Veri işleme sözleşmesi

Taraflar

Veri sorumlusu: [Firma unvanı] ([Firma adresi]) Veri işleyen: [Platform şirket unvanı] (MERSİS: [MERSİS no], [Adres], KEP: [KEP adresi])

Bu sözleşme 6698 sayılı Kanun md.12/2 uyarınca, veri işleyenin personel takip hizmetini sunarken veri sorumlusu adına işlediği kişisel veriler için tarafların yükümlülüklerini düzenler.

1. Konu ve süre

Veri işleyen; giriş-çıkış, vardiya, izin ve puantaj hizmetini abonelik süresince sunar. Sözleşme abonelik sona erince biter; madde 8 saklıdır.

2. İşlenen veriler ve kişiler

Kişi grupları: veri sorumlusunun çalışanları ve panel kullanıcıları. Veri kategorileri, amaçları ve saklama süreleri:

Veri	Amaç	Hukuki sebep	Saklama
Kimlik	Personelin tanınması, iş ilişkisinin ve yasal kayıtların yürütülmesi	KVKK md.5/2-c, ç	Ayrılan personelde, kayıtlarının saklama süresi dolunca anonimleştirilir
İletişim	Uygulamaya giriş (telefon) ve bildirim	KVKK md.5/2-c	Ayrılan personelde, kayıtlarının saklama süresi dolunca anonimleştirilir
Özlük	İşe giriş-çıkış, görev yeri, vardiya ve izin hakkı	KVKK md.5/2-c, ç (İş K. md.75)	Ayrılan personelde, kayıtlarının saklama süresi dolunca anonimleştirilir
Ücret	Puantaj ve brüt ücret hesabı	KVKK md.5/2-c, ç	10 yıl: kaydın yılını izleyen yılın başından (5510 md.86); kısaltılamaz
Giriş-çıkış, puantaj ve izin kayıtları	Çalışma süresinin belirlenmesi, puantaj, yasal kayıt (İş K. md.75, 5510 md.86)	KVKK md.5/2-c, ç	10 yıl: kaydın yılını izleyen yılın başından (5510 md.86); kısaltılamaz
Konum (ham)	Giriş-çıkışın işyerinde yapıldığının doğrulanması (yalnız okutma anında, sürekli takip yok)	KVKK md.5/2-f	Ham konum, IP ve tarayıcı bilgisi: 6 ay
İşlem güvenliği	Hesap ve cihaz güvenliği, kötüye kullanımın önlenmesi	KVKK md.5/2-f	Personel ayrılınca silinir
Sağlık (rapor eki)	Hastalık izninin belgelenmesi	KVKK md.6/3-f	İzin bitiminden sonra: 1 yıl
Görsel (kart fotoğrafı)	Personel kartı basımı (yüz tanımada kullanılmaz)	KVKK md.5/2-c	Personel ayrılınca silinir
Denetim kaydı	İşlemlerin izlenebilirliği, uyuşmazlıkta ispat	KVKK md.5/2-e, f	Denetim kaydı: 2 yıl

3. Talimat

Veri işleyen kişisel verileri yalnız veri sorumlusunun talimatıyla ve hizmetin gerektirdiği ölçüde işler. Talimatın mevzuata aykırı olduğunu düşünürse veri sorumlusunu gecikmeksizin bilgilendirir.

4. Gizlilik

Veri işleyen ve çalışanları öğrendikleri kişisel verileri açıklayamaz, amaç dışında kullanamaz; bu yükümlülük sözleşme bittikten sonra da sürer (md.12/4).

5. Alt işleyenler

Veri işleyen aşağıdaki alt işleyenleri kullanır. Yeni bir alt işleyen eklemeden ya da değiştirmeden en az 30 gün önce veri sorumlusuna bildirir; veri sorumlusu bu sürede itiraz edebilir ya da sözleşmeyi sona erdirebilir. Kişisel veri yurt dışına aktarılmaz.

Alt işleyen	Ne için	Hangi veri	Ülke
[Barındırma sağlayıcısı]	Sunucu ve veritabanı	Hesabın tüm verisi	Türkiye
[Uzak yedek sağlayıcısı]	Şifreli yedek kopyası	Şifreli yedek (içeriği göremez)	Türkiye
[E-posta sağlayıcısı]	Doğrulama kodu ve bildirim e-postası	Yönetici adı ve e-postası	Türkiye
Shopier	Abonelik ödemesi	Fatura bilgisi ve tutar (kart bilgisi yalnız Shopier'de)	Türkiye
Tarayıcı bildirim servisleri (Google, Apple, Mozilla)	Personelin telefonuna bildirim (isteğe bağlı)	Uçtan uca şifreli bildirim; servis içeriği göremez	Yurt dışı (yalnız şifreli yük)

6. Güvenlik tedbirleri

Şifreli bağlantı (HTTPS); hesaplar arası mantıksal ayrım; yetki ve kapsam denetimi; yönetici girişinde iki aşamalı doğrulama; personel PIN'inin tek yönlü ve ayrı anahtarlı saklanması; sağlık raporu eklerinin ayrı anahtarla şifreli saklanması ve her açılışın kaydı; hata günlüklerinde kişisel verinin maskelenmesi; şifreli, Türkiye'de tutulan yedekler (saatlik 48, günlük 14 adet); periyodik imha (ayda bir) ve imha kaydı; işlem ve denetim kayıtları.

7. Veri ihlali

Veri işleyen bir ihlali öğrendiğinde veri sorumlusunu gecikmeksizin ve en geç 24 saat içinde bildirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi sayısı (biliniyorsa), alınan ve önerilen tedbirler yer alır. Kurul'a ve ilgili kişilere bildirim veri sorumlusunun yükümlülüğüdür (Kurul kararı 2019/10: 72 saat); veri işleyen bunun için gereken bilgiyi sağlar.

8. İlgili kişi başvuruları

Veri işleyen, ilgili kişi başvurularını panel üzerinden veri sorumlusuna iletir ve verinin dışa aktarılması, düzeltilmesi ya da silinmesi için araç sağlar. Cevabı veri sorumlusu verir.

9. Denetim

Veri sorumlusu, makul süre önce bildirmek kaydıyla, bu sözleşmeye uyumu belge isteyerek denetleyebilir.

10. Sözleşmenin sona ermesi

Abonelik sona erince veri sorumlusu verisinin tamamını panelden dışa aktarabilir. Hesap kapatıldıktan 30 gün sonra veriler kalıcı olarak silinir; kapatılan hesabın şifreli dışa aktarması da 30 gün sonra silinir. Yedeklerdeki kopyalar yedeklerin kendi döngüsüyle (en çok 14 gün) düşer.