Veri İşleyen Sözleşmesi
KVKK m.12/2 uyarınca veri sorumlusu ile veri işleyen arasında yapılması zorunlu olan yazılı sözleşme.
Yürürlük tarihi: 14 Ekim 2026
İçindekiler
1. Taraflar ve sıfatları
| Sıfat | Taraf |
|---|---|
| Veri sorumlusu | Hizmeti kullanan eğitim kurumu (“Okul”) |
| Veri işleyen | Önder Zaman Kontrol ve Güvenlik Sistemleri Sanayi Ticaret Limited Şirketi (MERSİS 0657 0324 3030 0014) |
Okul, öğrenci ve veli verilerinin hangi amaçla ve hangi yöntemle işleneceğine karar verir. Önder Zaman bu veriyi yalnızca Okul adına ve Okul’un talimatıyla işler.
2. İşlemenin konusu ve kapsamı
| Konu | Öğrenci giriş-çıkış takibi, devam takibi (elle kayıt, raporlu/izinli günler dâhil), turnike geçiş yetkisi yönetimi, ders programı ve duyuruların veliye iletilmesi, veli bilgilendirmesi, teknik destek |
|---|---|
| Süre | Hizmet sözleşmesi süresince |
| Veri kategorileri | Kimlik (ad-soyad, okul no, kart no, varsa fotoğraf), iletişim (telefon, e-posta), işlem güvenliği (şifre özeti, oturum, denetim izi), geçiş kayıtları, devam mazereti (raporlu/izinli işareti ve açıklaması) |
| İlgili kişi grupları | Öğrenciler, veliler, okul personeli |
3. Veri işleyenin yükümlülükleri
Önder Zaman:
- Kişisel verileri yalnızca Okul’un yazılı talimatı doğrultusunda işler; kendi amaçları için kullanmaz.
- KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri alır (ayrıntı: Bilgi Güvenliği Politikası).
- Veriye erişen personelini gizlilik yükümlülüğü altına sokar; erişimi görev gereğiyle sınırlar.
- Okulların verilerini birbirinden yalıtır; bir okulun kullanıcısı başka okulun verisine erişemez.
- Okul’un ilgili kişi taleplerini karşılamasına yardımcı olur; kendisine ulaşan talepleri Okul’a yönlendirir.
- Okul’un denetim taleplerine makul ölçüde bilgi ve belge sağlar.
- Veri ihlalini öğrendiği anda gecikmeksizin Okul’a bildirir.
4. Veri sorumlusunun yükümlülükleri
Okul:
- İşlemenin hukuki sebebini belirler ve belgeler.
- Velileri ve gerektiğinde öğrencileri KVKK m.10 kapsamında aydınlatır; gereken hâllerde açık rıza alır.
- Sisteme girilen verilerin doğruluğundan ve güncelliğinden sorumludur.
- Panel kullanıcılarını ve yetkilerini yönetir; ayrılan personelin erişimini kaldırır.
- Veli kaydını onaylarken kişinin gerçekten o öğrencinin velisi olduğunu teyit eder.
- VERBİS yükümlülüğü varsa yerine getirir.
- Saklama sürelerini belirler ve Önder Zaman’a bildirir.
Veli onayı bir güvenlik kararıdır. Sistem, kaydolan kişinin gerçekten veli olup olmadığını doğrulayamaz; bunu yalnızca okul bilir. Yanlış onaylanan bir kayıt, bir çocuğun giriş-çıkış bilgisinin yetkisiz bir kişiye açılması demektir.
5. Yurt dışına aktarım
Hizmetin sunulduğu bulut altyapısı yurt dışında, Avrupa Birliği’ndeki veri merkezlerinde bulunur; veriler bu kapsamda yurt dışına aktarılmaktadır. Ayrıca anlık bildirimlerin telefona ulaşabilmesi için bildirim metni, yurt dışında konumlanan bildirim altyapılarından geçer.
Okul, Kullanım Sözleşmesi’ni kabul ederek verilerin bu altyapıda işlenmesine ve yurt dışına aktarılmasına talimat vermiş olur. Aktarımın KVKK m.9 kapsamındaki hukuki dayanağının belirlenmesi, ilgili kişilerin aktarım hakkında aydınlatılması ve Okul’a düşen diğer yükümlülükler Okul’a aittir. Taraflar, m.9’da öngörülen güvencelerin sağlanması için iş birliği yapar; Önder Zaman bu amaçla gereken bilgi ve belgeleri ve alt veri işleyenlerin güncel listesini Okul’a sağlar. Bildirim altyapısından geçiş, yalnızca bildirim izni veren veliler için gerçekleşen m.9/6-b kapsamında arızi aktarımdır.
Okul’un bu yükümlülüklere aykırılığı nedeniyle Önder Zaman’a yöneltilen talep, idari para cezası ve tazminatlar Okul tarafından karşılanır.
6. Alt veri işleyenler
Önder Zaman, hizmetin sunulması için alt veri işleyen kullanır. Mevcut kategoriler:
| Kategori | İşlev |
|---|---|
| Bulut altyapı sağlayıcısı | Barındırma ve yedekleme |
| Anlık bildirim altyapısı | Bildirimin telefona iletilmesi |
| E-posta sunucusu | Doğrulama ve şifre sıfırlama iletileri |
Alt veri işleyen değişikliği Okul’a önceden bildirilir. Okul, haklı bir gerekçeyle itiraz ederse çözüm birlikte aranır; anlaşma sağlanamazsa Okul sözleşmeyi feshedebilir.
7. Özel nitelikli veriler
Varsayılan kurulumda biyometrik şablon sunucuda tutulmaz. Okul’un bir günü “raporlu” olarak işaretlemesi sağlık verisi sayılabilir; bu işaret yalnızca o günün raporlu olduğunu gösterir, tanı veya belge içermez. Okul, açıklama alanlarına tıbbi ayrıntı girmemeyi ve bu işlemeyi KVKK m.6/3 şartlarına uygun yürütmeyi üstlenir. Okul biyometrik yöntem talep ederse, KVKK m.6 kapsamındaki tüm yükümlülükler Okul’a ait olmak üzere ayrıca yazılı olarak kararlaştırılır.
Eşleşmeyen kart okutmaları, sonradan doğru öğrenciyle ilişkilendirilebilmesi için ham hâliyle bekletilir. Bu kayıtlar kimlikle ilişkilendirilmemiş olup Okul tarafından silinebilir.
8. Çocuklara ait veriler
İşlenen verinin önemli bölümü çocuklara aittir. Taraflar, bu verinin işlenmesinde ölçülülük ilkesine özel önem verileceğini kabul eder:
- Öğrenci hakkında yalnızca giriş-çıkış takibi için gereken alanlar tutulur.
- Bir öğrenciye en fazla iki veli bağlanabilir; sınır uygulama tarafından zorunlu tutulur.
- Veli yalnızca kendi bağlı olduğu öğrenciyi görebilir.
- Veriler pazarlama veya profilleme amacıyla kullanılmaz.
9. Veri ihlali bildirimi
Önder Zaman, bir veri ihlalini öğrendiği anda gecikmeksizin Okul’a bildirir ve bilinen kapsamı, etkilenen veri kategorilerini, olası sonuçları ve alınan tedbirleri iletir.
Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Okul’a aittir. Önder Zaman bu bildirimin hazırlanmasına destek olur.
10. Sözleşmenin sona ermesi
Hizmet sözleşmesi sona erdiğinde veriler kendiliğinden silinmez. Önder Zaman, Okul’un yazılı talebi üzerine verileri dışa aktarıp teslim eder; yazılı silme talebi üzerine de canlı sistemden otuz gün içinde kalıcı olarak siler; yedeklerdeki kopyalar en geç altmış gün içinde kalkar. Silme tamamlandığında Okul’a yazılı olarak bildirilir. Mevzuattan doğan saklama yükümlülükleri saklıdır.
Sözleşmenin sona ermesinden itibaren doksan gün içinde Okul iade veya silme talimatı vermezse, Önder Zaman Okul’a yazılı bildirimde bulunduktan sonra verileri silme hakkına sahiptir. Bu süre içinde veriler yalnızca saklanır, başka bir amaçla işlenmez.