1. Veri Sorumlusunun Kimliği
6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu Healingloop Wellbeing Akademi ticaret unvanlı şirket ("Lumawell" veya "Şirket") olup adresi Caferağa Mahallesi, Şifa Sokak No:19, Moda/İstanbul, MERSİS/VKN bilgisi 4820499568 şeklindedir. İletişim: info@getlumawell.com
Bu metin Lumawell mobil uygulaması, internet sitesi ve bunlara bağlı wellbeing eğitimleri, kişiselleştirme özellikleri, koç/eğitmen seansları, destek ve ödeme süreçleri kapsamında kişisel verilerin nasıl işlendiğini açıklar.
2. İşlenen Kişisel Veri Kategorileri
| Kategori | Örnek veriler | Not |
|---|---|---|
| Kimlik | Ad, soyad, doğum tarihi | Yalnızca gerekli alanlar |
| İletişim | E-posta, telefon | Hesap ve hizmet iletişimi |
| Hesap / kullanıcı işlem | Üyelik, paket, randevu, tercih ve ayarlar | Hizmetin sunumu |
| İşlem güvenliği / cihaz | IP, log, cihaz/OS, oturum, güvenlik kayıtları | Güvenlik ve hata inceleme |
| Kullanım / ürün analitiği | Özellik ve içerik etkileşimleri, oturum ölçümleri | Zorunlu olmayan analytics için uygun consent mekanizması uygulanır |
| Wellbeing ve öz-değerlendirme | Kullanıcının Sense Check, günlük, form veya benzeri alanlara girdiği beyanlar | İçeriğine göre kişisel veri veya sağlıkla ilgili özel nitelikli kişisel veri niteliği kazanabilir |
| Özel nitelikli kişisel veri | Sağlıkla ilgili olduğu değerlendirilen kullanıcı beyanları ve bunlardan türetilen sağlıkla ilgili sonuçlar | KVKK m.6’daki işleme şartlarından uygun olanına dayanılır; gerekiyorsa ayrı açık rıza alınır |
| Finans / müşteri işlem | Ödeme işlem referansı, paket bedeli, fatura bilgileri (PayTR) | Kart verisi Lumawell tarafından tutulmaz; ödeme kuruluşu ayrıca belirtilir |
| Talep / şikâyet | Destek yazışmaları, başvuru kayıtları | Talebin çözümü ve ispat |
| Pazarlama | İleti izin kaydı, kampanya etkileşimi, reklam/attribution kimlikleri | İzin/consent gerektiren süreçler ayrı yönetilir |
| B2B uygunluk | Kurumsal hak sahipliği, aktivasyon bilgisi | İşverenle paylaşım sınırları Madde 7’de |
| Başvuru formu / anket | Beta başvuru formundaki ilgi alanı/anket sorusuna verilen cevap | İçeriğine göre özel nitelikli kişisel veri sayılabilir |
3. İşleme Amaçları
- Hesap oluşturma, kimliklendirme ve üyelik yönetimi
- Hizmet, içerik, randevu ve seansların sunulması
- Kullanıcı talep ve destek süreçlerinin yürütülmesi
- Ödeme, faturalama, muhasebe ve vergi süreçleri
- Hizmet güvenliği, kötüye kullanımın önlenmesi, hata ve olay incelemesi
- Kullanıcının seçtiği/izin verdiği kapsamda kişiselleştirilmiş wellbeing önerileri ve program akışı
- Ürün performansı ve kullanıcı deneyimi analizi; gerekli olduğu yerde açık rıza ile
- Ticari elektronik ileti ve pazarlama faaliyetleri; ilgili onaylar doğrultusunda
- Hukuki yükümlülüklerin yerine getirilmesi ve hakların tesisi, kullanılması veya korunması
- Anonim veya kişisel veri niteliği kaldırılmış istatistik üretimi
4. Hukuki Sebepler
Her veri akışı, fiili işleme süreci doğrulandıktan sonra aşağıdaki hukuki sebeplerden uygun olanıyla eşleştirilir. Aynı amaç için gereksiz yere açık rıza talep edilmez.
| Süreç / veri | Öngörülen hukuki sebep |
|---|---|
| Hesap açma ve temel hizmet | KVKK m.5 kapsamında sözleşmenin kurulması/ifası için gerekli olma |
| Fatura / muhasebe | Hukuki yükümlülüğün yerine getirilmesi |
| Güvenlik ve log | Hukuki yükümlülük ve/veya meşru menfaat, ölçülülük testiyle |
| Sağlıkla ilgili özel nitelikli veri | KVKK m.6’da sayılan uygun işleme şartı; gerekli ise ayrı açık rıza |
| Analitik / pazarlama SDK | Açık rıza gerektiren süreçlerde ayrı opt-in |
| Ticari elektronik ileti | 6563 ve ilgili Yönetmelik çerçevesinde onay / uygulanabilir istisna |
| Sözleşme ve uyuşmazlık kayıtları | Bir hakkın tesisi, kullanılması veya korunması |
5. Kişisel Verilerin Aktarılması
Kişisel veriler yalnızca amaçla bağlantılı, sınırlı ve ölçülü biçimde; hizmeti sağlayan tedarikçiler, ödeme kuruluşları, teknik hizmet sağlayıcılar, seçilen koç/eğitmenler ve yetkili kamu kurumlarıyla gerekli olduğu ölçüde paylaşılabilir.
Gerçek alıcı, veri kategorisi, aktarım amacı, aktarılan veri kapsamı ve varsa aktarım ülkesi/dayanağına ilişkin güncel bilgiler, hizmeti sunmak için gerekli olduğu ölçüde kullanılan tedarikçi ve hizmet sağlayıcı kategorileri (ödeme kuruluşları, barındırma/bulut ve teknik altyapı sağlayıcıları, analitik hizmet sağlayıcıları, iletişim/bildirim altyapı sağlayıcıları, seçilen koç/eğitmenler, kişiselleştirme veya öneri amaçlı sistemleri işleten tedarikçiler ve video/seans altyapı sağlayıcıları dahil) itibarıyla Şirket’in veri işleyenler/aktarım envanterinde tutulur ve bu envanter hizmet kapsamı değiştikçe güncellenir. Şirket, bu tedarikçilerle KVKK ve ilgili mevzuata uygun veri işleme, gizlilik ve güvenlik yükümlülüklerini içeren sözleşmeler akdeder ve paylaşımı yalnızca amaçla bağlantılı, sınırlı ve ölçülü veri setiyle sınırlı tutar. İlgili kişiler, kendilerine ait verilerin aktarıldığı gerçek alıcıları ve aktarımın kapsamını, işbu metnin 10. maddesinde yer alan başvuru usulüyle Şirket’ten talep edebilir.
6. Yurt Dışına Aktarım
Yurt dışına aktarım yapılması halinde KVKK m.9 kapsamındaki güncel aktarım rejimi uygulanır. Somut veri akışına göre yeterlilik kararı, uygun güvence yöntemleri (örneğin uygun taraf tipine ait standart sözleşme) veya Kanunda öngörülen arızi haller değerlendirilir. Standart sözleşme kullanılması halinde yürürlükteki bildirim usul ve sürelerine uyulur. Yurt dışı aktarım, genel bir çerez kabulü veya hizmete devam edilmesiyle otomatik olarak kabul edilmiş sayılmaz.
7. B2B / Kurumsal Satın Alımlar
- İşveren/kurumsal müşteriyle yalnızca hak sahipliğini doğrulamak, aktivasyon/iptal ve kötüye kullanım incelemesi için gerekli sınırlı bilgiler paylaşılabilir.
- Bireysel Sense Check cevapları/sonuçları, wellbeing skorları, seans içeriği ve bireysel kullanım alışkanlıkları işverenle paylaşılmaz.
- Kullanım raporları ancak kimliğin doğrudan veya dolaylı belirlenmesine makul biçimde izin vermeyecek şekilde anonim/toplulaştırılmış olarak hazırlanır.
- Minimum raporlama grup eşiği şirket tarafından belirlenecek ve küçük grupların yeniden tanımlanma riskini azaltacak şekilde uygulanacaktır.
8. Saklama ve İmha
Veriler, işleme amacı ve uygulanabilir mevzuatın gerektirdiği süre boyunca saklanır; süre sonunda silinir, yok edilir veya anonim hale getirilir. Kategori bazlı süreler Veri Saklama ve İmha Politikası/retention matrix ile belirlenir. "Tüm hesap verileri 3 yıl" gibi tek tip süre uygulanmaz.
9. Çerezler ve Benzeri Teknolojiler
Web ve uygulamada çerezler, SDK’lar, local storage, mobil reklam/attribution kimlikleri veya benzeri teknolojiler kullanılabilir. Zorunlu olmayan analitik, işlevsel veya pazarlama teknolojileri ilgili hukuki sebep ve gerektiğinde aktif opt-in açık rıza alınmadan çalıştırılmaz. Ayrıntılar Çerez ve Takip Teknolojileri Politikası’nda yer alır.
10. İlgili Kişi Hakları ve Başvuru
- Kişisel verilerinin işlenip işlenmediğini öğrenme ve bilgi talep etme
- İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
- Yurt içi/yurt dışı aktarım alıcılarını bilme
- Eksik/yanlış verilerin düzeltilmesini isteme
- KVKK m.7 şartları çerçevesinde silme/yok etme talep etme
- Düzeltme veya silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme
- Münhasıran otomatik sistem analiziyle aleyhe sonuç çıkmasına itiraz etme
- Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme
Başvurular info@getlumawell.com kanalı üzerinden veya yürürlükteki başvuru usullerine uygun diğer yöntemlerle iletilebilir. Başvurular mevzuatta öngörülen süre içinde sonuçlandırılır.
11. Çocuklar
Lumawell’in hedef kullanıcı yaşı 18+ olarak tasarlanmıştır. 18 yaşından küçüklerden bilerek veri toplamayız. Bir hesabın 18 yaşından küçük bir kişiye ait olduğunu tespit edersek hesabı kapatır ve yasal saklama zorunluluğu bulunmayan verileri sileriz.