Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), KENTOS platformunu kullanan müşteri ile Gazioğlu Yazılım Anonim Şirketi (MERSİS 0389184645100001, Antalya Kurumlar V.D. 3891846451), Kışla Mah. 37 Sok. Cengizhan Apt. No: 6 D: 102 Muratpaşa / Antalya arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında müşteri adına yapılan kişisel veri işlemenin koşullarını düzenler. Sözleşme, Kullanım Koşulları ve (varsa) Mesafeli Hizmet Sözleşmesinin ayrılmaz parçasıdır.

1. Taraflar ve roller

• Veri sorumlusu (Müşteri): KENTOS'u kullanan yönetim firması, site ya da apartman yönetimi (kat malikleri kurulu adına yönetici dahil). Müşteri; malik, kiracı, sakin, personel ve diğer ilgili kişilerin verilerini hangi amaçla ve hangi hukuki sebebe dayanarak işleyeceğini belirler.
• Veri işleyen (KENTOS): Gazioğlu Yazılım Anonim Şirketi (MERSİS 0389184645100001, Antalya Kurumlar V.D. 3891846451), Kışla Mah. 37 Sok. Cengizhan Apt. No: 6 D: 102 Muratpaşa / Antalya. KENTOS bu verileri yalnızca müşterinin talimatıyla ve hizmetin sunulması için işler.
• KENTOS'un kendi müşteri ilişkisi (hesap sahibi yetkililerin bilgileri, faturalandırma, destek talepleri) bu Sözleşmenin konusu değildir; o işlemede KENTOS veri sorumlusudur ve KVKK Aydınlatma Metni uygulanır.

2. Tanımlar

Bu Sözleşmede geçen "kişisel veri", "ilgili kişi", "veri sorumlusu", "veri işleyen", "açık rıza" ve "işleme" kavramları KVKK'nın 3. maddesindeki anlamı taşır. "Platform" KENTOS yazılım hizmetini, "Müşteri Verisi" müşterinin platforma girdiği ya da platformda müşteri adına oluşan kişisel verileri, "Alt İşleyen" KENTOS'un hizmet için başvurduğu üçüncü taraf hizmet sağlayıcıyı ifade eder.

3. Konu ve kapsam

KENTOS, Müşteri Verisini Ek-1'de belirtilen ilgili kişi grupları, veri kategorileri ve amaçlarla, hizmet süresince işler. Müşteri, platformdaki ayarları, yetkilendirmeleri ve yaptığı işlemleri KENTOS'a verilmiş belgelenmiş talimat olarak kabul eder. Bunun dışındaki talimatlar yazılı (e-posta dahil) verilir.

4. Müşterinin yükümlülükleri

1. Müşteri Verisini KVKK'nın 5. ve 6. maddelerindeki hukuki sebeplerden birine dayanarak işlemek ve gerektiğinde açık rıza almak (ör. toplantı video/ses kaydı).
2. İlgili kişileri KVKK'nın 10. maddesi uyarınca aydınlatmak. Malik, kiracı ve sakinlere yönelik aydınlatma müşterinin (yönetimin) yükümlülüğüdür; KENTOS bu amaçla kullanılabilecek bir şablon sunabilir.
3. Platforma yalnızca amaçla bağlantılı, sınırlı ve ölçülü veri girmek. Özel nitelikli kişisel veri (sağlık, din, ceza mahkûmiyeti, biyometrik veri vb.) platformun amacı dışındadır ve girilmemelidir.
4. Kullanıcı yetkilerini en az yetki ilkesine göre vermek ve ayrılan kullanıcıların erişimini kapatmak.
5. Yurt dışına aktarım gerektiren isteğe bağlı entegrasyonları (Bölüm 7) bilinçli olarak seçmek ve bunun için gereken hukuki yükümlülükleri yerine getirmek.

5. KENTOS'un yükümlülükleri

1. Talimatla işleme: Müşteri Verisini yalnızca müşterinin talimatıyla ve hizmetin sunulması için işler; kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz. Bir talimatın mevzuata aykırı olduğunu düşünürse müşteriyi bilgilendirir.
2. Gizlilik: Müşteri Verisine erişen çalışan ve yüklenicilerinin gizlilik yükümlülüğü altında olmasını sağlar. Destek amaçlı erişim yalnızca müşterinin talebiyle ya da hizmetin sürekliliği için zorunlu hâllerde, ayrı yetkiyle, görünür bir uyarıyla ve denetim kaydına yazılarak yapılır.
3. Güvenlik: KVKK'nın 12. maddesi kapsamında Ek-3'teki teknik ve idari tedbirleri uygular ve güncel tutar.
4. İlgili kişi başvuruları: İlgili kişilerin KVKK'nın 11. maddesindeki başvurularının yanıtlanmasında müşteriye platformdaki araçlarla (erişim, düzeltme, dışa aktarım, anonimleştirme) yardımcı olur. KENTOS'a doğrudan gelen ve Müşteri Verisine ilişkin başvuruları gecikmeksizin müşteriye yönlendirir.
5. Veri ihlali bildirimi: Müşteri Verisini etkileyen bir veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde müşteriye bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir. Kişisel Verileri Koruma Kurulunun ihlalin öğrenilmesinden itibaren 72 saat içinde bildirilmesini öngören kararı dikkate alınarak müşterinin Kurula ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardımcı olur.
6. Kayıt: Müşteri Verisi üzerindeki kritik işlemleri (giriş, yetki değişikliği, tahsilat, oylama, karar onayı, belge kesinleştirme, destek oturumu vb.) değiştirilemez denetim kaydında tutar.

6. Alt işleyenler

1. Müşteri, KENTOS'un hizmetin sunulması için Ek-2'deki alt işleyenleri kullanmasına genel olarak izin verir.
2. KENTOS, alt işleyenlerine bu Sözleşmedekilerden daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve onların eylemlerinden müşteriye karşı KVKK'nın 12. maddesinin 2. fıkrası çerçevesinde sorumludur.
3. Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 15 gün önce hesap sahibine bildirim yapar. Müşteri bu süre içinde haklı gerekçeyle itiraz edebilir; itiraz giderilemezse hizmeti dönem sonunda cezasız sona erdirebilir.
4. Ek-2'de "isteğe bağlı" olarak işaretlenen sağlayıcılar (SMS, WhatsApp, ödeme, video konferans, elektronik imza) ancak müşteri ilgili entegrasyonu kendi panelinden etkinleştirirse devreye girer.

7. Verinin bulunduğu yer ve yurt dışına aktarım

1. Platform ve veritabanı Türkiye'deki Mars Data Center veri merkezinde bulunan sunucuda çalışır; Müşteri Verisi yurt içinde saklanır ve işlenir.
2. Web sitesindeki kayıt, parola sıfırlama, iletişim, demo ve teklif formlarında kullanılan Google reCAPTCHA, form gönderen kişinin IP adresi ve tarayıcı bilgisini Google'ın yurt dışındaki sunucularında işler. Google bu hizmette veri işleyen olarak hareket eder.
3. Yurt dışına aktarım gerektiren isteğe bağlı entegrasyonlar varsayılan olarak kapalıdır; müşteri bunları bilinçli olarak seçer ve seçim denetim kaydına yazılır. Bu entegrasyonlar için gereken hukuki yükümlülükler (aydınlatma, uygun güvence, bildirim) veri sorumlusu olarak müşteriye aittir; KENTOS bilgi ve belge desteği verir.

8. Denetim

Müşteri, bu Sözleşmeye uyumu yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle ve KENTOS'un diğer müşterilerinin verilerinin gizliliğini tehlikeye atmayacak şekilde denetleyebilir. KENTOS denetimi öncelikle güncel güvenlik belgeleri, politika ve raporlar sunarak karşılar; yerinde denetim gerekiyorsa kapsam ve maliyet taraflarca önceden kararlaştırılır.

9. Hizmetin sona ermesi, iade ve silme

1. Ücretli abonelik uzatılmadığında veriler silinmez; müşteri verilerini görüntüleyebilir ve dışa aktarabilir, dilediğinde hesabının kapatılmasını isteyebilir.
2. Hesap kapatıldığında hesap 30 gün salt-okunur kalır; müşteri bu sürede verilerini dışa aktarabilir. Hesap askıya alınmış olsa bile dışa aktarım açıktır.
3. Bu sürenin sonunda Müşteri Verisi silinir ya da anonimleştirilir. Finansal ve hukuki kayıtların bütünlüğü için kişi kayıtları fiziksel olarak silinmek yerine anonimleştirilir.
4. Yedeklerdeki veriler yedek saklama döngüsü sonunda silinir; şirketin yerel ortamına indirilen yedek kopyaları erişimi sınırlı ortamda saklanır ve gerekli olmadığında silinir.
5. Mevzuattan doğan saklama yükümlülükleri (ör. vergi ve ticaret mevzuatı) saklıdır; bu kayıtlar yalnızca o amaçla ve gereken süre boyunca tutulur.

10. Sorumluluk

Taraflar bu Sözleşmeden doğan yükümlülüklerini ihlal etmelerinden doğan zararlardan genel hükümlere göre sorumludur. Kullanım Koşullarındaki sorumluluk sınırlamaları, kanunen sınırlanamayan sorumluluklar dışında bu Sözleşme için de geçerlidir; doğrudan zararlardan sorumluluk, zararın doğduğu tarihten önceki 12 ayda ödenen abonelik bedeliyle sınırlıdır.

11. Uyuşmazlık ve yürürlük

Bu Sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda Antalya mahkemeleri ve icra daireleri yetkilidir; müşteri tüketici ise tüketici mevzuatındaki yetki kuralları saklıdır. Sözleşme, müşterinin platformda hesap oluştururken elektronik olarak onaylamasıyla yürürlüğe girer ve hizmet süresince (Bölüm 9'daki süreler dahil) yürürlükte kalır.

Ek-1 — İşleme ayrıntıları

Ek-2 — Alt işleyenler

Ek-3 — Teknik ve idari tedbirler

• Hesap izolasyonu: her müşterinin verisi ayrı hesap kimliğiyle ayrılır; başka hesabın verisine erişim yolu bulunmaz ve bu düzenli olarak sınanır.
• Yetkilendirme: rol ve izin tabanlı erişim; yetki her istekte sunucuda denetlenir; kişisel veri görüntüleme ayrı bir izne bağlıdır ve kaydedilir.
• Kimlik doğrulama: parolalar geri dönüşümsüz karma ile saklanır; giriş denemeleri sınırlanır; oturumlar güvenli, yalnızca sunucunun okuyabildiği çerezlerle yürütülür; yeniden doğrulama ve tek kullanımlık kod desteği vardır.
• Şifreleme: iletişim HTTPS ile şifrelenir (HSTS); entegrasyon anahtarları gibi hassas ayarlar şifreli saklanır.
• Veri azaltma: kimlik numaraları düz metin saklanmaz; IP ve tarayıcı bilgisi uygulama kayıtlarında karma olarak tutulur; iletişim bilgileri yetkisiz kullanıcılara maskeli gösterilir.
• Uygulama güvenliği: hazırlanmış SQL ifadeleri, CSRF koruması, çıktı kaçışlama, içerik güvenlik politikası, çerçeveleme yasağı, dosya yüklemede tür denetimi ve rastgele dosya adları, istek sınırlama.
• Denetim kaydı: kritik işlemler değiştirilemez denetim kaydına yazılır; normal kullanıcı silemez.
• Yedekleme: sunucuda düzenli tam yedek alınır; yedekler 3 günde bir şirketin Türkiye'deki yerel ortamına indirilir. Yedekten geri yükleme ayrı bir veritabanında tatbik edilir ve doğrulanır.
• Dosyalar: yüklenen dosyalar web kökü dışında saklanır ve yalnızca yetki denetiminden sonra sunulur.
• İzleme: uygulama hataları kaydedilir ve yöneticilere bildirilir; sistem sağlığı izlenir.
• İdari tedbirler: erişimin görev gereğiyle sınırlanması, gizlilik taahhütleri, destek oturumlarının kayıt altına alınması, güvenlik güncellemelerinin düzenli uygulanması.