KVKK Aydınlatma Metni

Bu sürüm hakkında

Bu metin bir ARA SÜRÜMDÜR: avukat incelemesi sürerken, platformun bugün gerçekten yaptığı veri işlemeye göre yazıldı. Yalnızca bugün var olan işleme anlatılır; henüz çalışmayan bir özellik, çalışmaya başladığı gün bu metne eklenir. İnceleme tamamlandığında metin yeni sürümle yeniden yayımlanır.

Hukuki çerçeve

Bu metin, Türkiye Cumhuriyeti Anayasası’nın 20. maddesinin üçüncü fıkrasında güvence altına alınan “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir” hükmüne ve bu hakkı düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) dayanır. Aşağıdaki mevzuat da uygulanır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — özellikle m.4 (genel ilkeler), m.5–6 (işleme şartları ve özel nitelikli veri), m.8–9 (yurt içi ve yurt dışı aktarım), m.10 (aydınlatma), m.11 (haklar), m.12 (veri güvenliği), m.13 (başvuru). m.6 ve m.9, 7499 sayılı Kanunla 2024’te değiştirilmiş hâlleriyle uygulanır.
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (2024).
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik — özellikle m.11 (periyodik imha) ve m.12 (talep üzerine imha).
• Kişisel Sağlık Verileri Hakkında Yönetmelik — sağlık verisinin özel nitelikli veri olarak işlenmesi.
• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ — haklarınızı nasıl kullanacağınız.
• 1219 sayılı Kanun ve Sağlık Meslek Mensupları ile Sağlık Hizmetlerinde Çalışan Diğer Meslek Mensuplarının İş ve Görev Tanımlarına Dair Yönetmelik — kişiye özel beslenme ve diyet planını düzenleme yetkisinin diyetisyene ait olması.
• 5651 sayılı Kanun — trafik (log) kayıtlarının saklanması.
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun — ticari elektronik ileti onayı.
• 6102 sayılı Türk Ticaret Kanunu m.82 ve 213 sayılı Vergi Usul Kanunu m.253 — ticari ve mali kayıtların saklanması.

Veri sorumlusu kim: iki ayrı rol

DietitianSphere bir işletmeler arası (B2B) üründür: diyetisyen kendi işletmesini açar, danışanını kendisi kaydeder, sağlık verisini kendisi toplar ve planı kendisi yayınlar. Bu yapı, verinin türüne göre iki farklı rol doğurur ve metnin geri kalanı bu ayrıma dayanır.

DANIŞANIN SAĞLIK VERİSİNDE veri sorumlusu, danışanı takip eden DİYETİSYEN İŞLETMESİDİR. İşleme amacını ve vasıtalarını o belirler: hangi danışanı kaydedeceğine, hangi anamnez sorularını soracağına, hangi planı yayınlayacağına o karar verir. Kişiye özel beslenme ve diyet planı düzenleme yetkisi de mevzuat gereği diyetisyenindir. Şirketimiz bu veriler bakımından KVKK m.3/1-ğ anlamında VERİ İŞLEYENDİR: altyapıyı sağlar ve veriyi yalnız işletmenin talimatı ve ürünün işleyişi doğrultusunda işler.

İŞLETMENİN VE DİYETİSYENİN KENDİ VERİSİNDE (hesap bilgileri, diploma ve ruhsat belgeleri, abonelik ve fatura kayıtları, oturum ve güvenlik kayıtları) veri sorumlusu ŞİRKETİMİZDİR.

Platformun teknik güvenliği, kayıt tutma ve yasal yükümlülüklerin yerine getirilmesi bakımından da şirketimiz kendi sorumluluğunu taşır.

• Ticaret unvanı: SSA YAZILIM VE TEKNOLOJİ LİMİTED ŞİRKETİ
• Adres: Ulucamii Mah. Hilal Küme Evleri No: 11, Taraklı / Sakarya
• MERSİS: 0781116504400001 · Vergi kimlik no: 7811165044
• KEP: ssayazilim@hs01.kep.tr · E-posta: destek@dietitiansphere.com

İşlenen kişisel veri kategorileri

Yalnızca aşağıda sayılan veriler işlenir. Muğlak ifade kullanılmamıştır; burada olmayan bir veri kategorisi toplanmıyor demektir.

• Kimlik verisi: ad, soyad, doğum tarihi, cinsiyet.
• İletişim verisi: e-posta adresi, telefon numarası.
• Veli verisi (on sekiz yaşından küçük danışan için): velinin adı soyadı ve yakınlık derecesi.
• İşletme ve personel verisi: işletme unvanı, vergi kimlik numarası, diploma ve işyeri ruhsatı belgeleri, personel adı ve rolü. Ekip üyeleri: işletme sahibinin davet ettiği diyetisyen ve asistanların adı, e-posta adresi ve rolü, hesabın yönetimi amacıyla işlenir. Davet bağlantısı yalnız davet edilene e-postayla gönderilir.
• Finansal veri: işletme aboneliğine ilişkin kayıtlar (paket, dönem, tutar, ödeme tarihi) ve fatura bilgileri. Abonelik ödemesi bugün havale/EFT ile alınır ve yönetici tarafından elle işaretlenir; kartla ödeme kapalıdır, kart bilgisi toplanmaz.
• Özel nitelikli kişisel veri (sağlık verisi): boy, kilo ve vücut ölçümleri; beslenme hedefi; hastalık ve ilaç beyanı; gebelik ve emzirme durumu; alerji ve intolerans beyanı; öğün kayıtları ve su alımı; stres ve motivasyon düzeyi, uyku süresi ve adet döngüsü kayıtları; diyetisyeninize gönderdiğiniz hastane raporu ve tahlil sonuçları.
• Görsel kayıtlar: profil fotoğrafı ve mesajlaşmada paylaştığınız fotoğraflar.
• İşlem güvenliği ve teknik veriler: IP adresi, oturum kayıtları, parola özeti, istek kimliği, hata ve erişim kayıtları, bildirim gönderimi için cihazın ya da tarayıcının bildirim adresi (jeton).
• Randevu ve mesajlaşma verisi: diyetisyeninizle randevularınız ve mesaj içerikleriniz.
• Başvuru verisi: platforma ilettiğiniz sorun bildirimlerinin konusu ve metni.
• Destek talebi (“Bize yaz”): mesaj metni, hesap kimliği, uygulama sürümü, cihaz türü (Android/iPhone/web) ve ekran bilgisi destek amacıyla işlenir. Cihaz modeli ve konum alınmaz. “Bana dönün” seçilirse hesabınızdaki iletişim bilgisi kullanılır, mesajla birlikte saklanmaz. Giriş yapmadan yazarsanız hesap kimliği yoktur; iletişim bilgisi yalnız forma kendiniz yazarsanız saklanır. IP adresiniz destek talebiyle birlikte saklanmaz; kötüye kullanımı önlemek için en çok 1 saat tutulan geçici bir sayaçta özetlenmiş hâliyle kullanılır.
• Besin değeri tahmini: yazdığınız ürün adından tahmin edilen kalori, protein, karbonhidrat, yağ ve vitamin-mineral değerleri. Bu değerler tahmindir ve kayıtta öyle işaretlenir.

İşleme amaçları ve hukuki sebepler

Verileriniz KVKK m.5 ve m.6’da sayılan hukuki sebeplere dayalı olarak, faaliyet bazlı ve amaca özgülenmiş biçimde işlenir.

• KVKK m.5/2-c (sözleşmenin kurulması veya ifası): hesabın açılması ve yönetilmesi, diyetisyen ile danışan arasındaki hizmet ilişkisinin yürütülmesi, randevu ve mesajlaşma ile bunların bildirimleri, parola sıfırlama kodunun e-postayla gönderilmesi, işletme abonelik ödemeleri ve yenileme hatırlatması, işletme sahibinin ekibine üye davet etmesi ve ekip üyesi hesaplarının yönetimi, işletme sahibinin kapanış talebinin işlenmesi.
• KVKK m.5/2-ç (hukuki yükümlülük): vergi mevzuatı uyarınca fatura düzenlenmesi, yetkili kamu kurumlarından gelen taleplerin karşılanması, diyetisyenlik yetkisinin diploma ve ruhsatla doğrulanması, 5651 sayılı Kanun uyarınca trafik kayıtlarının tutulması.
• KVKK m.5/2-f (meşru menfaat): platformun siber güvenliğinin sağlanması, kötüye kullanımın önlenmesi, hataların giderilmesi, destek taleplerinin (“Bize yaz”) yanıtlanması. Bu kapsamda verileriniz profilleme veya pazarlama amacıyla kullanılmaz.
• KVKK m.6/2 (açık rıza — özel nitelikli veri): kişiye özel beslenme planının oluşturulması, ilerlemenizin takibi ve diyetisyeninizin sizi izleyebilmesi.
• KVKK m.6/2 ve m.9 (ayrı açık rıza — yurt dışına aktarım): yazdığınız ürün adının besin değeri tahmini için yurt dışındaki sağlayıcıya iletilmesi.
• On sekiz yaşından küçük danışanlar bakımından, velinin izni kaydedilmeden hesap açılmaz; izin tarihi ve metin sürümüyle birlikte saklanır.

Temel hizmet rızaya bağlanmamıştır

Besin değeri tahmini için açık rıza vermeniz zorunlu değildir. Rıza vermezseniz öğünlerinizi gramı ve kalorisiyle kendiniz yazarsınız; uygulamanın başka hiçbir bölümü kapanmaz. Rızanızı dilediğiniz an uygulamanın hesap bölümünden geri çekebilirsiniz.

Toplama yöntemi

Verileriniz; diyetisyeninizin sizi sisteme kaydetmesi ve davet göndermesi, mobil uygulama ile web sitesindeki formların doldurulması, cihazınızın kamerasına verdiğiniz izin ve uygulama içi işlemlerinizin kaydedilmesi yoluyla, tamamen veya kısmen otomatik yöntemlerle elektronik ortamda toplanır.

Danışan hesabı kendiliğinden açılmaz: yalnızca diyetisyeninizin gönderdiği tek kullanımlık davet koduyla açılır. Ekip üyesi hesabı da kendiliğinden açılmaz: işletme sahibinin gönderdiği, 7 gün geçerli, tek kullanımlık bağlantıyla açılır.

Aktarım: yurt içi

Aktarım, bilmesi gereken ilkesi ve veri minimizasyonu gözetilerek yalnızca amacın gerektirdiği ölçüde yapılır (KVKK m.8).

• Diyetisyeniniz ve kayıtlı olduğunuz işletme: sağlık verileriniz yalnızca hizmeti aldığınız işletmenin yetkili personeline açıktır. Başka bir işletme verilerinizi göremez. Diyetisyeniniz ekibinden çıkarılırsa, sizin dosyanız ve randevularınız işletme sahibine devredilir; çıkarılan kişinin girişi hemen kapanır.
• Yetkili kamu kurumları: yasal zorunluluk hâlinde talep edilen veriler yetkili mercilerle paylaşılır.
• İşletme değiştirme: başka bir diyetisyene geçmek istediğinizde dosyanız yalnızca sizin onayınızla yeni işletmeye devredilir; devirden sonra eski işletme verilerinizi görmeye devam etmez. Platforma ilettiğiniz sorun bildirimleri devredilmez, platformda kalır.

Aktarım: yurt dışı

Yurt dışına aktarım (KVKK m.9) yalnızca aşağıda adı, ülkesi, giden verisi ve amacıyla sayılan alıcılara yapılır. Burada adı geçmeyen hiçbir alıcıya aktarım yapılmaz; yeni bir alıcı, ona veri gitmeye başlamadan önce bu listeye eklenir. Kişisel Verileri Koruma Kurulu’nun bu ülkeler için ilan ettiği bir yeterlilik kararı bulunmamaktadır. Düzenli aktarımlar için Kurul’un ilan ettiği standart sözleşmelerin ilgili hizmet sağlayıcılarla imzalanması ve imzadan itibaren beş iş günü içinde Kurum’a bildirilmesi yoluyla uygun güvence sağlanmasına ilişkin hukuki değerlendirme sürmektedir; tamamlandığında bu metin güncellenecektir. Besin değeri tahmini için yapılan aktarım ayrıca açık rızanıza bağlıdır.

• OpenAI — besin değeri tahmini. Ülke: Amerika Birleşik Devletleri. Giden veri: yalnızca yazdığınız ürün adı ve miktarı (örneğin “bir porsiyon iskender”). Adınız, danışan numaranız ve diyetisyeniniz iletilmez. Fotoğraf aktarılmaz. Amaç: yazdığınız ürünün kalori ve besin değerlerinin tahmin edilmesi. Ne zaman: yalnızca bu özellik için ayrıca verdiğiniz açık rızayla; rıza yoksa hiçbir şey gönderilmez.
• Google LLC — Firebase Cloud Messaging (bildirim altyapısı). Ülke: Amerika Birleşik Devletleri. Giden veri: cihazınızın ya da tarayıcınızın bildirim adresi (jeton) ile bildirimin başlığı ve kısa metni. Bildirimlerde ad ve sağlık verisi yer almaz. Amaç: uygulama ve panel bildirimlerinin size ulaştırılması. Ne zaman: bildirimlere izin verdiğinizde.
• Apple Inc. — Apple Push Notification service (APNs). Ülke: Amerika Birleşik Devletleri. Giden veri: iPhone’unuzun bildirim adresi ile bildirimin başlığı ve kısa metni. Amaç: bildirimin iPhone’unuzda gösterilmesi; Firebase, iPhone’a giden bildirimi bu servis üzerinden iletir. Ne zaman: uygulamayı iPhone’da kullanıyor ve bildirimlere izin vermişseniz.
• Panelde kullandığınız tarayıcının bildirim servisi — Chrome’da Google LLC, Edge’de Microsoft Corporation, Firefox’ta Mozilla Corporation, Safari’de Apple Inc.; başka bir tarayıcıda o tarayıcının kendi bildirim servisi. Ülke: Amerika Birleşik Devletleri (sayılan dört şirket). Giden veri: tarayıcınızın bildirim adresi ile bildirimin başlığı ve kısa metni: “Yeni mesaj”, “Randevu iptal talebi” ya da “Randevu erteleme talebi”. Danışan adı ve sağlık verisi yer almaz. Amaç: panel bildiriminin tarayıcınızda gösterilmesi. Ne zaman: yalnızca işletme personeli için ve yalnızca panelde bildirimleri kendiniz açtığınızda. Danışanlar bu yolu kullanmaz.
• Resend, Inc. — e-posta gönderimi. Ülke: Amerika Birleşik Devletleri; gönderim altyapısı İrlanda bölgesinde çalışacak biçimde yapılandırılmıştır. Giden veri: alıcının e-posta adresi ve adı ile e-postanın konusu ve metni. Gönderilen e-postalar: diyetisyene haftalık özet (yalnızca sayılar ve panele bağlantı), işletme sahibine abonelik yenileme hatırlatması (tarih ve tutar), işletme personeline platform bildirimleri (bildirimin metni ve yürürlük tarihi), işletme kapanınca personele kapanış ve imha tarihi bildirimi, ekibe davet edilen kişiye davet (işletme adı, rol ve tek kullanımlık bağlantı), parolasını sıfırlamak isteyen herkese (danışanlar dâhil) tek kullanımlık sıfırlama kodu ve şirketimizin kendi adresine giden, kişisel veri içermeyen sistem uyarıları (“Bize yaz” ve kapanış talebi uyarıları dâhil; mesajın metni e-postaya konmaz). Bu e-postalar DANIŞAN ADI VE SAĞLIK VERİSİ TAŞIMAZ. Amaç: hesap güvenliği ve hizmetin yürütülmesi için gereken işlevsel e-postaların iletilmesi. Ne zaman: ilgili olay gerçekleştiğinde: parola sıfırlama talebi, haftalık özet günü, abonelik yenilemesinden önce, platform bildirimi yayımlandığında, işletme kapandığında, ekibe davet gönderildiğinde.
• Cloudflare R2 (Cloudflare, Inc.) — yedek deposu. Ülke: Amerika Birleşik Devletleri; kova Avrupa Birliği yargı alanına kilitlidir, veri AB sınırları içinde saklanır. Giden veri: günlük veritabanı yedeği ve belge arşivi. Yedek, sunucudan çıkmadan önce şifrelenir; dosya adları dâhil içerik sağlayıcı tarafından okunamaz, anahtar yalnızca Türkiye’deki sunucudadır. Amaç: yalnızca felaket kurtarma: sunucu kaybolursa verinin geri getirilmesi. Yedek başka hiçbir amaçla kullanılmaz; yedekler 14 gün saklanır ve süresi dolan kopyalar uzakta da silinir. Ne zaman: her gün.
• Porkbun, LLC — e-posta yönlendirme. Ülke: Amerika Birleşik Devletleri. Giden veri: dietitiansphere.com adreslerimize (destek, bildirim) yazdığınız e-posta: gönderen adresiniz, e-posta programınızın eklediği adınız, konu, metin ve ekler. Amaç: bu adreslere gelen postanın şirketimizin e-posta kutusuna iletilmesi. Ne zaman: bize e-postayla yazdığınızda (başvuru, destek, kapanış sonrası döküm talebi, haftalık özete cevap).
• Google LLC — Google Workspace (şirket e-posta kutusu). Ülke: Amerika Birleşik Devletleri. Giden veri: yukarıdaki e-postaların tamamı ve bizim size yazdığımız cevaplar. Amaç: başvuru ve destek yazışmalarının alınması, yanıtlanması ve saklanması. Ne zaman: bize e-postayla yazdığınızda ve size cevap verdiğimizde.

Verilerin bulunduğu yer

Veritabanı ve yüklediğiniz belgeler Türkiye’de, İstanbul’daki bir veri merkezinde bulunan sunucumuzda tutulur; sunucu altyapısını LightNode, LLC sağlar. Tüm bağlantılar TLS ile şifrelenir.

YEDEKLER YURT DIŞINDADIR. Sunucunun kendisi arızalanırsa veriniz onunla birlikte kaybolmasın diye günlük yedek ikinci bir yere kopyalanır; bu yer Cloudflare R2’dir (Cloudflare, Inc., Amerika Birleşik Devletleri) ve kova Avrupa Birliği yargı alanına kilitlenmiştir, yani veri AB sınırları içinde saklanır. Yedek, sunucudan çıkmadan ÖNCE şifrelenir: dosyanın içeriği de adı da şifrelidir ve şifre çözme anahtarı yalnız Türkiye’deki sunucuda bulunur; sağlayıcı yedeğin içeriğini okuyamaz. Şifreli olması verinin kişisel veri olma niteliğini değiştirmez; bu nedenle aktarım yukarıdaki “Aktarım: yurt dışı” bölümünde de sayılmıştır.

Bildirimler, e-postalar ve besin değeri tahmini de yurt dışındaki alıcılar üzerinden çalışır; hepsi yukarıdaki listede sayılıdır.

Özel nitelikli veride ek tedbirler

Kurul’un 2018/10 sayılı kararı doğrultusunda, özel nitelikli kişisel verilerin işlenmesinde aşağıdaki ek tedbirler uygulanır.

• İşletme yalıtımı: her veritabanı sorgusu, kullanıcının bağlı olduğu işletmeye göre süzülür; komşu bir işletmenin ya da başka bir danışanın verisine erişim teknik olarak engellenir.
• Aktarılan ifade saklanmaz: besin değeri tahmini için gönderilen metin kayıt amacıyla diske yazılmaz; yalnız oluşturduğunuz öğün kaydı kalır.
• Sağlayıcıya kimlik gönderilmez: yalnızca yazdığınız ifade iletilir; adınız, danışan numaranız veya diyetisyeniniz iletilmez.
• Sır yönetimi: parolalar yalnız özet olarak saklanır; anahtarlar kod deposunda değil, sunucuda erişimi kısıtlı dosyalarda tutulur.
• Silme diske de ulaşır: silme uygulandığında yüklediğiniz belge ve fotoğraflar veritabanıyla birlikte dosya sisteminden de silinir.
• Denetim kaydı: kişisel veriye erişen yönetimsel işlemler denetim kaydına yazılır.

On sekiz yaşından küçük danışanlar

On sekiz yaşından küçük bir danışanın verileri, ancak velisinin ya da vasisinin izniyle işlenir. Bu izin sistemde bir kayıt olarak tutulur: velinin adı, yakınlık derecesi, izin tarihi ve metin sürümü birlikte saklanır. Doğum tarihi on sekiz yaşın altında olan bir danışan, bu bilgiler girilmeden sisteme kaydedilemez; sunucu kaydı reddeder.

Veli izni her zaman geri çekilebilir. Geri çekilmesi hâlinde ilgili verilerin silinmesini talep edebilirsiniz.

Çerezler

Web sitesinde yalnızca sistemin çalışması için zorunlu çerezler kullanılır (oturum yönetimi) ve bunlar meşru menfaat kapsamındadır (KVKK m.5/2-f). Pazarlama veya reklam çerezi, üçüncü taraf reklam kimliği (IDFA/GAID) ve davranışsal takip kullanılmamaktadır.

Saklama süreleri ve imha

Veriler, işlendikleri amaç için gerekli olan süre kadar saklanır. Süreler muğlak bırakılmamıştır; henüz belirlenmemiş olan tek süre de açıkça belirtilmiştir:

• Finansal ve ticari kayıtlar: Türk Ticaret Kanunu m.82 ve Vergi Usul Kanunu m.253 uyarınca on yıl.
• Trafik (log) kayıtları (sunucumuza bağlanan IP adresi, zaman ve istenen adres): 5651 sayılı Kanun uyarınca en az bir yıl.
• Besin değeri tahmini için gönderilen ifade: bizim tarafımızda kayıt amacıyla saklanmaz, işlem bitince bellekten düşer. İfadenin iletildiği hizmet sağlayıcıda (OpenAI) o sağlayıcının kendi saklama politikası uygulanır.
• Üyelik ve sağlık verileri: hesabınız silindiğinde veya açık rızanız geri çekildiğinde, yasal saklama yükümlülüğü bulunmayan veriler silinir, yok edilir veya anonim hâle getirilir.
• Silme talebi vadesi: talebiniz, KVKK m.13/2 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.12 uyarınca en geç OTUZ GÜN içinde sonuçlandırılır; talepten sonraki 29 gün içinde talebinizi geri alabilirsiniz. Bu sürenin sonunda veriler kalıcı olarak silinir ve geri alınamaz. Silinen verinin yedeklerdeki kopyası için aşağıdaki yedek süresi geçerlidir.
• Yedekler: veritabanının ve yüklediğiniz belgelerin günlük yedeği, sunucumuzda ve Avrupa Birliği yargı alanındaki yedek deposunda (Cloudflare R2) 14 gün saklanır; süresi dolan yedek iki yerde de silinir. Silinen bir belgenin dosyası, yedek deposundaki belge kopyasında 14 gün daha durur ve sonra silinir. Bu süre içinde yedekler yalnızca felaket kurtarma için kullanılabilir.
• Yurt dışındaki hizmet sağlayıcılar: silme talebinizde veriler bizim sistemlerimizden silinir. Daha önce OpenAI (besin değeri tahmini), Resend (e-posta) ve Google Firebase ile Apple (bildirim) gibi hizmet sağlayıcılara iletilmiş veriler için o sağlayıcının kendi saklama politikası uygulanır.
• Rızanın ve silme talebinin ispatı: hesabınız silindiğinde, hangi metne hangi tarihte rıza verdiğinizin ve rızayı geri aldıysanız ne zaman geri aldığınızın, ayrıca silme talebinizin ispatı için kişisel bilgi içermeyen, anonimleştirilmiş kayıt yasal süre boyunca saklanır.
• Ekip üyeleri: ekipten çıkarılan kişinin bilgileri çıkarılmasından 1 yıl sonra anonimleştirilir; kabul edilen, iptal edilen ya da süresi dolan davetler 30 gün sonra silinir.
• Destek talepleri (“Bize yaz”): mesaj, talebin kapanışından 1 yıl sonra silinir. IP sayacı en çok 1 saat tutulur.
• İşletme kapanışı: işletme sahibi kapanış talep edebilir. Kapanıştan sonra 30 gün içinde verilerinizin dökümü talebiniz üzerine size iletilir; bu sürenin sonunda veriler silinir.
• Destek e-postaları: Destek e-postaları şirketimizin e-posta kutusunda tutulur; saklama süresi henüz otomatik bir kuralla uygulanmamaktadır. Süre belirlendiğinde bu metne eklenir ve silme talebiniz her zaman uygulanır.
• Periyodik imha: aynı Yönetmelik m.11 uyarınca periyodik imha aralığı altı ayı geçmez.

Haklarınız (KVKK m.11)

Veri sahibi olarak aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmişse düzeltilmesini isteme.
• KVKK m.7’deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme veya yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç doğmasına itiraz etme.
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
• Verilerinizi yapılandırılmış ve makinece okunabilir bir biçimde (JSON) talep etme. Bu hakkı uygulama içinden tek dokunuşla kullanabilirsiniz.

Başvuru usulü

Haklarınızı kullanmak için, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca taleplerinizi sistemde kayıtlı e-posta adresinizden aşağıdaki adrese ya da kimliğinizi doğrulayan belgelerle yazılı olarak şirket adresine iletebilirsiniz. Başvurunuz en geç otuz gün içinde sonuçlandırılır.

E-posta: destek@dietitiansphere.com · KEP: ssayazilim@hs01.kep.tr

Adres: Ulucamii Mah. Hilal Küme Evleri No: 11, Taraklı / Sakarya

Sağlık verinizle ilgili taleplerde veri sorumlusu, kayıtlı olduğunuz diyetisyen işletmesidir; talebinizi doğrudan ona da iletebilirsiniz. Bize ilettiğiniz talepleri ilgili işletmeye yönlendirir ve süreci izleriz.

Diyetisyeninizle ilgili bir sorunu doğrudan platforma bildirmek isterseniz, uygulamadaki hesap bölümünden “Sorun bildir” yolunu kullanabilirsiniz. Bu bildirimi diyetisyeniniz görmez.

E-postayla yazdığınızda sağlık bilginizi yazmamanızı öneririz; sağlık verinizle ilgili talepler uygulama içinden ya da diyetisyeniniz aracılığıyla iletilebilir. E-posta adreslerimize yazılan posta, “Aktarım: yurt dışı” bölümünde sayılan e-posta yönlendirme ve e-posta kutusu sağlayıcılarından geçer.

Veri güvenliği tedbirleri (KVKK m.12)

• Veritabanı Türkiye’deki sunucuda tutulur; tüm bağlantılar TLS ile şifrelenir. Yedekler AB yargı alanındaki bir depoda, sunucudan çıkmadan önce şifrelenerek saklanır.
• Erişim yetkileri bilmesi gereken ilkesiyle ve rol bazlı olarak sınırlandırılır.
• Giriş ve parola sıfırlama gibi uçlarda, yetkisiz erişim denemelerine karşı istek sayısı sınırlanır (oran sınırı).
• Veritabanı günlük olarak yedeklenir ve yedeğin geri yüklenebilirliği her gün sınanır.
• Kişisel veriye erişen yönetimsel işlemler denetim kaydına yazılır.
• Yüklenen dosyaların türü içeriğinden doğrulanır ve boyutu sınırlanır.

Otomatik karar ve profilleme

Beslenme Plan Modülü; verdiğiniz fiziksel veriler, sağlık beyanları ve beslenme tercihleri üzerinden bir plan TASLAĞI üretir. Bu taslak size doğrudan ulaşmaz: diyetisyeniniz inceler, değiştirir ve yayınlamaya kendisi karar verir. Onaylanmamış bir taslak size hiç gösterilmez. Bu nedenle plan, münhasıran otomatik bir sistemle verilmiş bir karar değildir.

Yine de analiz sonucunun aleyhinize bir durum oluşturduğunu düşünüyorsanız, KVKK m.11/1-g uyarınca itiraz etme hakkınız saklıdır.

Veri ihlallerinin bildirimi

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, KVKK m.12/5 uyarınca durum en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirilir.

Ticari elektronik ileti

Platform üzerinden gönderilen bildirimler ve e-postalar işlevseldir (öğün hatırlatması, randevu ve mesaj bildirimi, diyetisyene haftalık özet, işletme sahibine abonelik yenileme hatırlatması, parola sıfırlama kodu) ve ticari elektronik ileti niteliği taşımaz. Pazarlama veya tanıtım amaçlı ileti gönderilmesi hâlinde bu, 6563 sayılı Kanun uyarınca ayrıca onayınıza tabidir ve onay İleti Yönetim Sistemi üzerinden her zaman geri alınabilir.

Mobil uygulama izinleri

Uygulama iki izin ister: kamera ve galeri (profil fotoğrafı, hastane raporu yükleme, mesaja fotoğraf ekleme; bu fotoğraflar yapay zekâya AKTARILMAZ; yurt dışına yalnızca şifreli günlük yedeğin içinde, yedek deposuna gider) ve bildirim (hatırlatmaların ulaşabilmesi için). İzinleri cihazınızın ayarlarından dilediğiniz zaman kapatabilirsiniz; kapatmak ilgili özelliği durdurur, uygulamanın temel işlevlerini etkilemez.

İşletme panelinde tarayıcı bildirimi yalnızca personel Ayarlar bölümünden kendisi açtığında istenir; tarayıcının ayarlarından ya da aynı bölümden dilediğiniz zaman kapatılabilir.

Bu metin değişirse

Mevzuat değişikliği, Kurul kararı, avukat incelemesi veya yeni bir veri işleme süreci hâlinde bu metin güncellenir ve sürüm numarasıyla bu sayfada yayımlanır. Yeni bir yurt dışı alıcı, ona veri gitmeye başlamadan önce metne eklenir. Açık rızanıza dayanan bir işlemenin kapsamı değişirse rızanız yeniden istenir; yeni rıza verilmeden o işleme yapılmaz.

Yayındaki sürüm: kvkk-v5-ara · Son güncelleme: 2 Ekim 2026

• kvkk-v5-ara · 2 Ekim 2026 — Ara sürüm. E-posta adreslerimize yazdığınızda postanın geçtiği iki hizmet sağlayıcı (Porkbun e-posta yönlendirme ve Google Workspace e-posta kutusu) yurt dışı alıcılar listesine eklendi; destek e-postalarının saklama süresinin henüz otomatik bir kuralla uygulanmadığı yazıldı. Silme talebinin geri alınabileceği süre 29 gün olarak yazıldı; talep en geç otuz gün içinde sonuçlandırılır.
• kvkk-v4-ara · 2 Ekim 2026 — Ara sürüm. İşletme sahibinin ekibine üye davet etmesi eklendi: ekip üyelerinin adı, e-postası ve rolü, davet bağlantısı ve saklama süreleri. Uygulama içi destek talepleri (“Bize yaz”) eklendi: hangi verinin alındığı, giriş yapmadan yazıldığında IP adresinin yalnız özetlenmiş hâliyle ve en çok 1 saat kullanıldığı, 1 yıllık saklama. İşletme sahibinin kapanış talebi ve kapanıştan sonra dökümün talep üzerine iletilmesi yazıldı. E-posta hizmet sağlayıcısına giden e-postaların listesi tamamlandı.
• kvkk-v3-ara · 29 Eylül 2026 — Ara sürüm. Silmeden sonra nelerin kaldığı süreleriyle yazıldı: yedekler (14 gün, sunucu ve AB’deki yedek deposu), yurt dışındaki hizmet sağlayıcıların kendi saklama politikası ve rızanın ispatı için tutulan anonim kayıt. Besin değeri tahmini satırı bizim tarafımızla sınırlandı. Trafik kaydı saklama süresi uygulamayla eşitlendi: bir yıllık alt sınır korundu, önceki sürümdeki iki yıllık üst sınır uygulanmadığı için kaldırıldı.
• kvkk-v2-ara · 23 Eylül 2026 — Ara sürüm. Yurt dışındaki alıcıların her biri adı, ülkesi, giden verisi ve amacıyla yazıldı; aktarımın hukuki dayanağına ilişkin değerlendirmenin sürdüğü yazıldı; Apple bildirim servisi ve panel tarayıcı bildirim servisleri eklendi; parola sıfırlama kodunun danışanlara da e-postayla gittiği yazıldı; kartla ödeme kapalı olduğu için ödeme kuruluşu satırı çıkarıldı; uygulanmayan “hesap kilitleme” tedbiri çıkarıldı; fotoğrafların şifreli yedekle yedek deposuna gittiği yazıldı; sunucu sağlayıcısı adıyla yazıldı.
• kvkk-v1 · 21 Eylül 2026 — İlk yayın.