Data Processing Agreement (Annex)

1. Amaç, Kapsam ve Ekin Niteliği

1. Bu Veri İşleme Sözleşmesi (kısaca Ek), bir tarafta VelPera ile diğer tarafta VelPera’dan barındırma, sunucu, e-posta veya bunlara bağlı hizmet alan gerçek ya da tüzel kişi (bundan sonra Müşteri olarak anılacaktır) arasında; hizmetin ifası sırasında Müşteri adına kişisel veri işlenmesi hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili mevzuat uyarınca tarafların hak ve yükümlülüklerini düzenler.
2. Bu Ek, Hizmet Kullanım Sözleşmesi’nin ayrılmaz bir parçası ve ekidir. Bağımsız olarak yürürlük kazanmaz, tek başına yorumlanmaz ve Hizmet Kullanım Sözleşmesi’nin sona ermesiyle kendiliğinden sona erer.
3. Bu Ek yalnızca VelPera’nın veri işleyen sıfatıyla, Müşterinin talimatı doğrultusunda gerçekleştirdiği işleme faaliyetlerini kapsar. VelPera’nın kendi ticari, hukuki ve idari faaliyetleri kapsamında veri sorumlusu sıfatıyla işlediği veriler (Müşteri kayıt bilgileri, fatura ve ödeme kayıtları, destek talepleri, panel erişim kayıtları, site ziyaret kayıtları) bu Ekin kapsamı dışındadır ve KVKK Aydınlatma Metni ile Gizlilik Politikası hükümlerine tabidir.
4. Müşteri; sipariş vermek, hizmeti kullanmaya başlamak veya müşteri panelinde bu metni onaylamak suretiyle bu Ekin tamamını okuduğunu, anladığını ve kabul ettiğini beyan eder. Ayrıca ıslak imzalı nüsha düzenlenmesi tarafların yükümlülüklerini artırmaz; ıslak imzalı nüsha ile bu Ek arasında çelişki bulunması hâlinde VelPera tarafından hazırlanan güncel metin esas alınır.
5. VelPera; mevzuat değişikliği, Kişisel Verileri Koruma Kurulu kararları, altyapı ve alt veri işleyen değişiklikleri ile işletmesel gereklilikler hâlinde bu Ekin metnini tek taraflı olarak değiştirebilir. Değişiklikler bu sayfada yayımlandığı anda yürürlüğe girer; hizmetin kullanılmaya devam edilmesi, yürürlükteki sürümün kabul edildiği anlamına gelir. Değişikliği kabul etmeyen Müşterinin tek çözüm yolu, Hizmet Kullanım Sözleşmesi hükümleri uyarınca hizmeti sona erdirmektir; bu hâlde peşin ödenmiş bedeller için iade talep edilemez.

2. Tarafların Sıfatı ve Rol Dağılımı

1. Müşteri veri sorumlusudur. Hizmet kapsamındaki sunucu, disk alanı, veritabanı, e-posta hesapları ve yedekler içinde yer alan kişisel verilerin işlenme amaçlarını, vasıtalarını, hukuki sebebini, kapsamını, doğruluğunu, güncelliğini ve saklama sürelerini münhasıran Müşteri belirler. Veri kayıt sisteminin kurulması ve yönetilmesi Müşteriye aittir.
2. VelPera veri işleyendir. VelPera, kişisel verileri yalnızca Müşterinin talimatına dayanarak ve hizmetin teknik olarak ifası için gerekli olan ölçüde işler. VelPera, işlenen verilerin amacını, kapsamını veya hukuki sebebini belirlemez; bunlar üzerinde bağımsız tasarruf yetkisi bulunmaz.
3. VelPera’nın işleme faaliyeti, niteliği gereği içeriğe yönelik olmayan teknik işleme ile sınırlıdır: verinin sunucuda barındırılması, depolanması, ağ üzerinden iletilmesi, yedeklenmesi, geri yüklenmesi, taşınması, sistem günlüklerinin tutulması ve altyapı bakımı. VelPera, Müşterinin dosya, veritabanı ve e-posta içeriklerini okumaz, incelemez, analiz etmez ve üçüncü kişilerle paylaşmaz.
4. VelPera’nın içeriğe erişimi yalnızca şu hâllerde ve yalnızca gerektiği kadar mümkündür:
   1. Müşterinin müşteri paneli üzerinden ilettiği açık ve yazılı destek talebi;
   2. arızanın giderilmesi, veri kaybının önlenmesi veya hizmetin ayakta tutulması için kaçınılmaz teknik müdahale;
   3. sunucu, ağ veya diğer müşterilerin güvenliğini tehdit eden bir durumun tespiti ve bertaraf edilmesi;
   4. yetkili adli veya idari mercilerin mevzuata uygun talepleri ile kanundan doğan yükümlülüklerin yerine getirilmesi.
5. VelPera, 5651 sayılı Kanun kapsamında yer sağlayıcı sıfatını haizdir. Yer sağlayıcının barındırdığı içeriği kontrol etme ve hukuka aykırılık araştırma yükümlülüğü bulunmamaktadır. VelPera’nın içeriği denetlememesi, içeriğe onay verdiği veya sorumluluk üstlendiği şeklinde yorumlanamaz.
6. Müşteri; hizmeti kendi müşterilerine, alt kullanıcılarına veya bayilerine sunması hâlinde bu kişilere ve onların ilgili kişilerine karşı tek başına veri sorumlusudur. Bu ilişkiden doğan hiçbir talep VelPera’ya yöneltilemez.
7. Müşterinin talimatları yalnızca müşteri paneli üzerinden veya panelde kayıtlı e-posta adresinden yazılı olarak verilir. Sözlü, telefonla veya kayıtlı olmayan kanallardan iletilen talimatlar VelPera için bağlayıcı değildir. VelPera, mevzuata aykırı olduğunu değerlendirdiği bir talimatı yerine getirmeme hakkına sahiptir; bu hâlde sorumluluk doğmaz.

3. Tanımlar

4. İşlemenin Konusu, Niteliği, Amacı ve Süresi

1. Konu ve nitelik. İşlemenin konusu, Müşterinin hizmet kapsamındaki alana yüklediği verilerin barındırılması ve bu verinin erişilebilir tutulmasıdır. İşleme; depolama, ağ üzerinden iletim, yedekleme, geri yükleme, sistem günlüğü tutma, kaynak izleme ve güvenlik filtreleme gibi teknik faaliyetlerden oluşur.
2. Amaç. İşlemenin tek amacı, Hizmet Kullanım Sözleşmesi’nde tanımlanan hizmetin ifası, sürekliliği, güvenliği ve mevzuattan doğan yükümlülüklerin yerine getirilmesidir. VelPera, Müşteri verisini kendi amaçları için, pazarlama faaliyetlerinde, profilleme veya istatistik üretiminde kullanmaz.
3. Süre. İşleme, hizmetin başladığı tarihte başlar; hizmetin herhangi bir sebeple sona erdiği tarihte kural olarak biter. Sona ermenin ardından 14. madde uyarınca silme ve tasfiye süreci uygulanır. Mevzuattan doğan asgari saklama yükümlülükleri (özellikle 5651 sayılı Kanun kapsamında tutulması zorunlu trafik ve erişim kayıtları) bu süreden bağımsız olarak saklıdır.
4. İşleme yeri. İşleme, Tier III uyumlu, İstanbul (Türkiye) lokasyonlu veri merkezi içindeki sistemlerde gerçekleşir. Altyapı ayrıntıları için Veri Merkezi ve Altyapı sayfasına bakılabilir.
5. Talimatın kapsamı. Hizmet Kullanım Sözleşmesi, sipariş kayıtları, müşteri panelindeki yapılandırma seçimleri ve panel üzerinden iletilen yazılı destek talepleri, Müşterinin işlemeye ilişkin tam ve eksiksiz talimatı sayılır. Bu kapsamın dışında kalan hizmetler (danışmanlık, veri temizliği, uyum çalışması, özel raporlama, geri yükleme desteği) ayrı sözleşmeye ve ücretlendirmeye tabidir.

5. Veri Kategorileri ve İlgili Kişi Grupları

1. Hangi kişisel verinin hizmet alanına yükleneceğine münhasıran Müşteri karar verir. Bu nedenle veri kategorileri ve ilgili kişi grupları, VelPera tarafından belirlenmiş olmayıp Müşterinin fiilî kullanımına göre değişir. Aşağıdaki tablo, barındırma hizmetlerinde tipik olarak karşılaşılan kategorileri örnekleyici biçimde gösterir.

Tablo yalnızca örnekleyicidir; hizmet alanına yüklenen veriyi ve kategorilerini belirleyen taraf Müşteridir. VelPera, tabloda yer almayan bir veri kategorisinin hizmet alanında bulunmasından sorumlu tutulamaz.

2. Müşteri; özel nitelikli kişisel verileri (sağlık, biyometrik, genetik, ceza mahkûmiyeti, din, felsefi inanç, sendika üyeliği vb.), ödeme kartı verilerini ve mevzuatın özel güvenlik tedbiri öngördüğü verileri hizmet alanında işleyecekse; bunun için gereken ilave hukuki ve teknik tedbirleri (uçtan uca şifreleme, tokenizasyon, ayrık saklama, erişim kısıtı) kendi uygulama katmanında almakla yükümlüdür. Bu tür verilerin VelPera’ya bildirilmeksizin işlenmesinden doğan her türlü sonuç Müşteriye aittir.
3. Müşteri, veri minimizasyonu ilkesi gereği hizmet alanında yalnızca amaçla bağlantılı, sınırlı ve ölçülü veri tutar. Gereğinden fazla veri tutulmasından doğan risk ve zarar Müşteride kalır.

6. Veri Sorumlusunun Yükümlülükleri ve Garantileri

1. Hukuka uygunluk garantisi. Müşteri; hizmet alanında işlediği tüm kişisel veriler bakımından KVKK’nın ilgili hükümleri uyarınca geçerli bir hukuki sebebe sahip olduğunu, verilerin hukuka uygun yollardan elde edildiğini ve işlemenin mevzuata uygun olduğunu kayıtsız şartsız garanti eder.
2. Aydınlatma ve rıza. İlgili kişilerin aydınlatılması, gerektiği hâllerde açık rızanın alınması, rızanın geri alınması hâlinde işlemenin durdurulması ve bu işlemlerin ispatı münhasıran Müşterinin yükümlülüğündedir. VelPera’nın ilgili kişilere karşı herhangi bir aydınlatma yükümlülüğü doğmaz.
3. Veri envanteri ve VERBİS. Kişisel veri işleme envanterinin hazırlanması, saklama ve imha politikasının oluşturulması, gerekiyorsa Veri Sorumluları Sicili’ne kayıt ve bildirim yükümlülüklerinin yerine getirilmesi Müşteriye aittir.
4. Doğruluk ve güncellik. Verinin doğru ve güncel tutulması, gereksiz verinin silinmesi, saklama sürelerinin takibi ve süresi geçen verinin imhası Müşterinin sorumluluğundadır. VelPera bu yükümlülükleri denetlemek veya hatırlatmakla yükümlü değildir.
5. Uygulama güvenliği. Müşteri; hizmet alanında çalıştırdığı yazılım, tema, eklenti, betik ve veritabanı yapılandırmasının güvenliğinden, güncelliğinden, güçlü parola ve iki adımlı doğrulama kullanımından, yetki matrisinden ve kendi erişim bilgilerinin gizliliğinden tek başına sorumludur. Bu alandan kaynaklanan veri sızıntıları VelPera’nın sorumluluk alanı dışındadır.
6. Yedekleme. Verinin nihai yedekleme sorumluluğu Müşteridedir. VelPera tarafından alınan yedekler nezaket ve ek hizmet niteliğinde olup bütünlüğü, kapsamı, sıklığı veya geri yüklenebilirliği garanti edilmez. Ayrıntı için Yedekleme Politikası uygulanır.
7. Talimatların hukuka uygunluğu. Müşterinin VelPera’ya ilettiği talimatların mevzuata uygunluğundan Müşteri sorumludur. Talimatın mevzuata aykırı olması hâlinde doğacak idari para cezası, tazminat ve yargılama gideri Müşteriye aittir.
8. Tazmin taahhüdü (indemnity). Müşteri; hizmet alanındaki verilerden, içerikten veya işleme faaliyetinden kaynaklanan ve VelPera’ya yöneltilen her türlü ilgili kişi başvurusu, Kurul şikâyeti, idari para cezası, adli veya idari talep, üçüncü kişi tazminat talebi ile bunlara bağlı avukatlık ücreti, uzman ücreti ve yargılama giderini VelPera’nın ilk yazılı talebi üzerine, ayrıca hüküm aranmaksızın ve nakden karşılamayı kabul, beyan ve taahhüt eder. VelPera ödemek zorunda kaldığı tutarları Müşteriye rücu eder; rücu alacağı için tahsil tarihine kadar Türkiye Cumhuriyet Merkez Bankası avans faiz oranının bir buçuk katı oranında gecikme faizi ile tahsil ve icra masrafları uygulanır.
9. Bilgilendirme yükümlülüğü. Müşteri; hizmet alanında işlenen veri kategorilerinde, risk düzeyinde veya mevzuat konumunda VelPera’nın yükümlülüklerini etkileyecek bir değişiklik olması hâlinde bunu gecikmeksizin panel üzerinden yazılı olarak bildirir. Bildirilmeyen durumlardan VelPera sorumlu tutulamaz.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

7. Veri İşleyenin Yükümlülükleri ve Bu Yükümlülüklerin Sınırları

1. Talimatla işleme. VelPera, kişisel verileri yalnızca 4. maddede tanımlanan kapsam ve Müşterinin yazılı talimatı doğrultusunda işler. Mevzuattan veya yetkili merci kararından doğan işleme yükümlülükleri bu sınırın istisnasıdır ve bu hâllerde VelPera’nın ayrıca izin alma yükümlülüğü bulunmaz.
2. Gizlilik. VelPera; kişisel verileri hizmetin ifası dışında hiçbir amaçla kullanmaz, kopyalamaz, üçüncü kişilere aktarmaz ve açıklamaz. Bu yükümlülük hizmetin sona ermesinden sonra da süresiz olarak devam eder. Kanunen zorunlu paylaşımlar bu hükmün ihlali sayılmaz.
3. Personel. VelPera, kişisel veriye erişimi bulunabilecek personelini yalnızca görevi gereği bilmesi gereken ölçüde yetkilendirir; personelinden gizlilik taahhüdü alır ve iş ilişkisinin sona ermesinden sonra da geçerli olacak şekilde bu taahhüde bağlı tutar.
4. Teknik ve idari tedbirler. VelPera, 8. maddede sayılan tedbirleri makul ölçüde, sektörde geçerli genel uygulamalar ve mevcut teknolojik imkânlar çerçevesinde uygular.
5. Mutlak güvenlik taahhüdü yoktur. Hiçbir bilişim sistemi mutlak güvenlik sağlamaz. 8. maddedeki tedbirler azami özen taahhüdü niteliğindedir; sonuç taahhüdü, garanti veya kusursuz sorumluluk kabulü değildir. Hizmet, mevzuatın izin verdiği en geniş ölçüde “olduğu gibi” ve “mevcut hâliyle” sunulur; VelPera, verinin hiçbir koşulda kaybolmayacağı, bozulmayacağı veya üçüncü kişilerce elde edilmeyeceği yönünde açık ya da zımni hiçbir garanti vermez.
6. VelPera’nın yükümlülüğü olmayan hususlar. Aşağıdaki hususlar açıkça Müşterinin sorumluluğundadır ve VelPera bunlarla ilgili hiçbir edim yükümlülüğü altına girmez:
   • işleme faaliyetinin hukuki sebebinin belirlenmesi ve ispatı;
   • aydınlatma metinlerinin, rıza akışlarının ve çerez onay mekanizmalarının kurulması;
   • ilgili kişi başvurularının esastan yanıtlanması;
   • veri koruma etki değerlendirmesi ve uyum denetimlerinin yürütülmesi;
   • uygulama, kod, eklenti ve veritabanı seviyesindeki güvenlik açıklarının kapatılması;
   • Müşterinin kendi kullanıcı ve yetki yönetimi;
   • Müşterinin kendi tercihiyle kullandığı üçüncü parti servis, API ve entegrasyonlar.
7. Kayıt tutma. VelPera, kendi sorumluluk alanındaki işleme faaliyetlerine ilişkin sistem ve erişim kayıtlarını mevzuatın öngördüğü ölçüde tutar. Bu kayıtların içeriği, biçimi ve saklama süresi VelPera tarafından belirlenir; Müşteri bu kayıtların formatı veya kapsamı üzerinde talepte bulunamaz.
8. Bilgi verme. VelPera, Müşterinin KVKK kapsamındaki yükümlülüklerini yerine getirebilmesi için gerekli olan ve kendi tasarrufunda bulunan bilgileri makul ölçüde sağlar. Bu kapsamda talep edilen ve olağan destek kapsamını aşan çalışmalar için VelPera ücret talep etme hakkını saklı tutar.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

8. Teknik ve İdari Tedbirler

1. VelPera, kendi sorumluluk alanında aşağıdaki teknik ve idari tedbirleri makul ölçüde uygular:
   • Erişim kontrolü: yetki matrisi, bilmesi gereken ilkesi, yönetim arayüzlerinde çok faktörlü kimlik doğrulama, ayrıcalıklı hesapların ayrıştırılması.
   • Kimlik ve oturum yönetimi: parola karmaşıklık kuralları, oturum zaman aşımı, başarısız giriş denemelerinin sınırlanması.
   • Kayıt tutma ve izleme: sunucu ve panel erişim kayıtları, yönetimsel işlem kayıtları, kaynak ve erişilebilirlik izlemesi.
   • Şifreleme imkânları: yönetim arayüzlerinde ve veri iletiminde TLS kullanımı; Müşterinin talebi ve yapılandırması ile disk veya uygulama düzeyinde şifreleme seçenekleri. Verinin şifrelenip şifrelenmeyeceğine Müşteri karar verir.
   • Ağ güvenliği: güvenlik duvarı kuralları, ağ seviyesinde saldırı süzme, kötüye kullanım tespiti, gerektiğinde trafik sınırlama.
   • Yalıtım: müşteri hesaplarının birbirinden ayrılması, sanallaştırma katmanında kaynak ve dosya sistemi yalıtımı.
   • Yedekleme ve kurtarma: Yedekleme Politikası kapsamında yedek alınması, yedek alanının hizmet alanından ayrı tutulması.
   • Yazılım bakımı: altyapı bileşenlerinin güncellenmesi, güvenlik yamalarının uygulanması, bakım pencerelerinin duyurulması.
   • Personel tedbirleri: gizlilik taahhüdü, yetki devri kuralları, görevden ayrılma hâlinde erişimin kaldırılması.
   • Fiziksel güvenlik: veri merkezi işletmecisi tarafından sağlanan kartlı geçiş, kamera ile izleme, kesintisiz güç ve iklimlendirme tedbirleri.
   • Olay yönetimi: güvenlik olaylarının kaydı, önceliklendirilmesi ve 7/24 teknik destek ekibi tarafından müdahale edilmesi.
2. Tedbirlerin kapsamı, hizmet paketine, sunucu türüne ve Müşterinin yönetim modeline göre değişir. Yönetimsiz (unmanaged) sunucu hizmetlerinde işletim sistemi ve üzerindeki tüm yazılım katmanının güvenliği, güncellenmesi ve yapılandırılması Müşteriye aittir; bu katmanda VelPera’nın tedbir alma yükümlülüğü doğmaz.
3. VelPera, teknolojik gelişme, tedarik koşulları ve güvenlik gereklilikleri doğrultusunda tedbirleri koruma düzeyini düşürmemek kaydıyla tek taraflı olarak değiştirebilir. Bu değişiklikler ayrıca bildirime tabi değildir.
4. Bu maddede sayılan tedbirler, VelPera bakımından mutlak güvenlik veya kusursuz sorumluluk taahhüdü doğurmaz; her hâlde 15. maddedeki sorumluluk sınırları uygulanır.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

9. Alt Veri İşleyenler

1. Müşteri; VelPera’nın hizmetin ifası için alt veri işleyenlerden yararlanmasına genel ve önceden yazılı izin verdiğini kabul eder. Bu izin, bu Ekin kabulüyle verilmiş sayılır ve her bir alt veri işleyen için ayrıca izin alınması gerekmez.
2. Hizmetin ifasında yararlanılan alt veri işleyen türleri aşağıdaki gibidir:

Tabloda yer alan kalemler tür bazındadır. Ödeme, bildirim ve muhasebe kalemlerinde VelPera kendi adına veri sorumlusu sıfatıyla hareket eder; bu işlemeler bu Ekin kapsamı dışındadır.

3. VelPera, alt veri işleyenlerle en az bu Ekteki gizlilik ve güvenlik yükümlülüklerine denk düzenlemeler yapmakla yükümlüdür. Alt veri işleyenin fiilinden doğan sorumluluk her hâlde 15. maddedeki sınırlara tabidir.
4. Alt veri işleyen değişiklikleri, bu sayfanın güncellenmesi veya panel üzerinden duyuru yapılması suretiyle bildirilir. Müşteri, bildirimin yayımlanmasından itibaren on (10) gün içinde yazılı ve gerekçeli itiraz hakkına sahiptir. Süresi içinde itiraz edilmemesi kabul sayılır.
5. İtirazın haklı bulunması hâlinde VelPera, makul bir alternatif sunmaya çalışır; alternatif bulunmaması veya ticari açıdan makul olmaması hâlinde Müşterinin tek çözüm yolu, itiraza konu hizmeti sona erdirmektir. Bu hâlde Müşteri, hizmetin kullanılmamış dönemine isabet eden bedel dışında hiçbir tazminat, indirim veya masraf talebinde bulunamaz.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

10. Yurt Dışına Aktarım

1. Müşteri verisi, kural olarak İstanbul, Türkiye lokasyonundaki sistemlerde tutulur. VelPera, bu Ek kapsamındaki işleme faaliyeti bakımından Müşteri verisini yurt dışına aktarmaz.
2. Müşterinin kendi tercihiyle hizmet alanına entegre ettiği yurt dışı kaynaklı servisler (bulut depolama, e-posta gönderim servisi, ödeme sağlayıcısı, analitik, yapay zekâ servisi, CDN, harici API) üzerinden gerçekleşen aktarımlar Müşterinin kendi işleme faaliyetidir. Bu aktarımların hukuki dayanağının kurulması, ilgili kişilerin aydınlatılması, gerekiyorsa açık rıza alınması ve mevzuata uygun aktarım şartlarının sağlanması münhasıran Müşterinin yükümlülüğündedir.
3. VelPera’nın donanım veya yazılım üreticisinden uzaktan teknik destek alması hâlinde, Müşteri verisine erişim gerektiren bir müdahale ancak zorunluluk hâlinde, asgari kapsamda ve gizlilik yükümlülüğü altında gerçekleştirilir.
4. Adli veya idari bir merciin mevzuata uygun talebi üzerine yapılan paylaşımlar bu maddenin ihlali sayılmaz ve VelPera’ya hiçbir sorumluluk yüklemez.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

11. İlgili Kişi Başvuruları

1. İlgili kişilerin KVKK kapsamındaki başvuruları veri sorumlusu olan Müşteriye yapılır. Başvuruların Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ile KVKK’nın ilgili hükümleri uyarınca değerlendirilmesi, süresinde ve esastan yanıtlanması Müşterinin yükümlülüğündedir.
2. Müşterinin hizmet alanındaki verilere ilişkin olarak doğrudan VelPera’ya ulaşan ilgili kişi başvuruları esastan yanıtlanmaz; başvuru sahibine veri sorumlusunun Müşteri olduğu bildirilir ve başvuru makul süre içinde Müşteriye yönlendirilir. VelPera’nın başvuruyu içerik yönünden incelemek, araştırmak veya sonuçlandırmak gibi bir yükümlülüğü bulunmaz.
3. Müşteri, kendi başvuru kanallarını (KVKK başvuru adresi, iletişim formu, e-posta) kurmak ve duyurmakla yükümlüdür. VelPera’nın kurumsal iletişim kanallarının Müşteriye ait başvuru kanalı olarak gösterilmesi yasaktır.
4. Müşterinin bir başvuruyu yanıtlayabilmek için VelPera’dan teknik bilgi, kayıt dökümü, log incelemesi veya veri çıkarımı talep etmesi hâlinde VelPera, kendi tasarrufunda bulunan ve teknik olarak mümkün olan bilgileri makul ölçüde sağlar. Bu çalışma olağan destek kapsamı dışında olup ücrete tabidir; ücret, çalışmanın başlamasından önce panel üzerinden bildirilir. Ücreti ödenmeyen taleplerde çalışma başlatılmaz; tahakkuk eden ve ödenmeyen ücretlere Türkiye Cumhuriyet Merkez Bankası avans faiz oranının bir buçuk katı oranında gecikme faizi ile tahsil ve icra masrafları uygulanır.
5. Verinin silinmesi, düzeltilmesi, anonim hâle getirilmesi veya aktarılması gibi işlemler Müşteri tarafından kendi yönetim arayüzü üzerinden gerçekleştirilir. VelPera bu işlemleri yalnızca Müşterinin açık ve yazılı talimatı üzerine, talimatın kapsamıyla sınırlı olarak ve teknik imkânlar dâhilinde yerine getirir; talimatın sonuçlarından sorumlu tutulamaz.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

12. Kişisel Veri İhlali Bildirimi

1. VelPera, kendi sorumluluk alanında bir kişisel veri ihlali tespit ettiğinde durumu makul bir süre içinde ve mümkün olan bilgileri içerecek şekilde Müşteriye panelde kayıtlı e-posta adresi üzerinden bildirir. Bildirimin içeriği, tespit edilebildiği ölçüde olayın niteliği, etkilenen sistemler, alınan tedbirler ve varsa öneriler ile sınırlıdır.
2. Kurul’a ve ilgili kişilere bildirim yapılması yükümlülüğü, KVKK uyarınca veri sorumlusu olan Müşteriye aittir. VelPera’nın Kurul’a veya ilgili kişilere doğrudan bildirim yapma yükümlülüğü bulunmaz; Müşteri adına bildirim yapmaz, bildirim metni hazırlamaz ve bildirim süresinin takibinden sorumlu değildir.
3. Müşterinin kendi uygulama katmanından, kod ve eklentilerinden, zayıf parolalarından, yetki hatalarından, üçüncü parti entegrasyonlarından veya kendi personelinin fiilinden kaynaklanan ihlallerde bildirim ve tespit sorumluluğu tamamen Müşteridedir. VelPera bu tür olayları izlemek veya tespit etmekle yükümlü değildir.
4. VelPera’nın yaptığı bildirim; kusur, ihmal veya sorumluluk kabulü niteliğinde değildir ve hiçbir şekilde bu yönde delil olarak kullanılamaz.
5. İhlal incelemesi kapsamında VelPera, kendi altyapısına ilişkin kayıt ve bulguları paylaşmakla sınırlı destek verir. Adli bilişim incelemesi, uzman raporu, kök neden analizi gibi çalışmalar bu Ekin kapsamı dışındadır ve ayrı sözleşmeye tabidir.
6. Müşteri, ihlale ilişkin her türlü talebini olayın kendisine bildirildiği tarihten itibaren otuz (30) gün içinde yazılı olarak VelPera’ya iletmekle yükümlüdür; bu süre içinde iletilmeyen taleplerde itiraz ve talep hakkı düşer.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

13. Denetim Hakkı

1. Müşteri, bu Ek kapsamındaki yükümlülüklere uyumu denetleme hakkını yılda en fazla bir kez ve en az otuz (30) gün önceden yazılı bildirimde bulunmak kaydıyla kullanabilir.
2. Denetim, kural olarak uzaktan ve dokümantasyon üzerinden yürütülür. VelPera; politika özetleri, tedbir listeleri, yapılandırma beyanları ve varsa üçüncü taraf değerlendirme çıktıları ile denetim talebini karşılamayı seçebilir. Bu yolla karşılanan talepte ayrıca yerinde denetim istenemez.
3. Veri merkezinde veya VelPera tesislerinde yerinde denetim yalnızca mevzuatın zorunlu kıldığı hâllerde, VelPera’nın belirleyeceği tarih ve kapsamda, refakat altında ve diğer müşterilerin verilerine erişilmemesi kaydıyla mümkündür. Veri merkezi işletmecisinin kurallarına aykırı taleplere uyulmaz.
4. Denetim kapsamında VelPera’nın kaynak kodu, güvenlik yapılandırma ayrıntıları, ağ topolojisi, diğer müşterilere ait bilgiler, ticari sır niteliğindeki veriler ve personel dosyaları paylaşılmaz. Sızma testi ve zafiyet taraması ancak VelPera’nın yazılı ön onayıyla, yalnızca Müşterinin kendi hizmet alanına yönelik olarak yapılabilir.
5. Denetim sürecinde ve sonrasında edinilen tüm bilgiler gizlidir; Müşteri bu bilgileri üçüncü kişilerle paylaşamaz, yayımlayamaz ve rekabet amacıyla kullanamaz. Denetime katılan üçüncü kişi uzmanlar, VelPera’nın yazılı onayına ve gizlilik taahhüdüne tabidir; VelPera’nın rakiplerinin denetime katılması kabul edilmez.
6. Denetimin tüm masrafları (VelPera personelinin ayırdığı zaman dâhil) Müşteriye aittir ve denetim öncesinde peşin olarak ödenir. Denetim, hizmetin işleyişini aksatmayacak biçimde yürütülür; aksama doğması hâlinde VelPera denetimi askıya alabilir.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

14. Verinin Silinmesi, Yok Edilmesi ve İadesi

1. Hizmetin herhangi bir sebeple sona ermesi hâlinde Müşteri, hizmet alanındaki verinin kendi kopyasını almakla yükümlüdür. Verinin yedeklenmesi, indirilmesi ve taşınması Müşterinin sorumluluğundadır.
2. VelPera, hizmetin sona erdiği tarihten itibaren veriyi silmeye veya erişilemez hâle getirmeye yetkilidir. Hesap kapatma, fesih veya ödeme yapılmaması nedeniyle sona ermede, veri Yedekleme Politikası’nda öngörülen süreler saklı kalmak kaydıyla VelPera’nın belirleyeceği takvimle silinir. Silme işleminden sonra verinin geri getirilmesi teknik olarak mümkün olmayabilir.
3. Müşteri, hizmetin sona ermesinden sonra veri talebinde bulunacaksa bunu sona erme tarihinden itibaren en geç yedi (7) gün içinde panel üzerinden yazılı olarak bildirir. Bu süre içinde talep gelmezse VelPera’nın veriyi saklama, arşivleme veya iade etme yükümlülüğü tamamen sona erer.
4. Süresinde yapılan iade taleplerinde VelPera, teknik olarak mümkün olduğu ölçüde veriyi standart bir arşiv biçiminde sunar. Bu çalışma ek hizmet niteliğindedir ve ücrete tabidir; ücreti ödenmeyen taleplerde işlem yapılmaz. Belirli bir dosya biçimi, şema dönüşümü veya bütünlük garantisi talep edilemez.
5. Askıya alınmış hizmetlerde VelPera’nın veriyi saklama yükümlülüğü bulunmaz; askı süresince alınan yedeklerin kapsamı ve saklanma süresi VelPera’nın takdirindedir.
6. Mevzuattan doğan saklama yükümlülükleri, özellikle 5651 sayılı Kanun kapsamındaki trafik ve erişim kayıtları ile mali mevzuat kapsamındaki belgeler, silme talebinden bağımsız olarak ilgili süreler boyunca saklanır. Bu saklama, bu Ekin veya gizlilik yükümlülüklerinin ihlali sayılmaz.
7. VelPera, silme veya imha işlemi için ayrıca tutanak, sertifika ya da rapor düzenlemekle yükümlü değildir. Talep hâlinde düzenlenecek belgeler ek hizmet kapsamındadır.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

15. Sorumluluk, Sınırlamalar ve Rücu

1. VelPera’nın bu Ek kapsamındaki sorumluluğu, yalnızca veri işleyen sıfatıyla ve yalnızca kendi teknik altyapı katmanında kendisine yüklenebilen kusurlu davranışlarla sınırlıdır. Müşterinin veri sorumlusu sıfatından doğan yükümlülüklerin ihlalinden VelPera hiçbir şekilde sorumlu tutulamaz.
2. Sorumluluğun üst sınırı. VelPera’nın bu Ekten, ihlalinden veya işleme faaliyetinden doğan toplam sorumluluğu, sebep her ne olursa olsun (sözleşmeye aykırılık, haksız fiil, sebepsiz zenginleşme, kusursuz sorumluluk dâhil), her hâlde ve toplamda, talebe konu hizmet için son bir (1) aylık dönemde fiilen ödenmiş bedeli aşamaz. Taraflar bu üst sınırın, bedelin belirlenmesinde esas alınan ve sözleşmenin kurulmasını sağlayan esaslı unsur olduğunu; bu sınır olmaksızın hizmetin bu bedelle sunulmayacağını kabul eder.
3. Kapsam dışı zararlar. VelPera hiçbir hâlde şu kalemlerden sorumlu değildir: dolaylı zarar, kâr kaybı, ciro kaybı, veri kaybı ve verinin yeniden oluşturulma maliyeti, itibar ve marka değeri kaybı, iş kesintisi, müşteri kaybı, beklenen kazanç, üçüncü kişilerin talepleri, cezai şart nitelikli talepler ve manevi zarar.
4. İdari para cezalarında rücu. Müşteriye KVKK kapsamında idari para cezası uygulanması hâlinde VelPera’nın sorumluluğu, cezanın münhasıran VelPera’nın kendi altyapı katmanındaki kusurundan kaynaklandığının kesinleşmiş bir mahkeme kararıyla tespit edilmesi şartına bağlıdır. Bu hâlde dahi sorumluluk, tespit edilen kusur oranıyla ve her hâlde ikinci fıkradaki üst sınırla sınırlıdır. VelPera’ya bir idari para cezası uygulanması ve bunun Müşterinin fiilinden, içeriğinden veya talimatından kaynaklanması hâlinde ceza, faiz, avukatlık ücreti ve yargılama gideriyle birlikte Müşteriye rücu edilir.
5. Hak düşürücü süre. Müşterinin bu Ekten doğan her türlü talebi, talebin doğduğu veya Müşterinin öğrendiği tarihten itibaren otuz (30) gün içinde gerekçeli ve yazılı olarak VelPera’ya iletilmelidir. Bu süre içinde iletilmeyen taleplerde itiraz ve talep hakkı düşer; VelPera kayıtları esas alınır.
6. Mahsup. VelPera, Müşteriye ödemekle yükümlü olduğu tutarları öncelikle Müşterinin vadesi gelmiş borçlarından mahsup etmeye yetkilidir. Müşteri, VelPera’ya olan borçlarına karşı takas veya mahsup talebinde bulunamaz.
7. Bu maddedeki sınırlamalar, hizmetin “olduğu gibi” ve “mevcut hâliyle” sunulduğu esasıyla birlikte uygulanır; VelPera açık veya zımni hiçbir garanti vermez.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

16. Süre, Askıya Alma ve Fesih

1. Bu Ek, hizmetin başladığı tarihte yürürlüğe girer ve hizmet süresince geçerlidir. Hizmet Kullanım Sözleşmesi’nin sona ermesiyle bu Ek de kendiliğinden sona erer; 7. maddedeki gizlilik ile 14, 15 ve 17. maddelerdeki hükümler sona ermeden sonra da yürürlükte kalır.
2. VelPera; aşağıdaki hâllerde hizmeti veya işleme faaliyetini gerektiğinde bildirimsiz ve derhal askıya alma ya da sözleşmeyi feshetme hakkına sahiptir:
   1. hizmet bedelinin ödenmemesi veya ödemede gecikme;
   2. bu Ekin, Hizmet Kullanım Sözleşmesi’nin veya Kabul Edilebilir Kullanım Politikası’nın ihlali;
   3. kaynak kullanım sınırlarının aşılması ve altyapının olumsuz etkilenmesi;
   4. sunucu, ağ veya diğer müşteriler bakımından güvenlik riski oluşması;
   5. hukuka aykırı veri işlendiğine dair ciddi emare veya ihbar bulunması;
   6. yetkili adli veya idari mercilerden gelen talep ya da erişim engeli kararı;
   7. mevzuata aykırı olduğu değerlendirilen bir talimatın ısrarla verilmesi.
3. Askıya alma süresince Müşteri, verilere erişemeyebilir. Askı süresi için bedel iadesi, indirim, hizmet kredisi veya tazminat talep edilemez; askı süresi hizmet süresine eklenmez.
4. Müşteri, bu Eki Hizmet Kullanım Sözleşmesi’nden bağımsız olarak feshedemez. Müşterinin bu Ekin hükümlerini kabul etmemesi hâlinde tek çözüm yolu hizmetin tamamen sona erdirilmesidir.

Müşterinin 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında tüketici sayıldığı hâllerde, emredici hükümler saklı olmak üzere bu maddedeki sınırlamalar mevzuatın izin verdiği en geniş ölçüde uygulanır.

17. Diğer Hükümler, Delil Sözleşmesi ve Yetkili Mahkeme

1. Sözleşme hiyerarşisi. Bu Ek, Hizmet Kullanım Sözleşmesi’nin ekidir. Belgeler arasında çelişki hâlinde sıralama şu şekildedir: (i) kişisel verilerin korunmasına ilişkin hususlarda bu Ek, (ii) Hizmet Kullanım Sözleşmesi, (iii) politikalar (SLA, Kabul Edilebilir Kullanım, Yedekleme, İade ve Cayma), (iv) site üzerindeki diğer tanıtım ve bilgi metinleri. Kişisel veri korumasına ilişkin olmayan hususlarda Hizmet Kullanım Sözleşmesi üstün tutulur.
2. Delil sözleşmesi. Taraflar; VelPera’nın sunucu kayıtları, sistem ve erişim günlükleri, müşteri paneli kayıtları, destek talebi yazışmaları, e-posta kayıtları, faturalandırma kayıtları ve diğer bilişim kayıtlarının, bu Ekten doğan uyuşmazlıklarda 6100 sayılı Hukuk Muhakemeleri Kanunu’nun 193. maddesi uyarınca münhasır, kesin ve bağlayıcı delil olduğunu kabul eder. Müşteri, bu kayıtlara karşı itiraz hakkından, kendi kayıtlarına dayanma iddiasından ve yemin deliline başvurma hakkından feragat eder.
3. Tebligat. Müşterinin müşteri panelinde ve kayıt bilgilerinde bildirdiği e-posta adresi, bu Ek kapsamındaki tüm bildirim ve tebligatlar için geçerli tebligat adresidir. Bu adrese yapılan bildirimler, gönderim anında Müşteriye ulaşmış sayılır. Adresin güncel tutulması ve erişilebilir olması Müşterinin yükümlülüğündedir; adresin güncel olmamasından doğan sonuçlardan VelPera sorumlu değildir. VelPera’ya yapılacak bildirimler [email protected] adresine ya da Malazgirt / Muş, Türkiye adresine yapılır.
4. Mücbir sebep. Siber saldırı, DDoS, altyapı, veri merkezi veya operatör arızası, enerji kesintisi, kamu otoritesi kararı, erişim engeli, doğal afet, yangın, salgın, savaş, terör eylemi, grev ve lokavt, kaynak, donanım veya lisans tedarikinde yaşanan sorunlar, üçüncü parti yazılım hataları ve benzeri, VelPera’nın makul kontrolü dışındaki her hâl mücbir sebep sayılır. Mücbir sebep süresince VelPera’nın yükümlülükleri askıya alınır ve bu süre için hiçbir sorumluluk doğmaz.
5. Devir. VelPera; bu Eki ve buradan doğan hak ve yükümlülüklerini, birleşme, devir, bölünme, işletme devri veya yeniden yapılanma hâlleri dâhil olmak üzere üçüncü kişilere serbestçe devredebilir. Müşteri, VelPera’nın yazılı onayı olmaksızın bu Eki veya buradan doğan hakları devredemez, temlik edemez ve rehin veremez.
6. Bölünebilirlik. Bu Ekin herhangi bir hükmünün geçersiz, uygulanamaz veya iptal edilebilir olması, diğer hükümlerin geçerliliğini etkilemez. Geçersiz hüküm, tarafların amacına en yakın ve geçerli olan hükümle değiştirilmiş sayılır.
7. Feragat etmeme. VelPera’nın bu Ekten doğan bir hakkını kullanmaması veya gecikmeli kullanması, o haktan feragat ettiği anlamına gelmez; tek bir olayda gösterilen esneklik emsal teşkil etmez.
8. Tam mutabakat. Bu Ek, Hizmet Kullanım Sözleşmesi ve ilgili politikalarla birlikte tarafların kişisel verilerin korunmasına ilişkin tam mutabakatını oluşturur; bundan önceki yazılı ve sözlü görüşmeler, taslaklar, teklifler, sunumlar ve beyanlar hükümsüzdür.
9. Uygulanacak hukuk ve yetki. Bu Eke Türk hukuku uygulanır. Uyuşmazlıkların çözümünde Muş Mahkemeleri ve İcra Daireleri münhasıran yetkilidir. Müşterinin 6502 sayılı Kanun kapsamında tüketici sayıldığı hâllerde tüketici hakem heyetleri ile tüketici mahkemelerine ilişkin emredici yetki kuralları saklıdır.
10. Dil. Bu Ekin asıl dili Türkçedir. Bilgilendirme amacıyla başka bir dile çevrilmesi hâlinde, yorum ve uygulamada Türkçe metin esas alınır.
11. İletişim. Bu Ek kapsamındaki sorular, kişisel verilerin korunmasına ilişkin talepler ve bildirimler için: VelPera, [email protected]. İdari birimler Pazartesi – Cuma, 09:00 – 18:00 saatlerinde hizmet verir (Cumartesi – Pazar: kapalı); güvenlik ve erişim arızaları için teknik destek ekibi 7/24 müşteri paneli üzerinden ulaşılabilir. Erişilebilirlik taahhüdü %99 olup ayrıntılar Hizmet Seviyesi Taahhüdü metnindedir.