Veri işleme sözleşmesi

Taslak – avukat incelemesi gerekli. Bu sözleşme henüz hukuken incelenmedi. Verilerinizi FUBEXA ONE'da nasıl işlediğimizi anlatır. İmzalı veri işleme sözleşmesini FUBEXA ONE sözleşmenizle birlikte alırsınız.

Bu sayfa, Almanca asıl metnin Türkçe karşılığıdır. Hukuken Almanca metin esastır.

Taraflar

Veri sorumlusu ("müşteri"): bizimle FUBEXA ONE için sözleşme yapan işletme ("ana sözleşme", sözleşme koşullarımızla birlikte); ücretsiz deneme süresinde de.

Veri işleyen ("FUBEXA", "biz"): FUBER LTD, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Birleşik Krallık; şirket sicili: Companies House (England and Wales) 14783209.
Veri koruma iletişimi: hello@fubexa.com

§ 1 Konu ve süre

1. Bu sözleşme, ana sözleşme kapsamında kişisel verileri müşteri adına işlediğimiz ölçüde tarafların yükümlülüklerini düzenler (DSGVO Madde 28). FUBEXA ONE platformu (web ve uygulama), müşterinin sistemlerine bağlantıları, ücretsiz deneme süresi, hata taraması ve destek için geçerlidir.
2. Sözleşme ana sözleşmeyle – ücretsiz denemede denemenin başlamasıyla – başlar ve onunla biter. Bunun ötesinde süren yükümlülükler, özellikle iade, silme ve gizlilik, yerine getirilene kadar geçerli kalır.
3. Bu sözleşme ile ana sözleşme çelişirse, veri koruma konularında bu sözleşme esastır.

§ 2 İşlemenin niteliği ve amacı

1. FUBEXA ONE'ı müşteriye internet üzerinden bir yazılım hizmeti olarak sunarız (Software as a Service). İşleme şunları kapsar: arayüz, uygulama ve bağlantılar üzerinden kaydetme; saklama, düzenleme, karşılaştırma, değerlendirme ve gösterme; müşterinin belirlediği alıcılara iletme (ör. e-postayla ya da dışa aktarım olarak); yedekleme ve silme.
2. Tek amaç kararlaştırılan hizmetleri vermektir: seçilen paketin modülleri (ör. Satış, Depo, Önmuhasebe, Personel ve Kokpit), müşterinin sistemlerine bağlantı, destek, veri yedekleme ve platformun kötüye kullanıma karşı korunması.
3. JTL-Wawi ve DATEV'e yalnızca okuma erişimiyle bağlanırız. Orada hiçbir veriyi değiştirmeyiz.
4. Müşterinin verilerini kendi amaçlarımız için, özellikle reklam için kullanmayız; yalnızca § 8'deki alt işleyenlere iletiriz.

§ 3 Kişisel veri türleri

Müşterinin kullandığı modüllere göre:

• Müşteri verileri: ad, adres, iletişim bilgileri, satış sözleşmeleri, imzalar, teslimatlar, reklamasyonlar;
• Çalışan verileri: müşterinin çalışanlarının adı, rolü, mağazası ve iletişim bilgileri;
• Personel verileri: vergi kimlik numarası, sosyal sigorta numarası ve banka hesabı (IBAN) dahil personel dosyası, izinler ve vardiya planı;
• Mesai ve bordro verileri: çalışma saatleri (giriş ve çıkış), düzeltmeler ve gerekçeleri, bordro hazırlığı verileri;
• Tedarikçi verileri: tedarikçi ve üreticilerdeki irtibat kişileri, siparişler, sipariş onayları;
• Ödeme verileri: ödemeler, kaporalar, açık kalemler, kasa defteri ve DATEV'den okunan kayıtlar;
• Kullanıcı hesapları: ad, giriş e-postası, parola (yalnızca özet/hash olarak), iki adımlı doğrulama ayarları, oturumlar, IP adresleri, cihaz bilgileri ve işlem kayıtları;
• İçerikler: müşterinin kendisinin yüklediği ya da girdiği dosya ve metinler, ör. fotoğraflar, PDF belgeleri ve desteğe yazılan mesajlar.

Özel nitelikli kişisel verileri (DSGVO Madde 9), ör. hastalık günlerine ilişkin bilgileri kaydedip kaydetmeyeceğine müşteri kendisi karar verir. Bu veriler için de Ek 1'deki önlemler aynen geçerlidir.

§ 4 İlgili kişi grupları

• müşterinin müşterileri ve potansiyel müşterileri;
• müşterinin çalışanları, eski çalışanlar dahil;
• müşteri tarafındaki FUBEXA ONE kullanıcıları;
• müşterinin tedarikçi, üretici, hizmet sağlayıcı ve diğer iş ortaklarındaki irtibat kişileri.

§ 5 Talimatlar

1. Verileri yalnızca müşterinin belgelenmiş talimatıyla işleriz; üçüncü ülkelere aktarımlar da buna dahildir. Birlik hukuku ya da üye devlet hukuku bizi buna zorunlu kılıyorsa bu kural uygulanmaz; bu durumda, söz konusu hukuk önemli bir kamu yararı nedeniyle yasaklamadıkça müşteriye bu yasal zorunluluğu önceden bildiririz (DSGVO Madde 28 f. 3 a).
2. Talimatlar şunlardır: bu sözleşme, ana sözleşme ve müşterinin FUBEXA ONE'da yaptığı ayarlar, ör. kullanıcılar, roller, modüller, bağlantılar, silmeler ve dışa aktarımlarla ilgili. Müşteri başka talimatları metin şeklinde verir, ör. hello@fubexa.com adresine e-postayla.
3. Talimat vermeye müşteri hesabının sahibi ve onun bu iş için belirlediği kişiler yetkilidir.
4. Bir talimat bize göre veri koruma hukukuna aykırıysa müşteriyi hemen uyarırız. Müşteri talimatı onaylayana ya da değiştirene kadar uygulamayı durdurabiliriz.

§ 6 Gizlilik

1. Bizde müşterinin verilerine erişimi olan herkes gizlilik yükümlülüğü altına alınmıştır ya da yasal bir sır saklama yükümlülüğüne tabidir (DSGVO Madde 28 f. 3 b). Bu yükümlülük görevleri bittikten sonra da sürer.
2. Erişimi yalnızca görevi için ihtiyaç duyan kişiler alır. FUBEXA çalışanları müşterinin verilerini yalnızca kaydı tutulan destek oturumlarında ve yalnızca okuyarak görür (Ek 1).

§ 7 Teknik ve organizasyonel önlemler

1. DSGVO Madde 32 uyarınca Ek 1'de anlatılan önlemleri alırız.
2. Önlemleri teknolojinin gelişimine göre ilerletiriz. Koruma düzeyi düşmediği sürece değiştirebiliriz. Önemli değişiklikleri belgeleriz ve müşteriye bildiririz.

§ 8 Alt işleyenler

1. Müşteri, Ek 2'de sayılan alt işleyenleri onaylar.
2. Başka alt işleyenler kullanmak ya da mevcut olanları değiştirmek istersek, müşteriye en az 30 gün önce metin şeklinde haber veririz. Müşteri, veri korumayla ilgili önemli bir sebeple değişikliğe itiraz edebilir. Bir çözüm bulamazsak ana sözleşmeyi değişiklik tarihi itibarıyla feshedebilir.
3. Her alt işleyeni sözleşmeyle bu sözleşmedekilere denk veri koruma yükümlülükleri altına alırız (DSGVO Madde 28 f. 4). Bunlara uyulmasından müşteriye karşı biz sorumluyuz.
4. Müşterinin kullandığı sistemlerin sağlayıcıları, ör. JTL-Wawi, DATEV ya da üretici portalları, bizim alt işleyenimiz değildir. Onlarla sözleşmeleri müşteri kendisi yapar.

§ 9 İşleme yeri ve üçüncü ülkeler

1. Merkezimiz Birleşik Krallık'tadır. Müşterinin verilerini Londra'daki bir Oracle Cloud Infrastructure veri merkezinde saklar ve işleriz. Ayrıca AES-256 ile şifrelenmiş bir yedek kopyayı İstanbul'da (Türkiye) kiraladığımız bir sunucuda saklarız; anahtar orada bulunmaz ve kopya 30 gün sonra silinir (Ek 1 ve 2).
2. AB Komisyonu, Birleşik Krallık için DSGVO Madde 45 uyarınca bir yeterlilik kararı almıştır; karar 27 Aralık 2031'e kadar geçerlidir. Karar ortadan kalkarsa taraflar gecikmeden DSGVO Madde 46 uyarınca uygun güvenceler, ör. AB Komisyonu'nun standart sözleşme maddelerini kararlaştırır.
3. Başka üçüncü ülkelere veriyi yalnızca DSGVO Madde 44–49'daki şartlar sağlanıyorsa aktarırız. Her birinin dayanağı Ek 2'de yazılıdır.

§ 10 Müşteriye destek

1. İlgili kişilerin başvurularını yanıtlamasında müşteriye uygun teknik ve organizasyonel önlemlerle destek oluruz (DSGVO Madde 12–22). Bilgi verme, düzeltme, silme ve dışa aktarım gibi pek çok şeyi müşteri FUBEXA ONE'da kendisi yapabilir.
2. Bir ilgili kişi doğrudan bize başvurursa, başvurusunu hemen müşteriye iletiriz. Ona yalnızca müşterinin talimatıyla cevap veririz.
3. Müşteriye DSGVO Madde 32–36'daki yükümlülüklerinde (işleme güvenliği, bildirimler, veri koruma etki değerlendirmesi, ön danışma) elimizdeki bilgiler ölçüsünde destek oluruz.

§ 11 Veri ihlallerinin bildirilmesi

1. Kişisel verilerin korunmasına ilişkin bir ihlali, öğrendiğimizden itibaren gecikmeden, en geç 48 saat içinde, hesap sahibinin e-posta adresine metin şeklinde müşteriye bildiririz.
2. Bildirim, bilindiği kadarıyla DSGVO Madde 33 f. 3'teki bilgileri içerir. Eksik bilgileri ortaya çıktıkça tamamlarız.
3. İhlali gidermek ve sonuçlarını azaltmak için gecikmeden önlem alır, bunları müşteriyle birlikte belirleriz. Denetim makamına ve ilgili kişilere bildirimi müşteri yapar; biz ona destek oluruz.

§ 12 Veri dışa aktarımı, iade ve silme

1. Müşteri hesabının sahibi, FUBEXA ONE'da istediği zaman firmasının bütün verilerinin tam dışa aktarımını talep edebilir: her tablo bir CSV dosyası olarak, saklanan her dosya aslıyla. Parola özetleri gibi giriş bilgileri dahil değildir. Dışa aktarımı talepten sonra 24 saat içinde hazırlarız.
2. Ana sözleşme bitince, müşteri isterse verilerini 1. fıkradaki dışa aktarım olarak kendisine veririz. Birlik hukuku ya da üye devlet hukuku saklamayı zorunlu kılmadıkça, sözleşmenin bitiminden 30 gün sonra müşterinin verilerini sileriz. Yedeklerdeki kopyalar, yedekler planlı olarak süresini doldurduğunda silinir (Ek 1).
3. FUBEXA ONE'ı kapatırsak, tam dışa aktarımı (1. fıkra) müşteriye en az 90 gün önce veririz.
4. Müşteri isterse silme işlemini metin şeklinde teyit ederiz.

§ 13 Kanıtlar ve denetim hakları

1. Müşteri isterse, DSGVO Madde 28'deki yükümlülüklerin yerine getirildiğini göstermek için gereken bütün bilgileri ona veririz.
2. Müşteri ya da onun görevlendirdiği, sır saklama yükümlülüğü altındaki bir denetçi, zamanında haber vererek, olağan çalışma saatlerinde ve işleyişi orantısız biçimde aksatmadan bu sözleşmeye uyulup uyulmadığını denetleyebilir.
3. Alt işleyenlerimizdeki denetimler onların koşullarına tabidir. Mevcutsa, bunun için onların sertifikalarını ve denetim raporlarını sunarız.

§ 14 Sorumluluk

1. İlgili kişilere karşı taraflar DSGVO Madde 82 uyarınca sorumludur.
2. Taraflar arasında her taraf, zararın kendi sorumluluk payına düşen kısmını üstlenir (DSGVO Madde 82 f. 5).
3. Bunun dışında, DSGVO Madde 82'ye aykırı düşmediği ölçüde ana sözleşmenin sorumluluk hükümleri (sözleşme koşullarının § 11'i) geçerlidir.

§ 15 Son hükümler

1. Bu sözleşmedeki değişiklikler ve eklemeler metin şeklinde yapılır. Bu şekil şartından vazgeçilmesi de buna tabidir.
2. Federal Almanya Cumhuriyeti hukuku uygulanır. Yasal olarak izin verildiği ölçüde yetkili mahkeme, müşterinin merkezinin bulunduğu yerin mahkemesidir.
3. Bu sözleşmenin bir hükmü geçersizse sözleşmenin geri kalanı geçerliliğini korur.

Ek 1: Teknik ve organizasyonel önlemler (DSGVO Madde 32)

Müşterilerin birbirinden ayrılması

• Her firmanın kendi veritabanı rolüyle kendi veritabanı vardır. Farklı müşterilerin verileri hiçbir zaman aynı veritabanında durmaz.
• Platformun ortak tabloları, ör. hesap ve faturalama tabloları, ayrıca satır düzeyinde güvenlikle (row level security) firma başına ayrılır.

Şifreleme

• Platforma bütün bağlantılar şifrelidir (TLS).
• Vergi kimlik numarası, sosyal sigorta numarası ve IBAN gibi hassas personel bilgileri ile bağlı sistemlerin erişim bilgileri ayrıca AES-256-GCM ile mühürlenerek saklanır.
• Parolaları yalnızca özet (hash) olarak saklarız.

Erişim

• Roller ve yetkiler: her kullanıcı yalnızca rolünün izin verdiğini görür ve düzenler. Rolleri müşteri verir.
• İki adımlı doğrulama: FUBEXA çalışanları için zorunlu, müşterinin kullanıcıları için isteğe bağlı.
• Parola tahminine karşı koruma: 5 hatalı denemeden sonra hesap 15 dakika kilitlenir.
• FUBEXA çalışanları müşterinin verilerine yalnızca kaydı tutulan destek oturumlarında ve yalnızca okuyarak erişir.

Kayıt tutma ve bütünlük

• Girişler, hatalı denemeler, değişiklikler, dışa aktarımlar ve destek erişimleri, sonradan değiştirilemeyen bir denetim kaydına yazılır.
• Mesai kayıtları değiştirilemez; düzeltmeler yalnızca gerekçeyle yapılabilir ve izlenebilir kalır.

Saldırılara karşı koruma

• Uygulamadaki bir güvenlik duvarı (WAF), toplu giriş denemeleri ya da bilinmeyen sayfa çağrıları gibi şüpheli istekleri tanır ve kaynağını kendiliğinden engeller: süresi kademeli artar, tekrarında kalıcı olur.
• Cloudflare platformu ayrıca DDoS saldırılarına karşı korur.

Bağlantılar

• JTL-Wawi ve DATEV'e yalnızca okuma erişimiyle bağlanılır; orada hiçbir veri değiştirilmez.

Erişilebilirlik ve yedekleme

• Her gece bütün veritabanlarını ve saklanan dosyaları yedekleriz. En yeni yedek platform sunucusunda AES-256 ile şifrelenir ve bir kopyası, İstanbul'da (Türkiye) kiraladığımız ikinci bir sunucuda saklanır. Şifreyi çözme anahtarı yalnızca platform tarafındadır, o sunucuda değildir. İstanbul'daki kopyalar 30 gün sonra silinir.
• Son yedek 26 saatten eskiyse kendiliğinden uyarı alırız.
• Platform Londra'daki bir Oracle Cloud Infrastructure veri merkezinde çalışır. Veri merkezinin fiziksel güvenliğini Oracle sağlar.

Silme ve saklama

• Müşteri verileri: sözleşme bitiminden 30 gün sonra silinir (§ 12).
• Platform sunucusundaki yedekler: 14 gün sonra silinir.
• İstanbul'daki şifreli yedek kopyalar: 30 gün sonra silinir.
• Dışa aktarım dosyaları: hazırlandıktan 7 gün sonra silinir.
• Platforma gelen isteklerin IP adresli kayıtları: 30 gün sonra silinir.

Organizasyon ve gözden geçirme

• Çalışanlar gizlilik yükümlülüğü altındadır (§ 6) ve yalnızca görevleri için gereken yetkileri alır.
• Önlemleri düzenli olarak, özellikle platformdaki değişikliklerden sonra gözden geçiririz. Otomatik testler, başka şeylerin yanında firmaların ayrılmasını ve rollerin yetkilerini denetler.

Ek 2: Alt işleyenler

Yapay zekâ asistanı varsayılan olarak kendi sunucularımızdaki kendi dil modelimizi kullanır; üçüncü taraflara veri aktarılmaz. Dış bir yapay zekâ sağlayıcısı yalnızca müşteriyle anlaşarak devreye alınır ve önceden § 8 uyarınca bu eke eklenir.

Güncelleme: 18 Ekim 2026 tarihli taslak