Gizlilik Politikası

2016/679 sayılı AB Tüzüğü'nün (GDPR) 13–14. maddeleri uyarınca aydınlatma metni. Son revizyon: 16 Ekim 2026.

1. Veri Sorumlusu

Veri Sorumlusu, İtalya'da kayıtlı merkezi bulunan Ri-Hub S.r.l. Società tra Professionisti'dir. GDPR kapsamındaki haklarınızı kullanmak ve her türlü talep için privacy@ri-hub.it adresine yazınız.

Veri koruma görevlisi (DPO). Bir veri koruma görevlisi atanması (GDPR md. 37) avukatımızla birlikte değerlendirilmektedir. Bu arada verilerinizle ilgili her türlü soru için privacy@ri-hub.it adresine yazın: size doğrudan veri sorumlusu yanıt verir.

Legal identification: Ri-Hub S.r.l. Società tra Professionisti — Registered office: Corso Assarotti 19/1, 16043 Chiavari (GE), Italy — VAT/Tax ID (P.IVA/C.F.): 02992670998 — REA GE-525421 — Share capital: €10,000 fully paid up — PEC: ri-hub@pec.it

2. Sağlık verilerinin işlenmesi (GDPR 9. madde)

Ri-Hub bir online fizyoterapi platformudur: hizmetin kullanımı sırasında sağlığa ilişkin verileri (GDPR 9. maddesi uyarınca özel kategori) topluyor ve işliyoruz; özellikle: anamnez sorularına verilen yanıtlar, ağrı seviyeleri, semptom açıklamaları, terapötik hedefler, tedavi planları. Görüntülü muayeneler gerçek zamanlı olarak verilmekte olup hiçbir şekilde ses veya görüntü olarak kaydedilmemekte ve saklanmamaktadır.

Hukuki dayanaklar. Sağlığınıza ilişkin verileri sizi tedavi etmek için (değerlendirme, seanslar, tedavi planı, fizyoterapistle mesajlar) işleriz; çünkü bu, bizden talep ettiğiniz sağlık hizmeti için gereklidir ve meslek sırrı yükümlülüğü olan uzmanların sorumluluğunda yürütülür (GDPR md. 9(2)(h) ve 9(3)). Bu işleme için, İtalyan veri koruma otoritesinin belirttiği üzere (7 Mart 2019 tarihli 55 sayılı karar), sizden veri işleme onayı istemeyiz: seanslardan önce imzaladığınız bilgilendirilmiş onam, verilerin kullanımına değil, tedavi olma kararınıza ilişkindir. Verilerin sizi tedavi etmeye hizmet etmeyen her kullanımı, örneğin § 5.2'de açıklanan reklam kampanyalarının ölçümü, yalnızca açık ve ayrı onayınızla (GDPR md. 9(2)(a)) gerçekleşir; bu onay isteğe bağlıdır ve tedaviniz üzerinde hiçbir sonuç doğurmadan istediğiniz zaman geri çekilebilir. Tedavi için gerekli veriler olmadan hizmet sunulamaz.

Teletıp. Çevrim içi seanslar, İtalya'nın teletıp hizmetlerinin sunumuna ilişkin Ulusal Yönergeleri (17 Aralık 2020 tarihli Devlet-Bölgeler Anlaşması) ve Sağlık Bakanı'nın 21 Eylül 2022 tarihli kararnamesi (teletıp hizmetlerine ilişkin yönergeler) uyarınca yürütülür. Sağlık verilerinin işlenmesinde İtalyan veri koruma otoritesinin 7 Mart 2019 tarihli 55 sayılı kararına uyarız.

Yayma ve ikincil kullanım yasağı. Sağlık verileri yalnızca her bir hastanın tedavisi, teşhisi ve rehabilitasyon sürecinin yönetimi amacıyla işlenir. Ri-Hub, § 6'da açıkça belirtilen yetkili kişiler (atanmış fizyoterapist ve veri işleyen olarak atanmış teknoloji sağlayıcıları) dışında sağlık verilerini üçüncü kişilere YAYMAZ, DEVRETMEZ, SATMAZ ve BİLDİRMEZ. Klinik içerik (anamnez, ağrı, belirtiler, tedavi planları, seanslar, mesajlar) asla reklam, profil oluşturma veya pazarlama amacıyla kullanılmaz. Reklamlarımızı ölçmek için yalnızca, ve yalnızca açık ve ayrı onayınızla, randevu almış ya da ziyareti gerçekleştirmiş olmanız ile ilk satın alımınızı kullanırız; bunlar § 5.2'de açıklandığı şekilde Google Ads'e iletilir.

Veriler nerede. Sakladığımız sağlık verileri (anketler, dosya, tedavi planları, mesajlar), Avrupa Ekonomik Alanı'ndaki (AEA) bulut altyapısında, hem aktarım sırasında (TLS 1.3) hem de depolamada şifreli olarak bulunur. Görüntülü seansların sesi ve görüntüsü ise gerçek zamanlı olarak, merkezi Amerika Birleşik Devletleri'nde bulunan görüntülü görüşme sağlayıcılarının sunucularından geçer (§ 6): kaydedilmez ve saklanmaz, ancak bu verilerin AB dışına aktarılması göz ardı edilemez. AB dışındaki diğer sağlayıcılar (örneğin ödemeler için Stripe), Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Maddeleri temelinde (GDPR md. 46) yalnızca idari ve muhasebe verilerini işler, asla sağlık verilerini işlemez.

Mesleki sır. Sağlık verilerine erişen fizyoterapistler Mesleki Sicil'e kayıtlıdır ve İtalya Ceza Kanunu'nun 622. maddesi, İtalya Ceza Muhakemesi Kanunu'nun 200. maddesi ve mesleki Etik Kuralları uyarınca mesleki sır yükümlülüğüne tabidir. Sağlık verilerine erişim yalnızca atanmış hasta ile sınırlıdır (veri minimizasyonu ilkesi, GDPR md. 5.1.c) ve değiştirilemez denetim kayıtlarında izlenir.

Takma adlandırma ve minimizasyon. Teknik olarak mümkün olduğunda, sağlık verileri uygulama düzeyinde takma adlandırılır veya şifrelenir. İç kullanım veya anlaşmalı klinikler/şirketler için toplu istatistikler, bireysel hastayı yeniden tanımlama olasılığı bulunmadan yalnızca anonim ve toplu biçimde sağlanır.

3. İşlenen kişisel veri kategorileri

Kimlik verileri: ad, soyad, vergi kimlik numarası, doğum tarihi, adres, iletişim bilgileri.
Kimlik belgeleri (görüntü).
Kimlik doğrulama bilgileri: e-posta, hash biçiminde parola, OAuth ile erişildiğinde Google jetonu.
Sağlık verileri: anamnez, ağrı, semptomlar, terapötik planlar, değerlendirme anketi sonuçları. Görüntülü seanslar kaydedilmez.
Ödeme verileri: Stripe sağlayıcısı tarafından yönetilir (kart verilerini saklamayız).
Teknik veriler: IP adresi, erişim kayıtları, cihaz tanımlayıcıları (Capacitor yüklü ise).
Kullanım verileri (görüntülenen sayfalar, basılan düğmeler), tarayıcının rastgele bir tanımlayıcısına bağlı olarak: yalnızca analitik çerezleri kabul ettiyseniz.
Reklam kaynağı verileri: ri_utm çerezindeki kaynak, kampanya ve tıklama tanımlayıcıları (ör. gclid, fbclid) (§ 5.4).
Kampanya ölçümü için Google reklamlarındaki tıklama kodu: gclid, gbraid veya wbraid; yalnızca Google'ın reklamlarından birinden geldiyseniz ve § 5.2'de açıklanan açık rızayı verdiyseniz Google Ads'e gönderilir. Asla e-posta, telefon, ad veya sağlık verisi gönderilmez.

4. İşleme amaçları

Çevrim içi fizyoterapi hizmetinin sunulması (dayanak: sözleşme; sağlık verileri için meslek sırrı kapsamında tedavi amacı, GDPR md. 9(2)(h) ve 9(3), § 2).
İdari ve muhasebe yönetimi (dayanak: yasal yükümlülük).
Uygulama güvenliği, sahtekarlık önleme ve tanılama (dayanak: meşru menfaat).
Hizmet bildirimleri ve randevulara ilişkin uyarılar (dayanak: sözleşme).
Pazarlama ve haber bülteni yalnızca kayıt aşamasında ayrı rıza vermeniz halinde (dayanak: her an geri alınabilir rıza).
Web sitesi ve uygulama kullanım istatistikleri (analitik), yalnızca analitik çerezleri kabul ettiyseniz (dayanak: “Çerezleri yönet” bağlantısından istediğiniz zaman geri çekilebilen onay).
Web sitesinin sağlıktan söz etmeyen sayfalarına yapılan ziyaretlerin Meta ve TikTok pikselleriyle ölçümü, yalnızca çerez bannerında "Pazarlama" kategorisini kabul ettiyseniz (dayanak: “Çerezleri yönet” bağlantısından geri çekilebilen rıza — § 5.1). Uygulamadan piksellere hiçbir olay göndermiyoruz.
Ücretsiz muayenenin randevusu ve gerçekleşmesi ile ilk satın alma işleminin sunucumuzdan Google Ads'e ölçümü, yalnızca bir Google reklamından geldiyseniz ve uygulamada açık, isteğe bağlı rıza verdiyseniz (dayanak: rıza, 9. madde uyarınca açık rıza dahil — § 5.2).
Ziyaretçilerin nereden geldiğini bilmek için site ve uygulama ziyaretlerine ilişkin toplu, anonim iç istatistikler (rıza gerekmez, kişisel veri işlenmesi değildir — § 5.3).

5. Reklamcılık ve reklam kampanyalarının ölçümü

Bu bölümde, Çerez Politikamızdan ayrı olarak, reklamlarımızın işe yarayıp yaramadığını anlamak için hangi araçları kullandığımızı açıklıyoruz: hangi rızayla, ne gönderdiğimizi ve kime gönderdiğimizi. Tek tek çerezlerin listesi (ad, süre) için Çerez Politikamıza bakınız.

5.1 Web sitesinde Meta ve TikTok pikselleri (yalnızca bannerdaki "Pazarlama" rızasıyla ve yalnızca sağlıktan söz etmeyen sayfalarda)

ri-hub.it web sitesinde Meta (Meta Platforms Ireland Ltd.) ve TikTok (TikTok Technology Limited) piksellerini yalnızca çerez bannerında "Pazarlama" kategorisini kabul ettiyseniz ve yalnızca sağlıktan söz etmeyen sayfalarda yüklüyoruz: ana sayfa, hakkımızda, nasıl çalışır, formatlar ve fiyatlar, bizimle çalışın, iletişim ve yasal sayfalar. Bu sayfalardan piksele yalnızca sayfa ziyaretini gönderiyoruz, başka hiçbir olayı değil; sağlıktan söz eden sayfalardan (makaleler, rahatsızlıklar, egzersizler, hizmetler, içerik üreticilerinin sayfaları ve diğerlerinin tümü) Meta'ya veya TikTok'a hiçbir şey gitmez. "Yalnızca gerekli" seçeneğini seçerseniz ya da kişiselleştirme sırasında Pazarlama'yı hariç tutarsanız pikseller yüklenmez. Uygulamadan piksellere hiçbir olay göndermiyoruz; Meta, TikTok veya Google piksellerine sayfa ziyaretini bile göndermiyoruz ve web sitesinde Google Ads pikselini kullanmıyoruz. Pikseller yalnızca reklamlarımızın etkinliğini ölçmek için kullanılır: bunları size üçüncü tarafların kişiselleştirilmiş reklamlarını göstermek ya da ölçüm dışındaki amaçlarla profilinizi çıkarmak için kullanmayız.

Hukuki dayanak: onayınız (GDPR md. 6(1)(a)); her sayfanın altındaki “Çerezleri yönet” bağlantısından istediğiniz zaman serbestçe geri çekilebilir ve geri çekmeden önce yapılan ölçümün hukuka uygunluğunu etkilemez. AB dışına aktarımlar: Meta bu verileri EU-US Data Privacy Framework temelinde Amerika Birleşik Devletleri'nde de işler; TikTok ise Standart Sözleşme Maddeleri (GDPR md. 46) temelinde işler, ancak pikselinin topladığı verilere Çin'den de erişilebilir (§ 6).

5.2 Sunucumuzdan Google Ads'e ölçüm (uygulamada verilen özel, isteğe bağlı rıza)

Gerçekten önemli üç an için — ücretsiz muayenenin randevusu, fiilen gerçekleşen muayene ve ilk satın alma — sunucumuz bu durumu Google Ads'e (Google Ireland Limited) bildirebilir; böylece platform hangi reklamların yalnızca bir tıklamaya değil gerçek sonuçlara yol açtığını anlar. Bunu yalnızca iki koşul birlikte sağlandığında yaparız: bize bir Google reklamına tıklayarak geldiniz (en fazla 90 gün önce) ve uygulamada açık, belirli ve isteğe bağlı bir rıza verdiniz — kayıt sırasında (veya ilk ankette) önceden işaretlenmemiş bir kutu ya da uygulamanın gizlilik ayarlarından istediğiniz zaman açıp kapatabileceğiniz bir anahtar — çerez rızasından ayrı olarak. Bir Google reklamından gelmediyseniz, rıza vermiş olsanız bile hiçbir şey göndermeyiz. Meta ve TikTok sunucumuzdan hiçbir olay almaz.

Ne gönderiyoruz (yalnızca zorunlu olanı): sizi bize getiren Google reklamındaki tıklama kodunu (gclid, gbraid veya wbraid: Google'ın o tıklama için oluşturduğu ve olayı reklamla ilişkilendirmeye yarayan bir kod); olayın üç andan hangisine ait olduğunu; tarih ve saati; yalnızca aynı olayın iki kez sayılmamasına yarayan rastgele bir kodu; ilk satın almada ödenen tutarı (gerçekleşen muayeneye herkes için aynı olan sabit, temsili bir değer atarız). Ayrıca Google'a bu verilerin kişiselleştirilmiş reklamcılık için kullanılamayacağını bildiririz. Asla göndermediklerimiz: adınız, e-postanız veya telefonunuz (şifrelenmiş olarak bile), IP adresiniz, sağlığınıza ilişkin veriler, seansların veya mesajların içeriği. Çocuk profilleri (Ri-Hub Junior), ebeveynin hesabındaki rızadan bağımsız olarak bu olayları asla oluşturmaz.

Hukuki dayanak. İşleme, rızanıza dayanır (GDPR md. 6.1.a); ve bir fizyoterapi platformunda randevu almış veya muayene olmuş olmanız gerçeğinin kendisi sağlığınız hakkında bilgi ifşa edebileceğinden, özel kategori verileri için gereken açık rızaya da dayanıyoruz (GDPR md. 9.2.a). Bu rızayı uygulamanın gizlilik ayarlarından her an geri alabilirsiniz: o andan itibaren yeni bir etkinlik gönderilmez ve gönderimi zaten bekleyen bir etkinlik iptal edilir.

Gönderim kayıtlarının saklanması. Tıklama kodunu, gönderim anında hesabınızla birlikte kaydedilen kaynak bilgisinden alırız (§ 5.4). 6 gün içinde gönderilemeyen bir olay iptal edilir. Neyin gönderildiğine ilişkin kayıt — platform, olay türü, tarih, sonuç, hangi alanların gönderildiği (değerler asla) — gönderimin verilen rızaya uygun olarak yapıldığını kanıtlayabilmek için, § 8'de belirtilen hesap verileriyle aynı süre boyunca saklanır.

5.3 Anonim ziyaret sayacı (rıza gerekmez)

Ayrıca, kaç kişinin, hangi kanaldan ve hangi kampanyadan geldiğini bilmek için site ve uygulama ziyaretlerine ilişkin dahili bir sayaç da tutarız, kimseyi tanımlamadan: hiçbir çerez, saklanan IP adresi, kişisel veya cihaz tanımlayıcısı yok. Yalnızca site, kanal, kampanya, reklam ve sayfa türüne göre günlük toplu sayılar sayarız — örneğin "Salı günü X kampanyasından 230 ziyaret". IP adresi, anormal bir istek akışının birden fazla sayılmasını önleyen teknik bir parmak izi hesaplamak için yalnızca bir anlık kullanılır ve asla kaydedilmez. Bu bir kişisel veri işleme olmadığından, bu sayaç rıza gerektirmez: amacı yalnızca istatistiksel ve Ri-Hub için dahilidir.

5.4 Nereden geldiğiniz (`ri_utm` çerezi)

Bir reklamdan veya kampanya parametreleri içeren bir bağlantıdan geldiğinizde, gelişinizin kaynağını, aracını, kampanyasını ve tıklama tanımlayıcılarını (örneğin gclid, fbclid, ttclid) hatırlarız. Yalnızca çerez bannerında Analitik veya Pazarlama kategorisini kabul ettiyseniz bunları, ri-hub.it ile app.ri-hub.it arasında paylaşılan ri_utm adlı birinci taraf çerezinde en fazla 90 gün saklarız; rıza olmadan yalnızca ziyaretiniz süresince, tarayıcı sekmesinin belleğinde kalırlar ve asla çereze dönüşmezler. Her iki rızayı da geri çekerseniz çerez silinir. Bu kural hem web sitesinde hem de uygulamada geçerlidir. Günler sonra kaydolsanız veya randevu alsanız bile sizi bize hangi reklam kanalının getirdiğini bilmek için kullanırız. Kaydolduğunuzda veya randevu aldığınızda, ziyaretinizin kaynağı, hangi kanalların işe yaradığına dair iç istatistiklerimiz için hesabınızla birlikte kaydedilir; Google Ads'e yalnızca tıklama kodu ulaşır ve yalnızca § 5.2'deki koşullarla.

6. Alıcılar ve harici işleyiciler

Aşağıda listelenen tüm taraflar, özel bir sözleşmeyle GDPR md. 28 uyarınca veri işleyen olarak atanmıştır. Bu listenin dışındaki hiç kimse verilerinize erişemez. Saklanan sağlık verilerine yalnızca atanmış fizyoterapist erişebilir; görüntülü görüşme sağlayıcıları seansların sesini ve görüntüsünü saklamadan gerçek zamanlı olarak iletir; diğer tüm sağlayıcılar yalnızca teknik veya idari verileri işler.

Anlaşmalı fizyoterapistler: hizmeti vermek için yalnızca atanmış hastanın sağlık verilerine erişirler. Mesleki Sicil'e kayıtlıdırlar ve İtalya Ceza Kanunu md. 622 uyarınca mesleki sır yükümlülüğüne tabidirler. Hiçbir fizyoterapist, kendisine atanmamış hastaların verilerini görüntüleyemez.
AB bulut barındırma (Avrupa Ekonomik Alanı'ndaki veri merkezleri): sağlık verilerinin saklandığı uygulama altyapısı ve veritabanı. Aktarım sırasında TLS şifrelemesi ve birimlerin depolamada şifrelenmesi.
Stripe (İrlanda + ABD): ödeme yönetimi. Yalnızca idari verileri (tutar, e-posta, fatura bilgisi) işler. Sağlık verisi asla işlemez. AB dışı aktarımlar GDPR md. 46 Standart Sözleşme Maddelerine dayanır.
Google LLC: yalnızca Google hesabınızla giriş yaptığınızda (e-posta + profil ile sınırlı OAuth) veya fizyoterapist kendi Google Calendar senkronizasyonunu etkinleştirdiğinde (calendar.events kapsamı, Ri-Hub tarafından oluşturulan etkinliklerle sınırlı okuma/yazma). Hastanın sağlık verisi asla işlenmez. AB dışı aktarım Standart Sözleşme Maddelerine dayanır.
PostHog (AB bulutu, eu.i.posthog.com): web sitesi ve uygulama kullanım istatistikleri, tarayıcının rastgele bir tanımlayıcısına bağlı olarak, yalnızca çerez bandındaki “Analitik” onayından sonra. Session replay kapalı; IP adresinin olaylarda kaydedilmemesini talep ediyoruz. Asla sağlık verisi yok.
Brevo (Sendinblue): işlemsel e-postalar ve haber bülteni gönderimi. AB sunucuları. Yalnızca e-posta + adı işler.
LiveKit (LiveKit, Inc., ABD, LiveKit Cloud hizmeti): bugün görüntülü seansların ana sağlayıcısıdır. Sunucuları, fizyoterapist ile hasta arasındaki sesi ve görüntüyü aktarım sırasında şifreli olarak, genellikle katılımcılara en yakın sunucu üzerinden gerçek zamanlı iletir. Görüntülü seanslar KAYDEDİLMEZ ve saklanmaz.
Twilio (Twilio Inc., ABD): LiveKit paketimize dahil aylık trafik tükendiğinde Twilio Video ile yedek görüntülü seanslar, aynı güvencelerle (aktarım sırasında şifreleme, kayıt yok); örneğin randevu hatırlatmaları gibi hizmet amaçlı WhatsApp mesajlarının gönderilmesi. LiveKit ve Twilio'nun merkezi Amerika Birleşik Devletleri'ndedir: seansların sesinin, görüntüsünün ve teknik verilerinin oradan geçmesini veya oradan erişilebilir olmasını göz ardı edemeyiz. Her iki sağlayıcıyla da sunucu bölgesini ve aktarım güvencelerini (Data Privacy Framework veya Standart Sözleşme Maddeleri, GDPR md. 45–46) kontrol ediyoruz.
Apple Inc. (ABD): yalnızca Apple ID'nizle "Sign in with Apple" üzerinden giriş yaptığınızda. Yalnızca Apple kimliği + e-posta (isteğe bağlı anonim relay) işler. Sağlık verisi asla işlenmez. AB dışı aktarım SCC'ye dayanır.
Firebase Cloud Messaging (Google LLC, ABD): Android ve iOS uygulamasındaki push bildirimleri için. Yalnızca opak cihaz tokenını işler. Payload'da sağlık verisi asla bulunmaz. AB dışı aktarım SCC'ye dayanır.
MinIO (kendi kendine barındırılan object storage, AB bölgesi): imzalanmış aydınlatılmış onam belgelerinin (PDF + kimlik kartı ön/arka) saklanması. Ri-Hub iç sunucuları, erişim yalnızca yetkili teknik personel ve atanmış fizyoterapist ile sınırlıdır. Birim düzeyinde at-rest şifreleme.
Ri-Hub dahili CRM (kendi kendine barındırılan AB sunucusu, alan adı crm.ri-hub.it): mesleki sır ve gizlilik anlaşmalarıyla bağlı yalnızca Ri-Hub klinik/idari personeli tarafından erişilebilen hasta dosyası yönetim sistemi. Etkinliklerin otomatik senkronizasyonunu alır: kayıt, planlanmış anamnez, imzalanmış onam, seans satın alma, tamamlanan seanslar.
Calendly (ABD): fizyoterapist Ri-Hub dışı uygunluk senkronizasyonu için kendi Calendly hesabını bağlamışsa. Yalnızca slot meta verilerini (tarih/saat) işler, hiçbir klinik veri işlenmez. AB dışı aktarım SCC'ye dayanır.
Google Analytics 4 (Google LLC, ABD): toplu kullanım metrikleri yalnızca açık rıza alındıktan sonra çerez bandından elde edilir. IP anonimleştirilir, reklam kişiselleştirme varsayılan olarak devre dışıdır. Sağlık verisi asla işlenmez. SCC.
Ahrefs Web Analytics (Ahrefs Pte. Ltd., Singapur): web sitesi sayfalarına yapılan ziyaretleri ve kaynaklarını sayar, yalnızca çerez bandındaki “Analitik” onayından sonra. Kontrollerimize göre cihaza çerez yazmaz, ancak ziyaretin teknik verilerini (sayfa, yönlendiren site, IP adresi) alır. Asla sağlık verisi yok. Standart Sözleşme Maddelerine dayalı AB dışı aktarım (GDPR md. 46).
Meta Platforms Ireland Ltd. (İrlanda + ABD): web sitesinde reklam pikseli, yalnızca çerez bannerındaki "Pazarlama" rızasıyla ve yalnızca sağlıktan söz etmeyen sayfalarda; bu sayfalardan yalnızca sayfa ziyaretini alır. Facebook ve Instagram'daki reklamların etkinliğini ölçer. Uygulamadan veya sunucumuzdan hiçbir olay almaz (§ 5.1, § 5.2). Asla sağlık verisi yok. AB dışına aktarım EU-US Data Privacy Framework temelindedir.
TikTok Technology Limited (İrlanda): web sitesinde reklam pikseli, yalnızca çerez bannerındaki “Pazarlama” rızasıyla ve yalnızca sağlıktan söz etmeyen sayfalarda; bu sayfalardan yalnızca sayfa ziyaretini alır. Uygulamadan veya sunucumuzdan hiçbir olay almaz (§ 5.1, § 5.2). Asla sağlık verisi yok. AB dışına aktarım Standart Sözleşme Maddeleri temelindedir; verilere Çin'den de erişilebilir, TikTok grubunun personeli tarafından: Mayıs 2025'te İrlanda veri koruma otoritesi (Data Protection Commission) tam da bu aktarımlar nedeniyle TikTok'a 530 milyon euro para cezası verdi.
Google Ireland Limited — Google Ads: yalnızca bir Google reklamından gelen ve uygulamada açık, isteğe bağlı rıza veren kişiler için, sunucumuzdan ücretsiz muayene randevusu, gerçekleşen muayene ve ilk satın alma olaylarını alır: reklamdaki tıklama kodu (gclid, gbraid veya wbraid), olay türü, tarih ve gerçekleşen muayene ile ilk satın alma için euro cinsinden bir değer; asla e-posta, telefon, ad, sağlık verisi veya seans ve mesaj içeriği. Web sitesinde Google Ads pikselini kullanmıyoruz ve uygulamadan ona olay göndermiyoruz. AB dışına aktarım EU-US Data Privacy Framework temelindedir. Ayrıntılar: § 5.2.

7. Haklarınız (GDPR 15–22. maddeler)

Şu haklara sahipsiniz: verilerinize erişim, düzeltme, silinmesini talep etme ("unutulma hakkı"), işlenmesinin kısıtlanması, taşınabilir biçimde alma, işlemeye itiraz, daha önce verilmiş rızanın geri alınmasından önceki işlemenin hukuka uygunluğunu etkilemeksizin verilen rızaları (analytics ve pazarlama çerezleri ile uygulamada verilen reklam kampanyaları ölçümüne ilişkin özel rıza dahil, § 5.2) her an geri alma.

Ayrıca İtalyan Kişisel Verileri Koruma Kurumu'na (Garante) şikayette bulunabilirsiniz (www.garanteprivacy.it).

Haklarınızı kullanmak için privacy@ri-hub.it adresine yazınız. Hesabın uygulamadan silinmesi, kişisel verilerin 30 gün içinde kaldırılmasını sağlar; vergi ve sözleşmesel yükümlülükler nedeniyle bazı kayıtlar (örn. faturalama, randevular) yasal süre boyunca takma adlandırılmış biçimde tutulur.

8. Saklama süresi

Hesap ve sağlık verileri: ilişki boyunca ve sona ermesinden itibaren 10 yıla kadar. Bunun nedeni sizin ve bizim haklarımızın korunmasıdır: 10 yıl, İtalyan hukukunda sağlık hizmetleriyle ilgili olası taleplerin ileri sürülebileceği olağan zamanaşımı süresidir (İtalyan Medeni Kanunu md. 2946; 24/2017 sayılı Kanun). Vergi ve muhasebe belgeleri kanunun öngördüğü süre boyunca saklanır.
Kimlik doğrulama jetonları: her erişimde yenilenen refresh token, en fazla 365 gün hareketsizlik geçerliliği.
Analitik veriler (PostHog): 12 ay.
Teknik güvenlik kayıtları: 6 ay.
Reklam kampanyalarının ölçümü (§ 5.2): 6 gün içinde gönderilmeyen bir olay iptal edilir; neyin, ne zaman ve hangi sonuçla gönderildiğine ilişkin kayıt (değerler asla) bu listedeki hesap verileriyle aynı süre saklanır.
ri_utm ilişkilendirme çerezi (§ 5.4): 90 gün.
Anonim ziyaret sayacı (§ 5.3): kişisel veri içermeyen toplu günlük sayımlar; kişisel veri işlenmesi olmadığından saklama süresi uygulanmaz.

9. Güvenlik tedbirleri

GDPR 32. maddesi uyarınca riske uygun teknik ve organizasyonel tedbirler alıyoruz:

Aktarım sırasında şifreleme: uygulama/site ile arka uç arasındaki tüm bağlantılarda zorunlu TLS 1.3, hiçbir açık metin iletişim yoktur.
Durağan şifreleme: sağlık verilerinin bulunduğu birimler disk düzeyinde şifrelenir; OAuth jetonları ve daha hassas veriler ayrıca uygulama düzeyinde şifrelenir.
Kimlik doğrulama: SHA-256 hash'li ve otomatik dönüşümlü refresh token; parolalar asla açık metin saklanmaz (standart algoritmalarla hash: PBKDF2/argon2).
Kampanya ölçümünde veri en aza indirme: Google Ads'e yalnızca reklamdaki tıklama kodunu göndeririz; asla e-posta, telefon veya ad, şifrelenmiş olarak bile göndermeyiz (§ 5.2); Meta'ya ve TikTok'a ne sunucumuzdan ne de uygulamadan hiçbir şey göndermeyiz.
Erişim kontrolü (RBAC): en az ayrıcalık ilkesiyle hasta / fizyoterapist / yönetici ayrı rolleri; fizyoterapist yalnızca kendisine atanmış hastaların verilerini görür.
Denetim kaydı: sağlık verilerine yapılan erişimlerin değiştirilemez kaydı, güvenlik amacıyla 6 ay saklanır.
Yedekleme: AB bölgesinde tarihselleştirilmiş, şifreli ve sürümlenmiş yedekler, periyodik olarak test edilir.
AB'de konumlandırma: sakladığımız sağlık verileri Avrupa Ekonomik Alanı'ndaki bulut altyapısında bulunur. Görüntülü seansların sesi ve görüntüsü gerçek zamanlı olarak görüntülü görüşme sağlayıcılarından geçer (§ 6) ve saklanmaz.
Sağlayıcı güvenlik standartları: kullanılan barındırma ve bulut sağlayıcıları ISO 27001 / SOC 2 sertifikalı ve GDPR uyumlu olarak çalışır.
Eğitim ve prosedürler: personel gizlilik + güvenlik konularında eğitilir; veri ihlali yönetim planı, Garante'ye 72 saat içinde bildirim (GDPR md. 33) ve yüksek risk durumunda ilgili kişiye bildirim (md. 34) içerir.

10. Küçükler

Bir küçük, Ri-Hub hesabını kendi başına oluşturamaz: hesap her zaman bir yetişkine aittir. Ebeveyn sorumluluğunu kullanan bir ebeveyn, mahkeme tarafından atanan bir vasi veya bir koruyucu aile, kendi hesabına, Ri-Hub Junior formatında takip edilen küçük bir çocuğun profilini ekleyebilir.

İlk seanstan önce ebeveyn, uygulamada çocuk adına, fizyoterapi tedavisine ilişkin bilgilendirilmiş onamı ve diğer ebeveynin bilgilendirildiğini ve onayladığını, ya da ebeveyn sorumluluğunun tek sahibi olarak kendisinin tek başına karar verdiğini belirten bir beyanı (445/2000 sayılı Cumhurbaşkanlığı Kararnamesi'nin 46–47. maddeleri) imzalar. Diğer ebeveynin imzasını yalnızca şüphe, anlaşmazlık durumunda veya tıbbi direktörün talebi üzerine isteriz: gerekli imzalar olmadan seanslar başlamaz.

Çocuğun sağlık verileri, mesleki sır saklama yükümlülüğü bulunan fizyoterapist tarafından yalnızca talep edilen sağlık hizmetinin sunulması amacıyla işlenir (GDPR md. 9.2.h ve 9.3), ve asla pazarlama, profilleme veya reklam amacıyla kullanılmaz. Ebeveyn sorumluluğunu kullanan diğer ebeveyn, kimliği doğrulandıktan sonra, tedavi süreci hakkında bilgilendirilme ve bunun askıya alınmasını talep etme hakkına sahiptir. Çocuk profilleri (Ri-Hub Junior), § 5'te açıklanan reklam kampanyaları ölçümünden her zaman hariç tutulur: ebeveynin hesabında verilen rızadan bağımsız olarak, hiçbir etkinlik onları hiçbir zaman etkilemez.

İtalyan Kişisel Verilerin Korunması Kanunu'nun 2-quinquies maddesi (101/2018 sayılı Kanun Hükmünde Kararname ile getirilen 196/2003 sayılı Kanun Hükmünde Kararname) doğrudan küçüğe sunulan bilgi toplumu hizmetlerini ilgilendirir: bu tür hizmetler için 14 yaşından itibaren küçüğün kendi onayı, ebeveynlerin onayı olmaksızın da geçerlidir. Bu durum Ri-Hub için geçerli değildir: sağlık hizmetimiz doğrudan küçüğe sunulmamaktadır ve hesap her zaman yetişkin bir ebeveyne, vasiye veya koruyucu aileye aittir. Bir küçüğün, reşit olduğunu yanlış beyan ederek kendi adına bir hesap oluşturduğundan şüpheleniyorsanız, doğrulama ve gerekirse silme talep etmek için privacy@ri-hub.it adresine yazınız.

Çerezlerin (gerekli, analitik, pazarlama) kullanımı ve uygulamanın teknik verileri hakkında ayrıntılı bilgi için Çerez Politikamıza bakın. Tercihinizi her sayfanın altındaki “Çerezleri yönet” bağlantısından istediğiniz zaman değiştirebilirsiniz (uygulamada: Ayarlar → Gizlilik ve veriler). ri_utm ilişkilendirme çerezi ve reklam kampanyalarının ölçümü bu politikanın § 5 bölümünde açıklanmaktadır.

12. Değişiklikler

Bu aydınlatma metni güncellenebilir. Mevcut sürüm ri-hub.it/it/privacy adresinde yayımlanır ve Capacitor çevrimdışı modunda da erişimi sağlamak için uygulamada app.ri-hub.it/privacy aynalanmıştır. Son revizyon: 16 Ekim 2026.