Veri İşleyen Sözleşmesi
KVKK m.12/2 uyarınca veri sorumlusu ile veri işleyen arasında yapılması zorunlu olan yazılı sözleşme.
Bu metin taslaktır ve hukuki incelemeden geçmemiştir. Yürürlük tarihi: —.
İçindekiler
1. Taraflar ve sıfatları
| Sıfat | Taraf |
|---|---|
| Veri sorumlusu | Hizmeti kullanan eğitim kurumu (“Okul”) |
| Veri işleyen | Önder Zaman Kontrol ve Güvenlik Sistemleri |
Okul, öğrenci ve veli verilerinin hangi amaçla ve hangi yöntemle işleneceğine karar verir. Önder Zaman bu veriyi yalnızca Okul adına ve Okul’un talimatıyla işler.
2. İşlemenin konusu ve kapsamı
| Konu | Öğrenci giriş-çıkış takibi ve veli bilgilendirmesi |
|---|---|
| Süre | Hizmet sözleşmesi süresince |
| Veri kategorileri | Kimlik (ad-soyad, okul no), iletişim (telefon, e-posta), işlem güvenliği (şifre özeti, oturum), geçiş kayıtları |
| İlgili kişi grupları | Öğrenciler, veliler, okul personeli |
3. Veri işleyenin yükümlülükleri
Önder Zaman:
- Kişisel verileri yalnızca Okul’un yazılı talimatı doğrultusunda işler; kendi amaçları için kullanmaz.
- KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri alır (ayrıntı: Bilgi Güvenliği Politikası).
- Veriye erişen personelini gizlilik yükümlülüğü altına sokar; erişimi görev gereğiyle sınırlar.
- Okulların verilerini birbirinden yalıtır; bir okulun kullanıcısı başka okulun verisine erişemez.
- Okul’un ilgili kişi taleplerini karşılamasına yardımcı olur; kendisine ulaşan talepleri Okul’a yönlendirir.
- Okul’un denetim taleplerine makul ölçüde bilgi ve belge sağlar.
- Veri ihlalini öğrendiği anda gecikmeksizin Okul’a bildirir.
4. Veri sorumlusunun yükümlülükleri
Okul:
- İşlemenin hukuki sebebini belirler ve belgeler.
- Velileri ve gerektiğinde öğrencileri KVKK m.10 kapsamında aydınlatır; gereken hâllerde açık rıza alır.
- Sisteme girilen verilerin doğruluğundan ve güncelliğinden sorumludur.
- Panel kullanıcılarını ve yetkilerini yönetir; ayrılan personelin erişimini kaldırır.
- Veli kaydını onaylarken kişinin gerçekten o öğrencinin velisi olduğunu teyit eder.
- VERBİS yükümlülüğü varsa yerine getirir.
- Saklama sürelerini belirler ve Önder Zaman’a bildirir.
Veli onayı bir güvenlik kararıdır. Sistem, kaydolan kişinin gerçekten veli olup olmadığını doğrulayamaz; bunu yalnızca okul bilir. Yanlış onaylanan bir kayıt, bir çocuğun giriş-çıkış bilgisinin yetkisiz bir kişiye açılması demektir.
5. Yurt dışına aktarım
Hizmetin sunulduğu bulut altyapısı Almanya’da konumlanmıştır; veriler bu kapsamda yurt dışına aktarılmaktadır. Ayrıca anlık bildirimlerin telefona ulaşabilmesi için bildirim metni, yurt dışında konumlanan bildirim altyapılarından geçer.
Bu aktarımların KVKK m.9 kapsamındaki hukuki dayanağını sağlamak Okul’a aittir. Önder Zaman, dayanağın kurulması için gereken bilgi ve belgeleri sağlar ve talep hâlinde taahhütname sürecine katılır.
6. Alt veri işleyenler
Önder Zaman, hizmetin sunulması için alt veri işleyen kullanır. Mevcut kategoriler:
| Kategori | İşlev |
|---|---|
| Bulut altyapı sağlayıcısı | Barındırma ve yedekleme |
| Anlık bildirim altyapısı | Bildirimin telefona iletilmesi |
| E-posta sunucusu | Doğrulama ve şifre sıfırlama iletileri |
Alt veri işleyen değişikliği Okul’a önceden bildirilir. Okul, haklı bir gerekçeyle itiraz ederse çözüm birlikte aranır; anlaşma sağlanamazsa Okul sözleşmeyi feshedebilir.
7. Özel nitelikli veriler
Varsayılan kurulumda özel nitelikli kişisel veri işlenmez; biyometrik şablon sunucuda tutulmaz. Okul biyometrik yöntem talep ederse, KVKK m.6 kapsamındaki tüm yükümlülükler Okul’a ait olmak üzere ayrıca yazılı olarak kararlaştırılır.
Eşleşmeyen kart okutmaları, sonradan doğru öğrenciyle ilişkilendirilebilmesi için ham hâliyle bekletilir. Bu kayıtlar kimlikle ilişkilendirilmemiş olup Okul tarafından silinebilir.
8. Çocuklara ait veriler
İşlenen verinin önemli bölümü çocuklara aittir. Taraflar, bu verinin işlenmesinde ölçülülük ilkesine özel önem verileceğini kabul eder:
- Öğrenci hakkında yalnızca giriş-çıkış takibi için gereken alanlar tutulur.
- Bir öğrenciye en fazla iki veli bağlanabilir; sınır uygulama tarafından zorunlu tutulur.
- Veli yalnızca kendi bağlı olduğu öğrenciyi görebilir.
- Veriler pazarlama veya profilleme amacıyla kullanılmaz.
9. Veri ihlali bildirimi
Önder Zaman, bir veri ihlalini öğrendiği anda gecikmeksizin Okul’a bildirir ve bilinen kapsamı, etkilenen veri kategorilerini, olası sonuçları ve alınan tedbirleri iletir.
Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Okul’a aittir. Önder Zaman bu bildirimin hazırlanmasına destek olur.
10. Sözleşmenin sona ermesi
Hizmet sözleşmesi sona erdiğinde Önder Zaman, Okul’un tercihine göre verileri dışa aktarıp teslim eder veya siler. Teslimin ardından veriler, Okul aksini yazılı olarak bildirmedikçe otuz gün içinde silinir. Mevzuattan doğan saklama yükümlülükleri saklıdır.