CORENTA — ІНФОРМАЦІЙНИЙ ТЕКСТ ВІДПОВІДНО ДО ЗАКОНУ ТУРЕЧЧИНИ ПРО ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ (KVKK)

Цей переклад надано лише для інформації; юридично обовʼязковим є текст турецькою мовою.

Інформаційний текст із трьох частин залежно від ролі володільця / розпорядника персональних даних

Версія: 2.3 · Набрання чинності / останнє оновлення: 19 жовтня 2026 р. Володілець персональних даних / видавець (Частини A і C): Mertcan Demir — фізична особа — підприємець під комерційним найменуванням «Teta Studio»

Журнал змін

• 2.3 — 19 жовтня 2026 р.: Відображено глобальне охоплення: формулювання «лише Türkiye» в G.4 замінено зазначенням про надання сервісу в кількох країнах через магазини застосунків і посиланням на Заяву щодо GDPR для ЄС/ЄЕЗ. Види обробки та правові підстави не змінилися.
• 2.2 — 19 жовтня 2026 р.: Версія для публікації; дата набрання чинності — 19 жовтня 2026 р. З таблиці ідентифікаційних даних A.1 вилучено незаповнені відомості MERSİS і KEP. Строк зберігання групових повідомлень у B.8/a привʼязано до Політики зберігання та знищення даних.
• 2.1 — 18 жовтня 2026 р.: Відображено функції, додані 18 жовтня 2026 р.: групи клініки, челенджі всередині студії, значки клієнтів і картка лояльності, щотижневі задачі та щомісячна картка показників (Частина B); ліга студій і міські челенджі, переносна картка профілю спеціаліста, код запрошення від студії до студії, програма «Студія-засновниця», Corenta Lab, «Відкрий для себе» v2 (коротке відео, пробне заняття, спонсороване розміщення), позначка повторного пробного періоду, привʼязка пристроїв і «Мої сесії», часткове повернення коштів через магазин застосунків і запит Apple про дані використання (Частина C). Порядок поводження з даними про здоровʼя в групах, лізі, челенджах і картці профілю описано в окремому розділі (B.3-A). Виправлено G.1: прямо зазначено три правила, що породжують автоматичний результат, який стосується особи (контроль зловживань запрошеннями, приховання групового повідомлення після трьох скарг, виключення з ліги). Мобільні дозволи виправлено відповідно до коду (дозвіл на камеру не запитується). Вимкнені функції (перевірка публікацій, сигнал попиту, гарантія Boost, перевірка пристрою, Turnstile, Sentry) до цього тексту не включено; перед їх увімкненням потрібне окреме оновлення тексту.
• 2.0 — 11 жовтня 2026 р.: За результатами перевірки відповідності від 11 жовтня 2026 р. (F01, F02, F04, F05, F07, F08, F11, F13, F14, F19, F22, F26): розділи про транскордонну передачу переписано відповідно до редакції ст. 9 Закону № 6698 після 2024 року (Supabase/Франкфурт також є транскордонною передачею; стандартні договори ще не підписано); інформування відокремлено від явної згоди (інформування — не «згода», а підтвердження «Прочитано, розумію»; обовʼязковий прапорець згоди у формі раннього доступу вилучено); згоду на обробку даних про здоровʼя описано як необовʼязкову; для діяльності, у якій Teta Studio є володільцем персональних даних, додано нову Частину C — Інформування щодо облікового запису Corenta та платформи; ідентифікаційні дані виправлено на дані фізичної особи — підприємця; оцінку обовʼязку реєстрації у VERBİS викладено з урахуванням рішень Ради 2025 року; строк повідомлення клініки про витік виправлено на не пізніше 24 годин; формулювання про «анонімне» зберігання виправлено на зберігання з обмеженим доступом і розривом звʼязку з особою; видалення вкладених файлів і посилання на експорт зведено до єдиного формулювання, підтвердженого кодом; виправлено помилкові посилання на нормативні акти.
• 1.6 — 10 жовтня 2026 р.: Expo (Expo Push Notification Service) вилучено із записів про суброзпорядників/розпорядників; push-сповіщення доставляються лише через Apple (APNs) і Google (FCM), Expo/EAS — лише інструмент збирання застосунку й не обробляє даних кінцевих користувачів.
• 1.5 — 10 жовтня 2026 р.: Вилучено формулювання про вибір Google Analytics; уточнено, що стороння аналітика не використовується, і уточнено розпорядників push-сповіщень.
• 1.4 — 4 жовтня 2026 р.: Чинний текст зафіксовано як затверджену версію. У цій версії відображено лише таке: позначення найменування Teta Studio; ринок (Türkiye); видалення облікового запису (доступ припиняється негайно, персональні дані видаляються/анонімізуються, записи про платежі, що підлягають зберіганню за законом, зберігаються без ідентифікації); видалення полів даних про здоровʼя клієнта після 30 днів; 7-денний строк для «осиротілих» квитанцій; приховування контактів клієнта в режимі підтримки; серверне вимірювання без ідентифікації; службові листи та Google Workspace; розпорядники push-сповіщень; адреса підтримки (support@corenta.app); право запису в поля даних про здоровʼя.
• 1.3 — 4 серпня 2026 р.: приведення розділів B.6 і B.8/a у відповідність до політики зберігання та знищення.

0. Про цей текст — сфера дії та посібник із читання

Цей Інформаційний текст відповідно до Закону про захист персональних даних («Інформаційний текст») підготовлено на виконання статті 10 Закону № 6698 про захист персональних даних («KVKK» або «Закон») і Комюніке про порядок і принципи виконання обовʼязку з інформування Mertcan Demir («Teta Studio», «ми»), що діє як фізична особа — підприємець під комерційним найменуванням «Teta Studio», з метою інформування субʼєктів даних про обробку персональних даних у звʼязку з розробленим і експлуатованим ним програмним продуктом (SaaS) Corenta («Corenta», «Продукт» або «Платформа») та сайтом corenta.app, на якому цей продукт представлено.

Corenta — мультиорендна (multi-tenant) програмна платформа (Software-as-a-Service) з пріоритетом мобільних пристроїв для невеликих студій у сфері здоровʼя та велнесу, як-от центри клінічного пілатесу, фізіотерапії, реформера, велнесу/масажу та йоги; вона забезпечує керування записами, облік пакетів/сеансів, анамнез і нотатки сеансів клієнтів, а також облік винагороди спеціалістів і фінансових операцій.

0.1 Визначення

0.2 Два окремі контексти — чому це важливо

В екосистемі Corenta персональні дані обробляються у трьох різних контекстах і у двох різних ролях: Частина A (рекламний сайт; Teta Studio — володілець персональних даних), Частина B (записи клініки; Teta Studio — розпорядник персональних даних) і Частина C (обліковий запис Corenta, підписка, службові листи, «Відкрий для себе»/відгуки, міжстудійні функції зростання — ліга, запрошення, «Студія-засновниця», Corenta Lab, переносна картка профілю, — безпека облікового запису та пристроїв, а також вимірювання використання продукту; Teta Studio — володілець персональних даних). Чітке розуміння цього розмежування необхідне для правильного тлумачення Інформаційного тексту, і ці контексти в жодному разі не слід змішувати:

Дані про здоровʼя клієнта клініки, що виникають у застосунку Corenta, і дані власника бізнесу, який заповнив форму раннього доступу на сайті corenta.app, підпадають під юридично зовсім різні режими. Наступні частини структуровано відповідно до цього розмежування.

ЧАСТИНА A — КОРПОРАТИВНИЙ САЙТ І ФОРМА РАННЬОГО ДОСТУПУ (corenta.app)

Ця частина застосовується до фізичних осіб, які відвідують сайт corenta.app, взаємодіють із ним та/або заповнюють форму заявки на ранній доступ. У цьому контексті Teta Studio діє як володілець персональних даних відповідно до ст. 3/ı KVKK і самостійно визначає мету та засоби обробки персональних даних.

A.1. Ідентифікаційні дані володільця персональних даних

A.2. Категорії оброблюваних персональних даних

Під час відвідування сайту corenta.app, заповнення форми раннього доступу, надсилання форми зворотного звʼязку або запиту на демонстрацію/переговори щодо купівлі можуть оброблятися такі категорії персональних даних:

(*) Пояснення до примітки про файли cookie: на дату публікації цього тексту на сайті corenta.app немає активного банера/інтерфейсу керування файлами cookie та сторонньої інфраструктури cookie; згадані в рядку вище IP-адреса/відомості про пристрій/браузер обробляються в обмеженому обсязі лише в межах базових журналів сервера та захисту форм, без використання активної технології cookie. Хоча в інфраструктурі системи технічно визначено категорію згоди на cookie (cookies), фактично ця категорія зараз не використовується. У разі переходу до використання cookie цей Інформаційний текст і окрему Політику щодо файлів cookie буде оновлено, а необхідні механізми згоди — запроваджено. Персональні дані особливої категорії в цьому контексті не обробляються.

Ці дані отримуються лише тоді, коли субʼєкт даних із власної волі заповнює форму чи виходить на звʼязок, або автоматично внаслідок технічної роботи сайту (наприклад, IP-адреса).

A.3. Мета та правові підстави обробки персональних даних

У таблиці нижче для кожної мети обробки зазначено, на якій із правових підстав, перелічених у ст. 5/2 KVKK, вона ґрунтується:

Важливо: маркетингові повідомлення за пунктом 7 ґрунтуються лише на окремо та явно наданій субʼєктом даних для цієї мети згоді; ця згода не є обовʼязковою умовою заявки на ранній доступ і може бути відкликана будь-коли (див. A.8).

A.4. Спосіб збирання персональних даних

Персональні дані збираються в електронній формі шляхом заповнення форм раннього доступу/зворотного звʼязку на сайті corenta.app, прямого листування електронною поштою, демонстрацій/переговорів щодо купівлі, а також автоматично технічною інфраструктурою сайту (IP-адреса тощо).

A.5. Передача персональних даних

Твої персональні дані можуть передаватися постачальникам, які надають послуги хостингу, збирання форм, надсилання електронної пошти, аналітики, безпеки та подібні технічні послуги, в обмеженому обсязі для надання цих послуг і з дотриманням умов, передбачених статтями 8 і 9 KVKK. Така передача здійснюється лише тією мірою, якою це необхідно для надання відповідної послуги, і обмежується цією метою.

Відомі/використовувані в цьому контексті постачальники технічної інфраструктури:

Примітка — інфраструктура зберігання даних форм: на дату підготовки цього тексту технічно не підтверджено, чи зберігаються дані форм раннього доступу/зворотного звʼязку зрештою лише у власній інфраструктурі форм Framer, чи також передаються до бази даних Corenta на основі Supabase (див. Частину B, B.5 — Supabase, Франкфурт/Німеччина). У міру підтвердження цієї обставини цю таблицю буде оновлено, за потреби — з додаванням рядка Supabase; у будь-якому разі дані твоїх форм обробляються лише з метою, описаною в цій Частині A, і відповідно до KVKK.

Окрім зазначеної передачі, твої персональні дані не продаються, не здаються в оренду й не передаються третім особам з маркетинговою метою. Виняток із цього правила становлять випадки, передбачені законом (рішення суду, запит уповноваженого державного органу тощо).

Транскордонна передача: Framer і Google Workspace обробляють дані за межами Türkiye; це транскордонна передача в розумінні Закону № 6698. Оскільки ці передачі мають регулярний і постійний характер, вони не ґрунтуються на явній згоді; вони ґрунтуватимуться на одній з умов обробки, передбачених статтею 5 KVKK, та на стандартних договорах, оприлюднених Радою із захисту персональних даних відповідно до ст. 9/4-c. На дату цього тексту стандартні договори з постачальниками ще не підписано, і Раду про них не повідомлено. Кожен договір буде подано до Ради протягом 5 робочих днів із дати підписання, а цей розділ буде доповнено переліком постачальників і дат. Рішення про адекватність щодо цих країн, оприлюдненого Радою, немає (остання перевірка: 11 жовтня 2026 р.).

A.6. Строк зберігання

Твої персональні дані зберігаються протягом строку, необхідного для відповідної мети обробки, і в будь-якому разі з урахуванням строків позовної давності, передбачених застосовним законодавством:

• Заявки на ранній доступ: не більше 2 років з моменту розгляду заявки та завершення процесу комунікації; якщо протягом цього строку звʼязок не встановлюється або процес завершується, дані видаляються/анонімізуються в коротший строк. Примітка щодо прозорості: на дату підготовки цього Тексту в системі немає механізму перевірки/видалення, що працює автоматично й відповідає цьому максимальному строку; строк є юридичною верхньою межею, а видалення/анонімізацію поки що виконують вручну/на запит.
• Записи листування: до досягнення мети комунікації.
• Аналітичні/технічні журнальні дані: протягом строку зберігання, встановленого за замовчуванням/допустимого використовуваним інструментом/інфраструктурою.
• Записи про правові спори та обовʼязки: протягом мінімального строку, передбаченого застосовним законодавством.

Після закінчення строку зберігання персональні дані видаляються, безповоротно знищуються або анонімізуються відповідно до ст. 7 KVKK і Положення про видалення, безповоротне знищення або анонімізацію персональних даних. Докладну таблицю строків і методи знищення див. у veri-saklama-imha-politikasi.md (розділ 4, п. 9).

A.7. Інформування та згода на комерційні повідомлення у формі раннього доступу

Обробка твоєї заявки ґрунтується не на згоді, а на правових підставах, зазначених в A.3. Тому у формі немає прапорця згоди для інформування; інформування та згоду розмежовано.

Інформування (без прапорця): безпосередньо над кнопкою надсилання показується такий текст із посиланням на цей Інформаційний текст:

«Твої дані обробляються для розгляду твоєї заявки та звʼязку з тобою (KVKK, ст. 5/2-c, f). Докладніше: Інформаційний текст».

Необовʼязкова згода на комерційні повідомлення (окремий прапорець, за замовчуванням НЕ ПОЗНАЧЕНИЙ):

«Надаю згоду на те, щоб Teta Studio надсилала мені оголошення та повідомлення про акції Corenta електронною поштою».

Відмова від згоди на комерційні повідомлення не впливає на розгляд заявки. Teta Studio не надсилає рекламних листів без реєстрації в Системі керування повідомленнями (İYS); після реєстрації згоди завантажуються до İYS протягом 3 робочих днів. Згоду можна відкликати за посиланням для відмови в кожному повідомленні.

A.8. Права субʼєкта даних (KVKK, ст. 11) і порядок звернення

Відповідно до статті 11 KVKK кожен субʼєкт, чиї персональні дані обробляються, має право, звернувшись до володільця персональних даних:

a) дізнатися, чи обробляються його персональні дані, b) якщо персональні дані оброблялися, запитати інформацію про це, c) дізнатися мету обробки персональних даних і чи використовуються вони відповідно до цієї мети, ç) знати третіх осіб, яким персональні дані передано в межах країни чи за кордон, d) вимагати виправлення персональних даних у разі їх неповної чи неправильної обробки, e) вимагати видалення або безповоротного знищення персональних даних у межах умов, передбачених ст. 7 KVKK, f) вимагати повідомлення третіх осіб, яким було передано персональні дані, про дії, вчинені відповідно до підпунктів (d) і (e), g) заперечувати проти настання несприятливого для нього результату внаслідок аналізу оброблюваних даних виключно автоматизованими системами, ğ) вимагати відшкодування шкоди в разі заподіяння йому шкоди внаслідок незаконної обробки персональних даних.

Крім того, щодо обробки, яка ґрунтується на згоді (комерційні електронні повідомлення), надану згоду незалежно від загальних прав за ст. 11 KVKK можна відкликати будь-коли й без зазначення причин. Відкликання згоди не впливає на законність обробки, що здійснювалася до відкликання.

Порядок звернення: для здійснення зазначених прав ти можеш надіслати свої запити в письмовій формі на адресу hello@corenta.app, зазначивши відомості, необхідні для встановлення твоєї особи, у порядку, передбаченому статтею 13 KVKK і Комюніке про порядок і принципи звернення до володільця персональних даних. Залежно від характеру твої звернення розглядаються безоплатно у строк не пізніше 30 (тридцяти) днів способами, що не потребують додаткових витрат; якщо виконання потребує додаткових витрат, може стягуватися плата за тарифом, установленим Радою із захисту персональних даних.

ЧАСТИНА B — ВИКОРИСТАННЯ ПРОДУКТУ CORENTA SaaS КЛІНІКАМИ

Ця частина застосовується до персоналу клініки (адміністратор, спеціаліст/інструктор, рецепція тощо), який користується Corenta через центр клінічного пілатесу, фізіотерапії, реформера, велнесу/масажу або йоги («Клініка»), та до клієнтів/пацієнтів цих клінік.

B.1. Правова основа розмежування ролей — прочитай уважно

Клініка, яка придбала Corenta та ввела його в експлуатацію, щодо персональних даних своїх клієнтів/пацієнтів і свого персоналу є «володільцем персональних даних» відповідно до ст. 3/ı KVKK. Обовʼязок з інформування клієнтів/пацієнтів і персоналу відповідно до KVKK та, за потреби, отримання явних згод (зокрема згоди на обробку даних особливої категорії — даних про здоровʼя) насамперед і остаточно покладено на Клініку.

Teta Studio (Corenta) відповідно до ст. 3/ğ KVKK є лише розпорядником персональних даних. Teta Studio обробляє ці дані за вказівками Клініки та від її імені, лише забезпечуючи технічну інфраструктуру Платформи; вона не визначає від свого імені самостійної мети обробки й не обробляє ці дані поза вказівками Клініки з власною комерційною метою (реклама, продаж третім особам тощо). Обробка, яку Teta Studio здійснює з власною метою (обліковий запис користувача клініки, підписка, службові листи, «Відкрий для себе»/запрошення залишити відгук і відгуки, безпека та псевдонімізоване вимірювання використання продукту), є предметом не цієї Частини B, а Частини C; у цій діяльності Teta Studio є володільцем персональних даних.

Продукт Corenta надає інструменти, які технічно полегшують Клініці виконання цих обовʼязків (екран згоди в мобільному застосунку, версійні записи про згоди, механізм відкликання тощо — див. B.2). Наявність цих інструментів не означає, що Клініка передала Teta Studio свої юридичні обовʼязки, які випливають зі статусу володільця персональних даних, або що Teta Studio взяла ці обовʼязки на себе.

Відносини з обробки даних між Клінікою та Teta Studio регулюються окремим Договором про обробку даних (Data Processing Agreement/DPA); цей договір деталізує категорії оброблюваних даних, мету обробки, заходи безпеки, залучення суброзпорядників та обовʼязки сторін за ст. 12 KVKK.

Ця Частина B не замінює інформаційного тексту, який Клініка надає своїм клієнтам/персоналу, і не є його замінником. Мета цієї частини — прозоро пояснити, які дані та з якою метою Teta Studio як розпорядник персональних даних обробляє на Платформі, і запропонувати рамку, на яку Клініка може спиратися під час підготовки власного інформаційного тексту. Якщо Клініка вважає недостатніми спільний/централізований екран інформування та необовʼязкові екрани згоди, які Corenta пропонує в мобільному застосунку (див. B.2), вона може додатково провести власними засобами окремий/додатковий процес інформування своїх Клієнтів і персоналу (письмовий текст, електронна пошта, особисте інформування тощо); це належить до сфери власної юридичної відповідальності Клініки.

B.2. Механізм інформування та згоди на Платформі (в інформаційних цілях)

У мобільному застосунку Corenta на етапі першого використання (onboarding) є екран (kvkk.tsx), підготовлений Teta Studio і спільний для клієнтів/користувачів усіх клінік. Відповідно до Принципового рішення Ради № 2026/347 інформування та згода показуються на окремих кроках:

Записи зберігаються з версіями в таблиці consent_logs. Технічна примітка: показ інформаційного тексту сьогодні фіксується в цій таблиці з типом kvkk; цей запис — не згода, а підтвердження того, що інформаційний текст було показано й прочитано. Єдиний дозвіл операційної системи на сповіщення використовується для доставки як транзакційних, так і рекламних сповіщень; сповіщення про акції мають надсилатися лише за наявності дозволу 2b.

Цей екран і тексти не розділено за клініками, вони надаються як спільна версія для всієї Платформи; ідентифікаційні відомості клініки (найменування, адреса, контакти для звернень) сьогодні до тексту автоматично не додаються. У разі зміни версії інформаційного тексту під час наступного входу в користувача запитують підтвердження того, що він прочитав новий текст (це також не є згодою). Згоду на обробку даних про здоровʼя та дозвіл на сповіщення про акції можна відкликати будь-коли (відстежується полем revoked_at); відкликання згоди на обробку даних про здоровʼя не впливає на записи на прийом і використання облікового запису.

Якщо Клініка як медичний працівник, зобовʼязаний зберігати таємницю (наприклад, фізіотерапевт), обробляє дані про здоровʼя з метою лікування на підставі ст. 6/3-e KVKK, замість екрана явної згоди може бути достатньо самого інформування; інші бізнеси (наприклад, студія пілатесу/велнесу) можуть обробляти дані про здоровʼя лише на підставі необовʼязкової явної згоди відповідно до ст. 6/3-a. Вибір правової підстави та відповідність змісту інформування власній діяльності є відповідальністю Клініки.

B.3. Категорії даних, які Teta Studio обробляє як розпорядник персональних даних

Унаслідок технічного функціонування Платформи за вказівкою Клініки обробляються такі категорії даних:

Право запису в поля даних про здоровʼя (з 4 жовтня 2026 р.): записувати дані в поля даних про здоровʼя клієнта (група крові, алергії, хронічні стани, ліки) можуть лише сам клієнт і призначений йому спеціаліст; власник/адміністратор бізнесу не може записувати в ці поля (він може редагувати контактну особу для екстреного звʼязку та ідентифікаційні поля).

Псевдонімізоване вимірювання використання продукту: у цій діяльності Teta Studio є володільцем персональних даних, подробиці — у Частині C. Вимірювання виконується з псевдонімним ідентифікатором клініки; цей ідентифікатор є псевдонімом (він не є знеособленим). Зараз функцію вимкнено.

Файли квитанцій (з 4 жовтня 2026 р.): файли квитанцій, не привʼязані до платежу («осиротілі»), автоматично видаляються через 7 днів; квитанцію, привʼязану до платежу, не може видалити жодна роль.

Розʼяснення щодо мобільних дозволів (з 18 жовтня 2026 р.): мобільний застосунок Corenta на рівні операційної системи запитує лише дозвіл на сповіщення (запитується в контексті) та на iOS доступ до фотобібліотеки (у момент вибору фото профілю, вкладення до анамнезу, квитанції про оплату, зображення оголошення або відео студії); якщо ввімкнено блокування застосунку, перевірка Face ID/відбитка пальця виконується на самому пристрої, і біометричні дані до Corenta не передаються. На Android дозволи на камеру та мікрофон навмисно виключено з маніфесту застосунку. Застосунок не запитує дозволів на камеру, мікрофон, місцезнаходження, контакти (contacts), календар і доступу до HealthKit/датчиків здоровʼя. Мапа «Відкрий для себе» не використовує місцезнаходження пристрою; пошук здійснюється лише за обраними користувачем il/ilçe (провінцією/районом) або ділянкою мапи.

Персональні дані особливої категорії (дані про здоровʼя) відповідно до ст. 6 KVKK можуть оброблятися лише за явною згодою або у виняткових випадках, передбачених законами (особами, зобовʼязаними зберігати таємницю, з метою охорони громадського здоровʼя, профілактичної медицини, медичної діагностики/лікування, планування та фінансування медичних послуг тощо). В екосистемі Corenta ці дані вносять уповноважені спеціалісти Клініки у сфері здоровʼя/велнесу відповідно до правової підстави, на яку спирається Клініка (необовʼязкова явна згода за ст. 6/3-a або ст. 6/3-e); Teta Studio розміщує/обробляє ці дані лише за вказівками Клініки й захищає їх посиленими заходами безпеки (див. B.6).

Строк зберігання та спосіб знищення — перехресне посилання: строк зберігання за кожною з наведених категорій і спосіб, що застосовується після запиту на видалення облікового запису (остаточне видалення чи анонімізація), стисло викладено в B.8/a, а докладну таблицю з обґрунтуванням наведено в veri-saklama-imha-politikasi.md (розділи 4–6). Зокрема, для рядків Дані про здоровʼя, Відомості про операції/фінанси та Записи про інформування та дозволи: на етапі остаточного видалення облікового запису ці записи не видаляються командою DELETE; звʼязок з особою розривається, а деякі поля з довільним текстом очищаються. Оскільки довільний текст нотаток сеансів не змінюється, ці записи не в усіх випадках вважаються анонімними; вони зберігаються з обмеженим доступом (див. B.8/a).

B.3-A. Функції спільноти та зростання — звʼязок із даними про здоровʼя (з 18 жовтня 2026 р.)

Дані про здоровʼя є персональними даними особливої категорії в розумінні ст. 6 KVKK. Наведені нижче функції не призначені для обробки даних про здоровʼя; для кожної з них окремо описано, як поводяться з даними про здоровʼя:

У клініках, які надають медичні послуги, наприклад фізіотерапію, сам факт відвідування клієнтом заняття чи участі в групі може вказувати на те, що ця особа отримує медичні послуги. Тому рішення про те, чи використовувати ці функції та як пояснити їх клієнтам, ухвалює Клініка як володілець персональних даних. Групи клініки (group_chats) і челенджі (leagues) є окремими модулями та спроєктовані так, щоб їх можна було вимкнути на рівні клініки.

B.4. Мета обробки та правові підстави

Правові підстави в таблиці нижче залежно від характеру відповідних даних можуть мати два різні значення: (i) правова підстава, на яку Клініка (як володілець персональних даних) спирається щодо свого клієнта/персоналу, або (ii) правова підстава, застосовна до власної незалежної діяльності Teta Studio (безпека платформи, виставлення рахунків, юридичні обовʼязки тощо). З огляду на те, що Teta Studio самостійно не визначає незалежної «мети обробки» (див. B.1), рядок, що стосується даних особливої категорії, слід читати як такий, що відображає правову підставу Клініки:

B.5. Передача персональних даних (у межах країни та за кордон)

Для роботи Платформи персональні дані передаються таким суброзпорядникам (sub-processor) в обмеженому й технічно необхідному обсязі:

Інші примітки щодо інфраструктури:

• Інфраструктура електронної пошти: службові листи (пробний період, запрошення до команди, відповіді підтримки) надсилаються за протоколом SMTP через Google Workspace (Google); листи автентифікації (підтвердження адреси електронної пошти, скидання пароля) ініціює Supabase Auth. Рекламні листи надсилаються лише за наявності окремої згоди та реєстрації в İYS (див. Частину C). Push-сповіщення доставляються через Apple (APNs) і Google (FCM).
• Інструмент аналітики: сторонній інструмент аналітики (наприклад, Google Analytics) не використовується. Вимірювання використання продукту в застосунку зараз не активне; у разі його ввімкнення дані записуватимуться до власної таблиці першої сторони в базі даних Corenta (Supabase, Франкфурт/Німеччина), не міститимуть даних про здоровʼя та довільного тексту, а цей Текст буде оновлено до ввімкнення.
• Моніторинг помилок: сторонній інструмент моніторингу помилок не використовується; клієнтські помилки записуються до власної бази даних Corenta (Supabase).
• Передача повідомлень у реальному часі та відео (з 18 жовтня 2026 р.): особисті та групові повідомлення доставляються лише уповноваженим користувачам сервісом передачі в реальному часі Supabase (Realtime); відео студій зберігаються у файловому сховищі Supabase. Це охоплюється рядком Supabase (п. 1); нових суброзпорядників не додано.
• Оплата банківською карткою через веб: зараз не підтримується; усі платежі за підпискою здійснюються лише через механізм покупок у магазинах застосунків Apple/Google (IAP).

Транскордонна передача: твої дані обробляються постачальниками послуг, що перебувають за межами Türkiye: Supabase (база даних, автентифікація та файлове сховище; дані розміщуються в Німеччині/Франкфурті), Vercel (хостинг вебпанелі; глобальна інфраструктура), Google (електронна пошта Google Workspace і сповіщення Firebase Cloud Messaging; глобально) та Apple (сповіщення й магазин застосунків; глобально). Розміщення даних у Німеччині також є транскордонною передачею в розумінні Закону № 6698. Оскільки ці передачі мають регулярний і постійний характер, вони не ґрунтуються на явній згоді; вони ґрунтуватимуться на одній з умов обробки, передбачених статтями 5 і 6 KVKK, та на стандартних договорах, оприлюднених Радою із захисту персональних даних відповідно до ст. 9/4-c. Teta Studio як розпорядник підпише з кожним суброзпорядником стандартний договір Модуля 3 (від розпорядника до розпорядника) і повідомить про нього Раду протягом 5 робочих днів із дати підписання. На дату цього тексту стандартні договори ще не підписано, і Раду про них не повідомлено; після підписання та повідомлення цей розділ буде доповнено переліком постачальників і дат. Рішення про адекватність щодо цих країн, оприлюдненого Радою, немає (остання перевірка: 11 жовтня 2026 р.). Клініка зазначає ці передачі у своєму інформаційному тексті.

Наведений вище перелік суброзпорядників окремо й в актуальному вигляді ведеться в додатку до DPA між Клінікою та Teta Studio; Клініку повідомляють про зміни в переліку суброзпорядників у порядку, передбаченому DPA. Персональні дані можуть передаватися уповноваженим за законом державним органам і установам лише у випадках, передбачених застосовним законодавством, і в межах запиту; Teta Studio за жодних обставин не продає й не здає в оренду оброблювані нею персональні дані третім особам з комерційною метою.

B.6. Заходи безпеки

Для забезпечення безпеки персональних даних, які вона обробляє як розпорядник, Teta Studio застосовує такі технічні та організаційні заходи:

• Ізоляція орендарів (multi-tenant isolation): усі таблиці даних на Платформі розмежовано полем tenant_id і захищено розгорнутими політиками безпеки на рівні рядків (Row Level Security/RLS) за принципом заборони за замовчуванням (default-deny); доступ однієї Клініки до даних іншої Клініки технічно заблоковано.
• Обмеження доступу до даних про здоровʼя: на рівні RLS доступ до анкет анамнезу, нотаток сеансів і даних вимірювань мають лише відповідний клієнт, призначений клієнтові спеціаліст і уповноважений адміністратор клініки; нотатки сеансів, які спеціаліст позначив як «доступні команді», можуть бачити й інші спеціалісти клініки. Доступ персоналу можливий, доки ввімкнено відповідний модуль даних про здоровʼя (анамнез, вимірювання, нотатки сеансів).
• Незмінність (append-only): надіслані нотатки сеансів (після заповнення поля submitted_at) захищено від зміни та видалення на рівні бази даних; для анкет анамнезу жодній ролі користувачів (зокрема адміністраторові клініки) не надано права видалення (DELETE). Єдиний вузький виняток: у процесі остаточного видалення облікового запису (див. B.8/a) лише привілейований (service-role) фоновий процес може на рівні бази даних встановити в NULL лише стовпці звʼязку з особою (client_id/specialist_id), НЕ торкаючись ЗМІСТУ нотатки сеансу; це не порушує принципу append-only — це єдиний вузькоцільовий перехід, що забезпечує виконання обовʼязку з розриву звʼязку з особою (анонімізації) в межах KVKK (докладніше: veri-saklama-imha-politikasi.md, розділ 6.2).
• Обмеження режиму підтримки суперадміністратора (impersonation): режим доступу суперадміністратора, що використовується для технічної підтримки, обмежено в часі (30 хвилин), і за замовчуванням він працює лише для читання; операції запису та доступ до даних про здоровʼя можна відкрити лише окремими кроками, що потребують додаткового підтвердження (прапорець health_data_enabled); у жодному сценарії імперсонації не надається право запису до таблиць даних про здоровʼя — це обмеження без винятків реалізовано в політиках бази даних.
• Безпека передачі: під час передачі дані шифруються за протоколом TLS.
• Зберігання на пристрої: у мобільному застосунку токени сесії зберігаються в зашифрованому вигляді в захищеному апаратному сховищі ключів пристрою (expo-secure-store на основі iOS Keychain / Android Keystore).
• Захист чутливих екранів: на мобільних екранах із даними про здоровʼя блокуються знімки екрана та запис екрана (блокування запису/знімків екрана на iOS; FLAG_SECURE на Android).
• Безпека адміністративних облікових записів: облікові записи адміністраторів платформи (суперадміністраторів) потребують двофакторної автентифікації (MFA, AAL2).
• Цілісність платежів: для сповіщень про платежі з магазинів застосунків (Apple/Google) (webhook) застосовується інфраструктура перевірки криптографічного підпису; процес повного завершення налаштування в цій сфері для всіх постачальників у робочому середовищі та її постійного вдосконалення триває.

Прямо зазначається, що, попри наведені заходи, абсолютної гарантії безпеки не можна дати для жодної інформаційної системи. Ці заходи постійно переглядаються й удосконалюються як частина обовʼязків розпорядника за ст. 12 KVKK. Дізнавшись як розпорядник про витік даних, Teta Studio повідомляє Клініку без зволікання й не пізніше ніж протягом 24 годин (Рада, 2019/10). Повідомлення Ради та субʼєктів даних є обовʼязком Клініки як володільця персональних даних. Щодо даних, стосовно яких Teta Studio є володільцем персональних даних (Частини A і C), повідомлення Ради протягом 72 годин здійснює Teta Studio.

B.7. Додаткова інформація про режим підтримки суперадміністратора (impersonation)

Уповноважений персонал підтримки Teta Studio в межах запитів Клініки про технічну підтримку може тимчасово отримувати доступ до облікового запису Клініки в обмеженому та перевірюваному «режимі підтримки». Цей доступ:

• обмежено щонайбільше 30 хвилинами, і після закінчення строку він автоматично припиняється,
• за замовчуванням має характер лише для читання (read-only),
• право запису та доступ до даних про здоровʼя можна відкрити окремими один від одного кроками, що потребують додаткового підтвердження; доступ на запис до таблиць даних про здоровʼя не надається за жодних умов,
• журналюється та підлягає аудиторському сліду.

Контакти клієнта в режимі підтримки (з 4 жовтня 2026 р.): у сесії підтримки (суперадміністратора) Corenta електронна пошта й телефон клієнта персоналу підтримки не показуються; персонал підтримки бачить лише обмежене ідентифікаційне зведення (імʼя, статус облікового запису, активність, дата створення).

B.8. Строки зберігання персональних даних і порядок реалізації прав субʼєктів даних

Персональні дані зберігаються протягом строку, необхідного для відповідної мети, і протягом установлених законом строків зберігання, передбачених застосовним законодавством. Наведені нижче права відповідно до ст. 11 KVKK здійснюються насамперед щодо Клініки як володільця персональних даних. Teta Studio як розпорядник забезпечує технічну реалізацію цих прав на запит Клініки. Конкретні механізми, передбачені на Платформі:

a) Право на видалення: Видалення облікового запису (з 4 жовтня 2026 р.): після підтвердження запиту на видалення доступ до облікового запису припиняється негайно (сесії завершуються, вхід неможливий); персональні дані видаляються або анонімізуються (імʼя, електронна пошта, телефон, зображення, а також ідентифікаційні/контактні дані клієнта й поля даних про здоровʼя — група крові, алергії, хронічні стани, ліки — очищаються); записи про платежі та винагороду спеціалістів, що підлягають зберіганню за законом, не видаляються; вони зберігаються з розривом звʼязку з особою та з обмеженим доступом. Строку для скасування після запиту немає; остаточне видалення запису автентифікації та файлів завершується в межах наявного тридцятиденного фонового процесу.

Видалення картки клієнта та поля даних про здоровʼя (з 4 жовтня 2026 р.): коли бізнес видаляє картку клієнта, який не має облікового запису, запис одразу вилучається з активного списку; після закінчення 30 днів разом з ідентифікаційними та контактними даними видаляються/очищаються й поля даних про здоровʼя клієнта (група крові, алергії, хронічні стани, ліки). Це положення не стосується правил зберігання анкет анамнезу, вимірювань і нотаток сеансів.

Групові повідомлення та записи спільноти (з 18 жовтня 2026 р.): учасник може будь-коли видалити своє групове повідомлення; текст видаленого повідомлення вилучається із запису. У разі остаточного видалення облікового запису видаляються членство в групах, записи про привʼязані пристрої та картки профілю спеціаліста; участь у челенджі привʼязана до картки клієнта й підпадає під те саме правило, що й картка клієнта; текст раніше надісланих до групи повідомлень залишається в групі без відомостей про відправника. Тому користувач, який бажає вилучити свої повідомлення, може видалити їх по одному до видалення облікового запису. Текст повідомлення, прихованого командою, зберігається окремо для перевірки командою. Строки зберігання групових повідомлень і цієї копії зазначено в veri-saklama-imha-politikasi.md, розділ 4, п. 12; копія зберігається не більше 1 року. Записи груп, челенджів, значків і карток лояльності сьогодні не входять до експорту «Завантажити мої дані»; запит інформації щодо цих записів можна надіслати до Клініки або на адресу hello@corenta.app.

Коли користувач надсилає запит на видалення облікового запису із застосунку (функція delete_my_account), система застосовує двоетапну архітектуру видалення. Наведений нижче стислий виклад є чесним і технічно підтвердженим описом методу, що застосовується залежно від категорії даних (остаточне видалення чи анонімізація); повні подробиці та таблицю див. у veri-saklama-imha-politikasi.md (зокрема розділи 4–6).

• Етап 1 — момент запиту: доступ до облікового запису припиняється негайно (строку для скасування немає); профіль деактивується, ідентифікаційні поля та поля даних про здоровʼя очищаються, майбутні записи скасовуються, призначення знімаються, надані згоди відкликаються.
• Етап 2 — остаточна обробка через 30 днів: через 30 днів після першого етапу виконується операція, яку незворотно запускає лише привілейоване (service-role) фонове завдання (cron) і яка застосовується двома різними способами залежно від категорії даних; цю операцію не можна запустити вручну/адміністративно, а також прискорити чи відкласти:
• Запис автентифікації користувача (auth.users) і записи, що не мають самостійної ділової/доказової цінності (наприклад, сповіщення, notifications), видаляються остаточно (DELETE/cascade).
• Дані про здоровʼя (анкети анамнезу, нотатки сеансів, записи вимірювань) і клінічні/фінансові записи (платежі, відвідуваність) НЕ ВИДАЛЯЮТЬСЯ командою DELETE — ВОНИ ЗБЕРІГАЮТЬСЯ З ОБМЕЖЕННЯМИ ТА З РОЗРИВОМ ЗВʼЯЗКУ З ОСОБОЮ: звʼязок з особою (наприклад, client_id/specialist_id) розривається на рівні бази даних (ON DELETE SET NULL); деякі поля з довільним текстом (відповіді анамнезу, нотатки до вимірювань/платежів, причина повернення, посилання на квитанцію) очищаються або замінюються позначкою. Довільний текст нотаток сеансів не змінюється; оскільки в цьому тексті та в таких відомостях, як дати/серії вимірювань, може залишитися інформація, достатня для повторної ідентифікації особи, ці записи не вважаються анонімними. Записи зберігаються з обмеженим доступом протягом строку обовʼязку Клініки з ведення записів і після його закінчення знищуються; у такий спосіб для нотаток сеансів зберігається принцип append-only.
• Записи про згоди (consent_logs) так само не видаляються командою DELETE; звʼязок з особою розривається, IP-адреса очищається, однак з метою доведення того, що згоду було надано/відкликано (з відомостями про тип, версію та час), вони додатково зберігаються 5 років як доказовий запис із розривом звʼязку з особою (KVKK, ст. 5/2-e — встановлення та захист права; тягар доведення явної згоди лежить на володільці персональних даних).
• Вкладені файли: аватар/фото профілю користувача, вкладення до анамнезу та зображення квитанцій про оплату (бакети avatars, anamnesis-attachments, user-data-exports, payment-receipts у Storage) у межах етапу остаточного видалення автоматично (best-effort) видаляються зі Storage — якщо видалення в одному бакеті не вдається, це журналюється, але не перешкоджає очищенню інших бакетів та обробці облікового запису. Чесне обмеження: єдина категорія файлів поза цим автоматичним процесом — документи для перевірки особи/диплома, завантажені під час реєстрації спеціаліста/solo-реєстрації (бакет specialist-verification-docs): технічно ці документи привʼязані не до користувача, а до процесу перевірки орендаря (Клініки) і зараз не входять до автоматичного видалення; їх знищення окремо розглядатиметься під час закриття Клінікою облікового запису/підписки на рівні орендаря, а до завершення цього у виняткових випадках проводиться ручний розгляд через hello@corenta.app.
• Жодну з наведених операцій не можна вручну запустити чи зупинити через звичайні інтерфейси продукту (зокрема адміністративним персоналом) — це свідоме рішення у сфері безпеки, що запобігає передчасному/запізнілому видаленню через помилку чи внаслідок зловживання.
• Тому в цьому Тексті не дається абсолютного зобовʼязання про те, що «у разі видалення облікового запису всі дані без винятку фізично знищуються»: запис автентифікації та записи без самостійної ділової цінності видаляються остаточно, а записи про здоровʼя/клінічні/фінансові записи та записи про згоди з огляду на обовʼязок Клініки з ведення записів (відповідно до ст. 7/2 KVKK положення інших законів про зберігання залишаються в силі) і надалі зберігаються з розривом звʼязку з особою та обмеженим доступом (у зазначені вище строки); ці записи не є анонімними; щодо технічних залишків у резервних копіях див. також veri-saklama-imha-politikasi.md, розділ 6.3.
• Канали звернення: запит на видалення облікового запису як найнадійніший і безпосередньо результативний спосіб можна подати через функцію самообслуговування «видалити мій обліковий запис» у застосунку; у такому разі функцію запускає безпосередньо користувач, і описаний вище двоетапний процес виконується автоматично (це не звернення/запит до Teta Studio, а автоматична системна функція, яку запускає сам користувач). Якщо користувач із будь-якої причини не може скористатися функцією в застосунку, він може альтернативно надіслати запит до Клініки або на адресу hello@corenta.app; у такому разі запит розглядається та приймається до виконання в розумний строк, і тією мірою, якою це необхідно, забезпечується запуск того самого процесу видалення. Це є винятком із загального правила звернення, викладеного нижче в B.9 («спочатку слід звернутися до Клініки»), і зумовлено виключно тим, що функцію самообслуговування в застосунку користувач може запустити безпосередньо.

b) Запит інформації / перенесення даних: Платформа надає функцію (export_user_data), за допомогою якої користувач може експортувати свої дані. Відповідно до мультиорендної структури ця функція містить лише дані відповідного користувача в межах його власного орендаря (tenant). Дані надаються в розумний строк у структурованому, машинозчитуваному форматі (JSON). Якщо файл вдається підготувати, дані додатково готуються у форматі ZIP і надаються за персональним (підписаним) посиланням, дійсним 7 днів; якщо ZIP підготувати не вдається, надається лише вивід у форматі JSON.

c) Право на виправлення: Оновлення даних користувачів технічно можливе через панель адміністратора Клініки. Окремого автоматизованого й самостійного процесу «запиту на виправлення» на Платформі немає; запити на виправлення в межах загальних прав за ст. 11 KVKK можна надіслати до Клініки або до Teta Studio на адресу hello@corenta.app.

d) Відкликання згоди: підтвердження прочитання інформаційного тексту не є згодою й не створює дозволу, який можна відкликати. Користувач може будь-коли відкликати згоду на обробку даних про здоровʼя та дозвіл на сповіщення про акції клініки через мобільний застосунок. Відкликання згоди на обробку даних про здоровʼя не впливає на записи на прийом і використання облікового запису; після відкликання нові дані про здоровʼя не записуються, а попередні записи зберігаються за правилами B.8/a.

e) Інші права за ст. 11: права дізнатися, чи обробляються дані, дізнатися відповідність меті обробки, знати третіх осіб, яким їх передано, вимагати виправлення неповної/неправильної обробки, вимагати відшкодування шкоди внаслідок незаконної обробки здійснюються насамперед щодо Клініки; за змістом вони збігаються з переліком, наведеним в A.8.

B.9. Порядок звернення

Клієнти та персонал клінік мають надсилати свої запити в межах KVKK насамперед до своєї Клініки; Клініка як володілець персональних даних зобовʼязана відповідати на ці запити в порядку ст. 13 KVKK не пізніше тридцяти (30) днів. Виняток: механізмами самообслуговування в застосунку, як-от видалення облікового запису (див. B.8/a), користувач може скористатися безпосередньо й без додаткового посередництва Клініки; щодо інших запитів відповідно до ст. 11 KVKK за загальним правилом слід спочатку звертатися до Клініки.

Із запитами технічного характеру, які бажано надіслати безпосередньо до Teta Studio (наприклад, якщо не працює видалення облікового запису чи функція експорту даних), або з питаннями щодо діяльності, яку Teta Studio сама здійснює як розпорядник, можна звернутися на адресу hello@corenta.app. Teta Studio може в межах DPA перенаправляти Клініці отримані нею звернення, що потребують відомостей/вказівок відповідної Клініки.

B.10. Обовʼязки Клініки

Кожна Клініка, що використовує Corenta, визнає, що відповідно до ст. 3/ı KVKK має статус володільця персональних даних і що такі обовʼязки покладено виключно на неї:

• підготовка/надання Інформаційного тексту за KVKK для своїх Клієнтів і Користувачів (готовий спільний екран інформування та необовʼязкові екрани згоди в мобільному застосунку Corenta надаються для цієї мети як технічний інструмент, однак забезпечення відповідності їх змісту власній діяльності Клініки є відповідальністю Клініки; за потреби Клініка може відповідно до B.1 додатково провести власний процес інформування),
• визначення правової підстави для обробки даних про здоровʼя (необовʼязкова явна згода за ст. 6/3-a або ст. 6/3-e); якщо потрібна явна згода — її належне отримання без перетворення на умову надання послуги,
• повідомлення клієнтам своїх ідентифікаційних відомостей (найменування, адреса, контакти для звернень за KVKK) (спільний текст у застосунку сьогодні цих відомостей автоматично не містить),
• для володільців, основною діяльністю яких є обробка даних про здоровʼя, поріг звільнення від реєстрації у VERBİS становить 10 працівників на рік і баланс 10 мільйонів TL (Рада, 2025/1572); оцінка власного обовʼязку реєстрації у VERBİS,
• відповіді на звернення субʼєктів даних у строки, передбачені ст. 13 KVKK,
• забезпечення безпеки даних щодо свого персоналу та субпідрядників,
• дотримання обовʼязків, передбачених Договором про обробку даних/Умовами обслуговування між нею та Corenta.

Teta Studio не несе відповідальності, що виникає внаслідок невиконання Клінікою наведених вище обовʼязків.

ЧАСТИНА C — ІНФОРМУВАННЯ ЩОДО ОБЛІКОВОГО ЗАПИСУ CORENTA ТА ПЛАТФОРМИ (Teta Studio — володілець персональних даних)

Ця частина пояснює обробку, яку Teta Studio здійснює від свого імені та з власною метою. У цій діяльності Teta Studio відповідно до ст. 3/1-ı KVKK є володільцем персональних даних. Цей текст показується під час відкриття облікового запису власника/працівника клініки, а також під час першого використання клієнтом функції «Відкрий для себе»/відгуків. Наведені нижче міжстудійні функції (ліга, запрошення, «Студія-засновниця», Corenta Lab, «Відкрий для себе» v2) включено до цієї частини, оскільки вони обʼєднують кілька клінік, а їхню мету визначає Teta Studio. Відомості, оброблювані від імені студії, у бізнесів — юридичних осіб не є персональними даними; у студій, що працюють як фізичні особи — підприємці, та в студій з однієї особи їх можна повʼязати з конкретною особою, тому вони пояснюються тут.

C.1. Володілець персональних даних

Mertcan Demir — фізична особа — підприємець під комерційним найменуванням «Teta Studio» (ідентифікаційні та контактні дані: A.1). Звернення: hello@corenta.app.

C.2. Обробка, мета та правові підстави

«Відкрий для себе» та запрошення залишити відгук: запрошення залишити відгук надсилається на підставі відомостей про завершений запис, якщо клініка ввімкнула функцію «Відкрий для себе». Договором про обробку даних клініка доручає передавати ці відомості Teta Studio лише для надсилання запрошення та публікації перевіреного відгуку; у клініці з вимкненим «Відкрий для себе» запрошення не надсилаються. Опублікований відгук може публічно показати факт отримання тобою послуг у бізнесі у сфері здоровʼя/вправ; зважай на це перед публікацією.

Псевдонімізоване вимірювання: вимірювання виконується з псевдонімним ідентифікатором клініки; цей ідентифікатор є псевдонімом, і в бізнесі з однієї особи його можна повʼязати з конкретною особою. Воно не включає IP-адрес, даних про здоровʼя та відстеження джерел/реклами. Зараз функцію вимкнено; перед її ввімкненням цей текст буде оновлено.

Видимість у функціях спільноти та зростання: відомості, що показуються іншим користувачам у лізі, списку «Студій-засновниць», Corenta Lab і «Відкрий для себе», обмежуються зазначеними в таблиці вище. У цих функціях дані про здоровʼя клієнтів не обробляються (докладніше: B.3-A). У межах запрошення студій, «Студії-засновниці» та Lab грошові винагороди й знижки не надаються; винагороди — це внутрішні права в застосунку, як-от 7-денний Boost, строк пробного періоду та кредити.

C.3. Одержувачі та транскордонна передача

Supabase (хостинг; Німеччина/Франкфурт), Vercel (вебпанель), Google (електронна пошта Google Workspace, Firebase Cloud Messaging, Google Play) та Apple (APNs, App Store). Передача цим постачальникам є транскордонною; її підставу та поточний стан пояснено в абзаці «Транскордонна передача» в B.5 (для цих потоків, у яких Corenta є володільцем персональних даних, використовуватиметься стандартний договір Модуля 2 — від володільця до розпорядника; на дату цього тексту його ще не підписано).

C.4. Комерційні електронні повідомлення

Teta Studio надсилає рекламні листи та листи про акції, лише за наявності твоєї окремої згоди, наданої позначенням прапорця, не позначеного за замовчуванням. Teta Studio не надсилає рекламних листів без реєстрації в Системі керування повідомленнями (İYS); після реєстрації згоди завантажуються до İYS протягом 3 робочих днів. Кожне рекламне повідомлення містить відомості про відправника, контактні дані та безоплатне посилання для відмови. Листи про пробний період, запрошення до команди та листи підтримки є службовими повідомленнями й не містять рекламних елементів.

C.5. Зберігання, права та звернення

Строки зберігання зазначено в veri-saklama-imha-politikasi.md. Із записів, доданих 18 жовтня 2026 р., хеші повторного пробного періоду, записи ліги, запрошень, «Студії-засновниці» та Lab зберігаються до остаточного видалення облікового запису відповідної студії; записи про пристрої — до остаточного видалення облікового запису користувача. Окремий максимальний строк для цих записів поки не встановлено, і його буде додано до політики зберігання. Свої права за ст. 11 KVKK (A.8) ти можеш здійснити, звернувшись на адресу hello@corenta.app; на звернення відповідають безоплатно у строк не пізніше 30 днів.

ЗАГАЛЬНІ ПОЛОЖЕННЯ (застосовуються до обох частин)

G.1. Автоматизоване ухвалення рішень і профілювання

Corenta не здійснює профілювання з рекламною чи маркетинговою метою. Однак із 18 жовтня 2026 р. такі правила працюють автоматично й можуть спричинити обмежений несприятливий результат для відповідної особи чи студії:

Позначка повторного пробного періоду не є автоматизованим рішенням: збіг не блокує пробного періоду, а лише спрямовується на розгляд адміністраторові платформи. Відповідно до ст. 11/1-g KVKK за тобою зберігається право заперечувати проти настання несприятливого для тебе результату внаслідок аналізу даних виключно автоматизованими системами.

G.2. Оновлення Інформаційного тексту

Цей Інформаційний текст може оновлюватися у звʼязку зі змінами законодавства, рішеннями Ради із захисту персональних даних, функціональним розвитком Платформи або зміною суброзпорядників/постачальників послуг. Актуальна версія завжди доступна за адресою corenta.app/legal/kvkk-aydinlatma-metni та на екрані документів у застосунку. У контексті продукту SaaS (Частина B) у разі зміни версії інформаційного тексту під час наступного входу в користувача запитують підтвердження того, що він прочитав новий текст; це не згода, а доказ інформування (див. B.2).

G.3. Застосовне законодавство та юрисдикція

Цей Інформаційний текст підготовлено в межах Закону № 6698 про захист персональних даних і відповідних підзаконних актів (Положення про видалення, безповоротне знищення або анонімізацію персональних даних; Положення про Реєстр володільців персональних даних; Комюніке про порядок і принципи виконання обовʼязку з інформування; Комюніке про порядок і принципи звернення до володільця персональних даних). До тлумачення та застосування цього тексту застосовується право Турецької Республіки; спори належать до компетенції Ради із захисту персональних даних і компетентних турецьких судів/органів виконавчого провадження.

G.4. Контакти

З будь-якими питаннями, запитами та зверненнями щодо обробки персональних даних:

• Електронна пошта: hello@corenta.app
• Підтримка: support@corenta.app
• Територія надання послуг: Corenta пропонується по всьому світу через App Store і Google Play у країнах, де працюють ці магазини. Цей текст є інформуванням у межах Закону № 6698; для осіб у ЄС/ЄЕЗ додатково застосовується Заява щодо GDPR, а імперативні норми про захист даних країни, де ти перебуваєш, зберігають силу.
• Корпоративний сайт: corenta.app

Дата набрання чинності / останнє оновлення: 19 жовтня 2026 р. Версія: 2.3 · 19 жовтня 2026 р. Журнал змін наведено на початку документа.