Kişisel Verilerin İşlenmesine İlişkin Sözleşme (Veri İşleme Sözleşmesi)
Sürüm: 1.0 · Yürürlük: 10 Kasım 2026 · Abonelik Sözleşmesi'nin Ek-1'idir.
1. Taraflar ve roller
- Veri sorumlusu: Vardix 24'e abone olan Müşteri (işveren).
- Veri işleyen: Moviwo Yazılım Eğitim ve Danışmanlık Hizmetleri Ticaret A.Ş. ("Moviwo"), Bahçelievler Mah. Prof. Dr. Orhan Oğuz Cad. No:87/A, 26170 Tepebaşı / Eskişehir, MERSİS 0623215357500001.
Bu sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12/2 uyarınca, Moviwo'nun Müşteri adına işlediği kişisel verilere ilişkin tarafların hak ve yükümlülüklerini düzenler.
2. İşlemenin konusu ve süresi
Moviwo, kişisel verileri yalnızca Vardix 24 hizmetini sunmak amacıyla, Abonelik Sözleşmesi süresince ve Müşteri'nin hizmet içindeki ayarları ve talimatlarıyla işler.
3. İlgili kişi grupları
Müşteri'nin çalışanları, stajyerleri, alt işveren çalışanları ve hizmeti kullanması için hesap açılan diğer kişiler.
4. Kişisel veri kategorileri
| Kategori | Örnek |
|---|---|
| Kimlik | Ad soyad, sicil numarası |
| İletişim | İş e-posta adresi |
| Özlük / çalışma | Unvan, şube, yönetici, işe giriş tarihi, doğum tarihi (kıdem ve izin hesabı için), rol |
| Konum | Mesai giriş-çıkışı anındaki konum, konum doğruluğu, sahte konum işareti |
| Mesai ve vardiya | Giriş-çıkış zamanları, vardiya planı, geç kalma, fazla mesai, puantaj |
| İzin | İzin türü, tarihleri, talep ve onay notları |
| İşlem güvenliği | Oturum kayıtları, denetim kayıtları, cihaz bildirim (push) tanımlayıcısı |
| Sağlık (özel nitelikli) | Hastalık izni bilgisi, çalışanın yüklediği sağlık raporu ve gecikme nedeni |
| Özlük belgeleri | Müşteri'nin çalışandan istediği ya da kendisinin eklediği belgeler (kimlik, diploma, ikametgâh, sözleşme, sertifika; Müşteri gerekli görürse adli sicil kaydı) |
| Tutanak ve savunma | Müşteri'nin tuttuğu tutanaklar, ekleri ve çalışanın savunması |
Müşteri, hizmete bu tabloda olmayan veriler (özellikle not alanlarına sağlık, inanç, sendika üyeliği gibi özel nitelikli veriler) girmemekle ve çalışandan yalnızca işin ve mevzuatın gerektirdiği belgeleri istemekle yükümlüdür.
5. Moviwo'nun yükümlülükleri
Moviwo:
- Verileri yalnızca Müşteri'nin talimatlarıyla ve hizmeti sunmak için işler; kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz.
- Verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar; erişimi görev gereğiyle sınırlar.
- KVKK m.12/1 uyarınca aşağıdaki tedbirleri alır:
- Şirketler arası ayrım: Her müşterinin verisi uygulama seviyesinde ve ayrıca veritabanı seviyesinde (satır seviyesi güvenlik) ayrılır.
- İletim güvenliği: Tüm bağlantılar HTTPS ile şifrelenir.
- Parolalar: Tek yönlü özetlenerek (hash) saklanır. Şifre değişince tüm oturumlar kapatılır.
- Erişim kontrolü: Rol bazlı yetki (şirket sahibi, İK, yönetici, çalışan). Yöneticiler yalnızca kendi ekiplerini görür.
- Denetim kaydı: Önemli işlemler kimin ne zaman yaptığıyla kaydedilir.
- Yedekleme: Günlük yedek; yedeklere erişim sınırlıdır.
- Konum verisinin en aza indirilmesi: Konum yalnızca giriş-çıkış anında alınır, arka planda konum toplanmaz.
- Belgeler: Sağlık raporları, özlük belgeleri ve tutanak ekleri veritabanında AES-256-GCM ile şifreli saklanır; türü içerikten doğrulanır. Yalnızca belgenin sahibi, yöneticisi, onay zincirindekiler ve İK görebilir; sahibi dışındaki her görüntüleme denetim kaydına yazılır.
- Tutanak bütünlüğü: Tutanak ve savunma kaydedildikleri anda özetlenir (SHA-256); kayıt sonradan değiştirilemez, değiştirilmişse yönetim panelinde uyarı gösterilir.
- Barındırma: Veriler Amazon Web Services EMEA SARL (AWS) altyapısında, Frankfurt (Almanya) veri merkezinde barındırılır.
- Bir veri ihlalini öğrendiğinde Müşteri'ye gecikmeksizin ve en geç 24 saat içinde bildirir; ihlalin niteliğini, etkilenen veri kategorilerini ve alınan tedbirleri paylaşır. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir (Kurul'a bildirim için 72 saat). Moviwo bu bildirimler için gereken bilgiyi sağlar.
- İlgili kişilerin KVKK m.11 kapsamındaki başvurularını Moviwo'ya doğrudan iletmeleri halinde bunları gecikmeksizin Müşteri'ye yönlendirir; Müşteri'nin bu başvuruları yanıtlaması için gerekli verileri (dışa aktarma, düzeltme, silme) sağlar.
- Müşteri'nin KVKK'ya uyumu denetlemesine, makul bir ön bildirimle ve yılda en fazla bir kez, yazılı soru-cevap ya da belgeler üzerinden imkân tanır.
6. Alt veri işleyenler
Moviwo hizmeti sunmak için aşağıdaki alt veri işleyenleri kullanır:
| Alt veri işleyen | Ne için | Konum |
|---|---|---|
| Amazon Web Services EMEA SARL (AWS) | Sunucular, veritabanı ve yedekler | Almanya (Frankfurt) |
| Amazon Web Services EMEA SARL (Amazon SES) | Davet, şifre sıfırlama, doğrulama ve bildirim e-postaları | Almanya (Frankfurt) |
| Expo (650 Industries, Inc.) | Mobil push bildirimlerinin iletilmesi | ABD |
| Apple Push Notification Service, Google Firebase Cloud Messaging | Bildirimin cihaza ulaştırılması | ABD |
- Moviwo, alt veri işleyenlerle bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler içeren sözleşmeler yapar.
- Yeni bir alt veri işleyen eklemeden en az 30 gün önce Müşteri'yi bilgilendirir. Müşteri haklı bir gerekçeyle itiraz ederse ve taraflar çözüm bulamazsa Müşteri aboneliği cezasız iptal edebilir.
7. Yurt dışına aktarım
Sunucular ve veritabanı Almanya'da (AWS Frankfurt) bulunduğundan Hizmet'e girilen veriler yurt dışında barındırılır. Ayrıca push bildirimleri nedeniyle sınırlı veriler (bildirim metni: ad, izin türü, tarih gibi; cihaz bildirim tanımlayıcısı) yurt dışına aktarılır. Bu aktarım KVKK m.9 uyarınca yapılır: yeterlilik kararı bulunmadığından Moviwo, alt veri işleyenlerle Kurul'un ilan ettiği standart sözleşmeleri imzalar ve imzadan itibaren 5 iş günü içinde Kurul'a bildirir. Bildirim metinleri, gereğinden fazla kişisel veri içermeyecek şekilde kısa tutulur.
8. Müşteri'nin yükümlülükleri
Müşteri:
- Çalışanlarını KVKK m.10 uyarınca aydınlatır (Moviwo'nun Çalışan Aydınlatma Metni şablonu kullanılabilir).
- Verileri hukuka uygun bir sebebe dayanarak işler; konum verisini yalnızca mesai doğrulaması için kullanır.
- Hizmete yalnızca gerekli verileri girer.
- Gerekiyorsa VERBİS kaydını yapar ve Moviwo'yu alıcı grubu olarak belirtir.
9. Sözleşme bitince
Abonelik sona erdiğinde Müşteri verilerini 30 gün içinde dışa aktarabilir. Bu sürenin sonunda Moviwo verileri canlı sistemlerden siler, yedeklerden en geç 90 gün içinde siler ve talep halinde silindiğini yazılı olarak teyit eder. Kanunen saklanması gereken fatura kayıtları hariçtir.
10. Sorumluluk
Taraflar KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasından müştereken sorumludur. Taraflar arasındaki iç ilişkide sorumluluk, Abonelik Sözleşmesi'nin sorumluluk hükümlerine tabidir; kast ve ağır ihmal halleri saklıdır.