Veri işleme sözleşmesi (DPA) şablonu

1. Taraflar

• Veri sorumlusu ("Müşteri"): Unvan, Adres, Yetkili kişi ve e-posta
• Veri işleyen ("QRVesta"): QRVesta, info@qrvesta.com

2. Konu ve süre

QRVesta, Müşteri için dinamik QR kod yönetim hizmetini (kullanım şartları) sunarken kişisel verileri Müşteri adına işler. Sözleşme, Hizmet sürdüğü sürece ve sonrasında verilerin silinmesi tamamlanana kadar geçerlidir.

3. İşlemenin niteliği

• Amaç: QR kodlarının oluşturulması, saklanması, taranınca hedefe yönlendirilmesi veya içeriğinin gösterilmesi, tarama istatistikleri, kullanıcı ve yetki yönetimi.
• İlgili kişiler: Müşterinin panel kullanıcıları; Müşterinin QR içeriğine bilgilerini girdiği kişiler (ör. kartvizit sahipleri); Müşterinin kodlarını tarayan kişiler.
• Veri türleri: kullanıcı adı ve görünen ad; isteğe bağlı bildirim e-posta adresi; QR içeriği (ör. ad, telefon, e-posta, adres, bağlantılar, Wi-Fi şifreleri); tarama kayıtları (zaman, ülke, cihaz türü, işletim sistemi; IP adresi yok); etkinlik kaydı (giriş olaylarında kısaltılmış IP adresi ve ülke dahil).
• Özel nitelikli veriler: İşlenmesi amaçlanmaz; Müşteri QR içeriğine bu tür veri girmez.
• Saklama: gizlilik politikasındaki süreler.

4. Talimatlar ve gizlilik

QRVesta kişisel verileri yalnızca Müşterinin belgelenmiş talimatlarıyla (bu sözleşme, kullanım şartları ve Müşterinin paneldeki işlemleri) işler. Operatör bir çalışma alanının verilerini yalnızca Müşterinin isteğiyle veya Hizmet sona erdiğinde dışa aktarır. Bir talimatın hukuka aykırı olduğunu düşünürse Müşteriyi bilgilendirir. Verilere erişen kişiler gizlilik yükümlülüğü altındadır.

5. Güvenlik önlemleri

QRVesta en az şu teknik ve idari önlemleri uygular:

• yalnızca HTTPS; şifrelerin tuzlanmış PBKDF2 özetiyle saklanması; şifre tahmini sınırları;
• betiklerin okuyamadığı, siteler arası gönderilmeyen oturum çerezleri; oturum zaman aşımları;
• rol ve proje bazlı erişim kontrolü; önemli işlemlerin etkinlik kaydı;
• sıkı içerik güvenliği politikası; dış kaynaklardan betik yüklenmemesi;
• tarama kayıtlarında IP adresi tutulmaması, etkinlik kaydında IP adreslerinin kısaltılması (veri minimizasyonu); Wi-Fi şifrelerinin yalnızca düzenleme yetkisi olan rollere gösterilmesi; panel girişinde bot koruması;
• verilerin süreleri dolunca her gün otomatik silinmesi; gecelik yedeklerin, anahtarı yalnızca işletmecide bulunan AES-256 ile şifrelenmesi ve Cloudflare R2'de (AB yetki alanı) yalnızca en yeni 14 yedeğin tutulması; üretim ortamına erişimin işletmeciyle sınırlı olması.

6. Alt işleyenler

Müşteri, alt işleyenler sayfasında listelenen sağlayıcıların kullanılmasına genel izin verir. QRVesta yeni bir alt işleyeni, Müşterinin bu sözleşmede bildirdiği e-posta adresine en az 30 gün önceden bildirir; Müşteri haklı sebeple itiraz edebilir ve itiraz çözülemezse Hizmeti sona erdirebilir. QRVesta alt işleyenlere bu sözleşmedekilere denk yükümlülükler yükler.

7. Yurt dışına aktarım

Veriler Cloudflare altyapısında, veritabanı Batı Avrupa konum tercihiyle tutulur ve Türkiye ile AEA dışında işlenebilir. Aktarımlar KVKK m.9 ve GDPR'ın V. bölümündeki güvencelere (standart sözleşme hükümleri) dayanır.

8. Yardım ve ihlal bildirimi

QRVesta, ilgili kişi taleplerinin yanıtlanmasında, etki değerlendirmelerinde ve denetim makamlarıyla yazışmalarda makul ölçüde yardım eder; kendisine gelen talepleri Müşteriye iletir. Bir kişisel veri ihlalini öğrendiğinde Müşteriyi, bu sözleşmede bildirdiği e-posta adresinden gecikmeksizin, ihlalin niteliği, etkilenen veriler ve alınan önlemlerle birlikte bilgilendirir.

9. Bilgi ve denetim

QRVesta bu sözleşmeye uyumu göstermek için gereken bilgileri sağlar. Müşteri, makul bir süre önceden bildirerek, kendi masrafıyla ve yılda en fazla bir kez (ihlal hâlinde ayrıca) denetim yapabilir veya yaptırabilir.

10. Sona erme

Hizmet sona erdiğinde QRVesta, Müşterinin tercihine göre verileri dışa aktararak iade eder ve 30 gün içinde siler; kanunen saklanması gerekenler hariç. Şifreli gecelik yedeklerdeki kopyalar, en yeni 14 yedek yenilendikçe, 14 gün içinde silinir; Cloudflare D1 zamanda geri dönüş kopyaları en fazla 7 gün içinde kendiliğinden ortadan kalkar.

11. İmzalar