Veri İşleme Sözleşmesi
Mağaza müşterilerinin kişisel verilerinin işlenmesine ilişkin sözleşme (KVKK m.12).
Bu Veri İşleme Sözleşmesi (“VİS”), Segah Soft altyapısı üzerinde Mağaza işleten Abone (KVKK anlamında “veri sorumlusu”) ile [Şirket unvanı] (“Segah Soft”, KVKK anlamında “veri işleyen”) arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.12/2 uyarınca akdedilmiştir. VİS’te tanımlanmayan terimler Hizmet Sözleşmesi’ndeki anlamı taşır.
1. Konu ve kapsam
Segah Soft, Hizmet Sözleşmesi kapsamında Abone’nin Mağaza’sını barındırırken ve işletirken, Abone’nin Son Kullanıcılarına ve panel kullanıcılarına ait kişisel verileri yalnızca Abone adına ve Abone’nin talimatları doğrultusunda işler.
| İlgili kişi grupları | Mağaza’nın Son Kullanıcıları (üyeler, misafir alıcılar, bülten aboneleri, iletişim formu dolduranlar), Abone’nin bayileri ve panel kullanıcıları |
|---|---|
| Veri kategorileri | Kimlik, iletişim, teslimat ve fatura adresi, müşteri işlem (sipariş, sepet, iade, kupon), finans (fatura tutarları; kart bilgileri Segah Soft sistemlerinde saklanmaz, doğrudan Abone’nin seçtiği ödeme kuruluşu tarafından işlenir), pazarlama (ileti onayı), işlem güvenliği (IP adresi, oturum ve işlem kayıtları) |
| İşleme faaliyetleri | Kaydetme, depolama, yedekleme, görüntüleme, Abone’nin talimatıyla düzenleme ve aktarma (ör. kargo, e-fatura, pazaryeri ve ödeme entegrasyonları), silme |
| Süre | Hizmet Sözleşmesi süresince ve sona ermesinden sonra Madde 9’daki iade/silme işlemleri tamamlanana kadar |
Özel nitelikli kişisel verilerin Mağaza üzerinden toplanmaması esastır; Abone bu tür verileri toplarsa KVKK m.6 ve Kurul kararlarındaki ek önlemlerden kendisi sorumludur.
2. Abone’nin (veri sorumlusunun) yükümlülükleri
- Son Kullanıcılara KVKK m.10 uyarınca aydınlatma yapmak, gerektiğinde açık rıza almak ve Mağaza’da gizlilik ve çerez politikası yayımlamak,
- işlemenin KVKK m.5 ve m.6’daki hukuki sebeplere dayandığını sağlamak,
- yükümlü olması hâlinde VERBİS’e kayıt olmak ve kişisel veri işleme envanterini hazırlamak,
- ilgili kişilerin KVKK m.11 kapsamındaki başvurularını yanıtlamak,
- Segah Soft’a yalnızca hukuka uygun talimatlar vermek.
3. Segah Soft’ın (veri işleyenin) yükümlülükleri
3.1. Talimata bağlılık: Kişisel verileri yalnızca Hizmet’in sunulması amacıyla ve Abone’nin belgelenmiş talimatları (Hizmet Sözleşmesi, panel ayarları ve yazılı talimatlar) doğrultusunda işler; kendi amaçları için kullanmaz, satmaz ve üçüncü kişilere kiralamaz. Bir talimatın mevzuata aykırı olduğu kanaatine varırsa Abone’yi derhâl bilgilendirir.
3.2. Gizlilik: Verilere erişen çalışan ve yardımcı kişilerin gizlilik yükümlülüğü altında olmasını sağlar; erişimi görevin gerektirdiği kişilerle ve ölçüyle sınırlar. Bu yükümlülük VİS sona erdikten sonra da devam eder.
3.3. Güvenlik: KVKK m.12 ve Kurul’un Kişisel Veri Güvenliği Rehberi’ne uygun olarak en az aşağıdaki tedbirleri uygular:
- her Mağaza için ayrı veritabanı ile mağazalar arası veri ayrımı,
- tüm bağlantılarda TLS şifrelemesi, parolaların tek yönlü özetlenerek saklanması,
- rol bazlı yetkilendirme, yönetici erişimlerinin kayıt altına alınması,
- güvenlik duvarı, deneme-yanılma saldırılarına karşı engelleme, işletim sistemi ve yazılım güvenlik güncellemelerinin düzenli uygulanması,
- günlük yedekleme ve yedeklerin erişimi sınırlandırılmış ortamda tutulması,
- işlem güvenliği kayıtlarının tutulması ve düzenli gözden geçirilmesi.
3.4. İhlal bildirimi: Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrenmesi hâlinde Abone’yi gecikmeksizin ve her durumda öğrenmesinden itibaren en geç 24 saat içinde, o ana kadar bilinen ihlal kapsamı, etkilenen veri ve kişi kategorileri ile alınan önlemler hakkında bilgilendirir. Abone’nin Kurul’a 72 saat içinde yapacağı bildirim ve ilgili kişilere yapacağı bildirimler için makul desteği sağlar.
3.5. İlgili kişi başvuruları: Doğrudan kendisine yapılan başvuruları gecikmeksizin Abone’ye yönlendirir; Abone’nin bu başvuruları yanıtlayabilmesi için panelde sunulan araçlar (veriyi görüntüleme, düzeltme, dışa aktarma, silme) ve makul teknik destek sağlar.
3.6. Denetim: Abone’nin talebi üzerine, VİS’e uyumu gösteren bilgi ve belgeleri makul süre içinde sunar. Yerinde denetim, Segah Soft’ın diğer abonelerinin verilerinin gizliliğini ve sistem güvenliğini tehlikeye atmayacak şekilde, en az 30 gün önceden bildirimle ve masrafları Abone’ye ait olmak üzere yılda bir kez yapılabilir.
4. Alt veri işleyenler
Abone, Hizmet’in sunulabilmesi için aşağıdaki alt veri işleyenlerin kullanılmasına genel olarak izin verir:
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| netcup GmbH, Nürnberg (Almanya) veri merkezi | Sunucu barındırma (veritabanı, dosyalar, yedekler) | Almanya |
| Güzel Hosting (Türkiye) | Sistem e-postalarının gönderimi | Türkiye |
Segah Soft, alt işleyen ekleme veya değiştirme niyetini en az 15 gün önceden Abone’ye bildirir; Abone haklı sebeple itiraz ederse taraflar çözüm arar, çözüm bulunamazsa Abone aboneliğini kalan süreye ilişkin bedelin iadesiyle feshedebilir. Segah Soft, alt işleyenlere bu VİS’tekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Abone’ye karşı sorumludur.
Abone’nin Mağaza’sına kendi adına bağladığı ödeme kuruluşları, kargo firmaları, pazaryerleri, e-fatura entegratörleri ve benzeri üçüncü taraflar alt işleyen değildir; bu taraflarla ilişki doğrudan Abone ile ilgili üçüncü taraf arasındadır ve aktarımlar Abone’nin talimatıyla yapılır.
5. Yurt dışına aktarım
Sunucuların yurt dışında bulunması nedeniyle Son Kullanıcı verileri Almanya’daki veri merkezinde saklanır. Bu aktarım, KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, Kurul tarafından ilan edilen standart sözleşme (veri işleyenden veri işleyene) güvencesiyle yapılır. Segah Soft, standart sözleşmeyi imzaladığı tarihten itibaren beş iş günü içinde Kurul’a bildirir ve talep hâlinde imzalı standart sözleşmenin ilgili bölümlerini Abone ile paylaşır. Abone, Son Kullanıcılara yapacağı aydınlatmada verilerin yurt dışında barındırıldığını belirtmekle yükümlüdür.
6. Sorumluluk
Taraflar, KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasından müştereken sorumludur. Taraflardan birinin VİS’e aykırılığından doğan zararlar, kusuru oranında o tarafça karşılanır. Hizmet Sözleşmesi’ndeki sorumluluk sınırları, kanunen sınırlandırılamayan hâller saklı kalmak kaydıyla VİS bakımından da geçerlidir.
7. Kayıt ve saklama
Segah Soft, Abone adına işlediği verileri yalnızca Hizmet Sözleşmesi süresince saklar. Erişim ve işlem kayıtları 5651 sayılı Kanun ve ilgili mevzuat gereğince 2 yıl süreyle tutulur.
8. Değişiklik
VİS, Hizmet Sözleşmesi’nin 15. maddesindeki usulle güncellenebilir. Mevzuat değişikliğinden kaynaklanan zorunlu güncellemeler yürürlük tarihinden itibaren uygulanır.
9. Sona erme, verilerin iadesi ve silinmesi
Hizmet Sözleşmesi’nin sona ermesinden itibaren 30 gün boyunca Abone panel araçlarıyla verilerini dışa aktarabilir. Bu süre sonunda Segah Soft, Abone’ye ait veritabanını ve dosyaları siler; yedeklerdeki kopyalar yedekleme döngüsü içinde en geç 30 gün sonra kendiliğinden silinir. Kanunen saklanması zorunlu olan kayıtlar (ör. Abone ile Segah Soft arasındaki fatura kayıtları) bu süreler dışındadır. Talep hâlinde silme işlemi yazılı olarak teyit edilir.