سياسة حفظ وإتلاف البيانات الشخصية لشركة سولاريس للتصوير الطبي للتجارة المساهمة

1. مقدمة

1.1 الهدف

تم إعداد سياسة حفظ وإتلاف البيانات الشخصية (“السياسة”) لتحديد الإجراءات والقواعد المتعلقة بعمليات الحفظ والإتلاف التي تقوم بها شركة سولاريس للتصوير الطبي للتجارة المساهمة (“الشركة”)، والمقر الرئيسي لها في تركيا على العنوان التالي: Ataköy 8-8-9-10 Kısım Mah. Çobançeşme E5 Yanyol No:16/1 A İç Kapı No:20 Ataköy-Bakırköy-İstanbul، رقم ميرسيس: 0773073379200001، مسجلة لدى دائرة ضرائب بكيركوي، رقم الضريبة: 7730733792.

تضع الشركة كأولوية لها، بنهجها الحساس تجاه حماية البيانات الشخصية، معالجة البيانات الشخصية التابعة لموظفي الشركة، والمرشحين للوظائف، والموردين، والزوار، والأطراف الثالثة الأخرى، وذلك بما يتوافق مع دستور الجمهورية التركية، والاتفاقيات الدولية، وقانون حماية البيانات الشخصية رقم 6698 (“القانون”)، والتشريعات الأخرى ذات الصلة، وضمان ممارسة أصحاب البيانات لحقوقهم بشكل فعال.

يتم تنفيذ العمليات والإجراءات المتعلقة بحفظ البيانات الشخصية، وحذفها، وإتلافها، وجعلها مجهولة المصدر، من قبل الشركة وفقًا للسياسة المعدة بهذا الصدد.

1.2 النطاق

تندرج ضمن نطاق هذه السياسة البيانات الشخصية الخاصة بموظفي الشركة، والمرشحين للوظائف، ومقدمي الخدمات، والموردين، والمرضى، والزوار، والأطراف الثالثة الأخرى، وتُطبق هذه السياسة على جميع بيئات التسجيل التي تتم فيها معالجة البيانات الشخصية المملوكة للشركة أو التي تديرها الشركة، وكذلك على الأنشطة المتعلقة بمعالجة البيانات الشخصية.

1.3 الاختصارات والتعريفات

مجموعة المستقبلين: فئة الأشخاص الاعتباريين أو الطبيعيين الذين يتم نقل البيانات الشخصية إليهم من قبل مسؤول البيانات.

الموافقة الصريحة: موافقة تتعلق بموضوع محدد، مبنية على الإعلام، ويعبر عنها بإرادة حرة.

جعل البيانات مجهولة المصدر: جعل البيانات الشخصية بحيث لا يمكن ربطها بأي حال من الأحول بهوية شخص طبيعي محدد أو يمكن تحديده، حتى عن طريق مطابقتها مع بيانات أخرى.

الموظف: موظف الشركة.

البيئة الإلكترونية: البيئات التي يمكن فيها إنشاء البيانات الشخصية وقراءتها وتعديلها وكتابتها بواسطة الأجهزة الإلكترونية.

البيئة غير الإلكترونية: جميع البيئات الأخرى غير الإلكترونية، مثل الورقية والمطبوعة والبصرية وغيرها.

مقدم الخدمة: الشخص الاعتباري أو الطبيعي الذي يقدم خدمة للشركة في إطار عقد محدد.

الشخص المعني: الشخص الطبيعي الذي تتم معالجة بياناته الشخصية.

المستخدم المعني: الأشخاص الذين يقومون بمعالجة البيانات الشخصية داخل تنظيم مسؤول البيانات، أو وفقًا للسلطة والتعليمات المستلمة من مسؤول البيانات، باستثناء الشخص أو الوحدة المسؤولة عن التخزين التقني للبيانات وحمايتها ونسخها احتياطيًا.

الإتلاف: حذف البيانات الشخصية، أو إتلافها، أو جعلها مجهولة المصدر.

القانون: قانون حماية البيانات الشخصية رقم 6698.

بيئة التسجيل: كل بيئة توجد فيها البيانات الشخصية التي تتم معالجتها بوسائل آلية كليًا أو جزئيًا، أو بوسائل غير آلية بشرط أن تكون جزءًا من أي نظام لتسجيل البيانات.

البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد أو يمكن تحديد هويته.

سجل معالجة البيانات الشخصية: السجل الذي ينشئه مسؤولو البيانات لربط أنشطة معالجة البيانات الشخصية التي يقومون بها بناءً على عملياتهم التجارية بأغراض المعالجة والأساس القانوني وفئة البيانات ومجموعة المستقبلين الذين يتم النقل إليهم وفئة الأشخاص المعنيين بالبيانات، ويوضح بالتفصيل الحد الأقصى لفترة الاحتفاظ بالبيانات اللازمة للأغراض التي تتم معالجتها من أجلها، والبيانات الشخصية التي يُخطط لنقلها إلى الخارج، والتدابير المتخذة بشأن أمن البيانات.

معالجة البيانات الشخصية: كل عملية يتم إجراؤها على البيانات، مثل الحصول على البيانات الشخصية، أو تسجيلها، أو تخزينها، أو حفظها، أو تعديلها، أو إعادة تنظيمها، أو الإفصاح عنها، أو نقلها، أو استلامها، أو جعلها متاحة، أو تصنيفها، أو منع استخدامها، سواء كانت كليًا أو جزئيًا بوسائل آلية أو بوسائل غير آلية بشرط أن تكون جزءًا من أي نظام لتسجيل البيانات.

المجلس: مجلس حماية البيانات الشخصية.

البيانات الشخصية الحساسة (ذات الطبيعة الخاصة): بيانات الأشخاص المتعلقة بالعرق، والأصل العرقي، والفكر السياسي، والمعتقد الفلسفي، والدين، والطائفة أو المعتقدات الأخرى، والمظهر والملبس، والعضوية في الجمعيات أو المؤسسات أو النقابات، والصحة، والحياة الجنسية، والإدانات الجنائية وتدابير الأمن، وكذلك البيانات البيومترية والوراثية.

الإتلاف الدوري: عملية الحذف أو الإتلاف أو جعل البيانات مجهولة المصدر التي سيتم تنفيذها تلقائيًا على فترات متكررة ومحددة في سياسة حفظ وإتلاف البيانات الشخصية في حالة زوال جميع شروط معالجة البيانات الشخصية المنصوص عليها في القانون.

السياسة: سياسة حفظ وإتلاف البيانات الشخصية.

معالج البيانات: الشخص الاعتباري أو الطبيعي الذي يعالج البيانات الشخصية نيابة عن مسؤول البيانات بناءً على السلطة المخولة له.

نظام تسجيل البيانات: نظام التسجيل الذي تتم فيه معالجة البيانات الشخصية وفقًا لمعايير محددة.

مسؤول البيانات: الشخص الاعتباري أو الطبيعي الذي يحدد أغراض ووسائل معالجة البيانات الشخصية، وهو المسؤول عن إنشاء وإدارة نظام تسجيل البيانات.

نظام معلومات سجل مسؤولي البيانات: نظام المعلومات الذي يمكن الوصول إليه عبر الإنترنت، والذي يتم إنشاؤه وإدارته من قبل الرئاسة، والذي سيستخدمه مسؤولو البيانات للتقديم إلى السجل والعمليات الأخرى ذات الصلة بالسجل.

VERBIS: نظام معلومات سجل مسؤولي البيانات.

اللائحة: اللائحة المتعلقة بحذف البيانات الشخصية أو إتلافها أو جعلها مجهولة المصدر، المنشورة في الجريدة الرسمية بتاريخ 28 أكتوبر 2017.

2. توزيع المسؤوليات والمهام

تقوم جميع وحدات وموظفي الشركة بدعم الوحدات المسؤولة بنشاط في مسائل ضمان أمن البيانات في جميع البيئات التي تتم فيها معالجة البيانات الشخصية، وذلك من أجل: تطبيق التدابير التقنية والإدارية التي يتم اتخاذها في إطار السياسة بشكل صحيح من قبل الوحدات المسؤولة، وتدريب موظفي الوحدة وزيادة الوعي لديهم، ومراقبتهم والإشراف المستمر عليهم، ومنع معالجة البيانات الشخصية بشكل غير قانوني، ومنع الوصول إلى البيانات الشخصية بشكل غير قانوني، وضمان حفظ البيانات الشخصية بشكل قانوني.

الجدول 1: توزيع مهام عمليات الحفظ والإتلاف

(سيتم متابعة بقية الجدول والنص الأصلي في الرد التالي بسبب طول النص)

3. بيئات التسجيل

يتم حفظ البيانات الشخصية بشكل قانوني وآمن من قبل الشركة في البيئات المدرجة في الجدول 2.

الجدول 2: بيئات حفظ البيانات الشخصية

البيئات الإلكترونية

4. تفسيرات حول الحفظ والإتلاف

تقوم الشركة بحفظ وإتلاف البيانات الشخصية الخاصة بالموظفين، والمرشحين للوظائف، والزوار، والموردين، والمرضى، وموظفي الأطراف الثالثة أو المؤسسات أو المنظمات التي تتعامل معها كمقدمي خدمات، وذلك وفقًا للقانون. في هذا الإطار، تم تضمين التفسيرات التفصيلية المتعلقة بالحفظ والإتلاف أدناه تباعًا.

4.1 تفسيرات حول الحفظ

تم تعريف مفهوم معالجة البيانات الشخصية في المادة 3 من القانون، وتم تحديد في المادة 4 ضرورة أن تكون البيانات الشخصية المعالجة مرتبطة بالغرض الذي تُعالج من أجله، ومحدودة ومتناسبة معه، ويجب حفظها للمدة المنصوص عليها في التشريع ذي الصلة أو اللازمة للغرض الذي تُعالج من أجله. وفي المادتين 5 و 6 تم تعداد شروط معالجة البيانات الشخصية.

وفقًا لذلك، يتم حفظ البيانات الشخصية في إطار أنشطة الشركة للمدة المنصوص عليها في التشريع ذي الصلة أو المدة المناسبة لأغراض معالجتنا.

تقوم الشركة بحفظ البيانات الشخصية التي تعالجها في إطار أنشطتها وفقًا للأغراض المحددة في سياسة حماية ومعالجة البيانات الشخصية.

4.1.1 الأسباب القانونية التي تستلزم الحفظ

يتم حفظ البيانات الشخصية التي تتم معالجتها في إطار أنشطة الشركة للمدة المنصوص عليها في التشريع ذي الصلة. في هذا الإطار، يتم حفظ البيانات الشخصية وفقًا لأحكام التشريعات التالية، ووفقًا للفترات المنصوص عليها في اللوائح الثانوية الأخرى السارية بموجب هذه القوانين واللوائح وغيرها من القرارات الرسمية:

قانون حماية البيانات الشخصية رقم 6698،
قانون الالتزامات التركي رقم 6098،
قانون التجارة التركي رقم 6102،
قانون التأمينات الاجتماعية والتأمين الصحي العام رقم 5510،
قانون الصحة والسلامة المهنية رقم 6331،
قانون العمل رقم 4857،
قانون الإجراءات الضريبية رقم 3475،
قانون صحة التقاعد رقم 5434،
قانون الخدمات الأمنية الخاصة رقم 5188،
قانون الخدمات الاجتماعية رقم 2828،
لائحة تدابير الصحة والسلامة التي ستتخذ في المباني والملحقات التابعة لمكان العمل،
القانون الأساسي للخدمات الصحية رقم 3359،
مرسوم بقانون بشأن تنظيم ومهام وزارة الصحة والجهات التابعة لها رقم 663،
لائحة معالجة البيانات الشخصية الصحية وحماية خصوصيتها،
لائحة البيانات الشخصية الصحية، ولوائح وزارة الصحة.

إذا لم يكن هناك أي فترة محددة في التشريع، يتم حفظ البيانات الشخصية حتى زوال الغرض الذي يستلزم معالجتها.

4.2 أسباب الإتلاف

في الحالات التالية، يتم حذف أو إتلاف أو جعل البيانات الشخصية مجهولة المصدر من قبل الشركة بناءً على طلب الشخص المعني، أو تلقائيًا:

تعديل أو إلغاء أحكام التشريع ذات الصلة التي تشكل أساسًا لمعالجتها.
زوال الغرض الذي يستلزم معالجتها أو حفظها.
في الحالات التي تتم فيها معالجة البيانات الشخصية فقط بناءً على شرط الموافقة الصريحة، قيام الشخص المعني بسحب موافقته الصريحة.
قبول الشركة لطلب الشخص المعني بحذف وإتلاف بياناته الشخصية في إطار حقوقه بموجب المادة 11 من القانون.
قيام الشخص المعني بتقديم شكوى إلى المجلس في حال رفض الشركة لطلبه بحذف أو إتلاف أو جعل بياناته الشخصية مجهولة المصدر، أو اعتباره الرد غير كافٍ، أو عدم رد الشركة خلال المدة المنصوص عليها في القانون، واعتماد المجلس لهذا الطلب.
انقضاء الحد الأقصى لفترة حفظ البيانات الشخصية، وعدم وجود أي شرط يبرر حفظ البيانات الشخصية لفترة أطول.

تتم هذه العملية على النحو التالي:
الحصول على موافقة المدير العام على الإتلاف أو الحذف.
يقوم رؤساء الأقسام بتنفيذ العملية.
جعل المستندات المراد إتلافها غير قابلة للقراءة.
تسجيل عملية الإتلاف التي تمت من خلال انعكاسها على بيئة الكمبيوتر.
حفظ المستندات المتعلقة بالإتلاف.

5. التدابير التقنية والإدارية

تقوم الشركة باتخاذ التدابير التقنية والإدارية في إطار التدابير الكافية التي يحددها ويعلنها المجلس للبيانات الشخصية الحساسة بموجب الفقرة الرابعة من المادة 6 من القانون والمادة 12 من القانون، وذلك من أجل حفظ البيانات الشخصية بشكل آمن، ومنع معالجتها والوصول إليها بشكل غير قانوني، وإتلافها بشكل قانوني.

5.1 التدابير التقنية

فيما يلي التدابير التقنية التي تتخذها الشركة فيما يتعلق بالبيانات الشخصية التي تعالجها:

يتم توفير أمن الشبكة وأمن التطبيقات.
يتم استخدام نظام شبكة مغلقة في عمليات نقل البيانات الشخصية عبر الشبكة.
يتم اتخاذ تدابير أمنية في نطاق توريد وتطوير وصيانة أنظمة تكنولوجيا المعلومات.
تم إنشاء مصفوفة صلاحيات للموظفين.
يتم الاحتفاظ بسجلات الوصول بشكل دوري.
تم إعداد السياسات المؤسسية بشأن الوصول وأمن المعلومات والاستخدام والحفظ والإتلاف، وبدأ تنفيذها.
يتم استخدام أنظمة مكافحة الفيروسات الحديثة.
يتم استخدام جدران الحماية.
يتم نسخ البيانات الشخصية احتياطيًا، ويتم أيضًا توفير أمن البيانات الشخصية المنسوخة احتياطيًا.
يتم تطبيق نظام إدارة حسابات المستخدمين ونظام التحكم في الصلاحيات، ويتم مراقبتها.
يتم الاحتفاظ بسجلات التسجيل (log) بطريقة لا يمكن للمستخدم التدخل فيها.
تم تحديد وتطبيق البروتوكولات والإجراءات الخاصة بأمن البيانات الشخصية الحساسة.
يتم استخدام التشفير الآمن / المفاتيح المشفرة للبيانات الشخصية الحساسة، ويتم إدارتها من قبل وحدات مختلفة.
يتم استخدام أنظمة كشف ومنع الهجمات.
يتم تطبيق اختبار الاختراق.
تم اتخاذ تدابير الأمن السيبراني، ويتم متابعة تنفيذها باستمرار.
يتم التشفير.
يتم استخدام كلمات مرور قوية في البيئات الإلكترونية التي تتم فيها معالجة البيانات الشخصية.
يتم استخدام بروتوكول آمن (HTTPS) للوصول إلى صفحة الويب الخاصة بالشركة.

5.2 التدابير الإدارية

فيما يلي التدابير الإدارية التي تتخذها الشركة فيما يتعلق بالبيانات الشخصية التي تعالجها:

يتم تطبيق إدارة المفاتيح.
توجد لوائح تأديبية تتضمن أحكامًا لأمن البيانات للموظفين.
يتم إجراء تدريبات وأنشطة توعية حول أمن البيانات للموظفين على فترات دورية.
تم إنشاء مصفوفة صلاحيات للموظفين.
يتم التوقيع على تعهدات السرية.
يتم إلغاء صلاحيات الموظفين الذين يتغير منصبهم أو يتركون العمل في هذا المجال.
يتم الوفاء بالتزامات الإعلام للأشخاص المعنيين.
تتضمن العقود الموقعة أحكامًا لأمن البيانات.
تم تحديد سياسات وإجراءات أمن البيانات الشخصية.
يتم الإبلاغ عن مشكلات أمن البيانات الشخصية بسرعة.
يتم متابعة أمن البيانات الشخصية.
يتم اتخاذ تدابير الأمن اللازمة فيما يتعلق بدخول وخروج البيئات المادية التي تحتوي على بيانات شخصية.
يتم توفير أمن البيئات المادية التي تحتوي على بيانات شخصية ضد المخاطر الخارجية (مثل الحريق والفيضانات وغيرها).
يتم توفير أمن البيئات التي تحتوي على بيانات شخصية.
يتم تقليل البيانات الشخصية قدر الإمكان.
يتم إجراء تدقيقات دورية و/أو عشوائية داخل المؤسسة.
يتم توفير التدقيق الدوري لمقدمي الخدمات الذين يعالجون البيانات فيما يتعلق بأمن البيانات.
يتم توفير الوعي حول أمن البيانات لمقدمي الخدمات الذين يعالجون البيانات.
تم تحديد المخاطر والتهديدات الحالية.
تتخذ الشركة التدابير اللازمة لجعل البيانات الشخصية المحذوفة غير قابلة للوصول وغير قابلة للاستخدام مرة أخرى للمستخدمين المعنيين.
في حالة اكتشاف معالجة غير قانونية، يتم إبلاغ الشخص المعني والمجلس.

6. تقنيات إتلاف البيانات الشخصية

في نهاية الفترة المنصوص عليها في التشريع ذي الصلة أو فترة الحفظ اللازمة للغرض الذي تمت المعالجة من أجله، يتم إتلاف البيانات الشخصية من قبل الشركة تلقائيًا أو بناءً على طلب الشخص المعني، وذلك باستخدام التقنيات المذكورة أدناه، وفقًا لأحكام التشريع ذي الصلة.

6.1 حذف البيانات الشخصية

يتم حذف البيانات الشخصية باستخدام الطرق الموضحة في الجدول 3.

الجدول 3: حذف البيانات الشخصية

6.2 إتلاف البيانات الشخصية

تقوم الشركة بإتلاف البيانات الشخصية وفقًا للطرق المحددة في الجدول رقم 4.

الجدول 4: إتلاف البيانات الشخصية

6.3 إخفاء هوية البيانات الشخصية (إخفاء هوية البيانات الشخصية)

إخفاء هوية البيانات الشخصية هو جعل البيانات الشخصية، حتى لو تم مطابقتها مع بيانات أخرى، غير قابلة للربط بأي حال من الأحوال بشخص طبيعي محدد أو قابل للتحديد.

لكي تُعتبر البيانات الشخصية قد تم إخفاء هويتها، يجب جعل البيانات الشخصية غير قابلة للربط بشخص طبيعي محدد أو قابل للتحديد، حتى باستخدام تقنيات مناسبة من حيث بيئة التسجيل ومجال النشاط ذي الصلة، مثل إعادة تحويل البيانات من قبل مسؤول البيانات أو أطراف ثالثة و/أو مطابقة البيانات مع بيانات أخرى.

7. فترات الاحتفاظ والإتلاف

بالنسبة للبيانات الشخصية التي تتم معالجتها من قبل الشركة ضمن نطاق أنشطتها:

– فترات الاحتفاظ على أساس كل بيان شخصي على حدة، فيما يتعلق بالأنشطة المنفذة تبعًا للعمليات، تكون موجودة في سجل معالجة البيانات الشخصية (Kayıt Ortamı: Kişisel Veri İşleme Envanteri).
– فترات الاحتفاظ على أساس فئات البيانات تكون موجودة في سجل تسجيل مسؤولي البيانات (VERBİS).
– فترات الاحتفاظ على أساس العملية تكون موجودة في سياسة الاحتفاظ بالبيانات الشخصية وإتلافها.

تقوم الشركة، عند الحاجة، بإجراء تحديثات على فترات الاحتفاظ هذه. بالنسبة للبيانات الشخصية التي انتهت فترات الاحتفاظ بها، تقوم الشركة تلقائيًا (re’sen) بعملية الحذف أو الإتلاف أو إخفاء الهوية.

الجدول 5: جدول فترات الاحتفاظ والإتلاف على أساس العملية

8. مدة الإتلاف الدورية

وفقًا للمادة 11 من اللائحة، حددت الشركة مدة الإتلاف الدورية بـ 6 أشهر. وبناءً على ذلك، يتم تنفيذ عملية الإتلاف الدوري في الشركة خلال شهري يونيو وديسمبر من كل عام.

9. نشر السياسة والاحتفاظ بها

تُنشر السياسة في وسيطين مختلفين: بالتوقيع الرطب (على ورق مطبوع) وفي الوسيط الإلكتروني، كما يتم الإعلان عنها للعموم على صفحة الإنترنت. ويُحتفظ بالنسخة الورقية المطبوعة لدى الشركة.

10. فترة تحديث السياسة

تُراجع السياسة كلما دعت الحاجة، ويتم تحديث الأقسام اللازمة.

11. دخول السياسة حيز التنفيذ وإلغاؤها

تُعتبر السياسة قد دخلت حيز التنفيذ بعد نشرها على موقع الشركة الإلكتروني. وفي حالة اتخاذ قرار بإلغائها، يتم إبطالها من قبل الشركة (بختم الإلغاء أو كتابة كلمة “ملغى”) وتُوقع، ويتم الاحتفاظ بها لمدة لا تقل عن 5 سنوات.

.