Veri İşleyen Sözleşmesi

Bu sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12 uyarınca, Tuvisoft sunucularında barındırılan yazılım hizmetleri kapsamında işlenen kişisel verilerin korunmasına ilişkin tarafların hak ve yükümlülüklerini düzenler. Ödeme sayfasında "Veri İşleyen Sözleşmesi'ni okudum, kabul ediyorum" kutusunun işaretlenmesiyle kurulur ve hizmet sözleşmesinin (Mesafeli Satış Sözleşmesi) ayrılmaz parçasıdır.

1. Taraflar

Veri işleyen (Tuvisoft)

• Unvan: Agim Group E-ticaret Danışmanlık Ltd. Şti.
• Adres: KIZILIRMAK MAH. 1450 SK. NO: 16 IÇ KAPI NO: 22 ÇANKAYA/ ANKARA, Çankaya / Ankara
• Telefon: 08503028304
• E-posta: info@tuvisoft.com
• KEP adresi: agimgroup@hs01.kep.tr
• Vergi dairesi / no: Çankaya V.D. 0091730543
• Web: www.tuvisoft.com

Veri sorumlusu (Müşteri): Tuvisoft sunucularında barındırılan yazılımı satın alan ve sipariş bilgilerinde unvanı/adı yer alan kişi veya kurumdur.

2. Tanımlar ve roller

• Müşteri, kendi sitesi ve paneli üzerinden topladığı kişisel verilerin (ör. kendi müşterileri, bayileri, çalışanları) veri sorumlusudur; verilerin hangi amaçla ve hangi hukuki sebebe dayanarak işleneceğini o belirler, kendi aydınlatma metinlerini yayınlar ve gerekli rızaları alır.
• Tuvisoft, bu verileri yalnızca Müşteri adına ve onun talimatları doğrultusunda, hizmetin sunulması için gereken ölçüde işleyen veri işleyendir.
• Tuvisoft'un kendi müşterisi olarak Müşteri'ye ait hesap ve fatura verileri bu sözleşmenin değil, Tuvisoft KVKK Aydınlatma Metni'nin kapsamındadır.

3. Kapsam

• İşleme faaliyeti: Yazılımın sunucuda çalıştırılması, verilerin saklanması, yedeklenmesi, güncelleme ve bakım, teknik destek ve arıza giderme.
• Veri kategorileri: Müşteri'nin yazılıma girdiği veya yazılım aracılığıyla topladığı kimlik, iletişim, müşteri işlem, sipariş/teslimat, fatura ve işlem güvenliği (log) verileri.
• İlgili kişiler: Müşteri'nin müşterileri, bayileri, tedarikçileri, çalışanları ve site ziyaretçileri.
• Süre: Hizmet sözleşmesi süresince ve 9. maddedeki iade/silme süreci tamamlanana kadar.

Tuvisoft, verileri kendi amaçları için kullanmaz, satmaz, pazarlama amacıyla işlemez ve üçüncü kişilerle paylaşmaz; yalnızca hizmetin sunulması, hukuki yükümlülük veya yetkili makam talebi hâlinde ve bu sözleşmede belirtilen alt işleyenlerle sınırlı olarak aktarır.

4. Müşteri'nin talimatları

Tuvisoft verileri Müşteri'nin yazılı talimatlarına (yazılımın ayarları, destek talepleri ve bu sözleşme dahil) uygun olarak işler. Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir ve talimatı yerine getirmekten kaçınabilir.

5. Güvenlik tedbirleri (KVKK m.12)

Tuvisoft, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik aşağıdaki teknik ve idari tedbirleri alır:

• Şifreleme: Site ve panel trafiği TLS (HTTPS) ile şifrelenir; parolalar geri döndürülemez biçimde (hash) saklanır; entegrasyon anahtarı gibi gizli bilgiler veritabanında şifreli tutulur.
• Erişim kontrolü: Sunuculara ve veritabanlarına erişim yalnızca yetkili personelle ve "bilmesi gereken" ilkesiyle sınırlıdır; yönetici hesaplarında güçlü parola ve iki adımlı doğrulama kullanılır. Her müşteri kurulumu ayrı veritabanında çalışır.
• Yedekleme: Veritabanı düzenli olarak otomatik yedeklenir; yedeklerin bir kopyası farklı bir konumda (offsite) şifreli olarak saklanır ve geri yükleme düzenli aralıklarla denenir.
• Kayıt (loglama): Yönetim işlemleri, oturum açma ve sistem olayları kayıt altına alınır; kayıtlar yetkisiz değişikliğe karşı korunur ve mevzuattaki süreler boyunca saklanır.
• Güncelleme ve izleme: İşletim sistemi ve yazılım güvenlik güncellemeleri düzenli uygulanır, sunucular kesinti ve saldırılara karşı izlenir.
• Personel: Verilere erişen personel gizlilik yükümlülüğü altındadır ve KVKK konusunda bilgilendirilir.

6. Alt işleyenler

Müşteri, hizmetin sunulması için aşağıdaki alt işleyenlerin kullanılmasına onay verir. Tuvisoft alt işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler.

• Barındırma (sunucu/veri merkezi): [Sağlayıcı unvanı — sunucu konumu]
• E-posta sunucusu / gönderim hizmeti: [Sağlayıcı unvanı veya "Tuvisoft'un kendi e-posta sunucusu"]
• Yedek depolama (offsite): [Sağlayıcı unvanı — konum]
• Ödeme hizmetleri: PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. ve QNB Bank A.Ş. (sanal POS). Kart bilgileri ödeme kuruluşunun/bankanın güvenli ödeme sayfasında işlenir; Tuvisoft kart bilgisi görmez ve saklamaz.

Alt işleyen eklenmesi veya değiştirilmesi Müşteri'ye e-posta ya da müşteri paneli üzerinden önceden bildirilir; Müşteri haklı bir gerekçeyle 15 gün içinde itiraz edebilir. Yurt dışında bulunan bir alt işleyen kullanılması hâlinde KVKK m.9'daki şartlar sağlanır.

7. İlgili kişi başvuruları

Tuvisoft'a doğrudan ulaşan ilgili kişi başvurularını gecikmeksizin Müşteri'ye iletir. Müşteri'nin bu başvuruları KVKK m.13'teki süre içinde yanıtlayabilmesi için gereken teknik desteği (verinin bulunması, dışa aktarılması, düzeltilmesi veya silinmesi) makul ölçüde sağlar.

8. Veri ihlali bildirimi

Tuvisoft, sorumluluğundaki sistemlerde Müşteri verilerini etkileyen bir güvenlik ihlalini (yetkisiz erişim, kayıp, ifşa) öğrenmesinden itibaren en geç 72 saat içinde Müşteri'ye bildirir. Bildirimde, o an bilinen ölçüde ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan/alınması önerilen tedbirler yer alır. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir; Tuvisoft bu bildirim için gereken bilgi ve belgeleri sağlar.

9. Sözleşme sonunda verilerin iadesi ve silinmesi

• Hizmetin herhangi bir nedenle sona ermesinden itibaren 30 gün boyunca Müşteri, verilerini panel üzerinden ya da talebi hâlinde Tuvisoft'un sağlayacağı yaygın bir biçimde (ör. veritabanı yedeği, CSV/Excel) dışa aktarabilir.
• Bu sürenin sonunda canlı sistemdeki veriler silinir; yedeklerdeki kopyalar, yedek saklama döngüsü içinde (en geç 90 gün) kendiliğinden silinir ve geri yüklenmez.
• Mevzuat gereği saklanması zorunlu kayıtlar (ör. 5651 sayılı Kanun kapsamındaki kayıtlar) yalnızca bu amaçla ve süreyle sınırlı tutulur.
• Müşteri'nin yazılı talebi hâlinde silme işleminin tamamlandığı yazılı olarak bildirilir.

10. Denetim hakkı

Müşteri, Tuvisoft'un bu sözleşmeye uyumunu denetlemek için bilgi ve belge talep edebilir. Tuvisoft makul süre içinde güvenlik tedbirlerine ilişkin açıklama ve belgeleri sağlar. Yerinde denetim, en az 15 gün önceden yazılı bildirimle, mesai saatleri içinde, diğer müşterilerin verilerinin gizliliğini ve sistemlerin güvenliğini tehlikeye atmayacak şekilde ve yılda bir defayı geçmemek üzere yapılabilir; denetim masrafları Müşteri'ye aittir. Kurul veya yetkili makamların denetimleri bu sınırlamalara tabi değildir.

11. Gizlilik

Tuvisoft ve personeli, bu sözleşme kapsamında öğrendikleri kişisel verileri ve Müşteri'ye ait ticari bilgileri gizli tutar; sözleşme sona erdikten sonra da bu yükümlülük devam eder.

12. Sorumluluk

Taraflar, KVKK ve ilgili mevzuattan doğan yükümlülüklerine aykırı davranmaları sonucu doğan zararlardan kendi kusurları oranında sorumludur. Müşteri'nin talimatlarına veya Müşteri'nin kendi kullanıcı hesaplarının (parola paylaşımı, yetkisiz kullanıcı tanımlama vb.) güvenliğini sağlamamasından kaynaklanan durumlardan Tuvisoft sorumlu tutulamaz.

13. Uygulanacak hukuk ve yetki

Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda İstanbul (Merkez) Mahkemeleri ve İcra Daireleri yetkilidir; tüketici sıfatını taşıyan alıcılar bakımından tüketici mevzuatındaki yetki kuralları saklıdır.

14. Yürürlük ve değişiklik

Sözleşme, ödeme sayfasında onaylandığı anda yürürlüğe girer ve hizmet süresince geçerlidir. Mevzuat veya hizmet değişiklikleri nedeniyle güncellenen metin sitede yayımlanır ve Müşteri'ye bildirilir. Onay anındaki metnin sürümü, onay tarihi ve IP adresi sipariş kaydında saklanır.