Kişisel Verilerin Korunması ve İşlenmesine İlişkin Veri İşleyen Sözleşmesi (DPA)

İşbu Veri İşleyen Sözleşmesi ("DPA"), Jet Transfer Bildirim Sistemi'ni işleten TechEsnaf ("Veri İşleyen", "Jet Transfer") ile UETDS bildirim hizmetinden yararlanan taşıma firması ("Veri Sorumlusu", "Müşteri") arasında, taraflar arasındaki Uygulama Kullanım Sözleşmesi / Hizmet Sözleşmesi'nin eki ve ayrılmaz bir parçası olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 12 uyarınca akdedilmiştir.

1. TANIMLAR

• Veri Sorumlusu: Yolcu ve şoför/personel kişisel verilerinin işleme amaçlarını ve vasıtalarını belirleyen, Jet Transfer hizmetinden yararlanan taşıma firmasını,
• Veri İşleyen: Veri Sorumlusu adına, onun talimatları doğrultusunda kişisel verileri işleyen TechEsnaf'i,
• Kişisel Veri: Yolcu ve sürücülere ait T.C. kimlik numarası, pasaport numarası, ad-soyad, koltuk numarası, sisteme yüklenen yolcu/araç listeleri ve belgeler (fotoğraf, PDF, Excel vb.), sefer bilgileri ve ilgili diğer verileri,
• Alt İşleyen: Veri İşleyen'in, işbu Sözleşme kapsamındaki işleme faaliyetlerinin bir kısmını gerçekleştirmesi için yetkilendirdiği üçüncü taraf hizmet sağlayıcıları (örn. Bakanlık web servisleri, OCR/yapay zeka hizmet sağlayıcısı, sunucu barındırma hizmeti)

ifade eder.

2. SÖZLEŞMENİN KONUSU VE KAPSAMI

İşbu DPA, Veri Sorumlusu'nun Jet Transfer Uygulaması aracılığıyla sisteme girdiği veya yüklediği kişisel verilerin, Karayolu Taşıma Yönetmeliği kapsamındaki UETDS bildirim yükümlülüğünün yerine getirilmesi amacıyla, Veri İşleyen tarafından Veri Sorumlusu adına işlenmesine ilişkin tarafların hak ve yükümlülüklerini düzenler. Veri İşleyen, işbu Sözleşme kapsamındaki verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda ve UETDS bildirim amacıyla sınırlı olarak işler; bu amacın dışında kullanamaz.

3. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ

• Kişisel verileri yalnızca Veri Sorumlusu'nun talimatları ve işbu Sözleşme'de belirtilen amaç doğrultusunda işlemek; talimat dışı işleme yalnızca kanuni bir zorunluluk halinde ve mümkünse önceden Veri Sorumlusu'na bilgi vererek yapılabilir.
• Kişisel verilerin gizliliğini korumak; verilere erişimi yalnızca görevi gereği erişmesi gereken personel ile sınırlamak ve bu personele gizlilik yükümlülüğü altına almak.
• KVKK m. 12 ve Kişisel Veri Güvenliği Rehberi'nde öngörülen idari ve teknik tedbirleri (erişim kontrolü, şifreleme, günlükleme/loglama, yetkilendirme matrisi vb.) almak.
• İşbu Sözleşme'nin 5. maddesinde belirtilenler dışında herhangi bir üçüncü tarafa veri aktarmamak; yeni bir Alt İşleyen kullanılacaksa Veri Sorumlusu'na önceden yazılı bilgi vermek ve itiraz hakkı tanımak.
• Bir veri ihlali (yetkisiz erişim, kayıp, sızıntı vb.) tespit edilmesi halinde, öğrenilmesini takiben gecikmeksizin ve her halükârda 72 saat içinde Veri Sorumlusu'nu yazılı olarak bilgilendirmek; ihlalin kapsamı, etkilenen veri kategorileri ve alınan/alınacak önlemler hakkında bilgi sağlamak.
• Veri Sorumlusu'nun, kendi ilgili kişilerine karşı KVKK m. 11 kapsamındaki taleplerini (bilgi talebi, silme, düzeltme vb.) yerine getirebilmesi için makul ölçüde destek ve bilgi sağlamak.
• Veri Sorumlusu'nun makul talebi üzerine, işbu Sözleşme kapsamındaki veri işleme faaliyetlerine ilişkin denetim ve bilgi talebine imkân tanımak.
• Sözleşme'nin sona ermesi halinde, Veri Sorumlusu'nun talebine göre kişisel verileri iade etmek veya (kanuni saklama yükümlülükleri hariç) silmek/imha etmek ve bunu yazılı olarak teyit etmek.

4. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

• Sisteme girilen veya belge/liste olarak yüklenen verilerin doğru, güncel ve hukuka uygun yollarla elde edilmiş olmasını sağlamak; bu verilerin içeriğinden ve hukuka uygunluğundan münhasıran sorumlu olmak.
• Kendi ilgili kişilerine (yolcu, sürücü, personel) karşı KVKK kapsamındaki Veri Sorumlusu yükümlülüklerini (aydınlatma yükümlülüğü, gerekli hallerde açık rıza temini vb.) bizzat yerine getirmek.
• Veri İşleyen'e verdiği talimatların KVKK ve ilgili mevzuata uygun olmasını sağlamak; hukuka aykırı bir talimat sonucu doğacak sorumluluk Veri Sorumlusu'na aittir.

5. ALT İŞLEYENLER

Veri Sorumlusu, işbu Sözleşme'yi imzalamakla, Veri İşleyen'in aşağıdaki Alt İşleyenleri kullanmasına ve bunlara sınırlı amaçla veri aktarmasına genel olarak izin vermiş sayılır:

• T.C. Ulaştırma ve Altyapı Bakanlığı (UETDS Web Servisleri) — yasal bildirim amacıyla, Türkiye içinde.
• Sunucu / barındırma hizmeti sağlayıcısı — Türkiye içinde yerleşik.
• OCR/Yapay Zeka hizmet sağlayıcısı — sisteme yüklenen belge ve listelerin metne dönüştürülmesi amacıyla Alt İşleyen olarak kullanılmaktadır. İşlem, Veri Sorumlusu'nun uygulamayı kullanımı ve talimatı (yükleme komutu) kapsamında, yalnızca işlemin gerçekleştiği an ile sınırlı olarak yapılır; veriler bu sağlayıcı nezdinde kalıcı olarak saklanmaz.

Veri İşleyen, yukarıdakiler dışında yeni bir Alt İşleyen ile çalışmayı planlaması halinde Veri Sorumlusu'nu makul bir süre önceden yazılı olarak bilgilendirir. Veri Sorumlusu'nun haklı bir gerekçeyle itiraz etmesi halinde taraflar iyi niyetle çözüm arar.

6. VERİ GÜVENLİĞİ TEDBİRLERİ

Veri İşleyen; erişim yetkilendirmesi, güçlü kimlik doğrulama, verilerin şifrelenmiş kanallar üzerinden iletimi, düzenli yedekleme, işlem kayıtlarının (log) tutulması ve personel gizlilik taahhütleri dâhil olmak üzere, işlenen verinin niteliğine uygun teknik ve idari güvenlik tedbirlerini uygulamayı taahhüt eder.

7. SORUMLULUK

Taraflardan her biri, kendi kusurundan kaynaklanan KVKK ihlallerinden bizzat sorumludur. Veri Sorumlusu'nun hatalı, eksik veya hukuka aykırı biçimde elde ettiği/temin ettiği veya sisteme yüklediği verilerden/belgelerden doğacak sorumluluk ve idari yaptırımlar Veri Sorumlusu'na aittir. Veri İşleyen'in işbu Sözleşme'ye ve talimatlara aykırı davranışından kaynaklanan zararlardan Veri İşleyen sorumludur.

8. SÖZLEŞMENİN SÜRESİ VE SONA ERMESİ

İşbu DPA, taraflar arasındaki ana Hizmet Sözleşmesi/Uygulama Kullanım Sözleşmesi yürürlükte olduğu sürece geçerlidir ve o sözleşmenin sona ermesiyle birlikte kendiliğinden sona erer. Sona erme halinde Veri İşleyen, madde 3'te belirtilen iade/imha yükümlülüğünü yerine getirir.

9. UYGULANACAK HUKUK VE YETKİLİ MAHKEME

İşbu Sözleşme Türkiye Cumhuriyeti kanunlarına tabidir. Sözleşme'den doğan uyuşmazlıklarda Bursa Mahkemeleri ve İcra Daireleri yetkilidir.

10. YÜRÜRLÜK

İşbu DPA, Veri Sorumlusu'nun Jet Transfer Uygulaması'na kaydolması/aboneliğe başlaması ile birlikte ana Hizmet Sözleşmesi'nin eki olarak yürürlüğe girer.

TechEsnaf — Jet Transfer