Kişisel Verilerin İşlenmesine İlişkin Sözleşme (Veri Sorumlusu – Veri İşleyen)

1. Taraflar ve amaç

1.1. Bu sözleşme, Stampul Hizmet ve Abonelik Sözleşmesi'ni (tos-v1) kabul eden İşletme ("Veri Sorumlusu") ile [ŞİRKET UNVANI] ("Stampul" veya "Veri İşleyen") arasında, Hizmet Sözleşmesi'nin eki olarak kurulmuştur.

1.2. Amaç, Stampul'un Hizmet'i sunarken Veri Sorumlusu adına işlediği kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemelere uygun işlenmesini sağlamaktır.

2. Roller

2.1. Veri Sorumlusu, kartına katılan Müşterilerin kişisel verilerinin işleme amaçlarını ve vasıtalarını belirleyen taraftır (KVKK md. 3/1-ı).

2.2. Stampul, bu verileri yalnızca Veri Sorumlusu'nun verdiği yetkiye dayanarak ve onun adına işler (KVKK md. 3/1-ğ). Stampul, Müşteri verilerini kendi amaçları için kullanmaz, birden fazla İşletme'nin Müşteri verilerini birleştirerek profil oluşturmaz, üçüncü kişilere satmaz veya kiralamaz.

2.3. Stampul, Hizmet'in iyileştirilmesi ve istatistik amacıyla yalnızca anonim hale getirilmiş, kişiyle ilişkilendirilemeyen toplu veriler kullanabilir (KVKK md. 3/1-b, md. 28/1-ç). ⚖️ Anonimleştirme yönteminin Kurul'un "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi"ne uygunluğu kontrol edilmelidir.

⚖️ Bu rol dağılımı, Stampul'un Müşteri verilerini yalnızca İşletme'nin talimatıyla kullandığı sürece geçerlidir. Ürüne çapraz işletme özellikleri (müşterinin birçok kafedeki kartını tek yerde görmesi, ağ çapında kampanya vb.) eklenirse Stampul ayrıca veri sorumlusu olur ve bu sözleşme yeniden düzenlenmelidir.

3. İşlenen veriler, amaçlar ve süre

Ayrıntılar Ek 1'dedir. Özetle:

Özel nitelikli kişisel veri işlenmez. Müşterilerden doğum tarihi istenmesi ileride eklenirse Ek 1 güncellenir.

4. Veri Sorumlusu'nun yükümlülükleri

4.1. Veri Sorumlusu;

• Müşterilere KVKK md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatma yapar (Stampul'un sağladığı şablon notice-customer-v1 katılım sayfasında gösterilir; İşletme bilgilerini doğru ve güncel tutmak Veri Sorumlusu'nun sorumluluğundadır);
• kampanya mesajları için açık rıza ve ticari elektronik ileti onayını, aydınlatmadan ayrı ve önceden işaretlenmemiş bir kutu ile alır (consent-marketing-v1);
• SMS veya e-posta ile ticari ileti gönderecekse İleti Yönetim Sistemi'ne (İYS) kaydolur;
• Stampul'a yalnızca hukuka uygun talimatlar verir.

4.2. Hizmet panelindeki ayarlar ve işlemler (program kurulumu, kampanya gönderimi, müşteri silme vb.) Veri Sorumlusu'nun talimatı sayılır.

5. Stampul'un yükümlülükleri

5.1. Talimata bağlılık: Stampul verileri yalnızca bu sözleşme ve Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda işler. Bir talimatın hukuka aykırı olduğunu düşünürse Veri Sorumlusu'nu derhal bilgilendirir.

5.2. Gizlilik: Verilere erişen Stampul çalışanları ve yüklenicileri yazılı gizlilik yükümlülüğü altındadır; erişim, görevin gerektirdiği kişilerle sınırlıdır.

5.3. Güvenlik (KVKK md. 12/1): Stampul, Kurul'un Kişisel Veri Güvenliği Rehberi'ni dikkate alarak en az Ek 3'teki teknik ve idari tedbirleri uygular. KVKK md. 12/2 uyarınca Stampul, bu tedbirlerin alınması bakımından Veri Sorumlusu ile birlikte müştereken sorumludur.

5.4. Pazarlama kuralı: Stampul'un sistemi, kampanya (tanıtım) içerikli mesajları yalnızca geçerli kampanya onayı kaydı bulunan Müşterilere gönderir. Bilgilendirme amaçlı kart güncellemeleri ("6/10", "ödülün hazır") bu kurala tabi değildir. ⚖️ Cüzdan kartı bildirimlerinin 6563 sayılı Kanun anlamında ticari elektronik ileti sayılıp sayılmadığı avukatla teyit edilmelidir; bu taslak ihtiyaten sayıldığını varsayar.

5.5. İlgili kişi başvuruları (KVKK md. 11, 13): Stampul, Müşteri başvurularını Veri Sorumlusu'na iletir ve panel üzerinden verilere erişim, düzeltme, dışa aktarma ve silme araçları sağlar. Doğrudan Stampul'a gelen başvurular en geç 3 iş günü içinde Veri Sorumlusu'na iletilir; Veri Sorumlusu'nun 30 günlük cevap süresine uyabilmesi için gereken destek verilir.

5.6. Veri ihlali (KVKK md. 12/5): Stampul, Müşteri verilerini etkileyen bir ihlali öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirim; ihlalin niteliğini, etkilenen veri ve kişi sayısını (tahmini), olası sonuçlarını ve alınan veya önerilen tedbirleri içerir. Kurul, ihlalin "en kısa süre" içinde ve 72 saat içinde bildirilmesini beklemektedir (Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı). ⚖️ Bildirimi kimin, hangi formla yapacağı ve Stampul'un birden çok İşletme'yi etkileyen ihlalde Kurul'a doğrudan bildirim yapıp yapmayacağı avukatla netleştirilmelidir.

5.7. Denetim: Stampul, bu sözleşmeye uyumunu gösteren bilgileri yılda bir kez, makul bir bildirimle Veri Sorumlusu'na sağlar. Yerinde denetim taleplerinin masrafı talep edene aittir.

6. Alt veri işleyenler

6.1. Veri Sorumlusu, Stampul'un Ek 2'de listelenen alt veri işleyenleri kullanmasına genel yetki verir.

6.2. Stampul, yeni bir alt veri işleyen eklemeden en az 30 gün önce Veri Sorumlusu'nu e-posta ile bilgilendirir. Veri Sorumlusu haklı bir sebeple itiraz ederse ve taraflar uzlaşamazsa, Veri Sorumlusu sözleşmeyi cezasız feshedebilir.

6.3. Stampul, alt veri işleyenlere bu sözleşmedekinden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Veri Sorumlusu'na karşı sorumludur.

7. Yurt dışına aktarım (KVKK md. 9)

7.1. Ek 2'de yurt dışında bulunduğu belirtilen alt veri işleyenlere aktarım, 7499 sayılı Kanun ile değişik KVKK md. 9 uyarınca, Türkiye için yeterlilik kararı bulunmadığı sürece Kurul'un standart sözleşmeleri (veri işleyenden veri işleyene modülü) ile yapılır. Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurul'a bildirilir.

7.2. Veri Sorumlusu, bu sözleşmeyi kabul ederek Ek 2'deki aktarımlar için Stampul'a talimat verdiğini kabul eder. ⚖️ Veri Sorumlusu (kafe) ile Stampul arasında ayrıca "veri sorumlusundan veri işleyene" modülünün gerekip gerekmediği; özellikle sunucu Almanya'da (Hetzner) ise hangi modülün kimler arasında imzalanacağı avukatla belirlenmelidir.

7.3. Stampul, yurt dışına giden veriyi en aza indirir: Apple'a iletilen kart güncellemeleri ad ve telefon numarası içermez; yalnızca kart seri numarası, bildirim kimliği ve kart içeriği (ör. pul sayısı) gönderilir. ⚖️ Kart içeriğinde Müşteri adı görünüyorsa (ön yüzde "Merhaba Elif"), bu bilginin Apple sunucularından geçip geçmediği teknik olarak kontrol edilmeli ve aktarım değerlendirmesi buna göre yapılmalıdır.

7.4. Stampul, Müşteri verilerinin bulunduğu ana veritabanını Türkiye'ye taşıması halinde Ek 2'yi günceller.

8. Sürenin sonu: iade ve silme

8.1. Hizmet Sözleşmesi sona erdiğinde Stampul, Veri Sorumlusu'nun talebi üzerine Müşteri verilerini yaygın kullanılan bir biçimde (CSV) 30 gün içinde teslim eder.

8.2. Bu sürenin sonunda Stampul, Müşteri verilerini (yedekler dahil, yedekler için en geç bir sonraki yedek döngüsünde) siler veya anonim hale getirir. Ayrıntılar Saklama ve İmha Politikası'ndadır (retention-v1). Kanunen saklanması zorunlu kayıtlar (ör. kampanya onay kayıtları) bu süreler boyunca saklanır ve başka amaçla kullanılmaz.

9. Sorumluluk ve süre

9.1. Bu sözleşme Hizmet Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer; 5.2, 8 ve 9. maddeler sona ermeden sonra da geçerlidir.

9.2. Sorumluluk sınırları Hizmet Sözleşmesi md. 11'de düzenlenmiştir. ⚖️ KVKK md. 12/2'deki müteselsil sorumluluk karşısında sorumluluk sınırının taraflar arası iç ilişkide nasıl işleyeceği avukatla değerlendirilmelidir.

Ek 1 — İşleme ayrıntıları

• İlgili kişiler: Veri Sorumlusu'nun sadakat kartına katılan Müşteriler.
• İşleme faaliyetleri: kayıt, saklama, kart oluşturma ve güncelleme, bildirim gönderme, raporlama, dışa aktarma, silme.
• Saklama süresi: Kart aktif olduğu sürece; son işlemden itibaren 24 ay hareketsiz kalan kartlar anonim hale getirilir (bkz. retention-v1).
• İşleme yeri: Ek 2'ye bakınız.

Ek 2 — Alt veri işleyenler

⚖️ Liste taslaktır; hizmet sağlayıcıları kesinleştiğinde güncellenmelidir. [ALT İŞLEYENLER]

Ek 3 — Teknik ve idari tedbirler

• Aktarımda şifreleme (TLS 1.2+) ve diskte şifreleme; telefon numaraları veritabanında ayrıca şifrelenir.
• Rol bazlı erişim: personel yalnızca kendi işletmesinin verisini görür; Stampul çalışanlarının üretim verisine erişimi kayıt altındadır.
• Pul, ödül ve geri alma işlemleri değiştirilemez olay kayıtlarına (card_events) yazılır.
• Pul işlemlerinde hız sınırı; geri alma yalnızca 10 dakika içinde ve kayıtlı.
• Günlük yedek, şifreli; yedekten geri yükleme testi en az üç ayda bir.
• Güvenlik güncellemeleri, parola politikası, iki adımlı doğrulama (yönetici hesapları için).
• Çalışanlar için gizlilik taahhüdü ve yıllık KVKK eğitimi.
• Veri ihlali müdahale prosedürü.