KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

Veri Sorumlusu: Doctormarkt Sağlık Turizm ve Elektronik Hizmetler Ticaret Limited Şirketi

Beytepe Mah. 5387 Cad. No: 15/A İç Kapı No: 17 Çankaya / Ankara · www.doctormarkt.com

Doctormarkt Sağlık Turizm ve Elektronik Hizmetler Ticaret Limited Şirketi (“Şirket”), www.doctormarkt.com internet sitesi ile mobil uygulamayı (birlikte “Platform”) işletmektedir. İşbu politika, Şirketin kişisel verileri işlerken uyduğu genel çerçeveyi göstermektedir.

1 - POLİTİKANIN AMACI VE KAPSAMI

İşbu politikanın amacı, Şirketin 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndan (“KVKK”) doğan yükümlülüklerini hangi çerçevede yerine getirdiğini göstermektir.

Politika, Şirketin aşağıdaki kişi gruplarına ait olarak işlediği kişisel verileri kapsamaktadır. Bunlar Platforma üye olan hekimler, üyeliği sona ermiş eski üyeler, gerçek kişi tedarikçiler, tüzel kişi tedarikçilerin yetkilileri, Platformu üye girişi yapmadan ziyaret edenler, Şirkete başvuran ilgili kişiler ile kullanıcıların Platforma girdiği içeriklerde ya da Şirkete ilettiği belgelerde bilgisi bulunan üçüncü kişilerdir.

İşbu politika genel çerçeveyi göstermektedir, süreç bazındaki ayrıntıyı göstermemektedir. Hangi süreçte hangi kişisel verinin, hangi amaçla, hangi hukuki sebeple işlendiği ve kimlere aktarıldığı, ilgili kişi grubuna yönelik aydınlatma metinlerinde tablo hâlinde gösterilmektedir. Saklama süreleri ise Kişisel Veri Saklama ve İmha Politikası’nda yer almaktadır. Şirketin kişisel veri metinlerinin dökümü aşağıdaki 11. bölümdedir.

Şirket ortaklarının ve çalışanlarının istihdam ilişkisinden doğan kişisel verileri, işbu politikanın kapsamı dışındadır.

2 - VERİ SORUMLUSUNUN KİMLİĞİ

Unvan

Doctormarkt Sağlık Turizm ve Elektronik Hizmetler Ticaret Limited Şirketi

Adres

Beytepe Mah. 5387 Cad. No: 15/A İç Kapı No: 17 Çankaya / Ankara

İnternet sitesi

www.doctormarkt.com

Kişisel verilere ilişkin başvuru adresi

kvkk@doctormarkt.com

Şirket, KVKK’nın 3. maddesinin birinci fıkrasının (ı) bendi anlamında veri sorumlusudur.

Platform, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun anlamında elektronik ticaret aracı hizmet sağlayıcı, 5651 sayılı Kanun anlamında ise yer sağlayıcıdır. Ürünler Platformda tedarikçiler ile üye hekimler tarafından satışa sunulmakta, Şirket satış sözleşmesinin tarafı olmamaktadır. Bu sıfat, Şirketin kendi işlediği kişisel veriler bakımından veri sorumlusu olmasını etkilemez.

3 - TANIMLAR

Politikada geçen madde numaraları, aksi belirtilmedikçe KVKK’nın maddelerini göstermektedir.

4 - KİŞİSEL VERİLERİN İŞLENMESİNDE UYULAN GENEL İLKELER

KVKK’nın 4. maddesinin birinci fıkrası uyarınca kişisel veriler, ancak bu Kanun’da ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilmektedir. Aynı maddenin ikinci fıkrası beş ilkeye uyulmasını zorunlu tutmaktadır. Şirket bu ilkeleri aşağıdaki gibi uygulamaktadır.

4.1 - HUKUKA VE DÜRÜSTLÜK KURALLARINA UYGUN OLMA

Şirket, kişisel verileri yalnızca KVKK’nın 5. maddesinde sayılan şartlardan birine dayanarak işlemektedir. İlgili kişinin makul beklentisinin dışında kalan bir işleme yapılmamakta, işlemenin varlığı ilgili kişiden gizlenmemektedir.

4.2 - DOĞRU VE GEREKTİĞİNDE GÜNCEL OLMA

Şirket, işlediği kişisel verilerin doğru ve güncel olmasını sağlamak için gerekli tedbirleri alır. İlgili kişi, kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteyebilir. Düzeltme talebi, aşağıdaki 10. bölümde gösterilen yollarla iletilir ve en geç otuz gün içinde sonuçlandırılır.

4.3 - BELİRLİ, AÇIK VE MEŞRU AMAÇLAR İÇİN İŞLENME

Şirket, her işleme faaliyetinin amacını önceden belirlemekte ve bu amacı ilgili kişiye aydınlatma metinlerinde göstermektedir. Kişisel veriler, belirlenen amaçların dışında bir amaçla kullanılmamaktadır. Bir kişisel verinin yeni bir amaçla işlenmesi gündeme geldiğinde, o amaç için hukuki sebep ayrıca değerlendirilir ve aydınlatma metni güncellenir.

4.4 - İŞLENDİKLERİ AMAÇLA BAĞLANTILI, SINIRLI VE ÖLÇÜLÜ OLMA

Şirket, amacın gerçekleşmesi için gerekli olandan fazla kişisel veri toplamamaktadır. Bu ilkenin uygulanmasına ilişkin başlıca örnekler şunlardır.

• Platformda yalnızca zorunlu çerezler ile benzeri teknolojiler kullanılmakta, ölçüm, reklam ya da pazarlama amaçlı araç çalıştırılmamaktadır.
• Mesleki doğrulama belgeleri, doğrulamanın sonuçlanmasından itibaren otuz gün içinde silinmektedir. Belgeler bu sürenin sonunda saklanmamakta, yükümlülüğün yerine getirildiğinin ispatı belgenin kendisiyle değil doğrulama kaydıyla sağlanmaktadır.
• Ödeme kartı bilgileri Platformda tutulmamaktadır. Kart bilgisi Şirkete iletilmemekte, doğrudan ödeme hizmeti sağlayıcısına iletilmektedir.
• Kullanıcı parolaları şifrelenmiş özet hâlinde tutulmakta, parolanın kendisi Şirket nezdinde bulunmamaktadır.
• Kişisel veriler, aktarıldıkları taraflarla “bilme gereği” ve “kullanma gereği” ilkelerine uygun olarak, verinin en aza indirilmesi sağlanarak paylaşılmaktadır.

4.5 - İLGİLİ MEVZUATTA ÖNGÖRÜLEN VEYA İŞLENDİKLERİ AMAÇ İÇİN GEREKLİ OLAN SÜRE KADAR MUHAFAZA EDİLME

Şirket, her kişisel veri kalemi için bir saklama süresi belirlemiş ve bu süreleri Kişisel Veri Saklama ve İmha Politikası’nda tablo hâlinde göstermiştir. Mevzuatın bir süre öngördüğü hâllerde o süre uygulanmakta, öngörmediği hâllerde süre işlemenin amacı ile veri en aza indirme ilkesi birlikte gözetilerek belirlenmektedir.

Saklama süresi dolan ya da işlenmesini gerektiren sebepler ortadan kalkan kişisel veriler, resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir.

5 - KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

KVKK’nın 5. maddesinin birinci fıkrası uyarınca kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez. Aynı maddenin ikinci fıkrası, sayılan şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işlemeyi mümkün kılmaktadır.

Şirket, işlemelerinin büyük bölümünü açık rızaya değil, aşağıdaki şartlara dayandırmaktadır.

KVKK’nın 5. maddesinin ikinci fıkrasının (b) ve (d) bentlerindeki şartlar, yani fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olan işleme ile ilgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesi, Şirketin faaliyetlerinde işleme dayanağı olarak kullanılmamaktadır.

5.1 - AÇIK RIZAYA DAYANAN TEK İŞLEME

Şirket, açık rızayı yalnızca üye hekimlere ticari elektronik ileti gönderilmesi bakımından almaktadır. Bu işlemenin dayanağı KVKK’nın 5. maddesinin birinci fıkrasıdır, çünkü 6563 sayılı Kanun ticari elektronik ileti gönderimini alıcının önceden onayına bağlamaktadır.

Açık rıza aşağıdaki esaslara göre alınmaktadır.

• Rıza, ayrı bir kutucukla ve yalnızca ticari elektronik ileti gönderimine özgülenerek alınır. Başka bir işleme rızanın kapsamına dâhil edilmez.
• Rıza, sunulan hizmetin ön şartı hâline getirilmez. Rıza verilmemesi ya da geri alınması, Platformun kullanılmasını engellemez.
• Kutucuk önceden işaretli gelmez.
• Rıza her zaman ve gerekçe göstermeden geri alınabilir. Geri alma, geri alındığı andan itibaren sonuç doğurur.
• Rızaya dayanan işlemenin ayrıntısı, Ticari Elektronik İleti Aydınlatma Metni ile Ticari Elektronik İleti Açık Rıza Metni’nde gösterilmektedir.

Tedarikçi tarafına gönderilecek ticari elektronik iletilerde dayanak açık rıza değildir. 6563 sayılı Kanun’un 6. maddesinin ikinci fıkrası, esnaf ve tacirlere önceden onay alınmaksızın ticari elektronik ileti gönderilebilmesine imkân tanımaktadır. Bu gönderim bakımından dayanak Şirketin meşru menfaatidir, ret hakkı her iletide gösterilir ve ret bildirimleri kayda geçirilir.

Yurt dışına aktarım bakımından açık rıza istenmemektedir. Gerekçesi aşağıdaki 7.2. bölümdedir.

5.2 - MEŞRU MENFAATE DAYANAN İŞLEMELERDE DENGE

KVKK’nın 5. maddesinin ikinci fıkrasının (f) bendi, meşru menfaati ilgili kişinin temel hak ve özgürlüklerine zarar vermeme şartına bağlamaktadır. Şirket bu bende dayandığı her işlemede menfaat ile ilgili kişinin durumunu karşılaştırmakta ve sonucu aydınlatma metninde göstermektedir.

Bu işlemelerin tamamında ortak olan üç sınır şunlardır. Kişisel veriler profilleme amacıyla kullanılmamaktadır. Hedefli pazarlama yapılmamaktadır. İşlem güvenliğine ilişkin kayıtlar yalnızca güvenlik ile kanuni taleplere cevap verme amacıyla tutulmaktadır.

İlgili kişi, meşru menfaate dayanılarak yürütülen bir işlemenin kendi bakımından doğurduğu sonuca ilişkin görüşünü Şirkete iletebilir. Bu hâlde işleme, iletilen somut durum karşısında yeniden değerlendirilir.

6 - ÖZEL NİTELİKLİ KİŞİSEL VERİLER

KVKK’nın 6. maddesinin birinci fıkrası, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri saymaktadır. Aynı maddenin üçüncü fıkrası bu verilerin işlenmesini yasaklamakta, yasağın istisnalarını da sınırlı olarak saymaktadır.

Şirket özel nitelikli kişisel veri işlememektedir. Üyelik başvurusunda alınan diploma ile varsa uzmanlık belgesi, üyenin mesleki yeterliliğini göstermektedir ve sağlık verisi değildir. Belgeler, üyenin kendi sağlık durumuna ilişkin hiçbir bilgi taşımamaktadır. Platform üzerinden hasta verisi ya da hastalara ilişkin kayıt işlenmemektedir.

Şirket, üyelik akışında ve diğer süreçlerinde özel nitelikli kişisel veri toplamamaktadır. Serbest metin alanları özel nitelikli kişisel veri girilmesi için tasarlanmamıştır. Bir kayda özel nitelikli kişisel veri girildiği tespit edildiğinde, ilgili bilgi kayıttan çıkarılır ya da geri döndürülemeyecek biçimde karartılır. Şirket, ileride özel nitelikli kişisel veri işlemesi gündeme geldiğinde, KVKK’nın 6. maddesindeki şartların varlığını ve Kurul tarafından belirlenen yeterli önlemleri ayrıca değerlendirir.

7 - KİŞİSEL VERİLERİN AKTARILMASI

7.1 - YURT İÇİNDEKİ AKTARIMLAR

Şirket, kişisel verileri KVKK’nın 8. maddesi uyarınca ve 5. maddedeki şartlara dayanarak aktarmaktadır. Aktarımın hangi süreçte hangi alıcı grubuna yapıldığı, ilgili aydınlatma metinlerinde süreç bazında gösterilmektedir.

Şirketin kişisel veri aktardığı ya da aktaracağı alıcı grupları şunlardır. Bir alıcı grubuna aktarımın bugün fiilen yapılıp yapılmadığı, ilgili kişi grubuna yönelik aydınlatma metninde süreç bazında gösterilmektedir. Kısa mesaj gönderimi, İleti Yönetim Sistemine bildirim ve mobil uygulama dağıtımı, bu hizmetler kullanıma açıldığında başlayacaktır.

• Bulut bilişim ve barındırma hizmeti sağlayıcıları,
• Elektronik posta hizmeti sağlayıcısı,
• Kısa mesaj gönderim hizmeti sağlayıcısı,
• Ödeme hizmeti sağlayıcısı,
• Hakedişin aktarıldığı banka,
• Ürünü satan tedarikçi ve satıcılar,
• Ürünü satın alan üye hekimler,
• Hekimden hekime satış bölümündeki hekimler,
• Mali müşavir,
• Mobil uygulama mağazaları,
• İleti Yönetim Sistemi,
• Hukuki danışmanlar,
• Yetkili kamu kurum ve kuruluşları ile adli merciler.

Aktarımın niteliği alıcıya göre değişmektedir. Ürünü satan tedarikçi ve satıcılar ile hekimden hekime satış bölümündeki hekimler, aldıkları kişisel verileri kendi amaçları doğrultusunda işledikleri ölçüde kendi başlarına veri sorumlusudur. Şirket adına ve Şirketin talimatıyla işlem yapan taraflar ise veri işleyen sıfatını taşımaktadır. Şirket, KVKK’nın 12. maddesinin ikinci fıkrası uyarınca, aynı maddenin birinci fıkrasındaki teknik ve idari tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Tarafların kişisel verilerin korunmasına ilişkin yükümlülükleri sözleşmeyle belirlenir.

Teslimat sürecini Şirket yürütmemektedir. Ürünü satan tedarikçi ya da satıcı, taşıyıcıyı kendisi seçmekte ve teslimat için gereken bilgileri taşıyıcıya kendisi iletmektedir. Şirket taşıyıcıyı belirlememekte ve teslimat bilgilerini taşıyıcıya aktarmamaktadır.

Şirket, yetkili kamu kurum ve kuruluşları ile adli mercilerin mevzuata uygun taleplerini karşılamaktadır. Bu aktarımlar hukuki yükümlülüğün yerine getirilmesi şartına dayanmaktadır. Talebin kapsamı ve dayanağı her olayda değerlendirilir, talep edilenden fazla kişisel veri aktarılmaz.

7.2 - YURT DIŞINA AKTARIM

Platformun barındırıldığı sunucular Avrupa’da bulunmakla birlikte, barındırma, elektronik posta ve mobil uygulama dağıtımı hizmetlerini sunan şirketlerin bir kısmı yurt dışında yerleşiktir. Aktarımın muhatabı sunucunun bulunduğu yer değil, hizmeti sunan şirkettir. Bu sebeple söz konusu hizmetler bakımından yurt dışına aktarım değerlendirmesi yapılmaktadır.

Aktarım yapılan ülkeler bakımından Kurul’un verdiği bir yeterlilik kararı bulunmamaktadır. Bu sebeple aktarımlar, KVKK’nın 9. maddesinin dördüncü fıkrasının (c) bendinde gösterilen uygun güvenceye, yani Kurul tarafından ilan edilen standart sözleşmeye dayanmaktadır. Standart sözleşme, kişisel veri aktarılan her bir şirketle ayrı ayrı imzalanmakta ve aynı maddenin beşinci fıkrası uyarınca imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmektedir. Aktarım ayrıca 5. ve 6. maddelerdeki işleme şartlarından birinin bulunması ile ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydına tabidir.

Yurt dışına aktarım için açık rıza istenmemektedir. KVKK’nın 9. maddesinin altıncı fıkrasındaki açık rıza yolu yalnızca arızi aktarımlar bakımından öngörülmüştür, oysa barındırma ve elektronik posta hizmeti süreklilik taşımaktadır. Aktarımın dayanağı yukarıda gösterilen standart sözleşmedir.

8 - KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Şirket, her kişisel veri kalemi için saklama süresi belirlemiştir. Süreler, sürelerin dayanakları, imha yöntemleri, periyodik imha düzeni ve yedeklere ilişkin esaslar Kişisel Veri Saklama ve İmha Politikası’nda gösterilmektedir. İşbu politika o politikayla birlikte okunur.

Kişisel verileri işleme şartlarının tamamının ortadan kalkması hâlinde kişisel veriler, resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir. Periyodik imha aralığı altı aydır.

9 - KİŞİSEL VERİLERİN GÜVENLİĞİ

Şirket, KVKK’nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, bunlara hukuka aykırı olarak erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.

Bu kapsamda uygulanan tedbirlerin başlıcaları şunlardır.

• Kişisel veriler veri tabanında şifrelenerek saklanmaktadır.
• Kullanıcı parolaları şifrelenmiş özet hâlinde tutulmaktadır.
• Platforma ve yönetici paneline erişim kişiye özel hesaplarla tanımlanmaktadır.
• Sisteme yapılan giriş ve çıkış işlemleri ile işlem güvenliğine ilişkin kayıtlar tutulmaktadır.
• Veri tabanı ile dosya deposunun yedekleri düzenli olarak alınmaktadır.
• Mesleki doğrulama belgeleri, doğrulamanın sonuçlanmasından itibaren otuz gün içinde silinmektedir.

Şirket, kişisel verilere erişimi görevi gereği erişmesi gereken kişilerle sınırlı tutar.

Tedbirlerin ayrıntılı dökümü ile imhaya ilişkin tedbirler Kişisel Veri Saklama ve İmha Politikası’nda yer almaktadır.

Şirket ortakları ile Şirket adına kişisel veri işleyen kişiler, KVKK’nın 12. maddesinin dördüncü fıkrası uyarınca öğrendikleri kişisel verileri Kanun’a aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Şirket, KVKK’nın 12. maddesinin üçüncü fıkrası uyarınca kendi bünyesinde gerekli denetimleri yapar.

Veri ihlali hâlinde bildirim yapılır. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Şirket, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.

10 - İLGİLİ KİŞİNİN HAKLARI VE BAŞVURU YOLLARI

KVKK’nın 11. maddesi uyarınca ilgili kişi, Şirkete başvurarak,

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme,
• Yukarıda belirtilen düzeltme, silme ve yok etme şeklindeki hakları uyarınca yapılan işlemlerin, kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen kişisel verilerinin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararının giderilmesini talep etme

haklarına sahiptir.

Başvuru, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de belirtilen şartlara uygun düzenlenmiş bir dilekçeyle ya da Platformda yayımlanan İlgili Kişi Başvuru Formu ile aşağıdaki yöntemlerle iletilir.

Başvurunun hangi bilgileri taşıması gerektiği, başvuru tarihinin nasıl belirlendiği ve cevabın nasıl verildiği, Platformda yayımlanan İlgili Kişi Başvuru Usulü metninde ayrıntılı olarak açıklanmıştır.

11 - ŞİRKETİN KİŞİSEL VERİ METİNLERİ

İşbu politika, aşağıdaki metinlerle birlikte uygulanır. Metinlerin güncel sürümleri www.doctormarkt.com adresinde yayımlanmaktadır.

Metinler arasında çelişki bulunması hâlinde, ilgili kişi grubuna yönelik aydınlatma metnindeki süreç bazlı bilgi esas alınır. İşbu politika genel çerçeveyi göstermektedir ve süreç bazlı bilgiyi daraltacak biçimde yorumlanmaz.

12 - POLİTİKANIN YÜRÜRLÜĞÜ VE GÜNCELLENMESİ

İşbu politika, Şirket tarafından yürürlüğe konulduğu tarihte geçerlilik kazanır ve www.doctormarkt.com adresinde yayımlanır.

Politika, mevzuatta yapılan değişikliklerde, Kurul kararlarında öngörülen hâllerde ve Şirketin süreçlerinin değişmesinde güncellenir. Güncelleme yapıldığında sürüm numarası yükseltilir ve güncellenme tarihi yazılır.

Yapılan güncellemeler aşağıdaki tabloda gösterilir.

Kişisel Verilerin Korunması ve İşlenmesi Politikası, Sürüm 1.0 · Güncellenme Tarihi 10.09.2026