1. Temel İlkeler
- Kişisel veriler, yalnızca hizmetin sunulması bakımından gerekli olduğu ölçüde işlenir.
- Kişisel veriler, reklam veya profilleme amacıyla üçüncü kişilere satılmaz.
- Reklam veya profilleme amacıyla üçüncü taraf izleme kodları kullanılmaz; site trafiği, çerez kullanmayan kendi ölçüm altyapımız üzerinden ölçülür.
- Hasta verileri bakımından veri sorumlusu ilgili kliniktir; Şirketimiz kliniğin talimatları doğrultusunda hareket eder.
- Kritik klinik adımlarda klinisyen onayı zorunludur; sistem tek başına tıbbi karar üretmez.
2. Toplanan Bilgiler
İlgili kişi tarafından doğrudan sağlanan bilgiler: Demo talebi, bekleme listesi ve iletişim formlarında girilen ad-soyad, klinik, e-posta, telefon ve mesaj içeriği ile platform hesabı oluşturulması sırasında sağlanan kimlik ve iletişim bilgileri.
Otomatik olarak oluşan bilgiler: Oturumun sürdürülmesine hizmet eden çerezler, dil ve bölge tercihi çerezleri ile altyapı sağlayıcısı nezdinde tutulan sunucu erişim kayıtları (IP adresi, tarih-saat, talep edilen adres). Açık formlarda otomatik gönderimleri ayıklamak üzere bir güvenlik doğrulaması çalışır; form içeriği bu doğrulamaya iletilmez. Sayfa görüntülemeleri ayrıca, çerez kullanılmaksızın, kendi sunucumuzda çalışan ölçüm altyapısı üzerinden toplu istatistik olarak ölçülür.
Klinik kullanımı kapsamında işlenen hasta verileri: Clonify Ops içerisinde klinikler tarafından girilen hasta bilgileri, tarama verileri, ölçüm sonuçları ve sipariş kayıtları. Bu veriler ilgili kliniğin kontrolündedir.
3. Bilgilerin Kullanım Amaçları
- Demo taleplerinin karşılanması ve görüşme planlanması
- Platform hesabının oluşturulması, kimlik doğrulaması ve hizmetin sunulması
- Randevu hatırlatması gibi işlemsel bildirimlerin iletilmesi
- Hizmet güvenliğinin sağlanması ile kötüye kullanım ve dolandırıcılığın önlenmesi
- Yazılım algoritmalarının, makine öğrenimi modellerinin ve genel hizmet kalitesinin klinik araştırmalar standartlarında iyileştirilmesi ve geliştirilmesi; bu amaçla platforma yüklenen veriler, klinik tarafından gerekli aydınlatma ve rıza süreçlerinin tamamlandığı kabul edilerek, tamamen kimliksizleştirilip (anonimleştirilerek) AR-GE ve teknik test süreçlerine dâhil edilir
Ticari elektronik ileti gönderimi, yalnızca bekleme listesine kayıt sırasında verilen açık rızaya dayanır ve her iletide iletişimin reddi imkânı sunulur.
4. Veri Güvenliğine İlişkin Tedbirler
Kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek amacıyla alınan teknik ve idari tedbirler arasında başlıca şunlar yer alır:
- Tüm veri trafiği HTTPS üzerinden şifrelenmekte, HSTS ile şifresiz bağlantı engellenmektedir.
- Veri tabanında satır düzeyi güvenlik (RLS) uygulanmakta; her klinik yalnızca kendi verisine erişebilmektedir.
- Parolalar geri döndürülemez özet fonksiyonlarıyla saklanmakta olup, Şirket personeli dâhil hiç kimse tarafından görüntülenememektedir.
- Uygulama, içerik güvenliği politikası (CSP) ve tarayıcı güvenlik başlıkları ile korunmaktadır.
- Kritik işlemler denetim izine kaydedilmektedir.
- Yetkilendirme rol bazlı olarak ve en az yetki ilkesine göre yapılmaktadır.
Hiçbir bilgi sistemi mutlak güvenlik taahhüdü içermez. Hesabınıza ilişkin bir güvenlik zafiyeti tespit etmeniz hâlinde, durumun gecikmeksizin info@clonifylabs.com adresine bildirilmesi gerekmektedir.
5. Veri Yerleşimi ve Yurt Dışına Aktarım
Form kayıtları ve platform verileri, Avrupa Birliği sınırları içindeki bir veri merkezinde konumlanan ve Şirketimiz tarafından kurulup yönetilen sunucularda muhafaza edilmektedir. Web sitesi, Amerika Birleşik Devletleri merkezli bir barındırma sağlayıcısının altyapısı üzerinden yayımlanmakta olup; anılan sağlayıcı, sayfaların sunulması sırasında IP adresi gibi teknik istek verilerini işlemektedir. Açık formlardaki güvenlik doğrulaması da ABD merkezli bir sağlayıcı tarafından, form içeriğine erişilmeksizin, teknik tarayıcı sinyalleri üzerinden yürütülür.
Türkiye'de bulunan kullanıcılar bakımından bu durum, kişisel verilerin yurt dışında saklanması anlamına gelmektedir. Formlarımızda yer alan onay kutuları, söz konusu aktarıma ilişkin açık rızayı da kapsar. Ayrıntılar ve rızanın geri alınmasına ilişkin usul için KVKK Aydınlatma Metni'nin 'Kişisel Verilerin Aktarılması' bölümüne bakınız.
6. Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'de Bulunan Ziyaretçiler (GDPR)
Avrupa Ekonomik Alanı, Birleşik Krallık veya İsviçre'den erişim sağlanması hâlinde kişisel veriler, Genel Veri Koruma Tüzüğü (GDPR) ve dengi mevzuat hükümlerine göre işlenir. Veri sorumlusu Clonify Labs olup, başvuru adresi kvkk@clonifylabs.com adresidir.
İşleme faaliyetlerinin GDPR m.6 kapsamındaki hukuki dayanakları aşağıda gösterilmiştir:
- Açık rıza (m.6/1-a) — Bekleme listesi kaydı ve ticari elektronik iletiler. Rıza, o tarihe kadar gerçekleştirilen işlemenin hukuka uygunluğunu etkilemeksizin her zaman geri alınabilir; her iletide iletişimin reddi bağlantısı yer alır.
- Sözleşme (m.6/1-b) — Hesap oluşturulması, demo talebinin karşılanması ve hizmetin sunulması.
- Meşru menfaat (m.6/1-f) — Bilgi güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve iletişim taleplerinin yanıtlanması.
Kişisel veriler, Avrupa Birliği sınırları içindeki sunucularımızda barındırılmaktadır (bkz. 'Veri Yerleşimi ve Yurt Dışına Aktarım'). Web sitesinin dağıtımını gerçekleştiren Amerika Birleşik Devletleri merkezli sağlayıcı ile form güvenlik doğrulamasını yürüten ABD merkezli sağlayıcı, teknik istek verilerini veri işleme sözleşmesi kapsamında işler.
İlgili kişi, GDPR kapsamında aşağıdaki haklara sahiptir:
- Verilere erişme ve bir kopyasını alma (m.15)
- Düzeltme (m.16) ve silme — 'unutulma hakkı' (m.17)
- İşlemenin kısıtlanması (m.18) ve veri taşınabilirliği (m.20)
- Meşru menfaate dayalı işlemeye itiraz (m.21)
- Rızaya dayalı işlemede rızanın geri alınması (m.7/3)
Anılan hakların kullanılması için Şirketimize yazılı olarak veya elektronik posta yoluyla başvurulması yeterlidir. İlgili kişinin, bulunduğu ülkedeki veri koruma denetim makamına şikâyette bulunma hakkı saklıdır.
7. Amerika Birleşik Devletleri'nde Bulunan Ziyaretçiler
Kişisel bilgiler satılmamakta ve bağlamlar arası davranışsal reklamcılık amacıyla paylaşılmamaktadır; web sitesinde hedefli reklam gösterimi bulunmamaktadır. Toplanan veriler ve işleme amaçları, işbu Politika'nın 2. ve 3. bölümlerinde açıklanmıştır (toplama anı bildirimi).
Herhangi bir eyalet mevzuatının (örneğin California CCPA/CPRA) işleme faaliyetimize uygulanıp uygulanmadığından bağımsız olarak, talep hâlinde Amerika Birleşik Devletleri'nde bulunan tüm ziyaretçilere; kendileri hakkında tutulan verilere erişim, düzeltme, silme ve taşınabilir kopya alma hakları tanınır. Talepler kvkk@clonifylabs.com adresine iletilir. Bu hakların kullanılması sebebiyle ilgili kişiye farklı muamele uygulanmaz.
Kişisel bilgi satışı veya paylaşımı gerçekleştirilmediğinden, satıştan çıkma (opt-out) hakkının kullanılmasını gerektiren bir işleme faaliyeti bulunmamaktadır. Global Privacy Control sinyalleri, hâlihazırda gerçekleştirilmeyen bir işleme faaliyetini etkilemez.
8. Çocuklara İlişkin Kişisel Veriler
Web sitesi çocuklara yönelik olarak sunulmamakta ve çocuklardan bilerek kişisel veri toplanmamaktadır. Kranial kask gibi pediatrik uygulamalarda çocuğa ait sağlık verileri yalnızca Clonify Ops içerisinde, ilgili klinik tarafından ve veli veya vasi rızasına dayanılarak işlenir; bu veriler bakımından veri sorumlusu ilgili kliniktir.
9. Politikada Yapılacak Değişiklikler
İşbu Politika zaman zaman güncellenebilir. Esaslı değişiklik yapılması hâlinde sayfanın üst kısmında yer alan güncelleme tarihi değiştirilir ve hesap sahibi kullanıcılar elektronik posta yoluyla bilgilendirilir.
Sorularınız için: kvkk@clonifylabs.com