1. Kapsam
Bu Veri İşleyen Sözleşmesi (“VİS”), Müşteri (Veri Sorumlusu) ile Lydira Yazılım ve Bilişim Teknolojileri Limited Şirketi (“Lydira”, Veri İşleyen) arasındaki abonelik sözleşmesini tamamlar ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile ikincil mevzuat kapsamındaki işleme faaliyetlerine uygulanır.
Lydira’nın adresi Esentepe Mah. Talat Paşa Cad. No: 5 İç Kapı No: 1, Şişli/İstanbul; MERSİS numarası 0609147886200001.
2. İşleme amacı ve süresi
Lydira, seyahat acentelerinin satış, operasyon ve muhasebe işlerini yürüttüğü yazılımı sağlamak amacıyla ve abonelik sözleşmesi süresince işler. Sona erme hâlinde §8 uygulanır.
3. İlgili kişi grupları ve veri kategorileri
İlgili kişi grupları: Müşteri çalışanları (danışmanlar, yöneticiler); Müşteri’nin bireysel ve kurumsal müşterileri; yolcular ve misafirler; tedarikçi ve iş bağlantıları; kurumsal müşteri portalını kullanan çalışanlar.
Veri kategorileri: kimlik (pasaport ve T.C. kimlik numarası dahil), iletişim, rezervasyon kayıtları (bilet, konaklama, yat kiralama, kruvaziyer, transfer, araç kiralama, tur, vize, etkinlik), fatura, tahsilat ve cari hesap kayıtları, banka hareketleri, yazışmalar (e-posta, SMS, WhatsApp, portal mesajları), hesap kimlik bilgileri (şifre özeti), oturum ve işlem kayıtları. Kart numarası Lydira’da saklanmaz; kart ödemelerini Türkiye’de iyzico, diğer ülkelerde Stripe alır.
Özel nitelikli kişisel veri işlenmesi hizmetin amacı değildir.
4. Veri İşleyen yükümlülükleri
- Kişisel verileri yalnızca Veri Sorumlusu’nun belgelenmiş talimatlarıyla işler.
- Kişisel verilere erişen personeli bağlayıcı gizlilik yükümlülüğü altındadır.
- KVKK m. 12 kapsamında teknik ve idari güvenlik tedbirlerini alır (bkz. §6).
- Alt işleyenlerle yalnızca §5’teki şartlarla çalışır.
- Bir veri ihlalini Veri Sorumlusu’na gecikmeksizin ve en geç 72 saat içinde bildirir; Kurul’a bildirimde Veri Sorumlusu’na yardımcı olur.
- İlgili kişi başvurularının yanıtlanmasında Veri Sorumlusu’na yardımcı olur.
5. Alt işleyenler
Müşteri, alt işleyenler sayfasındaki alt işleyenleri onaylar. Liste değiştiğinde hesap sahibine en az 30 gün önceden e-posta ile bildirim yapılır.
Müşteri’nin kendi hesabıyla bağladığı hizmetler (kendi e-posta sunucusu, mesajlaşma sağlayıcısı, konsolidatörü veya GDS ofisi), Müşteri’nin o sağlayıcıyla yaptığı sözleşme kapsamında çalışır ve Veri İşleyen’in alt işleyeni değildir.
6. Güvenlik tedbirleri (KVKK m. 12)
Lydira’nın aldığı teknik ve idari tedbirler, uygulamadaki Veri Koruma Etki Değerlendirmesi sayfasının 5. bölümünde sade bir dille listelenir. Bunlara ek olarak Lydira, Kurul’un Kişisel Veri Güvenliği Rehberi’ni esas alır. VERBİS kaydı, veri sorumlusu sıfatıyla Müşteri tarafından ayrıca yapılır.
7. Yurt dışına aktarım
Türkiye’den açılan bir çalışma alanının verileri (uygulama sunucuları, veritabanı, dosya depolama ve yedekler) AWS İstanbul Local Zone’da, Türkiye’de barındırılır. Kişisel veriler OpenAI (ABD), Stripe (ABD ve AB), Mailgun (AB), Sentry (AB, Almanya), New Relic (AB, Almanya) ve Cloudflare (küresel uç ağ) aracılığıyla Türkiye dışına aktarılabilir; bu hizmet sağlayıcıların tamamı alt işleyenler sayfasında listelenir.
Bu aktarımlar KVKK m. 9’a dayanır. Alıcı ülke için yeterlilik kararı yoksa Kurul’un ilan ettiği standart sözleşme gibi uygun güvenceler kullanılır.
8. İade ve silme
Sözleşme sona erdiğinde Müşteri’nin tercihine göre veriler 30 gün içinde iade edilir ya da güvenli biçimde silinir. Yedeklerdeki kopyaların silinmesi 90 gün içinde tamamlanır.
9. Ekip sohbeti içeriğinin gizliliği
Veri İşleyen, Veri Sorumlusu’nun kullanıcılarının platformun ekip sohbetinde birbirleriyle yaptığı yazışmaların (kanal mesajları, birebir mesajlar ve ekleri) içeriğini okumaz ve incelemez. Bu içeriğe, yedekler dahil, yalnızca (a) Veri Sorumlusu’nun yazılı talebiyle ve talepte belirtilen kapsamla sınırlı destek işleri için ya da (b) yetkili bir makamın bağlayıcı kararı veya kanuni bir zorunluluk hâlinde, bu iş için yetkilendirilmiş en az sayıda personel erişir. Her erişim kayıt altına alınır ve kanun yasaklamadıkça Veri Sorumlusu’na yazılı olarak bildirilir. Platformun yönetim arayüzünde bu içeriği gösteren bir ekran bulunmaz; mesaj metni uygulama kayıtlarına ve denetim kaydına yazılmaz. Birebir mesajlar hiçbir otomatik yapay zekâ özelliğine iletilmez. Kanal mesajları yalnızca Veri Sorumlusu’nun açık bıraktığı yapay zekâ özellikleri için §5’teki alt işleyenlere iletilir.
10. Uygulanacak hukuk
Türkiye Cumhuriyeti hukuku uygulanır. Uyuşmazlıklarda İstanbul Merkez (Çağlayan) Mahkemeleri ve İcra Daireleri münhasıran yetkilidir.
İmzalı sürümü talep etmek için legal@lydira.com adresine yazın.