Sunucularınızdaki kişisel verileri işlerken tten'in veri işleyen sıfatıyla üstlendiği yükümlülükleri düzenler. Güvenlik tedbirlerini, alt işleyenleri ve veri ihlali bildirimini kapsar.
Madde 1 — Taraflar
VERİ SORUMLUSU: Müşterinin satın alma sırasında verdiği unvan ve adres. Bu sözleşmede “Müşteri” olarak anılır.
VERİ İŞLEYEN: TTEN Teknoloji A.Ş., Cemalpaşa Mah. Gazipaşa Blv. No: 20/11 Seyhan / Adana, Ziyapaşa Vergi Dairesi 8591442515, ticaret sicil no 94489 (Adana), MERSİS 859144251500001, e-posta [email protected], telefon 0850 307 31 31, KVKK başvuru adresi [email protected]. tten, VERBİS kayıt yükümlülüğü eşiğinin altındadır ve Veri Sorumluları Siciline kayıtlı değildir. Bu sözleşmede “tten” olarak anılır.
Bu sözleşme, sipariş akışında onaylanan standart ek olarak kurulur. Talep eden kurumsal müşteriyle ayrıca ıslak imzayla imzalanabilir.
Madde 2 — Konu ve rol ayrımı
2.1 Konu
Bu sözleşme, Müşteri ile tten arasındaki Mesafeli Satış Sözleşmesi kapsamında sunulan bulut altyapı hizmeti sırasında kişisel verilerin işlenmesine ilişkin tarafların hak ve yükümlülüklerini düzenler.
2.2 Rol ayrımı
İki ayrı veri kümesi vardır ve rolleri farklıdır. Bu ayrım belgenin tamamının temelidir:
Müşterinin altyapıda barındırdığı veri (sunucularının içindeki uygulama ve iş verisi) · Müşterinin rolü: Veri sorumlusu · tten’in rolü: Veri işleyen · Düzenlendiği belge: Bu sözleşme
Müşterinin tten nezdindeki hesap, iletişim, fatura ve destek verisi · Müşterinin rolü: Veri sahibi ya da kendi çalışanları bakımından veri sorumlusu · tten’in rolü: Veri sorumlusu · Düzenlendiği belge: KVKK Aydınlatma Metni
tten, Müşterinin sunucularının içinde ne olup bittiğini bilmez ve o veriye erişmez. tten’in veri işleyen sıfatı, veriyi barındıran altyapıyı işletmesinden doğar. Verinin kendisine ilişkin bir tasarruf yetkisinden doğmaz.
Bu ayrımın sonuçları şunlardır:
tten veri sahibi değildir. Müşterinin sunucusundaki hiçbir veri üzerinde mülkiyet ya da tasarruf iddiası taşımaz.
tten’in Müşteriyi denetleme yükümlülüğü ve teknolojisi yoktur. Sunucu içindeki faaliyeti izleyen, tarayan ya da değerlendiren bir mekanizma işletilmez.
Sunucu içindeki her şeyden Müşteri sorumludur: barındırdığı bilgi ve belgeler, kurduğu yazılımlar ve bu yazılımların lisansları dahil.
tten, kendi sunucularında tuttuğu Core Panel verilerinden sorumludur. Sorumluluğunun sınırı budur.
2.3 Kapsam sınırı
Bu sözleşme, tten web sitesi üzerinden satın alınan self-service altyapı paketlerini kapsar. Yönetilen Hizmetler, Yönetilen Private Cloud, DevOps Danışmanlığı ve fintech çözümleri bu sözleşmenin kapsamı dışındadır. O hizmetler kendi sözleşmeleriyle düzenlenir.
Madde 3 — İşleme talimatları
tten, kişisel verileri yalnızca Müşterinin belgelenmiş talimatları doğrultusunda ve hizmetin sunulması için gerekli olduğu ölçüde işler.
Müşterinin talimatı, hizmeti kullanmasıyla verilir: Müşteri Core Panel, Public API ya da tten MCP Server üzerinden yaptığı her işlemle talimat vermiş sayılır.
tten, mevzuattan doğan bir yükümlülük nedeniyle talimat dışında işleme yapmak zorunda kalırsa, hukuken yasak değilse Müşteriyi önceden bilgilendirir.
tten, kişisel verileri kendi amaçları için kullanmaz, üçüncü kişiye satmaz ve Müşterinin verisinden model eğitmez.
Madde 4 — Gizlilik
tten, kişisel verilere erişimi görevi gereği bilmesi gereken personelle sınırlar. Erişim yönetimi (rol bazlı yetki, ayrılan personelin erişiminin kapatılması) işletilir.
Erişim yetkisi olan personel, imzaladığı gizlilik taahhütnamesi ile bağlıdır ve düzenli KVKK farkındalık eğitimi alır.
Gizlilik yükümlülüğü sözleşme sona erdikten sonra da 3 yıl boyunca devam eder.
Madde 5 — Güvenlik tedbirleri
tten, işlediği kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri alır. Bu tedbirlerin müşteriye açık olan kısmı Ek 2‘dedir. Güvenlik yapılandırmasının ayrıntısı, kötüye kullanımı kolaylaştırmamak için yayımlanmaz.
Müşteri, kendi katmanındaki güvenlik tedbirlerinden sorumludur. Sorumluluk sınırı Sorumluluk Modeli belgesinde tanımlanmıştır: altyapı tten’de, işletim sistemi ve üstü Müşteride.
Müşterinin sorumluluğundaki güvenlik kalemleri şunlardır:
İşletim sistemi güncellemesi ve güvenlik sıkılaştırması.
Kurduğu servisler ve uygulamalar ile bunların güvenliği.
İşletim sistemi içi kullanıcı, SSH anahtarı ve parola yönetimi.
Hangi portun dışarıya açılacağı (self-service port yönlendirme kuralı).
Uygulama seviyesinde şifreleme uygulanıp uygulanmayacağı.
Hangi yedeğe ne zaman geri dönüleceği.
Madde 6 — Alt işleyenler
Müşteri, tten’in bu sözleşmedeki yükümlülüklerini yerine getirmek üzere alt işleyen kullanmasına genel olarak onay verir.
Güncel alt işleyen listesi Ek 3‘tedir.
Alt işleyen listesindeki değişiklikler Ek 3’te güncellenerek yayımlanır. Ayrı bir bildirim ve itiraz usulü öngörülmemiştir.
tten, alt işleyenlerine bu sözleşmedekiyle aynı düzeyde yükümlülük yükler ve alt işleyenin fiillerinden Müşteriye karşı sorumludur.
Madde 7 — Veri ihlali bildirimi
tten, kişisel veri ihlalini öğrendiğinde Müşteriyi 72 saat içinde, Müşterinin kayıtlı e-posta adresi üzerinden bilgilendirir.
Bildirim en az şu bilgileri içerir: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık veri sahibi sayısı (biliniyorsa), muhtemel sonuçlar, alınan ve alınması önerilen önlemler, iletişim kurulacak kişi.
Bilgilerin tamamı aynı anda verilemiyorsa aşamalı bildirim yapılır.
Yetkili kuruma ve veri sahiplerine bildirim yükümlülüğü Müşteriye aittir. tten, Müşterinin bu yükümlülüğünü yerine getirmesi için gerekli bilgi ve desteği sağlar.
tten, ihlale ilişkin kayıtları tutar ve Müşterinin talebi hâlinde paylaşır.
Kapsam kaydı: tten’in işlem kayıtları Core Panel ve Public API ile sınırlıdır. Müşterinin sunucusunun içinde gerçekleşen bir ihlali tten tespit edemez ve bildiremez.
Madde 8 — Veri sahibi taleplerine destek
Veri sahiplerinin başvurularını yanıtlamak Müşterinin yükümlülüğüdür.
Bir veri sahibi doğrudan tten’e başvurursa tten bu başvuruyu yanıtlamaz ve 7 iş günü içinde Müşteriye yönlendirir.
tten, Müşterinin veri sahibi taleplerini (erişim, düzeltme, silme, itiraz) karşılayabilmesi için makul teknik desteği sağlar.
Destek kapsamının teknik sınırı: Müşterinin sunucularının içindeki veriye erişim, silme ve düzeltme işlemleri Müşterinin kendi katmanındadır. Root yetkisi Müşteridedir ve bu işlemleri Müşteri kendisi yapar. tten’in sağlayabileceği destek altyapı katmanıyla sınırlıdır: sunucunun ve yedeklerin silinmesi, disk imajının teslimi.
Bu destek için ücret alınmaz.
Madde 9 — Verinin bulunduğu yer ve aktarım
Kişisel veriler Türkiye’de barındırılır. Müşterinin sunucuları İstanbul ve Ankara’daki veri merkezi servis noktalarında çalışır.
tten, Müşterinin verisini yurt dışına aktarmaz.
Müşterinin sunucularındaki veri hiçbir hâlde yurt dışına aktarılmaz. Bu, sözleşmenin esasını oluşturan taahhüttür ve istisnası yoktur.
Alt işleyenlerden kaynaklanan yurt dışı aktarımı Ek 3’te gösterilir ve hesap yönetimiyle sınırlıdır. Müşterinin barındırdığı veriyi kapsamaz. Bu aktarımlar 6698 sayılı Kanun’un 9. maddesi kapsamında yapılır.
tten, Müşteriye gönderdiği e-postalarda parola ve benzeri kimlik doğrulama bilgilerini açık biçimde iletmez. Dolayısıyla e-posta gönderim altyapısına giden içerikte bu tür bilgiler bulunmaz.
Madde 10 — Kayıt tutma
tten, Müşteri adına gerçekleştirdiği işleme faaliyetlerinin kaydını tutar ve Müşterinin talebi hâlinde bu kaydı sağlar.
Kapsam kaydı: İşlem kayıtları Core Panel ve Public API üzerinden yapılan işlemleri kapsar. Müşteri bu kayıtları Core Panel’de kendisi görür. İşlem kayıtları hizmet ilişkisi devam ettiği sürece tutulur ve hizmet sona erdiğinde saklanmaz. Sunucunun içindeki oturumlar ve uygulama logları Müşterinin katmanındadır, tten tarafından kaydedilmez.
Madde 11 — Sözleşme sonunda verinin iadesi ve silinmesi
Hizmetin sona ermesi hâlinde Müşteri, verisinin iadesini ya da silinmesini talep edebilir.
İade: Sunucunun disk imajı talep üzerine VMDK formatında teslim edilir. Self-service dışa aktarma yoktur. Talep Core Panel destek talebiyle, hizmet sona ermeden iletilir. Teslim için sayısal süre taahhüt edilmez.
Silme: Hizmetin sona ermesiyle birlikte sunucu diskleri ve yedekler tasfiye edilir. Hizmet bitimi sonrası için bir saklama süresi taahhüt edilmez. Ödeme yapılmaması hâlindeki silme takvimi Mesafeli Satış Sözleşmesi Madde 5.6’dadır.
Yedeklerin silinmesi: Yedekler hizmetle birlikte anında silinir. Hizmet bitiminden sonra yedek saklanmaz.
Snapshot: Snapshot 24 saat sonra otomatik silinir.
Mevzuat gereği saklanması zorunlu veriler (fatura ve muhasebe kayıtları) silme yükümlülüğünün dışındadır ve 10 yıl boyunca saklanır.
Silme işlemi için ayrıca yazılı teyit düzenlenmez. Hizmetin ve yedeklerin silinmesi Core Panel üzerinden görülür.
Madde 12 — Süre ve yürürlük
Bu sözleşme, Mesafeli Satış Sözleşmesi’nin yürürlüğe girmesiyle birlikte yürürlüğe girer ve hizmet ilişkisi süresince geçerlidir. Madde 4 (gizlilik) ve Madde 11 (iade ve silme) hükümleri sözleşme sona erdikten sonra da uygulanır.
Bu sözleşme ile Mesafeli Satış Sözleşmesi arasında kişisel veri konusunda çelişki bulunması hâlinde bu sözleşme uygulanır.
Ek 1 — İşleme faaliyetinin detayları
İşlemenin konusu: Bulut altyapı hizmetinin sunulması: sanal sunucu ve kaynak havuzu tahsisi, barındırma, yedekleme
İşlemenin niteliği: Barındırma, saklama, yedekleme, altyapı düzeyinde erişim yetkilendirmesi
İşlemenin amacı: Müşteriye sözleşme konusu hizmetin sunulması
İşlemenin süresi: Hizmet ilişkisi süresi ve Madde 11’deki saklama süreleri
Veri kategorileri: Müşterinin sunucularına yüklediği içerik tten tarafından bilinmez ve kategorize edilemez. Kategori beyanı Müşteri tarafından yapılır: Müşterinin sunucularında barındırdığı, DPA imzalanırken kendisi tarafından tarif edilen veri kategorileri
Veri sahibi grupları: Müşteri tarafından belirlenir: Müşterinin kendi ilişkisine göre tarif ettiği veri sahibi grupları (örneğin müşterileri, çalışanları, kullanıcıları)
Özel nitelikli veri: Müşteri özel nitelikli kişisel veri barındıracaksa bunu tten’e bildirir: Müşterinin özel nitelikli kişisel veri barındırıp barındırmadığına ilişkin beyanı
Bu tablodaki veri kategorileri, veri sahibi grupları ve özel nitelikli veri satırlarını Müşteri doldurur. Altyapı hizmeti modelinde tten, Müşterinin sunucularında ne barındırdığını bilmez ve kategorize edemez. Beyan Müşteriye aittir.
Ek 2 — Teknik ve idari tedbirler
A. Alınan tedbirler
Ağ izolasyonu: Sanal Veri Merkezi hizmetinde her müşterinin sunucuları müşteriye özel, dış dünyadan izole tek VLAN üzerindedir. Bulut Sunucu hizmetinde sunucu kendi public IP adresiyle tek başına çalışır ve izolasyonu tten firewall sağlar
Firewall koruması: Sunucular tten firewall arkasındadır. Firewall tten tarafından işletilir, müşteriye ham erişim verilmez
Varsayılan kapalı erişim: Sunucular dışarıya kapalı gelir. Dışarı açılacak port için müşterinin self-service kural tanımlaması gerekir
VPN erişimi: Sanal Veri Merkezi hizmetinde sunuculara erişim, Core Panel üzerinden kurulan ve firewall ile uyumlu çalışan VPN ile sağlanır. Bulut Sunucu hizmetinde VPN opsiyonel ek hizmettir
Kullanıcı bazlı erişim ve yetkilendirme: Ekip üyeleri kendi hesaplarıyla çalışır. Kimin neye erişeceğini müşteri belirler. Davet ve kabul akışı ile granüler izin modeli mevcuttur
Parola saklamama: tten müşteri sunucularının parolalarını kaydetmez
İşlem kaydı: Core Panel ve Public API üzerinden yapılan işlemler kayıt altına alınır, müşteri Core Panel’de görür. Kayıtlar hizmet ilişkisi devam ettiği sürece tutulur
Yedekleme: Sanal Veri Merkezi hizmetinde sunucuların yedeği her gün otomatik alınır ve 7 gün saklanır. Bulut Sunucu hizmetinde yedekleme opsiyonel ek hizmettir, pakete eklendiğinde yedek her gün alınır ve 3 gün saklanır
Geri yükleme: Yedek yeni sunucu olarak ayağa kaldırılır ya da içinden dosya bazlı kurtarma yapılır
Snapshot ömrü: Snapshot 24 saat sonra otomatik silinir. Snapshot yedek değildir
Donanım arızasına dayanıklılık: Sanal sunucu, donanım arızasında havuzdaki başka bir node üzerinde yeniden ayağa kaldırılır
Altyapı yedekliliği: Compute, RAM ve storage katmanları, BGP ile internet erişimi, enerji ve soğutma yedeklidir
7/24 izleme: Altyapı 7/24 izlenir ve altyapı arızalarına müdahale edilir
Veri lokasyonu: Altyapı Türkiye’de barındırılır: İstanbul ve Ankara veri merkezi servis noktaları
API kimlik doğrulama: Public API erişimi kişisel erişim token’ı (PAT) ile yapılır, kaynaklar UUID ile adreslenir
Şifreleme yapılandırması, kimlik doğrulama düzeni, yedek konumu, disk imha usulü, zafiyet tarama periyodu ve benzeri kalemlerin ayrıntısı bu sözleşmede yayımlanmaz. Bunlar güvenlik yapılandırmasının mahrem bilgisidir ve yayımlanmaları koruma düzeyini düşürür.
B. Teknik kapsam sınırları
Aşağıdaki sınırlar, Müşterinin tten’in sunmadığı bir korumayı beklememesi için açıkça yazılmıştır:
Sunucu içi trafik denetlenmez. Müşterinin sunucuları aynı izole VLAN içinde birbirleriyle doğrudan konuşur. Bu trafik tten firewall’a uğramaz ve tten tarafından görülmez. Bu katmanda ek kısıt isteyen müşteri, kısıtı kendi sunucusunda host seviyesinde tanımlar.
Sunucu içi log tutulmaz. SSH oturumları ve uygulama logları müşterinin katmanındadır.
İşletim sistemi ve üstü tten’in sorumluluğunda değildir. Güncelleme, sıkılaştırma, uygulama güvenliği ve uygulama seviyesi şifreleme müşterinin katmanındadır.
AutoDR devreye alma müşteridedir. Kurulum tten’de, failover’ı müşteri Core Panel’den kendisi başlatır.
Ek 3 — Alt işleyen listesi
PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. · Hizmet: Ödeme işleme · Konum: Türkiye · Aktarılan veri: Ad soyad, e-posta, telefon, fatura adresi, sipariş ve tutar bilgisi. Kart bilgisi tten’e ulaşmaz, doğrudan ödeme kuruluşunda işlenir. · Yurt dışı aktarımı: Hayır
iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. · Hizmet: Ödeme işleme · Konum: Türkiye · Aktarılan veri: Aynı kapsam · Yurt dışı aktarımı: Hayır
LUCA — TÜRMOB-TESMER Eğitim Yayın ve Yazılım Hizmetleri İktisadi İşletmesi · Hizmet: E-fatura ve e-arşiv · Konum: Türkiye · Aktarılan veri: Unvan ya da ad soyad, adres, vergi kimlik ya da T.C. kimlik numarası, fatura kalemleri ve tutar · Yurt dışı aktarımı: Hayır
MailerSend, Inc. (228 Park Ave S, PMB 54955, New York, NY 10003-1502, ABD) · Hizmet: İşlemsel e-posta gönderimi · Konum: ABD ve sağlayıcının kendi beyanına göre “dünyanın başka yerleri”. Bölge garantisi yok · Aktarılan veri: Ad soyad, e-posta adresi, bildirimin içeriği (proforma, ödeme ve askı bildirimleri, hesap işlemleri) · Yurt dışı aktarımı: Evet
Alt işleyen listesinde yer alan tek yurt dışı aktarımı işlemsel e-posta gönderimidir. Bu aktarım sözleşmenin ifası için zorunludur ve açık rızaya bağlı değildir. Ayrıntısı KVKK Aydınlatma Metni bölüm 8’dedir.
Site ziyaretçilerine ait ölçümleme ve reklam araçları bu tabloya girmez. Bunlar Müşterinin barındırma verisi değil, site ziyaretçisi verisidir ve Çerez Politikası ile KVKK Aydınlatma Metni kapsamında listelenir.
Kardeş belgeler: Mesafeli Satış Sözleşmesi (Madde 11) · KVKK Aydınlatma Metni · Gizlilik Politikası · Açık Rıza Metni · Çerez Politikası · Hizmet Seviyesi Beyanı · Kabul Edilebilir Kullanım Politikası