Gizlilik Politikası

WHITEPLAN YAZILIM VE TEKNOLOJİ ANONİM ŞİRKETİ ("Whiteplan" veya "Şirket") olarak, sunduğumuz SaaS (Yazılım Hizmeti) çözümlerinde kişisel verilerinizin güvenliğini ve mahremiyetini en üst seviyede tutmaktayız. İşbu Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), 7499 sayılı Kanun ile getirilen güncel değişiklikler ve ilgili ikincil mevzuat uyarınca, şeffaflık ve hesap verebilirlik ilkeleri doğrultusunda hazırlanmıştır.

İşbu Politika; Whiteplan'ın web sitesini ziyaret eden, hizmetlerimizden yararlanan veya bizimle iletişime geçen tüm gerçek kişilere uygulanır.

1. Veri Sorumlusu Bilgileri

6698 sayılı KVKK kapsamında Veri Sorumlusu sıfatına sahip şirketimize ait bilgiler aşağıda yer almaktadır:

2. Veri Sorumlusu ve Veri İşleyen Sıfatları

2.1. Veri Sorumlusu Sıfatı

Şirketimiz; kendi çalışanları, tedarikçileri ve doğrudan kurumsal müşterileri (klinikler) ile ilişkili faaliyetler bakımından KVKK anlamında Veri Sorumlusu sıfatına haizdir. Bu kapsama; çalışan verileri, ticari ilişki verileri, web sitesi ziyaretçi verileri ve müşteri iletişim verileri girmektedir.

2.2. Veri İşleyen Sıfatı

Whiteplan yazılım platformu üzerinden işlenen hasta ve danışan verileri bakımından Şirketimiz, müşteri kliniğinin (Veri Sorumlusu) talimatları doğrultusunda hareket eden Veri İşleyen sıfatına haizdir.

Bu süreçte; verilerin doğruluğu, hukuka uygunluğu ve ilgili kişilerden (hasta / danışan) gerekli Açık Rızaların alınması ile aydınlatma yükümlülüğünün yerine getirilmesi sorumluluğu münhasıran Veri Sorumlusu olan müşteri kliniğine aittir.

3. İşlenen Kişisel Veri Kategorileri ve Amaçları

3.1. Whiteplan Müşteri ve İletişim Verileri (Veri Sorumlusu Sıfatıyla)

Şirketimiz, aşağıdaki amaçlarla ve hukuki dayanaklarla müşteri verilerini işler:

3.2. Hasta / Danışan Verileri (Veri İşleyen Sıfatıyla)

Whiteplan yazılımı üzerinden müşteri klinikleri tarafından işlenen hasta ve danışan verileri bakımından Şirketimiz, teknik altyapı sağlayıcısı konumundadır. İşlenen veri kategorileri; hasta kimlik bilgileri (ad, soyad, doğum tarihi, cinsiyet), iletişim bilgileri (telefon, e-posta), teşhis ve tedavi bilgileri, klinik notlar, ağız ve diş görselleri ile röntgen görüntülerini kapsar.

Bu verilerin işlenmesine ilişkin tüm sorumluluk, ilgili müşteri kliniğinin Veri Sorumlusu sıfatıyla yürüttüğü aydınlatma ve rıza süreçlerine tabidir. Detaylı düzenleme için kliniklerle akdedilen Kişisel Veri İşleme Sözleşmesi (DPA) geçerlidir.

4. Özel Nitelikli Kişisel Verilerin İşlenmesi

KVKK m.6 kapsamındaki özel nitelikli kişisel veriler (sağlık ve cinsel hayata ilişkin veriler ile biyometrik veriler), Şirketimiz tarafından yalnızca aşağıdaki hukuki dayanaklardan birine bağlı olarak işlenmektedir:

• Tıbbi Teşhis ve Tedavi: Koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla, sır saklama yükümlülüğü altındaki sağlık profesyonelleri aracılığıyla teknik altyapı sağlanması (KVKK m.6/3).
• Kanuni Zorunluluk: Sağlık mevzuatından (3359 sayılı Kanun ve Sağlık Bakanlığı yönetmelikleri) kaynaklanan yasal yükümlülüklerin yerine getirilmesi (KVKK m.5/2-ç).
• Açık Rıza: İlgili kişinin açık rızasının alınması (KVKK m.6/2). Bu rızanın alınması sorumluluğu münhasıran müşteri kliniğine aittir.

Özel nitelikli sağlık verileri; Türkiye Cumhuriyeti topraklarında, İstanbul lokasyonundaki Huawei Cloud veri merkezi altyapısında şifreli olarak saklanır. Yurt dışına herhangi bir aktarım gerçekleştirilmez.

5. Kişisel Verilerin Aktarımı ve Sunucu Lokasyonu

5.1. Yurt İçi Aktarım

Kişisel veriler; yasal yükümlülüklerin yerine getirilmesi amacıyla yetkili kamu kurum ve kuruluşlarıyla (Sağlık Bakanlığı, KVKK Kurumu, vergi daireleri, mahkemeler vb.) KVKK m.8 kapsamında paylaşılabilir.

5.2. Yurt Dışı Aktarım

Şirketimiz kural olarak yurt dışına veri aktarımı gerçekleştirmez. Tüm müşteri ve hasta verileri, Türkiye Cumhuriyeti topraklarında barındırılır.

Web sitesi analitik ve reklam araçları (Google Analytics, LinkedIn Insight Tag, Google Ads vb.) kapsamında çerez verileri yurt dışına aktarılabilir. Bu aktarımlar; ilgili platformların KVKK m.9 uyarınca Kurul'a bildirilen Standart Sözleşmeler (SCC) veya yeterlilik kararı kapsamında gerçekleştirilir. Analitik çerezler için elde edilen açık rıza, bu aktarımların hukuki dayanağını oluşturur.

5.3. Sunucu Lokasyonu

Whiteplan yazılım platformu üzerinde işlenen tüm kişisel veriler; Türkiye Cumhuriyeti topraklarında, İstanbul'da konumlanan Huawei Cloud veri merkezi altyapısında barındırılır. Söz konusu altyapı; BTK düzenlemelerine, 6698 sayılı KVKK'ya ve Sağlık Bakanlığı mevzuatına uyumludur.

6. Veri Saklama Süreleri ve İmha

Kişisel verileriniz; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir. Temel saklama süreleri aşağıda belirtilmiştir:

Süre sonunda veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca güvenli biçimde imha edilir veya anonim hale getirilir.

7. Çerez Politikası

Şirketimizin web sitesi çeşitli çerezler kullanmaktadır. Açık rıza gerektiren çerezler, yalnızca ziyaretçinin onayı alındıktan sonra etkinleştirilir.

Çerez tercihlerinizi web sitemizin çerez tercih panelinden (çerez bannerı) istediğiniz zaman güncelleyebilirsiniz. Zorunlu çerezler dışındaki tüm çerezleri reddedebilir veya kabul edebilirsiniz.

8. Teknik ve İdari Tedbirler

Şirketimiz, özellikle sağlık verilerinin hassasiyetini gözeterek aşağıdaki teknik ve idari tedbirleri titizlikle uygulamaktadır:

• Kriptografik Şifreleme: Tüm kişisel veriler; depolama (at-rest) ve iletim (in-transit) sırasında AES-256 veya eşdeğer güvenlik standardıyla şifrelenmektedir.
• Kimlik Doğrulama: Sisteme erişim; rol tabanlı erişim kontrolü (RBAC) ve çok aşamalı kimlik doğrulama (2FA/MFA) yöntemleriyle korunmaktadır.
• Erişim Log Kayıtları: Tüm sistem erişimleri, 5651 sayılı Kanun uyarınca zaman damgalı ve değiştirilemez biçimde kayıt altına alınmaktadır.
• Sızma Testi: Yazılım altyapısında yılda en az 1 (bir) kez bağımsız penetrasyon testi ve düzenli zafiyet taramaları gerçekleştirilmektedir.
• Veri İhlali Yönetimi: Olası bir veri ihlali durumunda ilgili kişiler ve KVKK Kurumu yasal süreler içinde (en geç 72 saat) bilgilendirilir.
• Personel Eğitimi: Kişisel verilere erişim yetkisi olan tüm çalışanlar KVKK farkındalık eğitimi almakta ve sır saklama taahhütnamesi imzalamaktadır.
• Yedekleme: Veriler günlük olarak yedeklenmekte ve yedekler 30 gün boyunca şifreli biçimde saklanmaktadır.

9. İlgili Kişinin Hakları (KVKK m. 11)

Kişisel verisi işlenen her gerçek kişi (ilgili kişi), Whiteplan'ın Veri Sorumlusu sıfatıyla işlediği veriler için KVKK m.11 kapsamında aşağıdaki haklara sahiptir:

10. Başvuru Usulü ve İletişim

KVKK m.11 kapsamındaki haklarınızı kullanmak için başvurularınızı; "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca aşağıdaki yöntemlerden biriyle iletebilirsiniz:

Başvurunuz, talebin niteliğine göre en kısa sürede ve her halükarda başvuru tarihinden itibaren 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır. Talebin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

11. Politika Güncellemeleri

Şirketimiz, işbu Politika'yı yasal düzenlemelerdeki değişiklikler, teknolojik gelişmeler veya iş modelindeki dönüşümler doğrultusunda güncelleme hakkını saklı tutar. Güncel Politika, web sitemizde yayınlanmasıyla birlikte yürürlüğe girer.

Önemli güncellemeler, müşterilerimize e-posta yoluyla veya yazılım içi bildirim aracılığıyla duyurulur. Politika'nın sürekli kullanımı, güncellemelerin kabulünü ifade eder.

12. İletişim