Tedarikçi Gizlilik ve Kişisel Verilerin Korunması Sözleşmesi

Veri İşleyen – Veri Sorumlusu İlişkisi Kapsamında Gizlilik ve Veri İşleme Taahhütnamesi

1. Amaç

Bu Sözleşme'nin amacı; Veridyen Bilişim Teknolojileri Sanayi ve Ticaret Limited Şirketi ("TEDARİKÇİ" / "Veri İşleyen") tarafından MÜŞTERİ'ye ("Veri Sorumlusu") sunulan web barındırma (hosting), bayi barındırma, kurumsal e-posta, sanal sunucu (VPS/VDS), fiziksel sunucu kiralama (dedicated) ve yönetilen sunucu hizmetleri kapsamında; tarafların erişebileceği gizli bilgilerin ve kişisel verilerin korunmasına ilişkin karşılıklı hak, yükümlülük ve sorumlulukların belirlenmesidir.

Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili ikincil mevzuat uyarınca veri sorumlusu ile veri işleyen arasındaki ilişkiyi düzenleyen veri işleme esaslarını, gizlilik taahhütlerini ve bilgi güvenliği yükümlülüklerini kapsar.

2. Taraflar

İşbu Sözleşme, aşağıda bilgileri yer alan taraflar arasında akdedilmiştir. Hizmet ilişkisi kapsamında MÜŞTERİ'ye ait kişisel veriler TEDARİKÇİ'nin altyapısında barındırıldığından veya bu altyapı üzerinden iletildiğinden; KVKK anlamında MÜŞTERİ "Veri Sorumlusu", TEDARİKÇİ ise MÜŞTERİ adına ve talimatları doğrultusunda veri işleyen "Veri İşleyen" sıfatını taşır.

2.1. Veri İşleyen / Tedarikçi

2.2. Veri Sorumlusu / Müşteri

TEDARİKÇİ ve MÜŞTERİ, bu Sözleşme'de tek tek "Taraf", birlikte "Taraflar" olarak anılacaktır.

3. Tanımlar

Bu Sözleşme'de geçen başlıca kavramlar, KVKK ve ilgili mevzuattaki anlamlarıyla kullanılır:

4. Dayanak ve Hukuki Çerçeve

İşbu Sözleşme, aşağıdaki mevzuat ve standartlar dikkate alınarak hazırlanmıştır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (2/3/2024 tarihli ve 7499 sayılı Kanun ile değişik hâliyle) ve ilgili ikincil mevzuat,
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (10/7/2024 tarihli Resmî Gazete),
• Kişisel Verileri Koruma Kurulu'nun 24/01/2019 tarihli ve 2019/10 sayılı Kişisel Veri İhlali Bildirim Usul ve Esasları kararı,
• Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) ve ilgili kararlar,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun (yer sağlayıcı yükümlülükleri),
• ISO/IEC 27001:2022 – Bilgi Güvenliği Yönetim Sistemi ve ISO/IEC 27701:2019 – Kişisel Veri Yönetim Sistemi,
• ISO 22301:2019 – İş Sürekliliği Yönetim Sistemi, ISO/IEC 20000-1:2018 – BT Hizmet Yönetim Sistemi ve ISO 9001:2015 – Kalite Yönetim Sistemi.

TEDARİKÇİ, yukarıda sayılan standartlar doğrultusunda bir Entegre Yönetim Sistemi işletmektedir. Güncel belgelendirme durumu talep hâlinde MÜŞTERİ ile paylaşılır.

5. Hizmet Kapsamı ve Sorumluluk Dağılımı

Bu bölüm, bir güvenlik olayı (siber zafiyet, ihlal vb.) yaşanması hâlinde hangi tarafın hangi katmandan sorumlu olduğunu belirler. Sorumluluğun sınırı, MÜŞTERİ'nin TEDARİKÇİ'den aldığı hizmet türüne göre değişir ve aşağıdaki temel ilkeye göre dağıtılır.

5.1. Sorumluluğun Temel İlkesi: Kontrol ve Erişim Yetkisi

Bir kontrol katmanının güvenliğinden, o katmana teknik olarak erişebilen ve onu yönetme yetkisine sahip olan taraf sorumludur. TEDARİKÇİ, yalnızca teknik erişim ve yönetim yetkisine sahip olduğu katmanlarda (veri merkezi hizmet sağlayıcısı aracılığıyla fiziksel altyapı, ağ altyapısı, sanallaştırma/ana node ile paylaşımlı barındırma ve e-posta sunucularının işletim sistemi) güvenlik tedbiri alabilir.

Yönetimsiz hizmetlerde TEDARİKÇİ, MÜŞTERİ'nin sunucusunun içine, işletim sistemine, kurduğu yazılımlara, güvenlik duvarı yapılandırmasına ve belirlediği parolalara teknik olarak erişemez ve müdahale edemez. Erişim ve müdahale yetkisi bulunmayan bir katmandaki yapılandırma hatasından, güncel tutulmayan yazılımdan veya zayıf paroladan kaynaklanan açıklardan TEDARİKÇİ teknik ve hukuki olarak sorumlu tutulamaz. Bu yaklaşım, barındırma ve bulut sektöründe yerleşik "paylaşılan sorumluluk modeli" ile uyumludur ve KVKK m.12'deki müşterek sorumluluk ilkesiyle çelişmez; her taraf yalnızca kendi kontrolündeki tedbirlerden sorumludur.

5.2. Paylaşımlı Barındırma ve Bayi (Reseller) Hosting Hizmetleri

Bu başlık; web hosting, WordPress hosting, geliştirici hosting, premium ve kurumsal hosting ile Windows hosting paketlerini kapsar. TEDARİKÇİ; sunucu işletim sistemi, lisanslı kontrol paneli (cPanel, Plesk veya DirectAdmin), web sunucusu yazılımı ve sunucu üzerindeki ortak bileşenlerin kurulum, güncelleme ve güvenlik bakımını üstlenir. Hesaplar, hesap izolasyon mekanizmalarıyla birbirinden yalıtılır ve sunucuların önünde güvenlik duvarı konumlandırılır. MÜŞTERİ'nin hesabı içinde kurduğu/kullandığı uygulama, eklenti, tema ve yazılımlar ile hesap, FTP ve veritabanı parolaları TEDARİKÇİ'nin kontrolünde olmadığından, bunlardan kaynaklanan açıklar MÜŞTERİ'nin sorumluluğundadır.

Bayi (reseller) hizmetlerinde MÜŞTERİ, kendi müşterilerine barındırma hizmeti sunuyorsa onlar karşısında veri sorumlusu veya veri işleyen sıfatını taşır; bu durumda TEDARİKÇİ alt veri işleyen konumundadır. MÜŞTERİ, kendi müşterileriyle yapacağı sözleşmelerde TEDARİKÇİ'yi alt veri işleyen olarak göstermek ve bu Sözleşme'deki yükümlülüklerle çelişmeyen hükümler öngörmekle yükümlüdür.

5.3. Kurumsal E-Posta Hizmetleri

TEDARİKÇİ; e-posta sunucularının işletim sistemi ve e-posta yazılımlarının güvenlik bakımını, gelen ve giden iletilerin istenmeyen e-posta (spam) ve zararlı yazılım yönünden otomatik olarak taranmasını ve iletilmesini sağlar. Otomatik tarama, imza, itibar ve kural tabanlı teknik filtrelemeden ibarettir; ileti içeriğinin personel tarafından okunması anlamına gelmez. Giden e-postalar, teslim edilebilirlik ve kötüye kullanımın önlenmesi amacıyla bir alt veri işleyen üzerinden iletilebilir (bkz. madde 11 ve Ek-1). Posta kutusu kullanıcılarının oluşturulması, parolaları, yönlendirme ve otomatik yanıt kuralları ile posta kutusu içeriği MÜŞTERİ'nin yönetimindedir.

5.4. Fiziksel Sunucu Kiralama (Dedicated)

TEDARİKÇİ; veri merkezi hizmet sağlayıcısı aracılığıyla fiziksel güvenlik, enerji ve iklimlendirme sürekliliğini, kendi yönetimindeki ağ altyapısı ile tahsis edilen IP adreslerine ilişkin genel ağ güvenliği koşullarını sağlar. İşletim sistemi, uygulamalar, güvenlik duvarı yapılandırması, yedekleme ve sunucu içi tüm güvenlik yönetimi münhasıran MÜŞTERİ'ye aittir. TEDARİKÇİ'nin sunucu içine erişim ve müdahale yetkisi bulunmadığından, sunucu içindeki açıklardan ve kişisel veri işleme faaliyetinden TEDARİKÇİ sorumlu tutulamaz; bu kapsamda yalnızca altyapı seviyesinde veri işleyen sıfatını taşır. Arızalanan veya değiştirilen diskler, TEDARİKÇİ'nin ortam imha kurallarına göre güvenli şekilde imha edilir ya da MÜŞTERİ'nin talebi üzerine kendisine teslim edilir.

5.5. Sanal Sunucu (VPS / VDS) – Yönetimsiz

Sanal sunucunun çalıştığı fiziksel ana node (sanallaştırma/hypervisor katmanı) TEDARİKÇİ'nin kontrolünde olduğundan; TEDARİKÇİ, ana node'un fiziksel ve ağ güvenliğini, sanallaştırma katmanının güvenliğini ve sanal makineler arası izolasyonu MÜŞTERİ adına sağlar. Sanal sunucunun içindeki misafir işletim sistemi, uygulamalar, erişim/parola yönetimi ve güvenlik duvarı yapılandırması ise MÜŞTERİ'nin yönetimindedir; TEDARİKÇİ bu katmana erişemediğinden buradaki açıklardan sorumlu tutulamaz. TEDARİKÇİ'nin sanallaştırma ve ağ katmanındaki bilinen açıklara ilişkin takip ve bildirim yükümlülüğü madde 12.2 ile sınırlıdır; misafir işletim sistemi ve içindeki bileşenlere ilişkin herhangi bir zafiyet takibi veya bildirimi TEDARİKÇİ'den beklenemez.

5.6. Yönetilen (Managed) Sunucu Hizmetleri

Bu hizmette TEDARİKÇİ, sunucu yönetim hizmetini de sözleşme gereği üstlendiğinden işletim sistemi seviyesinde de bilinen siber güvenlik önlemlerini alır; hizmet alım tarihinden sonra duyurulan açıklar mümkün olan en kısa sürede giderilir. TEDARİKÇİ bu kapsamda hem altyapı hem sunucu seviyesinde MÜŞTERİ adına tedbir alır. Buna karşın uygulama içeriği, son kullanıcıya ait veriler ve işleme amaçlarının belirlenmesi yine veri sorumlusu sıfatıyla MÜŞTERİ'ye aittir.

5.7. Yedekleme

TEDARİKÇİ'nin paylaşımlı barındırma hizmetlerinde periyodik olarak aldığı yedekler felaket kurtarma amaçlıdır; MÜŞTERİ'ye yönelik bir yedekleme veya geri yükleme taahhüdü oluşturmaz. MÜŞTERİ, ek hizmet olarak yedekleme (paylaşımlı barındırmada günlük yedekleme, sanal sunucularda snapshot gibi) satın alabilir; bu hizmetler ilgili paket koşullarında belirtilen kapsam ve saklama süresiyle sunulur. Verilerin yedeklenmesi ve saklanması yükümlülüğü, Genel Hizmet Sözleşmesi ve Genel Hizmet Şartları uyarınca MÜŞTERİ'ye aittir. Yönetilen sunucu hizmetlerinde yedekleme, Hizmet Sözleşmesi'nde ayrıca taahhüt edilmedikçe MÜŞTERİ'nin sorumluluğundadır. TEDARİKÇİ tarafından alınan yedekler ve snapshot'lar Türkiye'de, İstanbul'daki altyapıda barındırılır.

5.8. TEDARİKÇİ'nin Veri Sorumlusu Olduğu Faaliyetler

Aşağıdaki faaliyetlerde TEDARİKÇİ, MÜŞTERİ adına değil kendi adına veri sorumlusu sıfatıyla hareket eder. Bu faaliyetler işbu Sözleşme'nin veri işleme hükümlerine değil, TEDARİKÇİ'nin aydınlatma metnine ve ilgili mevzuata tabidir:

• MÜŞTERİ kaydı, sipariş, faturalandırma, tahsilat ve destek talebi (ticket) süreçleri,
• Alan adı tescil, transfer ve yenileme işlemlerinde tescil ettiren kişi (registrant) bilgilerinin, ICANN politikaları ve .tr uzantılı alan adları için TRABİS düzenlemeleri çerçevesinde ilgili kayıt kuruluşuna / sicil operatörüne iletilmesi,
• SSL sertifikası başvurularında doğrulama bilgilerinin sertifika otoritesine iletilmesi,
• Yazılım lisansı satışlarında lisans sahibine ilişkin bilgilerin lisans sağlayıcısına iletilmesi,
• 5651 sayılı Kanun kapsamında yer sağlayıcı sıfatıyla tutulan trafik kayıtları.

5.9. Sorumluluk Dağılımı Tablosu

Aşağıdaki tablo, her kontrol katmanından hangi tarafın sorumlu olduğunu hizmet türüne göre gösterir. Renkler hızlı okuma içindir.

* DDoS koruması ve ağ erişilebilirliği, azami gayret (best effort) esasıyla ve TEDARİKÇİ'nin altyapı bant genişliği ile üst operatör (transit/upstream) kapasitesiyle sınırlı olarak sağlanır; bu kapasitenin aşıldığı hâllerde madde 5.10 uygulanır.

** Fiziksel katman, TEDARİKÇİ'nin kabin kiraladığı veri merkezi hizmet sağlayıcısı (Ek-1) tarafından işletilir. TEDARİKÇİ bu katmana ilişkin yükümlülüklerini söz konusu sağlayıcıyla yaptığı sözleşme ve tedarikçi değerlendirmesi yoluyla yerine getirir ve MÜŞTERİ'ye karşı sorumlu kalır.

5.10. Hizmet Sürekliliği, DDoS Koruması ve Mücbir Sebep

TEDARİKÇİ, sahip olduğu altyapı ve aldığı üst operatör (transit/upstream) hizmetleri çerçevesinde ağ güvenliği ve DDoS koruması için makul ve azami gayreti gösterir. Bununla birlikte TEDARİKÇİ; kesintisiz erişim veya her ölçekteki saldırıya karşı tam koruma garantisi vermez. DDoS koruması ve ağ erişilebilirliği, TEDARİKÇİ'nin altyapı bant genişliği ve üst operatör kapasitesiyle sınırlıdır.

TEDARİKÇİ'nin makul kontrolü dışında kalan olaylar mücbir sebep sayılır ve bu olaylardan kaynaklanan geçici erişim kesintileri sözleşmeye aykırılık veya kusur teşkil etmez; TEDARİKÇİ'ye herhangi bir tazmin veya sorumluluk yüklemez. Mücbir sebep hâlleri arasında, bunlarla sınırlı olmamak üzere; mevcut altyapı veya üst operatör kapasitesini aşan yüksek hacimli saldırılar (üst operatör tarafından dahi engellenemeyen saldırılar dâhil), üst operatör veya kamu iletişim altyapısı kaynaklı arıza ve kesintiler, genel enerji şebekesi kesintileri, doğal afetler ile resmî makam karar ve uygulamaları yer alır.

Hizmet seviyesi, erişilebilirlik oranı (yıllık %99,8 erişilebilirlik hedefi) ve kesinti tazminine ilişkin ayrıntılı taahhütler Hizmet Sözleşmesi / hizmet seviyesi taahhüdü (SLA) hükümlerine tabidir; işbu Sözleşme bu konularda bağımsız bir erişilebilirlik taahhüdü oluşturmaz.

Bir güvenlik olayında sorumluluk; olayın hangi kontrol katmanından kaynaklandığına ve o katmanın madde 5.9'daki dağılıma göre hangi tarafın yönetiminde olduğuna bakılarak belirlenir. Kaynağın net olarak tespit edilemediği hâllerde Taraflar, kayıt (log) ve teknik delilleri iyi niyetle paylaşarak durumu birlikte değerlendirir. Her hâlükârda her Taraf, yalnızca kendi kontrol ve yönetim yetkisindeki katmanlardan sorumludur.

6. Veri İşleme Faaliyetinin Niteliği

TEDARİKÇİ'nin MÜŞTERİ adına yürüttüğü veri işleme faaliyetinin konusu, süresi, niteliği ve amacı aşağıda belirlenmiştir:

7. Gizli Bilginin Tanımı

Taraflar arasındaki iş ilişkisi nedeniyle; sözlü, yazılı, elektronik veya manyetik ortamda öğrenilen ya da paylaşılan her türlü ticari, mali, teknik ve kişisel bilgi "Gizli Bilgi" kabul edilir. Bu kapsama; altyapı ve yapılandırma bilgileri, kaynak kodları, veri tabanları, şifreler ve özel yetki parametreleri, finansal bilgiler, iş ve hizmet fikirleri, satış stratejileri, müşteri liste ve portföyleri, know-how, henüz kamuya açıklanmamış ürün ve hizmet bilgileri ile 6698 sayılı Kanun çerçevesinde tanımlanan tüm kişisel ve özel nitelikli kişisel veriler dâhildir.

Bilginin "gizli" olduğunun ayrıca belirtilmiş olması şart değildir; niteliği gereği gizli sayılması gereken her bilgi en geniş anlamıyla Gizli Bilgi olarak değerlendirilir. Aşağıdaki bilgiler Gizli Bilgi kapsamı dışındadır:

• Açıklandığı anda kamuya mal olmuş veya sonradan ilgili Taraf'ın kusuru olmaksızın kamuya mal olan bilgiler,
• Taraflardan birinin gizlilik yükümlülüğünü ihlal etmeksizin hukuka uygun yollarla edindiği bilgiler,
• Yetkili bir mahkeme veya idari makamın hukuken bağlayıcı kararı gereği açıklanması zorunlu olan bilgiler (zorunlu açıklama, ilgili kararla sınırlı olmak ve hukuken yasaklanmadıkça diğer Taraf önceden bilgilendirilmek kaydıyla).

8. Gizli Bilginin Korunması

Taraflar, bu Sözleşme çerçevesinde edindikleri Gizli Bilgileri:

1. Süresiz olarak gizli tutacaklarını, saklayacaklarını ve koruyacaklarını,
2. Aralarındaki ticari ilişkinin amaçları dışında doğrudan veya dolaylı olarak kullanmayacaklarını,
3. Diğer Taraf'ın yazılı rızası olmaksızın üçüncü kişilere açıklamayacaklarını ve devretmeyeceklerini

peşinen kabul, beyan ve taahhüt eder.

Taraflar, kendi gizli bilgilerini korurken gösterdikleri özenin aynısını karşı tarafın Gizli Bilgilerini korurken de gösterir. Gizli Bilgi, ancak işin gereği bilmesi zorunlu olan çalışanlara, gizlilik konusunda uyarılmaları ve en az bu Sözleşme'deki kadar bağlayıcı gizlilik yükümlülüğü altına alınmaları kaydıyla; alt yüklenicilere ise yalnızca hizmetin gerektirdiği ölçüde ve bu sağlayıcıların kendi gizlilik şartları çerçevesinde aktarılabilir. Taraflar, çalışan ve alt yüklenicilerinin Sözleşme'ye aykırı davranışlarından doğrudan sorumludur.

9. Kişisel Verilerin Korunması Kanunu Kapsamında Yükümlülükler

Hizmet ilişkisi kapsamında MÜŞTERİ veri sorumlusu, TEDARİKÇİ ise veri işleyen sıfatıyla hareket eder. Tarafların KVKK kapsamındaki başlıca yükümlülükleri şunlardır:

9.1. Veri İşleyen (TEDARİKÇİ) Yükümlülükleri

• Kişisel verileri yalnızca MÜŞTERİ'nin talimatları, Hizmet Sözleşmesi ve hizmetin gereği doğrultusunda işler; bu sınırların dışında veri işlemez.
• MÜŞTERİ'nin bir talimatının mevzuata aykırı olduğunu değerlendirirse MÜŞTERİ'yi gecikmeksizin bilgilendirir. Bu değerlendirme TEDARİKÇİ'nin teknik bilgisi ölçüsündedir ve hukuki görüş niteliği taşımaz.
• İşlediği kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara erişilmesini önlemek, muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır (KVKK m.12).
• MÜŞTERİ adına işlenen kişisel verileri pazarlama veya reklam amacıyla kullanmaz.
• Öğrendiği kişisel verileri, hizmet ilişkisi sona erse dahi, kanunda sayılan istisnalar hariç olmak üzere üçüncü kişilere açıklamaz ve işleme amacı dışında kullanmaz; bu yükümlülük süresizdir.
• Kişisel verilere erişebilen personelini gizlilik yükümlülüğü altına alır, bilgi güvenliği ve kişisel veri farkındalığı eğitimi verir ve erişim yetkilerini düzenli olarak gözden geçirir.
• Taşıma, geri yükleme ve destek işlemleri sırasında oluşan geçici kopyaları, işlem tamamlandıktan sonra en geç otuz (30) gün içinde siler. İlgili kişilerin başvurularını ve Kurum taleplerini karşılaması amacıyla, kendi sorumluluk alanıyla sınırlı olarak MÜŞTERİ'ye makul ölçüde destek ve bilgi sağlar.
• MÜŞTERİ adına yürüttüğü veri işleme faaliyetlerine ilişkin kayıtları (alt veri işleyenler, yurt dışı aktarımlar, resmî makam talepleri ve veri ihlalleri dâhil) tutar.

9.2. Veri Sorumlusu (MÜŞTERİ) Yükümlülükleri

• İşlediği kişisel veriler bakımından hukuka uygunluk sebebini, aydınlatma yükümlülüğünü ve gerektiğinde açık rıza alınmasını sağlamaktan münhasıran sorumludur.
• Kendi ilgili kişilerine yönelik aydınlatma metninde, TEDARİKÇİ'yi ve Ek-1'deki alt veri işleyenleri (yurt dışına aktarım dâhil) kişisel verilerin aktarıldığı alıcı grubu olarak gösterir.
• TEDARİKÇİ'nin altyapısında barındırdığı verilerin niteliğini ve özel nitelikli veri içerip içermediğini bilir; kendi uygulama ve sistemlerinin güvenliğini sağlar.
• Kendi sorumluluk alanına giren kontrol katmanlarında (bkz. madde 5) gerekli teknik ve idari tedbirleri alır.
• İlgili kişilere karşı veri sorumlusu sıfatıyla muhatap olur ve KVKK kapsamındaki başvuruları yönetir.

KVKK m.12 uyarınca veri güvenliğine ilişkin tedbirlerin alınması bakımından Taraflar müştereken sorumludur. 7499 sayılı Kanun değişikliği ile veri işleyenler de özellikle yurt dışına aktarım (m.9) ve standart sözleşme bildirimine ilişkin idari yaptırımlar (m.18) bakımından doğrudan muhatap hâline gelmiştir; Taraflar bu çerçevede kendi sorumluluk alanlarına ilişkin yükümlülükleri yerine getirir.

9.3. Alt Veri İşleyenler

MÜŞTERİ, işbu Sözleşme'yi imzalamakla Ek-1'de listelenen alt yüklenicilerin kullanılmasına genel yazılı izin verir. Alt yüklenicilerle ilişki, hizmeti doğrudan veya üst operatör (upstream/IP transit) aracılığıyla sunan sağlayıcıların kendi veri işleme ve gizlilik şartlarına tabidir; TEDARİKÇİ, bunların faaliyetlerinden MÜŞTERİ'ye karşı sorumlu kalır.

Alt veri işleyen eklenmesi veya değiştirilmesi planlandığında TEDARİKÇİ, değişikliği yürürlüğe girmeden en az otuz (30) gün önce e-posta veya müşteri paneli duyurusu ile MÜŞTERİ'ye bildirir. MÜŞTERİ, bildirimden itibaren on dört (14) gün içinde haklı gerekçeyle itiraz edebilir; itirazın giderilememesi hâlinde MÜŞTERİ, etkilenen hizmete ilişkin Hizmet Sözleşmesi'ni cezai şart ödemeksizin feshedebilir. Güvenlik veya hizmet sürekliliği bakımından acil değişikliklerde bildirim, değişiklikle eş zamanlı olarak yapılır.

9.4. Resmî Makam Talepleri

TEDARİKÇİ, MÜŞTERİ adına işlenen kişisel verilerin açıklanmasına yönelik yalnızca hukuken bağlayıcı talepleri (mahkeme kararları ile 5651 sayılı Kanun ve ilgili mevzuat kapsamındaki yetkili makam talepleri) karşılar; bağlayıcılığı bulunmayan talepleri reddeder. Hukuken yasaklanmadıkça (ör. soruşturmanın gizliliği) talebi MÜŞTERİ'ye bildirir. Yapılan her açıklama; açıklanan veri, talep eden makam, tarih ve hukuki dayanak bilgisiyle kayıt altına alınır.

9.5. Bilgi Sağlama ve Denetim

TEDARİKÇİ, MÜŞTERİ'nin KVKK kapsamındaki yükümlülüklerine uyduğunu gösterebilmesi için; geçerli yönetim sistemi belgelerini, uygulanan teknik ve idari tedbirlerin özetini ve güncel Ek-1 listesini talep hâlinde sunar.

Paylaşımlı altyapıda diğer müşterilerin veri güvenliğini riske atmamak için MÜŞTERİ tarafından yapılacak yerinde denetim; en az otuz (30) gün önceden yazılı bildirim, denetçinin gizlilik taahhüdü vermesi, mesai saatleri içinde yapılması ve TEDARİKÇİ'nin kontrolündeki alanlarla sınırlı olması kaydıyla ve maliyeti MÜŞTERİ'ye ait olmak üzere gerçekleştirilebilir. Veri merkezi tesisine fiziksel erişim, veri merkezi hizmet sağlayıcısının kurallarına tabidir. Kurul tarafından yürütülen incelemeler bu sınırlamalara tabi değildir.

10. Veri Güvenliği Tedbirleri

TEDARİKÇİ, sorumluluk alanına giren altyapı ve sistemlerde asgari olarak aşağıdaki teknik ve idari tedbirleri uygular:

• Yetkilendirilmiş erişim kontrolü, kimlik doğrulama, rol bazlı yetki yönetimi ve yönetim arayüzlerine güvenli (VPN üzerinden) erişim,
• Ağ güvenliği, güvenlik duvarı ve saldırı tespit/önleme mekanizmaları,
• Üst operatör seviyesinde DDoS koruması ve trafik filtreleme,
• Veri merkezi hizmet sağlayıcısı aracılığıyla yedekli enerji (UPS/jeneratör), iklimlendirme ve fiziksel erişim kontrolü,
• Sistem ve erişim kayıtlarının (log) tutulması ve izlenmesi ile hizmet erişilebilirliğinin sürekli izlenmesi,
• Düzenli güvenlik güncellemeleri ve bilinen açıkların kapatılması,
• Arızalı veya kullanım dışı kalan depolama ortamlarının güvenli imhası,
• Bilgi güvenliği farkındalığı ve gizlilik taahhüdü kapsamındaki personel yönetimi,
• Olay müdahale ve iş sürekliliği planları ile bunların periyodik tatbikatları.

Tedbirlerin kapsamı, MÜŞTERİ'nin aldığı hizmet türüne ve madde 5'teki sorumluluk dağılımına göre uygulanır.

11. Kişisel Verilerin Yurt Dışına Aktarımı

TEDARİKÇİ'nin hizmet altyapısı İstanbul'daki veri merkezinde konumlandırılmıştır. MÜŞTERİ'ye ait veriler ile TEDARİKÇİ tarafından alınan yedekler ve snapshot'lar yurt içinde barındırılır.

Kurumsal e-posta ve paylaşımlı barındırma hizmetlerinde giden e-postalar, teslim edilebilirliğin artırılması ve kötüye kullanımın önlenmesi amacıyla Ek-1'de belirtilen Kanada merkezli e-posta iletim hizmeti sağlayıcısı üzerinden iletilir. Bu iletim sırasında gönderici ve alıcı adresleri, ileti başlıkları ve ileti içeriği yurt dışındaki sunucular üzerinden geçer. TEDARİKÇİ ile söz konusu sağlayıcı arasında gizlilik sözleşmemiz bulunmaktadır.

Ek-1 dışında yurt dışında veri işleyen yeni bir alt yüklenici eklenmesi hâlinde madde 9.3'teki bildirim ve itiraz usulü uygulanır.

12. Veri İhlali ve Zafiyet Bildirimi

12.1. Veri İhlali Bildirimi

TEDARİKÇİ, sorumluluk alanında MÜŞTERİ verilerini etkileyen bir veri ihlalinden haberdar olduğunda, durumu gecikmeksizin ve her hâlükârda farkına varmasından itibaren en geç yirmi dört (24) saat içinde MÜŞTERİ'ye yazılı olarak (e-posta ve/veya KEP) bildirir. Bildirimde, o an itibarıyla bilinen ölçüde; ihlalin niteliği ve zamanı, etkilenen hizmet ve veri kategorileri, yaklaşık ilgili kişi sayısı, olası sonuçları ile alınan ve önerilen tedbirler yer alır. Henüz belirlenemeyen bilgiler tespit edildikçe tamamlanır.

TEDARİKÇİ, ihlalin etkilerini azaltmak için gerekli tedbirleri alır, ihlali kayıt altına alır ve MÜŞTERİ'nin Kurul'a ve ilgili kişilere yapacağı bildirimler için gerekli bilgi ve kayıtları sağlar. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla MÜŞTERİ'ye aittir; Kurul kararı uyarınca bu bildirim, veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç yetmiş iki (72) saat içinde yapılır. MÜŞTERİ'nin kendi kontrolündeki katmanlarda (madde 5.9) meydana gelen ihlaller bu maddenin kapsamı dışındadır; TEDARİKÇİ bu durumda kendi kayıtlarından sağlayabileceği bilgilerle destek olur.

12.2. Bilinen Zafiyet Bildirimi

TEDARİKÇİ'nin bu madde kapsamındaki yükümlülüğü, yalnızca kendi teknik erişim ve yönetim yetkisindeki katmanlarla (ağ altyapısı, sanallaştırma/ana node katmanı, sanal makineler arası izolasyon ile paylaşımlı barındırma ve e-posta sunucularının işletim sistemi ve ortak bileşenleri) sınırlıdır. TEDARİKÇİ; bu katmanlarda kullanılan sistem ve yazılımlara ilişkin olarak üretici veya yetkili güvenlik kuruluşlarınca kamuya duyurulmuş (bilinen) bir güvenlik açığını takip eder ve giderilmesi için makul tedbirleri alır.

TEDARİKÇİ, bu nitelikteki bir açığın MÜŞTERİ'ye tahsis edilen hizmetin izolasyonunu veya ağ erişimini doğrudan etkileyebileceğini değerlendirdiğinde ya da giderme çalışmasının MÜŞTERİ tarafında bir işlem gerektirmesi veya planlı kesintiye yol açması hâlinde, MÜŞTERİ'yi e-posta, müşteri paneli veya genel duyuru yoluyla bilgilendirir. Açığın kamuya açıklanmasının saldırı riskini artıracağı hâllerde bildirim, giderme tedbirinin uygulanmasından sonra yapılabilir.

Bu madde; MÜŞTERİ'nin yönetimindeki misafir işletim sistemi, uygulama, eklenti, güvenlik duvarı ve parola yapılandırmasındaki açıkları kapsamaz. TEDARİKÇİ bu katmana erişemediğinden, sunucu içi zafiyetleri tarama, tespit etme veya bildirme yükümlülüğü bulunmaz; bu katmanın güvenlik takibi ve gerekli güncellemelerin uygulanması münhasıran MÜŞTERİ'nin sorumluluğundadır. TEDARİKÇİ tarafından yapılan bir bildirim, sunucu yönetim hizmeti üstlenildiği veya madde 15 anlamında bir kusur ikrarı yapıldığı şeklinde yorumlanamaz.

13. Sözleşmenin Sona Ermesi ve Verilerin İadesi veya İmhası

Hizmet Sözleşmesi'nin sona ermesi hâlinde MÜŞTERİ, verilerini Genel Hizmet Sözleşmesi'nde belirtilen süreler içinde müşteri paneli veya destek talebi aracılığıyla geri alabilir. Genel Hizmet Sözleşmesi'ne https://www.veridyen.com/kurumsal/genel-hizmet-sozlesmesi adresinden ulaşılabilir. Bu sürelerin bitiminde veya MÜŞTERİ'nin yazılı talimatı hâlinde daha erken, veriler KVKK ve TEDARİKÇİ'nin kişisel veri saklama ve imha politikasına uygun olarak geri döndürülemeyecek şekilde silinir.

Yedeklerde bulunan kopyalar, yedek saklama döngüsünün sonunda üzerine yazılarak veya silinerek imha edilir. Fiziksel ve sanal sunucular, yeni bir müşteriye tahsis edilmeden önce güvenli silme yöntemiyle temizlenir. Mevzuat gereği saklanması zorunlu olan veriler (ör. 5651 sayılı Kanun kapsamında tutulması gereken kayıtlar) yasal saklama süreleri boyunca muhafaza edilir ve bu sürelerin sonunda imha edilir. MÜŞTERİ'nin talebi hâlinde imha işlemi yazılı olarak teyit edilir. Gizlilik yükümlülüğü, Sözleşme'nin sona ermesinden sonra da süresiz olarak devam eder.

14. Taraf Temsilcilerinin Kişisel Verileri ve Aydınlatma

Taraflar, işbu Sözleşme'nin kurulması ve ifası kapsamında birbirlerine iletilen yetkili ve çalışan kişisel verilerini (ad-soyad, unvan, iletişim bilgileri ve imza) kendi adlarına veri sorumlusu sıfatıyla; sözleşmenin kurulması ve ifası, hukuki yükümlülüklerin yerine getirilmesi ve meşru menfaat hukuki sebeplerine (KVKK m.5/2-c, ç ve f) dayanarak işler. Bu işleme için açık rıza aranmaz.

TEDARİKÇİ'nin aydınlatma metni https://www.veridyen.com/kurumsal/aydinlatma-metni adresinde yer alır. Her Taraf, verisini paylaştığı kendi çalışanlarını bu hususta aydınlatmakla yükümlüdür. Bu veriler yalnızca Taraflar arasındaki ticari ilişki için kullanılır.

15. Sorumluluk ve Tazmin

Her Taraf, yalnızca kendi kontrolündeki kontrol katmanlarından (bkz. madde 5) kaynaklanan ihlallerden sorumlu tutulabilir. TEDARİKÇİ, Ek-1'deki alt yüklenicilerin kendi kontrolü altındaki katmanlarda gerçekleşen fiillerinden MÜŞTERİ'ye karşı sorumlu kalır.

Hiçbir Taraf, kusuru bulunmayan hâller ile madde 5.10 kapsamındaki mücbir sebeplerden doğan zarar, gecikme veya kesintilerden sorumlu değildir. Tarafların sorumluluğu, her hâlükârda öngörülebilir doğrudan zararlarla sınırlı olup; dolaylı zararlar, kâr kaybı ve veri/iş kaybından kaynaklanan dolaylı talepler bu kapsam dışındadır.

16. Geçerlilik

İşbu Sözleşme maddelerinden herhangi birinin geçersiz, iptal edilebilir veya uygulanamaz sayılması, diğer maddelerin geçerliliğini etkilemez. Geçersiz sayılan hüküm, tarafların ortak amacına en yakın geçerli hükümle ikame edilir.

17. İhtarlar ve Tebligat

Taraflar arasındaki bildirimlerin yazılı olması esastır. Yazılı olarak aksi bildirilmedikçe, madde 2'de yazılı adresler ile KEP adresleri tarafların kanuni tebligat adresleri olarak kabul edilir; bu adreslere yapılan bildirimler geçerli tebligatın tüm hukuki sonuçlarını doğurur. Madde 9.3, 11 ve 12 kapsamındaki operasyonel bildirimler ayrıca MÜŞTERİ'nin müşteri panelinde kayıtlı e-posta adresine yapılabilir.

18. Uygulanacak Hukuk ve Yetkili Mahkeme

İşbu Sözleşme'nin yorumunda ve Sözleşme'den doğacak her türlü uyuşmazlıkta Türkiye Cumhuriyeti hukuku uygulanır ve İzmir Mahkemeleri ile İcra Daireleri yetkilidir.

19. Yürürlük

İşbu Sözleşme ve ayrılmaz parçası olan Ek-1, Kullanıcı tarafından kayıt formunun doldurulması ve elektronik ortamda onaylanması (ilgili kutucuğun işaretlenmesi veya "Kayıt Ol" butonuna tıklanması) anında yürürlüğe girer ve taraflar için bağlayıcıdır. Sözleşme'nin elektronik ortamda onaylanması, 6098 sayılı Türk Borçlar Kanunu ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında taraflar arasında bağlayıcı bir irade beyanı teşkil eder.

Ek-1: Alt Yükleniciler ve Altyapı Hizmet Sağlayıcıları

Bu liste madde 9.3 uyarınca güncel tutulur. Değişiklikler, aynı maddede belirtilen bildirim ve itiraz usulüne tabidir.

Kontrol paneli, web sunucusu ve işletim sistemi lisans sağlayıcıları (cPanel, Plesk, DirectAdmin, LiteSpeed, Microsoft vb.) esas olarak yazılım/lisans sağlayıcısıdır. Müşteri dosya ve verilerinin bu sağlayıcılara aktarılması hizmetin standart çalışma prensibinin bir parçası değildir. Lisans doğrulama, güncelleme veya güvenlik fonksiyonları kapsamında sınırlı teknik metadata iletişimi gerçekleşebilir.