Veri İşleme Sözleşmesi
Sürüm Taslak — hukuk onayı bekliyor
Taslak — hukuk onayı bekliyor. Bu metin hukuk danışmanı tarafından gözden geçirilmeden bağlayıcı değildir. Köşeli parantez içindeki bilgiler yayından önce doldurulacaktır.
Bu Veri İşleme Sözleşmesi ("Sözleşme"), Kullanım Koşulları'nın ayrılmaz parçasıdır ve hizmete kayıt olan ya da hizmeti satın alan işveren ("Veri Sorumlusu" ya da "Müşteri") ile [ŞİRKET UNVANI] (MERSİS: [MERSİS NUMARASI], adres: [TESCİLLİ ADRES]; "Veri İşleyen" ya da "Rotakon") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 12/2 uyarınca kurulur.
1. Konu ve süre
1.1. Veri İşleyen, Veri Sorumlusu adına ve yalnızca onun talimatıyla, personel servisi planlama hizmetini sunmak amacıyla kişisel veri işler.
1.2. Sözleşme, hizmet ilişkisi süresince ve bölüm 9'daki iade ve imha yükümlülükleri tamamlanana kadar yürürlükte kalır.
2. İşlemenin niteliği
| Konu | Açıklama |
|---|---|
| İlgili kişi grupları | Veri Sorumlusu'nun çalışanları; servis sürücüleri; servis firması temsilcileri; Veri Sorumlusu'nun hizmeti kullanan personeli |
| Veri kategorileri | Kimlik (sicil no, ad soyad); iletişim (adres, telefon); konum (adresin koordinatı, durak ataması, yürüme mesafesi); çalışma düzeni (vardiya, tesis); planlama tercihi (kişiye özel yürüme sınırı, nötr "yakın bırakma" işareti); sürücü belge geçerlilik tarihleri; kullanıcı işlem kayıtları |
| Özel nitelikli veri | İşlenmez. Veri Sorumlusu bu tür veri yüklememeyi taahhüt eder. |
| İşleme faaliyetleri | Kaydetme, saklama, adresin konuma çevrilmesi, durak ve rota hesaplanması, raporlama, Veri Sorumlusu'nun yetkilendirdiği kişilere (servis firması, sürücü) sınırlı görünüm sunulması, yedekleme, silme |
| Amaç | Personel servisinin planlanması, yayınlanması ve maliyetinin raporlanması |
3. Veri Sorumlusu'nun yükümlülükleri
3.1. Veri Sorumlusu, hizmete yüklediği kişisel verilerin KVKK md. 4'teki ilkelere uygun olarak ve md. 5'teki bir hukuki sebebe dayanarak işlendiğini, ilgili kişileri KVKK md. 10 uyarınca aydınlattığını ve gerekiyorsa VERBİS kaydını yaptırdığını taahhüt eder.
3.2. Veri Sorumlusu, hizmet içindeki rol ve yetki ayarlarını (kullanıcı daveti, servis firması ve sürücü bağlantıları) kendi sorumluluğunda yönetir.
3.3. Talimatlar, hizmetin kullanımı (ekranlardaki işlemler, ayarlar) ve yazılı bildirimlerle verilir. Bu Sözleşme ve Kullanım Koşulları Veri Sorumlusu'nun eksiksiz talimatıdır.
4. Veri İşleyen'in yükümlülükleri
4.1. Veri İşleyen kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatıyla işler; bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu derhal bilgilendirir.
4.2. Veri İşleyen, kişisel verileri kendi amaçları için kullanmaz, satmaz, üçüncü kişilerle paylaşmaz ve yapay zekâ ya da makine öğrenmesi modeli eğitmek için kullanmaz. Kişisel veri içermeyen ve Veri Sorumlusu'nu tanımlamayan toplu işletim istatistikleri bu yasağın kapsamı dışındadır.
4.3. Veri İşleyen, kişisel verilere erişen çalışanlarının sözleşmeyle ya da yasal olarak gizlilik yükümlülüğü altında olmasını sağlar. Rotakon personeli müşteri verisine yalnızca Veri Sorumlusu'nun açıkça verdiği destek yetkisiyle ya da hizmetin güvenliği için zorunlu hâllerde erişir; her erişim denetim kaydına düşer.
4.4. Veri İşleyen, ilgili kişilerden doğrudan aldığı başvuruları en geç 5 iş günü içinde Veri Sorumlusu'na iletir ve Veri Sorumlusu'nun KVKK md. 11 ve 13 kapsamındaki yanıt yükümlülüğünü yerine getirmesine makul ölçüde yardım eder (düzeltme, silme, dışa aktarma işlevleri dahil).
4.5. Veri İşleyen, Kişisel Verileri Koruma Kurulu'nun ya da yetkili mercilerin taleplerinde, mevzuatın izin verdiği ölçüde Veri Sorumlusu'nu önceden bilgilendirir.
5. Teknik ve idari tedbirler (KVKK md. 12/1)
Veri İşleyen en az şu tedbirleri uygular:
- Erişim denetimi: rol bazlı yetki, her müşterinin verisini ayıran veritabanı satır güvenliği (row-level security), ayrı kimlik sunucusu, oturum süresi sınırı.
- Şifreleme: iletimde TLS; yedeklerde şifreleme; parolaların tek yönlü özetle saklanması.
- Veri azaltma: rota hesaplayıcısına yalnızca kimlik numarası ve koordinat gönderilir; servis firması ve sürücü görünümlerinde ad, adres ve telefon bulunmaz; günlük kayıtlarına koordinat ve adres yazılmaz.
- Kayıt ve izleme: silinemeyen denetim kaydı; sunucu ve uygulama günlükleri (14 gün); hata ve erişilebilirlik izleme.
- Süreklilik: günlük şifreli yedek, düzenli geri yükleme denemesi, olay müdahale prosedürü.
- Yerleşik kaynaklar: adres çözümleme ve yol ağı hesapları Veri İşleyen'in işlettiği sunucularda yapılır; çalışan adresleri üçüncü taraf harita sağlayıcılarına gönderilmez.
- Personel: gizlilik taahhütnamesi, gereksinim kadar erişim, ayrılan personelin erişiminin aynı gün kaldırılması.
6. Alt işleyenler
6.1. Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel yazılı izin verir:
| Alt işleyen | Hizmet | Konum | İşlenen veri |
|---|---|---|---|
| [BARINDIRMA SAĞLAYICISI] | Sunucu ve veritabanı barındırma | Türkiye | Tüm müşteri verisi (şifreli diskler üzerinde) |
| [YEDEK DEPOLAMA SAĞLAYICISI] | Şifreli yedek depolama | [KONUM] | Şifreli yedek dosyaları (sağlayıcı içeriği göremez) |
| [E-POSTA (SMTP) SAĞLAYICISI] | E-posta gönderimi | [KONUM] | Kullanıcıların e-posta adresi, ad ve bildirim içeriği (davet, doğrulama, parola sıfırlama, hizmet bildirimleri) |
6.2. Harita altlığı OpenFreeMap karo sunucusundan kullanıcının tarayıcısına yüklenir. Bu isteklerde müşteri verisi gönderilmez; karo sunucusu yalnızca tarayıcının IP adresini ve görüntülenen harita bölgesini görür. Bu nedenle bir alt işleyen olarak değil, kullanıcıların tarayıcısının doğrudan bağlandığı bir üçüncü taraf kaynağı olarak bildirilir.
6.3. Veri İşleyen, yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce hesap yöneticilerine e-postayla bildirir. Veri Sorumlusu bu sürede haklı bir gerekçeyle itiraz edebilir; itiraz giderilemezse Veri Sorumlusu ilgili hizmeti ek bedel ödemeden feshedebilir.
6.4. Veri İşleyen alt işleyenlerle bu Sözleşmedekilerle aynı düzeyde koruma sağlayan yazılı sözleşmeler yapar ve alt işleyenlerin eylemlerinden Veri Sorumlusu'na karşı sorumludur.
7. Yurt dışına aktarım
Müşteri verisi Türkiye'de işlenir. Yurt dışına aktarım gerekirse yalnızca KVKK md. 9'daki şartlardan biriyle (yeterlilik kararı, uygun güvenceler ya da Kurul'a bildirilen standart sözleşme) ve Veri Sorumlusu'na önceden bildirilerek yapılır.
8. Veri ihlali bildirimi
8.1. Veri İşleyen, müşteri verisini etkileyen bir veri ihlalini öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde bilgilendirir.
8.2. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını, alınan ve alınacak önlemleri ve iletişim kişisini içerir. Henüz bilinmeyen bilgiler öğrenildikçe iletilir.
8.3. Veri İşleyen, Veri Sorumlusu'nun KVKK md. 12/5 uyarınca Kurul'a ve ilgili kişilere 72 saat içinde bildirim yapabilmesi için gerekli bilgi ve belgeleri sağlar.
9. Sözleşme sonunda iade ve imha
9.1. Hizmet ilişkisi sona erdiğinde ya da deneme süresi dolup çalışma alanı askıya alındığında Veri Sorumlusu 30 gün boyunca verilerini dışa aktarabilir.
9.2. Bu sürenin sonunda Veri İşleyen tüm müşteri verisini kalıcı olarak siler ve talep hâlinde silmeyi yazılı olarak teyit eder. Silinen veri dönüşümlü şifreli yedeklerden en geç 12 ay içinde düşer; bu sürede yedekler yalnızca felaket kurtarma amacıyla kullanılır ve geri yükleme hâlinde silinmiş çalışma alanı yeniden etkinleştirilmez.
9.3. Mevzuat gereği saklanması zorunlu kayıtlar (ör. fatura) yalnızca bu amaçla ve gereken süre boyunca saklanır.
10. Denetim
10.1. Veri İşleyen, bu Sözleşmeye uyumu göstermek için gerekli bilgileri (tedbirlerin özeti, alt işleyen listesi, varsa bağımsız denetim raporları) Veri Sorumlusu'nun yazılı talebi üzerine 30 gün içinde sağlar.
10.2. Bu bilgiler yeterli olmazsa Veri Sorumlusu, 30 gün önceden bildirmek, yılda en fazla bir kez, mesai saatlerinde, gizlilik taahhüdü vermiş bir denetçiyle ve masrafları kendisine ait olmak üzere yerinde denetim yapabilir. Denetim başka müşterilerin verisine erişimi gerektiremez.
11. Sorumluluk ve öncelik
Bu Sözleşmeden doğan sorumluluk, Kullanım Koşulları'ndaki sorumluluk sınırına tabidir; KVKK'dan doğan ve sözleşmeyle sınırlanamayan sorumluluklar saklıdır. Kişisel verilerin korunmasıyla ilgili konularda bu Sözleşme, Kullanım Koşulları'na önceliklidir.
12. İletişim
Veri İşleyen'in kişisel veri irtibat adresi: kvkk@rotakon.com · KEP: [KEP ADRESİ].