Veri İşleme Sözleşmesi

1. Taraflar ve roller

Abonelik siparişinde belirtilen sigorta acentesi, platforma yüklediği müşteri, sigortalı, aday müşteri, çalışan ve operasyon verileri bakımından veri sorumlusudur. Controlabel, bu verileri yalnızca acentenin belgelenmiş talimatları ve abonelik hizmetinin sunulması amacıyla işleyen veri işleyendir. Controlabel’ın kendi üyelik, faturalama, güvenlik ve hukuki yükümlülük kayıtlarında bağımsız veri sorumlusu olduğu hâller saklıdır.

2. Konu, amaç ve süre

İşlemenin konusu; acentenin müşteri, teklif, poliçe, yenileme, hasar, tahsilat, evrak, ekip ve performans süreçlerini seçilen abonelik planı kapsamında işletmektir. İşleme abonelik süresince, sözleşme sonu veri dışa aktarma ve silme işlemleri tamamlanıncaya kadar devam eder. Controlabel verileri reklam, veri satışı veya acentenin talimatı dışındaki bağımsız bir müşteri profili oluşturma amacıyla kullanmaz.

3. İlgili kişi ve veri kategorileri

• İlgili kişiler: acente çalışanları, müşteriler, sigortalılar, aday müşteriler, lehtarlar, hasar ilgilileri ve acentenin yetkili temsilcileri.
• Kimlik ve iletişim: ad-soyad, T.C./vergi kimlik numarası, doğum tarihi, telefon, e-posta ve adres.
• Sigortacılık ve müşteri işlemleri: teklif, poliçe, yenileme, ürün, prim, teminat, hasar, tahsilat, evrak ve görüşme kayıtları.
• Mesleki ve performans: çalışan rolü, hedef, görev, arama, görüşme, satış ve performans kayıtları.
• Özel nitelikli veriler: yalnızca ilgili sigorta ürünü veya hasar süreci için zorunlu olduğu ölçüde sağlık ve benzeri özel nitelikli veriler.
• Teknik kayıtlar: kullanıcı, oturum, IP, cihaz, erişim, hata ve denetim kayıtları.

4. Acentenin talimatları ve yükümlülükleri

Acente verileri hukuka uygun elde ettiğini, ilgili kişileri aydınlattığını, gerekli işleme ve aktarım şartlarını belirlediğini ve yalnız gerekli verileri yüklediğini kabul eder. Yetkileri görevle sınırlamak, ayrılan personelin erişimini kapatmak, özel nitelikli verileri ancak zorunlu olduğunda işlemek ve sigorta şirketi entegrasyonlarına ilişkin yetkileri sağlamak acentenin sorumluluğundadır. Hukuka aykırı talimat tespit edilirse Controlabel uygulamayı durdurabilir ve acenteyi yazılı olarak bilgilendirir.

5. Controlabel’ın yükümlülükleri

• Verileri yalnızca sözleşme ve belgelenmiş acente talimatı kapsamında işlemek.
• Veriye erişen kişileri gizlilik yükümlülüğüne tabi tutmak ve erişimi görevle sınırlamak.
• Riskle orantılı teknik ve idari güvenlik tedbirlerini uygulamak.
• İlgili kişi başvurularında ve yetkili makam taleplerinde acenteye makul destek sağlamak.
• Veri ihlali şüphesini doğruladıktan sonra acenteyi gecikmeksizin, hedef olarak en geç yirmi dört saat içinde bilgilendirmek.
• Hizmet sonlandığında verileri sözleşme, yasal saklama zorunluluğu ve yedekleme döngüsüne uygun iade etmek, silmek veya anonimleştirmek.

6. Güvenlik tedbirleri

Controlabel; acente bazlı veri ayrımı, rol ve yetki kontrolleri, güvenli oturum, parola özetleme, platform yöneticisi MFA, aktarım şifrelemesi, denetim kayıtları, hız sınırlaması, yedekleme ve geri yükleme, zafiyet/bağımlılık takibi ve olay müdahale kontrolleri uygular. Tedbirler risk, teknoloji ve hizmet kapsamı değiştikçe güncellenir. Bu hükümler kesintisiz hizmet veya mutlak güvenlik garantisi oluşturmaz.

7. Alt veri işleyenler ve yurt dışı aktarım

Güncel sağlayıcılar Alt Veri İşleyenler sayfasında listelenir. Controlabel alt veri işleyene yalnız hizmet için gerekli veriyi aktarır ve eşdeğer gizlilik/güvenlik yükümlülükleri uygular. Yurt dışı aktarımlar 6698 sayılı Kanunun 9 uncu maddesine uygun bir mekanizma kurulmasına bağlıdır. Yeni alt veri işleyenler kural olarak önceden bildirilir; acentenin gerekçeli itiraz hakkı saklıdır.

8. Yapay zekâ ve entegrasyon sınırları

Yapay zekâ özelliklerine varsayılan olarak toplulaştırılmış ve doğrudan kimlik bilgisi içermeyen veriler gönderilir. Müşteri verileri genel model eğitimi veya reklam amacıyla kullandırılmaz. Teklif, teminat ve yenileme önerileri karar destek niteliğindedir; nihai kontrol ve sigortacılık işlemi yetkili acente kullanıcısı tarafından yapılır. Sigorta şirketine iletim, acentenin etkinleştirdiği entegrasyon ve talimatla sınırlıdır.

9. Veri iadesi, silme ve denetim

Abonelik sona erdiğinde acenteye, teknik olarak desteklenen standart formatlarda veri dışa aktarma imkânı sağlanır. Taraflarca farklı bir süre kararlaştırılmadıkça dışa aktarma süresi sona erme tarihinden itibaren otuz gündür. Sonrasında aktif sistemdeki veriler hukuki saklama istisnaları dışında silme veya anonimleştirme sürecine alınır; yedek kopyalar olağan ve güvenli yedek döngüsü sonunda kullanımdan çıkarılır. Acente yılda bir kez, hizmeti aksatmayacak ve gizliliği ihlal etmeyecek şekilde uygunluk bilgisi talep edebilir. Süre ve yöntem ayrıntıları Saklama ve İmha Politikasında açıklanır.

10. Öncelik ve yürürlük

Bu sözleşme Abonelik ve Satış Koşullarının ayrılmaz ekidir ve abonelik süresince geçerlidir. Kişisel veri işleme konularında bu metin ile genel kullanım koşulları çelişirse bu metin uygulanır. Emredici mevzuat ve tarafların ayrıca imzaladığı, daha yüksek koruma sağlayan hükümler saklıdır.