Veri İşleme Sözleşmesi (DPA) / Data Processing Agreement

Sürüm

1.0

Yürürlük tarihi

6 Kasım 2026

Son güncelleme

6 Kasım 2026

KVKK Veri İşleyen Sözleşmesi + GDPR Art. 28 Data Processing Agreement

1. Taraflar ve Roller

Bu Veri İşleme Sözleşmesi ("DPA"), aşağıdaki taraflar arasındaki Kullanım Koşulları / Hizmet Sözleşmesi'nin ayrılmaz ekidir.

Not: Protoolbag, kendi hesap/kimlik/faturalandırma verileri bakımından ayrıca veri sorumlusudur; bu rol bu DPA'nın değil, Gizlilik Politikası'nın konusudur.

Uygulanabilir mevzuat: KVKK m.12 (veri güvenliği; veri işleyenle sorumluluk) ve GDPR Art. 28 (processor yükümlülükleri).

2. İşlemenin Konusu, Süresi, Niteliği ve Amacı

3. Veri Kategorileri ve İlgili Kişi Grupları

Modüle göre değişmekle birlikte, Müşteri tarafından yüklenen kişisel veriler tipik olarak şunları içerebilir:

• İlgili kişi grupları: Müşteri'nin çalışanları, İK personeli, müşteri/potansiyel müşteri iletişim kişileri (CRM), saha/bakım personeli, sistem kullanıcıları.
• Veri kategorileri: Kimlik ve iletişim bilgileri, istihdam/İK verileri (PHR — bordro, izin, özlük), CRM iletişim ve etkileşim verileri, iş/operasyon kayıtları (tickets, work orders), kullanıcı hesap verileri.

3.1 Özel Nitelikli / Hassas Kişisel Veriler (KVKK m.6 · GDPR m.9)

İK/bordro (PHR) modülünde, işveren-Müşteri tarafından aşağıdaki hassas kategoriler işlenebilir:

Bu veriler bakımından:

• Veri sorumlusu Müşteri'dir; Protoolbag yalnızca veri işleyendir.
• Bu kategoriler kural olarak açık rıza ve KVKK m.6 uyarınca artırılmış (heightened) güvenlik tedbirleri gerektirir. Müşteri, gerekli hukuki dayanağı, aydınlatmayı ve açık rızayı sağlamaktan sorumludur.
• Açık rıza yönetimi İK modülündeki ürün içi KVKK onay modülü ile sağlanır. Müşteri bu modülü doğru içerik ve rıza tipleriyle yapılandırmakla yükümlüdür.
• Protoolbag, bu sütunlar için §5'teki tedbirlere ek olarak alan düzeyi (column-level) şifreleme gibi ek sertleştirmeleri değerlendirir (açık kalem — bkz. §5 notu).

Kesin kapsam Müşteri'nin fiili kullanımı ile belirlenir.

4. Tarafların Yükümlülükleri

4.1 Veri Sorumlusu (Müşteri)

• Yüklenen kişisel veriler için hukuki dayanağı, aydınlatmayı ve gerekli rızaları (özellikle §3.1 özel nitelikli veriler için açık rıza) sağlamak,
• Talimatlarının hukuka uygunluğunu temin etmek,
• İlgili kişi taleplerinde birincil muhatap olmak (Protoolbag §7 uyarınca yardımcı olur).

4.2 Veri İşleyen (Protoolbag)

• Kişisel verileri yalnızca belgelenmiş talimatlar doğrultusunda işlemek; aksi bir kanuni yükümlülük varsa (hukuken yasak olmadıkça) Müşteri'yi bilgilendirmek,
• Verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlamak,
• §5'teki teknik ve idari tedbirleri (TOM) uygulamak,
• Alt işleyenleri §6 kurallarına uygun kullanmak,
• İhlal bildirimi (§8), silme/iade (§9) ve denetim (§10) yükümlülüklerine uymak,
• Müşteri Verisini kendi amaçları için kullanmamak (yapay zekâ sağlayıcılarına iletilen içerik dâhil — bkz. §6.1).

5. Teknik ve İdari Tedbirler (TOM · KVKK m.12 / GDPR Art. 28(3)(c), 32)

Protoolbag aşağıdaki teknik ve idari tedbirleri uygular.

Standartlarla uyum (bilgi amaçlı): Yukarıdaki kontroller ISO/IEC 27001 (BGYS), ISO/IEC 27701 (PIMS) ve SOC 2 güven ilkeleriyle uyumlu olacak şekilde tasarlanmıştır; bu bir hedef beyanıdır, sertifikasyon iddiası değildir (aksi belgelenmedikçe).

Tedbirler sürekli gözden geçirilir ve güçlendirilir; §3.1 özel nitelikli alanlar için alan düzeyi (column-level) şifreleme gibi ek sertleştirmeler değerlendirilmektedir.

6. Alt İşleyenler (Sub-processors)

Müşteri, aşağıdaki alt işleyenlerin kullanımına genel olarak izin verir. Protoolbag, yeni bir alt işleyen ekleme veya değiştirmeden önce en az 30 gün önceden bildirir; Müşteri makul gerekçeyle itiraz edebilir.

Ödemeler şu anda havale/EFT ile alınmaktadır; çevrim içi ödeme hizmeti sağlayıcısı devreye alındığında bu tabloya eklenir ve Müşteri'ye yukarıdaki süreye uygun bildirim yapılır.

E-posta sağlayıcısının Müşteri tarafından yapılandırılabildiği hâllerde (Exchange 365 / SendGrid), ilgili sağlayıcı Müşteri'nin kendi alt işleyeni konumundadır; Protoolbag yalnızca teknik entegrasyonu sağlar.

6.1 Yapay Zekâ Alt İşleyenleri — Ek Güvenceler

• Yapay zekâ ve gömme sağlayıcılarına yalnızca ilgili özellik kullanıldığında, kullanıcının girdiği istem ve bağlam metni iletilir.
• İlgili sağlayıcıların API kullanım şartları uyarınca API girdileri modellerin eğitiminde kullanılmaz.
• Bu sağlayıcılar ABD merkezlidir; uluslararası aktarım §11'e tabidir. Müşteri, kendi ilgili kişilerine yönelik AI şeffaflık aydınlatmasını sağlamaktan sorumludur (Gizlilik Politikası §8 referans alınabilir).

7. İlgili Kişi Taleplerine Yardım (KVKK m.11 · GDPR Art. 28(3)(e))

Protoolbag, ilgili kişilerin erişim, düzeltme, silme, taşınabilirlik ve itiraz taleplerinin karşılanmasında Müşteri'ye uygun teknik/organizasyonel araçlarla yardımcı olur:

• Dışa aktarım / taşınabilirlik: Veri dışa aktarma özelliği — kullanıcı veya kiracı kapsamında JSON/CSV paketi (GDPR m.20'deki "yapılandırılmış, makine tarafından okunabilir" biçimle uyumlu).
• Silme / erasure: Kiracı verisi silme süreci — bağlı kayıtlar sırasıyla silinir, hiçbir kaydın kalmadığı doğrulanır, silme işleminin kaydı tutulur veya veri anonimleştirilir; ayrıca kullanıcı hesabı silme süreci. Saklama istisnaları §9'dadır.
• Yanıt süresi: Müşteri kendi ilgili kişilerine karşı yasal süreye tabidir (KVKK 30 gün / GDPR 1 ay); Protoolbag bu süreyi karşılayacak şekilde makul sürede destek verir.

İlgili kişi doğrudan Protoolbag'e başvurursa, talep (hukuken engel yoksa) Müşteri'ye yönlendirilir.

8. Veri İhlali Bildirimi (KVKK m.12 · GDPR Art. 33-34)

• Protoolbag, bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin ve Müşteri'nin kendi bildirim yükümlülüklerini yerine getirebilmesi için makul sürede Müşteri'yi bilgilendirir. Bu, Müşteri'nin GDPR m.33 kapsamında denetim makamına 72 saat içinde bildirimini ve gerektiğinde m.34 kapsamında ilgili kişilere bildirimini; KVKK'da ise Kurul'a ve ilgili kişilere bildirimini mümkün kılmalıdır.
• Bildirim; ihlalin niteliği, etkilenen veri kategorileri/yaklaşık sayıları, olası sonuçlar ve alınan/alınacak önlemleri içerir.
• İhlaller Protoolbag'in yazılı olay müdahale prosedürüne göre ele alınır. Güvenlik açığı bildirim kanalı: info@protoolbag.com.

9. Verinin İadesi ve Silinmesi (KVKK m.7 · GDPR Art. 28(3)(g))

• Hizmet Sözleşmesi'nin sona ermesi hâlinde Müşteri, 30 gün içinde tüm Müşteri Verisini veri dışa aktarma özelliğiyle dışa aktarabilir.
• Bu sürenin sonunda Protoolbag, Müşteri Verisini kiracı verisi silme süreciyle geri döndürülemez şekilde siler veya anonimleştirir (bağlı kayıtlar sırasıyla silinir, silme doğrulanır ve kaydı tutulur). Yedeklerdeki kopyalar ilgili yedek saklama penceresinin dolmasıyla ortadan kalkar.
• Saklama istisnaları: Yasal/mali saklama yükümlülüğüne tabi kayıtlar (fatura/abonelik — Türk Ticaret Kanunu ve vergi mevzuatı gereği 10 yıl) silinmeyip anonimleştirilerek/kilitlenerek saklanabilir; sistem ve denetim kayıtları, denetim bütünlüğü için silinmek yerine anonimleştirilir.

10. Denetim Hakları (GDPR Art. 28(3)(h))

• Protoolbag, bu DPA'ya uyumu gösteren bilgileri (bu belge, güvenlik açığı bildirim politikası, ilgili uyum dokümanları, mevcut denetim/tarama çıktıları) Müşteri'ye sağlar.
• Müşteri, makul bildirimle (makul aralıklarla, iş saatleri içinde, gizlilik yükümlülüğü altında) uyum denetimi talep edebilir; taraflar öncelikle mevcut belge ve raporlarla yetinir.
• Denetim, diğer kiracıların verilerinin gizliliğini ve güvenliğini tehlikeye atacak şekilde yürütülemez.

11. Uluslararası Aktarım (GDPR Bölüm V · KVKK m.9)

• Birincil depolama (AB): Müşteri Verisi Supabase'in Frankfurt (Almanya — AB/EEA) bölgesinde tutulur.
• ABD'ye aktarım: Yapay zekâ (Anthropic, Google, Groq, OpenAI), gömme (Voyage AI) ve e-posta (Resend) alt işleyenleri ABD merkezlidir. Bu aktarımlar için Standart Sözleşme Hükümleri (SCC) ve/veya uygun aktarım güvencesi uygulanır.
• TR → AB aktarımı (KVKK m.9): Türkiye'den AB'deki (Frankfurt) altyapıya aktarım, güncel KVKK yurt dışı aktarım rejimi kapsamında öngörülen uygun bir araca (yeterlilik kararı, standart sözleşme, taahhütname veya açık rıza) dayandırılır.

12. Süre, Değişiklik ve Diğer

Bu DPA, Hizmet Sözleşmesi süresince geçerlidir. Uyuşmazlık hâlinde kişisel veri koruma konularında bu DPA, Hizmet Sözleşmesi'ne göre önceliklidir. Uygulanacak hukuk ve yetki: Hizmet Sözleşmesi §12 (Türkiye Cumhuriyeti hukuku).

English Summary

This Data Processing Agreement implements KVKK Art. 12 (processor obligations / data security) and GDPR Art. 28. Roles: the Customer-Tenant is the controller of the business/personal data it uploads (HR/payroll, CRM contacts, operational records); Protoolbag (PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş., Bilişim Vadisi, Gülbahçe Mah. İçmeler Cad. No:14/1 İç Kapı No: B05, Urla / İzmir, Türkiye) is the processor, acting only on documented instructions.

Special-category / sensitive HR data (§3.1) is enumerated in a table — Turkish national ID, IBAN, gross salary, birth date, gender, marital status, address, emergency contact — flagged as özel nitelikli / KVKK Art. 6 (gender/marital may touch GDPR Art. 9), requiring explicit consent and heightened security, with the customer as controller and consent managed via the in-product KVKK consent module.

TOMs (§5) are listed (row-level security on every table, TOTP MFA, invite-only auth, org-scoped RBAC, hardened CSP, server-validated audit logging, SSRF defence, observability, EU/Frankfurt data location, PostgreSQL 17), noted as designed to align with ISO/IEC 27001, 27701 and SOC 2 — no certification claimed.

Sub-processor table (§6) lists Supabase (EU/Frankfurt), Resend (email, US), Anthropic / Google / Groq / OpenAI (AI inference, US, inputs not used to train models — §6.1), Voyage AI (embeddings, US), and tenant-configurable Exchange 365 / SendGrid (the tenant's own sub-processors); 30 days' notice before a sub-processor change. Payments are currently by bank transfer; an online payment provider will be added when it goes live. Breach (§8) maps to GDPR Art. 33/34 (72h) and the written incident-response procedure; DSAR assistance (§7) and return/erasure (§9) cover data export, verified tenant erasure and account deletion with statutory windows and retention exceptions; international transfer (§11) covers GDPR Chapter V (US under SCCs) and KVKK Art. 9 (TR→EU basis). Audit rights (§10) favour documentation-based assurance without compromising other tenants.

Sürüm geçmişi