Platform–Firma Veri Aktarım ve Paylaşım Protokolü

ZUYORENT PLATFORM–FİRMA KİŞİSEL VERİ AKTARIMI VE PAYLAŞIM PROTOKOLÜ

Son Güncelleme Tarihi: 01.06.2026 Taraflar: NOSCE YAZILIM MÜHENDİSLİK EĞİTİM VE DANIŞMANLIK LİMİTED ŞİRKETİ (“ZuyoRent”) ve ZuyoRent’te profil/listeleme hizmeti alan Kurumsal Üye (“Firma”)

Amaç: Bu Protokol, ZuyoRent ile Firma arasında kişisel veriler bakımından rol dağılımını, sınırlı veri paylaşımının çerçevesini ve tarafların KVKK yükümlülüklerini belirler. Kurumsal Üyelik Sözleşmesi’nin ayrılmaz ekidir; çelişki hâlinde KVKK ve emredici mevzuat esas alınır.

1. ROLLERİN BELİRLENMESİ

1. ZuyoRent, platformun işletilmesi, hesap yönetimi, firma profili yayını, güvenlik ve destek süreçleri bakımından kendi veri sorumlusudur.
2. Firma, kendi araç kiralama/transfer faaliyeti kapsamında topladığı ve işlediği kendi müşterilerine ait kişisel veriler bakımından bağımsız veri sorumlusudur. ZuyoRent, Firma’nın kiralama müşterilerine ait verilerin işlenmesinde veri işleyeni veya tarafı değildir.
3. ZuyoRent’in, Firma’nın talimatıyla ve onun adına teknik olarak veri işlediği (örneğin Firma’nın profiline yüklediği içeriklerin barındırılması) sınırlı süreçlerde ZuyoRent veri işleyen sıfatıyla hareket eder; bu hâllerde aşağıdaki rol dağılımı ve veri işleyen yükümlülükleri uygulanır.

Rol dağılımı:

ZuyoRent’in veri işleyen olduğu hâllerde; yalnızca Firma’nın yazılı talimatıyla işleme, gizlilik, güvenlik, alt işleyen için önceden onay ve sözleşme sonunda iade/imha yükümlülükleri uygulanır.

2. ZUYORENT’TEN FİRMAYA AKTARILAN VERİNİN SINIRI

1. Standart firma profili modelinde ZuyoRent, kullanıcı (araç kiralamak isteyen kişi) adına rezervasyon/ödeme yönetmez ve kullanıcının doğrudan kimlik/iletişim verilerini Firma’ya aktarmaz; kullanıcı, Firma’nın yayınlanan iletişim bilgileri üzerinden Firma’ya kendisi ulaşır.
2. VIP Transfer, Uzun Dönem Kiralama veya site içi mesajlaşma modüllerinde, Firma ekranında kullanıcıya ait yalnızca ad ve soyad baş harfleri (ör. “A. Y.”) gösterilebilir. Telefon, e-posta, adres, kimlik, ödeme veya benzeri doğrudan veriler varsayılan olarak aktarılmaz.
3. Kullanıcı, serbest metin/mesaj alanına kendi iradesiyle kişisel veri yazarsa, bu veri yalnızca ilgili talep/görüşme amacıyla Firma’ya görünür hâle gelir. Bu paylaşım, ZuyoRent’i kiralama sözleşmesinin tarafı veya ödeme aracısı yapmaz.

Site içi talep/mesaj modüllerinde Firma’ya iletim; ilgili kişinin talebi üzerine sözleşme öncesi adımların yürütülmesi ve/veya meşru menfaat hukuki sebebine dayalı olarak, KVKK m.8 kapsamında ve yalnızca talebin ilgili Firmaya iletilmesi amacıyla yapılır. Baş harfler, talep/mesaj içeriği, rota/tarih/araç tercihi, zaman damgası ve kullanıcı/oturum kimliği gibi bilgiler kişisel veri sayılabilir.

3. FİRMANIN YÜKÜMLÜLÜKLERİ

Firma;

1. ZuyoRent üzerinden eriştiği her türlü kullanıcı verisini yalnızca ilgili talep/görüşme amacıyla, ölçülü ve hukuka uygun olarak işler;
2. bu verileri pazarlama listesine ekleyemez, yetkisiz üçüncü kişilerle paylaşamaz, amacı dışında kullanamaz;
3. kendi kiralama müşterilerine karşı kendi aydınlatma, açık rıza, saklama ve imha yükümlülüklerini bizzat yerine getirir;
4. kullanıcıyı platform dışı kanala gereksiz yere zorlamaz, gizlenen veriyi dolaylı yoldan elde etmeye çalışmaz;
5. kullanıcıdan zorunlu olmadığı hâlde TC kimlik, ödeme/kart, kimlik belgesi gibi verileri talep etmez;
6. kendi tarafında uygun teknik ve idari tedbirleri alır;
7. ZuyoRent üzerinden eriştiği verilere ilişkin bir veri ihlali öğrendiğinde, kendi yasal bildirim yükümlülüklerini yerine getirir; ZuyoRent kaynaklı veya ortak bir durum varsa ZuyoRent’i gecikmeksizin ve her hâlde öğrenmesinden itibaren en geç 24 saat içinde, yazılı olarak bilgilendirir (ZuyoRent’in Kurul’a 72 saatlik bildirim süresine uyabilmesi için). Bu bildirim asgari olarak ihlalin ne zaman/nasıl gerçekleştiğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını, alınan ve alınacak önlemleri içerir; Firma, ihlalin incelenmesi ve giderilmesinde ZuyoRent’e makul ölçüde yardımcı olur;
8. ZuyoRent üzerinden eriştiği kullanıcı verilerini işlemek için bir hizmet sağlayıcı/veri işleyen kullanırsa, onu yazılı sözleşmeyle bu Protokoldeki korumalara bağlar ve bu sağlayıcının fiillerinden ZuyoRent’e karşı kendisi sorumlu kalır;
9. ZuyoRent’in makul yazılı talebi üzerine, bu Protokol ve KVKK kapsamındaki uyumunu (aldığı teknik/idari tedbirler, aydınlatma ve açık rıza kayıtları gibi) belgeleriyle gösterir;
10. ZuyoRent üzerinden eriştiği sınırlı veriyi, KVKK m.9’a aykırı biçimde yurt dışına aktarmaz. Bulut, CRM, e-posta, uzaktan destek erişimi veya alt hizmet sağlayıcılar üzerinden yurt dışına erişim/aktarım da yurt dışı aktarım sayılır; aktarımın gerekli olduğu hâllerde, uygun aktarım tipindeki Kurul standart sözleşmesi metni değiştirilmeksizin imzalanır ve imzadan itibaren 5 iş günü içinde Kurul’a bildirilir.

4. ZUYORENT’İN YÜKÜMLÜLÜKLERİ

ZuyoRent;

1. kullanıcı verilerini varsayılan olarak firmadan gizleyen (yalnızca baş harf gösteren) tasarımı uygular;
2. kullanıcıdan talep/mesaj alınmadan önce, ilgili Firma/alıcı grubu, aktarılan veri kategorileri, amaç, hukuki sebep ve haklar hakkında aydınlatma yapar; açık rıza gerekiyorsa aydınlatmadan ayrı alır;
3. Firma’ya ait kurumsal verileri işleme amacıyla sınırlı ve güvenli biçimde işler;
4. kendi sistemlerinde KVKK m.12 kapsamında asgari teknik ve idari tedbirleri alır: yetki matrisi, çok faktörlü kimlik doğrulama (MFA), erişim logları, aktarımda/saklamada şifreleme, panel oturum süresi sınırı, personel gizlilik taahhüdü, düzenli denetim, yedekleme, imha kayıtları ve ihlal müdahale planı;
5. kendi sorumluluk alanındaki bir veri ihlalinde ilgili mevzuat uyarınca hareket eder; Kurul’a en geç 72 saat içinde, etkilenen ilgili kişilere makul sürede bildirim yapar;
6. Firma adına veri işleyen sıfatıyla işlediği verilerde şüpheli bir ihlali gecikmeksizin ve en geç 24 saat içinde Firma’ya bildirir.

5. SAKLAMA VE İMHA

1. Her taraf, kendi sorumluluğundaki verileri yalnızca amaç ve mevzuatın gerektirdiği süre boyunca saklar.
2. Üyeliğin sona ermesi hâlinde Firma, ZuyoRent üzerinden eriştiği kullanıcı verilerini -yasal saklama yükümlülükleri saklı kalmak üzere- en geç 30 gün içinde imha eder veya anonimleştirir; yasal saklama gereken veriler erişimi kısıtlı arşivde tutulur ve yedeklerden olağan döngüde silinir. Taraflar, talep hâlinde imha beyanı sağlar.
3. Bu Protokolden doğan gizlilik ve veri koruma yükümlülükleri, üyeliğin/sözleşmenin sona ermesinden sonra da süresiz olarak devam eder.

6. SORUMLULUK

Firma’nın bu Protokole veya KVKK’ya aykırı işlemesi nedeniyle ZuyoRent’in idari para cezası, tazminat veya benzeri bir zarara uğraması hâlinde, Firma; ZuyoRent’in bu nedenle uğradığı doğrudan zararları ve makul savunma giderlerini tazmin eder. ZuyoRent’in kendi kusurundan doğan sorumluluğu saklıdır. Her taraf, kendi veri sorumluluğu alanındaki ihlallerden bizzat sorumludur. Firma, kendi sorumluluk alanındaki bir ihlalde, KVKK m.12 uyarınca gerekli teknik ve idari tedbirleri aldığını ispatla yükümlüdür. Taraflar, kendi kusurları oranında sorumludur; bir tarafa yöneltilen talepte diğer taraf, savunmaya katılma ve zararı azaltma konusunda işbirliği yapar. Kasıt, ağır ihmal ve veri güvenliği ihlalleri sorumluluk sınırlarının dışındadır.

7. VERİ SAHİBİ TALEPLERİNDE İŞBİRLİĞİ

İlgili kişilerin (kullanıcıların) KVKK m.11 kapsamındaki başvuruları taraflardan birine ulaştığında, taraflar bu başvuruları kendi sorumluluk alanları bakımından en geç 30 gün içinde yanıtlar; başvuru diğer tarafı ilgilendiriyorsa en geç 3 iş günü içinde yönlendirir ve gerekli bilgi/desteği sağlar. ZuyoRent’in veri işleyen olduğu hâllerde, ZuyoRent talebi doğrudan yanıtlamaz; gecikmeksizin ilgili veri sorumlusuna (Firma’ya) iletir. Amaç, ilgili kişinin haklarını süresinde ve eksiksiz kullanabilmesidir.

8. KVKK İRTİBAT KİŞİSİ / TEMAS NOKTASI

Taraflar, bu Protokol kapsamındaki veri koruması süreçleri ve özellikle veri ihlali bildirimi için birer operasyonel veri koruma temas noktası (ad-soyad/unvan, e-posta, telefon, mümkünse KEP ve yedek kişi) belirler ve güncel tutar. ZuyoRent’in temas kanalları KVKK Aydınlatma Metni’ndeki başvuru kanallarıdır ([email protected] / KEP); Firma, kayıt/panel sürecinde geçerli bir temas sağlar. KVKK mevzuatından doğan VERBİS irtibat kişisi yükümlülükleri ayrıca saklıdır.

9. YÜRÜRLÜK

Bu Protokol, Kurumsal Üyelik Sözleşmesi’nin onaylanmasıyla birlikte yürürlüğe girer ve üyelik süresince geçerlidir.