Veri İşleme Sözleşmesi

Taraflar ve kapsam

Veri Sorumlusu, Teklif Atölyesi hesabını açan ve uygulamaya kendi müşterilerinin, tedarikçilerinin ve çalışanlarının kişisel verilerini giren firmadır. Veri İşleyen, bu verileri yalnız hizmeti sunmak için ve Veri Sorumlusu'nun talimatıyla işleyen Teklif Atölyesi'dir.

Teklif Atölyesi'nin kendi amaçları için işlediği veriler (hesap sahiplerinin giriş bilgileri, faturalama, destek yazışmaları) bu sözleşmenin değil, Gizlilik politikasının konusudur; bu verilerde Teklif Atölyesi veri sorumlusudur.

İşlemenin konusu, niteliği ve süresi

• Konu: teklif, sipariş, üretim, sevkiyat, tahsilat ve müşteri iletişimi süreçlerinin yürütülmesi; bu süreçlerde müşteri portalı, bildirimler ve belge üretimi.
• Nitelik: kayıt, saklama, düzenleme, görüntüleme, iletme (firmanın seçtiği kanallarla: e-posta, WhatsApp, SMS), yedekleme ve silme.
• Süre: abonelik boyunca; hesap kapatıldığında aşağıdaki "Sözleşmenin sona ermesi" maddesine göre.

Kişisel veri kategorileri ve ilgili kişiler

• İlgili kişiler: Veri Sorumlusu'nun müşterileri ve müşteri yetkilileri, tedarikçileri, çalışanları ve uygulama kullanıcıları.
• Veri kategorileri: kimlik (ad soyad, unvan), iletişim (telefon, e-posta, adres), müşteri işlem (teklif, sipariş, ödeme, cari hesap), vergi (vergi dairesi ve numarası), yüklenen dosyalar ve mesaj içerikleri, işlem güvenliği (IP adresi, onay kayıtları).
• Özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) işlenmesi amaçlanmamıştır; Veri Sorumlusu bu tür verileri uygulamaya girmemelidir.

Veri Sorumlusu'nun talimatları

Veri İşleyen kişisel verileri yalnız Veri Sorumlusu'nun belgelenmiş talimatıyla işler. Uygulamadaki ayarlar ve Veri Sorumlusu kullanıcılarının yaptığı işlemler (ör. teklif gönderme, bir entegrasyonu bağlama) talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu gecikmeden bilgilendirir.

Veri İşleyen verileri kendi amaçları için kullanmaz, satmaz, reklam için işlemez ve başka firmaların verileriyle birleştirmez.

Gizlilik

Verilere erişen çalışanlar ve yükleniciler yazılı gizlilik yükümlülüğü altındadır; erişim yalnız destek, bakım ve güvenlik için gereken kişilerle ve gereken ölçüyle sınırlıdır.

Güvenlik önlemleri (KVKK md. 12)

• Kiracı yalıtımı: her sorgu firmaya göre süzülür; bir firma başka bir firmanın kaydına erişemez.
• Aktarım şifrelemesi (TLS), şifrelerin Argon2 ile özetlenmesi ve entegrasyon anahtarlarının şifreli saklanması.
• Rol ve yetki matrisi, maliyet ve marj bilgisinin yetkisiz kullanıcılardan sunucuda gizlenmesi, iki adımlı giriş ve hassas işlemlerde yeniden kimlik doğrulama.
• Kritik işlemler için denetim kaydı; günlük şifreli yedek ve düzenli geri yükleme tatbikatı.
• Güvenlik güncellemelerinin düzenli uygulanması ve erişim kayıtlarının izlenmesi.

Alt işleyenler

Veri Sorumlusu, Alt işleyenler sayfasında listelenen hizmet sağlayıcıların kullanılmasına genel yetki verir. Veri İşleyen, alt işleyenlerle bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler içeren sözleşmeler yapar ve onların işlemelerinden Veri Sorumlusu'na karşı sorumludur.

Yeni bir alt işleyen eklenmeden ya da biri değiştirilmeden en az 30 gün önce Veri Sorumlusu e-postayla ve uygulama içinden bilgilendirilir. Veri Sorumlusu makul gerekçeyle itiraz edebilir; uzlaşılamazsa aboneliği ek ücret ödemeden sona erdirebilir.

Firmanın kendi bağladığı hizmetler (kendi yapay zekâ anahtarı, WhatsApp Business hesabı, e-Fatura sağlayıcısı, ödeme hesabı, e-posta sunucusu) Veri Sorumlusu'nun kendi sözleşmesine tabidir; bu hizmetlere veri Veri Sorumlusu'nun talimatıyla iletilir.

Yurt dışına aktarım

Veriler Almanya'daki (AB) sunucularda saklanır. Yurt dışına aktarım, KVKK md. 9'da öngörülen uygun güvencelerle (Kurul'un yayımladığı standart sözleşmeler ve gerekli bildirimler) ve GDPR'nin standart sözleşme hükümleriyle yapılır. Hangi hizmetin hangi ülkede işlediği Alt işleyenler sayfasındadır.

İlgili kişilerin başvuruları

Veri İşleyen, ilgili kişilerin KVKK md. 11 ve GDPR md. 15–22 kapsamındaki başvurularını yanıtlamasında Veri Sorumlusu'na makul ölçüde yardım eder: kayıtları düzeltme, dışa aktarma (JSON/CSV) ve silme araçları uygulamada hazırdır. Doğrudan Veri İşleyen'e gelen başvurular gecikmeden Veri Sorumlusu'na iletilir.

Veri ihlali bildirimi

Veri İşleyen, Veri Sorumlusu'nun verilerini etkileyen bir ihlali öğrendikten sonra gecikmeksizin ve en geç 48 saat içinde Veri Sorumlusu'nu bilgilendirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçlar ve alınan önlemler yer alır. Veri Sorumlusu'nun Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.

Denetim ve bilgi

Veri İşleyen, bu sözleşmeye uyumu göstermek için gereken bilgileri Veri Sorumlusu'na sağlar. Makul bir önceden bildirimle, yılda en fazla bir kez ve gizlilik yükümlülüğü altında yapılacak denetimlere katkıda bulunur; denetimin maliyeti Veri Sorumlusu'na aittir. Kurul ya da yetkili makamların denetimleri bu sınıra tabi değildir.

Sözleşmenin sona ermesi

Abonelik sona erdiğinde ya da hesap kapatıldığında Veri Sorumlusu verilerini uygulamadan dışa aktarabilir. Hesap kapatıldıktan sonra veriler en geç 30 gün içinde silinir ya da anonim hale getirilir; yedeklerde en fazla 30 gün daha kalabilir. Yasal saklama yükümlülüğü olan kayıtlar (fatura vb.) öngörülen süre boyunca saklanır.

Sorumluluk, yürürlük ve değişiklikler

Sorumluluk sınırları ve uygulanacak hukuk bakımından Kullanım koşulları geçerlidir. Bu sözleşme kabul edildiği anda yürürlüğe girer ve abonelik süresince geçerlidir. Sözleşmede değişiklik yapıldığında sürüm numarası güncellenir ve firma sahibinden uygulamada yeniden onay istenir. Bu metnin sürümü: 2026-10-01.