ofisUP
OfisUP KVKK Uyum Metinleri
Platform kullanıcıları, ziyaretçiler, abone ofisler ve ilgili kişiler için uygulama paketi
Sürüm 1.0 | 24 Eylül 2026
Bu paket, OfisUP’ın kullanıcı hesabı ve platform işletimi bakımından veri sorumlusu; abone mali müşavirlik ofislerinin platforma aktardığı mükellef, çalışan ve diğer üçüncü kişi verileri bakımından ise veri işleyen olacağı esas alınarak hazırlanmıştır. Her veri işleme faaliyeti için fiilî uygulama ve sözleşmedeki rol ayrıca kontrol edilmelidir.
Metinler yayımlanmadan önce şirket kimliği, iletişim kanalları, kullanılan tedarikçiler, çerez envanteri, saklama süreleri ve teknik güvenlik tedbirleri gerçek uygulamayla eşleştirilmelidir. Belge, hukuki görüşün ve ürün güvenliği incelemesinin yerine geçmez; yayından önce kişisel veri koruma hukuku alanında çalışan bir hukukçu tarafından son kontrol yapılması önerilir.
Paket İçeriği
Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni
Açık Rıza ve İletişim Tercihleri Metni
Çerez Aydınlatma Metni ve Çerez Politikası
İlgili Kişi Başvuru Formu
Kişisel Veri İşleme ve Gizlilik Ek Protokolü
Yayın ve Uygulama Kontrol Listesi
Temel Rol Ayrımı
OfisUP, üyelik, faturalama, ürün güvenliği, destek ve kendi hukuki yükümlülükleri için hangi verilerin neden ve ne kadar süreyle işleneceğini belirlediği ölçüde veri sorumlusudur.
Abone ofisin mükellefleri, müşterileri, çalışanları ve diğer üçüncü kişilere ait veriler; abone ofisin belirlediği amaç ve talimatlar kapsamında işlendiğinde abone ofis veri sorumlusu, OfisUP ise veri işleyendir. Abone ofis bu kişiler için aydınlatma, hukuki sebep, veri minimizasyonu ve saklama süresi yükümlülüklerini yerine getirir. OfisUP, abone içeriğini kendi bağımsız amaçları için kullanamaz.
Kullanıma Almadan Önce Tamamlanacak Bilgiler
Köşeli parantez içindeki alanlar yayımdan önce doldurulmalı veya uygun değilse çıkarılmalıdır. Aşağıdaki kararlar, metin ile ürünün aynı şeyi söylemesini sağlar.
Belge Kullanım Haritası
Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında
1 Veri Sorumlusu
Kişisel verileriniz, veri sorumlusu sıfatıyla [ŞİRKETİN TAM TİCARET UNVANI] tarafından işlenmektedir.
2 Metnin Kapsamı ve OfisUP’ın Rolü
Bu metin; OfisUP web sitesini ziyaret edenleri, hesap oluşturan mali müşavirleri ve şirket temsilcilerini, ofis yöneticilerini, muhasebe personelini, çalışan kullanıcıları, müşteri portalı kullanıcılarını, deneme hesabı sahiplerini, destek talebi oluşturanları ve hizmetle ilgili iletişim kuran kişileri kapsar.
OfisUP, bu kişilerin hesap, abonelik, faturalama, destek, işlem güvenliği ve hukuki uyum verileri bakımından veri sorumlusudur. Abone ofisin hizmete yüklediği veya entegrasyonlar aracılığıyla aktardığı mükellef, çalışan ve diğer üçüncü kişi verileri bakımından OfisUP kural olarak veri işleyen sıfatıyla, yalnızca abone ofisin belgelenmiş talimatları kapsamında hareket eder. Bu ikinci gruba ilişkin aydınlatma yükümlülüğü ilgili abone ofise aittir.
3 İşlenen Kişisel Veri Kategorileri
GİB, SGK ve benzeri sistemlere erişim için kullanılan kullanıcı adı, parola, tek kullanımlık doğrulama bilgisi, erişim anahtarı ve oturum belirteçleri yüksek riskli kimlik doğrulama verileridir. Bu veriler yalnızca kullanıcının talep ettiği entegrasyonun kurulması ve sürdürülmesi için, erişim yetkileri sınırlandırılarak işlenir. Ürün, teknik olarak gerekmedikçe bu bilgileri açık biçimde görüntülemez veya dışa aktarmaz.
4 İşleme Amaçları ve Hukuki Sebepler
Kişisel veriler, 6698 sayılı Kanun’un 5 ve gerektiğinde 6 ncı maddelerinde yer alan işleme şartlarına dayanılarak aşağıdaki amaçlarla işlenir. Aynı veri birden fazla amaç için işlendiğinde her amaç bakımından uygun hukuki sebep ayrıca değerlendirilir.
Özel nitelikli kişisel veriler, Kanun’un 6 ncı maddesindeki uygun işleme şartı bulunmadıkça işlenmez. Abone içeriğinde bulunan özel nitelikli veriler bakımından uygun işleme şartını belirleme ve ilgili kişiyi aydınlatma yükümlülüğü abone ofise aittir. OfisUP bu verileri yalnızca sözleşme, veri işleme protokolü ve belgelenmiş talimatlar kapsamında işler; ek erişim ve güvenlik tedbirleri uygular.
5 Kişisel Verilerin Toplanma Yöntemi
Veriler; web sitesi ve uygulamadaki formlar, üyelik ve hesap ekranları, sözleşmeler, ödeme ve fatura süreçleri, e posta, telefon, destek kanalları, çerezler ve benzeri teknolojiler, cihaz ve sunucu logları, dosya yüklemeleri ve kullanıcı tarafından yetkilendirilen entegrasyonlar aracılığıyla elektronik veya fiziki ortamda toplanır. Kullanıcının açık talebi ve yetkisi üzerine GİB, SGK veya diğer yetkili sistemlerden hizmetin gerektirdiği kayıtlar alınabilir.
6 Kişisel Verilerin Aktarılması
Kişisel veriler, amaçla bağlantılı ve ölçülü olmak kaydıyla aşağıdaki alıcı gruplarına aktarılabilir:
Barındırma, yedekleme, e posta, SMS, ödeme, destek, siber güvenlik ve teknik bakım hizmeti sunan Türkiye’de yerleşik tedarikçiler
Kullanıcının bağlı olduğu abone ofisin yetkili yöneticileri ve rol bazlı erişim yetkisi verilen ekip üyeleri
Hukuken yetkili kamu kurumları, düzenleyici makamlar, mahkemeler ve icra mercileri
Gizlilik yükümlülüğü altında çalışan avukat, mali müşavir, denetçi ve danışmanlar
Şirket birleşmesi, devri veya yeniden yapılanması hâlinde gerekli gizlilik ve güvenlik tedbirleri altında işlem tarafları
Aktarım; kanunlarda açıkça öngörülme, hukuki yükümlülük, sözleşmenin ifası, bir hakkın tesisi, kullanılması veya korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat sebeplerinden uygun olana dayanır. Açık rıza gereken bir aktarım, rıza verilmeden yapılmaz.
OfisUP’ın bu sürümünde kişisel verilerin Türkiye dışına aktarılması öngörülmemektedir. Sunucu konumu, destek erişimi, e posta, hata izleme, analitik, içerik dağıtım ağı veya benzeri bir hizmet nedeniyle yurt dışına aktarım oluşacaksa bu metin kullanımdan önce güncellenir ve Kanun’un 9 uncu maddesindeki aktarım şartlarından uygun olanı sağlanır.
7 Saklama ve İmha
Kişisel veriler, ilgili işleme amacının gerektirdiği süre ve uygulanabilir mevzuattaki zamanaşımı veya saklama süreleri boyunca tutulur. Süre belirlenirken sözleşme ilişkisi, hukuki yükümlülükler, talep ve uyuşmazlık süreleri, bilgi güvenliği ihtiyacı ve veri minimizasyonu ilkesi dikkate alınır. Süre sona erdiğinde veriler periyodik imha sürecinde silinir, yok edilir veya anonim hâle getirilir.
8 Veri Güvenliği
Şirket, işlenen verinin niteliği ve riskine uygun teknik ve idari tedbirleri uygular. Bu tedbirler; yetki matrisi ve en az ayrıcalık ilkesi, güçlü kimlik doğrulama, ayrıcalıklı erişimlerin korunması, aktarım ve saklama güvenliği, denetim kayıtları, yedekleme, güvenlik güncellemeleri, zafiyet yönetimi, personel gizlilik yükümlülükleri, tedarikçi kontrolleri, olay müdahale planı ve güvenli silme süreçlerini kapsar.
9 İlgili Kişinin Hakları
Kanun’un 11 inci maddesi uyarınca Şirkete başvurarak:
Kişisel verilerinizin işlenip işlenmediğini öğrenme
İşlenmişse buna ilişkin bilgi talep etme
İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
Kanun’un 7 nci maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
Münhasıran otomatik sistemler aracılığıyla analiz sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme
Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme
10 Başvuru Yöntemi
Talebinizi, kimliğinizi ve talebinizi doğrulamaya yeterli bilgilerle birlikte aşağıdaki kanallardan iletebilirsiniz. Kimliğinizi doğrulamak için yalnızca gerekli bilgiler istenir; kimlik belgesinin gereksiz alanlarını kapatabilirsiniz.
Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret uygulanabilir.
11 Değişiklikler
Bu metin, veri işleme faaliyetlerinde veya mevzuatta değişiklik olması hâlinde güncellenebilir. Güncel sürüm [ALAN ADI] üzerinden yayımlanır. Esaslı değişiklikler, uygun bir iletişim kanalıyla kullanıcılara ayrıca duyurulur.
Açık Rıza ve İletişim Tercihleri Metni
İsteğe bağlı veri işleme faaliyetleri için ayrı tercih seçenekleri
1 Kullanım İlkesi
OfisUP’ın hesap açma, hizmet sunma, güvenliği sağlama, faturalama ve hukuki yükümlülüklerini yerine getirme amacıyla Kanun’un 5 veya 6 ncı maddesindeki diğer işleme şartlarına dayanarak yaptığı işlemler açık rızaya bağlanmaz. Aşağıdaki tercihler yalnızca isteğe bağlı faaliyetler içindir. Bir tercihi reddetmeniz temel OfisUP hizmetlerinden yararlanmanızı engellemez.
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan olumlu bir beyandır. Her seçeneği ayrı ayrı kabul veya reddedebilir, verdiğiniz rızayı hesap ayarlarından veya [KVKK E POSTA ADRESİ] üzerinden her zaman ileriye etkili olarak geri alabilirsiniz.
2 Aydınlatma Metninin Okunduğuna İlişkin Kayıt
[ ] Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni’ni okudum ve kişisel verilerimin hangi amaçlarla işlendiği konusunda bilgilendirildim.
Bu işaretleme bir açık rıza beyanı değildir. Aydınlatma metninin kullanıcıya sunulduğunu ve erişilebilir olduğunu kaydetmek amacıyla kullanılır.
3 Zorunlu Olmayan Analitik Çerezler
[ ] KABUL EDİYORUM [ ] REDDEDİYORUM
OfisUP web sitesi ve uygulamasındaki kullanım hareketlerimin, cihaz ve tarayıcı bilgilerimin ve sayfa etkileşimlerimin; kullanım eğilimlerini ölçmek, performans sorunlarını belirlemek ve ürünü geliştirmek amacıyla zorunlu olmayan analitik çerezler veya benzeri teknolojiler aracılığıyla işlenmesine rıza veriyorum. Sağlayıcılar, çerez adları ve süreleri Çerez Politikası’nda açıklanır.
4 Elektronik Ticari İleti Tercihi
[ ] KABUL EDİYORUM [ ] REDDEDİYORUM
OfisUP ürünleri, kampanyaları, eğitimleri ve duyuruları hakkında e posta, SMS veya arama yoluyla ticari elektronik ileti gönderilmesini kabul ediyorum. Bu tercih, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili mevzuat kapsamında ayrıca kaydedilir ve gerekiyorsa İleti Yönetim Sistemi’ne aktarılır. Her iletideki ret yöntemiyle veya hesap ayarlarından tercihim değiştirilebilir.
5 İsteğe Bağlı Kullanıcı Araştırması
[ ] KABUL EDİYORUM [ ] REDDEDİYORUM
Ürün deneyimini geliştirmek amacıyla görüşme, anket veya kullanılabilirlik çalışmasına davet edilmek; bu çalışmada gönüllü olarak paylaştığım görüş, ekran görüntüsü ve varsa ses veya görüntü kaydının çalışma amacıyla işlenmesi için benimle iletişim kurulmasına rıza veriyorum. Kayıt alınacaksa kapsamı ve saklama süresi çalışma öncesinde ayrıca açıklanır.
6 Rıza Kaydı
7 Uygulama Notu
Seçenekler önceden işaretlenmemeli; kabul ve ret seçenekleri aynı görünürlükte sunulmalıdır. Zorunlu olmayan çerezler, kullanıcı kabul etmeden çalıştırılmamalıdır. Genel nitelikte her türlü kişisel verimin işlenmesine rıza veriyorum gibi belirsiz ifadeler kullanılmamalıdır.
Çerez Aydınlatma Metni ve Çerez Politikası
Web sitesi ve uygulamadaki çerezler ile benzeri teknolojiler için
1 Veri Sorumlusu
Bu politika, veri sorumlusu [ŞİRKETİN TAM TİCARET UNVANI] tarafından işletilen [ALAN ADI] ve OfisUP uygulamasında kullanılan çerezler ile benzeri teknolojileri açıklar.
2 Çerez Nedir
Çerezler, bir web sitesi veya uygulama ziyaret edildiğinde cihazınıza kaydedilen küçük metin dosyalarıdır. Yerel depolama, oturum belirteçleri, piksel ve benzeri teknolojiler de aynı veya benzer amaçlarla kullanılabilir. Bu politikada çerez ifadesi, aksi belirtilmedikçe bu teknolojileri de kapsar.
3 Çerez Türleri ve Hukuki Sebepler
4 Çerez Envanteri
Aşağıdaki tablo, teknik tarama ve tedarikçi sözleşmeleriyle doğrulanarak gerçek çerez adlarıyla doldurulmalıdır. Envanterde bulunmayan zorunlu olmayan bir çerez çalıştırılmamalıdır.
5 Çerez Tercihlerinin Yönetimi
İlk ziyarette çerez yönetim paneli gösterilir. Kullanıcıya Kabul Et, Reddet ve Tercihler seçenekleri eşit görünürlükte sunulur. Kesinlikle gerekli olmayan çerezler, kullanıcı olumlu bir seçim yapmadan yerleştirilmez. Kullanıcı, sayfanın altındaki Çerez Tercihleri bağlantısından seçimini her zaman değiştirebilir.
Tarayıcı ayarlarından çerezlerin silinmesi veya engellenmesi mümkündür. Kesinlikle gerekli çerezlerin engellenmesi, oturum açma ve güvenlik gibi temel işlevlerin çalışmamasına yol açabilir.
6 Kısa Çerez Bandı Metni
OfisUP, oturum açma ve güvenlik için kesinlikle gerekli çerezleri kullanır. Onay verirseniz kullanım istatistiklerini ölçmek ve ürünü geliştirmek için analitik çerezler de kullanırız. Tercihinizi dilediğiniz zaman değiştirebilirsiniz.
[ KABUL ET ] [ REDDET ] [ TERCİHLER ]
7 Haklar ve Başvuru
Çerezler aracılığıyla işlenen kişisel verileriniz hakkında Kanun’un 11 inci maddesindeki haklarınızı kullanmak için Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni’nde açıklanan yöntemlerle Şirkete başvurabilirsiniz.
İlgili Kişi Başvuru Formu
6698 sayılı Kanun’un 11 ve 13 üncü maddeleri kapsamında
1 Başvuru Sahibinin Bilgileri
2 Talep Konusu
[ ] Kişisel verilerimin işlenip işlenmediğini öğrenmek istiyorum
[ ] İşlenen kişisel verilerim hakkında bilgi istiyorum
[ ] İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek istiyorum
[ ] Verilerimin aktarıldığı üçüncü kişileri öğrenmek istiyorum
[ ] Eksik veya yanlış verilerimin düzeltilmesini istiyorum
[ ] İşlenme şartları ortadan kalkan verilerimin silinmesini veya yok edilmesini istiyorum
[ ] Düzeltme, silme veya yok etme işleminin verilerin aktarıldığı üçüncü kişilere bildirilmesini istiyorum
[ ] Münhasıran otomatik sistemlerle yapılan analiz sonucuna itiraz ediyorum
[ ] Kanuna aykırı işleme nedeniyle oluşan zararımın giderilmesini talep ediyorum
[ ] Diğer
3 Talebin Ayrıntısı
Talebinizin hangi veri, işlem, tarih veya hesapla ilgili olduğunu ve istediğiniz sonucu açıkça yazınız. Varsa destekleyici belgeleri ekleyiniz.
................................................................................................................................................................
................................................................................................................................................................
4 Cevabın Bildirilme Yöntemi
[ ] Adresime gönderilmesini istiyorum
[ ] E posta adresime gönderilmesini istiyorum
[ ] Elden teslim almak istiyorum
[ ] KEP adresime gönderilmesini istiyorum KEP adresi ........................................................
5 Beyan
Bu formda verdiğim bilgilerin doğru olduğunu, başvurumun kimlik ve yetki doğrulaması amacıyla gerekli ölçüde işlenebileceğini kabul ederim. Başkasına ait bir talepte bulunuyorsam temsil yetkimi gösteren geçerli belgeyi ekledim.
6 Başvuru Kanalları
Başvuru formunun kullanılması zorunlu değildir. Başvuruda ad soyad, imza gerekiyorsa imza, T.C. kimlik numarası veya yabancılar için pasaport ya da kimlik numarası, tebligata esas adres, varsa e posta ve telefon ile talep konusu bulunmalıdır. Başvurular en geç otuz gün içinde cevaplanır.
Kişisel Veri İşleme ve Gizlilik Ek Protokolü
OfisUP ile abone mali müşavirlik ofisi arasındaki veri işleme şartları
1 Taraflar ve Sözleşmeyle İlişkisi
Bu Kişisel Veri İşleme ve Gizlilik Ek Protokolü, bir tarafta [ŞİRKETİN TAM TİCARET UNVANI] bundan sonra Hizmet Sağlayıcı veya OfisUP olarak anılacaktır ile diğer tarafta [ABONE OFİSİN TAM UNVANI] bundan sonra Abone veya Veri Sorumlusu olarak anılacaktır arasında akdedilen [ANA SÖZLEŞMENİN ADI VE TARİHİ] tarihli sözleşmenin ayrılmaz ekidir.
Protokol ile ana sözleşme arasında kişisel verilerin korunmasına ilişkin bir çelişki bulunması hâlinde bu Protokol uygulanır. Emredici mevzuat hükümleri saklıdır.
2 Tanımlar
3 Roller ve Talimatın Kapsamı
Abone; mükellefleri, müşterileri, çalışanları, tedarikçileri ve diğer ilgili kişilere ait Abone İçeriği bakımından veri sorumlusudur. Verilerin işlenme amacı, hukuki sebebi, ilgili kişi grupları, veri kategorileri, saklama süresi ve aktarım kararları Abone tarafından belirlenir.
OfisUP, Abone İçeriğini yalnızca ana sözleşme, bu Protokol, Ek 1 ve Abonenin hukuka uygun belgelenmiş talimatları doğrultusunda işler. Kanunun veya başka bir emredici düzenlemenin farklı bir işlem yapmayı zorunlu kıldığı hâllerde OfisUP, hukuken yasak olmadıkça işlemden önce Aboneyi bilgilendirir.
OfisUP; üyelik, kendi faturalaması, platform güvenliği, kötüye kullanımın önlenmesi ve kendi hukuki yükümlülükleri için amaç ve vasıtaları bağımsız belirlediği kişisel veri işleme faaliyetlerinde ayrı veri sorumlusudur. Bu faaliyetler platform aydınlatma metninde açıklanır.
4 Abonenin Yükümlülükleri
Her veri işleme faaliyeti için geçerli bir hukuki sebep belirlemek ve ilgili kişilere zamanında aydınlatma yapmak
Yalnızca hizmet için gerekli, doğru, güncel ve ölçülü verileri sisteme aktarmak
Özel nitelikli kişisel veriler için Kanun’un 6 ncı maddesindeki şartları ve Kurulca belirlenen ek önlemleri sağlamak
Kullanıcı hesaplarını kişiye özgü açmak; yetkileri görevle sınırlamak; işten ayrılma ve görev değişikliklerinde yetkileri gecikmeden kapatmak
GİB, SGK ve diğer kurum sistemlerine erişim yetkilerinin ve kullanılan kimlik bilgilerinin hukuka uygunluğunu sağlamak
İlgili kişi taleplerine ve mevzuat kapsamındaki bildirimlere ilişkin nihai kararı vermek
OfisUP’a hukuka aykırı, aşırı veya hizmet kapsamıyla ilgisiz bir talimat vermemek
5 OfisUP’ın Yükümlülükleri
Abone İçeriğini yalnızca belgelenmiş talimat ve hizmet amacıyla işlemek
Verilere erişen personeli görevle sınırlamak ve gizlilik yükümlülüğü altına almak
Riskle orantılı teknik ve idari güvenlik tedbirlerini uygulamak ve sürekliliğini izlemek
Talimatın Kanuna aykırı olduğu kanaatine varırsa Aboneyi gecikmeden bilgilendirmek ve hukuka aykırılığı giderecek ölçüde işlemi askıya almak
İlgili kişi taleplerinin cevaplanmasında ve veri güvenliği yükümlülüklerinde Aboneye makul ölçüde destek olmak
Sözleşme sona erdiğinde Abone İçeriğini bu Protokole uygun olarak iade etmek veya güvenli biçimde silmek
Abone İçeriğini reklam, profil çıkarma, üçüncü kişilere veri satışı veya bağımsız ürün geliştirme amacıyla kullanmamak
6 Gizlilik
OfisUP, Abone İçeriğine erişebilen çalışan ve yüklenicilerin yalnızca görevleri için gerekli verilere erişmesini sağlar. Bu kişiler işe başlamadan önce gizlilik yükümlülüğü altına alınır ve düzenli veri güvenliği eğitimi alır. Gizlilik yükümlülüğü sözleşme veya görev sona erdikten sonra da devam eder.
7 Güvenlik Tedbirleri
OfisUP, Ek 2’deki asgari tedbirleri uygular ve teknolojik gelişmeler, uygulama maliyeti, işlemenin niteliği, kapsamı ve ilgili kişiler bakımından doğabilecek riskleri dikkate alarak günceller. Tedbirler, verilerin gizliliğini, bütünlüğünü, erişilebilirliğini ve dayanıklılığını sağlamayı amaçlar.
8 Alt Veri İşleyenler
Abone, Ek 3’te listelenen alt veri işleyenlerin kullanılmasına genel olarak izin verir. OfisUP yeni bir alt veri işleyen eklemeden veya mevcut sağlayıcıyı değiştirmeden en az on beş gün önce Aboneyi bildirir. Abone, somut veri koruma gerekçeleriyle bu süre içinde itiraz edebilir. Taraflar makul bir çözüm bulamazsa Abone, değişiklikten etkilenen hizmeti cezai şart olmadan sona erdirebilir.
OfisUP, alt veri işleyenle en az bu Protokoldeki koruma düzeyini sağlayan yazılı bir sözleşme yapar. Alt veri işleyenin yükümlülüklerinden OfisUP, Aboneye karşı sorumlu olmaya devam eder.
9 Yurt Dışına Aktarım
Abone İçeriği Türkiye’de barındırılır ve Abonenin önceden yazılı onayı ile Kanun’un 9 uncu maddesindeki aktarım şartlarından biri sağlanmadıkça yurt dışına aktarılmaz veya yurt dışından erişime açılmaz. Destek erişimi, yedekleme, e posta, hata izleme, içerik dağıtım ağı ve uzaktan yönetim dâhil fiilen yurt dışı erişim doğurabilecek bütün hizmetler bu hüküm kapsamında değerlendirilir.
10 Veri İhlali Yönetimi
OfisUP, Abone İçeriğini etkileyen doğrulanmış veya makul şüphe bulunan bir veri ihlalini öğrendiğinde Aboneyi gecikmeksizin ve her hâlükârda yirmi dört saat içinde bilgilendirir. İlk bildirimde bütün bilgiler mevcut değilse bilgiler gecikmeye yer verilmeksizin aşamalı olarak tamamlanır.
Bildirim; olayın niteliğini, mümkünse ilgili kişi ve kayıt kategorileri ile yaklaşık sayılarını, muhtemel sonuçları, alınan veya önerilen tedbirleri ve iletişim kişisini içerir. OfisUP delilleri korur, olay kaydı tutar, etkileri azaltır ve Abonenin Kurula veya ilgili kişilere yapacağı bildirimler için makul destek sağlar. Resmî bildirimin yapılıp yapılmayacağına veri sorumlusu sıfatıyla Abone karar verir; OfisUP kendi veri sorumluluğundaki ihlaller bakımından doğrudan yükümlülüklerini yerine getirir.
11 İlgili Kişi Talepleri
OfisUP, Abone İçeriğine ilişkin bir talebi doğrudan alırsa talep sahibini Aboneye yönlendirir ve talebi gecikmeksizin Aboneye iletir. OfisUP, Abonenin talebin kapsamını belirleyebilmesi ve gerekli işlemi uygulayabilmesi için teknik imkânları dâhilinde destek sağlar. Talebin hukuki değerlendirmesi ve cevabı Aboneye aittir.
12 Denetim ve Bilgi Sağlama
OfisUP, bu Protokole uyumu göstermek için güncel güvenlik politika özetleri, bağımsız denetim veya test raporları varsa bunların gizliliği korunmuş bölümleri ve gerekli diğer bilgileri Aboneye sunar. Abone, makul süre önce bildirimde bulunarak ve diğer müşterilerin güvenliğini tehlikeye atmadan yılda bir defa denetim talep edebilir. Ciddi ihlal şüphesinde bu sayı sınırlaması uygulanmaz.
13 Saklama İade ve Silme
Abone, sözleşme süresince verilerini standart dışa aktarma araçlarıyla alabilir. Sözleşmenin sona ermesinden sonra Abone İçeriği otuz gün süreyle yalnızca dışa aktarma amacıyla erişilebilir tutulur. Bu sürenin sonunda aktif sistemlerden en geç doksan gün içinde, yedeklerden ise yedekleme döngüsü içinde ve en geç yüz seksen gün içinde silinir veya anonim hâle getirilir. Emredici mevzuatın saklamayı zorunlu kıldığı veriler yalnızca bu amaçla, erişimi kısıtlanarak tutulur.
Bu süreler ürünün gerçek yedekleme ve silme mimarisiyle yayından önce doğrulanmalıdır. Farklı süre uygulanacaksa hem bu madde hem aydınlatma metni ve saklama politikası birlikte güncellenir.
14 Sorumluluk ve İş Birliği
Taraflar, kendi karar ve işlemlerinden kaynaklanan Kanun ihlallerinden sorumludur. Bir tarafın diğer tarafa verdiği eksik, yanlış veya hukuka aykırı talimat ya da bilgi nedeniyle doğan zarar ve yaptırımlar bakımından genel hükümlere göre sorumluluk belirlenir. Taraflar denetim, başvuru, şikâyet ve ihlal süreçlerinde gecikmeksizin iş birliği yapar.
15 Yürürlük ve İmzalar
Bu Protokol [TARİH] tarihinde yürürlüğe girer ve ana sözleşme yürürlükte olduğu sürece uygulanır. Gizlilik, güvenlik, iade, silme ve sorumluluğa ilişkin hükümler nitelikleri gereği sözleşme sonrasında da devam eder.
Ek 1 Veri İşleme Talimatı
Abone içeriği için işleme kapsamı
Ek 2 Asgari Teknik ve İdari Tedbirler
Rol bazlı erişim kontrolü, en az ayrıcalık ve görevler ayrılığı
Ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulama ve düzenli yetki gözden geçirmesi
Aktarım sırasında güncel ve güvenli şifreleme protokolleri; saklanan hassas veriler için riskle orantılı şifreleme veya anahtar yönetimi
Kiracı ve müşteri verilerinin mantıksal ayrıştırılması; erişim testleri
Kritik işlemler, yönetici erişimleri ve veri dışa aktarımları için değiştirilmeye karşı korunan denetim kayıtları
Düzenli yedekleme, geri yükleme testleri ve iş sürekliliği planı
Güvenlik güncellemeleri, zafiyet taraması, sızma testi ve düzeltme takibi
Güvenli yazılım geliştirme, kod inceleme, bağımlılık ve gizli anahtar yönetimi
Olay müdahale planı, iletişim listesi, tatbikat ve ihlal kayıtları
Personel gizlilik taahhüdü, veri güvenliği eğitimi ve görev sona erdiğinde erişimlerin kapatılması
Alt veri işleyen güvenlik ve gizlilik değerlendirmesi ile sözleşmesel kontroller
Veri minimizasyonu, saklama takvimi, güvenli silme ve imha kayıtları
Özel nitelikli verilerin ayrı yetki grupları, ek erişim kontrolleri ve Kurulca öngörülen önlemlerle korunması
Ek 3 Alt Veri İşleyen Listesi
Yayın ve Uygulama Kontrol Listesi
Metinlerin ürün ve operasyonla uyumlu hâle getirilmesi için
Kaynaklar
6698 sayılı Kişisel Verilerin Korunması Kanunu
Kişisel Verileri Koruma Kurumu Aydınlatma Yükümlülüğü
Kişisel Verileri Koruma Kurumu Açık Rıza Alırken Dikkat Edilecek Hususlar
Kişisel Verileri Koruma Kurumu Çerez Uygulamaları Hakkında Rehber
Kişisel Verileri Koruma Kurumu Veri Sorumlusu ve Veri İşleyen Kararı 2020 71
Kişisel Verileri Koruma Kurumu Yurt Dışına Aktarım
Kişisel Verileri Koruma Kurumu Özel Nitelikli Kişisel Veriler Rehberi
Kişisel Verileri Koruma Kurumu Veri İhlali Bildirimi
Kişisel Verileri Koruma Kurumu Başvuru Hakkı