GDPR Uyumluluk Çerçevesi

Bu çerçeve, Quantum Intelligence Hub LTD’nin (“QIH”, “biz”) UK GDPR, Data Protection Act 2018, uygulanabildiği ölçüde AB GDPR ve Privacy and Electronic Communications Regulations (“PECR”) kapsamındaki uyumluluk yaklaşımını açıklar. QIH tarafından işletilen internet siteleri ile QIH HUB AI ve AI Digital Reception dâhil hizmetleri kapsar.

Bu sayfa kamuya açık bir uyumluluk bildirimidir. Müşteriye özel veri işleme talimatları, hizmet kapsamı, saklama ayarları ve tarafların sorumlulukları; ilgili Ana Hizmet Sözleşmesi, Veri İşleme Sözleşmesi (“DPA”), sipariş formu ve hizmet yapılandırmasıyla düzenlenir. Bu sayfa ile imzalı sözleşme belgeleri arasında çelişki olması hâlinde imzalı belgeler önceliklidir.

1. Kapsam ve Uygulanabilir Hukuk

Uygulanacak hukuki çerçeve; ilgili kişinin, müşterinin ve veri işleme faaliyetinin bulunduğu yere göre belirlenir:

• Birleşik Krallık: UK GDPR, Data Protection Act 2018 ve PECR;
• Avrupa Ekonomik Alanı: AB GDPR ve uygulanabilir ulusal e-gizlilik kuralları;
• Diğer ülkeler: Hizmete uygulanabilen zorunlu yerel gizlilik, elektronik iletişim, tüketici ve sektörel düzenlemeler.

QIH, tek bir hukuki dayanağın veya bildirimin her müşteri, kampanya ve ülke için uygun olduğunu kabul etmez. Müşteriler kendi hizmet kullanımlarına uygulanacak kuralları ayrıca değerlendirmelidir.

2. Veri Sorumlusu ve Veri İşleyen Rolleri

QIH; kendi internet siteleri, hesap yönetimi, faturalandırma, güvenlik, müşteri desteği, tedarikçi yönetimi ve hukuki uyumluluk amacıyla kullandığı kişisel veriler bakımından veri sorumlusu olarak hareket eder.

QIH; müşterinin sağladığı iletişim verilerini, arama veya mesaj içeriklerini, randevu bilgilerini, bilgi bankası materyallerini ya da diğer kişisel verileri yalnızca müşterinin belgelenmiş talimatları doğrultusunda işlediğinde genel olarak veri işleyen, müşteri ise genel olarak veri sorumlusudur.

Veri sorumlusu olan müşteriler şunlardan sorumludur:

• geçerli hukuki dayanağı belirlemek ve gerekli gizlilik bildirimlerini sunmak;
• yüklenen verilerin ve verilen talimatların hukuka uygun, doğru ve ilgili olmasını sağlamak;
• kayıt, çerez veya elektronik pazarlama için gereken izinleri almak;
• uygun erişim, saklama ve silme kuralları belirlemek;
• QIH’nin sözleşme kapsamında sağlayacağı yardımla veri sahibi taleplerini yanıtlamak.

Üçüncü taraf bir sağlayıcı, hizmete ve sözleşme ilişkisine göre QIH’nin alt veri işleyeni veya bağımsız veri sorumlusu olabilir.

3. İşlenebilecek Kişisel Veri Kategorileri

Hizmet yapılandırmasına bağlı olarak QIH şunları işleyebilir:

• kimlik, işletme ve iletişim bilgileri;
• hesap, kimlik doğrulama ve yetkili kullanıcı bilgileri;
• faturalandırma kayıtları ve ödeme referansları (kart bilgileri normal olarak ilgili ödeme kuruluşunca işlenir);
• internet sitesi, çerez, cihaz, tarayıcı, IP adresi, denetim ve güvenlik kayıtları;
• destek talepleri ve hizmet iletişimleri;
• müşteri tarafından sağlanan bilgi bankası ve operasyonel bilgiler;
• telefon veya kanal tanımlayıcıları, arama üst verileri, mesajlar ve randevu bilgileri;
• etkinleştirilmiş ve hukuka uygun yapılandırılmışsa ses, arama kaydı, transkript, özet ve AI tarafından oluşturulan hizmet notları.

Müşteri; açıkça kararlaştırılmadıkça, geçerli işleme şartı bulunmadıkça ve uygun güvenceler uygulanmadıkça özel nitelikli verileri, ceza mahkûmiyeti verilerini veya gereksiz hassas bilgileri sisteme aktarmamalıdır.

4. İşleme Amaçları ve Hukuki Dayanaklar

QIH, veri sorumlusu olarak işleme yapmadan önce uygulanabilir hukuki dayanağı belirler. Bağlama göre bunlar şunlar olabilir:

• sözleşme: talep edilen hizmetleri sunmak ve hesapları yönetmek;
• hukuki yükümlülük: vergi, muhasebe, düzenleyici yükümlülükler ve hukuka uygun talepler;
• meşru menfaat: dengeleme testi yapılmak kaydıyla güvenlik, dolandırıcılığı önleme, hizmet iyileştirme ve işletme yönetimi;
• açık veya olağan rıza: özgür iradeyle, belirli, bilgilendirilmiş ve geri alınabilir rızanın gerekli olduğu durumlar;
• hayati menfaat veya kamu görevi: yalnızca hukukun izin verdiği sınırlı durumlar.

Rıza, her faaliyet için varsayılan dayanak değildir. Doğrudan pazarlama, çerezler ve benzeri teknolojiler PECR ile diğer iletişim kuralları kapsamında ayrıca değerlendirilir.

5. AI Digital Reception ve Otomatik Sistemler

AI Digital Reception; gelen iletişimleri yanıtlayabilir, bilgi toplayabilir, yapılandırılmış açıklamalar sunabilir, özet hazırlayabilir ve randevu veya yönlendirme süreçlerini destekleyebilir. Gerektiğinde arayanlara veya kullanıcılara AI destekli bir sistemle görüştükleri ve görüşmenin kaydedilip yazıya çevrilip çevrilmediği bildirilmelidir.

• AI çıktıları eksik veya hatalı olabilir; önemli sonuçlar doğuracak içerikler insan tarafından incelenmelidir;
• müşteriler insan değerlendirmesi gerektiren konular için yönlendirme mekanizması kurmalıdır;
• QIH, hukuki dayanak, şeffaflık ve gerekli güvenceler bulunmadan hukuki veya benzer ölçüde önemli sonuç doğuran yalnızca otomatik kararlar almak amacıyla hizmeti kullanmayı hedeflemez;
• kayıt ve transkript yalnızca gerekli bildirimler ve gerekiyorsa rıza sağlandıktan sonra etkinleştirilmelidir.

Ayrıntılı kurallar Yapay Zekâ ve Otomatik Sistemler Politikası içinde açıklanır.

6. İlgili Kişi Hakları

Uygulanabilir hukuka tabi olarak kişiler; erişim, düzeltme, silme, işlemeyi kısıtlama ve veri taşınabilirliği talep edebilir veya işlemeye itiraz edebilir. İşleme rızaya dayanıyorsa rızalarını geri çekebilir ve Information Commissioner’s Office’e (“ICO”) veya yetkili AEA denetim makamına şikâyette bulunabilirler.

QIH, talebi yerine getirmeden önce kimlik doğrulaması yapabilir. Haklar mutlak değildir; hukuki istisnalar, üçüncü taraf hakları, güvenlik ihtiyaçları ve zorunlu saklama süreleri uygulanabilir. QIH yalnızca veri işleyen olduğunda talep ilgili müşteriye/veri sorumlusuna yönlendirilebilir.

7. Çerezler, Analitik ve PECR

Kesinlikle gerekli çerezler; talep edilen işlevleri sağlamak, güvenliği korumak veya oturumları yönetmek için kullanılabilir. PECR veya diğer uygulanabilir hukuk gerektiriyorsa zorunlu olmayan analitik, reklam veya benzeri teknolojiler geçerli izin alınmadan yerleştirilmez. Kullanıcılar zorunlu olmayan teknolojileri kabul ettikleri kadar kolay reddedebilmeli ve tercihlerini sonradan değiştirebilmelidir.

Ayrıntılar için Çerez Politikası ile ilgili internet sitesinde sunulan izin ayarlarını inceleyin.

8. Çocuklar ve Hassas Veri İşleme

AI Digital Reception ve QIH’nin genel işletme hizmetleri, özel bir yazılı düzenleme bulunmadıkça çocuklara yönelik değildir. Müşteriler; uygun hukuki dayanak, yaşa uygun şeffaflık, gerektiğinde veli izni ve gerekli güvenceler olmadan hizmetler üzerinden bilerek çocuk verisi toplamamalıdır.

Yüksek riskli veya hassas kullanım senaryoları etkinleştirilmeden önce Veri Koruma Etki Değerlendirmesi (“DPIA”) gerekebilir.

9. Saklama ve Silme

Kişisel veriler; işleme amacı, sözleşmesel ayarlar, hukuki yükümlülükler ve QIH’nin uygulanabilir saklama planına göre tutulur. Hesap durumu, müşteri talimatları, güvenlik incelemeleri, uyuşmazlıklar, vergi ve muhasebe yükümlülükleri ile yedekleme döngüleri dikkate alınır.

Veri artık gerekli olmadığında silinir, anonim hâle getirilir veya rutin kullanımdan güvenli biçimde ayrılır. Hukuken korunması gerekmiyorsa kalan kopyalar normal yedekleme döngüsü kapsamında üzerine yazılıncaya kadar korumalı yedeklerde bulunabilir.

10. Güvenlik Tedbirleri

QIH riske uygun ve orantılı tedbirler uygular. Bunlar aktarım sırasında şifreleme, kontrollü yönetici erişimi, desteklendiği yerde çok faktörlü doğrulama, rol tabanlı yetkiler, kayıt tutma, izleme, yedekleme, ortamların ayrılması, olay müdahale prosedürleri ve tedarikçi incelemelerini içerebilir.

Hiçbir çevrim içi sistem mutlak güvenlik sağlayamaz. Müşteriler kendi erişim bilgilerini, cihazlarını, kullanıcı izinlerini ve entegrasyonlarını korumak ve şüpheli ihlalleri QIH’ye gecikmeden bildirmekle sorumludur.

11. Kişisel Veri İhlalleri

QIH, şüpheli kişisel veri ihlallerini inceler ve orantılı sınırlama, giderme ve kayıt işlemleri uygular. QIH veri işleyen olduğunda, DPA uyarınca ilgili veri sorumlusuna gereksiz gecikme olmaksızın bildirim yapar.

QIH veri sorumlusu olduğunda ICO’ya veya diğer yetkili makama bildirim gerekip gerekmediğini değerlendirir. UK GDPR kapsamında bildirilebilir bir ihlal, farkına varıldıktan sonra gereksiz gecikme olmadan ve mümkünse 72 saat içinde yetkili makama bildirilir. İhlalin kişilerin hak ve özgürlükleri açısından yüksek risk oluşturması muhtemelse ilgili kişiler gereksiz gecikme olmadan bilgilendirilir.

12. Uluslararası Veri Aktarımları

Kişisel verilerin Birleşik Krallık veya AEA dışına aktarılması hâlinde, gerektiği ölçüde hukuka uygun aktarım mekanizması kullanılır. Aktarıma göre bu mekanizma; yeterlilik düzenlemesi veya kararı, Birleşik Krallık Uluslararası Veri Aktarım Sözleşmesi, AB Standart Sözleşme Maddelerine Birleşik Krallık Eki, AB Standart Sözleşme Maddeleri veya hukuken izin verilen başka bir araç olabilir.

Gerektiğinde QIH veya ilgili veri sorumlusu, aktarım risklerini ve ek teknik, sözleşmesel veya organizasyonel tedbirleri değerlendirir. Verinin başka bir ülkede barındırılması, veri sorumlusunun aktarımı değerlendirme yükümlülüğünü ortadan kaldırmaz.

13. Alt Veri İşleyenler ve Bağımsız Sağlayıcılar

Hizmetler; hosting, bulut veya AI işleme, telefon/SIP, mesajlaşma kanalları, e-posta, analitik, ödeme, destek ve güvenlik sağlayıcılarına bağlı olabilir. Veri işleme ilişkileri uygun veri koruma hükümleriyle düzenlenir. Önemli alt veri işleyenler ve değişiklik bildirimi yöntemleri DPA veya müşteri belgelerinde belirtilebilir.

QIH, alt veri işleyen kullanırken kendi hukuki ve sözleşmesel yükümlülüklerinden sorumludur. Bazı ödeme ve iletişim sağlayıcıları gibi bağımsız veri sorumluları ise kendi gizlilik bildirimleri ve uygulanabilir hukuk kapsamında kendi işlemlerinden sorumludur.

14. Tasarımdan İtibaren Gizlilik ve DPIA

QIH; hizmet tasarımı ve değişiklik yönetimi sırasında veri minimizasyonu, amaç sınırlaması, erişim kontrolü, saklama ve güvenliği dikkate alır. Sistematik izleme, büyük ölçekli hassas veri işleme, kayıt veya önemli otomatik karar uygulamaları dâhil yeni teknoloji kullanımının yüksek risk oluşturması muhtemelse DPIA değerlendirilir.

Müşteriler, planladıkları kullanım için gereken kendi DPIA çalışmalarından sorumludur. QIH, sözleşme kapsamında gerekli olduğunda makul veri işleyen bilgisi ve desteği sağlar.

15. Hesap Verebilirlik ve Sorumluluk

Her taraf; kendi kontrolündeki veri işleme faaliyetleri, talimatlar, güvenlik kontrolleri ve hukuki yükümlülüklerden sorumludur. Bir ihlalden doğan sorumluluk; uygulanabilir hukuk, tarafların sözleşmesel rolleri, nedensellik ile her tarafın eylem veya ihmali dikkate alınarak belirlenir. Bu çerçevedeki hiçbir hüküm, hukuken sınırlandırılması yasak olan bir sorumluluğu ortadan kaldırmaz veya sınırlandırmaz.

QIH uygun kayıtları tutar ve hizmetler, sağlayıcılar ile hukuki gereklilikler değiştikçe bu çerçeveyi gözden geçirir.

16. İletişim, Şikâyet ve Resmî Kaynaklar

Quantum Intelligence Hub LTD
Şirket No. 17246860
71–75 Shelton Street, Covent Garden
London WC2H 9JQ, United Kingdom

Gizlilik: privacy@qihhub.com
Hukuk: legal@qihhub.com
Güvenlik: security@qihhub.com

İlgili kişiler Birleşik Krallık Information Commissioner’s Office kurumuna veya uygulanabildiği yerde AEA’daki yetkili denetim makamına şikâyette bulunabilir.

İlgili QIH politikaları

• Gizlilik Politikası
• Veri Koruma Politikası
• Çerez Politikası
• Güvenlik Politikası
• Şartlar ve Koşullar

Resmî rehberler

• ICO — UK GDPR rehberleri ve kaynakları
• ICO — Çerezler ve benzeri teknolojiler
• ICO — Uluslararası veri aktarımları
• EUR-Lex — (AB) 2016/679 sayılı Tüzük