Veri İşleme Sözleşmesi (DPA)

İşbu DPA, Kullanıcı Sözleşmesi'nin ayrılmaz ekidir ve KVKK m.12 uyarınca, Kullanıcı'nın MTS takipleri için Platform'a yüklediği ve Platform'da oluşturduğu kişisel verilerin Şirket tarafından işlenmesini düzenler.

Kullanıcı'nın yüklediği borçlu (takip edilen kişi), alacaklı ve diğer üçüncü kişi verileri bakımından VERİ SORUMLUSU Kullanıcı'dır (avukat/büro); Şirket bu verileri yalnızca Hizmet'i sunmak amacıyla ve Kullanıcı'nın talimatıyla işleyen VERİ İŞLEYEN'dir. Kullanıcı'nın Platform'u işbu Sözleşme'ye uygun kullanması, Şirket'e verilmiş belgelenmiş talimat sayılır.

Şirket'in kendi veri sorumlusu olduğu işlemeler (ofis kullanıcılarının üyelik/hesap, avukatlık sıfatı doğrulaması, ödeme, faturalama, güvenlik ve iletişim verileri) DPA dışında olup KVKK Aydınlatma Metni'ne tabidir.

Veri kategorileri: borçlunun ad-soyadı/unvanı, T.C. kimlik no/VKN, adresi ve MERNİS kontrol sonucu; abonelik/alacak ve fatura bilgileri; dayanak belgeler; takip, harç/ödeme, barkod ve tebligat kayıtları; alacaklı ve vekil bilgileri. İlgili kişi grupları: borçlular, alacaklılar ve bunların temsilcileri, Kullanıcı'nın ekip üyeleri.

İşleme faaliyetleri: kaydetme, saklama, düzenleme, güncelleme, Kullanıcı'nın kendi UYAP yetkisiyle kontrol amaçlı sorgulama ve UYAP'a iletim, alt işleyenlere aktarma, yedekleme, silme/anonimleştirme. Amaç yalnızca Hizmet'in sunulması, güvenliği, yedeklenmesi ve desteğidir.

Süre: Kullanıcı Sözleşmesi süresince ve sona ermesinden sonra Kullanıcı Sözleşmesi m.14'te öngörülen saklama süresi boyunca.

Verileri yalnızca Kullanıcı'nın talimatları ve DPA doğrultusunda işler; kendi amaçları için kullanmaz, satmaz, kiralamaz, anonim hale getirerek de olsa kendi ticari amaçlarına konu etmez. Bir talimatın mevzuata aykırı olduğunu düşünürse Kullanıcı'yı bilgilendirir.

KVKK m.12'ye uygun teknik ve idari tedbirleri (aktarımda ve yedeklerde şifreleme, ofisler arası satır düzeyinde izolasyon, rol bazlı erişim, erişim kaydı, yedekleme, personel erişim kısıtlaması) alır; erişimi işi gereği erişmesi gereken ve yazılı gizlilik yükümlülüğü altındaki personelle sınırlar. Verilerin avukatlık meslek sırrı niteliği taşıyabileceğini gözeterek gizliliği korur (Kullanıcı Sözleşmesi m.12).

Bir kişisel veri ihlalini öğrendiğinde Kullanıcı'yı gecikmeksizin ve her halde öğrenmesinden itibaren en geç 48 saat içinde bilgilendirir; ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan tedbirler hakkında elindeki bilgileri paylaşır ve Kullanıcı'nın (veri sorumlusu) Kurul'a ve ilgili kişilere bildirim yükümlülüğüne destek verir.

İlgili kişi başvurularını Kullanıcı'ya yönlendirir ve Kullanıcı'nın bu başvuruları yanıtlaması için makul teknik destek sağlar. Uyumu göstermek için gerekli bilgileri sağlar; önceden bildirilen ve makul kapsamdaki denetimlere imkân tanır (diğer kullanıcıların verilerinin gizliliği ve ticari sırlar saklıdır).

Bir kamu makamından verilere ilişkin talep gelirse, hukuken yasaklanmadıkça Kullanıcı'yı derhal bilgilendirir ve yalnızca hukuken zorunlu olan kapsamda bilgi verir.

Kullanıcı; yüklediği kişisel verileri işlemeye ve Şirket aracılığıyla işletmeye hukuken yetkili olduğunu, ilgili kişilere karşı aydınlatma dahil KVKK yükümlülüklerini bizzat yerine getirdiğini taahhüt eder.

Kullanıcı, verdiği talimatların hukuka uygunluğundan sorumludur ve Ekip Üyelerinin gizlilik/güvenlik yükümlülüklerine uymasını sağlar.

Kullanıcı, Şirket'in Hizmet'i sunmak için Alt İşleyen Listesi'nde belirtilen alt işleyenleri kullanmasına genel yetki verir. Şirket yeni bir alt işleyen eklemeden en az 15 (on beş) gün önce Kullanıcı'yı e-posta veya panel içi bildirimle bilgilendirir; Kullanıcı haklı bir gerekçeyle itiraz eder ve taraflar çözüm bulamazsa Kullanıcı Sözleşme'yi feshedebilir ve kullanılmayan döneme isabet eden bedelin iadesini isteyebilir. Şirket, alt işleyenlerle DPA'daki korumaya eşdeğer yükümlülükler içeren sözleşmeler yapar ve onların fiillerinden Kullanıcı'ya karşı sorumludur.

Kullanıcı verileri Türkiye'de, Turkcell Bulut Sanal Veri Merkezi (Türkiye) altyapısında barındırılır; sunucu, veritabanı ve şifreli yedekler Türkiye'dedir.

Yurt dışında yerleşik alt işleyenlerden Cloudflare (ABD) Platform'a giden şifreli web trafiğini ilettiğinden, Kullanıcı verileri iletim sırasında bu ağdan geçer; Resend (ABD/AB) üzerinden gönderilen bildirim e-postaları, içeriklerine bağlı olarak sınırlı takip bilgisi (ör. dosya numarası) içerebilir. Bu aktarımlar KVKK m.9 uyarınca; yeterlilik kararı bulunmayan ülkelere aktarımda Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşmenin taraflarca imzalanması ve Kurul'a süresi içinde bildirilmesi suretiyle (ya da Kanun'da sayılan diğer uygun güvencelerle) yapılır.

Sözleşme sona erdiğinde verilerin teslimi ve silinmesi Kullanıcı Sözleşmesi m.14'e tabidir; Şirket, silme işleminden sonra verileri yedeklerden de ilk yedek döngüsünde çıkarır ve talep halinde silmeyi yazılı olarak teyit eder.

Tarafların birbirlerine karşı sorumluluğu Kullanıcı Sözleşmesi'nin sorumluluk hükümlerine tabidir; ilgili kişilere ve Kurul'a karşı mevzuattan doğan sorumluluk saklıdır.

Kişisel verilerin işlenmesine ilişkin hususlarda işbu DPA, Kullanıcı Sözleşmesi'nin genel hükümlerine göre önceliklidir.