CORENTA — OBAVIJEST PREMA ZAKONU O ZAŠTITI OSOBNIH PODATAKA (KVKK)

Ovaj prijevod služi samo za informaciju; pravno obvezujući tekst je onaj na turskom jeziku.

Obavijest u tri dijela, ovisno o svojstvu voditelja obrade / izvršitelja obrade

Verzija: 2.3 · Stupanje na snagu / posljednje ažuriranje: 19. listopada 2026. Voditelj obrade / izdavač (Dijelovi A i C): Mertcan Demir — obrt pod tvrtkom "Teta Studio"

Dnevnik izmjena

• 2.3 — 19. listopada 2026.: Obrađen je globalni opseg: izraz "samo Turska" u G.4 zamijenjen je ponudom u više zemalja putem trgovina i upućivanjem na Izjavu prema GDPR-u za EU/EGP. Aktivnosti obrade i pravne osnove nisu se promijenile.
• 2.2 — 19. listopada 2026.: Verzija za objavu; datum stupanja na snagu 19. listopada 2026. Iz tablice identiteta A.1 uklonjeni su prazni podaci MERSİS i KEP. Rok čuvanja grupnih poruka u B.8/a povezan je s Pravilima o čuvanju i uništavanju podataka.
• 2.1 — 18. listopada 2026.: Obrađene su funkcije dodane 18. listopada 2026.: grupe klinike, izazovi unutar studija, značke klijenata i kartica vjernosti, tjedni zadaci i mjesečna izvješća (Dio B); liga studija i gradski izazovi, prenosiva profilna kartica specijalista, kod pozivnice od studija do studija, program studija osnivača, Corenta Lab, Otkrij v2 (kratki videozapisi, probni sat, sponzorirano mjesto), oznaka ponavljanja probnog razdoblja, povezivanje uređaja i "Moje sesije", djelomični povrat novca u trgovini i zahtjev Applea za podacima o korištenju (Dio C). Način postupanja sa zdravstvenim podacima u grupi, ligi, izazovu i profilnoj kartici opisan je u zasebnom dijelu (B.3-A). G.1 je ispravljen: jasno su navedena tri pravila koja proizvode automatski rezultat koji utječe na osobu (provjera zlouporabe pozivnica, skrivanje grupne poruke nakon tri prijave, isključenje iz lige). Mobilna dopuštenja ispravljena su prema kodu (dopuštenje za kameru ne traži se). Isključene funkcije (provjera dijeljenja, signal potražnje, jamstvo Boosta, provjera uređaja, Turnstile, Sentry) nisu navedene u ovom tekstu; prije uključivanja potrebno je zasebno ažuriranje teksta.
• 2.0 — 11. listopada 2026.: Prema pregledu usklađenosti od 11. listopada 2026. (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): dijelovi o prijenosu u inozemstvo preoblikovani su prema stanju čl. 9. Zakona br. 6698 nakon 2024. (uključujući Supabase/Frankfurt, riječ je o prijenosu u inozemstvo; standardni ugovori još nisu potpisani); obavijest je odvojena od izričite privole (obavijest nije "odobrenje", nego potvrda "Pročitao/la sam i razumijem"; obvezno polje odobrenja u obrascu za rani pristup uklonjeno je); privola za zdravstvene podatke opisana je kao dobrovoljna; za aktivnosti u kojima je Teta Studio voditelj obrade dodan je novi Dio C — Obavijest o Corenta računu i platformi; podaci o identitetu ispravljeni su na obrt; procjena za VERBİS opisana je prema odlukama Odbora iz 2025.; obavijest klinici o povredi ispravljena je na najkasnije 24 sata; izraz o "anonimnom" čuvanju ispravljen je na ograničeno čuvanje s prekinutom vezom s osobom; brisanje privitaka i poveznica za izvoz povezani su s jedinstvenim izrazom provjerenim u kodu; ispravljena su pogrešna upućivanja na propise.
• 1.6 — 10. listopada 2026.: Expo (Expo Push Notification Service) uklonjen je iz evidencija podizvršitelja/izvršitelja obrade; push obavijesti prenose se samo putem Applea (APNs) i Googlea (FCM), Expo/EAS samo je alat za izradu aplikacije i ne obrađuje podatke krajnjih korisnika.
• 1.5 — 10. listopada 2026.: Uklonjen je izraz o odabiru Google Analyticsa; pojašnjeno je da se ne koristi analitika trećih strana i tko su izvršitelji obrade push obavijesti.
• 1.4 — 4. listopada 2026.: Postojeći tekst fiksiran je kao odobrena verzija. U ovoj su verziji obrađeni samo: oznaka tvrtke Teta Studio; tržište (Turska); brisanje računa (pristup se odmah prekida, osobni podaci brišu se/anonimiziraju, zapisi o plaćanjima koji zahtijevaju zakonsko čuvanje čuvaju se bez identiteta); brisanje zdravstvenih polja klijenta nakon 30 dana; rok od 7 dana za potvrde bez veze; skrivanje kontakata klijenta u načinu podrške; mjerenje bez identiteta na strani poslužitelja; e-poruke usluge i Google Workspace; izvršitelji obrade push obavijesti; adresa podrške (support@corenta.app); pravo upisa u zdravstvena polja.
• 1.3 — 4. kolovoza 2026.: usklađivanje dijelova B.6 i B.8/a s pravilima o čuvanju i uništavanju.

0. O ovom tekstu — opseg i vodič za čitanje

Ova Obavijest prema Zakonu o zaštiti osobnih podataka ("Obavijest") pripremljena je u skladu s čl. 10. Zakona br. 6698 o zaštiti osobnih podataka ("KVKK" ili "Zakon") i Priopćenjem o postupcima i načelima koja se primjenjuju pri ispunjavanju obveze informiranja, radi informiranja ispitanika o obradi osobnih podataka u kontekstu softverskog proizvoda (SaaS) pod nazivom Corenta ("Corenta", "Proizvod" ili "Platforma") koji razvija i vodi Mertcan Demir ("Teta Studio", "mi"), koji posluje kao obrt pod tvrtkom "Teta Studio", te internetske stranice corenta.app na kojoj se taj proizvod predstavlja.

Corenta je višekorisnička (multi-tenant) softverska platforma (Software-as-a-Service) prvenstveno za mobilne uređaje, namijenjena butik poslovima u području zdravlja i wellnessa poput centara kliničkog pilatesa, fizioterapije, reformera, wellnessa/masaže i joge, koja omogućuje upravljanje terminima, praćenje paketa/seansi, anamnezu i bilješke o seansama klijenata te praćenje honorara i financijskih transakcija.

0.1 Definicije

0.2 Dva različita konteksta — zašto je to važno

U ekosustavu Corente osobni se podaci obrađuju u tri različita konteksta i u dva različita svojstva: Dio A (promotivna stranica; Teta Studio voditelj obrade), Dio B (zapisi klinike; Teta Studio izvršitelj obrade) i Dio C (Corenta račun, pretplata, e-poruke usluge, Otkrij/ocjene, funkcije rasta između studija poput lige, pozivnice, studija osnivača, Corenta Laba, prenosive profilne kartice, sigurnost računa i uređaja te mjerenje proizvoda; Teta Studio voditelj obrade). Jasno razumijevanje te razlike ključno je za ispravno tumačenje Obavijesti, a dva se konteksta nipošto ne smiju miješati:

Zdravstveni podaci klijenta klinike nastali u aplikaciji Corenta i podaci vlasnika posla koji ispunjava obrazac za rani pristup na stranici corenta.app pravno podliježu potpuno različitim režimima. Dijelovi u nastavku strukturirani su prema toj razlici.

DIO A — KORPORATIVNA INTERNETSKA STRANICA I OBRAZAC ZA RANI PRISTUP (corenta.app)

Ovaj dio vrijedi za fizičke osobe koje posjećuju internetsku stranicu corenta.app, komuniciraju sa stranicom i/ili ispunjavaju obrazac prijave za rani pristup. U tom kontekstu Teta Studio djeluje u svojstvu Voditelja obrade prema čl. 3/ı KVKK-a i sam određuje svrhe i sredstva obrade osobnih podataka.

A.1. Identitet voditelja obrade

A.2. Kategorije osobnih podataka koje se obrađuju

Prilikom posjeta internetskoj stranici corenta.app, ispunjavanja obrasca za rani pristup, slanja kontaktnog obrasca ili zahtjeva za demonstraciju/prodajni razgovor mogu se obrađivati sljedeće kategorije osobnih podataka:

(*) Objašnjenje uz napomenu o kolačićima: Na datum objave ovog teksta na stranici corenta.app ne postoji aktivna traka/sučelje za upravljanje kolačićima ni infrastruktura kolačića trećih strana; IP adresa/podaci o uređaju/pregledniku navedeni u gornjem retku obrađuju se ograničeno, samo u okviru osnovnih zapisnika poslužitelja i sigurnosti obrasca, bez korištenja aktivne tehnologije kolačića. Iako je u infrastrukturi sustava tehnički definirana kategorija privole za kolačiće (cookies), ta se kategorija trenutačno stvarno ne koristi. U slučaju prelaska na korištenje kolačića ova Obavijest i zasebna Pravila o kolačićima bit će ažurirani, a potrebni mehanizmi odobrenja bit će uvedeni. Posebne kategorije osobnih podataka u ovom se kontekstu ne obrađuju.

Ti se podaci dobivaju samo kada ispitanik vlastitom voljom ispuni obrazac ili stupi u kontakt ili automatski zbog tehničkog funkcioniranja stranice (poput IP adrese).

A.3. Svrhe obrade osobnih podataka i pravne osnove

U tablici u nastavku svaka je svrha obrade prikazana zajedno s pravnom osnovom iz čl. 5/2 KVKK-a na kojoj se temelji:

Važno: Marketinška komunikacija iz točke 7 temelji se samo na odobrenju koje je ispitanik zasebno i izričito dao za tu svrhu; to odobrenje nije obvezan uvjet prijave za rani pristup i može se povući u bilo kojem trenutku (vidi A.8).

A.4. Način prikupljanja osobnih podataka

Osobni podaci prikupljaju se u elektroničkom obliku ispunjavanjem obrazaca za rani pristup/kontakt na stranici corenta.app, izravnom komunikacijom e-poštom, demonstracijskim/prodajnim razgovorima te automatski putem tehničke infrastrukture stranice (IP adresa itd.).

A.5. Prijenos osobnih podataka

Vaši se osobni podaci mogu dijeliti s dobavljačima koji pružaju tehničke usluge poput smještaja (hosting), prikupljanja obrazaca, slanja e-pošte, analitike, sigurnosti i slično, ograničeno radi pružanja tih usluga i u okviru uvjeta predviđenih čl. 8. i 9. KVKK-a. To se dijeljenje provodi samo u mjeri potrebnoj za pružanje odgovarajuće usluge i ograničeno je na tu svrhu.

Poznati pružatelji tehničke infrastrukture/koji se koriste u tom kontekstu:

Napomena — infrastruktura u kojoj se pohranjuju podaci iz obrazaca: Na datum pripreme ovog teksta tehnički nije potvrđeno čuvaju li se podaci iz obrazaca za rani pristup/kontakt u konačnici samo u vlastitoj infrastrukturi obrazaca Framera ili se prenose i u bazu podataka Corente temeljenu na Supabaseu (vidi Dio B, B.5 — Supabase, Frankfurt/Njemačka). Kako se to pitanje bude potvrđivalo, ova će se tablica prema potrebi ažurirati dodavanjem retka za Supabase; u svakom se slučaju vaši podaci iz obrasca obrađuju samo u svrhe opisane u ovom Dijelu A i u skladu s KVKK-om.

Osim tih dijeljenja, vaši se osobni podaci ne prodaju, ne iznajmljuju i ne prenose trećim stranama u marketinške svrhe. Slučajevi zakonske obveze (sudska odluka, zahtjev nadležnog javnog tijela itd.) iznimka su od tog pravila.

Prijenos u inozemstvo: Framer i Google Workspace obrađuju podatke izvan Turske; to je prijenos u inozemstvo u smislu Zakona br. 6698. Budući da su ti prijenosi redoviti i trajni, ne temelje se na izričitoj privoli; temeljit će se na jednom od uvjeta obrade iz čl. 5. KVKK-a i, prema čl. 9/4-c, na standardnim ugovorima koje je objavio Odbor za zaštitu osobnih podataka. Na datum ovog teksta standardni ugovori s pružateljima još nisu potpisani niti su prijavljeni Odboru. Svaki će se potpisani ugovor prijaviti Odboru u roku od 5 radnih dana od datuma potpisa, a ovaj će se dio ažurirati popisom pružatelja i datuma. Ne postoji odluka o primjerenosti koju je Odbor objavio za te zemlje (posljednja provjera: 11. listopada 2026.).

A.6. Rok čuvanja

Vaši se osobni podaci čuvaju onoliko dugo koliko zahtijeva odgovarajuća svrha obrade i, u svakom slučaju, ne dirajući rokove zastare predviđene odgovarajućim propisima:

• Prijave za rani pristup: Najdulje 2 godine od procjene prijave i završetka postupka komunikacije; ako se u tom roku ne stupi u kontakt ili postupak završi, brišu se/anonimiziraju ranije. Napomena o transparentnosti: Na datum pripreme ovog Teksta u sustavu ne postoji mehanizam pregledavanja/brisanja koji automatski radi i odgovara tom najduljem roku; rok je pravna gornja granica, a brisanje/anonimizacija trenutačno se provodi ručno/na zahtjev.
• Zapisi o komunikaciji: Do prestanka svrhe komunikacije.
• Analitički podaci/tehnički zapisnici: Onoliko dugo koliko iznosi zadani/dopušteni rok čuvanja alata/infrastrukture koja se koristi.
• Zapisi o pravnim sporovima i obvezama: Tijekom najkraćeg roka predviđenog odgovarajućim propisima.

Po isteku roka čuvanja osobni se podaci brišu, uništavaju ili anonimiziraju u skladu s čl. 7. KVKK-a i Uredbom o brisanju, uništavanju ili anonimizaciji osobnih podataka. Za detaljnu tablicu rokova i metode uništavanja vidi veri-saklama-imha-politikasi.md (Dio 4, Redak 9).

A.7. Informiranje i odobrenje za komercijalne poruke u obrascu za rani pristup

Obrada vaše prijave ne temelji se na privoli, nego na pravnim osnovama iz A.3. Zato u obrascu nema polja odobrenja za obavijest; obavijest i privola drže se odvojeno.

Informiranje (bez polja odobrenja): Neposredno iznad gumba za slanje prikazuju se sljedeći tekst i poveznica na ovu Obavijest:

"Vaši se podaci obrađuju radi procjene vaše prijave i stupanja u kontakt s vama (KVKK čl. 5/2-c, f). Pojedinosti: Obavijest."

Dobrovoljno odobrenje za komercijalne poruke (zasebno polje, prema zadanim postavkama NIJE OZNAČENO):

"Odobravam da mi Teta Studio e-poštom šalje najave i kampanje Corente."

Neodobravanje komercijalnih poruka ne utječe na procjenu prijave. Teta Studio ne šalje promotivne e-poruke bez registracije u Sustavu upravljanja porukama (İYS); nakon registracije odobrenja se učitavaju u İYS u roku od 3 radna dana. Odobrenje se može povući poveznicom za odbijanje u svakoj poruci.

A.8. Prava ispitanika (KVKK čl. 11) i način podnošenja zahtjeva

Prema čl. 11. KVKK-a, svaki ispitanik čiji se osobni podaci obrađuju ima, obraćanjem Voditelju obrade, sljedeća prava:

a) saznati obrađuju li se njegovi osobni podaci, b) ako su osobni podaci obrađeni, zatražiti informacije o tome, c) saznati svrhu obrade osobnih podataka i koriste li se u skladu sa svrhom, ç) znati treće osobe u zemlji ili inozemstvu kojima se osobni podaci prenose, d) zatražiti ispravak osobnih podataka ako su obrađeni nepotpuno ili netočno, e) zatražiti brisanje ili uništavanje osobnih podataka u okviru uvjeta predviđenih čl. 7. KVKK-a, f) zatražiti da se postupci provedeni prema točkama (d) i (e) priopće trećim osobama kojima su osobni podaci preneseni, g) prigovoriti nastanku rezultata na vlastitu štetu analizom obrađenih podataka isključivo putem automatiziranih sustava, ğ) zatražiti naknadu štete ako pretrpi štetu zbog nezakonite obrade osobnih podataka.

Osim toga, za obrade koje se temelje na odobrenju (komercijalna elektronička poruka), dano odobrenje, neovisno o općim pravima iz čl. 11. KVKK-a, može se povući u bilo kojem trenutku i bez navođenja razloga. Povlačenje odobrenja ne utječe na zakonitost obrade prije povlačenja.

Način podnošenja zahtjeva: Za ostvarivanje gore navedenih prava svoje zahtjeve možete pisanim putem poslati na adresu hello@corenta.app, zajedno s podacima potrebnima za utvrđivanje vašeg identiteta, na način predviđen čl. 13. KVKK-a i Priopćenjem o postupcima i načelima podnošenja zahtjeva Voditelju obrade. Vaši se zahtjevi rješavaju besplatno, ovisno o njihovoj naravi, najkasnije u roku od 30 (trideset) dana, postupcima koji ne zahtijevaju posebne troškove; ako postupak zahtijeva dodatni trošak, može se naplatiti naknada prema tarifi koju odredi Odbor za zaštitu osobnih podataka.

DIO B — KORIŠTENJE SAAS PROIZVODA CORENTA OD STRANE KLINIKA

Ovaj dio vrijedi za osoblje klinike (voditelj, specijalist/instruktor, recepcija itd.) koje Corentu koristi putem centra kliničkog pilatesa, fizioterapije, reformera, wellnessa/masaže ili joge ("Klinika") te za klijente/pacijente tih klinika.

B.1. Pravna osnova podjele uloga — molimo pročitajte pažljivo

Klinika koja kupi Corentu i stavi je u upotrebu ima svojstvo "Voditelja obrade" prema čl. 3/ı KVKK-a u pogledu osobnih podataka vlastitih klijenata/pacijenata i vlastitog osoblja. Obveza informiranja prema KVKK-u prema klijentima/pacijentima i osoblju te, prema potrebi, pribavljanje izričitih privola (osobito privole za posebne kategorije podataka u vezi s obradom zdravstvenih podataka) prvenstveno su i u konačnici odgovornost Klinike.

Teta Studio (Corenta) prema čl. 3/ğ KVKK-a samo je Izvršitelj obrade. Teta Studio te podatke obrađuje prema uputama Klinike i u ime Klinike, samo osiguravanjem tehničke infrastrukture Platforme; u vlastito ime ne određuje samostalnu svrhu obrade i nad tim podacima ne provodi obradu izvan uputa Klinike u vlastite komercijalne svrhe (oglašavanje, prodaja trećim stranama itd.). Obrade koje Teta Studio provodi u vlastite svrhe (korisnički račun klinike, pretplata, e-poruke usluge, poziv na Otkrij/ocjenu i komentari, sigurnost i mjerenje proizvoda pod pseudonimom) nisu predmet ovog Dijela B, nego Dijela C; u tim je aktivnostima Teta Studio voditelj obrade.

Proizvod Corenta nudi alate koji tehnički olakšavaju Klinici ispunjavanje tih obveza (zaslon privole u mobilnoj aplikaciji, evidencije privola s verzijama, mehanizam povlačenja itd.; vidi B.2). Postojanje tih alata ne znači da je Klinika na Teta Studio prenijela pravne obveze koje proizlaze iz njezina svojstva Voditelja obrade niti da je Teta Studio te obveze preuzeo.

Odnos izvršitelja obrade između Klinike i Teta Studija uređuje se zasebnim Ugovorom o obradi podataka (Data Processing Agreement/DPA); taj ugovor detaljno određuje kategorije podataka koji će se obrađivati, svrhe obrade, sigurnosne mjere, korištenje podizvršitelja obrade i obveze strana iz čl. 12. KVKK-a.

Ovaj Dio B ne zamjenjuje obavijest koju će Klinika pružiti vlastitim klijentima/osoblju niti je njezina zamjena. Svrha je ovog dijela transparentno objasniti koje podatke Teta Studio u svojstvu Izvršitelja obrade obrađuje na Platformi i u koju svrhu te pružiti okvir koji Klinika može koristiti kao referencu pri pripremi vlastite obavijesti. Ako Klinika zajednički/središnji zaslon obavijesti i zaslone dobrovoljne privole koje Corenta nudi u mobilnoj aplikaciji (vidi B.2) ne smatra dostatnima, može zasebno, vlastitim sredstvima (pisani tekst, e-pošta, informiranje uživo itd.), provesti dodatni/zaseban postupak informiranja za vlastite Klijente i osoblje; to ulazi u okvir vlastite pravne odgovornosti Klinike.

B.2. Mehanizam obavijesti i privole unutar Platforme (informativno)

U mobilnoj aplikaciji Corenta, u fazi prvog korištenja (onboarding), postoji zaslon (kvkk.tsx) koji je pripremio Teta Studio i koji se zajednički nudi klijentima/korisnicima svih klinika. U skladu s Načelnom odlukom Odbora br. 2026/347 obavijest i privola prikazuju se u zasebnim koracima:

Evidencije se vode s verzijama u tablici consent_logs. Tehnička napomena: prikaz obavijesti danas se u toj tablici evidentira s vrstom kvkk; ta evidencija nije privola, nego potvrda da je obavijest prikazana i pročitana. Jedinstveno dopuštenje operativnog sustava za obavijesti koristi se za dostavu i obavijesti o radnjama i obavijesti o kampanjama; obavijesti o kampanjama smiju se slati samo ako je dano dopuštenje 2b.

Taj zaslon i ti tekstovi nisu posebno prilagođeni Klinici, nego se nude kao zajednička verzija na cijeloj Platformi; podaci o identitetu klinike (tvrtka, adresa, kontakt za zahtjeve) danas se ne dodaju automatski u tekst. Kada se verzija obavijesti promijeni, od korisnika se pri sljedećoj prijavi traži da potvrdi da je pročitao novi tekst (ni to nije privola). Privola za zdravstvene podatke i dopuštenje za kampanje mogu se povući u bilo kojem trenutku (prati se poljem revoked_at); povlačenje privole za zdravstvene podatke ne utječe na korištenje termina i računa.

Ako Klinika, kao zdravstveni djelatnik pod obvezom čuvanja tajne (npr. fizioterapeut), zdravstvene podatke obrađuje u svrhu liječenja na temelju čl. 6/3-e KVKK-a, umjesto zaslona izričite privole može biti dostatna samo obavijest; ostali poslovi (npr. studio pilatesa/wellnessa) zdravstvene podatke mogu obrađivati samo na temelju dobrovoljne izričite privole prema čl. 6/3-a. Na kojoj će se pravnoj osnovi temeljiti i usklađenost sadržaja obavijesti s vlastitom djelatnošću odgovornost su Klinike.

B.3. Kategorije podataka koje Teta Studio obrađuje u svojstvu Izvršitelja obrade

Zbog tehničkog funkcioniranja Platforme, prema uputi Klinike, obrađuju se sljedeće kategorije podataka:

Pravo upisa u zdravstvena polja (od 4. listopada 2026.): U zdravstvena polja klijenta (krvna grupa, alergije, kronična stanja, lijekovi) mogu upisivati samo sam klijent i njemu dodijeljeni specijalist; vlasnik/voditelj posla ne može upisivati u ta polja (može uređivati osobu za kontakt u hitnom slučaju i polja identiteta).

Mjerenje proizvoda pod pseudonimom: U toj je aktivnosti Teta Studio voditelj obrade, a pojedinosti su u Dijelu C. Mjerenje se provodi s pseudonimnim identitetom klinike; taj identitet ima narav pseudonima (nije bez identiteta). Funkcija je trenutačno isključena.

Datoteke potvrda (od 4. listopada 2026.): Datoteke potvrda koje nisu povezane s uplatom (siročad) automatski se brišu nakon 7 dana; potvrdu povezanu s uplatom ne može izbrisati nijedna uloga.

Jasnoća o mobilnim dopuštenjima (od 18. listopada 2026.): Mobilna aplikacija Corenta na razini operativnog sustava traži samo dopuštenje za obavijesti (traži se u kontekstu) i na iOS-u pristup biblioteci fotografija (u trenutku odabira profilne fotografije, privitka anamnezi, potvrde o plaćanju, slike obavijesti ili videozapisa studija); ako je zaključavanje aplikacije uključeno, provjera Face ID-om/otiskom prsta uređaja koristi se unutar uređaja i biometrijski podaci ne prenose se Corenti. Na Androidu su dopuštenja za kameru i mikrofon namjerno uklonjena iz manifesta aplikacije. Aplikacija ne traži dopuštenje za kameru, mikrofon, lokaciju, imenik (contacts), kalendar ni pristup HealthKitu/zdravstvenim senzorima. Karta u Otkrij ne koristi lokaciju uređaja; pretražuje samo prema gradu/općini ili području karte koje korisnik odabere.

Posebne kategorije osobnih podataka (zdravstveni podaci) prema čl. 6. KVKK-a mogu se obrađivati samo uz izričitu privolu ili u iznimnim slučajevima predviđenima zakonima (kada ih provode osobe pod obvezom čuvanja tajne, poput zaštite javnog zdravlja, preventivne medicine, medicinske dijagnoze/liječenja, planiranja i financiranja zdravstvenih usluga). U ekosustavu Corente te podatke unose ovlašteni zdravstveni/wellness specijalisti Klinike prema pravnoj osnovi na koju se Klinika oslanja (čl. 6/3-a dobrovoljna izričita privola ili čl. 6/3-e); Teta Studio te podatke smješta/obrađuje samo prema uputi Klinike i štiti ih pojačanim sigurnosnim mjerama (vidi B.6).

Rok čuvanja i metoda uništavanja — unakrsno upućivanje: Rok čuvanja za svaku od navedenih kategorija i metoda koja se primjenjuje nakon zahtjeva za brisanje računa (trajno brisanje ili anonimizacija) sažeti su u B.8/a, a s detaljnom tablicom i obrazloženjem objašnjeni su u veri-saklama-imha-politikasi.md (Dijelovi 4-6). Osobito za retke Zdravstveni podaci, Podaci o transakcijama/financijski podaci i Evidencije obavijesti i dopuštenja: u fazi trajnog brisanja računa ti se zapisi ne podvrgavaju DELETE; veza s osobom prekida se i neka se polja slobodnog teksta čiste. Budući da se slobodni tekst bilješke o seansi ne mijenja, ti se zapisi ni u kojem slučaju ne smatraju anonimnima; čuvaju se s ograničenim pristupom (vidi B.8/a).

B.3-A. Funkcije zajednice i rasta — odnos prema zdravstvenim podacima (od 18. listopada 2026.)

Zdravstveni podaci posebna su kategorija osobnih podataka u smislu čl. 6. KVKK-a. Funkcije u nastavku nisu osmišljene za obradu zdravstvenih podataka; za svaku je zasebno opisano kako se postupa sa zdravstvenim podacima:

U klinikama koje pružaju zdravstvene usluge poput fizioterapije, činjenica da je klijent sudjelovao u nekom satu ili grupi može pokazivati da ta osoba prima zdravstvene usluge. Zato odluka o tome hoće li se te funkcije koristiti i kako će se klijentima objasniti pripada Klinici kao voditelju obrade. Grupe klinike (group_chats) i izazovi (leagues) zasebni su moduli i osmišljeni su tako da se mogu isključiti za svaku kliniku.

B.4. Svrhe obrade i pravne osnove

Pravne osnove u tablici u nastavku, ovisno o naravi odgovarajućih podataka, mogu imati dva različita značenja: (i) pravnu osnovu na koju se Klinika (u svojstvu voditelja obrade) oslanja prema svom klijentu/osoblju ili (ii) pravnu osnovu koja vrijedi za vlastite samostalne aktivnosti Teta Studija (sigurnost platforme, naplata, pravna obveza itd.). Imajući u vidu da Teta Studio sam ne određuje samostalnu "svrhu obrade" (vidi B.1), osobito redak koji se odnosi na posebne kategorije podataka treba čitati kao odraz pravne osnove Klinike:

B.5. Prijenos osobnih podataka (u zemlji i inozemstvu)

Za rad Platforme osobni se podaci dijele sa sljedećim podizvršiteljima obrade (sub-processor) ograničeno i u tehnički potrebnoj mjeri:

Ostale napomene o infrastrukturi:

• Infrastruktura e-pošte: E-poruke usluge (probno razdoblje, poziv u tim, odgovori podrške) šalju se SMTP-om putem Google Workspacea (Google); e-poruke za provjeru identiteta (potvrda e-pošte, ponovno postavljanje lozinke) pokreće Supabase Auth. Promotivne e-poruke šalju se samo uz uvjet zasebnog odobrenja i registracije u İYS-u (vidi Dio C). Push obavijesti dostavljaju se putem Applea (APNs) i Googlea (FCM).
• Analitički alat: Ne koristi se analitički alat trećih strana (npr. Google Analytics). Mjerenje korištenja proizvoda u aplikaciji trenutačno nije aktivno; ako se aktivira, mjerenje se upisuje u tablicu prve strane koja se vodi u vlastitoj bazi podataka Corente (Supabase, Frankfurt/Njemačka), ne sadrži zdravstvene podatke ni slobodan tekst, a ovaj se Tekst ažurira prije aktivacije.
• Praćenje pogrešaka: Ne koristi se alat trećih strana za praćenje pogrešaka; pogreške klijenta evidentiraju se u vlastitoj bazi podataka Corente (Supabase).
• Prijenos poruka u stvarnom vremenu i videozapisi (od 18. listopada 2026.): Pojedinačne i grupne poruke dostavljaju se samo ovlaštenim korisnicima putem Supabaseove usluge prijenosa u stvarnom vremenu (Realtime); videozapisi studija čuvaju se u Supabaseovoj pohrani datoteka. To ulazi u opseg retka Supabase (redak 1); nije dodan novi podizvršitelj obrade.
• Plaćanje kreditnom karticom putem weba: Trenutačno nije podržano; sva plaćanja pretplate provode se isključivo putem mehanizma kupnje unutar trgovine (IAP) Applea/Googlea.

Prijenos u inozemstvo: Vaši se podaci obrađuju putem pružatelja usluga koji se nalaze izvan Turske: Supabase (baza podataka, provjera identiteta i pohrana datoteka; podaci se smještaju u Njemačkoj/Frankfurtu), Vercel (smještaj web panela; globalna infrastruktura), Google (e-pošta Google Workspace i obavijesti Firebase Cloud Messaging; globalno) i Apple (obavijesti i trgovina; globalno). I smještaj u Njemačkoj prijenos je u inozemstvo u smislu Zakona br. 6698. Budući da su ti prijenosi redoviti i trajni, ne temelje se na izričitoj privoli; temeljit će se na jednom od uvjeta obrade iz čl. 5. i 6. KVKK-a i, prema čl. 9/4-c, na standardnim ugovorima koje je objavio Odbor za zaštitu osobnih podataka. Teta Studio kao izvršitelj obrade sa svakim će podizvršiteljem obrade potpisati standardni ugovor Modul 3 (od izvršitelja do izvršitelja) i prijaviti ga Odboru u roku od 5 radnih dana od datuma potpisa. Na datum ovog teksta standardni ugovori još nisu potpisani niti prijavljeni Odboru; kada se potpis i prijava dovrše, ovaj će se dio ažurirati popisom pružatelja i datuma. Ne postoji odluka o primjerenosti koju je Odbor objavio za te zemlje (posljednja provjera: 11. listopada 2026.). Klinika te prijenose navodi u vlastitoj obavijesti.

Navedeni popis podizvršitelja obrade vodi se zasebno i ažurno kao prilog DPA-u između Klinike i Teta Studija; Klinika se o promjenama popisa podizvršitelja obrade obavještava postupkom predviđenim u DPA-u. Osobni podaci mogu se prenijeti zakonski nadležnim javnim tijelima i ustanovama samo u slučajevima predviđenima odgovarajućim propisima i ograničeno na zahtjev; Teta Studio ni na koji način ne prodaje niti iznajmljuje trećim osobama u komercijalne svrhe osobne podatke koje obrađuje.

B.6. Sigurnosne mjere

Teta Studio u svojstvu Izvršitelja obrade primjenjuje sljedeće tehničke i organizacijske mjere radi osiguravanja sigurnosti osobnih podataka koje obrađuje:

• Izolacija korisnika (multi-tenant isolation): Sve tablice podataka na platformi razdvojene su poljem tenant_id i zaštićene sveobuhvatnim pravilima Sigurnosti na razini retka (Row Level Security/RLS) prema načelu zadanog odbijanja (default-deny); pristup jedne Klinike podacima druge Klinike tehnički je onemogućen.
• Ograničenje pristupa zdravstvenim podacima: Podacima obrasca anamneze, bilješke o seansi i mjerenja na razini RLS-a mogu pristupiti samo odgovarajući klijent, specijalist dodijeljen klijentu i ovlašteni voditelj klinike; bilješke o seansama koje specijalist označi kao "podijeljene s timom" mogu vidjeti i ostali specijalisti klinike. Pristup osoblja moguć je kada je uključen odgovarajući zdravstveni modul (anamneza, mjerenje, bilješka o seansi).
• Nepromjenjivost (append-only): Poslane bilješke o seansama (kada se popuni polje submitted_at) zaštićene su na razini baze podataka tako da se ne mogu ažurirati ni izbrisati; ni za obrasce anamneze nijednoj korisničkoj ulozi (uključujući voditelja klinike) nije definirano pravo brisanja (DELETE). Jedina i uska iznimka: u postupku trajnog brisanja računa (vidi B.8/a) samo povlašteni (service-role) pozadinski proces, ne dirajući SADRŽAJ bilješke o seansi, može na razini baze podataka postaviti na NULL samo stupce veze s osobom (client_id/specialist_id); to ne narušava načelo append-only, nego je prijelaz s jedinom svrhom ispunjavanja obveze prekida veze s osobom (anonimizacija) prema KVKK-u (pojedinosti: veri-saklama-imha-politikasi.md Dio 6.2).
• Ograničenja načina podrške super-admina (impersonacija): Način pristupa super-admina koji se koristi za tehničku podršku vremenski je ograničen (30 minuta) i prema zadanim postavkama samo za čitanje; radnje pisanja i pristup zdravstvenim podacima mogu se otvoriti zasebnim koracima koji zahtijevaju dodatno odobrenje (zastavica health_data_enabled); za tablice zdravstvenih podataka ni u jednom scenariju impersonacije ne daje se pravo pisanja, a to se ograničenje bez iznimke primjenjuje u pravilima baze podataka.
• Sigurnost prijenosa: Podaci se tijekom prijenosa šifriraju TLS-om.
• Pohrana na uređaju: U mobilnoj aplikaciji tokeni sesije šifrirano se čuvaju u sigurnom hardverski podržanom privjesku ključeva uređaja (expo-secure-store temeljen na iOS Keychainu / Android Keystoreu).
• Zaštita osjetljivih zaslona: Na mobilnim zaslonima koji sadrže zdravstvene podatke blokiraju se snimke zaslona i snimanje zaslona (blokada snimanja/snimke zaslona na iOS-u; FLAG_SECURE na Androidu).
• Sigurnost administratorskih računa: Računi administratora platforme (super-admin) zahtijevaju dvofaktorsku provjeru identiteta (MFA, AAL2).
• Integritet plaćanja: Za obavijesti o plaćanjima trgovina (Apple/Google) (webhook) primjenjuje se infrastruktura provjere kriptografskog potpisa; postupak potpunog dovršetka konfiguracije u tom području u produkcijskom okruženju za sve pružatelje i stalnog poboljšanja je u tijeku.

Izričito se navodi da se, unatoč navedenim mjerama, ni za jedan informacijski sustav ne može dati apsolutno jamstvo sigurnosti. Te se mjere stalno preispituju i poboljšavaju kao dio obveza Izvršitelja obrade iz čl. 12. KVKK-a. Kada Teta Studio kao izvršitelj obrade sazna za povredu podataka, o tome bez odgode i najkasnije u roku od 24 sata obavještava Kliniku (Odbor 2019/10). Prijava Odboru i ispitanicima obveza je Klinike kao voditelja obrade. Za podatke za koje je Teta Studio voditelj obrade (Dijelovi A i C) prijavu Odboru u roku od 72 sata podnosi Teta Studio.

B.7. Dodatne informacije o načinu podrške super-admina (impersonacija)

Ovlašteno osoblje podrške Teta Studija može, u okviru zahtjeva za tehničku podršku Klinike, putem ograničenog i provjerljivog "načina podrške" privremeno pristupiti računu Klinike. Taj pristup:

• ograničen je na najviše 30 minuta i automatski prestaje po isteku vremena,
• prema zadanim postavkama ima narav samo za čitanje (read-only),
• pravo pisanja i pristup zdravstvenim podacima mogu se otvoriti međusobno odvojenim koracima koji zahtijevaju dodatno odobrenje; pristup pisanju u tablice zdravstvenih podataka ne daje se ni pod kojim uvjetom,
• evidentira se i podliježe revizijskom tragu.

Kontakti klijenta u načinu podrške (od 4. listopada 2026.): U sesiji podrške Corente (super-admin) osoblju podrške ne prikazuju se e-pošta i telefon klijenta; osoblje podrške može vidjeti samo ograničeni sažetak identiteta (ime, stanje računa, aktivnost, datum stvaranja).

B.8. Rok čuvanja osobnih podataka i način ostvarivanja prava ispitanika

Osobni se podaci čuvaju onoliko dugo koliko je potrebno za odgovarajuću svrhu i tijekom zakonskih rokova čuvanja predviđenih odgovarajućim propisima. Prava u nastavku, prema čl. 11. KVKK-a, ostvaruju se prvenstveno prema Klinici u svojstvu Voditelja obrade. Teta Studio u svojstvu Izvršitelja obrade, na zahtjev Klinike, osigurava tehničko ostvarivanje tih prava. Konkretni mehanizmi koji se nude unutar Platforme su sljedeći:

a) Pravo na brisanje: Brisanje računa (od 4. listopada 2026.): Kada se zahtjev za brisanje potvrdi, pristup računu odmah se prekida (sesije se završavaju, prijava nije moguća); osobni se podaci brišu ili anonimiziraju (čiste se ime, e-pošta, telefon, slika te podaci o identitetu/kontaktu klijenta i zdravstvena polja: krvna grupa, alergije, kronična stanja, lijekovi); zapisi o plaćanjima i honorarima koji zahtijevaju zakonsko čuvanje ne brišu se; čuvaju se s prekinutom vezom s osobom i ograničenim pristupom. Nakon zahtjeva ne postoji rok za opoziv; trajno brisanje zapisa o provjeri identiteta i datoteka dovršava se u postojećem pozadinskom postupku od trideset dana.

Brisanje zapisa o klijentu i zdravstvena polja (od 4. listopada 2026.): Kada posao izbriše zapis o klijentu koji nema račun, zapis se odmah uklanja s aktivnog popisa; nakon 30 dana, zajedno s podacima o identitetu i kontaktu, brišu se/prazne i zdravstvena polja klijenta (krvna grupa, alergije, kronična stanja, lijekovi). Ova odredba ne utječe na pravila čuvanja obrazaca anamneze, mjerenja i bilješki o seansama.

Grupne poruke i zapisi zajednice (od 18. listopada 2026.): Član može u bilo kojem trenutku izbrisati vlastitu grupnu poruku; tekst izbrisane poruke uklanja se iz zapisa. Kada se račun trajno izbriše, brišu se članstvo u grupama, zapisi o povezanim uređajima i profilne kartice specijalista; sudjelovanje u izazovu povezano je sa zapisom o klijentu i podliježe istom pravilu kao zapis o klijentu; tekst poruka prethodno poslanih u grupu ostaje u grupi, uz uklanjanje podataka o pošiljatelju. Zato korisnik koji želi ukloniti svoje poruke može ih izbrisati jednu po jednu prije brisanja računa. Tekst poruke koju je tim sakrio čuva se zasebno za pregled tima. Rokovi čuvanja grupnih poruka i te kopije nalaze se u veri-saklama-imha-politikasi.md Dio 4, Redak 12; kopija se čuva najdulje 1 godinu. Zapisi grupa, izazova, znački i vjernosti danas nisu uključeni u izvoz "Preuzmi moje podatke"; za te se zapise zahtjev za informacijama može uputiti Klinici ili na adresu hello@corenta.app.

Kada korisnik podnese zahtjev za brisanje računa iz aplikacije (funkcija delete_my_account), sustav primjenjuje arhitekturu brisanja u dvije faze. Sažetak u nastavku pošteno je i tehnički provjereno objašnjenje metode koja se primjenjuje ovisno o kategoriji podataka (trajno brisanje ili anonimizacija); za potpune pojedinosti i tablicu vidi veri-saklama-imha-politikasi.md (osobito Dijelove 4-6).

• Faza 1, trenutak zahtjeva: Pristup računu odmah se prekida (ne postoji rok za opoziv); profil se deaktivira, polja identiteta i zdravstvena polja čiste se, termini na čekanju otkazuju se, dodjele se uklanjaju, dane privole povlače se.
• Faza 2, trajna obrada nakon 30 dana: 30 dana nakon te prve faze provodi se postupak koji nepovratno pokreće samo povlašteni (service-role) pozadinski zadatak (cron) i koji se primjenjuje na dva različita načina ovisno o kategoriji podataka; taj se postupak ne može pokrenuti ručno/administrativno niti odgoditi ranije/kasnije:
• Zapis o provjeri identiteta korisnika (auth.users) i zapisi bez samostalne poslovne/dokazne vrijednosti (npr. obavijesti, notifications) trajno se brišu (DELETE/cascade).
• Zdravstveni podaci (obrasci anamneze, bilješke o seansama, zapisi o mjerenjima) i klinički/financijski zapisi (plaćanje, evidencija dolazaka) NE PODVRGAVAJU SE DELETE; ČUVAJU SE OGRANIČENO S PREKINUTOM VEZOM S OSOBOM: veza s osobom (poput client_id/specialist_id) prekida se na razini baze podataka (ON DELETE SET NULL); neka polja slobodnog teksta (odgovori u anamnezi, bilješke o mjerenjima/plaćanjima, razlog povrata, referenca računa) čiste se ili zamjenjuju oznakom. Slobodni tekst bilješke o seansi ne mijenja se; budući da u tom tekstu i u podacima poput datuma/nizova mjerenja može ostati dovoljno podataka za ponovnu identifikaciju osobe, ti se zapisi ne smatraju anonimnima. Zapisi se čuvaju s ograničenim pristupom tijekom roka obveze Klinike za vođenje evidencije i uništavaju se po isteku roka; za bilješke o seansama načelo append-only na taj se način čuva.
• Evidencije privola (consent_logs) također se ne podvrgavaju DELETE; veza s osobom prekida se i IP adresa se čisti, ali se u svrhu dokazivanja da je privola dana/povučena (s podacima o vrsti, verziji, vremenu) čuvaju još 5 godina kao dokazni zapis s prekinutom vezom s osobom (KVKK čl. 5/2-e, uspostava i zaštita prava; teret dokazivanja izričite privole snosi voditelj obrade).
• Privici: Avatar/profilna fotografija korisnika, privitak anamnezi i slike potvrda o plaćanju (bucketi avatars, anamnesis-attachments, user-data-exports, payment-receipts u Storageu) automatski se (best-effort) brišu iz Storagea kao dio koraka trajnog brisanja; ako brisanje u nekom bucketu ne uspije, to se evidentira, ali ne sprječava čišćenje ostalih bucketa ni obradu računa. Poštena granica: Jedina kategorija datoteka koja ostaje izvan opsega tog automatskog postupka su dokumenti za provjeru identiteta/diplome učitani u postupku registracije specijalista/solo korisnika (bucket specialist-verification-docs); ti dokumenti tehnički nisu povezani s korisnikom, nego s postupkom provjere tenanta (Klinike), i trenutačno nisu uključeni u opseg automatskog brisanja; njihovo će se uništavanje zasebno obraditi u postupku zatvaranja računa/pretplate Klinike na razini tenanta, a dok se to ne dovrši, za iznimne se zahtjeve provodi ručna procjena putem hello@corenta.app.
• Nijedan od navedenih postupaka ne može se ručno pokrenuti ni zaustaviti putem uobičajenih sučelja proizvoda (uključujući administrativno osoblje); to je namjeran sigurnosni dizajn radi sprječavanja preranog/zakašnjelog brisanja greškom ili zlouporabom.
• Zato se u ovom Tekstu ne preuzima apsolutna obveza da se "pri brisanju računa svi podaci bez iznimke i fizički uništavaju": dok se zapis o provjeri identiteta i zapisi bez samostalne poslovne vrijednosti trajno brišu, zdravstveni/klinički/financijski zapisi i evidencije privola zbog obveze Klinike za vođenje evidencije (prema čl. 7/2 KVKK-a odredbe o čuvanju iz drugih zakona ostaju netaknute) nastavljaju se čuvati s prekinutom vezom s osobom i ograničenim pristupom (u rokovima objašnjenima gore); ti zapisi nisu anonimni; za tehničke ostatke u sigurnosnim kopijama vidi i veri-saklama-imha-politikasi.md Dio 6.3.
• Kanali za podnošenje zahtjeva: Zahtjev za brisanje računa može se podnijeti, kao najpouzdanija metoda s izravnim rezultatom, putem samouslužne funkcije "izbriši moj račun" u aplikaciji; u tom slučaju funkciju izravno pokreće korisnik, a gore objašnjeni postupak u dvije faze odvija se automatski (to nije zahtjev upućen Teta Studiju, nego automatska funkcija sustava koju pokreće sam korisnik). Ako korisnik iz bilo kojeg razloga ne može koristiti funkciju u aplikaciji, zahtjev može alternativno uputiti i Klinici ili na adresu hello@corenta.app; u tom se slučaju zahtjev u razumnom roku procjenjuje i obrađuje te se, u mjeri u kojoj se smatra potrebnim, osigurava pokretanje istog postupka brisanja. Ta je iznimka iznimka od općeg pravila o podnošenju zahtjeva objašnjenog u B.9 u nastavku ("najprije se treba obratiti Klinici") i proizlazi samo iz toga što samouslužnu funkciju u aplikaciji korisnik može izravno pokrenuti.

b) Zahtjev za informacijama / prenosivost podataka: Platforma nudi funkciju (export_user_data) kojom korisnik može izvesti podatke koji se na njega odnose. Ta funkcija, u skladu s višekorisničkom strukturom, sadrži samo podatke odgovarajućeg korisnika u opsegu njegova vlastitog korisnika (tenant). Podaci se pružaju u razumnom roku, u strukturiranom i strojno čitljivom formatu (JSON). Kada se datoteka može pripremiti, podaci se pripremaju i kao ZIP te se daju putem osobne (potpisane) poveznice valjane 7 dana; ako se ZIP ne može pripremiti, daje se samo izlaz u JSON-u.

c) Pravo na ispravak: Ažuriranje korisničkih podataka tehnički je moguće iz panela voditelja Klinike. Unutar Platforme ne postoji ni automatizirani, samostalni tijek rada "zahtjeva za ispravak"; zahtjevi za ispravak mogu se, u okviru općih prava iz čl. 11. KVKK-a, uputiti Klinici ili Teta Studiju putem adrese hello@corenta.app.

d) Povlačenje privole: Potvrda da je obavijest pročitana nije privola; ne stvara dopuštenje koje bi se povlačilo. Korisnik može u bilo kojem trenutku putem mobilne aplikacije povući privolu za zdravstvene podatke i dopuštenje za obavijesti o kampanjama klinike. Povlačenje privole za zdravstvene podatke ne utječe na korištenje termina i računa; nakon povlačenja ne evidentiraju se novi zdravstveni podaci, a prethodni se zapisi čuvaju prema pravilima iz B.8/a.

e) Ostala prava iz čl. 11.: Prava da se sazna obrađuju li se podaci, da se sazna usklađenost sa svrhom obrade, da se znaju treće osobe kojima se prenose, da se zatraži ispravak nepotpune/netočne obrade i da se zatraži naknada štete zbog nezakonite obrade ostvaruju se prvenstveno prema Klinici; imaju isti sadržaj kao okvir naveden u A.8.

B.9. Način podnošenja zahtjeva

Klijenti klinike i osoblje klinike svoje zahtjeve prema KVKK-u trebaju uputiti prvenstveno vlastitoj Klinici; Klinika je u svojstvu Voditelja obrade dužna odgovoriti na te zahtjeve u skladu s postupkom iz čl. 13. KVKK-a i najkasnije u roku od trideset (30) dana. Iznimka: Samouslužne mehanizme u aplikaciji, poput brisanja računa (vidi B.8/a), korisnik može koristiti izravno i bez potrebe za posebnim posredovanjem Klinike; za ostale zahtjeve iz čl. 11. KVKK-a načelo je da se najprije treba obratiti Klinici.

Za zahtjeve tehničke naravi koje želite uputiti izravno Teta Studiju (npr. ne radi brisanje računa ili funkcija izvoza podataka) ili za pitanja o aktivnostima koje Teta Studio sam provodi u svojstvu izvršitelja obrade možete se obratiti na adresu hello@corenta.app. Teta Studio može zahtjeve koji mu stignu, a zahtijevaju znanje/uputu odgovarajuće Klinike, proslijediti Klinici u okviru DPA-a.

B.10. Obveze Klinike

Svaka Klinika koja koristi Corentu prihvaća da ima svojstvo Voditelja obrade prema čl. 3/ı KVKK-a i da sljedeće obveze isključivo pripadaju njoj:

• Priprema/pružanje Obavijesti prema KVKK-u za vlastite Klijente i Korisnike (gotov, zajednički zaslon obavijesti i zasloni dobrovoljne privole u mobilnoj aplikaciji Corenta nude se kao tehnički alat u tu svrhu, ali osiguravanje usklađenosti sadržaja s vlastitom djelatnošću Klinike odgovornost je Klinike; ako to smatra potrebnim, Klinika može zasebno provesti vlastiti dodatni postupak informiranja prema B.1),
• Određivanje pravne osnove na kojoj će se temeljiti obrada zdravstvenih podataka (čl. 6/3-a dobrovoljna izričita privola ili čl. 6/3-e); ako je potrebna izričita privola, njezino pribavljanje u skladu s postupkom i neuvjetovanje usluge njome,
• Priopćavanje klijentima vlastitih podataka o identitetu (tvrtka, adresa, kontakt za zahtjeve prema KVKK-u) (zajednički tekst u aplikaciji danas te podatke ne sadrži automatski),
• Za voditelje obrade čija je glavna djelatnost obrada zdravstvenih podataka prag izuzeća od VERBİS-a iznosi 10 zaposlenika godišnje i bilancu od 10 milijuna TL (Odbor 2025/1572); procjena vlastite obveze za VERBİS,
• Odgovaranje na zahtjeve ispitanika u rokovima predviđenima čl. 13. KVKK-a,
• Osiguravanje sigurnosti podataka u pogledu vlastitog osoblja i podizvođača,
• Poštovanje obveza predviđenih Ugovorom o obradi podataka/Uvjetima usluge između njih i Corente.

Teta Studio ne preuzima odgovornost koja proizlazi iz neispunjavanja navedenih obveza od strane Klinike.

DIO C — OBAVIJEST O CORENTA RAČUNU I PLATFORMI (Teta Studio voditelj obrade)

Ovaj dio objašnjava obrade koje Teta Studio provodi u vlastito ime i u vlastite svrhe. U tim je aktivnostima Teta Studio voditelj obrade prema čl. 3/1-ı KVKK-a. Ovaj se tekst prikazuje pri otvaranju računa vlasnika/zaposlenika klinike i kada klijent prvi put koristi funkciju Otkrij/ocjena. Funkcije između studija u nastavku (liga, pozivnica, studio osnivač, Corenta Lab, Otkrij v2) nalaze se u ovom dijelu jer okupljaju više klinika, a njihovu svrhu određuje Teta Studio. Podaci koji se obrađuju u ime studija nisu osobni podaci kod poslova s pravnom osobnošću; ovdje se objašnjavaju jer se kod studija koji posluju kao obrt i kod studija s jednom osobom mogu povezati s osobom.

C.1. Voditelj obrade

Mertcan Demir, obrt pod tvrtkom "Teta Studio" (podaci o identitetu i kontaktu: A.1). Zahtjevi: hello@corenta.app.

C.2. Obrade, svrhe i pravne osnove

Otkrij i poziv na ocjenu: Poziv na ocjenu šalje se, ako klinika uključi funkciju Otkrij, na temelju podataka o dovršenom terminu. Klinika Ugovorom o obradi podataka daje uputu da se ti podaci prenesu Teta Studiju samo radi slanja poziva i objave provjerenog komentara; u klinici u kojoj je Otkrij isključen poziv se ne šalje. Objavljena ocjena može javno pokazati da ste primili uslugu od posla u području zdravlja/vježbanja; uzmite to u obzir prije objave.

Mjerenje pod pseudonimom: Mjerenje se provodi s pseudonimnim identitetom klinike; taj identitet ima narav pseudonima i kod posla s jednom osobom može se povezati s osobom. Ne sadrži IP adresu, zdravstvene podatke ni praćenje izvora/oglasa. Funkcija je trenutačno isključena; prije uključivanja ovaj se tekst ažurira.

Vidljivost u funkcijama zajednice i rasta: Podaci koji se drugim korisnicima prikazuju u ligi, na popisu studija osnivača, u Corenta Labu i u Otkrij samo su oni navedeni u gornjoj tablici. U tim se funkcijama ne obrađuju zdravstveni podaci klijenata (pojedinosti: B.3-A). Za pozivnicu studija, studio osnivač i Lab ne daju se novčane nagrade ni popusti na cijenu; nagrade su prava unutar aplikacije poput Boosta od 7 dana, probnog razdoblja i kredita.

C.3. Primatelji i prijenos u inozemstvo

Supabase (smještaj; Njemačka/Frankfurt), Vercel (web panel), Google (e-pošta Google Workspace, Firebase Cloud Messaging, Google Play) i Apple (APNs, App Store). Prijenos tim pružateljima prijenos je u inozemstvo; njegova osnova i današnje stanje objašnjeni su u odlomku "Prijenos u inozemstvo" u B.5 (za te tokove u kojima je Corenta voditelj obrade koristit će se standardni ugovor Modul 2, od voditelja do izvršitelja obrade; na datum ovog teksta još nije potpisan).

C.4. Komercijalne elektroničke poruke

Teta Studio vam promotivne e-poruke i e-poruke o kampanjama šalje samo ako ste dali zasebno odobrenje putem polja koje nije unaprijed označeno. Teta Studio ne šalje promotivne e-poruke bez registracije u Sustavu upravljanja porukama (İYS); nakon registracije odobrenja se učitavaju u İYS u roku od 3 radna dana. U svakoj promotivnoj poruci nalaze se identitet pošiljatelja, kontaktni podaci i besplatna poveznica za odbijanje. E-poruke o probnom razdoblju, pozivu u tim i podršci poruke su usluge; ne sadrže promotivne elemente.

C.5. Čuvanje, prava i podnošenje zahtjeva

Rokovi čuvanja nalaze se u veri-saklama-imha-politikasi.md. Od zapisa dodanih 18. listopada 2026. sažeci ponavljanja probnog razdoblja i zapisi lige, pozivnica, studija osnivača i Laba čuvaju se do trajnog brisanja odgovarajućeg računa studija; zapisi o uređajima do trajnog brisanja korisničkog računa. Za te zapise još nije određen zaseban najdulji rok i bit će dodan u pravila o čuvanju. Svoja prava iz čl. 11. KVKK-a (A.8) možete ostvariti podnošenjem zahtjeva na adresu hello@corenta.app; na zahtjeve se odgovara besplatno najkasnije u roku od 30 dana.

ZAJEDNIČKE ODREDBE (vrijede za oba dijela)

G.1. Automatizirano donošenje odluka i izrada profila

Corenta ne izrađuje profile u svrhu oglašavanja ili marketinga. Međutim, od 18. listopada 2026. sljedeća pravila rade automatski i mogu proizvesti ograničen negativan rezultat za odgovarajuću osobu ili studio:

Oznaka ponavljanja probnog razdoblja nije automatizirana odluka: podudaranje ne blokira probno razdoblje, samo se šalje na pregled administratoru platforme. Prema čl. 11/1-g KVKK-a vaše pravo da prigovorite nastanku rezultata na vašu štetu analizom podataka isključivo putem automatiziranih sustava ostaje netaknuto.

G.2. Ažuriranje Obavijesti

Ova se Obavijest može ažurirati u skladu s izmjenama propisa, odlukama Odbora za zaštitu osobnih podataka, funkcionalnim razvojem Platforme ili promjenama podizvršitelja obrade/pružatelja usluga. Aktualna verzija uvijek će biti dostupna na corenta.app/legal/kvkk-aydinlatma-metni i na zaslonu dokumenata u aplikaciji. U kontekstu SaaS proizvoda (Dio B), kada se verzija obavijesti promijeni, od korisnika se pri sljedećoj prijavi traži da potvrdi da je pročitao novi tekst; to nije privola, nego dokaz o informiranju (vidi B.2).

G.3. Mjerodavni propisi i nadležnost

Ova je Obavijest pripremljena u okviru Zakona br. 6698 o zaštiti osobnih podataka i odgovarajućih podzakonskih propisa (Uredba o brisanju, uništavanju ili anonimizaciji osobnih podataka; Uredba o Registru voditelja obrade; Priopćenje o postupcima i načelima koja se primjenjuju pri ispunjavanju obveze informiranja; Priopćenje o postupcima i načelima podnošenja zahtjeva Voditelju obrade). Na tumačenje i primjenu ovog teksta primjenjuje se pravo Republike Turske; za sporove su nadležni Odbor za zaštitu osobnih podataka i nadležni turski sudovi/ovršni uredi.

G.4. Kontakt

Za sva vaša pitanja, zahtjeve i podneske u vezi s obradom osobnih podataka:

• E-pošta: hello@corenta.app
• Podrška: support@corenta.app
• Područje usluge: Corenta se nudi globalno putem App Storea i Google Playa, u zemljama u kojima te trgovine posluju. Ovaj je tekst obavijest prema Zakonu br. 6698; za osobe u EU-u/EGP-u primjenjuje se i Izjava prema GDPR-u, a obvezne odredbe o zaštiti podataka zemlje u kojoj se nalazite ostaju netaknute.
• Korporativna internetska stranica: corenta.app

Datum stupanja na snagu / posljednje ažuriranje: 19. listopada 2026. Verzija: 2.3 · 19. listopada 2026. Dnevnik izmjena nalazi se na početku dokumenta.