CORENTA — INFORMATIETEKST OP GROND VAN DE TURKSE WET BESCHERMING PERSOONSGEGEVENS (KVKK)

Deze vertaling dient alleen ter informatie; de Turkse tekst is juridisch bindend.

Informatietekst in drie delen, naar de hoedanigheid van verwerkingsverantwoordelijke / verwerker

Versie: 2.3 · Ingangsdatum / laatst bijgewerkt: 19 oktober 2026 Verwerkingsverantwoordelijke / uitgever (Deel A en C): Mertcan Demir — eenmanszaak onder de handelsnaam "Teta Studio"

Wijzigingslogboek

• 2.3 — 19 oktober 2026: Wereldwijde reikwijdte verwerkt: de formulering "alleen Turkije" in G.4 is vervangen door het aanbod in meer dan één land via de appwinkels en een verwijzing naar de AVG-verklaring voor de EU/EER. Verwerkingsactiviteiten en rechtsgronden zijn ongewijzigd.
• 2.2 — 19 oktober 2026: Publicatieversie; ingangsdatum 19 oktober 2026. De leeg gebleven MERSIS- en KEP-gegevens zijn uit de identiteitstabel A.1 verwijderd. De bewaartermijn van groepsberichten in B.8/a is gekoppeld aan het Beleid voor bewaring en verwijdering van gegevens.
• 2.1 — 18 oktober 2026: De op 18 oktober 2026 toegevoegde functies zijn verwerkt: kliniekgroepen, uitdagingen binnen de studio, badges en stempelkaart voor cliënten, wekelijkse opdrachten en maandrapport (Deel B); studiocompetitie en stadsuitdagingen, het meeneembare profielkaartje van de specialist, uitnodigingscode van studio tot studio, het programma Oprichtersstudio, Corenta Lab, Ontdekken v2 (korte video, proefles, gesponsorde plaats), markering voor herhaalde proefperiodes, apparaatkoppeling en "Mijn inlogsessies", gedeeltelijke terugbetaling via de appwinkel en het verzoek om gebruiksinformatie van Apple (Deel C). Hoe gezondheidsgegevens worden behandeld in groepen, competitie, uitdagingen en profielkaartje, is in een apart gedeelte (B.3-A) beschreven. G.1 is gecorrigeerd: de drie regels die een geautomatiseerd resultaat met gevolgen voor de persoon opleveren (controle op misbruik van uitnodigingen, verbergen van een groepsbericht na drie meldingen, uitsluiting uit de competitie) zijn uitdrukkelijk beschreven. De mobiele toestemmingen zijn volgens de code gecorrigeerd (er wordt geen cameratoestemming gevraagd). Uitgeschakelde functies (verificatie van delen, vraagsignaal, Boost-garantie, apparaatverificatie, Turnstile, Sentry) zijn niet in deze tekst opgenomen; voordat zij worden ingeschakeld, is een afzonderlijke tekstwijziging nodig.
• 2.0 — 11 oktober 2026: Op basis van de nalevingsbeoordeling van 11 oktober 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): de gedeelten over doorgifte naar het buitenland zijn herschreven volgens artikel 9 van Wet nr. 6698 zoals dat na 2024 luidt (ook Supabase/Frankfurt is een doorgifte naar het buitenland; de standaardcontracten zijn nog niet ondertekend); informatieverstrekking en uitdrukkelijke toestemming zijn gescheiden (de informatieverstrekking is geen "goedkeuring" maar een verklaring "Gelezen en begrepen"; het verplichte vinkje in het formulier voor vroege toegang is verwijderd); toestemming voor gezondheidsgegevens is als optioneel beschreven; voor de activiteiten waarvoor Teta Studio verwerkingsverantwoordelijke is, is een nieuw Deel C — Informatie over Corenta-accounts en het platform toegevoegd; de identiteitsgegevens zijn gecorrigeerd naar eenmanszaak; de beoordeling van VERBIS is beschreven volgens de besluiten van de Raad uit 2025; de melding van een inbreuk aan de kliniek is gecorrigeerd tot uiterlijk 24 uur; de uitdrukking "anonieme" bewaring is gecorrigeerd tot beperkte bewaring waarbij de koppeling aan de persoon is verbroken; het wissen van bijlagen en de exportlink zijn gekoppeld aan één formulering die met de code is gecontroleerd; onjuiste verwijzingen naar regelgeving zijn gecorrigeerd.
• 1.6 — 10 oktober 2026: Expo (Expo Push Notification Service) is uit de registraties van subverwerkers/verwerkers verwijderd; pushmeldingen worden alleen via Apple (APNs) en Google (FCM) verzonden, Expo/EAS is alleen een hulpmiddel om de app te bouwen en verwerkt geen gegevens van eindgebruikers.
• 1.5 — 10 oktober 2026: De formulering over de keuze voor Google Analytics is verwijderd; verduidelijkt dat er geen analytische diensten van derden worden gebruikt en wie de pushmeldingen verwerkt.
• 1.4 — 4 oktober 2026: De bestaande tekst is als goedgekeurde versie vastgelegd. In deze versie is alleen het volgende verwerkt: de aanduiding van de naam Teta Studio; markt (Turkije); verwijdering van het account (toegang wordt direct beëindigd, persoonsgegevens worden gewist/geanonimiseerd, betalingsregistraties met een wettelijke bewaarplicht worden zonder identiteit bewaard); wissing van de gezondheidsvelden van cliënten na 30 dagen; termijn van 7 dagen voor wees-betaalbewijzen; contactgegevens van cliënten blijven verborgen in de supportmodus; meting aan de serverzijde zonder identiteit; service-e-mails en Google Workspace; verwerkers van pushmeldingen; supportadres (support@corenta.app); bevoegdheid om gezondheidsvelden te schrijven.
• 1.3 — 4 augustus 2026: De gedeelten B.6 en B.8/a zijn in overeenstemming gebracht met het beleid voor bewaring en verwijdering.

0. Over deze tekst — reikwijdte en leeswijzer

Deze informatietekst op grond van de Wet bescherming persoonsgegevens ("Informatietekst") is opgesteld overeenkomstig artikel 10 van de Turkse Wet nr. 6698 bescherming persoonsgegevens ("KVKK" of "Wet") en het Communiqué over de procedures en beginselen voor de nakoming van de informatieplicht, om betrokkenen te informeren over de verwerking van persoonsgegevens in verband met het softwareproduct (SaaS) Corenta ("Corenta", "Product" of "Platform"), dat wordt ontwikkeld en geëxploiteerd door Mertcan Demir, die als eenmanszaak handelt onder de handelsnaam "Teta Studio" ("Teta Studio", "wij"), en met de website corenta.app, waarop dit product wordt gepresenteerd.

Corenta is een multi-tenant, mobiel-eerst softwareplatform (Software-as-a-Service) voor kleinschalige gezondheids- en wellnessbedrijven zoals centra voor klinische pilates, fysiotherapie, reformer, wellness/massage en yoga, dat afsprakenbeheer, opvolging van pakketten/sessies, anamnese en sessienotities van cliënten, en opvolging van verdiensten en financiële transacties biedt.

0.1 Definities

0.2 Twee afzonderlijke contexten — waarom dat belangrijk is

In het Corenta-ecosysteem worden persoonsgegevens in drie verschillende contexten en in twee verschillende hoedanigheden verwerkt: Deel A (promotiesite; Teta Studio is verwerkingsverantwoordelijke), Deel B (registraties van de kliniek; Teta Studio is verwerker) en Deel C (Corenta-account, abonnement, service-e-mails, Ontdekken/beoordelingen, groeifuncties tussen studio's — competitie, uitnodiging, Oprichtersstudio, Corenta Lab, meeneembaar profielkaartje —, account- en apparaatbeveiliging en productmeting; Teta Studio is verwerkingsverantwoordelijke). Een goed begrip van dit onderscheid is essentieel om de Informatietekst juist te kunnen uitleggen, en de twee contexten mogen in geen geval door elkaar worden gehaald:

Gezondheidsgegevens van een cliënt van een kliniek die in de Corenta-app ontstaan, en gegevens van een bedrijfseigenaar die op de site corenta.app het formulier voor vroege toegang invult, vallen juridisch onder volledig verschillende regimes. De onderstaande delen zijn volgens dit onderscheid opgebouwd.

DEEL A — BEDRIJFSWEBSITE EN FORMULIER VOOR VROEGE TOEGANG (corenta.app)

Dit deel geldt voor natuurlijke personen die de website corenta.app bezoeken, met de site interageren en/of het aanvraagformulier voor vroege toegang invullen. In deze context handelt Teta Studio als Verwerkingsverantwoordelijke op grond van KVKK art. 3/ı en bepaalt het zelf de doeleinden en middelen van de verwerking van persoonsgegevens.

A.1. Identiteit van de verwerkingsverantwoordelijke

A.2. Categorieën verwerkte persoonsgegevens

Bij het bezoeken van de website corenta.app, het invullen van het formulier voor vroege toegang, het verzenden van het contactformulier of het aanvragen van een demo/verkoopgesprek kunnen de volgende categorieën persoonsgegevens worden verwerkt:

(*) Toelichting bij de cookienotitie: Op de datum van publicatie van deze tekst is er op de site corenta.app geen actieve cookiebanner/beheerinterface of cookie-infrastructuur van derden; het in de bovenstaande regel genoemde IP-adres en de apparaat-/browsergegevens worden alleen in beperkte mate verwerkt in het kader van basale serverlogboeken en formulierbeveiliging, zonder gebruik van een actieve cookietechnologie. Hoewel in de systeeminfrastructuur technisch een categorie voor cookietoestemming (cookies) is gedefinieerd, wordt deze categorie momenteel feitelijk niet gebruikt. Als wordt overgegaan op het gebruik van cookies, worden deze Informatietekst en een afzonderlijk Cookiebeleid bijgewerkt en worden de nodige toestemmingsmechanismen ingevoerd. In deze context worden geen bijzondere persoonsgegevens verwerkt.

Deze gegevens worden alleen verkregen doordat de betrokkene uit eigen wil het formulier invult of contact opneemt, of automatisch als gevolg van de technische werking van de site (zoals het IP-adres).

A.3. Doeleinden en rechtsgronden van de verwerking van persoonsgegevens

In de onderstaande tabel staat bij elk verwerkingsdoel op welke van de in KVKK art. 5/2 genoemde rechtsgronden het berust:

Belangrijk: Marketingcommunicatie in het kader van punt 7 berust uitsluitend op de afzonderlijk en uitdrukkelijk gegeven toestemming van de betrokkene voor dit doel; deze toestemming is geen verplichte voorwaarde voor de aanvraag voor vroege toegang en kan altijd worden ingetrokken (zie A.8).

A.4. Wijze van verzameling van persoonsgegevens

Persoonsgegevens worden langs elektronische weg verzameld via het invullen van de formulieren voor vroege toegang/contact op de site corenta.app, rechtstreekse communicatie per e-mail, demo-/verkoopgesprekken en automatisch door de technische infrastructuur van de site (IP-adres enz.).

A.5. Doorgifte van persoonsgegevens

Uw persoonsgegevens kunnen in beperkte mate, binnen de voorwaarden van de artikelen 8 en 9 van de KVKK, worden gedeeld met leveranciers die diensten leveren zoals hosting, het verzamelen van formulieren, het verzenden van e-mail, analyse, beveiliging en vergelijkbare technische diensten. Dit delen gebeurt alleen voor zover dat nodig is om de betreffende dienst te leveren en beperkt tot dat doel.

Bekende/gebruikte aanbieders van technische infrastructuur in deze context:

Opmerking — infrastructuur waarin formuliergegevens worden opgeslagen: Op de datum waarop deze tekst is opgesteld, is technisch niet bevestigd of de gegevens van het formulier voor vroege toegang/contact uiteindelijk alleen in de eigen formulierinfrastructuur van Framer worden bewaard, of dat zij ook worden doorgegeven aan de op Supabase gebaseerde database van Corenta (zie Deel B, B.5 — Supabase, Frankfurt/Duitsland). Zodra dit is bevestigd, wordt deze tabel zo nodig bijgewerkt door een Supabase-regel toe te voegen; in elk geval worden uw formuliergegevens alleen verwerkt voor de in dit Deel A beschreven doeleinden en in overeenstemming met de KVKK.

Afgezien van deze vormen van delen worden uw persoonsgegevens niet verkocht, niet verhuurd en niet voor marketingdoeleinden aan derden overgedragen. Gevallen van wettelijke verplichting (rechterlijke uitspraak, verzoek van een bevoegde overheidsinstantie enz.) vormen een uitzondering op deze regel.

Doorgifte naar het buitenland: Framer en Google Workspace verwerken gegevens buiten Turkije; dit is een doorgifte naar het buitenland in de zin van Wet nr. 6698. Omdat deze doorgiften regelmatig en doorlopend zijn, worden zij niet op uitdrukkelijke toestemming gebaseerd; zij zullen worden gebaseerd op een van de verwerkingsgronden in artikel 5 van de KVKK en op de standaardcontracten die de Raad voor de Bescherming van Persoonsgegevens op grond van art. 9/4-c heeft bekendgemaakt. Op de datum van deze tekst zijn de standaardcontracten nog niet met de aanbieders ondertekend en nog niet bij de Raad gemeld. Elk contract zal binnen 5 werkdagen na de datum van ondertekening bij de Raad worden gemeld, en dit gedeelte zal worden bijgewerkt met een lijst van aanbieders en data. Er is geen adequaatheidsbesluit van de Raad over deze landen (laatste controle: 11 oktober 2026).

A.6. Bewaartermijn

Uw persoonsgegevens worden bewaard zolang het betreffende verwerkingsdoel dat vereist, en in elk geval onverminderd de verjaringstermijnen die de toepasselijke regelgeving voorschrijft:

• Aanvragen voor vroege toegang: ten hoogste 2 jaar vanaf de beoordeling van de aanvraag en de afronding van het contactproces; als binnen deze termijn geen contact wordt opgenomen of het proces is afgerond, worden ze eerder gewist/geanonimiseerd. Transparantienotitie: Op de datum waarop deze Tekst is opgesteld, bestaat er geen automatisch werkend scan-/wismechanisme in het systeem dat met deze maximale termijn overeenkomt; de termijn is een juridische bovengrens, en het wissen/anonimiseren gebeurt op dit moment handmatig/op verzoek.
• Contactregistraties: Tot het doel van het contact is bereikt.
• Analytische/technische loggegevens: Zo lang als de standaard/toegestane bewaartermijn van het gebruikte hulpmiddel/de gebruikte infrastructuur.
• Registraties over juridische geschillen en verplichtingen: Gedurende de minimale termijn die de toepasselijke regelgeving voorschrijft.

Na afloop van de bewaartermijn worden persoonsgegevens gewist, vernietigd of geanonimiseerd overeenkomstig KVKK art. 7 en de Verordening over het wissen, vernietigen of anonimiseren van persoonsgegevens. Voor de gedetailleerde tabel met termijnen en de methoden van verwijdering, zie veri-saklama-imha-politikasi.md (Deel 4, Nr. 9).

A.7. Informatie in het formulier voor vroege toegang en toestemming voor commerciële berichten

De verwerking van uw aanvraag berust niet op toestemming, maar op de rechtsgronden in A.3. Daarom bevat het formulier geen vinkje voor de informatieverstrekking; informatieverstrekking en toestemming worden gescheiden gehouden.

Informatie (geen vinkje): Direct boven de verzendknop wordt de volgende tekst getoond, met een link naar deze Informatietekst:

"Uw gegevens worden verwerkt om uw aanvraag te beoordelen en contact met u op te nemen (KVKK art. 5/2-c, f). Details: Informatietekst."

Optionele toestemming voor commerciële berichten (apart vakje, standaard NIET AANGEVINKT):

"Ik geef Teta Studio toestemming om mij aankondigingen en campagnes over Corenta per e-mail te sturen."

Het niet geven van toestemming voor commerciële berichten heeft geen invloed op de beoordeling van de aanvraag. Teta Studio verstuurt geen promotionele e-mails zonder zich te hebben geregistreerd in het systeem voor het beheer van commerciële berichten (İYS); na de registratie worden de toestemmingen binnen 3 werkdagen in het İYS geladen. De toestemming kan via de afmeldlink in elk bericht worden ingetrokken.

A.8. Rechten van de betrokkene (KVKK art. 11) en wijze van indienen van verzoeken

Op grond van artikel 11 van de KVKK heeft iedere betrokkene van wie persoonsgegevens worden verwerkt, de volgende rechten, die hij kan uitoefenen door zich tot de Verwerkingsverantwoordelijke te wenden:

a) te vernemen of persoonsgegevens worden verwerkt, b) als persoonsgegevens zijn verwerkt, daarover informatie te vragen, c) het doel van de verwerking van persoonsgegevens te vernemen en of zij in overeenstemming met dat doel worden gebruikt, ç) te weten aan welke derden in binnen- of buitenland persoonsgegevens zijn doorgegeven, d) rectificatie te vragen als persoonsgegevens onvolledig of onjuist zijn verwerkt, e) wissing of vernietiging van persoonsgegevens te vragen binnen de voorwaarden van KVKK art. 7, f) te vragen dat de handelingen op grond van de punten (d) en (e) worden meegedeeld aan derden aan wie de persoonsgegevens zijn doorgegeven, g) bezwaar te maken tegen een voor de persoon nadelig resultaat dat ontstaat doordat de verwerkte gegevens uitsluitend met geautomatiseerde systemen worden geanalyseerd, ğ) vergoeding van schade te vragen als hij schade lijdt doordat persoonsgegevens in strijd met de wet zijn verwerkt.

Daarnaast kan, voor verwerkingen op basis van toestemming (commerciële elektronische berichten), de gegeven toestemming los van de algemene rechten op grond van KVKK art. 11 op elk moment en zonder opgaaf van redenen worden ingetrokken. De intrekking van de toestemming doet geen afbreuk aan de rechtmatigheid van de verwerking vóór de intrekking.

Wijze van indienen: Om de bovengenoemde rechten uit te oefenen, kunt u uw verzoeken schriftelijk, met de nodige gegevens om uw identiteit vast te stellen, op de wijze die artikel 13 van de KVKK en het Communiqué over de procedures en beginselen voor verzoeken aan de verwerkingsverantwoordelijke voorschrijven, sturen naar hello@corenta.app. Uw verzoeken worden, afhankelijk van hun aard, uiterlijk binnen 30 (dertig) dagen kosteloos afgehandeld langs wegen die geen extra kosten vergen; als de handeling extra kosten vergt, kan de vergoeding volgens het tarief dat de Raad voor de Bescherming van Persoonsgegevens heeft vastgesteld, in rekening worden gebracht.

DEEL B — GEBRUIK VAN HET SAAS-PRODUCT CORENTA DOOR KLINIEKEN

Dit deel geldt voor personeel van de kliniek (beheerder, specialist/instructeur, receptie enz.) dat Corenta gebruikt via een centrum voor klinische pilates, fysiotherapie, reformer, wellness/massage of yoga ("Kliniek"), en voor de cliënten/patiënten van deze klinieken.

B.1. Juridische grondslag van de rolverdeling — lees dit aandachtig

De Kliniek die Corenta aanschaft en in gebruik neemt, heeft voor de persoonsgegevens van haar eigen cliënten/patiënten en haar eigen personeel de hoedanigheid van "Verwerkingsverantwoordelijke" op grond van KVKK art. 3/ı. De KVKK-informatieplicht tegenover cliënten/patiënten en personeel en, waar nodig, het verkrijgen van uitdrukkelijke toestemming (in het bijzonder toestemming voor de verwerking van gezondheidsgegevens als bijzondere categorie) zijn in de eerste plaats en uiteindelijk de verantwoordelijkheid van de Kliniek.

Teta Studio (Corenta) is op grond van KVKK art. 3/ğ uitsluitend Verwerker. Teta Studio verwerkt deze gegevens overeenkomstig de instructies van de Kliniek en namens de Kliniek, uitsluitend door de technische infrastructuur van het Platform te leveren; het bepaalt geen zelfstandig verwerkingsdoel voor zichzelf en verwerkt deze gegevens niet buiten de instructies van de Kliniek voor eigen commerciële doeleinden (advertenties, verkoop aan derden enz.). De verwerkingen die Teta Studio voor eigen doeleinden uitvoert (gebruikersaccount van de kliniek, abonnement, service-e-mails, Ontdekken/uitnodiging tot beoordeling en beoordelingen, beveiliging en gepseudonimiseerde productmeting), zijn niet het onderwerp van dit Deel B maar van Deel C; voor deze activiteiten is Teta Studio verwerkingsverantwoordelijke.

Het product Corenta biedt hulpmiddelen die het de Kliniek technisch gemakkelijker maken deze verplichtingen na te komen (toestemmingsscherm in de mobiele app, toestemmingsregistraties met versies, mechanisme om in te trekken enz. — zie B.2). Het bestaan van deze hulpmiddelen betekent niet dat de Kliniek de juridische verplichtingen die voortvloeien uit haar hoedanigheid van Verwerkingsverantwoordelijke aan Teta Studio heeft overgedragen, of dat Teta Studio deze verplichtingen op zich heeft genomen.

De verwerkersrelatie tussen de Kliniek en Teta Studio wordt geregeld in een afzonderlijke Verwerkersovereenkomst (Data Processing Agreement/DPA); deze overeenkomst beschrijft in detail de te verwerken gegevenscategorieën, de verwerkingsdoeleinden, de beveiligingsmaatregelen, het gebruik van subverwerkers en de verplichtingen van de partijen op grond van KVKK art. 12.

Dit Deel B treedt niet in de plaats van de informatietekst die de Kliniek aan haar eigen cliënten/personeel moet verstrekken en is daarvoor geen vervanging. Het doel van dit deel is transparant uit te leggen welke gegevens Teta Studio als Verwerker op het Platform voor welk doel verwerkt, en de Kliniek een kader te bieden waarnaar zij kan verwijzen bij het opstellen van haar eigen informatietekst. Als de Kliniek het gemeenschappelijke/centrale informatiescherm en de optionele toestemmingsschermen die Corenta in de mobiele app biedt (zie B.2) niet voldoende vindt, kan zij met eigen middelen (schriftelijke tekst, e-mail, mondelinge informatie enz.) een aanvullend/afzonderlijk informatieproces voor haar eigen Cliënten en personeel uitvoeren; dit valt onder de eigen juridische verantwoordelijkheid van de Kliniek.

B.2. Informatie- en toestemmingsmechanisme in het platform (ter informatie)

In de mobiele app van Corenta is er bij het eerste gebruik (onboarding) een scherm (kvkk.tsx) dat door Teta Studio is opgesteld en gezamenlijk aan de cliënten/gebruikers van alle klinieken wordt getoond. Overeenkomstig principebesluit nr. 2026/347 van de Raad worden informatieverstrekking en toestemming in afzonderlijke stappen getoond:

De registraties worden met versies bijgehouden in de tabel consent_logs. Technische opmerking: het tonen van de informatie wordt in deze tabel momenteel geregistreerd met het type kvkk; deze registratie is geen toestemming, maar een verklaring dat de informatie is getoond en gelezen. De ene meldingstoestemming van het besturingssysteem wordt gebruikt voor het bezorgen van zowel transactionele als campagnemeldingen; campagnemeldingen mogen alleen worden verzonden als toestemming 2b is gegeven.

Dit scherm en deze teksten zijn niet per Kliniek gedifferentieerd, maar worden als een gemeenschappelijke versie voor het hele Platform aangeboden; de identiteitsgegevens van de kliniek (naam, adres, contact voor verzoeken) worden momenteel niet automatisch aan de tekst toegevoegd. Wanneer de versie van de informatietekst verandert, wordt de gebruiker bij de volgende aanmelding gevraagd te verklaren dat hij de nieuwe tekst heeft gelezen (ook dit is geen toestemming). Toestemming voor gezondheidsgegevens en toestemming voor campagnes kunnen op elk moment worden ingetrokken (gevolgd met het veld revoked_at); de intrekking van de toestemming voor gezondheidsgegevens heeft geen invloed op het gebruik van afspraken en account.

Als de Kliniek, als zorgverlener met een geheimhoudingsplicht (bijv. fysiotherapeut), gezondheidsgegevens voor behandeldoeleinden verwerkt op grond van KVKK art. 6/3-e, kan alleen informatieverstrekking in plaats van een scherm voor uitdrukkelijke toestemming volstaan; andere bedrijven (bijv. een pilates-/wellnessstudio) mogen gezondheidsgegevens alleen verwerken op basis van optionele uitdrukkelijke toestemming op grond van art. 6/3-a. Op welke rechtsgrond wordt gesteund en of de inhoud van de informatieverstrekking bij de eigen activiteit past, is de verantwoordelijkheid van de Kliniek.

B.3. Categorieën gegevens die Teta Studio als Verwerker verwerkt

Als gevolg van de technische werking van het Platform worden, overeenkomstig de instructie van de Kliniek, de volgende gegevenscategorieën verwerkt:

Bevoegdheid om gezondheidsvelden te schrijven (per 4 oktober 2026): De gezondheidsvelden van de cliënt (bloedgroep, allergieën, chronische aandoeningen, medicatie) kunnen alleen door de cliënt zelf en de toegewezen specialist worden ingevuld; de bedrijfseigenaar/beheerder kan niet in deze velden schrijven (wel de contactpersoon voor noodgevallen en de identiteitsvelden bewerken).

Gepseudonimiseerde productmeting: Voor deze activiteit is Teta Studio verwerkingsverantwoordelijke; de details staan in Deel C. De meting gebeurt met een pseudoniem van de kliniek; dit pseudoniem is een pseudoniem (het is niet identiteitsloos). De functie is momenteel uitgeschakeld.

Betaalbewijzen (per 4 oktober 2026): Betaalbewijzen die niet aan een betaling zijn gekoppeld (wees-bewijzen), worden na 7 dagen automatisch gewist; een aan een betaling gekoppeld bewijs wordt door geen enkele rol gewist.

Duidelijkheid over mobiele toestemmingen (per 18 oktober 2026): De mobiele app van Corenta vraagt op het niveau van het besturingssysteem alleen de meldingstoestemming (in de context gevraagd) en op iOS toegang tot de fotobibliotheek (op het moment dat een profielfoto, anamnesebijlage, betaalbewijs, afbeelding bij een aankondiging of studiovideo wordt gekozen); als de app-vergrendeling aan staat, wordt de Face ID-/vingerafdrukverificatie van het apparaat op het apparaat zelf gebruikt en worden geen biometrische gegevens naar Corenta verzonden. Op Android zijn de toestemmingen voor camera en microfoon bewust uit het manifest van de app verwijderd. De app vraagt geen toestemming voor camera, microfoon, locatie, contacten (contacts) of agenda, en geen toegang tot HealthKit/gezondheidssensoren. De kaart van Ontdekken gebruikt de locatie van het apparaat niet; er wordt alleen gezocht op de provincie/het district of het kaartgebied dat de gebruiker kiest.

Bijzondere persoonsgegevens (gezondheidsgegevens) mogen op grond van KVKK art. 6 alleen worden verwerkt met uitdrukkelijke toestemming of in de uitzonderlijke gevallen die de wet voorschrijft (zoals verwerking door personen met een geheimhoudingsplicht ter bescherming van de volksgezondheid, preventieve geneeskunde, medische diagnose/behandeling, planning en financiering van gezondheidsdiensten). In het Corenta-ecosysteem worden deze gegevens ingevoerd door de bevoegde gezondheids-/wellnessspecialisten van de Kliniek, volgens de rechtsgrond waarop de Kliniek steunt (art. 6/3-a optionele uitdrukkelijke toestemming of art. 6/3-e); Teta Studio host/verwerkt deze gegevens uitsluitend overeenkomstig de instructie van de Kliniek en beschermt ze met verhoogde beveiligingsmaatregelen (zie B.6).

Bewaartermijn en verwijderingsmethode — kruisverwijzing: Voor elk van de bovenstaande categorieën worden de bewaartermijn en de methode die na een verzoek om verwijdering van het account wordt toegepast (definitieve wissing of anonimisering) samengevat in B.8/a en met een gedetailleerde tabel en motivering uitgelegd in veri-saklama-imha-politikasi.md (Deel 4-6). In het bijzonder voor de regels Gezondheidsgegevens, Transactie-/financiële gegevens en Informatie- en toestemmingsregistraties: in de fase van definitieve verwijdering van het account worden deze registraties niet met DELETE verwijderd; de koppeling aan de persoon wordt verbroken en sommige vrije-tekstvelden worden leeggemaakt. Omdat de vrije tekst van sessienotities niet wordt gewijzigd, worden deze registraties in geen geval als anoniem beschouwd; ze worden met beperkte toegang bewaard (zie B.8/a).

B.3-A. Gemeenschaps- en groeifuncties — verband met gezondheidsgegevens (per 18 oktober 2026)

Gezondheidsgegevens zijn bijzondere persoonsgegevens in de zin van KVKK art. 6. De onderstaande functies zijn niet ontworpen om gezondheidsgegevens te verwerken; bij elke functie staat apart beschreven hoe met gezondheidsgegevens wordt omgegaan:

In klinieken die gezondheidsdiensten verlenen, zoals fysiotherapie, kan het feit dat een cliënt aan een les of groep deelneemt, erop wijzen dat die persoon een gezondheidsdienst ontvangt. Daarom ligt de beslissing om deze functies al dan niet te gebruiken en hoe de cliënten hierover worden geïnformeerd, bij de Kliniek als verwerkingsverantwoordelijke. Kliniekgroepen (group_chats) en uitdagingen (leagues) zijn afzonderlijke modules en zijn zo ontworpen dat ze per kliniek kunnen worden uitgeschakeld.

B.4. Verwerkingsdoeleinden en rechtsgronden

De rechtsgronden in de onderstaande tabel kunnen, afhankelijk van de aard van de betreffende gegevens, twee verschillende betekenissen hebben: (i) de rechtsgrond waarop de Kliniek (als verwerkingsverantwoordelijke) zich tegenover haar cliënt/personeel beroept, of (ii) de rechtsgrond die geldt voor de eigen zelfstandige activiteiten van Teta Studio (zoals platformbeveiliging, facturering, wettelijke verplichting). Gelet op het feit dat Teta Studio zelf geen zelfstandig "verwerkingsdoel" bepaalt (zie B.1), moet met name de regel over bijzondere gegevens worden gelezen als een weergave van de rechtsgrond van de Kliniek:

B.5. Doorgifte van persoonsgegevens (binnenland en buitenland)

Voor de werking van het Platform worden persoonsgegevens in beperkte en technisch noodzakelijke mate gedeeld met de volgende subverwerkers (sub-processors):

Overige opmerkingen over de infrastructuur:

• E-mailinfrastructuur: Service-e-mails (proefperiode, teamuitnodiging, antwoorden van support) worden via SMTP verzonden via Google Workspace (Google); authenticatie-e-mails (e-mailverificatie, wachtwoordherstel) worden door Supabase Auth in gang gezet. Promotionele e-mails worden alleen verzonden op voorwaarde van afzonderlijke toestemming en registratie in het İYS (zie Deel C). Pushmeldingen worden via Apple (APNs) en Google (FCM) bezorgd.
• Analysehulpmiddel: Er wordt geen analysehulpmiddel van derden (bijv. Google Analytics) gebruikt. Meting van het productgebruik in de app is momenteel niet actief; als deze wordt geactiveerd, wordt de meting weggeschreven naar een first-party tabel in Corenta's eigen database (Supabase, Frankfurt/Duitsland), bevat zij geen gezondheidsgegevens of vrije tekst en wordt deze Tekst vóór de activering bijgewerkt.
• Foutbewaking: Er wordt geen foutbewakingshulpmiddel van derden gebruikt; fouten aan de clientzijde worden in Corenta's eigen database (Supabase) geregistreerd.
• Realtime berichtoverdracht en video's (per 18 oktober 2026): Eén-op-één- en groepsberichten worden met de realtime-overdrachtsdienst van Supabase (Realtime) alleen aan bevoegde gebruikers bezorgd; studiovideo's worden in de bestandsopslag van Supabase bewaard. Deze vallen onder de regel van Supabase (nr. 1); er is geen nieuwe subverwerker toegevoegd.
• Betaling met creditcard via het web: Wordt momenteel niet ondersteund; alle abonnementsbetalingen verlopen uitsluitend via het mechanisme voor in-app-aankopen (IAP) van Apple/Google.

Doorgifte naar het buitenland: Uw gegevens worden verwerkt via dienstverleners buiten Turkije: Supabase (database, authenticatie en bestandsopslag; de gegevens worden gehost in Duitsland/Frankfurt), Vercel (hosting van het webpaneel; wereldwijde infrastructuur), Google (e-mail via Google Workspace en meldingen via Firebase Cloud Messaging; wereldwijd) en Apple (meldingen en winkel; wereldwijd). Ook hosting in Duitsland is een doorgifte naar het buitenland in de zin van Wet nr. 6698. Omdat deze doorgiften regelmatig en doorlopend zijn, worden zij niet op uitdrukkelijke toestemming gebaseerd; zij zullen worden gebaseerd op een van de verwerkingsgronden in de artikelen 5 en 6 van de KVKK en op de standaardcontracten die de Raad voor de Bescherming van Persoonsgegevens op grond van art. 9/4-c heeft bekendgemaakt. Als verwerker zal Teta Studio met elke subverwerker het standaardcontract Module 3 (van verwerker naar verwerker) ondertekenen en dit binnen 5 werkdagen na de datum van ondertekening bij de Raad melden. Op de datum van deze tekst zijn de standaardcontracten nog niet ondertekend en nog niet bij de Raad gemeld; zodra ondertekening en melding zijn afgerond, wordt dit gedeelte bijgewerkt met een lijst van aanbieders en data. Er is geen adequaatheidsbesluit van de Raad over deze landen (laatste controle: 11 oktober 2026). De Kliniek neemt deze doorgiften op in haar eigen informatietekst.

De bovenstaande lijst van subverwerkers wordt bovendien actueel bijgehouden in de bijlage bij de DPA tussen de Kliniek en Teta Studio; de Kliniek wordt over wijzigingen in de lijst van subverwerkers geïnformeerd volgens de in de DPA voorziene procedure. Persoonsgegevens kunnen alleen in de gevallen die de toepasselijke regelgeving voorschrijft en beperkt tot het verzoek worden doorgegeven aan wettelijk bevoegde overheidsinstanties en -organisaties; Teta Studio verkoopt of verhuurt de persoonsgegevens die het verwerkt in geen geval voor commerciële doeleinden aan derden.

B.6. Beveiligingsmaatregelen

Om de beveiliging te waarborgen van de persoonsgegevens die het als Verwerker verwerkt, past Teta Studio de volgende technische en organisatorische maatregelen toe:

• Tenantisolatie (multi-tenant isolation): Alle gegevenstabellen op het Platform zijn gescheiden met het veld tenant_id en worden beschermd met uitgebreid beleid voor beveiliging op rijniveau (Row Level Security/RLS) volgens het principe van standaard weigeren (default-deny); toegang van een Kliniek tot de gegevens van een andere Kliniek is technisch geblokkeerd.
• Beperking van de toegang tot gezondheidsgegevens: Anamneseformulieren, sessienotities en metingsgegevens zijn op RLS-niveau alleen toegankelijk voor de betreffende cliënt, de aan de cliënt toegewezen specialist en de bevoegde beheerder van de kliniek; sessienotities die de specialist als "gedeeld met het team" heeft gemarkeerd, kunnen ook door andere specialisten van de kliniek worden ingezien. Toegang door personeel is mogelijk wanneer de betreffende gezondheidsmodule (anamnese, meting, sessienotitie) aan staat.
• Onveranderlijkheid (append-only): Verzonden sessienotities (wanneer het veld submitted_at is gevuld) zijn op databaseniveau beschermd tegen bijwerken of wissen; ook voor anamneseformulieren is aan geen enkele gebruikersrol (inclusief de beheerder van de kliniek) een wisbevoegdheid (DELETE) toegekend. Enige en smalle uitzondering: in het proces van definitieve verwijdering van een account (zie B.8/a) kan alleen het geprivilegieerde (service-role) achtergrondproces, zonder de INHOUD van de sessienotitie aan te raken, uitsluitend de kolommen die de koppeling aan de persoon vormen (client_id/specialist_id) op databaseniveau op NULL zetten; dit doet geen afbreuk aan het append-only-principe — het is een doorgang met één doel die uitsluitend voldoet aan de verplichting tot het verbreken van de koppeling aan de persoon (anonimisering) op grond van de KVKK (details: veri-saklama-imha-politikasi.md Deel 6.2).
• Beperkingen van de supportmodus van de superbeheerder (impersonation): De toegangsmodus van de superbeheerder die voor technische support wordt gebruikt, is in tijd beperkt (30 minuten) en standaard alleen-lezen; schrijfhandelingen en toegang tot gezondheidsgegevens kunnen alleen worden geopend met afzonderlijke stappen die extra goedkeuring vereisen (de vlag health_data_enabled); voor tabellen met gezondheidsgegevens wordt in geen enkel impersonatiescenario schrijfbevoegdheid verleend — deze beperking is zonder uitzondering in het databasebeleid toegepast.
• Beveiliging van de overdracht: Gegevens worden tijdens de overdracht met TLS versleuteld.
• Opslag op het apparaat: In de mobiele app worden sessietokens versleuteld bewaard in de beveiligde, door hardware ondersteunde sleutelhanger van het apparaat (expo-secure-store op basis van iOS Keychain / Android Keystore).
• Bescherming van gevoelige schermen: Op mobiele schermen met gezondheidsgegevens worden schermafbeeldingen en schermopnamen geblokkeerd (blokkering van schermopname/-afbeelding op iOS; FLAG_SECURE op Android).
• Beveiliging van beheerdersaccounts: Beheerdersaccounts van het platform (superbeheerder) vereisen verificatie in twee stappen (MFA, AAL2).
• Integriteit van betalingen: Voor betalingsmeldingen (webhooks) van de winkels (Apple/Google) is een infrastructuur voor de verificatie van cryptografische handtekeningen toegepast; het volledig afronden van de configuratie op dit gebied in de productieomgeving voor alle aanbieders en de voortdurende verbetering daarvan zijn nog gaande.

Ondanks de bovenstaande maatregelen wordt uitdrukkelijk vermeld dat voor geen enkel informatiesysteem absolute beveiliging kan worden gegarandeerd. Deze maatregelen worden voortdurend herzien en verbeterd als onderdeel van de verplichtingen van de Verwerker op grond van KVKK art. 12. Wanneer Teta Studio als verwerker kennisneemt van een datalek, meldt het dit aan de Kliniek zonder onredelijke vertraging en uiterlijk binnen 24 uur (Raad 2019/10). De melding aan de Raad en aan de betrokkenen is de verplichting van de Kliniek als verwerkingsverantwoordelijke. Voor gegevens waarvoor Teta Studio verwerkingsverantwoordelijke is (Deel A en C), doet Teta Studio de melding aan de Raad binnen 72 uur.

B.7. Aanvullende informatie over de supportmodus van de superbeheerder (impersonation)

Bevoegde supportmedewerkers van Teta Studio kunnen in het kader van verzoeken om technische support van de Kliniek tijdelijk toegang krijgen tot het account van de Kliniek via een beperkte en controleerbare "supportmodus". Deze toegang:

• is beperkt tot ten hoogste 30 minuten en eindigt automatisch aan het einde van die tijd,
• is standaard alleen-lezen (read-only),
• schrijfbevoegdheid en toegang tot gezondheidsgegevens kunnen worden geopend met afzonderlijke stappen die extra goedkeuring vereisen; schrijftoegang tot tabellen met gezondheidsgegevens wordt onder geen enkele voorwaarde verleend,
• wordt gelogd en valt onder de audittrail.

Contactgegevens van cliënten in de supportmodus (per 4 oktober 2026): In een Corenta-supportsessie (superbeheerder) worden het e-mailadres en het telefoonnummer van de cliënt niet aan supportmedewerkers getoond; supportmedewerkers kunnen alleen een beperkte identiteitssamenvatting zien (naam, accountstatus, activiteit, aanmaakdatum).

B.8. Bewaartermijn van persoonsgegevens en wijze van uitoefening van de rechten van betrokkenen

Persoonsgegevens worden bewaard zolang dat voor het betreffende doel nodig is en gedurende de wettelijke bewaartermijnen die de toepasselijke regelgeving voorschrijft. De onderstaande rechten worden op grond van KVKK art. 11 in de eerste plaats uitgeoefend tegenover de Kliniek in haar hoedanigheid van Verwerkingsverantwoordelijke. Teta Studio zorgt als Verwerker, op verzoek van de Kliniek, voor de technische uitvoering van deze rechten. De concrete mechanismen die in het Platform worden geboden, zijn:

a) Recht op wissing: Verwijdering van het account (per 4 oktober 2026): Zodra het verwijderverzoek is bevestigd, wordt de toegang tot het account direct beëindigd (sessies worden beëindigd, inloggen is niet mogelijk); persoonsgegevens worden gewist of geanonimiseerd (naam, e-mail, telefoon, afbeelding en identiteits-/contactgegevens van de cliënt en gezondheidsvelden — bloedgroep, allergieën, chronische aandoeningen, medicatie — worden leeggemaakt); betalings- en verdienstenregistraties met een wettelijke bewaarplicht worden niet gewist; zij worden bewaard nadat de koppeling aan de persoon is verbroken, met beperkte toegang. Na het verzoek is er geen herroepingstermijn; de definitieve wissing van de authenticatieregistratie en de bestanden wordt afgerond in het bestaande achtergrondproces van dertig dagen.

Verwijdering van een cliëntregistratie en gezondheidsvelden (per 4 oktober 2026): Wanneer een cliëntregistratie zonder account door het bedrijf wordt verwijderd, wordt de registratie direct uit de actieve lijst gehaald; na 30 dagen worden samen met de identiteits- en contactgegevens ook de gezondheidsvelden van de cliënt (bloedgroep, allergieën, chronische aandoeningen, medicatie) gewist/leeggemaakt. De bewaarregels voor anamneseformulieren, metingen en sessienotities worden door deze bepaling niet geraakt.

Groepsberichten en gemeenschapsregistraties (per 18 oktober 2026): Een lid kan zijn eigen groepsbericht op elk moment wissen; de tekst van het gewiste bericht wordt uit de registratie verwijderd. Wanneer een account definitief wordt verwijderd, worden het groepslidmaatschap, de registraties van gekoppelde apparaten en de profielkaartjes van de specialist gewist; deelname aan uitdagingen is gekoppeld aan de cliëntregistratie en valt onder dezelfde regel als de cliëntregistratie; de tekst van eerder in de groep verzonden berichten blijft echter in de groep staan, zonder de gegevens van de afzender. Een gebruiker die zijn berichten wil verwijderen, kan ze daarom vóór het verwijderen van zijn account een voor een wissen. De tekst van een bericht dat door het team is verborgen, wordt apart bewaard voor beoordeling door het team. De bewaartermijnen van groepsberichten en van deze kopie staan in veri-saklama-imha-politikasi.md Deel 4, Nr. 12; de kopie wordt ten hoogste 1 jaar bewaard. Registraties van groepen, uitdagingen, badges en stempelkaart maken momenteel geen deel uit van de export "Mijn gegevens downloaden"; voor deze registraties kan een verzoek om informatie worden ingediend bij de Kliniek of via hello@corenta.app.

Wanneer de gebruiker in de app om verwijdering van het account verzoekt (functie delete_my_account), past het systeem een verwijderingsarchitectuur in twee fasen toe. De onderstaande samenvatting is een eerlijke en technisch gecontroleerde uitleg van de methode die per gegevenscategorie wordt toegepast (definitieve wissing of anonimisering); voor alle details en de tabel, zie veri-saklama-imha-politikasi.md (in het bijzonder Deel 4-6).

• Fase 1 — moment van het verzoek: De toegang tot het account wordt direct beëindigd (er is geen herroepingstermijn); het profiel wordt gedeactiveerd, identiteits- en gezondheidsvelden worden leeggemaakt, openstaande afspraken worden geannuleerd, toewijzingen worden opgeheven, gegeven toestemmingen worden ingetrokken.
• Fase 2 — definitieve verwerking na 30 dagen: 30 dagen na deze eerste fase vindt een handeling plaats die uitsluitend door een geprivilegieerde (service-role) achtergrondtaak (cron) onomkeerbaar wordt gestart en per gegevenscategorie met twee verschillende methoden wordt toegepast; deze handeling kan niet handmatig/administratief worden gestart of vervroegd/uitgesteld:
• De authenticatieregistratie van de gebruiker (auth.users) en registraties zonder zelfstandige zakelijke/bewijswaarde (bijv. meldingen, notifications) worden definitief gewist (DELETE/cascade).
• Gezondheidsgegevens (anamneseformulieren, sessienotities, metingsregistraties) en klinische/financiële registraties (betaling, presentie) worden NIET met DELETE verwijderd — ZIJ WORDEN BEPERKT BEWAARD NA HET VERBREKEN VAN DE KOPPELING AAN DE PERSOON: de koppeling aan de persoon (zoals client_id/specialist_id) wordt op databaseniveau verbroken (ON DELETE SET NULL); sommige vrije-tekstvelden (antwoorden op de anamnese, notities bij metingen/betalingen, reden van terugbetaling, referentie van het bewijs) worden leeggemaakt of door een markering vervangen. De vrije tekst van sessienotities wordt niet gewijzigd; omdat in deze tekst en in gegevens zoals datum-/meetreeksen voldoende informatie kan achterblijven om de persoon opnieuw te identificeren, worden deze registraties niet als anoniem beschouwd. De registraties worden met beperkte toegang bewaard zolang de bewaarplicht van de Kliniek duurt en aan het einde van de termijn verwijderd; zo blijft voor sessienotities het append-only-principe behouden.
• Toestemmingsregistraties (consent_logs) worden evenmin met DELETE verwijderd; de koppeling aan de persoon wordt verbroken en het IP-adres wordt leeggemaakt, maar zij worden als bewijs dat de toestemming is gegeven/ingetrokken (met gegevens over type, versie en tijdstip) nog eens 5 jaar bewaard als bewijsregistratie waarvan de koppeling aan de persoon is verbroken (KVKK art. 5/2-e — vestiging en bescherming van een recht; de bewijslast voor uitdrukkelijke toestemming ligt bij de verwerkingsverantwoordelijke).
• Bijlagen: De avatar/profielfoto van de gebruiker, bijlagen bij de anamnese en afbeeldingen van betaalbewijzen (de buckets avatars, anamnesis-attachments, user-data-exports, payment-receipts in Storage) worden als onderdeel van de stap van definitieve wissing automatisch (best-effort) uit Storage gewist — als de wissing in een bucket mislukt, wordt dit gelogd, maar dit belet niet de opschoning van de andere buckets of de verwerking van het account. Eerlijke grens: De enige bestandscategorie die buiten dit automatische proces valt, zijn de identiteits-/diplomaverificatiedocumenten die in het registratieproces van specialisten/solo-gebruikers worden geüpload (bucket specialist-verification-docs) — deze documenten zijn technisch niet aan de gebruiker maar aan het verificatieproces van de tenant (de Kliniek) gekoppeld en vallen momenteel niet onder de automatische wissing; de verwijdering ervan wordt afzonderlijk behandeld in het proces waarin de Kliniek haar account/abonnement op tenantniveau sluit, en tot dat is afgerond, vindt bij uitzonderlijke verzoeken een handmatige beoordeling plaats via hello@corenta.app.
• Geen van de bovenstaande handelingen kan via de normale productinterfaces (ook niet door administratief personeel) handmatig worden gestart of gestopt — dit is een bewust beveiligingsontwerp om vervroegde/vertraagde wissing door vergissing of misbruik te voorkomen.
• Daarom wordt in deze Tekst geen absolute toezegging gedaan dat "bij verwijdering van het account alle gegevens zonder uitzondering en fysiek worden vernietigd": terwijl de authenticatieregistratie en registraties zonder zelfstandige zakelijke waarde definitief worden gewist, worden gezondheids-/klinische/financiële registraties en toestemmingsregistraties vanwege de bewaarplicht van de Kliniek (bewaarbepalingen in andere wetten blijven op grond van KVKK art. 7/2 onverlet) verder bewaard nadat de koppeling aan de persoon is verbroken en met beperkte toegang (met de hierboven beschreven termijnen); deze registraties zijn niet anoniem; voor technische resten in back-ups, zie ook veri-saklama-imha-politikasi.md Deel 6.3.
• Kanalen voor verzoeken: Een verzoek om verwijdering van het account kan worden gedaan via de self-servicefunctie "mijn account verwijderen" in de app, als de meest betrouwbare methode die direct resultaat oplevert; in dat geval wordt de betreffende functie rechtstreeks door de gebruiker gestart en verloopt het hierboven beschreven proces in twee fasen automatisch (dit is geen verzoek aan Teta Studio, maar een automatische systeemfunctie die de gebruiker zelf start). Als de gebruiker de functie in de app om welke reden dan ook niet kan gebruiken, kan hij zijn verzoek ook bij de Kliniek of via hello@corenta.app indienen; in dat geval wordt het verzoek binnen een redelijke termijn beoordeeld en in behandeling genomen en wordt, voor zover nodig, hetzelfde verwijderingsproces gestart. Deze uitzondering is een uitzondering op de algemene regel voor verzoeken die in B.9 hieronder wordt uitgelegd ("eerst moet de Kliniek worden benaderd") en vloeit alleen voort uit het feit dat de self-servicefunctie in de app rechtstreeks door de gebruiker kan worden gestart.

b) Recht op informatie / overdraagbaarheid van gegevens: Het Platform biedt een functie (export_user_data) waarmee de gebruiker zijn eigen gegevens kan exporteren. In overeenstemming met de multi-tenantstructuur bevat deze functie alleen de gegevens binnen de eigen tenant van de betreffende gebruiker. De gegevens worden binnen een redelijke termijn in een gestructureerde en machineleesbare vorm (JSON) aangeboden. Als het bestand kan worden aangemaakt, worden de gegevens ook als ZIP klaargezet en verstrekt met een persoonlijke (ondertekende) link die 7 dagen geldig is; als de ZIP niet kan worden aangemaakt, wordt alleen de JSON-uitvoer verstrekt.

c) Recht op rectificatie: Het bijwerken van gebruikersgegevens is technisch mogelijk via het beheerpaneel van de Kliniek. Het Platform heeft geen afzonderlijke, geautomatiseerde werkstroom voor een "verzoek om rectificatie"; verzoeken om rectificatie kunnen in het kader van de algemene rechten op grond van KVKK art. 11 worden ingediend bij de Kliniek of via hello@corenta.app bij Teta Studio.

d) Intrekking van toestemming: De verklaring dat de informatietekst is gelezen, is geen toestemming; zij schept geen toestemming die kan worden ingetrokken. De gebruiker kan de toestemming voor gezondheidsgegevens en de toestemming voor campagnemeldingen van de kliniek op elk moment via de mobiele app intrekken. De intrekking van de toestemming voor gezondheidsgegevens heeft geen invloed op het gebruik van afspraken en account; na de intrekking worden geen nieuwe gezondheidsgegevens geregistreerd, en eerdere registraties worden bewaard volgens de regels in B.8/a.

e) Overige rechten op grond van art. 11: De rechten om te vernemen of gegevens worden verwerkt, om te vernemen of de verwerking met het doel overeenstemt, om te weten aan welke derden gegevens zijn doorgegeven, om rectificatie van onvolledige/onjuiste verwerking te vragen en om vergoeding van schade door onrechtmatige verwerking te vragen, worden in de eerste plaats tegenover de Kliniek uitgeoefend; zij hebben dezelfde inhoud als het kader dat in A.8 is opgesomd.

B.9. Wijze van indienen van verzoeken

Cliënten en personeel van de kliniek moeten hun verzoeken op grond van de KVKK in de eerste plaats tot hun eigen Kliniek richten; de Kliniek is als Verwerkingsverantwoordelijke verplicht deze verzoeken overeenkomstig de procedure van KVKK art. 13 en uiterlijk binnen dertig (30) dagen te beantwoorden. Uitzondering: Self-servicemechanismen in de app, zoals het verwijderen van het account (zie B.8/a), kunnen door de gebruiker rechtstreeks worden gebruikt zonder dat tussenkomst van de Kliniek nodig is; voor de overige verzoeken op grond van KVKK art. 11 geldt als uitgangspunt dat eerst de Kliniek wordt benaderd.

Voor verzoeken van technische aard die rechtstreeks aan Teta Studio moeten worden gericht (bijv. als de verwijdering van het account of de exportfunctie niet werkt), of voor vragen over de activiteiten die Teta Studio zelf als verwerker uitvoert, kan contact worden opgenomen via hello@corenta.app. Teta Studio kan verzoeken die het ontvangt en waarvoor kennis/instructie van de betrokken Kliniek nodig is, in het kader van de DPA naar de Kliniek doorsturen.

B.10. Verplichtingen van de Kliniek

Elke Kliniek die Corenta gebruikt, erkent dat zij op grond van KVKK art. 3/ı de hoedanigheid van Verwerkingsverantwoordelijke heeft en dat de volgende verplichtingen uitsluitend bij haar liggen:

• het opstellen/verstrekken van de KVKK-informatietekst voor haar eigen Cliënten en Gebruikers (het kant-en-klare, gemeenschappelijke informatiescherm en de optionele toestemmingsschermen in de mobiele app van Corenta worden daartoe als technisch hulpmiddel aangeboden, maar het waarborgen dat de inhoud past bij de eigen activiteit van de Kliniek is de verantwoordelijkheid van de Kliniek; als de Kliniek dat nodig acht, kan zij overeenkomstig B.1 afzonderlijk een eigen aanvullend informatieproces uitvoeren),
• het bepalen van de rechtsgrond waarop de verwerking van gezondheidsgegevens berust (art. 6/3-a optionele uitdrukkelijke toestemming of art. 6/3-e); als uitdrukkelijke toestemming nodig is, deze op de juiste wijze verkrijgen en er geen voorwaarde voor de dienst van maken,
• het meedelen van haar eigen identiteitsgegevens (naam, adres, contact voor KVKK-verzoeken) aan cliënten (de gemeenschappelijke tekst in de app bevat deze gegevens momenteel niet automatisch),
• voor verwerkingsverantwoordelijken van wie de hoofdactiviteit de verwerking van gezondheidsgegevens is, ligt de VERBIS-uitzonderingsdrempel bij 10 werknemers per jaar en een balanstotaal van 10 miljoen TL (Raad 2025/1572); het beoordelen van haar eigen VERBIS-verplichting,
• het beantwoorden van verzoeken van betrokkenen binnen de termijnen van KVKK art. 13,
• het waarborgen van de gegevensbeveiliging met betrekking tot haar eigen personeel en onderaannemers,
• het naleven van de verplichtingen die zijn voorzien in de Verwerkersovereenkomst/Servicevoorwaarden tussen haar en Corenta.

Teta Studio aanvaardt geen aansprakelijkheid die voortvloeit uit het niet nakomen door de Kliniek van de bovenstaande verplichtingen.

DEEL C — INFORMATIE OVER CORENTA-ACCOUNTS EN HET PLATFORM (Teta Studio is verwerkingsverantwoordelijke)

Dit deel beschrijft de verwerkingen die Teta Studio in eigen naam en voor eigen doeleinden uitvoert. Voor deze activiteiten is Teta Studio op grond van KVKK art. 3/1-ı verwerkingsverantwoordelijke. Deze tekst wordt getoond wanneer een account voor een kliniekeigenaar/medewerker wordt aangemaakt en wanneer een cliënt de functie Ontdekken/beoordeling voor het eerst gebruikt. De onderstaande functies tussen studio's (competitie, uitnodiging, Oprichtersstudio, Corenta Lab, Ontdekken v2) staan in dit deel omdat ze meer dan één kliniek samenbrengen en hun doel door Teta Studio wordt bepaald. Informatie die namens een studio wordt verwerkt, is bij bedrijven met rechtspersoonlijkheid geen persoonsgegeven; bij studio's die als eenmanszaak werken en bij eenpersoonsstudio's wordt zij hier toegelicht omdat zij met een persoon in verband kan worden gebracht.

C.1. Verwerkingsverantwoordelijke

Mertcan Demir — eenmanszaak onder de handelsnaam "Teta Studio" (identiteits- en contactgegevens: A.1). Verzoeken: hello@corenta.app.

C.2. Verwerkingen, doeleinden en rechtsgronden

Ontdekken en uitnodiging tot beoordeling: De uitnodiging tot beoordeling wordt, als de kliniek de functie Ontdekken inschakelt, verzonden op basis van de gegevens van de afgeronde afspraak. De kliniek geeft via de Verwerkersovereenkomst de instructie dat deze gegevens alleen aan Teta Studio worden doorgegeven om de uitnodiging te verzenden en de geverifieerde beoordeling te publiceren; in een kliniek waar Ontdekken uitgeschakeld is, wordt geen uitnodiging verzonden. Een gepubliceerde beoordeling kan openbaar laten zien dat u diensten afneemt van een gezondheids-/bewegingsbedrijf; houd daar rekening mee voordat u publiceert.

Gepseudonimiseerde meting: De meting gebeurt met een pseudoniem van de kliniek; dit is een pseudoniem en kan bij een eenpersoonsbedrijf met een persoon in verband worden gebracht. Zij bevat geen IP-adres, geen gezondheidsgegevens en geen herkomst- of advertentietracking. De functie is momenteel uitgeschakeld; voordat ze wordt ingeschakeld, wordt deze tekst bijgewerkt.

Zichtbaarheid in gemeenschaps- en groeifuncties: De informatie die in de competitie, de lijst van Oprichtersstudio's, Corenta Lab en Ontdekken aan andere gebruikers wordt getoond, is alleen wat in de bovenstaande tabel staat. In deze functies worden geen gezondheidsgegevens van cliënten verwerkt (details: B.3-A). Bij de studio-uitnodiging, Oprichtersstudio en het Lab worden geen geldbeloningen of prijskortingen gegeven; de beloningen zijn rechten in de app, zoals 7 dagen Boost, een proefperiode en tegoed.

C.3. Ontvangers en doorgifte naar het buitenland

Supabase (hosting; Duitsland/Frankfurt), Vercel (webpaneel), Google (e-mail via Google Workspace, Firebase Cloud Messaging, Google Play) en Apple (APNs, App Store). Doorgifte aan deze aanbieders is een doorgifte naar het buitenland; de grondslag en de huidige stand daarvan staan in de alinea "Doorgifte naar het buitenland" in B.5 (voor deze stromen waarvoor Corenta verwerkingsverantwoordelijke is, zal het standaardcontract Module 2 — van verwerkingsverantwoordelijke naar verwerker — worden gebruikt; op de datum van deze tekst is het nog niet ondertekend).

C.4. Commerciële elektronische berichten

Teta Studio verstuurt promotionele en campagne-e-mails alleen als u daarvoor afzonderlijk toestemming hebt gegeven met een niet-aangevinkt vakje. Teta Studio verstuurt geen promotionele e-mails zonder zich te hebben geregistreerd in het systeem voor het beheer van commerciële berichten (İYS); na de registratie worden de toestemmingen binnen 3 werkdagen in het İYS geladen. Elk promotioneel bericht bevat de identiteit en contactgegevens van de afzender en een kosteloze afmeldlink. E-mails over de proefperiode, teamuitnodigingen en support zijn serviceberichten; zij bevatten geen promotionele elementen.

C.5. Bewaring, rechten en verzoeken

De bewaartermijnen staan in veri-saklama-imha-politikasi.md. Van de op 18 oktober 2026 toegevoegde registraties worden de hashes voor herhaalde proefperiodes en de registraties voor competitie, uitnodiging, Oprichtersstudio en Lab bewaard tot het betrokken studioaccount definitief is verwijderd; apparaatregistraties tot het gebruikersaccount definitief is verwijderd. Voor deze registraties is nog geen afzonderlijke maximale termijn vastgesteld; die wordt aan het bewaarbeleid toegevoegd. U kunt uw rechten op grond van KVKK art. 11 (A.8) uitoefenen door u te wenden tot hello@corenta.app; verzoeken worden uiterlijk binnen 30 dagen kosteloos beantwoord.

GEMEENSCHAPPELIJKE BEPALINGEN (gelden voor beide delen)

G.1. Geautomatiseerde besluitvorming en profilering

Corenta voert geen profilering uit voor advertentie- of marketingdoeleinden. Per 18 oktober 2026 werken de volgende regels echter automatisch en kunnen zij voor de betrokkene of de studio een beperkt nadelig resultaat opleveren:

De markering voor herhaalde proefperiodes is geen geautomatiseerd besluit: een overeenkomst blokkeert de proefperiode niet, maar komt alleen ter beoordeling bij de platformbeheerder terecht. Op grond van KVKK art. 11/1-g blijft uw recht onverlet om bezwaar te maken tegen een voor u nadelig resultaat dat ontstaat doordat gegevens uitsluitend met geautomatiseerde systemen worden geanalyseerd.

G.2. Bijwerking van de informatietekst

Deze Informatietekst kan worden bijgewerkt naar aanleiding van wijzigingen in de regelgeving, besluiten van de Raad voor de Bescherming van Persoonsgegevens, de functionele ontwikkeling van het Platform of wijzigingen in subverwerkers/dienstverleners. De actuele versie is altijd beschikbaar via corenta.app/legal/kvkk-aydinlatma-metni en het documentenscherm in de app. In de context van het SaaS-product (Deel B) wordt de gebruiker, wanneer de versie van de informatietekst verandert, bij de volgende aanmelding gevraagd te verklaren dat hij de nieuwe tekst heeft gelezen; dit is geen toestemming, maar een bewijs van de informatieverstrekking (zie B.2).

G.3. Toepasselijk recht en bevoegdheid

Deze Informatietekst is opgesteld in het kader van de Turkse Wet nr. 6698 bescherming persoonsgegevens en de bijbehorende secundaire regelgeving (Verordening over het wissen, vernietigen of anonimiseren van persoonsgegevens; Verordening over het register van verwerkingsverantwoordelijken; Communiqué over de procedures en beginselen voor de nakoming van de informatieplicht; Communiqué over de procedures en beginselen voor verzoeken aan de verwerkingsverantwoordelijke). Op de uitleg en toepassing van deze tekst is het recht van de Republiek Turkije van toepassing; bij geschillen zijn de Raad voor de Bescherming van Persoonsgegevens en de bevoegde Turkse rechtbanken/executiekantoren bevoegd.

G.4. Contact

Voor alle vragen, verzoeken en aanvragen over de verwerking van persoonsgegevens:

• E-mail: hello@corenta.app
• Support: support@corenta.app
• Dienstgebied: Corenta wordt wereldwijd aangeboden via de App Store en Google Play, in de landen waar deze winkels beschikbaar zijn. Deze tekst is de informatieverstrekking op grond van Wet nr. 6698; voor personen in de EU/EER geldt daarnaast de AVG-verklaring, en de dwingende gegevensbeschermingsbepalingen van het land waar u zich bevindt, blijven onverlet.
• Bedrijfswebsite: corenta.app

Ingangsdatum / laatst bijgewerkt: 19 oktober 2026 Versie: 2.3 · 19 oktober 2026. Het wijzigingslogboek staat aan het begin van het document.