Veri İşleme Sözleşmesi (DPA)

1. Taraflar, kapsam ve kabul

Bu Veri İşleme Sözleşmesi ("DPA"), Kullanım Koşulları ve Hizmet Sözleşmesi ("Ana Sözleşme") kapsamında, veri sorumlusu sıfatıyla Müşteri ile veri işleyen sıfatıyla [LEGAL_TRADE_NAME] ("İzin360") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12/2 uyarınca akdedilir ve Ana Sözleşme'nin ayrılmaz parçasıdır.

DPA, hesap açılırken Ana Sözleşme ile birlikte kabul edilir; kabul eden kullanıcı, belge sürümü, zaman ve IP adresi değiştirilemeyen bir kayıtla saklanır. Kurumsal müşterilerle müzakere edilmiş bir sürüm ayrıca imzalanabilir. Kişisel verilerin korunmasına ilişkin konularda DPA ile Ana Sözleşme arasında çelişki olursa DPA uygulanır.

2. Konu, amaç, süre, veri kategorileri ve ilgili kişiler

İşlemenin konusu ve amacı, Müşteri'nin çalışanlarına ilişkin izin süreçlerinin (talep, onay, bakiye ve hak ediş hesabı, takvim, raporlama, bildirimler, bordro ve entegrasyon aktarımları) Platform üzerinden yönetilmesidir. İşleme, Ana Sözleşme süresince ve sona ermesinden sonra "Sözleşme sonunda iade ve imha" bölümündeki süre boyunca devam eder.

Ayrılan çalışanların kayıtlarının saklama süresini Müşteri Platform ayarlarından belirler (iş ilişkisinin bitişinden itibaren 5–30 yıl, varsayılan 10 yıl). Süre dolduğunda İzin360 kaydı aylık çalışan imha işiyle geri döndürülemez biçimde anonimleştirir: kimlik ve iletişim bilgileri, sicil ve T.C. kimlik numarası, doğum tarihi, cinsiyet, ücret; belgeler (depodaki dosya, dosya adı, içerik özeti ve dosya şifreleme anahtarı); izin gerekçeleri, karar notları, onay yorumları, olay tarihleri (doğum, evlilik, vefat), süt izni ve yarım çalışma düzenlemelerinde çocuğun doğum tarihi, saatler ve gerekçe; bakiye düzeltme açıklamaları; çalışanın KVKK başvuru metinleri ve cevapları; yasal metin kayıtlarındaki IP adresi ve tarayıcı bilgisi; oturumlar, davetler, takvim aboneliği, bildirimler ve olay kuyruğu kayıtları silinir. İşe giriş ve ayrılış tarihleri yıla genelleştirilir, ekip ve yönetici bağı kaldırılır. Denetim kaydında kişiye ait satırların içeriğindeki kişisel veri silinir ve kişinin kendi işlemlerindeki IP adresi ile tarayıcı bilgisi temizlenir; zincirin doğrulanabilirliği korunur ve silme işlemi zincire ayrı bir kayıtla işlenir. İzin türü, dönemi, gün sayısı, durumu ve departman bilgisi kişiyle ilişkilendirilemeyecek biçimde istatistik olarak kalır. Müşteri'nin yasal saklama engeli (legal hold) koyduğu kayıtlar imha edilmez. Teknik kayıtlar şu sürelerle silinir: bildirimler 1 yıl (okunmamışlar 2 yıl), webhook teslim kayıtları 90 gün, sona eren oturumlar 180 gün, tam hesap arşivleri hazırlandıktan 7 gün, sonuçlanmış arşiv talep kayıtları 1 yıl.

3. Yalnızca talimatla işleme

İzin360 kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Ana Sözleşme, bu DPA, Müşteri'nin Platform üzerinde yaptığı ayar ve işlemler (entegrasyon, dışa aktarım ve saklama ayarları dahil) ile yazılı olarak verdiği ek talimatlar Müşteri'nin talimatlarını oluşturur.

• İzin360 kişisel verileri kendi amaçları için veya talimat dışında işlemez; başka müşterilerin verileriyle birleştirmez.
• Bir talimatın mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi derhal bilgilendirir.
• Kanunen zorunlu bir işleme veya aktarım söz konusu olursa, kanunun yasaklamadığı ölçüde Müşteri'yi önceden bilgilendirir.

Platform, çalışanlara yönelik aydınlatma metni için Aydınlatma Tebliği m.4 unsurlarını içeren bir taslak sunar. Metni tamamlamak, yayımlamak ve içeriğinin doğruluğunu sağlamak veri sorumlusu olarak Müşteri'nin sorumluluğundadır; tamamlanmamış alan içeren metin çalışanlara gösterilmez.

4. Gizlilik

İzin360, kişisel verilere erişen personelinin ve alt işleyenlerinin yazılı gizlilik yükümlülüğü altında olmasını sağlar. KVKK m.12/4 uyarınca öğrenilen kişisel verileri başkasına açıklamama ve işleme amacı dışında kullanmama yükümlülüğü, görevden ayrılmadan ve bu DPA'nın sona ermesinden sonra da süresiz devam eder.

5. Teknik ve idari tedbirler

Taraflar, KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasından birlikte sorumludur. İzin360 Platform kapsamında en azından aşağıdaki tedbirleri uygular:

• Müşteriler arası veritabanı düzeyinde zorunlu satır düzeyi güvenlik ve rol bazlı yetkilendirme,
• Şifreli iletim (HTTPS/TLS), parolaların geri döndürülemez saklanması, oturum güvenliği ve hatalı giriş koruması,
• Sağlık verisine erişebilen kullanıcılar (insan kaynakları rolleri, Hesap Sahibi ve yöneticiler) için varsayılan olarak zorunlu iki adımlı doğrulama; bu kullanıcılar doğrulamayı kurmadan Platform'u kullanamaz. Zorunluluğu yalnızca Hesap Sahibi, iki adımlı doğrulamayla açılmış bir oturumdan, gerekçe ve hukuki risk beyanıyla kaldırabilir; bu karar denetim kaydına yazılır ve veri sorumlusu olarak Müşteri'nin sorumluluğundadır. Başkasının sağlık belgesini açmak her durumda iki adımlı doğrulama ister,
• T.C. kimlik numarası, doğum tarihi ve ücret alanlarının müşteriye özgü anahtarla şifrelenmesi,
• Yüklenen belgelerin dosya başına anahtarla şifrelenmesi ve kendi altyapımızda virüs taraması,
• Sağlıkla ilgili izin belgelerine erişimin talep sahibi, insan kaynakları ve doğrudan yöneticiyle sınırlanması; her belge indirmenin ve başkasının sağlıkla ilgili izin kaydının ayrıntısının görüntülenmesinin (kim, hangi kaydı, ne zaman, hangi IP adresi ve tarayıcıdan) kayda geçirilmesi,
• Değiştirilmesi tespit edilebilen, uygulamanın silemediği denetim kaydı; başarılı ve başarısız girişler, iki adımlı doğrulama ve parola değişikliği olayları bu kayda IP adresi, tarayıcı bilgisi ve istek izleme kimliğiyle yazılır,
• İzin360 destek oturumunda (salt-okunur) T.C. kimlik numarası, ücret, doğum tarihi ve serbest metin alanlarının gizlenmesi, belge ve dışa aktarım indirmelerinin engellenmesi ve oturumun her isteğinin işlemi yapan destek personelinin kimliğiyle Müşteri'nin denetim kaydına yazılması,
• Günlük, şifreli ve 14 gün döngüsel yedekleme,
• Erişim yetkilerinin görev gereğiyle sınırlanması ve personelin gizlilik yükümlülüğü.

Özel nitelikli kişisel veriler bakımından Kişisel Verileri Koruma Kurulu'nun 31.01.2018 tarihli ve 2018/10 sayılı Kararı ile belirlenen yeterli önlemler dikkate alınır. Ayrıntılar Gizlilik Politikası'nda yer alır. İzin360 tedbirleri teknolojik gelişmelere göre güncelleyebilir; koruma düzeyini düşüremez.

6. Alt veri işleyenler

Müşteri, İzin360'ın bu DPA ekindeki listede yer alan alt veri işleyenlerle çalışmasına genel yazılı izin verir. İzin360:

• Her alt veri işleyenle, bu DPA'dakilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar ve alt işleyenin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı sorumludur.
• Yeni bir alt veri işleyen eklemeden veya mevcut olanı değiştirmeden en az 30 gün önce Hesap Sahibi'ne e-postayla bildirir ve listeyi bu sayfada günceller.

Müşteri, bildirimden itibaren 30 gün içinde makul ve veri korumaya dayalı gerekçelerle itiraz edebilir. Taraflar makul bir çözüm bulamazsa Müşteri, değişikliğin yürürlüğünden önce aboneliğini sona erdirebilir; bu durumda kullanılmayan döneme ilişkin peşin ödenmiş ücret kıst olarak iade edilir.

7. Veri ihlali bildirimi

İzin360, kendi nezdinde veya alt işleyenleri nezdinde bulunan kişisel verilerin kanuna aykırı yollarla başkaları tarafından elde edildiğini öğrendiğinde Müşteri'ye gecikmeye yer vermeksizin (hedef: en geç 24 saat) Hesap Sahibi'ne ve insan kaynakları müdürlerine uygulama içi bildirim ve e-postayla bildirimde bulunur; bildirimin okunduğu kayıt altına alınır. Bildirim, o an bilinen ölçüde ve sonradan aşamalı tamamlanmak üzere şunları içerir:

• İhlalin başlangıç ve tespit zamanı ile niteliği,
• Etkilenen veri kategorileri (özel nitelikli veri olup olmadığı) ve yaklaşık ilgili kişi sayısı,
• Olası sonuçlar ile alınan ve önerilen tedbirler,
• Bilgi alınabilecek irtibat kişisi.

Kurul'a en geç 72 saat içinde ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir; İzin360 bu bildirimlerin hazırlanmasına makul ölçüde destek olur.

8. İlgili kişi başvuruları

İzin360, kendisine doğrudan ulaşan ilgili kişi başvurularını cevaplamaksızın gecikmeksizin Müşteri'ye iletir ve başvuru sahibini veri sorumlusunun Müşteri olduğu konusunda bilgilendirir.

Müşteri'nin başvuruları KVKK m.13 uyarınca otuz gün içinde cevaplayabilmesi için Platform şu araçları sunar: çalışanların uygulamadan işverenlerine başvuru göndermesi ve kendi verilerinin kopyasını (izin taleplerine eklenen belgeler dahil) ZIP dosyası olarak indirmesi; Hesap Sahibi ve insan kaynakları müdürlerinin başvuruları yazılı olarak sonuçlandırması (ret gerekçesi zorunludur) ve süre dolmadan hatırlatma alması; Hesap Sahibi ve insan kaynakları müdürlerinin bir çalışanın verilerini belgeleriyle birlikte dışa aktarması (başka bir çalışanın sağlık belgesi varsa iki adımlı doğrulamayla açılmış oturumda). İzin360 gerektiğinde makul teknik destek sağlar.

9. Sözleşme sonunda iade ve imha

• Abonelik sona erdiğinde, hesap kapatıldığında veya askıdaki hesap kendiliğinden kapatıldığında hesap "kapatılmış" duruma geçer. Deneme sonunda ya da ödenmeyen yenileme nedeniyle askıya alınan hesap, askıdan itibaren 60 gün içinde paket seçilmez ya da ödeme yapılmazsa kapatılır; kapanış tarihi askı bildiriminde yazar ve kapanıştan 30 ve 7 gün önce Hesap Sahibi'ne hatırlatılır. Askı süresince veriler silinmez.
• Kapanıştan itibaren 90 gün boyunca Hesap Sahibi Platform'a girerek Müşteri Verisinin tamamını aşağıda anlatılan tam hesap arşiviyle iade alabilir; ayrıca çalışan başına kişisel veri arşivi (ZIP, belgeler dahil) ve fatura belgeleri her zaman, denetim kaydı (CSV), bordro aktarım dosyaları ve gelişmiş rapor dışa aktarımları ise hizmette olan son pakette bulunuyorsa (yalnız deneme kullanılmışsa deneme kapsamında) indirilebilir. Kapanıştan sonraki 60, 80, 90. günlerde silme tarihini bildiren hatırlatma e-postası gönderilir.
• Tam hesap arşivi (Ayarlar › Veri arşivi): Hesap Sahibi, iki adımlı doğrulamayla açılmış oturumda talep eder; arşiv arka planda hazırlanır ve hazır olduğunda Hesap Sahibine e-posta ile uygulama içi bildirim gönderilir (e-posta dosya ya da indirme bağlantısı içermez; arşiv yalnız Platform'dan indirilir). Arşiv Müşteri Verisinin tamamını içerir: şirket ve organizasyon yapısı, kullanıcı ve çalışan kayıtları (şifreli saklanan T.C. kimlik numarası, doğum tarihi ve ücret çözülmüş olarak), roller, izin türleri, politikaları ve onay akışları, izin talepleri ve onay geçmişi, bakiye ve hak ediş hareketleri, süt izni ve yarım çalışma düzenlemeleri, tatiller, vekâletler, KVKK kayıtları (yasal metin defteri, ilgili kişi başvuruları, aydınlatma metni sürümleri ve okundu kayıtları, ihlal bildirimleri), denetim kaydı, bildirim ve entegrasyon ayarları ile faturalama kayıtları makine-okunur JSON, ana tablolar ayrıca CSV biçiminde; yüklenen belgeler özgün hâlleriyle ve ilgili kayıtla eşlenmiş olarak; resmî fatura PDF'leri; şema sürümünü ve her dosyanın SHA-256 özetini gösteren bir manifest. Parola özetleri, iki adımlı doğrulama sırları, oturum ve doğrulama token'ları, API anahtarı özetleri ve webhook imza sırları güvenlik nedeniyle arşive konmaz; silinmiş, virüslü bulunmuş ya da virüs taraması tamamlanmamış belgelerin yalnız kaydı (nedeniyle) yer alır. Arşiv depolamada şifreli tutulur ve hazırlandıktan 7 gün sonra otomatik olarak silinir; Hesap Sahibi daha önce de silebilir. Aynı anda tek arşiv hazırlanır, 24 saatte en çok 3 talep yapılabilir. Arşiv sözleşme süresince her zaman, hesap askıya alınmış ya da kapatılmışken de veriler silinene kadar ve paket kısıtı olmaksızın kullanılabilir; talep, indirme ve silme denetim kaydına yazılır.
• Bu süre içinde Müşteri ücretli bir paket satın alarak ya da aktif kullanıcı sayısı Ücretsiz paketin kullanıcı sınırına sığıyorsa Ücretsiz paketi seçerek hesabı verileriyle birlikte yeniden açabilir; bu durumda silme yapılmaz ve bu DPA yeni abonelikle devam eder.
• Bu araçlarla karşılanamayan bir iade ihtiyacını Müşteri bu süre içinde yazılı olarak bildirebilir; İzin360 makul ölçüde destek olur.
• Sürenin sonunda Müşteri hesabındaki tüm kişisel veriler (veritabanı kayıtları, belgeler ve bunların dosya şifreleme anahtarları, denetim kaydı) canlı sistemlerden kalıcı olarak silinir ve silme işlemi imha kaydına yazılır. Yedeklerdeki kopyalar 14 günlük yedek saklama süresi dolduğunda kendiliğinden imha edilir.
• İzin360'ın kendi yasal yükümlülükleri kapsamında veri sorumlusu olarak sakladığı kayıtlar bu silmenin kapsamı dışındadır ve süreleri dolunca silinir: faturalama kayıtları oluşturuldukları takvim yılının sonundan itibaren 10 yıl, sözleşme ve DPA kabul kayıtları sözleşmenin sona erdiği takvim yılının sonundan itibaren 10 yıl, kullanıcıların ticari ileti onay ve ret kayıtları onayın sona ermesinden itibaren 3 yıl (yalnız e-posta adresi, onay türü, sürüm, zaman ve IP adresiyle).
• Müşteri isterse silme, imha kaydına dayanılarak yazılı olarak teyit edilir.

10. Bilgi verme ve denetim

İzin360, bu DPA'ya uyumu göstermek için gerekli bilgi ve belgeleri Müşteri'nin talebi üzerine sağlar. Bu bilgiler yeterli olmazsa Müşteri, yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, masrafı kendisine ait olmak üzere ve gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim; diğer müşterilerin verilerine erişimi ve güvenliği tehlikeye atmayacak ve hizmetin işleyişini aksatmayacak biçimde yürütülür. Kişisel veri ihlali veya Kurul incelemesi hâlinde bu sınırlamalar uygulanmaz.

11. Yurt dışına aktarım

Müşteri, alt işleyenler listesinde Türkiye dışında bulunduğu belirtilen alt işleyenlere aktarım yapılması için İzin360'a talimat ve yetki verir (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.5/1). Bu aktarımlar KVKK m.9 uyarınca yapılır: [LEGAL_CROSS_BORDER_SAFEGUARD]. Sonraki aktarımlarda da aynı güvenceler uygulanır.

Müşteri'nin kendi başlattığı entegrasyonlar (ör. webhook adresleri, takvim abonelikleri, API anahtarlarıyla yapılan aktarımlar) Müşteri'nin talimatı ve sorumluluğundadır; hedefin yurt dışında olması hâlinde KVKK m.9 yükümlülükleri Müşteri'ye aittir. Bu aktarımlarda sağlıkla ilgili izin türleri yalnızca "İzinli" olarak gönderilir.

12. Uygulanacak hukuk

Bu DPA Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Ana Sözleşme'deki yetki hükmü uygulanır.

13. Ek: Alt veri işleyenler ve hizmet sağlayıcılar

Alt işleyen olmayan bileşenler ve sağlayıcılar

• Veritabanı (PostgreSQL), belge deposu (SeaweedFS), virüs taraması (ClamAV), kuyruk (RabbitMQ), önbellek (Valkey) ve izleme (Grafana/OpenTelemetry) yazılımları, yukarıdaki barındırma sunucularında İzin360'ın kendi yönetiminde çalışır; bu bileşenler için veriler üçüncü bir tarafa gönderilmez.
• PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (Türkiye): abonelik ödemelerini alır; yalnızca ödeme yapan Müşteri yetkilisinin ödeme bilgilerini işler, çalışan verisine erişmez; kart verileri bakımından bağımsız veri sorumlusudur.
• [LEGAL_EINVOICE_PROVIDER] (Türkiye): Müşteri'nin resmî faturalarını düzenler; yalnızca fatura bilgilerini işler, çalışan verisine erişmez. İzin360'ın veri sorumlusu olduğu işleme kapsamındadır.

Listedeki değişiklikler en az 30 gün önceden bildirilir. Sorularınız için: [LEGAL_PRIVACY_EMAIL]