Taslak — avukat incelemesi gerekir. Bu sözleşme Kullanıcı (Hizmet) Sözleşmesinin ekidir ve hesap açılışında kabul edilir; ayrıca imza gerekmez. KVKK md. 12 ve (AB'deki ziyaretçiler bakımından) GDPR md. 28 dikkate alınarak hazırlanmıştır.
Sürüm: 0.1 (taslak) · Yürürlük: [YÜRÜRLÜK TARİHİ]
1. Taraflar ve roller
- Veri sorumlusu: bio sayfası açan kullanıcı ("Kullanıcı").
- Veri işleyen: WebWorks 101 OÜ, Sepapaja tn 6, 15551 Tallinn, Estonya, Estonya Ticaret Sicili kayıt kodu 14816432 ("tappon").
Kullanıcı, bio sayfasında ziyaretçilerden topladığı veriler için veri sorumlusudur; ne toplanacağına, neden toplanacağına ve nasıl kullanılacağına Kullanıcı karar verir. tappon bu verileri yalnızca Kullanıcı adına ve onun talimatıyla işler.
2. İşlemenin konusu
| İlgili kişiler | Bio sayfası ziyaretçileri; Kullanıcının formlarını dolduranlar; Kullanıcının bülten aboneleri; Kullanıcıdan satın alanlar |
| Veri kategorileri | Form alanlarına girilen ad, e-posta, telefon, mesaj ve Kullanıcının tanımladığı diğer alanlar; gönderim zamanı. Ziyaret istatistikleri: ülke, şehir, cihaz, işletim sistemi, tarayıcı ve dili, yönlendiren site, UTM parametreleri, zaman (IP adresi saklanmaz) |
| Amaç | Kullanıcının bio sayfasının yayınlanması, verilerin Kullanıcı için saklanması, Kullanıcıya gösterilmesi, dışa aktarılması ve Kullanıcının seçtiği bildirim/entegrasyonlara iletilmesi |
| İşlemenin niteliği | Toplama, kaydetme, saklama, görüntüleme, dışa aktarma, Kullanıcının etkinleştirdiği entegrasyonlara (ör. webhook, e-posta bildirimi) aktarma, silme |
| Süre | Hizmet süresince; Kullanıcı veriyi panelden istediği an siler |
3. tappon'un yükümlülükleri
3.1. Talimata bağlılık: Verileri yalnızca Kullanıcının belgelenmiş talimatıyla işler. Kullanıcının hizmet ayarları ve paneldeki işlemleri talimat sayılır. Bir talimatın hukuka aykırı olduğunu düşünürse Kullanıcıyı bilgilendirir.
3.2. Kendi amacıyla kullanmama: Verileri kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz, üçüncü kişilere aktarmaz. Tek istisna: sahte trafiği ayıklamak için ziyaretçi IP adresinin gizli bir anahtarla oluşturulmuş karma (hash) değeri en fazla 10 dakika önbellekte tutulur; bu, hizmet güvenliği için tappon'un kendi meşru menfaatine dayanır ve Kullanıcıya gösterilmez.
3.3. Gizlilik: Verilere erişebilen personel ve yükleniciler gizlilik yükümlülüğü altındadır; erişim, işin gerektirdiği kişiler ve ölçüyle sınırlıdır.
3.4. Güvenlik: Ek 1'deki teknik ve idari tedbirleri alır. KVKK md. 12/2 uyarınca bu tedbirlerin alınmasından Kullanıcıyla birlikte sorumludur.
3.5. İlgili kişi talepleri: Kullanıcı, ilgili kişilerin erişim, düzeltme, silme ve dışa aktarma taleplerini panelden kendisi karşılayabilir. Panelden karşılanamayan taleplerde tappon makul destek sağlar. Bir ilgili kişi doğrudan tappon'a başvurursa tappon talebi Kullanıcıya yönlendirir ve ilgili kişiye sayfa sahibine başvurması gerektiğini bildirir.
3.6. İhlal bildirimi: Kullanıcının verilerini etkileyen bir veri ihlalini öğrendiğinde Kullanıcıyı gecikmeksizin, en geç [SÜRE: 24/48] saat içinde bilgilendirir; bildirimin içeriği, ihlalin niteliği, etkilenen veri ve kişi sayısı (biliniyorsa), olası sonuçları ve alınan önlemlerdir. Kullanıcının Kişisel Verileri Koruma Kuruluna (72 saat) ve ilgili kişilere bildirim yükümlülüğünde destek olur.
3.7. Silme ve iade: Hizmet sona erdiğinde veya hesap silindiğinde Kullanıcının verilerini canlı sistemden en geç [SÜRE: 30] gün, şifreli yedeklerden en geç [YEDEK SAKLAMA SÜRESİ] içinde siler. Kullanıcı, silmeden önce verileri istediği an CSV/JSON olarak dışa aktarabilir. Deneme süresinin veya ödenmiş dönemin bitmesiyle hesabın beklemeye alınması hizmetin sona ermesi sayılmaz: bu sürede veriler Kullanıcı adına saklanmaya devam eder, beklemedeki sayfa yeni ziyaretçi verisi (form, e-posta vb.) toplamaz ve Kullanıcı verileri dışa aktarabilir veya silebilir.
3.8. Denetim: Kullanıcının makul talebi üzerine bu sözleşmeye uyumu gösteren bilgi ve belgeleri sağlar. Belgeler yeterli değilse, en az 30 gün önce bildirilmek, yılda bir kezi aşmamak, gizlilik taahhüdü verilmek ve diğer müşterilerin verilerine erişilmemek kaydıyla denetime izin verir. Yetkili makamların denetimleri bu sınırlara tabi değildir.
4. Alt işleyenler
4.1. Kullanıcı, tappon'un Ek 2'deki alt işleyenleri kullanmasına genel izin verir.
4.2. tappon yeni bir alt işleyen eklemeden veya mevcut olanı değiştirmeden en az 30 gün önce Kullanıcıyı e-postayla ve bu sayfada bilgilendirir. Kullanıcı haklı bir gerekçeyle itiraz ederse ve taraflar çözüm bulamazsa Kullanıcı, kalan günlerin ücretini geri alarak sözleşmeyi cezasız feshedebilir.
4.3. tappon alt işleyenlere bu sözleşmedeki kadar koruyucu yükümlülükler yükler ve onların fiillerinden Kullanıcıya karşı sorumludur.
5. Yurt dışına aktarım
Sunucular Almanya'dadır. Barındırma sağlayıcısına aktarım, KVKK md. 9 uyarınca standart sözleşme (veri işleyenden veri işleyene modülü) ile yapılır ve Kurula 5 iş günü içinde bildirilir. [AVUKAT TEYİT: tappon'un yerleşim yeri ve Kullanıcının Türkiye'de olması halinde aktarımın hangi modülle kurgulanacağı] AB'de yerleşik ilgili kişiler bakımından veri AB içinde (Almanya) işlenir.
6. Kullanıcının yükümlülükleri
6.1. Verileri hukuka uygun bir sebebe dayanarak topladığını, ziyaretçilerine kendi aydınlatma metnini sunduğunu ve gereken hallerde açık rıza (kaydı) aldığını kabul eder. tappon, bio sayfası formlarına Kullanıcının kendi aydınlatma metni bağlantısını ve isteğe bağlı açık rıza kutusunu ekleme imkânı sunar.
6.2. Bio sayfası formlarıyla özel nitelikli kişisel veri (sağlık, din, etnik köken vb.), T.C. kimlik numarası, kart bilgisi veya 18 yaşından küçüklere ait veri toplamaz.
6.3. Topladığı iletişim bilgileriyle ticari elektronik ileti gönderecekse 6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca onay almak, İYS'ye kaydolmak ve ret taleplerini işlemek Kullanıcının yükümlülüğüdür.
6.4. Sayfasına üçüncü taraf izleme kodu (piksel) veya gömülü içerik eklerse, bu taraflara giden veriler için veri sorumlusu Kullanıcıdır ve gereken onayı almak Kullanıcıya aittir. Bu veriler tappon'un alt işleyenleri kapsamında değildir.
6.5. VERBİS kayıt yükümlülüğü varsa bunu kendisi yerine getirir.
7. Sorumluluk ve süre
Bu sözleşme, Kullanıcı (Hizmet) Sözleşmesi sürdükçe yürürlüktedir ve verilerin silinmesine kadar ilgili hükümler geçerliliğini korur. Sorumluluk, Kullanıcı (Hizmet) Sözleşmesinin 14. maddesine tabidir; KVKK ve GDPR'ın emredici hükümleri saklıdır. Çelişki halinde kişisel verilerin korunmasına ilişkin konularda bu sözleşme esas alınır.
Ek 1 — Teknik ve idari tedbirler
- Tüm bağlantılarda TLS (HTTPS) şifrelemesi.
- Şifreler tek yönlü ve tuzlanmış (salted) karma ile saklanır. [TEKNİK TEYİT]
- Veritabanı yalnızca sunucu içinden erişilebilir; dışarıya kapalıdır.
- Yönetici erişimi en az yetki ilkesiyle, güçlü kimlik doğrulamayla ve [TEKNİK TEYİT: IP kısıtı / iki adımlı doğrulama] ile sınırlıdır.
- Sunucuya erişim yalnızca SSH anahtarıyla; parola ile giriş kapalı. [TEKNİK TEYİT]
- Yedekler istemci tarafında şifrelenmiş olarak saklanır; yedek sağlayıcısı içeriği okuyamaz. [TEKNİK TEYİT]
- Güvenlik güncellemeleri düzenli uygulanır; günlük güvenlik taraması ve dosya değişikliği kontrolü. [TEKNİK TEYİT]
- Ziyaretçi istatistiklerinde IP saklanmaz; ülke/şehir yerel veritabanıyla anlık çıkarılır.
- Formlarda otomatik gönderim (bot) koruması; aşırı istek sınırlaması.
- Personel ve yükleniciler için gizlilik taahhüdü; erişim kayıtlarının tutulması.
- Silme taleplerinin belirlenen sürelerde yerine getirilmesi; periyodik imha.
Ek 2 — Alt işleyenler
| Alt işleyen | Hizmet | Konum | İşlenen veri |
|---|---|---|---|
| Contabo GmbH | Sunucu barındırma | Almanya | Tüm hizmet verileri |
| [YEDEK KONUMU] | Şifreli yedek depolama | [DOLDURULACAK] | Şifreli yedek (sağlayıcı okuyamaz) |
| Kendi e-posta sunucumuz (Contabo GmbH üzerinde) | Form bildirim ve hizmet e-postalarının iletimi | Almanya | Bildirim e-postasındaki form verileri |
| [KULLANILIYORSA: CDN/DNS sağlayıcısı] | İçerik dağıtımı, saldırı koruması | [DOLDURULACAK] | Ziyaretçi IP adresi ve istek bilgileri (geçici) |
| [KULLANILIYORSA: bot koruması sağlayıcısı, ör. Cloudflare Turnstile] | Formlarda bot doğrulaması | [DOLDURULACAK] | Ziyaretçi IP adresi ve tarayıcı sinyalleri |
Alt işleyen olmayanlar (bilgi için): Yazı tipleri ve hava durumu verisi sunucu tarafında çekilir/kendi sunucumuzdan sunulur; ziyaretçi verisi gitmez. Coğrafi konum veritabanı sunucuda yereldir; dışarıya veri gönderilmez. [KULLANILIYORSA: bağlantı güvenliği kontrolü (ör. Google Safe Browsing) yalnızca Kullanıcının eklediği bağlantı adreslerini kontrol eder, ziyaretçi verisi göndermez.]