Politique de confidentialité

POLITIQUE GÉNÉRALE DE PROTECTION DES DONNÉES PERSONNELLES

Version 1.0 - Septembre 2022

La présente politique définit le cadre général des activités de traitement des données de Uluslararası Sağlık Hizmetleri Anonim Şirketi (ci-après " USHAS ").

1 Portée, Objectif et Utilisateurs

USHAS s'efforce de se conformer aux lois et règlements applicables en matière de protection des données personnelles dans les pays où USHAS opère. Cette Politique énonce les principes de base selon lesquels USHAS traite les données personnelles des clients, fournisseurs, employés et autres personnes, et indique les responsabilités de ses départements commerciaux et employés lors du traitement des données personnelles.

Cette politique s'applique à USHAS et à ses tiers qui traitent les données personnelles des personnes concernées.

Les utilisateurs de ce document sont tous les employés, permanents ou temporaires, et tous les contractants travaillant pour le compte d'USHAS.

2. Documents de Référence

• UE GDPR 2016/679 (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE)
• La loi turque sur la protection des données n° 6698
• Politique de protection des données personnelles des employés
• Avis général de protection des données
• Politique de conservation des données
• Lignes directrices sur l'évaluation de l'impact de la protection des données
• Politique de sécurité de l'information
• Procédure de notification des violations

3. Définitions

Les définitions suivantes des termes utilisés dans le présent document sont tirées de l'article 4 du règlement général sur la protection des données de l'Union Européenne :

Données personnelles : Toute information relative à une personne physique identifiée ou identifiable ("personne concernée") qui peut être identifiée, directement ou indirectement, à partir de ces données, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou un ou plusieurs facteurs spécifiques à l'identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de la personne concernée.

Données personnelles sensibles : Les données à caractère personnel qui sont, par leur nature, particulièrement sensibles au regard des droits et libertés fondamentaux méritent une protection spécifique car le contexte de leur traitement pourrait créer des risques importants pour les droits et libertés fondamentaux de la personne concernée. Il s'agit notamment des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, des données génétiques, des données biométriques permettant d'identifier une personne physique de manière unique, des données relatives à la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle de la personne concernée.

Contrôleur des Données : La personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel.

Responsable du Traitement des Données : Une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui traite des données personnelles pour le compte d'un contrôleur de données.

Traitement : Opération ou ensemble d'opérations effectuées sur des données à caractère personnel ou sur des ensembles de données à caractère personnel, à l'aide de procédés automatisés ou d'autres moyens, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction des données.

Anonymisation : Désidentification irréversible des données personnelles de telle sorte que la personne ne puisse être identifiée en utilisant un temps, un coût et une technologie raisonnables, soit par le responsable du traitement, soit par toute autre personne, pour identifier cette personne. Les principes de traitement des données à caractère personnel ne s'appliquent pas aux données anonymisées, car elles ne sont plus des données à caractère personnel.

Pseudonymisation : Le traitement de données à caractère personnel de telle sorte que les données à caractère personnel ne puissent plus être attribuées à une Personne concernée spécifique sans l'utilisation d'informations supplémentaires, à condition que ces informations supplémentaires soient conservées séparément et fassent l'objet de mesures techniques et organisationnelles visant à garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. La pseudonymisation réduit, mais n'élimine pas complètement, la possibilité d'associer des données personnelles à une personne concernée. Les données pseudonymisées étant toujours des données à caractère personnel, leur traitement doit être conforme aux principes de traitement des données à caractère personnel.

Autorité de Surveillance : Une autorité publique indépendante qui est établie par un État membre conformément à l'article 51 du RGPD de l'UE.

4. Principes de Base Concernant le Traitement des Données Personnelles

Les principes de protection des données définissent les responsabilités fondamentales des organisations qui traitent des données à caractère personnel. L'article 5, paragraphe 2, du GDPR stipule que "le responsable du traitement est responsable du respect des principes et doit pouvoir en apporter la preuve.”

4.1 Légalité, Équité et Transparence

Nous ne traiterons les données personnelles que si nous avons l'une des "bases légitimes" (raisons légales) suivantes pour le faire en vertu de la loi sur la protection des données :

• Les données doivent être traitées pour qu'USHAS puisse exécuter un contrat avec la personne, c'est-à-dire que nous avons besoin des données pour exécuter vos instructions, ou que la personne a demandé à USHAS de prendre des mesures spécifiques avant de conclure un contrat.
• Les données doivent être traitées afin que l'USHAS puisse se conformer à une obligation légale, en particulier aux exigences légales découlant du décret-loi n° 663, qui est la principale législation nous établissant en tant que personne morale.
• Les données doivent être traitées pour les intérêts légitimes d'USHAS ou d'un tiers (à condition que les droits et libertés de la personne ne soient pas supprimés).
• La personne a donné librement un consentement clair.

4.2 Limitation de l'Objectif

Nous ne collectons des données personnelles que pour des raisons spécifiques, explicites et légitimes. Nous expliquons ces raisons aux personnes concernées lorsque nous recueillons leurs données pour la première fois, conformément à l'avis général sur la protection des données (ou la vie privée).

Si nous souhaitons utiliser des données personnelles pour des raisons autres que celles invoquées lors de leur collecte initiale, nous en informerons au préalable les personnes concernées et demanderons leur consentement si nécessaire.

Le personnel de l'USHAS ne traitera les données personnelles que lorsque cela est nécessaire à l'exercice de ses fonctions. Lorsque le personnel n'a plus besoin des données personnelles qu'il détient, il veillera à ce qu'elles soient supprimées, rendues anonymes ou cryptées de manière à les rendre inaccessibles. Cela se fera conformément à la politique de conservation des données de l'USHAS.

4.3 Minimisation des Données

Toutes les données personnelles traitées sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. USHAS peut appliquer l'anonymisation ou la pseudonymisation des données personnelles si cela est possible pour réduire les risques pour les personnes concernées.

4.4 Exactitude

Toutes les données à caractère personnel traitées sont exactes et, si nécessaire, mises à jour ; des mesures raisonnables sont prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées en temps utile.

4.5 Limitation de la Période de Stockage

Les données personnelles ne seront pas conservées plus longtemps que nécessaire aux fins pour lesquelles elles sont traitées (ou seront rendues anonymes ou pseuonymes afin qu'elles ne puissent pas être utilisées pour identifier la personne ou cryptées afin de ne pas être accessibles). Ceci peut être référencé dans notre politique de conservation des données.

4.6 Intégrité et Confidentialité

En tenant compte de l'état de la technologie et des autres mesures de sécurité disponibles, du coût de mise en œuvre, ainsi que de la probabilité et de la gravité des risques liés aux données personnelles, USHAS applique des mesures techniques et organisationnelles appropriées pour traiter les données personnelles de manière à garantir une sécurité appropriée des données personnelles, y compris la protection contre la destruction, la perte, l'altération, l'accès non autorisé ou la divulgation accidentels ou illégaux.

Nous mettrons en place des mesures pour montrer que nous avons intégré la protection des données dans toutes nos activités de traitement des données, notamment:

• Ne traiter que les données personnelles qui sont nécessaires pour chaque finalité spécifique du traitement, et toujours en conformité avec les principes de protection des données énoncés dans la législation pertinente en matière de protection des données
• Réaliser des évaluations d'impact sur la vie privée lorsque le traitement des données personnelles par l'USHAS présente un risque élevé pour les droits et les libertés des personnes, et lors de l'introduction de nouvelles technologies (le DPD donnera son avis sur ce processus).
• Intégrer la protection des données dans les documents internes, notamment la présente politique, les politiques connexes et les avis de confidentialité.
• Former régulièrement les membres du personnel à la législation sur la protection des données, à la présente politique, à toute politique connexe et à toute autre question relative à la protection des données ; nous tiendrons également un registre des présences.
• Réaliser régulièrement des examens et des audits pour tester nos mesures de protection de la vie privée et s'assurer que nous sommes conformes.
• Tenir des registres de nos activités de traitement, y compris :
  • Au bénéfice des personnes concernées, la mise à disposition du nom et des coordonnées d'USHAS et de toutes les informations que nous sommes tenus de partager sur la façon dont nous utilisons et traitons leurs données personnelles (via nos avis de protection des données).
  • Pour toutes les données personnelles que nous détenons, la tenue d'un registre interne du type de données, de la personne concernée, de la manière et de la raison pour laquelle nous utilisons les données, de tout destinataire tiers, de la manière et de la raison pour laquelle nous stockons les données, des périodes de conservation et de la manière dont nous assurons la sécurité des données.

4.7 Responsabilité

USHAS, en tant que contrôleur de données, est responsable du respect des principes énoncés ci-dessus et est en mesure de le démontrer.

5. Intégrer la Protection des Données dans les Activités Commerciales

Afin de démontrer le respect des principes de la protection des données, USHAS a intégré la protection des données dans ses activités commerciales.

5.1 Notification aux Personnes Concernées

(Voir la section 6.1 des lignes directrices sur le traitement loyal)

5.2 Choix et Consentement de la Personne Concernée

(Voir la section 6.2 des lignes directrices sur le traitement équitable)

5.3 Collecte

USHAS s'efforce de collecter le moins de données personnelles possible. Si des données personnelles sont collectées auprès d'un tiers, nous veillerons à ce qu'elles soient collectées légalement. Nous collectons et utilisons vos données personnelles pour gérer notre relation avec vous, y compris pour répondre à vos demandes ou plaintes, pour vous fournir nos Services, pour gérer nos Contrats avec vous, pour vous informer sur d'autres services, les partenaires, les promotions et les événements, pour gérer et améliorer notre Site Internet et nos Services, pour répondre aux demandes des autorités, pour nous conformer à nos obligations contractuelles et légales, et pour d'autres objectifs commerciaux légitimes. USHAS ne partage pas, ne vend pas, ne loue pas et n'échange pas de données personnelles avec des tiers à des fins promotionnelles.

Lorsque vous manifestez votre intérêt pour obtenir des informations supplémentaires sur les Services ou pour vous inscrire à un événement, vous fournissez à USHAS des informations de contact personnelles, telles que le nom, la raison sociale, l'adresse, le numéro de téléphone et l'adresse électronique pour vous contacter. En outre, lorsque vous achetez les services ou que vous vous inscrivez à un événement, USHAS peut également vous demander de fournir à la société des moyens de qualification financière et des informations de facturation, tels que le nom et l'adresse de facturation, et le nombre d'employés au sein de l'organisation qui utilisera les services, qui ne sont pas considérés comme des données à caractère personnel.

Nous pouvons vous demander des informations pour nous permettre de vous fournir un service et nous recueillons ces informations en personne ou par téléphone, par correspondance écrite/numérique ou via le site web. Sous réserve de votre consentement lorsque la loi l'exige, nous utilisons des cookies et d'autres technologies pour suivre l'utilisation de nos sites web et services.

Sous réserve de votre consentement lorsque la loi l'exige, nous pouvons utiliser vos données personnelles pour mener des activités de marketing, de promotion et d'information et pour effectuer des analyses commerciales, des enquêtes de satisfaction ou des études de marché et mener des activités de marketing direct.

Nous pouvons partager vos données personnelles avec des fournisseurs tiers que nous engageons pour traiter les données en notre nom, lorsque ce partage est requis par la loi ou dans d'autres situations autorisées par la loi. Conformément au droit applicable, vous avez le droit d'accéder aux données personnelles que nous détenons à votre sujet, de rectifier, supprimer ou effacer les données inexactes, de vous opposer, à tout moment et gratuitement, au traitement de vos données personnelles à des fins de marketing direct, ainsi que d'autres droits en vertu du droit applicable.

5.4 Utilisation, Conservation et Élimination

Les objectifs, les méthodes, la limitation du stockage et la période de conservation des données personnelles sont conformes aux informations contenues dans l'avis général sur la protection des données. USHAS maintient l'exactitude, l'intégrité, la confidentialité et la pertinence des données personnelles en fonction de la finalité du traitement. Des mécanismes de sécurité adéquats conçus pour protéger les données personnelles sont utilisés pour empêcher que les données personnelles soient volées, utilisées à mauvais escient ou de manière abusive, et pour prévenir les violations de données personnelles.

Nous protégerons les données personnelles et les garderons en sécurité contre tout accès, modification, traitement ou divulgation non autorisés ou illégaux, et contre toute perte, destruction ou dommage accidentels ou illégaux. En particulier :

• Les dossiers papier contenant des données personnelles sont conservés sous clé lorsqu'ils ne sont pas utilisés.
• Les appareils électroniques portables, tels que les ordinateurs portables et les disques durs qui contiennent des données personnelles, sont cryptés de manière à exiger non seulement l'accès à des mots de passe, mais aussi une confirmation de l'utilisateur secondaire (généralement en exigeant que des codes envoyés aux téléphones portables soient insérés dans l'appareil pour sécuriser la connexion).
• Les documents contenant des données personnelles confidentielles ne doivent pas être laissés sur les bureaux, les tables des salles de travail, les tableaux d'affichage ou tout autre endroit accessible à tous.
• Des mots de passe d'au moins 8 caractères contenant des lettres et des chiffres sont utilisés pour accéder aux ordinateurs, ordinateurs portables et autres appareils électroniques de l'USHAS. Il est rappelé au personnel qu'il doit changer ses mots de passe à intervalles réguliers et que les mots de passe ne doivent jamais être partagés avec quelqu'un d'autre.
• Les membres du personnel qui stockent des informations personnelles sur leurs appareils personnels sont tenus de suivre les mêmes procédures de sécurité que pour les équipements appartenant à l'USHAS (voir nos politiques TIC).
• Lorsque nous devons partager des données personnelles avec un tiers, nous faisons preuve de diligence raisonnable et prenons des mesures raisonnables pour nous assurer qu'elles sont stockées en toute sécurité et protégées de manière adéquate (voir section 5.5).
• Si possible en anonymisant ou en pseudonymisant les données.

 

5.5 Divulgation à des Tiers

Les données personnelles sont très rarement confiées à des tiers, mais chaque fois que l'USHAS fait appel à un fournisseur ou à un partenaire commercial tiers pour traiter des données personnelles en son nom, nous veillerons à ce que ce sous-traitant prenne des mesures de sécurité pour sauvegarder les données personnelles qui soient adaptées aux risques associés. Nous établirons un accord de partage des données avec le fournisseur ou le contractant, afin de garantir le traitement équitable et légal de toutes les données personnelles que nous partageons.

USHAS exigera contractuellement du fournisseur ou du partenaire commercial qu'il fournisse le même niveau de protection des données que USHAS. Le fournisseur ou le partenaire commercial ne doit traiter les données personnelles que pour exécuter ses obligations contractuelles envers USHAS ou sur les instructions d'USHAS et non à d'autres fins. Lorsque USHAS traite des données à caractère personnel conjointement avec un tiers indépendant, USHAS spécifiera explicitement ses responsabilités respectives vis-à-vis du tiers dans le contrat concerné ou dans tout autre document juridiquement contraignant.

Une liste de ces partenaires pourrait être fournie aux clients sur demande, à condition qu'il existe une raison légitime.

5.6 Droits d'Accès des Personnes Concernées

Les personnes ont le droit de faire une "demande d'accès aux données" pour avoir accès aux informations personnelles que USHAS détient à leur sujet. Cela comprend :

• La confirmation que leurs données personnelles sont traitées
• L'accès à une copie des données
• Les finalités du traitement des données
• Les catégories de données personnelles concernées
• Si les données ont été partagées et, dans l'affirmative, avec qui
• La durée de conservation des données ou, si cela n'est pas possible, les critères utilisés pour déterminer cette durée
• La source des données, si ce n'est pas la personne concernée
• Si une prise de décision automatisée est appliquée à leurs données, et quelles en sont l'importance et les conséquences pour la personne concernée.

Les demandes d'accès aux informations doivent être soumises par écrit, soit par lettre, soit par courriel au DPD. Elles doivent comprendre :

• Nom de la personne
• Adresse de correspondance
• Numéro de contact et adresse électronique
• Détails de l'information demandée

Un formulaire de demande d'accès à des données personnelles sera envoyé à la personne concernée.

5.8 Portabilité des Données

Les personnes concernées ont le droit de recevoir, sur demande, une copie des données qu'elles nous ont fournies dans un format structuré et de transmettre ces données à un autre responsable du traitement.

5.9 Droit à l'Oubli

Sur demande, les Personnes concernées ont le droit d'obtenir d'USHAS l'effacement de leurs données personnelles. Lorsque USHAS agit en tant que Contrôleur, nous prendrons les mesures nécessaires (y compris les mesures techniques) pour informer les tiers qui utilisent ou traitent ces données afin de se conformer à la demande.

6. Lignes Directrices sur le Traitement Équitable

Les données personnelles ne doivent être traitées que lorsqu'elles sont explicitement autorisées par USHAS.

USHAS décidera s'il y a lieu d'effectuer une analyse d'impact sur la protection des données pour chaque activité de traitement des données, conformément aux lignes directrices relatives à l'analyse d'impact sur la protection des données.

6.1 Avis aux Personnes Concernées

Au moment de la collecte ou avant de collecter des données personnelles pour tout type d'activités de traitement, y compris, mais sans s'y limiter, la vente de services ou les activités de marketing, nous informerons les personnes concernées des éléments suivants : les types de données personnelles collectées, les objectifs du traitement, les méthodes de traitement, les droits des personnes concernées concernant leurs données personnelles, la période de conservation, les transferts internationaux potentiels de données, si les données seront partagées avec des tiers et les mesures de sécurité d'USHAS pour protéger les données personnelles. Ces informations sont fournies par le biais de l'avis général de protection des données (ou de confidentialité).

Lorsque des données personnelles sont partagées avec un tiers, nous veillerons à ce que les personnes concernées en soient informées par le biais d'un avis général de protection des données.

Lorsque des données personnelles sont transférées vers un pays tiers conformément à la politique de transfert transfrontalier des données, l'avis général de protection des données en tiendra compte et indiquera clairement à quel endroit et à quelle entité les données personnelles sont transférées.

Lorsque des données personnelles sensibles sont collectées, nous veillerons à ce que l'avis général de protection des données indique explicitement la raison pour laquelle ces données personnelles sensibles sont collectées.

6.2 Obtention des Consentements

Lorsque le traitement des données personnelles est fondé sur le consentement de la personne concernée ou sur d'autres motifs légaux, nous conserverons une trace de ce consentement. Nous offrirons aux personnes concernées la possibilité de donner leur consentement et nous les informerons qu'elles peuvent le retirer à tout moment.

Lorsque des demandes de correction, de modification ou de destruction de données personnelles sont enregistrées, nous veillerons à ce que ces demandes soient traitées dans un délai raisonnable. Nous enregistrerons également les demandes et tiendrons un registre de celles-ci.

Les données personnelles ne seront traitées que dans le but pour lequel elles ont été initialement collectées. Dans le cas où USHAS souhaite traiter les données personnelles collectées pour une autre finalité, USHAS demandera le consentement de ses personnes concernées par écrit, de manière claire et concise. Cette demande comprendra la finalité initiale pour laquelle les données ont été collectées, ainsi que la ou les nouvelles finalités. La demande comprendra également la raison du changement de finalité.

Aujourd'hui et à l'avenir, nous veillerons à ce que les méthodes de collecte soient conformes à la législation en vigueur, aux bonnes pratiques et aux normes industrielles.

7. Organisation et Responsabilités

La responsabilité du traitement approprié des données personnelles incombe à toute personne travaillant pour ou avec USHAS et ayant accès aux données personnelles traitées par USHAS.

Le conseil de gestion administrative d'USHAS prend des décisions sur les stratégies générales d'USHAS en matière de protection des données personnelles et les approuve.

• S'assurer que tous les systèmes, services et équipements utilisés pour le stockage des données répondent à des normes de sécurité acceptables.
• Effectuer des contrôles et des analyses réguliers pour s'assurer que le matériel et les logiciels de sécurité fonctionnent correctement.
• Améliorer la sensibilisation de tous les employés à la protection des données personnelles des utilisateurs.
• Organiser une formation d'expertise et de sensibilisation à la protection des données personnelles pour les employés travaillant avec des données personnelles.
• Protection des données personnelles des employés de bout en bout. Il doit s'assurer que les données personnelles des employés sont traitées sur la base des objectifs commerciaux légitimes et de la nécessité de l'employeur.
• Transférer les responsabilités en matière de protection des données personnelles aux fournisseurs et améliorer le niveau de sensibilisation des fournisseurs à la protection des données personnelles, ainsi que la transmission des exigences en matière de données personnelles à tout tiers ou fournisseur auquel ils font appel.
• Approuver toute déclaration de protection des données jointe à des communications telles que des courriels et des lettres.
• Répondre à toute demande de renseignements sur la protection des données émanant du grand public, de journalistes ou d'organes de presse tels que les journaux.

8. Réponse aux Incidents de Violation de Données Personnelles

Lorsque USHAS a connaissance d'une violation présumée ou réelle de données personnelles, une enquête interne doit être menée et des mesures correctives appropriées doivent être prises en temps utile. En cas de risque pour les droits et libertés des personnes concernées, USHAS doit notifier les autorités compétentes en matière de protection des données sans retard excessif et, si possible, dans les 72 heures.

Lorsque la violation ou la suspicion de violation de données personnelles affecte des données personnelles qui sont traitées par USHAS en tant que contrôleur de données, les actions suivantes sont effectuées :

USHAS doit établir si la violation de données personnelles doit être signalée à l'Autorité de Surveillance.

• Afin d'établir le risque pour les droits et libertés de la personne concernée affectée, une analyse d'impact interne sur la protection des données doit être réalisée sur l'activité de traitement affectée par la violation des données.
• Si la violation des données personnelles n'est pas susceptible d'entraîner un risque pour les droits et libertés des personnes concernées, aucune notification n'est requise. Toutefois, la violation des données doit être enregistrée dans le registre des violations des données.
• L'autorité de Surveillance doit être notifiée dans un délai raisonnable, mais au plus tard dans les 72 heures, si la violation des données à caractère personnel est susceptible d'entraîner un risque pour les droits et libertés des personnes concernées par la violation des données à caractère personnel. Toute raison pouvant justifier un retard au-delà de 72 heures doit être communiquée à l'autorité de contrôle.

Les notifications à l'autorité de surveillance doivent comprendre les éléments suivants :

• Une description de la nature de la violation
• Catégories de données personnelles concernées
• Nombre approximatif de personnes concernées
• Nom et coordonnées du délégué à la protection des données
• Conséquences de la violation des données personnelles
• Mesures prises pour remédier à la violation des données à caractère personnel
• Toute information relative à la violation des données

9. Audit et Responsabilité

Le conseil de gestion administrative est responsable de l'audit de la mise en œuvre de cette politique au sein de l'USHAS.

Tout employé qui viole cette politique fera l'objet d'une action disciplinaire et l'employé peut également être soumis à des responsabilités civiles ou pénales si sa conduite viole les lois ou les règlements.

10. Conflits de Lois

La présente politique vise à se conformer aux lois et règlements du lieu d'établissement et des pays dans lesquels USHAS opère. En cas de conflit entre la présente politique et les lois et règlements applicables, ces derniers prévaudront.

11. Gestion des documents conservés sur la base de ce document

Le conseil de gestion administrative est responsable du stockage, de la mise à jour et de la révision de tous les documents conservés par USHAS.

Le CTO d'USHAS a la responsabilité générale de cette politique et de sa révision annuelle.