Veri İşleyen Sözleşmesi

VERİ SORUMLUSU: Platformda hesap açan klinik/kurum ve onu temsilen işlem yapan yetkili (“KLİNİK”). Danışanlara ait kişisel verilerin işlenme AMACINI ve VASITASINI belirleyen taraf KLİNİK’tir.

VERİ İŞLEYEN: Orclever Yazılım ve Teknoloji (“Remnema”). Adres: —. MERSİS: —. E-posta: iletisim@remnema.com.

Remnema, danışan kişisel verilerini yalnızca KLİNİK adına, KLİNİK’in talimatı ve bu sözleşme çerçevesinde işler; işleme amaç ve vasıtalarını kendisi belirlemez.

Danışandan aydınlatma ve gerekli hâllerde açık rıza alma yükümlülüğü KLİNİK’e aittir. Platform, KLİNİK’in bu yükümlülüğü yerine getirmesine yardımcı olan bir araçtır; danışan ile doğrudan hukuki ilişki kurmaz ve KLİNİK adına rıza almaz.

KONU: Remnema bulut tabanlı klinik yazılım platformunun KLİNİK’e sunulması kapsamında; danışan kaydı, klinik dokümantasyon, randevu, ölçüm, danışan iletişimi ve klinik işletme (ücret/tahsilat) işlevlerinin çalıştırılması için gereken kişisel veri işleme faaliyetleri.

AMAÇ: Yalnızca hizmetin sunulması. Veriler, KLİNİK’in talimatı dışında hiçbir amaçla — özellikle pazarlama, profilleme, üçüncü kişilere satış veya yapay zekâ modeli eğitimi amacıyla — işlenmez.

SÜRE: Abonelik/hizmet ilişkisi süresince. Sona ermeden sonraki tasfiye için madde 12 uygulanır.

İLGİLİ KİŞİ GRUPLARI: (a) KLİNİK’in danışanları ve reşit olmayan danışanlarda veli/vasileri, (b) KLİNİK’in çalışanları (klinisyen, sekreter, yönetici), (c) KLİNİK’e online randevu talebi ileten kişiler.

DANIŞAN VERİLERİ: kimlik verisi (kliniğin tercihine göre yalnız takma ad ve iç kod, ya da ad-soyad / T.C. kimlik numarası / doğum tarihi), iletişim verisi (telefon, e-posta), ÖZEL NİTELİKLİ SAĞLIK VERİSİ (klinik anlatı, anamnez, tanı, ölçek yanıtları ve puanları, seans kayıtları), işlem verisi (randevu, ücret ve tahsilat kayıtları).

KLİNİK ÇALIŞANI VERİLERİ: ad-soyad, e-posta, meslekî bilgiler (unvan, disiplin, sertifika numarası), oturum ve denetim kayıtları.

Platform, KLİNİK’in tercihine bağlı olarak danışanın gerçek adını hiç toplamadan çalışabilir (takma adlı mod). Bu tercih KLİNİK’indir ve veri minimizasyonu ilkesi gereği tavsiye edilir.

Remnema, kişisel verileri yalnızca KLİNİK’in belgelenmiş talimatları doğrultusunda işler. Platformun KLİNİK tarafından kullanımı bu anlamda talimat sayılır.

Bir talimatın mevzuata aykırı olduğu kanaatine varılırsa KLİNİK derhal bilgilendirilir ve ilgili işlem askıya alınabilir.

Mevzuattan doğan bir yükümlülük nedeniyle talimat dışı işleme zorunluluğu doğarsa, hukuken yasak olmadıkça KLİNİK önceden bilgilendirilir.

Remnema personeli ve alt işleyenleri, eriştikleri kişisel veriler bakımından süresiz gizlilik yükümlülüğü altındadır; bu yükümlülük hizmet ilişkisi sona erdikten sonra da devam eder.

Verilere erişim; yalnızca hizmetin sunulması, arıza giderilmesi veya KLİNİK’in açık talebi için gerekli olan personelle sınırlıdır ve erişimler kayıt altına alınır.

AÇIK BEYAN: Veriler şifreli saklanmakla birlikte, şifre çözme anahtarı sunucu tarafında bulunduğundan teknik olarak Orclever personelinin veriye erişmesi mümkündür. Bu erişim sözleşmesel ve teknik denetimlerle sınırlandırılmıştır; kriptografik olarak imkânsız değildir.

Kimlik ve klinik anlatı verileri AES-256-GCM zarf şifrelemesiyle saklanır; her zarf ilgili kaydın kimliğine bağlıdır ve başka bir kayda taşınamaz.

Kiracı (klinik) izolasyonu veritabanı düzeyinde tanımlıdır ve uygulama katmanında her sorgu ayrıca kurum kimliğiyle sınırlandırılır. Rol bazlı erişim uygulanır; ön büro personeli klinik veriye erişemez.

Klinik veriye her erişim, değiştirilemez (yalnız-ekleme) denetim kaydına yazılır. Tıbbi kayıtlar sürümlenir; üzerine yazılmaz.

Hesaplar için iki adımlı doğrulama (TOTP) desteklenir. Veri aktarımı TLS ile şifrelenir.

Bu tedbirler teknik gelişmeler doğrultusunda güncellenebilir; güncelleme koruma seviyesini düşüremez.

Remnema, hizmetin sunulması için aşağıdaki alt işleyenleri kullanır. KLİNİK, bu alt işleyenlerin kullanımına onay vermiş sayılır. Yeni bir alt işleyen eklenmesi hâlinde KLİNİK makul süre önce bilgilendirilir; değişikliği kabul etmemesi hâlinde aboneliğini feshedebilir.

BARINDIRMA — Contabo GmbH (Almanya): sunucu ve veritabanı barındırma. Platformdaki veriler bu altyapıda tutulur.

E-POSTA — Amazon Web Services (SES, İsveç) ve/veya Resend: sistem e-postaları. Danışan hatırlatma özetleri danışanın adını değil, yalnız iç kodunu (HST-…) içerir.

ÖDEME ve e-FATURA — Lidio ve Nilvera (Türkiye): yalnızca KLİNİK ile Orclever arasındaki abonelik ve fatura işlemleri. Danışan verisi aktarılmaz.

KLİNİĞİN KENDİ TERCİHİYLE ETKİNLEŞTİRDİKLERİ: dış takvim entegrasyonu (Google/Microsoft — yalnız dolu/boş zaman aralıkları ve danışan bilgisi içermeyen blok kayıtları) ve SMS/WhatsApp hatırlatma sağlayıcısı (danışanın telefon numarası ve asgari içerikli mesaj). Bu entegrasyonlar etkinleştirilmedikçe hiçbir veri aktarılmaz.

Barındırma altyapısı Almanya’da bulunduğundan kişisel veriler KVKK m.9 anlamında yurt dışına aktarılmaktadır. KLİNİK, kendi aydınlatma metninde bu hususa yer vermelidir.

İlgili ülke bakımından Kurul’ca yeterlilik kararı bulunmadığı sürece aktarım, Kurul’un ilan ettiği standart sözleşme veya diğer uygun güvencelerden birine dayanılarak yapılır; standart sözleşmenin imzalanması hâlinde beş iş günü içinde Kurul’a bildirim yapılır.

Taraflar, gerekli standart sözleşme metinlerini imzalamayı ve bildirim yükümlülüğünü yerine getirmeyi karşılıklı olarak taahhüt eder.

Remnema, kişisel verilere hukuka aykırı erişim veya ifşa hâlinde durumu öğrendiği andan itibaren GECİKMEKSİZİN KLİNİK’e bildirir. Bildirim, olayın kapsamının makul ölçüde tespit edilmesinden sonra yapılır; ilk bildirimdeki bilgiler soruşturma ilerledikçe güncellenebilir.

Bildirim; ihlalin niteliğini, etkilenen ilgili kişi ve veri kategorilerini, olası sonuçlarını ve alınan ya da alınacak tedbirleri içerir.

Kurul’a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla KLİNİK’e aittir; Orclever bu süreçte gerekli teknik bilgi ve desteği sağlar.

İlgili kişinin KVKK m.11 kapsamındaki talepleri (bilgi, düzeltme, silme, aktarım) KLİNİK’e yöneltilir ve KLİNİK tarafından cevaplanır.

Orclever’a doğrudan iletilen talepler cevaplanmaz; gecikmeksizin KLİNİK’e yönlendirilir.

Platform; danışan kaydının görüntülenmesi, düzeltilmesi, kimliksizleştirilmesi, kalıcı olarak silinmesi ve klinik özet (epikriz) olarak dışa aktarılması işlevlerini KLİNİK’in kullanımına sunar.

Remnema, bu sözleşmeye uygunluğunu göstermek üzere gerekli bilgi ve belgeleri, KLİNİK’in yazılı talebi üzerine yılda bir defayı aşmamak kaydıyla sağlar.

Yerinde denetim ancak tarafların yazılı mutabakatı ile, mesai saatleri içinde, en az otuz gün önceden bildirimle ve masrafları KLİNİK’e ait olmak üzere yapılabilir.

Denetim; diğer müşterilerin verilerinin gizliliğini ihlal etmeyecek, ticari sır niteliğindeki bilgileri kapsamayacak ve hizmetin sürekliliğini aksatmayacak şekilde yürütülür.

Hizmet ilişkisinin sona ermesi hâlinde KLİNİK’e, verilerini dışa aktarabilmesi için sona erme tarihinden itibaren 30 gün süreyle salt-okunur erişim imkânı sunulur. Abonelik bedelinin ödenmemesi nedeniyle sona erme hâlinde bu süre uygulanmayabilir.

Bu sürenin sonunda KLİNİK’in talebi doğrultusunda veriler iade edilir veya imha edilir. Talep bulunmaması hâlinde, mevzuattan doğan saklama yükümlülükleri saklı kalmak kaydıyla veriler imha edilir.

Denetim ve fatura kayıtları mevzuattaki saklama süreleri boyunca muhafaza edilir; bu kayıtlar danışan sağlık verisi içermez.

Taraflardan her biri, kendi yükümlülüklerinin ihlalinden doğan zararlardan kendi kusuru oranında sorumludur.

KLİNİK; danışanı aydınlatma, gerekli hâllerde açık rıza alma, verileri hukuka uygun toplama ve platforma doğru veri girme yükümlülüklerinin kendisine ait olduğunu kabul eder.

KLİNİK’in bu yükümlülüklerini ihlali nedeniyle Orclever aleyhine idari yaptırım uygulanması veya üçüncü kişilerce talepte bulunulması hâlinde, doğan zarar KLİNİK tarafından karşılanır.

Orclever’ın işbu sözleşmeden doğan sorumluluğu, abonelik sözleşmesinde öngörülen sorumluluk sınırlarına tâbidir. Kanundan doğan ve sözleşmeyle sınırlandırılamayan sorumluluklar ile kast ve ağır ihmal hâlleri saklıdır.

İşbu sözleşme, taraflar arasındaki abonelik sözleşmesinin ayrılmaz parçasıdır; çelişki hâlinde kişisel verilerin korunmasına ilişkin konularda bu sözleşme hükümleri uygulanır.

İşbu sözleşme, KLİNİK’in platformda hesap oluşturması ve/veya platformu kullanmaya başlaması ile elektronik ortamda kurulmuş sayılır ve hizmet ilişkisi süresince yürürlükte kalır.

Uyuşmazlıklarda Türk hukuku uygulanır.