A. Roller ve sorumluluk
PatientPort kimdir, kiminle sözleşme yapıyorum?
Sağlayıcı Tolunay Yaşar — PatientPort (şahıs işletmesi); VKN 9391154565 · Düden Vergi Dairesi; Kepez / Antalya (tebligat adresi fatura ve yazılı talep üzerine paylaşılır); iletişim info@patientport.com.tr. Sözleşme, kayıt sırasında ayrı onay kutularıyla elektronik olarak kurulur (6098 TBK, 6102 TTK); onayınız tarih, sürüm, IP ve cihaz bilgisiyle değiştirilemez biçimde kaydedilir.
KVKK'da veri sorumlusu kim, veri işleyen kim?
Hastalarınızın ve personelinizin verileri bakımından Veri Sorumlusu kliniğinizdir; PatientPort yalnız sizin adınıza ve talimatınızla işleyen Veri İşleyen'dir (KVKK m.3, GDPR m.4). PatientPort, kendi müşterileri (klinik yetkilileri) ve tanıtım sitesi ziyaretçileri bakımından ayrıca Veri Sorumlusu'dur.
Veri işleme sözleşmesi (DPA) imzalamamız gerekiyor mu?
Evet, KVKK m.12/2 ve GDPR m.28 bunu gerektirir. DPA, kayıt sırasında SaaS Sözleşmesi'nden ayrı bir kutuyla onaylanır ve Ana Sözleşme'nin ayrılmaz ekidir; ıslak imza gerekmez. Kurumsal prosedürünüz gerektiriyorsa imzalı PDF nüshası talep üzerine gönderilir.
VERBİS kaydı kimin yükümlülüğü?
VERBİS kaydı, Kurul'un belirlediği eşikler ve istisnalar çerçevesinde her veri sorumlusunun kendi yükümlülüğüdür. Hasta verileri bakımından veri sorumlusu klinik olduğundan kayıt yükümlülüğü de kliniğe aittir; ana faaliyeti özel nitelikli kişisel veri (sağlık verisi) işlemek olan veri sorumlularının çalışan sayısı ve bilanço büyüklüğünden bağımsız olarak kayıt yükümlülüğü bulunduğunu, Kurul'un istisna kararlarını kontrol ederek değerlendirmeniz gerekir. PatientPort bu veriler bakımından veri işleyendir; kendi veri sorumlusu olduğu faaliyetler (klinik yetkilileri, tanıtım sitesi, demo talepleri) için istisna koşullarını her yıl gözden geçirir. Envanter için gereken teknik bilgiler (veri kategorileri, alt işleyenler, saklama süreleri, tedbirler) DPA'da ve bu sayfada hazırdır.
PatientPort bir sağlık turizmi aracı kuruluşu mu?
Hayır. PatientPort yalnızca yazılım lisansı veren bir teknoloji sağlayıcısıdır: hasta bulmaz, hasta yönlendirmez, hastayla sözleşme kurmaz, hastadan ödeme almaz ve kliniklerden hasta başına ya da tedavi bedeli üzerinden komisyon almaz. Lisans bedeli pakete ve kullanıcı sayısına bağlıdır. Platformdan hastaya giden bildirim ve belgeler kliniğin kendi iletişimidir. Sağlık turizmi yetki belgesi ve varsa aracı kuruluşlarla ilişkiler kliniğin sorumluluğundadır (SaaS m.3.2a, m.6.1).
Bir veri ihlalinde sorumluluk nasıl paylaşılır?
PatientPort ihlali öğrendiği andan itibaren en geç 48 saat içinde size yazılı rapor verir (DPA m.8). Kurul'a 72 saat içinde ve gerekiyorsa hastalara bildirim yükümlülüğü veri sorumlusu olarak kliniğe aittir; PatientPort teknik raporu, kayıt dökümlerini ve hasta bilgilendirme şablonlarını sağlar (Veri İhlali Müdahale Planı). Personel şifresinin ele geçirilmesi gibi yerel olaylarda sorumluluk kliniktedir; altyapı kaynaklı olaylarda teknik sorumluluk PatientPort'tadır.
Hasta başı kâr ekranındaki rakamlar resmî kayıt mı?
Hayır. Masraf ve kâr ekranı, sizin girdiğiniz masrafların aynı para birimindeki tahsilattan düşülmesiyle bulunan iç bir göstergedir; muhasebe kaydı, fatura veya vergi matrahı değildir ve girmediğiniz giderleri içermez. Masraf kayıtları yalnız klinik yöneticilerinize görünür, hastaya hiçbir zaman gösterilmez (SaaS m.6.8).
Hasta portalı hangi dillerde?
Türkçe, İngilizce, Almanca ve Rusça. Hasta dili kendisi seçer; telefonunun dili Almanca veya Rusça ise portal o dilde açılır. Sizin yazdığınız içerikler (tedavi adları, bakım talimatları, bildirim metinleri) yazdığınız dilde ya da İngilizce karşılığıyla gösterilir. Aydınlatma metninin bağlayıcı sürümleri Türkçe ve İngilizcedir.
PatientPort'un sorumluluğu sınırlı mı?
Evet; dolaylı zararlar hariç tutulur ve toplam sorumluluk son 12 ayda ödenen lisans bedeliyle sınırlıdır. Bu sınır, kast ve ağır ihmal ile kişisel veri mevzuatından doğan ve PatientPort'un kusuruna dayanan yaptırımlarda uygulanmaz (TBK m.115). Tıbbi kararlar, transfer, konaklama ve tahsilat ilişkisi klinik ile hasta arasındadır (SaaS m.8).
B. Veriler nerede ve kim görüyor?
Verilerimiz hangi ülkede saklanıyor?
Veritabanı ve dosyalar Avrupa Birliği'nde, Almanya'nın Frankfurt bölgesinde (Supabase, eu-central-1) saklanır; sunucu işlemleri de Frankfurt'ta (Vercel fra1) çalışır. Şifreli yedekler en fazla 7 gün süreyle Türkiye'de, PatientPort'un kontrolündeki cihazda tutulur.
ABD'ye veri gidiyor mu?
Sınırlı olarak evet: Cloudflare (giriş ekranında robot doğrulaması — IP adresi), OneSignal (anlık bildirim — cihaz kimliği ve bildirim metni), Vercel (geçici işleme) ve e-posta sağlayıcıları. Bildirim metni, sizin yazdığınız şablona göre hastanın adını ve ilaç adı ile saatini içerebilir; telefon, pasaport, anamnez, hekim notu ve tıbbi belge hiçbir zaman gönderilmez. Aktarım KVKK m.9 uyarınca standart sözleşme hükümlerine ve hastanın açık rızasına dayanır. İsterseniz Ayarlar → Hasta Bildirimleri'nde şablonlardan {ad} ve {ilac} alanlarını çıkararak aktarılan veriyi daha da azaltabilirsiniz.
Alt işleyenler kimler, değişirse haberimiz olur mu?
Tam liste DPA Ek-B'dedir (Supabase, Vercel, Cloudflare, OneSignal, Resend/Brevo, flagcdn). Yeni bir alt işleyen en az 30 gün önce uygulama duyurusu ve e-posta ile bildirilir; haklı gerekçeyle itiraz edip çözüm bulunamazsa sözleşmeyi tazminatsız feshedebilirsiniz (DPA m.5-d).
PatientPort çalışanları hasta verilerimizi görebilir mi?
Hayır, siz izin vermedikçe göremez. PatientPort ekibinden hiç kimse (en yetkili hesap dahil) kliniğinize, kliniğinizin süper yöneticisi Ayarlar → Destek → "PatientPort Destek Erişimi" bölümünden süreli izin (1 saat – 7 gün) vermeden giremez; bu kural uygulamada değil veritabanında uygulanır. İzni istediğiniz an kapatabilirsiniz; izin kapanınca veya süresi dolunca açık oturum da veriye erişemez. İzin verme, kapatma ve her giriş kliniğinizin Kayıt Geçmişi'ne yazılır, giriş anında süper yöneticinize bildirim gider. Salt-okunur destek ekibi hiçbir kliniğe giremez. Erişimi olan herkes yazılı gizlilik yükümlülüğü altındadır.
Verilerimizi satıyor, reklam için kullanıyor musunuz?
Hayır. Klinik verisi kliniğe aittir; PatientPort onu kendi amacıyla işlemez, satmaz, kiralamaz, pazarlamada kullanmaz (SaaS m.3.3, DPA m.5.2). Yalnız kimliksiz toplu sayılar (ör. toplam klinik sayısı) kullanılabilir. Uygulamada reklam veya analitik çerezi yoktur.
Personelim hangi bilgileri görür?
Ayarlar → Yetkiler'de rol ve kişi bazında belirlersiniz; kurallar sunucuda (veritabanı satır güvenliği) uygulanır, yalnız ekranda gizlenmez. Varsayılan olarak şoför yalnız kendi transferini (hasta adı, saat, rota) görür; tıbbi ve finansal veriye erişemez. Hekim ve koordinatör "kendi hastaları" ile sınırlanabilir. Telefon ve takip kodu sütunları kapatılabilir.
Kim neyi ne zaman değiştirdi, görebiliyor muyuz?
Evet. Ayarlar → Kayıt Geçmişi'nde (süper yönetici) giriş/çıkış, dışa aktarma, personel adı değişikliği gibi olaylar saniye hassasiyetinde; hasta kartında da işlem geçmişi tutulur. Onay kayıtları (sözleşme, hasta açık rızası, personel taahhüdü) ayrı bir sekmede, değiştirilemez biçimde görünür ve CSV olarak indirilebilir.
C. Hastalar ve açık rıza
Hastalardan açık rızayı nasıl alıyoruz?
Hasta portala ilk girdiğinde, kliniğinizin adı ve iletişim bilgileriyle Aydınlatma Metni gösterilir ve iki ayrı, önceden işaretlenmemiş kutu sunulur: metni okudum / sağlık verilerimin işlenmesine ve yurt dışı aktarımına açık rıza veriyorum. Kutular işaretlenmeden anamnez formu açılmaz; sunucu da rıza olmadan form yanıtı kabul etmez. Onay tarih, sürüm, IP ve cihaz bilgisiyle saklanır.
Portalı kullanmayan hastanın verisini girebilir miyiz?
Evet. Tedavinin yürütülmesi için sağlık verisi işlemenin dayanağı KVKK m.6/3'tür (sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis ve tedavi). Aydınlatma yükümlülüğü ise her durumda sizdedir; portala girmeyen hastaya aydınlatma metnini ( https://app.patientport.com.tr/yasal/hasta-aydinlatma.html ) kendi kanalınızla iletmeniz ve gerekiyorsa yazılı açık rıza almanız önerilir.
Hasta verisinin silinmesini isterse ne yapıyoruz?
Talebi 30 gün içinde yanıtlarsınız (KVKK m.13). Hasta kartından kaydı silebilir (geri alınabilir silme) ya da geri döndürülemez anonimleştirme için info@patientport.com.tr adresine yazılı talep gönderebilirsiniz; PatientPort 5 iş günü içinde uygular ve kayıt geçmişine yazar. Tıbbi kayıtları mevzuatın öngördüğü süre boyunca saklama yükümlülüğünüz sürer; bunun için önce Excel dışa aktarma yapmanız önerilir.
Hasta kendi verisinin kopyasını isterse?
Hasta kartı görünümü ve Excel dışa aktarma ile karşılayabilirsiniz (taşınabilirlik hakkı). Hasta portalda kendi randevu, transfer, ödeme özeti, ilaç ve paylaşılan belgelerini zaten görür.
Hastanın tedavi planını portaldan onaylaması bilgilendirilmiş onam yerine geçer mi?
Hayır. Bu onay yalnızca fiyat teklifinin kabul edildiğinin kaydıdır (ad, tarih-saat, IP). Tıbbi müdahale öncesinde hasta hakları mevzuatının gerektirdiği bilgilendirme ve rıza (aydınlatılmış onam) kliniğiniz tarafından kendi usulünüzle ayrıca alınmalıdır. Onaylanan plan değiştirilemez; değişiklik için kopyası açılır ve hasta yeni planı ayrıca onaylar (SaaS m.6.6).
Tedavi planındaki fiyatlardan ve garanti ifadelerinden kim sorumlu?
Klinik. Planı oluşturan araç yalnızca sizin girdiğiniz kalemleri hesaplar ve belgeye döker; fiyatların meslek kuruluşunuzun ücret tarifesine ve fiyat mevzuatına uygunluğu, fatura ve vergi, "pakete dahil" ve garanti ifadelerinin doğruluğu size aittir. Belgeyi hastaya göndermeden önce kontrol edin. Doktorunuz ödeme yetkisi yoksa planı fiyatsız görür.
Kayıtlı olmayan bir kişiye plan hazırlayabilir miyiz?
Evet; yalnızca ad, telefon ve plan içeriği tutulur. Bu kişiyi aydınlatmak ve teklif sonuçsuz kalırsa kaydı makul sürede (en geç 1 yıl) silmek klinik olarak sizin yükümlülüğünüzdür.
Uygulamadaki bakiye ve raporlar muhasebe kaydı yerine geçer mi?
Hayır. Tahsilat, kalan bakiye, referans bakiyesi ve raporlar sizin girdiğiniz tutar, para birimi ve tarihlerden otomatik hesaplanan bilgi amaçlı görünümlerdir; kur çevirisi yapılmaz. Hastadan para almadan veya bakiye bildirmeden önce tutarı kendi kasa, banka ve muhasebe kayıtlarınızla karşılaştırın; resmî muhasebenizi ve faturanızı uygulama dışında tutun (SaaS m.6.8).
Referans programında PatientPort'un rolü nedir?
Program isteğe bağlıdır ve varsayılan olarak kapalıdır. Açıp açmamak, ödülün tutarı ve nasıl verileceği (indirim, nakit veya havale) tamamen kliniğinizin kararıdır. PatientPort yalnızca sizin belirlediğiniz kuralı uygular ve kaydı tutar; ödeme PatientPort üzerinden yapılmaz ve her ödül yetkilinizin onayıyla hastaya yansır (SaaS m.6.7).
18 yaş altı hastalar?
Aydınlatma metni ve rıza veli veya vasiye yöneliktir; portal girişini veli/vasinin yapması ve onayı onun vermesi gerekir.
Hastalara bildirim/hatırlatma göndermek ticari ileti sayılır mı?
Randevu, transfer, ilaç ve ziyaret hatırlatmaları hizmetin ifasına ilişkin bilgilendirme iletileridir. Kampanya, indirim veya tanıtım içeren mesajlar 6563 sayılı Kanun kapsamında ticari elektronik iletidir; bunlar için onay ve İYS kaydı kliniğin sorumluluğundadır (SaaS m.6.4). Hasta anlık bildirimleri portaldan dilediği an kapatabilir.
Otel rezervasyon mesajı veya transfer bilgisi paylaşımı veri aktarımı mı?
Evet, sınırlı bir aktarımdır ve hasta aydınlatma metninde açıkça yazılıdır: otele yalnız ad ve konaklama tarihleri, şoföre yalnız ad, saat ve rota (siz izin verirseniz karşılama için telefon). Mesajlar uygulamada kopyalanır, sizin kanalınızdan gönderilir; uygulama otelle doğrudan veri paylaşmaz.
D. Abonelik, ödeme ve sözleşmenin sonu
Ödeme gecikirse verilerimize ne olur?
Hesap askıya alınsa bile 7 gün salt-okunur girebilir, tüm kayıtlarınızı görüp Excel olarak indirebilirsiniz; hasta portalı çalışmaya devam eder. Sonrasında 30 gün içinde yazılı talep ederseniz verileriniz 10 iş günü içinde toplu teslim edilir. Askı "veri rehni" değildir (SaaS m.9).
Sözleşme bitince verilerimiz?
30 gün içinde dışa aktarabilir veya toplu teslim isteyebilirsiniz; ardından veriler yedekler dahil en geç 30 gün içinde silinir veya anonimleştirilir (DPA m.10). Mevzuatın PatientPort'a yüklediği kayıtlar (fatura, onay kayıtları) saklanır.
İade hakkımız var mı?
İlk kez satın alınan aylık veya yıllık abonelikte, ödeme tarihinden itibaren 14 gün içinde yazılı talep ederseniz ödediğiniz lisans bedeli kesintisiz iade edilir (SaaS m.4.6).
Fiyatlar değişir mi?
Değişiklik en az 30 gün önce e-postayla bildirilir ve bir sonraki dönemden geçerli olur; kabul etmezseniz dönem sonunda feshedebilirsiniz. Lansman döneminde abone olan ilk 10 klinik için, abonelik başladığı tarihte geçerli tüm paket fiyatları abonelik kesintisiz sürdüğü sürece sabittir (SaaS m.4.4).
Sözleşme değişirse?
Yeni sürüm https://app.patientport.com.tr/yasal/ adresinde sürüm numarasıyla yayımlanır, en az 30 gün önce bildirilir ve süper yöneticiniz uygulamada yeniden onaylar; onaylanmazsa dönem sonunda sona erer (SaaS m.14.2). Eski onaylar silinmez, hangi sürümün ne zaman kabul edildiği her zaman görülebilir.
Uyuşmazlıkta hangi hukuk ve mahkeme?
Türk hukuku; Antalya Mahkemeleri ve İcra Daireleri yetkilidir. Bu yetki şartı hastalarınızı bağlamaz.
E. Güvenlik ve denetim
Teknik güvenlik tedbirleri neler?
İletimde TLS; diskte sağlayıcı düzeyinde AES-256 şifreleme; her tabloda klinik kimliğine bağlı veritabanı satır güvenliği (bir klinik başka kliniğin verisini teknik olarak okuyamaz); rol ve kapsam kontrolü sunucuda; robot doğrulaması ve deneme sınırı; hasta belgeleri özel depoda ve 10 dakikalık imzalı bağlantıyla; değiştirilemez onay kayıtları; günlük şifreli yedek (7 gün). Abartılı iddialarda bulunmayız: uçtan uca şifreleme veya %100 kesintisizlik vaat edilmez.
Denetim yapabilir miyiz, belge isteyebilir miyiz?
Evet. Yazılı talebinizle tedbir dokümanı, alt işleyen sözleşme ve sertifika bilgileri paylaşılır; yılda bir kez, en az 15 gün önceden bildirilen ve iş akışını aksatmayan bir denetim veya bağımsız denetçi raporu talep edebilirsiniz (DPA m.5-h).
Personelimiz hasta bilgilerini WhatsApp'tan paylaşabilir mi?
Personel, ilk girişte Gizlilik Taahhüdü'nü onaylar: hasta verilerini kişisel cihaza kaydetmeme, ekran görüntüsü almama, kişisel WhatsApp/Telegram/e-posta ile paylaşmama. Uygulama içindeki hasta iletişim bağlantıları kliniğin yetkilendirdiği kanallardır; kişisel hesaplardan paylaşım klinik politikasına ve taahhüde aykırıdır.
İşten ayrılan personel?
Hesabını hemen pasif yapmanız veya silmeniz gerekir (SaaS m.6.3); oturumları sonlandırılır. Gizlilik yükümlülüğü görev bittikten sonra da süresiz devam eder.
F. Hastalar için kısa cevaplar / For patients
Verilerimden kim sorumlu? / Who is responsible for my data?
Tedavinizi yürüten klinik veri sorumlusudur; başvurularınızı ona yaparsınız (portal → Klinik Rehberim → Veri koruma). The clinic treating you is the data controller; send requests to the clinic (portal → Care Guide → Data protection).
Rızamı geri alabilir miyim? / Can I withdraw consent?
Evet, dilediğiniz an; önceki işlemlerin hukuka uygunluğu etkilenmez, klinik yasal tedavi kayıtlarını saklamaya devam eder. Yes, at any time; earlier processing stays lawful and the clinic keeps legally required treatment records.
Konumum izleniyor mu? / Is my location tracked?
Hayır. Ne sizin ne şoförün konumu toplanır. No. Neither your location nor the driver's is collected.
Şikâyet hakkım var mı? / Can I complain?
Kişisel Verileri Koruma Kurulu'na (www.kvkk.gov.tr) ve AB/BK'da iseniz kendi denetim otoritenize başvurabilirsiniz. You may complain to the Turkish authority (www.kvkk.gov.tr) and, in the EU/EEA or UK, to your local supervisory authority.