Beleid inzake bewaring en verwijdering van persoonsgegevens

De tandheelkundige diensten die door MSc. Dt. Aykut Koşun worden aangeboden, worden verleend via AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi.

Dit Beleid inzake bewaring en verwijdering van persoonsgegevens beschrijft de procedures en beginselen met betrekking tot de bewaring en verwijdering van persoonsgegevens die door AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi in zijn hoedanigheid van verwerkingsverantwoordelijke worden verwerkt overeenkomstig de toepasselijke wetgeving.

1. Inleiding

1.1 Doel

Dit Beleid inzake bewaring en verwijdering van persoonsgegevens (“Beleid”) is opgesteld binnen het kader van de toepasselijke wetgeving. AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi (hierna te noemen de “Onderneming”) past dit Beleid toe in overeenstemming met de fundamentele beginselen die op nationaal niveau zijn vastgesteld met betrekking tot de verwijdering van persoonsgegevens.

Het Beleid bepaalt het kader en de beginselen voor verwijderingsactiviteiten die op grond van de toepasselijke wetgeving vereist zijn.

Het derde lid van artikel 7 van de Wet inzake de bescherming van persoonsgegevens (“Wet”) bepaalt dat de procedures en beginselen met betrekking tot het verwijderen, vernietigen of anonimiseren van persoonsgegevens bij verordening worden geregeld.

Op grond van deze bepaling en artikel 22, lid 1, onder e, van de Wet is de Verordening inzake de verwijdering, vernietiging of anonimisering van persoonsgegevens (“Verordening”) opgesteld door de Raad voor de bescherming van persoonsgegevens (“Raad”) en gepubliceerd in het Staatsblad nr. 30224 van 28 oktober 2017.

Overeenkomstig de hierboven genoemde Verordening heeft dit Beleid tot doel de procedures en beginselen vast te stellen voor het verwijderen, vernietigen of anonimiseren van persoonsgegevens die door de Onderneming in het kader van haar activiteiten worden verwerkt.

1.2 Reikwijdte

Dit Beleid heeft betrekking op persoonsgegevens van medewerkers van de Onderneming, sollicitanten, bezoekers, derden met wie de Onderneming samenwerkt en personeel van derden dat binnen de Onderneming werkzaam is.

Dit Beleid is van toepassing op alle registratieomgevingen waarin persoonsgegevens die eigendom zijn van of worden beheerd door de Onderneming worden verwerkt en op alle activiteiten waarbij persoonsgegevens worden verwerkt.

1.3 Afkortingen en definities

Term	Definitie
Ontvangersgroep	De categorie natuurlijke of rechtspersonen aan wie persoonsgegevens door de verwerkingsverantwoordelijke worden doorgegeven.
Uitdrukkelijke toestemming	Toestemming die betrekking heeft op een specifiek onderwerp, gebaseerd is op informatie en vrijelijk is gegeven.
Anonimisering	Het zodanig verwerken van persoonsgegevens dat deze onder geen enkele omstandigheid kunnen worden gekoppeld aan een geïdentificeerde of identificeerbare natuurlijke persoon, zelfs niet door ze met andere gegevens te combineren.
Elektronische omgeving	Omgevingen waarin persoonsgegevens met behulp van elektronische apparaten kunnen worden aangemaakt, gelezen, gewijzigd en opgeslagen.
Niet-elektronische omgeving	Alle schriftelijke, gedrukte, visuele en vergelijkbare omgevingen anders dan elektronische omgevingen.
Betrokkene	De natuurlijke persoon van wie de persoonsgegevens worden verwerkt.
Verwijdering	Het verwijderen, vernietigen of anonimiseren van persoonsgegevens.
Wet	Wet nr. 6698 inzake de bescherming van persoonsgegevens.
Persoonsgegevens	Alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.
Raad	Raad voor de bescherming van persoonsgegevens.
Autoriteit	Autoriteit voor de bescherming van persoonsgegevens.
Verwerker	Een natuurlijke of rechtspersoon die persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt op basis van de bevoegdheid die door de verwerkingsverantwoordelijke is verleend.
Verwerkingsverantwoordelijke	Een natuurlijke of rechtspersoon die het doel en de middelen van de verwerking van persoonsgegevens vaststelt en verantwoordelijk is voor het opzetten en beheren van het gegevensregistratiesysteem.
Verordening	De Verordening inzake de verwijdering, vernietiging of anonimisering van persoonsgegevens, gepubliceerd in het Staatsblad nr. 30224 van 28 oktober 2017.

2. Verantwoordelijkheden en taakverdeling

Alle afdelingen en medewerkers van de Onderneming ondersteunen de verantwoordelijke afdelingen actief bij de uitvoering van de technische en administratieve maatregelen die op grond van dit Beleid zijn vastgesteld.

Dit omvat de opleiding en bewustmaking van medewerkers, voortdurende monitoring, het voorkomen van onrechtmatige toegang tot en verwerking van persoonsgegevens en het waarborgen van passende bescherming van persoonsgegevens in alle omgevingen waarin deze worden verwerkt.

Functie	Afdeling	Verantwoordelijkheden
Verantwoordelijke informatietechnologie	Informatietechnologie	Waarborgen dat processen voldoen aan de bewaartermijnen, beheren van het periodieke verwijderingsproces en uitvoeren van de noodzakelijke audits en controles.
Manager boekhoudafdeling	Boekhouding	Toezien op bewaartermijnen en op verplichtingen met betrekking tot de bewaring van boeken en documenten die voortvloeien uit handels- en belastingwetgeving.
Manager personeelszaken	Personeelszaken	Toezien op bewaartermijnen voor personeelsgegevens, uitvoeren van periodieke verwijderingsprocessen en beheren van relevante aanvragen en verzoeken.

3. Registratieomgevingen

Persoonsgegevens worden door de Onderneming rechtmatig en veilig bewaard in de hieronder vermelde elektronische en niet-elektronische omgevingen.

Elektronische omgevingen	Niet-elektronische omgevingen
Servers, domein, back-up-, e-mail-, database-, web- en bestandsdelingssystemen	Papier
Kantoorsoftware en apparaten voor informatiebeveiliging	Handmatige gegevensregistratiesystemen
Mobiele apparaten	Schriftelijke, gedrukte en visuele media
Optische schijven en verwisselbare opslagmedia	Bestanden en mappen
Desktop- en laptopcomputers	Andere fysieke registratieomgevingen

4. Toelichting op bewaring en verwijdering

De Onderneming bewaart persoonsgegevens die in het kader van haar activiteiten worden verwerkt overeenkomstig de KVKK en de toepasselijke wetgeving en verwijdert deze gegevens waar dit vereist is.

4.1 Toelichting op bewaring

Persoonsgegevens worden bewaard gedurende de termijn die door de toepasselijke wetgeving wordt voorgeschreven of zolang als noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt, mits de gegevens relevant, beperkt en evenredig blijven ten opzichte van die doeleinden.

4.1.1 Rechtsgronden die bewaring vereisen

De Onderneming bewaart persoonsgegevens die in het kader van haar activiteiten worden verwerkt gedurende de termijnen die in de toepasselijke wetgeving zijn voorgeschreven.

Wet nr. 213 inzake belastingprocedures
Basiswet nr. 3359 inzake gezondheidsdiensten
Arbeidswet nr. 4857
Wet nr. 5510 inzake sociale verzekeringen en algemene ziektekostenverzekering
Turks Verbintenissenrecht nr. 6098
Turks Wetboek van Koophandel nr. 6102
Wet nr. 6331 inzake gezondheid en veiligheid op het werk
Wet nr. 6698 inzake de bescherming van persoonsgegevens
Verordening inzake particuliere zorginstellingen die mond- en tandheelkundige gezondheidsdiensten verlenen
Verordening inzake patiëntenrechten
Andere toepasselijke wetgeving en secundaire regelgeving die momenteel van kracht zijn

4.1.2 Verwerkingsdoeleinden die bewaring vereisen

Beheer van informatiebeveiligingsprocessen
Waarborgen dat activiteiten worden uitgevoerd overeenkomstig de toepasselijke wetgeving
Beheer van financiële en boekhoudkundige processen
Waarborgen van de veiligheid van fysieke locaties
Beheer van communicatieactiviteiten
Beheer van personeelsprocessen
Beheer van activiteiten op het gebied van gezondheid en veiligheid op het werk
Beheer van de inkoop van goederen en diensten
Beheer van contractuele processen
Opvolgen van verzoeken en klachten
Verlenen van medische diagnose-, behandel- en zorgdiensten
Verstrekken van informatie aan bevoegde personen, instellingen en organisaties
Beheer van administratieve en operationele activiteiten

4.2 Gronden die verwijdering vereisen

Persoonsgegevens worden door de Onderneming ambtshalve of op verzoek van de betrokkene verwijderd, vernietigd of geanonimiseerd in de volgende omstandigheden.

Wijziging of intrekking van wettelijke bepalingen die de grondslag vormen voor de verwerking
Het doel waarvoor de verwerking of bewaring van persoonsgegevens noodzakelijk was, komt te vervallen
Wanneer de verwerking uitsluitend is gebaseerd op uitdrukkelijke toestemming en de betrokkene deze toestemming intrekt
Een verzoek van de betrokkene om verwijdering of vernietiging wordt aanvaard
De maximale termijn waarvoor persoonsgegevens moeten worden bewaard, verstrijkt

5. Technische en administratieve maatregelen

De Onderneming neemt de noodzakelijke technische en administratieve maatregelen om ervoor te zorgen dat persoonsgegevens veilig worden bewaard, om onrechtmatige verwerking en toegang te voorkomen en om rechtmatige verwijdering te waarborgen.

5.1 Technische maatregelen

De beveiliging van netwerken en applicaties wordt gewaarborgd.
Binnen informatietechnologiesystemen worden beveiligingsmaatregelen toegepast.
De beveiliging van persoonsgegevens die in cloudomgevingen zijn opgeslagen, wordt gewaarborgd.
Er worden firewalls gebruikt.
Persoonsgegevens worden veilig geback-upt.
Er worden controles op gebruikersaccounts en autorisaties toegepast.
Waar nodig worden versleutelingsmethoden gebruikt.
Er worden maatregelen genomen om gegevensverlies te voorkomen.

5.2 Administratieve maatregelen

Toegangsrechten worden ingetrokken voor medewerkers die van functie veranderen of de Onderneming verlaten.
Er worden geheimhoudingsverplichtingen toegepast.
Voor fysieke omgevingen waarin persoonsgegevens worden bewaard, worden beveiligingsmaatregelen toegepast.
Fysieke registratieomgevingen worden beschermd tegen brand, overstroming en vergelijkbare externe risico’s.
Er wordt naar gestreefd de verwerkte persoonsgegevens te beperken tot het redelijkerwijs noodzakelijke minimum.

6. Methoden voor verwijdering van persoonsgegevens

Na afloop van de termijn die door de toepasselijke wetgeving is voorgeschreven of van de bewaartermijn die voor de verwerkingsdoeleinden noodzakelijk is, worden persoonsgegevens overeenkomstig de toepasselijke wetgeving verwijderd, vernietigd of geanonimiseerd.

6.1 Verwijdering van persoonsgegevens

Gegevensregistratieomgeving	Beschrijving
Fysieke omgeving	Er worden methoden voor afscherming of veilige bewaring toegepast die voorkomen dat relevante gebruikers toegang hebben.
Servers	Gebruikerstoegangsrechten voor gegevens waarvan de bewaartermijn is verstreken, worden ingetrokken en de betreffende gegevens worden verwijderd.
Databases	Toegang tot de betreffende gegevens wordt voorkomen door gebruikersrollen en autorisaties aan te passen.
Draagbare apparaten	Toegang van gebruikers tot bestanden en gegevens wordt voorkomen.

6.2 Vernietiging van persoonsgegevens

Gegevensregistratieomgeving	Beschrijving
Fysieke omgeving	Persoonsgegevens op papier worden vernietigd door ze zodanig te versnipperen dat herstel niet mogelijk is.
Elektronische omgeving	Er worden veilige fysieke of softwarematige vernietigingsmethoden gebruikt die geschikt zijn voor het betreffende opslagmedium en ervoor zorgen dat de gegevens niet kunnen worden hersteld.

6.3 Anonimisering van persoonsgegevens

Anonimisering van persoonsgegevens betekent dat deze gegevens zodanig worden verwerkt dat zij niet kunnen worden gekoppeld aan een geïdentificeerde of identificeerbare natuurlijke persoon, zelfs wanneer zij met andere gegevens worden gecombineerd.

7. Bewaar- en verwijderingstermijnen

De Onderneming stelt de bewaartermijnen vast voor persoonsgegevens die in het kader van haar activiteiten worden verwerkt overeenkomstig de toepasselijke wetgeving, de Inventaris voor de verwerking van persoonsgegevens en de VERBİS-registraties.

Proces	Bewaartermijn	Verwijderingstermijn
Personeelsprocessen voor medewerkers	15 jaar na uitdiensttreding van de medewerker	Tijdens de eerste periodieke verwijderingsperiode van zes maanden na afloop van de bewaartermijn
Sollicitatieprocessen	1 jaar vanaf de datum van sollicitatie	Tijdens de eerste periodieke verwijderingsperiode van zes maanden na afloop van de bewaartermijn
Contractuele relaties	10 jaar na beëindiging van de overeenkomst	Tijdens de eerste periodieke verwijderingsperiode van zes maanden na afloop van de bewaartermijn
Camerabeelden	30 dagen vanaf de datum van opname	Automatisch aan het einde van de bewaartermijn
Boekhoudkundige en financiële processen	10 jaar vanaf de datum van registratie	Tijdens de eerste periodieke verwijderingsperiode van zes maanden na afloop van de bewaartermijn
Processen met betrekking tot patiëntendossiers	20 jaar vanaf het moment van aanmaak	Tijdens de eerste periodieke verwijderingsperiode van zes maanden na afloop van de bewaartermijn

8. Periodieke verwijderingstermijn

Overeenkomstig artikel 11 van de Verordening heeft de Onderneming de periodieke verwijderingstermijn vastgesteld op zes maanden. Dienovereenkomstig voert de Onderneming ieder jaar in juni en december periodieke verwijderingsactiviteiten uit.

9. Publicatie en bewaring van het Beleid

Het Beleid wordt in gedrukte en elektronische vorm gepubliceerd en kan via de website openbaar beschikbaar worden gesteld. Een ondertekend exemplaar wordt bewaard in de relevante administratie van de Onderneming.

10. Wijzigingen in het Beleid

Het Beleid wordt bijgewerkt wanneer dit noodzakelijk is of wanneer wijzigingen plaatsvinden in de verwerking van persoonsgegevens of in de toepasselijke wetgeving.

11. Inwerkingtreding van het Beleid

Dit Beleid treedt in werking op de datum van publicatie. Eerdere versies van het Beleid die niet langer van kracht zijn, worden bewaard overeenkomstig de relevante procedures van de Onderneming voor administratie en bewaring.

Verwerkingsverantwoordelijke