1. Biz Kimiz

Terapakt, bu Politikada açıklanan hesap ve idari veriler için veri sorumlusu olan "Datapakt" tarafından işletilmektedir ve info@datapakt.ai adresinden ulaşılabilir. Tescilli adres ve sicil bilgileri: Konutkent Mh. Dumlupınar Bul. 381 AK Çankaya - ANKARA / Ticaret Sicil No: 524145 / Mersis No: 0271205744200001

2. Bu Politikanın Kapsamı

Bu Politika, her biri farklı bir rol altında ele alınan iki veri kategorisini kapsar:

• Hesap ve idari veriler (kendi adınız, iletişim bilgileriniz, giriş ve faturalandırma bilgileriniz): Bu veriler için veri sorumlusu olarak hareket ederiz.

• Bir uzmanın tedavi ettiği kişiler hakkında girdiği danışan/hasta verileri (iletişim bilgileri, randevu ve seans geçmişi, klinik notlar, kayıtlar ve diğer sağlık bilgileri): Bu verilerde uzman ve kliniği veri sorumlusu olarak hareket eder; biz ise yalnızca uzmanın talimatları doğrultusunda ve yalnızca Hizmeti işletmek amacıyla bu verileri işleyen veri işleyen olarak hareket ederiz.

3. Topladığımız Kişisel Veriler

Hesap verileri: ad, e-posta adresi, telefon numarası, doğum tarihi, cinsiyet (isteğe bağlı), (asla düz metin olarak değil, güvenli şekilde saklanan) şifre, profil ve meslek bilgileri ve Klinik Sahipleri için faturalandırma, vergi bilgileri ve klinik adresi.

Kullanım ve cihaz verileri: Hizmeti işletmek, güvenliğini sağlamak ve geliştirmek için gerekli günlük (log) verileri, uygulama sürümü, cihaz ve tarayıcı türü, IP adresi ve genel kullanım analitiği.

İletişim verileri: SMS doğrulama kodları ve teslimat durumu, ile teslimat ve sorun giderme için gerekli olduğu ölçüde Hizmet üzerinden gönderilen otomatik danışan iletişimlerinin (ör. randevu hatırlatmaları) kayıtları.

4. Uzmanlar Tarafından Girilen Özel Nitelikli (Sağlık) Veriler

Uzmanlar, danışanları hakkında seans notları, randevu kayıtları, YZ tarafından oluşturulan transkriptler ve özetler ile diğer klinik dokümantasyon dahil olmak üzere özel nitelikli kişisel verileri — sağlıkla ilgili verileri — Terapakt'a girebilir (KVKK madde 6 uyarınca "özel nitelikli kişisel veri"; GDPR madde 9 uyarınca "özel kategori veri").

Bu verileri kesinlikle bir veri işleyen sıfatıyla, uzmanın belgelenmiş talimatları doğrultusunda ve yalnızca depolama, transkripsiyon, (uzmanın tercih etmesi halinde) YZ özetleme ve ilgili Hizmet özelliklerini sağlamak amacıyla işleriz. Bu verilere kendi amaçlarımız için erişmez, bunları incelemez veya kullanmayız ve bunları başka müşteriler için YZ modellerini eğitmek amacıyla kullanmayız.

Uzmanlar; sağlık verilerini Hizmete girmeden önce genellikle danışanın açık rızası olmak üzere veya KVKK madde 6 ya da GDPR madde 9 kapsamında tanınan başka bir hukuki dayanağa sahip olduklarından emin olmakla sorumludur.

5. Kişisel Verileri Nasıl ve Neden Kullanıyoruz, Hukuki Dayanaklarımız

Hesap ve idari verileri şu amaçlarla işleriz: hesabınızı oluşturmak ve işletmek (sözleşmenin ifası — KVKK m. 5/2(c); GDPR m. 6(1)(b)); kimliğinizi SMS tek seferlik kodlarıyla doğrulamak (meşru menfaat / açık rıza — KVKK m. 5/2(f); GDPR m. 6(1)(a)/(f)); müşteri desteği sağlamak ve hizmet iletişimleri göndermek; abonelik faturalandırmasını işlemek (sözleşmenin ifası ve kanuni yükümlülük — KVKK m. 5/2(ç); GDPR m. 6(1)(b)/(c)); güvenliği sağlamak ve dolandırıcılığı önlemek (meşru menfaat — KVKK m. 5/2(f); GDPR m. 6(1)(f)); ve yasal, vergisel ve düzenleyici yükümlülüklere uymak.

Uzmanlar tarafından danışanları hakkında girilen özel nitelikli (sağlık) verileri, yalnızca uzmanın talimatı doğrultusunda hareket eden bir veri işleyen sıfatıyla ve uzmanın danışanıyla oluşturduğu hukuki dayanak (genellikle açık rıza — KVKK m. 6/2; GDPR m. 9(2)(a) veya gizlilik yükümlülüğüne tabi bir sağlık uzmanı tarafından sağlık hizmeti sunumu — GDPR m. 9(2)(h)) çerçevesinde işleriz.

6. Yapay Zeka İşleme

Bir uzman seans kaydını kullanmayı tercih ettiğinde, ses kaydı şifrelenmiş nesne depolamada saklanır. Uzman bir transkript veya YZ özeti talep ederse, ses kaydı veya transkript metni yalnızca bu transkript veya özeti oluşturmak amacıyla bir transkripsiyon sağlayıcısına ve/veya bir YZ dil modeli sağlayıcısına gönderilir ve mevcut sağlayıcı anlaşmalarımız kapsamında bu sağlayıcılar tarafından müşterilerimizin verileri üzerinde model eğitimi için kullanılmaz. Oluşturulan transkriptler ve özetler, danışan kaydının bir parçası olarak, kaydın geri kalanıyla aynı erişim kontrollerine tabi şekilde saklanır ve dayanılmadan önce uzman tarafından gözden geçirilip onaylanır.

7. Verileri Kimlerle Paylaşıyoruz

Kişisel verileri yalnızca Hizmeti işletmek için gerekli olduğu ölçüde, sözleşmesel veri koruma koşulları altında veri işleyenlerimiz olarak hareket eden şu alıcı kategorileriyle paylaşırız: bulut barındırma ve nesne depolama sağlayıcıları (uygulama verileri, dosyalar ve ses kayıtları için); kimlik ve kimlik doğrulama altyapısı (Keycloak tabanlı kimlik doğrulama, kendi barındırdığımız veya bizim için barındırılan); e-posta iletim sağlayıcıları (hesap, davet ve bildirim e-postaları için); SMS iletim sağlayıcıları (doğrulama kodları ve danışan randevu hatırlatmaları için); yalnızca bir uzman kayıt veya YZ özet özelliklerini kullandığında devreye giren konuşmadan metne transkripsiyon sağlayıcıları ve YZ dil modeli sağlayıcıları; ve Klinik Sahibi abonelik faturalandırması için Stripe ve PayTR gibi ödeme işlemcileri.

Kişisel verileri satmayız ve danışan/hasta verilerini üçüncü tarafların kendi pazarlama amaçları için paylaşmayız.

8. Verinin Saklandığı Bölge

Kişisel verileri yurt dışına aktarmak yerine, ait olduğu kliniğin (tenant'ın) bulunduğu bölgede saklar ve işleriz. Türkiye merkezli kliniklere ait veriler, Türkiye'de (İstanbul) bulunan altyapı üzerinde barındırılır ve işlenir. Avrupa Birliği veya Avrupa Ekonomik Alanı merkezli kliniklere ait veriler, Avrupa Birliği'nde (Frankfurt, Almanya) bulunan altyapı üzerinde barındırılır ve işlenir.

Barındırma ve altyapı hizmeti veren veri işleyenlerimiz, her kliniğin verilerini sözleşmeyle belirlenmiş bölgesi içinde tutmakla yükümlüdür.

9. Veri Saklama

Hesap verilerini hesabınız aktif olduğu sürece ve sonrasında yasal, muhasebe ve vergi yükümlülüklerine uymak için makul bir süre boyunca saklarız. Bir uzman tarafından girilen danışan/hasta verileri, uzmanın kendi yapılandırmasına ve uygulanabilir mesleki kayıt tutma yükümlülüklerine göre saklanır; sağlık kayıtları için yasal olarak öngörülen asgari saklama süreleri saklı kalmak kaydıyla, talep üzerine silinir veya uzmana iade edilir. Ses kayıtları yalnızca uzmanın saklamayı tercih ettiği süre boyunca tutulur ve uzman tarafından istenildiği zaman silinebilir.

10. Veri Güvenliği

Aktarım ve depolama sırasında verilerin şifrelenmesi, bir kliniğin diğerinin verilerine erişememesi için her klinik ("tenant") ile sınırlandırılmış erişim kontrolleri, Keycloak üzerinden kimlik doğrulama ve şüpheli faaliyetlerin izlenmesi dahil olmak üzere sektör standardı önlemler kullanırız. Hiçbir sistem tamamen güvenli değildir ve önlemlerimizi sürekli olarak geliştirmeye devam ediyoruz.

11. Haklarınız

KVKK madde 11 uyarınca şu haklara sahipsiniz: kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme; işlenmesini gerektiren sebeplerin ortadan kalkması halinde verilerin silinmesini veya yok edilmesini isteme; düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme; ve kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

GDPR sizin için geçerliyse, ayrıca verilerinize erişme, düzeltme, silme, işlemeyi kısıtlama veya işlemeye itiraz etme hakkına, veri taşınabilirliği hakkına, önceki hukuka uygun işlemeyi etkilemeksizin rızanızı istediğiniz zaman geri çekme hakkına ve Kişisel Verileri Koruma Kurulu (KVKK Kurulu) veya ikamet ettiğiniz AB/AEA ülkesinin veri koruma otoritesi gibi bir denetim otoritesine şikayette bulunma hakkına sahipsiniz.

Bu haklar kendi hesap verileriniz için geçerlidir. Terapakt kullanan bir uzmanın danışanıysanız ve uzmanın sizinle ilgili girdiği veriler üzerindeki haklarınızı kullanmak istiyorsanız, bu verilerin veri sorumlusu olan uzmanla doğrudan iletişime geçmenizi rica ederiz; talebinize yanıt vermesi konusunda uzmanı destekleyeceğiz.

12. Haklarınızı Nasıl Kullanabilirsiniz

Yukarıda açıklanan hakları info@datapakt.ai adresinden veya uygulama içi destek kanalı üzerinden bizimle iletişime geçerek kullanabilirsiniz. KVKK ve uygulanabilir olduğu ölçüde GDPR'nin gerektirdiği sürelerde yanıt vereceğiz ve bir talebe işlem yapmadan önce kimliğinizi doğrulamamız gerekebilir.

13. Çocukların Verileri

Terapakt hesap kaydı, 18 yaşından küçük bireylere yönelik değildir ve onların kullanımı için tasarlanmamıştır. Uzmanlar, klinik dokümantasyonun bir parçası olarak reşit olmayan danışanlar hakkında veri girebilir; bu durumda, bunu yapmadan önce uygulanabilir mevzuata uygun olarak ebeveyn veya yasal vasiden onay almaktan uzman sorumludur.

14. Çerezler ve Benzer Teknolojiler

Terapakt'ın web sürümünde, oturumunuzu açık tutmak, dil tercihinizi hatırlamak ve oturum güvenliğini sağlamak için kesinlikle gerekli çerezleri ve yerel depolamayı kullanırız. Üçüncü taraf reklam çerezleri veya izleyicileri kullanmıyoruz.

15. Bu Politikadaki Değişiklikler

Uygulamalarımızdaki veya yasal gerekliliklerdeki değişiklikleri yansıtmak için bu Politikayı güncelleyebiliriz. Önemli değişiklikleri Hizmet üzerinden veya e-posta ile bildireceğiz ve yasaların gerektirdiği hallerde, önemli ölçüde değişmiş bir hukuki dayanağa güvenmeden önce yenilenmiş onayınızı talep edeceğiz.

16. Bize Ulaşın

Herhangi bir gizlilik sorusu için veya haklarınızı kullanmak amacıyla info@datapakt.ai adresinden bizimle iletişime geçebilirsiniz.

1. Who We Are

Terapakt is operated by "Datapakt", the data controller for account and administrative data described in this Policy, reachable at info@datapakt.ai. Registered address and registry details: Konutkent Mh. Dumlupınar Bul. 381 AK Çankaya - ANKARA / Trade Registry no: 524145 / Mersis no: 0271205744200001

2. Scope of This Policy

This Policy covers two categories of data, each handled under a different role:

• Account and administrative data (your own name, contact details, login and billing information): we act as data controller ("veri sorumlusu") for this data.

• Client/patient data that a provider enters about the people they treat (contact details, appointment and session history, clinical notes, recordings, and other health information): the provider and their practice act as data controller, and we act as data processor ("veri işleyen"), processing this data only on the provider's instructions and solely to operate the Service.

3. Personal Data We Collect

Account data: name, email address, phone number, date of birth, gender (optional), password (stored securely, never in plain text), profile and occupation information, and, for Tenant Owners, billing and tax information and practice address.

Usage and device data: log data, app version, device and browser type, IP address, and general usage analytics needed to operate, secure, and improve the Service.

Communications data: SMS verification codes and delivery status, and records of automated client communications sent through the Service (e.g. appointment reminders), to the extent needed for delivery and troubleshooting.

4. Special Category (Health) Data Entered by Providers

Providers may enter special category personal data — data concerning health — about their clients into Terapakt, including session notes, appointment recordings, AI-generated transcripts and summaries, and other clinical documentation ("özel nitelikli kişisel veri" under KVKK Article 6; "special category data" under GDPR Article 9).

We process this data strictly as a processor, on the provider's documented instructions, and only to provide storage, transcription, AI summarization (where the provider chooses to use it), and related Service features. We do not access, review, or use this data for our own purposes, and we do not use it to train AI models for other customers.

Providers are responsible for ensuring they have a valid legal basis — ordinarily the client's explicit consent, or another basis recognized under KVKK Article 6 or GDPR Article 9 — before entering health data into the Service.

5. How and Why We Use Personal Data, and Our Legal Bases

We process account and administrative data to: create and operate your account (performance of a contract — KVKK Art. 5/2(c); GDPR Art. 6(1)(b)); verify your identity via SMS one-time codes (legitimate interest / consent — KVKK Art. 5/2(f); GDPR Art. 6(1)(a)/(f)); provide customer support and send service communications; process subscription billing (contract performance and legal obligation — KVKK Art. 5/2(ç); GDPR Art. 6(1)(b)/(c)); maintain security and prevent fraud (legitimate interest — KVKK Art. 5/2(f); GDPR Art. 6(1)(f)); and comply with legal, tax, and regulatory obligations.

We process special category (health) data entered by providers about their clients solely as a processor acting on the provider's instructions, under the legal basis the provider has established with their client (typically explicit consent — KVKK Art. 6/2; GDPR Art. 9(2)(a), or the provision of healthcare by a professional subject to confidentiality obligations — GDPR Art. 9(2)(h)).

6. Artificial Intelligence Processing

When a provider chooses to use session recording, the audio is stored in encrypted object storage. If the provider requests a transcript or AI summary, the audio or transcript text is sent to a transcription provider and/or an AI language model provider solely to generate that transcript or summary, and is not used by those providers to train models on our customers' data under our current provider agreements. Generated transcripts and summaries are stored as part of the client's record, subject to the same access controls as the rest of the record, and are reviewed and approved by the provider before being relied upon.

7. Who We Share Data With

We share personal data only as necessary to operate the Service, with the following categories of recipients acting as our sub-processors under contractual data protection terms: cloud hosting and object storage providers (for application data, files, and audio recordings); identity and authentication infrastructure (Keycloak-based authentication, self-hosted or hosted for us); email delivery providers (for account, invitation, and notification emails); SMS delivery providers (for verification codes and client appointment reminders); speech-to-text transcription providers and AI language model providers (only when a provider uses recording or AI summary features); and payment processors, such as Stripe and PayTR, for Tenant Owner subscription billing.

We do not sell personal data, and we do not share client/patient data with third parties for their own marketing purposes.

8. Data Residency

We store and process personal data in the same region as the practice (tenant) it belongs to, rather than transferring it abroad. Data belonging to practices based in Türkiye is hosted and processed on infrastructure located in Türkiye (Istanbul). Data belonging to practices based in the European Union or European Economic Area is hosted and processed on infrastructure located in the European Union (Frankfurt, Germany).

Our hosting and infrastructure sub-processors are contractually required to keep each practice's data within its designated region.

9. Data Retention

We retain account data for as long as your account is active and for a reasonable period afterward to comply with legal, accounting, and tax obligations. Client/patient data entered by a provider is retained according to the provider's own configuration and their applicable professional record-keeping obligations, and is deleted or returned to the provider upon their request, subject to any legally mandated minimum retention periods for healthcare records. Audio recordings are retained only as long as the provider chooses to keep them and can be deleted by the provider at any time.

10. Data Security

We use industry-standard safeguards, including encryption of data in transit and at rest, access controls scoped to each practice ("tenant") so that one practice cannot access another's data, authentication through Keycloak, and monitoring for suspicious activity. No system is completely secure, and we continuously work to improve our safeguards.

11. Your Rights

Under KVKK Article 11, you have the right to: learn whether your personal data is processed; request information about processing; learn the purpose of processing and whether it is used consistently with that purpose; know the third parties to whom data is transferred domestically or abroad; request correction of incomplete or inaccurate data; request deletion or destruction of data where the grounds for processing no longer apply; request that corrections, deletions, or destruction be notified to third parties to whom the data was transferred; object to a result that is to your detriment arising solely from automated analysis of your data; and claim compensation for damage arising from unlawful processing.

If GDPR applies to you, you additionally have the right to access, rectify, erase, restrict, or object to processing of your data, the right to data portability, the right to withdraw consent at any time without affecting prior lawful processing, and the right to lodge a complaint with a supervisory authority, such as the Turkish Personal Data Protection Board (KVKK Kurulu) or the data protection authority of your EU/EEA country of residence.

These rights apply to your own account data. If you are a client of a provider using Terapakt and want to exercise rights over data a provider has entered about you, please contact that provider directly, as they are the data controller for that data; we will support the provider in responding to your request.

12. How to Exercise Your Rights

You can exercise the rights described above by contacting us at info@datapakt.ai or through the in-app support channel. We will respond within the timeframes required by KVKK and, where applicable, GDPR, and may need to verify your identity before acting on a request.

13. Children's Data

Terapakt account registration is not directed at, and is not intended for use by, individuals under 18. Providers may enter data about minor clients as part of clinical documentation; in that case, the provider is responsible for obtaining consent from a parent or legal guardian in accordance with applicable law before doing so.

14. Cookies and Similar Technologies

On the web version of Terapakt, we use strictly necessary cookies and local storage to keep you signed in, remember your language preference, and maintain session security. We do not use third-party advertising cookies or trackers.

15. Changes to This Policy

We may update this Policy to reflect changes in our practices or legal requirements. We will notify you of material changes through the Service or by email, and where required by law, we will request renewed consent before relying on a materially changed legal basis.

16. Contact Us

For any privacy question or to exercise your rights, contact us at info@datapakt.ai.