Veri İşleme Sözleşmesi

Bu Sözleşmede;

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
• Özel Nitelikli Kişisel Veri: Sağlık verileri başta olmak üzere KVKK’nın 6. maddesinin birinci fıkrasında ve GDPR’ın 9. maddesinde sayılan kişisel verileri,
• İşleme: Kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, aktarılması, dışa aktarılması, silinmesi dâhil üzerinde gerçekleştirilen her türlü işlemi,
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişiyi; bu Sözleşmede Klinik Verisi bakımından Klinik’i,
• Veri İşleyen: Veri Sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişiyi; bu Sözleşmede Klinik Verisi bakımından Clinigim’i,
• Alt İşleyen: Clinigim’in bu Sözleşme kapsamındaki işleme faaliyetleri için hizmet aldığı ve kişisel verilere erişebilen üçüncü kişiyi,
• İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi (özellikle Hastaları; Hasta kaydında yer alan veli, vasi, yakın ve acil durumda aranacak kişileri; randevu sayfasını kullanan kişileri; Klinik’in sahibini, hekimlerini ve diğer personelini),
• Veri İhlali: Clinigim’in veya Alt İşleyenlerinin sorumluluk alanındaki sistemlerde meydana gelen ve Klinik Verisinin kazara veya hukuka aykırı olarak imhasına, kaybına, değiştirilmesine, yetkisiz açıklanmasına ya da bunlara yetkisiz erişilmesine yol açan güvenlik ihlalini; Klinik Verisinin güvenliğini etkilemeyen başarısız erişim denemeleri, taramalar ve benzeri sonuç doğurmayan olaylar Veri İhlali sayılmaz,
• Kurul: Kişisel Verileri Koruma Kurulu’nu; Kurum: Kişisel Verileri Koruma Kurumu’nu; Denetim Otoritesi: Klinik’in tabi olduğu veri koruma otoritesini,
• Aktarım Yönetmeliği: 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliği,
• Veri Koruma Mevzuatı: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu (“KVKK”), buna dayanılarak çıkarılan yönetmelik ve tebliğler ile Kurul kararlarını; sağlık hizmeti sunucusu sıfatıyla Klinik bakımından ayrıca Kişisel Sağlık Verileri Hakkında Yönetmeliği; Klinik Avrupa Ekonomik Alanı’nda yerleşikse (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü’nü (“GDPR”), Birleşik Krallık’ta yerleşikse Birleşik Krallık GDPR’ını ve Data Protection Act 2018’i,
• Ekler: Bu Sözleşmenin ayrılmaz parçası olan Ek-1 (İşleme Ayrıntıları), Ek-2 (Teknik ve İdari Tedbirler), Ek-3 (Alt İşleyenler) ve Ek-4’ü (AEA ve Birleşik Krallık Klinikleri için GDPR Eki) ifade eder.

3.1. Klinik, Klinik Verisi bakımından Veri Sorumlusudur; hangi verinin hangi amaçla, hangi hukuki sebebe dayanılarak ve hangi süreyle işleneceğine Klinik karar verir. 12. maddedeki silme takvimi bu kararların bu Sözleşmeyle belgelenmiş uygulamasıdır. Sağlık mevzuatı ve diğer mevzuattan doğan saklama sürelerinin belirlenmesi ve izlenmesi ile bu süreler dolmadan verilerin 12. maddeye göre dışa aktarılması Klinik’in sorumluluğundadır.

3.2. Clinigim Veri İşleyendir; Klinik Verisini yalnızca Klinik’in belgelenmiş talimatı doğrultusunda ve Hizmeti sunmak amacıyla işler. Clinigim, Klinik Verisini kendi amaçları için kullanmaz; satmaz, kiralamaz, reklam veya profil çıkarma amacıyla işlemez ve Hasta Verisini anonim hâle getirmez. Hizmetin ve Klinik Verisinin güvenliğinin sağlanması, kötüye kullanımın önlenmesi, Clinigim’in tabi olduğu hukuki yükümlülüklerin yerine getirilmesi ve Kullanım Şartları’nın 8.4. maddesinde belirtilen, Hasta Verisi içermeyen, Klinik düzeyindeki kullanım sayımlarının (kayıt, randevu ve işlem adedi, özelliklerin kullanılıp kullanılmadığı gibi) destek, faturalandırma ve Hizmetin geliştirilmesi amacıyla Clinigim’in kendi veri sorumlusu sıfatıyla işlenmesi (1.2. madde) bu fıkraya aykırılık sayılmaz.

3.3. Klinik Verisi içindeki Özel Nitelikli Kişisel Verilerin işlenmesi ve yurt dışına aktarımı için gereken hukuki şartın sağlanması (KVKK m. 6/3; Klinik’e GDPR uygulanıyorsa m. 9), KVKK m. 6/4 uyarınca Kurul tarafından belirlenen yeterli önlemlerden Klinik’e düşenlerin alınması ve İlgili Kişilerin, verilerinin Hizmetin sunulması kapsamında Türkiye dışındaki alıcı gruplarına aktarılabileceği (11. madde ve Alt İşleyenler sayfası) dâhil olmak üzere KVKK m. 10 uyarınca aydınlatılması ile bunların ispatı Klinik’in sorumluluğundadır.

3.4. Veri Sorumlusu sıfatıyla Klinik ayrıca aşağıdakilerden sorumludur; bunlar Clinigim’in yerine getirmekle yükümlü olduğu işler değildir: (a) Klinik Verisini KVKK’nın 4. maddesindeki ilkelere uygun olarak toplamak ve her işleme için KVKK m. 5 ve m. 6/3 kapsamındaki işleme şartının (Klinik’e GDPR uygulanıyorsa m. 6 ve m. 9) varlığını sağlamak; açık rızaya dayanılan hâllerde rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmesini sağlamak, ispatını saklamak ve geri alınmasını gözetmek; (b) Klinik Verisini doğru ve gerektiğinde güncel tutmak ve Clinigim’e verdiği talimatların Veri Koruma Mevzuatına uygun olmasını sağlamak (Clinigim, talimatların hukuka uygunluğunu denetlemekle yükümlü değildir; 4.2. madde saklıdır); (c) reşit olmayan veya kısıtlı Hastalar bakımından aydınlatmayı ve gereken rızayı yasal temsilci aracılığıyla yerine getirmek; (d) Veri Sorumluları Siciline kayıt yükümlülüğünün bulunup bulunmadığını Kurul kararları çerçevesinde değerlendirmek, yükümlüyse kaydı yaptırmak ve güncel tutmak, kişisel veri saklama ve imha politikası dâhil Veri Koruma Mevzuatının veri sorumlusundan aradığı belge ve süreçleri oluşturmak; (e) İlgili Kişi başvurularını yasal süre içinde yanıtlamak ve Kurul’a, Denetim Otoritesine ve İlgili Kişilere yapılması gereken bildirimleri yapmak; (f) Hesap, Kullanıcı ve yetki yönetimini Kullanım Şartları’nın 5. maddesine ve bu Sözleşmenin 6.3. maddesine uygun yürütmek; (g) mesaj ve bildirim kanallarını yalnızca bu kanaldan bilgilendirilmeyi kabul etmiş Hastalar için etkinleştirmek ve bu kabulün kaydını tutmak (Kullanım Şartları m. 9); (h) sağlık mevzuatından doğan kayıt, arşiv, saklama ve Bakanlık sistemlerine bildirim yükümlülüklerini yerine getirmek (3.5. madde).

3.5. Hizmet, Klinik’in kendi faaliyetinde kullandığı bir yazılım hizmetidir. Hizmet, Sağlık Bakanlığı Kayıt Tescil Sistemi’nde (KTS) kayıtlı değildir ve Bakanlık onaylı bir sağlık bilgi yönetim sistemi olarak sunulmaz; sağlık mevzuatının sağlık hizmeti sunucularına yüklediği kayıt, arşiv, merkezî sağlık veri sistemine veri gönderimi ve benzeri yükümlülükler Klinik’te kalır. Clinigim bu yükümlülükleri Klinik adına yerine getirmez; Hizmetteki saklama ve yedekleme, Klinik’in yasal arşiv yükümlülüğünün yerine geçmez. Hizmetin, Klinik’in tabi olduğu sağlık mevzuatı bakımından kullanılıp kullanılamayacağını değerlendirmek Klinik’in sorumluluğundadır.

4.1. Klinik’in belgelenmiş talimatları; bu Sözleşme, Kullanım Şartları, Hizmetin uygulama içi ayarları ve Klinik’in yazılı olarak ilettiği ek talimatlardan oluşur. Ek talimatlar makul, Hizmetin niteliğiyle uyumlu ve Veri Koruma Mevzuatına uygun olmalıdır; uygulanmaları Hizmetin teknik olarak desteklediği ölçüyle sınırlıdır. Bir talimatın ya da 8. ve 10. maddelerdeki bir desteğin yerine getirilmesi Hizmetin olağan işlevlerini aşan bir çaba gerektiriyorsa Clinigim, uygulamadan önce makul ve orantılı bir ücreti Klinik’e bildirebilir; Clinigim’in Veri Koruma Mevzuatından doğan yükümlülükleri ile kendi aykırılığından doğan çalışmalar için ücret istenmez.

4.2. Clinigim, bir talimatın Veri Koruma Mevzuatına aykırı olduğu kanaatine varırsa Klinik’i gecikmeksizin bilgilendirir ve talimat açıklığa kavuşturuluncaya kadar ilgili işlemi askıya alabilir.

4.3. Clinigim, kişisel verileri; Klinik’in talimatı, kendisinin tabi olduğu hukuk, bir mahkeme kararı veya yetkili makamın bağlayıcı talebi zorunlu kılmadıkça üçüncü kişilere açıklamaz. Ek-3 kapsamındaki Alt İşleyenlere yapılan aktarımlar bu madde anlamında üçüncü kişiye açıklama sayılmaz. Avrupa Ekonomik Alanı veya Birleşik Krallık’ta yerleşik Klinikler bakımından Ek-4 uygulanır.

4.4. Clinigim, Klinik Verisine ilişkin bir kamu makamı talebi aldığında, mevzuat yasaklamıyorsa talebi gecikmeksizin Klinik’e bildirir ve mümkün olduğu ölçüde makamı doğrudan Klinik’e yönlendirir. Açıklama hukuken zorunluysa yalnızca zorunlu olan veriyi, zorunlu olduğu ölçüde açıklar; mevzuat yasaklamıyor ve fiilen mümkünse Klinik’i açıklamadan önce, aksi hâlde sonra bilgilendirir. Clinigim, hukuka aykırı bulduğu bir talebe itiraz edebilir; bununla yükümlü değildir.

5.1. Clinigim, kişisel verilere erişen personelini ve yüklenicilerini yazılı gizlilik yükümlülüğü altına alır; bu yükümlülük KVKK’nın 12. maddesinin dördüncü fıkrası uyarınca görev sona erdikten sonra da süresiz devam eder.

5.2. Erişim, işin gerektirdiği en az sayıda kişiyle ve en az yetkiyle sınırlı tutulur; yetkiler düzenli olarak gözden geçirilir, görev değişikliğinde veya görev sonunda derhâl kaldırılır. Clinigim’in yönetim arayüzü olağan hâlde yalnızca Klinik düzeyinde toplu sayımlar gösterir; Hasta Verisine bu arayüzden ancak 5.3. maddedeki amaçlarla (Klinik’in talebiyle silinmiş bir kaydın geri getirilmesi, mesaj politikası incelemesi, kalıcı silme öncesi şifreli güvenlik kopyası) ve yalnızca iki adımlı doğrulamayla korunan yetkili yönetici hesaplarıyla erişilir. Üretim altyapısına erişim yalnızca işletim, destek ve güvenlik amacıyla, yetkili kişilerle sınırlı olarak yapılır ve sunucu erişimleri kayıt altına alınır.

5.3. Clinigim personeli Hasta Verisine yalnızca (a) Klinik’in destek talebini veya hata bildirimini çözmek, (b) Hizmetin güvenliğini ve sürekliliğini sağlamak ya da bir güvenlik olayını incelemek veya (c) hukukun ya da yetkili makamın talebinin gerektirdiği ölçüde erişir. Klinik, bir destek talebi iletmekle ilgili destek işlemi için bu erişime yetki vermiş olur. Klinik, destek yazışmalarına Hasta Verisi eklemekten kaçınır; eklediği veriler Ek-3’teki destek posta kutusu kategorisi kapsamında işlenir.

6.1. Clinigim, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için KVKK’nın 12. maddesi ve GDPR’ın 32. maddesi uyarınca uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri alır ve sürdürür. Asgari tedbirler Ek-2’de sayılmıştır; güncel açıklama Güvenlik sayfasındadır.

6.2. Clinigim, tedbirleri teknolojik gelişmelere ve risklere göre günceller; genel koruma düzeyini esaslı biçimde düşüren bir değişiklik yapmaz.

6.3. Klinik; Hesap bilgilerinin, parolaların, iki adımlı doğrulama yöntemlerinin ve kurtarma kodlarının gizliliğini sağlamak, Kullanıcılarına yalnızca görevlerinin gerektirdiği rol ve yetkileri vermek, ayrılan personelin erişimini derhâl kaldırmak, Hizmete eriştiği cihaz ve ağların güvenliğini sağlamak, Hizmetin sunduğu güvenlik ayarlarını (personel için iki adımlı doğrulama zorunluluğu dâhil) kendi risk değerlendirmesine uygun biçimde kullanmak ve şüpheli bir erişimi öğrendiğinde Clinigim’e gecikmeksizin bildirmekle yükümlüdür. Klinik’in Hesabı veya Kullanıcıları aracılığıyla gerçekleşen yetkisiz erişimler, Clinigim’in bu Sözleşmedeki tedbirlerinden birinin ihlalinden kaynaklanmadıkça Clinigim’in sorumluluğunu doğurmaz. Bu madde Taraflar arasındaki iç ilişkiyi düzenler; İlgili Kişilerin ve Kurul’un Veri Koruma Mevzuatından doğan hak ve yetkileri saklıdır.

7.1. Klinik, Clinigim’in Hizmeti sunmak için Ek-3’te sayılan kategorilerde Alt İşleyenlerden hizmet almasına genel olarak yetki verir. Güncel Alt İşleyen listesi (sağlayıcı, ülke, amaç ve aktarım güvencesi) Alt İşleyenler sayfasında yayımlanır. Bu liste ve 11. maddede açıklanan yurt dışına aktarımlar, Klinik’in Aktarım Yönetmeliği anlamında belgelenmiş talimatı ve yetkilendirmesidir.

7.2. Clinigim, yeni bir Alt İşleyenle çalışmaya başlamadan veya mevcut bir Alt İşleyeni değiştirmeden en az 30 gün önce Klinik’i e-posta ile bilgilendirir; bildirimde Alt İşleyenin unvanı, ülkesi, işleme amacı, işleyeceği veri kategorileri ve aktarım güvencesi yer alır. Klinik bu süre içinde veri korumaya ilişkin makul gerekçesini belirterek yazılı olarak itiraz edebilir; süresinde itiraz edilmemesi değişikliğin kabul edildiği anlamına gelir. İtiraz hâlinde Taraflar 30 gün içinde çözüm arar; bu süre içinde, teknik olarak Klinik bazında ayrıştırılabildiği ölçüde, itiraz eden Klinik’in Verisi yeni Alt İşleyene aktarılmaz. Çözüm bulunamazsa veya değişiklik Klinik bazında ayrıştırılamıyorsa Klinik, değişiklikten etkilenen özelliği kapatabilir veya üyeliğini ceza ödemeden sona erdirebilir. Sona erme hâlinde ödenen ücretin sona erme tarihinden sonraki döneme isabet eden kısmı günlük esasa göre hesaplanarak ödemenin yapıldığı yönteme iade edilir; yalnızca özelliğin kapatılması hâlinde kısmi iade yapılmaz. Bir Alt İşleyenin hizmetini beklenmedik biçimde sona erdirmesi veya güvenlik ya da hukuki zorunluluk nedeniyle derhâl değiştirilmesinin gerekmesi hâlinde Clinigim bildirimi değişiklikten sonra gecikmeksizin yapar; Klinik bu durumda da itiraz ve sona erdirme hakkını kullanabilir. Bu istisna Avrupa Ekonomik Alanı veya Birleşik Krallık’ta yerleşik Kliniklere uygulanmaz. Türkiye dışındaki yeni bir Alt İşleyene Klinik Verisi aktarılması 11.3. maddedeki güvencenin tamamlanmasına bağlıdır.

7.3. Clinigim, her Alt İşleyenle, bu Sözleşmedekine esas itibarıyla eşdeğer veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar veya sağlayıcının standart veri işleme koşullarıyla böyle bir sözleşmenin kurulmasını sağlar; Türkiye dışındaki Alt İşleyenler bakımından ayrıca 11.3. maddedeki güvenceyi sağlamakla yükümlüdür. Clinigim, Alt İşleyenin bu yükümlülükleri yerine getirmemesinden, 13. maddedeki sınırlar saklı kalmak üzere, Klinik’e karşı kendi eylemi gibi sorumludur. Klinik’in talebi üzerine Clinigim, Alt İşleyen sözleşmesinin veri koruma hükümlerinin (ticari sırlar çıkarılmış) bir örneğini iletir.

8.1. Clinigim, Hizmetin sunduğu görüntüleme, düzeltme, dışa aktarma ve silme işlevleriyle Klinik’in İlgili Kişi başvurularını yanıtlamasını mümkün kılar. Başvuranın kimliğinin doğrulanmasına ve talebin kabulüne ya da gerekçeli reddine (kanunen saklanması zorunlu kayıtlara ilişkin silme talepleri dâhil) Klinik karar verir; Clinigim bu değerlendirmeyi yapmaz.

8.2. Bir İlgili Kişi doğrudan Clinigim’e başvurursa Clinigim, başvuruyu kendisine ulaşmasından itibaren en geç beş iş günü içinde Klinik’in Hesapta kayıtlı e-posta adresine iletir ve Klinik’in talebi üzerine, yasal süre içinde yanıt verebilmesi için makul desteği sağlar. Yasal süre, KVKK’nın 13. maddesi uyarınca talebin niteliğine göre en kısa sürede ve en geç 30 gün; GDPR’ın 12. maddesinin üçüncü fıkrası uyarınca bir aydır ve talebin karmaşıklığı veya sayısı nedeniyle en fazla iki ay uzatılabilir. Clinigim, Klinik’in talimatı olmadan başvuruyu esastan yanıtlamaz; başvurana yalnızca başvurusunun Klinik’e iletildiğini bildirebilir.

8.3. Clinigim, Klinik’in GDPR m. 35–36 kapsamındaki veri koruma etki değerlendirmesi ve Denetim Otoritesiyle ön danışma yükümlülüklerinde ve KVKK’nın 12. maddesi kapsamındaki risk değerlendirmelerinde, elindeki bilgilerle ve işlemenin niteliğini gözeterek makul destek sağlar; bu destek Klinik adına değerlendirme hazırlamayı kapsamaz.

8.4. Klinik’in bir İlgili Kişi başvurusu üzerine verdiği düzeltme veya silme talimatı Alt İşleyenler nezdinde tutulan verileri de ilgilendiriyorsa Clinigim, talimatı ilgili Alt İşleyene iletir veya silmeyi kendi sistemleri üzerinden sağlar. Alt İşleyenin kendi sistemlerinde teknik olarak silinemeyen veya mevzuat gereği tuttuğu kayıtlar saklıdır. Bir kaydın uygulama içinden silinmesi canlı kaydı kaldırır; kaydın değişiklik geçmişindeki kopyası, Hesap var olduğu sürece yalnızca güvenlik, denetim ve yanlışlıkla silmeyi geri alma amacıyla Klinik kullanıcılarının erişimine kapalı olarak tutulur ve Klinik silindiğinde 12. maddeye göre silinir; silinen hasta dosyaları aynı amaçla 30 gün geri alınabilir şekilde tutulur ve bu süre boyunca depolama kotasına sayılır.

9.1. Clinigim, Klinik Verisini etkileyen bir Veri İhlalinin gerçekleştiğine dair makul ölçüde kesin bilgiye ulaştığı andan itibaren Klinik’i gecikmeksizin ve her hâlde en geç 48 saat içinde bilgilendirir. Bir olayın Veri İhlali olup olmadığını belirlemek için gereken ilk inceleme gecikmeksizin yürütülür; bir Alt İşleyenin Clinigim’e yaptığı bildirim, Clinigim’in bilgi sahibi olduğu anı belirler. Bildirim, Clinigim’in kusurunu veya sorumluluğunu kabul anlamına gelmez.

9.2. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık İlgili Kişi sayısını, olası sonuçlarını, alınan ve önerilen önlemleri ile iletişim kurulacak kişiyi içerir. Bilgiler aynı anda verilemiyorsa aşamalı olarak iletilir.

9.3. Kurul’a, Denetim Otoritesine ve İlgili Kişilere bildirim yapmak Veri Sorumlusu sıfatıyla Klinik’in yükümlülüğüdür; Clinigim bunun için gerekli bilgi, belge ve desteği sağlar ve Klinik Verisine ilişkin Veri İhlalini, etkilerini ve alınan önlemleri kayıt altına alır. Clinigim, kendisinin veri sorumlusu olduğu veriler bakımından gereken bildirimleri kendi adına yapar; Klinik Verisi bakımından, hukukun zorunlu kıldığı hâller saklı kalmak üzere, Klinik’in talimatı olmadan Kurul’a veya Denetim Otoritesine ihlal bildirimi yapmaz.

9.4. Kullanım Şartları’nın 23.1. maddesinden farklı olarak bildirim, Hesapta kayıtlı klinik e-posta adresine ve klinik sahibinin e-posta adresine gönderilir ve gönderildiği anda yapılmış sayılır; bu adreslerin güncel tutulması Klinik’in sorumluluğundadır.

10.1. Clinigim, bu Sözleşmeye uyumunu göstermek için gerekli bilgileri Klinik’e sunar; Güvenlik sayfası, Ek-2 ve talep üzerine iletilen yazılı açıklamalar bu kapsamdadır. Clinigim, Klinik adına yürüttüğü işleme faaliyetlerinin kaydını (GDPR m. 30/2) tutar.

10.2. Klinik veya yetkilendirdiği, Clinigim’in rakibi olmayan bağımsız bir denetçi; önceden en az 30 gün Yazılı Bildirimle, takvim yılında bir kez, mesai saatleri içinde, gizlilik yükümlülüğü altında ve Hizmeti, diğer Kliniklerin verilerini ve Clinigim’in güvenliğini etkilemeyecek şekilde, yalnızca bu Sözleşme kapsamındaki işleme faaliyetleriyle sınırlı olarak denetim yapabilir; denetimin kapsamı, yöntemi (belge incelemesi, uzaktan veya yerinde) ve süresi Taraflarca iyi niyetle önceden belirlenir. Bir Veri İhlalinin ardından, Denetim Otoritesinin talebiyle veya bu Sözleşmeye aykırılığa ilişkin somut göstergeler bulunduğunda bu sınır uygulanmaz. Denetçi ücreti ile Clinigim’in denetim için ayırdığı çalışma süresinden doğan makul ve belgelenmiş maliyetler Klinik’e aittir; denetimde Clinigim’in esaslı bir aykırılığı tespit edilirse Klinik bu maliyetlerden sorumlu olmaz.

10.3. Clinigim, Kurul’un veya Denetim Otoritesinin Klinik Verisine ilişkin inceleme ve bilgi taleplerinde Klinik ve ilgili makamla iş birliği yapar; Klinik’in talebi üzerine, Klinik’in yasal cevap sürelerini gözeterek elindeki bilgi ve belgeleri makul sürede sağlar. Kurul’un veya yetkili bir makamın bir işlemenin ya da yurt dışına aktarımın durdurulmasına ilişkin kararı, Kullanım Şartları’nın 20. maddesi anlamında yetkili makam kararıdır; Clinigim kararın gerektirdiği ölçüde ilgili işlemeyi durdurur ve bu durdurma sözleşmeye aykırılık oluşturmaz.

11.1. Uygulama sunucusu ve veritabanı, Türkiye’deki bir veri merkezinde barındırılır. Hasta dosyaları ile logo ve fotoğraflar, uygulama sunucusundan ayrı ve herkese kapalı bir depolama alanında Avrupa Birliği’ndeki veri merkezlerinde tutulur; bu alanı sunan Alt İşleyen ABD merkezli bir şirkettir (bkz. Alt İşleyenler sayfası). Şifreli veritabanı yedeklerinin ikinci kopyası, yalnızca Clinigim’in anahtarıyla açılabilen şifreli biçimde aynı Alt İşleyenin depolama hizmetinde tutulur. İşlem e-postaları Avrupa Birliği’nde yerleşik bir Alt İşleyen üzerinden gönderilir. Türkiye’de yerleşik Klinikler bakımından bu depolama alanındaki verilerin ve yedek kopyasının Türkiye dışındaki bir veri merkezinde tutulması ile e-postaların bu Alt İşleyen üzerinden gönderilmesi, Avrupa Birliği içinde olsa dahi, KVKK’nın 9. maddesi anlamında yurt dışına aktarımdır ve 11.3. maddeye tabidir.

11.2. Klinik’in etkinleştirdiği mesaj ve bildirim kanalları (WhatsApp hatırlatmaları, mobil anlık bildirimler) için Türkiye ve Avrupa Birliği dışında, özellikle Amerika Birleşik Devletleri’nde yerleşik Alt İşleyenler kullanılır. Bu aktarımlar yalnızca ilgili özellik Klinik tarafından etkinleştirildiğinde ve Ek-3 ile Alt İşleyenler sayfasında açıklanan kapsamla sınırlı olarak gerçekleşir; Klinik, özelliği etkinleştirmekle aktarım talimatını vermiş olur. Mesaj ve bildirim şablonları Clinigim tarafından belirlenir ve tanı, tedavi ayrıntısı veya klinik not alanı içermez: WhatsApp şablonları Hasta adı, randevu zamanı ve Klinik adını; mobil anlık bildirimler randevu veya ödeme bilgisi gibi özet bilgiler ile kaydı uygulamada açmaya yarayan tanımlayıcı numaraları taşır ve olağan hâlde Hasta adı içermez. Hasta adı ile randevu bilgisi, Hastanın Klinik’ten sağlık hizmeti aldığını gösterdiğinden Özel Nitelikli Kişisel Veri olarak değerlendirilebilir; bu kanalların etkinleştirilmesi 3.3. ve 3.4. maddeler kapsamında Klinik’in sorumluluğundadır ve Klinik’in şablon alanlarına girdiği içerikten Klinik sorumludur. Alan adı ve ağ koruması sağlayıcısı da ABD merkezlidir; bu sağlayıcı yalnızca sitenin statik dosyalarını ve istek üstverisini görür, uygulama sunucusuna giden istekler bu ağdan geçmez ve hasta dosyaları yalnızca 11.1. maddedeki nesne depolama hizmeti üzerinden iletilir. Klinik’in bir Kullanıcısı kendi hesabıyla Google Takvim bağlantısını kurduğunda randevuların tarih ve saati, Klinik adı ve uygulamaya bağlantı Kullanıcı’nın takvimine yazılır; varsayılan olarak kapalı olan “Hasta adını takvimde göster” seçeneği açılırsa Hasta adı da yazılır. Bu hizmeti sunan kuruluş Alt İşleyen değildir ve verileri kendi koşullarıyla işler. Bağlantının kurulması verilerin yurt dışına aktarılması sonucunu doğurabileceğinden, İlgili Kişilerin aydınlatılması, işleme şartının ve gerekiyorsa KVKK’nın 9. maddesi kapsamındaki güvencenin sağlanması bağlantıyı kuran Klinik’in sorumluluğundadır; Klinik’in bağladığı muhasebe gibi diğer üçüncü taraf hizmetleri için de aynı ilke geçerlidir.

11.3. Türkiye’de yerleşik Klinikler bakımından; Klinik Verisinin Türkiye dışında yerleşik bir Alt İşleyene iletilmesi veya Türkiye dışındaki bir altyapıda barındırılması KVKK’nın 9. maddesi anlamında yurt dışına aktarımdır. Clinigim bu aktarımları, Klinik’in 7.1. ve 11. maddelerdeki talimatı doğrultusunda ve KVKK’nın 5 ve 6. maddelerindeki işleme şartlarından birinin Klinik tarafından sağlanması kaydıyla, ancak şu yollardan biri sağlandığında yapar: (a) aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurul tarafından verilmiş ve Resmî Gazete’de yayımlanmış bir yeterlilik kararı bulunması (20.10.2026 itibarıyla böyle bir karar bulunmamaktadır; karar verilmesi hâlinde ilgili ülke için bu bent uygulanır); (b) yeterlilik kararı bulunmayan hâllerde, İlgili Kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, Kurul tarafından ilan edilen standart sözleşmenin (veri işleyenden veri işleyene; Alt İşleyen veri sorumlusu sıfatıyla hareket ediyorsa ilgili modül) Clinigim ile Alt İşleyen arasında değiştirilmeden imzalanması ve imzaların tamamlanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi. Yurt dışına aktarılan verilerin sonraki aktarımlarında da KVKK’nın 9. maddesinin sekizinci fıkrası uyarınca aynı güvenceler sağlanır. Her Alt İşleyen için uygulanan yol ve güvencenin tamamlanma durumu Alt İşleyenler sayfasında belirtilir. KVKK’nın 9. maddesinin onuncu fıkrası uyarınca yurt dışına aktarıma ilişkin diğer mevzuat hükümleri saklıdır.

11.4. Avrupa Ekonomik Alanı veya Birleşik Krallık’ta yerleşik Klinikler bakımından Klinik Verisinin Türkiye’ye aktarımı, Türkiye’den Klinik Verisine uzaktan erişim ve Clinigim’in Alt İşleyenlere ileri aktarımları Ek-4’e göre yürütülür. İsviçre’de yerleşik Klinikler Ek-4 kapsamında değildir; İsviçre mevzuatına uyarlanmış ayrı bir yazılı ek kararlaştırılmadıkça bu Sözleşme İsviçre’den yapılacak aktarımlar için uygun güvence sağlamaz.

11.5. Klinik ile Clinigim arasındaki veri akışı Türkiye içinde gerçekleşir; Klinik, 11.3. maddedeki standart sözleşmenin tarafı değildir ve ayrıca imza ya da bildirim yapmaz. Clinigim, Türkiye dışındaki Alt İşleyenlere yaptığı aktarımlarda veri aktaran sıfatıyla standart sözleşmeyi imzalar; KVKK’nın 9. maddesinin beşinci fıkrası uyarınca veri sorumlusu veya veri işleyen tarafından yapılabilen Kurum bildirimini, Taraflar arasındaki anlaşma ve Aktarım Yönetmeliği’nin 7. maddesinin üçüncü fıkrası uyarınca Klinik’in ayrıca talimatına gerek olmaksızın Clinigim yapar; sözleşmenin taraflarında, içeriğinde veya sona ermesindeki değişiklikler de aynı usulle bildirilir. Bu düzenleme, Klinik’in Veri Sorumlusu olarak KVKK’dan doğan yükümlülüklerini ortadan kaldırmaz.

11.6. Hasta Verisi özel nitelikli kişisel veri olduğundan yurt dışına aktarımında KVKK m. 6/4 uyarınca Kurul tarafından belirlenen yeterli önlemler uygulanır; aktarımın dayanağı olan işleme şartının sağlanması Klinik’in sorumluluğundadır. Ek-2’de sayılan tedbirler, standart sözleşmenin özel nitelikli veriler için öngördüğü tedbirlerin esasını oluşturur. Sağlık verilerinin saklanmasına ilişkin sektörel mevzuat hükümleri saklıdır; Klinik’in tabi olduğu sağlık mevzuatı sağlık verisinin yurt içinde saklanmasını öngörüyorsa bu şartın değerlendirilmesi ve Hizmetin buna uygun kullanılması Klinik’in sorumluluğundadır.

11.7. Clinigim, bir Alt İşleyen bakımından 11.3. maddedeki güvencenin sağlanamadığını veya geçersiz hâle geldiğini tespit ederse ya da Kurul veya yetkili bir makam aktarımı durdurursa, ilgili aktarımı durdurur, Alt İşleyeni değiştirir veya ilgili özelliği geçici olarak askıya alır ve Klinik’i gecikmeksizin bilgilendirir. Mevzuat değişikliğinden veya yetkili makam kararından kaynaklanan askıya alma Hizmetin ayıplı ifası sayılmaz; askının otuz günü aşması hâlinde Klinik, etkilenen özellik bakımından üyeliğini ceza ödemeden sona erdirebilir ve kullanılmayan ücretli dönem bedeli 7.2. maddedeki esaslara göre iade edilir.

12.1. Klinik, Hesabı etkin olduğu sürece ve Sınırlı Moddayken verilerini klinik sahibi hesabıyla uygulama içinden dilediği zaman dışa aktarabilir: hasta listesi (notlar ve onay bilgileri dâhil), randevular, işlemler ve tahsilat kayıtları, giderler, hizmetler, borçlular, gün sonu raporları ve denetim kaydı yapılandırılmış dosya olarak; hasta dosyaları tek tek özgün biçimiyle. Bu veri kümelerinde yer almayan Klinik Verisinin (örneğin tedavi planları ve sağlık bilgileri formu yanıtları) kopyası, Klinik’in yazılı talebi üzerine makul sürede ve yaygın kullanılan bir biçimde sağlanır. Hizmet, Klinik’in sağlık mevzuatından doğan arşivleme ve saklama yükümlülüğünün yerine geçmez; bu kayıtların süresi içinde dışa aktarılması ve saklanması Klinik’in sorumluluğundadır.

12.2. Ücretli Abonelik sona erdiğinde Hesap, Abonelik bitiş tarihinden itibaren 90 gün boyunca Sınırlı Modda kalır (bu sürede giriş yapılırsa süre 12.4. madde uyarınca son girişten yeniden başlar); Klinik bu süre içinde verilerini dışa aktarabilir. Bu sürenin sonunda Klinik Verisi, Klinik’in bu maddeyle verdiği silme talimatı uyarınca 12.4. maddedeki takvime göre kalıcı olarak silinir; Klinik’in verilerini dışa aktarmamış olmasından Clinigim sorumlu olmaz. Klinik, yetkili Kullanıcısı aracılığıyla uygulama içinden kliniği silerek bu süreyi beklemeden silme talimatı verebilir.

12.3. Clinigim, tabi olduğu hukukun veya yetkili bir makamın kararının saklamayı zorunlu kıldığı verileri, bu zorunluluğun gerektirdiği süre boyunca, yalnızca bu amaçla ve erişimi sınırlı olarak saklayabilir; süre sonunda siler ve talep hâlinde hangi verinin hangi dayanakla saklandığını Klinik’e bildirir. Yedeklerdeki veriler, yedekten geri yükleme yapılmadıkça işlenmez ve Kullanıcılara kapalıdır; yedekten geri yükleme yapılırsa daha önce silinmiş olması gereken veriler geri yüklemeden sonra gecikmeksizin yeniden silinir. Yetkili makam talebi veya kötüye kullanım nedeniyle Clinigim tarafından yapılan kalıcı klinik silmelerinde silme öncesi alınan şifreli güvenlik kopyası yedek saklama süresinin dışındadır; yalnızca Clinigim’in anahtarıyla açılabilir ve yalnızca geri yükleme ya da yetkili makam talebi için kullanılır.

12.4. Hareketsiz hesaplar için aşağıdaki takvim, Klinik Verisi bakımından Klinik’in bu maddedeki silme talimatının otomatik uygulamasıdır. Clinigim’in kendi veri sorumlusu olduğu fatura, ödeme ve onay kayıtları Klinik Verisi değildir ve yalnızca aşağıda belirtilen yasal süreler boyunca saklanır:

• Ücretsiz deneme süresi hiç ödeme yapılmadan sona erer ve hesaba bir daha giriş yapılmazsa, deneme bitişinden 90 gün sonra.
• Hiç ödeme yapılmamış Hesapta deneme bittikten sonra en az bir kez giriş yapılmışsa (Sınırlı Modda ücretsiz kullanım), son girişten itibaren 13 ay dolduğunda; kanunen saklanması gereken kayıtların bu tarihten önce dışa aktarılması Klinik’in sorumluluğundadır.
• Ücretli Abonelik dönemi sona erdiğinde (iptalde, ödenmiş dönemin bitişinde), dönemin bitişinden veya sonraki son girişten (hangisi sonraysa) itibaren 90 gün sonra; bu süre içinde Hesap Sınırlı Modda kullanılmaya devam eder ve veriler dışa aktarılabilir.
• Etkin ve ödemesi güncel aboneliği olan hesaplar hareketsizlik nedeniyle silinmez.
• Her silmeden yaklaşık 30 gün ve 7 gün önce Hesapta kayıtlı klinik e-posta adresine bildirim gönderilir; adresin güncel tutulması Klinik’in sorumluluğundadır ve bildirimin iletilememesi veya okunmaması silmeyi ertelemez. Bu süre içinde hesaba giriş yapılması silme takvimini son girişten itibaren yeniden başlatır.
• Klinik silindiğinde canlı veriler ile logo ve fotoğraflar silme talimatının işleme alınmasıyla silinir. Değişiklik geçmişi, denetim kaydı ve hasta dosyaları yalnızca yanlışlıkla silmeye karşı geri yükleme amacıyla, Klinik kullanıcılarının erişimine kapalı olarak 30 gün tutulur ve sürenin sonunda kalıcı olarak silinir.
• Kalıcı olarak silinen veriler, silmeyi izleyen en fazla 14 gün içinde yedeklerden de silinir.
• Clinigim’in kendi fatura ve abonelik ödeme kayıtları, Vergi Usul Kanunu uyarınca ilgili oldukları yılı izleyen yılın başından itibaren en az 5 yıl, Türk Ticaret Kanunu’nun 82. maddesi uyarınca ise ilgili takvim yılının bitiminden itibaren 10 yıl saklanır ve bu sürenin sonunda silinir; bu kayıtlar hasta verisi içermez.
• Ticari elektronik ileti onay kayıtları onayın sona erdiği tarihten, ret ve diğer ileti kayıtları kayıt tarihinden itibaren 3 yıl saklanır ve sonra silinir.
• Kanunen saklanması gereken hasta kayıtlarının hangileri olduğu ve ne kadar süreyle saklanacağı Klinik’in tabi olduğu sağlık mevzuatına göre belirlenir; bu kayıtları süresi içinde dışa aktarmak ve mevzuatın aradığı ortamda arşivlemek veri sorumlusu sıfatıyla Klinik’in yükümlülüğündedir. Clinigim yasal arşiv hizmeti vermez.
• Clinigim, Klinik’in yazılı talebi üzerine silmenin tamamlandığını, tarihini ve kapsamını belirterek makul sürede yazılı olarak teyit eder; silme işlemine ilişkin kayıt kişisel veri içermeden tutulur.

13.1. Her Taraf, Veri Koruma Mevzuatından ve bu Sözleşmeden doğan kendi yükümlülüklerini ihlal etmesinden kaynaklanan zarardan kusuru oranında sorumludur. Clinigim, Alt İşleyenlerinin bu Sözleşmeye aykırılığından Klinik’e karşı, 13.2. ve 13.3. maddelerdeki sınırlara tabi olarak, kendi eylemi gibi sorumludur.

13.2. Mevzuatın izin verdiği ölçüde, Clinigim’in bu Sözleşmeden doğan, birden çok olay ve talepten kaynaklananlar dâhil toplam sorumluluğu, sorumluluğu doğuran ilk olaydan önceki 12 ay içinde Klinik’in Clinigim’e ödediği ücretlerin (iade edilenler düşüldükten sonra) iki katı ile sınırlıdır. Klinik bu süre içinde Clinigim’e hiç ücret ödememişse (ücretsiz kullanım ve deneme dâhil) sınır, sorumluluğu doğuran olay tarihinde Paketler sayfasında yayımlanan en düşük yıllık Paket bedeli kadardır. Bu sınır ile Kullanım Şartları’nın 18.1. maddesindeki sınır birbirine eklenmez; Clinigim’in aynı olaydan doğan toplam sorumluluğu iki sınırdan yüksek olanını aşamaz.

13.3. 13.2. maddedeki sınır; Clinigim’in veya organlarının kasıt ya da ağır kusurundan doğan zararlar, mevzuatın sınırlanmasına izin vermediği sorumluluklar ve Ek-4 kapsamındaki Standart Sözleşme Maddelerinin 12. maddesinden doğan sorumluluk bakımından uygulanmaz. Clinigim’in yardımcı kişilerinin ve Alt İşleyenlerinin kusurundan doğan sorumluluk bu sınıra tabidir. Bu sınır yalnızca Taraflar arasında geçerlidir; İlgili Kişilerin ve Denetim Otoritelerinin Veri Koruma Mevzuatından doğan hakları bu sınırdan etkilenmez.

13.4. Clinigim, Klinik’in belgelenmiş talimatlarına uygun hareket etmesinden veya Klinik’in 3. ve 6.3. maddelerdeki yükümlülüklerini yerine getirmemesinden doğan zararlardan sorumlu değildir. Bir İlgili Kişiye, Kurum’a veya üçüncü bir kişiye karşı müşterek sorumluluk doğarsa Taraflar arasındaki iç ilişkide sorumluluk kusur oranına göre paylaşılır; kendi payından fazlasını ödeyen Taraf diğerine rücu edebilir. Taraflar, diğerini ilgilendiren bir talep, soruşturma veya dava hakkında birbirine gecikmeksizin Yazılı Bildirim yapar, gerektiğinde davayı ihbar eder ve savunmada makul iş birliği sağlar. Bu maddeden doğan rücu talepleri 13.2. maddedeki sınıra tabidir.

13.5. Veri Koruma Mevzuatı uyarınca bir Tarafa verilen idari para cezası kural olarak o Tarafa aittir. Bir Taraf, kendisine verilen idari para cezası nedeniyle uğradığı zararı, mevzuatın izin verdiği ölçüde, yalnızca diğer Tarafın bu Sözleşmeye kusurlu aykırılığından kaynaklandığını ispat ettiği kısım bakımından ve 13.2. maddedeki sınır çerçevesinde talep edebilir; kasıt ve ağır kusur hâlleri saklıdır.

13.6. Bu Sözleşmeden ve Hizmetin kullanımından doğan talepler yalnızca Clinigim’e yöneltilir. Klinik; Clinigim’in ortaklarına, yöneticilerine, çalışanlarına ve yüklenicilerine karşı, görevlerinin ifası sırasındaki eylemlerinden dolayı, kasıt veya ağır kusurları hâli dışında bu Sözleşme kapsamında şahsen talepte bulunmaz; bu hüküm anılan kişilerin yararınadır ve onlar tarafından da ileri sürülebilir. Bu madde ceza sorumluluğunu, İlgili Kişilerin haklarını ve emredici mevzuatı etkilemez.

14.1. Bu Sözleşme, Klinik’in üyelik sırasında veya mevcut Klinik bakımından yeniden kabul sırasında bu metni Hesap üzerinden elektronik ortamda onaylamasıyla kurulur; ayrıca ıslak imza gerekmez. Onayı veren kişi, Klinik adına ve Hesap kapsamındaki şube, hekim ve personel adına bu Sözleşmeyi yapmaya yetkili olduğunu beyan eder. Onayın tarihi, saati, onaylayan Kullanıcı ve onaylanan metnin sürümü ile (istemci bildirdiğinde) metnin özet değeri Clinigim tarafından kayıt altına alınır, Kullanım Şartları’nın 25.4. maddesi uyarınca ispat aracıdır ve Klinik’in talebi üzerine kendisine sunulur. Mevzuatın ayrıca imza şartı aradığı sözleşmeler (örneğin Kurul’un standart sözleşmesi) bu madde kapsamında değildir.

14.2. Bu Sözleşme, Clinigim Klinik adına kişisel veri işlediği sürece yürürlükte kalır. Kullanım Şartları’nın sona ermesi bu Sözleşmeyi de sona erdirir; ancak Klinik Verisi Clinigim’in sistemlerinden (geri yükleme süresi ve yedekler dâhil) 12. maddeye göre tamamen silininceye kadar 3 ila 13. maddeler, 16. madde ve Ekler uygulanmaya devam eder.

14.3. Bu Sözleşme, Ücretsiz Deneme ve Sınırlı Mod dâhil Hesabın bütün aşamalarında uygulanır. Klinik Hizmete gerçek Hasta Verisi girmeyi seçerse 3. maddedeki yükümlülükleri deneme süresinde de aynen geçerlidir.

14.4. Clinigim, Klinik’in 3. veya 6.3. maddedeki yükümlülüklere ya da Kullanım Şartları’nın Ek A’sına aykırı davrandığını makul olarak tespit ederse Kullanım Şartları’nın 14. maddesine göre ilgili özelliği veya Hesabı askıya alabilir; askı süresince Klinik Verisi korunur ve 12. maddedeki takvime tabidir.

15.1. Clinigim, bu Sözleşmede yapacağı esaslı değişiklikleri yürürlük tarihinden en az 30 gün önce e-posta ve uygulama içi bildirimle Klinik’e duyurur ve klinik sahibinden yeni metni elektronik ortamda onaylamasını ister. Klinik yeni metni onaylamazsa yürürlük tarihine kadar üyeliğini ceza ödemeden sona erdirebilir ve 7.2. maddedeki esaslara göre iade yapılır. Yeni metin yürürlük tarihini izleyen 30 gün içinde onaylanmazsa, onay verilinceye kadar klinik sahibinin hesabında abonelik, ödeme, klinik ve ekip yönetimi işlemleri kısıtlanır; hasta ve randevu işlemleri, verilerin görüntülenmesi ve dışa aktarılması, aboneliğin iptali ve kliniğin silinmesi bu kısıtlamadan etkilenmez.

15.2. Emredici bir mevzuat hükmünün ya da Kurul veya Denetim Otoritesi kararının gerektirdiği uyarlamalar, yalnızca gerekliliğin gerektirdiği ölçüde ve yürürlük tarihinden itibaren uygulanır; Clinigim bu uyarlamayı gerekçesiyle birlikte Klinik’e gecikmeksizin bildirir ve uyarlama Klinik’in yükümlülüklerini gerekliliğin ötesinde artırmaz. Klinik lehine olan değişiklikler yayımlandığı anda yürürlüğe girer; Ek-3’teki Alt İşleyen güncellemeleri 7. maddedeki usule tabidir.

16.1. Bu Sözleşmeye, Kullanım Şartları’nın 24. maddesindeki hukuk ve yetki hükümleri uygulanır. Klinik’in tabi olduğu Veri Koruma Mevzuatının emredici hükümleri saklıdır. Avrupa Ekonomik Alanı’nda yerleşik Klinikler bakımından Ek-4’teki Standart Sözleşme Maddeleri Ek-4’te belirtilen hukuka ve mahkemelere; Birleşik Krallık’ta yerleşik Klinikler bakımından Birleşik Krallık Eki uyarınca İngiltere ve Galler hukukuna ve mahkemelerine tabidir.

16.2. Kişisel verilerin işlenmesine ilişkin bir konuda Kullanım Şartları ile bu Sözleşme çelişirse bu Sözleşme esas alınır. Avrupa Ekonomik Alanı’nda yerleşik Klinikler bakımından Standart Sözleşme Maddeleri bu Sözleşmenin ve Kullanım Şartları’nın diğer hükümlerine üstündür. Birleşik Krallık’ta yerleşik Klinikler bakımından Birleşik Krallık Eki’nin zorunlu hükümleri Standart Sözleşme Maddelerine, her ikisi de bu Sözleşmenin diğer hükümlerine üstündür; Standart Sözleşme Maddelerinin İlgili Kişiye daha fazla koruma sağlayan hükmü saklıdır.

16.3. Bu Sözleşmenin madde metni ile Ekleri arasında çelişki olursa, 16.2. maddedeki kural saklı kalmak üzere madde metni esas alınır; Ek-3 ile Alt İşleyenler sayfası arasında çelişki olursa sayfadaki güncel liste esas alınır. Bir hükmün geçersiz sayılması diğer hükümleri etkilemez; geçersiz hüküm, amacına en yakın geçerli hükümle tamamlanmış sayılır.

Bu Sözleşme kapsamındaki işleme faaliyetinin konusu, süresi, niteliği, amacı ve kapsamı aşağıdaki gibidir:

• Konu: Klinik yönetim yazılımının hizmet olarak sunulması.
• Süre: Klinik’in Hesabı var olduğu sürece ve 12. maddedeki silme takvimi tamamlanıncaya kadar.
• Nitelik: Kaydetme, saklama, düzenleme, görüntüleme, sorgulama, aktarma (yalnızca Klinik’in başlattığı mesaj, bildirim ve dışa aktarmalar), yedekleme, silme.
• Amaç: Hasta kaydı ve dosyası, randevu ve çevrimiçi randevu, tedavi ve tahsilat kaydı, kasa ve raporlar, hatırlatma mesajları, ekip ve yetki yönetimi, mobil erişim.
• İlgili Kişi kategorileri: Klinik’in Hastaları (reşit olmayanlar dâhil); Hasta kaydında yer alan veli, vasi, yakın ve acil durumda aranacak kişiler; randevu sayfasını kullanan kişiler; Klinik’in sahibi, hekimleri ve diğer personeli.
• Hasta Verisi kategorileri: kimlik ve iletişim bilgileri; randevu, tedavi, klinik notlar, tedavi planı ve diş şeması gibi sağlık bilgileri; sağlık bilgileri formu yanıtları; tahsilat, borç ve taksit kayıtları; Hastaya ait yüklenen belge ve görüntüler; onay ve iletişim tercihi kayıtları; mesaj gönderim kayıtları.
• Klinik personeli verisi kategorileri (Klinik’in Hizmette tuttuğu ekip kayıtları): ad, kullanıcı adı, e-posta, telefon, unvan ve fotoğraf, rol ve yetkiler, randevu ve işlem atamaları. Kullanıcıların hesap, giriş ve güvenlik kayıtları bakımından Clinigim 1.2. madde uyarınca veri sorumlusudur.
• Özel Nitelikli Kişisel Veri: Hastalara ilişkin sağlık verileri (randevu, muayene, teşhis, tedavi ve tedavi planına ilişkin bilgiler dâhil). İşleme şartının sağlanması Klinik’in sorumluluğundadır (KVKK m. 6/3; Klinik’e GDPR uygulanıyorsa m. 9/2-h ve m. 9/3 ile ilgili üye devlet hukuku; Birleşik Krallık için UK GDPR m. 9/2-h ve Data Protection Act 2018 m. 10 ve 11). KVKK m. 6/4 uyarınca Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı kararıyla belirlenen yeterli önlemlerden Ek-2’de sayılanlar Clinigim tarafından uygulanır; kararın bu Sözleşmede Clinigim’e verilmeyen diğer önlemleri (personelin eğitimi, Klinik’in cihaz ve ağ güvenliği, personel için iki adımlı doğrulamanın etkinleştirilmesi, erişim yetkilerinin yönetimi, basılı çıktılar ve Hizmet dışına aktarılan veriler) 3.3. ve 6.3. maddeler uyarınca Klinik tarafından alınır.
• Aktarımın sıklığı: sürekli (Hizmetin kullanımı boyunca). Saklama süresi: Klinik Verisi, Hesap var olduğu sürece ve 12. maddedeki silme takvimi tamamlanıncaya kadar; silinen Hesabın geri yükleme kopyaları 30 gün; yedekler 14 gün; denetim kaydı Ek-2’de belirtilen süre boyunca; mesaj gönderim kayıtları gönderimden itibaren 3 yıl. Özel nitelikli veriler için ek güvenceler: amaçla sınırlı işleme, en az yetki ve görevle sınırlı erişim, hasta dosyası erişim kaydı, serbest metin klinik notlarının şifreli saklanması, Alt İşleyenlere aktarımların Ek-3 ile sınırlı tutulması.
• Taraflar: veri ihracatçısı Klinik (unvanı, adresi ve irtibat kişisi Hesaptaki kayıt bilgileridir; rolü: veri sorumlusu); veri ithalatçısı Clinigim (rolü: veri işleyen; veri korumasından sorumlu irtibat: info@clinigim.com; ticaret unvanı, adres ve sicil bilgileri clinigim.com Hakkımızda sayfasının Kurumsal Bilgiler bölümünde yayımlanır, ayrıca Klinik’e fatura bilgilerinde bildirilir ve talebi üzerine yazılı olarak iletilir). Klinik’in bu Sözleşmeyi 14.1. madde uyarınca elektronik ortamda onaylaması, kabul tarihi, saati, onaylayan Kullanıcı ve sürüm kaydedilerek, Standart Sözleşme Maddelerinin I.A ekindeki ve Birleşik Krallık Eki’ndeki imza ve tarihin yerine geçer. Yetkili Denetim Otoritesi: Klinik’in yerleşik olduğu yer itibarıyla GDPR uyumunu denetlemekten sorumlu otorite; Birleşik Krallık için Information Commissioner.

Clinigim, Hizmetin niteliğine ve işlenen verinin riskine uygun olarak en az aşağıdaki tedbirleri uygular ve 6.2. madde uyarınca günceller:

• Aktarım güvenliği: Kullanıcıların ve Klinik cihazlarının Hizmete bağlantıları TLS ile şifrelenir; şifresiz bağlantı kabul edilmez. Alt İşleyenlerle iletişimde desteklenen aktarım şifrelemesi kullanılır.
• Saklama güvenliği: Serbest metin klinik notları veritabanında güçlü şifrelemeyle saklanır ve sonradan oynama tespit edilebilir; veritabanı yedekleri şifrelenir ve şifre çözme anahtarı yedeklerden ayrı bir ortamda tutulur; hasta dosyaları herkese kapalı ayrı bir depoda tutulur ve yalnızca oturumu, kliniği ve yetkisi her istekte yeniden doğrulanan kullanıcıya uygulama üzerinden iletilir; depolama adresi kullanıcıya verilmez.
• Erişim kontrolü: Varsayılan olarak reddeden, rol ve izne dayalı yetkilendirme; her istekte yeniden kontrol; klinikler arası veri ayrımının sunucuda zorlanması; yönetim erişiminde en az yetki ilkesi.
• Kimlik doğrulama: Güçlü parola kuralı; kimlik doğrulayıcı uygulamayla iki adımlı doğrulama ve kurtarma kodları (klinik sahibi, personeli için iki adımlı doğrulamayı zorunlu kılabilir); başarısız giriş denemelerinin sınırlanması; tüm cihazlardan çıkış; parola değişikliğinde oturumların sonlandırılması.
• İzlenebilirlik: Ana kayıtlardaki oluşturma, değiştirme ve silme işlemlerinin değişiklik geçmişi ile hasta dosyası görüntüleme ve indirme kayıtları tutulur; denetim kaydı oluştuğu tarihten itibaren 24 ay saklanır ve Klinik tarafından uygulama içinden görüntülenebilir ve dışa aktarılabilir; hasta dosyası erişim kayıtları ile ana kayıtların değişiklik geçmişi Hesap var olduğu sürece tutulur; Klinik silinmişse bu kayıtların tamamı 12. maddedeki 30 gün geri yükleme süresinin sonunda silinir. Klinik’in sağlık mevzuatından doğan daha uzun kayıt saklama yükümlülükleri bakımından kayıtların dışa aktarılması ve saklanması Klinik’in sorumluluğundadır.
• Süreklilik: Veritabanının şifreli tam yedeği her gece alınır; yedeklerin bir kopyası ayrı bir depoda tutulur ve her iki kopya 14 gün saklanır; geri yükleme adımları yazılıdır ve geri yükleme denenmiştir. Yedekler hizmet sürekliliği ve felaket kurtarma amacıyla tutulur; tek tek kayıtların geri getirilmesi garanti edilmez ve yedekler Klinik’in yasal arşiv yükümlülüğünün yerine geçmez.
• Güvenli geliştirme: Değişiklikler kaynak kontrol sisteminde izlenir; yayına alınmadan önce otomatik derleme, test ve bağımlılık güvenlik denetimlerinden geçirilir; bağımlılıklar bilinen güvenlik açıkları için düzenli izlenir ve güncellenir; üretim ortamına erişim sınırlı ve kayıtlıdır.
• Olay yönetimi: Güvenlik olayları için tespit, müdahale ve bildirim süreci; sorumlu açıklama programı (Güvenlik sayfası).
• Personel: Gizlilik taahhüdü; mümkün olan ölçüde görev ayrılığı; erişimin görevle sınırlanması, düzenli gözden geçirilmesi ve görev sonunda kaldırılması; kişisel verilerin korunması ve bilgi güvenliği konusunda bilgilendirme.
• Alt İşleyen yönetimi: Yazılı sözleşme, güvence seçimi ve Alt İşleyenler sayfasında yayım.

Clinigim aşağıdaki kategorilerde Alt İşleyenlerden hizmet alır. Her kategorideki sağlayıcının adı, ülkesi, işlediği veri ve aktarım güvencesi Alt İşleyenler sayfasında yayımlanır; o sayfa bu Ek’in güncel hâlidir.

• Uygulama sunucusu ve veritabanı barındırma — Türkiye’deki veri merkezinde.
• Hasta dosyaları, klinik logoları ve personel fotoğrafları için nesne depolama ile şifreli veritabanı yedeklerinin ikinci kopyası — Türkiye dışında, Avrupa Birliği’ndeki veri merkezlerinde, herkese kapalı; sağlayıcı ABD merkezli.
• Alan adı, statik site barındırma ve ağ koruması — ABD merkezli sağlayıcı, küresel ağ; yalnızca sitenin statik dosyaları ve istek üstverisi (uygulama sunucusuna giden istekler bu ağdan geçmez; hasta dosyaları yalnızca yukarıdaki nesne depolama hizmeti üzerinden iletilir).
• İşlem e-postaları (doğrulama kodları, bildirimler) — Türkiye dışında, Avrupa Birliği içinde.
• WhatsApp hatırlatma mesajları — Klinik etkinleştirdiğinde; mesaj altyapısı sağlayıcısı Amerika Birleşik Devletleri’nde, WhatsApp platformunu işleten şirket Türkiye dışında yerleşiktir; mesaj Hasta adı, randevu zamanı ve Klinik adını içerir (11.2. madde).
• Mobil anlık bildirimler — Kullanıcı mobil uygulamayı kurduğunda; bildirim altyapısı ve cihaz platformu sağlayıcıları Amerika Birleşik Devletleri’nde yerleşiktir; bildirim randevu veya ödeme bilgisi gibi özet bilgiler ile kaydı uygulamada açmaya yarayan tanımlayıcı numaraları taşır ve olağan hâlde Hasta adı içermez.
• Destek e-posta kutusu barındırma — Türkiye.

Bu Ek, Avrupa Ekonomik Alanı’nda veya Birleşik Krallık’ta yerleşik Klinikler için uygulanır ve GDPR’ın ve Birleşik Krallık GDPR’ının 28. maddesinin üçüncü fıkrasının gerektirdiği hükümleri bu Sözleşmeye dâhil eder. İsviçre’de yerleşik Klinikler bu Ek’in kapsamı dışındadır.

• Talimatlar (m. 28/3-a): Clinigim, kişisel verileri yalnızca Klinik’in belgelenmiş talimatıyla işler; bu, üçüncü bir ülkeye aktarımlara ilişkin talimatları da kapsar. Clinigim, Birlik veya üye devlet hukukunun (Birleşik Krallık’ta yerleşik Klinikler bakımından Birleşik Krallık hukukunun) zorunlu kıldığı hâller dışında talimat dışı işleme yapmaz; böyle bir zorunluluk doğarsa, hukuk kamu yararına ilişkin önemli gerekçelerle yasaklamıyorsa, işlemeden önce Klinik’i bilgilendirir. Türk hukukundan doğan açıklama veya erişim yükümlülükleri bakımından Standart Sözleşme Maddelerinin 14. ve 15. maddeleri uygulanır; 4.3. ve 4.4. maddeler bu hükümlere aykırı yorumlanamaz.
• Gizlilik (m. 28/3-b), güvenlik (m. 28/3-c, m. 32 ve Ek-2), Alt İşleyen koşulları (m. 28/3-d, 28/2 ve 28/4; genel yetki ve 7. maddedeki bildirim usulü; 7.2. maddedeki acil değişiklik istisnası bu Ek kapsamında uygulanmaz), İlgili Kişi haklarında destek (m. 28/3-e; 8. madde ile Hizmetin görüntüleme, düzeltme, dışa aktarma ve silme işlevleri Standart Sözleşme Maddelerinin II numaralı ekindeki yardım tedbirleri sayılır), ihlal bildirimi dâhil m. 32–36 desteği (m. 28/3-f), silme veya iade (m. 28/3-g) ve uyumu gösterme ile denetim (m. 28/3-h) bu Sözleşmenin ilgili maddeleriyle sağlanır.
• Silme veya iade: Hizmet sona erdiğinde Clinigim, Klinik’in tercihine göre Klinik Verisini siler veya dışa aktarım yoluyla iade eder ve 12. maddedeki takvime göre mevcut kopyaları siler; silme tamamlandığında Klinik’e yazılı teyit verir. 12. maddedeki geri yükleme ve yedek saklama süreleri, Klinik’in silme talimatının bu Sözleşmeyle belgelenmiş parçasıdır ve bu sürelerde veri yalnızca güvenli saklama amacıyla tutulur. Birlik veya üye devlet hukuku (Birleşik Krallık’ta yerleşik Klinikler bakımından Birleşik Krallık hukuku) saklamayı zorunlu kılıyorsa kopyalar yalnızca o süre ve amaçla saklanır.
• Denetim: Bu Ek kapsamındaki Klinikler bakımından denetim Standart Sözleşme Maddelerinin 8.9. maddesine göre yürütülür; Clinigim, makul aralıklarla veya uyuma aykırılığa işaret eden belirtiler bulunduğunda, Klinik’in veya yetkilendirdiği bağımsız denetçinin denetimine uygun hâllerde makul bir önceden bildirimle izin verir ve katkı sağlar. 10.2. maddedeki sınırlar bu kapsamda Standart Sözleşme Maddelerine aykırı biçimde uygulanmaz; Taraflar denetim masraflarının orantısız olmayacağını kabul eder.
• Aktarım mekanizması: Clinigim Türkiye’de yerleşiktir; Klinik Verisi Türkiye’deki bir veri merkezinde barındırılır ve Türkiye’den işlenir; bu, GDPR’ın V. Bölümü bakımından aktarımdır. Avrupa Komisyonu’nun (AB) 2021/914 sayılı Uygulama Kararı ile kabul edilen Standart Sözleşme Maddelerinin Modül İki (veri sorumlusundan veri işleyene) metni, Kararın İngilizce metniyle (http://data.europa.eu/eli/dec_impl/2021/914/oj) hiçbir değişiklik yapılmaksızın, yalnızca bu Ek’te belirtilen seçimlerle ve I–III numaralı eklerin doldurulmasıyla bu Sözleşmenin ayrılmaz parçası olarak kabul edilmiştir; Türkçe çeviri bilgi amaçlıdır ve çelişki hâlinde İngilizce metin esastır. Klinik veri ihracatçısı, Clinigim veri ithalatçısıdır. Clinigim’in Avrupa Birliği dışındaki Alt İşleyenlere aktarımları, Standart Sözleşme Maddelerinin 8.8. ve 9. maddelerine uygun olarak, Alt İşleyenle yapılan yazılı sözleşme ve o sözleşmedeki uygun güvencelerle yürütülür.
• Standart Sözleşme Maddelerindeki seçimler: 7. madde (katılım) uygulanmaz; 9. madde (a) bendinde 2. seçenek (genel yazılı yetki, bildirim süresi 30 gün); 11. maddedeki isteğe bağlı bağımsız çözüm organı uygulanmaz; 11. madde (a) bendi uyarınca İlgili Kişilerin şikâyetleri için irtibat noktası info@clinigim.com adresidir; 13. madde bakımından yetkili denetim otoritesi, Klinik’in Hesapta bildirdiği yerleşim yeri itibarıyla GDPR uyumunu denetlemekten sorumlu otoritedir; 17. madde için uygulanacak hukuk Federal Almanya Cumhuriyeti hukuku, 18. madde için yetkili mahkemeler Almanya mahkemeleridir. Ek-1, Ek-2 ve Ek-3 sırasıyla Standart Sözleşme Maddelerinin I, II ve III numaralı eklerinin yerine geçer; Ek-3 ve Alt İşleyenler sayfasındaki güncel liste, 9. madde (a) bendinin 2. seçeneği uyarınca üzerinde anlaşılmış listeyi oluşturur.
• Birleşik Krallık: Birleşik Krallık’ta yerleşik Klinikler için, Information Commissioner tarafından Data Protection Act 2018’in 119A maddesi uyarınca yayımlanan “International Data Transfer Addendum to the EU Commission Standard Contractual Clauses” (Birleşik Krallık Eki; B1.0 sürümü veya yürürlükteki sürüm) Standart Sözleşme Maddelerine eklenmiştir. Tablo 1: Taraflar ve irtibat kişileri Ek-1’deki gibidir; başlangıç tarihi Klinik’in bu Sözleşmeyi onayladığı tarihtir. Tablo 2: Modül İki, yukarıdaki seçimlerle. Tablo 3: Ek-1, Ek-2 ve Ek-3. Tablo 4: hem ithalatçı hem ihracatçı. Birleşik Krallık Eki uyarınca 13. maddenin (a) bendi ve I.C numaralı ek kullanılmaz ve yetkili otorite Information Commissioner’dır; 17. ve 18. maddelerin yerine İngiltere ve Galler hukuku ve mahkemeleri geçer. Birleşik Krallık Eki’nin sona erdirilmesi hakkı yalnızca Birleşik Krallık Eki’nin 19. maddesindeki koşullarda kullanılabilir.
• Tamamlayıcı tedbirler: Klinik Verisi aktarım sırasında TLS ile şifrelenir; hasta dosyaları ve şifreli yedekler Avrupa Birliği içindeki veri merkezlerinde tutulur. Sunuculara ve veritabanına erişim yalnızca destek, işletim ve güvenlik amacıyla, yetkilendirilmiş kişilerle sınırlı olarak ve kayıt altına alınarak yapılır; serbest metin klinik notları şifrelenmiş olarak saklanır. Kamu makamlarından gelen erişim veya ifşa talepleri bakımından Standart Sözleşme Maddelerinin 15. maddesi uygulanır: Clinigim, hukuken mümkün olduğu ölçüde talebi Klinik’e ve mümkünse İlgili Kişiye gecikmeksizin bildirir, talebin hukuka uygunluğunu inceler, makul gerekçe varsa itiraz eder ve yalnızca zorunlu asgari bilgiyi açıklar.
• Veri İhlali bildirimi, Standart Sözleşme Maddelerinin 8.6. maddesinin (c) bendi uyarınca gecikmeksizin yapılır ve 9.1. maddedeki 48 saat azami süre aşılmaz; içeriği 9.2. maddedeki gibidir. GDPR’ın 33. maddesi kapsamındaki bildirim yükümlülüğü Veri Sorumlusu sıfatıyla Klinik’e aittir.
• Aktarım etki değerlendirmesi: Taraflar, Standart Sözleşme Maddelerinin 14. maddesi uyarınca aktarım etki değerlendirmesini belgeler. Clinigim, Türkiye’nin hukuk ve uygulamasına ilişkin değerlendirmesini yazılı olarak hazırlar, güncel tutar, Klinik’e ve talebi üzerine yetkili Denetim Otoritesine sunar; değerlendirmeyi etkileyebilecek bir hukuk veya uygulama değişikliğini Klinik’e gecikmeksizin bildirir. Kullanım Şartları’nın 18. maddesi ve bu Sözleşmenin 13. maddesi, Standart Sözleşme Maddelerinin 12. maddesinden doğan sorumluluğu ve İlgili Kişilerin haklarını sınırlamaz.
• Bu Ek ile Sözleşmenin diğer hükümleri arasında çelişki hâlinde 16.2. madde uygulanır.

Bu belgenin önceki sürümleri ve her sürümde değişenler:

• 06.11.2026 — Uygulama sunucusu ve veritabanı Türkiye’deki bir veri merkezine taşındı; 11.1. madde, Ek-3 ve Ek-4 buna göre güncellendi. Hasta dosyaları, şifreli yedekler ve işlem e-postaları Türkiye dışında kalmaya devam eder. Yükümlülüklerde değişiklik yoktur.
• 23.10.2026 — Düzeltme: Clinigim’in tanıtıcı bilgileri Kurumsal Bilgiler bölümüne bağlandı. Kullanım Şartları’nın 1.4 (Türkçe metnin bağlayıcılığı) ve 24. maddesindeki (Yüksekova (Hakkari) mahkemeleri) değişiklikler bu Sözleşmeye de 16.1. madde uyarınca atıfla uygulanır. Yükümlülüklerde değişiklik yoktur.
• 20.10.2026 — Kapsamlı yeniden düzenleme: talimatlar, personel gizliliği, İlgili Kişi desteği ve sorumluluk maddeleri eklendi; Veri Sorumlusunun yükümlülükleri (3.4–3.5), kamu makamı talepleri (4.4), Klinik’in güvenlik sorumlulukları (6.3), idari para cezaları ve Clinigim personeli (13.5–13.6), elektronik kabul ve sona erme sonrası hükümler (14) yazıldı; alt işleyen bildirimi 30 güne çıkarıldı ve Alt İşleyenler sayfası açıldı; yurt dışına aktarım maddesi KVKK’nın 9. maddesinin 7499 sayılı Kanunla değişen hâline ve Aktarım Yönetmeliği’ne göre yeniden düzenlendi; Ek-1 İşleme Ayrıntıları, Ek-2 Teknik ve İdari Tedbirler, Ek-3 Alt İşleyenler ve Ek-4 GDPR Eki eklendi. Mevcut Klinikler için yeniden kabul süresi 30 gündür.
• 04.10.2026 — Kapsam maddesi (sonraki sürümde Kullanım Şartları 1.4’e taşındı).
• 26.09.2026 — İlk sürüm.