CepSanayi · Veri İşleme Sözleşmesi · Sürüm 1.9 (taslak) · https://admin.cepsanayi.com/sozlesmeler/dpa
(6698 sayılı KVKK m.12/2 kapsamında veri sorumlusu ile veri işleyen arasındaki sözleşme)
1. Taraflar
Veri sorumlusu ("İşletme"): CepSanayi'ye kayıtlı, hesabını açan ve bu sözleşmeyi elektronik ortamda kabul eden oto servis / sanayi işletmesi. Kimlik bilgileri, hesap açılışında ve fatura bilgileri ekranında verdiği bilgilerdir (işletme adı, ticari unvan, vergi dairesi, VKN/TCKN, adres).
Veri işleyen ("CepSanayi"): Taner Atabay (şahıs işletmesi; marka: CepSanayi), Valide-i Atik Mah. Köprülü Fazılpaşa Sk. Alkım Apt. No: 12 İç Kapı No: 5, Üsküdar / İstanbul, vergi dairesi: Üsküdar, KEP: taner.atabay@hs01.kep.tr, telefon: 0534 490 49 53, e-posta: destek@cepsanayi.com, Canlı destek: cepsanayi.com.
2. Tanımlar
KVKK'daki tanımlar geçerlidir. Ayrıca:
- Platform: cepsanayi.com işletme paneli (
/panel), CepSanayi mobil uygulaması, müşteri sitesi (vitrin, takip/onay/yorum/bakım kartı bağlantıları) ve bunların API'si. - İşletme Verileri: İşletmenin Platform'a girdiği ya da İşletme adına Platform'da oluşan, §4'te sayılan kişisel veriler.
- Alt işleyen: CepSanayi'nin İşletme Verilerini işlemek için kullandığı üçüncü kişi hizmet sağlayıcı.
- Veri ihlali: İşletme Verilerinin kanuna aykırı olarak başkaları tarafından elde edilmesi (KVKK m.12/5) ya da bu şüphesi.
3. Sözleşmenin konusu ve rollerin ayrımı
3.1. İşletme, kendi müşterilerine, araçlarına, iş emirlerine ve personelinin vardiya konumuna ilişkin kişisel verilerin veri sorumlusudur. İşleme amacını ve araçlarını İşletme belirler; hukuki sebebi (sözleşme, hukuki yükümlülük, meşru menfaat, açık rıza) sağlamak, ilgili kişileri aydınlatmak ve gerektiğinde rıza almak İşletme'nin yükümlülüğüdür.
3.2. CepSanayi, bu verileri yalnız İşletme adına ve İşletme'nin talimatıyla işleyen veri işleyendir.
3.3. CepSanayi; İşletme sahibi ve personelinin Platform hesapları (ad, telefon, e-posta, şifre, oturum, hareket günlüğü, fatura ve abonelik kayıtları), bayiler ve site ziyaretçileri bakımından ayrıca veri sorumlusudur. Bu veriler bu sözleşmenin değil, CepSanayi Gizlilik Politikası'nın konusudur.
3.4. Kod karşılığı: İşletme Verileri veritabanında business_id ile işaretlenir ve her
sorgu yalnız o işletmenin kayıtlarıyla otomatik olarak sınırlanır (BelongsToBusiness
kiracı ayrımı).
4. İşlemenin kapsamı
| Başlık | İçerik |
|---|---|
| İlgili kişi grupları | İşletmenin müşterileri (araç sahibi/kullanıcısı); randevu talebi gönderen ve yorum yazan kişiler; İşletme personeli (vardiya konumu bakımından) |
| Veri kategorileri | Kimlik (ad-soyad); iletişim (telefon, ikinci telefon, e-posta); araç (plaka, marka, model, yıl, şasi no, motor no, renk, km); müşteri işlem (iş emri, iş kalemleri, parçalar, ek masraf onayı, teslim/kabul kontrol listesi, not); finans (ödeme ve tahsilat kaydı, ödeme bağlantısı); görsel (araç fotoğrafı); iletişim kaydı (gönderilen bilgilendirme iletisinin metni, kanalı, zamanı; e-posta gönderim izi: tür, zaman, durum — adres ve içerik yok); tercih (iletişim tercihi, ticari ileti izni ve zamanı, müşterinin izni e-postadaki bağlantıyla geri aldığı an, fotoğraf izni); yorum (puan, yorum metni, İşletme'nin cevabı); konum (personelin vardiya süresince son konumu; aracın park yeri); meslek kaydı (İşletme'nin mesleğine göre iş emrine eklenen iş kartları; aşağıdaki liste) |
| Meslek kayıtları (tek tek) | Her kayıt iş emrine ve araca bağlıdır; müşteriye yalnız usta "Müşteri görsün" dediği alanlar gösterilir. Lastik: lastik kartı ve motosiklet lastik kartı (diş derinliği, basınç, üretim yılı, marka/ebat), rot ve balans raporu (ölçüm değerleri), lastik oteli kaydı (raf yeri, giriş-çıkış tarihi, lastik fotoğrafı). Mekanik: bakım kartı (km, gösterge fotoğrafı, yağ ve filtreler, balata/disk ölçümü, sonraki bakım km/tarihi), arıza tespiti (OBD arıza kodları), değişen parça kaydı (eski ve yeni parça fotoğrafı). Oto elektrik: arıza tespiti (elektrik), akü testi ve değişimi (voltaj, CCA, garanti bitiş tarihi, kodlama bilgisi), uykuda akü tüketimi (kaçak akım ölçümü). Oto klima: klima servis kartı (gaz tipi ve miktarı, sıcaklık ölçümleri, polen filtresi). Motosiklet: motosiklet bakım kartı (km, yağ, zincir-dişli), kış saklama bakımı. Kaporta: hasar haritası ve onarım (panel, göçük sınıfı, fotoğraf, sigorta dosya bilgisi). Boya: boya işlem kartı (renk kodu, mikron ölçümü, deneme fotoğrafı, müşterinin renk onayı ve zamanı). Oto cam: cam işlem kartı (cam özellikleri, güvenli teslim zamanı, kalibrasyon). Egzoz: egzoz işlem kartı (ölçümler, DPF/katalizör işlemi, muayene/emisyon tarihi, işten önce ve sonra motor sesi kaydı). Genel servis: çok noktalı kontrol (yeşil/sarı/kırmızı sonuçları), muayene öncesi kontrol. Meslek kaydı kimlik verisi içermez; araç ve iş emri üzerinden müşteriyle ilişkilidir |
| Özel nitelikli veri | Platform özel nitelikli veri için tasarlanmamıştır. İşletme serbest metin alanlarına (not, iş açıklaması) sağlık, ceza mahkûmiyeti vb. veri girmemeyi kabul eder |
| İşleme faaliyetleri | Kaydetme, saklama, düzenleme, görüntüleme, arama, raporlama (aylık rapor e-postası dahil, yalnız İşletme'nin kendi kullanıcılarına), dışa aktarma (CSV), İşletme'nin başlattığı iletilerin hazırlanması ve gönderilmesi, İşletme'nin yorum cevabının müşteriye bildirilmesi (§6.3), müşterinin e-postadaki ret bağlantısıyla verdiği geri almanın kayda işlenmesi (§6.3), İşletme'nin açtığı sadakat programında araç başına tamamlanan servislerin iş emri kayıtlarından sayılması ve ilerlemenin müşteriye gösterilmesi (takip sayfasında ve takip bağlantısıyla eklenen araç için müşteri hesabında; bakım kartında gösterilmez), atölye panosu ve bekleme salonu ekranında gösterim (§6.6), meslek kayıtlarının iş emrinde saklanması ve İşletme'nin seçtiği alanların takip sayfasında gösterilmesi, bakım kartı sayfasında yalnız işletme bilgisi, maskeli plaka, araç marka/modeli ve sıradaki bakımların gösterilmesi (kart sayfası servis geçmişi, açık iş, bakiye ya da bakım karnesi göstermez; plaka doğrulaması yalnız aracın müşteri hesabına eklenmesi içindir), boya renk onayı için müşteriye iletilen tek kullanımlık onay bağlantısıyla verilen onayın kaydı (bağlantı 24 saat geçerlidir ve bir kez kullanılınca geçersizleşir), egzoz işinde motor sesi kaydı (en çok 10 saniye, en çok 2 MB, kaydeden personelin "konuşma yok" beyanıyla; iş emri silinince ses dosyası da silinir), eksper dosyasının yazdırılması ya da fotoğraflarıyla birlikte ZIP olarak indirilmesi (yalnız Patron, Usta ve Muhasebe rolleri; tutarlar yalnız tutar görme yetkisi olan rollere), İşletme'nin parça siparişinin seçilen parçacıya iletilmesi (§6.8; müşteri verisi aktarılmaz), silme |
| Amaç | İşletme'nin servis hizmetini yürütmesi, müşterisini bilgilendirmesi, kayıt tutması ve raporlaması |
| Süre | Sözleşme süresi + §12'deki iade/silme süresi |
5. İşletme'nin talimatları
5.1. İşletme'nin Platform'u kullanması talimattır: bir kaydı girmek, değiştirmek, silmek, bir ileti göndermek, bir anahtarı açmak veya kapatmak, CepSanayi'ye verilmiş belgelenmiş talimat sayılır. Ek talimatlar destek@cepsanayi.com'a yazılı verilir.
5.2. CepSanayi, bir talimatın KVKK'ya veya başka bir mevzuata aykırı olduğunu düşünürse İşletme'yi gecikmeksizin bilgilendirir ve talimatı yerine getirmeyi askıya alabilir.
5.3. CepSanayi İşletme Verilerini kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz, diğer işletmelerle paylaşmaz. İstisnalar yalnız şunlardır:
- İşletme'nin kendi talimatıyla yaptığı ya da sözleşmeyle kararlaştırılan paylaşımlar (§6; Ortak Araç Geçmişi için §6.1);
- Hizmetin sunulması ve güvenliği için zorunlu teknik işlemler (yedek, hata ayıklama, kötüye kullanım önleme);
- Kişiye bağlanamayan toplu istatistik (ör. işletme sayfasının görüntülenme sayısı, günlük iş emri sayısı). Bu istatistikler kişisel veri içermez.
5.4. Kanunen yetkili bir kurum İşletme Verilerini isterse CepSanayi, yasak yoksa, İşletme'yi önceden bilgilendirir ve yalnız zorunlu olan kadarını verir.
6. Paylaşımlar (İşletme'nin talimatıyla ya da sözleşmeyle kararlaştırılan)
6.1. Ortak Araç Geçmişi. Taraflar, Abonelik ve Üyelik Sözleşmesi Madde 14 ile şunu kararlaştırır: 12 Kasım 2026 00:00'dan (Türkiye saati) itibaren hazır ya da teslim edilen her iş emrinin aşağıdaki anonim kaydı Ortak Araç Geçmişi'ne katılır ve Premium ya da Enterprise paketindeki diğer işletmelerce, yalnız kendi araç kayıtlarında bulunan plakayla sorgulanabilir. Bu katılım İşletme'nin bir ayarla verdiği talimata değil, sözleşmeyle kararlaştırılan zorunlu anonim katılıma dayanır; İşletme katılımı genel olarak kapatamaz. İşin hazır ya da teslim edildiği an, Platform sunucusunun kaydettiği zamandır.
- Kayıtta görünenler (yalnız bunlar): yapılan iş kalemleri (Platform'un iş kalemi kataloğundan seçilen adlar), servis tarihi (gün), marka, model, model yılı, km, işin durumu (hazır / teslim) ve sorgulanan plaka.
- Asla görünmeyenler: İşletme'nin adı, il ve ilçesi (kayıt her zaman "Başka bir servis" olarak gösterilir); tutar, fiyat ve ödeme; müşteri adı, telefonu, e-postası ve adresi; iç notlar, ustanın ve İşletme'nin serbest metin özetleri, parça özeti; fotoğraflar. Kaydın kimliği sıra numarası değildir; sorgulayana özel, tahmin edilemeyen bir değerdir.
- Tekil gizleme: İşletme belirli bir işi iş emri ayrıntısındaki "Bu işi ortak geçmişte gizle" seçeneğiyle Ortak Araç Geçmişi'nden çıkarabilir ve yeniden katabilir.
- İtiraz: Araç sahibi, kaydın Ortak Araç Geçmişi'nde görünmesine KVKK m.11 uyarınca itiraz edebilir. İtiraz İşletme'ye gelirse İşletme değerlendirir ve haklıysa ilgili işi gizler. İtiraz CepSanayi'ye gelirse CepSanayi §13.1'e göre İşletme'ye iletir; ayrıca ilgili işi yönetim panelinden Ortak Araç Geçmişi'nden çıkarabilir.
- Önceki kayıtlar: 12 Kasım 2026 00:00'dan önce hazır ya da teslim edilen işler önceki kurala tabidir: yalnız İşletme önceki düzende ortak geçmiş paylaşımını açarak talimat vermişse görünmeye devam eder; bu kayıtlar da yukarıdaki anonim alanlarla gösterilir. Bu talimatı yalnız İşletme sahibi (Patron rolü) ve tek yönlü geri alabilir ("Eski kayıtları ortak geçmişten çek"); geri alınan talimat yeniden verilemez ve 12 Kasım 2026 ve sonrasındaki işlerin katılımını etkilemez. İşlem denetim kaydına yazılır.
- Okuma: Okuma hakkı İşletme'nin paketine (Premium, Enterprise) bağlıdır; İşletme'nin kendi işlerinin katılmasına bağlı değildir. Demo hesap okumaz ve kayıt vermez; sözleşmesi sona eren ya da kapanan İşletme'nin kayıtları Ortak Araç Geçmişi'nden çıkar.
- Yalnız kendi kaydındaki araç: İşletme ortak geçmişi yalnız kendi araç kaydında bulunan bir plaka için arayabilir ve görüntüleyebilir; kaydı olmayan rastgele bir plakaya bakılamaz ve böyle bir sorgu "kayıt var" bilgisi de vermez, kotadan düşmez.
- Her arama ve görüntüleme; arayan işletme, kullanıcı, plaka, IP adresi ve tarayıcı bilgisiyle kayda geçer; günlük arama kotası vardır, aşımda kayıt şüpheli olarak işaretlenir.
- Hukuki sebep ve aydınlatma: Bu işlemenin hukuki sebebi meşru menfaattir (KVKK m.5/2-f: araç geçmişinin doğruluğu, kilometre ve hasar şeffaflığı, servis güvenliği). İşletme, kendi müşteri aydınlatma metninde Ortak Araç Geçmişi'ne yer verir; CepSanayi örnek metni araç sahipleri aydınlatma metninin Bölüm B şablonunda sağlar ve kendi aydınlatma metninde de anlatır. Plakanın kişisel veri sayılabileceği ve bu işlemede tarafların rolü (kuralları CepSanayi belirlediği için CepSanayi'nin ayrıca ya da birlikte veri sorumlusu sayılıp sayılmayacağı) hukuki değerlendirme konusudur.
6.2. Vitrin fotoğrafı. İş emrinde "fotoğraf izni" (photo_consent) işaretlenmedikçe
araç fotoğrafı işletmenin herkese açık sayfasında gösterilmez. İzni müşteriden almak ve
ispatlamak İşletme'nindir.
6.3. İletiler. Müşteriye e-posta, yalnız İşletme'nin başlatmasıyla ya da İşletme'nin açtığı otomatik akışlarla (ör. yorum daveti hatırlatması) ve yalnız müşteri kartında iletişim onayı işaretliyse gönderilir. WhatsApp iletileri CepSanayi sunucusundan gönderilmez; CepSanayi bir bağlantı üretir, ileti İşletme'nin kendi telefonundan gider.
- Ticari nitelikli iletiler: Yorum ricası (teslim e-postasındaki değerlendirme çağrısı dahil), 7 gün sonraki yorum hatırlatması ve yorum cevabı bildirimi, iletişim onayına ek olarak müşteri kartındaki ticari ileti iznini ister. Bu izni müşteriden almak, ispatlamak ve (gerekiyorsa) kendi İYS yükümlülüklerini yerine getirmek İşletme'nindir.
- Yorum cevabı bildirimi: İşletme bir yoruma cevap yazdığında, yorum müşteri hesabı olmadan yazılmışsa ve yorumun bağlı olduğu iş emrinin müşteri kaydında e-posta adresi, iletişim onayı ve ticari ileti izni varsa CepSanayi, cevaptan en az 10 dakika sonra ve 48 saat içinde, İşletme adına bir kez (yalnız ilk cevap) e-postayla müşteriye haber verir. İşletme'nin cevap yazması bu gönderim için talimattır. Yorum müşteri hesabıyla yazılmışsa haber CepSanayi'nin kendi hesap sahibine yaptığı bildirimdir (bu sözleşmenin konusu değildir); İşletme'ye kime bildirim gittiği ya da gitmediği söylenmez.
- Ret bağlantısı: Ticari nitelikli her e-postada "{İşletme} iletilerini durdur" bağlantısı bulunur. İşletme, müşterinin bu bağlantıyla verdiği geri almanın CepSanayi tarafından gecikmeksizin ve doğrudan müşteri kaydına işlenmesine talimat verir: ticari ileti izni kapanır, geri alma anı kayda yazılır, İşletme'nin hareket günlüğüne "Müşteri (e-posta bağlantısı)" kaydı düşer. Bağlantı yalnız o İşletme'nin o müşteri kaydını değiştirir. Aracın servis bilgilendirmeleri bundan etkilenmez.
- Geri alınan iznin yeniden açılması: Müşteri izni bağlantıyla geri aldıysa İşletme izni ancak müşteriden yeniden izin aldığını panelde ya da mobil uygulamada ayrıca onaylayarak açabilir; aksi hâlde Platform kaydı reddeder. Beyan, beyanı veren kullanıcıyla birlikte CepSanayi'nin denetim kaydına yazılır. Beyanın doğruluğundan ve iznin ispatından İşletme sorumludur (§16.2).
- Bakım hatırlatması: Platform'un hatırlatma listesi, ticari ileti izni olmayan müşteri için hazır mesaj göstermez; hatırlatmayı İşletme kendi telefonundan gönderir.
- CepSanayi, bağlantıyla verilen geri almayı İYS'ye bildirmez; İşletme'nin kendi İYS kaydı ve ret yönetimi İşletme'nin sorumluluğundadır.
6.4. Takip, onay, yorum ve bakım kartı bağlantıları. Tahmin edilemez belirteçli bağlantılardır; bağlantıyı alan herkes ilgili sayfayı görebilir. Bağlantıyı kime göndereceğine İşletme karar verir.
6.5. Personel vardiya konumu. Yalnız personelin kendi cihazında verdiği açık rızayla ve vardiya açıkken işlenir; yalnız son konum tutulur (§11).
6.6. Atölye panosu ve bekleme salonu ekranı. İşletme, dükkânındaki bir TV ya da tablete araçların aşamasını gösteren bir ekran bağlayarak CepSanayi'ye şu talimatı vermiş olur: açık iş emirleri o ekranda gösterilsin.
- Bekleme salonu ekranında plaka kısaltılır (yalnız il kodu), marka/model/renk ve aşama görünür. Atölye ekranında plaka tam yazar; bu ekranı müşterilerin göreceği yere koymamak İşletme'nin yükümlülüğüdür.
- Hiçbir bağlı ekranda müşteri adı, telefonu, tutar, not ya da personel adı gösterilmez.
- İşletme, müşterisi istemezse aracı iş emrinden bekleme salonu ekranında gizler.
- Ekran yalnız İşletme'nin kendi kaydını gösterir; CepSanayi gösterim için ayrı bir kayıt tutmaz. Ekran bağı kesilince ya da 90 gün açılmayınca düşer.
6.7. Sadakat programı. Program İşletme'nin kendi kampanyasıdır; koşullarını müşterisine İşletme taahhüt eder, indirimi İşletme uygular. CepSanayi, İşletme'nin talimatıyla sayımı iş emri kayıtlarından yapar ve ilerlemeyi §4'teki yüzlerde gösterir; ayrı bir kayıt tutmaz.
6.8. Parça siparişi (Parçacı Ağı). İşletme, Parçacı Ağı'nda bir parçacıdan parça hazırlatarak CepSanayi'ye şu talimatı vermiş olur: sipariş, seçtiği parçacıya iletilsin.
- Parçacıya yalnız şunlar iletilir: İşletme'nin adı, telefonu, il/ilçesi ve adresi; sipariş kalemleri, adetleri, fiyatları ve toplamı; ödeme yöntemi bilgisi (ödeme CepSanayi'den geçmez) ve sipariş notu.
- Asla iletilmeyenler: müşteri (araç sahibi) adı, telefonu, plakası ve diğer müşteri verileri; iş emirleri; siparişi veren personelin adı. Sipariş notuna plaka ya da telefon numarası yazılırsa Platform siparişi kaydetmez ve nedenini söyler. Nota müşteri verisi yazmamak İşletme'nin yükümlülüğüdür.
- Parçacı, iletilen bilgileri Parçacı Kullanım Sözleşmesi m.6 uyarınca yalnız o siparişi hazırlamak, teslim etmek, faturalamak ve sipariş hakkında İşletme ile iletişim kurmak için kullanabilir; pazarlamada kullanamaz, üçüncü kişilere aktaramaz.
- İşletme'nin kendi verileri (ad, telefon, adres) bakımından bu aktarım, İşletme'nin aydınlatma metninde (01, §5) anlatılır; bu sözleşmenin konusu olan müşteri verisi parçacıya aktarılmaz.
7. Gizlilik
7.1. CepSanayi, İşletme Verilerine erişen çalışanlarının ve yüklenicilerinin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük sözleşme bittikten sonra da sürer.
7.2. CepSanayi personelinin İşletme Verilerine erişimi destek, güvenlik ve hukuki yükümlülük amaçlarıyla ve gerektiği kadarla sınırlıdır. Kod karşılığı: yönetim panelindeki listelerde müşteri adı ve telefonu maskelenir; maskesiz ayrıntı ekranı açıldığında bu erişim denetim kaydına yazılır.
8. Güvenlik tedbirleri (KVKK m.12/1)
CepSanayi aşağıdaki teknik ve idari tedbirleri uygular. Bu liste koddaki gerçek durumu anlatır.
Teknik
| Tedbir | Açıklama |
|---|---|
| Aktarımda şifreleme | Bütün trafik HTTPS/TLS |
| Kiracı ayrımı | Her işletmenin kayıtları business_id ile ayrılır, sorgular otomatik süzülür; işletmeler arası erişim yalnız §6.1'deki arındırılmış yoldan |
| Rol bazlı yetki | Patron, usta, muhasebe vb. roller; tutar içeren bilgiler yetkisiz rolde hiç gösterilmez; dışa aktarma yalnız Patron ve Muhasebe rolünde |
| Parola güvenliği | Parolalar geri döndürülemez özetle saklanır |
| Alan şifreleme | İki adımlı doğrulama sırları, Instagram erişim anahtarı veritabanında şifreli |
| İki adımlı doğrulama | Yönetim ve bayi panellerinde mevcut (zorunluluğu şu an kapalı; bkz. Ek-A) |
| Oturum güvenliği | Web panel oturumu httpOnly, SameSite, üretimde Secure çerezde; belirteç tarayıcı koduna inmez; web oturumları 30 günde düşer |
| Hız sınırları | API geneli dakikada 120 istek; Ortak Araç Geçmişi dakikada 30; dışa aktarma dakikada 10 |
| Özel depo | İş havuzu fotoğrafları herkese kapalı ayrı depoda; yalnız yetkili istekle gösterilir, orijinal hiç gösterilmez |
| Veri azaltma | Hareket günlüğünde müşteri adı/telefon/plaka yerine sayısal referans; hata izlemede telefon, plaka, e-posta, TC desenleri gönderimden önce maskelenir; site ölçümünde ham IP saklanmaz |
| Denetim kaydı | Yönetim işlemleri, dışa aktarmalar, rıza değişiklikleri, hesap silme, Ortak Araç Geçmişi aramaları kayıt altında |
| Otomatik imha | Saklama süresi dolan veriler için günlük zamanlanmış komutlar; her birinin son çalışma zamanı yönetim panelinde izlenir |
| Yedek | Her yazılım güncellemesinden önce veritabanı dökümü alınır |
İdari: Erişim ihtiyaç ilkesiyle verilir ve 6 ayda bir gözden geçirilir; ayrılan kişinin erişimi aynı gün kapatılır; çalışanlara yılda en az bir kez KVKK eğitimi verilir; alt işleyenlerle yazılı sözleşme yapılır.
9. Alt işleyenler
9.1. İşletme, aşağıdaki alt işleyenlerin kullanılmasına genel yazılı izin verir:
| Alt işleyen | Hizmet | İşlenen İşletme Verisi | Konum |
|---|---|---|---|
| Hetzner Online GmbH | Sunucu ve veritabanı barındırma | Bütün İşletme Verileri | Almanya |
| Cloudflare, Inc. (R2) | Fotoğraf depolama | Araç fotoğrafları, iş havuzu fotoğrafları | |
| Functional Software, Inc. (Sentry) | Hata izleme | Hata anındaki teknik bağlam; kişisel veri desenleri maskelenir | AB veri bölgesi |
| Google LLC (Firebase Cloud Messaging) | Mobil bildirim iletimi | Bildirim başlığı ve metni (plaka içerebilir), cihaz belirteci | ABD |
Atak Domain e-posta hizmeti (smtp.maillb.com) |
E-posta gönderimi | Müşteri e-posta adresi ve ileti içeriği (servis bilgilendirmesi, yorum daveti ve hatırlatması, İşletme'nin yorum cevabı, ret bağlantısı); İşletme kullanıcılarına giden aylık rapor e-postasındaki toplu sayılar | Türkiye |
Ödeme kuruluşu (iyzico — İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) İşletme'nin kendi müşterisinden tahsilatında kullanılırsa listeye eklenir; bugün Platform'da kartlı ödeme altyapısı kapalıdır.
9.2. CepSanayi, alt işleyen ekleme veya değiştirmeyi en az 30 gün önceden panel bildirimi ve e-postayla duyurur. İşletme bu süre içinde haklı bir gerekçeyle itiraz edebilir; uzlaşılamazsa İşletme sözleşmeyi cezasız feshedebilir ve peşin ödenmiş, kullanılmamış dönem bedeli iade edilir.
9.3. CepSanayi, alt işleyenlere bu sözleşmedeki yükümlülüklerden daha hafif olmayan yükümlülükleri yazılı olarak yükler ve alt işleyenin eylemlerinden İşletme'ye karşı sorumludur.
10. Yurt dışına aktarım
10.1. §9'daki alt işleyenlerin bir kısmı yurt dışındadır. Bu aktarımlar düzenli ve süreklidir, bu yüzden açık rızaya dayandırılmaz. CepSanayi bu aktarımlar için KVKK m.9 uyarınca Kurul'un ilan ettiği standart sözleşmeyi alt işleyenlerle imzalar ve imzadan itibaren 5 iş günü içinde Kurum'a bildirir.
10.2. İşletme, CepSanayi'ye §9'daki yurt dışı aktarımlar için talimat verir. Hangi tarafın standart sözleşmede "veri ihracatçısı" olacağı hukuki değerlendirmeyle belirlenir.
11. Saklama ve vardiya konumu
11.1. İşletme Verileri, İşletme silene ya da sözleşme sona erene kadar saklanır. Aşağıdaki süreler Platform'da otomatik uygulanır:
| Veri | Süre |
|---|---|
| Personel vardiya konumu | Yalnız son konum; İş Sonu'nda, rıza geri çekilince, mobil oturum kapanınca ve vardiya otomatik kapanınca derhal silinir |
| İş havuzu fotoğrafı | Orijinal 30 gün, türev 90 gün (anlaşmazlık incelemesindeyken beklemeye alınır) |
| Hareket günlüğü | 365 gün; para, personel ve ayar işlemleri 730 gün |
| Bakım kartı okutma kaydı | 90 gün |
| Müşteriye giden e-postaların gönderim izi (müşteri kaydı numarası, yorum numarası, tür, zaman, durum; adres ve içerik yok) | 400 gün; müşteri kaydı kalıcı silinince ve İşletme verileri imha edilirken hemen |
| Müşterinin ileti iznini bağlantıyla geri alma ve İşletme'nin yeniden açma izi (müşteri kaydı numarası, işletme, zaman, beyanı veren kullanıcı; adres yok) | CepSanayi denetim kaydında kayıttan 10 yıl (ispat); müşteri kaydı silinse de kalır |
Ayrıntı: CepSanayi Veri Saklama ve İmha Politikası (08).
11.2. İşletme'nin sildiği müşteri, araç ve iş emri kayıtları panelde görünmez hâle gelir ve silmeden 90 gün sonra fotoğraflarıyla birlikte otomatik olarak kalıcı silinir. CepSanayi üzerinden online tahsilat kaydı bulunan iş emri, yasal saklama gereği silinmez; kişiyi tanımlayan alanları boşaltılarak anonim hâle getirilir.
12. Sözleşme sona erdiğinde iade ve silme
12.1. İade: İşletme, abonelik durumundan bağımsız olarak panelden şu verileri CSV olarak her zaman indirebilir: iş emirleri, müşteriler, araçlar, ödemeler, hareket günlüğü (Patron veya Muhasebe rolü). Fotoğraflar için toplu indirme bugün yoktur; İşletme'nin yazılı talebiyle CepSanayi fotoğrafları 30 gün içinde toplu olarak teslim eder.
12.2. Silme: Sözleşme sona erdikten (hesap kapatma, fesih veya abonelik bitiminden sonra yenilenmeme) itibaren İşletme'ye 90 gün verileri indirme süresi tanınır. Bu sürenin sonunda CepSanayi İşletme Verilerini, kanunen saklaması zorunlu olanlar hariç, en geç 6 ay içindeki ilk periyodik imhada siler veya anonim hâle getirir ve talep edilirse imhayı yazılı olarak teyit eder. Yedeklerdeki kopyalar yedek döngüsüyle en geç 30 gün içinde kendiliğinden yok olur.
12.3. İşletme, ticari kayıtlarını (TTK/VUK kapsamındaki iş emri ve tahsilat kayıtları) kanuni süre boyunca kendisi saklamakla yükümlüdür; bunun için §12.1'deki dışa aktarmayı kullanır.
12.4. İşletme sahibinin kendi kullanıcı hesabını silmesi sözleşmenin sona ermesi değildir; işletmede başka yetkili varsa İşletme Verileri korunur.
13. İlgili kişi başvuruları ve işbirliği
13.1. CepSanayi'ye doğrudan bir ilgili kişi başvurusu gelirse (ör. işletmenin müşterisi), CepSanayi başvuruyu 5 iş günü içinde İşletme'ye iletir ve başvuru sahibini veri sorumlusunun İşletme olduğu konusunda bilgilendirir. Başvuruyu İşletme adına sonuçlandırmaz. İstisna: müşterinin ticari nitelikli bir e-postadaki ret bağlantısıyla verdiği geri alma, İşletme'nin §6.3'teki talimatıyla doğrudan uygulanır ve İşletme bunu müşteri kartında ve hareket günlüğünde görür.
13.2. CepSanayi, İşletme'nin KVKK m.11 başvurularını 30 gün içinde yanıtlayabilmesi için Platform'daki araçları (arama, düzeltme, silme, dışa aktarma) sağlar; bunlar yetmezse cepsanayi.com'daki Canlı destek ve destek@cepsanayi.com üzerinden yardım eder.
13.3. CepSanayi, İşletme'nin Kurul'a karşı yükümlülüklerinde (veri ihlali bildirimi, Kurul talepleri, VERBİS) makul ölçüde bilgi ve belge sağlar.
14. Veri ihlali bildirimi
14.1. CepSanayi, İşletme Verilerini etkileyen bir veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde İşletme'ye panel bildirimi ve e-postayla bildirir. Bu süre, İşletme'nin Kurul'a 72 saat içinde bildirim yapabilmesi (Kurul'un 24.01.2019 tarih ve 2019/10 sayılı kararı) için bırakılmış paydır.
14.2. Bildirimde, o an bilinebildiği kadarıyla: ihlalin zamanı ve nasıl fark edildiği, etkilenen veri kategorileri ve yaklaşık kayıt/kişi sayısı, olası sonuçlar, alınan ve önerilen tedbirler, CepSanayi irtibat kişisi yer alır. Bilgi toplandıkça tamamlanır.
14.3. İlgili kişilere ve Kurul'a bildirim İşletme'nin yükümlülüğüdür. CepSanayi İşletme'nin yazılı talebi olmadan İşletme'nin müşterileriyle doğrudan iletişime geçmez; ancak aynı ihlal birden çok işletmeyi etkiliyorsa, işletmelerin talebiyle ortak bir bildirim metni hazırlayabilir.
14.4. CepSanayi'nin kendi veri sorumlusu olduğu verilerde (Platform hesapları) Kurul'a 72 saat içinde bildirim CepSanayi'nin yükümlülüğüdür.
15. Denetim hakkı
15.1. İşletme, bu sözleşmeye uyumu denetlemek için yılda bir kez, en az 30 gün önceden yazılı bildirimle, CepSanayi'den bilgi ve belge (güvenlik tedbirleri özeti, alt işleyen listesi, imha tutanakları) isteyebilir. CepSanayi bunları 30 gün içinde verir.
15.2. Belgeler yetersiz kalırsa ya da bir veri ihlali ya da Kurul incelemesi varsa İşletme, gizlilik taahhüdü imzalamış bağımsız bir denetçiyle, mesai saatleri içinde, diğer işletmelerin verilerine erişmeden ve hizmeti aksatmadan yerinde veya uzaktan denetim yaptırabilir. Denetimin maliyeti İşletme'ye aittir; denetimde bu sözleşmeye önemli bir aykırılık bulunursa CepSanayi'ye aittir.
15.3. Kurul'un talep ettiği denetim ve bilgi istemleri bu sınırlara tabi değildir.
16. Sorumluluk
16.1. Taraflar, kendi kusurlarından doğan zarardan sorumludur. KVKK m.12/2 uyarınca veri sorumlusu ile veri işleyen, güvenlik tedbirlerinin alınmasından ilgili kişilere karşı müştereken sorumludur; iç ilişkide sorumluluk kusur oranına göre paylaşılır.
16.2. İşletme'nin hukuki sebep olmadan girdiği veri, alınmamış rıza, yapılmamış aydınlatma veya aykırı talimat sonucu doğan zarardan İşletme sorumludur.
16.3. Kullanım Koşulları'ndaki sorumluluk sınırları, KVKK'ya aykırılıktan doğan ve kanunen sınırlanamayan sorumluluğu kısıtlamaz.
17. Süre, değişiklik, uygulanacak hukuk
17.1. Bu sözleşme İşletme'nin elektronik kabulüyle yürürlüğe girer ve Platform kullanımı süresince, §12 yükümlülükleri tamamlanana kadar yürürlükte kalır.
17.2. CepSanayi bu sözleşmeyi değiştirirse en az 30 gün önceden panel bildirimi ve e-postayla duyurur; alt işleyen değişikliklerinde §9.2 uygulanır.
17.3. Türk hukuku uygulanır. Uyuşmazlıklarda İstanbul (Anadolu) mahkemeleri ve icra daireleri yetkilidir.
17.4. Bu sözleşme ile Kullanım Koşulları arasında kişisel verilere ilişkin çelişki olursa bu sözleşme uygulanır.