Gizlilik Politikası

Kapsam

Bu politika, psisula pazarlama sitesi (psisula.com) ve psisula uygulaması üzerinden işlenen kişisel verileri açıklar. KVKK kapsamındaki resmî aydınlatma için KVKK Aydınlatma Metni sayfasına bakın.

Topladığımız veriler

Siz verdiğinizde: tanışma randevusu formundaki ad soyad, e-posta, telefon, çalışma şekliniz, ekip büyüklüğünüz ve varsa mesajınız. Hesap açtığınızda adınız, e-postanız ve rolünüz. Bize yazdığınızda e-postanızın içeriği.

Kullanım sırasında oluşan: giriş ve oturum kayıtları, istek kimliği ile klinik ve terapist kimliğinden ibaret teknik kayıtlar, hata kayıtları. Pazarlama sitesinde: çerezsiz ziyaret istatistikleri (görüntülenen sayfalar, gelinen site, kampanya etiketleri, tıklamalar); ayrıntılar Çerez Politikası sayfasında.

Toplamadıklarımız: tanışma randevusu formu vergi numarası, bütçe, mevcut yazılım, parola veya kart bilgisi istemez. Pazarlama sitesinde reklam veya profilleme amaçlı hiçbir izleme yoktur.

Danışan verisi

Bir kliniğin sisteme girdiği danışan verisi bakımından veri sorumlusu kliniktir; biz veri işleyeniz. Bu veriye yalnızca şu hâllerde erişiriz:

• müşterinin açık talebi üzerine, bildirdiği bir sorunu çözmek için;
• hizmetin çalışır kalması için zorunlu olan teknik bakım sırasında.

Her iki durumda da erişim kayıt altındadır. Danışan verisini ürün geliştirme, analiz veya yapay zekâ modeli eğitimi için kullanmayız.

Çerezler

Pazarlama sitesi çerez kullanmaz ve tarayıcınıza hiçbir şey kaydetmez; ziyaretleri çerezsiz analitikle (PostHog, AB) sayar. Uygulama yalnızca oturumunuzu açık tutan zorunlu çerezleri kullanır. Ayrıntı için Çerez Politikası.

Barındırma ve alt işleyenler

Sunucular, veritabanı ve dosya depolaması Avrupa Birliği içinde (Alkmaar, Hollanda) bulunur. Hizmetin çalışması için kullandığımız sağlayıcılar, bunların aldığı veri ve bulundukları ülkeler KVKK Aydınlatma Metni sayfasında tablo hâlinde listelenmiştir: barındırma sağlayıcımız, OpenRouter (ve onun üzerinden çağırdığımız iki modeli sunan OpenAI ile Z.AI), Twilio, Resend, Sentry, PostHog (yalnızca pazarlama sitesi ziyaret istatistikleri), Zoom ve Google Meet.

Alt işleyen listemizde bir değişiklik olduğunda hesap sahiplerine Veri İşleme Sözleşmesi uyarınca önceden bildirim yaparız.

Yapay zekâ ve ses kaydı

• Seans kaydından not taslağı çıkarılması, kayıt rızasının sistemde işaretlenmiş olmasını gerektirir; işaretlenmemişse istek hiçbir sağlayıcıya gönderilmez.
• Ses kaydı saklanmaz. Metne çevrildikten sonra ses verisi tutulmaz; transkript metni şifreli olarak saklanır.
• Yapay zekânın ürettiği hiçbir içerik otomatik olarak yayımlanmaz, bir kayda iliştirilmez veya danışana gönderilmez. Her taslak terapist onayı bekler.
• Hangi sağlayıcılar. Yapay zekâ istekleri tek bir geçitten, OpenRouter’dan geçer; ücretli, kullandıkça öde bir hesap kullanılır. OpenRouter istekleri iki modele yönlendirir: konuşmadan metne için openai/gpt-transcribe (OpenAI), taslak, özet ve ölçek yorumu için z-ai/glm-5.3-flash (Z.AI). Başka bir yapay zekâ sağlayıcısı kullanmıyor, kendi sunucumuzda model çalıştırmıyoruz.
• Verinizle eğitim yapılmaz. Her istek, OpenRouter’ın data_collection: "deny" yönlendirme bayrağını taşır; böylece istek yalnızca içeriği saklamayan ve üzerinde eğitim yapmayan sağlayıcılara gidebilir. Gönderdiğimiz hiçbir veriyle model eğitilmez, ince ayar yapılmaz veya değerlendirme koşulmaz.
• Onlara ne ulaşır. Yalnızca seans sesi, transkript metni ve terapistin üzerinde çalışılmasını istediği kayıt metni. Google veya Zoom’dan alınan veri hiçbir yapay zekâ sağlayıcısına ulaşmaz: entegrasyonlar yalnızca yazma yönlüdür, bu verilerden bir yapay zekâ isteğine giden kod yolu yoktur ve hiçbir yapay zekâ özelliği telesağlık alanlarını okumaz.

Google kullanıcı verisi

Google entegrasyonu isteğe bağlıdır ve yalnızca yazma yönlüdür. Terapist kendi Google hesabını bağladığında tek bir izin isteriz — https://www.googleapis.com/auth/calendar.events — ve bunu tek bir çağrı için kullanırız: bir randevu uzaktan görüşme olarak işaretlendiğinde, Meet bağlantısı içeren bir takvim etkinliği oluşturmak.

Google’dan ne alırız: OAuth erişim ve yenileme jetonları ile yeni oluşturduğumuz etkinliğin Meet katılım bağlantısı. Başka hiçbir şey. Takvimleri, etkinlikleri, kişileri, e-postayı, dosyaları, Photos içeriğini veya profil verisini okumaz, listelemez, içeri aktarmaz, dizinlemez ve saklamayız; başka hiçbir Google kullanıcısına ait veri almayız.

Kiminle paylaşırız: hiç kimseyle. Google kullanıcı verisi satılmaz, üçüncü taraflara aktarılmaz, reklam veya profilleme için kullanılmaz ve hiçbir yapay zekâ ya da makine öğrenmesi hizmetine gönderilmez — ne eğitim, ne ince ayar, ne değerlendirme, ne de çıkarım için. Yapay zekâ özelliklerimiz yalnızca psisula’ya girilen seans sesi ve kayıt metni üzerinde çalışır; Google verisine erişecek bir yolları yoktur.

Nasıl korunur: jetonlar ve katılım bağlantısı, bir kök anahtar altında AES-256-GCM alan bazlı şifreleme ile saklanır ve TLS üzerinden taşınır. Jetonları yalnızca Google’ı çağıran bileşen okuyabilir; hiçbir yerde loglanmaz, arayüzde gösterilmez ve dışa aktarılmaz. Erişim, izni veren terapistle sınırlıdır.

Ne kadar saklanır: terapist bağlantıyı kaldırana kadar. Ayarlar › Uzaktan Görüşme ekranından bağlantıyı kaldırmak jetonları ve bağlantı kaydını anında siler; Google Hesabı üzerinden erişimi iptal etmek de erişimimizi Google tarafında sonlandırır. Geçmiş randevulara eklenmiş katılım bağlantıları klinik kaydın parçası olarak kalır ve randevu silindiğinde ya da talep üzerine silinir.

Sınırlı Kullanım (Limited Use). psisula’nın Google API’lerinden aldığı bilgiyi kullanımı ve başka bir uygulamaya aktarımı, Sınırlı Kullanım gereklilikleri dâhil olmak üzere Google API Services User Data Policy ile uyumludur. Workspace API’lerinden alınan ham veya türetilmiş kullanıcı verisinin kullanımı Google Kullanıcı Verisi Politikası’na uygundur; bu veri, genelleştirilmiş veya temel bir makine öğrenmesi ya da yapay zekâ modelini oluşturmak, eğitmek veya iyileştirmek için kullanılmaz ve bunu yapacak hiçbir hizmete aktarılmaz.

Veriyi nasıl koruyoruz

Özel nitelikli veri — kanun anlamında sağlık verisi: seans notları, tedavi planları, tanılar, ölçek cevapları ve puanları, ev ödevleri ve seans transkriptleri — genel önlemlerin yanında kendine özgü önlemlerle korunur: aktarımda TLS 1.2+; saklamada, kök anahtar altında AES-256-GCM alan bazlı şifreleme, böylece bu alanlar veritabanında ve her yedekte şifreli metin olarak durur; anahtarlar veritabanının dışında tutulur ve kod deposunda bulunmaz; her istekte katı bir kiracı denetimi yapılır, yani bir kayıt yalnızca sahibi olan kliniğin oturumunda okunabilir. Telesağlık OAuth jetonları ve görüşme bağlantıları da aynı şekilde şifrelenir.

Sistemin geri kalanında: telefon numaraları veritabanında aranabilir düz metin olarak durmaz; erişim role göre sınırlandırılır; parolalar bcrypt özeti olarak, davet, parola sıfırlama ve portal giriş jetonları yalnızca SHA-256 özeti olarak saklanır; üretim verisine yönetsel erişim yalnızca Danışan verisi bölümünde sayılan iki durumda olur ve loglanır. Ayrıntılı liste Güvenlik sayfasındadır.

Veri uçtan uca şifreli değildir: arama, raporlama ve yapay zekâ özellikleri sunucunun veriyi okuyabilmesini gerektirir. Bunu bir eksiklik olarak yazıyoruz.

Veri ihlali

Kişisel veri ihlali tespit ettiğimizde, etkilenen hesap sahiplerini gecikmeksizin ve en geç 72 saat içinde bilgilendiririz. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, olası sonuçlarını ve aldığımız önlemleri içerir. Veri sorumlusu sıfatıyla işlediğimiz veriler bakımından Kişisel Verileri Koruma Kurulu’na bildirimi biz yaparız; klinik verisi söz konusu olduğunda bildirim yükümlülüğü kliniğe aittir ve gereken bilgiyi kendisine sağlarız.

Çocukların verisi

Ürün, hesabı olan yetişkin sağlık profesyonelleri tarafından kullanılır. Çocuk ve ergen danışanlara ait veriler klinik tarafından, veli veya vasi rızası kapsamında girilir; bu rızanın alınması kliniğin sorumluluğundadır.

Değişiklikler

Bu politikayı güncellediğimizde sayfanın üstündeki tarihi değiştiririz. Esaslı bir değişiklikte hesap sahiplerine e-posta ile bildirim yaparız.

İletişim

iletisim@psisula.com