Dentalendar — Veri İşleme Sözleşmesi

Son güncelleme: 13 Ekim 2026

Bu Veri İşleme Sözleşmesi (“Sözleşme”), Dentalendar uygulamasında çalışma alanı bulunan klinik (“Klinik”, veri sorumlusu) ile nisotab (“nisotab”, veri işleyen) arasında, nisotab’ın Klinik adına kişisel veri işlemesine ilişkin hak ve yükümlülükleri düzenler. Sözleşme, Kullanım Koşulları’nın eki ve ayrılmaz parçasıdır. Klinik sahibi; Uygulamada klinik kurarken ya da kabul ekranında onay kutusunu işaretleyip “Kabul et ve devam et”e dokunarak Sözleşmeyi Klinik adına kabul eder. Kabul; metnin sürümü, zamanı, kabul eden kişi ve Klinik bilgisiyle kayıt altına alınır. Kabul eden kişi, Kliniği temsil etmeye ve bu Sözleşmeyle bağlamaya yetkili olduğunu beyan eder; yetkisi yoksa bundan doğan zararlardan kişisel olarak sorumludur.

1. Taraflar

Veri sorumlusu: Uygulamada kurulan ve kabul ekranında adı görünen diş hekimi muayenehanesi, poliklinik, klinik ya da şirket.

Veri işleyen:

• Unvan: nisotab
• Adres: İstanbul, Türkiye
• E-posta: support@nisotab.com

2. Tanımlar

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil mevzuatı; Klinik veya ilgili kişiler Avrupa Ekonomik Alanı’ndaysa ve uygulandığı ölçüde (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (“GDPR”).
• Kurul: Kişisel Verileri Koruma Kurulu.
• Klinik Verisi: Klinik ve ekip üyelerinin Uygulamaya girdiği ya da Uygulamada Klinik adına oluşan her türlü kişisel veri (hasta kayıtları, sağlık verileri, fotoğraflar, mali ve işletme kayıtları, değişiklik geçmişi ve erişim kayıtları dahil).
• İlgili kişi: Klinik Verisinin ait olduğu gerçek kişi.
• Alt işleyen: nisotab’ın Hizmeti sunmak için yararlandığı ve Klinik Verisini işleyebilen üçüncü kişi (Ek-2).
• Veri ihlali: Klinik Verisinin hukuka aykırı olarak başkalarınca elde edilmesi, kaybı, bozulması ya da yetkisiz erişime açılması.

3. Konu, Kapsam ve Süre

• Konu ve amaç: Hizmetin sunulması — Klinik Verisinin barındırılması, saklanması, Kliniğin yetkili kullanıcılarına gösterilmesi ve cihazlar arasında eşitlenmesi, yedeklenmesi, bildirimlerin gönderilmesi ve Kliniğin talimatıyla silinmesi.
• İlgili kişi grupları: hastalar, velileri ve yakınları; Klinik çalışanları ve ekip üyeleri; Kliniğe davet edilen kişiler; gider ve stok kayıtlarında geçen tedarikçi ve kişiler.
• Veri kategorileri: kimlik, iletişim, T.C. kimlik ya da pasaport numarası, sigorta, randevu, mali kayıtlar (işlem, tahsilat, iade, bakiye), görsel kayıtlar ve özel nitelikli kişisel veri olarak sağlık verileri (anamnez, tedavi ve diş kayıtları, ağız içi fotoğraflar, imzalı onam formları ve imza görüntüleri), işlem güvenliği kayıtları (değişiklik geçmişi, hasta dosyası erişim kaydı).
• Süre: Sözleşme, Klinik Hizmeti kullandığı sürece yürürlükte kalır; sona ermesi Madde 10’a tabidir.

4. Talimatlar

• nisotab Klinik Verisini yalnızca Kliniğin belgelenmiş talimatlarıyla işler. Kliniğin ve ekip üyelerinin Uygulamayı kullanması (kayıt ekleme, değiştirme, silme, ekip ve yetki ayarları), bu Sözleşme ve Kullanım Koşulları, Kliniğin eksiksiz ve nihai talimatlarıdır. Ek talimatlar ancak taraflarca yazılı olarak kabul edilirse ve ek maliyeti Kliniğe ait olmak üzere uygulanır.
• Talimatların ve Uygulamaya girilen verilerin hukuka uygunluğundan Klinik sorumludur. nisotab bir talimatın mevzuata aykırı olduğunu düşünürse Kliniği bilgilendirir ve aykırı talimatı yerine getirmekle yükümlü değildir.
• nisotab, kanunen zorunlu olduğu hâllerde Klinik Verisini talimat dışında işleyebilir; bu durumda, kanun yasaklamadıkça Kliniği önceden bilgilendirir.

5. Kliniğin Yükümlülükleri

1. Klinik, veri sorumlusu olarak Kanundan ve sağlık mevzuatından doğan yükümlülüklerin tamamından münhasıran sorumludur. Bunlar başlıca şunlardır: işlemenin Kanun m. 5 ve m. 6’daki şartlara dayanması; hastaların ve diğer ilgili kişilerin Kanun m. 10’a göre aydınlatılması (verilerin bulut altyapısında, yurt dışındaki veri merkezlerinde ve Ek-2’deki alt işleyenlerce işlendiğinin bildirilmesi dahil); gereken hâllerde açık rızanın alınması ve ispatı; Veri Sorumluları Sicili’ne (VERBİS) kayıt; ilgili kişi başvurularının Kanun m. 13’e göre yanıtlanması; Kurul kararlarına uyulması; saklama ve imha politikası; Kişisel Sağlık Verileri Hakkında Yönetmelik ve Klinik’in tabi olduğu sağlık kuruluşu mevzuatı; meslek sırrı ve hasta haklarına ilişkin kurallar.
2. Klinik, Uygulamaya yalnızca hukuka uygun olarak elde ettiği ve işleme hakkına sahip olduğu verileri girer; verilerin doğru ve güncel olmasından sorumludur.
3. Klinik, ekip üyelerine yalnızca görevleri için gereken yetkileri verir, ayrılan çalışanların erişimini gecikmeksizin kaldırır ve çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar. Ekip üyelerinin Uygulamadaki işlemleri Kliniğe aittir.
4. Klinik; cihazlarında ekran kilidi, güncel işletim sistemi ve güçlü şifre kullanılmasını, kaybolan ya da çalınan cihazda şifrenin değiştirilmesini ve oturumların kapatılmasını sağlar. Kliniğin kontrolündeki ortamlarda (cihazlar, Uygulama dışına çıkarılan veya paylaşılan belge, makbuz, fotoğraf ve ekran görüntüleri, e-posta ve mesajlaşma uygulamaları) meydana gelen veri ihlallerinden Klinik sorumludur.
5. Kanuni saklama sürelerini belirlemek, süresi dolan verileri Uygulamadaki silme işlevleriyle silmek ve kanunen saklanması gereken kayıtların kopyasını kendi sistemlerinde tutmak Kliniğe aittir.
6. Uygulamadaki hazır metinler (onam formları, anamnez soruları, işlem listesi ve benzerleri) örnek niteliğindedir; hukuki ve tıbbi yeterliliklerini kontrol etmek ve gerektiğinde uyarlamak Kliniğin sorumluluğundadır.

6. nisotab’ın Yükümlülükleri

1. nisotab, Klinik Verisini kendi amaçları için kullanmaz; satmaz, kiralamaz, reklam, profil çıkarma ya da yapay zekâ modeli eğitimi için kullanmaz.
2. Gizlilik: Klinik Verisine erişebilecek kişilerin gizlilik yükümlülüğü altında olmasını sağlar. Klinik Verisine yalnızca Kliniğin destek talebi, bir güvenlik olayı, hata giderme ya da kanuni zorunluluk hâlinde ve gerektiği ölçüde erişilir.
3. Güvenlik: Kanun m. 12 kapsamında, teknolojinin durumu, uygulama maliyeti ve verilerin niteliği dikkate alınarak Ek-1’de sayılan uygun teknik ve idari tedbirleri alır. Tedbirler, koruma seviyesi düşürülmemek kaydıyla güncellenebilir.
4. İlgili kişi başvuruları: Doğrudan nisotab’a yapılan başvuruları, kanun aksini gerektirmedikçe yanıtlamadan gecikmeksizin Kliniğe yönlendirir. Uygulamanın görüntüleme, düzeltme ve silme işlevleri Kliniğin başvuruları yanıtlamasına imkân verir; bunun ötesindeki yardım makul ölçüde ve masrafı Kliniğe ait olmak üzere sağlanır.
5. Veri ihlali: Klinik Verisini etkileyen bir veri ihlalini öğrendiğinde Kliniği gecikmeksizin, mümkünse 72 saat içinde, Uygulama içinden ya da kayıtlı e-posta adresine bildirir. Bildirimde, bilinen ölçüde, ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan ya da önerilen tedbirler yer alır. Kurula ve ilgili kişilere bildirim (Kanun m. 12/5) veri sorumlusu olarak Kliniğin yükümlülüğüdür; nisotab bunun için makul destek verir. Bildirim ya da destek, nisotab’ın kusurunu kabul ettiği anlamına gelmez.
6. Bilgi ve denetim: Klinik, yılda en fazla bir kez ve 30 gün önceden yazılı bildirimle, nisotab’ın bu Sözleşmeye uyumuna ilişkin makul bilgi ve belge isteyebilir; nisotab yazılı açıklama ve özet belgelerle yanıt verir. Yerinde denetim yalnızca Kurul ya da yetkili bir makamın talebi üzerine veya somut bir ihlal şüphesinde; makul bir tarihte, çalışma saatleri içinde, nisotab’ın ve alt işleyenlerin güvenlik ve gizlilik kurallarına uyularak ve masrafları Kliniğe ait olmak üzere yapılabilir. Alt işleyenlerin tesisleri bakımından denetim, onların yayımladığı bağımsız denetim raporları ve sertifikalarıyla karşılanır.
7. Resmî talepler: Klinik Verisine ilişkin yetkili makamlardan gelen talepleri, kanun yasaklamadıkça Kliniğe bildirir.

7. Alt İşleyenler

1. Klinik, Ek-2’de sayılan alt işleyenlerin kullanılmasına genel yetki verir.
2. nisotab, alt işleyenlerle bu Sözleşmedekilere esasen denk veri koruma yükümlülükleri içeren sözleşmeler (alt işleyenlerin standart veri işleme sözleşmeleri dahil) yapar.
3. Alt işleyen eklenmesi ya da değiştirilmesi, yürürlükten en az 15 gün önce Ek-2 güncellenerek ve Uygulama içinde ya da e-postayla duyurulur. Klinik bu süre içinde veri korumaya dayalı somut bir gerekçeyle itiraz edebilir; itiraz makul sürede giderilemezse Kliniğin tek çaresi Hizmeti kullanmayı bırakmak ve kliniği silmektir.
4. Uygulanacak mevzuatın emredici hükümleri saklı kalmak üzere, alt işleyenlerin fiillerinden doğan sorumluluk Kullanım Koşulları Madde 11’e tabidir.

8. Yurt Dışına Aktarım

1. Klinik Verisi Avrupa Birliği’nde (Almanya, Frankfurt) bulunan veri merkezlerinde saklanır. Bazı alt işleyenler sınırlı veriyi Amerika Birleşik Devletleri’nde ya da küresel altyapıda işleyebilir (Ek-2).
2. Klinik, Ek-2’de belirtilen yurt dışına aktarımlar için nisotab’a talimat verdiğini kabul eder. Aktarımlar Kanun m. 9 ve (uygulandığı ölçüde) GDPR Bölüm V’e uygun olarak, başta standart sözleşmeler olmak üzere uygun güvencelere dayanılarak yapılır; nisotab taraf olduğu standart sözleşmeleri kanuni süresi içinde Kurula bildirir.
3. İlgili kişilerin yurt dışına aktarım konusunda aydınlatılması ve mevzuatın gerektirdiği hâllerde rızalarının alınması Kliniğin yükümlülüğüdür.

9. Sorumluluk ve Tazmin

1. Her taraf, bu Sözleşmeden ve mevzuattan doğan kendi yükümlülüklerinin ihlalinden sorumludur.
2. Klinik; veri sorumlusu olarak yürüttüğü işleme faaliyetinden ve özellikle hukuki sebep ya da açık rıza eksikliği, aydınlatma yükümlülüğünün yerine getirilmemesi, VERBİS kaydı, ilgili kişi başvurularının yanıtlanmaması, hukuka aykırı talimatlar, ekip üyelerinin fiilleri ve Kliniğin kontrolündeki ortamlarda meydana gelen ihlallerden doğan her türlü ilgili kişi talebi, tazminat, idari para cezası, yargılama gideri ve makul avukatlık ücretine karşı nisotab’ı tazmin eder. nisotab’ın bu nedenlerle ödemek zorunda kaldığı tutarlar, ödeme tarihinden itibaren işleyecek yasal faiziyle birlikte Kliniğe rücu edilir.
3. Kanun m. 12/2 uyarınca ilgili kişilere ya da makamlara karşı müteselsil sorumluluk doğan hâllerde, taraflar arasındaki iç ilişkide sorumluluk, zararın hangi tarafın yükümlülük ihlalinden kaynaklandığına göre paylaştırılır. nisotab’ın iç ilişkideki sorumluluğu, bu Sözleşmeye aykırı kendi fiilinden doğrudan kaynaklanan zararla ve Kullanım Koşulları Madde 11’deki sınırlarla sınırlıdır; kasıt ve ağır kusur hâlleri saklıdır.

10. Sona Erme, İade ve Silme

1. Sözleşme, Klinik silindiğinde ya da Hizmet sona erdiğinde kendiliğinden sona erer.
2. Klinik, sona ermeden önce verilerini Uygulamadaki işlevlerle görüntüleyip kaydedebilir. Hizmetin nisotab tarafından sona erdirilmesi hâlinde, duyurudan itibaren 30 gün içinde yapılacak yazılı talep üzerine Klinik Verisi yaygın kullanılan, makinece okunabilir bir biçimde (ör. JSON / CSV ve fotoğraf dosyaları) teslim edilir.
3. Klinik silindiğinde Klinik Verisi canlı sistemden hemen, fotoğraflar kısa süre içinde (genellikle bir saat), yedeklerden en geç 7 gün içinde silinir; kanunen saklanması zorunlu veriler bu kapsamın dışındadır.
4. Kanunen saklanması gereken sağlık ve mali kayıtları, kliniği silmeden önce kendi sistemlerine almak Kliniğin sorumluluğundadır.

11. Öncelik ve Diğer Hükümler

Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme, Kullanım Koşulları’ndan önce uygulanır. Diğer bütün konularda (sorumluluğun sınırlandırılması, değişiklikler, bildirimler, delil, uygulanacak hukuk ve yetkili mahkeme) Kullanım Koşulları uygulanır. Sözleşme, Kullanım Koşulları’ndaki usulle değiştirilebilir; değişiklik Uygulamada duyurulur ve klinik sahibinden yeniden kabul istenir. Türkçe metin ile diğer diller arasında fark olursa Türkçe metin esas alınır.

Ek-1: Teknik ve İdari Tedbirler

• Erişim denetimi: rol ve yetki tabanlı erişim; yetkiler sunucuda, her istekte, satır düzeyinde güvenlik kurallarıyla denetlenir. Klinikler birbirinden ayrıdır: bir kliniğin kullanıcısı başka kliniğin verisini göremez.
• Şifreleme: iletimde TLS; barındırma sağlayıcısında bekleyen veride şifreleme (AES-256).
• Kimlik doğrulama: şifreler yalnızca güvenli özet olarak saklanır; e-posta doğrulaması; giriş e-postalarına sıklık sınırı; oturum belirteçleri cihazın güvenli deposunda (Keychain / Keystore).
• Fotoğraf ve dosyalar: herkese kapalı depolama; her erişimde yetki denetimi; kaydı silinen dosyaların otomatik temizlenmesi.
• Uygulama içi koruma: isteğe bağlı Face ID / parmak izi kilidi ve ekran görüntüsü engeli; push bildirimlerinde hasta adı gösterilmemesi; hata raporlarında e-posta ve uzun sayıların maskelenmesi.
• İzlenebilirlik: kullanıcılarca değiştirilemeyen değişiklik geçmişi ve hasta dosyası erişim kaydı.
• Yedekleme ve süreklilik: barındırma sağlayıcısında günlük yedek (7 gün).
• İdari tedbirler: en az yetki ilkesi; yönetim hesaplarına erişimin sınırlandırılması ve çok faktörlü kimlik doğrulama; gizlilik yükümlülüğü; veritabanı güvenlik kuralları için otomatik testler; olay müdahale ve ihlal bildirim süreci.

Ek-2: Alt İşleyenler

Sorularınız için: support@nisotab.com