KVKK aydınlatma metni

Bu metin, Global Yaşam Bilgi İlet. ve Tekno. Hiz. San. Tic. Ltd. Şti. (bu metinde “READERP” ya da “biz”) tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında hazırlanmıştır. Amacı, READERP hizmetinin işleyişinde kişisel verilerin nasıl ele alındığını, kimin neyden sorumlu olduğunu ve ilgili kişilerin haklarını açıkça ortaya koymaktır.

1. İki ayrı rol vardır ve karıştırılmamalıdır

READERP, müşterinin kendi ERP veritabanından (Netsis, Logo) veri okuyan bir raporlama katmanıdır. Bu verinin sahibi müşteridir; veriyi toplayan, işleme amacını ve araçlarını belirleyen de müşteridir.

Veri sorumlusu — müşteri şirket

Personel özlük ve ücret verisi, müşteri/cari bilgileri, ticari kayıtlar müşterinin kendi sistemlerinde, müşterinin kendi amaçlarıyla tutulur. KVKK anlamında veri sorumlusu müşteridir. Aydınlatma yükümlülüğü, açık rıza gerekiyorsa alınması ve saklama-imha politikası müşteriye aittir.

Veri işleyen — READERP

READERP bu veriyi yalnızca müşterinin talimatı doğrultusunda, sözleşmede tanımlı raporlama amacıyla işler. Kendi amaçları için kullanmaz, üçüncü kişilere satmaz, pazarlama amacıyla değerlendirmez, başka bir müşterinin verisiyle birleştirmez. KVKK anlamında veri işleyendir.

Bu ayrım pratikte şu anlama gelir: READERP’te gördüğünüz veri, zaten ERP’nizde olan ve zaten sizin gördüğünüz veridir. Sisteme yeni bir kişisel veri girilmez, dışarıdan veri zenginleştirmesi yapılmaz, veri başka bir kaynakla eşleştirilmez.

2. Veri sorumlusunun kimliği

Kendi web sitemiz, panel kullanıcı hesaplarımız ve ticari yazışmalarımız bakımından veri sorumlusu biziz:

• Unvan: Global Yaşam Bilgi İlet. ve Tekno. Hiz. San. Tic. Ltd. Şti.
• Adres: Mustafa Kemal Mah. Dumlupınar Bulvarı, Tepe Prime A Blok No:266 D:18, Çankaya / Ankara
• Vergi dairesi / numarası: Doğanbey V.D. — 3960656344
• MERSİS: 0396065634400017
• E-posta: info@readerp.com · Telefon: 0850 225 53 30

3. Hangi veriler işlenir

Katalogdaki raporların döndürdüğü alanlar bellidir ve her raporun sütun listesi panelde yazılıdır. Kişisel veri içerebilecek kategoriler şunlardır:

Özlük ve ücret verisi

Ad-soyad, özlük/sicil numarası, işyeri, işe giriş-çıkış tarihi, SGK gün sayısı, brüt ve net ücret, bordro kalemleri. Yalnızca bordro raporlarında (P3, P4, P5) yer alır ve bu raporlar aşağıda 7. maddede anlatıldığı gibi varsayılan olarak kapalıdır.

Ticari ilişki verisi

Cari unvan, cari kod, il, bakiye, vade, risk limiti, teminat, hareket açıklaması. Bir cari gerçek kişi tacir ise bu veriler kişisel veri niteliği taşır.

Panel kullanıcı verisi

Ad-soyad, kurumsal e-posta, rol, oturum açma zamanı, oturum açma denemesi, IP adresi ve tarayıcı bilgisi. Bunlar hizmetin kullanıcı hesaplarına aittir; müşterinin ERP verisi değildir.

İletişim verisi

Bize e-posta ya da telefonla ulaşan kişilerin paylaştığı ad, unvan, e-posta, telefon ve mesaj içeriği.

Sağlık verisi, biyometrik veri, din, siyasi görüş, sendika üyeliği gibi özel nitelikli kişisel veriler kataloğun kapsamında değildir ve raporlarda yer almaz.

4. İşleme amaçları ve hukuki sebepler

Bu amaçların dışında kullanım yoktur. Özellikle: müşteri verisi ürün geliştirme, model eğitimi, kıyaslama (benchmark) ya da herhangi bir pazarlama faaliyetinde kullanılmaz.

5. Verinin nerede işlendiği ve yurt dışına aktarım

Bunu açıkça yazıyoruz, çünkü sözleşme öncesi öğrenilmesi gereken bir bilgidir:

• Sorgular müşterinin kendi ağı içinde, müşterinin kendi sunucusunda çalışan ajan tarafından yürütülür. Ham tablolar ağdan çıkmaz.
• Rapor sonuçları (yani ekranda gördüğünüz satırlar) panelin veritabanına yazılır. Bu sunucu Almanya’da, Hetzner Online GmbH’nin Falkenstein veri merkezinde bulunmaktadır.
• Bu, KVKK m.9 anlamında yurt dışına aktarımdır. Aktarım, veri sorumlusu (müşteri) ile veri işleyen (READERP) arasında imzalanan ve Kişisel Verileri Koruma Kurulu’na bildirilen standart sözleşme esas alınarak yapılır. Sözleşme metni talep üzerine paylaşılır.
• Sonuçlar altmış saniye yaşar. Bu, aktarımın kapsamını fiilen ekranda gördüğünüz anla sınırlar: sunucuda kalıcı duran şey rapor satırları değil, hesap bilgileri, denetim izi ve panonun türetilmiş toplamlarıdır. Ayrıntısı 6. maddededir.

6. Saklama süreleri ve imha

Süreler sistemde kodludur ve günlük çalışan bir temizlik görevi tarafından uygulanır:

Rapor sonuçları saklanmaz. Bir rapor çalıştığında dönen satırlar ekranda gösterilir, altmış saniye boyunca dışa aktarılabilir ve ardından silinir. Ekranda beliren geri sayım bunu gösterir; sayaç sıfırlandığında tarayıcınızdaki tablo yerinde kalır ama sunucuda karşılığı kalmaz. Sayfayı yenilerseniz rapor yeniden çalıştırılır — kaynak sizin kendi veritabanınızdır.

İki ayrı güvence veriyoruz ve ikisi aynı şey değil: sonuç altmış saniyeden sonra hiçbir koşulda sunulmaz (bu kesindir, sunucu süresi dolmuş kaydı okumayı reddeder), fiziksel silme ise en geç bir dakika içinde gerçekleşir, çünkü temizlik dakikada bir çalışan bir görev tarafından yapılır. Tarayıcı hiçbir şey silmez; sekmenin açık kalmasına bağlı bir silme, silme değildir.

Panonun gösterdiği özet rakamlar bunun dışındadır ve saklanır: aylık ciro eğrisi, gider kalemleri, yaşlandırma kova toplamları gibi türetilmiş toplamlar. Satır verisi değildir — panonun ekrana bastığı sayıların ötesinde bir kayıt tutulmaz.

Sözleşme sona erdiğinde panel erişimi kapatılır, panonun özet rakamları ve hesap verileri en geç 30 gün içinde silinir. Talep edilirse silme işlemi yazılı olarak teyit edilir. Yasal saklama yükümlülüğü bulunan muhasebe kayıtları bu kapsamın dışındadır.

7. Bordro ve ücret verisine erişim

Kişi adının ücretle yan yana geldiği raporlar (personel listesi ve maaş seyri, personel karnesi, bordro tutarlılık denetimi) diğer raporlardan farklı bir kurala tabidir:

• Varsayılan kapalıdır. Yeni açılan bir kullanıcı hesabı, kendisine açıkça yetki verilmedikçe bu raporları göremez. Diğer raporlarda kural tersidir (yetki tanımlanmamışsa görünür); bordroda bilinçli olarak tersine çevrilmiştir.
• Yetki kullanıcı ve rapor bazında verilir, panelde kayıt altındadır ve geri alınabilir.
• Aynı veriye farklı bir adresten ulaşılmasını engellemek için kişi profili ve bordro belgesi ekranları da aynı yetki kontrolünden geçer.
• Rapor kataloğu, çalışanın kendi ücretini görmesi dışında bir kişinin ücretini gerekmediği hâlde göstermeyecek şekilde bölünmüştür: kadro ve maliyet raporları (P1, P6) yalnızca toplam ve ortalama döndürür, kişi adı içermez.

8. Alt işleyenler

Bunların dışında alt işleyen kullanılmaz. Yeni bir alt işleyen eklenmesi hâlinde müşteri önceden bilgilendirilir. Google Fonts yalnızca tanıtım sitesinde kullanılır; panelde ve rapor içeriğinde müşteri verisiyle teması yoktur.

9. Alınan teknik ve idari tedbirler

Ayrıntılı mimari açıklaması Güvenlik sayfasındadır. Özetle:

• ERP veritabanına yalnızca okuma yetkili kullanıcı ile bağlanılır; yazma, değiştirme ve silme yetkisi verilmez.
• Çalıştırılacak her sorgu önceden yazılır, imzalanır ve ajan imzasız ifadeyi reddeder; serbest metin sorgu çalıştırılamaz.
• Panel girişinde iki adımlı doğrulama (TOTP) zorunludur.
• Her sorgu çalıştırması denetim izine yazılır; aynı kayıt müşterinin kendi sunucusundaki yerel dosyaya da yazılır, böylece bizden bağımsız denetlenebilir.
• Kullanıcı ve rapor bazlı yetkilendirme, hassas raporlarda varsayılan kapalı.
• Tüm bağlantılar TLS ile şifrelenir.

10. İlgili kişinin hakları

KVKK m.11 uyarınca herkes; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç ortaya çıkmasına itiraz etme ve zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Nereye başvurulur: Söz konusu veri bir müşterimizin çalışanına ya da cari hesabına aitse, veri sorumlusu o müşteri şirkettir ve başvurunun öncelikle ona yapılması gerekir. READERP’e ulaşan böyle bir başvuruyu, ilgili kişiyi bilgilendirerek gecikmeksizin veri sorumlusuna iletiriz ve talimatı doğrultusunda hareket ederiz.

Doğrudan bize ait veriler (panel hesabınız, bizimle yazışmanız) için başvurunuzu info@readerp.com adresine ya da yukarıdaki posta adresine yazılı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde sonuçlandırılır ve ücretsizdir.

11. İhlal bildirimi

Bir veri ihlali tespit ettiğimizde, veri sorumlusu sıfatını taşıyan müşteriyi gecikmeksizin ve her hâlükârda 24 saat içinde bilgilendiririz; bilinen kapsamı, etkilenen veri kategorilerini ve alınan önlemleri yazılı olarak paylaşırız. Kurul’a bildirim yükümlülüğü veri sorumlusuna aittir; bu bildirimin hazırlanması için gerekli tüm bilgi ve desteği sağlarız.

12. Değişiklikler

Bu metin değiştiğinde sayfanın başındaki güncelleme tarihi değişir. Saklama süresi, aktarım yeri ya da alt işleyen listesini etkileyen bir değişiklik olursa müşterilerimiz ayrıca e-posta ile bilgilendirilir.