Veri işleme sözleşmesi

1. Taraflar ve konu

Bu Veri İşleme Sözleşmesi ("DPA"), Hizmet Sözleşmesi kapsamında hizmet alan site, apartman, iş merkezi ya da alışveriş merkezi yönetimi veya profesyonel yönetim firması ("Müşteri" ya da "Veri Sorumlusu") ile Yuvasal (şahıs işletmesi) ("Şirket" ya da "Veri İşleyen") arasında kurulur.

DPA'nın konusu, Şirketin Hizmeti sunarken Müşteri adına işlediği kişisel verilere ilişkin olarak tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") ve ikincil mevzuattan doğan hak ve yükümlülüklerinin belirlenmesidir. DPA, Hizmet Sözleşmesinin ve Sipariş Formunun ayrılmaz parçasıdır; kişisel verilere ilişkin konularda bu belgeler arasında çelişki olursa DPA uygulanır.

Şirketin iletişim bilgileri:

• Unvan: Yuvasal
• E-posta: [email protected]

2. Tanımlar

Bu DPA'da kullanılan kişisel veri, özel nitelikli kişisel veri, ilgili kişi, veri sorumlusu, veri işleyen ve kişisel verilerin işlenmesi kavramları Kanun'daki anlamlarıyla kullanılmıştır. Ayrıca:

• Müşteri Verisi: Müşterinin, Kullanıcıların ve Sakinlerin Platforma girdiği ya da Müşteri adına Platformda işlenen kişisel veriler.
• Alt İşleyen: Şirketin, Müşteri Verisini işlemek üzere yetkilendirdiği üçüncü kişi hizmet sağlayıcı.
• Kurul: Kişisel Verileri Koruma Kurulu.
• Veri İhlali: Müşteri Verisinin kanuni olmayan yollarla başkaları tarafından elde edilmesi ya da bütünlüğünün veya erişilebilirliğinin bozulması.

3. Rollerin dağılımı

Müşteri Verisi bakımından Müşteri veri sorumlusu, Şirket veri işleyendir. Müşteri; işlemenin amacını ve vasıtalarını belirler, ilgili kişileri aydınlatır, işleme için gerekli hukuki sebebe sahip olur ve gerektiğinde açık rıza alır, Veri Sorumluları Siciline kayıt yükümlülüğü varsa bunu yerine getirir.

Şirketin kendi amaçlarıyla işlediği veriler (Müşteri yetkililerinin iletişim ve faturalama bilgileri, hesap güvenliği kayıtları, tanıtım sitesi ziyaretçileri) bu DPA'nın kapsamında değildir; bunlarda Şirket veri sorumlusudur ve bu işleme Gizlilik Politikası ile aydınlatma metinlerinde anlatılır.

4. İşlemenin niteliği, ilgili kişiler ve veri kategorileri

Şirket Müşteri Verisini yalnız Hizmeti sunmak için işler: kaydetme, saklama, düzenleme, sınıflandırma, raporlama, Müşterinin talimatıyla ilgili kişilere bildirim gönderme, yedekleme ve sözleşme sonunda silme ya da anonim hâle getirme.

Özel nitelikli kişisel veri (ör. sağlık verisi, engellilik durumu) yalnız Müşteri bu veriyi Platforma girerse ve Kanun'un 6. maddesindeki şartlar sağlanmışsa işlenir; bu şartların varlığından Müşteri sorumludur. Müşteri, Platformun ilgili alanlarına yalnız amaçla sınırlı ve ölçülü veri girer.

İşleme, Hizmet Sözleşmesinin süresi ve sona ermesinden sonraki dışa aktarma ve silme süreleri boyunca devam eder.

5. Müşterinin talimatları

Şirket, Müşteri Verisini yalnız Müşterinin belgelenmiş talimatlarıyla işler. Hizmet Sözleşmesi, Sipariş Formu, bu DPA ve Müşterinin Platformdaki ayar ve işlemleri Müşterinin talimatlarıdır. Şirket, bir talimatın Kanun'a aykırı olduğu kanaatine varırsa bunu Müşteriye gecikmeksizin bildirir ve aykırılık giderilinceye kadar o talimatı uygulamayabilir.

Kanunen zorunlu olan hâller saklıdır: Şirket, yetkili bir merciin bağlayıcı talebi üzerine Müşteri Verisini açıklamak zorunda kalırsa, hukuken mümkün olduğu ölçüde Müşteriye önceden bilgi verir ve yalnız zorunlu olan veriyi açıklar.

6. Gizlilik

Şirket, Müşteri Verisine yalnız Hizmetin sunulması, desteklenmesi ve güvenliği için bilmesi gereken çalışanlarının erişmesine izin verir ve bu kişileri sözleşmeyle ya da kanunen gizlilik yükümlülüğüyle bağlar. Destek amacıyla bir Müşteri hesabına erişim, Müşterinin onayıyla ya da talebiyle, süreli olarak ve kayıt altına alınarak yapılır. Gizlilik yükümlülüğü DPA sona erdikten sonra da sürer.

7. Güvenlik tedbirleri

Şirket, Kanun'un 12. maddesi uyarınca ve Kurulun yayımladığı rehberler gözetilerek, Müşteri Verisinin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alır. Bu tedbirler en az şunları kapsar:

1. Aktarım sırasında güncel şifreleme protokolleri; iki adımlı doğrulama anahtarları ve entegrasyon bilgileri gibi hassas alanların şifreli saklanması
2. Her Müşterinin verisinin diğer müşterilerden veritabanı düzeyinde zorlanan kurallarla ayrılması
3. Rol ve izin temelli yetkilendirme, iki adımlı doğrulama ve önemli işlemlerde ek kimlik doğrulaması
4. Önemli işlemlerin ve yetkili erişimlerin değiştirilemez kayıt izine yazılması
5. Düzenli yedekleme ve yedeklerin erişime kapalı ortamlarda saklanması
6. Güvenlik açıklarının izlenmesi, yazılım bağımlılıklarının güncel tutulması ve kötüye kullanıma karşı hız sınırlaması
7. Çalışanların gizlilik ve veri güvenliği konusunda bilgilendirilmesi

Müşteri de kendi Kullanıcılarına uygun rol ve izin vermekten, görevden ayrılanların erişimini kapatmaktan, giriş bilgilerinin gizliliğini sağlamaktan ve Platformdan indirdiği verileri güvenli biçimde saklamaktan sorumludur.

8. Alt işleyenler

Müşteri, Şirketin Hizmeti sunmak için barındırma, yedekleme, içerik dağıtım ve güvenlik, kısa mesaj, e-posta, anlık bildirim, elektronik fatura ve ödeme hizmeti sağlayıcıları gibi, alt işleyen listesinde yayımlanan alt işleyenlerle çalışmasına genel yazılı izin verir. Güncel alt işleyen listesi; alt işleyenin adı, hizmetin konusu, işlenen veri kategorileri, verinin bulunduğu ülke ve aktarım dayanağı bilgisiyle yayımlanır; her DPA sürümü yayımlandığı andaki listeyi kayıt altına alır.

Güncel alt işleyen listesi: https://www.yuvasal.com/yasal/alt-isleyenler

Yeni alt işleyen eklenmeden ya da biri değiştirilmeden en az otuz gün önce Müşteriye Platform içinde ve kayıtlı e-posta adresine bildirim yapılır; Müşteri bu süre içinde haklı sebeple itiraz edebilir. Hizmetin güvenliği için zorunlu acil değişikliklerde bildirim gecikmeksizin yapılır. İtiraz giderilemezse Müşteri, Hizmetin o alt işleyene bağlı kısmını ya da Hizmet Sözleşmesini ceza ödemeksizin sona erdirebilir; peşin ödenmiş ücretin kullanılmayan döneme ait kısmı iade edilir.

Şirket, her alt işleyenle bu DPA'daki yükümlülüklerden daha az koruyucu olmayan yazılı yükümlülükler kararlaştırır ve alt işleyenin bu yükümlülüklere uymamasından Müşteriye karşı sorumlu olmaya devam eder.

9. Yurt dışına aktarım

Bir alt işleyenin hizmeti yurt dışındaki sunucular üzerinden sunuluyorsa, Müşteri Verisinin yurt dışına aktarımı Kanun'un 9. maddesine uygun olarak yapılır. Şirket, aktarım için Kanun'da öngörülen şartlardan birine dayanır; standart sözleşme gibi uygun güvencelerin kullanıldığı hâllerde gerekli bildirimleri mevzuatta öngörülen süre ve usulle yapar. Müşteri, kendi ilgili kişilerini yurt dışına aktarım konusunda aydınlatmakla yükümlüdür; Şirket bu aydınlatma için gereken bilgileri Müşteriye sağlar.

10. İlgili kişi başvuruları

Şirket, Müşterinin ilgili kişilerden gelen ve Kanun'un 11. maddesindeki hakların kullanılmasına ilişkin başvuruları yanıtlayabilmesi için Platformda verilerin görüntülenmesini, düzeltilmesini, dışa aktarılmasını ve silinmesini sağlayan araçlar sunar ve makul ölçüde yardım eder.

Bir ilgili kişi Müşteri Verisine ilişkin başvurusunu doğrudan Şirkete iletirse, Şirket başvuruyu kendisi yanıtlamaz; ilgili kişiyi yönlendirir ve başvuru gecikmeksizin ve en geç üç iş günü içinde Müşteriye iletilir. Kanun'un öngördüğü otuz günlük yanıt süresine uyulması Müşterinin sorumluluğundadır.

11. Veri ihlalleri

Şirket, Müşteri Verisini etkileyen bir Veri İhlalini öğrendiğinde Müşteriyi gecikmeksizin ve en geç 24 saat içinde Platform bildirimi ve e-postayla bilgilendirir. Bildirim; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen tedbirler ve irtibat kişisi hakkında o an bilinen bilgileri içerir; bilinmeyen bilgiler öğrenildikçe tamamlanır.

İhlalin Kurula ve ilgili kişilere bildirilmesi veri sorumlusu olarak Müşterinin yükümlülüğüdür; Kurulun kararı uyarınca Kurula bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır. Şirket, Müşterinin bu süre içinde bildirim yapabilmesi için ihlalin kapsamını gösteren raporu Platformda sağlar, ihlalin etkilerini sınırlamak için gereken tedbirleri alır ve inceleme süresince Müşteriyle iş birliği yapar.

12. Denetim ve bilgi verme

Şirket, bu DPA'ya uyduğunu gösteren bilgileri (güvenlik tedbirlerinin özeti, alt işleyen listesi, varsa bağımsız denetim ve sızma testi raporlarının özeti) Müşterinin talebi üzerine sunar. Müşteri, Kanun'un 12. maddesinin üçüncü fıkrasından doğan denetim yükümlülüğü kapsamında, en az otuz gün önceden yazılı bildirimle, yılda en çok bir kez ve iş saatleri içinde, kendisi ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim, diğer müşterilerin verilerinin gizliliğini ve Hizmetin güvenliğini bozamaz. Bir ihlal ya da Kurul incelemesi varsa denetim için bildirim süresi aranmaz.

13. Sözleşmenin sona ermesi, verilerin iadesi ve silinmesi

Hizmet Sözleşmesi herhangi bir nedenle sona erdiğinde Müşteri, sona ermeden önce ve sona erme tarihinden itibaren altmış gün içinde Müşteri Verisini Platformdaki dışa aktarma araçlarıyla yaygın biçimlerde (ör. CSV, PDF) indirebilir; talep hâlinde tam veri dışa aktarımı ücretsiz sağlanır. Bu sürenin sonundan itibaren en geç otuz gün içinde Şirket, kanunen saklanması zorunlu olanlar dışındaki Müşteri Verisini canlı sistemlerden siler, yok eder ya da anonim hâle getirir. Yedeklerdeki kopyalar en geç doksan gün içinde kendiliğinden silinir ve silinene kadar yalnız geri yükleme amacıyla, erişime kapalı tutulur. Müşteri talep ederse silme işlemi yazılı olarak teyit edilir.

14. Sorumluluk

Taraflar, bu DPA'ya ve Kanun'a aykırılıktan doğan zararlardan kendi kusurları oranında sorumludur. Kanun'un 12. maddesi uyarınca veri sorumlusu ile veri işleyenin güvenlik tedbirlerinin alınmasından müştereken sorumlu olduğu hâller saklıdır. Kurul tarafından verilen idari para cezaları ve ilgili kişilere ödenen tazminatlar, ilgili aykırılığın hangi tarafın yükümlülüğünden doğduğuna göre paylaştırılır. Hizmet Sözleşmesindeki sorumluluk sınırları, kasıt ve ağır ihmal hâllerinde ve ilgili kişilere karşı sorumlulukta uygulanmaz.

15. Değişiklikler ve yürürlük

Şirket, mevzuat değişikliği ya da Hizmetin değişmesi nedeniyle bu DPA'yı güncelleyebilir. Yeni sürüm, Hizmet Sözleşmesindeki değişiklik usulüyle bildirilir ve Müşterinin Platformda kabulüne sunulur; Müşterinin kabul ettiği sürüm, kabul tarihi ve kabul eden kullanıcı Platformda kayıt altına alınır.

Bu DPA, Müşterinin Platformda ya da teklif kabulünde onay verdiği tarihte yürürlüğe girer ve Hizmet Sözleşmesi ile Müşteri Verisinin silinmesine kadar yürürlükte kalır. Uygulanacak hukuk ve yetkili mercii konusunda Hizmet Sözleşmesi hükümleri uygulanır.