Kişisel Veri Saklama, İşleme, İmha Politikası

Kişisel Veri Saklama, İşleme, İmha Politikası

Yasal Bilgiler ve
Bilgilendirmeler

1.Amaç

1.Amaç

Bu Politika, Medisa Sigorta Anonim Şirketi (“Medisa”) tarafından ve/veya adına gerçekleştirilmekte olan kişisel veri, işleme saklama ve imha faaliyetlerine ilişkin iş ve işlemler sırasında, tüm Kişisel Verilerin (aşağıdaki tanımlara bakınız) gizli tutulmasını ve Türkiye’de yürürlükte bulunan 6698 sayılı Kişisel Verilerin Korunması Kanunu (Bundan böyle “KVKK” olarak anılacaktır.) ve hukuki dayanağını ondan alan ikincil mevzuat ile Kişisel Verileri Koruma Kurulu’nun almış olduğu kararlara (Hepsi birlikte bu doküman içerisinde “Veri Koruma Mevzuatı” olarak anılacaktır.) uyulmasını sağlamak amacıyla tasarlanmış ve çıkartılmış bulunmaktadır.

Bu Politika, Medisa Sigorta Anonim Şirketi (“Medisa”) tarafından ve/veya adına gerçekleştirilmekte olan kişisel veri, işleme saklama ve imha faaliyetlerine ilişkin iş ve işlemler sırasında, tüm Kişisel Verilerin (aşağıdaki tanımlara bakınız) gizli tutulmasını ve Türkiye’de yürürlükte bulunan 6698 sayılı Kişisel Verilerin Korunması Kanunu (Bundan böyle “KVKK” olarak anılacaktır.) ve hukuki dayanağını ondan alan ikincil mevzuat ile Kişisel Verileri Koruma Kurulu’nun almış olduğu kararlara (Hepsi birlikte bu doküman içerisinde “Veri Koruma Mevzuatı” olarak anılacaktır.) uyulmasını sağlamak amacıyla tasarlanmış ve çıkartılmış bulunmaktadır.

2.Kapsam

2.Kapsam

Bu Politika, Kişisel Verileri Medisa tarafından ve/veya Medisa adına tamamen veya kısmen otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmekte olan tüm gerçek kişilere yönelik olarak gerçekleşecek kişisel veri işleme, saklama ve imha faaliyetlerini düzenlemek maksadıyla hazırlanmış olup Medisa adına kişisel veri işleme faaliyetinde bulunan herkes bakımından uygulanmaktadır.


Görevleri kapsamında Kişisel Veri işleyen tüm Çalışanların uyması beklenen ve Şirketimiz iç işleyişinde Kişisel Veriler’in korunmasına ilişkin olarak alınan tüm önlemler ve sürece ilişkin ayrıntılar Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü kapsamında ele alınmıştır. Açıkça belirtmek gerekir ki, çalışanların/müşterilerin kişisel verilerinin işlenmesi kapsamında ve veri işleme süreçlerinde çalışanlar tarafından uyulacak kurallara Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü’nde ayrıntılı olarak yer verilmiş olup ilgili Prosedür tüm çalışanların erişimine sunulmaktadır.

Bu Politika, Kişisel Verileri Medisa tarafından ve/veya Medisa adına tamamen veya kısmen otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmekte olan tüm gerçek kişilere yönelik olarak gerçekleşecek kişisel veri işleme, saklama ve imha faaliyetlerini düzenlemek maksadıyla hazırlanmış olup Medisa adına kişisel veri işleme faaliyetinde bulunan herkes bakımından uygulanmaktadır.


Görevleri kapsamında Kişisel Veri işleyen tüm Çalışanların uyması beklenen ve Şirketimiz iç işleyişinde Kişisel Veriler’in korunmasına ilişkin olarak alınan tüm önlemler ve sürece ilişkin ayrıntılar Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü kapsamında ele alınmıştır. Açıkça belirtmek gerekir ki, çalışanların/müşterilerin kişisel verilerinin işlenmesi kapsamında ve veri işleme süreçlerinde çalışanlar tarafından uyulacak kurallara Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü’nde ayrıntılı olarak yer verilmiş olup ilgili Prosedür tüm çalışanların erişimine sunulmaktadır.

3.Tanımlar

3.Tanımlar

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza


Çalışan: Bir iş Sözleşmesine dayanarak Medisa’da istihdam edilen kişiler.


Çalışan adayı: Medisa’ya iş başvurusunda bulunarak veya herhangi bir yolla özgeçmişini ve ilgili bilgilerini Medisa’ya erişilebilir kılan gerçek kişiler.


Genel Nitelikli Kişisel Veriler: Özel Nitelikli Kişisel Veriler tanımının kapsamı dışında kalan tüm kişiler veriler.


Kişisel Veri: İsim, adres, telefon numarası, e-posta adresi veya benzeri kimlik bilgileri gibi Veri Süjesiyle ilgili her türlü bilgi anlamına gelir.


Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.


Müşteriler/ Müşteri Adayları: Herhangi bir sözleşmesel ilişki olup olmadığına bakılmaksızın Medisa tarafından yürütülen faaliyetler kapsamında iş ilişkileri dolayısıyla kişisel verileri elde edilen gerçek kişiler.


Özel Nitelikli Kişisel Veriler: Bir kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.


Üçüncü Kişiler: Politika’da tanımlanmamış olmasına rağmen işbu Politika çerçevesinde kişisel verileri işlenen tedarikçi, mağdur, aile bireyleri vb. dâhil fakat bunlarla sınırlı olmamak üzere diğer gerçek kişiler.


Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi.


Veri Süjesi ya da İlgili Kişi: Verinin ait olduğu, kimliği belirlenmiş veya belirlenebilir bir gerçek kişi.


Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.


Veri Yönetişimi: Veriyi, kurum içinde uçtan uca yönetmeyi sağlayan bir yöntemler bütünüdür. Veri Yönetişimi, politikalar, süreçler, standartlar, teknolojiler ve kişileri işin içine dahil ederek doğru, tutarlı ve zamanında karar verilmesini hedefler.


Ziyaretçiler: Medisa’nın fiziksel tesislerine çeşitli amaçlarla girmiş olan veya internet sitelerini ziyaret eden gerçek kişiler.

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza


Çalışan: Bir iş Sözleşmesine dayanarak Medisa’da istihdam edilen kişiler.


Çalışan adayı: Medisa’ya iş başvurusunda bulunarak veya herhangi bir yolla özgeçmişini ve ilgili bilgilerini Medisa’ya erişilebilir kılan gerçek kişiler.


Genel Nitelikli Kişisel Veriler: Özel Nitelikli Kişisel Veriler tanımının kapsamı dışında kalan tüm kişiler veriler.


Kişisel Veri: İsim, adres, telefon numarası, e-posta adresi veya benzeri kimlik bilgileri gibi Veri Süjesiyle ilgili her türlü bilgi anlamına gelir.


Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.


Müşteriler/ Müşteri Adayları: Herhangi bir sözleşmesel ilişki olup olmadığına bakılmaksızın Medisa tarafından yürütülen faaliyetler kapsamında iş ilişkileri dolayısıyla kişisel verileri elde edilen gerçek kişiler.


Özel Nitelikli Kişisel Veriler: Bir kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.


Üçüncü Kişiler: Politika’da tanımlanmamış olmasına rağmen işbu Politika çerçevesinde kişisel verileri işlenen tedarikçi, mağdur, aile bireyleri vb. dâhil fakat bunlarla sınırlı olmamak üzere diğer gerçek kişiler.


Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi.


Veri Süjesi ya da İlgili Kişi: Verinin ait olduğu, kimliği belirlenmiş veya belirlenebilir bir gerçek kişi.


Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.


Veri Yönetişimi: Veriyi, kurum içinde uçtan uca yönetmeyi sağlayan bir yöntemler bütünüdür. Veri Yönetişimi, politikalar, süreçler, standartlar, teknolojiler ve kişileri işin içine dahil ederek doğru, tutarlı ve zamanında karar verilmesini hedefler.


Ziyaretçiler: Medisa’nın fiziksel tesislerine çeşitli amaçlarla girmiş olan veya internet sitelerini ziyaret eden gerçek kişiler.

4.Medisa Kişisel Veri Saklama ve İşleme Faaliyetleri

4.Medisa Kişisel Veri Saklama ve İşleme Faaliyetleri

İlgili kişilere ilişkin Kişisel Veriler, işbu Politika, Kişisel Verilerin Korunması Aydınlatma Metni ve Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü’nde öngörülmüş usullerle toplamakta, işlemekte, saklamakta ve imha etmektedir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

İlgili kişilere ilişkin Kişisel Veriler, işbu Politika, Kişisel Verilerin Korunması Aydınlatma Metni ve Medisa Kişisel Verilerin Korunması ve İşlenmesi Prosedürü’nde öngörülmüş usullerle toplamakta, işlemekte, saklamakta ve imha etmektedir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

4.1 Saklamaya İlişkin Açıklamalar
4.1 Saklamaya İlişkin Açıklamalar

KVKK’nın 3. (üçüncü) maddesinde “kişisel verilerin işlenmesi” kavramı tanımlanmış 4. (dördüncü) maddesinde işlenen kişisel verinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi” gerektiği belirtilmiş, 5 (beş) ve 6. (altıncı) maddelerde ise “kişisel verilerin işleme şartları” sayılmıştır. Buna göre, kişisel veriler, Medisa’nın iş faaliyetleri çerçevesinde ilgili mevzuatta öngörülen veya işleme amaçlarına uygun ve işbu Politika’nın 4.9 maddesinde belirtilmiş olan sürelerde saklanır.

KVKK’nın 3. (üçüncü) maddesinde “kişisel verilerin işlenmesi” kavramı tanımlanmış 4. (dördüncü) maddesinde işlenen kişisel verinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi” gerektiği belirtilmiş, 5 (beş) ve 6. (altıncı) maddelerde ise “kişisel verilerin işleme şartları” sayılmıştır. Buna göre, kişisel veriler, Medisa’nın iş faaliyetleri çerçevesinde ilgili mevzuatta öngörülen veya işleme amaçlarına uygun ve işbu Politika’nın 4.9 maddesinde belirtilmiş olan sürelerde saklanır.

4.1.1 Saklamayı Gerektiren Hukuki Sebepler
4.1.1 Saklamayı Gerektiren Hukuki Sebepler

Medisa, iş faaliyetleri çerçevesinde işlenen kişisel verileri ilgili mevzuatta öngörülen sürelere uygun olarak muhafaza eder. Bu kapsamda kişisel veriler;

  • 6098 Sayılı Türk Borçlar Kanunu

  • 5510 Sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu

  • 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun

  • 6361 Sayılı İş Sağlığı ve Güvenliği Kanunu

  • 6102 Sayılı Ticaret Kanunu

  • 4857 Sayılı İş Kanunu

  • 6502 Sayılı Tüketicinin Korunması Hakkında Kanun

  • 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun


    Bu kanunlar uyarınca, yürürlükte olan ikincil düzenlemeler ve bunlarla sınırlı olmamak üzere Medisa’nın uyması gereken mevzuat ve idari düzenlemeler uyarınca öngörülen saklama süreleri boyunca kişisel veriler saklanmakta ve işlenmektedir.

Medisa, iş faaliyetleri çerçevesinde işlenen kişisel verileri ilgili mevzuatta öngörülen sürelere uygun olarak muhafaza eder. Bu kapsamda kişisel veriler;

  • 6098 Sayılı Türk Borçlar Kanunu

  • 5510 Sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu

  • 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun

  • 6361 Sayılı İş Sağlığı ve Güvenliği Kanunu

  • 6102 Sayılı Ticaret Kanunu

  • 4857 Sayılı İş Kanunu

  • 6502 Sayılı Tüketicinin Korunması Hakkında Kanun

  • 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun


    Bu kanunlar uyarınca, yürürlükte olan ikincil düzenlemeler ve bunlarla sınırlı olmamak üzere Medisa’nın uyması gereken mevzuat ve idari düzenlemeler uyarınca öngörülen saklama süreleri boyunca kişisel veriler saklanmakta ve işlenmektedir.

4.1.2 Saklamayı Gerektiren Hukuki Sebepler
4.1.2 Saklamayı Gerektiren Hukuki Sebepler

Kişisel veriler aşağıda sıralanmış amaçlarla saklanmaktadır:

  • Kurum güvenliğini sağlamak,

  • İstatiksel çalışmalar yapabilmek,

  • Pazarlama, reklam ve kampanya süreçlerinin yürütülmesi,

  • Satış ve pazarlama süreçlerinin yürütülmesi,

  • İnsan kaynakları süreçlerinin yürütülmesi,

  • İmzalanan sigorta sözleşmeleri kapsamında iş ve işlemlerin ifası kapsamında destek hizmet sağlayıcılarına ilişkin süreçlerin yürütülmesi, sigorta tazminatlarının hesaplanması, sigortalılara ödemelerin yapılması,

  • Prim ödemelerinin tahsilatına ilişkin işlemlerin yapılması,

  • Tedarikçilerle ilgili süreçlerin yürütülmesi,

  • Poliçe teklifi oluşturulması, poliçelerin düzenlenmesi, poliçe yenileme tekliflerinin sunulması ve poliçe iptal işlemlerinin gerçekleştirilmesi,

  • Medisa ile iş ilişkisi bulunan gerçek/tüzel kişilerle irtibat sağlanması,

  • Finans ve muhasebe işlerinin yürütülmesi,

  • Yasal raporlama süreçlerinin yürütülmesi,

  • Çağrı merkezleri süreçlerinin yürütülmesi,

  • İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü,

  • Sigorta sözleşmesinin kurulması ve hasar durumunda gerekli hizmetlerin verilmesi için iş ortaklığı yapılmakta olunan kişilerle Medisa arasındaki sözleşmelerin kurulması ve hizmetlerin karşılıklı olarak ifa edilmesi,

  • Asistans hizmetlerinin verilmesi,

  • İletişim faaliyetlerinin yürütülmesi,

  • Muallak hasar dosyalarının takibi,

  • Hasar ve provizyon süreçlerinin takibi,

  • Sigorta hasar taleplerinin hesaplanması, sigortalıya ödenmesi,

  • Reasürans ve koasürans süreçlerinin yürütülmesi,

  • Ziyaretçi kayıtlarının oluşturulması ve takibi,

  • Müşteri talep ve şikâyetlerinin değerlendirilmesi,

  • Müşteri memnuniyet anket ve görüşmelerinin yapılması,

  • Hukuki iş ve işlemlerin yürütülmesi ve takibi,

  • Yetkili kurum ve kuruluşlara ilgili mevzuattan doğan yükümlülüklere istinaden bilgi verilmesi,

  • Faaliyetlerin Medisa prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin sağlanması için gerekli iç denetim faaliyetlerinin planlanması ve yürütülmesi,

  • Şirketler hukukundan doğan süreçlerin gerçekleştirilmesi,

  • Sigortacılık Mevzuatı uyarınca risk değerlendirme süreçlerinin yönetilmesi.

Kişisel veriler aşağıda sıralanmış amaçlarla saklanmaktadır:

  • Kurum güvenliğini sağlamak,

  • İstatiksel çalışmalar yapabilmek,

  • Pazarlama, reklam ve kampanya süreçlerinin yürütülmesi,

  • Satış ve pazarlama süreçlerinin yürütülmesi,

  • İnsan kaynakları süreçlerinin yürütülmesi,

  • İmzalanan sigorta sözleşmeleri kapsamında iş ve işlemlerin ifası kapsamında destek hizmet sağlayıcılarına ilişkin süreçlerin yürütülmesi, sigorta tazminatlarının hesaplanması, sigortalılara ödemelerin yapılması,

  • Prim ödemelerinin tahsilatına ilişkin işlemlerin yapılması,

  • Tedarikçilerle ilgili süreçlerin yürütülmesi,

  • Poliçe teklifi oluşturulması, poliçelerin düzenlenmesi, poliçe yenileme tekliflerinin sunulması ve poliçe iptal işlemlerinin gerçekleştirilmesi,

  • Medisa ile iş ilişkisi bulunan gerçek/tüzel kişilerle irtibat sağlanması,

  • Finans ve muhasebe işlerinin yürütülmesi,

  • Yasal raporlama süreçlerinin yürütülmesi,

  • Çağrı merkezleri süreçlerinin yürütülmesi,

  • İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü,

  • Sigorta sözleşmesinin kurulması ve hasar durumunda gerekli hizmetlerin verilmesi için iş ortaklığı yapılmakta olunan kişilerle Medisa arasındaki sözleşmelerin kurulması ve hizmetlerin karşılıklı olarak ifa edilmesi,

  • Asistans hizmetlerinin verilmesi,

  • İletişim faaliyetlerinin yürütülmesi,

  • Muallak hasar dosyalarının takibi,

  • Hasar ve provizyon süreçlerinin takibi,

  • Sigorta hasar taleplerinin hesaplanması, sigortalıya ödenmesi,

  • Reasürans ve koasürans süreçlerinin yürütülmesi,

  • Ziyaretçi kayıtlarının oluşturulması ve takibi,

  • Müşteri talep ve şikâyetlerinin değerlendirilmesi,

  • Müşteri memnuniyet anket ve görüşmelerinin yapılması,

  • Hukuki iş ve işlemlerin yürütülmesi ve takibi,

  • Yetkili kurum ve kuruluşlara ilgili mevzuattan doğan yükümlülüklere istinaden bilgi verilmesi,

  • Faaliyetlerin Medisa prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin sağlanması için gerekli iç denetim faaliyetlerinin planlanması ve yürütülmesi,

  • Şirketler hukukundan doğan süreçlerin gerçekleştirilmesi,

  • Sigortacılık Mevzuatı uyarınca risk değerlendirme süreçlerinin yönetilmesi.

4.2 İmhayı Gerektiren Sebepler
4.2 İmhayı Gerektiren Sebepler

Kişisel veriler;

  • İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

  • İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

  • Kanunun 11’inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Medisa tarafından kabul edilmesi,

  • Medisa’nın, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kişisel Verileri Koruma Kurulu’na şikâyette bulunması ve bu talebin Kişisel Verileri Koruma Kurulu tarafından uygun bulunması,

  • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, durumlarında, Medisa tarafından ilgili kişinin talebi üzerine ya da re’sen silinir, yok edilir veya anonim hale getirilir.

Kişisel veriler;

  • İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

  • İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

  • Kanunun 11’inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Medisa tarafından kabul edilmesi,

  • Medisa’nın, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kişisel Verileri Koruma Kurulu’na şikâyette bulunması ve bu talebin Kişisel Verileri Koruma Kurulu tarafından uygun bulunması,

  • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, durumlarında, Medisa tarafından ilgili kişinin talebi üzerine ya da re’sen silinir, yok edilir veya anonim hale getirilir.

4.3 Kayıt Ortamları
4.3 Kayıt Ortamları

Kişisel veriler Medisa tarafından Tablo 1’de listelenen ortamlarda hukuka uygun olarak ve güvenli bir şekilde saklanır.

Kişisel veriler Medisa tarafından Tablo 1’de listelenen ortamlarda hukuka uygun olarak ve güvenli bir şekilde saklanır.

Tablo 1: Kişisel veri saklama ortamları

Tablo 1: Kişisel veri saklama ortamları

Elektronik ortamlar

Elektronik ortamlar

Elektronik olmayan ortamlar

Elektronik olmayan ortamlar

a) Sigortacılık uygulamaları yazılımı

a) OLTP system

b) DWH

c) CRM

d) Veri Bilimi uygulamaları

e) Big Data

b) Veri depolama alanları

a) Veritabanı

b) Doküman yönetim sistemi

c) Mail ortamı

d) File Server- Ortak folder

e) Bulut Ortamı

a) Sigortacılık uygulamaları yazılımı

a) OLTP system

b) DWH

c) CRM

d) Veri Bilimi uygulamaları

e) Big Data

b) Veri depolama alanları

a) Veritabanı

b) Doküman yönetim sistemi

c) Mail ortamı

d) File Server- Ortak folder

e) Bulut Ortamı

(1) Veri depolama alanları

Manuel veri kayıt ortamları

a) Formlar,

b) Belgeler

(1) Veri depolama alanları

Manuel veri kayıt ortamları

a) Formlar,

b) Belgeler

4.4 Kişisel Veri İşleme Koşulları
4.4 Kişisel Veri İşleme Koşulları

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

d) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

e) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

f) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

g) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.


Ancak aşağıda sayılan istisnalardan birinin söz konusu olması halinde Özel Nitelikli Kişisel Veriler için Veri Süjesinden açık rıza alma şartı uygulanmamalıdır:

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması.

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması.

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

d) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

e) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

f) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

g) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.


Ancak aşağıda sayılan istisnalardan birinin söz konusu olması halinde Özel Nitelikli Kişisel Veriler için Veri Süjesinden açık rıza alma şartı uygulanmamalıdır:

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması.

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması.

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

4.4.1 Veri Sorumlusu Olarak Medisa’nın Aydınlatma Yükümlülüğü
4.4.1 Veri Sorumlusu Olarak Medisa’nın Aydınlatma Yükümlülüğü

Veri Sorumlusu olarak işbu Politika’nın 4.4 maddesinde anıldığı şekilde Kişisel Verilerin işlenmesi için her zaman Veri Süjesinden açık rıza alınması şartı bulunmasa dahi, Medisa’nın her zaman Veri Süjelerine aşağıdaki konularda bilgi verme yükümlülüğü bulunmaktadır:

  • Veri Sorumlusunun ve varsa temsilcisinin kimliği,

  • Kişisel verilerin hangi amaçla işleneceği,

  • İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

  • Kişisel veri toplamanın yöntemi ve hukuki sebebi,

  • İşbu Politika’nın 4.6 maddesinde sayılmış Veri Süjesinin diğer hakları.


    Aydınlatma yükümlülüğü Ek-1 Kişisel Verilerin Korunması Aydınlatma Metni’ni kullanmak suretiyle yapılabilir.


    Medisa zaman zaman iş süreçlerinin yürütülmesi, iletişim sağlanması amaçlarıyla tedarikçilerinin yetkililerinin kişisel verilerine ihtiyaç duyabilir. Bu durumda sözü edilen tedarikçi çalışanlarına karşı Medisa’nın aydınlatma yükümlülüğünün yerine getirilmesini teminen ilgili Medisa yetkililerinin Ek-2 Tedarikçilere Aydınlatma Metni gönderilmesi mümkündür.

Veri Sorumlusu olarak işbu Politika’nın 4.4 maddesinde anıldığı şekilde Kişisel Verilerin işlenmesi için her zaman Veri Süjesinden açık rıza alınması şartı bulunmasa dahi, Medisa’nın her zaman Veri Süjelerine aşağıdaki konularda bilgi verme yükümlülüğü bulunmaktadır:

  • Veri Sorumlusunun ve varsa temsilcisinin kimliği,

  • Kişisel verilerin hangi amaçla işleneceği,

  • İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

  • Kişisel veri toplamanın yöntemi ve hukuki sebebi,

  • İşbu Politika’nın 4.6 maddesinde sayılmış Veri Süjesinin diğer hakları.


    Aydınlatma yükümlülüğü Ek-1 Kişisel Verilerin Korunması Aydınlatma Metni’ni kullanmak suretiyle yapılabilir.


    Medisa zaman zaman iş süreçlerinin yürütülmesi, iletişim sağlanması amaçlarıyla tedarikçilerinin yetkililerinin kişisel verilerine ihtiyaç duyabilir. Bu durumda sözü edilen tedarikçi çalışanlarına karşı Medisa’nın aydınlatma yükümlülüğünün yerine getirilmesini teminen ilgili Medisa yetkililerinin Ek-2 Tedarikçilere Aydınlatma Metni gönderilmesi mümkündür.

4.4.2 Özel Nitelikli Kişisel Verilerin işlenmesinde Uyulacak Kurallar
4.4.2 Özel Nitelikli Kişisel Verilerin işlenmesinde Uyulacak Kurallar

İş kanunları ve mevzuatından doğan belirli hakların kullanılması veya belirli yükümlülüklerin yerine getirilmesi amaçlarıyla gerekli olmadıkça ve Veri Koruma Mevzuatı başta olmak üzere yürürlükteki sair mevzuat gereğince izin ve yetki verilen durumlar haricinde, Özel Nitelikli Kişisel Veriler işlenmeden önce bu verileri işlemek için ilgili kişinin açık izin ve rızasını mutlaka ve daima almak gerekir. 4.4’de açık rızanın istisnaları gösterilmiştir.

İş kanunları ve mevzuatından doğan belirli hakların kullanılması veya belirli yükümlülüklerin yerine getirilmesi amaçlarıyla gerekli olmadıkça ve Veri Koruma Mevzuatı başta olmak üzere yürürlükteki sair mevzuat gereğince izin ve yetki verilen durumlar haricinde, Özel Nitelikli Kişisel Veriler işlenmeden önce bu verileri işlemek için ilgili kişinin açık izin ve rızasını mutlaka ve daima almak gerekir. 4.4’de açık rızanın istisnaları gösterilmiştir.

4.4.3 Kişisel Verilerin Transferi ve Devri Gerçekleştirirken Uyulması Gereken Kurallar
4.4.3 Kişisel Verilerin Transferi ve Devri Gerçekleştirirken Uyulması Gereken Kurallar

Kişisel veriler ancak 4.4 maddede sayılan istisnalardan birinin mevcut olması halinde ilgili kişinin açık rızası olmaksızın yurt içindeki üçüncü kişilere aktarılabilir. Kişisel Verilerin yurt dışına aktarılabilmesi için ise Veri Koruma Mevzuatı uyarınca öngörülen şartlar yerine getirilmelidir. Bu kapsamda:

a) Kişisel Veriler, Veri Koruma Mevzuatı’nın uyarınca belirlenen koşullar haricinde herhangi bir üçüncü kişiye transfer edilmeyecektir.

b) Kişisel Veriler Kişisel Verileri Koruma Kurulu tarafından belirlenecek ve ilan edilecek olan ”ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar”a KVKK’nun 5. ve 6. maddesinde yer alan şartlara uyularak transfer edilebilecektir.

c) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5. ve 6. maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, KVKK’da belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler

tarafından yurt dışına aktarılabilir.

d) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece KVKK’da hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir.

Kişisel veriler ancak 4.4 maddede sayılan istisnalardan birinin mevcut olması halinde ilgili kişinin açık rızası olmaksızın yurt içindeki üçüncü kişilere aktarılabilir. Kişisel Verilerin yurt dışına aktarılabilmesi için ise Veri Koruma Mevzuatı uyarınca öngörülen şartlar yerine getirilmelidir. Bu kapsamda:

a) Kişisel Veriler, Veri Koruma Mevzuatı’nın uyarınca belirlenen koşullar haricinde herhangi bir üçüncü kişiye transfer edilmeyecektir.

b) Kişisel Veriler Kişisel Verileri Koruma Kurulu tarafından belirlenecek ve ilan edilecek olan ”ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar”a KVKK’nun 5. ve 6. maddesinde yer alan şartlara uyularak transfer edilebilecektir.

c) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5. ve 6. maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, KVKK’da belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler

tarafından yurt dışına aktarılabilir.

d) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece KVKK’da hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir.

4.5 Teknik ve İdari Tedbirler
4.5 Teknik ve İdari Tedbirler

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kişisel Verilerin Korunması Kanunu’nu uyarınca ve Kişisel Verileri Koruma Kurulu tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde olmak üzere Medisa tarafından teknik ve idari tedbirler alınmaktadır.

4.5.1 Teknik Tedbirler
4.5.1 Teknik Tedbirler

Medisa tarafından işlenmekte olan kişisel veriler bakımından alınan teknik tedbirler aşağıda sayılmıştır:

  • Ağ güvenliği ve uygulama güvenliği sağlanmaktadır;Ağ bileşenleri arasında erişimlerin sınırlandırılması ve kurum sahipliği dışındaki cihazların ağa erişimlerinin sınırlandırılması, için güvenlik kontrolü uygulanmaktadır.

  • Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

  • Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakım kapsamındaki güvenlik önlemleri alınmaktadır; Bilgi teknolojileri sistemleri güvenlik standartlarına uygun olarak yapılandırılmakta, uygulanan güvenlik tedbirlerinin yeterli olup olmadığının değerlendirilmesi ve güncel güvenlik açıklarına karşı güvenlik sıkılaştırmaların yapılmaktadır.

  • Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

  • Erişim logları düzenli olarak tutulmaktadır; Uygunsuz erişimler veya erişim denemelerinin kayıt altına alınmakta, gerekli görüldüğü koşullarda raporlanmaktadır.

  • Gerektiğinde veri maskeleme önlemi uygulanmaktadır

  • Güncel antimalware uygulamaları kullanılmaktadır. Bu uygulamalar kapsamında davranış analizi yapılmaktadır. Bu önlemlere ek olarak IPS, WAF, spam gateway gibi güvenlik uygulamaları da ortamımızı korumaktadır.

  • Dış ağlardan gelebilecek izinsiz erişim tehditlerine karşı bilgi sistemlerinin korunması amacıyla çok katmanlı mimarı yaklaşımıyla Güvenlik duvarı, e-posta güvenlik ürünleri, IPS/WAF, DDOS gibi güvenlik çözümlerini içeren güvenlik tedbirleri alınmaktadır.

  • Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta iş gereksinimine göre minimum yetki prensibinde yetkiler düzenlenmektedir. Yapılan kullanıcı gözden geçirme çalışmaları ile yetkilerin kontrol ve takibi yapılmaktadır.

  • Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

  • Mevcut risk ve tehditler belirlenmiştir.

  • Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.

  • Saldırı tespit ve önleme sistemleri kullanılmaktadır.

  • Sızma testi, periyodik zafiyet taramaları ve yeni geliştirilen kodlar için statik kod analizi uygulanmaktadır..

  • Sızma testine ilave olarak periyodik zafiyet taramaları, kod analizleri gibi çalışmalar ve tespit edilen güvenlik açıklarının giderilmesi, raporlama-takibine yönelik çalışmalar

  • Siber güvenlik önlemleri alınmış olup uygulaması sürekli takip edilmektedir.

  • Veri aktarımlarında güvenli paylaşım yöntemleri ve protokollerinin kullanılmaktadır. (Örneğin; SFTP, HTTPS ve SSH gibi)

  • Kritik uygulama erişimleri ve internet üzerinden erişimlerde de çok faktörlü kimlik doğrulama uygulanmaktadır.sı

  • Farklı fiziksel ortamlardaki sunucular arasındaki veri aktarımı gerçekleştirilirken, sunucular arasında VPN kurularak veya SFTP yöntemiyle veri aktarımı yapılmaktadır.

  • Kişisel verilerin bulunduğu sistemlerde taşınabilir medya ve depolama cihazlarının kullanımı için erişim izninin sınırlandırılması yapılmaktadır fakat ihtiyaç doğrultusunda veri aktarımı gerekirse kişisel veriler şifreli olarak aktarılmaktadır.

  • Kişisel verilere erişen tüm çalışanları kapsayacak şekilde veri kaybı önleme yazılımları kullanılmaktadır.

  • Veri sınıfına göre teknik güvenlik çözümleri de dahil olmak üzere veri ihlalini önlemek amacıyla uygun güvenlik tedbirlerin uygulanmaktadır.

  • Cep telefonlarında konteynır yapısı uygulanmaktadır.

  • Mobil cihaz güvenliği için çeşitli uygulamalar kullanılmaktadır. Mobil cihazlardan kişisel verilere erişim olması durumunda mobil cihazlardan veri çıkışını engelleyen güvenlik kontrolleri uygulanmaktadır.

  • Bilgi güvenliği ve veri ihlali olaylarına etkili müdahale için olay yönetim planı oluşturulmuş ve çalışanların bilgisine açılmıştır.

  • Kişisel veri içeren cihazların kaybolması veya çalınması olasılığına karşı cihazların diskleri şifrelenmektedir.

Medisa tarafından işlenmekte olan kişisel veriler bakımından alınan teknik tedbirler aşağıda sayılmıştır:

  • Ağ güvenliği ve uygulama güvenliği sağlanmaktadır;Ağ bileşenleri arasında erişimlerin sınırlandırılması ve kurum sahipliği dışındaki cihazların ağa erişimlerinin sınırlandırılması, için güvenlik kontrolü uygulanmaktadır.

  • Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

  • Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakım kapsamındaki güvenlik önlemleri alınmaktadır; Bilgi teknolojileri sistemleri güvenlik standartlarına uygun olarak yapılandırılmakta, uygulanan güvenlik tedbirlerinin yeterli olup olmadığının değerlendirilmesi ve güncel güvenlik açıklarına karşı güvenlik sıkılaştırmaların yapılmaktadır.

  • Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

  • Erişim logları düzenli olarak tutulmaktadır; Uygunsuz erişimler veya erişim denemelerinin kayıt altına alınmakta, gerekli görüldüğü koşullarda raporlanmaktadır.

  • Gerektiğinde veri maskeleme önlemi uygulanmaktadır

  • Güncel antimalware uygulamaları kullanılmaktadır. Bu uygulamalar kapsamında davranış analizi yapılmaktadır. Bu önlemlere ek olarak IPS, WAF, spam gateway gibi güvenlik uygulamaları da ortamımızı korumaktadır.

  • Dış ağlardan gelebilecek izinsiz erişim tehditlerine karşı bilgi sistemlerinin korunması amacıyla çok katmanlı mimarı yaklaşımıyla Güvenlik duvarı, e-posta güvenlik ürünleri, IPS/WAF, DDOS gibi güvenlik çözümlerini içeren güvenlik tedbirleri alınmaktadır.

  • Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta iş gereksinimine göre minimum yetki prensibinde yetkiler düzenlenmektedir. Yapılan kullanıcı gözden geçirme çalışmaları ile yetkilerin kontrol ve takibi yapılmaktadır.

  • Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

  • Mevcut risk ve tehditler belirlenmiştir.

  • Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.

  • Saldırı tespit ve önleme sistemleri kullanılmaktadır.

  • Sızma testi, periyodik zafiyet taramaları ve yeni geliştirilen kodlar için statik kod analizi uygulanmaktadır..

  • Sızma testine ilave olarak periyodik zafiyet taramaları, kod analizleri gibi çalışmalar ve tespit edilen güvenlik açıklarının giderilmesi, raporlama-takibine yönelik çalışmalar

  • Siber güvenlik önlemleri alınmış olup uygulaması sürekli takip edilmektedir.

  • Veri aktarımlarında güvenli paylaşım yöntemleri ve protokollerinin kullanılmaktadır. (Örneğin; SFTP, HTTPS ve SSH gibi)

  • Kritik uygulama erişimleri ve internet üzerinden erişimlerde de çok faktörlü kimlik doğrulama uygulanmaktadır.sı

  • Farklı fiziksel ortamlardaki sunucular arasındaki veri aktarımı gerçekleştirilirken, sunucular arasında VPN kurularak veya SFTP yöntemiyle veri aktarımı yapılmaktadır.

  • Kişisel verilerin bulunduğu sistemlerde taşınabilir medya ve depolama cihazlarının kullanımı için erişim izninin sınırlandırılması yapılmaktadır fakat ihtiyaç doğrultusunda veri aktarımı gerekirse kişisel veriler şifreli olarak aktarılmaktadır.

  • Kişisel verilere erişen tüm çalışanları kapsayacak şekilde veri kaybı önleme yazılımları kullanılmaktadır.

  • Veri sınıfına göre teknik güvenlik çözümleri de dahil olmak üzere veri ihlalini önlemek amacıyla uygun güvenlik tedbirlerin uygulanmaktadır.

  • Cep telefonlarında konteynır yapısı uygulanmaktadır.

  • Mobil cihaz güvenliği için çeşitli uygulamalar kullanılmaktadır. Mobil cihazlardan kişisel verilere erişim olması durumunda mobil cihazlardan veri çıkışını engelleyen güvenlik kontrolleri uygulanmaktadır.

  • Bilgi güvenliği ve veri ihlali olaylarına etkili müdahale için olay yönetim planı oluşturulmuş ve çalışanların bilgisine açılmıştır.

  • Kişisel veri içeren cihazların kaybolması veya çalınması olasılığına karşı cihazların diskleri şifrelenmektedir.

4.5.2 İdari Tedbirler
4.5.2 İdari Tedbirler

Medisa tarafından işlenmekte olan kişisel verilere ilişkin olarak alınan idari tedbirler aşağıda sayılmıştır:

  • Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

  • Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

  • Çalışanlar için yetki matrisi oluşturulmuştur.

  • Çalışanlar için Bilgi güvenliği ve mobil cihaz güvenliği taahhütnameleri yapılmaktadır.

  • Çalışanlar, öğrendikleri Kişisel Verileri KVKK hükümlerine aykırı olarak başkasına açıklamayacağı ve işleme amacı dışında kullanamayacağı, yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda gizlilik taahhütnameleri yapılmaktadır.Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

  • İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

  • Medisa tarafından Kişisel Verilerin aktarılmasını gerektiren bir hizmet alınması durumunda, Kişisel Verilerin hukuka uygun olarak aktarıldığı üçüncü taraflar ile yapılan sözleşmelere; Kişisel Verilerin aktarıldığı tarafların, Kişisel Verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlanacağına ilişkin hükümlere yer verilir. Hizmet alınan tarafça alınan idari ve teknik güvenlik önlemleri Medisa tarafından değerlendirilir.

  • Kâğıt yolu ile aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

  • Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

  • Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

  • Kişisel veri güvenliğinin takibi yapılmaktadır.

  • Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

  • Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

  • Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

  • Kişisel veriler mümkün olduğunca azaltılmaktadır.

  • Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

  • Kurum içi periyodik ve / veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

  • Mevcut risk ve tehditler belirlenmiştir.

  • Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

  • Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.

  • Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda farkındalığı sağlanmaktadır.

Medisa tarafından işlenmekte olan kişisel verilere ilişkin olarak alınan idari tedbirler aşağıda sayılmıştır:

  • Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

  • Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

  • Çalışanlar için yetki matrisi oluşturulmuştur.

  • Çalışanlar için Bilgi güvenliği ve mobil cihaz güvenliği taahhütnameleri yapılmaktadır.

  • Çalışanlar, öğrendikleri Kişisel Verileri KVKK hükümlerine aykırı olarak başkasına açıklamayacağı ve işleme amacı dışında kullanamayacağı, yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda gizlilik taahhütnameleri yapılmaktadır.Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

  • İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

  • Medisa tarafından Kişisel Verilerin aktarılmasını gerektiren bir hizmet alınması durumunda, Kişisel Verilerin hukuka uygun olarak aktarıldığı üçüncü taraflar ile yapılan sözleşmelere; Kişisel Verilerin aktarıldığı tarafların, Kişisel Verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlanacağına ilişkin hükümlere yer verilir. Hizmet alınan tarafça alınan idari ve teknik güvenlik önlemleri Medisa tarafından değerlendirilir.

  • Kâğıt yolu ile aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

  • Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

  • Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

  • Kişisel veri güvenliğinin takibi yapılmaktadır.

  • Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

  • Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

  • Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

  • Kişisel veriler mümkün olduğunca azaltılmaktadır.

  • Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

  • Kurum içi periyodik ve / veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

  • Mevcut risk ve tehditler belirlenmiştir.

  • Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

  • Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.

  • Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda farkındalığı sağlanmaktadır.

4.6 Veri Süjelerinin Hakları
4.6 Veri Süjelerinin Hakları

Medisa tarafından kişisel verileri işlenmekte olan veri süjeleri Medisa’ya başvurarak kendisi ile ilgili;

a) Kişisel veri işlenip işlenmediğini öğrenme,

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

d) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

e) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

f) Veri Koruma Mevzuatı’nda öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

g) (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

i) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.


Kişisel Verilerin doğrudan, pazarlama çabalarının bir parçası olarak toplandığı durumlarda, Veri Süjesi, kendisine ait Kişisel Verilerin üçüncü şahıslara verilmesine veya pazarlama amaçlarıyla kullanılmasına itiraz etme hakkına ya da Kişisel Verileri üçüncü şahıslara verilmeden veya pazarlama amaçlarıyla kullanılmadan önce durumun kendisine bildirilmesini talep etme hakkına sahiptir.


İlgili kişilerin bu başvurularındaki taleplerinin yerine getirilip getirilemeyeceğine ilişkin değerlendirme yapılabilmesi için başvurunun, Başvuru Yanıtlama Prosedürü içinde anıldığı şekilde gerçekleşmesi gerekmektedir.

Medisa tarafından kişisel verileri işlenmekte olan veri süjeleri Medisa’ya başvurarak kendisi ile ilgili;

a) Kişisel veri işlenip işlenmediğini öğrenme,

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

d) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

e) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

f) Veri Koruma Mevzuatı’nda öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

g) (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

i) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.


Kişisel Verilerin doğrudan, pazarlama çabalarının bir parçası olarak toplandığı durumlarda, Veri Süjesi, kendisine ait Kişisel Verilerin üçüncü şahıslara verilmesine veya pazarlama amaçlarıyla kullanılmasına itiraz etme hakkına ya da Kişisel Verileri üçüncü şahıslara verilmeden veya pazarlama amaçlarıyla kullanılmadan önce durumun kendisine bildirilmesini talep etme hakkına sahiptir.


İlgili kişilerin bu başvurularındaki taleplerinin yerine getirilip getirilemeyeceğine ilişkin değerlendirme yapılabilmesi için başvurunun, Başvuru Yanıtlama Prosedürü içinde anıldığı şekilde gerçekleşmesi gerekmektedir.

4.7 Güvenlik Koşulları
4.7 Güvenlik Koşulları

Medisa Kişisel Verileri kazayla veya yasadışı bir şekilde imha olma, kaybolma, tahrif edilme, yetkisiz ifşa veya yetkisiz erişim risklerine (Güvenlik Olayı) karşı koruma amacıyla aşağıdaki de dahil tüm makul güvenlik önlemlerini alır;


  • Kişisel Verilere erişimi, sadece görevlerinin ifası esnasında bu bilgilere erişmesi zorunlu olan kişilerle sınırlı tutmak.

  • Uygunsa, şifre korumalı elektronik dosyaları kullanmak.

  • Kişisel Verileri içeren dosyaları düzenli saklamak ve bu dosyalara fiziksel erişimi gerektiği gibi ve uygun şekilde kısıtlamak.

  • Çalışanın kişisel Verilere yetkisiz erişim veya Kişisel Verilerin usulsüz kullanımı gibi olay ve durumlardan haberdar olduğunda bunları derhal âmirine ve bilgi güvenliğine bildirmek.

  • Kişisel Verileri ilk belirtilen amacı dışında bir amaçla kullanmadan önce ilgili Veri Süjesinden Veri Koruma Mevzuatı uyarınca açık rıza almak ve işleme konusuyla ilgili aydınlatma yükümlülüğünü yerine getirmek.


Kişisel Verileri korumak için sağlanan güvenlik koşulları ve alınan teknik tedbirler periyodik olarak Kişisel Veriler Komitesi tarafından incelenmekte ve değerlendirilmektedir. Böylelikle kişisel verilerin korunması için ilave güvenlik tedbirlerine veya prosedürlerine ihtiyaç olup olmadığı tespit edilir.

Medisa Kişisel Verileri kazayla veya yasadışı bir şekilde imha olma, kaybolma, tahrif edilme, yetkisiz ifşa veya yetkisiz erişim risklerine (Güvenlik Olayı) karşı koruma amacıyla aşağıdaki de dahil tüm makul güvenlik önlemlerini alır;


  • Kişisel Verilere erişimi, sadece görevlerinin ifası esnasında bu bilgilere erişmesi zorunlu olan kişilerle sınırlı tutmak.

  • Uygunsa, şifre korumalı elektronik dosyaları kullanmak.

  • Kişisel Verileri içeren dosyaları düzenli saklamak ve bu dosyalara fiziksel erişimi gerektiği gibi ve uygun şekilde kısıtlamak.

  • Çalışanın kişisel Verilere yetkisiz erişim veya Kişisel Verilerin usulsüz kullanımı gibi olay ve durumlardan haberdar olduğunda bunları derhal âmirine ve bilgi güvenliğine bildirmek.

  • Kişisel Verileri ilk belirtilen amacı dışında bir amaçla kullanmadan önce ilgili Veri Süjesinden Veri Koruma Mevzuatı uyarınca açık rıza almak ve işleme konusuyla ilgili aydınlatma yükümlülüğünü yerine getirmek.


Kişisel Verileri korumak için sağlanan güvenlik koşulları ve alınan teknik tedbirler periyodik olarak Kişisel Veriler Komitesi tarafından incelenmekte ve değerlendirilmektedir. Böylelikle kişisel verilerin korunması için ilave güvenlik tedbirlerine veya prosedürlerine ihtiyaç olup olmadığı tespit edilir.

4.8 Kişisel Verileri İmha Teknikleri
4.8 Kişisel Verileri İmha Teknikleri

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Medisa tarafından re’sen (periyodik imha süreleri) veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.


İlgili kişinin başvurusu üzerine yapılan değerlendirme neticesinde, kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa ilgili kişinin talebi en geç otuz gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir. Bu sürece ilişkin Başvuru Yanıtlama Prosedürü’nde detaylı şekilde düzenlenmiştir.


Kişisel Veri işleme şartları ortadan kalktığı takdirde bu husus tüm iş bölümleri ve çalışanlara bildirilecek olup, bu bildirimden itibaren veriler mevzuatta belirtilen hak ve yükümlülüklerin yerine getirilmesi amacı dışında işlenmeyecektir.


Kişisel Verilerin silinmesi, yok edilmesi ve anonimleştirilmesi için teknik alt yapılar ve bunlara ilişkin denetim mekanizmaları oluşturulmaktadır.


Silinen, yok edilen ve anonim hale getirilen verilere ilişkin tüm işlemler kayıt altına alınır ve bu kayıtlar diğer hukuki yükümlülüklerden ari en az 3 yıl süre ile saklanır.

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Medisa tarafından re’sen (periyodik imha süreleri) veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.


İlgili kişinin başvurusu üzerine yapılan değerlendirme neticesinde, kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa ilgili kişinin talebi en geç otuz gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir. Bu sürece ilişkin Başvuru Yanıtlama Prosedürü’nde detaylı şekilde düzenlenmiştir.


Kişisel Veri işleme şartları ortadan kalktığı takdirde bu husus tüm iş bölümleri ve çalışanlara bildirilecek olup, bu bildirimden itibaren veriler mevzuatta belirtilen hak ve yükümlülüklerin yerine getirilmesi amacı dışında işlenmeyecektir.


Kişisel Verilerin silinmesi, yok edilmesi ve anonimleştirilmesi için teknik alt yapılar ve bunlara ilişkin denetim mekanizmaları oluşturulmaktadır.


Silinen, yok edilen ve anonim hale getirilen verilere ilişkin tüm işlemler kayıt altına alınır ve bu kayıtlar diğer hukuki yükümlülüklerden ari en az 3 yıl süre ile saklanır.

4.8.1 Kişisel Verilerin Silinmesi
4.8.1 Kişisel Verilerin Silinmesi

Kişisel veriler Tablo-1’de verilen yöntemlerle silinir.


Tablo 1: Kişisel Verilerin Silinmesi

Kişisel veriler Tablo-1’de verilen yöntemlerle silinir.


Tablo 1: Kişisel Verilerin Silinmesi

Veri Kayıt Ortamı

Açıklama

Sistemlerde Yer Alan Kişisel Veriler

Sistemlerde Yer Alan Kişisel Veriler

Sistemlerde yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Sistemlerde yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik Ortamda Yer Alan Kişisel Veriler

Elektronik Ortamda Yer Alan Kişisel Veriler

Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel Ortamda Yer Alan Kişisel Veriler

Fiziksel Ortamda Yer Alan Kişisel Veriler

Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için ilgili kullanıcılar hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için ilgili kullanıcılar hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

Taşınabilir Medyada Bulunan Kişisel Veriler

Taşınabilir Medyada Bulunan Kişisel Veriler

Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

4.8.2 Kişisel Verilerin Yok Edilmesi
4.8.2 Kişisel Verilerin Yok Edilmesi

Tablo 2: Kişisel Verilerin Yok edilmesi

Tablo 2: Kişisel Verilerin Yok edilmesi

Veri Kayıt Ortamı

Açıklama

Fiziksel Ortamda Yer Alan Kişisel Veriler

Fiziksel Ortamda Yer Alan Kişisel Veriler

Kağıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

Kağıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

Optik / Manyetik Medyada Yer Alan Kişisel Veriler

Optik / Manyetik Medyada Yer Alan Kişisel Veriler

Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

4.8.3 Kişisel Verilerin Anonim Hale Getirilmesi
4.8.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.


Teknik tedbirler kapsamında alınan teknolojik araç ile sistematik şekilde ve belirli kural setleri dahilinde anonim hale getirme yapılmaktadır.

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.


Teknik tedbirler kapsamında alınan teknolojik araç ile sistematik şekilde ve belirli kural setleri dahilinde anonim hale getirme yapılmaktadır.

4.9 Veri Türlerine Göre Saklama ve İmha Süreleri
4.9 Veri Türlerine Göre Saklama ve İmha Süreleri

Aşağıdaki tabloda belirtilen verilerin ilgili muhafaza süreleri boyunca muhafaza edilmesinden, Kişisel Veri Komitesi sorumludur. Kişisel Veri Komitesi’nin takibinden sorumlu olduğu Medisa periyodik imha süresi 6 ay olarak belirlenmiştir. Kişisel Veri Komitesi bu sürelere uygun olarak imhaların gerçekleştirilmesinden ve muhafaza süresi dolan kişisel verilerin imhasına ilişkin gerekli hatırlatmaları yapmak bakımından görevli ve yetkilidir.


Tablo 3: Kişisel veri saklama ve imha süreleri

Aşağıdaki tabloda belirtilen verilerin ilgili muhafaza süreleri boyunca muhafaza edilmesinden, Kişisel Veri Komitesi sorumludur. Kişisel Veri Komitesi’nin takibinden sorumlu olduğu Medisa periyodik imha süresi 6 ay olarak belirlenmiştir. Kişisel Veri Komitesi bu sürelere uygun olarak imhaların gerçekleştirilmesinden ve muhafaza süresi dolan kişisel verilerin imhasına ilişkin gerekli hatırlatmaları yapmak bakımından görevli ve yetkilidir.


Tablo 3: Kişisel veri saklama ve imha süreleri

Kişi Tipi

Muhafaza Süresi

İmha Süresi

Müşteri Kayıtları 

Müşteri Kayıtları 

Sözleşmesel ilişkinin sona ermesini takip eden 10 yıl boyunca  

Sözleşmesel ilişkinin sona ermesini takip eden 10 yıl boyunca  

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Çalışanlara Ait Özlük ve Adli Sicil Bilgileri 

Çalışanlara Ait Özlük ve Adli Sicil Bilgileri 

İşten ayrılmalarını takip eden 15 yıl boyunca 

İşten ayrılmalarını takip eden 15 yıl boyunca 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Çalışanlara Ait Diğer Kayıtlar

Çalışanlara Ait Diğer Kayıtlar

İşten ayrılmalarını takip eden 15

yıl boyunca

İşten ayrılmalarını takip eden 15

yıl boyunca

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Çalışan Adaylarına İlişkin Kayıtlar

Çalışan Adaylarına İlişkin Kayıtlar

Başvuruyu takip eden 1 yıl

boyunca

Başvuruyu takip eden 1 yıl

boyunca

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

İş Ortaklarına ve Çalışanlarına İlişkin Kayıtlar

İş Ortaklarına ve Çalışanlarına İlişkin Kayıtlar

İş ilişkisinin sona ermesini takip

eden 10 yıl boyunca

İş ilişkisinin sona ermesini takip

eden 10 yıl boyunca

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Ziyaretçi

Ziyaretçi

6 ay

6 ay

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Kimlik

Kimlik

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

İletişim

İletişim

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Özlük

Özlük

15 yıl

15 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Hukuki İşlem

Hukuki İşlem

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Müşteri İşlem

Müşteri İşlem

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Fiziksel Mekan Güvenliği

Fiziksel Mekan Güvenliği

6 ay

6 ay

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Lokasyon

Lokasyon

2 yıl

2 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

İşlem Güvenliği

İşlem Güvenliği

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Finans

Finans

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Mesleki Deneyim

Mesleki Deneyim

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Pazarlama

Pazarlama

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Görsel ve İşitsel Kayıtlar

Görsel ve İşitsel Kayıtlar

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Dernek Üyeliği

Dernek Üyeliği

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Sağlık Bilgileri

Sağlık Bilgileri

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Ceza Mahkumiyeti ve Güvenlik Tedbirleri

Ceza Mahkumiyeti ve Güvenlik Tedbirleri

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Diğer - Fiziksel Bilgiler

Diğer - Fiziksel Bilgiler

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Diğer - Eğitim Bilgileri

Diğer - Eğitim Bilgileri

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Diğer - Araç Bilgileri

Diğer - Araç Bilgileri

10 yıl

10 yıl

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

Saklama süresinin bitimini takip eden ilk periyodik imha süresinde 

5.YÜRÜRLÜK ve GÖZDEN GEÇİRME

5.YÜRÜRLÜK ve GÖZDEN GEÇİRME

Bu Politikası, Yönetim Kurulu tarafından onaylanmış ve onaylandığı tarihte yürürlüğe girmiştir. Bu politika, her yıl en az bir defa Hukuk Müşavirliği ve Uyum Birimi Yöneticisi sorumluluğunda gözden geçirilir. Şirket uygulamalarında, meydana gelebilecek değişiklikler kapsamında ve gerekli görülen hallerde revizyon yapılması durumunda Yönetim Kurulu onayına sunulur ve Şirket ilgili bölümlerine yeniden duyurulur.

Bu Politikası, Yönetim Kurulu tarafından onaylanmış ve onaylandığı tarihte yürürlüğe girmiştir. Bu politika, her yıl en az bir defa Hukuk Müşavirliği ve Uyum Birimi Yöneticisi sorumluluğunda gözden geçirilir. Şirket uygulamalarında, meydana gelebilecek değişiklikler kapsamında ve gerekli görülen hallerde revizyon yapılması durumunda Yönetim Kurulu onayına sunulur ve Şirket ilgili bölümlerine yeniden duyurulur.

Adres

Barbaros Mah. Ihlamur Bulvarı No: 3 A / 227

Ataşehir / İSTANBUL

Çağrı Merkezi

444 6 330

Biz Kimiz

Değerlerimiz

Şirket Yönetimi

Yönetim Yapısı

Kariyer

Kurumsal İş Ortakları

Ürünler

Özel Sağlık Sigortası

Tamamlayıcı Sağlık Sigortası

Sağlık Sistemi

Değer Önerileri

Sağlık Kütüphanesi

Yatırımcı İlişkileri

Performans Raporları

Faaliyet Raporları

Finansal Raporlar

Finansal Tablolar

Politikalarımız

Müşteri İletişim Politikası

Kişisel Veri Saklama, İşleme, İmha Politikası

Kişisel Verilerin Korunması ve Aydınlatma Metni

Etik İlkeler

Yasal Bilgiler

Mevzuat

Meblağ Sigortalarında Hak Sahipliği Sorgulama

Yanlış Sigorta Uygulamaları Bilgilendirmesi

Hak Sahiplerince Aranmayan Paralar

Vergi Uygulamaları

Faydalı Bilgiler

Şirket Esas Sözleşmesi

Ticaret Sicil & Mersis

Bağımsız Denetçi Bilgileri

Bilgi Toplumu Hizmetleri

Kurumsal

Biz Kimiz

Basın Odası

Kurumsal İş Birlikleri

© 2026 - Tüm hakları Medisa Sigorta A.Ş.'ye aittir.

Adres

Barbaros Mah. Ihlamur Bulvarı No: 3 A / 227 Ataşehir / İSTANBUL

Çağrı Merkezi

444 6 330

Biz Kimiz

Değerlerimiz

Şirket Yönetimi

Yönetim Yapısı

Kariyer

Kurumsal İş Ortakları

Ürünler

Özel Sağlık Sigortası

Tamamlayıcı Sağlık Sigortası

Sağlık Sistemi

Değer Önerileri

Sağlık Kütüphanesi

Yatırımcı İlişkileri

Performans Raporları

Faaliyet Raporları

Finansal Raporlar

Finansal Tablolar

Politikalarımız

Müşteri İletişim Politikası

Kişisel Veri Saklama, İşleme, İmha Politikası

Kişisel Verilerin Korunması ve Aydınlatma Metni

Etik İlkeler

Yasal Bilgiler

Mevzuat

Meblağ Sigortalarında Hak Sahipliği Sorgulama

Yanlış Sigorta Uygulamaları Bilgilendirmesi

Hak Sahiplerince Aranmayan Paralar

Vergi Uygulamaları

Faydalı Bilgiler

Şirket Esas Sözleşmesi

Ticaret Sicil & Mersis

Bağımsız Denetçi Bilgileri

Bilgi Toplumu Hizmetleri

Kurumsal

Biz Kimiz

Basın Odası

Kurumsal İş Birlikleri

© 2026 - Tüm hakları Medisa Sigorta A.Ş.'ye aittir.

Adres

Barbaros Mah. Ihlamur Bulvarı No: 3 A / 227

Ataşehir / İSTANBUL

Çağrı Merkezi

444 6 330

Biz Kimiz

Değerlerimiz

Şirket Yönetimi

Yönetim Yapısı

Kariyer

Kurumsal İş Ortakları

Ürünler

Özel Sağlık Sigortası

Tamamlayıcı Sağlık Sigortası

Sağlık Sistemi

Değer Önerileri

Sağlık Kütüphanesi

Yatırımcı İlişkileri

Performans Raporları

Faaliyet Raporları

Finansal Raporlar

Finansal Tablolar

Politikalarımız

Müşteri İletişim Politikası

Kişisel Veri Saklama, İşleme, İmha Politikası

Kişisel Verilerin Korunması ve Aydınlatma Metni

Etik İlkeler

Yasal Bilgiler

Mevzuat

Meblağ Sigortalarında Hak Sahipliği Sorgulama

Yanlış Sigorta Uygulamaları Bilgilendirmesi

Hak Sahiplerince Aranmayan Paralar

Vergi Uygulamaları

Faydalı Bilgiler

Şirket Esas Sözleşmesi

Ticaret Sicil & Mersis

Bağımsız Denetçi Bilgileri

Bilgi Toplumu Hizmetleri

Kurumsal

Biz Kimiz

Basın Odası

Kurumsal İş Birlikleri

© 2026 - Tüm hakları Medisa Sigorta A.Ş.'ye aittir.