Veri İşleme Sözleşmesi

Smart Fixator® web uygulaması · Sürüm 1.0 · 23 Eylül 2026

1. Taraflar ve sıfatları

1. Müşteri: Smart Fixator yazılımını kullanan ve yazılıma hasta verisi giren sağlık kuruluşu, kurum veya serbest çalışan hekimdir. Müşteri, bu hasta verilerinin veri sorumlusudur.
2. Response Ortho: Response Ortho Teknolojik Üretim A.Ş., ITOSB, 10. Cadde, No:1, Tuzla, 34959 İstanbul (MERSİS no: 0462038264300019). Response Ortho, hasta verilerini Müşteri adına veri işleyen sıfatıyla işler.
3. Müşteri'nin kullanıcılarına ait hesap verileri (ad, e-posta adresi, oturum kayıtları vb.) bakımından Response Ortho, Aydınlatma Metni'nde açıklandığı şekilde ayrı bir veri sorumlusudur; bu Sözleşme o verilere uygulanmaz.

2. Tanımlar

1. Uygulanacak Veri Koruma Mevzuatı: işlemeye uygulanan kişisel verilerin korunmasına ilişkin mevzuat; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR") ve Birleşik Krallık GDPR'ı dahil.
2. Hasta Verileri: Müşteri'nin veya kullanıcılarının yazılıma girdiği, yüklediği veya yazılımla oluşturduğu, Müşteri'nin hastalarına ait kişisel veriler (Ek 1).
3. Alt Veri İşleyen: Response Ortho'nun Hasta Verilerini işlemek üzere görevlendirdiği üçüncü kişi. Veri İhlali: Hasta Verilerinin kazara veya hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz olarak ifşasına veya erişilmesine yol açan güvenlik ihlali.
4. "Veri sorumlusu", "veri işleyen", "ilgili kişi", "işleme" ve "özel nitelikli kişisel veri" kavramları Uygulanacak Veri Koruma Mevzuatındaki anlamlarını taşır.

3. Talimatla işleme

1. Response Ortho, Hasta Verilerini yalnızca yazılımı sunmak, güvenliğini sağlamak ve destek vermek amacıyla ve yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Ana Sözleşme, bu Sözleşme ve Müşteri'nin yazılımı kullanım ve yapılandırma biçimi Müşteri'nin talimatlarıdır; ek talimatlar yazılı olarak verilir.
2. Response Ortho'nun tabi olduğu bir kanun başka bir işlemeyi gerektirirse Response Ortho, kanun yasaklamadıkça Müşteri'yi işlemeden önce bilgilendirir.
3. Response Ortho, bir talimatın Uygulanacak Veri Koruma Mevzuatına aykırı olduğu kanaatine varırsa Müşteri'yi derhâl bilgilendirir.
4. Response Ortho Hasta Verilerini satmaz ve tek bir istisna dışında kendi amaçları için kullanmaz: Müşteri, Response Ortho'nun Hasta Verilerini anonim hâle getirmesine ve anonim verileri — yalnızca anonim verileri — yapay zekâ destekli ölçüm dahil ürünlerini geliştirmek, iyileştirmek ve doğrulamak için kullanmasına izin verir. Anonim hâle getirme; adları, tarihleri, iletişim bilgilerini, görüntü başlıklarındaki tanımlayıcıları ve görüntü üzerine basılı yazıları, hiçbir hastanın makul olarak kullanılabilecek hiçbir yolla kimliği belirlenemeyecek şekilde çıkarır. Anonim veriler kişisel veri niteliğini kaybeder; Response Ortho bu verilerden kimlik belirlemeye çalışmaz.

4. Müşteri'nin yükümlülükleri

1. İşlemenin hukuki sebebine sahip olmak — sağlık verilerinin işlenme şartları dahil — ve hastalarını mevzuatın gerektirdiği şekilde aydınlatmak Müşteri'nin sorumluluğundadır.
2. Müşteri yalnızca tedavi için gerekli Hasta Verilerini girer ve mümkün olduğunda hasta adı yerine vaka kodu kullanır.
3. Müşteri, bu Sözleşme'yi kabul eden kişinin kendi adına buna yetkili olmasını; kullanıcılarının giriş bilgilerini gizli tutmasını ve ayrılan kişilerin erişiminin kaldırılmasını sağlar.

5. Gizlilik

Response Ortho, Hasta Verilerini işlemeye yetkilendirdiği kişilerin gizlilik yükümlülüğü altında olmasını sağlar ve erişimi yalnızca buna ihtiyaç duyanlara, örneğin hizmetin işletilmesi veya Müşteri'nin talebiyle destek verilmesi için tanır.

6. Veri güvenliği

Response Ortho, riske uygun bir güvenlik düzeyi sağlamak üzere Ek 2'de açıklanan teknik ve idari tedbirleri alır ve bunları düzenli olarak gözden geçirir. KVKK'nın 12. maddesi uyarınca taraflar, bu maddede öngörülen tedbirlerin alınması konusunda müştereken sorumludur.

7. Alt veri işleyenler

1. Müşteri, Response Ortho'nun Ek 3'te listelenen Alt Veri İşleyenleri görevlendirmesine genel izin verir.
2. Response Ortho, yeni bir Alt Veri İşleyen eklemeyi veya mevcut birini değiştirmeyi en az 30 gün önceden, hesap sahiplerine e-postayla veya yazılım üzerinden bildirir. Müşteri bu süre içinde veri korumaya ilişkin makul gerekçelerle itiraz edebilir; itiraz çözülemezse Müşteri ilgili hizmeti kullanmayı bırakabilir.
3. Response Ortho, her Alt Veri İşleyene bu Sözleşme'dekinden daha az koruyucu olmayan yükümlülükler yükler ve Alt Veri İşleyenlerinden Müşteri'ye karşı sorumlu kalır.

8. Verilerin bulunduğu yer ve yurt dışına aktarım

1. Hasta Verileri Hollanda'da (Avrupa Birliği) barındırılır.
2. Response Ortho, Hasta Verilerini Avrupa Ekonomik Alanı dışındaki bir ülkeye yalnızca Uygulanacak Veri Koruma Mevzuatının öngördüğü güvencelerle (örneğin Avrupa Komisyonu'nun standart sözleşme hükümleri) aktarır.
3. Türkiye'deki Müşteriler bakımından, Hasta Verilerinin yurt dışındaki barındırma yerine aktarımında KVKK'nın 9. maddesinde öngörülen şartlara uyulur.
4. Amerika Birleşik Devletleri'nde HIPAA kapsamında "covered entity" olan Müşteriler bakımından Response Ortho, bu Müşterilerin "business associate"i sıfatıyla hareket eder. Taraflar, korunan sağlık bilgisi girilmeden önce bir "business associate agreement" (BAA) imzalar; Response Ortho, korunan sağlık bilgisi işleyen alt veri işleyenlerinin de BAA imzalamasını sağlar.

9. İlgili kişi başvuruları

Response Ortho, Hasta Verilerine ilişkin olarak bir hastadan aldığı başvuruyu gecikmeksizin Müşteri'ye iletir ve Müşteri'nin talimatı olmadan yanıtlamaz. Müşteri yazılımda Hasta Verilerini bulabilir, düzeltebilir, dışa aktarabilir ve silebilir; bunun yeterli olmadığı hâllerde Response Ortho, Müşteri'nin yükümlülüklerini yerine getirebilmesi için makul destek sağlar.

10. Veri ihlalleri

1. Response Ortho, Hasta Verilerini etkileyen bir Veri İhlalini öğrendiğinde Müşteri'yi gecikmeksizin ve her hâlde en geç 48 saat içinde bilgilendirir.
2. Bildirim, o an bilindiği ölçüde ihlalin niteliğini, etkilenen hasta ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını, alınan veya önerilen tedbirleri ve bir irtibat noktasını içerir; ek bilgiler öğrenildikçe iletilir.
3. Response Ortho Müşteri ile iş birliği yapar. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'dedir; KVKK uyarınca Kurul'a bildirim 72 saat içinde yapılır.

11. Etki değerlendirmeleri

Response Ortho, yazılıma ilişkin veri koruma etki değerlendirmeleri ve denetim makamlarıyla ön istişareler konusunda Müşteri'ye makul destek sağlar.

12. Bilgi ve denetim

Response Ortho, bu Sözleşme'ye uyumu göstermek için gerekli bilgileri — tedbirlerin açıklamaları ve hizmet sağlayıcılarının sertifikaları gibi — Müşteri'ye sunar. Müşteri veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi, uyumu yılda bir kez — ya da bir Veri İhlalinden sonra veya bir denetim makamının talebi üzerine — en az 30 gün önceden bildirimde bulunarak, mesai saatleri içinde ve masrafı Müşteri'ye ait olmak üzere denetleyebilir. Yeterli olduğu hâllerde uzaktan inceleme tercih edilir.

13. Hizmet sonunda silme veya iade

Müşteri yazılımı kullanmayı bıraktığında Hasta Verilerini 30 gün içinde dışa aktarabilir. Response Ortho, bir kanunun saklamayı gerektirdiği hâller dışında, Hasta Verilerini bu sürenin ardından 60 gün içinde, yedeklerden ise olağan yedekleme döngüsü içinde süreleri dolduğunda siler. Talep edilmesi hâlinde silme işlemini yazılı olarak teyit eder.

14. Sorumluluk, süre ve değişiklikler

1. Tarafların sorumluluğu Ana Sözleşme'ye tabidir.
2. Bu Sözleşme, Response Ortho Müşteri adına Hasta Verisi işlediği sürece yürürlükte kalır; niteliği gereği devam etmesi gereken hükümler sonrasında da geçerliliğini korur.
3. Response Ortho bu Sözleşme'yi mevzuattaki, hizmetteki veya Alt Veri İşleyenlerdeki değişiklikleri yansıtmak için güncelleyebilir ve yeni sürümü yürürlüğe girmesinden en az 30 gün önce hesap sahiplerine e-postayla duyurur. Müşteri o tarihe kadar itiraz etmezse yeni sürüm o tarihten itibaren uygulanır; itiraz çözülemezse Müşteri hizmeti kullanmayı bırakabilir.

15. Öncelik, uygulanacak hukuk ve dil

1. Veri korumaya ilişkin konularda bu Sözleşme Ana Sözleşme'ye göre önceliklidir; standart sözleşme hükümlerinin uygulandığı hâllerde bu hükümler bu Sözleşme'ye göre önceliklidir.
2. Bu Sözleşme Türk hukukuna tabidir; İstanbul Mahkemeleri ve İcra Daireleri yetkilidir. Uygulanacak Veri Koruma Mevzuatının emredici hükümleri — örneğin hastaların hakları ve denetim makamlarının yetkileri — saklıdır.
3. Bu Sözleşme Türkçe ve İngilizce olarak düzenlenmiştir. Çelişki hâlinde, Türkiye'de yerleşik Müşteriler için Türkçe metin, diğer Müşteriler için İngilizce metin esas alınır.

Ek 1 — İşlemenin tanımı

Ek 2 — Teknik ve idari tedbirler

• Barındırma: DigitalOcean tarafından Amsterdam'da (Hollanda) işletilen, fiziksel erişim kontrolüne sahip veri merkezlerindeki sunucular.
• İletim: yazılıma tüm bağlantılar HTTPS (TLS) ile şifrelenir.
• Yazılıma erişim: kişiye özel kullanıcı hesapları; parolalar yalnızca tuzlanmış bcrypt özetleri olarak saklanır; art arda hatalı girişlerde hesap kilitlenir ve e-postayla gönderilen bağlantıyla açılır; rol bazlı yetkiler.
• Sistemlere erişim: yönetici erişimi yetkili personelle sınırlıdır.
• Kayıt tutma: oturum açma ve hesap işlemleri tarih, saat, IP adresi ve tarayıcı bilgisiyle kaydedilir; arızaların giderilmesi için hata kayıtları tutulur.
• İdari tedbirler: personel ve hizmet sağlayıcılar için gizlilik yükümlülükleri; bilmesi gereken prensibine göre erişim; yazılım değişikliklerinin yayından önce gözden geçirilmesi.

Ek 3 — Alt veri işleyenler

Yalnızca herkese açık web sitesinde kullanılan hizmetler (Google Analytics, Google reCAPTCHA, IP konum servisleri) Hasta Verisi almaz ve Alt Veri İşleyen değildir.