Bu metin henüz kesinleşmemiş bir taslaktır. Köşeli parantez içindeki vurgulu alanlar (ör. şirket ünvanı ve adresi) doldurulmalı ve metin yayından önce bir hukukçu tarafından incelenmelidir.
Veri İşleme Eki
Kurumsal müşteriler için RintUp'ın veri işleyen sıfatıyla yükümlülüklerini düzenleyen ek sözleşme.
1. Kapsam ve taraflar
Bu Veri İşleme Eki ("Ek"), Kullanım Koşulları ve Hizmet Sözleşmesi'nin ("Sözleşme") ayrılmaz parçasıdır. Müşteri'nin hizmete girdiği kişisel veriler bakımından Müşteri veri sorumlusu, [ŞİRKET ÜNVANI] ("RintUp") ise 6698 sayılı KVKK md. 3 anlamında veri işleyendir. Ek, Sözleşme'nin kabulüyle yürürlüğe girer; imzalı bir nüsha isteyen müşteriler kvkk@rintup.com adresine yazabilir.
2. İşlemenin ayrıntıları
| Konu | Açıklama |
|---|---|
| Konu ve amaç | Erişilebilirlik izleme, alarm iletimi ve status sayfası hizmetlerinin Sözleşme uyarınca sunulması |
| Süre | Sözleşme süresi ve fesihten sonraki 30 günlük silme süresi |
| İşlemenin niteliği | Kaydetme, depolama, düzenleme, iletme (alarm), görüntüleme (status sayfası), silme |
| İlgili kişi grupları | Müşteri'nin çalışma alanı üyeleri, alarm alıcıları, status sayfası aboneleri, Müşteri'nin izlenen sistemlerinde adı geçebilecek kişiler |
| Veri kategorileri | Ad, e-posta, telefon numarası, rol bilgisi; monitör hedefleri ve kontrol sonuçları; Müşteri'nin girdiği kimlik bilgisi sırları (şifreli); status sayfası duyuru içerikleri |
| Özel nitelikli veri | İşlenmesi amaçlanmaz; Müşteri hizmete özel nitelikli kişisel veri girmemeyi kabul eder |
3. Talimatlara uygun işleme
RintUp kişisel verileri yalnız Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Sözleşme, panel ayarları ve API çağrıları Müşteri'nin talimatı sayılır. RintUp, bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi derhâl bilgilendirir. Kişisel verileri kendi amaçları için kullanmaz, satmaz, profil çıkarmaz.
4. Gizlilik
Kişisel verilere erişen RintUp çalışanları ve yüklenicileri yazılı gizlilik yükümlülüğü altındadır. Erişim, görevin gerektirdiği en az yetki ilkesiyle sınırlandırılır ve kayıt altına alınır.
5. Teknik ve idari tedbirler
RintUp, KVKK md. 12 ve Kurul'un Kişisel Veri Güvenliği Rehberi doğrultusunda en az şu tedbirleri uygular:
- Aktarımda TLS şifrelemesi; şifreli yedekler; veritabanı ve uygulama sunucularının Türkiye'de bulunması
- Müşteri sırlarının zarf şifrelemesiyle (anahtar yönetim servisi + veri anahtarı, AES-256-GCM) saklanması ve anahtar rotasyonu; sırların log, hata ve olay kayıtlarına yazılmaması
- Çalışma alanlarının veritabanında satır düzeyi güvenlik (RLS) ve uygulama katmanında kapsam denetimiyle yalıtılması
- Argon2id parola özetleme, iki adımlı doğrulama, rol tabanlı yetkilendirme, oturum iptali
- Yalnız ek-yazılan denetim kayıtları; sır erişimlerinin denetim kaydına yazılması
- Dış adreslere yapılan isteklerde iç ağ ve metadata adreslerinin engellenmesi (SSRF koruması)
- Bağımlılık güvenlik taraması, düzenli güncellemeler, yedekten geri yükleme tatbikatı
6. Alt işleyenler
Müşteri, Alt İşleyenler sayfasındaki sağlayıcıların kullanılmasına genel yazılı izin verir. RintUp, alt işleyenlere bu Ek'tekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Müşteri'ye karşı sorumludur. Yeni alt işleyen en az 30 gün önce bildirilir; Müşteri haklı gerekçeyle itiraz eder ve taraflar makul bir çözüm bulamazsa Müşteri etkilenen hizmeti cezasız olarak feshedebilir.
7. İlgili kişi talepleri ve yardım
RintUp'a doğrudan ulaşan ve Müşteri verisine ilişkin ilgili kişi başvurularını gecikmeksizin Müşteri'ye yönlendirir. Müşteri'nin KVKK md. 11 başvurularını yanıtlaması, veri güvenliği değerlendirmesi ve Kurul'la yazışmaları için makul ölçüde teknik yardım sağlar; panel ve API, verilerin görüntülenmesi, düzeltilmesi ve silinmesi için gereken araçları sunar.
8. Veri ihlali bildirimi
RintUp, Müşteri verisini etkileyen bir veri ihlalini öğrendiğinde gecikmeksizin ve en geç 24 saat içinde Müşteri'ye bildirir. Bildirim; ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan veya önerilen tedbirleri içerir. Bu süre, Müşteri'nin Kurul'a 72 saat içinde bildirim yapabilmesi amacıyla belirlenmiştir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir.
9. Yurt dışına aktarım
Müşteri verisi Türkiye'deki sunucularda saklanır. Hizmetin işleyişi gereği alarm e-postaları ABD'deki e-posta sağlayıcısı üzerinden iletilir. RintUp, yurt dışına aktarımlarda KVKK md. 9'daki uygun güvenceleri (standart sözleşme ve Kurum'a bildirim) sağlar. Müşteri, SMS ve e-posta dışındaki kanallar için seçtiği entegrasyonların konumundan kendisi sorumludur.
10. Sona erme, iade ve silme
Sözleşme sona erdiğinde Müşteri 30 gün boyunca verilerini API ile dışa aktarabilir; bu sürenin sonunda Müşteri verisi canlı sistemlerden silinir ve şifreli yedeklerden 14 gün içinde düşer. Yasal saklama yükümlülüğü bulunan kayıtlar bu yükümlülük süresince saklanır. Müşteri talep ederse silme yazılı olarak teyit edilir.
11. Denetim
RintUp, bu Ek'e uyumu gösteren bilgi ve belgeleri talep üzerine Müşteri'ye sunar. Müşteri, yılda en fazla bir kez, en az 30 gün önceden bildirerek, mesai saatleri içinde ve gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla denetim yapabilir; denetim masrafları Müşteri'ye aittir. Kurul veya yetkili makam tarafından istenen denetimler bu sınırlamaya tabi değildir.
12. Sorumluluk ve öncelik
Tarafların bu Ek kapsamındaki sorumluluğu Sözleşme'deki sınırlamalara tabidir; KVKK md. 12/2 uyarınca veri güvenliği bakımından taraflar ilgili kişilere karşı müteselsilen sorumludur ve iç ilişkide kusurları oranında birbirlerine rücu eder. Kişisel verilerin korunmasına ilişkin konularda bu Ek ile Sözleşme arasında çelişki olursa bu Ek uygulanır.
Taslak notu: müteselsil sorumluluk ve rücu hükmü ile 24 saatlik bildirim süresi hukukçu tarafından gözden geçirilmelidir.