Veri İşleme Sözleşmesi

Numerus Bilişim’in, veri sorumlusu olan Müşteri adına kişisel veri işlemesinin koşulları (KVKK m.12). Abonelik ve Hizmet Sözleşmesi’nin ayrılmaz parçasıdır; alt işleyen listesi Ek-1, tedbirler Ek-2.

Sürüm 2026-09-13

1. Konu ve Taraflar

Bu sözleşme ("DPA"), Abonelik ve Hizmet Sözleşmesi ("Ana Sözleşme") kapsamında Numerus Bilişim Sanayi Ticaret Limited Şirketi'nin ("Veri İşleyen") Müşteri ("Veri Sorumlusu") adına kişisel veri işlemesini, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuata uygun olarak düzenler. Ana Sözleşme’nin ayrılmaz parçasıdır; çelişki halinde kişisel verilere ilişkin konularda DPA önceliklidir.

2. İşlemenin Kapsamı

  • Amaç: Hizmet’in sunulması, sürdürülmesi, güvenliği ve desteği; bunun dışında bir amaçla işleme yapılmaz.
  • Veri kategorileri: kimlik ve iletişim (ad soyad, telefon, e-posta, adres), ticari ilişki bilgileri (şirket, kişi, aday, fırsat, teklif, notlar, zaman tüneli), lokasyon ve ziyaret verileri (adres, koordinat, ziyaret zamanı, fotoğraf), Kullanıcı verileri (ad, e-posta, telefon, rol, konum — yalnızca ziyaret başında), belgeler.
  • İlgili kişi grupları: Veri Sorumlusu’nun müşterileri ve müşteri yetkilileri, adayları, tedarikçileri, çalışanları ve saha kullanıcıları; sektör paketine göre hastalar ve hasta yakınları (klinik), alıcı ve satıcılar (emlak).
  • Özel nitelikli veriler: Hizmet, özel nitelikli kişisel veri (sağlık, biyometrik vb.) girilmesi için tasarlanmamıştır. Veri Sorumlusu böyle veri girecekse (örneğin klinik paketinde tanı/tedavi notu) KVKK m.6’daki koşulları sağlamak, açık rıza ya da diğer hukuki dayanağı temin etmek ve Veri İşleyen’i yazılı olarak bilgilendirmekle yükümlüdür; Veri İşleyen bu alanlar için Ek-2’deki ek tedbirleri uygular.
  • Süre: Ana Sözleşme süresince ve 8. maddedeki silme süreleri boyunca.

3. Veri Sorumlusunun Yükümlülükleri

Veri Sorumlusu; kişisel verilerin hukuka uygun elde edilmesinden, ilgili kişilere aydınlatma yapılmasından, gerekli hallerde açık rıza alınmasından, VERBİS kaydı gerekiyorsa yapılmasından, verdiği talimatların hukuka uygunluğundan ve Kullanıcılarının Hizmet’i mevzuata uygun kullanmasından sorumludur. Veri Sorumlusu, Hizmet’in sunduğu yetki ve gizlilik ayarlarını (roller, kayıt sahipliği, iki adımlı doğrulama) kendi risk değerlendirmesine göre yapılandırır.

4. Veri İşleyenin Yükümlülükleri

  • Kişisel verileri yalnızca Veri Sorumlusu’nun belgelenmiş talimatlarıyla işler; Hizmet’in sunulması ve Ana Sözleşme, talimat sayılır. Talimatın hukuka aykırı olduğunu düşünürse Veri Sorumlusu’nu uyarır.
  • Verilere erişimi olan personelinin gizlilik yükümlülüğü altında olmasını ve yalnızca görevinin gerektirdiği ölçüde erişmesini sağlar.
  • Ek-2’deki teknik ve idari tedbirleri uygular, teknolojinin durumuna göre günceller; tedbir seviyesini düşürmez.
  • Veri Sorumlusu’nun, ilgili kişi başvurularına yanıt verme, veri güvenliği yükümlülüklerini yerine getirme ve Kurul denetimlerine cevap verme konularında makul ölçüde yardımcı olur.
  • Verileri, Veri Sorumlusu’nun yazılı talimatı ya da yasal zorunluluk dışında üçüncü kişilere açıklamaz; yasal bir talep gelirse hukuken yasaklanmadıkça önce Veri Sorumlusu’nu bilgilendirir.

5. Alt İşleyenler

Veri Sorumlusu, Veri İşleyen’in Ek-1’de listelenen alt işleyenleri kullanmasına genel yetki verir. Veri İşleyen, alt işleyenlerle bu DPA’daki koşullardan daha az koruyucu olmayan yazılı sözleşmeler yapar ve alt işleyenin fiillerinden Veri Sorumlusu’na karşı sorumlu kalır. Yeni bir alt işleyen ekleneceğinde ya da mevcut biri değiştirileceğinde Veri Sorumlusu en az 30 gün önce e-posta ile bilgilendirilir; Veri Sorumlusu haklı gerekçeyle itiraz ederse ve çözüm bulunamazsa Ana Sözleşme’yi cezasız feshedebilir.

6. Yurt Dışına Aktarım

Ek-1’de ülkesi Türkiye dışında olan alt işleyenlere aktarım, KVKK m.9 uyarınca uygun güvencelerle yapılır: Kurul’un yayımladığı standart sözleşmenin imzalanması ve süresi içinde Kurum’a bildirilmesi ya da Kurul’un tanıdığı diğer güvenceler. Veri İşleyen, aktarımın dayanağını ve bildirim kayıtlarını talep halinde Veri Sorumlusu’yla paylaşır. Veri Sorumlusu’nun kendi aktarım yükümlülükleri saklıdır; Veri İşleyen bu konuda gerekli belgeleri sağlar.

7. İlgili Kişi Başvuruları ve Veri İhlali

  • Veri İşleyen’e ulaşan ilgili kişi başvuruları 5 iş günü içinde Veri Sorumlusu’na iletilir; Hizmet, düzeltme, silme ve dışa aktarma işlevlerini Veri Sorumlusu’nun kendisinin yapabileceği şekilde sunar.
  • Kişisel verileri etkileyen bir ihlal öğrenildiğinde Veri Sorumlusu gecikmeksizin ve en geç 72 saat içinde bilgilendirilir; bildirimde ihlalin niteliği, etkilenen veri kategorileri ve kişi sayısı tahmini, olası sonuçlar ve alınan önlemler yer alır; sonradan öğrenilen bilgiler eklenir.
  • Kurul’a ve ilgili kişilere bildirim Veri Sorumlusu’nun sorumluluğundadır; Veri İşleyen gerekli bilgileri sağlar.

8. Sözleşme Sonunda Verilerin İadesi ve Silinmesi

Ana Sözleşme sona erdiğinde Veri Sorumlusu 30 gün boyunca verilerini açık biçimlerde (CSV, orijinal dosyalar) dışa aktarabilir. Bu sürenin sonunda veriler üretim sistemlerinden silinir; yedeklerden en geç 90 gün içinde temizlenir. Yasal saklama yükümlülüğü olan kayıtlar süreleri boyunca, yalnızca o amaçla ve erişimi kısıtlanmış olarak tutulur. Talep halinde silme teyidi yazılı olarak verilir.

9. Denetim

Veri Sorumlusu, yılda bir kez ve en az 30 gün önceden bildirimle, gizlilik taahhüdü altında, Veri İşleyen’in bu DPA’ya uyumunu denetleyebilir ya da bağımsız bir denetçiye denetletebilir. Veri İşleyen öncelikle mevcut güvenlik belgelerini, politikalarını ve varsa bağımsız denetim raporlarını paylaşır; yerinde denetim, iş sürekliliğini ve diğer müşterilerin gizliliğini bozmayacak şekilde planlanır. Masraflar, ihlal tespit edilmedikçe Veri Sorumlusu’na aittir.

10. Sorumluluk ve Süre

Tarafların bu DPA’dan doğan sorumluluğu Ana Sözleşme’nin sorumluluk hükümlerine tabidir; kişisel verilerin korunması mevzuatına aykırılıktan doğan sorumluluk için Ana Sözleşme m.14’teki istisna geçerlidir. DPA, Ana Sözleşme ile birlikte yürürlüğe girer ve veriler 8. madde uyarınca silinene kadar yürürlükte kalır.

Ek-1: Alt İşleyenler

Sözleşme tarihinde kullanılan alt işleyenler. Değişiklikler 5. madde uyarınca bildirilir; güncel liste bu sayfada yayımlanır.

  • Radore Veri Merkezi Hizmetleri A.Ş. — Türkiye (İstanbul) — Sunucu barındırma, veritabanı, dosya depolama, yedekler — işlenen veri: Hizmet’teki tüm Müşteri Verisi ve hesap verileri.
  • Resend, Inc. — ABD — İşlem e-postaları (doğrulama kodu, davet, bildirim, teklif gönderimi) — işlenen veri: Alıcı e-posta adresi, konu, ileti içeriği.
  • Verimor Telekomünikasyon A.Ş. — Türkiye — SMS (doğrulama kodu, bildirim) — işlenen veri: Telefon numarası, ileti içeriği.

Ek-2: Teknik ve İdari Tedbirler

  • Erişim kontrolü: her müşterinin verisi veritabanı seviyesinde satır düzeyi güvenlik (RLS) ile ayrılır; uygulama içi rol ve yetki (RBAC), kayıt sahipliği ve "yalnız kendi portföyüm" kısıtları; iki adımlı doğrulama (e-posta kodu / TOTP); oturumlar sunucuda tutulur, cihazdan ve yönetici tarafından sonlandırılabilir.
  • Kimlik bilgileri: parolalar argon2id ile özetlenir; asgari 10 karakter; sızmış parola kontrolü; başarısız giriş sınırlaması.
  • İletim ve depolama güvenliği: TLS 1.2+ zorunlu (HSTS/HTTPS), çerezler HttpOnly ve Secure; yedekler şifreli saklanır; disk erişimi sunucu düzeyinde kısıtlıdır.
  • Barındırma: sunucular, veritabanı ve yedekler Türkiye’de (İstanbul), ISO 27001 (bilgi güvenliği), ISO 22301 (iş sürekliliği) ve PCI-DSS sertifikalı bir veri merkezinde (Ek-1’deki barındırma alt işleyeni) tutulur; fiziksel erişim ve iş sürekliliği tedbirleri sağlayıcının sertifika kapsamındadır.
  • Kayıt ve izlenebilirlik: tüm veri değişiklikleri kim/ne zaman bilgisiyle denetim izinde tutulur; sistem sağlığı ve kesintiler durum sayfasında izlenir; güvenlik olayları için müdahale prosedürü ve 72 saat bildirim.
  • Altyapı: sunucu erişimi yalnızca anahtarla SSH ve en az yetki ilkesiyle; hizmetler konteyner içinde birbirinden ayrı; bağımlılıklar düzenli güncellenir; günlük otomatik yedek (30 gün), yedekten geri dönüş provası yapılmıştır.
  • İdari: personel gizlilik yükümlülüğü altındadır; veri minimizasyonu ve amaçla sınırlılık ilkesi; silme ve saklama süreleri politikada tanımlıdır; alt işleyen sözleşmeleri ve yurt dışı aktarım kayıtları tutulur.
  • Özel nitelikli veri girilen alanlar için ek tedbir: alan bazında erişim yetkisi, dışa aktarımın yalnızca yönetici rolüne açılması, erişim kayıtlarının 2 yıl saklanması.
Veri İşleme Sözleşmesi · NumerusSoft