İbrahim Ethem Karabıyık ("Marka Gold") ile Marka Gold SaaS platformunu kullanan kuyumcu/sarraf işletmesi (bundan sonra "Kuyumcu" veya "Kullanıcı" olarak anılacaktır) arasında akdedilmiş işbu Veri İşleme Sözleşmesi ("DPA"), Marka Gold platformunun kullanımı sırasında işlenen kişisel verilere ilişkin tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki yükümlülüklerini düzenler. İşbu DPA, Marka Gold Kullanım Şartları'nın ayrılmaz bir parçasıdır. Platformu kullanarak bu DPA hükümlerini kabul etmiş sayılırsınız.
1. Tanımlar
İşbu DPA kapsamında kullanılan başlıca tanımlar aşağıdaki gibidir:
1.1 Temel KVKK Tanımları
- Kişisel Veri: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
- İşleme: kişisel verilerin tamamen veya kısmen otomatik olan ya da olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması gibi her türlü işlem
- Veri Sorumlusu: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi
- İlgili Kişi: kişisel verisi işlenen gerçek kişi
1.2 Sözleşmeye Özgü Tanımlar
- Platform Verisi: Kuyumcu ve Kuyumcu'nun çalışanlarının (şube yöneticisi, satış elemanı vb.) Marka Gold platformuna kayıt ve kullanımı sırasında ürettiği kişisel veriler
- Son Müşteri Verisi: Kuyumcu'nun kendi müşterilerine ait, Kuyumcu tarafından Marka Gold platformuna girilen kişisel veriler
- Hizmet Sağlayıcı: İbrahim Ethem Karabıyık (Marka Gold ticari adıyla faaliyet gösteren)
- Alt Yüklenici: Marka Gold tarafından hizmet sunumu için kullanılan üçüncü taraf vendor
1.3 Veri Sorumlusu Sıfatları (Sole Controller Modeli)
- Marka Gold, Platform Verisi bakımından KVKK m.3/1(ı) anlamında bağımsız Veri Sorumlusu sıfatını haizdir
- Kuyumcu, Son Müşteri Verisi bakımından KVKK kapsamında ayrı ve bağımsız Veri Sorumlusu sıfatını haizdir
- Marka Gold, Son Müşteri Verisi'nin işleme amaçlarını ve vasıtalarını belirlemez; bu veriler üzerinde Kuyumcu adına saklama ve teknik altyapı sağlama dışında bir tasarrufta bulunmaz
- Taraflar müşterek veri sorumlusu (joint controller) değildir; her biri kendi sorumluluk alanı bakımından ayrı ayrı veri sorumlusu sıfatıyla hareket eder
2. Kapsam ve Süre
DPA'nın uygulama kapsamı ve süresine ilişkin esaslar şunlardır:
2.1 Yürürlük ve Geçerlilik
- DPA, Kuyumcu'nun Marka Gold platformuna kayıt olduğu tarihte yürürlüğe girer
- Hesap aktif olduğu sürece ve Kullanım Şartları'nın geçerli olduğu süre boyunca yürürlükte kalır
- Hesap kapatılsa dahi, yasal saklama yükümlülükleri devam ettiği ölçüde ilgili hükümler hüküm doğurmaya devam eder
2.2 İşlenen Veri Kategorileri
- Kimlik bilgisi (ad, soyad)
- İletişim bilgisi (telefon, e-posta)
- İşletme bilgisi (ticari unvan, görev, şube)
- Hesap güvenliği (oturum, IP, cihaz/tarayıcı, bcrypt hash şifre)
- Kullanım verisi (giriş zamanları, audit log)
- Ödeme/faturalama bilgisi
2.3 Kapsam Dışı Veriler
- Sağlık verisi, biyometrik veri veya KVKK m.6 kapsamındaki diğer özel nitelikli veriler işlenmez
- Ödeme kartı bilgileri (PCI-DSS uyarınca) doğrudan ödeme sağlayıcısı tarafından alınır; Marka Gold tarafından saklanmaz
3. KVKK Yükümlülüklerinin Paylaşımı
KVKK'dan doğan başlıca yükümlülükler taraflar arasında aşağıdaki şekilde paylaşılır:
3.1 Aydınlatma Yükümlülüğü (KVKK m.10)
- Marka Gold, Platform Verisi için kendi Aydınlatma Metni (Gizlilik Politikası) aracılığıyla aydınlatma yükümlülüğünü yerine getirir
- Kuyumcu, kendi son müşterilerine yönelik ayrı bir aydınlatma metnini hazırlamak ve sunmakla yükümlüdür
- Marka Gold bu metnin hazırlanmasında şablon/destek sağlayabilir; hukuki sorumluluk Kuyumcu'ya aittir
3.2 Veri Güvenliği Yükümlülüğü (KVKK m.12)
- Marka Gold, platform altyapısı üzerinde işlenen tüm veriler için Bölüm 5'te belirtilen teknik ve idari tedbirleri uygular
- Kuyumcu, kendi kullanıcı hesap erişim bilgilerinin (parola, oturum) güvenliğinden ve kendi yerel cihazlarındaki güvenlik tedbirlerinden sorumludur
3.3 İlgili Kişi Başvurularının Karşılanması (KVKK m.11 ve m.13)
- Platform Verisi'ne ilişkin ilgili kişi başvuruları doğrudan Marka Gold tarafından karşılanır
- Son Müşteri Verisi'ne ilişkin başvurular Kuyumcu tarafından karşılanır
- Kuyumcu'nun teknik destek talep etmesi halinde Marka Gold, talebin niteliğine göre azami 15 gün içinde gerekli desteği sağlar
3.4 Yurt Dışı Aktarım (KVKK m.9)
- AB üyesi ülkelerdeki alt yüklenicilere yapılan aktarımlar için KVKK Kurulu'nun 2024/959 sayılı Kararı uyarınca Standart Sözleşme Hükümleri (SCC) imzalanmıştır
- 2025/1072 sayılı Karar ile getirilen ek güvenceler gözetilmiştir
- 2026/347 sayılı İlke Kararı çerçevesinde yıllık uyum değerlendirmesi yapılır
4. Kuyumcu'nun Ayrı Veri Sorumluluğu
Kuyumcu, Son Müşteri Verisi bakımından bağımsız Veri Sorumlusu sıfatıyla aşağıdakileri kabul ve taahhüt eder:
4.1 Hukuka Uygunluk
- Platforma girdiği her bir son müşteri verisi için hukuka uygun bir işleme şartına (rıza, sözleşme, meşru menfaat, hukuki yükümlülük vb.) sahip olduğunu beyan eder
- Hukuka aykırı şekilde toplanmış veya işlenmiş veri girişinden kaçınır
4.2 Aydınlatma ve İletişim
- KVKK m.10 uyarınca kendi müşterilerini, verilerinin Marka Gold platformu aracılığıyla işlendiği konusunda aydınlatır
- Marka Gold, bu aydınlatmanın yapılıp yapılmadığını denetleme yükümlülüğü altında değildir
4.3 İlgili Kişi Hakları
- Kendi son müşterilerinden gelen silme, düzeltme, aktarım gibi taleplerin asıl muhatabıdır
- Marka Gold yalnızca platform özellikleri üzerinden teknik destek sağlar
4.4 Sorumluluk
- Hukuka aykırı şekilde toplanmış veya işlenmiş son müşteri verilerinin platforma girilmesinden doğacak her türlü idari, mali ve cezai sorumluluk münhasıran Kuyumcu'ya aittir
5. Veri Güvenliği Tedbirleri (KVKK m.12)
Marka Gold, makul ve sektör standartlarına uygun aşağıdaki teknik ve idari tedbirleri uygular:
5.1 Teknik Tedbirler
- Hareket halindeki veriler için TLS 1.2+ şifreleme
- Saklanan veriler için AES-256 düzeyinde şifreleme (uygulanabildiği ölçüde)
- Rol bazlı erişim kontrolü (RBAC) ve en az yetki ilkesi
- Üretim ortamına erişim için çok faktörlü kimlik doğrulama (MFA)
- Düzenli olarak alınan ve coğrafi olarak ayrı tutulan yedekler
- Erişim ve sistem logları (audit log)
- HMAC-SHA256 tabanlı tamper-evident audit log zinciri
5.2 İdari Tedbirler
- Çalışanlar için yazılı gizlilik taahhütnameleri
- KVKK farkındalık eğitimleri
- Düzenli güvenlik değerlendirmeleri ve güncellemeler
- Felaket kurtarma (DR) ve iş sürekliliği planı
6. Veri İhlali Bildirimi (72 Saat)
KVKK m.12 ve Kurul'un ilgili Kararları doğrultusunda ihlal bildirim süreci aşağıdaki gibidir:
6.1 Marka Gold'un Yükümlülüğü
- Kendi sistemlerinde meydana gelen ve Kuyumcu'nun verilerini etkileyen bir kişisel veri ihlalini öğrendiği andan itibaren en geç 72 saat içinde Kuyumcu'ya bildirir
- Bildirim; ihlalin niteliği, etkilenen veri kategorileri, tahmini sonuçları ve Marka Gold tarafından alınan/önerilen tedbirleri içerir
6.2 Kuyumcu'nun Yükümlülüğü
- Son Müşteri Verisi'ni etkileyen ihlallerde Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yapmakla kendisi yükümlüdür
- Marka Gold'un kendi yükümlülüğünü yerine getirmesi, Kuyumcu'nun kendi bildirim yükümlülüğünü ortadan kaldırmaz
7. Alt Yükleniciler
Marka Gold, hizmet sunumu için aşağıdaki alt yüklenicileri kullanır ve her biriyle KVKK uyumlu sözleşme akdetmiştir:
- Amazon Web Services (AWS) — bulut depolama — Frankfurt, AB
- MongoDB Atlas — veritabanı — Frankfurt veya İrlanda, AB
- Google (Gmail SMTP) — e-posta gönderimi — ABD
- Netgsm — SMS gönderimi — Türkiye
7.1 Yurt Dışı Aktarım Güvenceleri
- AB merkezli alt yükleniciler için KVKK Kurulu'nun 2024/959 sayılı Kararı uyarınca Standart Sözleşme Hükümleri (SCC) imzalanmıştır
- 2025/1072 sayılı Karar ile getirilen ek güvenceler gözetilmiştir
- ABD merkezli Gmail SMTP kullanımı yalnızca işlem bildirimi içindir
7.2 Vendor Değişiklikleri
- Vendor listesi güncellendiğinde Marka Gold platform üzerinden duyuru yapar
- Yeni vendor'a karşı Kuyumcu'nun 30 gün içinde itiraz hakkı saklıdır
8. Sorumluluk Sınırlaması
Tarafların sözleşmesel sorumluluğu aşağıdaki esaslara tabidir:
8.1 Ayrı Sorumluluk
- Her bir Taraf, kendi sorumluluk alanı kapsamındaki KVKK ihlallerinden doğan idari para cezaları, tazminat ve diğer zararlardan kendisi sorumludur
- Marka Gold, Son Müşteri Verisi'ne ilişkin Kuyumcu'nun ihlallerinden sorumlu tutulamaz
8.2 Sorumluluk Üst Sınırı
- Marka Gold'un Kuyumcu'ya karşı sözleşmesel sorumluluğu, ilgili olayın yaşandığı yıldaki yıllık abonelik bedeli ile sınırlıdır
8.3 Saklı Tutulan Haller
- KVKK m.12 kapsamındaki veri güvenliği yükümlülüğünün ihlali nedeniyle ilgili kişilerin uğradığı zararlar bakımından KVKK'nın emredici hükümleri saklıdır; bu zararlar için yukarıdaki üst sınır uygulanmaz
- Kasıt ve ağır kusur halleri sorumluluk sınırlamasının dışındadır
9. Süre, Fesih ve Veri İmha
DPA'nın süresi, feshi ve veri imha esasları aşağıdaki gibidir:
9.1 Süre
- İşbu DPA, Kullanım Şartları'nın yürürlükte kaldığı süre boyunca geçerlidir
- Yasal saklama yükümlülükleri devam ettiği ölçüde DPA'nın ilgili hükümleri uygulanmaya devam eder
9.2 Hesap Kapanışı Sonrası Veri İşlemi
- Marka Gold, Platform Verisi'ni 30 gün boyunca olası geri alma talepleri için saklar
- Bu sürenin sonunda verileri imha eder veya anonimleştirir
- 6098 sayılı TBK m.146 uyarınca 10 yıllık zamanaşımı süresince saklanması zorunlu fatura/muhasebe verileri için yasal saklama yükümlülüğü saklıdır
9.3 Veri Dışa Aktarımı
- Kuyumcu, sözleşme sona ermeden önce kendi Son Müşteri Verisi'ni dışa aktarma hakkına sahiptir
- İmha sonrası geri alma mümkün değildir
10. Uygulanacak Hukuk, Yetkili Mahkeme ve İletişim
İşbu DPA, Türkiye Cumhuriyeti hukukuna tabidir ve uyuşmazlıklarda İstanbul (Çağlayan) Mahkemeleri ile İcra Daireleri yetkilidir. Yorumunda KVKK ve ilgili Kurul Kararları (özellikle 2024/959, 2025/1072 ve 2026/347 sayılı kararlar) esas alınır. Marka Gold, işbu DPA'yı zaman zaman güncelleyebilir; önemli değişiklikler platform üzerinden duyurulur ve duyuru sonrası platformun kullanılmaya devam edilmesi, güncellenmiş hükümlerin kabul edildiği anlamına gelir. İşbu DPA ile ilgili sorularınız, başvurularınız veya talepleriniz için bizimle aşağıdaki adresten iletişime geçebilirsiniz:
Marka Gold
İbrahim Ethem Karabıyık
Kocasinan Merkez Mah. Mahmutbey Cad. 235A
Bahçelievler, İstanbul, Türkiye
E-posta: support@markaglbl.com