Veri İşleme Eki

1. Konu ve tarafların rolleri

Müşteri veri sorumlusu, Visentry veri işleyendir. İşlemenin konusu; kamera yönetimi, yüz eşleştirme, olay/alarm kaydı, raporlama, entegrasyon ve destek hizmetlerinin sözleşme süresince sunulmasıdır. Müşteri talimatları ana sözleşme, yapılandırma ve yetkili destek taleplerinden oluşur.

2. Veri ve ilgili kişi kategorileri

• Kamera alanındaki çalışanlar, ziyaretçiler ve diğer kişiler.
• Yetkili kullanıcılar, kurum yöneticileri ve destek irtibatları.
• Görüntü/video, yüz fotoğrafı ve şablonu, eşleştirme sonucu, lokasyon, zaman, alarm/olay ve denetim kayıtları.
• Ring bağlantısı kullanılıyorsa cihaz, olay, yetkilendirme ve medya verileri.

3. Visentry'nin yükümlülükleri

• Verileri yalnızca belgelenmiş talimatlara ve uygulanabilir hukuka göre işlemek.
• Yetkili personeli gizlilik yükümlülüğü altında tutmak ve erişimi ihtiyaçla sınırlamak.
• Riskle orantılı teknik ve idari güvenlik tedbirleri uygulamak.
• İlgili kişi talepleri, DPIA ve uygulanabildiğinde AI Act temel haklar etki değerlendirmesi (FRIA) ile düzenleyici yükümlülüklerde makul destek sağlamak.
• Kişisel veri ihlalini öğrendikten sonra gereksiz gecikme olmaksızın müşteriyi bilgilendirmek.
• Müşteri Verilerini ortak veya başka müşterilere hizmet veren bir yapay zekâ modelini eğitmek ya da ince ayar yapmak için kullanmamak.

4. Müşterinin hukuki dayanak ve bilgilendirme yükümlülükleri

• Her kamera, kişi listesi, yüz şablonu ve kullanım senaryosu için amaç, veri minimizasyonu, saklama süresi ve uygulanabilir hukuki dayanağı devreye almadan önce belgelemek.
• İlgili kişilere kolay erişilebilir katmanlı aydınlatma sağlamak; açık rıza gerekiyorsa bunu aydınlatmadan ve varsa yurt dışı aktarım tercihinden ayrı, özgür ve ispatlanabilir biçimde toplamak ve geri alma kayıtlarını yönetmek.
• Çalışanlar, çocuklar, kamusal alanlar ve geniş ölçekli izleme bakımından daha az müdahaleci alternatifleri değerlendirmek; gerektiğinde DPIA/FRIA tamamlamak ve kullanımı yasaklayan yerel kurallara uymak.
• Yüz eşleşmesini tek başına hukuki, disipliner, istihdama ilişkin veya benzer önemli kararın dayanağı yapmamak; uygun insan incelemesi ve itiraz kanalı sağlamak.

5. Alt işleyenler ve aktarım ekleri

Visentry, hizmeti sunmak için gerekli alt işleyenleri kullanabilir ve bunlara eşdeğer veri koruma yükümlülükleri getirir. Güncel alt işleyen adı, ülkesi, hizmeti, veri kategorisi ve değişiklik bildirimi ilgili sipariş formu veya alt işleyen listesinde belirtilir; yeni bir alt işleyen için sözleşmedeki ön bildirim ve haklı itiraz süreci uygulanır.

AB/AEA veri sorumlusundan Türkiye'deki Visentry'ye GDPR kapsamındaki bir aktarımda, aksi bir yeterlilik dayanağı yoksa, 2021/914 sayılı Kararın Module 2 (Controller to Processor) hükümleri ve doldurulmuş Ek I-III sözleşmeye dahil edilir; aktarım etki değerlendirmesi ve gerekli ek tedbirler belgelenir. Başka rol zincirlerinde uygun SCC modülü seçilir.

Türkiye'den yurt dışındaki veri işleyene veya alt işleyene aktarımda taraf rollerine uygun KVKK standart sözleşmesi tamamlanır ve yasal süre içinde bildirilir. Birleşik Krallık kaynaklı kısıtlı aktarımlarda uygun UK Addendum veya IDTA kullanılır. Bu sayfadaki genel atıf, imzalı ve ekleri doldurulmuş aktarım belgesinin yerine geçmez.

6. Güvenlik tedbirleri

• Rol bazlı erişim ve çalışma alanı ayrımı.
• Ağ trafiğinin şifrelenmesi ve entegrasyon belirteçlerinin şifreli saklanması.
• Medya dosyalarına kimlik doğrulanmış, yetki kontrollü erişim.
• İşlem/denetim kayıtları, yedekleme, izleme ve olay müdahale prosedürleri.
• Saklama sürelerinin yapılandırılması ve süre sonunda güvenli silme.

7. İade, silme ve denetim

Hizmet sona erdiğinde Visentry, yasal saklama zorunluluğu bulunmadıkça müşterinin seçimine göre verileri iade eder veya siler. Müşterinin makul bilgi ve denetim talepleri, gizlilik ve sistem güvenliği korunarak karşılanır; kapsam ve maliyet taraflarca önceden belirlenebilir.