Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve konu

Veri sorumlusu: platformu kullanan müşteri işletme. Veri işleyen: Mobilişim İletişim A.Ş. (118.com.tr), Zümrütevler Mah. Ural Sok. No:22 NAS PLAZA B Blok, Kat 4. Veri işleyen, WhatsApp Business Platform üzerinden mesajlaşma hizmetlerinin ve buna bağlı rehber ile panel hizmetlerinin sunulması amacıyla, veri sorumlusu adına kişisel veri işler.

2. Süre, niteliği ve amacı

İşleme, hizmet sözleşmesinin süresi ve Ek-1'de belirtilen saklama süreleri boyunca devam eder. İşlemenin niteliği; mesaj verilerinin toplanması, saklanması, iletilmesi, görüntülenmesi ve silinmesidir. Amacı, veri sorumlusunun sipariş ettiği hizmetin ifasıdır.

3. Veri işleyenin yükümlülükleri (GDPR m.28/3)

1. Yurt dışına aktarım dahil olmak üzere kişisel verileri yalnızca veri sorumlusunun yazılı talimatları doğrultusunda işlemek; kanunen aksi gerekiyorsa, yasak olmadıkça veri sorumlusunu önceden bilgilendirmek.
2. Veri işlemeye yetkili tüm kişilerin gizlilik yükümlülüğü altında olmasını sağlamak.
3. GDPR m.32'nin gerektirdiği teknik ve idari tedbirleri Ek-2'de belirtildiği şekilde uygulamak.
4. Alt işleyenleri yalnızca 4. madde koşullarıyla görevlendirmek.
5. İlgili kişi taleplerinin (GDPR Bölüm III) yanıtlanmasında veri sorumlusuna uygun teknik ve idari tedbirlerle destek olmak.
6. Güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön danışma konularında destek vermek (GDPR m.32–36).
7. Hizmetin sona ermesinde, veri sorumlusunun tercihine göre tüm kişisel verileri silmek veya iade etmek ve mevcut kopyaları imha etmek; kanuni saklama yükümlülükleri saklıdır.
8. Uyumu ispatlamak için gerekli tüm bilgileri sunmak ve 7. madde uyarınca denetimlere imkân vermek.
9. Bir talimatın veri koruma mevzuatını ihlal ettiği kanaatine varırsa veri sorumlusunu derhal bilgilendirmek.

4. Alt işleyenler

Veri sorumlusu, Ek-3'te ve GDPR Aydınlatma Metni'nde listelenen alt işleyenler için genel yazılı yetki verir. Veri işleyen, herhangi bir ekleme veya değişiklikten en az 30 gün önce veri sorumlusunu bilgilendirir; veri sorumlusu veri korumaya ilişkin makul gerekçelerle itiraz edebilir. Bu durumda taraflar iyi niyetle müzakere eder ve veri sorumlusu ilgili hizmeti cezai şart ödemeksizin feshedebilir. Her alt işleyen, bu sözleşmedekilerden daha az koruyucu olmayan yükümlülüklerle bağlıdır ve alt işleyenin edimlerinden veri işleyen sorumludur.

5. Veri ihlali

Veri işleyen, bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin ve en geç 72 saat içinde veri sorumlusunu bilgilendirir; bildirimde ihlalin niteliği, etkilenen ilgili kişi ve kayıt kategorileri ile yaklaşık sayıları, olası sonuçlar, alınan tedbirler ve bir irtibat noktası yer alır. Denetim otoritesine ve ilgili kişilere bildirim yükümlülüğü veri sorumlusuna aittir.

6. Yurt dışına aktarım

Kişisel veriler AB'de (Frankfurt, Almanya) saklanır. Meta Platforms, Inc. (ABD) ve AEA dışındaki diğer alıcılara yapılan aktarımlar, Avrupa Komisyonu'nun Standart Sözleşme Hükümleri'ne (2021/914 sayılı Karar; duruma göre modül 2 ve 3) ve aktarım etki değerlendirmesine dayanır. Türk hukukunun uygulandığı hallerde aktarım, 6698 sayılı Kanun'un 9. maddesindeki mekanizmalara dayanır.

7. Denetim

Veri sorumlusu, bu sözleşmeye uyumu takvim yılı içinde bir kez, 30 gün önceden yazılı bildirimle, mesai saatleri içinde ve operasyonu aksatmayacak şekilde, bizzat veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetleyebilir. Veri işleyen, güncel bir bağımsız denetim raporu veya güvenlik soru formu yanıtı sunarak denetim talebini karşılayabilir. Veri ihlali sonrasında veya denetim otoritesinin talebi halinde ek denetim yapılabilir.

8. İade ve silme

Sözleşmenin sona ermesinde veri sorumlusu verilerini 30 gün boyunca dışa aktarabilir. Bu sürenin sonunda veya daha erken yazılı talimat üzerine veri işleyen, kanuni saklama yükümlülükleri dışındaki tüm kişisel verileri, olağan 30 günlük rotasyon içinde yedeklerden de silmek üzere imha eder. Talep halinde yazılı imha teyidi verilir.

9. Sorumluluk ve öncelik

Sorumluluk, hizmet sözleşmesi ve GDPR m.82 hükümlerine tabidir. Çelişki halinde veri koruma konularında bu sözleşme genel koşullara, Standart Sözleşme Hükümleri ise bu sözleşmeye üstün gelir.

Ek-1 — İşleme ayrıntıları

Ek-2 — Teknik ve idari tedbirler (m.32)

• Şifreleme: aktarımda TLS 1.2+, saklamada AES-256, yönetilen anahtar rotasyonu.
• Erişim kontrolü: rol bazlı yetkilendirme, yöneticiler için çok faktörlü doğrulama, en az yetki ilkesi, üç ayda bir erişim gözden geçirmesi.
• Analitik ve log platformlarında telefon numaralarının takma adlaştırılması.
• Ağ güvenliği: segmentasyon, WAF, hız sınırlama, DDoS koruması, webhook imza doğrulaması.
• Erişilebilirlik: günlük şifreli yedek, test edilmiş geri yükleme prosedürü, dokümante RPO 24 saat / RTO 8 saat.
• İdari: gizlilik taahhütnameleri, yıllık veri koruma eğitimi, dokümante olay müdahale süreci, değişiklik yönetimi ve kod incelemesi.
• Test: üç ayda bir zafiyet taraması, yılda bir sızma testi, bağımlılık izleme.

Ek-3 — Onaylı alt işleyenler

İletişim

Veri koruma ve KVKK: info@118.com.tr · Destek: destek@118.com.tr · Telefon: +90 850 666 07 67