KVKK Aydınlatma Metni ve Rol Dağılımı

1. Veri sorumlusu kimliği

Platform hesabı ve hizmet işletimi bakımından veri sorumlusu, aşağıda iletişim bilgileri gösterilen SmileUp AI platform işletmecisidir. Ticari unvan, açık adres ve başvuru kanalı doldurulmadan bu aydınlatma metni üretim ortamında kesin metin olarak yayımlanmamalıdır. Hasta görselinin tedavi ilişkisi içindeki amaç ve vasıtalarını belirleyen klinik ise kendi faaliyeti bakımından ayrıca veri sorumlusudur.

2. İşlenen veri kategorileri

Kimlik ve iletişim: hekim adı, e-posta, telefon, klinik adı. İşlem güvenliği: oturum, IP/istek parmak izi, zaman, denetim ve hata kayıtları. Müşteri işlemi: kredi hareketleri, destek kayıtları ve ayarlar. Hasta/vaka: klinikçe yüklenen yüz ve dental fotoğraf, görsel parametreler, sınırlı serbest metin talimatı, AI çıktısı ve rastgele vaka kodu. Fotoğraf bağlama göre sağlık verisi içerebilen özel nitelikli kişisel veridir.

3. Amaçlar ve hukuki sebepler

Hesap ve güvenlik verileri; sözleşmenin kurulması/ifası, hukuki yükümlülük ve temel haklara zarar vermemek kaydıyla güvenli hizmet işletimine ilişkin meşru menfaat şartlarına dayanabilir. Hasta görselinin uygun işleme şartını klinik, kendi sağlık hizmeti bağlamında KVKK m.6 ve ilgili sağlık mevzuatına göre belirler. Açık rıza gerekiyorsa belirli, bilgilendirmeye dayalı, özgür iradeyle ve aydınlatmadan ayrı alınmalıdır; hizmet için gerekmeyen pazarlama rızası zorunlu tutulmaz.

4. Toplama yöntemi

Veriler kayıt formu, uygulama alanları, kullanıcının dosya yüklemesi veya kamera çekimi, API istekleri, destek bildirimi ve güvenlik günlükleri üzerinden tamamen veya kısmen otomatik yollarla elektronik ortamda elde edilir. Kamera yalnızca kullanıcı başlattığında açılır; sürekli kayıt yapılmaz.

5. Aktarım

Veriler; yetkili personel, sözleşmeli barındırma/güvenlik/destek sağlayıcıları ve görsel üretim için yapılandırılmış AI sağlayıcısıyla amaçla sınırlı paylaşılabilir; kanunen yetkili kamu kurumlarına usulüne uygun taleple açıklanabilir. Yurt dışı aktarım varsa KVKK m.9 ve 10 Temmuz 2024 tarihli yönetmelikteki aktarım mekanizması uygulanır; standart sözleşme kullanılıyorsa imzadan itibaren öngörülen bildirim süreci yerine getirilir.

6. Klinik ve hekim yükümlülükleri

Klinik; hastaya kendi unvanı ve iletişim bilgileriyle aydınlatma sunmak, doğru hukuki sebebi belirlemek, gerekli onayı ispatlanabilir biçimde almak, sadece gerekli görseli yüklemek, serbest metne kimlik verisi yazmamak, yetkili personel erişimini yönetmek, hastaya AI sınırlarını anlatmak ve indirdiği görsel/PDF'in sonraki saklama ile paylaşım güvenliğini sağlamakla sorumludur. Platformdaki kutucuğu işaretlemek tek başına hastadan alınması gereken hukuki işlemin yerine geçmez.

7. Platform yükümlülükleri

Platform; kendi belirlediği işleme faaliyetlerinde veri sorumlusu, klinik adına yürüttüğü faaliyetlerde sözleşmesel veri işleyen yükümlülüklerini yerine getirir. Hukuka aykırı işlemeyi/erişimi önleme, muhafaza, yetkilendirme, alt sağlayıcı güvenliği, silme, denetim ve ihlal müdahalesi yükümlülükleri hekime devredilemez. Veri işleyen sağlayıcılarla yazılı veri işleme ve gizlilik hükümleri kurulmalıdır.

8. Saklama ve imha

Görseller 30 gün sonra erişime kapatılır ve özel depolamadan silinir. İşleme şartı daha önce ortadan kalkarsa veya geçerli talep gelirse mevzuat uyarınca daha erken silme/yok etme değerlendirilir. Silme/yok etme işlemleri kayıt altına alınır ve görsel içermeyen bu kayıtlar en az üç yıl saklanır. Periyodik imha aralığı saklama ve imha politikasında altı ayı aşmayacak şekilde belirlenmelidir.

9. İlgili kişi hakları ve başvuru

KVKK m.11 kapsamındaki haklar veri sorumlusuna yazılı veya Kurulca belirlenen yöntemlerle yöneltilebilir. Başvuru; ad-soyad, kimliği doğrulamaya yetecek bilgi, talep konusu ve iletişim bilgisi içermelidir; gereksiz özel nitelikli veri gönderilmemelidir. Başvurular niteliğine göre ve en geç 30 gün içinde ücretsiz sonuçlandırılır; ayrıca ücret gerektiren hallerde Kurul tarifesi uygulanabilir. Kurula şikâyet hakları saklıdır.

10. Uyum belgeleri

Üretim öncesinde veri işleme envanteri, saklama-imha politikası, alt işleyen listesi, yurt dışı aktarım mekanizması, veri işleme sözleşmesi, ihlal müdahale planı, başvuru prosedürü ve varsa VERBİS yükümlülüğü somut işletmeci ve gerçek veri akışıyla tamamlanmalıdır.

Operasyonel veri özeti

Veri	Amaç	Azami/temel süre
Orijinal ve üretilen görsel	Simülasyon ve vaka geçmişi	30 gün
PDF	Hasta iletişim raporu	Sunucuda ayrıca saklanmaz
Hesap ve sözleşme	Hizmet, güvenlik, ispat	Sözleşme ve yasal zamanaşımı
Silme işlem kaydı	İmhanın ispatı	En az 3 yıl
Güvenlik günlüğü	Kötüye kullanım/olay müdahalesi	Risk ve mevzuata göre sınırlı süre