1. Taraflar ve roller
1.1. Bu sözleşme, Hizmetleri kullanan Kullanıcı veya bağlı olduğu kurum ("Veri Sorumlusu") ile DODA Teknoloji Yazılım Danışmanlık ve Ticaret Limited Şirketi ("Veri İşleyen") arasında, Veri Sorumlusunun Hizmetlere girdiği kişisel verilerin işlenmesine ilişkin olarak 6698 sayılı Kanun'un 12. maddesi uyarınca kurulmuştur.
1.2. Veri İşleyen, kendi hesap, faturalama ve güvenlik kayıtları bakımından ayrıca veri sorumlusudur; bu veriler bu sözleşmenin kapsamı dışındadır.
2. İşlemenin konusu
| Konu | Açıklama |
|---|---|
| İlgili kişi grupları | Veri Sorumlusunun çalışanları, işyeri çalışanları, alt işveren çalışanları, ekip/kurul üyeleri, saha görsellerinde yer alan kişiler |
| Veri kategorileri | Kimlik (ad soyad, T.C. kimlik no), mesleki bilgi (unvan, görev, eğitim tarihleri), işyeri bilgileri, görsel kayıtlar, iş kazası kayıtları; olası özel nitelikli veri: sağlık bilgisi (yalnız Veri Sorumlusu girerse) |
| İşleme faaliyetleri | Kaydetme, saklama, düzenleme, DODA AI ile analiz, belge hazırlama, yedekleme, silme |
| Amaç | Veri Sorumlusunun iş sağlığı ve güvenliği ile mühendislik işlerinin Hizmetler üzerinden yürütülmesi |
| Süre | Hizmet sözleşmesi süresince + madde 9'daki iade/silme süresi |
3. Veri İşleyenin yükümlülükleri
3.1. Kişisel verileri yalnız Veri Sorumlusunun belgelenmiş talimatıyla işler. Hizmetlerin ayarları ve Kullanıcının Hizmet içindeki işlemleri talimat sayılır. Hukuka aykırı olduğunu düşündüğü bir talimatı Veri Sorumlusuna bildirir.
3.2. Verileri kendi amaçları için kullanmaz; satmaz; yapay zekâ modeli eğitmek için kullanmaz.
3.3. Verilere erişen personelini gizlilik yükümlülüğüyle bağlar.
3.4. Ek'teki teknik ve idari tedbirleri uygular.
3.5. Veri Sorumlusunun ilgili kişi başvurularını yanıtlamasına makul ölçüde yardım eder; kendisine doğrudan gelen başvuruyu gecikmeksizin Veri Sorumlusuna iletir.
3.6. Kişisel veri ihlalini öğrendiğinde Veri Sorumlusuna gecikmeksizin ve en geç 24 saat içinde bildirir; bildirimde bilinen ölçüde ihlalin niteliği, etkilenen veri ve kişi sayısı, olası sonuçlar ve alınan önlemler yer alır. Kurula ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusundadır; Veri İşleyen gerekli bilgileri sağlar.
4. Veri Sorumlusunun yükümlülükleri
4.1. Verileri hukuka uygun bir sebebe dayanarak toplar; ilgili kişileri aydınlatır; gerekiyorsa açık rıza alır.
4.2. Amaçla ilgisi olmayan veriyi, özellikle özel nitelikli veriyi gerekmedikçe girmez.
4.3. Hesabına erişebilen kişileri (ekip üyeleri dahil) yetkilendirir ve denetler.
5. Alt işleyenler
5.1. Veri Sorumlusu, Alt İşleyenler listesindeki hizmet sağlayıcı gruplarının kullanılmasına genel izin verir.
5.2. Veri İşleyen, yeni bir alt işleyen grubu eklemeden veya mevcut bir alt işleyeni değiştirmeden en az 30 gün önce listeyi günceller ve kayıtlı e-postaya bildirir. Veri Sorumlusu, makul gerekçeyle itiraz edebilir; uzlaşılamazsa ilgili Hizmeti feshedebilir ve kullanılmamış dönem ücreti iade edilir.
5.3. Veri İşleyen, alt işleyenlere bu sözleşmedekilerle esasen aynı koruma yükümlülüklerini yükler ve onların fiillerinden Veri Sorumlusuna karşı sorumludur.
6. DODA Yazılım personelinin erişimi
Veri İşleyen personeli Veri Sorumlusunun kayıtlarına yalnız (a) Veri Sorumlusunun destek talebi, (b) güvenlik olayı incelemesi, (c) hukuki yükümlülük veya (d) hizmetin teknik işletimi için zorunlu olduğunda ve gerekli ölçüde erişir.
7. Yurt dışına aktarım
Veri İşleyen, alt işleyenlerin yurt dışında bulunan sunucularına aktarımda 6698 sayılı Kanun'un 9. maddesini ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'i (öncelikle standart sözleşme) esas alır. Veri Sorumlusu, gerektiğinde Veri İşleyen ile ayrıca standart sözleşme imzalanmasına ve Kurula bildirilmesine katkı sağlar.
8. Denetim
Veri İşleyen, bu sözleşmeye uyumu gösteren bilgileri (tedbir özeti, alt işleyen listesi, ihlal kayıtları) yazılı talep üzerine 30 gün içinde sağlar. Yerinde denetim, kurumsal müşterilerle ayrıca kararlaştırılır; makul önceden bildirim, gizlilik ve masraf kurallarına tabidir.
9. Sürenin sonu: iade ve silme
9.1. Sözleşme sona erdiğinde Veri Sorumlusu 30 gün boyunca verilerini Hizmetlerin dışa aktarma araçlarıyla (Excel, belge çıktıları) alabilir.
9.2. Bu süre sonunda veriler canlı sistemlerden silinir; şifreli yedeklerde en geç 90 gün içinde kendiliğinden silinir. Kanunen saklanması gereken veriler bu yükümlülük süresince erişimi kısıtlanarak tutulur.
9.3. Veri Sorumlusu talep ederse silme işleminin yapıldığı yazılı olarak teyit edilir.
Ek — Teknik ve idari tedbirler (özet)
- Şifreli bağlantı (HTTPS); parolaların geri döndürülemez özetlenmesi.
- Çalışan T.C. kimlik numaralarının ve analiz kuyruğu içeriklerinin AES-256-GCM ile şifrelenmesi; ATEX Studio dosyalarının kullanıcıya özgü anahtarla şifrelenmesi.
- Kullanıcılar arası yalıtım: her kullanıcı yalnız kendi firmalarına, ekip üyeleri yalnız aktif ekiplerinin firmalarına erişir; bu kontrol sunucuda uygulanır.
- Süreli oturumlar (en çok 30 gün, 7 gün hareketsizlik), istek sahteciliği koruması, giriş denemesi sınırlaması.
- Analiz kuyruğu verisinin 24 saatte, kayda bağlanmamış görsellerin 48 saatte silinmesi.
- Gece şifreli ve sunucu dışı yedek (90 gün saklama, 30 gün silinemez kilit); geri yükleme provası yapılmıştır (31.10.2026).
- Erişim yetkilerinin en az yetki ilkesiyle sınırlanması; personel gizlilik taahhüdü.