CORENTA — INFORMATIVA AI SENSI DELLA KVKK (TÜRKİYE KİŞİSEL VERİLERİN KORUNMASI KANUNU)

Questa traduzione ha solo valore informativo; il testo giuridicamente vincolante è quello in turco.

Informativa in tre parti, in base al ruolo di titolare / responsabile del trattamento

Versione: 2.3 · In vigore dal / ultimo aggiornamento: 19 ottobre 2026 Titolare del trattamento / editore (Parti A e C): Mertcan Demir — ditta individuale con il nome commerciale "Teta Studio"

Registro delle modifiche

• 2.3 — 19 ottobre 2026: Inserito l'ambito globale: l'espressione "solo Turchia" del G.4 è stata sostituita dall'offerta in più paesi tramite gli store e dal rinvio alla Dichiarazione GDPR per l'UE/SEE. Attività di trattamento e basi giuridiche invariate.
• 2.2 — 19 ottobre 2026: Versione di pubblicazione; in vigore dal 19 ottobre 2026. Dalla tabella dell'identità del A.1 sono stati tolti i dati MERSİS e KEP, rimasti vuoti. Il periodo di conservazione dei messaggi di gruppo del B.8/a è stato collegato alla Politica di conservazione e cancellazione dei dati.
• 2.1 — 18 ottobre 2026: Inserite le funzioni aggiunte il 18 ottobre 2026: gruppi della clinica, sfide interne allo studio, badge dei clienti e tessera fedeltà, missioni settimanali e pagella del mese (Parte B); lega degli studi e sfide cittadine, scheda profilo portatile del professionista, codice di invito tra studi, programma Studio Fondatore, Corenta Lab, Scopri v2 (video breve, lezione di prova, posizione sponsorizzata), segnalazione di prova ripetuta, collegamento dei dispositivi e "Le mie sessioni", rimborso parziale dello store e richiesta di informazioni sull'uso da parte di Apple (Parte C). Il trattamento dei dati sanitari in gruppi, lega, sfide e scheda profilo è descritto in una sezione dedicata (B.3-A). Il G.1 è stato corretto: sono state descritte espressamente le tre regole che producono un risultato automatico con effetti sulla persona (controllo degli abusi degli inviti, occultamento di un messaggio di gruppo dopo tre segnalazioni, esclusione dalla lega). I permessi mobile sono stati corretti in base al codice (non viene chiesto il permesso della fotocamera). Le funzioni disattivate (verifica delle condivisioni, segnale di domanda, garanzia Boost, verifica del dispositivo, Turnstile, Sentry) non sono descritte in questo testo; prima della loro attivazione serve un aggiornamento specifico del testo.
• 2.0 — 11 ottobre 2026: In base alla verifica di conformità dell'11 ottobre 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): le sezioni sui trasferimenti all'estero sono state riscritte secondo l'art. 9 della Legge n. 6698 nella versione successiva al 2024 (anche Supabase/Francoforte è un trasferimento all'estero; i contratti standard non sono ancora stati firmati); informativa e consenso esplicito sono stati separati (l'informativa non è un "consenso", ma la presa visione "Ho letto e compreso"; è stata tolta la casella di consenso obbligatoria del modulo di accesso anticipato); il consenso per i dati sanitari è stato descritto come facoltativo; è stata aggiunta la nuova Parte C — Informativa sull'account e sulla piattaforma Corenta per le attività di cui Teta Studio è titolare; l'identità è stata corretta in ditta individuale; la valutazione VERBİS è stata riscritta secondo le decisioni 2025 del Kurul; la notifica delle violazioni alla clinica è stata corretta in al massimo 24 ore; l'espressione di conservazione "anonima" è stata corretta in conservazione limitata senza collegamento alla persona; la cancellazione degli allegati e il link di esportazione sono stati collegati alla stessa formulazione verificata nel codice; sono stati corretti riferimenti normativi errati.
• 1.6 — 10 ottobre 2026: Expo (Expo Push Notification Service) è stata tolta dalle registrazioni di sub-responsabili/responsabili; le notifiche push sono recapitate solo tramite Apple (APNs) e Google (FCM); Expo/EAS è solo uno strumento di compilazione dell'app e non tratta dati degli utenti finali.
• 1.5 — 10 ottobre 2026: È stata tolta la frase sulla scelta di Google Analytics; è stato chiarito che non si usano strumenti di analisi di terze parti e chi sono i responsabili delle notifiche push.
• 1.4 — 4 ottobre 2026: Il testo in vigore è stato fissato come versione approvata. In questa versione sono stati trattati solo: denominazione di Teta Studio; mercato (Turchia); eliminazione dell'account (l'accesso termina subito, i dati personali vengono cancellati/anonimizzati, le registrazioni di pagamento soggette a conservazione per legge sono conservate senza identificativi); cancellazione dei campi sanitari del cliente dopo 30 giorni; termine di 7 giorni per le ricevute orfane; riservatezza dei contatti del cliente nella modalità di assistenza; misurazione lato server senza identificativi; email di servizio e Google Workspace; responsabili delle notifiche push; indirizzo dell'assistenza (support@corenta.app); permesso di scrittura nei campi sanitari.
• 1.3 — 4 agosto 2026: le sezioni B.6 e B.8/a sono state allineate alla politica di conservazione ed eliminazione.

0. Su questo testo — ambito e guida alla lettura

La presente Informativa ai sensi della Legge sulla protezione dei dati personali ("Informativa") è stata redatta, ai sensi dell'art. 10 della Legge n. 6698 sulla protezione dei dati personali ("KVKK" o "Legge") e del Comunicato sulle procedure e i principi per l'adempimento dell'obbligo di informativa, per informare gli interessati sul trattamento dei dati personali nel contesto del prodotto software (SaaS) denominato Corenta ("Corenta", "Prodotto" o "Piattaforma"), sviluppato e gestito da Mertcan Demir ("Teta Studio", "noi"), che opera come ditta individuale con il nome commerciale "Teta Studio", e del sito corenta.app, in cui il prodotto viene presentato.

Corenta è una piattaforma software (Software-as-a-Service) multi-tenant e pensata prima di tutto per il mobile, rivolta ad attività boutique di salute e benessere come centri di pilates clinico, fisioterapia, reformer, benessere/massaggi e yoga; offre gestione degli appuntamenti, monitoraggio di pacchetti/lezioni, anamnesi e note di lezione dei clienti, compensi e monitoraggio delle operazioni finanziarie.

0.1 Definizioni

0.2 Due contesti distinti — perché è importante

Nell'ecosistema di Corenta i dati personali sono trattati in tre contesti diversi e in due ruoli diversi: Parte A (sito di presentazione; Teta Studio è titolare del trattamento), Parte B (registrazioni della clinica; Teta Studio è responsabile del trattamento) e Parte C (account Corenta, abbonamento, email di servizio, Scopri/recensioni, funzioni di crescita tra studi — lega, invito, Studio Fondatore, Corenta Lab, scheda profilo portatile —, sicurezza dell'account e del dispositivo e misurazione del prodotto; Teta Studio è titolare del trattamento). Comprendere bene questa distinzione è essenziale per interpretare correttamente l'Informativa, e i due contesti non vanno assolutamente confusi:

I dati sanitari di un cliente di una clinica generati nell'app Corenta e i dati di un titolare d'attività che compila il modulo di accesso anticipato sul sito corenta.app sono soggetti a regimi giuridici completamente diversi. Le parti seguenti sono strutturate in base a questa distinzione.

PARTE A — SITO AZIENDALE E MODULO DI ACCESSO ANTICIPATO (corenta.app)

Questa parte vale per le persone fisiche che visitano il sito corenta.app, interagiscono con esso e/o compilano il modulo di candidatura per l'accesso anticipato. In questo contesto Teta Studio agisce come Titolare del trattamento ai sensi dell'art. 3/ı KVKK e stabilisce essa stessa le finalità e i mezzi del trattamento dei dati personali.

A.1. Identità del titolare del trattamento

A.2. Categorie di dati personali trattati

Durante la visita al sito corenta.app, la compilazione del modulo di accesso anticipato, l'invio del modulo di contatto o la richiesta di una demo/di un incontro commerciale possono essere trattate le seguenti categorie di dati personali:

(*) Precisazione sulla nota sui cookie: alla data di pubblicazione di questo testo, il sito corenta.app non ha un banner/interfaccia attiva di gestione dei cookie né un'infrastruttura di cookie di terze parti; l'indirizzo IP e le informazioni su dispositivo/browser indicati nella riga sopra sono trattati in modo limitato, solo nell'ambito dei log di base del server e della sicurezza dei moduli, senza usare una tecnologia di cookie attiva. Sebbene nell'infrastruttura del sistema sia definita tecnicamente una categoria di consenso per i cookie (cookies), questa categoria al momento non è usata di fatto. Se si passerà all'uso dei cookie, la presente Informativa e un'apposita Cookie Policy saranno aggiornate e saranno attivati i necessari meccanismi di consenso. In questo contesto non sono trattate categorie particolari di dati personali.

Questi dati sono ottenuti solo quando l'interessato compila il modulo o si mette in contatto di propria volontà, oppure automaticamente (come l'IP) per il funzionamento tecnico del sito.

A.3. Finalità e basi giuridiche del trattamento dei dati personali

La tabella seguente indica per ogni finalità del trattamento su quale base giuridica dell'art. 5/2 KVKK si fonda:

Importante: le comunicazioni di marketing del punto 7 si basano solo sul consenso separato ed esplicito che l'interessato dà per questa finalità; questo consenso non è una condizione obbligatoria della candidatura di accesso anticipato e può essere revocato in qualsiasi momento (vedi A.8).

A.4. Modalità di raccolta dei dati personali

I dati personali sono raccolti in formato elettronico tramite la compilazione dei moduli di accesso anticipato/contatto sul sito corenta.app, il contatto diretto via email, gli incontri di demo/commerciali e automaticamente dall'infrastruttura tecnica del sito (indirizzo IP ecc.).

A.5. Trasferimento dei dati personali

I tuoi dati personali possono essere condivisi in modo limitato, alle condizioni previste dagli artt. 8 e 9 KVKK, con i fornitori che erogano servizi tecnici come hosting, raccolta dei moduli, invio di email, analisi, sicurezza e simili, ai fini dell'erogazione di tali servizi. Questa condivisione avviene solo nella misura necessaria all'erogazione del servizio e nei limiti di tale finalità.

In questo contesto, i fornitori di infrastruttura tecnica noti/in uso sono:

Nota — infrastruttura in cui sono conservati i dati dei moduli: alla data di redazione di questo testo non è stato confermato tecnicamente se i dati dei moduli di accesso anticipato/contatto restino in definitiva solo nell'infrastruttura dei moduli di Framer o se vengano trasferiti anche al database di Corenta basato su Supabase (vedi Parte B, B.5 — Supabase, Francoforte/Germania). Man mano che questo aspetto sarà confermato, la tabella sarà aggiornata, aggiungendo se necessario una riga per Supabase; in ogni caso i dati dei moduli sono trattati solo per le finalità descritte in questa Parte A e in conformità alla KVKK.

Al di fuori di queste condivisioni, i tuoi dati personali non vengono venduti, noleggiati né ceduti a terzi per finalità di marketing. Fanno eccezione i casi di obbligo di legge (provvedimento giudiziario, richiesta di un'autorità pubblica competente ecc.).

Trasferimento all'estero: Framer e Google Workspace trattano dati fuori dalla Turchia; si tratta di un trasferimento all'estero ai sensi della Legge n. 6698. Poiché questi trasferimenti sono regolari e continuativi, non si basano sul consenso esplicito; si baseranno su una delle condizioni di trattamento dell'art. 5 KVKK e, ai sensi dell'art. 9/4-c, sui contratti standard pubblicati dal Kişisel Verileri Koruma Kurulu (Kurul). Alla data di questo testo i contratti standard non sono ancora stati firmati con i fornitori né notificati al Kurul. Ogni contratto sarà notificato al Kurul entro 5 giorni lavorativi dalla firma e questa sezione sarà aggiornata con l'elenco dei fornitori e delle date. Non esiste una decisione di adeguatezza del Kurul relativa a questi paesi (ultima verifica: 11 ottobre 2026).

A.6. Periodo di conservazione

I tuoi dati personali sono conservati per il tempo richiesto dalla finalità del trattamento e, in ogni caso, fatti salvi i termini di prescrizione previsti dalla normativa applicabile:

• Candidature di accesso anticipato: al massimo 2 anni dalla valutazione della candidatura e dalla conclusione del contatto; se in questo periodo il contatto non avviene o la procedura si conclude, i dati vengono cancellati/resi anonimi prima. Nota di trasparenza: alla data di redazione del presente Testo nel sistema non esiste un meccanismo automatico di controllo/cancellazione corrispondente a questo periodo massimo; il periodo è un limite giuridico massimo e la cancellazione/anonimizzazione avviene per ora manualmente/su richiesta.
• Registrazioni dei contatti: fino al venir meno della finalità del contatto.
• Dati analitici/log tecnici: per il periodo di conservazione predefinito/consentito dallo strumento/infrastruttura utilizzati.
• Registrazioni relative a controversie e obblighi di legge: per il periodo minimo previsto dalla normativa applicabile.

Alla scadenza del periodo di conservazione i dati personali vengono cancellati, distrutti o resi anonimi ai sensi dell'art. 7 KVKK e del Regolamento sulla cancellazione, distruzione o anonimizzazione dei dati personali. Per la tabella dettagliata dei periodi e i metodi di eliminazione vedi veri-saklama-imha-politikasi.md (Sezione 4, n. 9).

A.7. Informativa e consenso alle comunicazioni commerciali nel modulo di accesso anticipato

Il trattamento della tua candidatura non si basa sul consenso, ma sulle basi giuridiche del A.3. Per questo nel modulo non c'è una casella di consenso per l'informativa; informativa e consenso restano separati.

Informativa (senza casella di consenso): subito sopra il pulsante Invia compaiono il testo seguente e un link alla presente Informativa:

"I tuoi dati sono trattati per valutare la candidatura e contattarti (art. 5/2-c, f KVKK). Dettagli: Informativa."

Consenso facoltativo alle comunicazioni commerciali (casella separata, NON SELEZIONATA per impostazione predefinita):

"Acconsento a ricevere da Teta Studio novità e campagne di Corenta via email."

Non dare il consenso alle comunicazioni commerciali non incide sulla valutazione della candidatura. Teta Studio non invia email promozionali senza essere registrata nell'İYS (İleti Yönetim Sistemi); dopo la registrazione i consensi sono caricati nell'İYS entro 3 giorni lavorativi. Il consenso può essere revocato con il link di disiscrizione presente in ogni messaggio.

A.8. Diritti dell'interessato (art. 11 KVKK) e modalità di richiesta

Ai sensi dell'art. 11 KVKK, ogni interessato i cui dati personali sono trattati ha, rivolgendosi al Titolare del trattamento, i seguenti diritti:

a) sapere se i propri dati personali sono trattati, b) chiedere informazioni in merito, se i propri dati personali sono stati trattati, c) conoscere la finalità del trattamento dei dati personali e se essi sono usati in modo conforme a tale finalità, ç) conoscere i terzi, in Turchia o all'estero, a cui i dati personali sono stati trasferiti, d) chiedere la rettifica dei dati personali se sono stati trattati in modo incompleto o inesatto, e) chiedere la cancellazione o la distruzione dei dati personali alle condizioni previste dall'art. 7 KVKK, f) chiedere che le operazioni svolte ai sensi dei punti (d) ed (e) siano comunicate ai terzi a cui i dati personali sono stati trasferiti, g) opporsi a un risultato a sé sfavorevole derivante dall'analisi dei dati trattati esclusivamente con sistemi automatizzati, ğ) chiedere il risarcimento del danno subito a causa di un trattamento illecito dei dati personali.

Inoltre, per i trattamenti basati sul consenso (comunicazioni elettroniche commerciali), il consenso dato può essere revocato in qualsiasi momento e senza dover fornire motivazioni, indipendentemente dai diritti generali dell'art. 11 KVKK. La revoca non incide sulla liceità del trattamento effettuato prima della revoca.

Modalità di richiesta: per esercitare i diritti sopra indicati puoi inviare le tue richieste per iscritto a hello@corenta.app, con le informazioni necessarie a identificarti, nella forma prevista dall'art. 13 KVKK e dal Comunicato sulle procedure e i principi delle richieste al titolare del trattamento. Le richieste sono definite, a seconda della loro natura, entro 30 (trenta) giorni gratuitamente, con modalità che non comportano costi aggiuntivi; se l'operazione comporta un costo aggiuntivo, può essere richiesto il corrispettivo previsto dalla tariffa stabilita dal Kişisel Verileri Koruma Kurulu.

PARTE B — USO DEL PRODOTTO SaaS CORENTA DA PARTE DELLE CLINICHE

Questa parte vale per il personale della clinica (responsabile, professionista/istruttore, reception ecc.) che usa Corenta tramite un centro di pilates clinico, fisioterapia, reformer, benessere/massaggi o yoga ("Clinica") e per i clienti/pazienti di tali cliniche.

B.1. Fondamento giuridico della distinzione dei ruoli — leggere con attenzione

La Clinica che acquista Corenta e la mette in uso è "Titolare del trattamento", ai sensi dell'art. 3/ı KVKK, per i dati personali dei propri clienti/pazienti e del proprio personale. L'obbligo di informativa KVKK verso clienti/pazienti e personale e, se necessario, la raccolta dei consensi espliciti (in particolare il consenso al trattamento dei dati sanitari, che rientrano nelle categorie particolari) sono in via primaria e definitiva responsabilità della Clinica.

Teta Studio (Corenta) è solo Responsabile del trattamento ai sensi dell'art. 3/ğ KVKK. Teta Studio tratta questi dati secondo le istruzioni e per conto della Clinica, limitandosi a fornire l'infrastruttura tecnica della Piattaforma; non stabilisce una propria finalità di trattamento indipendente e non tratta questi dati per finalità commerciali proprie (pubblicità, vendita a terzi ecc.) al di fuori delle istruzioni della Clinica. I trattamenti che Teta Studio svolge per finalità proprie (account utente della clinica, abbonamento, email di servizio, invito a recensire e recensioni in Scopri, sicurezza e misurazione pseudonimizzata del prodotto) non sono oggetto di questa Parte B, ma della Parte C; in queste attività Teta Studio è titolare del trattamento.

Il prodotto Corenta offre strumenti che agevolano tecnicamente l'adempimento di questi obblighi da parte della Clinica (schermata di consenso nell'app mobile, registrazioni dei consensi con versione, meccanismo di revoca ecc. — vedi B.2). L'esistenza di questi strumenti non significa che la Clinica abbia trasferito a Teta Studio gli obblighi giuridici derivanti dal suo ruolo di Titolare del trattamento, né che Teta Studio li abbia assunti.

Il rapporto di trattamento per conto tra la Clinica e Teta Studio è disciplinato da un separato Accordo sul trattamento dei dati (Data Processing Agreement/DPA); tale accordo specifica le categorie di dati trattati, le finalità del trattamento, le misure di sicurezza, il ricorso a sub-responsabili e gli obblighi delle parti ai sensi dell'art. 12 KVKK.

La presente Parte B non sostituisce né rimpiazza l'informativa che la Clinica deve fornire ai propri clienti/al proprio personale. Lo scopo di questa parte è spiegare in modo trasparente quali dati Teta Studio tratta sulla Piattaforma in qualità di Responsabile del trattamento e per quali finalità, offrendo alla Clinica un quadro di riferimento per redigere la propria informativa. Se la Clinica non ritiene sufficienti la schermata di informativa comune/centralizzata e le schermate di consenso facoltativo che Corenta offre nell'app mobile (vedi B.2), può svolgere con mezzi propri un ulteriore/separato processo di informativa verso i propri Clienti e il proprio personale (testo scritto, email, informazione di persona ecc.); ciò rientra nella responsabilità giuridica della Clinica stessa.

B.2. Meccanismo di informativa e consenso nella Piattaforma (a fini informativi)

Nell'app mobile di Corenta, nella fase di primo utilizzo (onboarding), è presente una schermata (kvkk.tsx) predisposta da Teta Studio e presentata in modo comune ai clienti/utenti di tutte le cliniche. In linea con la Decisione di principio n. 2026/347 del Kurul, informativa e consenso sono mostrati in passaggi separati:

Le registrazioni sono conservate con versione nella tabella consent_logs. Nota tecnica: oggi la visualizzazione dell'informativa è registrata in questa tabella con il tipo kvkk; questa registrazione non è un consenso, ma l'attestazione che l'informativa è stata mostrata e letta. L'unica autorizzazione alle notifiche del sistema operativo serve a recapitare sia le notifiche di servizio sia quelle promozionali; le notifiche promozionali vanno inviate solo se è stata data l'autorizzazione 2b.

Questa schermata e questi testi non sono distinti per Clinica, ma sono offerti come versione comune a tutta la Piattaforma; oggi i dati identificativi della clinica (denominazione, indirizzo, recapito per le richieste) non vengono aggiunti automaticamente al testo. Quando cambia la versione dell'informativa, al successivo accesso all'utente viene chiesto di indicare di aver letto il nuovo testo (anche questo non è un consenso). Il consenso ai dati sanitari e l'autorizzazione alle notifiche promozionali possono essere revocati in qualsiasi momento (tracciati con il campo revoked_at); la revoca del consenso ai dati sanitari non incide sugli appuntamenti né sull'uso dell'account.

Se la Clinica, in quanto professionista sanitario soggetto a obbligo di segreto (per esempio un fisioterapista), tratta dati sanitari a fini di cura sulla base dell'art. 6/3-e KVKK, può bastare la sola informativa, senza schermata di consenso esplicito; le altre attività (per esempio studi di pilates/benessere) possono trattare dati sanitari solo sulla base del consenso esplicito facoltativo ai sensi dell'art. 6/3-a. Quale base giuridica adottare e l'adeguatezza del contenuto dell'informativa alla propria attività sono responsabilità della Clinica.

B.3. Categorie di dati trattate da Teta Studio in qualità di Responsabile del trattamento

Per il funzionamento tecnico della Piattaforma, le seguenti categorie di dati sono trattate secondo le istruzioni della Clinica:

Autorizzazione a scrivere nei campi sanitari (dal 4 ottobre 2026): solo il cliente stesso e il professionista assegnato possono scrivere nei campi sanitari del cliente (gruppo sanguigno, allergie, patologie croniche, farmaci); il titolare/responsabile dell'attività non può scrivere in questi campi (può modificare il contatto di emergenza e i campi identificativi).

Misurazione del prodotto pseudonimizzata: in questa attività Teta Studio è titolare del trattamento, e i dettagli sono nella Parte C. La misurazione avviene con un identificativo pseudonimo della clinica; questo identificativo è uno pseudonimo (non è anonimo). La funzione è al momento disattivata.

File delle ricevute (dal 4 ottobre 2026): i file di ricevute non collegati a un pagamento (orfani) vengono eliminati automaticamente dopo 7 giorni; una ricevuta collegata a un pagamento non può essere eliminata da nessun ruolo.

Trasparenza sui permessi su mobile (dal 18 ottobre 2026): a livello di sistema operativo, l'app mobile di Corenta chiede solo il permesso per le notifiche (richiesto nel contesto) e, su iOS, l'accesso alla libreria foto (nel momento in cui si sceglie la foto profilo, un allegato all'anamnesi, una ricevuta di pagamento, un'immagine per un annuncio o un video dello studio); se il blocco dell'app è attivo, la verifica con Face ID/impronta digitale avviene all'interno del dispositivo e nessun dato biometrico viene trasmesso a Corenta. Su Android, i permessi per fotocamera e microfono sono stati rimossi di proposito dal manifest dell'app. L'app non chiede permessi per fotocamera, microfono, posizione, rubrica (contacts) o calendario, né l'accesso a HealthKit/sensori sanitari. La mappa di Scopri non usa la posizione del dispositivo; cerca solo per provincia/comune o per l'area della mappa scelta dall'utente.

I dati personali di categoria particolare (dati sanitari), ai sensi dell'art. 6 KVKK, possono essere trattati solo con il consenso esplicito o nei casi eccezionali previsti dalla legge (tutela della salute pubblica, medicina preventiva, diagnosi/cura medica, pianificazione e finanziamento dei servizi sanitari, quando svolti da persone soggette a obbligo di segreto). Nell'ecosistema Corenta questi dati vengono inseriti dai professionisti sanitari/del benessere autorizzati della Clinica in base alla base giuridica scelta dalla Clinica (consenso esplicito facoltativo dell'art. 6/3-a o art. 6/3-e); Teta Studio si limita a ospitare/trattare questi dati secondo le istruzioni della Clinica e li protegge con misure di sicurezza rafforzate (v. B.6).

Periodo di conservazione e modalità di eliminazione — rinvio: il periodo di conservazione di ciascuna delle categorie sopra indicate e il metodo applicato dopo una richiesta di eliminazione dell'account (cancellazione definitiva o anonimizzazione) sono riassunti in B.8/a e spiegati, con tabella dettagliata e motivazione, in veri-saklama-imha-politikasi.md (Sezioni 4-6). In particolare per le righe Dati sanitari, Dati transazionali/finanziari e Registrazioni di informativa e autorizzazioni: nella fase di cancellazione definitiva dell'account queste registrazioni non sono sottoposte a DELETE; il collegamento con la persona viene interrotto e alcuni campi di testo libero vengono svuotati. Poiché il testo libero delle note di seduta non viene modificato, queste registrazioni non sono considerate anonime in ogni caso; sono conservate con accesso limitato (v. B.8/a).

B.3-A. Funzioni di community e crescita — rapporto con i dati sanitari (dal 18 ottobre 2026)

I dati sanitari sono dati personali di categoria particolare ai sensi dell'art. 6 KVKK. Le funzioni che seguono non sono state progettate per trattare dati sanitari; per ciascuna è descritto a parte come vengono gestiti i dati sanitari:

Nelle cliniche che erogano servizi sanitari, come la fisioterapia, il fatto che un cliente abbia partecipato a una lezione o a un gruppo può indicare che quella persona riceve un servizio sanitario. Per questo la decisione se usare o meno queste funzioni e su come spiegarle ai clienti spetta alla Clinica in quanto titolare del trattamento. I gruppi della clinica (group_chats) e le sfide (leagues) sono moduli separati e sono progettati per poter essere disattivati per singola clinica.

B.4. Finalità del trattamento e basi giuridiche

Le basi giuridiche della tabella seguente possono avere due significati diversi a seconda della natura del dato: (i) la base giuridica su cui si fonda la Clinica (in quanto titolare del trattamento) nei confronti del proprio cliente/personale, oppure (ii) la base giuridica applicabile alle attività autonome di Teta Studio stessa (sicurezza della piattaforma, fatturazione, obblighi di legge ecc.). Considerato che Teta Studio non stabilisce da sé una "finalità di trattamento" autonoma (v. B.1), la riga relativa ai dati di categoria particolare, in particolare, va letta come riflesso della base giuridica della Clinica:

B.5. Trasferimento dei dati personali (in Turchia e all'estero)

Per il funzionamento della Piattaforma, i dati personali sono condivisi con i sub-responsabili (sub-processor) indicati di seguito, in modo limitato e nella misura tecnicamente necessaria:

Altre note sull'infrastruttura:

• Infrastruttura email: le email di servizio (periodo di prova, invito al team, risposte dell'assistenza) vengono inviate via SMTP tramite Google Workspace (Google); le email di autenticazione (verifica dell'email, reimpostazione della password) sono attivate da Supabase Auth. Le email promozionali vengono inviate solo con un'autorizzazione separata e la registrazione all'İYS (v. Parte C). Le notifiche push sono recapitate tramite Apple (APNs) e Google (FCM).
• Strumento di analisi: non viene usato alcuno strumento di analisi di terze parti (per esempio Google Analytics). La misurazione dell'uso del prodotto nell'app al momento non è attiva; se venisse attivata, i dati sarebbero scritti in una tabella proprietaria nel database di Corenta (Supabase, Francoforte/Germania), non conterrebbero dati sanitari né testo libero, e questa Informativa verrebbe aggiornata prima dell'attivazione.
• Monitoraggio degli errori: non viene usato alcuno strumento di monitoraggio degli errori di terze parti; gli errori lato client vengono registrati nel database di Corenta stessa (Supabase).
• Recapito dei messaggi in tempo reale e video (dal 18 ottobre 2026): i messaggi individuali e di gruppo sono recapitati solo agli utenti autorizzati tramite il servizio di trasmissione in tempo reale di Supabase (Realtime); i video degli studi sono conservati nell'archiviazione file di Supabase. Tutto questo rientra nella riga di Supabase (n. 1); non è stato aggiunto alcun nuovo sub-responsabile.
• Pagamento con carta di credito via web: al momento non è supportato; tutti i pagamenti degli abbonamenti avvengono esclusivamente tramite il meccanismo di acquisto in-app (IAP) di Apple/Google.

Trasferimento all'estero: i tuoi dati sono trattati tramite fornitori di servizi situati fuori dalla Turchia: Supabase (database, autenticazione e archiviazione file; dati ospitati a Francoforte, Germania), Vercel (hosting del pannello web; infrastruttura globale), Google (email di Google Workspace e notifiche di Firebase Cloud Messaging; globale) e Apple (notifiche e store; globale). Anche l'hosting in Germania è un trasferimento all'estero ai sensi della Legge n. 6698. Poiché questi trasferimenti sono regolari e continui, non si basano sul consenso esplicito; si baseranno su una delle condizioni di trattamento degli articoli 5 e 6 KVKK e, ai sensi dell'art. 9/4-c, sui contratti tipo pubblicati dal Kişisel Verileri Koruma Kurulu. In qualità di responsabile del trattamento, Teta Studio firmerà con ciascun sub-responsabile il contratto tipo del Modulo 3 (da responsabile a responsabile) e lo notificherà al Kurul entro 5 giorni lavorativi dalla firma. Alla data di questo testo i contratti tipo non sono ancora stati firmati né notificati al Kurul; una volta completate firma e notifica, questa sezione sarà aggiornata con l'elenco dei fornitori e le date. Non esiste una decisione di adeguatezza del Kurul relativa a questi paesi (ultima verifica: 11 ottobre 2026). La Clinica indica questi trasferimenti nella propria informativa.

L'elenco dei sub-responsabili sopra riportato è tenuto anche, in forma aggiornata, come allegato al DPA tra la Clinica e Teta Studio; la Clinica viene informata delle modifiche all'elenco dei sub-responsabili secondo la procedura prevista dal DPA. I dati personali possono essere trasferiti ad autorità ed enti pubblici legalmente competenti solo nei casi previsti dalla normativa applicabile e nei limiti della richiesta; Teta Studio non vende né affitta in alcun modo a terzi per fini commerciali i dati personali che tratta.

B.6. Misure di sicurezza

In qualità di Responsabile del trattamento, Teta Studio applica le seguenti misure tecniche e organizzative per garantire la sicurezza dei dati personali che tratta:

• Isolamento tra tenant (multi-tenant isolation): tutte le tabelle di dati della Piattaforma sono separate tramite il campo tenant_id e protette da politiche complete di Sicurezza a livello di riga (Row Level Security/RLS) secondo il principio del rifiuto predefinito (default-deny); l'accesso di una Clinica ai dati di un'altra è tecnicamente bloccato.
• Limitazione dell'accesso ai dati sanitari: a livello di RLS, alle schede di anamnesi, alle note di seduta e alle misurazioni possono accedere solo il cliente stesso, il professionista assegnato e il responsabile autorizzato della clinica; le note di seduta che il professionista segna come "condivise con il team" possono essere viste anche dagli altri professionisti della clinica. L'accesso del personale è possibile solo quando il relativo modulo sanitario (anamnesi, misurazioni, nota di seduta) è attivo.
• Immutabilità (append-only): le note di seduta inviate (quando il campo submitted_at è compilato) sono protette a livello di database in modo da non poter essere modificate né eliminate; anche per le schede di anamnesi non è definito alcun permesso di eliminazione (DELETE) per nessun ruolo utente (responsabile della clinica compreso). Unica e ristretta eccezione: nel processo di cancellazione definitiva dell'account (v. B.8/a), solo il processo privilegiato in background (service-role) può, senza toccare il CONTENUTO della nota di seduta, impostare a NULL a livello di database solo le colonne di collegamento con la persona (client_id/specialist_id); ciò non viola il principio append-only — è un passaggio con un'unica finalità, che soddisfa solo l'obbligo di interrompere il collegamento con la persona (anonimizzazione) previsto dalla KVKK (dettagli: veri-saklama-imha-politikasi.md Sezione 6.2).
• Limiti della modalità supporto del super-amministratore (impersonation): la modalità di accesso del super-amministratore usata per l'assistenza tecnica è limitata nel tempo (30 minuti) e per impostazione predefinita è di sola lettura; le operazioni di scrittura e l'accesso ai dati sanitari possono essere abilitati solo con passaggi separati che richiedono un'ulteriore approvazione (flag health_data_enabled); in nessuno scenario di impersonation viene concesso il permesso di scrittura sulle tabelle dei dati sanitari — questa limitazione è applicata senza eccezioni nelle politiche del database.
• Sicurezza della trasmissione: i dati sono cifrati con TLS durante la trasmissione.
• Conservazione sul dispositivo: nell'app mobile i token di sessione sono conservati cifrati nel portachiavi sicuro del dispositivo, supportato dall'hardware (expo-secure-store basato su iOS Keychain / Android Keystore).
• Protezione delle schermate sensibili: nelle schermate dell'app che contengono dati sanitari, screenshot e registrazioni dello schermo sono bloccati (blocco di registrazione/cattura dello schermo su iOS; FLAG_SECURE su Android).
• Sicurezza degli account di amministrazione: gli account amministratore della Piattaforma (super-amministratore) richiedono l'autenticazione a due fattori (MFA, AAL2).
• Integrità dei pagamenti: per le notifiche di pagamento (webhook) degli store (Apple/Google) è applicata un'infrastruttura di verifica della firma crittografica; è ancora in corso il completamento integrale di questa configurazione in produzione per tutti i fornitori e il suo miglioramento continuo.

Nonostante le misure sopra indicate, si precisa espressamente che nessun sistema informativo può offrire una garanzia assoluta di sicurezza. Queste misure sono riesaminate e migliorate di continuo come parte degli obblighi del Responsabile del trattamento ai sensi dell'art. 12 KVKK. Quando, in qualità di responsabile del trattamento, viene a conoscenza di una violazione dei dati, Teta Studio la comunica alla Clinica senza ritardo ed entro 24 ore (Kurul 2019/10). La notifica al Kurul e agli interessati è un obbligo della Clinica in quanto titolare del trattamento. Per i dati di cui Teta Studio è titolare del trattamento (Parti A e C), la notifica al Kurul entro 72 ore è effettuata da Teta Studio.

B.7. Informazioni aggiuntive sulla modalità supporto del super-amministratore (impersonation)

Il personale di assistenza autorizzato di Teta Studio può, nell'ambito delle richieste di assistenza tecnica della Clinica, accedere temporaneamente all'account della Clinica tramite una "modalità supporto" limitata e verificabile. Questo accesso:

• È limitato a un massimo di 30 minuti e termina automaticamente alla scadenza,
• Per impostazione predefinita è di sola lettura (read-only),
• Il permesso di scrittura e l'accesso ai dati sanitari possono essere abilitati solo con passaggi distinti che richiedono un'ulteriore approvazione; l'accesso in scrittura alle tabelle dei dati sanitari non è concesso in nessun caso,
• È registrato nei log e soggetto a traccia di audit.

Contatti del cliente nella modalità supporto (dal 4 ottobre 2026): nella sessione di supporto di Corenta (super-amministratore), email e telefono del cliente non sono mostrati al personale di assistenza; il personale di assistenza vede solo un riepilogo identificativo limitato (nome, stato dell'account, attività, data di creazione).

B.8. Periodo di conservazione dei dati personali e modalità di esercizio dei diritti dell'interessato

I dati personali sono conservati per il tempo necessario alla relativa finalità e per i periodi legali di conservazione previsti dalla normativa applicabile. I diritti che seguono, ai sensi dell'art. 11 KVKK, si esercitano in primo luogo nei confronti della Clinica in quanto Titolare del trattamento. Teta Studio, in qualità di Responsabile del trattamento, garantisce l'attuazione tecnica di questi diritti su richiesta della Clinica. I meccanismi concreti offerti nella Piattaforma sono:

a) Diritto alla cancellazione: Eliminazione dell'account (dal 4 ottobre 2026): quando la richiesta di eliminazione è confermata, l'accesso all'account viene interrotto subito (le sessioni vengono chiuse e non è più possibile accedere); i dati personali vengono cancellati o anonimizzati (vengono svuotati nome, email, telefono, immagine e i dati identificativi/di contatto del cliente, oltre ai campi sanitari — gruppo sanguigno, allergie, patologie croniche, farmaci); le registrazioni di pagamenti e compensi soggette a conservazione obbligatoria per legge non vengono cancellate; sono conservate scollegate dalla persona e con accesso limitato. Non è previsto un periodo per annullare la richiesta; la cancellazione definitiva della registrazione di autenticazione e dei file viene completata nel processo in background di trenta giorni già esistente.

Eliminazione della scheda cliente e campi sanitari (dal 4 ottobre 2026): quando l'attività elimina la scheda di un cliente senza account, la scheda viene tolta subito dall'elenco attivo; dopo 30 giorni, insieme ai dati identificativi e di contatto, vengono cancellati/svuotati anche i campi sanitari del cliente (gruppo sanguigno, allergie, patologie croniche, farmaci). Le regole di conservazione di schede di anamnesi, misurazioni e note di seduta non sono toccate da questa disposizione.

Messaggi di gruppo e registrazioni della community (dal 18 ottobre 2026): il membro può eliminare il proprio messaggio di gruppo quando vuole; il testo del messaggio eliminato viene rimosso dalla registrazione. Quando l'account viene cancellato definitivamente, vengono cancellati l'appartenenza ai gruppi, le registrazioni dei dispositivi collegati e le schede profilo del professionista; la partecipazione alle sfide è legata alla scheda cliente e segue la stessa regola; il testo dei messaggi già inviati al gruppo, invece, resta nel gruppo, senza l'indicazione di chi li ha inviati. Per questo, chi vuole rimuovere i propri messaggi può eliminarli uno per uno prima di eliminare l'account. Il testo di un messaggio nascosto dal team è conservato a parte per la revisione da parte del team. I periodi di conservazione dei messaggi di gruppo e di questa copia sono in veri-saklama-imha-politikasi.md, Sezione 4, n. 12; la copia è conservata al massimo 1 anno. Oggi le registrazioni di gruppi, sfide, badge e fedeltà non sono incluse nell'esportazione "Scarica i miei dati"; le richieste di informazioni su di esse possono essere rivolte alla Clinica o a hello@corenta.app.

Quando l'utente chiede l'eliminazione dell'account dall'app (funzione delete_my_account), il sistema applica un'architettura di cancellazione in due fasi. Il riepilogo che segue è una descrizione onesta e tecnicamente verificata del metodo applicato a ciascuna categoria di dati (cancellazione definitiva o anonimizzazione); per tutti i dettagli e la tabella, v. veri-saklama-imha-politikasi.md (in particolare le Sezioni 4-6).

• Fase 1 — al momento della richiesta: l'accesso all'account viene interrotto subito (non è previsto un periodo per annullare); il profilo viene disattivato, i campi identificativi e sanitari vengono svuotati, gli appuntamenti in sospeso vengono annullati, le assegnazioni rimosse e i consensi dati revocati.
• Fase 2 — trattamento definitivo dopo 30 giorni: 30 giorni dopo questa prima fase avviene un trattamento attivato in modo irreversibile solo da un'attività privilegiata in background (cron, service-role) e applicato con due metodi diversi a seconda della categoria di dati; questo trattamento non può essere attivato manualmente/amministrativamente né anticipato o posticipato:
• La registrazione di autenticazione dell'utente (auth.users) e le registrazioni prive di valore autonomo commerciale o probatorio (per esempio le notifiche, notifications) vengono cancellate definitivamente (DELETE/cascade).
• I dati sanitari (schede di anamnesi, note di seduta, registrazioni delle misurazioni) e le registrazioni cliniche/finanziarie (pagamenti, presenze) NON SONO SOTTOPOSTI A DELETE — VENGONO CONSERVATI IN FORMA LIMITATA, SCOLLEGATI DALLA PERSONA: il collegamento con la persona (come client_id/specialist_id) viene interrotto a livello di database (ON DELETE SET NULL); alcuni campi di testo libero (risposte dell'anamnesi, note di misurazioni/pagamenti, motivo del rimborso, riferimento della ricevuta) vengono svuotati o sostituiti da un contrassegno. Il testo libero delle note di seduta non viene modificato; poiché in questo testo e in informazioni come le serie di date/misurazioni possono restare elementi sufficienti a reidentificare la persona, queste registrazioni non sono considerate anonime. Le registrazioni sono conservate con accesso limitato per tutta la durata dell'obbligo di tenuta dei registri della Clinica ed eliminate alla scadenza; così il principio append-only delle note di seduta viene preservato.
• Anche le registrazioni dei consensi (consent_logs) non sono sottoposte a DELETE; il collegamento con la persona viene interrotto e l'indirizzo IP svuotato, ma, a fini di prova del fatto che il consenso è stato dato/revocato (con tipo, versione e orario), sono conservate per ulteriori 5 anni come registrazione probatoria scollegata dalla persona (art. 5/2-e KVKK — costituzione e tutela di un diritto; l'onere della prova del consenso esplicito spetta al titolare del trattamento).
• File allegati: l'avatar/foto profilo dell'utente, gli allegati all'anamnesi e le immagini delle ricevute di pagamento (i bucket avatars, anamnesis-attachments, user-data-exports e payment-receipts dello Storage) vengono cancellati dallo Storage in modo automatico (best-effort) come parte della fase di cancellazione definitiva — se la cancellazione in un bucket non riesce, l'errore viene registrato, ma non impedisce la pulizia degli altri bucket né il trattamento dell'account. Limite dichiarato onestamente: l'unica categoria di file esclusa da questo processo automatico sono i documenti di verifica dell'identità/del titolo di studio caricati durante la registrazione del professionista/autonomo (bucket specialist-verification-docs) — tecnicamente questi documenti non sono legati all'utente ma al processo di verifica del tenant (della Clinica) e al momento non rientrano nella cancellazione automatica; la loro eliminazione sarà gestita a parte nel processo di chiusura dell'account/abbonamento della Clinica a livello di tenant e, finché ciò non sarà completato, le richieste eccezionali sono valutate manualmente tramite hello@corenta.app.
• Nessuno dei processi sopra descritti può essere attivato o fermato manualmente tramite le normali interfacce del prodotto (nemmeno dal personale amministrativo) — è una scelta di sicurezza consapevole, per evitare cancellazioni anticipate/ritardate per errore o abuso.
• Per questo la presente Informativa non assume l'impegno assoluto che "quando l'account viene eliminato, tutti i dati vengono distrutti fisicamente e senza eccezioni": mentre la registrazione di autenticazione e le registrazioni prive di valore commerciale autonomo vengono cancellate definitivamente, le registrazioni sanitarie/cliniche/finanziarie e le registrazioni dei consensi continuano a essere conservate scollegate dalla persona e con accesso limitato (per i periodi sopra spiegati) in ragione dell'obbligo di tenuta dei registri della Clinica (restano salve, ai sensi dell'art. 7/2 KVKK, le disposizioni sulla conservazione di altre leggi); queste registrazioni non sono anonime; per i residui tecnici nei backup v. anche veri-saklama-imha-politikasi.md Sezione 6.3.
• Canali di richiesta: la richiesta di eliminazione dell'account può essere fatta tramite la funzione self-service "Elimina il mio account" nell'app, il metodo più affidabile e con effetto diretto; in questo caso la funzione è attivata direttamente dall'utente e il processo in due fasi sopra descritto si svolge automaticamente (non si tratta di una richiesta rivolta a Teta Studio, ma di una funzione automatica del sistema avviata dall'utente stesso). Se per qualsiasi motivo l'utente non riesce a usare la funzione dell'app, può in alternativa inoltrare la richiesta alla Clinica o a hello@corenta.app; in questo caso la richiesta viene valutata e gestita entro un termine ragionevole e, nella misura necessaria, viene avviato lo stesso processo di cancellazione. Si tratta di un'eccezione alla regola generale di richiesta descritta in B.9 ("occorre rivolgersi prima alla Clinica") e deriva solo dal fatto che la funzione self-service dell'app può essere attivata direttamente dall'utente.

b) Richiesta di informazioni / Portabilità dei dati: La Piattaforma offre una funzione (export_user_data) con cui l'utente può esportare i propri dati. In linea con la struttura multi-tenant, questa funzione include solo i dati dell'utente stesso nell'ambito del proprio tenant. I dati sono forniti entro un termine ragionevole, in un formato strutturato e leggibile da dispositivo automatico (JSON). Quando il file può essere preparato, i dati vengono forniti anche in ZIP tramite un link personale (firmato) valido 7 giorni; se lo ZIP non può essere preparato, viene fornito solo l'output JSON.

c) Diritto di rettifica: L'aggiornamento dei dati dell'utente è tecnicamente possibile dal pannello di gestione della Clinica. Nella Piattaforma non esiste un flusso automatizzato e autonomo di "richiesta di rettifica"; le richieste di rettifica possono essere inoltrate, nell'ambito dei diritti generali dell'art. 11 KVKK, alla Clinica o a Teta Studio all'indirizzo hello@corenta.app.

d) Revoca del consenso: la conferma di lettura dell'informativa non è un consenso; non crea un'autorizzazione da revocare. L'utente può revocare in qualsiasi momento, dall'app mobile, il consenso ai dati sanitari e l'autorizzazione alle notifiche promozionali della clinica. La revoca del consenso ai dati sanitari non incide sugli appuntamenti né sull'uso dell'account; dopo la revoca non vengono registrati nuovi dati sanitari, e le registrazioni precedenti sono conservate secondo le regole di B.8/a.

e) Altri diritti dell'art. 11: i diritti di sapere se è in corso un trattamento, di sapere se è conforme alla finalità, di conoscere i terzi a cui i dati sono stati trasferiti, di chiedere la rettifica di un trattamento incompleto/inesatto e di chiedere il risarcimento del danno per trattamento illecito si esercitano in primo luogo nei confronti della Clinica; hanno lo stesso contenuto del quadro elencato in A.8.

B.9. Modalità di richiesta

Clienti e personale delle cliniche devono rivolgere le proprie richieste relative alla KVKK in primo luogo alla propria Clinica; la Clinica, in quanto Titolare del trattamento, è tenuta a rispondere a tali richieste secondo la procedura dell'art. 13 KVKK ed entro trenta (30) giorni al massimo. Eccezione: i meccanismi self-service nell'app, come l'eliminazione dell'account (v. B.8/a), possono essere usati direttamente dall'utente, senza bisogno della mediazione della Clinica; per le altre richieste ai sensi dell'art. 11 KVKK, la regola è rivolgersi prima alla Clinica.

Per richieste di natura tecnica da inoltrare direttamente a Teta Studio (per esempio se la funzione di eliminazione dell'account o di esportazione dei dati non funziona) o per domande sulle attività che Teta Studio svolge in proprio in qualità di responsabile del trattamento, è possibile scrivere a hello@corenta.app. Teta Studio può inoltrare alla Clinica, nell'ambito del DPA, le richieste ricevute che richiedono la conoscenza o le istruzioni della Clinica interessata.

B.10. Obblighi della Clinica

Ogni Clinica che usa Corenta riconosce di avere la qualità di Titolare del trattamento ai sensi dell'art. 3/ı KVKK e che i seguenti obblighi spettano esclusivamente a lei:

• Predisporre/fornire l'Informativa KVKK rivolta ai propri Clienti e Utenti (la schermata di informativa comune già pronta e le schermate di consenso facoltativo dell'app mobile di Corenta sono offerte a questo scopo come strumento tecnico, ma garantire che il contenuto sia adeguato alla propria attività è responsabilità della Clinica; se lo ritiene necessario, la Clinica può svolgere un proprio processo di informazione aggiuntivo, come previsto in B.1),
• Stabilire la base giuridica su cui fondare il trattamento dei dati sanitari (consenso esplicito facoltativo dell'art. 6/3-a oppure art. 6/3-e); se serve il consenso esplicito, raccoglierlo in modo corretto e non farne una condizione del servizio,
• Comunicare ai clienti i propri dati identificativi (denominazione, indirizzo, recapito per le richieste KVKK) (oggi il testo comune dell'app non include automaticamente queste informazioni),
• Valutare il proprio obbligo relativo al VERBİS; per i titolari la cui attività principale è il trattamento di dati sanitari, la soglia di esenzione dal VERBİS è di 10 dipendenti annui e 10 milioni di TL di bilancio (Kurul 2025/1572),
• Rispondere alle richieste degli interessati entro i termini previsti dall'art. 13 KVKK,
• Garantire la sicurezza dei dati per quanto riguarda il proprio personale e i propri subappaltatori,
• Rispettare gli obblighi previsti dall'Accordo sul trattamento dei dati/dai Termini di servizio stipulati con Corenta.

Teta Studio non assume alcuna responsabilità derivante dal mancato adempimento, da parte della Clinica, degli obblighi sopra indicati.

PARTE C — INFORMATIVA SULL'ACCOUNT E SULLA PIATTAFORMA CORENTA (Teta Studio titolare del trattamento)

Questa parte spiega i trattamenti che Teta Studio svolge in nome proprio e per finalità proprie. In queste attività Teta Studio è titolare del trattamento ai sensi dell'art. 3/1-ı KVKK. Questo testo viene mostrato all'apertura dell'account del titolare/dipendente della clinica e quando il cliente usa per la prima volta Scopri o la funzione di recensione. Le funzioni tra studi indicate di seguito (lega, invito, Studio Fondatore, Corenta Lab, Scopri v2) rientrano in questa parte perché mettono insieme più cliniche e la loro finalità è stabilita da Teta Studio. Le informazioni trattate a nome dello studio non sono dati personali quando l'attività è una persona giuridica; negli studi che operano come ditta individuale e negli studi composti da una sola persona possono essere ricondotte a una persona, per questo sono spiegate qui.

C.1. Titolare del trattamento

Mertcan Demir — ditta individuale con il nome commerciale "Teta Studio" (dati identificativi e di contatto: A.1). Richieste: hello@corenta.app.

C.2. Trattamenti, finalità e basi giuridiche

Scopri e invito a recensire: l'invito a recensire viene inviato, se la clinica attiva Scopri, sulla base dei dati dell'appuntamento concluso. Con l'Accordo sul trattamento dei dati, la clinica dà istruzione di trasferire questi dati a Teta Studio solo per inviare l'invito e pubblicare la recensione verificata; nelle cliniche con Scopri disattivato non vengono inviati inviti. Una recensione pubblicata può mostrare pubblicamente che hai ricevuto un servizio da un'attività legata alla salute/all'esercizio fisico; tienine conto prima di pubblicarla.

Misurazione pseudonimizzata: la misurazione avviene con un identificativo pseudonimo della clinica; questo identificativo è uno pseudonimo e, in un'attività composta da una sola persona, può essere ricondotto a lei. Non include indirizzo IP, dati sanitari né tracciamento di provenienza/pubblicità. La funzione al momento è disattivata; prima di attivarla, questo testo sarà aggiornato.

Visibilità nelle funzioni di community e crescita: le informazioni mostrate ad altri utenti nella lega, nell'elenco degli Studi Fondatori, in Corenta Lab e in Scopri sono solo quelle indicate nella tabella sopra. Queste funzioni non trattano dati sanitari dei clienti (dettagli: B.3-A). Nell'invito tra studi, nello Studio Fondatore e nel Lab non sono previsti premi in denaro né sconti sul prezzo; i premi sono vantaggi all'interno dell'app, come 7 giorni di Boost, periodo di prova e crediti.

C.3. Destinatari e trasferimento all'estero

Supabase (hosting; Francoforte, Germania), Vercel (pannello web), Google (email di Google Workspace, Firebase Cloud Messaging, Google Play) e Apple (APNs, App Store). Il trasferimento verso questi fornitori è un trasferimento all'estero; la sua base e la situazione attuale sono spiegate nel paragrafo "Trasferimento all'estero" di B.5 (per questi flussi, di cui Corenta è titolare del trattamento, sarà usato il contratto tipo del Modulo 2 — da titolare a responsabile —; alla data di questo testo non è ancora stato firmato).

C.4. Comunicazioni elettroniche commerciali

Teta Studio invia email promozionali e di campagne solo se hai dato il tuo consenso a parte, con una casella non preselezionata. Teta Studio non invia email promozionali senza essere registrata all'İleti Yönetim Sistemi (İYS); dopo la registrazione, i consensi vengono caricati nell'İYS entro 3 giorni lavorativi. Ogni messaggio promozionale riporta l'identità del mittente, i suoi recapiti e un link gratuito per annullare l'iscrizione. Le email relative al periodo di prova, all'invito al team e all'assistenza sono comunicazioni di servizio; non contengono elementi promozionali.

C.5. Conservazione, diritti e richieste

I periodi di conservazione sono indicati in veri-saklama-imha-politikasi.md. Delle registrazioni aggiunte il 18 ottobre 2026, i riepiloghi di prova ripetuta e le registrazioni di lega, invito, Studio Fondatore e Lab sono conservati fino alla cancellazione definitiva dell'account dello studio interessato; le registrazioni dei dispositivi fino alla cancellazione definitiva dell'account dell'utente. Per queste registrazioni non è ancora stato definito un periodo massimo specifico, che sarà aggiunto alla politica di conservazione. Puoi esercitare i tuoi diritti ai sensi dell'art. 11 KVKK (A.8) scrivendo a hello@corenta.app; le richieste ricevono risposta gratuita entro 30 giorni al massimo.

DISPOSIZIONI COMUNI (valide per tutte le parti)

G.1. Processi decisionali automatizzati e profilazione

Corenta non effettua profilazione a fini pubblicitari o di marketing. Tuttavia, dal 18 ottobre 2026 le regole seguenti funzionano in automatico e possono produrre un esito sfavorevole limitato per la persona o lo studio interessato:

Il segnale di prova ripetuta non è una decisione automatizzata: la corrispondenza non blocca la prova, viene solo sottoposta alla revisione dell'amministratore della piattaforma. Ai sensi dell'art. 11/1-g KVKK, resta salvo il tuo diritto di opporti a un esito sfavorevole derivante dall'analisi dei dati effettuata esclusivamente tramite sistemi automatizzati.

G.2. Aggiornamento dell'Informativa

La presente Informativa può essere aggiornata in seguito a modifiche normative, decisioni del Kişisel Verileri Koruma Kurulu, evoluzioni funzionali della Piattaforma o cambi di sub-responsabili/fornitori di servizi. La versione aggiornata sarà sempre disponibile su corenta.app/legal/kvkk-aydinlatma-metni e nella schermata dei documenti dell'app. Nel contesto del prodotto SaaS (Parte B), quando cambia la versione dell'informativa, al successivo accesso all'utente viene chiesto di indicare di aver letto il nuovo testo; non si tratta di un consenso, ma della prova che l'informazione è stata fornita (v. B.2).

G.3. Legge applicabile e foro competente

La presente Informativa è stata redatta nell'ambito della Legge n. 6698 sulla protezione dei dati personali (KVKK) e della relativa normativa secondaria (Regolamento sulla cancellazione, distruzione o anonimizzazione dei dati personali; Regolamento sul registro dei titolari del trattamento; Comunicato sulle procedure e sui principi per l'adempimento dell'obbligo di informativa; Comunicato sulle procedure e sui principi delle richieste al titolare del trattamento). All'interpretazione e all'applicazione di questo testo si applica il diritto della Repubblica di Turchia; per le controversie sono competenti il Kişisel Verileri Koruma Kurulu e i tribunali/uffici esecutivi turchi competenti.

G.4. Contatti

Per qualsiasi domanda, richiesta o istanza relativa al trattamento dei dati personali:

• Email: hello@corenta.app
• Assistenza: support@corenta.app
• Ambito del servizio: Corenta è offerta a livello globale tramite App Store e Google Play, nei paesi in cui questi store sono disponibili. Questo testo è l'informativa ai sensi della Legge n. 6698; per le persone nell'UE/SEE si applica inoltre la Dichiarazione GDPR, e restano salve le norme imperative sulla protezione dei dati del paese in cui ti trovi.
• Sito istituzionale: corenta.app

In vigore dal / ultimo aggiornamento: 19 ottobre 2026 Versione: 2.3 · 19 ottobre 2026. Lo storico delle modifiche si trova all'inizio del documento.