Veri İşleme Sözleşmesi

1. Taraflar ve konu

Bu sözleşme; veri sorumlusu sıfatıyla [Müşteri unvanı, adresi, MERSİS/vergi no] ("Veri Sorumlusu") ile veri işleyen sıfatıyla Onus Industry LLC (godsofsale.com), [adres], [eyalet ve şirket kayıt no] ("Veri İşleyen") arasında, 6698 sayılı KVKK ve ilgili mevzuata uygun olarak Atlas hizmeti kapsamında yürütülecek kişisel veri işleme faaliyetlerini düzenler.

2. İşlemenin konusu, süresi ve niteliği

• Konu: Atlas hizmetinin sunulması için Veri Sorumlusu'nun panele girdiği verilerin barındırılması, saklanması ve işlenmesi.
• Süre: hizmet sözleşmesinin süresi ve madde 9'daki iade/silme süreci.
• İlgili kişi kategorileri: Veri Sorumlusu'nun çalışanları, kullanıcıları, müşterileri ve müşteri irtibat kişileri.
• Veri kategorileri: kimlik (ad soyad, T.C. kimlik no, doğum tarihi, cinsiyet), iletişim (telefon, e-posta, adres), çalışan ve mali bilgiler (pozisyon, maaş, puantaj), fotoğraf, görev ekleri, işlem güvenliği (kayıtlar, denetim izi) ve özel nitelikli veri (engel durumu — sağlık).
• Amaç: yalnızca Veri Sorumlusu'nun talimatları doğrultusunda hizmetin sunulması.

3. Veri İşleyen'in yükümlülükleri

• Verileri yalnızca Veri Sorumlusu'nun yazılı talimatları ve bu sözleşme çerçevesinde işlemek; kendi amaçları için kullanmamak.
• Verilere erişen personeli gizlilik yükümlülüğü altına almak; erişimi görev gereği zorunlu kişilerle sınırlamak.
• İlgili kişilerin KVKK md. 11 başvurularını Veri Sorumlusu'na gecikmeksizin iletmek ve makul ölçüde yardımcı olmak.
• Veri Sorumlusu'nun yasal yükümlülüklerini (ör. aydınlatma, VERBİS, ihlal bildirimi) yerine getirmesine makul destek vermek.
• Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu bilgilendirmek.

4. Güvenlik tedbirleri (KVKK md. 12)

Veri İşleyen, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır. Bunlar en az şunları içerir:

• Parolaların tek yönlü özet (hash) ile saklanması; imzalı ve şifreli oturum çerezleri; çıkışta oturumun sunucuda geçersiz kılınması; hatalı giriş ve şifre denemelerinde geçici kilit.
• Rol ve modül bazlı yetkilendirme; her firmanın verisinin diğer firmalardan mantıksal olarak ayrılması.
• Çalışanların özel bilgilerinin (T.C. kimlik no, maaş, adres vb.) yalnızca yetkili kullanıcının kendi şifresiyle açılması ve her görüntülemenin kayda geçmesi.
• Aktarım sırasında TLS (HTTPS) şifrelemesi.
• Kullanıcı işlemlerinin denetim izi olarak kaydedilmesi.
• Her gece AES-256 ile şifrelenmiş veritabanı yedeği; yedeklerin geri yüklenebilirliğinin test edilmesi; sunucu erişiminin yetkili personelle sınırlandırılması; yazılım güncellemeleri.
• Rehber asistana gönderilen metinde kişisel veri biçimindeki bilgilerin otomatik maskelenmesi.
• [Ek güvenlik tedbirleri — hukuk/bilgi güvenliği tarafından tamamlanacak.]

5. Alt işleyenler

Veri Sorumlusu, Veri İşleyen'in aşağıdaki alt işleyenleri kullanmasına genel olarak izin verir. Veri İşleyen, alt işleyenlere bu sözleşmedekine denk yükümlülükler yükler ve onların fiillerinden sorumludur. Alt işleyen eklenmesi veya değiştirilmesi hâlinde Veri Sorumlusu en az [15] gün önceden bilgilendirilir ve makul gerekçeyle itiraz edebilir.

• Barındırma: Contabo GmbH (Almanya); sunucu Fransa'daki veri merkezindedir.
• Yedekleme: Google LLC (Google Drive, ABD); yalnızca sunucuda şifrelenmiş yedekler, anahtar Google'da bulunmaz.
• Yapay zekâ sağlayıcısı: Anthropic PBC (ABD); yalnızca rehber asistana yazılan soru metni, kişisel veri biçimindeki bilgiler maskelenerek iletilir; Atlas bu metni saklamaz.

6. Yurt dışına aktarım

Alt işleyenlerin Türkiye dışında bulunması hâlinde aktarım, KVKK md. 9'daki dayanaklardan birine (yeterlilik kararı, uygun güvenceler/standart sözleşme veya diğer şartlar) dayandırılır; gerekli bildirimler [bildirimi yapacak taraf] tarafından Kurum'a yapılır.

7. Veri ihlali bildirimi

Veri İşleyen, kişisel verilerin güvenliğini etkileyen bir ihlali öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve en geç [48] saat içinde bildirir; ihlalin niteliği, etkilenen veri/kişi kategorileri, olası sonuçlar ve alınan tedbirleri aktarır. Veri Sorumlusu'nun, KVKK md. 12/5 uyarınca ihlali en geç 72 saat içinde Kurul'a bildirme yükümlülüğü saklıdır.

8. Denetim

Veri Sorumlusu, bu sözleşmedeki yükümlülüklere uyumu doğrulamak için makul bir önceden bildirimle, Veri İşleyen'in faaliyetlerini kesintiye uğratmayacak biçimde bilgi talep edebilir veya denetim yapabilir. Denetim maliyetlerinin kimde olacağı: [maliyet paylaşımı].

9. Sözleşme sonunda iade ve silme

Hizmet sözleşmesi sona erdiğinde Veri İşleyen, Veri Sorumlusu'nun talebine göre [X] gün (öneri: 30) içinde verileri dışa aktarılabilir biçimde iade eder; ardından verileri ve mevcut kopyalarını, yedeklerdeki döngüsel silme süresi (günlük yedeklerde 30 gün, aylık yedeklerde en çok 12 ay) dâhil silme, yok etme veya anonim hâle getirme yöntemleriyle ortadan kaldırır. Kanunen saklanması zorunlu veriler saklama süresi boyunca korunur.

10. Sorumluluk, yürürlük ve uygulanacak hukuk

Bu sözleşme hizmet sözleşmesi/kullanım koşullarıyla birlikte geçerlidir; çelişkide kişisel verilere ilişkin hususlarda bu sözleşme esas alınır. Sorumluluk sınırları [hizmet sözleşmesindeki hükümlere göre] belirlenir. Uygulanacak hukuk [uygulanacak hukuk], yetkili merci [yetkili mahkeme] olarak belirlenmiştir.

Tarih: [tarih] · Veri Sorumlusu: [ad soyad, unvan, imza] · Veri İşleyen: [ad soyad, unvan, imza]