Veri işleme sözleşmesi

Veri işleyen: Monti Labs [şirket unvanı, adresi, MERSİS ve vergi numarası şirket kuruluşuyla eklenecek], info@montilabs.co.

Veri sorumlusu: Monti Margin’de hesap açan ve unvanı ile vergi numarası hesapta kayıtlı olan Müşteri.

Müşteri’nin yüklediği e-faturalar, dosya listesi ve bunlardan üretilen eşleşme, bulgu ve raporlardaki kişisel veriler bakımından Müşteri veri sorumlusu, Monti 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) anlamında veri işleyendir. Monti’nin kendi kullanıcılarına ait hesap verileri bu sözleşmenin değil, KVKK Aydınlatma Metni’nin konusudur.

Monti, kişisel verileri yalnızca Müşteri’ye hizmeti sunmak için işler: dosyaları okumak, fatura satırlarını dosyalarla eşleştirmek, kontrolleri çalıştırmak, bulguları ve raporları göstermek, Müşteri’nin istediği dışa aktarımları hazırlamak ve verileri Müşteri’nin seçtiği süre boyunca saklamak. İşlemenin ayrıntıları Ek-1’dedir.

Monti, kişisel verileri Müşteri’nin bu sözleşmede ve Hizmet Koşulları’nda yazılı talimatı dışında işlemez; kendi amaçları için kullanmaz, satmaz, başka müşterilerle paylaşmaz, yapay zekâ modeli eğitmek için kullanmaz. Monti, bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri’yi bilgilendirir.

Monti, masraf kalemlerini tanıyan genel sözlüğü geliştirmek için yalnızca kişisel veri ve Müşteri’yi tanıtan bilgi içermeyen, anonim kalem adı örüntülerini (ör. “THC KUR FARKI” ifadesinin bir masraf türüne karşılık gelmesi) kullanabilir.

Müşteri; yüklediği verileri hukuka uygun olarak elde ettiğini, bu verileri Monti’ye işletme hakkına sahip olduğunu ve veri sorumlusu olarak ilgili kişileri aydınlatma ile Kanun’dan doğan diğer yükümlülüklerini yerine getirdiğini kabul eder. Müşteri, hizmete analiz için gerekli olmayan özel nitelikli kişisel veri yüklememeye özen gösterir.

Monti, kişisel verilere yalnızca görevi gereği erişmesi gereken çalışanlarının erişmesini sağlar ve bu çalışanları gizlilik yükümlülüğü altına alır.

Monti ekibi Müşteri’nin verisine yalnızca destek talebi, destekli tarama veya hizmetin güvenliği ve çalışması için gerektiğinde erişir. Her erişim Müşteri hesabına bağlı olarak kayda geçirilir; Müşteri bu kayıtların raporunu isteyebilir.

Monti, Kanun’un 12. maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için Ek-2’deki teknik ve idari tedbirleri uygular ve bunları güncel tutar. Taraflar, Kanun’un 12. maddesinin 2. fıkrası uyarınca bu tedbirlerin alınmasından birlikte sorumludur.

Müşteri, Monti’nin Ek-3’te listelenen alt işleyenlerle çalışmasına izin verir. Monti, alt işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların işlemlerinden Müşteri’ye karşı sorumludur.

Monti, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteri’yi e-postayla bilgilendirir. Müşteri haklı bir gerekçeyle itiraz ederse taraflar çözüm arar; çözülemezse Müşteri hizmeti sona erdirebilir ve kullanılmayan dönem için ödediği bedel iade edilir.

Müşteri’nin yüklediği veriler ve bunlardan üretilen tüm veriler Türkiye’deki sunucularda işlenir ve saklanır. Monti bu verileri yurt dışına aktarmaz. Yurt dışına aktarım gerektiren bir değişiklik ancak Müşteri’nin önceden yazılı onayıyla ve Kanun’un 9. maddesindeki şartlar sağlanarak yapılabilir.

Monti’ye Müşteri’nin verileriyle ilgili bir ilgili kişi başvurusu doğrudan ulaşırsa Monti başvuruyu yanıtlamadan Müşteri’ye iletir. Monti, Müşteri’nin başvuruları Kanun’daki süreler içinde yanıtlayabilmesi için gereken bilgiyi ve teknik desteği makul ölçüde sağlar (ör. belirli verilerin bulunması, düzeltilmesi veya silinmesi).

Monti, Müşteri’nin verilerinin kanuni olmayan yollarla başkalarınca elde edildiğini öğrendiğinde Müşteri’yi gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirim; olayın niteliğini, etkilenen veri kategorilerini ve yaklaşık kayıt sayısını, olası sonuçlarını ve alınan veya önerilen tedbirleri, o an bilinen ölçüde içerir; bilgiler netleştikçe tamamlanır.

Kurul’a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri’ye aittir; Monti, Müşteri’nin bu bildirimleri yapabilmesi için gereken bilgiyi sağlar.

Müşteri, saklama süresini ayarlardan seçer: analizden 30 gün sonra silme veya 12 ay saklama. Süre dolan ham dosyalar ve bunlardan üretilen veriler otomatik olarak silinir.

Müşteri dilediği zaman “Tüm verilerimi sil” ile verilerinin tamamının silinmesini isteyebilir; silme, canlı sistemlerde (dosya deposu dahil) 24 saat içinde kalıcı olarak tamamlanır. Şifreli yedeklerdeki kopyalar en geç 35 gün içinde yedek döngüsünden çıkar ve bu süre içinde yalnızca felaket kurtarma amacıyla tutulur. Hizmet herhangi bir sebeple sona erdiğinde de aynı süreler uygulanır.

Müşteri, silmeden önce bulgularını ve raporlarını Excel olarak dışa aktarabilir. Monti, mevzuatın saklamayı zorunlu kıldığı kayıtlar dışında silinen verilerin kopyasını tutmaz.

Monti, bu sözleşmeye uyduğunu göstermek için gereken bilgileri Müşteri’nin yazılı talebi üzerine sağlar. Müşteri, bu bilgilerin yetersiz olması hâlinde yılda bir kez, en az 30 gün önceden bildirerek, mesai saatlerinde, Monti’nin işleyişini ve diğer müşterilerin verilerinin gizliliğini bozmayacak şekilde ve masrafları kendisine ait olmak üzere denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Kurul’un veya yetkili mercilerin denetimleri saklıdır.

Tarafların bu sözleşmeden doğan sorumluluğu Hizmet Koşulları’ndaki sınırlara tabidir. Kast ve ağır ihmal hâlleri ile mevzuatın sınırlandırılmasına izin vermediği sorumluluklar saklıdır.

Bu sözleşme, Müşteri’nin hesabı açık olduğu ve Monti, Müşteri’nin verilerini işlediği sürece yürürlüktedir; silme ve gizlilik yükümlülükleri sona ermeden sonra da devam eder.

Monti bu sözleşmeyi değiştirirse yeni sürümü yürürlüğe girmeden en az 30 gün önce Müşteri’ye e-postayla bildirir; mevzuat değişikliğinden kaynaklanan zorunlu değişiklikler daha kısa sürede uygulanabilir.

Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda Monti’nin merkezinin bulunduğu yer mahkemeleri ve icra daireleri yetkilidir.

• İlgili kişiler: Müşteri’nin tedarikçileri ve müşterileri arasındaki gerçek kişiler ve şahıs şirketleri; faturalarda ve dosya listesinde adı geçen çalışanlar, yetkililer ve irtibat kişileri (ör. operasyon sorumlusu).
• Kişisel veri kategorileri: ad soyad veya unvan; şahıs şirketlerinde T.C. kimlik numarası ya da vergi kimlik numarası; adres, telefon ve e-posta gibi faturadaki iletişim bilgileri; fatura tarihleri, tutarları, kalem açıklamaları ve notları; dosya numaraları, konteyner, konşimento ve AWB numaraları; dosya listesindeki operasyon sorumlusu adı.
• Özel nitelikli kişisel veri: işlenmesi amaçlanmaz.
• İşleme faaliyetleri: yükleme, okuma ve ayrıştırma, eşleştirme, sınıflandırma, kontrol ve hesaplama, görüntüleme, dışa aktarma, saklama, silme.
• Süre: Müşteri’nin seçtiği saklama süresi veya silme talebine kadar (bkz. “Saklama, iade ve silme”).

• Veriler Türkiye’deki sunucularda, şifreli disklerde saklanır; yedekler şifrelenir ve ayrı bir konumda tutulur, geri yükleme düzenli olarak denenir.
• Firmalar arası erişim veritabanı düzeyinde satır güvenliğiyle engellenir ve otomatik testlerle doğrulanır.
• Dosya deposu herkese kapalıdır; yükleme ve indirme yalnızca kısa süreli, imzalı bağlantılarla yapılır.
• Bağlantılar HTTPS ile şifrelenir; güvenlik başlıkları ve içerik güvenlik politikası uygulanır.
• Şifresiz, tek kullanımlık ve 15 dakika geçerli giriş bağlantıları; güvenli oturum çerezleri; giriş, yükleme ve dışa aktarma için hız sınırları.
• Yüklenen dosyalara boyut ve tür sınırları, sıkıştırılmış dosya bombası ve zararlı XML’e karşı korumalar uygulanır.
• Kayıtlarda (log) fatura içeriği tutulmaz; vergi kimlik numaraları ve e-posta adresleri maskelenir. E-postalarda fatura içeriği bulunmaz.
• Monti ekibinin her müşteri erişimi kayda geçirilir; erişim yetkisi görevle sınırlıdır.
• Bağımlılıklar güvenlik açıklarına karşı düzenli olarak taranır ve güncellenir.

E-posta gönderim ve ödeme hizmetleri Müşteri’nin yüklediği verileri almaz; bu nedenle bu sözleşme kapsamında alt işleyen değildir.

• Barındırma (uygulama, veritabanı, dosya deposu): [sağlayıcı adı sunucu seçilince eklenecek], Türkiye.
• Yedek deposu: [sağlayıcı adı seçilince eklenecek], Türkiye.