Veri İşleme Sözleşmesi

1. Taraflar

İşbu Veri İşleme Sözleşmesi (“Sözleşme”), aşağıda bilgileri yer alan BayPro Yazılım (“BayPro” veya “Veri İşleyen”) ile BayCRM hizmetini satın alan ve aşağıda veya ilişkilendirilen sipariş kaydında tanımlanan müşteri (“Müşteri” veya “Veri Sorumlusu”) arasında akdedilir.

2. Amaç, kapsam ve tanımlar

Sözleşme, BayCRM bulut hizmeti kapsamında BayPro'nun Müşteri adına işlediği kişisel verileri düzenler. “Ana Sözleşme” taraflar arasındaki BayCRM Hizmet Sözleşmesini; “KVKK” 6698 sayılı Kişisel Verilerin Korunması Kanununu; “İlgili Kişi” kişisel verisi işlenen gerçek kişiyi; “Alt İşleyen” BayPro'nun Müşteri adına işleme için görevlendirdiği diğer veri işleyeni ifade eder.

“Kapsam Verileri”, Ek 1'de belirtilen Müşteri kişisel verileridir. “İhlal”, bu verilerin hukuka aykırı veya kazara yok edilmesi, kaybı, değiştirilmesi, yetkisiz açıklanması veya erişime açılmasıyla sonuçlanan güvenlik olayını ifade eder. Bu sözleşmesel tanım, belirli bir olay için kanuni bildirim gerekip gerekmediğinin ayrıca değerlendirilmesini engellemez.

Ek 1 işleme kapsamını, Ek 2 güvenlik tedbirlerini, Ek 3 alt işleyen ve aktarım envanterini, Ek 4 iletişim ve yaşam döngüsü sürelerini belirler. Ekler Sözleşmenin ayrılmaz parçasıdır. Veri işleme konularında bu Sözleşme Ana Sözleşmeye göre önceliklidir; emredici mevzuat ve uygulanabilir zorunlu aktarım hükümleri her durumda saklıdır.

3. Tarafların rolleri

Müşteri, Kapsam Verilerinin hangi amaçlarla ve hangi esaslı yöntemlerle işleneceğini belirler. BayPro bu verileri Müşterinin belgelenmiş talimatlarıyla ve onun adına işler. Sözleşmedeki unvanlar fiili faaliyetin hukuki niteliğini değiştirmez.

BayPro'nun kendi faturalama, ticari ilişki yönetimi ve doğrudan kendisine yüklenen hukuki yükümlülükleri için ayrı veri sorumlusu olarak işlediği sınırlı veriler bu işleyen ilişkisinden ayrıdır; amaçları, hukuki sebepleri ve saklama süreleri ilgili BayPro aydınlatma metninde açıklanır. Bu istisna CRM içeriğinin bağımsız amaçlarla kullanılmasına izin vermez.

Müşteri başka bir veri sorumlusu adına veri işliyorsa, gerekli yetkiyi ve alt işleyen onayını aldığını bildirir. Bu işlem bakımından Müşteri veri işleyen, BayPro alt işleyen olarak hareket eder; zincirdeki roller Ek 1'e yazılır. Sözleşme, asıl veri sorumlusunun talimat ve haklarını azaltacak şekilde yorumlanamaz.

4. Belgelenmiş talimatlar ve amaç sınırı

BayPro yalnızca bu Sözleşme, tamamlanmış ekler, yetkili kullanıcıların izin verilen uygulama işlemleri ve doğrulanmış yazılı destek talepleriyle verilen talimatlar çerçevesinde işleme yapar. Ek 1 dışındaki veri türü, amaç veya alıcılar için önce kapsam güncellenir ve gerekli hukuki şartlar sağlanır. BayPro, mutabık kalınan korumayı azaltmadan esaslı olmayan teknik uygulama yöntemlerini belirleyebilir.

BayPro hukuka aykırı olduğunu değerlendirdiği talimatı gerekçesiyle gecikmeksizin bildirir ve açıklığa kavuşana kadar yalnızca ilgili işlemi durdurabilir. Mevzuatın zorunlu kıldığı talimat dışı işlemede, hukuken yasak değilse Müşteriyi önceden bilgilendirir; işlemi zorunlu kapsamla sınırlar.

Kapsam Verileri satılamaz; bağımsız reklam, müşteri profilleme veya genel amaçlı yapay zekâ modeli eğitimi için kullanılamaz. Kişisel veri içeren destek örnekleri, hata kayıtları ve ekran görüntüleri de aynı korumaya tabidir. Yapay zekâ entegrasyonu varsa sağlayıcısı, veri kullanımı, saklama ve aktarım şartları ayrıca açıklanıp hukuka uygun biçimde onaylanmadan etkinleştirilmez. Takma adlandırılmış veriler kişisel veri olarak korunmaya devam eder.

5. Müşterinin yükümlülükleri

Müşteri; hukuki sebebi belirlemek, gerekli aydınlatmayı yapmak, gerektiğinde geçerli açık rıza almak, verilerin doğruluğunu ve amaçla sınırlılığını gözetmek, saklama sürelerini belirlemek ve hukuka uygun talimat vermekle yükümlüdür. Pazarlama iletileri ve iletişim izinleri ayrıca ilgili mevzuata göre yönetilir; bu Sözleşme tek başına ileti gönderme izni değildir.

Müşteri, kullanıcı yetkilerini görevle sınırlar, ortak hesap kullanımından kaçınır, ayrılan kullanıcıların erişimini kaldırır, güvenlik uyarılarını takip eder ve ihlal şüphesini BayPro'ya bildirir. Yalnızca iş amacı için gerekli veriler yüklenir. Bu sorumluluklar BayPro'nun kendi yükümlülüklerini ortadan kaldırmaz.

6. BayPro'nun yükümlülükleri ve personel gizliliği

BayPro, Kapsam Verilerine erişimi hizmet için ihtiyaç duyan yetkili personelle sınırlar; personele veri koruma eğitimi verir, gizlilik yükümlülüğü yükler ve görev sona erdiğinde erişimi kaldırır. Gizlilik yükümlülüğü iş ilişkisinden sonra da devam eder.

Destek erişimi doğrulanmış talebe veya belgelenmiş operasyonel zorunluluğa dayanır; kapsamı ve süresi sınırlandırılır, işlem kaydı tutulur. Acil müdahalede önceden onay mümkün değilse gerekçe kaydedilir ve hukuken mümkün olan ilk anda Müşteriye bilgi verilir. BayPro, yetkili işleme faaliyetleri ile güvenlik, talimat ve alt işleyen kayıtlarını uygun biçimde tutar.

7. Teknik ve idari tedbirler

BayPro; veri türü, işleme kapsamı, risk ve teknolojik gelişmeleri dikkate alarak Ek 2'deki tedbirleri uygular ve etkinliğini düzenli değerlendirir. Tedbirler hizmete ilişkin işleme başlamadan önce yürürlüğe alınır. Güncellemeler koruma düzeyini esaslı biçimde düşüremez; esaslı değişiklikler Müşteriye bildirilir.

Çok kiracılı mimaride müşteriler arasında yetkisiz veri erişimi önlenir. Yedekleme, kayıt tutma ve felaket kurtarma süreleri Ek 4'te somutlaştırılır. Müşterinin kendi yedeğini alabilmesi BayPro'nun kabul ettiği yükümlülükleri kaldırmaz. Bu Sözleşme mevcut olmayan bir sertifika, bağımsız denetim sonucu veya sıfır risk garantisi beyan etmez.

8. Özel nitelikli veriler ve yüksek riskli kullanım

Özel nitelikli kişisel verilerin işlenmesi varsayılan hizmet kapsamında değildir. Böyle bir ihtiyaç varsa veri kategorileri, işleme şartı, erişim grupları, ek güvenlik önlemleri ve aktarım düzeni Ek 1 ve Ek 2'de açıkça kararlaştırılmadan veri yüklenmez. Kurulca belirlenen yeterli önlemler dahil uygulanabilir gereklilikler yerine getirilir.

Çocuk verileri, ayrıntılı konum takibi, iletişim içerikleri veya kişileri önemli ölçüde etkileyen otomatik değerlendirmeler ancak açıkça kapsamlandırılmış ve hukuka uygun kullanım için işlenebilir. Beklenmeyen hassas veri fark edildiğinde taraflar erişimi sınırlandırır ve güvenli silme, iade veya uygun kapsam oluşturma talimatını gecikmeksizin belirler.

9. Alt işleyenler ve üçüncü taraf entegrasyonları

Müşteri, yalnızca Ek 3'te kimliği, görevi, konumu ve veri erişimi açıklanan alt işleyenleri kabul ederek BayPro'ya bunları kullanma yetkisi verir. Boş liste sınırsız yetki veya “alt işleyen yoktur” beyanı değildir. BayPro yeni alt işleyen veya esaslı değişiklik için en az [ÖNERİ: 30 TAKVİM GÜNÜ] önceden Ek 4'teki kanaldan bildirim yapar.

Müşteri bildirimden itibaren [ÖNERİ: 15 TAKVİM GÜNÜ] içinde somut veri koruma gerekçesiyle itiraz edebilir. Sessizlik ancak tamamlanmış ilk listeyle birlikte bu değişiklik usulü açıkça kabul edilmişse genel yetkilendirme kapsamında değerlendirilebilir; hiçbir şekilde yurt dışı aktarımın hukuki dayanağı sayılmaz. Süresinde yapılan itiraz çözülmeden ilgili yeni işleyene aktarım başlamaz. Alternatif sağlanamazsa etkilenen hizmet, kullanılmamış peşin bedelin oransal iadesiyle sona erdirilebilir.

BayPro, alt işleyenle bu Sözleşmeye uygun koruma sağlayan yazılı yükümlülükler kurar, yeterli güvenceyi değerlendirir ve onun devredilen yükümlülüklerinin ifasından Müşteriye karşı sorumlu olmaya devam eder. Sonraki alt işleyen zincirinde de aynı koruma ve yetkilendirme şartları uygulanır.

Müşterinin doğrudan sözleşme yaptığı entegrasyon sağlayıcısı otomatik olarak BayPro'nun alt işleyeni sayılmaz. Her bağlantının rolü Ek 3'te belirtilir. Entegrasyonu etkinleştirmek, açıklanmamış veri kullanımı veya hukuka aykırı aktarıma izin vermez.

10. İşleme yerleri ve yurt dışına aktarım

Üretim, yedekleme, felaket kurtarma, destek ve uzaktan erişim ülkeleri Ek 3'te ayrı ayrı açıklanır. Türkiye dışındaki erişim veya barındırma, uygulanabilir aktarım kurallarına göre ayrıca değerlendirilir. “Bulut hizmeti” ifadesi tek başına konum veya aktarım izni oluşturmaz.

Yurt dışı aktarım, KVKK'nın 9. maddesi ve uygulanabilir diğer kurallar uyarınca geçerli bir mekanizma sağlanmadan başlatılmaz. Standart sözleşme kullanılacaksa doğru aktarım türüne uygun resmi metin ayrıca düzenlenir; bildirim sorumlusu Ek 3'te belirlenir ve imzadan itibaren beş iş günlük bildirim dahil gereken işlemler yerine getirilir. Bu Sözleşme resmi standart sözleşmenin yerine geçmez.

Aktarım güvencesi geçerliliğini kaybederse taraflar derhal haberleşir; uygun çözüm kurulana kadar etkilenen aktarım durdurulur. İşleme ülkesi veya yabancı erişim düzeninin değişmesi 9. maddedeki ön bildirim/itiraz usulüne ve yeni aktarım şartlarının tamamlanmasına tabidir.

11. İlgili kişi talepleri ve uyum desteği

BayPro doğrudan aldığı Kapsam Verilerine ilişkin talepleri, gereksiz gecikme olmaksızın ve en geç [ÖNERİ: 2 İŞ GÜNÜ] içinde Müşteriye iletir. Müşteri talimatı veya kanuni zorunluluk olmadan esasa ilişkin cevap vermez; güvenli yönlendirme yapabilir. Kimlik doğrulama, veri bulma, düzeltme, dışa aktarma, erişim sınırlandırma ve silme için hizmetin niteliğine uygun destek sağlar.

Müşteri, talep ve uygulanacak kanuni süreyi BayPro'ya bildirir. BayPro, Müşterinin bu süreyi karşılamasına imkan verecek zamanda yardım eder; süre dolmaya yakın talepler önceliklendirilir. Gerekli risk değerlendirmeleri, yetkili makam incelemeleri ve uygulanabilir olduğu ölçüde etki değerlendirmeleri/ön istişareler için elindeki ilgili bilgileri sağlar. Ek ücret ancak önceden kabul edilmiş olağan dışı çalışmalar için kararlaştırılabilir; BayPro'nun kendi ihlali veya yükümlülüğünün giderilmesi ücretlendirilemez, kanuni işbirliği ücret anlaşmazlığı nedeniyle geciktirilemez.

12. İhlal bildirimi ve müdahale

BayPro, Kapsam Verilerini etkileyen İhlali öğrendiğinde Müşteriyi gecikmeksizin bilgilendirir. Ek sözleşmesel üst sınır [ÖNERİ: ÖĞRENMEDEN İTİBAREN 24 SAAT] olup bu süre bekleme hakkı vermez. Tüm ayrıntılar bilinmese de ilk bildirim yapılır, eksik bilgiler tamamlandıkça paylaşılır. Ciddi ihlal şüphesi de doğrulama durumu belirtilerek gecikmeksizin bildirilir.

Bildirim; bilindiği ölçüde olay ve öğrenme zamanını, etkilenen veri/kişi kategorileri ve yaklaşık sayıları, olası etkileri, alınan veya önerilen önlemleri ve irtibat kişisini içerir. BayPro delilleri korur, olayı sınırlar, alt işleyenlerle koordinasyon kurar ve kök neden ile düzeltici faaliyetleri kayıt altına alır.

Kurula ve ilgili kişilere gerekli bildirimlerin yapılması kural olarak Müşterinin veri sorumlusu rolüne aittir; BayPro gerekli desteği verir. KVKK kapsamında Kurula bildirim için geçerli 72 saatlik süre, BayPro'nun Müşteriye bildirim süresi değildir. Tarafların doğrudan kendilerine yüklenen bildirim yükümlülükleri saklıdır. Bir bildirim tek başına kusur veya sorumluluk ikrarı sayılmaz.

13. Denetim ve bilgi sağlama

BayPro uyumun gösterilmesi için gerekli politika özetleri, güvenlik bilgileri ve varsa bağımsız raporları Müşteriye sağlar. Mevcut belgeler yeterli değilse, Müşteri veya gizlilik yükümlülüğü altındaki bağımsız denetçisi uygun kapsamlı denetim yapabilir. Olağan denetimler için [ÖNERİ: 15 İŞ GÜNÜ] ön bildirim ve yılda bir denetim esası uygulanır; ihlal şüphesi, ciddi uygunsuzluk veya makam talebinde bu sınırlamalar uygulanmaz.

Denetim başka müşterilerin verilerini, ticari sırları ve sistem güvenliğini koruyacak şekilde yürütülür; bunlar denetimi fiilen imkansızlaştırma gerekçesi olamaz. Canlı sisteme sızma veya yük testi ayrıca kapsam ve zaman onayı gerektirir. Olağan denetimin bağımsız denetçi gideri Müşteriye aittir; BayPro'nun esaslı uygunsuzluğu saptanırsa bununla doğrudan ilgili makul denetim giderini ve giderim maliyetini BayPro karşılar. Yetkili makamların kanuni yetkileri sınırlanamaz.

14. Saklama, iade ve silme

İşleme, hizmet süresi ve Ek 4'teki sınırlı kapanış süreciyle sınırlıdır. Müşteri hukuka uygun saklama, düzeltme ve silme talimatlarını abonelik sırasında da verebilir. Saklama süreleri veri kategorisi ve amaç bazında Ek 4'e işlenir; tüm verilere gerekçesiz tek bir süresiz saklama süresi uygulanmaz.

Hizmetin sonunda Müşteri, Kapsam Verilerinin iadesini ve ardından silinmesini veya doğrudan silinmesini seçebilir. Başka talimat yoksa veriler Ek 4'teki dışa aktarım penceresinde erişilebilir tutulur, sonra belirlenen takvimle silinir. Standart dışa aktarım ek ücrete tabi değildir; kayıtlarla birlikte dosya ekleri ve kullanılabilir ilişkilendirme bilgileri mutabık formatta sağlanır. Özel dönüşüm/taşıma çalışması ayrıca fiyatlandırılabilir.

Aktif sistemler, kopyalar ve alt işleyenlerde silme koordine edilir. Yedek kopyalar Ek 4'teki azami süre içinde döngüden çıkarılır; bu süre boyunca normal kullanım için açılmaz ve zorunlu kurtarma halinde önceki silme talepleri yeniden uygulanır. Saklama zorunluluğu olan sınırlı kayıtlar hukuki gerekçe, kapsam ve süreyle ayrılır; hukuken mümkünse Müşteriye açıklanır. Süre bitince silinir. BayPro talep üzerine silmenin kapsamını, tarihini ve kalan yasal istisnaları gösteren teyit verir.

15. Resmi talepler ve zorunlu açıklamalar

BayPro, yetkili makam taleplerinin hukuki dayanağını ve kapsamını değerlendirir, açıklamayı zorunlu asgari veriyle sınırlar ve hukuken yasak olmadıkça Müşteriyi önceden bilgilendirir. Hukuka aykırı veya ölçüsüz talebe karşı mevcut hukuki yolları makul şekilde değerlendirir. Doğrudan yabancı makam talebi, Türkiye'deki aktarım ve diğer zorunlu kuralları kendiliğinden bertaraf etmez.

16. Sorumluluk

Her taraf kendi sözleşme ve mevzuat yükümlülüklerinden sorumludur. KVKK kapsamında güvenlik tedbirlerine ilişkin kanuni müşterek sorumluluk bu Sözleşmeyle kaldırılmaz. BayPro, alt işleyen kullanımı nedeniyle üstlendiği yükümlülüklerden kurtulamaz. İlgili kişilerin hakları ve makamların yetkileri sınırlanmaz.

Taraflar arasındaki zarar ve rücu talepleri kusur, nedensellik ve uygulanabilir hukuka göre değerlendirilir; kamu makamınca verilen cezanın muhatabı sözleşmeyle değiştirilemez. Ana Sözleşmedeki genel tazminat tavanı veya dolaylı zarar istisnası, bu Sözleşme kapsamındaki kişisel veri koruma ve gizlilik yükümlülüğü ihlallerini sınırlamaz. Kast, ağır kusur ve hukuken sınırlandırılamayan sorumluluklar saklıdır.

17. Süre, fesih ve değişiklik

Sözleşme taraflarca kabul edildiğinde yürürlüğe girer; BayPro veya alt işleyenlerinde Kapsam Verileri bulunduğu sürece ilgili yükümlülükler sürer. Gizlilik ve kanunen devam etmesi gereken yükümlülükler sona ermeden sonra da geçerlidir.

Esaslı ihlalde diğer taraf yazılı bildirimle [ÖNERİ: 15 TAKVİM GÜNÜ] giderim süresi verir. Giderilemez ağır ihlal, hukuka aykırı işleme veya acil ciddi veri güvenliği riski halinde etkilenen işleme derhal durdurulabilir. İhlal giderilmezse etkilenen hizmet feshedilebilir; veri iade/silme ve Ana Sözleşmedeki uygulanabilir iade hükümleri korunur.

Koruma düzeyini azaltan veya işleme kapsamını genişleten değişiklikler açık mutabakat gerektirir. Sitede yeni metin yayımlamak tek başına kabul değildir. 9. maddedeki kabul edilmiş alt işleyen değişiklik usulü ve zorunlu mevzuat uyarlamaları saklıdır; eski kabul sürümleri saklanır.

18. Hukuk, dil, bildirim ve kabul

Türkiye Cumhuriyeti hukuku, emredici kurallar saklı kalmak üzere uygulanır. Ana Sözleşmedeki uyuşmazlık hükmü yalnızca hukuken geçerli olduğu ölçüde uygulanır; aksi halde kanunen yetkili mercilere başvurulur. Dava şartı arabuluculuk ve zorunlu başvuru yolları saklıdır. Türkçe ve İngilizce metinler arasında farklılıkta, emredici hukuk aksini gerektirmedikçe Türkçe metin esas alınır.

Operasyonel bildirimler Ek 4 kanallarından yapılır; özel şekil gerektiren hukuki bildirimlerde mevzuata uyulur. Kabul, yetkili temsilcilerin imzasıyla veya tamamlanmış sözleşme ve eklerin sürümü kaydedilerek açık elektronik onayla alınır. Web sayfasını ziyaret etmek kabul sayılmaz. Elektronik kabul kaydı; tarafları, temsilciyi, tarih-saat/saat dilimini ve kabul edilen belge sürümlerini içerir; kopyası taraflara saklanabilir biçimde sunulur.

Ek 1 — İşleme kapsamı ve talimatlar

Aşağıdaki örnek kategoriler, yalnızca Müşterinin seçtiği modül ve kullanımda gerekli olanları kapsayacak şekilde kesinleştirilir. Listede yer almak tek başına her veri türünü işleme yetkisi vermez.

Ek 2 — Teknik ve idari güvenlik tedbirleri

Aşağıdaki asgari yükümlülükler kabul öncesi somutlaştırılır. Bir eksiklik, kanunun gerektirdiği tedbirlerden feragat sayılmaz; ilgili işleme başlamadan giderilir.

Ek 3 — Alt işleyenler, entegrasyonlar ve işleme konumları

Her sağlayıcı için aşağıdaki kayıt tekrarlanır; “kendi altyapımız” ifadesi dış barındırma veya veri merkezi sağlayıcılarını açıklama yükümlülüğünü kaldırmaz. Boş alan “Türkiye” veya “aktarılmıyor” anlamına gelmez.

Ek 4 — İletişim, saklama ve işlem takvimi