Veri İşleyen Sözleşmesi (DPA)
Kullanıcı Sözleşmesi'nin ekidir.
Bu ek, Muhit'i kullanan emlak danışmanı ("Veri Sorumlusu" — siz) ile Muhit'i işleten Atakan Seyhan ("Veri İşleyen" — biz) arasında, siz Muhit'e üçüncü kişilere (müşterileriniz, mülk sahipleri, alıcılar) ait kişisel verileri girdiğinizde geçerli olan şartları belirler.
Rol ayrımı:
- Sizin hesap verileriniz (ad, e-posta, telefon, kullanım) bakımından Muhit veri sorumlusudur (bkz. KVKK Aydınlatma Metni).
- Sizin girdiğiniz müşteri/üçüncü kişi verileri bakımından siz veri sorumlususunuz, Muhit veri işleyendir — bu belge o ilişkiyi düzenler.
1. İşlemenin Konusu ve Süresi
- Konu: Muhit hizmetinin sunulması kapsamında, Veri Sorumlusu'nun uygulamaya girdiği kişisel verilerin barındırılması ve işlenmesi.
- Süre: Kullanıcı Sözleşmesi yürürlükte olduğu sürece.
2. İşlenen Veri Türleri ve İlgili Kişi Kategorileri
| İlgili kişi | Veri türleri |
|---|---|
| Müşteriler / talep sahipleri | Ad-soyad, telefon, e-posta, aradığı mülk kriterleri, bütçe, bölge, notlar, görüşme/aktivite geçmişi |
| Mülk sahipleri / satıcılar | Ad-soyad, iletişim, portföy ve yetki belgesi bilgileri |
| Alıcılar / teklif verenler | Ad-soyad, teklif ve süreç bilgileri |
3. İşlemenin Amacı ve Talimatlar
Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'nun talimatları doğrultusunda ve hizmetin sunulması amacıyla işler:
- Verilerin saklanması, gösterilmesi, güncellenmesi, silinmesi
- Kural bazlı eşleştirme ve hatırlatıcı üretimi
- Yedekleme ve Veri Sorumlusu'nun talebi üzerine dışa aktarma
Veri İşleyen bu verileri kendi amaçları için kullanmaz, üçüncü taraflara satmaz, reklam/profilleme yapmaz.
4. Veri İşleyenin Yükümlülükleri
- Verileri gizli tutmak; erişimi yalnızca görevi gereği ihtiyaç duyan kişilerle sınırlamak
- KVKK ve ilgili mevzuata uygun teknik ve idari tedbirleri almak (bkz. Madde 6)
- Bir veri ihlali fark ettiğinde gecikmeksizin ve en geç 48 saat içinde Veri Sorumlusu'nu bilgilendirmek
- İlgili kişilerin (müşterilerin) haklarını kullanma taleplerini Veri Sorumlusu'na yönlendirmek ve makul destek sağlamak
- Veri Sorumlusu'nun, yükümlülüklerine uyumu değerlendirmesi için gerekli bilgiyi sağlamak
5. Alt İşleyenler
Veri İşleyen, hizmeti sunmak için aşağıdaki alt işleyenleri kullanır ve Veri Sorumlusu bunlara onay verir:
| Alt işleyen | Bölge | İşlev |
|---|---|---|
| Supabase | Almanya (AB) | Veritabanı, kimlik doğrulama, dosya depolama |
| Sentry | Almanya (AB) | Hata izleme (kişisel veri içerebilen teknik kayıtlar) |
| Expo / EAS Hosting | ABD | Web uygulamasının barındırılması |
| Apple / Google | ABD | Mobil uygulama dağıtımı, push bildirim |
Yeni bir alt işleyen eklenmeden önce Veri Sorumlusu bilgilendirilir; itiraz hakkı saklıdır.
6. Güvenlik Tedbirleri
- Aktarımda ve dinlenmede şifreleme (TLS; sağlayıcı düzeyinde şifreli depolama)
- Satır bazlı erişim kontrolü (RLS) — her danışman yalnızca kendi/yetkili olduğu ofisin verisine erişir
- Şifrelerin hash'lenerek saklanması
- Portföy evraklarının özel depolama alanında, süreli imzalı bağlantılarla sunulması
- Düzenli yedekleme (sağlayıcı düzeyinde)
- Erişim ve giriş kayıtlarının tutulması
7. Yurt Dışına Aktarım
Alt işleyen listesindeki bazı hizmetler yurt dışında yer aldığından, veriler yurt dışına aktarılır. Veri İşleyen, KVKK m.9'a uygun aktarım mekanizmalarını uygulamayı taahhüt eder.
8. Sözleşmenin Sona Ermesi
Kullanıcı Sözleşmesi sona erdiğinde, Veri İşleyen; Veri Sorumlusu'nun tercihine göre verileri iade eder veya siler ve mevzuatın zorunlu kıldığı hâller dışında kopya tutmaz. Silme, hesap kapanışından itibaren 1 ay içinde tamamlanır.
9. Sorumluluk
Tarafların KVKK kapsamındaki sorumlulukları kendi rollerine göre belirlenir. Veri İşleyen'in bu ekten doğan sorumluluğu, Kullanıcı Sözleşmesi'ndeki sorumluluk sınırına tabidir.