Kişisel Verilerin İşlenmesine İlişkin Sözleşme (Veri İşleyen)

1. Taraflar ve amaç

1.1. Bu sözleşme ("Veri İşleme Sözleşmesi"), Courino Abonelik ve Hizmet Sözleşmesi'nin ("Ana Sözleşme") ayrılmaz ekidir ve Ana Sözleşmede tanımlanan Firma (veri sorumlusu) ile Courino hizmetini sunan Albiferro Yazılım ve Sistem Limited Şirketi ("Albiferro"; Vergi Dairesi / No: Etimesgut / 0501474977, MERSİS No: 0050147497700001, Adres: Atakent Mah. 1472. Cad. No: 5 D: 3, Elvankent, Etimesgut / Ankara, Türkiye) (veri işleyen, "Courino") arasında kurulmuştur.

1.2. Amaç, Firmanın Courino hizmetine girdiği kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuata uygun işlenmesini sağlamak; Tarafların özellikle KVKK m.12 kapsamındaki veri güvenliği yükümlülüklerini belirlemektir.

1.3. Bu sözleşmede tanımlanmayan terimler KVKK ve Ana Sözleşmedeki anlamlarıyla kullanılır. Bu sözleşme ile Ana Sözleşme arasında kişisel verilere ilişkin bir çelişki olursa bu sözleşme uygulanır.

2. İşlemenin konusu, niteliği ve süresi

2.1. Konu: Courino'nun Firmaya kurye otomasyon hizmetini (sipariş yönetimi, kurye ataması, canlı takip, teslim kanıtı, kasa, hakediş, faturalama, müşteri portalı, kurye uygulaması ve bildirimler) sunması.

2.2. Süre: Ana Sözleşme süresince ve 9. maddedeki iade ve silme işlemleri tamamlanana kadar.

2.3. İlgili kişi grupları: Firmanın yetkilileri ve personeli (Kullanıcılar), kuryeleri, müşterileri ve müşteri çalışanları, gönderi göndericileri ve alıcıları, teslim alan kişiler.

2.4. Kişisel veri kategorileri:

• Kimlik ve iletişim: ad soyad, kullanıcı adı, telefon, e-posta, adres.
• Gönderi ve teslimat: alım ve teslim adresleri, alıcı adı, teslim alan kişinin adı, imzası ve teslim fotoğrafları, zaman bilgileri.
• Konum: kurye vardiyadayken kurye uygulamasının gönderdiği konum noktaları.
• Finans: tahsilat, cari hesap, hakediş, fatura ve online ödeme kayıtları (kart numaraları Courino'da tutulmaz).
• İşlem güvenliği: giriş kayıtları, IP adresi, cihaz bildirim anahtarı, işlem geçmişi.

2.5. Hizmetin amacı özel nitelikli kişisel veri işlemek değildir. Firma, Hizmete özel nitelikli kişisel veri (ör. sağlık verisi) girmemeyi; zorunlu hâllerde bunun KVKK m.6'ya uygunluğunu sağlamayı kabul eder.

3. Firmanın (veri sorumlusunun) yükümlülükleri

3.1. Firma; Hizmete girdiği kişisel verilerin hukuka uygun toplanmasından, ilgili kişilerin KVKK m.10 uyarınca aydınlatılmasından, gerekli hâllerde açık rıza alınmasından ve gerekiyorsa Veri Sorumluları Siciline (VERBİS) kayıttan sorumludur.

3.2. Firma, Courino'ya yalnız hukuka uygun talimat verir. Firmanın talimatları, Hizmetin yapılandırması (ayarlar, kullanıcı yetkileri, saklama süreleri), Ana Sözleşme ve bu sözleşmeyle verilmiş sayılır.

3.3. Firma; Kullanıcı hesaplarını yetkisiz erişime karşı korumak, yetkileri gereklilik ölçüsünde vermek ve ayrılan personelin erişimini kapatmakla yükümlüdür.

3.4. İlgili kişilerin KVKK m.11 kapsamındaki başvurularını Firma yanıtlar.

4. Courino'nun (veri işleyenin) yükümlülükleri

4.1. Courino kişisel verileri yalnız Firmanın belgelenmiş talimatları doğrultusunda ve Hizmetin sunulması amacıyla işler; kendi amaçları için kullanmaz, satmaz, üçüncü kişilere açıklamaz. Bir talimatın mevzuata aykırı olduğunu düşünürse Firmayı bilgilendirir.

4.2. Courino, verilere erişen çalışanlarının ve yüklenicilerinin gizlilik yükümlülüğü altında olmasını ve erişimin görevin gerektirdiği ölçüde kalmasını sağlar.

4.3. Courino, ilgili kişi başvurularının yanıtlanmasında, veri güvenliği değerlendirmelerinde ve Kişisel Verileri Koruma Kurulu ("Kurul") ile yazışmalarda Firmaya makul ölçüde yardım eder. Courino'ya doğrudan ulaşan ilgili kişi başvurularını gecikmeksizin Firmaya yönlendirir.

4.4. Yetkili bir makamdan Firma verilerine ilişkin bir talep alınması hâlinde Courino, hukuken yasaklanmadıkça Firmayı bilgilendirir.

5. Veri güvenliği (KVKK m.12)

Courino, Kurul'un Kişisel Veri Güvenliği Rehberi'ni dikkate alarak en az aşağıdaki teknik ve idari tedbirleri uygular:

• Firma izolasyonu: Tüm firmaların verileri, veri tabanı düzeyinde satır bazlı güvenlik (Row-Level Security) ile birbirinden ayrılır; bir firmanın kullanıcısı başka bir firmanın verisine erişemez.
• Şifreleme: Tüm bağlantılar TLS ile şifrelenir. Parolalar geri döndürülemez biçimde (hash) saklanır. Üçüncü taraf hizmet anahtarları şifreli tutulur.
• Erişim denetimi: Rol ve yetki bazlı erişim; platform yönetim konsoluna iki adımlı doğrulama ile erişim; sunuculara yalnız anahtar tabanlı yönetici erişimi.
• Kayıt ve izleme: Kritik işlemler (giriş, yetki değişikliği, ayar değişikliği, platform yöneticisi işlemleri) denetim kaydına yazılır; hatalar ve anormallikler izlenir.
• Ağ güvenliği: Sunucular yalnız gerekli bağlantı noktalarından ve güvenlik duvarı arkasından erişilebilir; trafik saldırı korumalı bir ağ katmanından geçer.
• Yedekleme: Veriler düzenli olarak yedeklenir; yedeklere erişim kısıtlıdır.
• Veri azaltma: Kart bilgileri Courino'da tutulmaz; kurye konum verisi Firmanın belirlediği süre (varsayılan 90 gün) sonunda otomatik silinir.
• Güncelleme: Yazılım ve altyapı bileşenleri güvenlik güncellemeleriyle güncel tutulur.
• Personel: Verilere erişen personel gizlilik taahhüdü altındadır ve veri güvenliği konusunda bilgilendirilir.

Courino bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; güncelleme, güvenlik seviyesini düşüremez.

6. Alt veri işleyenler

6.1. Firma, Courino'nun Hizmeti sunmak için aşağıdaki alt veri işleyenlerden yararlanmasına genel izin verir:

6.2. Firmanın kendi hesabını bağladığı sağlayıcılar (ör. kendi SMS, e-posta, ödeme veya Paraşüt hesabı, Slack, Microsoft Teams) Courino'nun alt veri işleyeni değildir; Firma bu sağlayıcılarla doğrudan ilişki içindedir ve aktarımdan kendisi sorumludur.

6.3. Courino, yeni bir alt veri işleyen eklemeden veya mevcut birini değiştirmeden en az 15 (on beş) gün önce Firmayı e-posta veya panel bildirimiyle bilgilendirir. Firma bu süre içinde haklı gerekçeyle itiraz edebilir; itiraz giderilemezse Firma Ana Sözleşmeyi ödenmiş dönemin sonunda feshedebilir.

6.4. Courino, alt veri işleyenlerle bu sözleşmedeki kadar koruyucu yükümlülükler içeren yazılı sözleşmeler yapar ve onların yükümlülüklerini yerine getirmemesinden Firmaya karşı sorumludur.

7. Yurt dışına aktarım

7.1. 6. maddedeki bazı alt veri işleyenler yurt dışında bulunmakta veya verileri yurt dışındaki sunucularda işlemektedir. Bu aktarımlar KVKK m.9 hükümlerine uygun olarak, öncelikle Kurul'un ilan ettiği standart sözleşmeler imzalanarak ve 5 (beş) iş günü içinde Kurul'a bildirilerek yapılır.

7.2. Firma, KVKK m.9 kapsamındaki aktarım için gereken standart sözleşmelerin Firma adına da kurulmasına ve Courino'nun bu amaçla Firmayı temsil etmesine izin verir; gerekli hâllerde ilgili kişilerin aydınlatılmasından Firma sorumludur.

7.3. Courino, birincil veri tabanının bulunduğu ülkeyi değiştirirse bunu 6.3. maddeye göre önceden bildirir.

8. Veri ihlali bildirimi

8.1. Courino, Firma verilerini etkileyen bir kişisel veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 72 (yetmiş iki) saat içinde Firmaya bildirir.

8.2. Bildirim, o an bilinen ölçüde: ihlalin niteliği ve zamanı, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve alınması önerilen tedbirler ile irtibat kişisini içerir. Bilgiler tamamlandıkça bildirim güncellenir.

8.3. İhlalin Kurul'a ve ilgili kişilere bildirilmesi veri sorumlusu olarak Firmanın yükümlülüğüdür (Kurul'un 2019/10 sayılı kararı uyarınca 72 saat). Courino bu bildirimler için gerekli bilgi ve belgeleri sağlar.

8.4. Courino, ihlalin etkilerini sınırlamak ve tekrarını önlemek için gerekli tedbirleri derhâl alır.

9. Sözleşmenin sona ermesinde verilerin iadesi ve silinmesi

9.1. Ana Sözleşmenin sona ermesi hâlinde Firma, sona ermeden itibaren 30 gün içinde verilerinin yaygın kullanılan bir biçimde (ör. CSV/JSON) iadesini talep edebilir. Firma Hizmetin dışa aktarma araçlarını da kullanabilir.

9.2. Firmanın yazılı silme talebi üzerine Courino, Firma verilerini canlı sistemlerden en geç 30 gün içinde, yedeklerden ise yedekleme döngüsünün sonunda en geç 90 gün içinde siler veya anonim hâle getirir ve silmeyi yazılı olarak teyit eder.

9.3. Ana Sözleşme uyarınca pasif hâle gelen hesabın verileri, Firma silme talep etmedikçe saklanmaya devam eder. Hiç ödeme yapılmadan pasif hâle gelen deneme hesaplarının silinmesi Ana Sözleşmenin 10.2. maddesine tabidir.

9.4. Courino, kanunen saklamakla yükümlü olduğu kayıtları (ör. kendi düzenlediği faturalar ve ödeme kayıtları) yalnız bu yükümlülük süresince ve yalnız o amaçla saklar.

10. Denetim

10.1. Courino, bu sözleşmeye uyumu gösteren bilgi ve belgeleri Firmanın yazılı talebi üzerine makul sürede sağlar.

10.2. Firma, yılda en fazla bir kez, en az 30 (otuz) gün önceden bildirerek, kendisi veya Courino ile rekabet içinde olmayan ve gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla, mesai saatleri içinde ve Courino'nun diğer müşterilerinin verilerine erişmeden denetim yapabilir. Bir veri ihlali veya Kurul talebi hâlinde bu sınırlama uygulanmaz.

10.3. Denetimin maliyeti Firmaya aittir. Denetimde esaslı bir aykırılık tespit edilirse Courino aykırılığı kendi maliyetiyle giderir.

11. Sorumluluk

Tarafların bu sözleşmeden doğan sorumlulukları Ana Sözleşmenin sorumluluk hükümlerine tabidir. KVKK m.12/2 uyarınca Taraflar, veri güvenliğine ilişkin tedbirlerin alınmasından ilgili kişilere karşı birlikte sorumludur; iç ilişkide her Taraf kendi kusuru oranında sorumludur.

12. Süre, değişiklik ve yürürlük

12.1. Bu sözleşme Ana Sözleşmeyle birlikte yürürlüğe girer ve Ana Sözleşme sona erdikten sonra 9. maddedeki işlemler tamamlanana kadar yürürlükte kalır.

12.2. Değişiklikler Ana Sözleşmenin değişiklik hükümlerine göre yapılır. Mevzuat veya Kurul kararlarından kaynaklanan zorunlu değişiklikler, gerekli tarihte yürürlüğe girer.

12.3. Bu sözleşmeye Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda Ana Sözleşmede belirtilen mahkemeler ve icra daireleri yetkilidir.

İrtibat: Kişisel verilerle ilgili talepler ve ihlal bildirimleri için: destek@courino.com