Kişisel Verilerin İşlenmesine İlişkin Ek Sözleşme

1. Taraflar, roller ve kapsam

1.1. Bu Ek Sözleşme, Voiser Teknoloji Limited Şirketi ("VOISER", Veri İşleyen) ile Voiser Live hizmetini kullanan Müşteri ("MÜŞTERİ", Veri Sorumlusu) arasında, Müşterinin etkinlik içeriği kapsamında işlenen kişisel veriler bakımından tarafların 6698 sayılı KVKK, (AB) 2016/679 sayılı GDPR ve Birleşik Krallık GDPR'ından doğan yükümlülüklerini belirler.

1.2. Etkinlik içeriği (salonda konuşulanlar, transkript, çeviri, özet, yüklenen dosyalar, katılımcılara ilişkin teknik kayıtlar) bakımından MÜŞTERİ veri sorumlusu, VOISER veri işleyendir. MÜŞTERİnin hesap verileri bakımından VOISER bağımsız veri sorumlusudur ve bu veriler Gizlilik Politikası'na tabidir.

1.3. Bu Ek Sözleşme, Satış ve Lisans Sözleşmesi'nin elektronik onayı (siteden satın almada sipariş onayı, teklifli paketlerde panel onayı) veya imzasıyla birlikte kurulur ve ana sözleşmenin süresi boyunca yürürlükte kalır. Kişisel verilerin işlenmesine ilişkin hususlarda ana sözleşmeyle çelişmesi hâlinde bu Ek Sözleşme esas alınır.

2. İşlemenin ayrıntıları (GDPR m.28/3)

3. Veri işleyenin yükümlülükleri

• Kişisel verileri yalnız MÜŞTERİnin belgelenmiş talimatları (ana sözleşme, platform ayarları ve yazılı talimatlar) doğrultusunda ve bu Ek Sözleşme'deki amaçla işlemek; hukuka aykırı olduğunu düşündüğü bir talimatı derhal MÜŞTERİye bildirmek.
• KVKK m.4 ve GDPR m.5'teki ilkelere uymak; ham sesi kalıcı olarak kaydetmemek; etkinlik içeriğini genel amaçlı yapay zekâ modellerinin eğitiminde kullanmamak.
• Kişisel verilere erişimi olan çalışan ve yetkililerine gizlilik yükümlülüğü getirmek ve erişimi görev gereği gerekli olanlarla sınırlamak.
• KVKK m.12 ve GDPR m.32 uyarınca Ek 1'de tanımlanan teknik ve idari tedbirleri uygulamak.
• MÜŞTERİnin ilgili kişi başvurularına (erişim, silme, taşınabilirlik vb.) yanıt vermesine, veri koruma etki değerlendirmesine ve denetim makamıyla ön istişareye makul ölçüde yardım etmek (GDPR m.28/3-e, f).
• Bir kişisel veri ihlalini öğrenmesini takiben gecikmeksizin ve her hâlükârda yetmiş iki (72) saat içinde MÜŞTERİye; ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan önlemleri içerecek şekilde yazılı bildirmek.
• MÜŞTERİnin, bu Ek Sözleşme'ye uyumu göstermek için gerekli bilgileri sağlamak ve yılda en fazla bir kez, makul süre önceden bildirilmiş ve gizlilik yükümlülüğüne tabi bir denetime (veya bağımsız üçüncü taraf denetim raporu sunarak) izin vermek.
• Ana sözleşmenin sona ermesinde Madde 8 uyarınca verileri iade etmek veya imha etmek.

4. Veri sorumlusunun yükümlülükleri

• Konuşmacılara ve katılımcılara konuşmalarının çevrileceği ve yazıya dökülebileceği konusunda KVKK m.10 / GDPR m.13 uyarınca aydınlatma yapmak ve gereken hâllerde açık rıza almak; bunun için VOISER'ın sağladığı örnek bildirim metinlerini kullanabilir.
• VOISER'a verdiği talimatların ve etkinlik içeriğinin hukuka uygunluğundan sorumlu olmak.
• Platformdaki silme ve erişim ayarlarını kendi ihtiyaçlarına göre kullanmak; ekip üyelerinin erişim yetkilerini yönetmek.

5. Alt işleyenler

5.1. MÜŞTERİ, VOISER'ın Ek 2'de kategorileri yazılı alt işleyenleri kullanmasına genel yazılı yetki verir. VOISER, her alt işleyenle bu Ek Sözleşme'dekine eşdeğer veri koruma yükümlülükleri içeren bir sözleşme yapar ve alt işleyenin yükümlülüklerini yerine getirmemesinden MÜŞTERİye karşı tam sorumlu kalır.

5.2. Alt işleyenlerin adlarıyla güncel listesi MÜŞTERİye talep üzerine iletilir. VOISER, yeni bir alt işleyen eklemeyi veya mevcut birini değiştirmeyi en az otuz (30) gün önceden MÜŞTERİnin hesabındaki e-posta adresine bildirir. MÜŞTERİ, veri korumaya ilişkin makul ve belgelenmiş gerekçelerle on beş (15) gün içinde itiraz edebilir; itiraz çözülemezse MÜŞTERİ etkilenen hizmeti, kullanılmamış bedelin iadesiyle feshedebilir.

6. Yurt dışına aktarım

6.1. Etkinlik verileri Avrupa Birliği içindeki sunucularda barındırılır. Canlı çeviriyi üreten sağlayıcı AB dışındaki sunucularda da çalışabildiğinden, çeviri üretilirken konuşma verisi AB dışına anlık olarak aktarılabilir. Aktarım çevirinin üretilmesiyle sınırlıdır; sağlayıcı, kötüye kullanımın önlenmesi amacıyla girdileri en fazla elli beş (55) gün güvenli ortamda tutabilir ve bunları model eğitiminde kullanmaz.

6.2. KVKK bakımından: Türkiye'den yurt dışına aktarımlar KVKK m.9 ve ilgili Yönetmelik uyarınca Kurul yeterlilik kararı, Kurul standart sözleşmesi (imzalanıp Kurul'a bildirilir) veya kanundaki arızi aktarım hâllerine dayanır. MÜŞTERİnin veri sorumlusu olarak kendi aktarım yükümlülüğü için gerekli standart sözleşme, MÜŞTERİnin talebi üzerine VOISER ile MÜŞTERİ arasında Ek 3 olarak imzalanır.

6.3. GDPR bakımından: AB/AEA dışına aktarımlar Avrupa Komisyonu Standart Sözleşme Hükümleri (2021/914 – Modül 2 ve 3), AB–ABD Veri Gizliliği Çerçevesi veya GDPR m.46 kapsamındaki uygun güvencelere dayanır; VOISER gerektiğinde aktarım etki değerlendirmesi yapar ve talep üzerine MÜŞTERİyle paylaşır. MÜŞTERİnin AB'de yerleşik olması hâlinde, taraflar bu Ek Sözleşme'nin Ek 4'ü olarak Standart Sözleşme Hükümlerini kabul etmiş sayılır.

7. İlgili kişi başvuruları

VOISER'a doğrudan ulaşan ve etkinlik içeriğine ilişkin bir ilgili kişi başvurusunu VOISER, beş (5) iş günü içinde MÜŞTERİye iletir ve MÜŞTERİnin talimatı olmaksızın içeriğe müdahale etmez; ancak platformdaki silme ve dışa aktarma araçlarıyla MÜŞTERİnin yasal süre içinde yanıt vermesini sağlar.

8. Saklama, iade ve imha

• Ham ses VOISER tarafından saklanmaz. Transkript ve etkinlik sonrası çıktılar, MÜŞTERİnin paketinde belirlenen süre (varsayılan on iki ay) boyunca saklanır ve süre sonunda silinir; MÜŞTERİ dilediği kaydı her zaman daha önce silebilir veya panelden indirebilir.
• Ana sözleşmenin sona ermesini takip eden otuz (30) gün içinde MÜŞTERİ verilerini dışa aktarabilir (toplu dışa aktarma talep üzerine sağlanır); bu sürenin sonunda VOISER tüm etkinlik verilerini siler ve talep üzerine imha teyidi verir. Yasal saklama yükümlülüğü bulunan kayıtlar (fatura, sözleşme onayı) mevzuattaki süre kadar muhafaza edilir.

9. Sorumluluk

Taraflardan her biri, KVKK ve GDPR'ın kendisine yüklediği yükümlülüklere aykırılıktan kaynaklanan zararlardan kendi kusuru oranında sorumludur. KVKK m.12/2 ve GDPR m.82 uyarınca öngörülen müteselsil sorumluluk ve rücu hakları saklıdır. Ana sözleşmedeki sorumluluk sınırı, mevzuat gereği sınırlandırılamayan hâller dışında bu Ek Sözleşme'ye de uygulanır.

10. Süre ve diğer hükümler

Bu Ek Sözleşme ana sözleşmeyle birlikte yürürlüğe girer ve onunla birlikte sona erer; Madde 8 ve 9 sona ermeden sonra da uygulanır. Düzenlenmeyen hususlarda ana sözleşme, KVKK ve GDPR uygulanır. Uyuşmazlıklarda ana sözleşmedeki hukuk seçimi ve yetki kuralı geçerlidir; AB'de yerleşik ilgili kişilerin GDPR m.79 ve 82'den doğan hakları saklıdır. Türkçe ve İngilizce sürümler arasında farklılık hâlinde Türkçe sürüm esas alınır.

Ek 1: Teknik ve idari tedbirler

• Verilerin aktarımda ve saklamada şifrelenmesi.
• Rol tabanlı erişim kontrolü, güçlü kimlik doğrulama ve oturum güvenliği, değişiklik kayıtları.
• Mantıksal müşteri ayrımı (çalışma alanı bazlı izolasyon); kalıcı paylaşım bağlantısı üretilmemesi.
• Ham sesin anlık işlenip VOISER tarafından saklanmaması; kart verisinin platforma hiç ulaşmaması.
• Düzenli yedekleme, iş sürekliliği planı, güvenlik açığı taraması ve en az yılda bir sızma testi.
• Çalışanlar için gizlilik taahhüdü ve düzenli veri koruma eğitimi; ihlal müdahale prosedürü.
• Alt işleyenlerle yazılı veri işleme sözleşmesi ve yıllık uyum değerlendirmesi.

Ek 2: Alt işleyen kategorileri

Adlarıyla güncel liste MÜŞTERİye talep üzerine iletilir (Madde 5.2).

Ek 3: KVKK standart sözleşmesi (veri sorumlusundan veri işleyene)

Kişisel Verileri Koruma Kurulu'nun ilan ettiği, veri sorumlusundan veri işleyene aktarım için standart sözleşme metni, Türkiye'de yerleşik MÜŞTERİnin talebi üzerine taraflarca imzalanır. İmzadan itibaren beş (5) iş günü içinde Kurul'a bildirim yapılır.

Ek 4: AB Standart Sözleşme Hükümleri (2021/914)

AB'de yerleşik MÜŞTERİler için Modül 2 (sorumlu → işleyen) atıf yoluyla dâhil edilir; Ek 1 ve Ek 2 bu hükümlerin Ek I-III'ü olarak kullanılır.