MADDE 1. KONU, KAPSAM VE TANIMLAR
1.1. İşbu Veri İşleme Sözleşmesi ("Sözleşme"), Recurrent kullanan bir kuruluşun (havayolu, eğitim kuruluşu veya eğitim merkezi, "Müşteri") kişisel verileri kendi adına Nivorbit Teknoloji Limited Şirketi ("Nivorbit", "Veri İşleyen") tarafından işlendiği durumlarda uygulanır.
1.2. İşbu Sözleşme, Kullanım Koşulları'nın ve eğitim merkezleri bakımından Eğitim Merkezi Koşulları'nın parçasıdır.
1.3. İşbu Sözleşme, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesini ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesini karşılayacak şekilde düzenlenmiştir.
1.4. İşbu Sözleşme'de "Platform", Recurrent hizmetini ifade eder. "Taraflar", Müşteri ve Veri İşleyen'dir.
MADDE 2. ROLLER
2.1. Veri sorumlusu: Müşteri'dir. Müşteri, kendi amaçları için Platform'a koyduğu kişisel veriler (örneğin ekip listesi, eğitim kayıtları, onay zincirleri ve roster aktarımları) bakımından veri sorumlusudur.
2.2. Veri işleyen: Nivorbit'dır. Veri İşleyen, bu verileri yalnızca Müşteri'ye Platform'u sunmak için işler.
2.3. Bir pilotun kendi cüzdanında tuttuğu veriler pilota aittir. Müşteri bu verileri yalnızca pilot bağlantı verdiğinde ve yalnızca pilotun seçtiği belgeler için görür.
MADDE 3. İŞLENEN VERİLER
3.1. İlgili kişiler: Müşteri'nin uçuş ekibi, eğitmenleri, denetmenleri, çalışanları ve irtibat kişileridir.
3.2. Veriler: ad, sicil numarası, rütbe, üs, e-posta adresi, roster görevleri ve uygunluk, eğitim tarihleri, rezervasyon ve kontrol kayıtları ile pilotun paylaşmayı seçtiği belgelerdir.
3.3. Amaç ve süre: Eğitimin planlanması ve rezerve edilmesi, eğitim kayıtlarının tutulması ve Müşteri'nin açtığı özellikler amaçtır. Süre, Müşteri'nin Platform'u kullandığı süre ile Gizlilik Politikası'ndaki saklama süreleridir.
MADDE 4. VERİ İŞLEYEN'İN YÜKÜMLÜLÜKLERİ
4.1. Veri İşleyen, verileri yalnızca Müşteri'nin işbu Sözleşme, parçası olduğu koşullar ve Platform'da seçtiği ayarlar dahil yazılı talimatlarıyla işler.
4.2. Verilere erişebilen kişiler gizlilik yükümlülüğü altındadır.
4.3. Veri İşleyen, verileri Ek-2'de yazılan teknik ve idari tedbirlerle korur.
4.4. Veri İşleyen, Müşteri'ye ilgili kişilerin başvurularını yanıtlamada ve güvenlik, ihlal bildirimi ve etki değerlendirmesi yükümlülüklerini yerine getirmede yardımcı olur.
4.5. Veri İşleyen, Müşteri'nin verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin, en geç 48 (kırk sekiz) saat içinde Müşteri'ye bildirir. Bildirim, bilinen ölçüde şunları içerir: ihlalin niteliği ve ne zaman gerçekleştiği, etkilenen veri kategorileri ile ilgili kişi ve kayıt sayısı, olası sonuçlar, alınan ve önerilen önlemler ve irtibat kişisi. Bilgi henüz eksikse bildirim aşamalı yapılır; eksik bilgi öğrenildikçe tamamlanır.
4.6. Sözleşme sona erdiğinde Müşteri, 30 (otuz) gün içinde verilerinin makinece okunur biçimde iadesini isteyebilir. Veri İşleyen, verileri sona ermeden itibaren en geç 60 (altmış) gün içinde siler. Kanunun saklanmasını gerektirdiği kayıtlar bu hükmün dışındadır; bu kayıtlar yalnızca o amaçla saklanır.
MADDE 5. ALT İŞLEYENLER
5.1. Güncel alt işleyen listesi Alt İşleyenler sayfasındadır.
5.2. Veri İşleyen, bir alt işleyen eklemeden veya değiştirmeden en az 30 (otuz) gün önce Müşteri'ye bildirir. Müşteri, makul gerekçeyle itiraz edebilir. İtiraz çözülmezse Müşteri, Platform'u kullanmayı cezasız bırakabilir.
5.3. Veri İşleyen, her alt işleyeni işbu Sözleşme'deki yükümlülüklerle sözleşme yoluyla bağlar. Alt işleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı Veri İşleyen sorumludur.
MADDE 6. AKTARIMLAR
Veriler Türkiye veya Avrupa Ekonomik Alanı dışına çıktığında, Veri İşleyen bunları yalnızca kanunun aradığı güvencelerle (standart sözleşme hükümleri veya KVKK uyarınca gereken taahhütler gibi) aktarır.
MADDE 7. DENETİMLER
Veri İşleyen, işbu Sözleşme'ye uyduğunu göstermek için gereken bilgileri sağlar. Bir ihlal veya otorite gerektirmedikçe, Müşteri'nin veya atadığı denetçinin denetimine, makul bir bildirimle ve yılda en fazla bir kez izin verir.
MADDE 8. İLETİŞİM
İşbu Sözleşme ile ilgili gizlilik soruları ve talepler: contact@nivorbit.com.
EK-1. İŞLEME KONUSU, KATEGORİLER, SÜRE
- Konu ve amaç: Platform'un Müşteri'ye sunulması; eğitimin planlanması ve rezerve edilmesi, eğitim kayıtlarının tutulması, Müşteri'nin açtığı özellikler.
- İlgili kişiler: Müşteri'nin uçuş ekibi, eğitmenleri, denetmenleri, çalışanları ve irtibat kişileri.
- Veri kategorileri: kimlik ve iletişim (ad, e-posta, sicil numarası, rütbe, üs); görev ve uygunluk (roster görevleri, eğitim ve kontrol tarihleri); rezervasyon ve eğitim kayıtları; pilotun paylaşmayı seçtiği belgeler (lisans, yetki, sağlık sertifikası sınıfı ve geçerliliği gibi).
- Süre: Müşteri'nin Platform'u kullandığı süre; ardından 4.6. maddedeki iade ve silme süreleri.
EK-2. GÜVENLİK ÖNLEMLERİ
- İletimde şifreleme.
- Merkezlerin banka hesap bilgileri ve saklanan gizli anahtarlar AES-256-GCM ile şifrelenmiş olarak saklanır.
- Kart bilgileri Veri İşleyen'in sunucularına ulaşmaz; doğrudan ödeme sağlayıcısına girilir.
- Rol ve gruba göre erişim denetimi uygulanır; kurum içi yetkiler kurumun grup ve izinleriyle belirlenir.
- Platform yöneticilerinin işlemleri ve veri değişiklikleri denetim kaydına yazılır.
- Verilere erişebilen kişiler gizlilik yükümlülüğü altındadır.
- İlgili kişilerin başvurularına yardım için verilerin dışa aktarılması ve silinmesi Platform'dan yapılabilir.