KVKK Aydınlatma Metni

KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA VE VERİ İŞLEME SÖZLEŞMESİ

TARAF BİLGİLERİ

KONU: İşbu sözleşme, SRC İç ve Dış Tic. Ltd. Şti. tarafından işletilen Xomage Türkiye web sitesinde iletişim formları, hekim başvuru formları, sunucu ve güvenlik logları, çerez/analitik sistemleri ve ticari elektronik ileti kayıtları kapsamında toplanan kişisel verilerin işlenmesine ilişkin tarafların hukuki statüsünü belirlemektedir. Sözleşme; Kişisel Verilerin Korunması Kanunu m.3 uyarınca veri sorumlusu ile veri işleyen arasındaki ilişkinin yalnızca yazılı talimatlara ve sözleşmedeki amaç sınırlarına bağlı olarak kurulduğunu ortaya koyar.

Taraflar, Kişisel Verilerin Korunması Kanunu m.4 hükümlerine uygun olarak kişisel verileri hukuka ve dürüstlük kurallarına uygun; doğru ve güncel; belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü; ilgili mevzuatta öngörülen veya işlenme amacı için gerekli olan süre kadar muhafaza edilecek şekilde işlemeyi taahhüt eder. Veri İşleyen, Kişisel Verilerin Korunması Kanunu m.12 uyarınca veri sorumlusuyla birlikte müşterek güvenlik yükümlülüğü kapsamında yalnızca yetkili olduğu verileri ve işbu sözleşmeyle belirlenen amaçlar için işlemeyi kabul etmiştir.

AÇIKLAMALAR

MADDE 1- SÖZLEŞMENİN KONUSU VE KAPSAMI:

İşbu sözleşmenin konusu, SRC İç ve Dış Tic. Ltd. Şti. (“Veri Sorumlusu”) tarafından işletilen Xomage Türkiye web sitesi üzerinden yürütülen iletişim talepleri, hekim başvuruları, form işlemleri, güvenlik kayıtları, analitik ve reklam ölçümleme faaliyetleri kapsamında kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, saklanması, açıklanması, aktarılması ve yok edilmesine ilişkin hukuki yükümlülüklerin netleştirilmesidir.

Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.3 tanımı uyarınca veri sorumlusu tarafından yetkilendirilen gerçek veya tüzel kişi hizmet sağlayıcıların, yalnızca Veri Sorumlusunun yazılı talimatları ve işbu sözleşme kapsamındaki amaçlarla sınırlı biçimde veri işlemesi için kurulmuştur. Taraflar, Kişisel Verilerin Korunması Kanunu m.4 uyarınca hukuka ve dürüstlük kurallarına uygunluk, verilerin doğru ve güncel tutulması, belirli, açık ve meşru amaçlarla işlenmesi; bağlantılı, sınırlı ve ölçülü işlenmesi ile ilgili mevzuatta öngörülen veya işlenme amacı için gerekli süre kadar muhafaza edilmesi ilkelerine uyacaktır.

MADDE 2- TARAFLARIN KİMLİK VE BİLGİLERİ:

Taraflar, işbu sözleşme kapsamında tebligatları yukarıdaki adreslere posta yoluyla; acil veri güvenliği ihlallerinde ise her iki tarafın bildirdiği elektronik kanallardan derhal iletecektir. Adres değişikliği durumunda taraflar, en geç [5] gün içinde yazılı bildirim yapacak; bildirim yapılmazsa eski adrese yapılan tebligat geçerli sayılacaktır.

MADDE 3- TARAF TANIMLARI VE ROL PAYLAŞIMI:

Veri Sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen; Xomage Türkiye web sitesinde veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraf olarak sözleşmedeki tüm hukuki kararları verir. Veri İşleyen, yalnızca Veri Sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi konumundadır ve kendi amaçları için veri işleyemez; ilgili kişiyle doğrudan pazarlama, reklam profili oluşturma veya benzeri başka bir işlem yapamaz.

Bu rol dağılımı, Kişisel Verilerin Korunması Kanunu m.3 kapsamında zorunlu bir sınırlamadır. Veri İşleyen, kendisine gelen ilgili kişi taleplerini, Kurum veya Kurul taleplerini, yetkili makemelerin istemlerini doğrudan karşılamak üzere kullanmak yerine, en geç [2] iş günü içinde Veri Sorumlusuna iletecek; cevap verilmesi gereken başvurularda, Kişisel Verilerin Korunması Kanunu m.10 ve ilgili kişilerle yapılacak iletişimde hukuki sorumluluğun tarafına ait olan bölümleri ayırt ederek hareket edecektir.

MADDE 4- İŞLENEN VERİ KATEGORİLERİ VE İŞLEME AMAÇLARI:

Veri İşleyen, yalnızca aşağıdaki kategorilere ve Ek-1’de listelenen amaçlara ilişkin verileri işlemeye yetkilidir: kimlik bilgileri (ad, soyad), iletişim bilgileri (telefon, e-posta), mesleki bilgiler (hekim unvanı, uzmanlık alanı, çalışılan sağlık kuruluşu ve başvuru kapsamında paylaşılan mesleki bilgiler), işlem güvenliği bilgileri (IP adresi, bağlantı kayıtları, güvenlik logları), dijital kullanım bilgileri (çerez tercihleri, site etkileşimleri, analitik sistemlerin topladığı bilgiler) ve talep bilgileri (iletişim ve başvuru formlarında paylaşılan açıklamalar).

Bu veriler; iletişim taleplerinin alınması ve yanıtlanması, hekim başvurularının değerlendirilmesi ve ilgili kişilerle iletişimin sağlanması, web sitesi güvenliğinin sağlanması ve kötüye kullanımın önlenmesi, hukuki yükümlülüklerin yerine getirilmesi ile ölçülen site performansı ve reklam etkinliğinin değerlendirilmesi amaçlarıyla işlenebilir. Her veri kategorisi için kullanılan hukuki sebep, Kişisel Verilerin Korunması Kanunu m.5/2(c) sözleşmeyle doğrudan ilgili olma; m.5/2(ç) hukuki yükümlülük; m.5/2(f) temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat; analitik ve reklam faaliyetleri için ise gerekli durumlarda m.5/1 açık rıza çerçevesinde belirlenmiş olup, Veri İşleyen bu sebeplerin dışında yeni bir işleme amacına karar veremez.

MADDE 5- AYDINLATMA VE İLGİLİ KİŞİ HAKLARI:

Veri Sorumlusu, Kişisel Verilerin Korunması Kanunu m.10 uyarınca ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliğini; verilerin hangi amaçla işleneceğini; verilerin kimlere ve hangi amaçla aktarılabileceğini; toplama yöntemi ve hukuki sebebi ile ilgili kişinin sahip olduğu hakları açıklamakla yükümlüdür. Veri İşleyen, bu aydınlatma metninin web sitesinde eksiksiz, erişilebilir ve güncel tutulması için gerekli teknik altyapıyı sağlayacak; metindeki adres, iletişim kanalı, saklama süresi veya alıcı listesi değişikliği talep edildiğinde değişiklikleri [5] gün içinde uygulayacaktır.

Veri İşleyen, ilgili kişilerin KVKK m.11 kapsamında işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını öğrenme, aktarılan üçüncü kişileri bilme, eksik veya yanlış verinin düzeltilmesini isteme, kanunda öngörülen şartlarda silinmesini veya yok edilmesini isteme; düzeltme ve silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhine sonuç ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarını karşılamak için Veri Sorumlusuna gerekli teknik desteği verecektir. Başvuru süresinde yanıt üretilebilmesi için Veri İşleyen, kendi sistemlerinde bulunan ilgili kişinin verilerine ilişkin sorgu, düzeltme ve silme işlemlerini [3] iş günü içinde tamamlayacak; yapılamayan işlem varsa sebeplerini yazılı bildirecektir.

MADDE 6- YURT DIŞINA AKTARIM VE ANALİTİK/REKLAM FAALİYETLERİ:

Kişisel verilerin yurt dışındaki barındırma, form yönetimi, analitik veya reklam hizmet sağlayıcılarına aktarılması hâlinde, taraflar Kişisel Verilerin Korunması Kanunu m.9 hükümlerine uygunluğu sağlamadan işlem tesis edemeyecektir. Yeterlilik kararı bulunan ülkeler dışında aktarım yapılması söz konusu ise; Kanunun 5 inci ve 6 ncı maddelerindeki şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânına sahip olması ile birlikte, Kurul tarafından onaylanan standart sözleşme, bağlayıcı şirket kuralları veya yazılı taahhüt gibi uygun güvencelerden birinin sağlanması zorunludur.

Google, Meta, hosting, CRM ve diğer yurt dışı hizmet sağlayıcılarına ilişkin veri aktarım mekanizmaları, alıcı kimlikleri, aktarılan veri kategorileri, aktarım amacı ve alınan teknik/idari önlemler Ek-2’de ayrı ayrı listelenecektir. Kurul tarafından standart sözleşme kullanılması gerekiyorsa bu sözleşme, imzalanmasından itibaren beş iş günü içinde ilgili tarafça Kuruma bildirilecektir. Yurt dışına aktarım uygunluğu tamamlanmadan Veri İşleyen, analitik ve reklam çerezlerini aktif konumda kullanmaya başlayamaz; bu duruma ilişkin ayarlar varsayılan olarak kapalı veya açık rıza talep eden bir yöntemle çalışacaktır.

MADDE 7- VERİ GÜVENLİĞİ, İHLAL BİLDİRİMİ VE DENETİM:

Veri Sorumlusu ve Veri İşleyen, Kişisel Verilerin Korunması Kanunu m.12 uyarınca kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. Veri İşleyen, Ek-3’te yer alan asgari güvenlik standartlarına uyacak; sistemlere erişim yetkilerini en düşük yetki ilkesine göre sınırlayacak, kimlik doğrulama ve oturum güvenliği sağlayacak, verileri şifreli depolayacak, yedekleme ve felaket kurtarma planı uygulayacak, günlük güvenlik logları tutacaktır.

Veri Sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde bu Kanunda belirtilen tedbirlerin alınması hususunda Veri İşleyenle müştereken sorumlu olduğundan; taraflar arası sorumluluk paylaşımını, ihlalin tarafına bağlı kusur derecesine göre belirleyecek ve kusuru nedeniyle doğrudan zararların tarafına ait olduğunu kabul etmiş olacaklardır. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, ihlal fark edildiği anda Veri İşleyen, gecikmeksizin ve en geç [24] saat içinde Veri Sorumlusuna yazılı bildirim yapacak; ihlalin kapsamı, etkilenen veri kategorileri, alınacak koruyucu tedbirler ve üçüncü kişi durumlarını bildirecektir. Veri Sorumlusu ise Kanun gereği ilgilisine ve Kurula bildirim yükümlülüğünü yerine getirecek; taraflar bu bildirime ilişkin masrafları, sorumluluğun tarafına göre paylaşacaktır.

MADDE 8- SAKLAMA SÜRELERİ VE İMHA:

Veri İşleyen, yalnızca aşağıdaki süreler boyunca ve ilgili işlem amacına uygun şekilde veri saklayacaktır: iletişim formu verileri talebin sonuçlandırılmasından itibaren 1 yıl; hekim başvurularında kimlik, iletişim ve mesleki bilgiler son profesyonel etkileşimden itibaren 2 yıl; web sitesi güvenlik ve erişim kayıtları kayıt tarihinden itibaren 1 yıl; Google Analytics kullanıcı ve olay düzeyli veriler yapılandırılan ayara göre en fazla 14 ay; reklam ve pazarlama çerezleri ilgili çerezin açıklanan saklama süresi ve geçerli işleme şartları; ticari elektronik ileti onay kayıtları onayın geçerliliğinin sona erdiği tarihten itibaren 3 yıl, diğer ticari elektronik ileti kayıtları ise kayıt tarihinden itibaren 3 yıl.

İlgili mevzuatın daha uzun süre saklamayı zorunlu kıldığı veya hukuki uyuşmazlık nedeniyle muhafazanın gerektiği hâllerde veriler, yalnızca o hukuki gereklilik devam ettiği süre boyunca saklanabilir; bu istisnanın kapsamı, veri kategorisi ve sona erme koşulu taraflarca yazılı olarak belirlenecektir. Saklama süresinin dolması veya işlenmesini gerektiren şartların ortadan kalkması hâlinde, veriler Kişisel Verilerin Korunması Kanunu m.7 uyarınca silinir, yok edilir veya anonim hâle getirilir. Taraflar, imha işlemlerini kayıt altına alır; silme, yok etme veya anonimleştirme işlemlerine ilişkin kayıtları ilgili mevzuat uyarınca en az 3 yıl saklar.

MADDE 9- ALT İŞLEYİCİLER VE ÜÇÜNCÜ KİŞİLERE AKTARIM:

Veri İşleyen, Veri Sorumlusunun önceden yazılı onayı olmadan kişisel verileri başka bir gerçek veya tüzel kişiye aktaramaz; kendi alt hizmet sağlayıcılarını (“Alt İşleyici”) kullanmak istediğinde, alıcının kimliğini, yerleşim yeri ülkesini, işleme amacını ve veri kategorilerini [15] gün önce yazılı bildirecektir. Onay verilmesi hâlinde, Veri İşleyen bu Alt İşleyicilerle aynı yükümlülükleri içeren yazılı sözleşme yapacak; veri güvenliği, yetkisiz kullanım yasağı, denetim ve ihlal bildirimi hususlarını sözleşmeye devrederek, doğan zararlardan kendi sorumlu olduğunu kabul edecektir.

Kişisel verilerin aktarılmasına ilişkin yükümlülükler, Kişisel Verilerin Korunması Kanunu m.8 uyarınca ilgili kişinin açık rızası olmaksızın aktarılamayacağı kuralı çerçevesinde uygulanır; ancak Kanunun 5 inci maddesinin ikinci fıkrasında öngörülen şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın aktarım mümkündür. Veri İşleyen, aktarımı bu şartlara uygun olmayan durumlarda gerçekleştirmeyecektir.

MADDE 10- SÜRE, FESİH VE SONA ERMEDEN SONRAKİ YÜKÜMLÜLÜKLER:

İşbu sözleşme, imza tarihinde yürürlüğe girer ve [1] yıl süreyle geçerli olur; sürenin dolmasından önce taraflardan herhangi biri, süre bitiminden [30] gün önce karşı tarafa bildirimde bulunmadığı takdirde, sözleşme aynı koşullarla otomatik olarak [1] yıl daha yenilenir. Herhangi bir taraf, diğer tarafın sözleşme yükümlülüklerinden önemli ölçüde sapması hâlinde yazılı ihtar verir ve bu sapma ihtardan itibaren [15] gün içinde giderilmezse; ayrıca veri güvenliği ihlali, hukuka aykırı işlem, ilgili kişi haklarına zarar verme, Kanuna veya Kurul kararına aykırı davranış durumunda taraflar önceden bildirimde bulunmak zorunda olmaksızın sözleşmeyi derhâl feshetme hakkını haizdir.

Sözleşmenin herhangi bir sebeple sona ermesi hâlinde Veri İşleyen, [10] gün içinde tüm kişisel verileri ve kopyalarını Veri Sorumlusuna devreder veya Veri Sorumlusunun yazılı talimatı doğrultusunda siler/yok eder; işlem sonucu bir imha sertifikası verir. Gizlilik, mesleki sırlar, veri güvenliği ve işlenmiş verilerin kullanılmamasına ilişkin yükümlülükler sözleşmenin sona ermesinden sonra da [3] yıl boyunca devam eder; ilgili mevzuatın daha uzun süre öngördüğü hallerde bu yükümlülükler o süreye kadar yürürlükte kalır.

MADDE 11- CEZAİ ŞART, TAZMİNAT VE YAPTIRIM:

Veri İşleyen, sözleşmeye aykırı işlem yapması, veri güvenliği ihlali yaratacak şekilde yükümlülüklerini yerine getirmemesi, yurt dışına aktarım uygunluğunu sağlamadan işlem başlatması veya ilgili kişinin haklarına zarar vermesi hâlinde, Veri Sorumlusunun uğradığı doğrudan maddi ve manevi zararı; idari para cezası yükümlülüğünün taraflar arası kusur oranına göre paylaşılması, Kurum/Kurul kararlarına uyulmamasından doğan mali yükümlülükler ile üçüncü kişi davalarına karşı savunma masraflarını tazmin eder. Taraflar, tek bir ihlalde [Tutar_1] TL’den başlayarak tekrarı hâlinde her ihlal için [Tutar_2] TL’ye kadar cezai şartın doğacağını kabul etmiş sayılır; bu tutarlar, ispatı gereken zararlardan yüksekse fazlasının mahkemece takdiri suretiyle indirilebileceği hususunu bilerek kabul eder.

Veri İşleyen, Veri Sorumlusunun Kanun veya Kurul kararlarına aykırı konumda kalmasına neden olması hâlinde, Veri Sorumlusunun üçüncü kişilere karşı ileri süreceği iddialara ilişkin tüm makul avukatlık, bilirkişilik ve icra masraflarını karşılar. Bu hüküm, tarafların Kanundan doğan tazminat taleplerini, Kuruma başvuru haklarını ve ilgili kişilerin kendi talep yollarını sınırlamaz; sözleşmedeki yaptırımlar yasal sorumluluğun yerine değil, ek bir güvence olarak uygulanır.

MADDE 12- GİZLİLİK, SÖZLEŞME İLGİLİSİ DANIŞMAN VE İÇ DENETİM:

Taraflar, işbu sözleşme kapsamında edindikleri kişisel verileri, ticari sırları, teknik yapıyı, güvenlik ölçümlerini ve Veri Sorumlusunun iç denetim sonuçlarını üçüncü kişilere açıklamaz; yalnızca Kanun gereği yetkili makemelere bildirim, ilgili kişi talebine cevap verme veya hukuki süreçlerde zorunlu olan hallerde paylaşır. Bu paylaşımlar, kapsamı en dar olacak şekilde yapılır ve mümkün olduğunda kimlik belirleyici olmayan verilere indirgenir.

Veri Sorumlusu, yılda en az [1] kez veya olağanüstü risk ortaya çıkması hâlinde Veri İşlenenin uyum durumunu denetleme veya bağımsız bir denetime tabi tutma hakkını haizdir. Denetim, makul süre ve kapsamda yapılır; taraflar, denetim raporunun içeriğini gizli tutar ve yalnızca iyileştirme önerilerinin uygulanması için kullanır.

MADDE 13- YETKİLİ MAHKEME VE UYGULANACAK HUKUK:

İşbu sözleşmeden doğan uyuşmazlıklarda, taraflar arası ticari ilişki ve sözleşmenin niteliğine göre yetkili mahkemeler uygulanır; bu konuda taraflarca açık bir yer seçimi yapılmamışsa [Yetkili Mahkeme Şehri] Mahkemeleri ve İcra Daireleri yetkilidir. Taraflar, bu maddenin genel hükümlere aykırı olarak geçerli sayılmaması hâlinde yasal yetki kurallarının uygulanacağını kabul etmiştir.

Uyuşmazlık çözümünde, taraflar öncelikle [15] gün içinde yazılı görüşerek iyi niyetle çözümü arar; bu sürenin dolmasıyla veya yazılı talebin reddi hâlinde dava yoluna başvurulabilir. KVKK kapsamında ilgili kişilerin Kuruma yapabileceği başvurular ve Kurul kararlarına karşı yasal yollar, tarafların aralarında düzenleyeceği özel hükümlerle sınırlandırılamaz; bu nedenle taraflar, bu maddenin yargı yolu veya Kurum başvurusunu engelleme anlamına gelmediğini kabul eder.

MADDE 14- GENEL HÜKÜMLER:

Sözleşmenin herhangi bir hükmünün hukuka aykırı, geçersiz veya uygulanamaz bulunması hâlinde diğer hükümler yürürlükte kalır; taraflar geçersiz hükmün yerini en yakın ve işlevsel hukuki karşılığıyla ikame etme yükümlülüğünü üstlenir. Tarafların birbirine vereceği bildirimler, sözleşmedeki adreslere elden, iadeli taahhütlü posta veya kayıt/kanıt sağlayacak elektronik yöntemle yapılır; acil veri ihlallerinde e-posta bildirimi geçerlidir ancak [1] iş günü içinde yazılı teyit eklenir.

İşbu sözleşme, tarafların önceki yazılı anlaşmaları, aydınlatma metinleri, form şartları ve teknik dokümanlarla birlikte yorumlanır; bir çelişki hâlinde, kişisel veri güvenliği yükümlülükleri açısından daha koruyucu hüküm uygulanır. Sözleşmenin ekleri asıl metnin ayrılmaz parçasıdır; taraflar [2] asıl nüsha olarak imzalar ve e-arsiv kaydı tutar.

DELİLLER

1. Ek-1 – İşlenen Kişisel Veri Kategorileri, İşleme Amaçları ve Alıcı Grupları Listesi: Kimlik, iletişim, mesleki, güvenlik, dijital kullanım ve talep bilgilerini; ilgili veri kategorisi için kullanılan amaç, hukuki sebep ve alıcı grubunu içerir. Hekim başvurularında “sağlık” verisi kapsamına giren özel nitelikli veri işleniyor ise bu alan ayrıca işaretlenerek Kişisel Verilerin Korunması Kanunu m.6 gereği açık rıza veya Kanunda belirtilen istisna şartlarının hangi gerekçeye dayandığı açıklanır.

1. Ek-2 – Yurt Dışına Veri Aktarım Uygunluk Matrisi: Google, Meta, hosting, CRM ve diğer yurt dışı hizmet sağlayıcıları için alıcı unvanı, ülke, aktarılan veri kategorileri, aktarım amacı, hukuki dayanak, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, yazılı taahhüt) ve ilgili kişinin haklarını kullanma imkânına ilişkin açıklama bulunur. Kişisel Verilerin Korunması Kanunu m.9 uyarınca, yeterlilik kararının bulunmaması hâlinde kullanılacak güvence yöntemi burada netleştirilir; standart sözleşme varsa Kuruma bildirim tarihi de eklenir.

1. Ek-3 – Teknik ve İdari Güvenlik Tedbirleri: Erişim kontrolü, rol bazlı yetkilendirme, kimlik doğrulama, şifreleme, loglama, yedekleme, felaket kurtarma, cihaz ve uç nokta güvenliği, çalışan eğitimleri, ihlal bildirim prosedürü ve denetim periyodu listelenir. Bu ek, KVKK m.12 kapsamında Veri Sorumlusu ile Veri İşleyen arasında müştereken alınacak tedbirlerin somutlaştırılmasını sağlar; eksik bırakılması hâlinde sözleşme kapsamındaki güvenlik yükümlülükleri belirsiz sayılır.

1. Ek-4 – İlgili Kişi Başvuru ve İmha Prosedürü: Veri Sorumlusuna gelen KVKK m.11 başvurularının akışı, Veri İşlenenin [3] iş günü içinde veri sorgusu, düzeltme ve silme işlemini tamamlama taahhüdü; saklama süresi sona eren verilerin silinme/yok etme yöntemleri ve 3 yıl tutulacak imha kayıtlarının formatı tanımlanır. Ayrıca ihlalin tespit edilmesinden itibaren [24] saat içinde yapılacak bildirim şablonu bu ekte yer alır.

1. Ek-5 – Alt İşleyici Onay Formu: Veri İşlenenin yeni bir alt hizmet sağlayıcı kullanması hâlinde doldurulacak form; alıcı kimliği, ülke, veri kategorisi, amaç, aktarım şekli, uygun güvenceler ve işbu sözleşmenin devredilecek hükümlerini içerir. Bu formun imzalanmadan önce Veri Sorumlusunun yazılı onayı alınmadıkça yeni alt işleyiciye veri aktarılamaz.

HUKUKİ NEDENLER

İşbu sözleşme; 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili yönetmelikler, Kurul tarafından ilan edilen standartlar ve sair yasal nedenler hükümlerine göre yorumlanır. Taraflar, kişisel verilerin hukuka ve dürüstlük kurallarına uygun; doğru ve güncel; belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü; ilgili mevzuatta öngörülen veya işlenme amacı için gerekli olan süre kadar muhafaza edilecek şekilde işlenmesini taahhüt eder. Kişisel Verilerin Korunması Kanunu m.10 uyarınca veri sorumlusu ve varsa temsilcisinin kimliği, verilerin işlenme amacı, aktarımın kapsamı ve yöntemi, toplamanın hukuki sebebi ile ilgili kişinin hakları; web sitesinde güncel, eksiksiz ve erişilebilir biçimde açıklanır.

Yurt dışına aktarım gerektiren analitik, reklam, barındırma veya form yönetimi hizmetlerinde taraflar; Kişisel Verilerin Korunması Kanunu m.9 kapsamındaki yeterlilik, uygun güvence, standart sözleşme, bağlayıcı şirket kuralları veya yazılı taahhüt şartlarını sağlanmadan işlem başlatmaz. Kurul tarafından onaylanan standart sözleşmenin kullanılması hâlinde imzalanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır; bu yükümlülüğün yerine getirilmemesi nedeniyle doğan hukuki ve mali sorumluluk, ihlale sebebiyet veren tarafa aittir. Uyuşmazlıklarda, tarafların yerleşim yeri veya ticari merkezinin bulunmadığı bir il için yer seçimi yapılmadıkça [Yetkili Mahkeme Şehri] Mahkemeleri ve İcra Daireleri yetkilidir; kişisel veri işleyicileri arasındaki uyuşmazlıkta taraflar, dava açılmadan önce [15] gün süreyle yazılı olarak iyi niyetli çözüm yolunu kullanır.

SONUÇ VE İSTEM

1. Yürürlük: İşbu sözleşme, [Tarih_1] tarihinde iki tarafın yetkili temsilcileri tarafından imzalanmasını müteakip yürürlüğe girer ve her bir fâilen yükümlülükleri imza tarihi itibarıyla başlar. Taraflar, aydınlatma metninin son güncelleme tarihini [Tarih_2] olarak sözleşme ekinde tespit eder; bu tarihten sonra web sitesindeki veri işleme faaliyeti, kapsam veya alıcı grubunda değişiklik yapıldığında taraflar değişikliği [5] gün içinde yazılı olarak birbirine bildirir.

1. Süre ve yenileme: Sözleşme [1] yıl süreyle geçerlidir; sürenin sona ermesinden önce [30] gün içinde fesh bildirimi yapılmazsa aynı şartlarla [1] yıl için kendiliğinden uzar. Taraflardan biri, karşı tarafın sözleşmeye veya kanuna aykırı davranışını önelsiz süre devam eden veri ihlali, hukuka aykırı aktarım ya da Kurul kararına uymama hâlleri dışında giderilebilir bulduğu takdirde [15] gün süreli yazılı ihtar verir; ihlalin ağırlığı ve niteliği bu bekleme yükümlülüğünü ortadan kaldırır.

1. İmza nüshası: İşbu sözleşme, iki asıl nüsha olarak düzenlenmiş olup tarafların elinde birer asıl bulunur; ekler sözleşmenin ayrılmaz parçasıdır. Taraflar, elektronik arşiv kopyasını hukuka uygun ve delil gücünü koruyacak biçimde tutar; ıslak imza ile e-imza birlikte kullanılacağı hâllerde imza türü [İmza Türü] olarak belirlenir.

İMZA

VERİ SORUMLUSU

SRC İç ve Dış Tic. Ltd. Şti.

[Ad Soyad_1]

[Unvan_1]

Tarih: [Tarih_3]

VERİ İŞLEYEN / HİZMET SAĞLAYICI

[Hizmet Sağlayıcı Unvanı veya Ad Soyadı]

[Ad Soyad_2]

[Unvan_2]

Tarih: [Tarih_4]