Veri İşleme Sözleşmesi (DPA)

1. Tanımlar

İşbu DPA kapsamında aşağıdaki terimler, karşılarında yazılı anlamları taşır:

2. Sözleşme Konusu ve Süresi

İşbu DPA, Controller ile Processor arasında akdedilen Ana Hizmet Sözleşmesi'nin (Kullanım Koşulları + Pro/Enterprise abonelik) eki niteliğindedir. DPA, Ana Sözleşme yürürlükte olduğu sürece geçerlidir. Sözleşmenin sona ermesi halinde Madde 11'deki veri iade/silme hükümleri uygulanır.

İşbu DPA, GDPR (Regulation EU 2016/679) Article 28 ve 6698 sayılı KVKK Madde 12 gerekliliklerini karşılayacak şekilde hazırlanmıştır.

3. İşleme Niteliği ve Amacı

4. Veri Kategorileri ve Veri Özneleri

4.1. Veri Özneleri

• Controller'ın çalışanları: Hesap kullanıcıları (admin, editor, viewer)
• Controller'ın B2B müşterileri: İletişime geçen şirket temsilcileri (Enterprise senaryolarda)
• Controller'ın web sitesi ziyaretçileri: Son kullanıcılar (anonim/pseudo-anonim consent verileri)

4.2. Veri Kategorileri

Özel Nitelikli Veri (Special Category Data): Erişilebilir Çerez, GDPR Art. 9 / KVKK Madde 6 kapsamındaki özel nitelikli verileri işlemez.

5. İşleyici Yükümlülükleri

Processor (Erişilebilir Çerez) aşağıdaki yükümlülüklere uymayı taahhüt eder:

1. Talimat: Kişisel verileri, yalnızca Controller'ın yazılı talimatları doğrultusunda işler. Yasal yükümlülük gerektirmediği sürece kendi inisiyatifiyle veri işlemez.
2. Gizlilik: Personeli ile yazılı gizlilik sözleşmeleri imzalar; veri işleme yetkisi sadece kimliği doğrulanmış ve gerekli kişilere verilir.
3. Güvenlik: Madde 7'de detaylandırılan teknik ve idari önlemleri uygular ve sürdürür.
4. Sub-processor şartı: Yeni sub-processor angajmanında Controller'ı önceden bilgilendirir (Madde 6).
5. Yardım: Controller'ın veri sahibi başvurularına yanıt vermesinde, ihlal bildirimlerinde, DPIA (Veri Koruma Etki Değerlendirmesi) yapmasında yardımcı olur.
6. Hesap verebilirlik: İşleme faaliyetlerini Article 30 kaydında tutar ve Controller'a denetim sırasında sunar.
7. İade/Silme: Sözleşme sona erdiğinde verileri iade eder veya siler (Madde 11).

6. Sub-processor Listesi

Controller, aşağıdaki sub-processor'lara genel ön onayını vermektedir. Liste değişikliklerinde Controller en az 30 gün önceden bilgilendirilir; itiraz hakkı saklıdır.

Güncel sub-processor listesi her zaman bu sayfada yayınlanır. Bildirim almak için destek@erisilebilircerez.com adresine e-posta atarak abone olabilirsiniz.

7. Teknik ve İdari Güvenlik Önlemleri

Processor, GDPR Article 32 ve KVKK Madde 12 uyarınca aşağıdaki güvenlik önlemlerini uygulamayı taahhüt eder:

7.1. Şifreleme

• At rest (durağan veri): AES-256 ile şifreleme
• In transit (hareket halindeki veri): TLS 1.3 (TLS 1.2 minimum); HTTP zorunlu olarak HTTPS'ye yönlendirilir (HSTS)
• Şifre yönetimi: Bcrypt cost 12 (kullanıcı parolaları); API anahtarları hash + masking

7.2. Erişim Kontrolü

• Rol bazlı yetkilendirme (RBAC): admin / editor / viewer
• İşletme personeli için 2FA zorunlu (TOTP + donanım token opsiyonel)
• Principle of Least Privilege (PoLP), erişim politikaları

7.3. Audit ve Loglama

• Tüm admin işlemleri AuditLog tablosunda 1 yıl saklanır (kim, ne zaman, ne yaptı)
• API kullanım kayıtları (90 gün retention)
• Anomali tespiti (WAF + özel kurallar)

7.4. Yedekleme ve Felaket Kurtarma

• Düzenli (en az gün sonu) otomatik yedekleme; 30 gün retention
• Belgelenmiş felaket kurtarma planı

7.5. Personel Güvenliği

• İşe başlama öncesi NDA imzalanır
• Yıllık KVKK/GDPR farkındalık eğitimi

8. Veri Sahibi Başvurularına Destek

Controller'ın veri sahiplerinden gelen erişim, düzeltme, silme, taşınabilirlik, itiraz taleplerine yanıt verebilmesi için Processor:

• Hesap panelinden veri export (XLSX/CSV/PDF) imkanı sunar
• Tek bir kullanıcının verisini silme/anonim hale getirme API'si sağlar
• Talep üzerine teknik destek ekibi 5 iş günü içinde yardımcı olur (Pro+); Enterprise için 2 iş günü

9. Veri İhlali Bildirimi

Processor, kişisel veri ihlali tespit etmesi halinde:

1. İhlali tespit ettiği andan itibaren 72 saat içinde Controller'a yazılı bildirim yapar (e-posta + DPA panelden bildirim).
2. Bildirim aşağıdaki bilgileri içerir:
   • İhlalin niteliği, etkilenen veri kategorileri ve veri sahibi yaklaşık sayısı
   • İhlalin olası sonuçları
   • Alınan/önerilen önlemler
   • İrtibat noktası (DPO)
3. Controller'ın Veri Koruma Otoritesi'ne (KVKK Kurulu / Lead Supervisory Authority) bildirim yapmasına teknik destek sağlar.

10. Audit (Denetim) Hakkı

Controller, makul ölçüde ve önceden bildirim yaparak (en az 30 gün), Processor'ın bu DPA'ya uygunluğunu denetleme hakkına sahiptir:

• On-site audit: Enterprise müşteriler için, yılda 1 kez, 2 iş günü, makul saatlerde, Processor merkez ofisinde gerçekleştirilebilir. Maliyetler Controller'a aittir.
• Üçüncü taraf denetçi: Bağımsız denetçilerle de yapılabilir; NDA imzalanması şartıyla.

11. Veri İade ve Silme

Ana Sözleşme'nin sona ermesi halinde Processor, Controller'ın tercihi doğrultusunda:

1. Veri İadesi: Sözleşme sonundan itibaren 30 gün içinde tüm kişisel verileri yapılandırılmış makine-okunabilir formatta (JSON/CSV/XLSX) Controller'a iade eder.
2. Veri Silme: İade sonrası veya iade istenmiyorsa, sözleşme sonundan itibaren 30 gün içinde tüm kişisel verileri kalıcı olarak siler (yedeklerden dahil).
3. Yasal Saklama İstisnası: Vergi/Ticaret kanunları gereği saklanması zorunlu olan fatura ve mali kayıtlar 10 yıl boyunca saklanır.

Silme işlemi tamamlandığında Controller'a yazılı imha sertifikası verilir.

12. Yurt Dışı Veri Aktarımı ve SCC

Veriler kural olarak Türkiye sınırları içinde, yerli veri merkezinde saklandığından yurt dışı veri aktarımı yapılmaz. AB veri transferi gerektiren özel durumlarda, Avrupa Komisyonu'nun 2021/914 sayılı Kararı ile onaylanan Standart Sözleşme Hükümleri (SCC), Modül 2 (Controller-to-Processor) referans alınır.

Türkiye'de mukim Controller'lar için, yurt dışı aktarım gerekmesi halinde Kişisel Verileri Koruma Kurulu'nun ilgili kararları uyarınca yayınlanan Taahhütname formatı veya KVKK Madde 9/2-b kapsamında akdedilen yeterli korumayı sağlayan yazılı taahhüt esasına dayanılır.

SCC tam metnine erişim: eur-lex.europa.eu/eli/dec_impl/2021/914

13. DPA İmzalamak İçin İletişim

İmzalı DPA almak veya özel hükümler eklemek istiyorsanız, aşağıdaki kanallardan bize ulaşabilirsiniz:

Standart DPA ve SCC Modül 2 (PDF), sözleşme aşamasında temin edilecektir.

İlgili sayfalar: Gizlilik Politikası · KVKK Aydınlatma · Kullanım Koşulları

Sorularınız için: destek@erisilebilircerez.com  ·  Bu sayfa son olarak 31 Mayıs 2026 tarihinde güncellenmiştir.