Amaç ve roller
Bu beyan, Memoris Clinical'ın ("Memoris") sağlık kurumları ("Kurum") adına klinik içeriği nasıl işlediğini kamuya açık biçimde açıklar. Kurum; hizmete yüklenen belgeler, ses kayıtları ve bunlardan üretilen çıktılar üzerinde 6698 sayılı KVKK ve GDPR anlamında veri sorumlusudur. Memoris, yalnız Kurum'un talimatıyla işlem yapan veri işleyendir. Kurum ile Memoris arasında imzalanan hizmet sözleşmesi ve veri işleme eki, çelişen hükümlerde bu beyana göre önceliklidir.
İşlenen klinik içerik ve ilgili kişiler
Klinik içerik: Kurum'un yüklediği PDF belgeler; Dictate ve Ambient ses kayıtları; bunların transkriptleri; çeviri, rapor ve not taslakları; Kurum'un terminoloji sözlükleri. Bu içerik hastaların kimlik ve sağlık verilerini (özel nitelikli kişisel veri) ve hekim ile personelin kimlik ve ses verilerini içerebilir. İlgili kişiler: hastalar, hastaya refakat edenler, hekimler ve Kurum personeli.
İşleme amacı ve talimatlar
Memoris klinik içeriği yalnız sözleşmede tanımlanan hizmetleri sunmak için işler: çeviri, konuşma tanıma, yapılandırma, doğrulama ve işaretleme, sonuçların Kurum'a gösterilmesi ve Kurum'un belirlediği süre boyunca saklanması. Kurum'un talimatları hizmet sözleşmesinden ve portal üzerinden verilen işlem komutlarından oluşur.
Memoris klinik içeriği kendi amaçları için kullanmaz, Kurum'un yazılı izni olmadan model eğitiminde kullanmaz, üçüncü kişilere satmaz veya kiralamaz. Memoris, bir talimatın mevzuata aykırı olduğunu değerlendirirse Kurum'u gecikmeden bilgilendirir.
Alt işleyenler
Memoris, hizmetin sunulması için aşağıdaki alt işleyenleri kullanır.
Netcup GmbH (Almanya): sunucu barındırma ve veri tabanı; klinik içerik bu sunucularda saklanır.
Cloudflare (AB bölgesi): ağ ve DNS, nesne depolama, bot koruması, e-posta gönderimi ve model sağlayıcılarına giden isteklerin geçtiği ağ geçidi; klinik rotalarda ağ geçidi kaydı ve önbelleği kapalıdır.
OpenAI (ABD): dil modeli; çeviri taslağının üretilmesi, rapor ve not taslaklarının yapılandırılması.
Deepgram (ABD): konuşma tanıma; Dictate ve Ambient ses kayıtlarının yazıya dökülmesi.
DeepL (Almanya): makine çevirisi; çeviri ön taslağı.
OpenAI, Deepgram ve DeepL'e içerik yalnız işlem anında gönderilir; sonuç döndükten sonra sağlayıcıda saklanmaz ve sağlayıcıların model eğitiminde kullanılmaz. Bu koşullar sağlayıcılarla yazılı olarak bağlanmıştır. Alt işleyen eklenmesi veya değiştirilmesi en az 30 gün önceden Kurum yöneticilerine e-posta ile bildirilir; Kurum bu süre içinde gerekçeli itirazda bulunabilir.
Yurt dışına aktarım ve Kurum'un sorumluluğu
Klinik içerik Avrupa Birliği'nde (Almanya) saklanır. Çeviri ve konuşma tanıma sırasında içerik, işlem süresiyle sınırlı olarak ABD'deki sağlayıcılara (OpenAI, Deepgram) ve Almanya'daki DeepL'e iletilir.
KVKK m.9 ve uygulanıyorsa GDPR Bölüm V uyarınca bu aktarımların hukuki dayanağını sağlamak, hastaları aydınlatmak ve gerekli onamları almak veri sorumlusu olarak Kurum'un yükümlülüğündedir. Memoris, bu dayanağın kurulması için gereken bilgileri sağlar: alt işleyen listesi ve ülkeleri, veri akış şeması, sağlayıcılarla yapılan sözleşmelerin veri korumaya ilişkin hükümleri ve Kurum'un Kişisel Verileri Koruma Kurulu'na yapacağı başvurular için gerekli teknik bilgi. Memoris hangi işlemde hangi sağlayıcının kullanıldığını Kurum'a açıkça bildirir.
Güvenlik tedbirleri
Teknik tedbirler: iletimde TLS; nesne depolamada sunucu tarafı şifreleme; her kuruma ayrı depolama öneki ve veri tabanında kiracı izolasyonu; her isteğin sunucu tarafında kurum, tesis, ürün ve işlem düzeyinde yetkilendirilmesi ve tanımsız her erişimin varsayılan olarak reddedilmesi; klinik yanıtların tarayıcı ve ara önbelleklerde tutulmaması; ses kayıtlarına tarayıcıdan indirme bağlantısı verilmemesi; erişim, silme ve yetki değişikliklerinin denetim kaydına yazılması.
İdari tedbirler: hesapların yalnız davetle açılması ve rol tabanlı yetki; operasyon arayüzlerine yalnız kimliği doğrulanmış sınırlı personelin erişimi; Memoris personelinin klinik içeriğe yalnız hizmetin sunulması için, gerektiğinde ve kayıt altında erişmesi; personelin gizlilik yükümlülüğü; demo ve test ortamlarında yalnız kurgusal verinin kullanılması; alt işleyenlerle saklamama ve eğitmeme koşulları.
Saklama ve silme
Belgeler, transkriptler ve çıktılar Kurum'un belirlediği süre boyunca saklanır. Ambient ses kaydı, not onaylandığı anda, onaylanmazsa en geç 24 saat sonra kalıcı olarak silinir. Dictate ses kaydı varsayılan olarak 30 gün saklanır; Kurum bu süreyi kısaltabilir. Silme işlemleri düzenli bir temizlik işi ile yapılır ve her silme denetim kaydına yazılır.
Sözleşme sona erdiğinde Kurum, 30 gün içinde verilerinin dışa aktarılmasını isteyebilir. Bu sürenin sonunda tüm klinik içerik kalıcı olarak silinir ve Kurum'a yazılı teyit verilir. Alt işleyenlerde klinik içerik saklanmaz.
Veri ihlali bildirimi
Memoris, klinik içeriği etkileyen veya etkileme ihtimali bulunan bir kişisel veri ihlalini öğrendiğinde, Kurum'un bildirdiği iletişim noktalarına gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve tahmini kayıt sayısını, olası sonuçları, alınan ve önerilen önlemleri ve Memoris'teki iletişim noktasını içerir; bilgiler netleştikçe güncellenir. Kişisel Verileri Koruma Kurulu'na 72 saat içinde yapılacak bildirim ve ilgili kişilere bildirim Kurum'un yükümlülüğündedir; Memoris bunun için gerekli bilgi ve desteği sağlar.
Denetim ve bilgi talebi
Kurum, yılda bir kez veya bir ihlalden sonra, en az 15 gün önceden yazılı bildirimle bu beyana uyumu denetleyebilir veya yazılı bilgi talep edebilir. Memoris; güvenlik tedbirlerinin açıklamasını, alt işleyen sözleşmelerinin veri korumaya ilişkin hükümlerini, Kurum'a ait denetim kayıtlarını ve veri akış şemasını sağlar. Denetim, diğer kurumların verilerine ve Memoris'in ticari sırlarına erişim vermeyecek biçimde planlanır. Memoris henüz üçüncü taraf bir sertifikasyona (ör. ISO 27001) sahip değildir; bu durum değiştiğinde beyan güncellenir.
İlgili kişi başvuruları
Hastalar ve diğer ilgili kişiler KVKK m.11 ve GDPR kapsamındaki haklarını Kurum'a karşı kullanır. Memoris'e ulaşan bu tür başvurular 3 iş günü içinde Kurum'a iletilir; Memoris başvuruyu kendi adına yanıtlamaz. Memoris, Kurum'un talimatıyla erişim, düzeltme, silme ve kısıtlama taleplerinin yerine getirilmesi için teknik destek sağlar.
Değişiklikler
Bu beyan güncellendiğinde yeni sürüm ve tarihi bu sayfada yayımlanır. Alt işleyen, saklama ve güvenlik hükümlerindeki değişiklikler ayrıca Kurum yöneticilerine e-posta ile bildirilir.