Gizlilik Politikası

Yürürlük tarihi: [GG.AA.YYYY] · Son güncelleme: [GG.AA.YYYY]

Bu politika, [ŞİRKET ÜNVANI] ("Akort", "biz") tarafından işletilen Akort klinik yönetim platformunun ([DOMAIN], uzman paneli ve danışan mobil uygulaması; birlikte "Hizmet") kişisel verileri nasıl topladığını, kullandığını, sakladığını ve sildiğini açıklar. Hizmet, diyetisyen ve sağlık kliniklerinin ("Klinik") danışan takibi, randevu ve iletişim işlerini yönetmesi için kullanılır.

1. Veri sorumlusu ve iletişim

Unvan: [ŞİRKET ÜNVANI]
Adres: [ADRES]
MERSİS / Vergi no: [MERSİS / VERGİ NO]
E-posta: [İLETİŞİM E-POSTASI]

Klinikler, kendi danışanlarına ait veriler (danışan kayıtları ve sosyal hesaplarına gelen mesajlar dahil) bakımından veri sorumlusudur; Akort bu verileri Klinik adına ve Klinik'in talimatıyla işleyen veri işleyendir. Klinik personeli hesapları ve platformun işletimi bakımından veri sorumlusu Akort'tur.

2. Topladığımız veriler

2.1 Klinik ve personel verileri

Ad, soyad, e-posta, telefon, unvan, klinik bilgileri, oturum ve güvenlik kayıtları (IP adresi, cihaz bilgisi, giriş zamanı).

2.2 Danışan verileri

Klinik'in girdiği veya danışanın mobil uygulamada paylaştığı kimlik, iletişim, randevu, ölçüm, beslenme ve sağlık verileri. Sağlık verileri özel nitelikli kişisel veridir ve yalnızca açık rıza veya mevzuattaki diğer hukuki sebeplerle işlenir.

2.3 Instagram, Facebook ve WhatsApp'tan alınan veriler (Meta Platformları)

Bir Klinik, kendi Instagram profesyonel hesabını, Facebook Sayfasını veya WhatsApp Business numarasını Hizmet'e kendi isteğiyle bağladığında, Meta'nın resmi API'leri aracılığıyla yalnızca aşağıdaki veriler alınır:

Veri	Kaynak / izin	Kullanım amacı
Bağlanan hesabın kimliği, kullanıcı adı, adı ve profil resmi	instagram_business_basic, pages_show_list, whatsapp_business_management	Hesabın panelde gösterilmesi ve gelen mesajların doğru Klinik'e yönlendirilmesi
Bu hesaba gönderilen ve bu hesaptan gönderilen doğrudan mesajlar (metin, görsel/video/ses/dosya bağlantıları, hikâye yanıtları ve bahsetmeleri), gönderim/okunma durumu	instagram_business_manage_messages, pages_messaging, whatsapp_business_messaging	Mesajların Klinik'in gelen kutusunda gösterilmesi ve Klinik personelinin cevap verebilmesi
Mesaj gönderen kişinin platforma özel kimliği (IGSID / PSID / WhatsApp numarası), adı, kullanıcı adı ve profil resmi	Aynı izinler	Konuşmanın kime ait olduğunun gösterilmesi
Hesabın kendi gönderilerine yapılan yorumlar ve yorum yazarının adı/kimliği	instagram_business_manage_comments, pages_read_engagement, pages_read_user_content, pages_manage_engagement	Yorumların gösterilmesi; Klinik'in yorumu cevaplaması, gizlemesi, silmesi veya özelden cevap vermesi
Erişim anahtarları (token)	OAuth bağlantısı	Yukarıdaki işlemlerin Klinik adına yapılması

Bağlı hesabın takipçi listesi, başka hesapların içerikleri, reklam verileri, kişisel (profesyonel olmayan) hesaplar veya Klinik'in bağlamadığı hiçbir hesap okunmaz. İşletmeye hiç yazmamış bir kişiye mesaj başlatılmaz.

3. Meta Platform verilerini nasıl kullanırız

Yalnızca hesabı bağlayan Klinik'e ve o Klinik'in yetkili personeline gösteririz.
Klinik personelinin, platformların izin verdiği süre içinde (genel kural: kişinin son mesajından itibaren 24 saat; Instagram ve Facebook'ta insan temsilci cevabı için 7 gün) cevap yazmasını sağlarız. Otomatik toplu mesaj veya pazarlama mesajı göndermeyiz.
Klinik'in isteğiyle bir konuşmayı Klinik'in "Bilgi Talepleri" listesine kayıt olarak ekleriz.

Meta Platformlarından alınan verileri satmayız, kiralamayız, reklam veya profil çıkarma amacıyla kullanmayız, veri aracılarına aktarmayız ve yapay zekâ modeli eğitiminde kullanmayız. Bu veriler, Meta Platform Koşulları ve Geliştirici Politikalarına uygun şekilde yalnızca yukarıdaki amaçlar için işlenir.

4. Hukuki sebepler

6698 sayılı KVKK m.5 ve m.6 ile (uygulanabildiği ölçüde) AB Genel Veri Koruma Tüzüğü (GDPR) m.6 ve m.9 kapsamında: sözleşmenin kurulması ve ifası, hukuki yükümlülüklerin yerine getirilmesi, meşru menfaat (hizmet güvenliği, kötüye kullanımın önlenmesi) ve gerektiğinde açık rıza.

5. Aktarım ve paylaşım

Verileri yalnızca Hizmet'i sunmak için zorunlu olan altyapı sağlayıcılarımızla (sunucu/barındırma: [BARINDIRMA SAĞLAYICISI VE ÜLKESİ]; SMS: [SMS SAĞLAYICISI]; bildirim: Google Firebase) gizlilik yükümlülükleri altında paylaşırız. Mesaj gönderdiğinizde içerik, ilgili platforma (Meta) iletilir. Yasal zorunluluk dışında başka bir üçüncü kişiye aktarım yapılmaz. Yurt dışına aktarım gerekiyorsa KVKK m.9'daki şartlara uyulur.

6. Saklama süreleri

Sosyal gelen kutusu mesajları ve yorumları: son mesaj/yorum tarihinden itibaren en fazla 2 yıl, sonra otomatik silinir.
Teknik webhook kayıtları (hata ayıklama için): 7 gün.
Erişim anahtarları: hesap bağlantısı kaldırıldığı anda silinir.
Diğer kayıtlar: Klinik sözleşmesi süresince ve mevzuattaki zorunlu süreler boyunca.

7. Güvenlik

Tüm trafik TLS (HTTPS) ile şifrelenir.
Mesaj içerikleri, kişi adları, yorumlar ve erişim anahtarları veritabanında uygulama katmanında AES-256 ile şifreli saklanır.
Her Klinik'in verisi diğer Kliniklerden ayrılmıştır; personel yalnızca kendi Klinik'inin verisini görür.
Meta'dan gelen bildirimlerin imzası (HMAC-SHA256) doğrulanır; imzasız istekler reddedilir.
Erişim kayıtları tutulur, oturumlar süreli ve cihaza bağlıdır.

8. Verilerinizi silme

Meta Platformlarından alınan verilerin silinmesi için üç yol vardır; ayrıntılar Veri Silme sayfasındadır:

Facebook / Instagram ayarlarından: Uygulamayı "Uygulamalar ve Web Siteleri" bölümünden kaldırıp veri silme isteği gönderdiğinizde, bağlantınız ve bu hesaplara ait mesaj/yorum kopyalarımız otomatik silinir ve size bir onay kodu verilir.
Panelden: Klinik, Ayarlar › Sosyal Hesaplar ekranında bağlantıyı "verileri de sil" seçeneğiyle kaldırabilir.
E-postayla: [İLETİŞİM E-POSTASI] adresine yazabilirsiniz; en geç 30 gün içinde sonuçlandırırız.

Bir Klinik'e mesaj gönderen kişiyseniz, mesajlarınızın silinmesi için ilgili Klinik'e veya bize başvurabilirsiniz.

9. Haklarınız

KVKK m.11 (ve uygulanabildiği ölçüde GDPR m.15–22) kapsamında; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, işlemeye itiraz etme, aktarılan üçüncü kişileri öğrenme ve zararın giderilmesini isteme haklarına sahipsiniz. Başvurularınızı [İLETİŞİM E-POSTASI] adresine iletebilirsiniz. Ayrıca Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

10. Çocuklar

Hizmet 18 yaşından küçüklere yönelik değildir. 18 yaşından küçük danışanların verileri yalnızca veli/vasi onayıyla işlenir.

11. Değişiklikler

Bu politikayı güncellediğimizde yürürlük tarihini değiştirir, önemli değişiklikleri panel üzerinden duyururuz.

Privacy Policy

Effective date: [DD.MM.YYYY] · Last updated: [DD.MM.YYYY]

This policy explains how [COMPANY LEGAL NAME] ("Akort", "we") collects, uses, stores and deletes personal data in the Akort clinic management platform ([DOMAIN], the practitioner panel and the client mobile app; together the "Service"). Dietitians and health clinics ("Clinics") use the Service to manage clients, appointments and communication.

1. Controller and contact

Company: [COMPANY LEGAL NAME]
Address: [ADDRESS]
Registration / tax no: [REGISTRATION NO]
Email: [CONTACT EMAIL]

Each Clinic is the controller of its clients' data, including messages received by its connected social accounts; Akort processes that data as a processor on the Clinic's behalf and instructions. Akort is the controller for Clinic staff accounts and platform operation.

2. Data we collect

2.1 Clinic and staff data

Name, email, phone, title, clinic details, session and security logs (IP address, device information, login time).

2.2 Client data

Identity, contact, appointment, measurement, nutrition and health data entered by the Clinic or shared by the client in the mobile app. Health data is special-category data and is processed only with explicit consent or another legal basis.

2.3 Data received from Instagram, Facebook and WhatsApp (Meta Platforms)

When a Clinic chooses to connect its own Instagram professional account, Facebook Page or WhatsApp Business number, we receive only the following data through Meta's official APIs:

Data	Source / permission	Purpose
Connected account ID, username, name and profile picture	instagram_business_basic, pages_show_list, whatsapp_business_management	Showing the account in the panel and routing incoming messages to the right Clinic
Direct messages sent to and from that account (text, links to images/video/audio/files, story replies and mentions) and delivery/read status	instagram_business_manage_messages, pages_messaging, whatsapp_business_messaging	Displaying messages in the Clinic's inbox and letting Clinic staff reply
The sender's platform-scoped ID (IGSID / PSID / WhatsApp number), name, username and profile picture	Same permissions	Showing who the conversation is with
Comments on the account's own posts and the commenter's name/ID	instagram_business_manage_comments, pages_read_engagement, pages_read_user_content, pages_manage_engagement	Displaying comments; letting the Clinic reply, hide, delete or send a private reply
Access tokens	OAuth connection	Performing the actions above on the Clinic's behalf

We do not read follower lists, other accounts' content, ads data, personal (non-professional) accounts, or any account the Clinic did not connect. We never start a conversation with a person who has not messaged the business first.

3. How we use Meta Platform data

It is shown only to the Clinic that connected the account and that Clinic's authorized staff.
Clinic staff can reply within the window allowed by each platform (generally 24 hours after the person's last message; 7 days for human-agent replies on Instagram and Facebook). We do not send automated bulk or marketing messages.
At the Clinic's request, a conversation can be saved as a lead in the Clinic's "Information Requests" list.

We do not sell, rent or use Meta Platform data for advertising or profiling, do not transfer it to data brokers and do not use it to train AI models. It is processed only for the purposes above, in line with the Meta Platform Terms and Developer Policies.

4. Legal bases

Under Turkish Law No. 6698 (KVKK) Articles 5–6 and, where applicable, GDPR Articles 6 and 9: performance of a contract, legal obligations, legitimate interests (service security, abuse prevention) and, where required, explicit consent.

5. Sharing

We share data only with infrastructure providers strictly needed to run the Service (hosting: [HOSTING PROVIDER AND COUNTRY]; SMS: [SMS PROVIDER]; notifications: Google Firebase) under confidentiality obligations. When you send a message, its content is delivered to the relevant platform (Meta). We do not share data with any other third party except where required by law.

6. Retention

Social inbox messages and comments: up to 2 years after the last message/comment, then deleted automatically.
Technical webhook logs (for troubleshooting): 7 days.
Access tokens: deleted as soon as the account is disconnected.
Other records: for the term of the Clinic agreement and any statutory retention period.

7. Security

All traffic is encrypted with TLS (HTTPS).
Message content, contact names, comments and access tokens are stored encrypted at the application layer with AES-256.
Each Clinic's data is isolated; staff can see only their own Clinic's data.
Notifications from Meta are verified with their HMAC-SHA256 signature; unsigned requests are rejected.
Access is logged; sessions are time-limited and device-bound.

8. Deleting your data

There are three ways to delete data received from Meta Platforms; see the Data Deletion page:

From Facebook / Instagram settings: remove the app under "Apps and Websites" and send a data deletion request. Your connection and our copies of that account's messages and comments are deleted automatically and you receive a confirmation code.
From the panel: a Clinic can disconnect the account under Settings › Social Accounts with "also delete data".
By email: write to [CONTACT EMAIL]; we complete requests within 30 days.

If you messaged a Clinic, you can ask that Clinic or us to delete your messages.

9. Your rights

Under KVKK Article 11 (and GDPR Articles 15–22 where applicable) you may request access, rectification, erasure, restriction or objection, learn which third parties received your data, and seek compensation. Send requests to [CONTACT EMAIL]. You may also complain to the Turkish Personal Data Protection Authority or your local supervisory authority.

10. Children

The Service is not directed to children under 18. Data of clients under 18 is processed only with parental/guardian consent.

11. Changes

When we update this policy we change the effective date and announce material changes in the panel.