Veri İşleme Sözleşmesi

Bu sözleşme, IWB’ye abone olan şirketin çalışma alanında işlenen kişisel veriler bakımından şirket ile Firmanet arasındaki ilişkiyi düzenler. Abonelik sözleşmesinin ekidir ve onunla birlikte açıkça kabul edilir. Bu sayfadaki metin bilgi içindir. Taraflar için bağlayıcı olan, abonelik sözleşmesine eklenen ve sürüm etiketiyle anılan metindir.

1. Taraflar ve tanımlar

1.1 Taraflardan biri, IWB’ye abone olan ve abonelik sözleşmesini imzalayan şirkettir (“Müşteri”). Diğer taraf şudur:

Firmanet Yazılım ve Teknoloji A.Ş. (“Firmanet”), Büyükkayacık OSB Mahallesi, 101. Cadde, InnoPark Konya TGB, B Blok, No:4/105, 42160 Selçuklu / Konya. Telefon: +90 (312) 439 3940. E-posta: [email protected]

1.2 Bu sözleşmede geçen terimler aşağıdaki anlamdadır. Tanımlanmayan terimler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile aynı anlamda kullanılır.

Terim	Anlamı
Abonelik sözleşmesi	Müşteri ile Firmanet arasında IWB’nin sunulmasına ilişkin ana sözleşme. Bu sözleşme onun ekidir.
IWB	Firmanet’in geliştirdiği ve sunduğu iş yönetimi yazılımı; IWB uygulaması ve IWB AI dahil.
Bulut kurulum	IWB’nin Firmanet’in sağladığı sunucularda çalıştığı ve Müşterinin app.iwb.com.tr ya da kendisine özel iwb.com.tr alt adresi üzerinden kullandığı kurulum biçimi.
Kendi sunucusuna kurulum	IWB’nin Müşterinin kendi sunucusunda çalıştığı kurulum biçimi.
Çalışma alanı	IWB’de Müşteriye ayrılan ve Müşterinin verilerinin tutulduğu alan.
Kullanıcı	Müşterinin IWB’de tanımladığı ve yetkilendirdiği kişi.
Müşteri verisi	Firmanet’in bu sözleşme kapsamında Müşteri adına işlediği kişisel veriler.
İlgili kişi	Müşteri verisinin ait olduğu gerçek kişi.
Veri sorumlusu	İşlemenin amaçlarını ve vasıtalarını belirleyen kişi.
Veri işleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi.
Alt işleyen	Firmanet’in müşteri verisini işlemek için yararlandığı ve müşteri verisine erişen üçüncü kişi hizmet sağlayıcısı.
Talimat	Müşterinin, müşteri verisinin işlenmesine ilişkin yönlendirmesi. Biçimleri 4. maddededir.
Veri ihlali	Müşteri verisinin hukuka aykırı olarak başkalarınca elde edilmesi, açıklanması, değiştirilmesi, kaybolması ya da erişilemez hâle gelmesi.
IWB AI	IWB’nin yapay zekâ özellikleri: sohbet, ihale belgesi okuma, fiş okuma, servis önerisi ve doğal dille filtre.
Yönetim paneli	Firmanet’in bulut kurulumu işletmek için kullandığı iç araç.
Yazılı	Islak imzalı belge ve e-posta dahil, kaydı tutulabilen her türlü yazışma.
Kurul, Kurum	Kişisel Verileri Koruma Kurulu (Kurul) ve Kişisel Verileri Koruma Kurumu (Kurum).

1.3 Kişisel verilerin işlenmesine ilişkin bir konuda bu sözleşme ile abonelik sözleşmesi çelişirse bu sözleşme uygulanır.

2. Kapsam

2.1 Bulut kurulumda bu sözleşme, çalışma alanındaki iş verisinin tamamına uygulanır. Cari, personel, belge, e-posta, dosya, servis ve konum kayıtları ile Müşterinin IWB’ye girdiği ya da IWB üzerinden aldığı diğer kişisel veriler bu kapsamdadır. Sözleşme ayrıca şu işlemlere uygulanır:

• IWB AI ile yapılan işlemler ve IWB AI konuşma kayıtları;
• Müşterinin kendi hesabıyla bağladığı hizmetlere (e-Belge entegratörü, SMS, WhatsApp, banka hareketi akışı, e-posta kutusu) Müşterinin talimatıyla yapılan iletim;
• destek talebine eklenen ekran görüntüsü ve dosyalardaki müşteri verisi;
• Firmanet personelinin yönetim panelinden Müşteri adına yaptığı işlemler (kullanıcı açma, kilit açma, parola sıfırlama, anonimleştirme);
• eski ERP verisinin IWB’ye aktarımı ve bu iş için alınan aktarım dökümü;
• Görevler modülünün kullanım sayaçları (çalışma alanı başına günlük toplam).

2.2 Kendi sunucusuna kurulumda müşteri verisi Müşterinin sunucusundadır. Yönetim için dışarıdan bağlantı açılmaz ve lisans internetsiz doğrulanır. Firmanet bu verilere kural olarak erişmez. Bu sözleşme, kendi sunucusuna kurulumda yalnız şu hâllerde uygulanır:

• Firmanet’in kurulum, veri aktarımı, uyarlama ve destek için müşteri verisine Müşterinin izniyle ve Müşterinin sağladığı yöntemle eriştiği işlemler;
• Müşterinin kendi kurulumunda açtığı ve Firmanet hesabıyla çalışan dış hizmetler (IWB AI, destek kaydı gibi). Bu hizmetler tanımlanmadıkça kapalıdır. Açılırsa bulut kurulum için bu sözleşmede yazan kurallar uygulanır.

2.3 Kendi sunucusuna kurulumda isteğe bağlı güncelleme aracısının Firmanet’e gönderdiği işletim bilgisi (sürüm, sağlık, disk, yedek durumu, sunucu IP adresi) müşteri verisi değildir. Firmanet bu bilgiyi kendi amacıyla, veri sorumlusu olarak işler (3.3).

3. Roller

3.1 Müşteri, müşteri verisinin veri sorumlusudur. Hangi verinin, hangi amaçla ve kimden toplanacağına, kimlerle paylaşılacağına ve ne kadar saklanacağına Müşteri karar verir. Firmanet, müşteri verisini Müşteri adına işleyen veri işleyendir. Roller, sözleşmedeki adlandırmaya göre değil, işleme üzerindeki fiili karar yetkisine göre belirlenmiştir.

3.2 Müşteri, işlemenin teknik ayrıntılarına ilişkin şu kararları bu sözleşmedeki sınırlar içinde Firmanet’e bırakır: kullanılacak bilişim altyapısı, saklama yöntemi, güvenlik tedbirlerinin ayrıntısı, aktarım yöntemi, saklama sürelerinin uygulanma biçimi ve silme, yok etme ya da anonim hâle getirme yöntemi. Bu kararlar Firmanet’i veri sorumlusu yapmaz.

3.3 Firmanet aşağıdaki işlemlerde kendi amacıyla veri sorumlusudur. Bu işlemler bu sözleşmenin konusu değildir; Aydınlatma Metni: müşteriler, ürün kullanıcıları, iş ortakları ve tedarikçiler ile düzenlenir:

• müşteri, iş ortağı ve tedarikçi yetkililerinin teklif, sözleşme, kurulum, eğitim, faturalama ve tahsilat için işlenen verileri;
• kullanıcıların giriş, iki adımlı doğrulama, hesap kilidi, cihaz sınırı ve oturum kayıtları ile davet, parola sıfırlama ve doğrulama kodu e-postalarının platform güvenliği amacıyla işlenmesi;
• destek talebinde başvuranın adı, e-postası, çalışma alanı ve şirket adı, sayfa ve tarayıcı bilgisi ile talebin açıklaması;
• abonelik, plan, faturalama ve sözleşme kayıtları;
• plan sınırı ve faturalama için kullanıcı sayısı ve IWB AI kullanım miktarı (kişiye bağlanmadan, toplam olarak);
• kendi sunucusuna kurulumda güncelleme aracısının gönderdiği işletim bilgisi.

3.4 Giriş ve oturum kayıtlarını Müşteri de kendi yönetim amacıyla görür. Bu kullanımda Firmanet, Müşteri adına veri işleyendir.

3.5 Firmanet müşteri verisini bu sözleşmede ve Müşterinin talimatlarında belirtilen amaç dışında işlerse o işlem bakımından veri sorumlusu sayılır. Bundan doğan sorumluluk Firmanet’e aittir.

4. Talimatlar

4.1 Firmanet müşteri verisini yalnız Müşterinin talimatıyla ve yalnız IWB hizmetini sunmak için işler. Talimatlar şunlardır:

• bu sözleşme ve abonelik sözleşmesi;
• Müşterinin IWB’deki ayarları ve kullanıcılarının IWB’de yaptığı işlemler (ör. bir modülü ya da IWB AI’ı açmak, bir hizmeti bağlamak, bir kaydı silmek);
• Müşterinin yetkili temsilcisinin yazılı talimatları.

4.2 Firmanet, bir talimatın KVKK’ya ya da ilgili mevzuata aykırı olduğunu düşünürse Müşteriye gecikmeksizin yazılı bildirir. Talimat Müşterice düzeltilene ya da yazılı olarak teyit edilene kadar ilgili işlemi askıya alabilir.

4.3 Firmanet müşteri verisini ürün geliştirme, yapay zekâ modeli eğitimi ve pazarlama için kullanmaz. Müşteri verisini satmaz ve kendi amacıyla üçüncü kişilerle paylaşmaz. Plan sınırı ve faturalama için kullanılan toplam sayılar (3.3) bu kuralın dışındadır ve kişiye bağlanmaz.

4.4 Yetkili bir kamu kurumu müşteri verisini isterse Firmanet, hukuken yasaklanmadıkça bunu Müşteriye gecikmeksizin bildirir. Talebi yalnız kanunun gerektirdiği ölçüde karşılar.

5. Müşterinin yükümlülükleri

5.1 Aydınlatma. Müşteri, verisini IWB’de işlediği ilgili kişileri KVKK md. 10 uyarınca aydınlatır. Bu kişiler arasında Müşterinin çalışanları, kullanıcıları, adayları, müşterileri ve tedarikçilerinin yetkilileri, servis müşterileri ve portal kullanıcıları bulunur. Müşteri aydınlatmasında verilerin bir yazılım hizmeti sağlayıcısına aktarıldığını ve 9. maddedeki yurt dışı aktarımlardan kendisi için geçerli olanları belirtir.

5.2 Hukuki sebep. Müşteri her işleme için KVKK md. 5’teki işleme şartlarından birine dayanır. Özel nitelikli kişisel veriler için KVKK md. 6/3’teki şartlardan birine dayanır ve Kurul’un özel nitelikli veriler için belirlediği yeterli önlemleri kendi kurumunda alır. Firmanet’in özel nitelikli veriler için IWB’de sağladığı ek tedbirler Ek-1’dedir.

5.3 Çalışanların iletişiminin denetimi. Müşteri IWB’nin e-posta, mesajlaşma, müşteri ilişkileri ve görev modüllerini kendi çalışanlarının yazışmalarını ya da faaliyetlerini denetlemek için kullanırsa bu denetimin veri sorumlusu Müşteridir. Kurul’un 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı’na uyum Müşterinin yükümlülüğüdür. Bu karar özellikle denetimin amacının, kapsamının ve yönteminin çalışanlara önceden açıkça bildirilmesini ve içeriğe erişimin ölçülü olmasını ister.

5.4 Bağlanan hizmetler. Müşteri kendi hesabıyla e-belge entegratörü, SMS, WhatsApp, banka hareketi akışı ya da Google veya Microsoft e-posta kutusu gibi bir hizmet bağlarsa sağlayıcıyla sözleşme Müşterinindir. Bu sağlayıcılar Firmanet’in alt işleyeni değildir; Firmanet bu hizmetlere veriyi yalnız Müşterinin talimatıyla iletir. Sağlayıcı yurt dışındaysa KVKK md. 9’daki yükümlülükler, veriyi aktaran sıfatıyla Müşteriye aittir.

5.5 Kullanıcılar ve yetkiler. Müşteri kullanıcılarını kendisi tanımlar. Rol ve alan yetkilerini görev gereğine göre verir, işten ayrılan kullanıcıyı gecikmeksizin pasifleştirir ve kullanıcılarına parolalarını gizli tutmalarını bildirir. Kullanıcılar iki adımlı doğrulamayı kendi hesaplarında açabilir; Müşteri, kullanıcılarının, özellikle yöneticilerinin, bunu açmasını sağlar. Kendi sunucusuna kurulumda Müşteri iki adımlı doğrulamayı kurulum genelinde zorunlu kılabilir.

5.6 Verinin en aza indirilmesi. Müşteri IWB’ye yalnız amacı için gerekli verileri girer. Kullanıcılarını, IWB AI’a ve destek taleplerine gereksiz kişisel veri ya da özel nitelikli veri içeren belge vermemeleri konusunda bilgilendirir.

5.7 Saklama süreleri. Müşteri verisinin saklama süresini Müşteri belirler. IWB’de Müşterinin değiştirebildiği süreler (ör. dosya çöp kutusu süresi) Müşterinin talimatıdır. IWB’nin kendi süreleri Ek-1’dedir. Kendi sunucusuna kurulumda sunucunun yedeklenmesi ve altyapı güvenliği Müşterinin sorumluluğundadır.

6. Gizlilik

6.1 Firmanet müşteri verisini gizli tutar ve bu sözleşmede sayılan hâller dışında kimseye açıklamaz.

6.2 Firmanet, müşteri verisine erişebilen personelinden gizlilik taahhüdü alır. Erişim yetkisi görev gereğiyle sınırlıdır. Firmanet personeli müşteri verisine yalnız Türkiye’den erişir.

6.3 Firmanet, alt işleyenlerine de sözleşmeyle sır saklama yükümlülüğü yükler.

6.4 Sır saklama yükümlülüğü süresizdir. Personelin görevden ayrılmasından ve bu sözleşmenin sona ermesinden sonra da sürer (KVKK md. 12/4).

7. Güvenlik tedbirleri

7.1 Firmanet, müşteri verisinin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verinin muhafazasını sağlamak için Ek-2’deki teknik ve idari tedbirleri alır (KVKK md. 12/1).

7.2 Firmanet Ek-2’deki tedbirleri sözleşme süresince sürdürür. Bir tedbiri değiştirirse koruma düzeyini düşürmez ve Ek-2’yi günceller.

7.3 Müşteri kendi tarafındaki tedbirleri alır: kullanıcı yetkileri, cihaz ve parola güvenliği; kendi sunucusuna kurulumda ayrıca sunucu, ağ ve yedek güvenliği.

7.4 Güvenlik tedbirlerinden doğan sorumluluk 15. maddeye tabidir.

8. Alt işleyenler

8.1 Müşteri, Firmanet’e Ek-3’teki alt işleyenleri kullanma konusunda genel yetki verir.

8.2 Firmanet her alt işleyenle yazılı sözleşme yapar. Bu sözleşmeyle alt işleyene, bu sözleşmedekinden daha az koruyucu olmayan veri koruma yükümlülükleri yükler. Alt işleyenin yükümlülüklerini yerine getirmemesinden Müşteriye karşı Firmanet sorumludur.

8.3 Firmanet yeni bir alt işleyen eklemeden ya da bir alt işleyeni değiştirmeden en az 30 gün önce Müşteriye yazılı bildirim yapar ve Ek-3’ü günceller. Bildirimde alt işleyenin adı, vereceği hizmet, işleyeceği veriler ve ülkesi yer alır.

8.4 Müşteri, bildirimden itibaren 30 gün içinde haklı bir gerekçeyle yazılı itiraz edebilir. Taraflar itirazı gidermek için iyi niyetle görüşür. İtiraz giderilemezse Müşteri ilgili özelliği kapatabilir ya da abonelik sözleşmesini, değişiklik yürürlüğe girmeden önce, bu sebeple cezai şart veya ek bedel ödemeden feshedebilir.

8.5 Müşterinin kendi hesabıyla bağladığı hizmetler (5.4) alt işleyen değildir.

9. Yurt dışına aktarım

9.1 Bulut kurulum sunucuları yurt içindeki sunucu barındırma hizmeti sağlayıcısındadır. Sağlayıcının unvanı abonelik sözleşmesinde yazılı olarak bildirilir.

9.2 Aşağıdaki hizmetlerde müşteri verisi yurt dışına aktarılır:

• IWB AI için OpenAI kullanılır; bu sırada IWB AI’a gönderilen veriler (10.2) yurt dışına aktarılır.
• Müşteri kendi e-posta kutusunu bağlamadıysa IWB üzerinden gönderilen fatura, teklif ve benzeri belge e-postaları için Resend kullanılır; bu sırada alıcının adı ve e-posta adresi, iletinin içeriği ve ekleri yurt dışına aktarılır.
• E-postayla gönderilen destek talepleri için Microsoft (kurumsal e-posta hizmeti) kullanılır; bu sırada yazışmalarda ve eklerinde yer alan müşteri verisi yurt dışına aktarılır.

Aktarılan ülke için (OpenAI’da Amerika Birleşik Devletleri) Kişisel Verileri Koruma Kurulu’nun yeterlilik kararı bulunmadığından aktarım, Kurul’un ilan ettiği standart sözleşme imzalanarak ve Kurum’a bildirilerek yapılır (KVKK md. 9/4-c ve 9/5).

9.3 Bu aktarımlarda Firmanet veri işleyendir. Standart sözleşme, Kurul’un ilan ettiği metin değiştirilmeden, veri işleyenden veri işleyene aktarım için belirlenen metinle imzalanır; Türkçe metin esastır. Firmanet sözleşmeyi imzaların tamamlanmasından itibaren 5 iş günü içinde Kurum’a bildirir. Sözleşmenin değişmesini ya da sona ermesini de aynı usulle bildirir ve Müşteriye haber verir.

9.4 Bu aktarımlar Müşterinin talimatıyla yapılır. IWB AI’ı açık tutmak, kendi e-posta kutusunu bağlamamak ya da destek talebini e-postayla göndermek bu talimatın parçasıdır. Müşteri bu aktarımlar için KVKK md. 5 ya da 6’daki bir işleme şartına sahip olmayı ve aktarımları kendi aydınlatmasında belirtmeyi üstlenir. Müşteri aktarım istemezse IWB AI’ı kapatabilir ve kendi e-posta kutusunu bağlayabilir.

9.5 Yurt dışından uzaktan erişim de yurt dışına aktarım sayılır. Bu nedenle Firmanet personeli müşteri verisine yalnız Türkiye’den erişir. Kendi sunucusuna kurulumda uzaktan destek erişimi de yalnız Müşterinin izniyle, Müşterinin sağladığı yöntemle ve Türkiye’den yapılır.

9.6 Firmanet Ek-3 dışında yurt dışına aktarım başlatmaz. Yeni bir aktarım 8.3’teki bildirim usulüne ve bu maddedeki güvencelere tabidir.

10. IWB AI

10.1 IWB AI sohbet, ihale belgesi okuma, fiş okuma, servis önerisi ve doğal dille filtre özelliklerinden oluşur. Bu özellikler OpenAI’ın yapay zekâ modelini kullanır. IWB AI’daki veri akışının kullanıcılar için yazılmış özeti Gizlilik Politikası’ndadır.

10.2 Gönderilenler. IWB AI kullanıldığında modele şunlar gönderilir:

• kullanıcının sorusu ve konuşmanın son mesajları;
• kullanıcının yetkisiyle okunan kayıtlar;
• kullanıcının yüklediği görseller (fiş fotoğrafı dahil);
• ihale belgesi okumada okunması istenen belgenin metni, servis önerisinde servis kaydının metni, doğal dille filtrede kullanıcının yazdığı ifade.

10.3 Gönderilmeyenler. Şunlar modele gönderilmez:

• gizli ve maskeli alanlar: rol ve alan yetkisiyle gizlenen alanlar gönderilmeden çıkarılır;
• kullanıcının yetkisi olmayan kayıtlar: IWB AI kullanıcının yetkisiyle çalışır;
• ihale çözümlemesinde özgeçmiş ve diploma gibi kişisel belgeler;
• ses: sesle girişte ses IWB’ye gelmez.

10.4 Kapatma. IWB AI çalışma alanı bazında tamamen kapatılabilir. Servis ve İhale yapay zekâ özellikleri varsayılan olarak kapalıdır ve Müşteri açmadıkça çalışmaz. Kendi sunucusuna kurulumda IWB AI, Müşteri tanımlamadıkça kapalıdır.

10.5 Model eğitimi. IWB AI’a gönderilen veriler yapay zekâ modellerinin eğitiminde kullanılmaz. Firmanet bu verileri eğitimde kullanmaz. Sağlayıcı da sözleşme ve hesap ayarı gereği kullanmaz.

10.6 Sağlayıcıda saklama. Sağlayıcı, kendisine gönderilen verileri yalnız kötüye kullanımı denetlemek için ve en çok 30 gün saklar.

10.7 Konuşma kayıtları. IWB AI konuşmaları Müşterinin çalışma alanında saklanır. Kullanıcının sildiği konuşmalar 30 gün içinde kalıcı silinir. Kullanıcı anonimleştirilince konuşmaları da silinir. Çalışma alanı kalıcı silinince bütün konuşmalar silinir.

10.8 İnsan onayı ve şeffaflık. IWB AI’ın yanıtları yapay zekâ ürünü olarak gösterilir. Kayıt değiştiren her işlem kullanıcının onayını ister; kullanıcı onaylamadan kayıt değişmez. IWB AI’ın yaptığı işlemler “asistan yazdı” etiketiyle işaretlenir.

10.9 Çıktının denetimi. IWB AI’ın yanıtları yanlış ya da eksik olabilir ve kişisel veri içerebilir. Müşteri, ilgili kişiler hakkında sonuç doğuran kararları (işe alım, ücret, performans değerlendirmesi gibi) yalnız IWB AI çıktısına dayanarak vermez; çıktıyı karar vermeden önce yetkili bir kişiye denetletir. IWB AI çıktıları müşteri verisidir ve bu sözleşmeye tabidir.

11. İlgili kişi başvuruları

11.1 Müşteri verisine ilişkin başvuruları veri sorumlusu olarak Müşteri cevaplar. Firmanet’in veri sorumlusu olduğu işlemlere (3.3) ilişkin başvurular Kişisel veri başvurusu sayfasındaki yollarla Firmanet’e yapılır.

11.2 Firmanet’e doğrudan gelen ve müşteri verisiyle ilgili olan bir başvuru, 5 iş günü içinde Müşteriye iletilir ve başvurana iletildiği bildirilir. Müşteriye yalnız talep ve başvuranın iletişim bilgisi iletilir. Firmanet bu başvuruyu Müşterinin talimatı olmadan esastan cevaplamaz.

11.3 Müşteri başvuruları IWB’deki şu araçlarla sonuçlandırabilir: kullanıcı, gerçek kişi cari ve cari yetkilisi anonimleştirme; İK özlük verisinin süresi dolunca İK eylemiyle anonimleştirilmesi; kayıt ve liste bazında dışa aktarma; hassas özel alan işareti.

11.4 Araçların yetmediği bir başvuruda Firmanet, Müşterinin yazılı talebi üzerine gecikmeksizin teknik destek verir. Bu destek, Müşterinin KVKK md. 13’teki 30 günlük cevap süresine yetişecek biçimde verilir.

12. Veri ihlali

12.1 Firmanet, müşteri verisini etkileyen bir veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde Müşteriye ilk bildirimi yapar. O anda bilinmeyen bilgiler öğrenildikçe aşamalı olarak iletilir.

12.2 Bildirim şunları içerir:

• ihlalin başlangıç ve tespit zamanı;
• etkilenen veri kategorileri (özel nitelikli veriler ayrıca belirtilerek) ve biliniyorsa etkilenen kişi ve kayıt sayısı;
• ihlalin olası sonuçları;
• alınan ve alınması önerilen tedbirler;
• bilgi alınabilecek Firmanet görevlisinin unvanı ve iletişim bilgisi.

12.3 Bildirim, Müşterinin abonelik sözleşmesinde bildirdiği yetkiliye e-postayla ve telefonla yapılır.

12.4 Kurul’a bildirim (ihlalin öğrenilmesinden itibaren en geç 72 saat içinde) ve ilgili kişilere bildirim, veri sorumlusu olarak Müşterinin yükümlülüğüdür. Firmanet bu bildirimler için gereken bilgi ve belgeleri sağlar. Kanunen zorunlu olmadıkça Müşteri adına Kurul’a ya da ilgili kişilere bildirim yapmaz.

12.5 Firmanet her ihlali, etkilerini ve alınan tedbirleri ihlal kayıt defterine yazar. İhlalin sebebini gidermek için gereken tedbirleri alır ve sonucu Müşteriye yazılı olarak bildirir.

12.6 Bir olay 7545 sayılı Siber Güvenlik Kanunu uyarınca ayrıca bildirim gerektiriyorsa Firmanet bu bildirimi KVKK kapsamındaki bildirimden ayrı bir adım olarak yapar.

13. Denetim

13.1 Müşteri, Firmanet’in bu sözleşmeye uyumunu denetleyebilir ya da gizlilik taahhüdü vermiş bağımsız bir denetçiye denetletebilir.

13.2 Denetim önce yazılı soru listesiyle yapılır. Firmanet soru listesine gecikmeksizin yazılı cevap verir ve uyumu gösteren belgeleri paylaşır.

13.3 Yazılı cevap yeterli olmazsa yerinde denetim yapılabilir. Yerinde denetim yılda en çok bir kez, en az 30 gün önce yazılı bildirimle, iş saatlerinde ve Firmanet’in işleyişini aksatmayacak biçimde yapılır. Denetim başka müşterilerin verilerine ve Firmanet’in ticari sırlarına erişim sağlamaz. Firmanet’in rakibi olan kişi denetçi olamaz.

13.4 Müşteri verisini etkileyen bir veri ihlalinden sonra ya da Kurul’un talebi üzerine Müşteri, 13.3’teki sıklık ve bildirim süresini beklemeden denetim isteyebilir.

13.5 Her taraf denetimdeki kendi masrafını karşılar.

13.6 Alt işleyenler bakımından Firmanet, alt işleyenden aldığı bilgi ve belgeleri Müşteriyle paylaşır.

14. Sözleşmenin sona ermesi

14.1 Abonelik sözleşmesi sona erdiğinde Müşteri talep ederse Firmanet müşteri verisini, talepten itibaren 30 gün içinde makinece okunabilir biçimde Müşteriye teslim eder. Müşteri bu talebi çalışma alanı kalıcı silinmeden önce yapar. Müşteri sözleşme süresince kayıt ve liste bazında dışa aktarma araçlarını da kullanabilir.

14.2 Sözleşme sona erince çalışma alanı kapatılır. Kapatılan çalışma alanı 30 gün içinde geri alınabilir. Bu süre dolunca çalışma alanı dosyalarıyla birlikte kalıcı silinir.

14.3 Çalışma alanında saklama süresi dolmamış mali belge varsa çalışma alanı otomatik silinmez. Bu durumda taraflar yazılı karar verir: Müşteri belgeleri teslim alır ve kalıcı silmeyi onaylar ya da belgelerin saklanma süresi ve koşulları ayrıca kararlaştırılır.

14.4 Yedekler 30 günden uzun tutulmaz. Kalıcı silinen veri, yedeklerden en geç 30 gün içinde yedek döngüsüyle çıkar.

14.5 Çalışma alanıyla birlikte, şifrelenerek saklanan entegrasyon parolaları ve bağlantı anahtarları da silinir.

14.6 Aktarım dökümleri ve destek ekleri, sözleşmenin sona ermesinden bağımsız olarak Ek-1’deki sürelerle silinir.

14.7 Firmanet kalıcı silme tamamlandığında Müşteriye yazılı bildirim yapar. Bildirimde silinen çalışma alanı ve silme tarihi yer alır.

14.8 Firmanet’in kanunen saklamakla yükümlü olduğu kendi kayıtları (ör. faturalar, abonelik sözleşmesi) bu maddenin dışındadır. Bu kayıtlar Kişisel Veri Saklama ve İmha Politikası’ndaki sürelere tabidir.

15. Sorumluluk

15.1 KVKK md. 12/2 uyarınca Müşteri ve Firmanet, güvenlik tedbirlerinin alınmasından ilgili kişilere ve Kurul’a karşı müştereken sorumludur.

15.2 İç ilişkide her taraf kendi kusuru oranında sorumludur. Taraflardan biri diğerinin kusurundan doğan bir tazminatı ya da idari para cezasını öderse ödediği tutarı o oranda diğer taraftan isteyebilir.

15.3 Sorumluluğun sınırı ve kapsamı abonelik sözleşmesine tabidir. Ancak kast ve ağır kusurdan doğan sorumluluk sınırlanamaz ve kaldırılamaz (6098 sayılı Türk Borçlar Kanunu (TBK) md. 115).

15.4 Firmanet’in talimat dışı işlemesinden doğan sorumluluk 3.5’e tabidir.

16. Süre, değişiklik, uygulanacak hukuk

16.1 Bu sözleşme abonelik sözleşmesiyle birlikte yürürlüğe girer. Firmanet müşteri verisini işlediği sürece, 14. maddedeki silme tamamlanana kadar yürürlükte kalır. 6. madde süresizdir.

16.2 Sitedeki metin bilgi içindir; bağlayıcı olan, abonelik sözleşmesine eklenen sürümdür. Yeni bir sürüm, sitede yayımlandığı tarihten itibaren yeni kurulan abonelik sözleşmelerine eklenir.

16.3 Yürürlükteki bir abonelik sözleşmesi bakımından değişiklik, Müşteriye en az 30 gün önce yazılı olarak bildirilir. Müşteri bu süre içinde yazılı itiraz edebilir. İtiraz eden Müşteri, abonelik sözleşmesini değişikliğin yürürlüğe gireceği tarihe kadar, bu sebeple cezai şart veya ek bedel ödemeden feshedebilir; fesih yürürlüğe girene kadar önceki sürüm uygulanır. İtiraz etmeyen Müşteri bakımından değişiklik bildirimde yazan tarihte yürürlüğe girer. Kanun değişikliği ya da Kurul kararı gereği zorunlu olan değişiklikler Müşteriye bildirilir ve ilgili düzenlemenin yürürlük tarihinden itibaren uygulanır.

16.4 Bu sözleşmeye Türk hukuku uygulanır. Tacirler arasındaki uyuşmazlıklarda Konya mahkemeleri ve icra daireleri yetkilidir. Kanunen dava şartı olan arabuluculuğa ilişkin hükümler saklıdır.

16.5 Taraflar arasındaki bildirimler yazılı yapılır ve abonelik sözleşmesinde bildirilen adreslere gönderilir. Firmanet’in e-posta adresi [email protected]’dir. Tacirler arasında temerrüt, fesih ve dönme ihbarları 6102 sayılı Türk Ticaret Kanunu (TTK) md. 18/3’teki yollarla yapılır.

16.6 Bu sözleşmenin asıl metni Türkçedir. Başka dildeki çeviriler bilgi içindir; çelişkide Türkçe metin esastır.

16.7 Bir hükmün geçersiz sayılması diğer hükümleri etkilemez.

Ek-1 İşleme ayrıntıları

Konu, süre, nitelik ve amaç

Başlık	Ayrıntı
Konu	Bulut kurulumda IWB’nin barındırılması ve işletilmesi; kendi sunucusuna kurulumda kurulum, veri aktarımı, uyarlama ve destek.
Süre	Abonelik süresi ve 14. maddedeki silme süreleri.
Nitelik	Kaydetme, saklama, yedek ortamında tutma, düzenleme, görüntüleme, sorgulama, raporlama, Müşterinin talimatıyla iletme, IWB AI ile işleme, dışa aktarma, anonim hâle getirme ve silme.
Amaç	IWB hizmetinin abonelik sözleşmesine göre Müşteriye sunulması.

İlgili kişi grupları ve veri kategorileri

Hangi modüllerin kullanılacağına ve hangi verilerin girileceğine Müşteri karar verir. Aşağıdaki tablo, IWB modüllerine göre işlenebilecek kişi gruplarını ve veri kategorilerini gösterir.

Modül veya alan	İlgili kişi grupları	Veri kategorileri
Kullanıcı ve yetki yönetimi	Müşterinin çalışanları ve kullanıcıları	Kimlik, iletişim, işlem güvenliği (rol ve yetkiler, oturum kayıtları, güvenlik günlüğü)
Cari, müşteri ilişkileri, satış, satın alma, sözleşmeler, ihaleler, dış ticaret	Müşterinin müşterileri ve tedarikçilerinin yetkilileri, gerçek kişi cariler	Kimlik, iletişim, müşteri işlem (teklif, sipariş, sözleşme), finans
Muhasebe, finans, e-dönüşüm	Gerçek kişi cariler, müşteri ve tedarikçi yetkilileri, çalışanlar	Kimlik, iletişim, finans (fatura, ödeme, banka hareketi)
İnsan kaynakları	Müşterinin çalışanları ve adayları	Kimlik, iletişim, özlük, mesleki deneyim, finans, özel nitelikli veri (aşağıda)
Servis ve yardım masası	Servis müşterileri, Müşterinin teknisyenleri ve çalışanları	Kimlik, iletişim, müşteri işlem (servis kaydı, talep), konum (servis ziyaretinde kaydedilen konum)
Laboratuvar	Müşterinin müşterileri; Müşterinin işine göre sağlık verisi işlenen kişiler	Kimlik, iletişim, müşteri işlem, Müşterinin işine göre sağlık verisi
Projeler ve görevler	Müşterinin çalışanları ve kullanıcıları	Kimlik, iş kayıtları
Belge yönetimi, e-posta, SMS ve WhatsApp	Yazışma ve ileti tarafları	İletişim, yazışma ve ileti içeriği, yüklenen belgelerin içeriği
Müşteri portalı	Portal kullanıcıları	Kimlik, iletişim, işlem kayıtları
IWB AI	Kullanıcılar ve konuşmada adı geçen kişiler	Soru ve yanıt metinleri, yüklenen görseller, okunan kayıtlardaki veriler
Veri aktarımı	Müşterinin eski ERP’sinde kaydı bulunan kişiler	Eski sistemdeki bütün kategoriler
Görevler kullanım sayaçları	Müşterinin kullanıcıları	Çalışma alanı başına günlük toplam sayı

Özel nitelikli kişisel veriler ve ek tedbirler

IWB’de özel nitelikli veri şu yerlerde bulunabilir:

• İK özlük belgelerinde sağlık raporu ve adli sicil kaydı;
• personel kayıtlarında analık durumu ve sağlık nedeniyle fazla mesai kısıtı;
• laboratuvar modülünde, Müşterinin işine göre sağlık verisi.

Müşteri bunlar dışındaki alanlara ya da belgelere de özel nitelikli veri girebilir; bunun hukuki sebebi ve yeterli önlemleri Müşterinin sorumluluğundadır (5.2). IWB’de şu ek tedbirler vardır:

• sağlık raporu ve adli sicil kaydı gibi belge türleri hassas olarak işaretlidir;
• özel nitelikli verinin okunması güvenlik günlüğüne okuma izi olarak yazılır;
• kişisel veri içeren dosya indirmeleri güvenlik günlüğüne yazılır;
• T.C. kimlik numarası ve IBAN gibi hassas alanlar varsayılan olarak kapalıdır ve yalnız yetki verilen rollerce görülür;
• Müşteri özel alanları hassas olarak işaretleyebilir;
• gizli ve maskeli alanlar IWB AI’a gönderilmez.

IWB içindeki saklama süreleri

Kayıt	Süre
Oturum kayıtları	Oturumun bitmesinden itibaren 90 gün
SMS iletilerinde açık numara ve metin	30 gün
Giden e-posta kayıtları	Teslim edilenler 90 gün, başarısız olanlar 365 gün
Okunmuş bildirimler	365 gün
Dosya çöp kutusu	Varsayılan 30 gün; Müşteri ayarıyla değiştirilebilir
Kapatılan çalışma alanı	30 gün geri alma süresi, sonra kalıcı silme
Mali belgeler	10 yıl; saklama süresi dolmamış mali belge varsa çalışma alanı otomatik silinmez (14.3)
Görevler kullanım sayaçları	400 gün
IWB AI konuşmaları	Kullanıcının sildiği konuşma 30 gün içinde; kullanıcı anonimleştirilince; diğer hâllerde çalışma alanı kalıcı silinene kadar
Aktarım dökümü	Aktarım tamamlandıktan sonra 90 gün
Destek eki ve ekran görüntüsü	Talep kapandıktan sonra 6 ay
Yedekler	30 gün
Diğer kayıtlar	Müşteri silene ya da çalışma alanı kalıcı silinene kadar

Ek-2 Teknik ve idari tedbirler

Teknik tedbirler

• Çalışma alanlarının ayrılığı: Her müşterinin verisi uygulamada ve veritabanında ayrı ayrı korunur.
• Yetki: Rol ve alan düzeyinde yetki vardır. Gizli ve maskeli alanlar ekranda, dışa aktarmada, raporda ve IWB AI’a gönderimde gizlenir.
• Kimlik doğrulama: Parola en az 8 karakterdir; büyük ve küçük harf ile rakam içerir. 5 hatalı denemede hesap 5 dakika kilitlenir. İki adımlı doğrulama vardır; kullanıcı açabilir, kurulum genelinde zorunlu kılınabilir.
• Oturumlar ve çerezler: Oturum kayıtlarında IP adresinin son bölümü maskelenir, tarayıcı parmak izi tutulmaz; kayıtlar 90 gün sonra silinir. Uygulama çerezleri yalnız oturum ve güvenlik içindir ve birinci taraftır; üçüncü taraf çerez ve ölçüm aracı çalışmaz. Ayrıntı Çerez Politikası’ndadır.
• Şifreleme: Uygulamaya şifreli bağlantıyla erişilir. Entegrasyon parolaları ve bağlantı anahtarları şifrelenerek, kullanıcı parolaları özetlenerek saklanır.
• Güvenlik günlüğü: Yetki değişiklikleri, erişim reddi, özel nitelikli veri okuma izi, kişisel veri içeren dosya indirme ve yönetim panelinden yapılan değiştirme işlemleri (“Panel” kaydıyla) Müşterinin güvenlik günlüğüne yazılır.
• KVKK araçları: Kullanıcı, gerçek kişi cari ve cari yetkilisi anonimleştirilebilir. İK özlük verisi süresi dolunca İK eylemiyle anonimleştirilir. Özel alanlar hassas olarak işaretlenebilir.
• IWB AI: IWB AI kullanıcının yetkisiyle çalışır; gizli ve maskeli alanlar gönderilmeden çıkarılır; kayıt değiştiren her işlem kullanıcı onayı ister; çalışma alanı bazında kapatılabilir (10. madde).
• Kendi sunucusuna kurulum: Veri Müşterinin sunucusundadır; yönetim için dışarıdan bağlantı açılmaz; lisans internetsiz doğrulanır; güncelleme aracısı isteğe bağlıdır.
• Barındırma ve yedek: Bulut kurulum sunucuları yurt içindeki barındırma hizmeti sağlayıcısındadır. Yedekler 30 günden uzun tutulmaz.

İdari tedbirler

• Müşteri verisine erişebilen personel gizlilik taahhüdü verir ve kişisel verilerin korunması konusunda eğitim alır.
• Müşteri verisine erişim yetkisi görev gereğiyle sınırlıdır. Erişim yetkisi olan personelin listesi tutulur ve görev değiştiğinde güncellenir. Sunuculara erişim kayıt altına alınır.
• Firmanet personeli müşteri verisine yalnız Türkiye’den erişir.
• Veri ihlali müdahale planı ve ihlal kayıt defteri tutulur; Müşteriye 24 saat içinde bildirim bu planın parçasıdır.
• Kişisel veri işleme envanteri ve Kişisel Veri Saklama ve İmha Politikası uygulanır.
• Her alt işleyenle yazılı sözleşme yapılır. Yurt dışı aktarımlarda standart sözleşme imzalanmış ve Kurum’a bildirilmiştir.

Firmanet personelinin yönetim panelinden yaptığı işlemler

Firmanet personeli bulut kurulumu yönetim panelinden işletir. Panelden Müşteri adına kullanıcı açma, kilit açma, parola sıfırlama ve anonimleştirme gibi işlemler yapılır. Bu işlemler Müşterinin talebiyle ya da hizmetin sunulması için yapılır. Yönetim panelinden yapılan her değiştirme işlemi Müşterinin güvenlik günlüğüne “Panel” kaydıyla yazılır.

Ek-3 Alt işleyenler

Alt işleyen	Hizmet	İşlenen veri	Ülke	Aktarım dayanağı
Yurt içindeki sunucu barındırma hizmeti sağlayıcısı (unvanı abonelik sözleşmesinde yazılı bildirilir)	Bulut kurulum sunucularının barındırılması	Çalışma alanındaki bütün müşteri verisi	Türkiye	Gerekmez (sunucular yurt içindedir)
OpenAI	IWB AI yapay zekâ modeli	IWB AI’a gönderilen veriler (10.2)	Amerika Birleşik Devletleri	Standart sözleşme (veri işleyenden veri işleyene) ve Kurum’a bildirim; KVKK md. 9/4-c ve 9/5
Resend	Müşteri kendi e-posta kutusunu bağlamadıysa belge e-postalarının gönderimi	Alıcının adı ve e-posta adresi, ileti içeriği ve ekleri	Yurt dışı; ülke standart sözleşmede yazılıdır	Standart sözleşme (veri işleyenden veri işleyene) ve Kurum’a bildirim; KVKK md. 9/4-c ve 9/5
Microsoft	Kurumsal e-posta hizmeti	E-postayla gönderilen destek taleplerinde ve eklerinde yer alan müşteri verisi	Yurt dışı; ülke standart sözleşmede yazılıdır	Standart sözleşme (veri işleyenden veri işleyene) ve Kurum’a bildirim; KVKK md. 9/4-c ve 9/5

Davet, parola sıfırlama ve doğrulama kodu gibi hesap e-postaları da Resend ile gönderilir. Bu e-postalarda Firmanet veri sorumlusudur (3.3). Uygulamadaki “Hata Bildir” ile gelen destek talepleri Firmanet’in yurt içindeki kendi destek kayıt sisteminde tutulur. Ek-3, 8. maddedeki usulle güncellenir.

Sürüm ve güncelleme tarihi sayfanın başındadır. Metni değiştirdiğimizde yeni sürümü bu adreste yayımlarız; değişiklik yayımlandığı tarihten itibaren uygulanır.