Kişisel Verilerin Korunması Hakkında Aydınlatma Metni

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca veri sorumlusu sıfatını haiz olan:

Bu metinde "Marga", "biz" veya "Şirket" ifadeleri yukarıdaki veri sorumlusunu; "Uygulama" ifadesi Marga mobil uygulamasını (iOS/Android) ifade eder.

2. Uygulamanın Niteliği ve Önemli Sınırlama

Marga, sağlıklı yaşam ve sağlıklı yaşlanma (longevity) alanında bir wellness ürünüdür.

Bu nitelendirme, verilerinizin işlenmesindeki hukuki sebepleri de doğrudan etkiler: Marga, bir sağlık hizmeti sunucusu olarak faaliyet göstermediğinden, sağlık verilerinizi kural olarak açık rızanıza dayanarak işler (Bölüm 5).

3. İşlenen Kişisel Veri Kategorileri

3.1. Genel nitelikli kişisel veriler

3.2. Özel nitelikli kişisel veriler — sağlık verileri (KVKK m.6)

Aşağıdaki verilerin tamamı özel nitelikli kişisel veri kategorisindedir ve mevzuatın öngördüğü ek korumalara tabidir:

• Fiziksel ölçümler: Boy, kilo, bel çevresi, vücut kitle indeksi, vücut yağ oranı, yağsız vücut kütlesi.
• Giyilebilir cihaz ve sağlık platformu verileri (Apple Health / Android Health Connect üzerinden, izniniz dahilinde): nabız, dinlenik nabız, kalp hızı değişkenliği (HRV), adım sayısı, aktif kalori, VO₂ Max, kan oksijeni, solunum hızı, bilek sıcaklığı, egzersiz ve ayakta durma süresi, kan şekeri, kan basıncı, alınan kalori, uyku analizi, farkındalık seansları, âdet döngüsü kayıtları, düzensiz kalp ritmi ve yüksek/düşük nabız olayları, antrenman kayıtları.
• WHOOP entegrasyonu verileri (bağlantı kurmanız hâlinde): uyku evreleri, uyku verimliliği ve tutarlılığı, toparlanma ve zorlanma skorları, HRV, dinlenik nabız, kan oksijeni, cilt sıcaklığı ve WHOOP profil bilgileri.
• Laboratuvar sonuçları: Tarafınızca yüklenen laboratuvar raporu dosyaları (PDF) ve bunlardan çıkarılan biyobelirteç değerleri, referans aralıkları, test tarihi ve laboratuvar adı.
• Tıbbi geçmiş ve güvenlik bilgileri: Mevcut hastalıklar ve sağlık durumları, kullanılan ilaçlar, takviyeler, alerjiler, gebelik durumu.
• İlaç ve takviye takibi: İlaç/takviye adı, dozaj, form, kullanım saatleri ve günleri, alım kayıtları.
• Günlük check-in verileri: Enerji, stres, uyku kalitesi, ruh hâli, su ve kafein tüketimi, hareket süresi, alkol tüketimi, geç öğün bilgisi.
• Anket ve değerlendirme verileri: Başlangıç sağlık anketi cevapları, sağlık hedefleri ve şikâyetler.
• Türetilmiş sağlık verileri: Marga Score, Toparlanma skoru, Marga Yaş, güven yüzdesi, sağlık haritası ve klinik yönlendirme bayrağı.

3.3. Yapay zekâ (AI) koçluğu kapsamındaki veriler

AI koç özelliğini kullanmanız hâlinde: sohbet geçmişi (mesajlarınız ve AI yanıtları), AI modeline gönderilen bağlam (o an geçerli sağlık verileriniz) ve üretilen içgörüler işlenir. Bu bağlam sağlık verisi içerdiğinden özel nitelikli veri işleme sayılır.

3.4. Toplamadığımız veriler

Marga; konum/GPS verisi, kamera görüntüsü, rehber/kişi listesi ve reklam takip tanımlayıcısı toplamaz. Verileriniz reklam amacıyla kullanılmaz, üçüncü taraflara satılmaz ve reklam ağlarıyla paylaşılmaz.

4. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz;

• Uygulamaya kayıt olurken ve profilinizi doldururken doğrudan sizin tarafınızdan,
• Cihazınızda verdiğiniz izinle Apple Health (HealthKit) veya Android Health Connect üzerinden okunarak,
• WHOOP hesabınızı bağlamanız hâlinde yetkilendirmenizle WHOOP üzerinden çekilerek,
• Laboratuvar raporu yüklemeniz hâlinde dosya yükleme ve optik karakter tanıma (OCR) yoluyla,
• Uygulamayı kullanmanız sırasında otomatik olarak (denetim, kullanım ve bildirim kayıtları),
• Anlaşmalı kliniklerden hizmet almanız hâlinde ilgili klinikten

tamamen veya kısmen otomatik yollarla toplanır.

5. İşleme Amaçları ve Hukuki Sebepleri

5.1. Genel nitelikli veriler (KVKK m.5)

5.2. Özel nitelikli sağlık verileri (KVKK m.6)

Marga, sağlık hizmeti sunucusu olmadığı için KVKK m.6/3'teki istisnalardan yararlanmaz. Bu nedenle aşağıdaki tüm işleme faaliyetlerinin hukuki sebebi KVKK m.6/2 uyarınca açık rızanızdır.

Açık rıza vermek zorunda değilsiniz. Rızanızı vermemeniz veya sonradan geri almanız hâlinde uygulamanın sağlık analizine dayanmayan bölümleri (hesap yönetimi, genel bilgilendirici içerikler, klinik ve hizmet bilgilerinin görüntülenmesi, abonelik yönetimi) kullanılmaya devam edilebilir. Açık rıza hizmetin sunulması şartına bağlanmamıştır.

6. Otomatik İşleme ve Profilleme

Marga Score, Toparlanma skoru, Marga Yaş, sağlık haritası ve kişiselleştirilmiş plan; sağladığınız verilerin algoritmik ve yapay zekâ destekli analizi yoluyla otomatik olarak üretilir. "Klinik yönlendirme bayrağı", belirli eşik değerlerin aşılması hâlinde size bir hekime başvurmanız yönünde bilgilendirici bir öneri oluşturulmasını sağlar.

Bu çıktılar hakkınızda hukuki sonuç doğuran bir karar niteliğinde değildir; teşhis, risk skorlaması veya sigorta/istihdam kararı amacıyla kullanılmaz. KVKK m.11/1-(g) uyarınca bu çıktılara itiraz etme ve insan müdahalesi talep etme hakkınız saklıdır.

7. Kişisel Verilerin Aktarıldığı Taraflar

7.1. Yurt içi aktarımlar

Anlaşmalı klinikler, size sağlık hizmeti sundukları ölçüde kendi başlarına ayrı birer veri sorumlusudur. Marga'daki verilerinize hekim erişimi yalnızca açık rızanız üzerine ve yalnızca hizmet ilişkisi kurduğunuz klinik bakımından açılır; rızanızı geri almanız hâlinde erişim kapatılır.

7.2. Yurt dışındaki hizmet sağlayıcılar (veri işleyenler)

Bu sağlayıcılar veri işleyen sıfatıyla, yalnızca talimatlarımız doğrultusunda hareket eder. Verileriniz bu sağlayıcılar tarafından kendi amaçları için kullanılamaz, satılamaz ve reklam amacıyla işlenemez. Yapay zekâ hizmet sağlayıcısına iletilen veriler, model eğitiminde kullanılmaması yönünde sınırlandırılmıştır.

7.3. Yurt dışına aktarımın hukuki dayanağı (KVKK m.9)

7499 sayılı Kanunla değişik KVKK m.9 uyarınca yurt dışına aktarım; öncelikle yeterlilik kararı, bunun yokluğunda uygun güvencelerden biri (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) esas alınarak yapılır. Yukarıda sayılan aktarımlar süreklilik arz ettiğinden, bu aktarımlar Kurul tarafından ilan edilen standart sözleşmelere dayandırılır. Arızi nitelikteki aktarımlar bakımından ayrıca açık rızanız alınır. Standart sözleşmenin bir kopyasını Bölüm 10'daki adresten talep edebilirsiniz.

8. Saklama Süreleri

9. İlgili Kişi Olarak Haklarınız (KVKK m.11)

Veri sorumlusuna başvurarak;

• Kişisel verinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme,
• KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme,
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz. Açık rızaya dayalı işlemeler bakımından rızanızı her zaman geri alabilirsiniz; geri alma, o ana kadar yapılmış işlemelerin hukuka uygunluğunu etkilemez.

10. Başvuru Yöntemi

• Uygulama içi: Profil ekranından hesabınızı ve verilerinizi silebilirsiniz.
• E-posta: info@margawellness.com (sistemimizde kayıtlı e-posta adresinizden gönderilmesi hâlinde)
• Yazılı: Gümüşsuyu Mah. Selime Hatun Camii Sk. CVK No: 27 İç Kapı No: 2 Beyoğlu / İstanbul adresine ıslak imzalı dilekçe ve kimlik teyidi ile şahsen veya noter kanalıyla

Başvurunuzda ad-soyad, imza (yazılı başvurularda), T.C. kimlik numarası (yabancılar için pasaport numarası), tebligata esas adres ve talebin konusu yer almalıdır. Talebiniz en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Başvurunuzun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

11. Veri Güvenliği

Verilerinizin korunması için alınan başlıca tedbirler: aktarım sırasında TLS şifreleme; veritabanında dinlenme hâlinde şifreleme; satır bazlı güvenlik (Row Level Security) ile her kullanıcının teknik olarak yalnızca kendi verisine erişebilmesi; laboratuvar dosyalarının kişiye özel klasörlerde ve özel depolamada tutulması; cihaz erişim tokenlarının şifreli saklanması; rol bazlı yetkilendirme ve erişim kayıtlarının tutulması.

Bir veri ihlali gerçekleşmesi hâlinde, KVKK m.12/5 uyarınca 72 saat içinde Kurul'a, ilgili kişilere ise makul olan en kısa sürede bildirim yapılır.

12. Yaş Sınırı

Marga, 18 yaşından küçük kişilerin kullanımına yönelik değildir ve bilerek çocuklardan veri toplamaz. 18 yaşından küçük bir kişiye ait veri toplandığının tespiti hâlinde ilgili veriler gecikmeksizin silinir.

13. Güncellemeler

Bu aydınlatma metni, mevzuat veya hizmet değişiklikleri nedeniyle güncellenebilir. Esaslı değişiklikler uygulama içi bildirim ve/veya e-posta yoluyla önceden duyurulur. Güncel sürüm her zaman bu sayfada yayımlanır. Ayrıntılı bilgi için Gizlilik Politikası'na bakabilirsiniz.