KVKK Aydınlatma Metni ve Kişisel Veri İşleme Sözleşmesi
TARAFLAR
İşbu KVKK Aydınlatma Metni ve Kişisel Veri İşleme Sözleşmesi ("Sözleşme"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile Kişisel Verileri Koruma Kurulu ("Kurul") ilke ve emsal kararları çerçevesinde tanzim edilmiş olup, aşağıda belirtilen taraflar arasında akdedilmiştir:
VERİ SORUMLUSU:
Unvanı / Adı Soyadı: [VERİ SORUMLUSU TİCARET UNVANI / ADI SOYADI]
Mersis / Vergi No / T.C. Kimlik No: [MERSİS/VKN/TCKN]
Adres: [VERİ SORUMLUSU ADRESİ]
E-posta / KEP Adresi: [VERİ SORUMLUSU E-POSTA / KEP]
(Metin içerisinde kısaca "Veri Sorumlusu" olarak anılacaktır.)
VERİ İŞLEYEN / HİZMET SAĞLAYICI:
Unvanı / Adı Soyadı: [VERİ İŞLEYEN TİCARET UNVANI / ADI SOYADI]
Mersis / Vergi No / T.C. Kimlik No: [MERSİS/VKN/TCKN]
Adres: [VERİ İŞLEYEN ADRESİ]
E-posta / KEP Adresi: [VERİ İŞLEYEN E-POSTA / KEP]
(Metin içerisinde kısaca "Veri İşleyen" olarak anılacaktır.)
Veri Sorumlusu ve Veri İşleyen tek başlarına "Taraf", birlikte "Taraflar" olarak anılacaktır.
BÖLÜM I: 6698 SAYILI KVKK KAPSAMINDA AYDINLATMA BİLDİRİMİ
MADDE 1: VERİ SORUMLUSUNUN KİMLİĞİ VE BİLGİLENDİRME YÜKÜMLÜLÜĞÜ
KVKK’nın 10. maddesi uyarınca, kişisel verileriniz; veri sorumlusu sıfatıyla [VERİ SORUMLUSU TİCARET UNVANI / ADI SOYADI] tarafından aşağıda açıklanan kapsam, amaçlar, yöntemler ve hukuki sebepler doğrultusunda hukuka ve dürüstlük kurallarına uygun olarak işlenmektedir. Aydınlatma yükümlülüğü, açık rızadan ve diğer veri işleme şartlarından bağımsız bir yasal yükümlülük olup, verilerin elde edilmesi anında ilgili kişiye doğrudan sunulmaktadır.
MADDE 2: GENEL İŞLEME İLKELERİ VE ÖLÇÜLÜLÜK ESASI
Kişisel veriler; belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak, doğru ve gerektiğinde güncel şekilde işlenir. İleride gerçekleşmesi muhtemel belirsiz ihtiyaçlar gerekçe gösterilerek veri toplanamaz ve saklanamaz.
İşleme amaçlarının belirlenmesinde "vb.", "ve benzeri", "gibi amaçlarla" şeklinde ucu açık, muğlak ve belirsiz ibareler kullanılmaz; her işleme faaliyeti somut bir amaca ve kanuni sebebe özgülenir.
Çalışanların veya hizmet alanların mesai/giriş-çıkış takibi, kimlik doğrulaması ya da fiziksel mekan güvenliğinin temini süreçlerinde kartlı geçiş, manyetik anahtar veya şifreleme gibi amaca hizmet eden daha az müdahaleci yöntemler mevcut olduğu müddetçe; parmak izi, yüz tanıma veya el geometrisi gibi biyometrik veri işleme yöntemlerine başvurulamaz. Biyometrik verilerin algoritmaya, sayısal koda veya kriptografik özet değerine (hash) dönüştürülmesi bu verilerin özel nitelikli kişisel veri vasfını ortadan kaldırmaz.
MADDE 3: İŞLENEN VERİ KATEGORİLERİ, İŞLEME AMAÇLARI VE HUKUKİ SEBEPLER
Veri Sorumlusu nezdinde işlenen kişisel veri kategorileri, işleme amaçları ve KVKK’nın 5. ve 6. maddeleri kapsamındaki somut hukuki sebepler aşağıda açık ve müstakil olarak eşleştirilmiştir:
Kimlik Verileri (Ad, Soyadı, T.C. Kimlik No, Doğum Tarihi):
- İşleme Amacı: Sözleşme süreçlerinin yürütülmesi, taraf kimliğinin teyidi, mevzuattan kaynaklanan bildirim yükümlülüklerinin ifası.
- Hukuki Sebep: KVKK m. 5/2-(a) (Kanunlarda açıkça öngörülmesi) ve m. 5/2-(c) (Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması).
İletişim Verileri (Telefon Numarası, E-posta Adresi, Tebligat Adresi):
- İşleme Amacı: İletişim faaliyetlerinin yürütülmesi, sözleşmesel ifa bildirimlerinin iletilmesi, yetkili organ kararlarının tebliği.
- Hukuki Sebep: KVKK m. 5/2-(c) (Sözleşmenin ifası) ve m. 5/2-(ç) (Hukuki yükümlülüğün yerine getirilmesi).
Görsel Kayıtlar (Güvenlik Kamerası Görüntüleri - Ses Kaydı İçermez):
- İşleme Amacı: Fiziksel mekan ve tesis güvenliğinin temini, giriş-çıkışların denetimi.
- Hukuki Sebep: KVKK m. 5/2-(f) (İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati).
Pazarlama, Kampanya ve Profilleme Verileri (Çerez Tercihleri, İlgi Alanı Kayıtları):
- İşleme Amacı: Kişiye özel teklif sunulması, pazarlama analizi yapılması (Yalnızca zorunlu olmayan analitik/pazarlama çerezleri ve ticari iletiler bakımından).
- Hukuki Sebep: KVKK m. 5/1 uyarınca önceden alınmış belirli, aydınlatılmış ve özgür iradeye dayalı Açık Rıza.
MADDE 4: KİŞİSEL VERİLERİN AKTARILMASI VE AKTARIM AMAÇLARI
Kişisel veriler, KVKK’nın 8. ve 9. maddelerinde öngörülen kurallara uygun olarak yalnızca aşağıda belirtilen alıcı gruplarına ve belirtilen amaçlarla sınırlı olmak üzere aktarılabilir:
Yetkili Kamu Kurum ve Kuruluşları: Yasal bildirimlerin ifası, adli ve idari süreçlerin yürütülmesi amacıyla kanuni yetki ve talep sınırları dahilinde (KVKK m. 5/2-(a) ve (ç)).
Hukuk, Mali ve Vergi Danışmanları / Bağımsız Denetçiler: Hukuki ve mali yükümlülüklerin yerine getirilmesi ile dava ve icra süreçlerinin takibi amacıyla (KVKK m. 5/2-(e) ve (f)).
MADDE 5: KİŞİSEL VERİ TOPLAMA YÖNTEMLERİ
Kişisel veriler; fiziki sözleşmeler, başvuru formları, kurumsal web sitesi, mobil uygulamalar, e-posta yazışmaları ve kurumsal tesis girişlerindeki kapalı devre güvenlik kameraları vasıtasıyla; kısmen veya tamamen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır.
MADDE 6: AYDINLATMA VE AÇIK RIZANIN KESİN AYRILIĞI
Veri Sorumlusu, aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alma süreçlerini birbirinden kesin olarak ayırır. Aydınlatma metninin okunması, tebellüğ edilmesi veya onaylanması; rıza gerektiren veri işleme faaliyetlerine açık rıza verildiği şeklinde yorumlanamaz.
Temel ürün veya hizmetin sunulması, sözleşmenin akdedilmesi ya da bir haktan yararlandırılması; pazarlama, reklam, profilleme veya açık rıza gerektiren diğer tali faaliyetlere rıza verilmesi ön şartına bağlanamaz.
MADDE 7: İLGİLİ KİŞİNİN HAKLARI VE BAŞVURU USULÜ
İlgili kişiler, KVKK’nın 11. maddesi uyarınca Veri Sorumlusuna başvurarak; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, KVKK m. 7 uyarınca silinmesini veya yok edilmesini isteme, aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme ve zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
BÖLÜM II: KİŞİSEL VERİ İŞLEME SÖZLEŞMESİ (VERİ SORUMLUSU - VERİ İŞLEYEN)
MADDE 8: SÖZLEŞMENİN AMACI VE TARAFLARIN SIFATLARININ BELİRLENMESİ
İşbu Bölüm, Taraflar arasında akdedilmiş olan asıl hizmet/ticari sözleşme kapsamında, Veri İşleyen tarafından Veri Sorumlusu adına ve hesabına gerçekleştirilecek kişisel veri işleme faaliyetlerinin sınırlarını ve KVKK m. 12 kapsamındaki veri güvenliği taahhütlerini düzenler.
Tarafların veri koruma hukukundaki sıfatları, Sözleşme’deki adlandırmalara göre değil; kişisel verilerin işlenme amaçlarını ve temel vasıtalarını fiilen kimin belirlediğine göre tespit edilir. Veri Sorumlusu; işleme faaliyetinin amacını, hukuki sebebini, veri kategorilerini, saklama sürelerini ve aktarım stratejisini belirleyen taraftır.
MADDE 9: VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ VE TALİMATLA BAĞLILIK
Talimat Dışı İşleme Yasağı: Veri İşleyen, kendisine aktarılan veya erişimine açılan kişisel verileri yalnızca Veri Sorumlusunun yazılı ve belgelenmiş talimatları doğrultusunda, asıl sözleşmede tanımlanan hizmetin ifası için zorunlu olan kapsamda işleyebilir. Veri İşleyen, kişisel verileri hiçbir surette kendi ticari, analitik veya istatistiki amaçları için işleyemez, zenginleştiremez, başka müşterilerin verileriyle birleştiremez veya havuz veri tabanlarına dahil edemez.
Rol Sınırları: Veri İşleyen, Veri Sorumlusunun onayı olmaksızın verilerin işlenme amacını, kapsamını veya saklama süresini değiştiremez. Veri İşleyenin asıl hizmetin ifası için gerekli teknik sistemleri, barındırma yöntemini ve şifreleme protokollerini belirlemesi veri sorumlusu sıfatını doğurmaz; ancak bu yetkilerini Veri Sorumlusunun talimatlarına aykırı biçimde kullanamaz.
MADDE 10: VERİ GÜVENLİĞİNE İLİŞKİN TEKNİK VE İDARİ TEDBİRLER
Veri İşleyen, KVKK m. 12 ve Kurulun Kişisel Veri Güvenliği Rehberi uyarınca, işlediği kişisel verilerin hukuka aykırı olarak işlenmesini, verilere yetkisiz erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla asgari olarak aşağıdaki tedbirleri almayı ve sürekli güncel tutmayı taahhüt eder:
Erişim ve Yetki Matrisi: Verilere erişim, işin ifası için zorunlu olan sınırlı sayıda personel ile kısıtlanacaktır. Görev temelli yetkilendirme yapılacak, ortak/jenerik kullanıcı hesapları kesinlikle kullanılmayacaktır.
Kayıt ve Loglama: Kişisel veri barındıran tüm sistemlere yönelik kullanıcı erişimleri, işlem hareketleri, veri silme, güncelleme ve aktarma eylemleri değiştirilemez biçimde loglanacak; bu loglar en az iki (2) yıl süreyle güvenli ortamlarda muhafaza edilecektir.
Kriptografik Güvenlik: Kişisel verilerin depolanmasında ve ağ üzerinden aktarımında güçlü şifreleme yöntemleri (en az TLS 1.3, AES-256 veya muadili güncel standartlar) kullanılacaktır.
MADDE 11: İLGİLİ KİŞİ BAŞVURULARI VE İŞ BİRLİĞİ
İlgili kişiler tarafından KVKK m. 11 kapsamındaki haklar çerçevesinde doğrudan Veri İşleyene yöneltilen başvurular, Veri İşleyen tarafından esastan karara bağlanamaz. Veri İşleyen, kendisine iletilen başvuruları en geç üç (3) iş günü içinde Veri Sorumlusuna resmi kanallardan aktarır.
Veri İşleyen; Veri Sorumlusunun ilgili kişi başvurularını KVKK’da öngörülen otuz (30) günlük yasal süre içinde gerekçeli olarak yanıtlayabilmesi için ihtiyaç duyulan tüm veri, sistem kaydı ve teyitleri derhal sağlamakla mükelleftir.
MADDE 12: SÖZLEŞMENİN SONA ERMESİ, VERİLERİN İADESİ VE İMHA
Taraflar arasındaki asıl ticari sözleşmenin herhangi bir nedenle sona ermesi, feshedilmesi veya veri işleme amacının ortadan kalkması durumunda Veri İşleyen; Veri Sorumlusunun tercihine bağlı olarak, nezdindeki tüm kişisel verileri ve bunların tüm yedeklerini, kopyalarını:
a) Güvenli veri aktarım protokolleri aracılığıyla Veri Sorumlusuna eksiksiz iade etmek, veya
b) Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve Kurul rehberlerine uygun teknik yöntemlerle güvenli biçimde silmek, yok etmek veya anonim hale getirmekle yükümlüdür.
MADDE 13: HUKUKİ VE CEZAİ SORUMLULUK, RÜCU
Veri İşleyenin işbu Sözleşme hükümlerini, Veri Sorumlusunun talimatlarını veya KVKK mevzuatını ihlal etmesi sebebiyle; Veri Sorumlusu aleyhine Kurul tarafından idari para cezası uygulanması, adli mercilerce ceza/tazminat kararı verilmesi veya üçüncü kişilere tazminat ödenmek zorunda kalınması halinde; Veri İşleyen, Veri Sorumlusunun uğradığı tüm müspet ve menfi zararları, ödenen ceza ve tazminat tutarlarını, faizleri, vekalet ücreti ve yargılama giderlerini ilk yazılı talepte derhal, nakden ve defaten Veri Sorumlusuna rücuen ödemekle yükümlüdür.
MADDE 14: YÜRÜRLÜK, TEBLİGAT VE GEÇERLİLİK
İşbu Sözleşme, Tarafların yetkili temsilcilerince imza edildiği [.../.../20..] tarihinde yürürlüğe girer ve asıl ticari sözleşme yürürlükte kaldığı müddetçe, kişisel verilerin imhası süreçleri tamamlanıncaya kadar bağlayıcılığını korur.
Sözleşme metninde yapılacak her türlü değişiklik yazılı şekle ve Tarafların karşılıklı mutabakatına tabidir.
Tarafların işbu Sözleşme'nin ilk maddesinde belirttikleri adresleri yasal tebligat adresleri olup, adres değişiklikleri diğer Tarafa yazılı olarak veya KEP aracılığıyla bildirilmedikçe bu adreslere yapılacak bildirimler geçerli tebligatın tüm hüküm ve sonuçlarını doğurur.
İşbu Sözleşme'den doğacak uyuşmazlıkların çözümünde [İL/İLÇE] Mahkemeleri ve İcra Daireleri münhasıran yetkilidir.
İşbu Sözleşme, on dört (14) maddeden ibaret olup, Taraflarca okunarak, tüm hükümleri üzerinde tam bir irade uyuşması sağlanmak suretiyle iki (2) nüsha halinde tanzim ve imza edilmiştir.
VERİ SORUMLUSU
[VERİ SORUMLUSU TİCARET UNVANI / ADI SOYADI]
Yetkili İmza:
Tarih: [.../.../20..]
VERİ İŞLEYEN
[VERİ İŞLEYEN TİCARET UNVANI / ADI SOYADI]
Yetkili İmza:
Tarih: [.../.../20..]
