CORENTA — NOTICE D'INFORMATION AU TITRE DE LA KVKK (TÜRKİYE KİŞİSEL VERİLERİN KORUNMASI KANUNU)

Cette traduction est fournie à titre informatif ; seul le texte turc fait foi.

Notice d'information en trois parties, selon la qualité de responsable du traitement / sous-traitant

Version : 2.3 · Entrée en vigueur / dernière mise à jour : 19 octobre 2026 Responsable du traitement / éditeur (Parties A et C) : Mertcan Demir — entreprise individuelle sous le nom commercial "Teta Studio"

Historique des modifications

• 2.3 — 19 octobre 2026 : Intégration de la portée mondiale : la mention "Turquie uniquement" du G.4 a été remplacée par l'offre dans plusieurs pays via les stores et par le renvoi à la Déclaration RGPD pour l'UE/EEE. Les activités de traitement et les bases légales sont inchangées.
• 2.2 — 19 octobre 2026 : Version de publication ; entrée en vigueur le 19 octobre 2026. Les informations MERSİS et KEP, restées vides, ont été retirées du tableau d'identité du A.1. La durée de conservation des messages de groupe du B.8/a a été rattachée à la Politique de conservation et de suppression des données.
• 2.1 — 18 octobre 2026 : Intégration des fonctionnalités ajoutées le 18 octobre 2026 : groupes du cabinet, challenges internes au studio, badges des clients et carte de fidélité, défis hebdomadaires et bulletin mensuel (Partie B) ; ligue de studios et challenges par ville, carte de profil portable du spécialiste, code d'invitation entre studios, programme Studio fondateur, Corenta Lab, Découvrir v2 (vidéo courte, cours d'essai, emplacement sponsorisé), marqueur d'essai répété, liaison des appareils et "Mes sessions", remboursement partiel du store et demande d'informations d'utilisation d'Apple (Partie C). La manière dont les données de santé sont traitées dans les groupes, la ligue, les challenges et la carte de profil est décrite dans une section distincte (B.3-A). Le G.1 a été corrigé : les trois règles produisant un résultat automatique ayant un effet sur la personne (contrôle des abus d'invitation, masquage d'un message de groupe après trois signalements, exclusion de la ligue) sont décrites expressément. Les autorisations mobiles ont été corrigées d'après le code (aucune autorisation d'appareil photo n'est demandée). Les fonctionnalités désactivées (vérification de partage, signal de demande, garantie Boost, vérification d'appareil, Turnstile, Sentry) ne sont pas décrites dans ce texte ; une mise à jour distincte du texte sera nécessaire avant leur activation.
• 2.0 — 11 octobre 2026 : Selon la revue de conformité du 11 octobre 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26) : les sections relatives aux transferts à l'étranger ont été réécrites selon l'art. 9 de la loi n° 6698 dans sa version postérieure à 2024 (Supabase/Francfort constitue aussi un transfert à l'étranger ; les contrats types ne sont pas encore signés) ; l'information et le consentement explicite ont été séparés (l'information n'est pas une "acceptation" mais la mention "J'ai lu et compris" ; la case d'acceptation obligatoire du formulaire d'accès anticipé a été supprimée) ; le consentement aux données de santé a été décrit comme facultatif ; une nouvelle Partie C — Information relative au compte et à la plateforme Corenta a été ajoutée pour les activités dont Teta Studio est responsable du traitement ; l'identité a été corrigée en entreprise individuelle ; l'évaluation VERBİS a été rédigée selon les décisions du Kurul de 2025 ; la notification des violations au cabinet a été corrigée à 24 heures au plus ; l'expression de conservation "anonyme" a été corrigée en conservation restreinte sans lien avec la personne ; la suppression des pièces jointes et le lien d'export ont été rattachés à la même formulation vérifiée dans le code ; des renvois législatifs erronés ont été corrigés.
• 1.6 — 10 octobre 2026 : Expo (Expo Push Notification Service) a été retiré des enregistrements de sous-traitants ultérieurs/sous-traitants ; les notifications push sont acheminées uniquement par Apple (APNs) et Google (FCM) ; Expo/EAS n'est qu'un outil de compilation de l'application et ne traite aucune donnée d'utilisateur final.
• 1.5 — 10 octobre 2026 : La mention relative au choix de Google Analytics a été supprimée ; il a été précisé qu'aucun outil d'analyse tiers n'est utilisé et qui traite les notifications push.
• 1.4 — 4 octobre 2026 : Le texte en vigueur a été figé comme version approuvée. Cette version ne traitait que les points suivants : dénomination de Teta Studio ; marché (Turquie) ; suppression du compte (l'accès prend fin immédiatement, les données personnelles sont effacées/anonymisées, les enregistrements de paiement soumis à conservation légale sont conservés sans identité) ; effacement des champs de santé du client au bout de 30 jours ; délai de 7 jours pour les justificatifs orphelins ; masquage des coordonnées du client en mode assistance ; mesure côté serveur sans identité ; e-mails de service et Google Workspace ; sous-traitants des notifications push ; adresse d'assistance (support@corenta.app) ; droit d'écriture sur les champs de santé.
• 1.3 — 4 août 2026 : mise en cohérence des sections B.6 et B.8/a avec la politique de conservation et de suppression.

0. À propos de ce texte — champ d'application et guide de lecture

La présente Notice d'information au titre de la loi relative à la protection des données personnelles (la "Notice d'information") a été établie, conformément à l'art. 10 de la loi n° 6698 relative à la protection des données personnelles (la "KVKK" ou la "Loi") et au Communiqué relatif aux procédures et principes à respecter pour l'exécution de l'obligation d'information, afin d'informer les personnes concernées du traitement des données personnelles dans le cadre du produit logiciel (SaaS) Corenta ("Corenta", le "Produit" ou la "Plateforme"), développé et exploité par Mertcan Demir ("Teta Studio", "nous"), qui exerce en entreprise individuelle sous le nom commercial "Teta Studio", ainsi que du site corenta.app, sur lequel ce produit est présenté.

Corenta est une plateforme logicielle (Software-as-a-Service) multi-locataires (multi-tenant), pensée d'abord pour le mobile, destinée aux petits établissements de santé et de bien-être tels que les centres de Pilates clinique, de kinésithérapie, de Reformer, de bien-être/massage et de yoga ; elle offre la gestion des rendez-vous, le suivi des forfaits/séances, l'anamnèse et les notes de séance des clients, la rémunération et le suivi des opérations financières.

0.1 Définitions

0.2 Deux contextes distincts — pourquoi c'est important

Dans l'écosystème Corenta, les données personnelles sont traitées dans trois contextes différents et en deux qualités différentes : Partie A (site de présentation ; Teta Studio est responsable du traitement), Partie B (dossiers du cabinet ; Teta Studio est sous-traitant) et Partie C (compte Corenta, abonnement, e-mails de service, Découvrir/avis, fonctionnalités de croissance entre studios — ligue, invitation, Studio fondateur, Corenta Lab, carte de profil portable —, sécurité du compte et des appareils, mesure du produit ; Teta Studio est responsable du traitement). Bien comprendre cette distinction est essentiel pour interpréter correctement la Notice d'information, et les deux contextes ne doivent en aucun cas être confondus :

Les données de santé d'un client de cabinet générées dans l'application Corenta et les données d'un chef d'établissement qui remplit le formulaire d'accès anticipé sur corenta.app relèvent de régimes juridiques totalement différents. Les parties ci-dessous sont structurées selon cette distinction.

PARTIE A — SITE INSTITUTIONNEL ET FORMULAIRE D'ACCÈS ANTICIPÉ (corenta.app)

La présente partie s'applique aux personnes physiques qui visitent le site corenta.app, interagissent avec lui et/ou remplissent le formulaire de candidature à l'accès anticipé. Dans ce contexte, Teta Studio agit en qualité de Responsable du traitement au sens de l'art. 3/ı de la KVKK et détermine elle-même les finalités et les moyens du traitement des données personnelles.

A.1. Identité du responsable du traitement

A.2. Catégories de données personnelles traitées

Lors de la visite du site corenta.app, du remplissage du formulaire d'accès anticipé, de l'envoi du formulaire de contact ou d'une demande de démo/d'entretien commercial, les catégories de données personnelles suivantes peuvent être traitées :

(*) Précision concernant la note sur les cookies : à la date de publication du présent texte, le site corenta.app ne comporte ni bandeau/interface active de gestion des cookies, ni infrastructure de cookies tiers ; l'adresse IP et les informations relatives à l'appareil/au navigateur mentionnées dans la ligne ci-dessus sont traitées de manière limitée, uniquement dans le cadre des journaux de base du serveur et de la sécurité des formulaires, sans utilisation d'une technologie de cookies active. Bien qu'une catégorie de consentement aux cookies (cookies) soit techniquement définie dans l'infrastructure du système, elle n'est pas utilisée en pratique à ce jour. En cas de recours aux cookies, la présente Notice d'information et une Politique de cookies distincte seront mises à jour et les mécanismes de consentement nécessaires seront mis en place. Aucune catégorie particulière de données personnelles n'est traitée dans ce contexte.

Ces données sont obtenues uniquement lorsque la personne concernée remplit le formulaire ou prend contact de sa propre initiative, ou automatiquement (comme l'adresse IP) en raison du fonctionnement technique du site.

A.3. Finalités et bases légales du traitement des données personnelles

Le tableau ci-dessous présente chaque finalité de traitement avec la base légale de l'art. 5/2 de la KVKK sur laquelle elle repose :

Important : les communications marketing du point 7 reposent uniquement sur le consentement distinct et exprès donné par la personne concernée à cette fin ; ce consentement n'est pas une condition obligatoire de la candidature d'accès anticipé et peut être retiré à tout moment (voir A.8).

A.4. Mode de collecte des données personnelles

Les données personnelles sont collectées par voie électronique lors du remplissage des formulaires d'accès anticipé/de contact du site corenta.app, par contact direct par e-mail, lors des entretiens de démo/commerciaux et automatiquement par l'infrastructure technique du site (adresse IP, etc.).

A.5. Transfert des données personnelles

Vos données personnelles peuvent être partagées de manière limitée, dans les conditions prévues aux articles 8 et 9 de la KVKK, avec les prestataires fournissant des services techniques tels que l'hébergement, la collecte de formulaires, l'envoi d'e-mails, l'analyse, la sécurité et services similaires, aux fins de la fourniture de ces services. Ce partage n'a lieu que dans la mesure nécessaire à la fourniture du service concerné et dans la limite de cette finalité.

Dans ce contexte, les fournisseurs d'infrastructure technique connus/utilisés sont :

Remarque — infrastructure de stockage des données des formulaires : à la date de rédaction du présent texte, il n'a pas été confirmé techniquement si les données des formulaires d'accès anticipé/de contact sont conservées en définitive uniquement dans l'infrastructure de formulaires de Framer ou si elles sont aussi transférées dans la base de données de Corenta reposant sur Supabase (voir Partie B, B.5 — Supabase, Francfort/Allemagne). Au fur et à mesure de cette confirmation, ce tableau sera mis à jour, en ajoutant si nécessaire une ligne Supabase ; en tout état de cause, les données de vos formulaires ne sont traitées qu'aux fins exposées dans la présente Partie A et conformément à la KVKK.

En dehors de ces partages, vos données personnelles ne sont ni vendues, ni louées, ni cédées à des tiers à des fins de marketing. Les cas d'obligation légale (décision de justice, demande d'une autorité publique compétente, etc.) font exception à cette règle.

Transferts à l'étranger : Framer et Google Workspace traitent des données en dehors de la Turquie ; il s'agit d'un transfert à l'étranger au sens de la loi n° 6698. Ces transferts étant réguliers et continus, ils ne reposent pas sur le consentement explicite ; ils reposeront sur l'une des conditions de traitement de l'article 5 de la KVKK et, en application de l'art. 9/4-c, sur les contrats types publiés par le Kişisel Verileri Koruma Kurulu (Kurul). À la date du présent texte, les contrats types n'ont pas encore été signés avec les fournisseurs ni notifiés au Kurul. Chaque contrat sera notifié au Kurul dans les 5 jours ouvrables suivant sa signature, et la présente section sera mise à jour avec la liste des fournisseurs et des dates. Il n'existe aucune décision d'adéquation du Kurul concernant ces pays (dernière vérification : 11 octobre 2026).

A.6. Durée de conservation

Vos données personnelles sont conservées pendant la durée nécessaire à la finalité de traitement concernée et, en tout état de cause, sous réserve des délais de prescription prévus par la réglementation applicable :

• Candidatures d'accès anticipé : 2 ans au maximum à compter de l'examen de la candidature et de la fin de la prise de contact ; si aucun contact n'a lieu dans ce délai ou si la procédure se termine, elles sont effacées/anonymisées plus tôt. Note de transparence : à la date de rédaction du présent Texte, il n'existe dans le système aucun mécanisme automatique de contrôle/effacement correspondant à cette durée maximale ; la durée est un plafond juridique, et l'effacement/l'anonymisation est pour l'instant réalisé manuellement/sur demande.
• Échanges de contact : jusqu'à ce que la finalité du contact ait pris fin.
• Données d'analyse/journaux techniques : pendant la durée de conservation par défaut/autorisée de l'outil/de l'infrastructure utilisé.
• Enregistrements relatifs aux litiges et aux obligations légales : pendant la durée minimale prévue par la réglementation applicable.

À l'expiration de la durée de conservation, les données personnelles sont effacées, détruites ou anonymisées conformément à l'art. 7 de la KVKK et au Règlement relatif à l'effacement, à la destruction ou à l'anonymisation des données personnelles. Pour le tableau détaillé des durées et les méthodes d'élimination, voir veri-saklama-imha-politikasi.md (Section 4, n° 9).

A.7. Information et consentement aux messages commerciaux dans le formulaire d'accès anticipé

Le traitement de votre candidature ne repose pas sur le consentement, mais sur les bases légales du A.3. C'est pourquoi le formulaire ne comporte pas de case d'acceptation pour l'information ; information et consentement restent séparés.

Information (sans case d'acceptation) : juste au-dessus du bouton Envoyer s'affichent le texte suivant et un lien vers la présente Notice d'information :

"Vos informations sont traitées pour examiner votre candidature et vous recontacter (art. 5/2-c, f de la KVKK). Détails : Notice d'information."

Consentement facultatif aux messages commerciaux (case distincte, NON COCHÉE par défaut) :

"J'accepte que Teta Studio m'envoie par e-mail les actualités et offres de Corenta."

L'absence de consentement aux messages commerciaux n'a aucune incidence sur l'examen de la candidature. Teta Studio n'envoie pas d'e-mails promotionnels sans être inscrite à l'İYS (İleti Yönetim Sistemi) ; après l'inscription, les consentements sont chargés dans l'İYS dans un délai de 3 jours ouvrables. Le consentement peut être retiré via le lien de désinscription présent dans chaque message.

A.8. Droits de la personne concernée (art. 11 de la KVKK) et modalités de demande

En vertu de l'art. 11 de la KVKK, toute personne dont les données personnelles sont traitées dispose, en s'adressant au Responsable du traitement, des droits suivants :

a) savoir si ses données personnelles font l'objet d'un traitement, b) demander des informations à ce sujet si ses données personnelles ont été traitées, c) connaître la finalité du traitement de ses données personnelles et savoir si elles sont utilisées conformément à cette finalité, ç) connaître les tiers, en Turquie ou à l'étranger, auxquels ses données personnelles ont été transférées, d) demander la rectification de ses données personnelles si elles ont été traitées de manière incomplète ou inexacte, e) demander l'effacement ou la destruction de ses données personnelles dans les conditions prévues à l'art. 7 de la KVKK, f) demander que les opérations effectuées en application des points (d) et (e) soient notifiées aux tiers auxquels les données personnelles ont été transférées, g) s'opposer à un résultat qui lui est défavorable découlant de l'analyse des données traitées exclusivement au moyen de systèmes automatisés, ğ) demander réparation du préjudice subi du fait d'un traitement illicite de ses données personnelles.

En outre, pour les traitements fondés sur le consentement (messages électroniques commerciaux), le consentement donné peut être retiré à tout moment et sans avoir à se justifier, indépendamment des droits généraux de l'art. 11 de la KVKK. Le retrait n'affecte pas la licéité du traitement effectué avant celui-ci.

Modalités de demande : pour exercer les droits ci-dessus, vous pouvez adresser vos demandes par écrit à hello@corenta.app, avec les informations nécessaires à votre identification, dans les formes prévues à l'art. 13 de la KVKK et par le Communiqué relatif aux procédures et principes des demandes adressées au responsable du traitement. Selon leur nature, les demandes sont traitées gratuitement dans un délai de 30 (trente) jours au plus, par des moyens n'entraînant pas de coût supplémentaire ; si l'opération entraîne un coût supplémentaire, les frais prévus par le barème fixé par le Kişisel Verileri Koruma Kurulu peuvent être demandés.

PARTIE B — UTILISATION DU PRODUIT SaaS CORENTA PAR LES CABINETS

La présente partie s'applique au personnel du cabinet (gestionnaire, spécialiste/instructeur, accueil, etc.) qui utilise Corenta au sein d'un centre de Pilates clinique, de kinésithérapie, de Reformer, de bien-être/massage ou de yoga (le "Cabinet") ainsi qu'aux clients/patients de ces cabinets.

B.1. Fondement juridique de la distinction des rôles — à lire avec attention

Le Cabinet qui souscrit Corenta et la met en service a la qualité de "Responsable du traitement", au sens de l'art. 3/ı de la KVKK, pour les données personnelles de ses propres clients/patients et de son propre personnel. L'obligation d'information au titre de la KVKK envers les clients/patients et le personnel et, le cas échéant, le recueil des consentements explicites (en particulier le consentement au traitement des données de santé, qui relèvent d'une catégorie particulière) relèvent en premier et dernier ressort de la responsabilité du Cabinet.

Teta Studio (Corenta) n'est que Sous-traitant au sens de l'art. 3/ğ de la KVKK. Teta Studio traite ces données selon les instructions et pour le compte du Cabinet, en se limitant à fournir l'infrastructure technique de la Plateforme ; elle ne fixe aucune finalité de traitement propre et indépendante et ne traite pas ces données à ses propres fins commerciales (publicité, vente à des tiers, etc.) en dehors des instructions du Cabinet. Les traitements que Teta Studio réalise pour ses propres finalités (compte utilisateur du cabinet, abonnement, e-mails de service, invitation à laisser un avis et avis sur Découvrir, sécurité et mesure pseudonymisée du produit) ne relèvent pas de la présente Partie B mais de la Partie C ; pour ces activités, Teta Studio est responsable du traitement.

Le produit Corenta propose des outils qui facilitent techniquement le respect de ces obligations par le Cabinet (écran de consentement dans l'application mobile, enregistrements versionnés des consentements, mécanisme de retrait, etc. — voir B.2). L'existence de ces outils ne signifie pas que le Cabinet a transféré à Teta Studio les obligations juridiques découlant de sa qualité de Responsable du traitement, ni que Teta Studio les a assumées.

La relation de sous-traitance entre le Cabinet et Teta Studio est régie par un Accord de traitement des données (Data Processing Agreement/DPA) distinct ; cet accord précise les catégories de données traitées, les finalités du traitement, les mesures de sécurité, le recours aux sous-traitants ultérieurs et les obligations des parties au titre de l'art. 12 de la KVKK.

La présente Partie B ne remplace pas et ne se substitue pas à la notice d'information que le Cabinet doit fournir à ses propres clients/à son propre personnel. Elle vise à expliquer de façon transparente quelles données Teta Studio traite sur la Plateforme en qualité de Sous-traitant et dans quel but, et à offrir au Cabinet un cadre de référence pour rédiger sa propre notice. Si le Cabinet estime insuffisants l'écran d'information commun/centralisé et les écrans de consentement facultatif proposés par Corenta dans l'application mobile (voir B.2), il peut mener par ses propres moyens un processus d'information complémentaire/distinct envers ses Clients et son personnel (texte écrit, e-mail, information en personne, etc.) ; cela relève de la responsabilité juridique propre du Cabinet.

B.2. Mécanisme d'information et de consentement dans la Plateforme (à titre informatif)

Dans l'application mobile Corenta, lors de la première utilisation (onboarding), un écran (kvkk.tsx) préparé par Teta Studio est présenté de manière commune aux clients/utilisateurs de tous les cabinets. Conformément à la décision de principe du Kurul 2026/347, l'information et le consentement sont présentés en étapes distinctes :

Les enregistrements sont conservés avec leur version dans la table consent_logs. Note technique : l'affichage de l'information est aujourd'hui enregistré dans cette table avec le type kvkk ; cet enregistrement n'est pas un consentement, mais la trace que l'information a été affichée et lue. L'autorisation unique de notifications du système d'exploitation sert à acheminer à la fois les notifications de service et les notifications promotionnelles ; les notifications promotionnelles ne doivent être envoyées que si l'autorisation 2b a été donnée.

Cet écran et ces textes ne sont pas différenciés par Cabinet : ils sont proposés dans une version commune à toute la Plateforme ; les informations d'identification du cabinet (raison sociale, adresse, contact pour les demandes) ne sont pas aujourd'hui ajoutées automatiquement au texte. Lorsque la version de la notice change, l'utilisateur est invité, à sa prochaine connexion, à indiquer qu'il a lu le nouveau texte (ce qui n'est pas non plus un consentement). Le consentement aux données de santé et l'autorisation des notifications promotionnelles peuvent être retirés à tout moment (suivi par le champ revoked_at) ; le retrait du consentement aux données de santé n'a aucune incidence sur les rendez-vous ni sur l'utilisation du compte.

Si le Cabinet, en tant que professionnel de santé soumis au secret professionnel (par exemple un kinésithérapeute), traite des données de santé à des fins de soins sur le fondement de l'art. 6/3-e de la KVKK, la seule information peut suffire, sans écran de consentement explicite ; les autres établissements (par exemple les studios de Pilates/bien-être) ne peuvent traiter des données de santé que sur le fondement du consentement explicite facultatif prévu à l'art. 6/3-a. Le choix de la base légale et l'adéquation du contenu de l'information à sa propre activité relèvent de la responsabilité du Cabinet.

B.3. Catégories de données traitées par Teta Studio en qualité de Sous-traitant

Du fait du fonctionnement technique de la Plateforme, les catégories de données suivantes sont traitées selon les instructions du Cabinet :

Droit d'écriture dans les champs de santé (depuis le 4 octobre 2026) : seuls le client lui-même et le spécialiste qui lui est attribué peuvent écrire dans les champs de santé du client (groupe sanguin, allergies, affections chroniques, médicaments) ; le propriétaire/gestionnaire de l'établissement ne peut pas écrire dans ces champs (il peut modifier la personne à prévenir en cas d'urgence et les champs d'identité).

Mesure pseudonymisée du produit : pour cette activité, Teta Studio est responsable du traitement ; le détail figure en Partie C. La mesure est effectuée avec un identifiant pseudonyme du cabinet ; cet identifiant est un pseudonyme (il n'est pas anonyme). La fonctionnalité est actuellement désactivée.

Fichiers de reçus (depuis le 4 octobre 2026) : les fichiers de reçus non rattachés à un paiement (orphelins) sont supprimés automatiquement au bout de 7 jours ; un reçu rattaché à un paiement ne peut être supprimé par aucun rôle.

Transparence sur les autorisations mobiles (depuis le 18 octobre 2026) : au niveau du système d'exploitation, l'application mobile Corenta ne demande que l'autorisation des notifications (demandée en contexte) et, sur iOS, l'accès à la photothèque (au moment où l'on choisit une photo de profil, une pièce jointe d'anamnèse, un justificatif de paiement, une image d'annonce ou une vidéo du studio) ; si le verrouillage de l'application est activé, la vérification par Face ID/empreinte digitale a lieu dans l'appareil et aucune donnée biométrique n'est transmise à Corenta. Sur Android, les autorisations caméra et micro ont été délibérément retirées du manifeste de l'application. L'application ne demande pas d'autorisation pour la caméra, le micro, la localisation, les contacts (contacts) ou le calendrier, ni d'accès à HealthKit/aux capteurs de santé. La carte Découvrir n'utilise pas la position de l'appareil ; elle recherche uniquement par la ville/le quartier ou par la zone de carte choisie par l'utilisateur.

Les données personnelles de catégorie particulière (données de santé) ne peuvent être traitées, conformément à l'art. 6 de la KVKK, qu'avec le consentement explicite ou dans les cas exceptionnels prévus par la loi (protection de la santé publique, médecine préventive, diagnostic/traitement médical, planification et financement des services de santé, lorsqu'ils sont assurés par des personnes soumises au secret professionnel). Dans l'écosystème Corenta, ces données sont saisies par les spécialistes de santé/bien-être habilités du Cabinet selon la base légale retenue par le Cabinet (consentement explicite facultatif de l'art. 6/3-a ou art. 6/3-e) ; Teta Studio se limite à héberger/traiter ces données selon les instructions du Cabinet et les protège par des mesures de sécurité renforcées (voir B.6).

Durée de conservation et mode d'élimination — renvoi : la durée de conservation de chacune des catégories ci-dessus et la méthode appliquée après une demande de suppression du compte (suppression définitive ou anonymisation) sont résumées en B.8/a et expliquées, avec un tableau détaillé et leur justification, dans veri-saklama-imha-politikasi.md (Sections 4 à 6). En particulier pour les lignes Données de santé, Données de transaction/financières et Enregistrements d'information et d'autorisations : lors de la suppression définitive du compte, ces enregistrements ne font pas l'objet d'un DELETE ; le lien avec la personne est rompu et certains champs de texte libre sont vidés. Le texte libre des notes de séance n'étant pas modifié, ces enregistrements ne sont pas considérés comme anonymes dans tous les cas ; ils sont conservés avec un accès restreint (voir B.8/a).

B.3-A. Fonctionnalités communautaires et de croissance — lien avec les données de santé (depuis le 18 octobre 2026)

Les données de santé sont des données personnelles de catégorie particulière au sens de l'art. 6 de la KVKK. Les fonctionnalités ci-dessous n'ont pas été conçues pour traiter des données de santé ; pour chacune, la manière dont les données de santé sont traitées est décrite séparément :

Dans les cabinets qui fournissent des services de santé, comme la kinésithérapie, le fait qu'un client ait participé à un cours ou à un groupe peut indiquer que cette personne reçoit un service de santé. C'est pourquoi la décision d'utiliser ou non ces fonctionnalités et la manière de les expliquer aux clients appartiennent au Cabinet, en tant que responsable du traitement. Les groupes du cabinet (group_chats) et les challenges (leagues) sont des modules distincts, conçus pour pouvoir être désactivés cabinet par cabinet.

B.4. Finalités du traitement et bases légales

Les bases légales du tableau ci-dessous peuvent avoir deux sens différents selon la nature de la donnée : (i) la base légale sur laquelle le Cabinet (en tant que responsable du traitement) s'appuie vis-à-vis de son client/de son personnel, ou (ii) la base légale applicable aux activités indépendantes propres à Teta Studio (sécurité de la plateforme, facturation, obligation légale, etc.). Teta Studio ne fixant pas elle-même de "finalité de traitement" indépendante (voir B.1), la ligne relative aux données de catégorie particulière, en particulier, doit être lue comme reflétant la base légale du Cabinet :

B.5. Transfert des données personnelles (en Turquie et à l'étranger)

Pour le fonctionnement de la Plateforme, les données personnelles sont partagées avec les sous-traitants ultérieurs (sub-processors) ci-dessous, de manière limitée et dans la mesure techniquement nécessaire :

Autres remarques sur l'infrastructure :

• Infrastructure e-mail : les e-mails de service (période d'essai, invitation de l'équipe, réponses de l'assistance) sont envoyés par SMTP via Google Workspace (Google) ; les e-mails d'authentification (vérification de l'adresse, réinitialisation du mot de passe) sont déclenchés par Supabase Auth. Les e-mails promotionnels ne sont envoyés qu'avec un consentement distinct et une inscription à l'İYS (voir Partie C). Les notifications push sont acheminées par Apple (APNs) et Google (FCM).
• Outil d'analyse : aucun outil d'analyse tiers (par exemple Google Analytics) n'est utilisé. La mesure de l'utilisation du produit dans l'application n'est pas active pour le moment ; si elle est activée, elle sera enregistrée dans une table propriétaire de la base de données de Corenta (Supabase, Francfort/Allemagne), ne contiendra ni données de santé ni texte libre, et la présente Notice sera mise à jour avant son activation.
• Suivi des erreurs : aucun outil tiers de suivi des erreurs n'est utilisé ; les erreurs côté client sont enregistrées dans la base de données propre de Corenta (Supabase).
• Acheminement des messages en temps réel et vidéos (depuis le 18 octobre 2026) : les messages individuels et de groupe sont transmis aux seuls utilisateurs autorisés par le service de diffusion en temps réel de Supabase (Realtime) ; les vidéos des studios sont conservées dans le stockage de fichiers de Supabase. Cela relève de la ligne Supabase (n° 1) ; aucun nouveau sous-traitant ultérieur n'a été ajouté.
• Paiement par carte bancaire sur le web : il n'est pas pris en charge pour le moment ; tous les paiements d'abonnement passent exclusivement par le mécanisme d'achat intégré (IAP) d'Apple/Google.

Transfert à l'étranger : vos données sont traitées par l'intermédiaire de prestataires situés hors de Turquie : Supabase (base de données, authentification et stockage de fichiers ; données hébergées à Francfort, en Allemagne), Vercel (hébergement du panneau web ; infrastructure mondiale), Google (e-mail Google Workspace et notifications Firebase Cloud Messaging ; mondial) et Apple (notifications et boutique ; mondial). L'hébergement en Allemagne est lui aussi un transfert à l'étranger au sens de la loi n° 6698. Ces transferts étant réguliers et continus, ils ne reposent pas sur le consentement explicite ; ils reposeront sur l'une des conditions de traitement des articles 5 et 6 de la KVKK et, en application de l'art. 9/4-c, sur les contrats types publiés par le Kişisel Verileri Koruma Kurulu. En tant que sous-traitant, Teta Studio signera avec chaque sous-traitant ultérieur le contrat type Module 3 (de sous-traitant à sous-traitant) et le notifiera au Kurul dans les 5 jours ouvrables suivant sa signature. À la date du présent texte, les contrats types n'ont pas encore été signés ni notifiés au Kurul ; une fois la signature et la notification effectuées, cette section sera mise à jour avec la liste des fournisseurs et des dates. Il n'existe aucune décision d'adéquation du Kurul concernant ces pays (dernière vérification : 11 octobre 2026). Le Cabinet mentionne ces transferts dans sa propre notice d'information.

La liste des sous-traitants ultérieurs ci-dessus est également tenue à jour en annexe du DPA entre le Cabinet et Teta Studio ; le Cabinet est informé des modifications de cette liste selon la procédure prévue par le DPA. Les données personnelles ne peuvent être transférées aux autorités et organismes publics légalement compétents que dans les cas prévus par la réglementation applicable et dans la limite de la demande ; Teta Studio ne vend ni ne loue en aucun cas à des tiers, à des fins commerciales, les données personnelles qu'elle traite.

B.6. Mesures de sécurité

En qualité de Sous-traitant, Teta Studio applique les mesures techniques et organisationnelles suivantes pour garantir la sécurité des données personnelles qu'elle traite :

• Cloisonnement entre tenants (multi-tenant isolation) : toutes les tables de données de la Plateforme sont séparées par le champ tenant_id et protégées par des politiques complètes de sécurité au niveau des lignes (Row Level Security/RLS) selon le principe du refus par défaut (default-deny) ; l'accès d'un Cabinet aux données d'un autre est techniquement bloqué.
• Restriction de l'accès aux données de santé : au niveau RLS, seuls le client concerné, le spécialiste qui lui est attribué et le gestionnaire habilité du cabinet peuvent accéder aux fiches d'anamnèse, aux notes de séance et aux mesures ; les notes de séance que le spécialiste marque comme "partagées avec l'équipe" peuvent aussi être vues par les autres spécialistes du cabinet. L'accès du personnel n'est possible que lorsque le module de santé concerné (anamnèse, mesures, note de séance) est activé.
• Immuabilité (append-only) : les notes de séance envoyées (dès que le champ submitted_at est renseigné) sont protégées au niveau de la base de données contre toute modification ou suppression ; pour les fiches d'anamnèse non plus, aucun droit de suppression (DELETE) n'est défini pour aucun rôle utilisateur (gestionnaire du cabinet compris). Seule et étroite exception : lors de la suppression définitive du compte (voir B.8/a), seul le processus privilégié en arrière-plan (service-role) peut, sans toucher au CONTENU de la note de séance, passer à NULL au niveau de la base de données uniquement les colonnes de lien avec la personne (client_id/specialist_id) ; cela ne remet pas en cause le principe append-only — il s'agit d'un passage à finalité unique, qui répond seulement à l'obligation de rompre le lien avec la personne (anonymisation) prévue par la KVKK (détail : veri-saklama-imha-politikasi.md Section 6.2).
• Limites du mode support du super-administrateur (impersonation) : le mode d'accès super-administrateur utilisé pour l'assistance technique est limité dans le temps (30 minutes) et, par défaut, en lecture seule ; les opérations d'écriture et l'accès aux données de santé ne peuvent être ouverts que par des étapes distinctes nécessitant une approbation supplémentaire (indicateur health_data_enabled) ; aucun scénario d'impersonation n'accorde de droit d'écriture sur les tables de données de santé — cette restriction est appliquée sans exception dans les politiques de la base de données.
• Sécurité des transmissions : les données sont chiffrées par TLS pendant leur transmission.
• Stockage sur l'appareil : dans l'application mobile, les jetons de session sont conservés chiffrés dans le trousseau sécurisé de l'appareil, adossé au matériel (expo-secure-store reposant sur iOS Keychain / Android Keystore).
• Protection des écrans sensibles : sur les écrans de l'application contenant des données de santé, les captures et enregistrements d'écran sont bloqués (blocage de l'enregistrement/de la capture d'écran sur iOS ; FLAG_SECURE sur Android).
• Sécurité des comptes d'administration : les comptes administrateur de la Plateforme (super-administrateur) exigent une authentification à deux facteurs (MFA, AAL2).
• Intégrité des paiements : une infrastructure de vérification de signature cryptographique est appliquée aux notifications de paiement (webhooks) des boutiques (Apple/Google) ; la finalisation complète de cette configuration en production pour tous les fournisseurs et son amélioration continue sont en cours.

Malgré les mesures ci-dessus, il est expressément indiqué qu'aucun système d'information ne peut offrir une garantie de sécurité absolue. Ces mesures sont réexaminées et améliorées en continu dans le cadre des obligations du Sous-traitant au titre de l'art. 12 de la KVKK. Lorsqu'elle a connaissance d'une violation de données en qualité de sous-traitant, Teta Studio la notifie au Cabinet sans délai et au plus tard dans les 24 heures (Kurul 2019/10). La notification au Kurul et aux personnes concernées incombe au Cabinet en tant que responsable du traitement. Pour les données dont Teta Studio est responsable du traitement (Parties A et C), Teta Studio effectue elle-même la notification au Kurul dans les 72 heures.

B.7. Informations complémentaires sur le mode support du super-administrateur (impersonation)

Le personnel d'assistance habilité de Teta Studio peut, dans le cadre des demandes d'assistance technique du Cabinet, accéder temporairement au compte du Cabinet au moyen d'un "mode support" limité et contrôlable. Cet accès :

• Est limité à 30 minutes au plus et prend fin automatiquement à l'expiration du délai,
• Est, par défaut, en lecture seule (read-only),
• Le droit d'écriture et l'accès aux données de santé ne peuvent être ouverts que par des étapes distinctes nécessitant une approbation supplémentaire ; aucun accès en écriture aux tables de données de santé n'est accordé, en aucune circonstance,
• Est journalisé et soumis à une piste d'audit.

Coordonnées du client en mode support (depuis le 4 octobre 2026) : lors d'une session de support Corenta (super-administrateur), l'e-mail et le téléphone du client ne sont pas montrés au personnel d'assistance ; celui-ci ne voit qu'un résumé d'identification limité (nom, statut du compte, activité, date de création).

B.8. Durée de conservation des données personnelles et modalités d'exercice des droits des personnes concernées

Les données personnelles sont conservées pendant la durée nécessaire à la finalité concernée et pendant les durées légales de conservation prévues par la réglementation applicable. Les droits ci-dessous s'exercent, en application de l'art. 11 de la KVKK, en premier lieu auprès du Cabinet, en sa qualité de Responsable du traitement. Teta Studio, en qualité de Sous-traitant, assure la mise en œuvre technique de ces droits à la demande du Cabinet. Les mécanismes concrets proposés dans la Plateforme sont les suivants :

a) Droit à l'effacement : Suppression du compte (depuis le 4 octobre 2026) : lorsque la demande de suppression est confirmée, l'accès au compte est immédiatement coupé (les sessions sont fermées, la connexion n'est plus possible) ; les données personnelles sont supprimées ou anonymisées (le nom, l'e-mail, le téléphone, l'image ainsi que les données d'identité/de contact du client et les champs de santé — groupe sanguin, allergies, affections chroniques, médicaments — sont vidés) ; les enregistrements de paiement et de rémunération soumis à une obligation légale de conservation ne sont pas supprimés ; ils sont conservés sans lien avec la personne et avec un accès restreint. Aucun délai d'annulation n'est prévu après la demande ; la suppression définitive de l'enregistrement d'authentification et des fichiers est achevée dans le processus d'arrière-plan de trente jours déjà en place.

Suppression de la fiche client et champs de santé (depuis le 4 octobre 2026) : lorsque l'établissement supprime la fiche d'un client sans compte, la fiche est immédiatement retirée de la liste active ; au bout de 30 jours, les champs de santé du client (groupe sanguin, allergies, affections chroniques, médicaments) sont eux aussi supprimés/vidés, en même temps que les données d'identité et de contact. Les règles de conservation des fiches d'anamnèse, des mesures et des notes de séance ne sont pas affectées par cette disposition.

Messages de groupe et enregistrements communautaires (depuis le 18 octobre 2026) : le membre peut supprimer son propre message de groupe à tout moment ; le texte du message supprimé est retiré de l'enregistrement. Lorsque le compte est supprimé définitivement, l'appartenance aux groupes, les enregistrements des appareils liés et les cartes de profil du spécialiste sont supprimés ; la participation aux challenges est rattachée à la fiche client et suit la même règle qu'elle ; en revanche, le texte des messages déjà envoyés au groupe reste dans le groupe, sans l'information sur leur expéditeur. C'est pourquoi l'utilisateur qui souhaite retirer ses messages peut les supprimer un par un avant de supprimer son compte. Le texte d'un message masqué par l'équipe est conservé séparément pour examen par l'équipe. Les durées de conservation des messages de groupe et de cette copie figurent dans veri-saklama-imha-politikasi.md, Section 4, n° 12 ; la copie est conservée 1 an au plus. Les enregistrements relatifs aux groupes, challenges, badges et à la fidélité ne sont pas inclus aujourd'hui dans l'export "Télécharger mes données" ; les demandes d'information à leur sujet peuvent être adressées au Cabinet ou à hello@corenta.app.

Lorsque l'utilisateur demande la suppression de son compte depuis l'application (fonction delete_my_account), le système applique une architecture de suppression en deux étapes. Le résumé ci-dessous est une description honnête et techniquement vérifiée de la méthode appliquée à chaque catégorie de données (suppression définitive ou anonymisation) ; pour le détail complet et le tableau, voir veri-saklama-imha-politikasi.md (en particulier les Sections 4 à 6).

• Étape 1 — au moment de la demande : l'accès au compte est immédiatement coupé (aucun délai d'annulation) ; le profil est désactivé, les champs d'identité et de santé sont vidés, les rendez-vous en attente sont annulés, les attributions sont retirées et les consentements donnés sont retirés.
• Étape 2 — traitement définitif au bout de 30 jours : 30 jours après cette première étape intervient un traitement déclenché de manière irréversible uniquement par une tâche privilégiée en arrière-plan (cron, service-role) et appliqué selon deux méthodes différentes en fonction de la catégorie de données ; ce traitement ne peut être déclenché manuellement/administrativement, ni avancé ou reporté :
• L'enregistrement d'authentification de l'utilisateur (auth.users) et les enregistrements sans valeur propre, commerciale ou probatoire (par exemple les notifications, notifications) sont supprimés définitivement (DELETE/cascade).
• Les données de santé (fiches d'anamnèse, notes de séance, relevés de mesures) et les enregistrements cliniques/financiers (paiements, appel) NE FONT PAS L'OBJET D'UN DELETE — ILS SONT CONSERVÉS DE FAÇON RESTREINTE, SANS LIEN AVEC LA PERSONNE : le lien avec la personne (tel que client_id/specialist_id) est rompu au niveau de la base de données (ON DELETE SET NULL) ; certains champs de texte libre (réponses à l'anamnèse, notes de mesure/de paiement, motif de remboursement, référence du justificatif) sont vidés ou remplacés par un marqueur. Le texte libre des notes de séance n'est pas modifié ; comme ce texte et des informations telles que les séries de dates/de mesures peuvent conserver assez d'éléments pour réidentifier la personne, ces enregistrements ne sont pas considérés comme anonymes. Les enregistrements sont conservés avec un accès restreint pendant la durée de l'obligation de tenue des dossiers du Cabinet, puis éliminés à son terme ; le principe append-only des notes de séance est ainsi préservé.
• Les enregistrements de consentement (consent_logs) ne font pas non plus l'objet d'un DELETE ; le lien avec la personne est rompu et l'adresse IP est effacée, mais, à des fins de preuve que le consentement a été donné/retiré (avec le type, la version et l'heure), ils sont conservés 5 ans de plus en tant qu'enregistrement probatoire sans lien avec la personne (art. 5/2-e de la KVKK — établissement et protection d'un droit ; la charge de la preuve du consentement explicite incombe au responsable du traitement).
• Pièces jointes : l'avatar/la photo de profil de l'utilisateur, les pièces jointes d'anamnèse et les images de justificatifs de paiement (les buckets avatars, anamnesis-attachments, user-data-exports et payment-receipts du Storage) sont supprimés du Storage de façon automatique (best-effort) dans le cadre de l'étape de suppression définitive — si la suppression échoue dans un bucket, l'échec est journalisé, mais il n'empêche ni le nettoyage des autres buckets ni le traitement du compte. Limite assumée : la seule catégorie de fichiers exclue de ce processus automatique est celle des justificatifs d'identité/de diplôme téléversés lors de l'inscription du spécialiste/indépendant (bucket specialist-verification-docs) — techniquement, ces documents ne sont pas rattachés à l'utilisateur, mais au processus de vérification du tenant (du Cabinet), et ils ne sont pas inclus aujourd'hui dans la suppression automatique ; leur élimination sera traitée à part dans le processus de clôture du compte/de l'abonnement du Cabinet au niveau du tenant et, en attendant, les demandes exceptionnelles sont examinées manuellement via hello@corenta.app.
• Aucun des processus ci-dessus ne peut être déclenché ni arrêté manuellement depuis les interfaces normales du produit (y compris par le personnel administratif) — c'est un choix de sécurité délibéré, destiné à éviter les suppressions anticipées/tardives par erreur ou par abus.
• C'est pourquoi la présente Notice ne prend pas l'engagement absolu que "lorsque le compte est supprimé, toutes les données sont détruites physiquement et sans exception" : si l'enregistrement d'authentification et les enregistrements sans valeur commerciale propre sont supprimés définitivement, les enregistrements de santé/cliniques/financiers et les enregistrements de consentement restent conservés sans lien avec la personne et avec un accès restreint (pendant les durées exposées ci-dessus) en raison de l'obligation de tenue des dossiers du Cabinet (sous réserve, conformément à l'art. 7/2 de la KVKK, des dispositions de conservation prévues par d'autres lois) ; ces enregistrements ne sont pas anonymes ; pour les résidus techniques dans les sauvegardes, voir aussi veri-saklama-imha-politikasi.md Section 6.3.
• Canaux de demande : la demande de suppression du compte peut être faite via la fonction en libre-service "Supprimer mon compte" de l'application, la méthode la plus fiable et la plus directe ; dans ce cas, la fonction est déclenchée directement par l'utilisateur et le processus en deux étapes décrit ci-dessus se déroule automatiquement (il ne s'agit pas d'une demande adressée à Teta Studio, mais d'une fonction automatique du système lancée par l'utilisateur lui-même). Si, pour une raison quelconque, l'utilisateur ne peut pas utiliser la fonction de l'application, il peut aussi adresser sa demande au Cabinet ou à hello@corenta.app ; la demande est alors examinée et traitée dans un délai raisonnable et, dans la mesure nécessaire, le même processus de suppression est engagé. Il s'agit d'une exception à la règle générale de demande exposée au point B.9 ci-dessous ("il faut d'abord s'adresser au Cabinet"), qui tient uniquement au fait que la fonction en libre-service de l'application peut être déclenchée directement par l'utilisateur.

b) Demande d'information / Portabilité des données : La Plateforme propose une fonction (export_user_data) permettant à l'utilisateur d'exporter ses propres données. Conformément à la structure multi-tenant, cette fonction ne contient que les données de l'utilisateur concerné dans le périmètre de son propre tenant. Les données sont fournies dans un délai raisonnable, dans un format structuré et lisible par machine (JSON). Lorsque le fichier peut être préparé, les données sont également fournies en ZIP via un lien personnel (signé) valable 7 jours ; si le ZIP ne peut pas être préparé, seule la sortie JSON est fournie.

c) Droit de rectification : La mise à jour des informations de l'utilisateur est techniquement possible depuis l'interface de gestion du Cabinet. La Plateforme ne comporte pas de processus automatisé et indépendant de "demande de rectification" ; les demandes de rectification peuvent être adressées, dans le cadre des droits généraux de l'art. 11 de la KVKK, au Cabinet ou à Teta Studio via hello@corenta.app.

d) Retrait du consentement : la confirmation de lecture de la notice d'information n'est pas un consentement ; elle ne crée aucune autorisation à retirer. L'utilisateur peut retirer à tout moment, depuis l'application mobile, son consentement aux données de santé et son autorisation des notifications promotionnelles du cabinet. Le retrait du consentement aux données de santé n'a aucune incidence sur les rendez-vous ni sur l'utilisation du compte ; après le retrait, aucune nouvelle donnée de santé n'est enregistrée, et les enregistrements antérieurs sont conservés selon les règles du point B.8/a.

e) Autres droits de l'art. 11 : les droits de savoir si un traitement a lieu, de savoir s'il est conforme à sa finalité, de connaître les tiers auxquels les données ont été transférées, de demander la rectification d'un traitement incomplet/inexact et de demander réparation du préjudice causé par un traitement illicite s'exercent en premier lieu auprès du Cabinet ; ils ont le même contenu que le cadre énuméré au point A.8.

B.9. Modalités de demande

Les clients et le personnel des cabinets doivent adresser leurs demandes relevant de la KVKK en premier lieu à leur propre Cabinet ; en tant que Responsable du traitement, le Cabinet est tenu d'y répondre selon la procédure de l'art. 13 de la KVKK et dans un délai maximal de trente (30) jours. Exception : les mécanismes en libre-service de l'application, comme la suppression du compte (voir B.8/a), peuvent être utilisés directement par l'utilisateur, sans intermédiaire du Cabinet ; pour les autres demandes au titre de l'art. 11 de la KVKK, la règle est de s'adresser d'abord au Cabinet.

Pour les demandes de nature technique à adresser directement à Teta Studio (par exemple si la fonction de suppression du compte ou d'export des données ne fonctionne pas) ou pour les questions portant sur les activités que Teta Studio mène elle-même en qualité de sous-traitant, vous pouvez écrire à hello@corenta.app. Teta Studio peut transmettre au Cabinet, dans le cadre du DPA, les demandes qu'elle reçoit et qui nécessitent la connaissance ou les instructions du Cabinet concerné.

B.10. Obligations du Cabinet

Tout Cabinet qui utilise Corenta reconnaît avoir la qualité de Responsable du traitement au sens de l'art. 3/ı de la KVKK et que les obligations suivantes lui incombent exclusivement :

• Rédiger/fournir la Notice d'information KVKK destinée à ses Clients et Utilisateurs (l'écran d'information commun prêt à l'emploi et les écrans de consentement facultatif de l'application mobile Corenta sont proposés à cette fin comme outil technique, mais garantir l'adéquation du contenu à sa propre activité relève de la responsabilité du Cabinet ; si le Cabinet l'estime nécessaire, il peut mener son propre processus d'information complémentaire, conformément au point B.1),
• Déterminer la base légale du traitement des données de santé (consentement explicite facultatif de l'art. 6/3-a ou art. 6/3-e) ; si un consentement explicite est nécessaire, le recueillir en bonne et due forme sans en faire une condition du service,
• Communiquer aux clients ses propres informations d'identification (raison sociale, adresse, contact pour les demandes KVKK) (le texte commun de l'application ne contient pas aujourd'hui ces informations automatiquement),
• Évaluer sa propre obligation d'inscription au VERBİS ; pour les responsables du traitement dont l'activité principale est le traitement de données de santé, le seuil d'exemption du VERBİS est de 10 salariés par an et 10 millions de TL de total de bilan (Kurul 2025/1572),
• Répondre aux demandes des personnes concernées dans les délais prévus à l'art. 13 de la KVKK,
• Assurer la sécurité des données à l'égard de son propre personnel et de ses propres sous-traitants,
• Respecter les obligations prévues par l'Accord de traitement des données/les Conditions de service conclus avec Corenta.

Teta Studio n'assume aucune responsabilité découlant du non-respect par le Cabinet des obligations ci-dessus.

PARTIE C — NOTICE D'INFORMATION RELATIVE AU COMPTE ET À LA PLATEFORME CORENTA (Teta Studio responsable du traitement)

La présente partie décrit les traitements que Teta Studio effectue en son nom propre et pour ses propres finalités. Pour ces activités, Teta Studio est responsable du traitement au sens de l'art. 3/1-ı de la KVKK. Ce texte s'affiche lors de la création du compte du propriétaire/salarié du cabinet et lorsque le client utilise pour la première fois Découvrir ou la fonction d'avis. Les fonctionnalités inter-studios ci-dessous (ligue, invitation, Studio fondateur, Corenta Lab, Découvrir v2) figurent dans cette partie parce qu'elles réunissent plusieurs cabinets et que leur finalité est fixée par Teta Studio. Les informations traitées au nom du studio ne sont pas des données personnelles lorsque l'établissement est une personne morale ; pour les studios exploités en entreprise individuelle et les studios d'une seule personne, elles peuvent être rattachées à une personne et sont donc présentées ici.

C.1. Responsable du traitement

Mertcan Demir — entreprise individuelle exploitée sous le nom commercial "Teta Studio" (identité et coordonnées : A.1). Demandes : hello@corenta.app.

C.2. Traitements, finalités et bases légales

Découvrir et invitation à laisser un avis : si le cabinet active Découvrir, l'invitation à laisser un avis est envoyée sur la base des informations du rendez-vous terminé. Par l'Accord de traitement des données, le cabinet donne instruction de transmettre ces informations à Teta Studio uniquement pour envoyer l'invitation et publier l'avis vérifié ; aucun envoi n'a lieu dans les cabinets où Découvrir est désactivé. Un avis publié peut montrer publiquement que vous avez reçu un service d'un établissement de santé/de remise en forme ; pensez-y avant de le publier.

Mesure pseudonymisée : la mesure est effectuée avec un identifiant pseudonyme du cabinet ; cet identifiant est un pseudonyme et, dans un établissement d'une seule personne, il peut être rattaché à celle-ci. Elle ne comporte ni adresse IP, ni donnée de santé, ni suivi de provenance/publicitaire. La fonctionnalité est actuellement désactivée ; ce texte sera mis à jour avant son activation.

Visibilité dans les fonctionnalités communautaires et de croissance : les informations montrées aux autres utilisateurs dans la ligue, la liste des Studios fondateurs, Corenta Lab et Découvrir se limitent à celles indiquées dans le tableau ci-dessus. Ces fonctionnalités ne traitent aucune donnée de santé des clients (détail : B.3-A). L'invitation entre studios, le Studio fondateur et le Lab ne donnent lieu à aucune récompense en argent ni réduction de prix ; les récompenses sont des avantages dans l'application, comme 7 jours de Boost, une période d'essai ou des crédits.

C.3. Destinataires et transfert à l'étranger

Supabase (hébergement ; Francfort, Allemagne), Vercel (panneau web), Google (e-mail Google Workspace, Firebase Cloud Messaging, Google Play) et Apple (APNs, App Store). Le transfert vers ces fournisseurs est un transfert à l'étranger ; sa base et sa situation actuelle sont exposées au paragraphe "Transfert à l'étranger" du point B.5 (pour ces flux, dont Corenta est responsable du traitement, le contrat type Module 2 — de responsable du traitement à sous-traitant — sera utilisé ; à la date du présent texte, il n'est pas encore signé).

C.4. Messages électroniques commerciaux

Teta Studio n'envoie d'e-mails promotionnels et de campagne que si vous y avez consenti séparément, au moyen d'une case non cochée par défaut. Teta Studio n'envoie pas d'e-mails promotionnels sans être inscrite à l'İleti Yönetim Sistemi (İYS) ; après l'inscription, les consentements sont chargés dans l'İYS sous 3 jours ouvrables. Chaque message promotionnel indique l'identité de l'expéditeur, ses coordonnées et un lien de désinscription gratuit. Les e-mails relatifs à la période d'essai, à l'invitation de l'équipe et à l'assistance sont des messages de service ; ils ne contiennent aucun élément promotionnel.

C.5. Conservation, droits et demandes

Les durées de conservation figurent dans veri-saklama-imha-politikasi.md. Parmi les enregistrements ajoutés le 18 octobre 2026, les empreintes d'essai répété et les enregistrements de ligue, d'invitation, de Studio fondateur et de Lab sont conservés jusqu'à la suppression définitive du compte du studio concerné ; les enregistrements d'appareils, jusqu'à la suppression définitive du compte de l'utilisateur. Aucune durée maximale propre n'a encore été définie pour ces enregistrements ; elle sera ajoutée à la politique de conservation. Vous pouvez exercer vos droits au titre de l'art. 11 de la KVKK (A.8) en écrivant à hello@corenta.app ; les demandes reçoivent une réponse gratuite dans un délai de 30 jours au plus.

DISPOSITIONS COMMUNES (applicables à toutes les parties)

G.1. Décisions automatisées et profilage

Corenta ne réalise aucun profilage à des fins publicitaires ou marketing. Toutefois, depuis le 18 octobre 2026, les règles suivantes s'appliquent automatiquement et peuvent produire un résultat défavorable limité pour la personne ou le studio concerné :

Le signal d'essai répété n'est pas une décision automatisée : la correspondance ne bloque pas l'essai, elle est seulement soumise à l'examen de l'administrateur de la plateforme. Conformément à l'art. 11/1-g de la KVKK, votre droit de vous opposer à un résultat défavorable découlant de l'analyse des données exclusivement au moyen de systèmes automatisés est réservé.

G.2. Mise à jour de la Notice d'information

La présente Notice d'information peut être mise à jour à la suite de modifications législatives, de décisions du Kişisel Verileri Koruma Kurulu, de l'évolution fonctionnelle de la Plateforme ou de changements de sous-traitants ultérieurs/prestataires. La version en vigueur sera toujours accessible sur corenta.app/legal/kvkk-aydinlatma-metni et dans l'écran des documents de l'application. Dans le cadre du produit SaaS (Partie B), lorsque la version de la notice change, l'utilisateur est invité, à sa prochaine connexion, à indiquer qu'il a lu le nouveau texte ; il ne s'agit pas d'un consentement, mais de la preuve que l'information a été délivrée (voir B.2).

G.3. Droit applicable et juridiction

La présente Notice d'information a été établie dans le cadre de la loi n° 6698 relative à la protection des données personnelles (KVKK) et de ses textes d'application (Règlement relatif à l'effacement, à la destruction ou à l'anonymisation des données personnelles ; Règlement relatif au registre des responsables du traitement ; Communiqué relatif aux procédures et principes de l'obligation d'information ; Communiqué relatif aux procédures et principes des demandes adressées au responsable du traitement). L'interprétation et l'application du présent texte sont régies par le droit de la République de Turquie ; en cas de litige, sont compétents le Kişisel Verileri Koruma Kurulu ainsi que les tribunaux/offices d'exécution turcs compétents.

G.4. Contact

Pour toute question, demande ou réclamation relative au traitement des données personnelles :

• E-mail : hello@corenta.app
• Assistance : support@corenta.app
• Zone de service : Corenta est proposée dans le monde entier via l'App Store et Google Play, dans les pays où ces boutiques sont disponibles. Ce texte est la notice d'information au titre de la loi n° 6698 ; pour les personnes situées dans l'UE/EEE, la Déclaration RGPD s'applique également, et les dispositions impératives en matière de protection des données du pays où vous vous trouvez sont réservées.
• Site institutionnel : corenta.app

Entrée en vigueur / dernière mise à jour : 19 octobre 2026 Version : 2.3 · 19 octobre 2026. L'historique des modifications figure au début du document.