EK-1 — VERİ İŞLEME SÖZLEŞMESİ
1. TARAFLAR VE SIFATLARI
1.1. Veri Sorumlusu: Abonelik Sözleşmesi'ndeki Abone (düğün salonu işletmesi) ("Salon").
1.2. Veri İşleyen: Juniors Ticaret Yazılım Limited Şirketi ("Düğün Dijital").
1.3. Salon, Platform aracılığıyla işlenen Çift, Misafir, Fotoğrafçı ve Salon çalışanlarına ait kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen veri sorumlusudur. Düğün Dijital, bu verileri Salon adına ve Salon'un talimatları doğrultusunda işleyen veri işleyendir (6698 sayılı KVKK m.3/1-ğ).
2. KONU VE KAPSAM
2.1. Bu Sözleşme, Düğün Dijital'in Abonelik Sözleşmesi kapsamında Salon adına işlediği kişisel verilere ilişkin olarak KVKK m.12/2 uyarınca Tarafların veri güvenliğine ilişkin müştereken sorumluluğunu ve hak ve yükümlülüklerini düzenler.
2.2. İşlenen veri kategorileri, ilgili kişi grupları, işleme amaçları ve saklama süreleri Ek-A'da gösterilmiştir.
3. DÜĞÜN DİJİTAL'İN YÜKÜMLÜLÜKLERİ
Düğün Dijital;
3.1. Kişisel verileri yalnızca Hizmet'in sunulması amacıyla, Salon'un Platform ayarları ve Platform'u kullanımı yoluyla verdiği talimatlara ve bu Sözleşme'ye uygun olarak işler. Salon'un bir talimatının mevzuata aykırı olduğunu düşünürse Salon'u bilgilendirir.
3.2. Kişisel verileri kendi amaçları için kullanmaz, satmaz, reklam veya profilleme amacıyla işlemez; Ek-B'de sayılan alt işleyenler dışında üçüncü kişilere aktarmaz.
3.3. Kişisel verilere erişebilecek çalışanlarını ve yardımcılarını erişimin gerekli olduğu kişilerle sınırlar ve bu kişilere gizlilik yükümlülüğü getirir.
3.4. KVKK m.12/1 ve Kişisel Verileri Koruma Kurulu'nun "Kişisel Veri Güvenliği Rehberi"nde öngörülen idari ve teknik tedbirleri alır. Mevcut tedbirler Ek-C'de özetlenmiştir; Düğün Dijital bu tedbirlerin koruma seviyesini düşürmeden güncelleyebilir.
3.5. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini (veri ihlali) öğrenmesi halinde, Salon'un KVKK m.12/5 kapsamındaki 72 saatlik Kurul'a bildirim yükümlülüğünü yerine getirebilmesi için Salon'u gecikmeksizin ve en geç 24 saat içinde bilgilendirir; bildirimde ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan veya önerilen önlemleri belirtir.
3.6. İlgili kişilerin KVKK m.11 kapsamındaki başvurularının Salon tarafından yanıtlanabilmesi için Platform'da gerekli araçları (başvuru formu, veri görüntüleme, düzeltme, silme ve dışa aktarma) sunar; bu araçlarla karşılanamayan durumlarda Salon'a makul destek verir. Düğün Dijital'e doğrudan ulaşan başvuruları, ilgili kişiyi bilgilendirerek gecikmeksizin Salon'a yönlendirir.
3.7. Salon'un KVKK uyumunu göstermesi için gerekli bilgileri, makul talepler üzerine yazılı olarak sağlar. Salon'un yılda bir defadan fazla olmamak üzere, önceden ve yazılı bildirimle, Düğün Dijital'in iş akışını aksatmayacak şekilde yapacağı denetim taleplerine, ticari sırlar ve diğer abonelerin verileri korunarak, makul ölçüde iş birliği yapar.
3.8. Abonelik Sözleşmesi sona erdiğinde Madde 7'ye uygun davranır.
4. SALON'UN YÜKÜMLÜLÜKLERİ
Salon;
4.1. Kişisel verilerin Platform'a hukuka uygun şekilde girilmesinden; ilgili kişileri KVKK m.10 uyarınca aydınlatmaktan; işleme şartlarından birinin (KVKK m.5–6) bulunmasını sağlamaktan ve gerekli hallerde açık rıza almaktan sorumludur. Platform'daki aydınlatma ve açık rıza metni şablonları yalnızca örnektir.
4.2. Yüzle bulma (biyometrik veri) özelliğini açmaya karar vermesi halinde (bu karar Platform'da Çift'e bırakılmıştır), bu özelliğin yalnızca ilgili kişinin açık rızasıyla kullanılmasına ilişkin Platform akışını değiştirmemeyi ve biyometrik verilere ilişkin ek yükümlülüklere uymayı kabul eder.
4.3. Kullanıcı hesaplarını yalnızca yetkili çalışanlarına açar, gereksiz hale gelen hesapları kapatır ve şifrelerin gizliliğini sağlar.
4.4. Gerekli olması halinde VERBİS'e kayıt yükümlülüğünü yerine getirir ve Düğün Dijital'i veri işleyen olarak bildirir.
4.5. Platform dışında (ör. kendi cihazına indirdiği PDF, Excel ve arşiv dosyaları) işlediği verilerin güvenliğinden kendisi sorumludur.
5. ALT İŞLEYENLER
5.1. Salon, Düğün Dijital'in Hizmet'in sunulması için Ek-B'de listelenen alt işleyenlerle (barındırma, veritabanı, e-posta ve benzeri altyapı sağlayıcıları) çalışmasına genel izin verir.
5.2. Düğün Dijital, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 15 (on beş) gün önce Salon'u e-posta veya Platform içi bildirimle bilgilendirir. Salon, haklı bir gerekçeyle itiraz ederse Taraflar iyi niyetle çözüm arar; çözüm bulunamazsa Salon Abonelik Sözleşmesi'ni tazminatsız feshedebilir ve ödenmiş kullanılmamış dönem ücretini iade alır.
5.3. Düğün Dijital, alt işleyenlerle bu Sözleşme'dekinden daha az koruyucu olmayan yazılı sözleşmeler yapar ve alt işleyenlerin yükümlülüklerini yerine getirmemesinden Salon'a karşı sorumludur.
6. YURT DIŞINA AKTARIM
6.1. Ek-B'de belirtilen bazı alt işleyenlerin sunucuları Türkiye dışında (Avrupa Birliği'nde) bulunmaktadır. Bu nedenle Platform'un kullanımı, kişisel verilerin KVKK m.9 kapsamında yurt dışına aktarılması sonucunu doğurur.
6.2. Kurul tarafından yeterlilik kararı verilmemiş olması halinde aktarımlar, KVKK m.9/4 uyarınca Kurul'ca ilan edilen standart sözleşmeler veya alt işleyenin bağlı olduğu grup için onaylanmış bağlayıcı şirket kuralları gibi uygun güvencelere dayanır. Düğün Dijital, alt işleyenlerle standart sözleşme imzalanmasını ve imzadan itibaren 5 (beş) iş günü içinde Kurum'a bildirimini sağlamaktan sorumludur.
6.3. Standart sözleşme imzalanamayan bir alt işleyen kullanılması halinde aktarım, ancak KVKK m.9/6'daki arızi aktarım hallerinden birine dayanabilir; Düğün Dijital böyle bir durumda Salon'u önceden bilgilendirir.
7. SÖZLEŞMENİN SONA ERMESİ, VERİLERİN İADESİ VE SİLİNMESİ
7.1. Abonelik Sözleşmesi sona erdiğinde Salon, 30 (otuz) gün boyunca verilerinin bir kopyasını alabilir.
7.2. Bu sürenin sonunda Düğün Dijital, Salon'a ait kişisel verileri canlı sistemlerden siler veya anonim hale getirir. Altyapı sağlayıcısının otomatik yedeklerindeki kopyalar, yedekleme döngüsü içinde (en geç 30 gün) kendiliğinden silinir.
7.3. Düğün Dijital'in kendi yasal saklama yükümlülükleri (ör. fatura ve muhasebe kayıtları) için gerekli veriler bu yükümlülük süresince saklanabilir.
7.4. Sözleşme süresince de Platform; düğün tarihinden itibaren Arşiv Süresi (varsayılan 30 gün, Salon veya Çift talebiyle uzatılabilir) sonunda albüm, hatıra defteri, takı defteri, şarkı istekleri, düğün günü mesajları, masa planı misafir isimleri, katılım yanıtları, davetli listesi, profesyonel fotoğraflar ve yüz izleri ile fotoğraf siparişlerindeki telefon ve adres bilgilerini kendiliğinden siler. Teklif, sözleşme, ödeme ve onay kayıtları Salon'un ticari kayıtları olarak, Salon silene veya Abonelik Sözleşmesi sona erene kadar saklanır.
8. SORUMLULUK
Tarafların bu Sözleşme'den doğan sorumluluğu Abonelik Sözleşmesi'nin 11. maddesine tabidir; ancak Taraflardan birinin bu Sözleşme'deki yükümlülüklerine aykırı davranması sonucu diğer Taraf'a KVKK kapsamında verilen idari para cezaları ve ilgili kişilere ödenen tazminatlar bakımından kusurlu Taraf'ın rücu sorumluluğu saklıdır.
9. SÜRE
Bu Sözleşme Abonelik Sözleşmesi ile birlikte yürürlüğe girer ve Düğün Dijital'in Salon adına kişisel veri işlemesi sona erene kadar yürürlükte kalır.
EK-A — İŞLENEN VERİLER
| İlgili kişi | Veri kategorileri | Amaç | Saklama |
|---|---|---|---|
| Salon çalışanları (Kullanıcılar) | Ad soyad, e-posta, telefon, rol/yetki, giriş ve işlem kayıtları, bildirim aboneliği | Hesap yönetimi, yetkilendirme, işlem güvenliği, ekip içi bildirim | Hesap silinene kadar; işlem kayıtları 2 yıl |
| Çiftler | Gelin ve damat ad soyad, telefon, e-posta (isteğe bağlı); düğün tarihi, seans, alan, kişi sayısı, menü ve hizmet seçimleri; teklif, indirim, ödeme planı ve ödeme kayıtları; sözleşme metni, ekrana çizilen imza görüntüsü, onay zamanı, IP ve cihaz bilgisi; KVKK onay kayıtları; görüşme notları, randevular; teklif videosu | Teklif hazırlama, opsiyon ve takvim yönetimi, sözleşme kurulması ve ifası, ödeme takibi, iletişim | Teklif kabul edilmezse en geç 12 ay; sözleşme halinde Salon'un ticari kayıt süresi |
| Misafirler (davetliler) | Ad soyad, telefon (davetli listesinde isteğe bağlı), kişi sayısı, taraf, katılım yanıtı, masa ataması; albüme yüklenen fotoğraf ve videolar; hatıra defterine yazılı ve sesli mesajlar; takı defteri kayıtları (ad, takı, tutar); şarkı ve servis istekleri | Davetiye ve katılım yönetimi, masa planı, düğün günü hizmetleri, anıların çiftle paylaşılması | Düğün tarihi + Arşiv Süresi (varsayılan 30 gün) |
| Misafirler (fotoğraf satışı) | Ad soyad, telefon, (kargo seçilirse) adres, sipariş içeriği ve tutarı, ödeme durumu | Fotoğraf siparişinin fotoğrafçıya iletilmesi ve teslimi | Telefon ve adres: Arşiv Süresi sonunda silinir; sipariş kaydı (ad, tutar) ticari kayıt olarak saklanır |
| Misafirler ve Çiftler (yüzle bulma — özel nitelikli/biyometrik) | Profesyonel fotoğraflardaki yüzlerden çıkarılan sayısal yüz izleri (128 boyutlu vektör); misafirin selfiesinden çıkarılan yüz izi | Misafirin içinde bulunduğu fotoğrafları bulmak | Fotoğraf yüz izleri: özellik kapatılınca veya Arşiv Süresi sonunda silinir. Selfie: cihazdan çıkmaz; selfie yüz izi eşleştirme için anlık işlenir, saklanmaz |
| Fotoğrafçılar | Ad / stüdyo adı, telefon, IBAN ve hesap sahibi, ödeme linki, yüklenen fotoğraflar | Fotoğraf yükleme, satış ve tahsilat | Arşiv Süresi sonunda fotoğraflar silinir; ayarlar düğün kaydıyla birlikte |
| Ekip bahşişi / hediye | Salonun ekip IBAN'ları; çiftin hediye IBAN'ı ve hesap sahibi | Misafirin bahşiş/hediye gönderebilmesi | Salon veya çift silene kadar |
EK-B — ALT İŞLEYENLER
| Alt işleyen | Hizmet | Veri konumu | Aktarım güvencesi |
|---|---|---|---|
| Vercel Inc. (ABD) | Web uygulamasının barındırılması ve çalıştırılması | Sunucu bölgesi: Frankfurt, Almanya (fra1) | KVKK m.9 kapsamında standart sözleşme |
| Supabase Inc. (ABD) | Veritabanı, dosya deposu, kimlik doğrulama | Avrupa Birliği | KVKK m.9 kapsamında standart sözleşme |
| Hostinger International Ltd. (Kıbrıs/Litvanya) | Kurumsal e-posta (info@dugundijital.com) | AB | KVKK m.9 kapsamında standart sözleşme |
| Google Ireland Ltd. | Tanıtım sitesinde ziyaret istatistiği (yalnızca ziyaretçi onayıyla; Çift/Misafir/panel sayfalarında çalışmaz) | AB / ABD | Açık rıza (çerez onayı) ve Google'ın standart sözleşmeleri |
| Microsoft Corporation (Clarity) | Tanıtım sitesinde ısı haritası ve isimsiz ziyaret kayıtları (yalnızca ziyaretçi onayıyla; Çift/Misafir/panel sayfalarında çalışmaz) | ABD / AB | Açık rıza (çerez onayı) |
| Tarayıcı bildirim servisleri (Apple, Google, Mozilla) | Salon çalışanlarının açtığı anlık bildirimlerin iletilmesi | Küresel | Bildirim içeriği kısa metin; çalışanın kendi tercihiyle |
EK-C — TEKNİK VE İDARİ TEDBİRLER (ÖZET)
- Tüm bağlantılar HTTPS/TLS ile şifrelenir; HSTS ve güvenlik başlıkları etkindir.
- Veritabanında satır düzeyinde güvenlik (RLS): her salon yalnızca kendi verilerine erişir; çift, misafir ve fotoğrafçı sayfalarında veriler yalnızca sunucu üzerinden, tahmin edilemez erişim kodlarıyla sunulur.
- Rol tabanlı yetkilendirme (sahip, görevli, muhasebe, servis, orkestra); görevlinin indirim yetkisi sınırlandırılabilir.
- Dosyalar (albüm, ses, fotoğraf) gizli depolarda tutulur; yalnızca süreli (1 saat) imzalı bağlantılarla gösterilir.
- Giriş ve form işlemlerinde deneme sınırları (ör. çift girişinde telefon başına 15 dakikada 6 hatalı deneme).
- Sözleşme onaylarında metnin SHA-256 özeti, zaman, IP ve cihaz bilgisi kaydedilir.
- Silinen kayıtlar 30 gün içinde geri alınabilir, sonra kalıcı silinir; düğün arşivi Arşiv Süresi sonunda otomatik silinir.
- Fotoğraf satışında misafire yalnızca filigranlı önizleme gösterilir; asıl dosya ödeme onayından sonra açılır.
- Yüzle bulma: selfie misafirin cihazında işlenir; sunucuda yalnızca fotoğraflardaki yüz izleri tutulur ve kapatma/arşiv ile silinir.
- Çalışanlara gizlilik taahhüdü; üretim verisine erişim yalnızca destek ve hata giderme için, kayıt altında.
- Altyapı sağlayıcılarının fiziksel güvenlik ve sertifikaları (ISO 27001 / SOC 2).