Veri İşleme Sözleşmesi

1. Konu ve roller

Müşteri, sisteme girdiği personel verileri bakımından veri sorumlusudur; Veri İşleyen, bu verileri yalnızca Müşteri'nin yazılı talimatları (hizmetin kullanımı ve ayarları dâhil) doğrultusunda barındırır ve işler.

2. İşlenen veri ve kişi kategorileri

• İlgili kişiler: Müşteri'nin çalışanları, adayları ve yetkili kullanıcıları.
• Veriler: kimlik ve iletişim bilgileri, özlük bilgileri (görev, işe giriş, acil durum kişisi, beden bilgisi, zimmet), vardiya ve çalışma planı, giriş-çıkış kayıtları, mobil girişte anlık konum bilgisi, izin ve fazla mesai kayıtları, maaş ve bordro hazırlık verileri.
• Müşteri, özel nitelikli kişisel veri (ör. sağlık raporu bilgisi, biyometrik veri) girişini gerekli hukuki şartları sağlamadan yapmamalıdır. Sistem, parmak izi veya yüz şablonlarını tutmaz; terminal cihazları bu verileri kendi içinde saklar ve sisteme yalnızca sicil numarası ve zaman bilgisi gönderir.

3. Veri İşleyen'in yükümlülükleri

• Verileri yalnızca Müşteri'nin talimatları ve hizmetin sunulması amacıyla işlemek,
• Verilere erişen kişileri gizlilik yükümlülüğü altında tutmak,
• Verileri Müşteri'nin talebi dışında üçüncü kişilerle paylaşmamak (alt işleyenler ve yasal zorunluluklar hariç),
• Müşteri'nin veri sahiplerinin başvurularını yanıtlamasına makul ölçüde yardımcı olmak,
• Hizmetin sunulmasıyla ilgisi kalmayan verileri sözleşme sonunda iade etmek, silmek veya anonimleştirmek.

4. Teknik ve idari tedbirler

• Müşteriler arası veri ayrımı: her şirketin verisi kendi çalışma alanında tutulur ve diğer şirketler tarafından görüntülenemez (satır düzeyinde yetkilendirme).
• Rol bazlı erişim: yönetim işlevleri yalnızca yetkili kullanıcılara açıktır.
• Hassas bilgilerin korunması: e-posta (SMTP) şifreleri şifreli olarak, personel PIN kodları tek yönlü özet (hash) olarak saklanır.
• Bağlantı güvenliği: panel ile sunucu arasındaki iletişim şifreli bağlantı (HTTPS) üzerinden yapılır. Not: Bazı donanım cihazları yalnızca şifresiz (HTTP) bağlantı destekler; bu cihazların kullanımında ağ güvenliği Müşteri'nin sorumluluğundadır.
• Kayıt tutma: kritik işlemler (giriş-çıkış, onaylar) zaman damgasıyla saklanır.
• Yedekleme ve süreklilik için makul tedbirler alınır.

5. Alt işleyenler

Veri İşleyen, hizmetin sunulması için barındırma, veritabanı ve e-posta gönderim hizmeti sağlayıcıları gibi alt işleyenlerden yararlanabilir. Alt işleyenler, bu sözleşmedeki yükümlülüklere eşdeğer yükümlülüklerle bağlanır. Güncel alt işleyen listesi Müşteri'nin talebi üzerine bildirilir. [Alt işleyen listesi canlıya çıkmadan önce doldurulmalıdır.]

6. Yurt dışına aktarım

Verilerin barındırıldığı sunucular Türkiye dışında bulunuyorsa aktarım KVKK m.9 ve ilgili Kurul düzenlemelerine uygun şekilde yürütülür; gerekli güvenceleri sağlamak ve Müşteri'yi bilgilendirmek Veri İşleyen'in, ilgili kişileri aydınlatmak ve gerekirse açık rıza almak Müşteri'nin sorumluluğundadır.

7. Veri ihlali bildirimi

Veri İşleyen, Müşteri verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Müşteri'yi gecikmeksizin, mümkünse 48 saat içinde bilgilendirir. Kurul ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir; Veri İşleyen bu süreçte gerekli bilgiyi sağlar.

8. Denetim

Müşteri, makul bir önceden bildirimle ve hizmeti aksatmayacak şekilde, bu sözleşmedeki yükümlülüklerin yerine getirildiğine dair bilgi ve belge talep edebilir.

9. Süre ve sonrası

Sözleşme, hizmet ilişkisi boyunca geçerlidir. Hizmet sona erdiğinde Müşteri, verilerini 30 gün içinde dışa aktarabilir; bu sürenin sonunda Veri İşleyen verileri siler veya anonim hâle getirir. Yasal saklama yükümlülükleri veya devam eden uyuşmazlıklar için gerekli veriler bu süre sonrasında da yalnızca bu amaçla saklanabilir.

10. Müşteri'nin sorumlulukları

Müşteri; personeline KVKK m.10 kapsamında aydınlatma yapmak, gerekli hâllerde açık rıza almak, verilerin hukuka uygun olduğundan emin olmak ve VERBİS gibi yükümlülüklerini yerine getirmekten sorumludur. Bu amaçla personel aydınlatma metni şablonu ayrıca sunulmuştur.