Veri İşleme Sözleşmesi (GDPR md. 28)

Bu sözleşme ürünün çalışma alanı tarafını kapsar: baktığınız kişiler hakkında tuttuğunuz danışan kayıtları, randevular, notlar, anketler, belgeler ve mesajlar. Halka açık dizin profilinizi ya da biri henüz danışanınız olmadan gönderdiği bir talebi kapsamaz; orada Vitena kendi adına veri sorumlusudur, veri koruma sayfasında anlatıldığı gibi.

1. Taraflar ve roller

Vitena hesabının sahibi olan uzman ya da işletme olarak siz, GDPR md. 4(7) uyarınca veri sorumlususunuz. Vitena md. 4(8) uyarınca sizin veri işleyeninizdir ve kişisel verileri yalnızca sizin için, yalnızca hizmeti sunmak amacıyla işler. Vitena klinik verilerinizi kendi amaçları için işlemez, satmaz, platformdaki başka uzmanlarla paylaşmaz ve yapay zeka modellerini eğitmek için kullanmaz.

2. Konu, nitelik, amaç ve süre

Konu ve amaç: sizin adınıza bir işletme yönetimi ve danışan iletişimi platformu işletmek. İşlemenin niteliği: toplama, saklama, düzenleme, erişme, gösterme, iletme, yedekleme, silme. Süre: hesabınız var olduğu sürece, ayrıca 10. maddedeki silme süreleri.

3. İlgili kişi ve kişisel veri kategorileri

İlgili kişiler: danışanlarınız ya da hastalarınız, size soru soran veya randevu alan kişiler ve hesabı kullanan kendi ekip üyeleriniz.

• Kimlik ve iletişim bilgileri: ad, e-posta adresi, telefon numarası, doğum tarihi
• Randevu ve hizmet kayıtları, ödeme durumu ve faturalar
• Sağlık verileri (GDPR md. 9): anket yanıtları, ölçümler, seans notları, planlar, onam kayıtları, yüklenen belge ve görseller ve hazırladığınız kişiye özel özetler
• Platform ve danışan portalı üzerinden gönderilen mesajlar
• Hizmeti çalıştırmak için gereken teknik veriler: günlük kayıtları, IP adresi, cihaz ve tarayıcı bilgisi

Vitena, özel nitelikli sağlık verisinin bulunacağı varsayımıyla kuruldu. Bunun hukuki dayanağını kurmak veri sorumlusu olarak size düşer, genellikle GDPR md. 9(2)(h) ile ulusal meslek kurallarınız birlikte. Bu sözleşmedeki yükümlülükler yukarıdaki kategorilerin tamamı için geçerlidir: serbest metin notları, uzmana özel gizli notlar ve yüklediğiniz dosyalar dahil, yalnızca yapılandırılmış anket alanları değil.

4. Talimatlarınız doğrultusunda işleme

Vitena kişisel verileri yalnızca sizin belgelenmiş talimatlarınızla işler. Talimatlarınız şunlardır: bu sözleşme, Hizmet Sözleşmesi, üründe seçtiğiniz ayarlar ve üründe yaptığınız işlemler. Bir talimatın kendi görüşüne göre GDPR'yi ihlal ettiğini düşünürse Vitena size bunu bildirir. AB veya üye devlet hukuku Vitena'yı talimatlarınızın ötesinde bir işlemeye zorluyorsa, o hukuk yasaklamadıkça işlemeden önce bilgilendirilirsiniz.

Yapay zeka özellikleri, her seferinde tek bir işlem için sizin verdiğiniz bir talimattır. Siz bilerek bir AI işlemi başlatmadıkça hiçbir AI sağlayıcısı danışan içeriği görmez: plan taslağı çıkarmak, not taslağı yazmak veya eklediğiniz bir belgeyi okutmak gibi. Bu özellikleri hiç kullanmazsanız hiçbir danışan verisi AI sağlayıcısına gitmez. İki sağlayıcı da API üzerinden gönderilen içerikle model eğitmez.

5. Gizlilik

Vitena tarafında kişisel verilere erişebilecek herkes, görevi sona erdikten sonra da devam eden bir gizlilik yükümlülüğü altındadır ve erişim yalnızca hizmeti çalıştırmak, desteklemek ve güvenliğini sağlamak için gereken ölçüde verilir.

6. İşlemenin güvenliği (md. 32)

Vitena, tamamı Ek A'da sayılan uygun teknik ve idari tedbirleri uygular. Koruma düzeyi düşmemek kaydıyla, teknoloji geliştikçe tedbirler değiştirilebilir.

7. Alt veri işleyenler

Ek B'de sayılan alt veri işleyenlerin Vitena tarafından kullanılmasına genel yetki vermiş olursunuz. Vitena her birine bu sözleşmedekinden daha az koruyucu olmayan veri koruma yükümlülükleri getirir ve onların ediminden size karşı tam sorumlu kalır. Bir alt işleyeni eklemeden veya değiştirmeden önce Vitena size bildirir, böylece itiraz edebilirsiniz; makul veri koruma gerekçesiyle itiraz eder ve bir çözüm bulunamazsa ilgili hizmeti sonlandırabilirsiniz.

8. Danışanlarınıza cevap vermenizde destek

Vitena, GDPR III. Bölüm kapsamındaki haklarını kullanan ilgili kişilerin taleplerini yanıtlamanızda mümkün olduğunca size destek olur: erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz. Bunların çoğunu üründe kendiniz yapabilirsiniz; yapamadığınız yerde Vitena talep üzerine yardım eder. Bir ilgili kişi sizin çalışma alanınızdaki veriler için doğrudan Vitena'ya başvurursa, Vitena sizin adınıza cevap vermez, kişiyi size yönlendirir.

9. İhlaller ve md. 32-36 desteği

Vitena, verilerinizi etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra sizi gecikmeksizin bilgilendirir; md. 33 kapsamındaki kendi bildiriminiz için gereken bilgilerle birlikte: ne olduğu, hangi kategorilerin ve yaklaşık kaç kaydın etkilendiği, muhtemel sonuçlar ve alınan tedbirler. Vitena ayrıca, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, md. 32-36 kapsamındaki yükümlülüklerinizde, gerektiğinde veri koruma etki değerlendirmesi dahil, size destek olur.

10. Verilerin silinmesi ve iadesi

Hesap etkin olduğu sürece verilerinizi istediğiniz zaman dışa aktarabilir, tek tek kayıtları kendiniz silebilirsiniz. Sözleşme sona erdiğinde Vitena, AB ya da üye devlet hukuku saklamayı zorunlu kılmadıkça sizin için işlediği kişisel verileri siler. Canlı sistemlerden silme, sözleşmenin bitiminden itibaren 30 gün içinde yapılır. Yedekler kayan bir pencerede tutulur ve olağan işleyişte üzerine yazılır; silinen bir kayıt en geç bu pencere içinde yedeklerden de kaybolur, güncel saklama süresi için bkz. Ek A. Yedekler, bilerek sildiğiniz veriyi geri getirmek için asla kullanılmaz.

11. Bilgi alma ve denetim hakkı

Vitena, md. 28'e uyumu göstermek için gereken tüm bilgileri size sunar; sizin ya da görevlendireceğiniz denetçinin yapacağı denetimlere, yerinde inceleme dahil, izin verir ve katkıda bulunur. İlk aşamada bu yükümlülük bu belge, Ek A ve Ek B ile karşılanır. Bunun ötesinde somut yazılı sorular sorabilirsiniz, Vitena bunları yanıtlar; belgelenmiş bir gerekçenin zorunlu kıldığı hallerde yerinde inceleme talep edilebilir: makul bir önceden bildirimle, mesai saatleri içinde, işleyişi aksatmadan ve gizliliğe uyularak.

12. Verinin işlendiği yer ve AEA dışına aktarım

Çalışma alanınızın verisi Avrupa Birliği'nde, AWS'nin Frankfurt bölgesinde (eu-central-1) saklanır. Tek bir istisna vardır ve o da sizin kontrolünüzdedir: Ek B'deki iki AI sağlayıcısı Amerika Birleşik Devletleri'nde bulunur ve içerik onlara yalnızca siz bir AI işlemi başlattığınızda ulaşır. Bu aktarımlar Avrupa Komisyonu'nun Standart Sözleşme Hükümleri'ne dayanır. Vitena'yı işleten şirket Türkiye'de kuruludur; şirket merkezi ile verinin bulunduğu yer iki ayrı şeydir ve AEA dışından yapılan destek erişimi aynı sözleşmesel güvencelerin kapsamındadır.

13. Süre, değişiklik ve öncelik

Bu sözleşme, Vitena hesabınız var olduğu sürece yürürlüktedir. Değiştirilirse yeni sürüm burada yeni bir sürüm numarası ve yürürlük tarihiyle yayımlanır, yürürlüğe girmeden önce size bildirilir. Daha önce verilmiş kabuller, o sırada yürürlükte olan sürüme bağlı kalır. Bu sözleşme ile Hizmet Sözleşmesi bir veri koruma konusunda çelişirse bu sözleşme üstün gelir.

Ek A: Teknik ve idari tedbirler (md. 32)

Burada hedeflenen değil, hâlihazırda uygulanan tedbirler yazılıdır. Uygulanmayan bir tedbir listeye alınmaz.

Buradaki koruma tek bir tedbire dayanmaz, katmanlıdır. Her işletme diğerlerinden ayrıdır; işletme içindeki erişim role göre sınırlıdır; iletim hâlindeki her şey şifrelidir; dosya ve belgeler saklandıkları yerde şifrelidir; veritabanına internetten erişilemez; çalışan sistemdeki her değişiklik gözden geçirilmiş, otomatik bir dağıtım hattından geçer. Bir katmandaki zayıflık kaydı açmaz, çünkü bir sonraki katmanın da aşılması gerekir.

Erişim kontrolü ve ayrıştırma

• Her işletmenin kayıtları diğer işletmelerinkinden ayrı tutulur ve bir hesabın kimlik bilgisiyle gelen istek başka bir hesabın verisine erişemez; veri katmanı bir isteği tam olarak tek bir işletmeye bağlayamıyorsa, ortak bir görünüme düşmek yerine isteği reddeder
• Hesap içinde rol bazlı yetkiler; asistan klinik içeriği otomatik olarak görmez
• Gizli notlar ayrı bir alanda saklanır ve danışan portalına hiçbir zaman gönderilmez
• Parolalar yalnızca, yerleşik bir parola özetleme algoritmasıyla (bcrypt) tuzlanmış tek yönlü özet olarak saklanır, hiçbir zaman okunabilir biçimde tutulmaz; asgari uzunluk ve karmaşıklık kuralı zorunludur
• Oturumlar kısa ömürlü imzalı jetonlarla çalışır; portal ve anket linkleri tek amaçlıdır, süresi dolar ve yeniden üretilerek iptal edilebilir
• Uzmanın kendi girişi için iki adımlı doğrulama (TOTP, RFC 6238) mevcuttur; hesap ayarlarından kullanıcı bazında açılır ve tek kullanımlık kurtarma kodlarıyla desteklenir. İki adımlı doğrulaması açık bir Google hesabıyla giriş de alternatif ikinci faktördür

İletim ve saklama

• Tarayıcı, mobil uygulama ve sunucular arasındaki tüm trafik TLS ile şifrelenir; düz HTTP yönlendirilir
• Yüklenen dosya ve belgeler AB'deki nesne deposunda, sunucu tarafı şifrelemeyle (AES-256) ve dışarıya kapalı biçimde saklanır; yalnızca kısa ömürlü imzalı bağlantılarla sunulur
• Veritabanına internetten erişilemez: dışarıya açık bir adresi yoktur ve yalnızca uygulamanın kendisinden gelen bağlantıları kabul eder
• Sırlar ve API anahtarları yönetilen bir parametre deposunda tutulur, hiçbir zaman kaynak kodda değil
• Bildirim e-postaları yalnızca bir şeyin hazır olduğunu haber verecek şekilde yazılır, gövdesinde klinik içerik taşımaz

Erişilebilirlik ve dayanıklılık

• Otomatik günlük veritabanı yedekleri, zaman noktasına geri dönüşle birlikte; 7 gün saklanır, sonra üzerine yazılır
• Veritabanında silme koruması; bir altyapı değişikliğiyle kaldırılamaz
• Yönetilen, otomatik ölçeklenen barındırma; hata oranları ve kaynak limitleri için izleme ve uyarı

İdari tedbirler

• Canlı sistemlere erişim yalnızca onları işleten kişilerle sınırlıdır ve gizlilik yükümlülüğü altındadır
• Değişiklikler canlıya gözden geçirilmiş, otomatik bir dağıtım hattıyla çıkar, sunucu üzerinde elle değil
• Hesap içindeki hareketler kayda alınır; kimin ne zaman ne yaptığı sonradan izlenebilir
• Veri dışa aktarma ve hesap silme, destek ekibine başvurmadan üründen yapılabilir

Açıkça söyleyelim: neler yok

Vitena'nın ISO 27001 ya da SOC 2 belgesi yoktur ve olduğu iddia edilmez. ABD sağlık pazarına hizmet verilmediği için Vitena bir HIPAA business associate değildir ve BAA sunmaz. Teslim edilebilecek resmî bir sızma testi raporu da yoktur: güvenlik, ürünün geliştirilme ve işletilme biçiminin parçası olarak gözden geçirilir, üçüncü tarafça belgelendirilmez.

Ek B: Onaylı alt veri işleyenler

Güncel liste, her birinin ne için kullanıldığı ve veriyi nerede işlediğiyle birlikte veri koruma sayfasında yayımlanır ve güncel tutulur. Atıf yoluyla bu sözleşmenin parçasıdır; böylece listedeki bir değişiklik yeni bir sözleşme sürümü gerektirmez ama yine de 7. madde uyarınca bildirim olarak size ulaşır.

Sorularınız ya da dosyanız için bir nüsha

info@vitena.care adresine yazın; hangi adla çalıştığınızı ve hangi ülkede olduğunuzu belirtin. Ücret alınmaz ve bu sözleşme ücretsiz planda da ücretli planlarda olduğu gibi geçerlidir.

İlgili sayfalar: Veri koruma, barındırma ve alt işleyenler · GDPR ve danışanlarınızın hakları · Hizmet Sözleşmesi · Gizlilik Politikası