Veri İşleme Sözleşmesi (DPA)
Bu sürümü kaydet (TXT) · 2026-11-03
Müşteri veri sorumlusu, OzyCore GmbH veri işleyendir. Görev süresince faturaları alır, saklar, teknik olarak doğrular, işler ve dışa aktarır. Tedarikçi, müşteri, çalışan ve belgede adı geçen kişilerin kimlik, iletişim, banka, fatura ve kullanım verileri işlenir.
Bağlayıcılık
Kuruluş bu sözleşmeyi açık elektronik kabulle OzyCore ile yapar. Özel talimat ve ekler yazılı olarak belgelenebilir.
Talimat, güvenlik ve denetim
OzyCore, AEA dışı aktarımlar dahil, verileri yalnız belgelenmiş talimatla işler. Kanun gerektiriyorsa izin verilen ölçüde önceden bilgi verir. Hukuka aykırı gördüğü talimatı gecikmeden bildirir. Yetkili kişiler gizlilikle yükümlüdür. OzyCore GDPR madde 32 tedbirlerini alır, ilgili kişi talepleri ve madde 32–36 yükümlülüklerinde yardımcı olur, kişisel veri ihlalini eldeki bilgilerle gecikmeden bildirir. Uygunluğu belgeleyip müşteri veya denetçisinin yerinde inceleme dahil denetimine imkân verir.
Alt işleme ve iade
Müşteri listelenen alt işleyenlere genel yetki verir. OzyCore değişiklikleri itiraz edilebilecek süre önce bildirir, aynı veri koruma yükümlülüklerini alt işleyenlere uygular ve ifalarından sorumludur. İşleme bittiğinde müşteri tercihine göre verileri iade eder veya siler. AB ya da üye ülke hukuku saklama gerektirmedikçe kopyaları siler. Müşteri tercihini desteğe iletebilir.
Destek erişimi ve yanlış teslimler
Yetkili personelin erişimi hizmetin yürütülmesi ve gerekli destek veya arıza işlemleriyle sınırlıdır. Hesaba destek amacıyla giriş süreli ve kayıtlıdır. Müşteri erişimler hakkında bilgi isteyebilir, özel veya yetkisiz gönderilen verileri ayrıca iade veya silme için bildirebilir.
Alt işleyenler (Tam liste)
• Supabase Pte. Ltd. (Singapur) – veritabanı, nesne depolama ve kimlik doğrulama; ana depolama Frankfurt (AWS eu-central-1). Sözleşme dayanağı: 1 Ağustos 2026 tarihli Supabase DPA ve role göre AB Standart Sözleşme Maddeleri Modül 2 veya 3. Diğer işleme konumları DPA’ya göre belirlenir. • Vercel, Inc. (ABD, AB-ABD Veri Gizliliği Çerçevesi) – web ve API katmanının AB bölgesi Frankfurt'ta (fra1) barındırılması; hesap ve günlük verileri ABD'de işlenebilir; AB Standart Sözleşme Hükümleri • Mailgun Technologies, Inc. (ABD) – e-postaların AB bölgesi üzerinden alınması ve gönderilmesi; AB Standart Sözleşme Hükümleri • Functional Software, Inc. (Sentry, ABD) – AB/DE bölgesinde hata ve güvenlik izleme; AB Standart Sözleşme Hükümleri • Inngest, Inc. (ABD) – arka plan görevlerinin yürütülmesi (görev üst verileri, fatura içeriği yok); konum sağlayıcıya göre değişir, AB Standart Sözleşme Hükümleri • Upstash, Inc. (ABD) – hız sınırlama (hashlenmiş anahtarlar, içerik yok); konum sağlayıcıya göre değişir, AB Standart Sözleşme Hükümleri • Fly.io, Inc. (ABD) – KoSIT doğrulayıcısının ve PDF inceleme ortamının Frankfurt bölgesinde işletilmesi; AB Standart Sözleşme Hükümleri • Microsoft Ireland Operations Limited – Germany West Central bölgesinde Azure Document Intelligence (OCR)
Ek: mali müşavirlikte meslek sırrı
OzyCore bir mali müşavirlik kuruluşunun mesleki faaliyetine hizmet sağlayıcı olarak katıldığında ayrıca § 62a StBerG ile § 203 StGB uygulanır. OzyCore erişebildiği müşteri ve meslek sırlarını süre sınırı olmaksızın gizli tutmayı ve yalnız görevlendirildiği teknik hizmet için gerektiği ölçüde öğrenmeyi taahhüt eder. Yetkisiz ifşa § 203 StGB uyarınca cezai sonuç doğurabilir. Bu yükümlülük sözleşme bitiminden sonra da sürer. Bu hizmet vergi veya hukuk danışmanlığı oluşturmaz.
OzyCore başka kişileri yalnız gerekli ölçüde görevlendirebilir. Sırlara olası erişimden önce bu kişiler metin biçiminde gizlilikle yükümlü kılınmalı ve cezai sonuçlar hakkında bilgilendirilmelidir; sonraki katkı sağlayanlar için de aynı koşullar güvenceye alınmalıdır. AVV listesi veri koruma bakımından alt görevlendirmeyi açıklar. Meslek sırrı yükümlülük zincirinin kanıtı veya yurt dışındaki hizmetlerde § 62a Abs. 4 StBerG uyarınca benzer sır korumasının değerlendirilmesi yerine geçmez. OzyCore, kuruluşun özenli seçim yapması için gereken bilgileri sağlar. Sırlar ancak gerekli kanıtlar ve gerekiyorsa izinler mevcut olduktan sonra açıklanabilir.
Mali müşavirlik yalnız açıkça yetki verilen müşteriler ve gerekli görevler için erişebilir. Tavsiye kodu temsil yetkisinin veya ayrıca gereken rızanın yerine geçmez. Yetki, işlemi yapan rol, kapsam ve geri alma izlenebilir olmalıdır. Müşteri platform erişimini hesap ayarlarından geri alabilir. Geri alma gelecekteki platform erişimini sonlandırır; önceden hukuka uygun aktarılmış kopyaları geri getirmez. Bu kopyaların sonraki işlenmesi müşavirlik ilişkisine ve ilgili yasal yükümlülüklere bağlıdır. Gizlilik sağlanamıyorsa sırlara erişim sonlandırılmalıdır.
Mail relay / müşteri alan adları için e-posta alımı
Müşteri kendi alan adını (örn. fatura@ornekfirma.com) işleyene devrettiği veya gelen e-fatura alımı için MX kayıtlarını işleyenin posta sunucularına yönlendirdiği takdirde, bu kapsamda gerçekleştirilen kişisel veri işlemesine GDPR md. 28 uyarınca veri işleme sözleşmesine ek olarak aşağıdaki alt hüküm uygulanır. Bu alt hüküm, veri işleme sözleşmesinin bağlayıcı bir parçasıdır.
Sözleşme konusu ve süresi
Müşteri yalnız faturalara ayrılmış posta kutusunu veya alt alan adını yönlendirir. İşleme AVV uyarınca iade veya silmeye kadar sürer.
İşlemenin niteliği ve amacı
Fatura e-postalarının alımı ve teknik işlenmesi, hesapta tutulan asıl belgeler ve üstverilerin saklanması, desteklenen biçimlerin kontrolü ve plana bağlı dışa aktarma. Müşteri faturaya ayrılmış adres kullanır.
Kişisel verilerin türleri
• Gönderen ve alıcı adresleri ile görünen adlar • Fatura düzenleyen ve fatura alan taraflara ilişkin veriler (ad, firma, adres, KDV kimliği, banka bilgisi) • E-posta içeriği ve eklerinde yer alan serbest metinler • Teknik üstveriler (SMTP başlıkları, zaman damgaları, gönderen posta sunucularının IP adresleri)
İlgili kişi kategorileri
• Müşterinin tedarikçileri, hizmet sağlayıcıları ve iş ortakları • Müşterinin gelen fatura ve muhasebe işlerinden sorumlu çalışanları • Faturalarda veya eşlik eden yazışmalarda adı geçen üçüncü kişiler
Alt işleyenler
E-postaların alımı ve saklanması için aşağıdaki alt işleyenler görevlendirilmiştir. Tüm işleme AB içinde veya AB standart sözleşme maddeleri kapsamında gerçekleşir: • Mailgun Technologies, Inc. – gelen e-postaların alımı ve kabulü • Supabase Pte. Ltd. (Singapur) – veritabanı, nesne depolama ve kimlik doğrulama; ana depolama Frankfurt (AWS eu-central-1). Sözleşme dayanağı: 1 Ağustos 2026 tarihli Supabase DPA ve role göre AB Standart Sözleşme Maddeleri Modül 2 veya 3. Diğer işleme konumları DPA’ya göre belirlenir. • Vercel, Inc. – web ve API katmanının barındırılması (AB bölgesi, fra1) • Functional Software, Inc. (Sentry, ABD) – AB/DE bölgesinde hata ve güvenlik izleme; AB Standart Sözleşme Hükümleri İşleyen, alt işleyenleri sözleşme ile eş değer koruma düzeyine bağlar ve ek alt işleyenlerin dahil edilmesi veya değiştirilmesinden önce müşteriyi bilgilendirir. Tam liste “Alt işleyenler (Tam liste)” bölümünde yer alır.
Teknik ve organizasyonel tedbirler
• Aktarımda TLS şifrelemesi (gönderen sunucu destekliyorsa STARTTLS) • Durağan veri şifrelemesi (nesne ve veritabanı depolamada AES-256) • Veritabanı düzeyinde satır-düzeyi güvenlikle müşteri izolasyonu • Hash ve değişiklik korumasıyla işlem kaydı; WORM veya GoBD sertifikası taahhüdü değildir • Yalnız gerekli görevler için erişim; iç yönetici arayüzünde çok faktörlü kimlik doğrulama
Müşterinin yükümlülükleri ve sorumluluğu
• Müşteri, GDPR md. 4/7 uyarınca veri sorumlusu olarak kalır ve alan adının devrinin (DNS/MX yapılandırması) hukuka uygun şekilde gerçekleşmesini sağlar • Müşteri, ilgili tedarikçi ve iş ortaklarını GDPR md. 13/14 uyarınca verilerinin işlenmesi hakkında bilgilendirir • Mail-relay özelliği yalnızca ticari fatura alımı için kullanılır; özel veya konu dışı e-postalar hariç tutulur • Müşteri, ilgili kişilerin erişim, düzeltme ve silme talepleri için bir iletişim noktası belirler
Verilerin silinmesi ve iadesi
Yönlendirilen e-posta verilerine diğer müşteri verileriyle aynı iade ve silme hükümleri uygulanır.