Veri İşleme Eki
Bu ek, Halı Defter Abonelik Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesi uyarınca tarafların veri güvenliği yükümlülüklerini düzenler.
1. Roller
- Veri sorumlusu: Firma. Kendi müşterilerinin verisini hangi amaçla ve nasıl işleyeceğine Firma karar verir.
- Veri işleyen: İŞTEÇÖZÜM BİLİŞİM TEKNOLOJİLERİ LİMİTED ŞİRKETİ (kısaca İşteÇözüm Bilişim Teknolojileri Ltd. Şti.; İstinye Mahallesi Fedakar Sokak No: 3 Daire: 4, Sarıyer/İstanbul; Sarıyer Vergi Dairesi, 4821203018; MERSİS 0482120301800001; telefon 0 212 951 15 51; e-posta bilgi@istecozum.net; KEP istecozumbilisim@hs06.kep.tr) ("Halı Defter"). Bu veriyi yalnız Firma adına, sözleşmedeki hizmeti sunmak için ve Firma'nın talimatıyla işler.
- KVKK m.12/2 uyarınca Halı Defter, Firma adına işlediği veriler bakımından Firma ile birlikte güvenlik önlemlerinin alınmasından sorumludur.
Halı Defter'in kendi amaçlarıyla işlediği veriler (firma kullanıcılarının hesapları, abonelik ve fatura, destek talepleri, site ziyaret kayıtları) bu ekin değil, Gizlilik Politikası'nın konusudur; bunlarda Halı Defter veri sorumlusudur.
2. İşlemenin konusu
| İlgili kişiler | Firma'nın müşterileri (son müşteri) |
| Veri kategorileri | Kimlik (ad), iletişim (telefon, adres), konum (haritadaki iğne), müşteri işlem (sipariş, parçalar, ölçüler, tutar, ödeme, borç, kayıt geçmişi), görsel kayıt (parça fotoğrafları), Firma'nın notları |
| Özel nitelikli veri | İşlenmez. Firma, not alanlarına sağlık, din, etnik köken gibi özel nitelikli veri yazmamakla yükümlüdür. |
| Amaç | Siparişin alınması, işlenmesi, teslimi, tahsilat, rota, müşteri takip sayfası, rapor ve dışa aktarma |
| Süre | Sözleşme süresi ve sona ermeden sonraki 90 gün (madde 8) |
3. Halı Defter'in yükümlülükleri
- Veriyi yalnız Firma'nın talimatıyla ve bu sözleşmedeki amaçla işler; kendi amacıyla kullanmaz, satmaz, reklam için kullanmaz.
- Talimat KVKK'ya aykırıysa Firma'yı gecikmeksizin uyarır.
- Veriye yalnız görevi gereği erişmesi gereken personelinin erişmesini sağlar; bu personel gizlilik yükümlülüğü altındadır. Destek için Firma verisine erişim yalnız Firma'nın izniyle, süreli ve kayıt altında yapılır.
- Madde 6'daki güvenlik önlemlerini alır ve günceller.
- İlgili kişilerin başvurularında Firma'ya yardım eder; kendisine doğrudan gelen başvuruyu gecikmeksizin Firma'ya iletir.
- Kurul incelemesinde ve Firma'nın makul denetim taleplerinde gerekli bilgiyi verir. [doldurulacak: denetim usulü, hukukçu önerisiyle]
4. Alt işleyenler
Firma, aşağıdaki alt işleyenlerin kullanılmasına onay verir. Halı Defter, alt işleyenlere bu ekteki yükümlülüklerden daha az koruyucu olmayan yükümlülükler yükler.
| Alt işleyen | İşlenen veri | Amaç | Konum | Yurt dışı aktarım |
|---|---|---|---|---|
| Cloudflare, Inc. (R2 nesne depolama) | Parça fotoğrafları | Fotoğrafların saklanması (teslimden 90 gün sonra silinir) | Yurt dışı [doldurulacak: R2 bölgesi; "EU" yargı alanı seçilebilir] | Evet (madde 5) |
| Cloudflare, Inc. (DNS) [NOT: vekil sunucu (proxy) açılırsa bütün trafik] | [doldurulacak: proxy kararına bağlı; proxy kapalıysa kişisel veri yok, açıksa bütün istekler] | Alan adı çözümleme | Yurt dışı | [doldurulacak: proxy kararına bağlı] |
| [doldurulacak: WEB ve SERVICE sunucularının bulunduğu veri merkezi] | Bütün Firma verisi (veritabanı ve yedek) | Barındırma | Türkiye | Hayır |
| [doldurulacak: e-posta sağlayıcısı] | Son müşteri verisi gönderilmez (yalnız firma kullanıcılarına davet ve bildirim) | — | [doldurulacak: e-posta sağlayıcısının konumu] | — |
Destek talebine Firma kullanıcısının eklediği ekran görüntüsünde son müşteri verisi görünebilir. Destek talepleri Halı Defter'in kendi İşteÇözüm destek altyapısında (Türkiye) işlenir; bu altyapı aynı şirkete ait olduğundan alt işleyen değildir. [NOT: Platform destek merkezinin aynı tüzel kişiye ait olduğu esas alındı; farklıysa bu listeye alt işleyen olarak adıyla eklenir.]
Rota hesabı Halı Defter'in kendi sunucusunda (Türkiye) yapılır; koordinatlar üçüncü bir rota hizmetine gönderilmez. Ödeme kuruluşu (iyzico) yalnız Firma'nın abonelik ödemesini işler; son müşteri verisine erişmez, bu yüzden bu listede alt işleyen değildir.
Halı Defter yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az [doldurulacak: süre; öneri 30 gün] önce Firma'ya e-postayla bildirir. Firma haklı bir gerekçeyle itiraz ederse aboneliği o tarihten önce iptal edebilir; iptal ve iade abonelik sözleşmesinin 7. maddesine göre yapılır.
5. Yurt dışına aktarım
- Fotoğrafların Cloudflare R2'de saklanması KVKK m.9 kapsamında yurt dışına aktarımdır.
- Aktarılan ülke için Kurul'un yeterlilik kararı yoktur; aktarım m.9/4'teki uygun güvencelerden biri olan standart sözleşmeyle yapılır. Kurul'un ilan ettiği metinlerden "veri işleyenden veri işleyene" modülü kullanılır. [NOT: Cloudflare'in KVKK standart sözleşmesini imzalayıp imzalamayacağı teyit edilmeli; imzalamazsa seçenekler: fotoğrafların Türkiye'de saklanması ya da taahhütname ile Kurul izni.]
- Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurul'a bildirilir (KVKK m.9/5 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik). Bildirim yapılmazsa idari para cezası öngörülmüştür. [doldurulacak: bildirimi kimin yapacağı, Firma mı Halı Defter mi (hukukçu teyidi); standart sözleşmenin tarafı Halı Defter'dir]
- Firma, son müşterilerine yaptığı aydınlatmada yurt dışı aktarımı belirtir (Halı Defter'in hazırladığı aydınlatma metni bunu içerir).
6. Güvenlik önlemleri
Teknik
- Bütün bağlantılar HTTPS (TLS) ile şifrelenir.
- Çok kiracılık: her sorgu Firma filtresinden geçer; bir firmanın kullanıcısı başka firmanın kaydına erişemez. Bu, her yayından önce otomatik kiracı sızıntısı testiyle denetlenir; test geçmezse sürüm yayına çıkmaz.
- Şifre ve PIN yalnız geri çevrilemez özet olarak tutulur; hatalı girişte hesap geçici kilitlenir.
- Roller: sahip, ofis, şoför, yıkamahane; her rol yalnız işine gereken işlemi yapar. Pasife alınan kullanıcının oturumu hemen düşer.
- Kart verisi tutulmaz.
- Takip sayfası tahmin edilemeyen bağlantıyla açılır, arama motorlarına kapalıdır, teslimden 90 gün sonra kapanır.
- Veritabanı günlük yedeklenir; yedekten geri dönme ilk ay bir kez, sonra üç ayda bir denenir.
- Sunucu kayıtları merkezi günlükte tutulur ve izlenir.
- Sırlar (bağlantı dizesi, anahtarlar) kaynak kodda ve dosyada tutulmaz; sunucu ortam değişkenlerinde ve sır kasasında durur.
İdari
- Veriye erişim yetkisi görev gereği ile sınırlıdır ve erişimler kayıt altındadır.
- Personel gizlilik yükümlülüğü altındadır.
- Alt işleyenlerle yazılı sözleşme yapılır.
- [doldurulacak: ek önlemler; Kurul'un "Kişisel Veri Güvenliği Rehberi"ne göre hukukçuyla tamamlanacak: eğitim, envanter, imha politikası]
7. İhlal bildirimi
- Halı Defter, Firma verisini etkileyen bir veri ihlalini öğrendiğinde Firma'ya gecikmeksizin, en geç [doldurulacak: süre (iş sahibi kararı); öneri 24 saat] içinde e-postayla bildirir.
- Bildirimde bilinen ölçüde şunlar yer alır: ihlalin zamanı ve nasıl fark edildiği, etkilenen veri kategorileri ve kişi sayısı, olası sonuçlar, alınan ve önerilen önlemler, iletişim kişisi.
- KVKK m.12/5 uyarınca ihlali Kurul'a ve ilgili kişilere bildirme yükümlülüğü veri sorumlusu olarak Firma'dadır. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararına göre Kurul'a bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılır. Halı Defter'in yukarıdaki süresi, Firma'nın bu süreye uyabilmesi içindir. Halı Defter, Firma'nın bildirim formunu doldurmasına yardım eder.
8. Sözleşme sona erince
- Abonelik sona erince Firma verisi 90 gün saklanır ve bu sürede Firma tarafından dışa aktarılabilir.
- 90 günün sonunda son müşteri verisi (müşteri, sipariş, fotoğraf, kasa) silinir ya da anonimleştirilir; yedeklerdeki kopyalar yedek döngüsü içinde [doldurulacak: yedek saklama süresi] sonra kendiliğinden silinir.
- Firma hesabı pasife alınır, silinmez (abonelik sözleşmesi madde 9 ve oradaki not).
- Kanunen saklanması gereken kayıtlar o süre boyunca saklanır.