Veri İşleme Sözleşmesi

1. Taraflar ve Kabul

Bu Sözleşme, Glosiz'e uzman sıfatıyla kaydolan ve danışan takibi yapan kullanıcı (Uzman) ile Tuvti Group Teknoloji Yazılım Limited Şirketi (Glosiz) arasında akdedilir. Uzman Kullanım Koşulları'nın ayrılmaz parçasıdır ve hizmete kayıt sırasında kabul edilir.

Künye: Tuvti Group Teknoloji Yazılım Limited Şirketi. Adres: İstiklal Mah. 895 Sk. No:2 (Office 360) İç Kapı No:4, Kat:5, Atakum/Samsun. Vergi dairesi ve numarası: Gaziler V.D. / 8721601589. MERSİS numarası: 0872160158900001. KEP adresi: [email protected]. VERBİS kayıt numarası: 22046745. İletişim: [email protected].

Danışan bu Sözleşme'nin tarafı değildir; danışana yapılan aydınlatma Danışan Aydınlatma Metni ile yapılır. Metindeki kişisel veri, özel nitelikli kişisel veri, işleme, veri sorumlusu, veri işleyen, açık rıza, ilgili kişi ve aktarım kavramları 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki (KVKK) anlamlarıyla kullanılır. Bu Sözleşme, önceki sürümlerde yayımlanan Veri Sorumluluğu Protokolü'nün yerine geçer.

2. Sıfatlar

Danışana ait mesleki takip verileri bakımından VERİ SORUMLUSU UZMANDIR, GLOSİZ VERİ İŞLEYENDİR. Glosiz bu verileri yalnızca uzmanın talimatı ve hizmetin ifası doğrultusunda işler.

Bu sıfat dağılımı hukukun gereğidir. Sağlık verisi KVKK madde 6 anlamında özel niteliklidir ve açık rıza dışındaki tek işleme yolu, Kanun'un saydığı sağlık amaçlarıyla ve sır saklama yükümlülüğü altında bulunan kişiler eliyle işlemedir. Diyetisyen, 1219 sayılı Kanun'un ek 13. maddesi uyarınca sağlık meslek mensubudur ve sır saklama yükümlülüğü altındadır; bir yazılım sağlayıcısı bu sıfata sahip değildir. Mesleki içerikte kararı veren ve sırla yükümlü olan taraf uzmandır.

Buna karşılık hizmetin kendisine ait verilerde veri sorumlusu Glosiz'dir: uzman hesabı, kimlik doğrulama, mesleki doğrulama belgesi ve kararı, faturalama ve ödeme, platform güvenliği, destek yazışması, danışanın platform hesabı ve oturumu ile denetim ve güvenlik kayıtları. Bu alan işleyen sıfatının dışındadır ve 21. bölümde ayrıca düzenlenmiştir. Aynı ekranda görünen iki veri kümesi hukuken ayrı iki katmandır.

3. Sözleşmenin Konusu

Sözleşmenin konusu, uzmanın veri sorumlusu sıfatıyla belirlediği amaçlar doğrultusunda danışan verilerinin Glosiz tarafından işlenmesine ilişkin usul ve esaslardır. Kapsam, KVKK madde 12'nin ikinci fıkrası uyarınca veri güvenliğine ilişkin ortak yükümlülükleri de içerir. Bu Sözleşme ile Uzman Kullanım Koşulları arasında kişisel verilerin korunması konusunda çelişki bulunması hâlinde bu Sözleşme öncelikle uygulanır.

4. Süre

Sözleşme, uzmanın hizmete kaydıyla yürürlüğe girer ve hesabın ya da hizmet ilişkisinin sona ermesine kadar yürürlükte kalır. Veri işleme faaliyeti, hizmet ilişkisinin sürdüğü süre boyunca devam eder. Sona ermeden sonra da 18. bölümdeki iade ve imha hükümleri ile gizlilik yükümlülüğü yürürlükte kalmaya devam eder.

5. İşlemenin Niteliği ve Amacı

İşlemenin niteliği: verilerin toplanması, kaydedilmesi, depolanması, düzenlenmesi, güncellenmesi, uzmanın erişimine sunulması, uzmanın kendi talimatıyla danışanına iletilmesi, yazışmaya eklenen dosyaların alınması, şifrelenerek saklanması, zararlı yazılıma karşı taranması, arayüzde gösterilebilmesi için küçültülmüş önizlemesinin üretilmesi ve tek gösterimlik gönderilen bir görselin ilk görüntülemede imha edilmesi, dışa aktarılması (ödeme kayıtlarının uzmanın talebiyle tablo dosyası olarak üretilmesi dâhil), yedeklenmesi, silinmesi, yok edilmesi ve anonim hâle getirilmesi.

İşlemenin amacı: beslenme ve diyet takibinin dijital ortamda yürütülmesi. Bu kapsamda ölçüm ve ilerleme takibi, sağlık geçmişi formunun uzman ya da danışan tarafından doldurulması, hedef yönetimi, diyet planlaması ve danışanın öğün seçeneklerinden yaptığı seçimlerin kaydı, İlerleme Raporu üretimi, randevu yönetimi ve randevu öncesi hazırlık notlarının danışana iletilmesi, uzman ile danışan arasındaki mesajlaşma, uzmanın danışanına ilişkin hizmet paketi, seans kullanımı, ödeme, iade ve alacak kayıtlarını kendi takibi için tutması ve bu süreçlere bağlı bildirimlerin iletilmesi yer alır.

Glosiz bu verileri kendi ticari amaçları için kullanmaz; reklam hedefleme, profilleme, satış ve yapay zekâ modeli eğitimi amacıyla işlemez, üçüncü kişilere satmaz.

6. İlgili Kişi Grubu

İşlemenin konusu olan ilgili kişiler, uzmanın Glosiz üzerinden takip ettiği danışanlardır. Danışan, yalnızca uzmanın daveti ile hesap oluşturur ve aynı anda tek bir uzmana bağlıdır. On sekiz yaşından küçük danışanlarda veli veya vasi onayının alınması uzmanın sorumluluğundadır. Onay velinin kendi cihazından verilir; Glosiz velinin beyan ettiği adı ve yakınlığı, onayın yolunu ve zamanını kayda geçirir. Velinin kimliğini ve veli ya da vasi sıfatını doğrulamak uzmanın sorumluluğundadır. Uzman, danışanı ya da velisi adına rıza kaydedemez.

7. Veri Kategorileri

Kimlik ve iletişim verileri: danışanın adı ve soyadı, e-posta adresi, telefon numarası, doğum tarihi ve cinsiyeti.

Sağlık ve takip verileri: boy, kilo ve çevre ölçüleri, vücut kompozisyonu değerleri, bunlardan hesaplanan sonuçlar, uzmanın ya da danışanın doldurduğu sağlık geçmişi (anamnez) formu ve uzman notları, hedefler, diyet kayıtları, öğün seçenekleri ve danışanın hangi seçeneği seçtiği, uyum ve görev takibi, vücut fotoğrafları ve İlerleme Raporları.

İlişki ve iletişim verileri: mesleki bağlamda oluşturulan randevular ve uzmanın randevuya eklediği hazırlık notları, uzman ve danışan arasındaki mesaj içeriği ile bu mesajlara eklenen dosyalar (fotoğraf ve PDF belge). Mesaj eki sağlık verisi taşıyabilir; taşıdığında bir sonraki bölümdeki özel nitelikli veri rejimine tabidir.

Hizmet paketi ve ödeme verileri: danışana atanan paketin adı, seans sayısı, kullanım süresi, başlangıç ve son günü, kullanılan seanslar ve kaynağı (randevu ya da elle), paket bedeli, bedel değişikliği ve süre uzatması gerekçeleri, iptal ve borcun silinmesi bilgisi; uzmanın kaydettiği ödemelerin ve iadelerin tutarı, tarihi, yöntemi, durumu ve açıklaması ile bunlardan hesaplanan kalan borç. Bu kayıtlar üzerinden para hareketi olmaz; danışan hiçbir koşulda Glosiz'e ödeme yapmaz ve danışandan kart ya da banka bilgisi işlenmez. Bu veriler, danışanın bir sağlık meslek mensubundan hizmet aldığını gösterdiği için sağlık verisi niteliğindedir ve bir sonraki bölümdeki özel nitelikli veri rejimine tabidir.

8. Özel Nitelikli Veriler

Yukarıdaki sağlık ve takip verileri, hizmet paketi ve ödeme verileri, vücut fotoğrafları ile sağlık verisi taşıyan mesaj içeriği ve mesaj ekleri KVKK madde 6 anlamında özel nitelikli kişisel veridir. Bunların işlenmesi için gereken hukuki dayanağı sağlamak, gereken hâllerde açık rızayı almak ve rızanın kapsamını doğru belirlemek uzmanın yükümlülüğüdür.

Glosiz, açık rızanın alınmasını kolaylaştıran standart metinleri ve rıza kanıt defterini bir hizmet unsuru olarak sağlar. Bu araçların sağlanması sıfatları değiştirmez: rızanın hukuka uygunluğu ve mesleki içeriğin gerekliliği uzmanın sorumluluğundadır.

Özel nitelikli veriler bakımından Glosiz, Kurul'un bu veriler için ilan ettiği ek tedbirleri uygular. Özel nitelikli veri hiçbir yabancı sağlayıcıya aktarılmaz; ayrıntı 14. bölümdedir.

Mesaj ekinin içeriğini danışan belirler ve uzman önceden göremez. Bu nedenle uzman, danışanını yazışmaya hangi bilgileri ekleyebileceği konusunda aydınlatmak, mesleki takip için gerekli olmayan özel nitelikli veriyi istememek ve gelen bir ekin takip için gerekli olmadığını gördüğünde onu saklamamakla yükümlüdür. Glosiz ek içeriğini önceden denetlemez ve denetlemekle yükümlü değildir.

Randevu hazırlık notu, paket bedeli değişikliği ve süre uzatması gerekçesi ile ödeme açıklaması serbest metin alanlarıdır. Uzman bu alanlara takip için gerekli olmayan sağlık bilgisi yazmamakla yükümlüdür. Hazırlık notu danışana gösterilir; ancak bildirimlere konmaz, bildirim yalnız uygulamada bir not bulunduğunu söyler.

9. Talimatla İşleme

Glosiz, danışan verilerini yalnızca uzmanın talimatı doğrultusunda işler. Talimat üç biçimde verilmiş sayılır: uzmanın uygulama içindeki işlemleri (veri girme, düzeltme, paylaşma, silme, dışa aktarma), bu Sözleşme ve Uzman Kullanım Koşulları'nın kendisi ile uzmanın destek kanalından ilettiği yazılı talepler.

Glosiz'in belgelenmiş talimat dışında işlediği tek hâl, mevzuatın kendisini bir işlemeye zorunlu kılmasıdır. Böyle bir hâlde, hukuken yasaklanmadıkça uzman önceden bilgilendirilir.

Glosiz, bir talimatın KVKK'ya veya ilgili mevzuata aykırı olduğu kanaatine varırsa uzmanı bilgilendirir ve talimatı yerine getirmeyi durdurabilir. Uygulama, teknik olarak mümkün olan her işlemi bir talimat sayacak biçimde tasarlanmamıştır: Glosiz'in yetkili çalışanları danışan içeriğini oluşturamaz ve değiştiremez; bu sınır 11. bölümde tanımlanmıştır.

10. Gizlilik

Glosiz, danışan verilerini gizli tutar ve bu Sözleşme'de öngörülen hâller dışında hiçbir üçüncü kişiye açıklamaz. Verilere erişme yetkisi verilen çalışanlar, iş sözleşmesi veya ayrı bir taahhütle süresiz gizlilik yükümlülüğü altındadır ve bu yükümlülük görevleri sona erdikten sonra da devam eder.

Uzmanın sır saklama yükümlülüğü mesleki mevzuatından doğar ve bu Sözleşme ile sınırlanamaz. Glosiz'in gizlilik yükümlülüğü, uzmanın mesleki sır yükümlülüğünün yerine geçmez; onun yanında ek bir güvence oluşturur.

Yetkili bir kamu kurumundan gelen talep hâlinde, hukuken yasaklanmadıkça uzman bilgilendirilir ve talep yalnızca hukuken geçerli olduğu ölçüde ve kapsamla sınırlı olarak yerine getirilir.

11. Erişim Yetkileri ve Sınırları

DANIŞAN İÇERİĞİNDE ERİŞİM SALT OKUNURDUR. Glosiz'in yetkili çalışanları ölçüm, vücut fotoğrafı, mesaj, diyet, hedef ve İlerleme Raporu içeriği oluşturamaz ve değiştiremez. Bu içeriğe dokunan işlemler yalnızca düzeltici ya da imha edici olabilir: kötüye kullanıldığı tespit edilen bir İlerleme Raporu paylaşım bağlantısının iptali, üretimi tamamlanmamış bir İlerleme Raporunun yeniden oluşturulması, hukuka aykırı hâle geldiği tespit edilen vücut fotoğraflarının ya da mesaj eklerinin erişime kapatılması veya imhası ve bir danışan kaydının kalıcı olarak silinmesi. Her biri gerekçesiyle kayda geçer, ilk üçü uzmana bildirilir, sonuncusu ikinci bir yetkilinin onayına ya da bir bekleme süresinin dolmasına bağlıdır.

Okuma amaçlı erişim, 7. bölümde sayılan hâllerle sınırlıdır: destek talebinin çözülmesi, arıza giderilmesi, güvenlik olayının incelenmesi ve yasal talepler. Uzmanın hesabını onun gözünden görüntüleme oturumu yalnız yönetici yetkisiyle başlatılabilir, salt okunurdur, süreyle sınırlıdır ve başlangıcı ile bitişi sonradan değiştirilemeyen kayda yazılır. Vücut fotoğrafına ve mesaj ekine yapılan her erişim tek tek kayda geçer, gerekçe zorunludur ve uzman bilgilendirilir.

Hesap, abonelik, faturalama, mesleki doğrulama ve destek süreçlerine ilişkin yönetim işlemleri Glosiz tarafından yapılabilir; bunlar Glosiz'in kendi veri sorumluluğu alanındadır, denetim kaydına yazılır ve bir bölümü ikinci bir yetkilinin onayına ya da bekleme süresine bağlıdır.

Tek gösterimlik gönderilen bir görsel Glosiz çalışanları tarafından açılamaz: görsel yalnız gönderildiği alıcıya bir kez sunulur ve o anda baytları imha edilir. Bir şikayet böyle bir görseli konu alıyorsa inceleme, içeriğin kendisi üzerinden değil, olayın kayıtları ve tarafların beyanları üzerinden yürütülür.

12. Teknik ve İdari Tedbirler

Glosiz, KVKK madde 12 uyarınca uygun güvenlik düzeyini sağlamak için gereken teknik ve idari tedbirleri alır ve bunları risk düzeyine göre güncel tutar.

Başlıca tedbirler: aktarımda güncel şifreleme; vücut fotoğraflarının, mesaj eklerinin ve İlerleme Raporu dosyalarının kayıt bazında ayrı anahtarla şifrelenerek saklanması ve imhada anahtarın yok edilmesi; yüklenen dosyanın türünün beyandan değil içeriğinden belirlenmesi ve yalnız kabul edilen türlerin geçirilmesi; dosya boyutunun sınırlanması; gönderilen belgelerin zararlı yazılıma karşı taranması ve tarama hizmeti cevap vermediğinde belge gönderiminin kapatılması; dosyaların herkese açık ya da imzalı bir bağlantıyla değil, her istekte erişim yetkisi denetlenerek uygulama üzerinden sunulması; rol ve yetki bazlı erişim sınırlaması ile en az yetki ilkesi; sonradan değiştirilemeyen denetim kayıtları; rıza ve kanıt kayıtlarında ham IP yerine geri döndürülemez özet saklanması, oturum kayıtlarında IP adresi yerine yalnız yaklaşık konum tutulması; riskli yönetim işlemlerinde ikinci onay ya da bekleme süresi; yedeklerin şifreli tutulması ve bir bölümünün silinemez biçimde kilitlenmesi; erişim yetkilerinin düzenli gözden geçirilmesi; çalışanların gizlilik taahhüdü altında olması ve düzenli farkındalık çalışmaları; kötüye kullanımı ve olağan dışı erişimi tespit eden izleme.

Uzman kendi tarafında şu tedbirleri almakla yükümlüdür: hesap bilgilerinin gizliliğini korumak, güçlü ve kendine özgü bir parola kullanmak, cihazını güncel ve korumalı tutmak, hesabını başkasıyla paylaşmamak ve şüpheli bir durumu gecikmeksizin Glosiz'e bildirmek.

Zararlı yazılım taraması bir tedbirdir, bir garanti değildir. Taramadan geçmiş bir dosyanın her koşulda zararsız olduğu kabul edilemez; indirdiği dosyaları kendi cihazında açarken gereken özeni göstermek uzmana aittir.

13. Alt İşleyenler

Glosiz, hizmeti sunabilmek için alt işleyen kullanır ve uzman bu kullanıma genel izin verir. Her alt işleyenle, bu Sözleşme'dekiyle en az aynı düzeyde koruma sağlayan yazılı bir düzenleme yapılır; alt işleyenin fiilinden Glosiz kendi fiili gibi sorumludur. Alt işleyene yalnızca kendi işlevi için gereken veri açılır.

Güncel alt işleyen listesi, işleme amacı, aktarılan veri kalemi ve yerleşim ülkesi aşağıdaki ekte gösterilir. Ek bu Sözleşme'nin ayrılmaz parçasıdır ve onayladığın metnin içinde yer alır; liste ayrı bir sayfada tutulmaz. Ek iki bölümdür: önce danışan verisine temas eden alt işleyenler, ardından danışan verisine hiç temas etmeyen ve yalnız Glosiz'in kendi veri sorumluluğundaki işlemeler için çalışılan alıcılar.

Listeye yeni bir alt işleyen eklendiğinde Sözleşme'nin yeni bir sürümü yayımlanır ve onayın yeniden istenir. Bunun sebebi teknik değil hukukidir: liste sözleşmenin parçası olduğu için değiştiğinde onayladığın metnin kimliği de değişir. Yeni sürüm yayımlandıktan sonra bir geçiş süresi tanınır; bu süre içinde hizmet kesintisiz sürer ve uygulamada onay istendiği görünür, süre dolduğunda onay zorunlu hâle gelir. Yeni alt işleyeni kabul etmek istemezsen aboneliğini derhâl ve bedelsiz olarak feshedebilirsin; kullanılmayan döneme ilişkin ücret iade edilir.

Aşağıdaki sağlayıcılar danışan verisine temas etmez ve bu Sözleşme anlamında alt işleyen değildir. Glosiz'in kendi veri sorumluluğundaki işlemeler için çalışılan alıcılardır: abonelik ödemesi, yasal belge düzenleme, App Store satışı ve web sitesindeki istatistik ölçümü. Ödeme kuruluşu ve Apple bu işlemlerde kendi veri sorumluluklarında hareket eder. Liste eksiksiz olsun diye burada gösterilirler; bu bölüm değiştiğinde de Sözleşme'nin yeni sürümü yayımlanır.

Yerleşim sütunundaki ok işareti, aktarımın yurt dışına yapıldığını gösterir. Yurt dışı aktarımlar KVKK madde 9 kapsamında ve uygun güvencelere dayanılarak yapılır. Özel nitelikli veriler yurt dışına aktarılmaz.

14. Yurt Dışına Aktarım

Uygulama veritabanı, dosya deposu ve yedekler Türkiye'de, Glosiz'in kendi işlettiği sunucularda tutulur. Yurt dışında yerleşik sağlayıcılar sınırlı ve işlevsel bir çerçevede kullanılır: işlemsel e-posta gönderimi, anlık bildirim iletimi, kurumsal e-posta kutusu, hata ve kararlılık izleme ile trafiğin geçtiği güvenlik ve içerik dağıtım ağı.

Aktarımlar, KVKK madde 9'un 1 Haziran 2024'ten beri yürürlükte olan rejimine göre yapılır: yeterlilik kararı bulunan ülkelere aktarım; yoksa uygun güvenceler, yani Kurul'un ilan ettiği standart sözleşme ya da Kurul izniyle taahhütname; bunların bulunmadığı hâllerde yalnızca Kanun'un saydığı arızi hâller. Arızi hâl süreklilik taşımayan tek seferlik aktarımdır ve olağan hizmet akışında dayanak olarak kullanılmaz. Standart sözleşmeye dayanan aktarımlarda sözleşme, imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Aktarım mekanizmasının kurulması, bildirilmesi ve sürdürülmesi Glosiz'in yükümlülüğüdür.

ÖZEL NİTELİKLİ VERİ YURT DIŞINA GİTMEZ. Ölçüm değerleri, sağlık notları, hedefler, diyet kayıtları, hizmet paketi ve ödeme kayıtları, vücut fotoğrafları, İlerleme Raporları ve mesaj içeriği hiçbir yabancı sağlayıcıya aktarılmaz. Bu kural üründe teknik olarak zorlanır: anlık bildirim gövdesi kişi adı, ölçüm değeri ve serbest metin taşımaz, dışarı yalnızca sabit bir yönlendirme cümlesi çıkar; e-posta içeriği daraltılmış hâlde üretilir ve sağlık verisi ile serbest metin dışarıda bırakılır; hata izlemede kişisel veri toplanmaz; web sitesindeki istatistik ölçümü yalnız çerez izni verenlerde ve takma adlı bir tanımlayıcıyla çalışır, uygulamanın içinde çalışmaz ve danışan verisi almaz. Ayrıntılı içerik yalnızca uygulamanın içinde, Türkiye'deki sunucularda görünür.

Yurt dışında yerleşik güvenlik ve içerik dağıtım ağı, trafiğin geçtiği katmandır: veriyi kendinde saklamaz, aktarım sırasında temas eder. Bu durum alt işleyen ekinde açıkça gösterilmiştir.

15. İlgili Kişi Talepleri

Danışandan gelen KVKK madde 11 taleplerini karşılamak, veri sorumlusu olarak uzmanın yükümlülüğüdür. Glosiz, işleyen sıfatıyla bu taleplerin yerine getirilmesinde uzmana yardımcı olur.

Yardım şu biçimlerde sağlanır: uygulama içinde görüntüleme, düzeltme, dışa aktarma ve silme araçlarının hazır bulundurulması; bu araçların yetmediği hâllerde destek kanalından teknik destek verilmesi; talebin karşılanması için gereken kayıtların makul sürede sağlanması.

Bir talep doğrudan Glosiz'e ulaşırsa, Glosiz talebi kendi başına sonuçlandırmaz; kaydeder ve gecikmeksizin, en geç üç iş günü içinde uzmana iletir. Danışana yalnızca talebin ilgili uzmana iletildiği bildirilir. Yanıt süresi her hâlükârda otuz gündür ve bu süreye uymak uzmanın yükümlülüğüdür.

Danışanın Glosiz nezdindeki platform hesabına, oturumuna ve bildirim tercihlerine ilişkin talepler bunun dışındadır: o katmanda veri sorumlusu Glosiz'dir ve talebi Glosiz kendisi sonuçlandırır.

16. Veri İhlali Bildirimi

Glosiz, işleyen sıfatıyla işlediği danışan verilerine ilişkin bir güvenlik ihlalini öğrendiğinde uzmanı GECİKMEKSİZİN bilgilendirir. Bildirim, uzmanın kendi bildirim yükümlülüğünü süresinde yerine getirebilmesini sağlayacak biçimde ve ilk bilgiler tamamlanmayı beklemeden yapılır.

Bildirimde şunlar yer alır: ihlalin niteliği ve nasıl gerçekleştiği, etkilenen ilgili kişi ve kayıt gruplarının yaklaşık sayısı, olası sonuçları, alınan ve alınması önerilen önlemler ile bilgi alınabilecek irtibat noktası. Glosiz ayrıca inceleme kayıtlarını, delilleri ve talep hâlinde bildirim metninin hazırlanmasına yönelik teknik desteği sağlar.

KİŞİSEL VERİLERİ KORUMA KURULU'NA VE İLGİLİ KİŞİYE BİLDİRİM, VERİ SORUMLUSU SIFATIYLA UZMANIN YÜKÜMLÜLÜĞÜDÜR. Glosiz uzman adına Kurul'a bildirimde bulunmaz; bunun sebebi ihlalin sonuçlarını değerlendirecek ve danışanla iletişimi yürütecek tarafın uzman olmasıdır.

Glosiz'in kendi veri sorumlusu olduğu verilerde, yani hesap, kimlik doğrulama, faturalama, destek, danışanın platform hesabı ve güvenlik kayıtlarında, ihlal bildirimi Kurul'a ve ilgili kişilere doğrudan Glosiz tarafından yapılır. Bir ihlal her iki katmanı da etkiliyorsa taraflar bildirim metinlerini birbirine bildirir ve çelişkili beyanı önlemek için eşgüdüm sağlar.

Uzmanın kendi hesabı, cihazı ya da ihmali kaynaklı ihlallerde bildirim yükümlülüğü uzmana aittir; Glosiz talep hâlinde teknik inceleme desteği verir.

17. Uzmanın Uyum Yükümlülüklerine Destek

Glosiz, uzmanın kendi hukuki yükümlülüklerini yerine getirebilmesi için makul desteği sağlar. Bu destek şunları kapsar: uygulanan teknik ve idari tedbirlerin özetinin paylaşılması; alt işleyen listesinin ve aktarım güvencelerinin güncel tutulması; saklama ve imha uygulamalarının belgelenmesi; ihlal ve olay kayıtlarının sağlanması; risk değerlendirmesi yapması gereken hâllerde işlemenin niteliğine ilişkin bilgi verilmesi.

Destek, Glosiz'in hâkimiyetindeki bilgi ve kayıtlarla sınırlıdır. Uzmanın kendi çalışma alanındaki uygulamalarına, danışanla kurduğu ilişkiye ve mesleki kararlarına ilişkin değerlendirme yapmak Glosiz'in yükümlülüğü değildir. Glosiz hukuki danışmanlık vermez.

18. İade ve İmha

Uzman, danışan verilerini uygulama içindeki dışa aktarma araçlarıyla dilediği zaman kendisi alabilir. Ayrı bir veri iade hizmeti sunulmaz; dışa aktarmanın hizmet ilişkisi sona ermeden ÖNCE yapılması uzmanın sorumluluğundadır.

Hizmet ilişkisi sona erdiğinde danışan verileri, uzmanın tercihine göre iade edilir veya imha edilir. Çalışma alanı kapatıldığında veriler erişime kapatılır; uygulama üzerinden görüntülenemez ve dışa aktarılamaz. Kapatmadan otuz gün sonra alandaki bütün danışan kayıtları, bağlı verileriyle birlikte, kendiliğinden imha edilir; çalışma alanının adı, logosu ve iletişim adresi de silinir. Glosiz'in kapattığı bir çalışma alanı bu otuz gün içinde yeniden açılabilir ve veriler yeniden görüntülenip dışa aktarılabilir. Uzmanın kendi hesabını kapatmasıyla kapanan alan yeniden açılmaz; bu yüzden dışa aktarmanın kapatmadan önce yapılması uzmanın sorumluluğundadır. Süre dolmadan imha istenirse talep, KVKK başvurularına uygulanan azami otuz günlük süre içinde sonuçlandırılır.

Danışan da kendi platform hesabının silinmesini isteyebilir; bu talep Glosiz'in kendi veri sorumluluğu alanındadır ve Glosiz tarafından karşılanır.

Vücut fotoğraflarında ve mesaj eklerinde imha, dosyayı silmekle birlikte şifreleme anahtarını yok etmekle yapılır; dosya o andan sonra canlı sistemde açılamaz, depoda ya da yedeklerde kalabilecek şifreli kopyaları en geç 14 gün içinde kendiliğinden silinir. Mesaj eki, bağlı olduğu mesaj imha edildiğinde imha edilir; ayrı bir saklama süresi taşımaz.

Bir danışan kaydı imha edildiğinde sağlık geçmişi formu, randevular ve hazırlık notları, öğün seçimleri, hizmet paketleri ve kullanılan seanslar, gerekçe notlarıyla birlikte imha edilir. Ödeme ve iade kayıtları imha edilmez: danışanla ve paketle bağı ile açıklaması silinir; tutar, tarih, yöntem, tür ve durum, uzmanın geçmiş gelir toplamları değişmesin diye uzmanın mali kaydında danışan adı olmadan kalır. Bekleyen olarak girilmiş ve henüz tahsil edilmemiş ödeme kayıtları bir tahsilatı göstermediği için danışan kaydıyla birlikte silinir. Bu satırlar anonim değildir, çünkü uzman kendi bilgileriyle kime ait olduklarını çıkarabilir; kişisel veri olarak uzmanın veri sorumluluğunda kalırlar. Uzmanın arayüzden sildiği bir ödeme kaydı uygulamada artık gösterilmez ve otuz gün sonra aynı biçimde danışanla bağı ve açıklaması silinir. Uzmanın kendi mali yükümlülükleri için ayrıntılı kayda ihtiyacı varsa, imhadan önce dışa aktarması kendi sorumluluğundadır.

Dışa aktarılan dosyalar, danışan dökümü ve ödeme kayıtları tablosu dâhil, uzmanın cihazına iner. İndirildikten ya da cihazın paylaşım menüsüyle başka bir uygulamaya gönderildikten sonra dosya Glosiz'in tedbirlerinin dışındadır; korunması ve kiminle paylaşıldığı uzmanın sorumluluğundadır.

Dışa aktarma, yazışmayı ve yazışmaya eklenen dosyaları kapsar. Tek gösterimlik gönderilip görüntülenmiş bir görsel bunun istisnasıdır: baytları görüntüleme anında imha edildiği için dışa aktarımda yer alamaz, kayıtta yalnız böyle bir ekin gönderildiği ve görüntülendiği bilgisi görünür. Denetim izleri ile mevzuatın saklamayı zorunlu kıldığı kayıtlar imha talimatının kapsamı dışındadır; bunlar Glosiz'in kendi hesap verebilirlik ve yasal saklama yükümlülüğü gereği tutulur ve erişimi sınırlandırılmış hâlde saklanır.

19. Yedekler

Hizmetin sürekliliği ve felaketten dönüş için düzenli yedek alınır. Yedekler şifrelidir, Türkiye'de tutulur ve bir bölümü belirli bir süre boyunca silinemez biçimde kilitlenir; bu kilit, bir saldırı hâlinde yedeklerin de silinmesini önlemek içindir.

DÜRÜST OLMAK GEREKİRSE: yedekler tek bir kayıt için seçici olarak temizlenmez. Bir veri canlı sistemden silindiğinde, yedeklerdeki kopyası o yedek kendi döngüsünde sona erene kadar erişilemez hâlde kalabilir. Seçici silme yapılmamasının sebebi, yedeğin bütünlüğünü bozmanın felaketten dönüş kabiliyetini ortadan kaldırmasıdır. Süreler şunlardır: veritabanı yedekleri, kilitli kopyalar dâhil, en geç 45 gün; dosya deposunda silinen dosyaların eski sürümleri ve dosya deposunun gecelik yedekleri en geç 14 gün içinde kendiliğinden silinir. Süreler Kişisel Veri Saklama ve İmha Politikası'nda da yayımlanır.

Bu bekleme süresince yedekteki veri, yalnızca sistemin bir felaketten geri getirilmesi amacıyla kullanılabilir; başka hiçbir amaçla erişilmez. Vücut fotoğraflarında, mesaj eklerinde ve İlerleme Raporu dosyalarında imha, dosyanın silinmesi ve anahtarının yok edilmesiyle yapılır: dosya canlı sistemde o anda açılamaz hâle gelir, şifreli kopyaları en geç 14 gün içinde düşer ve bundan sonra anahtarın bir veritabanı yedeğinde kalmış olması dosyayı açmaya yetmez. Bir geri yükleme yapılırsa, silinmesi gereken kayıtlar geri yükleme sonrasında yeniden imha edilir.

20. Denetim

Glosiz, bu Sözleşme'ye uygunluğunu gösteren makul bilgiyi ve varsa güncel güvenlik değerlendirme özetlerini uzmana yılda bir kez ücretsiz olarak sunar. Uzman bu bilgiyi talep etmek için sebep göstermek zorunda değildir.

Uzman, sunulan bilginin yeterli olmadığını yazılı gerekçesiyle belirtmek kaydıyla ilave denetim talep edebilir. İlave denetim yılda en çok bir kez yapılır, en az otuz gün önceden yazılı olarak bildirilir, kapsamı ve zamanlaması taraflarca birlikte kararlaştırılır, mesai saatleri içinde ve hizmeti aksatmayacak biçimde yürütülür. Denetimi yürütecek kişiler gizlilik taahhüdü altında olmalı ve Glosiz ile rekabet hâlinde bulunmamalıdır.

Denetim hiçbir hâlde diğer uzmanlara ve onların danışanlarına ait verilere erişimi kapsamaz. İlave denetimin masrafları talep eden uzmana aittir; denetimde esaslı bir uygunsuzluk tespit edilirse masrafları Glosiz üstlenir ve tespit edilen eksikliği makul sürede giderir. Kurul'un denetim yetkisi ve mevzuattan doğan bilgi verme yükümlülükleri bu maddeden bağımsızdır.

21. Glosiz'in Kendi Sorumluluk Alanı

Aşağıdaki işlemeler Glosiz'in KENDİ amaçlarıyla ve veri sorumlusu sıfatıyla yaptığı işlemelerdir; işleyen sıfatının ve bu Sözleşme'deki talimat rejiminin dışındadır.

PLATFORM GÜVENLİĞİ: kötüye kullanımın, sahtekârlığın ve yetkisiz erişimin tespiti ve önlenmesi, erişim ve denetim kayıtlarının tutulması, hizmetin bütünlüğünün korunması. Dayanağı Glosiz'in kendi meşru menfaati ve KVKK madde 12'den doğan güvenlik yükümlülüğüdür.

KÖTÜYE KULLANIM ŞİKAYETİ İNCELEMESİ: bir kullanıcı bir mesajı ya da yazışmanın tamamını şikayet ettiğinde, Glosiz'in yetkili çalışanları şikayeti değerlendirmek için o yazışmayı görüntüleyebilir. Bu erişim uzmanın talimatına dayanmaz. Erişim şikayetle sınırlı tutulur, denetim kaydına yazılır ve karar verildikten sonra uzmana bildirilir; bildirimde şikayet edenin kimliği yer almaz.

FATURALAMA VE HUKUKİ YÜKÜMLÜLÜKLER: aboneliğin yürütülmesi, ödeme ve iade işlemleri, yasal belge düzenlenmesi, mali kayıtların saklanması, yetkili kurum taleplerinin karşılanması ve hukuki taleplere karşı savunma. Dayanağı sözleşmenin ifası ile Glosiz'in hukuki yükümlülüğüdür.

HESAP VE DOĞRULAMA SÜREÇLERİ: uzman hesabının yönetimi, kimlik doğrulama, mesleki doğrulama kararı ve destek yazışması. Ayrıca danışanın platform hesabı, oturumu, bildirim tercihleri ve buna bağlı güvenlik kayıtları da bu alandadır.

Bu alanlarda ilgili kişilerin aydınlatılması ve talepleri Glosiz tarafından karşılanır; ayrıntısı Uzman Aydınlatma Metni ile Danışan Aydınlatma Metni'ndedir. Bu işlemeler, mesleki içeriğin uzmanın sorumluluğunda olduğu gerçeğini değiştirmez.

22. Uzmanın Yükümlülükleri

Uzman, veri sorumlusu sıfatıyla şunları taahhüt eder: danışanını KVKK madde 10 uyarınca aydınlatmak ve mesleki mevzuatın gerektirdiği bilgilendirmeyi yapmak; özel nitelikli veriler için gereken hukuki dayanağı sağlamak ve gereken hâllerde açık rızayı almak; on sekiz yaşından küçük danışanlarda veli veya vasi onayını almak; yalnızca takip için gerekli veriyi girmek ve veri minimizasyonuna uymak; girdiği içeriğin doğruluğundan ve güncelliğinden sorumlu olmak; hesap ve giriş bilgilerinin gizliliğini korumak; hesabını başkasıyla paylaşmamak; danışanın taleplerini süresinde karşılamak; kendi tarafında doğan ihlalleri bildirmek; kendi adına gereken sicil ve kayıt yükümlülüklerini yerine getirmek.

Uzman, verdiği talimatların hukuka uygunluğundan sorumludur ve Glosiz'i hukuka aykırı bir işleme yönlendirmeyeceğini kabul eder.

23. Glosiz'in İşleyen Sıfatındaki Sınırları

Glosiz, danışan verileri bakımından şunları yapmaz: verileri kendi ticari amaçları için kullanmak; reklam hedefleme, profilleme ya da satış amacıyla işlemek; yapay zekâ modeli eğitiminde kullanmak; üçüncü kişilere satmak veya kiralamak; alt işleyenler dışında üçüncü kişilere açmak; bu Sözleşme'de gösterilenin dışında bir amaçla erişmek.

İstatistik üretimi bunun istisnası değildir: hizmetin kullanımına ilişkin istatistikler yalnızca kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek biçimde üretilir.

Glosiz'in danışan içeriğine yazma yetkisi yoktur; bu sınır uygulamanın kendisinde tanımlıdır ve 11. bölümde gösterilmiştir.

24. Sona Erme

Bu Sözleşme, hizmet ilişkisinin sona ermesiyle birlikte sona erer. Sona erme, 18. bölümdeki iade ve imha yükümlülükleri ile 10. bölümdeki gizlilik yükümlülüğünü sona erdirmez; bunlar niteliği gereği sonrasında da yürürlükte kalır.

Aboneliğin sona ermesi çalışma alanını kapatmaz; yalnızca ücretli özelliklere erişimi durdurur ve sınırı ücretsiz kullanım seviyesine indirir. Bu hâlde dışa aktarma açık kalır ve veriler silinmez.

Glosiz, bu Sözleşme'nin esaslı ihlali hâlinde ve hukuka aykırı bir işlemenin sürdürülmesi riski varsa, uzmanı bilgilendirerek ilgili işlemeyi durdurabilir.

25. Sorumluluk

Taraflardan her biri, kendi sıfatından doğan yükümlülüklerin ihlalinden sorumludur. KVKK madde 12'nin ikinci fıkrası uyarınca veri güvenliğine ilişkin tedbirlerin alınmasında Glosiz ile uzman müştereken sorumludur; ilgili kişiye ve Kurul'a karşı doğan sorumluluk saklıdır.

Taraflar arasındaki iç ilişkide zarar, kusurun ait olduğu tarafa yüklenir. İlgili kişiye ödeme yapan taraf, kusuru oranında diğer tarafa rücu edebilir. Uzmanın hukuka aykırı talimatından, aydınlatma ve rıza yükümlülüğünü yerine getirmemesinden ya da hesabının güvenliğini sağlamamasından doğan zararlardan Glosiz sorumlu değildir.

Glosiz'in bu Sözleşme'den doğan toplam sorumluluğu, Uzman Kullanım Koşulları'ndaki sorumluluk sınırlarına tabidir. Bu sınır, Glosiz'in kastı veya ağır kusuru hâlinde ve mevzuatın sınırlamaya izin vermediği hâllerde uygulanmaz.

26. Değişiklikler

Bu Sözleşme güncellenebilir. Esaslı değişikliklerde ve alt işleyen listesi değiştiğinde yeni bir sürüm yayımlanır ve onayın yeniden istenir; bir geçiş süresi tanınır ve bu süre içinde hizmet kesintisiz sürer. Onay vermek istemezsen aboneliğini feshedebilirsin; kullanılmayan döneme ilişkin ücret iade edilir. Yürürlükteki metin her zaman bu sayfada, yürürlük tarihiyle birlikte yayımlanır.

27. İletişim ve Uygulanacak Hukuk

Veri koruma ile ilgili tüm bildirim ve talepler [email protected] adresine, resmî tebligatlar [email protected] KEP adresine ya da Tuvti Group Teknoloji Yazılım Limited Şirketi, İstiklal Mah. 895 Sk. No:2 (Office 360) İç Kapı No:4, Kat:5, Atakum/Samsun adresine iletilir. Destek: [email protected]. Telefon: 0362 503 03 33. İnternet sitesi: https://glosiz.com.

Bu Sözleşme Türk hukukuna tabidir ve öncelikle 6698 sayılı Kanun ile ikincil mevzuatı uygulanır.