Bu politika LumaWell’i kullanırken verilerinizle ne yaptığımızı sade bir dille anlatır. Hukuki ayrıntılar ve KVKK kapsamındaki zorunlu bilgiler için KVKK Kullanıcı Aydınlatma Metni esas alınır. Bu metin ile KVKK Kullanıcı Aydınlatma Metni arasında farklılık bulunması hâlinde Aydınlatma Metni uygulanır; işbu politika tek başına 6698 sayılı Kanun’un 10. maddesindeki aydınlatma yükümlülüğünü karşılamaz.
LumaWell bir sağlık hizmeti sağlayıcısı değildir. Platformun sağlık ve iyi oluş odaklı içerikleri tıbbi teşhis veya tedavi amacı taşımaz. Acil veya ciddi bir sağlık durumunda 112 Acil Çağrı Merkezi’ne ya da en yakın sağlık kuruluşuna başvurunuz.
1. Hangi Bilgileri Kullanabiliriz?
Hesap bilgileri: ad, soyad, e-posta ve hizmet için gerçekten gerekli ise telefon. Üyelik 18 yaş ve üzerine açık olduğundan yaş/doğum tarihi beyanınızı da kaydederiz.
Wellbeing / öz-değerlendirme bilgileri: Sense Check, günlük, form veya benzeri alanlara sizin girdiğiniz bilgiler. İçeriğine göre bazı girdiler sağlıkla ilgili özel nitelikli kişisel veri olur. Bu veriler yalnızca açık rızanıza dayanarak işlenir. Açık rıza vermemeniz hâlinde yalnızca ilgili özellikler devre dışı kalır; temel üyelik hizmetlerinden yararlanmaya devam edebilirsiniz.
Kullanım ve teknik bilgiler: oturum, cihaz, işletim sistemi, IP, güvenlik logları ve izin verdiğiniz ölçüde analitik veriler. Çerez, piksel ve SDK’larla toplanan veriler için Bölüm 9’a bakınız.
Ödeme ve fatura bilgileri: satın alma, fatura ve ödeme işlem referansları. Kart bilgisini LumaWell sunucularında saklamayız; ödeme işlemleri PCI-DSS uyumlu ödeme kuruluşu PayTR altyapısı üzerinden yürütülür ve kart verisini yalnızca bu kuruluş işler.
Destek ve iletişim: bize gönderdiğiniz talep, şikâyet ve yazışmalar.
Pazarlama tercihleri: yalnızca ilgili izni verdiğiniz ölçüde ileti ve kampanya tercihleri. Ticari elektronik ileti onaylarınız İleti Yönetim Sistemi’ne (İYS) kaydedilir; onayınızı İYS üzerinden veya her iletideki ret bağlantısıyla ücretsiz olarak geri alabilirsiniz.
2. Neden Kullanıyoruz?
- Hesabınızı ve satın aldığınız hizmetleri yönetmek
- Seans/randevu ve içerik deneyimini sunmak
- İzin verdiğiniz ve hukuken uygun olan kapsamda kişiselleştirme yapmak
- Güvenliği sağlamak ve kötüye kullanımı önlemek
- Destek taleplerini çözmek
- Ödeme ve faturalama süreçlerini yürütmek
- Vergi, tüketici ve elektronik ticaret mevzuatından doğan yasal yükümlülüklerimizi yerine getirmek
- Açık rıza/izin gereken durumlarda ürün analitiği ve pazarlama yapmak
Her amaç için dayandığımız hukuki sebep (açık rıza, sözleşmenin kurulması/ifası, hukuki yükümlülük, meşru menfaat) KVKK Kullanıcı Aydınlatma Metni’nde amaç bazında ayrı ayrı gösterilir. Özel nitelikli kişisel veriler ve zorunlu olmayan çerezler bakımından tek hukuki sebep açık rızadır.
3. Kimler Görebilir?
Verilerinizi satmayız. Hizmetin çalışması için zorunlu olduğu ölçüde teknik sağlayıcılarımız, ödeme kuruluşumuz, seçtiğiniz koç/eğitmen ve hukuken yetkili kurumlar erişebilir. Gerçek sağlayıcı listesi KVKK Aydınlatma Metni ve ilgili politika tablolarında yayımlanır ve güncel tutulur. Sağlayıcılarımızla, verileri yalnızca talimatlarımız doğrultusunda işlemelerini ve en az bizimki kadar koruma sağlamalarını zorunlu kılan yazılı sözleşmeler yaparız. Sağlayıcılarımızın bir kısmı yurt dışında yerleşiktir; bu aktarımlar Bölüm 10’da açıklanır.
4. İşverenim Ne Görebilir?
Kurumsal üyeliğiniz varsa işvereniniz bireysel Sense Check cevaplarınızı/sonuçlarınızı, wellbeing skorunuzu, seans içeriğinizi veya bireysel kullanım alışkanlıklarınızı görmez. Kurumsal raporlama yalnızca anonim/toplulaştırılmış biçimde ve yeniden tanımlanma riskini azaltan kurallarla yapılır. Toplulaştırılmış raporlar yalnızca en az [10] kişilik gruplar için üretilir; bu eşiğin altında kalan ekip veya departmanlar için ayrı rapor üretilmez, daha büyük bir grup içinde birleştirilir. İşvereniniz talep etse dahi bireysel verileriniz paylaşılmaz. İşvereninizin erişebileceği tek bireysel bilgi, lisans ve faturalandırma yönetimi için gerekli olan üyeliğinizin aktif olup olmadığıdır.
5. AI / Kişiselleştirme
AI veya otomatik öneri özellikleri kullanıldığında; hangi bilgilerin hangi sağlayıcıya gönderildiği, sağlıkla ilgili veri kullanılıp kullanılmadığı, verinin model eğitimi için kullanılıp kullanılmadığı ve insan denetimi gibi önemli noktalar AI ve Kişiselleştirme Bilgilendirmesi’nde açıklanır. AI çıktıları tıbbi teşhis veya tedavi olarak sunulmaz.
Sağlıkla ilgili özel nitelikli verileriniz, bu amaçla ayrıca açık rızanızı vermediğiniz sürece AI özelliklerinde kullanılmaz. Verileriniz, üçüncü taraf yapay zekâ sağlayıcılarının genel amaçlı modellerini eğitmek için kullanılmaz ve bu yasak sağlayıcı sözleşmelerinde taahhüt altına alınır. Münhasıran otomatik sistemlerle yapılan bir analiz sonucunda aleyhinize bir sonuç doğarsa bu sonuca itiraz etme hakkınız vardır (KVKK m.11/1-g). AI özellikleri kriz veya acil durum tespiti ya da müdahalesi için tasarlanmamıştır.
6. Veriler Ne Kadar Tutulur?
Tek bir süre tüm verilere uygulanmaz. Hesap, sağlık/wellbeing, fatura, güvenlik, izin ve destek kayıtları için ayrı saklama süreleri belirlenir. Süre sonunda veri silinir, yok edilir veya anonim hale getirilir; yasal saklama zorunluluğu bulunan kayıtlar ilgili yükümlülük süresince tutulabilir. Kategori bazındaki süreler Kişisel Veri Saklama ve İmha Politikamızda tablo hâlinde belirlenir ve periyodik imha işlemleri altı aylık dönemlerle yürütülür. Hesabınızı kapatmanız hâlinde, yasal saklama zorunluluğu bulunmayan verileriniz en geç [90] gün içinde silinir veya anonim hâle getirilir.
7. Tercihleriniz ve Haklarınız
KVKK’nın 11. maddesi uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, düzeltme/silme işlemlerinin aktarım yapılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. Bu haklarınızı aşağıdaki yollarla kullanabilirsiniz:
- Hesabınızı kapatabilir ve silme talebi gönderebilirsiniz.
- Özel nitelikli veri için verdiğiniz açık rızayı geri çekebilirsiniz; geri çekme öncesi hukuka uygun işlemenin geçerliliğini etkilemez.
- Pazarlama izninizi geri alabilirsiniz.
- Zorunlu olmayan çerez/SDK tercihlerinizi değiştirebilirsiniz.
- KVKK kapsamındaki haklarınızı KVKK Başvuru Formu üzerinden kullanabilirsiniz.
Başvurularınız, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’ca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi veya süresinde yanıtlanmaması hâlinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.
8. Güvenlik ve İhlaller
Erişim yetkileri, aktarım güvenliği, kayıt/izleme, güvenli geliştirme ve gerekli diğer teknik/idari tedbirler uygulanır. Hiçbir sistem mutlak güvenlik garantisi veremez; olay halinde yürürlükteki yükümlülüklere göre müdahale ve bildirim süreçleri işletilir. Uyguladığımız tedbirler arasında aktarımda ve saklamada şifreleme, rol bazlı erişim yetkilendirmesi, düzenli sızma testi ve zafiyet taraması, yedekleme ve personel gizlilik taahhütleri yer alır. Bir veri ihlali tespit ettiğimizde, ihlali öğrendiğimiz tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na, etkilenen kişilere ise makul olan en kısa sürede bildirim yaparız.
9. Çerezler ve Benzeri Teknolojiler
Zorunlu (hizmetin çalışması için gerekli) çerezler dışındaki tüm çerez, piksel ve SDK’lar yalnızca açık rızanızla çalıştırılır. Çerez yönetim panelinde reddetmek, kabul etmek kadar kolaydır; reddetme seçeneği aynı ekranda ve aynı belirginlikte sunulur. Rızanızı dilediğiniz zaman aynı panelden geri alabilirsiniz. Hangi çerezin hangi amaçla, hangi sağlayıcıyla ve ne süreyle kullanıldığı Çerez Politikası’nda tablo hâlinde açıklanır. (Kurul’un 2023/1645 sayılı kararı ve Çerez Uygulamaları Hakkında Rehber ile uyumludur.)
10. Verilerin Yurt Dışına Aktarılması
Bulut altyapısı, analitik, iletişim ve AI hizmetleri gibi bazı sağlayıcılarımız yurt dışında yerleşiktir. Yurt dışına aktarım yalnızca KVKK’nın 9. maddesindeki koşullardan biri sağlandığında yapılır: Kurul’un yeterlilik kararı bulunması; yeterlilik kararı yoksa uygun güvencelerden birinin (standart sözleşme, bağlayıcı şirket kuralları, taahhütname, uluslararası sözleşme) sağlanması; bu güvenceler de yoksa yalnızca arızi olmak kaydıyla Kanun’da sayılan istisnalardan birinin bulunması. Standart sözleşme kullanıldığında, imzalanmasından itibaren 5 iş günü içinde Kurul’a bildirim yapılır. Sağlıkla ilgili özel nitelikli verilerin yurt dışına aktarımında ilave güvenceler uygulanır. Aktarım yapılan ülkeler, sağlayıcılar ve kullanılan mekanizma KVKK Aydınlatma Metni’nde listelenir.
11. Çocukların Verileri
LumaWell 18 yaş ve üzeri kullanıcılara yöneliktir; 18 yaşından küçüklerden bilerek veri toplamayız. Bir hesabın 18 yaşından küçük bir kişiye ait olduğunu tespit edersek hesabı kapatır ve yasal saklama zorunluluğu bulunmayan verileri sileriz. Bu yönde bir şüpheniz varsa Bölüm 13’teki kanaldan bize bildirebilirsiniz.
12. Bu Politikadaki Değişiklikler
Politikayı güncellediğimizde yeni sürümü yürürlük tarihiyle birlikte yayımlar ve önceki sürümleri erişilebilir tutarız. Verilerinizin işlenme amacını, kapsamını veya haklarınızı esaslı biçimde etkileyen değişiklikleri, yürürlüğe girmeden en az 30 gün önce e-posta veya uygulama içi bildirimle duyururuz. Açık rıza gerektiren yeni bir işleme faaliyeti söz konusu olduğunda rızanız ayrıca ve yeniden alınır.
13. İletişim
Gizlilik/KVKK iletişim kanalı: info@getlumawell.com
Şirket adresi: Caferağa Mahallesi Şifa Sokak No:19 Moda/Kadıköy İstanbul
Veri sorumlusu unvanı: Healingloop Wellbeing Akademi
KVKK başvurularınızı, kimliğinizi tevsik edici bilgilerle birlikte yazılı olarak veya Tebliğ’de öngörülen diğer yöntemlerle iletebilirsiniz.