Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme, Cohie'de kurum açan kuruluş ("Veri Sorumlusu") ile Fauna Venture Studio ("Veri İşleyen") arasındadır. Kurum kaydı sırasında Kullanım Koşulları'ndan ayrı bir onay kutusuyla kabul edilir. Kabul eden kişi kurum adına imza yetkisine sahip olduğunu beyan eder; kabul zamanı, sözleşmenin sürümü ve kabul eden hesap kayıt altına alınır. Veri İşleyen'in kimlik ve iletişim bilgileri İletişim sayfasındadır.

Program verileri bakımından Kurum veri sorumlusu, Fauna veri işleyendir. Cohie hesabına ilişkin veriler bakımından veri sorumlusu Fauna'dır (Gizlilik ve aydınlatma metni).

2. Konu

Veri İşleyen, Veri Sorumlusu'nun programları kapsamında başvuranlara, jüri üyelerine, mentorlara, eğitmenlere ve girişimlere ait kişisel verileri yalnızca Cohie hizmetinin sunulması amacıyla ve Veri Sorumlusu'nun platform üzerinden verdiği talimatlar doğrultusunda işler.

3. Süre

Sözleşme kabulle yürürlüğe girer ve Veri Sorumlusu'nun Cohie hesabı açık olduğu sürece devam eder. Kurum'un silinmesi ya da sözleşmenin feshiyle sona erer. Gizlilik, iade ve silme yükümlülükleri sona erdikten sonra da sürer.

4. Veri kategorileri ve ilgili kişiler

• İlgili kişi grupları: başvuranlar, girişim ekipleri ve üyeleri, jüri üyeleri, mentorlar, eğitmenler, Veri Sorumlusu'nun yönetici ve ekip üyeleri, etkinlik katılımcıları
• Veri kategorileri: kimlik (ad soyad), iletişim (e-posta, telefon), mesleki bilgi (unvan, kurum, biyografi, LinkedIn bağlantısı), başvuru ve teslim içeriği (form yanıtları, yüklenen dosyalar), değerlendirme (puan, yorum, karar), program süreci (yoklama, devamsızlık mazereti, mentor görüşmeleri, anket yanıtları, mezun izleme anketi, alumni rehberi üyeliği), statü doğrulaması (doğrulanan kurum e-posta adresi), program asistanı (sorular ve yanıtlar), işlem güvenliği (IP adresi, oturum ve denetim kayıtları)

Platforma özel nitelikli kişisel veri yüklenmemelidir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler, biyometrik ve genetik veriler. Devamsızlık mazereti belgesi de teşhis ya da sağlık bilgisi içermemelidir; Veri Sorumlusu bunu ilgili kişilere duyurur. Bu tür veri yine de yüklenirse sorumluluk Veri Sorumlusu'ndadır.

5. Veri İşleyen'in yükümlülükleri

• Verileri hizmetin sunulması dışında bir amaçla işlememek, satmamak, reklam için kullanmamak
• Verileri yalnızca Veri Sorumlusu'nun talimatıyla işlemek; bir talimatın KVKK'ya aykırı olduğunu düşünürse bunu Veri Sorumlusu'na gecikmeden bildirmek
• KVKK m.12 kapsamında teknik ve idari tedbirleri almak (en az bu maddenin sonundaki tedbirler)
• Kişisel verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını ve erişimin görev kapsamıyla sınırlı kalmasını sağlamak
• Veri ihlalini öğrendiği andan itibaren en geç 24 saat içinde Veri Sorumlusu'na bildirmek. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçları ve alınan tedbirleri içerir. Kişisel Verileri Koruma Kurulu'na (Kurul) ve ilgili kişilere bildirim (KVKK m.12/5, 72 saat) Veri Sorumlusu'nun yükümlülüğüdür; Veri İşleyen bunun için gereken bilgiyi sağlar.
• Alt işleyenleri Alt işleyenler sayfasında yayımlamak ve değişiklikleri madde 7'ye göre duyurmak
• Veri Sorumlusu'na bu sözleşmedeki yükümlülüklerin yerine getirildiğini gösterecek bilgiyi vermek (madde 8)

Veri İşleyen'in aldığı tedbirler en az şunlardır:

• Kurumlar arası yalıtım: her okuma ve yazma, kurumun kimliğiyle sınırlanır.
• Bağlantılar şifrelidir (HTTPS). Geri okunması gereken sırlar (kimlik sağlayıcı ve e-posta altyapısı sırları gibi) AES-256-GCM ile şifreli saklanır.
• Parolalar PBKDF2-SHA256 ile özetlenir. Oturum, davet ve parola sıfırlama jetonlarının yalnızca özeti saklanır.
• Dosyalar herkese kapalı depoda durur ve yalnızca yetki denetiminden sonra indirilir.
• Yönetim işlemleri denetim kaydına yazılır.
• Giriş yapmadan kullanılan formlarda hız sınırı ve bot koruması çalışır; kullanıcılar iki adımlı doğrulama açabilir.
• Veritabanının haftalık, şifreli yedeği alınır.

6. Veri Sorumlusu'nun yükümlülükleri

• Aydınlatma yükümlülüğünü yerine getirmek; açık rızaya dayanan işlemeler için rızayı ayrı ve isteğe bağlı almak
• İlgili kişi başvurularını 30 gün içinde yanıtlamak. Veri İşleyen'e ulaşan başvuruyu Veri İşleyen 5 iş günü içinde Veri Sorumlusu'na iletir ve yanıt için gereken desteği verir.
• Platformu ve verileri hukuka uygun kullanmak, verilerin hukuka uygunluğundan sorumlu olmak
• Platforma özel nitelikli kişisel veri yüklememek

7. Alt işleyenler ve itiraz hakkı

Veri Sorumlusu, Alt işleyenler sayfasındaki alt işleyenlerin kullanılmasına genel olarak izin verir. Veri İşleyen, listeye yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce Veri Sorumlusu'nun sahip ve yöneticilerine e-postayla bildirir. Veri Sorumlusu makul bir gerekçeyle bu süre içinde itiraz edebilir. Taraflar itirazı çözemezse Veri Sorumlusu sözleşmeyi feshedip verilerini madde 10'a göre geri alabilir.

Veri İşleyen, alt işleyenlerle bu sözleşmedekilere eşdeğer veri koruma yükümlülükleri içeren yazılı sözleşme yapar ve alt işleyenlerin yükümlülüklerinden sorumlu olur.

8. Denetim ve bilgi alma hakkı

Veri Sorumlusu, yılda bir kez ve ihlal şüphesinde ek olarak, Veri İşleyen'den bu sözleşmeye uyumu gösteren yazılı bilgi isteyebilir. Veri İşleyen bu bilgiyi (alınan tedbirlerin özeti, ilgili denetim kayıtları, alt işleyenler listesi) makul sürede verir. Bilgi yetersizse Veri Sorumlusu, en az 15 gün önceden bildirerek, hizmetin işleyişini aksatmayacak biçimde ve gizlilik taahhüdüyle yerinde denetim yapabilir ya da bağımsız bir denetçi görevlendirebilir. Denetimin masrafı Veri Sorumlusu'na aittir.

9. Yurt dışına aktarım

Platform altyapısı yurt dışındaki sunucuları kullanır; bu nedenle program verileri yurt dışına aktarılır. Veritabanı Avrupa Birliği yargı alanındadır. Dosyaların konumu Veri Sorumlusu'nun veri konumu seçimine bağlıdır. Aktarım KVKK m.9'daki kurallara göre yapılır. Aktarılan veri, alıcı ve ülke Alt işleyenler sayfasında yer alır.

10. Sürenin sonunda iade ve silme

Sözleşme sona erdiğinde Veri Sorumlusu verilerini platformdaki dışa aktarma araçlarıyla alabilir. Veri İşleyen, sona ermeden itibaren 30 gün boyunca verileri bu amaçla erişilebilir tutar; ardından Veri Sorumlusu'nun yazılı tercihine göre verileri siler ya da anonimleştirir. Teknik yedeklerdeki kopyalar yedeğin doğal saklama süresi sonunda, en geç 90 gün içinde silinir. Kanunun saklamayı zorunlu kıldığı veriler bu süreyle bağlı değildir.

11. Sorumluluk

Taraflar KVKK ve ilgili mevzuat uyarınca kendi yükümlülüklerinden sorumludur. İlgili kişilere ve Kurul'a karşı yasal sorumluluklar saklıdır. Veri İşleyen'in bu sözleşmeden doğan sorumluluğu, Kullanım Koşulları'nın sorumluluk sınırı maddesine tabidir.

12. Fesih

Veri Sorumlusu hesabını silerek sözleşmeyi her zaman sona erdirebilir. Veri İşleyen, Veri Sorumlusu'nun bu sözleşmeye ya da Kullanım Koşulları'na ağır aykırılığında, uyarıdan sonra tanınan sürede giderilmezse sözleşmeyi feshedebilir. Madde 7'deki itiraz sonucu fesih Veri Sorumlusu'na tazminat yükümlülüğü getirmez.

13. Değişiklik

Veri İşleyen bu sözleşmeyi değiştirirse Veri Sorumlusu'nun sahip ve yöneticilerine en az 30 gün önce e-postayla bildirir; yeni sürüm bu sayfada yayımlanır. Veri Sorumlusu değişikliği kabul etmezse yürürlük tarihinden önce sözleşmeyi madde 12'ye göre sona erdirebilir.

14. Uygulanacak hukuk ve yetkili mahkeme

Bu sözleşmeye Türkiye Cumhuriyeti hukuku uygulanır. Uyuşmazlıklarda Veri İşleyen'in ticaret sicilindeki merkezinin bulunduğu yerin mahkemeleri ve icra daireleri yetkilidir.