Tedarikçi Gizlilik ve KVKK Sözleşmesi

Bu Sözleşme'nin amacı; MÜŞTERİ'ye ("Veri Sorumlusu") sunulan alan adı, web hosting, reseller hosting, bulut ve sanal sunucu, yönetilen bulut sunucu, fiziksel sunucu kiralama, sunucu barındırma (colocation), kurumsal e-posta, SSL sertifikası ve lisans hizmetleri kapsamında; tarafların erişebileceği gizli bilgilerin ve kişisel verilerin korunmasına ilişkin karşılıklı hak, yükümlülük ve sorumlulukların belirlenmesidir.

Hizmetlerin teknik olarak sunulduğu veri merkezi, sunucu, depolama, ağ ve destek altyapısı İzmir'de bulunan ve Alastyr Telekomünikasyon Anonim Şirketi tarafından işletilen altyapıdır. MÜŞTERİ'nin hizmet sözleşmesinin ve faturasının hangi Alastyr şirketi adına düzenlendiğinden bağımsız olarak, MÜŞTERİ adına barındırılan kişisel verileri işleyen taraf Alastyr Telekomünikasyon Anonim Şirketi'dir. Bu Sözleşme, bireysel ve kurumsal tüm MÜŞTERİLER için tek ve aynı metin olarak uygulanır.

Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili ikincil mevzuat uyarınca veri sorumlusu ile veri işleyen arasındaki ilişkiyi düzenleyen veri işleme esaslarını, gizlilik taahhütlerini ve bilgi güvenliği yükümlülüklerini kapsar.

Bu Sözleşme, alastyr.com/sozlesme adresinde yayımlanan hizmet sözleşmelerinin (Üyelik Sözleşmesi, Paylaşımlı Hosting Sözleşmesi, Sunucu Hizmet Sözleşmesi, Alan Adı Sözleşmesi, SLA Sözleşmesi ve Servis Kullanım Şartları) tamamlayıcısıdır. Gizlilik ve kişisel verilerin korunması konularında bu Sözleşme hükümleri öncelikli olarak uygulanır.

İşbu Sözleşme, aşağıda bilgileri yer alan taraflar arasında akdedilmiştir. KVKK anlamında MÜŞTERİ "Veri Sorumlusu", TEDARİKÇİ ise MÜŞTERİ adına ve talimatları doğrultusunda veri işleyen "Veri İşleyen" sıfatını taşır.

2.1.Veri İşleyen / Tedarikçi

2.2.Hizmet Sözleşmesi Tarafı

MÜŞTERİ'nin hizmet sözleşmesinin tarafı ve faturayı düzenleyen Alastyr şirketi ("HİZMET SÖZLEŞMESİ TARAFI"), müşteri panelinde ve faturada gösterilen şirkettir:

HİZMET SÖZLEŞMESİ TARAFI'nın Alastyr Technology LTD olduğu hallerde bu şirket, madde 3'te belirtilen yükümlülükler bakımından Sözleşme'ye taraf olur.

2.3.Veri Sorumlusu / Müşteri

MÜŞTERİ'ye ait aşağıdaki bilgiler müşteri panelinde kayıtlı bilgilerle aynıdır:

TEDARİKÇİ, HİZMET SÖZLEŞMESİ TARAFI ve MÜŞTERİ, bu Sözleşme'de tek tek "Taraf", birlikte "Taraflar" olarak anılacaktır. TEDARİKÇİ ve Alastyr Technology LTD birlikte "ALASTYR ŞİRKETLERİ" olarak anılacaktır.

HİZMET SÖZLEŞMESİ TARAFI'nın Alastyr Technology LTD olduğu hallerde aşağıdaki esaslar uygulanır:

İşbu Sözleşme, aşağıdaki mevzuat ve standartlar dikkate alınarak hazırlanmıştır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanun ile değişik haliyle) ve ilgili ikincil mevzuat,
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ve Kurul tarafından ilan edilen standart sözleşmeler,
• Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı Kişisel Veri İhlali Bildirim Usul ve Esasları kararı,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun (yer sağlayıcı yükümlülükleri),
• İnternet Alan Adları Yönetmeliği ve TRABİS kuralları (.TR alan adı kayıt kuruluşu yükümlülükleri),
• Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi ve ilgili kararlar,
• ISO/IEC 27001:2022 – Bilgi Güvenliği Yönetim Sistemi,
• ISO 9001:2015 – Kalite Yönetim Sistemi.

TEDARİKÇİ'nin bilgi güvenliği ve kalite yönetim sistemleri ISO/IEC 27001:2022 ve ISO 9001:2015 standartlarına göre işletilir.

Bu bölüm, bir güvenlik olayı (siber zafiyet, ihlal vb.) yaşanması halinde hangi tarafın hangi katmandan sorumlu olduğunu belirler. Sorumluluğun sınırı, MÜŞTERİ'nin aldığı hizmet türüne göre değişir ve aşağıdaki temel ilkeye göre dağıtılır.

6.1.Sorumluluğun Temel İlkesi: Kontrol ve Erişim Yetkisi

Bir kontrol katmanının güvenliğinden, o katmana teknik olarak erişebilen ve onu yönetme yetkisine sahip olan taraf sorumludur. TEDARİKÇİ, yalnızca teknik erişim ve yönetim yetkisine sahip olduğu katmanlarda (İzmir'deki veri merkezinin fiziksel altyapısı, AS3188 ağ omurgası, sanallaştırma katmanı ve TEDARİKÇİ'nin yönettiği hosting platformları) güvenlik tedbiri alabilir.

Yönetimsiz hizmetlerde TEDARİKÇİ, MÜŞTERİ'nin sunucusunun içine, işletim sistemine, kurduğu yazılımlara, güvenlik duvarı yapılandırmasına ve belirlediği parolalara teknik olarak erişemez ve müdahale edemez. Erişim ve müdahale yetkisi bulunmayan bir katmandaki yapılandırma hatasından, güncel tutulmayan yazılımdan veya zayıf paroladan kaynaklanan açıklardan TEDARİKÇİ teknik ve hukuki olarak sorumlu tutulamaz. Bu yaklaşım, barındırma ve bulut sektöründe yerleşik "paylaşılan sorumluluk modeli" ile uyumludur. Taraflar arasındaki bu dağılım, KVKK m.12/2 uyarınca veri güvenliği tedbirleri bakımından Kurul'a ve ilgili kişilere karşı öngörülen müşterek sorumluluğu ortadan kaldırmaz; her taraf kendi kontrolündeki tedbirleri almakla yükümlüdür.

6.2.Paylaşımlı Hosting, Reseller Hosting ve Kurumsal E-posta Hizmetleri

Bu başlık; cPanel ve Plesk tabanlı Linux ve Windows hosting, kurumsal hosting, WordPress, NodeJS ve SEO hosting, reseller hosting ve kurumsal e-posta hosting hizmetlerini kapsar.

TEDARİKÇİ; sunucu işletim sistemi (AlmaLinux / CloudLinux, Windows Server), lisanslı kontrol paneli (cPanel/WHM, Plesk) ve sunucu üzerindeki ortak bileşenlerin (LiteSpeed web sunucusu, e-posta servisleri, Imunify360) kurulum, güncelleme ve güvenlik bakımını üstlenir. Hesaplar CloudLinux LVE ve CageFS ile birbirinden yalıtılır; sunucular güvenlik duvarı ve TEDARİKÇİ'nin işlettiği kötü niyetli trafik engelleme altyapısı ile korunur.

MÜŞTERİ'nin hesabı içinde kurduğu veya kullandığı uygulama, tema, eklenti ve yazılımlar ile hesap ve e-posta parolaları TEDARİKÇİ'nin kontrolünde olmadığından, bunlardan kaynaklanan açıklar MÜŞTERİ'nin sorumluluğundadır.

Reseller hosting hizmetinde MÜŞTERİ, kendi müşterilerine açtığı hesaplar bakımından bu müşterilerine karşı veri sorumlusu veya veri işleyen sıfatını taşıyabilir. Bu durumda TEDARİKÇİ, MÜŞTERİ'nin alt veri işleyeni konumundadır; alt hesapların açılması, yetkilendirilmesi ve bu hesap sahiplerine karşı KVKK yükümlülüklerinin yerine getirilmesi MÜŞTERİ'nin sorumluluğundadır.

6.3.Fiziksel (Dedicated) Sunucu Kiralama ve Sunucu Barındırma (Colocation)

TEDARİKÇİ; veri merkezi fiziksel güvenliği, N+1 yedekli enerji ve iklimlendirme sürekliliği, ağ omurgası ile tahsis edilen IP adreslerine ilişkin genel ağ güvenliği koşullarını sağlar. İşletim sistemi, uygulamalar, güvenlik duvarı yapılandırması, yedekleme ve sunucu içi tüm güvenlik yönetimi münhasıran MÜŞTERİ'ye aittir. TEDARİKÇİ'nin sunucu içine erişim ve müdahale yetkisi bulunmadığından, sunucu içindeki açıklardan ve kişisel veri işleme faaliyetinden TEDARİKÇİ sorumlu tutulamaz; bu kapsamda yalnızca altyapı seviyesinde veri işleyen sıfatını taşır.

Fiziksel sunucu kiralamada sunucu donanımı TEDARİKÇİ'ye aittir; donanım arızası ve parça değişiminde arızalı veri taşıyıcıları madde 15'teki kurallara göre imha edilir. Sunucu barındırmada (colocation) donanım MÜŞTERİ'ye aittir; ekipmanın veri merkezine kabulü ve iadesi tutanakla yapılır ve TEDARİKÇİ, ekipman üzerindeki verilere erişmez.

6.4.Bulut ve Sanal Sunucu (VPS / VDS / Pro Cloud) – Yönetimsiz

Sanal sunucunun çalıştığı fiziksel sunucular, depolama sistemleri ve kurumsal sanallaştırma (hypervisor) katmanı TEDARİKÇİ'nin kontrolünde olduğundan; TEDARİKÇİ, bu katmanların fiziksel ve ağ güvenliğini, sanallaştırma katmanının güvenliğini ve sanal makineler arası izolasyonu MÜŞTERİ adına sağlar. Sanal sunucunun içindeki misafir işletim sistemi, uygulamalar, erişim ve parola yönetimi ile güvenlik duvarı yapılandırması ise MÜŞTERİ'nin yönetimindedir; TEDARİKÇİ bu katmana erişemediğinden buradaki açıklardan sorumlu tutulamaz.

TEDARİKÇİ'nin sanallaştırma ve ağ katmanındaki bilinen açıklara ilişkin takip ve bildirim yükümlülüğü madde 13.2 ile sınırlıdır; misafir işletim sistemi ve içindeki bileşenlere ilişkin herhangi bir zafiyet takibi veya bildirimi TEDARİKÇİ'den beklenemez.

6.5.Yönetilen Bulut Sunucu ve SLA Hizmetleri

Yönetilen bulut sunucu hizmetinde ve SLA kapsamında sunucu yönetimi satın alınan hizmetlerde TEDARİKÇİ, sunucu yönetimini de sözleşme gereği üstlendiğinden işletim sistemi seviyesinde bilinen siber güvenlik önlemlerini alır. Yönetilen bulut sunucular CloudLinux ve Imunify360 entegre olarak sunulur; hizmet alım tarihinden sonra duyurulan işletim sistemi ve sunucu yazılımı açıkları mümkün olan en kısa sürede giderilir.

TEDARİKÇİ bu kapsamda hem altyapı hem sunucu seviyesinde, hizmet sözleşmesinde ve SLA Sözleşmesi'nde tanımlanan yönetim kapsamıyla sınırlı olarak MÜŞTERİ adına tedbir alır. Uygulama içeriği, son kullanıcıya ait veriler ve işleme amaçlarının belirlenmesi yine veri sorumlusu sıfatıyla MÜŞTERİ'ye aittir.

6.6.Alan Adı, DNS, SSL Sertifikası ve Lisans Hizmetleri

TEDARİKÇİ, .TR uzantılı alan adları için BTK tarafından yetkilendirilmiş kayıt kuruluşudur; diğer uzantılarda alan adı işlemleri yetkili kayıt kuruluşları aracılığıyla yürütülür. Alan adı tescili için gereken kayıt bilgileri (alan adı sahibi, iletişim bilgileri ve .TR için gerekli belgeler) ilgili kayıt sistemlerine iletilir. Bu bilgiler bakımından TEDARİKÇİ, mevzuattan doğan kendi yükümlülükleri çerçevesinde hareket eder; MÜŞTERİ, kendi adına değil üçüncü kişiler adına yaptığı tescillerde bu kişilerin bilgilendirilmesinden sorumludur.

TEDARİKÇİ, alan adlarının yayınlandığı DNS altyapısını (ns1–ns4) işletir ve DNS hizmetinin sürekliliğinden sorumludur. DNS kayıtlarının içeriği MÜŞTERİ tarafından belirlenir.

SSL sertifikası ve yazılım lisansı (cPanel, Plesk, CloudLinux, Windows vb.) hizmetlerinde, sertifika doğrulaması ve lisans aktivasyonu için gereken bilgiler ilgili sertifika otoritesine veya lisans sağlayıcısına iletilir. MÜŞTERİ'nin kendi ortamında tuttuğu özel anahtarların korunması MÜŞTERİ'nin sorumluluğundadır.

6.7.Sorumluluk Dağılımı Tablosu

Aşağıdaki tablo, her kontrol katmanından hangi tarafın sorumlu olduğunu hizmet türüne göre gösterir. Renkler hızlı okuma içindir.

* DDoS koruması ve ağ erişilebilirliği, azami gayret (best effort) esasıyla ve TEDARİKÇİ'nin altyapı bant genişliği, üst operatör (transit/upstream) kapasitesi ve DDoS koruma hizmeti sağlayıcısının kapasitesiyle sınırlı olarak sağlanır; bu kapasitenin aşıldığı hallerde madde 6.8 uygulanır.

** TEDARİKÇİ'nin altyapı sürekliliği amacıyla aldığı yedekler, hizmet sözleşmesinde, SLA Sözleşmesi'nde veya satın alınan ek yedekleme hizmetinde ayrıca taahhüt edilmedikçe MÜŞTERİ verisi için geri yükleme garantisi oluşturmaz. MÜŞTERİ, kendi verisinin güncel yedeğini almakla yükümlüdür.

6.8.Hizmet Sürekliliği, DDoS Koruması ve Mücbir Sebep

TEDARİKÇİ; İzmir'deki kendi veri merkezinde N+1 yedekli enerji (UPS ve jeneratör) ve iklimlendirme altyapısını, iki farklı operatörden alınan yedekli internet bağlantısını ve L3-L4 DDoS koruma hizmetini işletir; ağ güvenliği ve DDoS koruması için makul ve azami gayreti gösterir. Bununla birlikte TEDARİKÇİ; kesintisiz erişim veya her ölçekteki saldırıya karşı tam koruma garantisi vermez.

TEDARİKÇİ'nin makul kontrolü dışında kalan olaylar mücbir sebep sayılır ve bu olaylardan kaynaklanan geçici erişim kesintileri sözleşmeye aykırılık veya kusur teşkil etmez; TEDARİKÇİ'ye herhangi bir tazmin veya sorumluluk yüklemez. Mücbir sebep halleri arasında, bunlarla sınırlı olmamak üzere; mevcut altyapı, üst operatör veya DDoS koruma kapasitesini aşan yüksek hacimli saldırılar, üst operatör veya kamu iletişim altyapısı kaynaklı arıza ve kesintiler, enerji altyapısı kesintileri, doğal afetler ile resmi makam karar ve uygulamaları yer alır.

Hizmet seviyesi, erişilebilirlik oranı ve kesinti tazminine ilişkin ayrıntılı taahhütler (varsa) Taraflar arasındaki hizmet sözleşmesi ve SLA Sözleşmesi hükümlerine tabidir; işbu Sözleşme bu konularda bağımsız bir erişilebilirlik taahhüdü oluşturmaz.

Bir güvenlik olayında sorumluluk; olayın hangi kontrol katmanından kaynaklandığına ve o katmanın madde 6.7'deki dağılıma göre hangi tarafın yönetiminde olduğuna bakılarak belirlenir. Kaynağın net olarak tespit edilemediği hallerde Taraflar, kayıt (log) ve teknik delilleri iyi niyetle paylaşarak durumu birlikte değerlendirir. Her halükarda her Taraf, yalnızca kendi kontrol ve yönetim yetkisindeki katmanlardan sorumludur.

Taraflar arasındaki iş ilişkisi nedeniyle; sözlü, yazılı, elektronik veya manyetik ortamda öğrenilen ya da paylaşılan her türlü ticari, mali, teknik ve kişisel bilgi "Gizli Bilgi" kabul edilir. Bu kapsama; altyapı ve yapılandırma bilgileri, kaynak kodları, veri tabanları, şifreler ve özel yetki parametreleri, finansal bilgiler, iş ve hizmet fikirleri, satış stratejileri, müşteri liste ve portföyleri, know-how, henüz kamuya açıklanmamış ürün ve hizmet bilgileri ile 6698 sayılı Kanun çerçevesinde tanımlanan tüm kişisel ve özel nitelikli kişisel veriler dahildir.

Bilginin "gizli" olduğunun ayrıca belirtilmiş olması şart değildir; niteliği gereği gizli sayılması gereken her bilgi en geniş anlamıyla Gizli Bilgi olarak değerlendirilir. Aşağıdaki bilgiler Gizli Bilgi kapsamı dışındadır:

• Açıklandığı anda kamuya mal olmuş veya sonradan ilgili Taraf'ın kusuru olmaksızın kamuya mal olan bilgiler,
• Taraflardan birinin gizlilik yükümlülüğünü ihlal etmeksizin hukuka uygun yollarla edindiği bilgiler,
• Yetkili bir mahkeme veya idari makamın hukuken bağlayıcı kararı gereği açıklanması zorunlu olan bilgiler (zorunlu açıklama, ilgili kararla sınırlı olmak ve hukuken mümkün olduğu ölçüde diğer Taraf önceden bilgilendirilmek kaydıyla).

Taraflar, bu Sözleşme çerçevesinde edindikleri Gizli Bilgileri:

peşinen kabul, beyan ve taahhüt eder.

Taraflar, kendi gizli bilgilerini korurken gösterdikleri özenin aynısını karşı tarafın Gizli Bilgilerini korurken de gösterir. Gizli Bilgi, ancak işin gereği bilmesi zorunlu olan çalışan ve alt yüklenicilere, gizlilik konusunda uyarılmaları ve en az bu Sözleşme'deki kadar bağlayıcı gizlilik yükümlülüğü altına alınmaları kaydıyla aktarılabilir. Taraflar, çalışan ve alt yüklenicilerinin Sözleşme'ye aykırı davranışlarından doğrudan sorumludur. ALASTYR ŞİRKETLERİ arasında Gizli Bilgi paylaşımı yalnızca madde 3'te tanımlanan amaçlarla ve ölçüde yapılır.

Hizmet ilişkisi kapsamında MÜŞTERİ veri sorumlusu, TEDARİKÇİ ise veri işleyen sıfatıyla hareket eder. Tarafların KVKK kapsamındaki başlıca yükümlülükleri şunlardır:

9.1.Veri İşleyen (TEDARİKÇİ) Yükümlülükleri

• Kişisel verileri yalnızca MÜŞTERİ'nin yazılı talimatları ve hizmetin gereği doğrultusunda işler; bu sınırların dışında veri işlemez. Hizmet sözleşmesi, bu Sözleşme ve müşteri paneli üzerinden verilen işlemler MÜŞTERİ'nin talimatı sayılır.
• MÜŞTERİ'nin bir talimatının mevzuata aykırı olduğunu değerlendirirse veya talimatı yerine getiremeyecekse, durumu gecikmeksizin MÜŞTERİ'ye bildirir.
• İşlediği kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara erişilmesini önlemek, muhafazasını sağlamak için uygun teknik ve idari tedbirleri alır (KVKK m.12).
• MÜŞTERİ'nin hesabındaki veya sunucusundaki verilere yalnızca MÜŞTERİ'nin müşteri paneli üzerinden açtığı destek talebi ve yazılı onayı ile, talebin çözümü için gerekli olduğu ölçüde erişir. Uzaktan bağlantı gerektiren destek işlemleri yalnızca MÜŞTERİ'nin yazılı onayıyla yapılır ve destek kaydına işlenir.
• Destek sürecinde MÜŞTERİ tarafından paylaşılan parola ve erişim bilgilerini yalnızca ilgili talebin çözümü için kullanır; işlem sonrasında MÜŞTERİ'ye parolasını değiştirmesini yazılı olarak hatırlatır.
• MÜŞTERİ verilerini pazarlama, profil çıkarma, ürün geliştirme, yapay zekâ modeli eğitimi veya kendi amaçları için kullanmaz.
• Öğrendiği kişisel verileri, hizmet ilişkisi sona erse dahi, kanunda sayılan istisnalar hariç olmak üzere üçüncü kişilere açıklamaz ve işleme amacı dışında kullanmaz; bu yükümlülük süresizdir (KVKK m.12/4).
• Kişisel verilere erişebilecek personelini gizlilik taahhüdü altına alır ve bilgi güvenliği farkındalık eğitimine tabi tutar.
• MÜŞTERİ'nin barındırdığı verilere ilişkin olarak kendisine doğrudan yapılan ilgili kişi başvurularını sonuçlandırmaz; başvuruyu aldığı tarihten itibaren en geç üç (3) iş günü içinde MÜŞTERİ'ye iletir ve başvuru sahibine başvurusunun veri sorumlusuna yönlendirildiğini bildirir.
• İlgili kişilerin başvurularını ve Kurum taleplerini karşılaması amacıyla, kendi sorumluluk alanıyla sınırlı olarak MÜŞTERİ'ye makul ölçüde destek ve bilgi sağlar.
• Yetkili makamlardan MÜŞTERİ verisine ilişkin bir talep aldığında, talebi yalnızca mevzuata dayanan resmi yazı ve talepte belirtilen kapsamla sınırlı olarak karşılar; mevzuat engel olmadıkça MÜŞTERİ'yi bilgilendirir.

9.2.Veri Sorumlusu (MÜŞTERİ) Yükümlülükleri

• İşlediği kişisel veriler bakımından hukuka uygunluk sebebini, aydınlatma yükümlülüğünü ve gerektiğinde açık rıza alınmasını sağlamaktan münhasıran sorumludur.
• TEDARİKÇİ'nin altyapısında barındırdığı verilerin niteliğini ve özel nitelikli veri içerip içermediğini bilir; kendi uygulama ve sistemlerinin güvenliğini sağlar. Özel nitelikli kişisel veri barındırıyorsa, Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında sayılan yeterli önlemleri kendi yönettiği katmanlarda alır.
• Kendi sorumluluk alanına giren kontrol katmanlarında (bkz. madde 6) gerekli teknik ve idari tedbirleri alır; müşteri paneli ve hizmet parolalarını güvenli tutar, sunulduğu durumlarda iki faktörlü kimlik doğrulamayı kullanır.
• İlgili kişilere karşı veri sorumlusu sıfatıyla muhatap olur ve KVKK kapsamındaki başvuruları yönetir.
• Gerçek kişi MÜŞTERİ, hizmeti yalnızca kendisi veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler için kullanıyorsa KVKK m.28/1-a hükmü saklıdır; bu halde de TEDARİKÇİ'nin bu Sözleşme'deki güvenlik ve gizlilik yükümlülükleri aynen uygulanır.

9.3.Alt Veri İşleyenler

TEDARİKÇİ, hizmetin sunulması için aşağıdaki nitelikteki hizmet sağlayıcılardan yararlanır. Bu sağlayıcılar, hizmetin niteliği gereği MÜŞTERİ verisinin bir bölümüne erişebilir veya bu veriyi iletebilir:

• DDoS koruması ve trafik temizleme hizmeti sağlayıcısı,
• DNS altyapısının coğrafi yedekliliği için kullanılan, İzmir dışındaki veri merkezlerinde barındırma hizmeti sağlayan şirketler,
• Alan adı kayıt sistemleri ve kayıt kuruluşları (TRABİS dahil),
• SSL sertifika otoriteleri ve yazılım lisans sağlayıcıları.

Alastyr Technology LTD, madde 3.2 uyarınca alt veri işleyen değildir.

TEDARİKÇİ, alt veri işleyenlerle yazılı sözleşme yapar, onları en az bu Sözleşme'deki kadar bağlayıcı gizlilik ve veri güvenliği yükümlülüklerine tabi kılar ve bu kapsamdaki faaliyetlerden MÜŞTERİ'ye karşı sorumlu kalır. Güncel alt veri işleyen listesi (unvan, hizmet ve ülke bilgisiyle) MÜŞTERİ'nin talebi halinde kendisine bildirilir.

MÜŞTERİ verisine erişebilecek yeni bir alt veri işleyen kullanılmaya başlanmadan en az otuz (30) gün önce MÜŞTERİ müşteri paneli veya kayıtlı e-posta adresi yoluyla bilgilendirilir. MÜŞTERİ bu süre içinde haklı bir gerekçeyle itiraz edebilir; itirazın giderilememesi halinde MÜŞTERİ etkilenen hizmeti cezai şart uygulanmaksızın sona erdirebilir.

KVKK m.12 uyarınca veri güvenliğine ilişkin tedbirlerin alınması bakımından Taraflar müştereken sorumludur. 7499 sayılı Kanun değişikliği ile veri işleyenler de belirli yükümlülükler ve idari yaptırımlar bakımından doğrudan muhatap haline gelmiştir; Taraflar bu çerçevede kendi sorumluluk alanlarına ilişkin yükümlülükleri yerine getirir.

TEDARİKÇİ, sorumluluk alanına giren altyapı ve sistemlerde asgari olarak aşağıdaki teknik ve idari tedbirleri uygular:

• Fiziksel güvenlik: Veri merkezine yetkili personelle sınırlı, kartlı ve yüz tanımalı geçiş; kritik alanlarda 7/24 kamera kaydı (30 gün saklama); ziyaretçi kaydı ve refakat. Yüz tanımalı geçişi kullanmak istemeyenler için kartlı geçiş alternatifi sunulur.
• Enerji ve çevre: N+1 yedekli UPS, jeneratör ve iklimlendirme; yangın algılama ve söndürme sistemi; sıcaklık ve nem izleme,
• Ağ güvenliği: Firewall ve saldırı önleme (IPS) katmanı, L3-L4 DDoS koruması, kötü niyetli IP adreslerinin kara liste verileriyle engellenmesi, iki farklı operatörden yedekli internet bağlantısı,
• Sunucu güvenliği: Paylaşımlı ortamlarda CloudLinux LVE ve CageFS ile hesap izolasyonu, Imunify360 ile zararlı yazılım taraması ve web uygulama güvenlik duvarı, kullanılmayan servislerin kapatılması,
• Erişim kontrolü: Personel erişimlerinin görev bazlı ve en az yetki prensibiyle verilmesi, yönetim panellerinde iki faktörlü kimlik doğrulama, yönetici arayüzlerine IP kısıtlaması, kritik işlemlerde ikinci kişi kontrolü,
• Kayıt ve izleme: Sistem ve erişim kayıtlarının (log) tutulması, 5651 sayılı Kanun kapsamındaki trafik kayıtlarının saklanması, altyapının 7/24 izlenmesi,
• Güncelleme ve zafiyet yönetimi: Sorumluluk alanındaki sistemlerde güvenlik güncellemelerinin düzenli uygulanması ve bilinen açıkların kapatılması,
• Yedekleme: Altyapı yedeklerinin üretim ortamından ayrı bir yedekleme kabininde ve farklı donanımlar üzerinde tutulması,
• Personel: Gizlilik taahhütnamesi, bilgi güvenliği farkındalık eğitimi ve politika ihlallerinde disiplin süreci,
• Yönetim sistemi: ISO/IEC 27001:2022 kapsamında risk değerlendirmesi, iç denetim ve yönetimin gözden geçirmesi.

Tedbirlerin kapsamı, MÜŞTERİ'nin aldığı hizmet türüne ve madde 6'daki sorumluluk dağılımına göre uygulanır.

MÜŞTERİ, KVKK m.12/2 uyarınca TEDARİKÇİ'nin aldığı tedbirlerden onunla birlikte sorumlu olduğundan, bu tedbirlerin uygulandığını aşağıdaki yollarla doğrulayabilir:

• TEDARİKÇİ, güncel ISO/IEC 27001:2022 sertifikasını ve kapsamını talep üzerine paylaşır.
• MÜŞTERİ'nin tedarikçi değerlendirme formlarını veya yazılı bilgi taleplerini en geç on (10) iş günü içinde yanıtlar.
• Yerinde denetim talepleri, en az on (10) iş günü önceden yazılı olarak bildirilmesi, mesai saatleri içinde yapılması ve diğer müşterilerin verilerinin gizliliğinin korunması şartıyla karşılanır. Yılda bir denetim ücretsizdir; ek denetimlerin her biri için 250.000 TL ücret uygulanır.
• Kurul'un MÜŞTERİ nezdinde yürüttüğü bir inceleme kapsamında, TEDARİKÇİ'nin sorumluluk alanına ilişkin bilgi ve belgeleri sağlar.

TEDARİKÇİ'nin veri merkezi altyapısı Türkiye'de (İzmir) konumlandırılmıştır. MÜŞTERİ'nin hesaplarında, sunucularında ve e-posta kutularında barındırılan veriler yurt içinde tutulur. HİZMET SÖZLEŞMESİ TARAFI'nın Alastyr Technology LTD olması, barındırılan verilerin yurt dışına aktarıldığı anlamına gelmez; bu veriler Alastyr Technology LTD ile paylaşılmaz (madde 3.2).

Hizmetin teknik niteliği gereği aşağıdaki hallerde sınırlı veri yurt dışına aktarılabilir:

• DNS hizmetinin coğrafi yedekliliği için kullanılan DNS sunucularından biri yurt dışında (Almanya) bulunur; bu sunucuda yalnızca MÜŞTERİ'nin tanımladığı DNS kayıtları yer alır.
• DDoS koruma hizmeti kapsamında, Türkiye kaynaklı ve Türkiye hedefli trafik yurt dışındaki trafik temizleme merkezlerine yönlendirilmemektedir. Yalnızca yurt dışı kaynaklı trafik, saldırıların tespit edilmesi ve zararlı trafiğin temizlenmesi amacıyla yurt dışında bulunan DDoS trafik temizleme (scrubbing) merkezlerinden geçirilebilmektedir.
• Uluslararası uzantılı alan adlarının tescili, SSL sertifikası doğrulaması ve yazılım lisans aktivasyonu için gerekli bilgiler, yurt dışında bulunan kayıt kuruluşlarına, sertifika otoritelerine ve lisans sağlayıcılarına iletilir.
• Madde 3.4'te tanımlanan hesap ve fatura verilerinin Alastyr Technology LTD ile paylaşılması.

MÜŞTERİ, hizmeti almakla birlikte yukarıdaki ilk üç bentte sayılan aktarımların yapılması için TEDARİKÇİ'ye talimat vermiş sayılır. Bu aktarımlar KVKK m.9 (7499 sayılı Kanun ile değişik) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik hükümlerine uygun olarak; yeterlilik kararının bulunması, bulunmaması halinde Kurul'un ilan ettiği standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden birinin sağlanması ya da kanunda öngörülen istisnai hallerin varlığı şartıyla gerçekleştirilir. Uygun güvence olarak standart sözleşme kullanılması halinde, ilgili sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir.

Yukarıdakiler dışında MÜŞTERİ verisinin yurt dışına aktarılması, ancak veri sorumlusu sıfatıyla MÜŞTERİ'nin yazılı talimatı ve hukuka uygunluk değerlendirmesi çerçevesinde yapılır.

13.1.Veri İhlali Bildirimi

TEDARİKÇİ, sorumluluk alanında MÜŞTERİ verisini etkileyen veya etkileme ihtimali bulunan bir veri ihlalinden haberdar olduğunda, durumu gecikmeksizin ve tespitinden itibaren en geç 24 saat içinde MÜŞTERİ'ye yazılı olarak bildirir. Bildirim, MÜŞTERİ'nin müşteri panelinde kayıtlı e-posta adresine veya KEP adresine yapılır ve bilinen ölçüde şu bilgileri içerir:

• İhlalin başlangıç ve tespit zamanı,
• Etkilenen hizmetler, sunucular ve mümkün olduğu ölçüde veri kategorileri,
• İhlalin olası sonuçları,
• Etkiyi azaltmak için alınan ve önerilen tedbirler,
• Bilgi alınabilecek irtibat kişisi.

Bilgilerin tamamı aynı anda sağlanamıyorsa, eksik bilgiler gecikmeye mahal verilmeksizin aşamalı olarak tamamlanır. TEDARİKÇİ ihlalin etkilerini azaltmak için gerekli tedbirleri alır, ihlale ilişkin bilgileri, etkilerini ve alınan önlemleri kayıt altına alır ve MÜŞTERİ'ye makul desteği sağlar.

İlgili kişilere ve Kurul'a yapılacak bildirimlerden, veri sorumlusu sıfatıyla MÜŞTERİ sorumludur. Kurul'un 2019/10 sayılı kararında belirlenen usul ve süreler (ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a bildirim) saklıdır. TEDARİKÇİ, MÜŞTERİ'nin bu bildirimi yapabilmesi için gerekli bilgi ve kayıtları sağlar.

13.2.Bilinen Zafiyet Bildirimi

TEDARİKÇİ'nin bu madde kapsamındaki yükümlülüğü, yalnızca kendi teknik erişim ve yönetim yetkisindeki katmanlarla (fiziksel altyapı, ağ omurgası, sanallaştırma katmanı, sanal makineler arası izolasyon ve TEDARİKÇİ'nin yönettiği hosting platformları) sınırlıdır. TEDARİKÇİ; bu katmanlarda kullanılan sistem ve yazılımlara ilişkin olarak üretici veya yetkili güvenlik kuruluşlarınca kamuya duyurulmuş (bilinen) bir güvenlik açığını takip eder ve giderilmesi için makul tedbirleri alır.

TEDARİKÇİ, bu nitelikteki bir açığın MÜŞTERİ'ye tahsis edilen hizmetin izolasyonunu veya ağ erişimini doğrudan etkileyebileceğini değerlendirdiğinde ya da giderme çalışmasının MÜŞTERİ tarafında bir işlem gerektirmesi veya planlı kesintiye yol açması halinde, MÜŞTERİ'yi e-posta, müşteri paneli veya genel duyuru yoluyla bilgilendirir. Açığın kamuya açıklanmasının saldırı riskini artıracağı hallerde bildirim, giderme tedbirinin uygulanmasından sonra yapılabilir.

Bu madde; MÜŞTERİ'nin yönetimindeki misafir işletim sistemi, uygulama, eklenti, güvenlik duvarı ve parola yapılandırmasındaki açıkları kapsamaz. TEDARİKÇİ bu katmana erişemediğinden, sunucu içi zafiyetleri tarama, tespit etme veya bildirme yükümlülüğü bulunmaz; bu katmanın güvenlik takibi ve gerekli güncellemelerin uygulanması münhasıran MÜŞTERİ'nin sorumluluğundadır. TEDARİKÇİ tarafından yapılan bir bildirim, sunucu yönetim hizmeti üstlenildiği veya madde 16 anlamında bir kusur ikrarı yapıldığı şeklinde yorumlanamaz.

Taraflar, ticari ilişkinin kurulması ve yürütülmesi amacıyla birbirlerine sağladıkları şirket bilgilerinin ve yetkili/çalışan kişisel verilerinin, 6698 sayılı Kanun çerçevesinde sözleşmenin kurulması ve ifası, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat hukuki sebeplerine dayalı olarak işlenebileceğini kabul eder. Bu veriler bakımından her Taraf kendi adına veri sorumlusudur. HİZMET SÖZLEŞMESİ TARAFI'nın Alastyr Technology LTD olduğu hallerde, hesap ve fatura verileri bakımından Alastyr Technology LTD de ayrıca veri sorumlusudur (madde 3.3).

ALASTYR ŞİRKETLERİ'nin bu kapsamdaki aydınlatma metni alastyr.com/kvkk adresinde yayımlanmaktadır. MÜŞTERİ, ticari faaliyet kapsamında verisini paylaştığı yetkililerini ve çalışanlarını bu hususta bilgilendirmekten sorumludur. Bu veriler yalnızca Taraflar arasındaki ticari ilişki için kullanılır.

Hizmet ilişkisinin sona ermesi halinde aşağıdaki esaslar uygulanır:

• Hizmet sonlandırılmadan önce MÜŞTERİ'ye verilerinin yedeğini alma imkanı sağlanır. Yedeğin zamanında alınması MÜŞTERİ'nin sorumluluğundadır.
• Hizmet kapatıldıktan sonra MÜŞTERİ'ye ait veriler 30 gün içinde TEDARİKÇİ sistemlerinden silinir. Altyapı yedeklerinde kalan kopyalar, en geç 30 gün süren yedek saklama döngüsünün sonunda kendiliğinden silinir ve bu süre içinde yalnızca altyapı geri yükleme amacıyla kullanılabilir. Silinen veriler, ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
• Kiralık fiziksel sunuculardaki diskler, sunucu başka bir müşteriye tahsis edilmeden önce güvenli silme yöntemiyle temizlenir; silinemeyen veya arızalı veri taşıyıcıları fiziksel olarak imha edilir ve imha kayıt altına alınır.
• Sunucu barındırma (colocation) hizmetinde MÜŞTERİ'ye ait ekipman, tutanakla MÜŞTERİ'ye veya yetkilendirdiği kişiye teslim edilir.
• MÜŞTERİ'nin talebi halinde silme veya imha işlemine ilişkin yazılı tutanak düzenlenir.
• Mevzuat gereği saklanması zorunlu olan veriler (5651 sayılı Kanun kapsamındaki trafik kayıtları, mali mevzuat kapsamındaki fatura ve müşteri kayıtları, alan adı mevzuatı kapsamındaki kayıtlar) yasal saklama süreleri boyunca muhafaza edilir ve bu sürelerin sonunda imha edilir.

Gizlilik yükümlülüğü, Sözleşme'nin sona ermesinden sonra da süresiz olarak devam eder.

Her Taraf, yalnızca kendi kontrolündeki kontrol katmanlarından (bkz. madde 6) kaynaklanan ihlallerden sorumlu tutulabilir.

Hiçbir Taraf, kusuru bulunmayan haller ile madde 6.8 kapsamındaki mücbir sebeplerden doğan zarar, gecikme veya kesintilerden sorumlu değildir. Tarafların sorumluluğu, her halükarda öngörülebilir doğrudan zararlarla sınırlı olup; dolaylı zararlar, kar kaybı ve veri/iş kaybından kaynaklanan dolaylı talepler bu kapsam dışındadır.

Bu madde Taraflar arasındaki ilişkiyi düzenler; KVKK'dan doğan yükümlülükleri ve Kurul ile ilgili kişilere karşı sorumluluğu sınırlamaz.

İşbu Sözleşme maddelerinden herhangi birinin geçersiz, iptal edilebilir veya uygulanamaz sayılması, diğer maddelerin geçerliliğini etkilemez. Geçersiz sayılan hüküm, tarafların ortak amacına en yakın geçerli hükümle ikame edilir.

Taraflar arasındaki bildirimlerin yazılı olması esastır. Yazılı olarak aksi bildirilmedikçe, madde 2'de yazılı adresler ile KEP adresleri tarafların kanuni tebligat adresleri olarak kabul edilir; bu adreslere yapılan bildirimler geçerli tebligatın tüm hukuki sonuçlarını doğurur. Hizmet işleyişine ilişkin operasyonel bildirimler (bakım, zafiyet ve kesinti duyuruları) müşteri paneli ve MÜŞTERİ'nin kayıtlı e-posta adresi üzerinden yapılabilir.

İşbu Sözleşme'nin yorumunda ve Sözleşme'den doğacak her türlü uyuşmazlıkta Türkiye Cumhuriyeti hukuku uygulanır ve İzmir Mahkemeleri ile İcra Daireleri yetkilidir. Alastyr Technology LTD, bu Sözleşme'den doğan uyuşmazlıklar bakımından Türk mahkemelerinin yargı yetkisini kabul eder.

İşbu Sözleşme, MÜŞTERİ tarafından müşteri paneli üzerinden elektronik olarak onaylandığı veya imzalı nüshanın KEP adresine ya da kvkk@alastyr.com adresine iletildiği tarihte yürürlüğe girer. Elektronik onayın tarihi, saati, onay veren kullanıcı ve onaylanan Sözleşme revizyonu TEDARİKÇİ tarafından kayıt altına alınır. Sözleşme'nin yeni bir revizyonu yayımlandığında MÜŞTERİ müşteri paneli veya kayıtlı e-posta adresi yoluyla bilgilendirilir.

Revizyon No: 2.0 · Son güncelleme: 26.10.2026