Bu çeviri kolaylık amacıyla sunulmuştur. Çelişki halinde İngilizce metin geçerlidir.

Gizlilik Politikası

Son güncelleme: Ekim 2026

AAFC (Aesthetic Archive for Clinics), merkezi Akhisar, Manisa, Türkiye'de bulunan bir Türk limited şirketi olan EDECA Yazılım Ticaret ve Sanayi Limited Şirketi ("EDECA", "biz", "bize" veya "bizim") tarafından işletilmektedir. Hizmet, Dr. Atilla Cengiz (kurucu ve tıbbi direktör) tarafından temsil edilmekte ve klinik açıdan denetlenmektedir. İşbu gizlilik politikası, AAFC mobil uygulaması, AAFC web paneli ve Hizmetin hastalara yönelik sayfaları (çevrimiçi randevu, bekleme listesi, ziyaret öncesi sağlık formları, randevu onayı, fotoğraf paylaşımı ve hasta portalı) aracılığıyla işlenen kişisel verileri nasıl topladığımızı, kullandığımızı, sakladığımızı ve koruduğumuzu açıklamaktadır.

İşbu politika aşağıdaki düzenlemelere uygundur:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
• AB Genel Veri Koruma Tüzüğü (GDPR)
• Apple App Store ve Google Play Store gizlilik gereklilikleri

1. Veri Sorumlusu

AAFC aracılığıyla işlenen kişisel verilere ilişkin veri sorumlusu, uygulamayı kullanan klinik veya sağlık meslek mensubudur ("Klinik Kullanıcısı"). EDECA, teknik depolama ve altyapı hizmetleri bakımından Klinik Kullanıcısı adına veri işleyen sıfatıyla hareket eder.

Klinik Kullanıcıları aşağıdakilerden sorumludur:

• Hasta verilerini girmeden önce hastanın rızasını almak
• Yürürlükteki tıbbi gizlilik mevzuatına uymak
• Hastaların verilerine ilişkin taleplerini yanıtlamak

EDECA aşağıdakilerden sorumludur:

• Güvenli teknik altyapı sağlamak
• Uygun güvenlik tedbirlerini uygulamak
• Veri ihlallerini bildirmek

2. Topladığımız Veriler

2.1 Hasta Verileri (Klinik Kullanıcıları tarafından girilen)

• Hasta adları, doğum tarihleri, telefon numaraları, şehirleri ve notlar
• Ziyaret kayıtları, klinik notlar ve tedavi geçmişi
• Hasta fotoğrafları (öncesi/sonrası, süreç takibi)
• Tıbbi belgeler (tedavi kartları, onam formları, barkodlar)
• ICD-10 kodlarıyla kaydedilen tanılar
• Randevular, atanan hekim, oda veya cihaz ve randevuya katılım durumu (gelinmeyen randevular dahil)
• Seans paketleri, ücretler, ödemeler ve taksitler
• Reşit olmayan hastalar için ebeveyn/vasi bilgileri

Bu veriler, KVKK madde 6 ve GDPR madde 9 kapsamında Özel Nitelikli Kişisel Veri (sağlık verisi) olarak sınıflandırılmakta olup güçlendirilmiş koruma ve hastanın açık rızasını gerektirmektedir.

2.2 Doğrudan Hastalar Tarafından İletilen Veriler

Hizmetin bazı sayfaları, ziyaret ettikleri klinik adına bizzat hastalar tarafından kullanılmaktadır. Bu sayfalara girilen veriler, veri sorumlusu sıfatını koruyan ilgili klinik için işlenir:

• Çevrimiçi randevu ve bekleme listesi: ad, telefon numarası, seçilen hizmet, hekim, tarih ve saat, isteğe bağlı bir not ve sayfanın dili
• Ziyaret öncesi sağlık formu: gebelik, alerjiler, kullanılan ilaçlar, kronik hastalıklar, önceki estetik işlemler ve benzeri sağlık sorularına verilen yanıtlar ile isteğe bağlı serbest metin açıklamalar
• Randevu onayı: hastanın randevuyu onaylayıp onaylamadığı veya iptal edip etmediği ve bunun zamanı
• Hasta portalı: portalı kötüye kullanıma karşı korumak amacıyla kullanılan, hatalı PIN girişleri dahil erişim denemeleri

Sağlık formu yanıtları sağlık verisi (Özel Nitelikli Kişisel Veri) niteliğindedir ve yalnızca formu talep eden klinik tarafından görülebilir.

2.3 Klinik Kullanıcısı Verileri

• E-posta adresi, ad soyad ve rol (yönetici, hekim, asistan)
• Klinik bilgileri (ad, logo, hekim adı, klinik adresi)
• Oturum açma zaman damgaları ve güvenlik kayıtları

2.4 Teknik Veriler

• Cihaz tanımlayıcıları, işletim sistemi sürümü
• Uygulama sürümü, çökme raporları ve anonimleştirilmiş tanılama kayıtları
• IP adresleri (güvenlik ve dolandırıcılığın önlenmesi amacıyla)

2.5 Toplamadığımız Veriler

• Konum verisi toplamayız
• İzleme çerezleri veya reklam tanımlayıcıları kullanmayız
• Verileri hiçbir üçüncü kişiye satmayız veya kiralamayız

3. İşlemenin Hukuki Sebepleri (GDPR/KVKK)

Kişisel verileri aşağıdaki hukuki sebeplere dayanarak işlemekteyiz:

• Hasta verileri: Veri girişinden önce Klinik Kullanıcısı tarafından hastadan alınan açık rıza (KVKK md. 6/1, GDPR md. 9(2)(a))
• Hastalar tarafından iletilen veriler: Randevu ve bekleme listesi talepleri, randevu öncesinde hastanın talebi üzerine gerekli adımların atılması amacıyla işlenir; sağlık formu yanıtları ise Klinik Kullanıcısı tarafından alınan, hastanın açık rızası hukuki sebebine dayanılarak işlenir. Her iki durumda da veri sorumlusu Klinik Kullanıcısıdır.
• Klinik Kullanıcısı verileri: Sözleşmenin ifası (hizmetin sunulması) ve meşru menfaat (güvenlik ve dolandırıcılığın önlenmesi)
• Teknik veriler: Hizmetin sürdürülmesi ve iyileştirilmesine yönelik meşru menfaat

4. Verilerinizi Nasıl Kullanıyoruz

• Hasta arşivleme ve ziyaret yönetimi sağlamak
• Öncesi/sonrası karşılaştırma kolajları ve PDF raporları oluşturmak
• Çevrimiçi randevu ve bekleme listesi taleplerini almak ve bunları kliniğin randevu defterine işlemek
• Klinik Kullanıcısının kendi cihazından (örneğin WhatsApp veya SMS aracılığıyla) gönderdiği randevu hatırlatmalarını ve mesajları hazırlamak
• Hastalara, kliniklerinin kendilerine gönderdiği bağlantıları sunmak: sağlık formları, randevu onayı, fotoğraf paylaşımı ve hasta portalı
• Güvenli bulut yedeklemesi ve cihazlar arası senkronizasyon sağlamak
• Klinik kullanıcılarını, rollerini ve erişim yetkilerini yönetmek
• Hizmetle ilgili e-postalar göndermek (parola sıfırlama, güvenlik uyarıları)
• Güvenlik tehditlerini ve yetkisiz erişimi tespit etmek ve önlemek
• Yasal yükümlülüklere uymak

5. Verilerin Saklanması, Güvenliği ve Yurt Dışına Aktarımı

5.1 Saklama

Tüm veriler Supabase altyapısında (ağırlıklı olarak Avrupa'da bulunan AWS sunucuları) saklanır. Veriler hem depolama sırasında (AES-256) hem de iletim sırasında (TLS 1.3) şifrelenir.

5.2 Güvenlik Tedbirleri

• Rol tabanlı erişim kontrolü (klinik verilerine yalnızca yetkili klinik kullanıcıları erişebilir)
• Şifreli kimlik doğrulama ve oturum yönetimi
• Düzenli güvenlik denetimleri ve güvenlik açığı taramaları
• 30 günlük saklama süreli otomatik yedekleme

5.3 Hasta Bağlantıları

Hastalara gönderilen bağlantılar (sağlık formu, randevu onayı, fotoğraf paylaşımı ve hasta portalı) uzun ve rastgele bir kod içerir ve yalnızca bunları alan hastaya yöneliktir. Ayrıca:

• Fotoğraf paylaşım bağlantıları yalnızca kliniğin seçtiği fotoğrafları gösterir, kliniğin belirlediği tarihte sona erer ve klinik tarafından her zaman iptal edilebilir
• Hasta portalı 180 gün geçerlidir ve bir PIN (hastanın telefon numarasının son dört hanesi) gerektirir; 5 hatalı denemeden sonra bir saat süreyle kilitlenir
• Sağlık formu bağlantılarının süresi otomatik olarak sona erer
• Çevrimiçi randevu ve bekleme listesi talepleri, kötüye kullanımı önlemek amacıyla telefon numarası ve klinik başına sınırlandırılır

Hastalar bu bağlantıları başkalarına iletmemelidir. Bir bağlantının başka bir kişiyle paylaşılmış olabileceği durumda hasta, kliniğinden bağlantının iptal edilmesini talep edebilir.

5.4 Yurt Dışına Aktarım

Veriler, altyapı sağlayıcılarımız tarafından işlendiği sırada Türkiye veya Avrupa Ekonomik Alanı dışına aktarılabilir. Yeterli güvencelerin sağlanmasını aşağıdaki yollarla temin ederiz:

• Supabase ve diğer altyapı sağlayıcılarımızla akdedilen Standart Sözleşme Hükümleri (SCC)
• Verilerin iletim ve depolama sırasında şifrelenmesi

6. Verilerin Saklanma Süresi

• Aktif hesaplar: Veriler, hesap aktif olduğu ve hizmet kullanıldığı sürece saklanır.
• Hasta bağlantıları: Fotoğraf paylaşım bağlantıları ve hasta portalı erişimi, süreleri dolduğunda veya iptal edildiğinde sona erer; bunlara dayanak teşkil eden kayıtlar, klinik tarafından silinene kadar kliniğin arşivinde kalır.
• Pasif hesaplar: 12 aylık hareketsizlik süresinin ardından Klinik Kullanıcısına bildirimde bulunulur; veriler bunu izleyen ek 30 günlük sürenin sonunda silinebilir.
• Hesap silme talebi: Veriler, teyit edilmiş bir silme talebinden itibaren 30 gün içinde silinir. Yedekler 90 gün içinde temizlenir.
• Yasal saklama: Türk tıbbi kayıt tutma mevzuatının gerektirmesi halinde belirli veriler daha uzun süre saklanabilir (tıbbi kayıtlar için genellikle 20 yıl).

7. Haklarınız

KVKK madde 11 ve GDPR madde 15-22 uyarınca aşağıdaki haklara sahipsiniz:

• Kişisel verilerinize erişme ve bunların bir kopyasını alma
• Yanlış veya eksik verilerin düzeltilmesini isteme
• Verilerinizin silinmesini isteme ("unutulma hakkı")
• Belirli durumlarda işlemenin kısıtlanmasını isteme
• Meşru menfaate dayalı işlemeye itiraz etme
• Veri taşınabilirliği (verileri yapılandırılmış, makine tarafından okunabilir bir formatta alma)
• Rızanızı her zaman geri alma (rızaya dayalı işleme bakımından)
• Kişisel Verileri Koruma Kurumuna (KVKK Kurumu) veya bulunduğunuz yerdeki denetim makamına şikâyette bulunma

Bu haklarınızı kullanmak için bizimle support@aafclinic.com adresinden iletişime geçebilirsiniz. Talebinizi 30 gün içinde yanıtlarız.

8. Hesabın Silinmesi

Klinik Kullanıcıları hesaplarının ve verilerinin silinmesini aşağıdaki yollarla talep edebilir:

• support@aafclinic.com adresine "Account Deletion Request" (Hesap Silme Talebi) konu başlıklı bir e-posta göndermek
• Kayıtlı e-posta adresini ve klinik adını belirtmek
• Tarafımızca gönderilen doğrulama e-postası aracılığıyla talebi teyit etmek

Silme işlemini 30 gün içinde teyit ederiz.

Hasta verilerinin silinmesine ilişkin talepler, sorumlu Klinik Kullanıcısına yöneltilmelidir. EDECA, bu tür taleplerin yerine getirilmesinde Klinik Kullanıcılarına destek olur. Bu husus, bir hastanın çevrimiçi randevu sayfası, sağlık formu veya hasta portalı aracılığıyla girdiği veriler için de geçerlidir.

9. Üçüncü Taraf Hizmetleri

Hizmetimizi destekleyen aşağıdaki veri işleyenleri kullanmaktayız:

• Supabase (Veritabanı, depolama, kimlik doğrulama) - AWS AB / ABD - supabase.com/privacy
• Resend (İşlemsel e-posta gönderimi) - AB / ABD - resend.com/legal
• Cloudflare (Şifreli yedekler ve imzalı onam belgeleri için R2 nesne depolama) - küresel - cloudflare.com/privacypolicy
• GitHub Pages (Çevrimiçi randevu ve hasta sayfaları dahil aafclinic.com web sitesinin barındırılması; IP adresleri gibi teknik istek verilerini alır) - ABD - GitHub gizlilik bildirimi

Bu veri işleyenler, verilerinizi korumak ve yalnızca tarafımızca talimat verilen amaçlarla kullanmakla sözleşmesel olarak yükümlüdür.

Bir Klinik Kullanıcısı bir hastaya WhatsApp veya SMS aracılığıyla mesaj gönderdiğinde, mesaj Klinik Kullanıcısının kendi cihazından ve hesabından gönderilir; söz konusu iletişim, ilgili mesajlaşma sağlayıcısının kullanım koşullarına ve gizlilik politikasına tabidir.

10. Çocukların Gizliliği

AAFC, sağlık meslek mensupları için tasarlanmış olup 18 yaşın altındaki kişilerin kullanımına yönelik değildir. Reşit olmayan hastalara ait verileri giren Klinik Kullanıcıları, yürürlükteki mevzuatın gerektirdiği şekilde ebeveyn/vasi rızasını almakla yükümlüdür.

Çocuklardan bilerek doğrudan veri toplamayız. Bunu yaptığımızı düşünüyorsanız, bizimle support@aafclinic.com adresinden iletişime geçiniz.

11. Çerezler ve Analiz Araçları

AAFC mobil uygulaması çerez, reklam tanımlayıcısı veya üçüncü taraf analiz araçları kullanmaz. Çevrimiçi randevu ve hasta sayfaları dahil web sitemiz (aafclinic.com), izleme veya reklam çerezi kullanmaz. Web sitemiz, sayfaların bir sonraki ziyaretinizde aynı dilde açılabilmesi için yalnızca dil tercihinizi tarayıcınızın yerel depolama alanında saklar. Bazı sayfalar, yazı tiplerini ve betikleri herkese açık içerik dağıtım ağlarından (cdnjs, jsDelivr) yükler; bu ağlar olağan isteğin bir parçası olarak IP adresinizi alır.

12. Veri İhlali Bildirimi

Kişiler bakımından risk doğurması muhtemel bir kişisel veri ihlali halinde, KVKK ve GDPR'ın gerektirdiği şekilde Kişisel Verileri Koruma Kurumuna 72 saat içinde ve etkilenen kullanıcılara gecikmeksizin bildirimde bulunuruz.

13. İşbu Politikada Yapılacak Değişiklikler

İşbu politikayı zaman zaman güncelleyebiliriz. Esaslı değişiklikler, yürürlüğe girmelerinden en az 30 gün önce Klinik Kullanıcılarına e-posta yoluyla bildirilir. Yukarıda yer alan "Son güncelleme" tarihi her zaman güncel sürümü gösterir.

14. İletişim

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Temsilen: Dr. Atilla Cengiz (kurucu ve tıbbi direktör)

Adres: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Vergi Kimlik Numarası (VKN): 3241207088

E-posta: support@aafclinic.com

Web sitesi: https://aafclinic.com

Türkiye'de KVKK ile ilgili şikâyetleriniz için başvurabileceğiniz merci:
KVKK Kurumu — https://kvkk.gov.tr

AB'de GDPR ile ilgili şikâyetleriniz için bulunduğunuz yerdeki veri koruma otoritesine başvurabilirsiniz.

Privacy Policy

Last updated: October 2026

AAFC (Aesthetic Archive for Clinics) is operated by EDECA Yazılım Ticaret ve Sanayi Limited Şirketi ("EDECA", "we", "us", or "our"), a Turkish limited company based in Akhisar, Manisa, Türkiye. The Service is represented and clinically supervised by Atilla Cengiz, MD (founder and medical director). This privacy policy explains how we collect, use, store, and protect personal data processed through the AAFC mobile application, the AAFC web panel, and the patient-facing pages of the Service (online booking, waiting list, pre-visit health forms, appointment confirmation, photo sharing and the patient portal).

This policy complies with:

• Turkish Personal Data Protection Law (KVKK, Law No. 6698)
• EU General Data Protection Regulation (GDPR)
• Apple App Store and Google Play Store privacy requirements

1. Data Controller

The data controller for personal data processed through AAFC is the clinic or medical professional using the application ("Clinic User"). EDECA acts as a data processor on behalf of the Clinic User for technical storage and infrastructure services.

Clinic Users are responsible for:

• Obtaining patient consent before entering patient data
• Complying with applicable medical confidentiality laws
• Responding to patient data requests

EDECA is responsible for:

• Providing secure technical infrastructure
• Implementing appropriate security measures
• Notifying data breaches

2. Data We Collect

2.1 Patient Data (entered by Clinic Users)

• Patient names, birth dates, phone numbers, cities, and notes
• Visit records, clinical notes, and treatment history
• Patient photographs (before/after, progress tracking)
• Medical documents (treatment cards, consent forms, barcodes)
• Diagnoses recorded with ICD-10 codes
• Appointments, assigned doctor, room or device, and attendance (including missed appointments)
• Session packages, charges, payments and instalments
• Parent/guardian information for minor patients

This data is classified as Special Category Personal Data under KVKK Article 6 and GDPR Article 9 (health data), requiring enhanced protection and explicit patient consent.

2.2 Data Submitted Directly by Patients

Some pages of the Service are used by patients themselves, on behalf of the clinic they are visiting. Data entered there is processed for that clinic, which remains the data controller:

• Online booking and waiting list: name, phone number, chosen service, doctor, date and time, an optional note, and the language of the page
• Pre-visit health form: answers about pregnancy, allergies, medication, chronic conditions, previous aesthetic procedures and similar health questions, plus optional free-text details
• Appointment confirmation: whether the patient confirmed or cancelled an appointment, and when
• Patient portal: access attempts, including failed PIN entries, used to protect the portal against misuse

Health form answers are health data (Special Category Personal Data) and are visible only to the clinic that requested the form.

2.3 Clinic User Data

• Email address, full name, and role (admin, doctor, assistant)
• Clinic information (name, logo, doctor name, clinic address)
• Login timestamps and security logs

2.4 Technical Data

• Device identifiers, operating system version
• App version, crash reports, and anonymized diagnostic logs
• IP addresses (for security and fraud prevention)

2.5 Data We Do NOT Collect

• We do not collect location data
• We do not use tracking cookies or advertising identifiers
• We do not sell or rent data to any third party

3. Legal Basis for Processing (GDPR/KVKK)

We process personal data on the following legal bases:

• Patient data: Explicit consent (KVKK Art. 6/1, GDPR Art. 9(2)(a)) obtained by the Clinic User from the patient before data entry
• Data submitted by patients: Booking and waiting-list requests are processed to take steps at the patient's request before an appointment; health form answers are processed on the basis of the patient's explicit consent, collected by the Clinic User. In both cases the Clinic User is the data controller.
• Clinic User data: Performance of a contract (service delivery) and legitimate interest (security and fraud prevention)
• Technical data: Legitimate interest in maintaining and improving the service

4. How We Use Your Data

• Provide patient archiving and visit management
• Generate before/after comparison collages and PDF reports
• Receive online booking and waiting-list requests and place them in the clinic's appointment book
• Prepare appointment reminders and messages that the Clinic User sends from their own device (for example via WhatsApp or SMS)
• Provide patients with the links their clinic sends them: health forms, appointment confirmation, photo sharing and the patient portal
• Enable secure cloud backup and cross-device synchronization
• Manage clinic users, roles, and access permissions
• Send service-related emails (password reset, security alerts)
• Detect and prevent security threats and unauthorized access
• Comply with legal obligations

5. Data Storage, Security, and International Transfers

5.1 Storage

All data is stored on Supabase infrastructure (AWS servers, primarily in Europe). Data is encrypted at rest (AES-256) and in transit (TLS 1.3).

5.2 Security Measures

• Role-based access control (only authorized clinic users access clinic data)
• Encrypted authentication and session management
• Regular security audits and vulnerability scanning
• Automatic backup with 30-day retention

5.3 Patient Links

Links sent to patients (health form, appointment confirmation, photo sharing and patient portal) contain a long random code and are meant only for the patient who receives them. In addition:

• Photo share links show only the photos the clinic selected, expire on the date the clinic sets, and can be revoked by the clinic at any time
• The patient portal is valid for 180 days and requires a PIN (the last four digits of the patient's phone number); after 5 wrong attempts it is locked for one hour
• Health form links expire automatically
• Online booking and waiting-list requests are rate-limited per phone number and per clinic to prevent abuse

Patients should not forward these links. If a link may have been shared with someone else, the patient can ask their clinic to revoke it.

5.4 International Transfers

Data may be transferred outside of Türkiye or the European Economic Area when processed by our infrastructure providers. We ensure adequate safeguards through:

• Standard Contractual Clauses (SCCs) with Supabase and our other infrastructure providers
• Encryption of data in transit and at rest

6. Data Retention

• Active accounts: Data is retained for as long as the account is active and the service is used.
• Patient links: Photo share links and patient portal access end when they expire or are revoked; the underlying records remain in the clinic's archive until the clinic deletes them.
• Inactive accounts: After 12 months of inactivity, the Clinic User is notified; data may be deleted after an additional 30 days.
• Account deletion request: Data is deleted within 30 days of a confirmed deletion request. Backups are purged within 90 days.
• Legal retention: Certain data may be retained longer if required by Turkish medical recordkeeping laws (typically 20 years for medical records).

7. Your Rights

Under KVKK Article 11 and GDPR Articles 15-22, you have the right to:

• Access your personal data and receive a copy
• Rectify inaccurate or incomplete data
• Erase your data ("right to be forgotten")
• Restrict processing in certain circumstances
• Object to processing based on legitimate interests
• Data portability (receive data in structured, machine-readable format)
• Withdraw consent at any time (for consent-based processing)
• Lodge a complaint with the Turkish Data Protection Authority (KVKK Kurumu) or your local supervisory authority

To exercise these rights, contact us at support@aafclinic.com. We will respond within 30 days.

8. Account Deletion

Clinic Users can request account and data deletion by:

• Emailing support@aafclinic.com with the subject "Account Deletion Request"
• Including the registered email address and clinic name
• Confirming the request via the verification email we send

We will confirm deletion within 30 days.

Patient data deletion requests should be directed to the responsible Clinic User. EDECA will support Clinic Users in fulfilling such requests. This also applies to data a patient entered through an online booking page, health form or patient portal.

9. Third-Party Services

We use the following processors who support our service:

• Supabase (Database, storage, authentication) - AWS EU / USA - supabase.com/privacy
• Resend (Transactional email delivery) - EU / USA - resend.com/legal
• Cloudflare (R2 object storage for encrypted backups and signed consent documents) - global - cloudflare.com/privacypolicy
• GitHub Pages (Hosting of the aafclinic.com website, including the online booking and patient pages; receives technical request data such as IP addresses) - USA - GitHub privacy statement

These processors are contractually bound to protect your data and use it only for the purposes we instruct.

When a Clinic User sends a message to a patient through WhatsApp or SMS, the message is sent from the Clinic User's own device and account; that communication is subject to the terms and privacy policy of the respective messaging provider.

10. Children's Privacy

AAFC is designed for medical professionals and is not intended for use by individuals under 18. Clinic Users who enter minor patient data are responsible for obtaining parental/guardian consent as required by applicable law.

We do not knowingly collect data directly from children. If you believe we have, contact us at support@aafclinic.com.

11. Cookies and Analytics

The AAFC mobile application does not use cookies, advertising identifiers, or third-party analytics tools. Our website (aafclinic.com), including the online booking and patient pages, does not use tracking or advertising cookies. It stores only your language choice in your browser's local storage so that pages open in the same language next time. Some pages load fonts and scripts from public content delivery networks (cdnjs, jsDelivr), which receive your IP address as part of the normal request.

12. Data Breach Notification

In the event of a personal data breach that is likely to result in a risk to individuals, we will notify the Turkish Data Protection Authority within 72 hours and affected users without undue delay, as required by KVKK and GDPR.

13. Changes to This Policy

We may update this policy from time to time. Material changes will be communicated via email to Clinic Users at least 30 days before they take effect. The "Last updated" date above always reflects the current version.

14. Contact

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Represented by: Atilla Cengiz, MD (founder and medical director)

Address: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Tax ID (VKN): 3241207088

Email: support@aafclinic.com

Website: https://aafclinic.com

For KVKK-related complaints in Türkiye, you may contact:
KVKK Kurumu — https://kvkk.gov.tr

For GDPR-related complaints in the EU, you may contact your local Data Protection Authority.

Diese Übersetzung dient nur der Information. Im Zweifelsfall ist die englische Fassung maßgeblich.

Datenschutzerklärung

Zuletzt aktualisiert: Oktober 2026

AAFC (Aesthetic Archive for Clinics) wird von der EDECA Yazılım Ticaret ve Sanayi Limited Şirketi („EDECA“, „wir“, „uns“ oder „unser“) betrieben, einer türkischen Gesellschaft mit beschränkter Haftung mit Sitz in Akhisar, Manisa, Türkiye. Der Dienst wird von Dr. med. Atilla Cengiz (Gründer und ärztlicher Leiter) vertreten und ärztlich beaufsichtigt. Diese Datenschutzerklärung erläutert, wie wir personenbezogene Daten erheben, verwenden, speichern und schützen, die über die mobile AAFC-Anwendung, das AAFC-Webpanel und die patientenseitigen Seiten des Dienstes (Online-Terminbuchung, Warteliste, Gesundheitsfragebögen vor dem Termin, Terminbestätigung, Fotofreigabe und Patientenportal) verarbeitet werden.

Diese Erklärung entspricht:

• dem türkischen Gesetz zum Schutz personenbezogener Daten (KVKK, Gesetz Nr. 6698)
• der EU-Datenschutz-Grundverordnung (DSGVO)
• den Datenschutzanforderungen des Apple App Store und des Google Play Store

1. Verantwortlicher

Verantwortlicher für die über AAFC verarbeiteten personenbezogenen Daten ist die Klinik bzw. die medizinische Fachperson, die die Anwendung nutzt („Klinik-Nutzer“). EDECA handelt im Hinblick auf technische Speicher- und Infrastrukturleistungen als Auftragsverarbeiter im Auftrag des Klinik-Nutzers.

Klinik-Nutzer sind verantwortlich für:

• die Einholung der Einwilligung des Patienten vor der Eingabe von Patientendaten
• die Einhaltung der geltenden Vorschriften zur ärztlichen Schweigepflicht
• die Beantwortung von Anfragen von Patienten zu ihren Daten

EDECA ist verantwortlich für:

• die Bereitstellung einer sicheren technischen Infrastruktur
• die Umsetzung geeigneter Sicherheitsmaßnahmen
• die Meldung von Datenschutzverletzungen

2. Von uns erhobene Daten

2.1 Patientendaten (von Klinik-Nutzern eingegeben)

• Namen, Geburtsdaten, Telefonnummern, Wohnorte und Notizen der Patienten
• Besuchsaufzeichnungen, klinische Notizen und Behandlungsverlauf
• Patientenfotos (Vorher/Nachher, Verlaufsdokumentation)
• Medizinische Dokumente (Behandlungskarten, Einwilligungsformulare, Barcodes)
• Mit ICD-10-Codes erfasste Diagnosen
• Termine, zugewiesener Arzt, Raum oder Gerät sowie Terminwahrnehmung (einschließlich versäumter Termine)
• Sitzungspakete, Gebühren, Zahlungen und Ratenzahlungen
• Angaben zu Eltern/Erziehungsberechtigten bei minderjährigen Patienten

Diese Daten gelten nach Art. 6 KVKK und Art. 9 DSGVO als besondere Kategorien personenbezogener Daten (Gesundheitsdaten) und erfordern einen erhöhten Schutz sowie die ausdrückliche Einwilligung des Patienten.

2.2 Unmittelbar von Patienten übermittelte Daten

Einige Seiten des Dienstes werden von den Patienten selbst im Namen der von ihnen aufgesuchten Klinik genutzt. Die dort eingegebenen Daten werden für diese Klinik verarbeitet, die Verantwortlicher bleibt:

• Online-Terminbuchung und Warteliste: Name, Telefonnummer, gewählte Leistung, Arzt, Datum und Uhrzeit, eine optionale Anmerkung sowie die Sprache der Seite
• Gesundheitsfragebogen vor dem Termin: Antworten zu Schwangerschaft, Allergien, Medikamenten, chronischen Erkrankungen, früheren ästhetischen Eingriffen und ähnlichen Gesundheitsfragen sowie optionale Freitextangaben
• Terminbestätigung: ob und wann der Patient einen Termin bestätigt oder abgesagt hat
• Patientenportal: Zugriffsversuche, einschließlich fehlerhafter PIN-Eingaben, die zum Schutz des Portals vor Missbrauch verwendet werden

Die Antworten im Gesundheitsfragebogen sind Gesundheitsdaten (besondere Kategorien personenbezogener Daten) und sind ausschließlich für die Klinik einsehbar, die den Fragebogen angefordert hat.

2.3 Daten der Klinik-Nutzer

• E-Mail-Adresse, vollständiger Name und Rolle (Administrator, Arzt, Assistent)
• Klinikangaben (Name, Logo, Name des Arztes, Anschrift der Klinik)
• Anmeldezeitstempel und Sicherheitsprotokolle

2.4 Technische Daten

• Gerätekennungen, Version des Betriebssystems
• App-Version, Absturzberichte und anonymisierte Diagnoseprotokolle
• IP-Adressen (zur Gewährleistung der Sicherheit und zur Betrugsprävention)

2.5 Daten, die wir NICHT erheben

• Wir erheben keine Standortdaten
• Wir verwenden keine Tracking-Cookies oder Werbekennungen
• Wir verkaufen oder vermieten keine Daten an Dritte

3. Rechtsgrundlage der Verarbeitung (DSGVO/KVKK)

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Patientendaten: Ausdrückliche Einwilligung (Art. 6 Abs. 1 KVKK, Art. 9 Abs. 2 lit. a DSGVO), die der Klinik-Nutzer vor der Dateneingabe beim Patienten einholt
• Von Patienten übermittelte Daten: Buchungs- und Wartelistenanfragen werden zur Durchführung vorvertraglicher Maßnahmen verarbeitet, die vor einem Termin auf Anfrage des Patienten erfolgen; die Antworten im Gesundheitsfragebogen werden auf Grundlage der ausdrücklichen Einwilligung des Patienten verarbeitet, die vom Klinik-Nutzer eingeholt wird. In beiden Fällen ist der Klinik-Nutzer der Verantwortliche.
• Daten der Klinik-Nutzer: Vertragserfüllung (Leistungserbringung) und berechtigtes Interesse (Sicherheit und Betrugsprävention)
• Technische Daten: Berechtigtes Interesse an der Aufrechterhaltung und Verbesserung des Dienstes

4. Wie wir Ihre Daten verwenden

• Bereitstellung der Patientenarchivierung und Besuchsverwaltung
• Erstellung von Vorher/Nachher-Vergleichscollagen und PDF-Berichten
• Entgegennahme von Online-Buchungs- und Wartelistenanfragen und deren Eintragung in den Terminkalender der Klinik
• Vorbereitung von Terminerinnerungen und Nachrichten, die der Klinik-Nutzer von seinem eigenen Gerät aus versendet (beispielsweise über WhatsApp oder SMS)
• Bereitstellung der Links, die die Klinik ihren Patienten zusendet: Gesundheitsfragebögen, Terminbestätigung, Fotofreigabe und Patientenportal
• Ermöglichung einer sicheren Cloud-Sicherung und geräteübergreifenden Synchronisierung
• Verwaltung von Klinik-Nutzern, Rollen und Zugriffsberechtigungen
• Versand dienstbezogener E-Mails (Zurücksetzen des Passworts, Sicherheitshinweise)
• Erkennung und Verhinderung von Sicherheitsbedrohungen und unbefugtem Zugriff
• Erfüllung gesetzlicher Verpflichtungen

5. Datenspeicherung, Sicherheit und internationale Übermittlungen

5.1 Speicherung

Sämtliche Daten werden auf der Infrastruktur von Supabase gespeichert (AWS-Server, überwiegend in Europa). Die Daten werden im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.3) verschlüsselt.

5.2 Sicherheitsmaßnahmen

• Rollenbasierte Zugriffskontrolle (nur befugte Klinik-Nutzer haben Zugriff auf die Klinikdaten)
• Verschlüsselte Authentifizierung und Sitzungsverwaltung
• Regelmäßige Sicherheitsaudits und Schwachstellenscans
• Automatische Datensicherung mit einer Aufbewahrungsdauer von 30 Tagen

5.3 Patientenlinks

An Patienten gesendete Links (Gesundheitsfragebogen, Terminbestätigung, Fotofreigabe und Patientenportal) enthalten einen langen Zufallscode und sind ausschließlich für den Patienten bestimmt, der sie erhält. Darüber hinaus gilt:

• Links zur Fotofreigabe zeigen nur die von der Klinik ausgewählten Fotos, verfallen zu dem von der Klinik festgelegten Datum und können von der Klinik jederzeit widerrufen werden
• Das Patientenportal ist 180 Tage gültig und erfordert eine PIN (die letzten vier Ziffern der Telefonnummer des Patienten); nach 5 Fehlversuchen wird es für eine Stunde gesperrt
• Links zu Gesundheitsfragebögen verfallen automatisch
• Online-Buchungs- und Wartelistenanfragen werden zur Verhinderung von Missbrauch je Telefonnummer und je Klinik mengenmäßig begrenzt

Patienten sollten diese Links nicht weiterleiten. Wurde ein Link möglicherweise an eine andere Person weitergegeben, kann der Patient seine Klinik ersuchen, ihn zu widerrufen.

5.4 Internationale Übermittlungen

Daten können bei der Verarbeitung durch unsere Infrastrukturanbieter in Länder außerhalb der Türkei oder des Europäischen Wirtschaftsraums übermittelt werden. Wir stellen geeignete Garantien sicher durch:

• Standardvertragsklauseln (SCCs) mit Supabase und unseren weiteren Infrastrukturanbietern
• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand

6. Speicherdauer

• Aktive Konten: Die Daten werden so lange gespeichert, wie das Konto aktiv ist und der Dienst genutzt wird.
• Patientenlinks: Fotofreigabe-Links und der Zugang zum Patientenportal enden mit ihrem Ablauf oder Widerruf; die zugrunde liegenden Datensätze verbleiben im Archiv der Klinik, bis die Klinik sie löscht.
• Inaktive Konten: Nach 12 Monaten Inaktivität wird der Klinik-Nutzer benachrichtigt; die Daten können nach weiteren 30 Tagen gelöscht werden.
• Antrag auf Kontolöschung: Die Daten werden innerhalb von 30 Tagen nach einem bestätigten Löschantrag gelöscht. Sicherungskopien werden innerhalb von 90 Tagen bereinigt.
• Gesetzliche Aufbewahrung: Bestimmte Daten können länger aufbewahrt werden, sofern dies nach den türkischen Vorschriften zur Führung medizinischer Aufzeichnungen erforderlich ist (für medizinische Unterlagen in der Regel 20 Jahre).

7. Ihre Rechte

Nach Art. 11 KVKK und Art. 15–22 DSGVO haben Sie das Recht:

• auf Auskunft über Ihre personenbezogenen Daten und Erhalt einer Kopie
• auf Berichtigung unrichtiger oder unvollständiger Daten
• auf Löschung Ihrer Daten („Recht auf Vergessenwerden“)
• auf Einschränkung der Verarbeitung unter bestimmten Umständen
• auf Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung
• auf Datenübertragbarkeit (Erhalt der Daten in einem strukturierten, maschinenlesbaren Format)
• Ihre Einwilligung jederzeit zu widerrufen (bei einwilligungsbasierter Verarbeitung)
• auf Beschwerde bei der türkischen Datenschutzbehörde (KVKK Kurumu) oder Ihrer örtlichen Aufsichtsbehörde

Zur Ausübung dieser Rechte kontaktieren Sie uns bitte unter support@aafclinic.com. Wir antworten innerhalb von 30 Tagen.

8. Kontolöschung

Klinik-Nutzer können die Löschung ihres Kontos und ihrer Daten beantragen, indem sie:

• eine E-Mail an support@aafclinic.com mit dem Betreff „Account Deletion Request“ (Antrag auf Kontolöschung) senden
• die registrierte E-Mail-Adresse und den Namen der Klinik angeben
• den Antrag über die von uns versandte Bestätigungs-E-Mail bestätigen

Wir bestätigen die Löschung innerhalb von 30 Tagen.

Anträge auf Löschung von Patientendaten sind an den verantwortlichen Klinik-Nutzer zu richten. EDECA unterstützt die Klinik-Nutzer bei der Erfüllung solcher Anträge. Dies gilt auch für Daten, die ein Patient über eine Online-Buchungsseite, einen Gesundheitsfragebogen oder das Patientenportal eingegeben hat.

9. Dienste Dritter

Wir setzen die folgenden Auftragsverarbeiter ein, die unseren Dienst unterstützen:

• Supabase (Datenbank, Speicher, Authentifizierung) - AWS EU / USA - supabase.com/privacy
• Resend (Versand transaktionaler E-Mails) - EU / USA - resend.com/legal
• Cloudflare (R2-Objektspeicher für verschlüsselte Sicherungen und unterzeichnete Einwilligungsdokumente) - weltweit - cloudflare.com/privacypolicy
• GitHub Pages (Hosting der Website aafclinic.com einschließlich der Online-Buchungs- und Patientenseiten; empfängt technische Anfragedaten wie IP-Adressen) - USA - GitHub-Datenschutzerklärung

Diese Auftragsverarbeiter sind vertraglich verpflichtet, Ihre Daten zu schützen und sie ausschließlich für die von uns vorgegebenen Zwecke zu verwenden.

Sendet ein Klinik-Nutzer einem Patienten eine Nachricht über WhatsApp oder SMS, wird die Nachricht vom eigenen Gerät und Konto des Klinik-Nutzers versandt; diese Kommunikation unterliegt den Nutzungsbedingungen und der Datenschutzerklärung des jeweiligen Messaging-Anbieters.

10. Datenschutz bei Kindern

AAFC ist für medizinische Fachkräfte konzipiert und nicht zur Nutzung durch Personen unter 18 Jahren bestimmt. Klinik-Nutzer, die Daten minderjähriger Patienten eingeben, sind dafür verantwortlich, die nach geltendem Recht erforderliche Einwilligung der Eltern/Erziehungsberechtigten einzuholen.

Wir erheben wissentlich keine Daten unmittelbar von Kindern. Sollten Sie der Ansicht sein, dass dies dennoch geschehen ist, kontaktieren Sie uns unter support@aafclinic.com.

11. Cookies und Analysen

Die mobile AAFC-Anwendung verwendet keine Cookies, Werbekennungen oder Analysetools Dritter. Unsere Website (aafclinic.com), einschließlich der Online-Buchungs- und Patientenseiten, verwendet keine Tracking- oder Werbe-Cookies. Sie speichert lediglich Ihre Sprachauswahl im lokalen Speicher Ihres Browsers, damit die Seiten beim nächsten Mal in derselben Sprache geöffnet werden. Einige Seiten laden Schriftarten und Skripte aus öffentlichen Content-Delivery-Netzwerken (cdnjs, jsDelivr), die im Rahmen der üblichen Anfrage Ihre IP-Adresse erhalten.

12. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für natürliche Personen führt, benachrichtigen wir die türkische Datenschutzbehörde innerhalb von 72 Stunden und die betroffenen Nutzer unverzüglich, wie es KVKK und DSGVO vorschreiben.

13. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden den Klinik-Nutzern mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mitgeteilt. Das oben angegebene Datum „Zuletzt aktualisiert“ gibt stets die aktuelle Fassung an.

14. Kontakt

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Vertreten durch: Dr. med. Atilla Cengiz (Gründer und ärztlicher Leiter)

Anschrift: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Steuernummer (VKN): 3241207088

E-Mail: support@aafclinic.com

Website: https://aafclinic.com

Bei Beschwerden im Zusammenhang mit dem KVKK in der Türkei können Sie sich wenden an:
KVKK Kurumu — https://kvkk.gov.tr

Bei Beschwerden im Zusammenhang mit der DSGVO in der EU können Sie sich an Ihre örtliche Datenschutzbehörde wenden.

Esta traducción se ofrece solo por comodidad. En caso de discrepancia, prevalece la versión en inglés.

Política de Privacidad

Última actualización: octubre de 2026

AAFC (Aesthetic Archive for Clinics) es operado por EDECA Yazılım Ticaret ve Sanayi Limited Şirketi («EDECA», «nosotros», «nos» o «nuestro»), una sociedad de responsabilidad limitada turca con domicilio en Akhisar, Manisa, Türkiye. El Servicio está representado y supervisado clínicamente por el Dr. Atilla Cengiz (fundador y director médico). La presente política de privacidad explica cómo recopilamos, utilizamos, almacenamos y protegemos los datos personales tratados a través de la aplicación móvil AAFC, el panel web de AAFC y las páginas del Servicio destinadas a los pacientes (reserva en línea, lista de espera, formularios de salud previos a la consulta, confirmación de citas, compartición de fotografías y portal del paciente).

La presente política cumple con:

• la Ley turca de Protección de Datos Personales (KVKK, Ley n.º 6698)
• el Reglamento General de Protección de Datos de la UE (RGPD)
• los requisitos de privacidad de Apple App Store y Google Play Store

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales tratados a través de AAFC es la clínica o el profesional sanitario que utiliza la aplicación («Usuario Clínico»). EDECA actúa como encargado del tratamiento por cuenta del Usuario Clínico en lo que respecta a los servicios técnicos de almacenamiento e infraestructura.

Los Usuarios Clínicos son responsables de:

• Obtener el consentimiento del paciente antes de introducir sus datos
• Cumplir la normativa aplicable en materia de secreto médico
• Atender las solicitudes de los pacientes relativas a sus datos

EDECA es responsable de:

• Proporcionar una infraestructura técnica segura
• Aplicar medidas de seguridad apropiadas
• Notificar las violaciones de la seguridad de los datos

2. Datos que recopilamos

2.1 Datos de pacientes (introducidos por los Usuarios Clínicos)

• Nombres, fechas de nacimiento, números de teléfono, ciudades y notas de los pacientes
• Registros de consultas, notas clínicas e historial de tratamientos
• Fotografías de pacientes (antes/después, seguimiento de la evolución)
• Documentos médicos (fichas de tratamiento, formularios de consentimiento, códigos de barras)
• Diagnósticos registrados con códigos CIE-10 (ICD-10)
• Citas, médico asignado, sala o equipo, y asistencia (incluidas las citas no atendidas)
• Paquetes de sesiones, cargos, pagos y plazos
• Información de los padres o tutores en el caso de pacientes menores de edad

Estos datos se clasifican como categorías especiales de datos personales conforme al artículo 6 de la KVKK y al artículo 9 del RGPD (datos relativos a la salud), y requieren una protección reforzada y el consentimiento explícito del paciente.

2.2 Datos facilitados directamente por los pacientes

Algunas páginas del Servicio son utilizadas por los propios pacientes, por cuenta de la clínica a la que acuden. Los datos introducidos en ellas se tratan para dicha clínica, que sigue siendo la responsable del tratamiento:

• Reserva en línea y lista de espera: nombre, número de teléfono, servicio elegido, médico, fecha y hora, una nota opcional y el idioma de la página
• Formulario de salud previo a la consulta: respuestas sobre embarazo, alergias, medicación, enfermedades crónicas, procedimientos estéticos previos y preguntas de salud similares, así como observaciones opcionales de texto libre
• Confirmación de citas: si el paciente confirmó o canceló una cita, y cuándo
• Portal del paciente: intentos de acceso, incluidas las introducciones erróneas del PIN, utilizados para proteger el portal frente a usos indebidos

Las respuestas del formulario de salud constituyen datos relativos a la salud (categorías especiales de datos personales) y solo son visibles para la clínica que solicitó el formulario.

2.3 Datos de los Usuarios Clínicos

• Dirección de correo electrónico, nombre completo y función (administrador, médico, asistente)
• Información de la clínica (nombre, logotipo, nombre del médico, dirección de la clínica)
• Marcas de tiempo de inicio de sesión y registros de seguridad

2.4 Datos técnicos

• Identificadores del dispositivo, versión del sistema operativo
• Versión de la aplicación, informes de fallos y registros de diagnóstico anonimizados
• Direcciones IP (con fines de seguridad y prevención del fraude)

2.5 Datos que NO recopilamos

• No recopilamos datos de ubicación
• No utilizamos cookies de seguimiento ni identificadores publicitarios
• No vendemos ni alquilamos datos a terceros

3. Base jurídica del tratamiento (RGPD/KVKK)

Tratamos los datos personales sobre las siguientes bases jurídicas:

• Datos de pacientes: consentimiento explícito (art. 6/1 KVKK, art. 9, apartado 2, letra a), del RGPD) obtenido por el Usuario Clínico del paciente antes de la introducción de los datos
• Datos facilitados por los pacientes: las solicitudes de reserva y de lista de espera se tratan para aplicar, a petición del paciente, medidas previas a una cita; las respuestas del formulario de salud se tratan sobre la base del consentimiento explícito del paciente, recabado por el Usuario Clínico. En ambos casos, el Usuario Clínico es el responsable del tratamiento.
• Datos de los Usuarios Clínicos: ejecución de un contrato (prestación del servicio) e interés legítimo (seguridad y prevención del fraude)
• Datos técnicos: interés legítimo en el mantenimiento y la mejora del servicio

4. Cómo utilizamos sus datos

• Proporcionar el archivo de pacientes y la gestión de consultas
• Generar collages comparativos de antes/después e informes en PDF
• Recibir solicitudes de reserva en línea y de lista de espera e incorporarlas a la agenda de citas de la clínica
• Preparar recordatorios de citas y mensajes que el Usuario Clínico envía desde su propio dispositivo (por ejemplo, a través de WhatsApp o SMS)
• Proporcionar a los pacientes los enlaces que su clínica les envía: formularios de salud, confirmación de citas, compartición de fotografías y portal del paciente
• Permitir copias de seguridad seguras en la nube y la sincronización entre dispositivos
• Gestionar los usuarios de la clínica, sus funciones y permisos de acceso
• Enviar correos electrónicos relacionados con el servicio (restablecimiento de contraseña, alertas de seguridad)
• Detectar y prevenir amenazas de seguridad y accesos no autorizados
• Cumplir las obligaciones legales

5. Almacenamiento, seguridad y transferencias internacionales de datos

5.1 Almacenamiento

Todos los datos se almacenan en la infraestructura de Supabase (servidores de AWS, principalmente en Europa). Los datos se cifran en reposo (AES-256) y en tránsito (TLS 1.3).

5.2 Medidas de seguridad

• Control de acceso basado en funciones (solo los usuarios autorizados de la clínica acceden a los datos de la clínica)
• Autenticación y gestión de sesiones cifradas
• Auditorías de seguridad y análisis de vulnerabilidades periódicos
• Copias de seguridad automáticas con un período de conservación de 30 días

5.3 Enlaces para pacientes

Los enlaces enviados a los pacientes (formulario de salud, confirmación de citas, compartición de fotografías y portal del paciente) contienen un código aleatorio largo y están destinados exclusivamente al paciente que los recibe. Además:

• Los enlaces para compartir fotografías muestran únicamente las fotografías seleccionadas por la clínica, caducan en la fecha que fija la clínica y pueden ser revocados por la clínica en cualquier momento
• El portal del paciente tiene una validez de 180 días y requiere un PIN (los cuatro últimos dígitos del número de teléfono del paciente); tras 5 intentos erróneos queda bloqueado durante una hora
• Los enlaces a los formularios de salud caducan automáticamente
• Las solicitudes de reserva en línea y de lista de espera están sujetas a límites de frecuencia por número de teléfono y por clínica para evitar abusos

Los pacientes no deben reenviar estos enlaces. Si un enlace pudiera haberse compartido con otra persona, el paciente puede solicitar a su clínica que lo revoque.

5.4 Transferencias internacionales

Los datos pueden transferirse fuera de Türkiye o del Espacio Económico Europeo cuando son tratados por nuestros proveedores de infraestructura. Garantizamos salvaguardias adecuadas mediante:

• Cláusulas contractuales tipo (CCT) suscritas con Supabase y nuestros demás proveedores de infraestructura
• El cifrado de los datos en tránsito y en reposo

6. Conservación de los datos

• Cuentas activas: los datos se conservan mientras la cuenta esté activa y se utilice el servicio.
• Enlaces para pacientes: los enlaces para compartir fotografías y el acceso al portal del paciente finalizan cuando caducan o son revocados; los registros subyacentes permanecen en el archivo de la clínica hasta que la clínica los suprima.
• Cuentas inactivas: tras 12 meses de inactividad, se notifica al Usuario Clínico; los datos podrán suprimirse transcurridos 30 días adicionales.
• Solicitud de eliminación de la cuenta: los datos se suprimen en un plazo de 30 días desde una solicitud de supresión confirmada. Las copias de seguridad se depuran en un plazo de 90 días.
• Conservación legal: determinados datos podrán conservarse durante más tiempo si así lo exige la legislación turca sobre conservación de registros médicos (normalmente 20 años para la documentación clínica).

7. Sus derechos

En virtud del artículo 11 de la KVKK y de los artículos 15 a 22 del RGPD, usted tiene derecho a:

• Acceder a sus datos personales y recibir una copia de ellos
• Rectificar los datos inexactos o incompletos
• Suprimir sus datos («derecho al olvido»)
• Limitar el tratamiento en determinadas circunstancias
• Oponerse al tratamiento basado en intereses legítimos
• La portabilidad de los datos (recibir los datos en un formato estructurado y de lectura mecánica)
• Retirar su consentimiento en cualquier momento (en el caso de tratamientos basados en el consentimiento)
• Presentar una reclamación ante la Autoridad turca de Protección de Datos (KVKK Kurumu) o ante su autoridad de control local

Para ejercer estos derechos, póngase en contacto con nosotros en support@aafclinic.com. Le responderemos en un plazo de 30 días.

8. Eliminación de la cuenta

Los Usuarios Clínicos pueden solicitar la eliminación de su cuenta y de sus datos:

• Enviando un correo electrónico a support@aafclinic.com con el asunto «Account Deletion Request» (Solicitud de eliminación de cuenta)
• Indicando la dirección de correo electrónico registrada y el nombre de la clínica
• Confirmando la solicitud mediante el correo electrónico de verificación que le enviaremos

Confirmaremos la eliminación en un plazo de 30 días.

Las solicitudes de supresión de datos de pacientes deben dirigirse al Usuario Clínico responsable. EDECA asistirá a los Usuarios Clínicos en la atención de dichas solicitudes. Lo anterior se aplica también a los datos que un paciente haya introducido a través de una página de reserva en línea, un formulario de salud o el portal del paciente.

9. Servicios de terceros

Utilizamos los siguientes encargados del tratamiento, que prestan apoyo a nuestro servicio:

• Supabase (base de datos, almacenamiento, autenticación) - AWS UE / EE. UU. - supabase.com/privacy
• Resend (envío de correos electrónicos transaccionales) - UE / EE. UU. - resend.com/legal
• Cloudflare (almacenamiento de objetos R2 para copias de seguridad cifradas y documentos de consentimiento firmados) - global - cloudflare.com/privacypolicy
• GitHub Pages (alojamiento del sitio web aafclinic.com, incluidas las páginas de reserva en línea y para pacientes; recibe datos técnicos de las solicitudes, como direcciones IP) - EE. UU. - declaración de privacidad de GitHub

Estos encargados del tratamiento están obligados contractualmente a proteger sus datos y a utilizarlos únicamente para los fines que les indiquemos.

Cuando un Usuario Clínico envía un mensaje a un paciente a través de WhatsApp o SMS, el mensaje se envía desde el propio dispositivo y la propia cuenta del Usuario Clínico; dicha comunicación está sujeta a las condiciones y a la política de privacidad del proveedor de mensajería correspondiente.

10. Privacidad de los menores

AAFC está diseñada para profesionales sanitarios y no está destinada a ser utilizada por personas menores de 18 años. Los Usuarios Clínicos que introduzcan datos de pacientes menores de edad son responsables de obtener el consentimiento de los padres o tutores conforme a la legislación aplicable.

No recopilamos a sabiendas datos directamente de menores. Si cree que lo hemos hecho, póngase en contacto con nosotros en support@aafclinic.com.

11. Cookies y analítica

La aplicación móvil AAFC no utiliza cookies, identificadores publicitarios ni herramientas de analítica de terceros. Nuestro sitio web (aafclinic.com), incluidas las páginas de reserva en línea y para pacientes, no utiliza cookies de seguimiento ni publicitarias. Únicamente almacena su elección de idioma en el almacenamiento local de su navegador para que las páginas se abran en el mismo idioma la próxima vez. Algunas páginas cargan fuentes y scripts desde redes públicas de distribución de contenidos (cdnjs, jsDelivr), que reciben su dirección IP como parte de la solicitud ordinaria.

12. Notificación de violaciones de la seguridad de los datos

En caso de una violación de la seguridad de los datos personales que pueda suponer un riesgo para las personas físicas, notificaremos a la Autoridad turca de Protección de Datos en un plazo de 72 horas y a los usuarios afectados sin dilación indebida, conforme a lo exigido por la KVKK y el RGPD.

13. Modificaciones de la presente política

Podremos actualizar la presente política periódicamente. Las modificaciones sustanciales se comunicarán por correo electrónico a los Usuarios Clínicos con al menos 30 días de antelación a su entrada en vigor. La fecha de «Última actualización» indicada arriba refleja siempre la versión vigente.

14. Contacto

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Representada por: Dr. Atilla Cengiz (fundador y director médico)

Dirección: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Número de identificación fiscal (VKN): 3241207088

Correo electrónico: support@aafclinic.com

Sitio web: https://aafclinic.com

Para reclamaciones relacionadas con la KVKK en Türkiye, puede dirigirse a:
KVKK Kurumu — https://kvkk.gov.tr

Para reclamaciones relacionadas con el RGPD en la UE, puede dirigirse a su autoridad local de protección de datos.

Cette traduction est fournie à titre indicatif. En cas de divergence, la version anglaise prévaut.

Politique de confidentialité

Dernière mise à jour : octobre 2026

AAFC (Aesthetic Archive for Clinics) est exploité par EDECA Yazılım Ticaret ve Sanayi Limited Şirketi (« EDECA », « nous », « notre » ou « nos »), une société à responsabilité limitée de droit turc établie à Akhisar, Manisa, Türkiye. Le Service est représenté et placé sous la supervision clinique du Dr Atilla Cengiz, docteur en médecine (fondateur et directeur médical). La présente politique de confidentialité explique comment nous collectons, utilisons, conservons et protégeons les données à caractère personnel traitées par l'intermédiaire de l'application mobile AAFC, du panneau web AAFC et des pages du Service destinées aux patients (prise de rendez-vous en ligne, liste d'attente, formulaires de santé préalables à la consultation, confirmation de rendez-vous, partage de photos et portail patient).

La présente politique est conforme :

• à la loi turque sur la protection des données à caractère personnel (KVKK, loi n° 6698)
• au Règlement général sur la protection des données de l'UE (RGPD)
• aux exigences en matière de confidentialité de l'Apple App Store et du Google Play Store

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel traitées par l'intermédiaire d'AAFC est la clinique ou le professionnel de santé qui utilise l'application (« Utilisateur Clinique »). EDECA agit en qualité de sous-traitant pour le compte de l'Utilisateur Clinique en ce qui concerne les services techniques de stockage et d'infrastructure.

Les Utilisateurs Cliniques sont responsables de :

• Recueillir le consentement du patient avant de saisir ses données
• Respecter les lois applicables en matière de secret médical
• Répondre aux demandes des patients relatives à leurs données

EDECA est responsable de :

• Fournir une infrastructure technique sécurisée
• Mettre en œuvre des mesures de sécurité appropriées
• Notifier les violations de données

2. Données que nous collectons

2.1 Données des patients (saisies par les Utilisateurs Cliniques)

• Noms, dates de naissance, numéros de téléphone, villes et notes concernant les patients
• Dossiers de consultation, notes cliniques et historique des traitements
• Photographies des patients (avant/après, suivi de l'évolution)
• Documents médicaux (fiches de traitement, formulaires de consentement, codes-barres)
• Diagnostics enregistrés au moyen des codes CIM-10
• Rendez-vous, médecin attitré, salle ou appareil, et présence (y compris les rendez-vous manqués)
• Forfaits de séances, frais, paiements et échéances
• Informations relatives aux parents ou au tuteur légal des patients mineurs

Ces données relèvent des catégories particulières de données à caractère personnel au sens de l'article 6 de la KVKK et de l'article 9 du RGPD (données concernant la santé), ce qui exige une protection renforcée et le consentement explicite du patient.

2.2 Données transmises directement par les patients

Certaines pages du Service sont utilisées par les patients eux-mêmes, pour le compte de la clinique qu'ils consultent. Les données qui y sont saisies sont traitées pour cette clinique, laquelle demeure le responsable du traitement :

• Prise de rendez-vous en ligne et liste d'attente : nom, numéro de téléphone, prestation choisie, médecin, date et heure, une note facultative et la langue de la page
• Formulaire de santé préalable à la consultation : réponses relatives à une grossesse, aux allergies, aux médicaments, aux maladies chroniques, aux actes esthétiques antérieurs et à d'autres questions de santé similaires, ainsi que des précisions facultatives en texte libre
• Confirmation de rendez-vous : le fait que le patient a confirmé ou annulé un rendez-vous, et à quel moment
• Portail patient : tentatives d'accès, y compris les saisies erronées du code PIN, utilisées pour protéger le portail contre les utilisations abusives

Les réponses au formulaire de santé sont des données concernant la santé (catégories particulières de données à caractère personnel) et ne sont visibles que par la clinique qui a demandé le formulaire.

2.3 Données des Utilisateurs Cliniques

• Adresse e-mail, nom complet et rôle (administrateur, médecin, assistant)
• Informations relatives à la clinique (nom, logo, nom du médecin, adresse de la clinique)
• Horodatages de connexion et journaux de sécurité

2.4 Données techniques

• Identifiants de l'appareil, version du système d'exploitation
• Version de l'application, rapports de plantage et journaux de diagnostic anonymisés
• Adresses IP (à des fins de sécurité et de prévention de la fraude)

2.5 Données que nous ne collectons PAS

• Nous ne collectons pas de données de localisation
• Nous n'utilisons pas de cookies de suivi ni d'identifiants publicitaires
• Nous ne vendons ni ne louons de données à aucun tiers

3. Base juridique du traitement (RGPD/KVKK)

Nous traitons les données à caractère personnel sur les bases juridiques suivantes :

• Données des patients : consentement explicite (art. 6/1 de la KVKK, art. 9, paragraphe 2, point a), du RGPD) recueilli par l'Utilisateur Clinique auprès du patient avant la saisie des données
• Données transmises par les patients : les demandes de rendez-vous et d'inscription sur liste d'attente sont traitées afin de prendre des mesures précontractuelles à la demande du patient avant un rendez-vous ; les réponses au formulaire de santé sont traitées sur la base du consentement explicite du patient, recueilli par l'Utilisateur Clinique. Dans les deux cas, l'Utilisateur Clinique est le responsable du traitement.
• Données des Utilisateurs Cliniques : exécution d'un contrat (fourniture du service) et intérêt légitime (sécurité et prévention de la fraude)
• Données techniques : intérêt légitime à maintenir et à améliorer le service

4. Utilisation de vos données

• Fournir l'archivage des dossiers patients et la gestion des consultations
• Générer des montages comparatifs avant/après et des rapports PDF
• Recevoir les demandes de rendez-vous en ligne et d'inscription sur liste d'attente et les inscrire dans l'agenda de la clinique
• Préparer les rappels de rendez-vous et les messages que l'Utilisateur Clinique envoie depuis son propre appareil (par exemple via WhatsApp ou SMS)
• Mettre à la disposition des patients les liens que leur clinique leur envoie : formulaires de santé, confirmation de rendez-vous, partage de photos et portail patient
• Permettre la sauvegarde sécurisée dans le cloud et la synchronisation entre appareils
• Gérer les utilisateurs de la clinique, les rôles et les autorisations d'accès
• Envoyer des e-mails liés au service (réinitialisation du mot de passe, alertes de sécurité)
• Détecter et prévenir les menaces pour la sécurité et les accès non autorisés
• Respecter les obligations légales

5. Stockage des données, sécurité et transferts internationaux

5.1 Stockage

Toutes les données sont stockées sur l'infrastructure Supabase (serveurs AWS, principalement situés en Europe). Les données sont chiffrées au repos (AES-256) et en transit (TLS 1.3).

5.2 Mesures de sécurité

• Contrôle d'accès fondé sur les rôles (seuls les utilisateurs autorisés de la clinique accèdent aux données de celle-ci)
• Authentification et gestion des sessions chiffrées
• Audits de sécurité et analyses de vulnérabilités réguliers
• Sauvegarde automatique avec une durée de conservation de 30 jours

5.3 Liens destinés aux patients

Les liens envoyés aux patients (formulaire de santé, confirmation de rendez-vous, partage de photos et portail patient) contiennent un long code aléatoire et sont destinés exclusivement au patient qui les reçoit. En outre :

• Les liens de partage de photos n'affichent que les photos sélectionnées par la clinique, expirent à la date fixée par celle-ci et peuvent être révoqués par la clinique à tout moment
• Le portail patient est valable 180 jours et requiert un code PIN (les quatre derniers chiffres du numéro de téléphone du patient) ; après 5 tentatives erronées, il est verrouillé pendant une heure
• Les liens des formulaires de santé expirent automatiquement
• Les demandes de rendez-vous en ligne et d'inscription sur liste d'attente sont soumises à une limitation de fréquence par numéro de téléphone et par clinique afin de prévenir les abus

Les patients ne doivent pas transférer ces liens. Si un lien est susceptible d'avoir été communiqué à une autre personne, le patient peut demander à sa clinique de le révoquer.

5.4 Transferts internationaux

Les données peuvent être transférées en dehors de la Türkiye ou de l'Espace économique européen lorsqu'elles sont traitées par nos fournisseurs d'infrastructure. Nous garantissons des garanties appropriées au moyen :

• de clauses contractuelles types (CCT) conclues avec Supabase et nos autres fournisseurs d'infrastructure
• du chiffrement des données en transit et au repos

6. Conservation des données

• Comptes actifs : les données sont conservées aussi longtemps que le compte est actif et que le service est utilisé.
• Liens destinés aux patients : les liens de partage de photos et l'accès au portail patient prennent fin à leur expiration ou à leur révocation ; les enregistrements sous-jacents demeurent dans les archives de la clinique jusqu'à ce que celle-ci les supprime.
• Comptes inactifs : après 12 mois d'inactivité, l'Utilisateur Clinique en est informé ; les données peuvent être supprimées à l'issue d'un délai supplémentaire de 30 jours.
• Demande de suppression de compte : les données sont supprimées dans un délai de 30 jours à compter d'une demande de suppression confirmée. Les sauvegardes sont purgées dans un délai de 90 jours.
• Conservation légale : certaines données peuvent être conservées plus longtemps si la législation turque relative à la tenue des dossiers médicaux l'exige (en général 20 ans pour les dossiers médicaux).

7. Vos droits

En vertu de l'article 11 de la KVKK et des articles 15 à 22 du RGPD, vous disposez du droit :

• d'accéder à vos données à caractère personnel et d'en obtenir une copie
• de faire rectifier des données inexactes ou incomplètes
• de faire effacer vos données (« droit à l'oubli »)
• de faire limiter le traitement dans certaines circonstances
• de vous opposer au traitement fondé sur l'intérêt légitime
• à la portabilité des données (recevoir vos données dans un format structuré et lisible par machine)
• de retirer votre consentement à tout moment (pour les traitements fondés sur le consentement)
• d'introduire une réclamation auprès de l'Autorité turque de protection des données (KVKK Kurumu) ou de votre autorité de contrôle locale

Pour exercer ces droits, contactez-nous à l'adresse support@aafclinic.com. Nous vous répondrons dans un délai de 30 jours.

8. Suppression du compte

Les Utilisateurs Cliniques peuvent demander la suppression de leur compte et de leurs données :

• en envoyant un e-mail à support@aafclinic.com avec pour objet « Account Deletion Request » (demande de suppression de compte)
• en indiquant l'adresse e-mail enregistrée et le nom de la clinique
• en confirmant la demande au moyen de l'e-mail de vérification que nous envoyons

Nous confirmerons la suppression dans un délai de 30 jours.

Les demandes de suppression des données des patients doivent être adressées à l'Utilisateur Clinique responsable. EDECA assistera les Utilisateurs Cliniques dans le traitement de ces demandes. Cela s'applique également aux données qu'un patient a saisies par l'intermédiaire d'une page de prise de rendez-vous en ligne, d'un formulaire de santé ou du portail patient.

9. Services tiers

Nous faisons appel aux sous-traitants suivants, qui contribuent à la fourniture de notre service :

• Supabase (base de données, stockage, authentification) - AWS UE / États-Unis - supabase.com/privacy
• Resend (envoi d'e-mails transactionnels) - UE / États-Unis - resend.com/legal
• Cloudflare (stockage d'objets R2 pour les sauvegardes chiffrées et les documents de consentement signés) - monde entier - cloudflare.com/privacypolicy
• GitHub Pages (hébergement du site web aafclinic.com, y compris les pages de prise de rendez-vous en ligne et les pages destinées aux patients ; reçoit des données techniques de requête telles que les adresses IP) - États-Unis - Déclaration de confidentialité de GitHub

Ces sous-traitants sont contractuellement tenus de protéger vos données et de ne les utiliser qu'aux fins que nous leur indiquons.

Lorsqu'un Utilisateur Clinique envoie un message à un patient via WhatsApp ou SMS, le message est envoyé depuis l'appareil et le compte propres de l'Utilisateur Clinique ; cette communication est soumise aux conditions d'utilisation et à la politique de confidentialité du fournisseur de messagerie concerné.

10. Protection de la vie privée des enfants

AAFC est conçu pour les professionnels de santé et n'est pas destiné à être utilisé par des personnes âgées de moins de 18 ans. Les Utilisateurs Cliniques qui saisissent des données relatives à des patients mineurs sont responsables de l'obtention du consentement des parents ou du tuteur légal, conformément à la législation applicable.

Nous ne collectons pas sciemment de données directement auprès d'enfants. Si vous pensez que nous l'avons fait, contactez-nous à l'adresse support@aafclinic.com.

11. Cookies et outils d'analyse

L'application mobile AAFC n'utilise pas de cookies, d'identifiants publicitaires ni d'outils d'analyse tiers. Notre site web (aafclinic.com), y compris les pages de prise de rendez-vous en ligne et les pages destinées aux patients, n'utilise pas de cookies de suivi ni de cookies publicitaires. Il enregistre uniquement votre choix de langue dans le stockage local de votre navigateur afin que les pages s'ouvrent dans la même langue lors de votre prochaine visite. Certaines pages chargent des polices et des scripts depuis des réseaux publics de diffusion de contenu (cdnjs, jsDelivr), qui reçoivent votre adresse IP dans le cadre de la requête normale.

12. Notification des violations de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les personnes concernées, nous en informerons l'Autorité turque de protection des données dans un délai de 72 heures et les utilisateurs concernés dans les meilleurs délais, conformément aux exigences de la KVKK et du RGPD.

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de temps à autre. Les modifications substantielles seront communiquées par e-mail aux Utilisateurs Cliniques au moins 30 jours avant leur entrée en vigueur. La date de « Dernière mise à jour » indiquée ci-dessus correspond toujours à la version en vigueur.

14. Contact

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Représentée par : Dr Atilla Cengiz, docteur en médecine (fondateur et directeur médical)

Adresse : Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Numéro d'identification fiscale (VKN) : 3241207088

E-mail : support@aafclinic.com

Site web : https://aafclinic.com

Pour toute réclamation relative à la KVKK en Türkiye, vous pouvez contacter :
KVKK Kurumu — https://kvkk.gov.tr

Pour toute réclamation relative au RGPD dans l'UE, vous pouvez contacter votre autorité locale de protection des données.

Questa traduzione è fornita per comodità. In caso di discrepanza prevale la versione inglese.

Informativa sulla privacy

Ultimo aggiornamento: ottobre 2026

AAFC (Aesthetic Archive for Clinics) è gestito da EDECA Yazılım Ticaret ve Sanayi Limited Şirketi ("EDECA", "noi" o "nostro"), una società a responsabilità limitata di diritto turco con sede ad Akhisar, Manisa, Türkiye. Il Servizio è rappresentato e posto sotto la supervisione clinica del Dott. Atilla Cengiz, medico chirurgo (fondatore e direttore sanitario). La presente informativa sulla privacy illustra le modalità con cui raccogliamo, utilizziamo, conserviamo e proteggiamo i dati personali trattati tramite l'applicazione mobile AAFC, il pannello web AAFC e le pagine del Servizio destinate ai pazienti (prenotazione online, lista d'attesa, moduli sanitari pre-visita, conferma dell'appuntamento, condivisione di foto e portale del paziente).

La presente informativa è conforme:

• alla legge turca sulla protezione dei dati personali (KVKK, Legge n. 6698)
• al Regolamento generale sulla protezione dei dati dell'UE (GDPR)
• ai requisiti in materia di privacy dell'Apple App Store e del Google Play Store

1. Titolare del trattamento

Il titolare del trattamento dei dati personali trattati tramite AAFC è la clinica o il professionista sanitario che utilizza l'applicazione ("Utente Clinica"). EDECA agisce in qualità di responsabile del trattamento per conto dell'Utente Clinica per i servizi tecnici di archiviazione e di infrastruttura.

Gli Utenti Clinica sono responsabili di:

• Ottenere il consenso del paziente prima di inserirne i dati
• Rispettare la normativa applicabile in materia di segreto professionale medico
• Rispondere alle richieste dei pazienti relative ai propri dati

EDECA è responsabile di:

• Fornire un'infrastruttura tecnica sicura
• Adottare misure di sicurezza adeguate
• Notificare le violazioni dei dati

2. Dati che raccogliamo

2.1 Dati dei pazienti (inseriti dagli Utenti Clinica)

• Nomi, date di nascita, numeri di telefono, città e note dei pazienti
• Registrazioni delle visite, note cliniche e storico dei trattamenti
• Fotografie dei pazienti (prima/dopo, monitoraggio dei progressi)
• Documenti medici (schede di trattamento, moduli di consenso, codici a barre)
• Diagnosi registrate con codici ICD-10
• Appuntamenti, medico assegnato, sala o apparecchiatura e presenza (inclusi gli appuntamenti mancati)
• Pacchetti di sedute, addebiti, pagamenti e rate
• Informazioni sui genitori o sul tutore dei pazienti minorenni

Tali dati rientrano nelle categorie particolari di dati personali ai sensi dell'articolo 6 della KVKK e dell'articolo 9 del GDPR (dati relativi alla salute) e richiedono una protezione rafforzata e il consenso esplicito del paziente.

2.2 Dati trasmessi direttamente dai pazienti

Alcune pagine del Servizio sono utilizzate dai pazienti stessi, per conto della clinica presso cui sono in cura. I dati ivi inseriti sono trattati per conto di tale clinica, che rimane il titolare del trattamento:

• Prenotazione online e lista d'attesa: nome, numero di telefono, prestazione scelta, medico, data e ora, una nota facoltativa e la lingua della pagina
• Modulo sanitario pre-visita: risposte relative a gravidanza, allergie, farmaci, patologie croniche, precedenti trattamenti estetici e domande analoghe sulla salute, oltre a eventuali dettagli facoltativi in testo libero
• Conferma dell'appuntamento: se il paziente ha confermato o annullato un appuntamento, e quando
• Portale del paziente: tentativi di accesso, compresi gli inserimenti errati del PIN, utilizzati per proteggere il portale da usi impropri

Le risposte al modulo sanitario sono dati relativi alla salute (categorie particolari di dati personali) e sono visibili esclusivamente alla clinica che ha richiesto il modulo.

2.3 Dati degli Utenti Clinica

• Indirizzo e-mail, nome e cognome e ruolo (amministratore, medico, assistente)
• Informazioni sulla clinica (nome, logo, nome del medico, indirizzo della clinica)
• Marche temporali di accesso e log di sicurezza

2.4 Dati tecnici

• Identificativi del dispositivo, versione del sistema operativo
• Versione dell'app, rapporti sugli arresti anomali e log diagnostici anonimizzati
• Indirizzi IP (a fini di sicurezza e di prevenzione delle frodi)

2.5 Dati che NON raccogliamo

• Non raccogliamo dati di localizzazione
• Non utilizziamo cookie di tracciamento né identificativi pubblicitari
• Non vendiamo né cediamo in locazione dati a terzi

3. Base giuridica del trattamento (GDPR/KVKK)

Trattiamo i dati personali sulla base delle seguenti basi giuridiche:

• Dati dei pazienti: consenso esplicito (art. 6/1 KVKK, art. 9, paragrafo 2, lettera a), GDPR) ottenuto dall'Utente Clinica presso il paziente prima dell'inserimento dei dati
• Dati trasmessi dai pazienti: le richieste di prenotazione e di iscrizione alla lista d'attesa sono trattate per l'esecuzione di misure precontrattuali adottate su richiesta del paziente prima di un appuntamento; le risposte al modulo sanitario sono trattate sulla base del consenso esplicito del paziente, raccolto dall'Utente Clinica. In entrambi i casi, l'Utente Clinica è il titolare del trattamento.
• Dati degli Utenti Clinica: esecuzione di un contratto (erogazione del servizio) e legittimo interesse (sicurezza e prevenzione delle frodi)
• Dati tecnici: legittimo interesse al mantenimento e al miglioramento del servizio

4. Come utilizziamo i Suoi dati

• Fornire l'archiviazione dei dati dei pazienti e la gestione delle visite
• Generare collage comparativi prima/dopo e report in formato PDF
• Ricevere le richieste di prenotazione online e di iscrizione alla lista d'attesa e inserirle nell'agenda degli appuntamenti della clinica
• Predisporre promemoria degli appuntamenti e messaggi che l'Utente Clinica invia dal proprio dispositivo (ad esempio tramite WhatsApp o SMS)
• Mettere a disposizione dei pazienti i link che la loro clinica invia loro: moduli sanitari, conferma dell'appuntamento, condivisione di foto e portale del paziente
• Consentire il backup sicuro nel cloud e la sincronizzazione tra dispositivi
• Gestire gli utenti della clinica, i ruoli e le autorizzazioni di accesso
• Inviare e-mail relative al servizio (reimpostazione della password, avvisi di sicurezza)
• Rilevare e prevenire minacce alla sicurezza e accessi non autorizzati
• Adempiere agli obblighi di legge

5. Conservazione dei dati, sicurezza e trasferimenti internazionali

5.1 Archiviazione

Tutti i dati sono archiviati sull'infrastruttura Supabase (server AWS, principalmente in Europa). I dati sono cifrati a riposo (AES-256) e in transito (TLS 1.3).

5.2 Misure di sicurezza

• Controllo degli accessi basato sui ruoli (solo gli utenti autorizzati della clinica accedono ai dati della clinica)
• Autenticazione e gestione delle sessioni cifrate
• Audit di sicurezza e scansioni delle vulnerabilità periodici
• Backup automatico con conservazione di 30 giorni

5.3 Link per i pazienti

I link inviati ai pazienti (modulo sanitario, conferma dell'appuntamento, condivisione di foto e portale del paziente) contengono un lungo codice casuale e sono destinati esclusivamente al paziente che li riceve. Inoltre:

• I link di condivisione delle foto mostrano soltanto le foto selezionate dalla clinica, scadono alla data stabilita dalla clinica e possono essere revocati dalla clinica in qualsiasi momento
• Il portale del paziente è valido per 180 giorni e richiede un PIN (le ultime quattro cifre del numero di telefono del paziente); dopo 5 tentativi errati viene bloccato per un'ora
• I link dei moduli sanitari scadono automaticamente
• Le richieste di prenotazione online e di iscrizione alla lista d'attesa sono soggette a limiti di frequenza per numero di telefono e per clinica al fine di prevenire abusi

I pazienti non devono inoltrare tali link. Qualora un link possa essere stato condiviso con un'altra persona, il paziente può chiedere alla propria clinica di revocarlo.

5.4 Trasferimenti internazionali

I dati possono essere trasferiti al di fuori della Türkiye o dello Spazio economico europeo quando sono trattati dai nostri fornitori di infrastruttura. Garantiamo garanzie adeguate mediante:

• Clausole contrattuali standard (SCC) stipulate con Supabase e con gli altri nostri fornitori di infrastruttura
• Cifratura dei dati in transito e a riposo

6. Conservazione dei dati

• Account attivi: i dati sono conservati per tutto il tempo in cui l'account è attivo e il servizio viene utilizzato.
• Link per i pazienti: i link di condivisione delle foto e l'accesso al portale del paziente cessano alla loro scadenza o revoca; i dati sottostanti rimangono nell'archivio della clinica fino a quando la clinica non li elimina.
• Account inattivi: dopo 12 mesi di inattività, l'Utente Clinica riceve una notifica; i dati possono essere eliminati dopo ulteriori 30 giorni.
• Richiesta di eliminazione dell'account: i dati sono eliminati entro 30 giorni da una richiesta di eliminazione confermata. I backup sono cancellati entro 90 giorni.
• Conservazione per obblighi di legge: alcuni dati possono essere conservati più a lungo se richiesto dalla normativa turca sulla tenuta della documentazione medica (di norma 20 anni per le cartelle cliniche).

7. I Suoi diritti

Ai sensi dell'articolo 11 della KVKK e degli articoli da 15 a 22 del GDPR, Lei ha il diritto di:

• Accedere ai Suoi dati personali e riceverne una copia
• Rettificare dati inesatti o incompleti
• Ottenere la cancellazione dei Suoi dati ("diritto all'oblio")
• Limitare il trattamento in determinate circostanze
• Opporsi al trattamento basato sul legittimo interesse
• Portabilità dei dati (ricevere i dati in un formato strutturato e leggibile da dispositivo automatico)
• Revocare il consenso in qualsiasi momento (per i trattamenti basati sul consenso)
• Proporre reclamo all'Autorità turca per la protezione dei dati (KVKK Kurumu) o alla Sua autorità di controllo locale

Per esercitare tali diritti, ci contatti all'indirizzo support@aafclinic.com. Risponderemo entro 30 giorni.

8. Eliminazione dell'account

Gli Utenti Clinica possono richiedere l'eliminazione dell'account e dei dati:

• Inviando un'e-mail a support@aafclinic.com con oggetto "Account Deletion Request" (richiesta di eliminazione dell'account)
• Indicando l'indirizzo e-mail registrato e il nome della clinica
• Confermando la richiesta tramite l'e-mail di verifica che inviamo

Confermeremo l'eliminazione entro 30 giorni.

Le richieste di eliminazione dei dati dei pazienti devono essere rivolte all'Utente Clinica responsabile. EDECA assisterà gli Utenti Clinica nell'evasione di tali richieste. Ciò vale anche per i dati che un paziente ha inserito tramite una pagina di prenotazione online, un modulo sanitario o il portale del paziente.

9. Servizi di terze parti

Ci avvaliamo dei seguenti responsabili del trattamento, che supportano il nostro servizio:

• Supabase (database, archiviazione, autenticazione) - AWS UE / USA - supabase.com/privacy
• Resend (invio di e-mail transazionali) - UE / USA - resend.com/legal
• Cloudflare (archiviazione di oggetti R2 per backup cifrati e documenti di consenso firmati) - globale - cloudflare.com/privacypolicy
• GitHub Pages (hosting del sito web aafclinic.com, comprese le pagine di prenotazione online e le pagine per i pazienti; riceve dati tecnici delle richieste, quali gli indirizzi IP) - USA - Informativa sulla privacy di GitHub

Tali responsabili del trattamento sono contrattualmente vincolati a proteggere i Suoi dati e a utilizzarli esclusivamente per le finalità da noi indicate.

Quando un Utente Clinica invia un messaggio a un paziente tramite WhatsApp o SMS, il messaggio viene inviato dal dispositivo e dall'account propri dell'Utente Clinica; tale comunicazione è soggetta ai termini e all'informativa sulla privacy del rispettivo fornitore del servizio di messaggistica.

10. Privacy dei minori

AAFC è concepito per i professionisti sanitari e non è destinato all'uso da parte di persone di età inferiore a 18 anni. Gli Utenti Clinica che inseriscono dati di pazienti minorenni sono responsabili dell'ottenimento del consenso dei genitori o del tutore, come previsto dalla normativa applicabile.

Non raccogliamo consapevolmente dati direttamente da minori. Qualora ritenga che ciò sia avvenuto, ci contatti all'indirizzo support@aafclinic.com.

11. Cookie e strumenti di analisi

L'applicazione mobile AAFC non utilizza cookie, identificativi pubblicitari né strumenti di analisi di terze parti. Il nostro sito web (aafclinic.com), comprese le pagine di prenotazione online e le pagine per i pazienti, non utilizza cookie di tracciamento né cookie pubblicitari. Memorizza soltanto la Sua scelta della lingua nell'archiviazione locale del Suo browser, affinché le pagine si aprano nella stessa lingua alla visita successiva. Alcune pagine caricano font e script da reti pubbliche di distribuzione dei contenuti (cdnjs, jsDelivr), che ricevono il Suo indirizzo IP nell'ambito della normale richiesta.

12. Notifica delle violazioni dei dati

In caso di violazione dei dati personali che possa presentare un rischio per le persone fisiche, ne daremo notifica all'Autorità turca per la protezione dei dati entro 72 ore e agli utenti interessati senza ingiustificato ritardo, come previsto dalla KVKK e dal GDPR.

13. Modifiche alla presente informativa

Potremo aggiornare periodicamente la presente informativa. Le modifiche sostanziali saranno comunicate via e-mail agli Utenti Clinica almeno 30 giorni prima della loro entrata in vigore. La data di "Ultimo aggiornamento" sopra indicata corrisponde sempre alla versione vigente.

14. Contatti

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Rappresentata da: Dott. Atilla Cengiz, medico chirurgo (fondatore e direttore sanitario)

Indirizzo: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Codice fiscale (VKN): 3241207088

E-mail: support@aafclinic.com

Sito web: https://aafclinic.com

Per reclami relativi alla KVKK in Türkiye, può rivolgersi a:
KVKK Kurumu — https://kvkk.gov.tr

Per reclami relativi al GDPR nell'UE, può rivolgersi alla Sua autorità locale per la protezione dei dati.

Esta tradução é fornecida apenas por conveniência. Em caso de divergência, prevalece a versão em inglês.

Política de Privacidade

Última atualização: outubro de 2026

O AAFC (Aesthetic Archive for Clinics) é explorado pela EDECA Yazılım Ticaret ve Sanayi Limited Şirketi ("EDECA", "nós", "nos" ou "nosso"), uma sociedade de responsabilidade limitada de direito turco com sede em Akhisar, Manisa, Türkiye. O Serviço é representado e supervisionado clinicamente pelo Dr. Atilla Cengiz, médico (fundador e diretor clínico). A presente política de privacidade explica como recolhemos, utilizamos, conservamos e protegemos os dados pessoais tratados através da aplicação móvel AAFC, do painel web AAFC e das páginas do Serviço destinadas aos pacientes (marcação online, lista de espera, formulários de saúde pré-consulta, confirmação de consultas, partilha de fotografias e portal do paciente).

A presente política está em conformidade com:

• a Lei Turca de Proteção de Dados Pessoais (KVKK, Lei n.º 6698)
• o Regulamento Geral sobre a Proteção de Dados da UE (RGPD)
• os requisitos de privacidade da Apple App Store e da Google Play Store

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais tratados através do AAFC é a clínica ou o profissional de saúde que utiliza a aplicação ("Utilizador Clínico"). A EDECA atua como subcontratante por conta do Utilizador Clínico no que respeita aos serviços técnicos de armazenamento e de infraestrutura.

Os Utilizadores Clínicos são responsáveis por:

• Obter o consentimento do paciente antes de introduzir os dados do paciente
• Cumprir a legislação aplicável em matéria de sigilo médico
• Responder aos pedidos dos pacientes relativos aos seus dados

A EDECA é responsável por:

• Disponibilizar uma infraestrutura técnica segura
• Aplicar medidas de segurança adequadas
• Notificar violações de dados

2. Dados que recolhemos

2.1 Dados dos pacientes (introduzidos pelos Utilizadores Clínicos)

• Nomes, datas de nascimento, números de telefone, cidades e notas dos pacientes
• Registos de consultas, notas clínicas e historial de tratamentos
• Fotografias dos pacientes (antes/depois, acompanhamento da evolução)
• Documentos médicos (fichas de tratamento, formulários de consentimento, códigos de barras)
• Diagnósticos registados com códigos CID-10
• Consultas marcadas, médico atribuído, sala ou equipamento e comparência (incluindo faltas a consultas)
• Pacotes de sessões, encargos, pagamentos e prestações
• Informações sobre os pais ou o tutor de pacientes menores

Estes dados são classificados como categorias especiais de dados pessoais nos termos do artigo 6.º da KVKK e do artigo 9.º do RGPD (dados relativos à saúde), exigindo uma proteção reforçada e o consentimento explícito do paciente.

2.2 Dados fornecidos diretamente pelos pacientes

Algumas páginas do Serviço são utilizadas pelos próprios pacientes, por conta da clínica que frequentam. Os dados aí introduzidos são tratados para essa clínica, que continua a ser a responsável pelo tratamento:

• Marcação online e lista de espera: nome, número de telefone, serviço escolhido, médico, data e hora, uma nota opcional e o idioma da página
• Formulário de saúde pré-consulta: respostas sobre gravidez, alergias, medicação, doenças crónicas, procedimentos estéticos anteriores e questões de saúde semelhantes, bem como pormenores opcionais em texto livre
• Confirmação de consultas: se o paciente confirmou ou cancelou uma consulta, e quando
• Portal do paciente: tentativas de acesso, incluindo introduções erradas do PIN, utilizadas para proteger o portal contra utilização abusiva

As respostas ao formulário de saúde são dados relativos à saúde (categorias especiais de dados pessoais) e só são visíveis para a clínica que solicitou o formulário.

2.3 Dados dos Utilizadores Clínicos

• Endereço de e-mail, nome completo e função (administrador, médico, assistente)
• Informações da clínica (nome, logótipo, nome do médico, morada da clínica)
• Registos de data e hora de início de sessão e registos de segurança

2.4 Dados técnicos

• Identificadores do dispositivo, versão do sistema operativo
• Versão da aplicação, relatórios de falhas e registos de diagnóstico anonimizados
• Endereços IP (para fins de segurança e prevenção de fraude)

2.5 Dados que NÃO recolhemos

• Não recolhemos dados de localização
• Não utilizamos cookies de rastreamento nem identificadores de publicidade
• Não vendemos nem alugamos dados a quaisquer terceiros

3. Fundamento jurídico do tratamento (RGPD/KVKK)

Tratamos dados pessoais com base nos seguintes fundamentos jurídicos:

• Dados dos pacientes: consentimento explícito (art. 6.º/1 da KVKK, art. 9.º, n.º 2, alínea a), do RGPD) obtido pelo Utilizador Clínico junto do paciente antes da introdução dos dados
• Dados fornecidos pelos pacientes: os pedidos de marcação e de inscrição na lista de espera são tratados para efeitos de diligências pré-contratuais a pedido do paciente antes de uma consulta; as respostas ao formulário de saúde são tratadas com base no consentimento explícito do paciente, recolhido pelo Utilizador Clínico. Em ambos os casos, o Utilizador Clínico é o responsável pelo tratamento.
• Dados dos Utilizadores Clínicos: execução de um contrato (prestação do serviço) e interesse legítimo (segurança e prevenção de fraude)
• Dados técnicos: interesse legítimo na manutenção e melhoria do serviço

4. Como utilizamos os seus dados

• Disponibilizar o arquivo de pacientes e a gestão de consultas
• Gerar colagens comparativas antes/depois e relatórios em PDF
• Receber pedidos de marcação online e de inscrição na lista de espera e registá-los na agenda de consultas da clínica
• Preparar lembretes de consultas e mensagens que o Utilizador Clínico envia a partir do seu próprio dispositivo (por exemplo, através do WhatsApp ou de SMS)
• Disponibilizar aos pacientes as ligações que a sua clínica lhes envia: formulários de saúde, confirmação de consultas, partilha de fotografias e portal do paciente
• Permitir a cópia de segurança na nuvem segura e a sincronização entre dispositivos
• Gerir os utilizadores da clínica, as funções e as permissões de acesso
• Enviar e-mails relacionados com o serviço (reposição da palavra-passe, alertas de segurança)
• Detetar e prevenir ameaças à segurança e acessos não autorizados
• Cumprir obrigações legais

5. Armazenamento de dados, segurança e transferências internacionais

5.1 Armazenamento

Todos os dados são armazenados na infraestrutura da Supabase (servidores AWS, principalmente na Europa). Os dados são cifrados em repouso (AES-256) e em trânsito (TLS 1.3).

5.2 Medidas de segurança

• Controlo de acesso baseado em funções (apenas os utilizadores autorizados da clínica acedem aos dados da clínica)
• Autenticação e gestão de sessões cifradas
• Auditorias de segurança e análises de vulnerabilidades periódicas
• Cópia de segurança automática com conservação de 30 dias

5.3 Ligações para pacientes

As ligações enviadas aos pacientes (formulário de saúde, confirmação de consultas, partilha de fotografias e portal do paciente) contêm um código aleatório longo e destinam-se exclusivamente ao paciente que as recebe. Além disso:

• As ligações de partilha de fotografias mostram apenas as fotografias selecionadas pela clínica, expiram na data fixada pela clínica e podem ser revogadas pela clínica a qualquer momento
• O portal do paciente é válido durante 180 dias e exige um PIN (os últimos quatro dígitos do número de telefone do paciente); após 5 tentativas erradas, fica bloqueado durante uma hora
• As ligações dos formulários de saúde expiram automaticamente
• Os pedidos de marcação online e de inscrição na lista de espera estão sujeitos a limites de frequência por número de telefone e por clínica, a fim de prevenir abusos

Os pacientes não devem reencaminhar estas ligações. Se uma ligação puder ter sido partilhada com outra pessoa, o paciente pode pedir à sua clínica que a revogue.

5.4 Transferências internacionais

Os dados podem ser transferidos para fora da Türkiye ou do Espaço Económico Europeu quando tratados pelos nossos prestadores de infraestrutura. Asseguramos garantias adequadas através de:

• Cláusulas Contratuais-Tipo (CCT) celebradas com a Supabase e com os nossos outros prestadores de infraestrutura
• Cifragem dos dados em trânsito e em repouso

6. Conservação dos dados

• Contas ativas: os dados são conservados enquanto a conta estiver ativa e o serviço for utilizado.
• Ligações para pacientes: as ligações de partilha de fotografias e o acesso ao portal do paciente cessam quando expiram ou são revogados; os registos subjacentes permanecem no arquivo da clínica até que a clínica os elimine.
• Contas inativas: após 12 meses de inatividade, o Utilizador Clínico é notificado; os dados podem ser eliminados após um prazo adicional de 30 dias.
• Pedido de eliminação da conta: os dados são eliminados no prazo de 30 dias a contar de um pedido de eliminação confirmado. As cópias de segurança são purgadas no prazo de 90 dias.
• Conservação legal: determinados dados podem ser conservados durante mais tempo se tal for exigido pela legislação turca relativa à conservação de registos médicos (normalmente 20 anos para os processos clínicos).

7. Os seus direitos

Nos termos do artigo 11.º da KVKK e dos artigos 15.º a 22.º do RGPD, tem o direito de:

• Aceder aos seus dados pessoais e receber uma cópia dos mesmos
• Retificar dados inexatos ou incompletos
• Apagar os seus dados ("direito a ser esquecido")
• Limitar o tratamento em determinadas circunstâncias
• Opor-se ao tratamento baseado em interesses legítimos
• Portabilidade dos dados (receber os dados num formato estruturado e de leitura automática)
• Retirar o consentimento a qualquer momento (relativamente ao tratamento baseado no consentimento)
• Apresentar reclamação junto da Autoridade Turca de Proteção de Dados (KVKK Kurumu) ou da sua autoridade de controlo local

Para exercer estes direitos, contacte-nos através de support@aafclinic.com. Responderemos no prazo de 30 dias.

8. Eliminação da conta

Os Utilizadores Clínicos podem solicitar a eliminação da conta e dos dados:

• Enviando um e-mail para support@aafclinic.com com o assunto "Account Deletion Request" (pedido de eliminação de conta)
• Indicando o endereço de e-mail registado e o nome da clínica
• Confirmando o pedido através do e-mail de verificação que enviamos

Confirmaremos a eliminação no prazo de 30 dias.

Os pedidos de eliminação de dados de pacientes devem ser dirigidos ao Utilizador Clínico responsável. A EDECA apoiará os Utilizadores Clínicos no cumprimento desses pedidos. O mesmo se aplica aos dados que um paciente tenha introduzido através de uma página de marcação online, de um formulário de saúde ou do portal do paciente.

9. Serviços de terceiros

Recorremos aos seguintes subcontratantes, que apoiam o nosso serviço:

• Supabase (base de dados, armazenamento, autenticação) - AWS UE / EUA - supabase.com/privacy
• Resend (envio de e-mails transacionais) - UE / EUA - resend.com/legal
• Cloudflare (armazenamento de objetos R2 para cópias de segurança cifradas e documentos de consentimento assinados) - global - cloudflare.com/privacypolicy
• GitHub Pages (alojamento do sítio web aafclinic.com, incluindo as páginas de marcação online e as páginas para pacientes; recebe dados técnicos dos pedidos, como endereços IP) - EUA - Declaração de privacidade do GitHub

Estes subcontratantes estão contratualmente obrigados a proteger os seus dados e a utilizá-los apenas para as finalidades que lhes indicamos.

Quando um Utilizador Clínico envia uma mensagem a um paciente através do WhatsApp ou de SMS, a mensagem é enviada a partir do dispositivo e da conta do próprio Utilizador Clínico; essa comunicação está sujeita aos termos e à política de privacidade do respetivo prestador de serviços de mensagens.

10. Privacidade das crianças

O AAFC foi concebido para profissionais de saúde e não se destina a ser utilizado por pessoas com idade inferior a 18 anos. Os Utilizadores Clínicos que introduzam dados de pacientes menores são responsáveis pela obtenção do consentimento dos pais ou do tutor, conforme exigido pela legislação aplicável.

Não recolhemos conscientemente dados diretamente de crianças. Se considerar que o fizemos, contacte-nos através de support@aafclinic.com.

11. Cookies e ferramentas de análise

A aplicação móvel AAFC não utiliza cookies, identificadores de publicidade nem ferramentas de análise de terceiros. O nosso sítio web (aafclinic.com), incluindo as páginas de marcação online e as páginas para pacientes, não utiliza cookies de rastreamento nem cookies de publicidade. Apenas guarda a sua escolha de idioma no armazenamento local do seu navegador, para que as páginas abram no mesmo idioma da próxima vez. Algumas páginas carregam tipos de letra e scripts a partir de redes públicas de distribuição de conteúdos (cdnjs, jsDelivr), que recebem o seu endereço IP no âmbito do pedido normal.

12. Notificação de violações de dados

Em caso de violação de dados pessoais suscetível de implicar um risco para as pessoas, notificaremos a Autoridade Turca de Proteção de Dados no prazo de 72 horas e os utilizadores afetados sem demora injustificada, conforme exigido pela KVKK e pelo RGPD.

13. Alterações à presente política

Poderemos atualizar a presente política periodicamente. As alterações substanciais serão comunicadas por e-mail aos Utilizadores Clínicos com, pelo menos, 30 dias de antecedência relativamente à sua entrada em vigor. A data de "Última atualização" indicada acima reflete sempre a versão em vigor.

14. Contacto

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Representada por: Dr. Atilla Cengiz, médico (fundador e diretor clínico)

Morada: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Número de identificação fiscal (VKN): 3241207088

E-mail: support@aafclinic.com

Sítio web: https://aafclinic.com

Para reclamações relacionadas com a KVKK na Türkiye, pode contactar:
KVKK Kurumu — https://kvkk.gov.tr

Para reclamações relacionadas com o RGPD na UE, pode contactar a sua autoridade local de proteção de dados.

Перевод предоставлен для удобства. В случае расхождений преимущественную силу имеет версия на английском языке.

Политика конфиденциальности

Последнее обновление: октябрь 2026 г.

Оператором AAFC (Aesthetic Archive for Clinics) является EDECA Yazılım Ticaret ve Sanayi Limited Şirketi («EDECA», «мы», «нас» или «наш»), турецкое общество с ограниченной ответственностью, находящееся в г. Акхисар, Маниса, Турция. Сервис представляет и осуществляет клинический надзор за ним Atilla Cengiz, MD (основатель и медицинский директор). Настоящая политика конфиденциальности разъясняет, каким образом мы собираем, используем, храним и защищаем персональные данные, обрабатываемые посредством мобильного приложения AAFC, веб-панели AAFC и страниц Сервиса, предназначенных для пациентов (онлайн-запись, лист ожидания, анкеты о состоянии здоровья перед визитом, подтверждение записи, обмен фотографиями и портал пациента).

Настоящая политика соответствует:

• Закону Турции о защите персональных данных (KVKK, Закон № 6698)
• Общему регламенту ЕС по защите данных (GDPR)
• Требованиям Apple App Store и Google Play Store в отношении конфиденциальности

1. Контролер данных

Контролером персональных данных, обрабатываемых посредством AAFC, является клиника или медицинский специалист, использующий приложение («Пользователь-клиника»). EDECA выступает в качестве обработчика данных от имени Пользователя-клиники в части услуг технического хранения и инфраструктуры.

Пользователи-клиники несут ответственность за:

• Получение согласия пациента до внесения данных пациента
• Соблюдение применимого законодательства о врачебной тайне
• Ответы на запросы пациентов в отношении их данных

EDECA несет ответственность за:

• Предоставление защищенной технической инфраструктуры
• Применение надлежащих мер безопасности
• Уведомление об утечках данных

2. Собираемые нами данные

2.1 Данные пациентов (вносимые Пользователями-клиниками)

• Имена пациентов, даты рождения, номера телефонов, города и заметки
• Записи о визитах, клинические заметки и история лечения
• Фотографии пациентов (до/после, отслеживание динамики)
• Медицинские документы (карты лечения, формы согласия, штрихкоды)
• Диагнозы, зарегистрированные с использованием кодов МКБ-10 (ICD-10)
• Записи на прием, назначенный врач, кабинет или аппарат, а также явка (включая пропущенные приемы)
• Пакеты процедур, начисления, платежи и рассрочки
• Сведения о родителях/законных представителях несовершеннолетних пациентов

Эти данные относятся к специальной категории персональных данных согласно статье 6 KVKK и статье 9 GDPR (данные о состоянии здоровья), что требует повышенной защиты и явно выраженного согласия пациента.

2.2 Данные, предоставляемые непосредственно пациентами

Некоторые страницы Сервиса используются самими пациентами от имени клиники, которую они посещают. Вводимые там данные обрабатываются для этой клиники, которая остается контролером данных:

• Онлайн-запись и лист ожидания: имя, номер телефона, выбранная услуга, врач, дата и время, необязательный комментарий, а также язык страницы
• Анкета о состоянии здоровья перед визитом: ответы на вопросы о беременности, аллергиях, принимаемых лекарственных препаратах, хронических заболеваниях, ранее проведенных эстетических процедурах и аналогичные вопросы о здоровье, а также необязательные сведения в свободной форме
• Подтверждение записи: подтвердил ли пациент запись или отменил ее, и когда
• Портал пациента: попытки доступа, включая неудачные вводы PIN-кода, используемые для защиты портала от злоупотреблений

Ответы в анкете о состоянии здоровья являются данными о здоровье (специальной категорией персональных данных) и доступны только клинике, запросившей заполнение анкеты.

2.3 Данные Пользователей-клиник

• Адрес электронной почты, полное имя и роль (администратор, врач, ассистент)
• Сведения о клинике (название, логотип, имя врача, адрес клиники)
• Отметки времени входа в систему и журналы безопасности

2.4 Технические данные

• Идентификаторы устройств, версия операционной системы
• Версия приложения, отчеты о сбоях и анонимизированные диагностические журналы
• IP-адреса (в целях безопасности и предотвращения мошенничества)

2.5 Данные, которые мы НЕ собираем

• Мы не собираем данные о местоположении
• Мы не используем отслеживающие файлы cookie или рекламные идентификаторы
• Мы не продаем и не передаем в аренду данные каким-либо третьим лицам

3. Правовые основания обработки (GDPR/KVKK)

Мы обрабатываем персональные данные на следующих правовых основаниях:

• Данные пациентов: явно выраженное согласие (ст. 6/1 KVKK, ст. 9(2)(a) GDPR), полученное Пользователем-клиникой от пациента до внесения данных
• Данные, предоставляемые пациентами: запросы на запись и на включение в лист ожидания обрабатываются в целях совершения действий по запросу пациента до приема; ответы в анкете о состоянии здоровья обрабатываются на основании явно выраженного согласия пациента, получаемого Пользователем-клиникой. В обоих случаях контролером данных является Пользователь-клиника.
• Данные Пользователей-клиник: исполнение договора (оказание услуг) и законный интерес (безопасность и предотвращение мошенничества)
• Технические данные: законный интерес в поддержании и улучшении сервиса

4. Как мы используем Ваши данные

• Обеспечение архивирования данных пациентов и управления визитами
• Создание сравнительных коллажей «до/после» и отчетов в формате PDF
• Прием запросов на онлайн-запись и на включение в лист ожидания и их размещение в журнале записи клиники
• Подготовка напоминаний о записи и сообщений, которые Пользователь-клиника отправляет со своего собственного устройства (например, через WhatsApp или SMS)
• Предоставление пациентам ссылок, которые им направляет их клиника: анкеты о состоянии здоровья, подтверждение записи, обмен фотографиями и портал пациента
• Обеспечение защищенного облачного резервного копирования и синхронизации между устройствами
• Управление пользователями клиники, ролями и правами доступа
• Отправка электронных писем, связанных с сервисом (сброс пароля, оповещения о безопасности)
• Выявление и предотвращение угроз безопасности и несанкционированного доступа
• Соблюдение требований законодательства

5. Хранение данных, безопасность и международная передача

5.1 Хранение

Все данные хранятся в инфраструктуре Supabase (серверы AWS, преимущественно в Европе). Данные шифруются при хранении (AES-256) и при передаче (TLS 1.3).

5.2 Меры безопасности

• Ролевое управление доступом (доступ к данным клиники имеют только уполномоченные пользователи клиники)
• Зашифрованная аутентификация и управление сеансами
• Регулярные аудиты безопасности и сканирование на наличие уязвимостей
• Автоматическое резервное копирование со сроком хранения 30 дней

5.3 Ссылки для пациентов

Ссылки, направляемые пациентам (анкета о состоянии здоровья, подтверждение записи, обмен фотографиями и портал пациента), содержат длинный случайный код и предназначены исключительно для пациента, который их получает. Кроме того:

• Ссылки для обмена фотографиями отображают только фотографии, выбранные клиникой, утрачивают силу в установленную клиникой дату и могут быть отозваны клиникой в любое время
• Портал пациента действует в течение 180 дней и требует ввода PIN-кода (последних четырех цифр номера телефона пациента); после 5 неверных попыток он блокируется на один час
• Ссылки на анкеты о состоянии здоровья утрачивают силу автоматически
• Количество запросов на онлайн-запись и на включение в лист ожидания ограничивается для каждого номера телефона и каждой клиники в целях предотвращения злоупотреблений

Пациентам не следует пересылать эти ссылки. Если ссылка могла стать доступной другому лицу, пациент может попросить свою клинику отозвать ее.

5.4 Международная передача

Данные могут передаваться за пределы Турции или Европейской экономической зоны при их обработке нашими поставщиками инфраструктуры. Мы обеспечиваем надлежащие гарантии посредством:

• Стандартных договорных положений (SCC) с Supabase и другими нашими поставщиками инфраструктуры
• Шифрования данных при передаче и при хранении

6. Хранение данных

• Активные учетные записи: данные хранятся до тех пор, пока учетная запись активна и сервис используется.
• Ссылки для пациентов: доступ по ссылкам для обмена фотографиями и к порталу пациента прекращается по истечении срока их действия или при их отзыве; соответствующие записи остаются в архиве клиники до их удаления клиникой.
• Неактивные учетные записи: по истечении 12 месяцев неактивности Пользователь-клиника получает уведомление; данные могут быть удалены по истечении дополнительных 30 дней.
• Запрос на удаление учетной записи: данные удаляются в течение 30 дней с момента подтвержденного запроса на удаление. Резервные копии очищаются в течение 90 дней.
• Хранение в силу закона: отдельные данные могут храниться дольше, если этого требует законодательство Турции о ведении медицинской документации (как правило, 20 лет для медицинских записей).

7. Ваши права

В соответствии со статьей 11 KVKK и статьями 15–22 GDPR Вы имеете право:

• Получить доступ к своим персональным данным и их копию
• Исправить неточные или неполные данные
• Удалить свои данные («право на забвение»)
• Ограничить обработку в определенных обстоятельствах
• Возразить против обработки, основанной на законных интересах
• На переносимость данных (получить данные в структурированном машиночитаемом формате)
• Отозвать согласие в любое время (в отношении обработки, основанной на согласии)
• Подать жалобу в Управление по защите персональных данных Турции (KVKK Kurumu) или в Ваш местный надзорный орган

Для реализации этих прав свяжитесь с нами по адресу support@aafclinic.com. Мы ответим в течение 30 дней.

8. Удаление учетной записи

Пользователи-клиники могут запросить удаление учетной записи и данных следующим образом:

• Направив электронное письмо на адрес support@aafclinic.com с темой «Account Deletion Request» (Запрос на удаление учетной записи)
• Указав зарегистрированный адрес электронной почты и название клиники
• Подтвердив запрос с помощью направленного нами проверочного письма

Мы подтвердим удаление в течение 30 дней.

Запросы на удаление данных пациентов следует направлять ответственному Пользователю-клинике. EDECA будет оказывать Пользователям-клиникам содействие в выполнении таких запросов. Это также относится к данным, которые пациент ввел через страницу онлайн-записи, анкету о состоянии здоровья или портал пациента.

9. Сторонние сервисы

Мы используем следующих обработчиков, поддерживающих работу нашего сервиса:

• Supabase (база данных, хранилище, аутентификация) - AWS ЕС / США - supabase.com/privacy
• Resend (доставка транзакционных электронных писем) - ЕС / США - resend.com/legal
• Cloudflare (объектное хранилище R2 для зашифрованных резервных копий и подписанных документов о согласии) - по всему миру - cloudflare.com/privacypolicy
• GitHub Pages (хостинг веб-сайта aafclinic.com, включая страницы онлайн-записи и страницы для пациентов; получает технические данные запросов, такие как IP-адреса) - США - Заявление GitHub о конфиденциальности

Эти обработчики по договору обязаны защищать Ваши данные и использовать их исключительно в целях, указанных нами.

Когда Пользователь-клиника отправляет пациенту сообщение через WhatsApp или SMS, сообщение отправляется с собственного устройства и из собственной учетной записи Пользователя-клиники; на такую коммуникацию распространяются условия и политика конфиденциальности соответствующего поставщика услуг обмена сообщениями.

10. Конфиденциальность детей

AAFC предназначено для медицинских специалистов и не предназначено для использования лицами младше 18 лет. Пользователи-клиники, вносящие данные несовершеннолетних пациентов, несут ответственность за получение согласия родителей/законных представителей в соответствии с требованиями применимого законодательства.

Мы сознательно не собираем данные непосредственно у детей. Если Вы полагаете, что это произошло, свяжитесь с нами по адресу support@aafclinic.com.

11. Файлы cookie и аналитика

Мобильное приложение AAFC не использует файлы cookie, рекламные идентификаторы или сторонние аналитические инструменты. Наш веб-сайт (aafclinic.com), включая страницы онлайн-записи и страницы для пациентов, не использует отслеживающие или рекламные файлы cookie. Он сохраняет только выбранный Вами язык в локальном хранилище Вашего браузера, чтобы при следующем посещении страницы открывались на том же языке. Некоторые страницы загружают шрифты и скрипты из общедоступных сетей доставки контента (cdnjs, jsDelivr), которые получают Ваш IP-адрес в рамках обычного запроса.

12. Уведомление об утечке данных

В случае утечки персональных данных, которая может повлечь риск для физических лиц, мы уведомим Управление по защите персональных данных Турции в течение 72 часов, а затронутых пользователей — без неоправданной задержки, как того требуют KVKK и GDPR.

13. Изменения настоящей политики

Мы можем время от времени обновлять настоящую политику. О существенных изменениях Пользователи-клиники будут уведомлены по электронной почте не менее чем за 30 дней до их вступления в силу. Дата «Последнее обновление», указанная выше, всегда соответствует действующей редакции.

14. Контактная информация

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

Представитель: Atilla Cengiz, MD (основатель и медицинский директор)

Адрес: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

Идентификационный номер налогоплательщика (VKN): 3241207088

Электронная почта: support@aafclinic.com

Веб-сайт: https://aafclinic.com

По жалобам, связанным с KVKK, в Турции Вы можете обратиться в:
KVKK Kurumu — https://kvkk.gov.tr

По жалобам, связанным с GDPR, в ЕС Вы можете обратиться в местный орган по защите данных.

이 번역본은 편의를 위해 제공됩니다. 내용이 상충하는 경우 영어 원문이 우선합니다.

개인정보 처리방침

최종 업데이트: 2026년 10월

AAFC(Aesthetic Archive for Clinics)는 튀르키예 마니사주 아크히사르에 소재한 튀르키예 유한회사인 EDECA Yazılım Ticaret ve Sanayi Limited Şirketi("EDECA" 또는 "당사")가 운영합니다. 본 서비스는 Atilla Cengiz, MD(설립자 겸 의료 책임자)가 대표하며 임상적으로 감독합니다. 본 개인정보 처리방침은 AAFC 모바일 애플리케이션, AAFC 웹 패널 및 본 서비스의 환자용 페이지(온라인 예약, 대기자 명단, 방문 전 건강 설문지, 예약 확인, 사진 공유 및 환자 포털)를 통해 처리되는 개인정보를 당사가 어떻게 수집, 이용, 저장 및 보호하는지 설명합니다.

본 방침은 다음을 준수합니다:

• 튀르키예 개인정보 보호법(KVKK, 법률 제6698호)
• EU 일반 개인정보 보호법(GDPR)
• Apple App Store 및 Google Play Store의 개인정보 보호 요건

1. 개인정보 처리자

AAFC를 통해 처리되는 개인정보의 처리자(컨트롤러)는 애플리케이션을 사용하는 클리닉 또는 의료 전문가("클리닉 사용자")입니다. EDECA는 기술적 저장 및 인프라 서비스와 관련하여 클리닉 사용자를 대신하는 수탁처리자로서 행위합니다.

클리닉 사용자는 다음에 대한 책임을 집니다:

• 환자 데이터를 입력하기 전에 환자의 동의를 받는 것
• 적용되는 의료 비밀유지 관련 법률을 준수하는 것
• 환자의 데이터 관련 요청에 응대하는 것

EDECA는 다음에 대한 책임을 집니다:

• 안전한 기술 인프라를 제공하는 것
• 적절한 보안 조치를 시행하는 것
• 데이터 침해를 통지하는 것

2. 당사가 수집하는 데이터

2.1 환자 데이터(클리닉 사용자가 입력)

• 환자의 이름, 생년월일, 전화번호, 거주 도시 및 메모
• 방문 기록, 임상 메모 및 치료 이력
• 환자 사진(시술 전/후, 경과 추적)
• 의료 문서(치료 카드, 동의서, 바코드)
• ICD-10 코드로 기록된 진단
• 예약, 배정된 의사, 진료실 또는 장비, 내원 여부(예약 불이행 포함)
• 시술 패키지, 청구 금액, 결제 및 할부
• 미성년 환자의 부모/법정대리인 정보

이 데이터는 KVKK 제6조 및 GDPR 제9조에 따른 민감한 개인정보(특수 범주의 개인정보)(건강 데이터)로 분류되며, 강화된 보호와 환자의 명시적 동의가 요구됩니다.

2.2 환자가 직접 제출하는 데이터

본 서비스의 일부 페이지는 환자가 방문하는 클리닉을 위하여 환자 본인이 직접 사용합니다. 해당 페이지에 입력된 데이터는 해당 클리닉을 위하여 처리되며, 해당 클리닉이 계속하여 개인정보 처리자의 지위를 가집니다:

• 온라인 예약 및 대기자 명단: 이름, 전화번호, 선택한 서비스, 의사, 날짜 및 시간, 선택 사항인 메모, 페이지의 언어
• 방문 전 건강 설문지: 임신, 알레르기, 복용 약물, 만성 질환, 이전 미용 시술 및 이와 유사한 건강 관련 질문에 대한 답변과 선택 사항인 자유 기술 내용
• 예약 확인: 환자가 예약을 확인했는지 또는 취소했는지 여부와 그 시점
• 환자 포털: 포털의 오남용을 방지하기 위해 사용되는, 실패한 PIN 입력을 포함한 접근 시도

건강 설문지 답변은 건강 데이터(민감한 개인정보)이며, 해당 설문지를 요청한 클리닉만 열람할 수 있습니다.

2.3 클리닉 사용자 데이터

• 이메일 주소, 성명 및 역할(관리자, 의사, 어시스턴트)
• 클리닉 정보(명칭, 로고, 의사 이름, 클리닉 주소)
• 로그인 타임스탬프 및 보안 로그

2.4 기술 데이터

• 기기 식별자, 운영 체제 버전
• 앱 버전, 충돌 보고서 및 익명화된 진단 로그
• IP 주소(보안 및 부정행위 방지 목적)

2.5 당사가 수집하지 않는 데이터

• 당사는 위치 데이터를 수집하지 않습니다
• 당사는 추적 쿠키나 광고 식별자를 사용하지 않습니다
• 당사는 어떠한 제3자에게도 데이터를 판매하거나 대여하지 않습니다

3. 처리의 법적 근거(GDPR/KVKK)

당사는 다음의 법적 근거에 따라 개인정보를 처리합니다:

• 환자 데이터: 데이터 입력 전에 클리닉 사용자가 환자로부터 받은 명시적 동의(KVKK 제6조 제1항, GDPR 제9조 제2항 (a)호)
• 환자가 제출하는 데이터: 예약 및 대기자 명단 요청은 진료 예약 전 환자의 요청에 따른 조치를 취하기 위해 처리되며, 건강 설문지 답변은 클리닉 사용자가 받은 환자의 명시적 동의에 근거하여 처리됩니다. 두 경우 모두 클리닉 사용자가 개인정보 처리자입니다.
• 클리닉 사용자 데이터: 계약의 이행(서비스 제공) 및 정당한 이익(보안 및 부정행위 방지)
• 기술 데이터: 서비스의 유지 및 개선에 대한 정당한 이익

4. 데이터의 이용 방법

• 환자 기록 보관 및 방문 관리 기능을 제공합니다
• 시술 전/후 비교 콜라주 및 PDF 보고서를 생성합니다
• 온라인 예약 및 대기자 명단 요청을 접수하여 클리닉의 예약부에 등록합니다
• 클리닉 사용자가 자신의 기기에서 발송하는 예약 알림 및 메시지를 준비합니다(예: WhatsApp 또는 SMS를 통해)
• 클리닉이 환자에게 보내는 링크(건강 설문지, 예약 확인, 사진 공유 및 환자 포털)를 환자에게 제공합니다
• 안전한 클라우드 백업 및 기기 간 동기화를 지원합니다
• 클리닉 사용자, 역할 및 접근 권한을 관리합니다
• 서비스 관련 이메일(비밀번호 재설정, 보안 알림)을 발송합니다
• 보안 위협 및 무단 접근을 탐지하고 방지합니다
• 법적 의무를 준수합니다

5. 데이터 저장, 보안 및 국외 이전

5.1 저장

모든 데이터는 Supabase 인프라(주로 유럽에 위치한 AWS 서버)에 저장됩니다. 데이터는 저장 시(AES-256) 및 전송 시(TLS 1.3) 암호화됩니다.

5.2 보안 조치

• 역할 기반 접근 통제(권한이 부여된 클리닉 사용자만 클리닉 데이터에 접근 가능)
• 암호화된 인증 및 세션 관리
• 정기적인 보안 감사 및 취약점 점검
• 30일 보존 기간의 자동 백업

5.3 환자용 링크

환자에게 발송되는 링크(건강 설문지, 예약 확인, 사진 공유 및 환자 포털)에는 길고 무작위적인 코드가 포함되어 있으며, 해당 링크를 받은 환자만을 위한 것입니다. 또한:

• 사진 공유 링크는 클리닉이 선택한 사진만 표시하고, 클리닉이 정한 날짜에 만료되며, 클리닉이 언제든지 취소할 수 있습니다
• 환자 포털은 180일간 유효하며 PIN(환자 전화번호의 마지막 네 자리)이 필요합니다. 5회 잘못 입력하면 1시간 동안 잠깁니다
• 건강 설문지 링크는 자동으로 만료됩니다
• 온라인 예약 및 대기자 명단 요청은 오남용을 방지하기 위해 전화번호별 및 클리닉별로 요청 횟수가 제한됩니다

환자는 이러한 링크를 다른 사람에게 전달해서는 안 됩니다. 링크가 다른 사람과 공유되었을 가능성이 있는 경우, 환자는 자신의 클리닉에 해당 링크의 취소를 요청할 수 있습니다.

5.4 국외 이전

데이터는 당사의 인프라 제공업체가 처리하는 과정에서 튀르키예 또는 유럽경제지역(EEA) 외부로 이전될 수 있습니다. 당사는 다음을 통해 적절한 보호 조치를 보장합니다:

• Supabase 및 당사의 기타 인프라 제공업체와 체결한 표준계약조항(SCC)
• 전송 중 및 저장 중인 데이터의 암호화

6. 데이터 보존

• 활성 계정: 데이터는 계정이 활성 상태이고 서비스가 이용되는 동안 보존됩니다.
• 환자용 링크: 사진 공유 링크 및 환자 포털 접근은 만료되거나 취소되면 종료됩니다. 그 기초가 되는 기록은 클리닉이 삭제할 때까지 클리닉의 아카이브에 남아 있습니다.
• 비활성 계정: 12개월간 활동이 없으면 클리닉 사용자에게 통지되며, 추가 30일이 경과한 후 데이터가 삭제될 수 있습니다.
• 계정 삭제 요청: 데이터는 삭제 요청이 확인된 날부터 30일 이내에 삭제됩니다. 백업은 90일 이내에 파기됩니다.
• 법정 보존: 튀르키예 의료 기록 보관 관련 법률에서 요구하는 경우 일부 데이터는 더 오래 보존될 수 있습니다(의료 기록의 경우 통상 20년).

7. 귀하의 권리

KVKK 제11조 및 GDPR 제15조부터 제22조까지에 따라 귀하는 다음의 권리를 가집니다:

• 귀하의 개인정보에 접근하고 그 사본을 받을 권리
• 부정확하거나 불완전한 데이터를 정정할 권리
• 귀하의 데이터를 삭제할 권리("잊힐 권리")
• 특정한 상황에서 처리를 제한할 권리
• 정당한 이익에 근거한 처리에 반대할 권리
• 데이터 이동권(구조화되고 기계 판독이 가능한 형식으로 데이터를 받을 권리)
• 언제든지 동의를 철회할 권리(동의에 근거한 처리의 경우)
• 튀르키예 개인정보 보호청(KVKK Kurumu) 또는 귀하 거주지의 감독기관에 민원을 제기할 권리

이러한 권리를 행사하려면 support@aafclinic.com으로 당사에 연락하시기 바랍니다. 당사는 30일 이내에 답변합니다.

8. 계정 삭제

클리닉 사용자는 다음 방법으로 계정 및 데이터 삭제를 요청할 수 있습니다:

• 제목을 "Account Deletion Request"(계정 삭제 요청)로 하여 support@aafclinic.com으로 이메일 발송
• 등록된 이메일 주소 및 클리닉 명칭 기재
• 당사가 발송하는 인증 이메일을 통해 요청 확인

당사는 30일 이내에 삭제를 확인해 드립니다.

환자 데이터 삭제 요청은 담당 클리닉 사용자에게 하여야 합니다. EDECA는 클리닉 사용자가 이러한 요청을 이행할 수 있도록 지원합니다. 이는 환자가 온라인 예약 페이지, 건강 설문지 또는 환자 포털을 통해 입력한 데이터에도 적용됩니다.

9. 제3자 서비스

당사는 서비스를 지원하는 다음의 수탁처리자를 이용합니다:

• Supabase(데이터베이스, 스토리지, 인증) - AWS EU / 미국 - supabase.com/privacy
• Resend(트랜잭션 이메일 발송) - EU / 미국 - resend.com/legal
• Cloudflare(암호화된 백업 및 서명된 동의서를 위한 R2 객체 스토리지) - 전 세계 - cloudflare.com/privacypolicy
• GitHub Pages(온라인 예약 및 환자용 페이지를 포함한 aafclinic.com 웹사이트 호스팅, IP 주소 등 기술적 요청 데이터를 수신) - 미국 - GitHub 개인정보 보호정책

이러한 수탁처리자는 계약에 따라 귀하의 데이터를 보호하고 당사가 지시한 목적으로만 이를 이용할 의무가 있습니다.

클리닉 사용자가 WhatsApp 또는 SMS를 통해 환자에게 메시지를 보내는 경우, 해당 메시지는 클리닉 사용자 자신의 기기와 계정에서 발송되며, 그 통신에는 해당 메시징 서비스 제공업체의 약관 및 개인정보 처리방침이 적용됩니다.

10. 아동의 개인정보 보호

AAFC는 의료 전문가를 위해 설계되었으며 18세 미만의 개인이 사용하도록 의도된 것이 아닙니다. 미성년 환자의 데이터를 입력하는 클리닉 사용자는 적용 법률에 따라 요구되는 부모/법정대리인의 동의를 받을 책임이 있습니다.

당사는 아동으로부터 직접 데이터를 고의로 수집하지 않습니다. 당사가 그러한 데이터를 수집하였다고 판단되는 경우 support@aafclinic.com으로 당사에 연락하시기 바랍니다.

11. 쿠키 및 분석

AAFC 모바일 애플리케이션은 쿠키, 광고 식별자 또는 제3자 분석 도구를 사용하지 않습니다. 온라인 예약 및 환자용 페이지를 포함한 당사 웹사이트(aafclinic.com)는 추적 쿠키 또는 광고 쿠키를 사용하지 않습니다. 웹사이트는 다음 방문 시 동일한 언어로 페이지가 열리도록 귀하가 선택한 언어만을 브라우저의 로컬 스토리지에 저장합니다. 일부 페이지는 공개 콘텐츠 전송 네트워크(cdnjs, jsDelivr)에서 글꼴과 스크립트를 불러오며, 이러한 네트워크는 통상적인 요청의 일부로 귀하의 IP 주소를 수신합니다.

12. 데이터 침해 통지

개인에게 위험을 초래할 가능성이 있는 개인정보 침해가 발생하는 경우, 당사는 KVKK 및 GDPR에서 요구하는 바에 따라 72시간 이내에 튀르키예 개인정보 보호청에, 그리고 부당한 지체 없이 영향을 받은 사용자에게 통지합니다.

13. 본 방침의 변경

당사는 수시로 본 방침을 업데이트할 수 있습니다. 중요한 변경 사항은 시행일로부터 최소 30일 전에 이메일을 통해 클리닉 사용자에게 고지됩니다. 상단의 "최종 업데이트" 날짜는 항상 현행 버전을 나타냅니다.

14. 연락처

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

대표: Atilla Cengiz, MD(설립자 겸 의료 책임자)

주소: Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

납세자 번호(VKN): 3241207088

이메일: support@aafclinic.com

웹사이트: https://aafclinic.com

튀르키예에서 KVKK 관련 민원은 다음 기관에 제기할 수 있습니다:
KVKK Kurumu — https://kvkk.gov.tr

EU에서 GDPR 관련 민원은 귀하 거주지의 개인정보 보호 감독기관에 제기할 수 있습니다.

本译文仅供参考。如有歧义，以英文版本为准。

隐私政策

最后更新：2026年10月

AAFC（Aesthetic Archive for Clinics）由 EDECA Yazılım Ticaret ve Sanayi Limited Şirketi（以下简称“EDECA”或“我们”）运营，EDECA 是一家位于土耳其马尼萨省阿克希萨尔的土耳其有限责任公司。本服务由 Atilla Cengiz, MD（创始人兼医疗总监）代表并实施临床监督。本隐私政策说明我们如何收集、使用、存储和保护通过 AAFC 移动应用程序、AAFC 网页管理面板以及本服务面向患者的页面（在线预约、候补名单、就诊前健康问卷、预约确认、照片分享及患者门户）处理的个人数据。

本政策符合以下法律法规及要求：

• 土耳其《个人数据保护法》（KVKK，第6698号法律）
• 欧盟《通用数据保护条例》（GDPR）
• Apple App Store 和 Google Play Store 的隐私要求

1. 数据控制者

通过 AAFC 处理的个人数据的数据控制者为使用本应用程序的诊所或医疗专业人员（“诊所用户”）。就技术存储和基础设施服务而言，EDECA 作为数据处理者代表诊所用户行事。

诊所用户负责：

• 在录入患者数据之前取得患者同意
• 遵守适用的医疗保密法律
• 回应患者的数据请求

EDECA 负责：

• 提供安全的技术基础设施
• 实施适当的安全措施
• 通报数据泄露事件

2. 我们收集的数据

2.1 患者数据（由诊所用户录入）

• 患者姓名、出生日期、电话号码、所在城市及备注
• 就诊记录、临床记录及治疗史
• 患者照片（治疗前/后、进展追踪）
• 医疗文件（治疗卡、知情同意书、条形码）
• 以 ICD-10 编码记录的诊断
• 预约、指派的医生、诊室或设备以及到诊情况（包括爽约）
• 疗程套餐、费用、付款及分期付款
• 未成年患者的父母/监护人信息

根据 KVKK 第6条和 GDPR 第9条，上述数据属于特殊类别个人数据（健康数据），需要加强保护并取得患者的明示同意。

2.2 患者直接提交的数据

本服务的部分页面由患者本人为其就诊的诊所而使用。在这些页面中录入的数据为该诊所处理，该诊所仍为数据控制者：

• 在线预约和候补名单：姓名、电话号码、所选服务、医生、日期和时间、可选备注以及页面语言
• 就诊前健康问卷：关于妊娠、过敏、用药、慢性疾病、既往医美治疗及类似健康问题的回答，以及可选的自由填写内容
• 预约确认：患者是否确认或取消预约，以及确认或取消的时间
• 患者门户：访问尝试（包括 PIN 码输入失败记录），用于保护门户免遭滥用

健康问卷的回答属于健康数据（特殊类别个人数据），仅发出该问卷的诊所可以查看。

2.3 诊所用户数据

• 电子邮件地址、全名及角色（管理员、医生、助理）
• 诊所信息（名称、标志、医生姓名、诊所地址）
• 登录时间戳及安全日志

2.4 技术数据

• 设备标识符、操作系统版本
• 应用程序版本、崩溃报告及匿名化诊断日志
• IP 地址（用于安全及防范欺诈）

2.5 我们不收集的数据

• 我们不收集位置数据
• 我们不使用跟踪 Cookie 或广告标识符
• 我们不向任何第三方出售或出租数据

3. 处理的法律依据（GDPR/KVKK）

我们基于以下法律依据处理个人数据：

• 患者数据：诊所用户在录入数据前从患者处取得的明示同意（KVKK 第6/1条、GDPR 第9(2)(a)条）
• 患者提交的数据：预约及候补名单请求的处理，系为在预约前应患者请求采取相应措施；健康问卷回答的处理，系基于诊所用户所收集的患者明示同意。在上述两种情况下，诊所用户均为数据控制者。
• 诊所用户数据：履行合同（提供服务）及正当利益（安全及防范欺诈）
• 技术数据：维护和改进服务的正当利益

4. 我们如何使用您的数据

• 提供患者档案管理和就诊管理
• 生成治疗前/后对比拼图及 PDF 报告
• 接收在线预约和候补名单请求，并将其录入诊所的预约簿
• 准备由诊所用户从其自有设备发送的预约提醒和消息（例如通过 WhatsApp 或短信）
• 向患者提供其诊所发送给他们的链接：健康问卷、预约确认、照片分享及患者门户
• 实现安全的云备份及跨设备同步
• 管理诊所用户、角色及访问权限
• 发送与服务相关的电子邮件（密码重置、安全警报）
• 检测和防范安全威胁及未经授权的访问
• 履行法律义务

5. 数据存储、安全及跨境传输

5.1 存储

所有数据均存储于 Supabase 基础设施（AWS 服务器，主要位于欧洲）。数据在静态存储时（AES-256）及传输过程中（TLS 1.3）均经过加密。

5.2 安全措施

• 基于角色的访问控制（仅经授权的诊所用户可访问诊所数据）
• 加密的身份验证及会话管理
• 定期安全审计及漏洞扫描
• 自动备份，保留期为30天

5.3 患者链接

发送给患者的链接（健康问卷、预约确认、照片分享及患者门户）包含一段较长的随机代码，仅供收到该链接的患者本人使用。此外：

• 照片分享链接仅显示诊所选定的照片，于诊所设定的日期失效，且诊所可随时撤销
• 患者门户有效期为180天，需输入 PIN 码（患者电话号码的后四位）；连续5次输入错误后将被锁定一小时
• 健康问卷链接自动失效
• 为防止滥用，在线预约和候补名单请求按电话号码和诊所分别实施频率限制

患者不应转发上述链接。如链接可能已被他人获取，患者可要求其诊所撤销该链接。

5.4 跨境传输

在由我们的基础设施提供商处理时，数据可能被传输至土耳其或欧洲经济区以外。我们通过以下方式确保充分的保障措施：

• 与 Supabase 及我们的其他基础设施提供商签订的标准合同条款（SCC）
• 对传输中及静态存储的数据进行加密

6. 数据保留

• 活跃账户：只要账户处于活跃状态且服务仍在使用，数据即予以保留。
• 患者链接：照片分享链接及患者门户访问权限在失效或被撤销时终止；相关基础记录将保留在诊所档案中，直至诊所将其删除。
• 非活跃账户：连续12个月无活动后，将通知诊所用户；再经过30天后，数据可能被删除。
• 账户删除请求：数据将在删除请求经确认之日起30天内删除。备份将在90天内清除。
• 法定保留：如土耳其医疗记录保存法律有所要求，部分数据可能被保留更长时间（医疗记录通常为20年）。

7. 您的权利

根据 KVKK 第11条及 GDPR 第15–22条，您有权：

• 访问您的个人数据并获取副本
• 更正不准确或不完整的数据
• 删除您的数据（“被遗忘权”）
• 在特定情形下限制处理
• 反对基于正当利益的处理
• 数据可携带（以结构化、机器可读的格式获取数据）
• 随时撤回同意（针对基于同意的处理）
• 向土耳其个人数据保护局（KVKK Kurumu）或您当地的监管机构提出投诉

如需行使上述权利，请通过 support@aafclinic.com 与我们联系。我们将在30天内答复。

8. 账户删除

诊所用户可通过以下方式申请删除账户及数据：

• 发送电子邮件至 support@aafclinic.com，邮件主题为“Account Deletion Request”（账户删除请求）
• 注明注册电子邮件地址及诊所名称
• 通过我们发送的验证邮件确认该请求

我们将在30天内确认删除。

患者数据删除请求应向负责的诊所用户提出。EDECA 将协助诊所用户履行此类请求。这同样适用于患者通过在线预约页面、健康问卷或患者门户录入的数据。

9. 第三方服务

我们使用以下为我们的服务提供支持的数据处理者：

• Supabase（数据库、存储、身份验证）- AWS 欧盟 / 美国 - supabase.com/privacy
• Resend（事务性电子邮件投递）- 欧盟 / 美国 - resend.com/legal
• Cloudflare（用于加密备份及已签署知情同意文件的 R2 对象存储）- 全球 - cloudflare.com/privacypolicy
• GitHub Pages（托管 aafclinic.com 网站，包括在线预约及患者页面；接收 IP 地址等技术请求数据）- 美国 - GitHub 隐私声明

上述数据处理者受合同约束，须保护您的数据，并仅为我们指示的目的使用数据。

诊所用户通过 WhatsApp 或短信向患者发送消息时，该消息系从诊所用户自己的设备和账户发出；该通信受相应消息服务提供商的条款及隐私政策约束。

10. 儿童隐私

AAFC 专为医疗专业人员设计，不面向18岁以下个人使用。录入未成年患者数据的诊所用户有责任按照适用法律的要求取得父母/监护人的同意。

我们不会故意直接向儿童收集数据。如您认为我们已收集此类数据，请通过 support@aafclinic.com 与我们联系。

11. Cookie 与分析

AAFC 移动应用程序不使用 Cookie、广告标识符或第三方分析工具。我们的网站（aafclinic.com），包括在线预约及患者页面，不使用跟踪 Cookie 或广告 Cookie。网站仅在您浏览器的本地存储中保存您的语言选择，以便下次以相同语言打开页面。部分页面从公共内容分发网络（cdnjs、jsDelivr）加载字体和脚本，这些网络在正常请求过程中会接收您的 IP 地址。

12. 数据泄露通知

如发生可能对个人造成风险的个人数据泄露，我们将按照 KVKK 和 GDPR 的要求，在72小时内通知土耳其个人数据保护局，并在无不当延误的情况下通知受影响的用户。

13. 本政策的变更

我们可能不时更新本政策。重大变更将在生效前至少30天通过电子邮件告知诊所用户。上方的“最后更新”日期始终反映现行版本。

14. 联系方式

EDECA Yazılım Ticaret ve Sanayi Limited Şirketi

代表人：Atilla Cengiz, MD（创始人兼医疗总监）

地址：Hürriyet Mah. 210. Sk. No: 37 İç Kapı No: 1, Akhisar / Manisa 45240, Türkiye

税号（VKN）：3241207088

电子邮件：support@aafclinic.com

网站：https://aafclinic.com

在土耳其，与 KVKK 相关的投诉可联系：
KVKK Kurumu — https://kvkk.gov.tr

在欧盟，与 GDPR 相关的投诉可联系您当地的数据保护机构。