Kişisel Veri İşleme Sözleşmesi
Bu sözleşme, Klinikra Hizmet ve Abonelik Sözleşmesi'nin eki ve ayrılmaz parçasıdır. Hizmet sözleşmesinin elektronik onayıyla birlikte kurulur ve hizmet sözleşmesi süresince yürürlükte kalır.
1. Taraflar ve roller
- Veri sorumlusu: Hizmeti kullanan sağlık kuruluşu ("Kuruluş"). Kişisel verilerin işleme amaçlarını ve vasıtalarını belirler.
- Veri işleyen: TANITEK EĞİTİM VE ROBOT TEKNOLOJİLERİ YAZILIM ELEKTRONİK TİCARET LİMİTED ŞİRKETİ, Bostanlı Mah. 6345 Sk. PTT Binası No:35 Kapı No:1, Karşıyaka / İzmir ("Klinikra"). Kişisel verileri Kuruluş adına ve onun talimatı doğrultusunda işler (KVKK md. 3/1-ğ).
6698 sayılı KVKK md. 12/2 uyarınca, veri işleyenin veri sorumlusu adına işlediği verilerle ilgili güvenlik tedbirlerinin alınmasından veri sorumlusu ile veri işleyen müştereken sorumludur. Bu sözleşme tarafların bu kapsamdaki yükümlülüklerini düzenler.
2. İşlemenin konusu, niteliği ve süresi
| Konu | Klinikra sağlık CRM yazılımının hizmet olarak sunulması: kayıt, saklama, düzenleme, görüntüleme, yedekleme, Kuruluş'un talimatıyla ileti gönderimi ve imha. |
|---|---|
| İlgili kişi grupları | Hastalar, hasta yakınları ve yasal temsilciler, hasta adayları, Kuruluş personeli ve hekimleri, Kuruluş'un tedarikçi ve iş ortakları (aracı kurum, acente) yetkilileri. |
| Veri kategorileri | Kimlik (T.C. kimlik numarası şifreli), iletişim, adres, uyruk/pasaport, sigorta, finans ve ödeme, randevu ve işlem kayıtları, görsel kayıtlar (fotoğraf, röntgen), imza, rıza kayıtları, iletişim izinleri, işlem güvenliği kayıtları. |
| Özel nitelikli veriler | Sağlık verileri (tanı, muayene notu, tedavi planı ve uygulamaları, alerji, kronik hastalık, kullanılan ilaçlar, tetkik ve görüntüleme dosyaları, onam formları) — KVKK md. 6 kapsamında özel nitelikli kişisel veridir. |
| Süre | Hizmet sözleşmesi süresince ve 9. maddedeki iade/imha süreleri boyunca. |
3. Talimata bağlı işleme
- Klinikra kişisel verileri yalnız hizmetin sunulması, Kuruluş'un yazılım üzerinden verdiği talimatlar (kayıt, ileti gönderimi, dışa aktarma vb.) ve yazılı talimatları doğrultusunda işler; kendi amaçları için işlemez, satmaz, pazarlama amacıyla kullanmaz.
- Bir talimatın mevzuata aykırı olduğunu düşünmesi halinde Klinikra durumu Kuruluş'a gecikmeksizin bildirir.
- Hukuka uygunluk sebebinin (KVKK md. 5 ve 6) varlığı, hastaların aydınlatılması, gerektiğinde açık rıza alınması ve ticari ileti izinlerinin (İYS) yönetimi veri sorumlusu olarak Kuruluş'un yükümlülüğündedir. Klinikra bunun için aydınlatma metni, rıza defteri ve izin denetimi araçları sağlar.
4. Gizlilik
Klinikra, kişisel verilere erişimi yalnız hizmetin sunulması için gerekli personeliyle sınırlar; bu personel yazılı gizlilik yükümlülüğü altındadır. Platform yöneticileri kuruluş verisine olağan işleyişte erişemez; destek amacıyla erişim yalnız Kuruluş'un talebiyle ve kayıt altında yapılır.
5. Teknik ve idari tedbirler
Klinikra, KVKK md. 12/1 ve Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararı (31.01.2018 tarihli ve 2018/10 sayılı) gözetilerek en az şu tedbirleri uygular:
- Verilerin aktarımında TLS şifreleme; T.C. kimlik numarası gibi yüksek riskli alanların veritabanında AES-GCM ile şifreli, arama için tuzlu özetle saklanması,
- Rol ve şube bazlı yetkilendirme; sağlık verisine yalnız ilgili izni bulunan kullanıcıların erişebilmesi; iki adımlı doğrulama ve oturum süresi sınırları,
- Hasta kartı, muayene notu, hasta dosyası açılması ve dışa aktarma işlemlerinin değiştirilemez erişim kayıtlarıyla tutulması; tüm kayıt değişikliklerinin denetim kaydına yazılması,
- Rıza defteri ve kilitli muayene notlarının veritabanı düzeyinde değiştirilemez olması,
- Düzenli şifreli yedekleme, yedekten geri dönüş testleri, felaket kurtarma planı,
- Sunucuların fiziksel ve ağ güvenliği sağlanmış veri merkezlerinde, yalnız gerekli portlara erişim izniyle çalışması; güvenlik güncellemelerinin düzenli uygulanması,
- Kaba kuvvet denemelerine karşı deneme sınırları, kişisel veri içeren ortamların düzenli gözden geçirilmesi ve personelin periyodik eğitimi.
6. Alt veri işleyenler
Kuruluş, Klinikra'nın hizmetin sunulması için aşağıdaki nitelikte alt veri işleyenlerle çalışmasına genel olarak onay verir. Klinikra, alt veri işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların işlemlerinden Kuruluş'a karşı sorumludur.
| Hizmet | Amaç | Konum |
|---|---|---|
| Barındırma ve veri merkezi | Uygulama, veritabanı, dosya deposu ve yedeklerin barındırılması | Türkiye |
| SMS ve sesli ileti sağlayıcıları | Doğrulama kodu, randevu hatırlatma ve Kuruluş'un gönderdiği iletiler | Türkiye |
| E-posta gönderim hizmeti | Bildirim, belge ve Kuruluş iletilerinin gönderimi | Kuruluş'un seçtiği sağlayıcı |
| Ödeme kuruluşları (iyzico, PayTR) | Hasta online ödemeleri ve abonelik ödemesi | Türkiye |
| E-fatura / e-arşiv entegratörü | Kuruluş'un elektronik belgelerinin düzenlenmesi | Türkiye |
| Yapay zekâ hizmeti (isteğe bağlı) | Kuruluş'un etkinleştirmesi halinde belge okuma ve metin önerisi | Sağlayıcıya göre; yurt dışındaysa yalnız 7. madde şartlarıyla |
Yeni bir alt veri işleyen eklenmesi veya değiştirilmesi en az 30 gün önceden Kuruluş'a bildirilir. Kuruluş, haklı gerekçeyle itiraz edebilir; itirazın giderilememesi halinde hizmet sözleşmesini değişiklik yürürlüğe girmeden cezasız olarak sona erdirebilir.
7. Yurt içinde barındırma ve yurt dışına aktarım
Kuruluş verisi, yedekleri dahil Türkiye'de bulunan sunucularda barındırılır. Kişisel veriler, KVKK md. 9'da öngörülen şartlar (yeterlilik kararı, uygun güvenceler veya arızi aktarım halleri) sağlanmadan ve Kuruluş'un açık talimatı olmadan yurt dışına aktarılmaz. Sağlık verisi içeren içerik, Kuruluş isteğe bağlı bir entegrasyonu açıkça etkinleştirmedikçe yurt dışındaki bir hizmete gönderilmez.
8. İlgili kişi başvuruları ve iş birliği
- Hastaların ve diğer ilgili kişilerin KVKK md. 11 kapsamındaki başvurularını yanıtlamak Kuruluş'un yükümlülüğüdür. Klinikra; hasta portalı başvuru formu, kayıt dışa aktarma, düzeltme ve rıza geri alma araçlarıyla Kuruluş'a destek olur.
- Klinikra'ya doğrudan ulaşan başvuruları en geç 3 iş günü içinde Kuruluş'a iletir ve Kuruluş'un talimatı olmadan yanıtlamaz.
- Kurul incelemelerinde, veri ihlali değerlendirmelerinde ve veri koruma etki değerlendirmelerinde Kuruluş'a makul bilgi ve belge desteği verir.
9. Saklama, iade ve imha
- Saklama süreleri ve tıbbi kayıtların sağlık mevzuatındaki zorunlu saklama süreleri veri sorumlusu olarak Kuruluş tarafından belirlenir; Klinikra veriyi Kuruluş silmedikçe hizmet süresince saklar.
- Hizmet sözleşmesi sona erdiğinde Kuruluş 30 gün içinde verilerini dışa aktarabilir. Bu süre sonunda Klinikra canlı sistemlerdeki Kuruluş verisini, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak siler; yedeklerdeki kopyalar yedek döngüsü içinde en geç 90 gün sonra kalıcı olarak yok edilir.
- Klinikra'nın yasal saklama yükümlülüğü bulunan veriler (ör. abonelik faturaları) ilgili süre boyunca saklanır.
- İmha işlemleri kayıt altına alınır ve Kuruluş'un talebi halinde imha tutanağı verilir.
10. Veri ihlali bildirimi
Klinikra, işlediği kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde Kuruluş'a gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirim; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan ya da önerilen tedbirleri içerir; bilgiler eksikse tamamlandıkça iletilir.
KVKK md. 12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca ihlalin öğrenilmesinden itibaren en geç 72 saat içindeKişisel Verileri Koruma Kurulu'na bildirilmesi ve etkilenen ilgili kişilere makul sürede bildirim yapılması veri sorumlusu olarak Kuruluş'un yükümlülüğüdür; Klinikra bu bildirimlerin süresinde yapılabilmesi için gerekli tüm bilgi ve belgeyi sağlar.
11. Denetim
Kuruluş, Klinikra'nın bu sözleşmeye uyumunu, en az 15 gün önceden yazılı bildirimle, yılda bir kez ve mesai saatleri içinde, gizlilik yükümlülüğü altındaki bağımsız denetçi aracılığıyla ya da Klinikra'nın sunacağı güncel güvenlik raporları ve sertifikalar üzerinden denetleyebilir. Denetim, diğer müşterilerin verilerinin gizliliğini ve hizmetin güvenliğini tehlikeye atamaz.
12. Sorumluluk ve yürürlük
Taraflar, bu sözleşmeye ve KVKK'ya aykırılıktan doğan zararlardan kendi kusurları oranında sorumludur; hizmet sözleşmesindeki sorumluluk sınırlaması, kast ve ağır ihmal ile ilgili kişilere karşı kanundan doğan sorumluluk halleri saklı kalmak üzere bu sözleşmeye de uygulanır. Bu sözleşme ile hizmet sözleşmesi arasında kişisel verilerin korunmasına ilişkin bir çelişki olması halinde bu sözleşme uygulanır.
13. İletişim
E-posta: klinikra@bakim724.com · KEP: tanitek@hs01.kep.tr · Telefon: 0553 640 56 98