Veri İşleme Sözleşmesi

Kişisel Veri

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (KVKK m.3)

Müşteri Verisi

Müşteri ve kullanıcıları tarafından platforma yüklenen veya platform aracılığıyla oluşturulan, içinde kişisel veri bulunan tüm veri, belge ve kayıtlar

Veri Sorumlusu

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen Müşteri

Veri İşleyen

Veri Sorumlusu'nun verdiği yetkiye dayanarak onun adına kişisel veri işleyen Nordex Software

Alt İşleyen

Nordex Software'in hizmeti sunmak için yararlandığı ve Müşteri Verisini Nordex Software adına işleyen üçüncü taraf

İlgili Kişi

Kişisel verisi işlenen gerçek kişi (Müşteri'nin çalışanları, adayları ve yetkilileri)

Veri İhlali

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi (KVKK m.12/5)

Talimat

Ana Sözleşme, işbu DPA, Müşteri'nin platform üzerinden yaptığı yapılandırmalar ve Müşteri yetkilisinin yazılı bildirimleri

Taraflar, platform üzerinden işlenen çalışan, aday ve diğer ilgili kişilere ait kişisel veriler bakımından Müşteri'nin veri sorumlusu, Nordex Software'in veri işleyen sıfatını taşıdığını kabul eder. Nordex Software bu verileri yalnızca Müşteri'nin talimatları doğrultusunda ve hizmetin ifası için gerekli ölçüde işler; işleme amaçlarını ve vasıtalarını kendisi belirlemez.

Nordex Software; Müşteri yetkililerinin hesap, iletişim ve faturalama verileri, platform güvenliği için tutulan erişim kayıtları ve kendi yasal yükümlülükleri kapsamında sakladığı kayıtlar bakımından kendi adına veri sorumlusudur. Bu veriler için Müşteri ve İş Ortağı Aydınlatma Metni uygulanır.

Müşteri, Nordex Software'in verdiği hizmetin niteliğini bildiğini ve platforma girdiği kişisel verilerin bu DPA'da tanımlanan şekilde işlenmesinin, kendi aydınlatma metinleri ve rıza süreçleriyle uyumlu olduğunu beyan eder.

• Müşteri Verisini yalnızca Talimat doğrultusunda ve hizmetin ifası için işlemek; bir Talimat'ın mevzuata aykırı olduğunu değerlendirirse Müşteri'yi gecikmeksizin bilgilendirmek
• Müşteri Verisini kendi veya üçüncü kişilerin amaçları için kullanmamak, satmamak, profilleme yapmamak; yalnızca kimliksizleştirilmiş ve toplulaştırılmış istatistikleri hizmet iyileştirme amacıyla kullanmak
• KVKK m.12/1 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için Kurul'un Kişisel Veri Güvenliği Rehberi'ndeki teknik ve idari tedbirleri almak; tedbirlerin özetini Bilgi Güvenliği Politikası'nda yayımlamak
• Müşteri Verisine erişen tüm personel ve yüklenicilerin gizlilik taahhüdü vermesini ve KVKK eğitimi almasını sağlamak; erişimi görev gereği ile sınırlamak ve kayıt altına almak
• Müşteri'nin ilgili kişi başvurularına, Kurul taleplerine ve veri ihlali bildirimlerine cevap verebilmesi için makul teknik ve organizasyonel yardımı sağlamak
• KVKK m.12/2 uyarınca Müşteri ile birlikte veri güvenliğinden müştereken sorumlu olduğunu kabul etmek; kendi kusurundan kaynaklanan ihlallerde Ana Sözleşme'deki sınırlar dâhilinde sorumluluk üstlenmek
• Mevzuat gereği yetkili makamlardan gelen veri talepleri hâlinde, yasal olarak yasaklanmadıkça Müşteri'yi talep hakkında bilgilendirmek ve talebi hukuki dayanakla sınırlı olarak karşılamak
• Ana Sözleşme sona erdiğinde Müşteri Verisini 12. maddeye uygun olarak iade etmek ve silmek

• Platforma girdiği kişisel verilerin KVKK m.4'teki ilkelere uygun, amaçla bağlantılı, sınırlı ve ölçülü olmasını sağlamak; her bir işleme için KVKK m.5 ve m.6'daki hukuki sebeplerden birine dayanmak
• Çalışanlarına ve adaylarına KVKK m.10 uyarınca aydınlatma yapmak; konum doğrulama, biyometrik giriş, sağlık kaydı gibi açık rıza veya özel hukuki sebep gerektiren işlemler için gerekli rızayı veya dayanağı temin etmek ve ilgili özelliği yalnızca bu şart sağlandığında açmak
• Çalışanlarının verilerine erişebilecek kullanıcıları belirlemek, hesapları gerçek kişilere tanımlamak, ayrılan personelin hesaplarını gecikmeksizin pasife almak ve yetkileri düzenli gözden geçirmek
• Güçlü parola ve iki faktörlü doğrulama kullanmak; şüpheli erişim veya güvenlik olaylarını derhal Nordex Software'e bildirmek
• İlgili kişilerin KVKK m.11 başvurularını veri sorumlusu sıfatıyla 30 gün içinde sonuçlandırmak
• Veri İhlali hâlinde Kurul'a ve ilgili kişilere KVKK m.12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca (öğrenmeden itibaren 72 saat içinde) bildirim yapmak
• Nordex Software'in alt işleyen listesini ve yurt dışına aktarım bilgisini incelemiş olmak; kendi aydınlatma metinlerinde bu aktarımlara yer vermek
• Platformun hesaplama çıktılarının yasal doğruluğunu kontrol etmek ve çalışma süresi, ücret ve özlük kayıtlarını mevzuatın öngördüğü sürelerce bağımsız olarak saklamak

Nordex Software, Müşteri Verisini ve Müşteri'ye ilişkin ticari bilgileri gizli tutar; mevzuat veya yetkili makam kararıyla zorunlu hâller dışında üçüncü kişilerle paylaşmaz. Gizlilik yükümlülüğü Ana Sözleşme sona erdikten sonra da süresiz olarak devam eder.

Müşteri, Nordex Software'in aşağıda listelenen alt işleyenlerden yararlanmasına genel yetki verir. Nordex Software, alt işleyenlerle en az işbu DPA'daki koruma düzeyini sağlayan yazılı veri işleme ve gizlilik hükümleri akdeder ve alt işleyenlerin eylemlerinden Müşteri'ye karşı kendi eylemleri gibi sorumludur.

Yeni bir alt işleyen eklenmeden veya mevcut bir alt işleyen değiştirilmeden en az 15 gün önce bu liste https://nordshift.app/kvkk/veri-isleme-sozlesmesi adresinde güncellenir ve Müşteri'nin kayıtlı e-posta adresine bildirilir. Müşteri, kişisel verilerin korunmasına ilişkin makul ve belgelenmiş bir gerekçeyle 15 gün içinde itiraz edebilir; itirazın karşılanamaması hâlinde Müşteri, Ana Sözleşme'yi mevcut dönem sonunda tazminatsız feshedebilir.

Uygulama sunucuları ve veritabanı Avrupa Birliği'nde (Fransa), dosya depolama Almanya'da barındırılır; anlık bildirim, e-posta, analitik ve yapay zekâ hizmetleri için bazı veriler ABD'de bulunan alt işleyenlere aktarılır. Nordex Software bu aktarımları KVKK m.9 uyarınca; Kurul tarafından ilan edilen yeterli korumaya sahip ülke kararları, Kurul'ca onaylanan standart sözleşme hükümleri veya ilgili alt işleyenle akdedilen taahhütnameler çerçevesinde ve aktarılan veriyi hizmetin gerektirdiği asgari kapsamla sınırlı tutarak gerçekleştirir.

Müşteri, aydınlatma metinlerinde yurt dışına aktarım bilgisine yer vermekle ve KVKK m.9 kapsamında ilgili kişi açık rızasının gerektiği hâllerde bu rızayı temin etmekle yükümlüdür. Standart sözleşme hükümlerinin Kurul'a bildirimi, bildirim yükümlülüğü hangi tarafa aitse o tarafça yapılır.

1. Nordex Software, Müşteri Verisini etkileyen bir Veri İhlali'ni öğrendiği andan itibaren gecikmeksizin ve en geç 48 saat içinde Müşteri'nin kayıtlı e-posta adresine bildirir.
2. Bildirimde; ihlalin niteliği ve zamanı, etkilenen ilgili kişi grupları ve veri kategorileri, tahmini kayıt sayısı, olası sonuçlar, alınan ve önerilen önlemler ile iletişim noktası yer alır. Bilgilerin tamamı aynı anda sağlanamıyorsa aşamalı olarak iletilir.
3. Kurul'a ve ilgili kişilere yapılacak bildirim veri sorumlusu sıfatıyla Müşteri'ye aittir. Nordex Software, Kurul'un veri ihlali bildirim formunun doldurulması için gerekli teknik bilgileri sağlar ve Müşteri'nin yazılı talebi hâlinde ilgili kişi bildirimlerinin platform üzerinden iletilmesine yardımcı olur.
4. Taraflar, ihlalin etkilerini azaltmak için iyi niyetle iş birliği yapar ve kamuya açıklama yapmadan önce, mevzuatın izin verdiği ölçüde birbirine danışır.

Nordex Software'e ulaşan ve Müşteri'nin çalışanlarına veya adaylarına ait KVKK m.11 başvuruları, başvuru sahibine bilgi verilerek en geç 5 iş günü içinde Müşteri'ye yönlendirilir; Nordex Software bu başvurulara Müşteri'nin yazılı talimatı olmadan esastan cevap vermez. Müşteri'nin başvuruyu 30 gün içinde sonuçlandırabilmesi için Nordex Software; platformdaki kayıt görüntüleme, düzeltme, dışa aktarma ve silme araçlarını sağlar, bu araçlarla karşılanamayan talepler için makul teknik desteği sunar. Başvuru formu https://nordshift.app/kvkk/veri-sahibi-basvuru-formu adresinde yer alır.

Nordex Software, işbu DPA'ya uyumu göstermek için Müşteri'nin yazılı talebi üzerine Bilgi Güvenliği Politikası'nı, bağımsız güvenlik testi özetlerini, alt işleyen listesini ve bilgi güvenliği anketlerine verilen cevapları paylaşır. Bu belgelerin yeterli olmadığı makul ve belgelenmiş durumlarda Müşteri, yılda en fazla bir kez ve en az 30 gün önceden bildirimle, gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla ve Nordex Software'in diğer müşterilerinin verilerine erişilmeyecek şekilde denetim yapabilir. Denetim masrafları Müşteri'ye aittir; denetimde tespit edilen esaslı uygunsuzluklar makul sürede giderilir.

• Müşteri, Ana Sözleşme süresince Müşteri Verisine platformdaki rapor, liste ve belge indirme araçlarıyla (Excel, PDF, CSV) kendisi erişir ve dışa aktarır; verilerin güncel kopyasını almak Müşteri'nin sorumluluğundadır.
• Platform araçları dışında Nordex Software'den talep edilen toplu veri teslimi, veri tabanı kopyası veya üçüncü kişilere veri aktarımı, yalnızca bir hukuki uyuşmazlık kapsamında yetkili mahkeme veya hukuken yetkili makam tarafından verilmiş karar ya da talep yazısı üzerine ve bu kararın kapsamıyla sınırlı olarak yerine getirilir. Nordex Software'in sistem kayıtları, diğer müşterilere ait veriler ve ticari sırlar kapsam dışındadır.
• Yasal bekletme: taraflar arasında veya üçüncü kişilerle bir hukuki uyuşmazlığın başlaması ya da yetkili makamın talebi hâlinde ilgili Müşteri Verisi, silme takviminden bağımsız olarak uyuşmazlık veya talep sonuçlanıncaya kadar erişimi kısıtlı biçimde saklanır.
• Ana Sözleşme'nin sona ermesinden itibaren 30 gün sonra Müşteri Verisi üretim sistemlerinden otomatik olarak silinir; silmeden en az 7 gün önce Müşteri yetkililerine uygulama içi bildirim ve e-posta ile hatırlatma yapılır. Yedek kopyalar yedekleme döngüsü içinde en geç 30 gün içinde üzerine yazılır. Müşteri'nin yazılı talebi hâlinde silme daha erken yapılır ve talep üzerine silme işlemi yazılı olarak teyit edilir.
• Silme, yok etme ve anonim hâle getirme işlemleri Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun yapılır ve kayıt altına alınır.
• Nordex Software'in kendi yasal yükümlülükleri kapsamında saklaması gereken fatura, ödeme, sözleşme onayı ve erişim kayıtları (Vergi Usul Kanunu ve Türk Ticaret Kanunu uyarınca 10 yıla kadar) silme kapsamı dışındadır; bu kayıtlar yalnızca ilgili amaçla ve erişimi kısıtlı olarak saklanır.

Her bir taraf, işbu DPA'dan doğan yükümlülüklerini ihlal etmesi nedeniyle diğer tarafın uğradığı zararlardan kusuru oranında sorumludur. Nordex Software'in işbu DPA'dan kaynaklanan toplam sorumluluğu, Ana Sözleşme'deki sorumluluk sınırlamasına tabidir; kast ve ağır ihmal hâlleri ile kanunen sınırlandırılamayan sorumluluk bu sınırlamanın dışındadır. Müşteri'nin aydınlatma, rıza, hesap güvenliği veya Talimat yükümlülüklerini ihlalinden kaynaklanan idari para cezaları, tazminat talepleri ve masraflar Müşteri'ye aittir; Müşteri, bu sebeplerle Nordex Software'e yöneltilen talepler bakımından Nordex Software'i tazmin eder.

İşbu DPA, Ana Sözleşme yürürlükte kaldığı sürece ve Müşteri Verisi Nordex Software'de bulunduğu müddetçe geçerlidir. Nordex Software, mevzuat ve Kurul kararlarındaki değişiklikler doğrultusunda DPA'yı Müşteri'nin kayıtlı e-posta adresine bildirmek kaydıyla güncelleyebilir; koruma düzeyini düşürmeyen değişiklikler bildirimle, diğer değişiklikler bildirimden 30 gün sonra yürürlüğe girer. İşbu DPA Türk hukukuna tabidir; uyuşmazlıklarda Ana Sözleşme'deki yetki ve arabuluculuk hükümleri uygulanır.

Bu metin hukuk danışmanı tarafından gözden geçirilmelidir.