Veri işleyen sözleşmesi (KVKK md. 12)

MADDE 1 – TARAFLAR VE SÖZLEŞMENİN NİTELİĞİ 1.1. Veri Sorumlusu: "Özgür Hesap İK Portalı" hizmetini kullanan ve Üyelik ve Hizmet Sözleşmesi'ni onaylayan müşteri ("Müşteri" veya "Veri Sorumlusu"). 1.2. Veri İşleyen: ÖZGÜR TEKNOLOJİ YAZILIM İNOVASYON SANAYİ VE TİCARET LİMİTED ŞİRKETİ, Fevzi Çakmak Mah. 106387. Sokak KTM Plaza C2 Blok No: 105 Karatay/KONYA, VKN: 6930577349, MERSİS no: [MERSİS No], KEP: [KEP Adresi], e-posta: destek@ozgurhesap.com, telefon: 0553 387 66 51 ("Sağlayıcı" veya "Veri İşleyen"). 1.3. Bu Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 12. maddesi uyarınca, Üyelik ve Hizmet Sözleşmesi'nin (https://ik.ozgurhesap.com/yasal/uyelik-sozlesmesi) ayrılmaz eki olarak düzenlenmiştir. Kişisel verilere ilişkin konularda bu Sözleşme Üyelik ve Hizmet Sözleşmesi'ne göre önceliklidir. MADDE 2 – TANIMLAR Bu Sözleşme'de; "Kurul" Kişisel Verileri Koruma Kurulu'nu, "Kişisel Veri", "Özel Nitelikli Kişisel Veri", "İşleme", "İlgili Kişi", "Veri Sorumlusu" ve "Veri İşleyen" Kanun'daki anlamlarını; "Müşteri Verisi" Müşteri'nin ve kullanıcılarının Portal'a girdiği, yüklediği veya Portal'da ürettiği kişisel verileri; "Portal" Müşteri'ye özgü "<alt alan adı>.ik.ozgurhesap.com" adresinden erişilen Hizmet örneğini; "Alt Veri İşleyen" Sağlayıcı'nın Müşteri Verisini işlemek üzere hizmet aldığı üçüncü kişileri; "Veri İhlali" Müşteri Verisinin hukuka aykırı olarak başkaları tarafından elde edilmesini, ifşasını, değiştirilmesini veya kaybını ifade eder. MADDE 3 – İŞLEMENİN KONUSU, AMACI, SÜRESİ VE KAPSAMI 3.1. Konu ve amaç: Sağlayıcı, Müşteri Verisini yalnızca Hizmet'in sunulması amacıyla; barındırma, saklama, yedekleme, yedekten geri yükleme, güncelleme, teknik destek, güvenlik izleme, veri paketi hazırlama ve sözleşme sonunda silme faaliyetleri kapsamında işler. 3.2. Süre: İşleme, Üyelik ve Hizmet Sözleşmesi süresince ve Madde 13'teki iade ve silme işlemleri tamamlanıncaya kadar devam eder. 3.3. İlgili kişi grupları: Müşteri'nin çalışanları, eski çalışanları, çalışan adayları, stajyerleri, çalışanların aile bireyleri ve yakınları, Müşteri'nin işyeri ziyaretçileri, Portal kullanıcıları ve Müşteri'nin Portal'a kaydettiği diğer kişiler. 3.4. Veri kategorileri: Müşteri'nin Portal'da kullandığı modüllere bağlı olarak kimlik (T.C. kimlik numarası dahil), iletişim, özlük, hukuki işlem, finans (IBAN, ücret, bordro, masraf ve avans), mesleki deneyim, performans ve eğitim, fiziksel mekân güvenliği (giriş-çıkış ve ziyaretçi kayıtları), görsel kayıt (vesikalık fotoğraf), işlem güvenliği (kullanıcı işlem ve iz kayıtları, IP adresleri) verileri ile özel nitelikli kişisel veriler: sağlık verileri (sağlık raporları, işe giriş ve periyodik muayene formları, engellilik bilgisi, sağlık bilgisi içeren diyet tercihleri), ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler (adli sicil kaydı) ve sendika üyeliği. Hangi verilerin Portal'a girileceğini Müşteri belirler. MADDE 4 – TALİMATLAR 4.1. Sağlayıcı, Müşteri Verisini yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Üyelik ve Hizmet Sözleşmesi ile bu Sözleşme, Müşteri'nin Portal'daki ayar ve kullanım tercihleri ile destek talepleri ve yazılı bildirimleri Müşteri'nin talimatı sayılır. 4.2. Sağlayıcı, bir talimatın Kanun'a veya diğer mevzuata aykırı olduğunu düşünürse Müşteri'yi gecikmeksizin bilgilendirir ve talimatın uygulanmasını Müşteri'nin teyidine kadar erteleyebilir. 4.3. Sağlayıcı, Müşteri Verisini kendi amaçları için işlemez, satmaz, pazarlama veya profil çıkarma amacıyla kullanmaz ve Müşteri'nin talimatı veya kanuni zorunluluk dışında üçüncü kişilere aktarmaz. Kanuni zorunluluk hâlinde, yasal olarak engellenmedikçe Müşteri önceden bilgilendirilir. MADDE 5 – VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ 5.1. Müşteri; Müşteri Verisinin işlenmesinin Kanun'un 5. ve 6. maddelerindeki hukuki sebeplere dayanmasından, ilgili kişilerin aydınlatılmasından, gerektiğinde açık rıza alınmasından, Veri Sorumluları Siciline kayıt yükümlülüğünden, ilgili kişi başvurularının cevaplanmasından, saklama ve imha süreleriyle kişisel veri saklama ve imha politikasından ve Kurul'a karşı veri sorumlusu yükümlülüklerinden sorumludur. 5.2. Müşteri; Portal kullanıcılarına verdiği rol, kapsam ve hassas alan yetkilerinin "bilmesi gereken" ilkesine uygun olmasını sağlar; kullanıcı hesaplarını, şifre ve iki adımlı doğrulama kurallarını yönetir; özel nitelikli kişisel veri içeren belge türlerini Portal'da bu şekilde işaretler ve Kurul'un özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararına uygun idari önlemleri alır. 5.3. Portal; aydınlatma ve açık rıza metinlerinin sürümlü yönetimi, ilgili kişi başvurularının 30 günlük süre takibiyle kayda alınması ve kişisel veri dökümü hazırlanması, saklama ve imha işlemleri ve imha tutanakları gibi Müşteri'nin yükümlülüklerini yerine getirmesine yardımcı araçlar içerir. Bu araçların kullanılması ve sonuçları Müşteri'nin sorumluluğundadır. MADDE 6 – VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ 6.1. Sağlayıcı, Müşteri Verisine yalnızca Hizmet'in sunulması için gerekli olan personelinin, görevleri gereği ve gerekli olduğu ölçüde erişmesini sağlar; bu personel yazılı gizlilik yükümlülüğü altındadır ve kişisel verilerin korunması konusunda bilgilendirilir. Sağlayıcı'nın yönetim, satış ve bayi sistemlerinde Müşteri çalışanlarına ait kişisel veri tutulmaz; bayiler Müşteri Verisine erişemez. 6.2. Sağlayıcı personeli, Portal içindeki Müşteri Verisine ancak Müşteri'nin destek talebi veya talimatı, yedekten geri yükleme, veri paketi hazırlama, güvenlik olaylarına müdahale ve Hizmet'in sürekliliği için zorunlu bakım hâllerinde ve bu amaçlarla sınırlı olarak erişir. 6.3. Sağlayıcı, Müşteri'nin ilgili kişi başvurularını cevaplaması, Kurul incelemeleri ve Veri İhlali bildirimleri bakımından makul ölçüde teknik destek sağlar. MADDE 7 – TEKNİK VE İDARİ TEDBİRLER Sağlayıcı, Kanun'un 12. maddesi ve Kurul'un yayımladığı kişisel veri güvenliği rehberleri dikkate alınarak aşağıdaki tedbirleri uygular: a) Kiracı ayrımı: Her Portal ayrı bir veritabanında, ayrı bir belge alanında ve Portal'a özgü veri şifreleme ve özet anahtarlarıyla çalışır. Oturum belirteçleri yalnızca verildikleri Portal'da geçerlidir; bir Portal'ın kullanıcısı başka bir Portal'ın verisine erişemez. b) Alan düzeyinde şifreleme: T.C. kimlik numarası, IBAN, ücret ve benzeri hassas alanlar ile iki adımlı doğrulama anahtarları AES-256-GCM ile Portal'a özgü anahtarla şifreli saklanır. Portal anahtarları, Sağlayıcı'nın ana anahtarıyla şifrelenmiş olarak tutulur. c) Yetkilendirme: Portal'da modül, işlem, kapsam (kendisi, ekip, departman, şube, şirket, grup) ve hassas alan bazında rol tabanlı yetkilendirme uygulanır. Hassas alanlar varsayılan olarak maskelidir ve açık değerin her gösterimi iz kaydına yazılır. Rol yetkisi değişiklikleri dört göz ilkesiyle onaylanır; aynı rolde düzenleme ve onay yetkisi birlikte verilemez. Özel nitelikli belge dosyalarına yalnızca kişinin kendisi ve yetkili insan kaynakları veya iş sağlığı ve güvenliği kullanıcıları erişebilir. ç) İz kayıtları: Kullanıcı işlemleri, hassas veri gösterimleri, yetki değişiklikleri ve yönetim işlemleri iz kayıtlarına yazılır; iz kayıtları uygulama üzerinden değiştirilemez ve silinemez. d) Kimlik doğrulama: Şifre karmaşıklık kuralları, hatalı giriş denemelerinde hesap kilitleme ve zaman tabanlı tek kullanımlık kodla (TOTP) iki adımlı doğrulama uygulanır. Müşteri iki adımlı doğrulamayı rol bazında zorunlu kılabilir. Sağlayıcı'nın yönetim panelinde iki adımlı doğrulama zorunludur; yedekten geri yükleme, veri paketi hazırlama ve Portal silme gibi kritik işlemler yalnızca yetkili yöneticinin doğrulama koduyla yapılabilir. e) İletim güvenliği: Site'ye, Portal'lara ve yönetim arayüzlerine erişim TLS ile şifrelenmiş HTTPS bağlantısı üzerinden sağlanır. f) Yedekleme: Portal'lar her gün yedeklenir ve yedekler Sağlayıcı'nın belirlediği süre boyunca (halihazırda 14 gün) saklanır. Yedeklerin bütünlüğü SHA-256 özetleriyle denetlenir; şifreli alanlar yedeklerde de şifreli kalır; yedek dosyalarına erişim sunucuda yetkili hesaplarla sınırlıdır. Sunucu dışına gönderilen yedek kopyaları yalnızca şifrelenmiş olarak gönderilir. [Yedek dosyalarının ve sunucu diskinin bütünüyle şifrelenmesi – uygulanıyorsa belirtilecek] g) Güncelleme güvenliği: Güncellemelerden önce tüm veritabanlarının kopyası alınır; güncelleme başarısız olursa tüm Portal'lar kopyalarından önceki hâline döndürülür. ğ) Veri paketi: Müşteri'ye teslim edilen veri paketleri parolayla AES-256 şifrelenir; parola yalnızca bir kez gösterilir ve saklanmaz; indirme bağlantısı süre ve indirme sayısıyla sınırlıdır ve her indirme IP adresiyle kayda alınır. h) Veri en aza indirme: Destek taleplerine Portal'ın personel kayıtlarından veri eklenmez; ekran görüntülerinin üst verileri silinir; yerinde kurulum yoklamalarında personel verisi gönderilmez; bayi bağlantı tıklamalarında IP adresi saklanmaz. ı) Kötüye kullanımın önlenmesi: Giriş, kayıt ve doğrulama işlemlerinde deneme ve hız sınırları uygulanır. i) Güvenli silme: Portal silindiğinde veritabanı, belge alanı ve Portal anahtarı canlı sistemden silinir; anahtar yalnızca sınırlı süre saklanan son yedeklerde kalır ve bu yedeklerin silinmesiyle şifreli veriler geri döndürülemez hâle gelir. j) Sunucu ve ağ güvenliği: [Sunucuda yalnızca gerekli ağ kapılarının açık tutulması, işletim sistemi güncellemeleri, sunucu yönetim erişiminin sınırlandırılması – teyit edilecek] k) Fiziksel güvenlik: [Barındırma hizmeti sağlayıcısının veri merkezi fiziksel güvenlik önlemleri – teyit edilecek] l) İdari tedbirler: [Personel gizlilik taahhütleri, yetki matrisi, eğitim, periyodik güvenlik denetimi veya sızma testi – teyit edilecek] MADDE 8 – ALT VERİ İŞLEYENLER 8.1. Müşteri, Sağlayıcı'nın aşağıdaki Alt Veri İşleyenlerden yararlanmasına genel olarak izin verir: a) Sunucu ve barındırma hizmeti: [Barındırma hizmeti sağlayıcısı unvanı] – sunucu konumu: [Sunucu konumu: Türkiye – teyit edilecek] b) E-posta gönderimi (Müşteri kendi e-posta ayarını girmediğinde Portal bildirimleri ve davet e-postaları): [E-posta (SMTP) hizmet sağlayıcısı unvanı] – [ülke] c) Sunucu dışı şifreli yedek depolama: [Sunucu dışı yedek depolama sağlayıcısı – varsa] – [ülke] 8.2. Ödeme kuruluşu ([Ödeme kuruluşu unvanı]) yalnızca Müşteri'nin abonelik ödemelerini işler; Müşteri Verisine erişmez ve bu Sözleşme kapsamında Alt Veri İşleyen değildir. Müşteri'nin Portal'da kendi e-posta veya SMS hizmet sağlayıcısını tanımlaması hâlinde bu sağlayıcı Müşteri'nin kendi veri işleyenidir. 8.3. Sağlayıcı, Alt Veri İşleyenlerle bu Sözleşme'dekilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı sözleşmeler yapar ve Alt Veri İşleyenlerin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı sorumludur. 8.4. Sağlayıcı, Alt Veri İşleyen eklemeden veya değiştirmeden en az [30] gün önce Müşteri'yi e-posta ile bilgilendirir. Müşteri bu süre içinde haklı gerekçeyle itiraz edebilir; itiraz giderilemezse Müşteri Üyelik ve Hizmet Sözleşmesi'ni feshedebilir ve kullanılmayan döneme isabet eden bedel iade edilir. MADDE 9 – YURT DIŞINA AKTARIM 9.1. Sağlayıcı, Müşteri Verisini yurt dışına aktarmaz. Portal'ların barındırıldığı sunucular ve yedekler [Sunucu konumu: Türkiye – teyit edilecek] bulunmaktadır. 9.2. Yurt dışına aktarım gerekmesi hâlinde Sağlayıcı, Müşteri'nin önceden yazılı onayını alır ve aktarımı Kanun'un 9. maddesi ile Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olarak; yeterlilik kararı, Kurul'ca ilan edilen standart sözleşme (imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilerek), bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütname gibi uygun güvencelerden birine veya Kanun'da sayılan arızi aktarım hâllerinden birine dayanarak yapar. MADDE 10 – VERİ İHLALİ BİLDİRİMİ 10.1. Sağlayıcı, Müşteri Verisini etkileyen bir Veri İhlali'ni öğrendiğinde Müşteri'yi gecikmeksizin ve her hâlde en geç [24] saat içinde, Müşteri'nin firma kaydındaki yetkili e-posta adresine ve Portal'daki sistem yöneticilerine bildirir. 10.2. Bildirimde, o an bilindiği ölçüde; ihlalin zamanı ve tespit zamanı, niteliği, etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı, olası sonuçları, alınan ve alınması önerilen önlemler ile Sağlayıcı'nın irtibat kişisi yer alır. Bilinmeyen bilgiler öğrenildikçe ayrıca bildirilir. 10.3. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. Sağlayıcı, Müşteri'nin Kurul'un belirlediği sürede (halihazırda öğrenmeden itibaren 72 saat) bildirim yapabilmesi için gerekli bilgi ve belgeleri sağlar ve ihlalin etkilerini azaltmak için gerekli önlemleri alır. MADDE 11 – İLGİLİ KİŞİ BAŞVURULARI Sağlayıcı'ya Müşteri Verisine ilişkin bir ilgili kişi başvurusu ulaşırsa Sağlayıcı başvuruyu gecikmeksizin Müşteri'ye iletir ve başvuru sahibini Müşteri'ye yönlendirir; Müşteri'nin talimatı olmadan başvuruyu kendisi cevaplamaz. MADDE 12 – DENETİM 12.1. Müşteri, bu Sözleşme'ye uyumu denetlemek amacıyla Sağlayıcı'dan yazılı bilgi ve belge isteyebilir; Sağlayıcı makul sürede cevap verir. 12.2. Yazılı bilgi ve belgelerin yeterli olmaması hâlinde Müşteri, yılda en fazla bir kez, en az [30] gün önceden yazılı bildirimde bulunarak, mesai saatleri içinde ve gizlilik taahhüdü altında, kendisi veya bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim, Sağlayıcı'nın diğer müşterilerinin verilerine ve Hizmet'in güvenliğine zarar vermeyecek şekilde yürütülür ve masrafları Müşteri'ye aittir. Veri İhlali'nden sonra veya Kurul talebi üzerine yapılacak denetimler yıllık sınırlamaya tabi değildir. 12.3. Sağlayıcı, Kurul'un Müşteri nezdinde yürüttüğü incelemelerde gerekli bilgi ve belgeleri sağlar. MADDE 13 – SÖZLEŞME SONUNDA VERİLERİN İADESİ VE SİLİNMESİ 13.1. Üyelik ve Hizmet Sözleşmesi sona erdiğinde Müşteri, Portal'ın salt okunur olarak erişilebildiği süre içinde verilerini dışa aktarabilir. Müşteri'nin yetkili temsilcisinin talebi üzerine Sağlayıcı; veritabanı dökümünü, yüklenmiş belgeleri ve şifreli alanların çözülmesi için gerekli anahtarları içeren, parolayla şifrelenmiş veri paketini hazırlar ve parolayı bağlantıdan ayrı bir kanaldan yalnızca Müşteri'nin yetkili kişisine iletir. 13.2. Sağlayıcı, Üyelik ve Hizmet Sözleşmesi'nin sona ermesinden itibaren [90] gün içinde veya Müşteri'nin yazılı talebi üzerine daha önce Portal'ı siler. Silme ile veritabanı, belge alanı ve Portal anahtarı canlı sistemden silinir. Silme öncesi alınan son yedek ve önceki yedekler Sağlayıcı'nın belirlediği süre (halihazırda 90 gün) sonunda kalıcı olarak silinir; günlük yedekler en geç saklama süreleri (halihazırda 14 gün) sonunda yenileriyle değiştirilerek silinir. 13.3. Sağlayıcı, Müşteri'nin talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder. Sağlayıcı'nın kanunen saklamakla yükümlü olduğu kayıtlar (fatura ve sözleşme kayıtları gibi, Müşteri çalışanlarına ait veriler hariç) bu hükmün dışındadır. MADDE 14 – SORUMLULUK 14.1. Taraflar, Kanun'un 12. maddesinin 2. fıkrası uyarınca kişisel verilerin güvenliğine ilişkin tedbirlerin alınmasından müştereken sorumlu olduklarını kabul eder. Taraflardan birinin kusuru nedeniyle diğerinin ödemek zorunda kaldığı idari para cezaları ve tazminatlar için kusurlu tarafa rücu hakkı saklıdır. 14.2. Sağlayıcı'nın bu Sözleşme'den doğan sorumluluğuna Üyelik ve Hizmet Sözleşmesi'ndeki sorumluluk sınırları uygulanır; kast ve ağır ihmal hâlleri ile Sağlayıcı'nın bu Sözleşme'ye aykırı olarak Müşteri Verisini kendi amaçları için işlemesi veya aktarması hâlleri bu sınırın dışındadır. [Sorumluluk sınırının veri ihlalleri bakımından ayrıca belirlenip belirlenmeyeceği – hukukçu tarafından değerlendirilecek] MADDE 15 – SON HÜKÜMLER 15.1. Bu Sözleşme, Üyelik ve Hizmet Sözleşmesi'yle birlikte yürürlüğe girer ve onunla birlikte sona erer; Madde 10, 12 ve 13'teki yükümlülükler iade ve silme işlemleri tamamlanıncaya kadar devam eder. 15.2. Bu Sözleşme'de yapılacak değişiklikler Üyelik ve Hizmet Sözleşmesi'ndeki değişiklik usulüne tabidir. Mevzuat değişikliği veya Kurul kararı nedeniyle zorunlu hâle gelen değişiklikler yayımlandıkları tarihte yürürlüğe girebilir. 15.3. Bu Sözleşme Türk hukukuna tabidir. Taraflar tacir ise uyuşmazlıklarda Konya Mahkemeleri ve İcra Daireleri yetkilidir. 15.4. Bu Sözleşme elektronik ortamda onaylanır; onay kaydında onaylanan metnin sürüm numarası ve SHA-256 içerik özeti, onaylayan kişinin adı ve e-posta adresi, onay zamanı, IP adresi ve tarayıcı bilgisi saklanır. Bu Sözleşme 15 maddeden oluşur.