KVKK VE GDPR UYUMLU VERİ İŞLEME SÖZLEŞMESİ (DPA)

MADDE 1 — TARAFLAR VE ROLLER

1.1. Veri Sorumlusu: PatientPort Platformu'na kaydolan ve hastalarının, hasta yakınlarının ve personelinin kişisel verilerinin işlenme amaç ve araçlarını belirleyen Klinik.

1.2. Veri İşleyen: Tolunay Yaşar — PatientPort (şahıs işletmesi) ("PatientPort"). Veri koruma iletişimi: info@patientport.com.tr. PatientPort yalnızca yazılım hizmeti sunar; hasta bulmaz, hasta yönlendirmez ve hastalarla Klinik adına ya da kendi adına ilişki kurmaz.

1.3. İşbu DPA, B2B SaaS Hizmet ve Lisans Sözleşmesi'nin ("Ana Sözleşme") ayrılmaz ekidir; çelişki hâlinde kişisel verilere ilişkin konularda DPA üstündür.

MADDE 2 — İŞLEMENİN KONUSU, SÜRESİ, NİTELİĞİ VE AMACI (GDPR m.28/3)

Konu: Klinik'in sağlık turizmi operasyon verilerinin bulut yazılımda barındırılması ve işlenmesi. Süre: Ana Sözleşme süresi + Madde 10'daki silme süresi. Nitelik: depolama, görüntüleme, düzenleme, iletim (bildirim), yedekleme, silme — tamamı Klinik'in Platform üzerinden verdiği talimatlarla. Amaç: yalnızca Klinik'in hasta takibi, randevu, transfer, konaklama, anamnez, ödeme mutabakatı ve hasta bilgilendirme süreçlerinin yürütülmesi.

MADDE 3 — İLGİLİ KİŞİLER VE VERİ KATEGORİLERİ

3.1. İlgili kişiler: Klinik'in hastaları (ve kayıtlıysa refakatçileri), Klinik personeli (yönetici, operasyon, hekim, koordinatör, şoför), Klinik'in henüz hasta olarak kaydetmeden tedavi planı/fiyat teklifi hazırladığı kişiler ve (referans programı açıksa) hastaların Klinik'e önerdiği kişiler.

3.2. Hasta — kimlik ve iletişim: ad soyad, pasaport/kimlik numarası, telefon, e-posta, ülke, dil, erişim kodu. Özel nitelikli (sağlık): anamnez yanıtları, kronik hastalık, alerji, ameliyat geçmişi, tedavi planı ve aşaması, hekim notları, ilaç ve doz bilgisi, hasta belgeleri (röntgen, tedavi planı, epikriz). Lojistik: uçuş bilgileri ve yüklenen uçak bileti (görüntü/PDF), otel, transfer bacakları (tarih, saat, güzergâh, şoför adı). Konum verisi (hasta veya şoför) işlenmez. Finansal: tedavi ücreti, tahsilat ve iade kayıtları, bakiye; Klinik'in hasta için girdiği masraf kayıtları (tür, tutar, tarih, kısa not — yalnız Klinik yöneticileri görür, hastaya gönderilmez). Kaynak ve yönlendirme: hastanın Klinik'e nereden ulaştığı (ör. reklam, acenta, referans) ve varsa onu yönlendiren hastanın adı. Portal kullanımı: bildirim aboneliği, cihazın bildirim izin durumu, portala son giriş zamanı, bildirim geçmişi, dil tercihi (Türkçe, İngilizce, Almanca veya Rusça). Hasta yorumları ve puanları. Tedavi planı ve fiyat teklifleri: planlanan tedaviler, diş numaraları ve eksik dişler, vücut şemasında işaretlenen tedavi bölgeleri ve şema için seçilen kadın/erkek görünümü (özel nitelikli sağlık verisi), fiyatlar, indirimler, ödeme planı, geçerlilik süresi, hazırlayan hekim adı ve hastanın portaldan verdiği teklif onayının kaydı (ad, tarih-saat, IP adresi).

3.3. Personel: ad, e-posta, telefon, rol, yetkiler, profil fotoğrafı, giriş ve işlem kayıtları, kişiye gelen bildirimlerin listesi (bildirim kutusu); yalnız personelin kendisinin görebildiği kişisel anımsatıcılar ve kişisel belgeler.

3.4. Referans önerileri (yalnız Klinik referans programını açtığında): hastanın portaldan önerdiği ve henüz hasta olmayan kişilerin ad soyadı, telefon numarası ve hastanın eklediği kısa not; önerinin durumu (yeni, görüşülüyor, kayıt oldu, olmadı); öneren hastaya yazılan referans ödülü, hastaya ödenen (nakit/havale) ya da bakiyeden düşülen tutarlar. Hasta, portala ilk girişte onayladığı Aydınlatma Metni ile, önerdiği kişinin bilgilerini onun izniyle paylaşacağını beyan eder; öneri formunda ayrıca kutu işaretlenmez. Bu kişiler bakımından da Veri Sorumlusu Klinik'tir: Klinik, kişiye ilk temasta verilerinin kimden ve hangi amaçla elde edildiğini bildirir (KVKK m.10, GDPR m.14) ve kişi istemezse kaydı siler. Hasta olmayan öneriler Saklama ve İmha Politikası'ndaki süre sonunda otomatik silinir. Öneri bilgisi pazarlama için kullanılmaz; personele giden bildirimde yalnız adlar yer alır, telefon numarası bildirim sağlayıcısına gönderilmez.

3.5. Tedavi planları: Plan, hastanın kartına bağlı olarak saklanır ve Klinik isterse hasta portalında yayımlanır. Ödeme yetkisi olmayan hekim planı fiyatsız görür (fiyat, indirim ve ödeme bilgileri sunucuda çıkarılır); şoför planları hiç göremez. Henüz hasta olmayan bir kişi için hazırlanan planda yalnızca kişinin adı ve telefonu ile plan içeriği tutulur; Klinik bu kişiyi aydınlatır ve amaç sona erdiğinde kaydı siler. Hasta onayından sonra plan değiştirilemez ve tarayıcıdan silinemez; Klinik ile hasta arasındaki teklif kabulünün kanıtı olarak hasta kaydıyla birlikte saklanır. PDF ve görsel dosyalar personelin kendi cihazında oluşturulur; Platform bunları üçüncü kişilere göndermez. Klinik'in bu dosyaları mesajlaşma uygulaması veya e-posta ile paylaşması, Veri Sorumlusu olarak Klinik'in kendi aktarımıdır.

MADDE 4 — VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

4.1. Klinik, Platform'a aktardığı verileri KVKK m.5, m.6 ve GDPR m.6, m.9'a uygun hukuki sebeple topladığını; hastalarına Hasta Aydınlatma Metni'ni sunduğunu ve sağlık verilerinin Platform üzerinden işlenmesi ile yurt dışına aktarılması için açık rıza aldığını veya geçerli başka bir hukuki sebebe dayandığını beyan eder. Platform, hasta portalına ilk girişte Aydınlatma Metni'ni gösterip ayrı bir açık rıza kutusu sunar ve kaydeder; ancak hukuki sebebin varlığından nihai olarak Klinik sorumludur.

4.2. Klinik, veri sorumlusu olarak kendi mevzuat yükümlülüklerini yerine getirir; ilgili kişi başvurularını cevaplar; işleme talimatlarının hukuka uygun olmasını sağlar.

4.3. Klinik, Yetkili Kullanıcı hesaplarının ve yetki düzeylerinin doğruluğundan sorumludur; personel değişikliklerini gecikmeksizin Platform'a yansıtır.

MADDE 5 — VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ (GDPR m.28/3)

• (a) Talimata bağlılık: Verileri yalnızca Klinik'in belgelenmiş talimatları (Platform fonksiyonları ve Ana Sözleşme) doğrultusunda işler; AB/Türk hukukunun zorunlu kıldığı hâller hariç. Bir talimatın mevzuata aykırı olduğunu düşünürse Klinik'i derhal bilgilendirir.
• (b) Gizlilik: Verilere erişimi olan tüm çalışan ve yetkilileri yazılı gizlilik yükümlülüğü altındadır; bu yükümlülük görev bittikten sonra da sürer.
• (c) Güvenlik: Ek-C'deki teknik ve idari tedbirleri uygular ve günceller.
• (d) Alt işleyenler: Yalnızca Ek-B'deki alt işleyenleri kullanır; değişiklikleri en az 30 gün önceden Platform duyurusu ve e-posta ile bildirir; Klinik haklı gerekçeyle itiraz ederse çözüm bulunamadığında Ana Sözleşme'yi tazminatsız feshedebilir. Alt işleyenlerle eşdeğer yazılı veri koruma yükümlülükleri kurulur.
• (e) İlgili kişi hakları: Klinik'in KVKK m.11 / GDPR m.15-22 taleplerini karşılaması için Platform'da hasta kartı görüntüleme, Excel dışa aktarma, düzeltme, silme ve geri döndürülemez anonimleştirme araçlarını hazır bulundurur; doğrudan PatientPort'a gelen hasta taleplerini 3 iş günü içinde Klinik'e iletir. Geri döndürülemez anonimleştirme, Klinik süper yöneticisinin yazılı talebi üzerine PatientPort tarafından en geç 5 iş günü içinde uygulanır ve Klinik kayıt geçmişine yazılır.
• (f) Yardım: Veri güvenliği, ihlal bildirimi, veri koruma etki değerlendirmesi ve Kurul/otorite ile istişare konularında Klinik'e makul destek sağlar.
• (g) Silme/iade: Madde 10 uyarınca.
• (h) Denetim: Klinik'in yazılı talebi üzerine uygunluğu gösteren bilgileri (tedbir dokümanı, alt işleyen sertifikaları, denetim özetleri) sunar; yılda bir kez, en az 15 gün önceden bildirilen ve iş akışını aksatmayan bir denetime veya bağımsız denetçi raporuna imkân tanır.
• (i) PatientPort ekibinin erişimi: PatientPort çalışanları (en yetkili hesap dahil) Klinik'in hasta ve personel verilerine, Klinik'in süper yöneticisi Platform üzerinden süreli destek erişim izni (en fazla 30 gün) vermedikçe erişemez; bu kural veritabanı düzeyinde uygulanır. İzin Klinik tarafından her an kapatılabilir; kapandığında ya da süresi dolduğunda açık oturum da veriye erişemez. İzin verilmesi, kapatılması ve her giriş Klinik'in kayıt geçmişine yazılır ve girişte Klinik'in süper yöneticisine bildirim gider. Salt-okunur platform destek hesapları hiçbir kliniğe giremez. Bu bent; teknik arıza giderme, yedekten geri yükleme ve Madde 10 kapsamındaki teslim gibi Klinik'in yazılı talebiyle yapılan işlemlerde, talep edilen işle sınırlı olmak üzere uygulanır.

5.2. PatientPort, Klinik Verisi'ni kendi amaçlarıyla işlemez, satmaz, kiralamaz, pazarlama amacıyla kullanmaz, kimliksizleştirilmiş toplu istatistikler (ör. toplam klinik/hasta sayısı) hariç.

MADDE 6 — TEKNİK VE İDARİ TEDBİRLER

Ek-C'de ayrıntılı tedbirler yer alır. Özet: iletimde TLS 1.2+/HTTPS; diskte sağlayıcı düzeyinde şifreleme (AES-256); her satırda klinik kimliğine bağlı mantıksal kiracı izolasyonu (Postgres Row-Level Security — kriptografik değil, veritabanı düzeyinde zorunlu erişim kontrolü); rol bazlı yetkilendirme (şoför hiçbir tıbbi/finansal veriyi göremez; hekim/koordinatör kendi hastalarıyla sınırlanabilir); tüm sunucu uç noktalarında kimlik doğrulama ve oran sınırlama; hasta belgeleri özel depoda, 10 dakikalık imzalı bağlantılarla; klinik kayıt geçmişi (audit log); değiştirilemez onay kayıtları; günlük yedek.

MADDE 7 — ALT İŞLEYENLER VE YURT DIŞINA AKTARIM

7.1. Yetkili alt işleyenler Ek-B'de listelenir. Veritabanı ve dosyalar Almanya'da (Frankfurt) barındırılır. Bazı alt işleyenlerin merkezi ABD'dedir ve bazı hizmetler (push bildirim iletimi, robot doğrulama, CDN) ABD'de işlem içerebilir.

7.2. Hukuki dayanak: Klinik, verilerin yurt dışına aktarılacağını bilerek ve KVKK m.9 (7499 sayılı Kanunla değişik) kapsamında uygun güvencelerin sağlanması şartıyla bu aktarıma onay verir. PatientPort, alt işleyenlerle GDPR m.46 Standart Sözleşme Hükümlerini (SCC) ve KVKK m.9/4-ç kapsamında Kurul tarafından ilan edilen standart sözleşmeyi akdeder; standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurul'a bildirim yükümlülüğünü yerine getirir; bildirim bilgileri Klinik'in yazılı talebi üzerine paylaşılır. Bildirim metinlerinde hastanın adı ve ilaç adı gibi sınırlı veriler yer alabileceğinden, bu aktarım ayrıca hastanın açık rızasına (KVKK m.9/6-a) dayanır.

7.3. Hasta Aydınlatma Metni, aktarım yapılan ülkeleri ve alt işleyen kategorilerini açıkça belirtir.

MADDE 8 — VERİ İHLALİ BİLDİRİMİ

8.1. PatientPort, kişisel veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 48 saat içinde Klinik'e ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kayıt sayısını, olası sonuçları ve alınan/alınacak tedbirleri yazılı olarak bildirir; bilgiler aşamalı olarak tamamlanabilir.

8.2. Kurul'a (72 saat) ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu Klinik'e aittir; PatientPort gerekli teknik raporu ve kayıtları sağlar. Ayrıntı: Veri İhlali Müdahale Planı.

MADDE 9 — İLGİLİ KİŞİ HAKLARINA DESTEK

Platform araçları: hasta kartı (erişim/bilgi), düzenleme (düzeltme), Excel dışa aktarma (taşınabilirlik), silme (soft delete), geri döndürülemez anonimleştirme — Klinik'in yazılı talebiyle (ad → baş harfler, telefon maskeleme, pasaport/e-posta/notlar/anamnez silinir, erişim kodu geçersiz kılınır), bildirim aboneliğini kapatma; geri döndürülemez anonimleştirme Madde 5(e) uyarınca PatientPort tarafından uygulanır. Hasta portalında hastanın kendi bildirim tercihleri ve veri koruma başvuru kanalı gösterilir.

MADDE 10 — SÖZLEŞME SONUNDA VERİLERİN İADESİ VE SİLİNMESİ

10.1. Ana Sözleşme'nin sona ermesinden itibaren 30 gün içinde Klinik, Platform'daki tüm verilerini Excel/CSV olarak dışa aktarabilir veya PatientPort'tan JSON/CSV teslimini yazılı olarak isteyebilir (10 iş günü içinde teslim).

10.2. 30 günün sonunda PatientPort, Klinik Verisi'ni ve yedeklerini en geç 30 gün içinde siler veya geri döndürülemez biçimde anonimleştirir. Tıbbi kayıtların mevzuatta öngörülen süre boyunca saklanması yükümlülüğü Veri Sorumlusu Klinik'e aittir; Klinik bu amaçla dışa aktarma yapar. PatientPort yalnızca mevzuatın kendisine yüklediği kayıtları (fatura, onay kayıtları) saklar.

MADDE 11 — SORUMLULUK

11.1. Taraflar, KVKK m.12/2 uyarınca veri güvenliğinden müştereken sorumludur; her biri kendi kusuru oranında sorumludur. 11.2. Klinik'in kusurundan (rıza almama, hukuka aykırı talimat, personel ihlali) kaynaklanan ve PatientPort'a yöneltilen yaptırım ve talepler Klinik'e rücu edilir; PatientPort'un kusurundan kaynaklananlar ise Ana Sözleşme m.8 sınırları içinde PatientPort'a aittir (kast ve ağır ihmalde sınır uygulanmaz).

MADDE 12 — YÜRÜRLÜK VE UYGULANACAK HUKUK

İşbu DPA, kayıt sırasında ayrı onay kutusu ile kabul edilmesiyle yürürlüğe girer; onay kaydı Ana Sözleşme m.14 uyarınca tutulur. Türk hukuku uygulanır; Antalya Mahkemeleri ve İcra Daireleri yetkilidir. GDPR'a tabi ilgili kişilerin kendi ülkelerindeki hakları saklıdır.

EK-A — VERİ KATEGORİLERİ

Madde 3'te sayılmıştır.

EK-B — ALT İŞLEYENLER

EK-C — TEKNİK VE İDARİ TEDBİRLER

• Erişim: Kimlik yalnızca sunucu tarafında oturumdan türetilir; ad eşleştirmesi veya istemciden gelen kimlikle yetki verilmez.
• Kiracı izolasyonu: Her tabloda clinic_id; Row-Level Security politikaları veritabanında zorunlu; maskeli okuma fonksiyonları (hekim notu yalnız hekime).
• Rol ve kapsam: super_admin, operasyon, hekim, koordinatör, şoför; "kendi hastaları" kapsamı kimlik bazlıdır ve yalnız kişiye atanmış (ya da kişinin kaydettiği) hastaları kapsar; Klinik, rol veya kişi bazında hasta kartı bölümlerini (hasta bilgileri, ödeme, transfer, tıbbi bilgiler, geçmiş), sütunları ve hasta kaynaklarını (örn. yalnız belirli bir acentanın hastaları) ayrıca kısıtlayabilir; bu kısıtlar istemcide değil veritabanında ve sunucu uç noktalarında uygulanır. Şoföre yalnız ad, saat ve rota.
• Şifreleme: TLS iletimde; sağlayıcı AES-256 diskte; şifreler Supabase Auth tarafından hashlenir; hasta portalı imzalı (HMAC) oturum anahtarı, 90 gün.
• Bildirim içeriği: Anlık bildirim metni Klinik'in yazdığı şablondan üretilir; Klinik, şablonlarda hastanın adı ve ilaç adı gibi alanları kullanıp kullanmayacağına karar verir. Bildirim sağlayıcısına telefon, pasaport, anamnez, hekim notu ve belge gönderilmez.
• Kötüye kullanım koruması: Cloudflare Turnstile, IP ve hesap bazlı oran sınırlama, telefon + erişim kodu birlikte zorunlu.
• Belgeler: özel depo, yol kilidi (satır başka hastanın dosyasına işaret edemez), 10 dk imzalı bağlantı, dosya üzerine yazma yok.
• Kayıt: klinik kayıt geçmişi (kim, ne, ne zaman — saniye), değiştirilemez onay kayıtları, API hata kayıtlarında kişisel veri yok.
• Yedek: günlük veritabanı ve dosya yedeği, 7 gün dönen; yedekler indirilmeden önce PatientPort'un kendi kontrolündeki cihazda (Türkiye) AES-256-GCM ile şifrelenir, dosya adları açık tutulmaz, şifre anahtarı cihazın güvenli anahtar deposunda saklanır; üçüncü kişiye veya bulut paylaşım hizmetine verilmez.
• Platform ekibi erişimi: Klinik izni olmadan PatientPort ekibinin kliniğe girişi teknik olarak engellidir (Madde 5 (i)); izin süreli, kayıt altında ve Klinik tarafından her an kapatılabilir.
• İdari: en az yetki ilkesi; personel gizlilik taahhüdü; yıllık tedbir gözden geçirmesi; ihlal planı tatbikatı.

EK-D — SAKLAMA SÜRELERİ

Kişisel Veri Saklama ve İmha Politikası'nda yer alır.

EK-E — ALT İŞLEYEN SÖZLEŞMELERİ VE YURT DIŞI AKTARIM GÜVENCELERİ

PatientPort, her alt işleyenle o sağlayıcının yayımladığı Veri İşleme Eki'ni (DPA) ve AB Standart Sözleşme Hükümlerini (SCC, 2021/914) hizmet şartlarının parçası olarak kabul etmiştir. Belgeler ve KVKK m.9 kapsamındaki ek adımlar (Kurul standart sözleşmesi / bağlayıcı güvence) ayrı notta (07) izlenir ve Klinik'in yazılı talebiyle paylaşılır.