Giriş
Kurumsal Çalışan Hukuki Destek Programı Çerçeve Sözleşmesi'nin Ek-2'si ve ayrılmaz parçasıdır.
1. Amaç ve Kapsam
1.1. İşbu Protokol, Program'ın işletilmesi sırasında işlenen kişisel veriler bakımından VekilOl ile Kurum'un sıfatlarını, yükümlülüklerini ve aralarındaki bilgi akışını düzenler.
1.2. İşbu Protokol'de tanımlanmayan terimler, Çerçeve Sözleşme'deki anlamlarını taşır.
2. Sıfatların Tespiti
2.1. VekilOl, Kapsanan Kişiler'in Program'a kayıt, erişim, Görüşme ve Belge İncelemesi süreçlerinde işlenen kişisel verileri bakımından BAĞIMSIZ VERİ SORUMLUSUDUR. VekilOl bu verileri kendi belirlediği amaç ve vasıtalarla işler; Kurum bu işleme bakımından talimat verme yetkisine sahip değildir ve veri işleyen sıfatını taşımaz.
2.2. Kurum, kendi çalışanlarına ilişkin olarak kendi bünyesinde yürüttüğü işleme faaliyetleri bakımından BAĞIMSIZ VERİ SORUMLUSUDUR.
2.3. Taraflar arasında ortak veri sorumluluğu ilişkisi kurulmamıştır. Program kapsamında Kurum'dan VekilOl'a kişisel veri aktarımı yapılmaz.
2.4. Program Avukatı, Görüşme sırasında kendisine iletilen bilgiler bakımından 1136 sayılı Kanun'dan doğan sır saklama yükümlülüğü altındadır. Bu yükümlülük işbu Protokol ile daraltılamaz.
2.5. Taraflardan her biri, kendi sıfatı bakımından 6698 sayılı Kanun m.10 uyarınca aydınlatma yükümlülüğünü kendisi yerine getirir. Kurum, Program'ı duyururken çalışanlarına kendi aydınlatmasını yapar; VekilOl, kurumsal destek hattının açılması adımında Kurumsal Hukuki Destek Programı Aydınlatma Metni'ni sunar. Aydınlatma, tarafların ilk temas ettiği anda yapılır.
3. Kurum'a Aktarılmayan Veriler
3.1. VekilOl, Kurum'a aşağıdaki bilgileri hiçbir halde aktarmaz:
- Bir Kapsanan Kişi'nin kimliği veya Program'ı kullanıp kullanmadığı;
- Görüşme sayısı, tarihi, süresi veya kanalı;
- Konu başlığı, konunun içeriği veya hukuk alanı;
- Görüşme içeriği, paylaşılan belgeler ve Program Avukatı'nın değerlendirmesi;
- Anonim Ölçüm'e verilen bireysel yanıtlar.
3.2. İşbu yasak, Kurum'un talebi, Kurum'un yazılı onayı, Kapsanan Kişi'nin onayı veya Çerçeve Sözleşme'nin sona ermesiyle ortadan kalkmaz.
3.3. Kurum, Program kapsamında elde edilen hiçbir bilgiyi doğrudan veya dolaylı olarak istemez ve VekilOl'dan bu yönde talepte bulunmaz.
4. Kurumsal Rapor ve Anonimlik Eşikleri
4.1. Kurumsal Rapor yalnız toplulaştırılmış verilerden üretilir ve hiçbir satırında kişi, üyelik veya Görüşme kimliği bulunmaz.
4.2. Bir grup için toplanan yanıt sayısı on beşten azsa, o gruba ilişkin hiçbir başlık, oran, puan veya etiket raporda gösterilmez; grubun var olduğu bilgisi de gösterilmez. Eşiğin altında kalan gruplar yalnız toplam bir bastırma sayacında yer alır.
4.3. Oran, puan ve ortalama gösterimi için gereken asgari yanıt sayısı otuzdur ve bu eşik istisnasız uygulanır.
4.4. Anonim Ölçüm kayıtları, ait oldukları ayın ilk günü ile ilişkilendirilir; günlük davranış profili üretilmez ve üretilemez.
4.5. Anonim Ölçüm kayıtları ile Görüşme kayıtları arasında bağ kurulmaz. Aynı ay içinde ikinci bir ön ölçüm alınmasını engelleyen tek işaret, üyelik kaydında tutulan ay bilgisidir; bu işaret yanıtların içeriğiyle ilişkilendirilmez.
5. Üyelik Doğrulaması ve Elektronik Posta Adresi
5.1. Üyelik kaydında, doğrulanan kurumsal elektronik posta adresinin yalnız geri döndürülemez özeti tutulur; tek işlevi aynı adresle ikinci bir üyelik açılmasını engellemektir.
Doğrulama sırasında oluşturulan geçici kayıt adresi açık olarak taşır. Bu kayıt, doğrulama kodunun geçerlilik süresinin dolmasından sonra en geç yirmi dört saat içinde silinir.
5.2. Doğrulama kodunun açık hali saklanmaz; yalnız geri döndürülemez özeti tutulur. Kod belirli bir süre sonra geçersiz hale gelir ve ardışık yanlış denemede kilitlenir.
6. İhlal Bildirimi
6.1. Taraflardan her biri, kendi sistemlerinde meydana gelen ve karşı tarafın ilgili kişilerini etkileyebilecek bir kişisel veri ihlalini öğrendiği andan itibaren yirmi dört saat içinde diğer tarafa yazılı olarak bildirir.
6.2. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, tahmini etkilenen kişi sayısını, alınan ve alınması planlanan tedbirleri ve iletişim noktasını içerir.
6.3. Taraflardan her biri, kendi sıfatından doğan Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğünü kendisi yerine getirir. Bir tarafın kanuni bildirim yükümlülüğü sözleşmeyle diğer tarafa devredilemez; işbu madde yalnız taraflar arasındaki bilgi akışını kurar.
6.4. Taraflar, iç bildirim sürelerini Kurul'un öngördüğü dış süreyi aşmayacak biçimde işletir. Kurul'a bildirim, ihlalin öğrenildiği tarihten itibaren 72 (yetmiş iki) saat içinde yapılır.
7. Saklama ve İmha
7.1. Program kapsamında işlenen kişisel veriler, işleme amacının gerektirdiği ve mevzuatın öngördüğü süre boyunca saklanır; sürenin dolmasıyla silinir, yok edilir veya anonim hale getirilir.
7.2. Bir Kapsanan Kişi'nin silme talebi, VekilOl tarafından en geç otuz gün içinde sonuçlandırılır. Talebe konu veriler üçüncü kişilere aktarılmışsa durum üçüncü kişiye bildirilir ve nezdinde gerekli işlemlerin yapılması temin edilir.
7.3. Program Avukatı'nın 1136 sayılı Kanun'dan doğan saklama yükümlülüğüne tabi kayıtlar bakımından silme talebi ileri sürülemez; bu sınır Kapsanan Kişi'ye başvuru anında bildirilir.
7.4. Silme, yok etme ve anonim hale getirmeye ilişkin bütün işlemler kayıt altına alınır; bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere işlem tarihinden itibaren en az üç yıl saklanır.
7.5. Çerçeve Sözleşme'nin sona ermesi halinde VekilOl, Program'a ilişkin kişisel verileri saklama süresi dolmuş olanlar bakımından imha eder; süresi dolmamış olanları ise yalnız saklama amacının gerektirdiği ölçüde tutar ve başka hiçbir amaçla işlemez.
8. İstisnai Erişim
8.1. VekilOl personelinin, Görüşmeye ilişkin kimlik bilgilerine erişimi kural olarak kapalıdır. İşbu kural, yönetim panelinin genel kullanıcı, belge, destek ve denetim ekranları bakımından da uygulanır. Program'a ilişkin kayıtlar bu ekranlarda gösterilmez.
8.2. Yalnız can güvenliği, suç ihbarı, yetkili merci talebi veya sistem hatasının giderilmesi gibi zorunlu hallerde, gerekçesi yazılı olarak kaydedilmek, süresi sınırlı olmak ve her okuma sayılmak kaydıyla istisnai erişim açılabilir. Açılan her erişim ikinci bir yönetici tarafından sonradan gözden geçirilir.
8.3. İstisnai erişim hiçbir halde Kurum'a bilgi verilmesi amacıyla açılamaz.
8.4. İstisnai erişimin usulü, EAP İstisnai Erişim Yönergesi'nde düzenlenir.
9. Yurt İçinde ve Yurt Dışında Aktarım
9.1. Program kapsamındaki kişisel veriler Türkiye'de bulunan sunucularda tutulur.
9.2. Hizmetin sunulması için zorunlu olan barındırma, iletişim altyapısı ve elektronik posta gönderimi hizmet sağlayıcılarına aktarım, 6698 sayılı Kanun'un ilgili hükümleri ve tedarikçilerle akdedilen gizlilik ve kişisel veri işleme sözleşmeleri çerçevesinde yapılır.
9.3. Yurt dışına aktarım yapılması gerektiğinde VekilOl, Kanun'un aradığı şartları sağlamadan aktarım yapmaz ve Kurum'u önceden yazılı olarak bilgilendirir. Barındırma, görüntülü görüşme ve iletişim altyapısında yurt dışı unsuru bulunan bir tedarikçinin kullanılması halinde aktarım, Kanun m.9 uyarınca yeterlilik kararı veya uygun güvencelerden birine dayandırılır. Standart sözleşmeye dayanılan hallerde sözleşme, imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Kanun'daki arızi haller, sürekli ve sistematik aktarımlara dayanak yapılmaz.
10. Denetim
10.1. Kurum, yılda bir kez ve en az otuz gün önceden yazılı bildirimde bulunmak kaydıyla, işbu Protokol'e uyum bakımından VekilOl'dan yazılı bilgi ve belge talep edebilir.
10.2. Denetim yetkisi hiçbir halde Görüşme içeriğine, Kapsanan Kişi kimliğine veya kişi bazlı kullanım verisine erişimi kapsamaz. Bu sınır denetimin konusu yapılamaz.
11. Yürürlük
İşbu Protokol, Çerçeve Sözleşme ile birlikte yürürlüğe girer ve onunla birlikte geçerliliğini sürdürür. Sözleşme'nin sona ermesi, 3.1, 3.2 ve 7. maddedeki yükümlülükleri sona erdirmez.