Bu sözleşme, KVKK'nın 12. maddesinin ikinci fıkrası uyarınca Müşteri (veri sorumlusu) ile Diyaval (veri işleyen) arasında yapılmış olup Platform Hizmet ve Lisans Sözleşmesi'nin parçasıdır.
1. Konu
Diyaval, Müşteri Verisi içindeki kişisel verileri yalnızca Platform'u sunmak için işler: barındırma, görüntüleme, Müşteri'nin açtığı entegrasyonlara iletme, yedekleme, destek ve güvenlik.
2. İlgili kişiler ve veri kategorileri
Kullanılan modüllere göre: Müşteri'nin çalışanları ve kullanıcıları (kimlik, iletişim, T.C. kimlik numarası, görev, devam ve fazla mesai, mesai giriş/çıkışında kaydedilen konum, ücret hesabı girdileri, evraklar); Müşteri'nin müşterileri, bayileri ve tedarikçileri (kimlik, iletişim, vergi numarası, adres, sipariş, fatura, alacak ve borç, yazışmalar); Kullanıcıların yüklediği ürün görselleri ve belgeler; erişim ve işlem kayıtları.
3. Diyaval'in yükümlülükleri
- Verileri yalnızca Müşteri'nin belgelenmiş talimatıyla, yani Müşteri'nin kullandığı Platform işlevleri ve yazılı talimatları doğrultusunda işlemek.
- Erişimi olan personeli gizlilik yükümlülüğüyle bağlamak ve erişimi bilmesi gereken kişilerle sınırlamak.
- Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi'ndeki teknik ve idari tedbirleri uygulamak; şifreli bağlantı, rol bazlı yetki, kayıt tutma, ortamların ayrılması ve yedekleme bunlara dahildir.
- Bir veri ihlalini öğrendiğinde Müşteri'ye gecikmeksizin ve her halde 24 saat içinde, Müşteri'nin Kurul'a 72 saat içinde yapacağı bildirim için gerekli bilgilerle haber vermek.
- Müşteri'nin ilgili kişi başvurularını yanıtlamasına yardımcı olmak ve doğrudan Diyaval'e gelen başvuruları Müşteri'ye iletmek.
- Verileri aşağıda sayılanlar ve yazılı talimat dışında yurt dışına aktarmamak; aktarımı yalnızca KVKK'nın 9. maddesine uygun yapmak.
- Sözleşme sona erdiğinde verileri dışa aktarım yoluyla iade etmek ve ardından Platform Hizmet ve Lisans Sözleşmesi'nde yazılı şekilde silmek.
- Uyumu göstermek için makul ölçüde gerekli bilgileri vermek; makul bir süre önce bildirilmek, masrafı Müşteri'ye ait olmak ve diğer müşterilerin verilerine erişilmemek kaydıyla denetime izin vermek.
4. Alt veri işleyenler
| Alt veri işleyen | Amaç | Konum |
|---|---|---|
| Barındırma altyapısı | Sunucu, depolama, yedekleme | — |
| Yandex 360 (Yandex LLC) | Sistem e-postalarının gönderimi (şifre, bildirimler) | Türkiye dışı |
| Netgsm İletişim ve Bilgi Teknolojileri A.Ş. | Tek kullanımlık giriş doğrulama ve e-belge imza kodlarının SMS ile gönderimi | Türkiye |
Müşteri'nin açtığı entegrasyonlar (örneğin Gelir İdaresi Başkanlığı, pazaryerleri veya bankalar) Müşteri'nin seçtiği üçüncü taraflardır; Diyaval'in alt veri işleyeni değildir. Diyaval, bir alt veri işleyen eklemeden veya değiştirmeden en az 30 gün önce Müşteri'ye bilgi verir; Müşteri makul gerekçeyle itiraz edebilir.
5. Müşteri'nin yükümlülükleri
Müşteri; girdiği veriler için hukuki sebebi bulunduğunu, ilgili kişilere gerekli aydınlatmayı yaptığını (çalışanlara mesai giriş/çıkışında konum kaydı yapıldığına ilişkin aydınlatma dahil) ve özel nitelikli kişisel verileri (sağlık raporu gibi) yalnızca Kurul'un öngördüğü ek tedbirlerle işlediğini temin eder.