Veri İşleme Sözleşmesi

Bu sözleşme, KVKK m.12/2 uyarınca, Ekarfiks'i kullanan işletme ("Veri Sorumlusu") ile [Ticaret unvanı eksik] ("Veri İşleyen" ya da "Ekarfiks") arasındadır. İşletme sahibi bu sözleşmeyi kayıtta Kullanım Koşulları ile birlikte zorunlu kutuyu işaretleyerek kabul eder; sözleşme değişirse güncel sürüm ayrıca onaylatılır. Kabul, sürüm, zaman ve IP adresiyle kaydedilir.

1. Kapsam ve roller

Veri Sorumlusu'nun Ekarfiks'e girdiği ya da Ekarfiks üzerinden topladığı müşteri, araç, iş emri, randevu, ödeme, cari ve personel iş kayıtlarında veri sorumlusu İşletme'dir; Ekarfiks bu kayıtları İşletme adına veri işleyen olarak işler. Ekarfiks'in kendi sorumluluğunda yürüttüğü işlemeler md. 4'te sayılır ve bu sözleşmenin kapsamı dışındadır.

2. İşlemenin ayrıntıları

3. Talimat

Ekarfiks verileri yalnız Veri Sorumlusu'nun talimatlarıyla işler. Panelin kullanımı (kayıt, mesaj gönderimi, raporlama, ayarlar) talimat sayılır. Ekarfiks bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'na bildirir.

4. Ekarfiks'in kendi sorumluluğundaki işlemeler

Ekarfiks, aşağıdaki işlemelerde İşletme adına değil kendi hizmetini yürütmek için hareket eder; bu işlemelerde veri sorumlusu Ekarfiks'tir ve aydınlatmayı kendi metinleriyle yapar (KVKK Aydınlatma Metni md. 6, Ekarfiks Hesabı Aydınlatma Metni):

• Garajım ve İşletmelerim: Ekarfiks hesabı açan araç sahibinin telefon numarasının işletme kayıtlarıyla eşleştirilmesi ve kişinin kendi kayıtlarını görmesi
• Keşfet ve öneriler: işletmenin listelenmesi, puanı, yorumları ve sıralaması
• Yorumlar ve puanlar: yorumların ve puanların Keşfet'te gösterilmesi, rozet hesabında kullanılması, yorum itirazlarının ve içerik bildirimlerinin Ekarfiks tarafından karara bağlanması. Yorumun İşletme'nin vitrininde yayımlanması ise İşletme adına yapılır ve bu sözleşmenin kapsamındadır
• Ortak Ekarfiks girişi: müşterinin vitrindeki Hesabım'a girmek için kullandığı Ekarfiks hesabı (telefon numarası, şifrenin tek yönlü özeti, hesap açılışında ve şifre sıfırlamada gönderilen tek kullanımlık kod kayıtları, oturumlar). Hesabım'da gösterilen İşletme kayıtları ve İşletme'ye verilen kampanya onayı ise İşletme'nindir
• Ekarfiks hesabıyla randevu: araç sahibinin Ekarfiks uygulamasından gönderdiği talebin İşletme'ye iletilmesi. İşletme'ye ulaşan talep kaydı İşletme'nindir
• Rozetler: işletmenin performans verilerinden rozet hesaplanması
• Sponsorlu listeleme kayıtları: gösterim, tıklama ve sponsorlu karttan gelen talep kayıtları ve ücret hesabı
• Fotoğraf paylaşımı rızası: araç sahibinin Ekarfiks'te verdiği rızanın kaydı ve işletme kaydıyla telefon üzerinden eşleştirilmesi
• Muayene tarihi kampanyaları: İşletme'nin kampanyasının, Garajım'da muayene tarihi yaklaşan ve buna rıza veren araç sahiplerine iletilmesi (İşletme'ye kimin aldığı bildirilmez)
• Toplu istatistikler: kişiyi ve işletmeyi belirlemeye imkân vermeyen toplu sayılar
• Hizmetin güvenliği: kötüye kullanımın, sahte talep ve tıklamaların önlenmesi

Ekarfiks bu işlemelerde de verileri satmaz, reklamverene vermez ve yapay zekâ modeli eğitmek için kullanmaz.

5. Gizlilik ve destek erişimi

Verilere erişen Ekarfiks çalışanları gizlilik yükümlülüğü altındadır ve yalnız işleri için gereken verilere erişir. Ekarfiks ekibi işletme verilerine yalnız Veri Sorumlusu'nun panelden verdiği onayla, onaylanan süre boyunca ve salt okunur erişir; bu sırada müşteri telefonları, kimlik belgeleri ve dışa aktarma gizlidir ve açılan her sayfa Veri Sorumlusu'na gösterilir.

6. Güvenlik tedbirleri (KVKK m.12)

• İşletmeler arası veri ayrımı (her sorgu işletmeye göre süzülür; veritabanında satır düzeyinde güvenlik)
• Rol ve şube bazlı yetkilendirme; değişiklik yapan işlemlerin denetim kaydı
• Aktarımda şifreleme
• Bağlı mesaj hesabı bilgilerinin şifreli saklanması
• Ekip girişinde iki adımlı doğrulama; en az yetki ilkesi
• Kimlik belgeleri için kısa ömürlü erişim bağlantıları ve sınırlı saklama süresi

7. Alt işleyenler

Veri Sorumlusu, Ekarfiks'in aşağıdaki alt işleyenlerle çalışmasına izin verir:

• Barındırma ve dosya depolama: [Barındırma (ülke/sağlayıcı) eksik]
• SMS (Ekarfiks'in ortak gönderici başlığı): Netgsm İletişim ve Bilgi Teknolojileri A.Ş. (Türkiye)
• WhatsApp mesajları (Ekarfiks'in ortak numarası): Meta Platforms Ireland Ltd. (yurt dışı)
• E-posta gönderimi: Resend (Resend, Inc.; ABD, yurt dışı)
• Form bot koruması: Cloudflare Turnstile (Cloudflare, Inc.; yurt dışı)
• Uygulama bildirimleri: Google Firebase Cloud Messaging, Apple Push Notification Service ve tarayıcıların bildirim hizmetleri (yurt dışı); yalnız bildirimin metni ve cihaz belirteci
• Şube adresinden harita konumu: OpenStreetMap Nominatim (OpenStreetMap Foundation; yurt dışı); yalnız şube adresi

• Ekarfiks alt işleyenlere en az bu sözleşmedeki veri koruma yükümlülüklerini yükler ve onların işlemlerinden Veri Sorumlusu'na karşı sorumludur.
• Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce panelde ve hesap sahibinin e-posta adresine bildirir. Veri Sorumlusu bu sürede haklı bir gerekçeyle itiraz edebilir. İtiraz giderilemezse Veri Sorumlusu değişiklik yürürlüğe girmeden aboneliğini cezasız feshedebilir; peşin ödenen bedelin kullanılmayan kısmı iade edilir.
• Yurt dışındaki alt işleyenler: Ekarfiks bu alt işleyenlerle KVKK m.9/4 uyarınca Kurul'un ilan ettiği veri işleyenden veri işleyene standart sözleşmeyi imzalar ve imzadan sonra 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirir. Veri Sorumlusu isterse sözleşmelerin kopyası verilir.

Alt işleyen olmayanlar: iyzico ve PayTR, ödeme işlemlerinde kendi sorumluluğunda işleyen ayrı veri sorumlularıdır. Ekarfiks'in tanıtım sitesinde izinle çalışan analitik ve reklam araçları (Google Analytics, Google Ads, Meta Pixel ve Conversions API, Microsoft Clarity) İşletme'nin müşteri verilerine hiç erişmez.

8. Veri Sorumlusu'nun kendi mesaj hesapları

Veri Sorumlusu kendi WhatsApp numarasını (Meta WhatsApp Business Platform) ya da kendi SMS hesabını (Netgsm) Ekarfiks'e bağlarsa:

• Sağlayıcıyla sözleşme ilişkisi Veri Sorumlusu ile sağlayıcı arasındadır; mesaj ücretini sağlayıcı doğrudan Veri Sorumlusu'ndan alır. Ekarfiks mesajları yalnız Veri Sorumlusu'nun panelde açtığı bildirimler ve kampanyalar için, onun hesabı üzerinden iletir; hesap bilgilerini şifreli saklar ve bağlantı kesildiğinde siler.
• Meta, WhatsApp Business koşulları gereği Veri Sorumlusu adına veri işleyen olarak hareket eder ve verileri yurt dışına aktarır. Meta'nın sunduğu veri aktarım güvencesini değerlendirmek, gerekiyorsa standart sözleşmeyi imzalayıp Kişisel Verileri Koruma Kurumu'na 5 iş günü içinde bildirmek Veri Sorumlusu'nun yükümlülüğüdür.

9. Ticari elektronik iletiler ve İYS

• Bilgilendirme amaçlı mesajlar (iş kabulü, aracın hazır olması, randevu, takip ve ödeme bağlantısı) tanıtım içermez.
• Tanıtım ve kampanya mesajlarında gönderen Veri Sorumlusu'dur. Müşterinin onayını almak ve onayın kanıtını saklamak Veri Sorumlusu'nun yükümlülüğüdür. İşletme İYS'ye kayıtlıysa, aldığı onayları mevzuattaki sürede İleti Yönetim Sistemi'ne (İYS) işlemek ve İYS üzerinden gelen retlere uymak da Veri Sorumlusu'nun yükümlülüğüdür. Ekarfiks onayları Veri Sorumlusu adına İYS'ye kaydetmez.
• Müşterinin pazarlama izni panelde personel tarafından (kaydı kimin, ne zaman yaptığıyla) ya da müşterinin kendisi tarafından vitrinde kaydedilir. Ekarfiks, kampanya iletilerini yalnız işletmenin kaydettiği onayı olan müşterilere gönderir; İYS kaydı ve İYS üzerinden ret İşletme'nin sorumluluğundadır.

10. İhlal bildirimi

Ekarfiks, Veri Sorumlusu'nun verilerini etkileyen bir ihlali öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirimde, o anda bilindiği kadarıyla, ihlalin ne zaman ve nasıl olduğu, etkilenen veri ve kişi grupları ve alınan önlemler yazılır; Veri Sorumlusu'nun Kurul'a 72 saat içinde bildirim yapabilmesi için gereken bilgi ve destek sağlanır.

11. İlgili kişi başvuruları

Veri Sorumlusu'na gelen KVKK m.11 başvurularında Ekarfiks panel araçlarıyla (müşteri başına veri dökümü, düzeltme, anonimleştirme) ve gerektiğinde destek ekibiyle yardımcı olur. Ekarfiks'e doğrudan gelen ve Veri Sorumlusu'nun kayıtlarıyla ilgili bir başvuruyu gecikmeden Veri Sorumlusu'na iletir.

12. Süre sonu, iade ve silme

• Hesap salt okunur olduğunda (abonelik sona erdiğinde, ödenmemiş deneme bittiğinde ya da yenileme 7 günlük ek sürede ödenmediğinde) veriler 90 gün saklanır. Bu sürede Veri Sorumlusu verilerini Excel olarak dışa aktarabilir.
• Süre sonunda, bu sürede bir paket ödenmezse veriler silinir ya da anonimleştirilir. Ekarfiks'in kendi hukuki yükümlülüğü gereği saklaması zorunlu kayıtlar (ör. Ekarfiks'in kendi fatura ve ödeme kayıtları) saklama süresi boyunca tutulur. Veri Sorumlusu isterse silme yazılı olarak teyit edilir.
• Ekarfiks, Veri Sorumlusu'nun kayıtlarını abonelik sürdükçe ve hesap salt okunur olduktan sonra 90 gün saklar. Bu kayıtları mevzuattaki daha uzun süre (ör. fatura ve sözleşme kayıtları için 10 yıl) saklamak Veri Sorumlusu'nun yükümlülüğüdür; Veri Sorumlusu bunun için kayıtlarını süre dolmadan dışa aktarır.
• Vitrindeki ödeme sayfasında alınan sözleşme kabul kayıtları (metnin sürümü, kabul zamanı, IP adresi) Excel dışa aktarma dosyasında yer almaz; Veri Sorumlusu istediğinde, abonelik sürerken ya da bu maddedeki 90 günlük süre içinde ayrıca verilir.
• Ekarfiks ekibinin askıya aldığı hesabın verileri kendiliğinden silinmez.

13. Sorumluluk

Her taraf kendi yükümlülüklerini ihlalinden sorumludur. İlgili kişilere karşı KVKK m.12/2'deki müteselsil sorumluluk saklıdır; taraflar arasındaki iç ilişkide zarar, ihlale yol açan tarafa aittir. Ekarfiks'in bu sözleşmeden doğan sorumluluğuna Kullanım Koşulları md. 12'deki sınır uygulanır; bu sınır kast ve ağır ihmal hâllerinde uygulanmaz.

14. Otomatik işleme

Plaka okuma ve fotoğraflardaki plakanın bulanıklaştırılması Ekarfiks'in kendi yazılımıyla, kullanıcının cihazında ya da Ekarfiks sunucusunda yapılır; bu amaçla veriler üçüncü taraf bir hizmete gönderilmez. Bu değişirse md. 7 uygulanır. Ekarfiks ilgili kişiler hakkında yalnız otomatik işlemeye dayanan ve onları etkileyen karar vermez.

15. Denetim

Veri Sorumlusu, alınan tedbirler hakkında bilgi ve belge isteyebilir; Ekarfiks makul sürede yanıt verir. Bunun yeterli olmadığı haklı bir durumda, yılda en fazla bir kez, en az 30 gün önceden bildirerek, gizlilik taahhüdü veren bağımsız bir denetçiyle denetim yaptırabilir; denetimin maliyeti Veri Sorumlusu'na aittir. Denetim başka işletmelerin verilerine erişim sağlamaz.