Veri İşleme Sözleşmesi

1. Taraflar ve amaç

Bu sözleşme, Büro (“Veri Sorumlusu”) ile [Ticari Unvan] (“Veri İşleyen”) arasında, Veri Sorumlusu’nun Mükellefim.net hizmetine yüklediği kişisel verilerin KVKK ve ilgili mevzuata uygun işlenmesine ilişkin esasları belirler. Kullanım Koşulları’nın ayrılmaz parçasıdır ve Büro tarafından kayıt sırasında kabul edilir.

2. İşlemenin konusu, niteliği, amacı ve süresi

• Konu: Büronun mükellef portföyüne ait kişisel verilerin (Ek-1) Hizmet kapsamında işlenmesi.
• Nitelik: Kaydetme, saklama, düzenleme, eşleştirme/analiz, raporlama, bildirim, dışa aktarma, silme.
• Amaç: Yalnızca Büronun Hizmet’i kullanarak mevzuatın mükelleflerine etkisini analiz etmesi ve raporlaması.
• Süre: Abonelik süresi ve (varsa) 30 günlük salt okunur koruma süresi.

3. Veri Sorumlusu’nun yükümlülükleri

• Verileri hukuka uygun elde ettiğini ve Hizmet’e yükleme/işletme hakkına sahip olduğunu; ilgili kişilere (Mükelleflere) KVKK m.10 aydınlatmasını yaptığını, gerekli hukuki sebebi sağladığını ve ilgili kişi başvurularını yanıtlayacağını kabul eder.
• Özel nitelikli kişisel veri (KVKK m.6) yüklemeyecektir.
• Veri İşleyen’e yazılı ve hukuka uygun talimat verir; Hizmet’in kullanımı ve arayüzde verilen komutlar talimat sayılır.
• Hesap güvenliğini (parola, profil PIN’i, yetkili kullanıcılar) sağlamakla yükümlüdür.

4. Veri İşleyen’in yükümlülükleri

1. Verileri yalnızca bu sözleşme ve Veri Sorumlusu’nun talimatları doğrultusunda, Hizmet’i sunmak amacıyla işler; kendi amaçları için kullanmaz, üçüncü kişilere satmaz veya model eğitiminde kullanmaz.
2. Verilere erişen personeli gizlilik yükümlülüğü altında tutar ve erişimi görevle sınırlar.
3. KVKK m.12 uyarınca Ek-2’deki teknik ve idari tedbirleri alır ve sürdürür.
4. Veri İşleyen, alt işleyen kullanmak için Veri Sorumlusu’ndan genel izin alır. Güncel liste Alt İşleyenler sayfasındadır (Ek-3). Yeni alt işleyen eklenmeden veya değiştirilmeden en az 15 gün önce e-posta/uygulama içi bildirimle duyurulur; Veri Sorumlusu makul gerekçeyle itiraz edebilir, çözüm bulunamazsa Hizmet’i iptal edebilir. Alt işleyenlere bu sözleşmedekiyle aynı düzeyde yükümlülük yüklenir.
5. İlgili kişilerin Veri İşleyen’e ulaşan başvurularını gecikmeksizin Veri Sorumlusu’na iletir; Veri Sorumlusu’nun yanıtını hazırlamasına makul ölçüde yardımcı olur. Hizmet’teki dışa aktarma ve silme araçları bu yardımın parçasıdır.
6. Veri ihlali: Verilerin hukuka aykırı olarak ele geçirildiğini öğrendiğinde Veri Sorumlusu’nu gecikmeksizin ve en geç 48 saat içinde bilgilendirir (Veri Sorumlusu’nun Kurul’a 72 saat içinde bildirim yükümlülüğü saklıdır); ihlalin niteliği, etkilenen veri ve alınan önlemleri bildirir.
7. Veri Sorumlusu’nun makul talebi üzerine, bu sözleşmeye uyumu gösteren bilgileri sağlar; yılda bir kez, önceden 30 gün bildirimle, işletmeyi aksatmayacak biçimde ve gizlilik altında denetime katlanır (denetim masrafları Veri Sorumlusu’na aittir).

5. Yurt dışına aktarım

Veri Sorumlusu, Hizmet’in Ek-3’teki alt işleyenler aracılığıyla yurt dışında işlenmesine izin verir. Veri İşleyen, bu aktarımların KVKK m.9 ve ilgili yönetmelik uyarınca yeterlilik kararı veya uygun güvenceler (Kurul’un standart sözleşmeleri vb.) ile yapılmasını ve gerekli bildirimlerin mevzuatın öngördüğü sürelerde yapılmasını sağlar. Yapay zekâ sağlayıcısına Mükellef adı, VKN/TCKN, adres ve iletişim bilgisi gönderilmez; yalnızca takma adlı ve tanımlayıcı olmayan alanlar iletilir.

6. Sözleşmenin sona ermesi

Abonelik sona erdiğinde Veri İşleyen, Veri Sorumlusu’na 30 günlük süre tanır; bu sürede veriler Hizmet’in dışa aktarma araçlarıyla alınabilir. Süre sonunda kişisel veriler kalıcı olarak silinir; yedek kopyalar kendi saklama döngüsü içinde (en geç 30 gün) yok olur. Yasal saklama yükümlülüğü olan kayıtlar (fatura, ödeme) bu sözleşmenin konusu olan Mükellef Verisi değildir ve ilgili süre boyunca ayrıca saklanır.

7. Sorumluluk

Taraflar, KVKK’dan doğan sorumluluklarını kanuni sınırlar içinde kendi yükümlülük alanlarıyla sınırlı olarak üstlenir. Kullanım Koşulları madde 11’deki sorumluluk sınırları, kast ve ağır kusur hâlleri saklı kalmak üzere bu sözleşme bakımından da geçerlidir. Veri Sorumlusu, talimatları ve yükleme yetkisinden kaynaklanan üçüncü kişi taleplerinden Veri İşleyen’i koruyacaktır.

8. Çeşitli

Çelişki hâlinde kişisel verilere ilişkin konularda bu sözleşme önceliklidir. Türk hukuku uygulanır; yetki Kullanım Koşulları madde 17’ye göredir. Değişiklikler Kullanım Koşulları madde 14’teki usulle yapılır.

Ek-1 — Veri kategorileri ve ilgili kişiler

Ek-2 — Teknik ve idari tedbirler

• İnternet üzerinden tüm erişimde şifreli bağlantı (HTTPS/TLS).
• Kullanıcı parolaları ve profil PIN’leri düz metin saklanmaz (güçlü özet algoritması); oturum çerezleri HttpOnly, Secure ve SameSite korumalıdır.
• Büro bazında mantıksal veri ayrımı: her sorgu ilgili büro kapsamında çalışır; bir büro başka bir büronun verisini göremez. Normal profiller yalnızca kendilerine atanan mükellefleri görür.
• Yönetici erişimi ayrı bir rolle sınırlıdır; yönetim konsolunda mükellef verisi (ad, VKN) gösterilmez; yönetici işlemleri denetim kaydına yazılır.
• Kayıtlarda (log) VKN/TCKN maskelenir; dosya içe aktarımında yüklenen dosya işlendikten sonra silinir.
• Yapay zekâ çağrılarında veri minimizasyonu: takma ad kullanımı, kimlik ve iletişim verisinin gönderilmemesi; çağrıların girdi/çıktı metni saklanmaz.
• Düzenli yedekleme ve kısa süreli geri yükleme noktası; erişim ve işlem kayıtlarının tutulması; ihlal müdahale prosedürü.
• Personelin görev bazlı yetkilendirilmesi ve gizlilik yükümlülüğü.

Ek-3 — Alt işleyenler

Güncel liste ve her birinin işleme amacı, konumu ve aktarım güvencesi: Alt İşleyenler ve Yurt Dışı Aktarım.

Diğer yasal belgeler

• Kullanım Koşulları
• Mesafeli Satış Sözleşmesi
• İptal ve İade
• Gizlilik Politikası
• KVKK Aydınlatma
• Çerez Politikası
• Alt İşleyenler
• KVKK Başvuru
• Saklama ve İmha
• Ticari İleti
• Sorumluluk Reddi
• Güvenlik
• İletişim