Veri işleme sözleşmesi
Müşterilerimizin hizmete girdiği verileri veri işleyen olarak nasıl işlediğimiz: güvenlik, alt işleyenler, silme.
Bu Veri İşleme Sözleşmesi ("Sözleşme"), norvo IT hizmetini kullanan müşteri ("Veri Sorumlusu") ile N2mobil Takip Sistemleri A.Ş. ("Veri İşleyen") arasında, Hizmet Sözleşmesi'nin eki ve ayrılmaz parçası olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesinin 2. fıkrası uyarınca yapılmıştır. Hizmet Sözleşmesi'nin kabulüyle bu Sözleşme de kabul edilmiş olur. Kurumsal müşteriler imzalı nüshasını bilgi@n2mobil.com.tr adresinden talep edebilir.
1. Konu ve roller
1.1. Veri Sorumlusu, kendi personelinin iş bilgisayarlarına kurduğu agent aracılığıyla toplanan çalışma verilerini hizmet üzerinden işletir. Bu veriler bakımından müşteri veri sorumlusu, N2mobil Takip Sistemleri A.Ş. veri işleyendir.
1.2. Veri İşleyen kişisel verileri yalnız Veri Sorumlusu adına, onun belgelenmiş talimatları doğrultusunda ve hizmetin sunulması için işler. Hizmetin panelinden yapılan ayarlar (mesai saatleri, pencere başlığı saklama, saklama süresi, kurallar) Veri Sorumlusu'nun talimatı sayılır.
1.3. Veri İşleyen, bu verileri kendi amaçları için kullanmaz, satmaz, pazarlamada kullanmaz ve başka bir müşterinin verisiyle birleştirmez. Hizmetin iyileştirilmesi amacıyla yalnız kişiyle ilişkilendirilemeyen toplu sayılar (örneğin toplam etkin cihaz sayısı) kullanılabilir.
2. İşlenen veriler
| Kategori | İçerik |
|---|---|
| İlgili kişiler | Veri Sorumlusu'nun agent kurulu bilgisayarları kullanan çalışanları |
| Kimlik | Ad soyad (panelde girilir ya da dizinden gelir), işletim sistemi kullanıcı adı, departman; Veri Sorumlusu personel dizinini (Microsoft Entra ID, Google Workspace, LDAP / Active Directory) bağladıysa dizindeki kimlik, kullanıcı adı, ad soyad, departman ve hesabın açık/kapalı durumu (e-posta ve diğer dizin bilgileri saklanmaz; dizin bağlantı bilgileri şifreli saklanır, yalnız okunur) |
| Cihaz | Bilgisayar adı, işletim sistemi, agent sürümü, son bağlantı zamanı; firma açıksa donanım envanteri (model, seri no, işlemci, bellek, diskler, pil, güvenlik durumu, son güncelleme), kullanım ölçümleri (işlemci/bellek/disk doluluğu, ağ ve disk G/Ç hızı, en çok kaynak kullanan beş programın adı; firmanın seçtiği 1–10 dk aralıkla, mesai içinde ya da firma açtıysa mesai dışında da; 30 gün) ve ayrıca açıksa ağ bilgisi (IP, MAC) |
| Kurulu yazılım | Firma açıksa (BT Varlık): bilgisayardaki kurulu programların adı, sürümü, yayıncısı, kurulum tarihi; ilk görülme ve kaldırılma zamanı (kaldırılanlar saklama süresi sonunda silinir) |
| Varlık ve zimmet | BT Varlık modülünde Veri Sorumlusu'nun girdiği demirbaş kayıtları ile çalışana zimmet ve iade kayıtları (ad soyad, tarihler, teslim/iade durumu notu); lisans kayıtları (lisans anahtarı şifreli saklanır) |
| Çalışma verisi | Ön plandaki uygulamanın adı, başlangıç/bitiş zamanı, etkin/boşta durumu; ayar açıksa pencere başlığı. BT Varlık modülünde bu veriden lisanslı programın son 90 günde açılıp açılmadığı da çıkarılır (kullanılmayan lisans tespiti) |
| Toplanmayanlar | Ekran görüntüsü, tuş vuruşu, ekran kaydı, kamera/mikrofon, dosya veya mesaj içeriği, konum |
Agent yalnız Veri Sorumlusu'nun panelde belirlediği mesai gün ve saatlerinde veri toplar.
3. Veri İşleyen'in yükümlülükleri
3.1. Gizlilik. Verilere yalnız hizmetin işletilmesi için erişmesi gereken, gizlilik yükümlülüğü altındaki personeli erişebilir. Platform yönetim ekranlarında müşterilerin personel çalışma verisi gösterilmez.
3.2. Güvenlik (KVKK md. 12). Veri İşleyen en az şu önlemleri uygular:
- Tüm bağlantılarda TLS şifrelemesi; agent kimlik anahtarlarının yalnız özetinin saklanması.
- Müşteriler arası mantıksal ayrım (her sorgu müşterinin kendi verisine sınırlıdır) ve bunu sınayan otomatik testler.
- Yönetici hesaplarında zorunlu iki aşamalı doğrulama; müşteri hesaplarında isteğe bağlı/zorunlu kılınabilir 2FA.
- Hatalı girişte hesap kilidi, istek sınırlama, uygulama güvenlik duvarı; sunucunun web erişimine yalnız ağ güvenlik sağlayıcısı üzerinden izin verilmesi.
- Personel verisine kimin, ne zaman eriştiğinin kaydı (Veri Sorumlusu panelinde görür).
- Günlük yedek; sunucu dışındaki yedeklerin şifrelenmesi ve haftalık geri yükleme denemesi.
- Güvenlik güncellemelerinin düzenli uygulanması, sunucu ve uygulama olaylarının sürekli izlenmesi.
3.3. İhlal bildirimi. Veri İşleyen, Veri Sorumlusu'nun verilerini etkileyen bir veri ihlalini öğrendiğinde gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusu'na bildirir; bildirim, bilindiği ölçüde ihlalin niteliğini, etkilenen veri ve kişi sayısını, alınan ve önerilen önlemleri içerir. Veri Sorumlusu'nun KVKK md. 12/5 kapsamında Kurul'a 72 saat içinde bildirim yapabilmesi için gereken bilgi ve desteği sağlar.
3.4. İlgili kişi başvuruları. Veri Sorumlusu'na yapılan KVKK md. 11 başvurularını karşılayabilmesi için gereken teknik desteği verir (kişi bazında verinin çıkarılması, düzeltilmesi, silinmesi). Doğrudan Veri İşleyen'e gelen başvuruları Veri Sorumlusu'na yönlendirir.
3.5. Denetim. Veri Sorumlusu, yılda bir kez ve makul süre önceden bildirmek kaydıyla, bu Sözleşme'ye uyumu gösteren bilgi ve belgeleri talep edebilir.
4. Alt işleyenler
4.1. Hizmet verisi ve şifreli sunucu dışı yedekler Türkiye'deki N2mobil veri merkezlerinde saklanır. Veri Sorumlusu, aşağıdaki alt işleyenlerin kullanılmasına genel izin verir:
| Alt işleyen | Hizmet | Konum | İşlenen veri |
|---|---|---|---|
| Cloudflare, Inc. | Ağ güvenliği, ters vekil sunucu | ABD ve dünya geneli | Geçişteki trafik (kalıcı olarak saklamaz) |
| Twilio Inc. (SendGrid) | E-posta iletimi | ABD | Panel kullanıcılarının e-posta adresi ve adı; Veri Sorumlusu rapor e-postalarını açtıysa personel adları ve özet çalışma süreleri |
4.2. Veri İşleyen, yeni bir alt işleyen eklemeden veya birini değiştirmeden en az 30 gün önce Veri Sorumlusu'nu e-postayla bilgilendirir. Veri Sorumlusu haklı gerekçeyle itiraz ederse ve uzlaşılamazsa, hizmeti cezasız feshedebilir ve kullanılmayan dönemin ücretini geri alır.
4.3. Veri İşleyen, alt işleyenlere bu Sözleşme'dekinden daha az koruyucu olmayan yükümlülükler yükler ve onların eylemlerinden Veri Sorumlusu'na karşı sorumludur.
5. Yurt dışına aktarım
5.1. Hizmet verisi Türkiye'de saklanır. Ancak 4.1'deki tabloda konumu Türkiye dışında olan alt işleyenlere giden veriler (geçişteki trafik, e-posta iletimi) yurt dışına aktarılmaktadır.
5.2. Bu aktarım KVKK md. 9 kapsamında Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeye (Kurul'a bildirimi yapılmıştır) dayanılarak yapılır. Taraflar, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmenin gerektirdiği hâllerde ilgili standart sözleşmeyi ayrıca imzalar ve Kurul'a bildirimi KVKK'da öngörülen sürede yapar.
5.3. Veri Sorumlusu, çalışanlarına verdiği aydınlatma metninde yurt dışına aktarımı belirtmekle yükümlüdür (şablon bunu içerir).
6. Veri Sorumlusu'nun yükümlülükleri
6.1. Çalışanlarını, agent kurulmadan önce KVKK md. 10 uyarınca bilgilendirmek; işlemenin hukuki sebebini belirlemek ve belgelemek.
6.2. Hizmeti yalnız işletmesine ait cihazlarda ve hukuka uygun amaçlarla (iş süreçlerinin yönetimi, verimlilik ve bilgi güvenliği) kullanmak; gizli izleme, çalışanların özel hayatına müdahale veya ayrımcılık amacıyla kullanmamak.
6.3. Pencere başlığı saklama, saklama süresi gibi ayarları ölçülülük ilkesine uygun belirlemek.
7. Saklama, iade ve silme
7.1. Çalışma verisi, Veri Sorumlusu'nun panelde belirlediği ve paketinin izin verdiği süre boyunca saklanır; süresi dolan kayıtlar her gün otomatik olarak silinir.
7.2. Hizmet sona erdiğinde Veri Sorumlusu, erişimi sürdüğü sürece verilerini panelden (CSV) ya da API'den dışa aktarabilir. Erişimin sona ermesinden 90 gün sonra tüm çalışma verisi, personel ve cihaz kayıtları kalıcı olarak silinir. Silinen veriler şifreli yedeklerde en çok 6 ay daha bulunabilir ve bu sürenin sonunda yedeklerle birlikte silinir.
7.3. Fatura ve sözleşme kayıtları, ilgili mevzuatın öngördüğü süre (10 yıl) boyunca Veri İşleyen'in veri sorumlusu sıfatıyla saklanmaya devam eder; bu kayıtlar personel çalışma verisi içermez.
8. Süre ve diğer hükümler
8.1. Bu Sözleşme Hizmet Sözleşmesi'yle birlikte yürürlüğe girer ve Veri İşleyen'in 7. maddedeki silme yükümlülüklerini tamamlamasına kadar yürürlükte kalır.
8.2. Bu Sözleşme ile Hizmet Sözleşmesi arasında kişisel verilerin korunmasına ilişkin çelişki olursa bu Sözleşme uygulanır.
8.3. Bu Sözleşme'ye Türk hukuku uygulanır; uyuşmazlıklarda Ankara mahkemeleri ve icra daireleri yetkilidir.
Yürürlük: 5 Kasım 2026