CORENTA — VERİ İŞLEME SÖZLEŞMESİ (DPA)

(Kişisel Verilerin İşlenmesine İlişkin Sözleşme — 6698 Sayılı KVKK Uyumlu)

Sürüm: 1.6 · Yürürlük / son güncelleme: 11 Ekim 2026 Durum: Taslak sürüm 2026-10-11 — sahip onayı, avukat incelemesi bekleniyor. Bu metin bir avukat tarafından incelenmemiştir. Veri işleyen / yayıncı: Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi

Değişiklik günlüğü

• 1.6 — 11 Ekim 2026: 11 Ekim 2026 uyum incelemesine göre (F01, F05, F07, F08, F11, F13, F14, F19, F26): §6.5 ve §9 yurt dışı aktarım hükümleri 6698 sayılı Kanun m.9'un 2024 sonrası hâline göre yeniden yazıldı (kliniğin danışandan açık rıza alma yükümlülüğü kaldırıldı; Teta Studio her alt işleyenle KVKK standart sözleşmesi Modül 3'ü imzalayıp 5 iş günü içinde Kurul'a bildirmeyi üstlenir; bu metnin tarihi itibarıyla sözleşmeler henüz imzalanmamıştır); §3.4'e Keşfet/değerlendirme daveti talimatı eklendi; kliniğe ihlal bildirimi en geç 24 saat oldu; §7.7(a)'ya danışan self-servis silmesinin önceden verilmiş talimat olduğu eklendi; dosya eklerinin silinmesi ve dışa aktarma bağlantısı kodla doğrulanan tek ifadeye bağlandı; Supabase satırındaki e-posta ifadesi netleştirildi; veri işleyen kimliği şahıs işletmesi olarak düzeltildi; Ek-3 VERBİS ifadesi güncellendi.
• 1.5 — 10 Ekim 2026: Expo (Expo Push Notification Service) alt işleyen/işleyen kayıtlarından kaldırıldı; push bildirimleri yalnızca Apple (APNs) ve Google (FCM) üzerinden iletilir, Expo/EAS yalnızca uygulama derleme aracıdır ve son kullanıcı verisi işlemez.
• 1.4 — 10 Ekim 2026: Google Analytics seçimine ilişkin ifade kaldırıldı; üçüncü taraf analitik kullanılmadığı ve push işleyenleri netleştirildi.
• 1.3 — 4 Ekim 2026: Mevcut metin onaylı sürüm olarak sabitlendi. Bu sürümde yalnızca şunlar işlendi: Teta Studio unvan işareti; pazar (Türkiye); hesap silme (erişim hemen kesilir, kişisel veri silinir/anonimleşir, yasal saklama gerektiren ödeme kayıtları kimliksiz saklanır); 30 gün sonunda danışan sağlık alanlarının silinmesi; 7 günlük yetim makbuz süresi; destek modunda danışan iletişiminin gizli kalması; kimliksiz sunucu tarafı ölçüm; hizmet e-postaları ve Google Workspace alt işleyeni; push işleyenleri; destek adresi; sağlık alanlarını yazma yetkisi.
• 1.2 — 7 Temmuz 2026: önceki sürüm.

1. TARAFLAR

İşbu Veri İşleme Sözleşmesi ("Sözleşme"), Corenta yazılım-hizmet ("SaaS") ürününün kullanımına ilişkin Hizmet Sözleşmesi/Kullanım Şartları/Abonelik Sözleşmesi'nin ("Esas Sözleşme") eki ve ayrılmaz bir parçası olarak, aşağıda belirtilen taraflar arasında akdedilmiştir:

(A) VERİ SORUMLUSU: Corenta platformunu klinik pilates, fizyoterapi, reformer, wellness/masaj veya yoga merkezi işletmesi ("Tenant") kapsamında kullanan, Esas Sözleşme'yi imzalayan/onaylayan gerçek veya tüzel kişi ("Klinik" veya "Veri Sorumlusu"). Klinik'in unvanı, adresi ve yetkili iletişim bilgileri Esas Sözleşme'nin ilgili bölümünde ve/veya Corenta yönetim panelindeki tenant/hesap kayıt bilgilerinde yer alır.

(B) VERİ İŞLEYEN: Mertcan Demir — "Teta Studio" işletme adıyla faaliyet gösteren şahıs işletmesi ("Teta Studio" veya "Veri İşleyen"), Corenta markası altında sunulan SaaS platformunun geliştiricisi ve işleticisi. Vergi No: 2771408706 · Adres: Kavaklıdere Mahallesi, Esad Caddesi No:12/1, Çankaya/Ankara 06680 · MERSİS veya esnaf sicil no ve KEP adresi: henüz eklenmedi (sahip tarafından tamamlanacak). İletişim: hello@corenta.app (genel iletişim ve KVKK başvuruları) · Destek: support@corenta.app Ürün: app.corenta.app Kurumsal/tanıtım: corenta.app

Klinik ve Teta Studio bundan böyle birlikte "Taraflar", ayrı ayrı "Taraf" olarak anılacaktır.

1.1. Sözleşmenin Hukuki Dayanağı ve Amacı

İşbu Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12 uyarınca Veri Sorumlusu'nun, kişisel verileri kendi adına işleyen Veri İşleyen ile yeterli güvenlik önlemlerinin alınmasını güvence altına alan bir sözleşme akdetmesi yükümlülüğünü yerine getirmek üzere düzenlenmiştir. Sözleşme; Kişisel Verileri Koruma Kurulu'nun ("Kurul") yayımladığı rehber ve kararlarda belirtilen asgari unsurları ve uluslararası uygulamada (GDPR madde 28) kabul görmüş veri işleme sözleşmesi standart yapısını, KVKK terminolojisine uyarlanmış biçimde içerir.

1.2. Rol Ayrımının Kesinliği

Taraflar, Corenta ekosisteminde iki ayrı ve birbirine karıştırılmaması gereken veri işleme ilişkisi bulunduğunu kabul eder:

• SaaS ürünü (danışan verisi) bakımından: Klinik, Corenta platformu üzerinden işlenen tüm danışan/hasta kişisel verileri yönünden Veri Sorumlusudur. Danışanlarına karşı KVKK m.10 uyarınca aydınlatma yükümlülüğünün yerine getirilmesi ve gerektiğinde açık rızanın hukuka uygun biçimde alınması, doğrudan ve münhasıran Klinik'e ait bir yükümlülüktür. Teta Studio, Klinik'in talimatları doğrultusunda bu verileri işleyen Veri İşleyendir; platform içinde aydınlatma metni sunumu, rıza kaydı alınması ve rıza yönetimi (`consent_logs`) gibi süreçleri teknik olarak kolaylaştırır, ancak bu, Klinik'in veri sorumlusu sıfatından doğan hukuki yükümlülüklerini devraldığı veya paylaştığı anlamına gelmez.
• Corenta'nın kendi faaliyetleri (corenta.app erken erişim/iletişim formu; klinik kullanıcı hesabı ve abonelik; hizmet e-postaları; Keşfet/değerlendirme daveti ve yorumlar — bkz. madde 3.4 Keşfet talimatı; güvenlik ve takma adlı ürün ölçümü) bakımından: Bu kapsamda işlenen veriler için Teta Studio bizzat Veri Sorumlusudur ve bu işleme KVKK Aydınlatma Metni (Bölüm A ve C) ile Gizlilik Politikası'nda düzenlenir. İşbu Sözleşme yalnızca Klinik'in kendi danışanlarına/personeline ait verilerin SaaS ürünü üzerinden işlenmesini kapsar, tanıtım sitesi verilerini kapsamaz. Bu ayrımın doğal bir sonucu olarak, yalnızca tanıtım/pazarlama sitesi işlevine hizmet eden ve SaaS ürünü/danışan verisiyle hiçbir teknik teması bulunmayan alt işleyenler (ör. tanıtım sitesi barındırma sağlayıcısı) işbu Sözleşme'nin alt işleyen listesine (madde 6) dahil edilmez; bunlar Teta Studio'nun kendi veri sorumlusu sıfatıyla yürüttüğü ayrı Aydınlatma Metni/Gizlilik Politikası kapsamında ele alınır (bkz. madde 6.6).
• Taraflar arasındaki bu rol ayrımı, Esas Sözleşme'nin ve varsa Gizlilik Politikası'nın ilgili hükümleriyle tutarlıdır ve çelişki halinde işbu Sözleşme özel hüküm olarak esas alınır.

2. TANIMLAR

İşbu Sözleşme'de geçen terimler, aksi belirtilmedikçe KVKK ve ilgili ikincil mevzuatta yüklenen anlamları taşır:

3. SÖZLEŞMENİN KONUSU, KAPSAMI VE HUKUKİ DAYANAĞI

3.1. Genel

İşbu Sözleşme'nin konusu; Klinik'in Veri Sorumlusu, Teta Studio'nun Veri İşleyen sıfatıyla hareket ettiği, Corenta platformunun kullanımı kapsamında Klinik'e ait danışan ve personel kişisel verilerinin Teta Studio tarafından işlenmesine ilişkin usul ve esasların, tarafların karşılıklı hak ve yükümlülüklerinin KVKK'ya uygun biçimde belirlenmesidir.

3.2. Talimata Dayalı İşleme

Teta Studio, kişisel verileri yalnızca Klinik'in belgelenmiş talimatları doğrultusunda işler. Bu talimatlar; (i) Esas Sözleşme, (ii) işbu Sözleşme, (iii) Klinik'in Platform arayüzü üzerinden gerçekleştirdiği yapılandırma ve işlemler (ör. modül açma/kapama, danışan kaydı oluşturma, randevu planlama) yoluyla verilmiş sayılır. Teta Studio, kanunen zorunlu olmadıkça bu talimatların dışına çıkarak veri işlemez ve kendi adına bağımsız bir işleme amacı belirlemez.

Teta Studio, kendisine verilen bir talimatın KVKK veya ilgili mevzuata aykırı olduğu kanaatine varırsa, bu durumu gerekçeleriyle birlikte gecikmeksizin Klinik'e bildirir; talimatın açıklığa kavuşturulmasını/geri çekilmesini talep edebilir ve açıklığa kavuşturulana kadar ilgili işlemi askıya alma hakkını saklı tutar.

3.3. İşlemenin Niteliği ve Kapsamı (Faaliyet Türleri)

Teta Studio, Klinik adına aşağıdaki nitelikte işleme faaliyetlerini yürütür:

1. Verilerin bulut altyapısında (bkz. madde 6) barındırılması, depolanması ve yedeklenmesi;
2. Danışan kayıtlarının oluşturulması, güncellenmesi ve görüntülenmesi;
3. Randevu planlama, randevu-anında paket seansı düşümü, iptal/iade mantığının uygulanması;
4. Paket/hakediş takibinin yapılması (tutarlar `*_minor` cinsinden, kuruş bazlı saklanır);
5. Anamnez formlarının doldurulması ve saklanması;
6. Seans notlarının (append-only; gönderildikten sonra değiştirilemez/silinemez) kaydedilmesi;
7. Ölçüm kayıtlarının tutulması;
8. Kimlik doğrulama (authentication) ve yetkilendirme (RLS ile tenant-bazlı erişim kontrolü) işlemlerinin yürütülmesi;
9. Mobil/web uygulama üzerinden push bildirim ve e-posta bildirimi gönderimi;
10. KVKK, sağlık verisi, pazarlama ve push bildirim rızalarının (`consent_logs`) teknik olarak kayıt altına alınması ve versiyon yönetimi;
11. Klinik personeli/uzmanlarının talebi doğrultusunda, süreli ve loglanan teknik destek sağlanması (impersonation dahil, bkz. madde 8);
12. Klinik'in talebi halinde danışan verisinin dışa aktarılması (veri taşınabilirliği) veya silinmesi.

3.4. İşlemenin Amacı

İşleme faaliyeti, münhasıran aşağıdaki amaçlarla ve bu amaçlarla sınırlı olarak yürütülür:

a) Klinik'in danışanlarına randevu, paket ve hizmet takibi sağlayabilmesi; b) Klinik personelinin danışan anamnez ve seans kayıtlarını tutabilmesi; c) Klinik'in hakediş/ödeme takibini yapabilmesi; d) Klinik personeli/uzmanlarının danışanlarıyla ilgili bildirimler alması ve göndermesi; e) Klinik'in KVKK kapsamındaki rıza ve aydınlatma süreçlerinin teknik olarak kayıt altına alınması; f) Platformun teknik olarak çalışır, güvenli ve erişilebilir halde tutulması (barındırma, yedekleme, güvenlik izleme, hata giderme, teknik destek); g) Klinik'in yasal yükümlülüklerini (KVKK dahil) yerine getirmesine teknik destek sağlanması; h) Esas Sözleşme'de açıkça belirtilen diğer hizmet kalemleri.

Teta Studio, işbu maddede sayılanlar dışında hiçbir amaçla (kendi pazarlama faaliyetleri, profilleme, üçüncü taraflara satış/kiralama vb.) Klinik verilerini işleyemez, kullanamaz veya aktaramaz. İşbu Sözleşme tarihi itibarıyla Teta Studio, Klinik verilerinden toplu/kimliksizleştirilmiş istatistik üretimi, ürün analitiği veya benzeri bir agregasyon faaliyetini aktif olarak yürütmemektedir; bu yönde bir teknik altyapı/araç şu an bulunmamaktadır. İleride bu tür bir faaliyetin (ör. anonimleştirilmiş/agregatif ürün istatistikleri) yürütülmesi planlanırsa, bu ancak Klinik'in ayrıca ve açıkça verdiği onay/talimat ile ve işbu Sözleşme'nin madde 14 hükümleri uyarınca güncellenmesi suretiyle mümkün olur; işbu madde, Teta Studio'ya bu yönde tek taraflı ve önceden verilmiş bir yetki bahşetmez.

Keşfet talimatı: Klinik, Corenta Keşfet'i etkinleştirdiğinde, tamamlanan randevu bilgisinin yalnız danışana değerlendirme daveti göndermek ve doğrulanmış yorumu yayımlamak amacıyla Teta Studio'ya veri sorumlusu sıfatıyla aktarılmasına talimat verir. Bu kapsamda Teta Studio kendi aydınlatma yükümlülüğünü danışana karşı ayrıca yerine getirir (KVKK Aydınlatma Metni, Bölüm C). Keşfet kapalı olan klinikte davet gönderilmez.

3.5. İşlemenin Süresi

İşbu Sözleşme, Esas Sözleşme'nin yürürlükte olduğu süre boyunca geçerlidir. Esas Sözleşme'nin herhangi bir nedenle (süre sonu, fesih, iptal) sona ermesi halinde, işbu Sözleşme'nin veri iadesi/silinmesine ilişkin madde 11 hükümleri saklı kalmak kaydıyla, işbu Sözleşme de kendiliğinden sona erer.

4. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ VE VERİ SAHİBİ KATEGORİLERİ

4.1. Veri Sahibi Kategorileri

a) Klinik'in danışanları/hastaları/müşterileri; b) Klinik'in çalışanları, uzmanları ve yöneticileri (eğitmen, fizyoterapist, resepsiyon personeli vb. — platform kullanıcıları); c) Klinik adına platformla etkileşime giren diğer yetkili temsilciler.

4.2. İşlenen Kişisel Veri Kategorileri

Platform üzerinden, Klinik'in kullanım kapsamına ve etkinleştirdiği modüllere (`tenant_modules`) bağlı olarak aşağıdaki kişisel veri kategorileri işlenebilir:

¹ `consent_logs` şemasında ayrıca bir çerez (cookies) rıza tipi tanımlanmış olmakla birlikte, işbu Sözleşme tarihi itibarıyla Platform'da (web dahil) çerez bannerları kullanılmamakta ve bu rıza tipi fiilen işletilmemektedir. Bu alan ileride çerez tabanlı bir işlevin devreye alınması ihtimaline karşı şemada hazır tutulmaktadır.

4.3. Özel Nitelikli Kişisel Veri Uyarısı (KVKK m.6)

Anamnez formu, seans notu ve ölçüm kayıtları KVKK m.6 kapsamında özel nitelikli kişisel veri (sağlık verisi) teşkil eder. Bu verilerin işlenmesi ancak Kanun'da öngörülen şartların (açık rıza veya kanunda sayılan istisnalar) varlığı halinde mümkündür; bu şartların sağlanması Klinik'in sorumluluğundadır. Teta Studio, Platform içerisinde bu rızaların alınmasını ve kayıt altına alınmasını teknik olarak destekleyen bir altyapı (`consent_logs`, sürümlenmiş rıza metni, mobil onboarding ekranı) sunar.

Taraflar, bu verilerin işlenmesinde madde 7'de düzenlenen artırılmış güvenlik önlemlerinin uygulanacağını kabul eder. Bu verilere erişim, platformda `health_data_enabled` onay bayrağı ile ayrıca kapılıdır ve süper-admin destek modu (impersonation) kapsamında dahi yazma işlemine hiçbir koşulda açılmaz (bkz. madde 8).

5. VERİ SORUMLUSUNUN (KLİNİK'İN) YÜKÜMLÜLÜKLERİ

Klinik, aşağıdaki hususları kabul ve taahhüt eder:

5.1. Danışanlarına/hastalarına karşı KVKK m.10 uyarınca aydınlatma yükümlülüğünün yerine getirilmesinden ve gerektiğinde KVKK m.5/m.6 uyarınca açık rızanın hukuka uygun biçimde alınmasından münhasıran kendisi sorumludur. Platformun sunduğu teknik araçlar (kvkk.tsx onboarding ekranı, `consent_logs`) bu yükümlülüğü kolaylaştırıcı niteliktedir, ortadan kaldırmaz. Bu aydınlatma metninin, madde 6.5 ve 9'da açıklanan yurt dışı aktarım hususlarını da (verinin hangi alt işleyenler aracılığıyla ve hangi amaçlarla yurt dışına aktarılabileceği dahil) kapsayacak şekilde düzenlenmesi Klinik'in sorumluluğundadır.

5.2. Platforma yüklediği/girdiği kişisel verilerin doğruluğundan, güncelliğinden ve hukuka uygun yollarla elde edilmiş olmasından sorumludur.

5.3. Teta Studio'ya verdiği talimatların KVKK ve ilgili mevzuata uygun olmasını sağlar; talimatın mevzuata aykırı olduğu kanaatine varması halinde Teta Studio'nun madde 3.2 uyarınca durumu bildirme ve işlemi askıya alma hakkını kabul eder.

5.4. Platform üzerinde kendi hesap yönetim ekranından erişebildiği rıza kayıtlarını, danışan haklarına ilişkin talepleri (erişim, düzeltme, silme) makul sürede değerlendirir ve gerektiğinde Teta Studio'dan teknik destek talep eder.

5.5. Danışanlarına yönelik KVKK aydınlatma ve açık rıza yükümlülüklerini yerine getirmemesinden doğan her türlü idari/hukuki sonuçtan (idari para cezası, tazminat talebi, üçüncü kişi talebi dahil) bizzat sorumlu olduğunu ve bu hususlarda Teta Studio'yu talep ve zararlara karşı tazmin edeceğini (hold harmless) kabul eder (bu tazmin yükümlülüğü, madde 10.4'te belirtilen KVKK'nın emredici nitelikteki veri sahibi haklarına ilişkin sınırlamalar saklı kalmak kaydıyla uygulanır ve veri sahibinin Teta Studio'ya karşı doğrudan ileri sürebileceği kanuni/emredici hakları bertaraf etmez).

5.6. Kendi VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğü (kayıt istisnası kapsamında olup olmadığının değerlendirilmesi dahil) ve KVKK'dan doğan diğer idari/bildirim yükümlülüklerinden (varsa) münhasıran kendisi sorumludur. Teta Studio, bu değerlendirmeyi Klinik adına yapmaz ve VERBİS kaydına ilişkin herhangi bir beyan/taahhütte bulunmaz.

6. ALT İŞLEYENLER

6.1. Genel Yetkilendirme

Klinik, işbu Sözleşme'yi imzalamakla/onaylamakla, Teta Studio'nun aşağıda listelenen alt işleyenleri kullanmasına genel yetki (genel izin) kapsamında önceden onay vermiş sayılır. İşbu madde kapsamındaki liste, yalnızca SaaS ürünü/Klinik verisiyle teknik teması bulunan alt işleyenleri kapsar (bkz. madde 1.2 ve 6.6).

6.2. Güncel Alt İşleyen Listesi (Ek-1)

Not — e-posta altyapısı: Hizmet e-postaları (deneme süreci, ekip daveti, destek yanıtları) Google Workspace (Google) üzerinden SMTP ile gönderilir; kimlik doğrulama e-postaları Supabase Auth tarafından tetiklenir. Klinik verisi tanıtım e-postası için kullanılmaz. Push bildirim işleyenleri Apple (APNs) ve Google (FCM)'dir.

Not — analitik ve hata izleme: Corenta, ürün kullanım ölçümü ve istemci hata kaydı için üçüncü taraf bir alt işleyen kullanmamaktadır; her ikisi de yukarıdaki listede yer alan Supabase altyapısındaki Corenta veritabanında tutulur. Üçüncü taraf bir analitik veya hata izleme aracı (örn. Sentry) seçildiğinde/entegre edildiğinde işbu liste güncellenir ve Klinik'e madde 6.3 uyarınca bildirim yapılır.

Not — ödeme altyapısı: Platform üzerinden abonelik ödemeleri yalnızca Apple/Google Store içi satın alma (IAP) mekanizmasıyla tahsil edilmektedir; web üzerinden doğrudan kredi kartı ile ödeme alan ayrı bir ödeme kuruluşu (İyzico, Stripe vb.) şu an kullanılmamaktadır.

Güncel Alt İşleyen listesi, Platform yönetim paneli üzerinde veya talep halinde Klinik'e sağlanan bir belgede ayrıca yayımlanabilir; bu Sözleşme'deki liste ile Platform üzerindeki güncel liste arasında farklılık olması halinde, en güncel (son) liste esas alınır ve madde 6.3'teki bildirim usulü uygulanır.

6.3. Yeni Alt İşleyen Ekleme Usulü

Teta Studio, madde 6.2'deki listede yer almayan yeni bir alt işleyen eklemek veya mevcut bir alt işleyeni değiştirmek istediğinde, alt işleyenin adını, işlevini ve veri işleme yerini belirterek Klinik'i makul bir süre önceden (asgari 15 gün) yazılı olarak (e-posta, platform içi bildirim veya güncel alt işleyen listesinin yayımlanması yoluyla) bilgilendirir. Klinik, haklı bir KVKK uyum gerekçesiyle (ör. alt işleyenin yeterli güvenlik/uyum standardını sağlamadığına dair somut endişe) makul süre içinde yazılı olarak itiraz edebilir; itiraz halinde taraflar iyi niyetle bir çözüm için görüşür. İtirazın makul sürede çözülememesi halinde Klinik, yalnızca ilgili alt işleyenin kullanıldığı işlev bakımından Esas Sözleşme'yi askıya alma veya feshetme hakkını saklı tutar.

6.4. Alt İşleyenlerin Yükümlülükleri ve Sorumluluk

Teta Studio, her bir alt işleyen ile, işbu Sözleşme'de Teta Studio'ya yüklenen veri koruma yükümlülüklerinin en az eşdeğerini içeren yazılı sözleşmeler akdetmekle veya alt işleyenin sunduğu standart DPA'yı kabul etmekle yükümlüdür. Teta Studio, alt işleyenlerin fiil ve ihmallerinden Klinik'e karşı, kendi fiili gibi sorumludur.

6.5. Uluslararası Veri Aktarımı

Danışan Verisinin ana barındırma altyapısı (Supabase) Frankfurt/Almanya'dadır; bu, KVKK anlamında yurt dışına aktarımdır. Ayrıca madde 6.2'de listelenen diğer alt işleyenler (Apple, Google, Vercel) verileri küresel altyapılarında işler. Bu aktarımlar; push bildirim iletimi, uygulama dağıtımı, uygulama içi satın alma faturalandırması ve web yönetim paneli arayüzünün sunumu ile bu arayüz üzerinden yapılan erişim/işlemlerin gerektirdiği ölçüde bu altyapılardan geçmesi gibi hizmetlerin ifası için gerekli olan teknik veri kategorileriyle (ör. cihaz push token'ı, IAP işlem kaydı, panel üzerinden erişilen/işlenen kişisel veriler) sınırlıdır.

KVKK m.9 (7499 sayılı Kanunla değişik, yürürlük 01.06.2024) uyarınca yurt dışına aktarım, m.5 veya m.6'daki işleme şartlarından birinin varlığı ve (i) Kurul'un yeterlilik kararı (m.9/1) ya da (ii) yeterlilik kararı yoksa m.9/4'te sayılan uygun güvencelerden biri (m.9/4-c: Kurul'un ilan ettiği standart sözleşme) ile mümkündür. Standart sözleşme imzadan itibaren 5 iş günü içinde Kurul'a bildirilir (m.9/5). Açık rıza gibi m.9/6'daki istisnalar yalnız arızi aktarımlarda uygulanabilir; madde 6.2'deki aktarımlar düzenli ve sürekli olduğundan açık rızaya dayandırılmaz.

Bu çerçevede: (a) Veri İşleyen, alt işleyenlere yapılan yurt dışı aktarımlar için KVKK m.9/4-c kapsamında Kurul'un ilan ettiği standart sözleşmeyi (Modül 3 — veri işleyenden veri işleyene) metnini değiştirmeden her alt işleyenle imzalar ve imzadan itibaren 5 iş günü içinde Kurul'a bildirir. Veri İşleyen, bu bildirim kayıtlarını talep hâlinde Klinik'e sunar. İşbu sürümün tarihi itibarıyla standart sözleşmeler henüz imzalanmamış ve Kurul'a bildirilmemiştir; imza ve bildirim tamamlandığında Ek-1 tarih ve sağlayıcı listesiyle güncellenir ve Klinik'e madde 6.3 usulüyle bildirilir. (b) Standart sözleşme imzalanamayan bir alt işleyen, Klinik verisini işlemek üzere kullanılmaz; Veri İşleyen bu durumda alternatif bir sağlayıcıya geçiş planını Klinik'e bildirir. (c) Klinik, bu aktarımlara ilişkin bilgiyi kendi aydınlatma metnine ekler. (d) Kurul'un madde 6.2'deki ülkeler hakkında ilan ettiği bir yeterlilik kararı bulunmamaktadır (son kontrol: 11 Ekim 2026).

Teta Studio, mümkün olduğu ölçüde verinin tek bir barındırma bölgesinde (Frankfurt) tutulmasını önceliklendirir ve ilgili alt işleyenlerle akdettiği sözleşmelerde veri koruma standartlarının korunmasını gözetir.

6.6. Kapsam Dışı Bırakılan Alt İşleyenler (Tanıtım Sitesi)

Madde 1.2 uyarınca, işbu Sözleşme yalnızca SaaS ürünü/Klinik verisiyle teknik teması bulunan alt işleyenleri kapsar. Bu nedenle, Framer (corenta.app pazarlama/tanıtım sitesinin barındırma sağlayıcısı) işbu Sözleşme'nin alt işleyen listesine dahil edilmemiştir; zira Framer, ayrı bir proje olarak yalnızca tanıtım sitesi/erken erişim formu ziyaretçi verisini işlemekte olup Klinik'e ait danışan/operasyonel veriyle hiçbir teknik teması bulunmamaktadır. Framer'ın alt işleyen sıfatı, Teta Studio'nun kendi veri sorumlusu sıfatıyla yürüttüğü tanıtım sitesi Aydınlatma Metni/Gizlilik Politikası kapsamında ayrıca ele alınır ve işbu Sözleşme'nin konusu dışındadır.

7. VERİ İŞLEYENİN (TETA STUDIO'NUN) YÜKÜMLÜLÜKLERİ VE GÜVENLİK ÖNLEMLERİ

7.1. Talimat Dışı İşlememe

Madde 3.2 hükümleri saklıdır.

7.2. Gizlilik

Teta Studio, kişisel verilere erişimi olan çalışanlarının/yüklenicilerinin/temsilcilerinin gizlilik yükümlülüğü altında olmasını (iş sözleşmesi, gizlilik taahhütnamesi vb. yollarla) sağlar; erişim "bilmesi gereken" (need-to-know) ilkesiyle sınırlandırılır. Bu yükümlülük, ilgili kişinin görevi sona erdikten sonra da devam eder.

7.3. Güvenlik Önlemleri (KVKK m.12)

Teta Studio, KVKK m.12 ve ilgili Kurul kararları uyarınca, kişisel verilerin hukuka aykırı işlenmesini ve erişimi önlemek, muhafazasını sağlamak amacıyla asgari olarak aşağıdaki teknik ve idari tedbirleri uygular:

a) Erişim kontrolü ve tenant izolasyonu: İşbu Sözleşme'nin akdedildiği tarih itibarıyla, Platformdaki tüm ilgili veri tablolarında (o tarih itibarıyla 37 tablo) `tenant_id` alanı ve satır düzeyi güvenlik (Row Level Security/RLS) etkindir; o tarih itibarıyla toplam 86 güvenlik politikası ile varsayılan-red (default-deny) prensibiyle farklı Klinik'lerin (tenant) verileri birbirinden izole edilir. Platformun gelişimiyle birlikte tablo ve politika sayıları zaman içinde artabilir/değişebilir; işbu maddedeki rakamlar bir üst sınır veya sabit taahhüt değil, madde tarihindeki durumun bir görünümüdür. Esas ve süregelen taahhüt, ilke düzeyindedir: yeni eklenen her tabloda da `tenant_id` + RLS + varsayılan-red izolasyonunun kesintisiz uygulanmasıdır.

b) Özel nitelikli veri koruması: Anamnez formu, seans notu ve ölçüm kayıtlarına erişim, RLS politikalarıyla yalnızca ilgili danışan, atanmış uzman ve tenant yöneticisi ile sınırlandırılmıştır; uzmanın "ekiple paylaşılan" olarak işaretlediği seans notlarını kliniğin diğer uzmanları da görebilir. Personel erişimi ilgili sağlık modülü açıkken mümkündür. Seans notları, gönderim sonrası (`submitted_at` alanı dolduktan sonra) veritabanı düzeyinde değiştirilemez ve silinemez (append-only). Anamnez formları için silme (DELETE) yetkisi hiçbir role tanımlı değildir (Klinik yöneticisi dahil kimse tarafından silinemez).

c) İletim güvenliği: Veriler aktarım sırasında TLS ile şifrelenir.

d) Cihaz üzerinde veri koruma: Mobil uygulamada oturum token'ları, cihazın güvenli donanım destekli anahtar zincirinde (Keychain/Keystore — expo-secure-store) şifreli olarak saklanır. Sağlık verisi içeren mobil ekranlarda ekran görüntüsü ve ekran kaydı engellenir (iOS ekran kaydı/görüntüsü engeli; Android `FLAG_SECURE`).

e) Destek erişimi (impersonation) kısıtlaması: Süper-admin destek modu süreyle sınırlıdır (azami 30 dakika), varsayılan olarak salt-okunurdur. Yazma yetkisi ve özel nitelikli veri erişimi ayrı onay adımları gerektirir; sağlık verisi tablolarına (anamnesis_forms, session_notes, measurements) hiçbir impersonation senaryosunda yazma erişimi tanınmaz — bu kısıt RLS politikalarında istisnasız olarak uygulanmaktadır (bkz. madde 8).

f) Yönetici hesap güvenliği: Platform yönetici (süper-admin) hesapları iki aşamalı kimlik doğrulama (MFA, AAL2) gerektirir.

g) Ödeme bildirimi doğrulaması: Apple/Google Store ödeme bildirimleri (webhook) için sağlayıcıların sunduğu kriptografik imza doğrulama mekanizmaları kullanılmaktadır. Teta Studio, bu alandaki güvenlik yapılandırmasının (üretim ortamı dahil tüm ortamlarda gerekli imza doğrulama parametrelerinin/gizli anahtarların uçtan uca eksiksiz devreye alınması) tamamlanması ve sürekli gözden geçirilmesi üzerinde çalışmaktadır; bu alan, sürekli iyileştirmeye tabi bir süreç olarak ele alınmaktadır ve mutlak/eksiksiz bir doğrulama garantisi olarak yorumlanmamalıdır.

Teta Studio, bu önlemlerin risklerin sıfırlanmasını garanti etmediğini; teknoloji, tehdit ortamı ve mevzuattaki gelişmelere göre önlemlerin makul ölçüde güncellenmeye devam edileceğini beyan eder. İşbu madde, KVKK m.12 uyarınca öngörülen "gerekli her türlü teknik ve idari tedbiri alma" ödevinin somutlaştırılmasıdır ve mutlak bir güvenlik garantisi/belirli bir sertifikasyona (ör. ISO 27001) sahip olunduğu şeklinde yorumlanamaz.

7.4. Alt İşleyen Kullanımı

Teta Studio, madde 6'da düzenlenen esaslar dışında yeni bir alt işleyen kullanamaz; yeni alt işleyen eklemeden önce madde 6.3'te öngörülen bildirim sürecini işletir.

7.5. Veri İhlali Bildirimi (KVKK m.12 / Kurul Kararları)

7.5.1. Teta Studio, kendisi veya alt işleyenlerinden herhangi biri nezdinde işlenen kişisel verilere yönelik bir güvenlik ihlali (yetkisiz erişim, kayıp, ifşa, değiştirme vb.) meydana geldiğini veya meydana gelme ihtimalinin yüksek olduğunu öğrendiği andan itibaren, gecikmeksizin ve her hâlükârda en geç 24 (yirmi dört) saat içinde Klinik'e yazılı olarak (e-posta ve/veya platform içi bildirim ile) bilgi verir. Bu süre, Klinik'in Kurul'a 72 saat içinde bildirim yapabilmesine imkân tanımak amacıyla belirlenmiştir (Kurul 2019/10).

7.5.2. Bildirimde, o an itibarıyla makul ölçüde bilinen asgari şu bilgiler yer alır: (a) ihlalin niteliği ve etkilenen veri kategorileri; (b) etkilenen veri sahibi sayısı/kategorisi (tahmini); (c) ihlalin olası/muhtemel sonuçları; (d) alınan veya alınması planlanan önlemler; (e) Klinik'in ek bilgi alabileceği bir iletişim noktası. Bildirim anında tüm bilgilerin netleşmemiş olması halinde Teta Studio, elde ettiği bilgileri kademeli olarak ve gecikmeksizin Klinik'e iletmeye devam eder.

7.5.3. Klinik'in, veri sorumlusu sıfatıyla KVKK m.12/5 uyarınca Kurul'a ve ilgili kişilere bildirim yapma yükümlülüğünü değerlendirmesi ve gerekiyorsa yerine getirmesi Klinik'in sorumluluğudur. Teta Studio, bu değerlendirme ve bildirim sürecinde Klinik'e gerekli bilgi ve makul teknik desteği sağlar.

7.5.4. Teta Studio, ihlalin nedenini araştırır, tekrarını önleyici makul teknik/idari tedbirleri alır ve sürece ilişkin Klinik'i güncel bilgilendirir. Taraflar, veri ihlaline ilişkin iletişimin gizliliğini korur.

7.5.5. Teta Studio, Veri İhlali'nin kendi kusurundan (işbu Sözleşme'de öngörülen yükümlülüklere aykırılığından) kaynaklanmadığı hallerde (ör. Klinik personelinin hesap bilgilerini üçüncü kişilerle paylaşması gibi Klinik'in kontrolündeki hususlar) sorumlu tutulamaz.

7.6. Denetim Hakkı

7.6.1. Klinik, makul bir bildirim süresi (asgari 15 iş günü önceden yazılı talep) ile ve yılda bir defayı aşmamak üzere, Teta Studio'nun işbu Sözleşme kapsamındaki yükümlülüklerine uyumunu denetleme veya bağımsız bir denetçi vasıtasıyla denetlettirme hakkına sahiptir.

7.6.2. Teta Studio: (a) denetim kapsamında makul bilgi taleplerine karşılık verir; (b) mevcut ise güvenlik sertifikaları, bağımsız denetim raporları veya benzeri belgeleri paylaşarak denetim ihtiyacının karşılanmasına öncelik verir; (c) ticari sır, üçüncü taraf gizlilik yükümlülükleri ve diğer müşterilerin verilerinin korunması gerekliliği çerçevesinde denetimin kapsamını makul ölçüde sınırlandırabilir; (d) yerinde fiziksel denetim gibi kapsamlı talepler, tarafların ayrıca mutabık kalacağı şart ve ücretlere tabi olabilir. Denetimden doğan makul masraflar, aksi kararlaştırılmadıkça Klinik tarafından karşılanır.

7.6.3. Denetim sırasında elde edilen tüm bilgiler gizlidir ve yalnızca KVKK uyumunun teyidi amacıyla kullanılabilir.

7.7. Veri Sahibi Haklarının Kullanılmasına Destek (KVKK m.11)

7.7.0. Kapsam ve KVKK m.11 Haklarının Tam Listesi. KVKK m.11 uyarınca ilgili kişi (veri sahibi), veri sorumlusuna başvurarak aşağıdaki hakları talep edebilir. Teta Studio, Klinik'in danışanlarının bu haklarından yalnızca (c), (d) ve (e) bentlerinde somut olarak açıklanan hususlarda Klinik'e teknik araçlar sunar ve makul ölçüde destek sağlar; veri sahibine doğrudan hukuki yanıt verme yükümlülüğü, veri sorumlusu sıfatı gereği Klinik'e aittir:

a) Kişisel veri işlenip işlenmediğini öğrenme — Platformda otomatik/self-servis bir mekanizma bulunmamaktadır; talep Klinik'in operasyonel süreciyle karşılanır. b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme — Platformda otomatik/self-servis bir mekanizma bulunmamaktadır; talep Klinik'in operasyonel süreciyle karşılanır. c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme — (b) bendindeki dışa aktarım mekanizması aracılığıyla dolaylı olarak desteklenir, aşağıda ayrıca açıklanmıştır. d) Yurt içinde/yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme — Platformda otomatik bir mekanizma bulunmamaktadır; işbu Sözleşme'nin Ek-1 (Alt İşleyen Listesi) belgesi, Klinik'in bu talebi karşılaması için Teta Studio tarafından sunulan bir bilgi kaynağıdır, ancak veri sahibine doğrudan sunulan otomatik bir araç değildir. e) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme — Aşağıda (c) bendinde açıklandığı üzere, Klinik personeli tarafından yönetim paneli üzerinden manuel olarak desteklenir. f) KVKK m.7 çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme — Aşağıda (a) bendinde açıklanan öz-hizmet hesap silme mekanizmasıyla desteklenir. g) (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme — Platformda bu bildirimi otomatik olarak üçüncü kişilere (alt işleyenlere) ileten ayrı bir mekanizma bulunmamaktadır; alt işleyenlerin kendi silme/saklama süreçleri madde 6.4 kapsamındaki sözleşmesel yükümlülüklerine tabidir, ancak veri sahibinin bu talebine özel otomatik bir bildirim akışı Platform'da mevcut değildir. Bu talepler Klinik'in kendi operasyonel süreciyle karşılanır. h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme — Platform, danışanlar hakkında münhasıran otomatik sistemlerle karar üreten bir profilleme/karar mekanizması içermemektedir; bu nedenle bu hak bakımından ayrı bir teknik mekanizmaya gerek görülmemiştir. ı) Kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme — Bu, Klinik'in (ve gerektiğinde Teta Studio'nun madde 10 kapsamındaki) hukuki sorumluluğuna ilişkin bir haktır; Platform'da ayrı bir teknik mekanizma konusu değildir.

Somut mekanizması bulunan haklar aşağıda detaylandırılmıştır:

a) Silme. Önceden verilmiş talimat: Klinik, danışanların uygulama içi self-servis hesap silme işlevini kullanmasını, işbu Sözleşme kapsamında Teta Studio'ya önceden verilmiş bir talimat olarak kabul eder. Yasal saklama yükümlülüğü bulunan kayıtlar madde 11.3 uyarınca saklanır; Klinik bu kayıtları Teta Studio'ya yazılı olarak bildirir (bu kayıtları işaretleyen bir ürün ayarı henüz yoktur).

Danışan/kullanıcı hesap silme talebinde bulunduğunda (öz-hizmet hesap silme akışı dahil) profil kaydına silinme tarihi işlenir, bekleyen randevular iptal edilir, atamalar kaldırılır, rızalar geri çekilir. 30 gün sonunda, otomatik bir arka plan işlemiyle (yalnızca sistem düzeyinde yetkili bir servis mekanizması tarafından tetiklenebilen, insan müdahalesine kapalı bir cron görevi ile) kimlik doğrulama kaydı ve bağımsız iş değeri taşımayan kayıtlar kalıcı olarak silinir. Hesap silme: Silme talebi onaylandığında hesaba erişim hemen kesilir (oturumlar sonlandırılır, giriş yapılamaz); kişisel veriler silinir veya anonimleştirilir (ad, e-posta, telefon, görsel ile danışan kimlik/iletişim bilgileri ve sağlık alanları — kan grubu, alerji, kronik durum, ilaç — temizlenir); yasal saklama gerektiren ödeme ve hakediş kayıtları silinmez; kişi bağı koparılarak, erişimi kısıtlanmış biçimde saklanır. Talep sonrası geri alma süresi bulunmaz; kimlik doğrulama kaydı ve dosyaların kalıcı silinmesi mevcut otuz günlük arka plan sürecinde tamamlanır. Seans notları, anamnez formları ve ölçümler silinmez; kişi bağı koparılır, ancak seans notu serbest metni değiştirilmediğinden bu kayıtlar anonim kabul edilmez ve erişimi kısıtlanmış biçimde, Klinik'in kayıt tutma yükümlülüğü süresince saklanır.

Danışan kaydının silinmesi ve sağlık alanları (4 Ekim 2026 itibarıyla): Hesabı olmayan bir danışan kaydı işletme tarafından silindiğinde kayıt aktif listeden hemen kaldırılır; 30 gün sonunda kimlik ve iletişim bilgileriyle birlikte danışanın sağlık alanları da (kan grubu, alerji, kronik durum, ilaç) silinir/boşaltılır. Anamnez formları, ölçümler ve seans notlarının saklama kuralları bu hükümden etkilenmez.

Makbuz dosyaları (4 Ekim 2026 itibarıyla): Bir ödemeye bağlanmamış (yetim) makbuz dosyaları 7 gün sonra otomatik olarak silinir; bir ödemeye bağlı makbuz hiçbir rolle silinmez.

Destek modunda danışan iletişimi (4 Ekim 2026 itibarıyla): Corenta destek (süper-admin) oturumunda danışanın e-posta ve telefon bilgisi destek personeline gösterilmez; destek personeli yalnızca sınırlı kimlik özetini (ad, hesap durumu, aktiflik, oluşturma tarihi) görebilir.

Sağlık alanlarını yazma yetkisi (4 Ekim 2026 itibarıyla): Danışanın sağlık alanlarını (kan grubu, alerji, kronik durum, ilaç) yalnızca danışanın kendisi ve atanmış uzmanı yazabilir; işletme sahibi/yöneticisi bu alanlara yazamaz (acil durum kişisi ve kimlik alanlarını düzenleyebilir).

Takma adlı ürün ölçümü: Ürün ölçümü Teta Studio'nun veri sorumlusu olduğu ayrı bir faaliyettir (KVKK Aydınlatma Metni, Bölüm C). Klinik takma kimliğiyle yapılır; bu kimlik takma ad niteliğindedir. Özellik şu an kapalıdır ve madde 3.4 uyarınca Klinik'in ayrı talimatı olmadan Klinik verisinden ölçüm üretilmez.

Pazar (4 Ekim 2026 itibarıyla): Corenta şu an yalnızca Türkiye'de sunulmaktadır.

Dosya ekleri: Profil görseli, anamnez ekleri, dışa aktarma dosyaları ve ödeme dekontları (Storage'daki `avatars`, `anamnesis-attachments`, `user-data-exports`, `payment-receipts` alanları) kalıcı silme adımında otomatik olarak Storage'dan silinir; bir alandaki silme başarısız olursa kaydedilir ve diğer alanların temizliğini engellemez. Uzman kimlik/diploma doğrulama belgeleri (`specialist-verification-docs`) bu otomatik silmenin kapsamında değildir; tenant kapanışında veya talep üzerine ayrıca silinir.

b) Bilgi talep etme / veri taşınabilirliği. Platform, ilgili kişinin/Klinik'in talebi üzerine, yalnızca talebi yapan Klinik'in kendi tenant kapsamıyla sınırlı olacak şekilde (başka tenant'lara ait veri sızıntısına yol açmayacak biçimde teknik olarak sınırlandırılmış), yapılandırılmış, makine-okunabilir bir formatta (JSON) veri çıktısı üretebilme kabiliyetine sahiptir. Dosya hazırlanabildiğinde veriler ayrıca ZIP olarak hazırlanır ve 7 gün geçerli kişisel (imzalı) bir bağlantıyla verilir; ZIP hazırlanamazsa yalnız JSON çıktısı verilir. (Madde 11.1(a)'da öngörülen 30 günlük süre, bu maddedeki teslim formatına ilişkin ayrı ve ek bir taahhüt değil, yalnızca Esas Sözleşme sona erdiğinde Klinik'in toplu veri iadesi talebini iletebileceği azami süreyi ifade eder; bkz. madde 11.1.)

c) Düzeltme. Danışan verileri, Klinik personeli tarafından yönetim paneli üzerinden doğrudan güncellenebilir. Bunun ötesinde ayrı, otomatikleştirilmiş bir "düzeltme talebi" iş akışı şu an bulunmamaktadır; düzeltme talepleri Klinik'in kendi operasyonel süreçleri dahilinde karşılanır.

Teta Studio, kendisine doğrudan ulaşan bir veri sahibi başvurusunu (danışanın doğrudan Teta Studio'ya başvurması hali) gecikmeksizin ilgili Klinik'e yönlendirir.

8. DESTEK ERİŞİMİ (IMPERSONATION) ÖZEL REJİMİ

8.1. Teta Studio'nun müşteri destek personelinin, Klinik'in açık talebi veya teknik sorun giderme ihtiyacı üzerine Klinik hesabına erişimi ("Destek Erişimi"), yalnızca aşağıdaki koşullar dahilinde gerçekleştirilebilir:

a) Destek Erişimi süreyle sınırlıdır ve azami 30 dakika sonunda otomatik olarak sona erer; b) Destek Erişimi varsayılan olarak yalnızca görüntüleme (salt-okunur) yetkisi taşır; c) Yazma işlemi yapılması ayrı bir onay adımı gerektirir; d) Özel nitelikli (sağlık) verilerine erişim `health_data_enabled` bayrağıyla ayrıca ve ek onaya tabi kılınmıştır; bu onay verilmediği sürece söz konusu veriler Destek Erişimi sırasında dahi görüntülenemez; e) Hiçbir Destek Erişimi senaryosunda, sağlık verisi tablolarına (anamnesis_forms, session_notes, measurements) yazma yetkisi tanınmaz; bu kısıtlama veritabanı güvenlik politikaları (RLS) seviyesinde uygulanır ve impersonation durumu için herhangi bir istisna tanımlı değildir; f) Her Destek Erişimi oturumu loglanır ve denetlenebilir niteliktedir.

8.2. Teta Studio, mümkün olan hallerde Destek Erişimi öncesinde Klinik'i bilgilendirir.

9. KVKK M.9 UYUMU — YURT DIŞINA AKTARIM GENEL ESASI

Kişisel verilerin ana barındırma altyapısı (veritabanı, kimlik doğrulama, dosya depolama ve sunucusuz fonksiyonlar) bakımından Teta Studio, Frankfurt/Almanya'daki Supabase altyapısını kullanır. Almanya'da barındırma da KVKK anlamında yurt dışına aktarımdır.

Bununla birlikte, madde 6.2'de sayılan hizmetlerin (push bildirim iletimi — Apple/Google; uygulama içi satın alma faturalandırması — Apple/Google; web yönetim paneli barındırma — Vercel) doğası gereği, belirli veri kategorileri sürekli ve rutin olarak bu sağlayıcılar aracılığıyla yurt dışında (uluslararası altyapılarda) işlenmektedir. Bu, istisnai/nadir bir durum değildir: her push bildirimi, her uygulama içi satın alma işlemi ve web yönetim paneli üzerinden yapılan her erişim, ilgili sağlayıcının altyapısından geçer.

Bu sürekli/rutin aktarımlar açık rızaya dayandırılamaz (m.9/6 yalnız arızi aktarımlar içindir). Dayanakları madde 6.5'te düzenlenen KVKK m.9/4-c standart sözleşmeleridir; bu sözleşmelerin imzalanması ve Kurul'a bildirilmesi Veri İşleyen'in yükümlülüğündedir. İşbu sürümün tarihi itibarıyla sözleşmeler henüz imzalanmamıştır (bkz. madde 6.5). Teta Studio bu aktarımları yalnızca madde 6.2'de belirtilen hizmetin ifası için gerekli olan veri kategorileriyle sınırlı tutmayı ve kapsamını gereksiz yere genişletmemeyi taahhüt eder. Taraflar, bu alanın mevzuat ve Kurul uygulamasındaki gelişmelere paralel olarak sürekli gözden geçirileceğini kabul eder.

10. SORUMLULUK

10.1. Her Taraf, işbu Sözleşme ve KVKK kapsamındaki kendi yükümlülüklerine aykırılıktan doğan zararlardan, Esas Sözleşme'de öngörülen sorumluluk sınırlamaları saklı kalmak kaydıyla, kendi kusuru oranında sorumludur.

10.2. Teta Studio, yalnızca kendisine verilen talimatlar dışında veya KVKK'ya aykırı biçimde işleme yaptığı ölçüde sorumlu tutulabilir; Klinik'in KVKK m.10 aydınlatma ve (gerekiyorsa) açık rıza yükümlülüklerini (madde 6.5 uyarınca yurt dışı aktarıma ilişkin aydınlatma dahil) yerine getirmemesinden doğan zararlardan Teta Studio sorumlu tutulamaz (bkz. madde 5.5).

10.3. Alt işleyenlerin kusurundan doğan zararlarda Teta Studio, madde 6.4 uyarınca Klinik'e karşı doğrudan sorumludur.

10.4. Teta Studio'nun talimat dışı işleme, gizlilik ihlali veya işbu Sözleşme'de öngörülen güvenlik önlemlerini almamaktan kaynaklanan zararlardan sorumluluğu, Esas Sözleşme'de belirlenen sorumluluk sınırlamalarına tabidir; ancak kasıt veya ağır kusur hallerinde bu sınırlama uygulanmaz. Sorumluluğun sınırlandırılmasına ilişkin bu hükümler, KVKK'nın emredici nitelikteki veri sahibi haklarına ve yasal sorumluluk hallerine aykırı olmayacak şekilde uygulanır; madde 5.5'teki tazmin (hold harmless) yükümlülüğü de dahil olmak üzere işbu Sözleşme'deki hiçbir hüküm, veri sahibinin Teta Studio'ya karşı doğrudan ileri sürebileceği kanuni/emredici hakları ortadan kaldıracak biçimde yorumlanamaz.

10.5. İşbu Sözleşme'deki hiçbir hüküm, Teta Studio'yu Klinik'in danışanlarına karşı doğrudan veri sorumlusu kılan veya bu yönde bir izlenim yaratan şekilde yorumlanamaz.

11. SÖZLEŞME SONUNDA VERİLERİN İADESİ VE SİLİNMESİ

11.1. Esas Sözleşme'nin herhangi bir nedenle sona ermesi halinde, Klinik'in yazılı talebi üzerine ve Platform'un teknik imkânları ölçüsünde Teta Studio:

a) Klinik'e ait verileri, Klinik'in talebini iletmesi için tanınan asgari 30 günlük süre içinde, yapılandırılmış/makine-okunabilir bir formatta (JSON) iade eder; (Açıklık için: bu 30 günlük süre, Klinik'in iade talebini yöneltebileceği azami süredir; madde 7.7(b)'de açıklandığı üzere, çıktının teslim mekanizması/formatına ilişkin ayrı, sabit bir taahhüt teşkil etmez.) ve/veya b) Klinik'in talebi üzerine, mevzuattan doğan saklama yükümlülükleri saklı kalmak kaydıyla verileri siler.

11.2. Silme süreci, madde 7.7(a)'da açıklanan mekanizmayla uyumlu olarak işler: hesap ve ilişkili veritabanı kayıtları, soft-delete'i takip eden makul bir bekleme süresinin (mevcut teknik altyapıda öngörülen 30 gün) ardından kalıcı olarak silinir. Dosya eklerinin silinmesi madde 7.7(a)'daki "Dosya ekleri" paragrafına tabidir.

11.3. Klinik, mevzuat gereği (ör. vergi, muhasebe, sağlık kayıtlarının saklanmasına ilişkin özel mevzuat) belirli verilerin daha uzun süre saklanması gerektiğini Teta Studio'ya bildirebilir; bu durumda saklama süresi ilgili mevzuata göre belirlenir. Bu haller dışında Teta Studio, Esas Sözleşme'nin sona ermesinin ardından kişisel verileri, ancak (i) yasal saklama yükümlülükleri, (ii) makul bir süre için tutulan yedekleme (backup) kayıtları veya (iii) devam eden bir hukuki uyuşmazlığın gerektirdiği ölçüde saklamaya devam edebilir; bu haller dışında veri süresiz olarak saklanmaz.

11.4. İşbu madde kapsamındaki iade/silme yükümlülüğü, Teta Studio'nun makul ve yaygın ticari uygulamalara uygun teknik imkânlarıyla sınırlıdır; kesin/mutlak bir sonuç taahhüdü teşkil etmez. İşbu madde hükümleri, Esas Sözleşme'nin sona ermesinden sonra da yürürlükte kalır.

12. GİZLİLİK

Taraflar, işbu Sözleşme kapsamında birbirlerinden edindikleri ticari sır niteliğindeki veya gizli bilgileri (fiyatlandırma, teknik altyapı detayları, iş süreçleri dahil) gizli tutmayı, üçüncü kişilerle paylaşmamayı ve yalnızca işbu Sözleşme'nin ve Esas Sözleşme'nin ifası amacıyla kullanmayı taahhüt eder. Bu yükümlülük, Sözleşme'nin sona ermesinden sonra da makul bir süre devam eder.

13. SÖZLEŞMENİN BÜTÜNLÜĞÜ VE ÖNCELİK SIRASI

13.1. İşbu Sözleşme, Esas Sözleşme'nin ayrılmaz bir ekidir ve Esas Sözleşme ile birlikte, taraflar arasındaki kişisel veri işleme ilişkisine dair anlaşmanın tamamını oluşturur. Kişisel verilerin işlenmesine ilişkin hususlarda işbu Sözleşme hükümleri ile Esas Sözleşme hükümleri arasında çelişki bulunması halinde, işbu Sözleşme hükümleri özel hüküm olarak öncelikli uygulanır.

13.2. İşbu Sözleşme'de yer almayan hususlarda KVKK, ilgili ikincil mevzuat ve Kurul kararları uygulanır.

13.3. Bölünebilirlik. İşbu Sözleşme'nin herhangi bir hükmünün geçersiz veya uygulanamaz sayılması, Sözleşme'nin geri kalan hükümlerinin geçerliliğini etkilemez.

14. DEĞİŞİKLİK

Teta Studio, mevzuat değişiklikleri, Kurul kararları, alt işleyen listesindeki güncellemeler veya platformun teknik altyapısında meydana gelen değişiklikler (örn. yeni alt işleyen eklenmesi, e-posta/analitik sağlayıcısı seçimi, madde 3.4'te öngörülen agregatif istatistik faaliyetinin başlatılması) nedeniyle işbu Sözleşme'yi güncelleyebilir. Güncellemeler, madde 6.3'te öngörülen bildirim usulüne tabi olan alt işleyen değişiklikleri hariç, Klinik'e makul süre önceden bildirilir ve önemli değişikliklerde Klinik'in yeniden onayı istenebilir. Klinik'in önemli bir değişikliğe haklı gerekçeyle itiraz etmesi halinde madde 6.3'teki usul kıyasen uygulanır.

15. UYUŞMAZLIKLARIN ÇÖZÜMÜ VE UYGULANACAK HUKUK

İşbu Sözleşme'den doğan uyuşmazlıklarda Türk hukuku uygulanır. Uyuşmazlıkların çözümünde, Esas Sözleşme'de belirlenen yetkili mahkeme ve icra daireleri yetkilidir.

16. YÜRÜRLÜK

İşbu Sözleşme, Klinik'in Esas Sözleşme'yi elektronik ortamda onaylaması/kabul etmesi ile birlikte yürürlüğe girer, iki nüsha düzenlenmiş gibi hüküm ifade eder ve Esas Sözleşme'nin süresi boyunca (madde 11 hükümleri saklı kalmak kaydıyla) yürürlükte kalır.

EK-1 — ALT İŞLEYEN LİSTESİ

(Madde 6.2'de yer alan tablo işbu Ek'in ayrılmaz parçasıdır. Güncel liste ayrıca Platform yönetim paneli üzerinden veya talep halinde Klinik'e temin edilebilir. Not: Framer, madde 6.6 uyarınca bu listenin kapsamı dışındadır — bkz. madde 1.2 ve 6.6.)

EK-2 — TEKNİK VE İDARİ ÖNLEMLER ÖZETİ

(Bkz. madde 7.3. Detaylı güvenlik dokümantasyonu, Klinik'in makul talebi üzerine ve gizlilik kısıtları çerçevesinde madde 7.6 uyarınca paylaşılabilir.)

EK-3 — İDARİ BİLGİLER

• VERBİS Kaydı: Teta Studio'nun bu metnin tarihi itibarıyla VERBİS kaydı yoktur; kendi veri sorumlusu faaliyetleri bakımından kayıt yükümlülüğü Kurul'un 2025/1572 ve 2025/2393 sayılı kararlarındaki ölçütlere göre değerlendirilmektedir. Klinik'in kendi VERBİS yükümlülüğü ayrı ve bağımsızdır; ana faaliyeti sağlık verisi işleme olan veri sorumluları için istisna eşiği yıllık 10 çalışan ve 10 milyon TL bilançodur (bkz. madde 5.6).
• İletişim (Veri İşleyen — Teta Studio): hello@corenta.app
• İletişim (Veri Sorumlusu — Klinik): Klinik'in Platform üzerinde kayıtlı yönetici hesabı / Esas Sözleşme'de belirtilen iletişim bilgileri esas alınır.
• Platform: app.corenta.app

İşbu Sözleşme, Klinik'in Esas Sözleşme'yi elektronik ortamda onaylaması ile birlikte kabul edilmiş sayılır ve iki nüsha yerine geçerli tek bir elektronik kayıt olarak taraflar arasında yürürlüğe girmiş sayılır.

Veri Sorumlusu: Klinik / Merkez (Esas Sözleşme'de/tenant kaydında tanımlı tüzel/gerçek kişi) Veri İşleyen: Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi (Corenta markası)

Son güncelleme: 11 Ekim 2026 Sürüm: 1.6 — Taslak sürüm — sahip onayı, avukat incelemesi bekleniyor. Bu metin bir avukat tarafından incelenmemiştir.