CORENTA — ПАЛІТЫКА ЗАХОЎВАННЯ І ЗНІШЧЭННЯ ДАНЫХ

Гэты пераклад прыводзіцца толькі для інфармацыі; юрыдычна абавязковым з’яўляецца тэкст на турэцкай мове.

Выдаленне карткі кліента без акаўнта: дзеянне «Выдаліць» адміністратара клінікі лічыцца запытам; картка неадкладна прыбіраецца з актыўнага спіса, а праз 30 дзён выдаляюцца/ачышчаюцца ідэнтыфікацыйныя/кантактныя звесткі і палі са звесткамі пра здароўе кліента (група крыві, алергіі, хранічныя захворванні, лекі) (гл. 5.0). Агульнае апісанне выдалення акаўнта ніжэй не тлумачыцца ў гэтым асобным выпадку як абавязак канчаткова выдаляць радок кліента. Запісы анамнезу, вымярэнняў, нататак сеансаў і фінансавыя запісы застаюцца падпарадкаванымі ўласным правілам захоўвання.

Уступае ў сілу / апошняе абнаўленне: 19 кастрычніка 2026 г. Версія: 1.9 Кантралёр даных / выдавец: Mertcan Demir — індывідуальны прадпрымальнік, які дзейнічае пад камерцыйным пазначэннем «Teta Studio»

Журнал змяненняў

• 1.9 — 19 кастрычніка 2026 г.: Фармулёўка «толькі Türkiye» у раздзеле 14 заменена глабальнай прапановай сэрвісу; тэрміны захоўвання не змяніліся.
• 1.8 — 19 кастрычніка 2026 г.: Версія для публікацыі; дата ўступлення ў сілу — 19 кастрычніка 2026 г. У раздзел 4 дададзены радок пра групавыя паведамленні клінікі і копіі паведамленняў, адкладзеныя для разгляду камандай (п. 12); адпаведна пашыраны пералік перыядычнага знішчэння ў раздзеле 7; з табліцы 1.3 выдалены незапоўненыя звесткі MERSİS і KEP.
• 1.7 — 11 кастрычніка 2026 г.: Па выніках праверкі адпаведнасці ад 11 кастрычніка 2026 г. (F01, F02, F08, F11, F13, F19, F21): з §11 выдалена фармулёўка «Supabase/Франкфурт не з’яўляецца трансгранічнай перадачай», а раздзел пра трансгранічную перадачу напісаны ў адпаведнасці з рэдакцыяй арт. 9 Закона № 6698 пасля 2024 года (стандартныя дагаворы яшчэ не падпісаны); для медыцынскіх/клінічных/фінансавых запісаў фармулёўка «ананімныя» выпраўлена на захоўванне з разрывам сувязі з асобай і абмежаваным доступам (свабодны тэкст нататкі сеанса не змяняецца); прававая падстава радка пра доказы згоды выпраўлена на арт. 5/2-e (памылковая спасылка на арт. 20/2 выдалена); радок пра форму ранняга доступу абноўлены з улікам размежавання інфармавання і згоды на камерцыйныя паведамленні; для катэгорый без аўтаматычнага знішчэння дададзены прынцып перыядычнага знішчэння раз у 6 месяцаў; ідэнтыфікацыйныя звесткі выпраўлены на звесткі пра індывідуальнага прадпрымальніка; раздзел пра VERBİS напісаны ў адпаведнасці з рашэннямі Савета 2025 года.
• 1.6 — 10 кастрычніка 2026 г.: Expo (Expo Push Notification Service) выключаны з запісаў пра субапрацоўшчыкаў/апрацоўшчыкаў; push-апавяшчэнні дастаўляюцца толькі праз Apple (APNs) і Google (FCM), Expo/EAS — толькі інструмент зборкі праграмы і не апрацоўвае даныя канчатковых карыстальнікаў.
• 1.5 — 10 кастрычніка 2026 г.: Выдалена фармулёўка пра выбар Google Analytics; удакладнена, што аналітыка трэціх асоб не выкарыстоўваецца, і ўдакладнены апрацоўшчыкі push-апавяшчэнняў.
• 1.4 — 4 кастрычніка 2026 г.: Дзейны тэкст зафіксаваны як зацверджаная версія. У гэтай версіі адлюстравана толькі наступнае: выдаленне акаўнта (доступ спыняецца неадкладна, персанальныя даныя выдаляюцца/ананімізуюцца, запісы пра плацяжы, якія падлягаюць захоўванню па законе, захоўваюцца без ідэнтыфікацыі асобы; тэрміну для адмены няма); выдаленне палёў са звесткамі пра здароўе кліента праз 30 дзён; 7-дзённы тэрмін для «асірацелых» квітанцый; канфідэнцыяльнасць кантактных даных кліента ў рэжыме падтрымкі; вымярэнне на баку сервера без ідэнтыфікацыі асобы; службовыя электронныя лісты і Google Workspace; апрацоўшчыкі push-апавяшчэнняў; адрас падтрымкі; рынак (Türkiye).
• 1.3 — 7 ліпеня 2026 г. (абнаўленне ад 4 жніўня 2026 г.): папярэдняя версія.

Важная заўвага пра статус кантралёра даных / апрацоўшчыка даных: Гэтая Палітыка захоўвання і знішчэння даных («Палітыка») рэгулюе, як доўга захоўваюцца персанальныя даныя, што апрацоўваюцца ў рамках праграмнага сэрвісу Corenta («Сэрвіс» або «Праграма»), які распрацоўвае і эксплуатуе Mertcan Demir, што дзейнічае як індывідуальны прадпрымальнік пад камерцыйным пазначэннем «Teta Studio» («Corenta», «Teta Studio», «Кампанія»), якія крытэрыі бяруцца за аснову пры вызначэнні гэтых тэрмінаў і якімі метадамі гэтыя даныя выдаляюцца, незваротна знішчаюцца або ананімізуюцца пасля заканчэння тэрміну захоўвання або адпадзення падставы апрацоўкі.

Гэтая Палітыка падрыхтавана ў рамках Закона № 6698 аб абароне персанальных даных («KVKK»), Палажэння аб выдаленні, незваротным знішчэнні або ананімізацыі персанальных даных («Палажэнне») і іншага адпаведнага заканадаўства і з’яўляецца неад’емнай часткай рэестра апрацоўкі персанальных даных Corenta. Гэтую Палітыку трэба чытаць разам з адпаведным Інфармацыйным тэкстам/Палітыкай канфідэнцыяльнасці, у якіх падрабязна апісаны мэты і прававыя падставы апрацоўкі даных; гэты дакумент рэгулюе толькі тэрміны захоўвання і парадак знішчэння і не прызначаны для таго, каб самастойна цалкам выконваць абавязак па інфармаванні паводле арт. 10 KVKK.

1. Мэта і сфера дзеяння

1.1. Мэта

Мэта гэтай Палітыкі — растлумачыць крытэрыі вызначэння максімальнага тэрміну, неабходнага для мэты, з якой Corenta апрацоўвае персанальныя даныя, прымяненне тэрмінаў, прадугледжаных заканадаўствам, а таксама парадак і прынцыпы выдалення, незваротнага знішчэння або ананімізацыі персанальных даных, тэрмін захоўвання якіх скончыўся. Гэтая Палітыка падрыхтавана на аснове арт. 5, арт. 6, арт. 7, арт. 10, арт. 11 і арт. 12 KVKK і адпаведных артыкулаў Палажэння.

1.2. Сфера дзеяння і размежаванне роляў — важнае папярэджанне

Гэтая Палітыка ахоплівае дзве асобныя сферы, у якіх Corenta апрацоўвае даныя ў двух розных статусах; гэтае размежаванне паслядоўна прымяняецца ва ўсёй Палітыцы і непасрэдна ўплывае на тое, як тлумачыцца табліца тэрмінаў захоўвання:

(a) Кантэкст карпаратыўнага вэб-сайта (corenta.app — форма запыту ранняга доступу/дэма): у дачыненні да персанальных даных, якія патэнцыйныя бізнесы-кліенты, зацікаўленыя ў прадукце, перадаюць праз форму заяўкі на ранні доступ, Corenta/Teta Studio дзейнічае непасрэдна як Кантралёр даных паводле арт. 3 KVKK.

(b) Кантэкст прадукту SaaS (app.corenta.app): у дачыненні да персанальных даных, якія цэнтры клінічнага пілатэсу, фізіятэрапіі, рэформера, велнесу/масажу і ёгі, што карыстаюцца платформай Corenta па падпісцы («Tenant», «Бізнес» або «Клініка»), уносяць на платформу як даныя сваіх кліентаў («Кліент — суб’ект даных») (кантактныя даныя, анамнез, нататкі сеансаў, даныя пра запісы/пакеты і г. д.), Клініка з’яўляецца Кантралёрам даных паводле арт. 3 KVKK; Corenta/Teta Studio дзейнічае толькі як Апрацоўшчык даных і прадастаўляе паслугі тэхнічнай інфраструктуры ў адпаведнасці з указаннямі Клінікі. Абавязак па інфармаванні кліентаў, атрыманне яўнай згоды і канчатковае рашэнне аб захоўванні/знішчэнні даных кліентаў ляжаць на прававой адказнасці Клінікі. Corenta тэхнічна палягчае выкананне гэтых абавязкаў у прадукце (механізм рэгістрацыі згод consent_logs, экран згоды па KVKK у мабільнай праграме kvkk.tsx, аўдытарскія сляды), аднак не пераймае і не бярэ на сябе абавязкі Клінікі па адпаведнасці KVKK. Тэрміны захоўвання, апісаныя ў гэтай Палітыцы для гэтага кантэксту, паказваюць, як доўга Corenta як апрацоўшчык даных фактычна захоўвае гэтыя даныя ў сваёй інфраструктуры; канчатковае рашэнне аб знішчэнні і яго тэрмін могуць вызначацца ўказаннямі Клінікі і заканадаўствам, якое на яе распаўсюджваецца.

Гэтая Палітыка таксама ахоплівае ў частцы агульных прынцыпаў працэсы захоўвання/знішчэння персанальных даных супрацоўнікаў, дзелавых партнёраў і пастаўшчыкоў Corenta; аднак асноўная ўвага Палітыкі засяроджана на даных кліентаў, вызначаных у пунктах (a) і (b) вышэй.

1.3. Звесткі пра кантралёра даных / апрацоўшчыка даных

1.4. Нарматыўная база

• Закон № 6698 аб абароне персанальных даных,
• Палажэнне аб выдаленні, незваротным знішчэнні або ананімізацыі персанальных даных (Афіцыйная газета № 30224 ад 28.10.2017),
• Кіраўніцтва па выдаленні, незваротным знішчэнні або ананімізацыі персанальных даных і рашэнні Савета па абароне персанальных даных («Савет»),
• Гандлёвы кодэкс Турцыі № 6102 (захоўванне гандлёвых кніг і дакументаў),
• Закон № 213 аб падатковых працэдурах (захоўванне фінансавых запісаў),
• Іншае адпаведнае галіновае заканадаўства (уключаючы, у той меры, у якой гэта прымяняльна, заканадаўства аб аказанні медыцынскіх паслуг).

2. Азначэнні

3. Крытэрыі вызначэння тэрмінаў захоўвання і знішчэння (арт. 5, арт. 6 KVKK)

3.1. Прычыны, якія патрабуюць захоўвання

У Corenta персанальныя даныя захоўваюцца толькі на працягу тэрміну, яўна прадугледжанага адпаведным заканадаўствам, або тэрміну, неабходнага для мэты, з якой яны апрацоўваюцца. Пры вызначэнні тэрміну захоўвання за аснову бяруцца наступныя крытэрыі:

1. Ці ёсць прававы абавязак захоўвання? (Напрыклад, мінімальныя тэрміны захоўвання фінансавых запісаў паводле Гандлёвага кодэкса Турцыі і Закона аб падатковых працэдурах.)
2. З якой мэтай апрацаваны даныя і ці застаецца гэтая мэта актуальнай? (Арт. 5/2 KVKK — прынцып абмежавання мэтай.)
3. Ці неабходныя яны для заключэння/выканання дагавора? (Напрыклад, даныя пра запісы і пакеты, пакуль працягваюцца адносіны па падпісцы/аказанні паслуг.)
4. Ці неабходныя яны для ўстанаўлення, ажыццяўлення або абароны права (як доказ у магчымай прававой спрэчцы)? (З улікам агульных тэрмінаў даўнасці паводле Закона аб абавязацельствах.)
5. Ці ёсць яўная згода суб’екта даных і ці захоўвае гэтая згода сілу?
6. Ці ёсць законны інтарэс Corenta або Клінікі? (Напрыклад, журналы бяспекі, выяўленне махлярства/злоўжыванняў.)
7. Ці адносяцца даныя да катэгорыі персанальных даных асобай катэгорыі (звестак пра здароўе)? У такім выпадку паводле арт. 6 KVKK прымяняюцца больш строгія абмежаванні доступу і абгрунтаванне; тэрмін захоўвання ніколі не пашыраецца па-за межы мэты.

Калі ніводзін з вышэйпералічаных крытэрыяў не патрабуе захоўвання пэўных персанальных даных, даныя неадкладна выдаляюцца, незваротна знішчаюцца або ананімізуюцца.

3.2. Прычыны, якія патрабуюць знішчэння

Персанальныя даныя выдаляюцца, незваротна знішчаюцца або ананімізуюцца па запыце суб’екта даных або па ўласнай ініцыятыве Corenta/Клінікі ў наступных выпадках:

a) змяненне або адмена палажэнняў заканадаўства, на якіх грунтуецца іх апрацоўка; b) адпадзенне мэты, якая патрабуе іх апрацоўкі або захоўвання; c) адкліканне суб’ектам даных згоды ў выпадках апрацоўкі на аснове яўнай згоды; d) запыт суб’екта даных на выдаленне/незваротнае знішчэнне ў рамках правоў паводле арт. 11 KVKK і прызнанне гэтага запыту абгрунтаваным (запыт на выдаленне акаўнта); e) заканчэнне тэрміну захоўвання персанальных даных і адсутнасць якой-небудзь прававой падставы для іх захоўвання; f) незаключэнне дагавора, яго несапраўднасць, скасаванне або адмова ад дагавора; g) канчатковае завяршэнне запыту на выдаленне акаўнта ў рамках працэдуры, указанай у раздзеле 5 гэтай Палітыкі.

4. Табліца катэгорый даных, тэрмінаў захоўвання і метадаў знішчэння

Табліца ніжэй паказвае асноўныя катэгорыі персанальных даных, якія апрацоўваюцца ў інфраструктуры Corenta, тэрмін іх захоўвання, яго абгрунтаванне і метад знішчэння, які прымяняецца пасля заканчэння тэрміну. Калі іншае яўна не ўказана, агульнае правіла такое: «Пакуль звязаны акаўнт/запіс актыўны + 30 дзён з моманту прыняцця ў апрацоўку запыту на выдаленне акаўнта». Табліцу трэба чытаць разам з працэсам выдалення акаўнта, апісаным у раздзеле 5. Для некаторых катэгорый крок гэтага працэсу па заканчэнні 30 дзён — не DELETE (канчатковае выдаленне), а ананімізацыя; гэтае адрозненне яўна пазначаецца ў адпаведных радках і ў раздзеле 6.2.

<div style="overflow-x:auto">

</div>

Заўвага 1: Фармулёўка «пакуль акаўнт/tenant актыўныя» ў табліцы вышэй азначае перыяд, на працягу якога падпіска адпаведнай Клінікі на Corenta працягваецца, а картка кліента не выдалена Клінікай. Калі Клініка выдаліць даныя свайго кліента, вызначаецца ўласнай палітыкай Клінікі па KVKK (як Кантралёра даных) і яе адносінамі з кліентам; Corenta дае для гэтага працэсу тэхнічную магчымасць.

Заўвага 2: Тэрміны 2 гады для п. 7 (Аўдытарскія сляды) і 5 гадоў для п. 8 (Запісы пра згоды) — гэта фіксаваныя тэрміны захоўвання, устаноўленыя Corenta (у адрозненне ад тэрміну паводле ГК/Закона аб падатковых працэдурах у п. 6, яны не грунтуюцца непасрэдна на нормах заканадаўства; гэта абавязацельства, якое Corenta добраахвотна ўзяла на сябе ў рамках законнага інтарэсу і абавязку даказвання паводле арт. 5/2-f KVKK). Аўтаматычны механізм выдалення па заканчэнні тэрміну захоўвання ў сістэме зараз не працуе — калі тэрмін заканчваецца, выдаленне/ананімізацыя праводзіцца ўручную; калі аўтаматызацыя будзе ўведзена, гэтая Палітыка будзе абноўлена. Фармулёўка «не больш за 2 гады» ў п. 9 (Даныя формы ранняга доступу) мае іншую сферу і, як растлумачана ў яе радку, азначае асобную прававую верхнюю мяжу.

5. Працэс выдалення акаўнта — як ён працуе ад пачатку да канца

Каб тэхнічна задаволіць запыт суб’ектаў даных на выдаленне паводле арт. 11 KVKK, Corenta ўжывае двухэтапную архітэктуру выдалення, якая ўлічвае баланс паміж карыстальніцкім вопытам і патрэбамі бяспекі даных/прававога даказвання: неадкладнае мяккае выдаленне (soft-delete) і наступнае канчатковае выдаленне праз 30 дзён.

5.0. Змяненне ад 4 кастрычніка 2026 г. — у выпадку супярэчнасці з 5.1–5.7 гэты пункт мае прыярытэт

Выдаленне акаўнта (з 4 кастрычніка 2026 г.): пасля пацвярджэння запыту на выдаленне доступ да акаўнта спыняецца неадкладна (сесіі завяршаюцца, увайсці немагчыма); персанальныя даныя выдаляюцца або ананімізуюцца (імя, электронная пошта, тэлефон, выява, а таксама ідэнтыфікацыйныя/кантактныя даныя кліента і палі са звесткамі пра здароўе — група крыві, алергіі, хранічныя захворванні, лекі — ачышчаюцца); запісы пра плацяжы і налічэнні, якія падлягаюць захоўванню па законе, не выдаляюцца; яны захоўваюцца з разрывам сувязі з асобай і з абмежаваным доступам. Пасля запыту магчымасці адмяніць выдаленне няма; канчатковае выдаленне запісу праверкі сапраўднасці і файлаў завяршаецца ў рамках існуючага трыццацідзённага фонавага працэсу.

Выдаленне карткі кліента і палі са звесткамі пра здароўе (з 4 кастрычніка 2026 г.): калі бізнес выдаляе картку кліента, у якога няма акаўнта, картка неадкладна прыбіраецца з актыўнага спіса; праз 30 дзён разам з ідэнтыфікацыйнымі і кантактнымі звесткамі выдаляюцца/ачышчаюцца і палі са звесткамі пра здароўе кліента (група крыві, алергіі, хранічныя захворванні, лекі). Гэтае палажэнне не закранае правілаў захоўвання форм анамнезу, вымярэнняў і нататак сеансаў.

Файлы квітанцый (з 4 кастрычніка 2026 г.): файлы квітанцый, не прывязаныя да плацяжу («асірацелыя»), аўтаматычна выдаляюцца праз 7 дзён; квітанцыя, прывязаная да плацяжу, не выдаляецца ні адной роляй.

Кантактныя даныя кліента ў рэжыме падтрымкі (з 4 кастрычніка 2026 г.): у сесіі падтрымкі Corenta (суперадміністратара) адрас электроннай пошты і тэлефон кліента супрацоўніку падтрымкі не паказваюцца; супрацоўнік падтрымкі бачыць толькі абмежаваную зводку ідэнтыфікацыйных звестак (імя, статус акаўнта, актыўнасць, дата стварэння).

Права запісу ў палі са звесткамі пра здароўе (з 4 кастрычніка 2026 г.): запісваць звесткі ў палі са звесткамі пра здароўе кліента (група крыві, алергіі, хранічныя захворванні, лекі) могуць толькі сам кліент і прызначаны яму спецыяліст; уладальнік/адміністратар бізнесу не можа запісваць у гэтыя палі (ён можа рэдагаваць кантакт на выпадак надзвычайнай сітуацыі і ідэнтыфікацыйныя палі).

Псеўданімізаванае вымярэнне выкарыстання прадукту: для паляпшэння прадукту толькі на баку сервера могуць вымярацца агрэгаваныя падзеі выкарыстання з псеўданімным ідэнтыфікатарам клінікі; гэтае вымярэнне не ўключае IP-адрасы, звесткі пра здароўе або адсочванне крыніц/рэкламы. Псеўданімны ідэнтыфікатар клінікі з’яўляецца псеўданімам (а не ананімным). Функцыя зараз адключана.

5.1. Этап 1 — неадкладнае мяккае выдаленне (soft-delete)

У момант, калі карыстальнік пацвярджае ў праграме запыт на выдаленне акаўнта, сістэма адначасова і неадкладна выконвае наступныя аперацыі:

1. Запіс профілю карыстальніка робіцца неактыўным праз запаўненне поля deleted_at; акаўнт становіцца недаступным/нябачным для звычайнага выкарыстання і не можа выкарыстоўвацца для ўваходу.
2. Запланаваныя (яшчэ не праведзеныя) запісы карыстальніка аўтаматычна скасоўваюцца.
3. Прызначэнні, у якіх карыстальнік фігуруе як спецыяліст/рэсурс (сувязі кліент–спецыяліст, прызначэнні праграм), здымаюцца.
4. Усе згоды карыстальніка адклікаюцца (адлюстроўваецца запаўненнем поля revoked_at у запісах consent_logs).

На гэтым этапе даныя фізічна не выдалены, аднак зроблены недаступнымі для звычайнай апрацоўкі і прагляду. Гэта першы крок працэсу выдалення ў форме «прывядзення ў недаступны стан» у сэнсе арт. 7 KVKK і Палажэння.

5.2. Этап 2 — канчатковае выдаленне (праз 30 дзён)

Праз 30 (трыццаць) дзён пасля мяккага выдалення запланаваная задача (cron job), якая аўтаматычна працуе ў сістэме, незваротна выконвае наступныя аперацыі:

1. Запіс праверкі сапраўднасці карыстальніка (auth.users) выдаляецца канчаткова і незваротна.
2. Запісы базы даных, звязаныя з карыстальнікам, апрацоўваюцца па-рознаму ў залежнасці ад катэгорыі: запісы, якія не маюць самастойнай рабочай/доказнай каштоўнасці (напрыклад, апавяшчэнні), выдаляюцца канчаткова (DELETE/cascade); а звесткі пра здароўе (anamnesis_forms, session_notes, measurements) і клінічныя/фінансавыя запісы (payments, attendance, consent_logs) не выдаляюцца, сувязь з асобай разрываецца — сувязь з асобай разрываецца на ўзроўні базы даных, некаторыя палі свабоднага тэксту ачышчаюцца, а запіс застаецца як запіс tenant з разарванай сувяззю з асобай і з абмежаваным доступам (паколькі свабодны тэкст нататкі сеанса не змяняецца, ён не лічыцца ананімным) (гл. раздзел 4, п. 2–5, 8, 10 і раздзел 6.2).
3. Гэтая аперацыя запускаецца аўтаматычна толькі ў прывілеяваным (абароненым service-role) фонавым працэсе сістэмы; ніводзін карыстальнік, уключаючы адміністрацыйны персанал, або адміністратар Бізнесу не можа ўручную запусціць, датэрмінова ініцыяваць або спыніць гэты працэс праз звычайныя інтэрфейсы прадукту — гэта свядомае праектнае рашэнне ў сферы бяспекі, каб прадухіліць датэрміновае/запозненае выдаленне памылкова або ў выніку злоўжывання. (Гэтая гарантыя ахоплівае звычайныя карыстальніцкія і адміністрацыйныя інтэрфейсы прадукту; тэхнічныя аперацыйныя працэсы, якія могуць мець непасрэдны доступ да базы даных на прывілеяваным інфраструктурным узроўні сістэмы, не ўваходзяць у сферу гэтай гарантыі і падпарадкоўваюцца асобным унутраным мерам кантролю доступу.)

Мэта 30-дзённага фонавага працэсу (з 4 кастрычніка 2026 г.): паколькі доступ да акаўнта спыняецца неадкладна пасля запыту на выдаленне, гэты тэрмін не дае магчымасці адмяніць выдаленне або адмовіцца ад яго; ён выкарыстоўваецца для завяршэння канчатковага выдалення запісу праверкі сапраўднасці і файлаў і для разгляду магчымых злоўжыванняў. Гэты тэрмін — разумны і абмежаваны, адпаведны прынцыпу прапарцыйнасці паводле арт. 5 KVKK. Наконт статусу запыту на выдаленне можна звярнуцца на адрас hello@corenta.app.

5.3. Выключэнне: даныя, у дачыненні да якіх ёсць заканадаўчы абавязак захоўвання

Апісаны вышэй 30-дзённы працэс канчатковага выдалення не ахоплівае запісаў, указаных у раздзеле 4, п. 6 табліцы (Метаданыя падпіскі/транзакцый), у дачыненні да якіх ёсць заканадаўчы абавязак захоўвання паводле Гандлёвага кодэкса Турцыі/Закона аб падатковых працэдурах. Гэтыя запісы, нават калі акаўнт канчаткова выдалены, асобна захоўваюцца да заканчэння адпаведнага заканадаўчага тэрміну захоўвання, аддзеленыя ад мэты апрацоўкі персанальных даных, з доступам, абмежаваным толькі мэтай выканання заканадаўчага абавязку. Гэтак жа аўдытарскія сляды (audit_logs) і мінімальнае ядро запісаў пра згоды для мэт даказвання (гл. раздзел 4, п. 7–8) з падстаў законнага інтарэсу/прававога даказвання могуць і далей захоўвацца па-за гэтым 30-дзённым тэрмінам у асобнай і абмежаванай мэце. У раздзеле 4, Заўвага 2 яўна ўказана, што тэрміны ў рамках гэтага выключэння не адпавядаюць тэхнічнаму механізму, які аўтаматычна прымяняецца ў сістэме.

5.4. Асобнае тлумачэнне наконт захаваных укладзеных файлаў (важна — празрыстасць)

У адпаведнасці з прынцыпам празрыстасці яўна ўказваецца: падчас канчатковага выдалення запісы базы даных (профіль, запісы на прыём, прызначэнні, згоды і г. д.) цалкам выдаляюцца або (для медыцынскіх/клінічных/фінансавых запісаў, гл. раздзел 6.2) ананімізуюцца; укладзеныя файлы карыстальніка, якія захоўваюцца ў асобным сховішчы (Storage), апрацоўваюцца так: аватар/фота профілю, дакумент/фота, укладзеныя ў форму анамнезу, і выява плацежнай квітанцыі аўтаматычна (паводле прынцыпу best-effort) выдаляюцца са Storage як частка этапу канчатковага выдалення — гэта правераныя паводзіны, якія фактычна дзейнічаюць у сістэме зараз. Калі выдаленне ў адным бакеце не ўдаецца, гэта рэгіструецца ў журнале; аднак гэта не перашкаджае ачыстцы іншых бакетаў або крокам ананімізацыі/канчатковага выдалення акаўнта (праектаванне паводле прынцыпу best-effort).

Шчырае абмежаванне: адзіная катэгорыя файлаў, якая застаецца па-за гэтым аўтаматычным працэсам, — дакументы для праверкі асобы/дыплома, загружаныя ў працэсе рэгістрацыі спецыяліста/спецыяліста-адзіночкі (бакет specialist-verification-docs). Тэхнічна гэтыя дакументы звязаны не з карыстальнікам, а з працэсам праверкі ў адпаведным tenant (Клініцы) і не ўтрымліваюць спасылкі на карыстальніка ў запісе базы даных; таму іх нельга аўтаматычна ўключыць у існуючы працэс выдалення акаўнта карыстальніка. Знішчэнне гэтага дакумента будзе асобна разгледжана ў працэсе закрыцця адпаведнай Клінікай свайго акаўнта/падпіскі на ўзроўні tenant (гл. раздзел 5.6); да завяршэння гэтага выключныя запыты разглядаюцца ўручную праз hello@corenta.app.

Таму ў гэтай Палітыцы не даецца абсалютнага абавязацельства наконт таго, што па запыце на выдаленне акаўнта «ўсе даныя/файлы карыстальніка выдаляюцца поўнасцю і неадкладна» (асабліва гл. раздзел 6.3 наконт тэхнічных рэшткаў у рэзервовых копіях і выключэнне вышэй); аднак у дачыненні да апісаных вышэй катэгорый файлаў аўтаматычнае выдаленне фактычна прымяняецца.

5.5. Асобная заўвага наконт звестак пра здароўе

Звесткі пра здароўе асобай катэгорыі, такія як формы анамнезу, нататкі сеансаў і запісы вымярэнняў, таксама падпадаюць пад агульны працэс выдалення, апісаны вышэй (мяккае выдаленне → 30 дзён → канчатковае выдаленне); аднак, як растлумачана ў раздзеле 4, п. 2–4 і ў раздзеле 6.2, у гэтых табліцах этап канчатковага выдалення ажыццяўляецца шляхам разрыву сувязі з асобай і частковай ачысткі — запіс не выдаляецца праз DELETE, сувязь з асобай разрываецца, і некаторыя палі свабоднага тэксту ачышчаюцца; клінічны запіс (асабліва змесціва нататкі сеанса ў рэжыме append-only) захоўваецца як запіс tenant з разарванай сувяззю з асобай і з абмежаваным доступам і не лічыцца ананімным. Акрамя таго, паколькі гэтая катэгорыя даных пераплецена з запісамі, якія Клініка вядзе як кантралёр даных, запыт кліента на выдаленне акаўнта/даных можа ўступаць у супярэчнасць з уласнымі заканадаўчымі абавязкамі Клінікі па захоўванні (напрыклад, абавязкамі весці запісы, якія могуць вынікаць з заканадаўства аб аказанні медыцынскіх паслуг); метад разрыву сувязі з асобай і абмежаванага захоўвання накіраваны на тое, каб збалансаваць гэтыя два абавязкі (правы кліента на персанальныя даныя і абавязак Клінікі весці запісы). У такіх выпадках канчатковым органам прыняцця рашэння з’яўляецца Клініка як кантралёр даных; Corenta дзейнічае ў адпаведнасці з указаннямі Клінікі.

5.6. Выдаленне на ўзроўні Клінікі (tenant)

Калі Клініка цалкам спыняе падпіску на Corenta, тая ж двухэтапная архітэктура (мяккае выдаленне → 30 дзён → канчатковае выдаленне) прымяняецца да даных tenant Клінікі і ўсіх картак кліентаў у гэтым tenant. Паколькі Клініка з’яўляецца Кантралёрам даных сваіх кліентаў, яна абавязана да спынення падпіскі праінфармаваць сваіх кліентаў у рамках уласных абавязкаў па KVKK; гэты абавязак не можа быць перададзены Corenta.

5.7. Сувязь з рэжымам падтрымкі суперадміністратара (імперсанацыяй)

Працэсы выдалення акаўнта і захоўвання працуюць незалежна ад механізму падтрымкі/імперсанацыі Corenta. Сесіі імперсанацыі абмежаваны па часе (30 хвілін) і па змаўчанні працуюць толькі ў рэжыме чытання; доступ да катэгорый звестак пра здароўе (анамнез, нататкі сеансаў, вымярэнні) патрабуе асобнага кроку пацвярджэння (health_data_enabled), а запіс/выдаленне ў гэтых табліцах праз імперсанацыю ні пры якіх умовах не дазваляецца (у палітыках RLS для імперсанацыі не прадугледжана ніякіх выключэнняў). Удакладненне: гэтае абмежаванне адносіцца да сесій імперсанацыі, якія запускае чалавек, калі супрацоўнік падтрымкі ўваходзіць у сесію і выконвае дзеянні ўручную; аўтаматычны (без удзелу чалавека) працэс cron з service-role, апісаны ў раздзеле 5.2, — асобны ўзровень, на які гэтае абмежаванне не ўплывае; абмежаванне імперсанацыі не перашкаджае механізму аўтаматычнага канчатковага выдалення ў працэсе выдалення акаўнта і не павінна з ім блытацца. Такім чынам, працэсы выдалення/знішчэння акаўнтаў ажыццяўляюцца толькі праз аўтаматычныя механізмы, вызначаныя ў гэтай Палітыцы.

6. Метады знішчэння

Паводле арт. 8 і наступных Палажэння ніжэй апісаны метады выдалення/незваротнага знішчэння/ананімізацыі, якія прымяняюцца ў залежнасці ад асяроддзя рэгістрацыі.

6.1. Выдаленне

Аперацыя, у выніку якой персанальныя даныя становяцца ніякім чынам недаступнымі і непрыдатнымі для паўторнага выкарыстання для адпаведных карыстальнікаў (уключаючы карыстальнікаў праграмы і персанал з доступам да панэлі адміністратара). У Corenta гэты метад прымяняецца ў працэсе мяккага выдалення на Этапе 1: нават калі даныя фізічна не выдаляюцца з базы даных, яны робяцца цалкам недаступнымі праз правы доступу і інтэрфейсы.

6.2. Незваротнае знішчэнне (канчатковае выдаленне)

Аперацыя, у выніку якой персанальныя даныя становяцца ніякім чынам недаступнымі, неаднаўляльнымі і непрыдатнымі для паўторнага выкарыстання для каго б там ні было. У працэсе канчатковага выдалення на Этапе 2 Corenta гэты прынцып рэалізуецца двума рознымі тэхнічнымі метадамі ў залежнасці ад катэгорыі даных:

• Запіс праверкі сапраўднасці і запісы без самастойнай рабочай каштоўнасці: запіс праверкі сапраўднасці карыстальніка (auth.users) незваротна выдаляецца непасрэдна праз DELETE у аўтаматычным працэсе, абароненым service-role; звязаныя запісы, якія пасля выдалення акаўнта не маюць самастойнай рабочай/доказнай каштоўнасці (напрыклад, апавяшчэнні, notifications — гл. раздзел 4, п. 10), выдаляюцца разам з ім на ўзроўні базы даных праз ON DELETE CASCADE.
• Медыцынскія, клінічныя і фінансавыя запісы: для anamnesis_forms, session_notes, measurements, payments, attendance і consent_logs этап канчатковага выдалення ажыццяўляецца не праз DELETE запісу, а шляхам разрыву сувязі з асобай і частковай ачысткі (гл. раздзел 6.6): слупкі знешніх ключоў, якія ідэнтыфікуюць асобу (client_id, specialist_id, user_id і г. д.), незваротна ўсталёўваюцца ў NULL праз абмежаванне FK ON DELETE SET NULL; слупкі са змесцівам, якія могуць утрымліваць яўныя ідэнтыфікатары або PII у свабодным тэксце (адказы анамнезу, нататкі ў свабодным тэксце да вымярэнняў/плацяжоў, спасылка на плацежную квітанцыю, IP-адрас у запісе пра згоду), ачышчаюцца або замяняюцца ананімнай пазнакай функцыяй anonymize_user_relations() (выклікаецца толькі service-role, default-deny). А клінічнае/фінансавае лікавае і храналагічнае змесціва (дата, сума, значэнне вымярэння, рэшта сеансаў, статус «прыйшоў/не прыйшоў», час дачы/адклікання згоды) з улікам абавязку Клінікі весці запісы і (для нататак сеансаў) прынцыпу append-only працягвае захоўвацца як запіс tenant з разарванай сувяззю з асобай; паколькі свабодны тэкст нататкі сеанса не змяняецца, гэтыя запісы не лічацца ананімнымі і захоўваюцца з абмежаваным доступам.

У нататках сеансаў (session_notes) абмежаванне append-only не дазваляе змяняць змесціва; прадугледжана толькі вузкае выключэнне для адзінай мэты — усталяваць у NULL слупкі сувязі з асобай (client_id, specialist_id) — само змесціва нататкі і ў гэтым працэсе ні на адным этапе не выдаляецца і не змяняецца.

Абмежаванне: для персанальных даных унутры тэксту ў палях свабоднага тэксту, якія могуць сустракацца па-за яўнымі ідэнтыфікацыйнымі слупкамі (напрыклад, імя ў тэксце нататкі сеанса), механізму пошуку/ачысткі няма. Таму гэтыя запісы не лічацца ананімнымі; яны захоўваюцца як персанальныя даныя з абмежаваным доступам і знішчаюцца па заканчэнні тэрміну.

Абодва апісаныя вышэй метады, паколькі яны абаронены service-role, немагчыма запусціць або адмяніць праз звычайныя інтэрфейсы прадукту.

6.3. Выдаленне з рэзервовых копій (backup)

Рэзервовыя копіі базы даных аўтаматычна перазапісваюцца/знішчаюцца праз пэўны тэрмін у рамках звычайнага цыкла рэзервовага капіравання (ратацыі). Хоць канчатковае выдаленне неадкладна набывае сілу ў асноўнай базе даных, яўна ўказваецца, што ў раней створаных рэзервовых копіях даныя тэхнічна могуць працягваць існаваць да заканчэння стандартнага тэрміну ратацыі рэзервовых копій пастаўшчыка рэзервовага капіравання (Supabase). Гэта стандартная практыка ў рамках дагавора аб апрацоўцы даных (DPA) адпаведнага субапрацоўшчыка (Supabase).

6.4. Укладзеныя файлы ў сховішчы (Storage)

Файлы, якія загружаюць карыстальнікі, такія як выявы аватараў, плацежныя квітанцыі і ўкладанні да анамнезу, захоўваюцца ў асобным сховішчы (Storage). Гл. раздзел 5.4 — там падрабязна і празрыста апісаны цяперашні стан гэтага змесціва ў працэсе выдалення акаўнта (аўтаматычнае выдаленне для аватара/ўкладання да анамнезу/плацежнай квітанцыі, адзінае выключэнне — specialist-verification-docs).

6.5. Даныя на паперы

Персанальныя даныя, якія апрацоўваюцца ў рамках прадукту SaaS Corenta, захоўваюцца ў лічбавым выглядзе; апрацоўка персанальных даных на паперы не прадугледжана. Калі ў выключных выпадках у камерцыйнай/адміністрацыйнай перапісцы Кампаніі выкарыстоўваецца папера, знішчэнне ажыццяўляецца шляхам зацямнення/спальвання/незваротнага здрабнення ў шрэдары.

6.6. Ананімізацыя

Corenta ў рамках працэсу канчатковага выдалення акаўнта (гл. раздзел 6.2) выкарыстоўвае для звестак пра здароўе і клінічных/фінансавых запісаў метад разрыву сувязі з асобай і частковай ачысткі. Паколькі свабодны тэкст нататкі сеанса не змяняецца, а ў невялікіх бізнесах даты і серыі вымярэнняў могуць быць дастатковымі для паўторнай ідэнтыфікацыі асобы, гэты метад не ва ўсіх выпадках адпавядае стандарту ананімізацыі, апісанаму ніжэй; гэтыя запісы не лічацца ананімнымі, захоўваюцца як персанальныя даныя з абмежаваным доступам і знішчаюцца па заканчэнні тэрміну. Акрамя гэтага, Corenta можа выкарыстоўваць у мэтах распрацоўкі прадукту, статыстычнага аналізу або даследавання рынку даныя, ананімізаваныя такім чынам, што іх немагчыма звязаць з ідэнтыфікаванай або ідэнтыфікавальнай фізічнай асобай. Ананімізацыя патрабуе, каб даныя былі незваротна прыведзены ў стан, у якім іх немагчыма звязаць з асобай, нават калі яны спалучаюцца з іншымі данымі; аперацыі маскіравання/псеўданімізацыі, праведзеныя без выканання гэтага стандарту, не лічацца ананімізацыяй і па-ранейшаму падпадаюць пад рэжым апрацоўкі персанальных даных. Ананімізаваныя даныя разглядаюцца па-за сферай дзеяння KVKK і не падпадаюць пад абмежаванні тэрмінаў захоўвання, устаноўленыя ў гэтай Палітыцы.

6.7. Выбар метаду

Метад знішчэння, які прымяняецца, вызначаецца Corenta і/або Клінікай з улікам характару даных (ці з’яўляюцца яны персанальнымі данымі асобай катэгорыі), асяроддзя, у якім яны захоўваюцца (база даных, файлавае сховішча, сістэма журналаў, сістэма рэзервовага капіравання), прававых і тэхнічных магчымасцей, а таксама прынцыпаў, указаных у рашэннях Савета і ў Палажэнні. Пры знішчэнні персанальных даных асобай катэгорыі (уключаючы звесткі пра здароўе) праяўляецца максімальная асцярожнасць.

7. Працэс перыядычнага знішчэння

Паводле арт. 11 Палажэння Corenta абавязана па ўласнай ініцыятыве (не чакаючы запыту) выдаляць, незваротна знішчаць або ананімізаваць персанальныя даныя, тэрмін захоўвання якіх скончыўся і/або мэта апрацоўкі якіх адпала; перыядычнасць знішчэння, якая ўстанаўліваецца ў гэтых рамках, не можа перавышаць 6 (шасці) месяцаў. У гэтых рамках яўна праводзіцца наступнае размежаванне паміж механізмамі, якія фактычна працуюць і не працуюць у сістэме зараз:

1. Працэс канчатковага выдалення праз 30 дзён пасля запыту на выдаленне акаўнта перыядычна (штодня) праглядаецца аўтаматычнай запланаванай задачай (cron job), і акаўнты з мінулым тэрмінам апрацоўваюцца групава. Гэта праверанная аўтаматызацыя, якая фактычна працуе ў сістэме зараз.
2. Тэрмін захоўвання, прадугледжаны для аўдытарскіх слядоў (audit_logs), перыядычна пераглядаецца; аднак механізм выдалення, які аўтаматычна выконваў бы гэты перагляд, зараз не рэалізаваны (гл. раздзел 4, п. 7).
3. Максімальны тэрмін захоўвання, устаноўлены для даных формы ранняга доступу (гл. раздзел 4, п. 9), з’яўляецца прававой верхняй мяжой для абавязку перыядычнага знішчэння паводле арт. 11 Палажэння; аднак аўтаматычна дзейнага ў сістэме механізму праверкі/выдалення, які адпавядаў бы гэтаму тэрміну, зараз няма. Для гэтай катэгорыі даных выдаленне/ананімізацыя, пакуль не ўведзена аўтаматызацыя, разглядаецца ўручную і па запыце (гл. раздзел 4, Заўвага 2). Гэтае пытанне застаецца празрыстым у адпаведнасці з іншымі непацверджанымі сцверджаннямі пра аўтаматызацыю (гл. пункты 2 і 4).
4. Асобная аўтаматычная і перыядычная ачыстка пратэрмінаваных/несапраўдных токенаў push-апавяшчэнняў — гэта паляпшэнне, запланаванае ў дарожнай карце прадукту; тое, што гэты механізм фактычна працуе ў сістэме зараз, тэхнічна не пацверджана (гл. раздзел 4, п. 10). Калі гэта будзе пацверджана або ўведзена, гэтая Палітыка будзе абноўлена.
5. Перыядычнае знішчэнне раз у 6 месяцаў: для катэгорый, у якіх у гэтым раздзеле няма аўтаматычнага знішчэння (аўдытарскія сляды, доказы дазволаў з разарванай сувяззю з асобай, даныя формы ранняга доступу, дакументы для праверкі спецыялістаў, копіі групавых паведамленняў для мадэрацыі), Corenta праводзіць перыядычнае знішчэнне раз у 6 месяцаў і складае акт знішчэння для кожнага цыкла. Запланаваных задач, якія аўтаматызуюць гэтыя цыклы, пакуль няма; цыклы праводзяцца ўручную.

Працэс перыядычнага знішчэння, незалежна ад тэрмінаў, указаных у гэтай Палітыцы, не перашкаджае індывідуальнаму запыту суб’екта даных на выдаленне/незваротнае знішчэнне паводле арт. 11 KVKK; суб’ект даных можа запатрабаваць выдалення, нават калі тэрмін захоўвання не скончыўся, калі адпала прававая падстава адпаведнай дзейнасці па апрацоўцы (напрыклад, адкліканне згоды). І ў дачыненні да катэгорый, для якіх аўтаматызацыя яшчэ не ўведзена, індывідуальны запыт суб’екта даных, накіраваны праз hello@corenta.app, разглядаецца і вырашаецца ўручную.

8. Правы суб’екта даных і парадак звароту (арт. 11 KVKK)

8.1. Правы паводле артыкула 11 KVKK

Паводле арт. 11 KVKK суб’екты даных маюць наступныя правы:

1. даведацца, ці апрацоўваюцца іх персанальныя даныя;
2. калі персанальныя даныя апрацоўваліся, запытаць адпаведную інфармацыю;
3. даведацца пра мэту апрацоўкі персанальных даных і пра тое, ці выкарыстоўваюцца яны ў адпаведнасці з мэтай;
4. ведаць трэціх асоб у краіне або за мяжой, якім перададзены персанальныя даныя;
5. патрабаваць выпраўлення персанальных даных у выпадку іх няпоўнай або няправільнай апрацоўкі;
6. патрабаваць выдалення або незваротнага знішчэння персанальных даных у рамках арт. 7 KVKK;
7. патрабаваць паведамлення пра дзеянні, ажыццёўленыя паводле пунктаў (5) і (6) вышэй, трэцім асобам, якім перададзены персанальныя даныя;
8. пярэчыць супраць неспрыяльнага для асобы выніку, атрыманага ў выніку аналізу апрацаваных даных выключна аўтаматызаванымі сістэмамі;
9. патрабаваць кампенсацыі шкоды ў выпадку прычынення шкоды з-за незаконнай апрацоўкі персанальных даных.

8.2. Шчырая зводка цяперашняй тэхнічнай рэалізацыі

Наступныя палажэнні прыводзяцца як шчырая і рэалістычная зводка цяперашняй тэхнічнай рэалізацыі:

• Запыт на выдаленне (выдаленне акаўнта): можна падаць непасрэдна праз адпаведнае меню налад у мабільнай праграме; гэты запыт аўтаматычна выконваецца праз двухэтапны працэс, апісаны ў раздзеле 5 (неадкладнае мяккае выдаленне → 30 дзён → канчатковае выдаленне) (арт. 11/6).
• Запыт інфармацыі / пераноснасць даных: выконваецца шляхам прадастаўлення суб’екту даных яго даных у межах яго tenant ў структураваным машыначытальным фармаце на працягу разумнага тэрміну (функцыя export_user_data, абмежаванне tenant праверана). Механізм перадачы ў гэтым працэсе (фармат файла, спосаб перадачы, падпісаная спасылка для спампоўкі і іншыя ўласцівасці) пастаянна ўдасканальваецца; у рамках гэтай Палітыкі не даецца абавязацельства наконт пэўнага тэрміну перадачы або канкрэтнага фармату файла/доступу (арт. 11/1–2).
• Інфармацыя пра перадачу трэцім асобам (арт. 11/4): інфармацыя пра трэціх асоб/субапрацоўшчыкаў у краіне і за мяжой, якім перададзены персанальныя даныя, прыводзіцца ў табліцы раздзела 11 гэтай Палітыкі (Субапрацоўшчыкі і лакалізацыя даных).
• Запыт на выпраўленне (арт. 11/5): тэхнічна можа быць выкананы ўручную праз панэль кіравання Клінікі; асобнага аўтаматычнага працоўнага працэсу «запыту на выпраўленне» няма. У кантэксце прадукту SaaS запыты на выпраўленне даных кліентаў у першую чаргу павінны накіроўвацца адпаведнай Клініцы; Corenta як Апрацоўшчык даных аказвае тэхнічную падтрымку ў адпаведнасці з указаннямі Клінікі.
• Паведамленне трэцім асобам (арт. 11/7): запыт на паведамленне пра выдаленне/выпраўленне трэцім асобам, якім перададзены даныя, разглядаецца, калі ён накіраваны па каналах, указаных у парадку звароту; гэты працэс зараз праводзіцца не аўтаматычна, а ўручную.
• Пярэчанне супраць аўтаматызаванага рашэння/прафілявання (арт. 11/8): у сістэме няма аўтаматызаванага прыняцця рашэнняў або прафілявання, якое спараджала б неспрыяльны для суб’екта даных вынік у выніку аналізу апрацаваных даных выключна аўтаматызаванымі сістэмамі; таму зараз няма патрэбы ў асобным фактычна дзейным механізме пярэчання па гэтым пункце.
• Звароты разглядаюцца бясплатна не пазней чым праз 30 дзён паводле арт. 13 KVKK (калі аперацыя патрабуе дадатковых выдаткаў, можа быць спагнана плата паводле тарыфу, устаноўленага Саветам).

8.3. Парадак звароту

Запыты, звязаныя з вышэйпералічанымі правамі,

• на адрас электроннай пошты hello@corenta.app;
• праз адпаведныя экраны налад/падтрымкі ў праграме;
• або іншымі спосабамі, прадугледжанымі KVKK.

можна накіраваць у Corenta.

Важная заўвага наконт даных кліентаў: калі вы з’яўляецеся кліентам Клінікі і хочаце звярнуцца з запытам наконт сваіх даных, вам трэба ў першую чаргу звярнуцца ў адпаведную Клініку (Кантралёра даных), бо Клініка з’яўляецца канчатковым органам прыняцця рашэння і адрасатам у дачыненні да даных кліентаў. Corenta як апрацоўшчык даных прадастаўляе неабходныя тэхнічныя інструменты (функцыі прагляду, экспарту, выдалення даных) у адпаведнасці з указаннямі Клінікі.

9. Ролі і абавязкі

10. Меры бяспекі (на працягу тэрміну захоўвання)

На працягу тэрміну захоўвання персанальныя даныя абараняюцца наступнымі тэхнічнымі і арганізацыйнымі мерамі (арт. 12 KVKK):

• У мультыарэнднай (multi-tenant) архітэктуры прымяняецца прынцып адмовы па змаўчанні (default-deny) з абавязковым tenant_id у кожнай табліцы і палітыкамі бяспекі на ўзроўні радкоў (Row Level Security) (37/37 табліц, 86 палітык); такім чынам тэхнічна прадухіляецца ўцечка даных паміж арандатарамі.
• Доступ да табліц, якія змяшчаюць звесткі пра здароўе, абмежаваны адпаведным кліентам, прызначаным спецыялістам і адміністратарам tenant; кантроль доступу рэалізаваны на ўзроўні базы даных (RLS). Нататкі сеансаў пасля адпраўкі нельга змяніць/выдаліць (append-only); што да форм анамнезу, ніводнаму карыстальніку (уключаючы адміністратара) не дадзена права на выдаленне.
• Рэжым падтрымкі суперадміністратара (імперсанацыя) абмежаваны па часе (30 хвілін) і па змаўчанні працуе толькі ў рэжыме чытання; аперацыі запісу і доступ да звестак пра здароўе падлягаюць асобным крокам, якія патрабуюць дадатковага пацвярджэння; ні ў адным сцэнарыі імперсанацыі доступ на запіс да табліц са звесткамі пра здароўе не адкрываецца. (Гэтае абмежаванне адносіцца да сесій імперсанацыі, якія запускае чалавек; аўтаматычныя працэсы cron з service-role — асобны ўзровень, гл. раздзел 5.7.)
• Пры перадачы даных выкарыстоўваецца скразное шыфраванне (TLS); у мабільнай праграме токены сесіі захоўваюцца ў зашыфраваным выглядзе ў бяспечным апаратным сховішчы ключоў прылады (Keychain/Keystore).
• На адчувальных экранах ужыты тэхнічныя меры, накіраваныя на абмежаванне здымкаў экрана.
• Для акаўнтаў суперадміністратараў абавязковая двухфактарная праверка сапраўднасці (2FA/MFA).
• Праверка крыптаграфічнага подпісу апавяшчэнняў (webhook) пра плацежныя аперацыі прадугледжана архітэктурай і прымяняецца; праца па поўным завяршэнні адпаведнай канфігурацыі/кіравання ключамі ва ўсіх асяроддзях (уключаючы prod) працягваецца.
• Гэтыя меры бяспекі пастаянна пераглядаюцца і паляпшаюцца; аднак ніводная тэхнічная мера не гарантуе абсалютнай бяспекі, і ў рамках гэтай Палітыкі абавязацельства абсалютнай бяспекі не даецца.

11. Субапрацоўшчыкі і лакалізацыя даных

На працягу тэрміну захоўвання персанальныя даныя апрацоўваюцца або размяшчаюцца праз наступных субапрацоўшчыкаў/пастаўшчыкоў паслуг. Дагаворы з гэтымі пастаўшчыкамі прадугледжваюць абавязкі апрацоўваць даныя толькі ў мэтах аказання ўказанай паслугі; гэтыя адносіны вызначаюць не тэрміны захоўвання, а тэхнічнае асяроддзе, у якім размяшчаюцца даныя, — рашэнне аб знішчэнні тэхнічна выконваецца і на баку гэтых пастаўшчыкоў. Табліца ніжэй таксама забяспечвае рэалізацыю права «ведаць трэціх асоб, якім перададзены даныя» паводле арт. 11/4 KVKK:

Дадаткова:

• Інфраструктура электроннай пошты: службовыя электронныя лісты адпраўляюцца праз Google Workspace (Google); лісты для праверкі сапраўднасці ініцыююцца Supabase Auth. Рэкламныя лісты адпраўляюцца толькі пры ўмове асобнай згоды і рэгістрацыі ў İYS. Push-апавяшчэнні дастаўляюцца праз Apple (APNs) і Google (FCM).
• Інструмент аналітыкі: інструмент аналітыкі трэцяй асобы (напрыклад, Google Analytics) не выкарыстоўваецца. Вымярэнне выкарыстання прадукту ў праграме зараз не ўключана; калі яно будзе ўключана, вымярэнне будзе запісвацца ў табліцу першай асобы ва ўласнай базе даных Corenta (Supabase, Франкфурт, Германія), не будзе змяшчаць звестак пра здароўе і свабоднага тэксту, і да яго ўключэння гэтая Палітыка будзе абноўлена; пасля ўключэння тэрмін захоўвання запісаў вымярэння будзе ўказаны ў гэтай Палітыцы.
• Маніторынг памылак: інструмент маніторынгу памылак трэцяй асобы не выкарыстоўваецца; памылкі кліенцкіх праграм запісваюцца ва ўласную базу даных Corenta.
• Інфраструктуры для аплаты непасрэдна банкаўскай картай праз вэб няма; плацяжы ажыццяўляюцца толькі праз механізмы пакупак у праграме Apple/Google (IAP); канчатковы рахунак/квітанцыю выстаўляюць Apple/Google (гл. раздзел 4, п. 6).

Абмен данымі з вышэйпералічанымі субапрацоўшчыкамі ажыццяўляецца толькі ў той меры, у якой гэта неабходна для аказання адпаведнай паслугі, і ў рамках арт. 8/арт. 9 KVKK. Трансгранічная перадача: усе пералічаныя вышэй пастаўшчыкі апрацоўваюць даныя за межамі Турцыі; размяшчэнне ў Германіі таксама з’яўляецца трансгранічнай перадачай у сэнсе KVKK. Паколькі гэтыя перадачы рэгулярныя і пастаянныя, яны не грунтуюцца на яўнай згодзе; яны будуць грунтавацца на стандартных дагаворах, абвешчаных Саветам паводле арт. 9/4-c. На дату гэтага тэксту стандартныя дагаворы яшчэ не падпісаны, і Савету пра іх не паведамлена; пра кожны дагавор будзе паведамлена Савету на працягу 5 рабочых дзён з дня падпісання, і гэтая табліца будзе абноўлена з указаннем дат. Рашэння Савета аб адэкватнасці адносна гэтых краін няма (апошняя праверка: 11 кастрычніка 2026 г.). Гэты пералік можа абнаўляцца ў залежнасці ад змены пастаўшчыкоў паслуг; актуальны пералік можна адсочваць у Палітыцы канфідэнцыяльнасці і/або на адпаведным інфармацыйным экране ў прадукце Corenta.

12. Рэгістрацыя ў VERBİS

На дату гэтага дакумента ў Teta Studio няма рэгістрацыі ў VERBİS. Абавязак рэгістрацыі ацэньваецца па крытэрыях рашэнняў Савета № 2025/1572 (для кантралёраў даных, асноўнай дзейнасцю якіх з’яўляецца апрацоўка даных асобай катэгорыі, парог выключэння — 10 работнікаў у год і гадавы баланс 10 мільёнаў TL) і № 2025/2393 (крытэрый колькасці работнікаў для тых, хто не вядзе ўлік на балансавай аснове). Паколькі Teta Studio апрацоўвае клінічныя звесткі пра здароўе не як кантралёр даных, а як апрацоўшчык даных, ацэнка ў дачыненні да ўласнай дзейнасці ў якасці кантралёра даных (Часткі A і C) праводзіцца па гэтых крытэрыях. Пасля завяршэння пісьмовай ацэнкі і атрымання пацвярджэння Упраўлення (ALO 198) гэты раздзел будзе абноўлены з указаннем даты і абгрунтавання; калі рэгістрацыя спатрэбіцца, яна будзе праведзена да працягу дзейнасці.

Удакладненне паводле роляў: абавязак рэгістрацыі ў VERBİS ацэньваецца для кантэксту карпаратыўнага вэб-сайта (форма ранняга доступу corenta.app), у якім Corenta дзейнічае як Кантралёр даных, і яго стан апісаны вышэй. У кантэксце прадукту SaaS (app.corenta.app) Кантралёрам даных у дачыненні да даных кліентаў з’яўляецца Клініка, таму наяўнасць абавязку рэгістрацыі ў VERBİS павінна ацэньвацца асобна і незалежна па ўласных крытэрыях кожнай Клінікі (колькасць работнікаў, гадавы аб’ём апрацоўкі даных, сфера дзейнасці, рашэнні Савета аб выключэннях і г. д.); гэтая ацэнка і, калі ён ёсць, абавязак рэгістрацыі належаць Клініцы і не могуць быць перададзены Corenta.

13. Абнаўленне Палітыкі

Гэтая Палітыка можа абнаўляцца з улікам змен заканадаўства, рашэнняў Савета, удасканаленняў тэхнічнай інфраструктуры Corenta (напрыклад, дадання пошуку PII ўнутры тэксту ў свабодным тэксце нататак сеансаў, указанага ў раздзеле 4, п. 3 і ў раздзеле 6.2; прывязкі дакументаў для праверкі спецыялістаў (specialist-verification-docs), указаных у раздзеле 5.4/раздзеле 4, п. 11, да працэсу закрыцця tenant; пацвярджэння/ўвядзення ачысткі push-токенаў, указанай у раздзеле 4, п. 10 і ў раздзеле 7, пункт 4; стварэння механізму аўтаматычнай праверкі для даных формы ранняга доступу, указанага ў раздзеле 7, пункт 3; удасканалення працэсу пераноснасці даных, указанага ў раздзеле 8.2; завяршэння прававых падстаў трансгранічнай перадачы ў раздзеле 11; змяненняў у пераліку субапрацоўшчыкаў) або змен у працоўных працэсах. Актуальная версія публікуецца на адпаведных платформах Corenta (карпаратыўным вэб-сайце і/або ў праграме), і ў частцы палажэнняў, якія супярэчаць папярэдняй версіі, за аснову бярэцца актуальная версія. Пры істотных зменах карыстальнікі/Клінікі ў той меры, у якой гэта прымяняльна, дадаткова інфармуюцца.

14. Кантакты

Па пытаннях наконт гэтай Палітыкі або захоўвання/знішчэння персанальных даных:

Электронная пошта: hello@corenta.app Кантралёр даных: Mertcan Demir — індывідуальны прадпрымальнік, які дзейнічае пад камерцыйным пазначэннем «Teta Studio» Падтрымка: support@corenta.app Тэрыторыя аказання паслуг: Corenta прапануецца глабальна праз App Store і Google Play у краінах, дзе працуюць гэтыя крамы. Тэрміны, указаныя ў гэтай Палітыцы, прымяняюцца да карыстальнікаў у кожнай краіне; калі абавязковае заканадаўства краіны прадугледжвае больш кароткі тэрмін выдалення або больш працяглы абавязак захоўвання, прымяняецца гэтае палажэнне.

Апошняе абнаўленне: 19 кастрычніка 2026 г. Версія 1.9 · 19 кастрычніка 2026 г.