Veri İşleme Sözleşmesi (Müşteri Proje İçerikleri)

1. Taraflar

Veri sorumlusu: Pafta hizmetini kullanan müşteri firma — [MÜŞTERİ UNVANI], [ADRES] ("Müşteri").

Veri işleyen: [ŞİRKET UNVANI], [ADRES], MERSİS [MERSİS NO] ("Pafta").

Bu sözleşme, 6698 sayılı KVKK m.12/2 uyarınca Pafta'nın Müşteri adına işlediği kişisel verilere ilişkin tarafların hak ve yükümlülüklerini düzenler ve taraflar arasındaki hizmet sözleşmesinin (Kullanım Koşulları) ayrılmaz parçasıdır.

2. Konu, nitelik ve amaç

Pafta, bulut tabanlı BIM yazma hizmeti kapsamında Müşteri'nin ve kullanıcılarının Pafta'ya yüklediği veya Pafta'da oluşturduğu proje içeriklerini yalnızca hizmetin sunulması amacıyla ve Müşteri'nin talimatları doğrultusunda saklar, görüntüler, dönüştürür (ör. IFC 4.3 ve .pft içe/dışa aktarma, e-PYS ön kontrolü), yedekler ve siler.

3. Veri kategorileri ve ilgili kişiler

Müşteri, proje içeriklerine özel nitelikli kişisel veri (sağlık, biyometrik vb.) yüklememeyi kabul eder; yüklenmesi zorunluysa önceden Pafta'yı yazılı olarak bilgilendirir.

4. Süre

Sözleşme, hizmet sözleşmesi süresince yürürlüktedir. Sona ermesi halinde 9. madde uygulanır.

5. Pafta'nın yükümlülükleri

1. Kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Hizmetin kullanımı (ör. bir projenin paylaşılması, dışa aktarılması, MCP ile bağlanan bir uygulamaya yetki verilmesi) Müşteri talimatı sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir.

2. Verileri işlemeye yetkili personelin gizlilik yükümlülüğü altında olmasını sağlar; personel erişimi yalnızca destek ve güvenlik amacıyla, Müşteri'nin talebi veya bilgisi dahilinde yapılır ve denetim kaydına işlenir.

3. Ek-1'deki teknik ve idari güvenlik tedbirlerini uygular (KVKK m.12/1). Taraflar, m.12/2 uyarınca bu tedbirlerin alınmasından müştereken sorumludur.

4. Yurt dışına aktarım yapmaz. Verileri yalnızca Türkiye'deki sunucularda ve yedekleme lokasyonlarında saklar.

5. Ek-2'deki alt işleyenler dışında alt işleyen kullanmaz. Yeni bir alt işleyen eklemeden en az 30 gün önce Müşteri'yi bilgilendirir; Müşteri haklı gerekçeyle itiraz edebilir ve itirazın giderilememesi halinde sözleşmeyi feshedebilir. Alt işleyenlere bu sözleşmedekinden daha az koruyucu olmayan yükümlülükler yükler.

6. İlgili kişilerden Pafta'ya doğrudan ulaşan başvuruları, kendisi yanıtlamadan gecikmeksizin Müşteri'ye iletir; Müşteri'nin başvuruları 30 gün içinde yanıtlayabilmesi için gerekli teknik desteği (dışa aktarma, düzeltme, silme) sağlar.

7. Kişisel veri ihlalini öğrendiğinde Müşteri'ye gecikmeksizin ve en geç 24 saat içinde bildirir. Bildirim; ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen önlemler ile irtibat kişisini içerir; bilgiler aşamalı olarak tamamlanabilir. Müşteri'nin Kurul'a 72 saat içinde bildirim yapabilmesi için gereken bilgi ve belgeleri sağlar.

8. Müşteri'nin bu sözleşmeye uyumu denetleme hakkını tanır: yılda bir kez, 30 gün önceden yazılı bildirimle, makul ölçüde ve diğer müşterilerin verilerinin gizliliğini ihlal etmeyecek şekilde. Pafta öncelikle güncel güvenlik özetini ve bağımsız denetim/sızma testi özetlerini sunar.

6. Müşteri'nin yükümlülükleri

1. Proje içeriklerindeki kişisel verilerin hukuka uygun olarak elde edildiğini, ilgili kişilerin aydınlatıldığını ve gerekiyorsa açık rızalarının alındığını taahhüt eder.

2. Kullanıcı hesaplarını, rolleri (sahip, yönetici, düzenleyici, izleyici) ve proje paylaşımlarını yönetmekten; ayrılan çalışanların erişimini kaldırmaktan sorumludur.

3. MCP veya API anahtarı ile üçüncü taraf uygulamalara (ör. yapay zekâ asistanları) proje verisine erişim yetkisi vermeden önce, bu uygulamaların kendi veri işleme koşullarını ve yurt dışı aktarım sonuçlarını değerlendirir; bu aktarımların hukuka uygunluğundan Müşteri sorumludur. Firma yöneticisi MCP erişimini firma genelinde kapatabilir.

7. Güvenlik ve yedekleme

Ek-1'de özetlenmiştir. Pafta proje içeriklerini günlük olarak yedekler; yedekler Türkiye'de ikinci bir lokasyonda, şifreli olarak en fazla 35 gün saklanır.

8. Silme ve iade

• Müşteri'nin sildiği projeler 30 gün çöp kutusunda tutulur ve bu süre sonunda kalıcı olarak silinir; çöpten erken kalıcı silme Müşteri tarafından yapılabilir.

• Kalıcı silinen veriler en geç 35 gün içinde yedeklerden de çıkar.

9. Sözleşmenin sona ermesi

Hizmet sözleşmesinin sona ermesinden itibaren 30 gün boyunca Müşteri projelerini .pft ve IFC biçimlerinde dışa aktarabilir. Bu sürenin sonunda Müşteri'nin tüm proje içerikleri silinir; yedeklerdeki kopyalar en geç 35 gün sonra ortadan kalkar. Kanunen saklanması zorunlu kayıtlar (ör. fatura) bu kapsamın dışındadır. Pafta talep halinde silme işlemini yazılı olarak teyit eder.

10. Sorumluluk ve diğer hükümler

Sorumluluk, hizmet sözleşmesindeki sınırlamalara tabidir; ancak bu sözleşmeye aykırılıktan doğan idari para cezaları ve tazminatlar bakımından taraflar kusurları oranında sorumludur. [Hukuk danışmanıyla netleştirilecek.] Bu sözleşme ile hizmet sözleşmesi arasında çelişki olması halinde kişisel verilerin korunmasına ilişkin konularda bu sözleşme uygulanır.

Ek-1: Teknik ve idari tedbirler (özet)

Ek-2: Alt işleyenler

Cloudflare yalnızca alan adı çözümlemesi (DNS) için kullanılır; Müşteri verisi ve kullanıcı trafiği bu hizmet üzerinden geçmez.