Veri işleme sözleşmesi
Son güncelleme: 17.10.2026
Taslak: Bu metin taslaktır ve hukuk danışmanı incelemesinden geçmemiştir. Köşeli parantez içindeki alanlar doldurulmadan yayımlanmamalıdır.
Bu sözleşme, Kullanım Koşulları'nın ekidir ve hizmeti kullanan kurum ("Veri Sorumlusu") adına [Veri sorumlusu / hizmet sağlayıcı unvanı veya adı soyadı] ("Veri İşleyen") tarafından işlenen kişisel verilere ilişkin olarak KVKK'nın 12. maddesi uyarınca tarafların yükümlülüklerini düzenler.
1. İşlemenin konusu
| Başlık | Açıklama |
|---|---|
| İlgili kişiler | Veri Sorumlusu'nun hizmet verdiği işyerlerinin çalışanları; Veri Sorumlusu'nun kullanıcıları ve iletişim kişileri |
| Veri kategorileri | Çalışan fotoğrafları (isteğe bağlı saklanır), eklem noktası koordinatları, duruş açıları, iş bilgileri (yük, sıklık, süre), değerlendirme sonuçları, firma ve istasyon bilgileri, risk kayıtlarında sorumlu kişi adları, ölçüm yapan kişi adları |
| Amaç | Ergonomi ve iş sağlığı güvenliği değerlendirmesi, raporlama, risk takibi |
| Süre | Hizmet sözleşmesi süresince ve sona ermeden sonraki 30 gün |
2. Veri İşleyen'in yükümlülükleri
- Kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatıyla (hizmetin kullanımı talimat sayılır) ve hizmetin sunulması amacıyla işlemek; kendi amaçları için kullanmamak.
- Verilere erişen personelini gizlilik yükümlülüğü altına almak.
- KVKK md. 12 kapsamında uygun teknik ve idari tedbirleri almak: şifreli bağlantı, satır düzeyi erişim denetimi, rol bazlı yetki, gizli anahtarların sunucuda tutulması, erişim kayıtları.
- Yalnızca bu sözleşmenin ekinde sayılan alt işleyenleri kullanmak; yeni alt işleyen eklemeden en az 15 gün önce Veri Sorumlusu'nu bilgilendirmek. Veri Sorumlusu bu süre içinde itiraz edip sözleşmeyi feshedebilir.
- İlgili kişi başvurularını kendisine ulaşması hâlinde gecikmeksizin Veri Sorumlusu'na iletmek ve yanıtlanmasında yardımcı olmak.
- Bir veri ihlalini öğrendiğinde Veri Sorumlusu'nu gecikmeksizin, ihlalin kapsamı ve alınan önlemlerle birlikte bilgilendirmek; Veri Sorumlusu'nun Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardımcı olmak.
- Sözleşme sona erdiğinde, dışa aktarım süresinin bitiminden sonra verileri silmek veya yok etmek; yasal saklama yükümlülüğü olanlar hariç.
- Bu sözleşmeye uyumu göstermek için makul bilgi ve belgeyi talep üzerine sağlamak.
3. Veri Sorumlusu'nun yükümlülükleri
- Çalışanları KVKK md. 10 uyarınca aydınlatmak ve işleme için geçerli bir hukuki sebebe sahip olmak.
- Yalnızca değerlendirme için gerekli verileri yüklemek (veri minimizasyonu); fotoğrafı saklamak gerekli değilse saklama seçeneğini kapalı bırakmak.
- Yapay zekâ ile bağlam analizi özelliğini, bu kullanım için hukuki dayanağı sağlandıysa kullanmak.
- Hesap yetkilerini (üye, rol, müşteri erişimi) güncel tutmak.
4. Yurt dışına aktarım
Alt işleyenlerin sunucuları Türkiye dışındadır. Veri İşleyen, aktarımları KVKK md. 9'a uygun olarak, Kurul'un ilan ettiği standart sözleşmelerle ve bunları Kurum'a bildirerek yapar. Görsel bağlam analizi yalnızca kullanıcının her kullanımda verdiği onayla ve yüzler bulanıklaştırıldıktan sonra yapılır.
Ek: Alt işleyenler
| Alt işleyen | Hizmet | Konum | Veri |
|---|---|---|---|
| Supabase | Veritabanı, kimlik doğrulama, dosya deposu | Almanya (Frankfurt) | Tüm müşteri verisi |
| Vercel | Uygulama sunucusu | Almanya (Frankfurt); şirket ABD | İstek sırasında geçen veriler, sunucu kayıtları |
| OpenAI | Görsel bağlam analizi (isteğe bağlı) | ABD | Yüzü bulanıklaştırılmış tek görüntü |
| Resend | E-posta gönderimi | ABD | E-posta adresi, hatırlatma içeriği (firma/istasyon adı, önlem başlığı) |