Veri İşleme Sözleşmesi

Kısaca

• Çalışma alanınızdaki veriler sizindir. Neyin, neden toplanacağına siz karar verirsiniz; biz bu verileri yalnızca Klinikbook'u sizin için çalıştırmak üzere işleriz.
• Verileri koruruz: şifreli bağlantılar, çalışma alanları arasında sıkı ayrım, sahip ve yöneticiler için iki adımlı giriş, etkinlik kaydı, yedekler.
• Verilerinizi etkileyen bir güvenlik olayında size gecikmeden haber veririz.
• Verilerinizi istediğiniz an dışa aktarabilirsiniz; ayrıldığınızda sileriz.
• Klinikbook'u hukuka uygun kullanmak sizin sorumluluğunuzdadır: aydınlatma metinleriniz ve onaylarınız, izin ve ruhsatlarınız, ülkenizin kuralları.

Taraflar ve roller

Müşteri, çalışma alanının sahibi olan kişi ya da kuruluştur (“Müşteri”). Klinikbook'u Türkiye'de kurulu SETTE TECHNOLOGICAL SOLUTIONS YAZILIM SANAYİ VE TİCARET ANONİM ŞİRKETİ ("SetteTech") sunar. Müşterinin ve ekibinin çalışma alanına girdiği ya da çalışma alanı aracılığıyla topladığı kişisel veriler (“Çalışma Alanı Verileri”) için veri sorumlusu Müşteri, veri işleyen ise 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi ve AB Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesi anlamında SetteTech'tir.

Klinikbook'a giriş yapan kişilerin hesapları ve internet sitesi için SetteTech ayrı bir veri sorumlusudur; bu işleme Gizlilik Politikası'nda anlatılır.

Hangi veriler işlenir

İşlemenin konusu, çalışma alanı var olduğu sürece ve ardından gelen silme süresi boyunca Klinikbook'un Müşteriye sunulmasıdır.

• İlgili kişiler: Müşterinin hastaları ve başvuranları ile onlara eşlik edenler, Müşterinin ekip üyeleri ve iş ortakları ve Müşterinin kaydettiği diğer kişiler.
• Veriler: kimlik ve iletişim bilgileri, mesajlar, randevu ve seyahat bilgileri, teklifler ve ödeme kayıtları (kart numarası asla), belgeler ve fotoğraflar ile Müşterinin toplamayı seçtiği sağlık bilgileri (özel nitelikli kişisel veri).
• İşleme: saklama, düzenleme, görüntüleme, Müşterinin istediği iletileri gönderme, yedekleme ve silme.

Talimatlarınız

SetteTech, Çalışma Alanı Verilerini yalnızca Müşterinin belgelenmiş talimatlarıyla işler: bu sözleşme, Müşterinin Klinikbook'u kullanması ve yapılandırması ile bunlarla uyumlu yazılı talimatlar. SetteTech, Çalışma Alanı Verilerini kendi amaçları için kullanmaz, satmaz ve Müşterinin hastalarıyla kendi adına iletişime geçmez.

SetteTech bir talimatın hukuka aykırı olduğunu düşünürse Müşteriye bildirir ve talimat açıklığa kavuşana kadar uygulamayı bekletebilir. Bir kanun SetteTech'i Çalışma Alanı Verilerini başka bir biçimde işlemekle yükümlü kılarsa, o kanun yasaklamadıkça önce Müşteriye bildirir.

Müşterinin sorumlulukları

• Klinikbook'a girdiği veriler için hukuki bir dayanağa sahip olmak, hastalarına kendi hukukunun gerektirdiği aydınlatmayı yapmak ve gereken onayları almak — Klinikbook metin şablonları sunar ve onayları kaydeder, karar Müşterinindir;
• faaliyetinin gerektirdiği izin, ruhsat ve yetki belgelerine sahip olmak; ülkesinin sağlık, tanıtım ve ileti kurallarına uymak;
• ekibine ihtiyaç duyduğu kadar erişim vermek ve giriş bilgilerinin gizli tutulmasını sağlamak;
• hukukunun Klinikbook'un imzalamadığı bir sözleşmeyi şart koştuğu verileri — örneğin iş ortağı sözleşmesi (BAA) olmadan ABD HIPAA kapsamındaki korunan sağlık bilgilerini — saklamamak ve Klinikbook'u tıbbi kayıt tutmak için kullanmamak.

Gizlilik

SetteTech'te Çalışma Alanı Verileriyle temas edebilecek herkes gizlilik yükümlülüğü altındadır. Klinikbook çalışanlarının platform üzerinden bir çalışma alanının hasta kayıtlarına erişimi yoktur; destek ekibinin bir çalışma alanının içine bakması gerekirse bunu yalnızca sahibin ya da bir yöneticinin izniyle, sınırlı bir süre ve amaçla ve kayıt altında yapar.

Güvenlik

SetteTech, sağlık verilerinin risklerine uygun teknik ve idari tedbirleri alır (KVKK madde 12, GDPR madde 32); bunlar arasında:

• tüm bağlantıların şifrelenmesi (TLS);
• her çalışma alanının verilerinin uygulamada ve veritabanının kendisinde birbirinden ayrılması;
• güçlü şifreler, iki adımlı giriş (sahip ve yöneticiler için zorunlu), oturum denetimi ve şifre tahminine karşı koruma;
• her çalışma alanında yetkiye dayalı roller ve önemli işlemlerin etkinlik kaydı;
• düzenli yedekleme, hizmetin izlenmesi ve güvenlik güncellemelerinin zamanında yapılması;
• canlı sistemlere yalnızca yetkili çalışanların, kişisel anahtarlarla ve kayıt altında erişmesi.

Alt işleyenler

Müşteri, SetteTech'in aşağıdaki alt işleyenleri kullanmasına izin verir:

SetteTech, her alt işleyeni sözleşmeyle bu sözleşmeden daha zayıf olmayan veri koruma yükümlülüklerine bağlar ve onlardan sorumlu olmaya devam eder. Yeni ya da değişen bir alt işleyeni çalışma alanı sahiplerine en az 30 gün önceden e-postayla duyurur; veri korumaya dayanan makul bir itirazı olan Müşteri, değişiklik yürürlüğe girmeden aboneliğini sonlandırabilir ve kullanmadığı, önceden ödenmiş dönemin bedeli iade edilir.

• Contabo (Almanya) — uygulamanın, veritabanının ve dosyaların barındırılması;
• Cloudflare — ağ ve koruma: platforma yapılan bağlantılar, Amerika Birleşik Devletleri dahil dünyanın farklı yerlerindeki sunucularından geçer;
• Hostinger — platformun gönderdiği e-postaların iletilmesi.

İlgili kişilerin başvuruları

Bir hasta ya da başka bir kişi Çalışma Alanı Verileri üzerindeki haklarını kullandığında ona Müşteri yanıt verir. SetteTech, Klinikbook'un işlevleriyle ve gerektiğinde başka yollarla, o kişinin verilerini bulmaya, dışa aktarmaya, düzeltmeye ve silmeye yardım eder. Doğrudan SetteTech'e ulaşan bir başvuru gecikmeden Müşteriye iletilir; SetteTech başvuruyu kendisi yanıtlamaz.

SetteTech ayrıca Müşterinin veri koruma etki değerlendirmesi, ön danışma ya da işlemeyle ilgili bir denetim makamı sorusu için makul ölçüde ihtiyaç duyduğu bilgileri sağlar.

Güvenlik olayları

SetteTech, Çalışma Alanı Verilerini etkileyen bir ihlali öğrendikten sonra Müşteriyi gecikmeden — mümkünse 48 saat içinde — bilgilendirir ve bilinenleri paylaşır: ne olduğu, hangi verilerin ve kişilerin etkilenmiş olabileceği, olası sonuçlar ve alınan önlemler. Yeni bilgi edindikçe Müşteriyi güncel tutar ve Müşterinin yetkili makama (Türkiye'de 72 saat içinde Kişisel Verileri Koruma Kurulu'na) ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.

Verilerin tutulduğu yer ve aktarımlar

Çalışma Alanı Verileri Contabo şirketinin Almanya'daki sunucularında saklanır; yukarıdaki diğer alt işleyenler verilerin yalnızca hizmetlerinin gerektirdiği kısmını işler.

Avrupa Birliği'nde, Avrupa Ekonomik Alanı'nda ya da Birleşik Krallık'ta yerleşik bir Müşteri için yeterlilik kararı bulunmayan bir ülkeye yapılan her aktarım, AB Standart Sözleşme Maddeleri (veri sorumlusundan veri işleyene, ikinci modül) ve Birleşik Krallık için Uluslararası Veri Aktarımı Eki kapsamındadır; bunlar atıf yoluyla bu sözleşmenin parçasıdır.

Türk hukukunun saklamayı ya da bir alt işlemeyi yurt dışına aktarım saydığı hâllerde, KVKK madde 9'un öngördüğü güvencelere — Kişisel Verileri Koruma Kurulu'nun belirlediği standart sözleşme dahil — dayanılır ve bu maddenin gerektirdiği bildirimler yapılır.

Hizmet sona erdiğinde

Müşteri verilerini istediği an dışa aktarabilir. Çalışma alanı kapatıldığında ya da abonelik sona erdiğinde SetteTech, bir kanun bir kısmını saklamayı gerektirmedikçe Çalışma Alanı Verilerini 90 gün içinde siler; yedeklerdeki kopyalar o yedeklerin süresi doldukça, en geç 30 gün sonra ortadan kalkar. SetteTech istenirse silme işlemini yazılı olarak teyit eder.

Denetim

SetteTech, bu sözleşmeye uyduğunu göstermek için gereken bilgileri sağlar. Müşteri yılda bir kez, 30 gün önceden haber vererek, mesai saatleri içinde, hizmeti aksatmadan ve başka müşterilerin verilerine dokunmadan, kendisi ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir; her taraf kendi masrafını karşılar. Soruyu kapsayan yakın tarihli bağımsız bir rapor ya da sertifika varsa SetteTech bununla yanıt verebilir.

Sorumluluk, öncelik ve değişiklikler

Müşterinin Klinikbook'u kullandığı koşulların sorumluluk hükümleri bu sözleşme için de geçerlidir. Veri koruma konusunda bu sözleşme, taraflar arasındaki diğer sözleşmelerden önce gelir; Standart Sözleşme Maddeleri uygulandığında ikisinden de önce gelir.

SetteTech, bu sözleşmedeki değişiklikleri yürürlüğe girmelerinden en az 30 gün önce duyurur. Yeni sürümü çalışma alanının sahibi Klinikbook içinde kabul eder; kabul etmeyen Müşteri aboneliğini sonlandırabilir.

Uygulanacak hukuk ve iletişim

Bu sözleşmeye Türk hukuku uygulanır ve Manisa mahkemeleri ile icra daireleri yetkilidir; Müşterinin ülkesinin emredici bir kuralı başka bir şey öngörüyorsa ya da Standart Sözleşme Maddeleri kendileri için başka bir hukuku şart koşuyorsa o geçerlidir.

Bu sözleşme ve veri koruma hakkında sorularınız için: [email protected].