Veri işleme sözleşmesi

Bu sözleşme, Fiore’yi kullanan işletme (“İşletme”) ile DMR Labs Ltd (“Fiore”) arasındadır. İşletmenin Fiore’ye girdiği müşteri verilerinin nasıl işleneceğini düzenler. Bu sözleşme kullanım koşullarının ayrılmaz parçasıdır ve hesap açılırken kabul edilir. İkisi arasında kişisel veriler konusunda çelişki olursa bu sözleşme uygulanır.

1. Rollar

• Veri sorumlusu: İşletme. Müşteri verilerini hangi amaçla ve hangi yöntemle işleyeceğine İşletme karar verir.
• Veri işleyen: DMR Labs Ltd, Birleşik Krallık. Şirket numarası: 16884775. Adres: 71-75 Shelton Street, Covent Garden, Londra, WC2H 9JQ, Birleşik Krallık. Fiore bu verileri yalnızca İşletme adına ve İşletmenin talimatıyla işler.
• Fiore kullanıcılarının (işletme sahibi, yönetici, personel) hesap ve abonelik verileri bu sözleşmenin konusu değildir. Bu verilerin sorumlusu Fiore’dir ve KVKK aydınlatma metninde anlatılır.

2. İşlemenin kapsamı

3. İşletmenin yükümlülükleri

• Müşterilerini KVKK m. 10 uyarınca aydınlatmak. Online randevu sayfası ve WhatsApp dahil, verinin toplandığı her kanalda bu yükümlülük İşletmeye aittir.
• Her işleme için KVKK m. 5 veya m. 6’daki bir hukuki sebebe dayanmak.
• Sağlık bilgisi gibi özel nitelikli veriyi yalnızca gerçekten gerekliyse ve müşterinin açık rızasıyla girmek. Gerekmeyen sağlık bilgisini, T.C. kimlik numarasını veya fotoğrafı kaydetmemek.
• Müşteri fotoğraflarını galeri veya vitrin gibi herkese açık alanlarda yalnızca müşterinin açık rızasıyla yayımlamak.
• Kampanya, indirim ve benzeri tanıtım mesajları için müşteriden 6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca önceden onay almak, onayı İleti Yönetim Sistemi’ne (İYS) kaydetmek ve ret taleplerine uymak. Bu iletilerin hizmet sağlayıcısı İşletmedir. Fiore’deki müşteri kartında ileti izni alanını doğru tutmak İşletmeye aittir.
• Yapay zekâ asistanını açarsa, müşterilere otomatik bir asistanla yazıştıklarını bildirmek.
• Müşterilerin KVKK m. 11 başvurularını yanıtlamak. Fiore, tek müşteri için dışa aktarma ve anonimleştirme araçlarıyla buna yardım eder.
• VERBİS kayıt yükümlülüğü olup olmadığını kendi durumuna göre değerlendirmek.
• Personelinin yetkilerini gerektiği kadar vermek ve hesap güvenliğini sağlamak.

4. Fiore’nin yükümlülükleri

• Müşteri verilerini yalnızca hizmeti sunmak için ve İşletmenin talimatıyla işlemek. Hizmetin ayarları ve kullanımı İşletmenin talimatı sayılır.
• Bir talimatın mevzuata aykırı olduğunu düşünürse İşletmeye bildirmek.
• Müşteri verilerini kendi amaçları için kullanmamak, satmamak ve reklam için paylaşmamak. Fiore bu verilerle yapay zekâ modeli eğitmez.
• Verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını sağlamak. Fiore çalışanları müşteri verilerine yalnızca destek, hata giderme veya güvenlik için ve gerektiği kadar erişir.
• KVKK m. 12 uyarınca gerekli teknik ve idari tedbirleri almak (bölüm 5).
• İlgili kişi başvurularında ve Kurul ile yazışmalarda İşletmeye makul yardımı vermek.
• Bir ilgili kişi başvurusu doğrudan Fiore’ye gelirse, gecikmeden İşletmeye iletmek.
• Bu sözleşmeye uyduğunu gösteren bilgileri İşletmenin makul talebi üzerine vermek.

5. Güvenlik tedbirleri

• Veriler iletim sırasında TLS ile şifrelenir. Barındırma sağlayıcısı depolanan verileri disk düzeyinde şifreler.
• Her işletmenin verisi veritabanı düzeyinde satır bazlı erişim kurallarıyla diğer işletmelerden ayrılır.
• İşletme sahibi, her kullanıcının hangi bölümü görebileceğini ve değiştirebileceğini belirler.
• Sözleşmeler, imzalar ve işlem fotoğrafları herkese açık olmayan bir depoda tutulur ve yalnızca süreli bağlantılarla açılır. İmza görüntüleri sonradan kullanıcılar tarafından değiştirilemez.
• Önemli işlemler ve veri dışa aktarmaları kayıt altına alınır.
• Şifreler geri çevrilemez biçimde saklanır. Kart bilgileri Fiore’de tutulmaz.

6. Alt işleyenler

İşletme, Fiore’nin hizmeti sunmak için aşağıdaki alt işleyenlerle çalışmasına genel izin verir:

• WhatsApp ve yapay zekâ sağlayıcısına veri, yalnızca İşletme bu özellikleri kullandığında gider.
• İşletme kendi WhatsApp Business hesabını bağlarsa, Meta ile ilişkisi doğrudan Meta’nın koşullarına tabidir. Fiore bu durumda mesajları İşletmenin hesabı üzerinden iletir.
• Fiore, alt işleyenlere bu sözleşmedekine eşdeğer veri koruma yükümlülükleri yükler. Alt işleyenin yükümlülüklerinden İşletmeye karşı Fiore sorumludur.
• Yeni bir alt işleyen eklemeden en az 15 gün önce bu sayfayı günceller ve İşletmeye e-postayla bildiririz. İşletme haklı bir nedenle itiraz ederse ve çözüm bulunamazsa, aboneliğini feshedebilir. Bu durumda peşin ödediği ve kullanmadığı sürenin bedeli iade edilir.

7. Yurt dışına aktarım

Fiore Birleşik Krallık’tadır ve alt işleyenlerin sunucuları Türkiye dışındadır. Bu nedenle İşletmenin Fiore’ye girdiği veriler yurt dışına aktarılır. Aktarım KVKK m. 9’a göre yapılır.

• İşletmeden Fiore’ye aktarım için taraflar, Kişisel Verileri Koruma Kurulu’nun ilan ettiği “veri sorumlusundan veri işleyene” standart sözleşmesini kullanır. Fiore, doldurulmuş standart sözleşmeyi İşletmenin talebi üzerine imzalı olarak verir.
• Standart sözleşme, imzadan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilir. Bu bildirim, aktarımı yapan veri sorumlusu olarak İşletmeye aittir. Fiore, bildirim için gereken bilgileri sağlar.
• Fiore’den alt işleyenlere aktarımlar için Fiore, Kurul’un ilan ettiği “veri işleyenden veri işleyene” standart sözleşmesini esas alır.
• Kurul ileride bir ülke için yeterlilik kararı verirse, o ülkeye aktarım bu karara dayanabilir.

8. Veri ihlali

• Fiore, müşteri verilerini etkileyen bir ihlali öğrenince gecikmeden ve en geç 48 saat içinde İşletmeye bildirir.
• Bildirimde, o an bilinen ölçüde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçları ve alınan tedbirler yer alır. Yeni bilgi öğrendikçe bildirimi tamamlar.
• Kurul’a bildirim ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak İşletmeye aittir. Kurul kararına göre Kurul’a bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmalıdır. Fiore bu bildirimler için İşletmeye gereken bilgiyi ve yardımı verir.
• Fiore, ihlalin etkisini azaltmak ve tekrarını önlemek için gerekli tedbirleri hemen alır.

9. Sözleşmenin sona ermesi, iade ve silme

• İşletme, verilerini istediği an Excel dosyası olarak dışa aktarabilir. Abonelik sona erse veya askıya alınsa da bu imkân açık kalır. Bu, verilerin İşletmeye iadesidir.
• İşletme sahibi işletmeyi sildiğinde, müşteri verileri ve dosyalar canlı sistemden hemen ve kalıcı olarak silinir. Ayrıntılar hesap silme sayfasındadır.
• Silinen veriler, barındırma sağlayıcısının yedeklerinde yedekleme döngüsü tamamlanana kadar kalabilir. Bu yedekler yalnızca arıza halinde geri yükleme için kullanılır ve döngü sonunda silinir.
• Daha önce gönderilmiş WhatsApp mesajları alıcıların cihazlarında ve Meta’nın sistemlerinde Meta’nın kurallarına göre kalabilir. Fiore bunları silemez.
• Fiore, kanunen saklaması zorunlu olan veriler dışında müşteri verilerini sona ermeden sonra saklamaz.

10. Sorumluluk

Tarafların bu sözleşmeden doğan sorumluluğu kullanım koşullarındaki sınırlara tabidir. Bu sınırlar, KVKK m. 12/2 uyarınca veri güvenliği konusunda ilgili kişilere ve Kurul’a karşı tarafların kanundan doğan sorumluluğunu kaldırmaz.

11. İletişim

Bu sözleşme, standart sözleşme talebi veya bir ihlal bildirimi için merhaba@fioreapp.net adresine yazın.