CORENTA — KİŞİSEL VERİLERİN KORUNMASI KANUNU KAPSAMINDA AYDINLATMA METNİ

Veri Sorumlusu / Veri İşleyen Sıfatına Göre Üç Bölümlü Aydınlatma Metni

Sürüm: 2.3 · Yürürlük / son güncelleme: 19 Ekim 2026 Veri sorumlusu / yayıncı (Bölüm A ve C): Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi

Değişiklik günlüğü

• 2.3 — 19 Ekim 2026: Küresel kapsam işlendi: G.4'teki "yalnız Türkiye" ifadesi, mağazalar üzerinden birden fazla ülkede sunum ve AB/AEA için GDPR Beyanı atfıyla değiştirildi. İşleme faaliyetleri ve hukuki sebepler değişmedi.
• 2.2 — 19 Ekim 2026: Yayın sürümü; yürürlük tarihi 19 Ekim 2026. A.1 kimlik tablosundan boş kalan MERSİS ve KEP bilgileri çıkarıldı. B.8/a grup mesajı saklama süresi Veri Saklama ve İmha Politikası'na bağlandı.
• 2.1 — 18 Ekim 2026: 18 Ekim 2026'da eklenen özellikler işlendi: klinik grupları, stüdyo içi meydan okumalar, danışan rozetleri ve sadakat kartı, haftalık görevler ve aylık karne (Bölüm B); stüdyo ligi ve şehir meydan okumaları, uzmanın taşınabilir profil kartı, stüdyodan stüdyoya davet kodu, Kurucu Stüdyo programı, Corenta Lab, Keşfet v2 (kısa video, deneme dersi, sponsorlu yer), deneme tekrarı işareti, cihaz bağlama ve "Oturumlarım", mağaza kısmi iadesi ve Apple kullanım bilgisi talebi (Bölüm C). Grup, lig, meydan okuma ve profil kartında sağlık verisinin nasıl ele alındığı ayrı bölümde (B.3-A) yazıldı. G.1 düzeltildi: kişiyi etkileyen otomatik sonuç doğuran üç kural (davet kötüye kullanım kontrolü, grup mesajının üç şikayette gizlenmesi, lig dışlaması) açıkça yazıldı. Mobil izinler koda göre düzeltildi (kamera izni istenmez). Kapalı özellikler (paylaşım doğrulaması, talep sinyali, Boost güvencesi, cihaz doğrulama, Turnstile, Sentry) bu metne yazılmadı; açılmadan önce ayrı metin güncellemesi gerekir.
• 2.0 — 11 Ekim 2026: 11 Ekim 2026 uyum incelemesine göre (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): yurt dışı aktarım bölümleri 6698 sayılı Kanun m.9'un 2024 sonrası hâline göre yeniden yazıldı (Supabase/Frankfurt dahil yurt dışı aktarımdır; standart sözleşmeler henüz imzalanmamıştır); aydınlatma ile açık rıza ayrıldı (aydınlatma "onay" değil, "Okudum, anladım" bildirimi; erken erişim formundaki zorunlu onay kutusu kaldırıldı); sağlık verisi rızası isteğe bağlı olarak yazıldı; Teta Studio'nun veri sorumlusu olduğu faaliyetler için yeni Bölüm C — Corenta Hesap ve Platform Aydınlatması eklendi; kimlik bilgisi şahıs işletmesi olarak düzeltildi; VERBİS değerlendirmesi 2025 Kurul kararlarına göre yazıldı; ihlal bildirimi kliniğe en geç 24 saat olarak düzeltildi; "anonim" saklama ifadesi kişi bağı koparılmış kısıtlı saklama olarak düzeltildi; dosya eki silme ve dışa aktarma bağlantısı kodla doğrulanan tek ifadeye bağlandı; hatalı mevzuat atıfları düzeltildi.
• 1.6 — 10 Ekim 2026: Expo (Expo Push Notification Service) alt işleyen/işleyen kayıtlarından kaldırıldı; push bildirimleri yalnızca Apple (APNs) ve Google (FCM) üzerinden iletilir, Expo/EAS yalnızca uygulama derleme aracıdır ve son kullanıcı verisi işlemez.
• 1.5 — 10 Ekim 2026: Google Analytics seçimine ilişkin ifade kaldırıldı; üçüncü taraf analitik kullanılmadığı ve push işleyenleri netleştirildi.
• 1.4 — 4 Ekim 2026: Mevcut metin onaylı sürüm olarak sabitlendi. Bu sürümde yalnızca şunlar işlendi: Teta Studio unvan işareti; pazar (Türkiye); hesap silme (erişim hemen kesilir, kişisel veri silinir/anonimleşir, yasal saklama gerektiren ödeme kayıtları kimliksiz saklanır); 30 gün sonunda danışan sağlık alanlarının silinmesi; 7 günlük yetim makbuz süresi; destek modunda danışan iletişiminin gizli kalması; kimliksiz sunucu tarafı ölçüm; hizmet e-postaları ve Google Workspace; push işleyenleri; destek adresi (support@corenta.app); sağlık alanlarını yazma yetkisi.
• 1.3 — 4 Ağustos 2026: B.6 ve B.8/a bölümlerinin saklama-imha politikasıyla tutarlı hâle getirilmesi.

0. Bu Metin Hakkında — Kapsam ve Okuma Rehberi

İşbu Kişisel Verilerin Korunması Kanunu Aydınlatma Metni ("Aydınlatma Metni"), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK" veya "Kanun") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, "Teta Studio" işletme adıyla şahıs işletmesi olarak faaliyet gösteren Mertcan Demir ("Teta Studio", "biz") tarafından geliştirilen ve işletilen Corenta adlı yazılım (SaaS) ürünü ("Corenta", "Ürün" veya "Platform") ile bu ürünün tanıtımının yapıldığı corenta.app internet sitesi bağlamında kişisel verilerin işlenmesine ilişkin olarak ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır.

Corenta; klinik pilates, fizyoterapi, reformer, wellness/masaj ve yoga merkezleri gibi butik sağlık ve wellness işletmelerine yönelik; randevu yönetimi, paket/seans takibi, danışan anamnez ve seans notları, hakediş ve finansal işlem takibi sağlayan çok kiracılı (multi-tenant), mobil öncelikli bir yazılım platformudur (Software-as-a-Service).

0.1 Tanımlar

0.2 İki Ayrı Bağlam — Neden Önemli

Corenta ekosisteminde kişisel veriler üç farklı bağlamda ve iki farklı sıfatla işlenmektedir: Bölüm A (tanıtım sitesi; Teta Studio veri sorumlusu), Bölüm B (kliniğin kayıtları; Teta Studio veri işleyen) ve Bölüm C (Corenta hesabı, abonelik, hizmet e-postaları, Keşfet/değerlendirme, stüdyolar arası büyüme özellikleri — lig, davet, Kurucu Stüdyo, Corenta Lab, taşınabilir profil kartı —, hesap ve cihaz güvenliği ile ürün ölçümü; Teta Studio veri sorumlusu). Bu ayrımın net anlaşılması, Aydınlatma Metni'nin doğru yorumlanabilmesi için esastır ve iki bağlam kesinlikle karıştırılmamalıdır:

Bir klinik danışanının Corenta uygulamasında oluşan sağlık verisiyle, corenta.app sitesinde erken erişim formu dolduran bir işletme sahibinin verisi hukuken tamamen farklı rejimlere tabidir. Aşağıdaki bölümler bu ayrıma göre yapılandırılmıştır.

BÖLÜM A — KURUMSAL WEB SİTESİ VE ERKEN ERİŞİM FORMU (corenta.app)

Bu bölüm, corenta.app internet sitesini ziyaret eden, siteyle etkileşime giren ve/veya erken erişim başvuru formunu dolduran gerçek kişiler bakımından geçerlidir. Bu bağlamda Teta Studio, KVKK m.3/ı uyarınca Veri Sorumlusu sıfatıyla hareket etmekte ve kişisel verilerin işleme amaçlarını ve vasıtalarını kendisi belirlemektedir.

A.1. Veri Sorumlusunun Kimliği

A.2. İşlenen Kişisel Veri Kategorileri

corenta.app internet sitesi ziyareti, erken erişim formu doldurulması, iletişim formu gönderimi veya demo/satış görüşmesi talebi sırasında aşağıdaki kişisel veri kategorileri işlenebilir:

(*) Çerez notuna ilişkin açıklama: İşbu metnin yayımlandığı tarih itibarıyla corenta.app sitesinde aktif bir çerez bandosu/yönetim arayüzü veya üçüncü taraf çerez altyapısı bulunmamaktadır; yukarıdaki satırda anılan IP adresi/cihaz/tarayıcı bilgisi, yalnızca temel sunucu günlükleri ve form güvenliği kapsamında, aktif bir çerez teknolojisi kullanılmaksızın sınırlı biçimde işlenmektedir. Sistem altyapısında bir çerez rıza kategorisi (cookies) teknik olarak tanımlanmış olmakla birlikte, bu kategori şu an fiilen kullanılmamaktadır. Çerez kullanımına geçilmesi hâlinde işbu Aydınlatma Metni ve ayrı bir Çerez Politikası güncellenecek, gerekli onay mekanizmaları devreye alınacaktır. Özel nitelikli kişisel veri bu bağlamda işlenmez.

Bu veriler, yalnızca ilgili kişinin kendi iradesiyle formu doldurması veya iletişime geçmesi yoluyla ya da sitenin teknik işleyişi gereği (IP gibi) otomatik olarak elde edilir.

A.3. Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri

Aşağıdaki tabloda her işleme amacı, KVKK m.5/2'de sayılan hukuki sebeplerden hangisine dayandığı ile birlikte gösterilmiştir:

Önemli: Madde 7 kapsamındaki pazarlama iletişimi, yalnızca ilgili kişinin bu amaç için ayrıca ve açıkça verdiği onaya dayanır; bu onay, erken erişim başvurusunun zorunlu bir koşulu değildir ve her zaman geri çekilebilir (bkz. A.8).

A.4. Kişisel Verilerin Toplanma Yöntemi

Kişisel veriler; corenta.app sitesindeki erken erişim/iletişim formlarının doldurulması, e-posta yoluyla doğrudan iletişim, demo/satış görüşmeleri ve sitenin teknik altyapısı tarafından otomatik olarak (IP adresi vb.) elektronik ortamda toplanır.

A.5. Kişisel Verilerin Aktarılması

Kişisel verileriniz; barındırma (hosting), form toplama, e-posta gönderimi, analitik, güvenlik ve benzeri teknik hizmetlerin sunulması amacıyla sınırlı olarak, KVKK'nın 8. ve 9. maddelerinde öngörülen şartlar dahilinde, bu hizmetleri sağlayan tedarikçilerle paylaşılabilir. Bu paylaşım yalnızca ilgili hizmetin sunulması için gerekli olduğu ölçüde ve amaçla sınırlı olarak yapılır.

Bu bağlamda bilinen/kullanımda olan teknik altyapı sağlayıcıları:

Not — form verilerinin depolandığı altyapı: Erken erişim/iletişim formu verilerinin nihai olarak yalnızca Framer'ın kendi form altyapısında mı tutulduğu, yoksa Corenta'nın Supabase tabanlı veritabanına (bkz. Bölüm B, B.5 — Supabase, Frankfurt/Almanya) da aktarılıp aktarılmadığı işbu metnin hazırlandığı tarih itibarıyla teknik olarak teyit edilmemiştir. Bu husus teyit edildikçe işbu tablo, gerekirse bir Supabase satırı eklenerek güncellenecektir; her hâlükârda form verileriniz yalnızca işbu Bölüm A'da açıklanan amaçlarla ve KVKK'ya uygun şekilde işlenmektedir.

Bu paylaşımlar dışında kişisel verileriniz üçüncü kişilerle satılmaz, kiralanmaz veya pazarlama amacıyla üçüncü taraflara devredilmez. Yasal zorunluluk hâlleri (mahkeme kararı, yetkili kamu kurumu talebi vb.) bu kuralın istisnasıdır.

Yurt dışına aktarım: Framer ve Google Workspace, Türkiye dışında veri işler; bu, 6698 sayılı Kanun anlamında yurt dışına aktarımdır. Bu aktarımlar düzenli ve sürekli olduğundan açık rızaya dayandırılmaz; KVKK'nın 5. maddesindeki işleme şartlarından birine ve m.9/4-c uyarınca Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelere dayandırılacaktır. Bu metnin tarihi itibarıyla standart sözleşmeler sağlayıcılarla henüz imzalanmamış ve Kurul'a bildirilmemiştir. Her sözleşme imzalandığında imza tarihinden itibaren 5 iş günü içinde Kurul'a bildirilecek ve bu bölüm sağlayıcı ve tarih listesiyle güncellenecektir. Kurul'un bu ülkeler hakkında ilan ettiği bir yeterlilik kararı bulunmamaktadır (son kontrol: 11 Ekim 2026).

A.6. Saklama Süresi

Kişisel verileriniz, ilgili işleme amacının gerektirdiği süre boyunca ve her hâlde ilgili mevzuatta öngörülen zamanaşımı süreleri saklı kalmak kaydıyla saklanır:

• Erken erişim başvuruları: Başvurunun değerlendirilmesi ve iletişim sürecinin sonuçlanmasından itibaren azami 2 yıl; bu süre içinde iletişime geçilmez veya süreç sonuçlanırsa daha kısa sürede silinir/anonim hâle getirilir. Şeffaflık notu: Bu azami süreye karşılık gelen, sistemde otomatik olarak çalışan bir tarama/silme mekanizması işbu Metin'in hazırlandığı tarih itibarıyla bulunmamaktadır; süre bir hukuki üst sınırdır, silme/anonimleştirme işlemi şu an için manuel/talep üzerine gerçekleştirilir.
• İletişim kayıtları: İletişim amacı sona erene kadar.
• Analitik/teknik günlük verileri: Kullanılan aracın/altyapının varsayılan/izin verilen saklama süresi kadar.
• Hukuki uyuşmazlık ve yükümlülük kayıtları: İlgili mevzuatın öngördüğü asgari süre boyunca.

Saklama süresinin sona ermesi hâlinde kişisel veriler KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir. Ayrıntılı süre tablosu ve imha yöntemleri için bkz. veri-saklama-imha-politikasi.md (Bölüm 4, Sıra 9).

A.7. Erken Erişim Formunda Bilgilendirme ve Ticari İleti Onayı

Başvurunuzun işlenmesi rızaya değil, A.3'teki hukuki sebeplere dayanır. Bu nedenle formda aydınlatma için bir onay kutusu bulunmaz; aydınlatma ile rıza ayrı tutulur.

Bilgilendirme (onay kutusu yok): Gönder düğmesinin hemen üstünde şu metin ve bu Aydınlatma Metni'ne bağlantı gösterilir:

"Bilgileriniz başvurunuzu değerlendirmek ve sizinle iletişime geçmek için işlenir (KVKK m.5/2-c, f). Ayrıntı: Aydınlatma Metni."

İsteğe bağlı ticari ileti onayı (ayrı kutu, varsayılan olarak İŞARETLİ DEĞİLDİR):

"Teta Studio'nun Corenta duyuru ve kampanyalarını e-posta ile göndermesine onay veriyorum."

Ticari ileti onayının verilmemesi başvurunun değerlendirilmesini etkilemez. Teta Studio, İleti Yönetim Sistemi'ne (İYS) kaydolmadan tanıtım e-postası göndermez; kayıttan sonra onaylar 3 iş günü içinde İYS'ye yüklenir. Onay her iletideki ret bağlantısıyla geri alınabilir.

A.8. İlgili Kişinin Hakları (KVKK m.11) ve Başvuru Yöntemi

KVKK'nın 11. maddesi uyarınca, kişisel verisi işlenen her ilgili kişi, Veri Sorumlusuna başvurarak aşağıdaki haklara sahiptir:

a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Ayrıca, onaya dayalı işlemeler bakımından (ticari elektronik ileti) verilen onay, KVKK m.11 kapsamındaki genel haklardan bağımsız olarak, dilediğiniz zaman ve gerekçe göstermeksizin geri çekilebilir. Onayın geri çekilmesi, geri çekilmeden önceki işlemenin hukuka uygunluğunu etkilemez.

Başvuru Yöntemi: Yukarıdaki haklarınızı kullanmak için taleplerinizi, kimliğinizi tespit edici gerekli bilgiler ile KVKK'nın 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen şekilde hello@corenta.app adresine yazılı olarak iletebilirsiniz. Başvurularınız, niteliğine göre en geç 30 (otuz) gün içinde, ayrıca bir maliyet gerektirmeyen usullerle ücretsiz olarak sonuçlandırılır; işlemin ek bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücret alınabilir.

BÖLÜM B — CORENTA SaaS ÜRÜNÜNÜN KLİNİKLER TARAFINDAN KULLANIMI

Bu bölüm; Corenta'yı bir klinik pilates, fizyoterapi, reformer, wellness/masaj veya yoga merkezi ("Klinik") üzerinden kullanan klinik personeli (yönetici, uzman/eğitmen, resepsiyon vb.) ile bu kliniklerin danışanları/hastaları bakımından geçerlidir.

B.1. Rol Ayrımının Hukuki Temeli — Önemle Okuyunuz

Corenta'yı satın alıp kullanıma açan Klinik, kendi danışanlarının/hastalarının ve kendi personelinin kişisel verileri bakımından KVKK m.3/ı uyarınca "Veri Sorumlusu" sıfatını taşır. Danışanlara/hastalara ve personele yönelik KVKK aydınlatma yükümlülüğü ve gerektiğinde açık rızaların (özellikle sağlık verisi işlenmesine ilişkin özel nitelikli veri rızasının) alınması, birincil ve nihai olarak Klinik'in sorumluluğundadır.

Teta Studio (Corenta), KVKK m.3/ğ uyarınca yalnızca Veri İşleyendir. Teta Studio, Klinik'in talimatları doğrultusunda ve Klinik adına, yalnızca Platform'un teknik altyapısını sağlamak suretiyle bu verileri işler; kendi adına bağımsız bir işleme amacı belirlemez ve bu veriler üzerinde Klinik'in talimatları dışında, kendi ticari amaçlarıyla (reklam, üçüncü taraflara satış vb.) işleme yapmaz. Teta Studio'nun kendi amaçlarıyla yürüttüğü işlemeler (klinik kullanıcı hesabı, abonelik, hizmet e-postaları, Keşfet/değerlendirme daveti ve yorumlar, güvenlik ve takma adlı ürün ölçümü) bu Bölüm B'nin değil, Bölüm C'nin konusudur; bu faaliyetlerde Teta Studio veri sorumlusudur.

Corenta ürünü, Klinik'in bu yükümlülüklerini yerine getirmesini teknik olarak kolaylaştıran araçlar sunar (mobil uygulamada rıza ekranı, versiyonlanmış rıza kayıtları, geri çekme mekanizması vb. — bkz. B.2). Bu araçların varlığı, Klinik'in Veri Sorumlusu sıfatından doğan hukuki yükümlülüklerini Teta Studio'ya devrettiği veya Teta Studio'nun bu yükümlülükleri üstlendiği anlamına gelmez.

Klinik ile Teta Studio arasındaki veri işleyen ilişkisi, ayrı bir Veri İşleme Sözleşmesi (Data Processing Agreement/DPA) ile düzenlenir; bu sözleşme işlenecek veri kategorilerini, işleme amaçlarını, güvenlik tedbirlerini, alt-işleyen kullanımını ve tarafların KVKK m.12 kapsamındaki yükümlülüklerini detaylandırır.

İşbu Bölüm B, Klinik'in kendi danışanlarına/personeline sunacağı aydınlatma metninin yerine geçmez, onun ikamesi değildir. Bu bölümün amacı, Teta Studio'nun Veri İşleyen sıfatıyla Platform üzerinde hangi verileri hangi amaçla işlediğini şeffaf biçimde açıklamak ve Klinik'in kendi aydınlatma metnini hazırlarken referans alabileceği bir çerçeve sunmaktır. Klinik, Corenta'nın mobil uygulama içinde sunduğu ortak/merkezi aydınlatma ekranını ve isteğe bağlı rıza ekranlarını (bkz. B.2) yeterli görmüyorsa, kendi Danışan ve personeline yönelik ek/ayrı bir aydınlatma sürecini kendi imkânlarıyla (yazılı metin, e-posta, yüz yüze bilgilendirme vb.) ayrıca yürütebilir; bu, Klinik'in kendi hukuki sorumluluğu kapsamındadır.

B.2. Platform İçi Aydınlatma ve Rıza Mekanizması (Bilgilendirme Amaçlı)

Corenta mobil uygulamasında, ilk kullanım (onboarding) aşamasında Teta Studio tarafından hazırlanan ve tüm kliniklerin danışan/kullanıcılarına ortak olarak sunulan bir ekran (kvkk.tsx) bulunur. Kurul'un 2026/347 sayılı İlke Kararı doğrultusunda aydınlatma ile rıza ayrı adımlarda gösterilir:

Kayıtlar sürümlü olarak consent_logs tablosunda tutulur. Teknik not: aydınlatma gösterimi bugün bu tabloda kvkk türüyle kaydedilir; bu kayıt bir rıza değil, aydınlatmanın gösterildiğinin ve okunduğunun bildirimidir. İşletim sisteminin tek bildirim izni hem işlemsel hem kampanya bildirimlerinin iletilmesinde kullanılır; kampanya bildirimleri yalnız 2b izni verilmişse gönderilmelidir.

Bu ekran ve metinler Klinik'e özel olarak ayrıştırılmamış, Platform genelinde ortak bir sürüm olarak sunulmaktadır; klinik kimlik bilgileri (unvan, adres, başvuru iletişimi) bugün metne otomatik olarak eklenmemektedir. Aydınlatma metninin sürümü değiştiğinde kullanıcıdan bir sonraki girişte yeni metni okuduğunu belirtmesi istenir (bu da bir rıza değildir). Sağlık verisi rızası ve kampanya izni istenildiği zaman geri çekilebilir (revoked_at alanı ile izlenir); sağlık verisi rızasının geri çekilmesi randevu ve hesap kullanımını etkilemez.

Klinik, sır saklama yükümlülüğü altındaki sağlık meslek mensubu (ör. fizyoterapist) olarak sağlık verisini tedavi amacıyla KVKK m.6/3-e'ye dayanarak işliyorsa, açık rıza ekranı yerine yalnız aydınlatma yeterli olabilir; diğer işletmeler (ör. pilates/wellness stüdyosu) sağlık verisini yalnız m.6/3-a uyarınca isteğe bağlı açık rızaya dayanarak işleyebilir. Hangi hukuki sebebe dayanılacağı ve aydınlatmanın içeriğinin kendi faaliyetine uygunluğu Klinik'in sorumluluğundadır.

B.3. Teta Studio'nun Veri İşleyen Sıfatıyla İşlediği Veri Kategorileri

Platform'un teknik işleyişi gereği, Klinik'in talimatı doğrultusunda aşağıdaki veri kategorileri işlenmektedir:

Sağlık alanlarını yazma yetkisi (4 Ekim 2026 itibarıyla): Danışanın sağlık alanlarını (kan grubu, alerji, kronik durum, ilaç) yalnızca danışanın kendisi ve atanmış uzmanı yazabilir; işletme sahibi/yöneticisi bu alanlara yazamaz (acil durum kişisi ve kimlik alanlarını düzenleyebilir).

Takma adlı ürün ölçümü: Bu faaliyette Teta Studio veri sorumlusudur ve ayrıntısı Bölüm C'dedir. Ölçüm klinik takma kimliğiyle yapılır; bu kimlik takma ad niteliğindedir (kimliksiz değildir). Özellik şu an kapalıdır.

Makbuz dosyaları (4 Ekim 2026 itibarıyla): Bir ödemeye bağlanmamış (yetim) makbuz dosyaları 7 gün sonra otomatik olarak silinir; bir ödemeye bağlı makbuz hiçbir rolle silinmez.

Mobil izinler hakkında açıklık (18 Ekim 2026 itibarıyla): Corenta mobil uygulaması işletim sistemi düzeyinde yalnızca bildirim izni (bağlamında sorulur) ve iOS'ta fotoğraf kütüphanesi erişimi (profil fotoğrafı, anamnez eki, ödeme fişi, duyuru görseli veya stüdyo videosu seçildiği anda) ister; uygulama kilidi açıksa cihazın Face ID/parmak izi doğrulaması cihaz içinde kullanılır ve biyometrik veri Corenta'ya iletilmez. Android'de kamera ve mikrofon izinleri uygulama manifestinden bilinçli olarak çıkarılmıştır. Uygulama kamera, mikrofon, konum, kişi rehberi (contacts), takvim izni veya HealthKit/sağlık sensörü erişimi istemez. Keşfet haritası cihaz konumunu kullanmaz; yalnız kullanıcının seçtiği il/ilçe veya harita alanıyla arama yapar.

Özel nitelikli kişisel veriler (sağlık bilgileri), KVKK m.6 uyarınca ancak açık rıza ile veya kanunlarda öngörülen istisnai hâllerde (kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis/tedavi, sağlık hizmetlerinin planlanması ve finansmanı gibi sır saklama yükümlülüğü altındaki kişilerce yürütülmesi) işlenebilir. Corenta ekosisteminde bu veriler, Klinik'in yetkili sağlık/wellness uzmanları tarafından Klinik'in dayandığı hukuki sebebe (m.6/3-a isteğe bağlı açık rıza veya m.6/3-e) göre girilir; Teta Studio bu veriyi yalnızca Klinik'in talimatı doğrultusunda barındırır/işler ve artırılmış güvenlik önlemleriyle korur (bkz. B.6).

Saklama süresi ve imha yöntemi — çapraz referans: Yukarıdaki kategorilerin her biri için saklama süresi ve hesap silme talebi sonrasında uygulanan yöntem (kalıcı silme veya anonimleştirme) B.8/a'da özetlenmekte, ayrıntılı tablo ve gerekçesiyle veri-saklama-imha-politikasi.md (Bölüm 4-6) içinde açıklanmaktadır. Özellikle Sağlık Bilgisi, İşlem/Finansal Bilgi ve Aydınlatma ve İzin Kayıtları satırları için: hesap kalıcı silme aşamasında bu kayıtlar DELETE edilmez; kişi bağlantısı koparılır ve bazı serbest metin alanları temizlenir. Seans notu serbest metni değiştirilmediğinden bu kayıtlar her durumda anonim kabul edilmez; erişimi kısıtlanmış biçimde saklanır (bkz. B.8/a).

B.3-A. Topluluk ve Büyüme Özellikleri — Sağlık Verisi ile İlişkisi (18 Ekim 2026 itibarıyla)

Sağlık verisi KVKK m.6 anlamında özel nitelikli kişisel veridir. Aşağıdaki özellikler sağlık verisi işlemek amacıyla tasarlanmamıştır; her birinde sağlık verisinin nasıl ele alındığı ayrı yazılmıştır:

Fizyoterapi gibi sağlık hizmeti veren kliniklerde bir danışanın bir derse veya gruba katılmış olması, o kişinin sağlık hizmeti aldığını gösterebilir. Bu nedenle bu özellikleri kullanıp kullanmama ve danışanlarına nasıl açıklama yapılacağı kararı veri sorumlusu olarak Klinik'indir. Klinik grupları (group_chats) ve meydan okumalar (leagues) ayrı modüllerdir ve klinik bazında kapatılabilecek biçimde tasarlanmıştır.

B.4. İşleme Amaçları ve Hukuki Sebepler

Aşağıdaki tablodaki hukuki sebepler, ilgili verinin niteliğine göre iki farklı anlam taşıyabilir: (i) Klinik'in (veri sorumlusu sıfatıyla) danışanına/personeline karşı dayandığı hukuki sebep, ya da (ii) Teta Studio'nun kendi bağımsız faaliyetleri (platform güvenliği, faturalandırma, yasal yükümlülük gibi) bakımından geçerli olan hukuki sebep. Teta Studio'nun kendi başına bağımsız bir "işleme amacı" belirlemediği (bkz. B.1) göz önünde bulundurularak, özellikle özel nitelikli veriye ilişkin satır Klinik'in hukuki sebebini yansıtır biçimde okunmalıdır:

B.5. Kişisel Verilerin Aktarılması (Yurt İçi ve Yurt Dışı)

Platform'un çalışması için kişisel veriler, aşağıdaki alt-işleyenler (sub-processor) ile sınırlı ve teknik olarak gerekli ölçüde paylaşılır:

Diğer altyapı notları:

• E-posta altyapısı: Hizmet e-postaları (deneme süreci, ekip daveti, destek yanıtları) Google Workspace (Google) üzerinden SMTP ile gönderilir; kimlik doğrulama e-postaları (e-posta doğrulama, parola sıfırlama) Supabase Auth tarafından tetiklenir. Tanıtım e-postaları yalnız ayrı onay ve İYS kaydı şartıyla gönderilir (bkz. Bölüm C). Push bildirimleri Apple (APNs) ve Google (FCM) aracılığıyla iletilir.
• Analitik aracı: Üçüncü taraf bir analitik aracı (ör. Google Analytics) kullanılmamaktadır. Uygulama içi ürün kullanım ölçümü şu an etkin değildir; etkinleştirilmesi halinde ölçüm, Corenta'nın kendi veritabanında (Supabase, Frankfurt/Almanya) tutulan birinci taraf bir tabloya yazılır, sağlık verisi ve serbest metin içermez ve etkinleştirilmeden önce bu Metin güncellenir.
• Hata izleme: Üçüncü taraf hata izleme aracı kullanılmamaktadır; istemci hataları Corenta'nın kendi veritabanına (Supabase) kaydedilir.
• Gerçek zamanlı mesaj iletimi ve videolar (18 Ekim 2026 itibarıyla): Birebir ve grup mesajları Supabase'in gerçek zamanlı iletim hizmetiyle (Realtime) yalnız yetkili kullanıcılara iletilir; stüdyo videoları Supabase dosya depolamasında tutulur. Bunlar Supabase satırının (sıra 1) kapsamındadır; yeni bir alt işleyen eklenmemiştir.
• Web üzerinden kredi kartı ile ödeme: Şu an desteklenmemektedir; tüm abonelik ödemeleri yalnızca Apple/Google mağaza içi satın alma (IAP) mekanizması üzerinden yürütülmektedir.

Yurt dışına aktarım: Verileriniz Türkiye dışında bulunan hizmet sağlayıcılar aracılığıyla işlenir: Supabase (veritabanı, kimlik doğrulama ve dosya depolama; veriler Almanya/Frankfurt'ta barındırılır), Vercel (web paneli barındırma; küresel altyapı), Google (Google Workspace e-posta ve Firebase Cloud Messaging bildirim; küresel) ve Apple (bildirim ve mağaza; küresel). Almanya'da barındırma da 6698 sayılı Kanun anlamında yurt dışına aktarımdır. Bu aktarımlar düzenli ve sürekli olduğundan açık rızaya dayandırılmaz; KVKK'nın 5. ve 6. maddelerindeki işleme şartlarından birine ve m.9/4-c uyarınca Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelere dayandırılacaktır. Teta Studio veri işleyen olarak her alt işleyenle Modül 3 (veri işleyenden veri işleyene) standart sözleşmesini imzalayacak ve imza tarihinden itibaren 5 iş günü içinde Kurul'a bildirecektir. Bu metnin tarihi itibarıyla standart sözleşmeler henüz imzalanmamış ve Kurul'a bildirilmemiştir; imza ve bildirim tamamlandığında bu bölüm sağlayıcı ve tarih listesiyle güncellenecektir. Kurul'un bu ülkeler hakkında ilan ettiği bir yeterlilik kararı bulunmamaktadır (son kontrol: 11 Ekim 2026). Klinik, bu aktarımlara kendi aydınlatma metninde yer verir.

Yukarıdaki alt-işleyen listesi, Klinik ile Teta Studio arasındaki DPA'nın ekinde ayrıca ve güncel biçimde tutulur; Klinik, alt-işleyen listesindeki değişikliklerden DPA'da öngörülen usulle bilgilendirilir. Kişisel veriler, yasal olarak yetkili kamu kurum ve kuruluşlarına, yalnızca ilgili mevzuatın öngördüğü hâllerde ve taleple sınırlı olarak aktarılabilir; Teta Studio, işlediği kişisel verileri hiçbir şekilde üçüncü kişilere ticari amaçla satmaz veya kiralamaz.

B.6. Güvenlik Tedbirleri

Teta Studio, Veri İşleyen sıfatıyla işlediği kişisel verilerin güvenliğini sağlamak amacıyla aşağıdaki teknik ve idari tedbirleri uygulamaktadır:

• Kiracı izolasyonu (multi-tenant isolation): Platformdaki tüm veri tabloları tenant_id alanı ile ayrıştırılmış olup, kapsamlı Satır Düzeyi Güvenlik (Row Level Security/RLS) politikaları ile varsayılan-red (default-deny) esasına göre korunmaktadır; bir Klinik'in verisine başka bir Klinik'in erişimi teknik olarak engellenmektedir.
• Sağlık verisine erişim kısıtlaması: Anamnez formu, seans notu ve ölçüm verilerine RLS seviyesinde yalnızca ilgili danışan, danışana atanmış uzman ve yetkili klinik yöneticisi erişebilir; uzmanın "ekiple paylaşılan" olarak işaretlediği seans notlarını kliniğin diğer uzmanları da görebilir. Personel erişimi, ilgili sağlık modülü (anamnez, ölçüm, seans notu) açıkken mümkündür.
• Değiştirilemezlik (append-only): Gönderilmiş (submitted_at alanı dolduğunda) seans notları, veritabanı seviyesinde güncellenemez veya silinemez şekilde korunmaktadır; anamnez formları için de hiçbir kullanıcı rolüne (klinik yöneticisi dahil) silme (DELETE) yetkisi tanımlı değildir. Tek ve dar istisna: hesap kalıcı silme sürecinde (bkz. B.8/a), yalnızca ayrıcalıklı (service-role) arka plan süreci, seans notunun İÇERİĞİNE dokunmadan yalnızca kişiyle bağlantı kolonlarını (client_id/specialist_id) veritabanı seviyesinde NULL'a çekebilir; bu, append-only ilkesini bozmaz — yalnızca KVKK kapsamındaki kişi-bağı koparma (anonimleştirme) yükümlülüğünü karşılayan, tek amaca özel bir geçiştir (ayrıntı: veri-saklama-imha-politikasi.md Bölüm 6.2).
• Süper-admin destek modu (impersonation) kısıtları: Teknik destek amacıyla kullanılan süper-admin erişim modu süreyle sınırlıdır (30 dakika), varsayılan olarak yalnızca salt-okunurdur; yazma işlemleri ve sağlık verisine erişim ayrı ve ek onay gerektiren adımlarla (health_data_enabled bayrağı) açılabilir; sağlık verisi tabloları için hiçbir impersonation senaryosunda yazma yetkisi tanınmamıştır — bu kısıtlama veritabanı politikalarında istisnasız uygulanmıştır.
• Aktarım güvenliği: Veriler aktarım sırasında TLS ile şifrelenir.
• Cihaz üzerinde saklama: Mobil uygulamada oturum belirteçleri, cihazın güvenli donanım destekli anahtarlığında (iOS Keychain / Android Keystore tabanlı expo-secure-store) şifreli olarak saklanmaktadır.
• Hassas ekran koruması: Sağlık verisi içeren mobil ekranlarda ekran görüntüsü ve ekran kaydı engellenir (iOS ekran kaydı/görüntüsü engeli; Android FLAG_SECURE).
• Yönetici hesap güvenliği: Platform yönetici (süper-admin) hesapları iki aşamalı kimlik doğrulama (MFA, AAL2) gerektirir.
• Ödeme bütünlüğü: Mağaza (Apple/Google) ödeme bildirimleri (webhook) için kriptografik imza doğrulaması altyapısı uygulanmaktadır; bu alandaki yapılandırmanın tüm sağlayıcılar için üretim ortamında eksiksiz tamamlanması ve sürekli iyileştirilmesi süreci devam etmektedir.

Yukarıdaki tedbirlere rağmen, hiçbir bilgi sistemi için mutlak güvenlik garantisi verilemeyeceği açıkça belirtilir. Bu önlemler KVKK m.12 kapsamında Veri İşleyen'in yükümlülüklerinin bir parçası olarak sürekli gözden geçirilmekte ve iyileştirilmektedir. Teta Studio, veri işleyen sıfatıyla bir veri ihlalini öğrendiğinde Klinik'e gecikmeksizin ve en geç 24 saat içinde bildirir (Kurul 2019/10). Kurul'a ve ilgili kişilere bildirim, veri sorumlusu olarak Klinik'in yükümlülüğüdür. Teta Studio'nun veri sorumlusu olduğu verilerde (Bölüm A ve C) Kurul'a bildirimi 72 saat içinde Teta Studio yapar.

B.7. Süper-Admin Destek Modu (Impersonation) Hakkında Ek Bilgilendirme

Teta Studio'nun yetkili destek personeli, Klinik'ten gelen teknik destek talepleri kapsamında, sınırlı ve denetlenebilir bir "destek modu" ile Klinik hesabına geçici olarak erişebilir. Bu erişim:

• En fazla 30 dakika ile sınırlıdır ve süre sonunda otomatik olarak sona erer,
• Varsayılan olarak yalnızca salt-okunur (read-only) niteliktedir,
• Yazma yetkisi ve sağlık verisine erişim, birbirinden ayrı ve ek onay gerektiren adımlarla açılabilir; sağlık verisi tablolarına yazma erişimi hiçbir koşulda tanınmaz,
• Loglanır ve denetim izine tabidir.

Destek modunda danışan iletişimi (4 Ekim 2026 itibarıyla): Corenta destek (süper-admin) oturumunda danışanın e-posta ve telefon bilgisi destek personeline gösterilmez; destek personeli yalnızca sınırlı kimlik özetini (ad, hesap durumu, aktiflik, oluşturma tarihi) görebilir.

B.8. Kişisel Verilerin Saklanma Süresi ve Veri Sahibi Haklarının Uygulanma Şekli

Kişisel veriler, ilgili amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen yasal saklama süreleri boyunca saklanır. Aşağıdaki haklar, KVKK m.11 uyarınca öncelikle Veri Sorumlusu sıfatındaki Klinik'e karşı kullanılır. Teta Studio, Veri İşleyen sıfatıyla, Klinik'in talebi doğrultusunda bu hakların teknik olarak yerine getirilmesini sağlar. Platform içinde sunulan somut mekanizmalar şunlardır:

a) Silme Hakkı: Hesap silme (4 Ekim 2026 itibarıyla): Silme talebi onaylandığında hesaba erişim hemen kesilir (oturumlar sonlandırılır, giriş yapılamaz); kişisel veriler silinir veya anonimleştirilir (ad, e-posta, telefon, görsel ile danışan kimlik/iletişim bilgileri ve sağlık alanları — kan grubu, alerji, kronik durum, ilaç — temizlenir); yasal saklama gerektiren ödeme ve hakediş kayıtları silinmez; kişi bağı koparılarak, erişimi kısıtlanmış biçimde saklanır. Talep sonrası geri alma süresi bulunmaz; kimlik doğrulama kaydı ve dosyaların kalıcı silinmesi mevcut otuz günlük arka plan sürecinde tamamlanır.

Danışan kaydının silinmesi ve sağlık alanları (4 Ekim 2026 itibarıyla): Hesabı olmayan bir danışan kaydı işletme tarafından silindiğinde kayıt aktif listeden hemen kaldırılır; 30 gün sonunda kimlik ve iletişim bilgileriyle birlikte danışanın sağlık alanları da (kan grubu, alerji, kronik durum, ilaç) silinir/boşaltılır. Anamnez formları, ölçümler ve seans notlarının saklama kuralları bu hükümden etkilenmez.

Grup mesajları ve topluluk kayıtları (18 Ekim 2026 itibarıyla): Üye kendi grup mesajını istediği zaman silebilir; silinen mesajın metni kayıttan kaldırılır. Hesap kalıcı olarak silindiğinde grup üyeliği, bağlı cihaz kayıtları ve uzmanın profil kartları silinir; meydan okuma katılımı danışan kaydına bağlıdır ve danışan kaydıyla aynı kurala tabidir; gruba önceden gönderilmiş mesajların metni ise gönderen bilgisi kaldırılarak grupta kalır. Bu nedenle mesajlarını kaldırmak isteyen kullanıcı, hesabını silmeden önce bunları tek tek silebilir. Ekip tarafından gizlenen bir mesajın metni ekip incelemesi için ayrı tutulur. Grup mesajlarının ve bu kopyanın saklama süreleri veri-saklama-imha-politikasi.md Bölüm 4, Sıra 12'dedir; kopya en çok 1 yıl saklanır. Grup, meydan okuma, rozet ve sadakat kayıtları bugün "Verimi İndir" dışa aktarımına dahil değildir; bu kayıtlar için bilgi talebi Klinik'e veya hello@corenta.app adresine yapılabilir.

Kullanıcı, uygulama içinden hesap silme talebinde bulunduğunda (delete_my_account işlevi), sistem iki aşamalı bir silme mimarisi uygular. Aşağıdaki özet, veri kategorisine göre uygulanan yöntemin (kalıcı silme mi, anonimleştirme mi) dürüst ve teknik olarak doğrulanmış bir açıklamasıdır; tam ayrıntı ve tablo için bkz. veri-saklama-imha-politikasi.md (özellikle Bölüm 4-6).

• Aşama 1 — talep anı: Hesaba erişim hemen kesilir (geri alma süresi yoktur); profil pasifleştirilir, kimlik ve sağlık alanları temizlenir, bekleyen randevular iptal edilir, atamalar kaldırılır, verilmiş rızalar geri çekilir.
• Aşama 2 — 30 gün sonra kalıcı işleme: Bu ilk aşamadan 30 gün sonra, yalnızca ayrıcalıklı (service-role) bir arka plan görevi (cron) tarafından, geri döndürülemez şekilde tetiklenen ve veri kategorisine göre iki farklı yöntemle uygulanan bir işlem gerçekleşir; bu işlem manuel/idari olarak tetiklenemez veya erken/geç ertelenemez:
• Kullanıcının kimlik doğrulama kaydı (auth.users) ve bağımsız iş/ispat değeri taşımayan kayıtlar (ör. bildirimler, notifications) kalıcı olarak silinir (DELETE/cascade).
• Sağlık verisi (anamnez formları, seans notları, ölçüm kayıtları) ile klinik/finansal kayıtlar (ödeme, yoklama) DELETE EDİLMEZ — KİŞİ BAĞI KOPARILARAK KISITLI SAKLANIR: kişi bağlantısı (client_id/specialist_id gibi) veritabanı seviyesinde koparılır (ON DELETE SET NULL); bazı serbest metin alanları (anamnez cevapları, ölçüm/ödeme notları, iade gerekçesi, fiş referansı) temizlenir veya bir işaretle değiştirilir. Seans notu serbest metni değiştirilmez; bu metinde ve tarih/ölçüm serisi gibi bilgilerde kişiyi yeniden tanımlamaya yetecek bilgi kalabileceğinden bu kayıtlar anonim kabul edilmez. Kayıtlar, Klinik'in kayıt tutma yükümlülüğü süresince erişimi kısıtlanmış biçimde saklanır ve süre sonunda imha edilir; seans notları için append-only ilkesi bu şekilde korunur.
• Rıza kayıtları (consent_logs) aynı şekilde DELETE edilmez; kişi bağlantısı koparılır ve IP adresi temizlenir, ancak rızanın verildiğinin/geri çekildiğinin ispatı amacıyla (tür, sürüm, zaman bilgisiyle) kişi bağı koparılmış bir kanıt kaydı olarak ayrıca 5 yıl daha saklanır (KVKK m.5/2-e — hakkın tesisi ve korunması; açık rızanın ispat yükü veri sorumlusundadır).
• Dosya ekleri: Kullanıcının avatar/profil fotoğrafı, anamnez eki ve ödeme dekontu görselleri (Storage'daki avatars, anamnesis-attachments, user-data-exports, payment-receipts bucket'ları), kalıcı silme adımının bir parçası olarak otomatik (best-effort) şekilde Storage'dan silinir — bir bucket'taki silme başarısız olursa loglanır, ancak diğer bucket'ların temizliğini veya hesabın işlenmesini engellemez. Dürüst sınır: Bu otomatik sürecin kapsamı dışında kalan tek dosya kategorisi, uzman/solo-kayıt sürecinde yüklenen kimlik/diploma doğrulama belgeleridir (specialist-verification-docs bucket'ı) — bu belgeler teknik olarak kullanıcıya değil tenant'ın (Klinik'in) doğrulama sürecine bağlıdır ve şu an otomatik silme kapsamına dâhil değildir; imhası Klinik'in tenant düzeyinde hesabını/aboneliğini kapatması sürecinde ayrıca ele alınacaktır, bu tamamlanana kadar istisnai taleplerde hello@corenta.app üzerinden manuel değerlendirme yapılır.
• Yukarıdaki işlemlerin hiçbiri normal ürün arayüzleri üzerinden (idari personel dâhil) manuel olarak tetiklenemez veya durdurulamaz — bu, yanlışlıkla veya kötüye kullanım yoluyla erken/gecikmeli silmeyi önlemek amacıyla bilinçli bir güvenlik tasarımıdır.
• Bu nedenle işbu Metin'de "hesap silindiğinde tüm veriler istisnasız ve fiziksel olarak yok edilir" yönünde mutlak bir taahhütte bulunulmamaktadır: kimlik doğrulama kaydı ve bağımsız iş değeri taşımayan kayıtlar kalıcı olarak silinirken, sağlık/klinik/finansal kayıtlar ile rıza kayıtları Klinik'in kayıt tutma yükümlülüğü gereği (KVKK m.7/2 uyarınca diğer kanunlardaki saklama hükümleri saklıdır) kişi bağı koparılarak ve erişimi kısıtlanarak (yukarıda açıklanan sürelerle) saklanmaya devam eder; bu kayıtlar anonim değildir; yedeklerdeki teknik kalıntı için ayrıca bkz. veri-saklama-imha-politikasi.md Bölüm 6.3.
• Başvuru kanalları: Hesap silme talebi, en güvenilir ve doğrudan sonuç veren yöntem olarak uygulama içindeki self-servis "hesabımı sil" işlevi üzerinden yapılabilir; bu durumda söz konusu işlev kullanıcı tarafından doğrudan tetiklenir ve yukarıda açıklanan iki aşamalı süreç otomatik olarak işler (bu, Teta Studio'ya yöneltilen bir başvuru/talep değil, kullanıcının kendi başlattığı otomatik bir sistem işlevidir). Kullanıcı, uygulama içi işlevi herhangi bir sebeple kullanamıyorsa, talebini alternatif olarak Klinik'e veya hello@corenta.app adresine de iletebilir; bu durumda talep, makul bir sürede değerlendirilerek işleme alınır ve gerekli görüldüğü ölçüde aynı silme sürecinin başlatılması sağlanır. Bu istisna, aşağıdaki B.9'da açıklanan genel başvuru kuralının ("önce Klinik'e başvurulmalıdır") bir istisnasıdır ve yalnızca uygulama içi self-servis işlevin kullanıcı tarafından doğrudan tetiklenebilir olmasından kaynaklanır.

b) Bilgi Talep Etme / Veri Taşınabilirliği: Platform, kullanıcının kendisine ait verileri dışa aktarabileceği bir işlev (export_user_data) sunmaktadır. Bu işlev, çok kiracılı yapıya uygun biçimde yalnızca ilgili kullanıcının kendi kiracı (tenant) kapsamındaki verilerini içerir. Veriler makul bir sürede, yapılandırılmış ve makine tarafından okunabilir bir formatta (JSON) sunulur. Dosya hazırlanabildiğinde veriler ayrıca ZIP olarak hazırlanır ve 7 gün geçerli kişisel (imzalı) bir bağlantıyla verilir; ZIP hazırlanamazsa yalnız JSON çıktısı verilir.

c) Düzeltme Hakkı: Kullanıcı bilgilerinin güncellenmesi, Klinik yönetici panelinden teknik olarak mümkündür. Platform içinde ayrıca otomatikleştirilmiş, bağımsız bir "düzeltme talebi" iş akışı bulunmamaktadır; düzeltme talepleri KVKK m.11 kapsamındaki genel haklar çerçevesinde Klinik'e veya hello@corenta.app adresi üzerinden Teta Studio'ya iletilebilir.

d) Rızanın Geri Çekilmesi: Aydınlatma metninin okunduğu bildirimi bir rıza değildir; geri çekilecek bir izin oluşturmaz. Kullanıcı sağlık verisi rızasını ve klinik kampanya bildirimi iznini mobil uygulama üzerinden dilediği zaman geri çekebilir. Sağlık verisi rızasının geri çekilmesi randevu ve hesap kullanımını etkilemez; geri çekme sonrasında yeni sağlık verisi kaydedilmez, önceki kayıtlar B.8/a'daki kurallara göre saklanır.

e) Diğer m.11 Hakları: İşlenip işlenmediğini öğrenme, işleme amacına uygunluğu öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlemenin düzeltilmesini isteme, kanuna aykırı işleme sebebiyle zararın giderilmesini talep etme hakları, öncelikle Klinik'e karşı kullanılır; A.8'de sayılan çerçeveyle aynı içeriktedir.

B.9. Başvuru Yöntemi

Klinik danışanları ve klinik personeli, KVKK kapsamındaki taleplerini öncelikle kendi Klinik'lerine yöneltmelidir; Klinik, Veri Sorumlusu sıfatıyla bu talepleri KVKK m.13 usulüne uygun şekilde ve en geç otuz (30) gün içinde yanıtlamakla yükümlüdür. İstisna: Hesap silme (bkz. B.8/a) gibi uygulama içi self-servis mekanizmalar, kullanıcı tarafından doğrudan ve Klinik'in ayrıca aracılığına gerek kalmaksızın kullanılabilir; bunun dışındaki KVKK m.11 taleplerinde öncelikle Klinik'e başvurulması esastır.

Teta Studio'ya doğrudan iletilmek istenen teknik nitelikli talepler (ör. hesap silme, veri dışa aktarma işlevinin çalışmaması gibi) veya Teta Studio'nun bizzat veri işleyen sıfatıyla yürüttüğü faaliyetlere ilişkin sorular için hello@corenta.app adresinden iletişime geçilebilir. Teta Studio, kendisine ulaşan ve ilgili Klinik'in bilgisi/talimatı gerektiren başvuruları, DPA kapsamında Klinik'e yönlendirebilir.

B.10. Klinik'in Yükümlülükleri

Corenta'yı kullanan her Klinik, KVKK m.3/ı uyarınca Veri Sorumlusu sıfatını haiz olduğunu ve aşağıdaki yükümlülüklerin münhasıran kendisine ait olduğunu kabul eder:

• Kendi Danışan ve Kullanıcılarına yönelik KVKK Aydınlatma Metni'nin hazırlanması/sunulması (Corenta mobil uygulamasındaki hazır, ortak aydınlatma ekranı ve isteğe bağlı rıza ekranları bu amaçla teknik bir araç olarak sunulur, ancak içeriğin Klinik'in kendi faaliyetine uygunluğunun sağlanması Klinik'in sorumluluğundadır; Klinik gerekli görürse bkz. B.1 uyarınca kendi ek aydınlatma sürecini ayrıca yürütebilir),
• Sağlık verisi işlenmesi için dayanılacak hukuki sebebin (m.6/3-a isteğe bağlı açık rıza ya da m.6/3-e) belirlenmesi; açık rıza gerekiyorsa usulüne uygun alınması ve hizmet şartı yapılmaması,
• Kendi kimlik bilgilerinin (unvan, adres, KVKK başvuru iletişimi) danışanlara bildirilmesi (uygulama içi ortak metin bu bilgileri bugün otomatik olarak içermez),
• Ana faaliyeti sağlık verisi işleme olan veri sorumluları için VERBİS istisna eşiği yıllık 10 çalışan ve 10 milyon TL bilançodur (Kurul 2025/1572); kendi VERBİS yükümlülüğünün değerlendirilmesi,
• Veri sahibi başvurularının KVKK m.13'te öngörülen sürelerde cevaplandırılması,
• Kendi personeli ve alt yüklenicileri bakımından veri güvenliğinin sağlanması,
• Corenta ile aralarındaki Veri İşleme Sözleşmesi/Hizmet Şartları'nda öngörülen yükümlülüklere uyulması.

Teta Studio, Klinik'in yukarıdaki yükümlülüklerini yerine getirmemesinden doğan sorumluluğu üstlenmez.

BÖLÜM C — CORENTA HESAP VE PLATFORM AYDINLATMASI (Teta Studio veri sorumlusu)

Bu bölüm, Teta Studio'nun kendi adına ve kendi amaçlarıyla yürüttüğü işlemeleri açıklar. Bu faaliyetlerde Teta Studio, KVKK m.3/1-ı uyarınca veri sorumlusudur. Bu metin klinik sahibi/çalışan hesabı açılırken ve danışan Keşfet/değerlendirme özelliğini ilk kullandığında gösterilir. Aşağıdaki stüdyolar arası özellikler (lig, davet, Kurucu Stüdyo, Corenta Lab, Keşfet v2) birden fazla kliniği bir araya getirdiği ve amacı Teta Studio tarafından belirlendiği için bu bölümde yer alır. Stüdyo adına işlenen bilgiler tüzel kişi işletmelerde kişisel veri değildir; şahıs işletmesi olarak çalışan stüdyolarda ve tek kişilik stüdyolarda kişiyle ilişkilendirilebileceği için burada açıklanır.

C.1. Veri Sorumlusu

Mertcan Demir — "Teta Studio" işletme adıyla şahıs işletmesi (kimlik ve iletişim bilgileri: A.1). Başvurular: hello@corenta.app.

C.2. İşlemeler, Amaçlar ve Hukuki Sebepler

Keşfet ve değerlendirme daveti: Değerlendirme daveti, kliniğin Keşfet özelliğini açması hâlinde, tamamlanan randevu bilgisine dayanarak gönderilir. Klinik bu bilginin yalnız davet göndermek ve doğrulanmış yorumu yayımlamak amacıyla Teta Studio'ya aktarılmasına Veri İşleme Sözleşmesi ile talimat verir; Keşfet kapalı olan klinikte davet gönderilmez. Yayımlanan bir değerlendirme, bir sağlık/egzersiz işletmesinden hizmet aldığınızı herkese açık olarak gösterebilir; yayımlamadan önce bunu dikkate alınız.

Takma adlı ölçüm: Ölçüm klinik takma kimliğiyle yapılır; bu kimlik takma ad niteliğindedir ve tek kişilik bir işletmede kişiyle ilişkilendirilebilir. IP adresi, sağlık verisi ve kaynak/reklam izleme içermez. Özellik şu an kapalıdır; açılmadan önce bu metin güncellenir.

Topluluk ve büyüme özelliklerinde görünürlük: Lig, Kurucu Stüdyolar listesi, Corenta Lab ve Keşfet'te başka kullanıcılara gösterilen bilgiler yalnız yukarıdaki tabloda yazılanlardır. Bu özelliklerde danışan sağlık verisi işlenmez (ayrıntı: B.3-A). Stüdyo daveti, Kurucu Stüdyo ve Lab'de nakit ödül veya fiyat indirimi verilmez; ödüller 7 günlük Boost, deneme süresi ve kredi gibi uygulama içi haklardır.

C.3. Alıcılar ve Yurt Dışına Aktarım

Supabase (barındırma; Almanya/Frankfurt), Vercel (web paneli), Google (Google Workspace e-posta, Firebase Cloud Messaging, Google Play) ve Apple (APNs, App Store). Bu sağlayıcılara aktarım yurt dışına aktarımdır; dayanağı ve bugünkü durumu B.5'teki "Yurt dışına aktarım" paragrafında açıklanmıştır (Corenta'nın veri sorumlusu olduğu bu akışlar için Modül 2 — veri sorumlusundan veri işleyene — standart sözleşmesi kullanılacaktır; bu metnin tarihi itibarıyla henüz imzalanmamıştır).

C.4. Ticari Elektronik İleti

Teta Studio, tanıtım ve kampanya e-postasını yalnız ayrıca ve işaretsiz bir kutuyla onay vermişseniz gönderir. Teta Studio İleti Yönetim Sistemi'ne (İYS) kaydolmadan tanıtım e-postası göndermez; kayıttan sonra onaylar 3 iş günü içinde İYS'ye yüklenir. Her tanıtım iletisinde gönderenin kimliği, iletişim bilgisi ve ücretsiz ret bağlantısı bulunur. Deneme süreci, ekip daveti ve destek e-postaları hizmet iletisidir; tanıtım öğesi içermezler.

C.5. Saklama, Haklar ve Başvuru

Saklama süreleri veri-saklama-imha-politikasi.md'dedir. 18 Ekim 2026'da eklenen kayıtlardan deneme tekrarı özetleri, lig, davet, Kurucu Stüdyo ve Lab kayıtları ilgili stüdyo hesabı kalıcı silinene kadar; cihaz kayıtları kullanıcı hesabı kalıcı silinene kadar tutulur. Bu kayıtlar için ayrı bir azami süre henüz tanımlanmamıştır ve saklama politikasına eklenecektir. KVKK m.11'deki haklarınızı (A.8) hello@corenta.app adresine başvurarak kullanabilirsiniz; başvurular en geç 30 gün içinde ücretsiz yanıtlanır.

ORTAK HÜKÜMLER (Her İki Bölüm İçin Geçerli)

G.1. Otomatik Karar Verme ve Profilleme

Corenta reklam veya pazarlama amaçlı profilleme yapmaz. Ancak 18 Ekim 2026 itibarıyla aşağıdaki kurallar otomatik çalışır ve ilgili kişi veya stüdyo için sınırlı bir olumsuz sonuç doğurabilir:

Deneme tekrarı işareti otomatik karar değildir: eşleşme denemeyi engellemez, yalnız platform yöneticisinin incelemesine düşer. KVKK m.11/1-g uyarınca, verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz hakkınız saklıdır.

G.2. Aydınlatma Metninin Güncellenmesi

İşbu Aydınlatma Metni, mevzuat değişiklikleri, Kişisel Verileri Koruma Kurulu kararları, Platform'un işlevsel gelişimi veya alt-işleyen/hizmet sağlayıcı değişiklikleri doğrultusunda güncellenebilir. Güncel sürüm her zaman corenta.app/legal/kvkk-aydinlatma-metni ve uygulama içi belge ekranı üzerinden erişilebilir olacaktır. SaaS ürün bağlamında (Bölüm B), aydınlatma metninin sürümü değiştiğinde kullanıcıdan bir sonraki girişte yeni metni okuduğunu belirtmesi istenir; bu bir rıza değil, bilgilendirmenin ispatıdır (bkz. B.2).

G.3. Uygulanacak Mevzuat ve Yetki

İşbu Aydınlatma Metni; 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuat (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik; Veri Sorumluları Sicili Hakkında Yönetmelik; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ) çerçevesinde hazırlanmıştır. İşbu metnin yorumlanmasında ve uygulanmasında Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda Kişisel Verileri Koruma Kurulu ve yetkili Türk mahkemeleri/icra daireleri yetkilidir.

G.4. İletişim

Kişisel verilerin işlenmesine ilişkin her türlü soru, talep ve başvurunuz için:

• E-posta: hello@corenta.app
• Destek: support@corenta.app
• Hizmet alanı: Corenta, App Store ve Google Play üzerinden, bu mağazaların sunduğu ülkelerde küresel olarak sunulur. Bu metin 6698 sayılı Kanun kapsamındaki aydınlatmadır; AB/AEA'daki kişiler için ayrıca GDPR Beyanı uygulanır ve bulunduğunuz ülkenin zorunlu veri koruma hükümleri saklıdır.
• Kurumsal Web Sitesi: corenta.app

Yürürlük tarihi / Son güncelleme: 19 Ekim 2026 Sürüm: 2.3 · 19 Ekim 2026. Değişiklik günlüğü belge başındadır.