Veri İşleme Sözleşmesi

Bu sözleşme, Dermofis Platformuna üye olan ve Platforma hasta verisi kaydeden hekim veya klinik (“Veri Sorumlusu” veya “Klinik”) ile aşağıda bilgileri yer alan Platform işletmecisi (“Veri İşleyen” veya “Dermofis”) arasında, üyelik sırasında elektronik ortamda kabul edilmesiyle kurulur ve Kullanım Şartları'nın ayrılmaz parçasıdır. Kişisel verilerin korunmasına ilişkin konularda bu sözleşme Kullanım Şartları'na göre önceliklidir.

• Konu: Klinik'in hastalarına ait kayıtların Platformda saklanması, görüntülenmesi, düzenlenmesi ve Klinik'in kullandığı Platform özellikleri için işlenmesi.
• İlgili kişi grupları: hastalar, hastaların yasal temsilcileri ve Klinik'in kaydettiği hasta yakınları.
• Veri kategorileri: kimlik (ad soyad, T.C. kimlik no, doğum tarihi), iletişim (telefon, adres, e-posta), randevu ve işlem bilgileri, ücret bilgileri, imza ve özel nitelikli kişisel veri olan sağlık verileri (muayene notları, uygulanan işlemler, ilaçlar, alerjiler, yüz haritası, öncesi/sonrası fotoğrafları, onam formları).
• Süre: Klinik'in üyeliği süresince ve 9. maddedeki iade/silme süreci tamamlanana kadar.

Dermofis hasta verilerini yalnızca Klinik'in talimatı doğrultusunda ve Platform hizmetinin sunulması amacıyla işler. Klinik'in Platformu kullanması (kayıt oluşturması, değiştirmesi, silmesi) talimat niteliğindedir. Dermofis hasta verilerini kendi amaçları için kullanmaz, satmaz, pazarlama veya profil çıkarma amacıyla işlemez. Bir talimatın mevzuata aykırı olduğu kanaatine varırsa Klinik'i derhal bilgilendirir.

Kanunen yetkili bir merci hasta verilerinin açıklanmasını talep ederse Dermofis, yasal olarak yasaklanmadıkça, Klinik'i gecikmeksizin bilgilendirir ve yalnızca zorunlu olan veriyi açıklar.

• Hasta verilerinin işlenmesi için geçerli bir hukuki sebebe sahip olmak. Sağlık verileri; tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebilir (KVKK md. 6/3); bu amaçların dışındaki işlemeler için hastanın açık rızasını almak.
• Hastalara KVKK md. 10 uyarınca aydınlatma yapmak; aydınlatma metninde verilerin yurt dışındaki sunucularda işlendiğine ve Ek-2'deki hizmet sağlayıcılara yer vermek. Platformdaki onam formunda yer alan aydınlatma ve açık rıza metinleri örnek niteliğindedir; Klinik bunların kendi faaliyetine uygunluğundan sorumludur.
• Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü varsa bunu yerine getirmek.
• Tıbbi kayıtların mevzuatta öngörülen süre boyunca saklanması yükümlülüğünü yerine getirmek; bu kapsamda gerekli kayıtları üyelik sona ermeden önce dışa aktarmak.
• Hesap bilgilerini ve iki adımlı doğrulama cihazlarını korumak, hesabı yalnızca yetkili kişilere kullandırmak ve personelinin gizlilik yükümlülüğünü sağlamak.
• Hastaların KVKK md. 11 kapsamındaki başvurularını yanıtlamak.

• Gizlilik: Hasta verilerine erişebilecek çalışanlarını ve yardımcılarını yazılı gizlilik yükümlülüğü altına alır; bu yükümlülük sözleşme sona erdikten sonra da devam eder.
• Güvenlik: KVKK md. 12 ve Kişisel Verileri Koruma Kurulu'nun 2018/10 sayılı kararı uyarınca Ek-1'deki teknik ve idari tedbirleri uygular ve güncel tutar.
• Erişim sınırı: Hasta verilerine yalnızca hizmetin sunulması, güvenliğin sağlanması, Klinik'in talep ettiği teknik destek veya yasal zorunluluk hâllerinde, gerekli olduğu ölçüde erişir; bu erişimler kayıt altına alınır.
• İhlal bildirimi: Hasta verilerini etkileyen bir veri ihlalini öğrendiğinde Klinik'e gecikmeksizin ve en geç 24 saat içinde kayıtlı e-posta adresi üzerinden bildirir; ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan tedbirleri bildirir. Klinik'in Kurul'a (72 saat) ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesi için gerekli bilgi ve desteği sağlar.
• Destek: Klinik'in ilgili kişi başvurularını yanıtlaması, veri güvenliği değerlendirmesi ve Kurul incelemeleri için makul teknik desteği sağlar. Dermofis'e doğrudan ulaşan hasta başvurularını en geç 3 iş günü içinde Klinik'e iletir.

Klinik, Ek-2'de listelenen hizmet sağlayıcıların alt veri işleyen olarak kullanılmasına genel izin verir. Dermofis, alt veri işleyenlerle bu sözleşmedekilere eşdeğer veri koruma yükümlülükleri içeren sözleşmeler yapar ve onların eylemlerinden Klinik'e karşı sorumludur. Yeni bir alt veri işleyen eklenmesi veya değiştirilmesi en az 30 gün önce e-posta ile bildirilir; Klinik haklı bir gerekçeyle itiraz ederse ve taraflar anlaşamazsa Klinik sözleşmeyi bildirim süresi sonunda cezasız olarak feshedebilir.

Klinik'in kendi bağladığı hizmetler (Google E-Tablolar): Klinik, online randevu taleplerini kendi Google hesabındaki bir E-Tablolar dosyasında topluyorsa ve bu dosyanın Apps Script bağlantısını Platforma girerse, talepler (ad soyad, telefon, ilgilenilen işlem, tercih edilen tarih, notlar) Klinik kullanıcısının tarayıcısı tarafından Google'dan okunur ve Platformda şifreli randevu kaydı olarak saklanır. Bu akışta Dermofis Google'a veri göndermez; Google, Dermofis'in değil Klinik'in hizmet sağlayıcısıdır. Talep formunda hastalara aydınlatma yapılması, Google ile olan sözleşme ilişkisi ve verilerin Google'daki (ABD) saklanması Klinik'in sorumluluğundadır. Bağlantı kaydedildiğinde Platformdaki onam formunun hasta aydınlatma metnine bu aktarım otomatik olarak eklenir.

Klinik, Platform altyapısı nedeniyle hasta verilerinin Ek-2'de belirtilen ülkelerde saklandığını ve işlendiğini bilerek kabul eder. Hasta verileri yurt dışındaki sunucularda Ek-1'de açıklandığı şekilde şifreli olarak saklanır. Aktarım ülkeleri değişirse 6. maddedeki bildirim usulü uygulanır.

Klinik, bu sözleşmeye uyumu yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimde bulunarak denetleyebilir. Denetim öncelikle yazılı soru listesi ve belgeler üzerinden yapılır; yerinde denetim gerekiyorsa gizlilik taahhüdü alınarak, mesai saatleri içinde ve masrafları Klinik'e ait olmak üzere gerçekleştirilir. Denetim, diğer kliniklerin verilerine ve güvenlik açısından hassas bilgilere erişim sağlamaz.

• Üyelik sona erdiğinde Klinik, 30 gün boyunca talep ederek hasta verilerinin yaygın kullanılan bir elektronik formatta kendisine teslim edilmesini isteyebilir.
• Bu sürenin sonunda önce Klinik'e ait şifreleme anahtarları silinir: bu andan itibaren canlı sistemdeki ve yedeklerdeki tüm kopyalar kalıcı olarak okunamaz hale gelir (kripto-silme). Kayıtlar ardından canlı sistemden silinir; okunamaz durumdaki yedek dosyaları döngü içinde en geç 30 gün sonra tamamen ortadan kalkar.
• Silme tamamlandığında Klinik'in talebi üzerine yazılı teyit verilir.
• Değiştirilemez güvenlik kayıtları hasta verisi içermez (yalnızca işlem türü, zaman, kayıt kimliği) ve saklama süreleri boyunca tutulur.
• Mevzuatın Dermofis'e saklama yükümlülüğü getirdiği veriler, yalnızca o yükümlülük için ve süresi boyunca saklanır.

Taraflar, KVKK md. 12/2 uyarınca veri güvenliği tedbirlerinin alınması bakımından ilgili kişilere karşı müteselsilen sorumludur. İç ilişkide her taraf kendi yükümlülüklerini ihlalinden doğan zarardan sorumludur; ödeme yapan taraf diğerine kusuru oranında rücu edebilir. Kullanım Şartları'ndaki sorumluluk sınırları iç ilişkide uygulanır; ancak kast ve ağır ihmal hâlleri ile ilgili kişilere karşı sorumluluk sınırlandırılamaz.

Bu sözleşmenin esaslı değişiklikleri en az 30 gün önce e-posta ile bildirilir. Bildirimler Klinik'in Platformda kayıtlı e-posta adresine ve Dermofis'in kvkk@dermofis.com adresine yapılır.

• Hasta adı, kimlik, iletişim ve tüm sağlık verilerinin uygulama düzeyinde AES-256-GCM (256 bit anahtar) ile şifrelenmesi; şifreli verinin kliniğe bağlanması.
• Her kliniğin verisinin kendine ait 256 bit anahtarla şifrelenmesi; klinik anahtarlarının ana anahtarla şifrelenmiş olarak, kullanıcı oturumlarının erişemeyeceği şekilde saklanması; ana anahtarın veritabanından ayrı ortamda tutulması; anahtar sürümleme ve rotasyon imkânı; kliniğin anahtarları silinerek verisinin yedekler dahil okunamaz hale getirilebilmesi (kripto-silme).
• Tüm bağlantılarda TLS 1.2/1.3 ve HSTS.
• Tüm kullanıcı hesaplarında zorunlu iki adımlı doğrulama; iki adımlı doğrulanmamış oturumların sağlık verisine erişiminin veritabanı düzeyinde engellenmesi.
• Satır bazlı güvenlik ile kiracı (klinik) izolasyonu; şifre çözmenin yalnızca sunucuda ve kayıt sahipliği doğrulanarak yapılması.
• Hasta kayıtlarına yapılan ekleme, değişiklik, silme ve okuma işlemlerinin hasta verisi içermeyen, yalnızca eklenebilir ve SHA-256 zinciriyle bağlı kayıtlarla loglanması; zincirin günlük olarak veritabanı dışından doğrulanması.
• Günlük şifreli yedekleme (Türkiye'de); yedekleri açan özel anahtarın ayrı saklanması; düzenli geri yükleme testi.
• İstek sınırlandırma, güvenlik başlıkları (CSP, HSTS, çerçeveleme engeli) ve bağımlılık güncellemeleri.
• Yetkili personelin gizlilik taahhüdü, en az yetki ilkesi, veri ihlali müdahale planı ve yönetim panellerinde iki adımlı doğrulama.

Google LLC yalnızca demo talep formu için kullanılır; hasta verisi bu hizmet sağlayıcıya aktarılmaz. iyzico yalnızca Klinik'in abonelik ödemelerini işler.