Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve Tanımlar

İşbu Veri İşleme Sözleşmesi (“DPA”), Kullanım Koşulları’nın ayrılmaz bir ekidir ve aşağıdaki taraflar arasında geçerlidir:

• Veri Sorumlusu: Veslify hizmetine abone olan ve sisteme kendi ilgili kişilerine ait kişisel verileri giren müşteri (“Müşteri”).
• Veri İşleyen: TURELF GIDA ORGANİZASYON İNŞAAT SANAYİ VE TİCARET LİMİTED ŞİRKETİ — Küçükyalı Vergi Dairesi, VKN 8690960087, MERSİS 0869096008700001, Yalı Mah. Rıhtım Cad. No: 19 C, Maltepe / İstanbul, Türkiye (“VESLİFY”).

Tanımlar 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili mevzuata göre yorumlanır (kişisel veri, ilgili kişi, veri sorumlusu, veri işleyen, işleme vb.).

2. Konu ve Kapsam

VESLİFY, Müşteri’nin Veslify CRM hizmetini kullanması kapsamında, Müşteri adına ve Müşteri’nin talimatları doğrultusunda kişisel veri işler. VESLİFY, bu verileri yalnızca Hizmet’i sunmak için işler; kendi amaçları için kullanmaz, satmaz ve üçüncü kişilere Hizmet’in ifası dışında aktarmaz.

3. İşlemenin Nitelikleri

• Amaç: Veslify CRM hizmetinin sağlanması (müşteri ilişkileri yönetimi, kayıt tutma, iletişim vb.).
• Süre: Müşteri’nin abonelik süresi boyunca ve İade Şartları’nda belirtilen saklama süreleriyle sınırlı.
• İlgili kişi grupları: Müşteri’nin belirlediği kişiler (ör. Müşteri’nin kendi müşterileri, kişileri, potansiyel müşterileri, tedarikçileri).
• Veri kategorileri: Müşteri’nin sisteme girdiği kimlik ve iletişim bilgileri, ticari/işlem bilgileri ve Müşteri’nin eklemeyi seçtiği diğer alanlar. Özel nitelikli kişisel verilerin girilmesinden ve buna ilişkin ek yükümlülüklerden Müşteri sorumludur.

4. Veri İşleyenin Yükümlülükleri (KVKK m.12)

VESLİFY;

• kişisel verileri yalnızca Müşteri’nin belgelenmiş talimatları doğrultusunda işler;
• verilere erişen personelinin gizlilik yükümlülüğü altında olmasını sağlar;
• verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek ile muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır (bkz. Madde 7);
• Müşteri’ye yönelen ilgili kişi taleplerinin (KVKK m.11) karşılanmasında makul ölçüde yardımcı olur;
• bir veri ihlali öğrenildiğinde Müşteri’yi gecikmeksizin bilgilendirir ve gerekli bilgileri sağlar;
• Müşteri’nin, bu DPA’ya uyumu doğrulamasına makul ölçüde yardımcı olur.

5. Alt İşleyenler

Müşteri, VESLİFY’ın Hizmet’i sunmak için alt işleyenler kullanmasına genel yetki verir. Mevcut alt işleyenler:

VESLİFY, alt işleyen eklerken/değiştirirken Müşteri’yi bilgilendirir ve alt işleyenlere bu DPA’daki yükümlülüklere eşdeğer yükümlülükler getirir.

6. Yurt Dışına Aktarım

Barındırma altyapısı Almanya’da (Hetzner) bulunduğundan kişisel veriler yurt dışında işlenir. Bu aktarım, KVKK m.9 kapsamında uygun güvencelere dayanılarak veya mevzuatın izin verdiği diğer hâllere göre gerçekleştirilir.

7. Güvenlik Tedbirleri

VESLİFY, riske uygun olarak; aktarım ve saklamada şifreleme, yetkiye dayalı erişim kontrolü, şirket bazında veri izolasyonu, erişim/işlem kayıtlarının tutulması, düzenli yedekleme, güncel yama yönetimi ve personel farkındalığı gibi teknik ve idari tedbirleri uygular.

8. İlgili Kişi Hakları

Bir ilgili kişi haklarını kullanmak üzere VESLİFY’a başvurursa, VESLİFY talebi ilgili Müşteri’ye yönlendirir ve talebin karşılanmasında Müşteri’ye makul ölçüde destek olur.

9. Süre ve Sona Erme

Bu DPA, Müşteri’nin Hizmet’i kullandığı süre boyunca geçerlidir. Sözleşmenin sona ermesi hâlinde VESLİFY, Müşteri’nin talebine göre kişisel verileri siler veya Müşteri’ye iade eder; saklama ve silme süreleri İade Şartları ile uyumludur (ödeme başarısızlığında veya fesihte 120 gün; bu süre boyunca Müşteri verilerini dilediği zaman dışa aktarabilir, daha erken silinmesini talep edebilir). Mevzuattan doğan saklama yükümlülükleri saklıdır.

10. Sorumluluk

Her bir taraf, KVKK ve ilgili mevzuattan doğan kendi yükümlülüklerine uymaktan sorumludur. Sorumluluğun sınırlandırılmasına ilişkin Kullanım Koşulları hükümleri, kanunen sınırlandırılamayacak hâller saklı kalmak üzere geçerlidir.

11. Muhtelif

Bu DPA’ya Türk hukuku uygulanır. Kullanım Koşulları ile bu DPA arasında kişisel verilere ilişkin bir çelişki olması hâlinde bu DPA önce gelir.