VitaxBand Gizlilik Politikası

1. Veri Sorumlusunun Kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 3 ve Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") Art. 4(7) uyarınca veri sorumlusu:

Bu politika boyunca "biz", "Şirket" veya "VitaxGo" ifadeleri yukarıdaki tüzel kişiliği; "siz" veya "kullanıcı" ifadeleri uygulamayı kullanan gerçek kişiyi ifade eder.

2. Bu Politikanın Kapsamı

Bu politika, Google Play üzerinden dağıtılan VitaxBand Android mobil uygulamasını (paket adı: com.vitaxgo.vitaxband) ve bu uygulamanın VitaxBand bilekliği ile VitaxGo sunucuları arasındaki veri akışını kapsar.

Kapsam dışındadır: kurumsal huzurevi ürünümüz VitaxHuzur (ayrı gizlilik politikasına tabidir), uygulamadan yönlendirilebileceğiniz üçüncü taraf internet siteleri ve cihazınızın işletim sistemi ile uygulama mağazası tarafından bağımsız olarak toplanan veriler.

3. Kullanıcı Kitlesi ve Yaş Sınırı

VitaxBand 18 yaş ve üzeri bireysel kullanıcılara yöneliktir. Bilerek 18 yaşından küçük kişilerden kişisel veri toplamayız. 18 yaşından küçük bir kullanıcıya ait veri işlediğimizi tespit edersek ilgili hesabı ve verileri gecikmeksizin sileriz. Çocuğunuza ait bir verinin tarafımızca işlendiğini düşünüyorsanız info@vitaxgo.com adresine bildiriniz.

4. İşlenen Kişisel Veri Kategorileri

4.1. Kimlik ve Hesap Verileri

Ad-soyad, e-posta adresi, hesap parolanız (yalnızca geri döndürülemez özet/hash biçiminde saklanır, açık hâli hiçbir zaman kaydedilmez), sistem tarafından üretilen kullanıcı kimliği (UUID) ve kullanıcı kodu, e-posta doğrulama ve parola sıfırlama için üretilen tek kullanımlık kodlar (OTP), profil fotoğrafı (isteğe bağlı), hesap oluşturma tarihi, uygulama dil tercihi.

4.2. Sağlık Verileri — Özel Nitelikli Kişisel Veri

Aşağıdaki veriler KVKK md. 6 kapsamında özel nitelikli kişisel veri ve GDPR Art. 9 kapsamında özel kategori veri niteliğindedir:

• Bileklikten otomatik ölçülen: nabız (bpm), kan basıncı (mmHg), kandaki oksijen doygunluğu (SpO₂, %), stres seviyesi, vücut/cilt sıcaklığı (°C), adım sayısı, uyku süresi ve evreleri, harcanan kalori.
• Tarafınızdan elle girilen: kilo (kg), boy (cm), kan şekeri (mg/dL), doğum tarihi, cinsiyet, kan grubu.
• Ölçüm üstverisi: her ölçümün zaman damgası, birimi ve elde edilme biçimi (anlık = uygulama açıkken alınan ölçüm, otonom = arka planda 7/24 alınan ölçüm).
• İlaç ve tedavi verileri: kullandığınız ilaçlar, doz ve saat bilgileri, ilaç alım/atlama kayıtları, hatırlatıcılar, ilaç etkileşim uyarıları.
• Spor ve beslenme verileri: antrenman kayıtları, antrenman planları, sportif hedefler, kişisel rekorlar, öğün ve besin kayıtları, günlük alışkanlık ve seri kayıtları, enerji skoru.
• Eşik ve uyarı kayıtları: belirlediğiniz yaşamsal değer eşikleri ve bu eşiklerin aşılmasıyla oluşan uyarı kayıtları.

Hangi ölçümlerin etkin olduğu, eşleştirdiğiniz bileklik modeline ve uygulama sürümüne göre değişebilir.

4.3. Cihaz ve Bağlantı Verileri

Eşleştirdiğiniz bilekliğin Bluetooth donanım adresi (MAC), bileklik pil seviyesi ve donanım yazılımı (firmware) sürümü, senkronizasyon zaman damgaları, bağlantı durumu ve hata kodları.

4.4. Konum Verisi

Yalnızca "Nöbetçi Eczane" özelliğini kullandığınız anda, o anki enlem-boylam koordinatınız işlenir. Bu koordinat yalnızca ilgili sorgunun içinde kullanılır; cihazınızda saklanmaz, sunucularımıza kaydedilmez ve hiçbir kayda (log) yazılmaz. Bluetooth tarama izni, uygulamamızda konum türetmek için kullanılmaz.

4.5. Yakın (Aile) Paylaşım Verileri

Verilerinizi paylaşmayı seçtiğiniz yakınlarınızın ad ve e-posta/davet bilgileri, davetin durumu ve paylaşımın kapsamı.

4.6. Yapay Zekâ Analiz Verileri

Yapay zekâ analizi talebinizde ilettiğiniz soru metni ve analiz sonucunda üretilen özet, öneri listesi ve risk seviyesi.

4.7. İşlemediğimiz Veriler

Şeffaflık adına açıkça beyan ederiz: VitaxBand Android uygulaması hiçbir reklam kimliği (Advertising ID) toplamaz ve hiçbir üçüncü taraf analitik, reklam, profilleme veya çökme raporlama yazılımı (SDK) içermez. Verileriniz reklam amacıyla kullanılmaz, satılmaz ve reklam ağlarıyla paylaşılmaz. T.C. kimlik numarası talep etmiyoruz ve işlemiyoruz.

5. Verilerin Toplanma Yöntemi

Kişisel verileriniz; uygulamaya kayıt olurken ve profilinizi doldururken doğrudan sizden, eşleştirdiğiniz VitaxBand bilekliğinden Bluetooth Low Energy (BLE) bağlantısı üzerinden otomatik olarak, uygulama içindeki formlar aracılığıyla elle girişlerinizle ve uygulamanın sunucularımızla kurduğu şifreli bağlantı üzerinden otomatik yollarla elektronik ortamda toplanır.

6. İşleme Amaçları

Kişisel verilerinizi otomatik karar verme veya profilleme yoluyla hakkınızda hukuki sonuç doğuran ya da sizi benzer şekilde önemli ölçüde etkileyen kararlar almak için kullanmayız (GDPR Art. 22).

7. Hukuki Dayanaklar

7.1. Sağlık Verileri (Özel Nitelikli)

Sağlık verileriniz yalnızca açık rızanıza dayanılarak işlenir — KVKK md. 6/2 ve GDPR Art. 9(2)(a). Açık rızanız yoksa sağlık verileriniz sunucularımıza hiç yüklenmez; uygulama bu konuda "kapalı başla" (fail-closed) ilkesiyle çalışır: rıza kaydı doğrulanamadığında yükleme yapılmaz.

7.2. Diğer Kişisel Veriler

• Sözleşmenin kurulması ve ifası — KVKK md. 5/2-c, GDPR Art. 6(1)(b): hesabınızın oluşturulması ve hizmetin sunulması.
• Hukuki yükümlülük — KVKK md. 5/2-ç, GDPR Art. 6(1)(c).
• Meşru menfaat — KVKK md. 5/2-f, GDPR Art. 6(1)(f): hizmet güvenliği, kötüye kullanımın önlenmesi.
• Açık rıza — KVKK md. 5/1, GDPR Art. 6(1)(a): isteğe bağlı özellikler (konum, yapay zekâ, yakın paylaşımı, bildirim).

8. Açık Rıza Kapsamları ve Rızanın Geri Alınması

Rızanız tek bir "kabul ediyorum" kutusundan ibaret değildir. Uygulama, birbirinden bağımsız olarak açıp kapatabileceğiniz ayrı rıza kapsamları kullanır:

Rızanızı dilediğiniz an geri alabilirsiniz. Uygulama içinde Ayarlar → Gizlilik ve Rızalar → Rıza Yönetimi (KVKK) ekranından ilgili anahtarı kapatmanız yeterlidir; ayrıca bir başvuru yapmanıza gerek yoktur. Bir rızayı geri çekmek, vermek kadar kolaydır ve geri çekildiğinde ilgili işleme anında durur. Geri alma geleceğe etkilidir: geri alma anına kadar hukuka uygun biçimde gerçekleştirilmiş işlemeyi geçersiz kılmaz (GDPR Art. 7(3)).

Rızanızı hangi metne ve hangi tarihte verdiğinizi ispatlayabilmek için (GDPR Art. 7(1)) onay tarihini ve onayladığınız metnin kriptografik özetini kaydederiz; metnin kendisini değil.

9. Uygulamanın Talep Ettiği İzinler

İzinlerin tamamı, ilgili özelliği kullandığınız anda ve gerekçesi açıklanarak istenir. Reddettiğiniz bir izin uygulamanın çökmesine yol açmaz; yalnızca o özellik devre dışı kalır.

10. Kişisel Verilerin Aktarılması

10.1. Yurt İçi Aktarım

• Seçtiğiniz yakınlarınız: yalnızca ilgili paylaşım rızasını verdiğiniz kapsamda ve yalnızca sizin belirlediğiniz kişilere.
• Yetkili kamu kurum ve kuruluşları: yalnızca mevzuattan doğan bir yükümlülük veya usulüne uygun bir talep hâlinde (KVKK md. 8/2).

10.2. Yurt Dışı Aktarım

Hizmetin sunulabilmesi için aşağıdaki hizmet sağlayıcılara aktarım yapılır (KVKK md. 9, GDPR Art. 44 vd.):

Yapay zekâ analizi ve eczane araması isteğe bağlı özelliklerdir. Bu rızaları vermezseniz uygulamanın geri kalanını eksiksiz kullanmaya devam edersiniz ve verileriniz bu alıcılara hiç ulaşmaz.

11. Saklama Süreleri

Sağlık verilerinizi süresiz saklamayız. Her veri türü için önceden tanımlanmış bir azami saklama süresi vardır ve bu süre dolduğunda kayıt veri tabanı tarafından otomatik olarak silinir (KVKK md. 4/2-d ve GDPR Art. 5(1)(e) sınırsız saklama yasağı):

Saklama süresi dolan veriler silinir, yok edilir veya geri döndürülemez biçimde anonim hâle getirilir (KVKK md. 7, Kişisel Verileri Koruma Kurulu'nun 2018/10 sayılı kararı). Hesabınızı silmeniz hâlinde bu sürelerin dolması beklenmez — bkz. Veri ve Hesap Silme.

12. Güvenlik Tedbirleri

KVKK md. 12 ve GDPR Art. 32 uyarınca aldığımız başlıca teknik ve idari tedbirler:

• İletimde şifreleme: uygulama ile sunucu arasındaki tüm trafik TLS/HTTPS ile şifrelenir.
• Cihazda şifreleme: rıza kayıtları ve hassas yerel veriler, cihazınızın donanım destekli anahtar deposunda (Android KeyStore) tutulan, dışa aktarılamayan bir anahtarla AES-256-GCM kullanılarak şifrelenir.
• Yedeklemeye kapalı: uygulama, işletim sistemi ve bulut yedekleme mekanizmalarına kapalı olarak yapılandırılmıştır; sağlık verileriniz cihaz yedeği yoluyla dışarı çıkamaz.
• Kapalı başlama (fail-closed):rıza kaydı okunamaz veya doğrulanamaz durumdaysa sistem "rıza var" varsaymaz; işlemeyi durdurur.
• Değer içermeyen kayıtlar: teşhis amaçlı uygulama kayıtlarına alan adları yazılabilir, alan değerleri (ölçüm sonuçlarınız) hiçbir zaman yazılmaz.
• Parola koruması: parolalar geri döndürülemez özet fonksiyonuyla saklanır; parola sıfırlama akışında hesabın var olup olmadığını ele vermeyen tek tip hata mesajı kullanılır.
• Oturum güvenliği: kısa ömürlü erişim jetonu + yenileme jetonu mimarisi; çıkış yaptığınızda yenileme jetonu sunucu tarafında iptal edilir.
• Erişim sınırlaması: kişisel verilere erişim, görevi gereği ihtiyaç duyan personelle sınırlıdır ve kayıt altına alınır.
• Yerel bağlantı: bileklik ile telefon arasındaki bağlantı kısa menzilli Bluetooth Low Energy bağlantısıdır. Bilekliğinizi güvenilir olmayan cihazlarla eşleştirmemenizi öneririz.

Hiçbir sistem mutlak güvenlik sağlayamaz. Kişisel verilerinizin hukuka aykırı olarak başkaları tarafından elde edildiğini tespit etmemiz hâlinde, KVKK md. 12/5 ve GDPR Art. 33-34 uyarınca sizi ve yetkili kurumu en kısa sürede bilgilendiririz.

13. Haklarınız

13.1. KVKK md. 11 Kapsamındaki Haklarınız

1. Kişisel verinizin işlenip işlenmediğini öğrenme,
2. İşlenmişse buna ilişkin bilgi talep etme,
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme,
6. Silinmesini veya yok edilmesini isteme,
7. Düzeltme ve silme işlemlerinin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme,
9. Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

13.2. GDPR Kapsamındaki Ek Haklarınız

Erişim (Art. 15), düzeltme (Art. 16), silinme/"unutulma" (Art. 17), işlemenin kısıtlanması (Art. 18), veri taşınabilirliği (Art. 20), itiraz (Art. 21), rızayı geri alma (Art. 7(3)) ve denetim otoritesine şikâyet (Art. 77).

15. Başvuru Yolları ve Şikâyet Hakkı

KVKK md. 11 ve GDPR kapsamındaki tüm taleplerinizi aşağıdaki kanallardan iletebilirsiniz:

• E-posta: info@vitaxgo.com
• Telefon: +90 531 564 00 34
• Posta: Teknopark İstanbul, Sanayi Mah. Teknopark Bulvarı No: 1/4C İç Kapı No: 112, Pendik / İstanbul

Başvurunuzu kimliğinizi tespit edici bilgilerle birlikte iletmeniz gerekir. Talepleriniz, niteliğine göre en geç 30 gün içindeücretsiz olarak sonuçlandırılır (KVKK md. 13; GDPR Art. 12). İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi veya yanıtsız kalması hâlinde Kişisel Verileri Koruma Kurumu'na (www.kvkk.gov.tr) şikâyette bulunabilirsiniz. AB'de ikamet ediyorsanız, bulunduğunuz ülkenin veri koruma otoritesine başvurabilirsiniz.

16. Çerezler ve İzleme Teknolojileri

VitaxBand Android uygulaması çerez kullanmaz. Uygulamada reklam kimliği, piksel, parmak izi çıkarma (fingerprinting) veya üçüncü taraf izleme teknolojisi bulunmaz. Uygulama yalnızca oturumunuzu sürdürmek için cihazınızda güvenli biçimde saklanan kimlik doğrulama jetonlarını kullanır.

17. Politikadaki Değişiklikler

Bu politikayı, mevzuat değişiklikleri veya uygulamaya eklenen yeni özellikler nedeniyle güncelleyebiliriz. Güncel metin her zaman bu adreste ve uygulama içinde Ayarlar → Gizlilik Politikası bölümünde yayımlanır.

Esaslı bir değişiklik yapılması hâlinde — özellikle işleme amaçlarının genişlemesi veya yeni bir veri kategorisinin eklenmesi hâlinde — sizi uygulama içi bildirim veya e-posta ile bilgilendirir ve gerekiyorsa yeniden açık rızanızı talep ederiz. Değişiklik yürürlüğe girmeden önceki dönemde verdiğiniz rızalar, yeni amaçlar için geçerli sayılmaz.

18. İletişim