Gizlilik Politikası

1. Veri sorumlusu kimdir

Hesap verileriniz (Nerela hesabı olan bir uzman ya da klinikseniz — ad, e-posta, aboneliğinizin faturalama bilgileri) ile web sitelerimizi (nerela.eu ve nerela.lat) ziyaret edenlerin verileri için veri sorumlusu, kayıtlı merkezi Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estonya adresinde bulunan ve KDV kimlik numarası EE102418024 olan LAGASTROEMIA VENTURES OÜ'dür. Herhangi bir veri koruma konusunda bizimle admin@nerela.eu adresinden iletişime geçebilirsiniz.

Bir uzmanın Uygulamaya girdiği danışan verileri (danışan dosyası, seans notları, randevular) için veri sorumlusu, uzmanın ya da kliniğin kendisidir — hangi verileri, neden topladığına o karar verir. Nerela burada veri işleyen olarak hareket eder; bu verileri yalnızca hizmeti sunmak için ve uzmanın talimatları doğrultusunda işler, asla kendi amaçlarımız için değil.

2. Hangi verileri işliyoruz

• Uzmanın hesap verileri: ad, e-posta, telefon, hesap türü (bağımsız/klinik), tercih edilen dil.
• Abonelik faturalama verileri: vergi kimlik numarası, faturalama adresi, IBAN (kendi Nerela planınız için).
• Uzman tarafından girilen danışan verileri: ad, iletişim bilgileri (e-posta/telefon), adres, randevu verileri ve — en hassas kategori olarak — klinik seans notları.
• Asgari teknik veriler: 9. bölümde açıklandığı şekilde temizlenen sunucu erişim ve hata kayıtları.
• Web sitelerimizi (nerela.eu ve nerela.lat) ziyaret edenlerin verileri: geldiğiniz kampanya ya da bağlantı ve yalnızca reklamı kabul ederseniz tarayıcı tanımlayıcıları ile ziyaret olayları (sayfayı görüntüleme, kayıt düğmesine ya da WhatsApp düğmesine basma); 11. bölümde açıklandığı şekilde.
• Yalnızca halka açık web sitemizde pazarlama çerezlerini kabul ettiyseniz: hesabınızı oluşturduğunuzda Meta'ya gönderdiğimiz veriler (geri döndürülemez bir parmak izine — SHA-256 özetine — dönüştürülmüş e-postanız ve telefonunuz, IP adresiniz, tarayıcınızın kullanıcı aracısı ve tarayıcınıza ile tıklamanıza ait Meta tanımlayıcıları). Bunlar hiçbir danışan verisi içermez.

3. Sağlık verileri: hukuki dayanak ve özel özen

Seans notları ve her türlü klinik bilgi, GDPR'ın 9. maddesi kapsamında "özel nitelikli veri" sayılır. Uzman (danışanına karşı veri sorumlusu olarak) geçerli bir hukuki dayanağa sahip olduğundan emin olmalıdır — tipik olarak danışanın açık rızası ya da terapötik takibin kendisinin gerekliliği (9. madde, 2. fıkra, bent a veya h).

Bizim tarafımızda, bu verileri uzman başına teknik izolasyonla (Supabase'te Row Level Security — her uzman, veritabanı düzeyinde yalnızca kendi danışanlarına erişebilir) ve 9. bölümde açıklanan hata izleme sistemimizdeki temizleme politikasıyla koruyoruz.

4. İşlemenin amaçları ve hukuki dayanağı

• Hizmeti sunmak (takvim, dosyalar, notlar, faturalama, online randevu) — sizinle yapılan sözleşmenin ifası.
• Aboneliğinizi ve faturalamanızı işlemek — sözleşmenin ifası ve yasal vergi yükümlülüklerine uyum.
• Uzmanın talebi üzerine danışanlara e-posta/WhatsApp ile randevu hatırlatmaları göndermek — uzman ile danışan arasındaki sözleşmenin, Nerela'nın veri işleyen olarak aracılığıyla ifası.
• Güvenlik ve hata tespiti — hizmeti güvenilir ve güvenli şekilde çalışır tutmakta meşru menfaat, kişisel verilerin temizlenmesiyle birlikte (9. bölüm).
• Reklamlarımızı Google ve Meta'da ölçmek ve optimize etmek — rızanız (GDPR 6. madde, 1. fıkra, bent a ve çerezler bakımından ePrivacy kuralları); web sitesinin altbilgisindeki “Çerezler” bağlantısından istediğiniz zaman geri çekebilirsiniz.
• Her kaydın hangi kampanya ya da bağlantıdan geldiğini bilmek — Çerez Politikası'nda açıklanan kendi ölçüm çerezleriyle; kendi reklamlarımızın etkinliğini bu verileri üçüncü kişilerle paylaşmadan ölçmekte meşru menfaat.

5. Verileri ne kadar süre sakladığımız

Hesabınız etkin olduğu sürece, hizmeti sunmak için gerekli verileri saklarız. İptal ettikten sonra, bunları makul bir süre içinde sileriz ya da anonimleştiririz; daha uzun süre saklamak için yasal bir yükümlülük olması durumu hariç (örneğin, aboneliğinizin vergi belgelendirmesi).

Danışanlarınızın klinik kayıtlarının, kanunla ve mesleki kuruluşunuzun kurallarıyla belirlenen kendi saklama süreleri vardır. Bu verilerin veri sorumlusu olarak, bu sürelere uymak size düşer: hesabın ömrünün ötesinde bilgi saklamanız gerekiyorsa, iptal etmeden önce bizimle konuşun (admin@nerela.eu).

6. Verileri kimlerle paylaşıyoruz (alt işleyenler)

Verileri kimseye satmıyoruz. Verileri yalnızca hizmeti işletmek için ihtiyaç duyduğumuz sağlayıcılarla paylaşırız; her biri kendi veri koruma taahhüdüne sahiptir — bu sayfanın sonundaki tabloya bakın. Meta bir veri işleyen değildir ve bu yüzden tabloda yer almaz: web sitesinde reklamı kabul ederseniz piksel verilerini veri sorumlusu olarak alır (11. bölüm).

7. Uluslararası aktarımlar

Nerela'ya kaydettiğiniz klinik veriler — danışan dosyaları, randevular, seans notları ve ekli görseller — Supabase'te (veritabanı, kimlik doğrulama ve dosya depolama), AB'nin Paris bölgesinde, Fransa'da (eu-west-3) barındırılır. Uygulamanın sunucu kodu Vercel'de, yine Paris'te (cdg1 bölgesi) çalışır; statik kaynaklar ve isteklerin yönlendirilmesi Vercel'in küresel ağından geçer.

Bazı sağlayıcılar verileri Amerika Birleşik Devletleri'nde işler ve bunu hiç yokmuş gibi göstermek yerine açıkça söylemeyi tercih ediyoruz. Resend, Uygulamanın e-postalarını (randevu hatırlatmaları ve davetleri, faturalar, muhasebeciniz için raporlar ve size gönderilen bildirimler) gönderir ve bu verileri Amerika Birleşik Devletleri'nde işler. Twilio yalnızca WhatsApp kullanırsanız (WhatsApp hatırlatmaları veya Sanal Sekreter) devreye girer ve mesajları varsayılan bölgesi olan Amerika Birleşik Devletleri'nde işler. Stripe, aboneliğinizi ve etkinleştirirseniz danışanlarınızın kart ödemelerini İrlanda'dan, Amerika Birleşik Devletleri'ne aktarımlarla tahsil eder. Anthropic yalnızca Sanal Sekreter'i etkinleştirirseniz devreye girer: WhatsApp yanıtlarını yazan yapay zeka modelinin o konuşmanın mesajlarını okuması gerekir. Bu sağlayıcıların hiçbiri seans notlarınızı almaz.

Hata izlemeyi (Sentry) etkinleştirirsek, sunucumuzdan çıkmadan önce filtrelenen hata raporları (9. bölüm) projenin bölgesine göre Amerika Birleşik Devletleri'nde işlenebilir. AEA dışına yapılan her aktarım GDPR'ın V. bölümündeki bir güvenceye dayanır — AB-ABD Veri Gizliliği Çerçevesi veya Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Hükümleri — ve bu güvence bu sayfanın sonundaki tabloda belirtilir.

Web sitesinde reklamı kabul ederseniz, Meta Platforms Ireland Limited (İrlanda) Meta pikselinin verilerini (11. bölüm) alır ve bunları Amerika Birleşik Devletleri'ne aktarabilir; bu aktarım GDPR'ın V. bölümündeki bir güvenceye dayanır: AB-ABD Veri Gizliliği Çerçevesi veya Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Hükümleri.

8. Haklarınız

Nerela hesabı olan bir uzmansanız ya da onu kullanan bir uzmanın danışanıysanız, kişisel verilerinize erişme, bunları düzeltme, silme, işlemeyi sınırlama, itiraz etme ve taşınabilirlik haklarına sahipsiniz. Danışansanız, talebiniz normalde önce uzmanınıza (klinik verilerinizin veri sorumlusu) yöneltilmelidir; biz bu talebe teknik destek sağlarız.

Bu hakları mesleki hesabınızın verileri üzerinde kullanmak için admin@nerela.eu adresine yazın. Danışanlarınızın verilerini doğrudan Uygulamada görüntüleyebilir, düzeltebilir ve silebilirsiniz. Veri taşınabilirliği için, bu seçenek hesabınızda kullanılabilir olduğunda verileri Ayarlar'daki gizlilik ve veriler bölümünden dışa aktarabilir ya da admin@nerela.eu adresinden bizden bir kopya isteyebilirsiniz; kopyayı 30 gün içinde, yapılandırılmış ve yaygın olarak kullanılan bir formatta size göndeririz.

9. Güvenlik ve hata izleme

Aktarım halindeki veriler her zaman şifrelenerek (HTTPS/TLS) yolculuk eder. Uzmanlar arasındaki izolasyon, yalnızca uygulamada değil, veritabanı düzeyinde (Supabase'te Row Level Security) sağlanır.

Sentry'yi (hata izleme) etkinleştirirsek, bu, sıkı bir gizlilik politikasıyla yapılandırılır: istek gövdelerini, sorgu parametrelerini, oturum çerezlerini ya da seans notu içeriğini göndermeyiz. Oturum kaydı ("session replay") ya da herhangi bir görsel ekran yakalama kullanmayız. Hata mesajları, sunucumuzdan çıkmadan önce e-postaları, telefon numaralarını ve vergi kimlik numaralarını otomatik olarak kaldırmaya çalışan bir filtreden geçer.

10. Küçükler

Nerela, uzmanlar için bir araçtır, küçük yaştaki danışanlar tarafından doğrudan kullanılmak için değil. Küçük yaştaki danışanların verileri, terapötik ilişkiye uygulanan aynı hukuki dayanak altında, onların takibinden sorumlu uzman tarafından işlenebilir.

11. Web sitelerimizin ziyaretçileri: reklam ve ölçüm

nerela.eu ve nerela.lat'ta — halka açık site; app.nerela.eu uygulamasında reklam yoktur — veri sorumlusu 1. bölümdeki şirkettir. İzniniz olmadan yalnızca hangi kampanyadan ya da bağlantıdan geldiğinizi saklarız (Çerez Politikası'nda açıklanan nerela_attrib ve nerela_utm çerezleri); böylece her kaydı neyin getirdiğini biliriz.

Çerez bildiriminde reklamı kabul ederseniz, reklamlarımızı Google Ads ve Meta pikseli (Facebook ve Instagram) ile ölçer ve optimize ederiz. Meta pikseli yalnızca siz reklamı kabul ettikten sonra yüklenir ve Meta'ya tarayıcı tanımlayıcılarınızı (_fbp ve _fbc çerezleri ve bir reklamdan geliyorsanız Facebook tıklama tanımlayıcısı), IP adresinizi, tarayıcınızı, ziyaret ettiğiniz sayfayı ve ziyaret olaylarını gönderir: sayfayı görüntüleme, kayıt düğmesine basma ya da WhatsApp düğmesine basma. Meta'ya uygulamadan hiçbir şey ve hiçbir danışan verisi göndermeyiz. Hukuki dayanak rızanızdır (GDPR 6. madde, 1. fıkra, bent a); bunu web sitesinin altbilgisindeki “Çerezler” bağlantısından istediğiniz zaman, daha önce yapılan işlemeyi etkilemeden geri çekebilirsiniz.

Reklamı kabul ettiyseniz ve ardından bir hesap oluşturursanız, sunucumuz Meta'ya kayıt olduğunuzu — hiçbir klinik veri olmadan — bildirebilir, böylece kaydı hangi reklamın getirdiğini ölçebiliriz: bunun için yukarıdaki tarayıcı tanımlayıcılarını ve hesabın iletişim bilgilerini, sunucumuzdan çıkmadan önce hash ile şifrelenmiş olarak kullanır. Reklamı kabul etmediyseniz hiçbir şey gönderilmez.

Meta bizim veri işleyenimiz değildir: piksel verileri bakımından Meta, işlemenin aşamasına göre bağımsız olarak ya da bizimle birlikte veri sorumlusu olarak hareket eder ve bu verileri kendi koşulları ve gizlilik politikası uyarınca işler. Bu bölümdeki veriler üzerindeki haklarınızı kullanmak için admin@nerela.eu adresine yazın.

12. Bu politikada yapılacak değişiklikler

Hizmetteki ya da yürürlükteki kanundaki değişiklikleri yansıtmak için bu politikayı güncelleyebiliriz. Önemli değişiklikler, e-posta yoluyla ya da Uygulama içinde bir bildirimle iletilir.

13. Denetim otoritesi

Diğer herhangi bir idari ya da yargısal yola halel gelmeksizin, yetkili denetim otoritesine şikâyette bulunma hakkına sahipsiniz — Portekiz'de Comissão Nacional de Proteção de Dados (CNPD); İspanya'da Agencia Española de Protección de Datos (AEPD).

14. İletişim

Bu politika ya da verilerinizin nasıl işlendiği hakkında herhangi bir sorunuz için admin@nerela.eu adresine yazın. 1. bölümde adı geçen aynı şirkete yazmış olursunuz.