Veri İşleme Sözleşmesi (KVKK m.12)

VERİ İŞLEME SÖZLEŞMESİ (KVKK m.12) (Ek — NeviiHub Abonelik ve Hizmet Sözleşmesi'nin ayrılmaz parçasıdır) 1. TARAFLAR VE ROLLER Veri Sorumlusu: Hizmet'i satın alan Kurum. Veri İşleyen: HDR MÜHENDİSLİK MİM.İNŞ. ELEKTRİK ELEKTRONİK SAN.TİC.LTD.ŞTİ (info@neviihub.com). Kurum, Hizmet'e girdiği kişisel verilerin işlenme amaç ve vasıtalarını belirler; HDR MÜHENDİSLİK MİM.İNŞ. ELEKTRİK ELEKTRONİK SAN.TİC.LTD.ŞTİ bu verileri yalnızca Kurum adına ve Kurum'un talimatlarıyla işler. 2. İŞLEMENİN KONUSU Konu: ders programı, yoklama, telafi, ödev, gelişim, sözleşme, tahakkuk/tahsilat ve iletişim süreçlerinin yönetimi için yazılım hizmeti. İlgili kişi grupları: öğrenciler (18 yaşından küçükler dahil), veliler/vasiler, öğretmenler ve personel, aday başvurucular. Veri kategorileri: kimlik (ad-soyad; Kurum tercih ederse T.C. kimlik no, doğum tarihi), iletişim, eğitim kayıtları, finans (ücret, ödeme, IBAN — personel hakedişleri için), görsel (isteğe bağlı profil fotoğrafı), işlem güvenliği kayıtları, Kurum'un formlara eklediği diğer alanlar. Özel nitelikli veri: Hizmet özel nitelikli kişisel veri (sağlık, din, biyometrik vb.) için tasarlanmamıştır. Kurum bu tür verileri serbest metin alanlarına girmemeyi kabul eder; girmesi hâlinde KVKK m.6 yükümlülükleri Kurum'a aittir. Süre: abonelik süresi ve Ana Sözleşme m.10.4'teki dışa aktarma/silme süreleri. 3. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ a) Kişisel verileri yalnızca Kurum'un belgelenmiş talimatları (Hizmet ayarları ve kullanıcı işlemleri bu talimat sayılır) ve bu Sözleşme doğrultusunda işlemek; kendi amaçları için kullanmamak, satmamak. b) KVKK m.12/1 kapsamındaki teknik ve idari tedbirleri (Gizlilik, Bilgi Güvenliği ve Veri Saklama Esasları'nda sayılanlar) almak ve güncel tutmak. c) Verilere erişen personeli gizlilik yükümlülüğüne tabi kılmak ve erişimi "bilmesi gereken" ilkesiyle sınırlamak. d) Kişisel veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Kurum'a bildirmek; Kurum'un KVKK m.12/5 kapsamında Kurul'a (72 saat) ve ilgili kişilere bildirim yapabilmesi için gerekli bilgiyi sağlamak. e) İlgili kişilerin KVKK m.11 başvurularını Kurum'a yönlendirmek ve Kurum'un bu başvuruları yanıtlaması için makul teknik destek sağlamak. f) Sözleşme sona erdiğinde Ana Sözleşme m.10.4 uyarınca verileri iade etmek ve ardından silmek veya anonim hâle getirmek. g) Kurum'un makul talebi üzerine, yılda bir defayı aşmamak, önceden yazılı bildirimle ve ticari sırları korunarak bu Sözleşme'ye uyumu gösteren bilgi ve belgeleri sunmak. 4. ALT VERİ İŞLEYENLER Kurum, aşağıdaki alt işleyenlerin kullanılmasına genel onay verir. Liste değiştiğinde Kurum'a en az 15 gün önceden e-postayla bildirilir; Kurum makul gerekçeyle itiraz ederse ve uzlaşma sağlanamazsa aboneliğini iptal ederek kullanılmayan tam Dönem(ler) için orantılı iade alabilir. - Uygulama barındırma: Vercel Inc. (ABD; uygulama sunucuları Avrupa — Frankfurt bölgesi). - Veritabanı ve yedekleme: Supabase Inc. (ABD şirketi; veriler Avrupa Birliği — Frankfurt bölgesinde). - Giriş güvenliği: Cloudflare, Inc. (ABD; Turnstile doğrulaması) — web girişinde IP adresi ve tarayıcı sinyalleri. - İşlem e-postası: Hizmet'e tanımlı SMTP e-posta sağlayıcısı (davet, şifre sıfırlama, bildirim e-postaları). - Mobil anlık bildirim: Expo / 650 Industries Inc. (ABD) — yalnızca cihaz bildirim anahtarı ve bildirim metni. - Ödeme (yalnızca Kurum'un kendi tahsilatlarında ve ilgili özellik açıksa): Kurum'un seçtiği lisanslı ödeme kuruluşu. - SMS / WhatsApp (yalnızca Kurum ilgili kanalı açarsa): Twilio Inc. (ABD) ve/veya Meta Platforms (WhatsApp Business). - Yapay zekâ özellikleri (yalnızca Kurum kullanıcıları yapay zekâ asistanını veya yapay zekâ taslak özelliklerini kullandığında; otomatik iş akışları yapay zekâ sağlayıcısına veri göndermez): Anthropic PBC, Google LLC (Gemini), OpenAI OpCo LLC, Groq Inc., NVIDIA Corp., Cerebras Systems Inc., Cloudflare Inc. (Workers AI) (ABD) — kullanıcının sorusu ve sorunun yanıtlanması için gereken kayıt özetleri; sağlayıcıların bu verileri model eğitiminde kullanmadığı kurumsal API koşulları tercih edilir. - Yapay zekâ hafızası (yalnızca etkinleştirilmişse): Qdrant Solutions GmbH veya veritabanı içi vektör deposu — asistan konuşma özetlerinin vektör temsili. 5. YURT DIŞINA AKTARIM Yukarıdaki alt işleyenlerin bir kısmı yurt dışında bulunduğundan aktarım, KVKK m.9 uyarınca Kurul'ca ilan edilen standart sözleşmeler veya kanunda öngörülen diğer güvencelerle yapılır; standart sözleşmelerin imzalanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi gibi usul yükümlülükleri taraflarca yerine getirilir. Kurum, yapay zekâ, SMS ve WhatsApp özelliklerini kullanmayarak bu kanallar üzerinden yurt dışı aktarımı önleyebilir. 6. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ Kurum; ilgili kişileri aydınlatmak, gerekli açık rızaları almak (özellikle küçüklerin verileri için veli/vasi bilgilendirmesi), VERBİS kayıt yükümlülüğü varsa yerine getirmek, Hizmet'e yalnızca amaçla sınırlı ve ölçülü veri girmek ve Yetkili Kullanıcı yetkilerini doğru ayarlamakla yükümlüdür. 7. SORUMLULUK Bu Sözleşme'den doğan sorumluluk, Ana Sözleşme'nin "Sorumluluğun Sınırlandırılması" maddesine tabidir; kanunen sınırlandırılamayan hâller saklıdır. Bu Sözleşme ile Ana Sözleşme arasında kişisel verilere ilişkin çelişki olursa bu Sözleşme uygulanır.