← Geri Yazdır / PDF ← Hizmet Sözleşmesi

VERİ İŞLEME SÖZLEŞMESİ

(TEKMA Soft Hizmet ve Abonelik Sözleşmesi – Ek-A) · Sürüm: 2026-11-07

Madde 1 – Taraflar ve Sıfatları

1.1. Bu Veri İşleme Sözleşmesi ("VİS"); TEKMA Soft Hizmet ve Abonelik Sözleşmesi'ni ("Hizmet Sözleşmesi") onaylayan Müşteri ("Veri Sorumlusu") ile TEKMA Mühendislik ve Otomasyon A.Ş. ("Veri İşleyen") arasında, Hizmet Sözleşmesi'nin ayrılmaz parçası olarak kurulmuştur.

1.2. Müşteri, Hizmet'e girdiği veya Hizmet aracılığıyla toplattığı kişisel veriler bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.3 anlamında veri sorumlusu; TEKMA ise bu verileri Müşteri adına, onun verdiği yetkiye dayanarak ve talimatları doğrultusunda işleyen veri işleyendir.

1.3. TEKMA'nın kendi hesap, ödeme, faturalama ve destek süreçlerinde işlediği hesap sahibi ve yetkili kullanıcı verileri bu VİS'in kapsamı dışındadır; bu veriler bakımından TEKMA veri sorumlusudur.

Madde 2 – Tanımlar

Bu VİS'te yer alan "kişisel veri", "özel nitelikli kişisel veri", "ilgili kişi", "işleme", "veri sorumlusu", "veri işleyen" ve "Kurul" kavramları KVKK'daki anlamlarıyla kullanılmıştır. "Alt Veri İşleyen", TEKMA'nın Hizmet'in sunulması için Müşteri verilerinin işlenmesinde yararlandığı üçüncü kişi hizmet sağlayıcısını; "Veri İhlali", Müşteri verilerinin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya güvenlik tedbirlerine rağmen bozulması, kaybolması ya da yetkisiz erişime uğramasını ifade eder.

Madde 3 – İşlemenin Konusu, Niteliği ve Süresi

3.1. İşlemenin konusu, amacı, ilgili kişi grupları, veri kategorileri ve süresi bu VİS'in Ek-1'inde belirtilmiştir.

3.2. TEKMA, Müşteri verilerini yalnızca Hizmet'in sunulması, teknik destek, güvenlik ve yasal yükümlülüklerin yerine getirilmesi amacıyla işler. TEKMA, Müşteri verilerini kendi amaçları için kullanamaz, satamaz, pazarlama veya profilleme amacıyla işleyemez.

3.3. İşleme faaliyeti, Hizmet Sözleşmesi'nin süresi ve Madde 11'deki iade ve imha süreci boyunca devam eder.

Madde 4 – Müşteri'nin (Veri Sorumlusunun) Yükümlülükleri

4.1. Müşteri, Hizmet'e girdiği kişisel verileri KVKK m.4'teki ilkelere uygun ve m.5-6'daki hukuki sebeplerden birine dayanarak işlediğini; ilgili kişilere karşı aydınlatma yükümlülüğünü (KVKK m.10) yerine getirdiğini ve gerekli hallerde açık rızalarını aldığını kabul eder.

4.2. Müşteri, VERBİS'e kayıt yükümlülüğü bulunması halinde bu yükümlülüğü yerine getirmekten ve kayıtta veri işleyen olarak TEKMA'ya yer vermekten sorumludur.

4.3. Müşteri'nin talimatları; Hizmet Sözleşmesi, bu VİS ve Hizmet'in arayüzünde yaptığı ayar ve işlemlerden oluşur. Müşteri'nin bunlar dışındaki talimatları yazılı olarak verilir.

Madde 5 – TEKMA'nın (Veri İşleyenin) Yükümlülükleri

5.1. Talimata bağlılık. TEKMA, Müşteri verilerini yalnızca Müşteri'nin talimatları doğrultusunda işler. Bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi gecikmeksizin bilgilendirir.

5.2. Gizlilik. TEKMA, Müşteri verilerine erişen çalışanlarının ve alt veri işleyenlerinin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Erişim, görevin gerektirdiği kişilerle ve ölçüyle sınırlıdır. Gizlilik yükümlülüğü sözleşmenin sona ermesinden sonra da devam eder.

5.3. Güvenlik tedbirleri. TEKMA, KVKK m.12 ve Kurul'un Kişisel Veri Güvenliği Rehberi'ni esas alarak en az Ek-2'de sayılan teknik ve idari tedbirleri uygular ve bunları teknolojik gelişmelere göre günceller.

5.4. Özel nitelikli kişisel veriler. Hizmet'in İSG ve PDKS/İK modüllerinde sağlık verisi gibi özel nitelikli kişisel verilerin işlenmesi halinde TEKMA, Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı "Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" kararında öngörülen önlemlerden veri işleyene düşenleri uygular. Bu kapsamda söz konusu verilere erişim yalnızca Müşteri'nin özel olarak yetkilendirdiği kullanıcılarla sınırlandırılır ve erişimler ayrıca kayıt altına alınır.

5.5. İlgili kişi başvurularına destek. TEKMA, ilgili kişilerin KVKK m.11 kapsamındaki başvurularını yanıtlayabilmesi için Müşteri'ye teknik olarak mümkün olan desteği sağlar. TEKMA'ya doğrudan ulaşan başvuruları, kendisi yanıtlamaksızın en geç 3 iş günü içinde Müşteri'ye iletir.

5.6. Kurul ve resmî makam talepleri. TEKMA, Müşteri verilerine ilişkin olarak Kurul veya başka bir resmî makamdan aldığı talepleri, hukuken mümkün olduğu ölçüde gecikmeksizin Müşteri'ye bildirir.

5.7. Destek amaçlı erişim. TEKMA personeli, Müşteri hesabına yalnızca Müşteri'nin Ayarlar › Erişim İzni bölümünden verdiği izin kapsamında ve izin süresince erişir. Her erişim kayıt altına alınır ve Müşteri'ye e-posta ile bildirilir. Müşteri izni dilediği zaman geri alabilir.

Madde 6 – Alt Veri İşleyenler

6.1. Müşteri, Ek-3'te listelenen alt veri işleyenlerin kullanılmasına izin verir.

6.2. TEKMA, yeni bir alt veri işleyen eklemeden veya mevcut olanı değiştirmeden en az 30 gün önce Müşteri'yi e-posta ile bilgilendirir. Müşteri, haklı bir sebebe dayanarak bu süre içinde itiraz edebilir. İtirazın giderilememesi halinde Müşteri, Hizmet Sözleşmesi'ni bildirim süresine uymaksızın feshedebilir ve kullanılmayan süreye ilişkin bedel iade edilir.

6.3. TEKMA, alt veri işleyenlerle bu VİS'tekilerden daha az koruyucu olmayan yükümlülükler içeren yazılı sözleşmeler yapar ve alt veri işleyenlerin fiillerinden Müşteri'ye karşı kendi fiili gibi sorumludur.

Madde 7 – Yurt Dışına Aktarım

7.1. Müşteri verileri kural olarak Türkiye'de bulunan sunucularda barındırılır: GNET İnternet Telekomünikasyon A.Ş.

7.2. Müşteri verilerinin bir alt veri işleyen aracılığıyla yurt dışına aktarılması gerekirse, aktarım ancak KVKK m.9'da öngörülen şartlardan birine (yeterlilik kararı, Kurul'un ilan ettiği standart sözleşme veya diğer uygun güvenceler) dayanılarak yapılır. Standart sözleşme kullanılması halinde, sözleşme imzadan itibaren 5 iş günü içinde Kurul'a bildirilir. TEKMA, aktarımın dayanağını ve alıcının bulunduğu ülkeyi Ek-3'te gösterir.

Madde 8 – Veri İhlali Bildirimi

8.1. TEKMA, Müşteri verilerini etkileyen bir Veri İhlali'ni öğrendiğinde Müşteri'yi gecikmeksizin ve her halükârda öğrenme anından itibaren en geç 24 saat içinde bilgilendirir.

8.2. Bildirim, o an itibarıyla bilinebildiği ölçüde şu bilgileri içerir: ihlalin niteliği ve tespit zamanı; etkilenen veri kategorileri ile yaklaşık ilgili kişi ve kayıt sayısı; olası sonuçlar; alınan ve alınması önerilen tedbirler; irtibat kişisi. Bilinmeyen bilgiler öğrenildikçe tamamlanır.

8.3. Müşteri'nin KVKK m.12/5 uyarınca ihlali Kurul'a ve ilgili kişilere bildirme yükümlülüğü Müşteri'ye aittir. TEKMA, bu bildirimlerin süresinde (Kurul'a 72 saat) yapılabilmesi için gerekli bilgi ve belgeleri sağlar ve ihlalin etkilerini sınırlamak için gerekli tedbirleri derhal alır.

8.4. TEKMA, Müşteri'nin önceden yazılı onayı olmaksızın ihlale ilişkin olarak Müşteri'nin ilgili kişilerine doğrudan bildirimde bulunmaz; yasal zorunluluklar saklıdır.

Madde 9 – Denetim

9.1. TEKMA, bu VİS'e uygunluğu gösteren bilgi ve belgeleri (güvenlik politikaları, varsa bağımsız denetim raporları ve sertifikalar) Müşteri'nin yazılı talebi üzerine 30 gün içinde sunar.

9.2. Bu belgelerin yetersiz kalması veya bir Veri İhlali'nin meydana gelmesi halinde Müşteri, masrafları kendisine ait olmak üzere, en az 30 gün önceden bildirimde bulunarak, yılda en fazla bir kez, mesai saatleri içinde ve TEKMA'nın diğer müşterilerinin verilerinin gizliliğini ihlal etmeyecek şekilde denetim yapabilir veya bağımsız bir denetçiye yaptırabilir.

Madde 10 – Sorumluluk

10.1. Tarafların ilgili kişilere ve Kurul'a karşı KVKK'dan doğan sorumlulukları saklıdır. TEKMA, KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınması konusunda Müşteri ile birlikte müştereken sorumludur.

10.2. Taraflar arasındaki iç ilişkide her taraf, kendi kusuru oranında sorumludur. TEKMA'nın bu VİS'e veya Müşteri talimatlarına aykırı davranmasından doğan ve Müşteri'ye yüklenen idari para cezaları ile ilgili kişilere ödenen tazminatlar bakımından Müşteri'nin TEKMA'ya rücu hakkı saklıdır.

10.3. Hizmet Sözleşmesi'nin 7.4. maddesindeki sorumluluk üst sınırı, bu VİS bakımından TEKMA'nın kastı, ağır ihmali ve VİS'e veya talimatlara aykırı işleme halleri dışında uygulanır.

Madde 11 – Sözleşmenin Sona Ermesi; Verilerin İadesi ve İmhası

11.1. Hizmet Sözleşmesi'nin herhangi bir nedenle sona ermesi halinde Müşteri, sona erme tarihinden itibaren 60 gün içinde verilerini Hizmet'teki "Verilerimi Yedekle" özelliği ile Excel biçiminde dışa aktarabilir; satış ve alış faturalarının PDF çıktıları ise abonelik süresi dolmadan önce Hizmet üzerinden indirilebilir.

11.2. Bu sürenin sonunda TEKMA, Müşteri verilerini ve yedeklerini, yasal saklama zorunluluğu bulunanlar hariç olmak üzere silme, yok etme veya anonim hale getirme yöntemlerinden biriyle geri döndürülemez şekilde imha eder. Felaket kurtarma yedeklerindeki veriler, yedekleme döngüsü içinde ve en geç 60 gün içinde imha edilir; bu süre boyunca söz konusu veriler başka hiçbir amaçla işlenmez.

11.3. TEKMA, Müşteri'nin talebi halinde imha işleminin yapıldığını yazılı olarak teyit eder.

Madde 12 – Muhtelif Hükümler

12.1. Bu VİS ile Hizmet Sözleşmesi arasında kişisel verilerin işlenmesine ilişkin çelişki halinde bu VİS hükümleri uygulanır.

12.2. Bu VİS, Hizmet Sözleşmesi'nin onaylanmasıyla yürürlüğe girer ve Madde 11'deki yükümlülükler tamamlanana kadar yürürlükte kalır. Gizlilik yükümlülükleri süresiz olarak devam eder.

12.3. Bu VİS'e Türk hukuku uygulanır; uyuşmazlıkların çözümünde Hizmet Sözleşmesi'nin 15. maddesi uygulanır.

Ek-1 – İşleme Faaliyetinin Tanımı

İşlemenin niteliği: Kaydetme, depolama, muhafaza etme, Müşteri'nin talimatına göre değiştirme, raporlama, e-belge entegratörüne aktarma, dışa aktarma, silme.

İşlemenin süresi: Hizmet Sözleşmesi süresi ve VİS Madde 11'deki iade ve imha süreci.

Ek-2 – Teknik ve İdari Tedbirler

Teknik tedbirler

• İletim sırasında şifreleme (TLS 1.2 veya üstü); parolaların tek yönlü ve tuzlanmış (salted) özet fonksiyonlarıyla saklanması; hassas ayarların şifreli saklanması.
• Müşteri verilerinin mantıksal olarak birbirinden ayrıştırılması (çok kiracılı yapıda kiracı izolasyonu).
• Rol ve yetki bazlı erişim kontrolü; yönetici erişimlerinde çok faktörlü kimlik doğrulama.
• Sunucu ve uygulama erişimlerinin kayıt altına alınması ve kayıtların en az 2 yıl saklanması.
• Güvenlik duvarı, güncel yama yönetimi, zararlı yazılım koruması ve yılda en az bir kez sızma testi.
• Günlük, Haftalık yedekleme; yedeklerin şifreli ve farklı bir konumda saklanması; geri dönüş testleri.

İdari tedbirler

• Personelle gizlilik taahhütnameleri ve KVKK farkındalık eğitimleri.
• Bilgi güvenliği ve kişisel veri saklama-imha politikalarının yazılı hale getirilmesi.
• Yetkilerin görev değişikliği ve ayrılışlarda derhal güncellenmesi.
• Veri ihlali müdahale prosedürü ve irtibat kişisinin belirlenmesi.
• Alt veri işleyenlerle yazılı sözleşme yapılması ve periyodik değerlendirme.

Ek-3 – Alt Veri İşleyenler