Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi (“Sözleşme”), Mitves’i kullanan şirket (“Müşteri”, veri sorumlusu) ile Mitves (Astalyne Studios, sahibi Oguzhan Günel, Günzburger Str. 37, 89340 Leipheim, Almanya) (“Mitves”, veri işleyen) arasında yapılır. Kullanım Koşulları’nın parçasıdır ve Mitves’in hizmeti sunarken Müşteri adına işlediği tüm kişisel verilere uygulanır.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 12. maddesini ve Avrupa Birliği’ndeki müşteriler için Genel Veri Koruma Tüzüğü’nün (GDPR) 28. maddesini karşılar. Veri koruma konusunda bu Sözleşme ile Kullanım Koşulları farklıysa bu Sözleşme uygulanır.

Müşteri bu Sözleşme’yi hesabını oluştururken Kullanım Koşulları ile birlikte kabul eder. Yöneticiler Sözleşme’yi panelden de kabul edebilir (Ayarlar → Veri işleme sözleşmesi); Mitves bu durumda sürümü, dili ve kabul edilen metnin parmak izini kaydeder ve metni PDF olarak gönderir.

Konu: Mitves personel devam kontrol hizmetinin (web paneli, mobil uygulama ve API) Müşteri’ye sunulması.

Süre: Müşteri’nin aboneliği veya deneme süresi boyunca ve sonrasında “Silme ve iade” bölümündeki silme veya anonimleştirmeye kadar.

Nitelik: kişisel verilerin barındırılması, saklanması, kaydedilmesi, düzenlenmesi, hesaplanması, görüntülenmesi, dışa aktarılması, iletilmesi ve silinmesi.

Amaç: çalışma süresi, mola, izin, mazeret ve devamsızlıkların kaydı; damgaların doğrulanması (konum, QR kod, yetkili cihaz); vardiya planlaması; puantaj raporları ve dışa aktarımlarının hazırlanması; bordro belgeleri, duyuru ve bildirimlerin iletilmesi; hizmetin güvenliği ve değişiklik kaydının tutulması.

İlgili kişiler: Müşteri’nin hizmeti kullanan veya hizmette kaydı tutulan çalışanları, yöneticileri ve yetkilileri.

• Kimlik ve istihdam verileri: ad, sicil numarası, görev, ekip, lokasyon, yönetici, rol, işe giriş ve çıkış tarihleri.

• İletişim verileri: e-posta adresi ve cep telefonu numarası.

• Devam verileri: giriş ve çıkış kayıtları, molalar, izin ve mazeret talepleri, vardiyalar ve çalışma planları, gerekçeleriyle düzeltmeler.

• Doğrulama verileri: damga anındaki GPS konumu (Müşteri’nin şirket ayarlarında belirlediği süre boyunca, 1 ile 90 gün arası, varsayılan olarak 90 gün; ardından silinir), lokasyona uzaklık, yetkili cihaz kimliği ve okutulan QR kodun kimliği.

• Belgeler ve görseller: Müşteri’nin yayımladığı bordro belgeleri ve isteğe bağlı profil fotoğrafları.

• Teknik veriler: IP adresi, uygulama sürümü, işletim sistemi, push token’ları ve kayıt günlüğü girdileri.

Özel nitelikli kişisel veriler (GDPR 9. madde): sağlık verisi, yani izin türü olarak kaydedilen hastalık izni (türü, tarihleri ve varsa notu veya eki) ile dolaylı olarak dini inancı ortaya koyabilecek veriler, yani ücret pusulalarında genellikle yer alan kilise vergisi bilgisi (ABAD, C-184/20). Mitves bunları analiz etmez: hastalık izni ayrıntılarını yalnızca çalışanın kendisi ve izin yetki alanı o çalışanı kapsayan yöneticiler ve sorumlular, bordro belgelerini yalnızca çalışanın kendisi ve bordro yetki alanı o çalışanı kapsayan yöneticiler ve sorumlular görür. Biyometrik veri işlenmez. Serbest metin alanları (örneğin bir izin veya mazeret gerekçesi), kullanıcılar girerse başka sağlık verileri de içerebilir; Müşteri kullanıcılarını buna göre bilgilendirir. Hukuki dayanağı veri sorumlusu olarak Müşteri belirler; iş ilişkisinde bu genellikle GDPR 9(2)(b) ile ulusal iş hukukudur (Almanya’da BDSG § 26(3)).

Mitves kişisel verileri yalnızca Müşteri’nin belgelenmiş talimatlarıyla işler. Kullanım Koşulları, bu Sözleşme ve Müşteri’nin hizmetteki ayarları sözleşme anında Müşteri’nin tam talimatlarıdır; diğer talimatlar yazılı verilir (e-posta yeterlidir).

Mitves, bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Müşteri’yi gecikmeden bilgilendirir ve Müşteri talimatı onaylayana veya değiştirene kadar uygulamayı durdurabilir.

Mitves kişisel verileri kendi amaçları için kullanmaz, satmaz ve reklam için kullanmaz.

Mitves, kişisel verileri işlemeye yetkili kişilerin sözleşme veya kanun gereği gizlilikle yükümlü olmasını ve yalnızca görevleri için gereken erişimi almasını sağlar.

Mitves, riske uygun olarak Ek 2’deki teknik ve idari tedbirleri alır (KVKK 12. madde, GDPR 32. madde). Mitves bu tedbirleri koruma düzeyi düşmemek kaydıyla teknik gelişmelere göre uyarlayabilir.

Müşteri, Ek 1’de sayılan alt veri işleyenlerin kullanılmasına genel izin verir. Mitves, planlanan her ekleme veya değişikliği en az 30 gün önce e-posta veya panel üzerinden Müşteri’ye bildirir. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir; çözüm bulunamazsa hizmetin ilgili bölümünü feshedebilir.

Güncel liste, sürümü ve tarihli değişiklik geçmişiyle https://mitves.com/tr/legal/subprocessors adresinde yayımlanır; Ek 1’den farklı olduğu durumda yayımlanan liste geçerlidir.

Mitves her alt veri işleyene bu Sözleşme’dekinden daha az koruyucu olmayan veri koruma yükümlülüklerini yazılı sözleşmeyle yükler ve alt veri işleyenlerinden Müşteri’ye karşı sorumlu kalır.

Müşteri verileri Avrupa Birliği’nde barındırılır. Türkiye’deki müşteriler için bu, KVKK 9. madde kapsamında yurt dışına aktarımdır. Müşteri, veri sorumlusu olarak aktarım mekanizmasını belirler (örneğin Kişisel Verileri Koruma Kurumu’na bildirilen standart sözleşme); Mitves gerekli belgeleri imzalar.

Bir alt veri işleyen kişisel verileri AB/AEA dışında işlerse Mitves güvence olarak bir yeterlilik kararını (örneğin sertifikalı alıcılar için AB-ABD Veri Gizliliği Çerçevesi) veya AB standart sözleşme hükümlerini sağlar.

Her alt veri işleyen için güvence, yayımlanan alt veri işleyen listesinde belirtilir (https://mitves.com/tr/legal/subprocessors).

Mitves, ilgili kişilerin başvurularında hizmetin işlevleriyle (kişisel verilerin dışa aktarımı, düzeltme, pasife alma, anonimleştirerek veya tamamen silme) ve bunlar yetmediğinde talep üzerine Müşteri’ye destek olur.

Mitves, kendisinde bulunan bilgileri dikkate alarak güvenlik, ihlal bildirimi, etki değerlendirmesi ve ön danışma konularında Müşteri’ye destek olur.

Mitves, Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrenmesinden sonra gecikmeksizin ve mümkünse 48 saat içinde Müşteri’ye bildirir. Bildirim, bilindiği ölçüde ihlalin niteliğini, ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları ve alınan veya önerilen tedbirleri içerir.

Abonelik sona erdikten sonra Müşteri verilerini hizmetten dışa aktarabilir. Mitves, kanunen saklaması gerekmedikçe Müşteri’nin kişisel verilerini 90 gün içinde siler veya anonim hale getirir. Şifreli yedekler 14 günlük rotasyon süreleri içinde üzerine yazılır ve bu süre içinde başka amaçlarla geri yüklenmez.

Mitves, bu Sözleşme’ye uyumu göstermek için gereken bilgileri Müşteri’ye sağlar ve Müşteri’nin veya onun yetkilendirdiği, gizlilikle yükümlü bir denetçinin yerinde incelemeler dahil denetimlerine izin verir. Denetimler en az 30 gün önceden bildirilir, mesai saatleri içinde, bir ihlal gerekçe olmadıkça yılda en fazla bir kez ve masrafı Müşteri’ye ait olmak üzere yapılır.

• Barındırma ve altyapı: Hollanda’daki (AB) sanal sunucular. Hizmetin tüm verileri, dosyaları ve yedekleri.

• Cloudflare, Inc. (Amerika Birleşik Devletleri): tüm trafik için DNS, TLS ve ters vekil sunucu koruması; kayıtta Cloudflare Turnstile bot kontrolü.

• Google (Firebase, Amerika Birleşik Devletleri): mobil uygulama için Firebase Crashlytics çökme raporları ve Firebase Cloud Messaging anlık bildirimleri; iPhone’larda bildirimler Apple Push Notification Service (APNs) üzerinden iletilir.

• Amazon Web Services EMEA SARL (Lüksemburg), Frankfurt bölgesinde (AB) Amazon SNS: tek kullanımlık kodlar ve kurulum bağlantıları.

• Amazon Web Services EMEA SARL (Lüksemburg), Frankfurt bölgesinde (AB) Amazon SES: hesap, bildirim ve özet e-postaları.

• Amazon Web Services EMEA SARL (Lüksemburg), Frankfurt bölgesinde (AB) Amazon S3: şifreli veritabanı ve dosya yedeklerinin harici kopyası, 14 gün sonra silinir.

• Zoho Corporation B.V. (Hollanda), AB veri merkezinde Zoho Mail: bir talep Müşteri verisi içerdiğinde Mitves destek ve fatura posta kutuları.

Müşteri verisinin alt veri işleyeni olmayan ama şeffaflık için sayılanlar: OpenStreetMap Foundation (Birleşik Krallık), web panelindeki yetkililerin tarayıcılarına harita karoları sunar; ödeme sağlayıcıları Stripe Payments Europe, Ltd. (İrlanda) ve PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lüksemburg) Müşteri’nin kendi ödeme verilerini bağımsız veri sorumlusu olarak işler; Avrupa Komisyonu’nun VIES hizmeti, reverse charge uygulanmadan önce doğrulama için Müşteri’nin KDV numarasını alır.

• AB’de barındırma; canlı ortam, test ortamı ve yedekler ayrı; sunucu erişimi yalnızca adı belirlenmiş yöneticilere ve en az yetki ilkesiyle.

• Tüm bağlantılarda aktarım sırasında şifreleme (TLS); veritabanı ve dosyaların günlük şifreli yedekleri ve her yedeklemede geri yükleme testi.

• Müşterilerin ayrılması: her kayıt bir şirkete aittir ve her istekte şirkete göre filtrelenir (şüphede erişim kapalı).

• Erişim kontrolü: roller (yönetici, sorumlu, çalışan) ve ekip, lokasyon ve gruba göre yetki alanları; yetkili, süreli ve iptal edilebilir API token’ları; kullanılmayan oturumlar sona erer.

• Özel nitelikli veriler: hastalık izninin türü, tarihleri, notları ve ekleri yalnızca çalışanın kendisine ve izin yetki alanı o çalışanı kapsayan yöneticilere ve sorumlulara gösterilir ve aktarılır; bordro belgeleri yalnızca çalışanın kendisine ve bordro yetki alanına.

• Cihaz yetkilendirme: damgalar yalnızca bir yöneticinin onayladığı cihazlardan; cihazlar iptal edilebilir.

• Bütünlük ve hesap verebilirlik: düzeltmeler önceki değerleri kişi, zaman ve gerekçeyle saklar; yönetim işlemlerinin kayıt günlüğü.

• Veri en aza indirme: GPS yalnızca damga anında alınır ve Müşteri’nin belirlediği sürenin sonunda silinir; sürekli konum takibi ve biyometri yok; API yanıtları yalnızca izin verilen alanları içerir; sırlar ve bordro içerikleri kayıtlara yazılmaz.

• Erişilebilirlik ve dayanıklılık: sağlık kontrolleri ve uyarılarla izlenen servisler; girişte ve hassas uç noktalarda istek sınırları.

• Geliştirme: bağımlılık güvenlik güncellemeleri, otomatik testler ve yayından önce kod incelemesi.