Gizlilik Politikası

Bu Gizlilik Politikası, Fitney Tecnologia Ltda.'nın ("Fitney", "biz") fitness ve beslenme SaaS platformumuzun kullanıcılarından ("Kullanıcılar", "siz") kişisel verileri nasıl topladığını, kullandığını, paylaştığını ve koruduğunu açıklar.

Bu Politika, Fitney tarafından sunulan tüm hizmetler için geçerlidir; bunlar şunları içerir:

• Kurumsal web sitesi (fitney.com.br);
• iOS ve Android için mobil uygulama;
• Profesyoneller için yönetim paneli (backoffice);
• Premium plan profesyonelleri için oluşturulan white-label uygulamalar;
• API'ler ve arka uç hizmetleri.

LGPD sayfamız ve Çerez Politikamız ile tamamlanmaktadır.

Bu Politikayı baştan sona okumanızı öneririz. Platformu kullanarak veri işleme uygulamalarımızı anladığınızı onaylamış olursunuz.

Bu Politika ve geçerli veri koruma yasaları için:

• Fitney Tecnologia Ltda., Platforma abone olan Profesyonellerin (kişisel antrenörler, diyetisyenler) kişisel verilerinin veri sorumlusudur;
• Profesyonel, kendi Danışanlarının kişisel verilerinin veri sorumlusudur ve Fitney bu verilerin veri işleyenidir;
• Veri Koruma Sorumlusu (DPO) ile dpo@fitneyapp.com adresinden iletişime geçilebilir.

Bu ayrım hak kullanımı için önemlidir: Danışanlar talepleri öncelikle verilerini yöneten Profesyonele yönlendirmelidir, ancak doğrudan Fitney ile de iletişime geçebilirler.

Aşağıdaki kişisel veri kategorilerini topluyoruz:

Kayıt Verileri

• Ad soyad, e-posta, telefon numarası (ülke kodu ile);
• CPF/CNPJ (Brezilya'da faturalama için);
• Kullanıcı tarafından gönüllü olarak sağlanan profesyonel kayıt veya sertifika (örn. Brezilya'da CREF, CRN; ABD'de NASM, ACE, NSCA, RD; Avrupa'da REPs, EREPS). Bu veri isteğe bağlıdır ve Fitney tarafından doğrulanmaz;
• İşletme adresi ve faturalama bilgileri.

Sağlık ve Fitness Verileri (Hassas Veriler)

• Vücut ölçümleri (kilo, boy, çevreler);
• Sağlık ve fitness hedefleri;
• Antrenman ve egzersiz geçmişi;
• Beslenme verileri ve beslenme programları;
• İlerleme fotoğrafları (gönüllü olarak sağlandığında);
• Diyet kısıtlamaları ve beyan edilen sağlık koşulları;
• Sağlık platformlarından içe aktarılan veriler (iOS'ta Apple HealthKit ve Android'de Health Connect); adımlar, nabız, yakılan kalori, kat edilen mesafe ve egzersiz seansları dahil — yalnızca veri sahibinin açık onayı ile, doğrudan cihazın işletim sistemi üzerinden verilen;
• Sağlık anketi (anamnez): tıbbi geçmiş, yaşam tarzı, fiziksel aktivite seviyesi, hedefler — Danışan veya Profesyonel tarafından gönüllü olarak doldurulur.

Kullanım ve Cihaz Verileri

• IP adresi, tarayıcı türü ve işletim sistemi;
• Erişilen sayfalar, harcanan zaman ve etkileşimler;
• Coğrafi konum verileri (web sitesinde IP tabanlı; mobil uygulamada, antrenman konumunu kaydetmek için yetkilendirildiğinde GPS);
• Cihaz tanımlayıcıları: cihaz modeli, işletim sistemi sürümü, uygulama sürümü ve benzersiz cihaz tanımlayıcı;
• Hatırlatmalar ve iletişimler için push bildirim token'ları (Firebase Cloud Messaging);
• Firebase Crashlytics tarafından toplanan performans ve teşhis verileri (kişisel olarak tanımlanabilir veri olmadan kilitlenme raporları);
• Çerezler ve benzer teknolojiler — Çerez Politikamıza bakın.

Yerel Depolama Verileri (Mobil Uygulama)

• API yanıt önbelleği (çevrimdışı işlevsellik için yerel olarak 3 güne kadar saklanır);
• Çevrimdışı işlemler kuyruğu (bağlantı olmadan gerçekleştirilen egzersizler, check-in'ler ve koşu seansları, yeniden bağlanma sırasında otomatik olarak senkronize edilir);
• Bildirim tercihleri ve Kullanıcı ayarları;
• Son bildirim geçmişi (alınan son 10).

Ödeme Verileri

• İşlem verileri (tutar, tarih, durum);
• Son 4 hane ve kart markası (tanımlama için);
• Apple App Store veya Google Play üzerinden uygulama içi satın alma verileri, işlem tanımlayıcıları ve abonelik dönemleri dahil;
• Not: Tam kart verileri doğrudan Stripe veya yerel işlemcilerle (Brezilya'da Asaas) işlenir ve sunucularımızda asla saklanmaz.

İletişim Verileri

• Platformda Profesyoneller ve Danışanlar arasında değiş tokuş edilen mesajlar;
• Destek iletişimleri ve geri bildirimler.

Sağlık verileri (beslenme/sağlık profesyonelleri). Profesyonel laboratuvar tetkikleri özelliğini kullandığında, öğrencinin/hastanın özel nitelikli sağlık verilerini (talep edilen tetkikler, değerler ve sonuçlar, klinik endikasyon) ve sağlandığında hastanın vergi kimlik numarasını (CPF) toplarız. Bu işleme “Sağlık Verileri (Laboratuvar Tetkikleri)” bölümünde ayrıntılı olarak açıklanmıştır.

Kişisel verileri aşağıdaki hukuki gerekçelere dayanarak işliyoruz:

Hassas veriler (sağlık ve fitness verileri) için, LGPD'nin 11. ve GDPR'nin 9. maddelerinin gerektirdiği şekilde, veri sahibinin özel ve belirgin onayını öncelikli olarak kullanırız.

Kişisel verilerinizi aşağıdaki amaçlarla kullanırız:

• Hizmet sunumu: hesabınızın oluşturulması ve sürdürülmesi, sözleşmeli özelliklerin sağlanması, ödemelerin işlenmesi;
• Kişiselleştirme: deneyimi, antrenman önerilerini ve özellikleri profilinize uyarlama;
• İletişim: hizmet bildirimleri, güncellemeler, güvenlik uyarıları ve (onayla) pazarlama iletişimleri gönderme;
• Güvenlik: dolandırıcılığı, yetkisiz erişimi ve kötü niyetli faaliyetleri tespit etme, önleme ve araştırma;
• Hizmet iyileştirme: özellikleri iyileştirmek için kullanım örüntülerini analiz etme (mümkün olduğunda toplu ve anonimleştirilmiş biçimde);
• Yasal uyumluluk: vergi, düzenleyici, adli ve yetkili otorite yükümlülüklerini yerine getirme;
• Destek: taleplere, şikayetlere yanıt verme ve teknik yardım sağlama.

Randevu hatırlatmaları. Platform, profesyonelin öğrenciye WhatsApp üzerinden gönderebileceği kontrol/konsültasyon hatırlatmaları oluşturabilir; gönderim profesyonelin kendisi tarafından yapılır.

Kişisel verileri yalnızca aşağıdaki durumlarda, her zaman uygun güvencelerle paylaşırız:

Hizmet Sağlayıcılar (Veri İşleyenler/Alt İşleyenler)

• Altyapı ve barındırma: bulut bilişim sağlayıcıları (ABD ve/veya AB'de sunucular);
• Ödemeler: Stripe ve yerel işlemciler;
• Analitik ve izleme: Google Analytics 4 (Consent Mode v2 ile Google Tag Manager üzerinden), Firebase Analytics ve Firebase Crashlytics (kararlılık raporları), Microsoft Clarity (ısı haritaları);
• Push bildirimleri: Firebase Cloud Messaging (Google);
• Medya depolama: Amazon S3 ve Supabase (egzersiz fotoğrafları, check-in'ler ve değerlendirmeler);
• Sağlık: Apple HealthKit ve Google Health Connect (yalnızca cihazda yerel okuma/yazma, veri Fitney sunucularına aktarılmaz);
• Ödemeler: Stripe (uluslararası) ve Asaas (Brezilya — PIX ve Boleto); Apple App Store ve Google Play (uygulama içi satın alımlar);
• İşlemsel e-posta: e-posta gönderim sağlayıcıları (SMTP);
• Destek: müşteri hizmetleri araçları.

Tüm sağlayıcılar Veri İşleme Sözleşmeleri (DPA'lar) ile sözleşmelidir.

Profesyonel-Danışan Paylaşımı

Profesyoneller, hizmet sunumu için gerekli olduğu kadar Danışan verilerine erişebilir. Danışanlar Profesyonellerinin gizlilik politikasını incelemelidir.

Yasal Yükümlülükler

Yasaların, mahkeme kararının, yasal işlemlerin veya yetkili bir devlet otoritesinin talebinin gerektirdiği durumlarda verileri ifşa edebiliriz.

Kurumsal Transferler

Birleşme, satın alma, yeniden yapılandırma veya varlık satışı durumunda, önceden bildirim ve korumaların sürdürülmesiyle veriler transfer edilebilir.

Fitney, LGPD, GDPR ve CCPA/CPRA tarafından tanımlandığı şekilde üçüncü taraflara kişisel veri satmaz.

Profesyonelin herkese açık sayfası. Profesyonel herkese açık tanıtım sayfasını etkinleştirirse, görüntülemeyi seçtiği veriler (ad, meslek kaydı, uzmanlıklar, hizmet yerleri ve iletişim) sayfa aktif olduğu sürece herkese açık şekilde erişilebilir hale gelir.

Fitney, geçerli yasalara uygun olarak veri sahibinin kaynak ülkesi dışına kişisel veri transfer edebilir:

Brezilya'dan Yurt Dışına (LGPD, Md. 33-36)

• ANPD tarafından kabul edilen yeterli koruma düzeyi sağlayan ülkelere veya kuruluşlara;
• ANPD tarafından onaylanan standart sözleşme maddeleri aracılığıyla;
• Veri sahibinin özel ve belirgin onayı ile;
• Sözleşme ifası için gerekli olduğunda.

AB/AEA'dan Yurt Dışına (GDPR, Md. 44-49)

• Avrupa Komisyonu'ndan yeterlilik kararı bulunan ülkelere;
• AB Standart Sözleşme Maddeleri (SCC'ler) aracılığıyla;
• Geçerli olduğu durumlarda AB-ABD Veri Gizliliği Çerçevesi kapsamında ABD'ye;
• Gerekli olduğunda transfer etki değerlendirmesi (TIA) yapılır.

Birincil sunucularımız uygun teknik ve organizasyonel güvenlik önlemleriyle Amerika Birleşik Devletleri'nde (AWS/Google Cloud) bulunmaktadır.

Kişisel verileri yalnızca bu Politikada açıklanan amaçları yerine getirmek için gerekli olan süre boyunca saklarız:

Saklama süresi sonunda veriler silinir veya geri dönüşü olmayan şekilde anonimleştirilir.

Bulunduğunuz yere bağlı olarak kişisel verileriniz üzerinde aşağıdaki haklara sahipsiniz:

LGPD (Brezilya) Kapsamındaki Haklar

LGPD'nin 17-22. maddeleri kapsamında şu haklara sahipsiniz:

• Veri işlemenin teyidi;
• Kişisel verilere erişim;
• Eksik, yanlış veya güncel olmayan verilerin düzeltilmesi;
• Gereksiz veya aşırı verilerin anonimleştirilmesi, engellenmesi veya silinmesi;
• Veri taşınabilirliği;
• Onaya dayalı işlenen verilerin silinmesi;
• Üçüncü taraflarla paylaşım hakkında bilgi;
• Onayın geri çekilmesi;
• İşlemeye itiraz.

GDPR (AB/AEA) Kapsamındaki Haklar

GDPR'nin 15-22. maddeleri kapsamında şu haklara sahipsiniz:

• Erişim (Md. 15);
• Düzeltme (Md. 16);
• Silme / "unutulma hakkı" (Md. 17);
• İşlemenin kısıtlanması (Md. 18);
• Taşınabilirlik (Md. 20);
• İtiraz (Md. 21), doğrudan pazarlamaya itiraz dahil;
• Otomatik kararlara tabi olmama (Md. 22);
• Yetkili denetim otoritesine şikayette bulunma.

CCPA/CPRA (California, ABD) Kapsamındaki Haklar

• Hangi verilerin toplandığını ve nasıl kullanıldığını bilme hakkı;
• Kişisel verileri silme hakkı;
• Yanlış verileri düzeltme hakkı;
• Verilerin satışından/paylaşımından vazgeçme hakkı;
• Hassas verilerin kullanımını sınırlama hakkı;
• Haklarınızı kullandığınız için ayrımcılığa uğramama hakkı.

Fitney, CPRA tarafından tanımlandığı şekilde bağlamlar arası davranışsal reklamcılık amaçları için kişisel veri satmaz veya paylaşmaz.

Haklarınızı kullanmak için dpo@fitneyapp.com adresinden bizimle iletişime geçin. 15 gün (LGPD), 30 gün (GDPR) veya 45 gün (CCPA) içinde yanıt vereceğiz.

Kişisel verilerinizi korumak için teknik ve organizasyonel önlemler uyguluyoruz:

• Şifreleme: aktarımdaki veriler TLS 1.3 ile korunur; hassas veriler dinlenirken şifrelenir (AES-256);
• Erişim kontrolü: çok faktörlü kimlik doğrulama, en az ayrıcalık ilkesi, erişim günlükleri;
• Altyapı: sertifikalı veri merkezlerinde sunucular (SOC 2 Type II, ISO 27001);
• İzleme: izinsiz giriş tespiti, 7/24 izleme ve otomatik uyarılar;
• Yedekleme: düzenli saklama ve geri yükleme testleriyle şifrelenmiş yedeklemeler;
• Personel: tüm çalışanlar için düzenli güvenlik ve gizlilik eğitimi;
• Test: periyodik güvenlik açığı değerlendirmeleri ve güvenlik incelemeleri.

Hiçbir sistem %100 güvenli değildir. Bir güvenlik olayı durumunda, yetkili otoritelere (ANPD, Avrupa veri koruma otoriteleri) ve etkilenen veri sahiplerine yasal süreler içinde bildirimde bulunacağız.

Platform 18 yaşın altındaki kişilere yönelik değildir. 18 yaşın altındaki küçükler, Platformu yalnızca yasal vasi tarafından doğrulanabilir onayla kullanabilir.

• Brezilya (LGPD, Md. 14): çocukların verileri (12 yaşa kadar) yalnızca en az bir ebeveyn veya yasal vasinin özel ve belirgin onayı ile. Ergenler (12-17): yasal vasiden onay;
• AB (GDPR, Md. 8): 16 yaşın altındaki küçüklerin onayı (veya Üye Devlet tarafından tanımlanan daha düşük yaş, minimum 13) ebeveynlik sorumluluğu sahibinin yetkisini gerektirir;
• ABD (COPPA): 13 yaşın altındaki küçüklerden bilerek veri toplamayız. Eğer farkına varırsak verileri derhal silieriz.

Bir küçüğün verilerinin yetkisiz olarak toplandığına inanıyorsanız dpo@fitneyapp.com ile iletişime geçin.

Platformu işletmek, kullanımı analiz etmek ve deneyimi kişiselleştirmek için çerezler ve benzer teknolojiler kullanırız. Ayrıntılı bilgi için lütfen Çerez Politikamıza bakın.

Özet:

• Zorunlu çerezler: web sitesinin işleyişi için gereklidir (onay gerekmez);
• Analitik çerezler: Platformun nasıl kullanıldığını anlamak için (onay gerekir);
• Pazarlama çerezleri: reklamları kişiselleştirmek için (onay gerekir).

Çerez tercihlerinizi çerez bildirim çubuğu veya tarayıcı ayarlarınız aracılığıyla istediğiniz zaman yönetebilirsiniz.

Fitney aşağıdaki amaçlar için otomatik işlemeyi kullanabilir:

• Danışanın profiline dayalı antrenmanlar ve beslenme programları önermek;
• Güvenlik için anormal kullanım örüntülerini tespit etmek;
• Platformdaki deneyimi kişiselleştirmek.

Bu öneriler yardımcıdır ve her zaman Profesyonel incelemesine tabidir. Yalnızca otomatik işlemeye dayanarak yasal etkiler doğuran veya veri sahibini önemli ölçüde etkileyen kararlar almıyoruz.

LGPD'nin 20. ve GDPR'nin 22. maddesi kapsamında, otomatik kararların incelenmesini talep etme ve kullanılan kriterler ve prosedürler hakkında bilgi alma hakkına sahipsiniz.

Bu Politikayı periyodik olarak güncelleyebiliriz. Önemli değişiklikler 30 gün önceden şu yollarla bildirilecektir:

• Kayıtlı Kullanıcılara e-posta;
• Platformda bildirim;
• Bu sayfada "Son güncelleme" tarihinin güncellenmesi.

Yeni onay gerektiren değişiklikler için (örn. hassas veri işleme için yeni amaçlar), uygulamadan önce özel onay isteyeceğiz.

Bu Politikayı periyodik olarak gözden geçirmenizi öneririz.

Laboratuvar tetkikleri özelliği kullanılırken Platform, öğrencinin/hastanın sağlığına ilişkin özel nitelikli kişisel verilerini, geçerli veri koruma mevzuatına (AB GDPR ve Brezilya LGPD – 13.709/2018 sayılı Kanun dahil) uygun olarak işler. Bu veriler şunları içerebilir: talep edilen tetkikler, tetkik değerleri ve sonuçları, klinik endikasyon/notlar ve sağlandığında hastanın vergi kimlik numarası (CPF).

Amaç ve hukuki dayanak. Bu veriler yalnızca öğrenciye bağlı profesyonel tarafından beslenme/klinik takip hizmetlerinin sunulması amacıyla, ilgili kişinin açık rızasına ve/veya sağlığın korunmasına dayalı olarak işlenir.

Erişim. Öğrencinin sağlık verilerine yalnızca Platformda kendisine bağlı profesyonel(ler) ve yalnızca işletim ve destek amacıyla yetkili Fitney personeli erişebilir.

Paylaşım. Fitney sağlık verilerini pazarlama amacıyla üçüncü taraflarla satmaz veya paylaşmaz. Eklenen dosyalar varsa kısıtlı biçimde saklanır.

Saklama ve haklar. Veriler, profesyonel-öğrenci ilişkisi sürdüğü sürece veya yasal olarak gerekli olduğu kadar saklanır. İlgili kişi, geçerli mevzuatta öngörülen hakları (erişim, düzeltme, silme, taşınabilirlik, rızanın geri alınması) İletişim/DPO bölümünde belirtildiği şekilde kullanabilir.

Bu Politika veya kişisel verilerinizin işlenmesi hakkında sorular, talepler veya şikayetler için:

• Veri Koruma Sorumlusu (DPO): dpo@fitneyapp.com
• Genel: legal@fitneyapp.com
• Adres: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brezilya

Yanıtımızdan memnun kalmazsanız, yetkili veri koruma otoritesine şikayette bulunabilirsiniz:

• Brezilya: Ulusal Veri Koruma Otoritesi (ANPD) — gov.br/anpd
• AB: İkamet ettiğiniz ülkenin veri koruma otoritesi
• ABD (California): California Başsavcılık Ofisi

Laboratuvar tetkik özellikleri kullanıldığında Platform, öğrencinin/hastanın özel nitelikli kişisel sağlık verilerini (istemler, sonuçlar ve değerler) LGPD m. 11 ve uygulanabildiğinde GDPR m. 9 kapsamında saklayabilir ve işleyebilir.

• Bu veriler uzman adına (veri sorumlusu) işlenir; Fitney veri işleyen olarak, öğrencinin/hastanın takibi amacıyla hareket eder.
• İşleme uygun bir hukuki dayanak gerektirir; gerektiğinde ilgili kişinin açık ve ayrı rızası dahil.
• Teknik ve idari tedbirler uygulanır; veriler yalnızca gerekli süre boyunca veya yasal yükümlülük gereği saklanır.

Uzman herkese açık sayfasını etkinleştirirse, yayınlamayı seçtiği bilgiler (ad, fotoğraf, biyografi, uzmanlık alanları, kayıtlar, sertifikalar, çalışma yerleri ve sosyal medya) herkese açık ve arama motorları dahil herkes tarafından erişilebilir hale gelir. Ofis adresi yalnızca uzman bu seçeneği etkinleştirirse gösterilir.

Bazı özellikler için veriler, yalnızca belirtilen amaçla üçüncü taraf hizmetlerle paylaşılabilir:

• OpenStreetMap / Nominatim — harita gösterimi ve adres coğrafi kodlaması (adresi ve ziyaretçinin IP'sini içerebilir).
• ViaCEP ve Zippopotam.us — posta koduyla adresin otomatik doldurulması.
• Google Maps / Waze — ziyaretçi bir çalışma yerine yol tarifi istediğinde.
• WhatsApp (Meta) — WhatsApp ile iletişim/randevu başlatıldığında.

Bu hizmetlerin kendi gizlilik politikaları vardır ve yönlendirme/paylaşım sonrası Fitney'in kontrolü dışındadır.

Platform, Profesyonelin danışanına konsültasyonlarını ve takibini hatırlatmasına yardımcı olmak için danışanın kayıtlı telefon numarasını kullanan konsültasyon hatırlatmaları özelliğini sunar.

Manuel gönderim. Varsayılan olarak Fitney, Profesyonelin danışanla iletişime geçmesini sağlayan bir mesaj ve bir bağlantı (WhatsApp) oluşturur; gönderim, Profesyonelin kendisi tarafından, kendi hesabından yapılır.

Otomatik gönderim. Profesyonel otomatik gönderimi etkinleştirip WhatsApp Business hesabını bağladığında, hatırlatma mesajları Profesyonel adına, Platform tarafından işlenerek danışana gönderilebilir. Bu durumda danışanın önceden onayı zorunludur ve kaydedilir; istenildiği zaman hesap ayarlarından geri çekilebilir.

Bu hatırlatmaları alma tercihinizi istediğiniz zaman hesap ayarlarınızdan yönetebilirsiniz. Bu amaçla telefon numarasının işlenmesi, hukuki dayanaklar bölümünde açıklanan hukuki dayanaklara uygun olarak gerçekleştirilir.