KVKK Aydınlatma Metni

1. Genel Aydınlatma

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10 kapsamında, Sanoltra İlaç Kozmetik Ltd. Şti. ("Sanoltra", "Veri Sorumlusu") tarafından geliştirilen ve App Store / Google Play üzerinden sunulan Nöbetçi ("Uygulama") aracılığıyla kişisel verileriniz aşağıdaki çerçevede işlenmektedir.

2. Veri Sorumlusunun Kimliği

• Ticari Unvan: Sanoltra İlaç Kozmetik Üretim Sanayi Ticaret İthalat ve İhracat Limited Şirketi
• MERSİS No: 0461118442100001
• Vergi Kimlik No: 4611184421
• Ticaret Sicil No: 911
• Adres: Karabekir Mah. Cumhuriyet Bulvarı No:56 İç Kapı No:28 Oltu/Erzurum
• KEP: sanoltrakozmetikuretim@hs01.kep.tr
• E-posta: destek@nobetci.doctor
• VERBİS kaydı ve DPO (Veri Koruma Görevlisi) ataması: ilgili kayıt ve atama süreçleri sürmektedir; tamamlandığında bu metne işlenecektir.

3. İşlenen Kişisel Veri Kategorileri

• Kimlik — ad, soyad, e-posta, diploma no (olağan)
• İletişim — cep telefonu (bildirim jetonu; kullanılırsa SMS ile hekim kimlik doğrulamasında tek kullanımlık kod gönderimi — işleyen: Google Ireland Ltd., Firebase Authentication), e-posta (olağan)
• Hekim mesleği — branş, kurum, mezuniyet yılı (olağan)
• Sağlık (hekim olarak yazdığınız vaka) — vaka anlatımı, vital, laboratuvar, EKG (özel kategori, KVKK m.6)
• Müşteri işlem — abonelik bilgisi, ödeme kanalı (olağan)
• Cihaz — IP, cihaz/işletim sistemi, uygulama sürümü (olağan)
• Pazarlama — kampanya tepkisi, segment (olağan)

Hasta kimliği belirleyici bilgi (TC, isim, lokasyon, telefon, hastane numarası) sistemde işlenmez. Kişisel veri filtresi ve manuel moderasyon ile filtrelenir.

4. Veri İşleme Amaçları ve Hukuki Sebepleri

• Hekim hesap oluşturma + kimlik doğrulama — sözleşmenin kurulması (m.5/2-c)
• Klinik karar destek: vaka akışı / EKG ve görüntü değerlendirme — açık rıza (m.6/2, sağlık verisi)
• Meslektaş paylaşımı + yorum — açık rıza + meşru menfaat
• İçerik moderasyonu, kötüye kullanımı engelleme — hukuki yükümlülük + meşru menfaat
• Abonelik + ödeme + faturalama — sözleşme
• KVKK uyum + denetim kaydı — hukuki yükümlülük (5 yıl saklama)
• Hizmet kalitesi iyileştirme (anonim kullanım ölçütleri) — meşru menfaat
• Pazarlama iletişimi — açık rıza (opt-in)
• Hekim doğrulaması (diploma incelemesi) — meşru menfaat
• Maliyet telemetrisi — meşru menfaat

5. Veri Aktarımı

• Firebase (Google) — tüm uygulama verisi · AB (europe-west1) · veri işleme sözleşmesi (DPA) + standart sözleşme maddeleri (SCC)
• Anthropic — paylaşılan içeriğin denetimi · ABD · Sıfır Veri Saklama + standart sözleşme maddeleri
• OpenAI — hekim diploma belgesinin doğrulama için okunması (OCR) · ABD · Sıfır Veri Saklama + standart sözleşme maddeleri
• RevenueCat — hesap + abonelik · ABD · DPA + SCC
• Apple / Google Play — ödeme · ABD · platform koşulları
• Sentry — çökme kaydı: hata mesajı + teknik yığın izi · AB (Frankfurt) · DPA + SCC
• Vercel — web sitesi barındırma + çerezsiz ziyaret/sayfa hızı ölçümü (sayfa adresi, yönlendiren, cihaz sınıfı) · ABD/AB · DPA + SCC
• Google (Analytics & Ads) — web sitesi kullanım ölçümü ve reklam dönüşümü · açık rıza (m.5/1) · ABD · DPA + SCC
• Meta — reklam dönüşümü ölçümü · açık rıza (m.5/1) · ABD · DPA + SCC
• Yetkili merciler — yalnızca yargı kararı / kanuni yükümlülük halinde

Web sitesi ölçümü yalnız teknik ve sayısal alan taşır: hangi aracın açıldığı, hangi hesaplayıcının kullanıldığı, hangi sayfanın görüntülendiği. Hasta yaşı, cinsiyeti, vitalleri, şikâyeti, laboratuvar sonucu, tanısı ve hastane kayıt notu ölçüm sağlayıcılarına hiçbir koşulda gönderilmez; bu yasak yazılım tarafında otomatik denetlenir. Google ve Meta katmanı siteye ilk girişte çıkan bandda açık rıza vermediğiniz sürece çalışmaz.

Çökme kayıtlarında kimlik bilgisi gönderilmez: e-posta, T.C. kimlik numarası ve telefon numarası gönderim öncesi maskelenir, IP adresi sıfırlanır, ekran adresindeki arama metni düşürülür. Hesabınıza yalnızca kullanıcı kimliği bağlanır; hasta verisi çökme kaydına hiçbir koşulda girmez.

Üretken model sağlayıcıları (Anthropic, OpenAI) verilerinizi model eğitiminde kullanmaz ve 30 gün içinde siler.

6. Veri Saklama Süreleri

• Denetim kaydı (audit log): 5 yıl (KVKK saklama yükümlülüğü)
• Nöbet Panosu kartları ve nöbet oturumları (anonim — hasta kimliği alınmaz): hekim dilediğinde tek tıkla siler ("Nöbeti bitir"); her kayıt en geç 90 gün sonra kendiliğinden silinmek üzere damgalanır
• Üretken model sağlayıcısına iletilen belge/içerik metni: model eğitiminde kullanılmaz ve sağlayıcıda ~30 gün içinde silinir
• Anonim kullanım ölçütleri: 180 gün · ham maliyet kaydı: 30 gün
• Hesap meta (UID, e-posta): silme talebi aynı işlemde yerine getirilir — KVKK m.7'nin 30 günlük üst sınırı beklenmez
• Pazarlama segmenti: opt-out + 30 gün

7. KVKK Madde 11 Haklarınız

• Bilgi talep etme — verilerinizin işlenip işlenmediği, amaç
• Erişim — verilerin kopyasını alma (uygulama içi "Verilerimi İndir")
• Düzeltme — eksik/yanlış verilerin düzeltilmesi
• Silme / yok etme — KVKK m.7 (uygulama içi "Hesabımı Sil")
• Açık rızayı geri alma — Profil → İzinler
• Otomatik karara itiraz — çıktılar karar destek niteliğindedir, otonom tek karar değildir
• Aktarım bildirimi — düzeltme/silmenin aktarılan kişilere bildirilmesi
• Tazminat — m.11/h tazminat hakkı

Başvuru: destek@nobetci.doctor veya sanoltrakozmetikuretim@hs01.kep.tr (KEP) · Yanıt süresi: 30 gün (m.13).

8. Güvenlik Önlemleri

• Durağan halde AES-256, aktarımda TLS şifreleme
• Firebase Auth + iki adımlı doğrulama (opsiyonel)
• Firestore Güvenlik Kuralları: UID-eşleşme + hekim doğrulama + onam (sunucu-taraflı)
• Plan bazlı hız sınırı (rate limit)
• Kişisel veri filtresi + üretken model tabanlı moderasyon
• Denetim kaydı 5 yıl (append-only, yalnız yönetici okuma)
• Diploma incelemesi + manuel doğrulama kuyruğu
• KVKK 2025 Üretken YZ Rehberi uyumu

9. Çocuk Verisi

Nöbetçi yalnızca 18 yaş üstü hekim/asistan/intern kullanıcılarına yöneliktir. Pediatrik vaka anlatımında hasta yaşı yer alabilir; bu durumda anonim klinik veri olarak işlenir. Hasta kimliği belirleyici çocuk bilgisi yazılması yasaktır.

10. Şikayet Yolu

KVKK m.14 — ihlal halinde önce Veri Sorumlusu'na başvurulur. 30 gün içinde yanıt alınmazsa veya yetersiz bulunursa Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikayet hakkınız vardır.

11. Değişiklik

Bu metin gerektikçe güncellenir. Önemli değişikliklerde uygulama içi bildirim + yeni açık rıza talep edilir.