CORENTA — ALT İŞLEYENLER LİSTESİ (SUB-PROCESSORS LIST)

Belge Sahibi / Veri İşleyen: Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi ("Teta Studio", "Corenta", "Biz", "İşleyen") Sürüm: 1.7 · Yürürlük / son güncelleme: 18 Ekim 2026 Durum: Taslak sürüm 2026-10-18 — sahip onayı ve Fable 5.1 kontrol listesi incelemesi (TET-238) bekleniyor. Owner kararıyla (15 Ekim 2026) avukat incelemesi yapılmayacaktır; bu metin bir avukat tarafından incelenmemiştir.

Değişiklik günlüğü

• 1.7 — 18 Ekim 2026: Yeni alt işleyen eklenmedi (TET-126, TET-238). Supabase satırına 18 Ekim 2026 özelliklerinin verileri (grup mesajları ve gerçek zamanlı iletim, stüdyo videoları, lig/davet/Lab/Kurucu kayıtları, cihaz bağlama kayıtları, deneme tekrarı özetleri) eklendi. §5 güncellendi: Sentry (AB) hata kaydı kodu hazır ve kapalı; Cloudflare Turnstile ile Apple App Attest / Google Play Integrity kodu hazır ve kapalı; bunlar açılmadan önce bu liste güncellenir ve Müşteri'ye § 1.4 uyarınca bildirilir. Sosyal medya hesaplarının yönetimi (Corenta'nın kendi hesapları) Müşteri verisi içermediği için listeye girmez.
• 1.6 — 11 Ekim 2026: 11 Ekim 2026 uyum incelemesine göre (F01, F07, F11, F19, F26): §7 yurt dışı aktarım bölümü 6698 sayılı Kanun m.9'un 2024 sonrası hâline göre yeniden yazıldı (Supabase/Frankfurt dahil yurt dışı aktarımdır; KVKK standart sözleşmeleri henüz imzalanmamıştır); tabloya standart sözleşme durumu sütunu notu eklendi; dosya eklerinin silinmesi kodla doğrulanan tek ifadeye bağlandı (otomatik silinir; uzman doğrulama belgeleri hariç); Supabase satırındaki e-posta ifadesi netleştirildi; m.6/4 atıfları m.6/3 olarak düzeltildi; işleten kimliği şahıs işletmesi olarak düzeltildi; §6.2'deki satır numarası hatası düzeltildi.
• 1.5 — 10 Ekim 2026: Expo (Expo Push Notification Service) alt işleyen/işleyen kayıtlarından kaldırıldı; push bildirimleri yalnızca Apple (APNs) ve Google (FCM) üzerinden iletilir, Expo/EAS yalnızca uygulama derleme aracıdır ve son kullanıcı verisi işlemez.
• 1.4 — 10 Ekim 2026: Google Analytics seçimine ilişkin ifade kaldırıldı; üçüncü taraf analitik kullanılmadığı netleştirildi.
• 1.3 — 4 Ekim 2026: Mevcut liste onaylı sürüm olarak sabitlendi. Bu sürümde yalnızca şunlar işlendi: Teta Studio unvan işareti; hizmet e-postalarının Google Workspace (Google) üzerinden gönderimi (alt işleyen olarak eklendi; pazarlama e-postası gönderilmez); push bildirim işleyenlerinin (Apple APNs, Google FCM, Expo Push) açık listelenmesi; destek adresi; pazar (Türkiye).
• 1.2 — 7 Temmuz 2026: önceki sürüm.

Ürün: Corenta (app.corenta.app) Belge Türü: 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında Veri İşleyen şeffaflık belgesi / Veri İşleme Sözleşmesi ("DPA") eki Muhatap: Corenta ürününü kullanan klinik pilates, fizyoterapi, reformer, wellness/masaj ve yoga merkezi işletmecileri ("Müşteri", "Veri Sorumlusu") İletişim: hello@corenta.app (genel iletişim ve KVKK başvuruları) · Destek: support@corenta.app · Pazar: Corenta şu an yalnızca Türkiye'de sunulmaktadır.

1. Bu Belge Hakkında

1.1. Amaç ve Kapsam

Corenta, Müşterilerine randevu yönetimi, paket/hakediş takibi, anamnez formu, danışan kayıtları ve ilgili operasyonel süreçler için bir Yazılım-Hizmet-Olarak (SaaS) platformu sunar. İşbu Alt İşleyenler Listesi ("Liste"), Corenta'nın bu hizmeti sunabilmek için yetkilendirdiği alt işleyenleri (sub-processor) — yani Corenta adına ve Corenta'nın talimatları doğrultusunda kişisel veri işleyen üçüncü taraf hizmet sağlayıcılarını — her birinin sağladığı hizmeti, işlenen veri kategorisini, veri işleme konumunu/bölgesini ve ilgili Veri İşleme Sözleşmesi (DPA) referansını şeffaf biçimde ortaya koyarak beyan eder.

Bu Liste, Müşteri ile Corenta arasındaki Veri İşleme Sözleşmesi'nin (DPA) ayrılmaz bir ekidir ve KVKK m.12 (veri güvenliğine ilişkin yükümlülükler) kapsamındaki yükümlülüklerimizin bir parçası olarak yayımlanmaktadır. Netleştirme: Özel nitelikli verilerin (sağlık verisi dahil) işlenmesinin hukuki dayanağı — KVKK m.6/3 uyarınca gereken hukuki sebep (m.6/3-a açık rıza veya m.6/3-e gibi kanunda öngörülen hâller) — işbu Listenin konusu değildir; bu hukuki dayanağın temini Müşteri'nin sorumluluğundadır (bkz. § 1.2 ve § 6.1). İşbu Liste, yalnızca özel nitelikli veriler de dahil olmak üzere işlenen verilerin alt işleyenler nezdinde korunmasına ilişkin güvenlik tedbirlerini (KVKK m.12) konu edinir; m.6/3'ün aradığı işleme şartının kendisini düzenlemez veya karşılamaz (m.6/4 ise yeterli önlemler hükmüdür).

Bu belgenin kapsamadığı husus: İşbu Liste ve genel olarak taraflar arasındaki DPA, yalnızca Müşteri (Veri Sorumlusu) ile Corenta (Veri İşleyen) arasındaki ilişkiyi düzenler. Müşteri'nin danışanlarının/son kullanıcıların KVKK m.11 kapsamındaki hakları (bilgi talep etme, düzeltme, silme, işlenmişse buna ilişkin bilgi alma, itiraz vb.) işbu belge ile düzenlenmez; bu haklar Müşteri'nin kendi danışanlarına sunduğu KVKK Aydınlatma Metni'nde ve varsa ilgili gizlilik politikasında düzenlenir. İşbu Liste, o metnin yerine geçmez ve danışanlara doğrudan bir hak/yükümlülük rejimi tesis etmez — bkz. § 10.

1.2. Rol Ayrımı (KRİTİK)

Corenta ürünü bağlamında rol dağılımı nettir:

• Müşteri (klinik/stüdyo/merkez), kendi danışanlarına/personeline ait kişisel verilerin Veri Sorumlusu'dur (KVKK m.3/1-ı). Danışanlara karşı KVKK m.10 uyarınca aydınlatma yükümlülüğü ve KVKK m.5/m.6 uyarınca açık rıza alma yükümlülüğü — özel nitelikli sağlık verisi bakımından KVKK m.6/4 uyarınca aranan açık rıza dahil — doğrudan Müşteri'ye aittir.
• Teta Studio, Müşteri'nin talimatları doğrultusunda ve yalnızca Müşteri ile akdedilen hizmet sözleşmesi/DPA kapsamında hareket eden Veri İşleyen'dir (KVKK m.3/1-ğ). Corenta, bu rızaların ve aydınlatmaların ürün içinde teknik olarak yürütülebilmesini sağlayan araçları (rıza kayıt mekanizması `consent_logs` — bu kapsamda `health_data` rıza türü özel nitelikli sağlık verisinin işlenmesine ilişkin açık rızayı, Müşteri'nin mobil onboarding ekranı üzerinden danışandan temin etmesini teknik olarak kolaylaştırır — ve mobil KVKK onboarding ekranı) sunar; ancak Müşteri'nin kendi danışanlarına karşı taşıdığı hukuki sorumluluğu üstlenmez veya devralmaz.

Bu ayrım, Framer üzerinde barındırılan corenta.app pazarlama sitesi bağlamında tersine döner — bkz. § 6.

1.3. Alt İşleyen Tanımı ve Kapsam Dışı Bırakılanlar

İşbu belge kapsamında "alt işleyen", Corenta'nın Müşteri adına kişisel veri işleme faaliyetinin bir kısmını gerçekleştirmesi için yetkilendirdiği, Corenta ile aralarında yazılı bir veri işleme sözleşmesi (DPA) veya eşdeğer bağlayıcı şart bulunan üçüncü taraf hizmet sağlayıcıları ifade eder (örn. bulut altyapı barındırma, dağıtım platformları, bildirim iletim servisleri). Bu kapsam, Corenta'nın kendi iç operasyonları için kullandığı ve kişisel veri işlemeyen genel amaçlı araçları (muhasebe yazılımı, ofis içi iletişim araçları vb.) kapsamaz.

1.4. Güncel Tutma Taahhüdü

Corenta, işbu Liste'yi güncel tutmayı taahhüt eder. Corenta, mevcut alt işleyenler listesine yeni bir alt işleyen eklediğinde, mevcut bir alt işleyeni kaldırdığında veya bir alt işleyenin işleme kapsamında/konumunda değişiklik yaptığında:

1. İşbu belgeyi güncelleyecek ve sürüm numarasını artıracaktır,
2. Değişikliği, yürürlüğe girmesinden makul bir süre önce, kayıtlı iletişim kanalları (e-posta ve/veya ürün içi/admin panel bildirimi) aracılığıyla Müşteri'ye bildirecektir,
3. Müşteri'nin yeni bir alt işleyene, DPA'da öngörülen süre ve usul dahilinde, makul gerekçeyle itiraz etme hakkını saklı tutacaktır (bkz. § 8).

Güncel Liste her zaman hello@corenta.app üzerinden talep ile veya ürün içi ilgili yönetim ekranından Müşteri'nin erişimine açıktır.

2. Tanımlar

• Kişisel Veri: KVKK m.3/1-d uyarınca kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel Nitelikli Kişisel Veri (Sağlık Verisi): KVKK m.6 uyarınca sağlık verileri de dahil olmak üzere işlenmesi ek koşullara tabi özel nitelikli kişisel veri kategorisi. Corenta bağlamında bu, anamnez formları (`anamnesis_forms`), seans notları (`session_notes`) ve ölçüm kayıtlarını (`measurements`) kapsar. Bu verilerin işlenmesinin hukuki dayanağı (KVKK m.6/4 uyarınca danışanın açık rızası) Müşteri tarafından temin edilir; bkz. § 1.1.
• Alt İşleyen (Sub-processor): Corenta'nın, Müşteri adına kişisel veri işleme faaliyetlerinin bir kısmını gerçekleştirmesi için yetkilendirdiği, Corenta'dan bağımsız üçüncü taraf hizmet sağlayıcı.
• DPA (Data Processing Agreement / Veri İşleme Sözleşmesi/Eki): İlgili alt işleyen ile Corenta arasında veya alt işleyenin kendi kamuya açık, bağlayıcı şartlarında yer alan, kişisel verilerin işlenmesine ilişkin sözleşmesel güvenceleri düzenleyen belge.
• Frankfurt Bölgesi: Bu Liste'de "Frankfurt (Almanya)" ifadesi, ilgili verinin fiziksel olarak barındırıldığı veri merkezi bölgesini belirtir. Almanya'da barındırma da KVKK anlamında yurt dışına aktarımdır (bkz. § 7).

3. Alt İşleyen Kullanımının Hukuki Temeli

KVKK m.8 ve m.9 uyarınca kişisel verilerin üçüncü kişilere aktarılabilmesi ilgili kişinin açık rızası veya Kanun'da öngörülen istisnalardan birinin varlığına bağlıdır. Corenta ile Müşteri arasındaki ilişkide:

• Alt işleyenlere yapılan aktarım, Müşteri'nin Corenta'ya verdiği işleme talimatının yerine getirilmesi amacıyla ve bu amaçla sınırlı olarak gerçekleştirilir; bağımsız bir işleme amacı taşımaz.
• Her alt işleyen ile — doğrudan bir DPA imzalanması veya alt işleyenin kamuya açık, bağlayıcı DPA/veri işleme şartlarının kabul edilmesi yoluyla — kişisel verilerin gizliliğini, bütünlüğünü ve yalnızca belirlenen amaçla işlenmesini güvence altına alan sözleşmesel bir ilişki tesis edilmiştir.
• Corenta, seçtiği alt işleyenlerin KVKK m.12 kapsamındaki teknik ve idari tedbirlere uygun davranmasından, alt işleyenle akdettiği sözleşme çerçevesinde sorumludur (bkz. § 12.4 — işletenin kimliği).
• Yurt dışına aktarım söz konusu olduğu ölçüde, KVKK m.9 kapsamındaki uluslararası veri aktarım mekanizmaları esas alınır (bkz. § 7).

4. Alt İşleyenler Tablosu

Aşağıdaki tablo, Corenta'nın Müşteri'ye ait kişisel verileri işlerken fiilen hizmet aldığı tüm bilinen ve aktif alt işleyenleri, koddan doğrulanmış gerçek işleve dayalı olarak eksiksiz listeler.

[¹] Önemli not — dosya eklerinin silinmesi hakkında: Hesap kalıcı silme sürecinde (talepten 30 gün sonra, otomatik zamanlanmış görevle) profil görseli, anamnez ekleri, dışa aktarma dosyaları ve ödeme dekontları Supabase Storage'dan otomatik olarak silinir. Uzman kimlik/diploma doğrulama belgeleri bu otomatik silmenin kapsamında değildir. Ayrıntılar için § 4.1'e bakınız.

[²] Önemli not — bildirim içeriği hakkında (Tablo § 4, sıra 2 ve 3): Bildirim içeriğinin özel nitelikli veri (sağlık verisi) içerip içermediği bu teknik incelemede ayrıca doğrulanmamıştır; mevcut ürün tasarımı randevu hatırlatma/sistem bildirimi gibi sınırlı genel meta veriden oluşan bildirimleri hedeflemektedir. Bu hedefin mevcut uygulamada eksiksiz sağlandığı bağımsız bir denetimle ayrıca doğrulanmamıştır.

Önemli not (Framer'ın kapsamı hakkında): Framer üzerinde barındırılan corenta.app pazarlama sitesi, Corenta SaaS ürününden ayrı bir işleme faaliyetidir. Bu bağlamda toplanan veriler bakımından Corenta/Teta Studio bizzat Veri Sorumlusu sıfatıyla hareket eder; bu durum KVKK Aydınlatma Metni Bölüm A ve Gizlilik Politikası ile düzenlenir ve Müşteri'nin danışan verisini ilgilendirmez (bkz. § 6.2). Framer'ın burada listelenmesinin nedeni, işbu belgenin şeffaflık ilkesi gereği Corenta'nın kullandığı tüm üçüncü taraf altyapı sağlayıcılarını eksiksiz beyan etmesidir — ayrıntılı rol ayrımı için bkz. § 6.

4.1. Veri Saklama ve Silme Süreci — Bilinen Kapsam Sınırları

Hesap silme talebinde hesaba erişim hemen kesilir. Talepten 30 gün sonra, otomatik bir zamanlanmış görev (cron) ile kimlik doğrulama kaydı kalıcı olarak silinir ve profil görseli, anamnez ekleri, dışa aktarma dosyaları ve ödeme dekontları Supabase Storage'dan silinir (bir alandaki silme başarısız olursa kaydedilir ve diğerlerini engellemez).

Bilinen sınırlar:

• Uzman kimlik/diploma doğrulama belgeleri (`specialist-verification-docs`) otomatik silmenin kapsamında değildir; tenant kapanışında veya talep üzerine ayrıca silinir.
• Seans notları, anamnez formları, ölçümler ve ödeme kayıtları silinmez; kişi bağı koparılarak erişimi kısıtlanmış biçimde saklanır. Seans notu serbest metni değiştirilmediğinden bu kayıtlar anonim kabul edilmez.
• Müşteri'nin danışanlarına "tüm verileriniz anında ve eksiksiz silinir" gibi mutlak ifadeler kullanmaması önerilir.

5. Henüz Seçilmemiş / Kullanılmayan Hizmet Kategorileri

Aşağıdaki hizmet kategorileri için Corenta, işbu belgenin yayımlandığı tarih itibarıyla aktif bir üçüncü taraf sağlayıcı kullanmamaktadır. Şeffaflık ilkesi gereği bu durum açıkça beyan edilir; bu kategorilerde bir sağlayıcı seçildiğinde işbu Liste § 1.4'te öngörülen usulle güncellenecek ve Müşteriler bilgilendirilecektir.

Yukarıdaki kategorilerden herhangi biri için bir sağlayıcı ile çalışmaya başlanması halinde, ilgili sağlayıcı ancak (i) KVKK ve ilgili mevzuata uygun bir Veri İşleme Sözleşmesi imzalanmasının, (ii) gerekli güvenlik/uygunluk değerlendirmesinin tamamlanmasının ve (iii) Müşteri'nin § 1.4 uyarınca bilgilendirilmesinin ardından devreye alınacaktır.

6. Rol Ayrımı — Hangi Veri, Kimin Sorumluluğunda İşleniyor

Bu ayrım, alt işleyenler listesinin doğru okunabilmesi için önemlidir:

6.1. Corenta SaaS Ürünü (mobil uygulama + admin paneli) bağlamında: Müşteri (klinik/stüdyo işletmecisi), danışanlarına ait kişisel verilerin Veri Sorumlusu'dur. Corenta bu verileri yalnızca Müşteri'nin talimatları doğrultusunda, hizmetin ifası amacıyla Veri İşleyen sıfatıyla işler. Tablo § 4'te 1-4 numaralı satırlar (Supabase, Apple, Google, Vercel) bu bağlamda devreye giren alt işleyenlerdir. Danışanlara yönelik KVKK aydınlatma yükümlülüğü ve gerekiyorsa açık rıza temini (özel nitelikli sağlık verisi bakımından KVKK m.6/3 uyarınca gereken hukuki sebep dahil) Müşteri'nin sorumluluğundadır; Corenta bu süreci ürün içindeki rıza kayıt mekanizmaları (onboarding ekranı, `consent_logs`) ile teknik olarak kolaylaştırır, ancak Müşteri'nin kendi danışanlarına karşı olan hukuki yükümlülüğünü üstlenmez veya devralmaz.

6.2. Kurumsal/Pazarlama İnternet Sitesi (corenta.app, erken erişim formu) bağlamında: Corenta, siteyi ziyaret eden ve erken erişim formu dolduran gerçek kişilerin (potansiyel müşteri adayları) verileri bakımından bizzat Veri Sorumlusu'dur. Tablo § 4'te 5 numaralı satır (Framer) bu bağlamda devreye giren alt işleyendir. Bu işleme faaliyeti, KVKK Aydınlatma Metni Bölüm A'da (corenta.app/legal/kvkk-aydinlatma-metni) ve Gizlilik Politikası'nda düzenlenir. Bu metinlerin corenta.app üzerindeki yayın tarihi henüz belirlenmemiştir; o zamana kadar ayrıntılar hello@corenta.app üzerinden istenebilir. İşbu Liste, Müşteri DPA'sı kapsamındaki bir ek olduğundan, Framer'ın burada yer alması Müşteri'nin danışan verisini ilgilendirmez.

7. Yurt Dışına Veri Aktarımı (KVKK m.9)

6698 sayılı Kanun m.9 (7499 sayılı Kanunla değişik, yürürlük 01.06.2024) uyarınca yurt dışına aktarım, m.5 veya m.6'daki işleme şartlarından birinin varlığı ve Kurul'un yeterlilik kararı ya da m.9/4'teki uygun güvencelerden biri (m.9/4-c: Kurul'un ilan ettiği standart sözleşme) ile mümkündür. Standart sözleşme imzadan itibaren 5 iş günü içinde Kurul'a bildirilir (m.9/5). Açık rıza (m.9/6) yalnız arızi aktarımlarda kullanılabilir.

• Tablo § 4'teki sağlayıcıların tamamı Türkiye dışında veri işler. Supabase'de (Frankfurt, Almanya) barındırma da yurt dışına aktarımdır. Apple, Google, Vercel ve Framer küresel altyapıda (çoğunlukla ABD merkezli) işler.
• Bu aktarımlar düzenli ve sürekli olduğundan açık rızaya dayandırılmaz. Corenta, veri işleyen olarak her alt işleyenle Modül 3 (veri işleyenden veri işleyene) standart sözleşmesini, kendi veri sorumlusu olduğu akışlarda (ör. Framer) Modül 2'yi imzalayacak ve her birini imzadan itibaren 5 iş günü içinde Kurul'a bildirecektir.
• İşbu sürümün tarihi itibarıyla standart sözleşmeler henüz imzalanmamış ve Kurul'a bildirilmemiştir. İmza ve bildirim tamamlandığında tabloya imza ve bildirim tarihleri eklenecektir. Standart sözleşme imzalanamayan bir alt işleyen Müşteri verisini işlemek üzere kullanılmaz.
• Kurul'un bu ülkeler hakkında ilan ettiği bir yeterlilik kararı bulunmamaktadır (son kontrol: 11 Ekim 2026).
• Mobil uygulamadaki aydınlatma gösterimi (`kvkk` kaydı) ve `push` kaydı rıza değildir ve yurt dışı aktarım için dayanak olarak kullanılmaz.
• Hiçbir alt işleyen, sözleşme kapsamı dışında bağımsız bir amaçla Müşteri verisini işlemeye veya kendi amaçları için kullanmaya yetkili değildir.
• Sağlık verisi kategorisindeki kayıtlara (anamnez formları, seans notları, ölçümler) erişim yalnızca ilgili danışan, danışana atanmış uzman ve tenant yöneticisi ile (uzmanın ekiple paylaştığı seans notlarında kliniğin diğer uzmanlarıyla) sınırlıdır; bu veriler satır düzeyi güvenlik politikaları (Row Level Security) ile korunur ve süper-admin destek modunda (impersonation) dahi yazma erişimine veya ekstra onay olmaksızın okuma erişimine açılmaz. Anamnez ekleri hesap kalıcı silme adımında Storage'dan otomatik olarak silinir (bkz. § 4.1).
• Müşteri, kendi danışanlarına yönelik aydınlatma metninde yukarıdaki yurt dışı aktarıma (alıcılar, ülkeler, dayanak) yer verir. Corenta, talep halinde Müşteri'ye bu bilgilendirmeyi hazırlarken referans alabileceği güncel alt işleyen bilgilerini (işbu belge) sağlar.
• Kurul bir yeterlilik kararı ilan ederse veya standart sözleşmeler imzalanıp bildirildiğinde bu bölüm güncellenecektir.

8. Alt İşleyen Değişikliği Bildirim ve İtiraz Usulü

Corenta, işbu Liste'de yer alan alt işleyenlerde aşağıdaki türde bir değişiklik yapmayı planladığında:

(a) yeni bir alt işleyen eklenmesi, (b) mevcut bir alt işleyenin işleme kapsamının genişletilmesi (örn. yeni bir veri kategorisinin o alt işleyene aktarılması), (c) bir alt işleyenin barındırma/işleme bölgesinin (konumunun) değişmesi,

Müşteri'yi, değişikliğin yürürlüğe girmesinden makul bir süre önce, kayıtlı iletişim kanalları (e-posta ve/veya ürün içi bildirim) aracılığıyla bilgilendirir ve güncel Liste'yi erişilebilir kılar.

Müşteri, bildirimi aldıktan sonra, taraflar arasındaki DPA'da belirlenen süre içinde, makul ve belgelendirilmiş bir veri koruma gerekçesine (örn. ilgili sağlayıcının yeterli veri koruma güvencesi sunmadığına ilişkin somut endişe) dayanarak itirazda bulunabilir. Böyle bir itiraz halinde taraflar iyi niyetle bir çözüm arayışına girer; anlaşmaya varılamaması durumunda DPA'nın ilgili fesih/askıya alma hükümleri uygulanır. Alt işleyenin tamamen kaldırılması (hizmetin sonlandırılması) durumunda ayrıca bildirim yapılması zorunlu değildir, ancak Liste güncellenir.

9. Alt İşleyen Seçim ve Denetim Kriterleri

Corenta, yeni bir alt işleyeni devreye almadan önce asgari olarak aşağıdaki hususları değerlendirir ve bunları sözleşmesel olarak (doğrudan DPA veya alt işleyenin kamuya açık bağlayıcı şartları yoluyla) temin eder:

1. İlgili sağlayıcının kişisel veri işleme konusunda yazılı bir DPA veya eşdeğer sözleşmesel güvence sunup sunmadığı,
2. Aktarım sırasında ve mümkün olduğunca beklemede (at rest) şifreleme dahil, uyguladığı teknik ve idari güvenlik önlemleri,
3. Erişim kontrolü ve yetkilendirme mekanizmaları (rol bazlı erişim, en az ayrıcalık ilkesi),
4. Sağlayıcının veri işleme konumu/bölgesi ve bunun özel nitelikli verilerin korunması bakımından uygunluğu,
5. Sağlayıcının kendi alt-alt işleyenlerini (varsa) kullanma politikası ve bunun şeffaflığı,
6. Veri ihlali bildirim taahhüdü (sağlayıcının kendi ihlal bildirim süreçleri),
7. Sözleşme sona erdiğinde veya Corenta'nın talebi üzerine verinin silinmesi/iade edilmesi imkanı — bu madde, ilgili alt işleyen ile kurulan sözleşmesel ilişkide öngörülen genel ilkeyi ifade eder; Corenta'nın kendi platformundaki fiili/güncel uygulama durumu (örn. dosya eklerinin silinmesine ilişkin devam eden geliştirme çalışması) bakımından bkz. § 4.1. Sözleşmesel ilke ile fiili/güncel uygulama durumu birbirinden ayrı değerlendirilmelidir.

Bu değerlendirme süreci, Corenta'nın genel bilgi güvenliği ve KVKK uyum çalışmalarının bir parçası olup sürekli olarak gözden geçirilmekte ve iyileştirilmektedir. Corenta'nın kendi altyapısı bakımından uyguladığı somut teknik/idari tedbirlere ilişkin detaylı bilgi (RLS politikaları, erişim kısıtları, impersonation kontrolleri vb.) Müşteri'ye talep halinde ayrı bir belge kapsamında sunulabilir.

10. Müşteri'nin Hakları

Kapsam hatırlatması: Aşağıdaki haklar yalnızca Müşteri'ye (Veri Sorumlusu), işbu Liste ve genel DPA kapsamında tanınmıştır. Müşteri'nin danışanlarının KVKK m.11 kapsamındaki hakları (bilgi talep etme, düzeltme, silinmesini isteme, işlenmişse buna ilişkin bilgi alma, itiraz vb.) bu bölümün kapsamı dışındadır ve Müşteri'nin kendi danışanlarına sunduğu ayrı KVKK Aydınlatma Metni çerçevesinde, Müşteri tarafından karşılanır — bkz. § 1.1 ve § 6.1.

Müşteri, işbu Liste ve genel DPA kapsamında aşağıdaki haklara sahiptir:

1. Bilgi alma hakkı: Güncel alt işleyenler listesini her zaman talep etme ve inceleme hakkı.
2. İtiraz hakkı: Yeni bir alt işleyenin devreye alınmasına, DPA'da öngörülen usul ve süre dahilinde, makul gerekçelerle itiraz etme hakkı (bkz. § 8).
3. Bilgi talebi hakkı: Sözleşmede öngörülen kapsam ve sınırlar dahilinde, alt işleyenlerin veri işleme faaliyetlerine ilişkin makul bilgi taleplerinde bulunma hakkı.
4. Fesih hakkı: Kabul edilemez bulduğu bir alt işleyen değişikliği karşısında, DPA'da öngörülen fesih/çıkış hükümlerinden yararlanma hakkı.

11. Sorumluluk Sınırlaması

1. Corenta, işbu belgede listelenen her bir alt işleyen ile aralarında akdedilmiş DPA/sözleşme kapsamında makul özen ve sözleşmesel güvenceleri sağlamayı taahhüt eder; ancak alt işleyenlerin kendi sistemlerinde meydana gelebilecek, Corenta'nın makul kontrolü dışındaki olaylardan (örn. Apple/Google/Supabase altyapısında meydana gelen genel hizmet kesintileri veya bu sağlayıcıların kendi ihlalleri) doğan zararlardan, ilgili sağlayıcı ile yapılan sözleşmenin öngördüğü sorumluluk sınırları saklı kalmak kaydıyla, sorumlu tutulamaz.
2. Müşteri'nin kendi danışanlarına karşı KVKK m.10 uyarınca yerine getirmesi gereken aydınlatma yükümlülüğü ile KVKK m.5 ve m.6/3 uyarınca gereken hukuki sebebin ve gerekiyorsa açık rızanın temini, işbu belgede sayılan alt işleyenlerin varlığı gerekçe gösterilerek Corenta'ya devredilemez; bu yükümlülükler Müşteri'nin sorumluluğunda kalmaya devam eder. Corenta, bu süreçleri ürün içi mekanizmalarla (aydınlatmanın ayrı adımda gösterilmesi, isteğe bağlı rıza ekranları, kayıt sistemi) teknik olarak kolaylaştırır, ancak üstlenmez.
3. § 4.1'de belirtilen dosya ekleri silme sürecindeki kapsam sınırı devam ettiği sürece, Corenta ve/veya Müşteri, danışanlara veya üçüncü kişilere "tüm kişisel verileriniz kalıcı silme talebiyle birlikte eksiksiz ve anında silinir" şeklinde mutlak bir taahhütte bulunmamalıdır; bu husustaki güncel kapsam için § 4.1 esas alınır.
4. Bu belgede yer alan bilgiler, işbu belgenin yayım/güncelleme tarihi itibarıyla doğru ve günceldir. Alt işleyenlerin kendi hizmet şartları, DPA'ları ve gizlilik politikaları zaman zaman değişebilir; güncel şartlar için ilgili sağlayıcının kendi resmi kaynaklarına başvurulması önerilir.

12. Diğer Hükümler

1. İşbu belge, Müşteri ile Corenta arasındaki ana hizmet sözleşmesi ve/veya DPA'nın ekidir; bu belgeler arasında çelişki olması halinde, aksi açıkça belirtilmedikçe ana sözleşme/DPA hükümleri esas alınır.
2. İşbu belgede düzenlenmeyen hususlarda KVKK, ilgili ikincil mevzuat ve Kişisel Verileri Koruma Kurulu kararları uygulanır.
3. VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıt durumu: Teta Studio'nun bu metnin tarihi itibarıyla VERBİS kaydı yoktur; kendi veri sorumlusu faaliyetleri bakımından kayıt yükümlülüğü Kurul'un 2025/1572 ve 2025/2393 sayılı kararlarındaki ölçütlere göre değerlendirilmektedir. Platform'u kullanan her bir Klinik'in kendi VERBİS yükümlülüğü ise ayrı ve bağımsız olarak değerlendirilmelidir, Corenta'ya devredilemez.
4. İşletenin kimliği: İşbu belgede yer alan "Teta Studio", Mertcan Demir'in şahıs işletmesinin işletme adıdır (VKN 2771408706); şahıs işletmesinin ayrı tüzel kişiliği yoktur. İleride bir şirket (ör. Ltd. Şti.) kurulursa bu belge güncellenecektir.
5. İşbu belgeye ilişkin sorularınız, itirazlarınız veya alt işleyen değişikliklerine dair bilgi talepleriniz için: hello@corenta.app

13. Yürürlük ve Değişiklik

Bu Liste, Corenta ile Müşteri arasındaki DPA'nın yürürlükte olduğu süre boyunca geçerli olacak ve § 1.4'te açıklanan usulle güncellenecektir. Güncel sürüm her zaman Müşteri'nin talebi üzerine (hello@corenta.app) veya ürün içi ilgili yönetim ekranı üzerinden erişilebilir olacaktır. Bu Liste'de yapılacak her değişiklik § 8'de öngörülen bildirim/itiraz usulüne tabidir.

Son güncelleme: 18 Ekim 2026 Sürüm: 1.7 — Taslak sürüm — sahip onayı ve Fable 5.1 kontrol listesi incelemesi (TET-238) bekleniyor. Bu metin bir avukat tarafından incelenmemiştir.