KVKK Aydınlatma Metni

1. Genel Aydınlatma

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10 kapsamında, Sanoltra İlaç Kozmetik Ltd. Şti. ("Sanoltra", "Veri Sorumlusu") tarafından geliştirilen ve App Store / Google Play üzerinden sunulan Nöbetçi ("Uygulama") aracılığıyla kişisel verileriniz aşağıdaki çerçevede işlenmektedir.

2. Veri Sorumlusunun Kimliği

• Ticari Unvan: Sanoltra İlaç Kozmetik Üretim Sanayi Ticaret İthalat ve İhracat Limited Şirketi
• MERSİS No: 0461118442100001
• Vergi Kimlik No: 4611184421
• Ticaret Sicil No: 911
• Adres: Karabekir Mah. Cumhuriyet Bulvarı No:56 İç Kapı No:28 Oltu/Erzurum
• KEP: sanoltrakozmetikuretim@hs01.kep.tr
• E-posta: destek@nobetci.doctor
• VERBİS kaydı ve DPO (Veri Koruma Görevlisi) ataması: ilgili kayıt ve atama süreçleri sürmektedir; tamamlandığında bu metne işlenecektir.

3. İşlenen Kişisel Veri Kategorileri

• Kimlik — ad, soyad, e-posta, diploma no (olağan)
• İletişim — cep telefonu (bildirim jetonu; kullanılırsa SMS ile hekim kimlik doğrulamasında tek kullanımlık kod gönderimi — işleyen: Google Ireland Ltd., Firebase Authentication), e-posta (olağan)
• Hekim mesleği — branş, kurum, mezuniyet yılı (olağan)
• Sağlık (hekim olarak yazdığınız vaka) — vaka anlatımı, vital, laboratuvar, EKG (özel kategori, KVKK m.6)
• Nöbet çizelgesi — nöbet tarihi, saati, süresi ve yeri (olağan; hasta bilgisi içermez)
• Müşteri işlem — abonelik bilgisi, ödeme kanalı (olağan)
• Cihaz — IP, cihaz/işletim sistemi, uygulama sürümü (olağan)
• Pazarlama — kampanya tepkisi, segment (olağan)

Hasta kimliği belirleyici bilgi (TC, isim, lokasyon, telefon, hastane numarası) sistemde işlenmez. Kişisel veri filtresi ve manuel moderasyon ile filtrelenir.

4. Veri İşleme Amaçları ve Hukuki Sebepleri

• Hekim hesap oluşturma + kimlik doğrulama — sözleşmenin kurulması (m.5/2-c)
• Klinik karar destek: nöbet masası vaka akışı ve cihaz üstünde çalışan EKG okuması — açık rıza (m.6/2, sağlık verisi)
• Sor (web paneli): soru metninin ve Nöbetçi kaynak pasajlarının yanıt derlemesi için OpenAI'ye (ABD) aktarılması — ayrı açık rıza (m.6 ve m.9); hasta kimliği içeren soru gönderilmez
• Meslektaş paylaşımı + yorum — açık rıza + meşru menfaat
• İçerik moderasyonu, kötüye kullanımı engelleme — hukuki yükümlülük + meşru menfaat
• Abonelik + ödeme + faturalama — sözleşme
• KVKK uyum + denetim kaydı — hukuki yükümlülük (5 yıl saklama)
• Hizmet kalitesi iyileştirme (anonim kullanım ölçütleri) — meşru menfaat
• Pazarlama iletişimi — açık rıza (opt-in)
• Hekim doğrulaması (diploma incelemesi) — meşru menfaat
• Maliyet telemetrisi — meşru menfaat

5. Veri Aktarımı

• Firebase (Google) — tüm uygulama verisi · AB (europe-west1) · veri işleme sözleşmesi (DPA) + standart sözleşme maddeleri (SCC)
• OpenAI — hekim diploma belgesinin doğrulama için okunması (OCR) ve — ayrıca açık rıza verdiyseniz — Sor soru metni ile Nöbetçi kaynak pasajları · ABD · standart sözleşme maddeleri · model eğitiminde kullanılmaz; kötüye kullanım denetimi kayıtları en çok 30 gün tutulur (yasal zorunluluk hâlinde daha uzun)
• RevenueCat — hesap + abonelik · ABD · DPA + SCC
• Apple / Google Play — ödeme · ABD · platform koşulları
• Sentry — çökme kaydı: hata mesajı + teknik yığın izi · AB (Frankfurt) · DPA + SCC
• Vercel — web sitesi barındırma + çerezsiz ziyaret/sayfa hızı ölçümü (sayfa adresi, yönlendiren, cihaz sınıfı) · ABD/AB · DPA + SCC
• Google (Analytics & Ads) — web sitesi kullanım ölçümü ve reklam dönüşümü · açık rıza (m.5/1) · ABD · DPA + SCC
• Meta — reklam ölçümü (yalnız tanıtım sayfalarında sayfa görüntüleme) · açık rıza (m.5/1) · ABD · DPA + SCC
• Yetkili merciler — yalnızca yargı kararı / kanuni yükümlülük halinde

Web sitesi ölçümü yalnız teknik ve sayısal alan taşır: hangi aracın açıldığı, hangi hesaplayıcının kullanıldığı, hangi sayfanın görüntülendiği. Hasta yaşı, cinsiyeti, vitalleri, şikâyeti, laboratuvar sonucu, tanısı ve hastane kayıt notu ölçüm sağlayıcılarına hiçbir koşulda gönderilmez; bu yasak yazılım tarafında otomatik denetlenir. Google ve Meta katmanı siteye ilk girişte çıkan bandda açık rıza vermediğiniz sürece çalışmaz; Meta yalnız tanıtım sayfalarında çalışır, panel ve klinik sayfalarda Meta'ya istek gitmez. Rıza her sayfanın altındaki "Çerez tercihini değiştir" bağlantısıyla geri çekilir.

Çökme kayıtlarında kimlik bilgisi gönderilmez: e-posta, T.C. kimlik numarası ve telefon numarası gönderim öncesi maskelenir, IP adresi sıfırlanır, ekran adresindeki arama metni düşürülür. Hesabınıza yalnızca kullanıcı kimliği bağlanır; hasta verisi çökme kaydına hiçbir koşulda girmez.

Üretken model sağlayıcısı (OpenAI) verilerinizi model eğitiminde kullanmaz; kötüye kullanım denetimi kayıtlarını en çok 30 gün tutar (yasal zorunluluk hâlinde daha uzun). Sor soru metni Nöbetçi sunucularında saklanmaz.

6. Veri Saklama Süreleri

• Denetim kaydı (audit log): 5 yıl (KVKK saklama yükümlülüğü)
• Nöbet çizelgesi: Hekim her nöbeti silebilir; hesap silinince silinir.
• Nöbet Panosu kartları ve nöbet oturumları (anonim — hasta kimliği alınmaz): hekim dilediğinde tek tıkla siler ("Nöbeti bitir"); her kayıt en geç 90 gün sonra kendiliğinden silinmek üzere damgalanır
• Üretken model sağlayıcısına iletilen belge/içerik metni (diploma, Sor sorusu ve kaynak pasajları): model eğitiminde kullanılmaz; sağlayıcının kötüye kullanım denetimi kayıtlarında en çok 30 gün tutulur (yasal zorunluluk hâlinde daha uzun). Sor soru metni Nöbetçi sunucularında hiç saklanmaz
• Anonim kullanım ölçütleri: 180 gün · ham maliyet kaydı: 30 gün
• Hesap meta (UID, e-posta): silme talebi aynı işlemde yerine getirilir — KVKK m.7'nin 30 günlük üst sınırı beklenmez
• Pazarlama segmenti: opt-out + 30 gün

7. KVKK Madde 11 Haklarınız

• Bilgi talep etme — verilerinizin işlenip işlenmediği, amaç
• Erişim — verilerin kopyasını alma (uygulama içi "Verilerimi İndir")
• Düzeltme — eksik/yanlış verilerin düzeltilmesi
• Silme / yok etme — KVKK m.7 (uygulama içi "Hesabımı Sil")
• Açık rızayı geri alma — Profil → İzinler
• Otomatik karara itiraz — çıktılar karar destek niteliğindedir, otonom tek karar değildir
• Aktarım bildirimi — düzeltme/silmenin aktarılan kişilere bildirilmesi
• Tazminat — m.11/h tazminat hakkı

Başvuru: destek@nobetci.doctor veya sanoltrakozmetikuretim@hs01.kep.tr (KEP) · Yanıt süresi: 30 gün (m.13).

8. Güvenlik Önlemleri

• Durağan halde AES-256, aktarımda TLS şifreleme
• Firebase Auth + iki adımlı doğrulama (opsiyonel)
• Firestore Güvenlik Kuralları: UID-eşleşme + hekim doğrulama + onam (sunucu-taraflı)
• Plan bazlı hız sınırı (rate limit)
• Kişisel veri filtresi: hasta kimliği (T.C. kimlik no, telefon, e-posta) içeren metin kaydedilmez ve Sor'a gönderilmez
• Denetim kaydı 5 yıl (append-only, yalnız yönetici okuma)
• Diploma incelemesi + manuel doğrulama kuyruğu
• KVKK'nın üretken modellere ilişkin 2025 rehberi uyumu

9. Çocuk Verisi

Nöbetçi yalnızca 18 yaş üstü hekim/asistan/intern kullanıcılarına yöneliktir. Pediatrik vaka anlatımında hasta yaşı yer alabilir; bu durumda anonim klinik veri olarak işlenir. Hasta kimliği belirleyici çocuk bilgisi yazılması yasaktır.

10. Şikayet Yolu

KVKK m.14 — ihlal halinde önce Veri Sorumlusu'na başvurulur. 30 gün içinde yanıt alınmazsa veya yetersiz bulunursa Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikayet hakkınız vardır.

11. Değişiklik

Bu metin gerektikçe güncellenir. Önemli değişikliklerde uygulama içi bildirim + yeni açık rıza talep edilir.