KVKK Veri İşleme Sözleşmesi

1. Taraflar ve tanımlar

Bu sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında, platformda mağaza hesabı bulunan işletme ("Veri Sorumlusu") ile bilet.cloud platformunu işleten şirket ("Veri İşleyen") arasında, Platform Kullanım Koşulları'nın eki olarak kurulur.

Veri İşleyen:

Unvan: Tayyar Ufkun Birlikbaş (bilet.cloud) (bilet.cloud)

Adres: Düz, Atatürk Blv. 52200 Altınordu/Ordu

Vergi dairesi / numarası: [Vergi dairesi — platform ayarlarından doldurulacak] / [Vergi numarası — platform ayarlarından doldurulacak]

MERSİS numarası: [MERSİS numarası — platform ayarlarından doldurulacak]

E-posta: destek@bilet.cloud

Telefon: [Telefon — platform ayarlarından doldurulacak]

Veri Sorumlusu: panelde bu sözleşmeyi kabul eden Mağaza.

2. Konu ve süre

Sözleşmenin konusu, Veri İşleyen'in Platform hizmetini sunarken Veri Sorumlusu adına işlediği kişisel verilere ilişkin tarafların hak ve yükümlülükleridir. Sözleşme, Kullanım Koşulları'nın yürürlükte olduğu süre boyunca geçerlidir ve 12. maddedeki yükümlülükler sona ermeden sonra da sürer.

3. İşlenen veri kategorileri ve ilgili kişiler

İlgili kişiler: Mağaza'nın müşterileri (rezervasyon yapanlar, bilet sahipleri) ve Mağaza'nın kuponla veya kasada kayıt altına aldığı kişiler.

Kimlik ve iletişim: ad soyad, e-posta adresi, telefon numarası.

İşlem kayıtları: rezervasyon, bilet kodu, atölye ve seans bilgisi, kupon, yoklama (katılım) kaydı, kasa ve satış kayıtları, ödeme durumu ve tutarı.

Ödeme kartı verisi (kart numarası, son kullanma tarihi, güvenlik kodu) Platform'da tutulmaz, görülmez ve saklanmaz; ödeme kuruluşunun güvenli sayfasında alınır. Platform yalnızca işlem sonucunu ve tutarı kaydeder.

Güvenlik kayıtları: kötüye kullanımı önlemek için IP adresi ve istek sınırlama sayaçları.

Özel nitelikli kişisel veriler Platform'dan talep edilmez; Mağaza bu verileri serbest metin alanlarına girmemekle yükümlüdür.

4. İşleme amacı ve talimatlar

Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda ve Platform hizmetinin sunulması amacıyla işler: rezervasyon ve biletlerin oluşturulması, bilet ve hatırlatma e-postalarının gönderilmesi, ödeme sonuçlarının kaydı, kasa ve müşteri kayıtlarının tutulması, yedekleme ve güvenlik.

Bu sözleşme ve Platform'un panelden sunduğu işlevler Veri Sorumlusu'nun talimatını oluşturur. Veri İşleyen, bir talimatın mevzuata aykırı olduğunu düşünürse bunu Veri Sorumlusu'na bildirir. Veri İşleyen, verileri kendi amaçları için kullanmaz ve üçüncü kişilere satmaz.

5. Alt işleyenler

Veri Sorumlusu, Veri İşleyen'in aşağıdaki alt işleyenleri kullanmasına izin verir. Güncel liste ayrıca /yasal/alt-isleyenler sayfasında yayımlanır.

• Barındırma ve altyapı: bilet.cloud'un kendi sunucusu (uygulama ve veritabanı)

• Ağ, trafik ve bot doğrulaması: Cloudflare, Inc. (alan adı ve trafik aktarımı, Turnstile doğrulaması; doğrulama ve trafik Cloudflare üzerinden geçer; yurt dışı)

• E-posta gönderimi: Hostinger SMTP (bilet, hatırlatma, davet ve bildirim e-postaları; yurt dışı)

• Şifreli sunucu dışı yedek: Oracle Cloud, Frankfurt (yedek bilet.cloud tarafında şifrelenir, anahtar yalnızca bilet.cloud'dadır; yurt dışı)

Alt işleyen listesindeki değişiklikler (yeni alt işleyen eklenmesi veya değiştirilmesi) Veri Sorumlusu'na e-posta ile en az 30 gün önceden bildirilir. Veri Sorumlusu bu süre içinde gerekçeli olarak itiraz edebilir. Taraflar uzlaşamazsa Veri Sorumlusu hizmeti cezasız feshedebilir ve kullanılmayan abonelik süresinin bedeli iade edilir.

Veri İşleyen, alt işleyenlerle bu sözleşmedekine benzer koruma yükümlülükleri öngören sözleşmeler yapar.

6. Ödeme kuruluşları (bağımsız veri sorumluları)

Ödeme işlemleri, kendi aydınlatma metinleri geçerli olan bağımsız veri sorumlusu ödeme kuruluşları (PayTR, iyzico) tarafından yürütülür. Bu kuruluşlar Veri İşleyen'in alt işleyeni değildir; ödeme kuruluşu ile sözleşmeyi Veri Sorumlusu kendi adına kurar. Kart verisi Platform'da tutulmaz; Platform yalnızca ödeme sonucunu ve tutarı kaydeder.

7. Yurt dışına aktarım

Aşağıdaki hizmetler yurt dışında yer alır veya yurt dışından erişilebilir:

• Cloudflare, Inc.: alan adı ve trafik aktarımı (tünel/proxy) ve Turnstile bot doğrulaması. Panel ve mağaza siteleri için doğrulama ve trafik Cloudflare üzerinden geçer.

• Hostinger: SMTP ile bilet, hatırlatma, davet ve bildirim e-postalarının gönderimi.

• Oracle Cloud (Frankfurt, Almanya): şifrelenmiş sunucu dışı yedek. Yedek, Oracle'a gönderilmeden önce bilet.cloud tarafında şifrelenir; şifre çözme anahtarı yalnızca Veri İşleyen'dedir.

[AÇIK NOKTA — avukat değerlendirmesi bekleniyor] Bu aktarımlarda KVKK m. 9 kapsamında dayanılacak mekanizma ve gerekli bildirimler belirlenecektir.

8. Güvenlik önlemleri

Veri İşleyen, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için aşağıdaki teknik ve idari önlemleri uygular:

• İşletme izolasyonu: veritabanında her kayıt işletmeye bağlıdır ve satır düzeyinde erişim kurallarıyla (RLS) yalnızca ilgili işletmenin yetkili kullanıcılarına açılır; bir mağaza diğerinin verisini göremez.

• Rol tabanlı yetkilendirme: yönetici ve personel rolleri; kritik işlemler yetki denetimli sunucu fonksiyonlarıyla yapılır.

• Sırların korunması: ödeme kuruluşu anahtarları gibi sırlar şifreli olarak (Vault) saklanır ve panelde geri gösterilmez.

• İletim güvenliği: tüm erişim HTTPS ile yapılır; giriş denemeleri sınırlandırılır ve formlarda bot doğrulaması uygulanır.

• Yedekleme: veritabanı günlük yedeklenir; yedeğin şifrelenmiş bir kopyası sunucu dışında saklanır (istemci tarafında şifrelenir, anahtar yalnızca Veri İşleyen'dedir).

• Erişim kısıtı: üretim sistemlerine erişim yetkili personelle sınırlıdır.

Önlemler teknolojik gelişmelere göre güncellenir; güvenlik seviyesi azaltılmaz.

9. Gizlilik

Veri İşleyen, kişisel verilere erişebilen personelinin gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük sözleşme sona erdikten sonra da devam eder.

10. Veri ihlali bildirimi

Veri İşleyen, kişisel verilerin hukuka aykırı olarak ele geçirildiğini veya ifşa edildiğini öğrendiğinde, gecikmeksizin ve her halde en geç 24 saat içinde Veri Sorumlusu'nu e-posta ile ilk kez bilgilendirir. Eksik bilgiler tespit edildikçe kademeli olarak iletilir. Bildirim mümkün olduğu ölçüde ihlalin niteliğini, etkilenen veri ve kişi kategorilerini, alınan ve önerilen önlemleri içerir.

Kurula ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu'na aittir (KVKK m. 12/5); Veri İşleyen bu süreçte makul ölçüde yardımcı olur.

11. İlgili kişi başvuruları

Veri İşleyen'e doğrudan gelen ilgili kişi başvuruları Veri Sorumlusu'na iletilir; Veri İşleyen başvuruyu Veri Sorumlusu'nun yerine yanıtlamaz. Veri Sorumlusu, panel işlevleriyle (müşteri kaydının düzeltilmesi, iptal ve silme) başvuruları karşılar; gerektiğinde Veri İşleyen teknik destek verir. Veri Sorumlusu ve Veri İşleyen arasındaki KVKK iletişimi: kvkk@bilet.cloud

12. Sözleşme sonunda silme ve iade

Hizmet sona erdiğinde, Veri Sorumlusu'nun yazılı talebi üzerine veriler dışa aktarılarak iade edilir ve ardından Veri İşleyen sistemlerinden silinir veya anonimleştirilir; yasal saklama yükümlülüğü bulunan kayıtlar yükümlülük süresince, ilgili amaçla sınırlı olarak saklanır. Yedeklerdeki kopyalar yuvarlanan saklama düzeniyle en geç 30 gün içinde (temizleme günlük çalıştığından en geç yaklaşık 32 gün) silinir. Yedekten geri yükleme yapılırsa daha önce silinen veriler yeniden silinir.

Kapatmadaki dışa aktarma süresi, silme ve anonimleştirme takvimi Kullanım Koşulları'nın 8. maddesindedir. [AÇIK NOKTA — avukat değerlendirmesi bekleniyor] Saklama süreleri ve anonimleştirme kapsamı doğrulanacaktır.

13. Denetim

Veri İşleyen, bu sözleşmedeki yükümlülüklere uyumu gösteren makul bilgiyi Veri Sorumlusu'na sağlar. Veri Sorumlusu, önceden bildirmek ve Veri İşleyen'in işleyişini aksatmamak koşuluyla, yılda bir kez uyumu denetleyebilir veya bağımsız bir denetçiye denetletebilir; denetim, diğer mağazaların verilerine erişimi kapsamaz.

14. Yürürlük ve değişiklik

Bu sözleşme, Veri Sorumlusu'nun panelde kabul etmesiyle yürürlüğe girer. Sözleşme güncellenirse yeni sürüm için panelde yeniden kabul istenir. Kabul kaydı sürüm, metin özeti, tarih, e-posta, IP ve tarayıcı bilgisiyle kalıcı olarak tutulur ve değiştirilemez.