Gizlilik Politikası

2.1. Bu Politika üç grubu kapsar: siteyi ziyaret edenler (“Ziyaretçi”), bir klinik adına hesap açan veya hesaba davet edilen klinik sahibi, hekim ve personel (“Kullanıcı”) ve bir kliniğin çevrimiçi randevu sayfasından randevu alan ya da kliniğin kaydını tuttuğu kişiler (“Hasta”).

2.2. Ziyaretçi ve Kullanıcı verileri bakımından veri sorumlusu Clinigim’dir. Hasta verileri bakımından veri sorumlusu, verileri toplayan ve işleme amaçlarını belirleyen kliniktir; Clinigim bu verileri yalnızca kliniğin talimatıyla ve veri işleyen sıfatıyla işler. Bu ilişki klinikle aramızdaki Veri İşleme Sözleşmesi ile düzenlenir. Hasta verilerinize ilişkin sorular ve talepler için öncelikle hizmet aldığınız kliniğe başvurmanız gerekir; biz kliniğe bu konuda destek oluruz.

Kullandığınız hizmete göre aşağıdaki kişisel veriler işlenir:

• Ziyaretçi verileri: IP adresi, tarayıcı ve cihaz bilgisi, istek zamanı ve ziyaret edilen sayfalar (sunucu kayıtları); iletişim veya deneme formlarına girdiğiniz ad, e-posta ve klinik bilgisi; yalnızca izin verirseniz bizi hangi sayfa veya bağlantıdan bulduğunuz (ilk sayfa, yönlendiren adres ve kampanya etiketleri).
• Hesap verileri: ad, kullanıcı adı, e-posta, telefon, unvan ve isteğe bağlı fotoğraf; klinik adı, branş, adres ve ülke; rol ve yetkiler; giriş kayıtları (zaman, IP adresi, cihaz ve tarayıcı bilgisi); iki adımlı doğrulama ve güvenilen cihaz kayıtları; açık oturumlar; dil ve görünüm tercihleri.
• Abonelik ve fatura verileri: seçilen paket ve dönem, ödeme durumu, fatura bilgileri (unvan, adres, vergi bilgileri), ödeme kuruluşunun ilettiği işlem sonucu, kart markası ve kartın son dört hanesi ile kartı kaydetmeyi seçerseniz ödeme kuruluşunun verdiği saklama anahtarı. Kart numarası, son kullanma tarihi ve güvenlik kodu, Türkiye’de yetkili ödeme kuruluşu iyzico’nun (iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) güvenli sayfasında alınır; Clinigim’e ulaşmaz ve sunucularımızda saklanmaz.
• Destek verileri: e-posta veya uygulama içinden ilettiğiniz mesajlar, ekleri ve yazışma geçmişi.
• Kullanım ve denetim kayıtları: uygulama içinde yapılan işlemlerin kim tarafından ve ne zaman yapıldığına ilişkin kayıtlar (kliniğin kendi denetim kaydı), hata ve performans kayıtları.
• Mobil uygulama verileri: cihaz modeli, işletim sistemi ve uygulama sürümü, anlık bildirim için cihaz belirteci; klinik logosu veya personel fotoğrafı seçtiğinizde yalnızca seçtiğiniz görsel. Konum, rehber ve mikrofon erişimi istenmez.
• Hasta verileri (klinik adına): kliniğin girdiği veya randevu sayfasından ilettiğiniz kimlik ve iletişim bilgileri, randevu, tedavi ve tahsilat kayıtları, klinik notlar, sağlık bilgileri formu yanıtları, yüklenen dosyalar, onay ve iletişim tercihi kayıtları.

4.1. Kişisel veriler; internet sitesi, web ve mobil uygulama, çevrimiçi randevu sayfası, e-posta ve destek kanalları aracılığıyla, sizin girdiğiniz bilgilerden ve hizmetin çalışması sırasında otomatik olarak oluşan kayıtlardan, elektronik ortamda, kısmen veya tamamen otomatik yollarla toplanır.

Kişisel veriler aşağıdaki amaçlarla ve KVKK’nın 5. maddesinde (GDPR’ın 6. maddesinde) yer alan hukuki sebeplere dayanılarak işlenir:

• Hesabın açılması, hizmetin sunulması, abonelik ve faturalandırma — sözleşmenin kurulması ve ifası.
• Kimlik doğrulama, iki adımlı doğrulama, oturum yönetimi, dolandırıcılık ve kötüye kullanımın önlenmesi, hizmetin ve verilerin güvenliği — meşru menfaat ve veri güvenliği yükümlülüğü.
• Fatura, muhasebe ve vergi kayıtlarının tutulması, yetkili makamların hukuka uygun taleplerinin karşılanması — hukuki yükümlülük.
• Destek taleplerinin yanıtlanması, hizmete ilişkin zorunlu bildirimlerin (güvenlik, ödeme, sözleşme değişikliği) yapılması — sözleşmenin ifası ve meşru menfaat.
• Hizmetin iyileştirilmesi için, hasta verisi içermeyen, kümülatif ve kişiyi belirlemeyen kullanım istatistiklerinin üretilmesi — meşru menfaat.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (m. 5/2-e): uyuşmazlık ve ispat amacıyla saklanan destek yazışmaları, denetim ve onay kayıtları.
• Pazarlama ölçümü (bizi hangi kanaldan bulduğunuz) — yalnızca çerez penceresindeki izninizle; ürün duyuruları ve kampanya iletileri — yalnızca açık rızanızla (Ticari Elektronik İleti Metni).
• Google Takvim senkronu — yalnızca siz bağladığınızda, açık rızanızla.

6.1. Sağlık verileri özel nitelikli kişisel veridir. Hastalara ait verileri toplayan, işleme amaçlarını belirleyen ve KVKK’nın 6. maddesi ile Kişisel Sağlık Verileri Hakkında Yönetmelik kapsamındaki yükümlülükleri taşıyan veri sorumlusu kliniktir. Hastaların aydınlatılması ve gereken hâllerde açık rızalarının alınması kliniğin sorumluluğundadır.

6.2. Clinigim bu verileri yalnızca kliniğin talimatıyla, hizmeti sunmak için işler; kendi amaçları için kullanmaz, satmaz ve reklam amacıyla işlemez. Erişim yetkiye bağlıdır, klinikler teknik olarak birbirinden ayrıştırılmıştır ve serbest metin klinik notları şifreli saklanır.

6.3. Çevrimiçi randevu sayfasından ilettiğiniz bilgiler randevu aldığınız kliniğe iletilir ve kliniğin kayıtlarına girer; bu bilgiler bakımından veri sorumlusu kliniktir. Randevu sayfasında sayfayı yayımlayan klinik gösterilir ve klinik adına hazırlanmış Randevu Sayfası Aydınlatma Metnine bağlantı verilir; kliniğin ayrıca kendi aydınlatma metni varsa o metin esas alınır.

7.1. Sitede ve uygulamada yalnızca hizmetin çalışması için zorunlu çerezler, cihazınızda tutulan arayüz tercihleri ve izin verirseniz pazarlama ölçümü kaydı kullanılır. Reklam çerezi ve üçüncü taraf izleme kullanılmaz; yazı tipleri kendi sunucularımızdan sunulur.

7.2. Çerezlerin adı, amacı ve süresi ile tercihlerinizi nasıl yöneteceğiniz Çerez Politikası’nda açıklanır. Tercihinizi her sayfanın alt bilgisindeki “Çerez tercihleri” bağlantısından istediğiniz zaman değiştirebilirsiniz.

8.1. Ürün duyuruları ve kampanya iletileri yalnızca 6563 sayılı Kanun uyarınca verdiğiniz açık onayla gönderilir; Clinigim, ticari elektronik ileti göndermeden önce onay kayıtlarını mevzuat gereği İleti Yönetim Sistemi’ne (İYS) de kaydetmekle yükümlüdür. Her iletide ret bağlantısı bulunur; onayınızı istediğiniz zaman geri alabilirsiniz. Ayrıntılar Ticari Elektronik İleti Aydınlatma ve Onay Metni’nde yer alır.

8.2. Hizmetin işleyişine ilişkin bildirimler (doğrulama kodu, güvenlik uyarısı, ödeme ve fatura bilgisi, sözleşme değişikliği, silme takvimi uyarısı) ticari ileti değildir, tanıtım içermez ve onaya bağlı olmaksızın gönderilir.

9.1. Google Takvim senkronu isteğe bağlıdır ve yalnızca kullanıcı kendi hesabından bağladığında etkinleşir.

9.2. Bağlantı kurulduğunda kullanıcının Google e-posta adresi ve şifrelenmiş olarak saklanan erişim anahtarları alınır; kullanıcının Google hesabında “Clinigim Randevular” adlı ayrı bir takvim oluşturularak randevular bu takvime yazılır.

9.3. Takvim etkinliklerinde varsayılan olarak hasta bilgisi yer almaz. Kullanıcı ayarlardan “Hasta adını takvimde göster” seçeneğini açarsa, sonraki etkinliklerde hasta adı da görünür.

9.4. Bağlantı kesildiğinde “Clinigim Randevular” takvimi silinir ve verilen erişim iptal edilir.

9.5. Google’dan alınan bilgiler satılmaz, reklam amacıyla kullanılmaz ve üçüncü kişilerle paylaşılmaz; yalnızca güvenlik incelemesi gerektiğinde, yasal zorunluluk hâlinde veya kullanıcının açık rızasıyla görüntülenir.

9.6. Clinigim’in Google API’lerinden aldığı bilgileri kullanması ve başka bir uygulamaya aktarması, Sınırlı Kullanım (Limited Use) şartları dâhil olmak üzere Google API Services User Data Policy’e uygun olacaktır.

10.1. Mobil uygulama, web uygulamasıyla aynı hesabı ve aynı verileri kullanır. Anlık bildirimleri açarsanız cihazınızın bildirim belirteci, bildirimleri iletebilmek için cihaz platformunun ve bildirim altyapısı sağlayıcısının sistemlerinden geçer; bildirim metinleri kliniğin ayarlarına göre randevu özetleri içerebilir. Bildirimleri cihaz ayarlarından dilediğiniz zaman kapatabilirsiniz.

10.2. Galeri erişimi yalnızca klinik logosu veya personel fotoğrafı seçtiğinizde ve yalnızca seçtiğiniz görsel için kullanılır.

11.1. Kişisel veriler, hizmetin sunulması amacıyla sınırlı olarak ve gerekli güvenlik önlemleri alınarak aşağıdaki alıcı gruplarına aktarılabilir:

• Barındırma, veri depolama, alan adı ve ağ koruması sağlayıcıları (veri işleyen; Veri İşleme Sözleşmesi bakımından Alt İşleyen),
• E-posta, WhatsApp ve mobil bildirim gönderim altyapısı sağlayıcıları (veri işleyen; mesaj kanalları yalnızca klinik etkinleştirdiğinde),
• Destek e-posta kutusunu barındıran sağlayıcı (veri işleyen),
• Ödeme kuruluşu iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico, Türkiye; 6493 sayılı Kanun kapsamında yetkili; kendi adına veri sorumlusu): yalnızca ödemeyi başlatmak için gereken bilgiler — klinik adı, e-posta, kliniğin telefon numarası ve adresi, vergi kimlik veya T.C. kimlik numarası, IP adresi, seçilen paket ve tutar; ayrıntılar KVKK Aydınlatma Metni’nin 4. maddesinde ve iyzico’nun gizlilik politikasındadır (www.iyzico.com/gizlilik-politikasi),
• Google (yalnızca Google Takvim bağlandığında; kişisel Google hesaplarında kendi adına veri sorumlusu, Google Workspace hesaplarında kliniğin veri işleyeni),
• Hukuken yetkili kamu kurum ve kuruluşları ile yargı mercileri (yalnızca yasal zorunluluk hâlinde ve talebin hukuka uygunluğu değerlendirilerek).
• Her veri işleyen sağlayıcının adı, ülkesi, işlediği veri ve aktarım güvencesi Alt İşleyenler sayfasında yayımlanır.

12.1. Uygulama sunucumuz ve veritabanımız Türkiye’deki bir veri merkezindedir. Hasta dosyaları ve veritabanının şifreli yedek kopyası Avrupa Birliği’ndeki veri merkezlerinde, herkese kapalı bir depoda tutulur; işlem e-postaları Türkiye’de yerleşik bir sağlayıcı üzerinden gönderilir. Mesaj ve anlık bildirim gönderimi için Avrupa Birliği dışında yerleşik sağlayıcılar kullanılabilir; hasta dosyası depolama ve ağ koruması sağlayıcısı Amerika Birleşik Devletleri merkezlidir (depolama Avrupa Birliği’ndeki veri merkezlerinde, ağ koruması yalnızca sitenin statik dosyaları ve istek üstverisiyle).

12.2. Türkiye’den yurt dışına her aktarım (Avrupa Birliği içindeki sağlayıcılara yapılanlar dâhil) KVKK’nın 9. maddesine tabidir; bu aktarımlar için Kişisel Verileri Koruma Kurulu’nun yeterlilik kararı bulunması ya da Kurul tarafından ilan edilen standart sözleşmenin ilgili sağlayıcıyla imzalanması ve imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi esastır; 20.10.2026 itibarıyla Kurul’un yeterlilik kararı verdiği bir ülke bulunmamaktadır ve sağlayıcı bazında güvencenin durumu Alt İşleyenler sayfasında yayımlanır. Avrupa Ekonomik Alanı veya Birleşik Krallık’tan yapılan aktarımlar GDPR’ın V. Bölümündeki güvencelere (Standart Sözleşme Maddeleri) tabidir.

12.3. Hangi sağlayıcı için hangi güvencenin kullanıldığı Alt İşleyenler sayfasında belirtilir.

13.1. Kişisel veriler, işlendikleri amaç için gereken süre ve mevzuatta öngörülen süreler boyunca saklanır; sürenin sonunda silinir, yok edilir veya anonim hâle getirilir. Başlıca süreler:

• Hesap ve klinik verileri: hesap var olduğu sürece; hareketsiz ve kapatılan hesaplar için Kullanım Şartları’nın 16. maddesindeki takvime göre (ödeme yapılmamış denemeden sonra 90 gün; ücretsiz kullanımda son girişten itibaren 13 ay; abonelik dönemi bitiminden veya sonraki son girişten itibaren 90 gün; her silmeden yaklaşık 30 ve 7 gün önce uyarı; silmeden sonra 30 gün geri yükleme süresi).
• Giriş ve oturum kayıtları ile kliniğin denetim kaydı: 24 ay; klinik silindiğinde 30 gün sonra kalıcı olarak silinir.
• Sözleşme kabul kayıtları (kabul edilen metnin sürümü ve özet değeri, kabul tarihi ve saati, kaydın oluşturulma tarihi, kabul eden kullanıcının adı soyadı ve e-posta adresi, klinik adı ve vergi numarası, IP adresi ve tarayıcı bilgisi): Hesap var olduğu sürece; klinik silindikten sonra da uyuşmazlıkta ispat için ve Türk Ticaret Kanunu’nun 82. maddesi gereği saklanır ve kliniğin silindiği yılın bitiminden itibaren 10 yılın sonunda silinir. Bu kayıtlar hasta verisi içermez. Kabul edilen Kullanım Şartları ve Veri İşleme Sözleşmesi metinlerinin tam hâli de saklanır; bu metinler kişisel veri içermez ve süresiz tutulur.
• Sunucu erişim (trafik) kayıtları (IP adresi ve bağlantı noktası, isteğin tarihi ve saati, istenen adres, işlem türü ve sonucu, tarayıcı bilgisi): 5651 sayılı Kanun’un 5. maddesi uyarınca 13 ay; süre sonunda silinir. Adresteki tek kullanımlık bağlantı kodları, kullanıcı adları ve sorgu değerleri (ör. arama ifadeleri) kayda geçmeden çıkarılır; istek ve yanıt başlıkları (çerezler dâhil) kaydedilmez.
• Destek yazışmaları: son yazışmadan itibaren 3 yıl.
• KVKK başvuru kayıtları: başvurunun sonuçlandırılmasından itibaren 3 yıl (ispat).
• Fatura ve abonelik ödeme kayıtları: Vergi Usul Kanunu gereği ilgili oldukları yılı izleyen yılın başından itibaren en az 5 yıl; Türk Ticaret Kanunu’nun 82. maddesi gereği ilgili takvim yılının bitiminden itibaren 10 yıl.
• Ticari elektronik ileti onay kayıtları: onayın sona erdiği tarihten itibaren 3 yıl; ret ve diğer ileti kayıtları: kayıt tarihinden itibaren 3 yıl.
• Pazarlama ölçümü kaydı: izninizi geri aldığınızda veya hesap silindiğinde.
• Yedekler: kalıcı olarak silinen veriler, silmeyi izleyen en fazla 14 gün içinde yedeklerden de silinir.

14.1. Clinigim, kişisel verilerin güvenliğini sağlamak için KVKK’nın 12. maddesi uyarınca gerekli teknik ve idari tedbirleri alır: şifreli bağlantı, serbest metin klinik notları başta olmak üzere seçili alanların veritabanında şifreli saklanması, yetkiye dayalı erişim, klinikler arası veri ayrımı, iki adımlı doğrulama, işlem kayıtları ve düzenli şifreli yedekleme. Ayrıntılar Güvenlik sayfasında ve Veri İşleme Sözleşmesi’nin Ek-2’sinde yer alır.

15.1. Clinigim işletmelere ve sağlık profesyonellerine yönelik bir hizmettir; 18 yaşından küçükler hesap açamaz. Klinik kayıtlarında yer alabilecek reşit olmayan hastaların verileri bakımından veri sorumlusu ilgili kliniktir.

16.1. KVKK’nın 11. maddesi uyarınca herkes, veri sorumlusuna başvurarak;

• Kişisel verisinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• KVKK’nın 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç ortaya çıkmasına itiraz etme,
• Kanuna aykırı işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
• Avrupa Ekonomik Alanı veya Birleşik Krallık’ta bulunuyorsanız ayrıca erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz hakları ile rızaya dayalı işlemelerde rızanızı geri alma hakkına sahipsiniz.

17.1. Haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak, kimliğinizi doğrulayan bilgilerle birlikte [email protected] adresine, Kurumsal Bilgiler bölümünde yayımlanmışsa KEP adresimize veya merkez adresimize yazılı olarak iletebilirsiniz. Hesabınız varsa talebinizi kayıtlı e-posta adresinizden göndermeniz kimlik doğrulaması için yeterlidir. Başvurular en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’un belirlediği tarife uygulanabilir.

17.2. Hasta verilerine ilişkin talepler için veri sorumlusu olan kliniğe başvurulmalıdır; bize ulaşan talepleri gecikmeksizin ilgili kliniğe yönlendirir ve yanıtlanmasında kliniğe destek oluruz.

17.3. Başvurunuzun reddedilmesi, yanıtı yetersiz bulmanız veya süresinde yanıt verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na; Avrupa Ekonomik Alanı veya Birleşik Krallık’ta bulunuyorsanız ülkenizdeki veri koruma otoritesine şikâyette bulunabilirsiniz.

18.1. Bu Politikada yapılacak esaslı değişiklikler, yürürlüğe girmeden en az 30 gün önce e-posta ve uygulama içi bildirimle duyurulur. Her sürüm, tarihi ve değişenleriyle Sürüm Geçmişi bölümünde yayımlanır.

19.1. Bu Politikaya ve kişisel verilerinize ilişkin her soru için: [email protected].

Bu belgenin önceki sürümleri ve her sürümde değişenler:

• 07.11.2026 — KVKK başvuru kayıtlarının saklama süresi eklendi (madde 13).
• 07.11.2026 — Ödeme kuruluşu adıyla belirtildi; ödeme için iletilen ve geri dönen veriler açıklandı (madde 3 ve 11).
• 06.11.2026 — Uygulama sunucusu ve veritabanı Türkiye’deki bir veri merkezine taşındı ve işlem e-postaları Türkiye’de yerleşik bir sağlayıcıya geçti (madde 12); hasta dosyaları ve şifreli yedek kopyası Türkiye dışında kalmaya devam eder.
• 24.10.2026 — Sözleşme kabul kayıtları artık klinik silindikten sonra da, silme yılının bitiminden itibaren 10 yıl saklanıyor (13. madde); kayıtta klinik adı, vergi numarası, kabul edenin adı soyadı ve e-posta adresi ile kaydın oluşturulma tarihi de tutuluyor; kabul edilen sözleşme metinlerinin tam hâli saklanıyor. Sunucu erişim (trafik) kayıtlarının içeriği ve kesin saklama süresi (13 ay) belirtildi.
• 23.10.2026 — Veri sorumlusunun tanıtıcı bilgileri Kurumsal Bilgiler bölümüne bağlandı; randevu sayfası, ticari ileti, sözleşme kabul kayıtları, şifreleme ve başvuru kanalları maddeleri ürünün gerçek işleyişiyle hizalandı.
• 20.10.2026 — Kapsamlı yeniden düzenleme: veri kategorileri hizmet gruplarına göre ayrıntılandırıldı; amaç ve hukuki sebep eşlemesi genişletildi; mobil uygulama, ticari ileti ve saklama süreleri tablosu eklendi; çerezler ayrı Çerez Politikası’na, kısa aydınlatma KVKK Aydınlatma Metni’ne, sağlayıcılar Alt İşleyenler sayfasına taşındı; yurt dışına aktarım KVKK 9. maddesindeki güncel güvencelerle yazıldı.
• 16.10.2026 — Ödeme ve çerez maddeleri güncellendi.
• 26.09.2026 — İlk sürüm.