1. GİRİŞ

1.1. Amaç

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda yer alan düzenlemelere, Kişisel Verileri Koruma Kurulu kararlarına ve ikincil mevzuata uyum kapsamında hazırlanmış bulunan bu "Kişisel Verilerin Korunması ve İşlenmesi Politikası"nın temel amacı; Türk Ortopedi ve Travmatoloji Derneği ve kendisine bağlı Türk Ortopedi ve Travmatoloji Derneği İktisadi İşletmesi tarafından yasal mevzuat çerçevesinde gerçekleştirilen kişisel veri işleme faaliyetinin yürütülmesinde benimsenen ilkelerin belirlenmesi, veri sahiplerinin şeffaf ve doğru şekilde bilgilendirilmesi ve haklarını etkin şekilde kullanabilmelerinin sağlanmasıdır.

1.2. Kapsam

İşbu politika Türk Ortopedi ve Travmatoloji Derneği'nin işlemekte olduğu kişisel verilere yönelik tüm faaliyetleri kapsar ve söz konusu faaliyetlere uygulanır.

1.3. Kısaltmalar ve Tanımlar

2. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER

TOTDER tarafından kişisel verilerin işlenmesinde aşağıda yer alan genel ilkelere bağlı kalınmaktadır.

3. KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASINA İLİŞKİN HUKUKİ YÜKÜMLÜLÜKLER

3.1. Veri Güvenliğinin Sağlanması Yükümlülüğü

TOTDER, veri sorumlusu sıfatıyla toplamış olduğu kişisel verilerin hukuka aykırı olarak işlenmesini, açıklanmasını, erişilmesini önlemek ve bunların hukuka uygun olarak saklanmasını sağlamak için mevzuatta belirlenmiş bulunan idari ve teknik tedbirleri almakta, gerekli denetim mekanizmalarını oluşturmaktadır. Veri güvenliğine ilişkin yükümlülükler ve alınan tedbirler işbu Politika'nın 11. bölümünde detaylandırılmaktadır.

3.2. Aydınlatma Yükümlülüğü

TOTDER, KVKK 10. maddesine ve ilgili mevzuata uygun biçimde kişisel veri sahiplerinin bilgilendirilmesini sağlamak için gerekli süreçleri yürütmekte ve veri sahiplerine sunulan aydınlatma metinlerinde aşağıda sıralanan bilgiler çerçevesinde onları aydınlatma yükümlülüğünü yerine getirmektedir;

• Veri sorumlusunun kimliği,
• Veri sahiplerinin kişisel verilerinin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• İlgili Kişinin sahip olduğu haklar

4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

TOTDER tarafından ilgili kişinin açık rızasının temin edilmesi dışında kişisel veri işleme faaliyetinin dayanağı KVKK madde 5'te belirtilen şartlardan en az biri olabileceği gibi birden fazla şart da veri işleme faaliyetin dayanağını oluşturabilir.

Buna göre yasal düzenleme çerçevesinde kişisel verilerin işlenme şartları;

• İlgili kişinin açık rızasının varlığı; TOTDER, yasal mevzuatta belirtilen işleme şartlarından herhangi birinin bulunmaması halinde, aydınlatma yükümlülüğünü yerine getirerek ilgili kişinin açık rızasını yazılı/basılı veya elektronik ortamlarda yer alan açık rıza metinleriyle almak suretiyle kişisel veri işleme faaliyetinde bulunmaktadır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

Kişisel veri sahibinin açık rızasına gerek kalmaksızın kişisel verilerinin işlenebileceği durumlar;

5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

TOTDER tarafından özel nitelikli kişisel veriler, KVKK 6.maddesi ile mevzuata uygun olarak ve Kişisel Verileri Koruma Kurulu'nun belirlediği idari ve teknik tedbirler alınarak ve ilgili kişinin açık rızasının varlığı halinde veya mevzuatın zorunlu kıldığı hallerde işlenebilecektir.

6. İŞLENEN KİŞİSEL VERİLERE İLİŞKİN KATEGORİLER

TOTDER nezdinde, KVKK 5. ve 6. Maddesinde belirtilen kişisel veri işleme şartlarından en az birinin varlığı halinde, aydınlatmaya dayalı olarak ve kişisel veri işleme amaçlarımız doğrultusunda işlenen kişisel veri kategorileri, açıklama ve içerikleri ile veri sahipleri;

7. KİŞİSEL VERİ İŞLEME AMAÇLARI

TOTDER olarak kişisel verileri genel olarak ve fakat bunlarla sınırlı olmamak üzere aşağıda sayılan ana amaçlarla işlenmektedir:

• Yasal mevzuat hükümleri çerçevesindeki hukuki yükümlülüklerin yerine getirilmesi,
• Dernek faaliyetlerinin planlanması ve yönetilmesi,
• Dernek üyelik başvuru ve değerlendirme süreçlerinin yürütülmesi,
• Üyelik takibinin yapılması ve aidatların ödenmesine ilişkin süreçlerin yönetilmesi,
• Kurumsal iletişim faaliyetlerinin planlanması ve yürütülmesi,
• Tedarikçiler ve diğer üçüncü kişiler ile olan ilişkilerin yürütülmesi,
• Dernek insan kaynakları politikaları ve süreçlerinin planlanması ve icra edilmesi,
• Etkinlik ve faaliyet katılımcı kayıtlarının oluşturulması ve yönetimi,
• Dernek İktisadi İşletmesi tarafından sunulan hizmetlere ilişkin süreçlerin yürütülmesi,
• Etkinlik organizasyon ve yönetimine ilişkin süreçlerin yürütülmesi,
• Her türlü talep ve şikâyet süreçlerinin yönetilmesi,
• Sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,
• İstatistiksel çalışmalar yapılması,
• Finans ve muhasebe işlerinin yürütülmesi,
• Hizmetler karşılığında faturalandırma yapılması,
• Mevzuata aykırı ve yetkisiz işlemlerin izlenmesi ve engellenmesi,
• Bilgi ve bilişim güvenliğinin sağlanması,
• Dernek ile iş ilişkisinde bulunan gerçek ve tüzel kişilerle irtibat sağlanması,
• Acil durum yönetimi süreçlerinin planlanması ve icra edilmesi,
• Düzenleyici ve denetleyici kurumlarla, resmi mercilerin denetimleri doğrultusunda gerekli bilgilerin verilmesi.

TOTDER olarak kişisel verileri işleme amaçlarına; Aydınlatma Metinlerinde ayrıntılı olarak yer verilmekte olup; bu aydınlatma metinlerinde belirtilen veri işleme faaliyetlerinin KVKK 5. ve 6. Maddelerinde yer alan hukuka uygunluk şartlarından birini karşılamaması durumunda ilgili kişinin açık rızası alınmaktadır.

8. KİŞİSEL VERİLERİ TOPLAMA YÖNTEMLERİ VE HUKUKİ NEDENLERİ

Kişisel veriler; basılı ve elektronik formlar, sözleşmeler, bilgi sistemleri ve elektronik cihazlar, çevrimiçi platformlar ve bunlar tarafından yaratılan çerezler, üçüncü taraflarca yaratılan takip çerezleri ve ilgili kişi tarafından beyan edilen diğer belgeler vasıtasıyla toplanmaktadır.

Bu kapsamda söz konusu verilerin toplanmasının temel nedeni ilgili mevzuatlar olup; Derneğimizin çeşitli faaliyetleri kapsamında KVKK'nın 5/2(c) maddesi gereği bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, KVKK'nın 5/2(ç) maddesi gereği veri sorumlusu olan Derneğimizin hukuki yükümlülüklerini yerine getirebilmesi için zorunlu olması; Dernek faaliyetlerinin yürütülmesi amacıyla KVKK'nın 5/2(e) maddesi gereği hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ayrıca KVKK'nın 5/2(f) maddesi gereği yukarıda sayılan veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Derneğin meşru menfaatleri için veri işlenmesinin zorunlu olması hukuki nedenleri kapsamında anılan kişisel veriler toplanmakta ve işlenmektedir.

9. KİŞİSEL VERİLERİN AKTARILMASI

TOTDER olarak, kişisel verilerin aktarılması konusunda KVKK'da öngörülen düzenlemelere ve KVK Kurulu tarafından alınan kararlara uygun hareket edilmektedir.

TOTDER Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler

Kişisel veriler işbu Politika'da belirtilen kurallar kapsamında yurt içinde aşağıda listelenen kişi kategorilerine aktarılabilir:

• TOTDER yetkilileri,
• TOTDER tedarikçileri,
• Hukuken yetkili kamu kurum ve kuruluşları,
• Hukuken yetkili özel hukuk kişileri,

10. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Derneğimiz, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili yasal mevzuatta öngörülen süre kadar muhafaza etmektedir. Kanunlarda ve sair mevzuatta öngörülen bir saklama süresi bulunmuyorsa, kişisel veriler Derneğimizin Kişisel Veri Saklama ve İmha Politikası'na uygun olarak, o kişisel veriyi işleme amacının gerçekleşmesi için gereken süre kadar saklanmakta, daha sonra periyodik imha süreleri çerçevesinde silinmekte, yok edilmekte veya anonim hale getirilmektedir.

11. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINAN TEDBİRLER

TOTDER tarafından, KVKK 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesi önlemek; verilerin muhafazasını sağlamak ve zarar görmesini önlemek için olanaklar dahilinde uygun ve makul teknik ve idari tedbirleri alınmakta olup; ortaya çıkacak gereklilikler kapsamında yeni idari ve teknik tedbirler de alınması sağlanacaktır.

Kişisel verilerin, işlenme ilkelerine uygun olarak işlenmesinin temin edilmesi kapsamında aşağıda sayılan teknik ve idari tedbirleri alınmakta; gerekli denetimler yapılmakta veya yaptırılmaktadır.

11.1. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Alınan İdari Tedbirler

• Dernek faaliyet süreçlerinin KVKK ve ilgili ikincil düzenlemelere uyumlu hale getirilmesi için gereken uygulamaların tespit edilerek iç politikalarla düzenlenmesi ve periyodik olarak gözden geçirilerek gerektiğinde güncellenmesi,
• Kişisel Verilere erişim yetkisi bulunanlar başta olmak üzere tüm çalışanların kişisel verilerin korunması konusundaki görev ve sorumlulukları ile ilgili olarak bilgilendirilmesi için gerekli aksiyonların alınması,
• Çalışanlar için kişisel verilerin korunması hakkında eğitim çalışması yapılarak farkındalık kazanmalarının sağlanması,
• Tüm üçüncü taraf ve çalışanlarla yapılan sözleşmelere kişisel verilerin korunmasına ilişkin hükümlerin eklenmesi veya ek sözleşmeler yapılması,
• Kişisel verilerin aktarıma konu olduğu durumlarda, kişisel verilerin aktarıldığı kişiler ile akdedilmiş olan sözleşmelere, kişisel verilerin aktarıldığı tarafın veri güvenliğini sağlamaya yönelik yükümlülükleri yerine getireceğine ilişkin kayıtların eklenmesi,
• Veri envanteri ile veri işleme şartlarının hangi durumlarda gerçekleştiğinin tespiti,
• Veri minimizasyonunun sağlanması,
• Veri saklama sürelerinin tespit edilmesi
• Kişisel Veri işleme faaliyetlerinin iş birimi bazında takibinin yapılması,
• Kişisel veri işlemeye başlamadan önce Derneğimiz tarafından, ilgili kişileri aydınlatma yükümlülüğünün yerine getirilmesi,
• KVKK yükümlülüklerine uyumun periyodik olarak denetlenmesi
• Özel Nitelikli Kişisel Verilere erişimin daha katı önlemlere tabi tutulması,

11.2. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek İçin Alınan Teknik Tedbirler

• Kişisel verilere erişimlerin kayıt altına alınması
• Erişim yetki kısıtlamalarının öngörülmesi,
• TOTDER internet sitesinde, ilgili kişilerin kişisel verileri ile ilgili başvurularının alınması amacıyla gerekli yönlendirmelerin yapılması,
• Sistem güvenliğine yönelik süreçlerin geliştirilmesi
• Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımların kurulması,
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliğinin sağlanması,
• Erişim log kayıtlarının kullanıcı müdahalesi olmayacak şekilde tutulması,
• Sistem güvenliğine yönelik süreçlerin geliştirilmesi,
• Veri yedeklemelerinin yapılması
• Alınan önlemler konusunda düzenli denetim yapılması,
• Teknik konularda gerektiğinde uzman danışmanlardan destek alınması,
• Kişisel verilerin korunmasına ilişkin olarak, teknolojinin imkân verdiği ölçüde ve makul teknik önlemler alınması, güncellenmesi ve iyileştirilmesi.

11.3. Kişisel Verilerin Hukuka Aykırı olarak İfşası Durumunda Alınacak Tedbirler

TOTDER tarafından yürütülen kişisel veri işleme faaliyeti kapsamında, kişisel verilerin hukuka aykırı olarak yetkisiz kimseler tarafından elde edildiğinin tespit edildiği durumlarda, vakit kaybedilmeksizin durum Kurul'a ve ilgili veri sahiplerine bildirilecektir.

12. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI

12.1. Kişisel Veri Sahibinin Hakları

Kişisel veri sahipleri KVKK madde 11 uyarınca kişisel verilerine ilişkin olarak aşağıda yer alan haklara sahiptirler;

1. TOTDER tarafından kişisel verilerinin işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemlerin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemlerin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. TOTDER tarafından işlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

12.2. Mevzuat Gereği Başvuru Hakkı Kapsamı Dışında Kalan Durumlar

KVK Kanunu'nun 28. maddesi uyarınca, aşağıdaki haller KVK Kanun'u kapsamı dışında tutulduğundan kişisel veri sahiplerinin başvuru haklarını ileri sürmeleri mümkün olmayacaktır:

• Kişisel verilerinin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
• Kişisel verilerinin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVK Kanunu'nun 28. maddesinin 2. fıkrası uyarınca, zararın giderilmesini talep etme hakkı hariç olmak üzere, aşağıdaki durumlarda da hakların ileri sürülebilmesi mümkün değildir:

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturması veya kovuşturma için gerekli olması,
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

12.3. Kişisel Veri Sahibinin Haklarını Kullanması

Kişisel veri sahipleri, Kişisel Verileri Koruma Kurulu'nun belirlediği diğer yöntemler saklı kalmak üzere, kişisel verilerine ilişkin hak taleplerini, kimliklerini doğrulayıcı belgelerle (nüfus cüzdanı kopyası vb.) totder@totder.org.tr elektronik posta adresine elektronik postayla veya "Mevlanakapı, Bıçkı Sk. No:21/7 Fatih/İstanbul" adresine noter vasıtasıyla ya da elden iletebileceklerdir.

Veri sahipleri, "Veri Sahibi Başvuru Formu"na Derneğimizin www.totder.org.tr adresli internet sitesinden ulaşabilirler.

Başvuru sırasında veya başvuru değerlendirilirken ek bilgi ve belge talep edilmesi söz konusu olabilir.

Kişisel veri sahibinin, Politikanın 13.1. maddesinde yer alan haklara ilişkin talebini usule uygun olarak iletmesi durumunda, TOBİD talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarife uyarınca ücret alınabilecektir.

Derneğimiz, Başvuru Sahibi'ne yazılı olarak veya elektronik ortamda vereceği cevapla başvuruyu kabul edebileceği gibi; kişisel veri sahibinin başvurusu aşağıda belirtilen durumlarda gerekçesi açıklanarak reddedilebilecektir:

• Diğer kişilerin hak ve özgürlüklerini engellemesi
• Orantısız çaba gerektirmesi
• Başvurunun haklı bir nedene dayanmaması
• Başvurunun ilgili mevzuata aykırı bir istek içermesi
• Başvuru usulüne uyulmaması
• Bilginin kamuya açık bir bilgi olması
• Başkalarının gizliliğini tehlikeye atması
• KVKK uyarınca kapsam dışında kalan hallerden birinin mevcut olması

13. POLİTİKANIN YÜRÜRLÜĞÜ VE GÜNCELLENMESİ

TOTDER Yönetim Kurulu tarafından onaylandığı andan itibaren yürürlüğe giren işbu Politika herhangi bir bildirimde bulunulmaksızın, yılda en az bir kez gözden geçirilir ve ihtiyaç halinde gerekli olan bölümler güncellenir.