Veri İşleyen Sözleşmesi
KVKK m.12/2 uyarınca veri sorumlusu ile veri işleyen arasında yapılması zorunlu olan yazılı sözleşme.
Bu metin taslaktır ve hukuki incelemeden geçmemiştir. Yürürlük tarihi: —.
İçindekiler
1. Taraflar ve sıfatları
| Sıfat | Taraf |
|---|---|
| Veri sorumlusu | Hizmeti kullanan kurum veya işletme (“Firma”) |
| Veri işleyen | Önder Zaman Kontrol ve Güvenlik Sistemleri San. Tic. Ltd. Şti. |
Firma, personel, ziyaretçi ve kullanıcı verilerinin hangi amaçla ve hangi yöntemle işleneceğine karar verir. Önder Zaman bu veriyi yalnızca Firma adına ve Firma’nın talimatıyla işler.
2. İşlemenin konusu ve kapsamı
| Konu | Kartlı ve QR kodlu geçiş kontrolü: yetkilerin panele yazılması, geçişlerin kaydı ve raporlanması |
|---|---|
| Süre | Hizmet sözleşmesi süresince |
| Veri kategorileri | Kimlik (ad-soyad, sicil no), iletişim (telefon, e-posta), kart numarası, geçiş kayıtları (kapı, zaman, yön, sonuç; reddedilen denemeler dahil), işlem güvenliği (şifre özeti, oturum, IP adresi, işlem kayıtları) |
| İlgili kişi grupları | Firma personeli ve geçiş yetkisi verilen diğer kişiler, ziyaretçiler, firma panel kullanıcıları |
3. Veri işleyenin yükümlülükleri
Önder Zaman:
- Kişisel verileri yalnızca Firma’nın talimatı doğrultusunda işler; kendi amaçları için kullanmaz.
- KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri alır (ayrıntı: Bilgi Güvenliği Politikası).
- Veriye erişen personelini gizlilik yükümlülüğü altına sokar; erişimi görev gereğiyle sınırlar.
- Firmaların verilerini birbirinden yalıtır; bir firmanın kullanıcısı başka firmanın verisine erişemez.
- Firma’nın ilgili kişi taleplerini karşılamasına yardımcı olur; kendisine ulaşan talepleri Firma’ya yönlendirir.
- Firma’nın denetim taleplerine makul ölçüde bilgi ve belge sağlar.
- Veri ihlalini öğrendiği anda gecikmeksizin Firma’ya bildirir.
4. Veri sorumlusunun yükümlülükleri
Firma:
- İşlemenin hukuki sebebini belirler ve belgeler.
- Personeli, ziyaretçileri ve kullanıcıları KVKK m.10 kapsamında aydınlatır; gereken hâllerde açık rıza alır.
- Sisteme girilen verilerin doğruluğundan ve güncelliğinden sorumludur.
- Panel kullanıcılarını ve yetkilerini yönetir; ayrılan personelin erişimini ve kartını kaldırır.
- Geçiş kayıtlarının hangi amaçla kullanılacağını belirler; bu kayıtları amacı dışında (ör. ayrıca bildirilmemiş bir performans takibi için) kullanmaz.
- VERBİS yükümlülüğü varsa yerine getirir.
- Saklama sürelerini belirler ve süresi dolan kayıtların silinmesini Önder Zaman’dan talep eder.
Geçiş kaydı, bir kişinin nerede ve ne zaman bulunduğunu gösterir. Bu kayıtların kimlerin göreceği, Firma’nın panel kullanıcılarına verdiği sayfa ve şube yetkileriyle belirlenir. Yetkilerin ölçülü verilmesi Firma’nın sorumluluğundadır.
5. Yurt dışına aktarım
Hizmetin sunulduğu bulut altyapısı Almanya’da konumlanmıştır; veriler bu kapsamda yurt dışına aktarılmaktadır. Siteye ve uygulamaya erişim, yurt dışında konumlanan bir içerik dağıtım ve güvenlik ağı (Cloudflare) üzerinden geçer; her gece alınan veritabanı yedekleri de aynı sağlayıcının depolama hizmetinde tutulur.
Bu aktarımların KVKK m.9 kapsamındaki hukuki dayanağını sağlamak Firma’ya aittir. Önder Zaman, dayanağın kurulması için gereken bilgi ve belgeleri sağlar ve talep hâlinde taahhütname sürecine katılır.
6. Alt veri işleyenler
Önder Zaman, hizmetin sunulması için alt veri işleyen kullanır. Mevcut kategoriler:
| Kategori | İşlev | Konum |
|---|---|---|
| Bulut sunucu sağlayıcısı | Uygulamanın ve veritabanının barındırılması | Almanya |
| Cloudflare | Trafiğin iletilmesi, saldırı koruması; yedeklerin depolanması | Yurt dışı |
| E-posta sunucusu | Bildirim ve şifre iletileri (Firma kendi sunucusunu tanımlamışsa o kullanılır) | Sağlayıcıya göre |
Mobil uygulama anlık bildirim altyapısı kullanmaz. Alt veri işleyen değişikliği Firma’ya önceden bildirilir. Firma, haklı bir gerekçeyle itiraz ederse çözüm birlikte aranır; anlaşma sağlanamazsa Firma sözleşmeyi feshedebilir.
7. Özel nitelikli veriler
Hizmet kapsamında özel nitelikli kişisel veri işlenmez: fotoğraf, parmak izi, yüz şablonu veya başka bir biyometrik veri tutulmaz; T.C. kimlik numarası ve adres alanı yoktur. Firma biyometrik okuyucu kullanmak isterse, bu okuyucunun kendi verisi PerplusAccess’e gelmez; KVKK m.6 kapsamındaki yükümlülükler Firma’ya aittir.
Sisteme tanımlı olmayan bir kartın okutulması da, kart numarasıyla birlikte reddedilen geçiş olarak kaydedilir. Bu kayıt bir kişiyle ilişkilendirilmez.
8. Saklama ve silme
Sistem kayıtları kendiliğinden silmez; geçiş kayıtları hizmet süresince saklanır. Yazılımda silinen bir kayıt, işlem geçmişinin bütünlüğü için önce görünmez hâle getirilir. Firma, belirlediği saklama süresi dolan kayıtların kalıcı olarak silinmesini yazılı olarak talep eder; Önder Zaman talebi makul sürede yerine getirir ve Firma’ya teyit eder.
9. Veri ihlali bildirimi
Önder Zaman, bir veri ihlalini öğrendiği anda gecikmeksizin Firma’ya bildirir ve bilinen kapsamı, etkilenen veri kategorilerini, olası sonuçları ve alınan tedbirleri iletir.
Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Firma’ya aittir. Önder Zaman bu bildirimin hazırlanmasına destek olur.
10. Sözleşmenin sona ermesi
Hizmet sözleşmesi sona erdiğinde veriler kendiliğinden silinmez. Firma yazılı olarak talep ederse Önder Zaman verileri dışa aktarıp teslim eder; Firma’nın yazılı silme talebi üzerine de verileri kalıcı olarak siler ve silindiğini Firma’ya yazılı olarak bildirir. Gece alınan yedeklerde kalan kopyalar, yedeklerin saklama süresi dolunca kendiliğinden silinir: sunucudaki yedekler 30 gün, sunucudan ayrı depodaki yedekler en fazla 60 gün saklanır. Mevzuattan doğan saklama yükümlülükleri saklıdır.