EK-1 · VERİ İŞLEME PROTOKOLÜ (KVKK)

1. Rollerin tespiti

Bu protokol bakımından:

• Salon, kendi müşterilerine ait kişisel veriler yönünden veri sorumlusudur. Hangi verinin hangi amaçla işleneceğine Salon karar verir.
• Randiyo, bu verileri yalnızca Salon'un talimatı ve hizmetin gerektirdiği ölçüde işleyen veri işleyendir.

Randiyo'nun kendi müşterisi olan Salon yetkililerine ait veriler (ad, e-posta, telefon, fatura bilgisi) yönünden ise Randiyo veri sorumlusudur; bu veriler ayrı bir aydınlatma metniyle yönetilir.

2. İşlenen veriler

Özel nitelikli kişisel veri işlenmez. Salon, sağlık durumu, inanç, biyometrik veri gibi özel nitelikli verileri not alanlarına yazmamayı taahhüt eder.

3. İşleme amacı ve süresi

Veriler yalnızca; randevu oluşturmak, hatırlatma ve bilgilendirme göndermek, Salon'un izin verdiği hâllerde kampanya mesajı iletmek ve hizmetin işleyişini sağlamak amacıyla, abonelik süresince işlenir.

4. Randiyo'nun yükümlülükleri

4.1. Verileri yalnızca Salon'un talimatı doğrultusunda işlemek; kendi amaçları için kullanmamak, başka salonlara veya üçüncü kişilere aktarmamak, satmamak.

4.2. Verileri kendi ticari faaliyetinde (reklam, analiz, model eğitimi vb.) kullanmamak.

4.3. Uygun teknik ve idari tedbirleri almak; asgari olarak: - şifrelerin geri döndürülemez biçimde saklanması, - panel ve sunucu arası trafiğin şifrelenmesi (HTTPS), - salonlar arası veri yalıtımı, - yetki seviyelerine göre erişim (sahip / yönetici / resepsiyon), - düzenli yedekleme ve yedeğin geri yüklenebilirliğinin sınanması, - işlem günlüğü tutulması.

4.4. Verilere erişen kendi personeline gizlilik yükümlülüğü getirmek.

4.5. Salon'un bilgisi ve onayı olmadan alt veri işleyen kullanmamak. Hizmetin sunulabilmesi için hâlihazırda kullanılan altyapı sağlayıcıları Ek-A'da listelenmiştir; listeye ekleme yapılması hâlinde Salon'a önceden bildirilir.

4.6. Bir veri ihlali öğrenildiğinde, en geç 24 saat içinde Salon'a bildirmek ve ihlalin kapsamı, etkilenen kişi sayısı ve alınan önlemler hakkında bilgi vermek. (Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Salon'a aittir.)

4.7. İlgili kişi (Salon'un müşterisi) doğrudan Randiyo'ya başvurursa, başvuruyu cevaplamayıp gecikmeksizin Salon'a yönlendirmek ve Salon'un cevap hazırlamasına yardımcı olmak.

4.8. Sözleşme sona erdiğinde verileri Salon'a teslim etmek ve Abonelik Sözleşmesi madde 8'deki süre sonunda silmek.

5. Salon'un yükümlülükleri

5.1. Müşterilerini, verilerinin randevu amacıyla işlendiği ve bir yazılım sağlayıcısının (Randiyo) bu verileri işlediği konusunda aydınlatmak. Örnek metin musteri-aydinlatma.html dosyasındadır; Salon bu metni salon içinde görünür bir yere asabilir veya müşterisine iletebilir.

5.2. Kampanya ve tanıtım mesajları için açık rıza almak. Rıza; bot tarafından randevu sonrası sorulan soruyla ya da Salon'un panel üzerinden "sözlü izin aldım" işaretlemesiyle kayıt altına alınır. Rızası olmayan müşteriye kampanya mesajı gönderilemez.

5.3. "Mesaj istemiyorum" diyen müşteriyi listeden çıkarmak (sistem bunu otomatik yapar; Salon bu işlemi geri almaz).

5.3.1. Ticari elektronik ileti mevzuatı uyarınca İleti Yönetim Sistemi'ne (İYS) kayıtlı olmak ve aldığı izinleri süresi içinde İYS'ye yüklemek. Panel izin kaydını tutar ve izni olmayana mesaj göndermez; ancak İYS'ye kayıt ve yükleme Salon'un kendi yükümlülüğüdür. Randiyo bu mesajlarda aracı konumundadır, gönderen Salon'dur.

5.4. Panele giriş yetkisi verdiği çalışanlarını bilgilendirmek ve işten ayrılanların yetkisini kaldırmak.

5.5. İlgili kişi başvurularını (bilgi talebi, düzeltme, silme) yasal süresi içinde cevaplamak. Panel, müşteri kaydı silme ve veri dışa aktarma işlevlerini sunar.

6. Yurt dışına aktarım

Veriler, Almanya'nın Frankfurt şehrinde bulunan sunucularda saklanır. Günlük yedekler, ikinci bir kopya olarak Amerika Birleşik Devletleri'nde bulunan bir bulut depolama hizmetinde şifreli biçimde tutulur. Bot yanıtlarının üretilmesi için mesaj içerikleri yine Amerika Birleşik Devletleri'nde yerleşik yapay zekâ sağlayıcısına iletilir. Bunların tamamı KVKK m.9 anlamında yurt dışına aktarımdır.

Randiyo, bu aktarımlar için KVKK m.9/3 uyarınca standart sözleşme metinlerini imzalamayı ve imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurulu'na bildirmeyi taahhüt eder. Salon talep ederse bu belgelerin bir örneği kendisine iletilir.

WhatsApp üzerinden yapılan iletişimin Meta altyapısı üzerinden geçmesi, hizmetin doğası gereğidir ve Salon bunu bilerek hizmeti almaktadır.

7. Denetim

Salon, yılda bir kez ve en az 15 gün önceden bildirmek kaydıyla, Randiyo'nun bu protokoldeki yükümlülüklerine uygunluğunu yazılı olarak sorgulayabilir. Randiyo makul süre içinde yanıtlar.

8. Süre

Bu protokol, Abonelik Sözleşmesi süresince ve verilerin silinmesine kadar yürürlüktedir.

Ek-A · Kullanılan altyapı sağlayıcıları

Yapay zekâ sağlayıcısına gönderilen mesaj içerikleri, sağlayıcının ticari kullanım şartları uyarınca model eğitiminde kullanılmaz; kötüye kullanım denetimi amacıyla sınırlı bir süre saklanabilir. Salon'a ait randevu ve müşteri kayıtları bu sağlayıcıda depolanmaz.

Günlük yedekler her gece otomatik olarak alınır; bir kopyası uygulama sunucusunda, ikinci bir kopyası ayrı bir sağlayıcıda ve ayrı bir ülkede şifreli olarak saklanır. Böylece tek bir altyapının kaybı veri kaybına yol açmaz.