Veri İşleme Sözleşmesi

Bu sözleşme (sürüm 1.0), Kullanıcı Sözleşmesi'nin eki ve ayrılmaz parçasıdır. Müşteri'nin yetkili yöneticisi tarafından panelden elektronik olarak onaylanır; onay tarihi, onaylayan kullanıcı ve IP adresi kaydedilir.

1. Taraflar ve roller

Asel Yalova Global İnşaat Gıda Tarım Makine ve Dış Ticaret Ltd. Şti. (MERSİS 0086126640700001 · Yalova V.D. 0861266407 · Ticaret Sicil 10020 (Yalova TSO), Süleyman Bey Mah. Arabacılar Sk. No: 17/2, Merkez / Yalova) ("ArkivPort" veya "Veri İşleyen") ile ArkivPort hizmetini kullanan işletme ("Müşteri" veya "Veri Sorumlusu") arasında kurulur.

Müşteri'nin hizmete aktardığı belgelerdeki ve kayıtlardaki kişisel veriler bakımından Müşteri 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") anlamında veri sorumlusu, ArkivPort veri işleyendir. Müşteri'nin hesabına ilişkin veriler (kullanıcı adları, e-posta adresleri, faturalama) bakımından ise ArkivPort veri sorumlusudur; bunlar KVKK Aydınlatma Metni ile düzenlenir.

2. İşlemenin konusu ve süresi

Belge dosyaları Müşteri'nin bağladığı depoda (Google Drive, OneDrive, Dropbox, kendi sunucusu vb.) saklanır; ArkivPort dosyaları yalnız Müşteri'nin işlemi sırasında (yükleme, görüntüleme, indirme) aktarır ve kalıcı kopyasını tutmaz. Müşteri ArkivPort'un sağladığı bir depoyu seçerse dosyalar da Türkiye'deki veri merkezinde bu sözleşme kapsamında saklanır. ArkivPort Müşteri adına şu işlemleri yapar:

• belgelerin adı, türü, tarihi, etiket ve boyut değerleri gibi üstverilerin kaydı ve aranması,
• Müşteri açarsa belgelerin metninin çıkarılması (OCR), arama indeksi ve otomatik etiket önerileri,
• personel listesinin (ad soyad, görev, birim, işe giriş ve ayrılış tarihleri) tutulması ve özlük belgelerinin kişiye bağlanması,
• Müşteri'nin deposunda klasör ağacının kurulması ve belgelerin ilgili klasöre yerleştirilmesi,
• saklama sürelerinin izlenmesi, paylaşım bağlantıları ve erişimlerin denetim kaydına yazılması.

İşleme, Kullanıcı Sözleşmesi yürürlükte olduğu sürece devam eder.

3. İlgili kişi ve veri kategorileri

• İlgili kişiler: Müşteri'nin çalışanları ve çalışan adayları, müşterileri, tedarikçileri, iş ortakları ve belgelerde adı geçen diğer kişiler.
• Veri kategorileri (belgelerde yer aldığı ölçüde): kimlik, iletişim, özlük, finans (fatura, dekont, bordro), hukuki işlem ve müşteri işlem verileri.
• Özel nitelikli veriler (ör. sağlık raporu): Müşteri, bu verileri içeren belgeleri yüklemeden önce KVKK md. 6'daki şartları sağlamakla yükümlüdür; bu belgeler için yapay zekâ özelliklerini açıp açmamaya Müşteri karar verir.

4. Müşteri'nin yükümlülükleri

• Kişisel verileri KVKK md. 5 ve 6'daki hukuki sebeplere dayanarak işlemek ve ilgili kişileri md. 10 uyarınca aydınlatmak (çalışanlarını personel listesi ve özlük belgeleri bakımından aydınlatmak dahil),
• ArkivPort'a talimatlarını panel ayarları ve yazılı bildirim yoluyla vermek; panelde yapılan ayarlar (yapay zekâ özelliklerinin açılması, paylaşım, saklama süreleri) Müşteri'nin talimatı sayılır,
• Panel kullanıcılarına yalnız işlerinin gerektirdiği yetkiyi vermek ve ayrılan çalışanların erişimini kaldırmak,
• İlgili kişilerin KVKK md. 11 kapsamındaki başvurularını veri sorumlusu olarak yanıtlamak.

5. ArkivPort'un yükümlülükleri

• Kişisel verileri yalnız Müşteri'nin talimatı doğrultusunda ve hizmetin sunulması amacıyla işlemek; kendi amaçları için kullanmamak, satmamak ve yapay zekâ modellerinin eğitiminde kullanmamak,
• Verilere erişen çalışanlarına ve alt işleyenlerine gizlilik yükümlülüğü getirmek,
• KVKK md. 12 uyarınca gerekli teknik ve idari tedbirleri almak; asgari olarak: iletimde şifreleme (TLS), depo erişim anahtarlarının şifreli saklanması, firmalar arası veri yalıtımı, rol bazlı yetkilendirme ve iki adımlı doğrulama, değiştirilemez denetim kaydı ve her gece şifreli yedekleme,
• Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi gecikmeksizin bilgilendirmek,
• İlgili kişi başvurularının yanıtlanmasında Müşteri'ye, panel araçlarıyla (dışa aktarma, silme talebi) ve talep hâlinde yazılı destekle yardımcı olmak.

6. Veri ihlali bildirimi

ArkivPort, işlediği kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiğini öğrendiğinde Müşteri'yi gecikmeksizin ve en geç 24 saat içinde e-postayla bilgilendirir. Bildirimde ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan önlemler yer alır. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'dedir; ArkivPort bu bildirimler için gereken bilgileri sağlar.

7. Alt işleyenler

ArkivPort hizmeti sunarken aşağıdaki alt işleyenlerden yararlanır ve onlara bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler:

Müşteri'nin kendi bağladığı depo sağlayıcısı (Google, Microsoft, Dropbox vb.) ArkivPort'un alt işleyeni değildir; o ilişki Müşteri ile sağlayıcı arasındadır. ArkivPort yeni bir alt işleyen eklemeden en az 30 gün önce Müşteri'yi e-postayla bilgilendirir; Müşteri haklı bir sebeple itiraz ederse sözleşmeyi bu tarihe kadar ücret iadesiyle feshedebilir.

8. Yurt dışına aktarım

Kişisel veriler yalnız 7. maddedeki yurt dışı alt işleyenlere ve KVKK md. 9 kapsamında standart sözleşme imzalanarak aktarılır. Belge içeriğinin yurt dışına aktarımını gerektiren yapay zekâ özellikleri varsayılan olarak kapalıdır ve yalnız Müşteri'nin panelden açmasıyla, onun talimatı olarak çalışır.

9. Denetim

ArkivPort, bu sözleşmeye uyduğunu gösteren bilgi ve belgeleri Müşteri'nin yazılı talebi üzerine 30 gün içinde sağlar. Müşteri yılda en çok bir kez, 30 gün önceden bildirmek, gizlilik taahhüdü vermek ve masrafını üstlenmek koşuluyla denetim yapabilir veya bağımsız bir denetçiye yaptırabilir; denetim diğer müşterilerin verilerine erişimi kapsamaz.

10. Sözleşmenin sona ermesi

Hesap kapatıldığında Müşteri, kapanıştan önce üstverilerini panelden dışa aktarabilir. ArkivPort kapanıştan sonra 30 gün içinde Müşteri adına işlediği kişisel verileri siler veya anonim hâle getirir; kanunen saklanması zorunlu kayıtlar (fatura, trafik ve denetim kayıtları) bu süreler boyunca korunur. Müşteri'nin deposundaki dosya ve klasörler Müşteri'de kalır; ArkivPort bunları silmez.

11. Sorumluluk

Bu sözleşmeden doğan sorumlulukta Kullanıcı Sözleşmesi md. 7 uygulanır. Taraflardan her biri kendi yükümlülüğünü ihlal etmesinden doğan idari para cezası ve tazminattan sorumludur; diğer tarafın ihlalinden doğan zararlar için rücu hakkı saklıdır.

12. Değişiklik ve yürürlük

Bu sözleşmedeki değişiklikler yeni sürüm olarak yayınlanır ve panelde Müşteri'nin onayına sunulur; yeni sürüm onaylanana kadar önceki onaylı sürüm geçerliliğini korur. Uyuşmazlıklarda Kullanıcı Sözleşmesi md. 9 uygulanır.