Veri İşleme Eki

1. Taraflar ve Roller

• Veri sorumlusu: Abone. Hasta Verilerinin hangi amaçla ve hangi araçlarla işleneceğine Abone karar verir.
• Veri işleyen: Şirket. Hasta Verilerini yalnız Abone adına ve bu ekteki talimatlar çerçevesinde işler.
• Şirket, Abonenin ve ekip üyelerinin hesap, faturalama ve güvenlik verileri ile Hastanın Platformda kendi adına açtığı hesaptaki veriler bakımından ayrıca veri sorumlusudur; bu veriler KVKK Aydınlatma Metni kapsamında işlenir.

KVKK md. 12/2 uyarınca Abone, veri güvenliği tedbirlerinin alınması hususunda Şirketle birlikte müştereken sorumludur.

2. Talimat

Şirket Hasta Verilerini yalnız Abonenin belgelenmiş talimatıyla işler. Talimat; bu sözleşme ve ek, Abonenin panelde yaptığı seçim ve ayarlar (ör. hatırlatma gönderimi, yapay zekâ aracının kullanılması) ve yazılı destek talepleridir.

Şirket, bir talimatın mevzuata aykırı olduğunu düşünürse bunu Aboneye gecikmeksizin bildirir ve aykırılık giderilene kadar talimatı uygulamayabilir. Şirket, Hasta Verilerini kendi amaçları için, pazarlama için veya yapay zekâ modeli eğitmek için kullanmaz.

3. İlgili Kişiler, Veri Kategorileri ve Amaçlar

İlgili kişiler: Hastalar; hasta yakınları, veli ve vasiler; veteriner ve işletme hesaplarında hayvan sahipleri ve müşteriler; Abonenin çalışanları ve ekip üyeleri.

Veri kategorileri:

• Kimlik (ad soyad, doğum tarihi, T.C. kimlik numarası gerektiğinde)
• İletişim (telefon, e-posta, adres)
• Randevu ve işlem kayıtları (tarih, hizmet, hatırlatma, görüşme kayıtları)
• Mesajlaşma içerikleri ve görüntülü veya sesli görüşme verileri
• Finansal işlem kayıtları (tahsilat, ödeme durumu)
• Özel nitelikli veri: sağlık verileri (şikâyet, muayene notu, tanı, tedavi, reçete, tahlil ve ölçüm sonuçları, sağlık belgeleri ve görselleri)

Amaçlar: randevu ve takvim yönetimi, hasta takibi ve kayıt tutma, Hastayla iletişim ve hatırlatma, faturalama ve tahsilat kaydı, Abonenin talep ettiği yapay zekâ destekli işlemler (not, özet, çeviri) ve bu hizmetlerin güvenli biçimde sunulması.

Süre: Sözleşme süresince ve bu ekin 11. maddesindeki iade ve imha süreleri boyunca.

4. Güvenlik Tedbirleri

Şirket, KVKK md. 12/1 ve Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel veriler için yeterli önlemlere ilişkin 31.01.2018 tarihli ve 2018/10 sayılı Kararı doğrultusunda en az şu tedbirleri alır:

• Verilerin ağ üzerinden aktarımında şifreleme (TLS)
• Rol ve yetkiye dayalı erişim; Abonenin ekip üyelerine yalnız verdiği yetki kadar erişim
• Şirket personelinin Hasta Verilerine yalnız destek veya güvenlik gereği ve kayıt altına alınarak erişmesi
• Erişim ve işlem kayıtlarının tutulması ve izlenmesi
• Personelin gizlilik taahhüdü ve kişisel veri eğitimi
• Düzenli yedekleme ve yedeklere erişimin sınırlandırılması
• Hesaplarda güçlü şifre ve iki aşamalı doğrulama seçeneği
• Güvenlik açıklarının izlenmesi ve yazılım güncellemelerinin zamanında uygulanması

Abone de kendi tarafında cihaz güvenliği, şifre gizliliği ve ekip üyelerinin yetkilendirilmesi gibi tedbirleri almakla yükümlüdür.

5. Gizlilik

Şirket, Hasta Verilerine erişen personelinin ve alt işleyenlerinin gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük sözleşme sona erdikten sonra da sürer.

6. Alt İşleyenler

Abone, Şirketin aşağıdaki alt işleyenleri kullanmasına genel izin verir. Şirket her alt işleyenle bu ektekilerden daha az koruyucu olmayan yükümlülükler içeren bir sözleşme yapar ve alt işleyenin eyleminden Aboneye karşı sorumludur.

• Radore Veri Merkezi Hizmetleri A.Ş. (Türkiye): sunucu barındırma, veritabanı ve yedekler
• Cloudflare, Inc. (ABD, küresel ağ): içerik dağıtımı, alan adı ve güvenlik hizmetleri, dosya depolama
• Anthropic PBC (ABD): yapay zekâ dil modeli (asistan, not ve özet, çeviri)
• OpenAI, L.L.C. (ABD): yapay zekâ dil ve ses modelleri
• ElevenLabs (ABD): ses sentezi ve konuşmanın metne dönüştürülmesi
• Voyage AI (ABD): metin gömme ve anlamsal arama
• Functional Software, Inc. (Sentry) (ABD): hata izleme
• iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico) (Türkiye): ödeme işlemleri
• E-posta gönderimi: Şirketin SMTP e-posta sunucusu ve Twilio Inc. (SendGrid) (ABD)
• SMS gönderimi: NetGSM ve Verimor (Türkiye), Twilio Inc. (ABD)
• Meta Platforms (WhatsApp Business) (ABD ve İrlanda): WhatsApp iletileri
• 650 Industries, Inc. (Expo) (ABD): mobil uygulama bildirimlerinin iletilmesi

Şirket yeni bir alt işleyen eklemeden veya mevcut olanı değiştirmeden en az 30 gün önce bu sayfayı günceller ve Aboneye e-posta ile bildirir. Abone haklı bir gerekçeyle itiraz edebilir; itiraz giderilemezse Abone sözleşmeyi feshedebilir ve kullanılmayan sürenin bedelinin iadesini isteyebilir.

7. Yurt Dışına Aktarım

6. maddede yurt dışında bulunan alt işleyenlere aktarım, KVKK md. 9 uyarınca uygun güvence olarak Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeye dayanılarak yapılır. Standart sözleşme, mevzuatın öngördüğü süre içinde Kurul'a bildirilir.

Yurt dışı aktarım yalnız ilgili hizmetin gerektirdiği ölçüde yapılır. Özellikle yapay zekâ, ses ve çeviri araçlarına Hasta Verisi, yalnız Abone veya ekip üyesi o aracı kullandığında ve işlem için gerekli olan kadarıyla gönderilir. Abone, aracı kullanmayarak bu aktarımı önleyebilir.

Abone, bu sözleşmeyi kabul ederek Şirkete, Abone adına gerekli standart sözleşmeleri alt işleyenlerle kurma ve bildirimleri yapma talimatı verir.

8. Veri Sahibi Başvuruları

Şirket, Abonenin KVKK md. 11 kapsamındaki başvuruları yanıtlayabilmesi için Platformdaki dışa aktarma, düzeltme ve silme araçlarını sunar ve gerektiğinde teknik destek verir.

Hasta Verilerine ilişkin bir başvuru doğrudan Şirkete gelirse Şirket başvuruyu en geç 3 iş günü içinde Aboneye iletir ve Abonenin talimatı olmadan başvuruyu esastan yanıtlamaz; başvuru sahibine başvurunun veri sorumlusuna iletildiğini bildirir.

9. Veri İhlali Bildirimi

Şirket, Hasta Verilerini etkileyen bir veri ihlalini öğrendiğinde Aboneye gecikmeksizin ve en geç 72 saat içinde bildirir. Bildirimde, o an bilinebildiği ölçüde ihlalin niteliği, etkilenen veri ve kişi kategorileri ile yaklaşık sayıları, olası sonuçları, alınan ve önerilen tedbirler ve irtibat kişisi yer alır; yeni bilgiler öğrenildikçe tamamlanır.

Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim veri sorumlusu olarak Aboneye aittir; Şirket bunun için gerekli bilgi ve desteği sağlar.

10. Denetim

Abone, Şirketin bu eke uyumunu denetlemek için yılda bir kez ve en az 30 gün önceden yazılı bildirimle bilgi ve belge (güvenlik politikaları, alt işleyen listesi, ilgili raporların özetleri) isteyebilir. Gerekli hallerde yerinde denetim, gizlilik taahhüdü altında, mesai saatlerinde ve diğer abonelerin verilerinin gizliliğini bozmayacak biçimde yapılır; denetimin masrafı Aboneye aittir.

Şirket, Kişisel Verileri Koruma Kurulu ve diğer yetkili makamların denetimlerinde Aboneyle işbirliği yapar.

11. İade ve İmha

Sözleşme sona erdiğinde Abone, 30 gün içinde Hasta Verilerini Platformdan dışa aktarabilir. Bu sürenin sonunda Şirket Hasta Verilerini siler veya anonim hâle getirir; yedeklerdeki kopyalar yedekleme döngüsü içinde ve en geç 90 gün içinde silinir.

Sağlık kayıtlarını mevzuatta öngörülen süre boyunca saklama yükümlülüğü veri sorumlusu olarak Aboneye aittir; Abone bu kayıtları sona ermeden önce dışa aktarmakla yükümlüdür. Şirketin kendi kanuni saklama yükümlülükleri (ör. fatura kayıtları) saklıdır.

12. Süre ve Öncelik

Bu ek, sözleşme yürürlükte kaldığı ve Şirket Hasta Verisi işlediği sürece geçerlidir. Kişisel verilerin korunması konusunda sözleşme ile bu ek arasında çelişki olursa bu ek uygulanır.

İlgili belgeler

• Hekim ve İşletme Abonelik ve Hizmet Sözleşmesi
• Hekim İçerik ve Tanıtım Kuralları
• Hasta Aydınlatma Metni Şablonu