1. AMAÇ VE KAPSAM
1.1. İşbu Gizlilik ve Güvenlik Politikası, MDLife Sağlık Asistanlığı & Raporlandırma platformunu (“Platform”) ziyaret eden ve kullanan kişilerin bilgilerinin nasıl korunduğunu, Platform’da uygulanan başlıca teknik ve idari güvenlik önlemlerini, ödeme güvenliğini ve Kullanıcı’nın kendi hesabını korumak için yapabileceklerini sade biçimde açıklar.
1.2. Bu politika bir bilgilendirme metnidir. Kişisel verilerin hangi amaçlarla ve hangi hukuki sebeplerle işlendiği KVKK Aydınlatma Metni‘nde, Kullanıcı’nın Platform’a yüklediği belgelerdeki üçüncü kişilere ait verilerin işlenmesi Veri İşleme Sözleşmesi‘nde (VİS), çerezler ise Çerez Aydınlatma Metni‘nde düzenlenir. Bu politika o metinleri özetler ve tamamlar; onların yerine geçmez.
1.3. Bu metinde geçen Kullanıcı, Talep, Çıktı ve Bakiye terimleri Kullanım Koşulları’nda verilen anlamları taşır.
2. VERİ SORUMLUSU VE İLETİŞİM
- Unvan: MDLife Raporlama & Sağlık Danışmanlığı
- Adres: Cumhuriyet Mah. Beyzade Efendi Bulv. No: 1/4, ELAZIĞ/TÜRKİYE
- E-posta: mdlife.evrak@gmail.com
- Telefon Numarası: 0549 501 87 02
- Web Sitesi: https://mdliferaporlama.com
(Bundan sonra “MDLife Sağlık Asistanlığı & Raporlandırma” olarak anılacaktır.)
3. HANGİ BİLGİLER, HANGİ SIFATLA KORUNUR?
3.1. Kullanıcı’nın kendi bilgileri: Ad soyad, iletişim, mesleki bilgiler, hesap ve güvenlik kayıtları, fatura ve işlem bilgileri, destek yazışmaları. Bu bilgiler bakımından MDLife Sağlık Asistanlığı & Raporlandırma veri sorumlusudur; ayrıntılar KVKK Aydınlatma Metni’ndedir.
3.2. Talep’e yüklenen belgeler: Hasta, yaralı, müvekkil veya diğer üçüncü kişilere ait sağlık ve hukuk belgeleri. Bu belgelerdeki veriler bakımından MDLife Sağlık Asistanlığı & Raporlandırma, Kullanıcı’nın talimatıyla ve yalnız istenen hizmet için işlem yapan veri işleyendir; ayrıntılar Veri İşleme Sözleşmesi’ndedir.
3.3. Sağlık verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca özel nitelikli kişisel veridir. Aşağıdaki önlemler bu verilerin hassasiyeti gözetilerek uygulanır.
4. BAĞLANTI GÜVENLİĞİ
4.1. Platform’a yalnızca HTTPS ile erişilir. Tarayıcı ile Platform arasındaki bütün trafik TLS (1.2 ve üzeri) ile şifrelenir; şifresiz (HTTP) bağlantılar otomatik olarak şifreli bağlantıya yönlendirilir ve tarayıcılara Platform’a yalnız şifreli bağlantıyla girmeleri bildirilir.
4.2. Oturum çerezleri yalnız şifreli bağlantı üzerinden gönderilir ve sayfadaki betiklerce okunamaz. Oturum bilgisi sunucuda şifreli tutulur. Formlar ve istekler, siteler arası istek sahteciliğine (CSRF) karşı doğrulama anahtarıyla korunur.
5. HESAP GÜVENLİĞİ
5.1. Parolalar: Parolalar, geri çevrilemeyen güçlü bir özetleme yöntemiyle (bcrypt) saklanır; düz metin olarak hiçbir yerde tutulmaz ve MDLife Sağlık Asistanlığı & Raporlandırma çalışanları dahil hiç kimse tarafından görülemez. MDLife Sağlık Asistanlığı & Raporlandırma, Kullanıcı’dan parolasını hiçbir kanaldan istemez.
5.2. İki adımlı doğrulama: Kullanıcı, Ayarlar › Güvenlik bölümünden doğrulama uygulamasıyla çalışan iki adımlı doğrulamayı ve cihazının kilidiyle çalışan geçiş anahtarını (passkey) açabilir. MDLife Sağlık Asistanlığı & Raporlandırma’nın yönetim ve destek ekibi için iki adımlı doğrulama zorunludur.
5.3. Giriş koruması: Art arda başarısız giriş denemeleri sınırlandırılır. Giriş ekranında otomatik bot trafiğini ayırt etmeye yarayan bir doğrulama kullanılır. Kayıt sırasında e-posta adresi doğrulanır.
5.4. Yeni cihaz bildirimi: Hesaba daha önce görülmemiş bir cihazdan giriş yapıldığında Kullanıcı’ya uygulama içinden ve kayıtlı e-posta adresine “yeni cihazdan giriş” bildirimi gönderilir. Bu bildirim güvenlik amacıyla kapatılamaz.
5.5. Açık oturumlar: Kullanıcı, Ayarlar › Güvenlik bölümünde hesabının açık oturumlarını görebilir ve kullandığı cihaz dışındaki bütün oturumları kapatabilir. Hesap kapatıldığında hesabın bütün oturumları sonlandırılır.
6. BELGELERİN VE VERİLERİN SAKLANMASI
6.1. Şifreli belge deposu: Talep’e yüklenen belgeler, depolamaya yazılmadan önce hesaba özel bir anahtarla şifrelenir. Hesap anahtarları da ayrı tutulan bir ana anahtarla şifrelenir. Böylece depolama alanına erişen biri, anahtarlar olmadan belgelerin içeriğini okuyamaz.
6.2. Diğer şifreli içerikler: Faturalar, destek yazışmalarına eklenen dosyalar ve onaylanan Beyan ve Onay Formları da şifreli saklanır. Bazı hassas alanlar veritabanında da hesaba özel anahtarla şifreli tutulur.
6.3. Doğrudan bağlantı yok: Belgelere tahmin edilebilecek bir adresle veya doğrudan depolama bağlantısıyla ulaşılamaz. Belgeler yalnızca Platform üzerinden, her istekte yetki denetimi yapılarak açılır ve indirilir.
6.4. Veri en aza indirme: Talep açılırken T.C. kimlik numarası istenmez. Platform’daki yardım asistanına yazılan mesajlarda T.C. kimlik numarası, telefon, e-posta, IBAN, kart numarası ve benzeri bilgiler, yapay zekâya gönderilmeden ve kaydedilmeden önce otomatik olarak maskelenir.
7. ERİŞİM KONTROLÜ VE VERİ AYRIŞTIRMA
7.1. Rol tabanlı erişim: Platform’da her kullanıcı yalnızca rolünün izin verdiği işlemleri yapabilir. Yetki denetimi her istekte sunucu tarafında yapılır.
7.2. Hesaplar arası ayrıştırma: Her hesabın Talep’leri, belgeleri ve kayıtları diğer hesaplardan uygulamadaki yetki denetimine ek olarak veritabanı düzeyinde de ayrıştırılır (satır düzeyinde güvenlik). Bu ikinci katman, bir hesabın verisinin başka bir hesabın oturumundan sorgulanmasını veritabanının kendisinde engeller.
7.3. Destek erişimi: MDLife Sağlık Asistanlığı & Raporlandırma’nın destek ekibi bir Talep’in içeriğini yalnızca Kullanıcı’nın ilgili destek talebinde verdiği izin süresince açabilir. Her açılış kayda geçer ve destek yazışmasında Kullanıcı’nın göreceği bir satır olarak görünür. Yönetici yetkisi de bu kuralın istisnası değildir.
7.4. Erişim geçmişi: Talep içeriğine yapılan erişimler kaydedilir; Talep sahibi kendi Talep’inin erişim geçmişini görebilir.
8. KAYIT VE İZLEME
8.1. Ödeme, iade, Bakiye düzeltmesi, yetki değişikliği, onay ve benzeri önemli işlemler denetim kaydına yazılır. Denetim kaydı yalnızca eklemeli tutulur; her kayıt bir öncekinin özetini taşır (özet zinciri) ve zincirin bütünlüğü her gün otomatik olarak denetlenir. Böylece geçmiş bir kaydın sonradan değiştirilmesi fark edilir.
8.2. Sözleşme ve onay metinlerinin hangi sürümünün, ne zaman ve hangi hesapça onaylandığı ya da sunulduğu kaydedilir. Yayımlanmış bir metin sürümü sonradan değiştirilemez.
8.3. Sistemin sağlığı, ödeme bağlantısı ve yedekleme düzenli aralıklarla otomatik olarak izlenir; bir sorun görüldüğünde sorumlu ekibe uyarı gider.
9. YEDEKLEME VE İŞ SÜREKLİLİĞİ
9.1. Veritabanları ve şifreli belgeler saat başı yedeklenir. Yedekler sunucudan çıkmadan önce şifrelenir ve şifre çözme anahtarı yedeklerden ayrı tutulur.
9.2. Yedekler son 24 saat için saatlik, ayrıca günlük, haftalık ve aylık olarak saklanır; en eski yedek yaklaşık 12 aylıktır. Süresi dolan yedekler otomatik olarak silinir.
9.3. Son yedek her gün ayrı bir ortamda açılarak canlı verilerle karşılaştırılır; her hafta, canlı sisteme dokunmadan yedekten geri dönüş provası yapılır. Her yazılım güncellemesinden önce ayrıca yedek alınır.
9.4. Hesabın kapatılması veya bir verinin silinmesi üzerine aktif sistemlerden kaldırılan veriler, yedeklerde ancak o yedeğin saklama süresi dolduğunda silinir. Yedekler bu süre içinde yalnızca geri yükleme veya felaket kurtarma için kullanılır (VİS madde 20).
10. ÖDEME GÜVENLİĞİ
10.1. Bakiye yükleme ödemeleri, 6493 sayılı Kanun kapsamında yetkilendirilmiş lisanslı bir ödeme kuruluşunun güvenli ödeme sayfasında alınır. Kart numarası, son kullanma tarihi ve güvenlik kodu (CVC) bu sayfaya doğrudan girilir; MDLife Sağlık Asistanlığı & Raporlandırma sunucularına ulaşmaz, görülmez ve saklanmaz.
10.2. Ödeme sonucu, ödeme kuruluşundan imzalı bildirimle ya da doğrudan sorgulanarak doğrulanır. Ödenen tutar, sipariş ve para birimi siparişle birebir tutmadıkça Bakiye tanımlanmaz.
10.3. Karta iade yapılamadığında iade için bildirilen IBAN yalnız iade amacıyla kullanılır; Kullanıcı’ya gösterilen ekranlarda ve bildirimlerde maskelenir.
10.4. MDLife Sağlık Asistanlığı & Raporlandırma, Kullanıcı’dan e-posta, telefon veya mesajla kart bilgisi, parola ya da doğrulama kodu istemez. Bu yönde bir istek alırsanız yanıt vermeyin ve mdlife.evrak@gmail.com adresine bildirin.
11. YAPAY ZEKÂ İLE İŞLEME
11.1. Medikal Analiz ve benzeri hizmetlerde, Talep’e yüklenen belgeler yapay zekâ destekli sistemlerle okunur ve değerlendirilir. Belgeler yalnızca Kullanıcı’nın istediği hizmetin sunulması için işlenir; reklam, profil oluşturma veya veri satışı amacıyla kullanılmaz.
11.2. Kullanım Koşulları’nın 9 uncu maddesi uyarınca Kullanıcı’nın yüklediği veriler yapay zekâ modellerinin eğitimi, geliştirilmesi veya test edilmesi amacıyla kullanılmaz.
11.3. Yapay zekâ işlemlerinde yararlanılan hizmet sağlayıcıları, verilerin işlendiği yer ve varsa yurt dışına aktarımın hukuki dayanağı Veri İşleme Sözleşmesi’nin Ek-1 Alt İşleyenler listesinde gösterilir.
11.4. Yapay zekâ ile üretilen Çıktılar bilgi amaçlı ön değerlendirmedir; hekim muayenesinin, sağlık kurulu raporunun, bilirkişi incelemesinin veya hukuki değerlendirmenin yerine geçmez. Ayrıntılar Yapay Zekâ Kullanım Bildirimi‘ndedir.
12. VERİLERİN BULUNDUĞU YER
12.1. Platform’un sunucuları ve veri depoları Türkiye’de bulunmaktadır.
12.2. Kişisel verilerin yurt dışına aktarılması gerektiğinde bu aktarım yalnız KVKK’nın 9 uncu maddesindeki şartlarla yapılır. Hizmet sağlayıcıların bulunduğu ülkeler Veri İşleme Sözleşmesi Ek-1’de gösterilir.
13. SAKLAMA SÜRELERİ VE SİLME
13.1. Kişisel veriler, işlendikleri amaç için gerekli süre ve mevzuatın öngördüğü süreler boyunca saklanır. Saklama süreleri KVKK Aydınlatma Metni’nin 7 nci maddesinde açıklanır.
13.2. Fatura, sözleşme onayı ve mali kayıtlar gibi mevzuat gereği saklanması gereken kayıtlar, hesap kapatılsa da yasal süre boyunca tutulur.
13.3. Talep’lere yüklenen belgeler bakımından, hesap kapatıldıktan sonra verilerin dışa aktarılması, iadesi ve silinmesi Veri İşleme Sözleşmesi’nin 20 nci maddesine göre yapılır. Yedeklerdeki kopyalar için 9.4 üncü madde uygulanır.
14. GÜVENLİK İHLALİ HÂLİNDE
14.1. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilere yetkisiz erişim veya benzeri bir güvenlik ihlali tespit ettiğinde etkisini sınırlamak için gerekli önlemleri hemen alır ve olayı kayda geçirir.
14.2. Veri sorumlusu olduğu veriler bakımından, KVKK’nın 12 nci maddesinin beşinci fıkrası ve Kişisel Verileri Koruma Kurulu’nun kararı uyarınca ihlali öğrenmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na, etkilenen kişileri tespit ettikten sonra makul en kısa sürede de bu kişilere bildirir. Bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen veri ve kişi grupları, muhtemel sonuçları, alınan önlemler ve bilgi almak için iletişim kanalı yer alır.
14.3. Talep’lere yüklenen üçüncü kişi verilerini etkileyen bir ihlalde, bu verilerin veri sorumlusu olan Kullanıcı’ya Veri İşleme Sözleşmesi’nin 18 inci maddesine göre gecikmeksizin, hedef olarak 24 saat içinde bildirim yapılır ve Kullanıcı’nın kendi bildirim yükümlülükleri için gereken bilgi ve destek sağlanır.
15. KULLANICININ SORUMLULUKLARI
Hesabın güvenliği, büyük ölçüde Kullanıcı’nın da alacağı önlemlere bağlıdır. Kullanıcı’dan beklenenler şunlardır:
- Başka bir hizmette kullanmadığı, tahmin edilmesi güç bir parola seçmek ve parolasını kimseyle paylaşmamak,
- İki adımlı doğrulamayı veya geçiş anahtarını açmak,
- Hesabını başka bir kişiye kullandırmamak; büro çalışanları dahil her kişinin kendi hesabıyla giriş yapmasını sağlamak,
- Ortak veya başkasına ait cihazlarda işi bitince oturumu kapatmak, “Beni hatırla” seçeneğini kullanmamak,
- Kullandığı cihazı ekran kilidi, güncel işletim sistemi ve tarayıcıyla korumak,
- Tanımadığı bir “yeni cihazdan giriş” bildirimi alırsa parolasını hemen değiştirmek, diğer oturumları kapatmak ve mdlife.evrak@gmail.com adresine bildirmek,
- Talep’e yalnız hizmet için gerekli belgeleri yüklemek; T.C. kimlik numarası, IBAN gibi gereksiz bilgileri mümkün olduğunca belgelerden çıkarmak ve üçüncü kişilere ait verileri yüklemek için gerekli hukuki şartın bulunduğundan emin olmak (Kullanım Koşulları madde 8),
- İndirdiği Çıktıları ve belgeleri kendi cihazında ve paylaşımında gizli tutmak.
16. ÇEREZLER
Platform’da bugün yalnızca hizmetin çalışması ve güvenliği için zorunlu çerezler kullanılır; analitik veya reklam çerezi kullanılmaz. Kullanılan çerezler, amaçları ve süreleri Çerez Aydınlatma Metni‘nde gösterilir.
17. GÜVENLİK AÇIĞI BİLDİRİMİ
Platform’da bir güvenlik açığı fark eden herkes, ayrıntıları mdlife.evrak@gmail.com adresine iletebilir. Bildirimler incelenir ve bildirimde bulunana dönüş yapılır. Açığın doğrulanması amacını aşan erişim, veri indirme veya hizmeti aksatacak denemeler yapılmamalıdır.
18. HAKLARINIZ VE BAŞVURU
18.1. İlgili kişi, KVKK’nın 11 inci maddesindeki haklarını (verilerinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme, silme, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine çıkan bir sonuca itiraz ve diğer haklar) kullanmak için mdlife.evrak@gmail.com adresine veya — KEP adresine başvurabilir. Başvurular, KVKK’nın 13 üncü maddesi uyarınca en geç 30 (otuz) gün içinde sonuçlandırılır. Başvuru usulü KVKK Aydınlatma Metni’nde açıklanır.
18.2. Talep’lere yüklenen belgelerdeki kişiler (hasta, müvekkil ve benzerleri), haklarını öncelikle belgeyi yükleyen ve veri sorumlusu olan Kullanıcı’ya yöneltmelidir. MDLife Sağlık Asistanlığı & Raporlandırma’ya gelen bu tür başvurular ilgili Kullanıcı’ya iletilir.
19. SINIRLAR
MDLife Sağlık Asistanlığı & Raporlandırma, bu politikada açıklanan önlemleri hizmetin niteliğine ve güncel risklere göre uygular ve geliştirir. Bununla birlikte internet üzerinden sunulan hiçbir hizmet için mutlak güvenlik garanti edilemez. Önlemlerin bazı teknik ayrıntıları, güvenliği zayıflatmamak için bu metinde yer almaz.
20. DEĞİŞİKLİKLER VE YÜRÜRLÜK
Bu politika, güvenlik önlemlerindeki ve mevzuattaki değişikliklere göre güncellenebilir. Güncel sürüm ve yürürlük tarihi Platform’da yayımlanır; önceki sürümlere de aynı sayfadan ulaşılabilir.