Veri Aktarımı Protokolü

1. Giriş

Bu Veri Aktarımı Protokolü ("DTA" veya "Protokol"), Hakdan Mobilya Paz. Tekstil Tur. Tic. Ltd. Şti. ("Lawwit", "Veri İşleyen") ile Lawwit tarafından sunulan platform ve hizmetleri ("Hizmetler") kullanan gerçek veya tüzel kişi ("Üye", "Veri Sorumlusu") arasında akdedilen Platform Hizmet Sözleşmesi ("Ana Sözleşme") ve Gizlilik Politikası'nın ayrılmaz bir parçası ve ekidir.

Bu DTA, Üye'nin Hizmetler'e yüklediği, girdiği veya işlenmek üzere sunduğu "Kullanıcı İçeriği"nin (kişisel veri ve özel nitelikli kişisel veri içerebilen) Lawwit ve onun alt işleyenleri tarafından işlenmesine ilişkin şartları düzenler. Hizmetler'in sunumu, kişisel verilerin Türkiye dışına aktarılmasını gerektirebilir. Kullanıcı, hizmetin doğası gereği bulut, yapay zeka, ödeme, destek ve güvenlik altyapılarının yurt dışı bileşenler içerebileceğini kabul eder.

Bu DTA'da tanımlanmayan büyük harfli terimler, Ana Sözleşme veya Gizlilik Politikası'nda kendilerine atfedilen anlamları taşır.

2. Hukuki Mekanizmalar ve Öncelik Sırası

Bir kişisel veri aktarımı için birden fazla veri aktarım mekanizmasının geçerli olabileceği durumlarda taraflar, aktarımın yalnızca tek bir mekanizmaya tabi olacağını kabul eder: Aktarımın 6698 sayılı KVKK'ya tabi olması durumunda, bu DTA'nın 3. bölümünde yer alan, Kişisel Verileri Koruma Kurulu tarafından yayımlanan "Kişisel Verilerin Yurt Dışına Aktarılmasında Kullanılacak Standart Sözleşme – 2 (Veri Sorumlusundan Veri İşleyene)" uygulanır.

Yeterlilik kararı, uygun güvenceler, standart sözleşmeler, bağlayıcı şirket kuralları veya KVKK'da düzenlenen istisnai aktarım halleri uygulanabilir. KVKK standart sözleşmeleri, taraflar arasındaki diğer sözleşmelerle çelişmesi halinde aktarım hükümleri bakımından önceliklidir.

Teknik ve İdari Tedbirler: Şifreleme, erişim kontrolü, yetkilendirme, loglama, yedekleme, ağ güvenliği, çalışan gizlilik taahhütleri, veri minimizasyonu ve imha süreçleri uygulanır. Lawwit alt işleyenleri makul özenle seçer, gizlilik ve veri güvenliği yükümlülüklerine tabi tutar.

İmha/Geri Verme: Sözleşmenin sona ermesi halinde kullanıcı içerikleri, yasal saklama ve teknik yedekleme süreleri saklı kalmak kaydıyla kullanıcının talebine göre dışa aktarılabilir, silinebilir veya anonim hale getirilebilir.

3. KVKK Standart Sözleşmesi (Veri Sorumlusundan Veri İşleyene)

İşbu Protokol'ün ve Ana Sözleşme'nin elektronik olarak (kayıt olma, "kabul ediyorum" kutucuğunu işaretleme veya Hizmetler'i kullanmaya devam etme eylemleriyle) kabul edilmesi, aşağıda metni yer alan KVKK Standart Sözleşmesi'nin ve eklerinin taraflar arasında yasal olarak bağlayıcı şekilde akdedildiği anlamına gelir.

(Aşağıdaki metin, Kişisel Verileri Koruma Kurulu tarafından 10/7/2024 tarihli Yönetmelik uyarınca yayımlanan standart sözleşme metnidir.)

Birinci Bölüm — Genel Hükümler

Madde 1 — Amaç ve Kapsam: Bu standart sözleşmenin amacı, kişisel verilerin yurt dışına aktarılmasında 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") ile 10/7/2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ("Yönetmelik") hükümlerine riayet edilmesini sağlamaktır. Kişisel verileri yurt dışına aktaran veri sorumlusu ("veri aktaran") ve veri aktarandan kişisel verileri alan yurt dışındaki veri işleyen ("veri alıcısı") bu standart sözleşmeyi ("Sözleşme") kabul etmişlerdir. Sözleşmenin ekleri, Sözleşmenin ayrılmaz bir parçasını oluşturur.

Madde 2 — Sözleşmenin Etkisi ve Değişmezliği: Herhangi bir ekleme, çıkarma veya değişiklik yapılmaması kaydıyla bu Sözleşme; Kanunun 9. maddesinin dördüncü fıkrası ve Yönetmelik uyarınca, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması dahil olmak üzere kişisel verilerin yurt dışına aktarılmasında sağlanacak uygun güvenceleri öngörür.

Madde 3 — Üçüncü Taraf Yararlanıcı Hakları: İlgili kişiler, Sözleşmede sayılan istisnalar dışında, üçüncü taraf yararlanıcı olarak bu Sözleşme hükümlerini veri aktarana ve/veya veri alıcısına karşı ileri sürebilir. Bu durum, ilgili kişilerin Kanun kapsamındaki haklarına halel getirmez.

Madde 4 — Yorum: Kanun, Yönetmelik ve ilgili diğer mevzuatta yer alan terimlerin bu Sözleşmede kullanıldığı durumlarda ilgili düzenlemedeki tanım geçerlidir. Sözleşme; Kanun, Yönetmelik ve ilgili mevzuata uygun olarak yorumlanır ve bu düzenlemelerde öngörülen hak ve yükümlülüklerle çelişecek şekilde yorumlanamaz.

Madde 5 — Çatışma Kuralı: Bu Sözleşmenin hükümleri ile taraflar arasındaki diğer sözleşmelerin (Ana Sözleşme, Platform Hizmet Sözleşmesi, Gizlilik Politikası dahil) hükümleri arasında çelişki olması durumunda bu Sözleşme hükümleri uygulanır.

Madde 6 — Aktarımın Detayları: Aktarıma konu kişisel veri kategorileri, hukuki sebep ve amaçlar başta olmak üzere aktarımın detayları Ek I'de belirtilir.

İkinci Bölüm — Tarafların Yükümlülükleri

Madde 7 — Güvenceler: Veri aktaran; veri alıcısının, uygun teknik ve idari tedbirleri almak suretiyle bu Sözleşmeden doğan yükümlülüklerini yerine getirebilecek yeterliliğe sahip olduğunu belirlemek için makul çabayı gösterdiğini taahhüt eder.

Madde 7.1 — Talimatlar: Veri alıcısı, kişisel verileri yalnızca veri aktaranın talimatlarına göre işler (veri aktaranın talimatları, Ana Sözleşme ve Hizmetler'in kullanımı sırasındaki eylemleriyle tanımlanır). Talimatları yerine getiremeyeceği durumda veri aktarana derhâl bilgi verir.

Madde 7.2 — Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Veri alıcısı, kişisel verileri Ek I'de belirtilen amaçlarla bağlantılı, sınırlı ve ölçülü olarak işler. Veri alıcısı (Lawwit), bu verileri (Kullanıcı İçeriği) model eğitimi veya başka bir müşteriye hizmet sunumu amacıyla KESİNLİKLE kullanmaz.

Madde 7.3 — Doğruluk ve Güncellik: Veri alıcısı, aktarılan kişisel verilerin yanlış veya güncelliğini yitirmiş olduğunu fark ederse gecikmeksizin veri aktaranı bilgilendirir ve verilerin imhası veya düzeltilmesi için iş birliği yapar.

Madde 7.4 — İşleme Süresi ve İmha/Geri Gönderme: Veri alıcısı yalnızca Ek I'de belirtilen süre kadar işleme faaliyeti gerçekleştirebilir. İşleme faaliyetinin sona ermesi durumunda (örn. Ana Sözleşme'nin feshi), veri aktaranın tercihine bağlı olarak veri alıcısı; işlediği bütün kişisel verileri yedekleriyle birlikte geri gönderir veya tamamen yok eder ve bunu belgelendirir.

Madde 7.5 — Aydınlatma Yükümlülüğü: Veri aktaran, talep üzerine bu Sözleşmenin bir nüshasını ilgili kişiye ücretsiz sağlar; ticari sır ve gizli bilgilerin korunması için gerekli ölçüde metinde çıkarma yapabilir, bu halde anlamlı bir özet sunar.

Madde 7.6 — Veri Güvenliği: Veri alıcısı ve aktarım aşamasında veri aktaran; verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alır. Veri alıcısı, personel erişimini işin gerektirdiği ölçüyle sınırlar (Lawwit personeli, Gizlilik Politikası uyarınca, yasal zorunluluk veya teknik destek talebi dışında Kullanıcı İçeriği'ne erişemez). Veri ihlali hâlinde veri alıcısı gerekli tedbirleri alır ve durumu gecikmeksizin veri aktarana bildirir; bildirim, Kurul'un ilan ettiği Veri İhlali Bildirim Formu kullanılarak yapılır.

Madde 7.7 — Özel Nitelikli Kişisel Veriler: Veri alıcısı, özel nitelikli kişisel verilerin hassas niteliğine uygun ilave teknik ve idari tedbirleri alır; Kurul tarafından belirlenen yeterli önlemler saklıdır.

Madde 7.8 — Sonraki Aktarımlar: Veri alıcısına aktarılan kişisel veriler, ancak veri aktaranın talimatıyla ve Kanunda öngörülen hallerde (yeterlilik kararı verilen ülke, uygun güvenceler, hakkın tesisi/korunması için zorunluluk, hayati menfaat) üçüncü bir tarafa aktarılabilir.

Madde 7.9 — Belgeleme ve Uyumluluk: Veri alıcısı, işleme faaliyetine ilişkin soruları gecikmeksizin cevaplar; kayıtları tutar ve saklar; veri aktaranın talebi üzerine denetime izin verir ve destek olur. Denetim, bağımsız denetçi eliyle de yapılabilir.

Madde 8 — Alt Veri İşleyen (Genel Yetkilendirme): Veri alıcısı, işleme faaliyetlerini veri aktaranın önceden onay verdiği listede yer alan alt veri işleyenlere devredebilir. Listedeki değişiklikler en az 15 gün önce yazılı olarak bildirilir ve itiraz için yeterli süre tanınır. Alt veri işleyenle, bu Sözleşmedeki güvenceleri asgari olarak içeren yazılı bir sözleşme yapılır; veri alıcısı, alt veri işleyenin yükümlülüklerini yerine getirmesinden veri aktarana karşı tamamen sorumludur.

Madde 9 — İlgili Kişi Hakları: Veri alıcısı, ilgili kişiden aldığı her talebi derhâl veri aktarana bildirir; yetkilendirilmediği müddetçe talebi kendisi sonuçlandırmaz ve veri aktarana yardımcı olur.

Madde 10 — Hak Arama Yöntemleri: İlgili kişi, üçüncü taraf yararlanıcı haklarına ilişkin taleplerini veri alıcısına (irtibat noktası: satis@lawwit.ai) iletebilir. Uyuşmazlıklar öncelikle dostane şekilde çözülmeye çalışılır; ilgili kişinin Kurul'a şikâyette bulunma ve görevli/yetkili mahkemelere başvurma hakkı saklıdır. Veri alıcısı, Türk hukukuna göre bağlayıcı kararlara uyacağını taahhüt eder.

Madde 11 — Sorumluluk: Taraflardan her biri, bu Sözleşmenin ihlaliyle ortaya çıkan zararlardan diğer tarafa karşı sorumludur (Ana Sözleşme'deki sorumluluk sınırlaması hükümleri saklıdır). İlgili kişi, üçüncü taraf yararlanıcı haklarının ihlali nedeniyle uğradığı maddi/manevi zarar için tazminat talep edebilir; müteselsil sorumluluk ve kusur oranında rücu hakları Sözleşmede düzenlendiği şekildedir.

Madde 12 — Denetim: Veri alıcısı, Kurum'la iş birliği yapmayı, Kurul'un yetkisine tabi olmayı ve Kurul kararlarını yerine getirmeyi kabul eder.

Üçüncü Bölüm — Ulusal Hukuk ve Kamu Makamlarının Erişimi

Madde 13 — Sözleşmeye Uyumu Etkileyen Ulusal Hukuk: Veri alıcısı, aktarılacak kişisel verilere ilişkin olarak bu Sözleşmeye aykırı bir ulusal düzenleme veya uygulama olmadığını beyan ve taahhüt eder; taahhütlerini etkilemesi muhtemel bir mevzuat/uygulama değişikliğini derhâl bildirir. Bu durumda veri aktaranın aktarımı askıya alma veya Sözleşmeyi feshetme hakkı saklıdır.

Madde 14 — Kamu Makamlarının Erişimi: Veri alıcısı; aktarılan kişisel verilere ilişkin idari veya adli bir makamdan gelen taleplerden veya doğrudan erişimden haberdar olması hâlinde derhâl veri aktarana bildirimde bulunur.

Dördüncü Bölüm — Son Hükümler

Madde 15 — Sözleşmeye Uyulmaması ve Fesih: Veri alıcısı, Sözleşmeye uygunluk sağlayamaması hâlinde veri aktaranı derhâl bilgilendirir. İhlal hâlinde veri aktaran, uygunluk sağlanıncaya kadar aktarımı askıya alır; askıya almadan itibaren bir ay içinde uygunluk sağlanmaması, önemli/sürekli ihlal veya yetkili mahkeme/Kurul kararlarının yerine getirilmemesi hâllerinde Sözleşmeyi feshedebilir ve Kurul'u bilgilendirir. Fesih hâlinde veriler, veri aktaranın tercihine göre yedekleriyle birlikte geri gönderilir veya tamamen yok edilir ve belgelendirilir.

Madde 16 — Sözleşmenin Kurum'a Bildirilmesi: Sözleşme, mevzuatın öngördüğü süre içinde Kurum'a bildirilir.

Madde 17 — Uygulanacak Hukuk: Bu Sözleşme Türk hukukuna tabidir.

Madde 18 — Görevli ve Yetkili Mahkeme: Bu Sözleşmeden kaynaklanan uyuşmazlıklar Türk mahkemelerince görülür. Tacirler arası uyuşmazlıklarda İstanbul (Çağlayan) mahkemeleri yetkilidir. Taraflar, Türk mahkemelerinin yargı yetkisini tanımayı kabul eder.

İmza / Elektronik Onay

Kullanıcı, platformda ilgili onay kutucuğunu işaretleyerek, ödeme/üyelik işlemini tamamlayarak veya hizmetleri kullanmaya devam ederek işbu metni ve atıf yapılan ekleri okuduğunu, anladığını ve kabul ettiğini beyan eder. Elektronik kabul, ıslak imza ile aynı hukuki sonucu doğuracak kabul beyanı niteliğindedir.