Veri İşleyen Sözleşmesi (DPA)

Müşteri, CRM'e aktardığı kişisel verilerin hukuka uygun olarak elde edildiğini, ilgili kişilerin aydınlatıldığını ve gerekli hâllerde açık rızalarının alındığını taahhüt eder.

• Konu: CRM hizmetinin sunulması (kayıt, saklama, sorgulama, raporlama, yedekleme, destek).
• Süre: Abonelik süresince ve sözleşmenin sona ermesini izleyen iade/imha süresi boyunca.
• Amaç: Yalnızca müşterinin talimatları ve hizmetin ifası; başka hiçbir amaçla işlenmez.
• Veri kategorileri: Kimlik, iletişim, müşteri işlem, pazarlama ve müşterinin sisteme girdiği diğer veriler.
• İlgili kişi grupları: Müşterinin potansiyel müşterileri, müşterileri ve çalışanları.

Kişisel veriler yalnızca müşterinin yazılı talimatları doğrultusunda işlenir. Hukuki bir yükümlülük nedeniyle talimat dışında işleme gerekirse, yasak olmadığı sürece müşteri önceden bilgilendirilir. Müşteri verileri başka müşterilerle paylaşılmaz, kendi ürün geliştirmemiz veya pazarlamamız için kullanılmaz, satılmaz.

• Verilere erişimi olan personel gizlilik yükümlülüğü altındadır.
• Erişim, görevin gerektirdiği en az yetki ilkesine göre sınırlandırılır.
• Her müşteri için ayrı veri tabanı kullanılır; müşteriler birbirinin verisine erişemez.

• Aktarımda TLS şifrelemesi, veri tabanı düzeyinde erişim denetimi.
• Uygulamada rol bazlı yetkilendirme ve proje bazlı erişim sınırlandırması.
• Şifrelerin geri döndürülemez biçimde (bcrypt) saklanması; entegrasyon anahtarlarının AES-256-GCM ile şifrelenmesi.
• Kritik işlemlerin denetim kaydı (audit log) ile izlenmesi.
• Günlük şifreli yedekleme ve yedeklerin ayrı ortamda saklanması.
• Sistem sağlığının otomatik izlenmesi ve arıza durumunda uyarı üretilmesi.

Hizmetin sunulmasında barındırma, veri tabanı, e-posta ve güvenlik alanlarında alt işleyenlerden yararlanılır. Güncel liste “Alt İşleyen Listesi” sayfasında yayımlanır. Yeni bir alt işleyen eklenmeden önce müşteri makul süre önce bilgilendirilir ve gerekçeli itiraz hakkı saklıdır.

Veri tabanı Avrupa Birliği içinde (Frankfurt, Almanya) konumlandırılmıştır. Barındırma ve e-posta altyapılarının bir kısmı yurt dışında bulunabilir. Aktarımlar KVKK m.9 uyarınca uygun güvencelerle gerçekleştirilir; müşteri kendi aydınlatma metninde bu duruma yer vermekle yükümlüdür.

Kişisel veri ihlali öğrenildiği anda, gecikmeksizin ve her hâlde 24 saat içinde müşteriye bildirim yapılır. Bildirim; ihlalin niteliğini, etkilenen veri ve ilgili kişi gruplarını, olası sonuçlarını ve alınan/alınacak tedbirleri içerir.

Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla müşteriye aittir; bu süreçte gerekli bilgi ve desteği sağlarız.

İlgili kişilerden doğrudan bize ulaşan talepler, veri sorumlusu müşteriye yönlendirilir. Müşterinin KVKK m.11 kapsamındaki taleplere cevap verebilmesi için gerekli teknik desteği (veri dışa aktarma, düzeltme, silme) makul sürede sağlarız.

Müşteri, makul sıklıkta ve önceden yazılı bildirimde bulunmak kaydıyla, bu metindeki yükümlülüklere uygunluğu denetleyebilir veya bağımsız bir denetçiye denetletebilir. Denetim, diğer müşterilerin verilerinin gizliliğini ihlal etmeyecek şekilde yürütülür.

Sözleşmenin sona ermesi hâlinde müşteri verileri, müşterinin talebi üzerine yaygın kullanılan bir formatta (Excel dışa aktarımı dâhil) teslim edilir. Teslimin ardından ya da müşterinin talep etmemesi hâlinde, yasal saklama yükümlülükleri saklı kalmak kaydıyla veriler silinir veya yok edilir; yedeklerdeki kopyalar yedekleme döngüsü içinde imha edilir.

Bu metin, abonelik sözleşmesinin ayrılmaz parçasıdır ve hizmetin kullanılmaya başlanmasıyla yürürlüğe girer. İmzalı bir nüsha talep ediyorsanız info@projecrm.com adresine yazabilirsiniz.