Veri İşleme Ek Sözleşmesi

Taraflar. “Müşteri”: Sipariş Formu'nda tanımlanan kurum (veri sorumlusu). “SkillCort”: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, ABD (veri işleyen). İşbu Veri İşleme Ek Sözleşmesi (“VİES”), Müşteri ile SkillCort arasındaki sözleşmeye dâhildir ve Sözleşme'nin yürürlük tarihi itibarıyla hüküm doğurur.

1. Konu, süre, niteliği ve amacı

SkillCort, SkillCort değerlendirme platformunu sağlamak üzere Müşteri adına kişisel veri işler: adaylara değerlendirme sunulması, yanıtların ve iş örneği çıktılarının alınması, Müşteri tarafından yapılandırılan isteğe bağlı gözetim, değerlendirme ve raporlama. İşleme, Sözleşme süresi boyunca ve 8. bölümdeki silme süresi eklenerek devam eder.

2. İlgili kişi ve kişisel veri kategorileri

• İlgili kişiler: Müşteri tarafından davet edilen adaylar ve katılımcılar; Müşteri'nin personel kullanıcıları.
• Kişisel veriler: kimlik ve iletişim verileri (ad, e-posta); değerlendirme yanıtları, yüklenen dosyalar ve iş örneği çıktıları; teknik veriler (IP adresi, tarayıcı/cihaz, zaman damgaları); değerlendirme sonuçları ve karar kayıtları; Müşteri tarafından etkinleştirildiğinde gözetim verileri (kamera fotoğrafı/videosu, ekran görüntüsü/kaydı, davranışsal bütünlük olayları).
• Özel nitelikli veriler: talep edilen hiçbir özel nitelikli veri yoktur — değerlendirmeler özel nitelikli veri elde etmeye yönelik tasarlanamaz (Kullanım Koşulları §5). Müşteri kimlik incelemesini etkinleştirdiğinde, adayın oturum özçekimi, kimlik belgesi görüntüsü ve kurumun sağladığı isteğe bağlı referans fotoğrafı, adayın ayrı ve açık rızasıyla yetkili bir kişinin yan yana incelemesi için işlenir. Otomatik yüz eşleştirme, galeri araması veya adaylar arası eşleştirme yapılmaz, biyometrik yüz şablonu saklanmaz ve kimlik kararını adı belirli bir inceleyici kaydeder. Müşteri, kamera/mikrofon kayıtlarının bir kişinin görüntüsünü ve sesini içerdiğini kabul eder ve kendi yargı bölgesindeki özel nitelikli veri gerekliliklerini değerlendirecektir.

3. Belgelenmiş talimatlar

SkillCort, kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda (Sözleşme, işbu VİES ve Müşteri'nin platformdaki yapılandırması — hangi gözetim özelliklerinin açık olduğu ve gözetim saklama süresi dâhil) işler; hukuken zorunlu olduğu hâller saklıdır ve bu durumda SkillCort, hukuk yasaklamadıkça işlemeden önce Müşteri'yi bilgilendirir. SkillCort, kendi görüşüne göre bir talimatın veri koruma mevzuatını ihlal ettiğini düşünürse Müşteri'yi bilgilendirir.

4. Gizlilik ve personel

Kişisel veri işlemeye yetkili kişiler gizlilik yükümlülüğü altındadır ve verilere bilmesi-gereken, en az ayrıcalık ve rol tabanlı esasa göre erişir.

5. Güvenlik (m. 32)

SkillCort uygun teknik ve idari tedbirleri uygular; bunlar arasında: aktarım sırasında ve saklandığı yerde şifreleme; kiracı ayrımı; rol tabanlı erişim kontrolleri; gözetim medyası için özel (kamuya kapalı) depolama; günlük yedekler; puanlar ve kararlar için yalnızca-ekleme yapılan denetim geçmişi; yapılandırılan medya saklama süresi sonunda gözetim medyasının ve bütünlük sinyali olaylarının otomatik silinmesi bulunur. Medya olmayan kimlik inceleme kararları ve denetim ayrıntıları ayrı değerlendirme verisi süresine tabidir. Tedbirlerin güncel açıklaması skillcort.com/trust adresindedir.

6. Alt işleyiciler

Müşteri, skillcort.com/legal/subprocessors adresinde listelenen alt işleyicilere genel yetki verir (Ek 1). SkillCort, eklenmesi veya değiştirilmesi planlanan alt işleyicileri en az 30 gün önceden Müşteri'ye bildirir; Müşteri makul veri koruma gerekçeleriyle itiraz edebilir, bu hâlde taraflar bir çözüm arar ve çözüm bulunamazsa Müşteri etkilenen hizmeti feshedebilir. SkillCort, alt işleyicilere işbu VİES'ten daha az koruyucu olmayan veri koruma yükümlülükleri getirir ve onların edimlerinden sorumlu kalır.

SkillCort, esaslı her alt işleyiciyi en az on iki (12) ayda bir ve esaslı bir değişiklik, doğrulanmış bir güvenlik olayı ya da alt işleyicinin veri koruma risk profilini makul ölçüde etkileyen başka bir olay sonrasında belgelenmiş biçimde gözden geçirir; güncel inceleme kaydı SkillCort'un sağlayıcı uyum kütüğünde tutulur.

7. Yurt dışına aktarım

Platform verileri AB'de (Frankfurt) barındırılır. Verilere, hizmetin işletilmesi amacıyla ABD'den SkillCort (bir ABD tüzel kişisi) tarafından erişilir ve işlemsel e-posta ABD'de işlenir. Aktarımlar şu esaslara dayanır: (a) AB/AEA verileri için — tarafların işbu VİES'in parçası saydığı Standart Sözleşme Hükümleri (Modül İki: veri sorumlusu → veri işleyen ve uygulanabildiği ölçüde Modül Üç), aktarım etki değerlendirmesi ve tamamlayıcı tedbirlerle desteklenir; (b) Türk hukukuna tabi veriler için — 6698 sayılı Kanun'un 9. maddesi uyarınca Kişisel Verileri Koruma Kurumu tarafından yayımlanan standart sözleşme, Türkiye'ye ilişkin işleme için Sipariş Formu ile birlikte taraflarca imzalanır ve beş iş günü içinde Kurum'a bildirilir.

8. Silme ve iade

Fesih veya sona erme sonrasında Müşteri Verisi, Müşteri'nin veri dışa aktarımını tamamlayabilmesi için 30 güne kadar erişilebilir kalabilir. Bu sürenin sonunda SkillCort veriyi aktif üretim sistemlerinden siler; şifreli yedeklerdeki artık kopyalar olağan yedekleme döngüsü içinde en fazla 90 gün içinde silinir veya üzerine yazılır. Mevzuat gereği tutulması zorunlu kayıtlar ile hukuki taleplerin tesisi, kullanılması veya savunulması için dar kapsamda gerekli kayıtlar bunun dışındadır. Güvenlik, erişim ve denetim kayıtları, yedeklerden ayrı olarak Gizlilik Politikası'ndaki saklama sürelerine tabidir. Gözetim medyası — kimlik doğrulama medyası ve incelemede kullanılan referans fotoğraf sürümleri dâhil — ve bütünlük sinyali olayları, sözleşme durumundan bağımsız olarak Müşteri'nin yapılandırdığı medya saklama süresinin sonunda (varsayılan 90 gün) otomatik silinir. Müşteri, oturum kapsamlı medyanın ve bütünlük sinyali olaylarının daha erken silinmesini ürün içinden de başlatabilir. Medya olmayan kimlik inceleme kararları, adı belirli inceleyici bilgileri, notlar ve silinmiş medyaya yapılan atıflar ayrı değerlendirme verisi saklama süresine tabidir.

9. Yardım yükümlülüğü

SkillCort, işlemenin niteliğini dikkate alarak, ilgili kişi taleplerinin yanıtlanmasında (GDPR m. 12–23; KVKK m. 11) ve Müşteri'nin GDPR m. 32–36 kapsamındaki yükümlülüklerinde (güvenlik, ihlal bildirimi, DPIA, ön danışma) uygun teknik ve idari tedbirlerle Müşteri'ye yardımcı olur. Doğrudan SkillCort'a ulaşan ilgili kişi talepleri gecikmeksizin Müşteri'ye iletilir.

10. Kişisel veri ihlali

SkillCort, Müşteri'nin verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin Müşteri'yi bilgilendirir ve Müşteri'nin bildirim yükümlülükleri için makul ölçüde gerekli bilgileri sağlar (GDPR m. 33–34; KVKK m. 12(5)).

11. Denetimler

SkillCort, işbu VİES'e uygunluğu göstermek için gerekli bilgileri sunar ve Müşteri veya yetkilendirdiği denetçi tarafından yürütülen denetimlere — yerinde incelemeler dâhil — imkân tanır ve katkı verir. Müşteri denetim hakkını herhangi bir on iki (12) aylık dönemde birden fazla kullanamaz; doğrulanmış bir kişisel veri ihlali, yetkili bir denetim otoritesinin talebi veya işbu VİES'e esaslı aykırılığa dair makul delil hâlleri saklıdır. Denetimler en az 30 gün önceden yazılı bildirim gerektirir, gizlilik taahhütlerine tabidir, SkillCort'un faaliyetlerini asgari düzeyde aksatacak biçimde yürütülmelidir ve hiçbir hâlde diğer müşterilerin verilerine erişimi içermez. Taraflar, kapsamı makul ölçüde karşıladıkları ölçüde öncelikle mevcut bağımsız denetim raporlarına ve SkillCort'un yayımlanmış güvenlik belgelerine başvurur; bu temelin ötesindeki aşırı veya özel denetim taleplerinin masrafları Müşteri'ye aittir.

12. Sorumluluk ve öncelik sırası

Sorumluluk Sözleşme'ye tabidir. Kişisel veri işlemeye ilişkin olarak Sözleşme ile işbu VİES arasında çelişki bulunması hâlinde işbu VİES üstün gelir; imzalanmış Standart Sözleşme Hükümleri ve standart sözleşmeler, çelişki ölçüsünde her ikisine de üstün gelir.

KVKK eki

Müşteri'nin Türkiye'de yerleşik olduğu veya adayların Türkiye'de bulunduğu hâllerde taraflar ayrıca Türk standart sözleşmesini (veri işleyen ilişkisi) imzalar ve beş iş günü içinde Kurum'a bildirir. Adaylara karşı aydınlatma yükümlülüğü, veri sorumlusu sıfatıyla Müşteri'ye aittir; Müşteri kendi metnini veya SkillCort'un sunduğu şablonu kullanabilir.

İşbu VİES'i kurumunuz için imzalamak ya da imzalı nüshalar ve aktarım belgeleri için: privacy@skillcort.com.