Veri İşleme Sözleşmesi (DPA)

1Bu sözleşme ne işe yarar?

Bu Veri İşleme Sözleşmesi (“DPA”); KVKK m.12/2 ve GDPR m.28 uyarınca, veri sorumlusu sıfatındaki Abone ile veri işleyen sıfatındaki EgnaFlex Inc. arasındaki veri koruma yükümlülüklerini düzenler.

DPA, Kullanım Koşulları'nın ayrılmaz bir ekidir ve Abone hizmeti kullanmaya başladığı anda otomatik olarak yürürlüğe girer. Ayrıca imza gerekmez; ıslak imzalı bir nüsha talep ederseniz kvkk@otogarim.com adresine yazabilirsiniz.

Neden gerekli?

Yolcu ve sürücü verilerinin veri sorumlusu sizsiniz. KVKK ve GDPR, veri sorumlusunun bir veri işleyen kullanması hâlinde aralarında yazılı bir sözleşme bulunmasını zorunlu tutar. Bu sayfa, o sözleşmedir.

2Tanımlar ve taraflar

Unvan: EgnaFlex Inc.
Ürün / Marka: Otogarım (otogarim.com)
Adres: 131 Continental Dr, Suite 305, Newark, DE 19713, ABD
Kuruluş: Delaware, Amerika Birleşik Devletleri
Ürün destek e-postası: destek@otogarim.com
Kurumsal e-posta: info@egnaflex.com
Gizlilik / KVKK başvuru: kvkk@otogarim.com
Telefon: +1 (302) 600-2720

Veri Sorumlusu: Otogarım'ı kullanan Abone işletme (yazıhane, acente, taşımacılık firması).
Veri İşleyen: EgnaFlex Inc.
Alt İşleyen: EgnaFlex'in hizmeti sunmak için görevlendirdiği üçüncü taraf sağlayıcılar.
İlgili Kişi: Verisi işlenen gerçek kişi (yolcu, sürücü, kullanıcı).
İşleme: KVKK m.3 ve GDPR m.4(2) anlamındaki her türlü işlem.

3İşlemenin konusu, kapsamı ve süresi

Başlık	İçerik
Konu	Otogarım hizmetinin sunulması kapsamında İşletme Verisi'nin işlenmesi
Süre	Abonelik süresi + fesih sonrası 60 günlük veri çıkarma penceresi
Niteliği ve amacı	Barındırma, senkronizasyon, yedekleme, raporlama, teknik destek, güvenlik
İlgili kişi kategorileri	Yolcular, sürücüler, Abone personeli, acente yetkilileri
Kişisel veri kategorileri	Kimlik (ad soyad, T.C. kimlik/pasaport no, doğum tarihi, cinsiyet, uyruk), iletişim (telefon, e-posta), işlem (bilet, sefer, ödeme kaydı), mesleki (rol, ehliyet bilgisi), işlem güvenliği (oturum, denetim izi)
Özel nitelikli veri	Sistem özel nitelikli veri toplamak üzere tasarlanmamıştır. Abone'nin serbest metin alanlarına böyle veri girmesi hâlinde sorumluluk Abone'ye aittir.

4EgnaFlex'in (Veri İşleyen) yükümlülükleri

Talimata bağlılık. Kişisel verileri yalnızca Abone'nin belgelenmiş talimatları doğrultusunda işler. Hizmetin kullanımı, ayarlar ve destek talepleri belgelenmiş talimat sayılır. Zorunlu bir hukuk kuralı gereği farklı davranmak gerekirse — hukuken yasak olmadıkça — Abone önceden bilgilendirilir.
Gizlilik. Verilere erişimi olan tüm personel, süresiz gizlilik yükümlülüğü altındadır ve yalnızca görevinin gerektirdiği ölçüde erişim yetkisine sahiptir (en az yetki ilkesi).
Güvenlik. KVKK m.12 ve GDPR m.32 kapsamında uygun teknik ve idari tedbirleri alır (aşağıdaki 6. bölüm).
Alt işleyenler. Yalnızca bu DPA'daki koşullarla ve eşdeğer yükümlülükler altında alt işleyen kullanır.
İlgili kişi taleplerine destek. Bir ilgili kişi doğrudan EgnaFlex'e başvurursa, talebi kendisi cevaplamaz; gecikmeksizin Abone'ye yönlendirir ve Abone'nin talebi karşılamasına makul ölçüde teknik destek verir.
Uyum desteği. Veri güvenliği, ihlal bildirimi, etki değerlendirmesi (DPIA) ve denetim otoritesine danışma yükümlülüklerinde Abone'ye makul destek sağlar.
İhlal bildirimi. Bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin ve her hâlde 48 saat içinde Abone'yi bilgilendirir (aşağıdaki 7. bölüm).
Silme ve iade. Hizmetin sona ermesinde Abone'nin tercihine göre verileri iade eder veya siler.
Denetim. Bu DPA'ya uyumu kanıtlayacak bilgileri sağlar ve makul denetimlere izin verir (aşağıdaki 8. bölüm).

5Abone'nin (Veri Sorumlusu) yükümlülükleri

İşlediği kişisel veriler bakımından geçerli bir hukuki sebebin bulunmasını sağlamak.
Yolcuları, sürücüleri ve personeli KVKK m.10 kapsamında aydınlatmak; gereken hâllerde açık rıza almak.
Yalnızca gerekli ve ölçülü veriyi sisteme girmek; serbest metin alanlarına gereksiz veya özel nitelikli veri yazmamak.
Kullanıcı hesaplarını, rolleri ve yetkileri doğru yönetmek; ayrılan personelin erişimini derhâl kaldırmak.
Verdiği talimatların hukuka uygun olduğunu güvence altına almak.
İlgili kişi başvurularını birinci elden karşılamak.
Düzenli veri yedeği almak.
U-ETDS, e-Bilet, vergi ve taşımacılık mevzuatına uyumu sağlamak.

6Teknik ve idari tedbirler

Teknik tedbirler

Aktarımda TLS 1.2+; dinlenme hâlinde sunucu tarafı şifreleme
Cihazda AES-GCM ile şifreli yerel veritabanı; anahtarlar işletim sistemi güvenli deposunda
PBKDF2 ile karmalanmış uygulama PIN'i; şifreler yalnızca kimlik sağlayıcıda karma olarak
İşletme (tenant) ve rol bazlı Firestore güvenlik kuralları; çapraz işletme sorgusu engeli
Firebase App Check ile uygulama bütünlüğü doğrulaması
Kaba kuvvet koruması, artan gecikmeli hesap kilidi, giriş hızı sınırlaması
Değiştirilemez denetim izleri (audit log)
Sunucu tarafı ayrıcalıklı işlemler için en az yetki ilkesiyle çalışan Cloud Functions
Bağımlılık güvenlik taraması ve düzenli güvenlik yaması

İdari tedbirler

Personel için gizlilik taahhütnamesi ve veri koruma farkındalık eğitimi
Bilme gereği (need-to-know) ilkesine dayalı erişim yönetimi ve periyodik erişim gözden geçirmesi
Değişiklik yönetimi ve kod inceleme süreçleri
Olay müdahale planı ve ihlal bildirim prosedürü
Alt işleyen değerlendirme ve sözleşme yönetimi süreci
Yedekleme ve iş sürekliliği planı

EgnaFlex bu tedbirleri, güvenlik seviyesini düşürmemek kaydıyla teknolojik gelişmelere göre güncelleyebilir.

7Kişisel veri ihlali

EgnaFlex, kendi altyapısında bir kişisel veri ihlalinden haberdar olduğunda:

Gecikmeksizin ve her hâlde 48 saat içinde Abone'nin kayıtlı iletişim adresine bildirimde bulunur.
Bildirimde; ihlalin niteliğini, etkilenen ilgili kişi ve kayıt kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve alınan/alınacak önlemleri belirtir.
Bilgiler aynı anda sağlanamıyorsa kademeli olarak, gecikmeksizin iletir.
Abone'nin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere yapacağı bildirimlerde makul destek sağlar.
İhlalin etkilerini azaltmak için gerekli tedbirleri derhâl uygular.

Abone'nin kendi altyapısında, cihazlarında veya personel davranışlarında meydana gelen ihlallerin bildirimi ve yönetimi Abone'nin sorumluluğundadır.

8Alt işleyenler

Abone, EgnaFlex'in hizmeti sunmak için alt işleyen kullanmasına genel olarak izin verir. Güncel liste her zaman Alt İşleyen Listesi sayfasında yayımlanır.

EgnaFlex, her alt işleyenle bu DPA'dakine eşdeğer veri koruma yükümlülükleri içeren bir sözleşme akdeder.
Alt işleyenin yükümlülüklerini yerine getirmemesi hâlinde EgnaFlex, Abone'ye karşı tam sorumludur.
Yeni bir alt işleyen ekleneceğinde veya mevcut biri değiştirileceğinde, yürürlükten en az 30 gün önce e-posta ile veya bu sayfadan duyuru yapılır.
Abone, haklı bir veri koruma gerekçesiyle bu süre içinde itiraz edebilir. Makul bir alternatif bulunamazsa Abone, aboneliğini ceza ödemeksizin feshedebilir ve kullanılmayan döneme ilişkin orantılı iade alır.

9Yurt dışı aktarım

Hizmetin bulut tabanlı yapısı gereği kişisel veriler Türkiye dışına aktarılır. Aktarımlar aşağıdaki güvencelerle yürütülür:

Alt işleyenlerle imzalanan Standart Sözleşme Hükümleri (AB SCC) ve veri işleme ekleri
KVKK m.9 kapsamındaki uygun güvenceler; gerekli hâllerde taahhütname veya Kurul'a bildirimli standart sözleşme
Aktarım etki değerlendirmesi (TIA) ve düzenli gözden geçirme
Aktarılan verinin amaçla sınırlı ve ölçülü tutulması

Abone'nin veri yerleşimi (data residency) konusunda özel bir gereksinimi varsa, sözleşme öncesinde bildirilmelidir.

10Denetim hakkı

EgnaFlex, bu DPA'ya uyumu kanıtlamak için gerekli bilgileri Abone'ye yılda bir kez ücretsiz olarak sağlar (güvenlik özeti, tedbir listesi, alt işleyen listesi).
Abone, en az 30 gün önceden yazılı bildirimde bulunarak, mesai saatleri içinde ve hizmeti aksatmayacak şekilde yılda en fazla bir kez denetim talep edebilir.
Bir kişisel veri ihlalinin ardından veya denetim otoritesinin talebi hâlinde bu sıklık sınırı uygulanmaz.
Denetimi yürüten kişi veya kuruluş, EgnaFlex'in rakibi olmamalı ve gizlilik taahhüdü imzalamalıdır.
Alt işleyenlerin denetimi, ilgili sağlayıcının kendi denetim raporları ve sertifikaları (ISO 27001, SOC 2 vb.) üzerinden sağlanır.
Yılda birden fazla denetimin makul masrafları Abone'ye yansıtılabilir.

11Verilerin iadesi ve silinmesi

Abonelik sona erdiğinde Abone, verilerinin iade edilmesini veya silinmesini talep edebilir.
Fesih sonrası 60 gün boyunca salt-okunur erişim sağlanır; bu süre içinde Abone verilerini JSON, PDF, Excel ve CSV biçiminde dışa aktarabilir.
60 günün sonunda bulut verileri, yasal saklama zorunluluğu bulunanlar hariç, geri döndürülemez şekilde silinir.
Yedek sistemlerdeki kopyalar, yedekleme döngüsünün gerektirdiği süre içinde (en geç 90 gün) silinir.
Abone talep ederse silme işlemi için yazılı teyit verilir.
Cihazlardaki yerel veriler Abone'nin kontrolündedir; silinmesi Abone'nin sorumluluğundadır.

12Sorumluluk, süre ve yürürlük

Bu DPA, Abone'nin hizmeti kullanmaya başlamasıyla yürürlüğe girer ve abonelik süresince + veri silinene kadar geçerliliğini korur.
DPA ile Kullanım Koşulları arasında veri koruma konularında çelişki bulunması hâlinde bu DPA üstün gelir.
Kullanım Koşulları'ndaki sorumluluk sınırlamaları bu DPA bakımından da geçerlidir; ancak mevzuat gereği sınırlandırılamayan sorumluluklar saklıdır.
Gizlilik, silme ve denetim yükümlülükleri DPA'nın sona ermesinden sonra da devam eder.

Sorularınız ve ıslak imzalı nüsha talepleriniz için: kvkk@otogarim.com