Medonay, hizmeti sunabilmek için sınırlı sayıda altyapı sağlayıcısından yararlanır. Bu sayfa, bu sağlayıcıların tamamını, ne yaptıklarını ve verinin nerede bulunduğunu listeler.
Sayfa iki kitleye hitap eder: hizmeti değerlendiren kurumların uyum ve bilgi güvenliği ekipleri ile kişisel verilerinin nereye gittiğini bilmek isteyen ilgili kişiler. Kişisel verilerin işlenmesine ilişkin genel bilgilendirme için KVKK Aydınlatma Metni, tarayıcı tarafındaki teknolojiler için Çerez Politikası sayfalarına bakınız.
Rollerin ayrımı
Medonay üç ayrı sıfatla veri işler ve bu sayfadaki listeler bu ayrıma göre okunmalıdır:
- Hasta verisi bakımından veri işleyendir. Poliçe sahibine ait veriler, hizmeti kullanan sigorta şirketi, vakıf, sandık veya hastane adına ve talimatıyla işlenir. Veri sorumlusu o kurumdur.
- Panel kullanıcılarının verisi bakımından veri sorumlusudur. Kurum çalışanlarının hesap bilgileri, oturum kayıtları ve işlem günlükleri Medonay'ın kendi sorumluluğundadır.
- Site ziyaretçilerinin verisi bakımından veri sorumlusudur.
Aşağıdaki birinci tablo hasta verisine erişimi olan alt işleyenleri, ikinci tablo yalnızca tanıtım sitesinde çalışan ve hasta verisine hiçbir şekilde erişmeyen hizmetleri gösterir.
1. Hizmetin sunulması için kullanılan alt işleyenler
| Alt işleyen | Hizmet | İşlenen veri | Verinin bulunduğu yer |
|---|---|---|---|
| Google Cloud Platform | Uygulama çalıştırma (Cloud Run), veritabanı (Cloud SQL), yapılandırma ve dağıtım (Cloud Build, Container Registry), sistem günlükleri ve izleme (Cloud Logging, Cloud Monitoring) | Hizmet kapsamındaki tüm veriler. Poliçe sahibi kayıtları, provizyon istek ve kararları, panel kullanıcı hesapları, denetim kayıtları | Belçika (europe-west1 bölgesi) |
| Vercel Inc. | Yönetim panelinin ve tanıtım sitesinin sunulması, tarayıcı ile API arasındaki vekil (proxy) katmanı | Kimlik doğrulaması yapılmış panel isteklerinin içeriği, aktarım sırasında geçer. Kalıcı olarak saklanmaz; sağlayıcıda erişim günlükleri oluşur | Sağlayıcının küresel kenar ağı |
| Cloudflare, Inc. | api.medonay.com önünde alan adı çözümlemesi, TLS sonlandırma, güvenlik duvarı ve oran sınırlama | API isteklerinin içeriği, yalnızca aktarım sırasında. Kalıcı olarak saklanmaz; sağlayıcıda erişim günlükleri oluşur | Sağlayıcının küresel kenar ağı |
| Resend (Resend, Inc.) | İşlem e-postalarının gönderimi: parola sıfırlama, e-posta doğrulama, yeni cihaz doğrulama kodu, hastane daveti, yönetici bildirimleri | Alıcının e-posta adresi ve adı ile mesaj içeriği. Poliçe sahibi ve hasta verisine erişimi yoktur | ABD |
Açıklamalar
Google Cloud Platform. Uygulama sunucusu ve veritabanı yalnızca europe-west1 (Belçika) bölgesinde çalışır. Yedekler aynı bölgede tutulur, başka bir bölgeye kopyalanmaz. Sözleşme tarafı olan Google tüzel kişiliği, veri işleme sözleşmesinin ekinde adıyla belirtilir.
Vercel Inc. Yönetim panelinden yapılan istekler, tarayıcı ile Medonay API'si arasında bir vekil katmandan geçer. Bu katman veriyi saklamaz, ancak aktarım sırasında verinin bu sağlayıcının altyapısından geçtiği doğrudur ve bu nedenle burada açıkça listelenmiştir.
Cloudflare, Inc. api.medonay.com adresi bu sağlayıcının ağı üzerinden yayımlanır; TLS bağlantısı burada sonlandırılır ve istek şifresi çözülmüş halde uygulamaya iletilir. Sağlayıcı veriyi saklamaz, ancak hizmete gelen her istek aktarım sırasında altyapısından geçer — Vercel ile aynı gerekçe, bu yüzden aynı şekilde listelenmiştir.
Resend (Resend, Inc.). Hesap ve güvenlik e-postaları bu sağlayıcı üzerinden gönderilir. Gönderilen içerik alıcının adı, e-posta adresi ve mesajın kendisidir; poliçe, provizyon veya sağlık verisi içermez ve sağlayıcının bu verilere erişimi yoktur.
Hastane bilgi yönetim sistemlerinin /v1/provision/* uçlarına yaptığı makineden makineye çağrılar Vercel katmanından geçmez; api.medonay.com adresine gider, yani yukarıda listelenen Cloudflare ağı üzerinden Google Cloud'daki uygulamaya ulaşır.
2. Yalnızca tanıtım sitesinde kullanılan hizmetler
| Hizmet | Ne yapar | Hasta verisine erişimi | Onay durumu |
|---|---|---|---|
| TalkOmni | Tanıtım sitesindeki sohbet asistanı | Yok | Yalnızca açık rıza ile |
TalkOmni, Medonay ile aynı tüzel kişi (Genez LLC) tarafından işletilen ayrı bir üründür ve Medonay ile aynı bulut sağlayıcısında, aynı bölgede (Belçika) çalışır. Bağımsız bir üçüncü taraf değildir.
Bu asistan yalnızca herkese açık tanıtım sayfalarında çalışır. Yönetim panelinde bulunmaz, dolayısıyla poliçe sahibi verisine, provizyon kayıtlarına veya panel oturumlarına hiçbir koşulda erişmez. Çerez bandından onay vermediğiniz sürece betiği hiç yüklenmez.
3. Kullanılmayan hizmetler
Şeffaflık amacıyla, sıkça sorulduğu için açıkça belirtiyoruz. Aşağıdakilerin hiçbiri kullanılmamaktadır:
- Reklam ağı, izleyici piksel, profilleme veya yeniden hedefleme teknolojisi
- Üçüncü taraf kullanıcı davranışı analitiği
- Hata izleme veya oturum kaydı (session replay) hizmeti
- Yapay zekâ model sağlayıcısı. Provizyon kararları, tamamen kural tabanlı ve deterministik bir motor tarafından verilir; karar sürecinde hiçbir dil modeli veya dış servis çalışmaz
- Ödeme hizmeti sağlayıcısı. Sistemde kart verisi işlenmez
E-posta gönderimi aktiftir ve yukarıdaki birinci tabloda Resend olarak listelenmiştir. Gönderilen içerik hesap ve güvenlik e-postalarıyla sınırlıdır; poliçe, provizyon veya sağlık verisi içermez.
4. Yurt dışına aktarım
Veri Belçika'da bulunduğundan, Türkiye'den bakıldığında bu bir yurt dışı aktarımıdır.
6698 sayılı Kanun'un 9. maddesi kapsamında gerekli hukuki mekanizmanın (Kurula bildirilen standart sözleşme) kurulmasına yönelik çalışmalar sürmektedir. Çalışma tamamlandığında bu sayfa güncellenecek, sürüm numarası ve yürürlük tarihi değiştirilecektir.
Kurumsal müşterilerimizle imzalanan veri işleme sözleşmesi, aktarımın hukuki dayanağını, alınan teknik ve idari tedbirleri ve verinin Türkiye'de barındırılmasının talep edilmesi halinde izlenecek yolu ayrıca düzenler. Verilerin Türkiye bölgesine taşınmasına ilişkin teknik plan hazır bulundurulmaktadır.
5. Değişiklik bildirimi
Bu listeye yeni bir alt işleyen eklenmeden veya mevcut bir alt işleyen değiştirilmeden en az otuz gün önce kurumsal müşterilerimize yazılı bildirim yapılır. Müşteri bu süre içinde gerekçeli itirazda bulunabilir; itirazın çözülememesi halinde sözleşmeyi cezai şart olmaksızın feshetme hakkı saklıdır.
Sayfanın sürüm numarası ve yürürlük tarihi her değişiklikte güncellenir. Geçmiş sürümler kayıt altındadır ve talep halinde paylaşılır.
6. İletişim
Bu sayfaya ilişkin sorular ve alt işleyen değişikliği bildirimi talepleri için: kvkk@medonay.com.tr