Veri İşleme Sözleşmesi

1. Taraflar ve kapsam

Bu Veri İşleme Sözleşmesi (VİS), Kullanım Şartları'nı kabul eden Müşteri (Veri Sorumlusu) ile Henartech Yazılım Ltd. Şti. (Veri İşleyen veya Mesaifix) arasında, KVKK'nın 12. maddesinin 2. fıkrası ve Kişisel Verileri Koruma Kurulu'nun rehberleri doğrultusunda kurulmuştur. Kullanım Şartları'nın kabulüyle bu VİS de kabul edilmiş olur.

VİS, Hizmetler'in sunulması sırasında Mesaifix'in Müşteri adına işlediği kişisel verilere uygulanır. Mesaifix'in kendi adına veri sorumlusu olarak işlediği veriler (hesap ve fatura verileri gibi) bu VİS'in kapsamında değildir.

Bu VİS'te tanımlanmayan terimler Kullanım Şartları'ndaki ve KVKK'daki anlamlarını taşır.

2. İşlemenin konusu ve niteliği

3. Veri Sorumlusunun yükümlülükleri

• Son Kullanıcı verilerinin işlenmesi için KVKK m.5 veya m.6'da sayılan hukuki sebeplerden birinin bulunmasını sağlamak,
• Son Kullanıcılar'ı KVKK m.10 uyarınca aydınlatmak; Mesaifix'in rezervasyon sayfasında ve web sitesi asistanında gösterdiği kısa bilgilendirmenin yeterli olup olmadığını değerlendirmek ve gerekirse kendi aydınlatma metnini Son Kullanıcılar'a ulaştırmak,
• Gereken hallerde Son Kullanıcılar'ın açık rızasını ve ticari elektronik ileti onaylarını almak,
• Mesaifix'e verdiği talimatların (panel ayarları, rezervasyon akışındaki sorular ve asistana verilen bilgiler dahil) KVKK'ya ve ilgili mevzuata uygun olmasını sağlamak,
• Son Kullanıcılar'ın başvurularını KVKK m.13 uyarınca cevaplamak,
• Yükümlü ise Veri Sorumluları Siciline (VERBİS) kayıt olmak ve bu VİS kapsamındaki işlemeleri kayıtlarına yansıtmak.

4. Veri İşleyenin yükümlülükleri

• Kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işlemek. Kullanım Şartları, bu VİS ve Müşteri'nin paneldeki ayar ve işlemleri Müşteri'nin talimatı sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürsek Müşteri'yi derhal bilgilendiririz,
• Verileri kendi amaçları için kullanmamak, satmamak ve Müşteri'nin yazılı talimatı olmadıkça yapay zekâ modellerinin eğitiminde kullanmamak,
• Verilere erişen çalışan ve yüklenicilerinin gizlilik yükümlülüğü altında olmasını ve erişimin işin gerektirdiği ölçüyle sınırlı kalmasını sağlamak,
• KVKK m.12/1 uyarınca Teknik ve idari tedbirler bölümünde sayılan tedbirleri almak ve güncel tutmak,
• Son Kullanıcı başvurularının cevaplanmasında, veri ihlali bildirimlerinde ve gerektiğinde Kurum'la yürütülecek süreçlerde Müşteri'ye makul destek vermek,
• Bu VİS'e uyumu gösteren bilgileri Müşteri'nin talebi üzerine sunmak.

5. Alt veri işleyenler

Müşteri, Mesaifix'in Hizmetler'i sunmak için Gizlilik Politikası'nda belirtilen türdeki alt veri işleyenlerle çalışmasına genel olarak yetki verir. Alt veri işleyenlerin adlarını ve konumlarını içeren güncel liste, Müşteri'nin talebi üzerine e-posta ile iletilir.

Mesaifix, yeni bir alt veri işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteri'yi e-posta veya panel aracılığıyla bilgilendirir. Müşteri bu süre içinde haklı bir gerekçeyle itiraz edebilir; itiraz giderilemezse Müşteri Sözleşme'yi feshedebilir ve kullanılmamış dönemin ücretinin orantılı iadesini isteyebilir.

Mesaifix, alt veri işleyenlere bu VİS'tekinden daha az koruyucu olmayan yükümlülükler yükler ve onların bu yükümlülükleri yerine getirmemesinden Müşteri'ye karşı Kullanım Şartları çerçevesinde sorumludur.

6. Yurt dışına aktarım

Alt veri işleyenlerin bir kısmı Türkiye dışında, başta ABD ve Avrupa Birliği'nde bulunur. Müşteri, Son Kullanıcı verilerinin bu ülkelere aktarılmasına ilişkin talimatını bu VİS ile verir.

Mesaifix bu aktarımları KVKK m.9'a uygun olarak gerçekleştirir: yeterlilik kararı bulunmayan ülkelere yapılan aktarımlarda Kurul'ca ilan edilen standart sözleşmeyi (veri işleyenden veri işleyene aktarım) alt veri işleyenle imzalar ve imzadan itibaren 5 iş günü içinde Kurum'a bildirir. Müşteri'nin talebi halinde bu güvencelere ilişkin bilgi verilir.

7. İlgili kişi başvuruları

Mesaifix'e doğrudan bir Son Kullanıcı başvurusu ulaşırsa Mesaifix bu başvuruyu kendisi cevaplamaz; en geç 5 iş günü içinde Müşteri'ye iletir ve Son Kullanıcı'yı başvurusunun Müşteri'ye iletildiği konusunda bilgilendirir.

Panel, Müşteri'nin Son Kullanıcı verilerini görüntülemesini, düzeltmesini ve silmesini sağlar. Panelden yapılamayan talepler için Mesaifix, Müşteri'nin yazılı talebi üzerine makul sürede destek verir.

8. Veri ihlalleri

Mesaifix, Son Kullanıcı verilerini etkileyen bir veri ihlalini öğrendiğinde Müşteri'yi gecikmeksizin ve en geç 48 saat içinde bilgilendirir. Bildirim, o an bilinebildiği ölçüde ihlalin niteliğini, etkilenen veri ve kişi gruplarını, muhtemel sonuçlarını ve alınan veya önerilen tedbirleri içerir.

Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. Mesaifix, Müşteri'nin 72 saatlik bildirim süresine uyabilmesi için gereken bilgileri sağlar.

9. Bilgi ve denetim

Mesaifix, bu VİS'e uyumu göstermek için gereken bilgileri Müşteri'nin yazılı talebi üzerine sağlar. Bu bilgiler yetersiz kalırsa Müşteri; en az 30 gün önceden yazılı bildirimde bulunarak, yılda en fazla bir kez, mesai saatleri içinde, gizlilik taahhüdü vermiş bir denetçi aracılığıyla ve masrafları kendisine ait olmak üzere denetim yapabilir. Denetim, diğer müşterilerin verilerinin gizliliğini ve Platform'un güvenliğini tehlikeye atamaz. Kurul'un denetim yetkisi saklıdır.

10. Silme ve iade

Kullanım Şartları sona erdiğinde Müşteri, 30 gün içinde Son Kullanıcı verilerinin bir kopyasını isteyebilir. Bu sürenin sonunda Mesaifix Son Kullanıcı verilerini siler veya anonim hale getirir; yedeklerdeki kopyalar en geç 90 gün içinde silinir. Müşteri hesabını panelden kendisi sildiğinde veriler beklemeden silinir.

Sözleşme süresince Müşteri'nin panelden kaldırdığı sohbetler Müşteri'nin panelinden çıkar; destek ve güvenlik amacıyla saklanmaya devam edebilir ve Müşteri'nin talebiyle kalıcı olarak silinir.

Mevzuatın saklanmasını zorunlu kıldığı veriler bu sürelerin dışındadır ve yalnızca o amaçla saklanır.

11. Sorumluluk ve yürürlük

Taraflar, KVKK m.12/2 uyarınca kişisel verilerin güvenliğinin sağlanmasından birlikte sorumlu olduklarını kabul eder. Taraflar arasındaki sorumluluk ve sınırları Kullanım Şartları'na tabidir; her taraf kendi kusurundan doğan zarardan sorumludur.

VİS, Kullanım Şartları yürürlükte kaldığı sürece ve Mesaifix'in Müşteri adına kişisel veri işlemeye devam ettiği her durumda yürürlükte kalır.

12. Teknik ve idari tedbirler

Mesaifix, Kurul'un Kişisel Veri Güvenliği Rehberi'ni esas alarak en az aşağıdaki tedbirleri uygular.

Teknik tedbirler

• Verilerin iletim sırasında ve depolanırken şifrelenmesi,
• Her Müşteri'nin verisinin diğer Müşteriler'in verisinden yalıtılması,
• Erişim bilgileri gibi gizli bilgilerin ek önlemlerle korunması; parolaların geri döndürülemez biçimde saklanması,
• Web sitesi asistanının yalnızca Müşteri'nin izin verdiği sitelerde çalışması ve kötüye kullanıma karşı korunması,
• Kanallardan gelen verilerin kaynağının doğrulanması,
• Düzenli yedekleme ve yedeklerin sınırlı süreyle saklanması,
• Sistem ve hata kayıtlarının tutulması ve izlenmesi,
• Yazılım bağımlılıklarının güncel tutulması ve güvenlik açıklarının giderilmesi.

İdari tedbirler

• Verilere yönetici erişiminin yetkili personelle ve iş gereksinimiyle sınırlandırılması,
• Çalışan ve yüklenicilerin gizlilik taahhütleri,
• Alt veri işleyenlerle veri koruma yükümlülüklerini içeren sözleşmeler,
• Kişisel veri saklama ve imha süreçlerinin tanımlanması,
• Veri ihlali müdahale prosedürü,
• Veri minimizasyonu: yalnızca hizmet için gerekli verilerin işlenmesi.