Veri İşleme Sözleşmesi (DPA)
Yürürlük tarihi: 2026-07-21
1. Taraflar ve Tanımlar
İşbu Veri İşleme Sözleşmesi; danışan verileri bakımından VERİ SORUMLUSU olan uzman/klinik (Glosiz'e kaydolan ve danışan ekleyen kullanıcı) ile VERİ İŞLEYEN olan Tuvti Group Teknoloji Yazılım Limited Şirketi (Glosiz) arasında akdedilir. Sözleşme, Kullanım Koşulları'nın ayrılmaz parçasıdır ve uzmanın hizmete kaydıyla kabul edilir. Terimler KVKK'daki anlamlarıyla kullanılır.
2. Konu ve Kapsam
Bu sözleşme, Glosiz'in veri işleyen sıfatıyla, veri sorumlusunun (uzman/klinik) talimatı doğrultusunda danışanlara ait kişisel verileri işlemesine ilişkin esasları düzenler. Glosiz, verileri yalnızca hizmeti sunmak için ve veri sorumlusunun belgelenmiş talimatlarına uygun olarak işler.
3. İşlemenin Konusu, Süresi, Niteliği ve Amacı
Konu: beslenme danışmanlığı hizmetinin sunulması. Süre: hizmetin/aboneliğin sürdüğü süre. Nitelik: toplama, saklama, düzenleme, aktarım, silme dâhil işleme faaliyetleri. Amaç: ölçüm/hedef/ilerleme takibi, raporlama, mesajlaşma, randevu ve bildirim.
4. Veri Kategorileri ve İlgili Kişi Grupları
İlgili kişi grubu: veri sorumlusunun danışanları. Veri kategorileri: kimlik ve iletişim verileri; özel nitelikli sağlık verileri (boy/kilo/çevre ölçüleri, vücut kompozisyonu, VKİ, anamnez, diyet, vücut fotoğrafları); takip/uyum verileri; mesajlaşma içeriği; randevu ve (varsa) danışan tahsilat kayıtları.
5. Veri İşleyenin Yükümlülükleri
Glosiz; verileri yalnızca talimata uygun işler, çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar, uygun teknik ve idari güvenlik tedbirlerini alır, ilgili kişi taleplerinin karşılanmasında veri sorumlusuna makul yardımı sağlar, veri sorumlusunun önceden genel iznine dayanarak alt-işleyen kullanır ve alt-işleyen değişikliklerini bildirir.
6. Alt-İşleyenler
Veri sorumlusu, aşağıdaki alt-işleyenlerin kullanımına genel izin verir. Glosiz, listeye ekleme yapmadan önce makul biçimde bilgilendirir ve veri sorumlusuna itiraz imkânı tanır. Güncel liste:
| Alt-işleyen | Amaç | Aktarılan veri | Yerleşim |
|---|---|---|---|
| Clerk, Inc. | Kimlik doğrulama ve oturum yönetimi | E-posta, ad-soyad, profil görseli, oturum bilgisi | ABD ⤴ |
| İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico) | Abonelik ödemesi (3D Secure) | Ad-soyad, e-posta, telefon, fatura bilgileri (kart verisi Glosiz'de tutulmaz) | Türkiye |
| Resend (Plendo, Inc.) | İşlemsel e-posta gönderimi | Alıcı e-posta adresi ve ileti içeriği | ABD ⤴ |
| Cloudflare, Inc. (R2 depolama + CDN/WAF) | Şifreli dosya (fotoğraf/PDF) depolama, içerik dağıtımı ve güvenlik | Uçtan uca şifreli vücut fotoğrafları ve raporlar; IP ve istek meta verisi | ABD ⤴ |
| Expo (Expo, Inc.), Google FCM, Apple APNs | Anlık bildirim (push) iletimi | Cihaz bildirim jetonu ve bildirim içeriği | ABD ⤴ |
| Sentry (Functional Software, Inc.) | Hata ve kararlılık izleme | Hata kaydı ve teknik bağlam (kişisel veri en aza indirilir) | Avrupa Birliği (Almanya bölgesi) ⤴ |
Yurt dışında yerleşik alt-işleyenlere aktarım KVKK md.9 kapsamında yapılır; özel nitelikli veriler için açık rıza esas alınır.
7. Teknik ve İdari Tedbirler
Vücut fotoğraflarında uçtan uca (AES-256-GCM zarf) şifreleme ve silmede anahtar imhası; değişmezlik sağlayan özet-zinciriyle denetim kaydı; ham IP yerine tuzlu özet; rol/yetki bazlı erişim; salt-okur ve kayıtlı operatör erişimi; aktarımda ve saklamada uygun güvenlik önlemleri uygulanır.
8. Veri İhlali Bildirimi
Glosiz, sorumluluğundaki bir veri güvenliği ihlalini öğrenmesinin ardından gecikmeksizin veri sorumlusunu bilgilendirir ve ihlalin niteliği, etkilenen veri ve alınan önlemler hakkında makul bilgiyi sağlar. Kurul'a ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusuna aittir; Glosiz bu süreçte makul desteği verir.
9. İlgili Kişi Taleplerine Destek
Glosiz, ilgili kişilerin erişim, düzeltme, silme ve dışa aktarım taleplerinin karşılanması için gerekli teknik araçları (uygulama içi dışa aktarım/silme) sağlar ve veri sorumlusuna makul yardımı yapar.
10. Yurt Dışına Aktarım
Alt-işleyenlerin bir kısmı yurt dışında yerleşik olup, aktarımlar KVKK md.9'a uygun olarak (uygun güvenceler veya açık rıza dayanağıyla) gerçekleştirilir. Özel nitelikli sağlık verilerinin yurt dışında işlenmesi gereken hâllerde ilgili kişinin açık rızası esas alınır.
11. Sona Erme ve Verilerin İadesi/İmhası
Hizmetin/aboneliğin sona ermesi hâlinde Glosiz, veri sorumlusunun tercihine göre danışan verilerini iade eder veya siler; yasal saklama yükümlülükleri saklıdır. Silme, uygulama içi silme akışları ve alt-işleyenlerdeki en iyi çaba temizliğiyle gerçekleştirilir.
12. Denetim ve Sorumluluk
Glosiz, bu sözleşmeye uygunluğu gösteren makul bilgiyi veri sorumlusuna sunar. Taraflar, KVKK kapsamındaki kendi yükümlülüklerinden sorumludur. Bu sözleşme ile Kullanım Koşulları arasında veri koruma konusunda çelişki olması hâlinde bu sözleşme öncelikle uygulanır.