Gizlilik politikası ve KVKK aydınlatma metni

1. Kim veri sorumlusudur?

Klinik ekip üyelerinin hesap bilgileri (ad, e-posta, telefon) ve SinaRoute web sitesini ziyaret edenlerin verileri için veri sorumlusu Şirket'tir.

Kliniklerin hastaları, hasta adayları ve kliniğe mesaj yazan kişilerle ilgili veriler için veri sorumlusu ilgili klinik; Şirket ise kliniğin talimatıyla ve yalnızca hizmeti sunmak için bu verileri işleyen veri işleyendir. Bu kişiler haklarını öncelikle ilgili kliniğe karşı kullanır; Şirket'e gelen başvuruları ilgili kliniğe iletir.

2. Hangi verileri işliyoruz?

• Hesap ve kimlik bilgileri: ad soyad, e-posta, telefon, şifrenin geri döndürülemez özeti, iki adımlı doğrulama bilgisi, rol ve yetkiler.
• Kullanım ve güvenlik kayıtları: giriş zamanı, IP adresi, tarayıcı ve cihaz bilgisi, yapılan işlemlerin denetim kaydı.
• Kliniğin girdiği iş verileri: hasta kartı, randevu, teklif, satış ve tahsilat, onam formu, notlar ve dosyalar (kliniğin sorumluluğunda, sağlık verisi içerebilir).
• Mesajlaşma verileri: klinik WhatsApp, Instagram, Messenger ya da Gmail hesabını bağladığında, kliniğe gelen ve klinikten giden mesajlar, ekler, gönderenin profil adı, kullanıcı adı ve telefon numarası.
• Reklam ve başvuru verileri: klinik Meta, Google Ads ya da TikTok reklam hesabını bağladığında, başvuru formu yanıtları, kampanya / reklam seti / reklam adları ve günlük harcama tutarları.
• Ödeme bilgileri: abonelik faturası ve ödeme durumu. Kart bilgileri ödeme kuruluşunda (iyzico) işlenir; Şirket kart numarası saklamaz.

3. Meta (WhatsApp, Instagram, Messenger, Facebook) verileri

Klinik, SinaRoute içinden “Bağla” düğmesiyle kendi Meta işletme hesabını açıkça yetkilendirmedikçe Meta'dan hiçbir veri alınmaz. Yetki verildiğinde yalnızca kliniğin seçtiği sayfa, Instagram hesabı, WhatsApp işletme hesabı ve telefon numarasıyla ilgili veriler alınır.

Bu veriler yalnızca şu amaçlarla kullanılır: mesajları kliniğin gelen kutusunda göstermek ve kliniğin yazdığı yanıtları göndermek, randevu hatırlatması gibi kliniğin açtığı mesajları göndermek, başvuru formu yanıtlarını kliniğin başvuru listesine eklemek, reklam harcamasını kliniğin raporlarında göstermek.

Meta'dan alınan veriler satılmaz, reklam hedefleme ya da profil çıkarma için kullanılmaz, kliniğin kendisi ve aşağıdaki hizmet sağlayıcılar dışında kimseyle paylaşılmaz. Erişim belirteçleri şifreli saklanır. Klinik bağlantıyı Entegrasyonlar sayfasından kaldırdığında belirteçler silinir.

4. Google verileri

Klinik ya da ekip üyesi Google Takvim, Gmail, Google İşletme Profili veya Google Ads hesabını bağladığında, SinaRoute yalnızca bağlantının amacı için gereken verilere erişir (takvim etkinlikleri, kliniğin e-posta yazışmaları, işletme yorumları, reklam kampanyaları ve harcamaları).

SinaRoute'nın Google API'lerinden aldığı verileri kullanması ve başka uygulamalara aktarması, Sınırlı Kullanım (Limited Use) koşulları dahil Google API Hizmetleri Kullanıcı Verileri Politikası'na uyar. Bu veriler reklam için kullanılmaz, satılmaz ve yapay zeka modeli eğitmek için kullanılmaz.

5. İşleme amaçları ve hukuki sebepler

• Hizmet sözleşmesinin kurulması ve ifası (KVKK md. 5/2-c): hesap açma, kliniğin verilerini saklama ve gösterme, mesaj gönderme.
• Hukuki yükümlülük (md. 5/2-ç): fatura, vergi ve resmî makam talepleri.
• Meşru menfaat (md. 5/2-f): güvenlik, kötüye kullanımın önlenmesi, hata giderme ve hizmet iyileştirme.
• Açık rıza ya da kliniğin dayandığı hukuki sebep: yurt dışına aktarım gerektiren yapay zeka özellikleri ve pazarlama iletileri (bkz. madde 7).

6. Kimlerle paylaşıyoruz? (hizmet sağlayıcılar)

• Barındırma ve yedekleme hizmeti sağlayıcıları (sunucu, veritabanı, dosya depolama).
• Meta Platforms (WhatsApp Business Platform, Instagram, Messenger), Google ve TikTok: yalnızca klinik ilgili bağlantıyı açtığında.
• SMS, e-posta ve e-Fatura entegratörleri: kliniğin gönderdiği bildirimler ve faturalar için.
• Ödeme kuruluşu (iyzico): abonelik ve kliniğin hastalardan aldığı çevrim içi ödemeler için.
• Yapay zeka sağlayıcısı (Anthropic): yalnızca klinik ilgili özelliği açıp yurt dışı aktarımını onayladığında; telefon, e-posta ve kimlik numarası gönderilmeden önce maskelenir.
• Yetkili kamu kurum ve kuruluşları: hukuken zorunlu olduğunda.

7. Yurt dışına aktarım

Meta, Google, TikTok ve yapay zeka sağlayıcısının sunucuları yurt dışında olabilir. Bu aktarımlar KVKK'nın 9. maddesine uygun olarak (standart sözleşme, yeterlilik kararı ya da açık rıza) ve yalnızca klinik ilgili bağlantıyı ya da özelliği açtığında yapılır. Yapay zeka özellikleri klinik yurt dışı aktarım onayını vermeden çalışmaz.

8. Saklama süresi ve silme

Hesap verileri üyelik süresince ve ardından yasal zamanaşımı süreleri boyunca saklanır. Kliniğin iş verileri, kliniğin belirlediği saklama süreleri boyunca tutulur; süresi dolan veriler gece çalışan işlemle silinir ya da anonimleştirilir. Abonelik sona erdiğinde klinik talep ederse verilerinin kopyası kendisine teslim edilir; ardından klinik verileri silinir: klinik hesabı kapatılınca hemen askıya alınır ve 30 gün sonra kişisel veriler geri dönüşsüz imha edilir; yasal saklama gereken satış ve fatura kayıtları kişisiz kalır. Güvenlik ve denetim kayıtları mevzuatın öngördüğü süre kadar saklanır.

Sektör kıyaslaması: katılan kliniklerin yanıt süresi, başvurudan hastaya dönüşüm, teklif kabulü, randevuya gelmeme, memnuniyet ve geri gelen hasta oranları (hasta, tutar ya da kişisel veri içermez) kimliksiz olarak birleştirilir. Klinikler yalnızca en az 10 klinikten oluşan grubun ortancasını ve çeyreklerini görür, başka bir kliniğin değerini görmez. Klinik katılımı İçgörüler ekranından kapatabilir; kapatınca kayıtları gruptan hemen çıkarılır.

Silme talebi için “Veri silme” sayfasına bakın.

9. Güvenlik

• Aktarımda şifreleme (TLS), dış servis anahtarları ve erişim belirteçleri için alan düzeyinde şifreleme.
• Klinik verilerinin birbirinden ayrılması (veritabanı düzeyinde satır güvenliği), rol ve yetki tabanlı erişim, iki adımlı doğrulama.
• Her değişikliğin ve hasta kartı görüntülemenin denetim kaydı; kayıtlarda hasta verisi maskelenir.

10. Haklarınız

KVKK'nın 11. maddesi uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltilmesini, silinmesini veya yok edilmesini isteme, aktarıldığı üçüncü kişileri bilme, otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme ve zararın giderilmesini talep etme haklarına sahipsiniz. GDPR kapsamındaki kişiler ayrıca veri taşınabilirliği ve işlemeye itiraz haklarını kullanabilir.

Başvurularınızı kvkk@sinaroute.local adresine iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır. Bir kliniğin hastası ya da kliniğe mesaj yazan kişiyseniz başvurunuzu doğrudan ilgili kliniğe yapabilirsiniz; bize gelen başvuruyu kliniğe iletiriz.

11. Çerezler

SinaRoute yalnızca oturumu açık tutmak ve güvenlik için zorunlu çerezleri kullanır. Reklam ya da takip çerezi kullanılmaz. Hastaların açtığı herkese açık sayfalarda (online randevu, onam formu) çerez kullanılmaz.

12. İletişim ve değişiklikler

Veri sorumlusu: [Şirket unvanı], [Şirket adresi], [MERSİS ya da vergi numarası]. E-posta: kvkk@sinaroute.local.

Bu metin değiştiğinde güncel hâli bu sayfada yayımlanır ve önemli değişiklikler klinik yöneticilerine uygulama içinde duyurulur.