Gizlilik Politikası

Bu politika, Marga mobil uygulamasını (iOS/Android) kullandığınızda kişisel verilerinizi nasıl topladığımızı, kullandığımızı, paylaştığımızı ve koruduğumuzu açıklar. Türkiye'de 6698 sayılı KVKK, Avrupa Ekonomik Alanı ve Birleşik Krallık'ta GDPR/UK GDPR kapsamında hazırlanmıştır.

Veri sorumlusu: Bluezone İstanbul Sağlıklı Yaşam Hizmetleri ve Danışmanlık Anonim Şirketi — Gümüşsuyu Mah. Selime Hatun Camii Sk. CVK No: 27 İç Kapı No: 2 Beyoğlu / İstanbul — info@margawellness.com

Kısa Özet

• Marga, sağlığınıza dair çok hassas veriler işler. Bu verileri yalnızca açık rızanızla işleriz.
• Verilerinizi satmayız, reklam amacıyla kullanmayız, reklam ağlarıyla paylaşmayız.
• Konumunuzu, kameranızı, rehberinizi ve reklam kimliğinizi toplamayız.
• Verileriniz teknik olarak yalnızca size görünür; hekim erişimi ancak siz izin verirseniz açılır.
• Dilediğiniz an verilerinizi düzelttirebilir veya hesabınızı ve tüm verilerinizi sildirebilirsiniz.
• Marga bir tıbbi cihaz değildir; teşhis koymaz, tedavi önermez.

1. Marga Nedir, Ne Değildir

Marga; anket, giyilebilir cihaz, laboratuvar ve günlük takip verilerinizden Marga Score, Toparlanma ve Marga Yaş skorlarını üreten, kişiselleştirilmiş sağlıklı yaşam planı ve yapay zekâ destekli koçluk sunan, anlaşmalı kliniklerde randevu almanızı sağlayan bir sağlıklı yaşam (wellness) uygulamasıdır.

2. Topladığımız Veriler

2.1. Sizin sağladıklarınız

Ad, soyad, doğum tarihi, biyolojik cinsiyet, e-posta, telefon, dil ve saat dilimi tercihi; boy, kilo, bel çevresi ve vücut kompozisyonu; başlangıç sağlık anketi cevapları, hedefleriniz ve şikâyetleriniz; mevcut hastalıklarınız, ilaçlarınız, takviyeleriniz, alerjileriniz, gebelik durumunuz; ilaç/takviye takip kayıtlarınız; günlük check-in girdileriniz (enerji, stres, uyku kalitesi, ruh hâli, su, kafein, hareket, alkol, geç öğün); yüklediğiniz laboratuvar raporları; randevu talepleriniz ve notlarınız; AI koça yazdığınız mesajlar.

2.2. Cihazınızdan ve giyilebilir cihazlardan (izninizle)

Apple Health / Android Health Connect: nabız, dinlenik nabız, HRV, adım, aktif kalori, VO₂ Max, kan oksijeni, solunum hızı, bilek sıcaklığı, egzersiz ve ayakta durma süresi, kan şekeri, kan basıncı, alınan kalori, uyku analizi, farkındalık seansları, âdet döngüsü, düzensiz kalp ritmi ve yüksek/düşük nabız olayları, antrenman kayıtları.

WHOOP (bağlarsanız): uyku evreleri ve verimliliği, toparlanma ve zorlanma skorları, HRV, dinlenik nabız, kan oksijeni, cilt sıcaklığı ve WHOOP profil bilgileriniz.

2.3. Otomatik olarak

Denetim kayıtları (kullanıcı, eylem, IP adresi, zaman damgası), oturum ve kimlik doğrulama bilgileri, uygulama içi kullanım kayıtları, bildirim gönderim kayıtları, cihaz bildirim tokenı, giyilebilir cihaz erişim tokenlarının şifreli hâli, senkronizasyon durumu.

2.4. Bizim ürettiklerimiz

Marga Score, Toparlanma skoru, Marga Yaş, güven yüzdesi, sağlık haritası, klinik yönlendirme bayrağı, kişiselleştirilmiş plan ve görevler, AI içgörüleri.

2.5. Toplamadıklarımız

Konum/GPS · Kamera ve fotoğraf kitaplığı (dosya seçici ile seçtiğiniz PDF hariç) · Rehber/kişiler · Mikrofon · Reklam tanımlayıcısı (IDFA/GAID) · Üçüncü taraf çerezleriyle reklam takibi · Kredi kartı numarası (ödemeler Apple/Google mağaza altyapısı üzerinden yürütülür, kart bilgisi bize ulaşmaz).

3. Verileri Neden İşliyoruz

Yapmadıklarımız: Verilerinizi satmıyoruz. Reklam hedeflemesi yapmıyoruz. Sigorta şirketleri, işverenler veya kredi kuruluşlarıyla paylaşmıyoruz. Verilerinizi yapay zekâ modellerinin eğitiminde kullanmıyoruz.

4. Hukuki Dayanaklar

Türkiye (KVKK)

• Sağlık verileri (özel nitelikli): KVKK m.6/2 — açık rızanız
• Hesap, abonelik, randevu: m.5/2-c (sözleşmenin ifası)
• Güvenlik ve hizmet iyileştirme: m.5/2-f (meşru menfaat)
• Mali kayıtlar, yasal talepler: m.5/2-ç ve m.5/2-a
• Pazarlama iletileri: m.5/1 (açık rıza) + 6563 sayılı Kanun kapsamında onay

AEA / Birleşik Krallık (GDPR)

• Sağlık verileri: Art. 9(2)(a) — açık rıza, Art. 6(1)(a) ile birlikte
• Hizmetin sunulması: Art. 6(1)(b) — sözleşmenin ifası
• Güvenlik ve iyileştirme: Art. 6(1)(f) — meşru menfaat
• Yasal yükümlülükler: Art. 6(1)(c)

5. Verileri Kimlerle Paylaşıyoruz

5.1. Anlaşmalı klinikler ve hekimler

Yalnızca açık rızanızla. İzin verirseniz, hizmet aldığınız klinikteki yetkili hekim ve sağlık personeli sağlık verilerinizi görüntüleyebilir. Klinikler, size sundukları sağlık hizmeti bakımından ayrı veri sorumlusudur ve kendi gizlilik politikalarına tabidir. İzninizi geri aldığınızda erişim kapatılır.

5.2. Hizmet sağlayıcılarımız (veri işleyenler)

Bu sağlayıcılar verilerinizi yalnızca bizim talimatımızla ve belirtilen amaçla işleyebilir.

5.3. Yetkili merciler

Mahkeme kararı veya kanuni yükümlülük gereği talep edilmesi hâlinde, talep kapsamıyla sınırlı olarak.

5.4. Şirket devri

Birleşme, devir veya varlık satışı hâlinde verileriniz devralana aktarılabilir; bu durumda size önceden bildirim yapılır ve sağlık verileriniz bakımından rızanız yeniden alınır.

6. Yurt Dışına Aktarım

Teknik altyapımız yurt dışında bulunduğundan verileriniz Türkiye dışında işlenmektedir.

• Türkiye'den yapılan aktarımlar: KVKK m.9 uyarınca, Kurul tarafından ilan edilen standart sözleşmelere dayandırılır. Standart sözleşmenin bir kopyasını info@margawellness.com adresinden talep edebilirsiniz.
• AEA/BK'dan yapılan aktarımlar: ABD'ye yapılan aktarımlar, Avrupa Komisyonu'nun Standart Sözleşme Maddeleri (SCC) ve gerekli olduğu ölçüde ek tedbirlerle korunur. Supabase altyapısı İrlanda'da (AEA içinde) konumlanmıştır.

Bilmeniz gereken: ABD'de veri koruma standartları AEA ve Türkiye'dekinden farklıdır; kamu otoritelerinin veriye erişim yetkileri daha geniş olabilir. Bu riski azaltmak için AI koça yalnızca yanıt üretmek için gerekli olan asgari veri gönderilir.

7. Ne Kadar Süreyle Saklıyoruz

8. Haklarınız

Türkiye'deki kullanıcılar (KVKK m.11): Verinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltilmesini isteme, silinmesini/yok edilmesini isteme, bu işlemlerin üçüncü kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhinize çıkan sonuca itiraz etme, zararınızın giderilmesini talep etme.

AEA/BK'daki kullanıcılar (GDPR): Yukarıdakilere ek olarak erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği, itiraz, otomatik karar verme ve profillemeye ilişkin haklar ve rızayı geri alma.

Her kullanıcı için: Açık rızanızı dilediğiniz an geri alabilirsiniz.

Nasıl kullanırsınız

• Uygulama içi: Profil ekranından hesabınızı ve verilerinizi silebilirsiniz.
• E-posta: info@margawellness.com
• Posta: Gümüşsuyu Mah. Selime Hatun Camii Sk. CVK No: 27 İç Kapı No: 2 Beyoğlu / İstanbul

Talebiniz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

Şikâyet

• Türkiye: Kişisel Verileri Koruma Kurumu — kvkk.gov.tr
• AEA: Bulunduğunuz ülkenin veri koruma otoritesi
• Birleşik Krallık: Information Commissioner's Office (ICO)

9. Güvenlik

Aktarımda TLS şifreleme; dinlenme hâlinde veritabanı şifrelemesi; satır bazlı güvenlik (RLS) ile her kullanıcının teknik olarak yalnızca kendi verisine erişebilmesi; laboratuvar dosyalarının özel depolamada kişiye özel klasörlerde tutulması; cihaz erişim tokenlarının şifreli saklanması; rol bazlı yetkilendirme ve en az yetki ilkesi; erişim kayıtlarının tutulması.

Hiçbir sistem %100 güvenli değildir. Bir ihlal yaşanması hâlinde KVKK Kurumu'na ve GDPR kapsamında ilgili otoriteye 72 saat içinde bildirim yapılır; yüksek risk taşıyan durumlarda size de gecikmeksizin bilgi verilir.

10. Cihaz İzinleri

Tüm izinler cihaz ayarlarınızdan istediğiniz zaman geri alınabilir.

Apple Health verileri hakkında: HealthKit üzerinden alınan veriler yalnızca sağlık, spor ve sağlıklı yaşam amaçlarıyla kullanılır; reklam, pazarlama veya veri madenciliği amacıyla kullanılmaz ve üçüncü taraflara satılmaz. Aynı ilkeler Android Health Connect verileri için de geçerlidir.

11. Çocuklar

Marga 18 yaşından küçüklere yönelik değildir. Bilerek çocuklardan veri toplamayız. 18 yaşından küçük bir kullanıcıya ait veri tespit edilirse hesap kapatılır ve veriler silinir. Çocuğunuza ait veri toplandığını düşünüyorsanız info@margawellness.com adresine yazın.

12. Çerezler ve Benzer Teknolojiler

Mobil uygulama reklam çerezi veya üçüncü taraf takip teknolojisi kullanmaz; yalnızca oturumun sürdürülmesi için zorunlu yerel depolama kullanılır.

13. Güncellemeler

Bu politikayı zaman zaman güncelleyebiliriz. Esaslı değişiklikleri uygulama içi bildirim veya e-posta ile en az 15 gün önce duyururuz. Sağlık verilerinizin işlenme kapsamını genişleten değişikliklerde rızanızı yeniden alırız.

14. İletişim

Bluezone İstanbul Sağlıklı Yaşam Hizmetleri ve Danışmanlık Anonim Şirketi
Gümüşsuyu Mah. Selime Hatun Camii Sk. CVK No: 27 İç Kapı No: 2 Beyoğlu / İstanbul
MERSİS: 0178177836700001 · Ticaret sicil no: 1027295
info@margawellness.com

Kişisel verilerinizin işlenmesine ilişkin ayrıntılar için KVKK Aydınlatma Metni'ne bakabilirsiniz.