Veri İşleme Sözleşmesi (Data Processing Agreement)

Taraflar

İşbu Veri İşleme Sözleşmesi (“Sözleşme” veya “VİS”), bir tarafta veri sorumlusu sıfatıyla hareket eden Kullanıcı İşletme (“Veri Sorumlusu”) ile diğer tarafta Masaly hizmetini sağlayan Masaly (“Veri İşleyen”) arasında akdedilmektedir. Kullanıcı İşletme, kendi müşterilerinin rezervasyon ve bekleme listesi bilgilerinin işlenmesi konusunda Masaly’yi görevlendirmektedir. Masaly ise 6698 sayılı KVKK ve ilgili mevzuata uygun olarak veri sorumlusunun talimatları çerçevesinde veri işleyen sıfatıyla faaliyet göstermektedir.

Konu

Bu Sözleşme, Veri Sorumlusu’nun Masaly Platformu’nu kullanırken Masaly’ye ilettiği veya Masaly tarafından erişilen her türlü kişisel verinin (örneğin müşteri isimleri, iletişim bilgileri, rezervasyon detayları vb.) Veri İşleyen tarafından işlenmesine ilişkin usul ve esasları düzenler. Sözleşme kapsamında işlenen kişisel verilerin kategorileri ve kapsamı, Veri Sorumlusu’nun Platform’a girdiği veriler ve Masaly’nin sağladığı hizmetin gerektirdiği ölçüyle sınırlıdır.

Yürürlük ve Süre

Bu Sözleşme, Veri Sorumlusu’nun Masaly hizmetini kullanmaya başlamasıyla yürürlüğe girer ve kullanıcı hizmeti kullandığı sürece geçerli kalır. Ana hizmet sözleşmesinin (Kullanım Koşulları) herhangi bir nedenle sona ermesi durumunda bu Veri İşleme Sözleşmesi de otomatik olarak sona erecektir. Sözleşme’nin sona ermesi veya feshi halinde Veri İşleyen, aşağıdaki “Verilerin İadesi veya İmhası” hükmüne uygun şekilde hareket edecektir.

Tarafların Hak ve Yükümlülükleri

Veri Sorumlusunun Yükümlülükleri

• Talimat Yetkisi: Veri Sorumlusu, Veri İşleyen’e ilettiği kişisel verilerin işlenmesi konusunda tek talimat verme yetkisine sahiptir. Masaly, bu Sözleşme ve Kullanım Koşulları çerçevesinde belirtilen fonksiyonları sağlamak dışında, Veri Sorumlusu’nun yazılı talimatı olmaksızın verileri başka amaçla işlemeyecektir.
• Hukuka Uygunluk ve Aydınlatma: Veri Sorumlusu, Masaly’ye aktardığı kişisel verileri hukuka uygun olarak elde ettiğini, ilgili kişilere gerekli aydınlatma metinlerini sağladığını ve gerektiğinde açık rıza aldığını beyan eder. Özellikle, müşterilerinin bilgilerinin Masaly gibi üçüncü bir hizmet sağlayıcıda işleneceği hususunda müşterilerini bilgilendirmek Veri Sorumlusu’nun sorumluluğundadır.
• Hak Talepleri: Veri Sorumlusu, ilgili kişilerden (örneğin kendi müşterilerinden) gelecek erişim, düzeltme, silme, itiraz gibi taleplerden doğrudan sorumludur. Veri Sorumlusu, gerekirse bu taleplerin yerine getirilmesi için Veri İşleyen’den destek talep edebilir; Veri İşleyen makul ölçüde bu desteği sağlayacaktır.
• Veri Minimizasyonu: Veri Sorumlusu, Masaly Platformu’na sadece işin gereği olan minimum düzeyde kişisel veri girecek; gereksiz, aşırı veya özel nitelikli kişisel verileri sistemi kullanırken talimat vermedikçe işlemeyecektir.
• Denetim Hakkı: Veri Sorumlusu, işbu Sözleşme’ye uyumun denetlenmesi amacıyla makul aralıklarla ve makul yöntemlerle Veri İşleyen’den bilgi talep edebilir. Denetim talepleri en az 30 gün önceden yazılı olarak bildirilmeli ve tarafların mutabakata varacağı bir zamanda gerçekleştirilmelidir.

Veri İşleyenin (Masaly’nin) Yükümlülükleri

• Talimatlara Uygun İşleme: Veri İşleyen, kişisel verileri sadece Veri Sorumlusu’nun verdiği yazılı talimatlar doğrultusunda, Sözleşme’de belirtilen amaç ve kapsamla sınırlı olarak işleyecektir.
• Gizlilik ve Sır Saklama: Veri İşleyen, kendisine aktarılan veya eriştiği tüm kişisel verileri gizli bilgi olarak kabul eder. Veri İşleyen ve çalışanları, işlediği kişisel verilere ilişkin süresiz sır saklama yükümlülüğü altındadır.
• Güvenlik Tedbirleri: Veri İşleyen, KVKK’nın 12. maddesi ve ilgili mevzuat uyarınca uygun teknik ve idari güvenlik tedbirlerini alacaktır. Yetkisiz erişim, veri kaybı veya ifşayı önlemek için şifreleme, erişim kontrolü, güvenlik duvarları ve düzenli güvenlik testleri gibi tedbirler uygulanır.
• İhlal Bildirimi: Veri İşleyen, işlediği kişisel verilerle ilgili herhangi bir veri ihlali meydana gelmesi durumunda bu durumu derhal (en geç öğrenimini takiben 24 saat içinde) Veri Sorumlusu’na bildirmekle yükümlüdür.
• Alt İşleyenler: Veri İşleyen, Veri Sorumlusu’nun yazılı onayı olmaksızın üçüncü bir tarafı alt işleyen olarak tayin etmeyecektir. Halihazırda kullanılan altyapı sağlayıcıları (Google Firebase, Paddle vb.) hizmetin kullanımı kapsamında zımnen onaylanmış sayılır.
• Verilerin Aktarımı: Veri İşleyen, verileri Türkiye dışına veya farklı bir şirkete aktarmak zorunda kalırsa bu aktarımı KVKK’nın 9. maddesine uygun şekilde gerçekleştirecektir.
• İlgili Kişi Talepleri: Veri İşleyen, yanlışlıkla kendisine yöneltilen bir ilgili kişi talebi alırsa bu talebi derhal Veri Sorumlusu’na iletecektir.
• İşleme Kapsamının Dışında Tutma: Veri İşleyen, sözleşme konusu olmayan herhangi bir amaçla kişisel verileri kullanamaz; verileri satmayacak veya devretmeyecektir.
• Veri Tutarlılığı ve Asgari İşleme: Veri İşleyen, kendisine aktarılan verilerin doğruluğunu sağlamak üzere makul çaba gösterecek ancak esas sorumluluğun Veri Sorumlusu’nda olduğunu kabul eder.

Verilerin İadesi veya İmhası

İşbu Sözleşme’nin veya Masaly hizmetine ilişkin ana sözleşmenin sona ermesi, feshi veya Veri Sorumlusu’nun yazılı talebi halinde Veri İşleyen, elindeki tüm kişisel verileri Veri Sorumlusu’na iade edecek veya güvenli bir şekilde imha edecektir. Veri Sorumlusu, sözleşme süresi içinde dilediği zaman Masaly sistemindeki verilerinin bir kopyasını talep edebilir; Veri İşleyen makul sürede bu talebi karşılar. İmha durumunda KVKK ve ilgili mevzuata uygun silme, yok etme veya anonim hale getirme yöntemleri uygulanır. Yedekleme sistemlerinde bulunan veriler de periyodik imha politikalarına göre silinecektir. Ancak mevzuat gereği Veri İşleyen’in muhafaza etmesi gereken veriler varsa, bu veriler yasal saklama süresi boyunca korunur.

Gizlilik ve Güvenlik Taahhüdü

Taraflar, bu Sözleşme kapsamında birbirlerinden elde ettikleri her türlü bilginin gizli olduğunu kabul ederler. Veri Sorumlusu’na ait ticari sırlar ve Veri İşleme süreçlerine dair detaylar da gizli bilgi kapsamındadır. Taraflar, yasal zorunluluklar haricinde, karşı tarafın yazılı izni olmadan gizli bilgileri üçüncü kişilere ifşa etmezler.

Sorumluluk ve Tazminat

Taraflar, veri koruma mevzuatından doğan yükümlülüklerini ihmal etmeleri veya ihlal etmeleri sonucu karşı tarafın veya ilgili kişilerin uğradığı zararları tazmin edeceklerdir. Veri İşleyen, kendisine atfedilebilen ihmaller nedeniyle Veri Sorumlusu’nun maruz kalacağı idari para cezaları, dava veya üçüncü kişi taleplerine karşı Veri Sorumlusu’nu tazmin edecektir. Benzer şekilde Veri Sorumlusu da bu Sözleşme ve ilgili kanunlara aykırı fiilleri nedeniyle Veri İşleyen’in maruz kalacağı zararlarda tazmin sorumluluğu taşır. Tarafların sorumluluğu doğrudan zararlarla sınırlıdır; dolaylı zararlar kapsam dışı bırakılabilir.

Denetim ve İşbirliği

Veri İşleyen, Kişisel Verileri Koruma Kurumu veya diğer yetkili otoritelerin denetimlerinde Veri Sorumlusu’na gerekli yardımı sağlayacaktır. Taraflar, KVKK’ya uyum konusunda işbirliği içinde hareket edecek, birbirlerinden makul ölçüde belge ve bilgi taleplerini karşılayacaklardır.

Alt İşleyen Listesi (Örnek)

Masaly’nin halihazırda kullandığı alt işleyenler Ek-1 olarak belirtilebilir. Örnek: “Google Cloud (Firebase) – Sunucu barındırma, konum: Avrupa/Belçika; Paddle – Ödeme altyapısı, konum: İrlanda”.

Uygulanacak Hukuk ve Uyuşmazlıkların Çözümü

Bu Sözleşme, KVKK ve ilgili mevzuata tabidir. Türk hukukuna tabi olarak yorumlanacak ve uygulanacaktır. Sözleşme’den kaynaklanan uyuşmazlıkların çözümünde İstanbul Mahkemeleri ve İcra Daireleri yetkilidir. Taraflar, mümkün olduğunca uzlaşma ve müzakere yoluyla anlaşmazlıkları çözmeye gayret edeceklerdir.

Yürürlük

İşbu Veri İşleme Sözleşmesi elektronik ortamda onaylanmak suretiyle akdedilmiş olup, kullanıcının Masaly hizmetine kaydolmasıyla birlikte yürürlüğe girer. Sözleşme, Kullanım Koşulları’nın ayrılmaz bir parçasıdır. Taraflar, Sözleşme’nin bir nüshasını elektronik olarak saklayabilir.

İşbu Sözleşme’de düzenlenmemiş konular için KVKK, ilgili mevzuat ve taraflar arasındaki ana hizmet sözleşmesi hükümleri uygulanır.