KVKK Veri İşleyen Sözleşmesi (DPA)

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU KAPSAMINDA
VERİ İŞLEYEN SÖZLEŞMESİ VE GİZLİLİK TAAHHÜTNAMESİ

(Yönetilmeyen / Unmanaged Bulut ve Sanal Sunucu Altyapı Hizmetlerine İlişkin Standart Ek Sözleşme)

1. TARAFLAR

İşbu Veri İşleyen Sözleşmesi ve Gizlilik Taahhütnamesi ("Sözleşme"), aşağıdaki taraflar arasında akdedilmiştir:

Taraflar işbu Sözleşme'de münferiden "Taraf", müştereken "Taraflar" olarak anılacaktır.

2. TANIMLAR VE HİZMET MODELİ

Bu Sözleşme'de geçen;

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu,
• Kurul: Kişisel Verileri Koruma Kurulu'nu,
• Kişisel Veri, Özel Nitelikli Kişisel Veri, İlgili Kişi, Veri Sorumlusu ve Veri İşleyen: Kanun'da belirtilen yasal tanımları,
• Ana Sözleşme: Taraflar arasında kurulan Bulut / Sanal Sunucu (VPS/VDS/Cloud) Barındırma Hizmet Sözleşmesi ve eklerini,
• Hizmet Modeli: Veri İşleyen tarafından sunulan hizmet; fiziksel veri merkezi alanı, elektrik, iklimlendirme, sunucu donanımı, sanallaştırma hipervizörü ve temel ağ erişiminden oluşan "Yönetilmeyen Altyapı Sağlayıcılığı" (Unmanaged IaaS) modelidir.

3. SÖZLEŞMENİN KONUSU VE İŞLEME FAALİYETİNİN KAPSAMI

3.1. İşbu Sözleşme, Veri Sorumlusu'nun Veri İşleyen altyapısında barındırdığı kişisel verilerin Kanun'un 12. maddesine uygun olarak muhafazasına ilişkin tarafların hak, yetki ve yükümlülüklerini düzenler.
3.2. Veri İşleyen'in veri işleme faaliyeti; sunucu ve depolama kaynaklarının çalışır durumda tutulması, barındırılması ve altyapı sürekliliği için zorunlu olan teknik işlemlerle sınırlıdır.
3.3. Veri İşleyen, tahsis edilen sunucunun içerisindeki verilere erişmez, verilerin içeriğini bilmez, kopyalamaz ve Veri Sorumlusu'nun açık yazılı talimatı veya yasal zorunluluklar haricinde verilere hiçbir surette müdahale etmez.

4. GÜVENLİK TEDBİRLERİ VE PAYLAŞIMLI SORUMLULUK MODELİ

Taraflar, unmanaged altyapı hizmetinin teknik doğası gereği güvenlik sorumluluklarının Paylaşımlı Sorumluluk Modeli (Shared Responsibility Model) çerçevesinde aşağıdaki gibi paylaşıldığını kabul ve taahhüt ederler:
4.1. Veri İşleyen'in Sorumluluk Alanı (Altyapı Güvenliği):
Veri İşleyen; veri merkezine fiziksel erişim güvenliği, enerji ve iklimlendirme yedekliliği, hipervizör yönetim katmanının güvenliği, fiziksel donanım arızalarında parça değişimi ve ağ seviyesindeki (L3/L4) genel DDoS filtreleme tedbirlerini almakla yükümlüdür.
4.2. Veri Sorumlusu'nun Sorumluluk Alanı (Sunucu İçi Güvenlik):
Sunucuya ait kök/yönetici (root/admin) parolalarının güvenliği, işletim sistemi güvenlik yamaları, güvenlik duvarı (OS firewall) port yapılandırmaları, veritabanı şifreleme ve kriptografik anahtar yönetimi (encryption at-rest/in-transit), uygulama açıkları, kullanıcı erişim yetkileri ve uygulama içi yedekleme süreçleri münhasıran Veri Sorumlusu'nun sorumluluğundadır. Bu katmanlardaki zafiyetlerden kaynaklanan ihlallerden Veri İşleyen sorumlu tutulamaz.

5. VERİ KONUMU, AĞ TRAFİĞİ VE ALT VERİ İŞLEYENLER

5.1. Veri Konumu: Sunucular, depolama alanları ve varsa sistem yedekleri münhasıran Türkiye Cumhuriyeti sınırları içerisindeki kurumsal veri merkezinde (İstanbul Mars Veri Merkezi) barındırılır. Veriler yurt dışına aktarılmaz veya yurt dışındaki sunucularda depolanmaz.
5.2. Ağ Trafiği İstisnası: İnternet omurgasının küresel yapısı gereği sunuculara yurt dışından gelen doğal kullanıcı erişimleri ile siber saldırıların engellenmesi amacıyla yürütülen ağ seviyesindeki (L3/L4) DDoS filtreleme süreçleri yurt dışı veri aktarımı sayılmaz. Filtreleme süreçlerinde şifreli (TLS/SSL) trafiğin içeriği çözülmez ve kişisel veriler yurt dışında kaydedilmez.
5.3. Alt Veri İşleyenler: Veri İşleyen, hizmetin ifası için veri merkezi işletmecilerini, internet omurga operatörlerini ve siber güvenlik hizmet sağlayıcılarını alt veri işleyen olarak kullanmaya genel olarak yetkilidir. Alt veri işleyenler işbu Sözleşme'dekilerle aynı düzeyde güvenlik ve gizlilik yükümlülüklerine tabidir.

6. GİZLİLİK TAAHHÜTNAMESİ

6.1. Veri İşleyen, işbu Sözleşme kapsamında sunulan altyapı hizmeti vesilesiyle muttali olabileceği her türlü kişisel veriyi, ticari sırrı ve Veri Sorumlusu'na ait sistem bilgilerini süresiz olarak gizli tutacağını taahhüt eder.
6.2. Veri İşleyen, personeline yalnızca görevlerinin gerektirdiği ölçüde altyapı erişimi tanır ve tüm personelinin süresiz gizlilik taahhüdü altında olmasını sağlar.
6.3. Yasal ve adli mercilerden gelebilecek resmi bilgi/erişim talepleri haricinde, Veri Sorumlusu'na ait hiçbir veri üçüncü kişilerle paylaşılamaz. İşbu gizlilik taahhüdü sözleşme sona erse dahi süresiz olarak yürürlükte kalır.

7. GÜVENLİK İHLALLERİNİN BİLDİRİMİ

Veri İşleyen, kendi kontrolündeki fiziksel altyapı veya hipervizör katmanında doğrudan kişisel verileri etkileyebilecek doğrulanmış bir güvenlik ihlali tespit etmesi halinde; durumu teknik inceleme ve doğrulamanın tamamlanmasını müteakip makul olan en kısa sürede ve her hâlükârda en geç 72 (yetmiş iki) saat içinde Veri Sorumlusu'na yazılı olarak bildirir. Veri Sorumlusu'nun kendi kontrolündeki sunucu içi işletim sistemi açıkları, yazılım zafiyetleri veya kullanıcı parolalarından kaynaklanan olaylar Veri İşleyen'in ihlal bildirim yükümlülüğü kapsamında değerlendirilmez.

8. SORUMLULUĞUN SINIRLANDIRILMASI (LİABİLİTY CAP)

8.1. Taraflardan her biri, işbu Sözleşme'ye veya mevzuata aykırı kusurlu fiillerinden kaynaklanan zararlardan kendi kusuru oranında sorumludur.
8.2. Tarafların kasıt veya ağır kusur halleri saklı kalmak kaydıyla; Veri İşleyen'in işbu Sözleşme'den, ifadan veya KVKK mevzuatından kaynaklanabilecek her türlü idari para cezası, tazminat ve rücu taleplerine karşı toplam mali sorumluluğu; Veri Sorumlusu tarafından ihlal veya talep tarihinden geriye dönük son 12 (on iki) ay içerisinde (hizmet süresi 12 aydan kısa ise hizmetin başladığı tarihten itibaren fiilen geçen süre boyunca) ilgili hizmet kapsamında Veri İşleyen'e fiilen ve nakden ödenmiş olan toplam net hizmet bedeli ile sınırlıdır. Henüz vadesi gelmemiş veya tahsil edilmemiş alacaklar sorumluluk tavanına dahil edilemez. Dolaylı zararlar, kâr kaybı ve veri kaybı tazminat kapsamı dışındadır.

9. SÖZLEŞMENİN SONA ERMESİ, VERİLERİN TAHLİYESİ VE İMHASI

9.1. İşbu Sözleşme sipariş/onay tarihinde yürürlüğe girer ve Ana Sözleşme yürürlükte kaldığı sürece geçerlidir.
9.2. Hizmet; periyodik (aylık/yıllık) fatura dönemleri bazında peşin ödeme esasına tabidir. Hizmetin sona ermesi veya vadesinde ödenmeyen faturalar nedeniyle durdurulması halinde, sunucu içerisindeki verilerin dışa aktarımı ve tahliyesi münhasıran Veri Sorumlusu'nun sorumluluğundadır. Veri Sorumlusu'na verilerini dışa aktarabilmesi adına 7 (yedi) takvim günü tahliye süresi tanınır. Süre hitamında sunucu kaynakları ve depolama alanları sistemden otomatik ve güvenli olarak silinir.
9.3. Veri Sorumlusu'nun talep etmesi halinde silme işleminin tamamlandığı e-posta yoluyla teyit edilir.

10. UYGULANACAK HUKUK VE YETKİLİ MAHKEME

İşbu Sözleşme Türk hukukuna tabidir. Uyuşmazlıkların çözümünde İstanbul (Çağlayan) Mahkemeleri ve İcra Daireleri yetkilidir.

11. YÜRÜRLÜK

11 (on bir) maddeden oluşan işbu Sözleşme; Müşteri'nin web sitesi üzerinden elektronik ortamda siparişi onaylaması, hizmetten yararlanmaya başlaması veya karşılıklı teyidi ile yürürlüğe girer ve Taraflar arasında bağlayıcı hüküm ifade eder.

Sözleşmeler Sayfasına Dön