Otai Veri İşleme Eki

1. Tanımlar

1.1 Otai, Türkiye’de kurulmuş Çallıoğlu İnşaat Turizm Sanayi ve Ticaret A.Ş. ("Otai") tarafından işletilir.

1.2 Bu VİE bakımından:

1. Uygulanabilir Veri Koruma Hukuku, ilgili veri işlemeye uygulanabilen gizlilik ve veri koruma hukukunu; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeleri ile uygulanabildiği ölçüde 2016/679 sayılı AB Genel Veri Koruma Tüzüğünü ("GDPR") ve Birleşik Krallık GDPR’ını ifade eder.
2. Veri Sorumlusu, Veri İşleyen, İlgili Kişi, Kişisel Veri, İşleme, Kişisel Veri İhlali ve Denetleyici Makam, Uygulanabilir Veri Koruma Hukukunda kendilerine verilen anlamları taşır.
3. Müşteri Kişisel Verisi, Müşteri Verisi içinde bulunan ve Otai’nin Müşteri adına işlediği Kişisel Veriyi ifade eder.
4. Alt Veri İşleyen, Müşteri Kişisel Verisini Müşteri adına işlemek üzere Otai tarafından görevlendirilen üçüncü tarafı ifade eder.
5. Kısıtlı Aktarım, Uygulanabilir Veri Koruma Hukuku kapsamında özel bir güvence gerektiren sınır ötesi aktarımı ifade eder.

1.3 Burada tanımlanmayan büyük harfle başlayan terimler Hizmet Sözleşmesindeki anlamlarını taşır.

2. Roller ve kapsam

2.1. Müşteri Kişisel Verisi bakımından Müşteri Veri Sorumlusu, Otai ise Veri İşleyendir. Müşteri başka bir Veri Sorumlusu adına Veri İşleyen olarak hareket ediyorsa Otai’yi Alt Veri İşleyen olarak atar ve bunu yapmaya yetkili olduğunu teyit eder.

2.2. Müşteri, işlemenin amaçlarını ve esaslı araçlarını belirler; talimatlar, bilgilendirmeler, hukuki sebep, izinler, veri doğruluğu ve İlgili Kişi iletişimlerinden sorumludur.

2.3. Otai; Otai Gizlilik Politikasında açıklandığı üzere kendi kurumsal hesap yönetimi, sözleşme, faturalama, hizmet güvenliği, mevzuata uyum ve doğrudan destek faaliyetleri bakımından bağımsız Veri Sorumlusu olarak hareket eder. Bu faaliyetler VİE kapsamı dışındadır.

2.4. İşlemenin konusu, süresi, niteliği, amacı, İlgili Kişiler ve veri kategorileri Ek 1’de açıklanmıştır.

3. Belgelenmiş talimatlar

3.1. Otai, Müşteri Kişisel Verisini yalnızca:

1. Hizmet Sözleşmesi, sipariş formu, Müşteri yapılandırması ve yetkili kullanımda belgelendiği üzere Hizmeti sunmak, güvence altına almak ve desteklemek;
2. Müşterinin ilave belgelenmiş talimatlarını uygulamak; veya
3. uygulanabilir hukukun işlemeyi gerektirmesi hâlinde —hukuk bildirim yapılmasını yasaklamadıkça Müşteriyi işlemden önce bilgilendirmek şartıyla— işlemek için kullanır.

3.2. Hizmet Sözleşmesi, bu VİE, Müşterinin yapılandırması ve yetkili API/panel işlemleri Müşterinin belgelenmiş talimatlarıdır.

3.3. Otai, makul görüşüne göre Uygulanabilir Veri Koruma Hukukunu ihlal eden bir talimatı Müşteriye bildirir. Taraflar sorunu çözerken Otai, hukuka aykırı işlev sağlamak zorunda olmaksızın etkilenen işlemeyi askıya alabilir.

3.4. Müşteri, gereksiz, etkinleştirilmiş bir kanal tarafından yasaklanan veya kararlaştırılan Hizmet kapsamını aşan verilerin işlenmesi talimatını veremez. Taraflar gerekliliği, hukuki sebebi, güvenceleri ve kesin işleme faaliyetini önceden yazılı olarak belgelemedikçe Müşteri özel nitelikli/hassas verileri bilerek gönderemez.

4. Gizlilik ve personel

4.1 Otai, Müşteri Kişisel Verisini işlemeye yetkili personelin:

1. kanuni veya sözleşmesel gizlilik yükümlülüğü altında olmasını;
2. yalnızca bilmesi gereken ölçüde ve en az yetki ilkesiyle erişim almasını;
3. uygun gizlilik ve güvenlik talimatlarını almasını; ve
4. verileri yalnızca bu VİE ve Müşterinin belgelenmiş talimatları kapsamında işlemesini sağlar.

5. Güvenlik

5.1. Otai; teknolojinin güncel durumunu, uygulama maliyetini, işlemenin niteliğini/kapsamını/bağlamını/amacını ve kişiler bakımından riski dikkate alarak uygun teknik ve organizasyonel önlemleri uygular ve sürdürür. Mevcut asgari taahhütler Ek 2’de açıklanmıştır.

5.2. Otai, genel koruma düzeyinin esaslı biçimde azaltılmaması şartıyla güvenlik önlemlerini teknik gelişmelere göre güncelleyebilir.

5.3. Kendi kontrolündeki güvenli yapılandırma, yetkili kullanıcı erişimi, erişim bilgilerinin korunması, hukuka uygun veri minimizasyonu ve güncelliğini yitirmiş erişimlerin gecikmeksizin kaldırılmasından Müşteri sorumludur.

6. Kişisel Veri İhlali

6.1. Otai, Müşteri Kişisel Verisini etkileyen teyit edilmiş bir Kişisel Veri İhlalinden haberdar olduktan sonra Müşteriye gecikmeksizin bildirimde bulunur.

6.2. Bildirim, o tarihte bilindiği ölçüde:

1. ihlalin niteliğini, etkilenen verileri ve yaklaşık İlgili Kişi/kayıt hacmini;
2. muhtemel sonuçları;
3. ihlali kontrol altına almak, incelemek ve etkisini azaltmak için alınan veya önerilen önlemleri; ve
4. takip için iletişim kişisini açıklar.

6.3. İnceleme ilerledikçe bilgiler aşamalı olarak verilebilir. Otai’nin bildirimi kusur kabulü değildir. Denetleyici Makama veya İlgili Kişiye bildirim yapılıp yapılmayacağını ve bildirimin nasıl yapılacağını belirlemek Müşterinin sorumluluğundadır. Otai, işlemenin niteliğini ve mevcut bilgileri dikkate alarak makul destek sağlar.

7. İlgili Kişi talepleri

7.1. Otai, işlemenin niteliğini dikkate alarak Müşterinin geçerli İlgili Kişi taleplerini yanıtlaması için makul teknik ve organizasyonel yardım sağlar.

7.2. Otai, esas olarak Müşterinin kontrolündeki işlemeye ilişkin bir talep alırsa kanunen izin verilen ölçüde talebi Müşteriye yönlendirir; Müşterinin talimatı veya hukuki zorunluluk olmadıkça esas hakkında yanıt vermez.

7.3. Talep sahibinin doğrulanması, talebin değerlendirilmesi ve kanuni süresi içinde yanıtlanması Müşterinin sorumluluğundadır.

8. Yardım ve uyum bilgileri

8.1 Otai, işlemenin niteliğini ve elindeki bilgileri dikkate alarak Müşteriye şu konularda makul yardım sağlar:

1. işleme güvenliği yükümlülükleri;
2. ihlal değerlendirmesi ve bildirimi;
3. Hizmetle ilgili olduğu ölçüde veri koruma etki değerlendirmeleri ve ön istişare;
4. veri işleyen yükümlülüklerine uyumu göstermek için makul ölçüde gerekli kayıt ve bilgiler.

8.2 Standart Hizmet işlevlerinin ötesindeki yardım, talebin olağan dışı ölçüde külfetli olması ve Otai’nin ihlalinden kaynaklanmaması hâlinde kararlaştırılan ücretler üzerinden ücretlendirilebilir.

9. Alt Veri İşleyenler

9.1. Müşteri, Otai’nin Ek 3’te açıklanan Alt Veri İşleyen kategorilerini kullanması için genel yazılı yetki verir. Müşterinin Hizmetinde kullanılan tüzel kişilikler kurulum sırasında, ilgili hizmet belgesinde veya Müşterinin yazılı talebi üzerine açıklanır.

9.2. Otai, Müşteri Kişisel Verisini işleyecek yeni bir Alt Veri İşleyeni makul süre önceden bildirir. Güvenlik, hukuk veya hizmet devamlılığı nedeniyle acil değişiklik gerektiğinde bildirim makul ölçüde mümkün olan en kısa zamanda yapılır.

9.3. Müşteri, bildirim süresi içinde makul ve belgelenmiş veri koruma gerekçeleriyle itiraz edebilir. Taraflar ticari açıdan makul bir çözüm için iyi niyetle çalışır. Çözüm bulunamazsa Müşteri, yeni Alt Veri İşleyen işlemeye başlamadan önce yalnızca etkilenen Hizmeti feshedebilir ve etkilenen Hizmet için önceden ödenmiş kullanılmamış ücretlerin oransal iadesini alabilir.

9.4. Otai, her Alt Veri İşleyene yazılı veri koruma yükümlülükleri getirir; bunlar aynı işleme bakımından bu VİE’deki yükümlülüklerden esas bakımından daha az koruyucu olamaz. Otai, Uygulanabilir Veri Koruma Hukukunun gerektirdiği ölçüde Alt Veri İşleyenlerinden sorumlu olmaya devam eder.

9.5. Meta/WhatsApp, WhatsApp Business Account sahibi olarak Müşteriyle doğrudan sözleşmesel ve veri koruma ilişkisine sahip olabilir. Müşteri adına bağımsız veya doğrudan hareket eden bir sağlayıcı yalnızca Hizmetle birlikte çalışması nedeniyle Otai Alt Veri İşleyeni sayılmaz. Taraflar gerçek veri akışına göre doğru rolü belgelendirir.

10. Yurt dışına aktarımlar

10.1. Otai, geçerli bir aktarım mekanizması ve Müşterinin bu VİE kapsamındaki belgelenmiş yetkisi bulunmadıkça Kısıtlı Aktarım yapmaz.

10.2. KVKK’nın 9. maddesine tabi aktarımlarda taraflar gerçek veri aktaran/veri alıcısı rollerini belirler ve veri sorumlusundan veri işleyene (SS-2), veri işleyenden veri işleyene (SS-3) zorunlu biçimdeki Türk standart sözleşmesi veya hukuken kullanılabilen başka bir mekanizma dâhil uygun güvenceyi kullanır. Zorunlu sözleşmede belirlenen taraf, gerekli bildirimi kanuni süresi içinde Kişisel Verileri Koruma Kurumuna yapar.

10.3. GDPR/Birleşik Krallık GDPR’ına tabi aktarımlarda taraflar, gerektiğinde riske uygun tamamlayıcı önlemlerle birlikte uygulanabilir AB Standart Sözleşme Maddelerini ve Birleşik Krallık aktarım ekini/mekanizmasını akdeder veya sözleşmeye dâhil eder.

10.4. Taraflar aktarım zincirini ve güvenceleri belirlemek için makul ölçüde gerekli aktarım değerlendirmeleri ve bilgiler konusunda iş birliği yapar. Müşteri, küresel mesajlaşma hizmeti kullanımının ilgili sağlayıcının koşulları altında birden fazla ülkede işlemeyi içerebileceğini kabul eder.

10.5. Bu VİE, Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşme değildir ve zorunlu biçimdeki bir KVKK yurt dışına aktarım sözleşmesinin yerini almaz, onu değiştirmez veya gerekliliklerini karşılamaz.

11. Denetim

11.1. Otai, makul talep üzerine bu VİE’ye uyumu göstermek için makul ölçüde yeterli güncel belgeleri sağlar. Bunlar mevcut olduğu ölçüde güvenlik özetleri, bağımsız değerlendirmeler veya anket yanıtlarını içerebilir.

11.2. Bu bilgiler yetersizse Müşteri makul aralıklarla denetim yapabilir; esaslı bir ihlal sonrasında veya Denetleyici Makamın gerekli görmesi hâlinde ek denetimler gerçekleştirilebilir. Denetimler:

11.3. Denetim Otai’nin esaslı bir ihlalini ortaya koymadıkça Müşteri kendi denetim masraflarını ve Otai’nin makul yardım maliyetlerini karşılar. Esaslı ihlal tespit edilirse Otai, söz konusu ihlalin doğrulanmasıyla bağlantılı makul denetim maliyetlerini karşılar.

1. acil bir düzenleyici kurum veya ihlal konusu daha kısa süre gerektirmedikçe makul süre önce yazılı olarak bildirilir;
2. olağan çalışma saatlerinde ve makul olmayan bir kesintiye yol açmadan gerçekleştirilir;
3. Müşteri Kişisel Verisiyle ilgili sistem ve kayıtlarla sınırlı tutulur;
4. diğer müşterileri, güvenlik bilgilerini ve Otai Gizli Bilgilerini korur;
5. rakip olmayan, bağımsız, nitelikli ve gizlilik yükümlülüğü altındaki bir denetçi tarafından yapılır.

12. Kamu makamı ve üçüncü taraf talepleri

12.1 Hukuken yasaklanmadıkça Otai, Müşteri Kişisel Verisine ilişkin hukuken bağlayıcı bir talebi Müşteriye bildirir. Veri açıklamadan önce talepte bulunan makamın kimliğini, hukuki yetkisini ve yargı yetkisini, talebin geçerliliğini ve kapsamını inceler. Hukuken mümkün olduğunda açıklama ister veya hukuka aykırı ya da aşırı kapsamlı taleplere itiraz eder ve yalnızca hukuken gerekli asgari bilgiyi açıklar.

12.2 Otai; talepler, hukuki değerlendirmeler, incelemeyi yapan ve karar veren kişiler, itirazlar, yanıtlar ve yapılan veri açıklamaları hakkında erişimi sınırlandırılmış kayıtlar tutar.

13. İade ve silme

13.1. Müşteri, Hizmet süresince mevcut Hizmet işlevleri veya kararlaştırılan süreç üzerinden Müşteri Kişisel Verisini dışa aktarabilir.

13.2. Fesih veya Müşterinin geçerli talimatı üzerine Otai, hukukun saklamayı gerektirdiği durumlar dışında, teknik ve hukuki olarak mümkün olduğu ölçüde Müşterinin tercihine göre Müşteri Kişisel Verisini aktif sistemlerden gecikmeksizin ve uygulanabilir silme sürecine uygun biçimde siler veya iade eder.

13.3. Şifreli yedeklerde kalan kopyalar uygulanabilir yedek döngüsünde silinir veya üzerine yazılır. Bu zamana kadar korunur, olağan kullanımdan ayrılır ve yalnızca felaket kurtarma, güvenlik veya hukuki zorunluluk nedeniyle geri yüklenebilir.

13.4. Otai; silme işlemini ispatlamak, iletişimden çıkma tercihlerini uygulamak, hukuka uymak veya hukuki hakları tesis etmek/savunmak için gerekli asgari kayıtları saklayabilir. Bu hüküm gereği gibi anonimleştirilmiş verinin silinmesini gerektirmez; ancak WhatsApp Business Solution verileri Meta/WhatsApp’ın daha sıkı sözleşmesel kısıtlamalarına tabi olmaya devam eder.

14. WhatsApp Business Solution verileri ve yapay zekâ

14.1. Otai, WhatsApp Business Solution verilerini yalnızca Müşteri adına ve talimatları kapsamında talep edilen mesajlaşma ve operasyon Hizmetini sunmak için ve uygulanabilir WhatsApp/Meta koşullarına uygun biçimde işler.

14.2. Otai bu verileri satmaz, lisanslamaz, açıklamaz veya kendi ilgisiz amacı için kullanmaz; bu verilerden reklam ya da kişi profili oluşturmaz; mesaj içeriğini, üst verileri veya anonim/toplu/türetilmiş biçimleri ortak ya da genel amaçlı yapay zekâ/makine öğrenimi modelleri oluşturmak, geliştirmek, eğitmek veya iyileştirmek için kullanmaz.

14.3. Bir yapay zekâ Alt Veri İşleyeni, sınırlı içeriği yalnızca Müşteri için talep edilen yanıtı, sınıflandırmayı, çeviriyi, özeti veya iş akışını üretmek amacıyla işleyebilir. Uygulanabilir sözleşme, Alt Veri İşleyenin Müşteri Kişisel Verisini sağlayıcı modelini eğitmek için kullanmasını yasaklamalı ve bu VİE’yle uyumlu silme/saklama kontrollerini zorunlu kılmalıdır.

14.4. WhatsApp kullanıcı izni, şablon/kanal uyumu, insan desteğine geçiş ve iletişimin hukuka uygunluğundan Müşteri sorumludur.

15. Sorumluluk ve öncelik sırası

15.1 Uygulanabilir Veri Koruma Hukuku ilgili sınırlandırmayı yasaklamadıkça bu VİE kapsamındaki sorumluluk Hizmet Sözleşmesinin sorumluluk hükümlerine tabidir. VİE ile Hizmet Sözleşmesi kişisel veri işleme konusunda çelişirse VİE önceliklidir. Zorunlu aktarım belgesi, ilgili Kısıtlı Aktarım bakımından VİE’den önce uygulanır.

16. Süre

16.1 Bu VİE geçerli biçimde sözleşmeye dâhil edildiğinde veya kabul edildiğinde başlar ve Otai Müşteri Kişisel Verisini işlediği sürece devam eder. Gizlilik, sınırlı kullanım, güvenlik, denetim delilleri, sorumluluk ve silme dâhil niteliği gereği devam eden yükümlülükler, ilgili veri mevcut olduğu sürece fesihten sonra da yürürlükte kalır.

Ek 1 – İşleme ayrıntıları

Ek 2 – Teknik ve organizasyonel önlemler

1. Yönetişim: Belgelenmiş güvenlik/gizlilik rolleri, politikalar, risk incelemeleri, gizlilik taahhütleri ve personel eğitimi.
2. Erişim kontrolü: Benzersiz hesaplar, rol tabanlı ve en az yetkili erişim, gecikmeksizin yetki kaldırma, ayrıcalıklı erişim incelemesi ve yönetici erişiminde çok faktörlü kimlik doğrulama.
3. Kimlik doğrulama ve sırlar: Parola kontrolleri, korunan API erişim bilgileri/tokenlar, sır yönetimi, yenileme/iptal süreçleri ve kaynak kodunda veya olağan loglarda sır bulundurmama.
4. Şifreleme: Aktarım hâlindeki veri için güncel aktarım şifrelemesi (TLS); üretim verileri ile hareketsiz yedekler için şifreleme veya eş değer koruma; yönetilen anahtar erişimi.
5. Müşteri/veri ayrımı: Müşteri ortamlarının ve verilerinin mantıksal ayrımı ile müşteriler arası erişimi önleyen yetkilendirme kontrolleri.
6. Loglama/izleme: Güvenlikle ilgili denetim logları, kısıtlı log erişimi, uyarılar ve riskle orantılı delil saklama.
7. Güvenli geliştirme: Değişiklik kontrolü, kod incelemesi, bağımlılık ve zafiyet yönetimi, ortamların ayrılması ve önem derecesine göre düzeltme.
8. Altyapı: Güçlendirilmiş yapılandırma, yamalama, ağ kontrolleri, korunan yönetim arayüzleri ve Hizmete uygun dayanıklılık.
9. Yedekleme/devamlılık: Şifreli/kısıtlı yedekler, geri yükleme testleri, tanımlı kurtarma süreci ve yedek silme döngüsü.
10. Olay müdahalesi: Belgelenmiş tespit, önceliklendirme, kontrol altına alma, inceleme, iletişim ve öğrenilen dersler süreci.
11. Veri yaşam döngüsü: Toplamanın asgari tutulması, yapılandırılabilir/tanımlı saklama, güvenli silme, dışa aktarma ve entegrasyon yetkisinin doğrulanmış biçimde kaldırılması.
12. Alt Veri İşleyen yönetimi: Gizlilik/güvenlik durum tespiti, yazılı sözleşmeler, erişimin asgari tutulması ve değişikliklerin izlenmesi.
13. Fiziksel güvenlik: Barındırma için uygun biçimde kontrol edilen tesislere dayanılması ve Müşteri Kişisel Verisi içeren Otai ofis sistemlerine erişimin sınırlandırılması.

Ek 3 – Yetkili Alt Veri İşleyen kategorileri

Meta/WhatsApp, Müşteriyle doğrudan sözleşme ilişkisine sahip olabilir ve yalnızca hizmetinin Otai ile birlikte çalışması nedeniyle Otai Alt Veri İşleyeni sayılmaz. Bir Alt Veri İşleyeni içeren Kısıtlı Aktarım 10. Bölüme tabidir.

Ek 4 – Taraf bilgileri

Veri İşleyen: Çallıoğlu İnşaat Turizm Sanayi ve Ticaret A.Ş. Sedir Mahallesi, 725. Sokak No: 2, Muratpaşa, Antalya, Türkiye Vergi dairesi / numarası: Antalya Kurumlar Vergi Dairesi / 2270065139 Gizlilik iletişim adresi: info@otai.app

Müşteri/Veri Sorumlusu: İlgili sipariş formunda veya Hizmet Sözleşmesinde belirtildiği şekildedir.