Yasal
Kişisel Verilerin İşlenmesine İlişkin Veri İşleyen Sözleşmesi
Taslak · Metni indir
Bu metin hukuki incelemededir ve henüz yürürlükte değildir. Köşeli parantez içindeki bilgiler yayından önce tamamlanacaktır.
Bu sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") 12. maddesi uyarınca, Abonelik ve Hizmet Sözleşmesinin eki olarak Firma (veri sorumlusu) ile [Karanix ticari unvanı] (veri işleyen) arasında kurulur.
1. Taraflar ve roller
Veri sorumlusu: ArchiBuild aboneliğini onaylayan Firma. Kişisel verilerin hangi amaçla ve ne kadar süreyle işleneceğine Firma karar verir.
Veri işleyen: [Karanix ticari unvanı] (adres: [adres]; vergi dairesi ve numarası: [vergi dairesi] / [vergi no]; e-posta: [e-posta]). Kişisel verileri yalnız Firma adına, Firmanın talimatıyla ve hizmeti vermek için işler.
2. İşlenen veriler ve ilgili kişiler
Firmanın platformu kullanma biçimine göre aşağıdaki veriler işlenebilir. Hangi modüllerin açık olduğuna ve hangi verilerin girileceğine Firma karar verir.
| İlgili kişi | Veri kategorileri |
|---|---|
| Firma çalışanları ve panel kullanıcıları | Kimlik, iletişim, özlük (T.C. kimlik no, görev, ücret, işe giriş), puantaj ve giriş-çıkış kayıtları, işlem güvenliği (oturum, IP) |
| Firmanın müşterileri ve müşteri adayları | Kimlik, iletişim, adres, talep ve teklif içeriği, sözleşme ve ödeme bilgileri, gönderdikleri fotoğraf ve iletiler |
| Taşeronlar, tedarikçiler ve çalışanları | Kimlik, iletişim, vergi bilgisi, SGK ve İSG belgeleri, hakediş ve ödeme kayıtları |
| Firmanın web sitesi ziyaretçileri | Form ve sohbet iletileri, çerez tercihi; ziyaret istatistiği kişiye bağlanmaz |
3. Talimatla işleme
Karanix kişisel verileri yalnız Abonelik ve Hizmet Sözleşmesindeki hizmeti vermek ve Firmanın panel ayarlarıyla ya da yazılı olarak verdiği talimatlar doğrultusunda işler. Bir talimatın mevzuata aykırı olduğunu düşünürse Firmayı gecikmeksizin bilgilendirir.
Karanix Firmanın kişisel verilerini kendi amaçları için kullanmaz, satmaz, reklam için işlemez ve yapay zekâ modellerini eğitmek için kullanmaz. Hizmeti iyileştirmek için yalnız kişiye bağlanmayan kullanım istatistikleri (ör. bir sayfanın açılma süresi) kullanılır.
4. Gizlilik
Kişisel verilere yalnız işi gereği erişmesi gereken Karanix çalışanları erişir; bu kişiler yazılı gizlilik taahhüdü altındadır. Destek amacıyla Firma hesabına erişim, Firmanın talebiyle ve kayıt altında yapılır.
5. Teknik ve idari tedbirler
Karanix, KVKK 12. maddesi ve Kurul'un yayımladığı rehberler doğrultusunda en az şu tedbirleri uygular:
- Her firmanın verisi veri katmanında ayrı tutulur; bu ayrım her sürümde otomatik testlerle denetlenir.
- Bağlantılar HTTPS ile şifrelidir; şifreler tuzlu tek yönlü özetle, entegrasyon anahtarları şifreli saklanır.
- Rol ve izin bazlı yetkilendirme; yönetici hesaplarında iki adımlı doğrulama; giriş denemesi sınırı ve oturum süresi.
- Önemli işlemler denetim kaydına yazılır; hata kayıtlarında kişisel veri ayıklanır ve 30 günde silinir.
- Veritabanı her gün şifreli olarak yedeklenir, yedekler sunucu dışında saklanır; geri yükleme düzenli olarak denenir.
- Kişisel veri içeren dosyalar herkese açık adreste tutulmaz; yalnız yetkili kullanıcıya sunulur.
- Biyometrik veri (parmak izi, yüz şablonu) platformda saklanmaz; giriş-çıkış cihazından yalnız kişi ve zaman bilgisi alınır.
6. Alt işleyenler
Firma, Karanix'in hizmeti vermek için aşağıdaki alt işleyenlerle çalışmasına genel olarak izin verir. Karanix her alt işleyene bu sözleşmedekinden az olmayan koruma yükümlülükleri yükler ve onların işlemlerinden Firmaya karşı sorumludur.
Karanix yeni bir alt işleyen eklemeden en az 30 gün önce Firmayı panel ve e-postayla bilgilendirir. Firma haklı bir gerekçeyle itiraz ederse ve taraflar çözüm bulamazsa Firma aboneliğini bedel cezası olmaksızın sona erdirebilir.
| Alt işleyen | Hizmet | Ülke |
|---|---|---|
| Sunucu barındırma sağlayıcısı (belirlenecek) | Sunucu ve veritabanı barındırma | Türkiye / AB |
| Cloudflare, Inc. | Alan adı (DNS) hizmeti | ABD |
| Yedek depolama sağlayıcısı (belirlenecek) | Şifreli yedeklerin saklanması | AB |
| E-posta gönderim sağlayıcısı (belirlenecek) | Bildirim e-postaları | Türkiye / AB |
| Netgsm İletişim ve Bilgi Teknolojileri A.Ş. | SMS ile bildirim ve doğrulama kodu | Türkiye |
| PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. | Kartla ödeme | Türkiye |
| Anthropic, PBC | Yapay zekâ özellikleri (yalnız kullanıldığında) | ABD |
| OpenAI, L.L.C. | Yapay zekâ özellikleri (yalnız kullanıldığında) | ABD |
| Google LLC | Yapay zekâ özellikleri (yalnız kullanıldığında) | ABD / AB |
7. Yurt dışına aktarım
Yurt dışında bulunan alt işleyenlere aktarım, KVKK 9. maddesindeki uygun güvencelerden biriyle (Kurul'un ilan ettiği standart sözleşme ya da ilgili kişinin açık rızası gibi) yapılır; standart sözleşme imzalandığında Kurul'a süresi içinde bildirilir.
Yapay zekâ özellikleri isteğe bağlıdır: veri yalnız bir kullanıcı bu özelliği çalıştırdığında ve yalnız o iş için gereken kadarıyla sağlayıcıya gönderilir. Özel nitelikli kişisel veri (sağlık, biyometri) yapay zekâ sağlayıcılarına gönderilmez. Firma yapay zekâ özelliklerini panelden kapatabilir.
Firma, web sitesindeki sohbet asistanı gibi ziyaretçinin verisinin yurt dışına aktarıldığı özellikler için gerekli aydınlatmayı yapmak ve açık rızayı almakla yükümlüdür; platform bunun için onay adımı sunar.
8. İlgili kişi başvuruları
İlgili kişilerin KVKK 11. maddesindeki başvurularını Firma yanıtlar. Platform, bir kişinin verisini bulma, dışa aktarma, düzeltme ve silme için araçlar sunar. Karanix'e doğrudan gelen bir başvuru, en geç 3 iş günü içinde Firmaya iletilir ve Firmanın talimatı olmadan yanıtlanmaz.
9. Veri ihlali bildirimi
Karanix, Firmanın kişisel verilerini etkileyen bir ihlali öğrendiğinde Firmayı gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirimde, o anda bilinen kadarıyla ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçları ve alınan önlemler yer alır. Firmanın Kurul'a ve ilgili kişilere bildirim yükümlülüğünü (72 saat) yerine getirebilmesi için gereken bilgi ve destek sağlanır.
10. Denetim
Firma, bu sözleşmeye uyulup uyulmadığını yılda bir kez, en az 30 gün önceden yazılı bildirimle denetleyebilir ya da bağımsız bir denetçiye denetletebilir. Denetim öncelikle yazılı bilgi ve belge istenerek yapılır; diğer firmaların verisinin gizliliği ve hizmetin sürekliliği gözetilir. Ek maliyetleri Firma karşılar.
11. Sözleşme bitince verinin iadesi ve silinmesi
Abonelik sona erdiğinde Firma 30 gün içinde verilerini panelden indirebilir. Bu sürenin sonunda kişisel veriler platformdan silinir; şifreli yedeklerdeki kopyalar en geç 90 gün içinde ortadan kalkar. Karanix, Firmanın talebi üzerine silme işleminin yapıldığını yazılı olarak bildirir.
12. Süre
Bu sözleşme Abonelik ve Hizmet Sözleşmesiyle birlikte yürürlüğe girer ve Karanix'in Firma adına kişisel veri işlemesi sona erene kadar yürürlükte kalır. Hüküm bulunmayan konularda Abonelik ve Hizmet Sözleşmesi uygulanır.