CORENTA — 数据保存与销毁政策

本译文仅为方便阅读和提供信息而编写，本身不具有法律效力；具有法律约束力的是土耳其语原文。

无账号学员的删除： 场馆管理员的“删除”操作视为一项请求；记录立即从活跃列表中移除，30 天后，身份/联系信息以及学员的健康字段（血型、过敏、慢性病况、用药）将被删除/清空（见 5.0）。下文关于账号删除的一般说明，在这一特定范围内不应被解释为必须永久删除学员行。健康问卷、测量、课程笔记和财务记录仍适用其各自的保存规定。

生效日期／最后更新： 2026年10月19日 版本： 1.9 数据控制者／发布者： Mertcan Demir — 以“Teta Studio”商号经营的个体经营者

变更记录

• 1.9 — 2026年10月19日： 第14节中“仅限土耳其”的表述改为全球提供；保存期限未变。
• 1.8 — 2026年10月19日： 正式发布版本；生效日期为 2026年10月19日。第4节新增场馆群组消息及为团队审核而保留的消息副本一行（第12行）；第7节的定期销毁清单相应扩展；从 1.3 表中删除了留空的 MERSİS 和 KEP 信息。
• 1.7 — 2026年10月11日： 根据 2026年10月11日的合规审查（F01、F02、F08、F11、F13、F19、F21）：删除了 §11 中“Supabase/法兰克福不属于跨境传输”的表述，跨境传输一节按照第6698号法律第9条 2024 年之后的条文撰写（标准合同尚未签署）；健康/临床/财务记录的“匿名”表述更正为切断与个人关联后的受限保存（课程笔记的自由文本不作修改）；同意证据一行的法律依据更正为第5条第2款e项（删除了对第20条第2款的错误援引）；抢先体验表单一行根据告知与商业信息同意的分离加以更新；为没有自动销毁的类别新增 6 个月定期销毁原则；身份信息更正为个体经营者；VERBİS 一节按委员会 2025 年的决定撰写。
• 1.6 — 2026年10月10日： 从子处理者/处理者记录中删除 Expo（Expo Push Notification Service）；推送通知仅通过 Apple（APNs）和 Google（FCM）发送，Expo/EAS 仅为应用构建工具，不处理终端用户数据。
• 1.5 — 2026年10月10日： 删除了有关选用 Google Analytics 的表述；明确不使用第三方分析工具，并明确推送处理者。
• 1.4 — 2026年10月4日： 将现有文本确定为批准版本。本版本仅纳入以下内容：账号删除（访问立即终止，个人信息被删除/匿名化，依法需要保存的付款记录以去身份方式保存；没有撤销期）；30 天期满时删除学员健康字段；孤立收据 7 天期限；支持模式下学员联系信息保持隐藏；去身份的服务器端统计；服务邮件和 Google Workspace；推送处理者；支持地址；市场（土耳其）。
• 1.3 — 2026年7月7日（2026年8月4日更新）：此前版本。

关于数据控制者／数据处理者身份的重要说明： 本数据保存与销毁政策（“本政策”）规定：在以“Teta Studio”商号作为个体经营者经营的 Mertcan Demir（“Corenta”、“Teta Studio”、“公司”）开发和运营的 Corenta 软件服务（“服务”或“应用”）范围内处理的个人信息将保存多长时间、确定这些期限所依据的标准，以及在保存期限届满或处理原因消失时，这些数据将以何种方法被删除、销毁或匿名化。

本政策依据第6698号《个人数据保护法》（“KVKK”）、《个人数据删除、销毁或匿名化条例》（“条例”）及其他相关法规编写，是 Corenta 个人信息处理清单不可分割的组成部分。本政策应与详细说明数据处理目的和法律依据的相关告知文本/隐私政策一并阅读；本文件仅规定保存期限和销毁程序，并不旨在单独履行 KVKK 第10条规定的全部告知义务。

1. 目的和范围

1.1. 目的

本政策的目的，是说明确定 Corenta 所处理的个人信息为其处理目的所需最长期限的标准、法规规定期限的适用，以及删除、销毁或匿名化保存期限已届满的个人信息的程序和原则。本政策以 KVKK 第5条、第6条、第7条、第10条、第11条和第12条的规定以及条例的相关条款为基础编写。

1.2. 范围和角色划分 — 重要提示

本政策涵盖 Corenta 以两种不同身份处理数据的两个独立领域；这一区分在本政策中始终一致地适用，并直接影响保存期限表的解读方式：

(a) 公司网站情境（corenta.app — 抢先体验/演示申请表单）： 就对产品感兴趣的潜在商家客户通过抢先体验申请表单提交的个人信息而言，Corenta/Teta Studio 依照 KVKK 第3条直接以数据控制者身份行事。

(b) SaaS 产品情境（app.corenta.app）： 就通过订阅使用 Corenta 平台的临床普拉提、物理治疗、核心床、健康养护/按摩和瑜伽中心（“租户”、“商家”或“场馆”）为其自身学员（“作为数据主体的学员”）录入平台的个人信息（联系信息、健康问卷、课程笔记、预约/课程包数据等）而言，场馆依照 KVKK 第3条是数据控制者；Corenta/Teta Studio 仅以数据处理者身份，按照场馆的指示提供技术基础设施服务。对学员的告知义务、取得明确同意以及有关学员数据的最终保存/销毁决定，属于场馆的法律责任。Corenta 在产品内从技术上便利这些义务的履行（同意记录机制 consent_logs、移动端 KVKK 确认屏幕 kvkk.tsx、审计跟踪），但不接管或承担场馆的 KVKK 合规义务。本政策中就该情境说明的保存期限，表示 Corenta 以数据处理者身份在其基础设施中实际保存这些数据的时长；最终的销毁决定和期限，可能根据场馆的指示及其所适用的法规而确定。

本政策还在一般原则层面涵盖 Corenta 员工、业务合作伙伴和供应商个人信息的保存/销毁流程；但本政策的主要关注点是上文 (a) 项和 (b) 项所定义的客户/学员数据。

1.3. 数据控制者／数据处理者信息

1.4. 依据的法规

• 第6698号《个人数据保护法》，
• 《个人数据删除、销毁或匿名化条例》（日期为 28.10.2017、第30224号官方公报），
• 《个人数据删除、销毁或匿名化指南》以及个人数据保护委员会（“委员会”）的决定，
• 第6102号《土耳其商法典》（商业账簿和文件的保存），
• 第213号《税收程序法》（财务记录的保存），
• 其他相关行业法规（在适用范围内，包括有关提供医疗服务的法规）。

2. 定义

3. 确定保存和销毁期限的标准（KVKK 第5条、第6条）

3.1. 需要保存的原因

在 Corenta，个人信息仅在相关法规明确规定的期限内，或在其处理目的所需的期限内保存。确定保存期限时，以下列标准为依据：

1. 是否存在法定保存义务？（例如，《土耳其商法典》《税收程序法》对财务记录规定的最短保存期限。）
2. 数据为何种目的处理，该目的是否仍然有效？（KVKK 第5条第2款 — 目的限制原则。）
3. 是否为订立/履行合同所必需？（例如，订阅/服务关系存续期间的预约和课程包数据。）
4. 是否为设立、行使或保护某项权利（作为可能的法律争议中的证明手段）所必需？（考虑《债务法》规定的一般时效期间。）
5. 是否存在数据主体的明确同意，该同意是否仍然有效？
6. Corenta 或场馆是否存在正当利益？（例如，安全日志、发现欺诈/滥用。）
7. 数据是否属于敏感（健康）数据类别？ 如是，依照 KVKK 第6条适用更严格的访问限制和理由说明；保存期限绝不超出目的范围延长。

如上述标准均不要求保存某项个人信息，该数据将立即被删除、销毁或匿名化。

3.2. 需要销毁的原因

在下列情形下，个人信息将应相关人员的请求，或由 Corenta/场馆依职权删除、销毁或匿名化：

a) 作为处理依据的法规条款被修改或废止； b) 需要处理或保存的目的消失； c) 在以明确同意为基础的处理中，数据主体撤回同意； d) 数据主体在 KVKK 第11条规定的权利框架内提出删除/销毁请求，且该请求被认为适当（账号删除请求）； e) 个人信息的保存期限届满，且不再存在任何需要保存的法律原因； f) 合同从未订立、无效、被终止或被撤销； g) 账号删除请求按照本政策第5条规定的流程最终完成。

4. 数据类别、保存期限和销毁方法表

下表列出了在 Corenta 基础设施中处理的主要个人信息类别、保存期限、理由以及期满时适用的销毁方法。除另有明确说明外，一般规则为：“相关账号/记录有效期间 + 自账号删除请求受理之日起 30 天。” 本表应与第5节所述的账号删除流程一并阅读。对于某些类别，该流程在 30 天期满时的步骤不是 DELETE（永久删除），而是匿名化 — 相关行和第6.2节明确说明了这一区分。

<div style="overflow-x:auto">

</div>

注 1： 上表中“账号/租户有效期间”的表述，指相关场馆的 Corenta 订阅持续且学员记录未被场馆删除的期间。场馆何时删除其学员的数据，由场馆（以数据控制者身份）根据其自身的 KVKK 政策以及与学员的关系确定；Corenta 为此流程提供技术手段。

注 2： 第7行（审计跟踪记录）的 2 年和第8行（同意记录）的 5 年，是 Corenta 确定的固定保存期限（与第6行的《土耳其商法典》/《税收程序法》期限不同，并非直接以法规条款为依据；而是在 KVKK 第5条第2款f项的正当利益和举证义务框架内确定、自我约束的承诺）。系统中目前没有在这些期限届满时运行的自动保存期满删除机制 — 期满时以人工方式进行删除/匿名化，启用自动化后本政策将予以更新。第9行（抢先体验表单数据）的“最长 2 年”表述范围不同，如其所在行所述，表示一个单独的法律上限。

5. 账号删除流程 — 端到端运作

为在技术上满足数据主体依据 KVKK 第11条提出的删除请求，Corenta 实施兼顾用户体验与数据安全/法律举证需要的两阶段删除架构：即时软删除（soft-delete）以及随后的 30 天期满时永久删除。

5.0. 2026年10月4日的变更 — 与 5.1–5.7 冲突之处，以本条为准

账号删除（截至 2026年10月4日）： 删除请求确认后，对账号的访问立即终止（会话被终止，无法登录）；个人信息被删除或匿名化（姓名、电子邮箱、电话、图片以及学员身份/联系信息和健康字段 — 血型、过敏、慢性病况、用药 — 被清除）；依法需要保存的付款和报酬记录不会被删除；会在切断与个人的关联后，以受限访问的方式保存。 请求提出后没有撤销期；身份验证记录和文件的永久删除在现有的三十天后台流程中完成。

学员记录的删除和健康字段（截至 2026年10月4日）： 商家删除没有账号的学员记录时，该记录立即从活跃列表中移除；30 天后，学员的健康字段（血型、过敏、慢性病况、用药）也将与身份和联系信息一并被删除/清空。 健康问卷、测量和课程笔记的保存规则不受本条影响。

收据文件（截至 2026年10月4日）： 未关联到任何付款的（孤立）收据文件在 7 天后自动删除；已关联到付款的收据，任何角色都不能删除。

支持模式下的学员联系信息（截至 2026年10月4日）： 在 Corenta 支持（超级管理员）会话中，学员的电子邮箱和电话信息不向支持人员显示；支持人员只能看到有限的身份摘要（姓名、账号状态、是否有效、创建日期）。

健康字段的写入权限（截至 2026年10月4日）： 学员的健康字段（血型、过敏、慢性病况、用药）只能由学员本人及为其指派的专员写入；商家负责人/管理员不能写入这些字段（可编辑紧急联系人和身份字段）。

假名化产品统计： 为改进产品，仅可在服务器端以场馆假名标识统计汇总的使用事件；该统计不包含 IP 地址、健康数据或来源/广告跟踪。场馆假名标识属于假名（并非无身份）。该功能目前处于关闭状态。

5.1. 第 1 阶段 — 即时软删除（Soft-Delete）

用户在应用内确认账号删除请求时，系统同时且即时执行以下操作：

1. 通过填写 deleted_at 字段，将用户的个人资料记录设为停用；账号不再可供正常使用/不可见，也无法用于登录。
2. 用户待进行（尚未发生）的预约被自动取消。
3. 用户作为专员/资源参与的指派（学员与专员的配对、项目指派）被解除。
4. 用户的所有同意被撤回（通过在 consent_logs 记录中填写 revoked_at 字段加以记录）。

在此阶段，数据并未被物理删除，但就正常的处理和显示目的而言已无法访问。这构成 KVKK 第7条和条例意义上“使其无法访问”的删除流程的第一步。

5.2. 第 2 阶段 — 永久删除（30 天后）

软删除操作 30（三十）天后，系统中自动运行的定时任务（cron job）以不可逆的方式执行以下操作：

1. 用户的身份验证记录（auth.users）被永久且不可逆地删除。
2. 与用户相关联的数据库记录按类别区别处理：不具有独立业务/证明价值的记录（例如通知）被永久删除（DELETE/cascade）；而健康数据（anamnesis_forms、session_notes、measurements）以及临床/财务记录（payments、attendance、consent_logs）不被删除，而是切断与个人的关联 — 个人关联在数据库层面被切断，部分自由文本字段被清除，记录作为租户中已切断个人关联的记录以受限访问方式保留（由于课程笔记的自由文本不作修改，不被视为匿名）（见第4节第2-5行、第8行、第10行和第6.2节）。
3. 该操作仅在系统的特权（受 service-role 保护的）后台流程中自动触发；包括行政人员在内的任何用户或商家管理员，都不能通过正常的产品界面手动启动、提前触发或停止该流程 — 这是为防止因失误或滥用而提前/延迟删除而有意采用的安全设计。（该保障涵盖产品的正常用户和管理界面；可能在系统特权基础设施层面直接访问数据库的技术运维流程，不在该保障范围内，并受单独的内部访问控制约束。）

30 天后台流程的目的（截至 2026年10月4日）： 由于对账号的访问在提出删除请求时即已终止，该期间不提供撤销/反悔的机会；而是用于完成身份验证记录和文件的永久删除以及审查可能的滥用。该期间是符合 KVKK 第5条比例原则的合理且有限的期间。可就删除请求的状态联系 hello@corenta.app。

5.3. 例外：负有法定保存义务的数据

上述 30 天永久删除流程，不涵盖第4节表第6行（订阅/交易元数据）所列、依《土耳其商法典》/《税收程序法》负有法定保存义务的记录。即使账号被永久删除，这些记录也将在相关法定保存期限届满前，与个人信息处理目的分离、仅为履行法定义务而以受限访问方式另行保存。同样，审计跟踪记录（audit_logs）以及同意记录中用于举证的最小核心部分（见第4节第7-8行），也可能基于正当利益/法律举证理由，在该 30 天期间之外、为单独且有限的目的继续保存。该例外范围内的期限不对应系统中自动实施的技术机制，已在第4节注 2 中明确说明。

5.4. 关于已存储文件附件的特别说明（重要 — 透明度）

根据透明原则，在此明确说明：在永久删除操作中，数据库记录（个人资料、预约、指派、同意等）被完全删除或（对于健康/临床/财务记录，见第6.2节）匿名化；而属于用户、保存在单独存储（Storage）区域中的文件附件按以下方式处理：头像/个人资料照片、附加到健康问卷的文件/照片以及付款凭证图片，作为永久删除步骤的一部分，自动（best-effort）从 Storage 删除 — 这是系统中目前实际运行、经过核实的行为。如某个存储桶中的删除操作失败，该情况会被记录日志；但不妨碍其他存储桶的清理或账号的匿名化/永久删除步骤（best-effort 设计）。

如实说明的边界： 唯一不在该自动流程范围内的文件类别，是在专员/独立注册流程中上传的身份/文凭验证文件（specialist-verification-docs 存储桶）。这些文件在技术上不与用户关联，而与相关租户（场馆）的验证流程关联，且在数据库记录中不含用户引用；因此无法自动纳入当前的用户账号删除流程。该文件的销毁将在相关场馆于租户层面关闭账号/订阅的流程中另行处理（见第5.6节）；在此之前，对于例外请求，通过 hello@corenta.app 进行人工评估。

因此，本政策不作出账号删除请求将使“属于用户的所有数据/文件被完整且即时删除”的绝对承诺（特别是关于备份中的技术残留，见第6.3节；以及上述例外）；但就上文所述的文件类别而言，自动删除已在实际实施。

5.5. 关于健康数据的特别说明

健康问卷、课程笔记和测量记录等敏感健康数据，同样适用上述一般删除流程（软删除 → 30 天 → 永久删除）；但如第4节第2-4行和第6.2节所述，在这些表中，永久删除步骤通过切断个人关联和部分清理实施 — 记录不被 DELETE，个人关联被切断，部分自由文本字段被清除；临床记录（特别是 append-only 的课程笔记内容）作为租户中已切断个人关联的记录以受限访问方式保存，不被视为匿名。此外，由于该数据类别与场馆以数据控制者身份保存的记录交织在一起，学员的账号/数据删除请求可能与场馆自身的法定保存义务（例如可能源于有关提供医疗服务的法规的记录保存要求）相冲突；切断个人关联和受限保存的方法，旨在平衡这两项义务（学员对个人信息的权利与场馆的记录保存义务）。在此类情形下，最终决定者是作为数据控制者的场馆；Corenta 按照场馆的指示行事。

5.6. 场馆（租户）层面的删除

如场馆完全终止其 Corenta 订阅，对于属于该场馆的租户数据以及该租户下的所有学员记录，同样适用相同的两阶段架构（软删除 → 30 天 → 永久删除）。由于场馆是其学员的数据控制者，在终止订阅前，场馆有义务在其自身 KVKK 义务框架内告知其学员；该义务不能转移给 Corenta。

5.7. 与超级管理员支持模式（代入）的关系

账号删除和保存流程独立于 Corenta 的支持/代入机制运行。代入会话有时间限制（30 分钟），默认只读；访问健康数据类别（健康问卷、课程笔记、测量）需要单独的批准步骤（health_data_enabled），且在任何条件下都不允许通过代入对这些表进行写入/删除操作（RLS 策略中未为代入设置任何例外）。说明： 此处的限制涉及由支持人员登录并手动操作的人工触发代入会话；第5.2节所述的自动（无人工干预）service-role cron 流程是与该限制分开的一层，不受其影响 — 代入限制不妨碍账号删除流程中的自动永久删除机制，也不应与之混淆。因此，账号删除/销毁流程仅通过本政策所定义的自动机制进行。

6. 销毁方法

依照条例第8条及其后各条的规定，按记录介质适用的删除/销毁/匿名化方法说明如下。

6.1. 删除

是使个人信息对相关用户（包括应用用户和有管理后台访问权限的员工）完全无法访问且无法再次使用的操作。在 Corenta，该方法在第 1 阶段软删除流程中适用：即使数据未从数据库中物理移除，也通过访问权限和界面使其完全无法访问。

6.2. 销毁（永久删除）

是使个人信息对任何人都完全无法访问、无法恢复且无法再次使用的操作。在 Corenta 的第 2 阶段永久删除流程中，该原则按数据类别以两种不同的技术方法实现：

• 身份验证记录和不具有独立业务价值的记录： 用户的身份验证记录（auth.users）在受 service-role 保护的自动流程中直接以 DELETE 不可逆地删除；账号删除后单独不具有业务/证明价值的关联记录（例如通知，notifications — 见第4节第10行）在数据库层面通过 ON DELETE CASCADE 一并删除。
• 健康、临床和财务记录： 对于 anamnesis_forms、session_notes、measurements、payments、attendance 和 consent_logs，永久删除步骤不是 DELETE 记录，而是通过切断个人关联和部分清理（见第6.6节）实施：识别个人的外键列（client_id、specialist_id、user_id 等）通过 ON DELETE SET NULL FK 约束不可逆地置为 NULL；可能包含明确身份或自由文本 PII 的内容列（健康问卷答案、测量/付款自由文本备注、付款收据引用、同意记录的 IP 地址）由 anonymize_user_relations() 函数（仅可由 service-role 调用，默认拒绝）清除或替换为匿名标记。而临床/财务的数值和时间性内容（日期、金额、测量值、剩余课时余额、到/未到状态、同意的作出/撤回时间），基于场馆的记录保存义务以及（对课程笔记而言的）append-only 原则，作为租户中已切断个人关联的记录继续保存；由于课程笔记的自由文本不作修改，这些记录不被视为匿名，并以受限访问方式保存。

在课程笔记（session_notes）中，append-only 限制不允许修改内容；仅为将个人关联列（client_id、specialist_id）置为 NULL 设置了一个狭窄的单一目的例外 — 笔记内容本身在该流程的任何阶段都不被删除或修改。

边界： 对于自由文本字段中明确身份列以外可能出现的文本内个人信息（例如课程笔记正文中出现的姓名），没有扫描/清理机制。因此，这些记录不被视为匿名；作为个人信息以受限访问方式保存，并在期满后销毁。

上述两种方法均受 service-role 保护，因此无法通过正常的产品界面触发或撤销。

6.3. 从备份（Backup）中删除

数据库备份在常规备份周期（轮换）框架内，经过一定期间后自动被覆盖/销毁。虽然永久删除操作在主数据库中即时生效，但在此明确说明：在此前已生成的备份中，数据可能在备份提供方（Supabase）的标准备份轮换期限届满前，在技术上继续存在。这是相关子处理者（Supabase）数据处理协议（DPA）范围内的标准做法。

6.4. 文件存储（Storage）区域中的附件

用户上传的头像图片、付款收据和健康问卷附件等文件，保存在单独的存储（Storage）区域中。见第5.4节 — 该节已详细且透明地说明这些内容在账号删除流程中的现状（头像/健康问卷附件/付款收据自动删除，specialist-verification-docs 为唯一例外）。

6.5. 纸质介质中的数据

在 Corenta SaaS 产品范围内处理的个人信息以数字形式保存；不预期在纸质介质中处理个人信息。如公司的商业/行政往来中例外地使用纸质介质，销毁将通过涂黑/焚烧/使用碎纸机不可逆地粉碎的方法进行。

6.6. 匿名化

作为账号永久删除流程的一部分（见第6.2节），Corenta 对健康数据和临床/财务记录采用切断个人关联和部分清理的方法。由于课程笔记的自由文本不作修改，且在小型商家中日期和测量序列可能足以重新识别个人，该方法并非在所有情况下都满足下述匿名化标准；这些记录不被视为匿名，作为个人信息以受限访问方式保存，并在期满后销毁。除此之外，Corenta 还可为产品开发、统计分析或市场研究目的，使用以无法与已识别或可识别的自然人相关联的方式匿名化的数据。匿名化操作要求使数据即使与其他数据合并，也不可逆地无法与个人相关联；未达到该标准的遮蔽/假名化操作不视为匿名化，仍适用个人信息处理制度。匿名化数据被视为不在 KVKK 范围内，不受本政策中保存期限限制的约束。

6.7. 方法的选择

所适用的销毁方法，由 Corenta 和/或场馆在考虑数据的性质（是否为敏感数据）、保存介质（数据库、文件存储、日志系统、备份系统）、法律和技术条件以及委员会决定和条例中规定的原则的基础上确定。在销毁敏感个人信息（包括健康数据）时，予以最大程度的注意。

7. 定期销毁流程

依照条例第11条，Corenta 有义务依职权（无需等待请求）删除、销毁或匿名化保存期限已届满和/或处理目的已消失的个人信息；在此范围内规定的定期销毁期限不得超过 6（六）个月。 在此框架下，就系统中目前实际运行和未运行的机制，明确作出如下区分：

1. 账号删除请求后的 30 天永久删除流程，由自动定时任务（cron job）定期（每天）扫描，期满的账号被批量处理。这是系统中目前实际运行、经过核实的自动化。
2. 为审计跟踪记录（audit_logs）规定的保存期限会定期审查；但目前尚未实施自动执行该审查的删除机制（见第4节第7行）。
3. 为抢先体验表单数据确定的最长保存期限（见第4节第9行），是条例第11条下定期销毁义务的法律上限参照；但系统中目前没有与该期限对应、自动运行的扫描/删除机制。在启用自动化之前，该数据类别的删除/匿名化操作以人工方式并依请求评估（见第4节注 2）。该事项与其他未经核实的自动化声明（见第 2 项和第 4 项）保持一致的透明度。
4. 另行自动、定期清理过期/无效推送通知令牌，是产品路线图中计划的一项改进；尚未从技术上核实该机制目前在系统中实际运行（见第4节第10行）。核实或启用后，本政策将予以更新。
5. 6 个月定期销毁： 对于本节中没有自动销毁的类别（审计跟踪、已切断个人关联的许可证据、抢先体验表单数据、专员验证文件、群组消息管理副本），Corenta 每 6 个月实施一次定期销毁，并为每个周期编制销毁记录。尚无使这些周期自动化的定时任务；周期以人工方式进行。

定期销毁流程独立于本政策所述期限，不妨碍数据主体依照 KVKK 第11条提出的个人删除/销毁请求；即使保存期限尚未届满，如相关处理活动的法律依据已经消失（例如撤回同意），数据主体也可提出删除请求。对于尚未实施自动化的类别，数据主体的个人请求通过 hello@corenta.app 提交后，同样以人工方式评估并办结。

8. 数据主体的权利和申请程序（KVKK 第11条）

8.1. KVKK 第11条规定的权利

依照 KVKK 第11条，数据主体享有以下权利：

1. 了解其个人信息是否被处理，
2. 如其个人信息已被处理，要求获取相关信息，
3. 了解个人信息的处理目的以及是否按照其目的使用，
4. 了解在国内或国外接收其个人信息的第三方，
5. 如个人信息处理不完整或不正确，要求予以更正，
6. 在 KVKK 第7条框架内要求删除或销毁个人信息，
7. 要求将依照上文第 (5) 项和第 (6) 项所进行的操作通知接收其个人信息的第三方，
8. 对完全通过自动化系统分析所处理的数据而产生的对其不利的结果提出异议，
9. 如因个人信息被违法处理而遭受损害，要求赔偿损害。

8.2. 当前技术实施情况的如实摘要

以下事项作为当前技术实施情况的如实且切合实际的摘要予以说明：

• 删除请求（账号删除）： 可直接从移动应用内的相关设置菜单提出；该请求通过第5节所述的两阶段流程（即时软删除 → 30 天 → 永久删除）自动处理（第11条第6项）。
• 信息请求／数据可携带性： 通过在合理期限内，以结构化、机器可读的格式向数据主体提供其自身租户范围内的数据加以满足（export_user_data 函数，租户范围已经核实）。该流程的交付机制（文件格式、交付方式、签名下载链接等特性）正在持续完善；本政策不就特定交付期限或特定文件/访问格式作出承诺（第11条第1-2项）。
• 向第三方传输的信息（第11条第4项）： 关于接收个人信息的境内/境外第三方/子处理者的信息，见本政策第11节（子处理者和数据本地化）的表格。
• 更正请求（第11条第5项）： 在技术上可通过场馆的管理后台以人工方式进行；没有单独的自动化“更正请求”工作流。在 SaaS 产品情境中，有关学员数据的更正请求应首先向相关场馆提出；Corenta 以数据处理者身份，按照场馆的指示提供技术支持。
• 通知第三方（第11条第7项）： 将删除/更正操作通知已接收数据的第三方的请求，通过申请程序中所列渠道提交后予以评估；该流程目前并非自动进行，而是以人工方式开展。
• 对自动化决策/画像的异议（第11条第8项）： 系统中不存在通过完全以自动化系统分析所处理数据而对数据主体产生不利结果的自动化决策或画像活动；因此，目前无需为该项设置实际运行的单独异议机制。
• 依照 KVKK 第13条，申请将最迟在 30 天内免费办结（如处理另需费用，可按委员会确定的收费标准收取费用）。

8.3. 申请程序

有关上述权利的请求，可通过：

• hello@corenta.app 电子邮箱地址，
• 应用内相关设置/支持屏幕，
• 或 KVKK 规定的其他方式，

提交给 Corenta。

关于学员数据的重要说明： 如果你是某家场馆的学员，并希望就你的数据提出请求，你应首先向相关场馆（数据控制者）提出申请；因为就学员数据而言，场馆是最终决定者和相对方。Corenta 以数据处理者身份，按照场馆的指示提供必要的技术工具（数据查看、导出、删除功能）。

9. 角色与职责

10. 安全措施（保存期间）

个人信息在保存期间通过以下技术和管理措施加以保护（KVKK 第12条）：

• 在多租户（multi-tenant）架构中，通过要求每张表都有 tenant_id 以及行级安全（Row Level Security）策略，实施默认拒绝（default-deny）原则（37/37 张表，86 条策略）；由此在技术上防止租户之间的数据泄露。
• 对包含健康数据的表的访问，仅限于相关学员、指派的专员和租户管理员；访问控制在数据库层面（RLS）实施。课程笔记提交后不可修改/删除（append-only）；对于健康问卷，未向任何用户（包括管理员）授予删除权限。
• 超级管理员支持模式（代入）有时间限制（30 分钟），默认只读；写入操作和健康数据访问受单独且需额外批准的步骤约束；在任何代入情形下都不开放对健康数据表的写入访问。（该限制涉及人工触发的代入会话；自动的 service-role cron 流程是单独的一层 — 见第5.7节。）
• 数据传输中使用端到端加密（TLS）；在移动应用中，会话令牌以加密方式保存在设备基于安全硬件的密钥存储（Keychain/Keystore）中。
• 在敏感屏幕上采取了限制截屏的技术措施。
• 超级管理员账号必须使用双重身份验证（2FA/MFA）。
• 架构中已规划并实施对付款通知（webhook）的加密签名验证；在所有环境（包括 prod）中全面完成相关配置/密钥管理的工作仍在进行中。
• 这些安全措施持续接受审查和改进；但任何技术措施都无法保证绝对安全，本政策不作出绝对安全的承诺。

11. 子处理者和数据本地化

在保存期间，个人信息通过以下子处理者/服务提供方处理或托管。与这些提供方签订的合同中，规定了仅为履行特定服务目的处理数据的义务；该关系表示的不是保存期限，而是托管数据的技术环境 — 销毁决定在这些提供方处同样以技术方式实施。下表同时构成对 KVKK 第11条第4项“了解接收数据的第三方”权利的回应：

此外：

• 邮件基础设施： 服务邮件通过 Google Workspace（Google）发送；身份验证邮件由 Supabase Auth 触发。推广邮件仅在另行同意并完成 İYS 登记的前提下发送。推送通知通过 Apple（APNs）和 Google（FCM）发送。
• 分析工具： 不使用第三方分析工具（如 Google Analytics）。应用内产品使用统计目前未启用；如启用，统计数据将写入保存在 Corenta 自有数据库（Supabase，法兰克福/德国）中的第一方表，不含健康数据和自由文本，并将在启用前更新本政策；启用后，统计记录的保存期限将在本政策中说明。
• 错误监控： 不使用第三方错误监控工具；客户端错误记录在 Corenta 自有数据库中。
• 没有通过网页直接以信用卡付款的基础设施；付款仅通过 Apple/Google 应用内购买（IAP）机制进行；最终发票/收据由 Apple/Google 开具（见第4节第6行）。

与上述子处理者的数据共享，仅在提供相关服务所必需的范围内、并在 KVKK 第8条/第9条框架内进行。跨境传输： 上述所有提供方均在土耳其境外处理数据；在德国托管，按照 KVKK 的含义同样属于跨境传输。由于这些传输是定期且持续进行的，因此不以明确同意为依据；将依照第9条第4款c项，以委员会公布的标准合同为依据。截至本文日期，尚未签署标准合同，也尚未向委员会报备； 每份合同将在签署之日起 5 个工作日内向委员会报备，本表将附日期予以更新。委员会尚未就这些国家公布充分性决定（最近核查：2026年10月11日）。本清单可能随服务提供方的变更而更新；最新清单可通过隐私政策和/或 Corenta 产品内的相关告知屏幕查阅。

12. VERBİS 登记

截至本文件日期，Teta Studio 尚未在 VERBİS 登记。登记义务正依据委员会第2025/1572号（对于主营业务为处理敏感数据的数据控制者，豁免门槛为年度 10 名员工和 1000 万土耳其里拉资产负债表总额）和第2025/2393号（对于不按资产负债表制记账者，以员工人数为标准）决定中的标准进行评估。由于 Teta Studio 不是以数据控制者身份，而是以数据处理者身份处理临床健康数据，因此就其自身的数据控制者活动（A 部分和 C 部分）而言，按这些标准进行评估。书面评估说明和个人数据保护机构（ALO 198）的确认完成后，本节将附日期和理由予以更新；如需登记，将在继续开展活动之前完成。

按角色的说明： VERBİS 登记义务，是就 Corenta 以数据控制者身份行事的公司网站（corenta.app 抢先体验表单）情境进行评估的，其状况已在上文说明。在 SaaS 产品情境中（app.corenta.app），由于学员数据的数据控制者是场馆，是否存在 VERBİS 登记义务，应由每家场馆根据其自身标准（员工人数、年度数据处理量、业务领域、委员会的豁免决定等）单独且独立地评估；该评估以及（如有的）登记义务属于场馆，不能转移给 Corenta。

13. 政策的更新

本政策可能根据法规变更、委员会决定、Corenta 技术基础设施中将进行的改进（例如：第4节第3行和第6.2节所述在课程笔记自由文本内容中增加文本内 PII 扫描；将第5.4节/第4节第11行所述的专员验证文件（specialist-verification-docs）与租户关闭流程关联；核实/启用第4节第10行和第7节第 4 项所述的推送令牌清理；为第7节第 3 项所述的抢先体验表单数据建立自动扫描机制；完善第8.2节所述的数据可携带性流程；完成第11节中跨境传输的法律依据；子处理者清单的变更）或业务流程的变更而更新。最新版本发布在 Corenta 的相关平台（公司网站和/或应用内），对于与此前版本相冲突的条款，以最新版本为准。发生重大变更时，在适用的范围内，另行告知用户/场馆。

14. 联系方式

如对本政策或个人信息的保存/销毁有任何疑问：

电子邮箱： hello@corenta.app 数据控制者： Mertcan Demir — 以“Teta Studio”商号经营的个体经营者 支持： support@corenta.app 服务区域： Corenta 通过 App Store 和 Google Play，在这些应用商店提供服务的国家面向全球提供。本政策中的期限适用于各国的用户；如某国的强制性法规规定了更短的删除期限或更长的保存义务，则适用该规定。

最后更新：2026年10月19日 版本 1.9 · 2026年10月19日