Veri İşleme Sözleşmesi

1. Kapsam ve roller

Bu Veri İşleme Sözleşmesi (“VİS”) Şartlara dâhildir. WAdoc’un veri sorumlusu Müşteri adına veri işleyen olarak Müşteri Verilerini işlediği sürece uygulanır; abonelik, dışa aktarma, saklama ve silme dönemlerinde devam eder.

2. İşleme ayrıntıları

Konu: WAdoc’un sağlanması, güvenliği ve desteği. Nitelik ve amaç: Şartlar ile Müşterinin uygulama içi yapılandırmasına göre Müşteri Verilerinin barındırılması, düzenlenmesi, iletilmesi, yedeklenmesi, geri yüklenmesi, gösterilmesi ve silinmesi. Veriler kimlik, iletişim, randevu, katılım, hizmet, idari not, belge, mesaj, izin ve sağlıkla ilgili bilgileri içerir. İlgili kişiler Hastalar, veliler/vasiler, Kullanıcılar ve Müşteri personelidir.

3. Talimatlar ve gizlilik

WAdoc, kanun aksini gerektirmedikçe Müşteri Verilerini yalnızca Şartlar, Sipariş Formu ve Müşterinin uygulama içi yapılandırmasındaki belgelenmiş talimatlarla işler. Hukuken yasak değilse zorunlu işlemeden önce Müşteriyi bilgilendirir ve talimatın veri koruma hukukunu ihlal ettiğini düşünürse bildirir.

Müşteri Verilerini işlemeye yetkili personel gizlilikle bağlıdır ve yalnızca ihtiyaç ölçüsünde erişir.

4. Güvenlik önlemleri

WAdoc rol tabanlı erişim, doktor düzeyinde hasta kapsamı, ayrıcalıklı roller için MFA, aktarım sırasında şifreleme, özetlenmiş oturum belirteçleri, CSRF koruması, denetim kaydı, yedekler, geri yükleme sonrası silme günlüğü uygulaması, WhatsApp mesaj metninin 30 gün sonra karartılması ve klinik anlık görüntülerinin 30 gün sonra sona ermesini sürdürür. Genel koruma esaslı biçimde azaltılmadan önlemler geliştirilebilir.

5. Destek erişimi

WAdoc personeli Müşteri Verilerine yalnızca açık destek talebi veya güvenlik ya da hukuki ihtiyaç için, kayıtlı gerekçesi bulunan açık vaka kapsamında erişir. Erişim dört saat sonra sona erer, kaydedilir ve Müşteri tarafından görülebilir.

6. Alt işleyenler

Müşteri aşağıdaki alt işleyenlere genel yetki verir. WAdoc güncel listeyi yayımlar ve yeni ya da değişen alt işleyeni 30 gün önce bildirir. Müşteri bu sürede makul veri koruma gerekçesiyle itiraz edebilir. İtiraz çözülemezse Müşteri değişiklikten önce etkilenen Hizmeti feshedebilir. WAdoc alt işleyen yükümlülüklerinden sorumlu kalır.

• Amazon Web Services — barındırma, veri tabanı, yedekler, dosyalar ve kendi barındırılan kimlik hizmeti; barındırma bölgesi privacy@wadoc.online adresine yapılan talep üzerine bildirilir.
• Cloudflare — uç dağıtım, TLS ve güvenlik.
• Meta Platforms — bağlantı kuran Müşteriler için WhatsApp.
• Stripe — yalnızca faturalandırma; hasta verisi yoktur.
• Brevo — işlemsel e-posta; hasta kaydı yoktur.
• Google — yalnızca tercih eden Kullanıcılar için personel girişi.

7. Yardım ve olaylar

WAdoc, işlemenin niteliğini dikkate alarak ilgili kişi talepleri, güvenlik yükümlülükleri, veri koruma etki değerlendirmeleri ve düzenleyici görüşmelerinde Müşteriye yardım eder. Veri sorumlusu olarak yanıt sorumluluğu Müşteridedir.

WAdoc kişisel veri ihlalini öğrendikten sonra gecikmeksizin ve her hâlde 48 saat içinde Müşteriye bildirir; değerlendirme ve bildirim yükümlülükleri için mevcut bilgileri sağlar.

8. Uluslararası aktarımlar ve KVKK

Uluslararası aktarımlar gerektiğinde Standart Sözleşme Maddeleri dâhil GDPR Madde 44–49 güvencelerini kullanır. Türkiye’deki kişisel veriler aktarılırken uygulanabilir KVKK Madde 9 mekanizması kullanılır. WAdoc KVKK Madde 12 kapsamındaki veri işleyen güvenlik yükümlülüklerini yerine getirir.

9. İade, silme ve geçiş

Fesihte Müşterinin 30 gün salt okunur erişimi olur. WAdoc talep üzerine Müşteri Verilerini yapılandırılmış, yaygın kullanılan ve makinece okunabilir biçimde sağlar. Kanuni saklama zorunluluğu yoksa canlı sistemlerden sonraki 30 günde, yedeklerden de en geç 30 günlük sona erme süresinde siler. Talep üzerine yazılı teyit verir.

AB Veri Yasası Bölüm VI uygulandığında WAdoc 30 güne kadar geçiş, en fazla iki aylık geçiş bildirimi ve geçiş ücreti olmamasını sağlar.

10. Bilgi ve denetimler

WAdoc bu VİS’e uyumu göstermek için makul ölçüde gerekli bilgileri sağlar. Müşteri belgeleri inceleyebilir ve olay ya da düzenleyici aksini gerektirmedikçe yılda en fazla bir kez, en az 30 gün bildirimle ve masrafları kendisine ait olmak üzere makul yerinde denetim yapabilir. Denetim diğer müşterileri, güvenliği ve gizliliği korumalı, makul olmayan kesintiye yol açmamalıdır.