CORENTA — KLAUZULA INFORMACYJNA NA PODSTAWIE KVKK (TÜRKİYE KİŞİSEL VERİLERİN KORUNMASI KANUNU)

To tłumaczenie ma charakter wyłącznie informacyjny; wiążący jest tekst turecki.

Trzyczęściowa klauzula informacyjna według roli administratora / podmiotu przetwarzającego

Wersja: 2.3 · Obowiązuje od / ostatnia aktualizacja: 19 października 2026 Administrator danych / wydawca (Części A i C): Mertcan Demir — jednoosobowa działalność gospodarcza pod nazwą handlową "Teta Studio"

Historia zmian

• 2.3 — 19 października 2026: Uwzględniono zasięg globalny: sformułowanie "tylko Turcja" w G.4 zastąpiono oferowaniem usługi w wielu krajach za pośrednictwem sklepów oraz odesłaniem do Oświadczenia RODO dla UE/EOG. Czynności przetwarzania i podstawy prawne nie zmieniły się.
• 2.2 — 19 października 2026: Wersja do publikacji; obowiązuje od 19 października 2026. Z tabeli tożsamości w A.1 usunięto puste dane MERSİS i KEP. Okres przechowywania wiadomości grupowych z B.8/a powiązano z Polityką przechowywania i usuwania danych.
• 2.1 — 18 października 2026: Uwzględniono funkcje dodane 18 października 2026: grupy gabinetu, rywalizacje w studiu, odznaki klientów i kartę lojalnościową, cotygodniowe wyzwania i miesięczne podsumowanie (Część B); ligę studiów i rywalizacje miejskie, przenośną kartę profilu specjalisty, kod zaproszenia między studiami, program Studio Założycielskie, Corenta Lab, Odkrywaj v2 (krótki film, zajęcia próbne, miejsce sponsorowane), oznaczenie powtórnego okresu próbnego, powiązanie urządzeń i "Moje sesje", częściowy zwrot w sklepie oraz zapytanie Apple o informacje o korzystaniu (Część C). Sposób traktowania danych o zdrowiu w grupach, lidze, rywalizacjach i karcie profilu opisano w osobnej sekcji (B.3-A). Poprawiono G.1: wprost opisano trzy reguły dające automatyczny skutek dla osoby (kontrola nadużyć zaproszeń, ukrycie wiadomości grupowej po trzech zgłoszeniach, wykluczenie z ligi). Uprawnienia mobilne poprawiono zgodnie z kodem (aplikacja nie prosi o dostęp do aparatu). Wyłączone funkcje (weryfikacja udostępnień, sygnał popytu, gwarancja Boost, weryfikacja urządzenia, Turnstile, Sentry) nie zostały opisane w tym tekście; przed ich włączeniem potrzebna jest osobna aktualizacja tekstu.
• 2.0 — 11 października 2026: Zgodnie z przeglądem zgodności z 11 października 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): sekcje dotyczące przekazywania danych za granicę napisano od nowa zgodnie z art. 9 ustawy nr 6698 w brzmieniu obowiązującym od 2024 r. (Supabase/Frankfurt także jest przekazaniem za granicę; standardowe umowy nie zostały jeszcze podpisane); rozdzielono obowiązek informacyjny i wyraźną zgodę (klauzula informacyjna nie jest "zgodą", lecz potwierdzeniem "Przeczytałem/przeczytałam i rozumiem"; usunięto obowiązkowe pole zgody w formularzu wczesnego dostępu); zgodę na przetwarzanie danych o zdrowiu opisano jako dobrowolną; dla czynności, w których Teta Studio jest administratorem, dodano nową Część C — Informacje o koncie i platformie Corenta; dane identyfikacyjne poprawiono na jednoosobową działalność gospodarczą; ocenę dotyczącą VERBİS napisano zgodnie z decyzjami Kurul z 2025 r.; termin powiadomienia gabinetu o naruszeniu poprawiono na najpóźniej 24 godziny; sformułowanie o "anonimowym" przechowywaniu poprawiono na przechowywanie z ograniczonym dostępem bez powiązania z osobą; usuwanie załączników i link do eksportu powiązano z jednym, zweryfikowanym w kodzie sformułowaniem; poprawiono błędne odesłania do przepisów.
• 1.6 — 10 października 2026: Usunięto Expo (Expo Push Notification Service) z wykazu (dalszych) podmiotów przetwarzających; powiadomienia push są dostarczane wyłącznie przez Apple (APNs) i Google (FCM), a Expo/EAS jest jedynie narzędziem do budowania aplikacji i nie przetwarza danych użytkowników końcowych.
• 1.5 — 10 października 2026: Usunięto wzmiankę o wyborze Google Analytics; doprecyzowano, że nie korzystamy z analityki podmiotów trzecich, oraz kto przetwarza powiadomienia push.
• 1.4 — 4 października 2026: Obowiązujący tekst zatwierdzono jako wersję zaakceptowaną. W tej wersji uwzględniono wyłącznie: oznaczenie Teta Studio; rynek (Turcja); usuwanie konta (dostęp kończy się natychmiast, dane osobowe są usuwane/anonimizowane, dokumentacja płatności objęta ustawowym obowiązkiem przechowywania jest przechowywana bez danych identyfikacyjnych); usunięcie pól zdrowotnych klienta po 30 dniach; 7-dniowy termin dla osieroconych potwierdzeń; ukrycie danych kontaktowych klienta w trybie pomocy; pomiar po stronie serwera bez danych identyfikacyjnych; e-maile serwisowe i Google Workspace; podmioty przetwarzające powiadomienia push; adres pomocy (support@corenta.app); uprawnienie do zapisu w polach zdrowotnych.
• 1.3 — 4 sierpnia 2026: uzgodnienie sekcji B.6 i B.8/a z polityką przechowywania i usuwania danych.

0. O tym tekście — zakres i wskazówki do czytania

Niniejsza Klauzula informacyjna na podstawie ustawy o ochronie danych osobowych ("Klauzula informacyjna") została przygotowana zgodnie z art. 10 ustawy nr 6698 o ochronie danych osobowych ("KVKK" lub "Ustawa") oraz Komunikatem w sprawie trybu i zasad wykonywania obowiązku informacyjnego, aby poinformować osoby, których dane dotyczą, o przetwarzaniu danych osobowych w związku z produktem programistycznym (SaaS) o nazwie Corenta ("Corenta", "Produkt" lub "Platforma"), rozwijanym i prowadzonym przez Mertcana Demira ("Teta Studio", "my"), działającego w ramach jednoosobowej działalności gospodarczej pod nazwą handlową "Teta Studio", oraz ze stroną corenta.app, na której produkt jest prezentowany.

Corenta to wielodostępna (multi-tenant), projektowana przede wszystkim z myślą o urządzeniach mobilnych platforma programistyczna (Software-as-a-Service) dla małych gabinetów zdrowia i wellness, takich jak ośrodki pilatesu klinicznego, fizjoterapii, reformera, wellness/masażu i jogi; zapewnia zarządzanie wizytami, śledzenie pakietów/sesji, wywiad zdrowotny i notatki z sesji klientów, wynagrodzenia oraz śledzenie operacji finansowych.

0.1 Definicje

0.2 Dwa odrębne konteksty — dlaczego to ważne

W ekosystemie Corenta dane osobowe są przetwarzane w trzech różnych kontekstach i w dwóch różnych rolach: Część A (strona prezentacyjna; Teta Studio jest administratorem danych), Część B (dokumentacja gabinetu; Teta Studio jest podmiotem przetwarzającym) i Część C (konto Corenta, subskrypcja, e-maile serwisowe, Odkrywaj/opinie, funkcje rozwoju między studiami — liga, zaproszenie, Studio Założycielskie, Corenta Lab, przenośna karta profilu —, bezpieczeństwo konta i urządzeń oraz pomiar produktu; Teta Studio jest administratorem danych). Jasne zrozumienie tego podziału jest kluczowe dla prawidłowej wykładni Klauzuli informacyjnej, a obu kontekstów w żadnym wypadku nie należy mylić:

Dane o zdrowiu klienta gabinetu powstające w aplikacji Corenta i dane właściciela firmy, który wypełnia formularz wczesnego dostępu na stronie corenta.app, podlegają zupełnie różnym reżimom prawnym. Poniższe części zostały ułożone zgodnie z tym podziałem.

CZĘŚĆ A — STRONA FIRMOWA I FORMULARZ WCZESNEGO DOSTĘPU (corenta.app)

Ta część dotyczy osób fizycznych, które odwiedzają stronę corenta.app, wchodzą z nią w interakcję i/lub wypełniają formularz zgłoszenia do wczesnego dostępu. W tym kontekście Teta Studio działa jako Administrator danych w rozumieniu art. 3/ı KVKK i sama ustala cele i sposoby przetwarzania danych osobowych.

A.1. Tożsamość administratora danych

A.2. Kategorie przetwarzanych danych osobowych

Podczas wizyty na stronie corenta.app, wypełniania formularza wczesnego dostępu, wysyłania formularza kontaktowego lub prośby o demo/rozmowę handlową mogą być przetwarzane następujące kategorie danych osobowych:

(*) Wyjaśnienie dotyczące uwagi o plikach cookie: na dzień publikacji tego tekstu strona corenta.app nie ma aktywnego baneru/interfejsu zarządzania plikami cookie ani infrastruktury plików cookie podmiotów trzecich; adres IP i informacje o urządzeniu/przeglądarce wskazane w wierszu powyżej są przetwarzane w ograniczonym zakresie, wyłącznie w ramach podstawowych dzienników serwera i bezpieczeństwa formularzy, bez użycia aktywnej technologii plików cookie. Choć w infrastrukturze systemu technicznie zdefiniowano kategorię zgody na pliki cookie (cookies), obecnie nie jest ona faktycznie używana. W razie rozpoczęcia korzystania z plików cookie niniejsza Klauzula informacyjna i odrębna Polityka plików cookie zostaną zaktualizowane, a niezbędne mechanizmy zgody — wdrożone. W tym kontekście nie są przetwarzane szczególne kategorie danych osobowych.

Dane te są pozyskiwane wyłącznie wtedy, gdy osoba z własnej woli wypełnia formularz lub nawiązuje kontakt, albo automatycznie (np. adres IP) ze względu na techniczne działanie strony.

A.3. Cele i podstawy prawne przetwarzania danych osobowych

Poniższa tabela przedstawia każdy cel przetwarzania wraz z podstawą prawną z art. 5 ust. 2 KVKK, na której się opiera:

Ważne: komunikacja marketingowa z punktu 7 opiera się wyłącznie na odrębnej i wyraźnej zgodzie udzielonej przez osobę, której dane dotyczą, w tym celu; zgoda ta nie jest obowiązkowym warunkiem zgłoszenia do wczesnego dostępu i można ją w każdej chwili wycofać (zob. A.8).

A.4. Sposób zbierania danych osobowych

Dane osobowe są zbierane elektronicznie podczas wypełniania formularzy wczesnego dostępu/kontaktowych na stronie corenta.app, w bezpośrednim kontakcie e-mailowym, podczas rozmów demo/handlowych oraz automatycznie przez infrastrukturę techniczną strony (adres IP itp.).

A.5. Przekazywanie danych osobowych

Twoje dane osobowe mogą być w ograniczonym zakresie udostępniane, na warunkach określonych w art. 8 i 9 KVKK, dostawcom usług technicznych, takich jak hosting, zbieranie formularzy, wysyłka e-maili, analityka, bezpieczeństwo i podobne, w celu świadczenia tych usług. Udostępnienie następuje wyłącznie w zakresie niezbędnym do świadczenia danej usługi i w granicach tego celu.

W tym kontekście znani/wykorzystywani dostawcy infrastruktury technicznej to:

Uwaga — infrastruktura przechowywania danych z formularzy: na dzień sporządzenia niniejszego tekstu nie potwierdzono technicznie, czy dane z formularzy wczesnego dostępu/kontaktowych są ostatecznie przechowywane wyłącznie w infrastrukturze formularzy Framer, czy też trafiają również do bazy danych Corenta opartej na Supabase (zob. Część B, B.5 — Supabase, Frankfurt/Niemcy). W miarę uzyskania tego potwierdzenia tabela zostanie zaktualizowana, w razie potrzeby o wiersz Supabase; w każdym przypadku dane z Twoich formularzy są przetwarzane wyłącznie w celach opisanych w niniejszej Części A i zgodnie z KVKK.

Poza tymi przypadkami Twoje dane osobowe nie są sprzedawane, wynajmowane ani przekazywane osobom trzecim w celach marketingowych. Wyjątkiem są przypadki obowiązku prawnego (orzeczenie sądu, żądanie właściwego organu publicznego itp.).

Przekazywanie za granicę: Framer i Google Workspace przetwarzają dane poza Turcją; jest to przekazywanie danych za granicę w rozumieniu ustawy nr 6698. Ponieważ przekazywanie to jest regularne i ciągłe, nie opiera się na wyraźnej zgodzie; będzie się opierać na jednej z przesłanek przetwarzania z art. 5 KVKK oraz, na podstawie art. 9/4-c, na standardowych umowach opublikowanych przez Kişisel Verileri Koruma Kurulu (Kurul). Na dzień niniejszego tekstu standardowe umowy nie zostały jeszcze podpisane z dostawcami ani zgłoszone do Kurulu. Każda umowa zostanie zgłoszona do Kurulu w ciągu 5 dni roboczych od jej podpisania, a niniejsza sekcja zostanie zaktualizowana o listę dostawców i daty. Nie istnieje decyzja Kurulu stwierdzająca odpowiedni stopień ochrony w odniesieniu do tych państw (ostatnia weryfikacja: 11 października 2026).

A.6. Okres przechowywania

Twoje dane osobowe są przechowywane przez okres niezbędny do realizacji danego celu przetwarzania, a w każdym razie z uwzględnieniem terminów przedawnienia przewidzianych we właściwych przepisach:

• Zgłoszenia do wczesnego dostępu: najdłużej 2 lata od rozpatrzenia zgłoszenia i zakończenia kontaktu; jeśli w tym czasie nie dojdzie do kontaktu lub proces się zakończy, są usuwane/anonimizowane wcześniej. Uwaga dotycząca przejrzystości: na dzień sporządzenia niniejszej Klauzuli w systemie nie ma automatycznego mechanizmu kontroli/usuwania odpowiadającego temu maksymalnemu okresowi; okres ten jest górną granicą prawną, a usuwanie/anonimizacja odbywa się na razie ręcznie/na żądanie.
• Korespondencja kontaktowa: do czasu osiągnięcia celu kontaktu.
• Dane analityczne/logi techniczne: przez domyślny/dozwolony okres przechowywania używanego narzędzia/infrastruktury.
• Dokumentacja dotycząca sporów i obowiązków prawnych: przez minimalny okres przewidziany we właściwych przepisach.

Po upływie okresu przechowywania dane osobowe są usuwane, niszczone lub anonimizowane zgodnie z art. 7 KVKK oraz Rozporządzeniem w sprawie usuwania, niszczenia lub anonimizacji danych osobowych. Szczegółową tabelę okresów i metody usuwania znajdziesz w veri-saklama-imha-politikasi.md (Sekcja 4, nr 9).

A.7. Informacja i zgoda na wiadomości handlowe w formularzu wczesnego dostępu

Przetwarzanie Twojego zgłoszenia nie opiera się na zgodzie, lecz na podstawach prawnych z A.3. Dlatego w formularzu nie ma pola akceptacji informacji; informacja i zgoda pozostają rozdzielone.

Informacja (bez pola akceptacji): tuż nad przyciskiem Wyślij wyświetlany jest poniższy tekst i link do niniejszej Klauzuli informacyjnej:

"Twoje dane przetwarzamy, aby rozpatrzyć zgłoszenie i skontaktować się z Tobą (art. 5/2-c, f KVKK). Szczegóły: Klauzula informacyjna."

Dobrowolna zgoda na wiadomości handlowe (osobne pole, domyślnie NIEZAZNACZONE):

"Zgadzam się, aby Teta Studio wysyłało mi e-mailem nowości i oferty Corenta."

Brak zgody na wiadomości handlowe nie ma żadnego wpływu na rozpatrzenie zgłoszenia. Teta Studio nie wysyła e-maili promocyjnych bez rejestracji w İYS (İleti Yönetim Sistemi); po rejestracji zgody są wprowadzane do İYS w ciągu 3 dni roboczych. Zgodę można wycofać przez link do rezygnacji z subskrypcji w każdej wiadomości.

A.8. Prawa osoby, której dane dotyczą (art. 11 KVKK), i sposób składania wniosków

Na podstawie art. 11 KVKK każda osoba, której dane osobowe są przetwarzane, ma prawo, zwracając się do Administratora:

a) dowiedzieć się, czy jej dane osobowe są przetwarzane, b) zażądać informacji na ten temat, jeśli jej dane osobowe były przetwarzane, c) poznać cel przetwarzania jej danych osobowych i dowiedzieć się, czy są one wykorzystywane zgodnie z tym celem, ç) poznać osoby trzecie w Turcji lub za granicą, którym przekazano jej dane osobowe, d) zażądać sprostowania danych osobowych, jeśli zostały przetworzone w sposób niekompletny lub nieprawidłowy, e) zażądać usunięcia lub zniszczenia danych osobowych na warunkach określonych w art. 7 KVKK, f) zażądać powiadomienia osób trzecich, którym przekazano dane osobowe, o czynnościach dokonanych na podstawie lit. (d) i (e), g) sprzeciwić się niekorzystnemu dla niej wynikowi analizy przetwarzanych danych wyłącznie za pomocą systemów zautomatyzowanych, ğ) żądać naprawienia szkody poniesionej w wyniku niezgodnego z prawem przetwarzania danych osobowych.

Ponadto w przypadku przetwarzania opartego na zgodzie (komercyjne wiadomości elektroniczne) udzieloną zgodę można wycofać w dowolnym momencie i bez podawania przyczyny, niezależnie od ogólnych praw z art. 11 KVKK. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Sposób składania wniosków: aby skorzystać z powyższych praw, możesz przesłać wnioski na piśmie na adres hello@corenta.app, wraz z informacjami niezbędnymi do Twojej identyfikacji, w sposób określony w art. 13 KVKK oraz w Komunikacie w sprawie zasad i trybu składania wniosków do administratora. W zależności od charakteru wnioski są rozpatrywane bezpłatnie w terminie najpóźniej 30 (trzydziestu) dni, w sposób niegenerujący dodatkowych kosztów; jeśli czynność wiąże się z dodatkowym kosztem, może zostać pobrana opłata zgodnie z taryfą ustaloną przez Kişisel Verileri Koruma Kurulu.

CZĘŚĆ B — KORZYSTANIE PRZEZ GABINETY Z PRODUKTU SaaS CORENTA

Niniejsza część dotyczy personelu gabinetu (menedżer, specjalista/instruktor, recepcja itp.), który korzysta z Corenta w placówce pilatesu klinicznego, fizjoterapii, Reformera, wellness/masażu lub jogi ("Gabinet"), oraz klientów/pacjentów tych gabinetów.

B.1. Podstawa prawna podziału ról — przeczytaj uważnie

Gabinet, który wykupuje Corenta i uruchamia ją w swojej działalności, jest "Administratorem" w rozumieniu art. 3/ı KVKK w odniesieniu do danych osobowych swoich klientów/pacjentów i swojego personelu. Obowiązek informacyjny wynikający z KVKK wobec klientów/pacjentów i personelu oraz, w razie potrzeby, uzyskanie wyraźnych zgód (w szczególności zgody na przetwarzanie danych o zdrowiu, które należą do szczególnej kategorii) w pierwszej i ostatniej kolejności spoczywają na Gabinecie.

Teta Studio (Corenta) jest wyłącznie Podmiotem przetwarzającym w rozumieniu art. 3/ğ KVKK. Teta Studio przetwarza te dane zgodnie z poleceniami i w imieniu Gabinetu, ograniczając się do zapewnienia infrastruktury technicznej Platformy; nie ustala własnych, niezależnych celów przetwarzania i nie przetwarza tych danych do własnych celów handlowych (reklama, sprzedaż osobom trzecim itp.) poza poleceniami Gabinetu. Przetwarzanie, które Teta Studio prowadzi we własnych celach (konto użytkownika gabinetu, subskrypcja, e-maile serwisowe, zaproszenie do wystawienia opinii i opinie w Odkrywaj, bezpieczeństwo i pseudonimizowany pomiar produktu), nie wchodzi w zakres niniejszej Części B, lecz Części C; w tych działaniach Teta Studio jest administratorem.

Produkt Corenta oferuje narzędzia, które technicznie ułatwiają Gabinetowi wypełnianie tych obowiązków (ekran zgody w aplikacji mobilnej, wersjonowane zapisy zgód, mechanizm wycofania itp. — zob. B.2). Istnienie tych narzędzi nie oznacza, że Gabinet przeniósł na Teta Studio obowiązki prawne wynikające ze statusu Administratora ani że Teta Studio je przejęło.

Relację powierzenia przetwarzania między Gabinetem a Teta Studio reguluje odrębna Umowa powierzenia przetwarzania danych (Data Processing Agreement/DPA); umowa ta określa kategorie przetwarzanych danych, cele przetwarzania, środki bezpieczeństwa, korzystanie z dalszych podmiotów przetwarzających oraz obowiązki stron wynikające z art. 12 KVKK.

Niniejsza Część B nie zastępuje klauzuli informacyjnej, którą Gabinet musi przekazać swoim klientom/personelowi. Jej celem jest przejrzyste wyjaśnienie, jakie dane Teta Studio przetwarza na Platformie jako Podmiot przetwarzający i w jakim celu, oraz zapewnienie Gabinetowi punktu odniesienia przy przygotowaniu własnej klauzuli. Jeśli Gabinet uzna, że wspólny/centralny ekran informacyjny i ekrany dobrowolnej zgody oferowane przez Corenta w aplikacji mobilnej (zob. B.2) są niewystarczające, może własnymi środkami przeprowadzić dodatkowy/odrębny proces informacyjny wobec swoich Klientów i personelu (tekst pisemny, e-mail, informacja osobista itp.); należy to do własnej odpowiedzialności prawnej Gabinetu.

B.2. Mechanizm informacyjny i mechanizm zgód na Platformie (w celach informacyjnych)

W aplikacji mobilnej Corenta, na etapie pierwszego uruchomienia (onboarding), znajduje się ekran (kvkk.tsx) przygotowany przez Teta Studio i wyświetlany wspólnie klientom/użytkownikom wszystkich gabinetów. Zgodnie z decyzją zasadniczą Kurul 2026/347 informacja i zgoda są pokazywane w osobnych krokach:

Zapisy są przechowywane z wersją w tabeli consent_logs. Uwaga techniczna: wyświetlenie informacji jest obecnie zapisywane w tej tabeli z typem kvkk; ten zapis nie jest zgodą, lecz potwierdzeniem, że informacja została wyświetlona i przeczytana. Jedno uprawnienie systemu operacyjnego do powiadomień służy do dostarczania zarówno powiadomień transakcyjnych, jak i kampanijnych; powiadomienia o kampaniach mogą być wysyłane tylko wtedy, gdy udzielono zgody 2b.

Ten ekran i te teksty nie są rozdzielone według Gabinetów, lecz udostępniane jako wspólna wersja dla całej Platformy; dane identyfikujące gabinet (nazwa, adres, kontakt do składania wniosków) nie są obecnie automatycznie dodawane do tekstu. Gdy zmienia się wersja klauzuli, przy następnym logowaniu użytkownik jest proszony o potwierdzenie, że przeczytał nowy tekst (to również nie jest zgoda). Zgodę na przetwarzanie danych o zdrowiu i zgodę na powiadomienia o kampaniach można w każdej chwili wycofać (śledzone w polu revoked_at); wycofanie zgody na przetwarzanie danych o zdrowiu nie wpływa na rezerwacje ani na korzystanie z konta.

Jeśli Gabinet jako przedstawiciel zawodu medycznego objęty tajemnicą zawodową (np. fizjoterapeuta) przetwarza dane o zdrowiu w celu leczenia na podstawie art. 6/3-e KVKK, może wystarczyć sama informacja zamiast ekranu wyraźnej zgody; inne podmioty (np. studia pilatesu/wellness) mogą przetwarzać dane o zdrowiu wyłącznie na podstawie dobrowolnej wyraźnej zgody zgodnie z art. 6/3-a. Wybór podstawy prawnej i dopasowanie treści informacji do własnej działalności należą do odpowiedzialności Gabinetu.

B.3. Kategorie danych przetwarzanych przez Teta Studio jako Podmiot przetwarzający

Ze względu na techniczne działanie Platformy, zgodnie z poleceniami Gabinetu przetwarzane są następujące kategorie danych:

Uprawnienie do wpisywania danych w polach zdrowotnych (od 4 października 2026): w polach zdrowotnych klienta (grupa krwi, alergie, choroby przewlekłe, leki) mogą pisać wyłącznie sam klient i przypisany mu specjalista; właściciel/menedżer placówki nie może w nich pisać (może edytować osobę do kontaktu w nagłych przypadkach i pola identyfikacyjne).

Pseudonimizowany pomiar produktu: w tej działalności Teta Studio jest administratorem, a szczegóły opisuje Część C. Pomiar odbywa się z użyciem pseudonimowego identyfikatora gabinetu; identyfikator ten jest pseudonimem (nie jest anonimowy). Funkcja jest obecnie wyłączona.

Pliki potwierdzeń płatności (od 4 października 2026): pliki potwierdzeń niepowiązane z żadną płatnością (osierocone) są automatycznie usuwane po 7 dniach; potwierdzenia powiązanego z płatnością nie może usunąć żadna rola.

Przejrzystość uprawnień w aplikacji mobilnej (od 18 października 2026): na poziomie systemu operacyjnego aplikacja mobilna Corenta prosi wyłącznie o uprawnienie do powiadomień (w odpowiednim kontekście) oraz w iOS o dostęp do biblioteki zdjęć (w chwili wyboru zdjęcia profilowego, załącznika do wywiadu, potwierdzenia płatności, grafiki ogłoszenia lub filmu studia); jeśli blokada aplikacji jest włączona, weryfikacja Face ID/odciskiem palca odbywa się na urządzeniu i żadne dane biometryczne nie są przekazywane do Corenta. W Androidzie uprawnienia do aparatu i mikrofonu zostały celowo usunięte z manifestu aplikacji. Aplikacja nie prosi o uprawnienia do aparatu, mikrofonu, lokalizacji, kontaktów (contacts) ani kalendarza, ani o dostęp do HealthKit/czujników zdrowia. Mapa w Odkrywaj nie korzysta z lokalizacji urządzenia; wyszukuje wyłącznie według miasta/dzielnicy lub obszaru mapy wybranego przez użytkownika.

Szczególne kategorie danych osobowych (dane o zdrowiu) mogą być zgodnie z art. 6 KVKK przetwarzane wyłącznie na podstawie wyraźnej zgody lub w wyjątkowych przypadkach przewidzianych w ustawie (ochrona zdrowia publicznego, medycyna zapobiegawcza, diagnoza/leczenie, planowanie i finansowanie usług zdrowotnych, jeśli wykonują je osoby objęte tajemnicą zawodową). W ekosystemie Corenta dane te wprowadzają upoważnieni specjaliści ds. zdrowia/wellness Gabinetu na podstawie prawnej, na którą powołuje się Gabinet (dobrowolna wyraźna zgoda z art. 6/3-a lub art. 6/3-e); Teta Studio jedynie przechowuje/przetwarza te dane zgodnie z poleceniami Gabinetu i chroni je wzmocnionymi środkami bezpieczeństwa (zob. B.6).

Okres przechowywania i sposób usuwania — odesłanie: okres przechowywania każdej z powyższych kategorii oraz metoda stosowana po wniosku o usunięcie konta (trwałe usunięcie lub anonimizacja) są podsumowane w B.8/a, a szczegółowa tabela wraz z uzasadnieniem znajduje się w veri-saklama-imha-politikasi.md (Sekcje 4–6). W szczególności dla wierszy Dane o zdrowiu, Dane transakcyjne/finansowe i Zapisy informacji i zgód: na etapie trwałego usunięcia konta zapisy te nie są poddawane operacji DELETE; powiązanie z osobą zostaje zerwane, a niektóre pola tekstu swobodnego są czyszczone. Ponieważ swobodny tekst notatek z sesji nie jest zmieniany, zapisy te nie są w każdym przypadku uznawane za anonimowe; są przechowywane z ograniczonym dostępem (zob. B.8/a).

B.3-A. Funkcje społecznościowe i rozwojowe — związek z danymi o zdrowiu (od 18 października 2026)

Dane o zdrowiu są szczególną kategorią danych osobowych w rozumieniu art. 6 KVKK. Poniższe funkcje nie zostały zaprojektowane do przetwarzania danych o zdrowiu; dla każdej z nich osobno opisano, jak traktowane są dane o zdrowiu:

W gabinetach świadczących usługi zdrowotne, takich jak fizjoterapia, sam udział klienta w zajęciach lub w grupie może wskazywać, że korzysta on z usługi zdrowotnej. Dlatego decyzja o korzystaniu z tych funkcji i o tym, jak wyjaśnić je klientom, należy do Gabinetu jako administratora. Grupy gabinetu (group_chats) i rywalizacje (leagues) są odrębnymi modułami i zostały zaprojektowane tak, aby można je było wyłączyć dla każdego gabinetu z osobna.

B.4. Cele przetwarzania i podstawy prawne

Podstawy prawne w poniższej tabeli mogą mieć dwa różne znaczenia, zależnie od charakteru danych: (i) podstawa prawna, na którą powołuje się Gabinet (jako administrator) wobec swojego klienta/personelu, albo (ii) podstawa prawna mająca zastosowanie do własnych, niezależnych działań Teta Studio (bezpieczeństwo platformy, rozliczenia, obowiązki prawne itp.). Biorąc pod uwagę, że Teta Studio samodzielnie nie ustala niezależnego "celu przetwarzania" (zob. B.1), w szczególności wiersz dotyczący danych szczególnej kategorii należy czytać jako odzwierciedlenie podstawy prawnej Gabinetu:

B.5. Przekazywanie danych osobowych (w kraju i za granicę)

Na potrzeby działania Platformy dane osobowe są udostępniane poniższym dalszym podmiotom przetwarzającym (sub-processors) w ograniczonym i technicznie niezbędnym zakresie:

Inne uwagi dotyczące infrastruktury:

• Infrastruktura e-mail: e-maile serwisowe (okres próbny, zaproszenie do zespołu, odpowiedzi pomocy) są wysyłane przez SMTP za pośrednictwem Google Workspace (Google); e-maile uwierzytelniające (weryfikacja adresu e-mail, reset hasła) wyzwala Supabase Auth. E-maile promocyjne są wysyłane wyłącznie za odrębną zgodą i po rejestracji w İYS (zob. Część C). Powiadomienia push są dostarczane przez Apple (APNs) i Google (FCM).
• Narzędzie analityczne: nie korzystamy z zewnętrznych narzędzi analitycznych (np. Google Analytics). Pomiar korzystania z produktu w aplikacji nie jest obecnie aktywny; jeśli zostanie włączony, dane trafią do własnej tabeli w bazie danych Corenta (Supabase, Frankfurt/Niemcy), nie będą zawierać danych o zdrowiu ani tekstu swobodnego, a niniejsza Klauzula zostanie zaktualizowana przed jego włączeniem.
• Monitorowanie błędów: nie korzystamy z zewnętrznych narzędzi do monitorowania błędów; błędy po stronie klienta są zapisywane we własnej bazie danych Corenta (Supabase).
• Dostarczanie wiadomości w czasie rzeczywistym i filmy (od 18 października 2026): wiadomości indywidualne i grupowe są dostarczane wyłącznie uprawnionym użytkownikom za pośrednictwem usługi czasu rzeczywistego Supabase (Realtime); filmy studiów są przechowywane w magazynie plików Supabase. Mieści się to w wierszu Supabase (nr 1); nie dodano nowego dalszego podmiotu przetwarzającego.
• Płatność kartą kredytową przez stronę internetową: obecnie nie jest obsługiwana; wszystkie płatności za subskrypcję odbywają się wyłącznie przez mechanizm zakupów w aplikacji (IAP) Apple/Google.

Przekazywanie za granicę: Twoje dane są przetwarzane przez usługodawców mających siedzibę poza Turcją: Supabase (baza danych, uwierzytelnianie i przechowywanie plików; dane hostowane we Frankfurcie, w Niemczech), Vercel (hosting panelu internetowego; infrastruktura globalna), Google (e-mail Google Workspace i powiadomienia Firebase Cloud Messaging; globalnie) oraz Apple (powiadomienia i sklep; globalnie). Hosting w Niemczech również stanowi przekazanie za granicę w rozumieniu ustawy nr 6698. Ponieważ przekazywanie to jest regularne i ciągłe, nie opiera się na wyraźnej zgodzie; będzie się opierać na jednej z przesłanek przetwarzania z art. 5 i 6 KVKK oraz, na podstawie art. 9/4-c, na standardowych umowach opublikowanych przez Kişisel Verileri Koruma Kurulu. Jako podmiot przetwarzający Teta Studio podpisze z każdym dalszym podmiotem przetwarzającym standardową umowę Moduł 3 (od podmiotu przetwarzającego do podmiotu przetwarzającego) i zgłosi ją do Kurulu w ciągu 5 dni roboczych od podpisania. Na dzień niniejszego tekstu standardowe umowy nie zostały jeszcze podpisane ani zgłoszone do Kurulu; po zakończeniu podpisania i zgłoszenia ta sekcja zostanie zaktualizowana o listę dostawców i daty. Nie istnieje decyzja Kurulu stwierdzająca odpowiedni stopień ochrony w odniesieniu do tych państw (ostatnia weryfikacja: 11 października 2026). Gabinet uwzględnia to przekazywanie we własnej klauzuli informacyjnej.

Powyższa lista dalszych podmiotów przetwarzających jest także prowadzona w aktualnej formie jako załącznik do DPA między Gabinetem a Teta Studio; Gabinet jest informowany o zmianach na tej liście w trybie przewidzianym w DPA. Dane osobowe mogą być przekazywane uprawnionym z mocy prawa organom i instytucjom publicznym wyłącznie w przypadkach przewidzianych we właściwych przepisach i w granicach żądania; Teta Studio w żadnym wypadku nie sprzedaje ani nie wynajmuje przetwarzanych przez siebie danych osobowych osobom trzecim w celach handlowych.

B.6. Środki bezpieczeństwa

Jako Podmiot przetwarzający Teta Studio stosuje następujące środki techniczne i organizacyjne, aby zapewnić bezpieczeństwo przetwarzanych danych osobowych:

• Izolacja tenantów (multi-tenant isolation): wszystkie tabele danych na Platformie są rozdzielone polem tenant_id i chronione kompleksowymi zasadami Bezpieczeństwa na poziomie wiersza (Row Level Security/RLS) według zasady domyślnej odmowy (default-deny); dostęp jednego Gabinetu do danych innego jest technicznie zablokowany.
• Ograniczenie dostępu do danych o zdrowiu: na poziomie RLS do formularzy wywiadu, notatek z sesji i pomiarów mają dostęp wyłącznie sam klient, przypisany mu specjalista i upoważniony menedżer gabinetu; notatki z sesji, które specjalista oznaczy jako "udostępnione zespołowi", mogą widzieć również pozostali specjaliści gabinetu. Dostęp personelu jest możliwy tylko wtedy, gdy odpowiedni moduł zdrowotny (wywiad, pomiary, notatka z sesji) jest włączony.
• Niezmienność (append-only): wysłane notatki z sesji (gdy pole submitted_at jest wypełnione) są chronione na poziomie bazy danych przed zmianą i usunięciem; również dla formularzy wywiadu żadna rola użytkownika (w tym menedżer gabinetu) nie ma uprawnienia do usuwania (DELETE). Jedyny i wąski wyjątek: w procesie trwałego usunięcia konta (zob. B.8/a) wyłącznie uprzywilejowany proces działający w tle (service-role) może, nie naruszając TREŚCI notatki z sesji, ustawić na poziomie bazy danych na NULL tylko kolumny powiązania z osobą (client_id/specialist_id); nie narusza to zasady append-only — jest to operacja o jednym celu, która spełnia jedynie wynikający z KVKK obowiązek zerwania powiązania z osobą (anonimizacji) (szczegóły: veri-saklama-imha-politikasi.md Sekcja 6.2).
• Ograniczenia trybu wsparcia superadministratora (impersonation): tryb dostępu superadministratora używany do wsparcia technicznego jest ograniczony czasowo (30 minut) i domyślnie działa tylko w trybie odczytu; operacje zapisu i dostęp do danych o zdrowiu można włączyć wyłącznie w odrębnych krokach wymagających dodatkowego zatwierdzenia (flaga health_data_enabled); w żadnym scenariuszu impersonation nie przyznaje się uprawnień zapisu do tabel z danymi o zdrowiu — to ograniczenie jest stosowane bez wyjątku w zasadach bazy danych.
• Bezpieczeństwo transmisji: dane są szyfrowane podczas transmisji za pomocą TLS.
• Przechowywanie na urządzeniu: w aplikacji mobilnej tokeny sesji są przechowywane w postaci zaszyfrowanej w bezpiecznym, sprzętowo wspieranym pęku kluczy urządzenia (expo-secure-store oparty na iOS Keychain / Android Keystore).
• Ochrona wrażliwych ekranów: na ekranach aplikacji zawierających dane o zdrowiu zrzuty ekranu i nagrywanie ekranu są blokowane (blokada nagrywania/zrzutów ekranu w iOS; FLAG_SECURE w Androidzie).
• Bezpieczeństwo kont administracyjnych: konta administratorów Platformy (superadministrator) wymagają uwierzytelniania dwuskładnikowego (MFA, AAL2).
• Integralność płatności: dla powiadomień o płatnościach (webhooks) ze sklepów (Apple/Google) stosowana jest infrastruktura weryfikacji podpisów kryptograficznych; pełne zakończenie tej konfiguracji w środowisku produkcyjnym dla wszystkich dostawców i jej stałe doskonalenie wciąż trwają.

Mimo powyższych środków wyraźnie zaznaczamy, że żaden system informatyczny nie daje absolutnej gwarancji bezpieczeństwa. Środki te są stale przeglądane i ulepszane w ramach obowiązków Podmiotu przetwarzającego wynikających z art. 12 KVKK. Gdy Teta Studio jako podmiot przetwarzający dowie się o naruszeniu ochrony danych, zgłasza je Gabinetowi bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin (Kurul 2019/10). Zgłoszenie do Kurulu i powiadomienie osób, których dane dotyczą, jest obowiązkiem Gabinetu jako administratora. W przypadku danych, których administratorem jest Teta Studio (Części A i C), zgłoszenia do Kurulu w ciągu 72 godzin dokonuje Teta Studio.

B.7. Dodatkowe informacje o trybie wsparcia superadministratora (impersonation)

Upoważniony personel wsparcia Teta Studio może w ramach zgłoszeń wsparcia technicznego od Gabinetu uzyskać tymczasowy dostęp do konta Gabinetu w ograniczonym i podlegającym kontroli "trybie wsparcia". Dostęp ten:

• Jest ograniczony do maksymalnie 30 minut i wygasa automatycznie po upływie tego czasu,
• Domyślnie umożliwia wyłącznie odczyt (read-only),
• Uprawnienia zapisu i dostęp do danych o zdrowiu można włączyć tylko w odrębnych krokach wymagających dodatkowego zatwierdzenia; dostęp do zapisu w tabelach z danymi o zdrowiu nie jest przyznawany w żadnych okolicznościach,
• Jest logowany i podlega ścieżce audytu.

Dane kontaktowe klienta w trybie wsparcia (od 4 października 2026): w sesji wsparcia Corenta (superadministrator) adres e-mail i telefon klienta nie są pokazywane personelowi wsparcia; personel wsparcia widzi jedynie ograniczone podsumowanie identyfikacyjne (imię i nazwisko, status konta, aktywność, data utworzenia).

B.8. Okres przechowywania danych osobowych i sposób realizacji praw osób, których dane dotyczą

Dane osobowe są przechowywane przez okres niezbędny do realizacji danego celu oraz przez ustawowe okresy przechowywania przewidziane we właściwych przepisach. Poniższe prawa, zgodnie z art. 11 KVKK, realizuje się w pierwszej kolejności wobec Gabinetu jako Administratora. Teta Studio jako Podmiot przetwarzający zapewnia techniczną realizację tych praw na żądanie Gabinetu. Konkretne mechanizmy dostępne na Platformie są następujące:

a) Prawo do usunięcia danych: Usunięcie konta (od 4 października 2026): po potwierdzeniu żądania usunięcia dostęp do konta jest natychmiast blokowany (sesje są zamykane, nie można się zalogować); dane osobowe są usuwane lub anonimizowane (czyszczone są imię i nazwisko, e-mail, telefon, wizerunek oraz dane identyfikacyjne/kontaktowe klienta i pola zdrowotne — grupa krwi, alergie, choroby przewlekłe, leki); zapisy płatności i wynagrodzeń, których przechowywania wymaga prawo, nie są usuwane; są przechowywane bez powiązania z osobą i z ograniczonym dostępem. Po złożeniu żądania nie ma okresu na jego cofnięcie; trwałe usunięcie zapisu uwierzytelniającego i plików kończy się w ramach istniejącego trzydziestodniowego procesu działającego w tle.

Usunięcie karty klienta i pola zdrowotne (od 4 października 2026): gdy placówka usuwa kartę klienta, który nie ma konta, karta natychmiast znika z aktywnej listy; po 30 dniach wraz z danymi identyfikacyjnymi i kontaktowymi usuwane/czyszczone są także pola zdrowotne klienta (grupa krwi, alergie, choroby przewlekłe, leki). Postanowienie to nie wpływa na zasady przechowywania formularzy wywiadu, pomiarów i notatek z sesji.

Wiadomości grupowe i zapisy społecznościowe (od 18 października 2026): członek może w każdej chwili usunąć własną wiadomość grupową; treść usuniętej wiadomości jest usuwana z zapisu. Po trwałym usunięciu konta usuwane są członkostwo w grupach, zapisy powiązanych urządzeń i karty profilu specjalisty; udział w rywalizacjach jest powiązany z kartą klienta i podlega tej samej zasadzie co ona; natomiast treść wiadomości wysłanych wcześniej do grupy pozostaje w grupie, bez informacji o nadawcy. Dlatego osoba, która chce usunąć swoje wiadomości, może usunąć je pojedynczo przed usunięciem konta. Treść wiadomości ukrytej przez zespół jest przechowywana osobno do weryfikacji przez zespół. Okresy przechowywania wiadomości grupowych i tej kopii określa veri-saklama-imha-politikasi.md, Sekcja 4, nr 12; kopia jest przechowywana najdłużej 1 rok. Zapisy dotyczące grup, rywalizacji, odznak i karty lojalnościowej nie są obecnie objęte eksportem "Pobierz moje dane"; wnioski o informacje na ich temat można kierować do Gabinetu lub na adres hello@corenta.app.

Gdy użytkownik zażąda usunięcia konta z poziomu aplikacji (funkcja delete_my_account), system stosuje dwuetapową architekturę usuwania. Poniższe podsumowanie to rzetelny i technicznie zweryfikowany opis metody stosowanej dla każdej kategorii danych (trwałe usunięcie czy anonimizacja); pełne szczegóły i tabelę zawiera veri-saklama-imha-politikasi.md (zwłaszcza Sekcje 4–6).

• Etap 1 — w chwili żądania: dostęp do konta jest natychmiast blokowany (nie ma okresu na cofnięcie); profil jest dezaktywowany, pola identyfikacyjne i zdrowotne są czyszczone, oczekujące wizyty są odwoływane, przypisania usuwane, a udzielone zgody wycofywane.
• Etap 2 — trwałe przetworzenie po 30 dniach: 30 dni po tym pierwszym etapie następuje operacja wyzwalana nieodwracalnie wyłącznie przez uprzywilejowane zadanie działające w tle (cron, service-role) i realizowana dwiema różnymi metodami zależnie od kategorii danych; operacji tej nie można wyzwolić ręcznie/administracyjnie ani przyspieszyć lub odroczyć:
• Zapis uwierzytelniający użytkownika (auth.users) i zapisy bez samodzielnej wartości biznesowej lub dowodowej (np. powiadomienia, notifications) są trwale usuwane (DELETE/cascade).
• Dane o zdrowiu (formularze wywiadu, notatki z sesji, zapisy pomiarów) oraz zapisy kliniczne/finansowe (płatności, obecności) NIE SĄ USUWANE OPERACJĄ DELETE — SĄ PRZECHOWYWANE W OGRANICZONY SPOSÓB, BEZ POWIĄZANIA Z OSOBĄ: powiązanie z osobą (np. client_id/specialist_id) jest zrywane na poziomie bazy danych (ON DELETE SET NULL); niektóre pola tekstu swobodnego (odpowiedzi z wywiadu, notatki do pomiarów/płatności, powód zwrotu, numer potwierdzenia) są czyszczone lub zastępowane znacznikiem. Swobodny tekst notatek z sesji nie jest zmieniany; ponieważ w tym tekście i w informacjach takich jak serie dat/pomiarów może pozostać dość danych, by ponownie zidentyfikować osobę, zapisy te nie są uznawane za anonimowe. Zapisy są przechowywane z ograniczonym dostępem przez okres obowiązku prowadzenia dokumentacji przez Gabinet, a po jego upływie usuwane; w ten sposób zachowana zostaje zasada append-only dla notatek z sesji.
• Zapisy zgód (consent_logs) również nie są usuwane operacją DELETE; powiązanie z osobą jest zrywane, a adres IP czyszczony, jednak jako dowód udzielenia/wycofania zgody (z typem, wersją i czasem) są przechowywane przez kolejne 5 lat jako zapis dowodowy bez powiązania z osobą (art. 5/2-e KVKK — ustalenie i ochrona prawa; ciężar dowodu wyraźnej zgody spoczywa na administratorze).
• Załączniki: awatar/zdjęcie profilowe użytkownika, załączniki do wywiadu i obrazy potwierdzeń płatności (buckety avatars, anamnesis-attachments, user-data-exports i payment-receipts w Storage) są automatycznie (best-effort) usuwane ze Storage w ramach etapu trwałego usunięcia — jeśli usunięcie w jednym buckecie się nie powiedzie, jest to logowane, ale nie blokuje czyszczenia pozostałych bucketów ani przetworzenia konta. Rzetelnie wskazane ograniczenie: jedyną kategorią plików poza tym automatycznym procesem są dokumenty weryfikacji tożsamości/dyplomu przesyłane przy rejestracji specjalisty/jednoosobowej działalności (bucket specialist-verification-docs) — technicznie dokumenty te są powiązane nie z użytkownikiem, lecz z procesem weryfikacji tenanta (Gabinetu), i obecnie nie są objęte automatycznym usuwaniem; ich usunięcie zostanie odrębnie uregulowane w procesie zamykania konta/subskrypcji Gabinetu na poziomie tenanta, a do tego czasu wyjątkowe wnioski są rozpatrywane ręcznie przez hello@corenta.app.
• Żadnego z powyższych procesów nie można ręcznie wyzwolić ani zatrzymać za pomocą zwykłych interfejsów produktu (także przez personel administracyjny) — to świadoma decyzja projektowa w zakresie bezpieczeństwa, mająca zapobiegać przedwczesnemu/opóźnionemu usuwaniu przez pomyłkę lub nadużycie.
• Dlatego niniejsza Klauzula nie zawiera bezwzględnego zobowiązania, że "po usunięciu konta wszystkie dane są fizycznie niszczone bez wyjątku": podczas gdy zapis uwierzytelniający i zapisy bez samodzielnej wartości biznesowej są trwale usuwane, zapisy zdrowotne/kliniczne/finansowe oraz zapisy zgód są nadal przechowywane bez powiązania z osobą i z ograniczonym dostępem (przez okresy opisane powyżej) ze względu na obowiązek prowadzenia dokumentacji przez Gabinet (z zastrzeżeniem, zgodnie z art. 7/2 KVKK, przepisów o przechowywaniu zawartych w innych ustawach); zapisy te nie są anonimowe; w sprawie technicznych pozostałości w kopiach zapasowych zob. także veri-saklama-imha-politikasi.md Sekcja 6.3.
• Kanały składania wniosków: żądanie usunięcia konta można złożyć za pomocą samoobsługowej funkcji "Usuń moje konto" w aplikacji — to najbardziej niezawodny i bezpośrednio skuteczny sposób; w takim przypadku funkcję wyzwala bezpośrednio użytkownik, a opisany wyżej dwuetapowy proces przebiega automatycznie (nie jest to wniosek kierowany do Teta Studio, lecz automatyczna funkcja systemu uruchamiana przez samego użytkownika). Jeśli użytkownik z jakiegokolwiek powodu nie może skorzystać z funkcji w aplikacji, może alternatywnie skierować żądanie do Gabinetu lub na adres hello@corenta.app; wówczas żądanie jest rozpatrywane i realizowane w rozsądnym terminie, a w niezbędnym zakresie uruchamiany jest ten sam proces usuwania. Jest to wyjątek od ogólnej zasady składania wniosków opisanej poniżej w B.9 ("najpierw należy zwrócić się do Gabinetu") i wynika wyłącznie z tego, że samoobsługową funkcję w aplikacji użytkownik może wyzwolić bezpośrednio.

b) Żądanie informacji / Przenoszenie danych: Platforma oferuje funkcję (export_user_data), za pomocą której użytkownik może wyeksportować własne dane. Zgodnie ze strukturą wielodostępną (multi-tenant) funkcja ta obejmuje wyłącznie dane danego użytkownika w zakresie jego własnego tenanta. Dane są udostępniane w rozsądnym terminie, w ustrukturyzowanym formacie nadającym się do odczytu maszynowego (JSON). Gdy plik da się przygotować, dane są dodatkowo udostępniane jako ZIP przez osobisty (podpisany) link ważny 7 dni; jeśli ZIP nie może zostać przygotowany, udostępniany jest wyłącznie plik JSON.

c) Prawo do sprostowania: Aktualizacja danych użytkownika jest technicznie możliwa z panelu zarządzania Gabinetu. Na Platformie nie ma zautomatyzowanego, odrębnego procesu "żądania sprostowania"; żądania sprostowania można kierować, w ramach ogólnych praw z art. 11 KVKK, do Gabinetu lub do Teta Studio na adres hello@corenta.app.

d) Wycofanie zgody: potwierdzenie zapoznania się z klauzulą informacyjną nie jest zgodą; nie tworzy uprawnienia, które można by wycofać. Użytkownik może w każdej chwili wycofać w aplikacji mobilnej zgodę na przetwarzanie danych o zdrowiu i zgodę na powiadomienia o kampaniach gabinetu. Wycofanie zgody na przetwarzanie danych o zdrowiu nie wpływa na rezerwacje ani na korzystanie z konta; po wycofaniu nowe dane o zdrowiu nie są zapisywane, a wcześniejsze zapisy są przechowywane zgodnie z zasadami z B.8/a.

e) Pozostałe prawa z art. 11: prawa do uzyskania informacji, czy dane są przetwarzane, czy przetwarzanie jest zgodne z celem, do poznania osób trzecich, którym dane przekazano, do żądania sprostowania niekompletnego/nieprawidłowego przetwarzania oraz do żądania naprawienia szkody wynikłej z niezgodnego z prawem przetwarzania realizuje się w pierwszej kolejności wobec Gabinetu; mają taką samą treść jak katalog wymieniony w A.8.

B.9. Sposób składania wniosków

Klienci i personel gabinetów powinni kierować swoje wnioski wynikające z KVKK w pierwszej kolejności do własnego Gabinetu; Gabinet jako Administrator ma obowiązek odpowiedzieć na nie zgodnie z trybem z art. 13 KVKK, najpóźniej w ciągu trzydziestu (30) dni. Wyjątek: z samoobsługowych mechanizmów w aplikacji, takich jak usunięcie konta (zob. B.8/a), użytkownik może korzystać bezpośrednio, bez pośrednictwa Gabinetu; w przypadku pozostałych wniosków z art. 11 KVKK zasadą jest zwrócenie się najpierw do Gabinetu.

W sprawach technicznych, które mają trafić bezpośrednio do Teta Studio (np. gdy nie działa funkcja usuwania konta lub eksportu danych), albo w przypadku pytań o działania, które Teta Studio prowadzi sama jako podmiot przetwarzający, można pisać na adres hello@corenta.app. Teta Studio może przekazać Gabinetowi, w ramach DPA, otrzymane wnioski wymagające wiedzy lub polecenia danego Gabinetu.

B.10. Obowiązki Gabinetu

Każdy Gabinet korzystający z Corenta przyjmuje do wiadomości, że jest Administratorem w rozumieniu art. 3/ı KVKK i że poniższe obowiązki spoczywają wyłącznie na nim:

• Przygotowanie/przekazanie Klauzuli informacyjnej KVKK skierowanej do jego Klientów i Użytkowników (gotowy, wspólny ekran informacyjny i ekrany dobrowolnej zgody w aplikacji mobilnej Corenta są oferowane w tym celu jako narzędzie techniczne, ale zapewnienie zgodności treści z własną działalnością należy do odpowiedzialności Gabinetu; jeśli Gabinet uzna to za konieczne, może zgodnie z B.1 przeprowadzić własny, dodatkowy proces informacyjny),
• Ustalenie podstawy prawnej przetwarzania danych o zdrowiu (dobrowolna wyraźna zgoda z art. 6/3-a lub art. 6/3-e); jeśli wymagana jest wyraźna zgoda — jej prawidłowe uzyskanie bez uzależniania od niej świadczenia usługi,
• Przekazanie klientom własnych danych identyfikacyjnych (nazwa, adres, kontakt do składania wniosków KVKK) (wspólny tekst w aplikacji obecnie nie zawiera tych danych automatycznie),
• Ocena własnego obowiązku rejestracji w VERBİS; dla administratorów, których główną działalnością jest przetwarzanie danych o zdrowiu, próg zwolnienia z VERBİS wynosi 10 pracowników rocznie i 10 milionów TL sumy bilansowej (Kurul 2025/1572),
• Odpowiadanie na wnioski osób, których dane dotyczą, w terminach przewidzianych w art. 13 KVKK,
• Zapewnienie bezpieczeństwa danych w odniesieniu do własnego personelu i własnych podwykonawców,
• Przestrzeganie obowiązków przewidzianych w Umowie powierzenia przetwarzania danych/Warunkach świadczenia usług zawartych z Corenta.

Teta Studio nie ponosi odpowiedzialności wynikającej z niewykonania przez Gabinet powyższych obowiązków.

CZĘŚĆ C — KLAUZULA INFORMACYJNA DOTYCZĄCA KONTA I PLATFORMY CORENTA (Teta Studio jako administrator)

Niniejsza część opisuje przetwarzanie, które Teta Studio prowadzi we własnym imieniu i we własnych celach. W tych działaniach Teta Studio jest administratorem w rozumieniu art. 3/1-ı KVKK. Tekst ten jest wyświetlany przy zakładaniu konta właściciela/pracownika gabinetu oraz gdy klient po raz pierwszy korzysta z Odkrywaj lub funkcji opinii. Opisane poniżej funkcje łączące studia (liga, zaproszenie, Studio Założycielskie, Corenta Lab, Odkrywaj v2) znalazły się w tej części, ponieważ łączą więcej niż jeden gabinet, a ich cel ustala Teta Studio. Informacje przetwarzane w imieniu studia nie są danymi osobowymi, gdy przedsiębiorca jest osobą prawną; w studiach prowadzonych jako jednoosobowa działalność gospodarcza i w studiach jednoosobowych można je powiązać z konkretną osobą, dlatego są tu opisane.

C.1. Administrator

Mertcan Demir — jednoosobowa działalność gospodarcza prowadzona pod nazwą "Teta Studio" (dane identyfikacyjne i kontaktowe: A.1). Wnioski: hello@corenta.app.

C.2. Przetwarzanie, cele i podstawy prawne

Odkrywaj i zaproszenie do wystawienia opinii: jeśli gabinet włączy Odkrywaj, zaproszenie do wystawienia opinii jest wysyłane na podstawie danych zakończonej wizyty. W Umowie powierzenia przetwarzania danych gabinet poleca przekazywanie tych danych do Teta Studio wyłącznie w celu wysłania zaproszenia i opublikowania zweryfikowanej opinii; w gabinetach z wyłączonym Odkrywaj zaproszenia nie są wysyłane. Opublikowana opinia może publicznie pokazać, że korzystasz z usług placówki związanej ze zdrowiem/ćwiczeniami; weź to pod uwagę przed jej publikacją.

Pseudonimizowany pomiar: pomiar odbywa się z użyciem pseudonimowego identyfikatora gabinetu; identyfikator ten jest pseudonimem i w przypadku działalności jednoosobowej można go powiązać z tą osobą. Nie obejmuje adresu IP, danych o zdrowiu ani śledzenia źródła/reklam. Funkcja jest obecnie wyłączona; przed jej włączeniem ten tekst zostanie zaktualizowany.

Widoczność w funkcjach społecznościowych i rozwojowych: w lidze, na liście Studiów Założycielskich, w Corenta Lab i w Odkrywaj innym użytkownikom pokazywane są wyłącznie informacje wymienione w powyższej tabeli. Funkcje te nie przetwarzają danych o zdrowiu klientów (szczegóły: B.3-A). W zaproszeniach między studiami, programie Studio Założycielskie i Lab nie ma nagród pieniężnych ani obniżek cen; nagrody to korzyści w aplikacji, takie jak 7 dni Boostu, okres próbny i kredyty.

C.3. Odbiorcy i przekazywanie za granicę

Supabase (hosting; Frankfurt, Niemcy), Vercel (panel internetowy), Google (e-mail Google Workspace, Firebase Cloud Messaging, Google Play) i Apple (APNs, App Store). Przekazanie danych tym dostawcom jest przekazaniem za granicę; jego podstawę i obecny stan wyjaśnia akapit "Przekazywanie za granicę" w B.5 (dla tych przepływów, w których Corenta jest administratorem, zostanie zastosowana standardowa umowa Moduł 2 — od administratora do podmiotu przetwarzającego; na dzień niniejszego tekstu nie została jeszcze podpisana).

C.4. Komercyjne wiadomości elektroniczne

Teta Studio wysyła e-maile promocyjne i kampanijne tylko wtedy, gdy wyrazisz na to odrębną zgodę, zaznaczając domyślnie puste pole. Teta Studio nie wysyła e-maili promocyjnych bez rejestracji w İleti Yönetim Sistemi (İYS); po rejestracji zgody są wprowadzane do İYS w ciągu 3 dni roboczych. Każda wiadomość promocyjna zawiera dane nadawcy, jego dane kontaktowe i bezpłatny link do rezygnacji. E-maile dotyczące okresu próbnego, zaproszenia do zespołu i pomocy są wiadomościami serwisowymi; nie zawierają treści promocyjnych.

C.5. Przechowywanie, prawa i wnioski

Okresy przechowywania określa veri-saklama-imha-politikasi.md. Spośród zapisów dodanych 18 października 2026 skróty dotyczące ponownego okresu próbnego oraz zapisy ligi, zaproszeń, Studia Założycielskiego i Lab są przechowywane do trwałego usunięcia konta danego studia, a zapisy urządzeń — do trwałego usunięcia konta użytkownika. Dla tych zapisów nie określono jeszcze odrębnego maksymalnego okresu; zostanie on dodany do polityki przechowywania. Swoje prawa z art. 11 KVKK (A.8) możesz wykonywać, pisząc na adres hello@corenta.app; na wnioski odpowiadamy bezpłatnie w ciągu najwyżej 30 dni.

POSTANOWIENIA WSPÓLNE (dla wszystkich części)

G.1. Zautomatyzowane podejmowanie decyzji i profilowanie

Corenta nie prowadzi profilowania w celach reklamowych ani marketingowych. Jednak od 18 października 2026 poniższe reguły działają automatycznie i mogą prowadzić do ograniczonego niekorzystnego skutku dla danej osoby lub studia:

Sygnał ponownego okresu próbnego nie jest decyzją zautomatyzowaną: dopasowanie nie blokuje okresu próbnego, trafia jedynie do weryfikacji przez administratora platformy. Zgodnie z art. 11/1-g KVKK przysługuje Ci prawo sprzeciwu wobec niekorzystnego dla Ciebie wyniku analizy danych prowadzonej wyłącznie za pomocą systemów zautomatyzowanych.

G.2. Aktualizacja Klauzuli informacyjnej

Niniejsza Klauzula informacyjna może być aktualizowana w związku ze zmianami przepisów, decyzjami Kişisel Verileri Koruma Kurulu, rozwojem funkcji Platformy lub zmianami dalszych podmiotów przetwarzających/usługodawców. Aktualna wersja będzie zawsze dostępna pod adresem corenta.app/legal/kvkk-aydinlatma-metni oraz na ekranie dokumentów w aplikacji. W kontekście produktu SaaS (Część B), gdy zmienia się wersja klauzuli, przy następnym logowaniu użytkownik jest proszony o potwierdzenie, że przeczytał nowy tekst; nie jest to zgoda, lecz dowód przekazania informacji (zob. B.2).

G.3. Prawo właściwe i jurysdykcja

Niniejsza Klauzula informacyjna została przygotowana na podstawie ustawy nr 6698 o ochronie danych osobowych (KVKK) i powiązanych aktów wykonawczych (Rozporządzenie w sprawie usuwania, niszczenia lub anonimizacji danych osobowych; Rozporządzenie w sprawie rejestru administratorów danych; Komunikat w sprawie zasad i trybu wykonywania obowiązku informacyjnego; Komunikat w sprawie zasad i trybu składania wniosków do administratora). Do wykładni i stosowania niniejszego tekstu stosuje się prawo Republiki Turcji; w sporach właściwe są Kişisel Verileri Koruma Kurulu oraz właściwe sądy/urzędy egzekucyjne Turcji.

G.4. Kontakt

We wszelkich pytaniach, prośbach i wnioskach dotyczących przetwarzania danych osobowych:

• E-mail: hello@corenta.app
• Pomoc: support@corenta.app
• Obszar świadczenia usług: Corenta jest oferowana globalnie za pośrednictwem App Store i Google Play, w krajach, w których działają te sklepy. Ten tekst jest klauzulą informacyjną na podstawie ustawy nr 6698; wobec osób w UE/EOG stosuje się dodatkowo Oświadczenie RODO, z zastrzeżeniem bezwzględnie obowiązujących przepisów o ochronie danych kraju, w którym się znajdujesz.
• Strona firmowa: corenta.app

Obowiązuje od / ostatnia aktualizacja: 19 października 2026 Wersja: 2.3 · 19 października 2026. Historia zmian znajduje się na początku dokumentu.