Veri İşleyen Sözleşmesi

1. Taraflar ve konu

Bu sözleşme, hizmeti kullanan klinik ("Veri Sorumlusu") ile […] ("Veri İşleyen") arasında, danışanlara ait kişisel verilerin işlenmesine ilişkin yükümlülükleri düzenler. Hesap açılışında kabul edilmesiyle yürürlüğe girer.

2. Veri İşleyen'in yükümlülükleri

• Kişisel verileri yalnız Veri Sorumlusu'nun talimatı ve hizmetin gerektirdiği ölçüde işlemek
• Verilere erişimi olan personelin gizlilik yükümlülüğü altında olmasını sağlamak
• KVKK m.12 uyarınca uygun teknik ve idari tedbirleri almak
• Veri Sorumlusu'nun, ilgili kişilerin KVKK m.11 kapsamındaki taleplerini karşılamasına destek olmak
• Sözleşme sona erdiğinde verileri Veri Sorumlusu'nun tercihine göre iade etmek veya silmek

3. Alınan teknik ve idari tedbirler

• Klinik bazında veri izolasyonu: her kayıt bir kliniğe bağlıdır ve veritabanı seviyesindeki satır bazlı güvenlik politikalarıyla (RLS) diğer kliniklerden ayrılır
• Aktarımda ve saklamada şifreleme
• Rol bazlı yetkilendirme ve yönetici hesapları için iki adımlı doğrulama zorunluluğu
• Tüm yazma işlemlerinin denetim günlüğüne kaydedilmesi
• Destek amaçlı erişimin gerekçe zorunluluğu, süre sınırı ve salt okunur kısıtla yapılması; her erişimin kayda geçmesi

4. Alt veri işleyenler

Veri Sorumlusu, hizmetin sunulabilmesi için aşağıdaki alt işleyenlerin kullanılmasına onay verir. Alt işleyen listesinde değişiklik olması hâlinde Veri Sorumlusu önceden bilgilendirilir:

• Supabase Inc. (veritabanı, kimlik doğrulama ve dosya saklama — sunucular Tokyo/Japonya, ap-northeast-1 bölgesi)
• Vercel Inc. (uygulama sunumu ve içerik dağıtımı)
• E-posta gönderim sağlayıcısı (doğrulama, şifre sıfırlama ve bildirim e-postaları)

5. Yurt dışına aktarım

Alt işleyenlerin sunucuları yurt dışında bulunmaktadır. Aktarım KVKK m.9 çerçevesinde, ilgili kişilerin açık rızası veya Kanun'da öngörülen uygun güvenceler esas alınarak yapılır. Danışanlardan açık rıza alınması Veri Sorumlusu'nun (kliniğin) yükümlülüğündedir; sistem bu rızanın kaydını tutar.

6. Veri ihlali bildirimi

Veri İşleyen, bir kişisel veri ihlalinden haberdar olduğunda Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde bilgilendirir; ihlalin kapsamı, etkilenen veri türleri ve alınan önlemler hakkında bilgi verir.

Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu'na aittir; Veri İşleyen bu süreçte gerekli desteği sağlar.

7. Denetim

Veri Sorumlusu, makul bildirimde bulunmak ve iş sürekliliğini aksatmamak kaydıyla, bu sözleşmeye uyumu yılda bir kez denetleyebilir veya denetim raporu talep edebilir.

8. Süre ve sona erme

Bu sözleşme, hizmet ilişkisi devam ettiği sürece yürürlüktedir. Sona ermesinden itibaren 30 gün içinde veriler Veri Sorumlusu tarafından dışa aktarılabilir; bu sürenin sonunda mevzuatın saklamayı zorunlu kıldığı kayıtlar hariç silinir.