Veri İşleme Sözleşmesi

Bu sözleşme, Duyumco hizmetini kullanan işitme merkezi ("Veri Sorumlusu" veya "Merkez") ile Duyumco Yazılım A.Ş. ("Veri İşleyen" veya "Duyumco") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesi uyarınca Merkez adına işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme Kullanım Koşulları'nın ayrılmaz ekidir; Merkez'in üyelik sırasında onay vermesi veya hizmeti kullanmaya başlamasıyla yürürlüğe girer.

1. Konu, amaç ve süre

• Veri İşleyen, Merkez verilerini yalnızca hizmetin sunulması amacıyla işler: kayıtların saklanması, görüntülenmesi, raporlanması ve yedeklenmesi, Merkez'in talimatıyla mesaj gönderilmesi ve teknik destek.
• Sözleşme abonelik süresince yürürlükte kalır; 8. maddedeki silme yükümlülükleri abonelik sona erdikten sonra da geçerlidir.

2. İşlenen veriler ve ilgili kişiler

Sağlık verileri KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veridir; Ek-1'deki tedbirlerle korunur ve yalnızca yetkili kullanıcıların erişimine açıktır.

3. Veri Sorumlusunun yükümlülükleri

Merkez:

• hastalarını ve çalışanlarını KVKK'nın 10. maddesi uyarınca aydınlatır; WhatsApp ile bilgilendirme, kampanya ve kutlama mesajları gibi gereken hâllerde açık rızalarını alır ve panelde işaretler;
• işlemenin hukuka uygun bir sebebe dayanmasından ve girdiği verilerin doğru ve güncel olmasından sorumludur;
• Veri Sorumluları Siciline (VERBİS) kaydolma ve ticari iletiler için İleti Yönetim Sistemine (İYS) kayıt yükümlülüklerini yerine getirir;
• kullanıcı hesaplarını ve yetkilerini işin gerektirdiği ölçüde tanımlar, ayrılan çalışanların hesaplarını kapatır;
• Veri İşleyene yalnızca hukuka uygun talimat verir.

4. Veri İşleyenin yükümlülükleri

Veri İşleyen:

• Merkez verilerini Merkez'in talimatları ve bu sözleşme dışında işlemez, kendi amaçları için kullanmaz, satmaz ve üçüncü kişilere açıklamaz;
• verilere erişebilen çalışanlarına gizlilik yükümlülüğü getirir ve erişimi işin gerektirdiği kişilerle sınırlar;
• KVKK'nın 12. maddesine ve Kurul kararlarına uygun olarak Ek-1'deki teknik ve idari tedbirleri alır ve güncel tutar;
• Merkez verilerine destek amacıyla yalnızca Merkez'in talebi veya onayıyla erişir; bu erişim Merkez'in işlem geçmişine kaydedilir;
• yetkili bir kurumdan Merkez verilerine ilişkin talep alırsa, hukuken yasaklanmadıkça Merkez'i bilgilendirir.

5. Alt veri işleyenler

Merkez, Ek-2'de listelenen alt veri işleyenlerin kullanılmasına onay verir. Veri İşleyen yeni bir alt işleyen eklemeden en az 15 gün önce Merkez'i bilgilendirir; Merkez haklı bir sebeple itiraz eder ve uzlaşma sağlanamazsa sözleşmeyi feshedebilir. Veri İşleyen, alt işleyenlerine bu sözleşmedekinden daha az koruyucu olmayan yükümlülükler yükler.

6. Yurt dışına aktarım

Merkez verileri Avrupa Birliği'ndeki veri merkezlerinde saklanır. Altyapı sağlayıcısının yurt dışında yerleşik olmasından kaynaklanan aktarımlar KVKK'nın 9. maddesine uygun olarak yapılır. Merkez'in kendi bağladığı WhatsApp gibi yurt dışı servislere yapılan aktarımlar için gereken açık rızanın alınması Merkez'in sorumluluğundadır; panel, açık rızası işaretlenmemiş hastalara WhatsApp mesajı gönderilmesini engeller.

7. İlgili kişi başvuruları ve veri ihlali

• Veri İşleyen, Merkez'in ilgili kişi başvurularını yanıtlayabilmesi için kayıt görüntüleme, düzeltme, silme ve dışa aktarma araçları sunar; kendisine doğrudan ulaşan başvuruları gecikmeksizin Merkez'e iletir.
• Veri İşleyen, Merkez verilerinin kanuna aykırı olarak başkaları tarafından elde edildiğini öğrenirse, Merkez'in KVKK'nın 12. maddesinin 5. fıkrası uyarınca Kurul'a 72 saat içinde bildirim yapabilmesi için durumu gecikmeksizin ve en geç 24 saat içinde Merkez'e bildirir; ihlalin kapsamı, etkilenen kayıtlar ve alınan önlemler hakkında bilgi verir.

8. Sözleşmenin sona ermesi

Abonelik sona erdiğinde Merkez, 30 gün boyunca verilerini Ayarlar bölümünden dışa aktarabilir. Bu sürenin sonunda veya Merkez'in yazılı talebi üzerine Merkez verileri canlı sistemden silinir; yedeklerdeki kopyalar en geç 14 gün içinde kendiliğinden silinir. Veri İşleyenin kanunen saklamakla yükümlü olduğu fatura ve sözleşme kayıtları bu sürelerle sınırlı değildir.

9. Denetim ve sorumluluk

• Veri İşleyen, bu sözleşmeye uyumu gösteren bilgi ve belgeleri Merkez'in makul talebi üzerine sağlar.
• Taraflar, KVKK'nın 12. maddesinin 2. fıkrası uyarınca veri güvenliği tedbirlerinin alınmasından müştereken sorumludur; her taraf kendi kusurundan doğan zarardan sorumludur.

Ek-1: Teknik ve idari tedbirler

• Şifreli bağlantı: Tüm trafik HTTPS (TLS) ile şifrelenir; şifresiz bağlantılar kendiliğinden HTTPS'e yönlendirilir.
• Saklama: Veritabanı, dosyalar ve yedekler altyapı sağlayıcısının Avrupa Birliği yargı bölgesindeki depolarında şifreli olarak saklanır.
• Merkezlerin ayrıştırılması: Her kayıt bir merkeze bağlıdır; bir merkezin kullanıcıları başka bir merkezin verisine erişemez.
• Yetkilendirme: Merkez sahibi, şube yöneticisi, odyolog, danışma ve muhasebe rolleri modül bazında okuma ve yazma yetkisiyle sınırlandırılır.
• Kimlik doğrulama: Şifreler scrypt ile tuzlanıp özetlenir; oturum çerezleri HttpOnly, Secure ve SameSite işaretlidir; giriş ve şifre sıfırlama denemeleri sınırlandırılır.
• İşlem kaydı: Hasta, satış, ödeme ve ayar işlemleri ile destek amaçlı erişimler kullanıcı adı ve zamanla kaydedilir.
• Yedekleme: Veritabanı her gün otomatik yedeklenir; yedekler 14 gün saklanır.
• Tarayıcı güvenliği: İçerik güvenliği politikası (CSP) ve güvenlik başlıkları kullanılır; panel başka sitelerde çerçeve içinde açılamaz.
• Silme: Silinen hasta kaydıyla birlikte o hastaya yüklenen belgeler de depodan silinir.
• Mesaj izinleri: WhatsApp mesajları yalnızca açık rızası, kampanya ve kutlama mesajları yalnızca ticari ileti onayı işaretli hastalara gönderilir.
• Personel: Veri İşleyen çalışanları gizlilik taahhüdü altındadır; erişim yetkileri işin gerektirdiği kişilerle sınırlıdır ve görev değişikliğinde kaldırılır.

Ek-2: Alt veri işleyenler

Merkez'in kendi hesabıyla bağladığı NetGSM (SMS), Meta WhatsApp Cloud API, ÜTS ve e-Fatura entegratörü gibi hizmetler Merkez'in kendi veri işleyenleridir; Duyumco bu servislere yalnızca Merkez'in tanımladığı ayarlar ve talimatlar doğrultusunda veri iletir.