Veri işleme sözleşmesi

1. Taraflar ve sözleşmenin kurulması

Sözleşme, Odonto Flow hizmetine kayıtlı klinik („klinik”, veri sorumlusu) ile Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal („biz”, veri işleyen) arasında kurulur.

Klinikle yapılan sözleşme yeni bir sağlayıcıya geçerse (kullanım koşulları, bölüm 16), bu sözleşme de onunla birlikte geçer: yeni sağlayıcı aynı koşullarla veri işleyen olur ve klinik bundan önceden haberdar edilir.

Sözleşme, kullanım koşullarının bir parçasıdır. Klinik bunu kayıt sırasında kabul eder; kliniğin verilerini işlediğimiz sürece geçerlidir. İmzalı bir nüsha privacy@odontoflow.io adresinden istenebilir.

2. Konu

Kliniğin hizmete girdiği kişisel verileri yalnızca ona hizmeti sunmak için işleriz: saklamak, personeline göstermek, talimatıyla hastalara mesaj göndermek, yedek almak ve destekte yardımcı olmak. Ayrıntılar ek 1’de.

3. Kliniğin talimatları

Verileri yalnızca kliniğin belgelenmiş talimatlarıyla işleriz. Talimatlar; kullanım koşulları, bu sözleşme ve klinik personelinin hizmetteki işlemleridir (girme, değiştirme, gönderme, silme).
Yasa bizi verileri başka şekilde işlemeye zorlarsa, yasa yasaklamadığı sürece kliniği önceden bilgilendiririz.
Bize göre bir talimat GDPR’yi ihlal ediyorsa, bunu kliniğe bildiririz.

4. Kliniğin yükümlülükleri

Klinik, işlemenin hukuka uygunluğundan sorumludur: hukuki dayanak (sağlık verileri dahil — GDPR md. 9), hastaların bilgilendirilmesi, WhatsApp mesajları için onay, verilerin doğruluğu, tıbbi kayıtların saklama süreleri ve personelinin erişimi.

5. Gizlilik

Kliniğin verilerine yalnızca hizmetin çalışması için buna ihtiyaç duyan çalışanlar erişebilir. Hepsi gizlilik yükümlülüğü altındadır.

Destek erişimi — yalnızca kliniğin izniyle. İzin olmadan destek ekibi klinik hesabına girmez. Klinik sahibi ayarlardan „Destek erişimi”ni 7 günlüğüne açabilir ve daha önce kapatabilir. Erişim açık olduğu sürece bir destek çalışanı, kliniğin bir kullanıcısı adına hesaba girebilir — tek kullanımlık bir bağlantıyla, sınırlı bir süre için; her giriş bir kayda yazılır (kim, kimin adına, ne zaman) ve klinik bu kaydı görür. 7 gün sonra erişim kendiliğinden kapanır. Hizmetin yönetim panelinde, teslimata destek için gönderilen mesajların kaydı (numara, metin, durum) görünür. Hasta kartları yönetim panelinde gösterilmez.

6. Güvenlik

GDPR md. 32 kapsamındaki teknik ve idari tedbirleri alırız — bunlar ek 2’de sıralanmıştır — ve genel koruma düzeyini düşürmeden hizmetle birlikte geliştiririz.

7. Alt işleyenler

Klinik, ek 3’teki alt işleyenlerin kullanılması için genel izin verir.
Yeni veya değiştirilen bir alt işleyeni klinik sahibine en az 30 gün önceden e-postayla bildiririz. Klinik gerekçeli olarak itiraz edebilir; anlaşma sağlanamazsa sözleşmeyi feshedebilir ve ödenmiş ancak kullanılmamış dönemin iadesini alabilir.
Her alt işleyenle, veri koruma yükümlülükleri bunlardan daha düşük olmayan bir sözleşmemiz vardır. Onun çalışmasından kliniğe karşı biz sorumluyuz.

8. AEA dışına aktarımlar

Kliniğin verileri AB’de saklanır (Almanya ve Finlandiya). Bir alt işleyen verileri AEA dışına aktarırsa, bu yalnızca Avrupa Komisyonu’nun yeterlilik kararına veya ek tedbirlerle birlikte AB standart sözleşme hükümlerine dayanılarak yapılabilir.

9. Kliniğe yardım

Hasta talepleri (erişim, düzeltme, silme, kısıtlama, taşınabilirlik): bir talep bize gelirse kliniğe iletiriz ve hastaya kendimiz yanıt vermeyiz. Hizmetteki araçlar: hasta kartı eksiksiz olarak yazdırılabilir veya PDF olarak kaydedilebilir (dışa aktarma) ve hasta kalıcı olarak silinebilir („Kalıcı olarak sil”: kart, randevular, mesajlar, dosyalar).
Kliniğe güvenlik tedbirleri, veri koruma etki değerlendirmesi (DPIA) ve denetim makamıyla istişare konularında — hizmetle ilgili kısımda — yardımcı oluruz.

10. Olaylar

Kliniğin verilerini etkileyen bir veri ihlalini veya başka bir güvenlik olayını, öğrendiğimiz andan itibaren en geç 72 saat içinde, gecikmeksizin klinik sahibine bildiririz: ne olduğu, hangi verilerin ve kaç kaydın etkilendiği, ne yaptığımız ve ne önerdiğimiz. Gerekirse denetim makamına ve hastalara bildirim yapmak kliniğin yükümlülüğüdür; biz yardımcı oluruz.

11. Sözleşmenin sona ermesi

Abonelik sona erdikten sonra kliniğin verileri 12 ay saklanır (klinik geri dönebilsin diye), ardından dosyalar dahil tamamen silinir. Kliniğin talebiyle — daha önce.
Silmeden önce klinik verilerini geri alabilir (GDPR md. 28(3)(g)): sahip, abonelik sona erdikten sonra da dahil olmak üzere kliniğin tüm verilerini — CSV ve dosya arşivi — hesaptan dışa aktarır veya talep üzerine destek 30 gün içinde hazırlar (kullanım koşulları, bölüm 7). Tek bir hastanın kartı yazdırılabilir veya PDF olarak kaydedilebilir.
Veriler, yedekler yenilendikçe — 30 gün içinde — yedeklerden kaybolur.
Daha uzun süre yalnızca yasanın gerektirdiğini saklarız — örneğin ödeme belgelerini (bunları Paddle da saklar).

12. Denetimler

Kliniğin talebi üzerine, bu sözleşmeye uyulduğunu göstermek için gerekli bilgileri sağlarız — tedbirlerin açıklaması, güvenlik anketlerine yanıtlar. Klinik veya denetçisi, yılda en fazla bir kez, 30 gün önceden bildirerek, masrafları kendisine ait olmak ve gizlilik yükümlülüğüyle yerinde denetim yapabilir.

13. Sorumluluk ve öncelik

Tarafların sorumluluğu kullanım koşullarına ve GDPR’ye (md. 82) tabidir. Bu sözleşme, veri koruma konularında kullanım koşullarıyla çelişirse bu sözleşme geçerlidir.

Ek 1. İşlemenin açıklaması


İlgili kişiler	kliniğin hastaları; kliniğin personeli (hizmetin kullanıcıları)
Veri kategorileri	hastalar: ad, soyad, doğum tarihi, cinsiyet, telefon, adres, notlar, randevular, işlemler, tutarlar, dosyalar (röntgenler, fotoğraflar, belgeler), WhatsApp mesajlarına onay ve tarihi, mesaj metinleri ve durumları; personel: ad, e-posta, rol, hizmetteki işlemler
Özel nitelikli veriler	sağlık verileri: tıbbi uyarılar (alerjiler, kontrendikasyonlar, kronik hastalıklar, ilaçlar), diş şeması, tedavi geçmişi, röntgenler
İşlemler	saklama, klinik personeline gösterme, arama ve sıralama, kliniğin talimatıyla WhatsApp üzerinden hastalara mesaj gönderme, yedekleme, silme
Amaç	kliniğe hizmet sunulması
Süre	abonelik devam ettiği sürece, ardından 12 ay saklama ve silme

Ek 2. Güvenlik tedbirleri

şifreli bağlantılar (HTTPS); şifreler yalnızca hash olarak; ödeme sistemi anahtarları şifreli olarak saklanır;
her kliniğin verileri diğerlerinden yalıtılmıştır ve yalıtım otomatik testlerle doğrulanır;
klinik içinde rollere göre erişim (sahip, yönetici, hekim; hekim kendi randevularını ve hekimsiz randevuları görür);
hasta dosyaları herkese açık değildir: geçici imzalı bağlantılarla sunulur;
sunucular AB’dedir; veritabanı ve iç hizmetler internete açık değildir; güvenlik duvarı yalnızca HTTPS ve SSH’ye izin verir;
yedekler: her gün, AB'de ayrı bir depolama alanına (aynı sunucuda değil); yedekler daha sunucudayken şifrelenir ve başka bir veri merkezinde saklanır, yedeklerden geri yükleme ayda bir otomatik olarak test edilir;
sunucularda güvenlik güncellemelerinin otomatik kurulumu;
hizmetin erişilebilirliğinin ve yedeklerin gönderiminin kesintisiz izlenmesi — arıza durumunda uyarıyla;
kullanıcıların işlem kaydı, destek girişlerinin kaydı ve yönetim panelindeki işlemlerin kaydı;
sunuculara yalnızca sorumlu çalışanlar, SSH anahtarlarıyla, şifreyle giriş olmadan erişir; yönetim paneline giriş denemeleri sınırlıdır;
barındırma, alan adı, e-posta ve ödeme sistemi hesaplarında iki adımlı doğrulama.

Ek 3. Alt işleyenler

Kim	Ne için	Nerede
Hetzner Online GmbH	sunucular, veritabanı, dosya depolama, yedekler	Almanya ve Finlandiya
mailbox.org (Heinlein Hosting GmbH)	klinik personeline hizmet e-postaları (e-postalarda hasta verisi yok)	Almanya

WhatsApp bir alt işleyen değil, kliniğin kendi hizmetidir. Klinik kendi WhatsApp hesabını bağlar ve Meta’nın koşullarını kendisi kabul eder; Meta ile sözleşmemiz yoktur. Kliniğin talimatıyla hastanın numarasını ve mesaj metnini onun hesabına iletiriz; ardından bunları Meta (WhatsApp Ireland Ltd), kliniğin sağlayıcısı olarak kendi koşullarıyla işler. Bağlantı, resmi WhatsApp Business Platformu üzerinden değil, bağlı cihaz olarak kurulur (kullanım koşulları, bölüm 9).

Paddle bir alt işleyen değildir: hasta verisi almaz ve kliniğin ödeme verilerini bağımsız veri sorumlusu olarak işler.

Firebase Cloud Messaging (Google, uygulamalarda anlık bildirimler), anlık bildirimler açıldığında bu listede yer alacaktır — bölüm 7’ye göre bildirimle.