Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi (“Sözleşme”), Eventora Hizmetini kullanan organizatörün, davetlilerine ait kişisel verileri Eventora’ya işletmesine ilişkin koşulları düzenler. Sözleşme, Kullanım Koşulları’nın ayrılmaz bir parçasıdır. Bu Sözleşmede tanımlanmayan terimler Kullanım Koşulları’ndaki ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndaki (“KVKK”) anlamları taşır.

1. Taraflar

Veri sorumlusu: Eventora’da hesap açan ve davetli verisini Hizmete aktaran müşteri, yani Hesap Sahibi olan gerçek veya tüzel kişi (“Veri Sorumlusu”). Elektronik kabulde Veri Sorumlusunun bilgileri, kabul anında Hesapta kayıtlı bilgilerdir.

Veri işleyen: IRON LABS TEKNOLOJİ ANONİM ŞİRKETİ (“Eventora” veya “Veri İşleyen”)

2. Tanımlar

• Davetli Verisi: Veri Sorumlusunun Hizmete yüklediği veya girdiği, ya da Hizmet kullanılırken oluşan, davetlilere ve onlarla birlikte gelen kişilere ait kişisel veriler. Kapsamı Ek 1’de belirtilmiştir.
• İlgili Kişi: Davetli Verisinin ait olduğu gerçek kişi.
• Alt Veri İşleyen: Veri İşleyenin, Davetli Verisini işlemek için görevlendirdiği üçüncü kişi.
• Veri İhlali: Davetli Verisinin hukuka aykırı olarak başkaları tarafından elde edilmesi, açıklanması, değiştirilmesi, kaybolması veya erişilemez hale gelmesine yol açan güvenlik olayı.
• Kurum ve Kurul: Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu.
• Talimat: Veri Sorumlusunun Hizmetin arayüzü üzerinden yaptığı işlemler (davetli ekleme, kampanya başlatma, arama başlatma, silme gibi), bu Sözleşme ve Veri Sorumlusunun yazılı olarak verdiği diğer talimatlar.

3. Konu ve süre

3.1. Bu Sözleşmenin konusu, Veri İşleyenin Hizmeti sunarken Davetli Verisini Veri Sorumlusu adına ve onun talimatlarıyla işlemesine ilişkin hak ve yükümlülüklerin belirlenmesidir.

3.2. Sözleşme, Kullanım Koşulları’nın kabulüyle yürürlüğe girer ve Veri İşleyen Davetli Verisini işlediği sürece, Madde 15’e göre silme veya iade tamamlanana kadar yürürlükte kalır.

4. İşlemenin niteliği ve amacı

4.1. Veri İşleyen, Davetli Verisini yalnızca Hizmeti sunmak için işler. Bu kapsamdaki işlemler şunlardır:

• Davetli listelerinin saklanması, görüntülenmesi ve düzenlenmesi,
• Excel dosyasından davetli listesi aktarımı ve bu sırada sütun eşleştirmesinin yapay zekâ ile önerilmesi,
• Davetlilere WhatsApp ve SMS ile davet, hatırlatma ve etkinlik bilgisi gönderilmesi,
• Davetlilerin yapay zekâ ile sesli olarak aranması, katılım yanıtlarının, notların ve geri arama isteklerinin kaydedilmesi, görüşme metni ve özetinin oluşturulması,
• Katılım yanıtlarının (Katılıyor, Yanıt bekleniyor, Belki, Katılmıyor), kişi sayısının ve birlikte gelenlerin kaydedilmesi,
• Oturma planının hazırlanması ve davetlilerin masalara yerleştirilmesi,
• Mesaj ve aramaların teslim durumlarının izlenmesi ve kredi mutabakatının yapılması.

4.2. İşlemenin ayrıntılı tanımı (veri kategorileri, ilgili kişi grupları, saklama süreleri ve yeri) Ek 1’dedir.

4.3. Veri İşleyen, Davetli Verisini kendi amaçları için, reklam veya pazarlama için kullanmaz, satmaz ve bu Sözleşmede belirtilenler dışında üçüncü kişilere aktarmaz. Veri İşleyen, Hizmetin güvenliğini ve faturalandırmayı sağlamak için kişisel veri içermeyen kayıtları (örneğin bir kampanyada kaç mesajın teslim edildiği) ve toplulaştırılmış istatistikleri kullanabilir.

5. Talimatlar

5.1. Veri İşleyen, Davetli Verisini yalnızca Veri Sorumlusunun belgelenmiş talimatlarıyla işler. Hizmetin arayüzü üzerinden yapılan işlemler ve bu Sözleşme, Veri Sorumlusunun belgelenmiş talimatlarıdır.

5.2. Kanunen zorunlu olduğu hallerde (örneğin bir mahkeme kararı veya yetkili makam talebi) Veri İşleyen, Davetli Verisini talimat dışında işleyebilir. Bu durumda, kanun yasaklamadıkça, Veri Sorumlusunu önceden bilgilendirir.

5.3. Veri İşleyen, bir talimatın KVKK’ya veya diğer mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu derhal bilgilendirir ve talimatın uygulanmasını durdurabilir.

6. Veri Sorumlusunun yükümlülükleri ve beyanları

6.1. Veri Sorumlusu, aşağıdakileri beyan ve taahhüt eder:

• Davetli Verisini Hizmete aktarmak ve davetlilerle WhatsApp, SMS ve sesli arama yoluyla iletişime geçmek için KVKK md. 5 (ve gerektiğinde md. 6) kapsamında geçerli bir hukuki dayanağa sahiptir.
• İlgili Kişileri KVKK md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatmıştır; aydınlatmada verilerin Eventora ve alt veri işleyenleri aracılığıyla, yurt dışına aktarım dahil, işleneceğini belirtmiştir.
• Davetli Verisinin yurt dışına aktarılması için Madde 11’deki aktarımlara talimat verir ve bu aktarımlar için gereken aydınlatmayı yapmıştır.
• Hizmet üzerinden ticari elektronik ileti göndermez; bir ileti bu nitelikte sayılırsa 6563 sayılı Kanun ve ilgili Yönetmelik uyarınca alıcıların önceden onayını almak ve İleti Yönetim Sistemi (İYS) kaydı ve sorgusu kendi sorumluluğundadır.
• Davetli Verisinin doğru ve güncel olmasını sağlar; etkinlik için gerekmeyen verileri, özellikle özel nitelikli kişisel verileri (sağlık, din, etnik köken gibi) Hizmete girmez.
• 18 yaşından küçük davetlilerin verilerini yalnızca gerekli olduğunda ve hukuki dayanağı varsa girer.

6.2. Veri Sorumlusu, Hizmetin arayüzü üzerinden verdiği talimatların (kime, ne zaman, hangi kanalla ulaşılacağı) hukuka uygunluğundan sorumludur.

6.3. Veri Sorumlusu, ekibine verdiği rollerle Davetli Verisine kimin erişeceğini belirler ve Ekip Üyelerinin bu Sözleşmeye uymasını sağlar.

6.4. Hesap Sahibi, Davetli Verisini başka bir veri sorumlusu adına (örneğin bir ajansın, düğün sahipleri adına) işliyorsa, o veri sorumlusundan Eventora’yı alt veri işleyen olarak kullanma yetkisi aldığını ve bu Sözleşmedeki yükümlülükleri o veri sorumlusuna karşı da sağladığını beyan eder.

7. Veri İşleyenin yükümlülükleri

Veri İşleyen;

• Davetli Verisini yalnızca bu Sözleşmeye ve talimatlara uygun olarak işler,
• KVKK md. 12 uyarınca Ek 2’deki teknik ve idari tedbirleri alır ve sürdürür,
• Davetli Verisine yalnızca işi gereği erişmesi gereken personelin erişmesini sağlar (Madde 8),
• Alt veri işleyenleri Madde 10’a göre görevlendirir,
• İlgili Kişi başvurularında (Madde 12) ve veri ihlallerinde (Madde 13) Veri Sorumlusuna yardımcı olur,
• Veri Sorumlusunun bu Sözleşmeye uyumu göstermesi için gerekli bilgileri Madde 14’e göre sağlar,
• Sözleşme sona erdiğinde Davetli Verisini Madde 15’e göre siler veya iade eder,
• Davetli Verisini kaydeden günlüklerde (log) ad, telefon numarası, mesaj içeriği ve görüşme metni tutmaz.

8. Personelin gizlilik yükümlülüğü

8.1. Veri İşleyen, Davetli Verisine erişebilen çalışanlarının ve yardımcılarının yazılı gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük, görevleri sona erdikten sonra da devam eder.

8.2. Personelin Davetli Verisine erişimi, Hizmeti işletmek, destek talebini yanıtlamak, güvenlik olayını incelemek veya yasal bir yükümlülüğü yerine getirmek için gerekli olanla sınırlıdır. Personel, KVKK konusunda bilgilendirilir.

9. Güvenlik tedbirleri

9.1. Veri İşleyen, Davetli Verisinin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için KVKK md. 12’de öngörülen ve Kurul’un Kişisel Veri Güvenliği Rehberi’nde önerilen tedbirleri, işlemenin niteliğine ve risklere uygun olarak alır. Alınan tedbirler Ek 2’dedir.

9.2. Veri İşleyen, tedbirleri teknolojik gelişmelere ve risklere göre güncelleyebilir. Güncellemeler, koruma düzeyini düşüremez.

9.3. Taraflar, KVKK md. 12/2 uyarınca güvenlik tedbirlerinin alınmasından Veri Sorumlusu ile Veri İşleyenin müştereken sorumlu olduğunu kabul eder. Veri Sorumlusu da Hesabının güvenliği (şifreler, roller, cihazlar) için Kullanım Koşulları’nda belirtilen önlemleri alır.

10. Alt veri işleyenler

10.1. Veri Sorumlusu, Veri İşleyenin Ek 3’te listelenen alt veri işleyenleri görevlendirmesine genel olarak izin verir.

10.2. Veri İşleyen, her alt veri işleyenle, bu Sözleşmedekilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar ve alt veri işleyene yalnızca işin gerektirdiği en az veriyi gönderir. Alt veri işleyenin yükümlülüklerini yerine getirmemesinden Veri İşleyen, Veri Sorumlusuna karşı kendi fiilinden sorumlu olduğu gibi sorumludur.

10.3. Veri İşleyen, yeni bir alt veri işleyen eklemeden veya mevcut birini değiştirmeden en az 15 gün önce, Veri Sorumlusunu e-posta ile veya Hizmet içinde bilgilendirir ve Ek 3’ü günceller.

10.4. Veri Sorumlusu, bildirimden itibaren 15 gün içinde, veri korumaya ilişkin makul gerekçelerle değişikliğe kvkk@eventora.com.tr adresine yazarak itiraz edebilir. Taraflar makul bir çözüm bulamazsa Veri Sorumlusu, Kullanım Koşulları’ndaki şekilde hesabını silerek sözleşmeyi sona erdirebilir. Süresinde itiraz edilmemesi, değişikliğin kabulü anlamına gelir.

10.5. Acil durumlarda (örneğin bir alt veri işleyenin hizmetinin aniden sona ermesi veya bir güvenlik riski) Veri İşleyen, değişikliği bildirimle eş zamanlı yapabilir; Veri Sorumlusunun itiraz hakkı saklıdır.

11. Yurt dışına aktarım

11.1. Davetli Verisi, Google Cloud’un Belçika’daki (europe-west1) veri merkezlerinde saklanır. Bazı alt veri işleyenler veriyi Avrupa Birliği’nde, Amerika Birleşik Devletleri’nde veya başka ülkelerde işler. Aktarımlar ve ülkeler Ek 3’tedir.

11.2. Yurt dışına aktarımlar, KVKK md. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yapılır: aktarılan ülke için Kurul’un yeterlilik kararı varsa ona dayanılarak, yoksa Kurul’un ilan ettiği standart sözleşmeler imzalanarak. Veri İşleyen, imzaladığı standart sözleşmeleri, imzadan itibaren 5 iş günü içinde Kurum’a bildirir.

11.3. Arızi aktarımlara ilişkin istisnalara (örneğin ilgili kişinin açık rızası) yalnızca yukarıdaki güvencelerin bulunmadığı, düzenli olmayan aktarımlar için ve Veri Sorumlusuyla birlikte değerlendirilerek başvurulur.

11.4. Veri Sorumlusu, bu maddede ve Ek 3’te belirtilen aktarımlar için Veri İşleyene talimat verir.

12. İlgili Kişi başvurularına destek

12.1. Davetlilerin KVKK md. 11’deki haklarına ilişkin başvurular Veri Sorumlusuna yapılır ve onun tarafından yanıtlanır. Veri Sorumlusu, Hizmetin arayüzünden davetli bilgilerini görüntüleyebilir, düzeltebilir ve silebilir.

12.2. Bir davetli başvurusunu doğrudan Veri İşleyene yaparsa, Veri İşleyen başvuruyu gecikmeksizin Veri Sorumlusuna iletir ve davetliyi, başvurunun veri sorumlusu olan organizatöre yapılması gerektiği konusunda bilgilendirir. Veri İşleyen, kanunen zorunlu olmadıkça başvuruyu kendisi yanıtlamaz.

12.3. Arayüzün yetmediği durumlarda (örneğin arşivlenmiş bir etkinlikteki veya mesaj ve arama kayıtlarındaki verilerin silinmesi), Veri Sorumlusu kvkk@eventora.com.tr adresine yazarak yardım isteyebilir. Veri İşleyen, Veri Sorumlusunun 30 günlük yasal yanıt süresine uyabilmesini sağlayacak şekilde, makul süre içinde yardımcı olur.

13. Veri ihlali bildirimi

13.1. Veri İşleyen, Davetli Verisini etkileyen bir Veri İhlalini öğrendiğinde Veri Sorumlusunu gecikmeksizin ve her durumda öğrenmesinden itibaren en geç 24 saat içinde, Hesapta kayıtlı e-posta adresine ve gerekirse Hizmet içinde bildirir. Böylece Veri Sorumlusu, KVKK md. 12/5 ve Kurul’un kararı uyarınca Kurul’a 72 saat içinde bildirim yükümlülüğünü yerine getirebilir.

13.2. Bildirim, o an bilinen ölçüde şunları içerir: ihlalin niteliği ve zamanı, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen tedbirler ve bilgi alınabilecek kişi. Bilgiler aynı anda sağlanamıyorsa, öğrenildikçe gecikmeksizin iletilir.

13.3. Veri İşleyen, ihlalin etkilerini azaltmak için gerekli tedbirleri derhal alır, incelemede Veri Sorumlusuyla iş birliği yapar ve ihlale ilişkin kayıtları saklar.

13.4. Kurul’a ve İlgili Kişilere bildirim yapmak Veri Sorumlusunun yükümlülüğüdür. Veri İşleyen, kanunen zorunlu olmadıkça veya Veri Sorumlusunun talimatı olmadıkça bu bildirimleri Veri Sorumlusu adına yapmaz. Veri İşleyenin ihlali bildirmesi, kusurunu kabul ettiği anlamına gelmez.

14. Denetim

14.1. Veri İşleyen, bu Sözleşmeye uyumu göstermek için gereken bilgi ve belgeleri (güvenlik tedbirlerinin açıklaması, alt veri işleyenlerin güncel listesi, varsa alt veri işleyenlerin bağımsız denetim raporları ve sertifikaları) Veri Sorumlusunun yazılı talebi üzerine sağlar.

14.2. Belgelerin yeterli olmadığı durumlarda, bir Veri İhlalinden sonra veya Kurul talep ettiğinde Veri Sorumlusu, kendisi veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim:

• en az 30 gün önceden yazılı olarak bildirilir (Veri İhlali veya Kurul talebi halinde bu süre kısaltılabilir),
• yılda en fazla bir kez, mesai saatleri içinde ve Hizmetin işleyişini aksatmayacak şekilde yapılır,
• yalnızca Davetli Verisinin işlenmesiyle sınırlıdır; diğer müşterilerin verilerine, ticari sırlara ve alt veri işleyenlerin tesislerine erişim içermez,
• masrafları Veri Sorumlusuna aittir, ancak denetim Veri İşleyenin bu Sözleşmeyi önemli ölçüde ihlal ettiğini ortaya koyarsa denetimin makul masrafları Veri İşleyene aittir.

14.3. Veri İşleyen, denetimin yerinde yapılması yerine, aynı bilgileri belgelerle veya uzaktan görüşmeyle sunmayı önerebilir.

15. Silme veya iade

15.1. Veri Sorumlusu, Sözleşme süresince Davetli Verisini Hizmetin arayüzünden silebilir.

15.2. Hesabın son üyesi kendisini sildiğinde Hesap kapanır: etkinlikler arşivlenir ve süren kampanyalar iptal edilir. Davetli Verisi (davetliler, aktarılan dosyalar, mesaj metinleri ve numaraları, aramaların numaraları, sonuçları, özetleri, görüşme metinleri ve varsa ses kayıtları), kapanıştan sonraki saklama süresi (30 gün) sonunda Veri İşleyen tarafından silinir.

15.3. Veri Sorumlusu, hesabını kapatmadan önce Davetli Verisinin yaygın kullanılan bir elektronik biçimde iadesini kvkk@eventora.com.tr adresine yazarak isteyebilir. Veri İşleyen, talebi makul süre içinde karşılar.

15.4. Silinen veriler, yedeklerden yedekleme döngüsü içinde kendiliğinden silinir; bu süre içinde yedekler yalnızca felaket kurtarma için kullanılır ve başka amaçla işlenmez.

15.5. Faturalar, ödeme kayıtları ve kredi hareketleri Davetli Verisi değildir; vergi ve ticaret mevzuatının gerektirdiği süre boyunca saklanır. Veri İşleyenin kanunen saklamakla yükümlü olduğu başka bir Davetli Verisi bulunursa, Veri İşleyen bunu yalnızca o amaçla ve gereken süre boyunca, gizliliğini koruyarak saklar.

15.6. Aktarım için yüklenen Excel dosyaları, aktarım tamamlandığında silinir; silinemeyen dosyalar en geç 30 gün içinde depolama kuralıyla kendiliğinden silinir. Kat planı dosyaları, plan değiştirildiğinde veya kaldırıldığında silinir.

16. Sorumluluk

16.1. Her taraf, bu Sözleşmeden ve KVKK’dan doğan kendi yükümlülüklerini ihlal etmesinden doğan zararlardan sorumludur. Veri İşleyenin bu Sözleşmeden doğan sorumluluğu, kanunun izin verdiği ölçüde, Kullanım Koşulları’ndaki sorumluluk hükümlerine tabidir; kast ve ağır ihmal halleri ile kanunen sınırlandırılamayan sorumluluklar saklıdır.

16.2. Veri Sorumlusu; Davetli Verisini hukuki dayanak olmadan aktarması, İlgili Kişileri aydınlatmaması, hukuka aykırı talimat vermesi veya Hizmet üzerinden hukuka aykırı ileti göndermesi nedeniyle Veri İşleyene karşı ileri sürülen talepler, verilen idari para cezaları ve makul savunma giderleri için Veri İşleyenin zararını karşılar.

17. Süre, fesih ve öncelik

17.1. Bu Sözleşme, Kullanım Koşulları yürürlükte kaldığı sürece yürürlükte kalır ve ayrıca feshedilemez. Kullanım Koşulları sona erdiğinde bu Sözleşme, Madde 15’teki silme tamamlanana kadar devam eder.

17.2. Bu Sözleşme ile Kullanım Koşulları arasında Davetli Verisinin işlenmesi konusunda farklılık olursa bu Sözleşme uygulanır.

17.3. Veri İşleyen, bu Sözleşmeyi Kullanım Koşulları’ndaki değişiklik usulüyle değiştirebilir. Mevzuat değişikliği veya Kurul kararıyla zorunlu hale gelen değişiklikler, bildirim süresi beklenmeden uygulanabilir.

17.4. Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Kullanım Koşulları’ndaki yetki ve delil hükümleri uygulanır.

18. Kabul ve imza

18.1. Bu Sözleşme, Hizmete kayıt sırasında Kullanım Koşulları ile birlikte elektronik ortamda kabul edilir. Elektronik kabul, Sözleşmenin yazılı olarak imzalanmasıyla aynı hükümdedir.

18.2. Kurumsal müşteriler, bu Sözleşmeyi ayrıca ıslak veya güvenli elektronik imza ile imzalamak isteyebilir. Bunun için hukuk@eventora.com.tr adresine yazabilirler. İmzalı nüsha ile bu metin arasında farklılık olursa imzalı nüsha uygulanır.

Ek 1: İşlemenin tanımı

Ek 2: Teknik ve idari tedbirler

Barındırma ve altyapı

• Veritabanı (Cloud SQL, PostgreSQL), dosya deposu (Cloud Storage) ve uygulama sunucuları (Cloud Run) Google Cloud’un europe-west1 (Belçika) bölgesindedir.
• Google Cloud veriyi bekleme halinde varsayılan olarak şifreler.
• Dosya deposu herkese açık değildir; dosyalar yalnızca kısa süreli, imzalı bağlantılarla yüklenir ve indirilir.
• Arka plan işlerini yürüten servisler internete kapalıdır ve yalnızca kimliği doğrulanmış iç çağrıları kabul eder.
• Her servis ayrı bir hizmet hesabıyla ve yalnızca ihtiyaç duyduğu yetkilerle çalışır. Parolalar ve API anahtarları Google Secret Manager’da tutulur, kaynak kodunda bulunmaz.
• Veritabanının düzenli yedekleri Google Cloud içinde alınır.

İletim güvenliği

• Uygulamalar ile sunucular arasındaki tüm trafik HTTPS (en az TLS 1.2, HSTS) üzerinden ve Cloudflare aracılığıyla iletilir.
• Hizmet sağlayıcılarla (Meta, SMS operatörleri, ödeme kuruluşu, yapay zekâ sağlayıcısı) bağlantılar şifreli kanallar üzerinden yapılır. Sağlayıcılardan gelen bildirimlerin (webhook) imzaları doğrulanır.
• Telefon aramaları, telefon şebekesine operatörün altyapısı üzerinden bağlanır.

Erişim kontrolü

• Kullanıcılar Firebase Authentication ile kimlik doğrular; e-posta ve şifreyle açılan hesaplar e-posta adresi doğrulanmadan kullanılamaz.
• Web oturumu yalnızca sunucunun okuyabildiği (httpOnly) bir çerezle tutulur. Hesap silme gibi hassas işlemler yakın zamanda yeniden giriş gerektirir.
• Telefonla girişte gönderilen kodlar yalnızca anahtarlı özet (HMAC) olarak saklanır; kod gönderimi ve denemeler numara ve IP adresi başına sınırlıdır.
• İstemci bütünlüğü Firebase App Check ile doğrulanır.
• Davetli Verisine erişim rollere göre sınırlıdır (Organizasyon, Organizasyon çalışanı, Ev sahibi); yetkiler arayüzde değil sunucuda denetlenir. Kullanıcılar yalnızca üyesi oldukları hesap ve etkinliklerin verilerini görür.
• Eventora personelinin üretim verisine erişimi, işi gereği erişmesi gereken kişilerle sınırlıdır.

Veri en aza indirme

• Günlüklerde (log) davetli adları, telefon numaraları, mesaj içerikleri ve görüşme metinleri tutulmaz; bir numaranın görünmesi gerekirse maskelenir. Arka plan işlerine yalnızca kayıt kimlikleri aktarılır.
• Yapay zekâ sağlayıcısı, Excel aktarımında yalnızca sütun başlıklarını ve telefon numaraları maskelenmiş, e-posta adresleri gizlenmiş en fazla 5 örnek satırı görür; listenin tamamını görmez.
• Sesli asistana yalnızca etkinlik bilgileri ile davetlinin adı, kişi sayısı ve etiketi verilir.
• Telefon numaraları tek biçimde (E.164) saklanır.

Saklama ve silme

• Yüklenen Excel dosyaları aktarım tamamlandığında silinir; ayrıca bir depolama kuralı bu dosyaları en geç 30 gün sonra siler.
• Değiştirilen veya kaldırılan kat planı dosyaları silinir.
• Kapanan hesapların Davetli Verisi saklama süresi sonunda otomatik olarak silinir.

Bütünlük ve izlenebilirlik

• Kredi hareketleri yalnızca eklenebilen bir defterde tutulur; kayıtlar değiştirilmez veya silinmez, düzeltmeler yeni kayıtla yapılır.
• Mesaj ve aramaların durum geçmişi kayıt altındadır.

İdari tedbirler

• Personel gizlilik yükümlülüğü altındadır ve KVKK konusunda bilgilendirilir.
• Yeni bir alt veri işleyen, hukuki incelemeden geçirilmeden kullanılmaz.
• Veri ihlali halinde Madde 13’teki bildirim süreci uygulanır.

Ek 3: Alt veri işleyenler

Davetli Verisini işleyen alt veri işleyenler

Davetli Verisini işlemeyen diğer hizmet sağlayıcılar

Aşağıdaki sağlayıcılar yalnızca hesap sahiplerinin ve ekip üyelerinin verilerini işler. Bu veriler için Eventora veri sorumlusudur ve işleme Gizlilik Politikası’na tabidir. Bilgi amacıyla listelenmiştir.