IZMBIL KİŞİSEL VERİ İŞLEME EK PROTOKOLÜ (DPA)

Sürüm 4.0 • Yürürlük: 29.09.2026

Bu DPA, Müşterinin kendi veri sorumlusu olduğu kişisel verileri IZMBIL altyapısında işlettirdiği ve IZMBIL'in somut hizmette veri işleyen rolü üstlendiği ölçüde uygulanır. Taraflar başka faaliyetlerde bağımsız veri sorumlusu olabilir.

1. Belgelenmiş Talimat

IZMBIL Müşteri verisini yalnızca hizmet sunumu, güvenlik, arıza, backup/restore ve hukuki yükümlülük için belgelenmiş talimatlar doğrultusunda işler; hukuka aykırı olduğunu düşündüğü talimatı Müşteriye bildirebilir ve işlemeyi durdurabilir.

2. Gizlilik ve Personel

Veriye görev gereği erişen personel/uzmanlar uygun gizlilik yükümlülüğüne tabidir ve erişim ihtiyaç kadar sınırlandırılır.

3. Teknik ve İdari Tedbirler

Hizmete uygun olarak erişim yönetimi, segmentasyon, firewall/DDoS, log/monitoring, yama/zafiyet yönetimi, şifreleme imkanı, backup, fiziksel güvenlik, olay müdahalesi ve iş sürekliliği kontrollerinden uygulanabilir olanlar kullanılır. Unmanaged sistemde OS/uygulama güvenliği Müşteriye aittir.

4. Alt İşleyenler

Veri merkezi, ağ/CDN/DNS, backup, monitoring, lisans veya teknik destek sağlayıcıları alt işleyen olabilir. Kişisel veriye erişen alt işleyenlerle uygulanabilir veri koruma yükümlülükleri tesis edilir. Gerekli olduğu ölçüde güncel alt işleyen listesi Müşteriye sunulur.

5. İhlal Bildirimi

IZMBIL, Müşteri verisini etkileyen doğrulanmış ihlali öğrendiğinde hukuken ve teknik olarak mümkün olan en kısa sürede Müşteriye mevcut bilgileri iletir; ilk bildirim incelemenin tamamlandığı anlamına gelmez. Müşterinin kendi Kurul/ilgili kişi bildirim yükümlülüğünün değerlendirilmesine makul destek verir.

6. İlgili Kişi Talepleri

Müşterinin veri sorumlusu olduğu veriye ilişkin talep IZMBIL'e gelirse, hukuki engel yoksa Müşteriye yönlendirilir. Olağandışı teknik çıkarma/arama ayrıca ücretlendirilebilir; IZMBIL'in kendi ihlalinden doğan işlerde bu ücret hükmü uygulanmaz.

7. Denetim

Müşteri makul aralık ve ön bildirimle uyum bilgisi isteyebilir. Denetim önce belge/rapor/uzaktan inceleme ile yapılır ve diğer müşterilerin verisine, ticari sırlarına veya kritik güvenlik detaylarına erişim vermez.

8. Silme ve İade

Hizmet sonunda aktif veriler teknik silme planına göre kaldırılır; yedekler normal rotation içinde kalabilir. Kanunen saklanması gereken kayıtlar zorunlu süre boyunca tutulur. SOW farklı bir export/teslim yükümlülüğü belirleyebilir.

9. Yurt Dışı Aktarım

Yurt dışı aktarım gerekiyorsa 6698 sayılı Kanun m.9'a uygun mekanizma kullanılır. Standart sözleşme kullanılıyorsa imzadan sonra mevzuattaki bildirim süreci yerine getirilir.

10. İşleme Ek Bilgileri

Her hizmet için işleme konusu/süresi, amaç, veri kategorileri, ilgili kişi grupları, veri lokasyonu, retention ve uygulanabilir aktarım mekanizması sipariş/SOW/teknik ekte belirlenebilir. IZMBIL'in fiilen uygulamadığı güvenlik kontrolü taahhüt edilmiş sayılmaz.

11. Sorumluluk

Taraflar kendi kontrol alanındaki veri işleme ve mevzuat yükümlülüklerinden sorumludur. Bu DPA veri sorumlusuna ait kanuni yükümlülükleri IZMBIL'e devretmez.