Gizlilik ve veri koruma
Gizlilik Politikası
ENA Innovation'ın www.enaresearch.com web sitesi, EnaResearch hizmeti ve EnaResearch mobil uygulaması kapsamında kişisel verileri nasıl işlediğini açıklar.
Bu Gizlilik Politikası; www.enaresearch.com web sitesini ziyaret ettiğinizde, bize form, e-posta veya telefonla ulaştığınızda, siz veya organizasyonunuz EnaResearch müşterisi olduğunda, bir organizasyonun EnaResearch ile yürüttüğü bir çalışmaya katıldığınızda ve EnaResearch mobil uygulamasını kullandığınızda kişisel verilerinizin nasıl işlendiğini açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki aydınlatma bilgileri ayrıca KVKK Aydınlatma Metni'nde, Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'deki kişiler için bilgiler GDPR Aydınlatma Metni'nde yer alır.
1. Biz kimiz?
ENA Innovation Sağlık ve Yazılım Teknolojileri San. Tic. A.Ş. ("ENA Innovation", "biz"), Battalgazi Mah. Eskişehir Yolu Bulv. A.N.S. Kampüsü, Zafer Teknopark, Merkez/Afyonkarahisar adresinde faaliyet gösteren bir teknopark şirketidir. EnaResearch, ENA Innovation'ın ürünüdür.
EnaResearch; hastaneler, üniversiteler, araştırma merkezleri, araştırma laboratuvarları, araştırma grupları, bölümler, klinikler ve bağımsız araştırmacılar için geliştirilmiş bir araştırma verisi toplama ve yönetim platformudur. Mobil sağlık platformlarından ve, mevcut olduğunda, giyilebilir cihazlardan gelen verileri, araştırma ekibinin girdiği klinik kayıtlar ve değerlerle birlikte, organizasyonun yürüttüğü çalışmanın protokolüne göre toplar, düzenler ve dışa aktarır.
EnaResearch tıbbi cihaz değildir; klinik karar desteği, teşhis, tedavi veya hayati bulgu izleme amacıyla kullanılmaz.
Kişisel verilerle ilgili sorularınız için: support@enainnovation.com
2. Rolümüz: veri sorumlusu mu, veri işleyen mi?
| Faaliyet | ENA Innovation'ın rolü | Veri sorumlusu |
|---|---|---|
| Web sitesinin işletilmesi; iletişim ve demo talepleri | Veri sorumlusu | ENA Innovation |
| Müşterilerle sözleşme, faturalama ve destek | Veri sorumlusu | ENA Innovation |
| Onay verdiğiniz ticari elektronik iletiler | Veri sorumlusu | ENA Innovation |
| Bir EnaResearch Müşteri Ortamında işlenen veriler (katılımcı kimlik bilgileri, cihaz ve sağlık platformu verileri, çalışma ve katılım kayıtları, organizasyon kullanıcıları, denetim kayıtları vb.) | Veri işleyen | EnaResearch'ü kullanan organizasyon (Müşteri) |
Bir organizasyonun yürüttüğü çalışmaya katılıyorsanız, verileriniz bakımından veri sorumlusu çalışmayı yürüten organizasyondur (Müşteri). Çalışmanın amacı, hukuki sebebi, saklama süresi ve haklarınızın nasıl kullanılacağı, organizasyonun size verdiği katılımcı aydınlatma metninde yer alır. Bu verilere ilişkin taleplerinizi öncelikle o organizasyona iletin. ENA Innovation bu verileri yalnızca organizasyonun talimatıyla ve hizmeti sunmak için işler.
3. Web sitesinde işlenen veriler
3.1. Web sitesini ziyaret ettiğinizde
- Teknik kayıtlar: Web sitemiz Vercel üzerinde barındırılır. Siteye eriştiğinizde IP adresiniz, tarayıcı ve cihaz bilgileriniz, istenen sayfa ve zaman bilgisi, sitenin çalışması ve güvenliği için barındırma sağlayıcısının sunucu kayıtlarında işlenir.
- Toplu ziyaret istatistikleri: Vercel Web Analytics ve Speed Insights kullanırız. Bu araçlar çerez kullanmaz, ziyaretçileri siteler arasında izlemez ve bize yalnızca sayfa görüntüleme, ülke, cihaz türü ve sayfa performansı gibi toplu veriler sunar. Ayrıntılar için Çerez Politikası'na bakın.
- Organizasyon girişi yönlendirmesi: "Giriş" sayfasında organizasyon kodunuzu girdiğinizde tarayıcınız, sizi organizasyonunuzun EnaResearch adresine yönlendirmek için ENA Innovation'ın merkezi organizasyon bulma hizmetine (discovery.enainnovation.com) bağlanır. Bu hizmet IP adresi, tarayıcı bilgisi ve ülke içeren erişim kayıtları tutar.
3.2. Form doldurduğunuzda veya bize yazdığınızda
İletişim ve demo formlarımızda ad soyad, iş e-postası, telefon, organizasyon, sektör, göreviniz, beklenen katılımcı sayısı, talep türü ve mesajınız istenir. Form içeriği, ENA Innovation'ın bildirim altyapısı ve e-posta hizmet sağlayıcısı (Resend) aracılığıyla ekibimize e-posta olarak iletilir.
Bize e-posta, telefon veya WhatsApp ile ulaştığınızda yazışma içeriği ve iletişim bilgileriniz işlenir. WhatsApp kullandığınızda WhatsApp'ın (Meta) kendi gizlilik koşulları da geçerlidir.
Lütfen formlara veya mesajlarınıza sağlık verisi gibi özel nitelikli kişisel veri eklemeyin.
3.3. Ticari elektronik iletiler
Formdaki isteğe bağlı kutuyu işaretlerseniz, ürün güncellemeleri ve etkinlikler hakkında size e-posta gönderebiliriz. Bu onay, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik kapsamında alınır ve mevzuatın gerektirdiği durumlarda İleti Yönetim Sistemi'ne (İYS) kaydedilir. Onayınızı her iletideki bağlantıdan veya support@enainnovation.com adresine yazarak istediğiniz zaman geri alabilirsiniz.
4. Müşteri ilişkisi kapsamında işlenen veriler
Siz veya organizasyonunuz EnaResearch müşterisi olduğunda veya olmayı değerlendirdiğinde; yetkili ve irtibat kişilerinin ad soyad, unvan ve iş iletişim bilgilerini, teklif, sözleşme ve fatura bilgilerini, destek talepleri ve yazışmaları işleriz.
Müşteri Ortamının kurulması için organizasyonun ilk yöneticisinin (sahip) ad soyad ve e-posta adresi kullanılır. Organizasyon kullanıcılarının (sahip ve araştırmacı) hesapları kimlik sağlayıcımız Logto'da tutulur.
5. EnaResearch hizmetinde işlenen veriler (veri işleyen olarak)
Her organizasyon, organizasyonkodu.enaresearch.com adresinde çalışan kendi Müşteri Ortamını kullanır: kendi uygulama yığını ve kendi veritabanı ile veritabanı kullanıcısı olan ayrı bir ortam. Ortamın barındırıldığı bölge, organizasyonla yapılan sözleşmede belirlenir.
Organizasyonun yapılandırmasına ve çalışma protokolüne göre bir Müşteri Ortamında şu veriler işlenebilir:
| Grup | Veri kategorileri |
|---|---|
| Katılımcılar (çalışmaya katılan kişiler) | Ad, soyad, cinsiyet, doğum tarihi; organizasyonun seçtiği isteğe bağlı kimlik kodu (örneğin T.C. kimlik no, NHS number, BSN, AHV numarası, KVNR veya hastane kayıt no); 6 karakterli katılımcı kodu; çalışma ve katılım kayıtları; giyilebilir cihaz ve cihaz atama bilgileri; çalışmanın izin verdiği ölçüm türlerinde cihaz ve sağlık platformu verileri (örneğin kalp atış hızı, adım, kalori, SpO₂, cilt sıcaklığı, kalp atış hızı değişkenliği, uyku); araştırma ekibinin girdiği veya içe aktardığı klinik kayıtlar (yatış ve taburculuk, ameliyat gibi prosedürler, klinik olaylar, serbest metin notları; CSV veya FHIR R4 ile içe aktarma); elle girilen değerler (örneğin ağrı ve yorgunluk puanları, Borg ölçeği, hemoglobin, CRP, lökosit, kreatinin, albümin); uygunluk değerlendirmeleri; türetilmiş araştırma değişkenleri ve istatistiksel sonuçlar; veri aktarım ve senkronizasyon durumu; mobil uygulama oturumu ve cihaz bilgileri; katılımcının aktarım durumunu ve günlük özeti gördüğü katılımcı web alanı oturumu (katılımcı kodu ve PIN) |
| Organizasyon kullanıcıları (sahip, araştırmacı) | Ad, e-posta, rol ve çalışma ekibi üyelikleri; oturum bilgileri; denetim kayıtları; yapay zekâ yardımcısına yazılan metin (açılmışsa) |
Kimlik verisinin en aza indirilmesi: Organizasyonun seçtiği kimlik kodu açık olarak saklanmaz; yalnızca anahtarlı bir özet (hash) ve son 4 karakteri tutulur. Organizasyon bu özelliği açarsa kodun şifreli bir kopyası da saklanır. Dışa aktarılan araştırma veri setlerinde katılımcılar takma adla (örneğin P001) gösterilir; kimlik kodu dışa aktarmaya girmez.
Sağlık verisi: Cihaz ve sağlık platformu verileri, klinik kayıtlar ve elle girilen değerler özel nitelikli kişisel veri (sağlık verisi) niteliğindedir. Bu verilerin hangi hukuki sebeple işleneceğine, etik kurul onayına ve katılımcıların aydınlatılmasına veri sorumlusu olarak organizasyon karar verir. Organizasyonlar için hazırladığımız Katılımcı Aydınlatma Metni Şablonu bu konuda bir başlangıç noktasıdır.
Yapay zekâ yardımcısı: Araştırma modülünde, varsayılan olarak kapalı olan ve yalnızca organizasyon tarafından açılan isteğe bağlı bir yapay zekâ yardımcısı vardır. Sağlayıcısı Anthropic'tir (ABD). Yardımcı yalnızca toplu çalışma bilgisini (değişken tanımları, küçük sayıları gizlenmiş sayımlar, istatistiksel test çıktısı) ve araştırmacının yazdığı metni alır; katılımcı düzeyinde kayıtlar ve kimlik verileri hiçbir zaman gönderilmez.
Kullanmadığımız amaçlar: Müşteri Ortamındaki veriler reklam, pazarlama veya profil oluşturma amacıyla kullanılmaz, satılmaz, veri simsarlarıyla paylaşılmaz ve yapay zekâ modellerinin eğitiminde kullanılmaz.
Bu verilerin amacına, hukuki sebebine ve saklama süresine organizasyon karar verir. Ayrıntılar için ilgili organizasyonun aydınlatma metnine başvurun.
6. Mobil uygulama
EnaResearch mobil uygulaması (iOS ve Android), organizasyonun çalışmasına katılan kişilerin cihaz ve sağlık platformu verilerini organizasyonun Müşteri Ortamına aktarmasını sağlar. Uygulama aracılığıyla gönderilen veriler bakımından veri sorumlusu çalışmayı yürüten organizasyondur (Müşteri); ENA Innovation bu verileri 2. ve 5. bölümlerde anlatıldığı şekilde veri işleyen olarak işler.
6.1. Hesap yok, katılımcı kodu var
Katılımcıların hesabı yoktur. Araştırma ekibi size 6 karakterli bir katılımcı kodu ve tek kullanımlık bir aktivasyon anahtarı verir. Uygulama bu bilgilerle cihazınıza bağlı bir oturum açar; ayrıca 6 haneli bir PIN belirlersiniz. Oturum bilgileri cihazın güvenli depolama alanında (iOS Anahtar Zinciri, Android Keystore) tutulur. Araştırma ekibi kodunuzu yenileyebilir veya iptal edebilir; iptal, cihazınızdaki oturumu da sonlandırır.
6.2. Okunan veriler ve izinler
- Apple Sağlık (HealthKit) ve Health Connect: Uygulama bu verileri yalnızca işletim sisteminin izin ekranında sizin verdiğiniz izinle ve yalnızca çalışmanın izin verdiği ölçüm türleri için okur. Ayrıntılar: Sağlık Verisi Kullanım Beyanı.
- Giyilebilir cihazlar (mevcut olduğunda): Çalışmada kullanılan kalp atış hızı kol bandı gibi cihazların verileri, organizasyonun kurduğu bir hub üzerinden ya da telefonunuz aracılığıyla Bluetooth ile alınabilir.
- İzinleri istediğiniz zaman işletim sistemi ayarlarından geri alabilirsiniz; bu durumda yeni veri okunmaz.
6.3. Uygulamada olmayanlar
Uygulama reklam, reklam kimliği, uygulama içi satın alma, üçüncü taraf analiz veya takip araçları içermez; sizi diğer şirketlerin uygulama ve web sitelerinde izlemez. Anlık bildirim (push) kullanılmaz.
6.4. Cihazda saklanan veriler
Henüz aktarılmamış ölçümler, organizasyonun sunucusu tarafından kalıcı olarak kaydedildiği teyit edilene kadar cihazda tutulur ve ardından cihazdan silinir. Uygulamayı kaldırdığınızda uygulamanın cihazdaki verileri silinir. Organizasyonun sunucusuna aktarılmış veriler organizasyonun saklama kurallarına tabidir.
7. Amaçlar ve hukuki sebepler (veri sorumlusu olarak)
| Amaç | Veri kategorileri | Hukuki sebep (KVKK m. 5) |
|---|---|---|
| Web sitesinin işletilmesi ve güvenliği | IP adresi, tarayıcı ve cihaz bilgisi, erişim kayıtları | Meşru menfaat (m. 5/2-f) |
| Toplu ziyaret ve performans istatistikleri | Toplu, kimliği belirlemeyen kullanım verisi | Meşru menfaat (m. 5/2-f) |
| Organizasyon girişi sayfasında doğru organizasyon adresine yönlendirme | Organizasyon kodu, IP adresi, tarayıcı bilgisi | Sözleşmenin ifası (m. 5/2-c); meşru menfaat (m. 5/2-f) |
| Demo ve iletişim taleplerinin yanıtlanması | Kimlik, iletişim, mesleki bilgiler, talep içeriği | Sözleşmenin kurulması için gerekli olması (m. 5/2-c); meşru menfaat (m. 5/2-f) |
| Müşteri sözleşmesinin kurulması ve ifası, faturalama, destek | Kimlik, iletişim, mesleki bilgiler, müşteri işlem ve finans bilgileri | Sözleşmenin ifası (m. 5/2-c); hukuki yükümlülük (m. 5/2-ç) |
| Yasal yükümlülükler (vergi ve ticaret mevzuatı, resmî makam talepleri) | Fatura ve sözleşme kayıtları | Hukuki yükümlülük (m. 5/2-ç) |
| Hukuki uyuşmazlıklarda hakların korunması | İlgili kayıtlar | Bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e) |
| Ticari elektronik ileti gönderimi | Ad, e-posta, tercih ve onay kayıtları | Açık rıza (m. 5/1) ve 6563 sayılı Kanun m. 6 uyarınca alınan onay |
GDPR, UK GDPR veya İsviçre Federal Veri Koruma Kanunu (FADP) kapsamındaki kişiler için bilgiler GDPR Aydınlatma Metni'nde yer alır.
8. Verilerin aktarıldığı alıcılar
Kişisel verilerinizi satmayız. Veriler yalnızca amaçla sınırlı olarak şu alıcılarla paylaşılır:
- Hizmet sağlayıcılarımız (veri işleyenler): barındırma, kimlik doğrulama, e-posta gönderimi ve hata izleme hizmetleri ile, organizasyon açarsa, yapay zekâ yardımcısı (Anthropic; yalnızca toplu çalışma bilgisi). Güncel liste: Alt İşleyenler. Web sitesi için ayrıca Vercel (barındırma ve toplu istatistik) kullanılır.
- Yetkili kamu kurumları: kanunen yetkili makamların talebi hâlinde.
- Profesyonel danışmanlar: gizlilik yükümlülüğü altındaki avukat, mali müşavir ve denetçiler.
- Müşteri: veri işleyen olarak işlediğimiz veriler, veri sorumlusu olan organizasyonun yetkili kullanıcılarına sunulur.
Apple ve Google, EnaResearch'ün alt işleyeni değildir: Apple Sağlık ve Health Connect verileri, uygulama bunları organizasyonun ortamına gönderene kadar cihazınızda kalır.
9. Yurt dışına aktarım
Bazı hizmet sağlayıcılarımız yurt dışında bulunur veya yurt dışındaki altyapıyı kullanır. Özellikle web sitemiz Vercel (ABD) üzerinde barındırılır ve form içerikleri ile hizmet e-postaları Resend (ABD) aracılığıyla gönderilir. Organizasyon isteğe bağlı yapay zekâ yardımcısını açarsa toplu çalışma bilgisi ve araştırmacının yazdığı metin Anthropic'e (ABD) gönderilir; katılımcı düzeyinde kayıtlar ve kimlik verileri gönderilmez. Müşteri Ortamının barındırma bölgesi organizasyonla yapılan sözleşmede belirlenir; bölge Türkiye dışında olabilir.
Bu aktarımlar KVKK m. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yapılır. Yeterlilik kararı bulunmayan ülkelere aktarımda, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeler gibi kanunda öngörülen uygun güvencelerden birine dayanılır; standart sözleşmeler imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Uygun güvencenin sağlanamadığı istisnai durumlarda aktarım yalnızca KVKK m. 9/6'da sayılan arızi aktarım şartlarıyla yapılır.
10. Saklama süreleri
| Veri | Saklama süresi |
|---|---|
| Web sitesi sunucu kayıtları | Barındırma sağlayıcısının (Vercel) kısa ve en fazla 30 gün olan standart kayıt saklama süresi |
| Toplu analiz verileri | Toplu ve kimliği belirlemeyen veri olarak saklanır |
| Sözleşmeyle sonuçlanmayan demo ve iletişim talepleri | Son iletişimden itibaren 2 yıl |
| Müşteri sözleşmeleri, faturalar ve ilgili yazışmalar | Sözleşmenin sona ermesinden itibaren 10 yıl (Türk Ticaret Kanunu, vergi mevzuatı ve Türk Borçlar Kanunu'ndaki zamanaşımı süreleri dikkate alınarak) |
| Ticari ileti onay ve ret kayıtları | Onayın geri alınmasından itibaren 3 yıl (ilgili yönetmelik uyarınca) |
| Müşteri Ortamındaki veriler (veri işleyen olarak) | Sözleşmenin sona ermesine kadar ya da organizasyonun belirlediği, çalışmanın kesin kapanışından itibaren sayılan daha kısa süre boyunca; sözleşmenin sona ermesinden sonra 30 gün içinde canlı sistemlerden silinir. Cihazlardan gelen ham veri paketleri 90 gün, dışa aktarma dosyaları 30 gün sonra silinir; şifreli yedekler ölçüm veritabanı için 35 gün, uygulama veritabanı ve dosya deposu için 14 gün saklanır (en yeni yedekler, ortam silinene kadar her zaman korunur) |
Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.
11. Güvenlik önlemleri
Hizmetin tasarımında başlıca teknik ve idari önlemler şunlardır:
- Her organizasyon için kendi uygulama yığını ve kendi veritabanı ile veritabanı kullanıcısı olan ayrı bir ortam; bir organizasyonun verisine başka bir organizasyondan erişilemez.
- Tüm trafiğin TLS ile şifrelenmesi.
- Organizasyon kullanıcıları için davetle çalışan kimlik doğrulama (Logto) ve sunucu tarafında uygulanan rol ve çalışma ekibi üyeliği kontrolü. Sahip kullanıcıları yönetir ve çalışmaları onaylar; çalışmayı açan kullanıcı sorumlu araştırmacıdır; araştırmacılar yalnızca ekibinde oldukları çalışmalara erişir.
- Katılımcılar için tek kullanımlık aktivasyon, cihaza bağlı oturum ve PIN; giriş denemelerinde hız sınırı, artan bekleme veya kilit ve denetim kaydı.
- Kişi kimlik kodunun açık değil, anahtarlı özet olarak saklanması; şifreli kopyanın yalnızca organizasyon açarsa tutulması.
- Dışa aktarmalarda takma ad kullanımı ve her dışa aktarmanın denetim kaydına yazılması.
- Ölçüm veritabanının her gün (35 gün saklanır), uygulama veritabanının ve dosya deposunun her gece (14 gün saklanır) şifreli (AES-256) yedeklenmesi; en yeni yedekler her zaman korunur.
- Çalışanlarımız için gizlilik yükümlülüğü ve görevin gerektirdiği ölçüde erişim.
Hiçbir sistem tamamen güvenli değildir; bir veri ihlali olursa kanunen gereken bildirimleri yaparız. EnaResearch, organizasyonların yasal yükümlülüklerini desteklemek üzere tasarlanmıştır; bu önlemler bir uyum veya sertifika beyanı değildir.
12. Haklarınız
KVKK m. 11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını öğrenme, aktarıldığı alıcıları bilme, düzeltilmesini, silinmesini veya yok edilmesini isteme, bu işlemlerin alıcılara bildirilmesini isteme, otomatik analiz sonucu aleyhinize bir sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahipsiniz. GDPR, UK GDPR veya FADP kapsamındaki kişilerin ayrıca işlemeyi kısıtlama, veri taşınabilirliği ve itiraz hakları vardır.
Başvurularınızı support@enainnovation.com adresine iletebilirsiniz. Talebiniz bir organizasyonun çalışmasında işlenen verilere ilişkinse önce o organizasyona başvurmanızı öneririz; bize ulaşan bu tür talepleri ilgili organizasyona iletiriz. Başvuru yöntemleri ve süreleri İlgili Kişi Başvurusu sayfasında açıklanır.
13. Çocuklar
Web sitemiz profesyonel alıcılara yöneliktir ve 18 yaşından küçüklere yönelik değildir. Bir çalışmaya reşit olmayan kişilerin katılıp katılmayacağına ve veli veya vasi onayının nasıl alınacağına çalışmayı yürüten organizasyon ve etik kurul karar verir. Ayrıntılar: Yaş Uygunluğu Beyanı.
14. Değişiklikler
Bu politikayı güncelleyebiliriz. Güncel sürüm, yürürlük ve güncelleme tarihleriyle bu sayfada yayımlanır.
15. İletişim
- Unvan: ENA Innovation Sağlık ve Yazılım Teknolojileri San. Tic. A.Ş.
- Adres: Battalgazi Mah. Eskişehir Yolu Bulv. A.N.S. Kampüsü, Zafer Teknopark, Merkez/Afyonkarahisar, Türkiye
- Ticaret sicil: Afyonkarahisar Ticaret Sicil Müdürlüğü, sicil no 18590
- MERSİS no: 0334130943400001
- Vergi dairesi / vergi no: Tınaztepe Vergi Dairesi / 3341309434
- Kişisel veriler: support@enainnovation.com
- Genel: support@enainnovation.com
- Telefon: 0850 308 45 91