etkinliğini değerlendirmek adına izleme, ölçme ve denetim çalışmaları gerçekleştirir. İşbu Politika kapsamında gerekli görülmesi durumunda değerlendirmeler tamamlanarak ilgili kişiler bilgilendirilir.

Tanımlar

Terim	Tanım
İlgili Kişi	Kişisel verisi işlenen gerçek kişi
Başkanlık / Kurul	Kişisel Verileri Koruma Kurumu Başkanlığı / Kişisel Verileri Koruma Kurulu
İkincil Mevzuat	Kanun kapsamında yayımlanan yönetmelik, tebliğ, Kurul kararı ve sair yasal düzenlemeler
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
Özel Nitelikli Kişisel Veri	Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem
Kişisel Veri Envanteri	İş süreçlerine bağlı olarak gerçekleştirilmekte olunan kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırılan kişisel veri işleme envanteri
Veri Sahibi	Kişisel verilerin işlendiği Bupa bünyesinde bulunan fiziksel (basılı kopyalar, sözleşmeler vb.) ve elektronik (veritabanı, uygulama seviyesi vb.) ortamlar üzerinde yer alan kişisel verilerden sorumlu olan, ilgili verilere erişimi kısıtlayarak yetkisiz erişimi engellemekle yükümlü olan ve diğer çalışanların prosedürlere uyumuna yardımcı olan ilgili departman/gerçek kişiler
Veri Sorumlusu	Kanun uyarınca kişisel verilerin işlenme amaçlarını ve yöntemlerini (işleme faaliyetinin “neden” ve “nasıl” yapılacağı) belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi