Veri İşleme Sözleşmesi

Hizmet sağlayıcı / satıcı bilgileri

Unvan: [eklenecek]
MERSİS no: [eklenecek]
Vergi dairesi: [eklenecek]
Vergi no: [eklenecek]
Adres: [eklenecek]
Telefon: [eklenecek]
E-posta: [eklenecek]
KEP adresi: [eklenecek]

Taraflar ve roller

Bu sözleşme, Kullanım Şartları'nın ekidir. Dokun'u kullanan işletme, kart sahibi müşterilerinin kişisel verileri bakımından 6698 sayılı KVKK anlamında veri sorumlusudur; Dokun bu verileri yalnız işletme adına işleyen veri işleyendir. İşletme hesabı, fatura ve güvenlik kayıtları bu sözleşmenin kapsamı dışındadır (bunlar için Dokun veri sorumlusudur).

Konu, kapsam ve süre

Konu: sadakat programının yürütülmesi. Veri kategorileri: ad (isteğe bağlı), e-posta, telefon (verilmişse), doğum günü (verilmişse), kart seri numarası, damga/ödül/kupon işlem geçmişi, ziyaret puanı ve yorum, pazarlama izni kayıtları, Apple Wallet cihaz kayıt bilgileri. İlgili kişiler: işletmenin kart sahibi müşterileri ve personeli. Süre: abonelik süresi ve 11. maddedeki iade/silme süresi.

Talimatlar

Dokun kişisel verileri yalnız işletmenin belgelenmiş talimatlarıyla işler; panelde yapılan ayarlar, kampanya gönderimleri ve API çağrıları talimat sayılır. Dokun, bir talimatın mevzuata aykırı olduğunu düşünürse işletmeyi bilgilendirir. Veriler reklam, profil satışı veya Dokun'un kendi amaçları için kullanılmaz; anonim, toplu kullanım istatistikleri hariçtir.

Gizlilik ve personel

Verilere erişen Dokun personeli gizlilik yükümlülüğü altındadır ve erişim yalnız destek, bakım ve güvenlik için gereken asgari düzeyde verilir.

Güvenlik tedbirleri

Teknik ve idari tedbirler: aktarımda TLS şifreleme; veritabanında satır düzeyinde güvenlik (RLS) ile işletmeler arası izolasyon; kasada müşteri aramasında maskeli bilgi; QR veya tek kullanımlık kodla işlem doğrulaması; rol bazlı personel yetkileri; API anahtarlarının yalnız özet (hash) olarak saklanması; hız sınırlama ve bot koruması; şifreli yedekleme; erişim ve işlem kayıtları; güvenlik güncellemelerinin düzenli uygulanması.

Alt işleyenler

İşletme, aşağıdaki alt işleyenlerin kullanılmasına genel yetki verir: • Supabase — veritabanı, kimlik doğrulama, dosya depolama (AB, İrlanda) • Vercel — uygulama barındırma ve sunucu işlemleri (AB bölgesi; küresel uç ağı, ABD merkezli şirket) • Apple — Apple Wallet kartları ve bildirim (APNs) iletimi (ABD/küresel) • Cloudflare — Turnstile bot koruması (küresel) • Google — Google Analytics; yalnız herkese açık tanıtım sitesinde ve çerez onayıyla, kart sahibi verisi gönderilmez (AB/ABD) • Resend — işlem ve kampanya e-postaları (ABD/AB) • Netgsm veya İleti Merkezi — SMS ile doğrulama kodları (Türkiye) • iyzico — abonelik ödemeleri; yalnız işletme fatura/ödeme verisi (Türkiye) Yeni bir alt işleyen eklenmeden en az 30 gün önce bu sayfa güncellenir ve işletmelere e-posta ile bildirilir; işletme haklı sebeple itiraz edebilir. Dokun alt işleyenlere bu sözleşmedekine eşdeğer yükümlülükler yükler.

Yurt dışına aktarım

Bazı alt işleyenler verileri Türkiye dışında işler. Aktarımlar KVKK m.9 (7499 sayılı Kanunla 2024'te yapılan değişiklik) kapsamında; yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmeler yoluyla yapılır. Standart sözleşmenin imzadan itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi gerekir; bildirim yükümlülüğünün hangi tarafça yerine getirileceği ve alt işleyen bazında uygulanacak aktarım aracı hukuki incelemeyle kesinleştirilecektir.

İlgili kişi talepleri

Dokun, kart sahiplerinin KVKK m.11 taleplerini yanıtlayabilmesi için işletmeye panel araçları (müşteri kaydını görüntüleme, dışa aktarma, silme) sağlar. Dokun'a doğrudan gelen talepler gecikmeksizin ilgili işletmeye yönlendirilir.

İhlal bildirimi

Dokun, işletme verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde gecikmeksizin ve en geç 72 saat içinde işletmeye bildirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçlar ve alınan önlemler yer alır. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak işletmeye aittir; Dokun bu süreçte makul destek sağlar.

Denetim

İşletme, bu sözleşmeye uyumu doğrulamak için bilgi ve belge talep edebilir. Yerinde denetim, makul bir süre önceden yazılı bildirimle, yılda en fazla bir kez, mesai saatlerinde ve diğer müşterilerin verilerinin gizliliğini koruyacak şekilde yapılır; masrafları işletmeye aittir. Alt işleyenlerin bağımsız denetim raporları mümkün olduğunda paylaşılır.

Sözleşme sonunda veri iadesi ve silme

Abonelik sona erdiğinde işletme 30 gün boyunca verilerini panelden CSV olarak dışa aktarabilir. Bu sürenin ardından kişisel veriler en geç 90 gün içinde yedekler dahil silinir veya anonim hale getirilir; yasal saklama yükümlülüğü olan kayıtlar hariçtir. İşletme talep ederse silme yazılı olarak teyit edilir.

Öncelik

Kişisel verilerin işlenmesi konusunda bu sözleşme ile Kullanım Şartları arasında çelişki olursa bu sözleşme uygulanır.