Veri İşleme Eki

Burs programını yürüten kurum (aşağıda “Kurum”), burs başvurusu kapsamında işlenen kişisel veriler bakımından VERİ SORUMLUSUDUR. İşleme amacını ve vasıtalarını Kurum belirler: hangi soruların sorulacağı, hangi belgelerin isteneceği, hangi kriterlere göre değerlendirme yapılacağı Kurum'un kararıdır.

bursumyatti.com (aşağıda “Platform”), bu verileri Kurum adına ve Kurum'un talimatı doğrultusunda işleyen VERİ İŞLEYENDİR.

Platform, kendi kullanıcı hesabı verileri (ad, e-posta, şifre, oturum kayıtları) ve site ölçümü bakımından kendi başına veri sorumlusudur. Bu veriler Gizlilik Politikası'nda açıklanır.

Konu: burs başvurularının alınması, saklanması, değerlendirme sürecinde Kurum'un yetkili personeline sunulması, sonuç ve ödeme bildirimlerinin iletilmesi.

Süre: Kurum ile Platform arasındaki hizmet ilişkisi devam ettiği sürece. İlişki sona erdiğinde 4. maddedeki iade/imha hükmü uygulanır.

• Kişisel verileri yalnızca Kurum'un talimatı ve hizmetin gerektirdiği ölçüde işler; kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla kullanmaz.
• Kurum'un verilerine erişen personelini gizlilik yükümlülüğü altına alır.
• KVKK m.12 kapsamında uygun teknik ve idari tedbirleri alır (bkz. 6. madde).
• İlgili kişiden gelen talepleri doğrudan yanıtlamaz; Kurum'a yönlendirir ve Kurum'un yanıt verebilmesi için gerekli teknik desteği sağlar.
• Kurul veya mahkeme kararıyla veri talep edilmesi hâlinde, hukuken yasak olmadıkça Kurum'u önceden bilgilendirir.

Hizmet ilişkisi sona erdiğinde Kurum, verilerinin kendisine teslim edilmesini veya imha edilmesini talep edebilir. Talep üzerine veriler makine tarafından okunabilir biçimde teslim edilir ve ardından Platform sistemlerinden silinir.

Silinen veriler, silme tarihinden önce alınmış şifreli yedeklerde yedek saklama süresi dolana kadar kalabilir; bu yedekler yalnızca felaket kurtarma amacıyla kullanılır ve süre dolduğunda imha edilir.

Platform, hizmeti sunabilmek için alt işleyiciler kullanır. Güncel liste ve her birinin işlediği veri, amaç ve konum bilgisi Alt İşleyiciler sayfasında yayımlanır.

Platform yeni bir alt işleyici eklemeden önce listeyi günceller. Kurum, bir alt işleyiciye makul gerekçeyle itiraz ederse taraflar çözüm arar; çözüm bulunamazsa Kurum hizmeti sonlandırabilir.

Alt işleyicilerin fiillerinden Platform, Kurum'a karşı sorumludur.

• Tüm trafik TLS ile şifrelenir.
• Parolalar geri döndürülemez biçimde (bcrypt) saklanır; isteğe bağlı iki adımlı doğrulama sunulur.
• T.C. kimlik numarası düz metin olarak saklanmaz; yalnızca geri döndürülemez özeti (HMAC) tutulur.
• Erişim rol tabanlıdır. Yüklenen belgeler yalnızca Kurum'un yetkilendirdiği roller tarafından indirilebilir; bağlantıyı bilmek yeterli değildir.
• Yüklenen dosyalar zararlı yazılım taramasından geçmeden sunulmaz.
• İşlemler denetim izine yazılır.
• Formlarda hız sınırı uygulanır.
• Günlük yedek alınır; yedeklerin kurum dışı kopyası şifrelenmiş olarak tutulur.

Platform, kişisel veri ihlalini öğrendiği andan itibaren GECİKMEKSİZİN ve en geç 24 saat içinde Kurum'a bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan tedbirleri içerir.

Kurul'a 72 saat içinde yapılacak bildirim ve ilgili kişilere yapılacak bildirim, veri sorumlusu sıfatıyla Kurum'un yükümlülüğündedir; Platform gerekli bilgi ve belgeyi sağlar.

Alt İşleyiciler sayfasında konumu Türkiye dışında görünen sağlayıcılar bakımından KVKK m.9 uygulanır. Kurum, kendi aydınlatma metninde bu aktarımları açıklamakla; taraflar, m.9'un gerektirdiği hukuki zemini (standart sözleşme vb.) sağlamakla yükümlüdür.

Kurum, bu ekteki yükümlülüklere uyumu denetleyebilir. Platform, makul süre içinde ve iş akışını aksatmayacak biçimde gerekli bilgi ve belgeyi sağlar.