Veri İşleme Sözleşmesi (AVV/DPA)

1. Konu ve öncelik ilişkisi

1.1 Bu Veri İşleme Sözleşmesi, veri işleyenin ImmoVision kapsamında veri sorumlusu için sunduğu hizmetlerle bağlantılı olarak tarafların GDPR md. 28'den doğan veri koruma yükümlülüklerini somutlaştırır.

1.2 Bu AVV/DPA, veri işleyenin kişisel verileri veri sorumlusu adına işlediği tüm faaliyetler için geçerlidir.

1.3 Bu AVV/DPA, taraflar arasında mevcut olan ImmoVision kullanımına ilişkin ana sözleşmeyi; varsa tarifeler, teklifler, hizmet tanımları, kurumsal (enterprise) anlaşmalar, beyaz etiket (white-label) anlaşmaları veya projeye bağlı diğer anlaşmalar dahil olmak üzere tamamlar.

1.4 Bu AVV/DPA ile ana sözleşme arasında çelişki bulunması hâlinde, veri işleme bakımından bu AVV/DPA'nın hükümleri önceliklidir.

2. Tarafların rolleri

2.1 Veri sorumlusu, kişisel verilerin işlenmesinin hukuka uygunluğundan sorumludur, özellikle:

• bir hukuki dayanağın bulunmasından,
• ilgili kişi haklarının korunmasından,
• bilgilendirme yükümlülüklerinin yerine getirilmesinden,
• veri işleyene iletilen verilerin hukuka uygunluğundan,
• veri sorumlusu tarafından başlatıldığı ölçüde, varsa kayıtların, yazıya dökümlerin veya YZ destekli değerlendirmelerin hukuka uygunluğundan.

2.2 Veri işleyen, kişisel verileri yalnızca talimat üzerine, belgelenmiş talimatlar çerçevesinde ve bu AVV/DPA'da açıklanan amaçlarla işler.

2.3 Veri işleyenin kendisinin veri sorumlusu olduğu veya veri koruma hukuku bakımından başka şekilde bağımsız olarak sorumlu olduğu işlemeler bu AVV/DPA'nın konusu değildir. Bu özellikle şunları kapsar:

• veri sorumlusuyla olan sözleşme ilişkisinin kurulması, ifası ve faturalanması,
• kendi alacak yönetimi,
• ispat, belgeleme ve yasal saklama yükümlülükleri,
• kendi sistemlerinin güvenliğinin, bütünlüğünün, istikrarının sağlanması ve kötüye kullanımın önlenmesi,
• kendi hukuki taleplerinin takibi veya taleplere karşı savunma,
• yasal olarak zorunlu açıklamalar,
• kendi uyum (compliance), denetim, güvenlik ve yönetişim amaçları,
• asıl veri işleme dışında kendi fatura, sözleşme, cüzdan veya ödeme verilerinin işlenmesi.

3. İşlemenin türü, amacı ve kapsamı

3.1 İşlemenin türü, amacı, konusu, kişisel veri kategorileri ve ilgili kişi kategorileri bu AVV/DPA'dan, ana sözleşmeden ve özellikle Ek 1'den anlaşılır.

3.2 Veri işleyen kişisel verileri özellikle ImmoVision'ın sözleşmeyle borçlanılan SaaS hizmetlerinin sunulması ve ifası için, özellikle şunlarla bağlantılı olarak işler:

• lead kaydı ve lead işleme,
• CRM, panel ve iş akışı işlevleri,
• exposé, mikrosite ve gayrimenkul talepleri,
• kullanıcı hesapları, ekipler, rol ve yetki yönetimi,
• randevu ve iletişim işlevleri,
• medya, exposé, mikrosite, gayrimenkul ve içerik yönetimi,
• veri sorumlusu adına onun verileri için kullanıldığı ölçüde YZ destekli işlevler,
• yazıya dökme, özetleme, yapılandırma ve iş akışı süreçleri,
• veri sorumlusuna ait içerik ve verilerin barındırılması, saklanması, sunulması, işlenmesi ve teknik çıktısının alınması,
• talimata bağlı verileri veya işlemleri ilgilendirdiği ölçüde faturalamayla ilgili kullanım olayları.

3.3 Veri işleyen kişisel verileri yalnızca kararlaştırılan hizmetlerin ifası için gerekli olan kapsamda işler.

4. Veri sorumlusunun talimat hakkı

4.1 Veri işleyen, Birlik hukuku veya bir üye devletin hukuku tarafından işleme yapmakla yükümlü kılınmadıkça, kişisel verileri yalnızca veri sorumlusunun belgelenmiş talimatı üzerine işler. Böyle bir durumda veri işleyen, ilgili hukuk önemli bir kamu yararı nedeniyle böyle bir bildirimi yasaklamadıkça, bu hukuki gereklilikleri işlemeden önce veri sorumlusuna bildirir.

4.2 Veri sorumlusunun talimatları öncelikle bu AVV/DPA, ana sözleşme, hizmet tanımı ve açıkça dahil edilen diğer sözleşme belgeleriyle belirlenir.

4.3 Veri sorumlusunun münferit talimatları, aciliyet nedeniyle başka bir biçim gerekmedikçe en azından metin biçiminde olmalıdır. Sözlü talimatlar gecikmeksizin metin biçiminde teyit edilmelidir.

4.4 Veri işleyen bir talimatın veri koruma hukukuna aykırı olduğu görüşündeyse, bunu veri sorumlusuna gecikmeksizin bildirir. Veri işleyen, ilgili talimatın uygulanmasını veri sorumlusu tarafından teyit edilene veya değiştirilene kadar askıya alma hakkına sahiptir.

5. Gizlilik ve erişim kısıtlaması

5.1 Veri işleyen, kişisel verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altına alınmasını veya uygun bir yasal sır saklama yükümlülüğüne tabi olmasını sağlar.

5.2 Veri işleyen, kişisel verilere erişimin yalnızca bu verilere sözleşmeyle borçlanılan hizmetlerin ifası için ihtiyaç duyan kişilere açılmasını güvence altına alır.

5.3 Veri işleyen, sorumlulukları, rolleri ve erişim haklarını dahili olarak uygun şekilde sınırlamak için uygun organizasyonel önlemler alır.

6. Teknik ve organizasyonel tedbirler

6.1 Veri işleyen, GDPR md. 32 uyarınca riske uygun bir koruma düzeyi sağlamak için uygun teknik ve organizasyonel tedbirler alır.

6.2 Sözleşmenin kurulduğu tarihte mevcut olan teknik ve organizasyonel tedbirler bu AVV/DPA'nın Ek 2'sinde yer alır.

6.3 Veri işleyen, sözleşmede kararlaştırılan koruma düzeyinin altına düşülmediği sürece teknik ve organizasyonel tedbirleri geliştirme, uyarlama veya eşdeğer tedbirlerle değiştirme hakkına sahiptir.

6.4 Talimat üzerine faaliyet gösteren tüm barındırma, altyapı, YZ ve iletişim hizmet sağlayıcılarıyla GDPR md. 28/4 uyarınca sözleşmeler bulunmaktadır (bkz. Ek 3). Google Cloud için Cloud Data Processing Addendum, Microsoft için Data Protection Addendum geçerlidir.

6.5 YZ işlevleri AB bölgelerinde işletilir (Google Vertex AI: AB bölgesi, Frankfurt, Hollanda; Microsoft Azure OpenAI: AB bölgesi). Veri sorumlusunun kişisel verileri ne veri işleyen tarafından ne de — kendi sözleşme koşullarına göre — YZ sağlayıcıları tarafından YZ modellerinin eğitiminde kullanılır.

6.6 Veri işleyen, veri sorumlusuna AB Yapay Zekâ Tüzüğü (Tüzük (AB) 2024/1689) uyarınca uygulayıcı olarak yükümlülüklerini yerine getirmesini sağlayan işlevler sunar, özellikle: ofis ve kişi bazında YZ işlevlerinin açılıp kapatılması, asistanlarda YZ etkileşimine ilişkin bilgilendirme, YZ ile üretilmiş veya YZ ile değiştirilmiş görsellerin ve videoların işaretlenmesi, yayından önce her YZ görseli için onay ve kanıt kaydı ile belgelendirmeli bir YZ yetkinliği kısa eğitimi.

7. Veri işleyenin destek yükümlülükleri

7.1 Veri işleyen, veri sorumlusu yükümlülüklerini makul bir çabayla kendisi yerine getiremediği ölçüde, ilgili kişilerin GDPR Bölüm III uyarınca yaptığı başvuruların yerine getirilmesinde veri sorumlusunu makul ölçüde destekler.

7.2 Veri işleyen, işlemenin niteliğini ve kendisine sunulan bilgileri dikkate alarak GDPR md. 32 ila 36 uyarınca yükümlülüklere uyulmasında veri sorumlusunu destekler, özellikle şunlarla bağlantılı olarak:

• işlemenin güvenliği,
• kişisel veri ihlallerinin bildirilmesi,
• veri koruma etki değerlendirmeleri,
• denetim makamlarıyla ön istişareler.

7.3 Veri sorumlusu ilgili kişilere bilgi vermekle yükümlü olduğu ve bunun için veri işleyenin bilgilerine ihtiyaç duyduğu ölçüde, veri işleyen bu bilgileri makul ölçüde sağlar.

8. Veri ihlallerinin bildirilmesi

8.1 Veri işleyen, veri sorumlusu adına işlediği verileri etkileyen bir kişisel veri ihlalini öğrenir öğrenmez veri sorumlusunu gecikmeksizin bilgilendirir.

8.2 Bildirim, veri işleyenin elindeki bilgilerle ve mümkün olduğu ölçüde özellikle şunlara ilişkin olarak yapılır:

• ihlalin türü,
• etkilenen veri kategorileri,
• etkilenen kişi grupları,
• olası sonuçlar,
• alınmış veya önerilen giderici önlemler.

8.3 Veri işleyen, olayın daha ayrıntılı aydınlatılması ve ele alınmasında veri sorumlusunu makul ölçüde destekler.

9. Alt işleyenler

9.1 Veri sorumlusu, bu AVV/DPA'nın ve GDPR md. 28'in koşullarına uyulması kaydıyla, veri işleyene başka veri işleyenler (alt işleyenler) kullanma konusunda genel izin verir.

9.2 Sözleşmenin kurulduğu tarihte kullanılan alt işleyenler Ek 3'te yer alır.

9.3 Veri işleyen, alt işleyenlerin eklenmesi veya değiştirilmesine ilişkin planlanan değişiklikler hakkında veri sorumlusunu metin biçiminde bilgilendirir.

9.4 Veri sorumlusu, bilgilendirmenin kendisine ulaşmasından itibaren 14 takvim günü içinde, veri koruma hukukuna ilişkin haklı bir sebeple bu tür değişikliklere metin biçiminde itiraz edebilir.

9.5 Veri sorumlusu süresi içinde itiraz etmezse değişiklik onaylanmış sayılır.

9.6 Veri sorumlusu süresi içinde itiraz ederse ve veri işleyen için ilgili alt işleyen olmadan hizmetin sunulmaya devam edilmesi mümkün değilse veya makul koşullarla mümkün değilse, veri işleyen ilgili hizmeti kısıtlayabilir veya ana sözleşmeyi ya da ilgili hizmet bölümünü makul bir süre vererek feshedebilir.

9.7 Veri işleyen, alt işleyenleri yalnızca onlara esasen bu AVV/DPA'da öngörülenlerle aynı veri koruma yükümlülüklerini yükleyen bir sözleşme esasında dahil eder.

10. Üçüncü ülkelerde işleme

10.1 Kişisel verilerin Avrupa Birliği veya Avrupa Ekonomik Alanı dışında işlenmesi yalnızca sözleşmede öngörüldüğü, veri sorumlusu tarafından talimat verildiği veya veri koruma hukuku bakımından izin verildiği ölçüde gerçekleşir.

10.2 Veri işleyen veya bir alt işleyen verileri AEA dışında işlediği ölçüde, veri işleyen bunun için izin verilen bir veri koruma hukuku dayanağının, özellikle bir yeterlilik kararının veya uygun güvencelerin bulunmasını sağlar.

10.3 Üçüncü ülkelere aktarımlar yalnızca Ek 3'te belirtilen alt işleyenler üzerinden ve orada belirtilen dayanakla gerçekleşir (yeterlilik kararı, özellikle AB-ABD Veri Gizliliği Çerçevesi (EU-U.S. Data Privacy Framework), veya AB Standart Sözleşme Maddeleri). Barındırma, veritabanı ve dosya depolama Almanya'da, YZ işleme AB bölgelerinde bulunmaktadır.

10.4 Türkiye'deki veri sorumluları için AB'deki işleme, 6698 sayılı Kanun (KVKK) md. 9 uyarınca yurt dışına aktarımdır. Taraflar bunun için, gerekli olduğu ölçüde, Kişisel Verileri Koruma Kurumu tarafından yayımlanan standart sözleşmeleri imzalar; Kurum'a bildirim aktarımı yapan tarafa aittir.

11. Kanıtlar ve denetim hakları

11.1 Veri işleyen, GDPR md. 28'de belirlenen yükümlülüklere uyulduğunu kanıtlamak için gerekli bilgileri talep üzerine veri sorumlusuna sunar.

11.2 Veri sorumlusu, makul bir süre önceden bildirimde bulunarak ve veri işleyenin gizlilik ve güvenlik menfaatlerini dikkate alarak denetim veya incelemeler yapma ya da bunları gizlilik yükümlülüğü altındaki bağımsız denetçilere yaptırma hakkına sahiptir.

11.3 Denetimler gerekli ölçüyle sınırlandırılmalıdır ve veri işleyenin iş faaliyetlerini makul olmayan şekilde aksatmamalıdır.

11.4 Veri işleyen, uygun bir inceleme için yeterli oldukları ölçüde, ispat yükümlülüklerini uygun güncel kanıtlar, sertifikalar, denetim raporları, onaylar, güvenlik belgeleri veya benzeri belgelerle de yerine getirebilir.

11.5 Bir denetimin veya desteğin gerektirdiği çaba olağan ve kanunen borçlanılan ölçüyü aştığı ölçüde, veri işleyen, veri sorumlusunu önceden bu konuda bilgilendirmesi kaydıyla bunun için makul bir ücret talep edebilir.

12. Sözleşmenin sona ermesinden sonra iade ve silme

12.1 Sözleşmesel hizmetlerin sona ermesinden sonra veri işleyen, yasal bir saklama yükümlülüğü bulunmadığı sürece, veri sorumlusunun tercihine göre talimat üzerine işlenen kişisel verileri ya siler ya da iade eder.

12.2 Yasal saklama yükümlülükleri, meşru ispat menfaatleri ve teknik olarak gerekli yedekleme ve geri yükleme döngüleri saklıdır. Bu durumlarda ilgili veriler başka amaçlar için bloke edilir ve yalnızca hukuken gerekli kapsamda tutulur.

12.3 Veri sorumlusu, sözleşmenin sona ermesinden önce verilerinin toplu bir dışa aktarımını oluşturabilir (Ofis ayarları → Veriler & sözleşme; indirme 24 saat kullanılabilir). Verilerini zamanında dışa aktarmaktan veri sorumlusu sorumludur.

13. Sorumluluk ve ana sözleşmeyle ilişki

13.1 Tarafların sorumluluğu için, bu AVV/DPA daha özel bir düzenleme içermediği ve veri koruma hukuku bakımından izin verildiği ölçüde tamamlayıcı olarak ana sözleşme geçerlidir.

13.2 Yasal sorumluluk düzenlemeleri, özellikle GDPR md. 82'den doğanlar saklıdır.

14. Son hükümler

14.1 Kanunen daha sıkı bir biçim öngörülmedikçe bu AVV/DPA'daki değişiklikler ve eklemeler en azından metin biçiminde yapılmalıdır.

14.2 Bu AVV/DPA'nın tek tek hükümleri tamamen veya kısmen geçersiz olsa veya geçersiz hâle gelse dahi, diğer hükümlerin geçerliliği etkilenmez.

14.3 Bunun dışında ana sözleşmenin hükümleri geçerlidir.

14.4 Bu AVV/DPA, ana sözleşmenin kurulmasıyla veya talimata bağlı işlemenin başlamasıyla yürürlüğe girer.

Ek 1 – İşlemenin tanımı

1. İşlemenin konusu

ImmoVision'ın veri sorumlusu tarafından satın alınan SaaS hizmetlerinin sunulması ve ifası.

2. İşlemenin türü

Sözleşmede kararlaştırılan hizmetler için gerekli olduğu ölçüde kişisel verilerin toplanması, kaydedilmesi, saklanması, organize edilmesi, yapılandırılması, sıralanması, okunması, kullanılması, hizmet ifası kapsamında iletim yoluyla açıklanması, sunulması, eşleştirilmesi, birleştirilmesi, kısıtlanması, silinmesi ve imha edilmesi.

3. İşlemenin amacı

Veri sorumlusunun kişisel verilerinin ImmoVision'ın sunulması için işlenmesi, özellikle şunlar için:

• lead kaydı ve lead işleme,
• CRM, panel ve iş akışı işlevleri,
• exposé ve mikrosite yönetimi,
• gayrimenkul ve medya yönetimi,
• kullanıcı hesapları ve rol yönetimi,
• randevu ve iletişim işlevleri,
• veri sorumlusu adına kullanıldığı ölçüde YZ destekli işlevler,
• görsel işleme, sanal döşeme (virtual staging) ve medya çıktıları,
• yazıya dökme, özetleme ve iş akışı süreçleri,
• müşteri tarafındaki içerik ve verilerin teknik olarak saklanması, barındırılması, çıktısının alınması ve yönetilmesi,
• talimata bağlı verileri veya işlemleri ilgilendirdiği ölçüde faturalamayla ilgili kullanım olayları,
• exposé'ler, mikrositeler ve WhatsApp'taki YZ asistanları ile ses işlevleri (dikte, sesli komut, görüşme değerlendirmesi),
• kanıt kayıtları (onaylar, YZ görsel kanıtları, denetim kaydı).

4. İlgili kişi kategorileri

Kullanıma bağlı olarak özellikle:

• ilgilenenler,
• veri sorumlusunun müşterileri,
• veri sorumlusunun kullanıcıları ve çalışanları,
• irtibat kişileri,
• mülk sahipleri ve satıcılar,
• talepte bulunan veya asistanları kullanan exposé ve mikrosite ziyaretçileri,
• kaydedilen telefon görüşmelerinde görüşülen kişiler (onaydan sonra),
• verileri veri sorumlusu tarafından platform kapsamında işlenen diğer kişiler.

5. Kişisel veri kategorileri

Kullanıma bağlı olarak özellikle:

• temel veriler,
• iletişim verileri,
• yazışma verileri,
• gayrimenkul ve işlem verileri,
• kullanıcı hesabı verileri,
• rol ve yetki verileri,
• randevu ve durum verileri,
• formlardan, exposé'lerden, mikrositelerden veya CRM kayıtlarından gelen içerikler,
• yüklenen medya ve ilgili meta veriler,
• ilgili işlevler kullanıldığı ölçüde ses içerikleri, yazıya dökümler ve bunlardan türetilen yapılandırılmış bilgiler,
• talimata bağlı sunuma hizmet ettiği ölçüde teknik kullanım ve kayıt verileri.

6. Özel nitelikli kişisel veriler

GDPR md. 9 anlamında özel nitelikli kişisel verilerin işlenmesi esas olarak öngörülmemiştir. Veri sorumlusu bu tür verileri yine de işlediği veya yüklediği ölçüde, bunların hukuka uygunluğundan ve varsa özel koruma gerekliliklerinden sorumlu olmaya devam eder.

7. İşlemenin süresi

Ana sözleşme süresince. Platformun otomatik olarak uyguladığı süreler (ör. YZ asistanının görüşme geçmişleri 90 gün, arama kayıtları ofisin belirlediği süre, mikrosite istatistikleri 90 gün, arama talepleri son etkinlikten 180 gün sonra) Gizlilik Politikası'nda belirtilmiştir. Ardından madde 12 uyarınca iade veya silme.

Ek 2 – Teknik ve organizasyonel tedbirler (TOM)

Veri işleyen, GDPR md. 32 uyarınca uygun teknik ve organizasyonel tedbirleri uygular. Bunlar, ilgili olduğu ölçüde özellikle şunlardır:

• sunucu, barındırma ve yönetim ortamlarına fiziksel giriş kontrolü,
• kimlik doğrulama ve yetkilendirme konseptleriyle sisteme giriş kontrolü,
• rol ve yetki ilkesine göre veriye erişim kontrolü,
• iletim şifrelemesi,
• şifre özetleme (hashing) ve güvenli kimlik doğrulama yöntemleri,
• güvenlikle ilgili işlemlerin kayıt altına alınması,
• veri yedekleme ve geri yükleme konseptleri,
• sistem tarafından öngörüldüğü ölçüde müşterilerin (kiracıların) ve rollerin ayrılması,
• gizliliğin, bütünlüğün, erişilebilirliğin ve dayanıklılığın sağlanmasına yönelik tedbirler,
• güvenlik tedbirlerinin etkinliğinin düzenli olarak gözden geçirilmesi, değerlendirilmesi ve ölçülmesi için prosedürler,
• güvenlik olaylarının ve veri ihlallerinin ele alınmasına yönelik süreçler,
• yönetici erişimlerinin kısıtlanması,
• kullanılan sistemlerin güvenli geliştirilmesi, bakımı ve güncellenmesi,
• alt işleyenlerin özenle seçilmesi ve sözleşmeyle bağlanması.

Barındırma hizmetleri Hetzner üzerinden sunulduğu ölçüde, tamamlayıcı olarak Hetzner ile kararlaştırılan TOM'lar ve kullanılan ürünün güncel teknik belgeleri geçerlidir.

Google Cloud / Vertex AI ve Microsoft Azure OpenAI için tamamlayıcı olarak sağlayıcıların sözleşmeyle kararlaştırılan güvenlik tedbirleri (Google Cloud Data Processing Addendum, Microsoft Data Protection Addendum) geçerlidir.

Ek 3 – Alt işleyenler

Sözleşmenin kurulduğu tarihte kullanılan alt işleyenler; hizmet, yer ve üçüncü ülkelere aktarım dayanağıyla birlikte “Alt İşleyenler” sayfasında listelenmiştir; bu sayfa bu ekin parçasıdır. Özetle:

ImmoVision'ın veya ilgili üçüncü taraf sağlayıcının bağımsız veri sorumlusu olduğu hizmet sağlayıcılar veya işlemeler, bu AVV/DPA kapsamında alt işleyen sayılmaz; özellikle şu alanlarda: sözleşme ilişkisinin kurulması, ifası ve faturalanması, ödeme işlemleri, dolandırıcılığın önlenmesi, kendi uyum ve hukuki amaçları, kendi güvenlik ve kötüye kullanımı önleme amaçları. Bu durum özellikle Stripe'ın ödeme işlemleri, dolandırıcılığın önlenmesi veya düzenleyici yükümlülüklerle bağlantılı olarak bağımsız sorumlu sıfatıyla faaliyet gösterdiği ölçüde Stripe'ı ilgilendirebilir.