Veri İşleme Sözleşmesi

Bu metin kolaylık için sunulan bir çeviridir. İngilizce metinle arasında fark olursa İngilizce metin esas alınır.

Veri işleyen

Transfer Runner Ltd (İngiltere ve Galler'de 17488928 numarasıyla kayıtlı), 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Birleşik Krallık, [email protected] ("TransferRunner")

Veri sorumlusu

("Firma")

Bu sözleşme TransferRunner Hizmet Sözleşmesi'nin parçasıdır. Veri sorumlusu ile veri işleyen arasındaki ilişkiyi UK GDPR m. 28, AB Genel Veri Koruma Tüzüğü (GDPR) m. 28, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 12 ve Firma'ya uygulanan diğer veri koruma kanunları (birlikte "Veri Koruma Mevzuatı") kapsamında düzenler. TransferRunner Birleşik Krallık'ta yerleşik bir şirkettir.

1. Roller

Hizmet'te işlenen misafir, şoför ve Firma çalışanı verilerinde Firma veri sorumlusu, TransferRunner veri işleyendir. TransferRunner bu verileri yalnızca Firma adına ve Hizmet'i sunmak için işler.

2. İşlemenin konusu, süresi ve amacı

• Konu ve amaç: rezervasyonların alınması ve yönetimi, Firma'nın rezervasyon sitesinin yayınlanması, şoför ataması, misafire bildirim gönderilmesi, uçuş takibi, misafirin ödeme sağlayıcısına yönlendirilmesi, raporlama ve bunların gerektirdiği barındırma ve yedekleme.
• Süre: Hizmet Sözleşmesi süresince ve 8. maddedeki silme süresi sona erene kadar.
• İlgili kişiler: misafirler ve yolcular, rezervasyonu yapan kişiler, fatura muhatapları, Firma'nın şoförleri ve panel kullanıcıları.
• Veri kategorileri: ad, e-posta ve telefon; alış ve bırakış adresleri, tarih ve saat, uçuş numarası, yolcu sayısı ve notlar; tutar ve ödeme durumu (kart bilgisi hariç); fatura bilgileri; değerlendirmeler; yolculuk sırasında şoförün konumu; şoförlerin ehliyet ve araç belgesi bilgileri; IP adresleri ve teknik kayıtlar.
• Özel nitelikli veri: işlenmesi amaçlanmaz. Firma, not alanlarına sağlık bilgisi gibi özel nitelikli veri girilmemesine özen gösterir.

3. TransferRunner'ın yükümlülükleri

• Verileri yalnızca Firma'nın belgelenmiş talimatıyla işlemek. Bu sözleşme, Hizmet Sözleşmesi ve Firma'nın paneldeki ayarları talimat sayılır. Bir talimatın hukuka aykırı olduğunu düşünürse Firma'yı hemen bilgilendirmek.
• Verilere erişebilen çalışanlarının gizlilik yükümlülüğü altında olmasını sağlamak.
• Ek-1'deki teknik ve idari güvenlik önlemlerini almak ve güncel tutmak.
• İlgili kişilerin erişim, düzeltme ya da silme gibi taleplerini yanıtlamasında Firma'ya panel araçlarıyla ve makul ölçüde yardım etmek; doğrudan kendisine gelen talepleri gecikmeden Firma'ya iletmek.
• Bir kişisel veri ihlalini öğrendiğinde Firma'ya gecikmeden ve en geç 48 saat içinde, o an bilinen ayrıntılarla bildirmek; Firma'nın ICO, AB'deki bir denetim otoritesi ya da Kişisel Verileri Koruma Kurulu gibi yetkili otoriteye bildirim yapmasına yardım etmek.
• Veri koruma etki değerlendirmesi ya da otoriteyle ön görüşme gerektiğinde makul bilgi vermek.
• Bu sözleşmeye uyumu göstermek için gereken bilgileri sağlamak ve yılda bir kez, en az 30 gün önceden bildirilen ve işleyişi bozmayan makul bir denetime izin vermek.

4. Alt işleyenler

Firma, TransferRunner'ın aşağıdaki türlerde alt işleyen kullanmasına genel olarak izin verir. TransferRunner alt işleyenlerle verileri en az bu sözleşme kadar koruyan yazılı sözleşmeler yapar ve onların işlemlerinden Firma'ya karşı sorumlu kalır. Yeni bir alt işleyen eklenmeden en az 30 gün önce panelde duyurulur; Firma haklı bir gerekçeyle itiraz edebilir, itiraz çözülemezse Hizmet Sözleşmesi'ndeki iadeyle aboneliğini sona erdirebilir.

• Sunucu barındırma ve yedekleme
• E-posta gönderimi
• SMS ve WhatsApp mesajlaşması (ör. Meta WhatsApp Business)
• Harita ve adres önerisi (Google Haritalar)
• Uçuş bilgisi sağlayıcısı (yalnızca uçuş numarası ve tarih)

Firma'nın kendi hesabıyla bağladığı ödeme sağlayıcısı (ör. Stripe ya da iyzico) ve kendi sitesine eklediği ölçüm ve reklam kodları (ör. Google ya da Meta) TransferRunner'ın alt işleyeni değildir. Bu hizmetlerle ilişki doğrudan Firma ile sağlayıcı arasındadır.

5. Yurt dışına aktarım

• Türkiye'deki firmalar: verilerin Birleşik Krallık'taki TransferRunner'a gönderilmesi KVKK m. 9 kapsamında yurt dışına aktarımdır. Taraflar bu aktarım için Kişisel Verileri Koruma Kurulu'nun ilan ettiği "veri sorumlusundan veri işleyene" standart sözleşmeyi değiştirmeden imzalar ve Firma imzadan sonra 5 iş günü içinde Kurul'a bildirimde bulunur. TransferRunner imza için gereken bilgi ve belgeleri sağlar.
• Avrupa Ekonomik Alanı'ndaki firmalar: aktarım, Avrupa Komisyonu'nun Birleşik Krallık için verdiği yeterlilik kararına dayanır. Bu karar sona ererse taraflar GDPR m. 46 kapsamındaki standart sözleşme maddelerini uygular.
• Diğer ülkelerdeki firmalar: Firma'nın Veri Koruma Mevzuatı Birleşik Krallık'a aktarım için belirli bir güvence istiyorsa taraflar bu güvenceyi sağlar ve TransferRunner gereken bilgiyi verir.
• Alt işleyenler: verileri Birleşik Krallık, Avrupa Ekonomik Alanı ya da Türkiye dışında işleyen alt işleyenler için yeterlilik kararları, Birleşik Krallık uluslararası veri aktarım sözleşmesi (IDTA) ya da AB standart sözleşme maddeleri gibi güvenceler kullanılır.

6. Firma'nın yükümlülükleri

• Verileri işlemek için geçerli bir hukuki sebebe sahip olmak ve ilgili kişileri aydınlatmak. TransferRunner rezervasyon sitesi için hazır metinler sunar; bunların Firma'nın faaliyetine uygunluğundan ve doğru doldurulmasından Firma sorumludur.
• Gerekiyorsa yetkili otoriteye kayıt olmak (ör. Türkiye'de VERBİS, Birleşik Krallık'ta ICO ücreti).
• TransferRunner'a yalnızca hukuka uygun talimat vermek ve panel kullanıcılarının yetkilerini doğru yönetmek.

7. Gizlilik

TransferRunner verileri üçüncü kişilere açıklamaz. Verileri yalnızca bu sözleşmeye uygun olarak alt işleyenlere ya da kanunen zorunlu olduğunda yetkili makamlara aktarır ve kanunun izin verdiği ölçüde böyle bir talebi Firma'ya bildirir.

8. İşlemenin sona ermesi, iade ve silme

Hizmet Sözleşmesi sona erdiğinde Firma 30 gün boyunca verilerini panelden dışa aktarabilir. Bu sürenin sonunda TransferRunner verileri canlı sistemlerden siler; yedeklerdeki kopyalar en geç 90 gün içinde kendiliğinden silinir. Kanunen saklanması gereken veriler (ör. TransferRunner'ın kendi fatura kayıtları) gereken süre boyunca saklanır.

9. Sorumluluk ve öncelik

Bu sözleşmeden doğan sorumluluk, kanunen sınırlanamayanlar dışında, Hizmet Sözleşmesi'ndeki sınırlara tabidir. Kişisel verilerle ilgili konularda bu sözleşme ile Hizmet Sözleşmesi çelişirse bu sözleşme uygulanır.

10. Dil ve hukuk

Bu sözleşme İngilizce olarak yapılmıştır ve çeviriler kolaylık için sunulur; bir çeviri farklıysa İngilizce metin esas alınır. Hizmet Sözleşmesi'nde belirtilen hukuk ve mahkemeler uygulanır; Firma'nın ülkesindeki zorunlu Veri Koruma Mevzuatı saklıdır.

Ek-1: Teknik ve idari güvenlik önlemleri

• Bütün bağlantıların şifrelenmesi (HTTPS / TLS)
• Şifrelerin yalnızca geri çevrilemez biçimde (hash) saklanması; panelde iki adımlı giriş
• Ödeme sağlayıcısı gizli anahtarlarının veritabanında şifreli (AES-256) saklanması; kart verisinin hiç saklanmaması
• Rol tabanlı erişim: şoförler yalnızca kendilerine atanan işleri görür
• Firmalar arası veri ayrımı: her firma yalnızca kendi verisini görür
• Düzenli yedekleme ve yedekten geri dönme denemeleri
• Sunucu erişiminin yetkili kişilerle sınırlanması ve erişim kayıtlarının tutulması
• Güvenlik güncellemelerinin düzenli uygulanması