KİŞİSEL VERİLERİN İŞLENMESİ VE SAKLANMASI SÖZLEŞMESİ

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 12/2 uyarınca veri sorumlusu ile veri işleyen arasında

Son güncelleme: 21.10.2026

Madde 1 – Taraflar

Veri Sorumlusu: Portale kaydolan ya da Uygulamayı kuran firma. Unvanı, adresi ve iletişim bilgileri Portaldeki hesabında kayıtlı olan bilgilerdir.

Bu sözleşmede Veri Sorumlusu "Müşteri", Veri İşleyen "Hizmet Sağlayıcı", ikisi birlikte "Taraflar" olarak anılır.

Madde 2 – Tanımlar

1. Kanun / KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeleri.
2. Kurul / Kurum: Kişisel Verileri Koruma Kurulu / Kurumu.
3. Kişisel veri, ilgili kişi, veri sorumlusu, veri işleyen, işleme: KVKK m. 3'teki anlamlarıyla.
4. Sistem: ISPM-15 ısıl işlem fırınlarının ölçümlerini kaydeden masaüstü uygulaması ("Uygulama"), parti kayıtlarının ve belgelerin saklandığı web sunucusu ve yönetim paneli ("Portal") ile isteğe bağlı müşteri depolama ajanının bütünü (ISPM-15 Fırın Veri Kayıt Ağı).
5. Parti kaydı: Bir ısıl işlem partisine ait sıcaklık ölçümleri, başlangıç/bitiş zamanları, Uygulamaya girilen parti bilgileri ve bunlardan üretilen PDF rapor.
6. Medya: Partiye eklenen fotoğraf ve kamera (video) kayıtları.

Madde 3 – Konu ve Kapsam

Bu sözleşme, Hizmet Sağlayıcının Müşteriye sunduğu Sistem hizmeti sırasında Müşteri adına işlediği kişisel verilerin hangi amaçla, hangi kapsamda ve hangi güvencelerle işleneceğini, ne kadar saklanacağını ve nasıl imha edileceğini düzenler. Ticari şartlar (lisans, fiyat, kurulum, bakım) bu sözleşmenin konusu değildir; Taraflar arasındaki lisans/hizmet sözleşmesi ve Kullanım Koşulları ile düzenlenir.

Sistemin yazılımı Hizmet Sağlayıcı tarafından geliştirilmiştir ve ona aittir. Sistem Hizmet Sağlayıcı tarafından barındırılır ve işletilir.

Müşterinin kendi bilgisayarında kalan veriler (Uygulamanın yerel veritabanı, ayarlar ve yerel medya klasörü) Hizmet Sağlayıcının erişiminde değildir; bunların korunması ve imhası Müşterinin sorumluluğundadır. Hizmet Sağlayıcı yalnızca Portale gönderilen ve Portalde oluşan verileri işler.

Madde 4 – İşlenen Kişisel Veriler ve İlgili Kişiler

Hizmet Sağlayıcının Müşteri adına işlediği veri kategorileri ve saklama süreleri Ek-1 Veri Envanteri ve Saklama Tablosunda gösterilmiştir. Özetle:

• Müşteri çalışanları ve yetkilileri: panel kullanıcı adı, e-posta adresi, şifre özeti, iki adımlı doğrulama bilgisi, giriş zamanları, IP adresi ve tarayıcı bilgisi; ısıl işlem operatörünün adı ve sertifika bilgisi.
• Müşterinin iş ortakları: Uygulamaya girilen üretici firma unvanı, fırın adresi, ısıl işlemi uygulayan firmanın vergi numarası ya da (şahıs firmasında) T.C. kimlik numarası.
• Görüntüsü kayda girebilecek kişiler: Müşterinin fırın kamerası ya da çektiği fotoğraflarda yer alan çalışan, ziyaretçi ve diğer kişiler.
• Bilgisayar ve kurulum bilgileri: bilgisayar adı, işletim sistemi, cihaz kimliği, uygulama sürümü, IP adresi ve uygulama çalışma kayıtları (telemetri).

Sistem özel nitelikli kişisel veri (sağlık, biyometrik vb.) işlemek için tasarlanmamıştır; Müşteri not ve açıklama alanlarına bu tür veri girmemeyi kabul eder. Kamera görüntüleri yalnızca ısıl işlem sürecini belgelemek için kullanılır. Yüz tanıma ya da benzeri biyometrik işleme yapılmaz.

Madde 5 – İşleme Amaçları ve Hukuki Sebepler

Kişisel veriler yalnızca aşağıdaki amaçlarla işlenir:

1. ISPM-15 ısıl işlem kayıtlarının tutulması, raporlanması, denetimde ibrazı ve ürünlerin izlenebilirliği;
2. Portale güvenli giriş, yetkilendirme, hesap ve oturum güvenliği;
3. Lisans, kurulum ve saklama hakkının yönetimi, ödemelerin kaydı;
4. Sistemin çalışmasının izlenmesi, hata giderme, güncelleme dağıtımı ve yedekleme;
5. Yasal yükümlülüklerin yerine getirilmesi ve yetkili makamların taleplerinin karşılanması.

Bu işlemenin hukuki sebebini belirlemek ve gerektiğinde ilgili kişilerden açık rıza almak Müşterinin (veri sorumlusunun) yükümlülüğüdür. Taraflar, verilerin ağırlıklı olarak KVKK m. 5/2 (c) sözleşmenin kurulması veya ifası, (ç) veri sorumlusunun hukuki yükümlülüğü (ISPM-15 kapsamındaki kayıt ve izlenebilirlik yükümlülükleri) ve (f) meşru menfaat sebeplerine dayandığını değerlendirir.

Madde 6 – Hizmet Sağlayıcının Yükümlülükleri

1. Talimata bağlılık: Hizmet Sağlayıcı kişisel verileri yalnızca bu sözleşme, Müşterinin Sistem üzerinden verdiği talimatlar (kayıt gönderme, silme, saklama süresi seçme vb.) ve yasal zorunluluklar çerçevesinde işler. Verileri kendi amaçları için kullanmaz, satmaz, üçüncü kişilerle reklam ya da pazarlama amacıyla paylaşmaz. Bir talimatın KVKK'ya aykırı olduğu kanaatine varırsa Müşteriyi gecikmeksizin bilgilendirir.
2. Gizlilik: Verilere yalnızca hizmetin gerektirdiği ölçüde ve gizlilik yükümlülüğü altındaki yetkili kişiler erişir. Personelin Müşteri hesabına erişimi rol bazlıdır ve her erişim yönetim günlüğüne kaydedilir. Bu yükümlülük sözleşme sona erdikten ve personel görevden ayrıldıktan sonra da süresiz devam eder (KVKK m. 12/4).
3. Güvenlik: Hizmet Sağlayıcı KVKK m. 12/1 uyarınca Ek-2'de sayılan teknik ve idari tedbirleri alır ve sürdürür.
4. İhlal bildirimi: Müşteri verilerini etkileyen bir veri ihlalini öğrendiğinde, Hizmet Sağlayıcı Müşteriye gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, alınan ve önerilen önlemler yer alır. Müşterinin Kurula 72 saat içinde bildirim yapabilmesi ve ilgili kişileri bilgilendirebilmesi için gereken bilgi ve belgeleri sağlar.
5. Alt işleyenler: Hizmet Sağlayıcı, hizmetin sunulması için aşağıdaki tabloda sayılan alt işleyenlerden yararlanır. Sistemin işletilmesi, bakımı, hata giderme ve yedekleme işleri Hizmet Sağlayıcının kendisi tarafından yapılır; Müşteri bu sözleşmeyi kabul ederek bunların kullanılmasına yetki verir. Alt işleyenlerle en az bu sözleşmedeki korumayı sağlayan yükümlülükler kararlaştırılır ve Hizmet Sağlayıcı, alt işleyenlerin bu yükümlülükleri yerine getirmemesinden Müşteriye karşı sorumludur. Yeni bir alt işleyen kullanılmadan ya da alt işleyen değiştirilmeden önce Müşteriye e-posta ya da Portal üzerinden bildirim yapılır. Müşteri haklı sebeple itiraz edebilir; itiraz giderilemezse Müşteri hizmeti sona erdirebilir.
6. Cloudflare ve yurt dışına aktarım: Portal, Cloudflare'in ters vekil sunucusu (proxy) arkasında çalışır. Uygulamadan ve tarayıcılardan gelen bütün istekler (parti kayıtları, yüklenen fotoğraf, video ve PDF'ler, giriş bilgileri ve IP adresleri dahil) önce Cloudflare'in yurt içi ve yurt dışındaki sunucularına ulaşır, orada HTTPS şifresi açılıp güvenlik denetiminden geçirilir ve yeniden şifrelenerek Portal sunucusuna iletilir. Cloudflare bu verileri yalnızca iletim, önbellekleme ve güvenlik (saldırı ve bot koruması) amacıyla işler. İstekler Cloudflare'in Türkiye'deki sunucularında karşılansa bile istek kayıtları ve güvenlik verileri Cloudflare'in yurt dışındaki altyapısında işlenir. Bu nedenle Müşteri adına işlenen kişisel veriler yurt dışına aktarılmış olur. Cloudflare'in verileri nasıl işlediği, güvenlik önlemleri, alt işleyenleri ve yurt dışına aktarımda sağladığı güvenceler (standart sözleşme maddeleri dahil) Cloudflare Müşteri Veri İşleme Sözleşmesinde (Customer DPA) yer alır; Cloudflare verileri bu sözleşmeye göre işler. Portal sunucusu Kebirhost Internet Services LTD. (Kuzey Kıbrıs Türk Cumhuriyeti) tarafından barındırılır; KKTC, KVKK bakımından yurt dışı sayıldığından Müşteri adına işlenen veriler bu yolla da yurt dışına aktarılmış olur. Hizmet Sağlayıcı Almanya'da bulunduğundan, Sistemin bakımı, hata giderme ve yedekleme için Portal verilerine Almanya'dan erişmesi de yurt dışına aktarım sayılır. Kebirhost'un verileri nasıl işlediği, güvenlik önlemleri ve yurt dışına aktarımda sağladığı güvenceler Kebirhost Gizlilik Politikasında, Stripe'ınkiler Stripe Veri İşleme Sözleşmesinde (DPA) yer alır. Yurt dışında bulunan başka bir alt işleyen kullanılırsa, verileri nasıl işlediği ve aktarımda sağladığı güvencelerin yer aldığı belge Müşteriye bildirilir; alt işleyenin yapacağı sonraki aktarımlarda da bu güvencelerin sağlanması istenir (KVKK m. 9/8). Müşteri, bu sözleşmeyle aktarımdan haberdar edildiğini ve aktarıma yetki verdiğini kabul eder; yurt dışına aktarımı ve alıcı gruplarını kendi aydınlatma metninde ilgili kişilere bildirir.
7. İlgili kişi başvuruları: İlgili kişilerden KVKK m. 11 kapsamında gelen başvurular Müşteriye iletilir. Hizmet Sağlayıcı, Müşterinin başvuruyu KVKK m. 13'teki 30 günlük süre içinde yanıtlayabilmesi için gereken verileri sağlar, düzeltme ve silme işlemlerini yapar.
8. Denetim: Hizmet Sağlayıcı bu sözleşmeye uyduğunu gösteren bilgileri makul talep üzerine Müşteriye sunar. Müşteri, makul süre önce bildirerek, mesai saatleri içinde ve diğer müşterilerin verilerinin gizliliğine zarar vermeden denetim yapabilir ya da yaptırabilir.

Alt işleyenler (Madde 6/5):

Madde 7 – Müşterinin Yükümlülükleri

1. Müşteri, Sisteme girdiği ve Sistem aracılığıyla topladığı kişisel veriler için KVKK m. 10 kapsamında aydınlatma yükümlülüğünü yerine getirir. Kamera ile görüntü kaydedilen alanlarda uyarı levhası asar. Isıl işlem operatörlerini ve kayda girebilecek çalışanları bilgilendirir. Gerekiyorsa açık rıza alır.
2. Müşteri, kayıtlı olması gerekiyorsa Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) kaydolur.
3. Müşteri, Uygulamaya ve Portale yalnızca amaçla bağlantılı, doğru ve gerekli verileri girer. Şahıs firmaları için T.C. kimlik numarası girilmesi gerekiyorsa, bu numaranın PDF raporda tam olarak yer alacağını bilir. Karekodla açılan herkese açık rapor sayfasında T.C. kimlik numarası maskelenerek (ör. 123******01) gösterilir; ancak aynı sayfadan açılan PDF raporda tam haliyle bulunur.
4. Müşteri, kendi kullanıcılarına verdiği hesapların güvenliğinden (şifre, iki adımlı doğrulama, işten ayrılan çalışanın hesabının kapatılması) ve Uygulamanın kurulu olduğu bilgisayarların güvenliğinden sorumludur.
5. Müşteri, kendi depolama ajanını kullanıyorsa ajanın kurulu olduğu sunucunun güvenliğinden ve buradaki verilerin saklanması ve imhasından sorumludur.

Madde 8 – Saklama Süreleri ve İmha

1. Kişisel veriler Ek-1'de gösterilen sürelerle saklanır. Süresi dolan veriler Sistem tarafından otomatik olarak ya da en fazla altı aylık aralıklarla yapılan periyodik imha sırasında silinir veya anonim hale getirilir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik). Silinen dosyalar geri getirilemez. Dosya ve hesap silme işlemleri yönetim günlüğüne kaydedilir ve bu kayıtlar en az üç yıl saklanır.
2. Video ve fotoğraflar lisansta tanımlı ya da Müşterinin panelden seçtiği saklama süresi kadar tutulur ve bu süreden eski olanlar otomatik silinir. Veri saklama bedeli ya da yıllık lisans bedeli ödenmezse, son ödeme tarihinden 180 gün sonra Müşterinin sunucudaki bütün video ve fotoğrafları silinir. Müşterinin saklama süresi ve saklama hakkının bitiş tarihi Portaldeki Lisans ekranında gösterilir.
3. Parti kayıtları ve PDF raporlar ISPM-15 izlenebilirliği ve denetim gerekleri nedeniyle hizmet süresince silinmez ve oluşturulmalarından itibaren en az 3 yıl, mevzuat ya da ISPM-15 denetimleri daha uzun bir süre öngörüyorsa o süre boyunca saklanır; karekoddaki rapor bağlantıları çalışmaya devam eder. Müşteri tek bir partinin silinmesini yazılı olarak talep edebilir.
4. Portal veritabanı her gün yedeklenir; yedeklerin en fazla son 14 tanesi tutulur. Silinen bir veri, yedekler yenilendikçe yedeklerden de kalkar. Yedekler yalnızca veri kaybında geri yükleme için kullanılır.
5. Sözleşmenin sona ermesi: Sözleşme herhangi bir sebeple sona erdiğinde, Müşteri 30 gün içinde verilerini Portalden indirebilir ya da toplu teslim talep edebilir. Bu sürenin sonunda Müşteri hesabı, kullanıcı hesapları, medya, kurulum ve cihaz kayıtları silinir; parti kayıtları ve PDF raporlar Madde 8/3'teki saklama süresi dolunca silinir. Müşterinin yazılı talebi üzerine bütün veriler daha erken silinir. Silme Müşteriye yazılı olarak bildirilir. Yasal saklama yükümlülüğü bulunan kayıtlar (ödeme ve fatura kayıtları ile güvenlik için tutulan yönetim günlüğü) Ek-1'deki sürelerin sonunda imha edilir.

Madde 9 – Sorumluluk

Taraflar, bu sözleşmeye ve KVKK'ya aykırılıktan kendi kusurları oranında sorumludur. Hizmet Sağlayıcı, Müşterinin talimatına uygun olarak yaptığı işlemlerden ve Müşterinin kendi bilgisayarlarında, kendi depolama sunucusunda ya da kendi kullanıcı hesaplarının ele geçirilmesiyle ortaya çıkan ihlallerden sorumlu tutulamaz. Bir Tarafın kusuruyla ortaya çıkan idari para cezası ya da tazminatı ödeyen diğer Taraf, ödediği tutarı kusurlu Tarafa rücu edebilir. Bu madde yalnızca Taraflar arasındaki iç ilişkiyi düzenler; Tarafların ilgili kişilere ve Kurula karşı kanundan doğan sorumluluğunu (KVKK m. 12/2) sınırlamaz.

Madde 10 – Süre ve Fesih

Bu sözleşme Müşterinin Portale kaydolduğu ya da Uygulamayı kurduğu tarihte yürürlüğe girer ve Taraflar arasındaki hizmet ilişkisi devam ettiği sürece yürürlükte kalır. Hizmet ilişkisinin herhangi bir sebeple sona ermesiyle bu sözleşme de sona erer. Gizlilik, imha ve sorumluluk hükümleri sona ermeden sonra da geçerlidir.

Madde 11 – Bildirimler

Bu sözleşme kapsamındaki bildirimler Müşteriye Portalde kayıtlı e-posta adresine, Hizmet Sağlayıcıya Madde 1'deki e-posta adresine yapılır. Adres değişikliği bildirilmedikçe eski adrese yapılan bildirim geçerlidir. Veri ihlali bildirimi ayrıca telefonla da yapılır.

Madde 12 – Uygulanacak Hukuk ve Yetki

Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda İstanbul Mahkemeleri ve İcra Daireleri yetkilidir.

Madde 13 – Yürürlük

Bu sözleşme 13 madde ve 2 ekten oluşur. Müşteri, Portale kaydolarak ya da Uygulamayı kurarak bu sözleşmeyi ayrıca imza gerekmeksizin kabul etmiş sayılır. Güncel metin https://ispm15.tr/legal/veri-isleme-sozlesmesi adresinde yayımlanır; değişiklikler Kullanım Koşulları Madde 11'deki usule göre yapılır.

Ek-1 – Veri Envanteri ve Saklama Tablosu

Müşterinin kendi bilgisayarındaki Uygulama verileri (yerel parti veritabanı, yerel medya klasörü, ayarlar) ve Müşterinin depolama ajanındaki dosyalar Hizmet Sağlayıcının erişiminde değildir; bunların saklanması ve imhası Müşteriye aittir.

Ek-2 – Teknik ve İdari Tedbirler

Teknik tedbirler

• Portal ile bütün bağlantılar HTTPS (TLS) ile şifrelidir ve Cloudflare proxy'si üzerinden geçer; doğrudan sunucu erişimi saldırılara karşı korunur. Masaüstü Uygulamanın sunucuyla iletişimi de şifreli bağlantı üzerinden yapılır.
• Şifreler geri döndürülemez biçimde, tuzlu scrypt özeti olarak saklanır. E-posta bağlantıları, cihaz tokenları ve kurtarma kodlarının yalnızca özeti tutulur.
• İki adımlı doğrulama anahtarları, lisans anahtarları ve depolama erişim anahtarları veritabanında AES-256-GCM ile şifrelidir. Şifreleme anahtarı veritabanı ve yedeklerden ayrı tutulur.
• Hizmet Sağlayıcı personeli için iki adımlı doğrulama zorunludur; Müşteri kullanıcıları da açabilir.
• Art arda hatalı girişte hesap geçici olarak kilitlenir. Giriş, kayıt ve şifre sıfırlama formları bot korumasıyla (Cloudflare Turnstile) korunur. İsteklere hız sınırı uygulanır.
• Rol bazlı yetkilendirme uygulanır: Müşteri yalnızca kendi verisini görür. Denetçi ve saha ekibi rolleri salt okunurdur. Şifre değişince ya da hesap kapatılınca açık oturumlar geçersiz olur.
• Masaüstü Uygulama her bilgisayara ayrı, iptal edilebilir bir tokenla bağlanır. Uygulamadaki şifreler Windows DPAPI ile şifreli saklanır. Lisanslar dijital imzalıdır.
• Yüklenen dosyaların bütünlüğü SHA-256 özetiyle doğrulanır. Güvenlik başlıkları ve içerik güvenlik politikası (CSP) uygulanır.
• Veritabanı düzenli olarak otomatik yedeklenir. Sistem sağlığı, disk alanı ve olağan dışı hata/yetkisiz erişim sayıları izlenir ve eşik aşılınca uyarı üretilir.
• Yönetim işlemleri ve personelin Müşteri hesabını görüntülemesi yönetim günlüğüne kaydedilir.

İdari tedbirler

• Verilere erişim, görevi gereği ihtiyacı olan personelle sınırlıdır. Personel gizlilik yükümlülüğü altındadır ve bu konuda bilgilendirilir.
• Personel hesapları kişiye özeldir. Görevden ayrılan personelin hesabı derhal kapatılır.
• Sunucu erişim bilgileri ve şifreleme anahtarları sınırlı sayıda yetkili kişide tutulur ve sohbet ya da e-posta gibi kanallarla paylaşılmaz.
• Saklama süresi dolan veriler Madde 8'e göre imha edilir. Alt işleyenlerle gizlilik ve veri güvenliği yükümlülükleri kararlaştırılır.
• Veri ihlali durumunda Madde 6/4'teki bildirim süreci uygulanır.