Veri İşleme Sözleşmesi (DPA)

1. Sözleşmenin konusu ve taraflar

1.1 Veri işleyen, kayıtlı merkezi Bottova 8005/5, 811 09 Bratislava - mestská časť Staré Mesto, Slovakya adresinde bulunan, şirket numarası 57517690 ve vergi numarası 2122824154 olan LECTURE GURU, s. r. o. şirketidir (‘Veri İşleyen’). Veri sorumlusu, LectureGuru hizmetinin sunulmasına ilişkin sözleşmeyi (Kullanım Koşulları veya bireysel sözleşme — ‘Ana Sözleşme’) akdeden işletme veya kuruluş olan müşteridir (‘Veri Sorumlusu’).

1.2 Veri İşleyen, Veri Sorumlusu’na eğitim ve sunum materyallerinin oluşturulması ve güncellenmesi için LectureGuru platformunu sağlar (‘Hizmet’). Hizmetin sunulmasında kişisel verileri Ek 1’de belirtilen kapsamda Veri Sorumlusu adına işler.

1.3 Bu sözleşme (AB) 2016/679 sayılı Tüzüğün (GDPR) 28. maddesi uyarınca akdedilir, Kullanım Koşulları’nın ekidir ve Ana Sözleşme’nin kabulüyle otomatik olarak uygulanır; ayrı bir imza gerekmez. Ana Sözleşme süresince yürürlükte kalır.

2. Veri Sorumlusu’nun talimatları

2.1 Veri İşleyen kişisel verileri yalnızca Veri Sorumlusu’nun belgelenmiş talimatları doğrultusunda işler; Hizmet işlevlerinin kullanımı (belge yükleme, üretim başlatma, kaynak izlemeyi yapılandırma, projeyi silme) ve privacy@lecture-guru.com adresine gönderilen yazılı talimatlar da talimat sayılır.

2.2 Veri İşleyen bir talimatı GDPR’ye aykırı görürse, bunu gecikmeksizin Veri Sorumlusu’na bildirir.

2.3 Veri İşleyen, Veri Sorumlusu’nun kişisel verilerini yapay zekâ modellerini eğitmek için kullanmaz. Dayandığımız API koşulları uyarınca, alt işleyenler OpenAI ve Anthropic de API’leri üzerinden gönderilen içeriği model eğitimi için kullanmaz.

3. Gizlilik

Veri İşleyen nezdinde kişisel verileri işlemeye yetkili kişiler, görevleri sona erdikten sonra da devam eden bir gizlilik yükümlülüğüne tabidir.

4. Güvenlik

Veri İşleyen, GDPR 32. madde uyarınca Ek 2’de belirtilen teknik ve idari tedbirleri uygulamıştır ve bunları teknolojinin durumunu ve işleme risklerini dikkate alarak sürdürür.

5. Alt işleyenler

5.1 Veri Sorumlusu, Ek 3’te listelenen alt işleyenlerin görevlendirilmesine genel yetki verir.

5.2 Veri İşleyen, bir alt işleyenin değiştirilmesini veya eklenmesini en az 14 gün önce (e-posta ile veya uygulama içinde) bildirir. Veri Sorumlusu gerekçeli itirazda bulunabilir; taraflar anlaşmaya varamazsa Veri Sorumlusu, yeni alt işleyenin devreye alındığı tarih itibarıyla Ana Sözleşme’yi feshedebilir.

5.3 Veri İşleyen, alt işleyenleriyle bu sözleşmedekilere eşdeğer yükümlülükler içeren sözleşmeler akdetmiştir ve bunların ifasından sorumludur.

6. İlgili kişilerin hakları ve destek

6.1 Veri İşleyen, ilgili kişilerin taleplerinin (erişim, düzeltme, silme ve GDPR III. Bölüm kapsamındaki diğer haklar) karşılanmasında Veri Sorumlusu’na destek olur. Doğrudan Veri İşleyen’e ulaşan talepleri gecikmeksizin Veri Sorumlusu’na iletir.

6.2 Veri İşleyen ayrıca veri koruma etki değerlendirmesi (DPIA), denetim makamıyla ön istişare ve GDPR 32 ilâ 36. maddelerdeki yükümlülüklerin yerine getirilmesi konusunda destek sağlar.

7. Kişisel veri ihlali

Veri İşleyen, bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin, en geç 48 saat içinde, ihlalin niteliği, olası sonuçları ve alınan tedbirlerin açıklamasıyla birlikte Veri Sorumlusu’na bildirir.

8. Üçüncü ülkelere aktarım

AEA dışındaki alt işleyenlere veri aktarımı, yeterlilik kararına (EU-U.S. Data Privacy Framework) veya AB standart sözleşme maddelerine dayanılarak gerçekleşir; ayrıntılar Ek 3’te yer alır.

9. Denetim

Veri İşleyen, GDPR 28. madde kapsamındaki yükümlülüklere uyumu göstermek için gerekli bilgileri Veri Sorumlusu’na sunar ve Veri Sorumlusu ya da görevlendirdiği denetçi tarafından, en az 30 gün önce bildirilmek kaydıyla, yılda en fazla bir kez, mesai saatleri içinde ve işleyişi aşırı aksatmadan yürütülecek denetime izin verir. Denetim masrafları Veri Sorumlusu’na aittir.

10. Verilerin silinmesi ve iadesi

Ana Sözleşme sona erdikten sonra Veri İşleyen, Veri Sorumlusu’nun tercihine göre verileri iade eder (Hizmetin sunduğu formatlarda 30 gün içinde dışa aktarım) veya siler; talimat verilmemişse kişisel verileri Ana Sözleşme’nin sona ermesinden itibaren 30 gün içinde, yedeklerdeki kopyaları ise en geç 90 gün içinde siler; mevzuat gereği saklaması gereken veriler hariçtir.

11. Son hükümler

11.1 Tarafların sorumluluğu Ana Sözleşme’ye tabidir; bu durum GDPR 82. madde kapsamındaki sorumluluğu etkilemez.

11.2 Bu sözleşme Slovak Cumhuriyeti hukukuna tabidir. Bu sözleşme ile Ana Sözleşme arasında çelişki olması hâlinde kişisel verilerin korunmasına ilişkin konularda bu sözleşme önceliklidir.

11.3 Bu sözleşme Ana Sözleşme’nin kabulüyle yürürlüğe girer ve tarafların imzasını gerektirmez. Kurumsal müşteriler privacy@lecture-guru.com adresinden karşılıklı imzalı ayrı bir nüsha talep edebilir.

11.4 Bu sözleşme Slovakça düzenlenmiştir; diğer dillerdeki sürümler kolaylık amacıyla sunulmuştur ve çelişki hâlinde Slovakça sürüm geçerlidir.

Ek 1 — İşleme faaliyetinin tanımı

• Konu: LectureGuru platformunun sağlanması — Veri Sorumlusu’nun materyallerinden etkileşimli sunumlar, sesli videolar, PDF çıktıları ve testler üretilmesi, kaynak değişikliklerinin izlenmesi (WebWatcher) ve bir web adresinden demo video üretilmesi (Magic Demo Video).
• Niteliği ve amacı: materyallerin saklanması, yapay zekâ ile otomatik analiz ve içerik üretimi, ses sentezi, görsel üretimi, çıktıların render edilmesi, kaynak değişikliklerinin izlenmesi, çıktıların iletilmesi ve yedekleme.
• İlgili kişi kategorileri: Veri Sorumlusu’nun hesap kullanıcıları; Veri Sorumlusu tarafından paylaşılan sunumların izleyicileri; yüklenen belgelerde ve izlenen kaynaklarda adı geçen kişiler (özellikle çalışanlar ve varsa Veri Sorumlusu’nun müşterileri).
• Veri kategorileri: kullanıcıların kimlik ve iletişim bilgileri (ad, kurumsal e-posta); sunum izleme verileri (izleyici tanımlayıcısı, görüntülenen slaytlar, test yanıtları); yüklenen materyallerde yer alan ve kapsamını Veri Sorumlusu’nun belirlediği kişisel veriler. GDPR 9. madde kapsamındaki özel nitelikli veriler, taraflar aksini kararlaştırmadıkça yüklenmemelidir.
• Süre: Ana Sözleşme süresi ve 10. maddedeki silme süreleri boyunca.

Ek 2 — Teknik ve idari tedbirler

• Kişisel verilerin, işleme faaliyetinin riskine ve niteliğine uygun biçimde aktarım ve saklama sırasında korunması.
• Rollere, en az yetki ilkesine, güvenli kimlik doğrulamaya ve gizlilik yükümlülüklerine dayalı kimlik ve erişim yönetimi.
• Müşteri ortamlarının mantıksal olarak ayrılması ve dosyaların denetimli biçimde saklanması ve sunulması.
• Yedekleme, kurtarma ve verilerin güvenli biçimde silinmesi dahil olmak üzere sistemlerin gizliliğini, bütünlüğünü, kullanılabilirliğini ve dayanıklılığını koruyan tedbirler.
• İzleme, kötüye kullanımın önlenmesi, güvenlik açığı ve değişiklik yönetimi.
• Tedarikçi yönetimi ile sözleşmesel veri koruma ve güvenlik gereklilikleri.
• Bu sözleşmenin 7. maddesi uyarınca güvenlik olaylarına müdahale, iş sürekliliği ve kişisel veri ihlali bildirimi için belgelenmiş süreçler.
• Tedbirlerin uygunluğunun ve etkinliğinin düzenli olarak gözden geçirilmesi. Ayrıntılı operasyonel açıklama ve makul destekleyici kanıtlar, yetkili Veri Sorumlusu irtibatlarına gizli Müşteri Güvenlik Eki kapsamında sunulur; bu ek, bir Sipariş Formunda veya bu sözleşmenin karşılıklı imzalanmış ayrı nüshasında atıf yapıldığında sözleşmesel ek hâline gelir.

Ek 3 — Onaylı alt işleyenler

Güncel liste bu sayfada yayımlanır. Bir alt işleyenin değiştirilmesini veya eklenmesini 5.2 maddesi uyarınca en az 14 gün önce bildiririz.