Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Biom business.'te çalışma alanı oluşturan kurum ("Kullanıcı Kurum") ile Biom business.'i ücretsiz olarak sunan hizmet sağlayıcı ("Sağlayıcı") arasında, çalışma alanında işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme, Kullanım Koşulları'nın ayrılmaz parçasıdır ve Kullanım Koşulları'nın kabulüyle yürürlüğe girer. Kullanıcı Kurum, karşılıklı imzalanmış bir nüshayı İletişim sayfasından talep edebilir.

1. Taraflar ve tanımlar

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeleri.
• Kurul / KVK Kurumu: Kişisel Verileri Koruma Kurulu / Kişisel Verileri Koruma Kurumu.
• GDPR: Avrupa Birliği Genel Veri Koruma Tüzüğü (2016/679), uygulanabildiği ölçüde.
• Kurum Kişisel Verileri: Sağlayıcı'nın Hizmet'i sunarken Kullanıcı Kurum adına işlediği, çalışma alanındaki kişisel veriler.
• Alt işleyen: Sağlayıcı'nın Kurum Kişisel Verilerinin işlenmesinde yararlandığı üçüncü taraf hizmet sağlayıcı.
• Kişisel veri ihlali: Kurum Kişisel Verilerinin hukuka aykırı olarak başkaları tarafından elde edilmesi, kaybolması, değiştirilmesi veya bunlara yetkisiz erişilmesi sonucunu doğuran güvenlik olayı.

Bu Sözleşmede tanımlanmayan terimler Kullanım Koşulları'ndaki ve Kanun'daki anlamlarıyla kullanılır.

2. Konu ve kapsam

Sağlayıcı, Kurum Kişisel Verilerini yalnız Hizmet'i sunmak, Hizmet'in güvenliğini sağlamak, Kullanıcı Kurum'a destek vermek ve kanuni yükümlülüklerini yerine getirmek amacıyla, bu Sözleşmede ve Kullanıcı Kurum'un talimatlarında belirtilen sınırlar içinde işler.

Sağlayıcı'nın kendi amaçları için veri sorumlusu sıfatıyla yaptığı işlemeler (hesap güvenliği ve kötüye kullanımın önlenmesi, kayıt onaylarının kaydı, tanıtım sitesi, iletişim ve destek yazışmaları, ticari elektronik iletiler) bu Sözleşmenin kapsamında değildir ve Gizlilik Politikası ile KVKK Aydınlatma Metni'nde açıklanır.

3. İşlemenin ayrıntıları

3.1 Amaç ve nitelik

Çalışma alanındaki iletişim ve iş birliği araçlarının (mesajlaşma, dosya paylaşımı, ortak belgeler, topluluklar, iç akış, görüşme sinyalleşmesi, bildirimler, arama, entegrasyonlar) çalıştırılması; bu kapsamda verilerin kaydedilmesi, saklanması, iletilmesi, görüntülenmesi, dizinlenmesi, yedeklenmesi, dışa aktarılması ve silinmesi.

3.2 Süre

Kullanım Koşulları'nın yürürlükte olduğu süre ve çalışma alanının kapatılmasının ardından 13. maddede belirtilen dışa aktarma ve silme süreleri.

3.3 İlgili kişi grupları

• Kullanıcı Kurum'un çalışanları, yöneticileri, stajyerleri, gönüllüleri ve yüklenicileri,
• Kullanıcı Kurum'un çalışma alanına davet ettiği misafirler ve topluluk üyeleri,
• Çalışma alanındaki içeriklerde adı geçen veya görüntüsü bulunan diğer kişiler.

3.4 Kişisel veri kategorileri

3.5 Özel nitelikli kişisel veriler

Hizmet, özel nitelikli kişisel verilerin işlenmesi için özel olarak tasarlanmamıştır ve Sağlayıcı bu tür verileri talep etmez. Kullanıcı Kurum, kullanıcılarının bu tür verileri paylaşmasına izin verecekse Kanun'un 6. maddesine uygun bir hukuki sebebe sahip olmaktan ve Kurul'un öngördüğü ek önlemleri almaktan sorumludur.

4. Kullanıcı Kurum'un yükümlülükleri

• Kurum Kişisel Verilerinin işlenmesi için Kanun'un 5. ve 6. maddelerine uygun bir hukuki sebebe sahip olmak,
• İlgili kişileri Kanun'un 10. maddesine uygun şekilde aydınlatmak; özellikle yöneticilerin dışa aktarma, devre dışı bırakma ve saklama süresi yetkileri hakkında kullanıcılarını bilgilendirmek,
• Talimatlarının mevzuata uygun olmasını sağlamak,
• Çalışma alanının yetki, saklama süresi, SSO ve entegrasyon ayarlarını kendi ihtiyaçlarına ve mevzuata uygun şekilde yapılandırmak,
• Kendi veri sorumlusu yükümlülüklerini (gerekiyorsa VERBİS kaydı, ilgili kişi başvurularının yanıtlanması, Kurul'a ihlal bildirimi) yerine getirmek.

5. Talimatlar

Sağlayıcı, Kurum Kişisel Verilerini yalnız Kullanıcı Kurum'un belgelenmiş talimatlarına göre işler. Aşağıdakiler Kullanıcı Kurum'un talimatı sayılır:

1. Bu Sözleşme ve Kullanım Koşulları,
2. Kullanıcı Kurum'un ve yetkili kullanıcılarının Hizmet'i kullanması ve ayarları yapılandırması (örneğin saklama süresinin belirlenmesi, dışa aktarma, kullanıcı devre dışı bırakma, entegrasyon etkinleştirme),
3. Taraflarca yazılı olarak kararlaştırılan diğer talimatlar.

Sağlayıcı, bir talimatın mevzuata aykırı olduğunu düşünürse Kullanıcı Kurum'u derhâl bilgilendirir ve talimatın uygulanmasını açıklığa kavuşuncaya kadar erteleyebilir. Kanun gereği Kurum Kişisel Verilerini bir mercie açıklamak zorunda kalırsa, kanunen yasaklanmadıkça Kullanıcı Kurum'u önceden bilgilendirir ve açıklamayı zorunlu olan en dar kapsamla sınırlar.

6. Gizlilik

Sağlayıcı, Kurum Kişisel Verilerine erişen çalışanlarının ve yardımcı kişilerinin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Erişim, görevin gerektirdiği en az yetki ilkesine göre verilir. Sağlayıcı personeli çalışma alanı içeriğine yalnız destek talebinin çözümü, güvenlik olayının incelenmesi veya kanuni yükümlülük gibi zorunlu hâllerde ve mümkün olduğunca Kullanıcı Kurum'un bilgisi dahilinde erişir.

7. Güvenlik önlemleri

Sağlayıcı, Kanun'un 12. maddesi uyarınca Kurum Kişisel Verilerinin güvenliği için uygun teknik ve idari tedbirleri alır. Hizmette uygulanan başlıca teknik tedbirler şunlardır:

• Parolalar: scrypt algoritmasıyla, kullanıcıya özgü tuzla özetlenerek saklanır; düz metin parola tutulmaz. Kullanıcı adının var olup olmadığı, yanıt süresi ve mesajı aynı tutularak gizlenir.
• Oturumlar: Oturum belirtecinin kendisi değil yalnız SHA-256 özeti saklanır. Oturumlar en geç 30 gün sonra sona erer; parola değiştiğinde diğer oturumlar kapanır; kullanıcı açık oturumlarını görüp kapatabilir.
• İki adımlı doğrulama: İsteğe bağlı TOTP; kurtarma kodlarının yalnız özetleri saklanır; doğrulama denemeleri hız sınırına tabidir.
• Tek oturum açma: OIDC ile PKCE, nonce ve kimlik belirteci imza doğrulaması; Kullanıcı Kurum SSO'yu zorunlu kılabilir.
• Dosyalar: HMAC ile imzalanmış, süreli (en çok 7 gün geçerli) bağlantılarla ve ayrı, kısıtlayıcı bir içerik güvenliği politikasıyla (sandbox) sunulur; betik çalıştırabilecek dosya türleri tarayıcıda satır içi açılmaz.
• Tarayıcı güvenliği: Sıkı İçerik Güvenliği Politikası (satır içi betik ve stil yasak, çerçeveleme yasak) ve güvenlik başlıkları; mesaj biçimlendirmesinde içerik önce kaçırılır, bağlantılar yalnız http/https olabilir.
• Hız sınırlama: Kayıt, giriş, iki adımlı doğrulama, mesaj gönderme, dosya yükleme ve dışa aktarma işlemlerinde.
• Erişim denetimi: Rol tabanlı yetkilendirme (sahip, yönetici, üye, misafir) ve topluluklarda ayrıntılı izinler. Özel kanalların ve doğrudan mesajların içeriği, olayları, arama sonuçları ve dosyaları yalnız üyelerine iletilir; bu yalıtım otomatik testlerle doğrulanır.
• Giden istekler: Bağlantı önizlemesi ve uygulama çağrılarında SSRF koruması (özel ve yerel ağ adreslerinin engellenmesi, bağlantının doğrulanan IP adresine kurulması, yönlendirme, süre ve boyut sınırları); uygulamalara giden istekler HMAC ile imzalanır.
• Kayıt ve izlenebilirlik: Topluluklarda yönetim ve moderasyon işlemleri denetim kaydına yazılır.
• Veri yaşam döngüsü: Kullanıcı Kurum tarafından seçilebilen mesaj saklama süreleri (30, 90, 180, 365 veya 730 gün), çalışma alanı ve kişisel veri dışa aktarma araçları.
• Aktarım güvenliği: Yayın ortamında tüm bağlantılar TLS ile şifrelenir. Anlık bildirim içerikleri tarayıcının bildirim hizmetine uçtan uca şifreli (RFC 8291) gönderilir. Görüşme ve canlı yayın medya akışları WebRTC'nin zorunlu şifrelemesiyle (DTLS-SRTP) iletilir ve sunucuda kaydedilmez.

İdari tedbirler: yetkilerin en az yetki ilkesine göre verilmesi ve düzenli gözden geçirilmesi, gizlilik taahhütleri, güvenlik olayı müdahale prosedürü, alt işleyenlerin seçiminde güvenlik değerlendirmesi ve yedekleme ile geri yükleme süreçlerinin belgelenmesi. Barındırma altyapısına ilişkin fiziksel güvenlik tedbirleri altyapı sağlayıcısınca sağlanır.

Sağlayıcı, güvenlik tedbirlerini teknolojik gelişmelere göre güncelleyebilir; ancak genel koruma seviyesini düşürmez. Bu Sözleşme herhangi bir sertifikasyon beyanı içermez. Güvenlik yaklaşımımızın özeti Güvenlik sayfasındadır.

8. Alt işleyenler

1. Kullanıcı Kurum, Alt İşleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel olarak izin verir.
2. Sağlayıcı, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce çalışma alanı sahiplerine e-postayla bildirimde bulunur ve listeyi günceller.
3. Kullanıcı Kurum, bildirim süresi içinde makul ve veri korumaya dayalı gerekçelerle itiraz edebilir. Taraflar makul bir çözüm bulamazsa Kullanıcı Kurum, değişiklik yürürlüğe girmeden önce verilerini dışa aktarabilir ve çalışma alanını kapatabilir; bu durumda 13. madde uygulanır.
4. Sağlayıcı, alt işleyenlere bu Sözleşmedekilerle esas olarak aynı düzeyde koruma sağlayan yükümlülükler yükler ve alt işleyenlerin yükümlülüklerini yerine getirmemesinden Kullanıcı Kurum'a karşı sorumludur.
5. Hizmet'in sürekliliği için acil olarak alt işleyen değiştirilmesi gerekirse (örneğin sağlayıcının hizmeti aniden sonlandırması), bildirim mümkün olan en kısa sürede yapılır ve itiraz hakkı saklı kalır.

Kullanıcı Kurum'un kendisinin seçtiği ve etkinleştirdiği hizmetler (kendi kimlik sağlayıcısı, kendi yapay zekâ model sağlayıcısı, kendi uygulama ve web kancası adresleri) alt işleyen değildir; bu hizmetlere veri aktarımı Kullanıcı Kurum'un talimatı ve sorumluluğundadır.

9. Yurt dışına aktarım

Barındırma altyapısı için değerlendirilen seçeneklerin her ikisi de (Cloudflare veya Supabase; ayrıntılar Alt İşleyenler sayfasında) Kurum Kişisel Verilerinin Türkiye dışında, Avrupa'daki veri merkezlerinde saklanması sonucunu doğurur. Yurt dışına aktarımlar Kanun'un 9. maddesine (7499 sayılı Kanun ile yapılan değişiklik sonrası hâliyle) uygun olarak yapılır:

1. Aktarılan ülke hakkında Kurul'un yeterlilik kararı varsa bu karara dayanılır.
2. Yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmeler kullanılır. Standart sözleşme, imzalanmasından itibaren 5 iş günü içinde aktarımı yapan tarafça KVK Kurumu'na bildirilir. Bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhüt gibi diğer uygun güvenceler de kullanılabilir.
3. Kanun'un 9. maddesinin altıncı fıkrasındaki istisnai hâllere yalnız arızi (düzenli olmayan) aktarımlarda başvurulur.

Kullanıcı Kurum, Hizmet'in sunulması için bu güvencelere dayanılarak yapılan aktarımlara talimat verdiğini kabul eder. Veri yerleşimine ilişkin özel ihtiyaçları olan kurumlar İletişim sayfasından bize ulaşabilir.

10. Kişisel veri ihlalleri

1. Sağlayıcı, Kurum Kişisel Verilerini etkileyen bir ihlali öğrendiğinde Kullanıcı Kurum'u gecikmeksizin ve her durumda en geç 48 saat içinde çalışma alanı sahiplerine e-postayla bildirir. Bu süre, Kullanıcı Kurum'un Kurul'a 72 saat içinde bildirim yapabilmesini sağlamak amacıyla belirlenmiştir.
2. Bildirim, o an bilinen ölçüde şunları içerir: ihlalin niteliği ve zamanı, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen önlemler, iletişim kişisi. Bilgilerin tamamı aynı anda sağlanamıyorsa aşamalı olarak iletilir.
3. Sağlayıcı, ihlalin etkilerini azaltmak için gerekli önlemleri derhâl alır ve Kullanıcı Kurum'un Kurul'a ve ilgili kişilere bildirim yapmasına makul ölçüde yardımcı olur.
4. Kurum Kişisel Verilerine ilişkin ihlallerde Kurul'a ve ilgili kişilere bildirim yapma yükümlülüğü veri sorumlusu olarak Kullanıcı Kurum'a aittir. Sağlayıcı, Kullanıcı Kurum'un talimatı olmadıkça bu bildirimleri onun adına yapmaz; kanunen kendisinin bildirim yapması gereken hâller saklıdır.

11. İlgili kişi başvurularına destek

Hizmet, Kullanıcı Kurum'un ilgili kişi başvurularını yanıtlayabilmesi için şu araçları sunar: kullanıcının kendi verilerini dışa aktarması, hesabını kapatması veya silmesi; yöneticinin çalışma alanı verilerini dışa aktarması, kullanıcıları devre dışı bırakması ve saklama süresini belirlemesi.

Kurum Kişisel Verilerine ilişkin bir başvuru doğrudan Sağlayıcı'ya ulaşırsa, Sağlayıcı başvuruyu esastan yanıtlamaz; başvuruyu en geç 5 iş günü içinde Kullanıcı Kurum'a iletir ve ilgili kişiye başvurusunun veri sorumlusu olan kuruma iletildiğini bildirir. Araçların yetmediği durumlarda Sağlayıcı, Kullanıcı Kurum'un yazılı talebi üzerine başvurunun 30 günlük yasal süre içinde yanıtlanabilmesi için makul teknik destek sağlar.

12. Diğer yardım yükümlülükleri

Sağlayıcı, sahip olduğu bilgiler ölçüsünde; Kullanıcı Kurum'un Kurul'un bilgi taleplerini yanıtlamasına, kendi kayıtlarını (örneğin kişisel veri işleme envanteri) hazırlamasına ve uygulanabildiği hâllerde veri koruma etki değerlendirmesi yapmasına makul ölçüde yardımcı olur.

13. Silme ve iade

1. Kullanım süresince Kurum Kişisel Verileri, Kullanıcı Kurum'un ayarlarına (saklama süresi gibi) ve yöneticilerin işlemlerine göre silinir.
2. Çalışma alanının kapatılmasından veya Hizmet'in sona ermesinden itibaren 30 gün boyunca Kullanıcı Kurum, verilerini dışa aktarma araçlarıyla alabilir.
3. Bu sürenin bitiminden itibaren en geç 30 gün içinde Kurum Kişisel Verileri sistemlerden silinir veya anonim hâle getirilir. Yedeklerdeki kopyalar yedekleme döngüsü sonunda kendiliğinden silinir ve bu süre içinde yalnız geri yükleme amacıyla korunur.
4. Kanunen saklanması zorunlu veriler, ilgili süre boyunca ve yalnız o amaçla saklanır.
5. Kullanıcı Kurum talep ederse silme işleminin tamamlandığı yazılı olarak teyit edilir.

14. Bilgi verme ve denetim

1. Sağlayıcı, bu Sözleşmeye uyumu göstermek için gerekli bilgileri Kullanıcı Kurum'a sağlar ve yılda bir kez makul kapsamdaki güvenlik soru formlarını yanıtlar.
2. Bu bilgiler yeterli olmazsa Kullanıcı Kurum, en az 30 gün önceden yazılı bildirimde bulunarak yılda en fazla bir kez, mesai saatleri içinde ve gizlilik yükümlülüğü altında denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Bir ihlal veya yetkili makam talebi hâlinde bu sınırlama uygulanmaz.
3. Denetim, Hizmet'in işleyişini aksatmayacak ve diğer kurumların verilerine erişim sağlamayacak şekilde yapılır. Denetimin masrafları Kullanıcı Kurum'a aittir; denetçi Sağlayıcı'nın rakibi olamaz.

15. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu, Kullanım Koşulları'ndaki sorumluluk hükümlerine tabidir; kişisel verilerin korunmasına ilişkin kanuni sorumluluklar saklıdır. Kanun'un 12. maddesinin ikinci fıkrası uyarınca veri sorumlusu, veri güvenliği tedbirlerinin alınmasından veri işleyenle birlikte müştereken sorumludur; taraflar, iç ilişkide sorumluluğu kendi kusurları oranında üstlenir.

16. Süre, öncelik ve değişiklikler

Bu Sözleşme, Kullanım Koşulları süresince ve sonrasında Sağlayıcı'nın Kurum Kişisel Verilerini işlediği süre boyunca yürürlükte kalır. Kişisel verilere ilişkin konularda bu Sözleşme, Kullanım Koşulları'na göre önceliklidir. Değişiklikler en az 30 gün önceden bildirilir; mevzuat değişikliklerinin gerektirdiği güncellemeler daha kısa sürede yapılabilir.

17. GDPR Madde 28 uyumluluk notu

Avrupa Birliği veya Avrupa Ekonomik Alanı'nda yerleşik kurumlar ya da GDPR kapsamındaki ilgili kişiler bakımından bu Sözleşme, GDPR'ın 28. maddesinin üçüncü fıkrasında sayılan unsurları karşılayacak şekilde hazırlanmıştır:

Sağlayıcı Türkiye'de yerleşiktir. Avrupa Birliği'nden Türkiye'ye yapılan aktarımlar için Avrupa Komisyonu'nun yeterlilik kararı bulunmadığından, talep eden AB/AEA'daki kurumlarla Komisyon'un standart sözleşme maddeleri (2021/914, veri sorumlusundan veri işleyene modülü) imzalanır. Sağlayıcı, GDPR m.27 kapsamında AB temsilcisi atanmasının gerekip gerekmediğini değerlendirmektedir.

Ek-1: Özet işleme bilgileri