1. Taraflar
Veri Sorumlusu (Controller) Okul'dur. Veri İşleyen (Processor) UniCampus markası altında faaliyet gösteren MEC Eğitim Danışmanlık Hizmetleri Ltd. Şti.'dir (Ataşehir, İstanbul, Türkiye).
2. Konu & süre
UniCampus, kişisel verileri yalnızca anlaşılan Hizmet'i sunmak amacıyla Okul adına işler. Süre: B2B Okul Sözleşmesi süresi + tam metnin §11'inde tanımlı silme süresi.
3. Veri İşleyen yükümlülükleri
UniCampus:
- kişisel verileri yalnızca Okul'un belgelenmiş talimatlarına göre işler — sınır ötesi transferler dâhil;
- verilere erişen personelin gizlilik yükümü altında olmasını sağlar;
- Ek II'de listelenen teknik ve organizasyonel önlemleri (TOM) uygular — TLS 1.2+ aktarımda, AES-256 dinlenmede, role dayalı erişim ve üç aylık erişim incelemesi dâhil;
- alt-işleyicilere yalnızca ön bildirim ve eşdeğer sözleşmesel yükümlülüklerle başvurur (mevcut liste Ek III'te);
- veri-sahibi taleplerinde ve GDPR Madde 32–36 yükümlülüklerinde Okul'a destek olur.
4. Kişisel veri ihlali
UniCampus, Veri Sorumlusu'na ait verileri etkileyen kişisel veri ihlalini öğrendikten sonra 48 saat içinde Okul'a bildirir; bildirim, GDPR Madde 33(3) uyarınca o anda mevcut bilgileri içerir.
5. Alt-işleyiciler
Yetkili alt-işleyiciler tam belgenin Ek III'ünde listelenmiştir. Ekleme veya değişikliklerde Okul'a en az 14 gün önceden makul veri-koruma gerekçeleriyle itiraz hakkı tanınır.
6. Uluslararası transferler
Kişisel veri AAB, Birleşik Krallık veya Türkiye dışına aktarıldığında taraflar, AB Komisyonu Standart Sözleşme Maddeleri (SCC) Modül 2 / 3, UK Uluslararası Veri Transfer Addendumu ve Türkiye-yerleşik veriler için KVKK Madde 9'a dayanır.
7. Denetim
Okul, takvim yılında en fazla bir kez ve en az 30 gün önceden yazılı bildirimle belgesel denetim talep edebilir. Üretim altyapısında saha denetimi yapılmaz; bunun yerine güncel üçüncü-taraf denetim raporları (ör. SOC 2, ISO 27001) ve yazılı yanıtlar paylaşılır.
8. Silme veya iade
B2B Okul Sözleşmesi sona erdiğinde Okul, UniCampus'nun verileri yaygın bir formatta iade etmesini ya da silmesini seçer. 30 gün içinde aksi belirtilmezse veriler 60 gün içinde silinir; yasal saklama gereken kayıtlar güvenli imha edilene dek bu DPA'ya tabidir.
Ek II — Teknik & organizasyonel önlemler (özet)
Öne çıkanlar:
- Tüm dış trafikte TLS 1.2+, HSTS ve iç service-mesh TLS.
- Veritabanı, nesne deposu ve yedeklerde AES-256 sunucu-tarafı şifreleme; günlük şifrelenmiş yedekler, 30 gün saklama, üç ayda bir restore testi.
- Role dayalı en az yetki erişimi; üç ayda bir inceleme; tüm admin erişimlerinde SSO + MFA.
- Üretim AWS eu-central-1 (Frankfurt) üzerinde — on-prem sunucu yok, üretimde çıkarılabilir medya kullanılmaz.
- Belgelenmiş ihlal-bildirim prosedürü; 7/24 on-call eskalasyon; 14 günde olay-sonrası inceleme.
Bu önlemler en az yılda bir ve önemli olay sonrasında gözden geçirilir.
İletişim
DPA müzakeresi, redline talepleri veya alt-işleyici soruları için: dpa@unicampus.uk.