Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç ve kapsam

Bu Politika, DTek Global Danışmanlık ve Eğitim Teknolojileri (“KlinisApp”) tarafından sunulan KlinisApp web sitesi, KlinisApp profesyonel kullanıcı paneli (“Panel”) ve Fitli mobil uygulaması (“Fitli”) kapsamında kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ikincil mevzuata uygun olarak işlenmesine ilişkin ilkeleri düzenler.

Politika; KlinisApp’in veri sorumlusu olduğu faaliyetleri ve diyetisyenler ile klinikler adına veri işleyen olarak yürüttüğü faaliyetleri kapsar. Faaliyete özel bilgilendirmeler için Ziyaretçi Aydınlatma Metni, Profesyonel Kullanıcı Aydınlatma Metni ve Fitli Danışan Aydınlatma Metni’ne bakınız.

2. Tanımlar

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel nitelikli kişisel veri: KVKK madde 6’da sayılan, sağlık verileri dahil veriler.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi.
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
• Anonim hâle getirme: Kişisel verilerin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
• Kurul: Kişisel Verileri Koruma Kurulu.
• Klinik: KlinisApp üyesi diyetisyen, beslenme danışmanı, klinik veya diyet merkezi.
• Danışan: Klinik’ten hizmet alan ve Klinik tarafından Panel’e kaydedilen kişi.

3. Veri sorumlusu ve veri işleyen rolleri

Rol, verinin kim tarafından toplandığına göre değil, işleme amaçlarını ve vasıtalarını kimin belirlediğine göre belirlenir.

Faaliyet	Veri sorumlusu	KlinisApp
Web sitesi erişim kayıtları, iletişim formu	KlinisApp	Veri sorumlusu
Profesyonel kullanıcı hesapları, klinik ve fatura bilgileri, giriş ve işlem kayıtları, destek	KlinisApp	Veri sorumlusu
Platform güvenliği ve yönetici denetim kayıtları	KlinisApp	Veri sorumlusu
Danışan dosyası (kimlik, iletişim, ölçüm, tahlil, belge, not, randevu, paket/tahsilat, beslenme hedefleri)	Klinik	Veri işleyen
Danışanın Fitli’de girdiği öğün ve su kayıtları, randevu talepleri, bildirim tercihleri	Klinik	Veri işleyen
Danışanlara SMS ve anlık bildirim gönderimi	Klinik	Veri işleyen
Fitli hesap güvenliği (şifre, oturum, şifre sıfırlama), onay kayıtları, hesap silme talepleri	KlinisApp	Veri sorumlusu
Fitli’de isteğe bağlı fotoğraf analizi	KlinisApp	Veri sorumlusu (açık rıza)

KlinisApp, veri işleyen olduğu faaliyetlerde Klinik ile Veri İşleme Sözleşmesi akdeder; verileri yalnızca Klinik’in talimatlarıyla ve Hizmet’in sunulması amacıyla işler.

4. Kişisel veri kategorileri

Kategori	Örnek veriler	İlgili kişi
Kimlik	Ad, soyad, doğum tarihi ve yeri, cinsiyet, uyruk, T.C. kimlik/pasaport numarası, protokol numarası	Profesyonel kullanıcı, danışan
İletişim	Telefon, e-posta, adres, iş adresi, yakın ve acil durum kişisi bilgileri	Ziyaretçi, profesyonel kullanıcı, danışan
Görsel kayıt	Profil fotoğrafı; analiz için gönderilen öğün fotoğrafı (saklanmaz)	Profesyonel kullanıcı, danışan
Kullanıcı hesabı	Rol, hesap durumu, şifre özeti, oturum anahtarları, arayüz tercihleri	Profesyonel kullanıcı, danışan
Müşteri işlem	Talep ve mesajlar, randevular, hizmet/paket kayıtları, bildirim tercihleri	Ziyaretçi, danışan
Finans	Fatura bilgileri, vergi numarası ve dairesi; danışan tahsilat ve borç-alacak kayıtları	Profesyonel kullanıcı, danışan
İşlem güvenliği	IP adresi, giriş kayıtları, işlem kayıtları, tarayıcı/cihaz bilgisi, cihaz bildirim anahtarı	Tüm kullanıcılar
Hukuki işlem	Onay ve kabul kayıtları, hesap silme talepleri	Danışan, profesyonel kullanıcı
Mesleki deneyim	Meslek	Danışan
Sosyal güvence	Sosyal güvence ve sağlık sigortası bilgileri	Danışan
Sağlık (özel nitelikli)	Ölçümler, vücut kompozisyonu, kan grubu, tahlil sonuçları, sağlık belgeleri, sağlıkla ilgili notlar, sigara kullanımı, beslenme hedefleri ve öğün kayıtları	Danışan

5. Özel nitelikli kişisel veriler

Boy, kilo, vücut çevre ölçüleri, vücut kompozisyonu (yağ oranı, kas ve su oranı, iç yağlanma, bazal metabolizma), kan grubu, tahlil sonuçları, hastalık ve sağlık geçmişi, alerjiler, sigara kullanımı ve beslenme danışmanlığı kapsamında tutulan beslenme düzeni ve öğün kayıtları, bir kişinin sağlık durumu hakkında bilgi verdiğinden sağlık verisi olarak kabul edilir.

Panel’de serbest metin olarak girilen notlar ve yüklenen belgeler de içeriğine göre sağlık verisi içerebilir; bu alanlar en yüksek koruma düzeyiyle ele alınır.

Sağlık verileri; KVKK madde 6 ve Kurul’un özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararı dikkate alınarak işlenir. Bu verilerin işlenme şartını Klinik belirler (bkz. 7.2).

6. Veri işleme ilkeleri

KVKK madde 4 uyarınca kişisel veriler:

1. Hukuka ve dürüstlük kurallarına uygun,
2. Doğru ve gerektiğinde güncel,
3. Belirli, açık ve meşru amaçlar için,
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü,
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilerek

işlenir.

7. Veri işleme şartları

7.1. Genel nitelikli kişisel veriler (KVKK m. 5)

Kişisel veriler; kanunlarda açıkça öngörülmesi, fiilî imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması hâllerinde; bu şartların bulunmadığı hâllerde ise açık rıza ile işlenir.

KlinisApp’in veri sorumlusu olduğu genel nitelikli veri işleme faaliyetleri açık rızaya değil, ilgili aydınlatma metinlerinde faaliyet bazında belirtilen bu şartlara dayanır.

7.2. Özel nitelikli kişisel veriler (KVKK m. 6)

KVKK madde 6/3 uyarınca özel nitelikli kişisel veriler; ilgili kişinin açık rızasının bulunması, kanunlarda açıkça öngörülmesi, fiilî imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin alenileştirdiği ve iradesine uygun olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının planlanması ve yönetimi amacıyla gerekli olması ya da kanunda sayılan diğer hâllerde işlenebilir.

• Danışan sağlık verileri: Veri sorumlusu Klinik, hangi şarta dayandığını kendisi belirler. Diyetisyenin sır saklama yükümlülüğü altında beslenme danışmanlığı hizmeti sunması hâlinde m. 6/3(e) kapsamındaki şartın uygulanıp uygulanamayacağı somut duruma göre değerlendirilmelidir; tereddüt hâlinde açık rıza alınması önerilir. KlinisApp, Klinik’lerin kullanabilmesi için bir açık rıza metni şablonu sunar.
• Fotoğraf analizi: KlinisApp’in veri sorumlusu olduğu bu faaliyet, danışanın açık rızasına dayanır.

8. Açık rıza süreçleri

KlinisApp’in açık rıza aldığı süreçlerde:

• Belirli konuya ilişkin olma: Her açık rıza tek bir işleme faaliyeti için ayrı alınır (ör. yalnızca fotoğraf analizi ve buna bağlı yurt dışı aktarım).
• Bilgilendirmeye dayanma: Açık rızadan önce ilgili aydınlatma metni ve açık rıza metninin tamamı kullanıcıya sunulur.
• Özgür irade: Açık rıza, Hizmet’in veya Fitli’nin kullanılmasının ön şartı yapılmaz; rıza vermeyen kullanıcı diğer tüm özellikleri kullanmaya devam eder.
• Geri alınabilirlik: Açık rıza, Fitli’de Menü → Ayarlar → Açık Rıza Tercihleri ekranından her zaman, verildiği kadar kolay biçimde geri alınabilir. Geri alma anından itibaren ilgili işlem durdurulur.

Aydınlatma ile açık rıza ayrıdır. Aydınlatma metinleri bilgilendirme amaçlıdır ve onay gerektirmez. Kullanım Koşulları’nın kabulü ile açık rıza ayrı ekranlarda, ayrı onay kutularıyla alınır ve ayrı kaydedilir. Her onay; ilgili metnin sürümü, tarih ve saat, onay/ret durumu, varsa geri alma zamanı, IP adresi ve cihaz bilgisiyle kayıt altına alınır.

9. Kişisel verilerin aktarılması

9.1. Yurt içi aktarım

Kişisel veriler; barındırma hizmeti sağlayıcıları (veri işleyen sıfatıyla), Klinik’lerin kendi hesaplarıyla kullandığı SMS hizmet sağlayıcıları, mali müşavir ve yetkili kamu kurum ve kuruluşları ile yargı mercilerine, KVKK madde 8’deki şartlara uygun olarak aktarılabilir.

9.2. Yurt dışına aktarım

Alıcı	Veri	Amaç
BunnyWay d.o.o. (Avrupa Birliği)	Veri tabanı yedekleri; Panel ziyaretçilerinin IP adresi	Yedekleme, içerik dağıtımı
Google LLC — Firebase Cloud Messaging	Cihaz bildirim anahtarı, bildirim metni	Android bildirimleri
Apple Inc. — Apple Push Notification service	Cihaz bildirim anahtarı, bildirim metni	iOS bildirimleri
Google LLC — Gemini API	Öğün fotoğrafı (kimlik bilgisi olmadan)	İsteğe bağlı fotoğraf analizi
Google LLC — kurumsal e-posta	E-posta yazışmaları	Destek ve iletişim

Yurt dışına aktarımlar KVKK madde 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca; alıcı ülke hakkında yeterlilik kararı bulunması, bulunmaması hâlinde Kurul’ca ilan edilen standart sözleşme gibi uygun güvencelerden birinin sağlanması (standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi dahil) veya kanunda sayılan arızi aktarım hâllerinden birinin bulunması koşuluyla yapılır.

10. Veri güvenliği

KVKK madde 12 uyarınca alınan tedbirler:

Teknik tedbirler

• Tüm bağlantılarda HTTPS (TLS) şifrelemesi,
• Şifrelerin geri döndürülemez özet (hash) olarak saklanması,
• Özel nitelikli ve hassas alanların (T.C. kimlik numarası, kan grubu, sosyal güvence ve sigorta bilgileri, adresler, acil durum kişileri, danışan notları, tüm tahlil sonuçları, ölçüm ve diyetisyen notları, belge dosya adları) veri tabanında uygulama katmanında AES-256 ile şifrelenmiş olarak saklanması; bu alanlar veri tabanı dökümü veya yedeği ele geçirilse dahi şifreleme anahtarı olmadan okunamaz,
• Kiracı (klinik) bazında veri ayrıştırması; her istekte kullanıcının yalnızca kendi kliniğine ait verilere erişebildiğinin denetlenmesi,
• Rol bazlı erişim kontrolü (klinik sahibi, uzman, çalışan; Fitli’de yalnızca danışanın kendi verileri),
• Giriş ve şifre sıfırlama işlemlerinde deneme sayısı sınırlaması,
• Profesyonel kullanıcı giriş kayıtları ve Panel ile yönetim işlemlerine ait denetim kayıtları,
• Danışan belgelerinin genel erişime kapalı depolama alanında saklanması,
• Üçüncü taraf hizmet şifrelerinin (SMS) veri tabanında şifreli saklanması,
• Fitli oturum anahtarlarının cihazın güvenli depolama alanında tutulması,
• Analiz için gönderilen öğün fotoğraflarından gömülü verilerin (EXIF) silinmesi ve fotoğrafların sunucuda saklanmaması,
• Günlük otomatik veri tabanı yedeklemesi ve yedeklerin farklı bir konumda tutulması,
• Sunucuların Türkiye’de bulunan veri merkezlerinde barındırılması.

İdari tedbirler

• Veri işleyenlerle veri işleme ve gizlilik hükümleri içeren sözleşmeler,
• Yetkilerin görev gereğiyle sınırlandırılması,
• Bu Politika ve aydınlatma metinlerinin düzenli olarak gözden geçirilmesi.

Veri ihlali yönetimi: Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde, KlinisApp’in veri sorumlusu olduğu verilerde durum Kurul’a mümkün olan en kısa sürede ve Kurul’un belirlediği süre içinde (öğrenmeden itibaren 72 saat) bildirilir; etkilenen ilgili kişiler bilgilendirilir. KlinisApp’in veri işleyen olduğu verilerde ihlal, veri sorumlusu olan Klinik’e gecikmeksizin bildirilir ve Klinik’in bildirim yükümlülüklerini yerine getirmesine destek olunur.

11. Saklama ve imha

Kişisel veriler, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanır. Aşağıdaki süreler KlinisApp’in veri sorumlusu olduğu veriler içindir:

Veri	Süre	Dayanak / kriter
Web sitesi sunucu erişim kayıtları	1 yıl	Bilgi güvenliği
İletişim formu kayıtları	Talebin sonuçlanmasından itibaren 2 yıl	Talebin takibi, olası uyuşmazlıklar
Profesyonel kullanıcı hesap ve klinik bilgileri	Üyelik süresi + 10 yıl	Türk Borçlar Kanunu genel zamanaşımı
Fatura ve muhasebe kayıtları	Kanuni süreler (5–10 yıl)	Vergi Usul Kanunu, Türk Ticaret Kanunu
Giriş ve işlem (denetim) kayıtları	2 yıl	Bilgi güvenliği, hesap verebilirlik
Fitli hesap güvenliği verileri	Hesap açık olduğu sürece; hesap kapatılınca silinir	Hizmetin sunulması
Onay ve kabul kayıtları	Metnin yürürlükten kalkmasından veya rızanın geri alınmasından itibaren 10 yıl	İspat, genel zamanaşımı
Hesap silme talepleri	Talebin sonuçlanmasından itibaren 10 yıl	İspat
Destek yazışmaları	Talebin sonuçlanmasından itibaren 2 yıl	Talebin takibi
Analiz için gönderilen öğün fotoğrafları	Saklanmaz; analiz isteği tamamlanınca silinir	Veri minimizasyonu
Veri tabanı yedekleri	90 gün	İş sürekliliği

Danışan verileri: Klinik adına işlenen danışan verilerinin saklama süresini veri sorumlusu olan Klinik belirler. KlinisApp bu verileri Klinik’in talimatıyla siler; Klinik üyeliği sona erdiğinde Kullanım Koşulları B.8 maddesine göre siler veya iade eder.

İmha yöntemleri: Saklama süresi dolan veriler; veri tabanından geri getirilemeyecek şekilde silinerek, dosyalar depolama alanından kaldırılarak veya istatistiki amaçlarla kullanılacaksa anonim hâle getirilerek imha edilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca periyodik imha, altı ayı aşmayan aralıklarla yapılır. Yedeklerdeki kopyalar, yedek saklama süresi dolduğunda kendiliğinden silinir.

12. Danışan verilerinin yönetimi

Danışanlık ilişkisi sona erdiğinde:

• Danışanın erişimi: Klinik, Danışanın Fitli erişimini kapatabilir. Danışan, Fitli’den hesap silme talebinde bulunabilir; bu durumda erişim hemen kapatılır.
• Klinik’in erişimi: Danışan dosyası, Klinik silene kadar Klinik’in Panel’inde kalır. Silme ve saklama kararı veri sorumlusu olarak Klinik’e aittir.
• Veri aktarımı: Danışanın kendi verilerine erişim ve veri talebi başvuruları Klinik’e yapılır; KlinisApp, Klinik’in bu taleplere yanıt vermesine teknik destek sağlar.
• Veri silme: Klinik, Panel’den danışan kaydını silebilir. Silme işlemi danışana ait ölçüm, tahlil, not, belge, randevu, öğün ve su kayıtlarını da kapsar.
• Yasal saklama yükümlülükleri: Klinik’in tabi olduğu vergi, sağlık ve diğer mevzuattan doğan saklama yükümlülükleri saklıdır.

Klinik üyeliği sona erdiğinde: Klinik’e bağlı Danışanların Fitli erişimi kapanır; Danışan verileri Kullanım Koşulları B.8 maddesine göre Klinik’e iade edilir veya silinir.

13. İlgili kişinin hakları

KVKK madde 11 uyarınca her ilgili kişi;

1. Kişisel verilerinin işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK madde 7’de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
7. 5. ve 6. bentler uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

14. Başvuru ve şikâyet süreçleri

Başvuru yöntemleri (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ):

• Akdeniz Üniversitesi Antalya Teknokent Uluğbey Arge 2 No:106 Konyaaltı/Antalya adresine ıslak imzalı dilekçe,
• KEP adresimize ([KEP_ADRESİ]) güvenli elektronik imza veya mobil imza ile,
• Sistemimizde kayıtlı e-posta adresinizden [KVKK_İLETİŞİM_EPOSTASI] adresine.

Başvuruda ad soyad, imza (yazılı başvurularda), T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas adres, varsa e-posta, telefon ve talep konusu yer almalıdır. Kimlik doğrulaması için ek bilgi istenebilir.

Cevap süresi: Başvurular talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarifesindeki ücret alınabilir.

Danışan verilerine ilişkin başvurular: KlinisApp’in veri işleyen olduğu danışan verilerine ilişkin başvurular veri sorumlusu Klinik’e yapılmalıdır. KlinisApp’e ulaşan bu tür başvurular gecikmeksizin ilgili Klinik’e iletilir ve başvurana bilgi verilir.

Kurul’a şikâyet: Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi; cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunabilir (KVKK m. 14).

15. Çocukların kişisel verileri

Diyetisyenler 18 yaşından küçük danışanlara da hizmet verebilir.

• 18 yaşından küçük danışanların verilerinin işlenmesinde gerekli aydınlatma veli veya yasal temsilciye yapılır; açık rıza gereken hâllerde rıza, Türk Medeni Kanunu’ndaki temsil kuralları çerçevesinde veli veya yasal temsilci tarafından verilir. Bu süreçleri yürütmek veri sorumlusu Klinik’in yükümlülüğündedir.
• Klinik, 18 yaşından küçük danışanlara Fitli erişimi tanımlamadan önce velinin veya yasal temsilcinin bilgisini ve onayını almalıdır.
• Fotoğraf analizi için açık rıza, 18 yaşından küçük kullanıcılar adına veli veya yasal temsilci tarafından verilmelidir.
• Çocuklara ait sağlık verileri, yetişkin verileriyle aynı veya daha yüksek koruma düzeyiyle işlenir.

16. Politika değişiklikleri

Bu Politika mevzuat veya faaliyetlerdeki değişikliklere göre güncellenir. Güncel sürüm https://klinisapp.com/yasal/kvkk-politikasi adresinde yayımlanır; esaslı değişiklikler ayrıca duyurulur.

17. İletişim

DTek Global Danışmanlık ve Eğitim Teknolojileri · Akdeniz Üniversitesi Antalya Teknokent Uluğbey Arge 2 No:106 Konyaaltı/Antalya · KVKK başvuruları: [KVKK_İLETİŞİM_EPOSTASI] · KEP: [KEP_ADRESİ] · Destek: [email protected]

18. Yürürlük

Bu Politika 28.10.2026 tarihinde yürürlüğe girer.