Veri işleme eki.

1. Roller

Stüdyo, danışanlarına ait kişisel veriler bakımından veri sorumlusudur. Strivex, bu verileri yalnızca Stüdyo'nun talimatları doğrultusunda, hizmetin sunulması amacıyla işleyen veri işleyendir. Strivex, danışan verilerini kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla üçüncü kişilere aktarmaz.

2. Stüdyo'nun yükümlülükleri

Stüdyo şunları taahhüt eder:

• Danışanlarını KVKK m.10 uyarınca aydınlatmak;
• Sağlık verisi (danışan notları) işlenecekse danışandan yazılı açık rıza almak ve rızayı belgelemek; rıza kaydını uygulamada işaretlemek;
• 18 yaşından küçük danışanlar için veli/vasi onayını almak ve saklamak;
• Toplu mesaj ve bildirimleri yalnızca ilgili kişinin izni bulunan iletişim kanallarından göndermek; ticari elektronik ileti mevzuatına uymak;
• Personelinin hesaplarını ve erişim yetkilerini güncel tutmak, ayrılan personelin erişimini kaldırmak.

3. Strivex'in yükümlülükleri

Strivex şunları taahhüt eder:

• Verileri yalnızca Stüdyo'nun talimatıyla ve hizmetin gerektirdiği ölçüde işlemek;
• KVKK m.12 ve Kurul'un 31.01.2018 tarihli 2018/10 sayılı kararı uyarınca teknik ve idari tedbirleri almak: aktarımda ve saklamada şifreleme, danışan notlarının uçtan uca şifrelenmesi, stüdyolar arası veri izolasyonu (satır düzeyi güvenlik), not erişimlerinin loglanması, yetkisiz erişime karşı koruma;
• Personelini gizlilik yükümlülüğü altında tutmak;
• Stüdyo'nun ilgili kişi taleplerini karşılamasına makul ölçüde yardım etmek.

4. Alt işleyenler

Strivex hizmeti sunmak için aşağıdaki alt işleyenleri kullanır. Listede değişiklik olması hâlinde Stüdyo panel üzerinden bilgilendirilir (alt işleyen — hizmet — yer).

• Supabase — veritabanı, kimlik doğrulama, dosya saklama — Almanya (Frankfurt)
• Railway — uygulama ve mesaj altyapısı — AB
• Expo / Apple / Google — mobil bildirim iletimi — ABD
• VatanSMS — doğrulama SMS'i — Türkiye
• Meta Platforms — WhatsApp mesajlaşma — Yurt dışı

5. Yurt dışında barındırma — bilgilendirilmiş kabul

Stüdyo, hizmete ait verilerin 4. bölümdeki listede belirtildiği üzere yurt dışında (esas olarak Frankfurt/Almanya) barındırıldığını bildiğini ve kabul ettiğini beyan eder.

Stüdyo, ilgili mevzuat uyarınca sağlık hizmet sunucusu sıfatını taşıyorsa, kişisel sağlık verilerinin yurt içinde muhafazasına ilişkin sektörel yükümlülüklerin kendisine ait olduğunu kabul eder. Stüdyo bu yükümlülüğe tabi olduğunu değerlendiriyorsa, danışan notlarına tıbbi içerik girmemeyi veya Strivex ile yurt içi barındırma seçeneğini ayrıca görüşmeyi taahhüt eder.

6. Sorumluluk ve rücu

Stüdyo'nun bu Ek'teki yükümlülüklerini ihlali (aydınlatma yapılmaması, rıza alınmaması, izinsiz ticari ileti gönderimi, yetkisiz personel erişimi vb.) nedeniyle Strivex aleyhine idari para cezası uygulanır veya tazminat talebi yöneltilirse, Strivex ödediği tutarı Stüdyo'ya rücu eder.

7. İhlal bildirimi

Stüdyo, kendi tarafında oluşan bir veri ihlalini öğrendiği andan itibaren 24 saat içinde Strivex'e bildirir. Strivex, kendi altyapısında oluşan bir ihlali öğrendiği andan itibaren 24 saat içinde Stüdyo'ya bildirir ve Kurul'a yapılacak 72 saatlik bildirim için gerekli bilgi ve desteği sağlar.

8. Saklama ve imha

Veriler, Strivex'in yayımladığı saklama süreleri politikasına uygun saklanır. Stüdyo'nun aboneliği sona erdiğinde veriler, dışa aktarım için 30 gün süreyle erişilebilir tutulur; bu sürenin sonunda silinir veya anonim hâle getirilir.

9. Yürürlük

Bu Ek, Stüdyo yöneticisinin uygulama üzerinden verdiği elektronik onay ile yürürlüğe girer. Onay kaydı (onaylayan kişi, tarih-saat, metin sürümü) sistemde saklanır ve taraflar arasında delil teşkil eder.