Kişisel Veri İşleme Sözleşmesi
Bu sözleşme, Vetikra Hizmet ve Abonelik Sözleşmesi'nin eki ve ayrılmaz parçasıdır. Hizmet sözleşmesinin elektronik onayıyla birlikte kurulur ve hizmet sözleşmesi süresince yürürlükte kalır.
1. Taraflar ve roller
- Veri sorumlusu: Hizmeti kullanan veteriner kliniği, hayvan hastanesi, pet otel, barınak ya da diğer kuruluş ("Kuruluş"). Kişisel verilerin işleme amaçlarını ve vasıtalarını belirler.
- Veri işleyen: TANITEK EĞİTİM VE ROBOT TEKNOLOJİLERİ YAZILIM ELEKTRONİK TİCARET LTD. ŞTİ., Bostanlı Mah. 6345 Sk. PTT Binası No:35 Kapı No:1, Karşıyaka / İzmir ("Vetikra"). Kişisel verileri Kuruluş adına ve onun talimatı doğrultusunda işler (KVKK md. 3/1-ğ).
6698 sayılı KVKK md. 12/2 uyarınca, veri işleyenin veri sorumlusu adına işlediği verilerle ilgili güvenlik tedbirlerinin alınmasından veri sorumlusu ile veri işleyen müştereken sorumludur. Bu sözleşme tarafların bu kapsamdaki yükümlülüklerini düzenler.
2. İşlemenin konusu, niteliği ve süresi
| Konu | Vetikra veteriner klinik yazılımının hizmet olarak sunulması: kayıt, saklama, düzenleme, görüntüleme, yedekleme, Kuruluş'un talimatıyla ileti gönderimi ve imha. |
|---|---|
| İlgili kişi grupları | Hayvan sahipleri (müşteriler), ortak sahipler ve bakıcılar, acil durumda aranacak kişiler, sahip olan işletme / kurum yetkilileri (çiftlik, barınak, belediye), online randevu talebinde bulunanlar, sahip portalı kullanıcıları, Kuruluş'un veteriner hekimleri ve diğer personeli, Kuruluş'un tedarikçi ve iş ortakları (dış laboratuvar, tedarikçi) yetkilileri. |
| Veri kategorileri | Kimlik (ad, soyad, unvan; isteğe bağlı T.C. kimlik numarası şifreli), iletişim, adres, işletme bilgileri (vergi no, TÜRKVET işletme no), finans ve ödeme (adisyon, fatura, taksit, cari), randevu ve işlem kayıtları, imza (onam ve tahmini ücret onayı), rıza kayıtları, iletişim izinleri (İYS), sahip portalı ve işlem güvenliği kayıtları; Kuruluş personeli için görev, oda sicil numarası ve hakediş kayıtları. |
| Hayvan klinik verileri | Hayvanın kimliği (mikroçip, pasaport, küpe no), muayene, tanı, aşı, reçete, tetkik, görüntüleme, yatış, ameliyat ve kilo kayıtları hayvanın sağlığına ilişkindir; kişisel veri ya da kişisel sağlık verisi değildir. Hayvan sahibiyle ilişkilendirildikleri için Vetikra bu kayıtları da Kuruluş verisi olarak aynı tedbirlerle ve yalnız Kuruluş'un talimatıyla işler. |
| Özel nitelikli veriler | Hizmet, hayvan sahiplerine ait özel nitelikli kişisel veri (KVKK md. 6) işlemek için tasarlanmamıştır. Kuruluş, serbest metin alanlarına ve dosyalara sahibe ait sağlık, din, ceza mahkûmiyeti gibi özel nitelikli veri girmemeye özen gösterir; girmesi halinde hukuka uygunluk sebebi Kuruluş'un sorumluluğundadır. |
| Süre | Hizmet sözleşmesi süresince ve 9. maddedeki iade/imha süreleri boyunca. |
3. Talimata bağlı işleme
- Vetikra kişisel verileri yalnız hizmetin sunulması, Kuruluş'un yazılım üzerinden verdiği talimatlar (kayıt, ileti gönderimi, dışa aktarma vb.) ve yazılı talimatları doğrultusunda işler; kendi amaçları için işlemez, satmaz, pazarlama amacıyla kullanmaz.
- Bir talimatın mevzuata aykırı olduğunu düşünmesi halinde Vetikra durumu Kuruluş'a gecikmeksizin bildirir.
- Hukuka uygunluk sebebinin (KVKK md. 5 ve 6) varlığı, hayvan sahiplerinin aydınlatılması, gerektiğinde açık rıza alınması ve ticari ileti izinlerinin (İYS) yönetimi veri sorumlusu olarak Kuruluş'un yükümlülüğündedir. Vetikra bunun için aydınlatma metni, rıza defteri ve izin denetimi araçları sağlar.
4. Gizlilik
Vetikra, kişisel verilere erişimi yalnız hizmetin sunulması için gerekli personeliyle sınırlar; bu personel yazılı gizlilik yükümlülüğü altındadır. Platform yöneticileri kuruluş verisine olağan işleyişte erişemez; destek amacıyla erişim yalnız Kuruluş'un talebiyle ve kayıt altında yapılır.
5. Teknik ve idari tedbirler
Vetikra, KVKK md. 12/1 ve Kişisel Verileri Koruma Kurulu'nun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) gözetilerek en az şu tedbirleri uygular:
- Verilerin aktarımında TLS şifreleme; T.C. kimlik numarası gibi yüksek riskli alanların veritabanında AES-GCM ile şifreli, arama için tuzlu özetle saklanması,
- Rol ve şube bazlı yetkilendirme; T.C. kimlik numarasının açık haline yalnız ilgili izni bulunan kullanıcıların erişebilmesi; iki adımlı doğrulama ve oturum süresi sınırları,
- Sahip kartı açılması, T.C. kimlik numarası görüntülenmesi, sahip dosyası, dışa aktarma ve yazdırma işlemlerinin değiştirilemez erişim kayıtlarıyla tutulması; tüm kayıt değişikliklerinin denetim kaydına yazılması,
- Rıza defteri, imzalı onamlar, aşı kayıtları ve kesinleşmiş reçetelerin veritabanı düzeyinde değiştirilemez olması,
- Yapay zekâ özelliklerinde hayvan sahibinin T.C. kimlik numarası ve telefon numarasının sağlayıcıya gönderilmemesi,
- Düzenli şifreli yedekleme, yedekten geri dönüş testleri, felaket kurtarma planı,
- Sunucuların fiziksel ve ağ güvenliği sağlanmış veri merkezlerinde, yalnız gerekli portlara erişim izniyle çalışması; güvenlik güncellemelerinin düzenli uygulanması,
- Kaba kuvvet denemelerine karşı deneme sınırları, kişisel veri içeren ortamların düzenli gözden geçirilmesi ve personelin periyodik eğitimi.
6. Alt veri işleyenler
Kuruluş, Vetikra'nın hizmetin sunulması için aşağıdaki nitelikte alt veri işleyenlerle çalışmasına genel olarak onay verir. Vetikra, alt veri işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların işlemlerinden Kuruluş'a karşı sorumludur.
| Hizmet | Amaç | Konum |
|---|---|---|
| Barındırma ve veri merkezi | Uygulama, veritabanı, dosya deposu ve yedeklerin barındırılması | Türkiye |
| SMS ve sesli ileti sağlayıcıları | Doğrulama kodu, randevu hatırlatma ve Kuruluş'un gönderdiği iletiler | Türkiye |
| E-posta gönderim hizmeti | Bildirim, belge ve Kuruluş iletilerinin gönderimi | Kuruluş'un seçtiği sağlayıcı |
| Ödeme kuruluşları (iyzico, PayTR) | Hayvan sahiplerinin online ödemeleri ve abonelik ödemesi | Türkiye |
| E-fatura / e-arşiv entegratörü | Kuruluş'un elektronik belgelerinin düzenlenmesi | Türkiye |
| Yapay zekâ hizmeti (isteğe bağlı) | Kuruluş'un etkinleştirmesi halinde belge okuma ve metin önerisi | Sağlayıcıya göre; yurt dışındaysa yalnız 7. madde şartlarıyla |
Yeni bir alt veri işleyen eklenmesi veya değiştirilmesi en az 30 gün önceden Kuruluş'a bildirilir. Kuruluş, haklı gerekçeyle itiraz edebilir; itirazın giderilememesi halinde hizmet sözleşmesini değişiklik yürürlüğe girmeden cezasız olarak sona erdirebilir.
7. Yurt içinde barındırma ve yurt dışına aktarım
Kuruluş verisi, yedekleri dahil Türkiye'de bulunan sunucularda barındırılır. Kişisel veriler, KVKK md. 9'da öngörülen şartlar (yeterlilik kararı, uygun güvenceler veya arızi aktarım halleri) sağlanmadan ve Kuruluş'un açık talimatı olmadan yurt dışına aktarılmaz. Kuruluş verisi, Kuruluş isteğe bağlı bir entegrasyonu açıkça etkinleştirmedikçe yurt dışındaki bir hizmete gönderilmez.
8. İlgili kişi başvuruları ve iş birliği
- Hayvan sahiplerinin ve diğer ilgili kişilerin KVKK md. 11 kapsamındaki başvurularını yanıtlamak Kuruluş'un yükümlülüğüdür. Vetikra; sahip portalındaki KVKK başvuru formu, kayıt dışa aktarma, düzeltme ve rıza geri alma araçlarıyla Kuruluş'a destek olur.
- Vetikra'ya doğrudan ulaşan başvuruları en geç 3 iş günü içinde Kuruluş'a iletir ve Kuruluş'un talimatı olmadan yanıtlamaz.
- Kurul incelemelerinde, veri ihlali değerlendirmelerinde ve veri koruma etki değerlendirmelerinde Kuruluş'a makul bilgi ve belge desteği verir.
9. Saklama, iade ve imha
- Saklama süreleri ve klinik kayıtların (reçete, ilaç ve aşı kayıtları vb.) veteriner mevzuatındaki zorunlu saklama süreleri veri sorumlusu olarak Kuruluş tarafından belirlenir; Vetikra veriyi Kuruluş silmedikçe hizmet süresince saklar.
- Hizmet sözleşmesi sona erdiğinde Kuruluş 30 gün içinde verilerini dışa aktarabilir. Bu süre sonunda Vetikra canlı sistemlerdeki Kuruluş verisini, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak siler; yedeklerdeki kopyalar yedek döngüsü içinde en geç 90 gün sonra kalıcı olarak yok edilir.
- Vetikra'nın yasal saklama yükümlülüğü bulunan veriler (ör. abonelik faturaları) ilgili süre boyunca saklanır.
- İmha işlemleri kayıt altına alınır ve Kuruluş'un talebi halinde imha tutanağı verilir.
10. Veri ihlali bildirimi
Vetikra, işlediği kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde Kuruluş'a gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirim; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan ya da önerilen tedbirleri içerir; bilgiler eksikse tamamlandıkça iletilir.
KVKK md. 12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca ihlalin öğrenilmesinden itibaren en geç 72 saat içindeKişisel Verileri Koruma Kurulu'na bildirilmesi ve etkilenen ilgili kişilere makul sürede bildirim yapılması veri sorumlusu olarak Kuruluş'un yükümlülüğüdür; Vetikra bu bildirimlerin süresinde yapılabilmesi için gerekli tüm bilgi ve belgeyi sağlar.
11. Denetim
Kuruluş, Vetikra'nın bu sözleşmeye uyumunu, en az 15 gün önceden yazılı bildirimle, yılda bir kez ve mesai saatleri içinde, gizlilik yükümlülüğü altındaki bağımsız denetçi aracılığıyla ya da Vetikra'nın sunacağı güncel güvenlik raporları ve sertifikalar üzerinden denetleyebilir. Denetim, diğer müşterilerin verilerinin gizliliğini ve hizmetin güvenliğini tehlikeye atamaz.
12. Sorumluluk ve yürürlük
Taraflar, bu sözleşmeye ve KVKK'ya aykırılıktan doğan zararlardan kendi kusurları oranında sorumludur; hizmet sözleşmesindeki sorumluluk sınırlaması, kast ve ağır ihmal ile ilgili kişilere karşı kanundan doğan sorumluluk halleri saklı kalmak üzere bu sözleşmeye de uygulanır. Bu sözleşme ile hizmet sözleşmesi arasında kişisel verilerin korunmasına ilişkin bir çelişki olması halinde bu sözleşme uygulanır.
13. İletişim
E-posta: [email protected] · KEP: [email protected] · Telefon: 0553 640 56 98