Bu sözleşme, DER360 hizmetine kayıt olan dernek, vakıf veya federasyon (“Veri Sorumlusu”) ile Mustafa YILDIZ (Webbiu) (“Veri İşleyen”) arasında, KVKK m.12 uyarınca, Veri İşleyen’in Veri Sorumlusu adına işlediği kişisel verilere ilişkin tarafların yükümlülüklerini düzenler. Hizmet için kayıt/abonelik ile birlikte, Kullanım Koşulları’nın eki olarak yürürlüğe girer.
1. Konu, süre ve amaç
Veri İşleyen, DER360 yazılımını bir hizmet olarak sunmak amacıyla Veri Sorumlusu’nun panele girdiği kişisel verileri barındırır, saklar, yedekler ve yazılım işlevleri (aidat takibi, iletişim, rapor, web sitesi vb.) çerçevesinde işler. Sözleşme, abonelik süresince ve verilerin silinmesine/iadesine kadar geçerlidir.
2. İşlenen veri ve ilgili kişi kategorileri
- İlgili kişiler: dernek üyeleri ve üyelik adayları, yönetim/denetim kurulu ve komisyon üyeleri, delegeler, bağışçılar, bursiyerler ve başvuru sahipleri, çalışanlar ve panel kullanıcıları, web sitesi ziyaretçileri (başvuru/iletişim formu dolduranlar).
- Veriler: kimlik (ad soyad, T.C. kimlik no, doğum bilgileri), iletişim (telefon, e-posta, adres), üyelik ve aidat/ödeme hareketleri, kasa/banka kayıtları, kurul ve genel kurul kayıtları, başvuru ve belge bilgileri, fotoğraf, rıza ve onay kayıtları, işlem günlükleri.
- Özel nitelikli veri uyarısı: Dernek, vakıf veya sendika üyeliği bilgisi KVKK m.6 kapsamında özel nitelikli kişisel veri olabilir. Bu verilerin hukuka uygun işlenmesinden (açık rıza veya m.6/3 ve ilgili kanun hükümleri) Veri Sorumlusu sorumludur. Veri Sorumlusu, sağlık vb. başka özel nitelikli verileri sisteme yalnızca zorunlu ve hukuka uygun olduğunda girmelidir.
3. Veri Sorumlusu’nun yükümlülükleri
- Verilerin hukuka uygun işlenmesi, ilgili kişilerin aydınlatılması ve gerekli açık rızaların alınması, VERBİS ve benzeri kayıt/bildirim yükümlülükleri.
- Panele erişen kullanıcıların yetkilendirilmesi, parolaların gizliliği ve görevden ayrılanların yetkilerinin kapatılması.
- İşleme talimatlarını (panelde yapılan işlemler ve yazılı talepler) hukuka uygun biçimde vermek; ilgili kişilerin KVKK m.11 başvurularını yanıtlamak.
4. Veri İşleyen’in yükümlülükleri
- Verileri yalnızca Veri Sorumlusu’nun talimatları ve Hizmetin sunulması amacıyla işlemek; kendi amaçları için kullanmamak, satmamak, üçüncü kişilerle paylaşmamak (bu sözleşmedeki alt işleyenler ve yasal zorunluluk hariç).
- Verilere erişen personel ve yetkililerin gizlilik yükümlülüğü altında olmasını sağlamak.
- Teknik ve idari tedbirler (KVKK m.12): TLS ile şifreli iletim; parolaların tek yönlü özetlenmesi; rol bazlı yetkilendirme ve işlem kayıtları; yönetici hesaplarında iki adımlı doğrulama; her derneğe ayrı veri klasörü ve veritabanı (bir derneğin oturumu başkasına geçmez); giriş denemesi sınırları; güvenlik başlıkları; şifreli günlük yedek (14 gün); sunucu erişimlerinin kısıtlanması.
- Veri ihlali: Veri Sorumlusu’nu etkileyen bir ihlali öğrendiğinde gecikmeksizin ve en geç 48 saat içinde bildirmek; ihlalin niteliği, etkilenen veriler ve alınan tedbirler hakkında bilgi vermek; Kurul’a ve ilgili kişilere bildirimde (72 saat) Veri Sorumlusu’na yardımcı olmak.
- İlgili kişilerin başvurularını Veri Sorumlusu’na yönlendirmek; makul ölçüde panel işlevleri ve destek ile yardımcı olmak.
5. Alt işleyenler ve yurt dışı aktarım
Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel olarak izin verir. Alt işleyen değişikliği olduğunda site/e-posta ile bildirim yapılır; Veri Sorumlusu makul gerekçeyle itiraz edebilir (itiraz hâlinde taraflar çözüm arar, çözülemezse Veri Sorumlusu hizmeti sonlandırabilir).
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| Hostinger International Ltd. | Sunucu / barındırma, yedek depolama | Almanya (Düsseldorf) |
| Cloudflare, Inc. | DNS, istek yönlendirme ve güvenlik katmanı | ABD merkezli, küresel ağ |
| NetGSM İletişim ve Bilgi Teknolojileri A.Ş. | SMS gönderimi (doğrulama ve dernek SMS modülü) | Türkiye |
Verilerin Almanya’daki sunuculara aktarılması yurt dışı aktarımdır. Veri Sorumlusu, KVKK m.9 kapsamındaki şartlara (ilgili kişilerin aydınlatılması ve gerekli güvence/bildirim mekanizmalarının işletilmesi) uymaktan sorumludur; Veri İşleyen gerekli standart sözleşme düzenlemeleri için Veri Sorumlusu ile iş birliği yapar. Verilerin Türkiye’de tutulması zorunlu olan kuruluşlar DERNORA’yı kendi sunucusuna kurabilir.
6. Denetim
Veri Sorumlusu, makul bir ön bildirimle ve hizmetin işleyişini aksatmayacak biçimde, bu sözleşmeye uyumu doğrulamak için bilgi talep edebilir; Veri İşleyen gerekli belgeleri ve güvenlik önlemlerine ilişkin bilgiyi paylaşır.
7. İade, silme ve saklama
Sözleşme sona erdiğinde Veri Sorumlusu verilerini Excel/CSV olarak dışa aktarabilir. Hesap kapatıldığında veriler 30 gün geri alınabilir bekletilir ve sonra kalıcı silinir; yedeklerdeki kopyalar en geç 14 gün içinde döngüyle silinir. Yasal saklama yükümlülüğü gerektiren kayıtlar (ör. fatura) ilgili süre boyunca saklanır.
8. Sorumluluk
Taraflar KVKK ve ilgili mevzuattan doğan yükümlülüklerinden kendi payları oranında sorumludur. Veri İşleyen’in bu sözleşmeden doğan sorumluluğu, Kullanım Koşulları’ndaki sınırlara tabidir; emredici hükümler saklıdır.
9. Yürürlük ve hukuk
Bu sözleşme, hizmete kayıt ve Kullanım Koşulları’nın kabulüyle yürürlüğe girer; Türk hukuku uygulanır, İstanbul mahkemeleri ve icra daireleri yetkilidir. Sözleşmenin imzalı bir nüshasına ihtiyaç duyan kuruluşlar [email protected] adresine yazabilir.
İletişim: Mustafa YILDIZ (Webbiu) · Akıncılar Mah. Salcı Sk No 27/A Güngören / İSTANBUL · [email protected]