Veri İşleme Sözleşmesi

Bu bir çeviridir. Yalnızca Felemenkçe metin bağlayıcıdır.

Son güncelleme: 18 Ekim 2026. Bu sözleşme Genel Koşullar'ın bir parçasıdır.

Özet

Taraflar

1. Müşteri: Servaro için sözleşme yapan şirket; bundan sonra "veri sorumlusu" veya "müşteri" olarak anılır.
2. Netwerkplek IT B.V.: Servaro adı altında faaliyet gösteren, Veersedijk 59, 3341 LL Hendrik-Ido-Ambacht, Hollanda adresinde bulunan, KvK 85523968; bundan sonra "veri işleyen" veya "Servaro" olarak anılır.

Bu sözleşmenin amacı

A. Müşteri, Servaro'yu bakım, servis ve muayene gibi işlerini planlamak ve yürütmek için kullanır.

B. Bu sırada Servaro müşteri adına kişisel verileri işler. Amaçları ve yöntemleri müşteri belirler. Dolayısıyla Genel Veri Koruma Tüzüğü (GDPR) anlamında müşteri veri sorumlusu, Servaro ise veri işleyendir.

C. GDPR (madde 28), tarafların bu konuda düzenleme yapmasını şart koşar. Bu düzenlemeler bu sözleşmede yer alır.

Madde 1. Tanımlar

1.1 Kişisel veri, işleme, ilgili kişi, veri sorumlusu, veri işleyen, alt işleyen ve kişisel veri ihlali (veri ihlali) gibi terimler GDPR'deki anlamlarını taşır.

1.2 Ana sözleşme: Müşteri ile Servaro arasında, Servaro'nun Genel Koşulları dahil olmak üzere Servaro'nun kullanımına ilişkin sözleşme.

1.3 Müşteri verileri: Genel Koşullar'da tanımlandığı şekliyle.

1.4 İş günü: Hollanda resmî tatilleri hariç pazartesiden cumaya.

Madde 2. Konu ve süre

2.1 Bu sözleşme, Servaro'nun hizmeti sunarken müşteri adına işlediği kişisel verilerle ilgilidir. Hangi verilerin, kimlere ait olduğu, hangi amaçla ve ne kadar süreyle işlendiği Ek 1'de yer alır.

2.2 Bu sözleşme ana sözleşmenin bir parçasıdır. Deneme süresi dahil, ana sözleşmeyle aynı anda başlar ve sona erer. Madde 4 (gizlilik) ve madde 13 (sona erme) gibi niteliği gereği devam eden maddeler sona ermeden sonra da geçerliliğini korur.

2.3 Bu sözleşme ile ana sözleşme kişisel veriler hakkında farklı hükümler içeriyorsa bu sözleşme önceliklidir.

Madde 3. Müşterinin talimatları

3.1 Servaro kişisel verileri yalnızca müşterinin yazılı talimatıyla işler. Müşteri talimatlarını ana sözleşme, bu sözleşme ve hizmeti yapılandırma ve kullanma biçimiyle verir.

3.2 Servaro kişisel verileri kendi amaçları için kullanmaz. Servaro bunları yapay zekâ modellerini eğitmek için de kullanmaz.

3.3 Yasa Servaro'nun verilerle başka bir şey yapmasını gerektiriyorsa Servaro, yasa bunu yasaklamadıkça, durumu önceden müşteriye bildirir.

3.4 Servaro bir talimatın GDPR'ye veya başka bir gizlilik yasasına aykırı olduğunu düşünürse bunu derhâl müşteriye bildirir. Servaro bu durumda, müşteri talimatı değiştirene veya onaylayana kadar talimatı uygulamak zorunda değildir.

3.5 Müşteri, kişisel verileri geçerli bir hukuki dayanakla işleme hakkına sahip olmaktan ve ilgili kişileri doğru şekilde bilgilendirmekten sorumludur. Bu, müşterinin yalnızca izni varsa açtığı konum özelliği (GPS) için de geçerlidir.

3.6 Müşteri hizmete özel nitelikli kişisel veri, cezai kayıt verisi veya vatandaşlık numarası (BSN) girmez. Servaro bunun yine de olduğunu fark ederse durumu müşteriye bildirir. Müşteri bu durumda söz konusu verileri kaldırır.

3.7 Yapay zekâ özellikleri yalnızca öneri sunar. Müşteri tarafındaki bir kullanıcı, bir öneriyi kaydedilmeden veya gönderilmeden önce kontrol edip onaylar. Yapay zekâ özellikleri kişiler hakkında karar vermez.

Madde 4. Gizlilik

4.1 Servaro kişisel verileri gizli tutar.

4.2 Yalnızca işleri için verilere ihtiyaç duyan Servaro çalışanlarına erişim verilir. Bu çalışanların iş veya hizmet sözleşmelerinde gizlilik yükümlülüğü vardır ya da bir gizlilik beyanı imzalamışlardır.

4.3 Servaro müşteri verilerine yalnızca müşterinin talebiyle destek vermek, bir arızayı gidermek veya güvenlik için gerekli olduğunda bakar. Servaro bu erişimi denetim kaydına işler.

Madde 5. Güvenlik

5.1 Servaro, GDPR madde 32'nin gerektirdiği şekilde kişisel verileri korumak için uygun teknik ve organizasyonel önlemler alır. Bu önlemler Ek 2'de yer alır.

5.2 Servaro teknolojinin mevcut durumunu, maliyetleri, verilerin türünü ve ilgili kişiler için riskleri dikkate alır.

5.3 Servaro önlemleri değiştirebilir, ancak güvenlik düzeyi düşemez.

5.4 Servaro önlemlerin hâlâ iyi çalışıp çalışmadığını düzenli olarak kontrol eder ve gerektiğinde bunları uyarlar.

5.5 Hiçbir güvenlik mükemmel değildir. Servaro hiçbir zaman bir sorun yaşanmayacağını garanti etmez, ancak makul ölçüde mümkün olanı yapar.

5.6 Müşteri, kullanıcılarının cihazları, hesap ve yetki yönetimi ve oturum açma bilgilerinin gizli tutulması gibi kendi tarafındaki güvenlikten kendisi sorumludur.

Madde 6. Alt işleyenler

6.1 Müşteri, Servaro'ya alt işleyen kullanması için genel izin verir. Servaro'nun şu anda kullandığı alt işleyenler Ek 3'te yer alır.

6.2 Servaro her alt işleyene yazılı olarak en az bu sözleşmedeki gizlilik yükümlülüklerini yükler.

6.3 Servaro bir alt işleyen eklemek veya değiştirmek isterse bunu en az 30 gün önceden müşterinin irtibat kişisine e-postayla bildirir. Servaro yeni listeyi servaro.nl/subverwerkers adresinde de yayımlar.

6.4 Müşteri bu 30 gün içinde gizlilik veya güvenlikle ilgili gerekçelerle yazılı olarak itiraz edebilir. Servaro ve müşteri bu durumda birlikte bir çözüm arar. Çözüm bulunamazsa müşteri, yeni alt işleyenin başladığı tarih itibarıyla ana sözleşmeyi ücretsiz olarak feshedebilir.

6.5 Servaro bir alt işleyeni hızla değiştirmek zorunda kalırsa, örneğin alt işleyen iflas ettiği veya ciddi bir güvenlik sorunu yaşadığı için, 30 günlük süreyi kısaltabilir. Servaro bu durumda bunu mümkün olan en kısa sürede bildirir ve müşteri 6.4. maddedeki hakkını korur.

6.6 Servaro alt işleyenlerden müşteriye karşı sorumlu olmaya devam eder.

6.7 Microsoft Entra ID üzerinden oturum açma gibi müşterinin kendisinin seçtiği ve satın aldığı hizmetler Servaro'nun alt işleyeni değildir. Müşteri bu tedarikçiyle düzenlemeleri kendisi yapar.

Madde 7. Verilerin işlendiği yer

7.1 Servaro kişisel verileri Hollanda'daki kendi sunucularında işler ve saklar.

7.2 Müşteri önceden yazılı izin vermedikçe ve GDPR buna izin vermedikçe Servaro kişisel verileri Avrupa Ekonomik Alanı (AEA) dışındaki ülkelere aktarmaz.

7.3 Bazı alt işleyenler, işleme AB'de yapılsa bile AEA dışındaki bir şirkete aittir. Ek 3, her alt işleyen için hangi güvencelerin bulunduğunu belirtir.

Madde 8. Yapay zekâ ile işleme

8.1 Servaro, yapay zekâ özellikleri için yalnızca öneri için gerekli verileri gönderir; örneğin bir ses kaydı veya bir iş raporunun metni.

8.2 Servaro yalnızca işlemenin AB'de yapıldığı ve tedarikçinin verileri model eğitimi için kullanmadığı yapay zekâ hizmetlerini kullanır.

8.3 Müşteri yapay zekâ özelliklerini ayarlardan tüm ortamı için kapatabilir. Bu durumda yapay zekâ tedarikçilerine artık veri gönderilmez.

Madde 9. İlgili kişilerin hakları

9.1 İlgili kişi müşteriden erişim, düzeltme, silme, kısıtlama veya taşıma talep edebilir ya da itiraz edebilir. Bu talepleri müşteri ele alır.

9.2 Müşteri taleplerin çoğunu hizmet içinde kendisi yerine getirebilir; örneğin verileri değiştirerek, silerek veya dışa aktararak.

9.3 Müşteri bir talebi kendisi yerine getiremiyorsa Servaro makul sınırlar içinde yardımcı olur.

9.4 Servaro'ya doğrudan bir ilgili kişiden talep gelirse Servaro bunu 2 iş günü içinde müşteriye iletir. Müşteri istemedikçe Servaro esasa ilişkin kendisi yanıt vermez.

Madde 10. Güvenlik, VKED ve denetim makamı konusunda yardım

10.1 Servaro, GDPR'nin 32 ila 36. maddelerinden doğan yükümlülükleri yerine getirmesinde müşteriye yardımcı olur. Örneğin bir veri koruma etki değerlendirmesi (VKED/DPIA) için bilgi sağlayarak veya müşterinin önceden Hollanda Kişisel Verileri Koruma Kurumu'na (Autoriteit Persoonsgegevens) danışması gerektiğinde.

10.2 Servaro, hizmet ve güvenlik hakkındaki standart bilgileri ücretsiz verir. Yardım takvim yılı başına 1 saatten fazla sürerse Servaro, önceden teklif sunduktan sonra ek süreyi standart saat ücretiyle faturalandırabilir.

10.3 Müşteri Hollanda Siber Güvenlik Kanunu'na (Cyberbeveiligingswet) tabiyse Servaro talep üzerine tedarik zincirinin güvenliği hakkında makul bilgi verir. Bu durumda 10.2. madde de geçerlidir.

Madde 11. Veri ihlalleri

11.1 Servaro müşterinin kişisel verilerini etkileyen bir veri ihlali tespit ederse bunu gereksiz gecikme olmadan ve en geç ihlali tespit ettikten sonraki 24 saat içinde müşteriye bildirir.

11.2 Servaro bildirimi, müşterinin bu amaçla belirlediği irtibat kişisine e-posta ve telefonla yapar. Müşteri kimseyi belirlememişse bildirim hesap yöneticisine gider.

11.3 Servaro bildirimde o anda bildiklerini paylaşır:

• ne olduğu ve ne zaman olduğu;
• hangi tür verilerin ve ilgili kişilerin etkilendiği ve yaklaşık sayısı;
• olası sonuçların neler olduğu;
• Servaro'nun ihlali durdurmak ve zararı sınırlamak için ne yaptığı ve ne yapacağı;
• müşterinin daha fazla bilgi için kimi arayabileceği.

11.4 Servaro henüz her şeyi bilmiyorsa kalan bilgileri öğrendikçe iletir.

11.5 Veri ihlalini Hollanda Kişisel Verileri Koruma Kurumu'na ve ilgili kişilere bildirip bildirmeyeceğine müşteri karar verir. Müşteri bunu denetim makamına 72 saat içinde bildirmelidir. Servaro bu konuda yardımcı olur. Müşteri yazılı olarak istemedikçe Servaro müşteri adına bildirim yapmaz.

11.6 Servaro tüm veri ihlallerinin olgular, sonuçlar ve alınan önlemlerle birlikte bir kaydını tutar.

11.7 Servaro, kendisinin veya alt işleyeninin neden olduğu bir veri ihlalindeki yardımı için ücret almaz.

Madde 12. Denetim

12.1 Servaro, talep üzerine bu sözleşmeye uyduğunu göstermek için gereken tüm bilgileri müşteriye verir. Servaro bunu bağımsız bir tarafın son 12 aya ait sızma testi raporu veya sertifikası gibi güncel bir raporuyla da yapabilir.

12.2 Bu yeterli değilse müşteri, takvim yılı başına bir kez, gizlilik yükümlülüğü olan bağımsız ve yetkin bir denetçiye denetim yaptırabilir.

12.3 Müşteri denetimi, neyin inceleneceğini gösteren bir planla birlikte en az 4 hafta önceden bildirir. Denetim iş günlerinde yapılır, hizmeti mümkün olduğunca az aksatır ve yalnızca bu işlemeyi kapsar. Denetçi diğer müşterilerin verilerini görmez.

12.4 Denetimin maliyetini, Servaro'nun makul masrafları dahil, müşteri öder. Denetim Servaro'nun bu sözleşmeye önemli bir noktada uymadığını gösterirse denetimin maliyetini ve kendi masraflarını Servaro öder.

12.5 Bir veri ihlalinden sonra veya denetim makamı talep ederse müşteri yılda bir kez sınırının dışında da denetim yaptırabilir.

12.6 Müşteri denetim raporunun bir kopyasını Servaro'ya verir. Servaro denetimde ortaya çıkan eksiklikleri makul bir süre içinde giderir.

12.7 Müşteri, Servaro'nun yazılı izni olmadan Servaro'nun sistemlerini, örneğin bir sızma testiyle, kendisi test edemez.

Madde 13. Sona erme: iade ve silme

13.1 Müşteri verilerini her zaman, dosyalar orijinal biçimlerinde olmak üzere CSV ve JSON biçiminde kendisi dışa aktarabilir.

13.2 Ana sözleşmenin sona ermesinden sonra müşterinin, Genel Koşullar'da belirtildiği gibi verilerini dışa aktarmak için 30 günü (dışa aktarma süresi) vardır.

13.3 Dışa aktarma süresinin bitiminden sonraki 30 gün içinde Servaro müşterinin kişisel verilerini canlı sistemlerden siler. Müşteri silinmesini daha önce de talep edebilir.

13.4 Yedekler ayrıca temizlenmez. Veriler, yedeklerin plana göre üzerine yazılmasıyla, en geç silmeden 12 ay sonra yedeklerden kaybolur. O zamana kadar yedekler güvenli tutulur ve yalnızca hizmeti geri yüklemek için kullanılır.

13.5 Denetim kaydı bir istisnadır. Müşterinin talimatıyla Servaro, daha sonra kimin ne yaptığının izlenebilmesi için denetim kaydını en az 7 yıl saklar. Denetim kaydı değiştirilemez. 2 yıl sonra denetim kaydındaki IP adresleri ve cihaz verileri takma adlandırılır. Saklama süresinin sonunda denetim kaydı silinir.

13.6 Yasa Servaro'nun verileri daha uzun saklamasını gerektiriyorsa Servaro bunu yalnızca o amaçla ve mümkün olan en kısa süre için yapar.

13.7 Servaro talep üzerine verilerin silindiğini yazılı olarak onaylar.

13.8 Servaro dışa aktarma veya silme için ücret almaz.

Madde 14. Sorumluluk

14.1 Servaro'nun bu sözleşme kapsamındaki sorumluluğuna Genel Koşullar'daki kurallar (madde 19) uygulanır.

14.2 Hollanda Kişisel Verileri Koruma Kurumu'nun müşteriye verdiği para cezalarını müşteri Servaro'dan talep edemez; ceza, Servaro'nun yönetiminin veya yöneticilerinin kastından ya da bilinçli pervasızlığından kaynaklanıyorsa bu hüküm uygulanmaz.

Madde 15. Değişiklikler ve son hükümler

15.1 Servaro bu sözleşmeyi Genel Koşullar ile aynı şekilde değiştirebilir: 30 gün önceden bildirimle ve fesih hakkıyla. Ek 3'teki değişiklikler 6. maddeye göre yapılır.

15.2 Bu sözleşmenin yeni bir yasa veya denetim makamının bir kararı nedeniyle değişmesi gerekirse taraflar sözleşmeyi birlikte uyarlar.

15.3 Bu sözleşmeye Hollanda hukuku uygulanır. Uyuşmazlıklar Rotterdam Asliye Mahkemesi'ne (rechtbank Rotterdam) gider.

Ek 1. Servaro'nun işlediği veriler

Amaçlar

Servaro kişisel verileri yalnızca müşteriye hizmet sunmak için işler:

• işleri planlamak, teknisyenleri görevlendirmek ve iş raporları oluşturmak;
• servis, bakım ve muayeneleri fotoğraf, imza ve sonuçlarla birlikte kaydetmek;
• müşterinin kendi müşterilerini e-posta, SMS ve müşteri portalı üzerinden bilgilendirmek;
• çalışma saatlerini ve müşteri bunu açarsa teknisyenlerin konumlarını kaydetmek;
• müşteri kaydederken şirket bilgilerini aramak;
• konuşmayı ve metni, bir kişinin onayladığı yapay zekâ önerilerine dönüştürmek;
• oturum açma, güvenlik ve denetim kaydı;
• müşterinin talebi üzerine destek.

İlgili kişiler ve veriler

İzin verilmez: özel nitelikli kişisel veriler, cezai kayıt verileri ve vatandaşlık numaraları (BSN).

Saklama süreleri

Ek 2. Güvenlik önlemleri

Erişim

• İki adımlı doğrulama tüm kullanıcılar için zorunludur ve kapatılamaz.
• Role dayalı erişim: Her kullanıcı yalnızca rolüne ait olanı görür ve yapar.
• Servaro çalışanları yalnızca işleri gerektirdiğinde erişime sahiptir. Müşteri verilerine erişim denetim kaydına işlenir.

Müşteriler arasında ayrım

• Her müşterinin aynı veritabanında kendine ait, korunan bir ortamı vardır.
• Veritabanı (PostgreSQL) bu ayrımı satır düzeyinde güvenlikle (row-level security) kendisi uygular. Uygulama, yönetici yetkisi olmayan ve bu korumayı aşamayan bir veritabanı kullanıcısıyla bağlanır.
• Her değişiklikte otomatik testler, bir müşterinin başka bir müşterinin verilerini göremediğini kontrol eder.

Şifreleme

• Kullanıcılar, uygulamalar ve sunucular arasındaki tüm trafik TLS ile şifrelenir.

Kayıt tutma

• Denetim kaydı kimin ne yaptığını kaydeder. Denetim kaydı kullanıcılar veya uygulama tarafından değiştirilemez ya da silinemez.
• Sunucu kayıtları en fazla 14 gün saklanır.

Yedekleme ve geri yükleme

• Veritabanının ve dosyaların düzenli yedekleri.
• Daha önceki bir zamana geri yükleme mümkündür (point-in-time restore).
• Geri yüklemenin çalıştığını kontrol etmek için her çeyrekte bir yedeği ayrı bir test ortamına geri yükleriz.

Yüklemeler

• Fotoğraflar ve ekler gibi yüklenen dosyalar virüslere karşı taranır.

Geliştirme

• Yazılımdaki her değişiklik, derleme hattında (CI) koddaki gizli bilgiler ve bilinen güvenlik açıkları dahil otomatik güvenlik kontrollerinden geçer.
• Her ay otomatik bir güvenlik taraması çalışır ve Servaro her yıl harici bir sızma testi yaptırır.

Organizasyon

• Müşteri verilerine erişimi olan çalışanların ve dış kaynaklı personelin gizlilik yükümlülüğü vardır.
• Servaro'nun veri ihlalleri için bir prosedürü vardır (bkz. madde 11).
• Sunucular Hollanda'da, veri merkezinin fiziksel güvenliğini sağlayan bir barındırma şirketindedir.

Ek 3. Alt işleyenler

18 Ekim 2026 itibarıyla. Değişiklikler 6. maddeye göre yapılır. Güncel liste servaro.nl/subverwerkers adresindedir.

Yapay zekâ sağlayıcıları Mistral ve Anthropic (AWS Bedrock üzerinden) yalnızca yapay zekâ özellikleri açık olduğunda veri alır.

Servaro'nun alt işleyeni değildir, bilgi için

Kabul

Bu Veri İşleme Sözleşmesi, müşteri kayıt sırasında veya siparişte kabul ettiği anda geçerli olur.