Veri İşleme Sözleşmesi

1. Taraflar ve sözleşmenin niteliği

Bu Veri İşleme Sözleşmesi ("VİS"), PERON SOFT platformuna abone olan işletme ("Veri Sorumlusu") ile PERON SOFT ("Veri İşleyen") arasında, Kullanım Koşulları kapsamında sunulan hizmet sırasında işlenen kişisel veriler için düzenlenmiştir. VİS, Kullanım Koşulları'nın ayrılmaz ekidir ve hizmet ilişkisi süresince yürürlükte kalır. Kişisel verilere ilişkin konularda VİS ile Kullanım Koşulları arasında çelişki olursa VİS uygulanır.

Bu VİS'te geçen kavramlar 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki ("KVKK") anlamlarıyla kullanılır.

2. Konu, süre, niteliği ve amacı

• Konu: Veri Sorumlusunun platforma girdiği veya entegrasyonlarla aktardığı kişisel verilerin barındırılması, saklanması, yedeklenmesi, görüntülenmesi, raporlanması, Veri Sorumlusunun bağladığı üçüncü taraf hizmetlere iletilmesi, bildirimlerin gönderilmesi ve destek hizmetinin verilmesi.
• Süre: hizmet ilişkisi süresi ile 9. maddedeki iade ve silme süresi.
• Amaç: yalnız Veri Sorumlusuna platform hizmetinin sunulması.

3. Kişi grupları ve veri kategorileri

4. Veri İşleyenin yükümlülükleri

• Kişisel verileri yalnız Veri Sorumlusunun talimatıyla işler. Kullanım Koşulları, platform ayarları ve Kullanıcıların platformda yaptığı işlemler talimat sayılır. Veri İşleyen verileri kendi amaçları için kullanmaz.
• Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu bilgilendirir.
• Verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını ve erişimin yalnız gerekli hâllerle sınırlı kalmasını sağlar.
• KVKK m. 12 uyarınca Ek 2'deki teknik ve idari tedbirleri alır ve sürdürür.
• İlgili kişilerin başvurularını cevaplamak için Veri Sorumlusuna gerekli desteği verir; platformun arama, dışa aktarma, düzeltme ve silme araçları bu amaçla kullanılabilir.
• Veri ihlalini öğrendiğinde gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusuna bildirir. Bildirim; olayın niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan önlemleri içerir. Veri Sorumlusunun Kişisel Verileri Koruma Kurulu'na 72 saat içinde yapacağı bildirime destek olur.
• Veri Sorumlusu, yılda en çok bir kez ve en az 30 gün önceden yazılı bildirimle, Veri İşleyenin bu VİS'e uyumunu belge ve yazılı soru-cevap yoluyla denetleyebilir. Yerinde denetim mesai saatlerinde, başka müşterilerin verisine ve sistem güvenliğine zarar vermeyecek biçimde yapılır. Kurul taleplerinde taraflar işbirliği yapar.

5. Veri Sorumlusunun yükümlülükleri

• İşlemenin KVKK m. 5 ve m. 6'daki hukuki dayanağını sağlar; çalışanlarına, carilerine ve alıcılarına aydınlatma yapar, gerekli açık rızaları alır, gerekiyorsa Veri Sorumluları Siciline (VERBİS) kaydolur.
• Özel nitelikli verileri yalnız gerekli olduğunda girer; hassas özlük alanlarını görme yetkisini yalnız gereken kişilere verir.
• Kullanıcı yetkilerini en az yetki ilkesine göre tanımlar, işten ayrılan çalışanların hesaplarını kapatır ve şifre güvenliğini sağlar.
• Yapay zekâ asistanının kullanılıp kullanılmayacağına ve hangi kullanıcıların kullanacağına karar verir.
• Kendi hesabıyla bağladığı pazaryeri, e-Belge, banka ve kargo hizmetleriyle doğrudan ilişkidedir. Bu hizmetlere yapılan aktarım Veri Sorumlusunun talimatıdır ve bu hizmetlerle kendi veri koruma ilişkisini kurar.

6. Alt veri işleyenler

Veri Sorumlusu, Ek 3'teki alt veri işleyenlerin kullanılmasına genel olarak izin verir. Yeni bir alt veri işleyen eklenmeden en az 30 gün önce bu sayfada duyurulur ve e-postayla bildirilir. Veri Sorumlusu haklı sebeple itiraz edebilir; çözüm bulunamazsa ilgili özelliği kullanmayı bırakabilir veya sözleşmeyi feshedebilir. Veri İşleyen, alt veri işleyenlerle bu VİS'tekine denk koruma yükümlülükleri öngören sözleşmeler yapar.

7. Yurt dışına aktarım

Kişisel veriler yalnız Ek 3'te yurt dışı olarak belirtilen hizmetler için yurt dışına aktarılır. Aktarım KVKK m. 9'da öngörülen uygun güvencelerden biri sağlanarak yapılır. Yapay zekâ asistanı isteğe bağlıdır; Veri Sorumlusu asistanı kullanıcı bazında yetkiyle kısıtlayabilir veya firması için tamamen kapatılmasını isteyebilir. Asistan sağlayıcılarına giden kayıtlarda kişi adları, iletişim bilgileri, IBAN ve T.C. kimlik numaraları gönderimden önce kodlarla değiştirilir; personel kartındaki ücret ve özlük alanları gönderilmez. Kod ile gerçek değerin eşleşmesi yalnız Veri İşleyenin sunucusunda, o isteğin süresince tutulur.

8. Özel nitelikli kişisel veriler

Platformdaki sağlık verileri (kan grubu, engellilik derecesi, sağlık raporu, hastalık izni) yalnız Veri Sorumlusunun yetki verdiği kullanıcılara gösterilir. Veri Sorumlusu bu verileri KVKK m. 6 ve Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel veriler için aldığı yeterli önlemler kararı doğrultusunda işler.

9. Verinin iadesi ve silinmesi

Hizmet ilişkisi sona erdiğinde Veri Sorumlusu 30 gün içinde verisini dışa aktarabilir veya teslim edilmesini isteyebilir. Bu sürenin sonunda veri canlı sistemden silinir; yedeklerdeki kopyalar yedek saklama süresi dolduğunda kendiliğinden silinir. Veri Sorumlusu talep ederse silme yazılı olarak teyit edilir. Mevzuat gereği saklanması zorunlu kayıtlar bu yükümlülüğün dışındadır.

10. Sorumluluk

Tarafların sorumluluğu Kullanım Koşulları'ndaki sınırlara tabidir. KVKK m. 12/2 uyarınca güvenlik tedbirlerinden doğan müşterek sorumluluk ve ilgili kişilere karşı kanundan doğan sorumluluk saklıdır. Her taraf kendi kusurundan doğan idari para cezası ve zararlardan sorumludur; ödeme yapan taraf kusurlu tarafa rücu edebilir.

Ek 2: Teknik ve idari tedbirler

• Site ve panel trafiğinin TLS ile şifrelenmesi.
• Her kaydın firmaya bağlanması ve sorguların firma süzgecinden geçmesi (firma izolasyonu).
• Kullanıcı bazlı, ekran ve işlem düzeyinde yetkilendirme; fiyat ve hassas özlük alanları için ayrı yetkiler.
• Şifrelerin bcrypt ile özetlenmesi; T.C. kimlik numarası ve entegrasyon anahtarlarının AES-256-GCM ile şifrelenmesi.
• Beş hatalı girişte 15 dakika hesap kilidi, HttpOnly ve şifreli bağlantıya bağlı oturum çerezleri, oturum sınırı ve ağ adresi engeli.
• Sahte istek koruması, parametreli veritabanı sorguları, dosya yüklemede tür ve boyut denetimi.
• İşlem kaydı (varsayılan 90 gün) ve giriş kayıtları.
• Firma bazında günlük otomatik yedekleme ve yedek bütünlüğü doğrulaması.
• Yapay zekâ sağlayıcılarına giden veride takma adlandırma: kişi adı, iletişim bilgisi, IBAN ve T.C. kimlik numarası kodla değiştirilir; personel kartındaki ücret ve özlük alanları gönderilmez.
• Çalışanların gizlilik yükümlülüğü ve müşteri verisine erişimin gerekli hâllerle sınırlanması.

Ek 3: Alt veri işleyenler