Veri İşleme Sözleşmesi

Şablon sürümü: 19 Eylül 2026

Bu belge, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında Müşteri ile karbonveri arasında akdedilecek Veri İşleme Sözleşmesinin şablonudur. Kullanım Koşulları’nın 15. Bölümü uyarınca bu sözleşme Sipariş Formu’nun ayrılmaz ekidir ve Taraflarca imzalanır; imzalanmadan hizmet başlatılmaz. Sunucular Hollanda’da bulunduğu ve bu ülke için yeterlilik kararı verilmediği için, kişisel verilerin yurt dışına aktarımının Kanun’un 9. maddesi uyarınca belgelendirilmiş dayanağı bu sözleşmedir. Çelişki hâlinde uygulanacak öncelik sırası yalnızca Kullanım Koşulları’nın 14.6 maddesinde düzenlenmiştir; aşağıdaki 16. bölüm o maddeye atıf yapar, ondan ayrı bir sıra kurmaz.

Köşeli parantezli alanlar imza sırasında doldurulur. Büyük harfle başlayan terimler Kullanım Koşulları’nın 15. Bölümünde kendilerine verilen anlamı taşır. İmzaya esas nüshayı [email protected] adresinden talep edebilirsiniz.

1. Taraflar ve sıfatları

Veri sorumlusu: Müşteri — [______] (ticaret unvanı), [______] (adres).

Veri işleyen: karbonveri — Emre Simitçioğlu (gerçek kişi tacir; sözleşmenin tarafı) · İşletme adı: Nesasoft İnternet ve Yazılım Hizmetleri · Adres: Köprübaşı Mah. 4031. Sk. A Girişi No: 2 D: 5, Serdivan / Sakarya · E-posta: [email protected].

Abonelik Hizmeti’ne girilen kişisel veriler bakımından işleme amaç ve vasıtalarını Müşteri belirler; karbonveri bu verileri yalnızca Müşterinin talimatı doğrultusunda işler. Bu nedenle Müşteri veri sorumlusu, karbonveri veri işleyen sıfatını taşır. karbonveri’nin kendi internet sitesi ziyaretçileri, müşteri adayları ve Müşteri yetkilileriyle yürüttüğü ticari iletişim bakımından veri sorumlusu sıfatı ayrıca devam eder; bu işlemeye ilişkin aydınlatma KVKK Aydınlatma Metni’nde yer alır.

2. Konu, kapsam ve süre

Bu sözleşme, Kullanım Koşulları kapsamında sunulan Abonelik Hizmeti ve Profesyonel Hizmetler sırasında karbonveri tarafından Müşteri adına işlenen kişisel verilere ilişkin tarafların hak ve yükümlülüklerini düzenler. Sözleşme, Taraflarca imzalandığı tarihte yürürlüğe girer ve kişisel verilerin iade veya imhası tamamlanana kadar yürürlükte kalır; imza tarihi Sipariş Formu’nun 9. bölümünde gösterilir.

Fabrikaya ait yakıt, elektrik, hammadde ve üretim kayıtları kural olarak tüzel kişiye ait işletme verisidir ve kişisel veri niteliği taşımaz. Bu kayıtların içinde gerçek kişiye ait bilgi bulunması hâlinde ilgili kısımlar bu sözleşme kapsamında değerlendirilir.

3. İşleme amacı, hukuki sebep ve talimata bağlılık

karbonveri, kişisel verileri yalnızca aşağıdaki amaçlarla işler: Abonelik Hizmeti’nin sunulması; kullanıcı hesaplarının oluşturulması ve yetkilendirilmesi; gömülü emisyon hesaplarının yapılması; izleme planı, emisyon raporu, doğrulayıcı paketi ve alıcıya gidecek veri setinin üretilmesi; dört göz ilkesi gereği onay ve değişiklik kayıtlarının tutulması; destek taleplerinin karşılanması; bilgi güvenliğinin sağlanması ve hizmetin sürdürülmesi.

İşlemenin hukuki sebebi Kanun’un 5. maddesinin ikinci fıkrasının (c) bendi (sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması) ile (ç) bendidir (veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi). Bu hukuki sebeplerin varlığını, aydınlatma yükümlülüğünün yerine getirilmesini ve gerekiyorsa açık rızanın alınmasını Müşteri sağlar.

karbonveri, kişisel verileri Müşterinin yazılı talimatı dışında işlemez. Mevzuattan doğan bir yükümlülük nedeniyle talimat dışında işleme zorunluluğu doğarsa, hukuken mümkün olduğu ölçüde Müşteriye önceden bilgi verilir. karbonveri, bir talimatın Kanun’a aykırı olduğu kanaatine varırsa Müşteriyi gecikmeksizin bilgilendirir.

Talimata bağlılığın sınırı. karbonveri’nin kendi sistemlerinin güvenliğini sağlamak ve mevzuattan doğan kendi yükümlülüklerini yerine getirmek amacıyla tuttuğu erişim ve güvenlik günlükleri ile yetkisiz erişim denemesi kayıtları bakımından karbonveri, Kanun’un 12. maddesinden doğan kendi sorumluluğu çerçevesinde veri sorumlusu sıfatını taşır ve bu işleme Müşterinin talimatına bağlı değildir. Aynı kayıtlar, Müşterinin hesabındaki işlemleri göstermeleri ölçüsünde veri işleyen sıfatıyla da tutulur. Bu günlükler yalnızca bilgi güvenliği ve hizmetin sürdürülmesi amacıyla kullanılır; başka bir amaçla işlenmez, üçüncü kişilerle paylaşılmaz.

Destek süreçlerinde iki sıfat ayrışır: destek talebini ileten kişinin kimlik ve iletişim bilgileri ile karbonveri ile Müşteri arasındaki yazışmanın kendisi bakımından karbonveri veri sorumlusudur ve bu işlemenin aydınlatması KVKK Aydınlatma Metni’ndedir. Destek talebiyle birlikte iletilen ekran görüntüsü, kayıt örneği ve benzeri platform içeriği bakımından ise veri işleyen sıfatı ve bu sözleşme uygulanır.

Kişisel veriler; pazarlama amacıyla üçüncü kişilere satılmaz veya kiralanmaz, başka müşterilere gösterilen ortak bir havuza karıştırılmaz ve sektörel kıyaslama amacıyla kullanılmaz.

4. İşlenen kişisel veri kategorileri

Abonelik Hizmeti kapsamında aşağıdaki kategorilerde kişisel veri işlenir.

Kanun’un 6. maddesinde sayılan özel nitelikli kişisel verilerin işlenmesi öngörülmemektedir. Mesleki yeterlilik alanları, Türkiye Emisyon Ticaret Sistemi Yönetmeliğinin izin başvurusuna ilişkin ekinden doğar ve bu ekin gerektirdiği bilgiyle sınırlı tutulur; Müşteri bu alanlara diploma sureti gibi belge yüklememesi gerektiğini kabul eder.

5. İlgili kişi kategorileri

• Müşterinin Kullanıcı olarak yetkilendirdiği çalışanları,
• Müşteri adına sera gazı izleme ve raporlama için görevlendirilen gerçek kişiler ile görevlendirilen tüzel kişinin çalışanları,
• Müşterinin davet ettiği Tedarik Zinciri Şirketlerinin Abonelik Hizmeti’ne erişen yetkilileri,
• Müşterinin Avrupa Birliği’ndeki alıcılarının ve beyan sahiplerinin irtibat kişileri,
• Müşterinin seçtiği veya görevlendirilen akredite doğrulayıcının salt okunur erişim verilen personeli.

6. Veri sorumlusunun yükümlülükleri

Müşteri; Abonelik Hizmeti’ne aktardığı kişisel verilerin hukuka uygun olarak elde edildiğini, aktarım ve işleme için gerekli hukuki sebebin bulunduğunu, Kanun’un 10. maddesi uyarınca ilgili kişilerin aydınlatıldığını ve gereken hâllerde açık rızanın alındığını beyan eder. Müşteri; Kullanıcı hesaplarının doğru kişilere tanımlanmasından, görevden ayrılan personelin erişiminin kapatılmasından ve doğrulayıcıya verilen salt okunur erişimin süresinin belirlenmesinden sorumludur. Müşteri, amaçla bağlantılı olmayan kişisel veriyi panele girmemeyi kabul eder.

7. Veri işleyenin yükümlülükleri

karbonveri; kişisel verileri yalnızca talimata uygun olarak işler, Kanun’un 12. maddesi uyarınca gerekli teknik ve idari tedbirleri alır, verilere erişimi görev gereği bilmesi gereken personelle sınırlar, alt işleyenlerle bu sözleşmedeki kadar koruyucu yazılı sözleşme yapar, ilgili kişi taleplerinde Müşteriye yardım eder, veri ihlalinde Müşteriyi bilgilendirir ve sözleşmenin sona ermesinde verileri iade veya imha eder.

8. Gizlilik ve personel

Kişisel verilere erişimi olan karbonveri personeli ve alt yüklenicileri, süresiz gizlilik yükümlülüğü altındadır; bu yükümlülük görev ilişkisinin sona ermesinden sonra da devam eder. Erişim, işin gerektirdiği en dar kapsamda tanımlanır ve görev değişikliğinde gözden geçirilir.

9. Teknik ve idari tedbirler

Kanun’un 12. maddesi uyarınca alınan tedbirler şunlardır:

• Aktarım güvenliği: panel ve arka uç arasındaki trafik TLS ile şifrelenir.
• Kimlik doğrulama: her Kullanıcı kendi hesabıyla giriş yapar, parolalar özetlenerek saklanır, oturum bilgisi tarayıcı betiğinden okunamayan çerezde tutulur.
• Yetkilendirme: dört rollü yetki matrisi hem arayüzde hem sunucuda uygulanır; tarayıcı tarafında rol değiştirmek hiçbir kapıyı açmaz.
• Görev ayrılığı: veriyi giren ile onaylayan farklı kişilerdir; doğrulayıcı erişimi salt okunurdur ve süreye bağlanabilir.
• Denetim izi: kayıt ekleme, değiştirme, onaylama ve silme olayları ayrı bir tabloya yazılır. Bu tablodaki bir kaydın güncellenmesi her hâlde veri tabanı düzeyinde reddedilir; doğrudan veri tabanı oturumu da dâhil hiçbir yol kaydın içeriğini değiştiremez. Silme yalnızca tek bir hâlde mümkündür: Müşterinin yöneticisinin panelden açıkça başlattığı “hesabı boşaltma” işlemi. 14. madde uyarınca sözleşmenin sona ermesinden sonra yapılan imha da bu işlemle yürütülür. Bunun dışında silme de veri tabanı düzeyinde reddedilir.
• Veri en aza indirme: hesaplama fatura ve üretim kayıtlarından yapılır; ölçüm donanımı, konum takibi veya çalışan davranışı izleme bulunmaz.
• Yedekleme ve geri yükleme: veri tabanının tamamı tek dosyaya dökülür ve boş bir veri tabanına geri yüklenebilir; geri yüklenen kopyanın aslıyla birebir olduğu — bütün tabloların satır sayısı ve dökümün içerik özeti — her sürümde ölçülür. Yarım kalmış döküm dosyası geri yükleme sırasında reddedilir.
• Müşterinin kendi kopyası: Abonelik Hizmeti dışa aktarma işlevi sağlar; Müşteri, kendi kayıtlarının bağımsız bir kopyasını tutmakla yükümlüdür.
• Günlükleme: erişim ve yetkisiz erişim denemeleri kayıt altına alınır.

Tedbirler, teknolojideki ve risklerdeki değişime göre güncellenir; güncelleme, bu sözleşmedeki koruma seviyesini düşürecek şekilde yapılamaz.

10. Alt işleyenler

Müşteri, hizmetin sunulabilmesi için aşağıdaki kategorilerde alt işleyen kullanılmasına genel olarak izin verir.

Barındırma sağlayıcısının unvanı ve adresi ile her alt işleyenin bulunduğu ülke, imza sırasında Müşteriye güncel alt işleyen listesiyle birlikte yazılı olarak verilir; liste ayrıca [email protected] adresinden her zaman talep edilebilir. karbonveri, yeni bir alt işleyen eklenmesinden veya mevcut bir alt işleyenin değiştirilmesinden en az 30 gün önce Müşteriyi yazılı olarak bilgilendirir. Müşteri bu süre içinde haklı gerekçeyle yazılı olarak itiraz edebilir; itirazın çözülememesi hâlinde Müşteri, Sözleşmeyi etkilenen hizmet bakımından tazminatsız feshedebilir ve peşin ödenmiş Ücretlerin kullanılmayan döneme düşen kısmı orantılı olarak iade edilir. Her alt işleyenle Kanun’un 12. maddesi uyarınca yazılı sözleşme yapılır ve karbonveri, alt işleyenin fiillerinden Müşteriye karşı sorumludur.

11. Yurt dışına aktarım

Aktarımın kapsamı. Platformun barındırıldığı sunucular Hollanda’da (Amsterdam) bulunmaktadır; bu nedenle hesap, yazışma, tesis ve üretim verisinin tamamı Hollanda’ya aktarılmaktadır. Ayrıca 10. maddedeki alt işleyenlerden e-posta iletimi ve güvenlik ve içerik dağıtımı hizmetlerinin altyapısı yurt dışında bulunduğundan, bu hizmetlerin gerektirdiği ölçüde iletişim bilgileri ile IP ve tarayıcı bilgisi de yurt dışına aktarılmaktadır. Kanun’un 9. maddesi uyarınca aktarımda öncelikle ilgili ülke hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararı aranır. Hollanda hakkında verilmiş bir yeterlilik kararı bulunmamaktadır. Bu nedenle aktarım, Kanun’un 5. ve 6. maddesindeki şartların varlığı kaydıyla, Kurul tarafından ilan edilen standart sözleşmeye dayanılarak yapılır.

Hangi tip, kim imzalar, kim bildirir. Kurul dört ayrı standart sözleşme tipi ilan etmiştir: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri sorumlusuna ve veri işleyenden veri işleyene. Bu sözleşme kapsamındaki aktarımda aktaran taraf veri işleyen sıfatıyla karbonveri, alıcı taraf ise yurt dışındaki alt işleyendir; bu nedenle veri işleyenden veri işleyene tipi kullanılır ve standart sözleşme bu iki taraf arasında imzalanır. Standart sözleşmeyi imzalayan taraflar imza tarihinden itibaren beş iş günü içinde Kurul’a bildirimde bulunur; bu aktarımda bildirimi karbonveri yapar ve bildirimin yapıldığını Müşteriye yazılı olarak teyit eder. Müşterinin kendi veri sorumlusu sıfatından doğan yükümlülükleri saklıdır.

Yeterlilik kararı verilmesi veya Kurul tarafından ilan edilen güvencelerde değişiklik olması hâlinde aktarımın dayanağı güncellenir ve Müşteriye bildirilir. Standart sözleşmenin uygulanamaz hâle gelmesi durumunda Taraflar, Kanun’un 9. maddesindeki diğer uygun güvencelerden birine geçmek üzere iyi niyetle görüşür; uygun güvence sağlanamazsa aktarım durdurulur.

12. Veri ihlali bildirimi

karbonveri, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiği takdirde durumu gecikmeksizin ve her hâlde 24 saat içinde Müşteriye bildirir. Bildirim; ihlalin niteliğini, etkilenen ilgili kişi ve kayıt kategorilerini ve yaklaşık sayısını, olası sonuçlarını, alınan ve alınması planlanan tedbirleri ve irtibat kişisini içerir. Bilgilerin tamamı aynı anda verilemiyorsa aşamalı olarak iletilir.

Kanun’un 12. maddesinin beşinci fıkrası uyarınca ihlali Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirme yükümlülüğü veri sorumlusu sıfatıyla Müşteriye aittir. karbonveri, bu bildirimin süresinde yapılabilmesi için gereken bilgi ve belgeyi sağlar ve makul iş birliğini gösterir.

13. İlgili kişi taleplerinde iş birliği

Kanun’un 11. maddesi kapsamındaki talepleri karşılamak veri sorumlusu sıfatıyla Müşteriye aittir. karbonveri’ye doğrudan ulaşan bir talep, içeriğine cevap verilmeksizin gecikmeksizin Müşteriye yönlendirilir ve talep sahibine yönlendirme yapıldığı bildirilir.

karbonveri; bilgi verme, düzeltme, silme, yok etme ve aktarılan üçüncü kişilere bildirim taleplerinin karşılanabilmesi için Abonelik Hizmeti’nin sunduğu araçları sağlar ve gereken teknik desteği verir. Denetim izi kayıtları, mevzuattan doğan saklama yükümlülüğü ve bir hakkın tesisi, kullanılması veya korunması amacıyla saklandığından silme taleplerinin dışındadır; bu kayıtlar yalnızca kimin hangi işlemi yaptığını gösterir.

14. Saklama, iade ve imha

Kişisel veriler, işlendikleri amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen asgari süreler kadar saklanır. Sözleşmenin sona ermesi hâlinde Kullanım Koşulları’nın 13.3 maddesi uygulanır: Müşteri, fesih tarihinden itibaren 30 gün içinde Müşteri Verisinin bir kopyasını yaygın kullanılan bir formatta talep edebilir. Bu sürenin sonunda veriler, mevzuattan doğan saklama yükümlülükleri saklı kalmak üzere 90 gün içinde silinir, yok edilir veya anonim hâle getirilir.

Deneme süresi sonunda ücretli aboneliğe geçilmemesi hâlinde Müşteri Verisi 30 gün içinde silinir (Kullanım Koşulları 2. Bölüm). İmha işlemleri, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca yürütülür. Talep hâlinde imhanın tamamlandığı yazılı olarak teyit edilir.

15. Denetim ve bilgi verme

karbonveri, bu sözleşmeden doğan yükümlülüklere uygunluğu göstermek üzere gereken bilgiyi Müşterinin yazılı talebi üzerine sağlar. Müşteri, yılda bir defayı aşmamak ve en az 30 gün önceden yazılı bildirimde bulunmak kaydıyla, mesai saatleri içinde ve hizmetin işleyişini aksatmayacak biçimde denetim yapabilir veya gizlilik yükümlülüğü altındaki bağımsız bir denetçiye yaptırabilir. Veri ihlali yaşanması hâlinde bu sınırlama uygulanmaz. Denetim sırasında elde edilen bilgiler Gizli Bilgi sayılır; denetim, başka müşterilere ait veriyi kapsayamaz.

16. Genel hükümler

Bu sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda Kullanım Koşulları’nın 14.2 maddesi uygulanır. Bu sözleşmede hüküm bulunmayan hâllerde Kullanım Koşulları uygulanır. Çelişki hâlinde uygulanacak öncelik sırası yalnızca Kullanım Koşulları’nın 14.6 maddesinde düzenlenmiştir; o maddeye göre kişisel verilerin işlenmesine ilişkin konularda bu sözleşme, Sipariş Formu dâhil diğer bütün belgelerden önce gelir. Sözleşmede yapılacak değişiklikler yazılı olarak kararlaştırılır. Herhangi bir hükmün geçersiz sayılması diğer hükümlerin geçerliliğini etkilemez.

17. İmza

İletişim

Kişisel verilere ilişkin soru ve talepleriniz için [email protected] adresine yazabilirsiniz. Diğer belgeler Yasal Bilgiler sayfasında yer alır.