Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), EnaResearch hizmetini kullanan Müşteri (kurum, kuruluş ya da gerçek kişi; bkz. madde 1.1) ile ENA Innovation arasında, Müşteri adına işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeleri esas alınarak hazırlanmıştır. Müşteri'ye (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR"), Birleşik Krallık GDPR'ı ("UK GDPR") veya İsviçre Federal Veri Koruma Kanunu ("FADP") uygulanıyorsa 17. bölüm de geçerlidir.

1. Taraflar ve kapsamBağlantıyı kopyala

1.1. Taraflar şunlardır:

1.2. Bu Sözleşme; Müşteri'nin kabul ettiği teklif veya sipariş formu, Kullanım Koşulları ve taraflar arasında yazılı olarak kararlaştırılan diğer koşullarla ("Ana Sözleşme") birlikte uygulanır.

1.3. Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme ile Ana Sözleşme arasında çelişki olursa bu Sözleşme uygulanır. Taraflar yazılı olarak Müşteri'nin kendi veri işleme sözleşmesini kullanmayı kararlaştırırsa o sözleşme bu Sözleşmenin yerine geçer.

2. TanımlarBağlantıyı kopyala

Bu Sözleşmede geçen "kişisel veri", "özel nitelikli kişisel veri", "ilgili kişi", "veri sorumlusu", "veri işleyen", "işleme" ve "Kurul" kavramları KVKK'daki anlamları ile kullanılır. Ayrıca:

• Hizmet: EnaResearch yazılımının web uygulaması, katılımcı web alanı, mobil uygulaması, giyilebilir cihaz hub bağlantısı (mevcut olduğunda) ve bunlara bağlı ENA Cloud hizmetleri (organizasyon bulma ve bildirim ağ geçidi) aracılığıyla sunulması.
• Müşteri Verisi: Hizmet'in kullanımı sırasında Müşteri, Müşteri'nin kullanıcıları veya çalışma katılımcıları tarafından Hizmet'e girilen ya da Hizmet aracılığıyla Müşteri adına toplanan veya oluşturulan kişisel veriler.
• Alt Veri İşleyen: ENA Innovation'ın Müşteri Verisi'nin işlenmesi için görevlendirdiği üçüncü kişi.
• Veri İhlali: Müşteri Verisi'nin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya buna yol açan güvenlik olayı.
• Müşteri Ortamı: Müşteri'ye tahsis edilen, organizasyonkodu.enaresearch.com adresinde çalışan uygulama ve veri ortamı; kendi uygulama yığını ve kendi veritabanı ile veritabanı kullanıcısı olan ayrı bir ortam.

3. Rollerin belirlenmesiBağlantıyı kopyala

3.1. Müşteri Verisi bakımından Müşteri veri sorumlusu, ENA Innovation veri işleyendir. İşleme amaçlarını ve vasıtalarını Müşteri belirler.

3.2. ENA Innovation; sözleşme yönetimi, faturalama, Müşteri yetkilileriyle iletişim ve kendi merkezî hizmetlerinin güvenliği gibi kendi amaçlarıyla sınırlı işlemelerde veri sorumlusu sıfatını taşır. Bu işlemeler EnaResearch Gizlilik Politikası'na tabidir.

3.3. Apple ve Google, Apple Sağlık (HealthKit) ve Health Connect verileri bakımından ENA Innovation'ın Alt Veri İşleyeni değildir; bu veriler katılımcının cihazındaki uygulama tarafından doğrudan Müşteri Ortamına gönderilir.

4. İşlemenin konusu, niteliği ve süresiBağlantıyı kopyala

4.1. İşlemenin konusu, amacı, ilgili kişi grupları ve veri kategorileri Ek-1'de yer alır.

4.2. ENA Innovation, Müşteri Verisi'ni Ana Sözleşme süresince ve bu Sözleşmenin 14. bölümündeki silme veya iade süresi sona erinceye kadar işler.

5. Müşteri'nin talimatlarıBağlantıyı kopyala

5.1. ENA Innovation, Müşteri Verisi'ni yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Ana Sözleşme, bu Sözleşme, Müşteri'nin Hizmet içinde yaptığı ayarlar (çalışma, ölçüm türü, veri kaynağı, cihaz ataması, kimlik kodu türü ve şifreli kopya, kullanıcı ve rol ayarları ve yapay zekâ yardımcısının açılması dâhil) ve yetkili Müşteri temsilcisinin yazılı talepleri talimat sayılır.

5.2. ENA Innovation, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse bunu Müşteri'ye gecikmeksizin bildirir ve talimat netleşene kadar ilgili işlemi askıya alabilir.

5.3. Mevzuat ENA Innovation'ın Müşteri Verisi'ni başka bir amaçla işlemesini zorunlu kılarsa ENA Innovation, kanunen yasaklanmadıkça bunu işlemeden önce Müşteri'ye bildirir.

5.4. ENA Innovation, Müşteri Verisi'ni kendi amaçları için kullanmaz; reklam, pazarlama veya profil oluşturma amacıyla kullanmaz; satmaz, veri simsarlarıyla paylaşmaz ve yapay zekâ modellerinin eğitiminde kullanmaz.

6. Müşteri'nin yükümlülükleriBağlantıyı kopyala

Müşteri, veri sorumlusu olarak özellikle şunlardan sorumludur:

• Her işleme faaliyeti için hukuki sebebi belirlemek. Cihaz ve sağlık platformu verileri, klinik kayıtlar ve elle girilen değerler özel nitelikli kişisel veri (sağlık verisi) niteliğindedir; bu verilerin işlenmesinin hukuki sebebini KVKK m. 6 ve, uygulanıyorsa, GDPR md. 9 veya ilgili mevzuat çerçevesinde Müşteri belirler.
• Çalışma için gerekli etik kurul onaylarını ve diğer izinleri almak.
• İlgili kişileri KVKK m. 10 ve uygulanacak diğer mevzuat uyarınca aydınlatmak. ENA Innovation'ın sunduğu Katılımcı Aydınlatma Metni Şablonu yalnızca bir başlangıç noktasıdır ve hukuki görüş değildir.
• Açık rızaya dayanılan durumlarda rızayı almak ve ispatlamak.
• Her çalışma için yalnızca protokolün gerektirdiği ölçüm türlerini ve veri kaynaklarını etkinleştirmek; kimlik kodu kullanımına ve şifreli kopya saklanmasına ilişkin seçimleri veri minimizasyonu ilkesine göre yapmak.
• Katılımcı kodlarını ve aktivasyon anahtarlarını yalnızca ilgili katılımcıya iletmek; gerektiğinde yenilemek veya iptal etmek.
• Uygulanıyorsa kayıt yükümlülüğü (örneğin Türkiye'de VERBİS, GDPR md. 30 kapsamında işleme faaliyetleri kaydı), saklama ve imha politikası ile ilgili kişi başvurularının yanıtlanması gibi veri sorumlusu yükümlülüklerini yerine getirmek.
• Kullanıcı rollerini ve çalışma ekibi üyeliklerini ihtiyaç ölçüsünde belirlemek; ayrılan kullanıcıların erişimini kaldırmak.

7. GizlilikBağlantıyı kopyala

7.1. ENA Innovation, Müşteri Verisi'ne erişen çalışanlarının ve kendisi adına çalışan kişilerin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük, KVKK m. 12/4 uyarınca görevden ayrılmadan sonra da devam eder.

7.2. Müşteri Verisi'ne erişim, Hizmet'in sunulması, destek, bakım ve güvenlik için gerekli kişilerle ve gerekli ölçüyle sınırlıdır.

7.3. ENA Innovation, Müşteri Verisi'ni bu Sözleşmede izin verilenler dışında üçüncü kişilere açıklamaz. Yetkili bir makam Müşteri Verisi'ni talep ederse ENA Innovation, kanunen yasaklanmadıkça bunu Müşteri'ye bildirir ve talebi kanunen zorunlu olanla sınırlı tutar.

8. Veri güvenliğiBağlantıyı kopyala

8.1. ENA Innovation, KVKK m. 12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri alır. Bu tedbirler Ek-2'de yer alır. Tedbirler, işlenen verilerin özel nitelikli olması dikkate alınarak belirlenir.

8.2. Tedbirler teknik gelişmeye göre güncellenebilir. Güncellemeler, Ek-2'de tanımlanan genel koruma seviyesini düşüremez.

8.3. Taraflar, KVKK m. 12/2 uyarınca veri güvenliği tedbirlerinin alınmasından birlikte sorumlu olduklarını kabul eder. Hizmet içindeki ayarlar, kullanıcı hesapları, roller, Müşteri'nin tesislerindeki hub ve cihazlar ile Müşteri'nin Hizmet dışına aktardığı veri setleri Müşteri'nin sorumluluğundadır.

9. Alt veri işleyenlerBağlantıyı kopyala

9.1. Müşteri, Ek-3'te listelenen Alt Veri İşleyenlerin görevlendirilmesine genel yazılı izin verir.

9.2. ENA Innovation, yeni bir Alt Veri İşleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteri'ye e-posta ile veya Hizmet içinden bildirimde bulunur. Bildirim; Alt Veri İşleyenin adını, işleme faaliyetini ve işleme yerini içerir.

9.3. Müşteri, bildirimden itibaren 15 gün içinde haklı gerekçeyle yazılı olarak itiraz edebilir. Taraflar makul bir çözüm üzerinde iyi niyetle görüşür. Çözüm bulunamazsa Müşteri, etkilenen hizmet bölümüne ilişkin Ana Sözleşmeyi, değişikliğin yürürlüğe gireceği tarihten önce ve cezai şart ödemeksizin feshedebilir.

9.4. Güvenlik veya hizmet sürekliliği nedeniyle acil bir değişiklik gerekirse ENA Innovation değişikliği yapar ve Müşteri'yi gecikmeksizin bilgilendirir. Bu durumda da 9.3. madde uygulanır.

9.5. ENA Innovation, her Alt Veri İşleyen ile bu Sözleşmedeki yükümlülüklerden daha az koruyucu olmayan yazılı veri koruma yükümlülükleri öngörür. Alt Veri İşleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı ENA Innovation sorumludur.

10. Yurt dışına aktarımBağlantıyı kopyala

10.1. Müşteri Ortamının barındırıldığı bölge, Müşteri'nin tercihine göre sipariş formunda veya Ana Sözleşmede belirlenir. Ek-3'te "yurt dışı aktarım" olarak işaretlenen hizmetlerin kullanılması, Müşteri Verisi'nin bir kısmının bu bölge dışına aktarılmasını gerektirebilir.

10.2. ENA Innovation, kendi taraf olduğu her yurt dışı aktarımda KVKK'nın 7499 sayılı Kanunla değişik 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uyar. Buna göre aktarım; yeterlilik kararına, yeterlilik kararı yoksa uygun güvencelerden birine (öncelikle Kurul'un ilan ettiği standart sözleşmeye) dayandırılır.

10.3. ENA Innovation'ın veri aktaran taraf olarak standart sözleşme imzaladığı durumlarda, sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurul'a bildirimi ENA Innovation yapar. Müşteri'nin veri aktaran olduğu durumlarda bildirim Müşteri'ye aittir. ENA Innovation bu bildirim için gerekli bilgileri sağlar.

10.4. Bir Alt Veri İşleyenin standart koşulları gerekli güvencenin sağlanmasına imkân vermezse ENA Innovation bunu Müşteri'ye bildirir. Taraflar alternatif bir sağlayıcı veya başka bir hukuki dayanak gibi seçenekleri birlikte değerlendirir.

11. İlgili kişi başvurularına destekBağlantıyı kopyala

11.1. ENA Innovation'a doğrudan bir ilgili kişi başvurusu ulaşırsa ENA Innovation başvuruyu yanıtlamaz; başvuruyu 5 iş günü içinde Müşteri'ye iletir ve başvuru sahibine Müşteri'ye yönlendirildiğini bildirir.

11.2. Müşteri, ilgili kişi başvurularını öncelikle Hizmet'in kendi araçlarıyla (kayıtları görüntüleme, CSV, Excel, SPSS (.sav) veya R, veri sözlüğüyle birlikte dışa aktarma, katılımcı kodunu iptal etme, kayıt silme) karşılar. Bu araçlar yetmezse ENA Innovation, Müşteri'nin yazılı talebi üzerine makul teknik destek sağlar. Müşteri'nin yasal yanıt sürelerine uyabilmesi için ENA Innovation, destek talebini kural olarak 10 iş günü içinde karşılar.

11.3. Belirli bir ilgili kişiye ait verilerin kalıcı olarak silinmesi veya anonim hâle getirilmesi gerekirse ENA Innovation, Müşteri'nin talebi üzerine bu işlemi gerçekleştirir veya Müşteri'ye nasıl yapılacağını gösterir. Denetim kayıtlarının bütünlüğünü korumak için gereken istisnalar Müşteri ile birlikte belirlenir.

12. Veri ihlali bildirimiBağlantıyı kopyala

12.1. ENA Innovation, Müşteri Verisi'ni etkileyen bir Veri İhlali'nden haberdar olduğunda Müşteri'yi gecikmeksizin ve her hâlde ihlali öğrendiği andan itibaren en geç 48 saat içinde bilgilendirir. Bu süre, Müşteri'nin denetim makamına (KVKK m. 12/5 ve Kurul'un 72 saatlik bildirim süresine ilişkin kararı ile, uygulanıyorsa GDPR md. 33 uyarınca) zamanında bildirim yapabilmesini amaçlar.

12.2. Bildirim, o anda bilinen ölçüde şunları içerir:

• ihlalin niteliği, başlangıç ve tespit tarihi
• etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı
• olası sonuçlar
• alınan ve önerilen tedbirler
• ENA Innovation'daki irtibat kişisi

Bilgiler henüz mevcut değilse ENA Innovation ilk bildirimi geciktirmez; eksik bilgileri öğrendikçe tamamlar.

12.3. ENA Innovation, ihlalin etkilerini sınırlamak için gerekli tedbirleri alır ve Müşteri'nin denetim makamına ve ilgili kişilere bildirim yapmasına makul ölçüde destek olur. Bu bildirimleri yapma yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. ENA Innovation, Müşteri'nin önceden yazılı onayı veya kanuni zorunluluk olmadıkça ihlali Müşteri adına üçüncü kişilere duyurmaz.

12.4. Veri İhlali bildirimleri, Ana Sözleşmede Müşteri'nin bildirdiği yetkili kişinin e-posta adresine ve telefonuna yapılır. Müşteri bu bilgileri güncel tutar.

13. Denetim ve bilgi sağlamaBağlantıyı kopyala

13.1. ENA Innovation, bu Sözleşmeye uyumu göstermek için gerekli bilgi ve belgeleri Müşteri'nin talebi üzerine sağlar. Bu kapsamda güvenlik soru formları yanıtlanır, bu Sözleşmenin ekleri güncel tutulur ve Müşteri'nin veri koruma etki değerlendirmesine makul ölçüde bilgi sağlanır.

13.2. Müşteri, KVKK m. 12/3 uyarınca denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Denetim:

• yılda en fazla bir kez yapılır; Veri İhlali, denetim makamı talebi veya ciddi bir uyumsuzluk şüphesi varsa ayrıca yapılabilir
• en az 30 gün önceden yazılı bildirimle ve kapsamı önceden kararlaştırılarak yapılır
• mesai saatleri içinde ve ENA Innovation'ın faaliyetlerini makul olmayan ölçüde aksatmadan yürütülür
• diğer müşterilerin verilerine veya ENA Innovation'ın ticari sırlarına erişim sağlamaz
• gizlilik taahhüdü altında yapılır; giderleri, aksi kararlaştırılmadıkça Müşteri'ye aittir

13.3. Bu Sözleşme, ENA Innovation'ın veya Hizmet'in herhangi bir belgeye veya sertifikaya sahip olduğu ya da herhangi bir mevzuata uyumlu olduğu anlamına gelmez. Hizmet, Müşteri'nin yükümlülüklerini desteklemek üzere tasarlanmıştır.

14. Süre, sona erme, iade ve silmeBağlantıyı kopyala

14.1. Bu Sözleşme, Ana Sözleşme ile birlikte yürürlüğe girer ve ENA Innovation'ın Müşteri Verisi'ni işlemesi sona erinceye kadar yürürlükte kalır.

14.2. Ana Sözleşmenin sona ermesinden önce Müşteri, Hizmet'in dışa aktarma araçlarıyla (CSV, Excel, SPSS (.sav) veya R, veri sözlüğüyle birlikte) verilerini alabilir. Müşteri, sona ermeden itibaren 30 gün içinde yazılı olarak talep ederse ENA Innovation, Müşteri Verisi'nin bir kopyasını yaygın bir makine tarafından okunabilir biçimde Müşteri'ye teslim eder.

14.3. ENA Innovation, Ana Sözleşmenin sona ermesinden itibaren 30 gün içinde Müşteri Ortamını kapatır ve Müşteri Verisi'ni; veritabanları, dosya depolama ve yedekler (ölçüm veritabanının şifreli yedekleri, gecelik ve güncellemeler öncesinde alınan veritabanı dökümleri, dosya deposu arşivleri ve bunların varsa uzak kopyası) dâhil olmak üzere siler. Yönetilen veritabanı hizmetinin otomatik yedekleri, yapılandırılmış saklama süresinin dolmasıyla kendiliğinden silinir.

14.4. Mevzuat daha uzun bir saklama süresi öngörüyorsa ENA Innovation ilgili veriyi yalnızca bu amaçla ve süreyle saklar, gizliliğini korur ve süre sonunda siler.

14.5. ENA Innovation, Müşteri'nin talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

15. SorumlulukBağlantıyı kopyala

15.1. Her taraf, bu Sözleşmeden ve uygulanacak veri koruma mevzuatından doğan kendi yükümlülüklerini ihlal etmesinden sorumludur.

15.2. Ana Sözleşmedeki sorumluluk sınırlamaları, kanunen izin verilen ölçüde bu Sözleşme için de geçerlidir. Kast ve ağır ihmal hâllerinde ve kanunen sınırlanamayan durumlarda sorumluluk sınırlanmaz.

16. Uygulanacak hukuk ve diğer hükümlerBağlantıyı kopyala

16.1. Ana Sözleşmede aksi kararlaştırılmadıkça bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Ana Sözleşmedeki yetki hükmü uygulanır.

16.2. Bu Sözleşmenin bir hükmünün geçersiz sayılması diğer hükümlerini etkilemez.

16.3. ENA Innovation, mevzuat değişikliklerine veya Hizmet'teki değişikliklere uyum için bu Sözleşmeyi güncelleyebilir. Müşteri aleyhine esaslı değişiklikler, yürürlükten en az 30 gün önce Müşteri'ye bildirilir.

16.4. Bu Sözleşme Türkçe ve İngilizce olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.

17. GDPR, UK GDPR ve FADP kapsamındaki MüşterilerBağlantıyı kopyala

17.1. Müşteri'ye GDPR, UK GDPR veya FADP uygulanıyorsa bu Sözleşme, GDPR md. 28(3)'ün (ve UK GDPR ile FADP'deki karşılık hükümlerin) gerektirdiği hususları kapsayacak şekilde uygulanır. Bu kapsamda KVKK'ya yapılan atıflar, uygulanacak mevzuatın ilgili hükümlerine yapılmış sayılır.

17.2. ENA Innovation, Müşteri'nin GDPR md. 32–36 (veri güvenliği, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön danışma) kapsamındaki yükümlülüklerine, işlemenin niteliği ve ENA Innovation'ın elindeki bilgiler ölçüsünde destek olur.

17.3. Müşteri Verisi'nin AEA, Birleşik Krallık veya İsviçre'den Türkiye'ye ya da yeterlilik kararı bulunmayan başka bir ülkeye aktarılması gerekiyorsa taraflar, Avrupa Komisyonu'nun standart sözleşme hükümlerini (ve gerektiğinde Birleşik Krallık ve İsviçre için uyarlamalarını) ayrıca imzalar. Müşteri veri sorumlusuysa İkinci Modül (veri sorumlusundan veri işleyene), kendisi veri işleyense Üçüncü Modül (veri işleyenden veri işleyene) kullanılır; Birleşik Krallık için Uluslararası Veri Aktarım Eki (UK Addendum), İsviçre için FDPIC'in tanıdığı uyarlamalar eklenir.

18. İletişimBağlantıyı kopyala

Ek-1: İşlemenin ayrıntılarıBağlantıyı kopyala

Konu ve amaç. Müşteri'nin yürüttüğü araştırma çalışmaları için mobil sağlık platformlarından (Apple Sağlık, Health Connect) ve, mevcut olduğunda, giyilebilir cihazlardan (hub veya katılımcının telefonu üzerinden) veri toplanması; araştırma ekibinin girdiği veya içe aktardığı klinik kayıtların (yatış ve taburculuk, ameliyat gibi prosedürler, klinik olaylar, serbest metin notları; CSV veya FHIR R4 ile içe aktarma), elle girilen değerlerin ve uygunluk değerlendirmelerinin kaydedilmesi; verilerin doğrulanması, standart biçime getirilmesi ve çalışma protokolüne göre düzenlenmesi; araştırma değişkenlerinin türetilmesi ve istatistiksel sonuçların üretilmesi; çalışma, katılım, katılımcı kodu ve cihaz atamalarının yönetilmesi; veri aktarım ve senkronizasyon durumunun izlenmesi ve katılımcıya, katılımcı web alanında (katılımcı kodu ve PIN ile), aktarım durumu ile günlük özetin gösterilmesi; Müşteri Ortamı içinde kişi eşleştirmesinin araştırmacı onayıyla yapılması; takma adlı veri setlerinin dışa aktarılması; Müşteri'nin seçtiği e-posta iletilerinin gönderilmesi; Müşteri yapay zekâ yardımcısını açarsa sağlayıcısına toplu çalışma bilgisinin gönderilmesi; destek, bakım ve güvenlik.

İşlemenin niteliği. Toplama, kaydetme, içe aktarma, depolama, doğrulama, standartlaştırma, düzenleme, eşleştirme (araştırmacı onayıyla), görüntüleme, özetleme, araştırma değişkenlerinin türetilmesi ve istatistiksel analiz, takma adlandırma, dışa aktarma, aktarma (e-posta gönderim sağlayıcısına ve, yapay zekâ yardımcısı açılmışsa, yalnızca toplu bilgi olarak onun sağlayıcısına) ve silme.

İlgili kişi grupları ve veri kategorileri:

Özel nitelikli kişisel veriler. Cihaz ve sağlık platformu verileri, klinik kayıtlar ve elle girilen değerler sağlık verisidir. Hukuki sebep, etik kurul onayı ve ilgili kişilerin aydınlatılması 6. bölüm uyarınca Müşteri'nin sorumluluğundadır.

Saklama. Müşteri Verisi, Ana Sözleşmenin sona ermesine kadar ya da Müşteri bir çalışma için daha kısa bir süre belirlediyse, çalışmanın kesin kapanışından itibaren sayılan bu süre dolana kadar saklanır; sonrasında 14. bölüm uygulanır. Bir çalışmanın süresi dolduğunda ölçüm verisi, klinik kayıtlar, dışa aktarma dosyaları, analiz sonuçları ve yapay zekâ yardımcısı geçmişi silinir; çalışma kaydı, tanımları (protokol, değişkenler, veri seti ve analiz planları), çalışma takma kodları ve denetim kaydı saklanır. Bir katılımcı çalışmadan ayrıldığında Müşteri o katılıma ait verileri silebilir. Cihazlardan gelen ham veri paketleri 90 gün sonra silinir; standart biçime getirilmiş hâli yukarıdaki kurallara göre saklanır. Dışa aktarma dosyaları 30 gün sonra silinir. Şifreli yedekler en fazla 35 gün saklanır. Katılımcının cihazında henüz aktarılmamış ölçümler, Müşteri Ortamı kalıcı olarak kaydettiğini teyit edene kadar tutulur ve ardından cihazdan silinir.

Ek-2: Teknik ve idari tedbirlerBağlantıyı kopyala

Ortam ayrımı

• Her Müşteri'nin kendi Müşteri Ortamı vardır: kendi uygulama yığını ve kendi veritabanı ile veritabanı kullanıcısı olan ayrı bir ortam. Bir Müşteri'nin verisine başka bir Müşteri'nin ortamından erişilemez.
• Organizasyon kodu yalnızca yönlendirme amaçlıdır; tek başına erişim yetkisi vermez.

İletim güvenliği

• Tüm trafik TLS ile şifrelenir. Hub kullanıldığında onun bağlantısı da TLS üzerinden kurulur.

Kimlik doğrulama ve yetkilendirme

• Müşteri kullanıcılarının girişi, davet usulüyle çalışan kimlik hizmeti (Logto) üzerinden yapılır; herkese açık kayıt kapalıdır.
• Her korumalı işlemde kimlik, rol, Müşteri bağlamı ve çalışma ekibi üyeliği sunucu tarafında doğrulanır; varsayılan olarak erişim reddedilir. Sahip kullanıcıları yönetir ve çalışmaları onaylar; çalışmayı açan kullanıcı sorumlu araştırmacıdır; araştırmacılar yalnızca ekibinde oldukları çalışmalara erişir.
• Katılımcılar hesap kullanmaz; tek kullanımlık ve süreli aktivasyon, cihaza bağlı oturum ve PIN kullanılır. Giriş denemelerinde hız sınırı, artan bekleme veya kilit ve denetim kaydı uygulanır. Katılımcı kodunun iptali tüm cihaz oturumlarını sonlandırır.

Veri minimizasyonu ve takma adlandırma

• Kişi kimlik kodu açık saklanmaz; anahtarlı özet (HMAC) ve son 4 karakter tutulur. Şifreli kopya (AES-GCM) yalnızca Müşteri açarsa tutulur; kapatıldığında kopyalar silinir.
• Kimlik kodu dışa aktarmaya, mobil uygulamaya ve denetim kayıtlarına girmez.
• Dışa aktarılan veri setlerinde katılımcılar takma adla (örneğin P001) gösterilir.
• Kişi eşleştirmesinde araştırmacılar adayları maskeli görür; birleştirme yalnızca araştırmacı onayıyla yapılır.
• Bir çalışma yalnızca kendi katılım aralığındaki ve izin verilen ölçüm türlerindeki verileri görür.
• Yapay zekâ yardımcısı varsayılan olarak kapalıdır ve yalnızca Müşteri açarsa çalışır. Sağlayıcısına yalnızca toplu çalışma bilgisi ve araştırmacının yazdığı metin gönderilir; 5'ten küçük sayımlar gizlenir; katılımcı düzeyinde kayıt veya kimlik verisi gönderilmez. Her istek kayıt altına alınır.

Kayıt ve izlenebilirlik

• Hassas işlemler, katılımcı verilerine erişim, eşleştirme, dışa aktarma ve yetki değişiklikleri denetim kaydına yazılır.
• Sağlık verileri gereksiz yere uygulama kayıtlarına kopyalanmaz. Uygulama erişim kayıtları URL sorgu parametrelerini (ör. arama terimleri) içermez; katılımcıların başarısız giriş denemeleri girilen kod kaydedilmeden kayda geçer. Hata izleme hizmeti etkinse kişisel veri göndermeyecek şekilde yapılandırılır.

Yedekleme ve süreklilik

• Ölçüm veritabanı her gün yedeklenir; yedekler AES-256 ile şifrelenir ve 35 gün saklanır (en yeni yedek zinciri her zaman korunur). Yedekler ayrıca Müşteri Ortamının barındırıldığı bölgede veya Müşteri'yle kararlaştırılan başka bir bölgede bulunan uzak, S3 uyumlu bir depoya kopyalanabilir.
• Uygulama veritabanının dökümü ve dosya deposunun arşivi her gece alınır, AES-256 ile şifrelenir ve 14 gün saklanır; en yeni 10 döküm ve en yeni arşiv, daha eski olsalar da her zaman korunur.
• Her güncellemeden önce şifreli bir veritabanı dökümü alınır; bu dökümler de aynı saklama kuralına tabidir.
• Veritabanı ayrıca yönetilen veritabanı hizmetinin otomatik yedekleriyle korunur.

İdari tedbirler

• Müşteri Verisi'ne erişim, işi gereği ihtiyaç duyan çalışanlarla sınırlıdır ve çalışanlar gizlilik yükümlülüğü altındadır.
• Güvenlik açıkları yayımlanmış güvenlik açığı bildirim politikası üzerinden alınır ve değerlendirilir.
• Alt Veri İşleyenler 9. bölüm uyarınca yazılı yükümlülüklere tabidir.

Ek-3: Alt veri işleyenlerBağlantıyı kopyala

Notlar

• ENA Cloud (organizasyon bulma ve bildirim ağ geçidi), ENA Innovation'ın kendi işlettiği hizmettir ve Alt Veri İşleyen değildir.
• Apple ve Google Alt Veri İşleyen değildir (3.3. madde).
• Güncel liste ayrıca Alt İşleyenler sayfasında yayımlanır. Alt Veri İşleyenlerin tam unvanları ve işleme yerleri, talep üzerine yazılı olarak bildirilir.