CORENTA — POLÍTICA DE RETENÇÃO E DESCARTE DE DADOS

Esta tradução é apenas informativa; o texto em turco é o juridicamente vinculante.

Exclusão de cliente sem conta: a ação Excluir do gestor da clínica conta como pedido; o registro sai imediatamente da lista ativa e, após 30 dias, os dados de identificação e contato e os campos de saúde do cliente (tipo sanguíneo, alergias, condições crônicas, medicamentos) são apagados/esvaziados (ver 5.0). A descrição geral de exclusão de conta abaixo não deve ser interpretada, neste caso específico, como obrigação de excluir de forma definitiva a linha do cliente. Os registros de anamnese, medidas, anotações de sessão e financeiros continuam sujeitos às suas próprias regras de guarda.

Vigência / última atualização: 19 de outubro de 2026 Versão: 1.9 Controlador / publicado por: Mertcan Demir — empresa individual sob o nome comercial "Teta Studio"

Histórico de alterações

• 1.9 — 19 de outubro de 2026: A expressão "apenas Turquia" da Seção 14 foi substituída pela oferta global; os prazos de guarda não mudaram.
• 1.8 — 19 de outubro de 2026: Versão de publicação; vigência a partir de 19 de outubro de 2026. Foi acrescentada à Seção 4 a linha das mensagens de grupo da clínica e das cópias de mensagens separadas para revisão da equipe (item 12); a lista de descarte periódico da Seção 7 foi ampliada de acordo; as informações de MERSİS e KEP, que estavam vazias, foram retiradas da tabela 1.3.
• 1.7 — 11 de outubro de 2026: Conforme a revisão de conformidade de 11 de outubro de 2026 (F01, F02, F08, F11, F13, F19, F21): foi retirada do §11 a afirmação "Supabase/Frankfurt não é transferência internacional", e a seção de transferência internacional foi redigida conforme o art. 9 da Lei nº 6.698 na versão posterior a 2024 (os contratos-padrão ainda não foram assinados); para registros de saúde, clínicos e financeiros, o termo "anônimo" foi corrigido para guarda restrita com vínculo pessoal desfeito (o texto livre das anotações de sessão não é alterado); a base legal da linha de prova de consentimento foi corrigida para art. 5/2-e (retirada a referência equivocada ao art. 20/2); a linha do formulário de acesso antecipado foi atualizada para separar o aviso de privacidade da autorização para mensagens comerciais; foi acrescentado o princípio de descarte periódico semestral para categorias sem descarte automático; a identificação foi corrigida para empresa individual; a seção sobre o VERBİS foi redigida conforme as decisões de 2025 do Kurul.
• 1.6 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada dos registros de suboperadores/operadores; as notificações push são entregues apenas pela Apple (APNs) e pelo Google (FCM); Expo/EAS é só uma ferramenta de compilação do aplicativo e não trata dados de usuários finais.
• 1.5 — 10 de outubro de 2026: Foi retirada a menção à escolha do Google Analytics; ficou claro que não se usa análise de terceiros e quem são os operadores das notificações push.
• 1.4 — 4 de outubro de 2026: O texto vigente foi fixado como versão aprovada. Nesta versão foram tratados apenas: exclusão de conta (o acesso termina imediatamente, os dados pessoais são apagados/anonimizados, os registros de pagamento que exigem guarda legal são mantidos sem identificação; não há prazo para desfazer); exclusão dos campos de saúde do cliente ao fim de 30 dias; prazo de 7 dias para comprovantes órfãos; ocultação dos contatos do cliente no modo de suporte; medição no servidor sem identificação; e-mails de serviço e Google Workspace; operadores de notificações push; endereço de suporte; mercado (Turquia).
• 1.3 — 7 de julho de 2026 (atualização de 4 de agosto de 2026): versão anterior.

Nota importante sobre a condição de controlador / operador: Esta Política de Retenção e Descarte de Dados ("Política") define por quanto tempo serão guardados os dados pessoais tratados no âmbito do serviço de software Corenta ("Serviço" ou "Aplicativo"), desenvolvido e operado por Mertcan Demir, que atua como empresa individual sob o nome comercial "Teta Studio" ("Corenta", "Teta Studio", "Empresa"), os critérios usados para definir esses prazos e os métodos pelos quais esses dados serão apagados, destruídos ou anonimizados quando o prazo de guarda terminar ou a razão do tratamento deixar de existir.

Esta Política foi elaborada com base na Lei nº 6.698 de Proteção de Dados Pessoais — KVKK (Türkiye Kişisel Verilerin Korunması Kanunu) ("KVKK") —, no Regulamento sobre a Eliminação, a Destruição ou a Anonimização de Dados Pessoais ("Regulamento") e na demais legislação aplicável, e é parte integrante do inventário de tratamento de dados pessoais da Corenta. Esta Política deve ser lida junto com o Aviso de Privacidade/Política de Privacidade correspondente, onde as finalidades e as bases legais do tratamento são explicadas em detalhe; este documento regula apenas os prazos de guarda e os procedimentos de descarte e não pretende cumprir, sozinho, todo o dever de informação previsto no art. 10 da KVKK.

1. Finalidade e Escopo

1.1. Finalidade

O objetivo desta Política é explicar os critérios para definir o prazo máximo necessário para a finalidade com que os dados pessoais são tratados pela Corenta, a aplicação dos prazos previstos em lei e os procedimentos e princípios de eliminação, destruição ou anonimização dos dados pessoais cujo prazo de guarda terminou. Esta Política foi elaborada com base nos arts. 5, 6, 7, 10, 11 e 12 da KVKK e nos artigos pertinentes do Regulamento.

1.2. Escopo e Separação de Papéis — Aviso Importante

Esta Política abrange duas áreas distintas, em que a Corenta trata dados em duas condições diferentes; essa separação é aplicada de forma coerente ao longo da Política e afeta diretamente a maneira de interpretar a tabela de prazos de guarda:

(a) Contexto do site institucional (corenta.app — formulário de acesso antecipado/pedido de demonstração): em relação aos dados pessoais enviados por potenciais clientes empresariais interessados no produto pelo formulário de inscrição de acesso antecipado, a Corenta/Teta Studio atua diretamente como Controladora, nos termos do art. 3 da KVKK.

(b) Contexto do produto SaaS (app.corenta.app): em relação aos dados pessoais que os centros de pilates clínico, fisioterapia, reformer, bem-estar/massagem e yoga que usam a plataforma Corenta por assinatura ("Tenant", "Negócio" ou "Clínica") inserem na plataforma sobre os próprios clientes ("Cliente Titular dos Dados") (dados de contato, anamnese, anotações de sessão, dados de agendamentos/pacotes etc.), a Clínica é a Controladora nos termos do art. 3 da KVKK; a Corenta/Teta Studio atua apenas como Operadora, prestando serviço de infraestrutura técnica conforme as instruções da Clínica. O dever de informar os clientes, a obtenção do consentimento explícito e a decisão final sobre a guarda/descarte dos dados dos clientes são de responsabilidade jurídica da Clínica. A Corenta facilita tecnicamente o cumprimento dessas obrigações dentro do produto (mecanismo de registro de consentimento consent_logs, tela mobile de aceite da KVKK kvkk.tsx, trilhas de auditoria), mas não assume nem toma para si a obrigação de conformidade da Clínica com a KVKK. Os prazos de guarda descritos nesta Política para esse contexto mostram por quanto tempo a Corenta, como operadora, efetivamente mantém esses dados em sua infraestrutura; a decisão final e o prazo de descarte podem ser definidos pela instrução da Clínica e pela legislação a que ela está sujeita.

Esta Política também abrange, quanto aos princípios gerais, os processos de guarda/descarte dos dados pessoais de funcionários, parceiros de negócio e fornecedores da Corenta; no entanto, o foco principal da Política são os dados de clientes empresariais e de clientes finais definidos nas alíneas (a) e (b) acima.

1.3. Dados do Controlador / Operador

1.4. Legislação de Referência

• Lei nº 6.698 de Proteção de Dados Pessoais,
• Regulamento sobre a Eliminação, a Destruição ou a Anonimização de Dados Pessoais (Diário Oficial de 28.10.2017, nº 30224),
• Guia sobre a Eliminação, a Destruição ou a Anonimização de Dados Pessoais e decisões do Kişisel Verileri Koruma Kurulu ("Kurul"),
• Lei nº 6.102, Código Comercial Turco (guarda de livros e documentos comerciais),
• Lei nº 213, Código de Procedimento Tributário turco (guarda de registros financeiros),
• Demais normas setoriais aplicáveis (inclusive, na medida em que se aplique, a legislação sobre a prestação de serviços de saúde).

2. Definições

3. Critérios para Definir os Prazos de Guarda e Descarte (arts. 5 e 6 da KVKK)

3.1. Razões que Exigem a Guarda

Na Corenta, os dados pessoais são mantidos apenas pelo prazo expressamente previsto na legislação aplicável ou pelo prazo necessário para a finalidade com que são tratados. Para definir o prazo de guarda, são usados os seguintes critérios:

1. Existe obrigação legal de guarda? (Por exemplo, prazos mínimos de guarda para registros financeiros previstos no Código Comercial Turco e no Código de Procedimento Tributário turco.)
2. Com que finalidade o dado foi tratado e essa finalidade ainda existe? (Art. 5/2 da KVKK — princípio da limitação à finalidade.)
3. É necessário para a celebração/execução do contrato? (Por exemplo, dados de agendamentos e pacotes enquanto a assinatura/relação de serviço continua.)
4. É necessário para constituir, exercer ou proteger um direito (como meio de prova numa eventual disputa judicial)? (Considerando os prazos gerais de prescrição do Código de Obrigações turco.)
5. Existe consentimento explícito do titular dos dados e ele continua válido?
6. Existe legítimo interesse da Corenta ou da Clínica? (Por exemplo, logs de segurança, detecção de fraude/abuso.)
7. O dado é da categoria de dados sensíveis (saúde)? Nesse caso, conforme o art. 6 da KVKK, aplicam-se restrição de acesso e justificativa mais rigorosas; o prazo de guarda nunca é estendido além da finalidade.

Se nenhum dos critérios acima exigir a guarda de determinado dado pessoal, o dado é imediatamente eliminado, destruído ou anonimizado.

3.2. Razões que Exigem o Descarte

Os dados pessoais são eliminados, destruídos ou anonimizados a pedido do titular ou de ofício pela Corenta/Clínica nos seguintes casos:

a) Alteração ou revogação das normas legais que fundamentam o tratamento, b) Desaparecimento da finalidade que exige o tratamento ou a guarda, c) Revogação do consentimento pelo titular, nos tratamentos baseados em consentimento explícito, d) Pedido do titular de eliminação/destruição no âmbito dos direitos do art. 11 da KVKK, quando o pedido for considerado procedente (pedido de exclusão de conta), e) Término do prazo de guarda dos dados pessoais sem que reste qualquer razão legal que exija a guarda, f) Não celebração, invalidade, rescisão ou resolução do contrato, g) Conclusão definitiva do pedido de exclusão de conta, conforme o processo descrito no item 5 desta Política.

4. Tabela de Categorias de Dados, Prazos de Guarda e Métodos de Descarte

A tabela abaixo mostra as principais categorias de dados pessoais tratados na infraestrutura da Corenta, o prazo de guarda, a justificativa e o método de descarte aplicado ao fim do prazo. Salvo indicação expressa em contrário, a regra geral é: "enquanto a conta/o registro relacionado estiver ativo + 30 dias a partir do processamento do pedido de exclusão de conta." A tabela deve ser lida junto com o fluxo de exclusão de conta explicado na Seção 5. Para algumas categorias, a etapa desse fluxo ao fim de 30 dias não é o DELETE (exclusão definitiva), mas a anonimização — essa diferença é indicada expressamente nas linhas correspondentes e na Seção 6.2.

<div style="overflow-x:auto">

</div>

Nota 1: Na tabela acima, a expressão "enquanto a conta/o tenant estiver ativo" se refere ao período em que a assinatura Corenta da Clínica continua e o cadastro do cliente não foi excluído pela Clínica. Quando a Clínica vai excluir os dados do próprio cliente é definido pela política de proteção de dados da própria Clínica (como Controladora) e pela relação com o cliente; a Corenta oferece os meios técnicos para esse processo.

Nota 2: Os prazos de 2 anos do item 7 (Registros de Trilha de Auditoria) e de 5 anos do item 8 (Registros de Consentimento) são prazos fixos de guarda definidos pela Corenta (ao contrário do prazo legal do item 6, não decorrem diretamente de uma norma; são um compromisso vinculante por si só, definido com base no legítimo interesse e no ônus da prova do art. 5/2-f da KVKK). No momento, não funciona no sistema um mecanismo automático de exclusão ao fim da guarda — quando o prazo vence, a eliminação/anonimização é feita manualmente; quando a automação entrar em operação, esta Política será atualizada. A expressão "no máximo 2 anos" do item 9 (Dados do Formulário de Acesso Antecipado) tem outro alcance e expressa, como explicado na própria linha, um limite legal máximo distinto.

5. Processo de Exclusão de Conta — Funcionamento de Ponta a Ponta

Para atender tecnicamente ao pedido de eliminação dos titulares no âmbito do art. 11 da KVKK, a Corenta aplica uma arquitetura de exclusão em duas etapas, que equilibra a experiência do usuário com a segurança dos dados e a necessidade de prova jurídica: exclusão lógica imediata (soft delete) e, em seguida, exclusão definitiva ao fim de 30 dias.

5.0. Alteração de 4 de outubro de 2026 — onde houver conflito com os itens 5.1 a 5.7, este item prevalece

Exclusão de conta (a partir de 4 de outubro de 2026): quando o pedido de exclusão é confirmado, o acesso à conta termina imediatamente (as sessões são encerradas e não é possível entrar); os dados pessoais são apagados ou anonimizados (nome, e-mail, telefone, imagem e os dados de identificação/contato e campos de saúde do cliente — tipo sanguíneo, alergias, condições crônicas, medicamentos — são limpos); os registros de pagamento e de repasse que exigem guarda legal não são apagados; são guardados com o vínculo pessoal desfeito e acesso restrito. Não há prazo para desfazer depois do pedido; a exclusão definitiva do registro de autenticação e dos arquivos é concluída no processo em segundo plano de trinta dias já existente.

Exclusão do cadastro de cliente e campos de saúde (a partir de 4 de outubro de 2026): quando o negócio exclui o cadastro de um cliente que não tem conta, o registro sai imediatamente da lista ativa; após 30 dias, os campos de saúde do cliente (tipo sanguíneo, alergias, condições crônicas, medicamentos) também são apagados/esvaziados, junto com os dados de identificação e contato. As regras de guarda de formulários de anamnese, medidas e anotações de sessão não são afetadas por este item.

Arquivos de comprovante (a partir de 4 de outubro de 2026): os arquivos de comprovante não vinculados a um pagamento (órfãos) são apagados automaticamente após 7 dias; um comprovante vinculado a um pagamento não pode ser apagado por nenhum perfil.

Contatos do cliente no modo de suporte (a partir de 4 de outubro de 2026): na sessão de suporte da Corenta (super-admin), o e-mail e o telefone do cliente não são mostrados à equipe de suporte; ela vê apenas um resumo limitado de identificação (nome, status da conta, atividade, data de criação).

Permissão de escrita nos campos de saúde (a partir de 4 de outubro de 2026): só o próprio cliente e o profissional responsável podem escrever nos campos de saúde do cliente (tipo sanguíneo, alergias, condições crônicas, medicamentos); o titular/gestor do negócio não pode escrever nesses campos (pode editar a pessoa de contato de emergência e os campos de identificação).

Medição pseudonimizada do produto: para melhorar o produto, podem ser medidos eventos de uso agregados, apenas no servidor e com um identificador pseudonimizado da clínica; essa medição não inclui endereço IP, dados de saúde nem rastreamento de origem ou de publicidade. O identificador pseudonimizado da clínica tem natureza de pseudônimo (não é sem identificação). O recurso está desativado no momento.

5.1. Etapa 1 — Exclusão Lógica Imediata (Soft Delete)

Assim que o usuário confirma o pedido de exclusão de conta dentro do aplicativo, o sistema executa as operações abaixo de forma simultânea e imediata:

1. O registro de perfil do usuário é desativado com o preenchimento do campo deleted_at; a conta passa a ficar inacessível/invisível para o uso normal e não pode mais ser usada para entrar.
2. Os agendamentos pendentes (ainda não realizados) do usuário são cancelados automaticamente.
3. As atribuições em que o usuário figura como profissional/recurso (vínculos cliente-profissional, atribuições de programa) são removidas.
4. Todos os consentimentos do usuário são revogados (registrado com o preenchimento do campo revoked_at nos registros consent_logs).

Nesta etapa os dados não são apagados fisicamente, mas tornam-se inacessíveis para fins normais de tratamento e visualização. Isso constitui o primeiro passo do processo de eliminação, com a natureza de "tornar inacessível" no sentido do art. 7 da KVKK e do Regulamento.

5.2. Etapa 2 — Exclusão Definitiva (após 30 dias)

30 (trinta) dias depois da exclusão lógica, uma tarefa agendada (cron job) que roda automaticamente no sistema executa as operações abaixo de forma irreversível:

1. O registro de autenticação do usuário (auth.users) é excluído de forma definitiva e irreversível.
2. Os registros do banco de dados associados ao usuário são tratados de forma diferenciada por categoria: registros sem valor operacional ou de prova próprio (por exemplo, notificações) são excluídos definitivamente (DELETE/cascade); já os dados de saúde (anamnesis_forms, session_notes, measurements) e os registros clínicos/financeiros (payments, attendance, consent_logs) não são excluídos; o vínculo pessoal é desfeito — a ligação com a pessoa é rompida no nível do banco de dados, alguns campos de texto livre são limpos e o registro permanece como registro do tenant com vínculo pessoal desfeito e acesso restrito (como o texto livre das anotações de sessão não é alterado, não é considerado anônimo) (ver Seção 4, itens 2 a 5, 8, 10 e Seção 6.2).
3. Esta operação é acionada automaticamente apenas pelo processo em segundo plano privilegiado do sistema (protegido por service-role); nenhum usuário, inclusive a equipe administrativa, nem gestor de Negócio pode iniciar manualmente, antecipar ou interromper esse processo pelas interfaces normais do produto — trata-se de um desenho de segurança consciente para evitar exclusões antecipadas/atrasadas por engano ou por abuso. (Essa garantia abrange as interfaces normais de usuário e de gestão do produto; os processos de operação técnica que possam ter acesso direto ao banco de dados no nível privilegiado da infraestrutura ficam fora dessa garantia e estão sujeitos a controles internos de acesso separados.)

Finalidade do processo em segundo plano de 30 dias (a partir de 4 de outubro de 2026): como o acesso à conta termina imediatamente com o pedido de exclusão, esse prazo não oferece possibilidade de desfazer/desistir; ele serve para concluir a exclusão definitiva do registro de autenticação e dos arquivos e para uma eventual análise de abuso. É um prazo razoável e limitado, compatível com o princípio da proporcionalidade previsto no art. 5 da KVKK. Informações sobre o andamento do pedido de exclusão podem ser solicitadas pelo hello@corenta.app.

5.3. Exceção: Dados com Obrigação Legal de Guarda

O processo de exclusão definitiva de 30 dias acima não abrange os registros indicados na Seção 4, Tabela, item nº 6 (Metadados de Assinatura/Transação), sujeitos a obrigação legal de guarda pelo Código Comercial Turco/Código de Procedimento Tributário turco. Mesmo que a conta seja excluída definitivamente, esses registros são mantidos à parte até o fim do prazo legal de guarda, separados da finalidade de tratamento de dados pessoais e com acesso restrito apenas ao cumprimento da obrigação legal. Da mesma forma, os registros de trilha de auditoria (audit_logs) e o núcleo mínimo dos registros de consentimento para fins de prova (ver Seção 4, itens 7 e 8) podem continuar guardados fora desse prazo de 30 dias, com finalidade separada e limitada, com base no legítimo interesse/na prova jurídica. Na Seção 4, Nota 2, está dito expressamente que os prazos abrangidos por essa exceção não correspondem a um mecanismo técnico aplicado automaticamente no sistema.

5.4. Esclarecimento Específico sobre Arquivos Anexos Armazenados (Importante — Transparência)

Pelo princípio da transparência, deixamos claro: durante a exclusão definitiva, os registros do banco de dados (perfil, agendamentos, atribuições, consentimentos etc.) são excluídos por completo ou (para registros de saúde/clínicos/financeiros, ver Seção 6.2) anonimizados; já os arquivos anexos do usuário mantidos num espaço de armazenamento (Storage) separado são tratados assim: o avatar/foto de perfil, o documento/foto anexado ao formulário de anamnese e a imagem do comprovante de pagamento são apagados automaticamente do Storage (best-effort) como parte da etapa de exclusão definitiva — esse é um comportamento verificado, que funciona hoje de fato no sistema. Se a exclusão falhar num bucket, isso é registrado em log, mas não impede a limpeza dos outros buckets nem as etapas de anonimização/exclusão definitiva da conta (desenho best-effort).

Limite declarado: a única categoria de arquivo que fica fora desse processo automático são os documentos de identidade/diploma para verificação enviados no processo de cadastro de profissional/profissional solo (bucket specialist-verification-docs). Tecnicamente, esses documentos não estão ligados ao usuário, mas ao processo de verificação do tenant (da Clínica) correspondente, e o registro no banco não traz referência a um usuário; por isso, não podem ser incluídos automaticamente no fluxo atual de exclusão de conta de usuário. O descarte desse documento será tratado à parte no processo em que a Clínica encerra a conta/assinatura no nível do tenant (ver Seção 5.6); até que isso esteja concluído, pedidos excepcionais são avaliados manualmente pelo hello@corenta.app.

Por isso, esta Política não assume o compromisso absoluto de que, com o pedido de exclusão de conta, "todos os dados/arquivos do usuário são apagados de forma completa e imediata" (em especial quanto a resíduos técnicos em backups, ver Seção 6.3, e quanto à exceção acima); no entanto, para as categorias de arquivos descritas acima, a exclusão automática é efetivamente aplicada.

5.5. Nota Específica sobre Dados de Saúde

Os dados de saúde sensíveis, como formulários de anamnese, anotações de sessão e registros de medidas, também estão sujeitos ao fluxo geral de exclusão acima (exclusão lógica → 30 dias → exclusão definitiva); porém, como explicado na Seção 4, itens 2 a 4, e na Seção 6.2, nessas tabelas a etapa de exclusão definitiva é aplicada por desvinculação pessoal e limpeza parcial — o registro não sofre DELETE, a ligação com a pessoa é rompida e alguns campos de texto livre são limpos; o registro clínico (em especial o conteúdo append-only das anotações de sessão) é guardado como registro do tenant com vínculo pessoal desfeito e acesso restrito e não é considerado anônimo. Além disso, como essa categoria de dados está entrelaçada com os registros mantidos pela Clínica na condição de controladora, o pedido de exclusão de conta/dados de um cliente pode conflitar com as obrigações legais de guarda da própria Clínica (por exemplo, obrigações de manter registros decorrentes da legislação sobre a prestação de serviços de saúde); o método de desvinculação pessoal e guarda restrita busca equilibrar essas duas obrigações (os direitos do cliente sobre os dados pessoais e a obrigação de registro da Clínica). Nesses casos, quem decide em última instância é a Clínica, como controladora; a Corenta age conforme a instrução da Clínica.

5.6. Exclusão no Nível da Clínica (Tenant)

Se uma Clínica encerrar por completo a assinatura da Corenta, a mesma arquitetura em duas etapas (exclusão lógica → 30 dias → exclusão definitiva) é aplicada aos dados do tenant da Clínica e a todos os cadastros de clientes desse tenant. Como é a Controladora dos dados dos próprios clientes, a Clínica tem a obrigação de informar seus clientes, no âmbito das próprias obrigações perante a KVKK, antes de encerrar a assinatura; essa obrigação não pode ser transferida à Corenta.

5.7. Relação com o Modo de Suporte do Super-Admin (Impersonation)

Os processos de exclusão de conta e de guarda funcionam de forma independente do mecanismo de suporte/impersonation da Corenta. As sessões de impersonation têm duração limitada (30 minutos) e, por padrão, são somente leitura; o acesso às categorias de dados de saúde (anamnese, anotação de sessão, medidas) exige uma etapa de aprovação à parte (health_data_enabled), e operações de escrita/exclusão nessas tabelas nunca são permitidas via impersonation (as políticas RLS não preveem nenhuma exceção para impersonation). Esclarecimento: essa restrição se refere às sessões de impersonation acionadas por pessoas, em que um membro da equipe de suporte entra e age manualmente; o processo cron automático de service-role (sem intervenção humana) descrito na Seção 5.2 é uma camada separada e não é afetado por essa restrição — a restrição de impersonation não impede o mecanismo automático de exclusão definitiva do fluxo de exclusão de conta e não deve ser confundida com ele. Portanto, os processos de exclusão de conta/descarte só são executados pelos mecanismos automáticos definidos nesta Política.

6. Métodos de Descarte

Conforme o art. 8 e seguintes do Regulamento, os métodos de eliminação/destruição/anonimização aplicados conforme o meio de registro são explicados abaixo.

6.1. Eliminação

Operação que torna os dados pessoais inacessíveis e não reutilizáveis de nenhuma forma para os usuários envolvidos (inclusive usuários do aplicativo e a equipe com acesso ao painel administrativo). Na Corenta, esse método é aplicado no processo de exclusão lógica da Etapa 1: embora os dados não sejam retirados fisicamente do banco de dados, tornam-se totalmente inacessíveis pelas permissões de acesso e pelas interfaces.

6.2. Destruição (Exclusão Definitiva)

Operação que torna os dados pessoais inacessíveis, irrecuperáveis e não reutilizáveis de nenhuma forma, por ninguém. No processo de exclusão definitiva da Etapa 2 da Corenta, esse princípio é aplicado por dois métodos técnicos diferentes, conforme a categoria de dados:

• Registro de autenticação e registros sem valor operacional próprio: o registro de autenticação do usuário (auth.users) é excluído de forma irreversível diretamente por DELETE no processo automático protegido por service-role; os registros associados que, após a exclusão da conta, não têm valor operacional ou de prova próprio (por exemplo, notificações, notifications — ver Seção 4, item 10) são excluídos junto, no nível do banco de dados, por ON DELETE CASCADE.
• Registros de saúde, clínicos e financeiros: para anamnesis_forms, session_notes, measurements, payments, attendance e consent_logs, a etapa de exclusão definitiva é aplicada por desvinculação pessoal e limpeza parcial (ver Seção 6.6), em vez de DELETE do registro: as colunas de chave estrangeira que identificam a pessoa (client_id, specialist_id, user_id etc.) passam de forma irreversível a NULL pela restrição de FK ON DELETE SET NULL; as colunas de conteúdo que podem conter identificação explícita ou dados pessoais em texto livre (respostas da anamnese, observações em texto livre de medidas/pagamentos, referência ao comprovante de pagamento, endereço IP do registro de consentimento) são limpas ou substituídas por um marcador anônimo pela função anonymize_user_relations() (que só pode ser chamada por service-role, com negação por padrão). Já o conteúdo numérico e histórico clínico/financeiro (data, valor, medida, saldo de sessões, status veio/não veio, momento em que o consentimento foi dado/revogado) continua guardado como registro do tenant com vínculo pessoal desfeito, em razão da obrigação de registro da Clínica e (para as anotações de sessão) do princípio append-only; como o texto livre das anotações de sessão não é alterado, esses registros não são considerados anônimos e são guardados com acesso restrito.

Nas anotações de sessão (session_notes), a restrição append-only não permite alteração de conteúdo; há apenas uma exceção estreita e exclusiva para que as colunas de vínculo pessoal (client_id, specialist_id) passem a NULL — o conteúdo da anotação em si não é apagado nem alterado em nenhuma etapa desse processo.

Limite: não existe mecanismo de varredura/limpeza para dados pessoais presentes dentro do texto dos campos livres além das colunas de identificação explícita (por exemplo, um nome mencionado no corpo de uma anotação de sessão). Por isso, esses registros não são considerados anônimos; são guardados como dados pessoais, com acesso restrito, e descartados ao fim do prazo.

Como ambos os métodos acima são protegidos por service-role, não podem ser acionados nem desfeitos pelas interfaces normais do produto.

6.3. Exclusão em Backups

Os backups do banco de dados são sobrescritos/descartados automaticamente depois de certo tempo, dentro do ciclo normal de backup (rotação). Embora a exclusão definitiva tenha efeito imediato no banco de dados principal, deixamos claro que, nos backups feitos antes, os dados podem continuar existindo tecnicamente até o fim do prazo padrão de rotação de backups do provedor (Supabase). Essa é a prática padrão no âmbito do contrato de tratamento de dados (DPA) do suboperador correspondente (Supabase).

6.4. Anexos no Armazenamento de Arquivos (Storage)

Os arquivos enviados pelos usuários, como imagens de avatar, comprovantes de pagamento e anexos da anamnese, são mantidos num espaço de armazenamento (Storage) separado. Ver Seção 5.4 — ali está explicada, de forma detalhada e transparente, a situação atual desses conteúdos no processo de exclusão de conta (exclusão automática para avatar/anexo da anamnese/comprovante de pagamento, com specialist-verification-docs como única exceção).

6.5. Dados em Papel

Os dados pessoais tratados no âmbito do produto SaaS da Corenta são mantidos em meio digital; não está previsto o tratamento de dados pessoais em papel. Se, excepcionalmente, a Empresa usar papel em correspondências comerciais/administrativas, o descarte é feito de forma irreversível, por tarjamento, incineração ou fragmentação em fragmentadora de papel.

6.6. Anonimização

Como parte do processo de exclusão definitiva da conta (ver Seção 6.2), a Corenta usa para dados de saúde e registros clínicos/financeiros o método de desvinculação pessoal e limpeza parcial. Como o texto livre das anotações de sessão não é alterado e, em negócios pequenos, as séries de datas e medidas podem bastar para reidentificar a pessoa, esse método não atende em todos os casos ao padrão de anonimização abaixo; esses registros não são considerados anônimos, são guardados como dados pessoais com acesso restrito e descartados ao fim do prazo. Fora isso, a Corenta pode usar, para fins de desenvolvimento do produto, análise estatística ou pesquisa de mercado, dados anonimizados de modo que não possam ser associados a uma pessoa natural identificada ou identificável. A anonimização exige que o dado se torne, de forma irreversível, impossível de associar à pessoa, mesmo quando combinado com outros dados; operações de mascaramento/pseudonimização feitas sem esse padrão não contam como anonimização e continuam sujeitas ao regime de tratamento de dados pessoais. Os dados anonimizados ficam fora do âmbito da KVKK e não estão sujeitos aos limites de prazo de guarda desta Política.

6.7. Escolha do Método

O método de descarte a aplicar é definido pela Corenta e/ou pela Clínica, considerando a natureza do dado (se é sensível ou não), o meio em que é guardado (banco de dados, armazenamento de arquivos, sistema de logs, sistema de backup), as possibilidades jurídicas e técnicas e os princípios indicados nas decisões do Kurul e no Regulamento. Nas operações de descarte de dados pessoais sensíveis (inclusive dados de saúde), adota-se o máximo cuidado.

7. Processo de Descarte Periódico

Conforme o art. 11 do Regulamento, a Corenta tem a obrigação de eliminar, destruir ou anonimizar de ofício (sem esperar pedido) os dados pessoais cujo prazo de guarda venceu e/ou cuja finalidade de tratamento deixou de existir; o prazo de descarte periódico a ser previsto nesse âmbito não pode passar de 6 (seis) meses. Nesse contexto, faz-se abaixo, de forma clara, a distinção entre os mecanismos que hoje funcionam de fato no sistema e os que não funcionam:

1. O processo de exclusão definitiva de 30 dias após o pedido de exclusão de conta é verificado periodicamente (diariamente) por uma tarefa agendada automática (cron job), e as contas com prazo vencido são processadas em lote. Essa é uma automação verificada, que funciona hoje de fato no sistema.
2. O prazo de guarda previsto para os registros de trilha de auditoria (audit_logs) é revisado periodicamente; porém, no momento não está implementado um mecanismo de exclusão que execute essa revisão automaticamente (ver Seção 4, item 7).
3. O prazo máximo de guarda definido para os dados do formulário de acesso antecipado (ver Seção 4, item 9) é uma referência de limite legal máximo da obrigação de descarte periódico prevista no art. 11 do Regulamento; porém, no momento não existe no sistema um mecanismo automático de varredura/exclusão correspondente a esse prazo. Para essa categoria de dados, a eliminação/anonimização é avaliada manualmente e a pedido até que a automação entre em operação (ver Seção 4, Nota 2). Esse ponto é mantido transparente, de forma coerente com as demais afirmações de automação não verificadas (ver itens 2 e 4).
4. A limpeza automática e periódica à parte dos tokens de notificação push vencidos/inválidos é uma melhoria planejada no roadmap do produto; não foi verificado tecnicamente que esse mecanismo funcione hoje de fato no sistema (ver Seção 4, item 10). Quando for verificado ou entrar em operação, esta Política será atualizada.
5. Descarte periódico semestral: para as categorias desta Seção que não têm descarte automático (trilha de auditoria, provas de consentimento com vínculo pessoal desfeito, dados do formulário de acesso antecipado, documentos de verificação do profissional, cópias de moderação de mensagens de grupo), a Corenta aplica o descarte periódico a cada 6 meses e lavra um termo de descarte a cada ciclo. Ainda não existem rotinas agendadas que automatizem esses ciclos; eles são executados manualmente.

O processo de descarte periódico, independentemente dos prazos indicados nesta Política, não impede o pedido individual de eliminação/destruição que o titular faça no âmbito do art. 11 da KVKK; mesmo que o prazo de guarda não tenha vencido, o titular pode pedir a eliminação se a base legal da atividade de tratamento correspondente deixou de existir (por exemplo, com a revogação do consentimento). Também para as categorias cuja automação ainda não foi implementada, o pedido individual do titular enviado pelo hello@corenta.app é avaliado e concluído manualmente.

8. Direitos do Titular dos Dados e Forma de Exercício (art. 11 da KVKK)

8.1. Direitos Previstos no Art. 11 da KVKK

Conforme o art. 11 da KVKK, os titulares dos dados têm os seguintes direitos:

1. Saber se seus dados pessoais são tratados,
2. Pedir informações, caso seus dados pessoais tenham sido tratados,
3. Conhecer a finalidade do tratamento dos dados pessoais e se eles são usados de acordo com essa finalidade,
4. Conhecer os terceiros, no país ou no exterior, a quem os dados pessoais foram transferidos,
5. Pedir a correção dos dados pessoais, caso tenham sido tratados de forma incompleta ou incorreta,
6. Pedir a eliminação ou a destruição dos dados pessoais no âmbito do art. 7 da KVKK,
7. Pedir que as operações feitas conforme as alíneas (5) e (6) acima sejam comunicadas aos terceiros a quem os dados pessoais foram transferidos,
8. Opor-se a um resultado desfavorável à pessoa decorrente da análise dos dados tratados exclusivamente por sistemas automatizados,
9. Pedir a reparação do dano, caso sofra prejuízo em razão do tratamento ilícito de dados pessoais.

8.2. Resumo Honesto da Implementação Técnica Atual

Os pontos abaixo são apresentados como um resumo honesto e realista da implementação técnica atual:

• Pedido de eliminação (exclusão de conta): pode ser feito diretamente pelo menu de configurações correspondente no aplicativo mobile; o pedido é atendido automaticamente pelo processo em duas etapas explicado na Seção 5 (exclusão lógica imediata → 30 dias → exclusão definitiva) (art. 11/6).
• Pedido de informações / portabilidade: é atendido com a entrega ao titular, em prazo razoável, dos dados no âmbito do próprio tenant em formato estruturado e legível por máquina (função export_user_data, com escopo de tenant verificado). O mecanismo de entrega desse processo (formato do arquivo, forma de entrega, recursos como link de download assinado) está em desenvolvimento contínuo; no âmbito desta Política, não se assume compromisso sobre um prazo de entrega determinado nem sobre um formato específico de arquivo/acesso (art. 11/1-2).
• Informação sobre transferência a terceiros (art. 11/4): as informações sobre os terceiros/suboperadores, no país ou no exterior, a quem os dados pessoais são transferidos estão na tabela da Seção 11 (Suboperadores e Localização dos Dados) desta Política.
• Pedido de correção (art. 11/5): tecnicamente, pode ser feito manualmente pelo painel de gestão da Clínica; não existe um fluxo automático separado de "pedido de correção". No contexto do produto SaaS, os pedidos de correção de dados de clientes devem ser dirigidos primeiro à Clínica correspondente; a Corenta, como Operadora, presta suporte técnico conforme a instrução da Clínica.
• Comunicação a terceiros (art. 11/7): o pedido de comunicar as operações de eliminação/correção aos terceiros a quem os dados foram transferidos é avaliado quando enviado pelos canais indicados na forma de exercício; no momento, esse processo é feito manualmente, não de forma automática.
• Oposição a decisão automatizada/perfilamento (art. 11/8): não há no sistema atividade de decisão automatizada ou de perfilamento que, pela análise dos dados tratados exclusivamente por sistemas automatizados, gere resultado desfavorável ao titular; portanto, por ora não há necessidade de um mecanismo de oposição separado em funcionamento para esse item.
• Os pedidos são concluídos gratuitamente em até 30 dias, conforme o art. 13 da KVKK (se a operação exigir um custo adicional, poderá ser cobrada a taxa da tabela definida pelo Kurul).

8.3. Forma de Exercício

Os pedidos relativos aos direitos acima podem ser enviados:

• pelo e-mail hello@corenta.app,
• pelas telas de configurações/suporte correspondentes dentro do aplicativo,
• ou pelas demais formas previstas na KVKK,

à Corenta.

Nota importante sobre os dados de clientes: se você é cliente de uma Clínica e quer fazer um pedido sobre os seus dados, deve se dirigir primeiro à Clínica correspondente (Controladora), porque é a Clínica quem decide em última instância e responde pelos dados dos clientes. A Corenta, como operadora, oferece as ferramentas técnicas necessárias (funções de visualização, exportação e exclusão de dados) conforme as instruções da Clínica.

9. Papéis e Responsabilidades

10. Medidas de Segurança (Durante o Prazo de Guarda)

Durante o prazo de guarda, os dados pessoais são protegidos pelas seguintes medidas técnicas e administrativas (art. 12 da KVKK):

• Na arquitetura multilocatária (multi-tenant), aplica-se a obrigatoriedade de tenant_id em cada tabela e o princípio de negação por padrão (default-deny) com políticas de Segurança em Nível de Linha (Row Level Security) (37/37 tabelas, 86 políticas); assim, o vazamento de dados entre locatários é impedido tecnicamente.
• O acesso às tabelas com dados de saúde é limitado ao cliente correspondente, ao profissional responsável e ao administrador do tenant; o controle de acesso é aplicado no nível do banco de dados (RLS). As anotações de sessão não podem ser alteradas/apagadas depois de enviadas (append-only); para os formulários de anamnese, nenhum usuário (nem o administrador) tem permissão de exclusão.
• O modo de suporte do super-admin (impersonation) tem duração limitada (30 minutos) e é somente leitura por padrão; operações de escrita e acesso a dados de saúde estão sujeitos a etapas separadas, com aprovação adicional; em nenhum cenário de impersonation é liberado acesso de escrita às tabelas de dados de saúde. (Essa restrição se refere às sessões de impersonation acionadas por pessoas; os processos cron automáticos de service-role são uma camada separada — ver Seção 5.7.)
• Na transmissão de dados usa-se criptografia de ponta a ponta (TLS); no aplicativo mobile, os tokens de sessão são guardados criptografados no cofre seguro de chaves do aparelho, com suporte de hardware (Keychain/Keystore).
• Foram adotadas medidas técnicas para limitar capturas de tela nas telas sensíveis.
• A autenticação em dois fatores (2FA/MFA) é obrigatória para as contas de super-admin.
• A verificação de assinatura criptográfica das notificações (webhooks) relativas a pagamentos está prevista na arquitetura e é aplicada; está em andamento o trabalho para concluir por completo a configuração/gestão de chaves correspondente em todos os ambientes (inclusive produção).
• Essas medidas de segurança são revistas e aprimoradas continuamente; porém, nenhuma medida técnica garante segurança absoluta, e esta Política não assume compromisso de segurança absoluta.

11. Suboperadores e Localização dos Dados

Durante o prazo de guarda, os dados pessoais são tratados ou hospedados por meio dos suboperadores/prestadores de serviço abaixo. Os contratos com esses prestadores preveem obrigações para que os dados sejam tratados apenas para a execução do serviço indicado; essa relação não diz respeito aos prazos de guarda, mas ao ambiente técnico em que os dados ficam hospedados — a execução da decisão de descarte também ocorre tecnicamente junto a esses prestadores. A tabela abaixo também atende ao direito de "conhecer os terceiros a quem os dados foram transferidos", previsto no art. 11/4 da KVKK:

Além disso:

• Infraestrutura de e-mail: os e-mails de serviço são enviados pelo Google Workspace (Google); os e-mails de autenticação são disparados pelo Supabase Auth. E-mails promocionais só são enviados com autorização à parte e registro no İYS. As notificações push são entregues pela Apple (APNs) e pelo Google (FCM).
• Ferramenta de análise: não se usa ferramenta de análise de terceiros (por exemplo, Google Analytics). A medição de uso do produto no aplicativo não está ativa no momento; se for ativada, a medição será gravada numa tabela própria no banco de dados da Corenta (Supabase, Frankfurt/Alemanha), não terá dados de saúde nem texto livre, e esta Política será atualizada antes da ativação; quando for ativada, o prazo de guarda dos registros de medição será indicado nesta Política.
• Monitoramento de erros: não se usa ferramenta de monitoramento de erros de terceiros; os erros do cliente são registrados no próprio banco de dados da Corenta.
• Não existe infraestrutura de pagamento direto com cartão de crédito pela web; os pagamentos são feitos apenas pelos mecanismos de compra no aplicativo (IAP) da Apple/do Google; a fatura/o recibo final é emitido pela Apple/pelo Google (ver Seção 4, item 6).

O compartilhamento de dados com os suboperadores acima é feito apenas na medida necessária para prestar o serviço correspondente e no âmbito dos arts. 8 e 9 da KVKK. Transferência internacional: todos os provedores acima tratam dados fora da Turquia; a hospedagem na Alemanha também é transferência internacional no sentido da KVKK. Como essas transferências são regulares e contínuas, não se baseiam em consentimento explícito; vão se apoiar, conforme o art. 9/4-c, nos contratos-padrão publicados pelo Kurul. Na data deste texto, os contratos-padrão ainda não foram assinados nem comunicados ao Kurul; cada contrato será comunicado ao Kurul em até 5 dias úteis a partir da assinatura, e esta tabela será atualizada com as datas. Não há decisão de adequação publicada pelo Kurul sobre esses países (última verificação: 11 de outubro de 2026). Esta lista pode ser atualizada conforme mudanças de prestadores; a lista atualizada pode ser acompanhada na Política de Privacidade e/ou na tela de informações correspondente dentro do produto Corenta.

12. Registro no VERBİS

Na data deste documento, a Teta Studio não tem registro no VERBİS. A obrigação de registro está sendo avaliada segundo os critérios das decisões 2025/1572 (para controladores cuja atividade principal é o tratamento de dados sensíveis, limite de isenção de 10 funcionários e balanço anual de 10 milhões de TL) e 2025/2393 (critério de número de funcionários para quem não mantém escrituração em regime de balanço) do Kurul. Como a Teta Studio trata os dados de saúde das clínicas como operadora, e não como controladora, a avaliação é feita com esses critérios em relação às próprias atividades de controladora (Partes A e C). Quando o parecer escrito de avaliação e a confirmação do Kurum (ALO 198) estiverem concluídos, esta seção será atualizada com data e justificativa; se o registro for necessário, será feito antes de continuar a atividade.

Esclarecimento por papel: a obrigação de registro no VERBİS está sendo avaliada para o contexto do site institucional (formulário de acesso antecipado do corenta.app), em que a Corenta atua como Controladora, e sua situação foi explicada acima. No contexto do produto SaaS (app.corenta.app), como a Controladora dos dados de clientes é a Clínica, a existência de obrigação de registro no VERBİS deve ser avaliada à parte e de forma independente segundo os critérios de cada Clínica (número de funcionários, volume anual de tratamento de dados, área de atuação, decisões de isenção do Kurul etc.); essa avaliação e, se houver, a obrigação de registro são da Clínica e não podem ser transferidas à Corenta.

13. Atualização da Política

Esta Política pode ser atualizada em razão de mudanças legislativas, decisões do Kurul, melhorias na infraestrutura técnica da Corenta (por exemplo, a inclusão da varredura de dados pessoais dentro do texto livre das anotações de sessão, mencionada na Seção 4, item 3, e na Seção 6.2; a vinculação dos documentos de verificação do profissional (specialist-verification-docs) ao processo de encerramento do tenant, mencionada na Seção 5.4/Seção 4, item 11; a verificação/entrada em operação da limpeza de tokens push, mencionada na Seção 4, item 10, e na Seção 7, item 4; a criação do mecanismo automático de varredura para os dados do formulário de acesso antecipado, mencionada na Seção 7, item 3; o desenvolvimento do processo de portabilidade de dados, mencionado na Seção 8.2; a conclusão das bases legais de transferência internacional da Seção 11; mudanças na lista de suboperadores) ou de mudanças nos processos de negócio. A versão atualizada é publicada nas plataformas correspondentes da Corenta (site institucional e/ou dentro do aplicativo), e, nas disposições que conflitarem com a versão anterior, prevalece a versão atualizada. Em mudanças importantes, na medida do aplicável, os usuários/as Clínicas são informados à parte.

14. Contato

Para dúvidas sobre esta Política ou sobre a guarda/descarte de dados pessoais:

E-mail: hello@corenta.app Controlador: Mertcan Demir — empresa individual sob o nome comercial "Teta Studio" Suporte: support@corenta.app Área de atendimento: a Corenta é oferecida globalmente pela App Store e pelo Google Play, nos países em que essas lojas atuam. Os prazos desta Política se aplicam ao usuário de qualquer país; se a legislação obrigatória de um país previr um prazo de exclusão mais curto ou uma obrigação de guarda mais longa, aplica-se essa norma.

Última atualização: 19 de outubro de 2026 Versão 1.9 · 19 de outubro de 2026