KVKK Aydınlatma Metni

1. Veri Sorumlusu

Foodlex, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında; diyetisyen hesaplarına, abonelik ve ödeme bilgilerine ve herkese açık sayfaların ziyaretçilerine ilişkin veriler için veri sorumlusudur. Diyetisyenlerin platforma kaydettiği danışan verileri için veri sorumlusu ilgili diyetisyendir; Foodlex bu verileri diyetisyen adına ve onun talimatıyla işleyen veri işleyendir. Danışanlar KVKK kapsamındaki haklarını öncelikle diyetisyenlerine iletebilir; Foodlex bu başvuruların yanıtlanmasında diyetisyene destek olur.

2. İşlenen Kişisel Veriler

Platformumuz aracılığıyla aşağıdaki kişisel veri kategorileri işlenmektedir:

• Kimlik Bilgileri: Ad soyad, doğum tarihi, cinsiyet
• İletişim Bilgileri: E-posta adresi, telefon numarası
• Sağlık Verileri: Boy, kilo, vücut kitle indeksi, vücut yağ oranı, bel/kalça ölçüleri, sağlık durumları, ilaçlar, alerjiler
• Beslenme Tercihleri: Diyet kısıtlamaları, yiyecek tercihleri, mutfak tercihleri
• Finansal Bilgiler: Ödeme bilgileri (Polar aracılığıyla işlenir, kart bilgileri tarafımızca saklanmaz)
• Kullanım Verileri: Platform ve herkese açık sayfalardaki ziyaretler, kayıt ve e-posta doğrulama akışı, erişim zamanları, yönlendiren sayfa ve tarayıcı bilgileri; Google etiketleri yalnızca verdiğiniz tercihten sonra yüklenir

3. Kişisel Verilerin İşlenme Amaçları

• Diyetisyenlerin danışan yönetimi hizmetlerinin sunulması
• Yapay zeka destekli kişiselleştirilmiş beslenme planları oluşturulması
• Haftalık ilerleme takibi ve raporlama
• Abonelik ve ödeme işlemlerinin yönetimi
• Platform güvenliğinin sağlanması
• Yasal yükümlülüklerin yerine getirilmesi
• Herkese açık sayfaların kullanımını ölçme ve iyileştirme; isteğe bağlı analiz yalnızca izninizle çalışır

4. Hukuki Sebep

Kişisel verileriniz, KVKK'nin 5. ve 6. maddeleri kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Açık rızanız (özellikle sağlık verileri ve isteğe bağlı site analizi için)
• Sözleşmenin kurulması ve ifası
• Yasal yükümlülüklerin yerine getirilmesi
• Meşru menfaatlerimiz (platform güvenliğinin sağlanması)

5. Veri Saklama Süresi

Danışan verileri, diyetisyenin hesabı açık olduğu ve diyetisyen danışanı sistemde tuttuğu sürece saklanır. Diyetisyen bir danışanı sildiğinde danışanın kaydı, ölçümleri ve beslenme programları kalıcı olarak silinir. Diyetisyen hesabını kapattığında hesap ve hesaba bağlı tüm danışan verileri silinir.

6. Veri Güvenliği

Verilerinizin güvenliği için aşağıdaki önlemler alınmaktadır:

• Sağlık verileri (sağlık durumları, ilaçlar, alerjiler, laboratuvar değerleri) ve iletişim bilgileri, veritabanına yazılmadan önce Fernet (AES-128-CBC + HMAC-SHA256) ile şifrelenir
• Tüm veri iletimi TLS ile şifrelenmektedir
• Veritabanı erişimi satır seviyesinde izolasyon (RLS) ile sınırlandırılmıştır
• Tüm veri erişim ve değişiklikleri denetim kayıtlarına işlenmektedir

6a. Verilerin Saklandığı Yer ve Yurt Dışına Aktarım

Foodlex'in sunucuları ve veritabanı Avrupa Birliği'nde (Amsterdam, Hollanda) barındırılmaktadır. Hizmetin sunulabilmesi için kişisel verileriniz aşağıdaki hizmet sağlayıcılara aktarılmaktadır:

• Railway (Hollanda): uygulama ve veritabanı barındırma
• Netlify (ABD): web arayüzünün sunulması
• OpenRouter / Google (ABD): beslenme planı üretimi. Bu aktarımda danışanın adı, e-postası ve telefonu gönderilmez; serbest metin alanlarında geçen ad, e-posta ve telefon numaraları gönderimden önce çıkarılır. Yaş, cinsiyet, ölçümler ve sağlık bilgileri işlenir. İstekler yalnızca verileri saklamayan ve model eğitiminde kullanmayan (sıfır veri saklama) uç noktalara yönlendirilir.
• Mailjet (Fransa): e-posta gönderimi
• Polar (ABD): abonelik ve ödeme işlemleri (diyetisyene ait fatura bilgileri; danışan verisi aktarılmaz)
• Google Tag Manager ve Google Analytics (Google): yalnızca analize izin verirseniz herkese açık sayfalarda yüklenir ve sayfa görüntülemelerini ölçer. Google; ziyaret edilen sayfa, yönlendiren sayfa, tarayıcı/cihaz bilgileri ve bağlantı bilgilerini işleyebilir; aktarım Google'ın hizmet altyapısı üzerinden Türkiye dışına çıkabilir. Bu araçlar giriş, hesap ve danışan kayıtlarının bulunduğu sayfalarda yüklenmez.

Danışan verilerinin hizmet sunumu için aktarımı, ilgili aydınlatma ve danışan rızası kapsamında yürütülür. Herkese açık sayfalardaki isteğe bağlı analiz için Google Tag Manager tercihiniz ayrıca alınır; reddettiğinizde GTM yüklenmez. Tercihinizi sayfanın altındaki Gizlilik ayarları düğmesinden değiştirebilirsiniz. Bu tercih, danışan verilerine ilişkin rızadan ayrıdır.

7. İlgili Kişi Hakları

KVKK'nin 11. maddesi uyarınca aşağıdaki haklarınız bulunmaktadır:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde/dışında aktarılıp aktarılmadığını öğrenme
• Eksik veya yanlış işlenmişse düzeltilmesini talep etme
• Silinmesini veya yok edilmesini talep etme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

8. Veri Aktarımı

Kişisel verileriniz, hizmet sağlayıcılarımız aracılığıyla aşağıdaki taraflara aktarılabilir:

• OpenRouter: Yapay zeka destekli beslenme planı oluşturma (danışanın adı ve iletişim bilgileri gönderilmez; yalnızca sıfır veri saklama politikalı uç noktalar kullanılır)
• Polar: Ödeme işlemleri (kayıtlı satıcı / merchant of record)
• Mailjet: E-posta gönderim hizmetleri
• Google: Yalnızca izin verilen herkese açık sayfa ölçümleri için Google Tag Manager

9. İletişim

KVKK kapsamındaki haklarınızı kullanmak için aşağıdaki kanallardan bizimle iletişime geçebilirsiniz:

E-posta: kvkk@foodlex.co

10. Avrupa Ekonomik Alanı'nda veya Birleşik Krallık'taysanız

Diyetisyen hesapları bakımından Foodlex, GDPR ve UK GDPR uyarınca da veri sorumlusudur. Danışan verileri bakımından veri sorumlusu diyetisyendir; Foodlex bu verileri, AB standart sözleşme hükümlerini de içeren Veri İşleme Sözleşmesi kapsamında diyetisyen adına işler.

GDPR'ın 6. maddesi uyarınca hukuki sebepler: hesabınız ve aboneliğinize ilişkin sözleşmenin ifası (6(1)(b)); vergi kayıtlarının saklanması gibi hukuki yükümlülüklerin yerine getirilmesi (6(1)(c)); platformun güvenliğini sağlama ve kötüye kullanımı önleme yönündeki meşru menfaatimiz (6(1)(f)); isteğe bağlı site ölçümü için, dilediğiniz zaman geri alabileceğiniz rızanız (6(1)(a)).

Foodlex Türkiye'den işletilmektedir ve hizmet sağlayıcılarından bazıları Amerika Birleşik Devletleri'ndedir. AEA ve Birleşik Krallık dışına aktarımlar, Avrupa Komisyonu'nun standart sözleşme hükümlerine (Birleşik Krallık için UK Ekiyle birlikte) veya sertifikalı sağlayıcılar için AB-ABD Veri Gizliliği Çerçevesi'ne dayanır.

Erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz haklarına ve rızanızı dilediğiniz zaman geri alma hakkına sahipsiniz. kvkk@foodlex.co adresine yazabilirsiniz. Yaşadığınız veya çalıştığınız ülkenin veri koruma makamına şikâyette bulunma hakkınız da vardır.