Veri İşleme Sözleşmesi (AVV)

Bu sayfa, Bildir365 hizmetini kullanan işletmeler ile hizmet sağlayıcı arasındaki kişisel veri işleme ilişkisini düzenleyen standart sözleşmeyi içerir. Sözleşme; AB Genel Veri Koruma Tüzüğü (“GDPR”) m. 28 ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 12 hükümleri çerçevesinde hazırlanmıştır.

Taraflar ve yürürlük

Bu Veri İşleme Sözleşmesi (“Sözleşme”) aşağıdaki taraflar arasında kurulur:

• Müşteri (veri sorumlusu): Bildir365’te hesap oluştururken beyan ettiği bilgilerle (işletme adı, yetkili adı, e-posta ve isteğe bağlı olarak telefon) belirlenen işletme.
• Sağlayıcı (veri işleyen):
  Bekir UĞUR (ticari ad: Konsol Dev)
  Hürriyet Mahallesi, Numan Durak Aksoy Bulvarı No: 158/B, Kat: 2, No: 11, 27900 Oğuzeli / Gaziantep, Türkiye
  E-posta: info@bildir365.com

Sözleşmenin kurulması ve yürürlüğü. Sözleşme, Müşterinin Bildir365’te hesap oluşturması veya Hizmeti kullanmaya başlamasıyla elektronik ortamda kurulur ve yürürlüğe girer; ayrıca imza gerekmez. Hesabı oluşturan kişi, Müşteri adına bu Sözleşmeyi kabul etmeye yetkili olduğunu beyan eder.

Sözleşme, Kullanım Koşulları’nın ayrılmaz bir parçasıdır. Müşteri, Sözleşmenin karşılıklı imzalı bir nüshasını talep etmek için info@bildir365.com adresine yazabilir.

KVKK. KVKK’ya tabi Müşteriler bakımından bu Sözleşme, aynı zamanda KVKK m. 12 kapsamındaki veri güvenliği yükümlülüklerine ilişkin olarak veri sorumlusu ile veri işleyen arasındaki düzenleme niteliğindedir.

Ekler. Sözleşmenin ayrılmaz parçaları: Ek-1 (İşlemenin ayrıntıları), Ek-2 (Teknik ve organizasyonel önlemler) ve Ek-3 (Alt işleyenler).

§ 1 Konu ve süre

1.1 Konu. Sağlayıcı, Müşterinin Bildir365 hizmetini (“Hizmet”) kullanması çerçevesinde, Müşteri adına ve Müşterinin talimatları doğrultusunda kişisel veri işler. Hizmet; QR kodla geri bildirim toplama ve yönetme hizmetidir (web sitesi, web paneli ve iOS uygulaması).

1.2 Kapsam. Bu Sözleşme yalnızca Sağlayıcının Müşteri adına işlediği verileri kapsar:

• Müşterinin geri bildirim formları üzerinden toplanan veriler;
• Müşterinin personeline ait hesap verileri (ekip yönetimi ve bildirimlerin iletilmesi amacıyla).

Sağlayıcının kendi sorumluluğunda yürüttüğü işlemler — web sitesi ziyaretçileri, iletişim formu, hesabın kaydı, kimlik doğrulama ve abonelik yönetimi, destek talepleri ile güvenlik ve kötüye kullanımın önlenmesi (bkz. § 2.4) — bu Sözleşmenin kapsamı dışındadır ve Gizlilik Politikası’nda açıklanır.

1.3 Süre. Sözleşme, § 9’da belirtildiği şekilde, Sağlayıcının Müşteri adına kişisel veri işlediği sürece geçerlidir.

1.4 Terimler. Bu Sözleşmede geçen “kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi” ve “kişisel veri ihlali” gibi terimler, GDPR m. 4 ve KVKK m. 3’te tanımlanan anlamlara sahiptir.

§ 2 İşlemenin niteliği ve amacı, veri türleri, ilgili kişiler

2.1 Nitelik ve amaç. Sağlayıcı, kişisel verileri Müşterinin tanımladığı formlar aracılığıyla toplar, kaydeder, düzenler ve saklar; Müşterinin yetkili kullanıcılarına panel, uygulama, e-posta ve push bildirimi yoluyla iletir ve gösterir; formlara girilen uygunsuz sözcükleri otomatik olarak maskeler; gerektiğinde siler. Amaç; geri bildirimlerin Müşteriye iletilmesi ve Müşteri tarafından yönetilmesi, Müşterinin ekibinin yönetimi, bildirimlerin gönderilmesi ve Hizmetin güvenliğinin sağlanmasıdır.

2.2 Veri türleri ve ilgili kişiler. İşlenen kişisel veri kategorileri ve ilgili kişi kategorileri Ek-1’de ayrıntılı olarak sayılmıştır. Özetle: geri bildirim gönderenlerin Müşterinin formunda istenen bilgileri, form yanıtları, ekleri ve teknik verileri (IP adresi, tarayıcı bilgisi) ile Müşterinin personelinin hesap verileri.

2.3 Özel nitelikli veriler. Hizmet, GDPR m. 9 ve KVKK m. 6 kapsamındaki özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır; Sağlayıcı bu tür verileri bilerek toplamaz. Müşterinin bu konudaki yükümlülükleri § 6.3’te düzenlenmiştir.

2.4 Kötüye kullanımın önlenmesi. Sağlayıcı, Hizmetin kötüye kullanımını önlemek amacıyla (hız sınırlama, IP ve tarayıcı bilgisine dayalı engelleme, içerik şikâyetlerinin incelenmesi) gerekli ölçüde kendi meşru menfaati doğrultusunda ayrıca veri sorumlusu olarak hareket eder; bu işlemler Gizlilik Politikası’nda açıklanır. Bunun dışında Sağlayıcı, Müşteri adına işlediği kişisel verileri kendi amaçları için işlemez, satmaz, pazarlama amacıyla paylaşmaz ve bunlardan profil çıkarmaz.

§ 3 Talimatlar

3.1 Talimatlar. Sağlayıcı, kişisel verileri yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler; bu, üçüncü ülkelere aktarım için de geçerlidir (bkz. § 7). Talimatlar şunlardır:

• bu Sözleşme ve Kullanım Koşulları;
• Müşterinin Hizmeti yapılandırması ve kullanması (ör. formların ve alanların tanımlanması, kullanıcı ve yetki yönetimi, bildirim ayarları, geri bildirimlerin silinmesi, hesabın silinmesi);
• Müşterinin info@bildir365.com adresine e-postayla ilettiği ek yazılı talimatlar.

3.2 Doğrulama ve uygulanabilirlik. Sağlayıcı, e-postayla gelen bir talimatın Müşteriden geldiğini makul yollarla doğrulayabilir. Hizmetin işlevlerini aşan talimatları makul ölçüde yerine getirmeye çalışır; yerine getiremiyorsa Müşteriyi gecikmeksizin bilgilendirir.

3.3 Hukuka aykırı talimat. Sağlayıcı, bir talimatın GDPR, KVKK veya diğer veri koruma hükümlerine aykırı olduğu kanaatindeyse Müşteriyi gecikmeksizin bilgilendirir ve talimat Müşteri tarafından teyit edilene veya değiştirilene kadar uygulanmasını askıya alabilir. Sağlayıcının talimatların hukuka uygunluğunu denetleme veya hukuki danışmanlık verme yükümlülüğü yoktur.

3.4 Yasal zorunluluk. Sağlayıcı, tabi olduğu hukuktan doğan bir yükümlülük nedeniyle talimatlardan farklı biçimde işlem yapmak zorundaysa, yasa bunu yasaklamıyorsa Müşteriyi işlemeden önce bilgilendirir.

§ 4 Sağlayıcının yükümlülükleri

4.1 Gizlilik. Sağlayıcı, kişisel verilere erişimi Hizmeti işletmek için gerekli kişilerle sınırlar; şu an bu kişi yalnızca Sağlayıcının kendisidir. Kişisel verilere erişebilen herkes gizlilik yükümlülüğü altındadır; bu yükümlülük, işleme sona erdikten sonra da devam eder (GDPR m. 28/3(b); KVKK m. 12/4). Sağlayıcı, ileride yetkilendireceği kişileri de aynı yükümlülük altına alır.

4.2 Teknik ve organizasyonel önlemler. Sağlayıcı, GDPR m. 32 ve KVKK m. 12/1 uyarınca, riske uygun bir güvenlik düzeyi sağlamak için Ek-2’de açıklanan teknik ve organizasyonel önlemleri uygular. Sağlayıcı bu önlemleri teknik gelişmelere göre güncelleyebilir; ancak koruma düzeyini önemli ölçüde düşürmez.

4.3 İlgili kişi talepleri. İlgili kişilerin haklarına ilişkin taleplere (GDPR m. 12–22; KVKK m. 11) yanıt vermek Müşterinin sorumluluğundadır. Sağlayıcı, işlemenin niteliğini dikkate alarak ve makul ölçüde, Müşteriye bu konuda yardımcı olur. Bir ilgili kişi doğrudan Sağlayıcıya başvurur ve talebin Müşteriye ait verilerle ilgili olduğu anlaşılırsa, Sağlayıcı talebi gecikmeksizin Müşteriye iletir ve Müşterinin talimatı olmadan esasa ilişkin yanıt vermez; başvurucuyu Müşteriye yönlendirebilir. Müşteri, Hizmetin panel ve uygulama işlevleri üzerinden verilerine erişebilir ve geri bildirimleri silebilir; bu yeterli olmadığında Müşterinin e-postayla yapacağı talep üzerine Sağlayıcı makul süre içinde yardımcı olur.

4.4 GDPR m. 32–36 kapsamında yardım. Sağlayıcı, işlemenin niteliğini ve kendisinde bulunan bilgileri dikkate alarak, Müşterinin GDPR m. 32–36’dan doğan yükümlülüklerini (işleme güvenliği, ihlal bildirimleri, veri koruma etki değerlendirmesi ve ön istişare) yerine getirmesine makul ölçüde yardımcı olur ve bunun için gerekli bilgileri sağlar.

4.5 Kişisel veri ihlali. Sağlayıcı, Müşteri adına işlediği kişisel verilere ilişkin bir kişisel veri ihlalini öğrendiğinde, Müşteriyi gecikmeksizin ve mümkünse öğrenmeden itibaren 48 saat içinde e-postayla bilgilendirir. Bildirim, elde bulunan ölçüde şunları içerir: ihlalin niteliği (mümkünse ilgili kişi ve kayıt kategorileri ile yaklaşık sayıları), olası sonuçları, alınan veya önerilen önlemler ve iletişim noktası. Bilgilerin tamamı aynı anda sağlanamıyorsa aşamalı olarak verilebilir. Sağlayıcı, ihlali gidermek ve olumsuz etkilerini azaltmak için makul önlemleri alır ve Müşteriyle işbirliği yapar. İhlalin yetkili otoriteye (GDPR m. 33; KVKK m. 12/5 ve Kişisel Verileri Koruma Kurulu’nun ilgili kararları) ve ilgili kişilere bildirilmesine karar vermek Müşterinin sorumluluğundadır. İhlal bildirimi, Sağlayıcının kusurunu veya sorumluluğunu kabul anlamına gelmez.

4.6 Silme ve iade. Hizmet ilişkisi sona erdiğinde kişisel veriler Müşterinin seçimine göre silinir veya iade edilir:

• Hesabın silinmesi: Müşterinin yetkilisi uygulamada Ayarlar › Abonelik › Hesabımı Sil adımlarını izleyip e-postayla gelen kodla onayladığında, işletme ve ona bağlı tüm veri ve ekler anında ve kalıcı olarak silinir. Bu işlem geri alınamaz.
• Diğer sona erme hâlleri: Hizmet ilişkisi başka bir şekilde sona ererse (ör. lisansın bitmesi veya fesih), Müşterinin talebi üzerine kişisel veriler talepten itibaren en geç 30 gün içinde silinir.
• İade: Müşterinin talebi üzerine Sağlayıcı, silmeden önce verilerin makine tarafından okunabilir bir dökümünü Müşteriye verir. Hesap silme işlemi geri alınamadığından, döküm isteyen Müşteri bunu hesabını silmeden önce talep etmelidir.
• Saklama süreleri: Silinen geri bildirimler ve diğer veri türleri için geçerli saklama süreleri Ek-1’de yer alır.
• İstisnalar: Barındırma sağlayıcısının yedeklerinde (bkz. Ek-3) kalan kopyalar, Sağlayıcının kontrolünde olmayan yedekleme döngüsü sona erene kadar saklanabilir; bu kopyalar başka bir amaçla kullanılmaz ve yedekleme döngüsü tamamlandığında silinir. Hukuken zorunlu saklama yükümlülüğü bulunan kayıtlar yalnızca bu yükümlülüğün gerektirdiği süre ve amaçla saklanır.
• Teyit: Müşterinin talebi üzerine Sağlayıcı silmenin yapıldığını e-postayla teyit eder.

4.7 Bilgi ve denetim. Sağlayıcı, bu Sözleşmedeki yükümlülüklere uyduğunu göstermek için gerekli bilgileri Müşterinin yazılı talebi üzerine makul sürede sağlar; Müşterinin veya görevlendirdiği denetçinin yapacağı denetimlere (yerinde inceleme dâhil) izin verir ve katkıda bulunur. Denetimlerde şu koşullar geçerlidir:

• yılda en fazla bir kez yapılır;
• en az 30 gün önceden yazılı bildirimle ve Sağlayıcının Türkiye’deki olağan çalışma saatleri içinde yapılır;
• öncelikle yazılı bilgi ve belge ile uzaktan inceleme yoluyla yürütülür ve Sağlayıcının işleyişini makul olmayan ölçüde aksatmaz;
• yalnızca bu Sözleşme kapsamındaki işlemelerle sınırlıdır (diğer müşterilerin verileri ile Sağlayıcının ticari sırları kapsam dışıdır);
• Müşteri bir üçüncü kişiyi görevlendirirse bu kişi gizlilik yükümlülüğü altında olmalı ve Sağlayıcının rakibi olmamalıdır; Müşteri ve denetçi, denetimde öğrendikleri bilgileri gizli tutar.

Bir kişisel veri ihlali, bu Sözleşmeye aykırılığa dair somut bir belirti veya yetkili bir denetim otoritesinin talebi hâlinde yılda bir sınırı ve 30 günlük bildirim süresi uygulanmaz; bildirim makul ölçüde kısa bir süre önce yapılır. Sağlayıcı ayrıca, görevlerini yerine getirirken yetkili denetim otoriteleriyle (Kişisel Verileri Koruma Kurulu dâhil) işbirliği yapar.

4.8 Kayıtlar ve iletişim. Sağlayıcı, yasaların gerektirdiği ölçüde, Müşteri adına yürüttüğü işleme faaliyetlerinin kaydını tutar (GDPR m. 30/2). Veri koruma konularında muhatap: info@bildir365.com.

§ 5 Alt işleyenler

5.1 Genel izin. Müşteri, Sağlayıcının Ek-3’te listelenen alt işleyenleri, orada belirtilen hizmetler ve işleme yerleri için görevlendirmesine genel yazılı izin verir (GDPR m. 28/2).

5.2 Değişiklik bildirimi. Sağlayıcı, alt işleyen eklemek veya değiştirmek istediğinde Müşteriyi en az 14 gün önceden, Müşterinin hesabında kayıtlı e-posta adresine e-postayla bildirir ve Ek-3’ü günceller. Bildirimde alt işleyenin adı, merkezi, hizmeti ve işleme yeri belirtilir.

5.3 İtiraz. Müşteri, bu süre içinde makul bir veri koruma gerekçesiyle değişikliğe e-postayla itiraz edebilir. Taraflar itirazı iyi niyetle çözmeye çalışır. Süre içinde itiraz edilmezse değişiklik onaylanmış sayılır.

5.4 Fesih hakkı. Taraflar itirazı makul bir süre içinde çözemezse Müşteri, hesabını silerek veya Hizmeti feshederek Sözleşmeyi sona erdirebilir (§ 4.6 uygulanır). Bu hak, değişikliğin uygulanmasından sonraki makul bir süre boyunca da kullanılabilir.

5.5 Yükümlülüklerin alt işleyene yüklenmesi. Sağlayıcı, alt işleyenleri uygun teknik ve organizasyonel önlemleri uygulama konusunda yeterli güvence sunanlar arasından seçer ve her alt işleyene, bu Sözleşmedekilerle aynı düzeyde veri koruma yükümlülüklerini sözleşme yoluyla (alt işleyenin hizmetin niteliğine uygun standart veri işleme koşulları dâhil) yükler (GDPR m. 28/4).

5.6 Sorumluluk. Sağlayıcı, alt işleyenin yükümlülüklerini yerine getirmesinden Müşteriye karşı sorumludur (GDPR m. 28/4); § 8 hükümleri saklıdır.

§ 6 Müşterinin yükümlülükleri

6.1 Hukuka uygunluk. Müşteri, veri sorumlusu olarak, kişisel verilerin işlenmesinin hukuka uygunluğundan (GDPR m. 5 ve 6; KVKK m. 4 ve 5) — özellikle geri bildirimlerin toplanması için geçerli bir hukuki dayanağın bulunmasından — sorumludur.

6.2 Bilgilendirme ve ilgili kişi hakları. Müşteri, ilgili kişileri (özellikle geri bildirim gönderenleri) GDPR m. 13 ve 14 ile KVKK m. 10 uyarınca formu aracılığıyla veya başka uygun bir yolla bilgilendirmekten ve ilgili kişilerin başvurularını yanıtlamaktan sorumludur.

6.3 Özel nitelikli veri ve çocuk verisi. Müşteri, formlarında özel nitelikli kişisel veri (GDPR m. 9; KVKK m. 6 — ör. sağlık, din, etnik köken, siyasi görüş, biyometrik veri) toplamaz; 18 yaşından küçük kişilerden bilerek kişisel veri toplamaz ve formlarını bu kişilere yönelik hazırlamaz. Müşteri formlarını ve serbest metin alanlarını bu tür bilgileri talep etmeyecek şekilde tasarlar; bu nitelikte bir verinin kendisine ulaştığını fark ederse bunu derhal siler.

6.4 Personel hesapları. Müşteri, Hizmetteki kullanıcılarını (personelini) kendisi yönetir: kullanıcı ekler ve çıkarır, rol ve form yetkilerini belirler, giriş bilgilerinin gizliliğini sağlar ve görevinden ayrılan kişilerin erişimini kaldırır. Müşteri, personelini bu kişilere ait verilerin Hizmet kapsamında işlendiği konusunda bilgilendirmekten sorumludur.

6.5 Talimatlar. Müşteri, verdiği talimatların hukuka uygunluğundan sorumludur.

6.6 Diğer yükümlülükler. Veri sorumlusu olarak Müşteriye ait yükümlülükler (ör. gerekiyorsa VERBİS’e kayıt, GDPR m. 30 uyarınca işleme kaydı, gerekiyorsa veri koruma etki değerlendirmesi, yetkili otoritelere ihlal bildirimi) Müşterinin sorumluluğundadır. Müşteri ayrıca Ek-2’deki önlemlerin kendi işleme faaliyetlerinin riskine uygun olup olmadığını kendi sorumluluğunda değerlendirir.

6.7 İletişim bilgileri. Müşteri, hesabındaki iletişim bilgilerini (özellikle e-posta adresini) güncel tutar; bu Sözleşme kapsamındaki bildirimler (§ 4.5 ve § 5.2) bu adrese yapılır.

§ 7 Yurt dışına aktarım

7.1 İşleme yeri. Sağlayıcının sunucuları ve e-posta gönderimi Türkiye’dedir (Ek-3). iOS push bildirimleri Google (Firebase Cloud Messaging; AB/ABD) ve Apple (APNs; ABD) üzerinden iletilir; push bildirimi yalnızca kullanıcı iOS cihazında bildirim izni vermişse gönderilir ve izin istendiği zaman kapatılabilir. Müşteri, Hizmetin bu yapıyla sunulmasını talimat olarak verir.

7.2 Standart Sözleşme Maddeleri. Avrupa Komisyonu’nun Türkiye için bir yeterlilik kararı yoktur. Bu nedenle Avrupa Ekonomik Alanı (AEA), İsviçre veya Birleşik Krallık’ta yerleşik Müşteriler bakımından, Komisyonun 4 Haziran 2021 tarihli ve (AB) 2021/914 sayılı İcra Kararı ekindeki Standart Sözleşme Maddeleri’nin (“SCC”) Modül 2’si (sorumludan işleyene aktarım) bu Sözleşmeye atıfla dâhil edilir. SCC kapsamında Müşteri veri ihracatçısı, Sağlayıcı veri ithalatçısıdır. SCC, bu Sözleşmenin kabulüyle taraflar arasında yürürlüğe girer; ayrıca imza gerekmez.

7.3 SCC seçimleri. SCC bakımından taraflar şunları kararlaştırmıştır:

• SCC Madde 7 (bağlanma maddesi): dâhil edilmiştir (üçüncü bir kuruluş, tarafların mutabakatıyla SCC’ye katılabilir).
• SCC Madde 9(a) (alt işleyenler): Seçenek 2 — genel yazılı izin; bildirim süresi en az 14 gündür (§ 5.2).
• SCC Madde 11(a) (hak arama): isteğe bağlı bağımsız uyuşmazlık çözüm kuruluşu öngörülmemiştir.
• SCC Madde 13(a) (denetim): yetkili denetim otoritesi, veri ihracatçısı olan Müşterinin yerleşik olduğu ülkenin yetkili otoritesidir.
• SCC Madde 17 (uygulanacak hukuk): Seçenek 1 — Almanya hukuku.
• SCC Madde 18(b) (yetkili mahkeme): Almanya mahkemeleri.
• SCC ekleri: SCC Ek I.A (taraflar) = Ek-1 Bölüm A; SCC Ek I.B (aktarımın açıklaması) = Ek-1 Bölüm B; SCC Ek I.C (yetkili denetim otoritesi) = Ek-1 Bölüm C; SCC Ek II (teknik ve organizasyonel önlemler) = Ek-2; SCC Ek III (alt işleyenler) = Ek-3.

7.4 İsviçre ve Birleşik Krallık. İsviçre’de yerleşik Müşteriler bakımından SCC, İsviçre Federal Veri Koruma ve Bilgi Komiseri’nin (FDPIC) yayımladığı uyarlamalarla uygulanır: GDPR atıfları İsviçre Federal Veri Koruma Yasası’na (FADP) yapılmış sayılır, yetkili denetim otoritesi FDPIC’dir ve ilgili kişilerin mutat meskenleri olan İsviçre’de hak arama imkânı saklıdır. Birleşik Krallık’ta yerleşik Müşteriler bakımından SCC, Bilgi Komiseri Ofisi’nin (ICO) yayımladığı International Data Transfer Addendum ile birlikte uygulanır; yetkili denetim otoritesi ICO’dur.

7.5 Öncelik. Bu Sözleşme ile SCC arasında çelişki olursa SCC üstündür.

7.6 KVKK. KVKK’ya tabi Müşteriler bakımından Sağlayıcının Türkiye’deki işlemesi yurt dışına aktarım oluşturmaz. Push bildirimleri için kullanılan yurt dışındaki alt işleyenlere (Ek-3) yapılan iletimde KVKK m. 9 çerçevesi geçerlidir: iletim yalnızca kullanıcının cihazında bildirim iznini vermesi hâlinde yapılır, izin istendiği zaman kapatılabilir ve iletilen içerik Ek-1’de belirtilenle sınırlıdır (mesaj metni ve gönderenin kimliği iletilmez). Müşteri talep ederse taraflar, KVKK m. 9 uyarınca gerekli görülen ilave güvenceleri ayrıca kararlaştırır.

§ 8 Sorumluluk

8.1 Taraflar arasında. Taraflar arasındaki sorumluluk, Kullanım Koşulları’ndaki sorumluluk sınırlamalarına, yürürlükteki mevzuatın izin verdiği ölçüde tabidir.

8.2 İlgili kişilere karşı. İlgili kişilere karşı sorumluluk ile GDPR m. 82 ve SCC Madde 12’den doğan haklar bu sınırlamalardan etkilenmez; GDPR m. 82/5 uyarınca taraflar arasındaki rücu hakkı saklıdır.

§ 9 Süre ve fesih

9.1 Süre. Sözleşme, § 1.3’e göre yürürlüğe girer ve Hizmet ilişkisi devam ettiği sürece geçerlidir. Hizmet ilişkisinin sona ermesiyle (hesabın silinmesi, lisansın bitmesi veya fesih) sona erer; ancak Sağlayıcı Müşteri adına kişisel veri işlemeye devam ettiği sürece (ör. § 4.6’daki silme süresi ve yedekler) Sözleşme hükümleri uygulanmaya devam eder.

9.2 Önemli ihlal. Müşteri, Sağlayıcının bu Sözleşmeyi veya SCC’yi önemli ölçüde ihlal etmesi ve makul bir süre verilmesine rağmen ihlali gidermemesi hâlinde Hizmeti feshedebilir; ihlalin giderilmesinin mümkün olmadığı veya beklemenin Müşteriden makul olarak beklenemeyeceği hâllerde fesih derhâl yapılabilir. Sağlayıcı da, hukuka aykırı olduğu bildirilen bir talimatın Müşteri tarafından değiştirilmemesi veya geri alınmaması hâlinde (§ 3.3) ilgili işlemeyi durdurabilir veya Hizmeti feshedebilir.

9.3 Sona erdikten sonra geçerli hükümler. Gizlilik, silme ve iade (§ 4.1 ve § 4.6), sorumluluk (§ 8) ile SCC’nin sona erdikten sonra da uygulanması gereken hükümleri, Sözleşmenin sona ermesinden sonra da geçerlidir.

§ 10 Son hükümler

10.1 Dil sürümleri. Bu Sözleşme Türkçe, İngilizce ve Almanca dillerinde yayımlanmıştır. AEA, İsviçre ve Birleşik Krallık’ta yerleşik Müşteriler bakımından Almanca sürüm, diğer Müşteriler bakımından Türkçe sürüm esastır; İngilizce sürüm yalnızca kolaylık amacıyla sunulmuştur.

10.2 Öncelik sırası. Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme ile Kullanım Koşulları arasında çelişki olursa bu Sözleşme; bu Sözleşme ile SCC arasında çelişki olursa SCC üstündür.

10.3 Form ve değişiklikler. Sözleşmenin kurulması ve bu Sözleşme kapsamındaki bildirimler elektronik ortamda (e-posta dâhil) yapılabilir; GDPR m. 28/9 uyarınca elektronik biçim yeterlidir. Sağlayıcı, Sözleşmeyi yasal gelişmeler, otorite kararları veya Hizmetteki değişiklikler nedeniyle güncelleyebilir; güncel sürüm bu sayfada yayımlanır. Müşterinin aleyhine esaslı değişiklikler, hesapta kayıtlı e-posta adresine bildirilir ve bildirimden en az 30 gün sonra yürürlüğe girer; değişikliği kabul etmeyen Müşteri bu süre içinde hesabını silerek Sözleşmeyi sona erdirebilir. Alt işleyen değişiklikleri için § 5 uygulanır. SCC’nin metni bu şekilde değiştirilemez.

10.4 Kısmi geçersizlik. Bu Sözleşmenin herhangi bir hükmünün geçersiz veya uygulanamaz olması, diğer hükümlerin geçerliliğini etkilemez. Bu hâlde taraflar, geçersiz hükmün yerine ekonomik ve hukuki amacına en yakın geçerli hükmün uygulanmasını kabul eder.

Ek-1 — İşlemenin ayrıntıları

Bu Ek, GDPR m. 28/3 uyarınca işlemenin ayrıntılarını içerir ve SCC Ek I’in karşılığıdır.

A. Taraflar (SCC Ek I.A)

• Veri ihracatçısı (Müşteri): rol: veri sorumlusu. Kimlik ve iletişim bilgileri: Müşterinin hesap oluştururken beyan ettiği işletme adı, yetkili adı, e-posta ve (varsa) telefon. İletişim kişisi: hesapta belirtilen yetkili.
• Veri ithalatçısı (Sağlayıcı): rol: veri işleyen. Bekir UĞUR (ticari ad: Konsol Dev), Hürriyet Mahallesi, Numan Durak Aksoy Bulvarı No: 158/B, Kat: 2, No: 11, 27900 Oğuzeli / Gaziantep, Türkiye; e-posta: info@bildir365.com. İletişim kişisi: Sağlayıcının kendisi.
• Kabul tarihi: Müşterinin hesabı oluşturduğu veya Hizmeti kullanmaya başladığı tarih (bkz. “Taraflar ve yürürlük”).

B. İşlemenin ve aktarımın ayrıntıları (SCC Ek I.B)

• Konu: Hizmetin sunulması; Müşteri adına geri bildirim verilerinin ve personel hesap verilerinin işlenmesi.
• Süre: Müşterinin hesabı açık olduğu sürece (§ 9); saklama ve silme süreleri aşağıdaki tabloda.
• Nitelik: toplama, kaydetme, düzenleme, saklama, iletme (panel, uygulama, e-posta, push), gösterme, uygunsuz sözcüklerin otomatik maskelenmesi ve silme.
• Amaç: geri bildirimlerin Müşteriye iletilmesi ve yönetilmesi; ekip yönetimi; bildirimlerin gönderilmesi; Hizmetin güvenliğinin sağlanması.
• İlgili kişi kategorileri:
  • geri bildirim gönderenler (Müşterinin formunu dolduran kişiler);
  • Müşterinin personeli (yetkilinin Hizmette tanımladığı kullanıcılar).
• Kişisel veri kategorileri:
  • Geri bildirim verileri: gönderenin adı, telefonu ve e-postası (formda yer aldığı ve gönderen girdiği ölçüde; hangi alanların istendiğini ve zorunlu olduğunu Müşteri belirler); form alanlarına girilen serbest metin, puan ve seçenek yanıtları; yüklenen dosyalar (fotoğraf, video, PDF; en çok 25 MB); IP adresi, tarayıcı bilgisi (User-Agent) ve gönderim zamanı.
  • Personel hesap verileri: ad, e-posta, rol ve yetkili olduğu formlar; parola (yalnızca bcrypt özeti); dil tercihi; e-posta doğrulama ve isteğe bağlı iki adımlı doğrulama kodları (kısa süreli); iOS uygulamasında oturum belirteci (sunucuda yalnızca SHA-256 özeti), cihaz adı (iOS’un verdiği genel ad) ve platform, push kayıt belirteci.
  • Bildirim verileri: push başlığı “Yeni bildirim · {form adı}”; gövde: bildirim türü/kategorisi (ör. “Şikâyet”) ya da “Yeni bir geri bildirim aldınız.”; mesaj metni ve gönderenin kimliği push bildirimine konmaz. E-posta: kullanıcı açtıysa yeni bildirim özeti ve panel bağlantısı.
  • Moderasyon kayıtları: engellenen gönderici kaydı (IP ve tarayıcı bilgisinin SHA-256 özeti, telefonun son 10 hanesi, e-posta, etiket); içerik şikâyeti (şikâyet eden kullanıcı numarası, neden, içerik özeti metni, tarih). Bu kayıtlar bakımından Sağlayıcı, § 2.4 uyarınca ayrıca veri sorumlusu sıfatıyla hareket eder.
• Özel nitelikli veriler: öngörülmemektedir; bilerek toplanmaz ve talep edilmez (§ 2.3 ve § 6.3).
• Sıklık: sürekli (Hizmet kullanıldıkça).
• Aktarım ve işleme yeri: işleme Türkiye’de yapılır; push bildirimleri için ayrıca Google (AB/ABD) ve Apple (ABD) (Ek-3).
• Alt işleyenlere aktarım: Ek-3’teki alt işleyenlere, orada belirtilen hizmetler kapsamında (barındırma ve e-posta gönderimi; push iletimi) ve Hizmet süresince yapılır.
• Saklama süreleri: aşağıdaki tablo.

Sağlayıcının kendi sorumluluğunda tuttuğu kayıtların (ör. iletişim formu mesajları, hız sınırlama kayıtları, aktivite günlükleri) saklama süreleri Gizlilik Politikası’nda açıklanır.

C. Yetkili denetim otoritesi (SCC Ek I.C)

SCC Madde 13 uyarınca, veri ihracatçısı olan Müşterinin yerleşik olduğu ülkenin yetkili veri koruma denetim otoritesi. Almanya’daki otoritelerin güncel listesi için: BfDI — Anschriften der Aufsichtsbehörden (Almanca). İsviçre’de FDPIC, Birleşik Krallık’ta ICO yetkilidir (§ 7.4). SCC’nin uygulanmadığı, KVKK’ya tabi Müşteriler bakımından yetkili otorite Kişisel Verileri Koruma Kurulu’dur.

Ek-2 — Teknik ve organizasyonel önlemler

Sağlayıcı, Hizmetin niteliği ve ölçeğiyle orantılı olarak aşağıdaki önlemleri uygular (GDPR m. 32; KVKK m. 12). Bu Ek, SCC Ek II’nin karşılığıdır. Önlemler teknik gelişmelere göre güncellenebilir; koruma düzeyi önemli ölçüde düşürülmez (§ 4.2).

1. Gizlilik — erişim ve kimlik doğrulama kontrolü

• Parolalar yalnızca bcrypt özeti olarak saklanır.
• Uygulama oturum (API) belirteçleri sunucuda yalnızca SHA-256 özeti olarak saklanır.
• İsteğe bağlı e-posta ile iki adımlı doğrulama; Sağlayıcının yönetici (admin) hesabı için zorunludur.
• Giriş, kayıt, parola sıfırlama ve iki adımlı doğrulama için hız sınırlama ve kaba kuvvet koruması.
• Oturum çerezleri HttpOnly, SameSite ve (HTTPS’te) Secure özellikleriyle ayarlanır.
• Rol tabanlı erişim: Müşterinin personeli yalnızca yetkili olduğu formlara erişir.
• Geri bildirim ve destek ekleri herkese açık değildir; yalnızca yetkili kullanıcıya servis edilir (logolar hariç).
• Sağlayıcı tarafında erişim, yalnızca Hizmeti işletmek için gerekli kişiyle sınırlıdır (şu an yalnızca Sağlayıcı).
• Fiziksel erişim: sunucular barındırma sağlayıcısının altyapısındadır; bu altyapının fiziksel güvenliği barındırma sağlayıcısının sorumluluğundadır (Ek-3).

2. Aktarım kontrolü

• Veriler HTTPS/TLS ile aktarılır.

3. Bütünlük

• CSRF koruması.
• Girdi doğrulama ve çıktı kaçışlama.
• Uygunsuz içerik filtresi ile içerik bildirme ve gönderici engelleme araçları.

4. Kullanılabilirlik

• Yedekleme barındırma sağlayıcısı tarafından yapılır; ayrıntıları Sağlayıcının kontrolünde değildir.

5. Ayrım ve izolasyon

• İşletmeler arası veri izolasyonu: her işletme yalnızca kendi verisini görür.
• Müşterinin personeli yalnızca yetkili olduğu formların verisini görür.

6. Silme

• Silinen ve süresi dolan veriler için otomatik temizlik (Ek-1’deki saklama süreleri).
• Hesap silindiğinde işletme ve ona bağlı tüm veri ile ekler anında kalıcı olarak silinir (§ 4.6).

Ek-3 — Alt işleyenler

Müşteri, aşağıdaki alt işleyenlerin görevlendirilmesine § 5.1 uyarınca genel yazılı izin vermiştir. Bu Ek, SCC Ek III’ün karşılığıdır.

• Apple’ın App Store dağıtımı Apple’ın kendi sorumluluğundadır; Sağlayıcı App Store satın alma veya indirme verilerini almaz.
• Push bildirimleri yalnızca kullanıcı iOS cihazında bildirim izni vermişse gönderilir; izin istendiği zaman kapatılabilir.
• Müşterinin kendi yetkili kullanıcıları alt işleyen değildir.
• Alt işleyen değişiklikleri § 5.2 uyarınca bildirilir; güncel liste bu sayfadadır.
• Alt işleyenlerin gizlilik politikaları: Google · Apple.