Veri İşleme Sözleşmesi

Kısaca: Charter şirketiniz Atlas Platform’u kullandığında misafirlerinizin, mürettebatınızın, çalışanlarınızın, tekne sahiplerinin ve diğer kişilerin kişisel verilerinin hangi amaçla ve nasıl işleneceğine siz karar verirsiniz. Veri sorumlusu sizsiniz. Sail Atlas bu verileri yalnızca Platform’u sizin için çalıştırmak amacıyla ve talimatlarınız doğrultusunda işler; biz sizin veri işleyeniniziz. Bu Sözleşme; verilerle neler yapabileceğimizi, verileri nasıl koruduğumuzu, hangi alt veri işleyenleri kullandığımızı, verilerin yurt dışına nasıl aktarıldığını, başvurular ve ihlaller konusunda size nasıl destek olduğumuzu ve aboneliğiniz sona erdiğinde verilere ne olacağını düzenler. Verileriniz Amazon Web Services tarafından Almanya’da (Frankfurt) barındırılır. Verilerinizi asla satmaz, reklam amacıyla kullanmaz ve yapay zekâ modellerini eğitmek için kullanmayız.

1. Bu sözleşme hakkında

1.1 Bu Veri İşleme Sözleşmesi (“Sözleşme”), Atlas Platform’a abone olan charter şirketi veya diğer işletme (“Müşteri”, “siz”) ile New Jersey (ABD) hukukuna göre kurulmuş, Sail Atlas markasıyla faaliyet gösteren ve 2037 Lemoine Ave, Suite 330, Fort Lee, NJ 07024, Amerika Birleşik Devletleri adresinde bulunan sınırlı sorumlu şirket HeyAtlas.ai LLC (“Sail Atlas”, “biz”) arasında akdedilmiştir.

1.2 Bu Sözleşme, Atlas Platform Abonelik Sözleşmesi’nin (“Abonelik Sözleşmesi”) ayrılmaz bir parçasıdır. Abonelik Sözleşmesi’ni çevrim içi olarak veya ona atıf yapan bir Sipariş Formu’nu imzalayarak kabul ettiğinizde bu Sözleşme’yi de kabul etmiş olursunuz. 9. bölümde ayrıca imzalanması gereken aktarım araçları dışında ayrı bir imza gerekmez.

1.3 Bu Sözleşme, GDPR ve UK GDPR’ın 28. maddesi, KVKK’nın 12. maddesi ve Müşteri Kişisel Verilerinin işlenmesine uygulanan diğer Veri Koruma Mevzuatı hükümlerini karşılamak üzere hazırlanmıştır.

1.4 Abonelik Sözleşmesi’nde tanımlanan terimler, aşağıda ayrıca tanımlanmadıkça bu Sözleşme’de de aynı anlamı taşır.

2. Tanımlar

Bu Sözleşme’de:

• “Atlas Platform” veya “Platform”: Abonelik Sözleşmesi’nde tanımlanan Sail Atlas yazılım ve hizmetleri; Atlas Dashboard, Atlas Operations, Dijital Teklifler (Digital Offers), Doğrudan Rezervasyon Siteleri (Direct Booking Websites), Crew List ve Atlas AI ile Atlas Charter, Atlas Crew ve Atlas Owner uygulamalarının verilerinizi birlikte çalıştığınız kişilere gösteren bölümleri.
• “Müşteri Kişisel Verileri”: Platform’u sunarken sizin adınıza işlediğimiz ve Ek 1’de açıklanan kişisel veriler.
• “Veri Koruma Mevzuatı”: Müşteri Kişisel Verilerinin işlenmesine uygulanan kişisel verilerin korunmasına ilişkin tüm mevzuat; GDPR, UK GDPR, KVKK ve bunların uygulama düzenlemeleri ile uygulandığı ölçüde ABD eyaletlerinin gizlilik yasaları dahil.
• “GDPR”: (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü. “UK GDPR”: Birleşik Krallık hukukunun parçası haline gelen haliyle GDPR ve 2018 tarihli Birleşik Krallık Veri Koruma Kanunu.
• “KVKK”: 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeleri; 10 Temmuz 2024 tarihli Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”) dahil. “Kurul”: Kişisel Verileri Koruma Kurulu. “Kurum”: Kişisel Verileri Koruma Kurumu.
• “Veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “kişisel veri”, “kişisel verilerin işlenmesi” ve “özel nitelikli kişisel veri” KVKK’daki anlamlarını taşır. Bu terimler GDPR’daki controller, processor, data subject, personal data, processing ve special categories of personal data kavramlarına karşılık gelir. “Denetim makamı”, GDPR kapsamındaki veri koruma denetim otoritesini ve KVKK kapsamında Kurul’u ifade eder.
• “Kişisel Veri İhlali”: Müşteri Kişisel Verileri biz veya Alt Veri İşleyenlerimiz tarafından işlenirken, bu verilerin kazara veya hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara yetkisiz erişilmesine yol açan güvenlik ihlali.
• “Alt Veri İşleyen”: Müşteri Kişisel Verilerini sizin adınıza işlemek üzere görevlendirdiğimiz başka bir veri işleyen.
• “SCC”: Avrupa Komisyonu’nun (AB) 2021/914 sayılı Uygulama Kararı ile onaylanan, kişisel verilerin üçüncü ülkelere aktarımına ilişkin Standart Sözleşme Hükümleri.
• “UK Ek Protokolü”: Birleşik Krallık Bilgi Komiserliği (ICO) tarafından yayımlanan, AB Komisyonu Standart Sözleşme Hükümlerine ilişkin Uluslararası Veri Aktarımı Ek Protokolü (International Data Transfer Addendum, B1.0 sürümü) ve değişiklikleri.
• “DPF”: AB-ABD Veri Gizliliği Çerçevesi (EU-U.S. Data Privacy Framework) ve Birleşik Krallık uzantısı.
• “KVKK Standart Sözleşmeleri”: Kurul’un KVKK madde 9 uyarınca yayımladığı yurt dışına aktarım standart sözleşmeleri; özellikle veri sorumlusundan veri işleyene ve veri işleyenden veri işleyene aktarım modülleri.
• “Yetkili Kullanıcılar”: Hesabınız altında Platform’u kullanmasına izin verdiğiniz çalışanlarınız ve diğer kişiler.

3. Roller ve kapsam

3.1 Veri sorumlusu siz, veri işleyen biziz. Müşteri Kişisel Verileri bakımından veri sorumlusu siz, veri işleyen ise Sail Atlas’tır. Bu verilerin bir kısmını başka bir veri sorumlusu (örneğin bir iş ortağınız) adına veri işleyen sıfatıyla işliyorsanız, bize verdiğiniz talimatların o veri sorumlusu tarafından yetkilendirildiğini kabul edersiniz; bu durumda biz sizin alt veri işleyeniniz olarak hareket ederiz.

3.2 Bu Sözleşme’nin kapsamı. Bu Sözleşme tüm Müşteri Kişisel Verilerini kapsar; özellikle misafirleriniz ve yolcularınız, rezervasyonlar, yolcu ve mürettebat listeleri (pasaport ve kimlik bilgileri dahil), kendi mürettebat kayıtlarınız, çalışanlarınızın Atlas Dashboard ve Atlas Operations’taki iş verileri, gelen kutunuzdaki mesajlar, kampanya ve teklif alıcıları, rezervasyon sitenizden yapılan rezervasyonlar ile Atlas Owner’da tekne sahipleriyle paylaştığınız tekne ve tekne sahibi verileri. Platform bu verileri Atlas Charter’da misafirlerinize, Atlas Crew’da görevlendirdiğiniz mürettebata ve Atlas Owner’a davet ettiğiniz tekne sahiplerine gösterdiğinde de bu Sözleşme uygulanır.

3.3 Kapsam dışında kalanlar. Aşağıdaki işlemelerde Sail Atlas veri sorumlusudur ve bu Sözleşme uygulanmaz:

• misafirlerin, mürettebatın ve tekne sahiplerinin Atlas Charter, Atlas Crew ve Atlas Owner’da oluşturdukları hesaplar ve Atlas Crew’daki herkese açık mürettebat profilleri;
• Yetkili Kullanıcılarınızın hesap, oturum açma ve güvenlik kayıtları, şirketinize ilişkin fatura verileri, destek yazışmaları ve ürün analitiği; ve
• web sitemizin ziyaretçileri ve kendi potansiyel müşterilerimiz.

Bu verileri Gizlilik Politikası’nda ve Customer App Gizlilik Bildirimi ile Crew App Gizlilik Bildirimi gibi uygulama metinlerinde açıklandığı şekilde işleriz. Atlas Crew’daki mürettebat havuzundan aldığınız verileri kendi kayıtlarınıza aktardığınızda (örneğin bir mürettebat üyesini rezerve ettiğinizde), kayıtlarınızdaki kopya Müşteri Kişisel Verisi sayılır.

3.4 ABD eyalet gizlilik yasaları. ABD eyaletlerinin gizlilik yasalarının uygulandığı hallerde sizin “hizmet sağlayıcınız” (service provider) veya “veri işleyeniniz” (processor) olarak hareket ederiz. Müşteri Kişisel Verilerini satmaz veya paylaşmayız; sizinle olan doğrudan iş ilişkimizin dışında veya Platform’u sunmak dışında bir amaçla saklamaz, kullanmaz veya açıklamayız; ve bu yasaların izin verdiği haller dışında başkalarından aldığımız kişisel verilerle birleştirmeyiz.

4. İşlemeye ilişkin ayrıntılar

4.1 İşlemenin konusu, süresi, niteliği ve amacı ile kişisel veri türleri ve ilgili kişi grupları Ek 1’de açıklanmıştır.

4.2 Müşteri Kişisel Verilerini, Platform’u kullandığınız süre boyunca ve 14. bölüm uyarınca iade edilinceye veya silininceye kadar işleriz.

5. Talimatlarınız

5.1 Yalnızca belgelendirilmiş talimatlar. Müşteri Kişisel Verilerini, yurt dışına aktarımlar dahil olmak üzere, yalnızca belgelendirilmiş talimatlarınız doğrultusunda işleriz; tabi olduğumuz bir yasa aksini gerektiriyorsa bu durum saklıdır. Bu durumda, yasa önemli kamu yararı gerekçesiyle yasaklamadıkça, verileri işlemeden önce söz konusu yasal zorunluluğu size bildiririz.

5.2 Talimat sayılanlar. Belgelendirilmiş talimatlarınız şunlardır:

• Abonelik Sözleşmesi ve bu Sözleşme;
• Platform’u yapılandırmanız ve Yetkili Kullanıcılarınızın Platform’u kullanması; örneğin girdiğiniz veriler, açtığınız özellikler ve ayarlar, bağladığınız entegrasyonlar, gönderdiğiniz mesajlar ve kampanyalar;
• Abonelik Sözleşmesi’nin 7.6. bölümünde açıklanan toplulaştırılmış veya anonim verilerin oluşturulması; ve
• Abonelik Sözleşmesi ile uyumlu olarak bize yazılı olarak (örneğin info@sailatlas.app adresine e-postayla) verdiğiniz diğer talimatlar. Platform’un kapsamını aşan talimatlar ayrı bir anlaşma ve ücret gerektirebilir.

5.3 Hukuka aykırı talimatlar. Bir talimatın Veri Koruma Mevzuatı’na aykırı olduğu kanaatine varırsak bunu derhal size bildiririz. Bu durumda, talimatı teyit edinceye veya değiştirinceye kadar uygulanmasını askıya alabiliriz. Bu bildirim hukuki danışmanlık niteliğinde değildir ve her talimatı denetleme yükümlülüğümüz yoktur.

5.4 Kendi amaçlarımız için kullanmama. Müşteri Kişisel Verilerini satmaz, reklam amacıyla kullanmaz ve kendi amaçlarımız için işlemeyiz. Misafirlerinizle kendi adımıza iletişime geçmek için kullanmayız. Her müşteri yalnızca kendi verilerini görür. Birden fazla charter şirketinin rezervasyonunu tek bir Atlas Charter hesabına bağlayan bir misafir her şirketin rezervasyonlarını görür; ancak hiçbir şirket başka bir şirketin verilerini görmez.

5.5 KVKK. KVKK madde 12/4 uyarınca, Müşteri Kişisel Verilerini KVKK’ya aykırı olarak başkasına açıklamaz ve sizin talimat verdiğiniz işleme amacı dışında kullanmayız. Bu yükümlülük bu Sözleşme sona erdikten sonra da devam eder.

6. Personelimizin gizlilik yükümlülüğü

6.1 Müşteri Kişisel Verilerine yalnızca Platform’u sunmak, güvenliğini sağlamak veya destek vermek için ihtiyaç duyan çalışanlarımızın ve yüklenicilerimizin, ihtiyaç duydukları ölçüde erişmesine izin veririz.

6.2 Müşteri Kişisel Verilerini işlemeye yetkilendirdiğimiz herkes yazılı bir gizlilik yükümlülüğü veya uygun bir yasal sır saklama yükümlülüğü altındadır. Bu yükümlülük görevleri sona erdikten sonra da devam eder.

6.3 Destek personelimiz hesabınıza yalnızca destek taleplerinizi yanıtlamak için, sizin talebiniz üzerine veya Platform’un güvenliğini ve çalışmasını sağlamak için gerektiğinde erişir.

7. İşleme güvenliği

7.1 Tedbirlerimiz. Müşteri Kişisel Verilerini kazara veya hukuka aykırı olarak yok edilmeye, kaybolmaya, değiştirilmeye, yetkisiz ifşaya veya erişime karşı korumak için Ek 2’de açıklanan teknik ve idari tedbirleri alır ve sürdürürüz. Bu tedbirleri, GDPR madde 32 ve KVKK madde 12/1’in gerektirdiği şekilde; teknolojinin geldiği seviyeyi, uygulama maliyetlerini, işlemenin niteliğini, kapsamını, bağlamını ve amaçlarını ve ilgili kişiler bakımından riskleri dikkate alarak belirledik.

7.2 Güncellemeler. Genel koruma seviyesi düşmemek kaydıyla, teknoloji ve riskler değiştikçe tedbirleri güncelleyebiliriz.

7.3 Ortak sorumluluk. KVKK madde 12/2 uyarınca, madde 12/1’de belirtilen tedbirlerin alınması konusunda sizinle birlikte müştereken sorumluyuz. Güvenliğin sizin kontrolünüzdeki kısımlarından siz sorumlusunuz; bunlar arasında şunlar yer alır:

• Yetkili Kullanıcılarınıza rol ve yetki atamak ve ayrılan kişilerin erişimini kaldırmak;
• kullanıcılarınızın oturum açma bilgilerini güvende tutmak;
• kendi cihazlarınızın ve ağlarınızın güvenliği; ve
• Platform’dan dışa aktardığınız veya bağladığınız entegrasyonlar aracılığıyla üçüncü kişilere gönderdiğiniz veriler.

8. Alt veri işleyenler

8.1 Genel yetkilendirme. Alt Veri İşleyen görevlendirmemiz için bize genel yazılı yetki verirsiniz. Bu Sözleşme’yi kabul ettiğiniz tarihte kullandığımız Alt Veri İşleyenler, Ek 3’ü oluşturan Alt Veri İşleyenler sayfamızda listelenmiştir. Bunların bir kısmı yalnızca ilgili özelliği veya entegrasyonu açmanız halinde kullanılır.

8.2 Yükümlülüklerimiz. Bir Alt Veri İşleyeni görevlendirmeden önce, uygun teknik ve idari tedbirleri uygulamak için yeterli güvenceleri sağladığını kontrol ederiz. Her Alt Veri İşleyenle, sunduğu hizmetle ilgili olduğu ölçüde bu Sözleşme’dekinden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme imzalarız. Her Alt Veri İşleyen Müşteri Kişisel Verilerini yalnızca bize hizmetini sunmak için gerekli ölçüde işleyebilir.

8.3 Değişikliklerin bildirilmesi. Bir Alt Veri İşleyen eklemeden veya değiştirmeden en az 30 gün önce size bildirimde bulunuruz. Bunu hesabınızdaki hesap sahibine ve yönetici kişilere e-posta göndererek ve Alt Veri İşleyenler sayfasını güncelleyerek yaparız. Ayrıca o sayfada açıklandığı şekilde güncellemelere abone olabilirsiniz.

8.4 İtiraz hakkınız. Yeni bir Alt Veri İşleyene, bildirimimizden itibaren 30 gün içinde info@sailatlas.app adresine yazarak, veri korumaya ilişkin makul gerekçelerle itiraz edebilirsiniz. Bu durumda endişelerinizi iyi niyetle görüşür ve mümkünse bir alternatif sunarız; örneğin yeni Alt Veri İşleyen verilerinizi işlemeden Platform’u kullanmanızı sağlayan bir yol. İtirazınızı çözemezsek, değişiklik yürürlüğe girmeden önce yazılı bildirimle aboneliğinizin etkilenen kısmını veya etkilenen kısım ayrılamıyorsa aboneliğinizin tamamını feshedebilirsiniz. Bu durumda fesih tarihinden sonraki döneme ilişkin peşin ödenmiş ücretleri iade ederiz. Bildirim süresi içinde itiraz etmezseniz yeni Alt Veri İşleyen onaylanmış sayılır.

8.5 Acil değişiklikler. Bir Alt Veri İşleyeni acilen değiştirmemiz gerekirse (örneğin güvenlik nedeniyle veya sağlayıcının hizmetini sonlandırması halinde), daha kısa bir bildirim süresiyle değiştirebiliriz. Bu durumda size en kısa sürede bilgi veririz; 8.4. bölümdeki itiraz hakkınız saklıdır.

8.6 Sorumluluk. Her Alt Veri İşleyenin yükümlülüklerini yerine getirmesinden size karşı tam olarak sorumlu olmaya devam ederiz.

8.7 Sözleşme örnekleri. Talebiniz üzerine, bir Alt Veri İşleyenle kararlaştırdığımız veri koruma hükümlerinin bir örneğini size veririz. Veri korumayla ilgisi olmayan ticari bilgileri ve gizli hükümleri çıkarabiliriz.

9. Yurt dışına aktarımlar

9.1 Verilerinizin bulunduğu yer. Müşteri Kişisel Verileri, Almanya’da (Frankfurt, eu-central-1 bölgesi) bulunan Amazon Web Services sunucularında saklanır. Sail Atlas, ABD’de kurulu bir şirkettir. Personelimiz ve bazı Alt Veri İşleyenlerimiz verilere ABD’den veya Alt Veri İşleyenler sayfasında gösterilen diğer ülkelerden erişir veya verileri bu ülkelerde işler. Müşteri Kişisel Verilerini başka bir ülkeye yalnızca bu bölümde belirtilen şekilde aktarırız.

9.2 AEA. İşlemeniz GDPR’a tabiyse ve Müşteri Kişisel Verilerine erişimimiz veya bu verileri işlememiz üçüncü bir ülkeye aktarım niteliğindeyse, veri ihracatçısı olarak sizinle veri ithalatçısı olarak HeyAtlas.ai LLC arasında SCC Modül 2 (veri sorumlusundan veri işleyene) uygulanır ve aşağıdaki şekilde atıf yoluyla bu Sözleşme’ye dahil edilir:

• 7. Madde (katılma hükmü) uygulanır;
• 9. Madde’de Seçenek 2 (genel yazılı yetkilendirme), 8.3. bölümdeki 30 günlük bildirim süresiyle uygulanır;
• 11. Madde’deki isteğe bağlı hüküm uygulanmaz;
• 13. Madde’de yetkili denetim makamı, kurulu olduğunuz AB üye devletinin denetim makamıdır; AB’de kurulu değilseniz 13(a) Madde’ye göre belirlenen makamdır;
• 17. Madde’de Seçenek 2 uygulanır: SCC, kurulu olduğunuz AB üye devletinin hukukuna tabidir; bu hukuk lehtar üçüncü kişi haklarını tanımıyorsa veya AB’de kurulu değilseniz İrlanda hukuku uygulanır;
• 18. Madde’de uyuşmazlıklar, SCC’nin tabi olduğu hukukun ait olduğu AB üye devletinin mahkemelerinde çözülür; ve
• Ek I.A, Abonelik Sözleşmesi’ndeki taraf bilgileriyle; Ek I.B, bu Sözleşme’nin Ek 1’iyle; Ek I.C, yukarıdaki 13. Madde ile; Ek II, bu Sözleşme’nin Ek 2’siyle; Ek III ise Alt Veri İşleyenler sayfasıyla doldurulmuş sayılır.

Alt Veri İşleyenlerimizin Müşteri Kişisel Verilerini üçüncü bir ülkede işlediği hallerde, bir yeterlilik kararına (Alt Veri İşleyen sertifikalıysa DPF dahil) veya o Alt Veri İşleyenle imzalanan SCC Modül 3 (veri işleyenden veri işleyene) hükümlerine dayanırız.

9.3 Birleşik Krallık. UK GDPR’ın uygulandığı hallerde bize yapılan aktarımlara UK Ek Protokolü uygulanır ve şu şekilde doldurulmuş sayılır: Tablo 1, Abonelik Sözleşmesi’ndeki taraf bilgileriyle; Tablo 2, SCC Modül 2 ve 9.2. bölümdeki seçimlerle; Tablo 3, bu Sözleşme’nin Ek 1 ila Ek 3’üyle; Tablo 4’te ise taraflardan her biri UK Ek Protokolü’nü 19. Bölüm’de belirtildiği şekilde sona erdirebilir. Alt Veri İşleyenlere sonraki aktarımlar, Alt Veri İşleyen sertifikalıysa DPF Birleşik Krallık uzantısına, değilse UK Ek Protokolü’ne dayanır.

9.4 Türkiye. Türkiye’de yerleşikseniz veya işlemeniz başka bir şekilde KVKK’ya tabiyse, Müşteri Kişisel Verilerini bize sunmanız KVKK madde 9 kapsamında yurt dışına aktarım niteliğindedir. Aktarım Kurul’un bir yeterlilik kararı kapsamında değilse:

• sizinle biz, KVKK Standart Sözleşmesi’nin veri sorumlusundan veri işleyene aktarım modülünü, Yönetmelik’in gerektirdiği şekilde metnini değiştirmeden ayrıca imzalarız;
• yurt dışındaki Alt Veri İşleyenlere yapılan sonraki aktarımlar için KVKK Standart Sözleşmesi’nin veri işleyenden veri işleyene aktarım modülünü veya KVKK madde 9 kapsamındaki başka bir uygun güvenceyi kullanırız;
• veri aktaran taraf, imzalanan her KVKK Standart Sözleşmesi’ni imzalanmasından itibaren 5 iş günü içinde Kurum’a bildirir. Aramızdaki sözleşme bakımından veri aktaran siz olduğunuz için bu bildirimi siz yaparsınız. Bunun için ihtiyaç duyduğunuz bilgi ve belgeleri sağlar, talebiniz üzerine sonraki aktarımlara ilişkin sözleşmelerimizin örneklerini veririz; ve
• yurt dışına aktarım hakkında ilgili kişileri aydınlatma metninizde bilgilendirirsiniz.

Bir KVKK Standart Sözleşmesi ile bu Sözleşme arasında çelişki olması halinde, kapsadığı aktarımlar bakımından KVKK Standart Sözleşmesi esas alınır.

9.5 Diğer ülkeler. Diğer Veri Koruma Mevzuatı bir aktarım aracı gerektiriyorsa, bunun oluşturulması için sizinle iyi niyetle iş birliği yaparız.

9.6 Kamu makamlarından gelen talepler. Bir kamu makamı bizden Müşteri Kişisel Verilerini talep ederse:

• yasa yasaklamadıkça size derhal bilgi veririz;
• mümkünse makamı verileri sizden talep etmeye yönlendiririz;
• talebin hukuka uygunluğunu inceler, makul gerekçeler varsa talebe itiraz ederiz; ve
• yalnızca gerekli asgari veriyi açıklar ve talebin kaydını tutarız.

10. İlgili kişi başvurularında destek

10.1 Başvuruların iletilmesi. Müşteri Kişisel Verilerine ilişkin bir ilgili kişi başvurusu (örneğin verilere erişim, düzeltme, silme talebi veya itiraz) alırsak, başvuruyu gecikmeksizin ve her durumda 5 iş günü içinde size iletiriz. Talimat vermediğiniz sürece, başvuruyu size ilettiğimizi teyit etmek dışında başvuruyu kendimiz yanıtlamayız.

10.2 Self servis araçlar. Platform, misafirlerinizin, mürettebatınızın, tekne sahiplerinin ve diğer kişilerin verilerini bulmanızı, görüntülemenizi, düzeltmenizi, dışa aktarmanızı ve silmenizi, pazarlama iletilerine ilişkin ret kayıtlarını tutmanızı sağlar. Başvuruların çoğunu bu araçlarla kendiniz yanıtlarsınız.

10.3 Ek destek. Araçların yetmediği hallerde, işlemenin niteliğini dikkate alarak ve mümkün olduğu ölçüde uygun teknik ve idari tedbirlerle başvuruları yanıtlamanıza yardımcı oluruz. Buna KVKK madde 13 kapsamındaki 30 günlük ve GDPR madde 12 kapsamındaki bir aylık yanıt sürelerine uymanız için verdiğimiz destek de dahildir. Başvurular açıkça dayanaksız veya aşırı olmadıkça bu desteği ek ücret almadan veririz.

10.4 Misafirlerin uygulama hesapları. Bir misafir Atlas Charter hesabını silerse, sizdeki rezervasyon kayıtları silinmez; yalnızca hesap ile rezervasyonlarınız arasındaki bağlantı kaldırılır. Rezervasyon kayıtlarının silinmesi talepleri hakkında karar size aittir.

11. Etki değerlendirmeleri ve diğer yükümlülüklerde destek

11.1 İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak, aşağıdaki yükümlülüklerinizi yerine getirmeniz için size makul destek sağlarız:

• veri koruma etki değerlendirmeleri ve denetim makamıyla ön istişare dahil, GDPR madde 32 ila 36;
• tedbirlerimiz hakkında ihtiyaç duyduğunuz bilgiler dahil, KVKK madde 12; ve
• kayıt yükümlülüğünüz varsa Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kaydınız; örneğin Alt Veri İşleyenlerimize ve yurt dışına aktarımlara ilişkin bilgiler.

11.2 Bu desteği esas olarak dokümantasyonumuz, bu Sözleşme ve ekleri aracılığıyla sağlarız. Bunun ötesinde önemli bir çalışma gerektiren destek için, önceden sizinle mutabık kalmak kaydıyla makul bir ücret talep edebiliriz.

12. Kişisel veri ihlalleri

12.1 Size bildirim. Bir Kişisel Veri İhlalini, öğrenmemizden itibaren gecikmeksizin ve her durumda 48 saat içinde size bildiririz. Bu süre, GDPR madde 33 uyarınca denetim makamına 72 saat içinde ve KVKK madde 12/5 ile Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca Kurul’a 72 saat içinde bildirim yapma yükümlülüğünüz dahil, kendi yükümlülüklerinizi yerine getirebilmeniz içindir.

12.2 İçerik. Bildirimimiz, bilgiler mevcut olduğu ölçüde şunları içerir:

• ihlalin niteliği, ne zaman gerçekleştiği ve ne zaman tespit edildiği;
• etkilenen ilgili kişilerin ve kayıtların kategorileri ile yaklaşık sayısı;
• ihlalin olası sonuçları;
• ihlali gidermek ve olası olumsuz etkilerini azaltmak için aldığımız veya almayı önerdiğimiz tedbirler; ve
• daha fazla bilgi verebilecek bir irtibat kişisi.

Tüm bilgileri aynı anda veremezsek, ayrıca gecikmeksizin aşamalı olarak veririz.

12.3 Aldığımız önlemler. İhlali kontrol altına almak, incelemek ve etkilerini sınırlamak için derhal makul adımları atarız. Sizi bilgilendirmeye devam eder, denetim makamlarına ve ilgili kişilere bildirim yapmanız için makul olarak ihtiyaç duyduğunuz bilgi ve iş birliğini sağlarız. Her ihlali, etkilerini ve alınan önlemleri kayıt altına alırız.

12.4 Kararlar size aittir. Denetim makamlarına ve ilgili kişilere bildirim yapılıp yapılmayacağına veri sorumlusu olarak siz karar verirsiniz. Verilerinize ilişkin bir ihlali, talimatınız olmadan veya yasa gerektirmedikçe sizin adınıza onlara bildirmeyiz.

12.5 Bildirim yöntemi. Bildirimi, hesabınızdaki hesap sahibine ve yönetici kişilere e-postayla göndeririz. Lütfen bu iletişim bilgilerini güncel tutun.

12.6 Başarısız girişimler. Engellenen oturum açma denemeleri, ping veya port taramaları gibi Müşteri Kişisel Verilerinin güvenliğini tehlikeye atmayan başarısız girişimler veya faaliyetler Kişisel Veri İhlali sayılmaz.

12.7 Bir ihlali bildirmemiz, kusur veya sorumluluk kabulü anlamına gelmez.

13. Atlas AI

13.1 Girdilerin kullanımı. Atlas AI, Yetkili Kullanıcılarınıza verilerinizle ilgili soruları yanıtlama, özetleme, mesaj ve teklif taslağı hazırlama, metin çevirme, sesli notları yazıya dökme ve pasaport ile kimlik belgelerini okuma gibi işlerde yardımcı olur. Bir kullanıcı Atlas AI özelliğini kullandığında, ilgili girdiler (örneğin soru, mesajlar, notlar, belgeler, görseller veya ses kayıtları) ve iş için gereken bağlam, yalnızca çıktıyı üretmek ve size iletmek amacıyla OpenAI, L.L.C. veya Anthropic, PBC’ye, belge okuma için ise Base64.ai’ye gönderilir.

13.2 Model eğitimi yok. Bu sağlayıcılar 8. bölüm kapsamında Alt Veri İşleyenlerimizdir. API koşulları uyarınca, API’leri üzerinden gönderilen verileri kendi modellerini eğitmek için kullanmazlar. Koşulları uyarınca girdileri ve çıktıları yalnızca kötüye kullanımı tespit etmek amacıyla sınırlı bir süre saklayabilirler. Biz de Müşteri Kişisel Verilerini kendimize ait veya üçüncü kişilere ait herhangi bir yapay zekâ modelini eğitmek veya ince ayar yapmak için kullanmayız.

13.3 Kontrol sizdedir. Atlas AI’ı kullanıp kullanmayacağınıza ve hangi Yetkili Kullanıcılarınızın kullanabileceğine paketiniz, ayarlarınız ve kullanıcı yetkileri aracılığıyla siz karar verirsiniz. Gerekli olmadıkça ve hukuki bir dayanağınız bulunmadıkça Atlas AI’a özel nitelikli kişisel veri girmeyin.

13.4 Çıktıların kontrolü. Çıktılar otomatik olarak üretilir ve hatalı olabilir. Kullanıcılarınız, özellikle pasaport ve kimlik belgelerinden okunan veriler olmak üzere, çıktılara güvenmeden önce bunları kontrol etmelidir. Atlas AI, ilgili kişiler hakkında hukuki veya benzer şekilde önemli etki doğuran kararlar vermez. Çıktıları bu tür kararlarda kullanırsanız, GDPR madde 22 ve KVKK madde 11/1-g ile uyumlu olarak sizin tarafınızda bir kişi bunları incelemelidir.

14. İade ve silme

14.1 Abonelik süresince. Müşteri Kişisel Verilerini dilediğiniz zaman Platform’un araçlarıyla silebilirsiniz. Silinen veriler canlı sistemlerimizden kaldırılır; yedeklerden ise Ek 2’de açıklandığı şekilde yedeklerin süresi dolduğunda silinir.

14.2 Aboneliğin sonunda. Aboneliğiniz sona erdiğinde, Müşteri Kişisel Verilerini 30 gün boyunca Platform’un dışa aktarma özellikleriyle dışa aktarabilir veya yaygın kullanılan, makinece okunabilir bir formatta dışa aktarım yapmamızı talep edebilirsiniz. Bu sürenin sonunda, Abonelik Sözleşmesi’nin 20. bölümünde belirtildiği şekilde, Müşteri Kişisel Verilerini yedekler dahil sistemlerimizden 90 gün içinde siler ve Alt Veri İşleyenlerimize silmeleri talimatını veririz.

14.3 Yasal saklama yükümlülüğü. Tabi olduğumuz bir yasa bazı Müşteri Kişisel Verilerini daha uzun süre saklamamızı gerektiriyorsa, yalnızca bu verileri saklar, bu Sözleşme kapsamında korur, yalnızca yasanın gerektirdiği amaçla işler ve saklama süresi sona erdiğinde sileriz.

14.4 Teyit. Talebiniz üzerine silme işlemini yazılı olarak teyit ederiz.

15. Denetim ve bilgi

15.1 Bilgi. GDPR madde 28, KVKK madde 12 ve bu Sözleşme’ye uyumumuzu göstermek için gerekli tüm bilgileri size sunarız. Bunlar arasında bu Sözleşme ve ekleri, Alt Veri İşleyenler listesi, makul güvenlik soru formlarına verdiğimiz yanıtlar (yılda bir kez) ve son güvenlik incelemelerimizin ve testlerimizin özetleri yer alır.

15.2 Denetim. Bu bilgiler uyumu göstermeye yetmezse, bir denetim makamı gerektirirse veya bir Kişisel Veri İhlalinden sonra, bu Sözleşme’ye uyumumuzu yerinde inceleme dahil olmak üzere denetleyebilirsiniz. Denetim:

• sizin tarafınızdan veya rakibimiz olmayan ve gizlilik yükümlülüğü altındaki bağımsız bir denetçi tarafından yapılır;
• önerilen kapsamla birlikte en az 30 gün önceden yazılı olarak talep edilir;
• bir denetim makamı gerektirmedikçe veya bir Kişisel Veri İhlalini takip etmedikçe 12 ayda en fazla bir kez yapılır;
• olağan çalışma saatlerinde, faaliyetlerimizi makul olmayan şekilde aksatmadan ve diğer müşterilerin verilerine veya güvenliğimizi tehlikeye atacak bilgilere erişilmeden yapılır; ve
• masrafları size aittir. Denetim raporunun bir örneğini bize verirsiniz.

15.3 Sertifikalar. Üçüncü taraf sertifikaları veya denetim raporları (örneğin ISO/IEC 27001 veya SOC 2) edinirsek bunları size sunarız; bunlar kapsadıkları konular bakımından denetimin yerine geçebilir. Bir Alt Veri İşleyenin bu tür sertifikaları veya raporları varsa (örneğin Amazon Web Services), uyumunu göstermek için bunları kullanabiliriz.

15.4 Bu bölümdeki hiçbir hüküm denetim makamlarının veya Kurul’un yetkilerini sınırlamaz.

16. Veri sorumlusu olarak yükümlülükleriniz

16.1 Hukuka uygun işleme. Platform’da topladığınız veya girdiğiniz tüm Müşteri Kişisel Verileri için hukuki bir dayanağa sahip olmaktan (GDPR madde 6 ve 9, KVKK madde 5 ve 6), yurt dışına aktarımlar dahil olmak üzere ilgili kişileri aydınlatmaktan ve gereken hallerde açık rıza veya onay almaktan siz sorumlusunuz.

16.2 Özel nitelikli veriler. Platform özel nitelikli kişisel veriler için tasarlanmamıştır. Bir charter için gerekli olduğunda bu tür verileri kaydetmeyi tercih edebilirsiniz; örneğin beslenme, alerji veya sağlık notları ya da erişilebilirlik ihtiyaçları. Bu durumda hukuki dayanaktan ve yalnızca gerekli olanı kaydetmekten siz sorumlusunuz.

16.3 Çocuklar. Yolcu listeleri çocukları içerebilir. Çocuklara ait verilerin hukuka uygun olarak, veli veya vasileri aracılığıyla ya da onların izniyle toplanmasını sağlamaktan siz sorumlusunuz.

16.4 Pazarlama. Platform üzerinden gönderdiğiniz kampanyalar ve diğer pazarlama iletileri için geçerli onaya sahip olmaktan, ret taleplerine uymaktan ve Türkiye’de 6563 sayılı Kanun ile İleti Yönetim Sistemi (İYS) kurallarına uymaktan siz sorumlusunuz.

16.5 Seçtiğiniz entegrasyonlar. Rezervasyon sistemleri veya ödeme kuruluşları gibi doğrudan sözleşme yaptığınız hizmetleri bağladığınızda, verileri bu hizmetlere sizin talimatınızla göndeririz. Bu sağlayıcılar bizim Alt Veri İşleyenimiz olarak değil, sizin adınıza hareket eder; yaptıkları işleme onlarla aranızdaki sözleşmeye tabidir.

16.6 Diğer yükümlülükleriniz. İşleme faaliyetleri kayıtlarınız, ilgili kişi başvurularının yanıtlanması, ihlallerin bildirilmesi ve gerekiyorsa VERBİS’e kayıt dahil, veri sorumlusu olarak kendi yükümlülüklerinizden siz sorumlusunuz.

17. Sorumluluk

17.1 Tarafların bu Sözleşme’den doğan veya bununla bağlantılı sorumluluğu, Abonelik Sözleşmesi’nin 17. bölümündeki sorumluluk sınırlamalarına ve istisnalarına tabidir ve aynı üst sınırdan düşülür.

17.2 Bu hüküm, tarafların Veri Koruma Mevzuatı, SCC veya KVKK Standart Sözleşmeleri kapsamında ilgili kişilere karşı sorumluluğunu ya da uygulanacak emredici hukuka göre sınırlanamayan herhangi bir sorumluluğu sınırlamaz.

18. Süre, öncelik ve değişiklikler

18.1 Süre. Bu Sözleşme, Abonelik Sözleşmesi’ni kabul ettiğiniz andan itibaren, tüm Müşteri Kişisel Verilerini 14. bölüm uyarınca silinceye veya iade edinceye kadar uygulanır. Gizlilik gibi niteliği gereği devam etmesi gereken yükümlülükler sona ermeden sonra da devam eder.

18.2 Öncelik sırası. Belgeler arasında çelişki olması halinde şu sıra uygulanır: (1) kapsadıkları aktarımlar bakımından SCC, UK Ek Protokolü ve KVKK Standart Sözleşmeleri; (2) bu Sözleşme; (3) Abonelik Sözleşmesi ve diğer koşullar. Kişisel verilerin işlenmesine ilişkin her konuda bu Sözleşme Abonelik Sözleşmesi’ne göre önceliklidir.

18.3 Değişiklikler. Bu Sözleşme’yi mevzuattaki değişiklikleri, denetim makamlarının yönlendirmelerini veya Platform’daki değişiklikleri yansıtmak için güncelleyebiliriz. Alt Veri İşleyen değişiklikleri 8. bölüme tabidir. Önemli değişiklikleri en az 30 gün önceden size bildiririz. Yasa gerektirmedikçe değişiklikler Müşteri Kişisel Verilerinin genel koruma seviyesini düşüremez. Güncel sürüm ve yürürlük tarihi her zaman bu sayfanın başında yer alır.

18.4 Bölünebilirlik. Bu Sözleşme’nin herhangi bir hükmü geçersiz veya uygulanamaz olursa, Sözleşme’nin geri kalanı yürürlükte kalır.

19. Uygulanacak hukuk ve yetki

19.1 Bu Sözleşme, Abonelik Sözleşmesi’nin 22. bölümünde seçilen hukuka tabidir ve uyuşmazlıklar orada seçilen mahkemelerde veya diğer merciler önünde çözülür; ancak:

• SCC, 9.2. bölümde belirtilen hukuka ve mahkemelere; UK Ek Protokolü ise İngiltere ve Galler hukukuna ve İngiltere ve Galler mahkemelerine tabidir;
• KVKK Standart Sözleşmeleri, kendi hükümlerinde belirtilen hukuka ve mercilere tabidir; ve
• bu Sözleşme’deki hiçbir hüküm GDPR, UK GDPR veya KVKK’nın emredici hükümlerini, ilgili kişilerin haklarını ya da denetim makamlarının ve Kurul’un yetkilerini ortadan kaldırmaz.

20. İletişim

Bu Sözleşme veya Müşteri Kişisel Verilerinin işlenmesi hakkındaki her türlü sorunuz için info@sailatlas.app adresine veya HeyAtlas.ai LLC, 2037 Lemoine Ave, Suite 330, Fort Lee, NJ 07024, Amerika Birleşik Devletleri adresine yazabilirsiniz.

Ek 1: İşlemeye ilişkin ayrıntılar

Konu, süre, nitelik ve amaçlar

İlgili kişi grupları

• Misafirler ve yolcular: yolcu listelerindeki çocuklar ve onlar adına rezervasyon yapan kişiler dahil.
• Potansiyel müşteriler ve teklif alıcıları: Dijital Teklif veya fiyat teklifi gönderdiğiniz kişiler ve acenteler.
• Rezervasyon sitesi kullanıcıları: Doğrudan Rezervasyon Sitenizde gezinen, bilgi talep eden veya rezervasyon yapan kişiler.
• Çalışanlarınız: Yetkili Kullanıcılar ile işlerini Atlas Dashboard ve Atlas Operations’ta kaydettiğiniz diğer çalışanlarınız ve yüklenicileriniz.
• Kayıtlarınızdaki mürettebat: Atlas Crew’daki serbest mürettebat dahil, istihdam ettiğiniz, rezerve ettiğiniz veya görevlendirdiğiniz kaptanlar (skipper), hostesler, aşçılar ve diğer mürettebat.
• Tekne sahipleri: Atlas Owner’a davet ettikleriniz dahil, yönettiğiniz teknelerin sahipleri.
• Kampanya alıcıları: E-posta, SMS, WhatsApp veya Atlas Charter uygulaması üzerinden kampanya gönderdiğiniz kişiler.
• Acente, tedarikçi ve iş ortaklarınızdaki irtibat kişileri.

Kişisel veri kategorileri

Özel nitelikli kişisel veriler

Platform özel nitelikli kişisel veri gerektirmez. Özel nitelikli veriler yalnızca sizin kaydetmeyi seçtiğiniz hallerde işlenir; örneğin misafirlerin beslenme, alerji veya sağlık notları ya da erişilebilirlik ihtiyaçları. Hukuki dayanaktan siz sorumlusunuz (16.2. bölüm). Ek 2’deki güvenceler uygulanır ve bu notları kimlerin görebileceğini kullanıcı yetkileriyle sınırlayabilirsiniz.

Saklama

Müşteri Kişisel Verileri, kendi saklama politikanıza uygun olarak Platform’da tuttuğunuz sürece saklanır ve ardından 14. bölümde belirtildiği şekilde silinir. Teknik kayıtlar, Ek 2’de belirtilen daha kısa ve sabit sürelerle saklanır.

Alıcılar

Alt Veri İşleyenlerimiz (Ek 3) ile sizin seçtiğiniz alıcılar; örneğin uygulamalar aracılığıyla misafirleriniz, mürettebatınız ve tekne sahipleri, yolcu listelerini gönderdiğiniz makamlar ve bağladığınız hizmetler (16.5. bölüm).

Ek 2: Teknik ve idari tedbirler

Ek 3: Alt veri işleyenler

8. bölüm kapsamında yetkilendirilen Alt Veri İşleyenler; amaçları, ilgili veriler, konumları ve aktarım güvenceleriyle birlikte Alt Veri İşleyenler sayfamızda listelenmiştir. Bu Sözleşme’yi kabul ettiğiniz tarihte yürürlükte olan liste bu Ek 3’ü oluşturur ve 8. bölümde açıklandığı şekilde güncellenir.