Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve Kapsam

Bu Veri İşleme Sözleşmesi ("DPA"); Platformu kullanan işletme ("Veri Sorumlusu") ile Lumiperi ("Veri İşleyen") arasında, işletmenin Platforma girdiği kişisel verilerin işlenmesine ilişkin koşulları düzenler. Abonelik sözleşmesinin kabulüyle birlikte yürürlüğe girer ve onun eki sayılır.

2. İşlemenin Konusu, Süresi ve Niteliği

İşlemenin konusu; randevu, müşteri ilişkileri, personel, stok ve finans yönetimi hizmetlerinin sunulmasıdır. İşleme, abonelik süresi boyunca devam eder. Niteliği; verilerin barındırılması, görüntülenmesi, iletilmesi (SMS/WhatsApp/e-posta bildirimleri), yedeklenmesi ve talep hâlinde silinmesidir.

3. Veri Kategorileri ve İlgili Kişi Grupları

İlgili kişiler: işletmenin müşterileri ve personeli. Veri kategorileri: kimlik ve iletişim bilgileri, randevu ve hizmet geçmişi, işletmenin girdiği notlar ve fotoğraflar, form yanıtları, ödeme ve bakiye kayıtları.

4. Talimatla İşleme

Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusunun belgelenmiş talimatları doğrultusunda (Platform işlevlerinin kullanımı talimat sayılır) işler; hukuken zorunlu hâller saklıdır. Veri İşleyen, bir talimatın veri koruma mevzuatına aykırı olduğu kanaatindeyse Veri Sorumlusunu derhâl bilgilendirir.

5. Gizlilik

Veri İşleyen, kişisel verilere erişimi olan personelinin gizlilik taahhüdü altında olmasını sağlar ve erişimi görev gereği bilmesi gerekenlerle sınırlar.

6. Güvenlik Önlemleri

Veri İşleyen, GDPR m.32 uyarınca asgari şu önlemleri uygular:

• Aktarımda ve beklemede şifreleme (HTTPS/TLS, şifreli veritabanı).
• Rol tabanlı erişim kontrolü ve parola politikaları.
• Satır bazlı firma izolasyonu: her işletmenin verisi diğerlerinden mantıksal olarak ayrılır.
• Düzenli yedekleme ve loglama; erişim kayıtlarının tutulması.

7. Alt İşleyen Yetkisi

Veri Sorumlusu, Veri İşleyenin Alt İşlemciler sayfasında listelenen alt işleyenleri kullanmasına genel yazılı yetki verir. Listedeki değişiklikler sayfada yayımlanır ve abonelere e-posta ile duyurulur; Veri Sorumlusu makul gerekçeyle itiraz edebilir.

8. Veri Sahibi Taleplerine Destek

Veri İşleyen; erişim, düzeltme, silme, taşınabilirlik ve itiraz taleplerinin karşılanmasında Veri Sorumlusuna Platform işlevleri (müşteri kaydı silme, JSON dışa aktarma) ve destek kanalı aracılığıyla yardım eder. Doğrudan kendisine ulaşan talepleri Veri Sorumlusuna yönlendirir.

9. İhlal Bildirimi

Veri İşleyen, kişisel veri ihlalinden haberdar olduğunda Veri Sorumlusunu gecikmeksizin ve en geç 72 saat içinde bilgilendirir; ihlalin niteliği, etkilenen kayıtlar ve alınan önlemler hakkında bilgi sağlar.

10. Sözleşme Sonunda Silme veya İade

Abonelik sona erdiğinde Veri Sorumlusu, verilerini JSON formatında dışa aktarabilir (Ayarlar → Veri Yedeği). Dönem sonunu izleyen 90 günlük bekleme süresinin ardından tüm kişisel veriler, hukuken saklanması zorunlu olanlar hariç, silinir.

11. Denetim Hakkı

Veri İşleyen, bu DPA'ya uyumu göstermek için gerekli bilgileri Veri Sorumlusuna sunar ve yılda bir kez, makul önelli yazılı bildirimle, gizlilik yükümlülüğü altında denetim veya bağımsız denetim raporlarının paylaşımına imkân tanır.