KVKK Aydınlatma Metni

1. Veri sorumlusunun kimliği

Bu metin kapsamında veri sorumlusu […]'dir (aşağıda "NutriNexos" veya "Şirket").

• Ticaret unvanı: […]
• Adres: […]
• E-posta: […]
• Telefon: […]
• KEP: […]
• MERSİS: […]
• VERBİS kaydı: […]

2. İşlenen kişisel veriler

NutriNexos, iki farklı kullanıcı grubunun verisini işler: hizmeti satın alan klinik/diyetisyen kullanıcıları ve bu kliniklerin danışanları.

• Kimlik verileri: ad, soyad, doğum tarihi, cinsiyet
• İletişim verileri: e-posta adresi, telefon numarası, adres
• Müşteri işlem verileri: abonelik paketi, ödeme kayıtları, fatura bilgileri
• İşlem güvenliği verileri: giriş kayıtları, IP adresi, oturum bilgileri, denetim günlüğü kayıtları
• Özel nitelikli kişisel veriler (sağlık verisi): boy, kilo, vücut kompozisyonu ve ölçüm değerleri, anamnez ve hastalık öyküsü, kullanılan ilaçlar, alerji ve besin intoleransları, laboratuvar tahlil sonuçları, beslenme günlüğü ve diyet planları

3. İşleme amaçları

• Hizmetin sunulması: danışan takibi, randevu yönetimi, diyet planı hazırlanması ve ölçüm takibi
• Hesap oluşturma, kimlik doğrulama ve yetkilendirme
• Abonelik, faturalama ve tahsilat süreçlerinin yürütülmesi
• Destek taleplerinin karşılanması ve hata giderme
• Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve denetim izlerinin tutulması
• Mevzuattan doğan yükümlülüklerin yerine getirilmesi

4. Hukuki sebepler

Kişisel verileriniz KVKK m.5 ve m.6'da sayılan şu hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması veya ifası için gerekli olması (m.5/2-c) — hesap açılışı, abonelik ve hizmetin sunulması
• Hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç) — fatura ve muhasebe kayıtları, saklama süreleri
• Meşru menfaat (m.5/2-f) — bilgi güvenliği, kötüye kullanım tespiti, hizmet kalitesinin sürdürülmesi
• Açık rıza (m.6/2) — SAĞLIK VERİLERİ yalnız danışanın açık rızasıyla işlenir. Rıza her zaman geri alınabilir.

5. Veri sorumlusu / veri işleyen ayrımı

Danışan verileri bakımından VERİ SORUMLUSU, hizmeti kullanan kliniktir; NutriNexos bu verileri kliniğin talimatıyla işleyen VERİ İŞLEYEN'dir. Taraflar arasındaki yükümlülükler "Veri İşleyen Sözleşmesi"nde düzenlenmiştir.

Klinik kullanıcılarının kendi hesap ve abonelik verileri bakımından ise Şirket veri sorumlusudur.

6. Aktarım ve yurt dışına aktarım

Kişisel verileriniz, hizmetin sunulabilmesi için aşağıdaki hizmet sağlayıcılarla paylaşılır. Bu sağlayıcılar verileri yalnız hizmeti sunmak için işler:

• Supabase Inc. (veritabanı, kimlik doğrulama ve dosya saklama — sunucular Tokyo/Japonya, ap-northeast-1 bölgesi)
• Vercel Inc. (uygulama sunumu ve içerik dağıtımı)
• E-posta gönderim sağlayıcısı (doğrulama, şifre sıfırlama ve bildirim e-postaları)
• Yetkili kamu kurum ve kuruluşları — yalnız hukuki bir talep bulunması hâlinde

7. Yurt dışına aktarım hakkında önemli bilgi

Verileriniz, kullanılan bulut altyapısı nedeniyle YURT DIŞINDA (Japonya ve hizmet sağlayıcıların bulunduğu diğer ülkeler) bulunan sunucularda saklanmaktadır.

Bu aktarım KVKK m.9 kapsamındadır ve açık rızanız ile ya da Kanun'da öngörülen uygun güvencelere (standart sözleşme, taahhütname vb.) dayanılarak gerçekleştirilir. Açık rızanızı geri almanız hâlinde hizmetin teknik olarak sunulamayacağını bilmenizi isteriz.

8. Saklama süreleri

• Hesap ve danışan verileri: hizmet ilişkisi sürdüğü sürece; ilişki sona erdikten sonra 30 gün içinde silinir veya anonim hâle getirilir
• Fatura, ödeme ve muhasebe kayıtları: ilgili mevzuat uyarınca 10 yıl
• Denetim günlüğü ve güvenlik kayıtları: 2 yıl
• Açık rıza kayıtları: rızanın geri alınmasından sonra ispat amacıyla 10 yıl

9. Haklarınız (KVKK m.11)

• Kişisel verinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• Kanun'daki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

10. Başvuru yolu

Taleplerinizi […] adresine e-posta ile veya […] adresine yazılı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde sonuçlandırılır.

Danışan iseniz ve talebiniz sağlık verilerinize ilişkinse, başvurunuzu öncelikle hizmet aldığınız kliniğe yöneltmeniz gerekir; klinik veri sorumlusudur.