Veri Sorumlusu Kimlik Bilgileri
1. Aydınlatma Metninin Amacı ve Yasal Dayanağı
İşbu Aydınlatma Metni; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 10 ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla Nurşah Tunçel – RandevuDesk İnternet ve Yazılım Hizmetleri ("RandevuDesk") tarafından işletilen randevudesk.com web sitesi, alt alan adları, API servisleri, işletme panelleri, müşteri randevu alma formları ve widget entegrasyonlarını kullanan gerçek kişilerin (ziyaretçiler, üye işletme yetkilileri, çalışanlar ve randevu oluşturan müşteriler/hastalar) kişisel verilerinin toplanma yöntemleri, işlenme amaçları, hukuki sebepleri, yurt içine ve yurt dışına aktarımı ile KVKK kapsamındaki yasal hakları konusunda aydınlatılması amacıyla hazırlanmıştır.
2. SaaS Sıfat Ayrımı: Veri Sorumlusu (İşletme) & Veri İşleyen (RandevuDesk)
İşletme Tarafından Sisteme Girilen Müşteri Verileri: RandevuDesk, çok kiracılı (multi-tenant) bir B2B SaaS platformudur. Platformu kullanan berber, kuaför, güzellik salonu, estetik merkezi, klinik, poliklinik veya danışmanlık işletmeleri; kendi müşterilerine ve hastalarına ait randevu, iletişim, formülasyon ve sağlık bilgilerini sisteme girerken 6698 sayılı KVKK uyarınca münhasıran "Veri Sorumlusu" (Data Controller) sıfatını haizdir.
RandevuDesk'in Konumu: RandevuDesk, işletmenin verdiği talimatlar ve abonelik sözleşmesi kapsamında yazılım altyapısı, güvenli veritabanı ve bulut barındırma hizmeti sunan "Veri İşleyen" (Data Processor) konumundadır.
İşletmeler, kendi müşterilerinden/hastalarından 6698 sayılı Kanun'a uygun şekilde aydınlatma yükümlülüğünü yerine getirmek ve gereken hallerde (özellikle özel nitelikli sağlık verileri için) Açık Rıza almakla bizzat yükümlüdür.
3. İşlenen Kişisel Veri Kategorileri ve Hukuki Sebepleri
RandevuDesk platformunda faaliyetin niteliğine göre aşağıdaki kategorilerde kişisel veriler işlenmektedir:
- Kimlik Verileri: Ad, soyad, unvan, yetkili kimlik bilgileri, gerekli durumlarda doğum tarihi.
- İletişim Verileri: Cep telefonu numarası, WhatsApp iletişim numarası, e-posta adresi, işletme ve fatura adresi, il/ilçe bilgisi.
- Hizmet ve Randevu İşlem Verileri: Tercih edilen hizmet türü, randevu tarihi ve saati, seçilen personel, işlem süresi, randevu onay durumu, işlem tutarı ve operasyonel randevu notları.
- Müşteri Finans ve Ödeme Verileri: Paket abonelik geçmişi, fatura bilgileri, VKN/TCKN, ödeme referans numaraları. (Önemli: Kredi kartı ve banka kartı bilgileri asla RandevuDesk sunucularında tutulmaz; doğrudan PCI-DSS Level 1 sertifikalı PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. altyapısında güvenle işlenir.)
- İşlem Güvenliği ve Teknik Veriler: IP adresi, tarayıcı türü, oturum çerezleri, cihaz bilgileri, HTTP erişim logları, parola hash'leri (Bcrypt 12-round salt ile şifrelenmiş) ve CSRF güvenlik jetonları.
- Pazarlama ve Davet Verileri: Referans/davet kodları, pazarlamacı komisyon kayıtları, kampanya katılım onayları.
3.1. Özel Nitelikli Kişisel Verilerin İşlenmesi (KVKK Madde 6)
Platformumuz; klinik, diş hekimliği, medikal estetik ve kuaförlük/güzellik uzmanlık modüllerini barındırmaktadır. Bu ihtisas modülleri kapsamında veri sorumlusu işletmelerin kontrolünde şu özel nitelikli kişisel veriler işlenebilmektedir:
- Tıbbi Geçmiş ve Anamnez Verileri: Alerji bilgileri (penisilin, lokal anestezi, amonyak veya kimyasal hassasiyetleri), kronik rahatsızlıklar (hipertansiyon, kalp pili, diyabet), kullanılan kan sulandırıcı veya medikal ilaçlar.
- Cilt ve Saç Analizi / Formülasyon Reçeteleri: Cilt tipi analizi, saç derisi hassasiyeti notları, boya gramajı, volüm ve kimyasal karışım reçeteleri.
- Görsel Öncesi/Sonrası (Before/After) Kayıtları: Estetik, medikal veya kuaförlük işleminin sonucunu doğrulamak ve teknik gelişim takibi amacıyla yüklenen öncesi/sonrası fotoğrafları.
- Medikal İmplant ve Cihaz Lot Takibi: Diş implantı, medikal dolgu/botoks ürün markası, çapı ve Sağlık Bakanlığı/ÜTS standartlarına uygun sterilizasyon Lot numaraları.
Hukuki Dayanak: 6698 sayılı KVKK Madde 6 uyarınca özel nitelikli kişisel sağlık verileri, kural olarak ancak İlgili Kişinin Açık Rızası bulunması halinde işlenebilir. RandevuDesk, bu verileri yalnızca yetkili işletmenin erişimine açık, şifrelenmiş (AES-256) ve rol tabanlı erişim kontrolü (RBAC) ile izole edilmiş MinIO Object Storage ve MySQL mimarisinde saklar; bu verileri kendi nam ve hesabına işlemez, profillemez ve üçüncü şahıslara aktarmaz.
4. Yapay Zekâ (AI), Otomatik Karar Sistemleri ve Algoritmik İşleme
RandevuDesk; işletmelerin operasyonel verimliliğini artırmak, müşteri kaybını önlemek ve randevu trafiğini optimize etmek amacıyla yapay zekâ (AI) ve makine öğrenimi tabanlı algoritmik servisler sunmaktadır:
- Yapay Zekâ Satış ve Randevu Yönlendirme Asistanı: Müşterilerin geçmiş randevu tercihlerine ve salonun boş saatlerine göre akıllı randevu saat önerileri üretilmesi.
- No-Show (Gelmeyen Müşteri) Risk Analitiği: Geçmiş iptal alışkanlıklarına göre randevu iptal olasılığının tahminlenmesi ve çifte rezervasyonun engellenmesi.
- RFM Tabanlı Müşteri Segmentasyonu: Sadık, potansiyel veya riskli müşteri gruplarının otomatik olarak analiz edilmesi ve raporlanması.
- Akıllı Bildirim Metin Önerileri: Müşteriye iletilecek WhatsApp ve SMS hatırlatma metinlerinin optimize edilmesi.
AI Gizlilik Güvencesi: Algoritmik analiz süreçlerinde müşterilerin kişisel kimlik ve iletişim bilgileri doğrudan genel yapay zekâ modellerine aktarılmaz; veriler maskeleme (anonymization / PII stripping) filtrelerinden geçirilerek işlenir. Müşterilere ait hiçbir veri genel yapay zekâ modellerinin genel eğitimi amacıyla üçüncü taraflarla paylaşılmaz.
İtiraz Hakkı: 6698 sayılı KVKK Madde 11/1-(g) uyarınca ilgili kişiler, kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhlerine bir sonucun ortaya çıkmasına her zaman itiraz etme hakkına sahiptir.
5. Kişisel Verilerin Yurt Dışına Aktarılması (KVKK Madde 9)
RandevuDesk altyapısında sunulan bulut SaaS servislerinin küresel teknoloji standartlarında kesintisiz ve yüksek güvenlikte çalışabilmesi amacıyla, belirli kişisel veriler 6698 sayılı KVKK Madde 9 ile 10 Temmuz 2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Yönetmelik hükümlerine uygun olarak yurt dışındaki sunuculara veya hizmet sağlayıcılara aktarılabilir:
- Meta Platforms Inc. / WhatsApp Cloud API: Randevu teyit, iptal ve 24 saat/2 saat önce otomatik randevu hatırlatma bildirimlerinin WhatsApp üzerinden gönderilebilmesi için ilgili randevunun telefon numarası ve randevu saat detayları Meta'nın küresel güvenli sunucuları üzerinden iletilmektedir.
- Cloudflare Inc.: Web sitesinin siber saldırılara (DDoS, Bot saldırıları, WAF) karşı korunması ve Cloudflare Turnstile güvenlik doğrulamalarının gerçekleştirilmesi amacıyla teknik IP ve güvenlik erişim logları Cloudflare küresel ağı üzerinden filtrelenmektedir.
- Yapay Zekâ ve Bulut Altyapı Sağlayıcıları: Platform içi yapay zekâ asistanı ve gelişmiş analiz özellikleri kullanılırken maskelenmiş/anonimleştirilmiş sorgular güvenli API altyapıları (OpenAI LLC / Google Cloud) üzerinden işlenebilmektedir.
Yurt dışı aktarımlarında; KVKK m. 9 uyarınca Kurul tarafından onaylanan Standart Sözleşmeler (Standard Contractual Clauses), yeterlilik kararı veya ilgili kişinin açık rızası hukuki sebeplerine dayanılmakta, üçüncü taraf altyapı sağlayıcılarıyla uluslararası veri güvenliği ve gizlilik taahhütnameleri akdedilmektedir.
6. Çerezler (Cookies) ve Çevrimiçi Tanımlama Teknolojileri
RandevuDesk web sitesi ve kullanıcı panellerinde; platformun güvenli bir şekilde çalışması, oturum sürekliliğinin sağlanması ve kullanıcı deneyiminin optimize edilmesi amacıyla çerezler kullanılmaktadır:
- Zorunlu Çerezler: Kullanıcı girişi, oturum token'ları (JWT), güvenlik doğrulama (CSRF) ve form işlemlerinin çalışabilmesi için teknik olarak zorunlu çerezlerdir.
- İşlevsel Çerezler: Kullanıcının tema, dil veya arayüz tercihlerini hatırlayan çerezlerdir.
- Performans ve Analitik Çerezler: Hangi sayfaların ziyaret edildiği ve olası hata kayıtlarının tespiti amacıyla kullanılan anonimleştirilmiş ölçümleme çerezleridir (PostHog ve benzeri analitik servisler).
Çerez tercihlerinizi tarayıcınızın ayarlarından her zaman değiştirebilirsiniz. Detaylı bilgi için lütfen Çerez Politikası sayfamızı inceleyiniz.
7. Kişisel Verilerin Yurt İçinde Aktarıldığı Taraflar
Kişisel verileriniz, yasal yükümlülüklerin ifası ve sözleşmenin kurulması/yürütülmesi amacıyla sınırlı olmak kaydıyla yurt içinde yalnızca şu kişi ve kurumlara aktarılmaktadır:
- PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.: Abonelik ve hizmet ödemelerinin tahsili, kart saklama ve ters ibraz (chargeback) itiraz süreçlerinin yürütülmesi.
- Yetkili Kamu Kurum ve Kuruluşları: Gelir İdaresi Başkanlığı, Vergi Daireleri, T.C. Mahkemeleri, Savcılıklar ve adli/idari kolluk kuvvetlerinin resmi talepleri.
- Mali Müşavirlik & Hukuk Danışmanları: Vergi Usul Kanunu, Türk Ticaret Kanunu kapsamındaki muhasebeleştirme ve hukuki ihtilaf süreçleri.
- SMS ve İletişim Servis Sağlayıcıları: Türkiye içi SMS doğrulama ve bildirim gönderim hizmeti sunan BTK lisanslı toplu SMS sağlayıcıları.
8. Veri Güvenliği, OWASP Uyumluluğu ve Teknik Tedbirler
RandevuDesk, 6698 sayılı KVKK Madde 12 uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla sektörün en yüksek teknik ve idari tedbirlerini almıştır:
- 256-Bit SSL/TLS 1.3 Şifreleme: Tüm ağ trafiği modern şifreleme protokolleriyle korunur.
- Bcrypt 12-Rounds Şifreleme: Kullanıcı parolaları salt mekanizmasıyla tek yönlü kriptografik formatta saklanır.
- Log Sansürleme ve Maskeleme: Sistem kayıtlarında telefon numaraları (0532 *** ** 89) ve e-posta adresleri (a***e@alan.com) otomatik olarak sansürlenir.
- WAF ve Rate Limiting: Nginx ve Redis destekli brute-force saldırı önleyiciler, IP bazlı hız kısıtlamaları uygulanır.
- IDOR ve Çok Kiracılı İzolasyon Duvarı: Hiçbir işletme veya yetkisiz kullanıcı bir diğer işletmenin müşteri, randevu veya ciro verilerine erişemez.
9. Kişisel Verilerin Saklanma Süresi ve İmhası
Kişisel veriler; Türk Ticaret Kanunu, Vergi Usul Kanunu (fatura ve muhasebe kayıtları için 10 yıl), 6563 sayılı ETK (onay ve işlem kayıtları için 3 yıl) ve 5651 sayılı İnternet Kanunu (erişim logları için 2 yıl) mevzuatında öngörülen zorunlu saklama süreleri boyunca güvenle muhafaza edilir. Saklama süresi biten veya işlenme sebebi ortadan kalkan veriler ilk periyodik imha döneminde silinir, yok edilir veya anonim hâle getirilir.
10. İlgili Kişinin Hakları (KVKK Madde 11) ve Başvuru Usulü
Kişisel veri sahibi gerçek kişiler, 6698 sayılı Kanun'un 11. maddesi uyarınca veri sorumlusuna başvurarak:
- Kişisel verisinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında verilerin aktarıldığı 3. kişileri bilme,
- Eksik veya yanlış işlenmişse düzeltilmesini isteme,
- KVKK 7. maddede öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
- Verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonucun çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Başvurularınızı; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak, ıslak imzalı dilekçenizi yukarıda belirtilen iş yeri açık adresimize noter veya iadeli taahhütlü posta yoluyla ya da sistemde kayıtlı bulunan e-posta adresiniz üzerinden support@randevudesk.com adresine güvenli elektronik imzalı veya mobil imzalı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.
11. Açık Rıza Metni ve Açık Rıza Beyanı (Explicit Consent)
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5/1 ve 6/2 maddeleri uyarınca, kanunda sayılan istisnai haller haricinde kişisel verilerin ve özel nitelikli kişisel sağlık verilerinin işlenmesi, yurt dışına aktarılması ve tanıtım içerikli ticari iletilerin gönderilmesi ilgili kişinin özgür iradesine dayalı açık rızasına tabidir.
Açık Rıza Gerektiren Haller ve Beyan Kapsamı:
- Özel Nitelikli Sağlık & Estetik Verileri Onayı: Salon, klinik ve uzmanlık modüllerinde girilen alerji, kronik rahatsızlık, ilaç kullanımı, cilt analizi, teknik formülasyon reçeteleri ve estetik öncesi/sonrası fotoğraflarının randevu ve uzman takibi amacıyla işlenmesine,
- Yapay Zekâ ve Otomasyon Analizi Onayı: Randevu tercihlerimin, no-show tahminlemelerinin ve operasyonel analitiklerin yapay zekâ asistanı ve algoritmalar tarafından maskeli/anonim şekilde işlenmesine,
- Yurt Dışı Güvenli Aktarım Onayı: Randevu onay ve hatırlatma mesajlarının Meta Platforms Inc. (WhatsApp Cloud API) üzerinden gönderilmesi ve Cloudflare güvenlik filtreleri kapsamında gerekli teknik verilerin yurt dışı sunucularına aktarılmasına,
- Elektronik Ticari İleti Onayı: RandevuDesk'in yeni sürüm güncellemeleri, özel avantaj ve sektörel rehberlerine ilişkin e-posta ve WhatsApp bültenlerinin tarafıma iletilmesine,
"Yukarıda sunulan KVKK Aydınlatma Metni'ni okuduğumu, anladığımı; özel nitelikli kişisel sağlık/estetik verilerimin, yapay zekâ analiz süreçlerimin, WhatsApp bildirimleri kapsamındaki yurt dışı veri aktarımının ve tarafıma ticari elektronik ileti gönderilmesinin yukarıda belirtilen şartlar dairesinde gerçekleştirilmesine açık ve özgür irademle rıza gösteriyorum."
* Açık rızanızı dilediğiniz an hiçbir gerekçe göstermeksizin geri alabilirsiniz. Rızanızı geri almak için support@randevudesk.com adresine talebinizi iletmeniz yeterlidir.