CORENTA — PEMBERITAHUAN PRIVASI BERDASARKAN UNDANG-UNDANG PELINDUNGAN DATA PRIBADI (KVKK)

Terjemahan ini disediakan hanya untuk tujuan informasi; teks berbahasa Turki adalah teks yang mengikat secara hukum.

Pemberitahuan Privasi Tiga Bagian Menurut Kedudukan sebagai Pengendali Data / Prosesor Data

Versi: 2.3 · Berlaku sejak / pembaruan terakhir: 19 Oktober 2026 Pengendali data / penerbit (Bagian A dan C): Mertcan Demir — usaha perseorangan dengan nama dagang "Teta Studio"

Catatan perubahan

• 2.3 — 19 Oktober 2026: Cakupan global dimasukkan: ungkapan "hanya Turki" pada G.4 diganti dengan penyediaan di lebih dari satu negara melalui toko aplikasi dan rujukan ke Pernyataan GDPR untuk UE/EEA. Kegiatan pemrosesan dan dasar hukum tidak berubah.
• 2.2 — 19 Oktober 2026: Versi rilis; tanggal berlaku 19 Oktober 2026. Informasi MERSİS dan KEP yang kosong dihapus dari tabel identitas A.1. Masa penyimpanan pesan grup pada B.8/a dikaitkan dengan Kebijakan Penyimpanan dan Pemusnahan Data.
• 2.1 — 18 Oktober 2026: Fitur yang ditambahkan pada 18 Oktober 2026 dimasukkan: grup klinik, tantangan dalam studio, lencana klien dan kartu loyalitas, tugas mingguan dan rapor bulanan (Bagian B); liga studio dan tantangan kota, kartu profil portabel spesialis, kode undangan antarstudio, program Studio Pendiri, Corenta Lab, Jelajahi v2 (video pendek, kelas percobaan, tempat bersponsor), penanda pengulangan masa percobaan, penautan perangkat dan "Sesi login saya", pengembalian dana sebagian oleh toko, dan permintaan informasi penggunaan oleh Apple (Bagian C). Cara penanganan data kesehatan dalam grup, liga, tantangan, dan kartu profil ditulis dalam bagian tersendiri (B.3-A). G.1 diperbaiki: tiga aturan yang menghasilkan hasil otomatis yang memengaruhi orang (pemeriksaan penyalahgunaan undangan, penyembunyian pesan grup setelah tiga laporan, pengecualian dari liga) ditulis secara tegas. Izin seluler diperbaiki sesuai kode (izin kamera tidak diminta). Fitur yang dinonaktifkan (verifikasi berbagi, sinyal permintaan, jaminan Boost, verifikasi perangkat, Turnstile, Sentry) tidak ditulis dalam teks ini; sebelum diaktifkan diperlukan pembaruan teks tersendiri.
• 2.0 — 11 Oktober 2026: Berdasarkan tinjauan kepatuhan 11 Oktober 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): bagian transfer ke luar negeri ditulis ulang menurut ketentuan Pasal 9 Undang-Undang No. 6698 setelah 2024 (termasuk Supabase/Frankfurt merupakan transfer ke luar negeri; kontrak standar belum ditandatangani); pemberitahuan dipisahkan dari persetujuan tegas (pemberitahuan bukan "persetujuan", melainkan pernyataan "Saya telah membaca dan memahami"; kotak persetujuan wajib pada formulir akses awal dihapus); persetujuan data kesehatan ditulis sebagai sukarela; untuk kegiatan di mana Teta Studio merupakan pengendali data ditambahkan Bagian C — Pemberitahuan Akun dan Platform Corenta yang baru; informasi identitas diperbaiki menjadi usaha perseorangan; penilaian VERBİS ditulis berdasarkan keputusan Dewan tahun 2025; pemberitahuan pelanggaran kepada klinik diperbaiki menjadi paling lambat 24 jam; ungkapan penyimpanan "anonim" diperbaiki menjadi penyimpanan terbatas dengan tautan ke orang yang diputus; penghapusan lampiran file dan tautan ekspor dikaitkan pada satu ungkapan yang telah diverifikasi dengan kode; rujukan peraturan yang keliru diperbaiki.
• 1.6 — 10 Oktober 2026: Expo (Expo Push Notification Service) dihapus dari catatan subprosesor/prosesor; notifikasi push hanya dikirim melalui Apple (APNs) dan Google (FCM), Expo/EAS hanya alat pembuatan aplikasi dan tidak memproses data pengguna akhir.
• 1.5 — 10 Oktober 2026: Ungkapan tentang pilihan Google Analytics dihapus; dijelaskan bahwa alat analitik pihak ketiga tidak digunakan dan prosesor push diperjelas.
• 1.4 — 4 Oktober 2026: Teks yang ada ditetapkan sebagai versi yang disetujui. Dalam versi ini hanya dimasukkan: tanda nama dagang Teta Studio; pasar (Turki); penghapusan akun (akses segera diputus, data pribadi dihapus/dianonimkan, catatan pembayaran yang wajib disimpan menurut hukum disimpan tanpa identitas); penghapusan kolom kesehatan klien setelah 30 hari; masa 7 hari untuk tanda terima yatim; tetap tersembunyinya kontak klien dalam mode dukungan; pengukuran sisi server tanpa identitas; email layanan dan Google Workspace; prosesor push; alamat dukungan (support@corenta.app); kewenangan menulis kolom kesehatan.
• 1.3 — 4 Agustus 2026: Bagian B.6 dan B.8/a diselaraskan dengan kebijakan penyimpanan dan pemusnahan.

0. Tentang Teks Ini — Cakupan dan Panduan Membaca

Pemberitahuan Privasi berdasarkan Undang-Undang Pelindungan Data Pribadi ini ("Pemberitahuan") disusun berdasarkan Pasal 10 Undang-Undang No. 6698 tentang Pelindungan Data Pribadi ("KVKK" atau "Undang-Undang") dan Komunike tentang Tata Cara dan Prinsip yang Harus Dipatuhi dalam Pemenuhan Kewajiban Pemberitahuan, dengan tujuan memberi tahu orang-orang terkait mengenai pemrosesan data pribadi dalam konteks produk perangkat lunak (SaaS) bernama Corenta ("Corenta", "Produk", atau "Platform") yang dikembangkan dan dioperasikan oleh Mertcan Demir ("Teta Studio", "kami"), yang menjalankan kegiatan sebagai usaha perseorangan dengan nama dagang "Teta Studio", serta situs web corenta.app tempat produk ini diperkenalkan.

Corenta adalah platform perangkat lunak (Software-as-a-Service) multi-penyewa (multi-tenant) yang mengutamakan seluler untuk usaha kesehatan dan wellness butik seperti pusat pilates klinis, fisioterapi, reformer, wellness/pijat, dan yoga; menyediakan manajemen janji temu, pelacakan paket/sesi, anamnesis dan catatan sesi klien, serta pelacakan honor dan transaksi keuangan.

0.1 Definisi

0.2 Dua Konteks yang Berbeda — Mengapa Penting

Dalam ekosistem Corenta, data pribadi diproses dalam tiga konteks yang berbeda dan dengan dua kedudukan yang berbeda: Bagian A (situs perkenalan; Teta Studio sebagai pengendali data), Bagian B (catatan klinik; Teta Studio sebagai prosesor data), dan Bagian C (akun Corenta, langganan, email layanan, Jelajahi/ulasan, fitur pertumbuhan antarstudio — liga, undangan, Studio Pendiri, Corenta Lab, kartu profil portabel —, keamanan akun dan perangkat, serta pengukuran produk; Teta Studio sebagai pengendali data). Pemahaman yang jelas atas pembedaan ini merupakan dasar untuk menafsirkan Pemberitahuan dengan benar, dan kedua konteks sama sekali tidak boleh dicampuradukkan:

Data kesehatan klien klinik yang timbul dalam aplikasi Corenta dan data pemilik usaha yang mengisi formulir akses awal di situs corenta.app tunduk pada rezim hukum yang sepenuhnya berbeda. Bagian-bagian berikut disusun menurut pembedaan ini.

BAGIAN A — SITUS WEB PERUSAHAAN DAN FORMULIR AKSES AWAL (corenta.app)

Bagian ini berlaku bagi orang perseorangan yang mengunjungi situs corenta.app, berinteraksi dengan situs, dan/atau mengisi formulir pendaftaran akses awal. Dalam konteks ini, Teta Studio bertindak dalam kedudukan sebagai Pengendali Data menurut KVKK Pasal 3 huruf ı dan menentukan sendiri tujuan dan sarana pemrosesan data pribadi.

A.1. Identitas Pengendali Data

A.2. Kategori Data Pribadi yang Diproses

Selama kunjungan ke situs corenta.app, pengisian formulir akses awal, pengiriman formulir kontak, atau permintaan demo/pertemuan penjualan, kategori data pribadi berikut dapat diproses:

(*) Penjelasan mengenai catatan cookie: Per tanggal penerbitan teks ini, situs corenta.app tidak memiliki spanduk/antarmuka pengelolaan cookie yang aktif atau infrastruktur cookie pihak ketiga; informasi alamat IP/perangkat/peramban yang disebut pada baris di atas hanya diproses secara terbatas dalam lingkup log server dasar dan keamanan formulir, tanpa menggunakan teknologi cookie yang aktif. Meskipun kategori persetujuan cookie (cookies) didefinisikan secara teknis dalam infrastruktur sistem, kategori ini saat ini tidak digunakan secara nyata. Apabila beralih ke penggunaan cookie, Pemberitahuan ini dan Kebijakan Cookie tersendiri akan diperbarui, serta mekanisme persetujuan yang diperlukan akan diterapkan. Data pribadi yang bersifat spesifik tidak diproses dalam konteks ini.

Data ini hanya diperoleh melalui pengisian formulir atau kontak atas kehendak orang yang bersangkutan sendiri, atau secara otomatis karena kebutuhan teknis berjalannya situs (seperti IP).

A.3. Tujuan dan Dasar Hukum Pemrosesan Data Pribadi

Tabel berikut menunjukkan setiap tujuan pemrosesan beserta dasar hukum yang tercantum dalam KVKK Pasal 5 ayat (2) yang menjadi landasannya:

Penting: Komunikasi pemasaran dalam lingkup butir 7 hanya didasarkan pada persetujuan yang diberikan secara terpisah dan tegas oleh orang yang bersangkutan untuk tujuan ini; persetujuan ini bukan syarat wajib permohonan akses awal dan dapat ditarik kapan saja (lihat A.8).

A.4. Metode Pengumpulan Data Pribadi

Data pribadi dikumpulkan secara elektronik melalui pengisian formulir akses awal/kontak di situs corenta.app, komunikasi langsung melalui email, pertemuan demo/penjualan, dan secara otomatis oleh infrastruktur teknis situs (alamat IP, dan sebagainya).

A.5. Transfer Data Pribadi

Data pribadi Anda dapat dibagikan secara terbatas, dalam lingkup syarat-syarat yang diatur dalam Pasal 8 dan 9 KVKK, kepada pemasok yang menyediakan layanan hosting, pengumpulan formulir, pengiriman email, analitik, keamanan, dan layanan teknis serupa, untuk tujuan penyediaan layanan tersebut. Pembagian ini hanya dilakukan sejauh diperlukan untuk penyediaan layanan terkait dan terbatas pada tujuan tersebut.

Penyedia infrastruktur teknis yang diketahui/digunakan dalam konteks ini:

Catatan — infrastruktur penyimpanan data formulir: Per tanggal penyusunan teks ini, belum dikonfirmasi secara teknis apakah data formulir akses awal/kontak pada akhirnya hanya disimpan dalam infrastruktur formulir milik Framer, atau juga ditransfer ke basis data berbasis Supabase milik Corenta (lihat Bagian B, B.5 — Supabase, Frankfurt/Jerman). Seiring dikonfirmasinya hal ini, tabel ini akan diperbarui, bila perlu dengan menambahkan baris Supabase; dalam hal apa pun, data formulir Anda hanya diproses untuk tujuan yang dijelaskan dalam Bagian A ini dan sesuai dengan KVKK.

Di luar pembagian ini, data pribadi Anda tidak dijual, tidak disewakan, atau dialihkan kepada pihak ketiga untuk tujuan pemasaran. Keadaan yang diwajibkan oleh hukum (putusan pengadilan, permintaan lembaga publik yang berwenang, dan sebagainya) merupakan pengecualian dari aturan ini.

Transfer ke luar negeri: Framer dan Google Workspace memproses data di luar Turki; ini merupakan transfer ke luar negeri dalam arti Undang-Undang No. 6698. Karena transfer ini bersifat teratur dan berkelanjutan, transfer ini tidak didasarkan pada persetujuan tegas; melainkan akan didasarkan pada salah satu syarat pemrosesan dalam Pasal 5 KVKK dan kontrak standar yang diumumkan oleh Dewan Perlindungan Data Pribadi berdasarkan Pasal 9 ayat (4) huruf c. Per tanggal teks ini, kontrak standar belum ditandatangani dengan para penyedia dan belum diberitahukan kepada Dewan. Setiap kontrak, setelah ditandatangani, akan diberitahukan kepada Dewan dalam 5 hari kerja sejak tanggal penandatanganan dan bagian ini akan diperbarui dengan daftar penyedia dan tanggalnya. Dewan belum mengumumkan keputusan kecukupan mengenai negara-negara ini (pemeriksaan terakhir: 11 Oktober 2026).

A.6. Masa Penyimpanan

Data pribadi Anda disimpan selama jangka waktu yang diperlukan oleh tujuan pemrosesan terkait dan dalam hal apa pun dengan tetap memperhatikan masa daluwarsa yang diatur dalam peraturan terkait:

• Permohonan akses awal: paling lama 2 tahun sejak penilaian permohonan dan selesainya proses komunikasi; apabila dalam jangka waktu ini tidak dihubungi atau prosesnya selesai, data dihapus/dianonimkan dalam waktu yang lebih singkat. Catatan transparansi: Per tanggal penyusunan Pemberitahuan ini, tidak ada mekanisme pemindaian/penghapusan yang berjalan otomatis dalam sistem yang sesuai dengan masa maksimum ini; masa tersebut merupakan batas atas hukum, dan penghapusan/anonimisasi saat ini dilakukan secara manual/atas permintaan.
• Catatan komunikasi: Hingga tujuan komunikasi berakhir.
• Data analitik/log teknis: Selama masa penyimpanan bawaan/yang diizinkan dari alat/infrastruktur yang digunakan.
• Catatan sengketa dan kewajiban hukum: Selama masa minimum yang diatur dalam peraturan terkait.

Apabila masa penyimpanan berakhir, data pribadi dihapus, dihancurkan, atau dianonimkan berdasarkan KVKK Pasal 7 dan Peraturan tentang Penghapusan, Pemusnahan, atau Anonimisasi Data Pribadi. Untuk tabel masa penyimpanan terperinci dan metode pemusnahan, lihat veri-saklama-imha-politikasi.md (Bagian 4, Nomor 9).

A.7. Pemberitahuan dan Persetujuan Pesan Komersial pada Formulir Akses Awal

Pemrosesan permohonan Anda tidak didasarkan pada persetujuan, melainkan pada dasar hukum dalam A.3. Oleh karena itu, formulir tidak memiliki kotak persetujuan untuk pemberitahuan; pemberitahuan dan persetujuan dipisahkan.

Pemberitahuan (tanpa kotak persetujuan): Tepat di atas tombol Kirim ditampilkan teks berikut dan tautan ke Pemberitahuan ini:

"Informasi Anda diproses untuk menilai permohonan Anda dan menghubungi Anda (KVKK Pasal 5 ayat (2) huruf c, f). Rincian: Pemberitahuan Privasi."

Persetujuan pesan komersial yang bersifat sukarela (kotak terpisah, secara bawaan TIDAK DICENTANG):

"Saya menyetujui Teta Studio mengirimkan pengumuman dan kampanye Corenta melalui email."

Tidak diberikannya persetujuan pesan komersial tidak memengaruhi penilaian permohonan. Teta Studio tidak mengirim email promosi sebelum terdaftar di Sistem Manajemen Pesan (İYS); setelah pendaftaran, persetujuan diunggah ke İYS dalam 3 hari kerja. Persetujuan dapat ditarik melalui tautan penolakan dalam setiap pesan.

A.8. Hak Orang yang Bersangkutan (KVKK Pasal 11) dan Metode Permohonan

Berdasarkan Pasal 11 KVKK, setiap orang yang data pribadinya diproses, dengan mengajukan permohonan kepada Pengendali Data, memiliki hak-hak berikut:

a) Mengetahui apakah data pribadi diproses atau tidak, b) Apabila data pribadinya telah diproses, meminta informasi mengenai hal tersebut, c) Mengetahui tujuan pemrosesan data pribadi dan apakah data digunakan sesuai tujuannya, ç) Mengetahui pihak ketiga di dalam negeri atau di luar negeri yang menerima transfer data pribadi, d) Meminta perbaikan data pribadi apabila diproses secara tidak lengkap atau tidak benar, e) Meminta penghapusan atau penghancuran data pribadi dalam kerangka syarat yang diatur dalam KVKK Pasal 7, f) Meminta agar tindakan yang dilakukan berdasarkan huruf (d) dan (e) diberitahukan kepada pihak ketiga yang menerima transfer data pribadi, g) Mengajukan keberatan terhadap timbulnya hasil yang merugikan dirinya akibat analisis data yang diproses secara eksklusif melalui sistem otomatis, ğ) Menuntut ganti rugi apabila menderita kerugian karena pemrosesan data pribadi yang melanggar hukum.

Selain itu, terkait pemrosesan berdasarkan persetujuan (pesan elektronik komersial), persetujuan yang diberikan, terlepas dari hak-hak umum dalam lingkup KVKK Pasal 11, dapat ditarik kapan saja tanpa menyebutkan alasan. Penarikan persetujuan tidak memengaruhi keabsahan pemrosesan sebelum penarikan.

Metode Permohonan: Untuk menggunakan hak-hak di atas, Anda dapat menyampaikan permintaan Anda secara tertulis ke alamat hello@corenta.app, beserta informasi yang diperlukan untuk memastikan identitas Anda, dengan cara yang diatur dalam Pasal 13 KVKK dan Komunike tentang Tata Cara dan Prinsip Permohonan kepada Pengendali Data. Permohonan Anda, sesuai sifatnya, akan diselesaikan secara gratis paling lambat dalam 30 (tiga puluh) hari dengan cara yang tidak memerlukan biaya tambahan; apabila tindakan memerlukan biaya tambahan, dapat dikenakan biaya sesuai tarif yang ditetapkan oleh Dewan Perlindungan Data Pribadi.

BAGIAN B — PENGGUNAAN PRODUK SaaS CORENTA OLEH KLINIK

Bagian ini berlaku bagi staf klinik (administrator, spesialis/instruktur, resepsionis, dan sebagainya) yang menggunakan Corenta melalui pusat pilates klinis, fisioterapi, reformer, wellness/pijat, atau yoga ("Klinik") serta bagi klien/pasien klinik tersebut.

B.1. Dasar Hukum Pembagian Peran — Harap Dibaca dengan Saksama

Klinik yang membeli dan mulai menggunakan Corenta memiliki kedudukan sebagai "Pengendali Data" menurut KVKK Pasal 3 huruf ı atas data pribadi klien/pasiennya dan stafnya sendiri. Kewajiban pemberitahuan KVKK kepada klien/pasien dan staf serta perolehan persetujuan tegas bila diperlukan (khususnya persetujuan atas data yang bersifat spesifik terkait pemrosesan data kesehatan), secara utama dan akhir merupakan tanggung jawab Klinik.

Teta Studio (Corenta) hanya merupakan Prosesor Data menurut KVKK Pasal 3 huruf ğ. Teta Studio memproses data ini sesuai instruksi Klinik dan atas nama Klinik, hanya dengan menyediakan infrastruktur teknis Platform; tidak menentukan tujuan pemrosesan yang independen atas namanya sendiri dan tidak memproses data ini di luar instruksi Klinik untuk tujuan komersialnya sendiri (iklan, penjualan kepada pihak ketiga, dan sebagainya). Pemrosesan yang dilakukan Teta Studio untuk tujuannya sendiri (akun pengguna klinik, langganan, email layanan, undangan ulasan dan ulasan Jelajahi, keamanan, dan pengukuran produk dengan nama samaran) bukan pokok Bagian B ini, melainkan Bagian C; dalam kegiatan ini Teta Studio adalah pengendali data.

Produk Corenta menyediakan alat yang memudahkan secara teknis pemenuhan kewajiban Klinik tersebut (layar persetujuan di aplikasi seluler, catatan persetujuan berversi, mekanisme penarikan, dan sebagainya — lihat B.2). Keberadaan alat-alat ini tidak berarti bahwa Klinik telah mengalihkan kewajiban hukum yang timbul dari kedudukannya sebagai Pengendali Data kepada Teta Studio atau bahwa Teta Studio memikul kewajiban tersebut.

Hubungan prosesor data antara Klinik dan Teta Studio diatur dengan Perjanjian Pemrosesan Data (Data Processing Agreement/DPA) tersendiri; perjanjian ini merinci kategori data yang akan diproses, tujuan pemrosesan, langkah keamanan, penggunaan subprosesor, dan kewajiban para pihak dalam lingkup KVKK Pasal 12.

Bagian B ini tidak menggantikan dan bukan pengganti pemberitahuan yang akan diberikan Klinik kepada klien/stafnya sendiri. Tujuan bagian ini adalah menjelaskan secara transparan data apa yang diproses Teta Studio di Platform dalam kedudukan sebagai Prosesor Data dan untuk tujuan apa, serta menyediakan kerangka yang dapat dijadikan rujukan oleh Klinik dalam menyusun pemberitahuannya sendiri. Apabila Klinik menilai bahwa layar pemberitahuan bersama/terpusat dan layar persetujuan sukarela yang disediakan Corenta di dalam aplikasi seluler (lihat B.2) tidak memadai, Klinik dapat menjalankan proses pemberitahuan tambahan/terpisah bagi Klien dan stafnya sendiri dengan sarananya sendiri (teks tertulis, email, pemberitahuan tatap muka, dan sebagainya); hal ini termasuk dalam tanggung jawab hukum Klinik sendiri.

B.2. Mekanisme Pemberitahuan dan Persetujuan di Dalam Platform (Untuk Tujuan Informasi)

Dalam aplikasi seluler Corenta, pada tahap penggunaan pertama (onboarding) terdapat layar (kvkk.tsx) yang disusun oleh Teta Studio dan disediakan bersama bagi klien/pengguna semua klinik. Sesuai Keputusan Prinsip Dewan No. 2026/347, pemberitahuan dan persetujuan ditampilkan pada langkah yang terpisah:

Catatan disimpan secara berversi dalam tabel consent_logs. Catatan teknis: penampilan pemberitahuan saat ini dicatat dalam tabel ini dengan jenis kvkk; catatan ini bukan persetujuan, melainkan pernyataan bahwa pemberitahuan telah ditampilkan dan dibaca. Izin notifikasi tunggal sistem operasi digunakan untuk pengiriman notifikasi transaksional maupun kampanye; notifikasi kampanye hanya boleh dikirim apabila izin 2b telah diberikan.

Layar dan teks ini tidak dibedakan khusus untuk setiap Klinik, melainkan disediakan sebagai versi bersama di seluruh Platform; informasi identitas klinik (nama, alamat, kontak permohonan) saat ini tidak ditambahkan secara otomatis ke dalam teks. Ketika versi pemberitahuan berubah, pengguna diminta menyatakan telah membaca teks baru pada login berikutnya (ini juga bukan persetujuan). Persetujuan data kesehatan dan izin kampanye dapat ditarik kapan saja (dilacak dengan kolom revoked_at); penarikan persetujuan data kesehatan tidak memengaruhi penggunaan janji temu dan akun.

Apabila Klinik, sebagai tenaga kesehatan yang terikat kewajiban kerahasiaan (misalnya fisioterapis), memproses data kesehatan untuk tujuan pengobatan berdasarkan KVKK Pasal 6 ayat (3) huruf e, cukup dengan pemberitahuan saja tanpa layar persetujuan tegas mungkin memadai; usaha lainnya (misalnya studio pilates/wellness) hanya dapat memproses data kesehatan berdasarkan persetujuan tegas sukarela sesuai Pasal 6 ayat (3) huruf a. Dasar hukum mana yang dipakai dan kesesuaian isi pemberitahuan dengan kegiatannya sendiri merupakan tanggung jawab Klinik.

B.3. Kategori Data yang Diproses Teta Studio dalam Kedudukan sebagai Prosesor Data

Karena kebutuhan teknis berjalannya Platform, sesuai instruksi Klinik, kategori data berikut diproses:

Kewenangan menulis kolom kesehatan (sejak 4 Oktober 2026): Kolom kesehatan klien (golongan darah, alergi, kondisi kronis, obat) hanya dapat ditulis oleh klien sendiri dan spesialis yang ditugaskan; pemilik/administrator usaha tidak dapat menulis pada kolom ini (dapat mengedit kontak darurat dan kolom identitas).

Pengukuran produk dengan nama samaran: Dalam kegiatan ini Teta Studio adalah pengendali data dan rinciannya ada di Bagian C. Pengukuran dilakukan dengan identitas samaran klinik; identitas ini bersifat nama samaran (bukan tanpa identitas). Fitur ini saat ini dinonaktifkan.

File tanda terima (sejak 4 Oktober 2026): File tanda terima yang tidak dikaitkan dengan pembayaran apa pun (yatim) dihapus otomatis setelah 7 hari; tanda terima yang terkait dengan pembayaran tidak dapat dihapus oleh peran apa pun.

Penjelasan mengenai izin seluler (sejak 18 Oktober 2026): Pada tingkat sistem operasi, aplikasi seluler Corenta hanya meminta izin notifikasi (ditanyakan sesuai konteks) dan, di iOS, akses galeri foto (pada saat foto profil, lampiran anamnesis, bukti pembayaran, gambar pengumuman, atau video studio dipilih); jika kunci aplikasi aktif, verifikasi Face ID/sidik jari perangkat digunakan di dalam perangkat dan data biometrik tidak dikirim ke Corenta. Di Android, izin kamera dan mikrofon sengaja dihapus dari manifes aplikasi. Aplikasi tidak meminta izin kamera, mikrofon, lokasi, kontak (contacts), kalender, atau akses HealthKit/sensor kesehatan. Peta Jelajahi tidak menggunakan lokasi perangkat; hanya melakukan pencarian dengan İl/İlçe atau area peta yang dipilih pengguna.

Data pribadi yang bersifat spesifik (informasi kesehatan), menurut Pasal 6 KVKK, hanya dapat diproses dengan persetujuan tegas atau dalam keadaan pengecualian yang diatur undang-undang (dilakukan oleh orang yang terikat kewajiban kerahasiaan untuk pelindungan kesehatan masyarakat, kedokteran preventif, diagnosis/pengobatan medis, perencanaan dan pembiayaan layanan kesehatan). Dalam ekosistem Corenta, data ini dimasukkan oleh tenaga kesehatan/wellness Klinik yang berwenang sesuai dasar hukum yang dipakai Klinik (Pasal 6 ayat (3) huruf a persetujuan tegas sukarela atau Pasal 6 ayat (3) huruf e); Teta Studio hanya menyimpan/memproses data ini sesuai instruksi Klinik dan melindunginya dengan langkah keamanan yang ditingkatkan (lihat B.6).

Masa penyimpanan dan metode pemusnahan — rujukan silang: Masa penyimpanan untuk setiap kategori di atas dan metode yang diterapkan setelah permintaan penghapusan akun (penghapusan permanen atau anonimisasi) diringkas dalam B.8/a, dan dijelaskan dengan tabel terperinci serta alasannya dalam veri-saklama-imha-politikasi.md (Bagian 4-6). Khususnya untuk baris Informasi Kesehatan, Informasi Transaksi/Keuangan, dan Catatan Pemberitahuan dan Izin: pada tahap penghapusan permanen akun, catatan ini tidak di-DELETE; tautan ke orang diputus dan beberapa kolom teks bebas dibersihkan. Karena teks bebas catatan sesi tidak diubah, catatan ini dalam keadaan apa pun tidak dianggap anonim; disimpan dengan akses terbatas (lihat B.8/a).

B.3-A. Fitur Komunitas dan Pertumbuhan — Hubungan dengan Data Kesehatan (sejak 18 Oktober 2026)

Data kesehatan merupakan data pribadi yang bersifat spesifik dalam arti KVKK Pasal 6. Fitur-fitur berikut tidak dirancang untuk memproses data kesehatan; cara penanganan data kesehatan dalam setiap fitur ditulis secara terpisah:

Di klinik yang memberikan layanan kesehatan seperti fisioterapi, keikutsertaan seorang klien dalam suatu kelas atau grup dapat menunjukkan bahwa orang tersebut menerima layanan kesehatan. Oleh karena itu, keputusan untuk menggunakan atau tidak fitur-fitur ini dan cara memberikan penjelasan kepada klien berada pada Klinik sebagai pengendali data. Grup klinik (group_chats) dan tantangan (leagues) merupakan modul terpisah dan dirancang agar dapat dinonaktifkan per klinik.

B.4. Tujuan Pemrosesan dan Dasar Hukum

Dasar hukum dalam tabel berikut dapat memiliki dua arti yang berbeda menurut sifat data terkait: (i) dasar hukum yang digunakan Klinik (dalam kedudukan sebagai pengendali data) terhadap klien/stafnya, atau (ii) dasar hukum yang berlaku bagi kegiatan independen Teta Studio sendiri (seperti keamanan platform, penagihan, kewajiban hukum). Dengan memperhatikan bahwa Teta Studio tidak menentukan sendiri "tujuan pemrosesan" yang independen (lihat B.1), khususnya baris yang berkaitan dengan data yang bersifat spesifik harus dibaca sebagai mencerminkan dasar hukum Klinik:

B.5. Transfer Data Pribadi (Dalam Negeri dan Luar Negeri)

Agar Platform dapat berfungsi, data pribadi dibagikan kepada subprosesor (sub-processor) berikut secara terbatas dan sejauh diperlukan secara teknis:

Catatan infrastruktur lainnya:

• Infrastruktur email: Email layanan (proses uji coba, undangan tim, jawaban dukungan) dikirim melalui SMTP lewat Google Workspace (Google); email autentikasi (verifikasi email, pengaturan ulang kata sandi) dipicu oleh Supabase Auth. Email promosi hanya dikirim dengan syarat persetujuan terpisah dan pendaftaran İYS (lihat Bagian C). Notifikasi push disampaikan melalui Apple (APNs) dan Google (FCM).
• Alat analitik: Tidak digunakan alat analitik pihak ketiga (misalnya Google Analytics). Pengukuran penggunaan produk dalam aplikasi saat ini tidak aktif; jika diaktifkan, pengukuran ditulis ke tabel pihak pertama yang disimpan dalam basis data Corenta sendiri (Supabase, Frankfurt/Jerman), tidak memuat data kesehatan dan teks bebas, dan Pemberitahuan ini diperbarui sebelum diaktifkan.
• Pemantauan kesalahan: Tidak digunakan alat pemantauan kesalahan pihak ketiga; kesalahan klien dicatat dalam basis data Corenta sendiri (Supabase).
• Penyampaian pesan waktu nyata dan video (per 18 Oktober 2026): Pesan pribadi dan pesan grup hanya disampaikan kepada pengguna yang berwenang melalui layanan transmisi waktu nyata Supabase (Realtime); video studio disimpan di penyimpanan berkas Supabase. Hal ini termasuk dalam lingkup baris Supabase (nomor 1); tidak ada subprosesor baru yang ditambahkan.
• Pembayaran dengan kartu kredit melalui web: Saat ini tidak didukung; seluruh pembayaran langganan hanya dilakukan melalui mekanisme pembelian dalam aplikasi (IAP) Apple/Google.

Transfer ke luar negeri: Data Anda diproses melalui penyedia layanan yang berada di luar Turki: Supabase (basis data, autentikasi, dan penyimpanan berkas; data di-hosting di Jerman/Frankfurt), Vercel (hosting panel web; infrastruktur global), Google (email Google Workspace dan notifikasi Firebase Cloud Messaging; global), dan Apple (notifikasi dan toko aplikasi; global). Hosting di Jerman juga merupakan transfer ke luar negeri dalam arti Undang-Undang No. 6698. Karena transfer ini bersifat teratur dan berkelanjutan, transfer ini tidak didasarkan pada persetujuan tegas; melainkan akan didasarkan pada salah satu syarat pemrosesan dalam Pasal 5 dan 6 KVKK dan kontrak standar yang diumumkan oleh Dewan Perlindungan Data Pribadi berdasarkan Pasal 9 ayat (4) huruf c. Teta Studio, sebagai prosesor data, akan menandatangani kontrak standar Modul 3 (dari prosesor data ke prosesor data) dengan setiap subprosesor dan memberitahukannya kepada Dewan dalam 5 hari kerja sejak tanggal penandatanganan. Per tanggal teks ini, kontrak standar belum ditandatangani dan belum diberitahukan kepada Dewan; setelah penandatanganan dan pemberitahuan selesai, bagian ini akan diperbarui dengan daftar penyedia dan tanggalnya. Dewan belum mengumumkan keputusan kecukupan mengenai negara-negara ini (pemeriksaan terakhir: 11 Oktober 2026). Klinik mencantumkan transfer ini dalam pemberitahuannya sendiri.

Daftar subprosesor di atas juga disimpan secara terpisah dan mutakhir dalam lampiran DPA antara Klinik dan Teta Studio; Klinik diberi tahu mengenai perubahan dalam daftar subprosesor dengan tata cara yang diatur dalam DPA. Data pribadi dapat ditransfer kepada lembaga dan instansi publik yang berwenang secara hukum, hanya dalam hal yang diatur oleh peraturan terkait dan terbatas pada permintaan; Teta Studio dalam keadaan apa pun tidak menjual atau menyewakan data pribadi yang diprosesnya kepada pihak ketiga untuk tujuan komersial.

B.6. Langkah Keamanan

Teta Studio, dalam kedudukan sebagai Prosesor Data, menerapkan langkah teknis dan administratif berikut untuk menjamin keamanan data pribadi yang diprosesnya:

• Isolasi tenant (multi-tenant isolation): Seluruh tabel data di Platform dipisahkan dengan kolom tenant_id dan dilindungi dengan kebijakan Keamanan Tingkat Baris (Row Level Security/RLS) yang komprehensif berdasarkan prinsip tolak secara bawaan (default-deny); akses suatu Klinik ke data Klinik lain dicegah secara teknis.
• Pembatasan akses ke data kesehatan: Pada tingkat RLS, data formulir anamnesis, catatan sesi, dan pengukuran hanya dapat diakses oleh klien terkait, spesialis yang ditugaskan kepada klien, dan administrator klinik yang berwenang; catatan sesi yang ditandai spesialis sebagai "dibagikan dengan tim" juga dapat dilihat oleh spesialis lain di klinik. Akses staf dimungkinkan apabila modul kesehatan terkait (anamnesis, pengukuran, catatan sesi) aktif.
• Ketidakdapatubahan (append-only): Catatan sesi yang telah dikirim (ketika kolom submitted_at terisi) dilindungi pada tingkat basis data sehingga tidak dapat diperbarui atau dihapus; untuk formulir anamnesis pun tidak ada peran pengguna mana pun (termasuk administrator klinik) yang diberi kewenangan penghapusan (DELETE). Satu-satunya pengecualian yang sempit: dalam proses penghapusan akun secara permanen (lihat B.8/a), hanya proses latar belakang yang memiliki hak istimewa (service-role) yang dapat, tanpa menyentuh ISI catatan sesi, mengubah hanya kolom yang menghubungkan dengan orang (client_id/specialist_id) menjadi NULL pada tingkat basis data; hal ini tidak melanggar prinsip append-only — ini hanya jalur khusus dengan satu tujuan yang memenuhi kewajiban pemutusan tautan dengan orang (anonimisasi) dalam lingkup KVKK (rincian: veri-saklama-imha-politikasi.md Bagian 6.2).
• Batasan mode dukungan super-admin (impersonasi): Mode akses super-admin yang digunakan untuk tujuan dukungan teknis dibatasi waktunya (30 menit) dan secara bawaan hanya bersifat baca saja; operasi penulisan dan akses ke data kesehatan dapat dibuka melalui langkah terpisah yang memerlukan persetujuan tambahan (penanda health_data_enabled); untuk tabel data kesehatan tidak diberikan kewenangan menulis dalam skenario impersonasi mana pun — pembatasan ini diterapkan tanpa pengecualian dalam kebijakan basis data.
• Keamanan transmisi: Data dienkripsi dengan TLS selama transmisi.
• Penyimpanan di perangkat: Di aplikasi seluler, token sesi disimpan secara terenkripsi dalam gantungan kunci perangkat yang aman dan didukung perangkat keras (expo-secure-store berbasis iOS Keychain / Android Keystore).
• Pelindungan layar sensitif: Pada layar seluler yang memuat data kesehatan, tangkapan layar dan perekaman layar diblokir (pemblokiran perekaman/tangkapan layar iOS; Android FLAG_SECURE).
• Keamanan akun administrator: Akun administrator platform (super-admin) memerlukan autentikasi dua langkah (MFA, AAL2).
• Integritas pembayaran: Infrastruktur verifikasi tanda tangan kriptografis diterapkan untuk notifikasi pembayaran toko (Apple/Google) (webhook); proses penyelesaian konfigurasi di bidang ini secara lengkap di lingkungan produksi untuk semua penyedia serta peningkatannya secara berkelanjutan masih berlangsung.

Dinyatakan secara tegas bahwa meskipun ada langkah-langkah di atas, tidak ada jaminan keamanan mutlak yang dapat diberikan untuk sistem informasi mana pun. Langkah-langkah ini terus ditinjau dan ditingkatkan sebagai bagian dari kewajiban Prosesor Data dalam lingkup KVKK Pasal 12. Teta Studio, dalam kedudukan sebagai prosesor data, apabila mengetahui adanya pelanggaran data, memberitahukannya kepada Klinik tanpa penundaan dan paling lambat dalam 24 jam (Dewan 2019/10). Pemberitahuan kepada Dewan dan kepada orang yang bersangkutan merupakan kewajiban Klinik sebagai pengendali data. Untuk data di mana Teta Studio adalah pengendali data (Bagian A dan C), pemberitahuan kepada Dewan dilakukan oleh Teta Studio dalam 72 jam.

B.7. Informasi Tambahan tentang Mode Dukungan Super-Admin (Impersonasi)

Personel dukungan Teta Studio yang berwenang, dalam lingkup permintaan dukungan teknis dari Klinik, dapat mengakses akun Klinik untuk sementara dengan "mode dukungan" yang terbatas dan dapat diaudit. Akses ini:

• Dibatasi paling lama 30 menit dan berakhir secara otomatis pada akhir jangka waktu,
• Secara bawaan hanya bersifat baca saja (read-only),
• Kewenangan menulis dan akses ke data kesehatan dapat dibuka melalui langkah yang terpisah satu sama lain dan memerlukan persetujuan tambahan; akses menulis ke tabel data kesehatan tidak diberikan dalam kondisi apa pun,
• Dicatat dalam log dan tunduk pada jejak audit.

Kontak klien dalam mode dukungan (per 4 Oktober 2026): Dalam sesi dukungan Corenta (super-admin), informasi email dan telepon klien tidak ditampilkan kepada personel dukungan; personel dukungan hanya dapat melihat ringkasan identitas yang terbatas (nama, status akun, status aktif, tanggal pembuatan).

B.8. Masa Penyimpanan Data Pribadi dan Cara Pelaksanaan Hak Subjek Data

Data pribadi disimpan selama jangka waktu yang diperlukan untuk tujuan terkait dan selama masa penyimpanan menurut hukum yang diatur dalam peraturan terkait. Hak-hak berikut, berdasarkan KVKK Pasal 11, pertama-tama digunakan terhadap Klinik dalam kedudukan sebagai Pengendali Data. Teta Studio, dalam kedudukan sebagai Prosesor Data, memastikan pelaksanaan teknis hak-hak ini sesuai permintaan Klinik. Mekanisme konkret yang disediakan di dalam Platform adalah sebagai berikut:

a) Hak atas Penghapusan: Penghapusan akun (per 4 Oktober 2026): Ketika permintaan penghapusan disetujui, akses ke akun segera diputus (sesi diakhiri, login tidak dapat dilakukan); data pribadi dihapus atau dianonimkan (nama, email, telepon, gambar, serta informasi identitas/kontak klien dan bidang kesehatan — golongan darah, alergi, kondisi kronis, obat — dibersihkan); catatan pembayaran dan honor yang wajib disimpan menurut hukum tidak dihapus; catatan tersebut disimpan dengan tautan ke orang yang diputus dan dengan akses terbatas. Tidak ada masa pembatalan setelah permintaan; penghapusan permanen catatan autentikasi dan berkas diselesaikan dalam proses latar belakang tiga puluh hari yang ada.

Penghapusan catatan klien dan bidang kesehatan (per 4 Oktober 2026): Ketika catatan klien yang tidak memiliki akun dihapus oleh usaha, catatan tersebut segera dikeluarkan dari daftar aktif; setelah 30 hari, bersama dengan informasi identitas dan kontak, bidang kesehatan klien (golongan darah, alergi, kondisi kronis, obat) juga dihapus/dikosongkan. Aturan penyimpanan formulir anamnesis, pengukuran, dan catatan sesi tidak terpengaruh oleh ketentuan ini.

Pesan grup dan catatan komunitas (per 18 Oktober 2026): Anggota dapat menghapus pesan grupnya sendiri kapan saja; teks pesan yang dihapus dikeluarkan dari catatan. Ketika akun dihapus secara permanen, keanggotaan grup, catatan perangkat yang terhubung, dan kartu profil spesialis dihapus; keikutsertaan dalam tantangan terkait dengan catatan klien dan tunduk pada aturan yang sama dengan catatan klien; namun teks pesan yang sebelumnya telah dikirim ke grup tetap berada di grup dengan informasi pengirim dihapus. Oleh karena itu, pengguna yang ingin menghapus pesannya dapat menghapusnya satu per satu sebelum menghapus akunnya. Teks pesan yang disembunyikan oleh tim disimpan secara terpisah untuk ditinjau oleh tim. Masa penyimpanan pesan grup dan salinan ini terdapat dalam veri-saklama-imha-politikasi.md Bagian 4, Nomor 12; salinan disimpan paling lama 1 tahun. Catatan grup, tantangan, lencana, dan loyalitas saat ini tidak termasuk dalam ekspor "Unduh Data Saya"; permintaan informasi untuk catatan ini dapat diajukan kepada Klinik atau ke alamat hello@corenta.app.

Ketika pengguna mengajukan permintaan penghapusan akun dari dalam aplikasi (fungsi delete_my_account), sistem menerapkan arsitektur penghapusan dua tahap. Ringkasan berikut merupakan penjelasan yang jujur dan telah diverifikasi secara teknis mengenai metode yang diterapkan menurut kategori data (penghapusan permanen atau anonimisasi); untuk rincian lengkap dan tabel lihat veri-saklama-imha-politikasi.md (khususnya Bagian 4-6).

• Tahap 1 — saat permintaan: Akses ke akun segera diputus (tidak ada masa pembatalan); profil dinonaktifkan, bidang identitas dan kesehatan dibersihkan, janji temu yang tertunda dibatalkan, penugasan dihapus, persetujuan yang telah diberikan ditarik.
• Tahap 2 — pemrosesan permanen setelah 30 hari: 30 hari setelah tahap pertama ini, terjadi suatu pemrosesan yang hanya dipicu oleh tugas latar belakang (cron) yang memiliki hak istimewa (service-role) secara tidak dapat dipulihkan dan diterapkan dengan dua metode yang berbeda menurut kategori data; pemrosesan ini tidak dapat dipicu secara manual/administratif atau dipercepat/ditunda:
• Catatan autentikasi pengguna (auth.users) dan catatan yang tidak memiliki nilai usaha/pembuktian yang independen (misalnya notifikasi, notifications) dihapus secara permanen (DELETE/cascade).
• Data kesehatan (formulir anamnesis, catatan sesi, catatan pengukuran) serta catatan klinis/keuangan (pembayaran, kehadiran) TIDAK DI-DELETE — DISIMPAN SECARA TERBATAS DENGAN TAUTAN KE ORANG YANG DIPUTUS: tautan ke orang (seperti client_id/specialist_id) diputus pada tingkat basis data (ON DELETE SET NULL); beberapa kolom teks bebas (jawaban anamnesis, catatan pengukuran/pembayaran, alasan pengembalian dana, referensi struk) dibersihkan atau diganti dengan suatu tanda. Teks bebas catatan sesi tidak diubah; karena dalam teks ini dan dalam informasi seperti rangkaian tanggal/pengukuran dapat tersisa informasi yang cukup untuk mengidentifikasi kembali orang tersebut, catatan ini tidak dianggap anonim. Catatan disimpan dengan akses terbatas selama masa kewajiban pencatatan Klinik dan dimusnahkan pada akhir masa tersebut; dengan cara ini prinsip append-only untuk catatan sesi tetap terjaga.
• Catatan persetujuan (consent_logs) dengan cara yang sama tidak di-DELETE; tautan ke orang diputus dan alamat IP dibersihkan, tetapi untuk tujuan pembuktian bahwa persetujuan telah diberikan/ditarik (dengan informasi jenis, versi, waktu) disimpan selama 5 tahun lagi sebagai catatan bukti dengan tautan ke orang yang diputus (KVKK Pasal 5 ayat (2) huruf e — pembentukan dan pelindungan hak; beban pembuktian persetujuan tegas berada pada pengendali data).
• Lampiran berkas: Avatar/foto profil pengguna, lampiran anamnesis, dan gambar bukti pembayaran (bucket avatars, anamnesis-attachments, user-data-exports, payment-receipts di Storage), sebagai bagian dari langkah penghapusan permanen, dihapus dari Storage secara otomatis (best-effort) — jika penghapusan di suatu bucket gagal, hal itu dicatat dalam log, tetapi tidak menghalangi pembersihan bucket lain atau pemrosesan akun. Batas yang jujur: Satu-satunya kategori berkas yang berada di luar lingkup proses otomatis ini adalah dokumen verifikasi identitas/ijazah yang diunggah dalam proses pendaftaran spesialis/mandiri (bucket specialist-verification-docs) — secara teknis dokumen ini tidak terkait dengan pengguna, melainkan dengan proses verifikasi tenant (Klinik), dan saat ini tidak termasuk dalam lingkup penghapusan otomatis; pemusnahannya akan ditangani secara terpisah dalam proses penutupan akun/langganan Klinik pada tingkat tenant, dan sampai hal ini selesai, permintaan yang bersifat pengecualian dinilai secara manual melalui hello@corenta.app.
• Tidak satu pun dari tindakan di atas dapat dipicu atau dihentikan secara manual melalui antarmuka produk biasa (termasuk oleh personel administratif) — ini merupakan desain keamanan yang disengaja untuk mencegah penghapusan yang terlalu cepat/terlambat karena kekeliruan atau penyalahgunaan.
• Oleh karena itu, dalam Pemberitahuan ini tidak diberikan komitmen mutlak bahwa "ketika akun dihapus, seluruh data dimusnahkan secara fisik tanpa pengecualian": sementara catatan autentikasi dan catatan yang tidak memiliki nilai usaha independen dihapus secara permanen, catatan kesehatan/klinis/keuangan serta catatan persetujuan tetap disimpan dengan tautan ke orang yang diputus dan akses yang dibatasi (dengan jangka waktu yang dijelaskan di atas) karena kewajiban pencatatan Klinik (berdasarkan KVKK Pasal 7 ayat (2), ketentuan penyimpanan dalam undang-undang lain tetap berlaku); catatan ini tidak anonim; untuk sisa teknis dalam cadangan lihat juga veri-saklama-imha-politikasi.md Bagian 6.3.
• Saluran permohonan: Permintaan penghapusan akun dapat dilakukan melalui fungsi swalayan "hapus akun saya" di dalam aplikasi sebagai metode yang paling andal dan langsung memberikan hasil; dalam hal ini fungsi tersebut dipicu langsung oleh pengguna dan proses dua tahap yang dijelaskan di atas berjalan secara otomatis (ini bukan permohonan/permintaan yang ditujukan kepada Teta Studio, melainkan fungsi sistem otomatis yang dimulai oleh pengguna sendiri). Jika pengguna karena alasan apa pun tidak dapat menggunakan fungsi dalam aplikasi, pengguna dapat juga menyampaikan permintaannya sebagai alternatif kepada Klinik atau ke alamat hello@corenta.app; dalam hal ini permintaan dinilai dan diproses dalam jangka waktu yang wajar, dan sejauh dianggap perlu dimulai proses penghapusan yang sama. Pengecualian ini merupakan pengecualian dari aturan permohonan umum yang dijelaskan dalam B.9 di bawah ("permohonan harus diajukan terlebih dahulu kepada Klinik") dan semata-mata timbul karena fungsi swalayan dalam aplikasi dapat dipicu langsung oleh pengguna.

b) Permintaan Informasi / Portabilitas Data: Platform menyediakan fungsi (export_user_data) yang memungkinkan pengguna mengekspor data miliknya sendiri. Sesuai dengan struktur multi-tenant, fungsi ini hanya memuat data pengguna terkait dalam lingkup tenant miliknya sendiri. Data disajikan dalam jangka waktu yang wajar dalam format yang terstruktur dan dapat dibaca mesin (JSON). Apabila berkas dapat disiapkan, data juga disiapkan dalam bentuk ZIP dan diberikan dengan tautan pribadi (bertanda tangan) yang berlaku 7 hari; jika ZIP tidak dapat disiapkan, hanya keluaran JSON yang diberikan.

c) Hak atas Perbaikan: Pembaruan informasi pengguna secara teknis dimungkinkan dari panel administrator Klinik. Di dalam Platform tidak terdapat alur kerja "permintaan perbaikan" otomatis yang independen; permintaan perbaikan dapat disampaikan dalam kerangka hak umum dalam lingkup KVKK Pasal 11 kepada Klinik atau kepada Teta Studio melalui alamat hello@corenta.app.

d) Penarikan Persetujuan: Pernyataan bahwa pemberitahuan telah dibaca bukan merupakan persetujuan; pernyataan ini tidak menimbulkan izin yang dapat ditarik. Pengguna dapat menarik persetujuan data kesehatan dan izin notifikasi kampanye klinik kapan saja melalui aplikasi seluler. Penarikan persetujuan data kesehatan tidak memengaruhi penggunaan janji temu dan akun; setelah penarikan tidak ada data kesehatan baru yang dicatat, dan catatan sebelumnya disimpan menurut aturan dalam B.8/a.

e) Hak Lainnya berdasarkan Pasal 11: Hak untuk mengetahui apakah data diproses, mengetahui apakah pemrosesan sesuai dengan tujuannya, mengetahui pihak ketiga yang menerima transfer, meminta perbaikan atas pemrosesan yang tidak lengkap/keliru, dan menuntut ganti rugi atas kerugian akibat pemrosesan yang melanggar hukum, pertama-tama digunakan terhadap Klinik; isinya sama dengan kerangka yang disebutkan dalam A.8.

B.9. Metode Permohonan

Klien klinik dan staf klinik harus mengajukan permintaannya dalam lingkup KVKK terlebih dahulu kepada Klinik mereka sendiri; Klinik, dalam kedudukan sebagai Pengendali Data, wajib menjawab permintaan tersebut sesuai tata cara KVKK Pasal 13 dan paling lambat dalam tiga puluh (30) hari. Pengecualian: Mekanisme swalayan dalam aplikasi seperti penghapusan akun (lihat B.8/a) dapat digunakan langsung oleh pengguna tanpa memerlukan perantaraan Klinik; untuk permintaan berdasarkan KVKK Pasal 11 lainnya, pada prinsipnya permohonan diajukan terlebih dahulu kepada Klinik.

Untuk permintaan yang bersifat teknis yang ingin disampaikan langsung kepada Teta Studio (misalnya tidak berfungsinya penghapusan akun atau fungsi ekspor data) atau pertanyaan mengenai kegiatan yang dijalankan sendiri oleh Teta Studio dalam kedudukan sebagai prosesor data, Anda dapat menghubungi alamat hello@corenta.app. Teta Studio dapat meneruskan kepada Klinik, dalam lingkup DPA, permohonan yang diterimanya dan yang memerlukan informasi/instruksi Klinik terkait.

B.10. Kewajiban Klinik

Setiap Klinik yang menggunakan Corenta menerima bahwa berdasarkan KVKK Pasal 3 huruf ı ia memiliki kedudukan sebagai Pengendali Data dan bahwa kewajiban berikut secara eksklusif merupakan kewajibannya:

• Penyusunan/penyampaian Pemberitahuan Privasi KVKK kepada Klien dan Penggunanya sendiri (layar pemberitahuan bersama yang siap pakai dan layar persetujuan sukarela dalam aplikasi seluler Corenta disediakan sebagai alat teknis untuk tujuan ini, tetapi memastikan kesesuaian isinya dengan kegiatan Klinik sendiri merupakan tanggung jawab Klinik; jika dianggap perlu, Klinik dapat menjalankan proses pemberitahuan tambahannya sendiri secara terpisah sesuai B.1),
• Penentuan dasar hukum yang akan digunakan untuk pemrosesan data kesehatan (Pasal 6 ayat (3) huruf a persetujuan tegas sukarela atau Pasal 6 ayat (3) huruf e); jika persetujuan tegas diperlukan, perolehannya sesuai tata cara dan tidak menjadikannya syarat layanan,
• Pemberitahuan informasi identitasnya sendiri (nama usaha, alamat, kontak permohonan KVKK) kepada klien (teks bersama dalam aplikasi saat ini tidak memuat informasi ini secara otomatis),
• Bagi pengendali data yang kegiatan utamanya adalah pemrosesan data kesehatan, ambang pengecualian VERBİS adalah 10 karyawan per tahun dan neraca 10 juta TL (Dewan 2025/1572); penilaian kewajiban VERBİS-nya sendiri,
• Penjawaban permohonan subjek data dalam jangka waktu yang diatur dalam KVKK Pasal 13,
• Penjaminan keamanan data sehubungan dengan staf dan subkontraktornya sendiri,
• Kepatuhan terhadap kewajiban yang diatur dalam Perjanjian Pemrosesan Data/Ketentuan Layanan antara Klinik dan Corenta.

Teta Studio tidak menanggung tanggung jawab yang timbul karena Klinik tidak memenuhi kewajiban-kewajibannya di atas.

BAGIAN C — PEMBERITAHUAN AKUN DAN PLATFORM CORENTA (Teta Studio sebagai pengendali data)

Bagian ini menjelaskan pemrosesan yang dilakukan Teta Studio atas namanya sendiri dan untuk tujuannya sendiri. Dalam kegiatan ini, Teta Studio adalah pengendali data berdasarkan KVKK Pasal 3 ayat (1) huruf ı. Teks ini ditampilkan ketika akun pemilik/karyawan klinik dibuat dan ketika klien pertama kali menggunakan fitur Jelajahi/ulasan. Fitur antarstudio berikut (liga, undangan, Studio Pendiri, Corenta Lab, Jelajahi v2) dicantumkan dalam bagian ini karena menghimpun lebih dari satu klinik dan tujuannya ditentukan oleh Teta Studio. Informasi yang diproses atas nama studio bukan data pribadi pada usaha berbadan hukum; pada studio yang beroperasi sebagai usaha perseorangan dan studio satu orang, informasi tersebut dijelaskan di sini karena dapat dikaitkan dengan orang.

C.1. Pengendali Data

Mertcan Demir — usaha perseorangan dengan nama dagang "Teta Studio" (informasi identitas dan kontak: A.1). Permohonan: hello@corenta.app.

C.2. Pemrosesan, Tujuan, dan Dasar Hukum

Jelajahi dan undangan ulasan: Undangan ulasan dikirim berdasarkan informasi janji temu yang selesai, apabila klinik mengaktifkan fitur Jelajahi. Klinik, melalui Perjanjian Pemrosesan Data, memberikan instruksi agar informasi ini ditransfer kepada Teta Studio hanya untuk tujuan mengirim undangan dan memublikasikan ulasan terverifikasi; di klinik yang menonaktifkan Jelajahi, undangan tidak dikirim. Ulasan yang dipublikasikan dapat menunjukkan secara publik bahwa Anda menerima layanan dari suatu usaha kesehatan/latihan; harap pertimbangkan hal ini sebelum memublikasikannya.

Pengukuran dengan nama samaran: Pengukuran dilakukan dengan identitas samaran klinik; identitas ini bersifat nama samaran dan pada usaha satu orang dapat dikaitkan dengan orang tersebut. Pengukuran tidak memuat alamat IP, data kesehatan, dan pelacakan sumber/iklan. Fitur ini saat ini nonaktif; sebelum diaktifkan, teks ini akan diperbarui.

Visibilitas dalam fitur komunitas dan pertumbuhan: Informasi yang ditampilkan kepada pengguna lain di Liga, daftar Studio Pendiri, Corenta Lab, dan Jelajahi hanya yang tercantum dalam tabel di atas. Dalam fitur ini data kesehatan klien tidak diproses (rincian: B.3-A). Dalam undangan studio, Studio Pendiri, dan Lab tidak diberikan hadiah tunai atau potongan harga; hadiah berupa hak dalam aplikasi seperti Boost 7 hari, masa uji coba, dan kredit.

C.3. Penerima dan Transfer ke Luar Negeri

Supabase (hosting; Jerman/Frankfurt), Vercel (panel web), Google (email Google Workspace, Firebase Cloud Messaging, Google Play), dan Apple (APNs, App Store). Transfer kepada penyedia ini merupakan transfer ke luar negeri; dasar dan status saat ini dijelaskan dalam paragraf "Transfer ke luar negeri" pada B.5 (untuk aliran ini, di mana Corenta adalah pengendali data, akan digunakan kontrak standar Modul 2 — dari pengendali data ke prosesor data; per tanggal teks ini kontrak tersebut belum ditandatangani).

C.4. Pesan Elektronik Komersial

Teta Studio hanya mengirimkan email promosi dan kampanye jika Anda telah memberikan persetujuan secara terpisah dengan kotak yang tidak dicentang sebelumnya. Teta Studio tidak mengirimkan email promosi sebelum mendaftar ke Sistem Manajemen Pesan (İYS); setelah pendaftaran, persetujuan diunggah ke İYS dalam 3 hari kerja. Setiap pesan promosi memuat identitas pengirim, informasi kontak, dan tautan penolakan gratis. Email proses uji coba, undangan tim, dan dukungan merupakan pesan layanan; email tersebut tidak memuat unsur promosi.

C.5. Penyimpanan, Hak, dan Permohonan

Masa penyimpanan terdapat dalam veri-saklama-imha-politikasi.md. Di antara catatan yang ditambahkan pada 18 Oktober 2026, ringkasan uji coba berulang, catatan liga, undangan, Studio Pendiri, dan Lab disimpan sampai akun studio terkait dihapus secara permanen; catatan perangkat disimpan sampai akun pengguna dihapus secara permanen. Masa maksimum tersendiri untuk catatan ini belum ditetapkan dan akan ditambahkan ke kebijakan penyimpanan. Anda dapat menggunakan hak-hak Anda berdasarkan KVKK Pasal 11 (A.8) dengan mengajukan permohonan ke alamat hello@corenta.app; permohonan dijawab secara gratis paling lambat dalam 30 hari.

KETENTUAN UMUM (Berlaku untuk Kedua Bagian)

G.1. Pengambilan Keputusan Otomatis dan Profiling

Corenta tidak melakukan profiling untuk tujuan iklan atau pemasaran. Namun, per 18 Oktober 2026, aturan berikut berjalan secara otomatis dan dapat menimbulkan akibat negatif yang terbatas bagi orang atau studio terkait:

Penanda uji coba berulang bukan keputusan otomatis: kecocokan tidak menghalangi uji coba, hanya masuk ke peninjauan administrator platform. Berdasarkan KVKK Pasal 11 ayat (1) huruf g, hak Anda untuk mengajukan keberatan atas timbulnya akibat yang merugikan Anda melalui analisis data secara eksklusif dengan sistem otomatis tetap berlaku.

G.2. Pembaruan Pemberitahuan

Pemberitahuan ini dapat diperbarui sejalan dengan perubahan peraturan, keputusan Dewan Perlindungan Data Pribadi, perkembangan fungsional Platform, atau perubahan subprosesor/penyedia layanan. Versi terkini selalu dapat diakses melalui corenta.app/legal/kvkk-aydinlatma-metni dan layar dokumen dalam aplikasi. Dalam konteks produk SaaS (Bagian B), ketika versi pemberitahuan berubah, pengguna diminta pada login berikutnya untuk menyatakan bahwa ia telah membaca teks yang baru; ini bukan persetujuan, melainkan bukti pemberian informasi (lihat B.2).

G.3. Hukum yang Berlaku dan Yurisdiksi

Pemberitahuan ini disusun dalam kerangka Undang-Undang No. 6698 tentang Pelindungan Data Pribadi dan peraturan pelaksanaannya (Peraturan tentang Penghapusan, Pemusnahan, atau Anonimisasi Data Pribadi; Peraturan tentang Daftar Pengendali Data; Komunike tentang Tata Cara dan Prinsip yang Harus Dipatuhi dalam Pemenuhan Kewajiban Pemberitahuan; Komunike tentang Tata Cara dan Prinsip Permohonan kepada Pengendali Data). Dalam penafsiran dan pelaksanaan teks ini berlaku hukum Republik Turki; dalam sengketa, Dewan Perlindungan Data Pribadi serta pengadilan/kantor eksekusi Turki yang berwenang memiliki kewenangan.

G.4. Kontak

Untuk setiap pertanyaan, permintaan, dan permohonan Anda terkait pemrosesan data pribadi:

• Email: hello@corenta.app
• Dukungan: support@corenta.app
• Wilayah layanan: Corenta disediakan secara global melalui App Store dan Google Play di negara-negara tempat toko tersebut tersedia. Teks ini merupakan pemberitahuan dalam lingkup Undang-Undang No. 6698; bagi orang di UE/EEA juga berlaku Pernyataan GDPR, dan ketentuan pelindungan data yang bersifat memaksa di negara tempat Anda berada tetap berlaku.
• Situs Web Perusahaan: corenta.app

Tanggal berlaku / Pembaruan terakhir: 19 Oktober 2026 Versi: 2.3 · 19 Oktober 2026. Log perubahan terdapat di awal dokumen.