Veri İşleme Sözleşmesi

1. Tarafların sıfatı

Ofis'in Hizmet'e girdiği müvekkil, karşı taraf, tanık, bilirkişi, çalışan ve diğer kişilere ait veriler bakımından Ofis veri sorumlusu, Usta Yazılım veri işleyendir. Verilerin hangi amaçla ve hangi hukuki sebebe dayanarak işleneceğine Ofis karar verir.

Usta Yazılım'ın kendi müşterisi olan Kullanıcılar'ın hesap, iletişim, fatura ve güvenlik verileri bakımından ise Usta Yazılım veri sorumlusudur; bu veriler KVKK Aydınlatma Metni'ne tabidir.

2. İşlenen veriler ve kişi grupları

• Kişi grupları: müvekkiller ve potansiyel müvekkiller, karşı taraflar ve vekilleri, tanıklar, bilirkişiler, mahkeme ve kurum yetkilileri, marka ve patent başvuru sahipleri, Ofis çalışanları.
• Veri türleri: kimlik, iletişim, adres, T.C. kimlik / vergi numarası, dosya ve dava bilgileri, belgeler, notlar, görüşme ve randevu kayıtları, finans ve cari kayıtları, vekaletname bilgileri, gönderilen ileti kayıtları.
• Özel nitelikli veriler: dosyanın niteliğine göre sağlık bilgileri, ceza mahkûmiyeti ve güvenlik tedbirleri, dernek / sendika üyeliği gibi KVKK md. 6 kapsamındaki veriler belgeler ve notlar içinde yer alabilir.

Ofis, bu verileri hukuka uygun olarak elde ettiğini, ilgili kişileri aydınlattığını ve gerekli hallerde açık rıza ya da başka bir işleme şartına dayandığını kabul eder.

3. Usta Yazılım'ın yükümlülükleri

• Verileri yalnızca Hizmet'i sunmak amacıyla ve Ofis'in Hizmet'i kullanma biçimiyle verdiği talimatlar doğrultusunda işlemek; başka bir amaçla kullanmamak, satmamak, yapay zekâ eğitimi dahil kendi amaçları için işlememek.
• Bir talimatın mevzuata aykırı olduğunu düşünürse Ofis'i bilgilendirmek.
• Verilere erişebilen çalışan ve yüklenicilerini yazılı gizlilik taahhüdü altına almak; erişimi işin gerektirdiği kişilerle ve kapsamla sınırlamak.
• KVKK md. 12/1 uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için aşağıdaki teknik ve idari tedbirleri almak.
• İlgili kişilerden doğrudan gelen başvuruları gecikmeksizin Ofis'e iletmek ve Ofis'in başvuruları yanıtlamasına makul ölçüde destek olmak.
• Yetkili bir kamu kurumundan verilere ilişkin talep gelirse, yasal olarak yasaklanmadıkça Ofis'i bilgilendirmek ve yalnızca hukuken zorunlu olan kapsamda paylaşmak.

4. Güvenlik tedbirleri

• Bütün bağlantılar şifrelidir (HTTPS / TLS).
• Yüklenen belgeler diskte AES-256-GCM ile, her Ofis için ayrı türetilen anahtarla şifreli saklanır.
• Şifreler geri döndürülemez biçimde (scrypt ile tuzlanmış özet) saklanır; şifre değişince diğer cihazlardaki oturumlar kapanır; hatalı girişler IP ve hesap başına sınırlanır.
• Her Ofis'in verisi diğer Ofis'lerden mantıksal olarak ayrıdır; bu ayrım her sürümde otomatik güvenlik testleriyle denetlenir.
• Ofis içinde rol ve yetki bazlı erişim, gizli dosya ve finans görünürlüğü ayarları bulunur; önemli işlemler denetim kaydına yazılır.
• Veriler her gece yedeklenir; yedekler Usta Yazılım'ın elindeki anahtarla şifrelendikten sonra saklama sağlayıcısına gönderilir.
• Sunucuya yalnızca anahtarla, yetkili kişilerce erişilir; yalnızca gerekli ağ portları açıktır.
• Yayından önce ve esaslı değişikliklerden sonra güvenlik denetimi yapılır.

5. Alt veri işleyenler

Usta Yazılım, Hizmet'in sunulması için aşağıdaki hizmet sağlayıcılarından yararlanır. Yeni bir alt veri işleyen eklenmesi bu sayfada en az 15 gün önceden duyurulur; Ofis haklı bir gerekçeyle itiraz ederse sözleşmeyi sona erdirip kalan süreye ait bedelin iadesini isteyebilir.

• Sunucu barındırma: Hizmet'in çalıştığı sanal sunucu sağlayıcısı (veriler bu sunucuda işlenir ve saklanır).
• Yedekleme: Google LLC (Google Workspace / Drive). Yedekler gönderilmeden önce şifrelenir; sağlayıcı içeriği okuyamaz. Sağlayıcının sunucuları yurt dışında bulunabileceğinden bu aktarım KVKK md. 9'a uygun olarak yapılır.
• SMS gönderimi: Usta Group'un iletişim servisi aracılığıyla Verimor Telekomünikasyon A.Ş. (yalnızca alıcı telefon numarası ve ileti metni).
• E-posta gönderimi: Usta Yazılım'ın e-posta hizmeti sağlayıcısı (yalnızca alıcı adresi ve ileti içeriği).
• Tarayıcı bildirimleri (isteğe bağlı): bildirime izin veren kullanıcının tarayıcı üreticisinin anlık bildirim servisi. Bildirim içeriği uçtan uca şifreli iletilir.

Ofis'in talimatıyla yapılan aktarımlar alt veri işleme sayılmaz: Ofis'in yetkili kullanıcısı Google Drive aynalamasını açarsa, Ofis'in kişisel alanlar dışındaki belgeleri Ofis'in kendi bağladığı Google hesabına şifresiz olarak kopyalanır. Bu hesaptaki veriden, paylaşımından ve Google ile ilişkiden Ofis sorumludur; aktarım bağlantı kesilene kadar sürer, kesilince Drive'daki kopyalar Ofis'te kalır. Aktarımın müvekkillere karşı hukuki dayanağını (yurt dışı aktarım dahil) sağlamak Ofis'e aittir.

Aynı şekilde Ofis'in yetkili kullanıcısı e-SMM ya da e-Fatura / e-Arşiv için büronun özel entegratör hesabını bağlarsa, Kullanıcı'nın kestiği her belgenin bilgileri (alıcının adı ve T.C. kimlik / vergi numarası, faturada adresi, vergi dairesi ve e-postası, tutarlar, hizmet açıklamaları) Ofis'in seçtiği ve sözleşme yaptığı entegratöre gönderilir; yurt dışındaki alıcıya kesilen faturada bu bilgiler yabancı alıcıya da aittir. Entegratör, vergi mevzuatı gereği belgeyi düzenleme, alıcıya iletme ve saklama yükümlülüğünü Ofis adına yerine getirir; Ofis ile entegratör arasındaki ilişkiden Ofis sorumludur. Usta Yazılım entegratör hesabının şifresini şifreli saklar ve yalnızca belge işlemlerinde kullanır.

6. Veri ihlali

Usta Yazılım, Ofis verilerini etkileyen bir güvenlik ihlalini öğrendiğinde gecikmeksizin ve en geç 24 saat içinde Ofis'in Yönetici'sine bildirir; bildirimde bilinen kadarıyla ihlalin niteliğini, etkilenen veri ve kişi gruplarını, alınan ve önerilen tedbirleri belirtir.

KVKK md. 12/5 uyarınca Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Ofis'e aittir; Usta Yazılım bu bildirim için gereken bilgi ve belgeyi sağlar.

7. Sürenin sona ermesi

Ofis verilerini Hizmet'teki dışa aktarma aracıyla dilediği zaman alabilir. Usta Yazılım, Ofis'in verilerini yalnızca Ofis'in talimatıyla üçüncü bir kişiye teslim eder; bu talimat Kullanım Koşulları md. 11'deki ıslak imzalı talep formuyla verilir ve Ofis yetkilileri arasında uyuşmazlık varsa bütün ortakların birlikte imzaladığı talimat ya da mahkeme kararı aranır.

Sözleşme sona erdiğinde ya da Ofis talep ettiğinde Usta Yazılım, Ofis'e verilerini dışa aktarması için imkân tanır; ardından verileri canlı sistemden siler, şifreli yedeklerden en geç 30 gün içinde kaldırır ve talep halinde silmeyi yazılı olarak teyit eder. Kanunen saklanması zorunlu kayıtlar bu süre boyunca saklanır.

8. Bilgi verme ve denetim

Ofis, bu sözleşmeye uyumun gösterilmesi için Usta Yazılım'dan alınan tedbirler hakkında yazılı bilgi isteyebilir. Usta Yazılım bu talepleri, diğer müşterilerin güvenliğini ve gizliliğini tehlikeye atmayacak ölçüde makul süre içinde yanıtlar.

9. İletişim

Kişisel verilere ilişkin talepler: info@ustagroup.com.tr · Usta Group Dış Ticaret ve Danışmanlık Limited Şirketi · İhsaniye Mah. 4903 Sok. No:20/19 Akdeniz/Mersin · 0850 335 0 310 · info@ustagroup.com.tr