Veri İşleme Sözleşmesi (DPA)
1. Taraflar ve Sıfatlar
- Veri Sorumlusu: Kiracı. Hizmet'e girdiği kişisel verilerin işlenme amaç ve vasıtalarını belirleyen taraftır.
- Veri İşleyen: Ohana360'ı işleten digitalforce360 OÜ (registrikood 16940165, Narva mnt 5, Kesklinna linnaosa, 10117 Tallinn, Estonya). Kişisel verileri yalnızca Veri Sorumlusu'nun talimatı doğrultusunda işler.
2. İşlemenin Konusu ve Kapsamı
| Unsur | Açıklama |
|---|---|
| Konu | Hizmet'in (CRM ve bağlı modüller) sunulması amacıyla kişisel verilerin işlenmesi |
| Süre | Hizmet Sözleşmesi yürürlükte kaldığı sürece + Madde 9'daki iade/silme süresi |
| Amaç | Kiracı'ya CRM, satış, servis, pazarlama, finans ve ilgili iş uygulamalarının sağlanması |
| İşleme türleri | Toplama, kaydetme, saklama, düzenleme, aktarma (alt işleyenlere), silme, dışa aktarma |
| Veri kategorileri | Kimlik ve iletişim bilgileri (ad, e-posta, telefon), müşteri/potansiyel müşteri kayıtları, işlem geçmişi, Kiracı'nın modüllerine göre girdiği diğer veriler |
| İlgili kişi kategorileri | Kiracı'nın müşterileri, potansiyel müşterileri (lead), kişileri (contact), çalışanları ve Kiracı'nın belirlediği diğer gruplar |
3. Veri İşleyenin Yükümlülükleri
Ohana360:
- 3.1. Kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları (Hizmet'in kullanımı bu talimat sayılır) doğrultusunda işler; aksi bir yasal yükümlülük olmadıkça kendi amaçları için işlemez.
- 3.2. Verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlar.
- 3.3. Verinin güvenliği için uygun teknik ve idari tedbirleri alır (bkz. Madde 6).
- 3.4. İlgili kişilerin haklarını (bilgi talebi, düzeltme, silme, taşınabilirlik) kullanmasında Veri Sorumlusu'na makul ölçüde yardımcı olur; Hizmet, Kiracı'ya kayıt düzeltme, silme, geri dönüşüm kutusu ve tüm veriyi dışa aktarma işlevleri sağlar.
- 3.5. Veri ihlali durumunda Madde 7'ye uygun bildirim yapar.
- 3.6. İşleme sonunda veriyi Madde 9'a göre iade veya imha eder.
- 3.7. Veri Sorumlusu'na, bu Sözleşme'ye uygunluğu göstermek için gerekli bilgiyi makul ölçüde sağlar.
4. Alt İşleyenler
4.1. Veri Sorumlusu, Ohana360'ın Hizmet'i sunmak için alt işleyen kullanmasına genel olarak onay verir. Güncel liste Alt İşleyen Listesi sayfasındadır; özetle:
- Hostinger: bulut barındırma, veritabanı ve işlemsel e-posta gönderimi (sunucu lokasyonu: ABD)
- Google (Gemini API): yalnızca Kiracı'nın "AI Asistan" özelliğini kullanması halinde, ilgili kaydın bağlamı yapay zeka işlemesi için aktarılır
4.2. Ohana360, alt işleyene bu Sözleşme'dekiyle özde aynı veri koruma yükümlülüklerini yükler.
4.3. Yeni bir alt işleyen eklenmesi veya değiştirilmesi halinde Veri Sorumlusu bilgilendirilir ve makul gerekçeyle itiraz hakkı saklıdır.
5. Yurt Dışına Aktarım
5.1. Alt işleyenler (barındırma ve Google/Gemini dahil) verileri Türkiye dışında (barındırma: ABD) işleyebilir.
5.2. Bu aktarımlar KVKK'nın yurt dışına aktarım kuralları (açık rıza veya uygun güvenceler/taahhütname) ve varsa GDPR'ın aktarım mekanizmaları (ör. standart sözleşme hükümleri) çerçevesinde yapılır.
5.3. Kiracı, ilgili kişileri bu yurt dışı aktarım konusunda aydınlatmak ve gerekiyorsa açık rızalarını almakla yükümlüdür. Özellikle "AI Asistan" özelliğini kullanan Kiracı, ilgili kayıt verisinin Google'a aktarılabileceğini aydınlatma metninde belirtmelidir.
6. Güvenlik Tedbirleri
- Şifrelerin geri döndürülemez biçimde saklanması (bcrypt)
- Oturum güvenliği (HttpOnly + Secure + SameSite çerezler), CSRF koruması, giriş deneme sınırlaması
- Kiracılar arası veri yalıtımı ve sunucu tarafı görünürlük/yetki denetimi
- Kayıt bazlı erişim yetkisi kontrolü ve dosya erişim denetimi
- İstek doğrulama, hız sınırlama ve dış istek (SSRF) koruması
- Aktarımda TLS/HTTPS
- Silinen kayıtlar için geri dönüşüm kutusu ve kalıcı imha kaydı
Tedbirler, teknolojik gelişmelere göre güncellenebilir; koruma düzeyi düşürülmez.
7. Veri İhlali Bildirimi
7.1. Ohana360, kişisel veri ihlalinden haberdar olduğunda gecikmeksizin ve makul sürede Veri Sorumlusu'na bildirir.
7.2. Bildirim; ihlalin niteliği, etkilenen veri kategorileri, olası sonuçları ve alınan önlemler hakkında makul bilgi içerir.
7.3. İlgili kişilere ve Kurul'a (KVKK kapsamında) bildirim yapmak, veri sorumlusu sıfatıyla Kiracı'nın yükümlülüğüdür; Ohana360 gerekli bilgiyi sağlayarak destek olur.
8. Denetim
Ohana360, bu Sözleşme'ye uygunluğu göstermek için gerekli bilgiyi sağlar. Denetimler makul sıklıkta, önceden bildirimle, gizlilik ve Hizmet'in güvenliğini bozmayacak şekilde yürütülür.
9. İşleme Sonu: İade ve İmha
9.1. Hizmet Sözleşmesi sona erdiğinde Kiracı, verisini Hizmet içi "tüm veriyi dışa aktar" işleviyle alabilir.
9.2. Fesihten sonra 30 gün içinde, yasal saklama yükümlülüğü olan haller dışında, Kiracı Verisi Ohana360 sistemlerinden silinir; silme işlemi kalıcı imha kaydına işlenir. Yedekler 7 günlük döngüyle tutulduğundan silinen veri yedeklerden en geç 7 gün içinde düşer.
10. Sorumluluk
Tarafların bu Sözleşme kapsamındaki sorumluluğu, Hizmet Sözleşmesi'ndeki sorumluluk sınırlamalarına tabidir. Her taraf, kendi sıfatından doğan mevzuat ihlallerinden kendisi sorumludur.
11. Yürürlük
Bu Sözleşme, Hizmet Sözleşmesi'nin kabulüyle birlikte yürürlüğe girer ve onun ayrılmaz ekidir.
Bu belge (v1.0) hukuki inceleme sürecindedir; güncel sürüm her zaman bu sayfada yayımlanır.