Veri İşleme Sözleşmesi

• Müşteri Kişisel Verileri, Şirket'in Hizmet'i sunarken Müşteri adına işlediği kişisel verilerdir; başlıcaları Müşteri konumlarına yazılan Google yorumlarındaki ve bunlara verilen Yanıtlardaki kişisel verilerdir.
• KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur; Kurul Kişisel Verileri Koruma Kurulu'nu, Kurum Kişisel Verileri Koruma Kurumu'nu ifade eder.
• Veri İhlali, Müşteri Kişisel Verilerinin kanuni olmayan yollarla başkaları tarafından elde edilmesine, kazara veya hukuka aykırı olarak yok edilmesine, kaybolmasına, değiştirilmesine ya da yetkisiz kişilere açıklanmasına yol açan güvenlik ihlalidir.
• Standart Sözleşme, Kurul'un KVKK'nın 9'uncu maddesi uyarınca ilan ettiği, kişisel verilerin yurt dışına aktarılmasına ilişkin standart sözleşmedir.
• "Kişisel veri", "özel nitelikli kişisel veri", "ilgili kişi", "veri sorumlusu", "veri işleyen", "açık rıza" ve "anonim hâle getirme" KVKK'daki anlamlarını taşır. Bu VİS'te tanımlanmamış diğer terimler Hizmet Sözleşmesi'ndeki anlamlarını taşır.

Müşteri Kişisel Verileri bakımından Müşteri veri sorumlusu, Şirket veri işleyendir. Şirket, Müşteri Kişisel Verilerini yalnızca Müşteri adına, Müşteri'nin talimatlarıyla ve yalnızca Hizmet'i sunmak amacıyla işler. Şirket'in, Müşteri'nin Yetkili Kullanıcılarının kişisel verilerini kendi adına veri sorumlusu olarak işlemesi bu VİS'in değil, KVKK Aydınlatma Metni'nin ve Gizlilik Politikası'nın konusudur.

Müşteri, veri sorumlusu olarak Müşteri Kişisel Verilerinin işlenmesinde KVKK'nın 5'inci maddesinde sayılan bir hukuki sebebe dayandığını (örneğin yorum sahibinin yorumu kendisinin alenileştirmiş olması veya Müşteri'nin meşru menfaati) ve ilgili kişilere karşı aydınlatma yükümlülüğünü yerine getirdiğini taahhüt eder. Müşteri, mevzuatın öngördüğü hâllerde Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünü yerine getirmekten de sorumludur.

Hizmet Sözleşmesi ile Müşteri'nin Hizmet'i yapılandırması ve kullanması, Müşteri Kişisel Verilerinin işlenmesine ilişkin talimatlarının tamamıdır. Şirket, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa bunu Müşteri'ye bildirir ve o talimatı uygulamayabilir.

Şirket, Müşteri Kişisel Verilerini:

• satmaz, kiralamaz ve reklam amacıyla kullanmaz;
• Madde 3 başlığı altında belirtilen amaç dışında, ticari amaçlar dâhil hiçbir amaçla işlemez, saklamaz veya açıklamaz;
• başka kişilerden veya başka kişiler adına aldığı kişisel verilerle, kanunun izin verdiği hâller dışında birleştirmez;
• yapay zekâ modellerini eğitmek için kullanmaz.

Şirket, Müşteri Kişisel Verilerini işlerken KVKK'nın 4'üncü maddesindeki genel ilkelere uyar ve bu VİS'teki yükümlülüklerini artık yerine getiremeyeceğini tespit ederse bunu Müşteri'ye gecikmeksizin bildirir. Müşteri, bildirim üzerine yetkisiz bir işlemeyi durdurmak ve sonuçlarını gidermek için makul ve uygun adımları atabilir.

Şirket'in Müşteri Kişisel Verilerini işlemeye yetkilendirdiği herkes sır saklama yükümlülüğü altındadır ve erişim, Hizmet'i sunmak, güvenliğini sağlamak veya desteklemek için buna ihtiyaç duyanlarla sınırlıdır. KVKK'nın 12'nci maddesi uyarınca öğrendikleri kişisel verileri başkasına açıklamama ve işleme amacı dışında kullanmama yükümlülüğü görevlerinden ayrılmalarından sonra da devam eder.

Şirket, KVKK'nın 12'nci maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için riske uygun teknik ve idari tedbirleri alır. Bu tedbirler şunları içerir:

• verilerin iletim sırasında şifrelenmesi (TLS) ve bekleyen verileri şifreleyen barındırma sağlayıcılarında saklanması;
• şifrelerin yalnızca tek yönlü bcrypt özetleri olarak saklanması; etkinleştirme ve şifre sıfırlama bağlantılarının tek kullanımlık ve süreli olması;
• her müşterinin verilerinin diğer müşterilerin verilerinden ayrılması ve Şirket ekibi için role dayalı erişim;
• yönetici hesaplarında iki aşamalı doğrulama ve yönetici işlemlerinin değiştirilemez bir denetim kaydında tutulması;
• oturum açma ve diğer hassas uç noktalarda istek sınırlaması;
• veritabanı yedeklerinin şifrelenmesi ve en geç 30 gün içinde süresinin dolması.

Şirket, genel koruma düzeyini düşürmemek kaydıyla bu tedbirleri güncelleyebilir. Taraflar, KVKK'nın 12'nci maddesinin ikinci fıkrası uyarınca bu tedbirlerin alınması hususunda Müşteri'nin Şirket ile birlikte sorumlu olduğunu bilir.

Müşteri, Şirket'in alt işleyenler listesinde gösterilen hizmet sağlayıcılarla çalışmasına izin verir. Şirket, her alt işleyene yazılı bir sözleşmeyle bu VİS'tekinden daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve alt işleyenlerin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı sorumlu olmaya devam eder.

Şirket, yeni bir alt işleyen Müşteri Kişisel Verilerini işlemeye başlamadan en az 15 gün önce Müşteri'ye e-postayla bildirimde bulunur. Müşteri bu süre içinde, kişisel verilerin korunmasına ilişkin makul gerekçelerle itiraz edebilir. Şirket itirazı karşılayamazsa Müşteri, Hizmet'in etkilenen kısmını feshedebilir ve Şirket, Abonelik Dönemi'nin kullanılmayan kısmına düşen peşin ödenmiş bedeli iade eder.

Şirket Amerika Birleşik Devletleri'nde yerleşiktir ve Müşteri Kişisel Verileri Türkiye dışında, Madde 15 başlığı altında belirtilen ülkelerde işlenir. Müşteri'nin Hizmet'i kullanması bu nedenle KVKK'nın 9'uncu maddesi anlamında kişisel verilerin yurt dışına aktarılması sonucunu doğurur.

Bu ülkeler hakkında Kurul'un verdiği bir yeterlilik kararı bulunmadığından aktarım, Standart Sözleşme'nin "veri sorumlusundan veri işleyene" aktarım modülüne dayanır. Taraflar, bu VİS'in elektronik ortamda kabul edilmesinin Standart Sözleşme yerine geçmediğini bilir:

1. 01Şirket, Standart Sözleşme'yi Kurul'un ilan ettiği metne sadık kalarak ve Hizmet'e ilişkin bilgileri doldurarak Müşteri'nin imzasına sunar; taraflar onu Hizmet kapsamında Müşteri Kişisel Verilerinin işlenmesine başlanmadan önce imzalar.
2. 02Standart Sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir. Şirket, Müşteri'nin bu bildirimi yapması için gereken bilgileri ve belgeleri sağlar ve Müşteri'nin talebi hâlinde bildirime ilişkin işlemleri Müşteri ile birlikte yürütür.
3. 03Standart Sözleşme ile bu VİS arasında bir çelişki olması hâlinde Standart Sözleşme uygulanır.
4. 04Şirket, Müşteri Kişisel Verilerini bir alt işleyene aktarırken Standart Sözleşme'nin sonraki aktarımlara ilişkin hükümlerine uyar.

Şirket'e bir ilgili kişiden, Müşteri Kişisel Verileri hakkında KVKK'nın 11'inci maddesindeki haklarını kullanmak üzere bir başvuru ulaşırsa Şirket, kanun aksini gerektirmedikçe başvuruyu yanıtlamaz; ilgili kişiyi Müşteri'ye yönlendirir ve başvuruyu gecikmeksizin Müşteri'ye iletir. Şirket, işlemenin niteliğini dikkate alarak, Müşteri'nin bu başvuruları KVKK'nın 13'üncü maddesinde öngörülen otuz günlük süre içinde yanıtlayabilmesine yardımcı olur; Hizmet'in Müşteri'ye kendi başına yapma imkânı vermediği hâllerde Müşteri Kişisel Verilerini silmek veya düzeltmek de buna dâhildir.

Şirket, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, Müşteri'nin KVKK'dan doğan yükümlülüklerini yerine getirmesi için makul ölçüde gereken bilgileri Müşteri'ye sağlar; Kurul'a yapılacak açıklamalar ve Kurum'un bilgi talepleri bunlara dâhildir.

Şirket, Müşteri Kişisel Verilerini etkileyen bir Veri İhlalini tespit ettiğinde bunu Müşteri'ye gecikmeksizin ve her hâlükârda tespitten itibaren en geç 72 saat içinde bildirir. Bildirim, o an bilinebildiği ölçüde ihlalin niteliğini, etkilenen verileri ve kişileri, olası sonuçlarını ve Şirket'in aldığı önlemleri açıklar; bilinmeyen hususlar öğrenildikçe gecikmeksizin tamamlanır. Şirket, ihlali sınırlamak ve sonuçlarını gidermek için makul adımları atar ve Müşteri'nin KVKK'nın 12'nci maddesi uyarınca ilgili kişilere ve Kurul'a en kısa sürede bildirimde bulunma yükümlülüğünü yerine getirmesi için onunla iş birliği yapar. Şirket'in bildirimi bir kusur kabulü anlamına gelmez.

Müşteri'nin support@replytune.com adresine yazılı talebi üzerine Şirket, bu VİS'e uyduğunu göstermek için makul ölçüde gereken bilgileri sağlar. Müşteri, herhangi bir 12 aylık dönemde en fazla bir kez ve en az 30 gün önceden bildirimde bulunarak, Şirket'in uyumunu kendisi veya sır saklama yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla, masrafı kendisine ait olmak, Hizmet'i aksatmamak ve diğer müşterilerin verilerini tehlikeye atmamak kaydıyla makul bir şekilde denetletebilir. Şirket bunun yerine nitelikli bağımsız bir denetçinin raporunu sunabilir. Kurul'un veya diğer yetkili makamların kanuna dayanan denetim yetkileri saklıdır.

Şirket, Müşteri Kişisel Verilerinden türetilen bilgileri anonim hâle getirirse, bunların başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyeceğinden emin olmak için makul önlemleri alır, onları yeniden kimliklendirmeye çalışmaz ve paylaştığı herkesten aynısını ister.

Müşteri Kişisel Verileri Amerika Birleşik Devletleri'nde ve bir alt işleyenin listede gösterilen konumu öyle gerektiriyorsa Avrupa Birliği'nde işlenir. Şirket, alt işleyenler listesini Madde 8 uyarınca güncellemeden ve Standart Sözleşme'nin gerektirdiği adımları atmadan verileri başka bir ülkede işlemez.

Hizmet Sözleşmesi sona erdiğinde Şirket, kanunen saklanması gerekenler dışında Müşteri Kişisel Verilerini 30 gün içinde siler. Yedeklerdeki veriler, yedeklerin süresi doldukça ve en geç 30 gün içinde silinir; bu sürede başka hiçbir amaçla kullanılmaz. Müşteri, Hizmet Sözleşmesi sona ermeden önce Müşteri Kişisel Verilerinin dışa aktarılmasını isteyebilir. Hesap'ın panelden silinmesi, aynı yedek süresine tabi olmak üzere Müşteri Kişisel Verilerini derhal siler. Silme, KVKK'nın 7'nci maddesine ve ilgili yönetmeliğe uygun olarak yapılır.

Hizmet, KVKK'nın 6'ncı maddesinde sayılan özel nitelikli kişisel verileri (sağlık verileri dâhil) işlemek için tasarlanmamıştır. Müşteri, Hizmet'i bu tür verilerin işlenmesini gerektirecek şekilde kullanmaz ve yapılandırmaz.

Tarafların bu VİS'ten doğan sorumluluğu, Hizmet Sözleşmesi'ndeki sorumluluk sınırlamalarına ve istisnalarına tabidir. Bu hüküm, KVKK'nın ilgili kişilere veya Kurul'a karşı öngördüğü ve sözleşmeyle sınırlandırılamayan sorumlulukları etkilemez.