1. Amaç ve Taraflar
Bu Veri İşleme Sözleşmesi ("VİS"), Yazılım Lisans ve Destek Sözleşmesi'nin ayrılmaz bir parçası olup, Müşteri (veri sorumlusu) tarafından Ticariplus hizmetlerine kaydedilen kişisel verilerin Ticariplus Yazılım Anonim Şirketi (veri işleyen, "Ticariplus") tarafından işlenmesine ilişkin karşılıklı yükümlülükleri 6698 sayılı KVKK'nın 8., 12. ve ilgili maddeleri ile Kişisel Verileri Koruma Kurulu kararları çerçevesinde düzenler.
2. İşlemenin Konusu, Niteliği ve Süresi
| Konu | Müşterinin ERP, bayi portalı, e-ticaret ve ilgili modüllerde kaydettiği verilerin barındırılması, saklanması, yedeklenmesi, görüntülenmesi, raporlanması, e-belge olarak iletilmesi ve destek amaçlı erişimi |
|---|---|
| İlgili kişi grupları | Müşterinin müşterileri ve tedarikçileri (cari hesaplar) ile bunların yetkilileri, Müşterinin personeli, bayi portalı ve e-ticaret sitesi üyeleri, web sitesi ziyaretçileri |
| Veri kategorileri | Kimlik, iletişim, adres, vergi/finansal bilgiler (fatura, bakiye, ödeme), personel özlük (ad, TC, maaş, izin — Müşteri girdiği ölçüde), sipariş ve teslimat bilgileri, işlem güvenliği kayıtları |
| Süre | Abonelik süresi ve sona ermesinden itibaren 90 günlük veri dışa aktarım süresi |
3. Müşterinin (Veri Sorumlusu) Yükümlülükleri
- Hizmete kaydettiği kişisel verilerin hukuka uygun olarak elde edildiğini, ilgili kişilere aydınlatma yapıldığını ve gerektiğinde açık rıza alındığını temin etmek,
- Kendi kullanıcılarına uygun yetkileri vermek, şifre güvenliğini sağlamak ve ayrılan personelin erişimini kapatmak,
- Özel nitelikli kişisel verileri (sağlık, biyometrik vb.) Hizmete kaydetmemek; zorunlu hâllerde Ticariplus'u önceden bilgilendirmek,
- İlgili kişilerden gelen KVKK başvurularını yanıtlamak; teknik destek gerektiğinde Ticariplus'a talepte bulunmak,
- VERBİS kaydı ve kendi kişisel veri işleme envanteri gibi veri sorumlusuna ait yükümlülükleri yerine getirmek.
4. Ticariplus'un (Veri İşleyen) Yükümlülükleri
- Talimatla sınırlı işleme: Kişisel verileri yalnızca Hizmetin sunulması için ve Müşterinin belgelenmiş talimatları (bu Sözleşme, uygulama ayarları ve yazılı destek talepleri) doğrultusunda işlemek; kanuni zorunluluk dışında başka amaçla kullanmamak.
- Gizlilik: Verilere erişen personelin gizlilik taahhüdü altında olmasını sağlamak; erişimi görev gereği ihtiyaç duyan kişilerle sınırlamak ve kayıt altına almak.
- Güvenlik: KVKK m. 12 ve Kurul'un teknik ve idari tedbirler rehberine uygun önlemleri almak: aktarımda TLS, şifrelerin tek yönlü özetlenmesi, firma başına ayrı veritabanı, güvenlik duvarı ve saldırı engelleme (fail2ban), rol tabanlı yetkilendirme, işlem günlükleri, günlük yedekleme, yama yönetimi. Ayrıntılar Bilgi Güvenliği Politikası'ndadır.
- Alt veri işleyenler: Veri merkezi, e-posta/SMS altyapısı, GİB özel entegratörü, ödeme kuruluşları ve WhatsApp Business API gibi alt işleyenleri yalnızca yazılı sözleşmeyle ve en az bu VİS'teki koruma düzeyini sağlayarak kullanmak; listeyi talep hâlinde paylaşmak ve önemli değişiklikleri 30 gün önceden bildirmek (Müşteri makul gerekçeyle itiraz edebilir).
- Yurt dışı aktarım: Kişisel verileri kural olarak Türkiye'de tutmak; yurt dışına aktarım gerektiren bir alt işleyen kullanılacaksa KVKK m. 9'daki şartları sağlamak ve Müşteriyi bilgilendirmek.
- İhlal bildirimi: Kişisel verileri etkileyen bir güvenlik ihlalini öğrendikten sonra gecikmeksizin ve en geç 48 saat içinde Müşteriye bildirmek; ihlalin kapsamı, etkilenen veriler ve alınan önlemler hakkında bilgi vermek; Müşterinin Kurul'a yapacağı 72 saatlik bildirimde destek olmak.
- İlgili kişi taleplerine destek: Müşterinin; erişim, düzeltme, silme, taşınabilirlik taleplerini karşılayabilmesi için gerekli araçları (dışa aktarım, silme, işlem geçmişi) sunmak.
- Denetim: Yılda bir kez, en az 15 gün önceden bildirimle ve iş sürekliliğini bozmayacak şekilde, Müşterinin veya bağımsız denetçisinin güvenlik önlemlerini yerinde veya uzaktan doğrulamasına imkân tanımak; Müşterinin makul bilgi taleplerini yanıtlamak.
- Sona erme: Abonelik sona erdiğinde Müşterinin verilerini dışa aktarmasına 90 gün süre tanımak; sürenin sonunda yasal saklama zorunluluğu olan kayıtlar hariç tüm kişisel verileri yedeklerden de silmek ve talep hâlinde silme tutanağı vermek.
5. Sorumluluk
Ticariplus, bu VİS'e ve KVKK'daki veri işleyen yükümlülüklerine aykırılığından doğan zararlardan sorumludur. Müşteri, hukuka aykırı elde ettiği veya aydınlatma/rıza yükümlülüğünü yerine getirmediği verilerden doğan zararlardan sorumludur. Kurul tarafından uygulanan idari para cezaları, kusuru olan tarafça karşılanır.
6. Genel
Bu VİS, Yazılım Lisans ve Destek Sözleşmesi (EK-3) ile birlikte yürürlüğe girer ve abonelik süresince geçerlidir. Çelişki hâlinde kişisel veriler bakımından VİS hükümleri üstündür. Türk hukuku uygulanır; İstanbul (Anadolu) Mahkemeleri yetkilidir. Son güncelleme: 26 Eylül 2026.