KVKK Md. 12

Veri İşleme
Sözleşmesi

Derman+ kullanan klinik veri sorumlusu, Derman+ ise veri işleyendir. KVKK'nın 12. maddesi bu iki tarafı veri güvenliğinde müştereken sorumlu tutar. Aşağıdaki sözleşme bu ilişkiyi yazılı hâle getirir.

Kullanım notu. Bu metin, Derman+ hizmetinde kullanılan standart veri işleme sözleşmesi taslağıdır ve şeffaflık amacıyla yayımlanmıştır. İmzalanacak nihai metin kurulum aşamasında taraflara özel olarak düzenlenir. Bu sayfa hukuki danışmanlık değildir; imzalamadan önce kendi hukuk danışmanınıza inceletmenizi öneririz. Köşeli alanlar kuruluma göre doldurulur.

1. Taraflar

Veri Sorumlusu
Klinik / Kurum
Unvan: [MÜŞTERİ UNVANI]
Adres: [ADRES]
VKN: [VKN]
Veri İşleyen
Vayes Digital
Ürün: Derman+ (dermanplus.com.tr)
Adres: [VAYES ADRES]
VKN: [VAYES VKN]

Bu sözleşme, Taraflar arasındaki hizmet sözleşmesinin ayrılmaz ekidir. Çelişki hâlinde kişisel verilerin korunmasına ilişkin konularda bu sözleşme hükümleri uygulanır.

2. Tanımlar

Bu sözleşmede geçen kişisel veri, özel nitelikli kişisel veri, işleme, veri sorumlusu, veri işleyen, ilgili kişi ve açık rıza kavramları 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki anlamlarıyla kullanılır.

3. İşlemenin Konusu ve Kapsamı

3.1 Amaç

Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'na hizmet sunmak amacıyla ve Veri Sorumlusu'nun talimatları doğrultusunda işler. Veri İşleyen bu verileri kendi amaçları için kullanamaz, üçüncü kişilere satamaz ve pazarlama amacıyla işleyemez.

3.2 İşlenen veri kategorileri

3.3 İlgili kişi grupları

Veri Sorumlusu'nun hastaları/danışanları, çalışanları ve yetkilendirdiği kullanıcılar.

3.4 Süre

İşleme, hizmet sözleşmesi yürürlükte kaldığı sürece devam eder. Saklama sürelerini Veri Sorumlusu belirler.

4. Veri İşleyenin Yükümlülükleri

  1. Talimata bağlılık. Kişisel verileri yalnızca Veri Sorumlusu'nun yazılı talimatı doğrultusunda işler. Kanunen zorunlu bir işleme gerekirse, yasak olmadıkça Veri Sorumlusu'nu önceden bilgilendirir.
  2. Gizlilik. Verilere erişimi olan personelin gizlilik yükümlülüğü altında olmasını sağlar; bu yükümlülük görev sona erdikten sonra da devam eder.
  3. Güvenlik tedbirleri. KVKK Md. 12 uyarınca uygun teknik ve idari tedbirleri alır (Ek-A).
  4. Erişim sınırlaması. Erişim, rol tabanlı yetkilendirme ve least-privilege ilkesiyle sınırlanır; her erişim denetim izine yazılır.
  5. İhlal bildirimi. Bir veri ihlalinden haberdar olduğunda Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde bilgilendirir; Veri Sorumlusu'nun Kurul'a ve ilgili kişilere yapacağı bildirim için gerekli bilgi ve desteği sağlar.
  6. İlgili kişi taleplerine destek. Bilgi, düzeltme, silme, aktarım ve itiraz taleplerinin karşılanmasında Veri Sorumlusu'na teknik destek verir. Talebi doğrudan yanıtlamaz, Veri Sorumlusu'na yönlendirir.
  7. Alt işleyen. Alt işleyen kullanımını Veri Sorumlusu'na bildirir ve alt işleyeni bu sözleşmedekiyle eşdeğer yükümlülüklere tabi tutar. Güncel liste Ek-B'dedir.
  8. Denetime açıklık. Veri Sorumlusu'nun makul aralıklarla ve önceden bildirimle yapacağı denetime, uyumu gösteren bilgi ve belgeleri sunarak destek olur.
  9. İade ve imha. Hizmet sona erdiğinde, Veri Sorumlusu'nun tercihine göre verileri iade eder veya siler; imha işlemini kayıt altına alır. Mevzuat gereği saklanması zorunlu veriler istisnadır.
  10. Yurt dışına aktarım. Veri Sorumlusu'nun yazılı onayı ve KVKK'nın aktarım kurallarına uyum olmaksızın kişisel verileri yurt dışına aktarmaz.

5. Veri Sorumlusunun Yükümlülükleri

  1. İşlemenin hukuki dayanağını (açık rıza veya kanuni sebep) sağlamak ve belgelemek.
  2. Aydınlatma yükümlülüğünü yerine getirmek; aydınlatma metni ve açık rıza metinlerinin içeriğini belirlemek.
  3. Sisteme yalnızca yetkili kullanıcı tanımlamak, yetkileri güncel tutmak, ayrılan personelin erişimini kaldırmak.
  4. Saklama sürelerini ve imha politikasını belirlemek.
  5. Varsa VERBİS yükümlülüğünü yerine getirmek.

6. Müşterek Sorumluluk

KVKK Md. 12 uyarınca veri güvenliğine ilişkin tedbirlerin alınması konusunda Veri Sorumlusu ile Veri İşleyen müştereken sorumludur. Kişisel Verileri Koruma Kurulu'nun 07.10.2021 tarihli ve 2021/1021 sayılı kararında, ihlalin veri işleyen bünyesinde gerçekleştiği hâllerde dahi veri sorumlusunun sorumluluğunun devam ettiği belirtilmiştir. Bu nedenle Taraflar, kendi alanlarındaki tedbirleri almakla ve birbirlerine gerekli desteği sağlamakla yükümlüdür.

7. Süre ve Fesih

Bu sözleşme, hizmet sözleşmesiyle birlikte yürürlüğe girer ve onunla birlikte sona erer. Sona erme hâlinde 4. maddenin 9. bendi uygulanır. Gizlilik yükümlülüğü sözleşmenin sona ermesinden sonra da devam eder.

8. Uygulanacak Hukuk

Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda [YETKİLİ MAHKEME/İCRA DAİRESİ] yetkilidir.

Ek-A · Teknik ve İdari Tedbirler

Ek-B · Alt İşleyenler

Hizmetin sunulabilmesi için kullanılan alt işleyenler aşağıda listelenir. Listede değişiklik olduğunda Veri Sorumlusu bilgilendirilir.

İmza

Veri Sorumlusu adına
Ad Soyad: [ ]
Unvan: [ ]
Tarih: [ ]
Veri İşleyen adına
Ad Soyad: [ ]
Unvan: [ ]
Tarih: [ ]

Sık Sorulanlar

Merak Edilenler

Veri işleme sözleşmesi kanunen zorunlu mu?

6698 sayılı Kanun metni sözleşmeyi kelime kelime zorunlu kılmaz; ancak Kanun'un 12. maddesi veri güvenliğinde veri sorumlusu ile veri işleyeni müştereken sorumlu tutar. Kişisel Verileri Koruma Kurulu'nun 07.10.2021 tarihli 2021/1021 sayılı kararında, ihlal veri işleyen bünyesinde gerçekleşse dahi veri sorumlusunun sorumluluğunun devam ettiği belirtilmiştir. Bu müşterek sorumluluk nedeniyle ilişkinin yazılı sözleşmeyle düzenlenmesi uygulamada beklenen ve denetimde aranan bir tedbirdir.

Klinik veri sorumlusu, Derman+ veri işleyen — bu ne demek?

Veri sorumlusu, kişisel verinin işlenme amacını ve yöntemini belirleyen taraftır; danışan ve hasta verisinde bu klinikdir. Veri işleyen ise veriyi veri sorumlusunun verdiği yetkiye dayanarak onun adına işleyen taraftır. Derman+ bu ilişkide veri işleyendir: veriyi barındırır ve kliniğin talimatı doğrultusunda işler, kendi amaçları için kullanamaz.

Veriyi yazılım firmasına vermek 'üçüncü kişiye ifşa' sayılır mı?

Hayır. Veri işleyene aktarım, KVKK'da tanımlı ve olağan bir ilişkidir; verinin üçüncü bir kişiye ifşası değildir. Kliniğin muhasebecisi, arşiv firması veya SMS sağlayıcısı da aynı konumdadır. Belirleyici olan, veri işleyenin veriyi yalnızca veri sorumlusunun belirlediği çerçevede işlemesi ve bunun sözleşmeyle güvence altına alınmasıdır.

Sözleşme olmadan kullanmaya başlayabilir miyiz?

Teknik olarak sistem çalışır, ancak önerilmez. Müşterek sorumluluk nedeniyle bir denetim veya ihlal durumunda veri sorumlusundan, veri işleyenle ilişkisini nasıl düzenlediğini göstermesi beklenir. Sözleşme kurulum aşamasında imzalanır ve süreç birkaç dakika sürer.

Alt işleyen kullanıyor musunuz?

Bir veri işleyen, hizmeti sunabilmek için barındırma veya mesaj gönderimi gibi alanlarda alt işleyenlerden yararlanabilir. Sözleşme, alt işleyen kullanımının veri sorumlusuna bildirilmesini ve alt işleyenin aynı yükümlülüklere tabi tutulmasını düzenler. Güncel alt işleyen listesi sözleşme ekinde verilir.

Sözleşme bittiğinde verilerimize ne oluyor?

Sözleşmenin sona ermesi hâlinde veri işleyen, veri sorumlusunun tercihine göre verileri iade eder veya siler. İmha işlemi kayıt altına alınır. Saklama sürelerini ve imha politikasını veri sorumlusu olarak klinik belirler.

Sözleşmeyi kurulumda
birlikte imzalıyoruz

Kuruluma özel düzenlenmiş nihai metni demo görüşmesinde paylaşırız; hukuk danışmanınızın incelemesi için süre tanırız.

Demo Talep Et →