Gizlilik politikası — Odonto Flow

1. Biz kimiz

Odonto Flow, özel diş hekimliği muayenehaneleri ve klinikleri için bulut tabanlı bir hizmettir: hastalar, diş şeması, randevu takvimi, dosyalar ve hastalara WhatsApp hatırlatmaları.

Hizmeti ve bu web sitesini Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal („biz”) sunar. Verilerle ilgili sorular: privacy@odontoflow.io. Veri koruma görevlisi (DPO): atanmadı.

2. İki rol: veriler kime ait

Hesap ve klinik verileri — hizmette çalışan kişilerin (sahipler, yöneticiler, hekimler) verileri ve klinik hakkındaki bilgiler. Bu veriler için veri sorumlusuyuz: neden ve nasıl işleneceklerine biz karar veririz. Bu politika öncelikle bu verileri açıklar.
Kliniklerin hasta verilerini (kartlar, randevular, görüntüler, mesajlar) klinik girer ve kullanır. Bu verilerin sorumlusu kliniktir, biz ise veri işleyeniz: bunları yalnızca kliniğin talimatıyla ve yalnızca hizmetin çalışması için işleriz. Koşullar veri işleme sözleşmesinde yer alır. Verileriyle ilgili sorusu olan hasta kendi kliniğine başvurur; talep bize gelirse kliniğe iletiriz.

3. Hangi verileri işliyoruz

Hesap: ad ve soyad, e-posta, telefon (belirtilmişse), şifre (yalnızca hash olarak — şifrenin kendisini bilmiyoruz), arayüz dili, e-posta onayı, şirketler ve bunlardaki roller, koşulların kabulü ve tarihi; kayıt UTM etiketli bir bağlantıdan geldiyse (örneğin bir reklamdan), bu etiketler — oluşturulan kliniğe de kopyalanır.

Klinik: ad, adres, telefon, harita koordinatları, dil, saat dilimi, mesaj gönderim saatleri; klinik bağladıysa WhatsApp numarası ve profil adı.

Abonelik ve ödeme: plan, geçerlilik süresi, abonelik durumu, ödeme geçmişi ve faturalara bağlantılar. Ödeme bilgileri (kart numarası vb.) Paddle tarafında girilir — bizde bulunmaz.

Hizmetin kullanımı: işlem kaydı (bir kaydı kimin ve ne zaman oluşturduğu, değiştirdiği veya sildiği — girilen verilerle, şifreler olmadan), teknik kayıtlar ve oturumlar (yönetim paneline girişte IP adresi ve tarayıcı), bildirim merkezi.

Hasta verileri (veri işleyen olarak): ad, doğum tarihi, cinsiyet, telefon, adres; tıbbi uyarılar (alerjiler, kontrendikasyonlar, kronik hastalıklar, ilaçlar) ve notlar; diş şeması; randevular, işlemler, fiyatlar, hekim notları; dosyalar (röntgenler, fotoğraflar, belgeler); WhatsApp mesajlarına onay ve tarihi; mesaj metinleri ve durumları. Bu verilerin bir kısmı sağlık verileridir (özel nitelikli veri, GDPR md. 9): klinik bunları kendi hukuki dayanağıyla (sağlık hizmeti sunumu) işler, biz ise yalnızca onun talimatıyla.

Destek talepleri: web sitesindeki form aracılığıyla — ad, e-posta, klinik (belirtilmişse), konu ve metin; uygulamadan — konu ve metin; ad, e-posta, klinik, dil ve platform (web, iOS, Android) ise hesaptan alınır. Talebin bir kopyası destek adresimize gelir.

Web sitesi ziyaretçileri: web sunucusu isteklerin teknik bir kaydını (IP adresi, tarayıcı, sayfa adresi, saat) tutar ve bunu güvenlik ve hata tespiti için 30 gün saklar. Ziyaret istatistiklerini Umami hesaplar — kendi sunucumuzda, çerez olmadan ve IP adresini saklamadan: sayfa görüntülemeleri, ziyaretçinin nereden geldiği (UTM etiketleri dahil), ülke, tarayıcı, işletim sistemi ve cihaz türü, ana düğmelere tıklamalar, kaydırma derinliği ve görüntülenen bölümler (kişisel veri olmadan). Hizmetin girişten önceki sayfaları da (web sürümü) aynı şekilde sayılır: giriş, kayıt, şifre kurtarma, e-posta onayı; adresleri UTM etiketleri dışında parametre olmadan kaydedilir (e-posta adresleri ve e-postalardaki bağlantıların kodları dahil edilmez). Hizmetin içinde, girişten sonra istatistik yoktur. Bu verilerden siteyi kimin ziyaret ettiği anlaşılamaz; hangi sayfaların faydalı olduğunu anlamak için yalnızca genel rakamlara bakarız. Sitenin yazı tipleri ve betikleri kendi sunucumuzdan yüklenir; sitede üçüncü taraf sayaçları ve reklam ağları yoktur.

4. Amaçlar ve hukuki dayanaklar

Amaç	Hukuki dayanak (GDPR, md. 6)
Kayıt, giriş, hizmetin çalışması, destek	sözleşmenin ifası
Destek taleplerine yanıt	meşru menfaat (soruyu yanıtlamak); müşteriler için — sözleşmenin ifası
E-posta onayı, şifre kurtarma, hizmet e-postaları (davetler, abonelik durumu, WhatsApp bağlantısının kesilmesi, verilerin silinmesi)	sözleşmenin ifası
Abonelik ödemesi, faturalar, muhasebe	sözleşmenin ifası; yasal yükümlülük (vergi kayıtları)
Güvenlik, işlem kaydı, web sunucusu kaydı, kötüye kullanımın önlenmesi	meşru menfaat
Web sitesinin ve hizmetin girişten önceki sayfalarının ziyaret istatistikleri (çerezsiz, anonimleştirilmiş)	meşru menfaat
Kaydın kaynağı (UTM etiketleri): hangi reklamın müşteri getirdiği	meşru menfaat
Hastalara WhatsApp hatırlatmaları	kliniğin talimatı; klinik hastanın onayını alır — onay işareti olmadan mesaj gönderilmez

Ad, e-posta ve şifre, sözleşmenin kurulması ve ifası için gereklidir: bunlar olmadan hizmet kullanılamaz. Diğer veriler isteğe bağlıdır. Sizin için hukuki sonuç doğuran otomatik kararlar almayız ve profil oluşturmayız.

Verileri satmayız, reklam için kullanmayız ve reklam göstermeyiz. Hasta verileri, klinik için hizmetin çalışması dışında hiçbir amacımız için kullanılmaz.

5. Veriler kime aktarılır

Yalnızca hizmetin çalışması için gerekli olanlara (alt işleyenler):

Barındırma: Hetzner Online GmbH, Almanya ve Finlandiya — sunucular, dosya depolama ve yedekler.
E-posta: mailbox.org (Heinlein Hosting GmbH) (Almanya) — hizmet e-postalarının gönderilmesi ve adreslerimize gelen e-postaların alınması (destek, verilerle ilgili sorular).
Paddle (Paddle.com Market Ltd, Birleşik Krallık) — aboneliğin satıcısı (Merchant of Record): ödeme, vergiler, faturalar, iadeler. Paddle kendi ödeme verilerinin bağımsız veri sorumlusudur; politikası: paddle.com/legal/privacy.
İleride — Firebase Cloud Messaging (Google) — etkinleştirilirse uygulamalarda anlık bildirimler. Anlık bildirimlerde hasta verisi yoktur.

WhatsApp kliniğin kendi hizmetidir, bizim alt işleyenimiz değildir. Klinik kendi WhatsApp hesabını bağlar; onun talimatıyla hizmet, hastanın numarasını ve hatırlatma metnini bu hesaba iletir; ardından bunları WhatsApp Ireland Ltd (Meta), kliniğin kabul ettiği kendi koşulları ve gizlilik politikası çerçevesinde işler.

Destek: yalnızca klinik sahibi „Destek erişimi”ni (7 günlüğüne) açtıysa, bir Odonto Flow çalışanı bir kullanıcı adına hesaba girebilir (tek kullanımlık bir bağlantıyla; giriş, kliniğin gördüğü bir kayda yazılır) ve gönderilen mesajların kaydını (numara, metin, durum) görür. Hasta kartları yönetim panelinde gösterilmez.

Veriler yetkili makamlara yalnızca yasal bir talep üzerine açıklanır.

AEA dışına aktarımlar: temel veriler AB’de saklanır (Almanya ve Finlandiya). Paddle (Birleşik Krallık) — Avrupa Komisyonu yeterlilik kararı; Google — AB standart sözleşme hükümleri; WhatsApp’ın veri aktarımlarını Meta kendi koşullarıyla sağlar.

6. Saklama süreleri

Hesap — var olduğu sürece. Hiçbir kliniğe dahil olmayan bir hesap silindiğinde hemen ve tamamen silinir. Bir kliniğe dahil olan silinmiş hesap devre dışı bırakılır (aynı e-postayla yeniden kaydolarak geri yüklenebilir) ve hiçbir kliniği kalmadığında tamamen silinir. 30 gün içinde onaylanmayan kayıt silinir.
Kliniğin ve hastalarının verileri — abonelik devam ettiği sürece. Sona erdikten sonra hesap kapanır ve veriler 12 ay saklanır (silmeden 30 ve 7 gün önce sahibe ve yöneticilere hatırlatma), ardından dosyalar dahil tamamen silinir. Kliniğin talebiyle — daha önce.
Klinik tarafından kalıcı olarak silinen hasta („Kalıcı olarak sil”) hemen ve tamamen silinir: kart, randevular, mesajlar, dosyalar; işlem kaydında yalnızca veri içermeyen kayıtlar kalır.
Yedekler — silinen veriler 30 gün sonra yedeklerden kaybolur.
Ödemeler ve faturalar — vergi mevzuatının gerektirdiği süre boyunca (Portekiz’de 10 yıl; faturaları Paddle saklar).
İşlem kaydı — 24 ay.
Destek talepleri ve bunlara ilişkin yazışmalar — 24 ay.
Web sunucusu kaydı — 30 gün.

7. Güvenlik

Şifreli bağlantılar (HTTPS), şifreler yalnızca hash olarak, ödeme sistemi anahtarları şifreli olarak saklanır; her kliniğin verileri diğerlerinden yalıtılmıştır (otomatik testlerle doğrulanır); klinik içinde erişim rollere göredir (sahip, yönetici, hekim: hekim kendi randevularını görür); dosyalar geçici imzalı bağlantılarla sunulur; yedekler — her gün, AB'de ayrı bir depolama alanına (aynı sunucuda değil). Hiçbir önlem tam garanti vermez; verilerinizi etkileyen bir ihlali GDPR sürelerinde bildiririz.

8. Haklarınız

Verilere erişim, düzeltme, silme, işlemenin kısıtlanması, taşınabilirlik, meşru menfaate dayalı işlemeye itiraz, onayın geri alınması. Bunların çoğu uygulamada yapılabilir (profil: veriler, şifre, şirketten ayrılma, hesabı silme — hesap nasıl silinir); geri kalanı privacy@odontoflow.io adresine talep üzerine, bir ay içinde yanıt veririz. Bir denetim makamına şikâyette bulunabilirsiniz — Portekiz’de bu CNPD’dir (www.cnpd.pt), ya da AB’deki ülkenizin makamı.

Kliniklerin hastaları haklarını klinik aracılığıyla kullanır: klinik, hastayla ilgili her şeyi yazdırabilir veya PDF olarak kaydedebilir (dışa aktarma) ve verilerini silebilir.

9. Çerezler ve tarayıcıda saklama

Reklam veya analiz çerezleri kullanmayız (Umami istatistikleri onlarsız çalışır), bu nedenle site bunlar için onay istemez. Tarayıcıda yalnızca çalışma için gerekli veriler saklanır: giriş belirteci, seçilen dil ve tema, gelişin UTM etiketleri (sitede sekme kapanana kadar, hizmette ise hesapla birlikte kaydetmek için kayda kadar); iOS ve Android uygulamalarında belirteç cihazın güvenli deposunda (Keychain / Keystore) saklanır. Hizmetin yönetim paneli bir oturum çerezi kullanır.

10. Çocuklar

Hizmet uzmanlar için tasarlanmıştır ve 16 yaşından küçük kullanıcılara yönelik değildir. Reşit olmayan hastaların verilerini, veri sorumlusu olarak klinik girer.

11. Değişiklikler

Bu politikadaki önemli değişiklikleri klinik sahiplerine en az 30 gün önceden e-postayla ve uygulamada bildiririz. Hizmet başka bir sağlayıcıya geçerse de önceden bildiririz — örneğin hizmet için kuracağımız bir şirkete: bu sağlayıcı verileri bu politikaya göre işlemeye devam eder. Yürürlükteki sürüm her zaman bu sayfadadır; yürürlük tarihi sayfanın başındadır.

12. İletişim

Tymofii Shevchenko, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal, privacy@odontoflow.io.