MADDE 1 — AMAÇ VE TANIM
1.1. Bu Plan, PatientPort altyapısında veya alt işleyenlerinde kişisel verilerin hukuka aykırı olarak elde edilmesi, erişilmesi, değiştirilmesi, kaybolması veya ifşası şüphesinde izlenecek adımları belirler. 1.2. "İhlal", güvenlik önlemlerinin aşılması sonucu kişisel verilerin gizliliğinin, bütünlüğünün veya erişilebilirliğinin bozulmasıdır; şüphe de bu Plan'ı tetikler.
MADDE 2 — ROLLER
Olay Yöneticisi (PatientPort): Tolunay Yaşar — info@patientport.com.tr — tespit, izolasyon, teknik inceleme, klinik bildirimi. Hukuk: PatientPort'un hukuk müşaviri (atandığında adı bu Plan'a işlenir; atanana kadar Olay Yöneticisi yürütür) — bildirim metinleri, otorite iletişimi. Klinik tarafı: Klinik süper yöneticisi — Kurul ve ilgili kişi bildirimi. Alt işleyenler: Supabase, Vercel ve diğerleri kendi müşteri sözleşmelerine göre PatientPort'a bildirim yapar; PatientPort bu bildirimleri aynı gün Plan'a dahil eder.
MADDE 3 — ZAMAN ÇİZELGESİ
0–24 saat: Tespit ve izolasyon
- Şüpheli oturumlar ve anahtarlar iptal edilir; gerekirse etkilenen uç nokta veya özellik geçici kapatılır (platform duyurusu ile).
- Kapsam belirlenir: hangi klinikler, hangi tablolar/dosyalar, kaç kayıt, hangi veri kategorileri (sağlık verisi var mı?).
- Deliller korunur: sunucu ve veritabanı günlükleri, erişim kayıtları, zaman damgaları dışa alınır; ihlal kayıt defterine (Madde 5) ilk giriş yapılır.
24–48 saat: Kliniklere bildirim (DPA m.8)
- Etkilenen her kliniğe yazılı rapor: ihlalin niteliği ve zamanı, etkilenen kayıt/kategori kapsamı, olası sonuçlar, alınan ve önerilen tedbirler, PatientPort iletişim noktası, Kurul bildirimi için gereken log dökümleri.
- Bilgi eksikse aşamalı bildirim yapılır; ilk bildirim 48 saati geçmez.
48–72 saat: Otoriteye bildirim (Veri Sorumlusu Klinik)
- Klinik, Kurul'un 2019/10 sayılı Kararı uyarınca öğrenmeden itibaren 72 saat içinde KVKK Veri İhlali Bildirim Formu ile Kurul'a bildirir; GDPR kapsamındaki hastalar için ilgili AB/BK otoritesine bildirim değerlendirilir (GDPR m.33).
- İhlal hastalar için yüksek risk taşıyorsa (sağlık verisi, kimlik hırsızlığı riski) hastalara açık ve sade dille, portal bildirimi/e-posta/SMS ile gecikmeksizin bilgi verilir (GDPR m.34; KVKK Kurul kararı "en kısa sürede"). PatientPort bildirim şablonlarını ve portal duyuru aracını sağlar.
Sonraki 30 gün: Kök neden ve düzeltme
- Kök neden analizi, kalıcı düzeltme, tedbir dokümanının güncellenmesi, kliniklere kapanış raporu, gerektiğinde bağımsız güvenlik testi.
MADDE 4 — SORUMLULUK PAYLAŞIMI
4.1. Klinik personelinin şifresini kaptırması, cihazına zararlı yazılım bulaşması veya yetkisini kötüye kullanması gibi yerel ihlallerde Veri Sorumlusu Klinik sorumludur; PatientPort hesabı kilitleme, oturumları düşürme ve kayıt dökümü ile destek verir. 4.2. Platform çapındaki altyapı ihlallerinde teknik sorumluluk PatientPort'tadır; mali sorumluluk Ana Sözleşme m.8 ve DPA m.11'e tabidir.
MADDE 5 — İHLAL KAYIT DEFTERİ (GDPR m.33/5)
Tespit edilen her olay — bildirim gerektirmese bile — şu bilgilerle kayıt altına alınır: tarih-saat, tespit yöntemi, etkilenen sistem/veri/kişi sayısı, risk değerlendirmesi, alınan tedbirler, bildirim yapıldı mı (kime, ne zaman), kapanış tarihi. Defter en az 5 yıl saklanır ve Kurul talebinde ibraz edilir.
MADDE 6 — İLETİŞİM ŞABLONLARI
Ek-1 — Kliniğe ilk bildirim (e-posta)
Konu: PatientPort — Kişisel Veri Güvenliği Olayı Bildirimi (Olay No: …). Sayın yetkili, [tarih-saat] itibarıyla [olayın kısa tanımı] tespit edilmiştir. Etkilenen veri kategorileri: […]; yaklaşık kayıt/kişi sayısı: […]; olası sonuçlar: […]. Alınan tedbirler: […]. Önerilen tedbirler: […]. Kurul bildirimi için teknik rapor ektedir. İletişim: info@patientport.com.tr. Bilgiler kesinleştikçe güncelleme gönderilecektir.
Ek-2 — Hasta bilgilendirme (TR / EN)
TR: Değerli hastamız, [tarih] tarihinde kliniğimizin kullandığı yazılımda kişisel verilerinizi etkileyebilecek bir güvenlik olayı yaşanmıştır. Etkilenen bilgiler: […]. Olası riskler: […]. Aldığımız önlemler: […]. Sizin yapabilecekleriniz: […]. Sorularınız için: [klinik iletişim].
EN: Dear patient, on [date] a security incident affecting the software used by our clinic may have involved your personal data. Data affected: […]. Possible risks: […]. Measures we have taken: […]. What you can do: […]. For questions please contact: [clinic contact].
Ek-3 — Kurul formu için teknik rapor özeti
- Olayın tarihi, tespit tarihi ve tespit yöntemi; ihlalin kaynağı (iç/dış, alt işleyen).
- Etkilenen sistemler, tablolar/dosyalar, veri kategorileri (özel nitelikli veri var mı), kişi ve kayıt sayısı, ilgili kişi grupları (hasta/personel).
- Olası sonuçlar ve risk değerlendirmesi; alınan teknik ve idari tedbirler; ilgili kişilere bildirim yapıldı mı, nasıl.
- Gecikmeli bildirim varsa gerekçesi; irtibat kişisi.
MADDE 7 — TATBİKAT VE GÜNCELLEME
Plan yılda en az bir kez masa başı tatbikatıyla sınanır; iletişim bilgileri her çeyrekte doğrulanır; mevzuat veya mimari değişikliğinde güncellenir.