Veri işleme sözleşmesi

Taraflar ve roller

Bu sözleşme, SatışOps hizmetini kullanan müşteri (“Veri Sorumlusu”) ile [Şirket unvanı] (“Veri İşleyen”) arasında, kullanım koşulları ve abonelik sözleşmesinin eki olarak akdedilmiştir.

• Müşteri, Hizmet’e kaydettiği veya içe aktardığı kişisel veriler bakımından KVKK m.3 anlamında veri sorumlusudur.
• SatışOps, bu verileri yalnızca müşteri adına ve müşterinin talimatları doğrultusunda işleyen veri işleyendir.
• Müşteri; verilerin hukuka uygun elde edilmesinden, aydınlatma yükümlülüğünden, gerekli açık rızaların ve İYS kayıtlarının sağlanmasından sorumludur.

Konu, süre, nitelik ve amaç

Veri ve ilgili kişi kategorileri

Hizmet özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır; müşteri bu tür verileri Hizmet’e yüklememeyi kabul eder.

Talimatlar ve gizlilik

• Veri İşleyen, verileri yalnızca bu sözleşme, Hizmet’in yapılandırması ve müşterinin belgelenmiş talimatları doğrultusunda işler; bir talimatın mevzuata aykırı olduğunu düşünürse müşteriyi bilgilendirir.
• Veriler kendi amaçları için kullanılmaz, satılmaz veya üçüncü kişilere açıklanmaz.
• Verilere erişen personel gizlilik yükümlülüğü altındadır ve erişim görevle sınırlıdır.
• Müşterinin talebi olmadıkça destek amacıyla dahi müşteri kayıtlarına erişim yapılmaz; yapılan erişimler kayıt altına alınır.

Teknik ve idari tedbirler

Veri İşleyen, KVKK m.12 ve Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi dikkate alınarak aşağıdaki tedbirleri uygular:

• İletim sırasında TLS ile şifreleme
• Kullanıcı parolalarının argon2 ile özetlenerek saklanması; kurum alan adıyla sınırlı Google ile oturum açma seçeneği
• Admin, satış yöneticisi, satış kullanıcısı ve görüntüleyici rolleriyle yetki sınırlandırması; yetkilerin her işlemde sunucu tarafında kontrolü
• Silme, dışa aktarma ve ayar değişikliklerinin audit log ile kaydı
• Gizli anahtarların kaynak kodu ve veritabanı dışında, ortam değişkenleri veya gizli anahtar yöneticisinde tutulması
• Veritabanı ve dosya depolamasının düzenli yedeklenmesi
• Sunucu erişim kayıtlarının tutulması ve yönetim erişiminin sınırlandırılması
• Pazarlama e-postalarında imzalı ret bağlantısı, bounce ve şikâyet alan adreslerin otomatik suppression listesine alınması
• Personel gizlilik taahhütleri ve farkındalık eğitimleri

Alt işleyenler

Müşteri, /yasal/alt-isleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel izin verir. Veri İşleyen, alt işleyenlerle bu sözleşmedekilerle esasen aynı koruma düzeyini sağlayan yazılı sözleşmeler yapar ve alt işleyenlerin fiillerinden müşteriye karşı sorumludur.

Yeni bir alt işleyen eklenmeden veya mevcut bir alt işleyen değiştirilmeden en az 30 gün önce müşteriye e-posta ile bildirim yapılır. Müşteri bu süre içinde makul gerekçelerle itiraz edebilir; itirazın giderilememesi halinde müşteri etkilenen Hizmet’i ek bedel ödemeden sonlandırabilir.

Yurt dışına aktarım

Hizmet’in e-posta gönderimi (Amazon SES), olay iletimi (Amazon SNS/SQS), gelen yanıtların okunması (Amazon WorkMail) ve Google ile oturum açma işlevleri nedeniyle veriler ABD’deki sunuculara aktarılır. Bu aktarımlar KVKK m.9 uyarınca Kurul tarafından ilan edilen standart sözleşmeler imzalanarak ve Kurum’a süresi içinde bildirilerek gerçekleştirilir. Müşteri, kendi ilgili kişilerini bu aktarım hakkında aydınlatmakla yükümlüdür.

Veri ihlali bildirimi

Veri İşleyen, müşteri verilerini etkileyen bir güvenlik ihlalini öğrendiğinde müşteriyi gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirim, bilinen ölçüde ihlalin niteliğini, etkilenen veri ve kişi kategorilerini, olası sonuçlarını ve alınan veya önerilen tedbirleri içerir.

Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak müşteriye aittir; Kurul kararı uyarınca bu bildirimin ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılması gerekir. Veri İşleyen, bu bildirimin hazırlanması için gerekli bilgileri sağlar.

İlgili kişi taleplerine destek

Hizmet; kayıtların düzeltilmesi, dışa aktarılması, silinmesi ve pazarlama izni/ret durumunun güncellenmesi için gerekli araçları sunar. Veri İşleyen’e doğrudan ulaşan ilgili kişi talepleri gecikmeksizin müşteriye yönlendirilir; Veri İşleyen, müşterinin KVKK m.11 kapsamındaki talepleri 30 gün içinde yanıtlayabilmesi için makul destek sağlar.

Denetim hakkı

Müşteri, bu sözleşmeye uyumu doğrulamak için yılda bir kez, en az 30 gün önceden yazılı bildirimde bulunarak ve Veri İşleyen’in diğer müşterilerinin verilerinin gizliliğini tehlikeye atmayacak şekilde bilgi ve belge talep edebilir veya denetim yapabilir. Denetim masrafları, esaslı bir ihlal tespit edilmedikçe müşteriye aittir.

Sona ermede iade ve silme

Sözleşmenin sona ermesinden sonra müşteri 30 gün süreyle verilerini Excel veya CSV olarak dışa aktarabilir. Bu sürenin sonunda veriler canlı sistemden silinir, yedeklerdeki kopyalar yedek saklama döngüsü sonunda kalıcı olarak silinir. Mevzuat gereği saklanması zorunlu kayıtlar saklama süresi boyunca korunur. Müşterinin talebi halinde silme işlemi yazılı olarak teyit edilir.

Sorumluluk ve öncelik

Tarafların bu sözleşmeden doğan sorumluluğu, kullanım koşullarındaki sorumluluk sınırlamalarına tabidir; ancak bu sınırlama kanunen sınırlandırılamayan sorumluluklara uygulanmaz. Kişisel verilerin korunmasına ilişkin konularda bu sözleşme, kullanım koşulları ve diğer sözleşmelere göre önceliklidir.

Veri İşleyen iletişim: [Şirket unvanı] · [Adres] · [KEP adresi] · [KVKK başvuru e-postası]