BÖLÜM 1 — TÜRKÇE AYDINLATMA METNİ (KVKK m.10)
1. Veri Sorumlusu: Tedavinizi yürüten ve hasta portalının üst kısmında adı, onay penceresinde unvanı ve iletişim bilgileri gösterilen sağlık kuruluşu ("Klinik") 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında Veri Sorumlusu'dur. Randevu, tedavi ve seyahat sürecinizin dijital olarak yürütüldüğü PatientPort Platformu (Tolunay Yaşar — PatientPort (şahıs işletmesi), info@patientport.com.tr) Klinik adına Veri İşleyen'dir.
2. İşlenen Verileriniz: Kimlik ve iletişim (ad, soyad, pasaport/kimlik numarası, telefon, e-posta, ülke, dil, erişim kodunuz); sağlık verileri (anamnez formu yanıtlarınız, kronik hastalıklar, alerjiler, geçirilmiş ameliyatlar, tedavi planı ve aşamaları, hekim notları, ilaç ve doz bilgileri, yüklenen tıbbi belgeler); seyahat verileri (uçuş bilgileri ve Klinik'e ilettiğiniz uçak bileti, otel, transfer bilgileri); finansal veriler (tedavi ücreti, ödeme ve iade kayıtları, bakiye); Klinik'e nereden ulaştığınız (ör. reklam, acenta veya sizi yönlendiren kişinin adı); portal kullanım verileri (bildirim tercihleriniz, cihazınızın bildirim kimliği ve izin durumu, portala son giriş zamanınız, size gönderilen bildirimlerin geçmişi, dil tercihi) ve isteğe bağlı yorum/puanınız; Klinik'in size hazırladığı tedavi planı ve fiyat teklifi (planlanan tedaviler, diş numaraları ya da vücut bölgeleri, fiyatlar, ödeme planı) ile teklifi onaylarsanız onay kaydınız (adınız, tarih-saat, IP adresi). Konum veriniz (ve şoförün konumu) toplanmaz.
3. Toplama Yöntemi: Verileriniz sizden veya sizin adınıza Klinik'e başvuran aracı/acentadan alınarak Klinik personeli tarafından sisteme girilir, hasta portalında sizin doldurduğunuz formlardan (anamnez, yorum, tercihler) ve portalı kullanımınız sırasında otomatik yollarla (bildirim kimliği, oturum kaydı) elde edilir.
4. Amaçlar ve Hukuki Sebepler: (a) Tedavinizin planlanması ve yürütülmesi, hekim konsültasyonu, ilaç hatırlatması — sağlık verileri için KVKK m.6/3 (sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi) ve ayrıca Platform üzerinden işlenmesi ile yurt dışına aktarılması için AÇIK RIZANIZ; (b) randevu, transfer, konaklama organizasyonu ve sizinle iletişim — KVKK m.5/2-c (sözleşmenin ifası); (c) ödeme mutabakatı ve yasal kayıtlar — m.5/2-a ve ç (kanun, hukuki yükümlülük); (d) hasta portalı güvenliği ve kötüye kullanımın önlenmesi — m.5/2-f (meşru menfaat); (e) anlık bildirimler — cihazınızda izin vermenizle, dilediğiniz an kapatabilirsiniz. Portal; oturumunuzu ve dil/görünüm tercihinizi cihazınızın yerel depolamasında tutar (hizmet için zorunlu); reklam veya analitik çerezi kullanılmaz.
5. Aktarılan Taraflar: (a) anlaşmalı otele yalnız adınız ve konaklama tarihleri; (b) transfer şoförüne yalnız adınız, saat ve rota (Klinik ayrıca izin verirse karşılama için telefon numaranız) — şoför tıbbi ve finansal verilerinizi hiçbir şekilde göremez; (c) Klinik'in sizin tedavinizde görevli hekim ve koordinatörlerine; (d) altyapı sağlayıcılarına (aşağıda); (e) tedavi planınızı Klinik size PDF veya görsel olarak bir mesajlaşma uygulaması ya da e-posta ile gönderirse, o kanalın sağlayıcısı iletiyi taşır.
6. Yurt Dışına Aktarım: Verileriniz Almanya'daki (Avrupa Birliği) sunucularda saklanır (Supabase). Uygulamanın çalışması için kullanılan bazı hizmet sağlayıcılarının merkezi ABD'dedir ve sınırlı veri ABD'de işlenebilir: Vercel (web/API altyapısı — yalnız geçici işleme), Cloudflare (giriş ekranında robot doğrulaması — IP adresi), OneSignal (anlık bildirim — cihaz bildirim kimliği ve bildirim metni; metin, Klinik'in şablonuna göre adınızı, randevu/transfer saatinizi ve ilacınızın adı ile saatini içerebilir; telefonunuz, anamnez formunuz, hekim notları ve belgeleriniz gönderilmez), e-posta sağlayıcıları (Resend/Brevo — e-posta adresi ve ileti). Aktarım KVKK m.9 kapsamında uygun güvencelerle (standart sözleşme hükümleri) ve açık rızanızla yapılır. Verilerinizin şifreli yedek kopyaları en fazla 7 gün süreyle Türkiye'de, PatientPort'un kontrolündeki cihazda tutulur.
7. Saklama Süresi: Sağlık ve tedavi kayıtlarınız Klinik tarafından tıbbi kayıt mevzuatının öngördüğü süre boyunca (genel uygulama 20 yıl) saklanır. PatientPort, Klinik'in aboneliği bittiğinde verileri 30 gün içinde siler veya anonimleştirir. Sistem kayıtları 2 yıl, onay kayıtlarınız 10 yıl saklanır. Ayrıntı: Kişisel Veri Saklama ve İmha Politikası.
7a. Arkadaşını Öner (yalnız Klinik bu programı açtıysa): Portaldan bir yakınınızı önerirseniz onun adı, telefonu ve yazdığınız not Klinik'e iletilir; bir kişiyi önerdiğinizde onun bilgilerini o kişinin izniyle paylaştığınızı kabul etmiş olursunuz (bu beyan, portala ilk girişte işaretlediğiniz bilgilendirme onayının parçasıdır). Klinik kişiyle yalnız bu öneri için iletişime geçer ve ilk görüşmede bilgilerinin sizden alındığını söyler; kişi istemezse kayıt silinir. Hasta olmayan önerilerin bilgileri "Olmadı" işaretlendikten 30 gün, sonuçsuz kalırsa 1 yıl sonra otomatik silinir. Önerdiğiniz kişi Klinik'e hasta olur ve ilk ziyareti tamamlanırsa, Klinik'in belirlediği referans ödülü Klinik yetkilisi (yönetici ya da koordinatör) onayladıktan sonra bakiyenize yazılır ve size bildirilir; onaylanmayan ödül size gösterilmez; Klinik bu tutarı size nakit ya da havale ile ödeyebilir veya sonraki bir ödemenizden düşebilir; bu amaçla size yalnız önerinin durumu ve ödül tutarı gösterilir, önerdiğiniz kişinin sağlık verileri paylaşılmaz. Hukuki sebep: KVKK m.5/2-c (referans programı koşullarının ifası) ve m.5/2-f (Klinik'in meşru menfaati).
7b. Tedavi Planı ve Fiyat Teklifi: Klinik size bir tedavi planı hazırlarsa planı portalınızda görebilir ve PDF olarak indirebilirsiniz. "Onayla" düğmesi yalnızca fiyat teklifini kabul ettiğinizi gösterir; bu onay adınız, tarih-saat ve IP adresinizle kaydedilir ve onaylanan plan sonradan değiştirilemez. Bu onay, tıbbi müdahale için verilecek bilgilendirilmiş onam (rıza) değildir: Klinik tedaviden önce sizi ayrıca bilgilendirir ve onayınızı ayrıca alır; teklifi onaylamak sizi tedaviyi yaptırmaya zorlamaz. Planın fiyatları ve koşulları Klinik'e aittir. Hukuki sebep: KVKK m.5/2-c (sözleşmenin kurulması), m.6/3 (tedavinin planlanması) ve m.5/2-e (bir hakkın tesisi ve korunması için kayıt).
8. Haklarınız (KVKK m.11): Verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme (Platform otomatik karar vermez), kanuna aykırı işleme nedeniyle zarara uğrarsanız zararın giderilmesini talep etme. Açık rızanızı dilediğiniz an geri çekebilirsiniz; geri çekme, önceki işlemenin hukuka uygunluğunu etkilemez; ancak sağlık verilerinizin Platform üzerinden işlenmesini durdurur ve Klinik tedavi kayıtlarını kendi arşivinde tutmaya devam eder.
9. Başvuru: Haklarınızı kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca Klinik'e yukarıdaki adres/e-posta üzerinden veya hasta portalındaki "Klinik Rehberim → Veri Koruma" bölümünden başvurabilirsiniz; Klinik en geç 30 gün içinde yanıt verir. Başvurunuz reddedilirse veya yanıt alamazsanız Kişisel Verileri Koruma Kurulu'na (www.kvkk.gov.tr) şikâyette bulunabilirsiniz. PatientPort'a doğrudan gelen başvurular 3 iş günü içinde Klinik'e iletilir.
10. 18 yaşından küçük hastalar için bu metin veli/vasiye yöneliktir; rıza veli/vasi tarafından verilir.
11. Dil: Hasta portalı Türkçe, İngilizce, Almanca ve Rusça görüntülenebilir. Bu metnin bağlayıcı sürümleri Türkçe ve İngilizcedir; portalda gösterilen diğer dillerdeki özetler bilgilendirme amaçlıdır.
BÖLÜM 2 — AÇIK RIZA BEYANI (ayrı kutu ile alınır)
☐ Yukarıdaki Aydınlatma Metni'ni okudum ve anladım; Arkadaşını Öner ile bir kişiyi önerirsem bilgilerini onun izniyle paylaşacağımı kabul ederim. (bilgilendirme onayı)
☐ Anamnez yanıtlarım, alerjilerim, hastalık ve ameliyat geçmişim, tedavi planım, hekim notlarım ve ilaç bilgilerim dâhil ÖZEL NİTELİKLİ SAĞLIK VERİLERİMİN, tedavimin planlanması ve yürütülmesi amacıyla Klinik tarafından PatientPort Platformu üzerinden işlenmesine ve 6. maddede sayılan yurt dışı sağlayıcılara aktarılmasına ÖZGÜR İRADEMLE AÇIK RIZA VERİYORUM. Bu rızayı dilediğim zaman portaldan veya Klinik'e başvurarak geri çekebileceğimi biliyorum.
Bu kutular önceden işaretli gelmez; işaretlenmeden anamnez formu açılmaz. Onayınız; tarih-saat, metin sürümü (v1.8), IP adresi ve cihaz bilgisiyle birlikte kaydedilir ve Klinik tarafından ispat amacıyla saklanır.
SECTION 1 — PRIVACY NOTICE (GDPR Articles 13–14)
1. Controller and processor: The clinic treating you, whose name is shown at the top of the patient portal and whose legal name and contact details are shown in the consent window ("Clinic") is the Data Controller under the GDPR and Turkish Law No. 6698 (KVKK). PatientPort (Tolunay Yaşar — PatientPort (şahıs işletmesi), info@patientport.com.tr) provides the software platform and acts as Data Processor on the Clinic's behalf.
2. Data we process: identity and contact data (name, passport/ID number, phone, e-mail, country, language, access code); health data (your medical history questionnaire answers, chronic conditions, allergies, previous surgeries, treatment plan and stages, clinician notes, medication and dosage, uploaded medical documents); travel data (flights and the plane ticket you provide, hotel, transfers); financial data (treatment fee, payments, refunds, balance); how you reached the Clinic (e.g. advertising, agency or the name of the person who referred you); portal usage data (notification preferences, your device's push identifier and permission status, your last portal visit, the history of notifications sent to you, language) and, optionally, your review and rating; the treatment plan and price quote the Clinic prepares for you (planned treatments, tooth numbers or body areas, prices, payment plan) and, if you accept it, the record of your acceptance (your name, date-time, IP address). No location data (yours or the driver's) is collected.
3. Source: obtained from you or from an intermediary/agency acting for you and entered by Clinic staff, provided by you in the Patient Portal (questionnaire, review, preferences) and generated automatically while you use the portal (push identifier, session record).
4. Purposes and legal bases: (a) planning and delivering your treatment, physician consultation, medication reminders — Art. 9(2)(h) GDPR (health care by professionals bound by secrecy) and, for processing through the platform and the international transfer described below, your EXPLICIT CONSENT (Art. 9(2)(a)); (b) organising appointments, transfers, accommodation and communicating with you — Art. 6(1)(b) (performance of a contract); (c) payment reconciliation and statutory records — Art. 6(1)(c); (d) portal security and abuse prevention — Art. 6(1)(f) (legitimate interest); (e) push notifications — with the permission you grant on your device; you can turn them off at any time. The portal keeps your session and language/display preference in your device's local storage (strictly necessary); no advertising or analytics cookies are used.
5. Recipients: (a) the partner hotel — name and stay dates only; (b) the assigned driver — name, pick-up time and route only (and, if the Clinic allows it, your phone number for the meeting); drivers can never see medical or billing data; (c) the Clinic's physicians and coordinators involved in your care; (d) the infrastructure providers below; (e) if the Clinic sends your treatment plan to you as a PDF or image through a messaging app or e-mail, the provider of that channel carries the message.
6. International transfers: Your data is stored on servers in Germany (EU) (Supabase). Some service providers used to run the application are headquartered in the United States and may process limited data there: Vercel (web/API infrastructure — transient processing only), Cloudflare (bot verification on the login screen — IP address), OneSignal (push notifications — device push identifier and the notification text; depending on the Clinic's template the text may include your first name, your appointment/transfer time and your medication name and time; your phone number, questionnaire, clinician notes and documents are never sent), e-mail providers (Resend/Brevo — e-mail address and message). Transfers are made under appropriate safeguards (EU Standard Contractual Clauses, Art. 46 GDPR; standard contract under Art. 9 KVKK) and, for health data, with your explicit consent. Encrypted backup copies of your data are kept in Türkiye on a device controlled by PatientPort for no longer than 7 days.
7. Retention: your health and treatment records are kept by the Clinic for the period required by medical-records law (commonly 20 years in Türkiye). PatientPort deletes or anonymises the data within 30 days after the Clinic's subscription ends. System logs are kept for 2 years; your consent records for 10 years. Details: Data Retention and Disposal Policy.
7a. Refer a Friend (only if the Clinic offers it): if you refer someone through the portal, their name, phone number and your note are sent to the Clinic; by referring someone you confirm that you share their details with that person's permission (this confirmation is part of the acknowledgement you tick when you first open the portal). The Clinic contacts them only about this referral and tells them on first contact that their details came from you; if they do not wish to proceed the record is deleted. Details of people who do not become patients are deleted automatically 30 days after being marked "Not this time", otherwise after 1 year. If the person becomes a patient and completes their first visit, the reward set by the Clinic is added to your balance and you are notified once an authorised Clinic staff member (manager or coordinator) approves it; a reward that is not approved is not shown to you; the Clinic may pay it to you by cash or bank transfer or deduct it from a future payment; you only see the referral status and the reward amount, never their health data. Legal basis: Art. 6(1)(b) and 6(1)(f) GDPR / KVKK Art. 5(2)(c) and (f).
7b. Treatment plan and price quote: if the Clinic prepares a treatment plan for you, you can see it in your portal and download it as a PDF. The "Accept" button only records that you accept the price quote; the acceptance is stored with your name, date-time and IP address, and an accepted plan cannot be changed afterwards. It is not informed consent to a medical procedure: the Clinic informs you and asks for your consent separately before treatment, and accepting the quote does not oblige you to have the treatment. Prices and terms in the plan are the Clinic's. Legal basis: Art. 6(1)(b) GDPR (steps prior to a contract), Art. 9(2)(h) (planning your care) and Art. 6(1)(f) / KVKK Art. 5(2)(e) (keeping evidence of the agreement).
8. Your rights (Art. 15–22 GDPR; Art. 11 KVKK): access and a copy of your data, rectification, erasure ("right to be forgotten", subject to statutory medical-record retention), restriction, portability, objection, and the right not to be subject to solely automated decisions (the platform makes none). You may withdraw your consent at any time without affecting the lawfulness of processing before withdrawal; withdrawal stops processing of your health data through the platform, while the Clinic keeps your treatment records in its own archive as required by law.
9. How to exercise your rights and complain: contact the Clinic at the address/e-mail above or via Care Guide → Data Protection in the portal; the Clinic responds within 30 days. You may lodge a complaint with the Turkish Personal Data Protection Authority (www.kvkk.gov.tr) and, if you are in the EU/EEA or UK, with your local supervisory authority. Requests sent directly to PatientPort are forwarded to the Clinic within 3 working days.
10. If you are under 18, this notice is addressed to your parent or legal guardian, who provides consent on your behalf.
11. Language: the Patient Portal can be displayed in Turkish, English, German and Russian. The binding versions of this notice are Turkish and English; texts shown in other languages in the portal are provided for information.
SECTION 2 — EXPLICIT CONSENT DECLARATION (separate, unticked checkbox)
☐ I have read and understood the Privacy Notice above; if I refer someone through Refer a Friend, I will share their details only with their permission. (acknowledgement)
☐ I FREELY GIVE MY EXPLICIT CONSENT to the processing of my SPECIAL-CATEGORY HEALTH DATA — including my questionnaire answers, allergies, medical and surgical history, treatment plan, clinician notes and medication — by the Clinic through the PatientPort platform for the purpose of planning and delivering my treatment, and to its transfer to the service providers listed in section 6. I understand that I can withdraw this consent at any time in the portal or by contacting the Clinic.
These boxes are never pre-ticked; the medical questionnaire does not open until they are ticked. Your consent is recorded with date-time, text version (v1.8), IP address and device information and kept by the Clinic as evidence.