Gizlilik Politikası & KVKK Aydınlatma Metni

1. Veri Sorumlusu ve İkili Rol

Danışana ait kişisel ve sağlık verileri bakımından veri sorumlusu, danışanı takip eden uzman/klinik; Glosiz ise bu verileri uzmanın talimatıyla işleyen veri işleyendir. Uzmanın kendi hesap ve fatura verileri bakımından veri sorumlusu Glosiz'i işleten Tuvti Group Teknoloji Yazılım Limited Şirketi'dir. Tebligat adresi: İstiklal Mah. 895 Sk. No:2 (Office 360) İç Kapı No:4, Kat:5, Atakum/Samsun. VKN/Vergi Dairesi: 8721601589 / Gaziler V.D.. MERSİS: 0872160158900001. KEP: [KEP ADRESİ — şirketten alınacak]. VERBİS: [VERBİS SİCİL NO — kayıtlıysa gir, değilse 'kayıt yükümlülüğünden muaf']. Veri sorumlusu irtibat: Ali Doğan. KVKK kapsamındaki talepler ve iletişim için: [email protected].

2. Tanımlar

Bu metinde geçen kişisel veri, özel nitelikli kişisel veri, işleme, veri sorumlusu, veri işleyen, açık rıza, ilgili kişi ve aktarım kavramları 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki (KVKK) anlamlarıyla kullanılır. "Danışan" ilgili kişi son kullanıcıyı, "Uzman" diyetisyen/klinik kullanıcısını ifade eder.

3. İşlenen Kişisel Veri Kategorileri

Kimlik ve iletişim: ad-soyad, e-posta, telefon, unvan, rol (uzman/danışan), cinsiyet ve doğum yılı; tema/dil tercihleri.

Danışan verileri: boy, ölçümler (kilo ve çevre ölçüleri), bunlardan türetilen değerler (ör. VKİ), hedefler, ilerleme raporları, ölçüm/klinik notları, anamnez/sağlık geçmişi, diyet planı içeriği ve

vücut fotoğrafları — bunlar KVKK md.6 kapsamında özel nitelikli sağlık verisidir

.

Takip/davranış verileri: görev ve öğün uyum işaretleri, ilerleme, hatırlatıcılar. İletişim içeriği: danışan-uzman mesajları. Randevu: tarih, yer, katılım durumu. Finansal veriler: abonelik ve fatura bilgileri (unvan, vergi/kimlik no, adres) ile uzmanın kendi danışan tahsilat kayıtları. Kullanım/teknik veriler: oturum ve erişim kayıtları, cihaz push bildirim jetonu ve tarayıcı bilgisi (user-agent); IP adresi ham olarak saklanmaz, yalnızca güvenlik amacıyla tuzlu ve geri döndürülemez özet (hash) biçiminde tutulur. Rıza ve yasal kanıt: verilen rızalar, sürümü, tarihi ve teknik bağlamı.

4. Özel Nitelikli (Sağlık) Verilerin İşlenmesi

Boy, kilo, vücut çevre ölçüleri, vücut kompozisyonu (yağ oranı, kas kütlesi, su oranı, viseral yağ, bazal metabolizma), VKİ, anamnez/sağlık geçmişi, diyet planı ve vücut fotoğrafları KVKK md.6 kapsamında özel nitelikli sağlık verisidir. Bu veriler yalnızca danışanın açık rızası ile işlenir. Vücut fotoğrafı, ayrı bir açık rıza alınmadan yüklenemez ve saklanamaz.

5. Toplama Yöntemleri

Veriler; uygulama içi formlar ve girişler, uzmanın danışan adına yaptığı girişler (ölçüm/anamnez), danışanın kendi girişleri, davet/kayıt akışı, kimlik doğrulama sağlayıcısı ve hizmetin kullanımı sırasında oluşan otomatik teknik kayıtlar yoluyla toplanır.

6. İşleme Amaçları

Kişisel veriler; hesabın oluşturulması ve yönetimi, hizmetin sunulması (ölçüm/hedef/ilerleme takibi, raporlama, mesajlaşma, randevu), bildirim gönderimi, aboneliğin ve ödemenin yürütülmesi, güvenlik ve kötüye kullanımın önlenmesi, mali ve hukuki yükümlülüklerin yerine getirilmesi ile ilgili kişi taleplerinin karşılanması amaçlarıyla işlenir.

7. İşlemenin Hukuki Sebepleri

Hesabın oluşturulması, hizmetin sunulması, bildirim gönderimi ve aboneliğin yürütülmesi sözleşmenin ifası (KVKK md.5/2-c); güvenlik, kötüye kullanımın önlenmesi ve erişim kayıtları meşru menfaat (md.5/2-f); mali kayıtların ve denetim izlerinin saklanması ile KVKK taleplerinin karşılanması hukuki yükümlülük (md.5/2-ç) sebebine dayanır. Ölçüm/sağlık verisi, vücut fotoğrafı ve verilerin takip eden uzmanla paylaşımı ise yalnızca açık rıza ile işlenir (KVKK md.6). Açık rıza dilediğiniz zaman geri alınabilir; geri alındığında ilgili işleme durur ve geriye etkili olmaz.

8. Aktarım — Yurt İçi

Abonelik ödemelerinin alınması amacıyla, yurt içinde yerleşik ödeme kuruluşu İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.'ye (iyzico) ad-soyad, e-posta, telefon ve fatura bilgileri aktarılır. Ödeme kartı bilgileri Glosiz'e aktarılmaz; doğrudan ödeme kuruluşunun güvenli ortamında (3D Secure) işlenir. Ayrıca yasal talep hâlinde yetkili kamu kurum ve kuruluşlarına mevzuat gereği aktarım yapılabilir.

9. Yurt Dışına Aktarım ve Açık Rıza (KVKK md.9)

Hizmetin sunulması için, yurt dışında yerleşik sınırlı sayıda hizmet sağlayıcı (veri işleyen) kullanılır ve her birine yalnızca ilgili işlev için gereken veri aktarılır: kimlik doğrulama için Clerk'e (ABD) e-posta/ad; dosya depolama ve içerik dağıtımı için Cloudflare'e (ABD) uçtan uca şifreli vücut fotoğrafları ve raporlar ile IP/istek meta verisi; push bildirimi için Expo, Apple APNs ve Google FCM'ye (ABD) cihaz bildirim jetonu ve bildirim metni; işlemsel e-posta için Resend'e (ABD) alıcı adresi ve mesaj içeriği; hata izleme için Sentry'ye (AB — Almanya bölgesi) teknik hata kayıtları (kişisel veri en aza indirilir). Bu aktarımlar KVKK md.9 kapsamında; uygun güvencelerin sağlanması veya açık rızanız ya da md.9'daki istisnalardan biri dayanağıyla yapılır. Özel nitelikli sağlık verilerinin (vücut fotoğrafları dâhil) yurt dışındaki bir sağlayıcıda işlenmesi gereken hâllerde aktarım açık rızanıza dayanır. Aktarılan alıcı gruplarının güncel listesi Veri İşleme Sözleşmesi'nin alt-işleyen ekinde yer alır.

10. Saklama Süreleri ve İmha

Veriler, işleme amacı ortadan kalktığında veya yürürlükteki mevzuatın öngördüğü saklama süresi dolduğunda silinir, yok edilir veya anonim hâle getirilir. Hukuki yükümlülük ve hesap verebilirlik gereği rıza kayıtları, denetim izleri ve mali kayıtlar (gerektiğinde anonimleştirilerek) ilgili yasal süreler boyunca saklanabilir. Silme talepleri, çok-klinikli kullanıcı hesaplarında diğer kliniklerdeki bağı etkilemeyecek biçimde yürütülür.

11. Veri Güvenliği Tedbirleri

Glosiz, kişisel verileri korumak için uygun teknik ve idari tedbirleri alır: vücut fotoğrafları uçtan uca (AES-256-GCM zarf-şifreleme) şifrelenir ve silmede anahtar imhası (crypto-shred) uygulanır; erişim kayıtları değişmezlik sağlayan özet-zinciriyle (tamper-evident) tutulur; IP adresleri ham değil, tuzlu özet (hash) olarak saklanır; erişimler yetki ve rol bazlı sınırlandırılır; operatör erişimi salt-okur ve kayıtlıdır. Hiçbir tedbir mutlak güvenlik sağlamasa da, riskle orantılı güncel önlemler uygulanır.

12. İlgili Kişinin Hakları (KVKK md.11)

KVKK md.11 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik analiz sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve zarara uğramanız hâlinde giderilmesini talep etme haklarına sahipsiniz. Ayrıca verdiğiniz açık rızayı dilediğiniz zaman geri alabilirsiniz. Verilerinizi uygulama içinden indirebilir (dışa aktarım), düzeltebilir ve silme talebinde bulunabilirsiniz.

13. Başvuru Yöntemi ve Yanıt Süresi

Haklarınıza ilişkin taleplerinizi, kimliğinizi tevsik edici bilgilerle [email protected] adresine e-posta ile veya Tuvti Group Teknoloji Yazılım Limited Şirketi, İstiklal Mah. 895 Sk. No:2 (Office 360) İç Kapı No:4, Kat:5, Atakum/Samsun adresine yazılı olarak iletebilirsiniz. Başvurular en geç 30 (otuz) gün içinde sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

14. Çerezler

Web sitemizde, hizmetin çalışması için zorunlu çerezler kullanılır; pazarlama/reklam amaçlı üçüncü taraf izleme çerezi kullanılmaz. Ayrıntılar için Çerez Politikası belgesine bakınız.

15. Değişiklikler ve Yürürlük

Bu Aydınlatma Metni güncellenebilir. Esaslı değişiklikler uygulama içinde veya e-posta ile bildirilir. Güncel metin, yürürlük tarihi ile birlikte bu sayfada yayımlanır.