Veri İşleme Sözleşmesi

1. Taraflar ve kabul

Bu sözleşme Oldu Bu İş'i işleten Vookie Labs ("biz") ile Oldu Bu İş'te İşletme açan ticari kişi ("İşletme" ya da "sen") arasındadır. Bizim bilgilerimiz Hakkımızda sayfasındadır.

İşletmeyi açan kişi, İşletme ekranında yazdığı yasal ad adına bu sözleşmeyi kabul eder ve bu ad adına kabul etmeye yetkili olduğunu beyan eder. Kabulün sürümü, zamanı, IP adresi ve o anki yasal ad kaydedilir. Bu sözleşme Hizmet Sözleşmesi ile birlikte uygulanır; kişisel verinin korunması konusunda ikisi çelişirse bu sözleşme geçerlidir.

2. Roller ve talimat

Adaylarının verisinde veri sorumlusu İşletmedir; biz bu veriyi yalnızca İşletmenin talimatıyla işleyen veri işleyeniz (KVKK m.3).
Talimatın bu sözleşme ve Platformda yaptığın seçimlerdir: Pozisyonlar ve soruları, iletişim kanalı, Asistan anahtarı, adaylarla yazışma, Aşamalar, silme ve dışa aktarma.
Hizmetin varsayılan kuralları (saklama süreleri, formun çekirdek soruları) Platformu seçmenle senin talimatın olur.
Hukuka aykırı olduğunu düşündüğümüz bir talimatı yerine getirmeyebilir, seni gerekçesiyle uyarırız.

3. Konu, veri ve ilgili kişiler

Amaç: İşletmenin işe alımı: başvuru almak, adaylarla iletişim, Mülakat, aday havuzu ve isteğe bağlı Asistan.
İlgili kişiler: İşletmenin Pozisyonlarına başvuran adaylar.
Veri kategorileri: ad soyad ve telefon; formdaki cevaplar (çalışma tercihleri, deneyim, Pozisyona özel sorular); isteğe bağlı fotoğraf; başvurunun Kaynağı; Aşama, Mülakat ve Aday notları; adayla yazışmalar ve teslim kayıtları.
Form özel nitelikli kişisel veri (sağlık, din, siyasi görüş gibi) istemez. İşletme de bu tür veriyi sormaz, notlara ve mesajlara yazmaz.
Süre: İşletme açık kaldıkça; sona erme 13. bölümdeki gibidir.

4. Yükümlülüklerimiz

Aday verisini yalnızca bu sözleşmedeki amaçla ve senin talimatınla işleriz (KVKK m.12/4).
Bir İşletmenin adaylarını başka bir İşletmeye göstermeyiz; İşletmeler arasında aday kaydını birleştirmeyiz, ön doldurma ya da eşleştirme yapmayız; adaylara iş ya da işveren önermeyiz.
Aday verisini yapay zekâ modeli eğitmek için kullanmayız ve kullandırmayız.
Aday verisine erişen herkes gizlilik yükümlülüğü altındadır. Bu yükümlülük sözleşme bitince de sürer.
Verinin güvenliği için 15. bölümdeki tedbirleri alırız.

5. Saklama ve imha

Bir adayın açık başvurusu kalmayınca saklama süresi başlar: Havuz onayı yoksa 6 ay, varsa 24 ay. Yeni bir başvuru süreyi yeniden başlatır. Havuz onayı geri alınırsa süre 6 aya düşer.
İşe alınan adayın verisi, aday ya da sen silinmesini isteyene kadar saklanır. Personel kayıtların için gereken veriyi dışa aktarıp kendin saklarsın.
Süresi dolan veri günlük çalışan bir işle tamamen silinir; anonimleştirme yapılmaz. Her silme için kişisel veri taşımayan bir imha kaydı 3 yıl tutulur.
Yedekler 30 günlük döngüyle kendi üstüne yazılır; silinen veri en geç 30 gün içinde yedeklerden de kalkar. Bir yedekten geri yükleme yaparsak imha kaydındaki adayları yeniden sileriz.

6. Adayların başvuruları

Adayın aydınlatma metninde senin adına gösterilen başvuru yolu Oldu Bu İş'in "Talepleriniz için" formudur (talep.oldubuis.com). Bu formdan gelen silme ve onay geri alma taleplerini, telefonu SMS koduyla doğruladıktan sonra senin adına hemen işlememiz için bize sürekli yetki verirsin. Talep o telefonun bütün İşletmelerdeki kaydını kapsar; sana aday verisi taşımayan bir Bildirim gider.
Bu yetkiyle, o aday için kendi saklama sebeplerini (ör. bir uyuşmazlık) ileri sürmekten vazgeçersin; saklaman gereken veriyi önceden dışa aktarırsın.
Bilgi, düzeltme ve itiraz gibi öteki başvuruları 2 iş günü içinde İşletme sahiplerine iletiriz. Cevabı sen verirsin (KVKK m.13: 30 gün); Platformdaki aday kartı, dışa aktarma ve "Aday'ı sil" araçlarıyla yardımcı oluruz.
Bir telefonun hangi İşletmelerde kayıtlı olduğunu yalnızca bu doğrulanmış talepte ararız; başka hiçbir amaçla aramayız.

7. Veri ihlali

Aday verisini etkileyen bir ihlali fark ettiğimiz andan itibaren en geç 24 saat içinde İşletme sahiplerine panelde, fatura e-postasıyla ve Bildirim izni varsa WhatsApp'tan bildiririz.
Bildirimde bildiklerimizi Kurum'un ihlal formundaki başlıklarla yazarız: ne oldu ve ne zaman, hangi veri kategorileri, yaklaşık kaç aday, olası sonuçlar, aldığımız ve önerdiğimiz tedbirler. Bilmediklerimizi öğrendikçe tamamlarız.
İhlali Kurul'a 72 saat içinde ve adaylara bildirmek veri sorumlusu olarak senin yükümlülüğündür; bunun için gereken bilgiyi hazır veririz. İstersen etkilenen adaylara giden bildirim SMS'ini biz göndeririz; masrafı bize aittir.
İhlalleri ve aldığımız önlemleri kayıt altında tutarız.

8. Alt işleyenler

Bu sözleşmeyi kabul ederek Alt işleyen listesi sayfasındaki alt işleyenleri genel olarak yetkilendirirsin. Liste bu sözleşmenin ekidir.
Her alt işleyenle bu sözleşmedekilere denk yükümlülükler içeren yazılı bir sözleşme yaparız.
Bir alt işleyeni eklemeden ya da değiştirmeden en az 30 gün önce bildiririz. Bir sağlayıcı aniden hizmetini keserse değişikliği yaptığımız anda bildiririz.
Değişikliğe itiraz edebilirsin. Yapay zekâ sağlayıcısına itirazda Asistan senin için kapanır. Sunucu, yedek ya da SMS sağlayıcısına itirazda İşletmeni kapatabilirsin; hiç Kredisi harcanmamış Satın almalarını iade edip etmemeye biz karar veririz.

9. Yurt dışı aktarım

Aday verisi Türkiye'deki sunucularda durur.
Asistan varsayılan olarak kapalıdır. Açarsan maskelenmiş aday verisi yurt dışındaki yapay zekâ sağlayıcısına gider: adlar yer tutucuyla değiştirilir, telefon ve fotoğraf gönderilmez. Bu aktarım için KVKK m.9'daki standart sözleşme yapılmamıştır. Asistanı açmak, bu aktarım için verdiğin talimattır; kimin ve ne zaman açtığı kaydedilir. Açıkken aydınlatma metnin sağlayıcıyı alıcı olarak sayar.
WhatsApp bağlantısı kurarsan adaylarla yazışmalar Meta üzerinden gider. Bu, senin Meta'yla yaptığın sözleşmeye dayanır; gereken standart sözleşme ve Kurum'a bildirim senin sorumluluğundadır.

10. Kendi adımıza işlediklerimiz

Aşağıdakileri senin adına değil, kendi adımıza ve veri sorumlusu olarak işleriz. Bunlar aday havuzundan ayrı tutulur ve sana gösterilmez; nasıl işlendikleri Gizlilik politikası ve ilgili metinlerde yazar.

Oldu Bu İş iletişim onayı: başvuru formunun son adımında aday, senin onaylarından ayrı ve isteğe bağlı bir kutuyla bize ad, telefon, semt, başvurduğu pozisyonun genel türü (ör. "barista") ve Platformun her başvuruda sorduğu sabit sorulara verdiği cevapları (18 yaş, çalışabileceği zamanlar, deneyim ve ne zaman başlayabileceği) saklama onayı verebilir. Amaç, kendi yeni hizmetlerimiz hakkında SMS göndermek ve aday bunlardan birine kendisi katılırsa bu bilgileri orada hazır getirmektir. Sabit soruların cevapları son onaydan 24 ay sonra silinir. Bu kayda senin ürettiğin hiçbir şey (not, Aşama, sonuç), senin yazdığın sorulara verdiği cevaplar, hazır soru setinin cevapları, fotoğraf ve hangi İşletmeye başvurduğu girmez; adaya iş ya da işveren önermek için kullanılmaz. Kutuyu kapatamaz, kimin onay verdiğini göremezsin. WhatsApp kanalında bu onayın telefonu, senin numarana gelen başvuru mesajıyla doğrulanır; bu bilginin bu amaçla kullanılmasına izin verirsin.
Şikâyet ve kötüye kullanım incelemesi: adayların bize yaptığı şikâyetler ve Platformun kötüye kullanıma karşı incelemesi.
"Talepleriniz için" kayıtları: başvurunun kendisi ve ona verilen cevap.
Sayılar: hiçbir kişiyi göstermeyen toplam sayılar (ör. Pozisyon başına başvuru sayısı).

11. Ekibimizin erişimi

Ekibimiz aday verisine yalnızca şu amaçlarla erişir: hizmetin işletilmesi, destek ve hata giderme (senin adına), kötüye kullanım incelemesi (kendi adımıza).
Her erişim bir denetim kaydına yazılır; kayıt yalnızca eklenir, silinemez ve 3 yıl tutulur. Bu kayıtların özetini sana vermeyiz; Kurum ya da mahkeme isterse veririz.
Ekibimiz senin adına iş yapmaz: adaya mesaj göndermez, Aşama ya da not değiştirmez, Pozisyon yayınlamaz.

12. Senin yükümlülüklerin

Aydınlatma metni: Adaylara gösterilen aydınlatma metnini senin bilgilerinden biz üretiriz. Bilgilerinin (yasal ad, adres, iletişim yolu) doğru ve güncel olması senin sorumluluğundadır. Metin Platformdaki gerçek durumu (kanal, Asistan, alıcılar) yansıtmazsa onu biz düzeltiriz.
Amaç: Aday verisini yalnızca işe alım için kullanırsın; pazarlama için kullanmaz, başkasına vermezsin. Dışa aktardığın veri bundan sonra senin sistemlerinde ve senin sorumluluğundadır.
Havuz onayı: adayın senin için verdiği açık rızadır ve yalnızca ileride açacağın pozisyonlar içindir.
VERBİS: kayıt yükümlülüğün varsa kaydı sen yaparsın; bizi alıcı olarak yazarsın.
WhatsApp: Bağlantıda yazışmaların Meta'daki ve telefonundaki kopyaları sende kalır; bizim silmemiz onlara ulaşmaz.
Kullanıcıların: Şube müdürlerini sen eklersin ve ayrılanları sen çıkarırsın.

13. Sona erme ve dışa aktarma

İşletme sahibi aday havuzunu her zaman dışa aktarabilir (CSV ve fotoğraflar); Askıda dışa aktarma kapalıdır, Askı kalkınca açılır.
İşletmeyi kapatırsan dışa aktarma 30 gün açık kalır. 30. günün sonunda aday havuzunun tamamı işe alınanlar dahil silinir; imha bildirimi gönderilir. Veri en geç 60. günde yedeklerden de kalkar.
Kötüye kullanım nedeniyle kapatılan hesapta: hesap sahte bir işletmeye aitse ya da aday verisi toplamak için açılmışsa, aday havuzu dışa aktarılmadan hemen silinir; adayların verisini kötüye kullanana teslim etmek hukuka aykırı işlemeyi tamamlamak olur. Öteki kural ihlallerinde dışa aktarma 7 gün açık kalır, sonra havuz silinir.
Oldu Bu İş'i kapatırsak en az 60 gün önce duyururuz; dışa aktarma bu süre boyunca açıktır, sonra bütün veri silinir.

14. Denetim

Uyumu belgeyle gösteririz: 15. bölümdeki güvenlik tedbirleri, alt işleyen listesi ve yazılı sorularına 30 gün içinde cevap. İsteyince İşletmene ait imha kayıtlarının özetini veririz.
Yerinde inceleme ancak makul bir gerekçeyle (ör. bir ihlalden sonra), en az 30 gün önceden bildirimle, yılda en çok bir kez, gizlilik taahhüdüyle ve masrafı sana ait olmak üzere yapılır. Sunucularımızın bulunduğu veri merkezine erişim, sağlayıcının izin verdiği ölçüdedir.
Kurum'un ya da Kurul'un talebini her zaman karşılarız.

15. Güvenlik tedbirleri

Yer: aday verisi ve yedekleri Türkiye'deki sağlayıcılarda durur; kişisel veri taşıyan trafik yurt dışındaki bir ara sunucudan geçmez, şifreli bağlantı kendi sunucumuzda sonlanır.
İşletmeler arası ayrım: her İşletmenin verisi veritabanı düzeyinde ayrılır; bir İşletmenin kullanıcısı başka bir İşletmenin verisini göremez.
Erişim: Şube müdürü yalnızca kendi Şubelerini görür. Ekibimizin hesapları İşletme hesaplarından ayrıdır ve iki adımlı doğrulama ister; erişimler denetim kaydına yazılır.
Şifreleme: veri iletimde şifrelenir; WhatsApp erişim anahtarları gibi sırlar şifreli saklanır ve kimse tarafından görüntülenemez.
Maskeleme: kayıtlarda ve hata izlemede telefon ve ad maskelenir; bu araçlar da Türkiye'dedir.
Kötüye kullanıma karşı: hız sınırları ve bot koruması.
Yedek ve imha: günlük yedek, Türkiye'deki sunucumuzda, 30 günlük döngü; günlük imha işi ve imha kaydı.
İdari: ekibimizin gizlilik taahhüdü, ihlal müdahale planı ve risk değerlendirmesi.

16. Sorumluluk

Veri güvenliğinde Kanun karşısında birlikte sorumluyuz (KVKK m.12/2); idari para cezası veri sorumlusuna, yani sana kesilir. Aramızda sorumluluk kusura göre paylaşılır.
Hafif kusurumuzdan doğan bir zararı, kusurumuz yüzünden sana kesilen idari para cezası dahil, para olarak değil Kredi ya da Pozisyonuna ek gün olarak telafi ederiz. Bu sınırlama geçersiz sayılırsa sorumluluğumuz zararın doğduğu tarihten önceki 12 ayda bize ödediğin toplam bedelle sınırlıdır.
Kasıt ya da ağır kusurumuzdan doğan zarardan sorumluluğumuz sınırlanmaz.
Alt işleyenlerin fiilinden sana karşı biz sorumluyuz; ama Meta ve SMS sağlayıcılarının kesintilerinden doğan gecikmelerden sorumlu değiliz.

17. Sözleşmenin değişmesi

Aleyhine olan her değişiklik esaslıdır: bir sonraki girişte İşletme sahiplerine yeni metin ve neyin değiştiği gösterilir; ilk "Devam" diyen İşletme sahibi yeni sürümü İşletme adına kabul eder.
Yazım düzeltmesi, açıklama ya da yeni bir hak gibi aleyhine olmayan değişiklikler yalnızca yeni sürüm olarak yayımlanır.
Alt işleyen listesinin değişmesi 8. bölümdeki kurala bağlıdır.

18. Uygulanacak hukuk

Bu sözleşmeye Türk hukuku uygulanır. Yetkili mahkeme ve bildirimler Hizmet Sözleşmesi ile aynıdır. Sorularını destek@oldubuis.com adresine yazabilirsin.