Veri İşleme Sözleşmesi

1. Taraflar, konu ve süre

Bu VİS, Jugger'ın Hizmet'i sunarken Müşteri adına gerçekleştirdiği kişisel veri işleme faaliyetlerinin şartlarını düzenler. VİS, Müşteri'nin Hizmet'i kullandığı süre boyunca ve Bölüm 14'teki iade/silme yükümlülükleri tamamlanana kadar yürürlüktedir.

2. Tanımlar

"Kişisel Veri", "Özel Nitelikli Kişisel Veri", "İşleme", "Veri Sorumlusu", "Veri İşleyen", "İlgili Kişi", "Veri İhlali" ve "Denetim Otoritesi" terimleri KVKK ve GDPR'daki anlamlarıyla kullanılır. "Müşteri Verisi", Müşteri'nin ve yetkili kullanıcılarının Hizmet'e girdiği, yüklediği veya Hizmet aracılığıyla ürettiği kişisel verileri ifade eder.

3. İşlemenin niteliği, amacı, veri ve kişi kategorileri

Ayrıntılar Ek 1'de yer alır. Özetle: Jugger, Müşteri Verisi'ni barındırır, depolar, Müşteri talimatıyla yapay zekâ modellerine (takma adlandırarak) iletir, analiz eder, belge ve ileti üretir, hatırlatma ve otonom görevleri çalıştırır, yedekler ve Müşteri talebiyle siler. Kişi kategorileri: Müşteri'nin çalışanları, müşterileri, tedarikçileri, müvekkilleri, danışanları/hastaları, sporcuları ve bunların irtibat kişileri. Sağlık verisi dâhil özel nitelikli veriler yalnızca Jugger Klinik ve Jugger Health kapsamında ve Müşteri'nin hukuki dayanağıyla işlenir.

4. Veri sorumlusunun yükümlülükleri

• Müşteri Verisi'nin toplanması, aydınlatma yapılması, gerekli rızaların (özel nitelikli veriler ve yurt dışı aktarım dâhil) alınması ve işlemenin hukuka uygunluğundan münhasıran Müşteri sorumludur.
• Müşteri, Jugger'a hukuka aykırı talimat vermez; Hizmet'in özelliklerini (e-posta/WhatsApp gönderimi, portal bağlantıları) yalnızca yetkili olduğu kişiler için kullanır.
• Müşteri, kullanıcı hesaplarını ve portal bağlantılarını yönetir; yetkisi sona eren kullanıcıları kaldırır.
• Müşteri, VERBİS kaydı, veri envanteri ve (gerekiyorsa) veri koruma görevlisi atama gibi kendi mevzuat yükümlülüklerini yerine getirir.

5. Veri işleyenin yükümlülükleri

• Müşteri Verisi'ni yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda ve Hizmet'in sunulması amacıyla işler; kendi amaçları için kullanmaz, satmaz, model eğitiminde kullanmaz.
• Bir talimatın mevzuata aykırı olduğu kanaatindeyse Müşteri'yi derhal bilgilendirir.
• Kanunen zorunlu bir işleme (yetkili makam talebi) hâlinde, yasak değilse işlemeden önce Müşteri'yi bilgilendirir.
• Ek 2'deki teknik ve idari tedbirleri uygular; personelini gizlilik yükümlülüğü altına alır.
• Müşteri'nin, ilgili kişi hakları, veri koruma etki değerlendirmesi ve otoriteyle ön istişare yükümlülüklerini yerine getirmesine makul ölçüde destek olur.
• İşleme kayıtlarını (GDPR m.30/2) tutar ve talep hâlinde Müşteri'ye sunar.

6. Talimatlar

Müşteri'nin talimatları: Kullanım Şartları, bu VİS, Hizmet'in arayüzünde yapılan işlemler (bir aksiyonu onaylamak, bir görevi zamanlamak, bir portal bağlantısı oluşturmak dâhil) ve yazılı ek talimatlardır. Hizmet'in olağan işleyişi dışındaki talimatlar, uygulanabilirlik ve ek maliyet açısından Jugger'ın onayına tabidir.

7. Gizlilik ve personel

Müşteri Verisi'ne erişimi olan Jugger personeli ve yüklenicileri yazılı gizlilik yükümlülüğü altındadır ve yalnızca görevleri için gereken asgari erişime sahiptir. Canlı Müşteri Verisi'ne erişim, destek talebi veya güvenlik olayıyla sınırlı ve denetim kayıtlıdır.

8. Güvenlik tedbirleri

Jugger, KVKK m.12 ve GDPR m.32 uyarınca, işlemenin niteliği ve riskine uygun teknik ve idari tedbirleri (Ek 2) uygular; tedbirleri teknolojik gelişmeye göre günceller, ancak koruma seviyesini düşürmez.

9. Alt işleyenler

Müşteri, Jugger'ın Ek 3'te listelenen alt işleyenleri kullanmasına genel yetki verir. Jugger, yeni alt işleyen eklemeden veya değiştirmeden en az 30 gün önce bu sayfada ve e-posta ile bildirir; Müşteri makul gerekçeyle itiraz edebilir. İtirazın çözülememesi hâlinde Müşteri, ilgili özelliği kullanmaktan vazgeçebilir veya Sözleşme'yi kullanılmayan süre iadesiyle feshedebilir. Jugger, alt işleyenlerle bu VİS'teki yükümlülüklere denk yazılı sözleşmeler yapar ve alt işleyenlerin eylemlerinden Müşteri'ye karşı sorumlu kalır.

10. Uluslararası aktarım

Müşteri Verisi AB'de barındırılır. AB dışına (ABD) aktarımlar yalnızca Ek 3'teki alt işleyenlere, Avrupa Komisyonu Standart Sözleşme Maddeleri (Modül 3: işleyen→alt işleyen) veya EU-US Data Privacy Framework sertifikası kapsamında ve takma adlandırma/şifreleme gibi ek tedbirlerle yapılır. Türkiye'de yerleşik Müşteriler bakımından KVKK m.9 kapsamındaki uygun güvence, Müşteri (veri sorumlusu) ile Jugger (veri işleyen) arasında Kurul'un ilan ettiği standart sözleşmenin imzalanması ve Müşteri tarafından beş iş günü içinde Kurul'a bildirilmesi ile sağlanır; Jugger bu sözleşmeyi talep üzerine imzalı olarak sağlar.

11. İlgili kişi hakları ve destek

Jugger'a doğrudan ulaşan ilgili kişi başvuruları 5 iş günü içinde Müşteri'ye yönlendirilir; Jugger, Müşteri'nin yasal süre içinde yanıt verebilmesi için erişim, düzeltme, silme, kısıtlama ve taşınabilirlik işlemlerini Hizmet içindeki araçlarla veya makul manuel destekle sağlar.

12. Veri ihlali bildirimi

Jugger, Müşteri Verisi'ni etkileyen bir Veri İhlali'ni öğrendikten sonra gecikmeksizin ve en geç 48 saat içinde Müşteri'ye; ihlalin niteliği, etkilenen veri ve kişi kategorileri ile yaklaşık sayıları, olası sonuçları ve alınan/önerilen tedbirleri içerecek şekilde bildirir; bilgileri elde ettikçe günceller. Müşteri'nin otoriteye (72 saat) ve ilgili kişilere bildirim yükümlülüğü Müşteri'ye aittir; Jugger gerekli bilgiyi sağlar.

13. Denetim

Jugger, uyumu göstermek için yılda bir, talep üzerine güvenlik özeti, bağımsız test/denetim raporları ve alt işleyen sertifikalarını sunar. Bu bilgiler yeterli olmazsa Müşteri, yılda en fazla bir kez, en az 30 gün önceden bildirimle, gizlilik taahhüdü altında ve Jugger'ın iş faaliyetlerini aksatmayacak biçimde, masrafları kendisine ait olmak üzere denetim yapabilir veya bağımsız denetçi görevlendirebilir. Denetim otoritesinin talepleri saklıdır.

14. Sona erme: iade ve silme

Hizmet ilişkisinin sona ermesinde Müşteri, Müşteri Verisi'ni Hizmet'in dışa aktarım araçlarıyla (Excel/CSV/PDF/JSON) 30 gün içinde alabilir. Bu sürenin sonunda Jugger, yasal saklama yükümlülükleri (mali kayıtlar) hariç tüm Müşteri Verisi'ni siler; yedeklerdeki kopyalar en fazla 90 gün içinde üzerine yazılır. Talep hâlinde silme yazılı olarak teyit edilir.

15. Sorumluluk

Tarafların bu VİS kapsamındaki sorumluluğu Kullanım Şartları'ndaki sınırlamalara tabidir; ancak emredici mevzuatın öngördüğü ilgili kişi tazminat hakları ve idari yaptırımlar bakımından her taraf kendi kusurundan sorumludur. Jugger, Müşteri'nin hukuka aykırı talimatlarından veya rıza/aydınlatma eksikliklerinden doğan taleplerden sorumlu değildir.

16. Genel hükümler

VİS ile Kullanım Şartları arasında çelişki hâlinde kişisel veriler bakımından VİS üstündür. Uygulanacak hukuk ve yetkili mahkeme Kullanım Şartları'ndaki gibidir; KVKK ve GDPR'ın emredici hükümleri saklıdır. VİS'in güncellenen sürümleri bu sayfada yayımlanır; esaslı değişiklikler 30 gün önce bildirilir.

Ek 1 — İşleme ayrıntıları

Ek 2 — Teknik ve idari tedbirler

• Şifreleme: aktarımda TLS 1.2+; depolamada disk şifreleme; entegrasyon kimlik bilgileri uygulama düzeyinde ayrıca şifreli; yedekler şifreli.
• Erişim kontrolü: kiracı bazlı veri ayrımı, oturum belirteci ve yetki denetimi, rol tabanlı yönetici erişimi, denetim kayıtları, en az yetki, güçlü kimlik doğrulama.
• Yapay zekâ katmanı: gizlilik kasası (takma adlandırma), politika motoru (onay eşikleri, yıkıcı işlem koruması), tur izi, geri okuma doğrulaması, günlük maliyet tavanı.
• Süreklilik: gecelik yedek, coğrafi olarak ayrık AB veri merkezleri, izleme ve sağlık kontrolleri, olay müdahale prosedürü.
• Yazılım güvenliği: sürüm kontrolü, otomatik test ve CI, bağımlılık güncellemeleri, canlı duman testleri, hız sınırlama, girdi doğrulama.
• Kurumsal: gizlilik taahhütleri, veri koruma farkındalığı, alt işleyen sözleşmeleri, ihlal bildirim prosedürü, silme/imha politikası.

Ek 3 — Alt işleyen listesi