Veri İşleme Sözleşmesi

1. Taraflar ve Konu

1.1. Bu Veri İşleme Sözleşmesi ("VİS"), BirMuhasebe Kullanım Koşulları'nı kabul eden Müşteri ("Veri Sorumlusu") ile MTY Teknoloji A.Ş. ("MTY" veya "Veri İşleyen") arasında, Kullanım Koşulları'nın ayrılmaz bir eki olarak kurulmuştur.

1.2. VİS'in konusu, Müşteri Verisi içindeki kişisel verilerin MTY tarafından Hizmetin sunulması amacıyla işlenmesine ilişkin tarafların hak ve yükümlülüklerinin belirlenmesidir.

1.3. VİS'te tanımlanmayan terimler Kullanım Koşulları'ndaki anlamlarını taşır.

2. Tanımlar

• Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu.
• Kurul ve Kurum: Kişisel Verileri Koruma Kurulu ve Kişisel Verileri Koruma Kurumu.
• Kişisel Veri, Özel Nitelikli Kişisel Veri, İlgili Kişi, İşleme, Açık Rıza, Anonim Hâle Getirme, Veri Sorumlusu ve Veri İşleyen: Kanun'da verilen anlamlarıyla.
• Talimat: Veri Sorumlusu'nun bu VİS, Kullanım Koşulları, Sipariş Formu ve yetkili Kullanıcılarının Platform'u kullanması ve yapılandırmasıyla verdiği, MTY'nin kişisel verileri işleme biçimini belirleyen yönlendirmeler.
• Alt İşleyen: MTY'nin, VİS kapsamındaki kişisel verilerin işlenmesinde yararlandığı ve bu verilere erişen üçüncü kişi.
• Kişisel Veri İhlali: VİS kapsamındaki kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, bunlara yetkisiz erişilmesi, bunların yetkisiz değiştirilmesi, kaybı veya yok edilmesiyle sonuçlanan güvenlik olayı.

3. İşlemenin Kapsamı

3.1. İşlemenin konusu, niteliği, amacı, süresi, ilgili kişi grupları ve kişisel veri kategorileri Ek-1'de; özel nitelikli kişisel veriler Ek-2'de belirtilmiştir.

3.2. MTY, VİS kapsamındaki kişisel verileri yalnızca Talimatlar doğrultusunda ve Hizmetin sunulması için gerekli olduğu ölçüde işler.

4. Veri Sorumlusunun Yükümlülükleri

4.1. Veri Sorumlusu;

• Platform'da işlediği kişisel veriler için Kanun'un 5. ve 6. maddelerinde öngörülen işleme şartlarından birinin bulunmasını sağlar;
• ilgili kişileri Kanun'un 10. maddesi uyarınca aydınlatır ve gereken hâllerde açık rızalarını alır;
• özel nitelikli kişisel verileri yalnızca Kanun'un 6. maddesindeki şartlarla Platform'a girer;
• Talimatlarının mevzuata uygun olmasını sağlar;
• Platform'a bağladığı Üçüncü Taraf Hizmetlerine yapılan aktarımlar bakımından, yurt dışına aktarım dahil, Kanun'a uyumu sağlar;
• Platform'a gereğinden fazla kişisel veri girmez ve kişisel verilerin doğru ve güncel olmasını sağlar;
• veri sorumlusu sıfatıyla yürüttüğü kişisel veri işleme envanteri ve Veri Sorumluları Sicili yükümlülüklerini kendisi yerine getirir.

5. Veri İşleyenin Yükümlülükleri

5.1. MTY, kişisel verileri yalnızca Talimatlar doğrultusunda işler. Bir Talimatın mevzuata aykırı olduğu kanaatine varırsa bunu Veri Sorumlusu'na gecikmeksizin bildirir ve aykırılık giderilinceye kadar ilgili işlemeyi yapmayabilir.

5.2. MTY, VİS kapsamındaki kişisel verileri kendi amaçları için işlemez, satmaz ve üçüncü kişilerle paylaşmaz. Kullanım Koşulları'nın 8.6. maddesi uyarınca anonim hâle getirilmiş toplu istatistik üretilmesi ve mevzuattan doğan yükümlülükler saklıdır. Mevzuat gereği bir merciye aktarım yapılması zorunlu olduğunda MTY, mevzuatın izin verdiği ölçüde Veri Sorumlusu'nu önceden bilgilendirir.

5.3. MTY, kişisel verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını, erişimin görev gereğiyle sınırlı tutulmasını ve çalışanların kişisel verilerin korunması konusunda eğitilmesini sağlar.

5.4. MTY, Kanun'un 12. maddesinin birinci fıkrası uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için Ek-3'te belirtilen teknik ve idari tedbirleri alır. MTY bu tedbirleri teknolojik gelişmeler ve risklere göre günceller; güncellemeler koruma düzeyini düşüremez.

5.5. Kişisel veriler MTY'nin Türkiye'de bulunan kendi sunucularında saklanır ve işlenir. MTY, VİS kapsamındaki kişisel verileri yurt dışına aktarmaz.

5.6. MTY, ilgili kişilerin Kanun'un 11. maddesindeki haklarına ilişkin başvurularının yanıtlanmasında Veri Sorumlusu'na yardımcı olur. Platform, Veri Sorumlusu'nun kayıtlara erişmesine, bunları düzeltmesine, dışa aktarmasına ve silmesine imkân verir. MTY'ye doğrudan ulaşan başvuruları MTY, yanıtlamaksızın ve en geç 5 iş günü içinde Veri Sorumlusu'na iletir.

5.7. MTY, Kurul veya Kurum tarafından Veri Sorumlusu'na yöneltilen bilgi ve belge taleplerinin, Veri Sorumlusu'nun yürüteceği risk değerlendirmelerinin ve kişisel veri işleme envanterinin hazırlanmasında, MTY'nin işleme faaliyetine ilişkin bilgileri sağlayarak makul ölçüde destek olur.

6. Alt İşleyenler

6.1. MTY, VİS'in yürürlük tarihi itibarıyla VİS kapsamındaki kişisel verilerin işlenmesinde alt işleyen kullanmamaktadır. Güncel durum Ek-4'te yer alır.

6.2. MTY, ileride bir alt işleyen kullanmak isterse bunu, alt işleyenin unvanını, hizmetini, işleyeceği veri kategorilerini ve işleme yerini belirterek en az 30 gün önceden e-posta ve Platform üzerinden bildirir. Veri Sorumlusu, kişisel verilerin korunmasına ilişkin makul gerekçelerle bildirimden itibaren 15 gün içinde itiraz edebilir. Taraflar itirazı makul sürede çözemezse Veri Sorumlusu, alt işleyenin kullanılmaya başlanmasından önce Sözleşmeyi feshedebilir; bu durumda peşin ödenmiş ve kullanılmamış ücret iade edilir.

6.3. MTY, kullandığı alt işleyenlere yazılı sözleşmeyle bu VİS'tekilerle eşdeğer yükümlülükler yükler ve alt işleyenlerin fiillerinden kendi fiili gibi sorumludur.

6.4. MTY, bir alt işleyen aracılığıyla kişisel verileri yurt dışına aktarmayı gerektiren bir değişikliği Veri Sorumlusu'nun yazılı onayı olmaksızın yapmaz.

6.5. Veri Sorumlusu'nun kendi hesabıyla ve kendi sözleşmesiyle Platform'a bağladığı Üçüncü Taraf Hizmetlerinin sağlayıcıları (özel entegratör, pazaryeri, e-ticaret, müşteri ilişkileri yönetimi, mesajlaşma, kurumsal kimlik doğrulama ve benzeri) MTY'nin alt işleyeni değildir. Bu hizmetlere yapılan aktarımlar Veri Sorumlusu'nun Talimatıyla gerçekleşir ve Kullanım Koşulları'nın 9. maddesine tabidir.

7. Kişisel Veri İhlalleri

7.1. MTY, VİS kapsamındaki kişisel verilere ilişkin bir Kişisel Veri İhlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusu'nun Platform'daki yöneticilerine ve kayıtlı iletişim adresine bildirir.

7.2. Bildirim, o an bilinebildiği ölçüde; ihlalin niteliğini ve zamanını, etkilenen ilgili kişi grupları ile kayıtların yaklaşık sayısını, olası sonuçlarını, alınan ve alınması önerilen tedbirleri ve MTY'de irtibat kurulacak kişiyi içerir. Bilgiler tamamlandıkça bildirim güncellenir.

7.3. MTY, ihlalin etkilerini sınırlamak için gereken tedbirleri derhâl alır ve Veri Sorumlusu'nun, Kurul'a öğrenmesinden itibaren 72 saat içinde ve ilgili kişilere makul süre içinde yapacağı bildirimler için gereken bilgi ve belgeleri sağlar.

7.4. Kurul'a ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu'na aittir. MTY, mevzuat gerektirmedikçe veya Veri Sorumlusu yazılı olarak talep etmedikçe bu bildirimleri Veri Sorumlusu adına yapmaz. MTY'nin bildirimde bulunması, kusurunu kabul ettiği anlamına gelmez.

8. Denetim

8.1. MTY, VİS'e uyumunu göstermek için gereken bilgileri Veri Sorumlusu'nun yazılı talebi üzerine makul sürede sağlar. Bağımsız denetim raporları ve sahip olunan bilgi güvenliği sertifikaları bu amaçla paylaşılabilir.

8.2. Veri Sorumlusu, yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimde bulunarak, mesai saatleri içinde ve MTY'nin faaliyetlerini aksatmayacak şekilde kendisi veya MTY'nin rakibi olmayan ve gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim, diğer müşterilerin verilerine ve MTY'nin ticari sırlarına erişimi kapsamaz. Denetim maliyeti Veri Sorumlusu'na aittir.

8.3. Bir Kişisel Veri İhlalinin ardından veya Kurul'un talebi üzerine yapılan denetimler yıllık sınıra tabi değildir.

8.4. Denetimde VİS'e aykırılık tespit edilmesi hâlinde MTY, aykırılığı makul sürede kendi maliyetiyle giderir.

9. Süre, Sona Erme, İade ve Silme

9.1. VİS, Kullanım Koşulları kapsamındaki Sözleşmenin süresi boyunca yürürlükte kalır.

9.2. Sözleşmenin sona ermesi hâlinde kişisel veriler, Kullanım Koşulları'nın 15. maddesine göre 30 günlük dışa aktarma süresinin ardından en geç 60 gün içinde MTY'nin canlı sistemlerinden silinir veya anonim hâle getirilir; yedeklerden ise yedekleme döngüsü içinde ve en geç 35 gün içinde kaldırılır.

9.3. MTY'nin mevzuat veya yetkili merci kararı gereği saklaması zorunlu olan veriler, yalnızca bu amaçla, gerekli süre boyunca ve gizlilik içinde saklanır; bu sürenin sonunda silinir.

9.4. MTY, Veri Sorumlusu'nun yazılı talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

10. Sorumluluk

10.1. Taraflar, Kanun'dan ve bu VİS'ten doğan yükümlülüklerine aykırılıktan kaynaklanan zararlardan Kullanım Koşulları'nın 18. ve 19. maddelerine göre sorumludur.

10.2. Taraflar, Kanun'un 12. maddesinin ikinci fıkrası uyarınca veri güvenliği tedbirlerinin alınmasında müştereken sorumlu olduklarını kabul eder. Bir Tarafın diğer Tarafın kusurundan kaynaklanan bir idari para cezası veya tazminat ödemesi hâlinde, ödeyen Taraf diğer Tarafa kusuru oranında rücu edebilir.

11. Öncelik ve Uygulanacak Hukuk

11.1. Kişisel verilerin işlenmesine ilişkin konularda VİS, Kullanım Koşulları'ndan önce uygulanır.

11.2. VİS'e Türk hukuku uygulanır. Uyuşmazlıkların çözümünde Kullanım Koşulları'nın 25. maddesi uygulanır.

Ek-1: İşleme Ayrıntıları

İlgili kişi grupları

• Veri Sorumlusu'nun çalışanları, eski çalışanları ve çalışan adayları;
• Veri Sorumlusu'nun müşterileri ve tedarikçileri ile bunların yetkilileri ve çalışanları;
• Veri Sorumlusu'nun düzenlediği veya aldığı belgelerin muhatapları, çek ve senet tarafları, sevkiyat alıcıları ile pazaryeri ve e-ticaret alıcıları;
• Veri Sorumlusu'nun Platform kullanıcıları ve mali müşavirleri.

Kişisel veri kategorileri

Ek-2: Özel Nitelikli Kişisel Veriler

Platform'da işlenebilecek özel nitelikli kişisel veriler ve bunlara ilişkin koşullar şunlardır:

Veri Sorumlusu, yukarıdakiler dışında Platform'a özel nitelikli kişisel veri girmez. Özel nitelikli kişisel veriler, Ek-3'teki tedbirlere ek olarak Kurul'un özel nitelikli kişisel verilere ilişkin aldığı yeterli önlemler kararına uygun şekilde korunur.

Ek-3: Teknik ve İdari Tedbirler

Teknik tedbirler

• Erişim kontrolü: Rol ve izin tabanlı yetkilendirme, en az yetki ilkesi, kapsam ve süreyle sınırlı mali müşavir erişimi.
• Veri ayrımı: Her şirket hesabının verisinin PostgreSQL satır düzeyi güvenlik politikalarıyla veri tabanı düzeyinde ayrılması ve uygulamanın yetkileri sınırlı veri tabanı rolleriyle çalışması.
• Kimlik doğrulama: En az 16 karakterli karmaşık parola, art arda hatalı denemelerde hesap kilitleme, zorunlu e-posta doğrulaması, doğrulayıcı uygulama ile çok faktörlü doğrulama, süreli oturumlar ve kullanıcı tarafından yönetilebilen oturum ve cihaz listesi.
• Şifreleme: İletimde TLS ve HSTS; veri tabanları, dosya depoları ve yedeklerde depolama katmanında şifreleme; çalışan adayı bilgileri ve belirli belge içerikleri için alan düzeyinde şifreleme.
• Özetleme ve maskeleme: Parolalar, doğrulama bağlantıları, cihaz belirteçleri ve kurtarma kodlarının geri döndürülemez özetlerle saklanması; güvenlik kayıtlarında IP adresinin yalnızca ağ ön eki ve anahtarlı özetle tutulması; banka hesap numaralarının maskelenmesi.
• Kayıt ve izleme: Veri tabanı düzeyinde değiştirilemez denetim izi, kimlik doğrulama ve oturum güvenlik olayı kayıtları, mali müşavir erişimlerinin listeleme ve indirme kayıtları; kayıtlara parola, belge içeriği veya form gövdesi yazılmaması.
• Uygulama güvenliği: Tarayıcıya erişim belirteci verilmeyen sunucu taraflı oturum yönetimi, siteler arası istek sahteciliği koruması, içerik güvenliği politikası, giriş verilerinin sunucu tarafında doğrulanması, hız sınırlama.
• Dosya güvenliği: Yüklenen dosyaların zararlı yazılım taramasından geçirilmesi, dosya türü ve boyut sınırları.
• Yedekleme ve süreklilik: Düzenli, şifreli ve Türkiye'de canlı sistemlerden ayrı tutulan yedekler; geri dönüşün düzenli olarak sınanması.
• Güvenli geliştirme: Kod incelemesi, otomatik testler, mimari ve güvenlik kurallarının otomatik denetimi, bağımlılık güvenlik taraması, test ve canlı ortamların ayrılması, düzenli sızma testleri.

İdari tedbirler

• Çalışanların gizlilik taahhütleri ve düzenli kişisel veri ve bilgi güvenliği eğitimleri.
• Görev tanımlarıyla sınırlı erişim yetkileri, yetkilerin düzenli gözden geçirilmesi ve görevden ayrılmada erişimin derhâl kaldırılması.
• MTY personelinin müşteri hesaplarına yalnızca kayıtlı destek talebiyle, onay sürecinden geçtikten sonra, gerekçe belirterek ve oturum başına en fazla 30 dakika süreyle erişebilmesi ve bu erişimlerin kayıt altına alınması.
• Kişisel veri işleme envanteri, kişisel veri saklama ve imha politikası ve bunların düzenli güncellenmesi.
• Tanımlı güvenlik olayı müdahale ve kişisel veri ihlali bildirim prosedürü.
• Platform değişikliklerinin yetkili kişilerce onaylanması ve izlenebilir şekilde canlıya alınması.

Ek-4: Alt İşleyenler

VİS'in yürürlük tarihi itibarıyla MTY, VİS kapsamındaki kişisel verilerin işlenmesinde alt işleyen kullanmamaktadır. Platform'un barındırılması, veri tabanları, dosya depolama, yedekleme, e-posta gönderimi ve yapay zekâ işlevleri MTY'nin Türkiye'de bulunan kendi sunucuları ve kendi altyapısıyla sağlanır. Sunucuların fiziksel olarak barındırıldığı Türkiye'deki veri merkezi yalnızca fiziksel alan, enerji ve ağ bağlantısı hizmeti verir ve verilere mantıksal erişimi yoktur.

Bu liste değiştiğinde VİS'in 6. maddesine göre bildirim yapılır ve güncel liste bu sayfada yayımlanır.