Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme ("VİS"), Bulut Hizmet ve Abonelik Sözleşmesi'nin ("Hizmet Sözleşmesi") eki ve parçasıdır. Tarafları:

• iyibir Cloud panelinde kayıtlı kurum ("Müşteri"); Müşteri Verisindeki kişisel veriler bakımından veri sorumlusudur;
• İyibir Yazılım ve Teknoloji San. Tic. Ltd. Şti. ("iyibir"); adres 23 Nisan Mahallesi Atabulvarı Guzell Tower İş Merkezi No:2, 16230 Nilüfer / Bursa; MERSİS 0211110454100001; bu veriler bakımından veri işleyendir.

VİS'i Müşteri adına şirket yetkilisi kabul eder ve kurumu bağlamaya yetkili olduğunu beyan eder.

iyibir'in kendi amaçlarıyla işlediği veriler (Müşteri'nin kullanıcılarının hesap, fatura, destek ve güvenlik verileri) bu VİS'in kapsamında değildir; onlar için iyibir veri sorumlusudur ve KVKK Aydınlatma Metni uygulanır.

2. Tanımlar

Bu VİS'te 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuatındaki tanımlar geçerlidir. Ayrıca:

• Müşteri Verisi: Hizmet Sözleşmesi'ndeki tanım; bu VİS bakımından içindeki kişisel veriler.
• Alt işleyen: iyibir'in Müşteri Verisini işlerken yararlandığı ve Müşteri Verisine erişen üçüncü kişi.
• İhlal: Müşteri Verisinin hukuka aykırı olarak başkaları tarafından elde edilmesi, değiştirilmesi, silinmesi ya da erişilemez hâle gelmesine yol açan güvenlik olayı.

3. İşlemenin konusu, amacı ve süresi

• Konu: Bulut Ürünlerinin (iyibir Copilot, iyibir Mind, iyibir WMS ve sunulduğu ölçüde iyibir Workforce) ve iyibir Asistan'ın Müşteri'ye sunulması.
• Amaç: Kullanıcıların sorularını Müşteri'nin Logo ERP (ve tanımlanmışsa bordro) verisinden cevaplamak; pano, rapor ve belge üretmek; Kullanıcı'nın onayladığı belgeleri Logo'ya yazmak; depo işlemlerini yürütmek; Müşteri'nin yapılandırdığı dijital çalışan rutinlerini çalıştırmak; bunlar için gereken kayıtları tutmak.
• Nitelik: okuma, aktarma (iyibir'in model geçidi üzerinden dil modeline), saklama, düzenleme, görüntüleme, Logo'ya yazma (yalnız onayla), silme.
• Süre: Hizmet Sözleşmesi süresince ve ardından 13. maddedeki silme tamamlanana kadar.

4. Veri kategorileri ve ilgili kişiler

İşlenen kişisel verinin kapsamı Müşteri'nin Logo kurulumuna, bağladığı veri kaynaklarına ve Kullanıcıların sorularına bağlıdır. Tipik olarak:

• İlgili kişiler: Müşteri'nin çalışanları, müşterilerinin ve tedarikçilerinin yetkilileri ve çalışanları (cari kartlardaki kişiler), Kullanıcılar, Workforce kullanılıyorsa Müşteri'nin borçlularının irtibat kişileri.
• Kimlik ve iletişim: ad soyad, unvan, e-posta, telefon, adres, vergi ya da T.C. kimlik numarası (cari kartlarda bulunduğu ölçüde).
• Finans ve müşteri işlem: cari hesap hareketleri, fatura, irsaliye, sipariş, tahsilat ve ödeme bilgileri, banka hesap (IBAN) bilgileri.
• Çalışan ve bordro (bordro veri kaynağı tanımlanmışsa): sicil, ücret, kesinti, SGK bilgileri, izin ve puantaj kayıtları.
• Özel nitelikli kişisel veri: bordro veritabanında sağlık raporu, sendika üyeliği ya da benzeri özel nitelikli veri bulunabilir. Bulut Ürünleri bu alanları hedefleyen hazır sorgu içermez; Müşteri bu verilerin bir soru üzerine okunabileceğini ve 11. maddedeki yükümlülüklerini kabul eder.
• Kullanıcı içeriği: sohbetler, yüklenen belgeler, panolar, yazma önerileri ve sonuçları.

5. Talimatlar

1. iyibir Müşteri Verisini yalnız Müşteri'nin belgelenmiş talimatıyla işler. Hizmet Sözleşmesi, bu VİS, Müşteri'nin panel ve ürün ayarları ve Kullanıcıların Hizmet içindeki istek ve onayları Müşteri'nin talimatıdır.
2. iyibir Müşteri Verisini kendi amacıyla kullanmaz, satmaz, üçüncü kişilerle paylaşmaz ve yapay zekâ modeli eğitmek için kullanmaz.
3. Bir talimatın mevzuata aykırı olduğunu düşünürse iyibir bunu Müşteri'ye gecikmeden bildirir ve talimatı uygulamayı askıya alabilir.
4. Mevzuat ya da yetkili makam kararı iyibir'i Müşteri Verisini açıklamaya zorlarsa iyibir, yasak olmadıkça, açıklamadan önce Müşteri'ye bildirir.

6. Güvenlik önlemleri

iyibir KVKK md. 12 ve Kurul'un Kişisel Veri Güvenliği Rehberi'ni esas alarak şu teknik ve idari tedbirleri uygular:

• Salt okunur erişim. PaaS Agent Müşteri'nin veritabanını yalnız okuma yetkili bir kullanıcıyla okur; her bağlantıda kullanıcının yazma yetkisi olmadığını denetler ve yazma yetkisi görürse çalışmaz. Her okuma tek bir SELECT sorgusudur; veritabanı dışına çıkan, başka sunucuya bağlanan ya da sunucu bilgisini okuyan ifadeler reddedilir.
• Onaylı yazma. Logo'ya yazma yalnız bir Kullanıcı'nın ürün içinde önizleyip onayladığı ve sunucuda saklanan gövdeyle, Logo'nun kendi REST servisi üzerinden yapılır; silme isteği gönderilmez; aynı onay iki kez yürütülmez; her yazma öneri, onay ve sonuç olarak kayıt altındadır.
• Bağlantı güvenliği. PaaS Agent yalnız dışarı doğru bağlanır; Müşteri ağında içeri port açılmaz. Bütün trafik TLS ile şifrelidir. Veritabanı ve Logo REST bilgileri yalnız Müşteri'nin sunucusunda, şifreli depoda durur.
• Kurum ayrımı. Kurum ve kullanıcı kimliği yalnız imzalı oturum belirtecinden okunur; bir kurum başka bir kurumun verisine erişemez; başka kurumun kaydına yapılan istek "bulunamadı" ile döner.
• Kimlik doğrulama. Parolalar geri döndürülemez özetle saklanır; erişim belirteçleri 30 dakikalıktır; makine ve ajan kimlikleri kısa ömürlü, kapsamı dar belirteçlerle çalışır.
• Barındırma. Sunucular ve veritabanları RNG Bilişim'in Türkiye'deki altyapısındadır; Müşteri Verisi Türkiye'de saklanır; her modülün ayrı veritabanı şeması vardır; servisler süper kullanıcıyla değil, yetkisi kısıtlı veritabanı kullanıcılarıyla çalışır.
• Personel. Üretim sistemlerine yalnız görevi gereği yetkili iyibir teknik personeli erişir; personel gizlilik yükümlülüğü altındadır; erişim kayıt altındadır.
• Model geçidi. Dil modeline giden istekler iyibir'in Türkiye'deki sunucusunda çalışan model geçidinden geçer. Sağlayıcı anahtarları yalnız geçittedir. Geçit istek ve cevap içeriğini hiçbir kayda yazmaz; yalnız kurumu, kişinin takma (özet) kimliğini, iş türünü, kullanılan miktarı ve maliyeti kaydeder ve kurum başına kullanım hızını sınırlar.
• İzleme. Hizmet'in günlükleri, izleri ve ölçümleri iyibir'in kendi sunucusundaki izleme sisteminde, yalnız iç erişimle tutulur (günlükler 14 gün); 5651 sayılı Kanun kapsamındaki trafik kayıtları 2 yıl saklanır.
• Sürekli iyileştirme. Güvenlik açıkları öncelikle giderilir; tedbirler teknolojinin gelişimine göre güncellenir. iyibir bu tedbirlerin genel güvenlik seviyesini düşürmeyecek şekilde değiştirilebileceğini saklı tutar.

7. Alt işleyenler

Müşteri, iyibir'in aşağıdaki alt işleyenlerden yararlanmasına genel izin verir:

• OpenAI, L.L.C. (ABD): Bulut Ürünlerinde ve iyibir Asistan'da dil modeli; istekler iyibir'in model geçidi üzerinden gönderilir. Kullanıcının sorusu ve cevabı üretmek için gereken Müşteri Verisi (ör. sorgu sonucu satırlar) modele gönderilir. İstekler saklama kapalı (store=false) olarak gönderilir; OpenAI istek ve cevapları saklamaz (OpenAI'nin kötüye kullanım izleme kayıtları hariç; bunlar en fazla 30 gün tutulur), yalnız istek anında işler ve model eğitiminde kullanmaz. Veri saklanmasa da işlenmek üzere ABD'ye çıkar; aktarım 8. maddeye tabidir.
• RNG Bilişim Teknolojileri San. ve Tic. Ltd. Şti. (Türkiye): Hizmet'in sunucularının ve veritabanlarının barındırıldığı altyapı; Müşteri Verisi Türkiye'de saklanır.
• Google (Google Workspace, Türkiye dışı): iyibir'in iyibiryazilim.com.tr alan adlı e-postalarının Gmail altyapısı üzerinden gönderilmesi ve alınması; Hizmet bildirimleri ve Müşteri'nin yapılandırdığı Workforce iletileri dahil.

1. Bu liste değiştikçe panelde güncel hâliyle yayımlanır.
2. iyibir her alt işleyenle bu VİS'tekilerden daha az koruyucu olmayan yükümlülükler içeren yazılı bir sözleşme yapar ve alt işleyenin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı sorumludur.
3. Yeni bir alt işleyen eklenmesi ya da mevcut birinin değişmesi, alt işleyen Müşteri Verisine erişmeden en az 30 gün önce panelde ve şirket yetkilisinin e-posta adresine bildirilir. Müşteri bu süre içinde haklı bir gerekçeyle itiraz edebilir; taraflar çözüm bulamazsa Müşteri, Hizmet Sözleşmesi'nin 16. maddesine göre Hizmet Sözleşmesi'ni feshedebilir; iyibir satın alınmış ve kullanılmamış kredinin bedelini o maddeye göre iade eder.
4. iyibir ileride dil modelini Türkiye'deki kendi sunucusunda çalıştırırsa bu, alt işleyenin kaldırılması olarak bildirilir.

Panel ve web arayüzlerinin statik dosyalarını sunan Vercel Inc. (ABD) Müşteri Verisine erişmez; yalnız sayfayı açan kişinin IP ve istek bilgisini işler ve KVKK Aydınlatma Metni'nde anlatılır. Ödemeleri alan iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş., Türkiye) da Müşteri Verisine erişmez; ödeme ve fatura bilgileri KVKK Aydınlatma Metni'nde anlatılır.

8. Yurt dışına aktarım

1. Dil modeline gönderilen Müşteri Verisi OpenAI tarafından ABD'de işlenir; e-postalardaki Müşteri Verisi Google tarafından Türkiye dışında işlenir. OpenAI'nin istekleri saklamaması bu sonucu değiştirmez: veri işlenmek üzere Türkiye dışına çıktığı için bu, KVKK md. 9 anlamında yurt dışına aktarımdır.
2. Bu ülkeler için Kişisel Verileri Koruma Kurulu'nun yeterlilik kararı bulunmadığından iyibir bu aktarımları, 7499 sayılı Kanunla değişik KVKK md. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, Kurul'un ilan ettiği veri işleyenden veri işleyene standart sözleşme ile yapar ve her sözleşmeyi imzadan itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirir.
3. Müşteri, veri sorumlusu olarak ilgili kişilere bu aktarımı aydınlatma metninde bildirir.
4. iyibir, bu maddede ve 7. maddede sayılanlar dışında Müşteri Verisini yurt dışına aktarmaz.

9. İhlal bildirimi

1. iyibir Müşteri Verisini etkileyen bir ihlali öğrendiğinde Müşteri'ye gecikmeden ve en geç 48 saat içinde şirket yetkilisinin e-posta adresi ve panel üzerinden bildirir.
2. Bildirimde, o an bilinebildiği ölçüde ihlalin zamanı, niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen tedbirler ve iyibir'in irtibat kişisi yer alır; yeni bilgi öğrenildikçe tamamlanır.
3. iyibir ihlalin etkisini sınırlamak için gereken tedbirleri hemen alır ve Müşteri'nin Kişisel Verileri Koruma Kurulu'na 72 saat içinde ve ilgili kişilere yapacağı bildirim için gereken bilgi ve yardımı sağlar.
4. Kurul'a ve ilgili kişilere bildirim, veri sorumlusu olarak Müşteri'nin yükümlülüğüdür; iyibir, Müşteri'nin yazılı talebi olmadan Müşteri adına bildirim yapmaz.

10. İlgili kişi başvuruları ve yardım

1. Müşteri Verisiyle ilgili bir ilgili kişi başvurusu doğrudan iyibir'e gelirse iyibir başvuruyu cevaplamaz, gecikmeden Müşteri'ye iletir.
2. iyibir, Müşteri'nin KVKK md. 11 başvurularını cevaplaması, veri güvenliği değerlendirmesi ve Kurul'un taleplerini karşılaması için makul yardımı sağlar. Olağanın ötesinde emek gerektiren yardım için taraflar ücret konusunda önceden anlaşır.

11. Müşteri'nin yükümlülükleri

Müşteri veri sorumlusu olarak:

1. Hizmet'e bağladığı veriyi işlemek için bir hukuki sebebe sahip olduğunu, ilgili kişileri iyibir'e ve yurt dışına aktarım dahil olmak üzere aydınlattığını ve gerekiyorsa açık rızalarını aldığını taahhüt eder.
2. Bordro veri kaynağını yalnız ihtiyaç duyduğunda tanımlar; özel nitelikli kişisel verilerin işlenmesi için KVKK md. 6'daki şartları ve Kurul'un özel nitelikli veriler için öngördüğü yeterli önlemleri sağlar; bordro verisine yalnız gerekli Kullanıcıların erişmesini ürün rolleriyle düzenler.
3. PaaS Agent için yalnız okuma yetkili bir veritabanı kullanıcısı tanımlar ve ajanın çalıştığı sunucunun güvenliğini sağlar.
4. Kullanıcılarını ve onların ürün içi yetkilerini yönetir; ayrılan kişilerin erişimini kapatır.

12. Denetim

1. iyibir, bu VİS'e uyduğunu göstermek için Müşteri'nin yazılı talebi üzerine yılda bir kez güvenlik tedbirlerini anlatan belge ve bilgileri sağlar.
2. Bu bilgiler yeterli olmazsa ya da Kurul bunu gerektirirse Müşteri, en az 30 gün önceden yazılı bildirimle, mesai saatleri içinde, iyibir'in işleyişini aksatmayacak şekilde ve gizlilik taahhüdü vermiş bağımsız bir denetçiyle denetim yapabilir. Denetim masrafları Müşteri'ye aittir; denetim başka müşterilerin verisine erişim içermez. Denetim bir ihlal tespit ederse iyibir kendi masrafları için Müşteri'den bir şey istemez.

13. Silme ve iade

1. Hizmet Sözleşmesi sona erdiğinde Müşteri Verisi 30 gün saklanır; Müşteri bu sürede verisini dışa aktarabilir. Müşteri bu süre içinde yazılı talep ederse iyibir veriyi Hizmet Sözleşmesi'nin 11. maddesine göre teslim eder.
2. Sürenin sonunda silme başlar ve yedekler dahil, Hizmet Sözleşmesi'nin sona erdiği günden itibaren en geç 90 gün içinde tamamlanır.
3. Müşteri'nin ana iş verisi kendi Logo veritabanındadır; iyibir bu veritabanının kopyasını tutmaz, dolayısıyla bu veritabanı bu silmeden etkilenmez.
4. iyibir, mevzuat gereği saklaması zorunlu olan kayıtları (ör. yazma işleminin denetim izi, faturalar) yalnız bu amaçla ve kanuni süre boyunca saklar.
5. Müşteri talep ederse iyibir silmenin tamamlandığını yazılı olarak teyit eder.

14. Sorumluluk

Tarafların bu VİS'ten doğan sorumluluğu Hizmet Sözleşmesi'nin 17. maddesine tabidir. Bu, KVKK'nın veri sorumlusu ve veri işleyene emredici olarak yüklediği sorumlulukları ortadan kaldırmaz; KVKK md. 12/2 uyarınca güvenlik önlemlerinden taraflar birlikte sorumludur.

15. Süre, değişiklik ve kabul

1. VİS, Hizmet Sözleşmesi'yle birlikte yürürlüğe girer ve 13. maddedeki silme tamamlanana kadar sürer.
2. VİS'in yeni sürümü Hizmet Sözleşmesi'nin 21. maddesindeki usulle (en az 30 gün önce duyuru, yeniden kabul, kabul etmeyene fesih hakkı) yürürlüğe girer. Alt işleyen değişiklikleri 7. maddeye tabidir ve VİS'in yeni sürümünü gerektirmez.
3. Kabul, belgenin sürümü, içerik parmak izi, kabul eden kişi ve kurum, zaman ve IP adresiyle elektronik olarak kaydedilir.
4. VİS ile Hizmet Sözleşmesi çelişirse kişisel veriler bakımından VİS geçerlidir.
5. VİS'e Türk hukuku uygulanır; yetki Hizmet Sözleşmesi'ndeki gibidir. Türkçe metin bağlayıcıdır.

Sürüm 2 · Yürürlük tarihi 17.10.2026