Политика обработки и защиты персональных данных

1. Цель и сфера применения

Barutçu Seyahat Oto. Tur. San. Tic. A.Ş. (далее — «Компания»), осуществляющая деятельность по адресу İsmet Kaptan Mah. Gazi Osman Paşa Bulv. No:3 D:805, İzmir, Türkiye, предоставляет услуги в сфере медицинского туризма, путешествий и связанные с ними услуги. Номер USHAŞ Компании — AK-1693.

Компания придает большое значение защите персональных данных, принадлежащих сотрудникам, клиентам, пациентам, посетителям, поставщикам, деловым партнерам, а также всем физическим лицам, персональные данные которых обрабатываются в рамках деятельности Компании или с которыми Компания каким-либо образом взаимодействует.

Компания осуществляет обработку и защиту персональных данных в соответствии прежде всего с Законом Турецкой Республики № 6698 «О защите персональных данных» («KVKK»), соответствующим законодательством, решениями Совета по защите персональных данных, законодательством в сфере здравоохранения, законодательством о медицинском туризме, а в применимых случаях — положениями Общего регламента Европейского союза по защите данных («GDPR»).

Настоящая Политика обработки и защиты персональных данных («Политика») разработана в целях определения основных принципов и процедур обработки персональных данных Компанией, а также обеспечения прозрачности процессов сбора, получения, регистрации, хранения, использования, передачи, классификации, обновления и, при необходимости, удаления, уничтожения или обезличивания персональных данных.

2. Определения и сокращения

Сотрудник: физическое лицо, осуществляющее трудовую деятельность в Компании на основании трудового договора или иного аналогичного правового отношения.

Субъект персональных данных: физическое лицо, персональные данные которого обрабатываются. К данной категории могут относиться сотрудники, клиенты, пациенты, посетители и иные физические лица, получающие услуги Компании.

Персональные данные: любая информация, относящаяся к прямо или косвенно идентифицированному или идентифицируемому физическому лицу.

Особые категории персональных данных: персональные данные, находящиеся под специальной правовой защитой в соответствии с KVKK, включая, в частности, данные о состоянии здоровья, биометрические и генетические данные.

Обработка персональных данных: любое действие, осуществляемое в отношении персональных данных, включая сбор, получение, регистрацию, хранение, изменение, передачу, классификацию, использование, раскрытие и иные аналогичные операции.

Контролер данных (Data Controller): физическое или юридическое лицо, которое определяет цели и способы обработки персональных данных и отвечает за создание и управление системой регистрации данных.

KVKK: Закон Турецкой Республики № 6698 «О защите персональных данных».

GDPR: Общий регламент Европейского союза по защите данных.

USHAŞ: Uluslararası Sağlık Hizmetleri A.Ş. (Международная компания медицинских услуг).

Соглашение о конфиденциальности: соглашение, которое может заключаться до начала лечения или оказания медицинской услуги с целью регулирования прав и обязанностей сторон в отношении обеспечения конфиденциальности информации, документов, персональных данных и особых категорий персональных данных, полученных в процессе лечения.

3. Основные принципы обработки персональных данных

3.1. Законность и добросовестность

Компания обрабатывает персональные данные в соответствии с Конституцией, KVKK, действующим законодательством, иными правовыми нормами и принципами добросовестности.

3.2. Точность и актуальность

Компания принимает необходимые административные и технические меры для обеспечения точности и актуальности обрабатываемых персональных данных.

3.3. Обработка для конкретных, четких и законных целей

Персональные данные обрабатываются для конкретных, четко определенных и законных целей. Компания обрабатывает персональные данные исключительно для предоставления услуг, исполнения договорных и юридических обязательств и иных целей, разрешенных законодательством.

3.4. Обработка в соответствии с целью, ограниченно и соразмерно

Компания обрабатывает только те персональные данные, которые необходимы для достижения определенных целей, и не обрабатывает данные, не связанные с соответствующей целью или являющиеся избыточными.

3.5. Хранение в течение необходимого периода

Персональные данные хранятся в течение периода, предусмотренного соответствующим законодательством или необходимого для целей, для которых они обрабатываются.

4. Условия обработки персональных данных

Компания обрабатывает персональные данные на основании правовых оснований, предусмотренных статьей 5 KVKK.

Обработка персональных данных без получения отдельного согласия допускается при наличии одного из следующих оснований:

• прямое предусмотрение такой обработки законом;
• необходимость обработки для заключения или исполнения договора;
• необходимость обработки для выполнения юридического обязательства Компании;
• публичное раскрытие данных самим субъектом персональных данных;
• необходимость обработки для установления, осуществления или защиты права;
• необходимость обработки в целях законных интересов Компании при условии, что это не нарушает основные права и свободы соответствующего лица;
• необходимость обработки для защиты жизни или физической неприкосновенности лица или другого человека в случаях, когда соответствующее лицо фактически не может выразить свое согласие.

В случаях, когда получение явно выраженного согласия требуется законодательством, такое согласие получается после предоставления необходимой информации, на основе свободного волеизъявления и в отношении конкретно определенной цели.

5. Обработка особых категорий персональных данных

Данные о состоянии здоровья, биометрические и генетические данные, а также иные данные, относящиеся к особым категориям персональных данных в соответствии с KVKK, пользуются специальной правовой защитой.

Компания обрабатывает особые категории персональных данных только при наличии условий, предусмотренных статьей 6 KVKK, и при принятии необходимых мер безопасности.

При необходимости в рамках медицинского туризма и оказания медицинских услуг могут обрабатываться:

• информация о состоянии здоровья и диагнозе;
• анамнез пациента;
• результаты обследований и медицинские заключения;
• информация об использовании лекарственных препаратов;
• информация о группе крови;
• информация об инвалидности;
• информация об используемых медицинских устройствах и протезах;
• результаты лабораторных исследований;
• результаты медицинской визуализации;
• информация о лечении и хирургических вмешательствах;
• иные необходимые сведения о состоянии здоровья.

6. Соглашение о конфиденциальности до начала лечения

В рамках медицинского туризма и медицинских услуг, предоставляемых Компанией, при необходимости до начала лечения или оказания медицинской услуги с соответствующим лицом может быть заключено Соглашение о конфиденциальности.

Целью такого соглашения является обеспечение конфиденциальности информации и документов, связанных с процессом лечения, а также определение прав и обязанностей сторон в отношении защиты персональных данных.

В рамках конфиденциальности, в частности, защищаются:

• идентификационные и контактные данные;
• данные о состоянии здоровья и лечении;
• медицинский анамнез;
• результаты диагностики и обследований;
• планы лечения;
• информация о процессе лечения;
• фотографии и видеозаписи;
• медицинские отчеты и документы;
• иные персональные данные и особые категории персональных данных.

Доступ к персональным данным, полученным в процессе лечения, предоставляется только лицам, участвующим в оказании лечения и медицинских услуг, и только в объеме, необходимом для выполнения их служебных обязанностей.

Компания может устанавливать необходимые обязательства по конфиденциальности для своих сотрудников, поставщиков услуг, деловых партнеров и иных лиц, участвующих в процессе лечения.

Соглашение о конфиденциальности не отменяет предусмотренные KVKK и иным законодательством обязательства Компании по информированию, получению согласия, обеспечению безопасности данных и передаче данных уполномоченным учреждениям.

7. Способы сбора и обработки персональных данных

Персональные данные могут собираться посредством физических форм, договоров, заявлений, телефонных разговоров, электронной почты, веб-сайтов, электронных систем, онлайн-платформ, медицинских записей, счетов, платежных документов, записей колл-центра и иных аналогичных каналов.

8. Категории обрабатываемых персональных данных

9. Цели обработки персональных данных

• предоставление услуг в сфере медицинского туризма и путешествий;
• организация и координация медицинских услуг;
• создание и ведение записей пациентов и клиентов;
• организация процессов записи и бронирования;
• проведение обследований, диагностики, лечения, хирургических операций и ухода;
• осуществление коммуникации и последующего наблюдения до и после лечения;
• обработка запросов пациентов и клиентов;
• осуществление деятельности колл-центра;
• выставление счетов и осуществление платежных операций;
• осуществление бухгалтерских и финансовых операций;
• выполнение юридических и регуляторных обязательств;
• выполнение обязательств, предусмотренных законодательством в сфере здравоохранения и медицинского туризма;
• выполнение обязательств перед Министерством здравоохранения и уполномоченными учреждениями;
• предоставление отчетности и уведомлений USHAŞ и соответствующим учреждениям;
• обеспечение удовлетворенности пациентов и управление запросами;
• обеспечение информационной безопасности и непрерывности деятельности;
• ведение юридических и административных процессов;
• обработка запросов уполномоченных органов о предоставлении информации и документов;
• выполнение установленных законом обязательств по хранению и уведомлению.

10. Передача персональных данных третьим лицам

Персональные данные, обрабатываемые Компанией, могут передаваться третьим лицам при соблюдении KVKK и иного применимого законодательства, при условии, что такая передача связана с целью обработки, ограничена и соразмерна.

Персональные данные могут передаваться для безопасного и эффективного предоставления медицинских услуг, планирования и осуществления лечения, координации медицинских услуг, выполнения юридических и административных обязательств, а также для иных целей, разрешенных законодательством.

В случаях, разрешенных или предусмотренных законодательством, персональные данные могут передаваться:

• Министерству здравоохранения;
• USHAŞ;
• уполномоченным государственным учреждениям и организациям;
• государственным больницам;
• частным больницам;
• частным клиникам;
• медицинским центрам;
• поликлиникам;
• врачам и медицинским специалистам;
• лабораториям;
• диагностическим центрам и центрам медицинской визуализации;
• иным уполномоченным поставщикам медицинских услуг;
• страховым компаниям;
• поставщикам услуг и деловым партнерам;
• поставщикам финансовых, юридических и консультационных услуг;
• судебным и административным органам;
• иным лицам и организациям, уполномоченным законодательством.

11. Передача данных частным больницам и клиникам в целях лечения

В рамках медицинского туризма и организации лечения Компания может передавать необходимые персональные данные и особые категории персональных данных государственным или частным медицинским учреждениям для осуществления лечения.

В частности, данные могут передаваться следующим получателям:

• частным больницам;
• частным клиникам;
• медицинским центрам;
• поликлиникам;
• врачам;
• другим медицинским работникам;
• лабораториям;
• диагностическим центрам и центрам медицинской визуализации;
• иным уполномоченным поставщикам медицинских услуг.

В частности, могут передаваться сведения о состоянии здоровья, медицинский анамнез, диагнозы, результаты обследований, лабораторные результаты, результаты медицинской визуализации, сведения о лекарствах и лечении, информация об инвалидности, используемых медицинских устройствах и протезах, а также иные сведения о состоянии здоровья, необходимые для осуществления лечения.

Такие передачи могут осуществляться для планирования и проведения лечения, диагностики и лечения, предоставления медицинским работникам необходимой медицинской информации, проведения обследований до и после лечения, координации медицинских услуг и обеспечения безопасности пациента.

При передаче данных о состоянии здоровья частным больницам, частным клиникам или иным поставщикам медицинских услуг соблюдаются положения KVKK, регулирующие особые категории персональных данных, законодательство в сфере здравоохранения и иные применимые нормы.

Персональные данные, не являющиеся необходимыми для предоставления лечения или медицинской услуги, передаче не подлежат.

12. Передача данных Министерству здравоохранения и USHAŞ

Особые категории персональных данных, относящиеся к данным о состоянии здоровья, при необходимости в соответствии с KVKK и законодательством о медицинском туризме могут передаваться Министерству здравоохранения, USHAŞ и другим уполномоченным государственным учреждениям и организациям.

Такая передача может осуществляться для следующих целей:

• осуществление деятельности в сфере медицинского туризма;
• планирование и координация медицинских услуг;
• выполнение обязательств по законодательной отчетности и уведомлениям;
• защита общественного здоровья;
• контроль и регулирование медицинских услуг;
• выполнение иных юридических и регуляторных обязательств.

Такие передачи осуществляются исключительно в случаях, разрешенных или требуемых законодательством, и только в необходимом и соразмерном объеме для соответствующей цели.

13. Передача данных за пределы Турции

Передача персональных данных за пределы Турции осуществляется в соответствии с требованиями статьи 9 KVKK и соответствующего законодательства.

В случае необходимости передачи данных за границу Компания действует в соответствии с решением о достаточности уровня защиты, соответствующими гарантиями или иными предусмотренными законодательством законными механизмами передачи данных.

При передаче персональных данных за пределы страны Компания принимает необходимые меры для защиты основных прав и свобод соответствующих лиц и обеспечения безопасности персональных данных.

14. Хранение персональных данных

Компания хранит персональные данные в физических и электронных системах в течение срока, предусмотренного действующим законодательством или необходимого для соответствующей цели обработки.

При определении сроков хранения учитываются установленные законодательством сроки хранения, цели обработки, юридические обязательства, сроки исковой давности и необходимость сохранения доказательств в случае возможных юридических споров.

По истечении срока хранения или прекращении цели обработки персональные данные удаляются, уничтожаются или обезличиваются в соответствии с законодательством.

15. Меры, принимаемые для обеспечения безопасности данных

В соответствии со статьей 12 KVKK Компания принимает необходимые технические и административные меры для предотвращения незаконной обработки и доступа к персональным данным, а также для обеспечения их безопасного хранения.

15.1. Административные меры

• создаются внутренние политики и процедуры по защите персональных данных;
• сотрудникам предоставляется обучение по KVKK и информационной безопасности;
• права доступа сотрудников определяются в соответствии с их обязанностями;
• с третьими лицами, которым передаются данные, заключаются необходимые соглашения;
• для лиц, участвующих в процессах лечения, устанавливаются обязательства по конфиденциальности;
• процессы обработки персональных данных регулярно контролируются;
• осуществляются необходимые проверки и аудиты;
• при нарушении безопасности данных принимаются предусмотренные законодательством меры.

15.2. Технические меры

• применяются механизмы авторизации и контроля доступа;
• информационные системы защищаются соответствующими мерами безопасности;
• при необходимости используются шифрование и аналогичные методы защиты;
• осуществляется контроль безопасности информационных систем;
• права доступа к персональным данным ограничиваются;
• используется техническая инфраструктура для предотвращения несанкционированного доступа и утечки данных;
• применяются необходимые меры резервного копирования, журналирования и иные технические меры безопасности.

16. Права субъектов данных в соответствии со статьей 11 KVKK

В соответствии со статьей 11 Закона № 6698 «О защите персональных данных» субъекты персональных данных могут обратиться в Компанию для реализации следующих прав:

1. узнать, обрабатываются ли их персональные данные;
2. получить информацию об обработке персональных данных;
3. узнать цели обработки персональных данных и соответствие их использования указанным целям;
4. узнать третьих лиц, которым персональные данные передаются в Турции или за ее пределами;
5. требовать исправления неполных или неточных персональных данных;
6. требовать удаления или уничтожения персональных данных при наличии предусмотренных законом условий;
7. требовать уведомления третьих лиц, которым были переданы данные, об их исправлении, удалении или уничтожении;
8. возражать против результата, возникшего в отношении лица вследствие анализа его данных исключительно автоматизированными системами;
9. требовать возмещения ущерба в случае причинения вреда вследствие незаконной обработки персональных данных.

17. Права субъектов данных в соответствии с GDPR

В случаях, когда GDPR применяется к деятельности Компании по обработке данных, Компания также соблюдает права субъектов данных, предусмотренные GDPR.

• право на доступ к персональным данным;
• право на исправление;
• право на удаление;
• право на ограничение обработки;
• право на переносимость данных;
• право на возражение против обработки;
• права, связанные с автоматизированным принятием решений и профилированием.

Реализация указанных прав осуществляется с учетом условий, ограничений и исключений, предусмотренных GDPR.

18. Обновление Политики

Компания может обновлять настоящую Политику в случае изменений законодательства, изменений в сфере деятельности, создания новых процессов обработки персональных данных или изменения существующих процессов.

Обновленная версия Политики предоставляется субъектам данных посредством соответствующих каналов коммуникации, определенных Компанией.

19. Заключительные положения

Компания рассматривает безопасность персональных данных в качестве одного из основных принципов при предоставлении всех своих услуг.

Особое внимание уделяется защите конфиденциальности персональных данных и особых категорий персональных данных, включая сведения о состоянии здоровья, обрабатываемые в рамках медицинского туризма и процессов лечения.

При необходимости до начала процесса лечения с соответствующим лицом заключается Соглашение о конфиденциальности. Такое соглашение регулирует обязательства сторон в отношении конфиденциальности персональных данных и особых категорий персональных данных, полученных в процессе лечения, а также предусматривает положения, направленные на предотвращение их несанкционированного раскрытия.

Соглашение о конфиденциальности не отменяет обязательства Компании по информированию, обеспечению безопасности данных, хранению, уведомлению и передаче данных уполномоченным учреждениям, предусмотренные KVKK и иным применимым законодательством.

В случаях, разрешенных или требуемых законодательством, Компания может передавать персональные данные Министерству здравоохранения, USHAŞ, государственным и частным больницам, частным клиникам, медицинским центрам, поликлиникам, врачам, лабораториям, диагностическим центрам и центрам медицинской визуализации, а также иным уполномоченным поставщикам медицинских услуг.

Такая передача осуществляется для диагностики, лечения, медицинского наблюдения, ухода, реабилитации, координации медицинских услуг, выполнения юридических обязательств или иных законных целей и в любом случае осуществляется в связи с целью обработки, ограниченно и соразмерно.

Компания обязуется принимать все необходимые меры для защиты конфиденциальности, персональных данных и медицинской информации соответствующих лиц на всех этапах предоставления услуг и процесса лечения.