Veri işleme sözleşmesi

1. Taraflar ve sıfatlar

Bu sözleşme, Sağlam Defter'e abone olan işletme ("Veri Sorumlusu") ile hizmet sağlayıcı ("Veri İşleyen") arasında, Kullanım koşullarının eki olarak kurulur ve abonelikle birlikte yürürlüğe girer.

• Veri İşleyen — Unvan: Sağlam Defter
• Veri İşleyen — Adres: Meram, Konya, Türkiye
• Veri İşleyen — E-posta: info@saglamdefter.com
• Veri İşleyen — Telefon: +90 536 993 73 53
• Veri İşleyen — Web sitesi: saglamdefter.com

İşletme, uygulamaya girdiği müşteri, tedarikçi, çalışan ve diğer kişilere ait veriler bakımından KVKK md. 3 anlamında veri sorumlusudur; işleme amaç ve araçlarını o belirler. Sağlam Defter bu verileri yalnız işletmenin talimatıyla ve hizmeti sunmak için işler (KVKK md. 12/2). Sağlam Defter'in kendi müşteri ilişkisi kapsamındaki veriler (abonenin hesap bilgileri) bu sözleşmenin değil, Gizlilik metninin konusudur.

2. İşlemenin konusu, niteliği ve süresi

3. Talimata bağlılık

Veri İşleyen, kişisel verileri yalnız Veri Sorumlusunun belgelenmiş talimatı doğrultusunda işler. Uygulamanın kullanılması, ayarların yapılması ve destek taleplerinde verilen yazılı talimatlar belgelenmiş talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu gecikmeden bilgilendirir.

4. Gizlilik ve personel

Verilere yalnız hizmetin sunulması için gereken personel, gizlilik yükümlülüğü altında ve en az yetki ilkesiyle erişir. Destek ekibi işletme verisini yalnız işletmenin açıkça verdiği, süreli (en çok 60 dakika) destek izniyle görebilir; maaş ve IBAN gibi alanlar destek modunda maskelenir ve her erişim kayıt altına alınır.

5. Teknik ve idari tedbirler (KVKK md. 12/1)

• Aktarımda TLS şifreleme; veritabanında işletmeler arası satır seviyesi güvenlik (RLS) ile ayrım.
• Şifreler geri döndürülemez özetle saklanır; hassas anahtarlar AES-256-GCM ile şifrelidir.
• Rol, kapsam ve ince ayar tabanlı yetkilendirme; yönetim personeli için zorunlu iki aşamalı doğrulama ve IP kısıtı.
• İşlem günlüğü (kim, ne zaman, ne yaptı) ve güvenlik olayı kaydı.
• Günlük yedekleme, yedeklerin ayrı ortamda saklanması, düzenli geri yükleme denemesi.
• Güvenlik güncellemelerinin izlenmesi, bağımlılık ve gizli anahtar taraması.

6. Alt işleyenler

Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel izin verir. Yeni alt işleyen eklenmeden en az 30 gün önce uygulama içinde ve e-postayla bildirilir; Veri Sorumlusu haklı sebeple itiraz ederse aboneliğini ek bedel ödemeden sona erdirebilir. Veri İşleyen, alt işleyenlerine bu sözleşmedekinden düşük olmayan yükümlülükler yükler.

7. Yurt dışına aktarım

Yurt dışındaki alt işleyenlere aktarım KVKK md. 9 uyarınca uygun güvencelere (standart sözleşme ve Kurul'a bildirimi) dayanır. Güvence değişirse Veri Sorumlusu bilgilendirilir.

8. Kişisel veri ihlali

Veri İşleyen, işletmenin verilerini etkileyen bir ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusuna bildirir. Bildirim; ihlalin niteliğini, etkilenen veri ve kişi sayısını (biliniyorsa), olası sonuçlarını, alınan ve önerilen tedbirleri ve irtibat kişisini içerir. Veri Sorumlusu, Kurul'a ve ilgili kişilere bildirimi (KVKK md. 12/5; Kurul kararı uyarınca en geç 72 saat) kendisi yapar; Veri İşleyen bunun için gereken bilgi ve belgeyi sağlar.

9. İlgili kişi başvuruları, iade ve silme

İlgili kişi başvuruları Veri Sorumlusuna yapılır; Veri İşleyen'e gelen başvuru 5 iş günü içinde Veri Sorumlusuna iletilir. Uygulama; kayıtları görüntüleme, düzeltme, dışa aktarma (Excel/CSV/PDF) ve silme araçlarını sunar.

Abonelik sona erdiğinde hesap salt okunur olur ve veriler dışa aktarılabilir. Silme talep edilirse 30 günlük geri alma süresinden sonra veriler kalıcı olarak silinir; yedeklerden en geç 30 gün içinde döngüyle çıkar. Vergi mevzuatı gereği saklanması gereken belgeler (e-Fatura arşivi gibi) yasal süre boyunca yalnız bu amaçla saklanır.

10. Denetim ve bilgi

Veri İşleyen, bu sözleşmeye uyumu göstermek için gereken bilgiyi yılda bir kez, makul bir ön bildirimle ve yazılı soru listesi yoluyla sağlar. Yerinde denetim, masrafı Veri Sorumlusuna ait olmak ve gizlilik taahhüdü verilmek kaydıyla, ayrıca kararlaştırılır.

11. Sorumluluk ve süre

Tarafların sorumluluğu Kullanım koşullarındaki hükümlere tabidir; KVKK'dan doğan müteselsil sorumluluk saklıdır. Bu sözleşme abonelik süresince yürürlüktedir; gizlilik, silme ve ihlal yükümlülükleri sona erişten sonra da devam eder.