CORENTA — AVISO DE PRIVACIDADE NOS TERMOS DA KVKK (TÜRKİYE KİŞİSEL VERİLERİN KORUNMASI KANUNU)

Esta tradução é apenas informativa; o texto em turco é o juridicamente vinculante.

Aviso de Privacidade em Três Partes, conforme a Condição de Controlador / Operador

Versão: 2.3 · Vigência / última atualização: 19 de outubro de 2026 Controlador / publicado por (Partes A e C): Mertcan Demir — empresa individual sob o nome comercial "Teta Studio"

Histórico de alterações

• 2.3 — 19 de outubro de 2026: Incluído o alcance global: a expressão "apenas Turquia" do G.4 foi substituída pela oferta em mais de um país por meio das lojas e pela referência à Declaração GDPR para a UE/EEE. As atividades de tratamento e as bases legais não mudaram.
• 2.2 — 19 de outubro de 2026: Versão de publicação; vigência a partir de 19 de outubro de 2026. As informações de MERSİS e KEP, que estavam vazias, foram retiradas da tabela de identificação do A.1. O prazo de guarda das mensagens de grupo do B.8/a foi vinculado à Política de Retenção e Descarte de Dados.
• 2.1 — 18 de outubro de 2026: Incluídos os recursos adicionados em 18 de outubro de 2026: grupos da clínica, desafios dentro do estúdio, selos de clientes e cartão fidelidade, missões semanais e boletim do mês (Parte B); liga de estúdios e desafios da cidade, cartão de perfil portátil do profissional, código de convite entre estúdios, programa Estúdio Fundador, Corenta Lab, Descobrir v2 (vídeo curto, aula experimental, posição patrocinada), marcação de teste repetido, vínculo de aparelho e "Minhas sessões", reembolso parcial da loja e pedido de informações de uso da Apple (Parte C). A forma como os dados de saúde são tratados em grupos, liga, desafios e cartão de perfil foi descrita numa seção própria (B.3-A). O G.1 foi corrigido: foram descritas expressamente as três regras que geram resultado automático com efeito sobre a pessoa (controle de abuso de convites, ocultação de mensagem de grupo após três denúncias, exclusão da liga). As permissões mobile foram corrigidas conforme o código (não é pedida permissão de câmera). Recursos desativados (verificação de compartilhamento, sinal de demanda, garantia do Boost, verificação de aparelho, Turnstile, Sentry) não foram descritos neste texto; antes de serem ativados, é necessária uma atualização própria do texto.
• 2.0 — 11 de outubro de 2026: Conforme a revisão de conformidade de 11 de outubro de 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): as seções de transferência internacional foram reescritas conforme o art. 9 da Lei nº 6.698 na versão posterior a 2024 (Supabase/Frankfurt também é transferência internacional; os contratos-padrão ainda não foram assinados); informação e consentimento explícito foram separados (o aviso não é um "aceite", mas a confirmação "Li e entendi"; a caixa de aceite obrigatória do formulário de acesso antecipado foi retirada); o consentimento para dados de saúde foi descrito como opcional; foi acrescentada a nova Parte C — Aviso sobre a Conta e a Plataforma Corenta para as atividades em que a Teta Studio é controladora; a identificação foi corrigida para empresa individual; a avaliação do VERBİS foi redigida conforme as decisões de 2025 do Kurul; a notificação de incidentes à clínica foi corrigida para no máximo 24 horas; a expressão de guarda "anônima" foi corrigida para guarda restrita com vínculo pessoal desfeito; a exclusão de anexos e o link de exportação foram vinculados à mesma redação verificada no código; referências legais equivocadas foram corrigidas.
• 1.6 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada dos registros de suboperadores/operadores; as notificações push são entregues apenas pela Apple (APNs) e pelo Google (FCM); Expo/EAS é só uma ferramenta de compilação do aplicativo e não trata dados de usuários finais.
• 1.5 — 10 de outubro de 2026: Foi retirada a menção à escolha do Google Analytics; ficou claro que não se usa análise de terceiros e quem são os operadores das notificações push.
• 1.4 — 4 de outubro de 2026: O texto vigente foi fixado como versão aprovada. Nesta versão foram tratados apenas: marca de denominação da Teta Studio; mercado (Turquia); exclusão de conta (o acesso termina imediatamente, os dados pessoais são apagados/anonimizados, os registros de pagamento que exigem guarda legal são mantidos sem identificação); exclusão dos campos de saúde do cliente ao fim de 30 dias; prazo de 7 dias para comprovantes órfãos; ocultação dos contatos do cliente no modo de suporte; medição no servidor sem identificação; e-mails de serviço e Google Workspace; operadores de notificações push; endereço de suporte (support@corenta.app); permissão de escrita nos campos de saúde.
• 1.3 — 4 de agosto de 2026: as seções B.6 e B.8/a foram alinhadas com a política de retenção e descarte.

0. Sobre Este Texto — Escopo e Guia de Leitura

Este Aviso de Privacidade nos termos da Lei de Proteção de Dados Pessoais ("Aviso de Privacidade") foi elaborado, conforme o art. 10 da Lei nº 6.698 de Proteção de Dados Pessoais ("KVKK" ou "Lei") e o Comunicado sobre os Procedimentos e Princípios para o Cumprimento do Dever de Informação, para informar os titulares sobre o tratamento de dados pessoais no contexto do produto de software (SaaS) chamado Corenta ("Corenta", "Produto" ou "Plataforma"), desenvolvido e operado por Mertcan Demir ("Teta Studio", "nós"), que atua como empresa individual sob o nome comercial "Teta Studio", e do site corenta.app, onde esse produto é apresentado.

A Corenta é uma plataforma de software (Software-as-a-Service) multilocatária (multi-tenant) e voltada primeiro para o celular, destinada a negócios boutique de saúde e bem-estar, como centros de pilates clínico, fisioterapia, reformer, bem-estar/massagem e yoga; ela oferece gestão de agendamentos, controle de pacotes/sessões, anamnese e anotações de sessão dos clientes, repasses e controle de operações financeiras.

0.1 Definições

0.2 Dois Contextos Distintos — Por Que Isso Importa

No ecossistema da Corenta, os dados pessoais são tratados em três contextos diferentes e em duas condições diferentes: Parte A (site de apresentação; a Teta Studio é controladora), Parte B (registros da clínica; a Teta Studio é operadora) e Parte C (conta Corenta, assinatura, e-mails de serviço, Descobrir/avaliações, recursos de crescimento entre estúdios — liga, convite, Estúdio Fundador, Corenta Lab, cartão de perfil portátil —, segurança da conta e do aparelho e medição do produto; a Teta Studio é controladora). Entender bem essa separação é essencial para interpretar corretamente o Aviso de Privacidade, e os dois contextos não devem ser confundidos em hipótese alguma:

Os dados de saúde de um cliente de clínica gerados no aplicativo Corenta e os dados de um titular de negócio que preenche o formulário de acesso antecipado no site corenta.app estão sujeitos a regimes jurídicos totalmente diferentes. As partes abaixo foram estruturadas de acordo com essa separação.

PARTE A — SITE INSTITUCIONAL E FORMULÁRIO DE ACESSO ANTECIPADO (corenta.app)

Esta parte vale para as pessoas naturais que visitam o site corenta.app, interagem com ele e/ou preenchem o formulário de inscrição de acesso antecipado. Neste contexto, a Teta Studio atua como Controladora nos termos do art. 3/ı da KVKK e define ela mesma as finalidades e os meios do tratamento dos dados pessoais.

A.1. Identificação do Controlador

A.2. Categorias de Dados Pessoais Tratados

Durante a visita ao site corenta.app, o preenchimento do formulário de acesso antecipado, o envio do formulário de contato ou o pedido de demonstração/conversa comercial, podem ser tratadas as seguintes categorias de dados pessoais:

(*) Esclarecimento sobre a nota de cookies: na data de publicação deste texto, o site corenta.app não tem banner/interface ativa de gestão de cookies nem infraestrutura de cookies de terceiros; o endereço IP/as informações de aparelho/navegador mencionados na linha acima são tratados de forma limitada, apenas no âmbito dos registros básicos de servidor e da segurança dos formulários, sem uso de tecnologia de cookies ativa. Embora uma categoria de consentimento para cookies (cookies) esteja definida tecnicamente na infraestrutura do sistema, essa categoria não é usada na prática no momento. Se passarem a ser usados cookies, este Aviso de Privacidade e uma Política de Cookies própria serão atualizados, e os mecanismos de autorização necessários serão implementados. Neste contexto, não são tratados dados pessoais sensíveis.

Esses dados são obtidos apenas pelo preenchimento do formulário ou pelo contato feito por vontade da própria pessoa, ou automaticamente (como o IP) em razão do funcionamento técnico do site.

A.3. Finalidades e Bases Legais do Tratamento de Dados Pessoais

A tabela abaixo mostra cada finalidade de tratamento junto com a base legal do art. 5/2 da KVKK em que se apoia:

Importante: a comunicação de marketing do item 7 se baseia apenas na autorização separada e expressa dada pela pessoa para essa finalidade; essa autorização não é condição obrigatória da inscrição de acesso antecipado e pode ser revogada a qualquer momento (ver A.8).

A.4. Forma de Coleta dos Dados Pessoais

Os dados pessoais são coletados em meio eletrônico pelo preenchimento dos formulários de acesso antecipado/contato no site corenta.app, por contato direto por e-mail, em conversas de demonstração/vendas e automaticamente pela infraestrutura técnica do site (endereço IP etc.).

A.5. Transferência dos Dados Pessoais

Seus dados pessoais podem ser compartilhados de forma limitada, nas condições previstas nos arts. 8 e 9 da KVKK, com fornecedores que prestam serviços técnicos como hospedagem (hosting), coleta de formulários, envio de e-mails, análise, segurança e semelhantes, para a prestação desses serviços. Esse compartilhamento é feito apenas na medida necessária para prestar o serviço correspondente e limitado a essa finalidade.

Nesse contexto, os provedores de infraestrutura técnica conhecidos/em uso são:

Nota — infraestrutura em que os dados do formulário ficam armazenados: na data de elaboração deste texto, não foi confirmado tecnicamente se os dados dos formulários de acesso antecipado/contato ficam, em definitivo, apenas na infraestrutura de formulários do próprio Framer ou se também são transferidos ao banco de dados da Corenta baseado no Supabase (ver Parte B, B.5 — Supabase, Frankfurt/Alemanha). À medida que isso for confirmado, esta tabela será atualizada, acrescentando-se uma linha do Supabase se necessário; em qualquer caso, os dados do formulário são tratados apenas para as finalidades explicadas nesta Parte A e de acordo com a KVKK.

Fora desses compartilhamentos, seus dados pessoais não são vendidos, alugados nem cedidos a terceiros para fins de marketing. Os casos de obrigação legal (decisão judicial, pedido de autoridade pública competente etc.) são exceção a essa regra.

Transferência internacional: o Framer e o Google Workspace tratam dados fora da Turquia; isso é transferência internacional no sentido da Lei nº 6.698. Como essas transferências são regulares e contínuas, não se baseiam em consentimento explícito; vão se apoiar numa das condições de tratamento do art. 5 da KVKK e, conforme o art. 9/4-c, nos contratos-padrão publicados pelo Kişisel Verileri Koruma Kurulu (Kurul). Na data deste texto, os contratos-padrão ainda não foram assinados com os provedores nem comunicados ao Kurul. Cada contrato será comunicado ao Kurul em até 5 dias úteis a partir da assinatura, e esta seção será atualizada com a lista de provedores e datas. Não há decisão de adequação publicada pelo Kurul sobre esses países (última verificação: 11 de outubro de 2026).

A.6. Prazo de Guarda

Seus dados pessoais são guardados pelo tempo exigido pela finalidade de tratamento correspondente e, em qualquer caso, ressalvados os prazos de prescrição previstos na legislação aplicável:

• Inscrições de acesso antecipado: no máximo 2 anos a partir da avaliação da inscrição e da conclusão do processo de contato; se nesse período não houver contato ou o processo terminar, os dados são eliminados/anonimizados antes. Nota de transparência: na data de elaboração deste Texto, não existe no sistema um mecanismo automático de varredura/exclusão correspondente a esse prazo máximo; o prazo é um limite legal máximo, e a eliminação/anonimização é feita, por ora, manualmente/a pedido.
• Registros de contato: até que termine a finalidade do contato.
• Dados analíticos/de logs técnicos: pelo prazo de guarda padrão/permitido da ferramenta/infraestrutura usada.
• Registros de disputas e obrigações legais: pelo prazo mínimo previsto na legislação aplicável.

Ao fim do prazo de guarda, os dados pessoais são eliminados, destruídos ou anonimizados conforme o art. 7 da KVKK e o Regulamento sobre a Eliminação, a Destruição ou a Anonimização de Dados Pessoais. Para a tabela detalhada de prazos e os métodos de descarte, ver veri-saklama-imha-politikasi.md (Seção 4, item 9).

A.7. Informação e Autorização para Mensagens Comerciais no Formulário de Acesso Antecipado

O tratamento da sua inscrição não se baseia em consentimento, mas nas bases legais do A.3. Por isso, o formulário não tem caixa de aceite para o aviso de privacidade; informação e consentimento são mantidos separados.

Informação (sem caixa de aceite): logo acima do botão Enviar, aparece o texto abaixo, com link para este Aviso de Privacidade:

"Suas informações são tratadas para avaliar sua inscrição e entrar em contato com você (art. 5/2-c, f da KVKK). Detalhes: Aviso de Privacidade."

Autorização opcional para mensagens comerciais (caixa separada, NÃO MARCADA por padrão):

"Autorizo a Teta Studio a me enviar novidades e campanhas da Corenta por e-mail."

Não dar a autorização para mensagens comerciais não afeta a avaliação da inscrição. A Teta Studio não envia e-mails promocionais sem estar registrada no İYS (İleti Yönetim Sistemi); depois do registro, as autorizações são carregadas no İYS em até 3 dias úteis. A autorização pode ser revogada pelo link de recusa presente em cada mensagem.

A.8. Direitos do Titular (art. 11 da KVKK) e Forma de Exercício

Conforme o art. 11 da KVKK, todo titular cujos dados pessoais são tratados tem os seguintes direitos, mediante pedido ao Controlador:

a) Saber se seus dados pessoais são tratados, b) Pedir informações, caso seus dados pessoais tenham sido tratados, c) Conhecer a finalidade do tratamento dos dados pessoais e se eles são usados de acordo com essa finalidade, ç) Conhecer os terceiros, no país ou no exterior, a quem os dados pessoais foram transferidos, d) Pedir a correção dos dados pessoais, caso tenham sido tratados de forma incompleta ou incorreta, e) Pedir a eliminação ou a destruição dos dados pessoais nas condições previstas no art. 7 da KVKK, f) Pedir que as operações feitas conforme as alíneas (d) e (e) sejam comunicadas aos terceiros a quem os dados pessoais foram transferidos, g) Opor-se a um resultado desfavorável à própria pessoa decorrente da análise dos dados tratados exclusivamente por sistemas automatizados, ğ) Pedir a reparação do dano, caso sofra prejuízo em razão do tratamento ilícito de dados pessoais.

Além disso, nos tratamentos baseados em autorização (mensagens eletrônicas comerciais), a autorização dada pode ser revogada a qualquer momento e sem necessidade de justificativa, independentemente dos direitos gerais do art. 11 da KVKK. A revogação não afeta a licitude do tratamento feito antes dela.

Forma de exercício: para exercer os direitos acima, você pode enviar seus pedidos por escrito para hello@corenta.app, com as informações necessárias para sua identificação, na forma prevista no art. 13 da KVKK e no Comunicado sobre os Procedimentos e Princípios de Pedidos ao Controlador. Conforme sua natureza, os pedidos são concluídos gratuitamente em até 30 (trinta) dias, por meios que não exijam custo adicional; se a operação exigir custo adicional, poderá ser cobrada a taxa da tabela definida pelo Kişisel Verileri Koruma Kurulu.

PARTE B — USO DO PRODUTO SaaS CORENTA PELAS CLÍNICAS

Esta parte vale para a equipe da clínica (gestor, profissional/instrutor, recepção etc.) que usa a Corenta por meio de um centro de pilates clínico, fisioterapia, reformer, bem-estar/massagem ou yoga ("Clínica") e para os clientes/pacientes dessas clínicas.

B.1. Fundamento Jurídico da Separação de Papéis — Leia com Atenção

A Clínica que contrata a Corenta e a disponibiliza para uso é a "Controladora", nos termos do art. 3/ı da KVKK, em relação aos dados pessoais dos próprios clientes/pacientes e da própria equipe. O dever de informar clientes/pacientes e equipe nos termos da KVKK e, quando necessário, a obtenção dos consentimentos explícitos (em especial o consentimento para tratamento de dados pessoais sensíveis de saúde) são de responsabilidade primária e final da Clínica.

A Teta Studio (Corenta) é apenas Operadora, nos termos do art. 3/ğ da KVKK. A Teta Studio trata esses dados conforme as instruções e em nome da Clínica, apenas fornecendo a infraestrutura técnica da Plataforma; não define finalidade de tratamento própria e independente e não faz, sobre esses dados, tratamentos para fins comerciais próprios (publicidade, venda a terceiros etc.) fora das instruções da Clínica. Os tratamentos que a Teta Studio realiza para finalidades próprias (conta de usuário da clínica, assinatura, e-mails de serviço, convite de avaliação e comentários no Descobrir, segurança e medição pseudonimizada do produto) não são objeto desta Parte B, mas da Parte C; nessas atividades, a Teta Studio é controladora.

O produto Corenta oferece ferramentas que facilitam tecnicamente o cumprimento dessas obrigações pela Clínica (tela de consentimento no aplicativo mobile, registros de consentimento com versão, mecanismo de revogação etc. — ver B.2). A existência dessas ferramentas não significa que a Clínica tenha transferido à Teta Studio as obrigações jurídicas decorrentes da sua condição de Controladora, nem que a Teta Studio as tenha assumido.

A relação de operação de dados entre a Clínica e a Teta Studio é regida por um Contrato de Tratamento de Dados (Data Processing Agreement/DPA) separado; esse contrato detalha as categorias de dados tratadas, as finalidades do tratamento, as medidas de segurança, o uso de suboperadores e as obrigações das partes no âmbito do art. 12 da KVKK.

Esta Parte B não substitui o aviso de privacidade que a Clínica deve oferecer aos próprios clientes/equipe. O objetivo desta parte é explicar com transparência quais dados a Teta Studio trata na Plataforma, como Operadora, e com que finalidade, oferecendo um quadro que a Clínica pode usar como referência ao preparar o próprio aviso. Se a Clínica não considerar suficientes a tela de aviso comum/centralizada e as telas de consentimento opcional oferecidas pela Corenta no aplicativo mobile (ver B.2), ela pode conduzir, por meios próprios, um processo de informação adicional/separado para seus Clientes e sua equipe (texto escrito, e-mail, informação presencial etc.); isso está no âmbito da responsabilidade jurídica da própria Clínica.

B.2. Mecanismo de informação e consentimento na Plataforma (caráter informativo)

No aplicativo móvel da Corenta, na etapa de primeiro uso (onboarding), há uma tela (kvkk.tsx) preparada pela Teta Studio e apresentada de forma comum aos clientes/usuários de todas as clínicas. Em linha com a Decisão de Princípio nº 2026/347 do Kurul, a informação e o consentimento são mostrados em etapas separadas:

Os registros são mantidos com versão na tabela consent_logs. Nota técnica: hoje a exibição do aviso é registrada nessa tabela com o tipo kvkk; esse registro não é um consentimento, e sim a indicação de que o aviso foi exibido e lido. A permissão única de notificações do sistema operacional é usada para entregar tanto as notificações transacionais quanto as de campanha; as notificações de campanha só devem ser enviadas se a autorização 2b tiver sido dada.

Essa tela e esses textos não são separados por Clínica: são oferecidos como uma versão comum a toda a Plataforma; hoje os dados de identificação da clínica (razão social, endereço, contato para solicitações) não são incluídos automaticamente no texto. Quando a versão do aviso muda, o usuário é solicitado, no próximo acesso, a indicar que leu o novo texto (o que também não é consentimento). O consentimento para dados de saúde e a autorização de campanhas podem ser retirados a qualquer momento (acompanhado pelo campo revoked_at); retirar o consentimento para dados de saúde não afeta o agendamento nem o uso da conta.

Se a Clínica, como profissional de saúde sujeito a dever de sigilo (por exemplo, fisioterapeuta), trata dados de saúde para fins de tratamento com base no art. 6/3-e da KVKK, apenas a informação pode bastar, sem a tela de consentimento explícito; os demais negócios (por exemplo, estúdios de pilates/bem-estar) só podem tratar dados de saúde com base em consentimento explícito opcional, nos termos do art. 6/3-a. Qual base legal adotar e se o conteúdo do aviso é adequado à própria atividade é responsabilidade da Clínica.

B.3. Categorias de dados tratados pela Teta Studio na condição de Operadora

Por exigência do funcionamento técnico da Plataforma, as seguintes categorias de dados são tratadas conforme as instruções da Clínica:

Permissão para escrever nos campos de saúde (a partir de 4 de outubro de 2026): apenas o próprio cliente e o profissional designado podem escrever nos campos de saúde do cliente (tipo sanguíneo, alergias, condições crônicas, medicamentos); o titular/gestor do negócio não pode escrever nesses campos (pode editar o contato de emergência e os campos de identificação).

Medição de produto pseudonimizada: nesta atividade a Teta Studio é controladora, e os detalhes estão na Parte C. A medição é feita com um identificador pseudônimo da clínica; esse identificador é um pseudônimo (não é anônimo). O recurso está desativado no momento.

Arquivos de recibo (a partir de 4 de outubro de 2026): arquivos de recibo não vinculados a um pagamento (órfãos) são excluídos automaticamente após 7 dias; um recibo vinculado a um pagamento não pode ser excluído por nenhum perfil.

Transparência sobre permissões no celular (a partir de 18 de outubro de 2026): o aplicativo móvel da Corenta pede, no nível do sistema operacional, apenas a permissão de notificações (solicitada no contexto) e, no iOS, acesso à biblioteca de fotos (no momento em que se escolhe foto de perfil, anexo da anamnese, comprovante de pagamento, imagem de aviso ou vídeo do estúdio); se o bloqueio do app estiver ativado, a verificação por Face ID/digital é feita dentro do dispositivo, e nenhum dado biométrico é enviado à Corenta. No Android, as permissões de câmera e microfone foram retiradas de propósito do manifesto do app. O aplicativo não pede permissão de câmera, microfone, localização, contatos (contacts) ou calendário, nem acesso ao HealthKit/sensores de saúde. O mapa do Descobrir não usa a localização do dispositivo; busca apenas pela cidade/bairro ou pela área do mapa que o usuário escolher.

Dados pessoais de categoria especial (dados de saúde), nos termos do art. 6 da KVKK, só podem ser tratados com consentimento explícito ou nas hipóteses excepcionais previstas em lei (proteção da saúde pública, medicina preventiva, diagnóstico/tratamento médico, planejamento e financiamento de serviços de saúde, quando realizados por pessoas sujeitas a dever de sigilo). No ecossistema Corenta, esses dados são inseridos pelos profissionais de saúde/bem-estar autorizados da Clínica, conforme a base legal adotada pela Clínica (consentimento explícito opcional do art. 6/3-a ou art. 6/3-e); a Teta Studio apenas hospeda/trata esses dados conforme as instruções da Clínica e os protege com medidas de segurança reforçadas (ver B.6).

Prazo de retenção e forma de descarte — referência cruzada: o prazo de retenção de cada categoria acima e o método aplicado após um pedido de exclusão da conta (exclusão definitiva ou anonimização) estão resumidos em B.8/a e explicados, com tabela detalhada e justificativa, em veri-saklama-imha-politikasi.md (Seções 4 a 6). Em especial para as linhas Dados de saúde, Dados transacionais/financeiros e Registros de informação e permissões: na etapa de exclusão definitiva da conta, esses registros não sofrem DELETE; o vínculo com a pessoa é desfeito e alguns campos de texto livre são limpos. Como o texto livre das notas de sessão não é alterado, esses registros não são considerados anônimos em todos os casos; são guardados com acesso restrito (ver B.8/a).

B.3-A. Recursos de comunidade e crescimento — relação com dados de saúde (a partir de 18 de outubro de 2026)

Dados de saúde são dados pessoais de categoria especial no sentido do art. 6 da KVKK. Os recursos abaixo não foram criados para tratar dados de saúde; para cada um, descrevemos separadamente como os dados de saúde são tratados:

Em clínicas que prestam serviços de saúde, como a fisioterapia, o fato de um cliente participar de uma aula ou de um grupo pode indicar que essa pessoa recebe um serviço de saúde. Por isso, a decisão de usar ou não esses recursos e de como explicá-los aos clientes é da Clínica, como controladora. Os grupos da clínica (group_chats) e os desafios (leagues) são módulos separados e foram projetados para poder ser desativados por clínica.

B.4. Finalidades do tratamento e bases legais

As bases legais da tabela abaixo podem ter dois sentidos diferentes, conforme a natureza do dado: (i) a base legal em que a Clínica (como controladora) se apoia perante seu cliente/sua equipe, ou (ii) a base legal aplicável às atividades independentes da própria Teta Studio (segurança da plataforma, faturamento, obrigação legal etc.). Considerando que a Teta Studio não define por conta própria uma "finalidade de tratamento" independente (ver B.1), a linha relativa a dados de categoria especial, em particular, deve ser lida como reflexo da base legal da Clínica:

B.5. Transferência de dados pessoais (no país e no exterior)

Para o funcionamento da Plataforma, os dados pessoais são compartilhados com os suboperadores (sub-processors) abaixo, de forma limitada e na medida tecnicamente necessária:

Outras observações sobre a infraestrutura:

• Infraestrutura de e-mail: os e-mails de serviço (período de teste, convite de equipe, respostas do suporte) são enviados por SMTP via Google Workspace (Google); os e-mails de autenticação (verificação de e-mail, redefinição de senha) são disparados pelo Supabase Auth. E-mails promocionais só são enviados com autorização separada e registro no İYS (ver Parte C). As notificações push são entregues por meio da Apple (APNs) e do Google (FCM).
• Ferramenta de análise: não é usada nenhuma ferramenta de análise de terceiros (por exemplo, Google Analytics). A medição de uso do produto dentro do app não está ativa no momento; se for ativada, a medição será gravada em uma tabela própria (first-party) no banco de dados da Corenta (Supabase, Frankfurt/Alemanha), não conterá dados de saúde nem texto livre, e este Aviso será atualizado antes da ativação.
• Monitoramento de erros: não é usada nenhuma ferramenta de monitoramento de erros de terceiros; os erros do cliente são registrados no próprio banco de dados da Corenta (Supabase).
• Entrega de mensagens em tempo real e vídeos (a partir de 18 de outubro de 2026): mensagens individuais e de grupo são entregues apenas aos usuários autorizados pelo serviço de transmissão em tempo real do Supabase (Realtime); os vídeos dos estúdios ficam no armazenamento de arquivos do Supabase. Isso está coberto pela linha do Supabase (nº 1); nenhum novo suboperador foi adicionado.
• Pagamento com cartão de crédito pela web: não é suportado no momento; todos os pagamentos de assinatura são feitos exclusivamente pelo mecanismo de compra no app (IAP) da Apple/Google.

Transferência internacional: seus dados são tratados por meio de prestadores de serviço localizados fora da Turquia: Supabase (banco de dados, autenticação e armazenamento de arquivos; dados hospedados em Frankfurt, Alemanha), Vercel (hospedagem do painel web; infraestrutura global), Google (e-mail do Google Workspace e notificações do Firebase Cloud Messaging; global) e Apple (notificações e loja; global). A hospedagem na Alemanha também é transferência internacional no sentido da Lei nº 6.698. Como essas transferências são regulares e contínuas, não se baseiam em consentimento explícito; vão se basear em uma das condições de tratamento dos artigos 5 e 6 da KVKK e, nos termos do art. 9/4-c, nos contratos-padrão publicados pelo Kişisel Verileri Koruma Kurulu. Como operadora, a Teta Studio assinará com cada suboperador o contrato-padrão do Módulo 3 (de operador para operador) e o comunicará ao Kurul em até 5 dias úteis da assinatura. Na data deste texto, os contratos-padrão ainda não foram assinados nem comunicados ao Kurul; quando a assinatura e a comunicação forem concluídas, esta seção será atualizada com a lista de provedores e datas. Não existe decisão de adequação do Kurul em relação a esses países (última verificação: 11 de outubro de 2026). A Clínica inclui essas transferências em seu próprio aviso de privacidade.

A lista de suboperadores acima também é mantida, atualizada, como anexo do DPA entre a Clínica e a Teta Studio; a Clínica é informada das mudanças na lista de suboperadores pelo procedimento previsto no DPA. Os dados pessoais só podem ser transferidos a órgãos e entidades públicas legalmente competentes nos casos previstos na legislação aplicável e na medida do pedido; a Teta Studio não vende nem aluga, de forma alguma, os dados pessoais que trata a terceiros para fins comerciais.

B.6. Medidas de segurança

Como Operadora, a Teta Studio aplica as seguintes medidas técnicas e administrativas para garantir a segurança dos dados pessoais que trata:

• Isolamento entre tenants (multi-tenant isolation): todas as tabelas de dados da Plataforma são separadas pelo campo tenant_id e protegidas por políticas abrangentes de Segurança em Nível de Linha (Row Level Security/RLS), com base no princípio de negação por padrão (default-deny); o acesso de uma Clínica aos dados de outra é bloqueado tecnicamente.
• Restrição de acesso a dados de saúde: no nível de RLS, só podem acessar fichas de anamnese, notas de sessão e medições o próprio cliente, o profissional designado para ele e o gestor autorizado da clínica; as notas de sessão que o profissional marcar como "compartilhadas com a equipe" também podem ser vistas pelos demais profissionais da clínica. O acesso da equipe só é possível quando o módulo de saúde correspondente (anamnese, medição, nota de sessão) está ativado.
• Imutabilidade (append-only): as notas de sessão enviadas (quando o campo submitted_at é preenchido) são protegidas no nível do banco de dados para não poderem ser alteradas nem excluídas; para as fichas de anamnese, também não há permissão de exclusão (DELETE) definida para nenhum perfil de usuário (incluindo o gestor da clínica). Única e restrita exceção: no processo de exclusão definitiva da conta (ver B.8/a), apenas o processo privilegiado em segundo plano (service-role) pode, sem tocar no CONTEÚDO da nota de sessão, definir como NULL no nível do banco de dados só as colunas de vínculo com a pessoa (client_id/specialist_id); isso não quebra o princípio append-only — é uma passagem de finalidade única, que atende apenas à obrigação de desvincular a pessoa (anonimização) prevista na KVKK (detalhes: veri-saklama-imha-politikasi.md Seção 6.2).
• Limites do modo de suporte de superadministrador (impersonation): o modo de acesso de superadministrador usado para suporte técnico é limitado no tempo (30 minutos) e, por padrão, somente leitura; operações de escrita e o acesso a dados de saúde só podem ser liberados por etapas separadas, que exigem aprovação adicional (flag health_data_enabled); em nenhum cenário de impersonation é concedida permissão de escrita nas tabelas de dados de saúde — essa restrição é aplicada sem exceção nas políticas do banco de dados.
• Segurança na transmissão: os dados são criptografados com TLS durante a transmissão.
• Armazenamento no dispositivo: no aplicativo móvel, os tokens de sessão são guardados criptografados no chaveiro seguro do dispositivo, apoiado por hardware (expo-secure-store, baseado em iOS Keychain / Android Keystore).
• Proteção de telas sensíveis: nas telas do app que contêm dados de saúde, capturas e gravações de tela são bloqueadas (bloqueio de gravação/captura de tela no iOS; FLAG_SECURE no Android).
• Segurança das contas de administração: as contas de administrador da Plataforma (superadministrador) exigem autenticação em dois fatores (MFA, AAL2).
• Integridade dos pagamentos: é aplicada uma infraestrutura de verificação de assinatura criptográfica para as notificações de pagamento (webhooks) das lojas (Apple/Google); a conclusão integral dessa configuração em produção para todos os provedores e sua melhoria contínua estão em andamento.

Apesar das medidas acima, fica claro que nenhum sistema de informação pode oferecer garantia absoluta de segurança. Essas medidas são revisadas e aprimoradas continuamente, como parte das obrigações da Operadora no âmbito do art. 12 da KVKK. Ao tomar conhecimento de uma violação de dados na condição de operadora, a Teta Studio a comunica à Clínica sem demora e em até 24 horas (Kurul 2019/10). A comunicação ao Kurul e aos titulares é obrigação da Clínica, como controladora. Para os dados dos quais a Teta Studio é controladora (Partes A e C), a própria Teta Studio faz a comunicação ao Kurul em até 72 horas.

B.7. Informações adicionais sobre o modo de suporte de superadministrador (impersonation)

A equipe de suporte autorizada da Teta Studio pode, no âmbito de pedidos de suporte técnico vindos da Clínica, acessar temporariamente a conta da Clínica por meio de um "modo de suporte" limitado e auditável. Esse acesso:

• É limitado a no máximo 30 minutos e termina automaticamente ao fim do prazo,
• É, por padrão, somente leitura (read-only),
• Permissão de escrita e acesso a dados de saúde só podem ser liberados por etapas distintas, que exigem aprovação adicional; acesso de escrita às tabelas de dados de saúde não é concedido em nenhuma hipótese,
• É registrado em log e fica sujeito a trilha de auditoria.

Contato do cliente no modo de suporte (a partir de 4 de outubro de 2026): na sessão de suporte da Corenta (superadministrador), o e-mail e o telefone do cliente não são mostrados à equipe de suporte; a equipe de suporte vê apenas um resumo limitado de identificação (nome, situação da conta, se está ativa, data de criação).

B.8. Prazo de retenção dos dados pessoais e forma de exercício dos direitos do titular

Os dados pessoais são guardados pelo tempo necessário à finalidade correspondente e pelos prazos legais de retenção previstos na legislação aplicável. Os direitos abaixo, nos termos do art. 11 da KVKK, são exercidos em primeiro lugar perante a Clínica, na condição de Controladora. A Teta Studio, na condição de Operadora, garante o cumprimento técnico desses direitos a pedido da Clínica. Os mecanismos concretos oferecidos na Plataforma são:

a) Direito à exclusão: Exclusão da conta (a partir de 4 de outubro de 2026): quando o pedido de exclusão é confirmado, o acesso à conta é cortado na hora (as sessões são encerradas e não é possível entrar); os dados pessoais são excluídos ou anonimizados (nome, e-mail, telefone, imagem e os dados de identificação/contato do cliente, além dos campos de saúde — tipo sanguíneo, alergias, condições crônicas, medicamentos — são limpos); os registros de pagamento e de comissão que exigem retenção legal não são excluídos; são guardados desvinculados da pessoa e com acesso restrito. Não há prazo para desfazer o pedido; a exclusão definitiva do registro de autenticação e dos arquivos é concluída no processo em segundo plano já existente de trinta dias.

Exclusão do cadastro do cliente e campos de saúde (a partir de 4 de outubro de 2026): quando o negócio exclui o cadastro de um cliente que não tem conta, o cadastro sai na hora da lista ativa; após 30 dias, junto com os dados de identificação e contato, os campos de saúde do cliente (tipo sanguíneo, alergias, condições crônicas, medicamentos) também são excluídos/esvaziados. As regras de retenção das fichas de anamnese, das medições e das notas de sessão não são afetadas por esta disposição.

Mensagens de grupo e registros de comunidade (a partir de 18 de outubro de 2026): o membro pode excluir sua própria mensagem de grupo quando quiser; o texto da mensagem excluída é removido do registro. Quando a conta é excluída definitivamente, a participação em grupos, os registros de dispositivos vinculados e os cartões de perfil do profissional são excluídos; a participação em desafios está ligada ao cadastro do cliente e segue a mesma regra dele; já o texto das mensagens enviadas antes ao grupo permanece no grupo, sem a informação de quem enviou. Por isso, quem quiser remover suas mensagens pode excluí-las uma a uma antes de excluir a conta. O texto de uma mensagem ocultada pela equipe é guardado à parte para análise da equipe. Os prazos de retenção das mensagens de grupo e dessa cópia estão em veri-saklama-imha-politikasi.md, Seção 4, nº 12; a cópia é guardada por no máximo 1 ano. Hoje, os registros de grupos, desafios, selos e fidelidade não estão incluídos na exportação "Baixar meus dados"; pedidos de informação sobre eles podem ser feitos à Clínica ou para hello@corenta.app.

Quando o usuário pede a exclusão da conta dentro do app (função delete_my_account), o sistema aplica uma arquitetura de exclusão em duas etapas. O resumo abaixo é uma descrição honesta e tecnicamente verificada do método aplicado a cada categoria de dados (exclusão definitiva ou anonimização); para todos os detalhes e a tabela, ver veri-saklama-imha-politikasi.md (especialmente as Seções 4 a 6).

• Etapa 1 — no momento do pedido: o acesso à conta é cortado na hora (não há prazo para desfazer); o perfil é desativado, os campos de identificação e de saúde são limpos, os agendamentos pendentes são cancelados, as atribuições são removidas e os consentimentos dados são retirados.
• Etapa 2 — processamento definitivo após 30 dias: 30 dias depois dessa primeira etapa, ocorre um processamento disparado de forma irreversível apenas por uma tarefa privilegiada em segundo plano (cron, service-role) e aplicado com dois métodos diferentes conforme a categoria de dados; esse processamento não pode ser disparado manualmente/administrativamente nem antecipado ou adiado:
• O registro de autenticação do usuário (auth.users) e os registros sem valor independente de negócio/prova (por exemplo, notificações, notifications) são excluídos definitivamente (DELETE/cascade).
• Os dados de saúde (fichas de anamnese, notas de sessão, registros de medição) e os registros clínicos/financeiros (pagamento, chamada) NÃO SOFREM DELETE — SÃO DESVINCULADOS DA PESSOA E GUARDADOS COM RESTRIÇÃO: o vínculo com a pessoa (como client_id/specialist_id) é desfeito no nível do banco de dados (ON DELETE SET NULL); alguns campos de texto livre (respostas da anamnese, observações de medição/pagamento, motivo de reembolso, referência do comprovante) são limpos ou substituídos por uma marca. O texto livre das notas de sessão não é alterado; como nesse texto e em informações como séries de datas/medições pode restar informação suficiente para reidentificar a pessoa, esses registros não são considerados anônimos. Os registros são guardados com acesso restrito durante a obrigação de manutenção de registros da Clínica e descartados ao fim do prazo; assim é preservado o princípio append-only das notas de sessão.
• Os registros de consentimento (consent_logs) também não sofrem DELETE; o vínculo com a pessoa é desfeito e o endereço IP é limpo, mas, para fins de prova de que o consentimento foi dado/retirado (com tipo, versão e horário), são guardados por mais 5 anos como registro de prova desvinculado da pessoa (art. 5/2-e da KVKK — constituição e proteção de um direito; o ônus da prova do consentimento explícito é do controlador).
• Arquivos anexos: o avatar/foto de perfil do usuário, os anexos de anamnese e as imagens de comprovantes de pagamento (os buckets avatars, anamnesis-attachments, user-data-exports e payment-receipts do Storage) são excluídos do Storage de forma automática (best-effort) como parte da etapa de exclusão definitiva — se a exclusão falhar em um bucket, isso é registrado em log, mas não impede a limpeza dos outros buckets nem o processamento da conta. Limite honesto: a única categoria de arquivos fora desse processo automático são os documentos de verificação de identidade/diploma enviados no cadastro do profissional/autônomo (bucket specialist-verification-docs) — tecnicamente, esses documentos estão ligados não ao usuário, mas ao processo de verificação do tenant (da Clínica), e hoje não estão incluídos na exclusão automática; seu descarte será tratado à parte no processo de encerramento da conta/assinatura da Clínica no nível do tenant, e, até isso ser concluído, pedidos excepcionais são avaliados manualmente por hello@corenta.app.
• Nenhum dos processos acima pode ser disparado ou interrompido manualmente pelas interfaces normais do produto (nem mesmo pela equipe administrativa) — trata-se de uma decisão de segurança consciente, para evitar exclusões antecipadas/atrasadas por engano ou abuso.
• Por isso, este Aviso não assume o compromisso absoluto de que "quando a conta é excluída, todos os dados são destruídos fisicamente, sem exceção": enquanto o registro de autenticação e os registros sem valor independente de negócio são excluídos definitivamente, os registros de saúde/clínicos/financeiros e os registros de consentimento continuam guardados, desvinculados da pessoa e com acesso restrito (pelos prazos explicados acima), em razão da obrigação de manutenção de registros da Clínica (ressalvadas, nos termos do art. 7/2 da KVKK, as disposições de retenção de outras leis); esses registros não são anônimos; sobre resíduos técnicos em backups, ver também veri-saklama-imha-politikasi.md Seção 6.3.
• Canais de solicitação: o pedido de exclusão da conta pode ser feito pela função de autoatendimento "Excluir minha conta" dentro do app, o método mais confiável e de resultado direto; nesse caso, a função é acionada diretamente pelo usuário e o processo em duas etapas descrito acima corre automaticamente (não se trata de uma solicitação/pedido dirigido à Teta Studio, e sim de uma função automática do sistema iniciada pelo próprio usuário). Se, por qualquer motivo, o usuário não conseguir usar a função do app, pode alternativamente encaminhar o pedido à Clínica ou para hello@corenta.app; nesse caso, o pedido é avaliado e processado em prazo razoável e, na medida necessária, é iniciado o mesmo processo de exclusão. Essa é uma exceção à regra geral de solicitação descrita em B.9 abaixo ("é preciso solicitar primeiro à Clínica") e decorre apenas do fato de a função de autoatendimento do app poder ser acionada diretamente pelo usuário.

b) Pedido de informações / Portabilidade de dados: A Plataforma oferece uma função (export_user_data) com a qual o usuário pode exportar os próprios dados. Em conformidade com a estrutura multi-tenant, essa função inclui apenas os dados do próprio usuário dentro do escopo do seu tenant. Os dados são fornecidos em prazo razoável, em formato estruturado e legível por máquina (JSON). Quando o arquivo pode ser preparado, os dados também são entregues em ZIP, por um link pessoal (assinado) válido por 7 dias; se o ZIP não puder ser preparado, entrega-se só a saída em JSON.

c) Direito de correção: A atualização dos dados do usuário é tecnicamente possível pelo painel de gestão da Clínica. Não há, na Plataforma, um fluxo de trabalho automatizado e independente de "pedido de correção"; os pedidos de correção podem ser encaminhados, no âmbito dos direitos gerais do art. 11 da KVKK, à Clínica ou à Teta Studio pelo endereço hello@corenta.app.

d) Retirada do consentimento: a confirmação de leitura do aviso de privacidade não é um consentimento; não gera uma autorização a ser retirada. O usuário pode retirar a qualquer momento, pelo aplicativo móvel, o consentimento para dados de saúde e a autorização de notificações de campanhas da clínica. Retirar o consentimento para dados de saúde não afeta o agendamento nem o uso da conta; após a retirada, novos dados de saúde não são registrados, e os registros anteriores são guardados conforme as regras de B.8/a.

e) Outros direitos do art. 11: os direitos de saber se há tratamento, de saber se ele é compatível com a finalidade, de conhecer os terceiros a quem os dados foram transferidos, de pedir a correção de tratamento incompleto/incorreto e de pedir reparação de danos por tratamento ilícito são exercidos, em primeiro lugar, perante a Clínica; têm o mesmo conteúdo do quadro listado em A.8.

B.9. Forma de solicitação

Clientes e equipe das clínicas devem dirigir seus pedidos relativos à KVKK em primeiro lugar à própria Clínica; a Clínica, como Controladora, é obrigada a responder a esses pedidos conforme o procedimento do art. 13 da KVKK e em no máximo trinta (30) dias. Exceção: mecanismos de autoatendimento dentro do app, como a exclusão da conta (ver B.8/a), podem ser usados diretamente pelo usuário, sem necessidade de intermediação da Clínica; para os demais pedidos do art. 11 da KVKK, a regra é dirigir-se primeiro à Clínica.

Para pedidos de natureza técnica que se queira encaminhar diretamente à Teta Studio (por exemplo, quando a função de exclusão da conta ou de exportação de dados não funciona) ou para dúvidas sobre as atividades que a Teta Studio realiza na própria condição de operadora, o contato pode ser feito por hello@corenta.app. A Teta Studio pode encaminhar à Clínica, no âmbito do DPA, as solicitações recebidas que exijam conhecimento/instrução da Clínica correspondente.

B.10. Obrigações da Clínica

Toda Clínica que usa a Corenta reconhece que tem a condição de Controladora nos termos do art. 3/ı da KVKK e que as obrigações abaixo cabem exclusivamente a ela:

• Preparar/disponibilizar o Aviso de Privacidade da KVKK destinado aos seus Clientes e Usuários (a tela de informação comum e pronta e as telas de consentimento opcional do aplicativo móvel da Corenta são oferecidas para isso como ferramenta técnica, mas garantir que o conteúdo seja adequado à própria atividade é responsabilidade da Clínica; se a Clínica julgar necessário, pode conduzir seu próprio processo de informação complementar, conforme B.1),
• Definir a base legal para o tratamento de dados de saúde (consentimento explícito opcional do art. 6/3-a ou art. 6/3-e); se for necessário consentimento explícito, obtê-lo da forma devida e não torná-lo condição para o serviço,
• Informar aos clientes seus próprios dados de identificação (razão social, endereço, contato para solicitações da KVKK) (hoje o texto comum do app não inclui essas informações automaticamente),
• Avaliar sua própria obrigação perante o VERBİS; para controladores cuja atividade principal é o tratamento de dados de saúde, o limite de isenção do VERBİS é de 10 empregados por ano e balanço de 10 milhões de TL (Kurul 2025/1572),
• Responder às solicitações dos titulares nos prazos previstos no art. 13 da KVKK,
• Garantir a segurança dos dados em relação à própria equipe e aos próprios subcontratados,
• Cumprir as obrigações previstas no Contrato de Tratamento de Dados/Termos de Serviço firmado com a Corenta.

A Teta Studio não assume responsabilidade decorrente do descumprimento, pela Clínica, das obrigações acima.

PARTE C — AVISO DE PRIVACIDADE DA CONTA E DA PLATAFORMA CORENTA (Teta Studio como controladora)

Esta parte explica os tratamentos que a Teta Studio realiza em nome próprio e para finalidades próprias. Nessas atividades, a Teta Studio é controladora nos termos do art. 3/1-ı da KVKK. Este texto é exibido quando a conta do titular/funcionário da clínica é criada e quando o cliente usa pela primeira vez o Descobrir ou a função de avaliação. Os recursos entre estúdios abaixo (liga, convite, Estúdio Fundador, Corenta Lab, Descobrir v2) estão nesta parte porque reúnem mais de uma clínica e têm finalidade definida pela Teta Studio. As informações tratadas em nome do estúdio não são dados pessoais quando o negócio é pessoa jurídica; em estúdios que funcionam como empresa individual e em estúdios de uma só pessoa, podem ser associadas a uma pessoa, por isso são explicadas aqui.

C.1. Controlador

Mertcan Demir — empresa individual sob o nome comercial "Teta Studio" (dados de identificação e contato: A.1). Solicitações: hello@corenta.app.

C.2. Tratamentos, finalidades e bases legais

Descobrir e convite para avaliação: o convite para avaliação é enviado, se a clínica ativar o Descobrir, com base nos dados do agendamento concluído. Pelo Contrato de Tratamento de Dados, a clínica instrui a transferência desses dados à Teta Studio apenas para enviar o convite e publicar o comentário verificado; em clínicas com o Descobrir desativado, nenhum convite é enviado. Uma avaliação publicada pode mostrar publicamente que você recebeu um serviço de um negócio de saúde/exercícios; leve isso em conta antes de publicar.

Medição pseudonimizada: a medição é feita com um identificador pseudônimo da clínica; esse identificador é um pseudônimo e, em um negócio de uma só pessoa, pode ser associado a ela. Não inclui endereço IP, dados de saúde nem rastreamento de origem/anúncios. O recurso está desativado no momento; antes de ativá-lo, este texto será atualizado.

Visibilidade nos recursos de comunidade e crescimento: as informações mostradas a outros usuários na liga, na lista de Estúdios Fundadores, no Corenta Lab e no Descobrir são apenas as descritas na tabela acima. Esses recursos não tratam dados de saúde de clientes (detalhes: B.3-A). No convite de estúdios, no Estúdio Fundador e no Lab não há prêmio em dinheiro nem desconto de preço; as recompensas são vantagens dentro do app, como Boost de 7 dias, período de teste e créditos.

C.3. Destinatários e transferência internacional

Supabase (hospedagem; Frankfurt, Alemanha), Vercel (painel web), Google (e-mail do Google Workspace, Firebase Cloud Messaging, Google Play) e Apple (APNs, App Store). A transferência a esses provedores é transferência internacional; sua base e situação atual estão explicadas no parágrafo "Transferência internacional" de B.5 (para estes fluxos, em que a Corenta é controladora, será usado o contrato-padrão do Módulo 2 — de controlador para operador; na data deste texto, ainda não foi assinado).

C.4. Mensagens eletrônicas comerciais

A Teta Studio só envia e-mails promocionais e de campanha se você tiver dado sua autorização à parte, em uma caixa que vem desmarcada. A Teta Studio não envia e-mails promocionais sem estar registrada no İleti Yönetim Sistemi (İYS); após o registro, as autorizações são carregadas no İYS em até 3 dias úteis. Toda mensagem promocional traz a identificação do remetente, os dados de contato e um link gratuito para cancelar o recebimento. Os e-mails de período de teste, convite de equipe e suporte são mensagens de serviço; não contêm elementos promocionais.

C.5. Retenção, direitos e solicitações

Os prazos de retenção estão em veri-saklama-imha-politikasi.md. Dos registros adicionados em 18 de outubro de 2026, os resumos de teste repetido e os registros de liga, convite, Estúdio Fundador e Lab são guardados até a exclusão definitiva da conta do estúdio correspondente; os registros de dispositivos, até a exclusão definitiva da conta do usuário. Ainda não foi definido um prazo máximo separado para esses registros, que será incluído na política de retenção. Você pode exercer seus direitos do art. 11 da KVKK (A.8) escrevendo para hello@corenta.app; as solicitações são respondidas gratuitamente em no máximo 30 dias.

DISPOSIÇÕES COMUNS (aplicáveis a todas as partes)

G.1. Decisões automatizadas e criação de perfis

A Corenta não cria perfis para fins de publicidade ou marketing. No entanto, a partir de 18 de outubro de 2026, as regras abaixo funcionam automaticamente e podem gerar um resultado desfavorável limitado para a pessoa ou o estúdio envolvido:

O sinal de teste repetido não é uma decisão automatizada: a correspondência não bloqueia o teste, apenas vai para análise do administrador da plataforma. Nos termos do art. 11/1-g da KVKK, fica resguardado seu direito de se opor a um resultado desfavorável decorrente da análise de dados exclusivamente por sistemas automatizados.

G.2. Atualização do Aviso de Privacidade

Este Aviso de Privacidade pode ser atualizado em razão de mudanças na legislação, de decisões do Kişisel Verileri Koruma Kurulu, da evolução funcional da Plataforma ou de mudanças de suboperadores/prestadores de serviço. A versão atual estará sempre disponível em corenta.app/legal/kvkk-aydinlatma-metni e na tela de documentos dentro do app. No contexto do produto SaaS (Parte B), quando a versão do aviso muda, o usuário é solicitado, no próximo acesso, a indicar que leu o novo texto; isso não é um consentimento, e sim a prova de que a informação foi dada (ver B.2).

G.3. Legislação aplicável e foro

Este Aviso de Privacidade foi elaborado no âmbito da Lei nº 6.698 de Proteção de Dados Pessoais (KVKK) e da legislação secundária correspondente (Regulamento sobre Exclusão, Destruição ou Anonimização de Dados Pessoais; Regulamento sobre o Registro de Controladores de Dados; Comunicado sobre os Procedimentos e Princípios para o Cumprimento do Dever de Informar; Comunicado sobre os Procedimentos e Princípios das Solicitações ao Controlador). A interpretação e a aplicação deste texto regem-se pelo direito da República da Turquia; em caso de litígio, são competentes o Kişisel Verileri Koruma Kurulu e os tribunais/órgãos de execução turcos competentes.

G.4. Contato

Para qualquer dúvida, pedido ou solicitação sobre o tratamento de dados pessoais:

• E-mail: hello@corenta.app
• Suporte: support@corenta.app
• Área de atendimento: a Corenta é oferecida globalmente pela App Store e pelo Google Play, nos países em que essas lojas atuam. Este texto é o aviso de privacidade nos termos da Lei nº 6.698; para pessoas na UE/EEE aplica-se também a Declaração GDPR, ficando ressalvadas as normas obrigatórias de proteção de dados do país onde você está.
• Site institucional: corenta.app

Vigência / última atualização: 19 de outubro de 2026 Versão: 2.3 · 19 de outubro de 2026. O histórico de alterações está no início do documento.