Veri İşleme Sözleşmesi

1. Taraflar

2. Tanımlar

• Kişisel Veri: Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi.
• İşleme: Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, sınıflandırılması ya da kullanımının engellenmesi gibi veriler üzerinde yapılan her türlü işlem.
• Veri Sorumlusu (Data Controller): İşleme amaç ve araçlarını belirleyen taraf (Broker).
• Veri İşleyen (Data Processor): Veri Sorumlusu adına ve talimatları doğrultusunda kişisel verileri işleyen taraf (ASTRAL / KeyBrox).
• Alt İşleyen (Sub-processor): Veri İşleyen tarafından veri işleme faaliyetlerinin bir kısmını gerçekleştirmek üzere yetkilendirilen üçüncü taraf.
• İlgili Kişi (Data Subject): Kişisel verisi işlenen gerçek kişi.
• Veri İhlali: İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, kaybedilmesi, değiştirilmesi veya yetkisiz erişime maruz kalması.
• Platform: keybrox.com üzerinden erişilebilen KeyBrox SaaS uygulaması ve ilgili API hizmetleri.

3. İşleme Konusu ve Kapsamı

3.1. İşlenen Veri Kategorileri

3.2. İlgili Kişi Grupları

• Broker ofis danışmanları (çalışanlar)
• Broker ofis müşterileri (alıcı/satıcı adayları)
• Mal sahipleri (ilan verenler)
• Ziyaretçiler (gezdirme katılımcıları)

3.3. İşleme Amacı

Veri İşleyen, kişisel verileri yalnızca Platform hizmetinin sunulması amacıyla ve Veri Sorumlusunun yazılı talimatları doğrultusunda işler. Bu amaçlar:

• CRM işlevlerinin sağlanması (portföy, eşleştirme, mesajlaşma)
• İşlem ve komisyon yönetimi
• Gamification modülleri (XP, leaderboard hesaplama)
• Push bildirim gönderimi
• Raporlama ve analitik (anonim/toplulaştırılmış olarak)
• Güvenlik (panik butonu, erişim logları)
• Yedekleme ve felaket kurtarma

4. İşleme Talimatları

• Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusunun yazılı (Platform kullanım sözleşmesi dâhil) talimatlarına uygun olarak işler.
• Veri İşleyen, bir talimatın hukuka aykırı olduğunu düşünürse Veri Sorumlusunu derhal bilgilendirir.
• Veri İşleyen, talimatların dışına çıkarak kişisel verileri kendi amaçları için işleyemez.
• Platform özellikleri (gamification, arabuluculuk, asist zinciri) genel işleme talimatı kapsamındadır; Broker, hesap ayarlarından bu modülleri aktif/deaktif edebilir.

5. Güvenlik Önlemleri

Veri İşleyen, GDPR Madde 32 (ve Türkiye’de KVKK Madde 12) kapsamında aşağıdaki teknik ve idari güvenlik önlemlerini uygular:

5.1. Teknik Önlemler

5.2. İdari Önlemler

• Tüm personel gizlilik sözleşmesi imzalar.
• Yıllık veri-koruma farkındalık eğitimi.
• Erişim yetki matrisi: asgari veri ilkesi (need-to-know).
• Veri işleme envanteri ve kayıt sistemi.
• 6 aylık iç denetim.
• İşten ayrılan personel için ayrılma prosedürü (erişim anında iptal).

6. Alt İşleyenler (Sub-processors)

6.1. Mevcut Alt İşleyenler

Veri İşleyen, aşağıdaki alt işleyenlerle çalışmaktadır. Veri Sorumlusu, işbu Sözleşmeyi kabul ederek bu alt işleyenlerin kullanımına genel onay vermiştir:

6.2. Yeni Alt İşleyen Eklenmesi

• Veri İşleyen, yeni alt işleyen eklemeden önce Veri Sorumlusunu en az 30 gün öncesinden Platform içi bildirim ve e-posta ile bilgilendirir.
• Veri Sorumlusu, 15 gün içinde yazılı itirazda bulunabilir.
• İtiraz hâlinde taraflar makul bir çözüm ararlar; çözüm bulunamazsa Veri Sorumlusu Sözleşmeyi feshedebilir.
• Veri İşleyen, alt işleyenlerle en az işbu Sözleşmedeki seviyede güvenlik taahhütleri içeren yazılı sözleşme imzalar.

7. Veri İhlali Bildirimi

7.1. Bildirim Süresi

7.2. Bildirim İçeriği

Veri ihlali bildiriminde aşağıdaki bilgiler yer alır:

1. İhlalin niteliği (erişim, silme, değiştirme, paylaşım)
2. Etkilenen veri kategorileri ve tahmini kayıt sayısı
3. Etkilenen ilgili kişi grupları
4. İhlalin muhtemel sonuçları
5. Alınan ve alınması önerilen önlemler
6. İrtibat kişisi bilgileri

7.3. Müdahale Planı

• 0-2 saat: İhlalin tespiti, etki alanının belirlenmesi, erişimin kesilmesi.
• 2-24 saat: Veri Sorumlusuna bildirim, adli bilişim (forensic) incelemesinin başlatılması.
• 24-72 saat: Veri Sorumlusu, ilgili denetim otoritesine bildirir; ilgili kişilere bildirim kararı verilir.
• 72 saat sonrası: Kök neden analizi, önleyici tedbirlerin uygulanması, Veri Sorumlusuna kapanış raporu.

8. Uluslararası Veri Aktarımı

8.1. Aktarım Mekanizmaları

Alt işleyenlerle AB/EEA dışı ülkelere veri aktarımında aşağıdaki mekanizmalar kullanılır:

• AB Standart Sözleşme Maddeleri (SCC): Avrupa Komisyonu’nun 2021/914 sayılı Uygulama Kararı ile onaylanan standart maddeler.
• Ek Teknik Önlemler: Aktarım sırasında TLS 1.3 şifreleme, depolama sırasında AES-256, pseudonimizasyon.
• Transfer Etki Değerlendirmesi (TIA): Her alt işleyenin bulunduğu ülkedeki erişim yetkileri (örn. FISA 702) değerlendirilmiştir.

Birleşik Krallık aktarımları için UK IDTA/Addendum, diğer yargı bölgeleri için ise eşdeğer yasal aktarım mekanizmaları uygulanır.

9. Denetim Hakkı

• Veri Sorumlusu, yılda bir kez (veya bir veri ihlali sonrasında) Veri İşleyenin işbu Sözleşmeye uyumunu denetleme hakkına sahiptir.
• Denetim, en az 30 gün öncesinden yazılı bildirimle talep edilir.
• Denetim, Veri İşleyenin iş sürekliliğini aksatmayacak şekilde mesai saatleri içinde gerçekleştirilir.
• Veri İşleyen, bağımsız üçüncü taraf denetim raporlarını (SOC 2, ISO 27001) Veri Sorumlusu ile paylaşabilir; bu raporlar, karşılıklı mutabakat ile yerinde denetim yerine geçebilir.
• Denetim masrafları Veri Sorumlusuna aittir (veri ihlali kaynaklı denetimler hariç).

10. Sözleşme Süresi ve Fesih

10.1. Süre

İşbu Sözleşme, Platform üyelik sözleşmesi ile aynı tarihte başlar ve üyelik devam ettiği sürece geçerlidir. Üyelik sözleşmesinin sona ermesi ile işbu Sözleşme de kendiliğinden sona erer.

10.2. Fesih Hâlleri

• Platform üyelik sözleşmesinin herhangi bir sebeple sona ermesi.
• Veri İşleyenin işbu Sözleşme yükümlülüklerini ağır şekilde ihlal etmesi ve 30 günlük ihtar süresinde düzeltmemesi.
• Alt işleyen değişikliğine yapılan itirazın çözümsüz kalması.
• Yasal düzenleme değişikliği nedeniyle işlemenin imkânsız hâle gelmesi.

11. Veri İadesi ve İmhası

11.1. Sözleşme Sona Erdiğinde

• Veri Sorumlusu, sözleşme bitiminden itibaren 30 gün içinde verilerinin iade edilmesini (JSON/CSV formatında) veya imha edilmesini talep edebilir.
• Talep yapılmadığında, Veri İşleyen sözleşme bitiminden 90 gün sonra tüm kişisel verileri geri döndürülemez şekilde imha eder.

11.2. İmha Yöntemleri

• Veritabanı kayıtları: Kalıcı silme (DELETE + VACUUM) veya kriptografik silme (şifreleme anahtarı imhası).
• Dosyalar (görsel, belge): Dosya sistemi düzeyinde üzerine yazma (overwrite) ve silme.
• Yedekler: Yedek döngü süresi (7 gün) içinde doğal olarak kaybolur; ek olarak manuel purge.

11.3. İmha Belgesi

Veri İşleyen, imha işlemini tamamladığında Veri Sorumlusuna yazılı bir “Veri İmha Belgesi” gönderir. Bu belge imha tarihini, yöntemini ve kapsamını içerir.

12. İşbirliği Yükümlülüğü

Veri İşleyen, aşağıdaki durumlarda Veri Sorumlusuna işbirliği yapar:

• İlgili kişi hakları başvuruları (erişim, silme, düzeltme, taşınabilirlik): en geç 5 işgünü içinde gerekli bilgiyi sağlar.
• Veri Koruma Etki Değerlendirmesi (DPIA): gerekli teknik bilgileri ve risk değerlendirmesini paylaşır.
• Yetkili veri-koruma otoritesi veya ilgili merci soruşturması: istenen bilgi ve dokümanları zamanında sağlar.

13. Sorumluluk ve Tazminat

• Veri İşleyen, işbu Sözleşmede belirtilen yükümlülüklere aykırı davranışı sonucu Veri Sorumlusunun uğradığı zararı tazmin eder.
• Veri İşleyenin azami sorumluluğu, zararın meydana geldiği yıldan önceki 12 ayda alınan toplam platform ücretini aşamaz (ağır ihmal ve kasıt hâlleri hariç).
• Veri Sorumlusu, yanlış veya eksik talimat vermesi nedeniyle ortaya çıkan zararlardan sorumludur.

14. Uygulanacak Hukuk ve Yetkili Mahkeme

15. İletişim

16. Ekler

• Ek-1: İşlenen veri kategorileri ve ilgili kişi grupları detayı (işbu Sözleşme Bölüm 3).
• Ek-2: Teknik ve idari güvenlik önlemleri detayı (işbu Sözleşme Bölüm 5).
• Ek-3: Alt işleyenler listesi (işbu Sözleşme Bölüm 6.1 — güncel liste Platform üzerinden yayınlanır).
• Ek-4: AB Standart Sözleşme Maddeleri (SCC) — ilgili alt işleyenlerle imzalanan kopyalar talep üzerine sunulur.