KVKK

ofisUP OfisUP KVKK Uyum Metinleri Platform kullanıcıları, ziyaretçiler, abone ofisler ve ilgili kişiler için uygulama paketi Sürüm 1.0 | 24 Eylül 2026 Bu paket, OfisUP’ın kullanıcı hesabı ve platform işletimi bakımından veri sorumlusu; abone mali müşavirlik ofislerinin platforma aktardığı mükellef, çalışan ve diğer üçüncü kişi verileri bakımından ise veri işleyen olacağı esas alınarak hazırlanmıştır. Her veri işleme faaliyeti için fiilî uygulama ve sözleşmedeki rol ayrıca kontrol edilmelidir. Metinler yayımlanmadan önce şirket kimliği, iletişim kanalları, kullanılan tedarikçiler, çerez envanteri, saklama süreleri ve teknik güvenlik tedbirleri gerçek uygulamayla eşleştirilmelidir. Belge, hukuki görüşün ve ürün güvenliği incelemesinin yerine geçmez; yayından önce kişisel veri koruma hukuku alanında çalışan bir hukukçu tarafından son kontrol yapılması önerilir. Paket İçeriği Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni Açık Rıza ve İletişim Tercihleri Metni Çerez Aydınlatma Metni ve Çerez Politikası İlgili Kişi Başvuru Formu Kişisel Veri İşleme ve Gizlilik Ek Protokolü Yayın ve Uygulama Kontrol Listesi Temel Rol Ayrımı OfisUP, üyelik, faturalama, ürün güvenliği, destek ve kendi hukuki yükümlülükleri için hangi verilerin neden ve ne kadar süreyle işleneceğini belirlediği ölçüde veri sorumlusudur. Abone ofisin mükellefleri, müşterileri, çalışanları ve diğer üçüncü kişilere ait veriler; abone ofisin belirlediği amaç ve talimatlar kapsamında işlendiğinde abone ofis veri sorumlusu, OfisUP ise veri işleyendir. Abone ofis bu kişiler için aydınlatma, hukuki sebep, veri minimizasyonu ve saklama süresi yükümlülüklerini yerine getirir. OfisUP, abone içeriğini kendi bağımsız amaçları için kullanamaz. Kullanıma Almadan Önce Tamamlanacak Bilgiler Köşeli parantez içindeki alanlar yayımdan önce doldurulmalı veya uygun değilse çıkarılmalıdır. Aşağıdaki kararlar, metin ile ürünün aynı şeyi söylemesini sağlar. Belge Kullanım Haritası Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında 1 Veri Sorumlusu Kişisel verileriniz, veri sorumlusu sıfatıyla [ŞİRKETİN TAM TİCARET UNVANI] tarafından işlenmektedir. 2 Metnin Kapsamı ve OfisUP’ın Rolü Bu metin; OfisUP web sitesini ziyaret edenleri, hesap oluşturan mali müşavirleri ve şirket temsilcilerini, ofis yöneticilerini, muhasebe personelini, çalışan kullanıcıları, müşteri portalı kullanıcılarını, deneme hesabı sahiplerini, destek talebi oluşturanları ve hizmetle ilgili iletişim kuran kişileri kapsar. OfisUP, bu kişilerin hesap, abonelik, faturalama, destek, işlem güvenliği ve hukuki uyum verileri bakımından veri sorumlusudur. Abone ofisin hizmete yüklediği veya entegrasyonlar aracılığıyla aktardığı mükellef, çalışan ve diğer üçüncü kişi verileri bakımından OfisUP kural olarak veri işleyen sıfatıyla, yalnızca abone ofisin belgelenmiş talimatları kapsamında hareket eder. Bu ikinci gruba ilişkin aydınlatma yükümlülüğü ilgili abone ofise aittir. 3 İşlenen Kişisel Veri Kategorileri GİB, SGK ve benzeri sistemlere erişim için kullanılan kullanıcı adı, parola, tek kullanımlık doğrulama bilgisi, erişim anahtarı ve oturum belirteçleri yüksek riskli kimlik doğrulama verileridir. Bu veriler yalnızca kullanıcının talep ettiği entegrasyonun kurulması ve sürdürülmesi için, erişim yetkileri sınırlandırılarak işlenir. Ürün, teknik olarak gerekmedikçe bu bilgileri açık biçimde görüntülemez veya dışa aktarmaz. 4 İşleme Amaçları ve Hukuki Sebepler Kişisel veriler, 6698 sayılı Kanun’un 5 ve gerektiğinde 6 ncı maddelerinde yer alan işleme şartlarına dayanılarak aşağıdaki amaçlarla işlenir. Aynı veri birden fazla amaç için işlendiğinde her amaç bakımından uygun hukuki sebep ayrıca değerlendirilir. Özel nitelikli kişisel veriler, Kanun’un 6 ncı maddesindeki uygun işleme şartı bulunmadıkça işlenmez. Abone içeriğinde bulunan özel nitelikli veriler bakımından uygun işleme şartını belirleme ve ilgili kişiyi aydınlatma yükümlülüğü abone ofise aittir. OfisUP bu verileri yalnızca sözleşme, veri işleme protokolü ve belgelenmiş talimatlar kapsamında işler; ek erişim ve güvenlik tedbirleri uygular. 5 Kişisel Verilerin Toplanma Yöntemi Veriler; web sitesi ve uygulamadaki formlar, üyelik ve hesap ekranları, sözleşmeler, ödeme ve fatura süreçleri, e posta, telefon, destek kanalları, çerezler ve benzeri teknolojiler, cihaz ve sunucu logları, dosya yüklemeleri ve kullanıcı tarafından yetkilendirilen entegrasyonlar aracılığıyla elektronik veya fiziki ortamda toplanır. Kullanıcının açık talebi ve yetkisi üzerine GİB, SGK veya diğer yetkili sistemlerden hizmetin gerektirdiği kayıtlar alınabilir. 6 Kişisel Verilerin Aktarılması Kişisel veriler, amaçla bağlantılı ve ölçülü olmak kaydıyla aşağıdaki alıcı gruplarına aktarılabilir: Barındırma, yedekleme, e posta, SMS, ödeme, destek, siber güvenlik ve teknik bakım hizmeti sunan Türkiye’de yerleşik tedarikçiler Kullanıcının bağlı olduğu abone ofisin yetkili yöneticileri ve rol bazlı erişim yetkisi verilen ekip üyeleri Hukuken yetkili kamu kurumları, düzenleyici makamlar, mahkemeler ve icra mercileri Gizlilik yükümlülüğü altında çalışan avukat, mali müşavir, denetçi ve danışmanlar Şirket birleşmesi, devri veya yeniden yapılanması hâlinde gerekli gizlilik ve güvenlik tedbirleri altında işlem tarafları Aktarım; kanunlarda açıkça öngörülme, hukuki yükümlülük, sözleşmenin ifası, bir hakkın tesisi, kullanılması veya korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat sebeplerinden uygun olana dayanır. Açık rıza gereken bir aktarım, rıza verilmeden yapılmaz. OfisUP’ın bu sürümünde kişisel verilerin Türkiye dışına aktarılması öngörülmemektedir. Sunucu konumu, destek erişimi, e posta, hata izleme, analitik, içerik dağıtım ağı veya benzeri bir hizmet nedeniyle yurt dışına aktarım oluşacaksa bu metin kullanımdan önce güncellenir ve Kanun’un 9 uncu maddesindeki aktarım şartlarından uygun olanı sağlanır. 7 Saklama ve İmha Kişisel veriler, ilgili işleme amacının gerektirdiği süre ve uygulanabilir mevzuattaki zamanaşımı veya saklama süreleri boyunca tutulur. Süre belirlenirken sözleşme ilişkisi, hukuki yükümlülükler, talep ve uyuşmazlık süreleri, bilgi güvenliği ihtiyacı ve veri minimizasyonu ilkesi dikkate alınır. Süre sona erdiğinde veriler periyodik imha sürecinde silinir, yok edilir veya anonim hâle getirilir. 8 Veri Güvenliği Şirket, işlenen verinin niteliği ve riskine uygun teknik ve idari tedbirleri uygular. Bu tedbirler; yetki matrisi ve en az ayrıcalık ilkesi, güçlü kimlik doğrulama, ayrıcalıklı erişimlerin korunması, aktarım ve saklama güvenliği, denetim kayıtları, yedekleme, güvenlik güncellemeleri, zafiyet yönetimi, personel gizlilik yükümlülükleri, tedarikçi kontrolleri, olay müdahale planı ve güvenli silme süreçlerini kapsar. 9 İlgili Kişinin Hakları Kanun’un 11 inci maddesi uyarınca Şirkete başvurarak: Kişisel verilerinizin işlenip işlenmediğini öğrenme İşlenmişse buna ilişkin bilgi talep etme İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme Kanun’un 7 nci maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme Münhasıran otomatik sistemler aracılığıyla analiz sonucunda aleyhinize bir sonucun ortaya çıkmasına itiraz etme Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme 10 Başvuru Yöntemi Talebinizi, kimliğinizi ve talebinizi doğrulamaya yeterli bilgilerle birlikte aşağıdaki kanallardan iletebilirsiniz. Kimliğinizi doğrulamak için yalnızca gerekli bilgiler istenir; kimlik belgesinin gereksiz alanlarını kapatabilirsiniz. Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret uygulanabilir. 11 Değişiklikler Bu metin, veri işleme faaliyetlerinde veya mevzuatta değişiklik olması hâlinde güncellenebilir. Güncel sürüm [ALAN ADI] üzerinden yayımlanır. Esaslı değişiklikler, uygun bir iletişim kanalıyla kullanıcılara ayrıca duyurulur. Açık Rıza ve İletişim Tercihleri Metni İsteğe bağlı veri işleme faaliyetleri için ayrı tercih seçenekleri 1 Kullanım İlkesi OfisUP’ın hesap açma, hizmet sunma, güvenliği sağlama, faturalama ve hukuki yükümlülüklerini yerine getirme amacıyla Kanun’un 5 veya 6 ncı maddesindeki diğer işleme şartlarına dayanarak yaptığı işlemler açık rızaya bağlanmaz. Aşağıdaki tercihler yalnızca isteğe bağlı faaliyetler içindir. Bir tercihi reddetmeniz temel OfisUP hizmetlerinden yararlanmanızı engellemez. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan olumlu bir beyandır. Her seçeneği ayrı ayrı kabul veya reddedebilir, verdiğiniz rızayı hesap ayarlarından veya [KVKK E POSTA ADRESİ] üzerinden her zaman ileriye etkili olarak geri alabilirsiniz. 2 Aydınlatma Metninin Okunduğuna İlişkin Kayıt [ ] Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni’ni okudum ve kişisel verilerimin hangi amaçlarla işlendiği konusunda bilgilendirildim. Bu işaretleme bir açık rıza beyanı değildir. Aydınlatma metninin kullanıcıya sunulduğunu ve erişilebilir olduğunu kaydetmek amacıyla kullanılır. 3 Zorunlu Olmayan Analitik Çerezler [ ] KABUL EDİYORUM [ ] REDDEDİYORUM OfisUP web sitesi ve uygulamasındaki kullanım hareketlerimin, cihaz ve tarayıcı bilgilerimin ve sayfa etkileşimlerimin; kullanım eğilimlerini ölçmek, performans sorunlarını belirlemek ve ürünü geliştirmek amacıyla zorunlu olmayan analitik çerezler veya benzeri teknolojiler aracılığıyla işlenmesine rıza veriyorum. Sağlayıcılar, çerez adları ve süreleri Çerez Politikası’nda açıklanır. 4 Elektronik Ticari İleti Tercihi [ ] KABUL EDİYORUM [ ] REDDEDİYORUM OfisUP ürünleri, kampanyaları, eğitimleri ve duyuruları hakkında e posta, SMS veya arama yoluyla ticari elektronik ileti gönderilmesini kabul ediyorum. Bu tercih, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili mevzuat kapsamında ayrıca kaydedilir ve gerekiyorsa İleti Yönetim Sistemi’ne aktarılır. Her iletideki ret yöntemiyle veya hesap ayarlarından tercihim değiştirilebilir. 5 İsteğe Bağlı Kullanıcı Araştırması [ ] KABUL EDİYORUM [ ] REDDEDİYORUM Ürün deneyimini geliştirmek amacıyla görüşme, anket veya kullanılabilirlik çalışmasına davet edilmek; bu çalışmada gönüllü olarak paylaştığım görüş, ekran görüntüsü ve varsa ses veya görüntü kaydının çalışma amacıyla işlenmesi için benimle iletişim kurulmasına rıza veriyorum. Kayıt alınacaksa kapsamı ve saklama süresi çalışma öncesinde ayrıca açıklanır. 6 Rıza Kaydı 7 Uygulama Notu Seçenekler önceden işaretlenmemeli; kabul ve ret seçenekleri aynı görünürlükte sunulmalıdır. Zorunlu olmayan çerezler, kullanıcı kabul etmeden çalıştırılmamalıdır. Genel nitelikte her türlü kişisel verimin işlenmesine rıza veriyorum gibi belirsiz ifadeler kullanılmamalıdır. Çerez Aydınlatma Metni ve Çerez Politikası Web sitesi ve uygulamadaki çerezler ile benzeri teknolojiler için 1 Veri Sorumlusu Bu politika, veri sorumlusu [ŞİRKETİN TAM TİCARET UNVANI] tarafından işletilen [ALAN ADI] ve OfisUP uygulamasında kullanılan çerezler ile benzeri teknolojileri açıklar. 2 Çerez Nedir Çerezler, bir web sitesi veya uygulama ziyaret edildiğinde cihazınıza kaydedilen küçük metin dosyalarıdır. Yerel depolama, oturum belirteçleri, piksel ve benzeri teknolojiler de aynı veya benzer amaçlarla kullanılabilir. Bu politikada çerez ifadesi, aksi belirtilmedikçe bu teknolojileri de kapsar. 3 Çerez Türleri ve Hukuki Sebepler 4 Çerez Envanteri Aşağıdaki tablo, teknik tarama ve tedarikçi sözleşmeleriyle doğrulanarak gerçek çerez adlarıyla doldurulmalıdır. Envanterde bulunmayan zorunlu olmayan bir çerez çalıştırılmamalıdır. 5 Çerez Tercihlerinin Yönetimi İlk ziyarette çerez yönetim paneli gösterilir. Kullanıcıya Kabul Et, Reddet ve Tercihler seçenekleri eşit görünürlükte sunulur. Kesinlikle gerekli olmayan çerezler, kullanıcı olumlu bir seçim yapmadan yerleştirilmez. Kullanıcı, sayfanın altındaki Çerez Tercihleri bağlantısından seçimini her zaman değiştirebilir. Tarayıcı ayarlarından çerezlerin silinmesi veya engellenmesi mümkündür. Kesinlikle gerekli çerezlerin engellenmesi, oturum açma ve güvenlik gibi temel işlevlerin çalışmamasına yol açabilir. 6 Kısa Çerez Bandı Metni OfisUP, oturum açma ve güvenlik için kesinlikle gerekli çerezleri kullanır. Onay verirseniz kullanım istatistiklerini ölçmek ve ürünü geliştirmek için analitik çerezler de kullanırız. Tercihinizi dilediğiniz zaman değiştirebilirsiniz. [ KABUL ET ] [ REDDET ] [ TERCİHLER ] 7 Haklar ve Başvuru Çerezler aracılığıyla işlenen kişisel verileriniz hakkında Kanun’un 11 inci maddesindeki haklarınızı kullanmak için Platform Kullanıcıları ve Ziyaretçiler İçin Aydınlatma Metni’nde açıklanan yöntemlerle Şirkete başvurabilirsiniz. İlgili Kişi Başvuru Formu 6698 sayılı Kanun’un 11 ve 13 üncü maddeleri kapsamında 1 Başvuru Sahibinin Bilgileri 2 Talep Konusu [ ] Kişisel verilerimin işlenip işlenmediğini öğrenmek istiyorum [ ] İşlenen kişisel verilerim hakkında bilgi istiyorum [ ] İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek istiyorum [ ] Verilerimin aktarıldığı üçüncü kişileri öğrenmek istiyorum [ ] Eksik veya yanlış verilerimin düzeltilmesini istiyorum [ ] İşlenme şartları ortadan kalkan verilerimin silinmesini veya yok edilmesini istiyorum [ ] Düzeltme, silme veya yok etme işleminin verilerin aktarıldığı üçüncü kişilere bildirilmesini istiyorum [ ] Münhasıran otomatik sistemlerle yapılan analiz sonucuna itiraz ediyorum [ ] Kanuna aykırı işleme nedeniyle oluşan zararımın giderilmesini talep ediyorum [ ] Diğer 3 Talebin Ayrıntısı Talebinizin hangi veri, işlem, tarih veya hesapla ilgili olduğunu ve istediğiniz sonucu açıkça yazınız. Varsa destekleyici belgeleri ekleyiniz. ................................................................................................................................................................ ................................................................................................................................................................ 4 Cevabın Bildirilme Yöntemi [ ] Adresime gönderilmesini istiyorum [ ] E posta adresime gönderilmesini istiyorum [ ] Elden teslim almak istiyorum [ ] KEP adresime gönderilmesini istiyorum KEP adresi ........................................................ 5 Beyan Bu formda verdiğim bilgilerin doğru olduğunu, başvurumun kimlik ve yetki doğrulaması amacıyla gerekli ölçüde işlenebileceğini kabul ederim. Başkasına ait bir talepte bulunuyorsam temsil yetkimi gösteren geçerli belgeyi ekledim. 6 Başvuru Kanalları Başvuru formunun kullanılması zorunlu değildir. Başvuruda ad soyad, imza gerekiyorsa imza, T.C. kimlik numarası veya yabancılar için pasaport ya da kimlik numarası, tebligata esas adres, varsa e posta ve telefon ile talep konusu bulunmalıdır. Başvurular en geç otuz gün içinde cevaplanır. Kişisel Veri İşleme ve Gizlilik Ek Protokolü OfisUP ile abone mali müşavirlik ofisi arasındaki veri işleme şartları 1 Taraflar ve Sözleşmeyle İlişkisi Bu Kişisel Veri İşleme ve Gizlilik Ek Protokolü, bir tarafta [ŞİRKETİN TAM TİCARET UNVANI] bundan sonra Hizmet Sağlayıcı veya OfisUP olarak anılacaktır ile diğer tarafta [ABONE OFİSİN TAM UNVANI] bundan sonra Abone veya Veri Sorumlusu olarak anılacaktır arasında akdedilen [ANA SÖZLEŞMENİN ADI VE TARİHİ] tarihli sözleşmenin ayrılmaz ekidir. Protokol ile ana sözleşme arasında kişisel verilerin korunmasına ilişkin bir çelişki bulunması hâlinde bu Protokol uygulanır. Emredici mevzuat hükümleri saklıdır. 2 Tanımlar 3 Roller ve Talimatın Kapsamı Abone; mükellefleri, müşterileri, çalışanları, tedarikçileri ve diğer ilgili kişilere ait Abone İçeriği bakımından veri sorumlusudur. Verilerin işlenme amacı, hukuki sebebi, ilgili kişi grupları, veri kategorileri, saklama süresi ve aktarım kararları Abone tarafından belirlenir. OfisUP, Abone İçeriğini yalnızca ana sözleşme, bu Protokol, Ek 1 ve Abonenin hukuka uygun belgelenmiş talimatları doğrultusunda işler. Kanunun veya başka bir emredici düzenlemenin farklı bir işlem yapmayı zorunlu kıldığı hâllerde OfisUP, hukuken yasak olmadıkça işlemden önce Aboneyi bilgilendirir. OfisUP; üyelik, kendi faturalaması, platform güvenliği, kötüye kullanımın önlenmesi ve kendi hukuki yükümlülükleri için amaç ve vasıtaları bağımsız belirlediği kişisel veri işleme faaliyetlerinde ayrı veri sorumlusudur. Bu faaliyetler platform aydınlatma metninde açıklanır. 4 Abonenin Yükümlülükleri Her veri işleme faaliyeti için geçerli bir hukuki sebep belirlemek ve ilgili kişilere zamanında aydınlatma yapmak Yalnızca hizmet için gerekli, doğru, güncel ve ölçülü verileri sisteme aktarmak Özel nitelikli kişisel veriler için Kanun’un 6 ncı maddesindeki şartları ve Kurulca belirlenen ek önlemleri sağlamak Kullanıcı hesaplarını kişiye özgü açmak; yetkileri görevle sınırlamak; işten ayrılma ve görev değişikliklerinde yetkileri gecikmeden kapatmak GİB, SGK ve diğer kurum sistemlerine erişim yetkilerinin ve kullanılan kimlik bilgilerinin hukuka uygunluğunu sağlamak İlgili kişi taleplerine ve mevzuat kapsamındaki bildirimlere ilişkin nihai kararı vermek OfisUP’a hukuka aykırı, aşırı veya hizmet kapsamıyla ilgisiz bir talimat vermemek 5 OfisUP’ın Yükümlülükleri Abone İçeriğini yalnızca belgelenmiş talimat ve hizmet amacıyla işlemek Verilere erişen personeli görevle sınırlamak ve gizlilik yükümlülüğü altına almak Riskle orantılı teknik ve idari güvenlik tedbirlerini uygulamak ve sürekliliğini izlemek Talimatın Kanuna aykırı olduğu kanaatine varırsa Aboneyi gecikmeden bilgilendirmek ve hukuka aykırılığı giderecek ölçüde işlemi askıya almak İlgili kişi taleplerinin cevaplanmasında ve veri güvenliği yükümlülüklerinde Aboneye makul ölçüde destek olmak Sözleşme sona erdiğinde Abone İçeriğini bu Protokole uygun olarak iade etmek veya güvenli biçimde silmek Abone İçeriğini reklam, profil çıkarma, üçüncü kişilere veri satışı veya bağımsız ürün geliştirme amacıyla kullanmamak 6 Gizlilik OfisUP, Abone İçeriğine erişebilen çalışan ve yüklenicilerin yalnızca görevleri için gerekli verilere erişmesini sağlar. Bu kişiler işe başlamadan önce gizlilik yükümlülüğü altına alınır ve düzenli veri güvenliği eğitimi alır. Gizlilik yükümlülüğü sözleşme veya görev sona erdikten sonra da devam eder. 7 Güvenlik Tedbirleri OfisUP, Ek 2’deki asgari tedbirleri uygular ve teknolojik gelişmeler, uygulama maliyeti, işlemenin niteliği, kapsamı ve ilgili kişiler bakımından doğabilecek riskleri dikkate alarak günceller. Tedbirler, verilerin gizliliğini, bütünlüğünü, erişilebilirliğini ve dayanıklılığını sağlamayı amaçlar. 8 Alt Veri İşleyenler Abone, Ek 3’te listelenen alt veri işleyenlerin kullanılmasına genel olarak izin verir. OfisUP yeni bir alt veri işleyen eklemeden veya mevcut sağlayıcıyı değiştirmeden en az on beş gün önce Aboneyi bildirir. Abone, somut veri koruma gerekçeleriyle bu süre içinde itiraz edebilir. Taraflar makul bir çözüm bulamazsa Abone, değişiklikten etkilenen hizmeti cezai şart olmadan sona erdirebilir. OfisUP, alt veri işleyenle en az bu Protokoldeki koruma düzeyini sağlayan yazılı bir sözleşme yapar. Alt veri işleyenin yükümlülüklerinden OfisUP, Aboneye karşı sorumlu olmaya devam eder. 9 Yurt Dışına Aktarım Abone İçeriği Türkiye’de barındırılır ve Abonenin önceden yazılı onayı ile Kanun’un 9 uncu maddesindeki aktarım şartlarından biri sağlanmadıkça yurt dışına aktarılmaz veya yurt dışından erişime açılmaz. Destek erişimi, yedekleme, e posta, hata izleme, içerik dağıtım ağı ve uzaktan yönetim dâhil fiilen yurt dışı erişim doğurabilecek bütün hizmetler bu hüküm kapsamında değerlendirilir. 10 Veri İhlali Yönetimi OfisUP, Abone İçeriğini etkileyen doğrulanmış veya makul şüphe bulunan bir veri ihlalini öğrendiğinde Aboneyi gecikmeksizin ve her hâlükârda yirmi dört saat içinde bilgilendirir. İlk bildirimde bütün bilgiler mevcut değilse bilgiler gecikmeye yer verilmeksizin aşamalı olarak tamamlanır. Bildirim; olayın niteliğini, mümkünse ilgili kişi ve kayıt kategorileri ile yaklaşık sayılarını, muhtemel sonuçları, alınan veya önerilen tedbirleri ve iletişim kişisini içerir. OfisUP delilleri korur, olay kaydı tutar, etkileri azaltır ve Abonenin Kurula veya ilgili kişilere yapacağı bildirimler için makul destek sağlar. Resmî bildirimin yapılıp yapılmayacağına veri sorumlusu sıfatıyla Abone karar verir; OfisUP kendi veri sorumluluğundaki ihlaller bakımından doğrudan yükümlülüklerini yerine getirir. 11 İlgili Kişi Talepleri OfisUP, Abone İçeriğine ilişkin bir talebi doğrudan alırsa talep sahibini Aboneye yönlendirir ve talebi gecikmeksizin Aboneye iletir. OfisUP, Abonenin talebin kapsamını belirleyebilmesi ve gerekli işlemi uygulayabilmesi için teknik imkânları dâhilinde destek sağlar. Talebin hukuki değerlendirmesi ve cevabı Aboneye aittir. 12 Denetim ve Bilgi Sağlama OfisUP, bu Protokole uyumu göstermek için güncel güvenlik politika özetleri, bağımsız denetim veya test raporları varsa bunların gizliliği korunmuş bölümleri ve gerekli diğer bilgileri Aboneye sunar. Abone, makul süre önce bildirimde bulunarak ve diğer müşterilerin güvenliğini tehlikeye atmadan yılda bir defa denetim talep edebilir. Ciddi ihlal şüphesinde bu sayı sınırlaması uygulanmaz. 13 Saklama İade ve Silme Abone, sözleşme süresince verilerini standart dışa aktarma araçlarıyla alabilir. Sözleşmenin sona ermesinden sonra Abone İçeriği otuz gün süreyle yalnızca dışa aktarma amacıyla erişilebilir tutulur. Bu sürenin sonunda aktif sistemlerden en geç doksan gün içinde, yedeklerden ise yedekleme döngüsü içinde ve en geç yüz seksen gün içinde silinir veya anonim hâle getirilir. Emredici mevzuatın saklamayı zorunlu kıldığı veriler yalnızca bu amaçla, erişimi kısıtlanarak tutulur. Bu süreler ürünün gerçek yedekleme ve silme mimarisiyle yayından önce doğrulanmalıdır. Farklı süre uygulanacaksa hem bu madde hem aydınlatma metni ve saklama politikası birlikte güncellenir. 14 Sorumluluk ve İş Birliği Taraflar, kendi karar ve işlemlerinden kaynaklanan Kanun ihlallerinden sorumludur. Bir tarafın diğer tarafa verdiği eksik, yanlış veya hukuka aykırı talimat ya da bilgi nedeniyle doğan zarar ve yaptırımlar bakımından genel hükümlere göre sorumluluk belirlenir. Taraflar denetim, başvuru, şikâyet ve ihlal süreçlerinde gecikmeksizin iş birliği yapar. 15 Yürürlük ve İmzalar Bu Protokol [TARİH] tarihinde yürürlüğe girer ve ana sözleşme yürürlükte olduğu sürece uygulanır. Gizlilik, güvenlik, iade, silme ve sorumluluğa ilişkin hükümler nitelikleri gereği sözleşme sonrasında da devam eder. Ek 1 Veri İşleme Talimatı Abone içeriği için işleme kapsamı Ek 2 Asgari Teknik ve İdari Tedbirler Rol bazlı erişim kontrolü, en az ayrıcalık ve görevler ayrılığı Ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulama ve düzenli yetki gözden geçirmesi Aktarım sırasında güncel ve güvenli şifreleme protokolleri; saklanan hassas veriler için riskle orantılı şifreleme veya anahtar yönetimi Kiracı ve müşteri verilerinin mantıksal ayrıştırılması; erişim testleri Kritik işlemler, yönetici erişimleri ve veri dışa aktarımları için değiştirilmeye karşı korunan denetim kayıtları Düzenli yedekleme, geri yükleme testleri ve iş sürekliliği planı Güvenlik güncellemeleri, zafiyet taraması, sızma testi ve düzeltme takibi Güvenli yazılım geliştirme, kod inceleme, bağımlılık ve gizli anahtar yönetimi Olay müdahale planı, iletişim listesi, tatbikat ve ihlal kayıtları Personel gizlilik taahhüdü, veri güvenliği eğitimi ve görev sona erdiğinde erişimlerin kapatılması Alt veri işleyen güvenlik ve gizlilik değerlendirmesi ile sözleşmesel kontroller Veri minimizasyonu, saklama takvimi, güvenli silme ve imha kayıtları Özel nitelikli verilerin ayrı yetki grupları, ek erişim kontrolleri ve Kurulca öngörülen önlemlerle korunması Ek 3 Alt Veri İşleyen Listesi Yayın ve Uygulama Kontrol Listesi Metinlerin ürün ve operasyonla uyumlu hâle getirilmesi için Kaynaklar 6698 sayılı Kişisel Verilerin Korunması Kanunu Kişisel Verileri Koruma Kurumu Aydınlatma Yükümlülüğü Kişisel Verileri Koruma Kurumu Açık Rıza Alırken Dikkat Edilecek Hususlar Kişisel Verileri Koruma Kurumu Çerez Uygulamaları Hakkında Rehber Kişisel Verileri Koruma Kurumu Veri Sorumlusu ve Veri İşleyen Kararı 2020 71 Kişisel Verileri Koruma Kurumu Yurt Dışına Aktarım Kişisel Verileri Koruma Kurumu Özel Nitelikli Kişisel Veriler Rehberi Kişisel Verileri Koruma Kurumu Veri İhlali Bildirimi Kişisel Verileri Koruma Kurumu Başvuru Hakkı