CORENTA – INFORMATIONSTEXT ENLIGT DEN TURKISKA LAGEN OM SKYDD AV PERSONUPPGIFTER (KVKK)

Denna översättning är endast avsedd som information; den turkiska texten är juridiskt bindande.

Informationstext i tre delar efter rollen som personuppgiftsansvarig respektive personuppgiftsbiträde

Version: 2.3 · Ikraftträdande / senast uppdaterad: 19 oktober 2026 Personuppgiftsansvarig / utgivare (del A och C): Mertcan Demir – enskild näringsidkare under firmanamnet "Teta Studio"

Ändringslogg

• 2.3 – 19 oktober 2026: Global räckvidd har lagts till: formuleringen "endast Turkiet" i G.4 har ersatts med erbjudande i flera länder via appbutikerna och en hänvisning till GDPR-förklaringen för EU/EES. Behandlingarna och de rättsliga grunderna är oförändrade.
• 2.2 – 19 oktober 2026: Publicerad version; ikraftträdande 19 oktober 2026. De tomma uppgifterna om MERSIS och KEP har tagits bort ur identitetstabellen i A.1. Lagringstiden för gruppmeddelanden i B.8/a har knutits till Policyn för lagring och gallring av personuppgifter.
• 2.1 – 18 oktober 2026: Funktionerna som lades till den 18 oktober 2026 har tagits in: klinikgrupper, tävlingar inom studion, klientmärken och stämpelkort, veckans utmaningar och månatligt resultatkort (del B); studioligan och stadstävlingar, specialistens flyttbara profilkort, inbjudningskod från studio till studio, programmet Grundarstudio, Corenta Lab, Upptäck v2 (kort video, provpass, sponsrad plats), markering av upprepad provperiod, enhetskoppling och "Mina sessioner", delvis återbetalning via appbutiken och Apples begäran om användningsuppgifter (del C). Hur hälsouppgifter hanteras i grupper, ligan, tävlingar och profilkortet har beskrivits i ett separat avsnitt (B.3-A). G.1 har rättats: de tre regler som leder till automatiska resultat som påverkar en person (kontroll av missbruk av inbjudningar, döljande av ett gruppmeddelande efter tre anmälningar, uteslutning ur ligan) har beskrivits uttryckligen. Behörigheterna i mobilappen har rättats enligt koden (ingen kamerabehörighet begärs). Avstängda funktioner (delningsverifiering, efterfrågesignal, Boost-garanti, enhetsverifiering, Turnstile, Sentry) har inte skrivits in i texten; innan de aktiveras krävs en separat uppdatering av texten.
• 2.0 – 11 oktober 2026: Enligt efterlevnadsgranskningen den 11 oktober 2026 (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): avsnitten om överföring till utlandet skrevs om enligt artikel 9 i lag nr 6698 i dess lydelse efter 2024 (Supabase/Frankfurt är också en överföring till utlandet; standardavtalen har ännu inte undertecknats); information och uttryckligt samtycke separerades (informationen är inget "godkännande" utan en bekräftelse "Jag har läst och förstått"; den obligatoriska kryssrutan för godkännande i formuläret för tidig åtkomst togs bort); samtycket till behandling av hälsouppgifter beskrevs som frivilligt; en ny Del C – Information om Corenta-konton och plattformen lades till för de behandlingar där Teta Studio är personuppgiftsansvarig; identitetsuppgifterna rättades till enskild näringsidkare; bedömningen av VERBIS skrevs utifrån Kuruls beslut från 2025; underrättelse till kliniken vid en personuppgiftsincident rättades till senast 24 timmar; formuleringen om "anonym" lagring rättades till begränsad lagring med kopplingen till personen bruten; radering av bilagor och exportlänken samordnades till en enda formulering som verifierats i koden; felaktiga hänvisningar till lagstiftning rättades.
• 1.6 – 10 oktober 2026: Expo (Expo Push Notification Service) togs bort ur förteckningen över underbiträden/biträden; pushaviseringar skickas endast via Apple (APNs) och Google (FCM), Expo/EAS är enbart ett verktyg för att bygga appen och behandlar inga slutanvändaruppgifter.
• 1.5 – 10 oktober 2026: Formuleringen om valet av Google Analytics togs bort; det förtydligades att ingen analys från tredje part används och vilka biträden som hanterar pushaviseringar.
• 1.4 – 4 oktober 2026: Den befintliga texten fastställdes som godkänd version. I denna version infördes endast följande: markeringen av Teta Studios firmanamn; marknaden (Turkiet); radering av konto (åtkomsten spärras omedelbart, personuppgifter raderas/anonymiseras, betalningsuppgifter som måste bevaras enligt lag lagras utan identitet); radering av klientens hälsofält efter 30 dagar; 7-dagarsfristen för kvitton utan koppling; att klientens kontaktuppgifter förblir dolda i supportläget; mätning utan identitet på serversidan; tjänstemejl och Google Workspace; biträden för pushaviseringar; supportadressen (support@corenta.app); behörigheten att skriva i hälsofält.
• 1.3 – 4 augusti 2026: Avsnitten B.6 och B.8/a samordnades med policyn för lagring och gallring.

0. Om denna text – omfattning och läsanvisning

Denna informationstext enligt lagen om skydd av personuppgifter ("Informationstexten") har upprättats i enlighet med artikel 10 i lag nr 6698 om skydd av personuppgifter ("KVKK" eller "lagen") och kommunikén om förfaranden och principer för fullgörande av informationsskyldigheten, i syfte att informera de registrerade om behandlingen av personuppgifter i samband med programvaruprodukten (SaaS) Corenta ("Corenta", "produkten" eller "plattformen"), som utvecklas och drivs av Mertcan Demir ("Teta Studio", "vi"), enskild näringsidkare som bedriver verksamhet under firmanamnet "Teta Studio", och webbplatsen corenta.app där produkten presenteras.

Corenta är en mobilanpassad programvaruplattform med flera hyresgäster (multi-tenant) som tillhandahålls som tjänst (Software-as-a-Service) till mindre hälso- och wellnessverksamheter såsom center för klinisk pilates, fysioterapi, reformer, wellness/massage och yoga, och som erbjuder hantering av bokade tider, uppföljning av paket/pass, klienters anamnes och passanteckningar samt uppföljning av intjänad ersättning och finansiella transaktioner.

0.1 Definitioner

0.2 Två separata sammanhang – varför det är viktigt

I Corentas ekosystem behandlas personuppgifter i tre olika sammanhang och i två olika roller: Del A (den informativa webbplatsen; Teta Studio är personuppgiftsansvarig), del B (klinikens register; Teta Studio är personuppgiftsbiträde) och del C (Corenta-kontot, abonnemang, tjänstemejl, Upptäck/omdömen, tillväxtfunktioner mellan studior – liga, inbjudan, Grundarstudio, Corenta Lab, flyttbart profilkort –, konto- och enhetssäkerhet samt produktmätning; Teta Studio är personuppgiftsansvarig). En tydlig förståelse av denna åtskillnad är avgörande för att informationstexten ska kunna tolkas korrekt, och de två sammanhangen får absolut inte blandas ihop:

Hälsouppgifter om en klinikklient som uppstår i Corenta-appen och uppgifter om en verksamhetsägare som fyller i formuläret för tidig åtkomst på corenta.app omfattas rättsligt av helt olika regelverk. Avsnitten nedan är uppbyggda utifrån denna åtskillnad.

DEL A – FÖRETAGETS WEBBPLATS OCH FORMULÄR FÖR TIDIG ÅTKOMST (corenta.app)

Denna del gäller fysiska personer som besöker webbplatsen corenta.app, interagerar med webbplatsen och/eller fyller i ansökningsformuläret för tidig åtkomst. I detta sammanhang agerar Teta Studio som personuppgiftsansvarig enligt KVKK art. 3/ı och bestämmer självt ändamålen med och medlen för behandlingen av personuppgifter.

A.1. Den personuppgiftsansvariges identitet

A.2. Kategorier av personuppgifter som behandlas

Vid besök på webbplatsen corenta.app, ifyllande av formuläret för tidig åtkomst, inskick av kontaktformuläret eller begäran om demo/säljsamtal kan följande kategorier av personuppgifter behandlas:

(*) Förklaring till anmärkningen om kakor: Per dagen för offentliggörandet av denna text finns på webbplatsen corenta.app ingen aktiv kakbanner/hanteringsgränssnitt eller infrastruktur för kakor från tredje part; IP-adress/enhets-/webbläsaruppgifter som nämns på raden ovan behandlas i begränsad omfattning endast inom ramen för grundläggande serverloggar och formulärsäkerhet, utan användning av någon aktiv kakteknik. Även om en samtyckeskategori för kakor (cookies) har definierats tekniskt i systeminfrastrukturen används denna kategori för närvarande inte i praktiken. Om kakor börjar användas kommer denna informationstext och en separat kakpolicy att uppdateras och nödvändiga samtyckesmekanismer att införas. Inga känsliga personuppgifter behandlas i detta sammanhang.

Dessa uppgifter erhålls endast genom att den registrerade av egen vilja fyller i formuläret eller tar kontakt, eller automatiskt till följd av webbplatsens tekniska funktion (t.ex. IP-adress).

A.3. Ändamål med behandlingen av personuppgifter och rättsliga grunder

I tabellen nedan visas varje ändamål med behandlingen tillsammans med vilken av de rättsliga grunderna i KVKK art. 5/2 det grundas på:

Viktigt: Marknadsföringskommunikation enligt punkt 7 grundas endast på det samtycke som den registrerade separat och uttryckligen har lämnat för detta ändamål; samtycket är inte ett obligatoriskt villkor för ansökan om tidig åtkomst och kan alltid återkallas (se A.8).

A.4. Metod för insamling av personuppgifter

Personuppgifter samlas in elektroniskt genom att formulären för tidig åtkomst/kontakt på webbplatsen corenta.app fylls i, genom direkt kontakt via e-post, vid demo-/säljsamtal och automatiskt av webbplatsens tekniska infrastruktur (IP-adress m.m.).

A.5. Överföring av personuppgifter

Dina personuppgifter kan i begränsad omfattning delas med leverantörer som tillhandahåller tekniska tjänster såsom drift (hosting), formulärinsamling, e-postutskick, analys och säkerhet, i syfte att tillhandahålla dessa tjänster och inom ramen för villkoren i artiklarna 8 och 9 i KVKK. Sådan delning sker endast i den utsträckning som är nödvändig för att tillhandahålla tjänsten i fråga och begränsat till detta ändamål.

Kända infrastrukturleverantörer som används i detta sammanhang:

Anmärkning – infrastrukturen där formulärdata lagras: Per dagen då denna text upprättades har det inte tekniskt bekräftats om uppgifterna från formuläret för tidig åtkomst/kontakt slutligen lagras enbart i Framers egen formulärinfrastruktur eller om de även överförs till Corentas Supabase-baserade databas (se del B, B.5 – Supabase, Frankfurt/Tyskland). I takt med att detta bekräftas kommer denna tabell att uppdateras, vid behov med en rad för Supabase; under alla omständigheter behandlas dina formulärdata endast för de ändamål som beskrivs i denna del A och i enlighet med KVKK.

Utöver dessa delningar säljs, hyrs eller överlåts dina personuppgifter inte till tredje part för marknadsföringsändamål. Fall av rättsligt tvång (domstolsbeslut, begäran från behörig myndighet m.m.) utgör undantag från denna regel.

Överföring till utlandet: Framer och Google Workspace behandlar uppgifter utanför Turkiet; detta är en överföring till utlandet i den mening som avses i lag nr 6698. Eftersom dessa överföringar är regelbundna och fortlöpande grundas de inte på uttryckligt samtycke; de kommer att grundas på ett av villkoren för behandling i artikel 5 i KVKK och, enligt art. 9/4-c, på de standardavtal som har offentliggjorts av Personuppgiftsskyddsnämnden (Kişisel Verileri Koruma Kurulu, "Kurul"). Per dagen för denna text har standardavtalen ännu inte undertecknats med leverantörerna och inte anmälts till Kurul. Varje avtal kommer att anmälas till Kurul inom 5 arbetsdagar från undertecknandet, och detta avsnitt kommer att uppdateras med en förteckning över leverantörer och datum. Kurul har inte meddelat något beslut om adekvat skyddsnivå för dessa länder (senast kontrollerat: 11 oktober 2026).

A.6. Lagringstid

Dina personuppgifter lagras så länge som det berörda ändamålet med behandlingen kräver och under alla omständigheter med förbehåll för de preskriptionstider som anges i tillämplig lagstiftning:

• Ansökningar om tidig åtkomst: Högst 2 år från det att ansökan har bedömts och kontaktprocessen har avslutats; om ingen kontakt tas eller processen avslutas inom denna tid raderas/anonymiseras uppgifterna tidigare. Transparensanmärkning: Per dagen då denna text upprättades finns ingen automatiskt fungerande gransknings-/raderingsmekanism i systemet som motsvarar denna maximala tid; tiden är en rättslig övre gräns och radering/anonymisering sker för närvarande manuellt/på begäran.
• Kontaktregister: Tills ändamålet med kontakten har upphört.
• Analys-/tekniska loggdata: Så länge som det använda verktygets/infrastrukturens standardlagringstid/tillåtna lagringstid medger.
• Uppgifter om rättsliga tvister och förpliktelser: Under den minimitid som föreskrivs i tillämplig lagstiftning.

När lagringstiden har löpt ut raderas, förstörs eller anonymiseras personuppgifterna enligt KVKK art. 7 och förordningen om radering, förstöring eller anonymisering av personuppgifter. För en detaljerad tabell över lagringstider och gallringsmetoder, se veri-saklama-imha-politikasi.md (avsnitt 4, rad 9).

A.7. Information i formuläret för tidig åtkomst och samtycke till kommersiella meddelanden

Behandlingen av din ansökan grundas inte på samtycke utan på de rättsliga grunderna i A.3. Därför finns det i formuläret ingen kryssruta för godkännande av informationen; information och samtycke hålls åtskilda.

Information (ingen kryssruta): Omedelbart ovanför knappen Skicka visas följande text och en länk till denna informationstext:

"Dina uppgifter behandlas för att bedöma din ansökan och kontakta dig (KVKK art. 5/2-c, f). Närmare uppgifter: Informationstext."

Frivilligt samtycke till kommersiella meddelanden (separat ruta, som standard INTE IKRYSSAD):

"Jag samtycker till att Teta Studio skickar nyheter och kampanjer om Corenta till mig via e-post."

Om samtycke till kommersiella meddelanden inte lämnas påverkas inte bedömningen av ansökan. Teta Studio skickar inga marknadsföringsmejl utan att vara registrerat i İleti Yönetim Sistemi (İYS); efter registreringen laddas samtyckena upp till İYS inom 3 arbetsdagar. Samtycket kan återkallas via avregistreringslänken i varje meddelande.

A.8. Den registrerades rättigheter (KVKK art. 11) och hur de utövas

Enligt artikel 11 i KVKK har varje registrerad vars personuppgifter behandlas, genom att vända sig till den personuppgiftsansvarige, rätt att:

a) få veta om personuppgifter behandlas, b) om personuppgifter har behandlats, begära information om detta, c) få veta ändamålet med behandlingen av personuppgifterna och om de används i enlighet med detta ändamål, ç) känna till de tredje parter i Turkiet eller utomlands till vilka personuppgifterna har överförts, d) begära rättelse av personuppgifterna om de har behandlats ofullständigt eller felaktigt, e) begära radering eller förstöring av personuppgifterna inom ramen för de villkor som anges i KVKK art. 7, f) begära att åtgärder som vidtagits enligt punkterna (d) och (e) meddelas de tredje parter till vilka personuppgifterna har överförts, g) invända mot ett resultat till nackdel för personen som uppkommer genom att de behandlade uppgifterna analyseras uteslutande med hjälp av automatiserade system, ğ) begära ersättning för skada om personen har lidit skada till följd av att personuppgifterna har behandlats i strid med lag.

Dessutom kan ett samtycke som har lämnats för behandling som grundas på samtycke (kommersiella elektroniska meddelanden), oberoende av de allmänna rättigheterna enligt KVKK art. 11, återkallas när som helst och utan att skäl anges. Återkallelsen av samtycket påverkar inte lagligheten av behandlingen före återkallelsen.

Hur du gör en begäran: För att utöva ovanstående rättigheter kan du skicka din begäran skriftligen till hello@corenta.app tillsammans med de uppgifter som behövs för att fastställa din identitet, på det sätt som föreskrivs i artikel 13 i KVKK och kommunikén om förfaranden och principer för begäranden till den personuppgiftsansvarige. Dina begäranden handläggs beroende på deras art inom högst 30 (trettio) dagar och kostnadsfritt med metoder som inte medför någon ytterligare kostnad; om åtgärden medför en ytterligare kostnad kan en avgift tas ut enligt den taxa som fastställts av Personuppgiftsskyddsnämnden.

DEL B – KLINIKERNAS ANVÄNDNING AV SaaS-PRODUKTEN CORENTA

Denna del gäller klinikens personal (administratör, specialist/instruktör, reception m.fl.) som använder Corenta via ett center för klinisk pilates, fysioterapi, reformer, wellness/massage eller yoga ("kliniken"), samt dessa klinikers klienter/patienter.

B.1. Den rättsliga grunden för rollfördelningen – läs noga

Den klinik som köper Corenta och tar den i bruk är "personuppgiftsansvarig" enligt KVKK art. 3/ı i fråga om personuppgifter om sina egna klienter/patienter och sin egen personal. Skyldigheten att informera klienter/patienter och personal enligt KVKK och att vid behov inhämta uttryckliga samtycken (särskilt samtycke till behandling av känsliga personuppgifter i form av hälsouppgifter) är i första hand och ytterst klinikens ansvar.

Teta Studio (Corenta) är endast personuppgiftsbiträde enligt KVKK art. 3/ğ. Teta Studio behandlar dessa uppgifter i enlighet med klinikens instruktioner och för klinikens räkning, uteslutande genom att tillhandahålla plattformens tekniska infrastruktur; Teta Studio fastställer inga självständiga ändamål med behandlingen för egen räkning och behandlar inte uppgifterna utanför klinikens instruktioner för egna kommersiella ändamål (reklam, försäljning till tredje part m.m.). De behandlingar som Teta Studio utför för egna ändamål (klinikens användarkonton, abonnemang, tjänstemejl, inbjudan till Upptäck/omdömen och omdömen, säkerhet och pseudonymiserad produktmätning) omfattas inte av denna del B utan av del C; i dessa behandlingar är Teta Studio personuppgiftsansvarigt.

Produkten Corenta erbjuder verktyg som tekniskt underlättar för kliniken att fullgöra dessa skyldigheter (samtyckesskärm i mobilappen, versionerade samtyckesregister, mekanism för återkallelse m.m. – se B.2). Att dessa verktyg finns innebär inte att kliniken har överlåtit sina rättsliga skyldigheter som personuppgiftsansvarig till Teta Studio eller att Teta Studio har åtagit sig dessa skyldigheter.

Förhållandet mellan kliniken och Teta Studio som personuppgiftsbiträde regleras i ett separat personuppgiftsbiträdesavtal (Data Processing Agreement/DPA); avtalet beskriver närmare de kategorier av uppgifter som ska behandlas, ändamålen med behandlingen, säkerhetsåtgärderna, användningen av underbiträden och parternas skyldigheter enligt KVKK art. 12.

Denna del B ersätter inte och är inte ett substitut för den informationstext som kliniken ska tillhandahålla sina egna klienter/sin egen personal. Syftet med denna del är att på ett transparent sätt redogöra för vilka uppgifter Teta Studio i egenskap av personuppgiftsbiträde behandlar på plattformen och för vilka ändamål, samt att erbjuda en ram som kliniken kan använda som referens när den upprättar sin egen informationstext. Om kliniken inte anser att den gemensamma/centrala informationsskärmen och de frivilliga samtyckesskärmarna i Corentas mobilapp (se B.2) är tillräckliga kan den med egna medel (skriftlig text, e-post, information vid personligt möte m.m.) separat genomföra en kompletterande/egen informationsprocess för sina klienter och sin personal; detta ligger inom klinikens eget rättsliga ansvar.

B.2. Information och samtyckesmekanism i plattformen (i informationssyfte)

I Corentas mobilapp finns vid första användningen (onboarding) en skärm (kvkk.tsx) som har tagits fram av Teta Studio och visas gemensamt för samtliga klinikers klienter/användare. I enlighet med Kuruls principbeslut nr 2026/347 visas information och samtycke i separata steg:

Registreringarna lagras versionerade i tabellen consent_logs. Teknisk anmärkning: visningen av informationen registreras i dag i denna tabell med typen kvkk; denna registrering är inget samtycke utan en bekräftelse på att informationen har visats och lästs. Operativsystemets enda aviseringsbehörighet används för leverans av både transaktions- och kampanjaviseringar; kampanjaviseringar ska endast skickas om samtycke 2b har lämnats.

Denna skärm och dessa texter har inte anpassats särskilt för varje klinik utan tillhandahålls som en gemensam version för hela plattformen; klinikens identitetsuppgifter (firma, adress, kontaktuppgifter för begäranden) läggs i dag inte automatiskt in i texten. När informationstextens version ändras ombeds användaren vid nästa inloggning att ange att den nya texten har lästs (inte heller detta är ett samtycke). Samtycket till behandling av hälsouppgifter och samtycket till kampanjer kan återkallas när som helst (följs upp med fältet revoked_at); återkallelse av samtycket till behandling av hälsouppgifter påverkar inte användningen av bokade tider och kontot.

Om kliniken i egenskap av hälso- och sjukvårdspersonal med tystnadsplikt (t.ex. fysioterapeut) behandlar hälsouppgifter för behandlingsändamål med stöd av KVKK art. 6/3-e kan det räcka med enbart information i stället för en skärm för uttryckligt samtycke; andra verksamheter (t.ex. pilates-/wellnessstudior) får behandla hälsouppgifter endast med stöd av frivilligt uttryckligt samtycke enligt art. 6/3-a. Vilken rättslig grund som ska tillämpas och om informationens innehåll är lämpligt för den egna verksamheten är klinikens ansvar.

B.3. Kategorier av uppgifter som Teta Studio behandlar som personuppgiftsbiträde

Till följd av plattformens tekniska funktion behandlas följande kategorier av uppgifter i enlighet med klinikens instruktioner:

Behörighet att skriva i hälsofält (per den 4 oktober 2026): Klientens hälsofält (blodgrupp, allergier, kroniska tillstånd, läkemedel) kan endast fyllas i av klienten själv och den tilldelade specialisten; verksamhetens ägare/administratör kan inte skriva i dessa fält (men kan redigera kontaktperson vid nödsituation och identitetsfält).

Pseudonymiserad produktmätning: I denna behandling är Teta Studio personuppgiftsansvarigt och närmare uppgifter finns i del C. Mätningen görs med klinikens pseudonym-id; detta id är en pseudonym (inte identitetslöst). Funktionen är för närvarande avstängd.

Kvittofiler (per den 4 oktober 2026): Kvittofiler som inte har kopplats till en betalning (utan koppling) raderas automatiskt efter 7 dagar; ett kvitto som är kopplat till en betalning kan inte raderas av någon roll.

Tydlighet om behörigheter i mobilappen (per den 18 oktober 2026): Corentas mobilapp begär på operativsystemsnivå endast behörighet för aviseringar (frågas i sitt sammanhang) och på iOS åtkomst till fotobiblioteket (i det ögonblick då en profilbild, bilaga till anamnesen, betalningskvitto, bild till ett meddelande eller en studiovideo väljs); om applåset är aktiverat används enhetens Face ID-/fingeravtrycksverifiering lokalt på enheten och inga biometriska uppgifter överförs till Corenta. På Android har behörigheterna för kamera och mikrofon medvetet tagits bort ur appens manifest. Appen begär inte behörighet till kamera, mikrofon, plats, kontakter (contacts) eller kalender, eller åtkomst till HealthKit/hälsosensorer. Kartan i Upptäck använder inte enhetens plats; sökningen görs endast utifrån den provins/det distrikt eller det kartområde som användaren väljer.

Känsliga personuppgifter (hälsouppgifter) får enligt KVKK art. 6 behandlas endast med uttryckligt samtycke eller i de undantagsfall som föreskrivs i lag (när behandlingen utförs av personer med tystnadsplikt för skydd av folkhälsan, förebyggande hälso- och sjukvård, medicinsk diagnos/behandling, planering och finansiering av hälso- och sjukvårdstjänster m.m.). I Corentas ekosystem förs dessa uppgifter in av klinikens behöriga hälso-/wellnessspecialister i enlighet med den rättsliga grund som kliniken stöder sig på (frivilligt uttryckligt samtycke enligt art. 6/3-a eller art. 6/3-e); Teta Studio lagrar/behandlar dessa uppgifter endast i enlighet med klinikens instruktioner och skyddar dem med förstärkta säkerhetsåtgärder (se B.6).

Lagringstid och gallringsmetod – korshänvisning: Lagringstiden för var och en av kategorierna ovan och den metod som tillämpas efter en begäran om radering av konto (permanent radering eller anonymisering) sammanfattas i B.8/a och beskrivs med fullständig tabell och motivering i veri-saklama-imha-politikasi.md (avsnitt 4–6). Särskilt för raderna Hälsouppgifter, Transaktions-/finansiella uppgifter och Register över information och samtycken gäller: i skedet för permanent radering av kontot raderas dessa poster inte med DELETE; kopplingen till personen bryts och vissa fritextfält rensas. Eftersom fritexten i passanteckningar inte ändras anses dessa poster inte under alla omständigheter vara anonyma; de lagras med begränsad åtkomst (se B.8/a).

B.3-A. Gemenskaps- och tillväxtfunktioner – förhållandet till hälsouppgifter (per den 18 oktober 2026)

Hälsouppgifter är känsliga personuppgifter i den mening som avses i KVKK art. 6. Följande funktioner har inte utformats för att behandla hälsouppgifter; för var och en av dem beskrivs separat hur hälsouppgifter hanteras:

I kliniker som tillhandahåller hälso- och sjukvårdstjänster, såsom fysioterapi, kan det faktum att en klient har deltagit i ett pass eller en grupp visa att personen får hälso- och sjukvård. Därför är beslutet om huruvida dessa funktioner ska användas och hur klienterna ska informeras klinikens beslut i egenskap av personuppgiftsansvarig. Klinikgrupper (group_chats) och tävlingar (leagues) är separata moduler och har utformats så att de kan stängas av för varje klinik.

B.4. Ändamål med behandlingen och rättsliga grunder

De rättsliga grunderna i tabellen nedan kan beroende på uppgifternas art ha två olika innebörder: (i) den rättsliga grund som kliniken (i egenskap av personuppgiftsansvarig) stöder sig på gentemot sina klienter/sin personal, eller (ii) den rättsliga grund som gäller för Teta Studios egna självständiga verksamheter (såsom plattformens säkerhet, fakturering och rättsliga förpliktelser). Med hänsyn till att Teta Studio inte på egen hand fastställer något självständigt "ändamål med behandlingen" (se B.1) ska särskilt raden om känsliga personuppgifter läsas så att den återspeglar klinikens rättsliga grund:

B.5. Överföring av personuppgifter (inom landet och till utlandet)

För att plattformen ska fungera delas personuppgifter i begränsad och tekniskt nödvändig omfattning med följande underbiträden (sub-processor):

Övriga anmärkningar om infrastrukturen:

• E-postinfrastruktur: Tjänstemejl (provperiod, teaminbjudan, svar från supporten) skickas via SMTP genom Google Workspace (Google); autentiseringsmejl (verifiering av e-postadress, återställning av lösenord) utlöses av Supabase Auth. Marknadsföringsmejl skickas endast med separat samtycke och under förutsättning av registrering i İYS (se del C). Pushaviseringar levereras via Apple (APNs) och Google (FCM).
• Analysverktyg: Inget analysverktyg från tredje part (t.ex. Google Analytics) används. Mätning av produktanvändningen i appen är för närvarande inte aktiverad; om den aktiveras skrivs mätningen till en förstapartstabell i Corentas egen databas (Supabase, Frankfurt/Tyskland), innehåller inga hälsouppgifter eller fritext och denna text uppdateras innan den aktiveras.
• Felövervakning: Inget felövervakningsverktyg från tredje part används; klientfel registreras i Corentas egen databas (Supabase).
• Överföring av meddelanden i realtid och videor (per den 18 oktober 2026): Direkt- och gruppmeddelanden levereras via Supabases tjänst för överföring i realtid (Realtime) endast till behöriga användare; studiovideor lagras i Supabases fillagring. Dessa omfattas av raden för Supabase (nr 1); inget nytt underbiträde har lagts till.
• Betalning med kreditkort via webben: Stöds för närvarande inte; alla abonnemangsbetalningar genomförs uteslutande via mekanismen för köp i appen (IAP) hos Apple/Google.

Överföring till utlandet: Dina uppgifter behandlas via tjänsteleverantörer utanför Turkiet: Supabase (databas, autentisering och fillagring; uppgifterna lagras i Tyskland/Frankfurt), Vercel (drift av webbpanelen; global infrastruktur), Google (e-post via Google Workspace och aviseringar via Firebase Cloud Messaging; global) och Apple (aviseringar och appbutik; global). Även lagring i Tyskland är en överföring till utlandet i den mening som avses i lag nr 6698. Eftersom dessa överföringar är regelbundna och fortlöpande grundas de inte på uttryckligt samtycke; de kommer att grundas på ett av villkoren för behandling i artiklarna 5 och 6 i KVKK och, enligt art. 9/4-c, på de standardavtal som har offentliggjorts av Personuppgiftsskyddsnämnden (Kurul). Teta Studio kommer i egenskap av personuppgiftsbiträde att underteckna standardavtalet enligt modul 3 (från biträde till biträde) med varje underbiträde och anmäla det till Kurul inom 5 arbetsdagar från undertecknandet. Per dagen för denna text har standardavtalen ännu inte undertecknats och inte anmälts till Kurul; när undertecknande och anmälan har slutförts kommer detta avsnitt att uppdateras med en förteckning över leverantörer och datum. Kurul har inte meddelat något beslut om adekvat skyddsnivå för dessa länder (senast kontrollerat: 11 oktober 2026). Kliniken tar upp dessa överföringar i sin egen informationstext.

Ovanstående förteckning över underbiträden förs dessutom separat och aktuellt som bilaga till DPA:n mellan kliniken och Teta Studio; kliniken informeras om ändringar i förteckningen över underbiträden enligt det förfarande som anges i DPA:n. Personuppgifter får lämnas ut till behöriga myndigheter och offentliga organ endast i de fall som föreskrivs i tillämplig lagstiftning och begränsat till begäran; Teta Studio säljer eller hyr under inga omständigheter ut de personuppgifter som behandlas till tredje parter för kommersiella ändamål.

B.6. Säkerhetsåtgärder

Teta Studio tillämpar följande tekniska och organisatoriska åtgärder för att säkerställa säkerheten för de personuppgifter som behandlas i egenskap av personuppgiftsbiträde:

• Isolering mellan hyresgäster (multi-tenant isolation): Samtliga datatabeller på plattformen är åtskilda med fältet tenant_id och skyddas genom omfattande policyer för säkerhet på radnivå (Row Level Security/RLS) enligt principen om standardnekande (default-deny); en kliniks åtkomst till en annan kliniks uppgifter förhindras tekniskt.
• Begränsning av åtkomst till hälsouppgifter: Anamnesformulär, passanteckningar och mätningar kan på RLS-nivå endast nås av den berörda klienten, den specialist som tilldelats klienten och klinikens behöriga administratör; passanteckningar som specialisten har markerat som "delade med teamet" kan även ses av klinikens övriga specialister. Personalens åtkomst är möjlig när den berörda hälsomodulen (anamnes, mätning, passanteckning) är aktiverad.
• Oföränderlighet (append-only): Inskickade passanteckningar (när fältet submitted_at är ifyllt) skyddas på databasnivå så att de inte kan uppdateras eller raderas; inte heller för anamnesformulär har behörighet att radera (DELETE) definierats för någon användarroll (inte ens klinikens administratör). Enda och snäva undantaget: i processen för permanent radering av konto (se B.8/a) kan endast en privilegierad bakgrundsprocess (service-role), utan att röra passanteckningens INNEHÅLL, på databasnivå sätta enbart kolumnerna för koppling till personen (client_id/specialist_id) till NULL; detta bryter inte mot principen om append-only – det är en övergång med ett enda syfte som uppfyller skyldigheten enligt KVKK att bryta kopplingen till personen (anonymisering) (närmare uppgifter: veri-saklama-imha-politikasi.md avsnitt 6.2).
• Begränsningar för superadministratörens supportläge (impersonation): Det åtkomstläge för superadministratörer som används för teknisk support är tidsbegränsat (30 minuter) och som standard endast skrivskyddat; skrivåtgärder och åtkomst till hälsouppgifter kan aktiveras genom separata steg som kräver ytterligare godkännande (flaggan health_data_enabled); i inget impersonationsscenario ges skrivbehörighet till tabellerna med hälsouppgifter – denna begränsning tillämpas utan undantag i databaspolicyerna.
• Säkerhet vid överföring: Uppgifterna krypteras med TLS vid överföring.
• Lagring på enheten: I mobilappen lagras sessionstoken krypterade i enhetens säkra, hårdvarustödda nyckelring (expo-secure-store baserad på iOS Keychain/Android Keystore).
• Skydd av känsliga skärmar: På mobilskärmar som innehåller hälsouppgifter blockeras skärmdumpar och skärminspelning (blockering av skärminspelning/skärmdumpar på iOS; FLAG_SECURE på Android).
• Säkerhet för administratörskonton: Konton för plattformsadministratörer (superadministratörer) kräver tvåstegsverifiering (MFA, AAL2).
• Betalningsintegritet: För betalningsaviseringar (webhook) från appbutikerna (Apple/Google) tillämpas en infrastruktur för kryptografisk signaturverifiering; arbetet med att fullständigt slutföra denna konfiguration i produktionsmiljön för alla leverantörer och fortlöpande förbättra den pågår.

Trots ovanstående åtgärder anges uttryckligen att absolut säkerhet inte kan garanteras för något informationssystem. Dessa åtgärder ses kontinuerligt över och förbättras som en del av personuppgiftsbiträdets skyldigheter enligt KVKK art. 12. När Teta Studio i egenskap av personuppgiftsbiträde får kännedom om en personuppgiftsincident underrättar det kliniken utan dröjsmål och senast inom 24 timmar (Kurul 2019/10). Anmälan till Kurul och underrättelse till de registrerade är klinikens skyldighet som personuppgiftsansvarig. För uppgifter där Teta Studio är personuppgiftsansvarigt (del A och C) gör Teta Studio anmälan till Kurul inom 72 timmar.

B.7. Ytterligare information om superadministratörens supportläge (impersonation)

Teta Studios behöriga supportpersonal kan, i samband med begäranden om teknisk support från kliniken, tillfälligt få åtkomst till klinikens konto genom ett begränsat och granskningsbart "supportläge". Denna åtkomst:

• är begränsad till högst 30 minuter och upphör automatiskt när tiden har löpt ut,
• är som standard endast skrivskyddad (read-only),
• skrivbehörighet och åtkomst till hälsouppgifter kan aktiveras genom separata steg som var för sig kräver ytterligare godkännande; skrivåtkomst till tabellerna med hälsouppgifter ges under inga omständigheter,
• loggas och omfattas av granskningsspår.

Klientens kontaktuppgifter i supportläget (per den 4 oktober 2026): I Corentas supportsession (superadministratör) visas inte klientens e-postadress och telefonnummer för supportpersonalen; supportpersonalen kan endast se en begränsad identitetssammanfattning (namn, kontostatus, aktivitet, datum för skapande).

B.8. Lagringstid för personuppgifter och hur den registrerades rättigheter tillgodoses

Personuppgifter lagras så länge som krävs för det berörda ändamålet och under de lagstadgade lagringstider som föreskrivs i tillämplig lagstiftning. Nedanstående rättigheter utövas enligt KVKK art. 11 i första hand gentemot kliniken i egenskap av personuppgiftsansvarig. Teta Studio säkerställer i egenskap av personuppgiftsbiträde att dessa rättigheter tillgodoses tekniskt på klinikens begäran. De konkreta mekanismer som erbjuds i plattformen är följande:

a) Rätt till radering: Radering av konto (per den 4 oktober 2026): När en begäran om radering har bekräftats spärras åtkomsten till kontot omedelbart (sessioner avslutas, inloggning är inte möjlig); personuppgifter raderas eller anonymiseras (namn, e-postadress, telefonnummer, bild samt klientens identitets-/kontaktuppgifter och hälsofält – blodgrupp, allergier, kroniska tillstånd, läkemedel – rensas); betalnings- och ersättningsuppgifter som måste bevaras enligt lag raderas inte; de lagras med begränsad åtkomst och med kopplingen till personen bruten. Det finns ingen ångerfrist efter begäran; permanent radering av autentiseringsposten och filerna slutförs i den befintliga bakgrundsprocessen på trettio dagar.

Radering av klientpost och hälsofält (per den 4 oktober 2026): När en klientpost utan konto raderas av verksamheten tas posten omedelbart bort ur den aktiva listan; efter 30 dagar raderas/töms klientens hälsofält (blodgrupp, allergier, kroniska tillstånd, läkemedel) tillsammans med identitets- och kontaktuppgifterna. Lagringsreglerna för anamnesformulär, mätningar och passanteckningar påverkas inte av denna bestämmelse.

Gruppmeddelanden och gemenskapsuppgifter (per den 18 oktober 2026): En medlem kan när som helst radera sitt eget gruppmeddelande; texten i det raderade meddelandet tas bort ur posten. När ett konto raderas permanent raderas gruppmedlemskapet, posterna om kopplade enheter och specialistens profilkort; deltagande i tävlingar är kopplat till klientposten och omfattas av samma regel som klientposten; texten i meddelanden som tidigare har skickats till gruppen finns däremot kvar i gruppen utan uppgift om avsändaren. En användare som vill ta bort sina meddelanden kan därför radera dem ett och ett innan kontot raderas. Texten i ett meddelande som teamet har dolt sparas separat för teamets granskning. Lagringstiderna för gruppmeddelanden och denna kopia finns i veri-saklama-imha-politikasi.md avsnitt 4, rad 12; kopian lagras i högst 1 år. Uppgifter om grupper, tävlingar, märken och stämpelkort ingår i dag inte i exporten "Ladda ned mina uppgifter"; begäran om information om dessa uppgifter kan riktas till kliniken eller till hello@corenta.app.

När användaren begär radering av kontot inifrån appen (funktionen delete_my_account) tillämpar systemet en raderingsarkitektur i två steg. Sammanfattningen nedan är en ärlig och tekniskt verifierad beskrivning av den metod (permanent radering eller anonymisering) som tillämpas för respektive uppgiftskategori; för fullständiga uppgifter och tabell, se veri-saklama-imha-politikasi.md (särskilt avsnitt 4–6).

• Steg 1 – vid begäran: Åtkomsten till kontot spärras omedelbart (det finns ingen ångerfrist); profilen inaktiveras, identitets- och hälsofält rensas, väntande bokade tider avbokas, tilldelningar tas bort och lämnade samtycken återkallas.
• Steg 2 – permanent behandling efter 30 dagar: 30 dagar efter detta första steg genomförs en behandling som utlöses oåterkalleligt endast av en privilegierad (service-role) bakgrundsuppgift (cron) och som tillämpas med två olika metoder beroende på uppgiftskategori; denna behandling kan inte utlösas manuellt/administrativt och inte tidigareläggas eller skjutas upp:
• Användarens autentiseringspost (auth.users) och poster som saknar självständigt verksamhets-/bevisvärde (t.ex. aviseringar, notifications) raderas permanent (DELETE/cascade).
• Hälsouppgifter (anamnesformulär, passanteckningar, mätningar) samt klinik-/finansiella uppgifter (betalningar, närvaroregistrering) RADERAS INTE med DELETE – DE LAGRAS BEGRÄNSAT MED KOPPLINGEN TILL PERSONEN BRUTEN: kopplingen till personen (såsom client_id/specialist_id) bryts på databasnivå (ON DELETE SET NULL); vissa fritextfält (svar i anamnesen, anteckningar om mätningar/betalningar, skäl för återbetalning, kvittoreferens) rensas eller ersätts med en markering. Fritexten i passanteckningar ändras inte; eftersom det i denna text och i uppgifter som datum-/mätserier kan finnas tillräckligt med information för att åter identifiera personen anses dessa poster inte vara anonyma. Posterna lagras med begränsad åtkomst under den tid som klinikens skyldighet att föra register gäller och gallras när tiden har löpt ut; principen om append-only för passanteckningar upprätthålls på detta sätt.
• Samtyckesregister (consent_logs) raderas på samma sätt inte med DELETE; kopplingen till personen bryts och IP-adressen rensas, men i bevissyfte för att visa att samtycke har lämnats/återkallats (med uppgift om typ, version och tidpunkt) lagras de som en bevispost med kopplingen till personen bruten i ytterligare 5 år (KVKK art. 5/2-e – fastställande och skydd av en rättighet; bevisbördan för uttryckligt samtycke ligger på den personuppgiftsansvarige).
• Bifogade filer: Användarens avatar/profilbild, bilagor till anamnesen och bilder av betalningskvitton (buckets avatars, anamnesis-attachments, user-data-exports och payment-receipts i Storage) raderas automatiskt (best-effort) från Storage som en del av steget för permanent radering – om raderingen i en bucket misslyckas loggas detta, men det hindrar inte rensningen av övriga buckets eller behandlingen av kontot. Ärlig begränsning: Den enda filkategori som faller utanför denna automatiska process är identitets-/examensverifieringsdokument som laddats upp i registreringsprocessen för specialister/egenföretagare (bucket specialist-verification-docs) – dessa dokument är tekniskt kopplade inte till användaren utan till hyresgästens (klinikens) verifieringsprocess och omfattas för närvarande inte av den automatiska raderingen; deras gallring kommer att hanteras separat i processen när kliniken stänger sitt konto/abonnemang på hyresgästnivå, och fram till dess görs i undantagsfall en manuell bedömning via hello@corenta.app.
• Ingen av ovanstående åtgärder kan utlösas eller stoppas manuellt via de vanliga produktgränssnitten (inte heller av administrativ personal) – detta är en medveten säkerhetsdesign för att förhindra för tidig eller fördröjd radering genom misstag eller missbruk.
• Därför görs i denna text inget absolut åtagande om att "när kontot raderas förstörs alla uppgifter utan undantag och fysiskt": medan autentiseringsposten och poster som saknar självständigt verksamhetsvärde raderas permanent fortsätter hälso-/klinik-/finansiella uppgifter och samtyckesregister att lagras med kopplingen till personen bruten och med begränsad åtkomst (under de tider som beskrivs ovan) på grund av klinikens skyldighet att föra register (lagringsbestämmelser i andra lagar gäller enligt KVKK art. 7/2); dessa poster är inte anonyma; för tekniska rester i säkerhetskopior, se även veri-saklama-imha-politikasi.md avsnitt 6.3.
• Kanaler för begäranden: En begäran om radering av konto kan göras via självbetjäningsfunktionen "ta bort mitt konto" i appen, som är den mest tillförlitliga metoden och ger direkt resultat; i så fall utlöses funktionen direkt av användaren och den tvåstegsprocess som beskrivs ovan körs automatiskt (detta är inte en begäran riktad till Teta Studio utan en automatisk systemfunktion som användaren själv startar). Om användaren av någon anledning inte kan använda funktionen i appen kan begäran alternativt även skickas till kliniken eller till hello@corenta.app; i så fall bedöms och handläggs begäran inom rimlig tid och, i den utsträckning det bedöms nödvändigt, säkerställs att samma raderingsprocess startas. Detta undantag är ett undantag från den allmänna regeln för begäranden som beskrivs i B.9 nedan ("i första hand ska man vända sig till kliniken") och beror enbart på att självbetjäningsfunktionen i appen kan utlösas direkt av användaren.

b) Begäran om information / dataportabilitet: Plattformen erbjuder en funktion (export_user_data) med vilken användaren kan exportera sina egna uppgifter. I enlighet med strukturen med flera hyresgäster innehåller denna funktion endast uppgifter inom den berörda användarens egen hyresgäst (tenant). Uppgifterna tillhandahålls inom rimlig tid i ett strukturerat och maskinläsbart format (JSON). När filen kan förberedas tas uppgifterna även fram som ZIP och tillhandahålls via en personlig (signerad) länk som är giltig i 7 dagar; om ZIP-filen inte kan förberedas tillhandahålls endast JSON-utdata.

c) Rätt till rättelse: Uppdatering av användaruppgifter är tekniskt möjlig från klinikens administrationspanel. I plattformen finns dessutom inget automatiserat, separat arbetsflöde för "begäran om rättelse"; begäran om rättelse kan inom ramen för de allmänna rättigheterna enligt KVKK art. 11 riktas till kliniken eller till Teta Studio via hello@corenta.app.

d) Återkallelse av samtycke: Bekräftelsen av att informationstexten har lästs är inget samtycke; den utgör inget tillstånd som kan återkallas. Användaren kan när som helst återkalla samtycket till behandling av hälsouppgifter och samtycket till klinikens kampanjaviseringar via mobilappen. Återkallelse av samtycket till behandling av hälsouppgifter påverkar inte användningen av bokade tider och kontot; efter återkallelsen registreras inga nya hälsouppgifter och tidigare poster lagras enligt reglerna i B.8/a.

e) Övriga rättigheter enligt art. 11: Rätten att få veta om uppgifter behandlas, att få veta om de används i enlighet med ändamålet, att känna till de tredje parter till vilka de har överförts, att begära rättelse av ofullständig/felaktig behandling och att begära ersättning för skada till följd av behandling i strid med lag utövas i första hand gentemot kliniken; innehållet motsvarar den ram som anges i A.8.

B.9. Hur du gör en begäran

Klinikens klienter och klinikens personal ska rikta sina begäranden enligt KVKK i första hand till sin egen klinik; kliniken är i egenskap av personuppgiftsansvarig skyldig att besvara dessa begäranden i enlighet med förfarandet i KVKK art. 13 och senast inom trettio (30) dagar. Undantag: Självbetjäningsmekanismer i appen, såsom radering av konto (se B.8/a), kan användas direkt av användaren utan att klinikens medverkan behövs; för övriga begäranden enligt KVKK art. 11 är huvudregeln att man i första hand vänder sig till kliniken.

För begäranden av teknisk karaktär som man vill rikta direkt till Teta Studio (t.ex. att radering av konto eller funktionen för dataexport inte fungerar) eller för frågor om de behandlingar som Teta Studio självt utför i egenskap av personuppgiftsbiträde kan kontakt tas via hello@corenta.app. Teta Studio kan inom ramen för DPA:n vidarebefordra begäranden som når det och som kräver den berörda klinikens kännedom/instruktioner till kliniken.

B.10. Klinikens skyldigheter

Varje klinik som använder Corenta godtar att den är personuppgiftsansvarig enligt KVKK art. 3/ı och att följande skyldigheter uteslutande åvilar den:

• Upprättande/tillhandahållande av en informationstext enligt KVKK för sina egna klienter och användare (den färdiga, gemensamma informationsskärmen och de frivilliga samtyckesskärmarna i Corentas mobilapp tillhandahålls som ett tekniskt verktyg för detta ändamål, men det är klinikens ansvar att säkerställa att innehållet är lämpligt för klinikens egen verksamhet; kliniken kan vid behov separat genomföra en egen kompletterande informationsprocess enligt B.1),
• Fastställande av den rättsliga grund som ska tillämpas för behandling av hälsouppgifter (frivilligt uttryckligt samtycke enligt art. 6/3-a eller art. 6/3-e); om uttryckligt samtycke krävs, att det inhämtas på korrekt sätt och inte görs till ett villkor för tjänsten,
• Att meddela klienterna sina egna identitetsuppgifter (firma, adress, kontaktuppgifter för begäranden enligt KVKK) (den gemensamma texten i appen innehåller i dag inte automatiskt dessa uppgifter),
• För personuppgiftsansvariga vars huvudsakliga verksamhet är behandling av hälsouppgifter är undantagsgränsen för VERBIS 10 anställda per år och en balansomslutning på 10 miljoner TL (Kurul 2025/1572); bedömning av den egna skyldigheten att registrera sig i VERBIS,
• Besvarande av begäranden från registrerade inom de tidsfrister som föreskrivs i KVKK art. 13,
• Säkerställande av datasäkerheten i fråga om den egna personalen och de egna underleverantörerna,
• Efterlevnad av de skyldigheter som anges i personuppgiftsbiträdesavtalet/tjänstevillkoren mellan kliniken och Corenta.

Teta Studio tar inte på sig något ansvar som uppkommer till följd av att kliniken inte fullgör ovanstående skyldigheter.

DEL C – INFORMATION OM CORENTA-KONTON OCH PLATTFORMEN (Teta Studio är personuppgiftsansvarig)

Denna del beskriver de behandlingar som Teta Studio utför för egen räkning och för egna ändamål. I dessa behandlingar är Teta Studio personuppgiftsansvarigt enligt KVKK art. 3/1-ı. Denna text visas när ett konto för klinikägare/anställd öppnas och när en klient använder funktionen Upptäck/omdömen för första gången. Följande funktioner mellan studior (liga, inbjudan, Grundarstudio, Corenta Lab, Upptäck v2) ingår i denna del eftersom de för samman flera kliniker och deras ändamål bestäms av Teta Studio. Uppgifter som behandlas i studions namn är inte personuppgifter när verksamheten är en juridisk person; för studior som drivs som enskild näringsverksamhet och för enmansstudior beskrivs de här eftersom de kan kopplas till en person.

C.1. Personuppgiftsansvarig

Mertcan Demir – enskild näringsidkare under firmanamnet "Teta Studio" (identitets- och kontaktuppgifter: A.1). Begäranden: hello@corenta.app.

C.2. Behandlingar, ändamål och rättsliga grunder

Upptäck och inbjudan att lämna omdöme: Inbjudan att lämna omdöme skickas, om kliniken har aktiverat funktionen Upptäck, på grundval av uppgiften om en genomförd bokad tid. Genom personuppgiftsbiträdesavtalet instruerar kliniken att denna uppgift får överföras till Teta Studio endast i syfte att skicka inbjudan och publicera ett verifierat omdöme; i en klinik där Upptäck är avstängt skickas ingen inbjudan. Ett publicerat omdöme kan offentligt visa att du har fått tjänster från en hälso-/träningsverksamhet; ta hänsyn till detta innan du publicerar.

Pseudonymiserad mätning: Mätningen görs med klinikens pseudonym-id; detta id är en pseudonym och kan i en enmansverksamhet kopplas till en person. Den omfattar inte IP-adresser, hälsouppgifter eller spårning av källa/reklam. Funktionen är för närvarande avstängd; innan den aktiveras uppdateras denna text.

Synlighet i gemenskaps- och tillväxtfunktioner: De uppgifter som visas för andra användare i ligan, listan över Grundarstudior, Corenta Lab och Upptäck är endast de som anges i tabellen ovan. I dessa funktioner behandlas inga hälsouppgifter om klienter (närmare uppgifter: B.3-A). I studioinbjudan, Grundarstudio och Lab ges inga kontantbelöningar eller prisrabatter; belöningarna är rättigheter i appen, såsom 7 dagars Boost, provperiod och krediter.

C.3. Mottagare och överföring till utlandet

Supabase (drift; Tyskland/Frankfurt), Vercel (webbpanel), Google (e-post via Google Workspace, Firebase Cloud Messaging, Google Play) och Apple (APNs, App Store). Överföring till dessa leverantörer är en överföring till utlandet; grunden och den nuvarande situationen beskrivs i stycket "Överföring till utlandet" i B.5 (för dessa flöden där Corenta är personuppgiftsansvarig kommer standardavtalet enligt modul 2 – från personuppgiftsansvarig till personuppgiftsbiträde – att användas; per dagen för denna text har det ännu inte undertecknats).

C.4. Kommersiella elektroniska meddelanden

Teta Studio skickar marknadsförings- och kampanjmejl endast om du har lämnat ett separat samtycke via en ruta som inte är förkryssad. Teta Studio skickar inga marknadsföringsmejl utan att vara registrerat i İleti Yönetim Sistemi (İYS); efter registreringen laddas samtyckena upp till İYS inom 3 arbetsdagar. Varje marknadsföringsmeddelande innehåller avsändarens identitet, kontaktuppgifter och en kostnadsfri avregistreringslänk. Mejl om provperioden, teaminbjudan och support är tjänstemeddelanden; de innehåller inga marknadsföringsinslag.

C.5. Lagring, rättigheter och begäranden

Lagringstiderna finns i veri-saklama-imha-politikasi.md. Av de poster som lades till den 18 oktober 2026 lagras hashvärden för upprepad provperiod samt uppgifter om liga, inbjudan, Grundarstudio och Lab tills det berörda studiokontot raderas permanent; uppgifter om enheter lagras tills användarkontot raderas permanent. För dessa poster har ännu ingen separat maximal tid fastställts; den kommer att läggas till i lagringspolicyn. Du kan utöva dina rättigheter enligt KVKK art. 11 (A.8) genom att vända dig till hello@corenta.app; begäranden besvaras kostnadsfritt inom högst 30 dagar.

GEMENSAMMA BESTÄMMELSER (gäller båda delarna)

G.1. Automatiserat beslutsfattande och profilering

Corenta gör ingen profilering för reklam- eller marknadsföringsändamål. Per den 18 oktober 2026 tillämpas dock följande regler automatiskt och kan leda till ett begränsat negativt resultat för den berörda personen eller studion:

Markeringen av upprepad provperiod är inget automatiserat beslut: en matchning hindrar inte provperioden utan går endast till plattformsadministratörens granskning. Enligt KVKK art. 11/1-g kvarstår din rätt att invända mot ett resultat till din nackdel som uppkommer genom att uppgifterna analyseras uteslutande med automatiserade system.

G.2. Uppdatering av informationstexten

Denna informationstext kan uppdateras med anledning av ändringar i lagstiftningen, beslut av Personuppgiftsskyddsnämnden, plattformens funktionella utveckling eller ändringar av underbiträden/tjänsteleverantörer. Den aktuella versionen kommer alltid att vara tillgänglig på corenta.app/legal/kvkk-aydinlatma-metni och på dokumentskärmen i appen. I samband med SaaS-produkten (del B) ombeds användaren vid nästa inloggning efter en ändring av informationstextens version att ange att den nya texten har lästs; detta är inget samtycke utan ett bevis på att information har lämnats (se B.2).

G.3. Tillämplig lag och behörighet

Denna informationstext har upprättats inom ramen för lag nr 6698 om skydd av personuppgifter och tillhörande sekundärlagstiftning (förordningen om radering, förstöring eller anonymisering av personuppgifter; förordningen om registret över personuppgiftsansvariga; kommunikén om förfaranden och principer för fullgörande av informationsskyldigheten; kommunikén om förfaranden och principer för begäranden till den personuppgiftsansvarige). Vid tolkning och tillämpning av denna text gäller Republiken Turkiets lag; vid tvister är Personuppgiftsskyddsnämnden och behöriga turkiska domstolar/verkställighetsmyndigheter behöriga.

G.4. Kontakt

För alla frågor, önskemål och begäranden om behandlingen av personuppgifter:

• E-post: hello@corenta.app
• Support: support@corenta.app
• Tjänsteområde: Corenta erbjuds globalt via App Store och Google Play i de länder där dessa butiker finns. Denna text utgör information enligt lag nr 6698; för personer i EU/EES gäller dessutom GDPR-förklaringen, och tvingande dataskyddsbestämmelser i det land där du befinner dig påverkas inte.
• Företagets webbplats: corenta.app

Ikraftträdande / senast uppdaterad: 19 oktober 2026 Version: 2.3 · 19 oktober 2026. Ändringsloggen finns i början av dokumentet.