1. Taraflar ve roller
Bu sözleşme, Platform Kullanım ve Abonelik Sözleşmesi'nin ayrılmaz ekidir ve Ziynet Kuşaslan (Bademli Mah. 1042 Sk. B Blok No: 1 B İç Kapı No: 5, Mudanya / Bursa; [email protected]; "Veri İşleyen" veya "Sağlayıcı") ile Platform'da işletme hesabı açan İşletme ("Veri Sorumlusu") arasında kurulur.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 3 uyarınca; İşletme'nin danışan ve personeline ilişkin kişisel verilerin işleme amaç ve araçlarını belirleyen İşletme veri sorumlusu, bu verileri İşletme adına ve talimatıyla işleyen Sağlayıcı veri işleyendir. KVKK m. 12/2 gereği taraflar veri güvenliği tedbirlerinin alınmasından müştereken sorumludur.
2. İşlemenin konusu, süresi ve niteliği
İşleme; randevu ve seans planlama, danışan kayıtlarının tutulması, paket ve tahsilat takibi, işletme finansı, personel ve prim yönetimi, danışan ve personele bildirim gönderimi ile Kiracı Sitesi'nin yayınlanması amaçlarıyla sınırlıdır.
İşleme, abonelik süresi ve sözleşme sonundaki dışa aktarma dönemi (hesap silmede 7 günlük bekleme süresi, Sağlayıcı feshinde 30 günlük talep penceresi) boyunca, otomatik araçlarla ve Platform'un teknik altyapısı üzerinde yapılır.
3. Veri kategorileri ve ilgili kişi grupları
- Danışanlar: ad soyad, telefon, e-posta, randevu ve seans geçmişi, satın alınan paketler, ödeme ve borç kayıtları, İşletme'nin girdiği notlar, ölçüm sonuçları ve seans değerlendirmeleri.
- Personel ve Yetkili Kullanıcılar: ad soyad, e-posta, telefon, rol ve yetkiler, çalışma düzeni, verdiği seanslar, prim ve ödeme kayıtları.
Özel nitelikli kişisel veri (sağlık, biyometrik, din, cinsel hayat vb.) bu sözleşme kapsamında işlenmez; İşletme bu tür verileri Platform'a girmemeyi taahhüt eder.
4. Talimatla işleme
Sağlayıcı kişisel verileri yalnız İşletme'nin belgelenmiş talimatlarıyla işler. Panel ve uygulama üzerinden verilen komutlar (kayıt oluşturma, düzenleme, dışa aktarma, silme, bildirim gönderme) talimat sayılır.
Sağlayıcı, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatindeyse İşletme'yi gecikmeksizin bilgilendirir. Mevzuatın Sağlayıcı'ya doğrudan yüklediği işleme yükümlülükleri (yasal saklama, yetkili makam talebi) saklıdır; bu hâllerde İşletme, hukuken yasaklanmadıkça bilgilendirilir.
5. Gizlilik
Sağlayıcı, kişisel verilere erişimi olan personelinin ve alt işleyenlerinin gizlilik yükümlülüğü altında olmasını sağlar. Erişim, görevin gerektirdiği en az yetkiyle sınırlıdır ve kayıt altına alınır.
6. Teknik ve idari tedbirler
Sağlayıcı, Kişisel Verileri Koruma Kurulu'nun teknik ve idari tedbir rehberini esas alarak en az şu tedbirleri uygular:
- Kiracılar arasında veri tabanı düzeyinde satır güvenliği (Row Level Security) ile mantıksal ayrım; her kiracının verisi yalnız kendi bağlamında erişilebilir.
- Aktarımda şifreleme (TLS), depoda sağlayıcı düzeyinde şifreleme, parolaların geri döndürülemez özetlenmesi.
- Rol ve yetki tabanlı erişim kontrolü, yönetici işlemlerinin denetim kaydı, oturum ve istek günlükleri.
- Düzenli yedekleme, yüklenen dosyalarda kötü amaçlı yazılım taraması, güvenlik güncellemelerinin takibi.
7. Alt işleyenler
İşletme, Sağlayıcı'nın hizmeti sunmak için aşağıdaki kategorilerde alt işleyen kullanmasına genel ön izin verir: bulut barındırma ve veri tabanı altyapısı, nesne depolama, e-posta gönderim hizmeti, SMS gönderim sağlayıcısı, WhatsApp Business (Meta) mesajlaşma altyapısı ve Apple anlık bildirim servisi (APNs).
Güncel alt işleyen listesi talep hâlinde [email protected] adresinden sağlanır. Yeni bir alt işleyen eklenmesi en az 15 gün önce kayıtlı e-posta adresine bildirilir; İşletme haklı nedenle itiraz ederse sözleşmeyi feshedebilir. Sağlayıcı, alt işleyenlere bu sözleşmedekine denk yükümlülükler yükler ve onların eylemlerinden İşletme'ye karşı sorumludur.
8. Yurt dışına aktarım
Alt işleyenlerin sunucuları yurt dışında bulunabilir. Bu hâlde aktarım KVKK m. 9'daki şartlara uygun olarak yapılır: Kurul'ca yeterli koruma bulunduğu ilan edilen ülkeler, Kurul onaylı standart sözleşme veya taahhütname ya da mevzuatın öngördüğü diğer yollardan uygun olanı kullanılır. Sağlayıcı, kullanılan yolu talep hâlinde İşletme'ye bildirir.
9. İlgili kişi taleplerine destek
Danışan veya personelin KVKK m. 11 kapsamındaki talepleri (bilgi alma, düzeltme, silme, itiraz) İşletme'ye yöneltilir. Talep Sağlayıcı'ya ulaşırsa, ilgili kişi İşletme'ye yönlendirilir ve İşletme bilgilendirilir.
Sağlayıcı, Panel'deki dışa aktarma, düzeltme, pasife alma ve silme araçlarıyla ve gerektiğinde teknik destekle İşletme'nin talebe yasal süresi içinde cevap vermesine yardımcı olur; destek talepleri en geç 15 gün içinde karşılanır.
10. Veri ihlali bildirimi
Sağlayıcı, İşletme'nin verilerini etkileyen bir kişisel veri ihlalini öğrendiği andan itibaren en geç 48 saat içinde İşletme'ye bildirir; böylece İşletme, Kurul'a 72 saatlik bildirim yükümlülüğünü yerine getirebilir.
Bildirim; olayın niteliğini, etkilenen veri kategorilerini ve tahmini kişi sayısını, olası sonuçları ve alınan tedbirleri içerir. Bilgiler kademeli olarak tamamlanabilir.
11. Denetim ve bilgi verme
İşletme, yılda bir kez yazılı olarak Sağlayıcı'dan bu sözleşmeye uyumu gösteren bilgi ve belge talep edebilir. Yerinde denetim; makul ön bildirimle, iş sürekliliğini bozmadan ve diğer kiracıların verileri ile ticari sırlar saklı kalarak yapılır.
12. Sözleşmenin sona ermesi ve verilerin akıbeti
Abonelik sona erdiğinde İşletme, hesap silmede 7 günlük bekleme süresi içinde, Sağlayıcı feshinde 30 gün boyunca yazılı talep hâlinde verilerini dışa aktarabilir. Bu sürenin sonunda kişisel veriler silinir veya anonim hâle getirilir.
Mevzuatın saklanmasını zorunlu kıldığı kayıtlar (fatura, tahsilat ve muhasebe kayıtları) erişimi kısıtlanmış biçimde yasal süre boyunca tutulur. Silinen veriler yedeklerde saklama penceresi boyunca kalabilir ve bu pencere sonunda kendiliğinden yok olur.
13. Sorumluluk
Her taraf, bu sözleşmedeki kendi yükümlülüklerinin ihlalinden doğan zararlardan sorumludur. KVKK kapsamında uygulanan idari yaptırımlar kusurlu tarafa aittir. Sağlayıcı'nın sorumluluğu, Platform Kullanım ve Abonelik Sözleşmesi'nin 11. maddesindeki sınıra tabidir; kast ve ağır ihmal saklıdır.
14. Yürürlük
Bu sözleşme, Platform Kullanım ve Abonelik Sözleşmesi ile birlikte elektronik onayla yürürlüğe girer ve abonelik süresince geçerlidir.