KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN EK (VERİ İŞLEYEN SÖZLEŞMESİ) Sürüm 1.1 Bu Ek, Hizmet Kullanım Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesinin ikinci fıkrası uyarınca düzenlenmiştir. Müşterinin açtığı uygulamaların ek sözleşmelerindeki veri işleme hükümleri, bu Ek'i o uygulama bakımından tamamlar ve genişletir. Lütfen özellikle 5.6 (Denetim), 6.5 ila 6.8 (alt veri işleyenler) ve 7 (Yurt Dışına Aktarım) maddelerini okuyunuz. Taraflardan biri talep ederse bu Ek, ıslak imzalı veya güvenli elektronik imzalı olarak ayrıca düzenlenir. Kayıt sırasında, uygulama eklenirken, uygulamaya ilk girişte ya da panelde verilen kabul, tarih, saat, IP adresi ve metnin parmak izi ile birlikte kayıt altına alınır. 1. TARAFLAR VE ROLLER 1.1. Veri Sorumlusu: Müşteri. İşlemenin amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. 1.2. Veri İşleyen: Yücel Kahraman ("VeriTakibi"). Kişisel verileri yalnızca Veri Sorumlusunun talimatı doğrultusunda ve onun adına işler. 1.3. VeriTakibi, işlemenin amaçlarını ve vasıtalarını kendi başına belirlediği ölçüde, o işleme bakımından veri sorumlusu sayılır. Panel kullanıcılarının kendi kişisel verileri (hesap bilgileri, giriş kayıtları) bu kapsamdadır ve ayrı bir aydınlatma metniyle düzenlenir. 2. İŞLEMENİN KONUSU, NİTELİĞİ, AMACI VE SÜRESİ 2.1. Konu ve nitelik: Müşterinin Platform üzerinden yürüttüğü işlemlerin gerçekleştirilmesi; bu işlemlerde oluşan veya Müşteri tarafından aktarılan içeriğin işlenmesi, kaydedilmesi, dökümlenmesi, özetlenmesi, sonuçlarının kaydedilmesi ve Müşteriye raporlanması. Müşterinin açtığı her uygulama için konu ve nitelik, o uygulamanın ek sözleşmesinde genişletilir. 2.2. Amaç: Yalnızca Hizmet Kullanım Sözleşmesi'nde tanımlanan hizmetin sunulması. Başka hiçbir amaç yoktur. 2.3. Süre: Hizmet Kullanım Sözleşmesi yürürlükte kaldığı sürece; sona ermesinden sonra 8. maddedeki imha süresince. 3. VERİ KATEGORİLERİ VE İLGİLİ KİŞİ GRUPLARI 3.1. İlgili kişi grupları: Müşterinin, Platform üzerinden iletişim kurulmasını talep ettiği veya Müşteriyle ilişkisi bulunan gerçek kişiler; Müşterinin Yetkili Kullanıcıları. Uygulama eklerinde başka ilgili kişi grupları da sayılabilir. 3.2. Veri kategorileri: a) Kimlik ve iletişim bilgileri (ad, soyad, telefon numarası, e-posta adresi gibi Müşterinin aktardığı bilgiler); b) Müşterinin aktardığı ve etkileşimin konusunu oluşturan işlem bilgileri; c) Platform üzerindeki işlem içeriği: Müşterinin aktardığı veya Platform üzerinden yürütülen işlemlerde oluşan ses ve/veya metin kayıtları, belgeler ve görseller, bunlardan üretilen dökümler, özetler ve sonuç kayıtları; d) İşlem güvenliği bilgileri (IP adresi, zaman damgası, işlem kayıtları). Uygulama eklerinde bu kategorilere ek olarak başka veri kategorileri sayılabilir. 3.3. Özel nitelikli kişisel veri işlenmesi öngörülmemiştir. Müşteri, Platforma özel nitelikli kişisel veri aktarmamayı taahhüt eder; etkileşim içeriğinde kendiliğinden ortaya çıkan beyanlar bu taahhüdün dışındadır. 4. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ 4.1. Müşteri, Platforma aktardığı kişisel verilerin KVKK'ya uygun olarak elde edildiğini; işleme şartlarının (KVKK m.5 ve m.6) mevcut olduğunu taahhüt eder. 4.2. İlgili kişilerin aydınlatılması (KVKK m.10) Müşterinin yükümlülüğüdür. Gereken hâllerde açık rızanın alınması ve belgelenmesi de Müşteriye aittir. 4.3. VERBİS kaydı, gerekiyorsa, Müşterinin yükümlülüğündedir. Veri işleyen sıfatıyla VeriTakibi bu kaydı yapmaz. 4.4. Müşteri, VeriTakibi'ye vereceği talimatların hukuka uygun olmasından sorumludur. 4.5. Müşteri, Platform üzerindeki ayarları ve saklama tercihlerini kendi hukuki değerlendirmesine göre yapılandırır. 5. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ 5.1. Talimatla işleme. VeriTakibi kişisel verileri yalnızca Müşterinin talimatı doğrultusunda işler. Talimat; bu Ek, Hizmet Kullanım Sözleşmesi, Müşterinin açtığı uygulamaların ek sözleşmeleri ve Müşterinin panelde yaptığı ayarlardan oluşur. VeriTakibi, bir talimatın hukuka aykırı olduğunu düşünürse Müşteriyi bilgilendirir ve o talimatı yerine getirmekten kaçınabilir. 5.2. Gizlilik. Kişisel verilere erişen herkes gizlilik yükümlülüğü altındadır ve bu yükümlülük görevin sona ermesinden sonra da devam eder. 5.3. Güvenlik tedbirleri. VeriTakibi, KVKK m.12 uyarınca uygun güvenlik düzeyini sağlamak için en az şu tedbirleri uygular: a) Aktarım sırasında şifreleme (TLS); b) Gizli alanların (erişim anahtarları gibi) veritabanında şifreli saklanması; c) Rol ve yetki tabanlı erişim denetimi; her sorguda firma kapsamının zorunlu tutulması suretiyle her firmanın verisinin birbirinden ayrılması; d) İki adımlı doğrulama imkânı; e) İşlem ve erişim kayıtlarının tutulması; f) Düzenli yedekleme; g) Erişim yetkilerinin gerektiği kadar kişiyle sınırlanması. Bu tedbirler teknolojinin gelişimine göre güncellenebilir; güvenlik düzeyi düşürülemez. 5.4. Veri ihlali. VeriTakibi, kişisel verilerin hukuka aykırı olarak erişilmesi, ele geçirilmesi veya ifşası hâlinde durumu öğrendiği andan itibaren gecikmeksizin ve en geç yirmi dört (24) saat içinde Müşteriye bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, tahmini etkiyi ve alınan önlemleri içerir. Kurula ve ilgili kişilere bildirim yükümlülüğü Müşteriye aittir; VeriTakibi bu bildirim için gereken bilgiyi sağlar. 5.5. İlgili kişi başvuruları. VeriTakibi, kendisine ulaşan ilgili kişi başvurularını yanıtlamaz, gecikmeksizin Müşteriye iletir. Müşterinin KVKK m.11 kapsamındaki taleplere cevap verebilmesi için gereken teknik desteği sağlar. 5.6. Denetim. Müşteri, bu Ek'e uyumu denetlemek için yılda bir kez, en az on beş (15) gün önceden bildirmek kaydıyla, uzaktan ve iş akışını aksatmayacak biçimde bilgi ve belge talep edebilir. Denetimin masrafı Müşteriye aittir. Sıklık sınırı, bir veri ihlali yaşanması hâlinde uygulanmaz. 5.7. Kayıt. VeriTakibi, kendisi adına yürütülen işleme faaliyetlerinin kaydını tutar ve talep hâlinde Müşteriye sunar. 6. ALT VERİ İŞLEYENLER 6.1. Hizmetin sunulabilmesi için alt veri işleyenler kullanılır. Bunlar şu kategorilerdedir: a) Bulut ve barındırma sağlayıcıları: sunucu, veritabanı ve yedek barındırma; b) Bildirim ve e-posta gönderim sağlayıcıları; c) Müşterinin açtığı uygulamaların ek sözleşmelerinde sayılan sağlayıcı kategorileri (yapay zekâ sağlayıcıları, elektronik haberleşme ve mesajlaşma sağlayıcıları ve ilgili uygulamanın gerektirdiği diğer sağlayıcılar gibi). 6.2. Bu Ek'in kabul edildiği tarihte kullanılan ve yakın dönemde kullanılması planlanan alt veri işleyenler ile işlemenin yürütülebileceği yerler şunlardır. Bunlardan hangisinin O AN kullanıldığı 6.4'teki listede güncel olarak görülür; bu Ek kimlerin ve nerelerin söz konusu olabileceğini, liste ise o günkü fiilî durumu söyler: a) Bulut ve barındırma sağlayıcıları — Avrupa Birliği üyesi ülkeler, Türkiye ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; b) Bildirim ve e-posta gönderim sağlayıcıları — Avrupa Birliği üyesi ülkeler ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; c) Müşterinin açtığı uygulamaların ek sözleşmelerinde sayılan alt veri işleyenler ve o ek sözleşmelerde belirtilen yerler. Yukarıdakilerin bir kısmı bu Ek'in kabul edildiği tarihte henüz kullanılmamaktadır; hangisinin kullanımda olduğu, sağlayıcıların adları, tüzel kişilikleri ve kendi veri işleme şartlarına bağlantıları 6.4'teki listede yer alır ve orada güncel tutulur. 6.3. Yerler bakımından iki noktanın bilinmesi gerekir: a) Yukarıda sayılan yerler, işlemenin yürütülebileceği yerlerdir; VeriTakibi bunlar arasından veri ikametgâhı sağlayan seçeneği tercih etmeye çalışır (7.3). b) Bazı hizmetlerde sağlayıcı bölge seçimi sunmaz. Böyle hizmetlerde işlemenin hangi ülkede yürütüleceğini sağlayıcı belirler ve VeriTakibi bu konuda bir taahhütte bulunamaz. Hangi hizmetin bölge seçimi sunduğu 6.4'teki listede gösterilir. 6.2'de adı geçmeyen bir alt veri işleyenin kullanılması gerekirse, bu 6.6'daki usule tabidir. 6.4. Alt veri işleyenlerin GÜNCEL listesi şu adreste yayımlanır ve 6.2'deki liste bu tarihten sonra yalnız oradan güncellenir: https://veritakibi.com/legal/subprocessors Liste, her alt veri işleyen için adını, tüzel kişiliğini, işlemenin yürütüldüğü ülke veya bölgeyi, işleme amacını ve o sağlayıcının kendi veri işleme şartlarına bağlantıyı içerir. Listenin geçmiş hâlleri, hangi tarihte hangi sağlayıcıların yer aldığı görülebilecek şekilde aynı adresten yayımlanmaya devam eder. 6.5. Müşteri, bu Ek'i kabul etmekle 6.2'deki alt veri işleyenlerin ve 6.6'daki usule uyularak listeye eklenecek olanların kullanılmasına onay vermiş olur. Müşterinin açtığı uygulamaların ek sözleşmelerinde sayılan alt veri işleyenler için onay, o ek sözleşmenin kabulüyle verilmiş olur. 6.6. Listeye yeni bir alt veri işleyen eklenmesi ya da mevcut birinin değiştirilmesi, en az on beş (15) gün önceden panelden duyurulur. Duyuru; neyin değiştiğini, değişikliğin yürürlük tarihini ve 6.4'teki adresi içerir. Müşteri bu değişikliğe itiraz edebilir; itiraz için gerekçe göstermesi gerekmez. Taraflar on beş (15) gün içinde bir çözümde anlaşamazsa Müşteri, Hizmet Kullanım Sözleşmesi'ni ve bu Ek'i derhâl ve tazminatsız feshedebilir. Müşterinin sözleşmeyi her zaman, sebep göstermeksizin ve tazminatsız feshetme hakkı (Hizmet Kullanım Sözleşmesi m.14.2) bu maddeden bağımsız olarak ve her hâlükârda saklıdır. 6.7. Hizmetin sürekliliği için acil ve zorunlu değişikliklerde duyuru gecikmeksizin, değişiklikten sonra yapılır. Müşterinin 6.6'daki itiraz ve fesih hakları bu hâlde de aynen geçerlidir. 6.8. Listenin değişmesi bu Ek'in yeniden onaylanmasını gerektirmez. Bu Ek'in metni değişmemekte; değişen, 6.4'teki adreste yayımlanan liste olmaktadır. 6.9. VeriTakibi, alt veri işleyenlerini bu Ek'tekiyle en az aynı düzeyde yükümlülük altına sokar ve onların fiillerinden kendi fiili gibi sorumludur. 7. YURT DIŞINA AKTARIM 7.1. Müşteri, hizmetin niteliği gereği kişisel verilerin yurt dışında yerleşik alt veri işleyenlere aktarıldığını bilir ve kabul eder. Bu aktarım hizmetin aslî işlevidir; arızi değildir. 7.2. Aktarım, alt veri işleyenin işlemeyi yürüttüğü ülkeye yapılır. Bu ülkeler Avrupa Birliği üyesi ülkeler, Birleşik Krallık, Amerika Birleşik Devletleri, İsviçre, Kanada ve alt veri işleyenin küresel altyapısını işlettiği diğer ülkelerdir. Bir alt veri işleyenin küresel altyapı kullanması hâlinde bu durum, o alt işleyen için listede ayrıca belirtilir; aktarımın yapıldığı güncel ülke bilgisi her zaman 6.4'teki listede yer alır. 7.3. İşlemenin hangi bölgede yürütüleceği, alt veri işleyenin sunduğu seçeneklerle sınırlıdır. VeriTakibi, veri ikametgâhı sağlayan bir seçenek sunulduğunda bunu tercih etmeye çalışır; ancak bir modelin veya hizmetin yalnızca belirli bir bölgede sunulduğu hâllerde bu mümkün olmayabilir. Hangi bölgenin kullanıldığı 6.4'teki listede gösterilir. 7.4. Yurt dışına aktarımın KVKK'nın 9. maddesi kapsamındaki hukuki sebebinin sağlanması, veri sorumlusu sıfatıyla Müşterinin yükümlülüğündedir. VeriTakibi, bu yükümlülüğün yerine getirilebilmesi için gereken bilgiyi -- aktarılan veri kategorileri, alıcı grupları, alıcı ülkeler ve alt veri işleyenlerin kendi taahhütleri -- 6.4'teki listede sağlar ve kendi tarafında gereken taahhüt ve sözleşmeleri imzalar. 7.5. Bu Ek kapsamındaki aktarım, Müşterinin veya ilgili kişinin açık rızasına dayandırılmamıştır. KVKK'nın 9. maddesinin altıncı fıkrası açık rızaya dayalı aktarımı arızi hâllerle sınırlandırdığından, süreklilik gösteren bu aktarım için açık rıza uygun bir hukuki sebep değildir. 7.6. Bu maddedeki bilgilendirme, VeriTakibi'nin Müşteriye hukuki görüş verdiği anlamına gelmez. 8. SAKLAMA VE İMHA 8.1. Kişisel veriler, hizmetin sunulması için gerekli olduğu sürece saklanır. 8.2. Hizmet Kullanım Sözleşmesi sona erdiğinde, Müşterinin verilerini dışa aktarabilmesi için tanınan otuz (30) günlük sürenin bitiminden sonra kişisel veriler otuz (30) gün içinde silinir veya Müşteriye iade edilip silinir. 8.3. Kanunen saklanması zorunlu veriler, zorunluluk süresince saklanmaya devam eder ve bu süre boyunca yalnızca saklama amacıyla işlenir. 8.4. Yedeklerdeki veriler, yedekleme döngüsünün olağan akışı içinde silinir. 8.5. Bu Ek ve Hizmet Kullanım Sözleşmesi'nde geçen silme, yok etme ve imha, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in 7. maddesi uyarınca, kişisel verinin ilgili kişiyle ilişkilendirilemeyecek biçimde anonim hâle getirilmesini de kapsar. Anonim hâle getirmede içerik (metin, dosya, ses kaydı, döküm, özet ve müşterinin adı, numarası, adresi gibi kişiyi belirleyen bilgiler) geri döndürülemez biçimde yok edilir; firma, kayıt numarası (sistem kimliği), tarih, tür, süre, ücret kalemi ve tutar gibi kişiyi belirlemeyen iskelet kayıtlar, ücretlendirme, raporlama ve mevzuattan doğan yükümlülükler için kalır (Yönetmelik m.10). İskelet kayıtlar ayrıca VeriTakibi'nin kendi defter ve belge saklama yükümlülükleri (6102 sayılı Türk Ticaret Kanunu m.82, 213 sayılı Vergi Usul Kanunu m.253) için de kalır. 9. SORUMLULUK 9.1. Taraflardan her biri, KVKK'dan doğan kendi yükümlülüklerinin ihlalinden sorumludur. 9.2. Veri güvenliğinin sağlanmasına ilişkin KVKK m.12 yükümlülüğü bakımından taraflar müştereken sorumludur; taraflar arasındaki iç ilişkide, sorumluluk kusur oranına göre paylaştırılır. 9.3. Hizmet Kullanım Sözleşmesi'nin 9. maddesindeki sorumluluk sınırı, kanundan doğan idari sorumluluk bakımından uygulanmaz. 10. YÜRÜRLÜK 10.1. Bu Ek, Hizmet Kullanım Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer. Müşterinin açtığı uygulamaların ek sözleşmelerindeki veri işleme hükümleri, ilgili uygulamanın kullanımı süresince bu Ek ile birlikte uygulanır. 10.2. Kişisel verilere ilişkin konularda bu Ek, Hizmet Kullanım Sözleşmesi'ne göre önceliklidir.