Bu Veri İşleme Sözleşmesi, Nora Servis Üyelik ve Hizmet Sözleşmesi’nin ayrılmaz ekidir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.12/2 uyarınca, Üye’nin Hizmet’e girdiği kişisel verilerin işlenmesine ilişkin kuralları belirler.
1. Rollerin belirlenmesi
- Veri sorumlusu: Üye. Üye’nin kendi müşterileri, müşteri yetkilileri, tedarikçileri ve çalışanlarına ait kişisel verilerin hangi amaçla ve hangi yöntemle işleneceğine Üye karar verir.
- Veri işleyen: Hizmet Sağlayıcı (Elite Sistem Yazılım ve Otomasyon Sistemleri). Bu verileri yalnızca Üye adına, Üye’nin Hizmet’i kullanarak verdiği talimatlar doğrultusunda ve Hizmet’in sunulması amacıyla işler.
- Hizmet Sağlayıcı’nın kendi üyelik, faturalama ve destek süreçleri için işlediği Üye yetkilisi / kullanıcı verileri bakımından ise Hizmet Sağlayıcı veri sorumlusudur (bkz. KVKK Aydınlatma Metni).
2. İşlenen veriler
| İlgili kişi grupları | Üye’nin müşterileri ve müşteri yetkilileri, tedarikçiler, Üye çalışanları / kullanıcılar, müşteri panelini kullanan kişiler |
|---|---|
| Veri kategorileri | Kimlik (ad soyad, TCKN / VKN), iletişim (telefon, e-posta, adres), müşteri işlem (servis, cihaz, arıza, teklif, fatura, ödeme, cari hareket), görsel (cihaz fotoğrafı, imza), işlem güvenliği (IP, giriş kayıtları), konum (yalnız personel canlı konum paylaşımını açarsa), mesaj içerikleri (SMS / e-posta / WhatsApp) |
| Özel nitelikli veri | Hizmet özel nitelikli kişisel veri işlemek için tasarlanmamıştır. Üye bu tür verileri (sağlık vb.) girmemekle yükümlüdür; girmesi halinde gerekli şartları sağlamak Üye’nin sorumluluğundadır. |
| Süre | Üyelik ve Hizmet Sözleşmesi süresince; sona ermesinden sonra Üyelik Sözleşmesi m.7’deki teslim ve silme süreleri |
3. Veri işleyenin yükümlülükleri
- Kişisel verileri yalnızca Üye’nin talimatıyla ve Hizmet’in sunulması amacıyla işlemek; kendi amaçları için kullanmamak, satmamak, pazarlamada kullanmamak.
- KVKK m.12/1’e uygun teknik ve idari tedbirleri almak: şifreli bağlantı (HTTPS), şifrelerin geri döndürülemez saklanması, entegrasyon anahtarlarının şifrelenmesi, firma verilerinin mantıksal ayrımı, yetki bazlı erişim, işlem kayıtları, düzenli yedekleme, erişimin bilmesi gereken personelle sınırlandırılması ve gizlilik taahhüdü.
- Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiğini öğrendiğinde Üye’ye gecikmeksizin ve en geç 72 saat içinde bildirmek; ihlalin kapsamı, etkilenen kayıtlar ve alınan önlemler hakkında bilgi vermek, Üye’nin Kurul’a ve ilgili kişilere bildirim yükümlülüğüne destek olmak.
- İlgili kişi başvurularının (KVKK m.11) yanıtlanmasında Üye’ye makul destek sağlamak; Hizmet’e doğrudan gelen başvuruları Üye’ye yönlendirmek.
- Kanunen yetkili makamlardan gelen veri taleplerini, hukuken yasaklanmadıkça Üye’ye bildirmek.
- Sözleşme sona erdiğinde verileri Üye’ye teslim etmek ve ardından silmek veya anonim hale getirmek.
4. Alt veri işleyenler
Üye, Hizmet’in sunulması için aşağıdaki türde alt hizmet sağlayıcıların kullanılmasına izin verir. Hizmet Sağlayıcı bu sağlayıcılarla, bu sözleşmedeki korumadan daha az olmayan yükümlülükler belirler. Yeni bir alt işleyen türü eklenmesi bu sayfada duyurulur; Üye haklı bir itirazı varsa sözleşmeyi feshedebilir.
- Barındırma ve yedekleme (sunucu / veri merkezi hizmeti)
- SMS: NetGSM (Üye kendi hesabını tanımlarsa Üye ile NetGSM arasında)
- E-posta: SMTP sunucusu (Üye kendi sunucusunu tanımlayabilir)
- WhatsApp bağlantısı: Üye’nin kendi numarası ile WhatsApp (Meta) altyapısı
- Mobil bildirim: Google Firebase Cloud Messaging
- e-Fatura / e-Arşiv / e-İrsaliye: Üye’nin seçtiği GİB özel entegratörü
- Online ödeme: PayTR (kart bilgileri Nora Servis sunucularında saklanmaz)
- Harita: OpenStreetMap ve adres çözümleme hizmetleri
- Yapay zekâ (yalnız Üye bu özellikleri kullanırsa): yapay zekâ hizmet sağlayıcısı
5. Yurt dışına aktarım
Bazı alt hizmet sağlayıcıların (ör. bildirim, yapay zekâ, e-posta altyapısı) sunucuları yurt dışında bulunabilir. Hizmet Sağlayıcı yurt dışına aktarımı KVKK m.9’da öngörülen şartlara (yeterlilik kararı, standart sözleşme gibi uygun güvenceler veya arızi aktarım halleri) uygun olarak gerçekleştirir. Üye, kendi seçtiği ve yapılandırdığı yurt dışı hizmetler (ör. yapay zekâ özelliklerini açması) bakımından ilgili kişilere aydınlatma yapmak ve gerekiyorsa rıza almakla yükümlüdür; bu özellikler kapatılarak aktarım önlenebilir.
6. Üye’nin (veri sorumlusunun) yükümlülükleri
- Verileri hukuka uygun olarak toplamak; ilgili kişilere aydınlatma yapmak, gereken hallerde açık rıza almak, VERBİS kaydı yükümlülüğünü yerine getirmek.
- Hizmet’e yalnızca amaçla bağlantılı, sınırlı ve ölçülü veri girmek; gereksiz hale gelen verileri silmek.
- Ticari elektronik ileti onaylarını (6563 sayılı Kanun, İYS) almak ve saklamak; Hizmet’teki “ticari ileti izni” alanını gerçeğe uygun işaretlemek.
- Kullanıcı hesaplarını, yetkileri ve şifreleri güvenli yönetmek; işten ayrılan kullanıcıları pasif yapmak.
7. Denetim
Üye, yılda en fazla bir kez, 30 gün önceden yazılı bildirimde bulunarak ve masrafı kendisine ait olmak üzere, Hizmet Sağlayıcı’nın bu sözleşmeye uyumunu belgeler, yazılı açıklamalar veya bağımsız denetim raporları üzerinden denetleyebilir. Denetim, diğer üyelerin verilerinin gizliliğini ve sistem güvenliğini tehlikeye atamaz.
8. Sorumluluk
Taraflar bu sözleşmeden doğan sorumluluklarını kendi rollerine göre taşır. Hizmet Sağlayıcı’nın sorumluluğu Üyelik ve Hizmet Sözleşmesi m.11’deki sınırlara tabidir; Hizmet Sağlayıcı’nın Üye talimatlarına uygun hareket ettiği işlemlerden doğan yükümlülükler veri sorumlusu olarak Üye’ye aittir.
9. İletişim
Kişisel verilerle ilgili bildirim ve talepler için: [email protected]