CORENTA – TURKIN HENKILÖTIETOJEN SUOJAA KOSKEVAN LAIN (KVKK) MUKAINEN INFORMOINTITEKSTI

Tämä käännös on tarkoitettu vain tiedoksi; oikeudellisesti sitova on turkinkielinen teksti.

Kolmiosainen informointiteksti rekisterinpitäjän ja henkilötietojen käsittelijän roolien mukaan

Versio: 2.3 · Voimaantulo / viimeksi päivitetty: 19. lokakuuta 2026 Rekisterinpitäjä / julkaisija (osat A ja C): Mertcan Demir – toiminimellä "Teta Studio" toimiva yksityinen elinkeinonharjoittaja

Muutosloki

• 2.3 – 19. lokakuuta 2026: Maailmanlaajuinen soveltamisala lisättiin: G.4:n ilmaus "vain Turkki" korvattiin maininnalla tarjoamisesta useissa maissa sovelluskauppojen kautta sekä viittauksella EU:n/ETA:n GDPR-ilmoitukseen. Käsittelytoimet ja oikeusperusteet eivät muuttuneet.
• 2.2 – 19. lokakuuta 2026: Julkaistu versio; voimaantulopäivä 19. lokakuuta 2026. A.1:n tunnistetietotaulukosta poistettiin tyhjiksi jääneet MERSIS- ja KEP-tiedot. B.8/a:n ryhmäviestien säilytysaika sidottiin Tietojen säilytys- ja hävittämiskäytäntöön.
• 2.1 – 18. lokakuuta 2026: 18. lokakuuta 2026 lisätyt ominaisuudet kuvattiin: klinikan ryhmät, studion sisäiset haasteet, asiakkaiden merkit ja kanta-asiakaskortti, viikkotehtävät ja kuukausiraportti (osa B); studioliiga ja kaupunkihaasteet, ammattilaisen siirrettävä profiilikortti, studiolta studiolle annettava kutsukoodi, Perustajastudio-ohjelma, Corenta Lab, Löydä v2 (lyhyt video, kokeilutunti, sponsoroitu paikka), toistuvan kokeilujakson merkintä, laitteen yhdistäminen ja "Istuntoni", sovelluskaupan osittainen hyvitys sekä Applen käyttötietopyyntö (osa C). Se, miten terveystietoja käsitellään ryhmissä, liigassa, haasteissa ja profiilikortissa, kuvattiin erillisessä kohdassa (B.3-A). G.1:tä korjattiin: kolme sääntöä, joista seuraa henkilöön vaikuttava automaattinen tulos (kutsujen väärinkäytön valvonta, ryhmäviestin piilottaminen kolmen ilmoituksen jälkeen, liigasta sulkeminen), kuvattiin nimenomaisesti. Mobiilisovelluksen luvat korjattiin koodin mukaisiksi (kameralupaa ei pyydetä). Pois käytöstä olevia ominaisuuksia (jakamisen varmennus, kysyntäsignaali, Boost-takuu, laitteen varmennus, Turnstile, Sentry) ei kirjattu tähän tekstiin; ennen niiden käyttöönottoa tekstiä on päivitettävä erikseen.
• 2.0 – 11. lokakuuta 2026: 11. lokakuuta 2026 tehdyn vaatimustenmukaisuusarvioinnin (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26) perusteella: ulkomaille siirtoa koskevat kohdat kirjoitettiin uudelleen lain nro 6698 9 artiklan vuoden 2024 jälkeisen sanamuodon mukaisesti (myös Supabase/Frankfurt on siirto ulkomaille; vakiosopimuksia ei ole vielä allekirjoitettu); informointi ja nimenomainen suostumus erotettiin (informointi ei ole "hyväksyntä" vaan kuittaus "Olen lukenut ja ymmärtänyt"; ennakkokäyttölomakkeen pakollinen hyväksyntäruutu poistettiin); terveystietojen suostumus kirjattiin vapaaehtoiseksi; toiminnoille, joissa Teta Studio on rekisterinpitäjä, lisättiin uusi Osa C – Corenta-tiliä ja -alustaa koskeva informointi; tunnistetiedot korjattiin yksityiseksi elinkeinonharjoittajaksi; VERBIS-arvio kirjoitettiin Kurulin vuoden 2025 päätösten mukaisesti; tietoturvaloukkauksesta ilmoittaminen klinikalle korjattiin viimeistään 24 tunniksi; "anonyymiä" säilytystä koskeva ilmaus korjattiin rajoitetuksi säilytykseksi, jossa yhteys henkilöön on katkaistu; liitetiedostojen poistaminen ja vientilinkki sidottiin yhteen koodista varmennettuun ilmaukseen; virheelliset viittaukset säädöksiin korjattiin.
• 1.6 – 10. lokakuuta 2026: Expo (Expo Push Notification Service) poistettiin alikäsittelijöiden/käsittelijöiden luettelosta; push-ilmoitukset välitetään vain Applen (APNs) ja Googlen (FCM) kautta, Expo/EAS on vain sovelluksen koontityökalu eikä käsittele loppukäyttäjien tietoja.
• 1.5 – 10. lokakuuta 2026: Google Analyticsin valintaa koskeva ilmaus poistettiin; täsmennettiin, ettei kolmannen osapuolen analytiikkaa käytetä, ja mitkä käsittelijät hoitavat push-ilmoitukset.
• 1.4 – 4. lokakuuta 2026: Nykyinen teksti vahvistettiin hyväksytyksi versioksi. Tässä versiossa kirjattiin vain seuraavat: Teta Studion toiminimimerkintä; markkina-alue (Turkki); tilin poistaminen (pääsy estetään heti, henkilötiedot poistetaan/anonymisoidaan, lakisääteisesti säilytettävät maksutiedot säilytetään ilman tunnisteita); asiakkaan terveyskenttien poistaminen 30 päivän kuluttua; 7 päivän määräaika maksuun liittämättömille kuiteille; asiakkaan yhteystietojen pysyminen piilossa tukitilassa; tunnisteeton mittaus palvelinpuolella; palvelusähköpostit ja Google Workspace; push-ilmoitusten käsittelijät; tukiosoite (support@corenta.app); oikeus kirjoittaa terveyskenttiin.
• 1.3 – 4. elokuuta 2026: Kohdat B.6 ja B.8/a yhdenmukaistettiin säilytys- ja hävittämiskäytännön kanssa.

0. Tästä tekstistä – soveltamisala ja lukuohje

Tämä henkilötietojen suojaa koskevan lain mukainen informointiteksti ("Informointiteksti") on laadittu henkilötietojen suojaa koskevan lain nro 6698 ("KVKK" tai "laki") 10 artiklan ja informointivelvollisuuden täyttämisessä noudatettavia menettelyjä ja periaatteita koskevan tiedonannon mukaisesti, jotta rekisteröidyille voidaan kertoa henkilötietojen käsittelystä, joka liittyy toiminimellä "Teta Studio" toimivan yksityisen elinkeinonharjoittajan Mertcan Demirin ("Teta Studio", "me") kehittämään ja ylläpitämään Corenta-ohjelmistotuotteeseen (SaaS) ("Corenta", "tuote" tai "alusta") sekä corenta.app-verkkosivustoon, jolla tuotetta esitellään.

Corenta on monivuokralainen (multi-tenant), mobiili edellä suunniteltu palveluna toimitettava ohjelmistoalusta (Software-as-a-Service), joka on tarkoitettu kliinisen pilateksen, fysioterapian, reformerin, hyvinvoinnin/hieronnan ja joogan keskusten kaltaisille pienille terveys- ja hyvinvointiyrityksille ja joka tarjoaa ajanvarausten hallinnan, pakettien/tuntien seurannan, asiakkaiden esitiedot ja tuntimuistiinpanot sekä ammattilaisten palkkioiden ja rahoitustapahtumien seurannan.

0.1 Määritelmät

0.2 Kaksi erillistä yhteyttä – miksi sillä on merkitystä

Corentan ekosysteemissä henkilötietoja käsitellään kolmessa eri yhteydessä ja kahdessa eri roolissa: osa A (esittelysivusto; Teta Studio on rekisterinpitäjä), osa B (klinikan tiedot; Teta Studio on henkilötietojen käsittelijä) ja osa C (Corenta-tili, tilaus, palvelusähköpostit, Löydä/arvostelut, studioiden väliset kasvuominaisuudet – liiga, kutsu, Perustajastudio, Corenta Lab, siirrettävä profiilikortti –, tilin ja laitteen suojaus sekä tuotemittaus; Teta Studio on rekisterinpitäjä). Tämän jaon selkeä ymmärtäminen on olennaista informointitekstin oikean tulkinnan kannalta, eikä kahta yhteyttä saa missään tapauksessa sekoittaa:

Klinikan asiakkaan Corenta-sovelluksessa syntyvät terveystiedot ja corenta.app-sivustolla ennakkokäyttölomakkeen täyttävän yrittäjän tiedot kuuluvat oikeudellisesti täysin eri sääntelyjärjestelmiin. Seuraavat osat on jäsennelty tämän jaon mukaisesti.

OSA A – YRITYKSEN VERKKOSIVUSTO JA ENNAKKOKÄYTTÖLOMAKE (corenta.app)

Tätä osaa sovelletaan luonnollisiin henkilöihin, jotka vierailevat corenta.app-sivustolla, ovat vuorovaikutuksessa sivuston kanssa ja/tai täyttävät ennakkokäyttöä koskevan hakulomakkeen. Tässä yhteydessä Teta Studio toimii KVKK art. 3/ı:n mukaisena rekisterinpitäjänä ja määrittää itse henkilötietojen käsittelyn tarkoitukset ja keinot.

A.1. Rekisterinpitäjän tunnistetiedot

A.2. Käsiteltävät henkilötietoryhmät

corenta.app-sivustolla vierailtaessa, ennakkokäyttölomaketta täytettäessä, yhteydenottolomaketta lähetettäessä tai esittely-/myyntitapaamista pyydettäessä voidaan käsitellä seuraavia henkilötietoryhmiä:

(*) Evästeitä koskevan huomautuksen selitys: Tämän tekstin julkaisupäivänä corenta.app-sivustolla ei ole käytössä evästebanneria/-hallintaliittymää eikä kolmannen osapuolen evästeinfrastruktuuria; edellä mainittuja IP-osoite-/laite-/selaintietoja käsitellään rajoitetusti vain perustason palvelinlokien ja lomakkeiden suojauksen yhteydessä ilman aktiivista evästetekniikkaa. Vaikka järjestelmäinfrastruktuuriin on teknisesti määritelty evästeitä koskeva suostumusluokka (cookies), sitä ei tällä hetkellä käytetä. Jos evästeet otetaan käyttöön, tämä informointiteksti ja erillinen evästekäytäntö päivitetään ja tarvittavat suostumusmekanismit otetaan käyttöön. Erityisiin henkilötietoryhmiin kuuluvia tietoja ei tässä yhteydessä käsitellä.

Nämä tiedot saadaan vain siten, että rekisteröity täyttää lomakkeen tai ottaa yhteyttä omasta tahdostaan, tai automaattisesti sivuston teknisen toiminnan vuoksi (esim. IP-osoite).

A.3. Henkilötietojen käsittelyn tarkoitukset ja oikeusperusteet

Alla olevassa taulukossa on kunkin käsittelytarkoituksen yhteydessä esitetty, mihin KVKK art. 5/2:ssa luetelluista oikeusperusteista se perustuu:

Tärkeää: Kohdan 7 mukainen markkinointiviestintä perustuu vain suostumukseen, jonka rekisteröity on antanut erikseen ja nimenomaisesti tätä tarkoitusta varten; suostumus ei ole ennakkokäyttöhakemuksen pakollinen ehto, ja sen voi aina peruuttaa (ks. A.8).

A.4. Henkilötietojen keräämistapa

Henkilötiedot kerätään sähköisesti, kun corenta.app-sivuston ennakkokäyttö-/yhteydenottolomakkeita täytetään, sähköpostitse tapahtuvassa suorassa yhteydenpidossa, esittely-/myyntitapaamisissa sekä automaattisesti sivuston teknisen infrastruktuurin avulla (IP-osoite ym.).

A.5. Henkilötietojen siirtäminen

Henkilötietojasi voidaan jakaa rajoitetusti ylläpitoa (hosting), lomakkeiden keräämistä, sähköpostien lähettämistä, analytiikkaa, tietoturvaa ja vastaavia teknisiä palveluja tarjoavien toimittajien kanssa näiden palvelujen tuottamiseksi KVKK:n 8 ja 9 artiklassa säädettyjen ehtojen puitteissa. Tietoja jaetaan vain siinä määrin kuin kyseisen palvelun tuottaminen edellyttää ja tähän tarkoitukseen rajoittuen.

Tässä yhteydessä tunnetut/käytössä olevat tekniset infrastruktuuritoimittajat:

Huomautus – lomaketietojen tallennusinfrastruktuuri: Tämän tekstin laatimispäivänä ei ole teknisesti vahvistettu, tallennetaanko ennakkokäyttö-/yhteydenottolomakkeen tiedot lopulta vain Framerin omaan lomakeinfrastruktuuriin vai siirretäänkö ne myös Corentan Supabase-pohjaiseen tietokantaan (ks. osa B, B.5 – Supabase, Frankfurt/Saksa). Kun asia vahvistetaan, tämä taulukko päivitetään tarvittaessa Supabase-rivillä; joka tapauksessa lomaketietojasi käsitellään vain tässä osassa A kuvattuihin tarkoituksiin ja KVKK:n mukaisesti.

Näiden jakamisten lisäksi henkilötietojasi ei myydä, vuokrata eikä luovuteta kolmansille osapuolille markkinointitarkoituksiin. Lakisääteiset pakkotilanteet (tuomioistuimen päätös, toimivaltaisen viranomaisen pyyntö ym.) ovat poikkeus tästä säännöstä.

Siirto ulkomaille: Framer ja Google Workspace käsittelevät tietoja Turkin ulkopuolella; tämä on lain nro 6698 tarkoittamaa siirtoa ulkomaille. Koska siirrot ovat säännöllisiä ja jatkuvia, ne eivät perustu nimenomaiseen suostumukseen; ne perustuvat johonkin KVKK:n 5 artiklan käsittelyedellytyksistä sekä art. 9/4-c:n mukaisesti Henkilötietojen suojelulautakunnan (Kişisel Verileri Koruma Kurulu, "Kurul") julkaisemiin vakiosopimuksiin. Tämän tekstin päivämääränä vakiosopimuksia ei ole vielä allekirjoitettu toimittajien kanssa eikä niistä ole ilmoitettu Kurulille. Jokaisesta sopimuksesta ilmoitetaan Kurulille 5 työpäivän kuluessa allekirjoituksesta, ja tämä kohta päivitetään toimittaja- ja päivämääräluettelolla. Kurul ei ole antanut näitä maita koskevaa tietosuojan riittävyyttä koskevaa päätöstä (viimeksi tarkistettu: 11. lokakuuta 2026).

A.6. Säilytysaika

Henkilötietojasi säilytetään niin kauan kuin kyseinen käsittelytarkoitus edellyttää, ja joka tapauksessa sovellettavan lainsäädännön vanhentumisaikoja rajoittamatta:

• Ennakkokäyttöhakemukset: Enintään 2 vuotta hakemuksen arvioinnista ja yhteydenpidon päättymisestä; jos yhteyttä ei oteta tai prosessi päättyy tämän ajan kuluessa, tiedot poistetaan/anonymisoidaan aikaisemmin. Läpinäkyvyyshuomautus: Tämän tekstin laatimispäivänä järjestelmässä ei ole tätä enimmäisaikaa vastaavaa automaattisesti toimivaa tarkistus-/poistomekanismia; aika on oikeudellinen yläraja, ja poistaminen/anonymisointi tehdään tällä hetkellä manuaalisesti/pyynnöstä.
• Yhteydenpitotiedot: Kunnes yhteydenpidon tarkoitus on päättynyt.
• Analytiikka-/tekniset lokitiedot: Käytetyn työkalun/infrastruktuurin oletus-/sallitun säilytysajan verran.
• Oikeudellisia riitoja ja velvoitteita koskevat tiedot: Sovellettavan lainsäädännön edellyttämän vähimmäisajan.

Säilytysajan päätyttyä henkilötiedot poistetaan, tuhotaan tai anonymisoidaan KVKK art. 7:n ja henkilötietojen poistamisesta, tuhoamisesta tai anonymisoinnista annetun asetuksen mukaisesti. Yksityiskohtainen säilytysaikataulukko ja hävittämismenetelmät: veri-saklama-imha-politikasi.md (osa 4, rivi 9).

A.7. Informointi ennakkokäyttölomakkeessa ja suostumus kaupallisiin viesteihin

Hakemuksesi käsittely ei perustu suostumukseen vaan A.3:n oikeusperusteisiin. Siksi lomakkeessa ei ole informoinnin hyväksyntäruutua; informointi ja suostumus pidetään erillään.

Informointi (ei hyväksyntäruutua): Heti Lähetä-painikkeen yläpuolella näytetään seuraava teksti ja linkki tähän informointitekstiin:

"Tietojasi käsitellään hakemuksesi arvioimiseksi ja sinuun yhteyden ottamiseksi (KVKK art. 5/2-c, f). Lisätietoja: Informointiteksti."

Vapaaehtoinen suostumus kaupallisiin viesteihin (erillinen ruutu, oletuksena EI VALITTUNA):

"Annan suostumukseni siihen, että Teta Studio lähettää minulle Corentan tiedotteita ja kampanjoita sähköpostitse."

Jos suostumusta kaupallisiin viesteihin ei anneta, se ei vaikuta hakemuksen arviointiin. Teta Studio ei lähetä markkinointisähköposteja rekisteröitymättä İleti Yönetim Sistemiin (İYS); rekisteröitymisen jälkeen suostumukset ladataan İYS:ään 3 työpäivän kuluessa. Suostumuksen voi peruuttaa jokaisen viestin peruutuslinkillä.

A.8. Rekisteröidyn oikeudet (KVKK art. 11) ja pyynnön esittäminen

KVKK:n 11 artiklan mukaan jokaisella rekisteröidyllä, jonka henkilötietoja käsitellään, on rekisterinpitäjään yhteyttä ottamalla seuraavat oikeudet:

a) saada tietää, käsitelläänkö henkilötietoja, b) pyytää tietoja, jos henkilötietoja on käsitelty, c) saada tietää henkilötietojen käsittelyn tarkoitus ja se, käytetäänkö niitä tarkoituksensa mukaisesti, ç) tietää ne kolmannet osapuolet kotimaassa tai ulkomailla, joille henkilötietoja on siirretty, d) vaatia henkilötietojen oikaisemista, jos niitä on käsitelty puutteellisesti tai virheellisesti, e) vaatia henkilötietojen poistamista tai tuhoamista KVKK art. 7:ssä säädettyjen edellytysten puitteissa, f) vaatia, että (d)- ja (e)-kohdan mukaisista toimista ilmoitetaan niille kolmansille osapuolille, joille henkilötietoja on siirretty, g) vastustaa henkilölle haitallista tulosta, joka syntyy siten, että käsitellyt tiedot analysoidaan yksinomaan automaattisten järjestelmien avulla, ğ) vaatia vahingon korvaamista, jos henkilö on kärsinyt vahinkoa henkilötietojen lainvastaisen käsittelyn vuoksi.

Lisäksi suostumukseen perustuvan käsittelyn (kaupalliset sähköiset viestit) osalta annettu suostumus voidaan KVKK art. 11:n yleisistä oikeuksista riippumatta peruuttaa milloin tahansa ja perusteluja esittämättä. Suostumuksen peruuttaminen ei vaikuta ennen peruuttamista tapahtuneen käsittelyn lainmukaisuuteen.

Pyynnön esittäminen: Voit käyttää edellä mainittuja oikeuksiasi lähettämällä pyyntösi kirjallisesti osoitteeseen hello@corenta.app henkilöllisyytesi todentamiseen tarvittavien tietojen kanssa KVKK:n 13 artiklassa ja rekisterinpitäjälle esitettävien pyyntöjen menettelyjä ja periaatteita koskevassa tiedonannossa säädetyllä tavalla. Pyyntösi käsitellään niiden luonteesta riippuen viimeistään 30 (kolmenkymmenen) päivän kuluessa maksutta menetelmillä, jotka eivät aiheuta lisäkustannuksia; jos toimenpide aiheuttaa lisäkustannuksia, voidaan periä Henkilötietojen suojelulautakunnan vahvistaman taksan mukainen maksu.

OSA B – CORENTA-SaaS-TUOTTEEN KÄYTTÖ KLINIKOILLA

Tätä osaa sovelletaan klinikan henkilöstöön (ylläpitäjä, ammattilainen/ohjaaja, vastaanotto ym.), joka käyttää Corentaa kliinisen pilateksen, fysioterapian, reformerin, hyvinvoinnin/hieronnan tai joogan keskuksen ("klinikka") kautta, sekä näiden klinikoiden asiakkaisiin/potilaisiin.

B.1. Roolijaon oikeudellinen perusta – lue huolellisesti

Corentan hankkinut ja käyttöön ottanut klinikka on KVKK art. 3/ı:n mukainen "rekisterinpitäjä" omien asiakkaidensa/potilaidensa ja oman henkilöstönsä henkilötietojen osalta. KVKK:n mukainen velvollisuus informoida asiakkaita/potilaita ja henkilöstöä sekä tarvittaessa pyytää nimenomaiset suostumukset (erityisesti suostumus terveystietoja koskevien erityisten henkilötietoryhmien käsittelyyn) on ensisijaisesti ja viime kädessä klinikan vastuulla.

Teta Studio (Corenta) on KVKK art. 3/ğ:n mukaan vain henkilötietojen käsittelijä. Teta Studio käsittelee näitä tietoja klinikan ohjeiden mukaisesti ja klinikan puolesta yksinomaan tarjoamalla alustan teknisen infrastruktuurin; se ei määritä omissa nimissään itsenäisiä käsittelytarkoituksia eikä käsittele tietoja klinikan ohjeiden ulkopuolella omiin kaupallisiin tarkoituksiinsa (mainonta, myynti kolmansille osapuolille ym.). Teta Studion omiin tarkoituksiinsa suorittama käsittely (klinikan käyttäjätilit, tilaus, palvelusähköpostit, Löydä-/arvostelukutsu ja arvostelut, tietoturva ja pseudonymisoitu tuotemittaus) ei kuulu tähän osaan B vaan osaan C; näissä toiminnoissa Teta Studio on rekisterinpitäjä.

Corenta-tuote tarjoaa välineitä, jotka teknisesti helpottavat näiden velvollisuuksien täyttämistä klinikalle (suostumusnäkymä mobiilisovelluksessa, versioidut suostumustallenteet, peruutusmekanismi ym. – ks. B.2). Näiden välineiden olemassaolo ei tarkoita, että klinikka olisi siirtänyt rekisterinpitäjän asemasta johtuvat oikeudelliset velvollisuutensa Teta Studiolle tai että Teta Studio olisi ottanut nämä velvollisuudet vastatakseen.

Klinikan ja Teta Studion välistä käsittelijäsuhdetta säännellään erillisellä henkilötietojen käsittelysopimuksella (Data Processing Agreement/DPA); sopimuksessa eritellään käsiteltävät tietoryhmät, käsittelyn tarkoitukset, turvatoimet, alikäsittelijöiden käyttö sekä osapuolten velvollisuudet KVKK art. 12:n mukaisesti.

Tämä osa B ei korvaa eikä ole korvike informointitekstille, jonka klinikka antaa omille asiakkailleen/henkilöstölleen. Tämän osan tarkoituksena on kertoa läpinäkyvästi, mitä tietoja Teta Studio käsittelee alustalla henkilötietojen käsittelijänä ja mihin tarkoituksiin, sekä tarjota kehys, johon klinikka voi viitata laatiessaan omaa informointitekstiään. Jos klinikka ei pidä Corentan mobiilisovelluksen yhteistä/keskitettyä informointinäkymää ja vapaaehtoisia suostumusnäkymiä (ks. B.2) riittävinä, se voi omin keinoin (kirjallinen teksti, sähköposti, kasvokkain annettava tieto ym.) toteuttaa erikseen täydentävän/oman informointiprosessin asiakkailleen ja henkilöstölleen; tämä kuuluu klinikan omaan oikeudelliseen vastuuseen.

B.2. Alustan sisäinen informointi- ja suostumusmekanismi (tiedoksi)

Corentan mobiilisovelluksessa on ensimmäisen käytön (onboarding) vaiheessa Teta Studion laatima näkymä (kvkk.tsx), joka näytetään yhteisesti kaikkien klinikoiden asiakkaille/käyttäjille. Kurulin periaatepäätöksen nro 2026/347 mukaisesti informointi ja suostumus näytetään erillisissä vaiheissa:

Tallenteet säilytetään versioituina taulussa consent_logs. Tekninen huomautus: informoinnin näyttäminen tallennetaan nykyisin tähän tauluun tyypillä kvkk; tämä tallenne ei ole suostumus vaan kuittaus siitä, että informointi on näytetty ja luettu. Käyttöjärjestelmän yhtä ilmoituslupaa käytetään sekä palvelu- että kampanjailmoitusten toimittamiseen; kampanjailmoituksia saa lähettää vain, jos lupa 2b on annettu.

Tätä näkymää ja näitä tekstejä ei ole eriytetty klinikkakohtaisesti, vaan ne tarjotaan koko alustalle yhteisenä versiona; klinikan tunnistetietoja (nimi, osoite, pyyntöjen yhteystiedot) ei nykyisin lisätä tekstiin automaattisesti. Kun informointitekstin versio muuttuu, käyttäjää pyydetään seuraavalla kirjautumiskerralla vahvistamaan, että hän on lukenut uuden tekstin (tämäkään ei ole suostumus). Terveystietoja koskevan suostumuksen ja kampanjaluvan voi peruuttaa milloin tahansa (seurataan kentällä revoked_at); terveystietoja koskevan suostumuksen peruuttaminen ei vaikuta ajanvarausten ja tilin käyttöön.

Jos klinikka vaitiolovelvollisena terveydenhuollon ammattihenkilönä (esim. fysioterapeuttina) käsittelee terveystietoja hoitotarkoituksessa KVKK art. 6/3-e:n perusteella, pelkkä informointi voi riittää nimenomaisen suostumuksen näkymän sijaan; muut yritykset (esim. pilates-/hyvinvointistudiot) voivat käsitellä terveystietoja vain art. 6/3-a:n mukaisen vapaaehtoisen nimenomaisen suostumuksen perusteella. Se, mihin oikeusperusteeseen nojataan ja soveltuuko informoinnin sisältö omaan toimintaan, on klinikan vastuulla.

B.3. Tietoryhmät, joita Teta Studio käsittelee henkilötietojen käsittelijänä

Alustan teknisen toiminnan vuoksi seuraavia tietoryhmiä käsitellään klinikan ohjeiden mukaisesti:

Oikeus kirjoittaa terveyskenttiin (4. lokakuuta 2026 alkaen): Asiakkaan terveyskenttiin (veriryhmä, allergiat, krooniset sairaudet, lääkitys) voivat kirjoittaa vain asiakas itse ja hänelle osoitettu ammattilainen; yrityksen omistaja/ylläpitäjä ei voi kirjoittaa näihin kenttiin (mutta voi muokata hätäyhteyshenkilöä ja tunnistekenttiä).

Pseudonymisoitu tuotemittaus: Tässä toiminnossa Teta Studio on rekisterinpitäjä, ja tarkemmat tiedot ovat osassa C. Mittaus tehdään klinikan pseudonyymillä tunnisteella; tämä tunniste on pseudonyymi (ei tunnisteeton). Ominaisuus ei ole tällä hetkellä käytössä.

Kuittitiedostot (4. lokakuuta 2026 alkaen): Kuittitiedostot, joita ei ole liitetty maksuun (orvot), poistetaan automaattisesti 7 päivän kuluttua; maksuun liitettyä kuittia ei voi poistaa millään roolilla.

Mobiilisovelluksen lupia koskeva avoimuus (18. lokakuuta 2026 alkaen): Corentan mobiilisovellus pyytää käyttöjärjestelmätasolla vain ilmoituslupaa (kysytään asiayhteydessä) ja iOS:ssä pääsyä kuvakirjastoon (sillä hetkellä, kun valitaan profiilikuva, esitietojen liite, maksukuitti, tiedotteen kuva tai studiovideo); jos sovelluslukitus on käytössä, laitteen Face ID-/sormenjälkitunnistusta käytetään laitteen sisällä, eikä biometrisiä tietoja välitetä Corentalle. Androidissa kamera- ja mikrofoniluvat on tietoisesti poistettu sovelluksen manifestista. Sovellus ei pyydä kamera-, mikrofoni-, sijainti-, yhteystieto- (contacts) tai kalenterilupaa eikä pääsyä HealthKitiin/terveysantureihin. Löydä-kartta ei käytä laitteen sijaintia; haku tehdään vain käyttäjän valitseman maakunnan/alueen tai kartta-alueen perusteella.

Erityisiin henkilötietoryhmiin kuuluvia tietoja (terveystietoja) voidaan KVKK art. 6:n mukaan käsitellä vain nimenomaisella suostumuksella tai laissa säädetyissä poikkeustapauksissa (kun käsittelyn suorittavat vaitiolovelvolliset henkilöt kansanterveyden suojelemiseksi, ennaltaehkäisevää terveydenhuoltoa, lääketieteellistä diagnoosia/hoitoa, terveyspalvelujen suunnittelua ja rahoitusta varten ym.). Corentan ekosysteemissä nämä tiedot syöttävät klinikan valtuutetut terveys-/hyvinvointiammattilaiset sen oikeusperusteen mukaisesti, johon klinikka nojaa (art. 6/3-a:n mukainen vapaaehtoinen nimenomainen suostumus tai art. 6/3-e); Teta Studio säilyttää/käsittelee näitä tietoja vain klinikan ohjeiden mukaisesti ja suojaa niitä tehostetuin turvatoimin (ks. B.6).

Säilytysaika ja hävittämismenetelmä – ristiviittaus: Kunkin edellä mainitun tietoryhmän säilytysaika ja tilin poistopyynnön jälkeen sovellettava menetelmä (pysyvä poistaminen tai anonymisointi) on tiivistetty kohdassa B.8/a, ja ne selitetään taulukkoineen ja perusteluineen asiakirjassa veri-saklama-imha-politikasi.md (osat 4–6). Erityisesti rivit Terveystiedot, Tapahtuma-/taloustiedot ja Informointi- ja lupatallenteet: tilin pysyvän poiston vaiheessa näitä tietueita ei poisteta DELETE-komennolla; yhteys henkilöön katkaistaan ja tietyt vapaatekstikentät tyhjennetään. Koska tuntimuistiinpanojen vapaata tekstiä ei muuteta, näitä tietueita ei kaikissa tilanteissa pidetä anonyymeinä; niitä säilytetään rajoitetuin käyttöoikeuksin (ks. B.8/a).

B.3-A. Yhteisö- ja kasvuominaisuudet – suhde terveystietoihin (18. lokakuuta 2026 alkaen)

Terveystiedot kuuluvat KVKK art. 6:n tarkoittamiin erityisiin henkilötietoryhmiin. Seuraavia ominaisuuksia ei ole suunniteltu terveystietojen käsittelyyn; kunkin osalta on kuvattu erikseen, miten terveystietoja käsitellään:

Terveyspalveluja tarjoavilla klinikoilla, kuten fysioterapiassa, asiakkaan osallistuminen tunnille tai ryhmään voi osoittaa, että henkilö saa terveyspalveluja. Siksi päätös siitä, käytetäänkö näitä ominaisuuksia ja miten asiakkaille kerrotaan niistä, kuuluu klinikalle rekisterinpitäjänä. Klinikan ryhmät (group_chats) ja haasteet (leagues) ovat erillisiä moduuleja, ja ne on suunniteltu siten, että ne voidaan poistaa käytöstä klinikkakohtaisesti.

B.4. Käsittelyn tarkoitukset ja oikeusperusteet

Alla olevan taulukon oikeusperusteilla voi tietojen luonteesta riippuen olla kaksi eri merkitystä: (i) oikeusperuste, johon klinikka (rekisterinpitäjänä) nojaa suhteessa asiakkaaseensa/henkilöstöönsä, tai (ii) oikeusperuste, jota sovelletaan Teta Studion omiin itsenäisiin toimintoihin (kuten alustan tietoturva, laskutus ja lakisääteiset velvoitteet). Koska Teta Studio ei määritä itsenäisesti "käsittelyn tarkoitusta" (ks. B.1), erityisesti erityisiä henkilötietoryhmiä koskevaa riviä on luettava klinikan oikeusperustetta kuvaavana:

B.5. Henkilötietojen siirtäminen (kotimaassa ja ulkomaille)

Alustan toiminnan edellyttämällä tavalla henkilötietoja jaetaan rajoitetusti ja teknisesti välttämättömässä laajuudessa seuraavien alikäsittelijöiden (sub-processor) kanssa:

Muita infrastruktuuria koskevia huomautuksia:

• Sähköpostiinfrastruktuuri: Palvelusähköpostit (kokeilujakso, tiimikutsu, tuen vastaukset) lähetetään SMTP:llä Google Workspacen (Google) kautta; tunnistautumissähköpostit (sähköpostin vahvistus, salasanan palautus) käynnistää Supabase Auth. Markkinointisähköposteja lähetetään vain erillisellä suostumuksella ja İYS-rekisteröinnin edellytyksellä (ks. osa C). Push-ilmoitukset välitetään Applen (APNs) ja Googlen (FCM) kautta.
• Analytiikkatyökalu: Kolmannen osapuolen analytiikkatyökalua (esim. Google Analytics) ei käytetä. Sovelluksen sisäinen tuotteen käytön mittaus ei ole tällä hetkellä käytössä; jos se otetaan käyttöön, mittaus kirjoitetaan Corentan omassa tietokannassa (Supabase, Frankfurt/Saksa) olevaan ensimmäisen osapuolen tauluun, se ei sisällä terveystietoja eikä vapaata tekstiä, ja tämä teksti päivitetään ennen käyttöönottoa.
• Virheiden seuranta: Kolmannen osapuolen virheseurantatyökalua ei käytetä; asiakasohjelman virheet tallennetaan Corentan omaan tietokantaan (Supabase).
• Viestien reaaliaikainen välitys ja videot (18. lokakuuta 2026 alkaen): Yksityis- ja ryhmäviestit välitetään Supabasen reaaliaikaisen välityksen palvelulla (Realtime) vain valtuutetuille käyttäjille; studiovideot säilytetään Supabasen tiedostovarastossa. Nämä kuuluvat Supabase-rivin (nro 1) piiriin; uutta alikäsittelijää ei ole lisätty.
• Luottokorttimaksu verkossa: Ei tällä hetkellä tueta; kaikki tilausmaksut hoidetaan yksinomaan Applen/Googlen sovelluksen sisäisten ostojen (IAP) mekanismin kautta.

Siirto ulkomaille: Tietojasi käsitellään Turkin ulkopuolella olevien palveluntarjoajien avulla: Supabase (tietokanta, tunnistautuminen ja tiedostojen tallennus; tiedot säilytetään Saksassa/Frankfurtissa), Vercel (verkkopaneelin ylläpito; maailmanlaajuinen infrastruktuuri), Google (Google Workspace -sähköposti ja Firebase Cloud Messaging -ilmoitukset; maailmanlaajuinen) ja Apple (ilmoitukset ja kauppa; maailmanlaajuinen). Myös tietojen säilyttäminen Saksassa on lain nro 6698 tarkoittamaa siirtoa ulkomaille. Koska siirrot ovat säännöllisiä ja jatkuvia, ne eivät perustu nimenomaiseen suostumukseen; ne perustuvat johonkin KVKK:n 5 ja 6 artiklan käsittelyedellytyksistä sekä art. 9/4-c:n mukaisesti Henkilötietojen suojelulautakunnan (Kurul) julkaisemiin vakiosopimuksiin. Teta Studio allekirjoittaa henkilötietojen käsittelijänä jokaisen alikäsittelijän kanssa moduulin 3 (käsittelijältä käsittelijälle) vakiosopimuksen ja ilmoittaa siitä Kurulille 5 työpäivän kuluessa allekirjoituksesta. Tämän tekstin päivämääränä vakiosopimuksia ei ole vielä allekirjoitettu eikä niistä ole ilmoitettu Kurulille; kun allekirjoitus ja ilmoitus on tehty, tämä kohta päivitetään toimittaja- ja päivämääräluettelolla. Kurul ei ole antanut näitä maita koskevaa tietosuojan riittävyyttä koskevaa päätöstä (viimeksi tarkistettu: 11. lokakuuta 2026). Klinikka mainitsee nämä siirrot omassa informointitekstissään.

Edellä oleva alikäsittelijäluettelo pidetään lisäksi erikseen ja ajantasaisena klinikan ja Teta Studion välisen DPA:n liitteenä; klinikalle ilmoitetaan alikäsittelijäluettelon muutoksista DPA:ssa sovitulla menettelyllä. Henkilötietoja voidaan luovuttaa lakisääteisesti toimivaltaisille viranomaisille ja julkisyhteisöille vain sovellettavassa lainsäädännössä säädetyissä tapauksissa ja pyynnön edellyttämässä laajuudessa; Teta Studio ei missään tapauksessa myy eikä vuokraa käsittelemiään henkilötietoja kolmansille osapuolille kaupallisiin tarkoituksiin.

B.6. Turvatoimet

Teta Studio toteuttaa seuraavat tekniset ja hallinnolliset toimenpiteet henkilötietojen käsittelijänä käsittelemiensä henkilötietojen turvallisuuden varmistamiseksi:

• Vuokralaisten eristäminen (multi-tenant isolation): Kaikki alustan tietotaulut on eroteltu kentällä tenant_id, ja niitä suojataan kattavilla rivitason suojauksen (Row Level Security/RLS) käytännöillä oletusarvoisen epäämisen (default-deny) periaatteella; yhden klinikan pääsy toisen klinikan tietoihin on teknisesti estetty.
• Terveystietoihin pääsyn rajoittaminen: Esitietolomakkeisiin, tuntimuistiinpanoihin ja mittaustietoihin pääsevät RLS-tasolla vain asianomainen asiakas, asiakkaalle osoitettu ammattilainen ja klinikan valtuutettu ylläpitäjä; tuntimuistiinpanot, jotka ammattilainen on merkinnyt "tiimin kanssa jaetuiksi", näkevät myös klinikan muut ammattilaiset. Henkilöstön pääsy on mahdollinen, kun kyseinen terveysmoduuli (esitiedot, mittaus, tuntimuistiinpano) on käytössä.
• Muuttumattomuus (append-only): Lähetetyt tuntimuistiinpanot (kun kenttä submitted_at on täytetty) on suojattu tietokantatasolla niin, ettei niitä voi päivittää eikä poistaa; myöskään esitietolomakkeille ei ole määritetty poisto-oikeutta (DELETE) millekään käyttäjäroolille (ei myöskään klinikan ylläpitäjälle). Ainoa ja kapea poikkeus: tilin pysyvän poiston prosessissa (ks. B.8/a) vain etuoikeutettu taustaprosessi (service-role) voi tuntimuistiinpanon SISÄLTÖÖN koskematta asettaa tietokantatasolla vain henkilöön yhdistävät sarakkeet (client_id/specialist_id) arvoon NULL; tämä ei riko append-only-periaatetta – kyse on yhteen tarkoitukseen rajatusta siirtymästä, joka täyttää KVKK:n mukaisen velvollisuuden katkaista yhteys henkilöön (anonymisointi) (lisätietoja: veri-saklama-imha-politikasi.md osa 6.2).
• Pääylläpitäjän tukitilan (impersonation) rajoitukset: Teknistä tukea varten käytettävä pääylläpitäjän käyttötila on aikarajoitettu (30 minuuttia) ja oletuksena vain luku -tilassa; kirjoitustoiminnot ja pääsy terveystietoihin voidaan avata erillisillä, lisähyväksyntää vaativilla vaiheilla (lippu health_data_enabled); terveystietotauluihin ei anneta kirjoitusoikeutta missään impersonation-tilanteessa – rajoitus on toteutettu tietokantakäytännöissä poikkeuksetta.
• Siirron turvallisuus: Tiedot salataan siirron aikana TLS:llä.
• Tallennus laitteelle: Mobiilisovelluksessa istuntotunnisteet säilytetään salattuina laitteen suojatussa, laitteistotuetussa avainnipussa (iOS Keychainiin/Android Keystoreen perustuva expo-secure-store).
• Arkaluonteisten näkymien suojaus: Terveystietoja sisältävissä mobiilinäkymissä kuvakaappaukset ja näytön tallennus on estetty (iOS:n näytön tallennuksen/kuvakaappauksen esto; Androidin FLAG_SECURE).
• Ylläpitäjätilien turvallisuus: Alustan ylläpitäjien (pääylläpitäjien) tilit edellyttävät kaksivaiheista tunnistautumista (MFA, AAL2).
• Maksujen eheys: Sovelluskauppojen (Apple/Google) maksuilmoituksille (webhook) on käytössä kryptografisen allekirjoituksen varmennuksen infrastruktuuri; tämän määrityksen täydellinen viimeistely tuotantoympäristössä kaikille toimittajille ja jatkuva parantaminen on käynnissä.

Edellä mainituista toimenpiteistä huolimatta todetaan nimenomaisesti, ettei minkään tietojärjestelmän ehdotonta turvallisuutta voida taata. Toimenpiteitä tarkastellaan ja parannetaan jatkuvasti osana henkilötietojen käsittelijän KVKK art. 12:n mukaisia velvollisuuksia. Kun Teta Studio saa henkilötietojen käsittelijänä tiedon tietoturvaloukkauksesta, se ilmoittaa siitä klinikalle viipymättä ja viimeistään 24 tunnin kuluessa (Kurul 2019/10). Ilmoittaminen Kurulille ja rekisteröidyille on klinikan velvollisuus rekisterinpitäjänä. Niiden tietojen osalta, joiden rekisterinpitäjä Teta Studio on (osat A ja C), Teta Studio tekee ilmoituksen Kurulille 72 tunnin kuluessa.

B.7. Lisätietoja pääylläpitäjän tukitilasta (impersonation)

Teta Studion valtuutettu tukihenkilöstö voi klinikalta tulevien teknisen tuen pyyntöjen yhteydessä päästä tilapäisesti klinikan tilille rajoitetun ja tarkastettavissa olevan "tukitilan" avulla. Tämä pääsy:

• on rajoitettu enintään 30 minuuttiin ja päättyy automaattisesti ajan kuluttua,
• on oletuksena vain luku -tilassa (read-only),
• kirjoitusoikeus ja pääsy terveystietoihin voidaan avata toisistaan erillisillä, lisähyväksyntää vaativilla vaiheilla; kirjoitusoikeutta terveystietotauluihin ei anneta missään olosuhteissa,
• kirjataan lokiin ja on tarkastuslokin piirissä.

Asiakkaan yhteystiedot tukitilassa (4. lokakuuta 2026 alkaen): Corentan tukiistunnossa (pääylläpitäjä) asiakkaan sähköpostiosoitetta ja puhelinnumeroa ei näytetä tukihenkilöstölle; tukihenkilöstö näkee vain rajoitetun tunnistetiivistelmän (nimi, tilin tila, aktiivisuus, luontipäivä).

B.8. Henkilötietojen säilytysaika ja rekisteröidyn oikeuksien toteuttamistapa

Henkilötietoja säilytetään niin kauan kuin kyseinen tarkoitus edellyttää ja sovellettavassa lainsäädännössä säädettyjen lakisääteisten säilytysaikojen ajan. Seuraavia oikeuksia käytetään KVKK art. 11:n mukaan ensisijaisesti rekisterinpitäjänä toimivaa klinikkaa kohtaan. Teta Studio huolehtii henkilötietojen käsittelijänä näiden oikeuksien teknisestä toteuttamisesta klinikan pyynnöstä. Alustalla tarjottavat konkreettiset mekanismit ovat seuraavat:

a) Oikeus tietojen poistamiseen: Tilin poistaminen (4. lokakuuta 2026 alkaen): Kun poistopyyntö on vahvistettu, pääsy tilille estetään heti (istunnot päätetään, kirjautuminen ei ole mahdollista); henkilötiedot poistetaan tai anonymisoidaan (nimi, sähköpostiosoite, puhelinnumero, kuva sekä asiakkaan tunniste-/yhteystiedot ja terveyskentät – veriryhmä, allergiat, krooniset sairaudet, lääkitys – tyhjennetään); lakisääteisesti säilytettäviä maksu- ja palkkiotietoja ei poisteta; ne säilytetään rajoitetuin käyttöoikeuksin niin, että yhteys henkilöön on katkaistu. Pyynnön jälkeen ei ole peruutusaikaa; tunnistautumistietueen ja tiedostojen pysyvä poisto viedään loppuun nykyisessä kolmenkymmenen päivän taustaprosessissa.

Asiakastietueen poistaminen ja terveyskentät (4. lokakuuta 2026 alkaen): Kun yritys poistaa asiakastietueen, jolla ei ole tiliä, tietue poistetaan heti aktiivisesta luettelosta; 30 päivän kuluttua asiakkaan terveyskentät (veriryhmä, allergiat, krooniset sairaudet, lääkitys) poistetaan/tyhjennetään yhdessä tunniste- ja yhteystietojen kanssa. Tämä määräys ei vaikuta esitietolomakkeiden, mittausten ja tuntimuistiinpanojen säilytyssääntöihin.

Ryhmäviestit ja yhteisötiedot (18. lokakuuta 2026 alkaen): Jäsen voi poistaa oman ryhmäviestinsä milloin tahansa; poistetun viestin teksti poistetaan tietueesta. Kun tili poistetaan pysyvästi, ryhmäjäsenyys, yhdistettyjen laitteiden tiedot ja ammattilaisen profiilikortit poistetaan; haasteeseen osallistuminen on sidottu asiakastietueeseen, ja siihen sovelletaan samaa sääntöä kuin asiakastietueeseen; ryhmään aiemmin lähetettyjen viestien teksti sen sijaan jää ryhmään ilman lähettäjätietoja. Siksi käyttäjä, joka haluaa poistaa viestinsä, voi poistaa ne yksitellen ennen tilin poistamista. Tiimin piilottaman viestin teksti säilytetään erikseen tiimin tarkastusta varten. Ryhmäviestien ja tämän kopion säilytysajat ovat asiakirjan veri-saklama-imha-politikasi.md osan 4 rivillä 12; kopiota säilytetään enintään 1 vuoden. Ryhmä-, haaste-, merkki- ja kanta-asiakastiedot eivät nykyisin sisälly "Lataa tietoni" -vientiin; näitä tietoja koskevan tietopyynnön voi osoittaa klinikalle tai osoitteeseen hello@corenta.app.

Kun käyttäjä pyytää tilin poistamista sovelluksessa (funktio delete_my_account), järjestelmä soveltaa kaksivaiheista poistoarkkitehtuuria. Alla oleva yhteenveto on rehellinen ja teknisesti varmennettu kuvaus kunkin tietoryhmän osalta sovellettavasta menetelmästä (pysyvä poisto vai anonymisointi); täydelliset tiedot ja taulukko: veri-saklama-imha-politikasi.md (erityisesti osat 4–6).

• Vaihe 1 – pyynnön hetki: Pääsy tilille estetään heti (peruutusaikaa ei ole); profiili passivoidaan, tunniste- ja terveyskentät tyhjennetään, odottavat ajanvaraukset perutaan, osoitukset poistetaan ja annetut suostumukset peruutetaan.
• Vaihe 2 – pysyvä käsittely 30 päivän kuluttua: 30 päivää ensimmäisen vaiheen jälkeen suoritetaan käsittely, jonka käynnistää peruuttamattomasti vain etuoikeutettu (service-role) taustatehtävä (cron) ja jota sovelletaan tietoryhmän mukaan kahdella eri menetelmällä; käsittelyä ei voi käynnistää manuaalisesti/hallinnollisesti eikä aikaistaa tai lykätä:
• Käyttäjän tunnistautumistietue (auth.users) ja tietueet, joilla ei ole itsenäistä liiketoiminta-/todistusarvoa (esim. ilmoitukset, notifications), poistetaan pysyvästi (DELETE/cascade).
• Terveystietoja (esitietolomakkeet, tuntimuistiinpanot, mittaukset) sekä klinikka-/taloustietoja (maksut, läsnäolo) EI POISTETA DELETE-komennolla – NE SÄILYTETÄÄN RAJOITETUSTI YHTEYS HENKILÖÖN KATKAISTUNA: henkilöön yhdistävä tieto (kuten client_id/specialist_id) katkaistaan tietokantatasolla (ON DELETE SET NULL); tietyt vapaatekstikentät (esitietovastaukset, mittaus-/maksumuistiinpanot, hyvityksen peruste, kuittiviite) tyhjennetään tai korvataan merkinnällä. Tuntimuistiinpanojen vapaata tekstiä ei muuteta; koska tähän tekstiin ja päivämäärä-/mittaussarjojen kaltaisiin tietoihin voi jäädä henkilön uudelleentunnistamiseen riittävää tietoa, näitä tietueita ei pidetä anonyymeinä. Tietueita säilytetään rajoitetuin käyttöoikeuksin klinikan kirjanpitovelvollisuuden ajan, ja ne hävitetään ajan päätyttyä; tuntimuistiinpanojen append-only-periaate säilyy näin.
• Suostumustallenteita (consent_logs) ei myöskään poisteta DELETE-komennolla; yhteys henkilöön katkaistaan ja IP-osoite tyhjennetään, mutta niitä säilytetään suostumuksen antamisen/peruuttamisen todistamiseksi (tyyppi-, versio- ja aikatiedon kanssa) yhteys henkilöön katkaistuna todistetietueena vielä 5 vuotta (KVKK art. 5/2-e – oikeuden perustaminen ja suojaaminen; nimenomaisen suostumuksen todistustaakka on rekisterinpitäjällä).
• Liitetiedostot: Käyttäjän avatar/profiilikuva, esitietojen liitteet ja maksukuittien kuvat (Storagen bucketit avatars, anamnesis-attachments, user-data-exports ja payment-receipts) poistetaan automaattisesti (best-effort) Storagesta osana pysyvän poiston vaihetta – jos poisto jossakin bucketissa epäonnistuu, se kirjataan lokiin, mutta se ei estä muiden bucketien tyhjentämistä eikä tilin käsittelyä. Rehellinen rajaus: Ainoa tämän automaattisen prosessin ulkopuolelle jäävä tiedostoryhmä on ammattilaisen/itsenäisen rekisteröitymisprosessissa ladatut henkilöllisyys-/tutkintotodistusten varmennusasiakirjat (bucket specialist-verification-docs) – nämä asiakirjat liittyvät teknisesti vuokralaisen (klinikan) varmennusprosessiin eivätkä käyttäjään, eivätkä ne tällä hetkellä kuulu automaattisen poiston piiriin; niiden hävittäminen käsitellään erikseen prosessissa, jossa klinikka sulkee tilinsä/tilauksensa vuokralaistasolla, ja siihen asti poikkeuksellisissa pyynnöissä tehdään manuaalinen arvio osoitteen hello@corenta.app kautta.
• Mitään edellä mainituista toimista ei voi käynnistää eikä pysäyttää manuaalisesti tavallisten tuotekäyttöliittymien kautta (ei myöskään hallinnollinen henkilöstö) – tämä on tietoinen tietoturvaratkaisu, jolla estetään virheestä tai väärinkäytöstä johtuva ennenaikainen tai viivästynyt poisto.
• Siksi tässä tekstissä ei anneta ehdotonta sitoumusta siitä, että "tilin poistamisen yhteydessä kaikki tiedot tuhotaan poikkeuksetta ja fyysisesti": vaikka tunnistautumistietue ja tietueet, joilla ei ole itsenäistä liiketoiminta-arvoa, poistetaan pysyvästi, terveys-/klinikka-/taloustietoja ja suostumustallenteita säilytetään edelleen klinikan kirjanpitovelvollisuuden vuoksi (KVKK art. 7/2:n mukaan muiden lakien säilytyssäännökset jäävät voimaan) yhteys henkilöön katkaistuna ja rajoitetuin käyttöoikeuksin (edellä kuvattujen aikojen ajan); nämä tietueet eivät ole anonyymejä; varmuuskopioiden teknisten jäänteiden osalta ks. myös veri-saklama-imha-politikasi.md osa 6.3.
• Pyyntökanavat: Tilin poistopyynnön voi tehdä luotettavimmalla ja suoraan tulokseen johtavalla tavalla sovelluksen itsepalvelutoiminnolla "poista tilini"; tällöin käyttäjä käynnistää toiminnon suoraan, ja edellä kuvattu kaksivaiheinen prosessi etenee automaattisesti (kyse ei ole Teta Studiolle osoitetusta pyynnöstä, vaan käyttäjän itse käynnistämästä automaattisesta järjestelmätoiminnosta). Jos käyttäjä ei jostain syystä voi käyttää sovelluksen toimintoa, hän voi vaihtoehtoisesti lähettää pyyntönsä myös klinikalle tai osoitteeseen hello@corenta.app; tällöin pyyntö arvioidaan ja käsitellään kohtuullisessa ajassa ja tarpeelliseksi katsotussa laajuudessa varmistetaan, että sama poistoprosessi käynnistetään. Tämä poikkeus on poikkeus jäljempänä kohdassa B.9 kuvatusta yleisestä pyyntösäännöstä ("ensin on käännyttävä klinikan puoleen"), ja se johtuu vain siitä, että käyttäjä voi käynnistää sovelluksen itsepalvelutoiminnon suoraan.

b) Tietopyyntö / tietojen siirrettävyys: Alusta tarjoaa toiminnon (export_user_data), jolla käyttäjä voi viedä omat tietonsa. Monivuokralaisrakenteen mukaisesti toiminto sisältää vain asianomaisen käyttäjän oman vuokralaisen (tenant) piiriin kuuluvat tiedot. Tiedot toimitetaan kohtuullisessa ajassa jäsennellyssä ja koneellisesti luettavassa muodossa (JSON). Kun tiedosto voidaan valmistella, tiedot koostetaan myös ZIP-muotoon ja toimitetaan 7 päivää voimassa olevan henkilökohtaisen (allekirjoitetun) linkin kautta; jos ZIP-tiedostoa ei voida valmistella, toimitetaan vain JSON-tuloste.

c) Oikeus tietojen oikaisemiseen: Käyttäjätietojen päivittäminen on teknisesti mahdollista klinikan hallintapaneelista. Alustalla ei lisäksi ole automatisoitua, erillistä "oikaisupyynnön" työnkulkua; oikaisupyynnöt voi KVKK art. 11:n yleisten oikeuksien puitteissa osoittaa klinikalle tai Teta Studiolle osoitteeseen hello@corenta.app.

d) Suostumuksen peruuttaminen: Kuittaus informointitekstin lukemisesta ei ole suostumus; se ei muodosta peruutettavaa lupaa. Käyttäjä voi peruuttaa terveystietoja koskevan suostumuksen ja klinikan kampanjailmoituslupansa mobiilisovelluksessa milloin tahansa. Terveystietoja koskevan suostumuksen peruuttaminen ei vaikuta ajanvarausten ja tilin käyttöön; peruuttamisen jälkeen uusia terveystietoja ei tallenneta, ja aiemmat tiedot säilytetään B.8/a:n sääntöjen mukaisesti.

e) Muut art. 11:n oikeudet: Oikeutta saada tietää, käsitelläänkö tietoja, saada tietää niiden tarkoituksenmukaisesta käytöstä, tietää kolmannet osapuolet, joille ne on siirretty, vaatia puutteellisen/virheellisen käsittelyn oikaisemista ja vaatia lainvastaisesta käsittelystä aiheutuneen vahingon korvaamista käytetään ensisijaisesti klinikkaa kohtaan; sisältö vastaa A.8:ssa lueteltua kehystä.

B.9. Pyynnön esittäminen

Klinikan asiakkaiden ja henkilöstön on osoitettava KVKK:n mukaiset pyyntönsä ensisijaisesti omalle klinikalleen; klinikka on rekisterinpitäjänä velvollinen vastaamaan näihin pyyntöihin KVKK art. 13:n menettelyn mukaisesti viimeistään kolmenkymmenen (30) päivän kuluessa. Poikkeus: Sovelluksen itsepalvelumekanismeja, kuten tilin poistamista (ks. B.8/a), käyttäjä voi käyttää suoraan ilman klinikan erillistä myötävaikutusta; muissa KVKK art. 11:n mukaisissa pyynnöissä pääsääntö on, että ensin käännytään klinikan puoleen.

Suoraan Teta Studiolle osoitettavissa teknisissä pyynnöissä (esim. jos tilin poistaminen tai tietojen vientitoiminto ei toimi) tai Teta Studion itse henkilötietojen käsittelijänä harjoittamia toimintoja koskevissa kysymyksissä voi ottaa yhteyttä osoitteeseen hello@corenta.app. Teta Studio voi DPA:n puitteissa ohjata sille tulleet pyynnöt, jotka edellyttävät asianomaisen klinikan tietoa/ohjetta, klinikalle.

B.10. Klinikan velvollisuudet

Jokainen Corentaa käyttävä klinikka hyväksyy olevansa KVKK art. 3/ı:n mukainen rekisterinpitäjä ja että seuraavat velvollisuudet kuuluvat yksinomaan sille:

• KVKK:n mukaisen informointitekstin laatiminen/tarjoaminen omille asiakkailleen ja käyttäjilleen (Corentan mobiilisovelluksen valmis, yhteinen informointinäkymä ja vapaaehtoiset suostumusnäkymät tarjotaan tätä varten teknisenä välineenä, mutta sisällön soveltuvuuden varmistaminen klinikan omaan toimintaan on klinikan vastuulla; klinikka voi tarvittaessa toteuttaa erikseen oman täydentävän informointiprosessinsa B.1:n mukaisesti),
• terveystietojen käsittelyn oikeusperusteen (art. 6/3-a:n mukainen vapaaehtoinen nimenomainen suostumus tai art. 6/3-e) määrittäminen; jos nimenomainen suostumus tarvitaan, sen asianmukainen pyytäminen niin, ettei sitä aseteta palvelun ehdoksi,
• omien tunnistetietojen (nimi, osoite, KVKK-pyyntöjen yhteystiedot) ilmoittaminen asiakkaille (sovelluksen yhteinen teksti ei nykyisin sisällä näitä tietoja automaattisesti),
• rekisterinpitäjillä, joiden päätoimiala on terveystietojen käsittely, VERBIS-poikkeuksen raja on 10 työntekijää vuodessa ja 10 miljoonan TL:n tase (Kurul 2025/1572); oman VERBIS-velvollisuuden arviointi,
• rekisteröityjen pyyntöihin vastaaminen KVKK art. 13:ssa säädetyissä määräajoissa,
• tietoturvan varmistaminen oman henkilöstön ja omien alihankkijoiden osalta,
• Corentan kanssa tehdyssä henkilötietojen käsittelysopimuksessa/palveluehdoissa määrättyjen velvollisuuksien noudattaminen.

Teta Studio ei vastaa siitä, että klinikka ei täytä edellä mainittuja velvollisuuksiaan.

OSA C – CORENTA-TILIÄ JA -ALUSTAA KOSKEVA INFORMOINTI (Teta Studio rekisterinpitäjänä)

Tämä osa kuvaa käsittelyn, jota Teta Studio suorittaa omissa nimissään ja omiin tarkoituksiinsa. Näissä toiminnoissa Teta Studio on KVKK art. 3/1-ı:n mukainen rekisterinpitäjä. Tämä teksti näytetään klinikan omistajan/työntekijän tiliä avattaessa ja kun asiakas käyttää Löydä-/arvosteluominaisuutta ensimmäisen kerran. Seuraavat studioiden väliset ominaisuudet (liiga, kutsu, Perustajastudio, Corenta Lab, Löydä v2) ovat tässä osassa, koska ne yhdistävät useita klinikoita ja niiden tarkoituksen määrittää Teta Studio. Studion nimissä käsiteltävät tiedot eivät ole henkilötietoja, kun yritys on oikeushenkilö; ne kuvataan tässä yksityisinä elinkeinonharjoittajina toimivien ja yhden hengen studioiden osalta, koska ne voidaan yhdistää henkilöön.

C.1. Rekisterinpitäjä

Mertcan Demir – toiminimellä "Teta Studio" toimiva yksityinen elinkeinonharjoittaja (tunniste- ja yhteystiedot: A.1). Pyynnöt: hello@corenta.app.

C.2. Käsittely, tarkoitukset ja oikeusperusteet

Löydä ja arvostelukutsu: Arvostelukutsu lähetetään, jos klinikka on ottanut Löydä-ominaisuuden käyttöön, toteutuneen ajanvarauksen tiedon perusteella. Klinikka antaa henkilötietojen käsittelysopimuksella ohjeen, että tämä tieto siirretään Teta Studiolle vain kutsun lähettämistä ja varmennetun arvostelun julkaisemista varten; klinikalla, jolla Löydä ei ole käytössä, kutsua ei lähetetä. Julkaistu arvostelu voi julkisesti osoittaa, että olet saanut palvelua terveys-/liikuntayritykseltä; ota tämä huomioon ennen julkaisemista.

Pseudonymisoitu mittaus: Mittaus tehdään klinikan pseudonyymillä tunnisteella; tämä tunniste on pseudonyymi, ja yhden hengen yrityksessä se voidaan yhdistää henkilöön. Mittaus ei sisällä IP-osoitetta, terveystietoja eikä lähde-/mainosseurantaa. Ominaisuus ei ole tällä hetkellä käytössä; ennen käyttöönottoa tämä teksti päivitetään.

Näkyvyys yhteisö- ja kasvuominaisuuksissa: Liigassa, Perustajastudioiden luettelossa, Corenta Labissa ja Löydä-osiossa muille käyttäjille näytettävät tiedot ovat vain edellä olevassa taulukossa mainitut. Näissä ominaisuuksissa ei käsitellä asiakkaiden terveystietoja (lisätietoja: B.3-A). Studiokutsussa, Perustajastudiossa ja Labissa ei anneta rahapalkintoja eikä hinnanalennuksia; palkinnot ovat sovelluksen sisäisiä etuja, kuten 7 päivän Boost, kokeilujakso ja krediitit.

C.3. Vastaanottajat ja siirto ulkomaille

Supabase (ylläpito; Saksa/Frankfurt), Vercel (verkkopaneeli), Google (Google Workspace -sähköposti, Firebase Cloud Messaging, Google Play) ja Apple (APNs, App Store). Siirto näille toimittajille on siirtoa ulkomaille; sen peruste ja nykytila on kuvattu B.5:n kappaleessa "Siirto ulkomaille" (näissä tietovirroissa, joissa Corenta on rekisterinpitäjä, käytetään moduulin 2 – rekisterinpitäjältä käsittelijälle – vakiosopimusta; sitä ei ole tämän tekstin päivämääränä vielä allekirjoitettu).

C.4. Kaupalliset sähköiset viestit

Teta Studio lähettää markkinointi- ja kampanjasähköposteja vain, jos olet antanut erillisen suostumuksen valitsemalla ruudun, joka ei ole valmiiksi valittuna. Teta Studio ei lähetä markkinointisähköposteja rekisteröitymättä İleti Yönetim Sistemiin (İYS); rekisteröitymisen jälkeen suostumukset ladataan İYS:ään 3 työpäivän kuluessa. Jokaisessa markkinointiviestissä on lähettäjän tunnistetiedot, yhteystiedot ja maksuton peruutuslinkki. Kokeilujaksoa, tiimikutsua ja tukea koskevat sähköpostit ovat palveluviestejä; ne eivät sisällä markkinointiaineksia.

C.5. Säilytys, oikeudet ja pyynnöt

Säilytysajat ovat asiakirjassa veri-saklama-imha-politikasi.md. 18. lokakuuta 2026 lisätyistä tiedoista toistuvan kokeilujakson tiivisteet sekä liiga-, kutsu-, Perustajastudio- ja Lab-tiedot säilytetään, kunnes kyseinen studiotili poistetaan pysyvästi; laitetiedot säilytetään, kunnes käyttäjätili poistetaan pysyvästi. Näille tiedoille ei ole vielä määritetty erillistä enimmäisaikaa, ja se lisätään säilytyskäytäntöön. Voit käyttää KVKK art. 11:n mukaisia oikeuksiasi (A.8) ottamalla yhteyttä osoitteeseen hello@corenta.app; pyyntöihin vastataan maksutta viimeistään 30 päivän kuluessa.

YHTEISET MÄÄRÄYKSET (sovelletaan molempiin osiin)

G.1. Automaattinen päätöksenteko ja profilointi

Corenta ei tee profilointia mainonta- tai markkinointitarkoituksiin. 18. lokakuuta 2026 alkaen seuraavat säännöt toimivat kuitenkin automaattisesti ja voivat aiheuttaa asianomaiselle henkilölle tai studiolle rajoitetun kielteisen tuloksen:

Toistuvan kokeilujakson merkintä ei ole automaattinen päätös: osuma ei estä kokeilujaksoa, vaan se ohjautuu vain alustan ylläpitäjän tarkastettavaksi. KVKK art. 11/1-g:n mukainen oikeutesi vastustaa sinulle haitallista tulosta, joka syntyy tietojen analysoinnista yksinomaan automaattisten järjestelmien avulla, säilyy.

G.2. Informointitekstin päivittäminen

Tätä informointitekstiä voidaan päivittää lainsäädännön muutosten, Henkilötietojen suojelulautakunnan päätösten, alustan toiminnallisen kehityksen tai alikäsittelijöiden/palveluntarjoajien muutosten vuoksi. Voimassa oleva versio on aina saatavilla osoitteessa corenta.app/legal/kvkk-aydinlatma-metni ja sovelluksen asiakirjanäkymässä. SaaS-tuotteen yhteydessä (osa B) käyttäjää pyydetään informointitekstin version muututtua seuraavalla kirjautumiskerralla vahvistamaan, että hän on lukenut uuden tekstin; tämä ei ole suostumus, vaan näyttö informoinnista (ks. B.2).

G.3. Sovellettava laki ja toimivalta

Tämä informointiteksti on laadittu henkilötietojen suojaa koskevan lain nro 6698 ja siihen liittyvän alemmanasteisen sääntelyn (asetus henkilötietojen poistamisesta, tuhoamisesta tai anonymisoinnista; asetus rekisterinpitäjärekisteristä; tiedonanto informointivelvollisuuden täyttämisessä noudatettavista menettelyistä ja periaatteista; tiedonanto rekisterinpitäjälle esitettävien pyyntöjen menettelyistä ja periaatteista) puitteissa. Tämän tekstin tulkintaan ja soveltamiseen sovelletaan Turkin tasavallan lakia; riita-asioissa toimivaltaisia ovat Henkilötietojen suojelulautakunta ja toimivaltaiset turkkilaiset tuomioistuimet/ulosottoviranomaiset.

G.4. Yhteystiedot

Kaikissa henkilötietojen käsittelyä koskevissa kysymyksissä, pyynnöissä ja hakemuksissa:

• Sähköposti: hello@corenta.app
• Tuki: support@corenta.app
• Palvelualue: Corentaa tarjotaan maailmanlaajuisesti App Storen ja Google Playn kautta niissä maissa, joissa nämä kaupat toimivat. Tämä teksti on lain nro 6698 mukainen informointi; EU:n/ETA:n henkilöihin sovelletaan lisäksi GDPR-ilmoitusta, ja oleskelumaasi pakottavat tietosuojasäännökset jäävät voimaan.
• Yrityksen verkkosivusto: corenta.app

Voimaantulo / viimeksi päivitetty: 19. lokakuuta 2026 Versio: 2.3 · 19. lokakuuta 2026. Muutosloki on asiakirjan alussa.