CORENTA – FRÆÐSLUTEXTI SAMKVÆMT TYRKNESKUM LÖGUM UM VERND PERSÓNUUPPLÝSINGA (KVKK)

Þessi þýðing er eingöngu til upplýsingar; tyrkneski textinn er lagalega bindandi.

Fræðslutexti í þremur hlutum eftir hlutverki ábyrgðaraðila eða vinnsluaðila

Útgáfa: 2.3 · Gildistaka / síðast uppfært: 19. október 2026 Ábyrgðaraðili / útgefandi (A- og C-hluti): Mertcan Demir – einstaklingur í atvinnurekstri undir rekstrarheitinu „Teta Studio“

Breytingaskrá

• 2.3 – 19. október 2026: Alþjóðlegt gildissvið var fært inn: orðalaginu „eingöngu Tyrkland“ í G.4 var skipt út fyrir framboð í fleiri en einu landi í gegnum appverslanir og tilvísun í GDPR-yfirlýsinguna fyrir ESB/EES. Vinnsla og lagagrundvöllur eru óbreytt.
• 2.2 – 19. október 2026: Útgefin útgáfa; gildistaka 19. október 2026. Auðar upplýsingar um MERSIS og KEP voru fjarlægðar úr auðkennistöflunni í A.1. Varðveislutími hópskilaboða í B.8/a var tengdur Stefnu um varðveislu og förgun gagna.
• 2.1 – 18. október 2026: Eiginleikar sem bættust við 18. október 2026 voru færðir inn: hópar stofunnar, þrautir innan stúdíósins, merki skjólstæðinga og tryggðarkort, vikulegar áskoranir og mánaðaryfirlit (B-hluti); stúdíódeildin og borgarþrautir, færanlegt prófílkort fagaðila, boðskóði frá stúdíói til stúdíós, Stofnstúdíó-áætlunin, Corenta Lab, Uppgötva v2 (stutt myndband, prufutími, kostað pláss), merking endurtekins prufutímabils, tenging tækja og „Innskráningar mínar“, endurgreiðsla að hluta í appverslun og beiðni Apple um notkunarupplýsingar (C-hluti). Því hvernig farið er með heilsufarsupplýsingar í hópum, deildinni, þrautum og prófílkortinu var lýst í sérstökum kafla (B.3-A). G.1 var leiðrétt: reglunum þremur sem leiða til sjálfvirkra niðurstaðna sem hafa áhrif á einstakling (eftirlit með misnotkun boða, felling hópskilaboða eftir þrjár kvartanir, útilokun úr deildinni) var lýst berum orðum. Heimildir farsímaappsins voru leiðréttar í samræmi við kóðann (ekki er óskað eftir aðgangi að myndavél). Óvirkir eiginleikar (staðfesting deilingar, eftirspurnarmerki, Boost-trygging, staðfesting tækis, Turnstile, Sentry) eru ekki skráðir í textann; áður en þeir verða virkjaðir þarf að uppfæra textann sérstaklega.
• 2.0 – 11. október 2026: Samkvæmt úttekt á regluvörslu 11. október 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): kaflarnir um miðlun til útlanda voru endurskrifaðir í samræmi við 9. gr. laga nr. 6698 eins og hún hljóðar eftir 2024 (Supabase/Frankfurt telst einnig miðlun til útlanda; staðlaðir samningar hafa enn ekki verið undirritaðir); fræðsla og afdráttarlaust samþykki voru aðgreind (fræðslan er ekki „samþykki“ heldur staðfestingin „Ég hef lesið og skilið“; skyldugátreitur fyrir samþykki í eyðublaði fyrir snemmbúinn aðgang var fjarlægður); samþykki fyrir vinnslu heilsufarsupplýsinga var skráð sem valfrjálst; nýjum C-hluta – Fræðsla um Corenta-aðganga og verkvanginn var bætt við fyrir þá starfsemi þar sem Teta Studio er ábyrgðaraðili; auðkennisupplýsingar voru leiðréttar í einstakling í atvinnurekstri; mat á VERBIS var skrifað í samræmi við ákvarðanir Kurul frá 2025; tilkynning til stofunnar um öryggisbrest var leiðrétt í í síðasta lagi 24 klukkustundir; orðalag um „nafnlausa“ varðveislu var leiðrétt í takmarkaða varðveislu þar sem tengsl við einstakling hafa verið rofin; eyðing viðhengja og útflutningstengillinn voru tengd einu orðalagi sem staðfest er í kóðanum; rangar tilvísanir í löggjöf voru leiðréttar.
• 1.6 – 10. október 2026: Expo (Expo Push Notification Service) var fjarlægt úr skrá yfir undirvinnsluaðila/vinnsluaðila; ýtitilkynningar eru eingöngu sendar í gegnum Apple (APNs) og Google (FCM), Expo/EAS er eingöngu tól til að smíða appið og vinnur ekki upplýsingar um endanotendur.
• 1.5 – 10. október 2026: Orðalag um val á Google Analytics var fjarlægt; skýrt var tekið fram að engin greining frá þriðja aðila er notuð og hvaða vinnsluaðilar sjá um ýtitilkynningar.
• 1.4 – 4. október 2026: Núverandi texti var festur sem samþykkt útgáfa. Í þessari útgáfu var aðeins eftirfarandi fært inn: merking rekstrarheitis Teta Studio; markaður (Tyrkland); eyðing aðgangs (lokað er samstundis fyrir aðgang, persónuupplýsingum er eytt/þær gerðar ópersónugreinanlegar, greiðsluskrár sem lög krefjast að séu varðveittar eru geymdar án auðkenna); eyðing heilsureita skjólstæðings eftir 30 daga; 7 daga frestur fyrir kvittanir án tengingar; að samskiptaupplýsingar skjólstæðings haldist faldar í aðstoðarham; mæling án auðkenna á netþjóni; þjónustupóstur og Google Workspace; vinnsluaðilar ýtitilkynninga; netfang þjónustuvers (support@corenta.app); heimild til að skrifa í heilsureiti.
• 1.3 – 4. ágúst 2026: Kaflar B.6 og B.8/a voru samræmdir stefnunni um varðveislu og förgun.

0. Um þennan texta – gildissvið og leiðbeiningar um lestur

Þessi fræðslutexti samkvæmt lögum um vernd persónuupplýsinga („Fræðslutextinn“) er saminn í samræmi við 10. gr. laga nr. 6698 um vernd persónuupplýsinga („KVKK“ eða „lögin“) og tilkynningu um málsmeðferð og meginreglur við rækslu fræðsluskyldu, í því skyni að upplýsa hina skráðu um vinnslu persónuupplýsinga í tengslum við hugbúnaðarvöruna (SaaS) Corenta („Corenta“, „varan“ eða „verkvangurinn“), sem Mertcan Demir („Teta Studio“, „við“), einstaklingur í atvinnurekstri sem starfar undir rekstrarheitinu „Teta Studio“, þróar og rekur, og vefsvæðið corenta.app þar sem varan er kynnt.

Corenta er hugbúnaðarverkvangur fyrir marga leigjendur (multi-tenant), hannaður fyrst og fremst fyrir farsíma og veittur sem þjónusta (Software-as-a-Service) fyrir smærri heilsu- og vellíðunarfyrirtæki á borð við miðstöðvar fyrir klínískt pilates, sjúkraþjálfun, reformer, vellíðun/nudd og jóga, og býður upp á umsjón tímabókana, eftirfylgni pakka/lotna, heilsufarssögu og lotuskýrslur skjólstæðinga og eftirfylgni með uppgjöri og fjármálafærslum.

0.1 Skilgreiningar

0.2 Tvö aðskilin samhengi – hvers vegna það skiptir máli

Í vistkerfi Corenta eru persónuupplýsingar unnar í þremur ólíkum samhengjum og í tveimur ólíkum hlutverkum: A-hluti (kynningarvefurinn; Teta Studio er ábyrgðaraðili), B-hluti (skrár stofunnar; Teta Studio er vinnsluaðili) og C-hluti (Corenta-aðgangur, áskrift, þjónustupóstur, Uppgötva/umsagnir, vaxtareiginleikar milli stúdíóa – deild, boð, Stofnstúdíó, Corenta Lab, færanlegt prófílkort –, öryggi aðgangs og tækja og vörumæling; Teta Studio er ábyrgðaraðili). Skýr skilningur á þessari aðgreiningu er nauðsynlegur til að fræðslutextinn sé rétt túlkaður og samhengjunum tveimur má alls ekki rugla saman:

Heilsufarsupplýsingar skjólstæðings stofu sem verða til í Corenta-appinu og upplýsingar um fyrirtækjaeiganda sem fyllir út eyðublað fyrir snemmbúinn aðgang á corenta.app falla lagalega undir gerólík regluverk. Kaflarnir hér á eftir eru byggðir upp samkvæmt þessari aðgreiningu.

A-HLUTI – VEFSVÆÐI FYRIRTÆKISINS OG EYÐUBLAÐ FYRIR SNEMMBÚINN AÐGANG (corenta.app)

Þessi hluti gildir um einstaklinga sem heimsækja vefsvæðið corenta.app, eiga samskipti við vefsvæðið og/eða fylla út umsóknareyðublað fyrir snemmbúinn aðgang. Í þessu samhengi starfar Teta Studio sem ábyrgðaraðili samkvæmt KVKK gr. 3/ı og ákveður sjálft tilgang og aðferðir við vinnslu persónuupplýsinga.

A.1. Auðkenni ábyrgðaraðila

A.2. Flokkar persónuupplýsinga sem unnir eru

Við heimsókn á vefsvæðið corenta.app, útfyllingu eyðublaðs fyrir snemmbúinn aðgang, sendingu samskiptaeyðublaðs eða beiðni um kynningu/sölufund geta eftirfarandi flokkar persónuupplýsinga verið unnir:

(*) Skýring á athugasemd um vafrakökur: Á útgáfudegi þessa texta er á vefsvæðinu corenta.app hvorki virkur vafrakökuborði/stjórnviðmót né vafrakökuinnviðir frá þriðja aðila; IP-tala og upplýsingar um tæki/vafra sem nefndar eru í línunni hér að ofan eru unnar í takmörkuðum mæli eingöngu í tengslum við grunnannála netþjóns og öryggi eyðublaða, án notkunar á virkri vafrakökutækni. Þótt samþykkisflokkur fyrir vafrakökur (cookies) hafi verið skilgreindur tæknilega í innviðum kerfisins er sá flokkur ekki notaður í reynd sem stendur. Ef vafrakökur verða teknar í notkun verða þessi fræðslutexti og sérstök stefna um vafrakökur uppfærð og nauðsynlegum samþykkisleiðum komið á. Viðkvæmar persónuupplýsingar eru ekki unnar í þessu samhengi.

Þessara upplýsinga er eingöngu aflað með því að hinn skráði fyllir út eyðublaðið eða hefur samband að eigin frumkvæði, eða sjálfkrafa vegna tæknilegrar virkni vefsvæðisins (t.d. IP-tala).

A.3. Tilgangur vinnslu persónuupplýsinga og lagagrundvöllur

Í töflunni hér að neðan er hver tilgangur vinnslu sýndur ásamt því hvaða lagagrundvelli í KVKK gr. 5/2 hann byggist á:

Mikilvægt: Markaðssamskipti samkvæmt 7. lið byggjast eingöngu á samþykki sem hinn skráði hefur sérstaklega og afdráttarlaust veitt í þessu skyni; samþykkið er ekki skilyrði fyrir umsókn um snemmbúinn aðgang og alltaf má afturkalla það (sjá A.8).

A.4. Aðferð við söfnun persónuupplýsinga

Persónuupplýsingum er safnað rafrænt með útfyllingu eyðublaða fyrir snemmbúinn aðgang/samskipti á vefsvæðinu corenta.app, með beinum samskiptum í tölvupósti, á kynningar-/sölufundum og sjálfkrafa af tæknilegum innviðum vefsvæðisins (IP-tala o.fl.).

A.5. Miðlun persónuupplýsinga

Persónuupplýsingum þínum kann að vera deilt í takmörkuðum mæli með þjónustuaðilum sem veita tæknilega þjónustu á borð við hýsingu (hosting), söfnun eyðublaða, sendingu tölvupósts, greiningu og öryggi, í því skyni að veita þessa þjónustu og innan þeirra skilyrða sem kveðið er á um í 8. og 9. gr. KVKK. Slík deiling fer aðeins fram að því marki sem nauðsynlegt er til að veita viðkomandi þjónustu og takmarkast við þann tilgang.

Þekktir innviðaveitendur sem notaðir eru í þessu samhengi:

Athugasemd – innviðirnir þar sem gögn úr eyðublöðum eru geymd: Á þeim degi sem þessi texti var saminn hafði ekki verið staðfest tæknilega hvort gögn úr eyðublaðinu fyrir snemmbúinn aðgang/samskipti séu að lokum eingöngu geymd í eigin eyðublaðainnviðum Framer eða hvort þau séu einnig flutt í gagnagrunn Corenta sem byggir á Supabase (sjá B-hluta, B.5 – Supabase, Frankfurt/Þýskaland). Þegar þetta hefur verið staðfest verður þessi tafla uppfærð, ef þörf krefur með línu fyrir Supabase; í öllum tilvikum eru gögn þín úr eyðublöðum eingöngu unnin í þeim tilgangi sem lýst er í þessum A-hluta og í samræmi við KVKK.

Að frátalinni þessari deilingu eru persónuupplýsingar þínar hvorki seldar, leigðar né framseldar þriðju aðilum í markaðsskyni. Tilvik lagaskyldu (dómsúrskurður, beiðni lögbærs stjórnvalds o.fl.) eru undantekning frá þessari reglu.

Miðlun til útlanda: Framer og Google Workspace vinna gögn utan Tyrklands; þetta telst miðlun til útlanda í skilningi laga nr. 6698. Þar sem þessi miðlun er reglubundin og samfelld byggist hún ekki á afdráttarlausu samþykki; hún mun byggjast á einu af vinnsluskilyrðum 5. gr. KVKK og, samkvæmt gr. 9/4-c, á stöðluðum samningum sem Persónuverndarráðið (Kişisel Verileri Koruma Kurulu, „Kurul“) hefur birt. Á dagsetningu þessa texta hafa stöðluðu samningarnir enn ekki verið undirritaðir við veitendurna né tilkynntir til Kurul. Hver samningur verður tilkynntur til Kurul innan 5 virkra daga frá undirritun og þessi kafli verður uppfærður með skrá yfir veitendur og dagsetningar. Kurul hefur ekki birt neina ákvörðun um fullnægjandi vernd varðandi þessi lönd (síðast athugað: 11. október 2026).

A.6. Varðveislutími

Persónuupplýsingar þínar eru varðveittar svo lengi sem viðkomandi tilgangur vinnslu krefst og í öllum tilvikum með fyrirvara um fyrningarfresti samkvæmt gildandi löggjöf:

• Umsóknir um snemmbúinn aðgang: Í mesta lagi 2 ár frá því að umsókn hefur verið metin og samskiptaferlinu er lokið; ef ekki er haft samband eða ferlinu lýkur innan þess tíma er upplýsingunum eytt/þær gerðar ópersónugreinanlegar fyrr. Athugasemd um gagnsæi: Á þeim degi sem þessi texti var saminn er ekkert sjálfvirkt yfirferðar-/eyðingarferli í kerfinu sem samsvarar þessum hámarkstíma; tíminn er lagalegt hámark og eyðing/afmáun persónuauðkenna fer sem stendur fram handvirkt/að beiðni.
• Samskiptaskrár: Þar til tilgangi samskiptanna er náð.
• Greiningar-/tæknileg annálsgögn: Svo lengi sem sjálfgefinn/leyfður varðveislutími viðkomandi tóls/innviða segir til um.
• Skrár um lagalegan ágreining og skyldur: Þann lágmarkstíma sem gildandi löggjöf mælir fyrir um.

Þegar varðveislutíminn er liðinn er persónuupplýsingum eytt, þær tortímdar eða gerðar ópersónugreinanlegar samkvæmt KVKK gr. 7 og reglugerð um eyðingu, tortímingu eða afmáun persónuauðkenna persónuupplýsinga. Ítarlega töflu yfir varðveislutíma og förgunaraðferðir er að finna í veri-saklama-imha-politikasi.md (4. hluta, röð 9).

A.7. Fræðsla í eyðublaði fyrir snemmbúinn aðgang og samþykki fyrir viðskiptaskilaboðum

Vinnsla umsóknar þinnar byggist ekki á samþykki heldur á lagagrundvellinum í A.3. Því er enginn gátreitur fyrir samþykki fræðslunnar í eyðublaðinu; fræðslu og samþykki er haldið aðskildum.

Fræðsla (enginn gátreitur): Strax fyrir ofan hnappinn Senda er eftirfarandi texti birtur ásamt tengli á þennan fræðslutexta:

„Upplýsingar þínar eru unnar til að meta umsókn þína og hafa samband við þig (KVKK gr. 5/2-c, f). Nánar: Fræðslutexti.“

Valfrjálst samþykki fyrir viðskiptaskilaboðum (sérstakur reitur, sjálfgefið EKKI HAKAÐ VIÐ):

„Ég samþykki að Teta Studio sendi mér tilkynningar og herferðir Corenta í tölvupósti.“

Þótt samþykki fyrir viðskiptaskilaboðum sé ekki veitt hefur það engin áhrif á mat umsóknarinnar. Teta Studio sendir ekki kynningarpóst án skráningar í İleti Yönetim Sistemi (İYS); eftir skráningu eru samþykkin færð inn í İYS innan 3 virkra daga. Samþykkið má afturkalla með afskráningartenglinum í hverjum skilaboðum.

A.8. Réttindi hins skráða (KVKK gr. 11) og hvernig þau eru nýtt

Samkvæmt 11. gr. KVKK á hver skráður einstaklingur, sem persónuupplýsingar eru unnar um, eftirfarandi rétt gagnvart ábyrgðaraðilanum:

a) að fá að vita hvort persónuupplýsingar séu unnar, b) að óska eftir upplýsingum um vinnsluna hafi persónuupplýsingar verið unnar, c) að fá að vita tilgang vinnslu persónuupplýsinganna og hvort þær séu notaðar í samræmi við þann tilgang, ç) að vita hvaða þriðju aðilum innanlands eða erlendis persónuupplýsingunum hefur verið miðlað til, d) að fara fram á leiðréttingu persónuupplýsinga hafi þær verið unnar ófullkomnar eða rangar, e) að fara fram á eyðingu eða tortímingu persónuupplýsinga innan þeirra skilyrða sem kveðið er á um í KVKK gr. 7, f) að fara fram á að aðgerðir samkvæmt (d)- og (e)-lið séu tilkynntar þeim þriðju aðilum sem persónuupplýsingunum hefur verið miðlað til, g) að andmæla niðurstöðu sem er einstaklingnum í óhag og verður til við að unnar upplýsingar eru greindar eingöngu með sjálfvirkum kerfum, ğ) að krefjast bóta hafi einstaklingurinn orðið fyrir tjóni vegna vinnslu persónuupplýsinga í andstöðu við lög.

Auk þess má, óháð almennum réttindum samkvæmt KVKK gr. 11, afturkalla samþykki sem veitt hefur verið fyrir vinnslu sem byggist á samþykki (rafræn viðskiptaskilaboð) hvenær sem er og án rökstuðnings. Afturköllun samþykkis hefur ekki áhrif á lögmæti vinnslunnar fyrir afturköllunina.

Hvernig beiðni er lögð fram: Til að nýta framangreind réttindi getur þú sent beiðni þína skriflega á hello@corenta.app ásamt nauðsynlegum upplýsingum til að staðfesta hver þú ert, á þann hátt sem kveðið er á um í 13. gr. KVKK og tilkynningu um málsmeðferð og meginreglur við beiðnir til ábyrgðaraðila. Beiðnum þínum er, eftir eðli þeirra, lokið innan 30 (þrjátíu) daga í síðasta lagi og án endurgjalds með aðferðum sem hafa engan aukakostnað í för með sér; ef aðgerðin hefur aukakostnað í för með sér má innheimta gjald samkvæmt gjaldskrá sem Persónuverndarráðið ákveður.

B-HLUTI – NOTKUN STOFA Á SaaS-VÖRUNNI CORENTA

Þessi hluti gildir um starfsfólk stofunnar (stjórnanda, fagaðila/leiðbeinanda, móttöku o.fl.) sem notar Corenta í gegnum miðstöð fyrir klínískt pilates, sjúkraþjálfun, reformer, vellíðun/nudd eða jóga („stofan“), og um skjólstæðinga/sjúklinga þessara stofa.

B.1. Lagalegur grundvöllur hlutverkaskiptingarinnar – lestu vandlega

Stofan sem kaupir Corenta og tekur það í notkun er „ábyrgðaraðili“ samkvæmt KVKK gr. 3/ı að því er varðar persónuupplýsingar um eigin skjólstæðinga/sjúklinga og eigið starfsfólk. Skyldan til að veita skjólstæðingum/sjúklingum og starfsfólki fræðslu samkvæmt KVKK og til að afla, eftir atvikum, afdráttarlauss samþykkis (einkum samþykkis fyrir vinnslu viðkvæmra persónuupplýsinga í formi heilsufarsupplýsinga) er fyrst og fremst og endanlega á ábyrgð stofunnar.

Teta Studio (Corenta) er eingöngu vinnsluaðili samkvæmt KVKK gr. 3/ğ. Teta Studio vinnur þessar upplýsingar samkvæmt fyrirmælum stofunnar og fyrir hönd hennar, eingöngu með því að leggja til tæknilega innviði verkvangsins; það ákveður ekki sjálfstæðan tilgang vinnslu í eigin nafni og vinnur upplýsingarnar ekki utan fyrirmæla stofunnar í eigin viðskiptatilgangi (auglýsingar, sala til þriðju aðila o.fl.). Vinnsla sem Teta Studio annast í eigin tilgangi (notandaaðgangar stofunnar, áskrift, þjónustupóstur, boð um Uppgötva/umsögn og umsagnir, öryggi og vörumæling undir gerviauðkenni) fellur ekki undir þennan B-hluta heldur C-hluta; í þeirri starfsemi er Teta Studio ábyrgðaraðili.

Varan Corenta býður upp á verkfæri sem auðvelda tæknilega rækslu stofunnar á þessum skyldum (samþykkisskjár í farsímaappinu, útgáfustýrðar samþykkisskrár, afturköllunarleið o.fl. – sjá B.2). Tilvist þessara verkfæra þýðir ekki að stofan hafi framselt lagalegar skyldur sínar sem ábyrgðaraðili til Teta Studio eða að Teta Studio hafi tekið þessar skyldur á sig.

Sambandi stofunnar og Teta Studio sem vinnsluaðila er stýrt með sérstökum vinnslusamningi (Data Processing Agreement/DPA); í samningnum er nánar kveðið á um þá flokka upplýsinga sem unnir verða, tilgang vinnslu, öryggisráðstafanir, notkun undirvinnsluaðila og skyldur aðila samkvæmt KVKK gr. 12.

Þessi B-hluti kemur hvorki í stað þess fræðslutexta sem stofan veitir eigin skjólstæðingum/starfsfólki né jafngildir honum. Tilgangur þessa hluta er að gera á gagnsæjan hátt grein fyrir því hvaða upplýsingar Teta Studio vinnur sem vinnsluaðili á verkvanginum og í hvaða tilgangi, og að leggja fram ramma sem stofan getur haft til hliðsjónar þegar hún semur eigin fræðslutexta. Telji stofan sameiginlega/miðlæga fræðsluskjáinn og valfrjálsu samþykkisskjáina í farsímaappi Corenta (sjá B.2) ekki fullnægjandi getur hún með eigin ráðum (skriflegum texta, tölvupósti, fræðslu augliti til auglitis o.fl.) haldið sérstakt viðbótarfræðsluferli fyrir skjólstæðinga sína og starfsfólk; það fellur undir eigin lagalega ábyrgð stofunnar.

B.2. Fræðsla og samþykkisferli innan verkvangsins (til upplýsingar)

Í farsímaappi Corenta er við fyrstu notkun (onboarding) skjár (kvkk.tsx) sem Teta Studio hefur útbúið og er sameiginlega birtur skjólstæðingum/notendum allra stofa. Í samræmi við meginreglu-ákvörðun Kurul nr. 2026/347 eru fræðsla og samþykki birt í aðskildum skrefum:

Skrárnar eru varðveittar útgáfustýrðar í töflunni consent_logs. Tæknileg athugasemd: birting fræðslunnar er nú skráð í þessa töflu með tegundinni kvkk; sú skráning er ekki samþykki heldur staðfesting á því að fræðslan hafi verið birt og lesin. Ein tilkynningaheimild stýrikerfisins er notuð til að koma bæði færslu- og herferðatilkynningum til skila; herferðatilkynningar skal aðeins senda ef heimild 2b hefur verið veitt.

Þessi skjár og þessir textar hafa ekki verið sérsniðnir fyrir hverja stofu heldur eru boðnir fram sem sameiginleg útgáfa fyrir allan verkvanginn; auðkennisupplýsingum stofunnar (heiti, heimilisfangi, samskiptaupplýsingum vegna beiðna) er nú ekki sjálfkrafa bætt inn í textann. Þegar útgáfu fræðslutextans er breytt er notandinn við næstu innskráningu beðinn um að staðfesta að hann hafi lesið nýja textann (það er heldur ekki samþykki). Samþykki fyrir vinnslu heilsufarsupplýsinga og heimild fyrir herferðum má afturkalla hvenær sem er (fylgst með í reitnum revoked_at); afturköllun samþykkis fyrir vinnslu heilsufarsupplýsinga hefur ekki áhrif á notkun tímabókana og aðgangsins.

Vinni stofan, sem heilbrigðisstarfsmaður bundinn þagnarskyldu (t.d. sjúkraþjálfari), heilsufarsupplýsingar í meðferðarskyni á grundvelli KVKK gr. 6/3-e kann fræðsla ein að nægja í stað skjás fyrir afdráttarlaust samþykki; önnur fyrirtæki (t.d. pilates-/vellíðunarstúdíó) mega aðeins vinna heilsufarsupplýsingar á grundvelli valfrjáls afdráttarlauss samþykkis samkvæmt gr. 6/3-a. Á hvaða lagagrundvelli er byggt og hvort efni fræðslunnar hæfi eigin starfsemi er á ábyrgð stofunnar.

B.3. Upplýsingaflokkar sem Teta Studio vinnur sem vinnsluaðili

Vegna tæknilegrar virkni verkvangsins eru eftirfarandi upplýsingaflokkar unnir samkvæmt fyrirmælum stofunnar:

Heimild til að skrifa í heilsureiti (frá og með 4. október 2026): Í heilsureiti skjólstæðings (blóðflokk, ofnæmi, langvinna sjúkdóma, lyf) geta aðeins skjólstæðingurinn sjálfur og fagaðilinn sem honum er úthlutað skrifað; eigandi/stjórnandi fyrirtækisins getur ekki skrifað í þessa reiti (en getur breytt tengilið í neyðartilvikum og auðkennisreitum).

Vörumæling undir gerviauðkenni: Í þessari starfsemi er Teta Studio ábyrgðaraðili og nánari upplýsingar eru í C-hluta. Mælingin fer fram með gerviauðkenni stofunnar; þetta auðkenni er dulnefni (ekki auðkennislaust). Eiginleikinn er óvirkur sem stendur.

Kvittanaskrár (frá og með 4. október 2026): Kvittanaskrám sem ekki hafa verið tengdar greiðslu (án tengingar) er eytt sjálfkrafa eftir 7 daga; kvittun sem tengd er greiðslu getur ekkert hlutverk eytt.

Skýrleiki um heimildir farsímaappsins (frá og með 18. október 2026): Farsímaapp Corenta biður á stýrikerfisstigi aðeins um heimild fyrir tilkynningum (spurt í samhengi) og í iOS um aðgang að myndasafni (á þeirri stundu sem prófílmynd, viðhengi við heilsufarssögu, greiðslukvittun, mynd fyrir tilkynningu eða myndband stúdíós er valið); ef forritalás er virkur er Face ID-/fingrafarastaðfesting tækisins notuð innan tækisins og engar lífkennaupplýsingar eru sendar til Corenta. Í Android hafa heimildir fyrir myndavél og hljóðnema verið fjarlægðar af ásetningi úr upplýsingaskrá (manifest) appsins. Appið biður ekki um heimild fyrir myndavél, hljóðnema, staðsetningu, tengiliðum (contacts) eða dagatali, né um aðgang að HealthKit/heilsuskynjurum. Kort Uppgötva notar ekki staðsetningu tækisins; aðeins er leitað eftir því héraði/svæði eða kortasvæði sem notandinn velur.

Viðkvæmar persónuupplýsingar (heilsufarsupplýsingar) má samkvæmt KVKK gr. 6 aðeins vinna með afdráttarlausu samþykki eða í undantekningartilvikum sem kveðið er á um í lögum (þegar aðilar bundnir þagnarskyldu annast vinnsluna í þágu verndar lýðheilsu, fyrirbyggjandi heilbrigðisþjónustu, læknisfræðilegrar greiningar/meðferðar, skipulags og fjármögnunar heilbrigðisþjónustu o.fl.). Í vistkerfi Corenta færa viðurkenndir heilsu-/vellíðunarfagaðilar stofunnar þessar upplýsingar inn í samræmi við þann lagagrundvöll sem stofan byggir á (valfrjálst afdráttarlaust samþykki samkvæmt gr. 6/3-a eða gr. 6/3-e); Teta Studio hýsir/vinnur þessar upplýsingar aðeins samkvæmt fyrirmælum stofunnar og verndar þær með auknum öryggisráðstöfunum (sjá B.6).

Varðveislutími og förgunaraðferð – víxltilvísun: Varðveislutími hvers framangreindra flokka og sú aðferð sem beitt er eftir beiðni um eyðingu aðgangs (varanleg eyðing eða afmáun persónuauðkenna) eru teknar saman í B.8/a og útskýrðar ásamt ítarlegri töflu og rökstuðningi í veri-saklama-imha-politikasi.md (4.–6. hluta). Einkum að því er varðar línurnar Heilsufarsupplýsingar, Færslu-/fjárhagsupplýsingar og Skrár um fræðslu og heimildir: á stigi varanlegrar eyðingar aðgangs er þessum færslum ekki eytt með DELETE; tengsl við einstaklinginn eru rofin og tilteknir reitir með frjálsum texta hreinsaðir. Þar sem frjálsum texta lotuskýrslna er ekki breytt teljast þessar færslur ekki í öllum tilvikum nafnlausar; þær eru varðveittar með takmörkuðum aðgangi (sjá B.8/a).

B.3-A. Samfélags- og vaxtareiginleikar – tengsl við heilsufarsupplýsingar (frá og með 18. október 2026)

Heilsufarsupplýsingar eru viðkvæmar persónuupplýsingar í skilningi KVKK gr. 6. Eftirfarandi eiginleikar eru ekki hannaðir til að vinna heilsufarsupplýsingar; fyrir hvern þeirra er sérstaklega lýst hvernig farið er með heilsufarsupplýsingar:

Hjá stofum sem veita heilbrigðisþjónustu, svo sem sjúkraþjálfun, getur sú staðreynd að skjólstæðingur hafi sótt tíma eða verið í hópi gefið til kynna að viðkomandi fái heilbrigðisþjónustu. Því er ákvörðunin um hvort þessir eiginleikar eru notaðir og hvernig skjólstæðingum er gerð grein fyrir þeim ákvörðun stofunnar sem ábyrgðaraðila. Hópar stofunnar (group_chats) og þrautir (leagues) eru aðskildar einingar og eru hannaðar þannig að hægt sé að slökkva á þeim fyrir hverja stofu.

B.4. Tilgangur vinnslu og lagagrundvöllur

Lagagrundvöllurinn í töflunni hér að neðan getur, eftir eðli upplýsinganna, haft tvenns konar merkingu: (i) lagagrundvöllinn sem stofan (sem ábyrgðaraðili) byggir á gagnvart skjólstæðingi sínum/starfsfólki, eða (ii) lagagrundvöllinn sem gildir um eigin sjálfstæða starfsemi Teta Studio (svo sem öryggi verkvangsins, reikningagerð og lagaskyldur). Í ljósi þess að Teta Studio ákveður ekki upp á eigin spýtur sjálfstæðan „tilgang vinnslu“ (sjá B.1) ber einkum að lesa línuna um viðkvæmar persónuupplýsingar þannig að hún endurspegli lagagrundvöll stofunnar:

B.5. Miðlun persónuupplýsinga (innanlands og til útlanda)

Til að verkvangurinn virki er persónuupplýsingum deilt í takmörkuðum og tæknilega nauðsynlegum mæli með eftirfarandi undirvinnsluaðilum (sub-processor):

Aðrar athugasemdir um innviði:

• Tölvupóstsinnviðir: Þjónustupóstur (prufutímabil, boð í teymi, svör þjónustuvers) er sendur með SMTP í gegnum Google Workspace (Google); auðkenningarpóstur (staðfesting netfangs, endurstilling lykilorðs) er ræstur af Supabase Auth. Kynningarpóstur er aðeins sendur með sérstöku samþykki og að því skilyrði uppfylltu að skráning í İYS liggi fyrir (sjá C-hluta). Ýtitilkynningar eru sendar í gegnum Apple (APNs) og Google (FCM).
• Greiningartól: Ekkert greiningartól frá þriðja aðila (t.d. Google Analytics) er notað. Mæling á notkun vörunnar í appinu er ekki virk sem stendur; verði hún virkjuð er mælingin skráð í fyrstaaðilatöflu í eigin gagnagrunni Corenta (Supabase, Frankfurt/Þýskaland), hún inniheldur hvorki heilsufarsupplýsingar né frjálsan texta og þessi texti verður uppfærður áður en hún er virkjuð.
• Villuvöktun: Ekkert villuvöktunartól frá þriðja aðila er notað; villur í biðlara eru skráðar í eigin gagnagrunn Corenta (Supabase).
• Rauntímasending skilaboða og myndbönd (frá og með 18. október 2026): Bein skilaboð og hópskilaboð eru aðeins send viðurkenndum notendum með rauntímaþjónustu Supabase (Realtime); myndbönd stúdíóa eru geymd í skráageymslu Supabase. Þetta fellur undir línu Supabase (nr. 1); engum nýjum undirvinnsluaðila hefur verið bætt við.
• Greiðsla með kreditkorti á vefnum: Er ekki studd sem stendur; allar áskriftargreiðslur fara eingöngu fram í gegnum kaup í appi (IAP) hjá Apple/Google.

Miðlun til útlanda: Upplýsingar þínar eru unnar af þjónustuveitendum utan Tyrklands: Supabase (gagnagrunnur, auðkenning og skráageymsla; gögnin eru hýst í Þýskalandi/Frankfurt), Vercel (hýsing vefstjórnborðs; alþjóðlegir innviðir), Google (tölvupóstur með Google Workspace og tilkynningar með Firebase Cloud Messaging; alþjóðlegt) og Apple (tilkynningar og verslun; alþjóðlegt). Hýsing í Þýskalandi telst einnig miðlun til útlanda í skilningi laga nr. 6698. Þar sem þessi miðlun er reglubundin og samfelld byggist hún ekki á afdráttarlausu samþykki; hún mun byggjast á einu af vinnsluskilyrðum 5. og 6. gr. KVKK og, samkvæmt gr. 9/4-c, á stöðluðum samningum sem Persónuverndarráðið (Kurul) hefur birt. Teta Studio mun sem vinnsluaðili undirrita staðlaðan samning samkvæmt einingu 3 (frá vinnsluaðila til vinnsluaðila) við hvern undirvinnsluaðila og tilkynna hann til Kurul innan 5 virkra daga frá undirritun. Á dagsetningu þessa texta hafa stöðluðu samningarnir enn ekki verið undirritaðir né tilkynntir til Kurul; þegar undirritun og tilkynning hafa farið fram verður þessi kafli uppfærður með skrá yfir veitendur og dagsetningar. Kurul hefur ekki birt neina ákvörðun um fullnægjandi vernd varðandi þessi lönd (síðast athugað: 11. október 2026). Stofan getur þessarar miðlunar í eigin fræðslutexta.

Framangreind skrá yfir undirvinnsluaðila er auk þess haldin sérstaklega og uppfærð sem viðauki við DPA milli stofunnar og Teta Studio; stofunni er tilkynnt um breytingar á skránni samkvæmt þeirri málsmeðferð sem kveðið er á um í DPA. Persónuupplýsingum má aðeins miðla til lögbærra stjórnvalda og opinberra aðila í þeim tilvikum sem gildandi löggjöf mælir fyrir um og takmarkað við beiðnina; Teta Studio selur hvorki né leigir undir neinum kringumstæðum persónuupplýsingar sem það vinnur til þriðju aðila í viðskiptaskyni.

B.6. Öryggisráðstafanir

Teta Studio beitir eftirfarandi tæknilegum og skipulagslegum ráðstöfunum til að tryggja öryggi þeirra persónuupplýsinga sem það vinnur sem vinnsluaðili:

• Einangrun leigjenda (multi-tenant isolation): Allar gagnatöflur verkvangsins eru aðgreindar með reitnum tenant_id og verndaðar með víðtækum stefnum um öryggi á línustigi (Row Level Security/RLS) samkvæmt meginreglunni um sjálfgefna synjun (default-deny); aðgangur einnar stofu að upplýsingum annarrar er hindraður með tæknilegum hætti.
• Takmörkun aðgangs að heilsufarsupplýsingum: Að eyðublöðum heilsufarssögu, lotuskýrslum og mælingum hafa á RLS-stigi aðeins viðkomandi skjólstæðingur, fagaðilinn sem honum er úthlutað og viðurkenndur stjórnandi stofunnar aðgang; lotuskýrslur sem fagaðilinn hefur merkt sem „deilt með teyminu“ geta aðrir fagaðilar stofunnar einnig séð. Aðgangur starfsfólks er mögulegur þegar viðkomandi heilsueining (heilsufarssaga, mæling, lotuskýrsla) er virk.
• Óbreytanleiki (append-only): Sendar lotuskýrslur (þegar reiturinn submitted_at hefur verið fylltur út) eru verndaðar á gagnagrunnsstigi þannig að ekki er hægt að uppfæra þær eða eyða þeim; ekkert notandahlutverk (ekki heldur stjórnandi stofunnar) hefur heldur heimild til eyðingar (DELETE) á eyðublöðum heilsufarssögu. Eina og þrönga undantekningin: í ferlinu við varanlega eyðingu aðgangs (sjá B.8/a) getur aðeins forréttindabakgrunnsferli (service-role), án þess að snerta EFNI lotuskýrslunnar, sett á gagnagrunnsstigi eingöngu dálkana sem tengja við einstaklinginn (client_id/specialist_id) á NULL; þetta brýtur ekki gegn meginreglunni um append-only – þetta er umskipti í einum tilgangi sem uppfyllir skylduna samkvæmt KVKK til að rjúfa tengsl við einstaklinginn (afmáun persónuauðkenna) (nánar: veri-saklama-imha-politikasi.md 6.2. hluta).
• Takmarkanir á aðstoðarham yfirstjórnanda (impersonation): Aðgangshamur yfirstjórnanda sem notaður er til tækniaðstoðar er tímabundinn (30 mínútur) og sjálfgefið eingöngu til lestrar; skrifaðgerðir og aðgang að heilsufarsupplýsingum má opna með aðskildum skrefum sem krefjast viðbótarsamþykkis (flaggið health_data_enabled); í engri impersonation-aðstöðu er veitt skrifheimild í töflur heilsufarsupplýsinga – þessari takmörkun er beitt undantekningarlaust í stefnum gagnagrunnsins.
• Öryggi við flutning: Gögn eru dulkóðuð með TLS við flutning.
• Geymsla í tæki: Í farsímaappinu eru innskráningartókar geymdir dulkóðaðir í öruggri, vélbúnaðarstuddri lyklakippu tækisins (expo-secure-store byggt á iOS Keychain/Android Keystore).
• Vernd viðkvæmra skjámynda: Á skjámyndum í farsíma sem innihalda heilsufarsupplýsingar er lokað fyrir skjáskot og skjáupptöku (lokun á skjáupptöku/skjáskotum í iOS; FLAG_SECURE í Android).
• Öryggi stjórnendaaðganga: Aðgangar stjórnenda verkvangsins (yfirstjórnenda) krefjast tveggja þrepa auðkenningar (MFA, AAL2).
• Heilleiki greiðslna: Fyrir greiðslutilkynningar (webhook) frá appverslunum (Apple/Google) er beitt innviðum fyrir dulritunarlega staðfestingu undirskrifta; vinna við að ljúka þessari stillingu að fullu í framleiðsluumhverfi fyrir alla veitendur og bæta hana stöðugt stendur yfir.

Þrátt fyrir framangreindar ráðstafanir er skýrt tekið fram að ekki er hægt að ábyrgjast algert öryggi neins upplýsingakerfis. Þessar ráðstafanir eru stöðugt endurskoðaðar og bættar sem hluti af skyldum vinnsluaðila samkvæmt KVKK gr. 12. Þegar Teta Studio verður sem vinnsluaðili vart við öryggisbrest tilkynnir það stofunni án tafar og eigi síðar en innan 24 klukkustunda (Kurul 2019/10). Tilkynning til Kurul og hinna skráðu er skylda stofunnar sem ábyrgðaraðila. Varðandi upplýsingar þar sem Teta Studio er ábyrgðaraðili (A- og C-hluti) sendir Teta Studio tilkynningu til Kurul innan 72 klukkustunda.

B.7. Viðbótarupplýsingar um aðstoðarham yfirstjórnanda (impersonation)

Viðurkennt aðstoðarstarfsfólk Teta Studio getur í tengslum við beiðnir um tækniaðstoð frá stofunni fengið tímabundinn aðgang að aðgangi stofunnar í takmörkuðum og endurskoðanlegum „aðstoðarham“. Þessi aðgangur:

• er takmarkaður við í mesta lagi 30 mínútur og fellur sjálfkrafa niður þegar tíminn er liðinn,
• er sjálfgefið eingöngu til lestrar (read-only),
• skrifheimild og aðgang að heilsufarsupplýsingum má opna með aðskildum skrefum sem hvert um sig krefst viðbótarsamþykkis; skrifaðgangur að töflum heilsufarsupplýsinga er ekki veittur undir neinum kringumstæðum,
• er skráður í annál og sætir endurskoðunarslóð.

Samskiptaupplýsingar skjólstæðings í aðstoðarham (frá og með 4. október 2026): Í aðstoðarlotu Corenta (yfirstjórnandi) eru netfang og símanúmer skjólstæðingsins ekki sýnd aðstoðarstarfsfólki; aðstoðarstarfsfólk sér aðeins takmarkaða samantekt auðkennis (nafn, stöðu aðgangs, virkni, stofndag).

B.8. Varðveislutími persónuupplýsinga og hvernig réttindi hins skráða eru framkvæmd

Persónuupplýsingar eru varðveittar svo lengi sem nauðsynlegt er vegna viðkomandi tilgangs og þann lögbundna varðveislutíma sem gildandi löggjöf mælir fyrir um. Réttindin hér á eftir eru samkvæmt KVKK gr. 11 fyrst og fremst nýtt gagnvart stofunni sem ábyrgðaraðila. Teta Studio tryggir sem vinnsluaðili að þessi réttindi séu framkvæmd með tæknilegum hætti að beiðni stofunnar. Þær áþreifanlegu leiðir sem boðið er upp á í verkvanginum eru eftirfarandi:

a) Réttur til eyðingar: Eyðing aðgangs (frá og með 4. október 2026): Þegar beiðni um eyðingu hefur verið staðfest er lokað samstundis fyrir aðgang (lotum er slitið, ekki er hægt að skrá sig inn); persónuupplýsingum er eytt eða þær gerðar ópersónugreinanlegar (nafn, netfang, símanúmer, mynd ásamt auðkennis-/samskiptaupplýsingum skjólstæðings og heilsureitum – blóðflokki, ofnæmi, langvinnum sjúkdómum, lyfjum – eru hreinsuð); greiðslu- og uppgjörsskrám sem lög krefjast að séu varðveittar er ekki eytt; þær eru varðveittar með takmörkuðum aðgangi og þannig að tengsl við einstaklinginn hafa verið rofin. Enginn frestur er til að hætta við eftir beiðnina; varanlegri eyðingu auðkenningarfærslu og skráa er lokið í núverandi bakgrunnsferli innan þrjátíu daga.

Eyðing skrár skjólstæðings og heilsureita (frá og með 4. október 2026): Þegar fyrirtækið eyðir skrá skjólstæðings sem ekki er með aðgang er skráin samstundis fjarlægð af virka listanum; eftir 30 daga er heilsureitum skjólstæðingsins (blóðflokki, ofnæmi, langvinnum sjúkdómum, lyfjum) eytt/þeir tæmdir ásamt auðkennis- og samskiptaupplýsingum. Varðveislureglur um eyðublöð heilsufarssögu, mælingar og lotuskýrslur verða ekki fyrir áhrifum af þessu ákvæði.

Hópskilaboð og samfélagsskrár (frá og með 18. október 2026): Meðlimur getur eytt eigin hópskilaboðum hvenær sem er; texti eyddra skilaboða er fjarlægður úr skránni. Þegar aðgangi er eytt varanlega er aðild að hópum, skrám um tengd tæki og prófílkortum fagaðila eytt; þátttaka í þrautum er tengd skrá skjólstæðings og lýtur sömu reglu og skrá skjólstæðings; texti skilaboða sem áður hafa verið send í hópinn verður hins vegar áfram í hópnum án upplýsinga um sendanda. Notandi sem vill fjarlægja skilaboð sín getur því eytt þeim einum af öðrum áður en aðgangi er eytt. Texti skilaboða sem teymið hefur falið er geymdur sérstaklega til yfirferðar teymisins. Varðveislutími hópskilaboða og þessa afrits er í veri-saklama-imha-politikasi.md, 4. hluta, röð 12; afritið er varðveitt í mesta lagi 1 ár. Skrár um hópa, þrautir, merki og tryggðarkort eru nú ekki hluti af útflutningnum „Sækja gögnin mín“; beiðni um upplýsingar um þessar skrár má beina til stofunnar eða á hello@corenta.app.

Þegar notandi óskar eftir eyðingu aðgangs í appinu (aðgerðin delete_my_account) beitir kerfið tveggja þrepa eyðingarhögun. Samantektin hér á eftir er heiðarleg og tæknilega staðfest lýsing á þeirri aðferð (varanleg eyðing eða afmáun persónuauðkenna) sem beitt er eftir upplýsingaflokki; fyrir fullar upplýsingar og töflu, sjá veri-saklama-imha-politikasi.md (einkum 4.–6. hluta).

• 1. þrep – við beiðnina: Lokað er samstundis fyrir aðgang (enginn frestur til að hætta við); prófíll er gerður óvirkur, auðkennis- og heilsureitir hreinsaðir, bókuðum tímum sem bíða aflýst, úthlutanir fjarlægðar og veitt samþykki afturkölluð.
• 2. þrep – varanleg vinnsla eftir 30 daga: 30 dögum eftir þetta fyrsta þrep fer fram vinnsla sem aðeins er ræst óafturkræft af forréttindabakgrunnsverki (service-role, cron) og er beitt með tveimur ólíkum aðferðum eftir upplýsingaflokki; ekki er hægt að ræsa hana handvirkt/stjórnsýslulega né flýta henni eða fresta:
• Auðkenningarfærslu notandans (auth.users) og færslum sem hafa ekkert sjálfstætt rekstrar-/sönnunargildi (t.d. tilkynningum, notifications) er eytt varanlega (DELETE/cascade).
• Heilsufarsupplýsingum (eyðublöðum heilsufarssögu, lotuskýrslum, mælingum) og skrám stofu/fjárhagsskrám (greiðslum, mætingu) ER EKKI EYTT með DELETE – ÞÆR ERU VARÐVEITTAR MEÐ TAKMÖRKUNUM OG TENGSL VIÐ EINSTAKLINGINN ROFIN: tengsl við einstaklinginn (svo sem client_id/specialist_id) eru rofin á gagnagrunnsstigi (ON DELETE SET NULL); tilteknir reitir með frjálsum texta (svör í heilsufarssögu, athugasemdir um mælingar/greiðslur, ástæða endurgreiðslu, tilvísun kvittunar) eru hreinsaðir eða þeim skipt út fyrir merkingu. Frjálsum texta lotuskýrslna er ekki breytt; þar sem í þessum texta og í upplýsingum á borð við dagsetninga-/mælingaraðir geta verið nægar upplýsingar til að persónugreina einstaklinginn á ný teljast þessar færslur ekki nafnlausar. Færslurnar eru varðveittar með takmörkuðum aðgangi meðan skylda stofunnar til skráahalds varir og þeim fargað að þeim tíma liðnum; meginreglan um append-only fyrir lotuskýrslur er varðveitt á þennan hátt.
• Samþykkisskrám (consent_logs) er á sama hátt ekki eytt með DELETE; tengsl við einstaklinginn eru rofin og IP-tala hreinsuð, en til sönnunar á því að samþykki hafi verið veitt/afturkallað (með upplýsingum um tegund, útgáfu og tíma) eru þær varðveittar sem sönnunarfærsla þar sem tengsl við einstaklinginn hafa verið rofin í 5 ár til viðbótar (KVKK gr. 5/2-e – stofnun og vernd réttinda; sönnunarbyrðin um afdráttarlaust samþykki hvílir á ábyrgðaraðila).
• Viðhengi: Avatar/prófílmynd notandans, viðhengi heilsufarssögu og myndir af greiðslukvittunum (hólfin avatars, anamnesis-attachments, user-data-exports og payment-receipts í Storage) eru sjálfkrafa (best-effort) eydd úr Storage sem hluti af þrepi varanlegrar eyðingar – mistakist eyðing í einu hólfi er það skráð í annál, en það hindrar hvorki hreinsun annarra hólfa né vinnslu aðgangsins. Heiðarleg takmörk: Eini skráaflokkurinn sem fellur utan þessa sjálfvirka ferlis eru staðfestingarskjöl auðkennis/prófskírteina sem hlaðið er upp í skráningarferli fagaðila/einyrkja (hólfið specialist-verification-docs) – þessi skjöl eru tæknilega tengd staðfestingarferli leigjandans (stofunnar) en ekki notandanum og falla nú ekki undir sjálfvirka eyðingu; förgun þeirra verður meðhöndluð sérstaklega í ferlinu þegar stofan lokar aðgangi sínum/áskrift á leigjandastigi, og þar til því er lokið fer fram handvirkt mat í undantekningartilvikum í gegnum hello@corenta.app.
• Enga af framangreindum aðgerðum er hægt að ræsa eða stöðva handvirkt í gegnum venjuleg notendaviðmót vörunnar (ekki heldur af stjórnsýslustarfsfólki) – þetta er meðvituð öryggishönnun til að koma í veg fyrir ótímabæra eða síðbúna eyðingu fyrir mistök eða vegna misnotkunar.
• Því er í þessum texta ekki gefið afdráttarlaust loforð um að „þegar aðgangi er eytt séu öll gögn tortímd undantekningarlaust og með efnislegum hætti“: á meðan auðkenningarfærslu og færslum án sjálfstæðs rekstrargildis er eytt varanlega eru skrár um heilsu/stofu/fjármál og samþykkisskrár áfram varðveittar með rofnum tengslum við einstaklinginn og takmörkuðum aðgangi (í þann tíma sem lýst er hér að ofan) vegna skyldu stofunnar til skráahalds (varðveisluákvæði annarra laga gilda samkvæmt KVKK gr. 7/2); þessar færslur eru ekki nafnlausar; um tæknilegar leifar í öryggisafritum, sjá einnig veri-saklama-imha-politikasi.md 6.3. hluta.
• Leiðir fyrir beiðnir: Beiðni um eyðingu aðgangs má leggja fram með sjálfsafgreiðsluaðgerðinni „eyða aðganginum mínum“ í appinu, sem er áreiðanlegasta leiðin og skilar beinni niðurstöðu; í því tilviki ræsir notandinn aðgerðina sjálfur og tveggja þrepa ferlið sem lýst er hér að ofan keyrir sjálfkrafa (þetta er ekki beiðni sem beint er til Teta Studio heldur sjálfvirk kerfisaðgerð sem notandinn hefur sjálfur frumkvæði að). Geti notandi af einhverjum ástæðum ekki notað aðgerðina í appinu getur hann einnig sent beiðni sína til stofunnar eða á hello@corenta.app; í því tilviki er beiðnin metin og afgreidd innan hæfilegs tíma og, að því marki sem talið er nauðsynlegt, tryggt að sama eyðingarferli sé hafið. Þessi undantekning er undantekning frá almennu reglunni um beiðnir sem lýst er í B.9 hér á eftir („fyrst skal leita til stofunnar“) og stafar eingöngu af því að notandinn getur ræst sjálfsafgreiðsluaðgerð appsins beint.

b) Beiðni um upplýsingar / flutningsréttur: Verkvangurinn býður upp á aðgerð (export_user_data) sem notandi getur notað til að flytja út eigin upplýsingar. Í samræmi við uppbyggingu fyrir marga leigjendur inniheldur aðgerðin aðeins upplýsingar innan eigin leigjanda (tenant) viðkomandi notanda. Upplýsingarnar eru afhentar innan hæfilegs tíma á skipulegu og tölvulesanlegu sniði (JSON). Þegar hægt er að útbúa skrána eru upplýsingarnar einnig teknar saman sem ZIP og afhentar með persónulegum (undirrituðum) tengli sem gildir í 7 daga; ef ekki er hægt að útbúa ZIP-skrána er aðeins JSON-úttak afhent.

c) Réttur til leiðréttingar: Uppfærsla notandaupplýsinga er tæknilega möguleg úr stjórnborði stofunnar. Í verkvanginum er auk þess ekkert sjálfvirkt, sjálfstætt verkflæði fyrir „beiðni um leiðréttingu“; beiðnum um leiðréttingu má, innan ramma almennra réttinda samkvæmt KVKK gr. 11, beina til stofunnar eða til Teta Studio á hello@corenta.app.

d) Afturköllun samþykkis: Staðfesting á lestri fræðslutextans er ekki samþykki; hún felur ekki í sér heimild sem hægt er að afturkalla. Notandinn getur hvenær sem er afturkallað samþykki fyrir vinnslu heilsufarsupplýsinga og heimild fyrir tilkynningum um herferðir stofunnar í farsímaappinu. Afturköllun samþykkis fyrir vinnslu heilsufarsupplýsinga hefur ekki áhrif á notkun tímabókana og aðgangsins; eftir afturköllun eru engar nýjar heilsufarsupplýsingar skráðar og fyrri skrár eru varðveittar samkvæmt reglunum í B.8/a.

e) Önnur réttindi samkvæmt gr. 11: Rétturinn til að fá að vita hvort upplýsingar séu unnar, hvort þær séu notaðar í samræmi við tilgang, að vita hvaða þriðju aðilum þeim hefur verið miðlað til, að fara fram á leiðréttingu ófullkominnar/rangrar vinnslu og að krefjast bóta vegna tjóns af ólögmætri vinnslu er fyrst og fremst nýttur gagnvart stofunni; efnið er það sama og í rammanum í A.8.

B.9. Hvernig beiðni er lögð fram

Skjólstæðingar og starfsfólk stofunnar skulu beina beiðnum sínum samkvæmt KVKK fyrst og fremst til eigin stofu; stofunni er sem ábyrgðaraðila skylt að svara þessum beiðnum í samræmi við málsmeðferð KVKK gr. 13 og eigi síðar en innan þrjátíu (30) daga. Undantekning: Sjálfsafgreiðsluleiðir í appinu, svo sem eyðingu aðgangs (sjá B.8/a), getur notandinn nýtt beint án þess að stofan þurfi að koma að málinu; í öðrum beiðnum samkvæmt KVKK gr. 11 er meginreglan sú að fyrst sé leitað til stofunnar.

Vegna tæknilegra beiðna sem óskað er eftir að beina beint til Teta Studio (t.d. ef eyðing aðgangs eða útflutningsaðgerð gagna virkar ekki) eða spurninga um þá starfsemi sem Teta Studio sjálft annast sem vinnsluaðili má hafa samband á hello@corenta.app. Teta Studio getur innan ramma DPA vísað beiðnum sem berast því og krefjast vitneskju/fyrirmæla viðkomandi stofu til stofunnar.

B.10. Skyldur stofunnar

Hver stofa sem notar Corenta viðurkennir að hún sé ábyrgðaraðili samkvæmt KVKK gr. 3/ı og að eftirfarandi skyldur hvíli eingöngu á henni:

• Gerð/framsetning fræðslutexta samkvæmt KVKK fyrir eigin skjólstæðinga og notendur (tilbúni, sameiginlegi fræðsluskjárinn og valfrjálsu samþykkisskjáirnir í farsímaappi Corenta eru boðnir fram sem tæknilegt verkfæri í þessu skyni, en það er á ábyrgð stofunnar að tryggja að efnið hæfi eigin starfsemi hennar; stofan getur ef þörf krefur haldið eigið viðbótarfræðsluferli samkvæmt B.1),
• Ákvörðun lagagrundvallar fyrir vinnslu heilsufarsupplýsinga (valfrjálst afdráttarlaust samþykki samkvæmt gr. 6/3-a eða gr. 6/3-e); ef afdráttarlaust samþykki þarf, að þess sé aflað með réttum hætti og það ekki gert að skilyrði fyrir þjónustu,
• Að upplýsa skjólstæðinga um eigin auðkennisupplýsingar (heiti, heimilisfang, samskiptaupplýsingar vegna beiðna samkvæmt KVKK) (sameiginlegi textinn í appinu inniheldur þessar upplýsingar nú ekki sjálfkrafa),
• Fyrir ábyrgðaraðila sem hafa vinnslu heilsufarsupplýsinga að meginstarfsemi eru undanþágumörk VERBIS 10 starfsmenn á ári og efnahagsreikningur upp á 10 milljónir TL (Kurul 2025/1572); mat á eigin skyldu til skráningar í VERBIS,
• Svör við beiðnum hinna skráðu innan þeirra fresta sem kveðið er á um í KVKK gr. 13,
• Að tryggja gagnaöryggi að því er varðar eigið starfsfólk og eigin undirverktaka,
• Að fylgja þeim skyldum sem kveðið er á um í vinnslusamningnum/þjónustuskilmálunum milli stofunnar og Corenta.

Teta Studio ber ekki ábyrgð sem leiðir af því að stofan rækir ekki framangreindar skyldur.

C-HLUTI – FRÆÐSLA UM CORENTA-AÐGANGA OG VERKVANGINN (Teta Studio er ábyrgðaraðili)

Þessi hluti lýsir þeirri vinnslu sem Teta Studio annast í eigin nafni og í eigin tilgangi. Í þessari starfsemi er Teta Studio ábyrgðaraðili samkvæmt KVKK gr. 3/1-ı. Þessi texti er birtur þegar aðgangur eiganda/starfsmanns stofu er stofnaður og þegar skjólstæðingur notar Uppgötva/umsagnareiginleikann í fyrsta sinn. Eftirfarandi eiginleikar milli stúdíóa (deild, boð, Stofnstúdíó, Corenta Lab, Uppgötva v2) eru í þessum hluta vegna þess að þeir leiða saman fleiri en eina stofu og tilgangur þeirra er ákveðinn af Teta Studio. Upplýsingar sem unnar eru í nafni stúdíós eru ekki persónuupplýsingar þegar fyrirtækið er lögaðili; þeim er lýst hér vegna stúdíóa sem rekin eru sem einstaklingsrekstur og eins manns stúdíóa, þar sem tengja má þær einstaklingi.

C.1. Ábyrgðaraðili

Mertcan Demir – einstaklingur í atvinnurekstri undir rekstrarheitinu „Teta Studio“ (auðkennis- og samskiptaupplýsingar: A.1). Beiðnir: hello@corenta.app.

C.2. Vinnsla, tilgangur og lagagrundvöllur

Uppgötva og boð um umsögn: Boð um umsögn er sent, hafi stofan virkjað Uppgötva-eiginleikann, á grundvelli upplýsinga um lokinn tíma. Með vinnslusamningnum gefur stofan fyrirmæli um að þessum upplýsingum sé aðeins miðlað til Teta Studio í því skyni að senda boðið og birta staðfesta umsögn; hjá stofu þar sem Uppgötva er óvirkt er ekkert boð sent. Birt umsögn getur sýnt opinberlega að þú hafir fengið þjónustu hjá heilsu-/æfingafyrirtæki; hafðu það í huga áður en þú birtir.

Mæling undir gerviauðkenni: Mælingin fer fram með gerviauðkenni stofunnar; þetta auðkenni er dulnefni og í eins manns rekstri má tengja það einstaklingi. Hún tekur hvorki til IP-tölu, heilsufarsupplýsinga né rakningar á uppruna/auglýsingum. Eiginleikinn er óvirkur sem stendur; áður en hann verður virkjaður verður þessi texti uppfærður.

Sýnileiki í samfélags- og vaxtareiginleikum: Þær upplýsingar sem sýndar eru öðrum notendum í deildinni, á lista yfir Stofnstúdíó, í Corenta Lab og í Uppgötva eru eingöngu þær sem fram koma í töflunni hér að ofan. Í þessum eiginleikum eru engar heilsufarsupplýsingar skjólstæðinga unnar (nánar: B.3-A). Í boði til stúdíóa, Stofnstúdíói og Lab eru hvorki veitt peningaverðlaun né verðafsláttur; verðlaunin eru réttindi innan appsins, svo sem 7 daga Boost, prufutímabil og inneign.

C.3. Viðtakendur og miðlun til útlanda

Supabase (hýsing; Þýskaland/Frankfurt), Vercel (vefstjórnborð), Google (tölvupóstur með Google Workspace, Firebase Cloud Messaging, Google Play) og Apple (APNs, App Store). Miðlun til þessara veitenda telst miðlun til útlanda; grundvelli hennar og núverandi stöðu er lýst í málsgreininni „Miðlun til útlanda“ í B.5 (fyrir þessi flæði þar sem Corenta er ábyrgðaraðili verður notaður staðlaður samningur samkvæmt einingu 2 – frá ábyrgðaraðila til vinnsluaðila; á dagsetningu þessa texta hefur hann enn ekki verið undirritaður).

C.4. Rafræn viðskiptaskilaboð

Teta Studio sendir aðeins kynningar- og herferðapóst ef þú hefur veitt sérstakt samþykki með reit sem ekki er fyrirfram hakað við. Teta Studio sendir ekki kynningarpóst án skráningar í İleti Yönetim Sistemi (İYS); eftir skráningu eru samþykkin færð inn í İYS innan 3 virkra daga. Í hverjum kynningarskilaboðum koma fram auðkenni sendanda, samskiptaupplýsingar og gjaldfrjáls afskráningartengill. Póstur um prufutímabil, boð í teymi og þjónustuver telst þjónustuskilaboð; hann inniheldur ekkert kynningarefni.

C.5. Varðveisla, réttindi og beiðnir

Varðveislutímann er að finna í veri-saklama-imha-politikasi.md. Af þeim skrám sem bættust við 18. október 2026 eru tætigildi endurtekins prufutímabils og skrár um deild, boð, Stofnstúdíó og Lab varðveittar þar til viðkomandi aðgangi stúdíós er eytt varanlega; skrár um tæki eru varðveittar þar til notandaaðgangi er eytt varanlega. Ekki hefur enn verið ákveðinn sérstakur hámarkstími fyrir þessar skrár og verður honum bætt við varðveislustefnuna. Þú getur nýtt réttindi þín samkvæmt KVKK gr. 11 (A.8) með því að snúa þér til hello@corenta.app; beiðnum er svarað án endurgjalds innan 30 daga í síðasta lagi.

SAMEIGINLEG ÁKVÆÐI (gilda um báða hluta)

G.1. Sjálfvirk ákvarðanataka og gerð persónusniðs

Corenta gerir ekki persónusnið í auglýsinga- eða markaðsskyni. Frá og með 18. október 2026 keyra eftirfarandi reglur þó sjálfkrafa og geta leitt til takmarkaðrar neikvæðrar niðurstöðu fyrir viðkomandi einstakling eða stúdíó:

Merking endurtekins prufutímabils er ekki sjálfvirk ákvörðun: samsvörun hindrar ekki prufutímabilið heldur fer aðeins til yfirferðar stjórnanda verkvangsins. Samkvæmt KVKK gr. 11/1-g helst réttur þinn til að andmæla niðurstöðu sem er þér í óhag og verður til við að upplýsingar eru greindar eingöngu með sjálfvirkum kerfum.

G.2. Uppfærsla fræðslutextans

Þessi fræðslutexti getur verið uppfærður vegna lagabreytinga, ákvarðana Persónuverndarráðsins, þróunar á virkni verkvangsins eða breytinga á undirvinnsluaðilum/þjónustuveitendum. Gildandi útgáfa verður ávallt aðgengileg á corenta.app/legal/kvkk-aydinlatma-metni og á skjalaskjá appsins. Í tengslum við SaaS-vöruna (B-hluta) er notandinn, eftir breytingu á útgáfu fræðslutextans, beðinn um það við næstu innskráningu að staðfesta að hann hafi lesið nýja textann; það er ekki samþykki heldur sönnun þess að fræðsla hafi verið veitt (sjá B.2).

G.3. Gildandi lög og lögsaga

Þessi fræðslutexti er saminn innan ramma laga nr. 6698 um vernd persónuupplýsinga og tengdra afleiddra réttarheimilda (reglugerðar um eyðingu, tortímingu eða afmáun persónuauðkenna persónuupplýsinga; reglugerðar um skrá yfir ábyrgðaraðila; tilkynningar um málsmeðferð og meginreglur við rækslu fræðsluskyldu; tilkynningar um málsmeðferð og meginreglur við beiðnir til ábyrgðaraðila). Um túlkun og beitingu þessa texta gilda lög Lýðveldisins Tyrklands; í ágreiningsmálum eru Persónuverndarráðið og lögbærir tyrkneskir dómstólar/fullnustustofnanir bær.

G.4. Samskipti

Vegna hvers kyns spurninga, óska og beiðna um vinnslu persónuupplýsinga:

• Netfang: hello@corenta.app
• Þjónustuver: support@corenta.app
• Þjónustusvæði: Corenta er í boði um allan heim í gegnum App Store og Google Play í þeim löndum þar sem þessar verslanir starfa. Þessi texti er fræðsla samkvæmt lögum nr. 6698; um einstaklinga í ESB/EES gildir auk þess GDPR-yfirlýsingin og ófrávíkjanleg persónuverndarákvæði í landinu þar sem þú ert haldast óbreytt.
• Vefsvæði fyrirtækisins: corenta.app

Gildistaka / síðast uppfært: 19. október 2026 Útgáfa: 2.3 · 19. október 2026. Breytingaskráin er í upphafi skjalsins.