Veri İşleyen Sözleşmesi (DPA)

Bu sözleşme, KVKK m.12/2'nin aradığı yazılı sözleşmedir ve AB'de yerleşik ilgili kişiler bakımından GDPR m.28/3'ün gerektirdiği hükümleri karşılamak üzere düzenlenmiştir.

1. Taraflar ve sıfatları

• Veri sorumlusu — Abone (işveren). Çalışanlarının kişisel verisinin niçin ve nasıl işleneceğine o karar verir.
• Veri işleyen — Nivorbit Teknoloji Limited Şirketi ("Nivorbit"). Yalnızca Abone'nin talimatıyla ve Hizmet'i sunmak için işler.

Nivorbit'in kendi veri sorumlusu sıfatıyla işlediği hesap verisi bu sözleşmenin dışındadır; onu Gizlilik Politikası düzenler.

2. İşlemenin konusu, süresi, niteliği ve amacı

• Konu: Abone'nin çalışanlarına ilişkin kişisel verilerin Vardify üzerinden işlenmesi.
• Süre: Abonelik süresi ve 8. maddedeki imha süreci tamamlanana kadar.
• Nitelik ve amaç: Vardiya planlama, müsaitlik toplama, giriş-çıkış kaydı, izin ve değişim onayları, işçilik maliyeti raporlaması, bahşiş dağıtımı, bordro hazırlık çıktısı, özlük dosyası saklama ve — Abone açtıysa — franchise ağına toplulaştırılmış raporlama.

2.1 Veri kategorileri

Kimlik ve iletişim; istihdam bilgisi (görev, ücret, sözleşme türü, kıdem); çalışma kayıtları (vardiya, giriş-çıkış, izin, devamsızlık); özlük belgeleri; banka hesabı (IBAN); giriş-çıkış anına ait konum okuması (rızaya bağlı); cihaz kimliği ve anomali işaretleri; bildirim token'ı; KVKK m.6 özel nitelikli veriler (kan grubu, engellilik derecesi, sendika üyeliği) — yalnızca açık rıza varsa; bakmakla yükümlü olunan kişilerin ad ve kimlik numarası.

2.2 İlgili kişi grupları

Abone'nin çalışanları, ayrılmış çalışanları ve — sınırlı ölçüde — çalışanların bakmakla yükümlü olduğu kişiler.

3. Nivorbit'in yükümlülükleri

1. Yalnızca talimatla işler. Kişisel verileri Abone'nin talimatı dışında, kendi amaçları için işlemez. Ürünü geliştirmek için yalnızca kişiyi ve işletmeyi tanımlamayan toplulaştırılmış ölçümler kullanılır.
2. Bir talimatın hukuka aykırı olduğunu düşünürse Abone'yi derhâl bilgilendirir.
3. Erişimi olan personelini gizlilik yükümlülüğü altına alır ve erişimi görevin gerektirdiği kadarıyla sınırlar.
4. 1. maddedeki teknik ve idari tedbirleri uygular.
5. Alt işleyenleri 5. maddedeki kurallara göre çalıştırır.
6. İlgili kişi taleplerinde ve Abone'nin denetim/etki değerlendirmesi yükümlülüklerinde makul yardımı sağlar.
7. İhlâl hâlinde 7. maddeye göre bildirim yapar.

4. Teknik ve idari tedbirler

Bu tedbirler ürüne gömülüdür ve tanıtım metni değildir:

• Kiracı yalıtımı — PostgreSQL satır bazlı güvenlik (RLS) + her istekte kiracı bağlamı. Bir kiracının sorgusu diğerinin satırını veritabanı düzeyinde göremez.
• Aktarımda şifreleme — Tüm istemci–sunucu ve sunucu–alt işleyen trafiği TLS.
• Beklemede şifreleme — Veritabanı ve yedekler disk düzeyinde şifreli.
• Sütun düzeyinde şifreleme — KVKK m.6 özel nitelikli veriler ve bakmakla yükümlü olunan kişinin kimlik numarası, veritabanında ayrıca şifreli tutulur (m.6/4 yeterli önlem).
• Rol bazlı erişim — Ücret ve kimlik alanları role göre maskelenir; şube yöneticisi ücret göremez.
• Açık rıza kapısı — Özel nitelikli veri, canlı bir açık rıza kaydı yoksa hiç yazılmaz; rıza geri alınınca alanlar silinir.
• Denetim kaydı — Kişisel veriye erişim ve değişiklik denetim kaydına yazılır; özel nitelikli alanlarda yalnızca "değişti" bayrağı tutulur.
• Belge erişimi — Özlük belgeleri nesne depolamada tutulur ve yalnızca kısa ömürlü (5 dakika) imzalı bağlantıyla indirilir.
• Veri minimizasyonu — Konum yalnızca okutma anında ve rızayla alınır — sürekli takip yoktur. Biyometri ve yüz tanıma kullanılmaz.
• Anti-fraud — Cihaz bağlama ve anomali sinyalleri; biyometrik doğrulama değil.
• Silme — Anonimleştirme; istihdam bağını siler, kişi başka işverende çalışmıyorsa profilini temizler, saklama süresi dolmuş belgeleri imha eder.

5. Alt işleyenler

1. Abone, Nivorbit'in alt işleyen kullanmasına genel olarak izin verir. Güncel liste: Alt İşleyen Listesi.
2. Nivorbit her alt işleyene bu sözleşmedekiyle eşdeğer yükümlülükler getirir ve alt işleyenin fiilinden Abone'ye karşı kendi fiili gibi sorumludur.
3. Yeni bir alt işleyen eklenmeden veya değiştirilmeden en az 30 gün önce bildirilir. Abone bu süre içinde haklı bir gerekçeyle itiraz ederse taraflar çözüm arar; bulunamazsa Abone sözleşmeyi cezasız feshedebilir.

6. Yurt dışına aktarım

Vardify'ın sunucuları Avrupa Birliği'nde (Falkenstein, Almanya) barındırılır. Bu, kişisel verilerin sürekli olarak yurt dışında işlendiği anlamına gelir ve KVKK m.9'a tabidir.

1. Kurul'un ilgili ülkeler için verilmiş bir yeterlilik kararı bulunmadığından, aktarım standart sözleşme ile yapılır; standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir.
2. Sürekli barındırma "arızi" bir aktarım değildir; bu nedenle m.9/6 istisnalarına ve özellikle açık rızaya dayandırılamaz. Abone'nin çalışanlarından bu aktarım için rıza alması gerekmez ve istenmemelidir — alınan rıza, dayanağı olmayan bir işlemeyi hukuka uygun hâle getirmez.
3. AB'de yerleşik ilgili kişiler bakımından, AB dışına yapılan aktarımlarda AB Standart Sözleşme Hükümleri (SCC) uygulanır.
4. Şifreleme (TLS + disk + sütun) bir güvenlik tedbiridir, aktarımın hukuki dayanağı değildir. İkisi ayrı ayrı sağlanır.

7. İhlâl bildirimi

1. Nivorbit, bir kişisel veri ihlâlini öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde Abone'yi bilgilendirir.
2. Bildirim; ihlâlin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan/alınacak tedbirleri içerir.
3. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusuna, yani Abone'ye aittir (KVKK m.12/5 — 72 saat). Nivorbit bu bildirim için gereken bilgiyi ve desteği sağlar.

8. Sözleşmenin sona ermesi ve verinin iadesi/imhası

1. Abonelik sona erdiğinde Abone'nin verisini 30 gün boyunca dışa aktarabileceği bir pencere açılır; dışa aktarma panelden yapılır ve ücretsizdir.
2. Bu sürenin sonunda kişisel veriler silinir veya anonim hâle getirilir; yedeklerden çıkarılması yedekleme döngüsünün sonunda tamamlanır.
3. Tek istisna, saklanması kanunen zorunlu kayıtlardır. Bunlar yalnızca ilgili kanuni süre boyunca ve yalnızca saklama amacıyla tutulur; bu süre içinde başka hiçbir amaçla işlenmez.
4. Silme talebi, saklama süresi dolmamış özlük belgelerini imha etmez: KVKK m.7 gerekçe ortadan kalktığında imhayı ister, burada gerekçe kanunun kendisidir (TBK, 5510 s.K., 6331 s.K., VUK). Bu durumda çalışan satırı anonimleştirilir; geriye kalan, sistemin artık kime ait olduğunu söyleyemediği evraktır.

9. Denetim

1. Nivorbit, bu sözleşmeye uyumu göstermek için gereken bilgiyi Abone'ye sağlar.
2. Abone yılda bir kez, en az 30 gün önceden haber vererek, çalışma saatleri içinde ve Hizmet'i aksatmayacak biçimde denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Denetim masrafları Abone'ye aittir; denetimde bir uygunsuzluk tespit edilirse masraf Nivorbit'e geçer.
3. Nivorbit, bağımsız denetim raporu sunarak denetim yükümlülüğünü karşılayabilir.

10. Franchise ağı paylaşımı — kimin kararı olduğu

Abone, franchise ağı özelliğini açtığında hangi alanların ağ merkeziyle paylaşılacağına kendisi karar verir ve bu paylaşımın veri sorumlusu Abone'dir; Nivorbit yalnızca aktarımı gerçekleştirir. Çalışan adları, ücretler, saatlik maliyetler, kimlik ve SGK numaraları, kişi bazlı çalışma saatleri ve konum kayıtları hiçbir paylaşım düzeyinde ağ merkezine gönderilmez.

11. Sorumluluk

Bu sözleşmeden doğan sorumluluk, Kullanım Koşulları'nın 9. maddesindeki sınırlara tabidir. Ancak KVKK ve GDPR uyarınca ilgili kişilere ve idari makamlara karşı doğan sorumluluk, kanunun taraflara yüklediği biçimde kalır ve sözleşmeyle daraltılamaz.

12. Çelişki

Bu sözleşme ile Kullanım Koşulları veya Gizlilik Politikası arasında çelişki çıkarsa, kişisel verilerin işlenmesine ilişkin konularda bu sözleşme üstün gelir.