Veri İşleme Sözleşmesi

1. Taraflar

Veri sorumlusu: Nerela hesabının sahibi olan ve danışanlarına ait hangi verilerin hangi amaçla işleneceğine karar veren uzman ya da klinik ("Veri Sorumlusu").

Veri işleyen: Estonya'da kurulmuş, kayıtlı merkezi Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estonya adresinde bulunan, KDV kimlik numarası EE102418024 olan ve Nerela hizmetini sunan LAGASTROEMIA VENTURES OÜ ("Nerela"). Kişisel verilerin korunmasına ilişkin iletişim: admin@nerela.eu.

2. Konu ve süre

Nerela, Veri Sorumlusunun Uygulama aracılığıyla girdiği veya topladığı kişisel verileri — başta danışanlarına ait olanlar olmak üzere, sağlık verileri de dahil — Veri Sorumlusu adına ve yalnızca Kullanım Şartları'nda tanımlanan hizmeti sunmak için işler. Veri türleri, ilgili kişi kategorileri ve işleme faaliyetleri Ek I'de açıklanmıştır.

Bu sözleşme, Veri Sorumlusunun Nerela hesabı olduğu sürece ve sonrasında Nerela'nın onun adına işlediği verileri sakladığı sürece yürürlükte kalır (bölüm 12).

Uzmanın kendi hesabına ait veriler (ad, e-posta, Nerela aboneliğinin fatura bilgileri) bu sözleşmenin kapsamında değildir: bu veriler bakımından, Gizlilik Politikası'nda açıklandığı gibi, veri sorumlusu Nerela'dır.

3. İşlemenin niteliği ve amacı

Nerela, Veri Sorumlusunun Uygulamanın işlevlerini kullanabilmesi için verileri barındırır, düzenler, saklar, görüntüler, iletir ve siler: ajanda ve randevular, danışan dosyaları, seans notları (ekli görseller dahil), faturalama, çevrim içi randevu ve hatırlatmalar ile, Veri Sorumlusu etkinleştirirse, isteğe bağlı modüller (WhatsApp hatırlatmaları, Sanal Sekreter ve kartla ödeme).

Nerela bu verileri kendi amaçları için işlemez: satmaz, üçüncü kişilere aktarmaz, reklam veya profilleme için kullanmaz ve yapay zekâ modellerini eğitmek için kullanmaz.

4. Veri Sorumlusunun talimatları

Nerela verileri, Avrupa Ekonomik Alanı (AEA) dışına aktarımlar da dahil olmak üzere, yalnızca Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işler (GDPR m. 28/3-a). Belgelenmiş talimatlar şunlardır: bu sözleşme, Kullanım Şartları, Veri Sorumlusunun Uygulamada yaptığı işlemler ve ayarlar (örneğin veri oluşturmak, değiştirmek, dışa aktarmak veya silmek ya da bir modülü etkinleştirmek) ve admin@nerela.eu adresine yazılı olarak ilettiği talepler.

Nerela bir talimatın GDPR'ı veya kişisel verilerin korunmasına ilişkin başka bir kuralı ihlal ettiği kanaatindeyse, bunu derhal Veri Sorumlusuna bildirir ve Veri Sorumlusu talimatı teyit edene ya da değiştirene kadar talimatın uygulanmasını durdurabilir.

Avrupa Birliği hukuku veya bir üye devletin hukuku Nerela'yı verileri başka bir şekilde işlemekle yükümlü kılarsa, Nerela işlemeden önce Veri Sorumlusunu bilgilendirir; ancak söz konusu hukuk, önemli kamu yararı gerekçesiyle bu bildirimi yasaklıyorsa bildirim yapılmaz.

Nerela personeli Veri Sorumlusunun hesabının içeriğine yalnızca Veri Sorumlusu talep ettiğinde (örneğin destek için), bir güvenlik veya işleyiş olayını çözmek için gerekli olduğunda ya da kanun gerektirdiğinde erişir.

5. Gizlilik ve meslek sırrı

Nerela, verileri işlemeye yetkili kişilerin, Nerela ile çalışmaları sona erdikten sonra da geçerli olmak üzere gizlilik taahhüdünde bulunmalarını veya uygun bir yasal gizlilik yükümlülüğü altında olmalarını ve verilere yalnızca hizmeti sunmak ya da desteklemek için gerekli ölçüde erişmelerini sağlar.

Nerela, Veri Sorumlusunun meslek sırrı yükümlülüğü altında olduğunu bilir ve tüm klinik bilgileri aynı özenle korur: bunları, Veri Sorumlusunun talimatı veya yasal bir yükümlülük olmadıkça kimseye açıklamaz.

6. İşleme güvenliği

Nerela, sağlık verilerinin işlenmesinin taşıdığı riske uygun olan Ek II'deki teknik ve idari tedbirleri uygular (GDPR m. 32). Hizmet geliştikçe bu tedbirleri eşdeğer veya daha iyi tedbirlerle değiştirebilir, ancak genel koruma düzeyini düşürecek şekilde asla değiştirmez.

7. Alt işleyenler

Veri Sorumlusu, Nerela'ya Ek III'te listelenen alt işleyenleri kullanması için genel yazılı izin verir (GDPR m. 28/2).

Nerela, bir alt işleyen eklemeden veya değiştirmeden en az 30 gün önce Veri Sorumlusunu e-postayla bilgilendirir ve Ek III'ü günceller. Nerela'nın sağlayıcılarından biri kendi zincirindeki bir değişikliği Nerela'ya daha kısa bir süre önce bildirirse, Nerela durumu öğrenir öğrenmez Veri Sorumlusunu bilgilendirir.

Veri Sorumlusu, değişiklik yürürlüğe girdiği tarihe kadar, kişisel verilerin korunmasıyla ilgili makul gerekçelerle yazılı olarak itiraz edebilir. Kabul edilebilir bir çözüm bulunamazsa (örneğin ilgili modülün kullanımına son vermek), Veri Sorumlusu hesabını bu tarihten önce herhangi bir cezai şart olmaksızın kapatabilir.

Nerela, her alt işleyene yazılı bir sözleşmeyle bu sözleşmedekilere eşdeğer veri koruma yükümlülükleri yükler (GDPR m. 28/4) ve bu yükümlülüklerin yerine getirilmesinden Veri Sorumlusuna karşı tam olarak sorumlu olmaya devam eder.

Veri Sorumlusunun kendisinin seçip sözleşme yaptığı ve Uygulamadan veri göndermesini istediği hizmetler Nerela'nın alt işleyeni değildir — örneğin bağlantısını girdiği görüntülü görüşme aracı, bağladığı sertifikalı faturalama programı veya Stripe hesabı, ADSE (Portekiz), ajandaya abone olduğu takvim uygulaması ya da rapor gönderdiği muhasebeci. Bunlar için Nerela yalnızca Veri Sorumlusunun belirttiği verileri, belirttiği zamanda iletir.

8. Uluslararası aktarımlar

Uygulamanın veritabanı, kimlik doğrulaması ve dosyaları Avrupa Birliği'nde (Paris, Fransa) barındırılır. Bazı alt işleyenler verileri AEA dışında, özellikle Amerika Birleşik Devletleri'nde işler: Ek III, her biri için verilerin nerede ve hangi güvenceyle işlendiğini gösterir.

Nerela kişisel verileri AEA dışına yalnızca GDPR'ın V. Bölümü'ndeki güvencelerden biriyle aktarır veya bir alt işleyenin aktarmasına yalnızca bu koşulla izin verir: Avrupa Komisyonu'nun bir yeterlilik kararı (sertifikalı şirketler için AB-ABD Veri Gizliliği Çerçevesi dahil), Avrupa Komisyonu'nun 2021/914 sayılı Uygulama Kararı ile onaylanan standart sözleşme hükümleri veya 46. maddede öngörülen başka bir uygun güvence.

WhatsApp ile bağlantılı aktarımlar (WhatsApp hatırlatmaları ve Sanal Sekreter) yalnızca Veri Sorumlusu bu işlevleri kullanırsa gerçekleşir.

9. İlgili kişilerin hakları

İlgili kişilerin talepleri (erişim, düzeltme, silme, kısıtlama, itiraz ve veri taşınabilirliği) Veri Sorumlusu tarafından yanıtlanır. Uygulama, Veri Sorumlusunun danışan verilerini doğrudan görüntülemesine, düzeltmesine ve silmesine olanak tanır: bir danışan silindiğinde randevuları, seans notları ve klinik görselleri de silinir; daha önce düzenlenmiş faturalar vergi yükümlülükleri nedeniyle saklanır ve bu faturalar da WhatsApp yazışmaları da dosyadan ayrılır. Veri taşınabilirliği için Veri Sorumlusu verileri 12. bölümde öngörüldüğü şekilde alabilir.

Bir ilgili kişi doğrudan Nerela'ya başvurursa, Nerela talebi gecikmeksizin ve en geç 5 iş günü içinde Veri Sorumlusuna iletir ve talebi kendisi yanıtlamaz; yalnızca talebin iletildiğini teyit eder.

Nerela, işlemenin niteliğini dikkate alarak, uygun teknik ve idari tedbirlerle ve mümkün olduğu ölçüde, bu talepleri yanıtlamasında Veri Sorumlusuna yardımcı olur (GDPR m. 28/3-e).

10. Kişisel veri ihlalleri

Nerela, Veri Sorumlusu adına işlediği verileri etkileyen her kişisel veri ihlalini, öğrendikten sonra gecikmeksizin, hesabın e-posta adresine yazarak Veri Sorumlusuna bildirir. [BEKLEMEDE: azami süre avukatla belirlenecek; öneri: 48 saat.]

Bildirim, Nerela'nın bildiği ölçüde, GDPR m. 33/3'te sayılan bilgileri içerir — ihlalin niteliği, etkilenen ilgili kişilerin ve kayıtların kategorileri ve yaklaşık sayısı, olası sonuçlar, alınan veya önerilen tedbirler ve bir irtibat noktası — ve inceleme ilerledikçe aşamalı olarak tamamlanır.

Nerela ihlali sınırlamak ve etkilerini azaltmak için derhal makul tedbirleri alır ve Veri Sorumlusuna kendi yükümlülüklerini yerine getirmesinde yardımcı olur: ihlali 33. maddedeki 72 saatlik süre içinde yetkili denetim makamına bildirmek ve risk yüksekse ilgili kişilere duyurmak (madde 34). Nerela, kanunen zorunlu olmadıkça, Veri Sorumlusunun talimatı olmadan onun adına makamlara veya ilgili kişilere bildirimde bulunmaz.

11. Veri Sorumlusuna yardım

Nerela, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, GDPR'ın 32 ila 36. maddelerindeki yükümlülüklerin yerine getirilmesinde Veri Sorumlusuna yardımcı olur: işleme güvenliği, kişisel veri ihlalleri, veri koruma etki değerlendirmesi ve denetim makamıyla ön danışma. Bu amaçla bu sözleşmeyi ve eklerini Veri Sorumlusunun kullanımına sunar, Uygulamanın işleyişine ilişkin makul soruları yanıtlar ve hizmetteki önemli değişiklikler hakkında Veri Sorumlusunu bilgilendirir.

12. Hizmetin sona ermesi: iade ve silme

Veri Sorumlusunun admin@nerela.eu adresine yazılı talebi üzerine Nerela, onun adına işlediği kişisel verilerin bir kopyasını, ekli dosyalar dahil, yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta 30 gün içinde kendisine teslim eder. Uygulama verilerin dışa aktarılmasına olanak tanıdığında (Ayarlar'daki gizlilik ve veriler bölümünden), Veri Sorumlusu verileri doğrudan da indirebilir; bu dışa aktarım verileri almanın bir yoludur ve bu yükümlülüğün yerine geçmez.

Veri Sorumlusu hesabı kapatmadan önce saklaması gerekenlerin bir kopyasını almalıdır — örneğin kanunun veya meslek kurallarının saklamasını zorunlu kıldığı klinik kayıtları ve faturaları.

Hizmet sona erdikten sonra Nerela, Veri Sorumlusu adına işlediği kişisel verileri mevcut kopyalar dahil olmak üzere siler; ancak Avrupa Birliği hukuku veya bir üye devletin hukuku verilerin saklanmasını gerektiriyorsa silmez. Veri Sorumlusu o zamana kadar bir kopya talep ederse, Nerela silmeden önce kopyayı teslim eder. Yedeklerde kalmaya devam eden veriler, silinene kadar hiçbir amaçla kullanılmaz. [BEKLEMEDE: süre belirlenecek; öneri: 30 gün ve buna ek olarak yedeklerin saklama döngüsü.]

13. Uyumun gösterilmesi ve denetimler

Nerela, bu sözleşmeye ve GDPR'ın 28. maddesine uyumu göstermek için gereken bilgileri — bu sözleşmeyi, alt işleyenler listesini ve Ek II'deki tedbirlerin açıklamasını — Veri Sorumlusunun kullanımına sunar ve makul sorularını yazılı olarak yanıtlar.

Nerela, Veri Sorumlusu tarafından veya onun yetkilendirdiği ve gizlilik yükümlülüğü altındaki bir denetçi tarafından yapılacak, yerinde incelemeler de dahil olmak üzere denetimlere izin verir ve katkıda bulunur. Bir kişisel veri ihlali veya bir denetim makamının talebi söz konusu olmadıkça denetimler en az 30 gün önceden yazılı olarak talep edilir, yılda en fazla bir kez ve masrafı Veri Sorumlusuna ait olmak üzere yapılır; diğer müşterilerin verilerine erişim sağlayamaz ve hizmetin güvenliğini tehlikeye atamaz.

14. Veri Sorumlusunun yükümlülükleri

Veri Sorumlusu, danışanlarının verilerini işlemek için geçerli bir hukuki dayanağı olduğunu — sağlık verileri için GDPR m. 9/2'deki şartlardan biri dahil — ve danışanlarını 13. ve 14. maddelere uygun olarak, alıcı kategorileri hakkında da bilgilendirdiğini taahhüt eder.

Hukuka uygun talimatlar verir, her verinin ne kadar süre saklanacağına kanuna ve meslek kurallarına uygun olarak karar verir ve Uygulamaya, meşru bir mesleki ilişkisi bulunmayan kişilerin verilerini girmez.

Kendi tarafındaki erişimi korur: giriş bilgilerini güvende tutar, ekibinden kimin hangi düzeyde erişimi olacağını yönetir ve Uygulamadan bilgi aldığı cihazları ve e-posta ya da WhatsApp hesaplarını korur. İsteğe bağlı modülleri etkinleştirip etkinleştirmeyeceğine, bunların Ek III'te açıklanan aktarımları gerektirdiğini bilerek karar verir.

15. Sorumluluk

Her taraf, ilgili kişilere karşı GDPR'ın 82. maddesi uyarınca sorumludur. Nerela verileri kendi amaçları için veya Veri Sorumlusunun hukuka uygun talimatlarına aykırı olarak işlerse, söz konusu işleme bakımından veri sorumlusu sayılır (GDPR m. 28/10). [BEKLEMEDE: Kullanım Şartları'nın 10. bölümündeki sorumluluk sınırlamasıyla uyumu avukatla gözden geçirilecek.]

16. Değişiklikler, öncelik ve uygulanacak hukuk

Nerela bu sözleşmeyi hizmetteki, alt işleyenlerdeki (bölüm 7) veya mevzuattaki değişiklikleri yansıtmak için güncelleyebilir. Önemli değişiklikler Veri Sorumlusuna e-postayla veya Uygulama içinde, makul bir süre önceden bildirilir.

Kişisel verilerin korunması konusunda bu sözleşme ile Kullanım Şartları arasında çelişki olması halinde bu sözleşme esas alınır.

Bu sözleşme GDPR'a ve uygulanacak üye devlet hukukuna tabidir. [BEKLEMEDE: uygulanacak hukukun ve yetkili mahkemenin seçimi avukatla kararlaştırılacak; Kullanım Şartları bugün böyle bir seçim yapmıyor.]

17. İletişim

Bu sözleşmeyle ilgili her türlü soru, verilerin bir kopyasını talep etmek veya bir güvenlik olayını bildirmek için Veri Sorumlusu admin@nerela.eu adresine yazabilir. [BEKLEMEDE: Nerela'nın bir veri koruma görevlisi (GDPR m. 37) ve olaylar için ayrı bir adres belirleyip belirlemeyeceğine karar verilecek.]

Ek I — İşlemenin tanımı

• İlgili kişiler: Veri Sorumlusunun danışanları (takip ettiği reşit olmayanlar dahil); Veri Sorumlusunun herkese açık randevu sayfasından randevu alan kişiler; Veri Sorumlusunun verilerini dosyaya veya faturalamaya kaydettiği kişiler (örneğin faturayı alan kişi); bu modül etkinse Sanal Sekreter'in yanıtladığı WhatsApp numarasına yazan kişiler; Veri Sorumlusunun ekibindeki uzmanlar ve diğer üyeler; ve Veri Sorumlusunun rapor gönderdiği muhasebeci.
• Kimlik ve iletişim verileri: ad, baş harfler, e-posta, telefon, adres ve vergi bilgileri (vergi kimlik numarası ile fatura adı ve adresi).
• İdari veriler: randevular (tarih, saat, süre, hizmet, yüz yüze veya çevrim içi olması, oda, uzman ve durum), katılım ve gelmeme durumları, ödemeler ve faturalar, geri ödeme için sigorta veya kurum, atanan uzman ve danışanın nereden geldiği.
• Sağlık verileri (özel nitelikli veri, GDPR m. 9): seans notları ve ekli görseller, klinik geçmiş, dosyaya kaydedilen uyarı işaretleri ve sonraki adımlar ile Veri Sorumlusunun girdiği diğer tüm klinik bilgiler. Birinin bir psikoloğun danışanı olması bile sağlık bilgisi ortaya koyabilir.
• İletişimler: danışanlara e-postayla gönderilen hatırlatmalar, davetler ve faturalar ile, Veri Sorumlusu WhatsApp kullanıyorsa, WhatsApp mesajları (hatırlatmalar ve Sanal Sekreter ile yazışmalar).
• Teknik veriler: sunucunun erişim ve hata kayıtları.
• İşleme faaliyetleri: toplama (Veri Sorumlusu tarafından veya randevu sayfası aracılığıyla), kaydetme, düzenleme, saklama, sorgulama, görüntüleme, belge oluşturma (faturalar ve raporlar), e-posta ve mesaj gönderme, dışa aktarma ve silme.
• Amaç: Veri Sorumlusuna Kullanım Şartları'nda tanımlanan yönetim hizmetini sunmak.
• Süre ve saklama: hesap var olduğu sürece ve sonrasında 12. bölüme göre. Hesap aktifken her verinin ne kadar süre saklanacağına Veri Sorumlusu karar verir ve verileri Uygulamadan silebilir.
• Konum: veritabanı, kimlik doğrulama ve dosyalar Avrupa Birliği'nde (Paris, Fransa); Uygulamanın sunucu fonksiyonları da Paris'te çalışır. Statik kaynaklar ve isteklerin yönlendirilmesi Vercel'in küresel ağından geçer; AEA dışındaki işlemeler Ek III'te yer alır.
• Sıklık: Veri Sorumlusu Uygulamayı kullandığı sürece sürekli.

Ek II — Teknik ve idari tedbirler

Bugün Uygulamada mevcut olan tedbirler. Nerela bunları hizmet her değiştiğinde yeniden gözden geçirir.

• Aktarım sırasında şifreleme: Uygulama ile tüm iletişim HTTPS (TLS) üzerinden yapılır; HSTS etkin olduğu için tarayıcı şifrelenmemiş bağlantıları reddeder.
• Veritabanının kendi içinde hesaplar arası ayrım: müşteri verilerini içeren tablolarda PostgreSQL'in Row Level Security (RLS) politikaları vardır; bunlar yalnızca kullanıcının ait olduğu hesapların satırlarının okunmasına ve yazılmasına izin verir. Ayrım yalnızca Uygulamanın koduna bağlı değildir.
• Hesap içindeki erişim düzeyleri (hesap sahibi, yönetici ve ekip üyesi): dosyalar, randevular ve seans notları veritabanında uygulanan tek bir kurala tabidir — hesap sahibi ve yöneticiler her şeyi görür; bir ekip üyesi kendisine atanan danışanları ve hesap izin veriyorsa ekiple paylaşılanları görür. Faturalama, giderler ve WhatsApp yazışmaları hesap sahibi ile yöneticilere, harici hizmetlerin giriş bilgileri ise hesap sahibine ayrılmıştır.
• Klinik görseller, hesap bazında düzenlenmiş ve RLS ile korunan özel bir depolama alanında tutulur; yalnızca 12 saat sonra süresi dolan imzalı bağlantılarla görüntülenir.
• Veri Sorumlusunun bağladığı harici hizmetlerin giriş bilgileri (sertifikalı faturalama programı, ADSE) veritabanında şifrelenmiş olarak saklanır (pgcrypto); şifreleme anahtarı veritabanının dışında tutulur.
• Herkese açık giriş noktalarında ve gönderimlerde (çevrim içi randevu, muhasebeciyle paylaşılan bağlantılar, herkese açık demo, WhatsApp ve e-posta gönderimleri) sıklık sınırları uygulanır; sayaçlar veritabanında tutulur.
• Ödeme ve WhatsApp sağlayıcılarından gelen webhook'lar yalnızca geçerli bir imzayla kabul edilir; zamanlanmış görevler bir gizli anahtar gerektirir.
• Güvenlik başlıkları: Uygulama başka web sitelerine gömülemez; tarayıcıya HSTS, nosniff, bir yönlendiren (referrer) politikası ve kamera, mikrofon ve konumu engelleyen bir izin politikası gönderilir.
• Uygulamadan çıkan verilerin en aza indirilmesi: abone olunan takvim yalnızca genel bir başlık gösterir, asla danışanın adını göstermez; görüntülü görüşme bağlantısı rastgele, iptal edilebilir ve randevu zamanıyla sınırlı bir koddur ve danışanın adını ya da notları açığa çıkarmaz.
• RLS'yi atlayan veritabanı hizmet anahtarı yalnızca sunucuda bulunur ve hiçbir zaman tarayıcıya ulaşmaz. Anahtarlar ve gizli bilgiler barındırma hizmetinin ortam değişkenlerinde tutulur, asla kodda tutulmaz.
• Hata izleme (etkinse) gönderimden önce filtrelenir: istek gövdesi, parametreler, çerezler, kullanıcı kimliği veya oturum kaydı gönderilmez; ayrıca hata metinlerinden e-posta adreslerini, telefon numaralarını ve vergi numaralarını otomatik olarak çıkarma girişimi yapılır.
• Uygulamada reklam ve üçüncü taraf analiz aracı yoktur.
• Sanal Sekreter (etkinse): mesaj gönderen kişinin yazdıkları sistem talimatlarından ayrı tutulur ve ajanda üzerindeki işlemler yalnızca, tam uluslararası numarasıyla tanınan gönderenin kendi randevularını etkileyebilir.
• Gerçek silme: bir danışanın silinmesi, depolamadaki dosyalar dahil olmak üzere randevularını, seans notlarını ve klinik görsellerini de siler.
• Nerela personelinin erişimi: Uygulama içinde yalnızca platform yöneticilerinin dahili işlevleri vardır. Destek vermek için bir müşterinin hesabına girmek yalnızca bu yetkiyle mümkündür ve her giriş, Uygulama üzerinden değiştirilemeyen veya silinemeyen bir kayda işlenir.
• Verileri işleyen kişilerin gizlilik yükümlülüğü (bölüm 5) ve hesap içeriğine yalnızca 4. bölümdeki durumlarda erişim.
• Kişisel veri ihlalleri dahil olaylara müdahale için yazılı bir iç prosedür.
• Yedekler: veritabanı sağlayıcısının, Nerela'nın abone olduğu plan kapsamında aldığı yedekler. [BEKLEMEDE: Supabase planı ile yedeklerin sıklığı ve saklama süresi teyit edilecek.]

Ek III-A — Danışan verilerini işleyen alt işleyenler

9 Ekim 2026 itibarıyla liste. Konumlar ve güvenceler, her sağlayıcının kamuya açık belgelerinde belirtilenlerdir.

Ek III-B — Danışan verisi işlemeyen sağlayıcılar

Veri Sorumlusunun hizmete başka kimlerin dahil olduğunu bilmesi için burada listelenmiştir. Bu sağlayıcılar uzmanın kendisine ait verileri işler; bu veriler bakımından veri sorumlusu Nerela'dır.