CORENTA — AVISO DE PRIVACIDADE NOS TERMOS DA LEI DE PROTEÇÃO DE DADOS PESSOAIS

Esta tradução é disponibilizada apenas para fins informativos; o texto juridicamente vinculativo é o texto em turco.

Aviso de Privacidade em Três Partes, Consoante a Qualidade de Responsável pelo Tratamento / Subcontratante

Versão: 2.3 · Em vigor desde / última atualização: 19 de outubro de 2026 Responsável pelo tratamento / editor (Partes A e C): Mertcan Demir — empresário em nome individual com a designação comercial "Teta Studio"

Registo de alterações

• 2.3 — 19 de outubro de 2026: Âmbito global incorporado: a expressão "apenas na Turquia" da G.4 foi substituída pela disponibilização em vários países através das lojas e pela remissão para a Declaração RGPD na UE/EEE. As atividades de tratamento e os fundamentos jurídicos não se alteraram.
• 2.2 — 19 de outubro de 2026: Versão de publicação; data de entrada em vigor: 19 de outubro de 2026. Foram retiradas da tabela de identificação A.1 as informações vazias relativas ao MERSİS e ao KEP. O prazo de conservação das mensagens de grupo previsto na B.8/a foi associado à Política de Conservação e Eliminação de Dados.
• 2.1 — 18 de outubro de 2026: Foram incorporadas as funcionalidades acrescentadas em 18 de outubro de 2026: grupos da clínica, desafios dentro do estúdio, distintivos do cliente e cartão de fidelização, tarefas semanais e boletim mensal (Parte B); liga de estúdios e desafios da cidade, cartão de perfil portátil do profissional, código de convite entre estúdios, programa Estúdio Fundador, Corenta Lab, Descobrir v2 (vídeo curto, aula experimental, posição patrocinada), sinalização de repetição do período experimental, associação de dispositivos e "As minhas sessões", reembolso parcial pela loja e pedido de informações de utilização pela Apple (Parte C). O tratamento dos dados de saúde nos grupos, na liga, nos desafios e no cartão de perfil foi descrito numa secção própria (B.3-A). A G.1 foi corrigida: as três regras que produzem um resultado automatizado com efeitos sobre a pessoa (controlo de utilização abusiva dos convites, ocultação de uma mensagem de grupo após três denúncias, exclusão da liga) foram enunciadas expressamente. As permissões móveis foram corrigidas de acordo com o código (a permissão de acesso à câmara não é pedida). As funcionalidades desativadas (verificação da partilha, sinal de procura, garantia Boost, atestação do dispositivo, Turnstile, Sentry) não foram incluídas neste texto; antes da sua ativação é necessária uma atualização específica do texto.
• 2.0 — 11 de outubro de 2026: Com base na auditoria de conformidade de 11 de outubro de 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): as secções relativas à transferência internacional foram reescritas de acordo com a versão posterior a 2024 do artigo 9.º da Lei n.º 6698 de Proteção de Dados Pessoais da Turquia (KVKK) (incluindo Supabase/Frankfurt, trata-se de transferência internacional; os contratos-tipo ainda não foram assinados); a informação e o consentimento explícito foram separados (a informação não é uma "aceitação", mas sim a declaração "Li e compreendi"; foi eliminada a caixa de aceitação obrigatória do formulário de acesso antecipado); o consentimento para dados de saúde foi redigido como facultativo; foi acrescentada a nova Parte C — Informação sobre a Conta e a Plataforma Corenta para as atividades em que a Teta Studio é responsável pelo tratamento; os dados de identificação foram corrigidos para empresário em nome individual; a avaliação relativa ao VERBİS (Registo dos Responsáveis pelo Tratamento) foi redigida de acordo com as decisões de 2025 do Conselho de Proteção de Dados Pessoais (Kurul); a notificação de violação à clínica foi corrigida para o prazo máximo de 24 horas; a expressão conservação "anónima" foi corrigida para conservação restrita com desvinculação da pessoa; a eliminação de anexos e a ligação de exportação foram alinhadas com uma redação única verificada no código; foram corrigidas remissões legais incorretas.
• 1.6 — 10 de outubro de 2026: A Expo (Expo Push Notification Service) foi retirada dos registos de subcontratantes ulteriores/subcontratantes; as notificações push são entregues apenas através da Apple (APNs) e da Google (FCM); a Expo/EAS é apenas uma ferramenta de compilação da aplicação e não trata dados de utilizadores finais.
• 1.5 — 10 de outubro de 2026: Foi eliminada a redação relativa à escolha do Google Analytics; foi esclarecido que não é utilizada qualquer ferramenta de análise de terceiros e foram esclarecidos os subcontratantes das notificações push.
• 1.4 — 4 de outubro de 2026: O texto em vigor foi fixado como versão aprovada. Nesta versão foram incorporados apenas: menção da designação comercial Teta Studio; mercado (Turquia); eliminação da conta (o acesso é cortado imediatamente, os dados pessoais são apagados/anonimizados, os registos de pagamento sujeitos a conservação legal são conservados sem identificação); apagamento dos campos de saúde do cliente ao fim de 30 dias; prazo de 7 dias para comprovativos órfãos; confidencialidade dos contactos do cliente no modo de apoio; medição anónima do lado do servidor; e-mails de serviço e Google Workspace; subcontratantes das notificações push; endereço de apoio (support@corenta.app); permissão de escrita nos campos de saúde.
• 1.3 — 4 de agosto de 2026: As secções B.6 e B.8/a foram compatibilizadas com a política de conservação e eliminação.

0. Sobre Este Texto — Âmbito e Guia de Leitura

O presente Aviso de Privacidade nos termos da Lei de Proteção de Dados Pessoais (o "Aviso de Privacidade") foi elaborado, nos termos do artigo 10.º da Lei n.º 6698 de Proteção de Dados Pessoais (a "KVKK" ou a "Lei") e do Comunicado relativo aos Procedimentos e Princípios a Observar no Cumprimento do Dever de Informação, para informar os titulares dos dados sobre o tratamento de dados pessoais no contexto do produto de software (SaaS) denominado Corenta (a "Corenta", o "Produto" ou a "Plataforma"), desenvolvido e explorado por Mertcan Demir, que exerce a atividade enquanto empresário em nome individual com a designação comercial "Teta Studio" ("Teta Studio", "nós"), e do sítio corenta.app, no qual esse produto é apresentado.

A Corenta é uma plataforma de software (Software-as-a-Service) multi-inquilino (multi-tenant) e pensada primeiro para dispositivos móveis, destinada a negócios boutique de saúde e bem-estar, como centros de pilates clínico, fisioterapia, reformer, bem-estar/massagem e ioga, que permite a gestão de marcações, o acompanhamento de pacotes/sessões, a anamnese e as notas de sessão dos clientes, bem como o acompanhamento de remunerações e operações financeiras.

0.1 Definições

0.2 Dois Contextos Distintos — Porque é Importante

No ecossistema Corenta, os dados pessoais são tratados em três contextos diferentes e em duas qualidades diferentes: Parte A (sítio promocional; a Teta Studio é responsável pelo tratamento), Parte B (registos da clínica; a Teta Studio é subcontratante) e Parte C (conta Corenta, subscrição, e-mails de serviço, Descobrir/avaliações, funcionalidades de crescimento entre estúdios — liga, convite, Estúdio Fundador, Corenta Lab, cartão de perfil portátil —, segurança da conta e do dispositivo e medição do produto; a Teta Studio é responsável pelo tratamento). A compreensão clara desta distinção é essencial para a interpretação correta do Aviso de Privacidade, e os dois contextos não devem, em caso algum, ser confundidos:

Os dados de saúde de um cliente de uma clínica gerados na aplicação Corenta e os dados de um proprietário de negócio que preenche o formulário de acesso antecipado no sítio corenta.app estão sujeitos a regimes jurídicos totalmente diferentes. As partes seguintes estão estruturadas de acordo com esta distinção.

PARTE A — SÍTIO INSTITUCIONAL E FORMULÁRIO DE ACESSO ANTECIPADO (corenta.app)

Esta parte aplica-se às pessoas singulares que visitam o sítio corenta.app, interagem com o sítio e/ou preenchem o formulário de candidatura ao acesso antecipado. Neste contexto, a Teta Studio atua na qualidade de Responsável pelo Tratamento nos termos do art. 3.º/ı da KVKK e determina ela própria as finalidades e os meios do tratamento dos dados pessoais.

A.1. Identificação do Responsável pelo Tratamento

A.2. Categorias de Dados Pessoais Tratados

Durante a visita ao sítio corenta.app, o preenchimento do formulário de acesso antecipado, o envio do formulário de contacto ou o pedido de demonstração/reunião comercial, podem ser tratadas as seguintes categorias de dados pessoais:

(*) Esclarecimento sobre a nota relativa a cookies: À data da publicação deste texto, o sítio corenta.app não dispõe de qualquer faixa/interface de gestão de cookies ativa nem de infraestrutura de cookies de terceiros; o endereço IP/as informações do dispositivo/navegador referidos na linha acima são tratados de forma limitada, apenas no âmbito dos registos básicos do servidor e da segurança dos formulários, sem utilização de qualquer tecnologia de cookies ativa. Embora esteja tecnicamente definida na infraestrutura do sistema uma categoria de consentimento para cookies (cookies), essa categoria não é efetivamente utilizada neste momento. Caso venham a ser utilizados cookies, o presente Aviso de Privacidade e uma Política de Cookies separada serão atualizados e serão implementados os mecanismos de aceitação necessários. Neste contexto não são tratados dados pessoais de categoria especial.

Estes dados são obtidos apenas quando o titular preenche o formulário ou estabelece contacto por sua própria vontade, ou automaticamente em virtude do funcionamento técnico do sítio (como o IP).

A.3. Finalidades e Fundamentos Jurídicos do Tratamento dos Dados Pessoais

A tabela seguinte apresenta cada finalidade de tratamento, juntamente com o fundamento jurídico enumerado no art. 5.º/2 da KVKK em que se baseia:

Importante: A comunicação de marketing referida no ponto 7 baseia-se apenas no consentimento que o titular deu separada e expressamente para essa finalidade; esse consentimento não é uma condição obrigatória da candidatura ao acesso antecipado e pode ser retirado a qualquer momento (ver A.8).

A.4. Forma de Recolha dos Dados Pessoais

Os dados pessoais são recolhidos por via eletrónica, através do preenchimento dos formulários de acesso antecipado/contacto do sítio corenta.app, da comunicação direta por e-mail, de reuniões de demonstração/comerciais e, automaticamente, pela infraestrutura técnica do sítio (endereço IP, etc.).

A.5. Transferência dos Dados Pessoais

Os dados pessoais podem ser partilhados com os fornecedores que prestam serviços técnicos de alojamento (hosting), recolha de formulários, envio de e-mails, análise, segurança e similares, de forma limitada à prestação desses serviços e nas condições previstas nos artigos 8.º e 9.º da KVKK. Esta partilha é feita apenas na medida do necessário para a prestação do serviço em causa e limitada a essa finalidade.

Fornecedores de infraestrutura técnica conhecidos/em utilização neste contexto:

Nota — infraestrutura onde são guardados os dados dos formulários: À data da elaboração deste texto, não foi confirmado tecnicamente se os dados dos formulários de acesso antecipado/contacto são, em última instância, guardados apenas na infraestrutura de formulários do próprio Framer ou se são também transferidos para a base de dados da Corenta baseada no Supabase (ver Parte B, B.5 — Supabase, Frankfurt/Alemanha). À medida que este aspeto for confirmado, esta tabela será atualizada, se necessário com o acrescento de uma linha relativa ao Supabase; em qualquer caso, os dados dos formulários são tratados apenas para as finalidades explicadas na presente Parte A e em conformidade com a KVKK.

Para além destas partilhas, os dados pessoais não são vendidos, alugados nem cedidos a terceiros para fins de marketing. As situações de obrigação legal (decisão judicial, pedido de um organismo público competente, etc.) constituem uma exceção a esta regra.

Transferência internacional: O Framer e o Google Workspace tratam dados fora da Turquia; trata-se de uma transferência internacional na aceção da Lei n.º 6698. Sendo estas transferências regulares e contínuas, não se baseiam no consentimento explícito; basear-se-ão numa das condições de tratamento do artigo 5.º da KVKK e, nos termos do art. 9.º/4-c, nos contratos-tipo publicados pelo Conselho de Proteção de Dados Pessoais. À data deste texto, os contratos-tipo ainda não foram assinados com os fornecedores nem notificados ao Conselho. Cada contrato será notificado ao Conselho no prazo de 5 dias úteis a contar da data de assinatura, e esta secção será atualizada com a lista de fornecedores e datas. Não existe qualquer decisão de adequação publicada pelo Conselho relativamente a estes países (última verificação: 11 de outubro de 2026).

A.6. Prazo de Conservação

Os dados pessoais são conservados durante o prazo exigido pela finalidade de tratamento em causa e, em qualquer caso, sem prejuízo dos prazos de prescrição previstos na legislação aplicável:

• Candidaturas ao acesso antecipado: No máximo 2 anos a contar da avaliação da candidatura e da conclusão do processo de contacto; caso não haja contacto ou o processo seja concluído dentro desse prazo, são apagadas/anonimizadas mais cedo. Nota de transparência: À data da elaboração do presente Aviso, não existe no sistema qualquer mecanismo de verificação/apagamento que funcione automaticamente em correspondência com este prazo máximo; o prazo é um limite jurídico máximo e o apagamento/anonimização é, por ora, efetuado manualmente/mediante pedido.
• Registos de comunicações: Até ao termo da finalidade da comunicação.
• Dados de análise/registos técnicos: Durante o prazo de conservação predefinido/permitido da ferramenta/infraestrutura utilizada.
• Registos de litígios e obrigações legais: Durante o prazo mínimo previsto na legislação aplicável.

No termo do prazo de conservação, os dados pessoais são apagados, destruídos ou anonimizados nos termos do art. 7.º da KVKK e do Regulamento relativo ao Apagamento, Destruição ou Anonimização de Dados Pessoais. Para a tabela detalhada de prazos e métodos de eliminação, ver veri-saklama-imha-politikasi.md (Secção 4, Linha 9).

A.7. Informação e Consentimento para Comunicações Comerciais no Formulário de Acesso Antecipado

O tratamento da candidatura não se baseia no consentimento, mas sim nos fundamentos jurídicos referidos em A.3. Por esse motivo, o formulário não tem uma caixa de aceitação para a informação; a informação e o consentimento são mantidos separados.

Informação (sem caixa de aceitação): Imediatamente acima do botão de envio são apresentados o texto seguinte e uma ligação para o presente Aviso de Privacidade:

"As suas informações são tratadas para avaliar a sua candidatura e para o contactar (KVKK art. 5.º/2-c, f). Detalhes: Aviso de Privacidade."

Consentimento facultativo para comunicações comerciais (caixa separada, NÃO ASSINALADA por predefinição):

"Autorizo a Teta Studio a enviar-me por e-mail anúncios e campanhas da Corenta."

A não prestação do consentimento para comunicações comerciais não afeta a avaliação da candidatura. A Teta Studio não envia e-mails promocionais sem se registar no Sistema de Gestão de Mensagens (İYS); após o registo, os consentimentos são carregados no İYS no prazo de 3 dias úteis. O consentimento pode ser retirado através da ligação de cancelamento incluída em cada mensagem.

A.8. Direitos do Titular dos Dados (KVKK art. 11.º) e Forma de Apresentação de Pedidos

Nos termos do artigo 11.º da KVKK, todos os titulares cujos dados pessoais são tratados têm os seguintes direitos, mediante pedido ao Responsável pelo Tratamento:

a) Saber se os dados pessoais são tratados, b) Pedir informações caso os seus dados pessoais tenham sido tratados, c) Conhecer a finalidade do tratamento dos dados pessoais e se estes são utilizados de acordo com essa finalidade, ç) Conhecer os terceiros, na Turquia ou no estrangeiro, a quem os dados pessoais são transferidos, d) Pedir a retificação dos dados pessoais caso tenham sido tratados de forma incompleta ou inexata, e) Pedir o apagamento ou a destruição dos dados pessoais no âmbito das condições previstas no art. 7.º da KVKK, f) Pedir que as operações realizadas nos termos das alíneas (d) e (e) sejam comunicadas aos terceiros a quem os dados pessoais foram transferidos, g) Opor-se a um resultado que lhe seja desfavorável decorrente da análise dos dados tratados exclusivamente através de sistemas automatizados, ğ) Pedir a reparação dos danos sofridos em virtude do tratamento ilícito dos dados pessoais.

Além disso, nos tratamentos baseados no consentimento (comunicações comerciais eletrónicas), o consentimento dado pode ser retirado a qualquer momento e sem necessidade de fundamentação, independentemente dos direitos gerais previstos no art. 11.º da KVKK. A retirada do consentimento não afeta a licitude do tratamento efetuado antes da retirada.

Forma de Apresentação de Pedidos: Para exercer os direitos acima referidos, os pedidos podem ser enviados por escrito para hello@corenta.app, acompanhados das informações necessárias à identificação do titular, na forma prevista no artigo 13.º da KVKK e no Comunicado relativo aos Procedimentos e Princípios dos Pedidos ao Responsável pelo Tratamento. Os pedidos são concluídos gratuitamente, consoante a sua natureza, no prazo máximo de 30 (trinta) dias, por meios que não impliquem custos adicionais; caso a operação implique um custo adicional, pode ser cobrada a taxa prevista na tabela fixada pelo Conselho de Proteção de Dados Pessoais.

PARTE B — UTILIZAÇÃO DO PRODUTO SaaS CORENTA PELAS CLÍNICAS

Esta parte aplica-se ao pessoal da clínica (administrador, profissional/instrutor, receção, etc.) que utiliza a Corenta através de um centro de pilates clínico, fisioterapia, reformer, bem-estar/massagem ou ioga (a "Clínica") e aos clientes/pacientes dessas clínicas.

B.1. Fundamento Jurídico da Repartição de Funções — Leia com Atenção

A Clínica que adquire a Corenta e a coloca em utilização tem a qualidade de "Responsável pelo Tratamento", nos termos do art. 3.º/ı da KVKK, relativamente aos dados pessoais dos seus próprios clientes/pacientes e do seu próprio pessoal. O dever de informação previsto na KVKK perante os clientes/pacientes e o pessoal e, quando necessário, a obtenção dos consentimentos explícitos (em especial o consentimento para dados de categoria especial relativo ao tratamento de dados de saúde) são responsabilidade primária e final da Clínica.

A Teta Studio (Corenta) é apenas Subcontratante, nos termos do art. 3.º/ğ da KVKK. A Teta Studio trata estes dados segundo as instruções da Clínica e por conta desta, limitando-se a disponibilizar a infraestrutura técnica da Plataforma; não determina uma finalidade de tratamento autónoma em nome próprio e não trata estes dados, fora das instruções da Clínica, para finalidades comerciais próprias (publicidade, venda a terceiros, etc.). Os tratamentos que a Teta Studio realiza para finalidades próprias (conta de utilizador da clínica, subscrição, e-mails de serviço, Descobrir/convite para avaliação e avaliações, segurança e medição pseudonimizada do produto) não são objeto da presente Parte B, mas sim da Parte C; nessas atividades, a Teta Studio é responsável pelo tratamento.

O produto Corenta disponibiliza ferramentas que facilitam tecnicamente o cumprimento destas obrigações pela Clínica (ecrã de consentimento na aplicação móvel, registos de consentimento com versões, mecanismo de retirada, etc. — ver B.2). A existência destas ferramentas não significa que a Clínica tenha transferido para a Teta Studio as obrigações legais decorrentes da sua qualidade de Responsável pelo Tratamento nem que a Teta Studio tenha assumido essas obrigações.

A relação de subcontratação entre a Clínica e a Teta Studio é regulada por um Acordo de Tratamento de Dados (Data Processing Agreement/DPA) separado; este acordo detalha as categorias de dados a tratar, as finalidades do tratamento, as medidas de segurança, o recurso a subcontratantes ulteriores e as obrigações das partes nos termos do art. 12.º da KVKK.

A presente Parte B não substitui o aviso de privacidade que a Clínica deve apresentar aos seus próprios clientes/pessoal nem lhe equivale. A finalidade desta parte é explicar de forma transparente que dados a Teta Studio trata na Plataforma e com que finalidade, na qualidade de Subcontratante, e oferecer um enquadramento a que a Clínica possa recorrer ao elaborar o seu próprio aviso de privacidade. Caso a Clínica não considere suficientes o ecrã de informação comum/central e os ecrãs de consentimento facultativos disponibilizados pela Corenta na aplicação móvel (ver B.2), pode realizar separadamente, com meios próprios, um processo de informação adicional/separado para os seus próprios Clientes e pessoal (texto escrito, e-mail, informação presencial, etc.); tal insere-se na responsabilidade legal própria da Clínica.

B.2. Mecanismo de Informação e Consentimento na Plataforma (Para Fins Informativos)

Na aplicação móvel Corenta, na fase de primeira utilização (onboarding), existe um ecrã (kvkk.tsx) preparado pela Teta Studio e disponibilizado em comum aos clientes/utilizadores de todas as clínicas. Em conformidade com a Decisão de Princípio n.º 2026/347 do Conselho, a informação e o consentimento são apresentados em passos separados:

Os registos são guardados com versões na tabela consent_logs. Nota técnica: atualmente, a apresentação da informação é registada nesta tabela com o tipo kvkk; este registo não constitui um consentimento, mas a declaração de que a informação foi apresentada e lida. A única permissão de notificações do sistema operativo é utilizada para a entrega tanto das notificações transacionais como das de campanha; as notificações de campanha só devem ser enviadas se tiver sido dado o consentimento 2b.

Este ecrã e estes textos não são personalizados por Clínica e são disponibilizados como versão comum em toda a Plataforma; os dados de identificação da clínica (denominação, morada, contacto para pedidos) não são atualmente acrescentados automaticamente ao texto. Quando a versão do aviso de privacidade se altera, é pedido ao utilizador, no início de sessão seguinte, que indique ter lido o novo texto (o que também não constitui consentimento). O consentimento para dados de saúde e o consentimento de campanha podem ser retirados a qualquer momento (acompanhado através do campo revoked_at); a retirada do consentimento para dados de saúde não afeta as marcações nem a utilização da conta.

Se a Clínica, enquanto profissional de saúde sujeito a dever de sigilo (por exemplo, fisioterapeuta), tratar dados de saúde para fins terapêuticos com base no art. 6.º/3-e da KVKK, pode bastar a informação em vez do ecrã de consentimento explícito; os demais negócios (por exemplo, um estúdio de pilates/bem-estar) só podem tratar dados de saúde com base no consentimento explícito facultativo previsto no art. 6.º/3-a. A escolha do fundamento jurídico a invocar e a adequação do conteúdo da informação à sua própria atividade são responsabilidade da Clínica.

B.3. Categorias de Dados Tratados pela Teta Studio na Qualidade de Subcontratante

Em virtude do funcionamento técnico da Plataforma, são tratadas, segundo as instruções da Clínica, as seguintes categorias de dados:

Permissão de escrita nos campos de saúde (a partir de 4 de outubro de 2026): Os campos de saúde do cliente (grupo sanguíneo, alergias, doenças crónicas, medicação) só podem ser preenchidos pelo próprio cliente e pelo profissional que lhe está atribuído; o proprietário/administrador do negócio não pode escrever nestes campos (pode editar o contacto de emergência e os campos de identificação).

Medição pseudonimizada do produto: Nesta atividade, a Teta Studio é responsável pelo tratamento, e o detalhe consta da Parte C. A medição é feita com um identificador pseudonimizado da clínica; este identificador tem natureza de pseudónimo (não é anónimo). A funcionalidade está atualmente desativada.

Ficheiros de comprovativo (a partir de 4 de outubro de 2026): Os ficheiros de comprovativo não associados a um pagamento (órfãos) são apagados automaticamente ao fim de 7 dias; um comprovativo associado a um pagamento não pode ser eliminado por nenhuma função.

Esclarecimento sobre as permissões móveis (a partir de 18 de outubro de 2026): Ao nível do sistema operativo, a aplicação móvel Corenta pede apenas a permissão de notificações (pedida no contexto) e, no iOS, o acesso à biblioteca de fotografias (no momento em que é escolhida uma fotografia de perfil, um anexo da anamnese, um comprovativo de pagamento, uma imagem de comunicado ou um vídeo do estúdio); se o bloqueio da aplicação estiver ativado, a verificação por Face ID/impressão digital do dispositivo é utilizada no próprio dispositivo e nenhum dado biométrico é transmitido à Corenta. No Android, as permissões de câmara e microfone foram deliberadamente retiradas do manifesto da aplicação. A aplicação não pede permissão de acesso à câmara, ao microfone, à localização, aos contactos (contacts), ao calendário nem acesso ao HealthKit/sensores de saúde. O mapa do Descobrir não utiliza a localização do dispositivo; pesquisa apenas pela província/distrito ou pela área do mapa escolhida pelo utilizador.

Os dados pessoais de categoria especial (dados de saúde) só podem ser tratados, nos termos do art. 6.º da KVKK, com consentimento explícito ou nos casos excecionais previstos na lei (tratamento realizado por pessoas sujeitas a dever de sigilo, como a proteção da saúde pública, a medicina preventiva, o diagnóstico/tratamento médico e o planeamento e financiamento dos serviços de saúde). No ecossistema Corenta, estes dados são introduzidos pelos profissionais de saúde/bem-estar autorizados da Clínica de acordo com o fundamento jurídico invocado pela Clínica (consentimento explícito facultativo previsto no art. 6.º/3-a ou art. 6.º/3-e); a Teta Studio aloja/trata estes dados apenas segundo as instruções da Clínica e protege-os com medidas de segurança reforçadas (ver B.6).

Prazo de conservação e método de eliminação — remissão: Para cada uma das categorias acima, o prazo de conservação e o método aplicado após um pedido de eliminação da conta (apagamento definitivo ou anonimização) estão resumidos em B.8/a e explicados, com tabela detalhada e fundamentação, em veri-saklama-imha-politikasi.md (Secções 4–6). Em especial, para as linhas Dados de Saúde, Dados de Operações/Financeiros e Registos de Informação e Consentimentos: na fase de apagamento definitivo da conta, estes registos não são sujeitos a DELETE; a ligação à pessoa é cortada e alguns campos de texto livre são esvaziados. Uma vez que o texto livre das notas de sessão não é alterado, estes registos não são considerados anónimos em todos os casos; são conservados com acesso restrito (ver B.8/a).

B.3-A. Funcionalidades de Comunidade e Crescimento — Relação com os Dados de Saúde (a partir de 18 de outubro de 2026)

Os dados de saúde são dados pessoais de categoria especial na aceção do art. 6.º da KVKK. As funcionalidades seguintes não foram concebidas para tratar dados de saúde; para cada uma delas, descreve-se separadamente a forma como os dados de saúde são tratados:

Nas clínicas que prestam serviços de saúde, como a fisioterapia, o facto de um cliente ter participado numa aula ou num grupo pode indicar que essa pessoa recebe um serviço de saúde. Por esse motivo, a decisão de utilizar ou não estas funcionalidades e a forma de informar os seus clientes cabem à Clínica, enquanto responsável pelo tratamento. Os grupos da clínica (group_chats) e os desafios (leagues) são módulos separados e foram concebidos para poderem ser desativados por clínica.

B.4. Finalidades do Tratamento e Fundamentos Jurídicos

Os fundamentos jurídicos da tabela seguinte podem ter dois significados diferentes, consoante a natureza dos dados em causa: (i) o fundamento jurídico invocado pela Clínica (enquanto responsável pelo tratamento) perante o seu cliente/pessoal, ou (ii) o fundamento jurídico aplicável às atividades autónomas da própria Teta Studio (como a segurança da plataforma, a faturação, a obrigação legal). Tendo em conta que a Teta Studio não determina, por si só, uma "finalidade de tratamento" autónoma (ver B.1), a linha relativa aos dados de categoria especial, em particular, deve ser lida como reflexo do fundamento jurídico da Clínica:

B.5. Transferência dos Dados Pessoais (no País e para o Estrangeiro)

Para o funcionamento da Plataforma, os dados pessoais são partilhados com os seguintes subcontratantes ulteriores (sub-processor), de forma limitada e na medida tecnicamente necessária:

Outras notas sobre a infraestrutura:

• Infraestrutura de e-mail: Os e-mails de serviço (período experimental, convite de equipa, respostas do apoio) são enviados por SMTP através do Google Workspace (Google); os e-mails de autenticação (verificação do e-mail, reposição da palavra-passe) são acionados pelo Supabase Auth. Os e-mails promocionais só são enviados mediante consentimento separado e registo no İYS (ver Parte C). As notificações push são entregues através da Apple (APNs) e da Google (FCM).
• Ferramenta de análise: Não é utilizada qualquer ferramenta de análise de terceiros (por exemplo, Google Analytics). A medição da utilização do produto na aplicação não está atualmente ativa; caso seja ativada, a medição é escrita numa tabela própria guardada na base de dados da própria Corenta (Supabase, Frankfurt/Alemanha), não contém dados de saúde nem texto livre, e o presente Aviso será atualizado antes da ativação.
• Monitorização de erros: Não é utilizada qualquer ferramenta de monitorização de erros de terceiros; os erros do cliente (aplicação) são registados na própria base de dados da Corenta (Supabase).
• Entrega de mensagens em tempo real e vídeos (a partir de 18 de outubro de 2026): As mensagens individuais e de grupo são entregues apenas aos utilizadores autorizados através do serviço de entrega em tempo real da Supabase (Realtime); os vídeos dos estúdios são guardados no armazenamento de ficheiros da Supabase. Estes tratamentos estão abrangidos pela linha relativa à Supabase (n.º 1); não foi acrescentado qualquer novo subcontratante ulterior.
• Pagamento por cartão de crédito através da web: Atualmente não é suportado; todos os pagamentos de subscrições são efetuados exclusivamente através do mecanismo de compras na aplicação (IAP) da Apple/Google.

Transferência internacional: Os dados são tratados através de prestadores de serviços localizados fora da Turquia: Supabase (base de dados, autenticação e armazenamento de ficheiros; os dados são alojados na Alemanha/Frankfurt), Vercel (alojamento do painel web; infraestrutura global), Google (e-mail do Google Workspace e notificações do Firebase Cloud Messaging; global) e Apple (notificações e loja; global). O alojamento na Alemanha constitui igualmente uma transferência internacional na aceção da Lei n.º 6698. Sendo estas transferências regulares e contínuas, não se baseiam no consentimento explícito; basear-se-ão numa das condições de tratamento dos artigos 5.º e 6.º da KVKK e, nos termos do art. 9.º/4-c, nos contratos-tipo publicados pelo Conselho de Proteção de Dados Pessoais. Enquanto subcontratante, a Teta Studio assinará com cada subcontratante ulterior o contrato-tipo do Módulo 3 (de subcontratante para subcontratante) e notificá-lo-á ao Conselho no prazo de 5 dias úteis a contar da data de assinatura. À data deste texto, os contratos-tipo ainda não foram assinados nem notificados ao Conselho; concluídas a assinatura e a notificação, esta secção será atualizada com a lista de fornecedores e datas. Não existe qualquer decisão de adequação publicada pelo Conselho relativamente a estes países (última verificação: 11 de outubro de 2026). A Clínica inclui estas transferências no seu próprio aviso de privacidade.

A lista de subcontratantes ulteriores acima é também mantida, de forma separada e atualizada, no anexo ao DPA celebrado entre a Clínica e a Teta Studio; a Clínica é informada das alterações à lista de subcontratantes ulteriores segundo o procedimento previsto no DPA. Os dados pessoais só podem ser transferidos para instituições e organismos públicos legalmente habilitados nos casos previstos na legislação aplicável e nos limites do pedido; a Teta Studio não vende nem aluga, de forma alguma, a terceiros para fins comerciais os dados pessoais que trata.

B.6. Medidas de Segurança

Na qualidade de Subcontratante, a Teta Studio aplica as seguintes medidas técnicas e organizativas para garantir a segurança dos dados pessoais que trata:

• Isolamento de inquilinos (multi-tenant isolation): Todas as tabelas de dados da Plataforma estão separadas pelo campo tenant_id e protegidas, com base na recusa por predefinição (default-deny), por políticas abrangentes de Segurança ao Nível das Linhas (Row Level Security/RLS); o acesso de uma Clínica aos dados de outra Clínica é tecnicamente impedido.
• Restrição do acesso aos dados de saúde: Ao nível RLS, os dados dos formulários de anamnese, das notas de sessão e das medições só podem ser acedidos pelo cliente em causa, pelo profissional atribuído ao cliente e pelo administrador autorizado da clínica; as notas de sessão que o profissional assinalou como "partilhadas com a equipa" podem também ser vistas pelos restantes profissionais da clínica. O acesso do pessoal é possível enquanto o módulo de saúde em causa (anamnese, medições, notas de sessão) estiver ativado.
• Inalterabilidade (append-only): As notas de sessão enviadas (quando o campo submitted_at é preenchido) estão protegidas ao nível da base de dados para que não possam ser atualizadas nem eliminadas; também relativamente aos formulários de anamnese não está definida qualquer permissão de eliminação (DELETE) para nenhuma função de utilizador (incluindo o administrador da clínica). Exceção única e restrita: no processo de apagamento definitivo da conta (ver B.8/a), apenas o processo privilegiado em segundo plano (service-role) pode definir como NULL, ao nível da base de dados, apenas as colunas de ligação à pessoa (client_id/specialist_id), sem tocar no CONTEÚDO da nota de sessão; tal não viola o princípio append-only — trata-se de uma passagem com finalidade única que apenas cumpre a obrigação de desvinculação da pessoa (anonimização) prevista na KVKK (detalhe: veri-saklama-imha-politikasi.md Secção 6.2).
• Restrições do modo de apoio do superadministrador (representação): O modo de acesso do superadministrador utilizado para apoio técnico tem duração limitada (30 minutos) e é, por predefinição, apenas de leitura; as operações de escrita e o acesso a dados de saúde só podem ser ativados através de passos separados que exigem uma aprovação adicional (o indicador health_data_enabled); não foi concedida permissão de escrita nas tabelas de dados de saúde em nenhum cenário de representação — esta restrição é aplicada sem exceção nas políticas da base de dados.
• Segurança das transmissões: Os dados são cifrados em trânsito com TLS.
• Armazenamento no dispositivo: Na aplicação móvel, os tokens de sessão são guardados cifrados no porta-chaves seguro do dispositivo suportado por hardware (expo-secure-store baseado no iOS Keychain / Android Keystore).
• Proteção de ecrãs sensíveis: Nos ecrãs móveis que contêm dados de saúde, as capturas de ecrã e a gravação de ecrã são bloqueadas (bloqueio de gravação/captura de ecrã no iOS; FLAG_SECURE no Android).
• Segurança das contas de administração: As contas de administração da plataforma (superadministrador) exigem autenticação de dois fatores (MFA, AAL2).
• Integridade dos pagamentos: É aplicada uma infraestrutura de verificação de assinatura criptográfica para as notificações de pagamento (webhooks) das lojas (Apple/Google); o processo de conclusão integral da configuração neste domínio no ambiente de produção para todos os fornecedores e de melhoria contínua está em curso.

Declara-se expressamente que, apesar das medidas acima, não é possível garantir a segurança absoluta de qualquer sistema de informação. Estas medidas são continuamente revistas e melhoradas como parte das obrigações do Subcontratante nos termos do art. 12.º da KVKK. Quando a Teta Studio, na qualidade de subcontratante, tem conhecimento de uma violação de dados, informa a Clínica sem demora e no prazo máximo de 24 horas (Conselho 2019/10). A notificação ao Conselho e aos titulares dos dados é obrigação da Clínica enquanto responsável pelo tratamento. Relativamente aos dados de que a Teta Studio é responsável pelo tratamento (Partes A e C), é a própria Teta Studio que efetua a notificação ao Conselho no prazo de 72 horas.

B.7. Informação Adicional sobre o Modo de Apoio do Superadministrador (Representação)

O pessoal de apoio autorizado da Teta Studio pode aceder temporariamente à conta da Clínica através de um "modo de apoio" limitado e auditável, no âmbito dos pedidos de apoio técnico da Clínica. Este acesso:

• Está limitado a um máximo de 30 minutos e termina automaticamente no fim desse prazo,
• É, por predefinição, apenas de leitura (read-only),
• A permissão de escrita e o acesso a dados de saúde só podem ser ativados através de passos separados entre si e que exigem uma aprovação adicional; o acesso de escrita às tabelas de dados de saúde não é concedido em caso algum,
• É registado e está sujeito a um registo de auditoria.

Contactos do cliente no modo de apoio (a partir de 4 de outubro de 2026): Na sessão de apoio (superadministrador) da Corenta, o e-mail e o telefone do cliente não são mostrados ao pessoal de apoio; o pessoal de apoio só pode ver um resumo limitado de identificação (nome, estado da conta, se está ativa, data de criação).

B.8. Prazo de Conservação dos Dados Pessoais e Forma de Exercício dos Direitos do Titular

Os dados pessoais são conservados durante o prazo necessário para a finalidade em causa e durante os prazos legais de conservação previstos na legislação aplicável. Os direitos seguintes são exercidos, nos termos do art. 11.º da KVKK, prioritariamente perante a Clínica na qualidade de Responsável pelo Tratamento. Na qualidade de Subcontratante, a Teta Studio assegura o cumprimento técnico destes direitos de acordo com o pedido da Clínica. Os mecanismos concretos disponibilizados na Plataforma são os seguintes:

a) Direito ao Apagamento: Eliminação da conta (a partir de 4 de outubro de 2026): Quando o pedido de eliminação é confirmado, o acesso à conta é cortado imediatamente (as sessões são terminadas, não é possível iniciar sessão); os dados pessoais são apagados ou anonimizados (são apagados o nome, o e-mail, o telefone, a imagem e os dados de identificação/contacto do cliente e os campos de saúde — grupo sanguíneo, alergias, doenças crónicas, medicação —); os registos de pagamentos e remunerações sujeitos a conservação legal não são apagados; são conservados com desvinculação da pessoa e com acesso restrito. Não existe prazo para anular o pedido; o apagamento definitivo do registo de autenticação e dos ficheiros é concluído no processo em segundo plano de trinta dias já existente.

Eliminação da ficha do cliente e campos de saúde (a partir de 4 de outubro de 2026): Quando o negócio elimina a ficha de um cliente sem conta, a ficha é imediatamente retirada da lista ativa; ao fim de 30 dias, os campos de saúde do cliente (grupo sanguíneo, alergias, doenças crónicas, medicação) são também apagados/esvaziados, juntamente com os dados de identificação e contacto. As regras de conservação dos formulários de anamnese, das medições e das notas de sessão não são afetadas pela presente disposição.

Mensagens de grupo e registos de comunidade (a partir de 18 de outubro de 2026): O membro pode eliminar a sua própria mensagem de grupo a qualquer momento; o texto da mensagem eliminada é retirado do registo. Com a eliminação definitiva da conta, são eliminados a participação nos grupos, os registos dos dispositivos associados e os cartões de perfil do profissional; a participação em desafios está associada ao registo do cliente e segue a mesma regra que este; já o texto das mensagens enviadas anteriormente ao grupo permanece no grupo, sem as informações do remetente. Por isso, o utilizador que pretenda retirar as suas mensagens pode eliminá-las uma a uma antes de eliminar a conta. O texto de uma mensagem ocultada pela equipa é guardado separadamente para análise pela equipa. Os prazos de conservação das mensagens de grupo e desta cópia constam da Secção 4, n.º 12, de veri-saklama-imha-politikasi.md; a cópia é conservada, no máximo, durante 1 ano. Os registos de grupos, desafios, distintivos e fidelização não estão atualmente incluídos na exportação "Descarregar os meus dados"; os pedidos de informação sobre estes registos podem ser dirigidos à Clínica ou a hello@corenta.app.

Quando o utilizador apresenta um pedido de eliminação da conta a partir da aplicação (a função delete_my_account), o sistema aplica uma arquitetura de apagamento em duas fases. O resumo seguinte é uma explicação honesta e verificada tecnicamente do método aplicado consoante a categoria de dados (apagamento definitivo ou anonimização); para o detalhe completo e a tabela, ver veri-saklama-imha-politikasi.md (em especial as Secções 4–6).

• Fase 1 — momento do pedido: O acesso à conta é cortado imediatamente (não existe prazo para anular); o perfil é desativado, os campos de identificação e de saúde são esvaziados, as marcações pendentes são canceladas, as atribuições são removidas e os consentimentos dados são retirados.
• Fase 2 — tratamento definitivo ao fim de 30 dias: 30 dias após esta primeira fase, ocorre uma operação acionada de forma irreversível apenas por uma tarefa privilegiada em segundo plano (service-role) (cron) e aplicada através de dois métodos diferentes consoante a categoria de dados; esta operação não pode ser acionada manualmente/administrativamente nem antecipada/adiada:
• O registo de autenticação do utilizador (auth.users) e os registos sem valor de negócio/probatório autónomo (por exemplo, notificações, notifications) são apagados definitivamente (DELETE/cascade).
• Os dados de saúde (formulários de anamnese, notas de sessão, registos de medições) e os registos clínicos/financeiros (pagamentos, presenças) NÃO SÃO SUJEITOS A DELETE — SÃO CONSERVADOS DE FORMA RESTRITA COM DESVINCULAÇÃO DA PESSOA: a ligação à pessoa (como client_id/specialist_id) é cortada ao nível da base de dados (ON DELETE SET NULL); alguns campos de texto livre (respostas da anamnese, notas de medições/pagamentos, motivo do reembolso, referência do comprovativo) são esvaziados ou substituídos por uma marcação. O texto livre das notas de sessão não é alterado; uma vez que nesse texto e em informações como datas/séries de medições pode subsistir informação suficiente para reidentificar a pessoa, estes registos não são considerados anónimos. Os registos são conservados com acesso restrito durante o prazo da obrigação de conservação de registos da Clínica e eliminados no fim desse prazo; o princípio append-only das notas de sessão é assim preservado.
• Os registos de consentimento (consent_logs) também não são sujeitos a DELETE; a ligação à pessoa é cortada e o endereço IP é esvaziado, mas, para efeitos de prova de que o consentimento foi dado/retirado (com tipo, versão e hora), são conservados durante mais 5 anos como registo probatório desvinculado da pessoa (art. 5.º/2-e da KVKK — constituição e proteção de um direito; o ónus da prova do consentimento explícito cabe ao responsável pelo tratamento).
• Anexos: O avatar/fotografia de perfil, o anexo da anamnese e as imagens dos comprovativos de pagamento do utilizador (os buckets avatars, anamnesis-attachments, user-data-exports, payment-receipts do Storage) são apagados automaticamente (best-effort) do Storage como parte da fase de apagamento definitivo — se o apagamento falhar num bucket, tal é registado, mas não impede a limpeza dos restantes buckets nem o tratamento da conta. Limite honesto: A única categoria de ficheiros excluída deste processo automático são os documentos de verificação de identidade/diploma carregados no processo de registo do profissional/solo (o bucket specialist-verification-docs) — tecnicamente, estes documentos não estão associados ao utilizador, mas ao processo de verificação do tenant (a Clínica), e não estão atualmente incluídos no apagamento automático; a sua eliminação será tratada separadamente no processo de encerramento da conta/subscrição da Clínica ao nível do tenant e, até que tal seja concluído, os pedidos excecionais são apreciados manualmente através de hello@corenta.app.
• Nenhuma das operações acima pode ser acionada ou interrompida manualmente através das interfaces normais do produto (incluindo pelo pessoal administrativo) — trata-se de uma opção de segurança deliberada para evitar apagamentos prematuros/tardios por erro ou abuso.
• Por esse motivo, o presente Aviso não assume o compromisso absoluto de que "quando a conta é eliminada, todos os dados são destruídos fisicamente sem exceção": enquanto o registo de autenticação e os registos sem valor de negócio autónomo são apagados definitivamente, os registos de saúde/clínicos/financeiros e os registos de consentimento continuam a ser conservados, em virtude da obrigação de conservação de registos da Clínica (nos termos do art. 7.º/2 da KVKK, ficam ressalvadas as disposições de conservação de outras leis), com desvinculação da pessoa e com acesso restrito (durante os prazos explicados acima); estes registos não são anónimos; quanto aos resíduos técnicos nas cópias de segurança, ver também veri-saklama-imha-politikasi.md Secção 6.3.
• Canais de pedido: O pedido de eliminação da conta pode ser apresentado, como método mais fiável e de resultado direto, através da função de autosserviço "eliminar a minha conta" da aplicação; nesse caso, a função é acionada diretamente pelo utilizador e o processo em duas fases explicado acima é executado automaticamente (não se trata de um pedido dirigido à Teta Studio, mas de uma função automática do sistema iniciada pelo próprio utilizador). Caso não possa, por qualquer motivo, utilizar a função da aplicação, o utilizador pode, em alternativa, enviar o seu pedido à Clínica ou para hello@corenta.app; nesse caso, o pedido é apreciado e tratado num prazo razoável e, na medida em que seja considerado necessário, é iniciado o mesmo processo de apagamento. Esta exceção constitui uma exceção à regra geral de pedido explicada em B.9 abaixo ("deve dirigir-se primeiro à Clínica") e resulta apenas do facto de a função de autosserviço da aplicação poder ser acionada diretamente pelo utilizador.

b) Pedido de Informações / Portabilidade dos Dados: A Plataforma disponibiliza uma função (export_user_data) através da qual o utilizador pode exportar os seus próprios dados. Em conformidade com a estrutura multi-inquilino, esta função contém apenas os dados do âmbito do tenant do próprio utilizador. Os dados são disponibilizados num prazo razoável, num formato estruturado e de leitura automática (JSON). Quando o ficheiro puder ser preparado, os dados são também preparados em ZIP e disponibilizados através de uma ligação pessoal (assinada) válida durante 7 dias; caso o ZIP não possa ser preparado, é disponibilizada apenas a saída em JSON.

c) Direito de Retificação: A atualização das informações do utilizador é tecnicamente possível a partir do painel de administração da Clínica. Não existe na Plataforma um fluxo de "pedido de retificação" automatizado e autónomo; os pedidos de retificação podem ser enviados, no âmbito dos direitos gerais previstos no art. 11.º da KVKK, à Clínica ou à Teta Studio através de hello@corenta.app.

d) Retirada do Consentimento: A declaração de leitura do aviso de privacidade não constitui um consentimento; não gera uma autorização que possa ser retirada. O utilizador pode retirar a qualquer momento, através da aplicação móvel, o consentimento para dados de saúde e o consentimento para notificações de campanha da clínica. A retirada do consentimento para dados de saúde não afeta as marcações nem a utilização da conta; após a retirada, não são registados novos dados de saúde, e os registos anteriores são conservados de acordo com as regras de B.8/a.

e) Outros Direitos do art. 11.º: Os direitos de saber se os dados são tratados, de saber se o tratamento está em conformidade com a finalidade, de conhecer os terceiros a quem foram transferidos, de pedir a retificação de tratamento incompleto/inexato e de pedir a reparação de danos decorrentes de tratamento ilícito são exercidos prioritariamente perante a Clínica; têm o mesmo conteúdo do quadro enumerado em A.8.

B.9. Forma de Apresentação de Pedidos

Os clientes da clínica e o pessoal da clínica devem dirigir os seus pedidos ao abrigo da KVKK prioritariamente à sua própria Clínica; a Clínica, na qualidade de Responsável pelo Tratamento, está obrigada a responder a esses pedidos de acordo com o procedimento do art. 13.º da KVKK e no prazo máximo de trinta (30) dias. Exceção: Os mecanismos de autosserviço da aplicação, como a eliminação da conta (ver B.8/a), podem ser utilizados diretamente pelo utilizador, sem necessidade de intermediação da Clínica; nos demais pedidos do art. 11.º da KVKK, a regra é dirigir-se primeiro à Clínica.

Para pedidos de natureza técnica que se pretenda enviar diretamente à Teta Studio (por exemplo, o não funcionamento da eliminação da conta ou da função de exportação de dados) ou para questões sobre as atividades que a Teta Studio realiza diretamente na qualidade de subcontratante, pode ser estabelecido contacto através de hello@corenta.app. A Teta Studio pode reencaminhar para a Clínica, no âmbito do DPA, os pedidos que receba e que exijam o conhecimento/as instruções da Clínica em causa.

B.10. Obrigações da Clínica

Cada Clínica que utiliza a Corenta aceita que tem a qualidade de Responsável pelo Tratamento nos termos do art. 3.º/ı da KVKK e que as seguintes obrigações lhe incumbem exclusivamente:

• Elaborar/apresentar o Aviso de Privacidade KVKK destinado aos seus próprios Clientes e Utilizadores (o ecrã de informação comum e pronto a utilizar e os ecrãs de consentimento facultativos da aplicação móvel Corenta são disponibilizados para esse efeito como ferramenta técnica, mas cabe à Clínica assegurar a adequação do conteúdo à sua própria atividade; se a Clínica o considerar necessário, pode realizar separadamente o seu próprio processo de informação adicional, nos termos de B.1),
• Determinar o fundamento jurídico a invocar para o tratamento de dados de saúde (consentimento explícito facultativo nos termos do art. 6.º/3-a ou art. 6.º/3-e); quando seja necessário o consentimento explícito, obtê-lo devidamente e não o tornar condição do serviço,
• Comunicar aos clientes os seus próprios dados de identificação (denominação, morada, contacto para pedidos KVKK) (o texto comum da aplicação não contém atualmente estas informações de forma automática),
• Para os responsáveis pelo tratamento cuja atividade principal é o tratamento de dados de saúde, o limiar de isenção do VERBİS é de 10 trabalhadores por ano e um balanço de 10 milhões de liras turcas (Conselho 2025/1572); avaliar a sua própria obrigação relativa ao VERBİS,
• Responder aos pedidos dos titulares dos dados nos prazos previstos no art. 13.º da KVKK,
• Garantir a segurança dos dados relativamente ao seu próprio pessoal e aos seus próprios subcontratados,
• Cumprir as obrigações previstas no Acordo de Tratamento de Dados/nos Termos de Serviço celebrados com a Corenta.

A Teta Studio não assume a responsabilidade decorrente do incumprimento das obrigações acima pela Clínica.

PARTE C — INFORMAÇÃO SOBRE A CONTA E A PLATAFORMA CORENTA (a Teta Studio é responsável pelo tratamento)

Esta parte explica os tratamentos que a Teta Studio realiza em nome próprio e para finalidades próprias. Nestas atividades, a Teta Studio é responsável pelo tratamento nos termos do art. 3.º/1-ı da KVKK. Este texto é apresentado na abertura da conta do titular/trabalhador da clínica e quando o cliente utiliza pela primeira vez a funcionalidade Descobrir/avaliações. As funcionalidades entre estúdios indicadas abaixo (liga, convite, Estúdio Fundador, Corenta Lab, Descobrir v2) constam desta parte porque reúnem mais do que uma clínica e a sua finalidade é determinada pela Teta Studio. As informações tratadas em nome de um estúdio não constituem dados pessoais no caso de empresas com personalidade jurídica; são explicadas aqui porque, nos estúdios que funcionam como empresário em nome individual e nos estúdios compostos por uma só pessoa, podem ser associadas a uma pessoa.

C.1. Responsável pelo Tratamento

Mertcan Demir — empresário em nome individual com a designação comercial "Teta Studio" (dados de identificação e contacto: A.1). Pedidos: hello@corenta.app.

C.2. Tratamentos, Finalidades e Fundamentos Jurídicos

Descobrir e convite para avaliação: O convite para avaliação é enviado, caso a clínica ative a funcionalidade Descobrir, com base na informação da marcação concluída. Através do Acordo de Tratamento de Dados, a clínica dá instruções para que essa informação seja transferida para a Teta Studio apenas para enviar o convite e publicar a avaliação verificada; numa clínica com o Descobrir desativado não são enviados convites. Uma avaliação publicada pode mostrar publicamente que recebeu serviços de um negócio de saúde/exercício físico; tenha isso em conta antes de a publicar.

Medição pseudonimizada: A medição é feita com um identificador pseudonimizado da clínica; este identificador tem natureza de pseudónimo e, num negócio de uma só pessoa, pode ser associado a essa pessoa. Não inclui endereços IP, dados de saúde nem rastreamento de origem/publicidade. A funcionalidade está atualmente desativada; este texto será atualizado antes da sua ativação.

Visibilidade nas funcionalidades de comunidade e crescimento: As informações apresentadas a outros utilizadores na liga, na lista de Estúdios Fundadores, no Corenta Lab e no Descobrir são apenas as indicadas na tabela acima. Nestas funcionalidades não são tratados dados de saúde de clientes (detalhe: B.3-A). No convite entre estúdios, no Estúdio Fundador e no Lab não são atribuídos prémios em dinheiro nem descontos de preço; os prémios são direitos na aplicação, como 7 dias de Boost, tempo de período experimental e créditos.

C.3. Destinatários e Transferência Internacional

Supabase (alojamento; Alemanha/Frankfurt), Vercel (painel web), Google (e-mail do Google Workspace, Firebase Cloud Messaging, Google Play) e Apple (APNs, App Store). A transferência para estes fornecedores constitui transferência internacional; o seu fundamento e a situação atual são explicados no parágrafo "Transferência internacional" de B.5 (para estes fluxos, em que a Corenta é responsável pelo tratamento, será utilizado o contrato-tipo do Módulo 2 — de responsável pelo tratamento para subcontratante —; à data deste texto, ainda não foi assinado).

C.4. Comunicações Comerciais Eletrónicas

A Teta Studio só envia e-mails promocionais e de campanha se tiver sido dado consentimento separadamente, através de uma caixa não assinalada. A Teta Studio não envia e-mails promocionais sem se registar no Sistema de Gestão de Mensagens (İYS); após o registo, os consentimentos são carregados no İYS no prazo de 3 dias úteis. Cada mensagem promocional contém a identificação do remetente, os respetivos contactos e uma ligação de cancelamento gratuita. Os e-mails do período experimental, de convite de equipa e de apoio são mensagens de serviço; não contêm elementos promocionais.

C.5. Conservação, Direitos e Pedidos

Os prazos de conservação constam de veri-saklama-imha-politikasi.md. Dos registos acrescentados em 18 de outubro de 2026, os resumos relativos à repetição do período experimental e os registos de liga, convite, Estúdio Fundador e Lab são conservados até à eliminação definitiva da conta do estúdio em causa; os registos de dispositivos, até à eliminação definitiva da conta de utilizador. Ainda não foi definido um prazo máximo próprio para estes registos, que será acrescentado à política de conservação. Os direitos previstos no art. 11.º da KVKK (A.8) podem ser exercidos mediante pedido para hello@corenta.app; os pedidos são respondidos gratuitamente no prazo máximo de 30 dias.

DISPOSIÇÕES COMUNS (Aplicáveis a Ambas as Partes)

G.1. Decisões Automatizadas e Definição de Perfis

A Corenta não realiza definição de perfis para fins publicitários ou de marketing. No entanto, a partir de 18 de outubro de 2026, as regras seguintes funcionam automaticamente e podem produzir um resultado desfavorável limitado para a pessoa ou o estúdio em causa:

A sinalização de repetição do período experimental não é uma decisão automatizada: a correspondência não bloqueia o período experimental; é apenas submetida à análise do administrador da plataforma. Nos termos do art. 11.º/1-g da KVKK, fica ressalvado o direito do titular de se opor à ocorrência de um resultado que lhe seja desfavorável em consequência da análise dos dados exclusivamente por sistemas automatizados.

G.2. Atualização do Aviso de Privacidade

O presente Aviso de Privacidade pode ser atualizado em virtude de alterações legislativas, decisões do Conselho de Proteção de Dados Pessoais, evolução funcional da Plataforma ou alterações de subcontratantes ulteriores/prestadores de serviços. A versão atual estará sempre acessível em corenta.app/legal/kvkk-aydinlatma-metni e através do ecrã de documentos da aplicação. No contexto do produto SaaS (Parte B), quando a versão do aviso de privacidade se altera, é pedido ao utilizador, no início de sessão seguinte, que indique ter lido o novo texto; tal não constitui consentimento, mas prova da informação (ver B.2).

G.3. Legislação Aplicável e Competência

O presente Aviso de Privacidade foi elaborado no quadro da Lei n.º 6698 de Proteção de Dados Pessoais e da respetiva legislação secundária (Regulamento relativo ao Apagamento, Destruição ou Anonimização de Dados Pessoais; Regulamento relativo ao Registo dos Responsáveis pelo Tratamento; Comunicado relativo aos Procedimentos e Princípios a Observar no Cumprimento do Dever de Informação; Comunicado relativo aos Procedimentos e Princípios dos Pedidos ao Responsável pelo Tratamento). À interpretação e aplicação do presente texto aplica-se o direito da República da Turquia; em caso de litígio, são competentes o Conselho de Proteção de Dados Pessoais e os tribunais/serviços de execução turcos competentes.

G.4. Contacto

Para quaisquer questões, pedidos ou requerimentos relativos ao tratamento de dados pessoais:

• E-mail: hello@corenta.app
• Apoio: support@corenta.app
• Área de serviço: A Corenta é disponibilizada globalmente através da App Store e do Google Play, nos países onde estas lojas operam. O presente texto constitui a informação prestada nos termos da Lei n.º 6698; às pessoas na UE/EEE aplica-se ainda a Declaração RGPD, sem prejuízo das normas imperativas de proteção de dados do país onde se encontra.
• Sítio Institucional: corenta.app

Data de entrada em vigor / Última atualização: 19 de outubro de 2026 Versão: 2.3 · 19 de outubro de 2026. O registo de alterações encontra-se no início do documento.