Sözleşmeler ve politikalar

Veri İşleyen Sözleşmesi

1. Taraflar ve sıfatları

Bu sözleşme, Kullanıcı Sözleşmesi'nin elektronik ortamda kabul edilmesiyle birlikte kurulur ve onunla aynı anda sona erer. Veri sorumlusu talep ederse veri işleyen, bu metnin her iki tarafça imzalanmış bir nüshasını ayrıca düzenler.

2. İşlemenin konusu ve kapsamı

• Konu: Personel devam kontrol, puantaj ve bordro yazılım hizmetinin sunulması
• Süre: Kullanıcı Sözleşmesi'nin süresi boyunca
• Veri kategorileri: Kimlik, iletişim, özlük, geçiş (giriş-çıkış), puantaj, izin, ücret ve finans bilgileri
• İlgili kişi grupları: Veri sorumlusunun çalışanları ve — tanımlandığı ölçüde — ziyaretçileri

3. Veri işleyenin yükümlülükleri

1. Kişisel verileri yalnızca veri sorumlusunun talimatı doğrultusunda ve hizmetin sunulması amacıyla işlemek; kendi amaçları için kullanmamak.
2. Bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa veri sorumlusunu gecikmeksizin bilgilendirmek.
3. Verileri hiçbir şekilde satmamak, pazarlama amacıyla kullanmamak veya üçüncü kişilere devretmemek.
4. Verilere erişimi, görevi gereği erişmesi gereken personelle sınırlamak; bu personeli gizlilik yükümlülüğü altına almak.
5. KVKK m.12/1 kapsamında uygun teknik ve idari tedbirleri almak (bkz. Bilgi Güvenliği Politikası).
6. Veri sorumlusunun, ilgili kişilerden gelen taleplere cevap verebilmesi için gereken bilgi ve desteği sağlamak.
7. Bir veri ihlali tespit edildiğinde veri sorumlusuna gecikmeksizin ve en geç 24 saat içinde bildirmek; ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi vermek.
8. Sözleşme sona erdiğinde verileri, veri sorumlusunun tercihine göre iade etmek veya silmek.
9. Veri sorumlusunun, alınan tedbirlere ilişkin makul denetim taleplerine cevap vermek.

4. Veri sorumlusunun yükümlülükleri

1. Sisteme girilen kişisel verilerin işlenmesinde hukuki dayanağı sağlamak; gerektiğinde açık rıza almak.
2. Çalışanlarını aydınlatmak — KVKK m.10 kapsamındaki aydınlatma yükümlülüğü işverene aittir. Bu yükümlülük veri işleyene devredilemez.
3. Verilerin doğruluğundan ve güncelliğinden sorumlu olmak.
4. Saklama sürelerini belirlemek ve gereksiz verileri sistemden kaldırmak.
5. VERBİS kayıt yükümlülüğü varsa yerine getirmek.
6. Verilerin yurt dışındaki altyapıda işlenmesine ilişkin aydınlatma ve hukuki dayanak yükümlülüklerini yerine getirmek; bu yükümlülüklere aykırılığı nedeniyle veri işleyene yöneltilen talep, idari para cezası ve tazminatları karşılamak.
7. Kullanıcı hesaplarını yönetmek; işten ayrılan personelin hesabını gecikmeksizin kapatmak.

5. Yurt dışına aktarım

Hizmetin sunulduğu bulut altyapısı yurt dışında, Avrupa Birliği'ndeki veri merkezlerinde bulunur ve veriler 6. bölümdeki alt veri işleyenler aracılığıyla işlenir; bu kapsamda kişisel veriler yurt dışına aktarılmaktadır. Siteye ve uygulamaya erişim yurt dışındaki bir içerik dağıtım ve güvenlik ağı üzerinden geçer; her gece alınan şifreli veritabanı yedekleri de aynı sağlayıcının depolama hizmetinde tutulur.

Veri sorumlusu, Kullanıcı Sözleşmesi'ni kabul ederek verilerin bu altyapıda işlenmesine ve yurt dışına aktarılmasına talimat vermiş olur. Aktarımın KVKK m.9 kapsamındaki hukuki dayanağının belirlenmesi, ilgili kişilerin aktarım hakkında aydınlatılması ve veri sorumlusuna düşen diğer yükümlülükler veri sorumlusuna aittir. Taraflar, m.9'da öngörülen güvencelerin sağlanması için iş birliği yapar.

Veri işleyen, veri sorumlusunun kendi yükümlülükleri (aydınlatma, VERBİS kaydı, gerekirse Kurul'a bildirim) için ihtiyaç duyduğu bilgi ve belgeleri — alt veri işleyenlerin güncel listesi, konumları ve alınan güvenlik tedbirleri — talep üzerine sağlar.

6. Alt veri işleyenler

Hizmetin sunulması için aşağıdaki kategorilerde alt veri işleyen kullanılır; alt veri işleyenlerin güncel listesi veri sorumlusunun talebi üzerine bildirilir.

Veri işleyen, yeni bir alt veri işleyen kullanmadan veya mevcut birini değiştirmeden en az 30 gün önce veri sorumlusunu bilgilendirir. Veri sorumlusu bu süre içinde haklı bir gerekçeyle itiraz edebilir; itiraz giderilemezse veri sorumlusu Kullanıcı Sözleşmesi'ni cezasız olarak feshedebilir ve kullanılmamış dönem için peşin ödediği bedel iade edilir.

Alt veri işleyenlerin bu sözleşmedeki yükümlülüklere uygun hareket etmesinden veri işleyen sorumludur.

7. Özel nitelikli veriler

Sistem, terminal donanımının desteklemesi hâlinde biyometrik veri (parmak izi, yüz) saklayabilmektedir. Bu verilerin işlenip işlenmeyeceğine veri sorumlusu karar verir.

Kişisel Verileri Koruma Kurulu'nun 2026/921 sayılı ilke kararı doğrultusunda veri işleyen, mesai takibinde kartlı yöntemin kullanılmasını önerir. Veri sorumlusunun biyometrik yöntemi tercih etmesi hâlinde bu tercihin hukuki sonuçları veri sorumlusuna aittir.

8. Veri ihlali bildirimi

Veri işleyen, öğrendiği her veri ihlalini veri sorumlusuna gecikmeksizin bildirir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusuna aittir (KVKK m.12/5). Veri işleyen bu bildirim için gerekli bilgi ve belgeyi sağlar.

9. Sözleşmenin sona ermesi

Kullanıcı Sözleşmesi sona erdiğinde veriler kendiliğinden silinmez. Veri işleyen, veri sorumlusunun yazılı talebi üzerine verileri yaygın bir dosya biçiminde iade eder; yazılı silme talebi üzerine de verileri kalıcı olarak siler ve silindiğini yazılı olarak bildirir. Gece yedeklerinde kalan kopyalar, yedeklerin saklama süresi dolunca kendiliğinden silinir. Mevzuattan doğan saklama yükümlülükleri saklıdır.

Sözleşmenin sona ermesinden itibaren doksan (90) gün içinde veri sorumlusu iade veya silme talimatı vermezse, veri işleyen yazılı bildirimde bulunduktan sonra verileri silme hakkına sahiptir. Bu süre içinde veriler yalnızca saklanır, başka bir amaçla işlenmez.

10. Müşterek sorumluluk

KVKK m.12/2 uyarınca taraflar, veri güvenliğine ilişkin tedbirlerin alınması bakımından müştereken sorumludur. Bu sözleşme, tarafların birbirine karşı iç ilişkideki sorumluluk paylaşımını düzenler; ilgili kişilere ve Kurul'a karşı sorumluluk mevzuat hükümlerine tabidir.

Tüm sözleşme ve politikalar