CORENTA — POLÍTICA DE CONSERVAÇÃO E ELIMINAÇÃO DE DADOS

Esta tradução é disponibilizada apenas para fins informativos; o texto juridicamente vinculativo é o texto em turco.

Eliminação de cliente sem conta: A ação Eliminar do administrador da clínica vale como pedido; a ficha é imediatamente retirada da lista ativa e, ao fim de 30 dias, os dados de identificação/contacto e os campos de saúde do cliente (grupo sanguíneo, alergias, doenças crónicas, medicação) são apagados/esvaziados (ver 5.0). A descrição geral da eliminação da conta que se segue não deve ser interpretada, neste âmbito específico, como uma obrigação de apagar definitivamente a linha do cliente. Os registos de anamnese, medições, notas de sessão e financeiros continuam sujeitos às respetivas disposições de conservação.

Em vigor desde / última atualização: 19 de outubro de 2026 Versão: 1.9 Responsável pelo tratamento / editor: Mertcan Demir — empresário em nome individual com a designação comercial "Teta Studio"

Registo de alterações

• 1.9 — 19 de outubro de 2026: A expressão "apenas na Turquia" da Secção 14 foi substituída pela disponibilização global; os prazos de conservação não se alteraram.
• 1.8 — 19 de outubro de 2026: Versão de publicação; data de entrada em vigor: 19 de outubro de 2026. Foi acrescentada à Secção 4 uma linha (n.º 12) relativa às mensagens de grupo da clínica e às cópias de mensagens reservadas para análise pela equipa; a lista de eliminação periódica da Secção 7 foi alargada em conformidade; foram retiradas da tabela 1.3 as informações vazias relativas ao MERSİS e ao KEP.
• 1.7 — 11 de outubro de 2026: Com base na auditoria de conformidade de 11 de outubro de 2026 (F01, F02, F08, F11, F13, F19, F21): foi retirada do §11 a frase "Supabase/Frankfurt não constitui transferência internacional" e a secção relativa à transferência internacional foi redigida de acordo com a versão posterior a 2024 do artigo 9.º da Lei n.º 6698 de Proteção de Dados Pessoais da Turquia (KVKK) (os contratos-tipo ainda não foram assinados); a expressão "anónimo" relativa aos registos de saúde/clínicos/financeiros foi corrigida para conservação restrita com desvinculação da pessoa (o texto livre das notas de sessão não é alterado); o fundamento jurídico da linha relativa à prova do consentimento foi corrigido para o art. 5.º/2-e (foi eliminada a remissão incorreta para o art. 20.º/2); a linha do formulário de acesso antecipado foi atualizada de acordo com a separação entre a informação e o consentimento para comunicações comerciais; foi acrescentado o princípio da eliminação periódica semestral para as categorias sem eliminação automática; os dados de identificação foram corrigidos para empresário em nome individual; a secção relativa ao VERBİS (Registo dos Responsáveis pelo Tratamento) foi redigida de acordo com as decisões de 2025 do Conselho de Proteção de Dados Pessoais (Kurul).
• 1.6 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada dos registos de subcontratantes ulteriores/subcontratantes; as notificações push são entregues apenas através da Apple (APNs) e da Google (FCM); a Expo/EAS é apenas uma ferramenta de compilação da aplicação e não trata dados de utilizadores finais.
• 1.5 — 10 de outubro de 2026: Foi eliminada a redação relativa à escolha do Google Analytics; foi esclarecido que não é utilizada qualquer ferramenta de análise de terceiros e foram esclarecidos os subcontratantes das notificações push.
• 1.4 — 4 de outubro de 2026: O texto em vigor foi fixado como versão aprovada. Nesta versão foram incorporados apenas: eliminação da conta (o acesso é cortado imediatamente, os dados pessoais são apagados/anonimizados, os registos de pagamento sujeitos a conservação legal são conservados sem identificação; não existe prazo para anular o pedido); apagamento dos campos de saúde do cliente ao fim de 30 dias; prazo de 7 dias para comprovativos órfãos; confidencialidade dos contactos do cliente no modo de apoio; medição anónima do lado do servidor; e-mails de serviço e Google Workspace; subcontratantes das notificações push; endereço de apoio; mercado (Turquia).
• 1.3 — 7 de julho de 2026 (atualização de 4 de agosto de 2026): versão anterior.

Nota Importante sobre a Qualidade de Responsável pelo Tratamento / Subcontratante: A presente Política de Conservação e Eliminação de Dados (a "Política") regula durante quanto tempo são conservados os dados pessoais tratados no âmbito do serviço de software Corenta (o "Serviço" ou a "Aplicação"), desenvolvido e explorado por Mertcan Demir, que exerce a atividade enquanto empresário em nome individual com a designação comercial "Teta Studio" ("Corenta", "Teta Studio", a "Empresa"), os critérios em que esses prazos se baseiam e os métodos pelos quais esses dados são apagados, destruídos ou anonimizados quando o prazo de conservação termina ou o motivo do tratamento deixa de existir.

A presente Política foi elaborada no âmbito da Lei n.º 6698 de Proteção de Dados Pessoais (a "KVKK"), do Regulamento relativo ao Apagamento, Destruição ou Anonimização de Dados Pessoais (o "Regulamento") e da demais legislação aplicável, e faz parte integrante do inventário de tratamento de dados pessoais da Corenta. A presente Política deve ser lida em conjunto com o Aviso de Privacidade/a Política de Privacidade correspondente, nos quais são explicados em detalhe as finalidades e os fundamentos jurídicos do tratamento; este documento regula apenas os prazos de conservação e os procedimentos de eliminação e não pretende, por si só, cumprir integralmente o dever de informação previsto no art. 10.º da KVKK.

1. Finalidade e Âmbito

1.1. Finalidade

A finalidade da presente Política é explicar os critérios para a determinação do prazo máximo necessário à finalidade para a qual são tratados os dados pessoais tratados pela Corenta, a aplicação dos prazos previstos na legislação e os procedimentos e princípios relativos ao apagamento, destruição ou anonimização dos dados pessoais cujo prazo de conservação tenha terminado. A presente Política foi elaborada com base nas disposições dos artigos 5.º, 6.º, 7.º, 10.º, 11.º e 12.º da KVKK e nos artigos pertinentes do Regulamento.

1.2. Âmbito e Repartição de Funções — Aviso Importante

A presente Política abrange duas áreas distintas em que a Corenta trata dados em duas qualidades diferentes; esta distinção é aplicada de forma coerente em toda a Política e afeta diretamente a forma de interpretar a tabela de prazos de conservação:

(a) Contexto do Sítio Institucional (corenta.app — formulário de acesso antecipado/pedido de demonstração): Relativamente aos dados pessoais enviados através do formulário de candidatura ao acesso antecipado por potenciais negócios clientes interessados no produto, a Corenta/Teta Studio atua diretamente na qualidade de Responsável pelo Tratamento nos termos do art. 3.º da KVKK.

(b) Contexto do Produto SaaS (app.corenta.app): Relativamente aos dados pessoais pertencentes aos próprios clientes ("Cliente") que os centros de pilates clínico, fisioterapia, reformer, bem-estar/massagem e ioga que utilizam a plataforma Corenta por subscrição ("Tenant", "Negócio" ou "Clínica") introduzem na plataforma (contactos, anamnese, notas de sessão, dados de marcações/pacotes, etc.), a Clínica é o Responsável pelo Tratamento nos termos do art. 3.º da KVKK; a Corenta/Teta Studio presta um serviço de infraestrutura técnica apenas na qualidade de Subcontratante, segundo as instruções da Clínica. O dever de informar os clientes, a obtenção do consentimento explícito e a decisão final de conservação/eliminação dos dados dos clientes são responsabilidade legal da Clínica. A Corenta facilita tecnicamente o cumprimento destas obrigações no produto (mecanismo de registo de consentimentos consent_logs, ecrã móvel de consentimento KVKK kvkk.tsx, registos de auditoria), mas não herda nem assume a obrigação de conformidade com a KVKK da Clínica. Os prazos de conservação explicados na presente Política para este contexto indicam durante quanto tempo a Corenta conserva efetivamente estes dados na sua infraestrutura na qualidade de subcontratante; a decisão final e o prazo de eliminação podem ser determinados pelas instruções da Clínica e pela legislação a que esta está sujeita.

A presente Política abrange ainda, ao nível dos princípios gerais, os processos de conservação/eliminação dos dados pessoais dos trabalhadores, parceiros de negócio e fornecedores da Corenta; contudo, o foco principal da Política são os dados de clientes/negócios definidos nas alíneas (a) e (b) acima.

1.3. Dados do Responsável pelo Tratamento / Subcontratante

1.4. Legislação de Referência

• Lei n.º 6698 de Proteção de Dados Pessoais,
• Regulamento relativo ao Apagamento, Destruição ou Anonimização de Dados Pessoais (Jornal Oficial de 28.10.2017, n.º 30224),
• Guia relativo ao Apagamento, Destruição ou Anonimização de Dados Pessoais e decisões do Conselho de Proteção de Dados Pessoais (o "Conselho"),
• Código Comercial Turco n.º 6102 (conservação dos livros e documentos comerciais),
• Lei do Procedimento Tributário n.º 213 (conservação dos registos fiscais),
• Outra legislação setorial aplicável (incluindo, na medida em que se aplique, a legislação relativa à prestação de cuidados de saúde).

2. Definições

3. Critérios para a Determinação dos Prazos de Conservação e Eliminação (KVKK arts. 5.º e 6.º)

3.1. Motivos que Exigem a Conservação

Na Corenta, os dados pessoais são conservados apenas durante o prazo expressamente previsto na legislação aplicável ou durante o prazo necessário para a finalidade para a qual são tratados. Na determinação do prazo de conservação são tidos em conta os seguintes critérios:

1. Existe uma obrigação legal de conservação? (Por exemplo, prazos mínimos de conservação dos registos fiscais nos termos do Código Comercial Turco e da Lei do Procedimento Tributário.)
2. Com que finalidade foram os dados tratados e essa finalidade mantém-se? (KVKK art. 5.º/2 — princípio da limitação das finalidades.)
3. São necessários para a celebração/execução de um contrato? (Por exemplo, dados de marcações e pacotes enquanto se mantiver a relação de subscrição/serviço.)
4. São necessários para a constituição, o exercício ou a proteção de um direito (como meio de prova num eventual litígio)? (Tendo em conta os prazos gerais de prescrição do Código das Obrigações.)
5. Existe consentimento explícito do titular e esse consentimento mantém-se válido?
6. Existe um interesse legítimo da Corenta ou da Clínica? (Por exemplo, registos de segurança, deteção de fraude/abusos.)
7. Os dados pertencem à categoria de dados de categoria especial (saúde)? Nesse caso, aplicam-se, nos termos do art. 6.º da KVKK, uma restrição de acesso e uma fundamentação mais rigorosas; o prazo de conservação nunca é prolongado para além da finalidade.

Se nenhum dos critérios acima exigir a conservação de determinados dados pessoais, os dados são imediatamente apagados, destruídos ou anonimizados.

3.2. Motivos que Exigem a Eliminação

Os dados pessoais são apagados, destruídos ou anonimizados, a pedido do titular ou oficiosamente pela Corenta/Clínica, nos seguintes casos:

a) Alteração ou revogação das disposições legais que constituem o fundamento do seu tratamento, b) Desaparecimento da finalidade que exige o seu tratamento ou conservação, c) Retirada do consentimento pelo titular nos casos de tratamento baseado no consentimento explícito, d) Pedido de apagamento/destruição apresentado pelo titular no âmbito dos direitos previstos no art. 11.º da KVKK e deferimento desse pedido (pedido de eliminação da conta), e) Termo do prazo de conservação dos dados pessoais e inexistência de qualquer motivo legal que exija a sua conservação, f) Não celebração, invalidade, resolução ou caducidade do contrato, g) Conclusão definitiva do pedido de eliminação da conta no âmbito do processo indicado no artigo 5 da presente Política.

4. Tabela de Categorias de Dados, Prazos de Conservação e Métodos de Eliminação

A tabela seguinte indica as principais categorias de dados pessoais tratados na infraestrutura da Corenta, o prazo de conservação, a fundamentação e o método de eliminação a aplicar no termo do prazo. Salvo indicação expressa em contrário, a regra geral é: "Enquanto a conta/o registo em causa estiver ativo + 30 dias a contar do tratamento do pedido de eliminação da conta." A tabela deve ser lida em conjunto com o fluxo de eliminação da conta explicado na Secção 5. Para algumas categorias, o passo ao fim de 30 dias deste fluxo não é DELETE (apagamento definitivo), mas sim anonimização — esta distinção é indicada expressamente nas linhas correspondentes e na Secção 6.2.

<div style="overflow-x:auto">

</div>

Nota 1: Na tabela acima, a expressão "enquanto a conta/o tenant estiver ativo" refere-se ao período durante o qual se mantém a subscrição Corenta da Clínica em causa e a ficha do cliente não foi eliminada pela Clínica. O momento em que a Clínica apaga os dados do seu próprio cliente é determinado no âmbito da política KVKK da própria Clínica (na qualidade de Responsável pelo Tratamento) e da sua relação com o cliente; a Corenta disponibiliza a possibilidade técnica para esse processo.

Nota 2: Os prazos de 2 anos da Linha 7 (Registos de Auditoria) e de 5 anos da Linha 8 (Registos de Consentimentos) são prazos fixos de conservação determinados pela Corenta (ao contrário do prazo do Código Comercial/da Lei do Procedimento Tributário da Linha 6, não se baseiam diretamente numa disposição legal; são compromissos autovinculativos determinados no âmbito do interesse legítimo e do ónus da prova previstos no art. 5.º/2-f da KVKK). Atualmente não funciona no sistema qualquer mecanismo automático de apagamento no termo destes prazos — quando o prazo termina, o apagamento/a anonimização é feito manualmente, e a presente Política será atualizada quando a automatização for implementada. A expressão "no máximo 2 anos" da Linha 9 (Dados do Formulário de Acesso Antecipado) tem um âmbito diferente e, conforme explicado na própria linha, exprime um limite jurídico máximo distinto.

5. Processo de Eliminação da Conta — Funcionamento de Ponta a Ponta

Para dar resposta técnica ao pedido de apagamento dos titulares dos dados previsto no art. 11.º da KVKK, a Corenta aplica uma arquitetura de apagamento em duas fases, que equilibra a experiência do utilizador e a necessidade de segurança dos dados/prova jurídica: apagamento lógico imediato (soft-delete) seguido de apagamento definitivo ao fim de 30 dias.

5.0. Alteração de 4 de outubro de 2026 — em caso de conflito com 5.1–5.7, prevalece este ponto

Eliminação da conta (a partir de 4 de outubro de 2026): Quando o pedido de eliminação é confirmado, o acesso à conta é cortado imediatamente (as sessões são terminadas, não é possível iniciar sessão); os dados pessoais são apagados ou anonimizados (são apagados o nome, o e-mail, o telefone, a imagem e os dados de identificação/contacto do cliente e os campos de saúde — grupo sanguíneo, alergias, doenças crónicas, medicação —); os registos de pagamentos e remunerações sujeitos a conservação legal não são apagados; são conservados com desvinculação da pessoa e com acesso restrito. Não existe prazo para anular o pedido; o apagamento definitivo do registo de autenticação e dos ficheiros é concluído no processo em segundo plano de trinta dias já existente.

Eliminação da ficha do cliente e campos de saúde (a partir de 4 de outubro de 2026): Quando o negócio elimina a ficha de um cliente sem conta, a ficha é imediatamente retirada da lista ativa; ao fim de 30 dias, os campos de saúde do cliente (grupo sanguíneo, alergias, doenças crónicas, medicação) são também apagados/esvaziados, juntamente com os dados de identificação e contacto. As regras de conservação dos formulários de anamnese, das medições e das notas de sessão não são afetadas pela presente disposição.

Ficheiros de comprovativo (a partir de 4 de outubro de 2026): Os ficheiros de comprovativo não associados a um pagamento (órfãos) são apagados automaticamente ao fim de 7 dias; um comprovativo associado a um pagamento não pode ser eliminado por nenhuma função.

Contactos do cliente no modo de apoio (a partir de 4 de outubro de 2026): Na sessão de apoio (superadministrador) da Corenta, o e-mail e o telefone do cliente não são mostrados ao pessoal de apoio; o pessoal de apoio só pode ver um resumo limitado de identificação (nome, estado da conta, se está ativa, data de criação).

Permissão de escrita nos campos de saúde (a partir de 4 de outubro de 2026): Os campos de saúde do cliente (grupo sanguíneo, alergias, doenças crónicas, medicação) só podem ser preenchidos pelo próprio cliente e pelo profissional que lhe está atribuído; o proprietário/administrador do negócio não pode escrever nestes campos (pode editar o contacto de emergência e os campos de identificação).

Medição pseudonimizada do produto: Para melhorar o produto, podem ser medidos eventos de utilização agregados, apenas do lado do servidor, com um identificador pseudonimizado da clínica; esta medição não inclui endereços IP, dados de saúde nem rastreamento de origem/publicidade. O identificador pseudonimizado da clínica tem natureza de pseudónimo (não é anónimo). A funcionalidade está atualmente desativada.

5.1. Fase 1 — Apagamento Lógico Imediato (Soft-Delete)

No momento em que o utilizador confirma o pedido de eliminação da conta através da aplicação, o sistema realiza as seguintes operações em simultâneo e imediatamente:

1. O registo do perfil do utilizador é desativado através do preenchimento do campo deleted_at; a conta torna-se inacessível/invisível para a utilização normal e não pode ser utilizada para iniciar sessão.
2. As marcações pendentes (ainda não realizadas) do utilizador são canceladas automaticamente.
3. As atribuições em que o utilizador figura como profissional/recurso (ligações cliente-profissional, atribuições de programas) são removidas.
4. Todos os consentimentos do utilizador são retirados (através do preenchimento do campo revoked_at nos registos de consent_logs).

Nesta fase, os dados não foram apagados fisicamente, mas tornaram-se inacessíveis para as finalidades normais de tratamento e apresentação. Tal constitui a primeira fase do processo de apagamento, com a natureza de "tornar inacessível" na aceção do art. 7.º da KVKK e do Regulamento.

5.2. Fase 2 — Apagamento Definitivo (Ao Fim de 30 Dias)

30 (trinta) dias após o apagamento lógico, uma tarefa agendada (cron job) que funciona automaticamente no sistema realiza as seguintes operações de forma irreversível:

1. O registo de autenticação do utilizador (auth.users) é apagado de forma definitiva e irreversível.
2. Os registos da base de dados associados ao utilizador são tratados de forma diferenciada consoante a categoria: os registos sem valor de negócio/probatório autónomo (por exemplo, notificações) são apagados definitivamente (DELETE/cascade); já os dados de saúde (anamnesis_forms, session_notes, measurements) e os registos clínicos/financeiros (payments, attendance, consent_logs) não são apagados; são desvinculados da pessoa — a ligação à pessoa é cortada ao nível da base de dados, alguns campos de texto livre são esvaziados e o registo mantém-se, com acesso restrito, como registo do tenant desvinculado da pessoa (não é considerado anónimo, uma vez que o texto livre das notas de sessão não é alterado) (ver Secção 4, Linhas 2–5, 8, 10 e Secção 6.2).
3. Esta operação é acionada automaticamente apenas no processo privilegiado em segundo plano do sistema (protegido por service-role); nenhum utilizador ou administrador de Negócio, incluindo o pessoal administrativo, pode iniciar manualmente, antecipar ou interromper este processo através das interfaces normais do produto — trata-se de uma opção de conceção de segurança deliberada para evitar apagamentos prematuros/tardios por erro ou abuso. (Esta garantia abrange as interfaces normais de utilizador e de gestão do produto; os processos técnicos de operação que possam ter acesso direto à base de dados ao nível privilegiado da infraestrutura do sistema estão fora do âmbito desta garantia e sujeitos a controlos internos de acesso separados.)

Finalidade do processo em segundo plano de 30 dias (a partir de 4 de outubro de 2026): Uma vez que o acesso à conta é cortado imediatamente com o pedido de eliminação, este prazo não oferece a possibilidade de anular/desistir; é utilizado para concluir o apagamento definitivo do registo de autenticação e dos ficheiros e para uma eventual análise de abusos. Este prazo é razoável e limitado, em conformidade com o princípio da proporcionalidade previsto no art. 5.º da KVKK. É possível obter informações sobre o estado do pedido de eliminação através de hello@corenta.app.

5.3. Exceção: Dados Sujeitos a Obrigação Legal de Conservação

O processo de apagamento definitivo de 30 dias acima não abrange os registos indicados na Secção 4, Linha n.º 6 da Tabela (Metadados de Subscrição/Operações), sujeitos a obrigação legal de conservação nos termos do Código Comercial Turco/da Lei do Procedimento Tributário. Estes registos, mesmo que a conta seja apagada definitivamente, são conservados separadamente até ao termo do prazo legal de conservação em causa, separados da finalidade de tratamento de dados pessoais e com acesso limitado apenas ao cumprimento da obrigação legal. Do mesmo modo, os registos de auditoria (audit_logs) e o núcleo probatório mínimo dos registos de consentimentos (ver Secção 4, Linhas 7–8) podem continuar a ser conservados para além deste prazo de 30 dias, para uma finalidade separada e limitada, com fundamento no interesse legítimo/na prova jurídica. Na Secção 4, Nota 2, indica-se expressamente que os prazos abrangidos por esta exceção não correspondem a um mecanismo técnico aplicado automaticamente no sistema.

5.4. Esclarecimento Especial sobre os Anexos Guardados (Importante — Transparência)

Em virtude do princípio da transparência, indica-se expressamente: durante o apagamento definitivo, os registos da base de dados (perfil, marcação, atribuição, consentimento, etc.) são integralmente apagados ou (no caso dos registos de saúde/clínicos/financeiros, ver Secção 6.2) anonimizados; já os anexos do utilizador guardados numa área de armazenamento (Storage) separada são tratados da seguinte forma: o avatar/fotografia de perfil, os documentos/fotografias anexados ao formulário de anamnese e as imagens dos comprovativos de pagamento são apagados automaticamente (best-effort) do Storage como parte da fase de apagamento definitivo — trata-se de um comportamento verificado que funciona efetivamente no sistema atualmente. Se o apagamento falhar num bucket, tal é registado; contudo, não impede a limpeza dos restantes buckets nem os passos de anonimização/apagamento definitivo da conta (conceção best-effort).

Limite honesto: A única categoria de ficheiros excluída deste processo automático são os documentos de verificação de identidade/diploma carregados no processo de registo do profissional/solo (o bucket specialist-verification-docs). Tecnicamente, estes documentos não estão associados ao utilizador, mas sim ao processo de verificação do tenant (a Clínica) em causa, e não contêm referência ao utilizador no registo da base de dados; por esse motivo, não podem ser incluídos automaticamente no fluxo atual de eliminação da conta do utilizador. A eliminação deste documento será tratada separadamente no processo de encerramento da conta/subscrição da Clínica em causa ao nível do tenant (ver Secção 5.6); até que tal seja concluído, os pedidos excecionais são apreciados manualmente através de hello@corenta.app.

Por esse motivo, a presente Política não assume o compromisso absoluto de que, com o pedido de eliminação da conta, "todos os dados/ficheiros do utilizador são apagados de forma completa e imediata" (em especial, quanto aos resíduos técnicos nas cópias de segurança, ver Secção 6.3, e quanto à exceção acima); contudo, relativamente às categorias de ficheiros descritas acima, o apagamento automático é efetivamente aplicado.

5.5. Nota Especial sobre os Dados de Saúde

Os dados de saúde de categoria especial, como os formulários de anamnese, as notas de sessão e os registos de medições, estão também sujeitos ao fluxo geral de apagamento acima (soft-delete → 30 dias → apagamento definitivo); contudo, conforme explicado na Secção 4, Linhas 2–4, e na Secção 6.2, nestas tabelas a fase de apagamento definitivo é aplicada através da desvinculação da pessoa e limpeza parcial — o registo não é sujeito a DELETE, a ligação à pessoa é cortada e alguns campos de texto livre são esvaziados; o registo clínico (em especial o conteúdo append-only das notas de sessão) é conservado com acesso restrito como registo do tenant desvinculado da pessoa e não é considerado anónimo. Além disso, uma vez que esta categoria de dados está interligada com registos conservados pela Clínica na qualidade de responsável pelo tratamento, o pedido de eliminação da conta/dos dados de um cliente pode entrar em conflito com as obrigações legais de conservação próprias da Clínica (por exemplo, exigências de conservação de registos que possam decorrer da legislação relativa à prestação de cuidados de saúde); o método da desvinculação da pessoa e da conservação restrita visa equilibrar estas duas obrigações (os direitos do cliente sobre os dados pessoais e a obrigação de conservação de registos da Clínica). Nestes casos, quem decide em última instância é a Clínica, na qualidade de responsável pelo tratamento; a Corenta atua segundo as instruções da Clínica.

5.6. Eliminação ao Nível da Clínica (Tenant)

Se uma Clínica terminar totalmente a sua subscrição Corenta, a mesma arquitetura em duas fases (soft-delete → 30 dias → apagamento definitivo) é aplicada aos dados do tenant da Clínica e a todas as fichas de clientes desse tenant. Uma vez que a Clínica é o Responsável pelo Tratamento dos seus próprios clientes, está obrigada a informá-los, no âmbito das suas próprias obrigações KVKK, antes de terminar a subscrição; esta obrigação não pode ser transferida para a Corenta.

5.7. Relação com o Modo de Apoio do Superadministrador (Representação)

Os processos de eliminação da conta e de conservação funcionam independentemente do mecanismo de apoio/representação da Corenta. As sessões de representação têm duração limitada (30 minutos) e são, por predefinição, apenas de leitura; o acesso às categorias de dados de saúde (anamnese, nota de sessão, medição) exige um passo de aprovação separado (health_data_enabled), e as operações de escrita/apagamento nestas tabelas não são permitidas em caso algum através da representação (nas políticas RLS não foi concedida qualquer exceção à representação). Esclarecimento: A restrição aqui referida diz respeito às sessões de representação acionadas por pessoas, em que um membro do pessoal de apoio entra e realiza operações manualmente; o processo cron service-role automático (sem intervenção humana) explicado na Secção 5.2 é uma camada separada desta restrição e não é por ela afetado — a restrição de representação não impede o mecanismo automático de apagamento definitivo do fluxo de eliminação da conta e não deve ser confundida com ele. Por conseguinte, os processos de eliminação da conta/eliminação de dados são conduzidos apenas através dos mecanismos automáticos definidos na presente Política.

6. Métodos de Eliminação

Nos termos do art. 8.º e seguintes do Regulamento, os métodos de apagamento/destruição/anonimização aplicados consoante os suportes de registo são explicados a seguir.

6.1. Apagamento

É a operação de tornar os dados pessoais inacessíveis e não reutilizáveis de forma alguma para os utilizadores em causa (incluindo os utilizadores da aplicação e o pessoal com acesso ao painel de administração). Na Corenta, este método é aplicado no processo de soft-delete da Fase 1: embora os dados não sejam removidos fisicamente da base de dados, tornam-se totalmente inacessíveis através das permissões de acesso e das interfaces.

6.2. Destruição (Apagamento Definitivo)

É a operação de tornar os dados pessoais inacessíveis, irrecuperáveis e não reutilizáveis de forma alguma por qualquer pessoa. No processo de apagamento definitivo da Fase 2 da Corenta, este princípio é concretizado através de dois métodos técnicos diferentes, consoante a categoria de dados:

• Registo de autenticação e registos sem valor de negócio autónomo: O registo de autenticação do utilizador (auth.users) é apagado de forma irreversível através de DELETE direto no processo automático protegido por service-role; os registos relacionados que, após a eliminação da conta, não têm valor de negócio/probatório por si só (por exemplo, notificações, notifications — ver Secção 4, Linha 10) são apagados em conjunto, ao nível da base de dados, através de ON DELETE CASCADE.
• Registos de saúde, clínicos e financeiros: Para anamnesis_forms, session_notes, measurements, payments, attendance e consent_logs, a fase de apagamento definitivo é aplicada, em vez de sujeitar o registo a DELETE, através da desvinculação da pessoa e limpeza parcial (ver Secção 6.6): as colunas de chave estrangeira que identificam a pessoa (client_id, specialist_id, user_id, etc.) são definidas como NULL de forma irreversível através da restrição FK ON DELETE SET NULL; as colunas de conteúdo que podem conter identificação explícita ou PII em texto livre (respostas da anamnese, notas de texto livre de medições/pagamentos, referência do comprovativo de pagamento, endereço IP do registo de consentimento) são esvaziadas ou substituídas por uma marcação anónima através da função anonymize_user_relations() (que só pode ser chamada pelo service-role, default-deny). Já o conteúdo clínico/financeiro numérico e histórico (data, montante, valor da medição, saldo de sessões restante, estado compareceu/não compareceu, hora em que o consentimento foi dado/retirado) continua a ser conservado como registo do tenant desvinculado da pessoa, em virtude da obrigação de conservação de registos da Clínica e (no caso das notas de sessão) do princípio append-only; uma vez que o texto livre das notas de sessão não é alterado, estes registos não são considerados anónimos e são conservados com acesso restrito.

Nas notas de sessão (session_notes), a restrição append-only não permite a alteração do conteúdo; foi concedida uma exceção restrita, com finalidade única, apenas para definir como NULL as colunas de ligação à pessoa (client_id, specialist_id) — o próprio conteúdo da nota não é apagado nem alterado em nenhuma fase deste processo.

Limite: Não existe qualquer mecanismo de verificação/limpeza para os dados pessoais contidos no texto que possam surgir em campos de texto livre fora das colunas de identificação explícita (por exemplo, um nome mencionado no corpo de uma nota de sessão). Por esse motivo, estes registos não são considerados anónimos; são conservados como dados pessoais com acesso restrito e eliminados no termo do prazo.

Uma vez que ambos os métodos acima são protegidos por service-role, não podem ser acionados nem anulados através das interfaces normais do produto.

6.3. Apagamento das Cópias de Segurança

As cópias de segurança da base de dados são substituídas/eliminadas automaticamente após um determinado prazo, no âmbito do ciclo normal de cópias de segurança (rotação). Embora o apagamento definitivo produza efeitos imediatos na base de dados principal, indica-se expressamente que os dados podem continuar a existir tecnicamente em cópias de segurança efetuadas anteriormente até ao termo do prazo normal de rotação das cópias de segurança do fornecedor de cópias de segurança (Supabase). Trata-se da prática corrente no âmbito do acordo de tratamento de dados (DPA) do subcontratante ulterior em causa (Supabase).

6.4. Anexos na Área de Armazenamento de Ficheiros (Storage)

Os ficheiros carregados pelos utilizadores, como imagens de avatar, comprovativos de pagamento e anexos da anamnese, são guardados numa área de armazenamento (Storage) separada. Ver Secção 5.4 — a situação atual destes conteúdos no processo de eliminação da conta (apagamento automático para o avatar/anexo da anamnese/comprovativo de pagamento, exceção única para specialist-verification-docs) é aí explicada de forma detalhada e transparente.

6.5. Dados em Papel

Os dados pessoais tratados no âmbito do produto SaaS da Corenta são conservados em suporte digital; não está previsto o tratamento de dados pessoais em papel. Se, excecionalmente, for utilizado papel em correspondência comercial/administrativa da Empresa, a eliminação é efetuada por rasura/queima/fragmentação irreversível numa destruidora de papel.

6.6. Anonimização

Como parte do processo de apagamento definitivo da conta (ver Secção 6.2), a Corenta utiliza o método da desvinculação da pessoa e limpeza parcial para os dados de saúde e os registos clínicos/financeiros. Uma vez que o texto livre das notas de sessão não é alterado e que, em negócios pequenos, as datas e as séries de medições podem bastar para reidentificar a pessoa, este método não cumpre em todos os casos o padrão de anonimização indicado a seguir; estes registos não são considerados anónimos, são conservados como dados pessoais com acesso restrito e eliminados no termo do prazo. Além disso, a Corenta pode também utilizar, para o desenvolvimento do produto, a análise estatística ou estudos de mercado, dados anonimizados de forma a não poderem ser associados a uma pessoa singular identificada ou identificável. A anonimização exige que os dados se tornem irreversivelmente insuscetíveis de serem associados à pessoa, ainda que combinados com outros dados; a ocultação/pseudonimização efetuada sem cumprir este padrão não vale como anonimização e continua sujeita ao regime do tratamento de dados pessoais. Os dados anonimizados consideram-se fora do âmbito da KVKK e não estão sujeitos às limitações de prazo de conservação da presente Política.

6.7. Escolha do Método

O método de eliminação a aplicar é determinado pela Corenta e/ou pela Clínica, tendo em conta a natureza dos dados (se são de categoria especial), o suporte em que são conservados (base de dados, armazenamento de ficheiros, sistema de registos, sistema de cópias de segurança), as possibilidades jurídicas e técnicas e os princípios indicados nas decisões do Conselho e no Regulamento. Nas operações de eliminação de dados pessoais de categoria especial (incluindo os dados de saúde), é empregado o máximo cuidado.

7. Processo de Eliminação Periódica

Nos termos do art. 11.º do Regulamento, a Corenta está obrigada a apagar, destruir ou anonimizar oficiosamente (sem aguardar um pedido) os dados pessoais cujo prazo de conservação tenha terminado e/ou cuja finalidade de tratamento tenha deixado de existir; o intervalo de eliminação periódica a prever neste âmbito não pode exceder 6 (seis) meses. Neste quadro, faz-se expressamente a seguinte distinção entre os mecanismos que funcionam e os que não funcionam efetivamente no sistema atualmente:

1. O processo de apagamento definitivo de 30 dias após o pedido de eliminação da conta é verificado periodicamente (diariamente) por uma tarefa agendada automática (cron job), sendo as contas cujo prazo terminou tratadas em lote. Trata-se de uma automatização verificada que funciona efetivamente no sistema atualmente.
2. O prazo de conservação previsto para os registos de auditoria (audit_logs) é revisto periodicamente; contudo, atualmente não está implementado qualquer mecanismo de apagamento que execute esta revisão automaticamente (ver Secção 4, Linha 7).
3. O prazo máximo de conservação fixado para os dados do formulário de acesso antecipado (ver Secção 4, Linha 9) é uma referência de limite jurídico máximo da obrigação de eliminação periódica prevista no art. 11.º do Regulamento; contudo, atualmente não existe no sistema qualquer mecanismo de verificação/apagamento que funcione automaticamente em correspondência com este prazo. Para esta categoria de dados, o apagamento/a anonimização é apreciado manualmente e mediante pedido até à implementação da automatização (ver Secção 4, Nota 2). Este ponto é mantido transparente, de forma coerente com as restantes afirmações de automatização não verificadas (ver pontos 2 e 4).
4. A limpeza automática e periódica separada dos tokens de notificações push caducados/inválidos é uma melhoria planeada no roteiro do produto; não foi verificado tecnicamente que este mecanismo funcione efetivamente no sistema atualmente (ver Secção 4, Linha 10). Quando for verificado ou implementado, a presente Política será atualizada.
5. Eliminação periódica semestral: Para as categorias da presente Secção sem eliminação automática (registos de auditoria, provas de consentimento desvinculadas da pessoa, dados do formulário de acesso antecipado, documentos de verificação do profissional, cópias de moderação de mensagens de grupo), a Corenta procede a uma eliminação periódica de 6 em 6 meses e lavra um auto de eliminação para cada ciclo. Ainda não existem tarefas agendadas que automatizem estes ciclos; os ciclos são conduzidos manualmente.

O processo de eliminação periódica, independentemente dos prazos indicados na presente Política, não impede o pedido individual de apagamento/destruição do titular nos termos do art. 11.º da KVKK; o titular pode pedir o apagamento mesmo que o prazo de conservação não tenha terminado, se o fundamento jurídico da atividade de tratamento em causa tiver deixado de existir (por exemplo, retirada do consentimento). Também relativamente às categorias cuja automatização ainda não foi implementada, o pedido individual do titular, quando enviado para hello@corenta.app, é apreciado e concluído manualmente.

8. Direitos do Titular dos Dados e Procedimento de Apresentação de Pedidos (KVKK art. 11.º)

8.1. Direitos Previstos no Artigo 11.º da KVKK

Nos termos do art. 11.º da KVKK, os titulares dos dados têm os seguintes direitos:

1. Saber se os seus dados pessoais são tratados,
2. Pedir informações caso os seus dados pessoais tenham sido tratados,
3. Conhecer a finalidade do tratamento dos dados pessoais e se estes são utilizados de acordo com essa finalidade,
4. Conhecer os terceiros, na Turquia ou no estrangeiro, a quem os dados pessoais são transferidos,
5. Pedir a retificação dos dados pessoais caso tenham sido tratados de forma incompleta ou inexata,
6. Pedir o apagamento ou a destruição dos dados pessoais no âmbito do art. 7.º da KVKK,
7. Pedir que as operações realizadas nos termos das alíneas (5) e (6) acima sejam comunicadas aos terceiros a quem os dados pessoais foram transferidos,
8. Opor-se a um resultado que lhe seja desfavorável decorrente da análise dos dados tratados exclusivamente através de sistemas automatizados,
9. Pedir a reparação dos danos sofridos em virtude do tratamento ilícito dos dados pessoais.

8.2. Resumo Honesto da Implementação Técnica Atual

Os pontos seguintes são apresentados como resumo honesto e realista da implementação técnica atual:

• Pedido de apagamento (eliminação da conta): Pode ser apresentado diretamente no menu de definições correspondente da aplicação móvel; este pedido é tratado automaticamente através do processo em duas fases (soft-delete imediato → 30 dias → apagamento definitivo) explicado na Secção 5 (art. 11.º/6).
• Pedido de informações / portabilidade dos dados: É satisfeito através da entrega ao titular, num prazo razoável, dos dados do âmbito do seu próprio tenant num formato estruturado e de leitura automática (função export_user_data; o âmbito do tenant foi verificado). O mecanismo de entrega deste processo (características como o formato do ficheiro, a forma de entrega, a ligação de transferência assinada) está em desenvolvimento contínuo; a presente Política não assume qualquer compromisso quanto a um prazo de entrega específico nem quanto a um formato de ficheiro/acesso específico (art. 11.º/1-2).
• Informação sobre a transferência para terceiros (art. 11.º/4): A informação sobre os terceiros/subcontratantes ulteriores, na Turquia/no estrangeiro, a quem os dados pessoais são transferidos é prestada através da tabela da Secção 11 (Subcontratantes Ulteriores e Localização dos Dados) da presente Política.
• Pedido de retificação (art. 11.º/5): Pode ser efetuado tecnicamente de forma manual através do painel de administração da Clínica; não existe um fluxo de "pedido de retificação" separado e automático. No contexto do produto SaaS, os pedidos de retificação relativos aos dados de clientes devem ser dirigidos prioritariamente à Clínica em causa; a Corenta, na qualidade de Subcontratante, presta o apoio técnico segundo as instruções da Clínica.
• Comunicação a terceiros (art. 11.º/7): O pedido de que as operações de apagamento/retificação sejam comunicadas aos terceiros a quem os dados foram transferidos é apreciado quando enviado através dos canais indicados no procedimento de apresentação de pedidos; atualmente este processo é conduzido manualmente, e não automaticamente.
• Oposição a decisões automatizadas/definição de perfis (art. 11.º/8): Não existe no sistema qualquer atividade de decisão automatizada ou de definição de perfis que produza um resultado desfavorável para o titular através da análise dos dados tratados exclusivamente por sistemas automatizados; por conseguinte, atualmente não é necessário um mecanismo de oposição separado e efetivamente operado para este ponto.
• Os pedidos são concluídos gratuitamente no prazo máximo de 30 dias nos termos do art. 13.º da KVKK (caso a operação implique um custo adicional, pode ser cobrada a taxa prevista na tabela fixada pelo Conselho).

8.3. Procedimento de Apresentação de Pedidos

Os pedidos relativos aos direitos acima podem ser enviados:

• Para o endereço de e-mail hello@corenta.app,
• Através dos ecrãs de definições/apoio correspondentes da aplicação,
• Ou através dos demais procedimentos previstos na KVKK,

à Corenta.

Nota importante sobre os dados dos clientes: Se é cliente de uma Clínica e pretende apresentar um pedido relativo aos seus dados, deve dirigir-se primeiro à Clínica em causa (o Responsável pelo Tratamento), pois é a Clínica quem decide em última instância e é a destinatária relativamente aos dados dos clientes. A Corenta, na qualidade de subcontratante, disponibiliza as ferramentas técnicas necessárias (funções de visualização, exportação e apagamento de dados) segundo as instruções da Clínica.

9. Funções e Responsabilidades

10. Medidas de Segurança (Durante o Prazo de Conservação)

Durante o prazo de conservação, os dados pessoais são protegidos pelas seguintes medidas técnicas e administrativas (KVKK art. 12.º):

• Na arquitetura multi-inquilino, aplica-se o princípio da recusa por predefinição (default-deny), com a obrigatoriedade de tenant_id em todas as tabelas e políticas de Segurança ao Nível das Linhas (Row Level Security) (37/37 tabelas, 86 políticas); assim, a fuga de dados entre tenants é tecnicamente impedida.
• O acesso às tabelas com dados de saúde está limitado apenas ao cliente em causa, ao profissional atribuído e ao administrador do tenant; o controlo de acesso é aplicado ao nível da base de dados (RLS). As notas de sessão não podem ser alteradas/apagadas após o envio (append-only); relativamente aos formulários de anamnese, nenhum utilizador (incluindo o administrador) recebeu permissão de apagamento.
• O modo de apoio do superadministrador (representação) tem duração limitada (30 minutos) e é, por predefinição, apenas de leitura; as operações de escrita e o acesso a dados de saúde estão sujeitos a passos separados que exigem uma aprovação adicional; em nenhum cenário de representação é concedido acesso de escrita às tabelas de dados de saúde. (Esta restrição diz respeito às sessões de representação acionadas por pessoas; os processos cron service-role automáticos são uma camada separada — ver Secção 5.7.)
• Na transmissão de dados é utilizada cifragem de ponta a ponta (TLS); na aplicação móvel, os tokens de sessão são guardados cifrados no porta-chaves seguro do dispositivo, suportado por hardware (Keychain/Keystore).
• Foram adotadas medidas técnicas para limitar as capturas de ecrã nos ecrãs sensíveis.
• A autenticação de dois fatores (2FA/MFA) é obrigatória para as contas de superadministrador.
• A verificação da assinatura criptográfica das notificações (webhooks) relativas às operações de pagamento está prevista na arquitetura e está a ser aplicada; os trabalhos para concluir plenamente a configuração/gestão de chaves correspondente em todos os ambientes (incluindo o de produção) estão em curso.
• Estas medidas de segurança são continuamente revistas e melhoradas; contudo, nenhuma medida técnica garante a segurança absoluta, e a presente Política não assume qualquer compromisso de segurança absoluta.

11. Subcontratantes Ulteriores e Localização dos Dados

Durante o prazo de conservação, os dados pessoais são tratados ou alojados através dos seguintes subcontratantes ulteriores/prestadores de serviços. Os contratos com estes fornecedores preveem obrigações de tratar os dados apenas para a execução do serviço indicado; esta relação diz respeito não aos prazos de conservação, mas ao ambiente técnico em que os dados são alojados — a aplicação da decisão de eliminação é também realizada tecnicamente junto destes fornecedores. A tabela seguinte dá também resposta ao direito de "conhecer os terceiros a quem os dados são transferidos", previsto no art. 11.º/4 da KVKK:

Além disso:

• Infraestrutura de e-mail: Os e-mails de serviço são enviados através do Google Workspace (Google); os e-mails de autenticação são acionados pelo Supabase Auth. Os e-mails promocionais só são enviados mediante consentimento separado e registo no İYS (Sistema de Gestão de Mensagens da Turquia). As notificações push são entregues através da Apple (APNs) e da Google (FCM).
• Ferramenta de análise: Não é utilizada qualquer ferramenta de análise de terceiros (por exemplo, Google Analytics). A medição da utilização do produto na aplicação não está atualmente ativa; caso seja ativada, a medição é escrita numa tabela própria guardada na base de dados da própria Corenta (Supabase, Frankfurt/Alemanha), não contém dados de saúde nem texto livre, e a presente Política será atualizada antes da ativação; quando for ativada, o prazo de conservação dos registos de medição será indicado na presente Política.
• Monitorização de erros: Não é utilizada qualquer ferramenta de monitorização de erros de terceiros; os erros do cliente (aplicação) são registados na própria base de dados da Corenta.
• Não existe qualquer infraestrutura de pagamento direto por cartão de crédito através da web; os pagamentos são efetuados apenas através dos mecanismos de compras na aplicação (IAP) da Apple/Google; a fatura/o recibo final é emitido pela Apple/Google (ver Secção 4, Linha 6).

A partilha de dados com os subcontratantes ulteriores acima é feita apenas na medida necessária à prestação do serviço em causa e no âmbito dos arts. 8.º/9.º da KVKK. Transferência internacional: Todos os fornecedores acima tratam dados fora da Turquia; o alojamento na Alemanha constitui igualmente uma transferência internacional na aceção da KVKK. Sendo estas transferências regulares e contínuas, não se baseiam no consentimento explícito; basear-se-ão nos contratos-tipo publicados pelo Conselho nos termos do art. 9.º/4-c. À data deste texto, os contratos-tipo ainda não foram assinados nem notificados ao Conselho; cada contrato será notificado ao Conselho no prazo de 5 dias úteis a contar da data de assinatura, e esta tabela será atualizada com as datas. Não existe qualquer decisão de adequação publicada pelo Conselho relativamente a estes países (última verificação: 11 de outubro de 2026). Esta lista pode ser atualizada em função de alterações dos prestadores de serviços; a lista atualizada pode ser consultada na Política de Privacidade e/ou no ecrã informativo correspondente do produto Corenta.

12. Inscrição no VERBİS

À data do presente documento, a Teta Studio não tem inscrição no VERBİS. A obrigação de inscrição está a ser avaliada segundo os critérios das Decisões do Conselho n.º 2025/1572 (limiar de isenção para responsáveis pelo tratamento cuja atividade principal é o tratamento de dados de categoria especial: 10 trabalhadores por ano e balanço de 10 milhões de liras turcas) e n.º 2025/2393 (critério do número de trabalhadores para quem não mantém contabilidade com base no balanço). Uma vez que a Teta Studio trata os dados de saúde das clínicas não como responsável pelo tratamento, mas como subcontratante, a avaliação relativa às suas próprias atividades enquanto responsável pelo tratamento (Partes A e C) é feita com base nestes critérios. Quando estiverem concluídas a nota de avaliação escrita e a confirmação da Autoridade (ALO 198), esta secção será atualizada com a data e a fundamentação; caso a inscrição seja necessária, será efetuada antes de a atividade prosseguir.

Esclarecimento por função: A obrigação de inscrição no VERBİS está a ser avaliada para o contexto do sítio institucional (formulário de acesso antecipado de corenta.app), em que a Corenta atua na qualidade de Responsável pelo Tratamento, e a respetiva situação está explicada acima. No contexto do produto SaaS (app.corenta.app), uma vez que o Responsável pelo Tratamento dos dados dos clientes é a Clínica, a existência ou não de uma obrigação de inscrição no VERBİS deve ser avaliada separada e independentemente segundo os critérios próprios de cada Clínica (número de trabalhadores, volume anual de tratamento de dados, área de atividade, decisões de isenção do Conselho, etc.); esta avaliação e a eventual obrigação de inscrição cabem à Clínica e não podem ser transferidas para a Corenta.

13. Atualização da Política

A presente Política pode ser atualizada em virtude de alterações legislativas, decisões do Conselho, melhorias a introduzir na infraestrutura técnica da Corenta (por exemplo, introdução de uma verificação de PII no conteúdo de texto livre das notas de sessão, indicada na Secção 4, Linha 3, e na Secção 6.2; associação dos documentos de verificação do profissional (specialist-verification-docs), indicados na Secção 5.4/Secção 4, Linha 11, ao processo de encerramento do tenant; verificação/implementação da limpeza dos tokens push indicada na Secção 4, Linha 10, e na Secção 7, ponto 4; criação de um mecanismo de verificação automática para os dados do formulário de acesso antecipado indicado na Secção 7, ponto 3; desenvolvimento do processo de portabilidade dos dados indicado na Secção 8.2; conclusão dos fundamentos jurídicos da transferência internacional da Secção 11; alteração da lista de subcontratantes ulteriores) ou de alterações nos processos de negócio. A versão atual é publicada nas plataformas correspondentes da Corenta (sítio institucional e/ou na aplicação) e, relativamente às disposições que entrem em conflito com a versão anterior, prevalece a versão atual. Em caso de alterações importantes, na medida do aplicável, os utilizadores/as Clínicas são informados separadamente.

14. Contacto

Para as suas questões sobre a presente Política ou sobre a conservação/eliminação de dados pessoais:

E-mail: hello@corenta.app Responsável pelo tratamento: Mertcan Demir — empresário em nome individual com a designação comercial "Teta Studio" Apoio: support@corenta.app Área de serviço: A Corenta é disponibilizada globalmente através da App Store e do Google Play, nos países onde estas lojas operam. Os prazos da presente Política aplicam-se aos utilizadores de todos os países; se a legislação imperativa de um país previr um apagamento mais curto ou uma obrigação de conservação mais longa, aplica-se essa disposição.

Última atualização: 19 de outubro de 2026 Versão 1.9 · 19 de outubro de 2026