Veri İşleme Sözleşmesi

1. Taraflar ve Roller

• Veri Sorumlusu: Hizmet Sözleşmesi'ni onaylayan Abone (klinik, muayenehane, sağlık meslek mensubu ya da işletme). Kişisel verilerin işleme amaçlarını ve vasıtalarını Abone belirler.
• Veri İşleyen: Emirhan Ertürk — ideklinik — Yeşilbağlar Mah. D100 Bulvarı Pera Residance No:20 A Blok Kat:6 Ofis:29 Pendik/İstanbul, Türkiye — info@ideklinik.com.tr. Kişisel verileri Abone'nin verdiği yetkiye dayanarak, Abone adına işler.

Abone'nin kendi yetkililerine ve Kullanıcılarına ait hesap verileri bu VİS'in değil, ideklinik'in veri sorumlusu olduğu KVKK Aydınlatma Metni'nin konusudur.

2. Tanımlar

• Kişisel Veri: Kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel Nitelikli Kişisel Veri: KVKK m. 6'da sayılan veriler; bu VİS bakımından özellikle sağlık verileri.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi — Abone'nin hastaları, danışanları, bunların yakınları, potansiyel müşterileri ve çalışanları.
• Alt İşleyen: ideklinik'in Hizmet'i sunmak için yararlandığı ve kişisel verilere erişebilen üçüncü taraf hizmet sağlayıcı.
• Veri İhlali: Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi, değiştirilmesi, kaybolması ya da erişilemez hâle gelmesi.

3. İşlemenin Konusu, Niteliği ve Süresi

3.1. Konu ve amaç

Platform'un Abone'ye sunulması: kayıtların tutulması, randevuların yönetilmesi, hastalarla iletişim kurulması, belgelerin saklanması ve paylaşılması, ödemelerin takibi ve raporlama.

3.2. İşleme faaliyetleri

Kaydetme, depolama, düzenleme, görüntüleme, sınıflandırma, Abone'nin talimatıyla iletme (SMS, e-posta, WhatsApp, hasta paneli), yedekleme, dışa aktarma, anonimleştirme ve silme.

3.3. Kişisel veri kategorileri

• Kimlik: ad, soyad, T.C. kimlik numarası, doğum tarihi, cinsiyet
• İletişim: cep telefonu, e-posta, adres
• Sağlık verileri: anamnez yanıtları, muayene ve seans notları, tanı ve tedavi bilgileri, reçeteler, tahlil sonuçları, ölçümler, diyet listeleri, onam formları ve imzaları, fotoğraflar ve belgeler
• Müşteri işlem: randevular, hizmet ve paket kayıtları, ödemeler, bakiye, faturalar
• İletişim içerikleri: WhatsApp, Instagram, SMS ve hasta paneli yazışmaları; çağrı kayıtları ve santral bilgileri
• Pazarlama: ticari ileti izinleri, kampanya ve form yanıtları
• Çalışan bilgileri: Abone'nin ekip üyelerine ait ad, iletişim, rol, çalışma takvimi ve bordro bilgileri

3.4. Süre

İşleme, Hizmet Sözleşmesi süresince ve bu VİS'in 11. maddesindeki sona erme sürecinin sonuna kadar devam eder.

4. Veri Sorumlusunun (Abone'nin) Yükümlülükleri

Abone;

• Platform'a aktardığı her kişisel veri için KVKK m. 5 ve m. 6'da sayılan hukuki sebeplerden birinin bulunduğunu,
• İlgili kişileri KVKK m. 10 uyarınca aydınlattığını; sağlık verileri ve gerekli diğer hâllerde açık rızayı usulüne uygun aldığını,
• Ticari elektronik ileti gönderimlerinde 6563 sayılı Kanun'a ve İleti Yönetim Sistemi (İYS) kurallarına uyduğunu,
• Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü varsa bunu yerine getirdiğini,
• Kullanıcılarına yalnız görevleri için gerekli yetkileri tanıdığını ve yetkileri güncel tuttuğunu,
• İlgili kişilerin KVKK m. 11 kapsamındaki başvurularını yanıtlamakla kendisinin yükümlü olduğunu

kabul ve taahhüt eder. ideklinik'e verilen talimatların hukuka uygunluğundan Abone sorumludur.

5. Veri İşleyenin (ideklinik'in) Yükümlülükleri

ideklinik;

• Kişisel verileri yalnız Hizmet'i sunmak amacıyla ve Abone'nin talimatları doğrultusunda işler. Abone'nin Platform'daki ayar ve işlemleri, Hizmet Sözleşmesi ve bu VİS ideklinik'e verilmiş belgelenmiş talimat sayılır.
• Kişisel verileri kendi amaçları için kullanmaz; satmaz, kiralamaz, reklam veya pazarlama amacıyla kullanmaz ve yapay zekâ modellerini eğitmek için kullanmaz.
• Bir talimatın mevzuata aykırı olduğu kanaatine varırsa bunu gecikmeksizin Abone'ye bildirir.
• Kişisel verilere yalnız işi gereği erişmesi zorunlu olan, gizlilik yükümlülüğü altındaki personelinin erişmesini sağlar. Personel erişimi, destek talebi, arıza giderme ya da güvenlik incelemesiyle sınırlıdır ve kayıt altına alınır.
• 6. maddedeki teknik ve idari tedbirleri uygular ve güncel tutar.
• İlgili kişi başvurularının yanıtlanması için Abone'ye Platform'daki araçlarla (kaydı görüntüleme, düzeltme, dışa aktarma, silme) ve gerektiğinde ayrıca makul destek sağlar.
• Kişisel Verileri Koruma Kurulu'nun ya da yetkili makamların Abone'ye yönelik inceleme ve taleplerinde Abone'ye makul destek verir.
• Kendisine doğrudan iletilen ilgili kişi başvurularını, kendi verisi olmayan konularda gecikmeksizin Abone'ye yönlendirir.

6. Teknik ve İdari Güvenlik Tedbirleri

ideklinik, KVKK m. 12 ve Kurul'un Kişisel Veri Güvenliği Rehberi esas alınarak ve ISO/IEC 27001 bilgi güvenliği yönetim sistemi kapsamında en az şu tedbirleri uygular:

• Kiracı izolasyonu: Her Abone'nin verisi mantıksal olarak ayrılır; tüm sorgular Abone kimliğine göre süzülür ve bu kural otomatik testlerle sürekli denetlenir.
• Şifreleme: Tüm veri iletimi TLS ile şifrelenir. T.C. kimlik numarası ve üçüncü taraf entegrasyon anahtarları veritabanında alan düzeyinde şifreli saklanır. Hasta fotoğrafları ve belgeler herkese kapalı depolama alanında tutulur ve yalnız yetkili kullanıcıya kısa süreli, imzalı bağlantılarla açılır.
• Erişim kontrolü: Rol tabanlı yetkilendirme; şifreler geri döndürülemez biçimde özetlenerek saklanır; hesap açılışında telefon doğrulaması.
• Kayıt ve izleme: Önemli kayıtların oluşturulması, değiştirilmesi ve silinmesi denetim kaydına yazılır; denetim kayıtları değiştirilemez.
• Yedekleme: Veritabanı her gece yedeklenir; yedekler 14 gün saklanır.
• Saklama ve imha: Hasta kayıtları, son işlemden itibaren mevzuatın öngördüğü süre (20 yıl) dolduğunda otomatik olarak anonim hâle getirilir; kimlik alanları temizlenir, fotoğraf, belge ve notlar kalıcı olarak silinir.
• Güvenli geliştirme: Kod değişiklikleri gözden geçirilir ve otomatik güvenlik testlerinden geçer; bağımlılıklardaki güvenlik açıkları izlenir ve giderilir.
• Personel: Gizlilik taahhüdü, bilgi güvenliği farkındalık eğitimi, görev ayrılığında erişimin derhâl kaldırılması.

7. Alt İşleyenler

Abone, ideklinik'in aşağıdaki alt işleyenlerden yararlanmasına genel yetki verir:

• Contabo — sunucu ve veritabanı barındırma — Almanya
• Cloudflare — fotoğraf ve belge depolama, alan adı, güvenlik ve içerik dağıtımı — ABD merkezli, küresel altyapı
• Vercel — web arayüzlerinin barındırılması — ABD merkezli, küresel altyapı
• Resend — e-posta gönderimi — ABD
• OpenAI — yapay zekâ özellikleri; yalnız kullanıldığında ve kimlik alanları gönderilmeden — ABD
• NetGSM — SMS ve sanal santral — Türkiye
• iyzico — Abone'nin hastalarından tahsilat yaptığı sanal POS işlemleri — Türkiye
• Paraşüt — e-belge (Abone entegrasyonu açtıysa) — Türkiye
• Meta (WhatsApp, Instagram, Facebook) — Abone'nin bağladığı mesajlaşma ve reklam kanalları — ABD / İrlanda, küresel altyapı
• Google — Google Takvim ve Google Meet entegrasyonu (Abone bağladıysa) — ABD

ideklinik, alt işleyenlere bu VİS'tekilerden daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve onların işlemlerinden Abone'ye karşı sorumludur. Yeni bir alt işleyen eklenmeden ya da mevcut biri değiştirilmeden en az 15 gün önce Abone e-postayla bilgilendirilir. Abone, haklı bir gerekçeyle itiraz edebilir; itirazın giderilememesi hâlinde ilgili aboneliğini, kullanılmamış dönem bedeli kendisine iade edilerek sona erdirebilir.

8. Yurt Dışına Aktarım

Alt işleyenlerin bir kısmı yurt dışındadır; Platform'un çalışması bu nedenle kişisel verilerin yurt dışına aktarılmasını gerektirir. ideklinik bu aktarımları KVKK m. 9'da öngörülen usullere uygun olarak, alt işleyenlerle uygun güvenceleri sağlayan sözleşmeler yaparak ve gerekli bildirimleri yaparak gerçekleştirir. Abone, veri sorumlusu olarak ilgili kişileri, kendi aydınlatma metninde yazılım altyapısı nedeniyle verilerin yurt dışında barındırıldığı konusunda bilgilendirir.

9. Veri İhlali Bildirimi

• ideklinik, Abone'nin kişisel verilerini etkileyen bir veri ihlalini öğrendiğinde Abone'yi gecikmeksizin ve en geç 24 saat içinde, hesapta kayıtlı e-posta adresi ve telefonla bilgilendirir.
• Bildirimde, o an bilindiği ölçüde ihlalin niteliği, etkilenen veri ve kişi kategorileri ile yaklaşık sayıları, olası sonuçları ve alınan ya da önerilen tedbirler yer alır; yeni bilgiler ortaya çıktıkça bildirim tamamlanır.
• Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Abone'ye aittir; Kurul'un kararı uyarınca bu bildirim ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır. ideklinik, bu bildirimin hazırlanması için gerekli bilgi ve belgeleri sağlar.
• ideklinik ihlalin etkilerini sınırlamak ve tekrarını önlemek için gerekli tedbirleri derhâl alır ve ihlali kayıt altına alır.

10. Bilgi Talebi ve Denetim

Abone, bu VİS'e uyulup uyulmadığını doğrulamak amacıyla yılda bir kez, makul bir süre önceden yazılı bildirimde bulunarak bilgi ve belge talep edebilir. ideklinik bu talepleri güncel güvenlik politikaları, sertifikalar ve tedbirlere ilişkin açıklamalarla karşılar. Yerinde denetim, diğer Abonelerin verilerinin gizliliğini ve üçüncü taraf altyapı sağlayıcılarının kurallarını ihlal etmeyecek şekilde, tarafların önceden yazılı olarak mutabık kalacağı kapsam ve zamanda yapılabilir; masrafları Abone'ye aittir.

11. Sözleşme Sonu: İade ve Silme

• Hizmet Sözleşmesi'nin sona ermesinden itibaren 90 gün içinde Abone, verilerinin yaygın kullanılan biçimlerde (tablo dosyaları ve özgün belge dosyaları) dışa aktarılmasını isteyebilir. Dışa aktarım ücretsizdir.
• Bu sürenin sonunda Abone Verisi ideklinik'in canlı sistemlerinden silinir ya da anonim hâle getirilir; yedeklerdeki kopyalar yedekleme döngüsü içinde (en geç 14 gün sonra) kendiliğinden ortadan kalkar.
• Hasta kayıtları için mevzuatta öngörülen saklama süreleri veri sorumlusu olarak Abone'yi bağlar. Abone, bu kayıtları Sözleşme sona ermeden önce dışa aktararak saklama yükümlülüğünü yerine getirir. Sona ermeden sonra ideklinik'in Abone adına saklama yükümlülüğü yoktur.
• ideklinik'in kendi hukuki yükümlülükleri nedeniyle saklaması gereken kayıtlar (Abone ile arasındaki fatura, sipariş, onay ve denetim kayıtları) bu maddenin dışındadır.

12. Sorumluluk

Her taraf, bu VİS'ten ve KVKK'dan doğan kendi yükümlülüklerini ihlal etmesinden sorumludur. KVKK m. 12/2 uyarınca veri güvenliğine ilişkin tedbirlerin alınmasında taraflar müştereken sorumludur. Hizmet Sözleşmesi'ndeki sorumluluk sınırlamaları, kast ve ağır ihmal hâlleri saklı kalmak kaydıyla bu VİS bakımından da uygulanır.

13. Yürürlük ve Öncelik

Bu VİS, elektronik ortamda onaylandığı anda yürürlüğe girer ve Hizmet Sözleşmesi süresince geçerlidir. Kişisel verilerin korunmasına ilişkin konularda bu VİS, Hizmet Sözleşmesi'nin diğer hükümlerine göre öncelikli uygulanır. Değişiklikler Hizmet Sözleşmesi'ndeki usulle bildirilir ve onaya sunulur.