KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

Kişisel verileriniz, veri sorumlusu sıfatıyla [DOLDUR: tam ticaret unvanı — ör. Aftelo Teknoloji Anonim Şirketi] ("Aftelo" veya "Platform") tarafından aşağıda açıklanan kapsamda işlenmektedir.

• Adres: [DOLDUR: merkez adresi — mahalle, cadde, no, ilçe/il]
• MERSİS: [DOLDUR: MERSİS numarası]
• Ticaret sicil: [DOLDUR: ticaret sicil no ve sicil müdürlüğü]
• Vergi dairesi / no: [DOLDUR: vergi dairesi] / [DOLDUR: vergi kimlik numarası]
• E-posta: [DOLDUR: KVKK başvuru e-postası] — KEP: [DOLDUR: KEP adresi]

Hukuk notu: VERBİS: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'nin altında olan veri sorumluları kural olarak kayıt yükümlülüğünden muaftır. Ancak ana faaliyeti özel nitelikli kişisel veri işlemek olanlar bu eşiklerden bağımsız olarak kayıt olmak zorundadır. Platformda sağlık sektörü firmaları bulunduğundan (bkz. madde 3), bu istisnanın Aftelo'ya uygulanıp uygulanmadığı şirket büyüklüğü netleştiğinde değerlendirilmeli; kayıt gerekiyorsa sicil bilgisi bu maddeye eklenmelidir.

2. İşlenen Kişisel Veriler

Platform üzerinden aşağıdaki veri kategorileri işlenmektedir:

• Kimlik: ad, soyad.
• İletişim: cep telefonu numarası, e-posta adresi.
• Müşteri işlem: randevu geçmişi, randevu notları, değerlendirme ve yorumlar, favori firmalar, iptal ve gelmeme (no-show) kayıtları.
• İşlem güvenliği: giriş kayıtları, doğrulama kodu kayıtları, IP adresi, oturum bilgileri.
• Pazarlama / izin: ticari elektronik ileti onayı ve onay geçmişi.
• Firma yetkilileri için ek olarak: işletme unvanı, adres ve konum bilgisi, işletme iletişim bilgileri, abonelik ve ödeme kayıtları (kart bilgisi Platform tarafından saklanmaz).

3. Özel Nitelikli Kişisel Veriler

Platformda; Diş Hekimi, Doktor & Klinik, Psikolog & Terapi, Fizyoterapi & Rehabilitasyon, Diyetisyen, Estetik & Lazer Merkezi gibi sağlık alanında faaliyet gösteren firmalar yer almaktadır. Bu firmalardan alınan bir randevunun kaydı, tek başına sağlık durumunuza ilişkin çıkarım yapılmasına elverişli olabilir. Bu nedenle söz konusu randevu kayıtları, KVKK m.6 anlamında özel nitelikli kişisel veri kabul edilerek işlenir.

Bu kapsamda:

• Sağlık alanındaki firmalardan randevu oluşturulması, randevu adımında verdiğiniz ayrı ve açık rızanıza dayanır. Rıza vermemeniz hâlinde bu sektörlerde randevu oluşturulamaz; diğer sektörlerdeki hizmetleri kullanmaya devam edebilirsiniz.
• Bu rızayı dilediğiniz zaman hesap panelinizden geri alabilirsiniz.
• Randevu notu alanına sağlık bilgisi girilmesi önerilmez; bu alan randevunun organizasyonu içindir.
• Bu veriler; erişim yetkisi görev gereği sınırlı personelle kısıtlanarak, aktarım ve saklama sırasında şifreleme uygulanarak ve erişim kayıtları tutularak işlenir.

Hukuk notu: Uygulanması gereken teknik değişiklik: Bu madde, sağlık sektöründeki randevularda ayrı bir açık rıza alındığını beyan ediyor. Randevu akışında böyle bir onay adımı henüz kodlanmadı. Metin yayına alınmadan önce ya bu onay adımı eklenmeli ya da madde, mevcut duruma uygun şekilde yeniden yazılmalıdır. Ayrıca KVK Kurulu'nun 2018/10 sayılı kararı, özel nitelikli veriler için şifreleme, ayrı yetkilendirme politikası ve erişim loglaması gibi ek teknik tedbirler öngörür.

4. İşleme Amaçları

• Üyelik oluşturulması ve kimlik doğrulama (telefon OTP, e-posta doğrulama)
• Randevu oluşturma, değiştirme, iptal ve takip süreçlerinin yürütülmesi
• Randevu bildirim ve hatırlatmalarının (WhatsApp / e-posta) iletilmesi
• Firma abonelik süreçlerinin ve tahsilatın yürütülmesi
• Değerlendirme ve yorum sisteminin işletilmesi, içerik moderasyonu
• Platform güvenliğinin sağlanması, kötüye kullanım ve sahte kayıtların önlenmesi
• Talep ve şikâyetlerin karşılanması, destek hizmetlerinin sunulması
• Yasal yükümlülüklerin (saklama, bilgi verme, faturalama) yerine getirilmesi

5. İşlemenin Hukuki Sebepleri

Kişisel verileriniz KVKK m.5 kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması veya ifası (m.5/2-c): üyelik, randevu oluşturulması ve randevuya ilişkin bildirimlerin iletilmesi.
• Hukuki yükümlülük (m.5/2-ç): mali mevzuat kapsamındaki saklama ve faturalama yükümlülükleri.
• Meşru menfaat (m.5/2-f): platform güvenliği, dolandırıcılık ve kötüye kullanımın önlenmesi, hizmet kalitesinin ölçülmesi.
• Açık rıza (m.5/1 ve m.6/2): sağlık alanındaki firmalardan alınan randevular (madde 3), tanıtım ve kampanya içerikli ticari elektronik iletiler.

Randevu hatırlatmaları hakkında: Randevunuza ilişkin onay, hatırlatma, erteleme ve iptal bildirimleri, talep ettiğiniz hizmetin ifasına yöneliktir ve tanıtım amacı taşımaz. Bu nedenle bunlar ticari elektronik ileti olarak değil, sözleşmenin ifası kapsamında gönderilir ve ayrı bir onaya tabi değildir. Tanıtım, kampanya ve indirim içerikli iletiler ise yalnızca ayrıca onay vermeniz hâlinde gönderilir.

Hukuk notu: Yukarıdaki ayrım şu gerekçeye dayanır: 6563 sayılı Kanun ticari elektronik iletiyi "ticari amaçlarla" gönderilen ileti olarak tanımlar; Ticari İletişim Yönetmeliği ise alıcının kendi talebiyle bağlantılı iletiler için onay aranmayacağını düzenler. Randevu hatırlatması bu kapsamda değerlendirilmiştir. Buna karşılık kayıtsız numaraya gönderilen "kayıt olun" daveti (F-308.3) bu gerekçeyle savunulamaz: alıcının bir talebi yoktur. O akış canlıya alınmadan önce ayrıca değerlendirilmelidir.

6. Toplama Yöntemi

Verileriniz; web sitesi ve mobil uygulama üzerinden doldurduğunuz formlar, telefon ve e-posta doğrulama akışları, randevu işlemleriniz ve platform kullanımınız sırasında otomatik yollarla elektronik ortamda toplanır.

7. Kimlere ve Hangi Amaçla Aktarılabilir

• Randevu aldığınız firma: randevunun ifası amacıyla ad-soyad, telefon numarası ve randevu bilgilerinize erişir. Firma, bu veriler bakımından kendi yükümlülüklerine tabidir.
• E-posta hizmet sağlayıcısı: doğrulama ve bilgilendirme e-postalarının iletilmesi amacıyla. Kullanılan sunucular Türkiye'de yerleşiktir.
• Mesajlaşma hizmet sağlayıcısı: randevu bildirim ve hatırlatmalarının iletilmesi amacıyla (WhatsApp Business Platform / Meta). Bu entegrasyon hâlihazırda devrede değildir; devreye alınması hâlinde işbu metin güncellenecektir.
• Ödeme kuruluşu: firma aboneliklerinin tahsilatı amacıyla. Kart bilgisi Platform sunucularında hiçbir aşamada saklanmaz.
• Yetkili kamu kurum ve kuruluşları: mevzuattan doğan talep hâlinde.

Yurt dışına aktarım: Platform sunucuları, veritabanı, yüklenen görseller ve e-posta altyapısı Türkiye'de konumlandırılmıştır. Bu itibarla verileriniz hâlihazırda yurt dışına aktarılmamaktadır. WhatsApp bildirimleri devreye alındığında Meta'ya aktarım söz konusu olacak; bu aktarım KVKK m.9 kapsamında uygun bir dayanağa bağlanacak ve işbu metin öncesinde güncellenecektir.

Hukuk notu: Bu madde, altyapının bugünkü hâlini yansıtır: sunucu Türkiye'de, e-posta yerli kurumsal SMTP üzerinden gidiyor, WhatsApp kapalı. Meta entegrasyonu açıldığı gün bu madde mutlaka güncellenmeli, aksi hâlde aydınlatma metni gerçeği yansıtmaz.

8. Saklama Süreleri

• Üyelik verileri: Üyelik süresince; üyeliğin sona ermesinden itibaren 10 yıl (TBK m.146 zamanaşımı)
• Randevu ve işlem kayıtları: Randevu tarihinden itibaren 10 yıl (olası uyuşmazlıklar için zamanaşımı süresi)
• Mali kayıtlar ve faturalar: 10 yıl (TTK m.82, VUK m.253)
• Ticari elektronik ileti onay kayıtları: Onayın geri alınmasından itibaren 3 yıl (Ticari İletişim Yönetmeliği m.13)
• İşlem güvenliği kayıtları: 2 yıl (5651 sayılı Kanun kapsamındaki asgari süreyi karşılar)

Süre sonunda verileriniz silinir, yok edilir veya anonim hâle getirilir. Silme talebiniz hâlinde, yukarıdaki yasal saklama yükümlülüğüne tabi kayıtlar ilgili süre doluncaya kadar yalnızca bu yükümlülüğün gerektirdiği ölçüde saklanmaya devam eder.

Hukuk notu: Uygulanması gereken teknik değişiklik: Bu süreleri uygulayan otomatik bir silme/anonimleştirme işi henüz yazılmadı. Süreleri metinde ilan etmek, onları uygulamayı da taahhüt etmek anlamına gelir; periyodik imha görevi eklenmelidir.

9. İlgili Kişi Olarak Haklarınız

KVKK m.11 uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• Şartları oluştuğunda silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz sonucu aleyhinize bir sonuç doğmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

Taleplerinizi hesap panelinizdeki "KVKK Talepleri" bölümünden, [DOLDUR: KVKK başvuru e-postası] adresine e-posta ile veya [DOLDUR: KEP adresi] KEP adresine ileterek yapabilirsiniz. Başvurularınız Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca en geç 30 gün içinde sonuçlandırılır.

10. Çerezler

Platformda kullanılan çerezlere ilişkin ayrıntılı bilgi Çerez Politikası sayfasında yer almaktadır.

11. Değişiklikler

Aftelo, işbu aydınlatma metnini mevzuat değişiklikleri ve hizmet kapsamındaki güncellemeler doğrultusunda revize edebilir. Güncel metin her zaman bu sayfada yayımlanır.