1. Taraflar ve roller
1.1. Bu Veri İşleme Sözleşmesi ("VİS"), Sora Yazılım Teknolojileri ((belirlenecek); Atatürk Mah. Ertuğrul Gazi Sk. Metropol İstanbul C1 Blok No: 2B İç Kapı No: 376, Ataşehir/İstanbul) ("Sora Yazılım") ile Sora İK'ya firma kaydı yapan işletme ("Müşteri") arasında kurulan Satış ve Abonelik Sözleşmesi'nin ("Satış Sözleşmesi") ekidir ve onun ayrılmaz bir parçasıdır.
1.2. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") bakımından, Müşteri'nin Sora İK'ya yüklediği veya Sora İK'da oluşturduğu kişisel veriler ("Müşteri Kişisel Verileri") için:
- Müşteri veri sorumlusudur: Kanun'un 3. maddesinin birinci fıkrasının (ı) bendi uyarınca kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır.
- Sora Yazılım veri işleyendir: Kanun'un 3. maddesinin birinci fıkrasının (ğ) bendi uyarınca veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen taraftır.
1.3. Sora Yazılım'ın kendi müşteri ilişkisine ait verileri (Müşteri yetkililerinin hesap, iletişim ve fatura bilgileri gibi) bu VİS'in kapsamında değildir; bu veriler bakımından Sora Yazılım veri sorumlusudur ve KVKK Aydınlatma Metni uygulanır.
1.4. Bu VİS'te tanımlanmayan terimler Satış Sözleşmesi'ndeki ve Kanun'daki anlamları taşır.
2. İşlemenin konusu, niteliği, amacı ve süresi
| Unsur | Açıklama |
|---|---|
| Konusu | Satış Sözleşmesi kapsamında Sora İK insan kaynakları yönetim yazılımının Müşteri'ye sunulması |
| Niteliği | Müşteri Kişisel Verilerinin kaydedilmesi, depolanması, görüntülenmesi, düzenlenmesi, hesaplamalarda ve raporlarda kullanılması, Müşteri'nin talebiyle iletilmesi veya dışa aktarılması, yedeklenmesi ve silinmesi |
| Amacı | Yalnızca Müşteri'nin Hizmet'i kullanması, Hizmet'in teknik olarak çalıştırılması, güvenliğinin sağlanması ve Müşteri'ye destek verilmesi |
| Süresi | Satış Sözleşmesi'nin süresi ile 11. maddedeki silme süresinin sonuna kadar |
3. Kişisel veri kategorileri ve ilgili kişi grupları
İşlenen veriler, Müşteri'nin kullandığı modüllere ve Hizmet'e girdiği bilgilere göre değişir. Müşteri'nin kullanımına bağlı olarak işlenebilecek veriler şunlardır:
| İlgili kişi grubu | Kişisel veri kategorileri |
|---|---|
| Müşteri'nin çalışanları ve eski çalışanları (stajyerler dahil) | Kimlik, iletişim, özlük (pozisyon, birim, işe giriş ve çıkış tarihleri, sözleşme ve belgeler), finans (ücret, bordro, banka hesap bilgisi), izin ve devam (puantaj, giriş-çıkış kayıtları), performans ve eğitim, mesleki deneyim, görsel kayıt (fotoğraf), işlem güvenliği (oturum ve işlem kayıtları) |
| Müşteri'nin çalışan adayları | Kimlik, iletişim, özgeçmiş ve mesleki deneyim, başvuru ve mülakat değerlendirmeleri |
| Müşteri'nin Hizmet kullanıcıları (yöneticiler, İK çalışanları) | Kimlik, iletişim, kullanıcı rolü ve yetkileri, işlem güvenliği (oturum ve denetim kayıtları) |
| Çalışanların yakınları (Müşteri'nin bildirmesi hâlinde) | Kimlik ve iletişim (örneğin acil durumda ulaşılacak kişi) |
Özel nitelikli kişisel veriler: Müşteri'nin kullanımına bağlı olarak sağlık bilgileri (örneğin sağlık raporuna dayalı izinler, engellilik durumu), dernek, vakıf ya da sendika üyeliği (örneğin bordro kesintileri) ve ceza mahkûmiyeti ile güvenlik tedbirlerine ilişkin veriler (örneğin adli sicil kaydı) işlenebilir. Bu verilerin Kanun'un 6. maddesine uygun bir işleme şartına dayanması Müşteri'nin sorumluluğundadır. Müşteri, bu tabloda sayılmayan özel nitelikli kişisel verileri Hizmet'e yüklemeden önce Sora Yazılım'ı yazılı olarak bilgilendirir.
4. Talimatla işleme ve Müşteri'nin yükümlülükleri
4.1. Sora Yazılım, Müşteri Kişisel Verilerini yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Satış Sözleşmesi, bu VİS, Müşteri'nin Hizmet'te yaptığı ayarlar, Kullanıcıların Hizmet'teki işlemleri ve Müşteri'nin yazılı talimatları bu kapsamdadır.
4.2. Sora Yazılım, Müşteri Kişisel Verilerini kendi amaçları için kullanmaz, satmaz, reklam veya profilleme amacıyla işlemez ve Müşteri'nin talimatı dışında üçüncü kişilere aktarmaz. Kanun gereği yetkili kurumlara aktarım zorunluluğu doğarsa, mevzuatın izin verdiği ölçüde Müşteri'yi önceden bilgilendirir.
4.3. Sora Yazılım, bir talimatın Kanun'a veya diğer mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi gecikmeksizin bilgilendirir ve talimat netleşene kadar ilgili işlemi askıya alabilir.
4.4. Müşteri; Müşteri Kişisel Verilerini Hizmet'e hukuka uygun olarak yüklemekten, ilgili kişilere aydınlatma yapmaktan, gereken hâllerde açık rıza almaktan, verilerin doğruluğundan ve Kullanıcı yetkilerinin belirlenmesinden sorumludur.
5. Gizlilik yükümlülüğü
5.1. Kanun'un 12. maddesinin dördüncü fıkrası uyarınca Sora Yazılım, öğrendiği Müşteri Kişisel Verilerini Kanun hükümlerine aykırı olarak başkasına açıklamaz ve işleme amacı dışında kullanmaz. Bu yükümlülük Sözleşme sona erdikten sonra da devam eder.
5.2. Sora Yazılım, Müşteri Kişisel Verilerine yalnızca görevi gereği erişmesi gereken çalışanlarının erişmesini sağlar ve bu çalışanların yazılı gizlilik yükümlülüğü altında olmasını sağlar. Destek amacıyla Müşteri hesabına erişim, Müşteri'nin talebi veya Hizmet'in güvenliğinin sağlanması için gerekli olduğu ölçüde yapılır.
6. Alt işleyenler
6.1. Müşteri, Sora Yazılım'ın aşağıdaki alt işleyenlerden yararlanmasına genel yetki verir. Aynı liste Güvenlik ve veri koruma sayfasında da yayımlanır.
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| (belirlenecek) | Sunucuların, veritabanlarının ve yedeklerin barındırılması | (belirlenecek) |
| (belirlenecek) | Bildirim e-postalarının gönderilmesi | (belirlenecek) |
| Cloudflare, Inc. | Alan adı yönetimi (DNS) ve medya dosyalarının (media.sora-ik.com) dağıtımı | Yurt dışı (Cloudflare'in küresel ağı) |
| Cloudflare R2 (Cloudflare, Inc.) | Personel belge dosyalarının ve veritabanı yedeklerinin saklanması | Avrupa (Doğu Avrupa, EEUR konum ipucu; AB yargı alanı seçeneği kullanılmaz) |
| Cloudflare Turnstile (Cloudflare, Inc.) | Formlarda bot doğrulaması | Yurt dışı |
6.2. Sora Yazılım, alt işleyenlerle bu VİS'teki yükümlülüklerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren sözleşmeler yapar ve alt işleyenlerin bu yükümlülükleri yerine getirmesinden Müşteri'ye karşı sorumludur.
6.3. Sora Yazılım, yeni bir alt işleyen eklemeden veya bir alt işleyeni değiştirmeden en az 30 gün önce Müşteri'ye e-posta ile bildirim yapar ve listeyi günceller. Müşteri, bildirimden itibaren 30 gün içinde gerekçeli olarak itiraz edebilir. Taraflar makul bir çözümde anlaşamazsa Müşteri, değişiklik yürürlüğe girmeden Satış Sözleşmesi'ni feshedebilir; bu durumda Abonelik Dönemi'nin kalan süresine düşen bedel iade edilir.
7. Teknik ve idari tedbirler
7.1. Sora Yazılım, Kanun'un 12. maddesinin birinci fıkrası çerçevesinde kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla Hizmet kapsamında en az aşağıdaki tedbirleri uygular:
| Tedbir | Uygulama |
|---|---|
| İletimde şifreleme | Hizmet trafiği TLS ile şifrelenir; bağlantılar HTTPS üzerinden kurulur |
| Parola güvenliği | Parolalar argon2id algoritmasıyla geri döndürülemez biçimde saklanır |
| Erişim yetkilendirmesi | Hizmet'e erişim rol ve yetki esasına göre sınırlandırılır; Müşteri, Kullanıcı rollerini kendisi belirler |
| Denetim kaydı | Yönetim işlemleri denetim kaydına yazılır |
| Kötüye kullanımın önlenmesi | Giriş ve hesap işlemlerinde istek sınırlaması uygulanır; formlarda bot doğrulaması kullanılır |
| Günlük kayıtlarında veri azaltma | Günlük kayıtlarında e-posta adresleri maskelenir, sorgu dizeleri kaydedilmez |
| Yedekleme | (belirlenecek) yedek alınır |
| Personel | Erişim görev gereğiyle sınırlandırılır; erişen çalışanlar gizlilik yükümlülüğü altındadır |
7.2. Kanun'un 12. maddesinin ikinci fıkrası uyarınca veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde bu tedbirlerin alınması hususunda o kişiyle birlikte müştereken sorumludur. Müşteri de kendi organizasyonunda Kullanıcı hesaplarının güvenliğini sağlamak, yetkileri gereklilik ilkesine göre vermek ve ayrılan çalışanların erişimini kapatmakla yükümlüdür.
7.3. Özel nitelikli kişisel veriler bakımından Kanun'un 6. maddesinin dördüncü fıkrası uyarınca Kurul'ca belirlenen yeterli önlemlerin alınması için Taraflar iş birliği yapar.
8. Kişisel veri ihlali bildirimi
8.1. Sora Yazılım, Müşteri Kişisel Verilerinin kanuni olmayan yollarla başkaları tarafından elde edildiğini tespit ettiğinde Müşteri'ye gecikmeksizin bildirir. Bu yükümlülük, Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı Kararı'nda veri işleyen için öngörülen, ihlali herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirme ilkesine uygundur.
8.2. Bildirim, o an bilinen ölçüde; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık ilgili kişi ve kayıt sayısını, olası sonuçlarını, alınan ve önerilen önlemleri ve Sora Yazılım'daki irtibat kişisini içerir. Bilgilerin tamamı aynı anda sağlanamıyorsa gecikmeye yol açmadan aşamalı olarak iletilir.
8.3. Kanun'un 12. maddesinin beşinci fıkrası uyarınca ihlali ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirme yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. Sora Yazılım, Müşteri'nin bu bildirimleri yapabilmesi için gereken bilgileri sağlar ve ihlalin etkilerini azaltmak için Müşteri ile iş birliği yapar. Sora Yazılım, kanunen zorunlu olmadıkça ilgili kişilere veya Kurul'a Müşteri adına kendiliğinden bildirim yapmaz.
9. İlgili kişi başvurularında yardım
9.1. İlgili kişilerin Kanun'un 11. maddesindeki haklarına ilişkin başvuruları veri sorumlusu olarak Müşteri tarafından Kanun'un 13. maddesine göre sonuçlandırılır.
9.2. Sora Yazılım'a doğrudan ulaşan ve Müşteri Kişisel Verilerine ilişkin başvuruları Sora Yazılım gecikmeksizin Müşteri'ye iletir ve Müşteri'nin talimatı olmadan başvuruyu kendisi yanıtlamaz.
9.3. Hizmet, Müşteri'nin başvuruları yanıtlayabilmesi için verilerin görüntülenmesine, düzeltilmesine, dışa aktarılmasına ve silinmesine imkân verir. Hizmet'in sunduğu araçların yetmediği hâllerde Sora Yazılım makul ölçüde teknik destek sağlar.
10. Denetim
10.1. Kanun'un 12. maddesinin üçüncü fıkrası uyarınca veri sorumlusunun denetim yapma veya yaptırma yükümlülüğünü yerine getirebilmesi için Sora Yazılım, bu VİS'e uyumunu gösteren bilgi ve belgeleri Müşteri'nin yazılı talebi üzerine makul süre içinde sağlar.
10.2. Bilgi ve belgelerin yetersiz kalması hâlinde Müşteri, kendisi veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetim; en az 30 gün önceden yazılı olarak bildirilir, çalışma saatleri içinde ve Hizmet'in işleyişini aksatmayacak şekilde yapılır, bir ihlal veya yetkili makam talebi olmadıkça yılda bir defayla sınırlıdır ve maliyeti Müşteri'ye aittir. Denetim, diğer müşterilerin verilerine ve Sora Yazılım'ın ticari sırlarına erişim sağlamaz.
11. Sözleşmenin sona ermesinde silme ve iade
11.1. Müşteri, Satış Sözleşmesi'nin sona ermesinden itibaren 30 gün içinde Müşteri Kişisel Verilerini CSV biçiminde dışa aktarabilir ya da dışa aktarım talep edebilir.
11.2. Bu sürenin sonunda Müşteri Kişisel Verileri canlı sistemlerden silinir. Yedeklerdeki kopyalar, (belirlenecek) sonunda yedekleme döngüsüyle silinir; bu süre boyunca yedekler yalnızca felaket kurtarma amacıyla tutulur ve başka bir amaçla işlenmez.
11.3. Müşteri talep ederse silme işlemi yazılı olarak teyit edilir. Kanunen saklanması zorunlu olan veriler, yalnızca bu zorunluluğun gerektirdiği süre ve amaçla saklanır.
11.4. Çalışan özlük dosyaları gibi Müşteri'nin kendi yasal saklama yükümlülüklerine konu verileri süresi içinde dışa aktarmak Müşteri'nin sorumluluğundadır.
12. Yurt dışına aktarım
12.1. Müşteri Kişisel Verileri (belirlenecek) konumundaki sunucularda saklanır.
12.2. Personel belge dosyaları ve veritabanı yedekleri Cloudflare R2'de, Türkiye dışındaki (Avrupa) sunucularda saklandığından Müşteri Kişisel Verileri yurt dışında işlenir. Bu ve 6. maddedeki diğer yurt dışı alt işleyenlere yapılan aktarımlar, Kanun'un 9. maddesi kapsamında yurt dışına aktarım niteliğindedir.
12.3. Yurt dışına aktarımlar Kanun'un 9. maddesinde öngörülen şartlara uygun olarak yapılır. Uygun güvence olarak standart sözleşme kullanılması hâlinde sözleşme, Kanun'un 9. maddesinin beşinci fıkrası uyarınca imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir. Alt işleyen bazında dayanak:.
12.4. Müşteri, bu VİS'i onaylayarak 6. maddedeki alt işleyenlere yapılan aktarımlar için Sora Yazılım'a talimat verir. Aktarımın dayanağı olan işleme şartının varlığını sağlamak ve ilgili kişilere bu konuda aydınlatma yapmak Müşteri'nin sorumluluğundadır.
13. Sorumluluk ve öncelik
13.1. Taraflar'ın bu VİS'ten doğan sorumluluğu Satış Sözleşmesi'ndeki sorumluluk hükümlerine tabidir; Kanun'dan doğan emredici sorumluluklar saklıdır.
13.2. Kişisel verilerin korunmasına ilişkin konularda bu VİS, Satış Sözleşmesi'ne göre önceliklidir.
14. Yürürlük ve değişiklikler
14.1. Bu VİS, Satış Sözleşmesi ile birlikte kayıt formunda elektronik ortamda onaylanır ve Satış Sözleşmesi'nin yürürlüğe girdiği tarihte yürürlüğe girer. VİS, 11. maddedeki silme işlemleri tamamlanana kadar yürürlükte kalır.
14.2. VİS'te yapılacak değişiklikler Satış Sözleşmesi'nin değişikliklere ilişkin 16. maddesine tabidir. Mevzuat değişikliğinden kaynaklanan zorunlu değişiklikler saklıdır.
14.3. VİS sürümü: 1.2.