Veri İşleme Sözleşmesi

1. Taraflar ve dayanak

Bu sözleşme, Bulut Hizmet Çerçeve Sözleşmesi'nin ("Ana Sözleşme") ekidir ve onunla birlikte kabul edilir. Taraflar: Müşteri (veri sorumlusu) ve Nezahat Tekkanat (Carigosoft) ("Carigosoft", veri işleyen).

Bu sözleşme 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesinin ikinci fıkrası uyarınca, veri işleyenin veri sorumlusuyla birlikte veri güvenliğinden müteselsilen sorumlu olduğu çerçevede tarafların yükümlülüklerini düzenler. Ana Sözleşme'deki tanımlar burada da geçerlidir.

2. İşlemenin konusu, niteliği ve süresi

3. Talimatla işleme

• Carigosoft Müşteri Verisi'ni yalnız Müşteri'nin belgelenmiş talimatıyla işler. Müşteri'nin ve Kullanıcılarının Platform'da yaptığı her işlem, Ana Sözleşme ve bu sözleşme talimat sayılır.
• Carigosoft bir talimatın KVKK'ya aykırı olduğunu düşünürse Müşteri'yi gecikmeksizin bilgilendirir ve o talimatı uygulamayı askıya alabilir.
• Kanun gereği yetkili bir kamu kurumunun talebi hâlinde Carigosoft, yasak olmadıkça Müşteri'yi önceden bilgilendirir ve yalnız talep edilen ölçüde veri verir.

4. Müşteri'nin (veri sorumlusunun) yükümlülükleri

• Platform'a girdiği kişisel veriler için KVKK md. 5 ve 6'daki hukuki sebebe sahip olmak; ilgili kişileri KVKK md. 10 uyarınca aydınlatmak (ör. kendi müşterilerine ve çalışanlarına aydınlatma metni vermek).
• Özel nitelikli veriyi (sağlık, din, sabıka vb.) yalnız kanunun izin verdiği hâllerde ve gerekli ölçüde girmek; gereksiz özel nitelikli veri girmemek.
• Kullanıcılara yalnız gereken yetkiyi vermek, ayrılan çalışanın erişimini kapatmak, şifre ve iki adımlı doğrulama kurallarına uymak.
• Kendi yükümlülükleri olan VERBİS kaydı ve kişisel veri envanterini, gerekiyorsa, tamamlamak.

5. Gizlilik

Carigosoft, Müşteri Verisi'ne erişebilen çalışanlarını ve yardımcılarını yazılı gizlilik yükümlülüğüne bağlar; erişimi yalnız destek, güvenlik ve yasal zorunluluk için gerekli kişilerle ve gerekli ölçüde sınırlar. Bu yükümlülük sözleşme bittikten sonra da sürer.

6. Teknik ve idari tedbirler

• Tüm bağlantılar şifrelidir (TLS 1.2 ve üzeri); veritabanı ve yedekler şifreli saklanır.
• Her firmanın verisi veritabanında satır düzeyinde ayrılır; bir firmanın Kullanıcısı başka firmanın verisini göremez. Bu ayrım her sürümde otomatik testlerle denetlenir.
• Rol ve yetki denetimi sunucuda yapılır; ekrandan gizlemek tek başına yetki sayılmaz.
• İsteğe bağlı iki adımlı doğrulama, şifre değişikliğinde e-posta kodu, oturum yönetimi ve giriş kayıtları.
• Her gece şifreli yedek; yedekler 35 gün saklanır ve geri dönüş denenir.
• Saldırı koruması, güvenlik başlıkları ve bağımlılıkların düzenli güvenlik taraması.
• Kişisel Verileri Koruma Kurulu'nun Kişisel Veri Güvenliği Rehberi'ndeki tedbirler esas alınır; tedbirler teknik gelişmeye göre güncellenir ve düzeyi düşürülmez.

7. Alt işleyenler

Müşteri, Carigosoft'un aşağıdaki gruplardaki altyapı hizmet sağlayıcılarını alt işleyen olarak kullanmasına genel izin verir. Carigosoft her alt işleyene bu sözleşmedekinden az olmayan veri koruma yükümlülükleri yükler ve onların işlemlerinden Müşteri'ye karşı sorumludur.

Yeni bir alt işleyen grubu eklenmesi veya bir sağlayıcının sunucu bölgesinin değişmesi, yürürlükten en az 30 gün önce Müşteri'nin kayıtlı e-posta adresine veya panele bildirilir. Müşteri haklı bir veri koruma gerekçesiyle itiraz edebilir; uzlaşılamazsa Müşteri sözleşmeyi feshedebilir ve ödenmiş dönemin kalan günlerinin ücreti iade edilir. Sağlayıcıların ad listesi yazılı talep üzerine bildirilir.

8. Yurt dışına aktarım

Alt işleyenlerin sunucuları yurt dışındadır (Avrupa Birliği; e-posta gönderimi ABD; ağ ve güvenlik sağlayıcının küresel ağı, şifreli yedekler Avrupa).

Yurt dışına aktarım 6698 sayılı Kanun'un 9. maddesine (12.03.2024 tarihli 7499 sayılı Kanun'la değişik) uygun olarak yapılır: öncelikle Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme gibi uygun güvencelerle; standart sözleşme imzalandığı tarihten itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Bu aktarım için Müşteri'den veya ilgili kişiden açık rıza istenmez.

Carigosoft, Müşteri'nin talebi üzerine aktarımın dayandığı güvenceye ilişkin bilgiyi verir.

9. İhlal bildirimi ve ilgili kişi başvuruları

• Carigosoft, Müşteri Verisi'ni etkileyen bir güvenlik ihlalini öğrendiğinde Müşteri'ye gecikmeksizin, en geç 72 saat içinde bildirir: ne olduğu, etkilenen veri ve kişi grupları, alınan ve önerilen tedbirler. Müşteri'nin Kurul'a ve ilgili kişilere bildirimi (KVKK md. 12/5) için gereken bilgiyi sağlar.
• Müşteri'nin ilgili kişilerinden Carigosoft'a doğrudan gelen başvuru, Müşteri'ye iletilir; Carigosoft başvuruyu kendisi cevaplamaz. Platform, verinin bulunması, düzeltilmesi, dışa aktarılması ve silinmesi için Müşteri'ye araç sunar.

10. Sözleşme sonunda iade ve silme

• Müşteri, sözleşme süresince ve bittikten sonra verisini panelden tek dosyada indirebilir.
• Müşteri yazılı olarak silme isterse Müşteri Verisi 30 gün içinde silinir veya anonim hâle getirilir; yedeklerdeki kopyalar yedek saklama süresi (35 gün) dolunca kendiliğinden silinir. Carigosoft silmeyi yazılı olarak teyit eder.
• Carigosoft'un kendi kanuni yükümlülüğü olan kayıtlar (Müşteri'ye kesilen fatura ve ödeme kayıtları) kanuni süre boyunca saklanır.

11. Denetim

Carigosoft, bu sözleşmeye uyumu gösteren bilgi ve belgeleri (uygulanan tedbirler, alt işleyen güvenceleri) Müşteri'nin yazılı talebi üzerine makul sürede verir. Bunun yetmediği hâllerde Müşteri, 30 gün önceden bildirerek, yılda en fazla bir kez, gizlilik taahhüdü veren bağımsız bir denetçiyle, diğer müşterilerin verisine ve güvenliğe zarar vermeyecek biçimde ve kendi masrafıyla denetim yapabilir. Kurul'un denetimi saklıdır.

12. Sorumluluk ve öncelik

Taraflar KVKK md. 12/2 uyarınca veri güvenliğinden müteselsilen sorumludur; iç ilişkide her taraf kendi kusuru oranında sorumludur. Ana Sözleşme'deki sorumluluk sınırı, kanunun emredici hükümleri saklı kalmak kaydıyla uygulanır. Kişisel verilere ilişkin konularda bu sözleşme Ana Sözleşme'ye göre önceliklidir.