CEVİZ GİZLİLİK POLİTİKASI VE KİŞİSEL VERİLERİN İŞLENMESİ AYDINLATMA METNİ

Yürürlük Tarihi: 13 Nisan 2026 Son Güncelleme: 13 Nisan 2026 Sürüm: 2.3

1. VERİ SORUMLUSUNUN KİMLİĞİ

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında veri sorumlusu sıfatıyla:

2. AMAÇ VE KAPSAM

İşbu Gizlilik Politikası (“Politika”), Ceviz tarafından geliştirilen ve App Store ile Google Play Store üzerinden dağıtılan Ceviz mobil uygulaması (“Uygulama”) aracılığıyla işlenen kişisel verilere ilişkin aydınlatma yükümlülüğümüzü yerine getirmek amacıyla hazırlanmıştır.

Politika; KVKK, GDPR, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili ikincil mevzuat çerçevesinde uygulanır.

Uygulamayı indirerek, hesap oluşturarak veya kullanarak bu Politika’da belirtilen veri işleme faaliyetlerini okuduğunuzu ve anladığınızı kabul etmiş olursunuz.

3. TANIMLAR

4. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ

Ceviz, Uygulama’nın işlevini yerine getirebilmek için aşağıdaki veri kategorilerini işler:

4.1. Hesap ve Kimlik Verileri

• Ad, soyad
• E-posta adresi
• Şifre (Firebase Authentication tarafından kriptografik olarak hash’lenmiş şekilde saklanır; Ceviz şifrenizin düz metin haline erişemez)
• Profil fotoğrafı (isteğe bağlı)

4.2. Mesleki Veriler

• Unvan (Dr., Dt., Prof. Dr. vb.)
• Meslek/uzmanlık alanı

4.3. Vaka ve İlgili Sağlık Verileri

• Sistem tarafından otomatik üretilen anonim vaka kodu (#CVZ-XXXXXXXX) — Doktor bu kodu değiştiremez veya kendi hasta rumuzunu giremez
• Doktor tarafından girilen vaka açıklaması (serbest metin)
• Yüklenen dosyalar: DICOM (.dcm/.dicom), 3D model dosyaları (.glb), arşivler (.zip, .rar), PDF dokümanlar (.pdf), görseller (.jpg, .png)
• Yüklenen dosyanın anonim olup olmadığına dair sistem kaydı (isAnonymized alanı)
• Doktorun hasta onamını aldığına dair beyan kaydı (hasPatientConsent alanı) ve beyanın verildiği tarih (consentDeclaredAt alanı)
• Vaka durumu, oluşturulma tarihi ve geri bildirimler

Önemli: Uygulama, hastaların adı, soyadı, T.C. Kimlik Numarası, doğum tarihi, iletişim bilgisi gibi hiçbir doğrudan kimlik tanımlayıcı veriyi talep etmez ve bu tür verilerin sisteme girilmemesi Doktor’un sorumluluğundadır (bkz. Madde 12). Hasta için kullanılan tek tanımlayıcı, sistemin otomatik ürettiği anonim koddur.

4.4. Teknik ve Cihaz Verileri

• Cihaz modeli, işletim sistemi sürümü
• Uygulama sürümü
• Çökme (crash) raporları ve hata logları
• IP adresi (yalnızca güvenlik ve App Check doğrulaması amacıyla)

4.5. Bildirim Verileri

• Firebase Cloud Messaging (FCM) push bildirim token’ı — cihazınıza vaka durum güncellemeleri gönderebilmek amacıyla /users/{userId} belgesi altında saklanır

4.6. Kullanım Verileri

• Oturum açma/kapatma zamanları
• Uygulama içi gezinme istatistikleri (toplulaştırılmış)

5. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE HUKUKİ SEBEPLERİ

Vaka kapsamında yüklenen dosyalar, KVKK M.6 anlamında “özel nitelikli kişisel veri” (sağlık verisi) içerebileceğinden, Doktor’un hastasından yazılı/elektronik açık rıza alma yükümlülüğü vardır. Bu rıza Ceviz’in dışındaki bir süreçte (doktor-hasta ilişkisi içinde) alınır ve imzalı belgenin asıl nüshası Doktor’un kendi arşivinde saklanır. Doktor, rızayı aldığını Uygulama içindeki “Onam Beyanı Ver” adımında açıkça beyan eder; bu beyan, beyan tarihiyle birlikte Firestore’da hasPatientConsent ve consentDeclaredAt alanlarına kalıcı olarak kaydedilir ve geri alınamaz. Ceviz, hasta ile doğrudan iletişime geçmediğinden ve hasta kimlik bilgilerini hiç toplamadığından, rızanın gerçekten alındığına ilişkin sorumluluk ve ispat yükü Doktor’a aittir (bkz. Madde 12.1).

6. PRIVACY BY DESIGN İLKESİ VE ANONİMLEŞTİRME

Ceviz, “Privacy by Design” (Tasarımda Gizlilik) prensibiyle geliştirilmiştir. Hasta mahremiyetini korumak için aşağıdaki teknik tedbirler uygulanır:

6.1. Anonim Sistem Kodu Üretimi Her yeni vaka oluşturulduğunda sistem otomatik olarak #CVZ-XXXXXXXX formatında bir anonim tanımlayıcı üretir. Bu kod:

• UUID v4 standardına dayalı kriptografik rastgele değerden türetilir
• 8 karakterlik tek-yönlü bir tanımlayıcıdır
• Hastanın gerçek kimliğiyle Ceviz’in veritabanında hiçbir matematiksel ilişki kurmaz
• Çakışma olasılığı pratik olarak sıfırdır

6.2. Otomatik DICOM Anonimleştirme Doktorun yüklediği tüm DICOM (.dcm) dosyaları, sunucuya yüklenmeden önce Uygulama tarafından otomatik olarak anonimleştirilir. DICOM dosyalarının başlık (header) bilgilerinde yer alan ve hasta kimliğini açığa çıkarabilecek meta veriler — hasta adı, doğum tarihi, T.C. kimlik numarası, hastane bilgisi, doktor adı, çekim tarihi gibi — DicomSanitizer modülü tarafından temizlenir. Yalnızca temizlenmiş dosya Firebase Storage’a yüklenir; orijinal dosya cihazda bile uzun süre tutulmaz, anonimleştirme sonrası geçici dosya silinir.

6.3. Doktorun Anonimleştirme Beyanı DICOM dışındaki dosya türleri (JPG, PNG, PDF, ZIP, RAR, GLB) yüklenirken Doktor, dosyada hastanın doğrudan kimlik bilgilerinin bulunmadığını sistem üzerinde açıkça beyan ve taahhüt eder. Bu beyan olmadan dosya yüklenemez.

6.4. Veri Minimizasyonu Uygulama, hizmetin sunulması için gerekli olmayan hiçbir kişisel veriyi talep etmez. Hasta kimlik bilgileri, iletişim bilgileri ve sigorta bilgileri Uygulama tarafından toplanmaz.

6.5. Hesap-Vaka Ayrımı Doktor hesap bilgileri ile vaka verileri Firestore’da farklı koleksiyonlarda tutulur ve yetkilendirme kuralları (Firestore Security Rules ve Storage Security Rules) ile katmanlı erişim sağlanır. Bir Doktor başka bir Doktor’un vakalarına hiçbir koşulda erişemez. Yalnızca Ceviz Şirketi bünyesinde mühendislik hizmeti sunan yetkili Admin kullanıcılar, hizmetin sunulması amacıyla doktorların vakalarına erişebilir (bkz. Madde 10.1).

7. CİHAZ İZİNLERİ

Uygulama, fonksiyonlarını yerine getirebilmek için aşağıdaki cihaz izinlerini talep eder:

Uygulamamız KAMERA iznini talep etmez ve cihaz kameranıza erişmez. Mevcut görseller cihaz galerisinden seçilerek yüklenir.

8. VERİ GÜVENLİĞİ ÖNLEMLERİ

Ceviz, kişisel verilerin güvenliğini sağlamak için aşağıdaki idari ve teknik tedbirleri uygular:

Teknik Tedbirler: - Aktarımda şifreleme: Tüm veri trafiği TLS 1.2+ protokolü ile şifrelenir - Depolamada şifreleme: Firebase Storage ve Firestore üzerindeki tüm veriler dinlenme halinde (at rest) AES-256 ile şifrelenir - Otomatik DICOM anonimleştirme: Yüklenen tüm DICOM dosyaları, sunucuya aktarılmadan önce hasta meta verilerinden arındırılır (bkz. Madde 6.2) - Firebase App Check: Uygulamaya yapılan tüm istekler Play Integrity (Android) ve App Attest (iOS) ile doğrulanır; sahte istemcilerin veriye erişimi engellenir - Firestore Security Rules ve Storage Security Rules: Katmanlı erişim kontrolü ile her kullanıcı yalnızca kendi verilerine erişebilir; Admin rolü harici hiçbir kullanıcı başka kullanıcının vakasını veya dosyasını okuyamaz - Şifre güvenliği: Şifreler Firebase Authentication tarafından scrypt algoritmasıyla hash’lenir; Ceviz şifrelere düz metin olarak erişemez - Hata izleme: Crashlytics, kişisel kimlik bilgilerinden arındırılmış teknik logları toplar

İdari Tedbirler: - Şirket çalışanları (Admin’ler) ile yazılı Gizlilik ve Kişisel Veri Koruma Taahhütnameleri imzalanmıştır - Veri erişimi “bilmesi gereken” (need-to-know) ilkesine göre düzenlenmiştir - Veri ihlali müdahale prosedürü oluşturulmuştur - Çalışanlar, görevlerinden ayrıldıktan sonra dahi süresiz gizlilik yükümlülüğü altındadır

9. VERİ SAKLAMA SÜRELERİ

Ceviz, kişisel verileri yalnızca işleme amacı için gerekli olan süre boyunca saklar. Genel ilke şudur: verileriniz hesabınız aktif olduğu sürece saklanır; hesabınızı sildiğinizde tüm verileriniz kalıcı olarak silinir.

Önemli: Hesap silme işlemi geri alınamaz. Hesabınızı sildikten sonra vakalarınıza, yüklediğiniz dosyalara veya Admin tarafından üretilmiş 3D modellere erişiminiz kalmaz.

10. KİŞİSEL VERİLERİN AKTARILMASI

10.1. Yurt İçi Aktarım

Kişisel verileriniz, hizmetin sunulması amacıyla Ceviz bünyesinde çalışan yetkili Admin kullanıcılarına aktarılır. Bu aktarım, mühendislik hizmetinin Ceviz’in kendi ekibi tarafından sunulması nedeniyle gerçekleşir; üçüncü taraf bir mühendise aktarım söz konusu değildir.

10.2. Yurt Dışına Aktarım

Uygulama, altyapı olarak Google Firebase servislerini kullanmaktadır. Firebase verileri, KVKK ve GDPR uyumu gereği Avrupa Birliği sınırları içinde, Frankfurt/Almanya’da bulunan europe-west3 bölgesinde barındırılır. Bu bölgenin tercih edilmesinin sebepleri:

• AB Komisyonu’nun yeterlilik kararı kapsamında bulunması
• Türkiye Cumhuriyeti vatandaşlarının verilerinin AB GDPR koruması altında işlenmesi
• KVKK M.9 kapsamında yeterli korumaya sahip ülke statüsü

Hizmet sağlayıcı Google Ireland Limited, GDPR uyumlu Standart Sözleşme Maddeleri (SCC) çerçevesinde veri işleyen sıfatıyla çalışmaktadır.

MVP sonrası taahhüt: Ceviz, ürünün ticarileşme sürecinin tamamlanmasını takiben sunucu altyapısını Türkiye’ye taşımayı taahhüt etmektedir.

11. ÜÇÜNCÜ TARAF HİZMET SAĞLAYICILARI

Aşağıdaki Google/Firebase servisleri “veri işleyen” sıfatıyla kullanılmaktadır:

Google’ın gizlilik politikası: https://policies.google.com/privacy Firebase veri işleme şartları: https://firebase.google.com/terms/data-processing-terms

Uygulama; reklam ağları, analitik üçüncü taraflar veya pazarlama hizmet sağlayıcıları kullanmaz.

12. KULLANICININ (DOKTORUN) SORUMLULUKLARI

Doktor, Uygulama’yı kullanırken aşağıdaki yükümlülükleri kabul eder:

12.1. Hasta Onamı (Açık Rıza) Doktor, vaka oluşturduktan sonra hizmetin tam olarak işleyebilmesi için hastasından KVKK Madde 6 ve ilgili sağlık mevzuatı uyarınca gerekli açık rızayı yazılı veya elektronik olarak almakla yükümlüdür. Ceviz, Doktor’a kolaylık sağlamak amacıyla Uygulama içinde indirilebilir bir “Aydınlatılmış Hasta Onam Formu” şablonu sunar; ancak Doktor, kendi tercih ettiği başka bir onam formunu da kullanabilir. Hangi form kullanılırsa kullanılsın, imzalı rıza belgesinin asıl nüshası Doktor’un kendi arşivinde saklanır ve KVKK denetimi halinde Doktor tarafından ibraz edilir.

Rızayı alan Doktor, Uygulama içindeki “Onam Beyanı Ver” adımı üzerinden bu rızayı aldığını sistem üzerinde resmi olarak beyan eder. Bu beyan, beyanın verildiği anın zaman damgasıyla birlikte Firestore’da kalıcı olarak kaydedilir; bir kez verilen beyan geri alınamaz. Ceviz, hasta ile hiçbir doğrudan iletişim kurmadığı ve hasta kimlik bilgilerini hiç toplamadığı için bu beyanın doğruluğu münhasıran Doktor’un sorumluluğundadır.

12.2. Dosya Anonimliği Beyanı Doktor, vaka oluştururken DICOM dışında bir dosya (JPG, PNG, PDF, ZIP, RAR, GLB) yüklediği takdirde, dosyanın içinde hastanın doğrudan kimlik bilgisinin (ad-soyad, T.C. kimlik numarası, açık yüz fotoğrafı vb.) bulunmadığını sistem üzerindeki onay kutusu aracılığıyla açıkça beyan ve taahhüt eder. Bu beyan olmadan dosya yüklenemez. DICOM dosyaları sistem tarafından otomatik anonimleştirildiği için ayrıca beyan gerektirmez (bkz. Madde 6.2).

12.3. Vaka Açıklamalarında Kimlik Gizliliği Doktor, vaka açıklamalarında veya yüklediği dosya isimlerinde hastanın doğrudan kimliğini ifşa edecek bilgileri (ad-soyad, T.C. kimlik no, telefon numarası, adres vb.) girmemekle yükümlüdür.

12.4. Hesap Güvenliği Doktor, hesap şifresini gizli tutmak, üçüncü kişilerle paylaşmamak ve hesabına yetkisiz erişim şüphesi durumunda derhal şifresini değiştirmekle yükümlüdür.

12.5. Hukuka Uygun Kullanım Doktor, Uygulama’ya yüklediği verilerin elde edilme yöntemi, içeriği ve hukuka uygunluğu bakımından münhasıran sorumludur.

Bu yükümlülüklerin ihlali halinde doğacak hukuki sorumluluk münhasıran Doktor’a aittir; Ceviz’in herhangi bir sorumluluğu bulunmaz. Doktor, bu ihlalden kaynaklanan zararlardan dolayı Ceviz’i tazmin etmekle yükümlüdür.

13. ÇOCUKLARIN KİŞİSEL VERİLERİ

Ceviz Uygulaması, yalnızca 18 yaşın üzerindeki sağlık profesyonellerinin kullanımına yöneliktir. Ceviz, bilerek 18 yaşın altındaki bireylerden hesap kullanıcısı olarak veri toplamaz. 18 yaşın altındaki bir kullanıcının hesap oluşturduğu tespit edildiğinde, ilgili hesap ve veriler derhal silinir.

Doktor tarafından sisteme yüklenen tıbbi verilerin ait olduğu hastanın yaşı bu kuralın istisnası olabilir; ancak Ceviz, hasta kimlik bilgilerini hiç toplamadığı için hastanın yaşı veya kim olduğu Ceviz tarafından bilinmez. Hasta verilerinin anonimliğinin sağlanması ve hastanın yasal temsilcisinden (varsa) onamın alınması Doktor’un sorumluluğundadır (bkz. Madde 12).

14. VERİ SAHİBİ HAKLARI (KVKK M.11 VE GDPR)

KVKK Madde 11 ve GDPR uyarınca veri sahibi olarak aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
6. KVKK Madde 7’de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
7. 5. ve (6) numaralı bentler uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme
8. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

GDPR kapsamında ek olarak:

10. Veri taşınabilirliği hakkı (Right to data portability) — verilerinizi yapılandırılmış bir formatta alma
11. İşlemeye itiraz hakkı (Right to object)
12. İşlemenin kısıtlanması hakkı (Right to restriction)
13. Denetim makamına şikayet hakkı — Türkiye için Kişisel Verileri Koruma Kurumu (KVKK), AB için ilgili ulusal denetim makamı

Başvuru Yöntemi

Bu haklarınızı kullanmak için aşağıdaki yollardan birini tercih edebilirsiniz:

• E-posta: info@cevizbiotech.com (konu: “KVKK Veri Sahibi Başvurusu”)
• Yazılı başvuru: Çalca OSB Mahallesi, 1. Cadde, Tasarım Teknokent A.Ş. No:1 İç Kapı No:3, Merkez/Kütahya
• Uygulama içi: Profil > Profili Düzenle > Hesabımı Sil seçeneği

Başvurunuza en geç 30 gün içinde ücretsiz olarak yanıt verilir. Başvurunun haklı olmadığının değerlendirilmesi halinde Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca ücret talep edilebilir.

15. VERİ İHLALİ BİLDİRİMİ

Kişisel verilerinizin yetkisiz erişim, ifşa, değiştirme, kayıp veya imha gibi bir veri ihlaline maruz kalması halinde Ceviz:

• KVKK Madde 12/5 uyarınca Kişisel Verileri Koruma Kurulu’na 72 saat içinde bildirim yapar
• GDPR Madde 33 uyarınca yetkili denetim makamına 72 saat içinde bildirim yapar
• İhlalin sizin haklarınız ve özgürlükleriniz açısından yüksek risk oluşturduğu durumlarda, sizi gecikmeksizin uygulama içi bildirim ve e-posta yoluyla bilgilendirir

16. HESAP VE VERİ SİLME

Verileriniz üzerinde tam kontrole sahipsiniz:

16.1. Vaka Arşivleme Doktor, aktif vaka listesini düzenli tutmak amacıyla bireysel vakaları arşivleyebilir. Arşivlenen vakalar Doktor’un aktif listesinden kaldırılır ancak Doktor isterse arşivden geri çıkarabilir. Arşivleme bir silme işlemi değildir; veriler hesap silinene kadar saklanmaya devam eder.

16.2. Uygulama İçi Hesap Silme Profil > Profili Düzenle > Hesabımı Sil adımlarını izleyerek hesabınızı silebilirsiniz. Hesap silme işlemi başlatıldığında sistem aşağıdaki adımları anında ve geri alınamaz şekilde gerçekleştirir:

1. Firebase Storage’daki tüm ham vaka dosyalarınız (uploads/{userId}/...) silinir
2. Firebase Storage’daki size ait tüm işlenmiş 3D model dosyaları (processed_models/{userId}/...) silinir
3. Firestore’daki tüm vaka kayıtlarınız (aktif ve arşivlenmiş) silinir
4. Firestore’daki kullanıcı profil dokümanınız silinir
5. Firebase Authentication kaydınız silinir
6. Uygulamadan otomatik olarak çıkış yapılır

16.3. E-posta ile Talep Uygulama içi silme yöntemine erişiminiz yoksa, info@cevizbiotech.com adresine talep göndererek silme işlemini başlatabilirsiniz. Talebiniz en geç 7 gün içinde işleme alınır.

16.4. Yedeklerden Silme Firebase’in altyapı yedeklemesi nedeniyle, silinen verileriniz Google’ın yedekleme katmanlarından azami 180 gün içinde tamamen kaldırılır. Bu süre boyunca yedeklere yalnızca Google tarafından felaket kurtarma amacıyla erişilebilir; Ceviz dahil hiçbir taraf bu yedeklere erişemez.

16.5. İşlemin Geri Alınamazlığı Hesap silme işlemi geri alınamaz. Sildiğiniz vakalar, dosyalar veya 3D modeller hiçbir koşulda kurtarılamaz. İşlemi başlatmadan önce ihtiyaç duyduğunuz dosyaları kendi cihazınıza indirmenizi öneririz.

17. ÇEREZLER VE BENZERİ TEKNOLOJİLER

Mobil uygulamamız, web sitelerinde kullanılan klasik anlamda “çerez” (cookie) kullanmaz. Ancak Firebase SDK’ları, oturum yönetimi ve App Check için cihaz hafızasında geçici tanımlayıcılar (token) saklar. Bu tanımlayıcılar reklam veya takip amacıyla kullanılmaz.

18. UYGULAMA MAĞAZALARI HAKKINDA

Ceviz Uygulaması, Apple App Store ve Google Play Store üzerinden dağıtılmaktadır. Uygulamayı indirdiğinizde, ilgili mağazanın gizlilik politikası ve hizmet şartları da geçerlidir:

• Apple Privacy Policy: https://www.apple.com/legal/privacy/
• Google Play Privacy Policy: https://policies.google.com/privacy

Mağaza hesabınızla ilgili veriler (indirme geçmişi, ödeme bilgileri vb.) doğrudan ilgili mağaza tarafından işlenir; Ceviz’in bu verilere erişimi yoktur.

19. POLİTİKADA YAPILACAK DEĞİŞİKLİKLER

Ceviz, işbu Politika’yı zaman zaman güncelleyebilir. Önemli değişiklikler söz konusu olduğunda:

• Yeni sürüm Uygulama içinde ve https://cevizapp.web.app adresinde yayımlanır
• Tüm aktif kullanıcılara push bildirim ve/veya e-posta yoluyla bilgi verilir
• Materyal değişikliklerin yürürlüğe girmesinden önce 30 günlük geçiş süresi tanınır

Politika’nın güncel sürümünün takibi Kullanıcı’nın sorumluluğundadır.

20. UYGULANACAK HUKUK VE YETKİLİ MAHKEME

İşbu Politika’nın yorumlanması ve uygulanmasında Türkiye Cumhuriyeti hukuku uygulanır. Doğacak uyuşmazlıklarda Kütahya Mahkemeleri ve İcra Daireleri yetkilidir. AB’de ikamet eden veri sahipleri, bulundukları üye devletin denetim makamına şikayet etme haklarını saklı tutarlar.

21. İLETİŞİM

Bu Politika veya kişisel verilerinizle ilgili her türlü soru, talep ve şikayetiniz için:

Ceviz Biyoteknoloji A.Ş. Çalca OSB Mahallesi, 1. Cadde, Tasarım Teknokent A.Ş. No:1 İç Kapı No:3, Merkez/Kütahya, Türkiye E-posta: info@cevizbiotech.com

Bu Politika, 13 Nisan 2026 tarihinde yürürlüğe girmiştir.