Veri İşleme Sözleşmesi (DPA)
Müşteri (veri sorumlusu) ile PULS (veri işleyen) arasındaki yükümlülükler. KVKK m.12/2 bu sözleşmenin YAZILI olmasını zorunlu kılar.
Bu bir sözleşme metnidir ve hukuk denetiminden HENÜZ GEÇMEMİŞTİR. Şeffaflık için yayımlanmıştır: müşterimizin, imzalayacağı metni önceden görmesini istiyoruz. İmzalanacak nihai metin, hukuk danışmanlığı sonrasında bu sayfada yayımlanacaktır. Bu taslak, tek başına taraflar arasında bir yükümlülük doğurmaz.
1. Taraflar ve roller
Müşteri, PULS’a yüklediği veya PULS üzerinde ürettiği kişisel veriler bakımından VERİ SORUMLUSUDUR. PULS, bu verileri yalnızca Müşteri’nin talimatı doğrultusunda ve hizmeti sunmak amacıyla işleyen VERİ İŞLEYENDİR.
PULS, Müşteri verisini kendi amaçları için kullanmaz; başka bir müşteriye satmaz, kiralamaz veya devretmez ve model eğitimi dâhil hiçbir ikincil amaçla işlemez.
2. İşlemenin konusu, süresi ve veri kategorileri
Konu: PULS SaaS platformunun sunulması. Süre: abonelik süresi ve bu sözleşmede öngörülen iade/imha süreleri. İlgili kişi grupları: Müşteri’nin çalışanları, adayları, müşterileri ve tedarikçi temsilcileri.
İşlenen veri kategorileri, Müşteri’nin kullandığı modüle göre değişir. Ölçülmüş kategori dağılımı Veri Envanteri Özeti belgesinde yayımlanır.
ÖZEL NİTELİKLİ VERİ: İnsan Kaynakları modülü, Müşteri’nin kullanımına bağlı olarak SAĞLIK verisi taşıyabilir (çalışan notu kategorisi “Sağlık”, giriş türü “hastalık”, uyum gereği türü “sağlık muayenesi”). Bu veriler KVKK m.6 kapsamındadır ve Müşteri, bunlar için gereken hukuki sebebi kendi sorumluluğunda temin eder.
3. PULS’un yükümlülükleri
- Veriyi yalnız Müşteri’nin yazılı talimatı ve hizmetin gereği ölçüsünde işlemek
- Veriye erişen personeli gizlilik yükümlülüğü altına almak
- KVKK m.12/1 uyarınca gerekli teknik ve idari tedbirleri almak (ayrıntısı Güvenlik Politikası’nda ölçülmüş hâliyle yayımlanır)
- Müşteri’nin ilgili kişi başvurularını karşılamasına makul ölçüde yardımcı olmak
- Veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Müşteri’ye bildirmek
- Sözleşme sona erdiğinde veriyi Müşteri’ye iade etmek veya imha etmek
4. Alt işleyenler
PULS, hizmeti sunmak için alt işleyen kullanır. Güncel liste Alt İşleyen Listesi belgesinde yayımlanır. Listeye yeni bir alt işleyen eklenmesi hâlinde Müşteri önceden bilgilendirilir ve makul gerekçeyle itiraz hakkı saklıdır.
5. Yurt dışına aktarım
Veri, Almanya (Frankfurt / eu-central-1) bölgesinde barındırılır. Bu bir yurt dışına aktarımdır ve KVKK m.9 uyarınca Kurul’un standart sözleşmesi ile zemine oturtulur. Standart sözleşme, imzayı izleyen 5 iş günü içinde Kurul’a bildirilir.
6. Denetim
Müşteri, makul sıklıkta ve önceden haber vererek PULS’un bu sözleşmeye uygunluğunu denetleyebilir. PULS, bağımsız denetim raporu edindiğinde denetim hakkı bu rapor sunularak da karşılanabilir.
ISO 27001 ve SOC 2 için hazırlık süreçleri sürmektedir; belgelendirme henüz tamamlanmamıştır. Bağımsız denetim raporu edinildiğinde bu madde kapsamında Müşteri’ye sunulacak ve bu satır güncellenecektir.
7. Sözleşmenin sona ermesi ve verinin iadesi
Abonelik sona erdiğinde Müşteri, verisini makine okunur biçimde dışa aktarmayı talep edebilir. Talep süresi dolduktan sonra veri, yedekler dâhil imha edilir. Hukuken saklanması zorunlu kayıtlar bu hükmün dışındadır ve saklama süresi Aydınlatma Metni’nde ilan edilir.
Bu belge hakkında soru veya KVKK başvurusu için: puls@pulsbusiness.app