CORENTA – INFORMASJONSTEKST ETTER DEN TYRKISKE LOVEN OM VERN AV PERSONOPPLYSNINGER (KVKK)

Denne oversettelsen er kun ment som informasjon; den tyrkiske teksten er juridisk bindende.

Informasjonstekst i tre deler etter rollen som behandlingsansvarlig eller databehandler

Versjon: 2.3 · Ikrafttredelse / sist oppdatert: 19. oktober 2026 Behandlingsansvarlig / utgiver (del A og C): Mertcan Demir – enkeltpersonforetak under foretaksnavnet "Teta Studio"

Endringslogg

• 2.3 – 19. oktober 2026: Global rekkevidde er innarbeidet: formuleringen "kun Tyrkia" i G.4 er erstattet med tilbud i flere land via appbutikkene og en henvisning til GDPR-erklæringen for EU/EØS. Behandlingsaktivitetene og behandlingsgrunnlagene er uendret.
• 2.2 – 19. oktober 2026: Publisert versjon; ikrafttredelse 19. oktober 2026. De tomme opplysningene om MERSIS og KEP er fjernet fra identitetstabellen i A.1. Lagringstiden for gruppemeldinger i B.8/a er knyttet til Retningslinjer for lagring og kassering av personopplysninger.
• 2.1 – 18. oktober 2026: Funksjonene som ble lagt til 18. oktober 2026, er innarbeidet: klinikkgrupper, konkurranser i studioet, klientmerker og stempelkort, ukentlige utfordringer og månedlig resultatkort (del B); studioligaen og bykonkurranser, fagpersonens flyttbare profilkort, invitasjonskode fra studio til studio, programmet Grunnleggerstudio, Corenta Lab, Utforsk v2 (kort video, prøvetime, sponset plassering), markering av gjentatt prøveperiode, enhetstilknytning og "Mine økter", delvis refusjon via appbutikken og Apples forespørsel om bruksopplysninger (del C). Hvordan helseopplysninger håndteres i grupper, ligaen, konkurranser og profilkortet, er beskrevet i et eget avsnitt (B.3-A). G.1 er rettet: de tre reglene som gir automatiske resultater som påvirker en person (kontroll med misbruk av invitasjoner, skjuling av en gruppemelding etter tre rapporter, utelukkelse fra ligaen), er beskrevet uttrykkelig. Tillatelsene i mobilappen er rettet i tråd med koden (det bes ikke om kameratillatelse). Funksjoner som er slått av (delingsverifisering, etterspørselssignal, Boost-garanti, enhetsverifisering, Turnstile, Sentry), er ikke beskrevet i teksten; før de aktiveres, kreves en egen oppdatering av teksten.
• 2.0 – 11. oktober 2026: I henhold til samsvarsgjennomgangen 11. oktober 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): avsnittene om overføring til utlandet ble skrevet om i samsvar med artikkel 9 i lov nr. 6698 slik den lyder etter 2024 (Supabase/Frankfurt er også en overføring til utlandet; standardavtalene er ennå ikke inngått); informasjon og uttrykkelig samtykke ble skilt (informasjonen er ikke en "godkjenning", men en bekreftelse "Lest og forstått"; den obligatoriske avkrysningsboksen for godkjenning i skjemaet for tidlig tilgang ble fjernet); samtykket til behandling av helseopplysninger ble beskrevet som frivillig; en ny Del C – Informasjon om Corenta-kontoer og plattformen ble lagt til for aktivitetene der Teta Studio er behandlingsansvarlig; identitetsopplysningene ble rettet til enkeltpersonforetak; vurderingen av VERBIS ble skrevet i tråd med Kuruls beslutninger fra 2025; varsel til klinikken ved sikkerhetsbrudd ble rettet til senest 24 timer; formuleringen om "anonym" lagring ble rettet til begrenset lagring med koblingen til personen brutt; sletting av vedlegg og eksportlenken ble samordnet til én formulering verifisert i koden; feilaktige henvisninger til regelverk ble rettet.
• 1.6 – 10. oktober 2026: Expo (Expo Push Notification Service) ble fjernet fra oversikten over underdatabehandlere/databehandlere; pushvarsler sendes bare via Apple (APNs) og Google (FCM), Expo/EAS er kun et verktøy for å bygge appen og behandler ingen sluttbrukeropplysninger.
• 1.5 – 10. oktober 2026: Formuleringen om valg av Google Analytics ble fjernet; det ble tydeliggjort at det ikke brukes analyse fra tredjeparter, og hvilke databehandlere som håndterer pushvarsler.
• 1.4 – 4. oktober 2026: Den eksisterende teksten ble fastsatt som godkjent versjon. I denne versjonen ble bare følgende innarbeidet: markeringen av Teta Studios foretaksnavn; markedet (Tyrkia); sletting av konto (tilgangen stenges umiddelbart, personopplysninger slettes/anonymiseres, betalingsregistreringer som må oppbevares etter lov, lagres uten identitet); sletting av klientens helsefelt etter 30 dager; fristen på 7 dager for kvitteringer uten tilknytning; at klientens kontaktopplysninger forblir skjult i støttemodus; måling uten identitet på serversiden; tjeneste-e-post og Google Workspace; databehandlere for pushvarsler; adressen til brukerstøtte (support@corenta.app); retten til å skrive i helsefelt.
• 1.3 – 4. august 2026: Avsnittene B.6 og B.8/a ble samordnet med retningslinjene for lagring og kassering.

0. Om denne teksten – omfang og leseveiledning

Denne informasjonsteksten etter loven om vern av personopplysninger ("Informasjonsteksten") er utarbeidet i samsvar med artikkel 10 i lov nr. 6698 om vern av personopplysninger ("KVKK" eller "loven") og kunngjøringen om fremgangsmåter og prinsipper for oppfyllelse av informasjonsplikten, for å informere de registrerte om behandlingen av personopplysninger i forbindelse med programvareproduktet (SaaS) Corenta ("Corenta", "produktet" eller "plattformen"), som utvikles og drives av Mertcan Demir ("Teta Studio", "vi"), enkeltpersonforetak som driver virksomhet under foretaksnavnet "Teta Studio", og nettstedet corenta.app, der produktet presenteres.

Corenta er en mobiltilpasset programvareplattform for flere leietakere (multi-tenant) som leveres som tjeneste (Software-as-a-Service) til mindre helse- og velværevirksomheter som sentre for klinisk pilates, fysioterapi, reformer, velvære/massasje og yoga, og som tilbyr administrasjon av timer, oppfølging av pakker/økter, klienters anamnese og øktnotater samt oppfølging av opptjent honorar og finansielle transaksjoner.

0.1 Definisjoner

0.2 To ulike sammenhenger – hvorfor det er viktig

I Corentas økosystem behandles personopplysninger i tre ulike sammenhenger og i to ulike roller: Del A (informasjonsnettstedet; Teta Studio er behandlingsansvarlig), del B (klinikkens registre; Teta Studio er databehandler) og del C (Corenta-kontoen, abonnement, tjeneste-e-post, Utforsk/vurderinger, vekstfunksjoner mellom studioer – liga, invitasjon, Grunnleggerstudio, Corenta Lab, flyttbart profilkort –, konto- og enhetssikkerhet og produktmåling; Teta Studio er behandlingsansvarlig). En klar forståelse av dette skillet er avgjørende for at informasjonsteksten skal kunne tolkes riktig, og de to sammenhengene må under ingen omstendighet blandes sammen:

Helseopplysninger om en klinikkklient som oppstår i Corenta-appen, og opplysninger om en virksomhetseier som fyller ut skjemaet for tidlig tilgang på corenta.app, er rettslig underlagt helt ulike regelverk. Avsnittene nedenfor er bygd opp etter dette skillet.

DEL A – VIRKSOMHETENS NETTSTED OG SKJEMA FOR TIDLIG TILGANG (corenta.app)

Denne delen gjelder fysiske personer som besøker nettstedet corenta.app, samhandler med nettstedet og/eller fyller ut søknadsskjemaet for tidlig tilgang. I denne sammenhengen opptrer Teta Studio som behandlingsansvarlig etter KVKK art. 3/ı og fastsetter selv formålene med og midlene for behandlingen av personopplysninger.

A.1. Den behandlingsansvarliges identitet

A.2. Kategorier av personopplysninger som behandles

Ved besøk på nettstedet corenta.app, utfylling av skjemaet for tidlig tilgang, innsending av kontaktskjemaet eller forespørsel om demo/salgsmøte kan følgende kategorier av personopplysninger behandles:

(*) Forklaring til merknaden om informasjonskapsler: Per datoen for offentliggjøringen av denne teksten finnes det på nettstedet corenta.app ikke noe aktivt banner/administrasjonsgrensesnitt for informasjonskapsler eller noen infrastruktur for informasjonskapsler fra tredjeparter; IP-adresse/enhets-/nettleseropplysninger som nevnes på linjen ovenfor, behandles i begrenset omfang bare innenfor rammen av grunnleggende serverlogger og skjemasikkerhet, uten bruk av noen aktiv teknologi for informasjonskapsler. Selv om det i systeminfrastrukturen er definert en samtykkekategori for informasjonskapsler (cookies) teknisk, brukes denne kategorien i praksis ikke for øyeblikket. Dersom informasjonskapsler tas i bruk, vil denne informasjonsteksten og egne retningslinjer for informasjonskapsler bli oppdatert, og nødvendige samtykkemekanismer vil bli innført. Særlige kategorier av personopplysninger behandles ikke i denne sammenhengen.

Disse opplysningene innhentes bare ved at den registrerte av egen vilje fyller ut skjemaet eller tar kontakt, eller automatisk som følge av nettstedets tekniske funksjon (f.eks. IP-adresse).

A.3. Formål med behandlingen av personopplysninger og behandlingsgrunnlag

Tabellen nedenfor viser hvert behandlingsformål sammen med hvilket av behandlingsgrunnlagene i KVKK art. 5/2 det bygger på:

Viktig: Markedsføringskommunikasjon etter punkt 7 bygger bare på samtykke som den registrerte særskilt og uttrykkelig har gitt for dette formålet; samtykket er ikke et obligatorisk vilkår for søknaden om tidlig tilgang og kan alltid trekkes tilbake (se A.8).

A.4. Metode for innsamling av personopplysninger

Personopplysninger samles inn elektronisk ved utfylling av skjemaene for tidlig tilgang/kontakt på nettstedet corenta.app, ved direkte kontakt via e-post, i demo-/salgsmøter og automatisk av nettstedets tekniske infrastruktur (IP-adresse osv.).

A.5. Overføring av personopplysninger

Personopplysningene dine kan i begrenset omfang deles med leverandører som yter tekniske tjenester som drift (hosting), skjemainnsamling, e-postutsendelse, analyse og sikkerhet, for å levere disse tjenestene og innenfor vilkårene i artikkel 8 og 9 i KVKK. Slik deling skjer bare i den grad det er nødvendig for å levere den aktuelle tjenesten, og begrenset til dette formålet.

Kjente infrastrukturleverandører som brukes i denne sammenhengen:

Merknad – infrastrukturen der skjemadata lagres: Per datoen da denne teksten ble utarbeidet, er det ikke teknisk bekreftet om opplysningene fra skjemaet for tidlig tilgang/kontakt til slutt bare lagres i Framers egen skjemainfrastruktur, eller om de også overføres til Corentas Supabase-baserte database (se del B, B.5 – Supabase, Frankfurt/Tyskland). Etter hvert som dette bekreftes, vil denne tabellen bli oppdatert, om nødvendig med en linje for Supabase; under alle omstendigheter behandles skjemadataene dine bare for formålene som er beskrevet i denne del A, og i samsvar med KVKK.

Utover disse delingene blir personopplysningene dine ikke solgt, utleid eller overdratt til tredjeparter for markedsføringsformål. Tilfeller av rettslig tvang (rettsavgjørelse, forespørsel fra kompetent offentlig myndighet osv.) er unntak fra denne regelen.

Overføring til utlandet: Framer og Google Workspace behandler opplysninger utenfor Tyrkia; dette er en overføring til utlandet i lov nr. 6698s forstand. Fordi disse overføringene er regelmessige og løpende, bygger de ikke på uttrykkelig samtykke; de vil bygge på ett av behandlingsvilkårene i artikkel 5 i KVKK og, i henhold til art. 9/4-c, på standardavtalene som er kunngjort av Rådet for vern av personopplysninger (Kişisel Verileri Koruma Kurulu, "Kurul"). Per datoen for denne teksten er standardavtalene ennå ikke inngått med leverandørene og ikke meldt til Kurul. Hver avtale vil bli meldt til Kurul innen 5 virkedager etter signering, og dette avsnittet vil bli oppdatert med en oversikt over leverandører og datoer. Kurul har ikke kunngjort noen beslutning om tilstrekkelig beskyttelsesnivå for disse landene (sist kontrollert: 11. oktober 2026).

A.6. Lagringstid

Personopplysningene dine lagres så lenge det aktuelle behandlingsformålet krever, og under alle omstendigheter med forbehold om foreldelsesfristene som følger av gjeldende regelverk:

• Søknader om tidlig tilgang: Høyst 2 år fra søknaden er vurdert og kontaktprosessen er avsluttet; dersom det ikke tas kontakt eller prosessen avsluttes innenfor denne tiden, slettes/anonymiseres opplysningene tidligere. Åpenhetsmerknad: Per datoen da denne teksten ble utarbeidet, finnes det ingen automatisk fungerende gjennomgangs-/slettemekanisme i systemet som tilsvarer denne maksimale tiden; tiden er en rettslig øvre grense, og sletting/anonymisering skjer foreløpig manuelt/på forespørsel.
• Kontaktregistreringer: Til formålet med kontakten er oppfylt.
• Analyse-/tekniske loggdata: Så lenge standard/tillatt lagringstid for det brukte verktøyet/infrastrukturen tilsier.
• Registreringer om rettstvister og forpliktelser: I den minste tiden som følger av gjeldende regelverk.

Når lagringstiden er ute, blir personopplysningene slettet, tilintetgjort eller anonymisert i henhold til KVKK art. 7 og forskriften om sletting, tilintetgjøring eller anonymisering av personopplysninger. For en detaljert tabell over lagringstider og kasseringsmetoder, se veri-saklama-imha-politikasi.md (avsnitt 4, rad 9).

A.7. Informasjon i skjemaet for tidlig tilgang og samtykke til kommersielle meldinger

Behandlingen av søknaden din bygger ikke på samtykke, men på behandlingsgrunnlagene i A.3. Derfor finnes det i skjemaet ingen avkrysningsboks for godkjenning av informasjonen; informasjon og samtykke holdes atskilt.

Informasjon (ingen avkrysningsboks): Rett over Send-knappen vises følgende tekst og en lenke til denne informasjonsteksten:

"Opplysningene dine behandles for å vurdere søknaden din og ta kontakt med deg (KVKK art. 5/2-c, f). Nærmere opplysninger: Informasjonstekst."

Frivillig samtykke til kommersielle meldinger (egen boks, som standard IKKE AVKRYSSET):

"Jeg samtykker i at Teta Studio sender meg nyheter og kampanjer om Corenta på e-post."

Om du ikke gir samtykke til kommersielle meldinger, påvirker det ikke vurderingen av søknaden. Teta Studio sender ikke markedsførings-e-post uten å være registrert i İleti Yönetim Sistemi (İYS); etter registreringen lastes samtykkene opp til İYS innen 3 virkedager. Samtykket kan trekkes tilbake via avmeldingslenken i hver melding.

A.8. Den registrertes rettigheter (KVKK art. 11) og hvordan de brukes

I henhold til artikkel 11 i KVKK har hver registrert hvis personopplysninger behandles, ved å henvende seg til den behandlingsansvarlige, rett til å:

a) få vite om personopplysninger behandles, b) dersom personopplysninger er behandlet, be om informasjon om dette, c) få vite formålet med behandlingen av personopplysningene og om de brukes i samsvar med dette formålet, ç) kjenne til tredjepartene i Tyrkia eller i utlandet som personopplysningene er overført til, d) kreve retting av personopplysningene dersom de er behandlet ufullstendig eller feilaktig, e) kreve sletting eller tilintetgjøring av personopplysningene innenfor vilkårene i KVKK art. 7, f) kreve at tiltak som er gjennomført etter bokstav (d) og (e), meldes til tredjepartene som personopplysningene er overført til, g) protestere mot et resultat til ugunst for personen som oppstår ved at de behandlede opplysningene analyseres utelukkende ved hjelp av automatiserte systemer, ğ) kreve erstatning for skade dersom personen har lidt skade som følge av at personopplysningene er behandlet i strid med loven.

I tillegg kan et samtykke som er gitt for behandling som bygger på samtykke (kommersielle elektroniske meldinger), uavhengig av de generelle rettighetene etter KVKK art. 11, trekkes tilbake når som helst og uten begrunnelse. Tilbaketrekking av samtykket påvirker ikke lovligheten av behandlingen før tilbaketrekkingen.

Slik sender du en forespørsel: For å bruke rettighetene ovenfor kan du sende forespørselen din skriftlig til hello@corenta.app sammen med opplysningene som er nødvendige for å fastslå identiteten din, på den måten som er fastsatt i artikkel 13 i KVKK og kunngjøringen om fremgangsmåter og prinsipper for henvendelser til den behandlingsansvarlige. Forespørslene dine behandles, avhengig av art, innen høyst 30 (tretti) dager og kostnadsfritt med metoder som ikke medfører ekstra kostnader; dersom tiltaket medfører ekstra kostnader, kan det kreves et gebyr etter satsene fastsatt av Rådet for vern av personopplysninger.

DEL B – KLINIKKENES BRUK AV SaaS-PRODUKTET CORENTA

Denne delen gjelder klinikkens ansatte (administrator, fagperson/instruktør, resepsjon osv.) som bruker Corenta via et senter for klinisk pilates, fysioterapi, reformer, velvære/massasje eller yoga ("klinikken"), samt disse klinikkenes klienter/pasienter.

B.1. Det rettslige grunnlaget for rollefordelingen – les nøye

Klinikken som kjøper Corenta og tar det i bruk, er "behandlingsansvarlig" etter KVKK art. 3/ı for personopplysninger om sine egne klienter/pasienter og sine egne ansatte. Plikten til å informere klienter/pasienter og ansatte etter KVKK og ved behov innhente uttrykkelige samtykker (særlig samtykke til behandling av særlige kategorier av personopplysninger i form av helseopplysninger) er primært og endelig klinikkens ansvar.

Teta Studio (Corenta) er bare databehandler etter KVKK art. 3/ğ. Teta Studio behandler disse opplysningene i samsvar med klinikkens instrukser og på vegne av klinikken, utelukkende ved å stille plattformens tekniske infrastruktur til rådighet; Teta Studio fastsetter ingen selvstendige behandlingsformål for egen regning og behandler ikke opplysningene utenfor klinikkens instrukser for egne kommersielle formål (reklame, salg til tredjeparter osv.). Behandlingene som Teta Studio utfører for egne formål (klinikkens brukerkontoer, abonnement, tjeneste-e-post, invitasjon til Utforsk/vurderinger og vurderinger, sikkerhet og pseudonymisert produktmåling), omfattes ikke av denne del B, men av del C; i disse aktivitetene er Teta Studio behandlingsansvarlig.

Produktet Corenta tilbyr verktøy som teknisk gjør det enklere for klinikken å oppfylle disse pliktene (samtykkeskjerm i mobilappen, versjonerte samtykkeregistreringer, mekanisme for tilbaketrekking osv. – se B.2). At disse verktøyene finnes, betyr ikke at klinikken har overført sine rettslige plikter som behandlingsansvarlig til Teta Studio, eller at Teta Studio har påtatt seg disse pliktene.

Forholdet mellom klinikken og Teta Studio som databehandler reguleres av en egen databehandleravtale (Data Processing Agreement/DPA); avtalen beskriver nærmere opplysningskategoriene som skal behandles, behandlingsformålene, sikkerhetstiltakene, bruken av underdatabehandlere og partenes plikter etter KVKK art. 12.

Denne del B erstatter ikke og er ikke en erstatning for informasjonsteksten som klinikken skal gi sine egne klienter/ansatte. Formålet med denne delen er å redegjøre åpent for hvilke opplysninger Teta Studio som databehandler behandler på plattformen og for hvilke formål, og å gi et rammeverk som klinikken kan bruke som referanse når den utarbeider sin egen informasjonstekst. Dersom klinikken ikke anser den felles/sentrale informasjonsskjermen og de frivillige samtykkeskjermene i Corentas mobilapp (se B.2) som tilstrekkelige, kan den med egne midler (skriftlig tekst, e-post, informasjon ansikt til ansikt osv.) gjennomføre en egen supplerende informasjonsprosess for sine klienter og ansatte; dette ligger innenfor klinikkens eget rettslige ansvar.

B.2. Informasjon og samtykkemekanisme på plattformen (til informasjon)

I Corentas mobilapp finnes det ved første gangs bruk (onboarding) en skjerm (kvkk.tsx) som er utarbeidet av Teta Studio og vises felles for alle klinikkers klienter/brukere. I tråd med Kuruls prinsippvedtak nr. 2026/347 vises informasjon og samtykke i separate trinn:

Registreringene lagres versjonert i tabellen consent_logs. Teknisk merknad: visningen av informasjonen registreres i dag i denne tabellen med typen kvkk; denne registreringen er ikke et samtykke, men en bekreftelse på at informasjonen er vist og lest. Operativsystemets ene varslingstillatelse brukes til levering av både transaksjons- og kampanjevarsler; kampanjevarsler skal bare sendes dersom samtykke 2b er gitt.

Denne skjermen og disse tekstene er ikke tilpasset den enkelte klinikk, men tilbys som en felles versjon for hele plattformen; klinikkens identitetsopplysninger (foretaksnavn, adresse, kontaktopplysninger for henvendelser) legges i dag ikke automatisk inn i teksten. Når versjonen av informasjonsteksten endres, blir brukeren ved neste innlogging bedt om å bekrefte at den nye teksten er lest (heller ikke dette er et samtykke). Samtykket til behandling av helseopplysninger og samtykket til kampanjer kan trekkes tilbake når som helst (følges opp med feltet revoked_at); tilbaketrekking av samtykket til behandling av helseopplysninger påvirker ikke bruken av timer og kontoen.

Dersom klinikken som helsepersonell med taushetsplikt (f.eks. fysioterapeut) behandler helseopplysninger i behandlingsøyemed med grunnlag i KVKK art. 6/3-e, kan det være tilstrekkelig med bare informasjon i stedet for en skjerm for uttrykkelig samtykke; andre virksomheter (f.eks. pilates-/velværestudioer) kan bare behandle helseopplysninger med grunnlag i frivillig uttrykkelig samtykke etter art. 6/3-a. Hvilket behandlingsgrunnlag som skal brukes, og om informasjonens innhold passer for den egne virksomheten, er klinikkens ansvar.

B.3. Opplysningskategorier som Teta Studio behandler som databehandler

Som følge av plattformens tekniske funksjon behandles følgende opplysningskategorier i samsvar med klinikkens instrukser:

Rett til å skrive i helsefelt (per 4. oktober 2026): Klientens helsefelt (blodtype, allergier, kroniske tilstander, legemidler) kan bare fylles ut av klienten selv og fagpersonen som er tildelt; virksomhetens eier/administrator kan ikke skrive i disse feltene (men kan redigere kontaktperson i nødstilfeller og identitetsfelt).

Pseudonymisert produktmåling: I denne aktiviteten er Teta Studio behandlingsansvarlig, og nærmere opplysninger finnes i del C. Målingen gjøres med klinikkens pseudonym-ID; denne ID-en er et pseudonym (ikke identitetsløs). Funksjonen er for øyeblikket slått av.

Kvitteringsfiler (per 4. oktober 2026): Kvitteringsfiler som ikke er knyttet til en betaling (uten tilknytning), slettes automatisk etter 7 dager; en kvittering som er knyttet til en betaling, kan ikke slettes av noen rolle.

Klarhet om tillatelser i mobilappen (per 18. oktober 2026): Corentas mobilapp ber på operativsystemnivå bare om tillatelse til varsler (spørres om i sin sammenheng) og på iOS tilgang til bildebiblioteket (i det øyeblikket et profilbilde, et vedlegg til anamnesen, en betalingskvittering, et bilde til en kunngjøring eller en studiovideo velges); dersom applåsen er aktivert, brukes enhetens Face ID-/fingeravtrykksverifisering lokalt på enheten, og ingen biometriske opplysninger overføres til Corenta. På Android er tillatelsene for kamera og mikrofon bevisst fjernet fra appens manifest. Appen ber ikke om tillatelse til kamera, mikrofon, posisjon, kontakter (contacts) eller kalender, eller om tilgang til HealthKit/helsesensorer. Kartet i Utforsk bruker ikke enhetens posisjon; søket gjøres bare ut fra provinsen/distriktet eller kartområdet brukeren velger.

Særlige kategorier av personopplysninger (helseopplysninger) kan etter KVKK art. 6 bare behandles med uttrykkelig samtykke eller i unntakstilfeller som er fastsatt i lov (når behandlingen utføres av personer med taushetsplikt for vern av folkehelsen, forebyggende helsearbeid, medisinsk diagnose/behandling, planlegging og finansiering av helsetjenester osv.). I Corentas økosystem føres disse opplysningene inn av klinikkens autoriserte helse-/velværefagpersoner i samsvar med behandlingsgrunnlaget klinikken bygger på (frivillig uttrykkelig samtykke etter art. 6/3-a eller art. 6/3-e); Teta Studio lagrer/behandler disse opplysningene bare i samsvar med klinikkens instrukser og beskytter dem med forsterkede sikkerhetstiltak (se B.6).

Lagringstid og kasseringsmetode – kryssreferanse: Lagringstiden for hver av kategoriene ovenfor og metoden som brukes etter en forespørsel om sletting av konto (permanent sletting eller anonymisering), oppsummeres i B.8/a og beskrives med fullstendig tabell og begrunnelse i veri-saklama-imha-politikasi.md (avsnitt 4–6). Særlig for linjene Helseopplysninger, Transaksjons-/finansielle opplysninger og Registreringer av informasjon og samtykker gjelder: i trinnet for permanent sletting av kontoen blir disse postene ikke slettet med DELETE; koblingen til personen brytes, og enkelte fritekstfelt ryddes. Fordi fritekst i øktnotater ikke endres, anses disse postene ikke i alle tilfeller som anonyme; de lagres med begrenset tilgang (se B.8/a).

B.3-A. Fellesskaps- og vekstfunksjoner – forholdet til helseopplysninger (per 18. oktober 2026)

Helseopplysninger er særlige kategorier av personopplysninger i KVKK art. 6s forstand. Følgende funksjoner er ikke utformet for å behandle helseopplysninger; for hver av dem er det beskrevet særskilt hvordan helseopplysninger håndteres:

I klinikker som yter helsetjenester, som fysioterapi, kan det at en klient har deltatt i en time eller en gruppe, vise at personen mottar helsetjenester. Derfor er beslutningen om hvorvidt disse funksjonene skal brukes, og hvordan klientene skal informeres, klinikkens beslutning som behandlingsansvarlig. Klinikkgrupper (group_chats) og konkurranser (leagues) er separate moduler og er utformet slik at de kan slås av for hver klinikk.

B.4. Behandlingsformål og behandlingsgrunnlag

Behandlingsgrunnlagene i tabellen nedenfor kan, avhengig av opplysningenes art, ha to ulike betydninger: (i) behandlingsgrunnlaget som klinikken (som behandlingsansvarlig) bygger på overfor sine klienter/ansatte, eller (ii) behandlingsgrunnlaget som gjelder for Teta Studios egne selvstendige aktiviteter (som plattformens sikkerhet, fakturering og rettslige forpliktelser). Ettersom Teta Studio ikke på egen hånd fastsetter noe selvstendig "behandlingsformål" (se B.1), skal særlig linjen om særlige kategorier av personopplysninger leses slik at den gjenspeiler klinikkens behandlingsgrunnlag:

B.5. Overføring av personopplysninger (innenlands og til utlandet)

For at plattformen skal fungere, deles personopplysninger i begrenset og teknisk nødvendig omfang med følgende underdatabehandlere (sub-processor):

Andre merknader om infrastrukturen:

• E-postinfrastruktur: Tjeneste-e-post (prøveperiode, teaminvitasjon, svar fra brukerstøtte) sendes via SMTP gjennom Google Workspace (Google); autentiserings-e-post (verifisering av e-postadresse, tilbakestilling av passord) utløses av Supabase Auth. Markedsførings-e-post sendes bare med eget samtykke og på vilkår av registrering i İYS (se del C). Pushvarsler leveres via Apple (APNs) og Google (FCM).
• Analyseverktøy: Det brukes ikke noe analyseverktøy fra tredjeparter (f.eks. Google Analytics). Måling av produktbruken i appen er for øyeblikket ikke aktivert; dersom den aktiveres, skrives målingen til en førstepartstabell i Corentas egen database (Supabase, Frankfurt/Tyskland), den inneholder ikke helseopplysninger eller fritekst, og denne teksten oppdateres før den aktiveres.
• Feilovervåking: Det brukes ikke noe feilovervåkingsverktøy fra tredjeparter; klientfeil registreres i Corentas egen database (Supabase).
• Sanntidsoverføring av meldinger og videoer (per 18. oktober 2026): Direkte- og gruppemeldinger leveres via Supabases sanntidstjeneste (Realtime) bare til autoriserte brukere; studiovideoer lagres i Supabases fillagring. Disse omfattes av linjen for Supabase (nr. 1); ingen ny underdatabehandler er lagt til.
• Betaling med kredittkort via nettet: Støttes for øyeblikket ikke; alle abonnementsbetalinger gjennomføres utelukkende via mekanismen for kjøp i appen (IAP) hos Apple/Google.

Overføring til utlandet: Opplysningene dine behandles via tjenesteleverandører utenfor Tyrkia: Supabase (database, autentisering og fillagring; opplysningene lagres i Tyskland/Frankfurt), Vercel (drift av webpanelet; global infrastruktur), Google (e-post via Google Workspace og varsler via Firebase Cloud Messaging; global) og Apple (varsler og appbutikk; global). Også lagring i Tyskland er en overføring til utlandet i lov nr. 6698s forstand. Fordi disse overføringene er regelmessige og løpende, bygger de ikke på uttrykkelig samtykke; de vil bygge på ett av behandlingsvilkårene i artikkel 5 og 6 i KVKK og, i henhold til art. 9/4-c, på standardavtalene som er kunngjort av Rådet for vern av personopplysninger (Kurul). Teta Studio vil som databehandler inngå standardavtalen etter modul 3 (fra databehandler til databehandler) med hver underdatabehandler og melde den til Kurul innen 5 virkedager etter signering. Per datoen for denne teksten er standardavtalene ennå ikke inngått og ikke meldt til Kurul; når signering og melding er fullført, vil dette avsnittet bli oppdatert med en oversikt over leverandører og datoer. Kurul har ikke kunngjort noen beslutning om tilstrekkelig beskyttelsesnivå for disse landene (sist kontrollert: 11. oktober 2026). Klinikken omtaler disse overføringene i sin egen informasjonstekst.

Oversikten over underdatabehandlere ovenfor føres i tillegg særskilt og oppdatert som vedlegg til DPA-en mellom klinikken og Teta Studio; klinikken informeres om endringer i oversikten over underdatabehandlere etter fremgangsmåten som er fastsatt i DPA-en. Personopplysninger kan overføres til kompetente offentlige myndigheter og organer bare i tilfeller som er fastsatt i gjeldende regelverk, og begrenset til forespørselen; Teta Studio selger eller leier under ingen omstendigheter ut personopplysningene det behandler, til tredjeparter for kommersielle formål.

B.6. Sikkerhetstiltak

Teta Studio gjennomfører følgende tekniske og organisatoriske tiltak for å ivareta sikkerheten for personopplysningene det behandler som databehandler:

• Isolasjon mellom leietakere (multi-tenant isolation): Alle datatabeller på plattformen er skilt fra hverandre med feltet tenant_id og beskyttes gjennom omfattende retningslinjer for sikkerhet på radnivå (Row Level Security/RLS) etter prinsippet om standardavvisning (default-deny); en klinikks tilgang til en annen klinikks opplysninger hindres teknisk.
• Begrensning av tilgang til helseopplysninger: Anamneseskjemaer, øktnotater og målinger kan på RLS-nivå bare nås av den aktuelle klienten, fagpersonen som er tildelt klienten, og klinikkens autoriserte administrator; øktnotater som fagpersonen har merket som "delt med teamet", kan også ses av klinikkens øvrige fagpersoner. Ansattes tilgang er mulig når den aktuelle helsemodulen (anamnese, måling, øktnotat) er aktivert.
• Uforanderlighet (append-only): Innsendte øktnotater (når feltet submitted_at er fylt ut) beskyttes på databasenivå slik at de ikke kan oppdateres eller slettes; heller ikke for anamneseskjemaer er det definert slettetilgang (DELETE) for noen brukerrolle (heller ikke klinikkens administrator). Eneste og snevre unntak: i prosessen for permanent sletting av konto (se B.8/a) kan bare en privilegert bakgrunnsprosess (service-role), uten å røre øktnotatets INNHOLD, på databasenivå sette bare kolonnene for kobling til personen (client_id/specialist_id) til NULL; dette bryter ikke med append-only-prinsippet – det er en overgang med ett enkelt formål som oppfyller plikten etter KVKK til å bryte koblingen til personen (anonymisering) (nærmere opplysninger: veri-saklama-imha-politikasi.md avsnitt 6.2).
• Begrensninger for superadministratorens støttemodus (impersonation): Tilgangsmodusen for superadministratorer som brukes til teknisk støtte, er tidsbegrenset (30 minutter) og som standard bare lesbar; skriveoperasjoner og tilgang til helseopplysninger kan åpnes gjennom separate trinn som krever ytterligere godkjenning (flagget health_data_enabled); i intet impersonasjonsscenario gis skrivetilgang til tabellene med helseopplysninger – denne begrensningen gjennomføres uten unntak i databasens retningslinjer.
• Sikkerhet under overføring: Opplysningene krypteres med TLS under overføring.
• Lagring på enheten: I mobilappen lagres økttokener kryptert i enhetens sikre, maskinvarestøttede nøkkelring (expo-secure-store basert på iOS Keychain/Android Keystore).
• Beskyttelse av sensitive skjermer: På mobilskjermer som inneholder helseopplysninger, blokkeres skjermbilder og skjermopptak (blokkering av skjermopptak/skjermbilder på iOS; FLAG_SECURE på Android).
• Sikkerhet for administratorkontoer: Kontoer for plattformadministratorer (superadministratorer) krever totrinnsbekreftelse (MFA, AAL2).
• Betalingsintegritet: For betalingsvarsler (webhook) fra appbutikkene (Apple/Google) brukes en infrastruktur for kryptografisk signaturverifisering; arbeidet med å fullføre denne konfigurasjonen i produksjonsmiljøet for alle leverandører og kontinuerlig forbedre den pågår.

Til tross for tiltakene ovenfor presiseres det uttrykkelig at absolutt sikkerhet ikke kan garanteres for noe informasjonssystem. Disse tiltakene gjennomgås og forbedres kontinuerlig som en del av databehandlerens plikter etter KVKK art. 12. Når Teta Studio som databehandler får kjennskap til et sikkerhetsbrudd, varsler det klinikken uten ugrunnet opphold og senest innen 24 timer (Kurul 2019/10). Melding til Kurul og varsling av de registrerte er klinikkens plikt som behandlingsansvarlig. For opplysninger der Teta Studio er behandlingsansvarlig (del A og C), sender Teta Studio melding til Kurul innen 72 timer.

B.7. Tilleggsinformasjon om superadministratorens støttemodus (impersonation)

Teta Studios autoriserte støttepersonell kan i forbindelse med forespørsler om teknisk støtte fra klinikken midlertidig få tilgang til klinikkens konto gjennom en begrenset og etterprøvbar "støttemodus". Denne tilgangen:

• er begrenset til høyst 30 minutter og opphører automatisk når tiden er ute,
• er som standard bare lesbar (read-only),
• skrivetilgang og tilgang til helseopplysninger kan åpnes gjennom separate trinn som hver krever ytterligere godkjenning; skrivetilgang til tabellene med helseopplysninger gis under ingen omstendigheter,
• logges og er underlagt revisjonsspor.

Klientens kontaktopplysninger i støttemodus (per 4. oktober 2026): I Corentas støtteøkt (superadministrator) vises ikke klientens e-postadresse og telefonnummer for støttepersonellet; støttepersonellet kan bare se et begrenset identitetssammendrag (navn, kontostatus, aktivitet, opprettelsesdato).

B.8. Lagringstid for personopplysninger og hvordan den registrertes rettigheter ivaretas

Personopplysninger lagres så lenge det er nødvendig for det aktuelle formålet, og i de lovpålagte lagringstidene som følger av gjeldende regelverk. Rettighetene nedenfor brukes etter KVKK art. 11 primært overfor klinikken som behandlingsansvarlig. Teta Studio sørger som databehandler for at disse rettighetene ivaretas teknisk på klinikkens forespørsel. De konkrete mekanismene som tilbys på plattformen, er følgende:

a) Rett til sletting: Sletting av konto (per 4. oktober 2026): Når en forespørsel om sletting er bekreftet, stenges tilgangen til kontoen umiddelbart (øktene avsluttes, innlogging er ikke mulig); personopplysninger slettes eller anonymiseres (navn, e-postadresse, telefonnummer, bilde samt klientens identitets-/kontaktopplysninger og helsefelt – blodtype, allergier, kroniske tilstander, legemidler – fjernes); betalings- og honorarregistreringer som må oppbevares etter lov, slettes ikke; de lagres med begrenset tilgang og med koblingen til personen brutt. Det finnes ingen angrefrist etter forespørselen; permanent sletting av autentiseringsposten og filene fullføres i den eksisterende bakgrunnsprosessen på tretti dager.

Sletting av klientpost og helsefelt (per 4. oktober 2026): Når en klientpost uten konto slettes av virksomheten, fjernes posten umiddelbart fra den aktive listen; etter 30 dager slettes/tømmes klientens helsefelt (blodtype, allergier, kroniske tilstander, legemidler) sammen med identitets- og kontaktopplysningene. Lagringsreglene for anamneseskjemaer, målinger og øktnotater påvirkes ikke av denne bestemmelsen.

Gruppemeldinger og fellesskapsregistreringer (per 18. oktober 2026): Et medlem kan når som helst slette sin egen gruppemelding; teksten i den slettede meldingen fjernes fra registreringen. Når en konto slettes permanent, slettes gruppemedlemskapet, registreringene av tilknyttede enheter og fagpersonens profilkort; deltakelse i konkurranser er knyttet til klientposten og følger samme regel som klientposten; teksten i meldinger som tidligere er sendt til gruppen, blir derimot værende i gruppen uten opplysninger om avsenderen. En bruker som ønsker å fjerne meldingene sine, kan derfor slette dem én for én før kontoen slettes. Teksten i en melding som teamet har skjult, holdes atskilt for teamets gjennomgang. Lagringstidene for gruppemeldinger og denne kopien står i veri-saklama-imha-politikasi.md avsnitt 4, rad 12; kopien lagres i høyst 1 år. Registreringer om grupper, konkurranser, merker og stempelkort er i dag ikke med i eksporten "Last ned dataene mine"; forespørsel om informasjon om disse registreringene kan rettes til klinikken eller til hello@corenta.app.

Når brukeren ber om sletting av kontoen fra appen (funksjonen delete_my_account), bruker systemet en slettearkitektur i to trinn. Sammendraget nedenfor er en ærlig og teknisk verifisert beskrivelse av metoden (permanent sletting eller anonymisering) som brukes for hver opplysningskategori; for fullstendige opplysninger og tabell, se veri-saklama-imha-politikasi.md (særlig avsnitt 4–6).

• Trinn 1 – ved forespørselen: Tilgangen til kontoen stenges umiddelbart (det finnes ingen angrefrist); profilen deaktiveres, identitets- og helsefelt ryddes, ventende timer avbestilles, tildelinger fjernes, og avgitte samtykker trekkes tilbake.
• Trinn 2 – permanent behandling etter 30 dager: 30 dager etter dette første trinnet gjennomføres en behandling som utløses ugjenkallelig bare av en privilegert (service-role) bakgrunnsjobb (cron), og som gjennomføres med to ulike metoder avhengig av opplysningskategori; denne behandlingen kan ikke utløses manuelt/administrativt og ikke fremskyndes eller utsettes:
• Brukerens autentiseringspost (auth.users) og registreringer uten selvstendig forretnings-/bevisverdi (f.eks. varsler, notifications) slettes permanent (DELETE/cascade).
• Helseopplysninger (anamneseskjemaer, øktnotater, målinger) samt klinikk-/finansielle registreringer (betaling, oppmøte) SLETTES IKKE med DELETE – DE LAGRES BEGRENSET MED KOBLINGEN TIL PERSONEN BRUTT: koblingen til personen (som client_id/specialist_id) brytes på databasenivå (ON DELETE SET NULL); enkelte fritekstfelt (svar i anamnesen, notater om målinger/betalinger, begrunnelse for refusjon, kvitteringsreferanse) ryddes eller erstattes med en markering. Fritekst i øktnotater endres ikke; fordi det i denne teksten og i opplysninger som dato-/måleserier kan være nok informasjon til å identifisere personen på nytt, anses disse registreringene ikke som anonyme. Registreringene lagres med begrenset tilgang så lenge klinikkens plikt til å føre registre gjelder, og kasseres når tiden er ute; append-only-prinsippet for øktnotater ivaretas på denne måten.
• Samtykkeregistreringer (consent_logs) slettes på samme måte ikke med DELETE; koblingen til personen brytes og IP-adressen fjernes, men for å bevise at samtykke er gitt/trukket tilbake (med opplysninger om type, versjon og tidspunkt) lagres de som en bevisregistrering med koblingen til personen brutt i ytterligere 5 år (KVKK art. 5/2-e – fastsettelse og vern av en rettighet; bevisbyrden for uttrykkelig samtykke ligger hos den behandlingsansvarlige).
• Vedlegg: Brukerens avatar/profilbilde, vedlegg til anamnesen og bilder av betalingskvitteringer (bucketene avatars, anamnesis-attachments, user-data-exports og payment-receipts i Storage) slettes automatisk (best-effort) fra Storage som en del av trinnet for permanent sletting – dersom slettingen i en bucket mislykkes, logges dette, men det hindrer ikke ryddingen av de øvrige bucketene eller behandlingen av kontoen. Ærlig begrensning: Den eneste filkategorien som faller utenfor denne automatiske prosessen, er identitets-/vitnemålsverifiseringsdokumenter som lastes opp i registreringsprosessen for fagpersoner/selvstendige (bucketen specialist-verification-docs) – disse dokumentene er teknisk knyttet ikke til brukeren, men til leietakerens (klinikkens) verifiseringsprosess og omfattes for øyeblikket ikke av den automatiske slettingen; kasseringen av dem vil bli håndtert særskilt i prosessen når klinikken avslutter kontoen/abonnementet sitt på leietakernivå, og inntil dette er fullført, gjøres det i unntakstilfeller en manuell vurdering via hello@corenta.app.
• Ingen av operasjonene ovenfor kan utløses eller stanses manuelt via de vanlige produktgrensesnittene (heller ikke av administrativt personell) – dette er en bevisst sikkerhetsdesign for å hindre for tidlig eller forsinket sletting ved feil eller misbruk.
• Derfor gis det i denne teksten ingen absolutt forsikring om at "når kontoen slettes, blir alle opplysninger uten unntak og fysisk tilintetgjort": mens autentiseringsposten og registreringer uten selvstendig forretningsverdi slettes permanent, fortsetter helse-/klinikk-/finansielle registreringer og samtykkeregistreringer å bli lagret med koblingen til personen brutt og med begrenset tilgang (i tidene beskrevet ovenfor) som følge av klinikkens plikt til å føre registre (lagringsbestemmelser i andre lover gjelder i henhold til KVKK art. 7/2); disse registreringene er ikke anonyme; for tekniske rester i sikkerhetskopier, se også veri-saklama-imha-politikasi.md avsnitt 6.3.
• Kanaler for forespørsler: En forespørsel om sletting av konto kan gjøres via selvbetjeningsfunksjonen "slett kontoen min" i appen, som er den mest pålitelige metoden og gir direkte resultat; i så fall utløses funksjonen direkte av brukeren, og totrinnsprosessen beskrevet ovenfor kjører automatisk (dette er ikke en forespørsel rettet til Teta Studio, men en automatisk systemfunksjon som brukeren selv starter). Dersom brukeren av en eller annen grunn ikke kan bruke funksjonen i appen, kan forespørselen alternativt også sendes til klinikken eller til hello@corenta.app; i så fall vurderes og behandles forespørselen innen rimelig tid, og i den grad det anses nødvendig, sørges det for at den samme sletteprosessen startes. Dette unntaket er et unntak fra den generelle regelen for forespørsler som er beskrevet i B.9 nedenfor ("man skal først henvende seg til klinikken"), og skyldes bare at selvbetjeningsfunksjonen i appen kan utløses direkte av brukeren.

b) Forespørsel om informasjon / dataportabilitet: Plattformen tilbyr en funksjon (export_user_data) som brukeren kan bruke til å eksportere sine egne opplysninger. I tråd med strukturen med flere leietakere inneholder denne funksjonen bare opplysninger innenfor den aktuelle brukerens egen leietaker (tenant). Opplysningene leveres innen rimelig tid i et strukturert og maskinlesbart format (JSON). Når filen kan klargjøres, utarbeides opplysningene i tillegg som ZIP og leveres via en personlig (signert) lenke som er gyldig i 7 dager; dersom ZIP-filen ikke kan klargjøres, leveres bare JSON-utdata.

c) Rett til retting: Oppdatering av brukeropplysninger er teknisk mulig fra klinikkens administrasjonspanel. På plattformen finnes det i tillegg ingen automatisert, selvstendig arbeidsflyt for "forespørsel om retting"; forespørsler om retting kan innenfor rammen av de generelle rettighetene etter KVKK art. 11 rettes til klinikken eller til Teta Studio via hello@corenta.app.

d) Tilbaketrekking av samtykke: Bekreftelsen på at informasjonsteksten er lest, er ikke et samtykke; den utgjør ingen tillatelse som kan trekkes tilbake. Brukeren kan når som helst trekke tilbake samtykket til behandling av helseopplysninger og samtykket til klinikkens kampanjevarsler via mobilappen. Tilbaketrekking av samtykket til behandling av helseopplysninger påvirker ikke bruken av timer og kontoen; etter tilbaketrekkingen registreres ingen nye helseopplysninger, og tidligere registreringer lagres etter reglene i B.8/a.

e) Andre rettigheter etter art. 11: Retten til å få vite om opplysninger behandles, å få vite om de brukes i samsvar med formålet, å kjenne til tredjepartene de er overført til, å kreve retting av ufullstendig/feilaktig behandling og å kreve erstatning for skade som følge av lovstridig behandling, brukes primært overfor klinikken; innholdet tilsvarer rammeverket i A.8.

B.9. Slik sender du en forespørsel

Klinikkens klienter og ansatte skal rette sine forespørsler etter KVKK først til sin egen klinikk; klinikken er som behandlingsansvarlig forpliktet til å besvare disse forespørslene i samsvar med fremgangsmåten i KVKK art. 13 og senest innen tretti (30) dager. Unntak: Selvbetjeningsmekanismer i appen, som sletting av konto (se B.8/a), kan brukes direkte av brukeren uten at klinikken trenger å medvirke; for andre forespørsler etter KVKK art. 11 er hovedregelen at man først henvender seg til klinikken.

For forespørsler av teknisk art som man ønsker å rette direkte til Teta Studio (f.eks. at sletting av konto eller funksjonen for dataeksport ikke fungerer), eller for spørsmål om aktivitetene Teta Studio selv utfører som databehandler, kan man ta kontakt via hello@corenta.app. Teta Studio kan innenfor rammen av DPA-en videresende henvendelser som kommer inn til det og som krever den aktuelle klinikkens kjennskap/instruks, til klinikken.

B.10. Klinikkens plikter

Hver klinikk som bruker Corenta, aksepterer at den er behandlingsansvarlig etter KVKK art. 3/ı, og at følgende plikter utelukkende ligger hos den:

• Utarbeidelse/tilgjengeliggjøring av en informasjonstekst etter KVKK for sine egne klienter og brukere (den ferdige, felles informasjonsskjermen og de frivillige samtykkeskjermene i Corentas mobilapp tilbys som et teknisk verktøy for dette formålet, men det er klinikkens ansvar å sikre at innholdet passer for klinikkens egen virksomhet; klinikken kan ved behov gjennomføre sin egen supplerende informasjonsprosess i henhold til B.1),
• Fastsettelse av behandlingsgrunnlaget som skal brukes for behandling av helseopplysninger (frivillig uttrykkelig samtykke etter art. 6/3-a eller art. 6/3-e); dersom uttrykkelig samtykke kreves, at det innhentes korrekt og ikke gjøres til et vilkår for tjenesten,
• Å gi klientene sine egne identitetsopplysninger (foretaksnavn, adresse, kontaktopplysninger for henvendelser etter KVKK) (den felles teksten i appen inneholder i dag ikke disse opplysningene automatisk),
• For behandlingsansvarlige med behandling av helseopplysninger som hovedvirksomhet er unntaksgrensen for VERBIS 10 ansatte per år og en balansesum på 10 millioner TL (Kurul 2025/1572); vurdering av egen plikt til å registrere seg i VERBIS,
• Besvarelse av henvendelser fra registrerte innen fristene i KVKK art. 13,
• Ivaretakelse av datasikkerheten for egne ansatte og egne underleverandører,
• Overholdelse av pliktene i databehandleravtalen/tjenestevilkårene mellom klinikken og Corenta.

Teta Studio påtar seg ikke ansvar som følger av at klinikken ikke oppfyller pliktene ovenfor.

DEL C – INFORMASJON OM CORENTA-KONTOER OG PLATTFORMEN (Teta Studio er behandlingsansvarlig)

Denne delen beskriver behandlingene som Teta Studio utfører på egne vegne og for egne formål. I disse aktivitetene er Teta Studio behandlingsansvarlig etter KVKK art. 3/1-ı. Denne teksten vises når en konto for klinikkeier/ansatt opprettes, og når en klient bruker funksjonen Utforsk/vurderinger for første gang. Følgende funksjoner mellom studioer (liga, invitasjon, Grunnleggerstudio, Corenta Lab, Utforsk v2) står i denne delen fordi de samler flere klinikker og formålet fastsettes av Teta Studio. Opplysninger som behandles i studioets navn, er ikke personopplysninger når virksomheten er en juridisk person; for studioer som drives som enkeltpersonforetak og enkeltpersonsstudioer beskrives de her fordi de kan knyttes til en person.

C.1. Behandlingsansvarlig

Mertcan Demir – enkeltpersonforetak under foretaksnavnet "Teta Studio" (identitets- og kontaktopplysninger: A.1). Henvendelser: hello@corenta.app.

C.2. Behandlinger, formål og behandlingsgrunnlag

Utforsk og invitasjon til vurdering: Invitasjonen til vurdering sendes, dersom klinikken har slått på funksjonen Utforsk, på grunnlag av opplysningen om en gjennomført time. Gjennom databehandleravtalen instruerer klinikken om at denne opplysningen bare kan overføres til Teta Studio for å sende invitasjonen og publisere en verifisert vurdering; i en klinikk der Utforsk er slått av, sendes ingen invitasjon. En publisert vurdering kan offentlig vise at du har mottatt tjenester fra en helse-/treningsvirksomhet; ta hensyn til dette før du publiserer.

Pseudonymisert måling: Målingen gjøres med klinikkens pseudonym-ID; denne ID-en er et pseudonym og kan i et enkeltpersonforetak knyttes til en person. Den omfatter ikke IP-adresser, helseopplysninger eller sporing av kilde/reklame. Funksjonen er for øyeblikket slått av; før den aktiveres, oppdateres denne teksten.

Synlighet i fellesskaps- og vekstfunksjoner: Opplysningene som vises for andre brukere i ligaen, listen over Grunnleggerstudioer, Corenta Lab og Utforsk, er bare de som står i tabellen ovenfor. I disse funksjonene behandles ingen helseopplysninger om klienter (nærmere opplysninger: B.3-A). I studioinvitasjon, Grunnleggerstudio og Lab gis det ingen kontantbelønninger eller prisrabatter; belønningene er rettigheter i appen, som 7 dagers Boost, prøveperiode og kreditter.

C.3. Mottakere og overføring til utlandet

Supabase (drift; Tyskland/Frankfurt), Vercel (webpanel), Google (e-post via Google Workspace, Firebase Cloud Messaging, Google Play) og Apple (APNs, App Store). Overføring til disse leverandørene er en overføring til utlandet; grunnlaget og dagens situasjon er beskrevet i avsnittet "Overføring til utlandet" i B.5 (for disse flytene der Corenta er behandlingsansvarlig, vil standardavtalen etter modul 2 – fra behandlingsansvarlig til databehandler – bli brukt; per datoen for denne teksten er den ennå ikke inngått).

C.4. Kommersielle elektroniske meldinger

Teta Studio sender markedsførings- og kampanje-e-post bare dersom du har gitt eget samtykke via en boks som ikke er forhåndsavkrysset. Teta Studio sender ikke markedsførings-e-post uten å være registrert i İleti Yönetim Sistemi (İYS); etter registreringen lastes samtykkene opp til İYS innen 3 virkedager. Hver markedsføringsmelding inneholder avsenderens identitet, kontaktopplysninger og en kostnadsfri avmeldingslenke. E-post om prøveperioden, teaminvitasjon og brukerstøtte er tjenestemeldinger; de inneholder ingen markedsføringselementer.

C.5. Lagring, rettigheter og henvendelser

Lagringstidene står i veri-saklama-imha-politikasi.md. Av registreringene som ble lagt til 18. oktober 2026, lagres hashverdier for gjentatt prøveperiode samt registreringer om liga, invitasjon, Grunnleggerstudio og Lab til den aktuelle studiokontoen slettes permanent; registreringer om enheter lagres til brukerkontoen slettes permanent. For disse registreringene er det ennå ikke fastsatt en egen maksimal tid; den vil bli lagt til i lagringsretningslinjene. Du kan bruke rettighetene dine etter KVKK art. 11 (A.8) ved å henvende deg til hello@corenta.app; henvendelser besvares kostnadsfritt innen høyst 30 dager.

FELLES BESTEMMELSER (gjelder begge deler)

G.1. Automatiserte avgjørelser og profilering

Corenta driver ikke profilering for reklame- eller markedsføringsformål. Per 18. oktober 2026 kjøres likevel følgende regler automatisk og kan gi et begrenset negativt resultat for den aktuelle personen eller studioet:

Markeringen av gjentatt prøveperiode er ikke en automatisert avgjørelse: et treff hindrer ikke prøveperioden, men går bare til gjennomgang hos plattformadministratoren. I henhold til KVKK art. 11/1-g gjelder din rett til å protestere mot et resultat til din ugunst som oppstår ved at opplysningene analyseres utelukkende ved hjelp av automatiserte systemer.

G.2. Oppdatering av informasjonsteksten

Denne informasjonsteksten kan oppdateres som følge av endringer i regelverket, beslutninger fra Rådet for vern av personopplysninger, plattformens funksjonelle utvikling eller endringer av underdatabehandlere/tjenesteleverandører. Den gjeldende versjonen vil alltid være tilgjengelig på corenta.app/legal/kvkk-aydinlatma-metni og på dokumentskjermen i appen. I forbindelse med SaaS-produktet (del B) blir brukeren ved neste innlogging etter en endring i versjonen av informasjonsteksten bedt om å bekrefte at den nye teksten er lest; dette er ikke et samtykke, men bevis på at informasjon er gitt (se B.2).

G.3. Gjeldende rett og verneting

Denne informasjonsteksten er utarbeidet innenfor rammen av lov nr. 6698 om vern av personopplysninger og tilhørende sekundærlovgivning (forskriften om sletting, tilintetgjøring eller anonymisering av personopplysninger; forskriften om registeret over behandlingsansvarlige; kunngjøringen om fremgangsmåter og prinsipper for oppfyllelse av informasjonsplikten; kunngjøringen om fremgangsmåter og prinsipper for henvendelser til den behandlingsansvarlige). Ved tolkning og anvendelse av denne teksten gjelder republikken Tyrkias rett; ved tvister er Rådet for vern av personopplysninger og kompetente tyrkiske domstoler/namsmyndigheter kompetente.

G.4. Kontakt

For alle spørsmål, ønsker og henvendelser om behandlingen av personopplysninger:

• E-post: hello@corenta.app
• Brukerstøtte: support@corenta.app
• Tjenesteområde: Corenta tilbys globalt via App Store og Google Play i de landene der disse butikkene er tilgjengelige. Denne teksten er informasjon etter lov nr. 6698; for personer i EU/EØS gjelder i tillegg GDPR-erklæringen, og ufravikelige personvernregler i landet der du befinner deg, gjelder uavhengig av dette.
• Virksomhetens nettsted: corenta.app

Ikrafttredelse / sist oppdatert: 19. oktober 2026 Versjon: 2.3 · 19. oktober 2026. Endringsloggen står i begynnelsen av dokumentet.