Cosyworker Kurumsal Hizmet Veri İşleme Sözleşmesi

İşbu Veri İşleme Sözleşmesi ("Sözleşme"), Cosyworker kurumsal hizmetini kullanan şirket ("Şirket") ile Cosyworker arasında, kurumsal hizmet kapsamında işlenen kişisel verilere ilişkin tarafların hak ve yükümlülüklerini düzenler. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuata uygun olarak hazırlanmıştır. Sözleşme, taraflar arasındaki kurumsal hizmet ilişkisini kuran teklif, sipariş formu veya abonelik sözleşmesinin (birlikte "Hizmet Sözleşmesi") eki ve ayrılmaz parçasıdır. Şirket'in kurumsal hizmeti kullanmaya başlaması veya kullanmaya devam etmesi, işbu Sözleşme'yi kabul ettiği anlamına gelir. Kişisel verilerin korunmasına ilişkin konularda Hizmet Sözleşmesi ile işbu Sözleşme arasında çelişki bulunması hâlinde işbu Sözleşme uygulanır.

Cosyworker: Cosyworker mobil uygulamasının ve Kurumsal Panel'in sahibi ve işleteni. Kimliği ve iletişim bilgileri Cosyworker Mobil Uygulaması Gizlilik Politikası'nda belirtilmiştir. Şirket: Cosyworker kurumsal hizmetini kullanan ve işbu Sözleşme'nin tarafı olan tüzel kişi. Uygulama: Cosyworker mobil uygulaması. Kurumsal Panel: Şirket'in yetkilendirdiği yöneticilerin kurumsal hizmeti yönettiği web arayüzü. Çalışan: Uygulama hesabı Şirket'in şirket hesabına bağlı olan Uygulama kullanıcısı. Yönetici: Şirket'in Kurumsal Panel'e erişim yetkisi verdiği kişi. Kurumsal Hizmet: Cosyworker'ın Şirket'e ve Çalışanlara sunduğu kurumsal özelliklerin tamamı: personel yönetimi, çalışan davetleri, etkinlikler ve etkinlik analitiği, duyurular, anketler, coworking bütçesi, acil durum bildirimi ve güvenlik yoklaması, CosyAI ve görevler, ulaşım indirimi ve mekan indirimleri, webhook'lar ve kurumsal dizin ile giriş. Kişisel veri, veri sorumlusu, veri işleyen ve ilgili kişi kavramları KVKK'daki anlamlarıyla kullanılmıştır.

2.1 Cosyworker, Uygulama kullanıcılarının hesap ve platform verileri bakımından veri sorumlusudur. Bu verilerin işlenmesine ilişkin esaslar Cosyworker Mobil Uygulaması Gizlilik Politikası'nda açıklanmıştır. 2.2 Şirket; Kurumsal Panel üzerinden eriştiği, dışa aktardığı veya kendisine e-posta ya da webhook yoluyla iletilen Çalışan verileri bakımından, kendi faaliyetleri çerçevesinde ayrı bir veri sorumlusudur. Bu verilerin Şirket tarafından kullanılması, saklanması ve üçüncü kişilerle paylaşılması Şirket'in sorumluluğundadır. 2.3 Cosyworker; Şirket'in Kurumsal Panel üzerinden sağladığı verileri (çalışan e-posta listeleri, acil durum iletişim kişileri, yönetici hesapları, ofis bilgileri) Şirket adına, veri işleyen sıfatıyla işler ve Şirket'in talimatıyla başlatılan işlemleri (davet, duyuru, anket ve yoklama gönderimi) Şirket adına yürütür. Şirket'in Kurumsal Panel'de yaptığı her işlem Cosyworker'a verilmiş bir talimat sayılır. 2.4 Çalışan'ın Uygulama hesabı Çalışan'a aittir. Çalışan'ın Şirket'ten ayrılması veya Hizmet Sözleşmesi'nin sona ermesi hâlinde Çalışan'ın hesabı ve Uygulama'yı bireysel kullanımına ilişkin veriler Cosyworker nezdinde kalmaya devam eder.

Kurumsal Hizmet kapsamında işlenen Çalışan verileri ve Şirket'in bu verilerden Kurumsal Panel'de görebildikleri aşağıda özellik bazında gösterilmiştir:

Şirket; Çalışanların doğum tarihi ve cinsiyet gibi profil ayrıntılarına, CosyAI sohbetlerine, acil durumlar için saklanan son konuma ve Uygulama'daki bireysel faaliyetlerine (mekan yorumları, favoriler, notlar vb.) Kurumsal Panel üzerinden erişemez. Aynı Şirket'in Çalışanları, Uygulama'daki puan sıralamasında birbirlerinin adını, soyadının baş harfini, profil fotoğrafını ve puanını görebilir.

Şirket; a) Çalışanlarını, Kurumsal Hizmet kapsamında kendisinin eriştiği veriler ve bu verileri hangi amaçlarla kullandığı konusunda KVKK'nın 10. maddesi uyarınca aydınlatır. Cosyworker, bu amaçla kullanılabilecek örnek bir aydınlatma metnini Kurumsal Panel'de sunar; metnin Şirket'in kendi faaliyetlerine uyarlanması ve Çalışanlara duyurulması Şirket'in sorumluluğundadır. b) Eriştiği Çalışan verilerini işlemek için geçerli bir hukuki sebebe sahip olduğunu ve bu verileri yalnızca Kurumsal Hizmet'in amacıyla sınırlı olarak kullanacağını kabul eder. Şirket, Kurumsal Hizmet'i Çalışanların izlenmesi, performans değerlendirmesi veya disiplin işlemleri amacıyla kullanmaz. c) Kurumsal Panel'e yalnızca görevi gereği erişmesi gereken kişileri Yönetici olarak yetkilendirir, Yönetici hesaplarının ve şifrelerinin gizliliğini sağlar, görevi sona eren Yöneticilerin erişimini gecikmeksizin kaldırır. Yönetici hesaplarıyla yapılan tüm işlemlerden Şirket sorumludur. d) Kurumsal Panel'den dışa aktardığı dosyaların (Excel, ZIP), kendisine gönderilen e-postaların ve webhook yoluyla kendi sistemlerine iletilen verilerin güvenliğini sağlar; bu verileri gerektiğinden uzun süre saklamaz. e) Kurumsal Panel'e yalnızca kendi çalışanlarına, Yöneticilerine ve belirlediği acil durum iletişim kişilerine ait verileri girer; bu verileri Cosyworker'a aktarmaya yetkili olduğunu taahhüt eder. f) Duyuru, anket sorusu, yoklama notu gibi serbest metin alanlarına gereksiz kişisel veri ve özel nitelikli kişisel veri yazmaz; anketlerde Çalışanlardan özel nitelikli kişisel veri talep etmez. g) Şirket'le ilişiği kesilen Çalışanları Kurumsal Panel üzerinden şirket hesabından gecikmeksizin çıkarır. h) Bir veri ihlalinden şüphelenmesi veya Yönetici hesaplarından birinin ele geçirildiğini öğrenmesi hâlinde durumu gecikmeksizin Cosyworker'a bildirir.

Cosyworker; a) Şirket adına işlediği verileri yalnızca Kurumsal Hizmet'in sunulması amacıyla ve Şirket'in talimatları doğrultusunda işler; bu verileri kendi pazarlama amaçları için kullanmaz ve üçüncü kişilere satmaz. b) Kişisel verilere erişimi, görevi gereği erişmesi gereken ve gizlilik yükümlülüğü altındaki kişilerle sınırlar. Cosyworker ekibinin acil durum yoklamalarını izlediği yönetim ekranlarında yalnızca şirket adları ve toplam sayılar gösterilir; Cosyworker ekibi bu ekranlarda Çalışanların anket yanıtlarına, harcama belgelerine, CosyAI sohbetlerine veya yoklama yanıtlarına erişemez. Sistemin işletilmesi, hata giderme ve destek taleplerinin karşılanması için gerekli olan teknik erişim bu hükmün dışındadır. c) KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alır (bkz. Madde 9). d) Alt işleyenlerini Madde 6'da belirtilen şekilde kullanır ve bunlarla işbu Sözleşme'dekilere denk veri koruma yükümlülükleri içeren sözleşmeler yapar. e) İlgili kişi başvurularının yanıtlanmasında ve Şirket'in KVKK'dan doğan yükümlülüklerini yerine getirmesinde Şirket'e makul ölçüde destek olur (bkz. Madde 10 ve 11). f) Şirket'in bir talimatının mevzuata aykırı olduğunu değerlendirmesi hâlinde Şirket'i bilgilendirir.

Şirket, Cosyworker'ın Kurumsal Hizmet'in sunulması için aşağıdaki hizmet sağlayıcıları kullanmasına onay verir. Bu sağlayıcıların bir kısmı yurt dışında bulunmaktadır; aktarımlar KVKK'nın 9. maddesine uygun olarak gerçekleştirilir.

Cosyworker alt işleyen listesini değiştirebilir. Yeni bir alt işleyen eklenmesi hâlinde liste bu sayfada güncellenir; Şirket, güncellemeden itibaren 30 gün içinde haklı bir gerekçeyle yazılı olarak itiraz edebilir. Taraflar itirazı iyi niyetle değerlendirir; çözüm bulunamaması hâlinde Şirket, ilgili özelliği kullanmayı bırakabilir veya Hizmet Sözleşmesi'ndeki fesih hükümlerine başvurabilir. Cosyworker, alt işleyenlerinin işbu Sözleşme kapsamındaki yükümlülüklere uymasından Şirket'e karşı sorumludur.

7.1 Hesap Eşleştirme ve Personel Yönetimi Uygulama'ya Şirket'in e-posta alan adındaki bir adresle kaydolan kullanıcı, Şirket'in boş kontenjanı varsa şirket hesabına otomatik olarak bağlanır. Şirket, bildirdiği alan adının yalnızca kendi çalışanlarına tahsis edildiğini taahhüt eder; herkese açık e-posta sağlayıcılarının alan adları kabul edilmez. Çalışan'ın şirket hesabından çıkarılması yalnızca Şirket'le ilişiği kesilen kişiler içindir. Çıkarılan Çalışan'ın kurumsal özelliklere erişimi sona erer, hesabı bireysel kullanıcı olarak devam eder. Çıkarma tarihinden önceki kurumsal kayıtlar (anket yanıtları, harcama belgeleri, kapanmış yoklama kayıtları) Şirket'in kaydı olarak saklanmaya devam eder. 7.2 Çalışan Davetleri Şirket yalnızca kendi çalışanlarının iş e-posta adreslerini girer veya yükler. Davet e-postası yalnızca Şirket'in alan adındaki adreslere gönderilir ve e-postada gönderimin Şirket'in talebiyle yapıldığı belirtilir. Yüklenen dosya saklanmaz; yalnızca davet gönderilen adresler kaydedilir. Aynı adrese 24 saat içinde yeniden davet gönderilmez. 7.3 Etkinlikler ve Etkinlik Analitiği Şirket, Çalışanların Uygulama'da kayıt olduğu etkinlikleri, herkese açık etkinlikler dahil, Çalışan bazında görebilir. Şirket bu bilgiyi yalnızca kurumsal etkinliklerin ve çalışan bağlılığı faaliyetlerinin planlanması amacıyla kullanır ve Çalışanlarını bu konuda açıkça bilgilendirir. 7.4 Anketler Bir anketin anonim olup olmadığı gönderimden sonra değiştirilemez. Anonim anketlerde yanıtlar yanıtlayanın kimliğiyle ilişkilendirilmeden saklanır ve yanıt zamanı saat hassasiyetine yuvarlanır; serbest metin yanıtları Şirket'e aynen gösterilir. Cosyworker anonim anketler için asgari katılımcı sayısı uygulamaz. Şirket, yanıtların kişilerle ilişkilendirilebileceği kadar küçük gruplara anonim anket göndermemeyi ve anonim yanıtları kişilerle ilişkilendirmeye çalışmamayı taahhüt eder. 7.5 Coworking Bütçesi Çalışan'ın yüklediği harcama belgesi yapay zeka ile okunur; okunan tutar Çalışan tarafından değiştirilemez ve harcamanın bütçe kapsamında olup olmadığı otomatik olarak değerlendirilir. Bu değerlendirme hatalı olabilir; nihai değerlendirme Şirket'e aittir. Şirket, harcama belgelerini yalnızca bütçe takibi ve muhasebe amacıyla kullanır. 7.6 CosyAI, Görevler ve Puanlar CosyAI sohbetleri, öğrenilen tercihler ve ruh hali kayıtları bakımından veri sorumlusu Cosyworker'dır; Şirket bu verilere erişemez ve Cosyworker'dan bu verilerin paylaşılmasını talep edemez. 7.7 Acil Durum Bildirimi ve Güvenlik Yoklaması a) Bu özellik bir erken uyarı sistemi değildir, acil yardım ekiplerini çağırmaz ve 112 Acil Çağrı Merkezi'nin yerini tutmaz. Bildirimlerin Çalışanlara ulaşması garanti edilmez. Özellik, Şirket'in iş sağlığı ve güvenliği mevzuatından doğan yükümlülüklerini ortadan kaldırmaz. b) Yoklama; Şirket tarafından, tespit edilen depremler için sistem tarafından otomatik olarak veya belirli iller için Cosyworker ekibi tarafından başlatılabilir. Şirket, otomatik ve bölgesel uyarıları Kurumsal Panel'den kendi şirketi için kapatabilir. Çalışan'ın açık rızasıyla saklanan son konumu Şirket'e gösterilmez. c) Şirket, yoklama verilerini (yanıt, konum, yardım nedeni ve notu) yalnızca acil durum müdahalesi ve iş sağlığı ve güvenliği yükümlülükleri kapsamında kullanır; gerçek bir olay veya planlı bir tatbikat bulunmaksızın bildirim göndermez. d) Acil durum iletişim kişilerini Şirket belirler. Cosyworker bu adresleri doğrulamaz. Şirket, bu kişileri kendilerine Çalışanlara ait kişisel verileri içeren e-postalar gönderileceği konusunda bilgilendirir, listeyi güncel tutar ve yalnızca yetkili kişileri ekler. Gönderilmiş bir e-posta Cosyworker tarafından geri alınamaz. e) Kurumsal Panel'deki "Harita uygulamasında aç" bağlantısı, ilgili Çalışan'ın koordinatlarını üçüncü taraf bir harita sitesine iletir; bu bağlantının kullanılması Şirket'in tercihindedir. 7.8 Webhook'lar Şirket'in webhook kurması hâlinde, Çalışanların şirket hesabına katılmasına veya ayrılmasına ve onaylanan harcamalarına ilişkin bilgiler (ad, soyad, e-posta adresi, üyelik durumu, tutar, işletme adı, not) Şirket'in belirlediği adrese iletilir ve gönderilen içerik teslimat kaydında saklanır. Şirket, belirlediği adresin kendisine ait ve güvenli olduğunu, imza anahtarını gizli tutacağını taahhüt eder. 7.9 Kurumsal Dizin ile Giriş Kurumsal dizin (LDAP) ile giriş, Şirket'in talebiyle yapılandırılır. Çalışan'ın kurumsal şifresi yalnızca doğrulama amacıyla Şirket'in dizin sunucusuna iletilir ve Cosyworker tarafından saklanmaz. Dizin sunucusunun güvenliği ve erişilebilirliği Şirket'in sorumluluğundadır.

8.1 Kurumsal Hizmet kapsamındaki veriler aşağıdaki sürelerle saklanır: • Onaylanmamış harcama belgeleri yüklenmelerinden 24 saat sonra silinir. Onaylanmış harcama belgeleri Hizmet Sözleşmesi süresince ve Madde 8.3 uyarınca silinene kadar saklanır. • Anket yanıtları, davet kayıtları, webhook teslimat kayıtları ve Kurumsal Panel işlem kayıtları Hizmet Sözleşmesi süresince ve Madde 8.3 uyarınca silinene kadar saklanır. • Acil durum yoklamalarında paylaşılan konum ile yardım nedeni ve notu, yoklamanın kapanmasından 1 yıl sonra silinir; acil durumlar için saklanan son konum, güncellenmediği takdirde en geç 30 gün sonra silinir; yoklama kaydının kendisi Hizmet Sözleşmesi süresince ve Madde 8.3 uyarınca silinene kadar saklanır. 8.2 Hizmet Sözleşmesi'nin sona ermesi hâlinde Cosyworker, Şirket'in Yönetici hesaplarını kapatır. Şirket, ihtiyaç duyduğu verileri sona ermeden önce Kurumsal Panel'deki dışa aktarma araçlarıyla almakla yükümlüdür. 8.3 Cosyworker; Şirket'in yazılı talebini izleyen 30 gün içinde ve talep bulunmasa dahi sona ermeyi izleyen en geç 1 yıl içinde, Şirket adına işlediği verileri ve Şirket'e özgü kurumsal kayıtları (anket yanıtları, harcama belgeleri, yoklama kayıtları, davet kayıtları, Yönetici hesapları, acil durum iletişim kişileri) siler veya anonim hâle getirir. Mevzuat gereği saklanması zorunlu olan veriler ilgili sürelerin sonuna kadar saklanır. 8.4 Çalışanların Uygulama hesapları ve Uygulama'yı bireysel kullanımlarına ilişkin veriler işbu maddenin kapsamı dışındadır.

9.1 Cosyworker, kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek için; veri iletiminin şifrelenmesi, erişimin yetki bazında sınırlandırılması, Kurumsal Panel'de hassas işlemler için şifrenin yeniden sorulması, harcama belgelerinin herkese kapalı bir alanda ve kısa ömürlü bağlantılarla sunulması, işlem kayıtlarının tutulması ve düzenli yedekleme dahil teknik ve idari tedbirleri uygular. 9.2 Cosyworker, Şirket'in Çalışanlarına ait kişisel verileri etkileyen bir veri ihlalini öğrenmesi hâlinde Şirket'i herhangi bir gecikmeye yer vermeksizin bilgilendirir. Bildirimde, bilindiği ölçüde; ihlalin niteliği, etkilenen veri kategorileri ve kişi sayısı, olası sonuçlar ve alınan tedbirler yer alır. 9.3 Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere yapılacak bildirimler, her bir tarafın veri sorumlusu olduğu veriler bakımından o tarafın sorumluluğundadır. Taraflar bu bildirimlerin hazırlanmasında birbirine makul ölçüde destek olur.

Çalışanlar, KVKK'nın 11. maddesi kapsamındaki haklarını her iki tarafa karşı da kullanabilir. Taraflardan birine ulaşan ve diğer tarafın veri sorumlusu olduğu verilere ilişkin bir başvuru, gecikmeksizin diğer tarafa iletilir. Cosyworker, Şirket'in veri sorumlusu olduğu verilere ilişkin başvuruların yanıtlanabilmesi için Kurumsal Panel'deki araçların ötesinde gereken bilgiyi Şirket'in talebi üzerine makul ölçüde sağlar.

Cosyworker, Şirket'in yazılı talebi üzerine, işbu Sözleşme'den doğan yükümlülüklerine uyduğunu göstermek için makul ölçüde gerekli bilgiyi sağlar. Şirket bu talebi, mevzuatın veya yetkili bir kurumun aksini gerektirdiği hâller dışında yılda bir defadan fazla yöneltmez. Sağlanan bilgiler gizlidir ve yalnızca uyumun değerlendirilmesi amacıyla kullanılabilir.

Her bir taraf, işbu Sözleşme'den ve KVKK'dan doğan kendi yükümlülüklerini ihlal etmesi nedeniyle doğan zararlardan sorumludur. Şirket'in eriştiği verileri işbu Sözleşme'ye veya mevzuata aykırı şekilde kullanmasından, Çalışanlarını aydınlatmamasından veya Cosyworker'a aktarmaya yetkili olmadığı verileri Kurumsal Panel'e girmesinden doğan talepler Şirket'in sorumluluğundadır. Hizmet Sözleşmesi'ndeki sorumluluk sınırlamaları, mevzuatın izin verdiği ölçüde işbu Sözleşme bakımından da uygulanır.

İşbu Sözleşme, Hizmet Sözleşmesi yürürlükte olduğu sürece ve Cosyworker Şirket adına kişisel veri işlemeye devam ettiği müddetçe yürürlükte kalır. Cosyworker, mevzuattaki veya Kurumsal Hizmet'teki değişiklikler nedeniyle işbu Sözleşme'yi güncelleyebilir. Güncel metin bu sayfada yayımlanır; esaslı değişiklikler Şirket'e Kurumsal Panel veya e-posta yoluyla önceden bildirilir. İşbu Sözleşme Türk hukukuna tabidir. Sözleşme'den doğan uyuşmazlıklarda, Hizmet Sözleşmesi'nde aksi kararlaştırılmadıkça İstanbul (Anadolu) Mahkemeleri ve İcra Daireleri yetkilidir.

İşbu Sözleşme'ye ilişkin sorular, bildirimler ve talepler için: E-posta: [email protected] Şirket'in bildirimleri, Kurumsal Panel'de kayıtlı Yönetici e-posta adreslerinden gönderildiğinde geçerli sayılır.