Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi (“VİS“), aşağıda bilgileri belirtilen Veri Sorumlusu ile MDLife Sağlık Asistanlığı & Raporlandırma hizmetlerini sunan Veri İşleyen arasında, Veri Sorumlusu’na ait veya Veri Sorumlusu tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan kişisel verilerin işlenmesine ilişkin tarafların hak, yükümlülük ve sorumluluklarını belirlemek amacıyla akdedilmiştir.

1. TARAFLAR

1.1. Veri İşleyen

Unvan: MDLife Raporlama & Sağlık Danışmanlığı
Adres: Cumhuriyet Mah. Beyzade Efendi Bulv. No: 1/4, ELAZIĞ/TÜRKİYE
E-posta: mdlife.evrak@gmail.com
Telefon Numarası: 0549 501 87 02
Web Sitesi: https://mdliferaporlama.com

(Bundan sonra “MDLife Sağlık Asistanlığı & Raporlandırma” veya “Veri İşleyen” olarak anılacaktır.)

1.2. Veri Sorumlusu

MDLife Sağlık Asistanlığı & Raporlandırma hizmetlerinden yararlanan ve kişisel verilerin işlenme amaç ve vasıtalarını belirleyen;

serbest çalışan hekim,
hizmeti kendi adına kullanan diğer gerçek kişi meslek mensubu,
veya ilgili kişisel veri işleme faaliyetinin amaç ve vasıtalarını kendi adına belirleyen kurum, kuruluş ya da tüzel kişi

Veri Sorumlusu olarak kabul edilir.

Veri Sorumlusu’na ilişkin resmi unvan, ad-soyad, vergi dairesi ve vergi numarası, adres ve iletişim bilgileri; MDLife Sağlık Asistanlığı & Raporlandırma platformuna kayıt sırasında, hesap veya profil bilgilerinde, faturalandırma bilgilerinde veya ilgili hizmetin kullanımı sırasında Veri Sorumlusu tarafından beyan edilen güncel bilgiler esas alınarak belirlenir.

(Bundan sonra “Veri Sorumlusu” olarak anılacaktır.)

1.3. Kurum Adına Kullanım

Hekim veya başka bir Kullanıcı’nın bir kurum, kuruluş, hastane, üniversite, kamu kurumu veya başka bir tüzel kişi adına hareket etmesi ve ilgili kişisel veri işleme faaliyetinin amaç ve vasıtalarının söz konusu kurum veya kuruluş tarafından belirlenmesi halinde, ilgili kurum veya kuruluş Veri Sorumlusu sıfatını taşır. Bu durumda VİS’in tarafı, veri işleme faaliyetinin niteliğine göre Kullanıcı yerine ilgili kurum veya kuruluş ya da Kullanıcı ile birlikte ilgili kurum veya kuruluş olabilir.

Kullanıcı’nın bir kurum veya kuruluş adına hareket ettiğini beyan etmesi halinde, bu beyanın doğruluğundan ve kurum veya kuruluş adına ilgili işlemleri gerçekleştirmek için gerekli temsil, yetki veya görevlendirmeye sahip olmasından Kullanıcı sorumludur. Kullanıcı’nın gerekli yetkiye sahip olmadığı halde kurum veya kuruluş adına işlem gerçekleştirmesi nedeniyle doğabilecek sorumluluklar, MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi kusurundan veya kanundan doğan bağımsız yükümlülüklerinden kaynaklanan sorumlulukları saklı kalmak kaydıyla, ilgili mevzuat çerçevesinde değerlendirilir.

1.4. Roller

Taraflar, MDLife Sağlık Asistanlığı & Raporlandırma’nın, üçüncü kişilere ait kişisel verilerin hizmetin sunulması kapsamında işlenmesi bakımından, yalnızca Veri Sorumlusu’nun hukuka uygun ve belgelenmiş talimatları doğrultusunda ve işbu VİS’te belirlenen amaç ve kapsam dahilinde hareket ettiği ölçüde Veri İşleyen sıfatıyla hareket ettiğini kabul eder.

Tarafların Veri Sorumlusu veya Veri İşleyen sıfatları, yalnızca işbu VİS’te kullanılan nitelendirmeye göre değil; ilgili kişisel veri işleme faaliyetinin fiili niteliği, işleme amaçlarının ve vasıtalarının kim tarafından belirlendiği ve tarafların fiili karar alma ve uygulama yetkileri dikkate alınarak belirlenir.

Bir tarafın belirli bir kişisel veri işleme faaliyeti bakımından fiilen veri sorumlusu sıfatını kazanması halinde, bu durum VİS’te kullanılan genel nitelendirmeden bağımsız olarak ilgili faaliyet bakımından uygulanır.

2. SÖZLEŞMENİN KONUSU

2.1. İşbu VİS’in konusu, Veri Sorumlusu tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan veya MDLife Sağlık Asistanlığı & Raporlandırma’nın Veri Sorumlusu’nun hukuka uygun talimatları doğrultusunda işlediği kişisel verilerin;

Yüklenmesi,
Depolanması,
Sınıflandırılması,
OCR ile işlenmesi,
Metin çıkarılması,
Belge analizi,
Yapay zekâ destekli analiz,
Hesaplama,
Rapor veya taslak oluşturma,
Kullanıcı tarafından talep edilen diğer platform işlevlerinin gerçekleştirilmesi,
Teknik yedekleme,
Güvenlik, denetim ve hata kayıtlarının (log) tutulması,
Kullanıcı tarafından yetkilendirilen paylaşım işlevlerinin gerçekleştirilmesi

ve hizmetin sunulması için teknik olarak gerekli diğer veri işleme faaliyetleri kapsamında işlenmesine ilişkin esasların belirlenmesidir.

2.2. İşbu VİS, Veri Sorumlusu’nun kişisel verilerin işlenmesine ilişkin mevzuattan doğan hukuki sorumluluklarını MDLife Sağlık Asistanlığı & Raporlandırma’ya devretmez. Veri Sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarının belirlenmesi, gerekli hukuki şartların sağlanması ve MDLife Sağlık Asistanlığı & Raporlandırma’ya verilen talimatların hukuka uygun olması bakımından kendi sorumluluğunu korur.

2.3. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından kendisine aktarılan kişisel verileri, işbu VİS’te belirtilen amaç ve kapsam dışında kendi bağımsız ticari amaçları doğrultusunda işleyemez. Ancak hizmetin sunulması, bilgi güvenliğinin sağlanması, teknik altyapının işletilmesi, yasal yükümlülüklerin yerine getirilmesi, denetim ve hata yönetimi ile diğer teknik ve idari gereklilikler kapsamında gerçekleştirilmesi zorunlu olan veri işleme faaliyetleri bu kısıtlamanın kapsamı dışındadır.

3. HUKUKİ ÇERÇEVE

3.1. Taraflar, kişisel verilerin işlenmesi, korunması, aktarılması ve güvenliğinin sağlanması bakımından başta;

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK),
KVKK kapsamında yürürlüğe konulan ikincil mevzuat,
Kişisel Verileri Koruma Kurulu tarafından yayımlanan ve taraflar bakımından uygulanabilir nitelikteki karar, ilke kararları, düzenleme ve rehberler,
Kişisel veri güvenliği ve bilgi güvenliği bakımından uygulanabilir diğer düzenlemeler,
Tarafların faaliyetlerine ve ilgili veri işleme faaliyetlerine uygulanabilecek özel mevzuat ve mesleki düzenlemeler

olmak üzere, yürürlükteki ve ilgili veri işleme faaliyetlerine uygulanabilir mevzuata uygun hareket etmeyi kabul ve taahhüt eder.

3.2. İşbu VİS, kişisel verilerin işlenmesi bakımından tarafların görev, yetki, yükümlülük ve sorumluluklarını; veri işleme faaliyetlerinin kapsamını ve taraflar arasındaki teknik ve sözleşmesel işleyişi belirlemek amacıyla hazırlanmıştır. İşbu VİS, tarafların yürürlükteki mevzuattan doğan ve sözleşmeyle ortadan kaldırılamayan yükümlülüklerini sınırlamaz.

3.3. İşbu VİS’in herhangi bir hükmünün sonradan yürürlüğe giren veya değiştirilen emredici mevzuat hükümleri, Kişisel Verileri Koruma Kurulu’nun bağlayıcı nitelikteki kararları veya ilgili diğer yetkili makamların uygulanması zorunlu düzenlemeleri ile çelişmesi halinde, ilgili hüküm söz konusu düzenlemelere uygun olacak şekilde ve VİS’in amacıyla mümkün olduğunca bağdaşacak biçimde uygulanır. İlgili hükmün bu şekilde uygulanmasının mümkün olmaması halinde, söz konusu hüküm uygulanabildiği ölçüde geçersiz sayılır ve VİS’in diğer hükümleri bundan etkilenmez.

4. İŞLEMENİN SÜRESİ

4.1. Kişisel veriler, Veri Sorumlusu ile MDLife Sağlık Asistanlığı & Raporlandırma arasındaki hizmet ilişkisinin devamı süresince ve yalnızca hizmetin sunulması, sözleşmesel yükümlülüklerin yerine getirilmesi, bilgi güvenliğinin sağlanması ve ilgili veri işleme faaliyetinin gerektirdiği ölçüde işlenir.

4.2. Hizmet ilişkisinin sona ermesi veya hesabın uzun süreli olarak kullanılmaması halinde, ilgili kişisel verilerin saklanması, Veri Sorumlusu’na iadesi, silinmesi, yok edilmesi veya anonim hale getirilmesi işlemleri, verinin niteliği ve uygulanabilir mevzuat dikkate alınarak işbu VİS’in 12. maddesinde düzenlenen usul ve esaslar çerçevesinde gerçekleştirilir.

4.3. Kanuni saklama yükümlülükleri, yetkili kamu kurum ve kuruluşlarının bağlayıcı talepleri, bir hakkın tesisi, kullanılması veya korunması, hukuki uyuşmazlıkların yürütülmesi veya MDLife Sağlık Asistanlığı & Raporlandırma’nın hukuki yükümlülüklerini yerine getirmesi için gerekli olan saklama süreleri saklıdır.

4.4. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’na ait kişisel verileri yalnızca hizmet ilişkisinin sona ermiş olması nedeniyle veya belirli bir amaç ve hukuki dayanak bulunmaksızın süresiz olarak saklayamaz. Saklama süresinin sona ermesi veya verilerin saklanmasını gerektiren hukuki nedenin ortadan kalkması halinde, ilgili veriler işbu VİS’te belirtilen saklama süreleri ve yöntemlerle silinir, yok edilir veya anonim hale getirilir.

4.5. Yedekleme sistemlerinde bulunan kişisel veriler bakımından, verilerin derhal ve tekil olarak silinmesinin teknik olarak mümkün olmadığı durumlarda, söz konusu veriler aktif kullanım ortamlarından çıkarılır ve yedekleme sistemlerinin olağan yaşam döngüsü içerisinde, yeniden aktif kullanıma alınmaksızın ve yalnızca olağanüstü durumlarda sistemlerin geri yüklenmesi amacıyla muhafaza edilir. Yedeklerdeki verilerin tamamen ortadan kaldırılması, ilgili yedekleme döngüsünün sona ermesiyle gerçekleştirilir.

5. İŞLEMENİN NİTELİĞİ VE KAPSAMI

5.1. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun hukuka uygun talimatları ve Kullanıcı tarafından tercih edilen platform hizmetlerinin gerektirdiği ölçüde aşağıdaki kişisel veri işleme faaliyetlerini gerçekleştirebilir:

a. Verilerin alınması,
b. Dosyaların yüklenmesi,
c. Verilerin kaydedilmesi,
d. Verilerin barındırılması,
e. Belgelerin OCR teknolojisi ile okunması,
f. Belgelerden metin çıkarılması,
g. Belgelerin sınıflandırılması,
h. Belgelerin indekslenmesi,
i. Yapay zekâ modelleri ile belge ve metin analizi,
j. Hesaplama ve veri işleme,
k. Rapor, taslak, analiz veya hesaplama çıktısı oluşturulması,
l. Veri Sorumlusu tarafından yetkilendirilen vaka, rapor veya dosya paylaşım işlevlerinin gerçekleştirilmesi,
m. Teknik hata, sistem arızası ve performans sorunlarının tespiti ile hata ayıklama (debug) süreçlerinin yürütülmesi,
n. Yürürlükteki mevzuat ve ilgili güvenlik politikaları kapsamında güvenlik, denetim, işlem ve yetkisiz erişim kayıtlarının (log) oluşturulması ve tutulması,
o. Veri bütünlüğünün ve hizmet sürekliliğinin sağlanması amacıyla teknik yedekleme ve felaket kurtarma faaliyetlerinin yürütülmesi,
p. Teknik destek kapsamında, Veri Sorumlusu tarafından yetkilendirilen personel için gerekli olduğu ölçüde sınırlı ve kural olarak salt okunur (read-only) erişim sağlanması,
q. Platform hizmetlerinin güvenli, istikrarlı ve süreklilik arz edecek şekilde sunulması için teknik olarak gerekli diğer işlemlerin gerçekleştirilmesi.

5.2. Veri Sorumlusu tarafından yetkilendirilen paylaşım işlevlerinin gerçekleştirilmesi bakımından, paylaşımın hukuka uygunluğunun değerlendirilmesi, aktarılacak kişi veya kuruluşların belirlenmesi, paylaşımın kapsamının belirlenmesi ve gerekli hukuki şartların sağlanması Veri Sorumlusu’nun sorumluluğundadır. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun hukuka uygun talimatı doğrultusunda teknik aktarımı gerçekleştirmekle sınırlıdır.

5.3. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verileri Veri Sorumlusu’nun belirlediği işleme amaçları ve hukuka uygun talimatları dışında kendi bağımsız amaçları doğrultusunda işleyemez. Bununla birlikte; hizmetin sunulması, bilgi güvenliğinin sağlanması, teknik altyapının işletilmesi, hata ve performans yönetimi, yedekleme, felaket kurtarma, mevzuattan doğan yükümlülüklerin yerine getirilmesi ve işbu VİS’te açıkça düzenlenen diğer teknik veya idari işlemler, hizmetin sunulması için gerekli olduğu ölçüde bu kapsamda değerlendirilebilir.

5.4. MDLife Sağlık Asistanlığı & Raporlandırma tarafından gerçekleştirilen veri işleme faaliyetlerinin kapsamı, Veri Sorumlusu’nun talimatları, Kullanıcı tarafından seçilen hizmetin niteliği ve işbu VİS’te belirlenen amaçlarla sınırlıdır. MDLife Sağlık Asistanlığı & Raporlandırma, hizmetin sunulması için gerekli olmayan kişisel verileri bağımsız bir amaçla işlememeyi esas alır.

6. İŞLEME AMAÇLARI

Veri Sorumlusu tarafından platforma aktarılan kişisel veriler, yalnızca Veri Sorumlusu’nun talimatları doğrultusunda, ilgili hizmetin sunulması için gerekli ve işleme amacıyla bağlantılı, sınırlı ve ölçülü olacak şekilde aşağıdaki amaçlarla işlenebilir:

6.1. Veri Sorumlusu’nun talep ettiği raporlama, veri analizi, maluliyet, kusur oranı, geçici bakıcı ödemesi ve benzeri hesaplama veya değerlendirme hizmetlerinin gerçekleştirilmesi.

6.2. Veri Sorumlusu tarafından yüklenen tıbbi, adli, hukuki veya diğer belgelerin OCR (Optik Karakter Tanıma) teknolojisi ile işlenmesi ve belgelerden metin çıkarılması.

6.3. Elde edilen metinlerin ve belgelerin, ilgili hizmetin sunulması amacıyla yapay zekâ destekli algoritmalar ve diğer teknik sistemler aracılığıyla analiz edilmesi.

6.4. Veri Sorumlusu tarafından talep edilen adli, tıbbi veya hukuki raporların, taslakların, özetlerin, analizlerin, hesaplama sonuçlarının ve benzeri Çıktıların oluşturulması.

6.5. İlgili vaka, dosya, belge ve geçmiş kayıtların Veri Sorumlusu’nun platform üzerinden erişimine ve hizmetlerden yararlanmasına imkân sağlamak amacıyla güvenli şekilde saklanması ve yönetilmesi.

6.6. Veri Sorumlusu veya Veri Sorumlusu tarafından yetkilendirilen kullanıcıların talimatları doğrultusunda, platformda sunulan paylaşım fonksiyonları aracılığıyla belirlenen kişi veya kurumlara dosya, belge veya veri aktarımının teknik olarak gerçekleştirilmesi.

6.7. Veri Sorumlusu tarafından bildirilen teknik sorunların incelenmesi, hata ve performans problemlerinin giderilmesi ve teknik destek hizmetlerinin sunulması.

6.8. Kişisel verilerin ve platform altyapısının güvenliğinin, veri bütünlüğünün ve bilgi güvenliğinin sağlanması; bu kapsamda gerekli teknik ve idari güvenlik tedbirlerinin uygulanması.

6.9. Yetkisiz erişimlerin, kötüye kullanım girişimlerinin, güvenlik açıklarının, tersine mühendislik faaliyetlerinin, olağan dışı kullanımın ve olası güvenlik ihlallerinin tespit edilmesi, önlenmesi, incelenmesi ve gerekli müdahalelerin gerçekleştirilmesi.

6.10. Veri kaybının önlenmesi ve hizmet sürekliliğinin sağlanması amacıyla teknik yedekleme, replikasyon, veri kurtarma ve felaket kurtarma süreçlerinin yürütülmesi.

6.11. MDLife Sağlık Asistanlığı & Raporlandırma’nın veri işleyen sıfatıyla tabi olduğu yasal yükümlülüklerin yerine getirilmesi ve yetkili kamu kurum ve kuruluşlarının hukuken bağlayıcı taleplerinin yerine getirilmesi.

6.12. Platform altyapısının güvenli, istikrarlı ve süreklilik arz edecek şekilde çalışmasını sağlamak için hizmetin sunulması bakımından zorunlu olan teknik, operasyonel ve sistemsel süreçlerin yürütülmesi.

6.13. Bu maddede belirtilen amaçlar kapsamında gerçekleştirilen veri işleme faaliyetlerinin yürütülmesi için gerekli olması halinde, kişisel verilerin teknik altyapı, barındırma, yedekleme, güvenlik, OCR veya benzeri hizmetleri sağlayan alt işleyenler aracılığıyla işlenmesi. Alt işleyenlerin kullanımı ve bunların tabi olduğu yükümlülükler işbu VİS’in ilgili hükümleri kapsamında düzenlenir.

7. KİŞİSEL VERİ KATEGORİLERİ VE VERİ MİNİMİZASYONU

7.1. Veri Sorumlusu’nun hukuka uygun talimatları ve platformda kullanılan hizmetlerin niteliği kapsamında işlenebilecek kişisel veri kategorileri, ilgili hizmetin gerektirdiği ölçüde aşağıdakilerle sınırlıdır:

Kimlik Verileri: Ad, soyad, doğum tarihi, cinsiyet ve ölüm bilgileri. Hizmetin sunulması için zorunlu olmadığı sürece T.C. Kimlik Numarası, pasaport numarası, resmi kimlik belge numarası ve benzeri kimlik numaralarının platforma aktarılmaması esastır.
İletişim Verileri: Telefon numarası, e-posta adresi, adres bilgileri ve KEP bilgileri.
Sağlık Verileri (Özel Nitelikli Kişisel Veriler): Tanı, epikriz, muayene ve tedavi kayıtları, tetkik ve görüntüleme sonuçları, fiziksel bulgular, maluliyet veya çalışma gücü kaybı oranları, tıbbi raporlar ve sağlık geçmişine ilişkin veriler.
Adli ve Hukuki Veriler: Dava dosyaları, kaza tespit tutanakları, adli tıp kayıtları, mahkeme kararları, soruşturma verileri, dilekçeler ve ilgili kişi, vekil veya tanıklara ilişkin bilgiler.
Mali ve Ekonomik Veriler: Gelir ve ücret bilgileri, kazanç kayıpları, aktüeryal hesaplama girdileri ve mali zarar detayları.
Mesleki Veriler: Meslek, unvan, görev yapılan kurum ve çalışma geçmişine ilişkin veriler.
Görsel ve Belge Verileri: Veri Sorumlusu tarafından platforma yüklenen adli, tıbbi veya hukuki içerikli PDF, fotoğraf, tarama, belge görüntüsü ve benzeri dijital içerikler.

7.2. Veri Minimizasyonu, Maskeleme ve Karartma Yükümlülüğü:
Veri Sorumlusu, platforma yükleyeceği belge ve görselleri hizmetin amacı ve gerektirdiği veri kapsamı bakımından önceden değerlendirmek ve hizmetin sunulması için gerekli olmayan kişisel verileri mümkün olduğu ölçüde belge üzerinden kaldırmak, maskelemek veya karartmakla yükümlüdür.

Bu kapsamda, hizmetin sunulması için zorunlu olmadığı sürece T.C. Kimlik Numarası, pasaport numarası, resmi kimlik seri ve belge numaraları, anne ve baba adı, IBAN ve banka hesap numarası gibi kişisel verilerin platforma aktarılmaması esastır.

7.3. Veri Sorumlusu’nun gerekli olmayan kişisel verileri içeren belgeleri maskeleme veya karartma yapmaksızın platforma yüklemesi halinde, söz konusu verilerin MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılmasından doğan hukuki sorumluluk, Veri Sorumlusu’nun kişisel verilerin hukuka uygun şekilde elde edilmesi, aktarılması ve işlenmesine ilişkin yükümlülükleri kapsamında değerlendirilir. Ancak bu hüküm, MDLife Sağlık Asistanlığı & Raporlandırma’nın kendisine hukuka uygun şekilde aktarılan kişisel veriler bakımından yürürlükteki mevzuattan, işbu VİS’ten veya kendi kusurundan doğan güvenlik ve diğer yükümlülüklerini ortadan kaldırmaz.

7.4. Veri Sorumlusu, hizmetin sunulması için gerekli olmayan kişisel verilerin platforma aktarılmasını önlemek amacıyla belge yüklemeden önce uygun teknik ve idari tedbirleri almakla yükümlüdür.

7.5. MDLife Sağlık Asistanlığı & Raporlandırma, kendisine aktarılan kişisel verileri, Veri Sorumlusu’nun talimatları ve işbu VİS’te belirlenen amaç ve kapsam dışında kullanamaz. Hizmetin sunulması için gerekli olmayan verilerin yanlışlıkla aktarılması halinde, söz konusu veriler bakımından uygulanabilir mevzuat ve işbu VİS’in silme, imha, saklama ve güvenlik hükümleri uygulanır.

8. İLGİLİ KİŞİ GRUPLARI

8.1. Veri Sorumlusu’nun talimatları doğrultusunda platformda işlenebilecek kişisel veriler, yalnızca aşağıdaki ilgili kişi gruplarına ait olabilir:

a. Yaralı kişiler / Kazazedeler,
b. Hastalar,
c. Müteveffalar (Ölen kişiler),
d. Ölen kişilerin yakınları / Mirasçılar,
e. Destekten yoksun kalan kişiler,
f. Müvekkiller,
g. Davacılar ve Davalılar,
h. Uyuşmazlığın karşı tarafları,
ı. Tanıklar,
j. İlgili sağlık personeli (Raporu düzenleyen hekimler vb.),
k. İşverenler ve çalışanlar,
l. Yasal temsilciler, vasiler ve vekiller (Avukatlar vb.),
m. Adli veya tıbbi dosyaya dahil olan diğer ilgili üçüncü kişiler.

8.2. Veri Sorumlusu, platforma yüklediği her bir vaka veya dosya özelinde işlenen ilgili kişi gruplarının kapsamını yürürlükteki mevzuata ve hizmetin niteliğine göre belirlemekle yükümlüdür.

9. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

9.1. Veri Sorumlusu;

a. Platforma aktardığı kişisel verilerin MDLife Sağlık Asistanlığı & Raporlandırma tarafından işlenmesi için yürürlükteki mevzuat kapsamında gerekli hukuki şartın mevcut olmasını,
b. Sağlık verileri ve diğer özel nitelikli kişisel veriler bakımından, ilgili mevzuatta öngörülen işleme şartlarının ve gerekli hukuki koşulların sağlanmış olmasını,
c. İlgili kişilerin, mevzuatın gerektirdiği hallerde kişisel verilerinin işlenmesi hakkında usulüne uygun şekilde aydınlatılmasını,
d. Mevzuat uyarınca açık rıza alınmasının veya başka bir izin, onay ya da hukuki şartın gerekli olduğu hallerde, ilgili şartların usulüne uygun şekilde yerine getirilmesini,
e. MDLife Sağlık Asistanlığı & Raporlandırma’ya aktardığı kişisel veriler ve belgeler bakımından gerekli hukuki yetkiye sahip olmasını ve bu verilerin MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılmasının hukuka uygun olmasını,
f. Hizmetin sunulması için gerekli olan verilerle sınırlı kalmasını, veri minimizasyonu ilkesine uygun hareket etmesini ve hizmet amacıyla ilgisi bulunmayan kişisel verileri MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarmamasını,
g. MDLife Sağlık Asistanlığı & Raporlandırma’ya sağladığı veri ve belgelerin, kendi sorumluluğundaki kayıtlar bakımından doğru, eksiksiz ve güncel olmasını,
h. MDLife Sağlık Asistanlığı & Raporlandırma’ya verdiği talimatların açık, belirli, hukuka uygun ve ilgili hizmetin gerçekleştirilmesi için gerekli kapsamla sınırlı olmasını,
ı. İlgili kişiler tarafından yöneltilen ve Veri Sorumlusu’nun veri sorumlusu sıfatından kaynaklanan KVKK kapsamındaki başvuruların mevzuata uygun şekilde karşılanmasını ve gerekli işlemlerin yerine getirilmesini,
j. Kendi faaliyetleri, mesleki yükümlülükleri ve veri sorumlusu sıfatıyla gerçekleştirdiği veri işleme faaliyetlerinden doğan kanuni yükümlülüklerini yerine getirmesini,

kabul, beyan ve taahhüt eder.

9.2. Veri Sorumlusu’nun işbu maddede düzenlenen yükümlülüklerini ihlal etmesi nedeniyle, MDLife Sağlık Asistanlığı & Raporlandırma’nın hukuka uygun şekilde hareket etmesine rağmen, yetkili kamu kurum veya kuruluşları tarafından MDLife Sağlık Asistanlığı & Raporlandırma hakkında idari yaptırım uygulanması veya üçüncü kişiler tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya karşı hukuka aykırı veri aktarımı ya da Veri Sorumlusu’nun hukuka aykırı talimatları nedeniyle bir talepte bulunulması halinde, Veri Sorumlusu; söz konusu yaptırım, talep veya zararın kendi ihlali ile doğrudan bağlantılı ve ispatlanabilir olması ölçüsünde MDLife Sağlık Asistanlığı & Raporlandırma’nın uğradığı doğrudan zararları, yargılama ve hukuki danışmanlık giderlerini tazmin etmekle yükümlüdür.

9.3. Veri Sorumlusu’nun tazmin yükümlülüğü, MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi kusurundan, kastından, ağır kusurundan, mevzuattan doğan bağımsız yükümlülüklerini ihlal etmesinden veya MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi faaliyetlerinden kaynaklanan zararlar bakımından uygulanmaz.

9.4. Veri Sorumlusu, ilgili kişilerin KVKK kapsamındaki haklarının kullanılabilmesi için gerekli bilgi ve belgeleri sağlamak, kendi veri sorumluluğu kapsamında gerçekleştirilmesi gereken başvuru ve talepleri sonuçlandırmak ve gerekli hallerde MDLife Sağlık Asistanlığı & Raporlandırma ile iş birliği yapmakla yükümlüdür.

9.5. Veri Sorumlusu tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya verilen talimatların hukuka aykırı olduğunun MDLife Sağlık Asistanlığı & Raporlandırma tarafından makul şekilde tespit edilmesi veya bu yönde ciddi bir şüphe oluşması halinde MDLife Sağlık Asistanlığı & Raporlandırma, ilgili talimatı yerine getirmeden önce Veri Sorumlusu’ndan talimatın hukuka uygunluğunu açıklamasını veya gerekli hukuki dayanağı göstermesini talep edebilir. Hukuka aykırılığın giderilmemesi halinde MDLife Sağlık Asistanlığı & Raporlandırma, ilgili veri işleme faaliyetini geçici olarak durdurabilir veya gerekli teknik ve hukuki tedbirleri alabilir.

10. MDLİFE SAĞLIK ASİSTANLIĞI & RAPORLANDIRMA’NIN YÜKÜMLÜLÜKLERİ

10.1. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verileri yalnızca Veri Sorumlusu’nun hukuka uygun, açık ve belgelenebilir talimatları doğrultusunda ve işbu VİS’te belirlenen amaç, kapsam ve süre ile sınırlı olarak işler.

10.2. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından kendisine aktarılan kişisel verileri; işbu VİS’te belirtilen hizmet amaçları, Veri Sorumlusu’nun hukuka uygun talimatları, hizmetin sunulması için zorunlu teknik işlemler ve yürürlükteki mevzuattan doğan yükümlülükler dışında kendi bağımsız ticari amaçları için kullanamaz. Bu kapsamda, kişisel veriler yapay zekâ modellerinin eğitilmesi, geliştirilmesi veya test edilmesi amacıyla kullanılamaz.

10.3. MDLife Sağlık Asistanlığı & Raporlandırma, işlediği kişisel verilerin hukuka aykırı olarak işlenmesini, yetkisiz erişimi, kaybını, değiştirilmesini, açıklanmasını veya yetkisiz aktarılmasını önlemek amacıyla; verinin niteliğini, işleme faaliyetinin risklerini, teknolojik imkânları ve makul uygulama maliyetlerini dikkate alarak yürürlükteki mevzuat kapsamında uygun teknik ve idari güvenlik tedbirlerini uygular. Bu kapsamda, uygulanabilir olduğu ölçüde erişim yetkilendirmesi, kimlik doğrulama, şifreleme, kayıt ve izleme mekanizmaları, yedekleme, güvenlik testleri ve benzeri tedbirler kullanılabilir.

10.4. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilere erişimi görev ve yetki kapsamı ile sınırlı olan personelinin, hizmet sağlayıcılarının ve alt işleyenlerinin kişisel verilerin gizliliğine ilişkin yasal, sözleşmesel veya görevlerinden kaynaklanan gizlilik yükümlülüğü altında olmasını sağlar.

10.5. MDLife Sağlık Asistanlığı & Raporlandırma, işlediği kişisel verilere ilişkin bir kişisel veri güvenliği ihlalini veya yetkisiz erişim olayını tespit etmesi halinde, olayın niteliği hakkında ilk değerlendirmeyi yaparak gecikmeksizin ve mümkün olan en kısa sürede, hedef olarak 24 (yirmi dört) saat içerisinde Veri Sorumlusu’na bildirir. İlk bildirim sırasında mevcut olmayan bilgiler, olayın incelenmesi ve doğrulanması sonrasında makul süre içerisinde tamamlayıcı bildirimlerle Veri Sorumlusu’na iletilir. Bildirim, olayın bilinen veya makul ölçüde öngörülebilen niteliğini, etkilenen veri kategorilerini, olası etkileri ve olayın sınırlandırılması veya giderilmesi için alınan veya alınması planlanan önlemleri, mevcut olduğu ölçüde içerir.

10.6. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun işbu VİS kapsamındaki hukuka uygun ve makul talimatlarını, talimatın niteliğine ve teknik gerekliliklerine göre makul süre içerisinde yerine getirir. Talimatın yerine getirilmesi için ek teknik çalışma veya makul olmayan ölçüde kaynak gerektiren durumlarda taraflar uygulanabilir süre ve yöntemi birlikte belirler.

10.7. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından verilen bir talimatın yürürlükteki mevzuata açıkça aykırı olduğunu tespit etmesi veya makul olarak değerlendirmesi halinde, söz konusu talimatı yerine getirmeden önce Veri Sorumlusu’nu gecikmeksizin bilgilendirir. MDLife Sağlık Asistanlığı & Raporlandırma, hukuka aykırılığı giderilmeyen talimatı yerine getirmekten kaçınabilir.

10.8. MDLife Sağlık Asistanlığı & Raporlandırma, verilerin niteliği ve sahip olduğu teknik imkânlar ölçüsünde, Veri Sorumlusu’nun ilgili kişiler tarafından yöneltilen KVKK kapsamındaki başvuruları cevaplamasına ve veri sorumlusu sıfatından doğan yükümlülüklerini yerine getirmesine makul teknik destek sağlar. MDLife Sağlık Asistanlığı & Raporlandırma’nın bu kapsamda gerçekleştireceği işlemler, Veri Sorumlusu’nun veri sorumlusu sıfatını veya ilgili kişiler karşısındaki hukuki sorumluluğunu ortadan kaldırmaz.

10.9. MDLife Sağlık Asistanlığı & Raporlandırma, veri işleme faaliyetlerinin ve bilgi güvenliğinin gerektirdiği sistem erişim kayıtlarını, işlem kayıtlarını ve siber güvenlik kayıtlarını yürürlükteki mevzuat, güvenlik politikaları ve uygulanabilir saklama süreleri kapsamında güvenli şekilde tutar.

10.10. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun talebi üzerine, işbu VİS kapsamındaki yükümlülüklerine uyduğunu göstermek için gerekli ve makul bilgi ve belgeleri, ticari sırları, güvenlik açısından hassas bilgileri ve diğer Kullanıcıların verilerini koruyacak şekilde sağlamakla yükümlüdür.

11. TALİMAT İLKESİ

11.1. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından verilen hukuka uygun, açık ve belgelenebilir talimatlar doğrultusunda ve işbu VİS’te belirlenen amaç, kapsam ve sınırlar içerisinde kişisel verileri işler.

11.2. Veri Sorumlusu veya Veri Sorumlusu tarafından platform üzerinde yetkilendirilmiş kullanıcıların kullanıcı arayüzü üzerinden gerçekleştirdiği ve kişisel verilerin işlenmesini gerektiren;

a. Belge veya rapor yükleme,
b. OCR ve metin çıkarma işlemlerini başlatma,
c. Yapay zekâ destekli analiz işlemini başlatma,
d. Adli, tıbbi veya hukuki rapor, taslak veya hesaplama çıktısı oluşturma işlemini başlatma,
e. Veri, vaka veya dosya paylaşma,
f. Veri silme veya veri tabanından dışa aktarma (export)

gibi işlemler, hizmetin niteliği gereği Veri Sorumlusu tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya verilmiş veri işleme talimatı olarak kabul edilir.

11.3. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından verilen bir talimatın yürürlükteki mevzuata veya Kişisel Verileri Koruma Kurulu’nun bağlayıcı nitelikteki kararlarına açıkça aykırı olduğunu tespit etmesi veya makul olarak değerlendirmesi halinde, Veri Sorumlusu’nu gecikmeksizin bilgilendirir ve gerekli olması halinde söz konusu talimatı yerine getirmeyi geçici olarak durdurabilir.

11.4. Hukuka aykırı olduğu bildirilen talimatın sürdürülmesi veya aykırılığın makul süre içerisinde giderilmemesi halinde MDLife Sağlık Asistanlığı & Raporlandırma, ilgili veri işleme faaliyetini yerine getirmeyi reddedebilir, ilgili hizmeti geçici olarak durdurabilir veya gerekli teknik ve güvenlik tedbirlerini uygulayabilir. Bu nedenle gerçekleştirilen işlemin durdurulmasından kaynaklanan Bakiye veya ücret sonuçları, işbu VİS, Kullanım Koşulları’nın Bakiye ve Ücretlendirme hükümleri, Mesafeli Satış Sözleşmesi ve yürürlükteki mevzuat hükümleri çerçevesinde değerlendirilir. MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi kusurundan kaynaklanan veya mevzuat uyarınca zorunlu olan iade ve diğer haklar saklıdır.

11.5. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun hukuka uygun talimatı veya sistem üzerinde gerçekleştirdiği işlem bulunmaksızın, kişisel verilerin işlenme amaçlarını ve kapsamını kendi bağımsız ticari amaçları doğrultusunda değiştiremez. Hizmetin sunulması, bilgi güvenliği, teknik altyapının işletilmesi, hata yönetimi, yedekleme, mevzuattan doğan yükümlülükler ve işbu VİS’te açıkça düzenlenen diğer zorunlu teknik işlemler bu hükmün kapsamı dışındadır.

11.6. Veri Sorumlusu, platform üzerinde kendisi adına işlem gerçekleştiren kullanıcıların yetkilendirilmesinden, bu kullanıcıların verdiği talimatların kendi adına verilmiş sayılmasından ve kullanıcı yetkilerinin gerektiğinde güncellenmesinden veya kaldırılmasından sorumludur.

13. MDLİFE SAĞLIK ASİSTANLIĞI & RAPORLANDIRMA’NIN KENDİ AMAÇLARI İÇİN VERİ KULLANMAMASI

12.1. Veri Sorumlusu veya Veri Sorumlusu tarafından yetkilendirilen kullanıcılar tarafından platforma yüklenen hasta, müvekkil, vaka veya diğer üçüncü kişilere ait gerçek kişilere ilişkin kişisel veriler, işbu VİS kapsamında belirlenen hizmetin sunulması amacı ve Veri Sorumlusu’nun hukuka uygun talimatları dışında, MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi bağımsız amaçları doğrultusunda kullanılamaz. Bu kapsamda söz konusu veriler;

a. Reklam, pazarlama veya tanıtım faaliyetlerinde,

b. Üçüncü kişilere yönelik bağımsız profil oluşturma veya davranışsal analiz süreçlerinde,

c. Hizmetin sunulması için gerekli olmayan bağımsız ticari analizlerde,

d. Veri satışı, kiralanması veya hizmet amacı dışında üçüncü kişilerle paylaşılması faaliyetlerinde,

e. Hizmet amacı dışında kişisel veri zenginleştirme, eşleştirme veya başka veri setleriyle birleştirme faaliyetlerinde,

kullanılamaz.

12.2. MDLife Sağlık Asistanlığı & Raporlandırma, üçüncü kişilere ait kişisel verileri, Veri Sorumlusu’nun hukuka uygun ve belgelenebilir talimatları ile işbu VİS’te belirlenen amaç, kapsam ve süre dışında kendi bağımsız amaçları doğrultusunda işlemleyemez. MDLife Sağlık Asistanlığı & Raporlandırma’nın belirli bir işleme faaliyeti bakımından işleme amaçlarını ve vasıtalarını kendisinin belirlemeye başlaması halinde, ilgili faaliyet bakımından Veri Sorumlusu ve Veri İşleyen rollerinin fiili işleme faaliyetine göre yeniden değerlendirilmesi ve gerekli hukuki yükümlülüklerin ayrıca uygulanması gerekir.

12.3. MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi kullanıcı hesabı yönetimi, üyelik, faturalama, tahsilat, sözleşme ilişkisi, sistem güvenliği, yetkilendirme, teknik destek ve hizmet ilişkisinin yürütülmesi kapsamında doğrudan Veri Sorumlusu’na veya Kullanıcı’ya ait ad, soyad, iletişim bilgileri, fatura bilgileri, hesap bilgileri ve benzeri veriler üzerinde kendi amaçları doğrultusunda gerçekleştirdiği veri işleme faaliyetleri, üçüncü kişilere ait hasta, vaka, müvekkil veya diğer kişisel verilerin işlenmesinden ayrı değerlendirilir.

12.4. MDLife Sağlık Asistanlığı & Raporlandırma’nın 12.3. madde kapsamındaki veri işleme faaliyetleri bakımından Veri Sorumlusu sıfatıyla hareket etmesi, Veri Sorumlusu tarafından hizmetin sunulması amacıyla MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan üçüncü kişilere ait kişisel veriler bakımından Veri İşleyen olarak üstlendiği yükümlülükleri ortadan kaldırmaz.

13. YAPAY ZEKÂ VE MODEL EĞİTİMİ

13.1. MDLife Sağlık Asistanlığı & Raporlandırma’nın yapay zekâ ve makine öğrenmesi sistemleri, Veri Sorumlusu’nun platform üzerindeki hukuka uygun talebi doğrultusunda, hizmetin sunulması amacıyla kişisel verileri anlık olarak analiz edebilir, çıkarım (inference) gerçekleştirebilir ve buna dayalı hizmet çıktıları oluşturabilir.

13.2. Bir kişisel verinin yapay zekâ sistemi tarafından hizmetin sunulması amacıyla anlık olarak işlenmesi, analiz edilmesi veya çıkarım (inference) işlemine tabi tutulması, tek başına söz konusu verinin model eğitimi, ince ayar (fine-tuning) veya model geliştirme amacıyla kullanıldığı anlamına gelmez. Bu tür işleme faaliyetleri, hizmetin sunulması için gerekli olduğu ölçüde VİS kapsamında gerçekleştirilir.

13.3. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından platforma yüklenen hasta, müvekkil, vaka veya diğer üçüncü kişilere ait gerçek kişilere ilişkin kişisel verileri;

a. Yapay zekâ modeli eğitimi,

b. Modelin ince ayarı (fine-tuning),

c. Temel model veya yardımcı modellerin geliştirilmesi,

d. Model performansını bağımsız olarak geliştirme veya değerlendirme,

e. Hizmetin sunulması amacı dışında yapay zekâ sistemi geliştirme,

amacıyla kullanamaz.

13.4. Hizmetin sunulması sırasında yapay zekâ sistemlerine aktarılan kişisel veriler, yalnızca ilgili hizmet çıktısının oluşturulması ve teknik olarak gerekli işlem süreçlerinin yürütülmesi amacıyla işlenebilir. Bu veriler, model eğitimine veya model parametrelerinin değiştirilmesine kaynak oluşturacak şekilde kullanılmaz.

13.5. MDLife Sağlık Asistanlığı & Raporlandırma’nın ileride üçüncü kişilere ait müşteri, hasta, vaka veya diğer kişisel verileri model eğitimi, ince ayar veya model geliştirme amacıyla kullanmak istemesi halinde, bu işlem mevcut hizmet kapsamında kendiliğinden gerçekleştirilemez. Böyle bir kullanım ancak;

a. Yeni işleme amacının açık ve belirli şekilde tanımlanması,

b. Veri Sorumlusu ve Veri İşleyen rollerinin ilgili işleme faaliyeti bakımından yeniden değerlendirilmesi,

c. İşlemenin hukuki sebebinin ve gerekli hukuki şartların belirlenmesi,

d. İlgili kişilere yapılması gereken aydınlatmaların gerçekleştirilmesi,

e. Gerekli olması halinde ilgili kişilerden ayrıca ve hukuken geçerli bir izin veya açık rıza alınması,

f. Özellikle özel nitelikli kişisel veriler bakımından ilgili mevzuatta aranan şartların ayrıca değerlendirilmesi,

g. Veri Sorumlusu’nun söz konusu verileri bu yeni amaçla işleme ve aktarma konusunda gerekli hukuki yetkiye sahip olduğunun değerlendirilmesi,

h. Kullanılacak veri setinin, canlı hizmet verilerinden ayrı olarak yönetilmesi ve uygun erişim, güvenlik, kayıt ve veri yönetişimi tedbirlerinin uygulanması,

suretiyle ve yürürlükteki mevzuata uygun ayrı bir hukuki ve teknik süreç oluşturulması halinde gerçekleştirilebilir.

13.6. 13.5. maddede belirtilen yeni amaç ve süreçler oluşturulmadıkça, Veri Sorumlusu tarafından hizmetin sunulması amacıyla MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan kişisel verilerin model eğitimi, ince ayar veya bağımsız model geliştirme amacıyla kullanılması yasaktır.

14. GİZLİLİK VE MESLEKİ SIR

14.1. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu tarafından hizmetin sunulması amacıyla kendisine aktarılan veya hizmet kapsamında eriştiği tüm kişisel verilerin, belgelerin ve vaka bilgilerinin gizliliğini korumak ve bunları yalnızca işbu VİS, Veri Sorumlusu’nun hukuka uygun talimatları ve yürürlükteki mevzuat kapsamında işlemekle yükümlüdür.

14.2. MDLife Sağlık Asistanlığı & Raporlandırma personeli, hizmet sağlayıcıları ve işbu VİS kapsamında kişisel verilere erişebilen alt işleyenler, görevleri veya hizmetleri kapsamında eriştikleri kişisel veriler ve gizli bilgiler bakımından yürürlükteki mevzuattan ve ilgili sözleşmelerden doğan gizlilik ve sır saklama yükümlülüklerine tabi tutulur.

14.3. MDLife Sağlık Asistanlığı & Raporlandırma bünyesinde kişisel verilere erişim, görev ve yetkinin gerektirdiği ölçüde ve “bilmesi gereken” (need-to-know) ilkesi doğrultusunda yetkilendirilmiş personel ile sınırlıdır. Erişim yetkileri görev, rol ve teknik gereklilikler esas alınarak belirlenir ve gerektiğinde gözden geçirilir veya kaldırılır.

14.4. Destek personelinin vaka veya belge verilerine erişiminin teknik olarak mümkün olduğu durumlarda erişim, mümkün olan ölçüde;

a. Belirli bir vaka veya dosya,

b. Belirli bir Kullanıcı veya hesap,

c. Belirli bir destek talebi (ticket),

d. Belirli ve gerekli süre,

ile sınırlandırılır.

14.5. Destek erişiminin Veri Sorumlusu’nun ayrıca onayına tabi olduğu durumlarda erişim, Veri Sorumlusu tarafından verilen izin ile platform üzerinde tanımlanan kapsam ve süreyle sınırlıdır. Erişim yetkisi, destek ihtiyacının sona ermesi, destek talebinin kapatılması veya tanımlanan sürenin dolmasıyla mümkün olan ölçüde otomatik olarak veya gecikmeksizin kaldırılır.

14.6. MDLife Sağlık Asistanlığı & Raporlandırma’nın personeli, hizmet sağlayıcıları ve alt işleyenleri, eriştikleri kişisel verileri kendi kişisel amaçları veya hizmetin sunulmasıyla ilgisi bulunmayan ticari amaçlar doğrultusunda kullanamaz; yetkileri dışında kopyalayamaz, indiremez, aktaramaz veya sistem dışına çıkaramaz.

14.7. Veri Sorumlusu tarafından MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan verilerin kanun, meslek kuralları veya ilgili mesleki düzenlemeler kapsamında sır veya gizlilik niteliği taşıması halinde, bu nitelik verilerin MDLife Sağlık Asistanlığı & Raporlandırma altyapısına aktarılmasıyla ortadan kalkmaz. MDLife Sağlık Asistanlığı & Raporlandırma, kendisine aktarılan bu tür bilgileri işbu VİS ve yürürlükteki mevzuat kapsamında gizli tutmak ve yalnızca hizmetin sunulması için gerekli olduğu ölçüde işlemekle yükümlüdür.

14.8. İşbu maddede düzenlenen gizlilik ve sır saklama yükümlülükleri, kişisel verilerin korunmasına ilişkin mevzuattan doğan yükümlülükler, kanuni saklama yükümlülükleri ve niteliği gereği devam etmesi gereken diğer yükümlülükler saklı kalmak üzere, hizmet ilişkisi veya VİS herhangi bir nedenle sona erse dahi devam eder.

15. ALT İŞLEYENLER VE VERİ AKTARIMI

15.1. MDLife Sağlık Asistanlığı & Raporlandırma, hizmetin güvenli, sürekli, ölçeklenebilir ve teknik olarak sürdürülebilir şekilde sunulabilmesi amacıyla, kişisel verilerin işlenmesini gerektiren teknik hizmetlerin belirli bölümlerinde alt işleyenlerden (sub-processor) yararlanabilir.

15.2. Alt işleyenler, hizmetin teknik mimarisine ve ihtiyaçlarına bağlı olarak; barındırma ve bulut altyapısı, veri depolama ve yedekleme, e-posta ve bildirim altyapısı, OCR ve belge işleme, siber güvenlik, teknik izleme, sistem yönetimi ve benzeri teknik hizmetleri sağlayan üçüncü taraflardan oluşabilir.

MDLife Sağlık Asistanlığı & Raporlandırma’nın müşteri ve vaka verilerine ilişkin mevcut yapay zekâ mimarisinde, söz konusu kişisel veriler üçüncü taraf yapay zekâ model veya API sağlayıcılarına model eğitimi, ince ayar veya bağımsız model geliştirme amacıyla aktarılmaz. Hizmet mimarisinde ileride üçüncü taraf bir yapay zekâ sağlayıcısının kişisel verilere erişimini gerektiren bir değişiklik yapılması halinde, bu sağlayıcı ve ilgili veri işleme faaliyeti Ek-1 kapsamında ayrıca gösterilir ve yürürlükteki mevzuata uygunluk ayrıca sağlanır.

15.3. Sözleşmenin yürürlüğe girdiği tarihte aktif olarak kullanılan ve kişisel verilere erişimi veya kişisel verilerin işlenmesini gerektiren alt işleyenler, işbu VİS’in ayrılmaz parçası olan Ek-1 — Alt İşleyenler Listesi‘nde gösterilir.

15.4. Ek-1’de her bir alt işleyen bakımından, mümkün ve uygulanabilir olduğu ölçüde;

a. Resmî ticari unvanı,

b. Sağladığı hizmetin niteliği,

c. Faaliyet gösterdiği veya kuruluşunun bulunduğu ülke,

d. İşlediği kişisel veri kategorileri,

e. Verilerin saklandığı veya işlendiği ülke ve lokasyon bilgileri,

f. Varsa yurt dışına veri aktarımının hukuki mekanizması,

g. Kişisel verilerin model eğitimi, ince ayar veya benzeri amaçlarla kullanılıp kullanılmadığı,

h. Veri saklama ve imha uygulamalarına ilişkin temel bilgiler,

belirtilir.

15.5. Yeni Alt İşleyen Ekleme ve Değişiklik Usulü

MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilere erişimi veya kişisel verilerin işlenmesini gerektiren yeni bir alt işleyen kullanmaya başlamadan veya mevcut bir alt işleyeni değiştirmeden önce, bu değişikliği yürürlüğe girmesinden en az 7 (yedi) iş günü önce platform arayüzü veya e-posta yoluyla Veri Sorumlusu’na bildirir.

Veri Sorumlusu, bildirimin kendisine ulaştığı tarihten itibaren 7 (yedi) iş günü içinde, somut ve makul bir hukuki veya veri koruma gerekçesine dayanarak yazılı itirazda bulunabilir. Süresi içinde ve somut bir gerekçeye dayalı olarak itiraz edilmemesi halinde, ilgili alt işleyen bakımından değişiklik kabul edilmiş sayılır.

Haklı bir itirazın ileri sürülmesi halinde taraflar, mümkün olduğu ölçüde ilgili alt işleyenin değiştirilmesi, teknik çözümün uyarlanması veya veri işleme faaliyetinin farklı bir yöntemle gerçekleştirilmesi gibi alternatifleri makul süre içinde değerlendirmek üzere iş birliği yapar.

Tarafların makul bir çözüm üzerinde anlaşamaması ve alt işleyenin kullanılmasının veri koruma bakımından devam eden bir risk oluşturması halinde, Veri Sorumlusu, hizmetin tamamını veya ilgili hizmeti kullanmayı sonlandırarak hesabını kapatabilir. Bu durumda sözleşmenin sona ermesine, verilerin iadesine, silinmesine, saklanmasına ve varsa kullanılmamış bakiye veya ücretlere ilişkin hükümler işbu VİS, Kullanıcı Sözleşmesi ve ilgili diğer sözleşme ve politikalar uyarınca uygulanır.

15.6. Yurt Dışına Veri Aktarımı

Ek-1’de yer alan bir alt işleyenin kişisel verileri yurt dışında işlemesi veya kişisel verilerin yurt dışına aktarılmasını gerektirmesi halinde MDLife Sağlık Asistanlığı & Raporlandırma, ilgili işleme ve aktarım faaliyetini yürürlükteki KVKK mevzuatı, özellikle kişisel verilerin yurt dışına aktarılmasına ilişkin hükümler ve Kişisel Verileri Koruma Kurulu’nun ilgili düzenleme ve kararları çerçevesinde gerçekleştirir.

Yurt dışına aktarımın hukuki şartlarının oluşması için gerekli olduğu hallerde, yürürlükteki mevzuatın öngördüğü uygun güvence mekanizmaları, standart sözleşmeler, bağlayıcı şirket kuralları, yeterlilik kararları veya diğer geçerli aktarım mekanizmaları kullanılır.

MDLife Sağlık Asistanlığı & Raporlandırma, yurt dışına veri aktarımının hukuki şartlarının oluşmadığı bir durumda ilgili kişisel verileri yurt dışına aktarmamak veya aktarıma dayalı hizmeti durdurmak için gerekli teknik ve idari tedbirleri alır.

15.7. Alt İşleyenlerin Sorumluluğu

MDLife Sağlık Asistanlığı & Raporlandırma, kişisel veri işleme faaliyetine dahil ettiği alt işleyenlerin, işleme faaliyetinin niteliğine uygun şekilde işbu VİS’te öngörülen veri koruma, gizlilik, güvenlik ve talimatlara uyma yükümlülüklerini yerine getirmesini sözleşmesel olarak güvence altına alır.

Alt işleyen, yalnızca MDLife Sağlık Asistanlığı & Raporlandırma tarafından kendisine verilen ve işbu VİS ile uyumlu talimatlar kapsamında kişisel verileri işleyebilir ve kendisine verilen yetki ve amaçların dışında veri kullanamaz.

Alt işleyenin kendi faaliyetinden kaynaklanan veri güvenliği ihlali, hukuka aykırı işleme veya sözleşmeye aykırılık nedeniyle doğabilecek sorumluluklar bakımından MDLife Sağlık Asistanlığı & Raporlandırma’nın Veri Sorumlusu’na karşı işbu VİS ve yürürlükteki mevzuat kapsamındaki sorumluluğu saklıdır.

15.8. MDLife Sağlık Asistanlığı & Raporlandırma, alt işleyenlerin kişisel verilere erişimini yalnızca hizmetin sunulması için gerekli kapsamla sınırlandırır ve alt işleyenlerin erişim, işleme, saklama ve imha süreçlerinin ilgili hizmetin gerektirdiği kapsamda yürütülmesini sağlamaya yönelik makul teknik ve idari tedbirleri uygular.

16. VERİ LOKASYONU VE YURT DIŞI AKTARIM

16.1. MDLife Sağlık Asistanlığı & Raporlandırma, hizmet kapsamında Veri Sorumlusu tarafından aktarılan kişisel verileri ve bu verilere ilişkin hizmet altyapısını, mevcut teknik mimarisi kapsamında Türkiye Cumhuriyeti sınırları içerisinde bulunan ve uygun teknik ve idari güvenlik tedbirleri uygulanan sistemlerde barındırır ve işler.

16.2. Mevcut hizmet mimarisi kapsamında, Veri Sorumlusu tarafından hizmetin sunulması amacıyla MDLife Sağlık Asistanlığı & Raporlandırma’ya aktarılan kişisel veriler; hizmetin sunulması, teknik destek, hata tespiti, yapay zekâ ile analiz veya çıkarım (inference) süreçleri dahil olmak üzere herhangi bir amaçla, Veri Sorumlusu’nun açık ve hukuka uygun talimatı ve yürürlükteki mevzuatta öngörülen aktarım şartları bulunmaksızın yurt dışındaki herhangi bir üçüncü taraf alıcıya veya yapay zekâ hizmet sağlayıcısına aktarılmaz.

16.3. MDLife Sağlık Asistanlığı & Raporlandırma’nın mevcut hizmet mimarisinde kullandığı yapay zekâ model altyapısı ve bu altyapıya ilişkin veri depoları Türkiye’de konumlandırılmıştır. Hizmet kapsamında işlenen Veri Sorumlusu’na ait kişisel veriler, model eğitimi veya bağımsız model geliştirme amacıyla yurt dışındaki üçüncü taraf yapay zekâ sağlayıcılarına aktarılmaz.

16.4. Gelecekte hizmet altyapısının, kullanılan teknik sistemlerin veya alt işleyenlerin kişisel verilerin yurt dışında işlenmesini veya yurt dışına aktarılmasını gerektirecek şekilde değiştirilmesi halinde, bu değişiklik işbu VİS’in 15.5. maddesinde düzenlenen alt işleyen değişikliği usulüne uygun olarak Veri Sorumlusu’na bildirilir.

16.5. Yurt dışına kişisel veri aktarımının söz konusu olduğu durumlarda MDLife Sağlık Asistanlığı & Raporlandırma, aktarımı ancak yürürlükteki KVKK mevzuatında ve Kişisel Verileri Koruma Kurulu’nun ilgili düzenlemelerinde öngörülen aktarım şartlarının sağlanması halinde gerçekleştirir. Gerekli olduğu hallerde yeterlilik kararı, uygun güvenceler, standart sözleşme veya mevzuatta öngörülen diğer geçerli aktarım mekanizmaları uygulanır.

16.6. Yurt dışına aktarım için gerekli hukuki şartların sağlanamadığı durumlarda MDLife Sağlık Asistanlığı & Raporlandırma, ilgili kişisel verilerin yurt dışına aktarılmasını gerçekleştirmez ve ilgili teknik hizmetin yurt dışı aktarımı gerektiren kısmını kullanıma açmaz.

17. TEKNİK VE İDARİ TEDBİRLER

17.1. MDLife Sağlık Asistanlığı & Raporlandırma, işlenen kişisel verilerin niteliğini, özellikle sağlık ve adli nitelikteki verilerin hassasiyetini, işleme faaliyetinin kapsamını, mevcut teknolojik imkânları, uygulanması gereken maliyetleri ve ortaya çıkabilecek riskleri dikkate alarak; kişisel verilerin hukuka aykırı işlenmesini veya erişilmesini, kaybolmasını, değiştirilmesini, yok edilmesini ve yetkisiz şekilde açıklanmasını önlemeye yönelik uygun teknik ve idari tedbirleri uygular.

17.2. MDLife Sağlık Asistanlığı & Raporlandırma tarafından uygulanan teknik ve idari tedbirlerin temel unsurları, işbu VİS’in ayrılmaz parçası olan Ek-2 — Teknik ve İdari Tedbirler Listesi‘nde düzenlenmiştir. Bu tedbirler, risk seviyesine ve işlenen verilerin niteliğine göre; rol tabanlı erişim kontrolü, kimlik doğrulama ve yetkilendirme, erişim kayıtlarının tutulması ve izlenmesi, veri güvenliği, şifreleme, yedekleme, veri ayrıştırma, güvenlik testleri, güvenlik olaylarının izlenmesi ve gerektiğinde çok faktörlü kimlik doğrulama gibi kontrolleri içerebilir.

17.3. MDLife Sağlık Asistanlığı & Raporlandırma, teknolojik gelişmeler, güvenlik tehditleri, risk değerlendirmeleri, hizmet mimarisindeki değişiklikler ve mevzuattaki gelişmeler doğrultusunda teknik ve idari tedbirlerini güncelleyebilir, güçlendirebilir veya teknik uygulama yöntemlerini değiştirebilir. Yapılan değişiklikler, kişisel verilerin güvenliğini zayıflatacak şekilde uygulanamaz.

17.4. Ek-2’de belirtilen teknik ve idari tedbirler, hizmetin teknik mimarisine ve güncel risk durumuna göre uygulanır. MDLife Sağlık Asistanlığı & Raporlandırma, güvenlik amacıyla bazı teknik ayrıntıları, erişim yapılarını, sistem konfigürasyonlarını, güvenlik açıklarını veya test sonuçlarını Veri Sorumlusu’na açıklamama hakkını saklı tutar. Bu durum MDLife Sağlık Asistanlığı & Raporlandırma’nın işbu VİS kapsamındaki güvenlik yükümlülüklerini yerine getirme sorumluluğunu ortadan kaldırmaz.

17.5. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilere erişim yetkilerini görev ve ihtiyaç esasına göre sınırlandırır; görev veya yetkinin sona ermesi halinde ilgili erişim yetkilerinin kaldırılması veya güncellenmesi için gerekli işlemleri gerçekleştirir.

17.6. MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilerin güvenliğini etkileyebilecek bilgi güvenliği olaylarını tespit etmek, değerlendirmek, müdahale etmek ve gerektiğinde kayıt altına almak amacıyla uygun teknik ve idari süreçler uygular.

18. KİŞİSEL VERİ GÜVENLİĞİ İHLALLERİNİN BİLDİRİMİ VE DESTEK

18.1. MDLife Sağlık Asistanlığı & Raporlandırma, kendi kontrolü altındaki sistemlerde Veri Sorumlusu’na ait kişisel verilerin güvenliğini etkileyen bir kişisel veri güvenliği ihlalini tespit etmesi halinde, durumu gecikmeksizin ve mümkün olan en kısa sürede, hedef 24 (yirmi dört) saat içerisinde Veri Sorumlusu’na bildirir.

18.2. İlk bildirim sırasında olayın tüm ayrıntılarının henüz belirlenememiş olması halinde, MDLife Sağlık Asistanlığı & Raporlandırma mevcut bilgi ve belgeleri esas alarak bildirimde bulunur. Bildirim, mümkün olduğu ölçüde;

a. Kişisel veri güvenliği ihlalinin niteliğini ve gerçekleştiği veya tespit edildiği zamanı,

b. İhlalden etkilenmiş veya etkilenmesi muhtemel kişisel veri kategorilerini,

c. Biliniyorsa veya makul şekilde tahmin edilebiliyorsa etkilenen veya etkilenmesi muhtemel kişi sayısını,

d. İhlalin muhtemel sonuçlarını ve oluşturduğu riskleri,

e. İhlalin etkilerini azaltmak, kontrol altına almak ve tekrarını önlemek amacıyla MDLife Sağlık Asistanlığı & Raporlandırma tarafından alınan veya alınması planlanan teknik ve idari tedbirleri,

içerir.

18.3. MDLife Sağlık Asistanlığı & Raporlandırma, ilk bildirimden sonra olayın niteliği, kapsamı, etkilenen veri kategorileri, kişi sayısı, muhtemel sonuçları ve alınan tedbirler hakkında yeni ve doğrulanmış bilgilerin ortaya çıkması halinde, Veri Sorumlusu’na makul süre içinde ek bilgi ve güncellemeler sağlar.

18.4. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’nun ilgili kişisel veri güvenliği ihlalini yürürlükteki mevzuat kapsamında Kişisel Verileri Koruma Kurulu’na veya ilgili kişilere bildirmesi gerekmesi halinde, kendi kontrolünde bulunan bilgi ve belgelerle sınırlı olmak üzere gerekli teknik ve operasyonel desteği makul ölçüde ve gecikmeksizin sağlar.

18.5. MDLife Sağlık Asistanlığı & Raporlandırma, kendi sistemlerinde gerçekleşmeyen veya Veri Sorumlusu’nun kontrolü altındaki sistemlerden kaynaklanan kişisel veri güvenliği ihlallerinden sorumlu değildir. Bununla birlikte, söz konusu olay MDLife Sağlık Asistanlığı & Raporlandırma’nın sistemlerini, hizmetlerini veya kendisine aktarılan kişisel verileri etkilediği ölçüde, elindeki bilgi ve teknik imkânlar çerçevesinde Veri Sorumlusu ile iş birliği yapar.

18.6. MDLife Sağlık Asistanlığı & Raporlandırma tarafından gerçekleştirilen bildirimler, Veri Sorumlusu’nun veri sorumlusu sıfatıyla sahip olduğu kanuni bildirim yükümlülüklerini ortadan kaldırmaz. Taraflar, ihlalin etkilerinin sınırlandırılması, ilgili kişilerin ve yetkili kurumların zamanında bilgilendirilmesi ve gerekli düzeltici tedbirlerin alınması amacıyla makul ölçüde iş birliği yapar.

19. DENETİM VE BİLGİ TALEP USULÜ

19.1. Veri Sorumlusu, MDLife Sağlık Asistanlığı & Raporlandırma’nın işbu VİS kapsamındaki yükümlülüklere uyumunu değerlendirmek amacıyla, normal koşullarda yılda en fazla 1 (bir) defa olmak üzere MDLife Sağlık Asistanlığı & Raporlandırma’dan makul kapsamda bilgi ve belge talep edebilir. Talepler, işbu VİS kapsamındaki veri işleme faaliyetleriyle ilgili, belirli ve ölçülü olmalıdır.

19.2. Veri Sorumlusu’nun denetim ve bilgi talep hakkı; MDLife Sağlık Asistanlığı & Raporlandırma’nın ticari sırlarının, kaynak kodlarının, sistem mimarisinin güvenliğini sağlayan hassas teknik ayrıntıların, güvenlik açıklarının, diğer müşterilere ait verilerin veya üçüncü kişilerin gizli bilgilerinin ifşa edilmesine yol açacak şekilde kullanılamaz.

19.3. Denetim kapsamında MDLife Sağlık Asistanlığı & Raporlandırma’nın sistem odalarına, fiziksel sunucu alanlarına, üretim ortamlarına, kaynak kodlarına, güvenlik anahtarlarına, kimlik doğrulama bilgilerine veya diğer müşterilere ait verilere doğrudan erişim sağlanamaz. Bu alanların incelenmesi gerekli görüldüğünde, MDLife Sağlık Asistanlığı & Raporlandırma uygun gördüğü ölçüde güvenliği ve gizliliği koruyan alternatif bilgi ve kanıtları sunar.

19.4. Veri Sorumlusu tarafından gerçekleştirilecek denetim veya bilgi talepleri, MDLife Sağlık Asistanlığı & Raporlandırma’nın hizmet sürekliliğini, bilgi güvenliğini veya diğer müşterilerine sunduğu hizmetleri makul olmayan ölçüde aksatamaz. Denetimin kapsamı ve yöntemi taraflarca makul ölçüde iş birliği içinde belirlenir.

19.7. Aşağıdaki hallerde 19.1. maddede belirtilen yıllık sınır uygulanmaz:

a. Kişisel veri güvenliği ihlali veya ciddi bir güvenlik olayı meydana gelmesi veya bundan makul ölçüde şüphe edilmesi,

b. Yetkili kamu kurum veya kuruluşlarının denetim veya bilgi talebinin bulunması,

c. MDLife Sağlık Asistanlığı & Raporlandırma’nın işbu VİS kapsamındaki yükümlülüklerine ilişkin ciddi ve somut bir uyumsuzluk şüphesinin ortaya çıkması,

d. Yürürlükteki mevzuatın veya yetkili bir makamın daha kapsamlı bilgi veya denetim yapılmasını zorunlu kılması.

19.8. Denetim veya bilgi talebi kapsamında MDLife Sağlık Asistanlığı & Raporlandırma tarafından sağlanan belgeler ve bilgiler, Veri Sorumlusu tarafından yalnızca işbu VİS kapsamındaki uyum değerlendirmesi ve ilgili yasal yükümlülüklerin yerine getirilmesi amacıyla kullanılmalı ve gizli tutulmalıdır.

20. VERİLERİN İADESİ, SİLİNMESİ VE KALICI İMHASI

20.1. Veri Sorumlusu ile MDLife Sağlık Asistanlığı & Raporlandırma arasındaki hizmet ilişkisinin veya ilgili hizmet sözleşmesinin sona ermesi halinde, Veri Sorumlusu, hizmetin sona ermesinden önce veya hesabın kapatılması sürecinde platformda sunulan dışa aktarma (export) araçlarını kullanarak kendisine ait verileri dışa aktarabilir. Teknik olarak mümkün olduğu ölçüde Veri Sorumlusu, hesap kapatma tarihinden itibaren 30 (otuz) gün içerisinde verilerinin dijital ortamda kendisine iade edilmesini MDLife Sağlık Asistanlığı & Raporlandırma’dan talep edebilir.

20.2. İade süresinin sona ermesi veya Veri Sorumlusu’nun hukuka uygun şekilde silme talimatı vermesi halinde MDLife Sağlık Asistanlığı & Raporlandırma, yürürlükteki mevzuattan kaynaklanan saklama yükümlülükleri, yetkili makam talepleri, hukuki uyuşmazlıkların kurulması, kullanılması veya savunulması için gerekli saklama ve benzeri yasal zorunluluklar saklı kalmak üzere, Veri Sorumlusu’na ait aktif üretim sistemlerinde bulunan kişisel verileri ve vaka belgelerini güvenli şekilde siler, yok eder veya anonim hale getirir.

20.3. MDLife Sağlık Asistanlığı & Raporlandırma’nın yedekleme, felaket kurtarma veya iş sürekliliği sistemlerinde bulunan kişisel verilerin, kullanılan teknik altyapının niteliği nedeniyle aktif sistemlerden eş zamanlı olarak silinememesi halinde, söz konusu veriler ilgili yedekleme sistemlerinin olağan yaşam döngüsü kapsamında güvenli şekilde imha edilir.

20.4. Yedekleme sistemlerinde bulunan ve silinmesi beklenen kişisel veriler, yedekten geri yükleme veya felaket kurtarma gibi teknik olarak zorunlu haller dışında olağan operasyonel faaliyetlerde kullanılmaz; bu verilere erişim, erişim yetkisi bulunan sınırlı personel ve teknik süreçlerle kısıtlanır ve söz konusu veriler yeni bir işleme amacıyla kullanılmaz.

20.5. Yasal olarak saklanması gereken veriler, yalnızca ilgili yasal yükümlülüğün veya hukuki gerekliliğin devam ettiği süre boyunca ve gerekli olduğu kapsamla sınırlı olarak muhafaza edilir. Saklama süresinin sona ermesiyle birlikte söz konusu veriler yürürlükteki mevzuat ve MDLife Sağlık Asistanlığı & Raporlandırma’nın saklama ve imha politikaları doğrultusunda silinir, yok edilir veya anonim hale getirilir.

20.6. Verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi; MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi adına veri sorumlusu sıfatıyla işlediği kullanıcı hesabı, faturalama, muhasebe, güvenlik, işlem kayıtları veya kanuni yükümlülükleri kapsamında ayrıca saklanması gereken verilerin işlenmesini etkilemez. Bu tür veriler, ilgili işleme faaliyetine ilişkin hukuki sebep ve saklama süresiyle sınırlı olarak muhafaza edilir.

21. YETKİLİ MAKAMLARA VERİ AKTARIMI

21.1. MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’na ait kişisel verileri, Veri Sorumlusu’nun hukuka uygun ve belgelenebilir talimatı veya yürürlükteki mevzuattan kaynaklanan geçerli bir hukuki yükümlülük bulunmaksızın üçüncü kişilere aktaramaz veya erişime açamaz.

21.2. Adli makamlar, Cumhuriyet başsavcılıkları, mahkemeler, Kişisel Verileri Koruma Kurumu ve Kurul, kolluk birimleri veya kişisel veri koruma mevzuatı kapsamında yetkili diğer kamu kurum ve kuruluşları tarafından, kanuni yetkiye dayanılarak usulüne uygun ve bağlayıcı şekilde talep edilen kişisel veriler, gerekli olduğu ölçüde ilgili hukuki yükümlülüğün yerine getirilmesi amacıyla aktarılabilir veya erişime sunulabilir.

21.3. MDLife Sağlık Asistanlığı & Raporlandırma, yetkili makam tarafından yöneltilen talebin kapsamını ve hukuki dayanağını, uygulanabilir olduğu ölçüde değerlendirir ve yalnızca talebin yerine getirilmesi için gerekli kişisel verileri aktarır. Talebin açıkça hukuki dayanağının bulunmadığının veya yetki kapsamını aştığının anlaşılması halinde, MDLife Sağlık Asistanlığı & Raporlandırma gerekli gördüğü hukuki ve teknik değerlendirmeleri yapabilir.

21.4. Kanunen bildirim yapılmasının yasaklanmadığı ve bildirimin soruşturmanın, adli sürecin veya hukuki yükümlülüğün yerine getirilmesini tehlikeye atmayacağı hallerde, MDLife Sağlık Asistanlığı & Raporlandırma yapılan aktarım veya talep hakkında Veri Sorumlusu’nu makul ölçüde bilgilendirir.

21.5. Yetkili makam tarafından getirilen gizlilik, bildirim yasağı veya benzeri bir hukuki kısıtlama bulunması halinde MDLife Sağlık Asistanlığı & Raporlandırma, Veri Sorumlusu’na bildirimde bulunmamak veya bildirimi hukuken izin verilen zamana kadar ertelemek zorunda olabilir.

21.6. MDLife Sağlık Asistanlığı & Raporlandırma tarafından bu madde kapsamında gerçekleştirilen aktarımlar, yalnızca ilgili hukuki yükümlülüğün yerine getirilmesi için gerekli kapsamla sınırlı tutulur ve mümkün olduğu ölçüde ilgili işlem kayıt altına alınır.

22. SÖZLEŞMENİN SÜRESİ, YÜRÜRLÜK VE GENEL HÜKÜMLER

22.1. İşbu VİS, Veri Sorumlusu’nun Kullanıcı Sözleşmesi’ni veya ilgili hizmet sözleşmesini elektronik ortamda kabul etmesiyle yürürlüğe girer ve taraflar arasındaki kişisel veri işleme faaliyetinin devam ettiği süre boyunca yürürlükte kalır. Ana hizmet ilişkisinin veya Kullanıcı Sözleşmesi’nin herhangi bir nedenle sona ermesi halinde, işbu VİS de ilgili veri işleme faaliyetlerinin sona ermesiyle birlikte sona erer. Bununla birlikte, niteliği gereği sözleşmenin sona ermesinden sonra da uygulanması gereken hükümler yürürlükte kalmaya devam eder.

22.2. Sözleşmenin sona ermesi halinde kişisel verilerin iadesi, dışa aktarılması, silinmesi, yok edilmesi veya anonim hale getirilmesi bakımından işbu VİS’in 20. maddesinde düzenlenen hükümler uygulanır. Yasal saklama yükümlülükleri, hukuki uyuşmazlıkların kurulması, kullanılması veya savunulması için gerekli saklama ve benzeri kanuni yükümlülükler saklıdır.

22.3. İşbu VİS kapsamında düzenlenen gizlilik, sır saklama, kişisel verilerin korunması, veri güvenliği, kanuni saklama ve sözleşmenin sona ermesinden sonra niteliği gereği uygulanması gereken diğer yükümlülükler, ilgili yükümlülüğün niteliği ve yürürlükteki mevzuat uyarınca gerekli olduğu ölçüde sözleşmenin sona ermesinden sonra da devam eder.

22.4. Veri Sorumlusu’nun platform üzerinden gerçekleştirdiği elektronik kabul işlemine ilişkin tarih ve saat bilgisi, elektronik kayıtlar, IP adresi, kullanıcı hesabı bilgileri ve sistem logları, elektronik sözleşmenin hangi sürümünün ne zaman ve hangi kullanıcı hesabı üzerinden kabul edildiğinin tespitinde delil olarak kullanılabilir. Bu kayıtların delil niteliği ve ispat gücü, yürürlükteki usul hukuku hükümlerine tabidir.

22.5. İşbu VİS’in herhangi bir hükmünün yetkili bir makam veya mahkeme tarafından geçersiz, hükümsüz veya uygulanamaz olduğuna karar verilmesi halinde, ilgili hüküm hukuken geçerli ve uygulanabilir olduğu ölçüde daraltılarak uygulanır; bunun mümkün olmaması halinde yalnızca ilgili hüküm geçersiz sayılır. Bu durum, diğer hükümlerin geçerliliğini ve uygulanabilirliğini etkilemez.

22.6. İşbu VİS ile Kullanıcı Sözleşmesi, KVKK Aydınlatma Metni, ilgili veri işleme ve güvenlik politikaları veya diğer sözleşme ve belgeler arasında kişisel verilerin işlenmesine ilişkin bir çelişki bulunması halinde, ilgili işleme faaliyetinin niteliğine göre özel olarak düzenlenmiş hüküm uygulanır. Veri Sorumlusu ile MDLife Sağlık Asistanlığı & Raporlandırma arasındaki üçüncü kişilere ait kişisel verilerin işlenmesine ilişkin konularda işbu VİS hükümleri esas alınır.

EK-1 — ALT İŞLEYENLER VE HİZMET SAĞLAYICILARI LİSTESİ

MDLife Sağlık Asistanlığı & Raporlandırma tarafından kişisel verilerin işlenmesi kapsamında kullanılan alt işleyenler ve ilgili hizmet sağlayıcıları, aşağıdaki tabloda gösterilmektedir.

Alt İşleyen / Hizmet Sağlayıcı	Hizmetin Niteliği	Bulunduğu Ülke	Saklama Süresi
İsmi belirtilmeyen sunucu sağlayıcı	Sunucu / VDS / Altyapı	Türkiye	Sözleşme ve Üyelik Süresi Boyunca
İsmi belirtilmeyen sunucu sağlayıcı	Veri/Dosya Depolama (S3 vb.)	Türkiye	Sözleşme ve Üyelik Süresi Boyunca

Yapay Zekâ Hizmetleri

MDLife Sağlık Asistanlığı & Raporlandırma’nın yapay zekâ hizmetleri, tamamen MDLife Sağlık Asistanlığı & Raporlandırma tarafından kontrol edilen, mülkiyeti kendisine ait olan ve Türkiye sınırları içerisinde bulunan teknik altyapı üzerinde çalışan MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi özgün yapay zekâ modeli kullanılarak sunulmaktadır.

Bu kapsamda, Veri Sorumlusu tarafından yüklenen müşteri/vaka belgeleri ve özel nitelikli sağlık verileri, yapay zekâ çıkarımı (inference) gerçekleştirilmesi amacıyla OpenAI, Google, Anthropic veya benzeri hiçbir üçüncü taraf üretken yapay zekâ sağlayıcısına kesinlikle aktarılmamaktadır. MDLife Sağlık Asistanlığı & Raporlandırma’nın kendi yapay zekâ modelinin çalıştırılması bakımından dış kaynaklı bağımsız bir yapay zekâ sağlayıcısı alt işleyen olarak kullanılmadığından, ilgili model bu Ek-1 kapsamında üçüncü taraf bir alt işleyen olarak listelenmez.

Güncelleme

MDLife Sağlık Asistanlığı & Raporlandırma, bu Ek-1’de yer alan alt işleyen veya hizmet sağlayıcılarında meydana gelen değişiklikleri, işbu VİS’in 15.5 maddesinde düzenlenen ön bildirim usulü ve esasları çerçevesinde günceller. Yeni bir alt işleyenin kişisel verilere erişmesi veya kişisel verilerin işlenmesinde rol alması halinde, ilgili alt işleyen hizmetin niteliği, işlenen veri kategorileri, bulunduğu ülke ve uygulanabilir aktarım mekanizmaları bakımından titizlikle değerlendirilir.

Açıklama

Bu Ek-1’de yer alan “Model Eğitimi” sütunındaki “Hayır” ifadesi, ilgili hizmet sağlayıcının MDLife Sağlık Asistanlığı & Raporlandırma tarafından aktarılan kişisel verileri kendi yapay zekâ modellerinin eğitimi veya geliştirilmesi amacıyla kesinlikle kullanamayacağını yasal olarak ifade eder. “Saklama Süresi” bakımından belirtilen süreler; hizmetin teknik yapısı, ilgili veri kategorisi, sözleşmesel yükümlülükler, yasal zamanaşımı süreleri ve işbu VİS’in 20. maddesinde düzenlenen imha kuralları dikkate alınarak uygulanır.

EK-2 — TEKNİK VE İDARİ TEDBİRLER

MDLife Sağlık Asistanlığı & Raporlandırma, kişisel verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak; kişisel verilere yetkisiz erişimi, hukuka aykırı işlenmesini, değiştirilmesini, kaybolmasını veya yetkisiz şekilde açıklanmasını önlemek amacıyla, işlenen adli ve tıbbi verilerin hassasiyetini dikkate alarak aşağıdaki teknik ve idari tedbirleri en üst düzeyde uygular.

A. ERİŞİM GÜVENLİĞİ

Platform ve veri tabanı genelinde rol tabanlı erişim kontrolü (RBAC) uygulanır.
Kullanıcı ve MDLife Sağlık Asistanlığı & Raporlandırma personel yetkileri görev ve operasyonel sorumluluklarla sınırlandırılır.
En az yetki (least privilege) ilkesi tavizsiz şekilde uygulanır.
Yönetici ve ayrıcalıklı kullanıcı (superuser/admin) erişimleri en kısıtlı seviyede tutulur.
Yönetici ve personel panel hesaplarında iki faktörlü kimlik doğrulama (2FA) kullanımı zorunludur.
Güçlü kriptografik parola politikaları ve oturum yönetim mekanizmaları uygulanır.
Kullanıcı ve personel yetkilerindeki tüm değişiklikler sistemsel olarak kayıt altına alınır.
Görev veya iş ilişkisinin sona ermesi halinde, ilgili personelin tüm sistem ve veri erişim yetkileri anında kaldırılır ve kalıcı olarak pasifleştirilir.
Kullanıcıların ve yetkilendirdikleri asistanların yalnızca kendilerine ait olan kurum, hesap, vaka ve veri alanlarına erişebilmesini sağlayan mantıksal izolasyon kontrolleri uygulanır.

B. UYGULAMA VE UYGULAMA KATMANI GÜVENLİĞİ

Güvenli JWT veya oturum bazlı kimlik doğrulama mekanizmaları uygulanır.
Yetkilendirme kontrolleri, erişim sağlanan kaynak ve gerçekleştirilen işlem bazında (API seviyesinde) her istek için ayrı ayrı doğrulanır.
CSRF ve XSS saldırılarına karşı güncel ve uygun koruma kalkanları (WAF ve token korumaları) kullanılır.
Kullanıcı tarafından arayüze girilen tüm veriler (inputs) sanitize edilir, doğrulanır ve uygun filtrelerden geçirilerek işlenir.
Dosya yükleme işlemlerinde zararlı yazılım (malware) riskine karşı dosya türü, boyutu, uzantısı ve kabul edilen içerik formatları (MIME types) sıkı bir şekilde kontrol edilir.
Yüklenen tıbbi/adli belgelerin yetkisiz kişilerce doğrudan URL tahminiyle erişilebilir hale gelmesini önleyen güvenli nesne depolama (Object Storage ACL) erişim kontrolleri uygulanır.
Uygulama hatalarına ve siber güvenlik olaylarına ilişkin gerekli loglama mekanizmaları (audit trails) kesintisiz olarak yürütülür.
Hata, çökme raporları ve hata ayıklama (debug) kayıtlarında kişisel verilerin, kimlik doğrulama bilgilerinin veya erişim belirteçlerinin gereksiz şekilde gösterilmesi veya saklanması mimari olarak engellenir.
Yönetim arayüzleri ve kritik uygulama fonksiyonları (WHM, panel vb.) dış ağlara kapatılarak uygun erişim ve IP kontrolleriyle korunur.
Uygulama bileşenleri, kullanılan framework bağımlılıkları ve kütüphaneler düzenli olarak taranır, güvenlik güncellemeleri anlık olarak uygulanır.

C. VERİ GÜVENLİĞİ

Kişisel verilerin internet üzerinden aktarımı sırasında güncel ve güçlü TLS 1.3/şifreleme protokolleri ve HTTPS mekanizmaları kullanılır.
Kişisel verilerin depolanması bakımından, veri tabanı ve disk seviyesinde teknik altyapının desteklediği güçlü şifreleme (AES-256 vb.) mekanizmaları kullanılır.
Farklı kurum, hastane, klinik veya hukuk bürolarına ait verilerin birbirlerinin alanlarına yetkisiz şekilde erişmesini tamamen önleyen mantıksal veri izolasyonu mimarisi uygulanır.
Kişisel verilere ve kritik veri işlemlerine ilişkin tüm okuma/yazma erişim kayıtları (log) değiştirilemez şekilde tutulur.
Verilerin donanımsal arızalar nedeniyle kaybolmasına veya hizmetin kesintiye uğramasına karşı gerçek zamanlı replikasyon ve yedekleme mekanizmaları uygulanır.
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin işlemler, işbu VİS’in 20. maddesinde belirtilen imha esasları doğrultusunda güvenli olarak yürütülür.
Gereksiz kişisel veri işlenmesini önlemek amacıyla, TCKN ve IBAN gibi hassas alanların yüklenmeden önce temizlenmesini zorunlu kılan veri minimizasyonu prensibi uygulanır.
Kişisel verilerin yetkisiz şekilde çoğaltılması, toplu olarak dışa aktarılması veya sızdırılmasını önlemeye yönelik veri kaybı önleme kontrolleri uygulanır.

D. PERSONEL VE ORGANİZASYONEL GÜVENLİK

Kişisel verilere teknik zorunluluklar gereği erişebilecek kısıtlı sayıdaki personel, işe alım aşamasından itibaren ağır gizlilik yükümlülüklerine ve yasal taahhütnamelere tabi tutulur.
Personel, yalnızca destek biletinin veya teknik görevin gerektirdiği kısıtlı veri alanıyla sınırlandırılır.
Kritik sistem görevleri ve yetkileri, suistimalleri önlemek adına görevler ayrılığı prensibine uygun şekilde yapılandırılır.
Kişisel veri güvenliği ve gizlilik bilinci konusunda tüm personel periyodik olarak bilgilendirilir.
Destek personelinin vaka verilerine erişimi, işbu VİS’in 16. maddesinde düzenlenen usul uyarınca kullanıcının anlık onayına bağlı, salt okunur (read-only) ve süreli olarak kısıtlandırılır.
Destek veya teknik müdahale amacıyla gerçekleştirilen tüm personel erişimleri, veri tabanı seviyesinde izlenebilir şekilde kayıt altına alınır.

E. LOGLAMA, İZLEME VE DENETİM

MDLife Sağlık Asistanlığı & Raporlandırma’nın teknik altyapısı kapsamında aşağıdaki işlemlere ilişkin kayıt ve izleme (logging) mekanizmaları kesintisiz olarak uygulanır:

Kullanıcı başarılı/başarısız giriş ve çıkış kayıtları,
Yönetici ve ayrıcalıklı kullanıcıların gerçekleştirdiği tüm panel işlemleri,
Teknik destek personelinin gerçekleştirdiği süreli vaka erişimleri,
Kritik veri işlemleri, veri tabanı üzerinde yapılan yapısal değişiklikler,
Kullanıcı eliyle tetiklenen veri silme ve toplu dışa aktarma (export) işlemleri,
Kullanıcı ve personel yetki değişiklikleri,
Siber güvenlik olayları, WAF engellemeleri ve şüpheli erişim faaliyetleri.

Log kayıtlarına erişim, yalnızca yetkilendirilmiş sistem yöneticileriyle sınırlandırılır. Logların değiştirilmesini, silinmesini veya manipüle edilmesini önlemek amacıyla log bütünlüğü (log hashing/immutable logging) kontrolleri uygulanır.

F. YEDEKLEME VE İŞ SÜREKLİLİĞİ

Hizmetin sürekliliğini desteklemek ve veri bütünlüğünü korumak amacıyla düzenli otomatik yedekleme mekanizmaları uygulanır.
Alınan sistem yedekleri ve anlık görüntüler (snapshots), yetkisiz erişime karşı aktif sistemlerle aynı güçlü şifreleme ve güvenlik kontrolleri altında muhafaza edilir.
Yedeklerden veri geri yükleme (restore) işlemleri sadece acil durum senaryolarında, en üst düzey yetkili sistem yöneticileri tarafından gerçekleştirilir.
Olası bir veri merkezleri arası çökme durumuna karşı felaket kurtarma (disaster recovery) ve hizmetin yeniden güvenli devreye alınmasına ilişkin teknik prosedürler periyodik olarak test edilir.
Yedeklerin saklama süreleri, MDLife Sağlık Asistanlığı & Raporlandırma’nın veri politikaları ile hizmetin teknik döngüsü doğrultusunda belirlenir.
Yedekleme sistemlerinde bulunan kişisel verilerin aktif sistemlerden silinmesiyle aynı anda fiziksel olarak imha edilememesi halinde, işbu VİS’in 20.3 maddesindeki yedek imha döngüsü hükümleri uygulanır.

G. GÜVENLİK GÜNCELLEMELERİ VE ZAFİYET YÖNETİMİ

Sunucu işletim sistemleri, kütüphaneler, yapay zekâ bağımlılıkları ve diğer teknik bileşenlere ilişkin kararlı güvenlik yamaları ve güncellemeleri risk seviyelerine göre takvimli olarak uygulanır.
Siber güvenlik dünyasındaki bilinen güncel güvenlik açıkları (CVE’ler) yakından takip edilir; kritik önem derecesindeki açıkların sistemde tespiti halinde giderilmesine yönelik anlık acil müdahale çalışmaları yürütülür.
Teknik altyapının risk seviyesine göre periyodik otomatik zafiyet taramaları gerçekleştirilir ve sistem siber saldırılara karşı sürekli optimize edilir.

info@mdliferaporlama.com