Veri İşleme Sözleşmesi

1. Amaç ve taraflar

6698 sayılı Kanun’un 12. maddesinin birinci fıkrası, veri sorumlusu ile veri işleyen arasında yazılı bir düzenleme yapılmasını öngörür. Bu sözleşme bu yükümlülüğü karşılar.

• Veri Sorumlusu: Uygulamada işletme hesabı açan ve kendi müşterilerinin verilerini uygulamaya giren butik (“İşletme”).
• Veri İşleyen: [AD SOYAD] (“Hizmet Sağlayıcı”) — gerçek kişi.

Bu belge, İşletme’nin hesabını oluşturmasıyla birlikte taraflar arasında yürürlüğe girer ve pilot katılımı boyunca geçerlidir. Hizmet ücretsiz sunulsa da, veri işleyen sıfatından doğan yükümlülükler aynen geçerlidir.

2. İşlemenin konusu ve niteliği

3. Hizmet Sağlayıcı’nın yükümlülükleri

Hizmet Sağlayıcı:

• Kişisel verileri yalnızca İşletme’nin talimatları ve hizmetin sunulması amacı doğrultusunda işler; kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla paylaşmaz ve başka bir işletmenin verisiyle birleştirmez.
• Verilere erişimi, görevi gereği erişmesi zorunlu personelle sınırlar; bu kişileri gizlilik yükümlülüğü altına alır.
• Bölüm 5’teki teknik ve idari tedbirleri uygular ve güncel tutar.
• İşletme’nin, ilgili kişilerden gelen taleplere cevap verebilmesi için uygulama içi görüntüleme, düzeltme, silme ve dışa aktarma araçlarını sağlar; bunların yetersiz kaldığı hâllerde makul destek verir.
• Bir veri ihlâli öğrendiğinde, İşletme’ye gecikmeksizin ve en geç 48 saat içinde bildirimde bulunur; ihlâlin kapsamı, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi verir. Kurul’a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla İşletme’ye aittir.
• İşletme’nin, kendi denetim yükümlülüğünü yerine getirebilmesi için makul bilgi taleplerini karşılar.

4. İşletme’nin yükümlülükleri

İşletme:

• Uygulamaya girdiği kişisel verileri hukuka uygun olarak topladığını, ilgili kişileri KVKK m.10 uyarınca aydınlattığını ve gerekli hâllerde açık rıza aldığını taahhüt eder.
• Kimlik numarası ve adres gibi alanları yalnızca gerçekten ihtiyaç duyduğu ölçüde doldurur; veri minimizasyonu ilkesine uyar.
• Çalışanlarına verdiği erişim yetkilerini görev tanımlarıyla sınırlı tutar ve işten ayrılanların erişimini gecikmeksizin kaldırır.
• İlgili kişilerden gelen başvuruları bizzat karşılar; Hizmet Sağlayıcı’ya ulaşan bu tür talepler İşletme’ye yönlendirilir.
• Kendi işletmesi bakımından VERBİS kayıt yükümlülüğünün bulunup bulunmadığını değerlendirir ve gerekiyorsa kaydını yapar.

5. Teknik ve idari tedbirler

• Aktarım sırasında verilerin TLS/HTTPS ile şifrelenmesi,
• Çok kiracılı mimaride her işletmenin verisinin veritabanı sorgusu düzeyinde yalıtılması; bir işletmenin başka bir işletmenin verisine erişiminin teknik olarak imkânsız kılınması,
• Şifrelerin geri döndürülemez algoritmalarla saklanması,
• Rol bazlı yetkilendirme (sahip / çalışan ayrımı),
• İşlem kayıtlarının (kim, ne zaman, hangi kayıt) tutulması,
• Düzenli yedekleme ve yedeklerin erişim kontrolü altında tutulması,
• Yazılım bağımlılıklarının güncel tutulması.

6. Alt işleyiciler

İşletme, hizmetin sunulabilmesi için aşağıdaki alt işleyicilerin kullanılmasına onay verir:

Hizmet Sağlayıcı, yeni bir alt işleyici eklemeden önce İşletme’yi en az 30 gün önceden bilgilendirir. İşletme, haklı gerekçeyle itiraz ederse ve makul bir çözüm bulunamazsa katılımını tazminatsız sonlandırabilir.

7. Yurt dışına aktarım

Bazı alt işleyicilerin sunucuları yurt dışındadır. Bu aktarımlar KVKK m.9 kapsamında [AKTARIM MEKANİZMASI — standart sözleşme / taahhütname / açık rıza: hukuk danışmanınızla belirleyip buraya yazın] dayanağıyla gerçekleştirilir. Standart sözleşme kullanılması hâlinde, imzalanmasından itibaren beş iş günü içinde Kurul’a bildirim yapılır.

8. Sözleşmenin sona ermesi ve verinin iadesi

• Katılım sona erdiğinde hesap salt okunur hâle gelir; İşletme kayıtlarını dışa aktarma araçlarıyla indirebilir.
• Veriler, dışa aktarma imkânı tanımak amacıyla sona erme tarihinden itibaren en az 60 gün saklanır.
• Bu sürenin ardından İşletme’nin yazılı talebi üzerine veya kendiliğinden kalıcı olarak silinir; yedeklerdeki kopyalar yedek rotasyon süresi içinde imha edilir.
• Mevzuat gereği saklanması zorunlu kayıtlar, ilgili saklama süresi boyunca ve yalnızca bu amaçla muhafaza edilir.

9. Sorumluluk

Her taraf, kendi yükümlülüklerini ihlâlinden doğan zarardan sorumludur. Hizmet Sağlayıcı’nın bu sözleşmeden doğan sorumluluğu, Kullanım Koşulları’nın sorumluluğun sınırlandırılmasına ilişkin hükümlerine tâbidir.

İşletme’nin ilgili kişileri aydınlatmaması veya hukuka aykırı veri toplaması sebebiyle Hizmet Sağlayıcı’ya bir yaptırım uygulanması hâlinde, İşletme bu zararı tazmin eder.

10. Yürürlük

Bu sözleşme, İşletme’nin hesabını oluşturduğu tarihte yürürlüğe girer ve pilot katılımı boyunca geçerliliğini korur. Değişiklikler, yürürlük tarihinden en az 30 gün önce bildirilir. Pilotun ücretli sürüme dönüşmesi hâlinde bu sözleşme güncellenerek yeniden sunulur.

Sorularınız için: [KVKK BAŞVURU E-POSTA ADRESİ]