Bu Veri İşleme Sözleşmesi ("VİS"), Abonelik Sözleşmesi'nin eki ve ayrılmaz parçasıdır. Abone firma ("Veri Sorumlusu") ile AsyncTech Yazılım ve Danışmanlık ("Rampa Takip" veya "Veri İşleyen") arasında, Rampa Takip Hizmeti'nin sunulması sırasında Veri Sorumlusu adına işlenen kişisel verilere ilişkin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuat kapsamındaki hak ve yükümlülükleri düzenler. Abonelik Sözleşmesi'nin elektronik ortamda onaylanmasıyla bu VİS de kabul edilmiş olur.
1. Tanımlar ve roller
- Veri Sorumlusu: Hizmet'i kullanan, sürücü, çalışan, müşteri / tedarikçi irtibat kişisi ve benzeri kişilerin verilerini Hizmet'e giren veya girdiren Abone firma.
- Veri İşleyen: Veri Sorumlusu'nun verdiği yetkiye dayanarak, onun adına ve talimatları doğrultusunda kişisel verileri işleyen Rampa Takip.
- Alt İşleyen: Rampa Takip'in Hizmet'in sunulması için kullandığı ve kişisel verilere erişebilen üçüncü taraf hizmet sağlayıcı.
- Rampa Takip'in kendi müşteri ilişkisi (abonelik, faturalandırma, Hizmet'e giriş yapan kullanıcı hesapları, güvenlik kayıtları) için işlediği veriler bakımından Rampa Takip veri sorumlusudur; bu veriler KVKK Aydınlatma Metni'nde düzenlenir ve bu VİS kapsamında değildir.
2. İşlemenin konusu, süresi, niteliği ve amacı
İşlenen veri kategorileri, ilgili kişi grupları ve amaçlar Ek-1'de yer alır. İşleme, Abonelik Sözleşmesi süresince ve 8. maddedeki iade / imha süreleri boyunca devam eder. Rampa Takip kişisel verileri yalnızca Hizmet'in sunulması, sürdürülmesi, güvenliğinin sağlanması ve Veri Sorumlusu'nun belgelenmiş talimatları amacıyla işler; kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla işlemez.
3. Veri Sorumlusu'nun yükümlülükleri
- Hizmet'e girilen kişisel verilerin KVKK m.4 ve m.5–6'ya uygun bir hukuki sebebe dayanmasını sağlamak; ilgili kişileri (ör. sürücüler) KVKK m.10 uyarınca aydınlatmak.
- Varsa VERBİS kaydını yapmak, saklama ve imha politikasını belirlemek (Hizmet'teki sürücü verisi saklama süresi firma ayarlarından belirlenir).
- Hizmet'teki yetkileri, kullanıcı rollerini ve iki adımlı doğrulama ayarını kendi personeli için uygun şekilde yönetmek.
- Hizmet'e özel nitelikli kişisel veri (sağlık, biyometrik, ceza mahkûmiyeti vb.) girmemek; Hizmet bu verilerin işlenmesi için tasarlanmamıştır.
4. Veri İşleyen'in yükümlülükleri
- Talimata uygunluk: Kişisel verileri yalnızca Veri Sorumlusu'nun talimatları doğrultusunda işler. Hizmet'in ayarları ve Veri Sorumlusu'nun panelde yaptığı işlemler talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu bilgilendirir.
- Gizlilik: Verilere erişen personelini yazılı gizlilik yükümlülüğüne tabi tutar; erişimi işin gerektirdiği kişilerle ve kapsamla sınırlar. Bu yükümlülük sözleşme sona erdikten sonra da devam eder.
- Güvenlik: KVKK m.12 ve Kurul'un Kişisel Veri Güvenliği Rehberi'ne uygun, Ek-2'deki teknik ve idari tedbirleri alır ve güncel tutar.
- İlgili kişi başvuruları: Doğrudan Rampa Takip'e yapılan ve Veri Sorumlusu'nun verilerine ilişkin başvuruları gecikmeksizin, en geç 5 iş günü içinde Veri Sorumlusu'na iletir ve yanıtlamaz. Veri Sorumlusu'nun başvuruları 30 gün içinde yanıtlayabilmesi için gerekli araçları (dışa aktarma, düzeltme, silme, anonimleştirme) Hizmet içinde sağlar ve makul destek verir.
- Denetim ve bilgi: Veri Sorumlusu'nun bu VİS'e uyumu doğrulaması için makul bilgi ve belgeyi sağlar. Yerinde denetim, en az 30 gün önceden yazılı bildirimle, mesai saatlerinde, yılda en fazla bir kez ve masrafı Veri Sorumlusu'na ait olmak üzere yapılabilir; denetim diğer abonelerin verilerinin gizliliğini ve Hizmet'in güvenliğini tehlikeye atamaz. Kurul'un talepleri saklıdır.
- Kayıt: Hizmet'te yapılan önemli işlemler (giriş, değişiklik, dışa aktarma, imha) işlem kaydında tutulur ve Veri Sorumlusu'nun yöneticileri tarafından görüntülenebilir.
5. Veri ihlali bildirimi
Rampa Takip, Veri Sorumlusu'nun kişisel verilerinin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde destek@rampatakip.com adresinden ve Hizmet içinde bildirir. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri kategorileri ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan / önerilen tedbirleri içerir; yeni bilgiler öğrenildikçe tamamlanır. Kurul'a (72 saat içinde) ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu'na aittir; Rampa Takip bunun için gerekli bilgi ve desteği sağlar.
6. Alt işleyenler
- Veri Sorumlusu, Alt İşleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel izin verir.
- Rampa Takip yeni bir alt işleyen eklemeden veya değiştirmeden en az 30 gün önce Veri Sorumlusu'nu e-posta ve panel üzerinden bilgilendirir. Veri Sorumlusu haklı sebeple itiraz edebilir; uzlaşılamazsa etkilenen Hizmet bölümünü veya aboneliği, ödenmiş kullanılmamış dönem ücretinin iadesiyle sona erdirebilir.
- Rampa Takip alt işleyenlere bu VİS'tekilerle esasen aynı veri koruma yükümlülüklerini yazılı olarak yükler ve onların fiillerinden Veri Sorumlusu'na karşı kendi fiili gibi sorumludur.
- Veri Sorumlusu'nun kendi hesabıyla bağladığı entegrasyonlar (harita sağlayıcısı, araç takip sistemi, ERP) Veri Sorumlusu'nun kendi hizmet sağlayıcılarıdır; bunlara aktarım Veri Sorumlusu'nun talimatı ve sorumluluğundadır.
7. Yurt dışına aktarım
Hizmet'in ana veritabanı ve dosyaları Türkiye konumundaki sunucularda tutulur. Bazı alt işleyenler (Alt İşleyenler sayfasında "yurt dışı" olarak belirtilenler) yurt dışında bulunur ya da yurt dışından erişim sağlar. Bu aktarımlar KVKK m.9 uyarınca uygun güvencelerle (Kurul'un ilan ettiği standart sözleşme ve Kurul'a bildirimi) veya m.9'daki diğer şartlara dayanılarak yapılır. Rampa Takip, yurt dışındaki alt işleyenlere giden veriyi işlevin gerektirdiği en az veriyle sınırlar (ör. anlık bildirim içeriği yalnızca plaka ve rampa bilgisidir; ad / telefon bulunmaz).
8. Sözleşmenin sona ermesi; verilerin iadesi ve imhası
- Abonelik sona erdiğinde Veri Sorumlusu, salt-okunur dönem ve sona ermeyi izleyen 30 gün boyunca verilerini panelden ("Verileri indir") veya Rampa Takip'ten talep ederek makine tarafından okunabilir biçimde (JSON, Excel, dosyalar) alabilir.
- Bu sürenin sonunda Rampa Takip, mevzuatın saklamayı zorunlu kıldığı kayıtlar (ör. fatura) dışındaki tüm verileri kalıcı olarak imha eder ve Veri Sorumlusu'nun talebi üzerine imhayı yazılı olarak teyit eder. İmha edilen veriler, şifreli yedeklerin dönen saklama süresi (en çok 35 gün) sonunda yedeklerden de çıkar; bu sürede yedekler yalnızca felaket kurtarma için kullanılır.
9. Sorumluluk ve diğer hükümler
Tarafların bu VİS'ten doğan sorumluluğu Abonelik Sözleşmesi'ndeki sorumluluk hükümlerine tabidir; ancak bir tarafın bu VİS'e aykırılığından doğan idari para cezaları ve ilgili kişi tazminatları, kusuru oranında o tarafa aittir. Bu VİS ile Abonelik Sözleşmesi arasında kişisel verilere ilişkin çelişki hâlinde bu VİS uygulanır. Kurumsal müşteriler ıslak imzalı veya kendi şablonlarıyla VİS talep edebilir: destek@rampatakip.com.
Ek-1: İşleme ayrıntıları
| İlgili kişi grubu | Veri kategorileri | Amaç | Saklama |
|---|---|---|---|
| Sürücüler | Ad soyad, telefon, ehliyet no, plaka, giriş / çıkış zamanları, belge ve fotoğraflar, kamera plaka görüntüsü, sefer sırasında konum, teslim imzası | Saha girişi, sıra ve rampa yönetimi, SMS / anlık bildirim, sefer takibi, teslim kanıtı | Firma ayarı (varsayılan 24 ay) sonunda otomatik anonimleştirme; konum izi 30 gün; teslim kanıtı abonelik süresince |
| Abone çalışanları (kullanıcılar) | Ad soyad, e-posta, telefon, unvan, rol, işlem kayıtları, IP adresi | Hesap, yetkilendirme, bildirim, güvenlik | Hesap silinene kadar; işlem kayıtları 24 ay |
| Müşteri / tedarikçi / taşıyıcı irtibat kişileri | Ad soyad, e-posta, telefon, adres, portal hesap bilgileri | Sipariş ve teslimat bildirimi, randevu, portal, itiraz | Abonelik süresince; bildirim kayıtlarındaki alıcı bilgisi sürücü saklama süresiyle anonimleştirilir |
| Servis firması personeli | Ad, telefon, e-posta | Bakım iş emirleri | Abonelik süresince |
Ek-2: Teknik ve idari tedbirler
- Erişim: rol tabanlı yetkilendirme; her firmanın verisi mantıksal olarak ayrılır ve otomatik testlerle doğrulanır; platform personeli için iki adımlı doğrulama zorunludur; hatalı girişlerde hesap kilidi ve hız sınırı.
- Şifreleme: tüm trafik TLS 1.2 / 1.3; veritabanı ve yedek dosyaları saydam veri şifrelemesiyle (TDE) şifreli; entegrasyon şifreleri ve API anahtarları uygulama düzeyinde ayrıca şifreli; şifreler geri döndürülemez özetle saklanır; dış yedek kopyalar istemci tarafında şifrelenir.
- Ağ: web uygulama güvenlik duvarı ve DDoS koruması; veritabanı sunucusu internete kapalı, yalnızca uygulama sunucusundan erişilir; yönetim erişimi sabit IP ile sınırlı.
- Yedekleme ve süreklilik: günlük tam, günde üç fark ve 15 dakikada bir işlem günlüğü yedeği; şifreli dış kopya; geri yükleme tatbikatı.
- Kayıt ve izleme: işlem kayıtları, hata ve erişim günlükleri, dış erişilebilirlik izleme, güvenlik uyarıları.
- Geliştirme: kod değişikliklerinde otomatik test, gizli bilgi ve bağımlılık açığı taraması, statik kod analizi; yayın onay adımıyla; düzenli güvenlik taraması.
- Veri azaltma: sürücü verisinin otomatik anonimleştirilmesi; konum izinin 30 gün sonra silinmesi; kart bilgisi Rampa Takip'te tutulmaz.
- İdari: personel gizlilik taahhütleri, en az yetki ilkesi, ayrılan personelin erişiminin derhâl kapatılması, ihlal müdahale prosedürü.
Bu metin hukuki inceleme öncesi taslaktır.