helfit Veri İşleme Sözleşmesi

Yürürlük tarihi: 22 Ekim 2026

Bu sözleşme kimleri bağlar: NİFA Software ile helfit'e Diyetisyen olarak kayıt olan kişiyi. Diyetisyen Hizmet ve Abonelik Sözleşmesi'nin (helfitapp.com/diyetisyen-sozlesmesi) eki ve ayrılmaz parçasıdır; kayıt sırasında ayrı bir kutu işaretlenerek kabul edilir. Danışanlar ve Bireysel Kullanıcılar bu sözleşmenin tarafı değildir; onların kişisel verilerinin nasıl işlendiği Aydınlatma Metni'nde (helfitapp.com/kvkk-aydinlatma-metni) anlatılır.

Veri işleyen (NİFA Software):

• Unvan: NİFA SOFTWARE YAZILIM BİLGİSAYAR ELEKTRONİK BİLİŞİM İNŞAAT VE İTHALAT İHRACAT SANAYİ TİCARET LİMİTED ŞİRKETİ ("NİFA Software")
• MERSİS No: 0631194100900001 · Vergi Dairesi: Uluçınar · Vergi No: 6311941009
• Adres: Cumhuriyet Mah. Şişecam Yolu Sk. Arge 11 No: 52 İç Kapı No: 2 Gebze/Kocaeli
• Telefon: 0535 623 78 99
• E-posta (KVKK ve destek için tek adres): helfit.destek@gmail.com
• Başvuru formu: helfitapp.com/veri-sahibi-basvuru

1. Taraflar ve roller

1.1 Diyetisyen Kayıtları. Diyetisyen'in helfit'e girdiği veya helfit üzerinden eriştiği danışmanlık notları, diyet planları ve şablonları, randevu kayıtları ve Diyetisyen ile Danışan arasındaki mesaj içerikleri "Diyetisyen Kayıtları"dır. Diyetisyen Kayıtları bakımından Diyetisyen veri sorumlusu, NİFA Software veri işleyendir (6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki tanımlar anlamında). Danışan'ın Diyetisyen'le paylaşmayı seçtiği kilo, ölçü ve adım kayıtlarını Diyetisyen danışmanlık amacıyla ayrı veri sorumlusu olarak işler (madde 1.3); NİFA Software bu paylaşımın teknik altyapısını sağlar.

1.2 NİFA Software'in kendi sorumluluğundaki veriler. NİFA Software; hesap, kimlik doğrulama, ödeme, güvenlik ve platform kayıtları, Danışan'ın Diyetisyen'den bağımsız olarak kullandığı takip özellikleri (su, adım, kilo, ruh hâli, yemek günlüğü), AI Koç ve güvenlik sinyali tespiti bakımından kendi amaç ve araçlarını belirleyen bağımsız veri sorumlusudur. Bu veriler bu sözleşmenin kapsamı dışındadır (madde 3).

1.3 Paylaşım ve ayrı sorumluluk. Danışan'ın kendi takip verilerini Diyetisyen'le paylaşması, Danışan'ın Diyetisyen'e bağlanması ve açık rızasıyla gerçekleşir. Paylaşımın başladığı andan itibaren Diyetisyen, paylaşılan verileri kendi danışmanlık amacıyla ayrı veri sorumlusu olarak işler. Verinin Danışan'ın kendi takip kaydı olarak NİFA Software tarafından işlenmesi madde 1.2 kapsamında sürer. Paylaşım, Danışan'ın Diyetisyen'le bağlantısını kesmesiyle sona erer.

1.4 Aynı verinin iki sorumlusu. Aynı verinin farklı amaçlarla iki ayrı veri sorumlusu tarafından işlenebileceğini, bu hâllerde her tarafın kendi aydınlatma ve hukuki sebep yükümlülüğünden sorumlu olduğunu taraflar kabul eder. Bir mahkeme veya Kurul, taraflar arasında ortak veri sorumluluğu bulunduğuna karar verirse taraflar, ilgili kişilere karşı kanundan doğan müteselsil sorumluluğun sonuçlarını kabul eder, iç ilişkide madde 17'ye göre sorumlu olur ve ilgili kişi başvurularını madde 11'e göre birlikte karşılar.

1.5 Hangi verinin kim tarafından yönetildiği, amacı, erişenler ve saklama süresi Ek-1 (veri haritası)'ndadır.

2. Konu, süre, nitelik ve ilgili kişiler

2.1 Konu. Danışan yönetimi, randevu, diyet planı, not ve mesajlaşma işlevlerinin sağlanması için Diyetisyen adına kişisel veri işleme.

2.2 Süre. Diyetisyen Hizmet ve Abonelik Sözleşmesi'nin süresi ile madde 13'teki silme/iade süresi.

2.3 Veri kategorileri. Kimlik ve iletişim bilgisi (Danışan'ın adı, e-postası, telefonu), vücut ölçüleri ve takip kayıtları, sağlık notları ve diyet planı (özel nitelikli kişisel veri), mesajlar ve mesaj ekleri (Danışan'ın yüklediği fotoğraf veya belge dâhil), randevu kayıtları.

2.4 İlgili kişiler. Diyetisyen'in Danışanları ve Diyetisyen Kayıtları'nda adı geçen diğer kişiler.

3. Kapsam dışı alanlar

3.1 Aşağıdakiler bakımından NİFA Software bağımsız veri sorumlusudur ve bu sözleşme uygulanmaz: hesap ve kimlik bilgileri; ödeme ve abonelik kayıtları; güvenlik ve platform kayıtları (IP, oturum, hata kaydı); rıza ve onay kayıtları; Danışan'ın kendi takip verileri ve yemek fotoğrafları; AI Koç sohbetleri ve özet hafızası; güvenlik sinyali kayıtları; Diyetisyen'in kayıt sırasında yüklediği diploma ve sertifika belgeleri ile bunların kontrol kaydı (tarih, sonuç). Bunlar Aydınlatma Metni'nde anlatılır.

3.2 AI Koç'un Danışan'ın başlattığı oturumda Diyetisyen Kayıtları'ndan bazı alanları okuması, NİFA Software'in kendi veri sorumlusu olduğu AI Koç işlemesinin parçasıdır; Diyetisyen'in bilgilendirilmesi ve kabulü için madde 6'da düzenlenmiştir.

4. Talimat ve NİFA Software'in yükümlülükleri

4.1 Talimat. NİFA Software, Diyetisyen Kayıtları'nı yalnızca Diyetisyen'in belgelenmiş talimatı doğrultusunda işler. Talimat; bu sözleşme, Diyetisyen Hizmet ve Abonelik Sözleşmesi ve Platform'un Diyetisyen tarafından kullanımıdır. Yasal zorunluluk saklıdır. NİFA Software bir talimatın hukuka aykırı olduğunu düşünürse Diyetisyen'e bildirir.

4.2 Erişim sınırı. NİFA Software çalışanlarından yalnızca yetkilendirilmiş kişiler, yalnızca teknik destek, güvenlik, hata giderme veya yasal zorunluluk gerektirdiğinde ve gerektiği ölçüde Diyetisyen Kayıtları'na erişebilir. Bu kişiler gizlilik yükümlülüğü altındadır ve yetkileri yılda iki kez gözden geçirilir.

4.3 Amaç sınırı. NİFA Software, Diyetisyen Kayıtları'nı reklam, profilleme veya yapay zekâ modeli eğitimi amacıyla kullanmaz.

4.4 Güvenlik, alt işleyici, ihlal, başvuru, denetim, silme. NİFA Software bu konulardaki yükümlülüklerini madde 7-13'e göre yerine getirir.

5. Diyetisyen'in yükümlülükleri

5.1 Diyetisyen; Danışan'ı aydınlatmak ve gerekli açık rızaları almak, Danışan'ın taleplerini yanıtlamak, VERBİS dâhil kayıt ve bildirim yükümlülüklerini değerlendirmek, mesleki gizlilik ve saklama yükümlülüklerine uymak, verdiği talimatların hukuka uygunluğunu sağlamak ve Diyetisyen Kayıtları'na yalnızca hukuka uygun elde ettiği, danışmanlık amacıyla gerekli verileri girmekle yükümlüdür.

5.2 Platform'daki otomatik aydınlatma ve rıza ekranı bu yükümlülüğü kolaylaştırır, yerine geçmez. Danışan davet kodunu girdiğinde Metin C'yi (Diyetisyen adına hazırlanmış Danışan aydınlatma metni) ve ayrı onay kutularını görür. NİFA Software bu gösterimin kaydını (metnin sürümü, metin özeti, zaman, Diyetisyen kimliği) ve Diyetisyen'in davet sırasında verdiği aydınlatma beyanının kaydını tutar; bu kayıt Diyetisyen'in ispat yükünü kolaylaştırır.

5.3 Diyetisyen, Danışan ile ilişkiyi sonlandırdığında Danışan'a ilişkin verileri ilgili mevzuatın gerektirdiği süre kadar saklar, sonra siler veya anonimleştirir.

6. AI Koç ve diyet planı aktarımı

6.1 AI Koç, yalnızca Danışan'ın kendi başlattığı AI Koç oturumunda, Danışan'ın Diyetisyen'le bağlantısı sürdükçe ve Danışan'ın verdiği açık rıza kapsamında, Danışan'a atanmış diyet planının özetini yanıt üretmek için okuyabilir. Okunan alanlar: plan başlığı, kategori, kalori ve makro değerleri, genel notlar ve öğün sayısı. Danışan'ın kalori hedefi de aynı amaçla yanıt bağlamına eklenebilir. Yanıt üretmek için alt işleyiciye (Google Gemini API) giden içeriğin tamamı, Danışan'a gösterilen aydınlatma ve rıza metinlerindeki listeyle aynıdır: Danışan'ın mesajları, hedefi, boy ve kilosu, kalori hedefi, kronik hastalık ve alerji gibi sağlık profili bilgileri, konuşma özeti, yemek fotoğrafları ve kayıtları ile atanmış plan özeti. Danışan hesabı için üretilen gözlem özeti ve hatırlatma gibi diğer AI üretimleri Diyetisyen Kayıtları'ndan plan özeti okumaz. Sunucu, AI işlemi yapan her fonksiyonda Danışan'ın AI rızasını kontrol eder; rıza yoksa veya geri alınmışsa istek reddedilir ve plan özeti iletilmez.

6.2 Diyetisyen bu aktarımı bilir ve kabul eder. Aktarım Danışan'a atanan her plan için yapılır; Platform'da bunu plan bazında kapatma seçeneği yoktur. Diyetisyen, planlarında Danışan dışı üçüncü kişilere ait veri veya ticari sır niteliğinde içerik bulunmamasından sorumludur. Danışan'ın AI rızası yoksa bu aktarım yapılmaz.

6.3 AI Koç'un planı okuması ve yorumlaması Diyetisyen'in onayı veya mesleki değerlendirmesi anlamına gelmez; sorumluluk dağılımı Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 2.7'de düzenlenmiştir.

6.4 Bu aktarım, madde 8'de anlatılan şekilde, ilgili alıcı bakımından Kurul standart sözleşmesi imzalanmış ve Kurum'a bildirilmiş olarak yapılır.

6.5 Uyarı bildirimi. Danışan ayrıca ve ayrı bir onay kutusuyla onay verdiyse ve Diyetisyen'le bağlantısı sürüyorsa, AI Koç'ta riskli bir ifade tespit edilmesi hâlinde NİFA Software Diyetisyen'e tek ve sabit bir bildirim gönderebilir: "Danışanınızla iletişime geçmeniz önerilir." Bildirimin başlığı ve metni nötrdür; olayın türü, mesaj içeriği veya anahtar kelime bildirimde yer almaz ve bildirim cihazın kilit ekranında görünebilir. Danışan onay vermemişse veya bağlantı sona ermişse bildirim gönderilmez. NİFA Software ayrıca, Danışan'ın günlük AI kullanım sınırına ulaşması gibi AI kullanımına ilişkin bir bildirimi Diyetisyen'e göndermez. Bu bildirim Danışan'ın sağlık verisi niteliğindedir; Diyetisyen bildirimi gizli tutar, yalnızca ilgili Danışan'a destek amacıyla kullanır, üçüncü kişilerle paylaşmaz ve bildirimi aldıktan sonra kendi veri sorumlusu sıfatıyla işler. Bildirimin ulaşacağı, okunacağı veya bir işlem yapılacağı garanti edilmez; güvenlik kontrolü her ifadeyi yakalamayı garanti etmez ve Diyetisyen'in danışan takibinin yerine geçmez.

7. Alt işleyiciler

7.1 Genel izin. Diyetisyen, NİFA Software'in Diyetisyen Kayıtları için Ek-2'deki alt işleyicileri kullanmasına genel yazılı izin verir.

7.2 Sözleşme güvencesi. NİFA Software, alt işleyicilerle bu sözleşmedeki seviyede veri koruma yükümlülükleri getiren sözleşmeler yapar ve alt işleyicinin yükümlülüklerini yerine getirmemesinden Diyetisyen'e karşı sorumludur.

7.3 Değişiklik ve itiraz. NİFA Software, alt işleyici ekleme veya değiştirmeyi en az 30 gün önceden e-posta ile bildirir ve helfitapp.com/alt-isleyiciler sayfasını günceller. Diyetisyen gerekçesini yazarak 15 gün içinde itiraz edebilir. İtiraz çözülemezse Diyetisyen aboneliğini iptal edebilir ve kullanılmayan dönemin bedelini orantılı olarak iade alır. Diyetisyen Kayıtları veya Danışan verisi Ek-2'de yer almayan hiçbir sağlayıcıya gönderilmez. Yapay zekâ sağlayıcısı yalnızca Ek-2'de yazılı olandır; sağlayıcının değiştirilmesi veya geçici yedek bir sağlayıcının kullanılması alt işleyici değişikliğidir ve bu maddedeki 30 günlük bildirim süreci tamamlanmadan devreye alınmaz.

7.4 Alt işleyicilerin listesi, ülkeleri ve hizmetleri Ek-2'dedir.

8. Yurt dışı aktarım ve vekâlet

8.1 Verilerin Google Cloud/Firebase altyapısında Frankfurt (Almanya) veri merkezinde barındırılması Türkiye dışında bir aktarımdır; Kanun'un m.9 güvenceleri uygulanır.

8.2 Diyetisyen, Diyetisyen Kayıtları'nın Ek-2'de listelenen alt işleyicilere yurt dışına aktarılması bakımından NİFA Software'e, Diyetisyen adına ve hesabına, Kişisel Verileri Koruma Kurulu'nun ilgili standart sözleşme metinlerini imzalama, değiştirmeden kullanma ve imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirme konusunda yetki (vekâlet) verir.

8.3 NİFA Software bu işlemlerin yapıldığını Diyetisyen'e talep hâlinde belgeler; tarih ve sözleşme türünü gösteren bir özet sunar. Standart sözleşmenin metni Kurul tarafından ilan edilen şablondur; alıcı, imza tarihi ve sözleşme türü bilgisi helfit.destek@gmail.com adresinden talep edilebilir.

8.4 Bildirim yükümlülüğünün kanuni sorumluluğu veri sorumlusu olarak Diyetisyen'de kalır; NİFA Software yetkiyi özenle kullanmayı ve yükümlülüğü zamanında yerine getirmeyi taahhüt eder. Bu taahhüde aykırılıktan doğan zararlar madde 17'ye tabidir.

8.5 Aktarımın yapıldığı her alıcı bakımından Kurul standart sözleşmesi imzalanmış ve Kurum'a bildirilmiştir. İmzası ve bildirimi tamamlanmamış bir alıcıya Diyetisyen Kayıtları aktarılmaz; bu alıcı için aktarım, standart sözleşmenin imzalanması ve Kurum'a bildirilmesi tamamlanana kadar yapılmaz ve Ek-2 tamamlandığında güncellenir.

9. Güvenlik tedbirleri

9.1 NİFA Software, Kanun'un m.12'si uyarınca Diyetisyen Kayıtları için uygun güvenlik düzeyini sağlamak üzere Ek-3'teki teknik ve idari tedbirleri uygular. Hiçbir bilgi sistemi için mutlak güvenlik garanti edilemez; NİFA Software Ek-3'teki tedbirleri özenle uygulamayı ve düzenli olarak gözden geçirmeyi taahhüt eder.

9.2 NİFA Software Ek-3'ü güncelleyebilir; güncelleme tedbir seviyesini azaltamaz. Esaslı güncellemeler Diyetisyen'e bildirilir.

10. İhlal bildirimi (çift yönlü)

10.1 NİFA Software'ten Diyetisyen'e. NİFA Software, Diyetisyen Kayıtları'nı etkileyen bir veri ihlalini öğrendiği anda gecikmeksizin ve her hâlde öğrendiği tarihten itibaren 48 saat içinde Diyetisyen'e bildirir. Bildirim, olayın niteliğini, etkilenen veri ve kişi sayısına ilişkin bilinen bilgiyi, alınan tedbirleri ve iletişim noktasını içerir; tüm bilgi toplanamamışsa bilgiler aşamalı verilir. Bu, Diyetisyen'in veri sorumlusu olarak ihlali öğrenmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yükümlülüğünü yerine getirebilmesi içindir. Bu maddede "öğrenme", NİFA Software'in yetkili bir çalışanının ihlalin gerçekleştiğine veya gerçekleşmiş olabileceğine makul ölçüde güven duyduğu andır; yalnızca bir teknik uyarı veya şüphe, ihlalin kesinleşmesi için yapılan inceleme süresince bu süreyi başlatmaz ve NİFA Software bu incelemeyi mümkün olan en kısa sürede tamamlar.

10.2 Diyetisyen'den NİFA Software'e. Diyetisyen; hesabının ele geçirildiğini veya Diyetisyen Kayıtları'nı etkileyen bir ihlali öğrendiği anda gecikmeksizin ve her hâlde 48 saat içinde NİFA Software'e bildirir.

10.3 İlgili kişilere bildirim. İlgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Diyetisyen'e aittir. Diyetisyen'in yazılı talimatı üzerine veya Diyetisyen'e ulaşılamıyorsa NİFA Software, ilgili kişileri Diyetisyen adına bilgilendirebilir.

10.4 Aynı olay NİFA Software'in kendi sorumluluğundaki verileri de etkiliyorsa NİFA Software, kendi verileri bakımından Kurul'a bildirimi öğrendiği andan itibaren en geç 72 saat içinde ayrıca yapar; bildirimler birbirine atıf yapar. NİFA Software her ihlali, bildirim yapılsın yapılmasın, kurum içi bir ihlal defterine kaydeder.

11. İlgili kişi başvuruları

11.1 Diyetisyen Kayıtları'na ilişkin başvurular Diyetisyen tarafından yanıtlanır. NİFA Software'e gelen böyle bir başvuru, alındıktan sonra en geç 3 iş günü içinde Diyetisyen'e iletilir ve başvurana bilgi verilir. Hangi kuruma başvuracağından emin olmayan kişi helfit.destek@gmail.com adresine yazabilir; talep ilgili veri sorumlusuna iletilir. NİFA Software'e yapılan başvuru, NİFA Software'e ulaştığı tarihte yapılmış sayılır; Diyetisyen bu başvuruyu, NİFA Software'in iletiminden itibaren 20 gün içinde yanıtlar ve yanıt süresi her hâlde başvurunun NİFA Software'e ulaşmasından itibaren 30 günü aşamaz.

11.2 NİFA Software, Diyetisyen'in talebi üzerine ilgili kişi başvurusunun karşılanması için gereken teknik desteği (erişim, düzeltme, silme) 5 iş günü içinde sağlar.

11.3 NİFA Software'in veri sorumlusu olduğu veriler için başvurular NİFA Software tarafından Aydınlatma Metni'ndeki usulle yanıtlanır (helfitapp.com/veri-sahibi-basvuru).

12. Denetim

12.1 Diyetisyen, yılda bir kez, 15 gün önceden yazılı bildirimle, bu sözleşmedeki yükümlülüklerin yerine getirildiğine dair bilgi ve belge talep edebilir.

12.2 Yerinde denetim yalnızca gerekçeli yazılı talep, 15 gün önceden bildirim ve gizlilik taahhüdüyle yapılır. Denetim NİFA Software'in diğer müşterilerinin verilerine veya güvenlik açıklarına erişim sağlamaz; masrafı Diyetisyen'e aittir.

12.3 NİFA Software güncel bir bağımsız üçüncü taraf denetim raporuna sahipse, raporu sunması yerinde denetimin yerine geçer.

13. Silme ve iade

13.1 Diyetisyen, hesabını silmeden önce Diyetisyen Kayıtları'nın bir kopyasını helfit.destek@gmail.com adresinden yazılı olarak talep edebilir; NİFA Software talebi aldıktan sonra 15 gün içinde kopyayı makine tarafından okunabilir biçimde (CSV veya JSON) teslim eder (Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 11.3). Sözleşmenin sona ermesinde, hesap silinmediği sürece bu talep sona erme tarihinden itibaren 30 gün içinde de yapılabilir. Diyetisyen'in hesap silme talebi onaylandığında Diyetisyen Kayıtları ve bunlara ait dosyalar aktif sistemlerden en geç 30 gün içinde silinir; silme onaylandıktan sonra bu kayıtlar geri getirilemeyebilir ve hesap silme ekranı Diyetisyen'i bu konuda uyarır. Tercih bildirilmeden sözleşme sona ererse Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 11.3'teki süre sonunda silinir.

13.2 Yedeklerdeki kopyalar rotasyonla en geç 90 gün içinde silinir. Bu süre boyunca yedekler olağan işlemeden ayrı tutulur; bir yedek yalnızca felaket kurtarma amacıyla geri yüklenirse, silme talebi alınmış kayıtlar geri yüklemeden sonra yeniden silinir.

13.3 Yasal saklama zorunluluğu olan kayıtlar silinmez; yalnızca o amaçla ve sınırlı erişimle saklanır. Silme tamamlandığında Diyetisyen'e yazılı bildirilir.

13.4 Danışan'ın kendi hesabı ve kendi takip verileri bundan etkilenmez; silme, Diyetisyen'in sorumlu olduğu Diyetisyen Kayıtları'nı kapsar.

14. Diyetisyen'in sağlık mevzuatı yükümlülükleri

Diyetisyen, kendisine ve faaliyetine uygulanan sağlık mevzuatı nedeniyle Diyetisyen Kayıtları bakımından ek yükümlülük doğuyorsa bunu NİFA Software'e bildirir; taraflar yükümlülüğün yerine getirilmesi için iyi niyetle işbirliği yapar. Bildirim yapılmamasından doğan sorumluluk Diyetisyen'dedir.

15. Yasal talep karşısında veri verme

15.1 NİFA Software, mahkeme, savcılık veya Kurum gibi yetkili makamların talebini hukuka uygunluk bakımından değerlendirir ve yalnızca talep edilen kapsamda karşılar.

15.2 Yasal engel yoksa NİFA Software talebi Diyetisyen'e önceden bildirir; Diyetisyen'in mesleki gizlilik gibi bir gerekçeyle itiraz etmesi için süre tanır. Yasal engel varsa bildirim sonradan yapılır.

16. Hesap güvenliği

16.1 Diyetisyen; parolasını ve erişim bilgilerini üçüncü kişilerle paylaşmaz; hesabını ortak kullanmaz (kurum bünyesinde çok kullanıcılı plan hariç).

16.2 Yardımcı personele hesap yetkisi veren Diyetisyen, onların gizlilik ve kişisel veri yükümlülüklerine uymasını sağlar ve bunlardan sorumludur.

16.3 Diyetisyen hesabının izinsiz kullanıldığından şüphelenirse NİFA Software'e derhâl bildirir (madde 10.2). Hesabın ele geçirilmesinden doğan işlemler, NİFA Software'in kusuru yoksa Diyetisyen'e aittir.

17. Sorumluluk ve tazmin

17.1 Taraflar KVKK ve ilgili mevzuata uygunluktan kendi rolleri kapsamında sorumludur. Kanun'un m.12'si uyarınca veri sorumlusunun işleyenle birlikte sorumluluğu ve ilgili kişilere karşı kanundan doğan sorumluluk bu sözleşmeyle sınırlandırılmaz.

17.2 İlgili kişiye ödenen tazminat veya karşı tarafın uğradığı diğer zarar bakımından taraflar iç ilişkide kusurları oranında sorumludur; kusurlu taraf, diğer tarafın ödediği tutarın kusur oranındaki kısmını ve makul savunma masraflarını rücu eder veya tazmin eder.

17.3 İdari para cezası. Bu sözleşme hiçbir tarafa başkasının idari para cezasını yüklemez. Mevzuatın izin verdiği ölçüde, ihlalin karşı tarafın talimatından, kusurundan veya yükümlülük ihlalinden kaynaklandığı hâllerde, o tarafın makul savunma masrafları ve hukuken rücuya elverişli olduğu ölçüdeki zararı karşılanır.

17.4 Diyetisyen; Danışan'ı aydınlatmamasından, gerekli açık rızayı almamasından, hesabını üçüncü kişilerle paylaşmasından veya Danışan verisini Platform dışına hukuka aykırı aktarmasından doğan taleplerde NİFA Software'in zararını kusur oranında karşılar (idari para cezası madde 17.3'e tabidir; bu tazmin de madde 17.5'teki sınırlara tabidir).

17.5 Sorumluluk üst sınırları (üç katman). (i) NİFA Software'in hafif kusuruna dayanan genel sorumluluğu, Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 7.3'teki genel üst sınırla (zararı doğuran olaydan önceki 12 ayda ödenen abonelik bedeli veya 32.999 TL'den hangisi yüksekse o) sınırlıdır. (ii) Kişisel veri güvenliği veya gizlilik ihlalinde, taraflar arasındaki iç ilişkide (rücu, tazmin ve savunma masrafları dâhil) bir tarafın hafif kusuru için sorumluluk, bir sözleşme yılında toplam olarak bu genel üst sınırın üç katı ile sınırlıdır (Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 7.3-A). (iii) Kasıt, ağır kusur, ölüm ve vücut bütünlüğüne gelen zararlar, kişilik haklarının ihlali, kanunen sınırlandırılamayan sorumluluklar ve ilgili kişilere ve Kurum'a karşı kanundan doğan sorumluluk (Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 7.2) tavansızdır ve bu sınırlara tabi değildir. Bu sınırlar yalnızca taraflar arasındaki paylaşımı belirler ve kanunen geçerli olduğu ölçüde uygulanır.

18. Süre ve fesih

18.1 Bu sözleşme Diyetisyen Hizmet ve Abonelik Sözleşmesi ile birlikte sona erer.

18.2 Karşı taraf, ağır ihlalde yazılı ihtarla ve ihtarda verilen 15 günlük sürede giderilmeyen ihlalde sözleşmeyi feshedebilir; giderilemeyecek ihlalde süre verilmeden feshedilebilir. İhtar noter aracılığıyla, tarafın bildirdiği posta adresine iadeli taahhütlü postayla veya e-posta ile yapılabilir; e-postayla yapılan ihtar bildirim adresine gönderilmekle geçerlidir.

18.3 Gizlilik, silme/iade, sorumluluk ve uyuşmazlık hükümleri sona ermeden sonra da yürür.

19. Öncelik, değişiklik ve uyuşmazlık

19.1 Kişisel veri konularında bu sözleşme, Diyetisyen Hizmet ve Abonelik Sözleşmesi'ne göre önceliklidir. Aydınlatma Metni ve Gizlilik Politikası bilgilendirme metinleridir; bu sözleşmenin eki değildir.

19.2 Bu sözleşmenin değişikliği Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 12'ye tabidir (en az 30 gün önceden bildirim ve açık onay). Ek-2 değişikliği madde 7.3, Ek-3 değişikliği madde 9.2'ye göre yapılır.

19.3 Uygulanacak hukuk ve yetki Diyetisyen Hizmet ve Abonelik Sözleşmesi madde 16'dadır.

---

Ek-1 — Veri haritası

Bu tablo; verinin kim tarafından yönetildiğini (veri sorumlusu), amacını, kimlerin erişebildiğini ve saklama ilkesini gösterir. Ayrıntılı saklama süreleri Aydınlatma Metni'ndeki "Saklama ve imha süreleri" bölümündedir.

Ek-2 — Alt işleyiciler

Bu tablo yalnızca Diyetisyen Kayıtları'nı işleyen alt işleyicileri gösterir. NİFA Software'in kendi sorumluluğundaki verilerin diğer alıcıları (ödeme kuruluşları, mağazalar, abonelik doğrulama hizmeti) helfitapp.com/alt-isleyiciler sayfasındadır; Diyetisyen Kayıtları bunlara aktarılmaz. Yapay zekâ sağlayıcısı yalnızca Google Gemini'dir (madde 7.3).

Frankfurt (Almanya) dâhil Türkiye dışındaki her konum Kanun bakımından "yurt dışı"dır. Aktarımın yapıldığı her alıcı bakımından Kurul standart sözleşmesi imzalanmış ve Kurum'a bildirilmiştir (madde 8.5); sözleşme türü, ilgili tarafların rolüne göre (veri sorumlusu → işleyen veya işleyen → işleyen) belirlenir ve talep hâlinde madde 8.3'e göre bildirilir.

Ek-3 — Güvenlik tedbirleri

NİFA Software aşağıdaki tedbirleri uygular. Bunlar mutlak bir güvenlik garantisi değil, NİFA Software'in özen yükümlülüğü kapsamında aldığı tedbirlerdir. Erişim kurallarının güncel sürümü ve son güncelleme tarihi, Diyetisyen'in talebi üzerine 15 gün içinde bildirilir.

Teknik tedbirler

1. Kimlik doğrulama. Kullanıcılar Firebase Authentication ile doğrulanır. Kullanıcı isteği alan sunucu fonksiyonları kimlik belirtecini doğrular; üçüncü taraf bildirimlerini alan uç noktalar (ör. ödeme kuruluşundan gelenler) imza veya anahtar doğrulaması yapar.
2. Rol bazlı erişim kuralları (Firestore). Danışmanlık notları ve Danışan profil notları için okuma yetkisi ilgili Diyetisyen'e; mesajlar ve sohbetler için sohbetin taraflarına; kilo/ölçü ve adım kayıtları için kayıt sahibine ve Danışan'ın o anki aktif Diyetisyen'ine (su, ruh hâli, yemek günlüğü ve kalori hedefi için yalnızca kayıt sahibine); diyet planları için ilgili Diyetisyen'e ve plan atanan Danışan'a tanımlanmıştır. Yönetici rolüne bu kurallarda tam erişim tanımlıdır; yönetici paneli rol kontrolüyle korunur, yönetici erişimi altyapı sağlayıcısının denetim kayıtlarıyla (Cloud Audit Logs) izlenir ve yalnızca madde 4.2'deki amaçlarla kullanılır.
3. Aktarımda şifreleme. Uygulama ile sunucular arasındaki iletişim TLS ile şifrelenir. Mesajlar uçtan uca şifreli değildir.
4. Gizli anahtarların korunması. API anahtarları ve ödeme sağlayıcı sırları sunucu tarafında ortam değişkeni veya gizli değer olarak tutulur; uygulama istemcisine gömülmez.
5. Kötüye kullanım sınırları. AI özelliklerinde günlük kullanım kotası uygulanır.
6. Yönetici onayı. Diyetisyen hesapları, belge incelemesi ve yönetici onayından sonra panele erişir.
7. Dosya erişim kuralları (Storage). Mesaj ekleri için okuma yetkisi ilgili sohbetin katılımcılarına; diploma ve sertifikalar için sahibine ve yöneticiye; Danışan profil klasörü için sahibine ve yöneticiye; yemek fotoğrafları için sahibine tanımlanmıştır. Diyetisyen profil fotoğrafları ve paket görselleri, diyetisyen listesinde gösterilmek üzere oturum açmış kullanıcılara okunabilir; bu bilinçli bir tercihtir ve Diyetisyen profil fotoğrafının bu görünürlüğünü kabul eder.
8. Hesap engelleme. Yönetici, hesabı engelleyebilir veya silebilir.

İdari tedbirler

9. Personel yükümlülükleri. Erişim yetkisi olan personel gizlilik taahhüdü imzalar; yetkiler yılda iki kez gözden geçirilir.
10. İhlal yönetimi. Veri ihlallerinin tespiti, değerlendirilmesi, bildirimi ve kayda alınması için yazılı kurum içi prosedür ve ihlal defteri uygulanır.
11. Saklama ve imha. Saklama süreleri dolan veya silme talebi gelen veriler Aydınlatma Metni'ndeki süreler içinde silinir; silme işlemleri kayda alınır.