Veri İşleme Sözleşmesi

Sürüm 1.0 · Yürürlük 06.10.2026

1. Taraflar ve amaç

Bu sözleşme, Abonelik ve Hizmet Sözleşmesinin eki ve ayrılmaz parçasıdır. Müşteri ("Veri Sorumlusu") ile İstasyon Mah. Sungurbey Cad. No: 51 Saadet Apt. Z01, Merkez / Kırklareli adresinde mukim Orellian Yazılım ve Bilgi Teknolojileri Üretim Pazarlama İthalat İhracat Sanayi ve Ticaret Limited Şirketi ("Veri İşleyen") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12/2 uyarınca kişisel verilerin Veri Sorumlusu adına işlenmesinin şartlarını düzenler.

2. İşlemenin konusu ve süresi

• Konu: Ekipsis hizmetinin sunulması: personel devam kontrolü, izin, özlük, bordro, eğitim, iletişim, araç ve diğer aboneliğe dahil modüller.
• Süre: Abonelik süresi ile sözleşme sona erdikten sonraki 30 günlük dışa aktarım süresi.
• Nitelik: Kayıt, saklama, düzenleme, hesaplama, görüntüleme, aktarım (yalnız Veri Sorumlusunun talimatıyla), arşivleme ve imha.

3. İlgili kişi grupları ve veri kategorileri

İlgili kişiler: Veri Sorumlusunun çalışanları, stajyerleri, yöneticileri ve hizmete eklediği diğer kullanıcılar.

Veri kategorileri (yalnız Veri Sorumlusunun kullandığı modüllerde):

• Kimlik: ad, soyad, T.C. kimlik numarası (bordro modülünde şifreli), doğum tarihi
• İletişim: e-posta, telefon, adres
• Özlük: sicil no, departman, pozisyon, işe giriş ve çıkış tarihi, yüklenen özlük belgeleri
• Devam kontrolü: giriş-çıkış zamanları, giriş-çıkış anındaki konum ve bağlı Wi-Fi bilgisi, cihaz bilgisi
• Finans: ücret, bordro kalemleri, IBAN, masraf kayıtları
• Mesleki deneyim: eğitim ve sertifika kayıtları
• Görsel: profil fotoğrafı
• İletişim içerikleri: şirket içi sohbet mesajları, anket yanıtları, şikâyet ve öneriler
• İşlem güvenliği: oturum, IP adresi, işlem kayıtları
• Özel nitelikli veriler: yalnız Veri Sorumlusu yüklerse sağlık raporu ve adli sicil kaydı gibi belgeler. Bu belgeler ayrı bir yetkiyle korunur.

4. Veri İşleyenin yükümlülükleri

• Kişisel verileri yalnız Veri Sorumlusunun belgelenmiş talimatlarıyla ve hizmeti sunmak için işler. Hizmetin ayarları ve kullanıcıların yaptığı işlemler talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu bilgilendirir.
• Verileri kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla işlemez.
• Verilere erişen personelini gizlilik yükümlülüğü altına alır ve erişimi görev gereği ile sınırlar.
• Veri Sorumlusunun ilgili kişi başvurularını (KVKK m.11) yanıtlamasına; veri dışa aktarımı, düzeltme ve silme gibi araçlarla destek olur.
• Kişisel Verileri Koruma Kurulu ve diğer yetkili makamların denetimlerinde, Veri Sorumlusuna makul ölçüde bilgi ve belge sağlar.

5. Teknik ve idari tedbirler

Veri İşleyen, KVKK m.12/1 kapsamında en az aşağıdaki tedbirleri uygular:

• Tarayıcı, mobil uygulama ve sunucu arasındaki tüm trafik TLS ile şifrelenir.
• Her şirketin verisi veritabanı düzeyinde satır güvenliği (row-level security) ile diğer şirketlerden ayrılır.
• Yüklenen belgeler ve dosyalar şirket başına türetilmiş anahtarlarla AES-256-GCM ile şifreli saklanır.
• Parolalar geri döndürülemez biçimde (scrypt) saklanır. Oturumlar kısa ömürlü erişim anahtarlarıyla yönetilir.
• Rol ve yetki tabanlı erişim uygulanır. Özel nitelikli belgeler ayrı yetki gerektirir.
• Önemli işlemler değiştirilemez denetim kayıtlarına yazılır. Bordro ve onay belgeleri zaman damgasıyla mühürlenir.
• Veriler günlük yedeklenir, yedekler 30 gün saklanır.
• Yazılım güncellemeleri ve güvenlik yamaları düzenli uygulanır. Sunucuya yönetim erişimi anahtar tabanlı ve sınırlıdır.

6. Alt işleyenler

Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel izin verir:

• Natro (Türkiye): Sunucu barındırma. Veritabanı, dosyalar ve yedekler Türkiye'deki sunucuda tutulur.
• Expo (ABD), Google Firebase Cloud Messaging (ABD) ve Apple Push Notification Service (ABD): Mobil anlık bildirimlerin cihaza iletilmesi. Bu servislere yalnız cihaz bildirim anahtarı ile bildirim başlığı ve kısa metni gider. Aktarım, yalnız açık rıza veren çalışanlar için yapılır. Rıza vermeyen çalışana mobil anlık bildirim gönderilmez; bildirimleri uygulama ve web içinde görür.
• E-posta gönderim servisi: Parola, bildirim ve hatırlatma e-postalarının iletilmesi. Kullanılan servis hizmet içinde ve info@ekipsis.com adresinden yapılacak talep üzerine bildirilir.

Veri İşleyen, yeni bir alt işleyen eklemeden veya mevcut olanı değiştirmeden en az 30 gün önce Veri Sorumlusunu bilgilendirir. Veri Sorumlusu haklı sebeple itiraz ederse ve uzlaşılamazsa, aboneliğini ek bedel ödemeden sona erdirebilir. Veri İşleyen, alt işleyenlerin bu sözleşmedeki yükümlülüklere eşdeğer yükümlülüklere tabi olmasını sağlar.

7. Yurt dışına aktarım

Kişisel veriler Türkiye'de saklanır. Yurt dışına aktarım yalnız Madde 6'da belirtilen bildirim servisleri için ve KVKK m.9'a uygun şekilde yapılır. Veri Sorumlusu, bu aktarım için çalışanlarından açık rıza alınmasına hizmet içindeki açık rıza akışıyla aracılık edilmesini kabul eder. Rıza geri alındığında aktarım durur.

8. Veri ihlali

Veri İşleyen, kişisel verilerin kanuna aykırı şekilde başkalarınca elde edildiğini öğrendiğinde Veri Sorumlusunu gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirimde olayın niteliği, etkilenen veri ve kişi kategorileri, muhtemel sonuçları ve alınan tedbirler yer alır. Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusuna aittir. Veri İşleyen bu bildirimler için gerekli bilgiyi sağlar.

9. Saklama, iade ve imha

• Veriler, Veri Sorumlusunun hizmet içinde belirlediği saklama süreleri boyunca tutulur. Örneğin sohbet saklama ve imha ayarları Veri Sorumlusunca belirlenir.
• Sözleşme sona erdiğinde Veri Sorumlusu 30 gün içinde verilerini dışa aktarabilir. Bu süre sonunda Veri İşleyen canlı sistemdeki verileri siler. Yedeklerdeki kopyalar 30 günlük yedek döngüsü sonunda imha olur. Talep halinde imha tutanağı düzenlenir.
• Kanunen saklanması zorunlu kayıtlar bu hükmün dışındadır.

10. Denetim

Veri Sorumlusu, yılda bir kez ve en az 30 gün önceden bildirmek kaydıyla bu sözleşmeye uyumu denetleyebilir veya bağımsız bir denetçiye denetletebilir. Denetim öncelikle yazılı soru listesi ve belge incelemesiyle yapılır, hizmetin işleyişini ve diğer müşterilerin verilerini etkileyemez. Denetimin maliyeti Veri Sorumlusuna aittir.

11. Sorumluluk

Taraflar, KVKK'dan doğan yükümlülüklerini ihlal etmelerinden kaynaklanan zararlardan kendi kusurları oranında sorumludur. Abonelik ve Hizmet Sözleşmesindeki sorumluluk sınırları, kast ve ağır kusur dışındaki haller için bu sözleşmeye de uygulanır.

12. Yürürlük

Bu sözleşme, Veri Sorumlusu adına yetkili kişinin hizmet içinde elektronik onay vermesiyle yürürlüğe girer ve Abonelik ve Hizmet Sözleşmesi süresince geçerlidir. Veri ihlali, gizlilik ve imha hükümleri sözleşme sona erdikten sonra da uygulanır.