Veri İşleme Sözleşmesi
Sürüm: 4 Ekim 2026
1. Kapsam ve roller
Bu Veri İşleme Sözleşmesi, Simpux Bilişim Ltd. Şti. ("Veri İşleyen") ile Müşteri arasındaki Kullanım Şartları'nın parçasıdır ve Veri İşleyen'in yönetilen EnterpriseBrew hizmeti üzerinden Müşteri adına işlediği kişisel verilere ("Müşteri Kişisel Verisi") uygulanır. Müşteri veri sorumlusudur (veya kendi veri sorumlusu adına hareket eden bir veri işleyendir); Simpux KVKK m. 12 anlamında veri işleyen, GDPR m. 28 anlamında processor'dır.
2. Talimatlar
Veri İşleyen, Müşteri Kişisel Verisi'ni yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler: Kullanım Şartları, bu sözleşme ve Müşteri'nin hizmette yaptığı yapılandırma. Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir. Kanunen başka bir işleme gerekirse, kanun yasaklamadıkça önce Müşteri'ye bildirir.
3. İşlemenin ayrıntıları (Ek I)
• Konu ve amaç: Müşteri'nin bilgisayarlarındaki Homebrew paket kurulumlarının yönetimi, önbelleğe alınması ve denetimi; zafiyet kontrolleri; cihaz envanteri; Müşteri'nin bunları yönetmesi. • Süre: Kullanım Şartları süresi ile aşağıdaki teslim ve silme süreleri. • İlgili kişiler: Müşteri'nin yöneticileri, geliştiricileri ve bilgisayarlarının diğer kullanıcıları. • Kişisel veriler: ad, kullanıcı adı, e-posta; bilgisayar adı, seri numarası, donanım UUID'si, işletim sistemi ve mimari; kurulu paketler ve sürümleri; zamanıyla kurulum, yükseltme ve kaldırma olayları; IP adresleri; Müşteri'nin kimlik sağlayıcısından, MDM'inden veya SCIM'den gelen dizin grubu üyelikleri; kurulumu çalıştıran programa ilişkin bilgiler (üst süreçler, yapay zekâ ajanı işaretleri, terminal bağlı olup olmadığı); yönetici işlem kayıtları; paket talepleri ve gerekçeleri. • Özel nitelikli veri: işlenmesi amaçlanmaz; Müşteri serbest metin alanlarına özel nitelikli veri girmez. • Sıklık: sürekli.
4. Gizlilik
Müşteri Kişisel Verisi'ni işlemeye yetkili herkes gizlilik yükümlülüğü altındadır.
5. Güvenlik tedbirleri (Ek II)
Veri İşleyen, KVKK m. 12 ve GDPR m. 32'nin gerektirdiği teknik ve idari tedbirleri alır; bunlar arasında: • her çalışma alanının kiracı düzeyinde ayrılması; • tüm trafikte TLS; saklanan sırların şifrelenmesi; şifreli yedekler; • SSO (SAML, OIDC, LDAP), Müşteri'nin zorunlu kılabildiği MFA, rol tabanlı erişim; • hash zinciriyle değiştirilemez yönetici işlem kaydı; • üretim ortamına yönetici erişiminin yalnızca kişiye özel anahtarlarla WireGuard üzerinden olması; • CIS Kubernetes Benchmark'a göre sertleştirilmiş sunucular; kendi bağımlılıklarımızın zafiyet yönetimi; • veritabanının belirli bir ana geri döndürülebilmesi ve başka bir sağlayıcıda felaket kurtarma kopyası; • yazılı bir olay müdahale süreci vardır. Veri İşleyen bu tedbirleri geliştirebilir, ancak genel koruma düzeyini düşürmez.
6. Alt veri işleyenler
Müşteri, Alt-İşleyiciler sayfasındaki alt veri işleyenlere genel yetki verir. Yeni veya değişen bir alt veri işleyeni o sayfada ve çalışma alanı sahibine e-postayla en az 30 gün önceden duyururuz. Müşteri makul bir veri koruma gerekçesiyle itiraz edebilir; itirazı çözemezsek Müşteri ilgili hizmeti feshedip peşin ödediği ücretin kalan kısmını geri alabilir. Her alt veri işleyen en az bu sözleşme kadar koruyucu yükümlülüklerle bağlıdır ve onlardan Veri İşleyen sorumludur.
7. İlgili kişi başvuruları
Veri İşleyen, ilgili kişi başvurularını cevaplamasında Müşteri'ye başta portalın dışa aktarma ve silme işlevleriyle yardım eder; doğrudan kendisine gelen başvuruları cevaplamadan Müşteri'ye iletir.
8. Yardım
Veri İşleyen, Müşteri'nin etki değerlendirmeleri ve ön danışma (GDPR m. 35–36) ile KVKK m. 12 ve GDPR m. 32–34 kapsamındaki yükümlülükleri için makul olarak ihtiyaç duyduğu bilgileri sağlar.
9. Kişisel veri ihlalleri
Veri İşleyen, Müşteri Kişisel Verisi'ni etkileyen bir ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 48 saat içinde, ihlalin niteliği, etkilenen veriler ve kişiler, olası sonuçları ve alınan tedbirler hakkında bilineni Müşteri'ye bildirir ve öğrendikçe günceller. Kurul'a (KVKK m. 12/5 ve Kurul kararı uyarınca en kısa sürede ve 72 saat içinde; GDPR m. 33 uyarınca 72 saat içinde) ve ilgili kişilere bildirim yükümlülüğü Müşteri'dedir.
10. Silme ve iade
Hizmet sona erdiğinde Müşteri verilerini Kullanım Şartları'nın 13. maddesine göre dışa aktarabilir. Ardından Veri İşleyen Müşteri Kişisel Verisi'ni siler: çalışma alanı 30 günlük bekleme süresinden sonra imha edilir, yedekler 30 gün içinde ayrıca sona erer; kanunen saklanması gerekenler hariç.
11. Denetim
Veri İşleyen, güvenlik belgeleri dahil, bu sözleşmeye uyduğunu göstermek için gereken bilgileri sağlar. Müşteri veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi, 30 gün önceden bildirerek, mesai saatlerinde ve masrafı kendisine ait olmak üzere yılda bir kez, ayrıca bir ihlalden sonra veya bir denetim makamının talebi üzerine denetim yapabilir.
12. Yurt dışına aktarım
• Veri bölgesi: Türkiye bölgesinin verileri Türkiye'de, AB bölgesinin verileri AB'de saklanır. • KVKK'ya tabi bir Müşteri AB bölgesini seçerse, verilerin yurt dışına aktarılması veri sorumlusu sıfatıyla Müşteri'nin kararıdır; taraflar Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeyi imzalar ve Müşteri bunu beş iş günü içinde Kurul'a bildirir (KVKK m. 9). • Simpux Türkiye'de yerleşiktir ve çalışanları AB bölgesinin verilerine Türkiye'den erişir. AB'deki Müşteriler için bu aktarıma AB Standart Sözleşme Hükümleri (Komisyon Uygulama Kararı (AB) 2021/914; Müşteri veri sorumlusuysa Modül 2, veri işleyense Modül 3) ve Birleşik Krallık verileri için UK Addendum, İngilizce metinde belirtilen seçimlerle bu sözleşmeye dahildir.
13. Sorumluluk ve öncelik
Sorumluluk Kullanım Şartları'na tabidir. Çelişki hâlinde Standart Sözleşme Hükümleri bu sözleşmeden, bu sözleşme Kullanım Şartları'ndan önce gelir.