QSmart Veri İşleme Sözleşmesi (DPA)

KVKK DPA

MADDE 1 – TARAFLAR VE TANIMLAR

Taraf	Tanım
Veri Sorumlusu	Platform'u kullanan İşletme
Veri İşlemci	QSmart Digital Yazılım Limited Şirketi (MERSİS: 0632157546700001)

Bu Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi uyarınca Veri İşlemci'nin yükümlülüklerini düzenler ve QSmart İşletme Kullanım Sözleşmesi'nin ayrılmaz bir ekini oluşturur.

MADDE 2 – İŞLEMENİN KONUSU VE AMACI

QSmart, İşletme adına kullanıcı verilerini yalnızca Platform hizmetlerinin sunulması amacıyla işler. İşleme kapsamındaki veriler şunlardır:

• Kimlik verileri (ad, soyad, doğum tarihi)
• İletişim verileri (telefon numarası, e-posta adresi)
• OTP doğrulama kayıtları
• Puan, kupon ve kampanya verileri
• Sipariş ve işlem geçmişi
• Cihaz ve oturum bilgileri
• Log ve erişim kayıtları

MADDE 3 – VERİ İŞLEMİCİ'NİN YÜKÜMLÜLÜKLERİ

QSmart, aşağıdaki yükümlülükleri yerine getirmeyi taahhüt eder:

• Verileri yalnızca Veri Sorumlusu'nun talimatları doğrultusunda işlemek
• Veriler için uygun teknik ve idari tedbirleri almak (TLS, AES-256, RBAC, MFA vb.)
• Alt veri işlemcilerle DPA imzalamak (Google, Microsoft, Meta vb.)
• Veri ihlali durumunda 72 saat içinde Veri Sorumlusu'na bildirmek
• Veri saklama süresi sona erdiğinde verileri imha etmek
• Veri Sorumlusu'nun denetim hakkına izin vermek
• Veri işleme faaliyetlerini kayıt altında tutmak

MADDE 4 – ALT VERİ İŞLEMİCİLER

QSmart, aşağıdaki alt veri işlemcilerden hizmet almakta olup tamamıyla DPA imzalanmıştır:

Alt Veri İşlemci	Hizmet Türü	Veri Akış Bölgesi
Google LLC	Bulut altyapı, analitik	AB/ABD
Microsoft Corporation	Bulut altyapı, e-posta	AB/ABD
Amazon Web Services	Bulut altyapı, depolama	AB/ABD
Meta Platforms Inc.	WhatsApp / Instagram entegrasyonu	AB/ABD
SMS Servis Sağlayıcıları	OTP ve bildirim SMS'i	Türkiye

MADDE 5 – GÜVENLİK TEDBİRLERİ

Teknik Tedbirler

• TLS 1.2+ ile şifreli veri iletimi
• AES-256 ile veritabanı şifreleme
• Rol Tabanlı Erişim Kontrolü (RBAC)
• Çok Faktörlü Kimlik Doğrulama (MFA)
• Güvenlik duvarı ve IDS/IPS sistemleri
• Düzenli penetrasyon testleri
• Otomatik güvenlik açığı taramaları

İdari Tedbirler

• Çalışanlarla gizlilik anlaşmaları (NDA)
• Kişisel veri farkındalık eğitimleri
• Veri ihlali müdahale planı
• Erişim loglarının düzenli denetimi

MADDE 6 – VERİ İHLALİ BİLDİRİMİ

QSmart, kişisel veri ihlalini tespit etmesi durumunda:

1. İhlalden itibaren 72 saat içinde Veri Sorumlusu'na yazılı bildirimde bulunur.
2. İhlalin niteliği, etkilenen veri kategorileri ve tahmini kişi sayısını bildirir.
3. Alınan veya alınacak önlemleri açıklar.
4. KVKK Kurulu'na bildirim konusunda Veri Sorumlusu'na destek sağlar.

MADDE 7 – DENETİM HAKKI

Veri Sorumlusu veya yetkilendirdiği bağımsız denetçi, yılda bir kez ve makul önceden bildirimle QSmart'ın veri işleme faaliyetlerini denetleyebilir. QSmart, denetim sürecinde makul ölçüde işbirliği yapar ve gerekli erişimi sağlar.

MADDE 8 – SAKLAMA SÜRELERİ VE İMHA

Veriler, yasal saklama süresi veya Veri Sorumlusu'nun talep ettiği süre dolunca KVKK ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak:

• Geri döndürülemez biçimde silinir,
• Fiziksel ortamlarda yok edilir, veya
• Anonimleştirilir.

İmha işleminin tamamlandığına dair belge Veri Sorumlusu'na iletilir.

MADDE 9 – SÖZLEŞME'NİN SONA ERMESİ

İşbu Sözleşme, QSmart İşletme Kullanım Sözleşmesi'nin sona ermesiyle birlikte sona erer. Sona erme tarihinden itibaren QSmart; Veri Sorumlusu'nun tercihine göre tüm kişisel verileri iade eder veya imha eder. İmha ve/veya iade işlemi en geç 30 (otuz) gün içinde tamamlanır.

MADDE 10 – UYGULANACAK HUKUK VE YETKİLİ MAHKEME

İşbu Sözleşme'den doğan uyuşmazlıklarda Türkiye Cumhuriyeti Hukuku, 6698 Sayılı KVKK ve ilgili ikincil mevzuat uygulanır. Balıkesir Mahkemeleri yetkilidir.