Veri işleme sözleşmesi

1. Taraflar ve roller

Klinik; hastaları, hasta adayları, kliniğe mesaj yazan kişiler ve bunların yakınlarıyla ilgili veriler için veri sorumlusudur. Verinin hangi amaçla ve hangi hukuki sebeple toplanacağına Klinik karar verir.

Şirket, bu verileri yalnızca Klinik adına, Klinik'in talimatıyla ve hizmeti sunmak için işleyen veri işleyendir. Şirket bu verileri kendi amaçları için kullanmaz, satmaz, reklam ya da profil çıkarma için kullanmaz.

2. İşlemenin konusu ve kapsamı

• Kişi grupları: hastalar ve hasta adayları, refakatçiler, kliniğe mesaj yazan ya da form dolduran kişiler, klinik ekip üyeleri.
• Veri kategorileri: kimlik ve iletişim bilgileri, randevu, teklif, satış ve ödeme kayıtları, mesaj yazışmaları ve ekleri, onam formları, seyahat ve konaklama bilgileri.
• Özel nitelikli veri: Klinik'in girdiği ölçüde sağlık verileri (muayene ve tedavi notları, fotoğraflar, tıbbi belgeler).
• İşleme faaliyetleri: saklama, gösterme, düzenleme, Klinik'in istediği kanaldan mesaj gönderme, raporlama, yedekleme, silme ve anonimleştirme.
• Süre: abonelik süresince ve aşağıdaki 10. maddede yazan teslim ve silme süresi boyunca.

3. Klinik'in yükümlülükleri

• Hastalara ve diğer ilgili kişilere KVKK md. 10 kapsamında aydınlatma yapmak, gereken açık rızaları almak ve kayıt altında tutmak.
• Sağlık verilerini KVKK md. 6'ya ve Kurul kararlarına uygun işlemek; yalnızca tedavi ve hizmet için gereken veriyi girmek.
• VERBİS kaydı gibi veri sorumlusuna ait yükümlülükleri yerine getirmek.
• Ekip üyelerinin yetkilerini gereken en az erişimle tanımlamak, hesapları paylaşmamak ve ayrılan personelin erişimini kapatmak.
• Pazarlama iletilerinde İleti Yönetim Sistemi (İYS) ve ticari elektronik ileti mevzuatına uymak.

4. Şirket'in yükümlülükleri

• Verileri yalnızca Klinik'in belgelenmiş talimatıyla işlemek. Klinik'in ürün içinde yaptığı ayarlar ve işlemler talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Klinik'i bilgilendirmek.
• Verilere erişen çalışanlarını ve yardımcılarını gizlilik yükümlülüğü altına almak. Şirket personeli kliniğin verisine yalnızca Klinik'in açtığı süreli destek erişimiyle ulaşır ve bu erişim kayıt altına alınır.
• Aşağıdaki 5. maddedeki teknik ve idari tedbirleri almak ve güncel tutmak.
• İlgili kişilerin başvurularını yanıtlamasında Klinik'e yardım etmek: veri kopyası, düzeltme, silme ve anonimleştirme ürün içinde Klinik'in kullanımına sunulur. Şirket'e doğrudan gelen başvurular gecikmeden Klinik'e iletilir.
• Kamu makamlarından gelen talepleri, hukuken yasak olmadıkça Klinik'e bildirmek.

5. Güvenlik tedbirleri

• Sunucular, veritabanı ve dosya depolama Türkiye'de bulunur.
• İletimde şifreleme (TLS); sağlık verisi alanları, hasta dosyaları ve fotoğraflar, erişim belirteçleri ve üçüncü taraf anahtarları AES-256 ile şifreli saklanır.
• Her kliniğin verisi veritabanı satır düzeyi güvenliğiyle ayrılır; rol ve izin tabanlı erişim, iki adımlı doğrulama, IP ve cihaz kısıtı seçenekleri.
• Her değişiklik ve hasta kartı görüntüleme denetim kaydına yazılır; loglara hasta adı, telefon ve e-posta maskeli düşer.
• Düzenli yedekleme, saklama süresi dolan verinin otomatik imhası ya da anonimleştirilmesi.

6. Alt işleyenler

Klinik, Şirket'in hizmeti sunmak için aşağıdaki alt işleyenleri kullanmasına genel izin verir. Bağlantıya bağlı servisler yalnızca Klinik ilgili bağlantıyı ya da özelliği açtığında devreye girer. Şirket, alt işleyenlerini bu sözleşmedekine denk yükümlülüklerle bağlar. Yeni bir alt işleyen eklenmeden önce Klinik uygulama içinde bilgilendirilir; Klinik haklı bir gerekçeyle itiraz ederse aboneliğini ücret iadesiyle sona erdirebilir.

• Barındırma (sunucu, veritabanı, dosya depolama, yedek): Türkiye'deki veri merkezi hizmet sağlayıcısı.
• Meta Platforms (WhatsApp Business Platform, Instagram, Messenger, potansiyel müşteri formları): Klinik bağladığında; Klinik'in kendi işletme hesabı üzerinden.
• Google (Takvim, Gmail, İşletme Profili, Google Ads): Klinik ya da ekip üyesi bağladığında.
• TikTok (reklam ve başvuru formları): Klinik bağladığında.
• Anthropic (yapay zeka özellikleri; ABD): yalnızca Klinik özelliği açıp yurt dışı aktarımını onayladığında; telefon, e-posta ve kimlik numarası gönderilmeden önce maskelenir.
• Deepgram (sesli not ve arama dökümü; ABD): yalnızca Klinik ilgili özelliği açtığında.
• SMS sağlayıcısı (Netgsm), e-posta gönderim hizmeti ve e-Fatura entegratörü: Klinik'in gönderdiği bildirim ve belgeler için.
• Ödeme kuruluşu (iyzico): abonelik ödemesi için. Kart bilgisi Şirket'te saklanmaz.

7. Yurt dışına aktarım

Hasta verilerinin asıl kopyası Türkiye'de saklanır. Yukarıda yurt dışında olduğu belirtilen alt işleyenlere aktarım yalnızca Klinik ilgili bağlantıyı ya da özelliği açtığında ve KVKK md. 9'daki şartlara (Kurul'un ilan ettiği standart sözleşme, yeterlilik kararı ya da ilgili kişinin açık rızası) uygun olarak yapılır. Yapay zeka özellikleri varsayılan olarak kapalıdır ve Klinik'in onayı olmadan veri göndermez.

8. Veri ihlali bildirimi

Şirket, Klinik verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Klinik'e gecikmeksizin ve en geç 48 saat içinde bildirir; bildirimde ihlalin niteliğini, etkilenen veri ve kişi gruplarını, alınan ve önerilen önlemleri belirtir. Klinik'in Kişisel Verileri Koruma Kurulu'na 72 saat içinde ve ilgili kişilere bildirim yapabilmesi için gereken bilgi ve desteği sağlar.

9. Denetim

Şirket, bu sözleşmeye uyumunu gösteren bilgi ve belgeleri Klinik'in yazılı talebi üzerine makul sürede sunar. Klinik ya da Klinik'in görevlendirdiği bağımsız denetçi, makul bir süre önceden bildirmek, sır saklama taahhüdü vermek ve yılda bir kezle sınırlı kalmak şartıyla denetim yapabilir; denetim masrafları Klinik'e aittir. Kurul'un talepleri bu sınırlamaya tabi değildir.

10. Sözleşmenin sona ermesi, verilerin teslimi ve silinmesi

Abonelik sona erdiğinde Klinik talep ederse verilerinin bir kopyası 30 gün içinde kendisine teslim edilir. Kapatılan klinik hesabı hemen askıya alınır, kişisel veriler 30 gün sonra geri döndürülemez biçimde imha edilir ya da anonimleştirilir. Kanunen saklanması zorunlu satış ve fatura kayıtları kişisel veri içermeden saklanır. Yedeklerdeki kopyalar yedekleme döngüsü içinde kendiliğinden silinir.

11. Sorumluluk

Taraflar, kendi yükümlülüklerini ihlal etmelerinden doğan zarardan sorumludur. Klinik'in aydınlatma, açık rıza ve hukuki sebebe ilişkin yükümlülüklerini yerine getirmemesinden doğan talepler Klinik'in sorumluluğundadır. Şirket'in sorumluluğu, kanunun izin verdiği ölçüde kullanım şartlarındaki sınıra (zararın doğduğu tarihten önceki 12 ayda ödenen abonelik ücreti) tabidir; kasıt ve ağır ihmal hâlleri saklıdır.

12. Yürürlük ve değişiklikler

Sözleşme Klinik yetkilisinin uygulama içindeki onayıyla yürürlüğe girer; onayın tarihi, saati, onaylayan kişi, IP adresi ve sözleşme sürümü kayıt altına alınır. Sözleşme değiştiğinde yeni sürüm uygulama içinde yeniden onaya sunulur. Uyuşmazlıklarda Türkiye Cumhuriyeti hukuku uygulanır, [İl] mahkemeleri ve icra daireleri yetkilidir.

Veri işleyen: [Şirket unvanı], [Şirket adresi], [MERSİS ya da vergi numarası]. KVKK iletişim: kvkk@sinaroute.local.