Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır.
1. Veri sorumlusunun kimliği
Medonay, medonay.com ve medonay.com.tr alan adları üzerinden özel hastaneler ile özel sağlık sigortası şirketleri arasındaki provizyon iletişimini dijitalleştiren bir ara katman hizmeti sunar.
İletişim: kvkk@medonay.com.tr
2. Bu metnin kapsamı: üç ayrı ilişki
Medonay'ın kişisel veri karşısındaki konumu, verinin kime ait olduğuna göre değişir. Bu ayrım, haklarınızı kime karşı kullanacağınızı belirlediği için metnin en önemli bölümüdür.
| Kimin verisi | Medonay'ın sıfatı | Başvuru mercii |
|---|---|---|
| Web sitesi ziyaretçisi, demo talebi | Veri sorumlusu | Medonay |
| Panel kullanıcısı (hastane / sigorta) | Veri sorumlusu | Medonay |
| Hasta (provizyon kaydı) | Veri işleyen | Hastane veya sigorta şirketi |
Üçüncü satır özellikle önemlidir. Provizyon sürecinde işlenen hasta verilerinin veri sorumlusu, hizmeti aldığımız hastane veya sigorta şirketidir. Medonay bu verileri yalnızca ilgili kurumun talimatı ve onunla akdedilen veri işleme sözleşmesi çerçevesinde işler; işleme amaçlarını ve vasıtalarını kendisi belirlemez. Hasta olarak haklarınızı kullanmak için tedavi olduğunuz hastaneye veya poliçenizin bulunduğu sigorta şirketine başvurmanız gerekir. Bize ulaşan bu tür talepleri ilgili kuruma yönlendirir ve size bilgi veririz.
3. Web sitesi ziyaretçileri ve demo talepleri
İşlenen veriler
- Kimlik ve iletişim: ad soyad, iş e-postası, telefon numarası
- İş bilgisi: şirket adı, şirket türü (hastane / sigorta / diğer), formda ilettiğiniz mesaj
- İşlem güvenliği: IP adresi, tarayıcı ve cihaz bilgisi, talep zaman damgası
İşleme amaçları ve hukuki sebepler
| Amaç | Hukuki sebep (KVKK m. 5) |
|---|---|
| Demo talebinin karşılanması, iletişim kurulması | 5/2-f, meşru menfaat: ticari talebinize cevap verebilmek |
| Sözleşme öncesi görüşmelerin yürütülmesi | 5/2-c, sözleşmenin kurulmasıyla doğrudan ilgili olması |
| Site güvenliği, kötüye kullanım ve saldırı önleme | 5/2-f, meşru menfaat |
| Zorunlu olmayan çerezlerin çalıştırılması | 5/1, açık rıza (çerez bandından verdiğiniz onay) |
Demo formu üzerinden ilettiğiniz bilgileri size pazarlama amaçlı elektronik ileti göndermek için kullanmıyoruz. Böyle bir gönderim yapılacak olursa, ayrıca ve açıkça onayınız istenir.
4. Panel kullanıcıları
Hizmetimizi kullanan hastane ve sigorta şirketlerinin çalışanları için işlenen veriler:
- Kimlik ve iletişim: ad soyad, e-posta adresi
- Kurumsal bilgi: bağlı olduğunuz organizasyon, panel rolünüz
- İşlem güvenliği: oturum açma kayıtları, IP adresi, zaman damgaları, panel içinde gerçekleştirdiğiniz durum değiştiren işlemlerin denetim kaydı
Hukuki sebep: KVKK m. 5/2-c (kurumunuzla akdedilen sözleşmenin ifası) ve m. 5/2-ç (hukuki yükümlülüklerimizin yerine getirilmesi). Denetim kayıtları, verdiğiniz provizyon kararlarının sonradan incelenebilmesi için tutulur ve silinemez niteliktedir.
5. Provizyon sürecinde işlenen hasta verileri
Bu bölüm, Medonay'ın veri işleyen sıfatıyla yaptığı işlemeyi şeffaflık amacıyla açıklar. Bu veriler bakımından veri sorumlusu, hizmeti aldığımız hastane veya sigorta şirketidir.
Uyguladığımız veri minimizasyonu
- T.C. kimlik numarası hiçbir zaman açık halde saklanmaz. Numara, sisteme giriş noktasında gizli bir anahtarla birlikte SHA-256 ile özetlenir; veritabanında yalnızca bu özet ve ekranda gösterim için son dört hane bulunur. Açık numara; kayıtlarda, denetim izinde ve API yanıtlarında yer almaz.
- Sağlık verisi niteliğindeki işlem ve tanı kodları, yalnızca provizyon kararının verilebilmesi için gereken kapsamda işlenir.
- Her organizasyonun verisi mantıksal olarak ayrıştırılmıştır; bir kurum diğerinin kayıtlarına erişemez.
Kararların izlenebilirliği
Verilen her provizyon kararı; kararı üreten motor sürümü, girdi verisi ve hangi teminat ile hangi kuralın uygulandığını gösteren adım adım karar izi ile birlikte saklanır. Bu kayıt, kararın sonradan denetlenebilmesi için zorunludur ve değiştirilemez.
6. Kişisel verilerin aktarıldığı taraflar
Verileriniz, hizmetin sunulabilmesi için aşağıdaki hizmet sağlayıcılar nezdinde işlenir. Bunların hiçbiri verilerinizi kendi amaçları için kullanamaz.
| Hizmet sağlayıcı | İşlevi | İşlenen veri |
|---|---|---|
| Google Cloud (Cloud SQL, Cloud Run) | Uygulama ve veritabanı barındırma | Tüm hizmet verisi |
| Vercel | Web arayüzünün barındırılması | Erişim kayıtları, IP adresi |
| Cloudflare | API önünde alan adı çözümlemesi, TLS ve güvenlik katmanı | Aktarım sırasında istek içeriği, IP adresi |
| Resend | İşlem e-postalarının gönderimi | E-posta adresi, ad, mesaj içeriği |
| Google Workspace | Kurumsal e-posta | E-posta yazışmaları |
| TalkOmni | Web sitesindeki sohbet asistanı | Sohbet içeriği, oturum tanımlayıcı |
TalkOmni sohbet asistanı yalnızca çerez bandında onay vermeniz halinde yüklenir. Onay vermezseniz asistan hiç çalıştırılmaz. TalkOmni, Medonay ile aynı tüzel kişi tarafından işletilen ayrı bir üründür ve aynı bulut sağlayıcısında, aynı bölgede çalışır. Yalnızca tanıtım sitesinde bulunur, yönetim panelinde çalışmaz.
Bu sağlayıcıların her birinin ne işlediğine, verinin nerede bulunduğuna ve değişiklik bildirimi taahhüdümüze ilişkin ayrıntılı liste: Alt Veri İşleyenler.
Bunların dışında kişisel verileriniz; yalnızca kanunen yetkili kamu kurumlarına, mevzuatın öngördüğü usul ve sınırlar dahilinde aktarılabilir.
7. Yurt dışına aktarım
Uygulama sunucularımız ve veritabanımız Google Cloud'un europe-west1 (Belçika) bölgesinde çalışmaktadır. Web arayüzü Vercel altyapısında barındırılmaktadır; API trafiği Cloudflare ağı üzerinden geçmekte, hesap ve güvenlik e-postaları ise ABD merkezli Resend üzerinden gönderilmektedir. Bu nedenle kişisel verileriniz yurt dışında işlenmektedir.
KVKK'nın 9. maddesi kapsamında yurt dışına aktarım için gerekli hukuki mekanizmanın kurulması çalışmaları sürmektedir. Bu çalışma tamamlandığında işbu metin güncellenecek ve yürürlük tarihi ile sürüm numarası değiştirilecektir. Verilerin Türkiye bölgesine taşınması seçeneği de açık tutulmaktadır.
8. Saklama süreleri
| Veri | Süre |
|---|---|
| Demo talebi kayıtları | Sözleşmeye dönüşmezse en geç 2 yıl |
| Panel kullanıcı hesapları | Kurumunuzla sözleşme süresince, sona ermesinden itibaren 10 yıl |
| Provizyon kararları ve karar izi | Sigortacılık mevzuatı gereği 10 yıl |
| Denetim kayıtları (audit) | En az 7 yıl |
| Sistem ve hata kayıtları | 90 gün |
| Çerez onay tercihi | 1 yıl |
Sürenin sonunda veriler silinir, yok edilir veya geri döndürülemez şekilde anonim hale getirilir.
9. Haklarınız
KVKK'nın 11. maddesi uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz.
Başvuru yolu ve başvurunuzda bulunması gereken bilgiler için İlgili Kişi Başvuru Usulü sayfasına bakınız.
10. Alınan güvenlik tedbirleri
- Tüm trafik aktarım sırasında şifrelenir; yönetim paneline erişim kimlik doğrulaması gerektirir.
- Parolalar geri döndürülemez şekilde özetlenerek saklanır.
- Makine erişimi için verilen API anahtarları özet halinde tutulur, iptal edilebilir ve IP kısıtına bağlanabilir.
- Kurumlar arası veri erişimi yazılım katmanında engellenir ve bu engel otomatik testlerle sürekli doğrulanır.
- Durum değiştiren her işlem, geriye dönük olarak değiştirilemeyen bir denetim kaydı üretir.
- Dış sistemlere gönderilen bildirimler imzalanır; imzası doğrulanamayan gelen bildirimler işleme alınmaz.
11. Metindeki değişiklikler
Bu metin güncellendiğinde sürüm numarası ve yürürlük tarihi değişir. Panel kullanıcıları, aydınlatma metninin sürümü değiştiğinde bir sonraki girişlerinde yeniden bilgilendirilir.