Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme; Lokasa'ya abone olan emlak ofisi veya bağımsız danışman ("Veri Sorumlusu" veya "Ofis") ile [ŞİRKET UNVANI] (MERSİS: [MERSİS NO], adres: [ADRES]; "Lokasa" veya "Veri İşleyen") arasında, 6698 sayılı KVKK m. 12 ve ilgili Kurul rehberleri uyarınca akdedilmiştir. Ofis, hesabı oluşturarak ve Kullanım Koşulları'nı kabul ederek bu sözleşmeyi de kabul eder.

Ofisin müşterilerine, mal sahiplerine ve ilan ilişkili kişilere ait kişisel veriler bakımından Ofis veri sorumlusu, Lokasa veri işleyendir. Danışman hesabı ve faturalama verileri bakımından Lokasa veri sorumlusudur; bunlar bu sözleşmenin kapsamı dışındadır (Aydınlatma Metni).

2. Konu, amaç ve işlemenin niteliği

Lokasa, Ofis adına yalnızca şu amaçlarla kişisel veri işler: Ofis'in müşteri ve portföy yönetimi (CRM) hizmetini sunmak; verileri depolamak, listelemek, aramak, eşleştirmek; ajanda ve bildirimleri çalıştırmak; Ofis'in etkinleştirdiği yapay zekâ özellikleri (sesli not çıkarımı, ilan metni, itiraz koçu, hafıza) için içeriği işlemek; yedekleme, güvenlik ve destek.

Lokasa, verileri kendi amacı için kullanmaz, satmaz, yapay zekâ modellerini eğitmek için kullanmaz ve Ofis'in yazılı talimatı dışında işlemez. Kullanım Koşulları, uygulamadaki ayarlar ve Ofis kullanıcılarının uygulama üzerinden verdiği komutlar talimat sayılır. Talimatın hukuka aykırı olduğunu düşündüğünde Lokasa Ofis'i bilgilendirir.

3. Veri kategorileri ve ilgili kişiler

Lokasa özel nitelikli kişisel veri işlemeyi hedeflemez. Ofis, bu tür verileri sisteme girmeyeceğini taahhüt eder; yapay zekâ özelliklerinde bu verileri engelleyen teknik süzgeçler vardır, ancak bunlar tam garanti değildir.

4. Süre

Sözleşme, Ofis hesabı açıldığı anda başlar ve Kullanım Koşulları'nın geçerli olduğu süre boyunca, ayrıca veri iadesi ve silme (11. madde) tamamlanana kadar devam eder.

5. Lokasa'nın yükümlülükleri

• Verileri yalnızca Ofis'in belgelenmiş talimatları doğrultusunda işlemek,
• Verilere erişebilecek personeli ve alt işleyenleri sınırlı tutmak; gizlilik yükümlülüğü altına almak (sözleşme veya taahhüt ile),
• Madde 6'daki teknik ve idari tedbirleri almak ve sürdürmek (KVKK m. 12),
• İlgili kişi başvurularında Ofis'e yardımcı olmak (madde 9),
• Veri ihlallerini 72 saat içinde bildirmek (madde 10),
• Yurt dışına aktarımı yalnızca bu sözleşmedeki ve Kanun m. 9'daki şartlarla yapmak,
• Kanuna ve bu sözleşmeye uyumu gösterecek bilgileri sağlamak ve makul denetimlere izin vermek (madde 12).

6. Güvenlik tedbirleri

Lokasa, uygulamada fiilen bulunan aşağıdaki tedbirleri sürdürür. Tedbirler teknik gelişmelere göre iyileştirilebilir; genel güvenlik seviyesi düşürülmez.

7. Alt işleyenler

• Ofis, Lokasa'nın Alt İşleyenler sayfasında yayımlanan alt işleyenleri kullanmasına genel olarak izin verir.
• Lokasa, alt işleyen eklemeden veya değiştirmeden en az 30 gün önce sayfayı günceller ve Ofis sahibine e-postayla bildirir. Ofis bu sürede gerekçeli olarak itiraz edebilir. Çözüm bulunamazsa Ofis, etkilenen hizmet için sözleşmeyi cezasız sona erdirebilir ve ödenmiş kullanılmamış dönem ücretinin iadesini isteyebilir.
• Lokasa, alt işleyenlere bu sözleşmedekilere eşdeğer veri koruma yükümlülükleri yükler ve onların fiillerinden Ofis'e karşı sorumludur.
• Ofis, kendi yapay zekâ anahtarını (BYOK) tanımlarsa, o sağlayıcı Lokasa'nın alt işleyeni değil Ofis'in kendi seçtiği işleyendir; ilgili sözleşme ve hukuki dayanak Ofis'e aittir.

8. Yurt dışına aktarım

Veriler Türkiye'de barındırılır. Ofis, yapay zekâ özelliklerini etkinleştirerek içeriğin ABD'deki yapay zekâ sağlayıcılarına (Anthropic, isteğe bağlı olarak OpenAI) aktarılmasına talimat verir. Aktarım, Kanun m. 9 uyarınca Kurul'un yayımladığı standart sözleşme (veya uygun diğer güvence) ile yapılır; Lokasa standart sözleşmenin imzalanmasını ve Kurul'a bildirimini [DOLDURULACAK: bildirim durumu] sağlar. Ofis veri sorumlusu olarak, kendi müşterilerini bu aktarım konusunda aydınlatmaktan ve gerekirse ek hukuki dayanak sağlamaktan sorumludur. Ayrıntı: Yurt Dışına Aktarım Bilgilendirmesi.

Ofis yapay zekâ özelliklerini kapalı tutarsa, kişisel veri yurt dışına aktarılmaz. Tarayıcının kendi ses tanıma özelliği Ofis kullanıcısının tarayıcı sağlayıcısının hizmetidir ve Lokasa'nın işlemesi dışındadır.

9. İlgili kişi başvurularında yardım

Bir ilgili kişi (Ofis'in müşterisi vb.) haklarını kullanmak için doğrudan Lokasa'ya başvurursa, Lokasa başvuruyu 5 iş günü içinde Ofis'e iletir ve Ofis'in talimatı olmadan içeriğine cevap vermez. Lokasa, Ofis'in KVKK m. 13 kapsamındaki 30 günlük yanıt süresine uyabilmesi için erişim, düzeltme, silme, kısıtlama, veri dışa aktarma gibi işlemleri uygulama üzerinden sunar (müşteri kaydı düzenleme/silme; hesap verisi dışa aktarımı) ve gerekli teknik yardımı makul sürede sağlar. [DOLDURULACAK: ofis verisi toplu dışa aktarma özelliği canlıya alınınca burada belirtilecek]

10. Veri ihlali bildirimi

Lokasa, Ofis verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Ofis sahibine gecikmeksizin ve her hâlükârda 72 saat içinde [DOLDURULACAK: e-posta/telefon kanalı] ile bildirir. Bildirimde; ihlalin niteliği, etkilenen veri ve kişi sayısı (biliniyorsa), olası sonuçlar, alınan ve önerilen tedbirler ve irtibat kişisi yer alır; bilgi tamamlandıkça güncellenir. Kurul'a ve ilgili kişilere bildirim, veri sorumlusu olarak Ofis'in yasal yükümlülüğüdür (Kanun m. 12/5, Kurul kararı: öğrenmeden itibaren 72 saat); Lokasa gerekli yardımı verir.

11. Sözleşme sonunda iade ve silme

Abonelik sona erdiğinde Ofis sahibi, Kullanım Koşulları 12. maddede yazan süre boyunca verilerin makine okunabilir bir kopyasını alabilir. Bu sürenin sonunda Lokasa, Ofis Verisi'ni canlı sistemlerden siler veya geri döndürülemez biçimde anonimleştirir; yedeklerdeki kopyalar yedek döngüsü içinde [DOLDURULACAK: gün] gün içinde yok olur. Kanunen saklanması gereken kayıtlar (ör. fatura) hariçtir. Ofis talep ederse silme yazılı olarak teyit edilir.

12. Denetim ve bilgi verme

Lokasa, bu sözleşmeye uyumu gösteren makul bilgi ve belgeleri (güvenlik özeti, alt işleyen sözleşmeleri özeti, ilgili denetim raporları) Ofis'in yazılı talebi üzerine verir. Ofis, makul bir önceden bildirimle ve iş akışını bozmayacak biçimde, yılda bir kez, gizlilik yükümlülüğü altında denetim yapabilir veya yetkili kurum talebini karşılamak için gereken denetime izin verilir. Denetim maliyetini talep eden taraf üstlenir.

13. Sorumluluk, öncelik ve hukuk

• Sorumluluk, Kullanım Koşulları'ndaki sınırlamalara tabidir; ancak kişisel verilerin Kanun'a aykırı işlenmesinden doğan idari para cezaları ve ilgili kişilerin tazminat talepleri bakımından taraflar, kendi kusurları oranında sorumludur.
• Çelişki hâlinde kişisel verilerin işlenmesi konusunda bu sözleşme, diğer konularda Kullanım Koşulları önceliklidir.
• Türkiye Cumhuriyeti hukuku uygulanır; İstanbul (Merkez) mahkemeleri ve icra daireleri yetkilidir.
• İletişim: [KVKK E-POSTA], KEP: [KEP].