Corenta GDPR Beyanı ve Aydınlatma

Sürüm: 1.0 · Yürürlük / son güncelleme: 17 Ekim 2026 Durum: Taslak sürüm 2026-10-17 — hukuk onayı bekliyor (TET-65). Bu metin bir avukat tarafından incelenmemiştir. Yayıncı: Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi

Değişiklik günlüğü

• 1.0 — 17 Ekim 2026: İlk sürüm. 6698 sayılı KVKK Aydınlatma Metni (sürüm 2.0) ile aynı olgulara dayanır; GDPR (AB 2016/679) bakış açısıyla roller, dayanaklar, alıcılar, aktarımlar ve haklar özetlenir. Hukuk incelemesi yapılmadığı için çekirdek hukuki değerlendirmeler "açık nokta" olarak işaretlidir (Bölüm 10).

Belge türü: Kamuya açık şeffaflık beyanı (bilateral bir sözleşme değildir) İlgili belgeler: KVKK Aydınlatma Metni, Gizlilik Politikası, Veri Saklama ve İmha Politikası, Alt İşleyenler Listesi, Veri İşleme Sözleşmesi

1. Bu Belge Hakkında

1.1. Bu beyan, Corenta'nın kişisel verileri Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) ilkeleri bakımından nasıl ele aldığını kısaca açıklar. Corenta şu an yalnızca Türkiye'de sunulmaktadır; birincil mevzuat 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur ve bütün ayrıntılar KVKK Aydınlatma Metni'ndedir. Bu beyan o metinle çelişmez; çelişki görünürse KVKK Aydınlatma Metni esas alınır ve bize bildirmeniz rica olunur.

1.2. GDPR'ın yalnızca AB/AEA'da bulunan kişilere ilişkin işlemeler bakımından uygulanabileceği, bunun hukuki değerlendirmesinin henüz yapılmadığı Bölüm 10'da açıkça belirtilmiştir. Bu beyan bir GDPR uyum sertifikası, onay işareti veya bağımsız denetim sonucu iddiası taşımaz.

2. Roller

Rol ayrımının ayrıntısı KVKK Aydınlatma Metni'nin B.1 ve C.1 bölümlerindedir. Danışanı olduğunuz klinik, sağlık verileriniz dahil kayıtlarınızın veri sorumlusudur.

3. İşlenen Veriler, Amaçlar ve Hukuki Dayanaklar

3.1. Veri kategorileri ve amaçlar KVKK Aydınlatma Metni'nde (A.2–A.3, B.3–B.4, C.2) tek tek sayılmıştır. Özet: hesap ve iletişim bilgileri, randevu ve paket kayıtları, ödeme/abonelik kayıtları, güvenlik ve hata kayıtları; kliniğin açık rızanızla topladığı sağlık alanları.

3.2. GDPR m.6 bakımından dayanaklar şu şekilde eşlenir:

• Hesabın ve hizmetin sunulması, abonelik: sözleşmenin ifası (m.6/1-b).
• Güvenlik, kötüye kullanımın önlenmesi, hata kaydı: meşru menfaat (m.6/1-f).
• Vergi, muhasebe ve tüketici mevzuatı kayıtları: hukuki yükümlülük (m.6/1-c).
• Tanıtım e-postası ve isteğe bağlı kampanya bildirimleri: ayrı ve isteğe bağlı onay (m.6/1-a); onayı dilediğiniz zaman geri çekebilirsiniz.

3.3. Sağlık verileri özel kategori verisidir (GDPR m.9). Kliniğin bu verileri işlemesi isteğe bağlı açık rızaya dayanır (m.9/2-a); rıza vermek zorunlu değildir ve rızayı geri çekebilirsiniz. Teta Studio bu verileri yalnız kliniğin talimatıyla ve hizmeti sağlamak için işler.

4. Verilerinizin Kullanımı Hakkında Taahhüdümüz

• Verileriniz aktarım sırasında TLS ile, depolamada ise Supabase altyapısının disk şifrelemesiyle korunur. Üretim ortamında bu şifrelemenin ayarı yayından önce ayrıca doğrulanacaktır.
• Verileriniz satılmaz ve reklam amacıyla paylaşılmaz. Üçüncü taraf reklam veya izleme aracı kullanılmaz.
• Verileriniz yalnız hizmeti sağlayan sözleşmeli altyapı tarafından işlenir (Bölüm 5).
• Her klinik verisi yalnız kendi kliniğine bağlıdır; başka bir klinik erişemez.

Bu taahhüt mutlak bir güvenlik garantisi değildir; hiçbir bilgi sistemi için mutlak güvenlik verilemez.

5. Alıcılar, Alt İşleyenler ve Aktarım

5.1. Hizmeti sunabilmek için verileriniz, teknik olarak gerekli ölçüde şu alt işleyenler tarafından işlenir: Supabase (veritabanı, kimlik doğrulama, dosya depolama; Frankfurt/Almanya), Vercel (web panelinin barındırılması), Google (hizmet e-postaları ve Firebase Cloud Messaging bildirimleri, Google Play) ve Apple (bildirimler, App Store). Güncel liste ve ayrıntı: Alt İşleyenler Listesi (`/legal/alt-isleyenler-listesi`).

5.2. Supabase verileri Almanya'daki (AB) bölgede barındırır. Vercel, Google ve Apple gibi küresel altyapılar AB/AEA dışında işleme yapabilir. Aktarım güvenceleri sağlayıcıların kendi veri işleme koşullarına dayanır (örneğin Supabase'in AB Standart Sözleşme Hükümleri içeren veri işleme eki); her sağlayıcı için kabul kanıtının ve aktarım aracının Corenta tarafından ayrıca arşivlenmesi tamamlanmamıştır (bkz. Bölüm 10). Bu durum KVKK Aydınlatma Metni B.5'teki açıklamayla aynıdır.

5.3. Kamu otoriteleri dışında, verileriniz bu listede yer almayan üçüncü kişilerle paylaşılmaz.

6. Saklama

Saklama süreleri Veri Saklama ve İmha Politikası'ndadır. Hesap silme talebinde erişim hemen kesilir; kişisel veri silinir veya kişi bağı koparılır; yasal saklama gerektiren ödeme kayıtları kimliksiz tutulur.

7. Haklarınız

7.1. GDPR kapsamında şu haklara sahip olabilirsiniz: erişim (m.15), düzeltme (m.16), silme (m.17), işlemenin kısıtlanması (m.18), veri taşınabilirliği (m.20), itiraz (m.21) ve rızayı geri çekme (m.7/3). Corenta, ilgili kişiler hakkında kişi aleyhine sonuç doğuran otomatik karar verme veya profilleme yapmaz (m.22).

7.2. Haklarınızı şu yollarla kullanabilirsiniz:

• Uygulama içi: Ayarlar bölümündeki "Verilerimi indir / hesabımı sil" ekranından verilerinizi dışa aktarabilir ve hesabınızı silebilirsiniz.
• Yazılı başvuru: hello@corenta.app. Başvurular en geç bir ay içinde ücretsiz yanıtlanır (KVKK bakımından 30 gün).

7.3. Danışanı olduğunuz kliniğin verilerine ilişkin taleplerinizi öncelikle o kliniğe iletmeniz gerekir; Teta Studio veri işleyen olarak talebi kliniğe iletmekte yardımcı olur.

7.4. Şikâyet hakkı: bulunduğunuz ülkedeki veri koruma denetim otoritesine (GDPR m.77) veya Türkiye'de Kişisel Verileri Koruma Kurulu'na başvurabilirsiniz.

8. İhlal Bildirimi

Teta Studio, veri işleyen olarak bir ihlali öğrendiğinde kliniğe gecikmeksizin ve en geç 24 saat içinde bildirir. Teta Studio'nun veri sorumlusu olduğu verilerde yetkili otoriteye bildirim 72 saat içinde yapılır.

9. Çocuklar

Corenta kliniklerin yetişkin danışanlarına yöneliktir; çocuklara doğrudan yönelik bir hizmet sunulmaz.

10. Açık Noktalar (Hukuk İncelemesi Bekliyor)

Aşağıdakiler henüz tamamlanmamıştır ve bu beyan bunları tamamlanmış gibi sunmaz:

• GDPR'ın Corenta'nın bugünkü Türkiye pazarındaki işlemelere uygulanıp uygulanmadığının (m.3) hukuki değerlendirmesi.
• AB'de temsilci (m.27) ve veri koruma görevlisi (m.37) atanması gerekip gerekmediği; bugün atanmış kimse yoktur.
• Vercel, Google ve Apple için aktarım aracının (standart sözleşme hükümleri veya yeterlilik kararı) teyidi ve kabul kanıtlarının arşivlenmesi.
• Üretim Supabase projesinde depolama şifrelemesi ayarının doğrulanması.
• Belgenin avukat tarafından incelenmesi ve onaylanması.

11. İletişim

Veri sorumlusu / yayıncı: Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi E-posta: hello@corenta.app · Destek: support@corenta.app