Veri işleme sözleşmesi

1. Konu ve kapsam

Veri İşleyen, Abonenin son müşterilerine, çalışanlarına ve işletme kullanıcılarına ait kişisel verileri yalnızca Hizmetin (randevu, müşteri kaydı, adisyon, mesaj kuyruğu, raporlama vb.) sunulması amacıyla ve Abonenin bu sözleşme ile Hizmet içindeki işlemleri yoluyla verdiği talimatlar doğrultusunda işler.

• İlgili kişi grupları: son müşteriler, üyeler, çalışanlar, işletme kullanıcıları.
• Veri kategorileri: kimlik, iletişim, müşteri işlem (randevu, hizmet, adisyon, paket/üyelik, giriş kayıtları), iletişim izinleri, çalışan devam ve prim bilgileri, işlem güvenliği.
• Özel nitelikli veri: Abonenin açık rızaya dayanarak kaydettiği alerji/hassasiyet bilgileri.

2. Abonenin (veri sorumlusunun) yükümlülükleri

• Son müşterilerini KVKK m.10 uyarınca aydınlatmak. Hizmet, online randevu sayfasında Abonenin bilgileriyle üretilen bir müşteri aydınlatma metni sunar; Abone bu metnin doğruluğunu kontrol eder ve salonda da müşterilerini bilgilendirir.
• Özel nitelikli veriler (alerji, hassasiyet vb.) için müşterinin açık rızasını almak; rıza alınmadan bu verileri kaydetmemek.
• Ticari elektronik ileti (kampanya, doğum günü, tekrar ziyaret daveti) göndermeden önce müşterinin onayını almak, onayı Hizmete doğru kaydetmek, İleti Yönetim Sistemi (İYS) yükümlülüklerini yerine getirmek ve ret taleplerini işlemek.
• Gerekiyorsa Veri Sorumluları Siciline (VERBİS) kayıt olmak ve ilgili kişi başvurularını yanıtlamak.
• Kullanıcı yetkilerini işin gereğiyle sınırlı vermek ve giriş bilgilerinin gizliliğini sağlamak.

3. Veri İşleyenin yükümlülükleri

• Kişisel verileri Abonenin talimatı dışında, kendi amaçları için işlememek, satmamak ve reklam amacıyla kullanmamak.
• KVKK m.12 uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almak: işletmeler arası veri ayrımı, rol bazlı erişim, şifreli bağlantı (HTTPS), geri döndürülemez şifre özetleme, işlem kayıtları, yedekleme.
• Verilere erişen personelini gizlilik yükümlülüğüne tabi tutmak; destek amaçlı erişimi en az erişim ilkesiyle ve kayıt altında yapmak.
• Kişisel veri ihlalini öğrendiğinde Aboneyi gecikmeksizin ve en geç 24 saat içinde bilgilendirmek ve Abonenin Kurula 72 saat içinde bildirim yapabilmesi için gerekli bilgileri sağlamak.
• İlgili kişi başvurularının yanıtlanmasında Aboneye makul destek vermek; Veri İşleyene doğrudan gelen başvuruları Aboneye yönlendirmek.
• Hizmetin sona ermesinde verileri kullanım koşullarındaki süre içinde Aboneye dışa aktarma imkânı tanımak, ardından mevzuattan doğan saklama yükümlülükleri saklı kalmak kaydıyla silmek veya anonim hale getirmek.

4. Alt işleyenler ve yurt dışına aktarım

Abone, Veri İşleyenin Hizmeti sunmak için barındırma, veri tabanı, e-posta ve mesajlaşma altyapısı sağlayıcılarından yararlanmasına genel olarak izin verir. Güncel alt işleyenler: İsim Kayıt Bilişim (sunucu barındırma, veri tabanı ve sistem e-postası; Kocaeli, Türkiye). Veri İşleyen, alt işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler ve yeni bir alt işleyeni makul süre önce duyurur.

Kişisel verilerin yurt dışına aktarılması gerekirse KVKK m.9 ve ilgili yönetmelik uyarınca standart sözleşme imzalanması ve Kurula bildirim gibi güvenceler sağlanır.

5. Denetim

Abone, bu sözleşmeye uyumu doğrulamak için makul aralıklarla ve önceden yazılı bildirimle bilgi ve belge talep edebilir. Veri İşleyen, diğer abonelerin verilerinin gizliliğini ve sistem güvenliğini tehlikeye atmayacak ölçüde bu talepleri karşılar.

6. Süre

Bu sözleşme abonelik süresince yürürlüktedir; abonelik sona erse bile Veri İşleyenin elinde Aboneye ait veri bulunduğu sürece gizlilik ve güvenlik yükümlülükleri devam eder.