Ek-1 · Veri İşleme Sözleşmesi
Sürüm 2026.09-3. Bu ek, Abonelik ve Hizmet Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca veri sorumlusu Klinik ile veri işleyen Clasura ("Platform") arasındaki ilişkiyi düzenler.
1. Konu, süre ve roller
- Platform, Klinik'in Hizmet'e kaydettiği Danışan verilerini yalnızca Klinik adına, Hizmet'i sunmak amacıyla ve Klinik'in talimatları doğrultusunda işler. Klinik'in Hizmet'i paneldeki ayarlarla kullanması, belgelenmiş talimat sayılır.
- Verilerin hangi amaçla, hangi hukuki sebebe dayanarak toplanacağına ve ne kadar süre saklanacağına Klinik karar verir.
- Bu ek, ana sözleşme süresince ve veriler silinene kadar yürürlüktedir.
2. İşlenen veriler
| İlgili kişi grupları | Danışanlar ve danışan adayları (web randevu talebi, bekleme listesi), Danışan yakınları (yalnızca Klinik girerse) |
|---|---|
| Veri kategorileri | Kimlik ve iletişim; randevu ve görüşme kayıtları; ödeme ve paket kayıtları; sağlık verileri (ölçümler, vücut analizi, tahlil sonuçları, hastalık ve ilaç bilgisi, beslenme günlüğü, öğün fotoğrafları, klinik notlar, beslenme programları); görsel kayıtlar; rıza ve onam kayıtları; portal kullanım kayıtları |
| İşleme faaliyetleri | Kaydetme, saklama, düzenleme, görüntüleme, raporlama, ileti gönderimi, yedekleme, dışa aktarma, silme |
3. Klinik'in yükümlülükleri
- Danışanları aydınlatmak; sağlık verileri ve gerekiyorsa yurt dışına aktarım, pazarlama iletisi ve görsel paylaşımı için açık rıza almak ve ispatlayabilmek.
- Yalnızca hizmetiyle ilgili ve gerekli verileri girmek; Kullanıcı yetkilerini işin gereğine göre sınırlamak.
- İlgili kişi başvurularını yanıtlamak, VERBİS ve Kurul nezdindeki yükümlülüklerini yerine getirmek.
- Platform'a verdiği talimatların hukuka uygun olmasını sağlamak.
4. Platform'un yükümlülükleri
- Verileri yalnızca bu ekte belirtilen amaçla işlemek; kendi amaçları için kullanmamak, satmamak, üçüncü kişilere açıklamamak.
- Verilere erişebilen personelini gizlilik yükümlülüğü altına almak ve erişimi işin gereğiyle sınırlamak.
- 5. maddedeki teknik ve idari tedbirleri uygulamak.
- Kendisine ulaşan ilgili kişi başvurularını yanıtlamadan, gecikmeksizin Klinik'e yönlendirmek ve Klinik'in yanıtlaması için makul teknik desteği vermek (dışa aktarma, düzeltme, silme araçları).
- Yetkili makamlardan gelen bağlayıcı talepleri, hukuken engel yoksa, yanıtlamadan önce Klinik'e bildirmek.
5. Güvenlik tedbirleri
- Klinikler arası mantıksal yalıtım (veritabanında satır düzeyi erişim denetimi); rol tabanlı yetkilendirme.
- Aktarımda TLS; serbest metin sağlık notları, yüklenen dosyalar ve erişim anahtarlarında uygulama düzeyinde şifreleme; şifrelerin geri döndürülemez özetle saklanması.
- Erişim ve değişikliklerin denetim izine kaydı; platform yöneticisi hesaplarında iki adımlı doğrulama; hatalı giriş kilidi ve bot koruması.
- Günlük şifreli yedek ve ayrı bir sunucuda ikinci kopya; düzenli geri yükleme provası; sunucu sağlığı izleme ve uyarıları.
- Güvenlik güncellemelerinin düzenli uygulanması; sunuculara yalnızca anahtar tabanlı yönetici erişimi.
6. Alt işleyenler ve verinin bulunduğu yer
Klinik, Platform'un Hizmet'i sunmak için aşağıdaki kategorilerde alt işleyen kullanmasına genel izin verir. Platform, alt işleyenlerine bu ektekine denk gizlilik ve güvenlik yükümlülükleri yükler.
| Kategori | Kapsam | Konum |
|---|---|---|
| Barındırma ve yedekleme | Uygulama, veritabanı ve şifreli yedekler (Klinik Verisi'nin tamamı) | Türkiye |
| Sistem e-postası ve güvenlik servisleri | Doğrulama, şifre sıfırlama ve bildirim e-postaları; herkese açık formlarda bot koruması. Sağlık verisi içermez. | Türkiye ve yurt dışı |
| Yapay zekâ model sağlayıcısı | Yalnızca Klinik yapay zekâ özelliklerini kullandığında: kimliksizleştirilmiş klinik bağlam (ad, soyad, telefon, e-posta gönderilmez) ve yorumlanması istenen öğün fotoğrafı | Yurt dışı |
Güvenlik gerekçesiyle sağlayıcı adları burada yayımlanmaz; güncel alt işleyen listesi, Klinik'in yazılı talebi üzerine gizlilik yükümlülüğü altında paylaşılır. Kategori ya da konum bakımından esaslı bir değişiklik en az 15 gün önce duyurulur; Klinik haklı bir gerekçeyle itiraz eder ve çözüm bulunamazsa aboneliğini sonlandırabilir.
Klinik'in kendi hesabıyla bağladığı SMS, WhatsApp, e-posta sunucusu ve sanal POS sağlayıcıları Platform'un alt işleyeni değildir; bu sağlayıcılarla ilişki Klinik'e aittir.
7. Yurt dışına aktarım
Klinik Verisi Türkiye'deki sunucularda saklanır. 6. maddede yurt dışında bulunduğu belirtilen alt işleyenlere yapılan aktarımlar KVKK'nın 9. maddesine uygun yürütülür. Yapay zekâ özellikleri varsayılan olarak Klinik'in tercihine bağlıdır; Klinik bu özellikleri kullanmadan önce Danışanlarını bilgilendirmek ve gerekiyorsa açık rızalarını almakla yükümlüdür.
8. Veri ihlali
Platform, Klinik Verisi'ni etkileyen bir ihlali öğrendiğinde gecikmeksizin ve en geç 48 saat içinde Klinik sahibinin kayıtlı e-posta adresine bildirir; ihlalin niteliğini, etkilenen veri ve kişi gruplarını, alınan ve önerilen tedbirleri paylaşır. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Klinik'e aittir; Platform gerekli bilgiyi sağlar.
9. Denetim
Klinik, Platform'un bu eke uyumunu yılda bir kez, en az 30 gün önceden yazılı bildirimle ve öncelikle belge üzerinden (güvenlik tedbirleri özeti, alt işleyen listesi, yedekleme ve erişim kayıtları özeti) denetleyebilir. Yerinde denetim; diğer kliniklerin verilerinin gizliliğini ve sistem güvenliğini riske atmayacak biçimde, mesai saatlerinde ve masrafı Klinik'e ait olmak üzere yapılır.
10. Sözleşme sonunda veriler
Ana sözleşme sona erdiğinde Klinik Verisi 30 gün boyunca dışa aktarıma açık tutulur, ardından canlı sistemden silinir ya da anonimleştirilir; yedeklerdeki kopyalar olağan yedek döngüsü içinde en geç 35 günde yok olur. Klinik daha erken silme talep edebilir. Mevzuatın Platform'a yüklediği saklama yükümlülükleri ve uyuşmazlık hâlinde delil niteliğindeki kayıtlar saklıdır.
11. Sorumluluk
Taraflardan her biri kendi yükümlülüklerinin ihlalinden doğan idari yaptırım ve zararlardan sorumludur. Klinik'in aydınlatma, rıza ya da talimat eksikliğinden doğan talepler Klinik'e aittir. Platform'un sorumluluğu ana sözleşmenin 21. maddesindeki sınırlara tabidir.
Clasura · İstanbul · kvkk@clasura.com