Veri İşleme Sözleşmesi

Son güncelleme: [Yayımlamadan önce yürürlük tarihi yazılmalıdır]

1. Taraflar ve Roller

İşbu Veri İşleme Sözleşmesi ("Sözleşme" veya "VİS"), bir tarafta MERSİS No: [Doldurulmalı: MERSİS numarası] ile kayıtlı, REŞİTPAŞA MAH. DENİZBANK SİTESİ SOK. NO:20 SARIYER İSTANBUL adresinde mukim, SARIYER VD Vergi Dairesi 7720710368 vergi numaralı SMARTLABS MEDYA TEKNOLOJİLERİ ANONİM ŞİRKETİ ("Hizmet Sağlayıcı" veya "Veri İşleyen") ile diğer tarafta Medyapin® OS hizmetine ilişkin hesap veya sipariş kayıtlarında kimliği belirtilen tüzel kişi ya da tacir ("Müşteri" veya "Veri Sorumlusu") arasında akdedilmiştir. Hizmet Sağlayıcı'nın VERBİS kayıt bilgisi: [Doldurulmalı: VERBİS kayıt numarası]. İletişim: info@smartlabs.com.tr, KEP: [Doldurulmalı: KEP adresi], Telefon: 08502593666.

Medyapin® ve Medyapin.com, SMARTLABS MEDYA TEKNOLOJİLERİ ANONİM ŞİRKETİ'nın tescilli markalarıdır.

Müşteri, kendi kiracı (tenant) alanı içinde işlenen kişisel veriler bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 3/1(ı) anlamında veri sorumlusu; Hizmet Sağlayıcı ise bu veriler bakımından KVKK md. 3/1(ğ) ve md. 12/2 anlamında Müşteri adına ve onun talimatları doğrultusunda hareket eden veri işleyendir.

Hizmet Sağlayıcı'nın kendi müşteri ilişkisi kapsamında işlediği veriler (fatura ve ödeme bilgileri, hesap sahibi iletişim bilgileri, onay kayıtları vb.) bakımından Hizmet Sağlayıcı bizzat veri sorumlusudur; bu işleme faaliyetleri işbu Sözleşme'nin değil, KVKK Aydınlatma Metni ve Gizlilik Politikası'nın konusudur.

2. Tanımlar

İşbu Sözleşme'de kullanılan ve aşağıda tanımlanmayan terimler KVKK md. 3'teki anlamları taşır.

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel Nitelikli Kişisel Veri: KVKK md. 6'da sayılan veriler (biyometrik veriler dahil).
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• Kişisel Verilerin İşlenmesi: Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, aktarılması, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• Hizmet: Hizmet Sağlayıcı tarafından sunulan Medyapin® OS bulut tabanlı dijital ekran ve mağaza içi deneyim platformu; içerik yönetim sistemi (CMS), Android, Windows, webOS, Tizen ve diğer platformlardaki ekran oynatıcıları, müzik yayını, Vision Edge kamera tetikleyicileri, Model Studio ve varsa isteğe bağlı kurum içi (on-premise) lisans bileşenleri.
• Alt İşleyen: Hizmet Sağlayıcı'nın, Müşteri Kişisel Verilerini işlemek üzere görevlendirdiği üçüncü kişi veri işleyen.
• Kişisel Veri İhlali: Müşteri Kişisel Verilerinin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya güvenliğin ihlali sonucu yetkisiz erişime, kayba, değiştirilmeye ya da ifşaya uğraması.
• Kurul: Kişisel Verileri Koruma Kurulu.
• Talimat: Müşteri'nin Hizmet arayüzü üzerinden yaptığı yapılandırmalar ve işlemler, işbu Sözleşme, Kullanım Koşulları ve yazılı olarak verilen diğer belgelenmiş talimatlar.

3. İşlemenin Konusu, Niteliği, Amacı ve Süresi

3.1. Hizmet Sağlayıcı, Müşteri Kişisel Verilerini yalnızca Hizmet'in sunulması, sürdürülmesi, güvenliğinin sağlanması, teknik destek verilmesi ve Müşteri'nin belgelenmiş Talimatlarının yerine getirilmesi amacıyla işler.

3.2. İşlemenin niteliği; barındırma, depolama, iletim, içerik dağıtımı, ekranlara yayın planlaması, olay ve telemetri toplanması, raporlama ve yedeklemeden ibarettir. Ayrıntılar Ek 1'de yer alır.

3.3. İşleme, Müşteri'nin Hizmet aboneliği süresince devam eder ve Madde 12'de düzenlenen iade ve silme süreçlerinin tamamlanmasıyla sona erer.

4. Hizmet Sağlayıcı'nın Yükümlülükleri

4.1. Talimatlara Bağlılık

Hizmet Sağlayıcı, Müşteri Kişisel Verilerini yalnızca Müşteri'nin belgelenmiş Talimatları doğrultusunda işler. Mevzuat gereği başka bir işleme zorunluluğu doğarsa, kanunen yasaklanmadıkça bu durumu işlemeden önce Müşteri'ye bildirir. Hizmet Sağlayıcı, bir Talimatın KVKK'ya veya diğer mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi gecikmeksizin bilgilendirir ve ilgili Talimatın uygulanmasını askıya alabilir.

4.2. Gizlilik

Hizmet Sağlayıcı, Müşteri Kişisel Verilerine erişim yetkisi bulunan çalışanlarının ve yüklenicilerinin yazılı gizlilik yükümlülüğü altında olmasını, yalnızca görevleri için gerekli asgari erişime sahip olmasını ve kişisel verilerin korunması konusunda eğitim almasını sağlar. Bu yükümlülük, görev ilişkisinin sona ermesinden sonra da devam eder.

4.3. Veri Güvenliği

Hizmet Sağlayıcı, KVKK md. 12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak amacıyla, Kurul'un "Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)" dikkate alınarak, Ek 2'de belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alır. Hizmet Sağlayıcı bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; ancak güncellemeler genel güvenlik düzeyini düşüremez.

4.4. İlgili Kişi Başvurularına Destek

Hizmet Sağlayıcı, işlemenin niteliğini dikkate alarak Müşteri'nin KVKK md. 11 kapsamındaki ilgili kişi başvurularını (bilgi talebi, düzeltme, silme, aktarılan üçüncü kişilerin bildirilmesi vb.) KVKK md. 13'te öngörülen otuz günlük süre içinde yanıtlayabilmesi için makul teknik ve idari destek sağlar. Hizmet arayüzünde bu amaçla dışa aktarma ve silme araçları sunulur (Ayarlar → Gizlilik ve KVKK). Hizmet Sağlayıcı'ya doğrudan iletilen bir başvuruyu, kanunen yasaklanmadıkça, yanıtlamaksızın gecikmeksizin Müşteri'ye yönlendirir.

4.5. Etki Değerlendirmesi ve Danışma

Hizmet Sağlayıcı, Müşteri'nin özellikle mağaza içi algılama (sensing) ve kamera tetikleyicileri gibi yüksek risk taşıyabilecek işleme faaliyetlerine ilişkin veri koruma etki değerlendirmeleri ile Kurul'a yapılacak bildirim ve yazışmalarda, kendisinde bulunan bilgiler ölçüsünde makul destek sağlar.

4.6. Kişisel Veri İhlali Bildirimi

Hizmet Sağlayıcı, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrenmesinden itibaren gecikmeksizin ve en geç [Yayımlamadan önce süre yazılmalıdır: 24 veya 48] saat içinde Müşteri'ye bildirir. Bildirim, o an itibarıyla bilinen ölçüde; ihlalin niteliğini, etkilenen veri ve ilgili kişi kategorilerini ve yaklaşık sayılarını, olası sonuçlarını, alınan ve alınması önerilen tedbirleri ve irtibat kişisini içerir. Bu süre, Müşteri'nin Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca ihlali öğrenmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapabilmesini sağlamaya yöneliktir. Hizmet Sağlayıcı, ihlalin etkilerini azaltmak için gerekli tedbirleri derhal alır ve Müşteri ile işbirliği yapar. Kurul'a ve ilgili kişilere bildirim yükümlülüğü Müşteri'ye aittir.

4.7. Kayıtlar

Hizmet Sağlayıcı, Müşteri adına yürüttüğü işleme faaliyetlerine ilişkin kayıtları ve Hizmet üzerindeki işlemlere ait denetim kayıtlarını (işlemi yapan, işlem, IP adresi, korelasyon kimliği) tutar ve talep halinde Müşteri'nin uyum yükümlülükleri için gerekli ölçüde paylaşır.

5. Alt İşleyenler

5.1. Müşteri, işbu Sözleşme ile Hizmet Sağlayıcı'ya Ek 3'te listelenen Alt İşleyenleri görevlendirmesi için önceden genel yetki verir.

5.2. Hizmet Sağlayıcı, yeni bir Alt İşleyen eklemeden veya mevcut bir Alt İşleyeni değiştirmeden en az 30 gün önce Müşteri'yi e-posta ve/veya Hizmet arayüzü üzerinden bilgilendirir.

5.3. Müşteri, bildirimden itibaren 30 gün içinde makul ve veri korumaya ilişkin gerekçelerle yazılı olarak itiraz edebilir. Taraflar makul bir çözüm üzerinde iyi niyetle müzakere eder; çözüm sağlanamazsa Müşteri, etkilenen Hizmet bölümünü cezai şart ödemeksizin feshedebilir ve kullanılmayan döneme ilişkin peşin ödenmiş ücretler iade edilir.

5.4. Hizmet Sağlayıcı, her Alt İşleyen ile işbu Sözleşme'dekilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar ve Alt İşleyenlerinin fiillerinden Müşteri'ye karşı kendi fiilleri gibi sorumludur.

6. Yurt Dışına Aktarım

6.1. Müşteri Kişisel Verileri varsayılan olarak Avrupa Birliği ("eu") veri bölgesinde barındırılır. Yurt dışına aktarım, KVKK'nın 7499 sayılı Kanun ile değişik ve 1 Haziran 2024 tarihinden itibaren yürürlükte olan md. 9 hükümlerine uygun olarak gerçekleştirilir.

6.2. Buna göre aktarım; öncelikle Kurul tarafından verilmiş bir yeterlilik kararına, yeterlilik kararı bulunmaması halinde ise KVKK md. 9/4 kapsamındaki uygun güvencelerden birine dayanır: Kurul tarafından ilan edilen standart sözleşme (imzalanmasından itibaren beş iş günü içinde Kurul'a bildirilir), Kurul onaylı bağlayıcı şirket kuralları veya Kurul izni alınmış yazılı taahhütname. Bunların hiçbirinin bulunmadığı istisnai hallerde yalnızca md. 9/6'da sayılan arızi aktarım halleri uygulanabilir.

6.3. Standart sözleşmenin Kurul'a bildirimi yükümlülüğünün hangi tarafça yerine getirileceği ilgili aktarım senaryosuna göre belirlenir: [Yayımlamadan önce bildirim sorumlusu ve süreç yazılmalıdır].

6.4. Avrupa Birliği'nde yerleşik Müşteriler bakımından Hizmet Sağlayıcı, 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR") md. 28 ile eşdeğer yükümlülükleri üstlenir; gerekli hallerde Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC) işbu Sözleşme'ye ek olarak akdedilir.

7. Denetim

7.1. Hizmet Sağlayıcı, işbu Sözleşme'ye uyumunu göstermek için gerekli bilgileri Müşteri'nin makul talebi üzerine sağlar. Müşteri denetim hakkını öncelikle Hizmet Sağlayıcı'nın sunduğu güvenlik belgeleri, bağımsız denetim raporları (varsa) ve yazılı güvenlik soru formlarının yanıtlanması yoluyla kullanır.

7.2. Bu yolların makul şekilde yetersiz kaldığı veya bir Kişisel Veri İhlalinin ya da Kurul talebinin söz konusu olduğu hallerde Müşteri, en az 30 gün önceden yazılı bildirimde bulunmak kaydıyla, yılda en fazla bir kez, mesai saatleri içinde, Hizmet Sağlayıcı'nın işleyişini makul olmayan ölçüde aksatmadan ve diğer müşterilerin verilerinin gizliliğini ihlal etmeden yerinde denetim yapabilir veya yaptırabilir. Denetimi yapacak kişi gizlilik taahhüdü altında olmalı ve Hizmet Sağlayıcı'nın rakibi olmamalıdır.

7.3. Yerinde denetimin masrafları Müşteri'ye aittir. Denetimde önemli bir aykırılık tespit edilirse Hizmet Sağlayıcı aykırılığı kendi masrafıyla makul süre içinde giderir.

8. Müşteri'nin Yükümlülükleri

Müşteri, veri sorumlusu sıfatıyla:

1. Hizmet aracılığıyla işlenen kişisel veriler için KVKK md. 5 ve md. 6 kapsamında geçerli bir hukuki sebebe sahip olduğunu ve gerekli açık rızaları gerektiğinde aldığını,
2. Kendi ilgili kişilerine (çalışanlar, mağaza ziyaretçileri, müşteriler) KVKK md. 10 uyarınca aydınlatma yükümlülüğünü yerine getireceğini; kamera veya sensör kullanılan mekanlarda görünür bilgilendirme levhaları ve katmanlı aydınlatma metinleri bulunduracağını,
3. Hizmet Sağlayıcı'ya hukuka aykırı bir işleme talimatı vermeyeceğini,
4. Hizmet'i yüz tanıma, kimlik tespiti veya ilgili kişilerin biyometrik yöntemlerle tekil olarak tanınması amacıyla kullanmayacağını; Hizmet'in varsayılan kapsamı dışında kalan demografik tahmin veya varlık takibi gibi özellikleri ayrı bir yazılı mutabakat, açık rıza ve hukuki değerlendirme olmaksızın etkinleştirmeyeceğini,
5. Hizmet'e yüklediği içeriklerde yer alan kişisel veriler bakımından gerekli izin ve hakları edindiğini,
6. Kendi kullanıcı hesaplarının güvenliğini (güçlü parola, çok faktörlü kimlik doğrulama, rol bazlı yetkilendirme) sağlayacağını ve Hizmet'e yetkisiz erişimden haberdar olduğunda Hizmet Sağlayıcı'yı derhal bilgilendireceğini

kabul ve taahhüt eder.

9. Gizlilik Odaklı Algılama

9.1. Vision Edge bileşeni görüntü işlemeyi cihaz üzerinde gerçekleştirir. Hizmet, yüz kimlik tanıma (kimliklendirme) yapmaz. Ham video ve ses kayıtları varsayılan olarak buluta yüklenmez ve saklanmaz; bu saklama sınıfı için süre sıfır (0) olarak zorunlu tutulur.

9.2. Buluta yalnızca tetikleyici olayları ve toplulaştırılmış (aggregate) veriler iletilir. Model Studio kullanıldığında eğitim için Müşteri'nin yüklediği ürün görselleri işlenir.

10. Sorumluluk

Tarafların işbu Sözleşme'den doğan sorumluluğu, Kullanım Koşulları ve varsa Mesafeli Hizmet Sözleşmesi'nde öngörülen sorumluluk sınırlamalarına tabidir; ancak emredici hukuk kuralları, kast ve ağır kusur halleri saklıdır. KVKK md. 12/2 uyarınca taraflar, veri güvenliğine ilişkin tedbirlerin alınmasından ilgili kişilere ve Kurul'a karşı müştereken sorumludur; iç ilişkide sorumluluk tarafların kusuru oranında paylaşılır.

11. Süre, Öncelik ve Değişiklikler

11.1. İşbu Sözleşme, Müşteri'nin Kullanım Koşulları'nı kabul ettiği veya ilgili sipariş/abonelik başladığı tarihte yürürlüğe girer ve Müşteri Kişisel Verilerinin işlenmesi sona erene kadar yürürlükte kalır.

11.2. Kişisel verilerin korunmasına ilişkin konularda işbu Sözleşme, Kullanım Koşulları ve diğer sözleşme belgelerine önceliklidir.

11.3. Hizmet Sağlayıcı, mevzuat değişiklikleri veya Kurul kararları gereği işbu Sözleşme'yi güncelleyebilir; esaslı değişiklikler yürürlükten en az 30 gün önce Müşteri'ye bildirilir.

12. Sözleşme Sonunda Verilerin İadesi ve Silinmesi

12.1. Müşteri, abonelik sona ermeden önce Ayarlar → Gizlilik ve KVKK menüsündeki veri dışa aktarma aracıyla verilerini JSON/CSV formatında sıkıştırılmış (zip) dosya olarak alabilir.

12.2. Hizmet Sağlayıcı, sözleşmenin sona ermesinden itibaren [Yayımlamadan önce süre yazılmalıdır: X] gün içinde Müşteri Kişisel Verilerini, yedekler dahil olmak üzere, silme, yok etme veya anonim hale getirme yoluyla ortadan kaldırır ve talep halinde bunu yazılı olarak teyit eder. Mevzuat gereği saklanması zorunlu veriler (ör. denetim ve ispat kayıtları) yalnızca ilgili saklama süresi boyunca ve erişimi kısıtlanmış şekilde muhafaza edilir.

13. Uygulanacak Hukuk ve Yetkili Mahkeme

İşbu Sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda [Yayımlamadan önce yetkili mahkeme ve icra daireleri yazılmalıdır, ör. İstanbul (Çağlayan)] Mahkemeleri ve İcra Daireleri yetkilidir. Türkçe metin ile çeviriler arasında farklılık olması halinde Türkçe metin esas alınır.

Ek 1 — İşleme Ayrıntıları

İlgili Kişi Kategorileri

• Müşteri'nin Hizmet'i kullanan çalışanları ve yetkilendirilmiş kullanıcıları
• Müşteri'nin mağaza ve mekan ziyaretçileri (yalnızca olay ve toplulaştırılmış veri düzeyinde)
• Müşteri'nin yüklediği içeriklerde görünen veya adı geçen kişiler
• Müşteri'nin kendi müşterileri (POS olayları Müşteri tarafından gönderildiği ölçüde)

Kişisel Veri Kategorileri

• Kimlik ve iletişim: ad soyad, kurumsal e-posta, telefon
• Hesap ve güvenlik: kullanıcı kimliği, rol ve yetkiler, parola özeti (scrypt), MFA bilgisi, oturum kayıtları
• İşlem güvenliği: IP adresi, denetim kayıtları, korelasyon kimlikleri
• Görsel ve işitsel içerik: Müşteri'nin yüklediği görsel, video ve ses içerikleri
• Cihaz ve konum: ekran/cihaz kimlikleri, mağaza konumu, cihaz telemetrisi, ekran görüntüleri
• Sensör ve tetikleyici olayları: kişisel kimlik içermeyen olaylar ve toplulaştırılmış sayımlar
• POS olayları: Müşteri'nin gönderdiği satış/işlem olayları

Özel Nitelikli Kişisel Veriler

Hizmet, özel nitelikli kişisel veri (biyometrik veri dahil) işlemek üzere tasarlanmamıştır. Müşteri, ayrı yazılı mutabakat olmaksızın bu tür verileri Hizmet'e aktarmamayı kabul eder.

Varsayılan Saklama Süreleri

Kuruluş bazında saklama sınıflarıyla yapılandırılabilir:

• Ham telemetri: 30 gün
• Ekran görüntüleri: 90 gün
• Ham kamera ve ses kayıtları: 0 gün (saklanmaz)
• Denetim ve ispat kayıtları: yaklaşık 7 yıl

Ek 2 — Teknik ve İdari Tedbirler

• Tüm veri iletiminde TLS ile şifreleme
• Parolaların scrypt ile özetlenerek saklanması
• Çok faktörlü kimlik doğrulama (MFA)
• En az yetki ilkesine dayalı rol bazlı erişim kontrolü (RBAC)
• Sunucu tarafında zorunlu kılınan sıkı kiracı (tenant) izolasyonu
• İşlemi yapan, işlem, IP adresi ve korelasyon kimliğini içeren denetim kayıtları
• Gizli anahtar ve kimlik bilgilerinin depolamada şifrelenmesi
• İmzalı cihaz manifestoları ve yazılım güncellemeleri; cihaz başına anahtar çiftleri
• Hız sınırlama ve kaba kuvvet saldırılarına karşı koruma
• Düzenli yedekleme ve periyodik geri yükleme tatbikatları
• Zafiyet yönetimi ve güvenlik güncellemelerinin takibi
• Kısa ömürlü, imzalı içerik erişim bağlantıları
• Varsayılan "eu" veri bölgesi
• Personel gizlilik taahhütleri ve farkındalık eğitimleri
• Kurul'un "Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)" ile uyumlu politika ve prosedürler

Ek 3 — Alt İşleyenler Listesi

• Google Cloud (Google Ireland Ltd. / Google LLC) — Vertex AI ve Cloud Storage; bölge europe-west4 (Hollanda); yalnızca Müşteri Model Studio eğitimini kullandığında; işlenen veri: ürün görselleri
• iyzico (iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) — ödeme işlemleri; ödeme verileri bakımından esas olarak bağımsız veri sorumlusu / ödeme kuruluşu sıfatıyla hareket eder
• Barındırma / bulut altyapı sağlayıcısı — [Yayımlamadan önce unvan, hizmet ve bölge yazılmalıdır]
• İşlemsel e-posta sağlayıcısı — [Yayımlamadan önce unvan, hizmet ve bölge yazılmalıdır]

Bu listedeki değişiklikler Madde 5 uyarınca bildirilir.