Data Processing Agreement (DPA) Template

VERİ İŞLEME SÖZLEŞMESİ (DATA PROCESSING AGREEMENT)

Bu Veri İşleme Sözleşmesi ("DPA"), [Müşteri Şirket Adı] ("Veri Sorumlusu" / "Controller") ile Codeck Yazılım Anonim Şirketi ("Veri İşleyen" / "Processor", "imzala.org") arasında, [tarih] tarihinde imzalanmıştır.

MADDE 1: TANIMLAR

Bu sözleşmede kullanılan terimler:

• "KVKK": 6698 sayılı Kişisel Verilerin Korunması Kanunu
• "GDPR": AB Genel Veri Koruma Tüzüğü (EU) 2016/679
• "Kişisel Veri": KVKK m.3(d) ve GDPR Art.4(1) tanımları
• "Veri Sahibi": Kişisel verisi işlenen gerçek kişi
• "Veri İşleme": KVKK m.3(e) ve GDPR Art.4(2) tanımları
• "Alt Veri İşleyen": Veri İşleyen adına çalışan üçüncü taraf (subprocessor)
• "Hizmet": imzala.org platformu üzerinden sunulan dijital sözleşme yönetimi ve elektronik imza hizmetleri

MADDE 2: VERİ İŞLEMENİN KONUSU VE AMACI

2.1 Konu: Veri İşleyen, Veri Sorumlusu adına ve Veri Sorumlusu'nun talimatları doğrultusunda kişisel veri işleyecektir.

2.2 İşleme Amaçları:

• Dijital sözleşme oluşturma ve gönderme
• Elektronik imza akışı yönetimi
• Belge arşivleme ve TÜBİTAK KAMU SM zaman damgası
• Audit trail ve hukuki delil oluşturma
• Müşteri destek hizmetleri (talep üzerine)
• Yedekleme ve iş sürekliliği: üretim verilerinin pasif yedek sunucuya replikasyonu (Ek-3) ve yedek kopyaların tutulması
• Sözleşmeden bağımsız kimlik doğrulama: Veri Sorumlusu'nun panel veya API üzerinden başlattığı doğrulama talebinde, doğrulanacak kişiye gönderilen bağlantı üzerinden kimlik belgesi görüntüsünün alınması ve okunması, telefon numarasının tek kullanımlık kodla doğrulanması ve kişinin izniyle konum bilgisinin kaydedilmesi
• Belge Toplama: Veri Sorumlusu'nun panelden oluşturduğu belge talebinde, talebin yöneltildiği kişiye gönderilen bağlantı üzerinden Veri Sorumlusu'nun istediği belgelerin teslim alınması, saklanması ve Veri Sorumlusu'nun yetkili kullanıcılarının erişimine açılması; Veri Sorumlusu'nun seçtiği kontrol yöntemlerine göre belgenin otomatik okunması ve kayıtlı bilgilerle karşılaştırılması ile barkodlu belgelerde e-Devlet belge doğrulama servisindeki kayıtla karşılaştırılması
• İsteğe bağlı yapay zeka destekli özellikler: Veri Sorumlusu'nun yetkili kullanıcısının belirli bir belge için kendisi başlattığı ve işlem öncesi gösterilen onay ekranını kabul ettiği her işlemde; (a) sözleşme metnindeki dikkat edilmesi gereken noktaların bilgilendirme amacıyla işaretlenmesi (sözleşme analizi), (b) sözleşme editöründe imza, ad ve tarih gibi alanların belge üzerine otomatik yerleştirilmesi (alan tespiti) ve (c) yüklenen belgeden alanları ve taraflarıyla birlikte sözleşme şablonu taslağı hazırlanması (şablon hazırlama) için belge içeriğinin yapay zeka alt veri işleyenine iletilmesi ve üretilen sonucun saklanması (bkz. Madde 4.13)
• Belge Toplama'da imza sirküleri yorumlaması (isteğe bağlı): Veri Sorumlusu'nun kurum sahibi veya yöneticisinin izin verdiği ve belge talebinin ilgili kalemi için seçip kabul ettiği hâllerde, yüklenen imza sirkülerinde otomatik okumanın çıkaramadığı yetki bilgilerinin yorumlanması amacıyla sirkülerin bilgi bölümünün kodlanmış metninin yapay zeka alt veri işleyenine iletilmesi (bkz. Madde 4.13(g))

2.3 İşleme Süresi: Hizmet sözleşmesi süresince + KVKK / GDPR retention politikası gereği yasal saklama süreleri (sözleşme metadatası 10 yıl, TTK m.82). Organizasyon daveti verileri için azami saklama 8 gündür (yanıtsız davet 7 gün, terminal davet en geç 8 gün; her gün çalışan otomatik silme görevi). Kimlik doğrulama kayıtlarında kimlik belgesi görüntüsü, doğrulama tamamlandıktan sonra en geç 90 gün, sonuçsuz kalan denemelerde en geç 30 gün içinde silinir; kabul edilmeyen belge türüyle yapılan denemede görüntü ret anında silinir. Doğrulamanın sonucu ve okunan alanların beyanla eşleşip eşleşmediği bilgisi, belge görüntüsünden bağımsız olarak Hizmet süresince saklanır. Belge Toplama kapsamında yüklenen belge, yükleme anından itibaren 365 gün saklanır; talebin yöneltildiği kişinin Veri Sorumlusu'na göndermeden önce kaldırdığı veya yenisiyle değiştirdiği dosya 30 gün sonra silinir. Süresi dolan dosyalar günlük otomatik imha işlemiyle hem depodan hem kayıttan silinir. Veri Sorumlusu talebi sonuçlandırmadıkça (belgeleri kabul veya reddetmedikçe ya da talebi iptal etmedikçe) talep kapsamındaki güncel belge süresi dolmuş olsa bile silinmez (eklentinin sona ermesi hâli hariç); talebi zamanında sonuçlandırmak Veri Sorumlusu'nun sorumluluğundadır. Talep kaydı ve bağlı kayıtlar, talebi açan çalışma alanı Hizmet'te kaldığı sürece saklanır; Veri Sorumlusu ilgili kişi kaydını kalıcı olarak sildiğinde ya da çalışma alanı silindiğinde birlikte silinir. Veri Sorumlusu'nun belgeleri indirerek kendi sistemlerinde tuttuğu kopyalar bu sürelerin kapsamı dışındadır. Talep bir sözleşmeye bağlıysa sözleşmenin iptali, süresinin dolması, talebin yöneltildiği kişinin sözleşmeyi reddetmesi veya sözleşmenin muhatabı olmadığını bildirmesi hâlinde kalan saklama süresi 90 güne indirilir; imza süreci tamamlanan sözleşmede Veri Sorumlusu'nun yazılı talebiyle belirlenen süre (1 gün ile 3650 gün arasında) uygulanır. Belge Toplama eklentisi sona erer ve yenilenmezse belgelere erişim kapanır ve Veri Sorumlusu'nun bu hizmetle toplanan tüm belgeleri, sonuçlandırılmamış taleplerdeki belgeler dahil, eklentinin sona ermesinden yaklaşık 90 gün sonra silinir; bu süre içinde belgeler Veri Sorumlusu'na yalnızca toplu olarak (kuruluş sahibinin indirmesiyle ya da kuruluş sahibine ulaşılamıyorsa kimliği ve temsil yetkisi doğrulanan kişiye destek ekibi aracılığıyla) teslim edilebilir. Bu kuralın ayrıntıları Belge Toplama Koşulları'nın Abone Kuruluş Hükümleri bölümündedir. Silinen belgelerin şifreli kopyaları, hizmetin geri yüklenebilmesi için tutulan yedeklerde kalmaya devam edebilir; bu kopyalar başka bir amaçla işlenmez. Yapay zeka destekli özelliklerin sonuçları (analiz bulguları, önerilen alan yerleşimi, şablon hazırlama önerileri) ilgili sözleşme veya şablon kaydıyla birlikte saklanır ve o kayıt silindiğinde birlikte silinir. Alt veri işleyene iletilen belge içeriği, kalıcı saklamanın kapalı olduğu yapılandırmayla ve yalnızca istenen işlem için iletilir.

2.x Belgedeki isme göre imzacı eşleştirme: Alan Şablonu ile toplu gönderimde İmzala.org, Veri Sorumlusu'nun tanımladığı kişi listesindeki ad-soyadlarını yüklenen belgenin ilgili sayfa metninde arar ve eşleşen kişiyi o rolün alıcısı olarak önerir. Sayfa metni yalnızca arama sırasında geçici olarak işlenir ve saklanmaz. Belge metninden e-posta, telefon veya kimlik numarası gibi veriler çıkarılmaz; alıcının iletişim bilgisi daima Veri Sorumlusu'nun rehber kaydından okunur. Saklanan çıktı, hangi rolün hangi kişiyle eşleştiği, eşleşmenin bulunduğu sayfa numarası ve Veri Sorumlusu'nun elle yaptığı seçimden ibarettir; bu kayıt ilgili toplu gönderim taslağıyla birlikte saklanır ve taslak silindiğinde silinir. Bu işleme, İmzala.org'un kendi altyapısında gerçekleşir; bu amaçla alt işleyen kullanılmaz ve yurt dışına aktarım yapılmaz.

MADDE 3: KİŞİSEL VERİ KATEGORİLERİ VE VERİ SAHİPLERİ

3.1 İşlenen Kişisel Veri Kategorileri:

• Kimlik (ad, soyad, doğum tarihi)
• İletişim (e-posta, telefon, adres)
• Hesap ve kimlik doğrulama (şifre hash, OAuth ID, OTP)
• Sözleşme ve imza verileri (PNG bitmap imza görseli, IP, zaman damgası)
• Ödeme verileri (PayTR token, kart bilgisi DEĞİL)
• İşlem güvenliği (IP, audit log)
• Bilgilendirilecek Kişiler / CC (sözleşme gönderim ve tamamlanma bildirimi için üçüncü kişi e-posta adresi, varsa ad; mevcut Mailgun alt işleyeni üzerinden iletilir, yeni alt işleyen yoktur)
• Organizasyon daveti verileri (davet edilen kişinin e-posta ve/veya telefonu, varsa ad; davet iletimi için e-posta/SMS, kısa saklama + otomatik silme). Davetli, karşılama ekranında hesabının olup olmadığını görmek için isteğe bağlı olarak telefon veya T.C. kimlik numarasını girebilir; bu bilgi yalnızca anlık eşleştirme sorgusunda kullanılır, saklanmaz ve içeriği kayıt altına alınmaz (bu sorgu için imzala.org veri sorumlusudur)
• Kimlik doğrulama verileri: Veri Sorumlusu'nun talep oluştururken girdiği beyan (ad, soyad, T.C. kimlik numarası, doğum tarihi, telefon, e-posta) ile doğrulanacak kişinin kendi cihazından ilettiği kimlik belgesi görüntüsü (ön ve arka yüz) ve bu görüntüden optik karakter tanıma (OCR) veya makine tarafından okunabilir alan (MRZ) yoluyla okunan alanlar (ad, soyad, T.C. kimlik numarası, doğum tarihi, belge numarası, seri numarası, son geçerlilik tarihi), telefon doğrulamasında tek kullanımlık kod kaydı, kişinin izniyle alınan konum bilgisi ve doğrulama işleminin IP, cihaz ve zaman bilgisi. Adımlar başlamadan önce doğrulanan kişiye gösterilen bilgilendirmenin kabulüne ilişkin onay kaydı (onay zamanı, gösterilen metnin sürüm kimliği, maskelenmiş IP adresi ve tarayıcı bilgisi) da bu kapsamda işlenir
• Belge Toplama verileri: Veri Sorumlusu'nun talep için girdiği bilgiler (talebin yöneltildiği kişinin adı, soyadı ve e-posta adresi, talep başlığı, istenen belge kalemleri, kişiye yazılan not, her kalem için kabul veya ret kararı ve varsa ret gerekçesi) ile kişinin yüklediği belgeler (dosyanın kendisi ve belgede yer alan tüm bilgiler, dosya adı, dosya türü, boyutu ve içerik özeti). Belgelerin içeriğini Veri Sorumlusu belirler; istenen belgeler sağlık raporu veya adli sicil kaydı gibi özel nitelikli kişisel veri içerebilir. Veri İşleyen'in kendi veri sorumlusu sıfatıyla tuttuğu onay kaydı ve yükleme güvenlik kaydı için bkz. Madde 3.4
• Yapay zeka destekli özelliklerde işlenen veriler: yalnızca yetkili kullanıcı ilgili özelliği başlattığında; sözleşme veya şablon belgesinin metni ve sayfa görüntüleri (sözleşme analizinde belge taranmış olduğu için metin çıkarılamazsa analiz sayfa görüntüleri üzerinden yapılır; alan tespiti ve şablon hazırlamada sayfa görüntüleri metinle birlikte iletilir), belge içeriğinde geçen ve belgenin taraflarına veya üçüncü kişilere ait olabilen kişisel veriler (örneğin ad, soyad, T.C. kimlik numarası, adres, iletişim bilgisi, imza görseli) ile üretilen sonuç. Belge içeriği, Veri Sorumlusu'nun yüklediği belgeye bağlı olarak özel nitelikli kişisel veri içerebilir; aşağıdaki özel nitelikli veri açıklaması bu içerik için de geçerlidir. Her işlem için onay zamanı, onaylayan kullanıcı ve gösterilen onay metninin sürümü kaydedilir

Standart akışta özel nitelikli kişisel veri (KVKK m.6 / GDPR Art.9) işlenmez. Sözleşme akışında alınan imza yalnızca statik PNG bitmap görselidir; dinamik/biyometrik imza parametresi (basınç, hız, açı, ivme) ölçülmez. Kimlik belgesi görüntüsünün OCR / MRZ ile okunması ve okunan alanların beyanla karşılaştırılması tek başına biyometrik veri işleme değildir: bu adımda yüz tanıma yapılmaz, yüzden şablon çıkarılmaz. Veri Sorumlusu'nun (sözleşmeyi gönderen) etkinleştirdiği yüz / canlılık doğrulaması ya da kimlik kartı çipinin NFC ile okunması (çipteki yüz görseli) kullanılırsa, bu kapsamda işlenen biyometrik veri yalnızca ilgili kişinin ayrı açık rızasıyla, KMS ile şifrelenerek ve en fazla 1 yıl saklanarak işlenir (bkz. KVKK Aydınlatma Metni §2.5). Bu metnin yayımı tarihinde canlılık doğrulaması ve canlı yüz ile kimlik belgesindeki yüzün eşleştirilmesi kullanılabilir durumdadır; yalnızca Veri Sorumlusu ilgili sözleşme akışı için bu adımı açıkça seçtiğinde çalışır. Adım seçilmiş olsa dahi doğrulanan kişiden ayrı açık rıza alınır; rıza verilmezse biyometrik veri işlenmez, adım atlanır ve imza süreci engellenmez. İlgili kişi rızasını sonradan geri çekebilir. Kimlik kartı çipinin NFC ile okunması bu metnin yayımı tarihinde etkin değildir. Sağlık verisi, ırk/etnik köken, dini inanç, sendika üyeliği, cinsel hayat verisi gibi diğer özel nitelikli veri kategorileri Veri İşleyen tarafından kendi amacıyla toplanmaz veya işlenmez. Veri Sorumlusu kendi kullanım amacıyla özel nitelikli veriyi sözleşme içeriği olarak veya Müşteri'nin talebiyle toplanan belge olarak platforma yükler ya da yükletirse, bu verinin işlenmesinin hukuki sebebinin belirlenmesi, ilgili kişinin aydınlatılması ve gerekiyorsa açık rızasının alınması dahil KVKK m.6 kapsamındaki yükümlülükler Veri Sorumlusu'na aittir. Veri İşleyen, KVKK m.12/2 uyarınca bu verilere de Ek-2'deki teknik ve idari tedbirleri uygular; bu, Veri Sorumlusu'nun KVKK m.6 kapsamındaki yükümlülüklerini ikame etmez.

3.2 Veri Sahipleri Kategorileri:

• Veri Sorumlusu çalışanları (kullanıcılar)
• Sözleşme tarafları ve imzacılar
• Müşteriler ve potansiyel müşteriler (Veri Sorumlusu'nun)
• Doğrulanan kişiler: Veri Sorumlusu'nun sözleşmeden bağımsız kimlik doğrulama talebi yönelttiği gerçek kişiler. Bu kişilerin platformda hesabı bulunmayabilir ve İmzala.org ile doğrudan bir sözleşme ilişkisi kurmazlar
• Belge yükleyen kişiler: Veri Sorumlusu'nun Belge Toplama talebi yönelttiği gerçek kişiler (örneğin müşterileri, çalışan adayları veya başvuru sahipleri). Bu kişilerin platformda hesabı bulunmaz ve İmzala.org ile doğrudan bir sözleşme ilişkisi kurmazlar

3.3 Kimlik Doğrulamada Rol Dağılımı:

Sözleşmeden bağımsız kimlik doğrulama akışında doğrulanacak kişiyi ve doğrulanacak bilgileri Veri Sorumlusu belirler. Bu nedenle bu akış bakımından:

• Veri Sorumlusu: doğrulamayı başlatan Müşteri'dir. Doğrulanan kişiye yönelik aydınlatma yükümlülüğü (KVKK m.10 / GDPR Art.13-14), işlemenin hukuki sebebinin belirlenmesi ve belgelenmesi, gerekiyorsa açık rızanın alınması ve doğrulama sonucunun kendi süreçlerinde kullanılması Müşteri'ye aittir. Müşteri, doğrulama talebini yönelttiği kişiyle arasında bu işlemeyi meşru kılan bir ilişki bulunduğunu beyan ve taahhüt eder
• Veri İşleyen: İmzala.org, doğrulama akışını Müşteri'nin talimatı doğrultusunda yürütür; doğrulama sonucunu Müşteri adına üretir ve Müşteri'ye raporlar. Doğrulama verisini kendi amaçları için kullanmaz, başka müşterilere açmaz, profilleme veya model eğitimi amacıyla işlemez. İmzala.org ayrıca, doğrulama adımları başlamadan önce doğrulanan kişiye bu işlemenin kapsamını özetleyen bir bilgilendirme ekranı gösterir ve kişinin kabulünü kaydeder; kabul alınmadan hiçbir doğrulama adımı çalıştırılmaz. Bu ekran Müşteri'nin KVKK m.10 aydınlatma yükümlülüğünü ikame etmez, teknik bir güvence olarak buna eklenir
• İstisna (İmzala.org'un kendi veri sorumluluğu): Hizmetin güvenliği, kötüye kullanımın önlenmesi, kredi / faturalandırma kaydı ve yasal saklama yükümlülükleri kapsamında tutulan işlem güvenliği kayıtları (IP, zaman, işlem kimliği, denetim izi) bakımından İmzala.org kendi veri sorumlusudur. Bu kayıtlar doğrulama içeriğini (belge görüntüsü, okunan alanlar) içermez

Kapsam sınırı: Kimlik doğrulama, kişinin kendi ibraz ettiği belgenin okunması ve Veri Sorumlusu'nun beyanıyla karşılaştırılmasıdır. Resmî kayıt sistemlerine üçüncü kişi adına sorgu yapılmaz; hizmet, bir kimlik veya nüfus kaydı sorgulama hizmeti değildir.

3.4 Belge Toplama'da Rol Dağılımı:

Belge Toplama akışında talebin yöneltileceği kişiyi, istenen belgeleri ve bunların hangi amaçla kullanılacağını Veri Sorumlusu belirler. Talebin oluşturulması ve istenen belge kalemlerinin tanımlanması, Veri Sorumlusu'nun Madde 4.1 kapsamındaki belgelendirilmiş talimatıdır. Bu nedenle bu akış bakımından:

• Veri Sorumlusu: talebi açan Müşteri'dir. Belgeyi yükleyen kişiye yönelik aydınlatma yükümlülüğü (KVKK m.10 / GDPR Art.13-14), işlemenin hukuki sebebinin belirlenmesi ve belgelenmesi, özel nitelikli kişisel veri içeren belgeler için KVKK m.6 kapsamındaki şartların sağlanması, gerekiyorsa açık rızanın alınması, belgelerin kabul veya reddi ve belgelerin kendi süreçlerinde kullanılması Müşteri'ye aittir. Müşteri, talep yönelttiği kişiyle arasında bu işlemeyi meşru kılan bir ilişki bulunduğunu ve talep ettiği belgelerin bu amaç için gerekli olduğunu beyan ve taahhüt eder
• Veri İşleyen: İmzala.org, belgeleri Müşteri'nin talimatı doğrultusunda teslim alır, saklar ve Müşteri'nin yetkili kullanıcılarının erişimine açar. Belgelerden, Veri Sorumlusu'nun ilgili belge kalemi için seçtiği kontrol yöntemlerinin (Belge Toplama Koşulları 10.6) gerektirdiği ölçü dışında bilgi çıkarmaz. Seçilen yöntem otomatik okumaysa belge yüklendiğinde Veri İşleyen'in kendi sunucusunda okunur ve beklenen belge türüne benzeyip benzemediği belirlenir. Okunan değerler saklanmaz; yalnızca alan adları ve eşleşme durumlarından oluşan okuma özeti, belgenin kaydıyla birlikte silinmek üzere tutulur. Belgeleri bunun dışında içeriklerine göre sınıflandırmaz ve kendi amaçları için kullanmaz: başka müşterilere açmaz, pazarlama, profilleme veya model eğitimi amacıyla işlemez. Belgeler Madde 2.3'teki sürelerle saklanır ve bu sürelerin sonunda imha edilir. İmzala.org ayrıca ilk yüklemeden önce belgeyi yükleyen kişiye, belgelerin hangi kuruluşa iletileceğini ve rolleri özetleyen bir onay ekranı gösterir ve kişinin onayını kaydeder; onay alınmadan belge yüklenemez. Bu onay belgelerin işlenmesine açık rıza değildir ve Müşteri'nin KVKK m.10 aydınlatma yükümlülüğünü ikame etmez, teknik bir güvence olarak buna eklenir
• İstisna (İmzala.org'un kendi veri sorumluluğu): Yükleme öncesi onay kaydı (onay anı, gösterilen metnin sürümü ve içerik özeti, metindeki kuruluş adı, maskelenmiş IP adresi, tarayıcı bilgisi) ile hizmetin güvenliği ve kötüye kullanımın önlenmesi için tutulan yükleme güvenlik kaydı (yükleme zamanı, maskelenmiş IP adresi, tarayıcı bilgisi) bakımından İmzala.org kendi veri sorumlusudur. Bu kayıtlar belge içeriğini içermez; hukuki sebepleri ve saklama süreleri KVKK Aydınlatma Metni §2.21 ve §9'da açıklanmıştır
• İlgili kişi başvuruları: Belge içeriğine ilişkin başvurular Müşteri'ye aittir; İmzala.org'a iletilen böyle bir başvuruyu Veri İşleyen, Madde 4.5 kapsamındaki destek yükümlülüğü çerçevesinde Müşteri'ye yönlendirir ve başvuru sahibine kime başvurması gerektiğini bildirir. Belgeyi yükleyen kişi, belgeyi Müşteri'ye gönderdikten sonra kendisi kaldıramaz; kaldırma talebi Müşteri'ye yöneltilir

Kapsam sınırı: Belge Toplama, belgenin gerçekliğini veya içeriğinin doğruluğunu denetleyen bir hizmet değildir; belgelerin kabul veya reddi kararı Müşteri'ye aittir. Bu özellik için yeni bir alt veri işleyen kullanılmaz: talep daveti Ek-3'teki e-posta alt veri işleyeni üzerinden, açılma ve tıklama izleme kapalı olarak gönderilir; belgeler Veri İşleyen'in Türkiye'deki altyapısında saklanır.

MADDE 4: VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ

Veri İşleyen aşağıdaki yükümlülükleri kabul eder (GDPR Art.28(3) + KVKK m.12 gereği):

4.1 Talimat Doğrultusunda İşleme:

Kişisel verileri yalnızca Veri Sorumlusu'nun belgelendirilmiş talimatları doğrultusunda işler. Yasal yükümlülük (mahkeme emri vb.) durumunda Veri Sorumlusu'nu derhal bilgilendirir. Bu bildirim yükümlülüğü Veri İşleyen'e yöneltilen taleplerle sınırlıdır. Ek-3'te belirtilen veri merkezi sağlayıcıları, kendi standart hizmet sözleşmeleri uyarınca yetkili adli ve idari mercilerin taleplerini Veri İşleyen'e önceden haber vermeksizin karşılayabilir; Veri İşleyen böyle bir talepten haberdar olduğu anda, hukuken engel bulunmadıkça, Veri Sorumlusu'nu derhal bilgilendirir.

4.2 Personel Gizliliği:

Kişisel verilere erişim yetkisi olan tüm personeli yasal veya sözleşmesel gizlilik yükümlülüğü altına alır (NDA imzalı).

4.3 Güvenlik Tedbirleri (GDPR Art.32):

Risk düzeyine uygun teknik ve idari güvenlik tedbirleri uygular. Bu sözleşmenin Ek-2'sinde detaylandırılmıştır.

4.4 Alt Veri İşleyen (Subprocessor) Yönetimi:

• Mevcut alt işleyenler bu sözleşmenin Ek-3'ünde listelenmiştir
• Yeni alt işleyen eklenmeden 30 gün önce Veri Sorumlusu'na bildirim yapılır
• Veri Sorumlusu makul gerekçeyle itiraz edebilir; itiraz halinde tarafların görüşmesi yapılır
• Bulut ve yazılım hizmeti sağlayan alt işleyenler aynı veri koruma yükümlülüklerini sözleşme yoluyla üstlenir. Yalnızca sunucu barındırma ve ağ bağlantısı sağlayan veri merkezi sağlayıcıları (Ek-3'te belirtilir) Veri İşleyen ile ayrı bir veri işleme sözleşmesi imzalamaz; bu sağlayıcılarla ilişki sağlayıcının standart hizmet sözleşmesine dayanır. Veri İşleyen bu durumdan doğan riski kendi teknik ve idari tedbirleriyle sınırlar (sunucu işletiminin ve yönetim erişiminin yalnızca Veri İşleyen'de olması, yedek kopyalarda diskte şifreleme), bu sağlayıcıların fiillerinden Veri Sorumlusu'na karşı kendi fiili gibi sorumludur ve Veri Sorumlusu'nun bu madde kapsamındaki itiraz hakkı bu sağlayıcılar için de saklıdır
• Güvenlik veya iş sürekliliği gerekçesiyle ivedi devreye alma zorunluluğu doğarsa alt işleyen, devreye alınmasından itibaren en geç 5 iş günü içinde bildirilir; Veri Sorumlusu'nun itiraz hakkı saklıdır

4.5 Veri Sahibi Hakları:

Veri Sorumlusu'nun veri sahibi haklarını yerine getirmesinde teknik ve organizasyonel destek sağlar (uygun olduğu ölçüde):

• Erişim hakkı (KVKK m.11 / GDPR Art.15)
• Düzeltme hakkı (KVKK m.11 / GDPR Art.16)
• Silme / unutulma hakkı (KVKK m.7 / GDPR Art.17): tek tıkla self-serve API mevcut
• Taşınabilirlik hakkı (GDPR Art.20): JSON+ZIP export self-serve API
• İtiraz hakkı (GDPR Art.21)

4.6 İhlal Bildirim:

• Bir kişisel veri ihlali fark edildikten 48 saat içinde Veri Sorumlusu'na bildirim yapılır
• Bildirim içeriği: ihlalin niteliği, etkilenen veri kategorileri, etkilenen veri sahibi sayısı, alınan önlemler, iletişim noktası
• Veri Sorumlusu'nun KVKK Kurumu / İlgili otoriteye 72 saat bildirim süresine yetişmesi için zamanında destek

4.7 Veri Koruma Etki Değerlendirmesi (DPIA) Desteği:

Veri Sorumlusu'nun GDPR Art.35 kapsamındaki DPIA çalışmalarına gerekli teknik bilgi ile destek olur.

4.8 Sözleşme Sona Erdiğinde:

• Veri Sorumlusu'nun tercihine göre kişisel veriler iade edilir veya silinir
• Yasal saklama yükümlülüğü olan veriler (TTK m.82, VUK m.253) anonimleştirilmiş olarak saklanır
• Canlı sistemlerdeki kişisel veriler 90 gün içinde silinir. Silinen verilerin şifreli kopyaları, hizmetin geri yüklenebilmesi için tutulan yedeklerde kalmaya devam edebilir; bu kopyalar başka bir amaçla işlenmez, Veri Sorumlusu'na geri yükleme hizmeti olarak sunulmaz ve yalnızca felaket kurtarma gerektiğinde geri yüklenir
• Bu fıkradaki iade ve silme yükümlülüğü ile Madde 4.5 kapsamındaki ilgili kişi başvurularına destek yükümlülüğü, Veri Sorumlusu'nun kendi hedefine (Madde 4.11 ve 4.12) iletilmiş kopyaları kapsamaz. Bu kopyalar Veri Sorumlusu'nun kendi altyapısındadır; iadesi, silinmesi ve bir ilgili kişi başvurusu üzerine işleme alınması Veri Sorumlusu'na aittir

4.9 Denetim Hakkı:

• Veri Sorumlusu yıllık denetim hakkına sahiptir
• Denetim 30 gün önceden yazılı bildirim ile yapılır
• İmzala.org gerekli bilgi ve dokümantasyonu sağlar
• Önceden anlaşılmış 3rd party denetçiler ile yapılabilir
• Veri Sorumlusu makul kapsamı dışındaki maliyetleri karşılar

4.10 Destek Amaçlı Erişim:

• Veri İşleyen'in destek personeli, Veri Sorumlusu'nun hesabına ve hesabındaki kişisel verilere yalnızca Veri Sorumlusu'nun talebi üzerine veya hizmetin sunulması için zorunlu bir sorunun giderilmesi amacıyla, amaçla sınırlı olarak erişir
• Bu erişimler kapsamında gerçekleştirilen işlemler kayıt (log) altına alınır; erişim yetkisi 4.2 kapsamındaki gizlilik yükümlülüğüne tabi personelle sınırlıdır
• Destek sırasında erişilen kişisel veriler kopyalanmaz, destek amacı dışında işlenmez ve üçüncü kişilerle paylaşılmaz

4.11 Veri Sorumlusu'nun Bağladığı İletişim Kanalları:

Veri Sorumlusu, imza sürecine ilişkin bildirimlerin kendi iletişim sağlayıcısı (SMS, SMTP veya e-posta API sağlayıcısı, WhatsApp Business hesabı) üzerinden iletilmesini seçebilir. Bu seçim ve entegrasyon ayarları, bu Sözleşme'nin 4. maddesi anlamında belgelendirilmiş talimat niteliğindedir. Bu hâlde:

• (a) Seçilen sağlayıcı imzala.org'un alt veri işleyeni değildir. SMS ve e-posta sağlayıcıları Veri Sorumlusu'nun kendi veri işleyenidir; WhatsApp Business hesabında sağlayıcının rolü Veri Sorumlusu ile sağlayıcı arasındaki sözleşmeye tabidir. Sağlayıcı ile gerekli sözleşmeyi yapmak, sağlayıcının işlemesinden doğan sorumluluğu üstlenmek ve gerekli hukuki dayanağı sağlamak Veri Sorumlusu'na aittir.
• (b) Sağlayıcının yurt dışında bulunması hâlinde, KVKK m.9 uyarınca aktarımın hukuki dayanağını ve uygun güvence mekanizmasını sağlamak Veri Sorumlusu'nun yükümlülüğündedir. imzala.org, bu talimatı yerine getirirken iletimi teknik olarak gerçekleştirir; sağlayıcının veri işleme faaliyetleri üzerinde belirleme yetkisi yoktur.
• (c) Veri Sorumlusu, seçtiği kanaldan yalnızca işlemsel bildirim gönderileceğini, ilgili kişilere karşı aydınlatma yükümlülüğünü yerine getirdiğini ve gönderici bilgileri üzerinde hak sahibi olduğunu taahhüt eder.
• (d) Kanalın kullanılamaması hâlinde uygulanacak davranış (imzala.org'un sistem kanalına düşülmesi veya gönderimin yapılmaması) Veri Sorumlusu tarafından kurulum sırasında seçilir ve talimat olarak kayda alınır. Varsayılan davranış, bildirimin imzala.org'un sistem kanalından gönderilmesidir.
• (e) Bu fıkra kapsamındaki taahhütlere aykırılıktan doğan idari yaptırım ve tazminat talepleri Veri Sorumlusu'na aittir.

Bu fıkra yalnızca bildirimlerin iletimine ilişkindir. İmza delili kayıtları (IP adresi, zaman damgası, mühür ve denetim kayıtları) ile bunların yasal saklama yükümlülükleri bakımından bu Sözleşme'de ve aydınlatma metinlerinde belirtilen rol dağılımı değişmez.

4.12 Veri Sorumlusu'nun Bağladığı Depolama Hedefi:

Veri Sorumlusu, tamamlanan sözleşmelerin bir kopyasının kendi depolama hedefine (SFTP, FTPS, S3 uyumlu depolama veya WebDAV) yüklenmesini seçebilir. Bu seçim, hedefin adresi, hedefin bulunduğu ülkeye ilişkin beyanı, klasör yolu kalıbı ve tamamlanma sertifikasının yüklenip yüklenmeyeceğine ilişkin tercih, bu Sözleşme'nin 4. maddesi anlamında belgelendirilmiş talimat niteliğindedir. Bu hâlde:

• (a) Seçilen depolama sağlayıcısı imzala.org'un alt veri işleyeni değildir; bu sağlayıcının rolü Veri Sorumlusu ile sağlayıcı arasındaki sözleşmeye tabidir. Hedef Veri Sorumlusu'nun kendi hesabıdır, bağlantı bilgilerini Veri Sorumlusu verir ve imzala.org ile seçilen depolama sağlayıcısı arasında herhangi bir sözleşme ilişkisi bulunmaz. Sağlayıcı ile gerekli sözleşmeyi yapmak, sağlayıcının işlemesinden doğan sorumluluğu üstlenmek ve gerekli hukuki dayanağı sağlamak Veri Sorumlusu'na aittir.
• (b) Hedefin Türkiye dışında olması hâlinde, KVKK m.9 uyarınca aktarımın hukuki dayanağını ve uygun güvence mekanizmasını sağlamak Veri Sorumlusu'nun yükümlülüğündedir. Türkiye dışındaki hedefler varsayılan olarak kapalı ayrı bir ayara bağlıdır; ayar kapalıyken yeni bir yurt dışı hedef tanımlanamaz ve sırada bekleyen yüklemeler iletilmez. Ayarın açılmasında Veri Sorumlusu'ndan, onaylanan metnin sürümü, onaylayan kullanıcı ve onay zamanı ile birlikte kaydedilen açık bir talimat teyidi alınır. imzala.org, bu talimatı yerine getirirken yüklemeyi teknik olarak gerçekleştirir; hedefteki işleme faaliyetleri üzerinde belirleme yetkisi yoktur.
• (c) Hedefe yalnızca imzalı sözleşmenin mühürlenmiş PDF kopyası, Veri Sorumlusu seçtiyse tamamlanma sertifikası ve varsayılan olarak açık olan özet bilgi dosyası yüklenir. Ham biyometrik görüntüler, yüz şablonları ve kimlik belgesi görüntüleri hedefe yüklenmez. Özet bilgi dosyasına taraflara ait ad, e-posta, telefon, T.C. kimlik numarası veya IP alanı yazılmaz; yazılan tek serbest metin, Veri Sorumlusu'nun belirlediği sözleşme başlığıdır. Bu dosyadaki doğrulama bağlantısı herkese açık doğrulama sayfasına gider ve bağlantıyı elinde bulunduran kişi orada maskeli taraf bilgisini görebilir. Tamamlanma sertifikası taraf ad ve soyadı ile e-posta adresini, maskelenmiş telefon numarasını, maskelenmiş T.C. kimlik numarasını, görüntüleme ve imza zamanını, bu anlardaki maskelenmiş IP adresi ile cihaz bilgisini, yaklaşık düzeye indirgenmiş imza konumunu, imzacı başına doğrulama durumu göstergelerini (canlılık doğrulaması yapılmışsa sayısal canlılık skoru dahil), bildirimlerin gönderim zamanları ile e-postanın alıcı sunucu tarafından kabul edildiği an ve bağlantının tıklandığı zamanı, belgenin SHA-256 özet değerini ve herkese açık doğrulama sayfasına giden bağlantı ile karekodu içerir. Tarafın durumu (imzaladı, onayladı, onay vermedi, reddetti) yalnızca bir gösterge olarak yer alır; reddin serbest metin gerekçesi sertifikaya yazılmaz. Dosya adları bu sürüm itibarıyla hizmet tarafından belirlenir; hedefteki klasör yolu Veri Sorumlusu'nun belirlediği kalıba göre oluşturulur ve bu kalıp sözleşme başlığını içerebilir.
• (ç) Hedefe yüklenen sözleşme metninin kendisi, Veri Sorumlusu'nun yüklediği içeriğe bağlı olarak KVKK m.6 (GDPR Art.9) kapsamında özel nitelikli kişisel veri içerebilir. Bu verinin işlenmesi ve aktarılması için aranan ek şartların (yurt dışına aktarım hâlinde m.9 şartları dahil) sağlanması Veri Sorumlusu'nun yükümlülüğündedir; imzala.org yüklenen belgenin içeriğini bu yönden incelemez ve sınıflandırmaz.
• (d) Hedefe bağlanmak için verilen bilgiler (kullanıcı adı, parola, anahtar) şifrelenerek saklanır (AES-256-GCM, bu amaca ayrılmış ve sürümü izlenen bir şifreleme anahtarıyla). Veri Sorumlusu'nun hedefte imzala.org'a yalnızca yükleme için gerekli asgari yetkiyi (yazma yetkisi) tanımlaması önerilir; imzala.org'a hedefte tanınan yetkinin kapsamını Veri Sorumlusu belirler. Hedefin kendi güvenliğinin sağlanması Veri Sorumlusu'na aittir.
• (e) Yüklenen dosyaların ayrı bir kopyası imzala.org'da tutulmaz; yalnızca sözleşme başlığı, hedefteki klasör yolu, dosya başına ad, boyut ve SHA-256 özet değeri ile başarısızlık hâlinde hata kodundan oluşan bir teslimat kaydı tutulur. Bu kayıt dosya içeriği taşımaz ve sözleşmenin kendisi imzala.org'da silinse dahi, kopyanın hangi hedefe ne zaman yazıldığı sorusu cevaplanabilsin diye kalmaya devam eder. imzala.org'un hedefe ulaşan kopya üzerinde belirleme ve denetim yetkisi yoktur ve bu kopyayı yükleme işlemi dışında hiçbir amaçla işlemez; kopyanın saklanması, erişim yetkileri, yedeklenmesi ve bir silme talebi üzerine silinmesi Veri Sorumlusu'nun kendi altyapısında ve sorumluluğundadır.
• (f) Hedef sistemin kendi güvenliği, erişim yönetimi, saklanması ve silinmesi Veri Sorumlusu'nun yükümlülüğündedir; bu alanlardan doğan idari yaptırım ve tazminat talepleri ile bu fıkra kapsamındaki taahhütlere aykırılıktan doğan talepler Veri Sorumlusu'na aittir. imzala.org'un kendi kusurundan doğan sorumluluğu ile kastı ve ağır ihmali hâlindeki sorumluluğu saklıdır; bu bent MADDE 7'deki sorumluluk düzenini değiştirmez.
• (g) Veri Sorumlusu, tanımladığı hedef üzerinde tasarruf yetkisine ve verdiği bağlantı bilgilerini kullanma hakkına sahip olduğunu, hedef hesabın kendisine ait olduğunu ve hedefe aktarım bakımından ilgili kişilere karşı kendi aydınlatma yükümlülüğünü yerine getirdiğini taahhüt eder. Bu fıkra kapsamındaki taahhütlere aykırılıktan doğan üçüncü kişi talepleri, idari yaptırımlar ve tazminat istemlerinde Veri Sorumlusu, imzala.org'un yazılı bildirimi üzerine imzala.org'un uğradığı zararı karşılar, savunmaya makul ölçüde katkı sağlar ve imzala.org'un yazılı onayı olmadan imzala.org'u bağlayacak bir sulh yapmaz. Bu bentteki karşılama yükümlülüğü Veri Sorumlusu'na ait olduğundan MADDE 7.2'deki üst sınırın kapsamı dışındadır; anılan üst sınır yalnızca Veri İşleyen'in sorumluluğuna ilişkindir. imzala.org'un kendi kusurundan doğan sorumluluğu ile kastı ve ağır ihmali hâlindeki sorumluluğu saklıdır.

Bu fıkra yalnızca tamamlanan sözleşmenin kopyasının Veri Sorumlusu'nun hedefine yüklenmesine ilişkindir. imzala.org tarafındaki asıl kayıtlar, imza delili kayıtları ve bunların yasal saklama yükümlülükleri bakımından bu Sözleşme'de ve aydınlatma metinlerinde belirtilen rol dağılımı değişmez.

4.13 Yapay Zeka Destekli Özellikler:

Madde 2.2'deki yapay zeka destekli özellikler isteğe bağlıdır ve Veri Sorumlusu'nun belgelendirilmiş talimatı olmadan çalışmaz. Sözleşme analizi, alan tespiti ve şablon hazırlamada talimat, Veri Sorumlusu'nun yetkili kullanıcısının özelliği belirli bir belge için başlatması ve işlem öncesi gösterilen onay ekranını kabul etmesidir. Belge Toplama'daki imza sirküleri yorumlamasında talimat, (g) bendindeki kurum izni ve kalem kabulüdür. Her iki hâlde talimat, Veri Sorumlusu'nun (d) bendindeki kurum ayarıyla izin verdiği ölçüde bu Sözleşme'nin 4. maddesi anlamında belgelendirilmiş talimat niteliğindedir. Bu hâllerde:

• (a) Belge içeriği, Ek-3'te listelenen yapay zeka alt veri işleyeni (OpenRouter, Inc., ABD) üzerinden bir yapay zeka modeline, kalıcı saklamanın kapalı olduğu yapılandırmayla ve yalnızca istenen işlem için iletilir. İçerik model eğitiminde kullanılmaz. imzala.org bu içeriği kendi amaçları için kullanmaz, başka müşterilere açmaz ve profilleme amacıyla işlemez.
• (b) Üretilen sonuçlar öneri ve bilgilendirme niteliğindedir, hukuki danışmanlık değildir. Yerleştirilen alanlar ve hazırlanan şablon, kullanıcı sözleşmeyi göndermeden veya şablonu yayımlamadan önce kullanıcı tarafından gözden geçirilebilir ve değiştirilebilir; belgeye ilişkin nihai karar Veri Sorumlusu'na aittir.
• (c) Onay ekranı, belge içeriğinde geçen kişiler bakımından Veri Sorumlusu'nun KVKK m.10 aydınlatma yükümlülüğünü, KVKK m.9 kapsamındaki aktarım dayanağını ve özel nitelikli kişisel veriler bakımından KVKK m.6 kapsamındaki yükümlülüklerini ikame etmez. İmza sirküleri yorumlamasında belgeyi yükleyen kişiye gösterilen bilgilendirme açık rıza değildir ve aktarım dayanağı yerine geçmez.
• (d) Kurum ayarıyla kapatma: Veri Sorumlusu, kurum sahibi veya yöneticisi aracılığıyla bu özellikleri kurum çalışma alanı genelinde kapatabilir. Kapatma, bu işlemeye ilişkin talimatın geri alınması niteliğindedir ve ileriye dönük etkilidir: kapatmadan sonra kurum çalışma alanındaki belgeler için yeni bir işlem başlatılamaz ve sırada bekleyen işlemler alt veri işleyene iletilmeden durdurulur. Kapatma anında alt veri işleyene iletilmiş bir istek geri alınamaz. Kapatmadan önce üretilmiş sonuçlar kendiliğinden silinmez; Madde 2.3'teki saklama ve silme kuralları bu sonuçlar için geçerliliğini korur. Kapatma, kurum üyelerinin kişisel çalışma alanlarını, kullanıcıların indirdiği belgeleri ve imzala.org dışındaki araçlarda yapılan işlemleri kapsamaz.
• (e) MCP erişimi: Veri Sorumlusu ayrıca, yapay zeka asistanlarının imzala.org API'sine bağlanmasını sağlayan resmî İmzala MCP istemcisinin kurum çalışma alanındaki verilere erişimini kurum ayarıyla kapatabilir. Bu ayar bir kurum politikasıdır, teknik bir erişim kilidi değildir: imzala.org yalnızca resmî istemcinin güncel sürümlerinden gelen istekleri tanıyarak reddeder; istemcinin eski sürümlerini, kendini farklı tanıtan istemcileri ve API anahtarını başka bir araçta kullanan kullanıcıyı engellemez. API anahtarlarının kimlere verileceği ve hangi araçlarda kullanılacağı Veri Sorumlusu'nun kendi yetki yönetimindedir. Kullanıcının seçtiği yapay zeka aracının API erişimiyle aldığı veriler bakımından o aracın sağlayıcısı imzala.org'un alt veri işleyeni değildir.
• (f) (d) ve (e) bentlerindeki ayarların her değişikliği, değiştiren kullanıcı ve değişiklik zamanıyla birlikte kayda alınır ve kurum sahibine bildirilir. Varsayılan olarak her iki özellik de kullanıma açıktır; kapatma ayarı Veri Sorumlusu tarafından etkinleştirilmedikçe uygulanmaz. (g) bendindeki imza sirküleri yorumlaması bu varsayılanın dışındadır.
• (g) İmza sirküleri yorumlaması: Bu özellik varsayılan olarak kapalıdır. Kurum sahibi veya yöneticisinin kurum genelinde izin vermesi ve belge talebinin ilgili kaleminde seçilip, kabul eden kullanıcı, kabul zamanı ve kabul metninin sürümüyle kayda alınması gerekir. Bu izin ve kabul, ilgili kalemde yüklenen her imza sirküleri bakımından Veri Sorumlusu'nun belgelendirilmiş talimatıdır. İşlem, belge yüklendiğinde ve yalnızca otomatik okuma unvan, yetkili, kullanım şekli veya temsil süresinden birini çıkaramazsa kendiliğinden yapılır. Alt veri işleyene yalnızca sirkülerin bilgi bölümü iletilir: adlar ve unvan koda çevrilir, kimlik numarası ve tarihler dışındaki sayılar çıkarılır, adres satırları ve açıklama metni gönderilmez. Kodlar yalnızca Veri İşleyen'in sisteminde açılır. Veri Sorumlusu, kurum iznini geri alarak veya (d) bendindeki kapatmayla işlemi ileriye dönük olarak durdurabilir. (a) ile (c) bentleri bu işlem için de geçerlidir. Belgeyi yükleyen kişiye ve belgede geçen kişilere yönelik aydınlatma Veri Sorumlusu'na aittir. Bu işlem için KVKK m.9 kapsamında uygun güvence (Kurul standart sözleşmesi) henüz sağlanmamıştır; imzala.org bu seçeneği değerlendirmektedir. Veri Sorumlusu kurum iznini vermeden önce bu durumu değerlendirir ve izni vermeyerek aktarımın doğmasını önleyebilir.

MADDE 5: VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

• Kişisel verilerin hukuka uygun toplanmasını sağlamak (KVKK m.5-6)
• Veri sahiplerinin aydınlatılmasını sağlamak (KVKK m.10)
• Yasal dayanağı temin etmek (açık rıza, sözleşmenin ifası, hukuki yükümlülük, meşru menfaat vb.)
• Veri İşleyen'e meşru ve sınırlı talimatlar vermek
• İhlal bildiriminin yetkili otoriteye iletilmesi
• Belgedeki isme göre imzacı eşleştirme: Veri Sorumlusu, şablon rolüne tanımladığı kişi listesinin doğruluğundan ve güncelliğinden (kurumdan ayrılan kişilerin listeden çıkarılması dâhil) ve eşleştirme sonucunun gönderim onayından önce denetlenmesinden sorumludur. Eşleştirme yardımcı bir araçtır; hangi belgenin kime gönderileceğine ilişkin nihai karar Veri Sorumlusu'na aittir. imzala.org, belge metninde yalnızca Veri Sorumlusu'nun tanımladığı adları arar ve sonucu ona gösterir; eşleşmenin doğruluğunu garanti etmez.
• Organizasyon davetleri: Veri Sorumlusu (kuruluş), organizasyon davet özelliğiyle üçüncü kişi (davet edilen) verisini (ad / e-posta / telefon) Platform'a girdiğinde veri sorumlusu sıfatıyla hareket eder; bu kişilerin aydınlatılması ve davete yetkili olunduğunun beyanı münhasıran Veri Sorumlusu'na aittir. imzala.org bu verileri yalnızca daveti iletmek (e-posta / SMS) için veri işleyen sıfatıyla işler ve kısa saklama + otomatik silme uygular. Davet edilen kişinin karşılama ekranında hesabını bulmak için isteğe bağlı girdiği telefon veya T.C. kimlik numarası bakımından ise imzala.org veri sorumlusu sıfatıyla hareket eder; bu bilgi yalnızca anlık eşleştirme sorgusunda kullanılır, saklanmaz ve içeriği kayıt altına alınmaz.

5.1 Davet özelliğinde teknik güvenceler: imzala.org, Veri Sorumlusu'nun yukarıdaki yükümlülükleri yerine getirip getirmediğini denetlemekle yükümlü değildir; ancak davet özelliğinin kullanımında Veri Sorumlusu'na şu teknik araçları sunar: (a) davet oluşturma ekranında "davet ettiğiniz kişiyi bilgilendirdiğinizi ve iletişim bilgilerini girmeye yetkili olduğunuzu kabul ediyorsunuz" onay kutusu: bu onay verilmeden davet gönderilemez; (b) her davet e-posta/SMS'inde Platform tarafından doğrudan davetliye iletilen KVKK aydınlatma metni. Bu mekanizmalara rağmen Veri Sorumlusu'nun aydınlatma/yetki yükümlülüğünü ihlal etmesinden doğan sorumluluk münhasıran Veri Sorumlusu'na aittir.

MADDE 6: YURT DIŞI AKTARIM

Hizmetin kullanımı sırasında bazı veriler yurt dışına aktarılabilir. Aşağıdaki kayıtlar üç gruba ayrılmıştır: (1) imzala.org'un kendi alt veri işleyenlerine yaptığı aktarımlar; (2) imzala.org'un kendi kanalından yapılan, ancak alıcının bağımsız veri sorumlusu olduğu aktarımlar; (3) Veri Sorumlusu'nun kendi sağlayıcısını veya kendi hedefini bağlaması hâlinde doğan ve burada yalnızca bilgi amacıyla gösterilen aktarımlar. Grupların hukuki sonucu Madde 6.1'dedir.

(1) imzala.org'un kendi alt veri işleyenlerine yaptığı aktarımlar:

• Yurt içi (birincil barındırma ve pasif yedek sunucu): Turhost, Türk Telekom İstanbul Gayrettepe veri merkezi; Güzel Hosting, Mars Data Center (diskte şifreli kopya); bu adımlar için m.9 yurt dışı aktarımı doğmaz
• AB içine (geçiş sürecindeki şifreli yedekler: Hetzner DE; e-posta: Mailgun EU): KVKK m.9 bakımından Kurul'ca yeterlilik kararı verilmiş ülke bulunmadığından, AB'ye aktarımlarda da uygun güvence (Kurul standart sözleşmesi) uygulanır
• ABD'ye (Cloudflare, Twilio, GitHub): Standart Sözleşme Maddeleri (SCC) Modül 2 imzalı. Google FCM (mobil push) hazırlık aşamasındadır; Firebase projesi kurulduğunda Google Veri İşleme Şartları (SCC dahil) yürürlüğe girecektir.
• ABD'ye, isteğe bağlı yapay zeka destekli özellikler için (OpenRouter, Inc.): yalnızca Veri Sorumlusu'nun yetkili kullanıcısı bir özelliği başlatıp işlem öncesi onay ekranını kabul ettiğinde belge metni ve sayfa görüntüleri iletilir (Madde 4.13); Belge Toplama'daki imza sirküleri yorumlamasında ise Veri Sorumlusu'nun kurum sahibi veya yöneticisinin izni ve kalem düzeyinde verdiği kabulle, belge yüklendiğinde otomatik olarak, yalnızca sirkülerin bilgi bölümünün (unvan, ticaret sicili ve vergi bilgisi, yetkili, kullanım şekli ve temsil süresi satırları) kodlanmış metni iletilir; adres satırları ile açıklama ve noter onay metni gönderilmez. Adlar ve şirket unvanı açık hâliyle gönderilmez; yerlerine yalnızca Veri İşleyen'in sisteminde açılabilen kodlar konur. Kimlik numarası, adres ve tarihler dışındaki sayılar gönderilmez. Kodlanmış metin kişisel veri niteliğini korur. İmza sirküleri yorumlamasında onay ekranı bulunmaz ve aktarım için açık rıza alınmaz (Madde 4.13(g)). Onay ekranı, işlemi başlatan kullanıcının kendi verileri bakımından açık rızasını alır; belge içeriğinde geçen taraflara veya üçüncü kişilere ait veriler bakımından bu onay KVKK m.9 kapsamındaki aktarım dayanağının yerine geçmez ve bu verilere ilişkin değerlendirme Veri Sorumlusu'na aittir. imzala.org bu aktarım için KVKK m.9 kapsamında uygun güvence (Kurul standart sözleşmesi) seçeneğini değerlendirmektedir. İstek kalıcı saklamanın kapalı olduğu yapılandırmayla yapılır ve içerik model eğitiminde kullanılmaz. Veri Sorumlusu bu özellikleri kurum çalışma alanı için kapatarak aktarımın doğmasını önleyebilir (Madde 4.13(d))
• Türkiye'ye (PayTR, NetGSM, Kobikom, TÜBİTAK): KVKK m.9 kapsamında yurt içi sayılır

(2) imzala.org'un kendi kanalından yapılan, alıcının bağımsız veri sorumlusu olduğu aktarımlar:

• İrlanda ve küresel altyapıya (WhatsApp / Meta Platforms Ireland Ltd.): imza daveti, hatırlatma ve tamamlanma bildiriminin imzala.org'un kendi WhatsApp hattından gönderilmesi. Kanal yalnızca Veri Sorumlusu onu bildirim kanalı olarak seçtiğinde çalışır; gönderim yine imzala.org'un hattından yapılır. İletilen veri telefon numarası, ad-soyad, imza bağlantısı ve mesaj metniyle sınırlıdır, belge içeriği iletilmez. Meta bu aktarımda Veri İşleyen'in alt işleyeni değil bağımsız veri sorumlusudur ve Veri İşleyen ile Meta arasında ayrı bir veri işleme sözleşmesi bulunmamaktadır; aktarım imzala.org'un kendi kanalından doğduğu için uygun güvence (Kurul standart sözleşmesi) süreci imzala.org tarafından yürütülmektedir. Veri Sorumlusu bu kanalı seçmeyerek aktarımı tümüyle önleyebilir. Veri Sorumlusu kendi WhatsApp Business hesabını bağladıysa gönderim o hesaptan yapılır ve aşağıdaki üçüncü grup ile Madde 4.11 uygulanır

(3) Veri Sorumlusu'nun kendi sağlayıcısını veya hedefini bağlaması hâlinde doğan aktarımlar (yalnızca bilgi amacıyla):

• Veri Sorumlusu'nun kendi iletişim sağlayıcısına (SMS, SMTP veya e-posta API sağlayıcısı, WhatsApp Business hesabı; yalnızca Veri Sorumlusu bu kanalı bağladıysa): imza sürecine ilişkin bildirimin iletilmesi; alıcının iletişim bilgisi, bildirim metni ve tamamlanma bildiriminde imzalı sözleşmenin PDF kopyası. Sağlayıcının bulunduğu ülke Veri Sorumlusu'nun seçimine bağlıdır. Seçilen sağlayıcı Veri İşleyen'in alt işleyeni değildir; aktarımın hukuki dayanağı ve uygun güvencesi Veri Sorumlusu'ndadır (Madde 4.11)
• Veri Sorumlusu'nun kendi depolama hedefine (SFTP, FTPS, S3 uyumlu depolama veya WebDAV; yalnızca Veri Sorumlusu bu hedefi tanımladıysa): tamamlanan sözleşmenin mühürlenmiş PDF kopyası, Veri Sorumlusu seçtiyse tamamlanma sertifikası ve özet bilgi dosyası. Hedefin bulunduğu ülke Veri Sorumlusu tarafından beyan edilir; Türkiye dışındaki hedefler varsayılan olarak kapalı ayrı bir ayara ve kaydedilen açık talimat teyidine bağlıdır. Seçilen depolama sağlayıcısı Veri İşleyen'in alt işleyeni değildir; aktarımın hukuki dayanağı ve uygun güvencesi Veri Sorumlusu'ndadır (Madde 4.12)

Bu sözleşmenin Ek-3'ündeki alt işleyen listesi her yurt dışı aktarım detayını içerir.

6.1 Kapsam sınırı ve grupların hukuki sonucu: Yalnızca birinci gruptaki alıcılar imzala.org'un kendi alt veri işleyenleridir ve bu aktarımlar imzala.org'un sağladığı güvence mekanizmalarına tabidir. İkinci gruptaki aktarım imzala.org'un kendi kanalından doğar: alıcı bağımsız veri sorumlusu olduğundan alt veri işleyen sayılmaz, ancak aktarımın uygun güvencesine ilişkin süreci yürütmek imzala.org'a aittir ve Veri Sorumlusu bu kanalı seçmeyerek aktarımın doğmasını önleyebilir. Üçüncü gruptaki aktarımlar, Veri Sorumlusu'nun kendi iletişim sağlayıcısını (Madde 4.11) veya kendi depolama hedefini (Madde 4.12) bağlaması hâlinde doğar: ilgili veriler Veri Sorumlusu'nun talimatıyla, onun hesabı ve onun sağladığı hukuki dayanak ile o sağlayıcıya veya hedefe iletilir. Yalnızca bu üçüncü gruptaki aktarımlar imzala.org'un güvence mekanizmalarına tabi değildir ve burada yalnızca bilgi amacıyla gösterilmiştir; söz konusu sağlayıcıların kimliği, bulunduğu ülke ve aktarım güvencesi Veri Sorumlusu'nun sorumluluğundadır ve Veri Sorumlusu'nun kendi kayıt ve aydınlatma metinlerine yansıtılır.

MADDE 7: SORUMLULUK VE TAZMİNAT

7.1 Tarafların sorumluluğu kendi yükümlülüklerini ihlal ettikleri ölçüde geçerlidir.

7.2 Veri İşleyen'in sorumluluk üst sınırı, son 12 ayda Veri Sorumlusu'ndan tahsil edilen ücretler ile sınırlıdır (kasıt veya ağır kusur halleri hariç).

7.3 Veri Sorumlusu'nun KVKK m.12 ile ilgili düzenleyici para cezaları için Veri İşleyen yalnızca kendi ihlalleri ile sınırlı tazminatla yükümlüdür.

MADDE 8: UYUŞMAZLIK VE UYGULANACAK HUKUK

Bu sözleşme Türkiye Cumhuriyeti kanunlarına tabidir. Uyuşmazlıklarda İstanbul (Çağlayan) Mahkemeleri ve İcra Daireleri yetkilidir.

8.1 Yetki kuralının sınırı ve emredici hükümlerin saklılığı: Yukarıdaki yetki anlaşması, 6100 sayılı Hukuk Muhakemeleri Kanunu m.17 uyarınca yalnızca tarafların tacir veya kamu tüzel kişisi olduğu hâllerde geçerlidir. Veri Sorumlusu'nun tacir veya kamu tüzel kişisi olmadığı hâllerde (örneğin dernek, vakıf ya da apartman ve site yönetimi) bu yetki anlaşması uygulanmaz; yetkili mahkeme Hukuk Muhakemeleri Kanunu'nun genel yetki kurallarına göre belirlenir. Veri Sorumlusu'nun 6502 sayılı Tüketicinin Korunması Hakkında Kanun anlamında tüketici sayıldığı hâllerde, anılan Kanun'un emredici hükümleri ile tüketici lehine öngörülen yetkili merci kuralları saklıdır. Her hâlde 6098 sayılı Türk Borçlar Kanunu m.20-25'teki genel işlem koşullarına ilişkin hükümler saklıdır ve bu sözleşmenin aksi yöndeki hükümleri o taraf bakımından uygulanmaz.

MADDE 9: YÜRÜRLÜK

Bu DPA, [tarih] tarihinde yürürlüğe girer ve aşağıdaki taraflar arasındaki Hizmet Sözleşmesi süresi boyunca geçerlidir. Aksi yazılı olarak kararlaştırılmadıkça Hizmet Sözleşmesi sona erdiğinde otomatik olarak fesholur.

EK-1: HİZMET TANIMI

Sunulan hizmetler:

• Dijital sözleşme yönetimi ve dijital imza platformu (tarayıcıdan atılan dijital imza 5070 sayılı Kanun m.3 anlamında elektronik imzadır; AB hukuku bakımından gelişmiş veya nitelikli imza olarak sunulmaz)
• Sözleşme şablon yönetimi
• API erişimi (REST)
• Webhook bildirim sistemi
• TÜBİTAK KAMU SM nitelikli zaman damgası entegrasyonu
• Belge arşivleme
• Sözleşmeden bağımsız kimlik doğrulama (panel ve API): kimlik belgesi okuma (OCR / MRZ), telefon doğrulama (tek kullanımlık kod) ve konum kaydı
• İsteğe bağlı yapay zeka destekli özellikler: sözleşme analizi, alan tespiti ve şablon hazırlama (Madde 4.13; kurum ayarıyla kapatılabilir)
• Belge Toplama'da imza sirküleri yorumlaması (Madde 4.13(g))

EK-2: TEKNİK VE İDARİ GÜVENLİK TEDBİRLERİ

Şifreleme:

• TLS 1.2 / 1.3 (transit)
• AES-256 (off-site backup, client-side)
• AES-256-GCM (pasif yedek sunucu diski, ZFS; anahtar Veri İşleyen tarafından yönetilir)
• RSA-2048 (KMS dijital imza)
• SHA-256 (hash, belge bütünlüğü)

Erişim Kontrolü:

• JWT RS256 + RBAC
• Tüm yönetim panellerinde MFA zorunlu
• OTP doğrulama (e-posta + SMS)
• Periyodik erişim incelemesi (3 ayda bir)

Ağ Güvenliği:

• Cloudflare WAF + DDoS koruma
• Kubernetes NetworkPolicy ile namespace izolasyonu
• VPN-only yönetim panellerine erişim

İzleme ve Audit:

• Prometheus + Grafana metrikleri (24/7)
• Loki log aggregation (PII otomatik maskelenir)
• GlitchTip error tracking
• Audit log 5 yıl saklama
• Backup health monitor (hourly)

Yedekleme:

• Velero (K8s): daily 03:00 + weekly 04:00 UTC
• PostgreSQL pg_dump: 6 saatte bir
• Proxmox vzdump: daily 02:00 UTC
• Off-site Storage Box (encrypted AES-256 client-side, AB lokasyon)
• ZFS replikasyonu: 15 dakika aralıkla pasif yedek sunucuya (Türkiye, diskte AES-256-GCM şifreli)
• RTO: 4-8 saat, RPO: 6 saat (DB)
• DR drill PASS (Nisan 2026)

Yedek Bütünlüğü ve Zaman Damgalı Audit Trail (9 Mayıs 2026'da prod'a alındı):

• Her yedek dosyası için SHA-256 bütünlük hash'i hesaplanır
• Hash, RFC 3161 trusted timestamp ile imzalanır (TÜBİTAK KAMUnet TSA, Policy OID 2.16.792.1.2.1.1.5.7.3.1)
• Audit log (hash + zaman damgası + serial) forever retention: KVKK m.16 kayıt tutma
• Audit log Storage Box'a günlük mirror: bağımsız 3rd party konum
• Kapsam (faz 1-2): pg_dump (7 veritabanı, 6h cron) ve Proxmox vzdump (412 retroactive yedek dahil)
• Yayma planı (faz 3): Velero, MinIO ve OpenBao için aynı yapı
• Uyumluluk: KVKK m.12/1(a) + m.16, eIDAS Art. 41, ISO 27001 A.12.3.1, ISO 27701 6.5.3.4

Vulnerability Management:

• Trivy Operator (sürekli ConfigAudit + VulnerabilityReport)
• Renovate (otomatik dependency güncellemeleri)
• ClamAV antivirus (yüklenen dosyalar için)
• Pentest yıllık (3rd party, ISO 27001 sürecinde planlı)

İdari:

• Tüm personel NDA + AUP imzalı
• Yıllık güvenlik farkındalık eğitimi
• Incident response runbook (5 fazlı yanıt)
• İhlal, Veri Sorumlusuna gecikmeksizin bildirilir; Veri Sorumlusunun Kurum'a ihlal bildirimini (72 saat) desteklemek için bildirim şablonu hazırdır.

EK-3: ALT VERİ İŞLEYENLER (SUBPROCESSORS)

Aşağıdaki liste imzala.org'un kendi alt veri işleyenlerini gösterir. Organizasyonun kendi iletişim sağlayıcısını (Madde 4.11) veya kendi depolama hedefini (Madde 4.12) bağlaması hâlinde, o sağlayıcı bu listeye eklenmez; SMS ve e-posta sağlayıcıları organizasyonun kendi veri işleyeni olarak kalır, WhatsApp Business hesabında ve depolama hedefinde rol sağlayıcı ile organizasyon arasındaki sözleşmeye tabidir.

Güncel liste: /alt-isleyenler. Yeni alt işleyen ekleme bildirimleri için: [email protected]

Kimlik doğrulama için yeni alt işleyen yoktur. Kimlik belgesi görüntüsünün okunması (OCR / MRZ), İmzala.org'un kendi altyapısında çalışan ve yalnızca küme içinden erişilebilen bir servisle yapılır; belge görüntüsü üçüncü taraf bir doğrulama sağlayıcısına gönderilmez. Telefon doğrulama SMS'i ve bildirim e-postaları, aşağıda listelenen mevcut SMS ve e-posta alt işleyenleri üzerinden iletilir.

Alt İşleyen	Bölge	Amaç	Yasal Dayanak
Turhost	Türkiye (İstanbul)	Birincil sunucu altyapısı (Türk Telekom Gayrettepe DC, Tier 3)	Standart hizmet sözleşmesi (ayrı DPA yok) + Tier 3 DC; sunucu işletimi ve yönetim erişimi Veri İşleyen'de, sağlayıcının sözleşmesel hakları saklı
Güzel Hosting (GNET İnternet Telekomünikasyon A.Ş.)	Türkiye (Mars Data Center)	Pasif yedek sunucu (iş sürekliliği); üretim verisinin 15 dakika aralıkla alınan kopyası	Standart hizmet sözleşmesi (ayrı DPA yok) + Veri İşleyen'in kendi tedbiri olarak diskte AES-256-GCM şifreleme (anahtar Veri İşleyen tarafından yönetilir, sağlayıcıya verilmez); sağlayıcının sözleşmesel hakları saklı
Hetzner Online GmbH	Almanya (AB)	Off-site şifreli yedek (geçiş sürecinde)	DPA + ISO 27001
Cloudflare, Inc.	ABD/EU-Home	CDN, WAF, DDoS	DPA + SCC
Mailgun	Almanya (AB)	E-posta gönderim (CC / Bilgilendirilecek Kişiler gönderim ve tamamlanma bildirimleri dahil)	DPA
WhatsApp (Meta Platforms Ireland Ltd.): bağımsız veri sorumlusu, alt işleyen değildir	İrlanda / küresel altyapı	İmza daveti, hatırlatma ve tamamlanma bildirimi (Veri Sorumlusu kanalı açtıysa); telefon, ad-soyad, imza bağlantısı, mesaj metni; belge içeriği iletilmez	KVKK m.9; ayrı veri işleme sözleşmesi yoktur, Kurul standart sözleşmesi süreci yürütülmektedir
NetGSM, Kobikom	Türkiye	SMS gönderim	KVKK m.9 yurt içi
Twilio Inc.	ABD	Uluslararası SMS	DPA + SCC
Google LLC (Firebase Cloud Messaging)	ABD	Mobil push bildirim (cihaz jetonu + jenerik metin)	DPA + SCC (proje kurulumunda)
OpenRouter, Inc.	ABD	İsteğe bağlı yapay zeka destekli özellikler (sözleşme analizi, alan tespiti, şablon hazırlama); yalnızca kullanıcı başlatıp onayladığında belge metni ve sayfa görüntüleri; imza sirküleri yorumlamasında ise Veri Sorumlusu'nun kurum sahibi veya yöneticisinin izni ve kalem düzeyinde verdiği kabulle, belge yüklendiğinde otomatik olarak, yalnızca sirkülerin bilgi bölümünün (unvan, ticaret sicili ve vergi bilgisi, yetkili, kullanım şekli ve temsil süresi satırları) kodlanmış metni (adres satırları ile açıklama ve noter onay metni gönderilmez; adlar ve şirket unvanı açık hâliyle gönderilmez; yerlerine yalnızca Veri İşleyen'in sisteminde açılabilen kodlar konur. Kimlik numarası, adres ve tarihler dışındaki sayılar gönderilmez. Kodlanmış metin kişisel veri niteliğini korur); kurum ayarıyla kapatılabilir (Madde 4.13)	Kullanıcının kendi verisi için işlem bazında açık rıza (KVKK m.5/1, m.9); belgede geçen diğer kişiler için Veri Sorumlusu'nun değerlendirmesi; uygun güvence (standart sözleşme) değerlendirilmektedir. Kalıcı saklamanın kapalı olduğu yapılandırma, model eğitimi yok
PayTR	Türkiye	Ödeme işleme	PCI Level 1
TÜBİTAK KAMU SM	Türkiye	Zaman damgası	5070 sayılı kanun
Sectigo (Europe) SL	İspanya (AB)	İsteğe bağlı AB nitelikli zaman damgası (yalnızca belge özeti/hash iletilir)	Kişisel veri aktarımı içermez; AB Güven Listesi (QTST)
GitHub (Microsoft)	ABD	Kaynak kodu (PII yok)	DPA + SCC

İMZA