Veri işleme sözleşmesi

Bu sözleşme, uniHome hizmetini kullanan site veya apartman yönetimi ya da yönetim firması (“Veri Sorumlusu”) ile UNICAM KURUMSAL GÜVENLİK TEKN. SAN. VE TİC. LTD. ŞTİ. (“Veri İşleyen”) arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (“KVKK”) 12. maddesi uyarınca Veri İşleyen'in Veri Sorumlusu adına yürüttüğü işleme faaliyetini ve kişisel verilerin güvenliğine ilişkin yükümlülükleri düzenler. KVKK md. 12/2 uyarınca taraflar, veri güvenliği tedbirlerinin alınmasından ilgili kişilere karşı birlikte sorumludur; iç ilişkide her taraf kendi yükümlülüğünün ihlalinden doğan zarardan sorumludur.

İlgili kişiler: Kat malikleri, kiracılar ve aile üyeleri, site yöneticileri ve kurul üyeleri, site personeli, ziyaretçiler, kuryeler ve tedarikçi temsilcileri. Veri kategorileri: Kimlik, iletişim, bağımsız bölüm, finans, kapı ve ziyaretçi, kamera izleme kaydı, talep içerikleri, toplantı, personel ve işlem güvenliği verileri; acil durum çağrısında sağlık bilgisi ve bordroda engellilik derecesi (özel nitelikli). Amaç: Aidat, tahsilat, kapı güvenliği, toplantı, bakım, personel ve iletişim hizmetlerinin sunulması. Süre: Lisans süresi ve aşağıdaki sona erme hükümleri.

Veri İşleyen; uniHome hesaplarının giriş ve güvenlik kayıtları, müşteri firmaların lisans ve sözleşme kayıtları, destek yazışmaları ve 5651 sayılı Kanun kapsamındaki trafik bilgisi bakımından kendisi veri sorumlusudur; bu veriler bu sözleşmenin değil KVKK aydınlatma metninin konusudur.

• Veri İşleyen, verileri yalnız Veri Sorumlusunun belgelenmiş talimatı ve hizmetin sunulması için işler; kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz. Hizmetin ayarları ve bu sözleşme Veri Sorumlusunun talimatıdır.
• İsteğe bağlı özellikler (yapay zekâ, ses tanıma, kamera, açık bankacılık, e-fatura, WhatsApp) yalnız Veri Sorumlusu site ayarlarından açtığında çalışır; açma kararı Veri Sorumlusunun talimatı sayılır.
• Veri İşleyen, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu gecikmeksizin bilgilendirir ve aykırılık giderilene kadar o talimatı uygulamayabilir.
• Verilere erişen çalışanlar yazılı gizlilik yükümlülüğü altındadır; bu yükümlülük görevden ayrıldıktan sonra da sürer (KVKK md. 12/4). Erişim görev gereğiyle sınırlıdır. Platform yöneticilerinin işlemleri gerekçeli olarak değiştirilemez denetim kaydına yazılır.
• Veri Sorumlusu, verilerin hukuka uygun toplanmasından, ilgili kişilerin aydınlatılmasından (kamera ve ziyaretçi alanları için aydınlatma levhası dahil), gerekli açık rızaların alınmasından ve Veri Sorumluları Siciline kayıt yükümlülüğünden sorumludur.

Veri İşleyen, KVKK md. 12/1 uyarınca ve Kişisel Verileri Koruma Kurulu'nun Kişisel Veri Güvenliği Rehberi esas alınarak uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alır; başlıcaları:

• Tüm dış bağlantılar ve sunucu içindeki servisler arası bağlantılar şifrelidir (TLS); veritabanında satır düzeyinde erişim kuralları uygulanır, saha rolleri borç ve sakin iletişim bilgisini görmez.
• Şifreler bcrypt ile saklanır; ödeme ve entegrasyon anahtarları AES-256 ile şifreli kasada tutulur; kart bilgileri Veri İşleyen tarafından işlenmez.
• Platform yöneticileri için iki adımlı doğrulama zorunludur; hassas platform işlemleri yeniden doğrulama ister.
• Yönetici işlemleri denetim kaydına yazılır; kişisel alanlar 2 yıl sonra, hesabı silinen kişininkiler hemen maskelenir. Kişisel verilerin toplu okunması ve dışa aktarılması erişim izine yazılır.
• Dosyalara yalnız en çok 15 dakika geçerli imzalı bağlantılarla erişilir.
• Saklama süresi dolan kayıtlar ve fotoğraf dosyaları zamanlanmış işlerle otomatik olarak silinir veya maskelenir.
• Veritabanı ve dosyalar her gün yedeklenir; sunucuda en yeni 14 kopya tutulur. Sunucu dışı kopya henüz tutulmamaktadır; devreye alınması alt işleyen değişikliği olarak bildirilir.

Tedbirler teknolojik gelişmelere göre güncellenir; güvenlik düzeyini düşüren bir değişiklik yapılmaz.

Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel olarak izin verir. Veri İşleyen, alt işleyenlere yazılı olarak bu sözleşmedekilerle aynı nitelikte veri koruma yükümlülükleri yükler ve alt işleyenin bu yükümlülüklere uymamasından Veri Sorumlusuna karşı kendi fiili gibi sorumludur. Yeni bir alt işleyen veya mevcut birinin işleme yerinin değişmesi, yönetim paneli veya e-posta ile en az 15 gün önceden bildirilir; Veri Sorumlusu bu süre içinde gerekçeli olarak itiraz edebilir. İtiraz giderilemezse Veri Sorumlusu, ilgili özelliği kapatabilir ya da sözleşmeyi değişikliğin yürürlüğünden önce ek bedel ödemeden feshedebilir. Hizmetin güvenliği veya sürekliliği için gecikmesi sakıncalı bir değişiklikte bildirim değişiklikle eş zamanlı yapılır; itiraz hakkı aynı şekilde saklıdır.

• Hostinger International Ltd.

  Sunucu barındırma: veritabanı, dosya deposu, kimlik doğrulama, uygulama ve WhatsApp asistanı iş akışı sunucusu ile sunucu üzerindeki yedekler (sunucuyu uniHome yönetir)

  Veri konumu: Frankfurt, Almanya (AB)

• Expo (650 Industries, Inc.)

  Mobil anlık bildirimlerin iletilmesi (Apple ve Google bildirim servisleri üzerinden); bildirim başlığı ve metni

  Veri konumu: ABD

• Meta Platforms (WhatsApp Business Platform)

  WhatsApp bildirimleri, giriş kodu ve asistan mesajları; asistana gönderilen fotoğraf ve sesli mesajlar

  Ne zaman: Giriş kodu yalnız WhatsApp'ı seçtiğinizde; bildirim ve asistan mesajları yalnız açık rızanızla

  Veri konumu: ABD / AB

• Anthropic, PBC

  Yapay zekâ: talep metninin konu ve öncelik sınıflandırması ile tedarikçi önerisi, WhatsApp asistanı, yönetici asistanı (yalnız daire etiketi ve tutar; ad ve telefon gönderilmez), sayaç fotoğrafından endeks okuma

  Ne zaman: Site yönetimi ilgili özelliği açtıysa; talep sınıflandırma ve WhatsApp asistanında ayrıca açık rızanız gerekir

  Veri konumu: ABD

• OpenAI, L.L.C. veya ElevenLabs

  WhatsApp sesli mesajlarının yazıya çevrilmesi (aynı anda yalnız biri kullanılır)

  Ne zaman: Site yönetimi ses tanımayı açtıysa

  Veri konumu: ABD (ElevenLabs için AB bölgesi seçilebilir)

• Resend

  İşlem e-postaları (giriş bağlantısı, şifre yenileme, davet, makbuz, duyuru ve bildirim)

  Veri konumu: ABD / AB

• Cloudflare, Inc.

  Canlı kamera görüntüsünün doğrudan bağlantı kurulamadığında şifreli olarak aktarılması (TURN); görüntü kaydedilmez

  Ne zaman: Kamera modülü kullanılıyorsa

  Veri konumu: Küresel ağ (ABD merkezli)

• Netgsm, İleti Merkezi veya Verimor

  SMS ile doğrulama kodu, geçici şifre, acil durum ve duyuru iletileri (aynı anda yalnız biri kullanılır)

  Veri konumu: Türkiye

• Paraşüt

  e-Arşiv / e-Fatura düzenlenmesi (alıcı adı, vergi veya T.C. kimlik numarası)

  Ne zaman: e-Fatura entegrasyonu açıksa

  Veri konumu: Türkiye

• BKM (GEÇİT) ve sitenin bankası

  Açık bankacılıkla sitenin banka hesap hareketlerinin alınması (ödeme yapan kişinin adı, açıklama)

  Ne zaman: Site yönetimi banka bağlantısı kurduysa

  Veri konumu: Türkiye

• PayTR veya iyzico

  Kartla aidat ödemesi ve kayıtlı kart (kart bilgisi uniHome'a girmez; ödeme kuruluşu kendi mevzuatı kapsamında ayrıca veri sorumlusudur)

  Ne zaman: Kartla ödeme yapıldığında

  Veri konumu: Türkiye

Türkiye dışındaki (AB dahil) alt işleyenlere aktarım, 7499 sayılı Kanunla değişik KVKK md. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yapılır. Bu ülkeler hakkında Kişisel Verileri Koruma Kurulu'nun yeterlilik kararı bulunmadığından aktarım, md. 9/4'teki uygun güvencelerden Kurul'un ilan ettiği standart sözleşmeye dayanır: standart sözleşme her alt işleyenle imzalanır ve aktaran taraf olarak uniHome tarafından imzadan itibaren beş iş günü içinde Kurul'a bildirilir. Bu süreci tamamlanmamış bir alt işleyen kullanılmaz. Açık rıza bu düzenli aktarımların dayanağı değildir (md. 9/6-a'daki açık rıza yalnız arızi aktarımlar içindir); isteğe bağlı özelliklerde (WhatsApp asistanı ve bildirimleri, yapay zekâ ile talep sınıflandırma) istenen açık rıza, özelliğin kendisine ilişkindir. Kart bilgileri, sitenin kendi ödeme kuruluşu (PayTR veya iyzico) tarafından Türkiye'de işlenir ve uniHome'a girmez.

Türkiye dışındaki alt işleyenlere aktarım, 7499 sayılı Kanunla değişik KVKK md. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yapılır. Aktarılan ülke hakkında yeterlilik kararı bulunmadıkça Veri İşleyen, aktaran taraf olarak ilgili alt işleyenle Kişisel Verileri Koruma Kurulu'nun ilan ettiği ve aktarımın niteliğine uygun standart sözleşmeyi (veri işleyenden veri işleyene) değiştirmeden imzalar ve imzadan itibaren beş iş günü içinde Kurul'a bildirir. Bu süreci tamamlanmamış alt işleyene aktarım yapılmaz. Açık rıza bu aktarımların dayanağı olarak kullanılmaz; uygulamanın isteğe bağlı özelliklerde istediği açık rıza, özelliğin kendisine ilişkindir. Veri İşleyen, talep hâlinde imzalanan standart sözleşmelerin ve Kurul'a bildirimin bir örneğini Veri Sorumlusuna verir.

Veri İşleyen, kendi altyapısında veya alt işleyenlerinde fark ettiği bir veri ihlalini Veri Sorumlusuna gecikmeden ve fark etmesinden itibaren en geç 24 saat içinde bildirir. İlk bildirim o an bilinen bilgilerle yapılır; ihlalin niteliği, etkilenen veri türleri, yaklaşık kişi sayısı, olası sonuçları ve alınan önlemler öğrenildikçe tamamlanır. Kişisel Verileri Koruma Kurulu'na 72 saat içinde ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusuna aittir (KVKK md. 12/5); Veri İşleyen bu süreçte kanıt toplama ve bilgi sağlama desteği verir. Yönetim panelindeki ihlal kaydı ekranı 72 saat sayacını gösterir.

İlgili kişilerin KVKK md. 11 kapsamındaki başvuruları uygulama içindeki başvuru formuyla Veri Sorumlusuna iletilir; Veri İşleyen yanıtlanmasına veri dışa aktarma aracıyla yardımcı olur. Başvuruların 30 günlük süresi (KVKK md. 13) sistemde sabitlenir; süre dolmadan 7 ve 2 gün kala ve süre dolduğunda Veri Sorumlusunun yöneticilerine hatırlatma gönderilir. Veri İşleyen'e doğrudan (ör. info@uniywell.com adresine) ulaşan site verisi başvuruları en geç 3 iş günü içinde Veri Sorumlusuna iletilir; Veri İşleyen bu başvuruları kendisi yanıtlamaz.

Aşağıdaki süreler varsayılandır. Site düzeyindeki süreleri (kapı, ziyaretçi, bildirim, devriye, kamera) Veri Sorumlusu, sistemin izin verdiği üst sınırlar içinde site ayarlarından değiştirebilir.

Lisans sona erdiğinde Veri Sorumlusu verilerini CSV ve PDF olarak dışa aktarabilir; bunun için 30 gün süre tanınır. Bu sürenin bitiminden sonra veriler, yasal saklama yükümlülüğü bulunan kayıtlar dışında, Veri İşleyen tarafından ayrıca yapılan ve kayda alınan bir işlemle silinir veya anonim hâle getirilir ve Veri Sorumlusuna bildirilir. Sunucudaki yedeklerde kalan kopyalar yedek döngüsü içinde kendiliğinden silinir. Gizlilik yükümlülükleri sözleşme sona erdikten sonra da sürer.

Veri Sorumlusu, KVKK md. 12/3 kapsamındaki denetim yükümlülüğü için bu sözleşmeye uyumu gösteren bilgi ve belgeleri (güvenlik tedbirlerinin özeti, alt işleyen listesi, standart sözleşme bildirimleri, ihlal kayıtları) talep edebilir; Veri İşleyen bunları 30 gün içinde sağlar. Yerinde denetim, en az 15 gün önceden yazılı bildirimle, yılda bir defadan fazla olmamak ve diğer müşterilerin verilerine erişim sağlamamak kaydıyla yapılabilir; masrafını Veri Sorumlusu karşılar. Ayrıntılar için KVKK aydınlatma metnine bakabilirsiniz.