KVKK Veri İşleme Ek Protokolü

1. Taraflar ve roller

Veri sorumlusu, Servis Takip çalışma alanını oluşturan işletmedir. Veri işleyen Emirhan Çetinkaya tarafından sunulan Servis Takip hizmetidir.

İşletme kendi müşterileri, personeli ve servis operasyonları için işleme amaçlarını belirler. Servis Takip bu verileri yalnız hizmeti sunmak ve belgelenmiş talimatları uygulamak için işler.

2. İşlemenin kapsamı

İşleme, üyelik süresince ve sona erme sonrasındaki geri alma/silme döneminde devam eder.

Özel nitelikli kişisel veri hizmetin amacı değildir; böyle bir ihtiyaç varsa işletme önceden hukuki şartları ve ek güvenlik tedbirlerini sağlamalıdır.

• Müşteri kimlik ve iletişim bilgileri.
• Cihaz, marka, model ve seri numarası.
• Arıza, servis durumu ve teknik notlar.
• Plan, sorumlu personel ve ziyaret bilgileri.
• Fiyatlandırma, borç ve tahsilat kayıtları.

3. İşletmenin yükümlülükleri

İşletme aşağıdaki veri sorumlusu yükümlülüklerini yerine getirir:

• Geçerli hukuki sebebi belirlemek ve ilgili kişiyi aydınlatmak.
• Yalnız amaçla bağlantılı ve ölçülü veri girmek.
• Personel rollerini ve erişimleri yönetmek.
• İlgili kişi başvurularını değerlendirmek.
• Saklama sürelerini belirlemek ve süresi dolan kayıtları sildirmek.

4. Servis Takip'in yükümlülükleri

Servis Takip veri işleyen olarak:

• Verileri yalnız sözleşme ve talimat kapsamında işler.
• Yetkili kişilerin gizlilik yükümlülüğünü sağlar.
• Uygun teknik ve idari güvenlik tedbirlerini uygular.
• İlgili kişi taleplerinde makul teknik destek verir.
• Güvenlik ihlalini gereksiz gecikme olmadan işletmeye bildirir.
• Hizmet sonunda verileri politika ve kanuni zorunluluklara göre siler veya erişimi sınırlar.

5. Güvenlik tedbirleri

Riskle orantılı başlıca tedbirler şunlardır:

• TLS ile veri aktarımı ve production secret yönetimi.
• Parola ve işlem tokenlarının güçlü biçimde hashlenmesi.
• HTTP-only ve secure oturum çerezi.
• Tenant ve rol bazlı erişim kontrolü.
• Kimlik, istemci ve global rate limit.
• Kritik işlemler için bütünlüğü korunan audit kayıtları.

6. Alt işleyenler

Hizmetin işletilmesi için aşağıdaki altyapı kategorileri kullanılabilir.

Esaslı değişiklikler kullanıcıya duyurulur; yurt dışı aktarım içeren hizmetlerde KVKK m.9 koşulları ayrıca uygulanır.

• VDS, veritabanı, Redis ve yedekleme altyapısı.
• Doğrulama, reset ve davet e-postaları için alan adı SMTP sunucusu.
• İsteğe bağlı adres araması için Google Maps/Places ve harita içerik altyapısı.
• Harita sayfasındaki ağ/güvenlik hizmetleri için Cloudflare.

7. Yurt dışına aktarım

İşletme verileri KVKK m.9'a uygun bir aktarım şartı olmadan yurt dışına aktarılmaz. Uygun güvence gerekiyorsa tarafların rollerine uygun sözleşme ve bildirim süreçleri uygulanır.

İstisnai açık rıza kalıcı ve genel aktarım yöntemi olarak kullanılmaz. Harita entegrasyonu bu kurala uygun teknik ve hukuki tedbirlerle işletilmelidir.

8. İlgili kişi talepleri

Talep doğrudan Servis Takip'e ulaşırsa, mevzuatın izin verdiği ölçüde veri sorumlusu işletmeye yönlendirilir.

Servis Takip erişim, düzeltme, dışa aktarma, kısıtlama ve silme talimatlarına makul teknik destek sağlar. Hukuka aykırı veya sistem güvenliğini ihlal eden talimat uygulanmaz.

9. Sona erme ve silme

Kapanan şirket verisi 30 gün geri alınabilir tutulur; süre sonunda aktif sistemlerden silinir. Kanuni saklama zorunluluğu olan kayıtların erişimi ilgili amaçla sınırlandırılır.

Yedeklerdeki kopyalar kontrollü yedek çevrimi içinde kullanım dışına çıkarılır ve yalnız felaket kurtarma amacıyla korunur.

10. Öncelik ve sorumluluk

Tarafların KVKK'dan doğan kendi sorumlulukları devam eder. Bu protokol ile Kullanım Koşulları çelişirse kişisel veri işleme bakımından bu protokol, her durumda emredici mevzuat hükümleri uygulanır.