Veri İşleme Sözleşmesi

KVKK md. 12 · Sürüm · Firma yöneticisi tarafından Firma adına elektronik olarak onaylanır; onaylayan, sürüm ve zaman kayıt altına alınır.

1. Taraflar ve roller

Veri Sorumlusu: OculaMeet ile hizmet sözleşmesi yapan Firma. Veri İşleyen: (“OculaMeet”). Bu sözleşme Kullanım Koşulları'nın ayrılmaz parçasıdır.

2. Konu ve kapsam

OculaMeet, Firma'nın çalışanlarına ve oturum düzenlediği kişilere yönelik canlı eğitim ve toplantıların yürütülmesi, katılımın kaydı ve raporlanması amacıyla, Aydınlatma Metni'nde sayılan kişisel verileri yalnızca Firma adına ve Firma'nın talimatları doğrultusunda işler. Hizmetin ayarları (onaylı giriş, ölçüm özelliği, kota) Firma talimatı sayılır.

3. Veri sorumlusunun (Firma) yükümlülükleri

1. Katılımcıları aydınlatmak (platformun Aydınlatma Metni bu amaçla sunulur; Firma ayrıca kendi metnini kullanabilir) ve işleme için geçerli hukuki sebebe sahip olmak.
2. Ölçüm özelliğini açarsa: katılımcıların rızasının özgür iradeye dayanmasını sağlamak; rıza vermemeyi ya da geri almayı hiçbir şekilde olumsuz sonuca bağlamamak; göstergeleri ve rıza durumunu işe alım, disiplin, performans, ücret, terfi, görev değişikliği ya da fesih kararlarında kullanmamak.
3. Varsa Veri Sorumluları Sicili (VERBİS) yükümlülüklerini yerine getirmek; ilgili kişi başvurularını yanıtlamak; mevzuattan doğan saklama yükümlülüklerini kendi sistemlerinde karşılamak.
4. Kendi hesaplarının (firma yöneticisi, eğitmen) güvenliğini sağlamak ve bu hesapları yetkisiz kişilere kullandırmamak.

4. Veri işleyenin (OculaMeet) yükümlülükleri

1. Verileri yalnızca bu sözleşmedeki amaçla ve Firma talimatıyla işlemek; kendi amaçları için kullanmamak, satmamak, profil çıkarmamak.
2. Verilere erişen personelini gizlilik yükümlülüğü altına almak.
3. En az şu teknik ve idari tedbirleri uygulamak: iletimde şifreleme (HTTPS/TLS; medya için WebRTC DTLS-SRTP); rol bazlı yetkilendirme ve sunucu tarafı erişim kuralları (bir firma başka bir firmanın verisini göremez); görüntü, ses ve sohbetin kaydedilmemesi; ölçümün cihazda yapılması ve bireysel ölçümün sunucuda saklanmaması; en az 5 kişi koşuluyla toplulaştırma; bağlantı mesajlarının 24 saatte otomatik silinmesi; yönetim işlemlerinin denetim kaydına yazılması.
4. Alt veri işleyenler: Google Ireland Ltd. / Google LLC (Firebase: veritabanı, kimlik doğrulama, barındırma, sunucu fonksiyonları; veri konumu AB “eur3”) ve Cloudflare, Inc. (WebRTC bağlantı rölesi). Yeni bir alt veri işleyen eklenmeden önce Firma'ya bildirilir; Firma makul gerekçeyle itiraz edebilir.
5. Yurt dışına aktarım: alt veri işleyenlere aktarım KVKK md. 9 kapsamındadır; OculaMeet bu aktarımlar için Kurul'un ilan ettiği standart sözleşmeleri imzalar ve mevzuattaki bildirim yükümlülüklerini yerine getirir.
6. İhlal bildirimi: kişisel veri ihlalini öğrendiğinde, Firma'nın Kurul'a ve ilgili kişilere bildirim yükümlülüğünü süresinde yerine getirebilmesi için Firma'ya gecikmeksizin ve en geç 24 saat içinde bildirir; bildirime ihlalin niteliğini, etkilenen veri kategorilerini ve alınan önlemleri ekler.
7. İlgili kişi başvurularının yanıtlanmasında ve Kurul incelemelerinde Firma'ya makul destek vermek.
8. Sözleşme sonunda: Firma'nın katılım kayıtlarını ve raporlarını Firma'ya dışa aktarılabilir biçimde teslim etmek ve sona ermeden itibaren en geç 30 gün içinde kendi sistemlerinden silmek; kanunen saklanması zorunlu olanlar hariç.

5. Sorumluluk

KVKK md. 12/2 uyarınca taraflar, veri güvenliği tedbirlerinin alınması konusunda ilgili kişilere karşı müteselsilen sorumludur. İç ilişkide her taraf kendi kusuru oranında sorumludur. Firma'nın talimatından, bu sözleşmenin 3. maddesindeki yükümlülüklerin ihlalinden ya da ölçüm göstergelerinin taahhüt dışı kullanımından doğan talepler ve zararlar Firma'ya aittir; OculaMeet'in bu nedenle ödemek zorunda kaldığı tutarlar Firma'dan rücu edilir. Diğer hâllerde Kullanım Koşulları md. 10'daki sınırlar uygulanır; kast ve ağır ihmal hâlleri saklıdır.

6. Ölçüm özelliğine ilişkin özel hükümler

1. Ölçüm özelliği varsayılan olarak kapalıdır; Firma sözleşmesinde izin verilmiş ve eğitmen tarafından o oturum için açılmış olmalıdır. Katılımcı ayrıca açık rıza vermelidir.
2. Ölçüm duygu tanıma değildir; duygu, niyet ya da kişilik çıkarımı yapılmaz. Göstergeler fizyolojik ölçümlere (göz kırpma, göz kapağı kapanması, baş/bakış yönelimi, esneme) dayanır, tıbbi değildir.

7. Denetim

Firma, yılda en fazla bir kez ve makul bir süre önce bildirerek, bu sözleşmeye uyumu belge ve yazılı açıklama yoluyla denetleyebilir.

8. Süre

Bu sözleşme, hizmet ilişkisi süresince ve 4/8. maddedeki teslim ve silme tamamlanana kadar yürürlükte kalır.

Veri İşleyen: · · MERSİS · KEP

Data Processing Agreement

KVKK Art. 12 · Version · Accepted electronically by the organisation administrator on behalf of the Organisation; the approver, version and time are recorded.

This is a translation provided for convenience. In case of any discrepancy, the Turkish version prevails.

1. Parties and roles

Data Controller: the Organisation that has a service agreement with OculaMeet. Data Processor: (“OculaMeet”). This agreement forms an integral part of the Terms of Use.

2. Subject and scope

To run live trainings and meetings for the Organisation's employees and the people it holds sessions for, and to record and report attendance, OculaMeet processes the personal data listed in the Privacy Notice solely on behalf of and on the instructions of the Organisation. Service settings (approved entry, measurement feature, quota) are deemed Organisation instructions.

3. Obligations of the controller (Organisation)

1. To inform participants (the platform's Privacy Notice is provided for this purpose; the Organisation may also use its own notice) and to have a valid legal basis for processing.
2. If it enables measurement: to ensure participants' consent is freely given; never to attach any negative consequence to declining or withdrawing consent; and not to use the indicators or consent status in hiring, disciplinary, performance, pay, promotion, reassignment or termination decisions.
3. To fulfil any Data Controllers' Registry (VERBİS) obligations; to respond to data subject requests; and to meet statutory retention obligations in its own systems.
4. To secure its own accounts (organisation administrator, trainer) and not let unauthorised persons use them.

4. Obligations of the processor (OculaMeet)

1. To process data only for the purpose of this agreement and on Organisation instructions; not to use it for its own purposes, sell it or build profiles.
2. To bind its personnel with access to the data to confidentiality.
3. To apply at least the following technical and organisational measures: encryption in transit (HTTPS/TLS; WebRTC DTLS-SRTP for media); role-based authorisation and server-side access rules (no organisation can see another's data); no recording of video, audio or chat; measurement performed on-device and no storage of individual measurements on the server; aggregation subject to a minimum of 5 people; automatic deletion of connection messages within 24 hours; logging of administrative actions in an audit trail.
4. Sub-processors: Google Ireland Ltd. / Google LLC (Firebase: database, authentication, hosting, server functions; data location EU “eur3”) and Cloudflare, Inc. (WebRTC connection relay). The Organisation is notified before a new sub-processor is added and may object on reasonable grounds.
5. Transfers abroad: transfers to sub-processors fall under KVKK Art. 9; OculaMeet signs the standard contracts published by the Board for these transfers and fulfils the statutory notification obligations.
6. Breach notification: on becoming aware of a personal data breach, OculaMeet notifies the Organisation without undue delay and within 24 hours at the latest, so that the Organisation can meet its notification obligations to the Board and data subjects in time, including the nature of the breach, affected data categories and measures taken.
7. To provide reasonable support to the Organisation in responding to data subject requests and Board inquiries.
8. At the end of the agreement: to hand over the Organisation's attendance records and reports in an exportable form and delete them from its systems within 30 days of termination, except data required to be retained by law.

5. Liability

Under KVKK Art. 12/2, the parties are jointly and severally liable towards data subjects for taking data security measures. Internally, each party is liable in proportion to its fault. Claims and damages arising from the Organisation's instructions, a breach of its obligations under Section 3, or use of the measurement indicators contrary to its undertakings are borne by the Organisation; amounts OculaMeet has to pay for these reasons are recoverable from the Organisation. Otherwise the limits in Section 10 of the Terms of Use apply; intent and gross negligence are reserved.

6. Special provisions on the measurement feature

1. Measurement is off by default; it must be permitted in the Organisation's agreement and enabled by the trainer for that session. The participant must additionally give explicit consent.
2. Measurement is not emotion recognition; no emotion, intention or personality is inferred. The indicators are based on physiological measurements (blinking, eyelid closure, head/gaze orientation, yawning) and are not medical.

7. Audit

The Organisation may audit compliance with this agreement by documents and written statements, at most once a year and with reasonable prior notice.

8. Term

This agreement remains in force for the duration of the service relationship and until the hand-over and deletion under Section 4/8 are completed.

Data Processor: · · MERSIS · KEP