Hukuki metinler › Veri işleme sözleşmesi

Veri işleme sözleşmesi

Sürüm 13.10.2026 · Şirket adına uygulama içinde kabul edilir

1. Taraflar ve amaç

Bu Veri İşleme Sözleşmesi (“Sözleşme”), Tamgala hizmetini kullanan Müşteri (“Veri Sorumlusu”) ile MyPoint Bilişim ve Danışmanlık Sanayi ve Ticaret Limited Şirketi (“Veri İşleyen”) arasında, Müşterinin Hizmete yüklediği kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ikincil mevzuata uygun işlenmesini düzenler. Sözleşme, Kullanım Koşulları’nın ayrılmaz parçasıdır ve çelişki hâlinde kişisel veriler bakımından bu Sözleşme üstündür.

2. Roller

Hizmete yüklenen taşeron, tedarikçi ve Müşteri çalışanlarına ait kişisel veriler bakımından Müşteri veri sorumlusudur: verilerin toplanma amacını ve hukuki dayanağını belirler, ilgili kişileri aydınlatır ve Veri İşleyene talimat verir. Veri İşleyen, bu verileri yalnız Hizmeti sunmak için ve Müşterinin talimatıyla işler.

Veri İşleyenin kendi adına, veri sorumlusu olarak işlediği veriler (Müşterinin kullanıcı hesapları, fatura bilgileri, destek yazışmaları) bu Sözleşmenin değil, Gizlilik Politikası’nın konusudur.

3. İşlemenin konusu, niteliği ve süresi

4. Veri Sorumlusunun yükümlülükleri

Müşteri;

1. Hizmete yüklediği kişisel veriler için KVKK md. 5 ve 6’daki hukuki sebeplerden birine sahip olduğunu; sağlık verisi için md. 6/3-(f) (istihdam, iş sağlığı ve güvenliği alanındaki hukuki yükümlülükler) kapsamında kaldığını ya da gerekiyorsa açık rıza aldığını;
2. İlgili kişileri KVKK md. 10 uyarınca aydınlattığını (Hizmetteki aydınlatma metni şablonunu uyarlayıp kullanabilir);
3. Veri minimizasyonu ilkesine uyacağını, özellikle sağlık raporu dosyasını zorunlu olmadıkça yüklemeyeceğini;
4. Kullanıcılarına verdiği rollerin ve lokasyon kapsamlarının gerekliliğe uygun olmasını sağlayacağını;
5. Saklama süresini (Ayarlar → saklama ayı) mevzuata ve kendi politikasına göre belirleyeceğini;
6. Veri İşleyene vereceği talimatların hukuka uygun olacağını kabul eder.

5. Veri İşleyenin yükümlülükleri

Veri İşleyen;

1. Kişisel verileri yalnız Hizmetin işleyişi için ve Müşterinin bu Sözleşme ile Hizmet arayüzü üzerinden verdiği belgelenmiş talimatlarıyla işler; talimatın mevzuata aykırı olduğunu düşünürse Müşteriyi bilgilendirir;
2. Verileri kendi amaçları için kullanmaz, satmaz, profillemez; kişiyi tanımlamayan toplu kullanım istatistiklerini (sayfa görüntüleme sayısı gibi) Hizmeti iyileştirmek için tutabilir;
3. Erişim yetkisi verdiği çalışan ve yüklenicilerinin gizlilik yükümlülüğü altında olmasını sağlar; erişimi görev gereği ile sınırlar ve kayıt altına alır;
4. Ek-2’deki teknik ve idari tedbirleri uygular ve sürdürür;
5. İlgili kişilerin KVKK md. 11 kapsamındaki başvurularında Müşteriye, Hizmetin sağladığı araçlarla (arama, dışa aktarma, silme, anonimleştirme) ve gerektiğinde elle destek olur; doğrudan kendisine gelen başvuruları 5 iş günü içinde Müşteriye iletir;
6. Kurul ya da başka bir kamu makamından Müşteri verisine ilişkin talep gelirse, hukuken yasaklanmadıkça Müşteriyi önceden bilgilendirir;
7. Müşterinin talebi üzerine, KVKK yükümlülüklerini kanıtlamak için gereken bilgileri sağlar (md. 10).

6. Alt işleyenler

1. Müşteri, Veri İşleyenin Ek-1’de listelenen alt işleyenleri kullanmasına genel olarak izin verir. Alt işleyenler yalnız kendi hizmetleri için gereken veriye erişir ve Veri İşleyenle yazılı sözleşme altında en az bu Sözleşmedeki koruma düzeyine tabidir.
2. Yeni bir alt işleyen eklenecek ya da mevcut biri değişecekse Veri İşleyen, yürürlükten en az 30 gün önce listeyi günceller ve Hesap sahibine e-postayla bildirir. Müşteri, haklı bir veri koruma gerekçesiyle itiraz ederse taraflar çözüm arar; çözüm bulunamazsa Müşteri, ceza ödemeden Kullanım Koşulları’nı feshedebilir ve kullanılmayan dönem bedeli iade edilir.
3. Veri İşleyen, alt işleyenlerin eylemlerinden Müşteriye karşı kendi eylemi gibi sorumludur.

7. Veri yerleşimi ve yurt dışına aktarım

Müşteri verisi ve yedekleri Türkiye’deki veri merkezlerinde tutulur. Veri İşleyen, Müşteri verisini Müşterinin yazılı talimatı olmadan yurt dışına aktarmaz. Ek-1’de yurt dışında yerleşik olarak işaretlenen sağlayıcılar yalnız kişisel veri içermeyen statik dosya dağıtımı ve alan adı çözümleme hizmeti verir; belge ve kişi verisi bu sağlayıcılardan geçmez.

8. Veri ihlali bildirimi

1. Veri İşleyen, Müşteri verisini etkileyen bir kişisel veri ihlalini (yetkisiz erişim, kayıp, ifşa) öğrendiğinde Hesap sahibini gecikmeksizin ve en geç 48 saat içinde e-postayla bilgilendirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçlar ve alınan tedbirler yer alır. Bilgi aşamalı olarak tamamlanabilir.
2. Kişisel Verileri Koruma Kurulu’na 72 saat içinde bildirim ve ilgili kişilere bildirim Müşterinin (veri sorumlusunun) sorumluluğundadır; Veri İşleyen bu bildirimler için gereken bilgiyi sağlar.
3. Veri İşleyen, ihlalin etkisini sınırlamak için gereken tedbirleri derhal alır ve Müşteriyle iş birliği yapar.

9. Saklama, iade ve silme

1. Hizmetteki anonimleştirme kuralı Müşterinin ayarladığı süreye göre çalışır (varsayılan: taşeron ilişkisi bittikten 24 ay sonra).
2. Kullanım Koşulları sona erdiğinde Müşteri, 30 gün boyunca verisini Excel ve belge dosyaları olarak dışa aktarabilir. Süre sonunda Veri İşleyen tüm Müşteri verisini siler; şifreli yedeklerden en geç 35 gün içinde düşer.
3. Mevzuatın saklamayı zorunlu kıldığı kayıtlar (fatura, denetim izi) yasal süre boyunca, erişimi kısıtlanmış olarak tutulur.
4. Müşterinin talebi hâlinde silme işlemi yazılı olarak teyit edilir.

10. Denetim

1. Müşteri, yılda en çok bir kez, Veri İşleyenin bu Sözleşmeye uyumuna ilişkin yazılı bilgi ve belge (güvenlik politikaları, alt işleyen sözleşmelerinin ilgili bölümleri, bağımsız denetim raporları varsa) talep edebilir; Veri İşleyen 30 gün içinde yanıtlar.
2. Yazılı bilgiyle giderilemeyen haklı bir şüphe varsa Müşteri, en az 30 gün önceden bildirerek, iş saatleri içinde, diğer müşterilerin verisine ve gizliliğine zarar vermeyecek şekilde yerinde denetim yapabilir ya da bağımsız bir denetçiye yaptırabilir; masraflar Müşteriye aittir.
3. Kurul denetimleri bu sınırlamalara tabi değildir.

11. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu Kullanım Koşulları md. 12’deki sınırlara tabidir; KVKK’nın veri işleyene doğrudan yüklediği yükümlülükler (md. 12/2 ve ilgili idari yaptırımlar) saklıdır.

12. Süre ve sona erme

Sözleşme, Kullanım Koşulları yürürlükte kaldığı sürece ve md. 9’daki silme tamamlanana kadar yürürlüktedir. Sözleşmedeki değişiklikler Kullanım Koşulları md. 13’teki usulle bildirilir ve kabul edilir.

Ek-1 · Alt işleyenler

Güncel liste Alt işleyen listesi metnindedir (tamgala.com/hukuki/alt-isleyenler) ve bu Sözleşmenin parçasıdır.

Ek-2 · Teknik ve idari tedbirler