CORENTA — AVISO DE PRIVACIDAD CONFORME A LA KVKK (TÜRKİYE KİŞİSEL VERİLERİN KORUNMASI KANUNU)

Esta traducción es solo informativa; el texto jurídicamente vinculante es el turco.

Aviso de privacidad en tres partes, según la condición de responsable o encargado del tratamiento

Versión: 2.3 · Entrada en vigor / última actualización: 19 de octubre de 2026 Responsable del tratamiento / editor (Partes A y C): Mertcan Demir — empresario individual con el nombre comercial "Teta Studio"

Registro de cambios

• 2.3 — 19 de octubre de 2026: Se incorpora el alcance global: la expresión "solo Turquía" del G.4 se sustituye por la oferta en más de un país a través de las tiendas y por la remisión a la Declaración RGPD para la UE/EEE. Las actividades de tratamiento y las bases jurídicas no cambian.
• 2.2 — 19 de octubre de 2026: Versión de publicación; entrada en vigor el 19 de octubre de 2026. Se eliminan de la tabla de identidad del A.1 los datos de MERSİS y KEP, que estaban vacíos. El plazo de conservación de los mensajes de grupo del B.8/a se vincula a la Política de conservación y eliminación de datos.
• 2.1 — 18 de octubre de 2026: Se incorporan las funciones añadidas el 18 de octubre de 2026: grupos de la clínica, desafíos dentro del centro, insignias de clientes y tarjeta de fidelidad, retos semanales y resumen mensual (Parte B); liga de centros y desafíos de ciudad, tarjeta de perfil portátil del especialista, código de invitación entre centros, programa Centro Fundador, Corenta Lab, Descubrir v2 (vídeo corto, clase de prueba, posición patrocinada), marca de prueba repetida, vinculación de dispositivos y "Mis sesiones", reembolso parcial de la tienda y solicitud de información de uso de Apple (Parte C). La forma en que se tratan los datos de salud en grupos, liga, desafíos y tarjeta de perfil se describe en un apartado propio (B.3-A). Se corrige el G.1: se describen expresamente las tres reglas que producen un resultado automático con efectos sobre la persona (control de abusos de las invitaciones, ocultación de un mensaje de grupo tras tres denuncias, exclusión de la liga). Los permisos móviles se corrigen según el código (no se pide permiso de cámara). Las funciones desactivadas (verificación de compartidos, señal de demanda, garantía de Boost, verificación de dispositivos, Turnstile, Sentry) no se describen en este texto; antes de activarlas será necesaria una actualización propia del texto.
• 2.0 — 11 de octubre de 2026: Conforme a la revisión de cumplimiento del 11 de octubre de 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): las secciones de transferencias internacionales se reescriben según el art. 9 de la Ley n.º 6698 en su versión posterior a 2024 (Supabase/Fráncfort también es una transferencia internacional; los contratos tipo todavía no se han firmado); se separan la información y el consentimiento explícito (la información no es una "aceptación", sino la confirmación "Lo he leído y entendido"; se elimina la casilla de aceptación obligatoria del formulario de acceso anticipado); el consentimiento para datos de salud se describe como opcional; se añade la nueva Parte C — Información sobre la cuenta y la plataforma Corenta para las actividades de las que Teta Studio es responsable del tratamiento; la identidad se corrige como empresario individual; la evaluación del VERBİS se redacta según las decisiones de 2025 del Kurul; la notificación de brechas a la clínica se corrige a un máximo de 24 horas; la expresión de conservación "anónima" se corrige por conservación restringida con el vínculo personal roto; el borrado de adjuntos y el enlace de exportación se vinculan a la misma redacción verificada en el código; se corrigen referencias normativas erróneas.
• 1.6 — 10 de octubre de 2026: Se elimina Expo (Expo Push Notification Service) de los registros de subencargados/encargados; las notificaciones push solo se entregan a través de Apple (APNs) y Google (FCM); Expo/EAS es solo una herramienta de compilación de la app y no trata datos de usuarios finales.
• 1.5 — 10 de octubre de 2026: Se elimina la referencia a la opción de Google Analytics; se aclara que no se usa analítica de terceros y quiénes son los encargados de las notificaciones push.
• 1.4 — 4 de octubre de 2026: El texto vigente se fija como versión aprobada. En esta versión solo se tratan: la marca de denominación de Teta Studio; el mercado (Turquía); la eliminación de la cuenta (el acceso termina de inmediato, los datos personales se borran o anonimizan, los registros de pago sujetos a conservación legal se guardan sin identificación); el borrado de los campos de salud del cliente a los 30 días; el plazo de 7 días para justificantes huérfanos; la ocultación de los datos de contacto del cliente en el modo de soporte; la medición sin identificación en el servidor; los correos del servicio y Google Workspace; los encargados de las notificaciones push; la dirección de soporte (support@corenta.app); el permiso para escribir en los campos de salud.
• 1.3 — 4 de agosto de 2026: los apartados B.6 y B.8/a se armonizan con la política de conservación y eliminación.

0. Sobre este texto — ámbito y guía de lectura

El presente Aviso de privacidad conforme a la Ley de Protección de Datos Personales ("Aviso de privacidad") se ha elaborado, conforme al art. 10 de la Ley n.º 6698 de Protección de Datos Personales ("KVKK" o "la Ley") y al Comunicado sobre los procedimientos y principios para el cumplimiento del deber de información, para informar a los interesados sobre el tratamiento de datos personales en el contexto del producto de software (SaaS) llamado Corenta ("Corenta", "el Producto" o "la Plataforma"), desarrollado y explotado por Mertcan Demir ("Teta Studio", "nosotros"), que opera como empresario individual con el nombre comercial "Teta Studio", y de la web corenta.app, en la que se presenta este producto.

Corenta es una plataforma de software (Software-as-a-Service) multiinquilino (multi-tenant) y pensada primero para el móvil, dirigida a negocios boutique de salud y bienestar como centros de pilates clínico, fisioterapia, reformer, bienestar/masajes y yoga; ofrece gestión de citas, control de bonos y sesiones, anamnesis y notas de sesión de los clientes, liquidaciones y control de operaciones financieras.

0.1 Definiciones

0.2 Dos contextos distintos — por qué importa

En el ecosistema de Corenta, los datos personales se tratan en tres contextos diferentes y con dos condiciones distintas: Parte A (web de presentación; Teta Studio es responsable del tratamiento), Parte B (registros de la clínica; Teta Studio es encargado del tratamiento) y Parte C (cuenta de Corenta, suscripción, correos del servicio, Descubrir/valoraciones, funciones de crecimiento entre centros —liga, invitación, Centro Fundador, Corenta Lab, tarjeta de perfil portátil—, seguridad de la cuenta y del dispositivo y medición del producto; Teta Studio es responsable del tratamiento). Entender bien esta separación es esencial para interpretar correctamente el Aviso de privacidad, y los dos contextos no deben confundirse en ningún caso:

Los datos de salud de un cliente de una clínica generados en la app Corenta y los datos de un titular de negocio que rellena el formulario de acceso anticipado en la web corenta.app están sujetos a regímenes jurídicos completamente distintos. Las partes siguientes se estructuran según esta separación.

PARTE A — WEB CORPORATIVA Y FORMULARIO DE ACCESO ANTICIPADO (corenta.app)

Esta parte se aplica a las personas físicas que visitan la web corenta.app, interactúan con ella y/o rellenan el formulario de solicitud de acceso anticipado. En este contexto, Teta Studio actúa como Responsable del tratamiento conforme al art. 3/ı de la KVKK y determina por sí misma los fines y los medios del tratamiento de los datos personales.

A.1. Identidad del responsable del tratamiento

A.2. Categorías de datos personales tratados

Durante la visita a la web corenta.app, al rellenar el formulario de acceso anticipado, al enviar el formulario de contacto o al pedir una demo o una reunión comercial pueden tratarse las siguientes categorías de datos personales:

(*) Aclaración sobre la nota de cookies: a la fecha de publicación de este texto, la web corenta.app no tiene un banner o interfaz activa de gestión de cookies ni una infraestructura de cookies de terceros; la dirección IP y la información del dispositivo y del navegador mencionadas en la fila anterior se tratan de forma limitada, solo en el marco de los registros básicos del servidor y de la seguridad de los formularios, sin usar ninguna tecnología de cookies activa. Aunque en la infraestructura del sistema hay definida técnicamente una categoría de consentimiento para cookies (cookies), esta categoría no se usa de hecho por ahora. Si se pasa a usar cookies, se actualizarán este Aviso de privacidad y una Política de cookies propia y se pondrán en marcha los mecanismos de consentimiento necesarios. En este contexto no se tratan datos personales de categoría especial.

Estos datos solo se obtienen cuando la propia persona rellena el formulario o se pone en contacto por su propia voluntad, o de forma automática (como la IP) por el funcionamiento técnico de la web.

A.3. Finalidades y bases jurídicas del tratamiento de datos personales

En la tabla siguiente se indica cada finalidad del tratamiento junto con la base jurídica del art. 5/2 de la KVKK en la que se apoya:

Importante: la comunicación de marketing del punto 7 se basa únicamente en el consentimiento aparte y expreso que la persona da para ese fin; este consentimiento no es una condición obligatoria de la solicitud de acceso anticipado y puede retirarse en cualquier momento (ver A.8).

A.4. Forma de recogida de los datos personales

Los datos personales se recogen por medios electrónicos al rellenar los formularios de acceso anticipado o de contacto de la web corenta.app, mediante contacto directo por correo electrónico, en las reuniones de demo o comerciales y de forma automática por la infraestructura técnica de la web (dirección IP, etc.).

A.5. Comunicación de los datos personales

Tus datos personales pueden comunicarse de forma limitada, en las condiciones previstas en los arts. 8 y 9 de la KVKK, a los proveedores que prestan servicios técnicos como alojamiento (hosting), recogida de formularios, envío de correos, analítica, seguridad y similares, para prestar esos servicios. Esta comunicación se hace solo en la medida necesaria para prestar el servicio correspondiente y limitada a ese fin.

En este contexto, los proveedores de infraestructura técnica conocidos o en uso son:

Nota — infraestructura en la que se guardan los datos del formulario: a la fecha de redacción de este texto no se ha confirmado técnicamente si los datos de los formularios de acceso anticipado y de contacto se guardan en última instancia solo en la infraestructura de formularios del propio Framer o si también se transfieren a la base de datos de Corenta basada en Supabase (ver Parte B, B.5 — Supabase, Fráncfort/Alemania). A medida que se confirme, esta tabla se actualizará, añadiendo una fila de Supabase si es necesario; en cualquier caso, los datos de tus formularios solo se tratan para los fines explicados en esta Parte A y conforme a la KVKK.

Fuera de estas comunicaciones, tus datos personales no se venden, no se alquilan ni se ceden a terceros con fines de marketing. Los supuestos de obligación legal (resolución judicial, requerimiento de una autoridad pública competente, etc.) son la excepción a esta regla.

Transferencias internacionales: Framer y Google Workspace tratan datos fuera de Turquía; esto es una transferencia internacional en el sentido de la Ley n.º 6698. Como estas transferencias son periódicas y continuas, no se basan en el consentimiento explícito; se basarán en una de las condiciones de tratamiento del art. 5 de la KVKK y, conforme al art. 9/4-c, en los contratos tipo publicados por el Kişisel Verileri Koruma Kurulu (Kurul). A la fecha de este texto, los contratos tipo todavía no se han firmado con los proveedores ni se han notificado al Kurul. Cada contrato se notificará al Kurul en un plazo de 5 días hábiles desde su firma, y esta sección se actualizará con la lista de proveedores y fechas. No existe ninguna decisión de adecuación publicada por el Kurul sobre esos países (última comprobación: 11 de octubre de 2026).

A.6. Plazo de conservación

Tus datos personales se conservan durante el tiempo que exija la finalidad de tratamiento correspondiente y, en todo caso, sin perjuicio de los plazos de prescripción previstos en la normativa aplicable:

• Solicitudes de acceso anticipado: como máximo 2 años desde la valoración de la solicitud y la conclusión del proceso de contacto; si en ese tiempo no se produce el contacto o el proceso concluye, se suprimen o anonimizan antes. Nota de transparencia: a la fecha de redacción de este Texto no existe en el sistema un mecanismo automático de revisión/borrado que corresponda a este plazo máximo; el plazo es un límite jurídico máximo y la supresión o anonimización se hace por ahora a mano o a petición.
• Registros de contacto: hasta que termine la finalidad del contacto.
• Datos de analítica y registros técnicos: durante el plazo de conservación por defecto o permitido de la herramienta o infraestructura utilizada.
• Registros de conflictos y obligaciones legales: durante el plazo mínimo previsto en la normativa aplicable.

Cuando termina el plazo de conservación, los datos personales se suprimen, destruyen o anonimizan conforme al art. 7 de la KVKK y al Reglamento sobre la supresión, destrucción o anonimización de datos personales. Para la tabla detallada de plazos y los métodos de eliminación, ver veri-saklama-imha-politikasi.md (Sección 4, n.º 9).

A.7. Información y consentimiento para comunicaciones comerciales en el formulario de acceso anticipado

El tratamiento de tu solicitud no se basa en el consentimiento, sino en las bases jurídicas del A.3. Por eso el formulario no tiene casilla de aceptación para la información; información y consentimiento se mantienen separados.

Información (sin casilla de aceptación): justo encima del botón Enviar se muestra el siguiente texto con un enlace a este Aviso de privacidad:

"Tratamos tus datos para valorar tu solicitud y ponernos en contacto contigo (art. 5/2-c y f de la KVKK). Más información: Aviso de privacidad."

Consentimiento opcional para comunicaciones comerciales (casilla aparte, NO MARCADA por defecto):

"Acepto que Teta Studio me envíe novedades y campañas de Corenta por correo electrónico."

No dar el consentimiento para comunicaciones comerciales no afecta a la valoración de la solicitud. Teta Studio no envía correos promocionales sin estar inscrita en el İYS (İleti Yönetim Sistemi); tras la inscripción, los consentimientos se cargan en el İYS en un plazo de 3 días hábiles. El consentimiento se puede retirar con el enlace de baja de cada comunicación.

A.8. Derechos del interesado (art. 11 de la KVKK) y forma de ejercerlos

Conforme al art. 11 de la KVKK, toda persona cuyos datos personales se tratan tiene, dirigiéndose al Responsable del tratamiento, los siguientes derechos:

a) Saber si se tratan sus datos personales, b) Solicitar información sobre ello, si sus datos personales se han tratado, c) Conocer la finalidad del tratamiento de sus datos personales y si se usan conforme a ella, ç) Conocer a los terceros, dentro o fuera del país, a los que se han comunicado sus datos personales, d) Pedir la rectificación de sus datos personales si se han tratado de forma incompleta o inexacta, e) Pedir la supresión o destrucción de sus datos personales en las condiciones previstas en el art. 7 de la KVKK, f) Pedir que las actuaciones realizadas conforme a los apartados (d) y (e) se comuniquen a los terceros a los que se hayan comunicado los datos personales, g) Oponerse a un resultado que le perjudique derivado del análisis de los datos tratados exclusivamente mediante sistemas automatizados, ğ) Pedir la reparación del daño si lo sufre por un tratamiento ilícito de sus datos personales.

Además, en los tratamientos basados en el consentimiento (comunicaciones comerciales electrónicas), el consentimiento dado puede retirarse en cualquier momento y sin necesidad de justificarlo, con independencia de los derechos generales del art. 11 de la KVKK. La retirada no afecta a la licitud del tratamiento anterior a ella.

Forma de ejercerlos: para ejercer los derechos anteriores, puedes enviar tus solicitudes por escrito a hello@corenta.app, con los datos necesarios para identificarte, en la forma prevista en el art. 13 de la KVKK y en el Comunicado sobre los procedimientos y principios de las solicitudes al responsable del tratamiento. Según su naturaleza, las solicitudes se resuelven de forma gratuita en un plazo máximo de 30 (treinta) días, por medios que no exijan un coste adicional; si la actuación exige un coste adicional, podrá cobrarse la tasa de la tarifa fijada por el Kişisel Verileri Koruma Kurulu.

PARTE B — USO DEL PRODUCTO SaaS CORENTA POR LAS CLÍNICAS

Esta parte se aplica al personal de la clínica (responsable, especialista/instructor, recepción, etc.) que usa Corenta a través de un centro de pilates clínico, fisioterapia, reformer, bienestar/masajes o yoga ("Clínica") y a los clientes/pacientes de esas clínicas.

B.1. Fundamento jurídico de la separación de roles — léelo con atención

La Clínica que contrata Corenta y la pone en uso es "Responsable del tratamiento", conforme al art. 3/ı de la KVKK, respecto a los datos personales de sus propios clientes/pacientes y de su propio personal. El deber de informar a clientes/pacientes y personal conforme a la KVKK y, cuando sea necesario, la obtención de los consentimientos explícitos (en especial el consentimiento para tratar datos de salud, que son de categoría especial) son responsabilidad primaria y última de la Clínica.

Teta Studio (Corenta) es únicamente Encargado del tratamiento conforme al art. 3/ğ de la KVKK. Teta Studio trata estos datos siguiendo las instrucciones de la Clínica y por cuenta de ella, limitándose a proporcionar la infraestructura técnica de la Plataforma; no fija una finalidad de tratamiento propia e independiente ni trata estos datos con fines comerciales propios (publicidad, venta a terceros, etc.) al margen de las instrucciones de la Clínica. Los tratamientos que Teta Studio realiza con fines propios (cuenta de usuario de la clínica, suscripción, correos del servicio, invitación a valorar y reseñas de Descubrir, seguridad y medición seudonimizada del producto) no son objeto de esta Parte B, sino de la Parte C; en esas actividades, Teta Studio es responsable del tratamiento.

El producto Corenta ofrece herramientas que facilitan técnicamente que la Clínica cumpla estas obligaciones (pantalla de consentimiento en la app móvil, registros de consentimiento con versión, mecanismo de retirada, etc.; ver B.2). La existencia de estas herramientas no significa que la Clínica haya trasladado a Teta Studio las obligaciones jurídicas derivadas de su condición de Responsable del tratamiento, ni que Teta Studio las haya asumido.

La relación de encargo del tratamiento entre la Clínica y Teta Studio se regula en un Contrato de encargo del tratamiento (Data Processing Agreement/DPA) independiente; este contrato detalla las categorías de datos tratadas, las finalidades del tratamiento, las medidas de seguridad, el uso de subencargados y las obligaciones de las partes en el marco del art. 12 de la KVKK.

Esta Parte B no sustituye ni reemplaza el aviso de privacidad que la Clínica debe ofrecer a sus propios clientes y personal. Su finalidad es explicar con transparencia qué datos trata Teta Studio en la Plataforma como Encargado del tratamiento y para qué, y ofrecer un marco de referencia a la Clínica para redactar su propio aviso. Si la Clínica no considera suficientes la pantalla de información común/centralizada y las pantallas de consentimiento opcional que Corenta ofrece en la app móvil (ver B.2), puede llevar a cabo por sus propios medios un proceso de información adicional o independiente para sus Clientes y su personal (texto escrito, correo electrónico, información presencial, etc.); esto entra dentro de la responsabilidad jurídica de la propia Clínica.

B.2. Mecanismo de información y consentimiento en la Plataforma (con fines informativos)

En la app móvil de Corenta, en la fase de primer uso (onboarding), hay una pantalla (kvkk.tsx) preparada por Teta Studio y presentada de forma común a los clientes/usuarios de todas las clínicas. De acuerdo con la Decisión de Principio n.º 2026/347 del Kurul, la información y el consentimiento se muestran en pasos separados:

Los registros se guardan con versión en la tabla consent_logs. Nota técnica: hoy la muestra de la información se registra en esa tabla con el tipo kvkk; ese registro no es un consentimiento, sino la constancia de que la información se mostró y se leyó. El permiso único de notificaciones del sistema operativo se usa para entregar tanto las notificaciones operativas como las de campaña; las notificaciones de campaña solo deben enviarse si se ha dado el permiso 2b.

Esta pantalla y estos textos no se separan por Clínica, sino que se ofrecen como una versión común para toda la Plataforma; hoy los datos identificativos de la clínica (denominación, dirección, contacto para solicitudes) no se añaden automáticamente al texto. Cuando cambia la versión del aviso, en el siguiente acceso se pide al usuario que indique que ha leído el nuevo texto (lo que tampoco es un consentimiento). El consentimiento para datos de salud y el permiso de campañas pueden retirarse en cualquier momento (se controla con el campo revoked_at); retirar el consentimiento para datos de salud no afecta a las citas ni al uso de la cuenta.

Si la Clínica, como profesional sanitario sujeto a deber de secreto (por ejemplo, fisioterapeuta), trata datos de salud con fines terapéuticos con base en el art. 6/3-e de la KVKK, puede bastar solo con la información, sin pantalla de consentimiento explícito; los demás negocios (por ejemplo, estudios de pilates/bienestar) solo pueden tratar datos de salud con base en el consentimiento explícito opcional del art. 6/3-a. Qué base jurídica aplicar y si el contenido de la información se ajusta a su propia actividad es responsabilidad de la Clínica.

B.3. Categorías de datos que Teta Studio trata como Encargado del tratamiento

Por el funcionamiento técnico de la Plataforma, se tratan las siguientes categorías de datos conforme a las instrucciones de la Clínica:

Permiso para escribir en los campos de salud (desde el 4 de octubre de 2026): solo el propio cliente y su especialista asignado pueden escribir en los campos de salud del cliente (grupo sanguíneo, alergias, afecciones crónicas, medicación); el titular/responsable del negocio no puede escribir en ellos (puede editar la persona de contacto de emergencia y los campos identificativos).

Medición de producto seudonimizada: en esta actividad Teta Studio es responsable del tratamiento, y los detalles están en la Parte C. La medición se hace con un identificador seudónimo de la clínica; ese identificador es un seudónimo (no es anónimo). La función está desactivada por ahora.

Archivos de recibos (desde el 4 de octubre de 2026): los archivos de recibos no vinculados a un pago (huérfanos) se eliminan automáticamente a los 7 días; un recibo vinculado a un pago no puede eliminarlo ningún rol.

Transparencia sobre los permisos del móvil (desde el 18 de octubre de 2026): la app móvil de Corenta solo pide, a nivel del sistema operativo, el permiso de notificaciones (solicitado en contexto) y, en iOS, acceso a la fototeca (en el momento de elegir foto de perfil, adjunto de anamnesis, justificante de pago, imagen de anuncio o vídeo del centro); si el bloqueo de la app está activado, la verificación con Face ID/huella se hace dentro del dispositivo y no se envía ningún dato biométrico a Corenta. En Android, los permisos de cámara y micrófono se han quitado a propósito del manifiesto de la app. La app no pide permisos de cámara, micrófono, ubicación, contactos (contacts) ni calendario, ni acceso a HealthKit/sensores de salud. El mapa de Descubrir no usa la ubicación del dispositivo; solo busca por la provincia/municipio o la zona del mapa que elija el usuario.

Los datos personales de categoría especial (datos de salud), conforme al art. 6 de la KVKK, solo pueden tratarse con consentimiento explícito o en los supuestos excepcionales previstos por la ley (protección de la salud pública, medicina preventiva, diagnóstico/tratamiento médico, planificación y financiación de servicios sanitarios, cuando los realicen personas sujetas a deber de secreto). En el ecosistema Corenta, estos datos los introducen los especialistas sanitarios/de bienestar autorizados de la Clínica según la base jurídica que aplique la Clínica (consentimiento explícito opcional del art. 6/3-a o art. 6/3-e); Teta Studio solo aloja/trata estos datos conforme a las instrucciones de la Clínica y los protege con medidas de seguridad reforzadas (ver B.6).

Plazo de conservación y forma de eliminación — remisión: el plazo de conservación de cada una de las categorías anteriores y el método aplicado tras una solicitud de eliminación de la cuenta (supresión definitiva o anonimización) se resumen en B.8/a y se explican, con tabla detallada y justificación, en veri-saklama-imha-politikasi.md (Secciones 4 a 6). En particular, para las filas Datos de salud, Datos de transacciones/financieros y Registros de información y permisos: en la fase de supresión definitiva de la cuenta, estos registros no se someten a DELETE; se rompe el vínculo con la persona y se vacían algunos campos de texto libre. Como el texto libre de las notas de sesión no se modifica, estos registros no se consideran anónimos en todos los casos; se conservan con acceso restringido (ver B.8/a).

B.3-A. Funciones de comunidad y crecimiento — relación con los datos de salud (desde el 18 de octubre de 2026)

Los datos de salud son datos personales de categoría especial en el sentido del art. 6 de la KVKK. Las funciones siguientes no se han diseñado para tratar datos de salud; para cada una se explica por separado cómo se tratan los datos de salud:

En las clínicas que prestan servicios sanitarios, como la fisioterapia, que un cliente haya participado en una clase o en un grupo puede indicar que esa persona recibe un servicio sanitario. Por eso, la decisión de usar o no estas funciones y de cómo explicarlas a los clientes corresponde a la Clínica como responsable del tratamiento. Los grupos de la clínica (group_chats) y los desafíos (leagues) son módulos separados y se han diseñado para poder desactivarse por clínica.

B.4. Finalidades del tratamiento y bases jurídicas

Las bases jurídicas de la tabla siguiente pueden tener dos sentidos distintos según la naturaleza del dato: (i) la base jurídica en la que se apoya la Clínica (como responsable del tratamiento) frente a su cliente/su personal, o (ii) la base jurídica aplicable a las actividades independientes de la propia Teta Studio (seguridad de la plataforma, facturación, obligación legal, etc.). Teniendo en cuenta que Teta Studio no fija por sí misma una "finalidad de tratamiento" independiente (ver B.1), la fila relativa a datos de categoría especial, en particular, debe leerse como reflejo de la base jurídica de la Clínica:

B.5. Transferencia de datos personales (nacional e internacional)

Para el funcionamiento de la Plataforma, los datos personales se comparten con los subencargados (sub-processors) siguientes, de forma limitada y en la medida técnicamente necesaria:

Otras notas sobre la infraestructura:

• Infraestructura de correo: los correos del servicio (periodo de prueba, invitación al equipo, respuestas de soporte) se envían por SMTP a través de Google Workspace (Google); los correos de autenticación (verificación del correo, restablecimiento de contraseña) los activa Supabase Auth. Los correos promocionales solo se envían con permiso aparte y registro en el İYS (ver Parte C). Las notificaciones push se entregan a través de Apple (APNs) y Google (FCM).
• Herramienta de analítica: no se usa ninguna herramienta de analítica de terceros (por ejemplo, Google Analytics). La medición del uso del producto dentro de la app no está activa por ahora; si se activa, la medición se guardará en una tabla propia en la base de datos de Corenta (Supabase, Fráncfort/Alemania), no contendrá datos de salud ni texto libre, y este Aviso se actualizará antes de activarla.
• Seguimiento de errores: no se usa ninguna herramienta de seguimiento de errores de terceros; los errores del cliente se registran en la propia base de datos de Corenta (Supabase).
• Entrega de mensajes en tiempo real y vídeos (desde el 18 de octubre de 2026): los mensajes individuales y de grupo se entregan solo a los usuarios autorizados mediante el servicio de transmisión en tiempo real de Supabase (Realtime); los vídeos de los centros se guardan en el almacenamiento de archivos de Supabase. Esto entra en la fila de Supabase (n.º 1); no se ha añadido ningún subencargado nuevo.
• Pago con tarjeta de crédito por la web: por ahora no está disponible; todos los pagos de suscripción se realizan exclusivamente mediante el mecanismo de compra dentro de la app (IAP) de Apple/Google.

Transferencia internacional: tus datos se tratan a través de proveedores de servicios situados fuera de Turquía: Supabase (base de datos, autenticación y almacenamiento de archivos; datos alojados en Fráncfort, Alemania), Vercel (alojamiento del panel web; infraestructura global), Google (correo de Google Workspace y notificaciones de Firebase Cloud Messaging; global) y Apple (notificaciones y tienda; global). El alojamiento en Alemania también es una transferencia internacional en el sentido de la Ley n.º 6698. Como estas transferencias son periódicas y continuas, no se basan en el consentimiento explícito; se basarán en una de las condiciones de tratamiento de los artículos 5 y 6 de la KVKK y, conforme al art. 9/4-c, en los contratos tipo publicados por el Kişisel Verileri Koruma Kurulu. Como encargado del tratamiento, Teta Studio firmará con cada subencargado el contrato tipo del Módulo 3 (de encargado a encargado) y lo notificará al Kurul en los 5 días hábiles siguientes a la firma. A la fecha de este texto, los contratos tipo aún no se han firmado ni notificado al Kurul; cuando se completen la firma y la notificación, esta sección se actualizará con la lista de proveedores y fechas. No existe ninguna decisión de adecuación del Kurul sobre estos países (última comprobación: 11 de octubre de 2026). La Clínica incluye estas transferencias en su propio aviso de privacidad.

La lista de subencargados anterior se mantiene además, actualizada, como anexo del DPA entre la Clínica y Teta Studio; la Clínica es informada de los cambios en la lista de subencargados por el procedimiento previsto en el DPA. Los datos personales solo pueden transferirse a organismos y entidades públicas legalmente competentes en los casos previstos por la normativa aplicable y en la medida de lo solicitado; Teta Studio no vende ni alquila en ningún caso a terceros con fines comerciales los datos personales que trata.

B.6. Medidas de seguridad

Como Encargado del tratamiento, Teta Studio aplica las siguientes medidas técnicas y organizativas para garantizar la seguridad de los datos personales que trata:

• Aislamiento entre tenants (multi-tenant isolation): todas las tablas de datos de la Plataforma están separadas por el campo tenant_id y protegidas por políticas completas de Seguridad a Nivel de Fila (Row Level Security/RLS) con el principio de denegación por defecto (default-deny); el acceso de una Clínica a los datos de otra está bloqueado técnicamente.
• Restricción de acceso a los datos de salud: a nivel de RLS, solo pueden acceder a las fichas de anamnesis, las notas de sesión y las mediciones el propio cliente, el especialista asignado y el responsable autorizado de la clínica; las notas de sesión que el especialista marque como "compartidas con el equipo" también pueden verlas los demás especialistas de la clínica. El acceso del personal solo es posible cuando el módulo de salud correspondiente (anamnesis, mediciones, nota de sesión) está activado.
• Inmutabilidad (append-only): las notas de sesión enviadas (cuando se rellena el campo submitted_at) están protegidas a nivel de base de datos para que no puedan modificarse ni eliminarse; para las fichas de anamnesis tampoco hay permiso de eliminación (DELETE) definido para ningún rol de usuario (incluido el responsable de la clínica). Única y estrecha excepción: en el proceso de supresión definitiva de la cuenta (ver B.8/a), solo el proceso privilegiado en segundo plano (service-role) puede, sin tocar el CONTENIDO de la nota de sesión, poner a NULL a nivel de base de datos únicamente las columnas de vínculo con la persona (client_id/specialist_id); esto no rompe el principio append-only — es un paso de finalidad única que solo cumple la obligación de romper el vínculo con la persona (anonimización) prevista en la KVKK (detalle: veri-saklama-imha-politikasi.md Sección 6.2).
• Límites del modo de soporte de superadministrador (impersonation): el modo de acceso de superadministrador usado para soporte técnico está limitado en el tiempo (30 minutos) y por defecto es de solo lectura; las operaciones de escritura y el acceso a datos de salud solo pueden habilitarse mediante pasos separados que requieren aprobación adicional (indicador health_data_enabled); en ningún escenario de impersonation se concede permiso de escritura sobre las tablas de datos de salud — esta restricción se aplica sin excepción en las políticas de la base de datos.
• Seguridad en la transmisión: los datos se cifran con TLS durante la transmisión.
• Almacenamiento en el dispositivo: en la app móvil, los tokens de sesión se guardan cifrados en el llavero seguro del dispositivo, respaldado por hardware (expo-secure-store, basado en iOS Keychain / Android Keystore).
• Protección de pantallas sensibles: en las pantallas de la app que contienen datos de salud se bloquean las capturas y grabaciones de pantalla (bloqueo de grabación/captura de pantalla en iOS; FLAG_SECURE en Android).
• Seguridad de las cuentas de administración: las cuentas de administrador de la Plataforma (superadministrador) requieren autenticación en dos pasos (MFA, AAL2).
• Integridad de los pagos: se aplica una infraestructura de verificación de firma criptográfica para las notificaciones de pago (webhooks) de las tiendas (Apple/Google); sigue en curso la finalización completa de esta configuración en producción para todos los proveedores y su mejora continua.

Pese a las medidas anteriores, se indica expresamente que ningún sistema de información puede ofrecer una garantía absoluta de seguridad. Estas medidas se revisan y mejoran de forma continua como parte de las obligaciones del Encargado del tratamiento conforme al art. 12 de la KVKK. Cuando Teta Studio, como encargado del tratamiento, tiene conocimiento de una brecha de datos, la notifica a la Clínica sin demora y en un plazo máximo de 24 horas (Kurul 2019/10). La notificación al Kurul y a los interesados es obligación de la Clínica como responsable del tratamiento. Para los datos de los que Teta Studio es responsable del tratamiento (Partes A y C), Teta Studio realiza la notificación al Kurul en un plazo de 72 horas.

B.7. Información adicional sobre el modo de soporte de superadministrador (impersonation)

El personal de soporte autorizado de Teta Studio puede, en el marco de las solicitudes de soporte técnico de la Clínica, acceder temporalmente a la cuenta de la Clínica mediante un "modo de soporte" limitado y auditable. Este acceso:

• Está limitado a un máximo de 30 minutos y termina automáticamente al vencer el plazo,
• Por defecto, es de solo lectura (read-only),
• El permiso de escritura y el acceso a datos de salud solo pueden habilitarse mediante pasos distintos que requieren aprobación adicional; el acceso de escritura a las tablas de datos de salud no se concede en ningún caso,
• Queda registrado y sujeto a pista de auditoría.

Contacto del cliente en el modo de soporte (desde el 4 de octubre de 2026): en la sesión de soporte de Corenta (superadministrador), no se muestran al personal de soporte el correo electrónico ni el teléfono del cliente; el personal de soporte solo ve un resumen identificativo limitado (nombre, estado de la cuenta, si está activa, fecha de creación).

B.8. Plazo de conservación de los datos personales y forma de ejercer los derechos de los interesados

Los datos personales se conservan durante el tiempo necesario para la finalidad correspondiente y durante los plazos legales de conservación previstos en la normativa aplicable. Los derechos siguientes, conforme al art. 11 de la KVKK, se ejercen en primer lugar ante la Clínica, en su condición de Responsable del tratamiento. Teta Studio, como Encargado del tratamiento, garantiza el cumplimiento técnico de estos derechos a petición de la Clínica. Los mecanismos concretos que ofrece la Plataforma son:

a) Derecho de supresión: Eliminación de la cuenta (desde el 4 de octubre de 2026): cuando se confirma la solicitud de eliminación, el acceso a la cuenta se corta de inmediato (se cierran las sesiones y ya no se puede entrar); los datos personales se suprimen o se anonimizan (se vacían el nombre, el correo, el teléfono, la imagen y los datos identificativos/de contacto del cliente, así como los campos de salud — grupo sanguíneo, alergias, afecciones crónicas, medicación); los registros de pagos y comisiones que exigen conservación legal no se suprimen; se conservan sin vínculo con la persona y con acceso restringido. No hay plazo para deshacer la solicitud; la supresión definitiva del registro de autenticación y de los archivos se completa en el proceso en segundo plano de treinta días ya existente.

Eliminación de la ficha del cliente y campos de salud (desde el 4 de octubre de 2026): cuando el negocio elimina la ficha de un cliente sin cuenta, la ficha desaparece al instante de la lista activa; a los 30 días, junto con los datos identificativos y de contacto, también se suprimen/vacían los campos de salud del cliente (grupo sanguíneo, alergias, afecciones crónicas, medicación). Las reglas de conservación de las fichas de anamnesis, las mediciones y las notas de sesión no se ven afectadas por esta disposición.

Mensajes de grupo y registros de comunidad (desde el 18 de octubre de 2026): el miembro puede eliminar su propio mensaje de grupo cuando quiera; el texto del mensaje eliminado se quita del registro. Cuando la cuenta se suprime definitivamente, se suprimen la pertenencia a grupos, los registros de dispositivos vinculados y las tarjetas de perfil del especialista; la participación en desafíos está vinculada a la ficha del cliente y sigue la misma regla que ella; en cambio, el texto de los mensajes enviados antes al grupo permanece en el grupo, sin los datos de quién lo envió. Por eso, quien quiera quitar sus mensajes puede eliminarlos uno a uno antes de eliminar la cuenta. El texto de un mensaje ocultado por el equipo se guarda aparte para su revisión por el equipo. Los plazos de conservación de los mensajes de grupo y de esa copia están en veri-saklama-imha-politikasi.md, Sección 4, n.º 12; la copia se conserva como máximo 1 año. Hoy los registros de grupos, desafíos, insignias y fidelidad no se incluyen en la exportación "Descargar mis datos"; las solicitudes de información sobre ellos pueden dirigirse a la Clínica o a hello@corenta.app.

Cuando el usuario solicita la eliminación de su cuenta desde la app (función delete_my_account), el sistema aplica una arquitectura de supresión en dos fases. El resumen siguiente es una descripción honesta y técnicamente verificada del método aplicado a cada categoría de datos (supresión definitiva o anonimización); para el detalle completo y la tabla, ver veri-saklama-imha-politikasi.md (en especial las Secciones 4 a 6).

• Fase 1 — en el momento de la solicitud: el acceso a la cuenta se corta de inmediato (no hay plazo para deshacerlo); el perfil se desactiva, se vacían los campos identificativos y de salud, se cancelan las citas pendientes, se eliminan las asignaciones y se retiran los consentimientos otorgados.
• Fase 2 — tratamiento definitivo a los 30 días: 30 días después de esa primera fase se produce un tratamiento que solo activa, de forma irreversible, una tarea privilegiada en segundo plano (cron, service-role) y que se aplica con dos métodos distintos según la categoría de datos; este tratamiento no puede activarse manual o administrativamente ni adelantarse o aplazarse:
• El registro de autenticación del usuario (auth.users) y los registros sin valor independiente de negocio o de prueba (por ejemplo, las notificaciones, notifications) se suprimen definitivamente (DELETE/cascade).
• Los datos de salud (fichas de anamnesis, notas de sesión, registros de mediciones) y los registros clínicos/financieros (pagos, asistencia) NO SE SOMETEN A DELETE — SE CONSERVAN DE FORMA RESTRINGIDA, SIN VÍNCULO CON LA PERSONA: el vínculo con la persona (como client_id/specialist_id) se rompe a nivel de base de datos (ON DELETE SET NULL); algunos campos de texto libre (respuestas de la anamnesis, notas de mediciones/pagos, motivo de reembolso, referencia del justificante) se vacían o se sustituyen por una marca. El texto libre de las notas de sesión no se modifica; como en ese texto y en datos como las series de fechas/mediciones puede quedar información suficiente para volver a identificar a la persona, estos registros no se consideran anónimos. Los registros se conservan con acceso restringido mientras dure la obligación de conservación de registros de la Clínica y se eliminan al terminar ese plazo; así se mantiene el principio append-only de las notas de sesión.
• Los registros de consentimiento (consent_logs) tampoco se someten a DELETE; se rompe el vínculo con la persona y se vacía la dirección IP, pero, como prueba de que el consentimiento se dio/retiró (con tipo, versión y hora), se conservan otros 5 años como registro probatorio sin vínculo con la persona (art. 5/2-e de la KVKK — constitución y protección de un derecho; la carga de la prueba del consentimiento explícito recae en el responsable del tratamiento).
• Archivos adjuntos: el avatar/foto de perfil del usuario, los adjuntos de la anamnesis y las imágenes de justificantes de pago (los buckets avatars, anamnesis-attachments, user-data-exports y payment-receipts de Storage) se suprimen de Storage de forma automática (best-effort) como parte de la fase de supresión definitiva — si la supresión falla en un bucket, se registra, pero no impide la limpieza de los demás buckets ni el tratamiento de la cuenta. Límite honesto: la única categoría de archivos que queda fuera de este proceso automático son los documentos de verificación de identidad/titulación subidos en el registro del especialista/autónomo (bucket specialist-verification-docs) — técnicamente, estos documentos no están vinculados al usuario sino al proceso de verificación del tenant (de la Clínica) y hoy no entran en la supresión automática; su eliminación se abordará aparte en el proceso de cierre de la cuenta/suscripción de la Clínica a nivel de tenant y, hasta que se complete, las solicitudes excepcionales se evalúan manualmente a través de hello@corenta.app.
• Ninguno de los procesos anteriores puede activarse ni detenerse manualmente desde las interfaces normales del producto (ni siquiera por el personal administrativo) — es un diseño de seguridad deliberado para evitar supresiones adelantadas o retrasadas por error o abuso.
• Por eso, este Aviso no asume el compromiso absoluto de que "al eliminar la cuenta, todos los datos se destruyen físicamente y sin excepción": mientras que el registro de autenticación y los registros sin valor independiente de negocio se suprimen definitivamente, los registros de salud/clínicos/financieros y los registros de consentimiento siguen conservándose sin vínculo con la persona y con acceso restringido (durante los plazos explicados arriba) por la obligación de conservación de registros de la Clínica (sin perjuicio, conforme al art. 7/2 de la KVKK, de las disposiciones de conservación de otras leyes); estos registros no son anónimos; sobre los restos técnicos en las copias de seguridad, ver también veri-saklama-imha-politikasi.md Sección 6.3.
• Canales de solicitud: la solicitud de eliminación de la cuenta puede hacerse mediante la función de autoservicio "Eliminar mi cuenta" de la app, el método más fiable y de resultado directo; en ese caso, la función la activa directamente el usuario y el proceso en dos fases descrito arriba se ejecuta automáticamente (no es una solicitud dirigida a Teta Studio, sino una función automática del sistema que inicia el propio usuario). Si por cualquier motivo el usuario no puede usar la función de la app, puede enviar su solicitud a la Clínica o a hello@corenta.app; en ese caso, la solicitud se evalúa y tramita en un plazo razonable y, en la medida necesaria, se inicia el mismo proceso de supresión. Esta es una excepción a la regla general de solicitud explicada en B.9 ("hay que dirigirse primero a la Clínica") y se debe únicamente a que la función de autoservicio de la app puede activarla directamente el usuario.

b) Solicitud de información / Portabilidad de los datos: La Plataforma ofrece una función (export_user_data) con la que el usuario puede exportar sus propios datos. De acuerdo con la estructura multi-tenant, esta función solo incluye los datos del propio usuario dentro de su tenant. Los datos se facilitan en un plazo razonable, en un formato estructurado y legible por máquina (JSON). Cuando el archivo puede prepararse, los datos se entregan además en ZIP mediante un enlace personal (firmado) válido durante 7 días; si no puede prepararse el ZIP, solo se entrega la salida en JSON.

c) Derecho de rectificación: La actualización de los datos del usuario es técnicamente posible desde el panel de gestión de la Clínica. La Plataforma no cuenta con un flujo automatizado e independiente de "solicitud de rectificación"; las solicitudes de rectificación pueden dirigirse, en el marco de los derechos generales del art. 11 de la KVKK, a la Clínica o a Teta Studio a través de hello@corenta.app.

d) Retirada del consentimiento: la confirmación de lectura del aviso de privacidad no es un consentimiento; no genera un permiso que retirar. El usuario puede retirar cuando quiera, desde la app móvil, el consentimiento para datos de salud y el permiso de notificaciones de campañas de la clínica. Retirar el consentimiento para datos de salud no afecta a las citas ni al uso de la cuenta; tras la retirada no se registran nuevos datos de salud, y los registros anteriores se conservan según las reglas de B.8/a.

e) Otros derechos del art. 11: los derechos a saber si hay tratamiento, a saber si se ajusta a su finalidad, a conocer los terceros a quienes se han transferido los datos, a pedir la rectificación de un tratamiento incompleto/inexacto y a reclamar la reparación de daños por tratamiento ilícito se ejercen en primer lugar ante la Clínica; tienen el mismo contenido que el marco enumerado en A.8.

B.9. Forma de presentar solicitudes

Los clientes y el personal de las clínicas deben dirigir sus solicitudes relativas a la KVKK en primer lugar a su propia Clínica; la Clínica, como Responsable del tratamiento, está obligada a responderlas conforme al procedimiento del art. 13 de la KVKK y en un plazo máximo de treinta (30) días. Excepción: los mecanismos de autoservicio de la app, como la eliminación de la cuenta (ver B.8/a), puede usarlos directamente el usuario, sin necesidad de que intervenga la Clínica; para las demás solicitudes del art. 11 de la KVKK, la regla es dirigirse primero a la Clínica.

Para solicitudes de carácter técnico que se quieran enviar directamente a Teta Studio (por ejemplo, si no funciona la función de eliminación de la cuenta o de exportación de datos) o para preguntas sobre las actividades que Teta Studio realiza en su propia condición de encargado del tratamiento, se puede escribir a hello@corenta.app. Teta Studio puede remitir a la Clínica, en el marco del DPA, las solicitudes que reciba y que requieran el conocimiento o las instrucciones de la Clínica correspondiente.

B.10. Obligaciones de la Clínica

Toda Clínica que usa Corenta reconoce que tiene la condición de Responsable del tratamiento conforme al art. 3/ı de la KVKK y que las obligaciones siguientes le corresponden en exclusiva:

• Preparar/ofrecer el Aviso de privacidad KVKK dirigido a sus Clientes y Usuarios (la pantalla de información común ya preparada y las pantallas de consentimiento opcional de la app móvil de Corenta se ofrecen para ello como herramienta técnica, pero garantizar que el contenido se ajusta a su propia actividad es responsabilidad de la Clínica; si la Clínica lo considera necesario, puede llevar a cabo su propio proceso de información adicional, conforme a B.1),
• Determinar la base jurídica en la que se apoyará el tratamiento de datos de salud (consentimiento explícito opcional del art. 6/3-a o art. 6/3-e); si se necesita consentimiento explícito, obtenerlo debidamente y no convertirlo en condición del servicio,
• Comunicar a los clientes sus propios datos identificativos (denominación, dirección, contacto para solicitudes KVKK) (hoy el texto común de la app no incluye estos datos automáticamente),
• Evaluar su propia obligación respecto al VERBİS; para los responsables cuya actividad principal es el tratamiento de datos de salud, el umbral de exención del VERBİS es de 10 empleados al año y un balance de 10 millones de TL (Kurul 2025/1572),
• Responder a las solicitudes de los interesados en los plazos previstos en el art. 13 de la KVKK,
• Garantizar la seguridad de los datos respecto a su propio personal y a sus propios subcontratistas,
• Cumplir las obligaciones previstas en el Contrato de encargo del tratamiento/Condiciones del servicio suscritos con Corenta.

Teta Studio no asume la responsabilidad derivada del incumplimiento por la Clínica de las obligaciones anteriores.

PARTE C — AVISO DE PRIVACIDAD DE LA CUENTA Y LA PLATAFORMA CORENTA (Teta Studio como responsable del tratamiento)

Esta parte explica los tratamientos que Teta Studio realiza en su propio nombre y para sus propios fines. En estas actividades, Teta Studio es responsable del tratamiento conforme al art. 3/1-ı de la KVKK. Este texto se muestra al abrir la cuenta del titular/empleado de la clínica y cuando el cliente usa por primera vez Descubrir o la función de valoraciones. Las funciones entre centros que siguen (liga, invitación, Centro Fundador, Corenta Lab, Descubrir v2) figuran en esta parte porque reúnen a más de una clínica y su finalidad la fija Teta Studio. La información tratada en nombre del centro no es un dato personal cuando el negocio es una persona jurídica; en los centros que funcionan como negocio individual y en los centros de una sola persona puede asociarse a una persona, por eso se explica aquí.

C.1. Responsable del tratamiento

Mertcan Demir — negocio individual con el nombre comercial "Teta Studio" (datos identificativos y de contacto: A.1). Solicitudes: hello@corenta.app.

C.2. Tratamientos, finalidades y bases jurídicas

Descubrir e invitación a valorar: la invitación a valorar se envía, si la clínica activa Descubrir, a partir de los datos de la cita completada. Mediante el Contrato de encargo del tratamiento, la clínica da instrucciones para que estos datos se transfieran a Teta Studio solo para enviar la invitación y publicar la reseña verificada; en las clínicas con Descubrir desactivado no se envían invitaciones. Una valoración publicada puede mostrar públicamente que has recibido un servicio de un negocio de salud/ejercicio; tenlo en cuenta antes de publicarla.

Medición seudonimizada: la medición se hace con un identificador seudónimo de la clínica; este identificador es un seudónimo y, en un negocio de una sola persona, puede asociarse a ella. No incluye dirección IP, datos de salud ni seguimiento de origen/publicidad. La función está desactivada por ahora; antes de activarla, se actualizará este texto.

Visibilidad en las funciones de comunidad y crecimiento: la información que se muestra a otros usuarios en la liga, la lista de Centros Fundadores, Corenta Lab y Descubrir es solo la indicada en la tabla anterior. Estas funciones no tratan datos de salud de clientes (detalle: B.3-A). En la invitación de centros, el Centro Fundador y el Lab no se dan premios en dinero ni descuentos de precio; las recompensas son ventajas dentro de la app, como 7 días de Boost, periodo de prueba y créditos.

C.3. Destinatarios y transferencia internacional

Supabase (alojamiento; Fráncfort, Alemania), Vercel (panel web), Google (correo de Google Workspace, Firebase Cloud Messaging, Google Play) y Apple (APNs, App Store). La transferencia a estos proveedores es una transferencia internacional; su base y su situación actual se explican en el párrafo "Transferencia internacional" de B.5 (para estos flujos, en los que Corenta es responsable del tratamiento, se usará el contrato tipo del Módulo 2 — de responsable a encargado —; a la fecha de este texto aún no se ha firmado).

C.4. Comunicaciones electrónicas comerciales

Teta Studio solo envía correos promocionales y de campañas si has dado tu consentimiento aparte, en una casilla que viene sin marcar. Teta Studio no envía correos promocionales sin estar registrada en el İleti Yönetim Sistemi (İYS); tras el registro, los consentimientos se cargan en el İYS en un plazo de 3 días hábiles. Cada mensaje promocional incluye la identidad del remitente, sus datos de contacto y un enlace gratuito para darse de baja. Los correos de periodo de prueba, invitación al equipo y soporte son mensajes del servicio; no contienen elementos promocionales.

C.5. Conservación, derechos y solicitudes

Los plazos de conservación están en veri-saklama-imha-politikasi.md. De los registros añadidos el 18 de octubre de 2026, los resúmenes de prueba repetida y los registros de liga, invitación, Centro Fundador y Lab se conservan hasta la supresión definitiva de la cuenta del centro correspondiente; los registros de dispositivos, hasta la supresión definitiva de la cuenta del usuario. Todavía no se ha fijado un plazo máximo propio para estos registros; se añadirá a la política de conservación. Puedes ejercer tus derechos del art. 11 de la KVKK (A.8) escribiendo a hello@corenta.app; las solicitudes se responden gratis en un plazo máximo de 30 días.

DISPOSICIONES COMUNES (aplicables a todas las partes)

G.1. Decisiones automatizadas y elaboración de perfiles

Corenta no elabora perfiles con fines publicitarios ni de marketing. Sin embargo, desde el 18 de octubre de 2026 las reglas siguientes funcionan de forma automática y pueden producir un resultado desfavorable limitado para la persona o el centro afectado:

La señal de prueba repetida no es una decisión automatizada: la coincidencia no bloquea la prueba, solo pasa a revisión del administrador de la plataforma. Conforme al art. 11/1-g de la KVKK, queda a salvo tu derecho a oponerte a un resultado desfavorable derivado del análisis de los datos exclusivamente mediante sistemas automatizados.

G.2. Actualización del Aviso de privacidad

Este Aviso de privacidad puede actualizarse por cambios normativos, decisiones del Kişisel Verileri Koruma Kurulu, la evolución funcional de la Plataforma o cambios de subencargados/proveedores de servicios. La versión vigente estará siempre disponible en corenta.app/legal/kvkk-aydinlatma-metni y en la pantalla de documentos de la app. En el contexto del producto SaaS (Parte B), cuando cambia la versión del aviso, en el siguiente acceso se pide al usuario que indique que ha leído el nuevo texto; esto no es un consentimiento, sino la prueba de que se ha informado (ver B.2).

G.3. Legislación aplicable y jurisdicción

Este Aviso de privacidad se ha elaborado conforme a la Ley n.º 6698 de Protección de Datos Personales (KVKK) y su normativa de desarrollo (Reglamento sobre la Supresión, Destrucción o Anonimización de Datos Personales; Reglamento sobre el Registro de Responsables del Tratamiento; Comunicado sobre los Procedimientos y Principios para el Cumplimiento del Deber de Informar; Comunicado sobre los Procedimientos y Principios de las Solicitudes al Responsable del Tratamiento). La interpretación y aplicación de este texto se rigen por el derecho de la República de Turquía; en caso de controversia, son competentes el Kişisel Verileri Koruma Kurulu y los tribunales/oficinas de ejecución turcos competentes.

G.4. Contacto

Para cualquier pregunta, petición o solicitud sobre el tratamiento de datos personales:

• Correo electrónico: hello@corenta.app
• Soporte: support@corenta.app
• Ámbito del servicio: Corenta se ofrece de forma global a través de App Store y Google Play, en los países en los que operan estas tiendas. Este texto es el aviso de privacidad conforme a la Ley n.º 6698; a las personas en la UE/EEE se les aplica además la Declaración RGPD, sin perjuicio de las normas imperativas de protección de datos del país en el que te encuentres.
• Web corporativa: corenta.app

Entrada en vigor / última actualización: 19 de octubre de 2026 Versión: 2.3 · 19 de octubre de 2026. El historial de cambios figura al principio del documento.