Veri İşleme Eki

MADDE 1 TARAFLARIN ROLLERİ

1.1. Şirket; hesap, satış, faturalandırma, müşteri ilişkileri ve kendi sistem güvenliği süreçlerinin amaç ve esaslarını belirlediği ölçüde veri sorumlusudur. Kurumun belirlediği amaçlarla analiz, saklama, arama, MET değerlendirmesi ve rapor taslağı hazırlama için alınan tesis belgesi, ölçüm raporu ve işletme verisi içeriğinde, Kurum adına ve talimatıyla veri işleyen olarak hareket eder. Hukuki sıfat, sözleşmedeki adlandırmadan bağımsız olarak fiilî işleme göre belirlenir.

1.2. Kurum adına çalışan kullanıcıda veri sorumlusu ilgili Kurumdur; her kullanıcı kendiliğinden ayrı veri sorumlusu sayılmaz. Bir danışmanlık firması başka bir tesis işletmecisi adına çalışıyorsa, veri sorumluluğu fiilî ilişkiye göre belirlenir. Kullanıcı yetkili olduğu veri sorumlusu adına talimat verdiğini beyan eder. Şirketin kendi amaçları için gerçekleştirdiği işlemler, veri işleyen sıfatına sığınılarak kullanıcıya veya Kuruma yüklenemez.

MADDE 2 VERİLER VE TALİMATIN KAPSAMI

2.1. Hesap süreçlerinde kimlik, iletişim, unvan, Kurum/rol, sipariş, kredi, fatura, ödeme sonuç ve referans bilgileri; destek süreçlerinde başvuru ve yazışmalar; güvenlikte IP, oturum, yetkilendirme, bağlantı, cihaz ve işlem kayıtları işlenir. Parolalar güvenli doğrulama yöntemleriyle korunur. Gereksiz kimlik veya belge istenmez.

2.2. Kullanıcı İçeriği; tesis künyesi (kapasite, faaliyet kodu, alt sektör, konum), ÇED raporu, proje tanıtım dosyası, izin ve ölçüm raporları, faaliyet raporları, kamerayla taranmış belge görüntüleri, sorular ve yanıtlar, notlar, rapor ve değerlendirme sürümleri, izin ve yükümlülük kayıtları ile paylaşım kayıtlarından oluşabilir. İçeriğin niteliğine göre kimlik, iletişim ve mesleki veriler ile istisnai olarak sağlık verisi gibi özel nitelikli veriler bulunabilir. İlgili kişiler kullanıcı, tesis çalışanı, ölçüm ve danışmanlık firması personeli, Yetkili Kişiler ve belgede yer alan diğer kişilerdir. Mali bilgi sırf mali nitelikte olması nedeniyle KVKK m.6 kapsamında sayılmaz.

2.3. Kullanıcının belge yüklemesi, sorgu veya analiz başlatması, kaynak seçmesi ve paylaşım işlemi yapması, gösterilen işlemin ifasına yönelik belgelenebilir talimattır. Genel üyelik, bütün belgelerin herkese açılması veya haricî bir uygulamaya aktarılması talimatı değildir. Yapay zekâ bağlayıcısı ayrıca kullanıcı tarafından yetkilendirilir. İşlem için gerekli olmayan içerik sağlayıcılara iletilmez.

2.4. Veri sorumlusu uygun KVKK m.5 ve m.6 işleme şartını, aydınlatmayı, erişim yetkisini ve ticari sır yükümlülüklerini değerlendirir. Kullanıcıyla yapılan hizmet sözleşmesi üçüncü kişilerin verileri için kendiliğinden m.5/2-c dayanağı oluşturmaz. Bir hakkın tesisi, kullanılması veya korunması gibi şartlar somut olayda gereklilik ve ölçülülükle uygulanır. Açık rızaya dayanılacaksa rıza ilgili kişiden ve geçerli biçimde alınır.

MADDE 3 VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ

3.1. Şirket içeriği yalnızca talimat ve hizmet amacı için işler; kendi reklamı, başka kurumlara kaynak sağlama veya genel model eğitimi için kullanmaz. Model sağlayıcılarına iletim, talep edilen işlemin ifasıyla sınırlıdır; eğitim dışında kullanım, saklama ve güvenlik koşulları sağlayıcı sözleşme ve ayarlarıyla sınırlandırılır. Sağlayıcının hiç kayıt tutmadığı veya bütün içeriği anında sildiği yönünde genel garanti verilmez.

3.2. İçeriğe erişim görev gereği ihtiyaç duyan, gizlilik yükümlülüğü altındaki personelle sınırlıdır. Teknik destek, güvenlik olayı, bakım veya kanuni zorunluluk için erişim gerektiğinde yetki ve kayıt kontrolleri uygulanır. İçerik rutin insan incelemesi veya başka kurumların sorgularına cevap üretmek için kullanılamaz.

3.3. Şirket hukuka aykırı olduğunu değerlendirdiği talimatı veri sorumlusuna bildirir ve ilgili işlemi durdurabilir. İlgili kişi başvurusu, denetim ve güvenlik yükümlülükleri için makul teknik yardım sağlar. İçerik hakkında doğrudan gelen başvuruyu, açıklama yetkisi yoksa ilgili veri sorumlusuna iletir; kendi veri sorumluluğundaki talepleri kendisi cevaplar.

MADDE 4 ALICILAR VE ALT HİZMET SAĞLAYICILARI

4.1. Google Cloud altyapısı barındırma, veri tabanı, depolama ve ilgili hizmetler; Google yapay zekâ hizmetleri (Vertex AI üzerinde Gemini modelleri ve Vertex AI Search) etkin işlevin analizi ve kaynak araması için kullanılır. Uygulama sunucusu, veri tabanı ve belge deposu Google Cloud europe-west4 (Hollanda) bölgesindeki sunucuda, arama dizinleri AB çoklu bölgesinde (eu) barındırılır. Bu, bütün model işlemlerinin ve uzaktan erişimlerin yalnızca bu bölgelerde gerçekleştiği anlamına gelmez: Gemini model çağrıları Google'ın küresel (global) uç noktası üzerinden yapılır ve işleme yeri Google tarafından belirlenir.

4.2. Platformun ilgili işlevinde kullanılan diğer model/teknik hizmet sağlayıcıları, aktarılacak veri ve amaçlarıyla birlikte aşağıdaki güncel sağlayıcı listesinde açıklanır. Google dışındaki bir model sağlayıcısı kullanılırsa, bu akış Google sözleşmesi kapsamında kabul edilemez. Açıklanmamış ve hukuki koşulları sağlanmamış sağlayıcıya içerik gönderilmez.

4.3. Ücretli hizmet sunulduğunda kullanılacak ödeme kuruluşu; tahsilat, iade, ödeme güvenliği ve kanuni ödeme yükümlülükleri için gerekli sipariş, kimlik/iletişim, tutar ve işlem verilerini alır. Tesis belgeleri ve analiz içerikleri ödeme kuruluşuna gönderilmez. Ödeme kuruluşu, kendi ödeme hizmetinin amaçlarını belirlediği ve kanuni yükümlülüklerini yerine getirdiği işlemlerde ayrı veri sorumlusudur; bütün işlemler için Şirketin alt veri işleyeni sayılmaz. Kullanılacak kuruluş ve aydınlatma bağlantısı satış başlamadan önce bu listede açıklanır.

4.4. Faturalandırma ve mevzuat yükümlülükleri için gerekli veriler yetkili muhasebe/mali müşavirlik hizmetine ve kamu mercilerine; hakların korunması gerektiğinde yetkili hukuk danışmanına ve yargı mercilerine aktarılabilir. Kurum içi paylaşımda alıcılar Kurumun yetki verdiği kullanıcılardır. Haricî uygulamaya bağlantıda yalnızca yetkilendirilmiş kapsam açılır; sağlayıcının bağımsız işleme koşulları ayrıca bildirilir.

4.5. Kurum adına içeriğe erişen alt veri işleyenler bakımından Şirket gizlilik, güvenlik, amaç sınırlaması ve silme yükümlülüklerini yazılı olarak kurar. Kurum, burada açıklanan kapsam ve güncel listede belirtilen sağlayıcıların kullanılmasına sözleşmesel yetki verir; bu KVKK açık rızası değildir. İçeriği etkileyen yeni sağlayıcı/değişiklik makul süre önce bildirilir ve veri koruma gerekçesiyle itiraz olanağı tanınır. Uygun çözüm bulunamıyorsa ilgili işlem durdurulur; sunulamayan ücretli hizmet için kanuni giderim hakları korunur.

4.6. Güncel sağlayıcı listesi:

Kullanıcının kendisinin bağladığı Claude (Anthropic), ChatGPT (OpenAI) veya benzeri yapay zekâ uygulaması bu listede yer almaz: bu sağlayıcılar Şirketin alt veri işleyeni değildir; bağlantı kullanıcının tercihi ve talimatıyla kurulur ve Yapay Zekâ Bağlayıcısı Koşullarına tabidir.

MADDE 5 GOOGLE VE YURT DIŞI AKTARIM

5.1. Google Cloud EMEA Limited ile kişisel verilerin yurt dışına aktarımına ilişkin Standart Sözleşme-2 (SS-2) [SS-2 imza tarihi] tarihinde imzalanmış ve Kişisel Verileri Koruma Kurumuna [Kurum bildirim tarihi] tarihinde bildirilmiştir. Şirketin veri sorumlusu, Google'ın veri işleyen olduğu ve sözleşme eklerinde tanımlanan aktarımlar, KVKK m.9/4-c uyarınca bu uygun güvenceye dayanılarak gerçekleştirilir. Bu kapsamdaki aktarım için ayrıca genel bir yurt dışı aktarım açık rızası alınmaz. Aktarım, standart sözleşmedeki veri, amaç ve alıcı kapsamı ile teknik/idari tedbirler çerçevesinde yürütülür.

5.2. Şirket, Kurum adına yürüttüğü işlemlerde talimat, gizlilik, güvenlik ve alt veri işleyen yükümlülüklerine uyar; yurt dışı aktarım zincirinin KVKK m.9 koşullarını sağlar. Kurumun bu Eki kabulü hizmet için işleme talimatı ve açıklanan alt hizmet sağlayıcıları bakımından sözleşmesel yetkilendirmedir; ilgili kişiler adına açık rıza veya Şirketin kanuni yükümlülüklerinden feragat değildir. Google dışındaki sağlayıcılar için gerekli işleme ve aktarım koşulları ayrıca sağlanır. SS-2, Şirketin veri işleyen sıfatıyla gerçekleştirdiği aktarımları kendiliğinden kapsamaz. Bu işlemler bakımından fiilî rollere ve aktarım zincirine uygun KVKK m.9 koşulları aktarım başlamadan önce sağlanır; koşulları sağlanmayan veri akışı başlatılmaz veya durdurulur. Kullanıcının işlem talimatı ve alt hizmet sağlayıcı yetkilendirmesi eksik aktarım güvencesinin yerine geçmez.

MADDE 6 GÜVENLİK VE İHLAL YÖNETİMİ

6.1. Şirket riskle orantılı erişim ve rol kontrolü, güvenli veri iletimi, uygun şifreleme, hesap/oturum koruması, yedekleme, güncelleme, kayıt ve olay yönetimi tedbirlerini uygular. Kurumlar ve hesaplar arasında yetkisiz erişim önlenir; Kurumlar arası ayrım bir ayar değil, kuruma ait her veri türüne uygulanan ve veri tabanı düzeyinde zorunlu kılınan bir kısıttır. Özel nitelikli veriler için Kurulun belirlediği yeterli önlemler alınır. Kullanıcı da kendi cihazını, hesabını ve paylaşım yetkilerini korur.

6.2. Veri işleyen sıfatıyla öğrenilen ihlal veri sorumlusuna gecikmeksizin, bildirim yükümlülüklerini yerine getirebilmesine imkân verecek bilgilerle iletilir; tespit, kapsam ve giderim konusunda iş birliği yapılır. Şirket, veri sorumlusu sıfatıyla öğrendiği kişisel veri ihlalini gecikmeksizin ve en geç 72 saat içinde Kurula; etkilenen kişilerin belirlenmesini takiben makul olan en kısa sürede ilgili kişilere bildirir. Süresinde bildirimin yapılamadığı hâllerde gecikme gerekçesi açıklanır. Şirketin KVKK m.12 kapsamındaki sorumlulukları sözleşmeyle kaldırılmaz.

6.3. Veri sorumlusuna yükümlülüklerin yerine getirildiğini gösterecek uygun bilgi ve belgeler sağlanır; başka kurumların verileri ve sistem güvenliği korunarak makul denetim talepleri karşılanır. Şirket kanuni talepleri kendi yetkisi kapsamında ve gereken veriyle sınırlı karşılar.

MADDE 7 SAKLAMA İADE VE SİLME

7.1. Hesap verileri ilişki devam ettiği ve gerekli olduğu sürece; fatura/ticari kayıtlar 213 sayılı Vergi Usul Kanunu m.253 ve 6102 sayılı Türk Ticaret Kanunu m.82 uyarınca, daha uzun olan süre esas alınarak 10 yıl; sözleşme kabul ve ticari ileti onay/ret kayıtları onayın sona erdiği tarihten itibaren 3 yıl; uyuşmazlık kayıtları hakkın korunması için gerekli süreyle saklanır. Bütün verilere tek tip süresiz saklama uygulanmaz. Güvenlik kayıtları amaçla orantılı tutulur; 5651 sayılı Kanuna tabi kayıt yükümlülüğü varsa yalnızca ilgili sıfat ve kapsam için uygulanır.

7.2. Kurum içeriği, Kurum etkin olduğu sürece saklanır; kullanıcı yüklediği bir belgeyi yetkisi ölçüsünde dilediği zaman silebilir. Belge sürümü ve depolama sınırları paket kayıtlarında gösterilir. Kullanıcı gerekli içeriğini sunulan araçlarla dışa aktarabilir; saklama sınırına yaklaşan esaslı veri kaybı hakkında uygun bilgilendirme yapılır.

7.3. Hesap silindiğinde kullanıcının kimlik ve iletişim bilgileri anonimleştirilir; oturum, cihaz, bildirim ve ayar kayıtları silinir. Kullanıcının tek etkin üyesi olduğu Kurum kapanır; Kurumun tesis, belge, rapor, değerlendirme ve asistan yazışması verisi kapanıştan itibaren hiç kimseye erişilebilir olmayacak biçimde tutulur ve 30 gün sonra kalıcı olarak imha edilir. Bu imha, fatura kayıtlarını ve onay kayıtlarını kapsamaz; onlar 7.1'deki sürelerle saklanır. Başka etkin üyesi bulunan bir Kurumun tek yöneticisi, yönetimi devretmeden veya üyeleri çıkarmadan hesabını silemez.

7.4. Silme veya sona erme talimatında Şirket, veri sorumlusunun tercihine ve kanuni saklama zorunluluklarına göre içeriği iade eder veya siler. Aktif sistem, arama indeksi, önbellek, yedek ve sağlayıcı kayıtları için uygulanacak ayrı silme takvimi kullanıcıya bildirilir; silme, uygulanabilir KVKK sürelerine uygun sonuçlandırılır. Yedekte kalan veri olağan kullanıma kapatılır, belirlenen yedek döngüsünde imha edilir; zorunlu geri yüklemede silme talimatı yeniden uygulanır. Sırf teknik kolaylık gerekçesiyle süresiz kopya tutulamaz.

7.5. Oturum ve bağlayıcı erişim belirteçleri yalnızca bağlantının ve işlemin gerektirdiği süreyle saklanır; bağlantı kesildiğinde yeni erişim için kullanılmaz ve hukuken zorunlu kayıtlar dışında silinir/işlevsizleştirilir. Bağlantıyı kesmek daha önce kaydedilmiş rapor ve değerlendirmeleri silme talimatı değildir. Kurumdan ayrılma, kişisel hesap bilgileriyle Kurum dosyaları bakımından ayrı değerlendirilir.

MADDE 8 SÜRE KABUL VE ÖNCELİK

8.1. Bu Ek, Kurum adına veri işlenen hizmet süresince uygulanır; gizlilik ve kanuni saklama yükümlülükleri niteliğine göre devam eder. Kullanıcı sözleşmede tanımlanan işlemler için talimat verir; ayrı her yüklemede yeniden genel bir rıza alınması gerekmez. Yapay zekâ bağlayıcısı ise kendi koşulları ve ayrı yetkilendirme onayıyla açılır.

8.2. Şirket, ilgili veri sorumlusuna yükümlülüklerini yerine getirdiğini gösterecek makul bilgi ve belgeleri sağlar; diğer kurumların verileri ve sistem güvenliği korunarak denetim talepleri karşılanır. Emredici mevzuat ve uygulanabilir standart sözleşmedeki ilgili kişi güvenceleri önceliklidir. Üyelik ve Kullanım Sözleşmesinin sorumluluk ve Ankara yetki hükmü, oradaki kanuni sınırlar içinde uygulanır.