Veri İşleyen (DPA) Sözleşmesi

1. Amaç ve Kapsam

İşbu Veri İşleme Sözleşmesi ("DPA"), [kesinfiyat] ("Kesinfiyat") ile Platform'da Organizasyon sahibi olan müşteri ("Müşteri") arasında, 6698 sayılı KVKK m.12/2 uyarınca akdedilmiştir.

DPA, kullanim-kosullari ve uyelik-ve-abonelik-sozlesmesi metinlerinin ayrılmaz ekidir; onlarla birlikte uygulanır.

2. Rollerin Belirlenmesi

2.1. Müşteri'nin Platform'a girdiği kendi projelerine ilişkin üçüncü kişi kişisel verileri (personel, taşeron çalışanları, idare yetkilileri, iş ortağı temsilcileri, tedarikçi kişileri vb.) bakımından:

• Veri sorumlusu: Müşteri
• Veri işleyen: Kesinfiyat

2.2. Müşteri'nin kendi hesap, iletişim, abonelik ve ödeme verileri bakımından Kesinfiyat veri sorumlusudur; bu kapsam kvkk-aydinlatma-metni metninde düzenlenmiştir ve işbu DPA'nın dışındadır.

2.3. Müşteri, veri sorumlusu sıfatıyla; işlediği kişisel veriler bakımından aydınlatma yükümlülüğünü yerine getirmek, gerekli hukuki sebebi tesis etmek, gerekiyorsa açık rıza almak ve VERBİS kaydı yükümlülüğüne uymakla yükümlüdür. Kesinfiyat bu yükümlülüklerin yerine getirilip getirilmediğini denetlemez.

3. İşlemenin Konusu, Süresi ve Amacı

4. Kesinfiyat'ın (Veri İşleyen) Yükümlülükleri

4.1. Talimata bağlılık. Kesinfiyat, kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları ve Hizmet'in sunulması amacı doğrultusunda işler. Platform üzerinden yapılan yapılandırma ve kullanım, Müşteri'nin talimatı sayılır.

4.2. Kesinfiyat, kanunen zorunlu olmadıkça verileri başka amaçla işlemez, üçüncü kişilere satmaz veya devretmez. Kanuni bir yükümlülük nedeniyle işleme yapması hâlinde, yasak olmadıkça Müşteri'yi önceden bilgilendirir.

4.3. Gizlilik. Verilere erişimi olan tüm personel gizlilik taahhüdü altındadır; bu yükümlülük iş ilişkisi sona erdikten sonra da devam eder. Erişim görev gereği bilme ilkesiyle sınırlandırılır.

4.4. Güvenlik tedbirleri. KVKK m.12 uyarınca uygun teknik ve idari tedbirler alınır; uygulanan tedbirler gizlilik-politikasi §4 ve §5'te açıklanmıştır. Kesinfiyat, güvenlik düzeyini düşürmemek kaydıyla bu tedbirleri güncelleyebilir.

4.5. Veri ihlali bildirimi. Kesinfiyat, bir veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 48 saat içinde Müşteri'ye bildirir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve tahmini kayıt sayısı, olası sonuçlar ve alınan tedbirler yer alır. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Müşteri'ye aittir; Kesinfiyat bu süreçte makul desteği sağlar.

4.6. İlgili kişi taleplerine destek. Bir ilgili kişi doğrudan Kesinfiyat'a başvurursa, Kesinfiyat talebi yanıtlamaz ve gecikmeksizin Müşteri'ye yönlendirir. Müşteri'nin KVKK m.11 taleplerini karşılaması için gerekli teknik desteği (erişim, düzeltme, silme, dışa aktarma) sağlar.

4.7. Denetim. Müşteri, yılda en fazla bir kez ve en az 30 gün önceden yazılı bildirimde bulunmak kaydıyla, mesai saatleri içinde ve Hizmet'in işleyişini aksatmayacak şekilde denetim yapabilir veya bağımsız denetçi görevlendirebilir. Denetim maliyetleri Müşteri'ye aittir. Kesinfiyat, mevcut bağımsız denetim raporlarını sunarak bu yükümlülüğü karşılayabilir.

4.8. Kayıt tutma. Kesinfiyat, veri işleyen sıfatıyla gerçekleştirdiği işleme faaliyetlerinin kaydını tutar.

5. Alt Veri İşleyenler (Sub-processor)

5.1. Müşteri, Kesinfiyat'ın Hizmet'in sunulması için alt veri işleyen kullanmasına genel olarak onay verir. Alt veri işleyen kategorileri gizlilik-politikasi §6'da listelenmiştir.

5.2. Kesinfiyat, her alt veri işleyenle işbu DPA'daki yükümlülüklere eşdeğer sözleşmesel yükümlülükler içeren bir anlaşma akdeder ve alt veri işleyenin fiillerinden Müşteri'ye karşı kendi fiili gibi sorumludur.

5.3. Yeni bir alt veri işleyen eklenmesi veya değiştirilmesi hâlinde Müşteri, en az 30 gün önce bilgilendirilir. Müşteri, haklı gerekçelerle bu süre içinde itiraz edebilir; itirazın çözülememesi hâlinde Müşteri aboneliğini tazminatsız feshedebilir ve kullanılmayan döneme ilişkin orantılı iade alır.

6. Yurt Dışına Aktarım

Kesinfiyat, kişisel verileri kural olarak [frankfurt] konumunda saklar. Yurt dışına aktarım gerekmesi hâlinde, KVKK m.9'da öngörülen güvencelerden biri (yeterlilik kararı, standart sözleşme hükümleri, bağlayıcı şirket kuralları) sağlanır; bunların bulunmaması hâlinde aktarım Müşteri'nin talimatı ve gerektiğinde ilgili kişilerin açık rızasına dayanılarak yapılır.

7. Verinin İadesi ve İmhası

7.1. Abonelik sona erdiğinde Müşteri, verisini Platform'un dışa aktarma işlevleriyle alabilir. Dışa aktarma penceresi hesap-kapatma-ve-veri-saklama-politikasi metninde belirtilmiştir.

7.2. Sürenin sonunda Kesinfiyat, kişisel verileri siler, yok eder veya anonim hâle getirir. Kanunen saklanması zorunlu veriler (mali kayıtlar, trafik bilgisi) yasal süre boyunca saklanmaya devam eder ve bu süre boyunca işbu DPA hükümlerine tabidir.

7.3. Talep hâlinde imha işlemine ilişkin yazılı teyit verilir.

8. Müşteri'nin (Veri Sorumlusu) Yükümlülükleri ve Tazmin

8.1. Müşteri; Platform'a girdiği kişisel verileri hukuka uygun olarak topladığını, gerekli aydınlatmayı yaptığını ve gerekli hukuki sebebe sahip olduğunu taahhüt eder.

8.2. Müşteri, Platform'a özel nitelikli kişisel veri yüklememeyi taahhüt eder. Yüklenmesi hâlinde doğacak tüm sorumluluk Müşteri'ye aittir.

8.3. Müşteri, kullanıcılarının erişim yetkilerini doğru yapılandırmak ve gereksiz erişimleri kaldırmakla yükümlüdür. Yanlış yetkilendirmeden doğan erişimler Kesinfiyat'a sorumluluk doğurmaz.

8.4. Müşteri'nin bu yükümlülüklere aykırılığı nedeniyle Kesinfiyat'a idari para cezası uygulanması veya üçüncü kişilerce talep yöneltilmesi hâlinde Müşteri, doğan tüm zararı ilk talepte karşılar.

9. Sorumluluk

İşbu DPA kapsamındaki sorumluluk, kullanim-kosullari §11 ve uyelik-ve-abonelik-sozlesmesi §13'te belirlenen sınırlara tabidir. Kesinfiyat'ın kastından ve ağır kusurundan doğan sorumluluk ile KVKK'nın emredici hükümleri saklıdır.

10. Süre ve Öncelik

10.1. DPA, abonelik ilişkisi süresince ve verinin imhasına kadar yürürlüktedir.

10.2. Kişisel verilerin korunmasına ilişkin konularda işbu DPA, diğer sözleşme metinlerine önceliklidir.

10.3. Müşteri'nin kendi DPA şablonunu kullanmak istemesi hâlinde, taraflar ayrıca ıslak veya elektronik imzalı bir anlaşma akdedebilir; bu durumda o anlaşma önceliklidir.

[ŞİRKET UNVANI] · [ADRES] · [KVKK E-POSTA]