Veri işleme sözleşmesi (DPA)
Sürüm 2026-08-31 (v1.0) · Abonelik sözleşmesinin Ek-1'idir
Bu sözleşme neyi çözer? Mareviq'i kullanan bir nakliye firması, sisteme kendi şoförlerinin kimlik bilgisini, ehliyet ve belge fotoğraflarını, konum verisini ve çalışma kayıtlarını girer. Bu veriler firmanın verisidir — amacını ve aracını firma belirler. Mareviq bu veriyi yalnızca firmanın talimatıyla saklar ve işler.
Bu nedenle: Müşteri = veri sorumlusu · Mareviq = veri işleyen. Bu sözleşme o ayrımı yazılı hâle getirir ve tarafların yükümlülüklerini belirler.
İçindekiler
- Taraflar ve sıfatları
- İşlemenin konusu, süresi, niteliği ve amacı
- Veri kategorileri ve ilgili kişi grupları
- Talimata bağlılık
- Müşterinin (veri sorumlusunun) yükümlülükleri
- Gizlilik ve personel
- Teknik ve idari tedbirler
- Alt veri işleyenler
- Yurt dışına aktarım
- Veri ihlali bildirimi
- İlgili kişi başvuruları
- Denetim hakkı
- Sözleşmenin sona ermesi: iade ve imha
- Sorumluluk ve rücu
- Yürürlük ve değişiklik
1. Taraflar ve sıfatları
| Veri | Veri sorumlusu | Veri işleyen |
|---|---|---|
| Müşterinin sisteme girdiği şoför, personel ve iş ortağı verileri | Müşteri firma | Mareviq |
| Müşteri firma yetkilisinin üyelik, iletişim ve faturalama verileri | Mareviq | Barındırma, e-posta, muhasebe sağlayıcıları |
Bu sözleşme yalnızca birinci satırı düzenler. İkinci satır için KVKK aydınlatma metni geçerlidir.
Taraflar, 6698 sayılı KVKK ve ilgili ikincil mevzuat uyarınca; Müşterinin veri sorumlusu, Mareviq'in ise Müşteri adına ve onun talimatıyla hareket eden veri işleyen olduğunu açıkça kabul eder.
2. İşlemenin konusu, süresi, niteliği ve amacı
| Konu | Müşterinin nakliye/lojistik operasyonunun yürütülmesi için Mareviq yazılımı üzerinden kişisel verilerin saklanması ve işlenmesi |
|---|---|
| Nitelik | Toplama (Müşteri veya kullanıcıları tarafından girilen veriyi kaydetme), saklama, düzenleme, güncelleme, görüntüleme, raporlama, yedekleme, silme |
| Amaç | Sipariş ve sefer yönetimi, filo ve araç takibi, personel/İK ve puantaj, prim ve ücret hesaplamaları, belge yönetimi, şoför mobil uygulaması, raporlama |
| Süre | Abonelik sözleşmesinin yürürlükte olduğu süre ve Abonelik Sözleşmesi m.11'de düzenlenen sona erme sonrası süreler |
3. Veri kategorileri ve ilgili kişi grupları
İlgili kişi grupları: Müşterinin şoförleri, ofis ve saha personeli, alt yüklenici sürücüleri, müşteri/tedarikçi firma yetkilileri ve sisteme kullanıcı olarak tanımlanan diğer gerçek kişiler.
| Kategori | Örnek veriler |
|---|---|
| Kimlik | Ad-soyad, T.C. kimlik numarası, doğum tarihi, baba adı, SGK sicil numarası |
| İletişim | Telefon, e-posta, adres |
| Mesleki yeterlilik ve belge | Sürücü belgesi (ehliyet) sınıfı ve geçerlilik tarihi, SRC/psikoteknik belgeleri, mesleki eğitim kayıtları |
| Görsel kayıt | Profil fotoğrafı, sahada çekilen belge/irsaliye/konteyner fotoğrafları, teslim kanıtı görselleri |
| Konum verisi | Araç ve/veya mobil cihaz konumu, sefer güzergâhı, geofence giriş-çıkış kayıtları, zaman damgaları |
| Çalışma ve özlük | Vardiya ve mesai kayıtları, izin ve devamsızlık, işe giriş-çıkış tarihleri, sözleşme bilgileri |
| Finans | Ücret, prim, avans, kesinti, banka hesap bilgisi (IBAN), bordro kayıtları |
| Performans ve disiplin | Performans skorları, ceza ve tutanak kayıtları, trafik cezası rücu kayıtları |
| İşlem güvenliği | Kullanıcı adı, parola özeti, oturum ve erişim kayıtları, IP adresi, cihaz bilgisi |
Özel nitelikli veri uyarısı. Sistem, tasarımı gereği sağlık, biyometrik veya diğer özel nitelikli kişisel verilerin işlenmesi için kurgulanmamıştır. Müşterinin böyle bir veriyi (örneğin sağlık raporu görseli) sisteme girmesi hâlinde KVKK m.6'daki ek şartların sağlanmasından Müşteri sorumludur. Şoför fotoğrafının yüz eşleştirme/biyometrik kimlik doğrulama amacıyla kullanılması, Mareviq'in yazılı onayı olmadan yapılamaz.
4. Talimata bağlılık
- Mareviq, kişisel verileri yalnızca Müşterinin belgelenebilir talimatı ve Abonelik Sözleşmesi kapsamında hizmetin ifası için işler. Sistemin Müşteri tarafından yapılandırılması ve kullanılması da talimat sayılır.
- Mareviq bu verileri kendi amaçları için işlemez: ürün geliştirme, yapay zekâ modeli eğitimi, analitik ürün üretimi, pazarlama veya üçüncü kişilere satış yapılmaz. Mareviq bunu yapmak isterse önceden ve ayrıca yazılı izin alır; izin verilse dahi veri geri döndürülemez biçimde anonimleştirilir.
- Mareviq, bir talimatın mevzuata aykırı olduğu kanaatindeyse Müşteriyi gecikmeksizin bilgilendirir ve talimatı yerine getirmeyi durdurabilir.
- Mareviq'in mevzuattan doğan bir yükümlülük nedeniyle işleme yapması gerekirse (yetkili merci talebi gibi), yasak olmadıkça Müşteriyi önceden bilgilendirir.
5. Müşterinin (veri sorumlusunun) yükümlülükleri
- Sisteme girilen kişisel verilerin hukuka uygun olarak toplanmış olmasını sağlamak; işleme faaliyeti için geçerli bir hukuki sebebin bulunmasını temin etmek.
- Şoförler ve personel dâhil tüm ilgili kişileri KVKK m.10 uyarınca aydınlatmak; gerekli hâllerde açık rızalarını almak. Konum takibi ve fotoğraf/görsel kayıt bakımından aydınlatma özellikle önemlidir.
- Kendi kullanıcı hesaplarını, yetkilerini ve parola disiplinini yönetmek; işten ayrılan kullanıcıların erişimini kapatmak.
- İlgili kişi başvurularını veri sorumlusu sıfatıyla karşılamak ve süresinde yanıtlamak.
- Kendi saklama ve imha politikasını belirlemek; sistemdeki saklama sürelerini buna göre yapılandırmak.
- Gereğinden fazla veriyi (veri minimizasyonu ilkesine aykırı olarak) sisteme girmemek.
6. Gizlilik ve personel
Mareviq, kişisel verilere erişimi olan personelinin ve varsa danışmanlarının yazılı gizlilik yükümlülüğü altında olmasını sağlar. Erişim, "bilmesi gereken" ilkesiyle sınırlıdır ve rol bazlı yetkilendirmeyle uygulanır. Mareviq personelinin müşteri verisine erişimi yalnızca destek talebi, arıza giderme ve sistem bakımı amacıyla, mümkün olduğunca kayıt altına alınarak yapılır.
7. Teknik ve idari tedbirler (KVKK m.12)
| Alan | Uygulanan tedbir |
|---|---|
| Aktarım güvenliği | Tüm istemci-sunucu trafiğinde TLS/HTTPS zorunluluğu |
| Kimlik doğrulama | Parolaların bcrypt ile özetlenmesi, başarısız deneme sınırı, hesap kilitleme, e-posta doğrulaması, JWT tabanlı oturum |
| Yetkilendirme | Rol ve izin bazlı erişim denetimi; modül ve kayıt düzeyinde yetki kontrolü |
| Ayrıştırma | Her müşteri için ayrı veritabanı ve ayrı uygulama örneği; müşteriler arası veri sızması yapısal olarak engellenir |
| İzlenebilirlik | Yönetsel işlemler ve kritik değişiklikler için denetim kaydı (audit log) |
| Yedekleme | En az günlük otomatik yedekleme; yedeklerin ayrı ortamda saklanması; geri dönüş denemesi |
| Ağ güvenliği | Güvenlik duvarı, gereksiz portların kapatılması, istek hız sınırlama, güncelleme takibi |
| Fiziksel güvenlik | Barındırma sağlayıcısının veri merkezi güvenlik önlemleri |
| İdari | Gizlilik taahhütleri, erişim yetkisi envanteri, olay müdahale süreci |
| Bağımsız denetim | Sızma testi / bağımsız güvenlik denetimi periyodu: [DOLDURULACAK — henüz taahhüt edilmemiştir] |
8. Alt veri işleyenler
Müşteri, Mareviq'in hizmeti sunmak için aşağıdaki alt veri işleyenleri kullanmasına onay verir. Liste, 31 Ağustos 2026 tarihinde sistem üzerinde fiilen kullanılan servisler esas alınarak hazırlanmıştır.
| Alt işleyen | Hizmet | Veri yeri | Erişebildiği veri | Durum |
|---|---|---|---|---|
| Contabo GmbH | Sunucu ve veri merkezi barındırma | Fransa (Lauterbourg) — sağlayıcı merkezi Almanya | Sistemdeki tüm veriler (dururken) | Her müşteride etkin |
| kurumsaleposta.com e-posta altyapısı (Çizgi Telekomünikasyon A.Ş. ağı) | Giden e-posta (SMTP) | Türkiye (İstanbul) | Alıcı ad-soyadı, e-posta adresi, ileti içeriği | Her müşteride etkin |
| Google LLC — Firebase Cloud Messaging | Mobil/şoför uygulamasına anlık bildirim | Yurt dışı (ABD ve küresel altyapı) | Cihaz bildirim jetonu, bildirim başlığı ve kısa içeriği | Şoför uygulaması bildirimleri açıksa |
| NVIDIA Corporation | Yapay zekâ servisi — belge okuma (OCR) ve metin işleme | Yurt dışı (ABD) | İşlenmek üzere gönderilen belge görseli veya metni | Yalnızca yapay zekâ / belge okuma modülü açıksa |
| Google LLC — Gemini API | Yapay zekâ metin işleme | Yurt dışı (ABD) | İşlenmek üzere gönderilen metin | Yalnızca ilgili modül açıksa |
| Arvento Mobil Bilgi Sistemleri A.Ş. | Araç takip verisi entegrasyonu | Türkiye | Araç kimliği ve konum verisi | Müşterinin kendi Arvento aboneliği bağlandıysa |
| OSRM açık rota servisi | Güzergâh ve mesafe hesabı | Yurt dışı | Yalnızca koordinat çiftleri — kişi bilgisi gönderilmez | Rota hesabı kullanılıyorsa |
| e-Fatura entegratörü | Fatura düzenleme | [DOLDURULACAK] | Fatura alıcısı bilgileri | Seçildiğinde duyurulacak |
| Ödeme kuruluşu / sanal POS | Kartlı tahsilat | [DOLDURULACAK] | Ödeme yapan kişi ve kart işlem bilgileri | Kartlı ödeme devreye alındığında |
Yeni alt işleyen eklenmesi. Mareviq, kişisel veriye erişecek yeni bir alt işleyen ekleyecekse Müşteriye en az 30 gün önce e-posta ile bildirir. Müşteri, bildirimden itibaren 15 gün içinde haklı gerekçeyle itiraz edebilir. Taraflar makul bir çözümde anlaşamazsa Müşteri, aboneliğini ceza ödemeksizin sona erdirebilir ve kullanılmayan süreye ait bedeli iade alır.
Mareviq, alt işleyenlerle bu sözleşmedekiyle en az eşdeğer yükümlülükleri içeren sözleşmeler yapar ve alt işleyenlerin fiillerinden Müşteriye karşı kendisi sorumludur.
9. Yurt dışına aktarım
Yukarıdaki tabloda görüldüğü üzere veriler fiilen yurt dışında (Fransa) barındırılmakta, ayrıca bazı modüller etkinleştirildiğinde yurt dışındaki servislere veri gönderilmektedir. Bu aktarımlar KVKK m.9 ve 10.07.2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik çerçevesinde yürütülür.
- Yeterlilik kararı bulunmayan ülkelere aktarımda standart sözleşme veya diğer uygun güvenceler kullanılır.
- Standart sözleşme imzalandığında, imza tarihinden itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir.
- Veri sorumlusu sıfatıyla bildirim yükümlülüğü Müşteriye aittir; Mareviq gerekli bilgi, belge ve sözleşme metinlerini Müşteriye sağlar.
- Mareviq, kişisel veri içeren işlemleri mümkün olduğunca yurt içinde tutmayı hedefler; kendi sunucusunda çalışan OCR/görüntü işleme yeteneklerini önceliklendirir.
- Müşteri, yurt dışına veri gönderen modülleri (yapay zekâ, push bildirim) kendi panelinden kapalı tutmayı tercih edebilir.
[DOLDURULACAK: barındırma ve diğer yurt dışı sağlayıcılarla imzalanan standart sözleşmelerin tarihleri ve KVKK bildirim tarihleri]
10. Veri ihlali bildirimi
- Mareviq, kişisel veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde Müşteriye bildirir.
- Bildirim; ihlalin niteliğini, etkilenen ilgili kişi ve kayıt sayısı hakkındaki tahmini, olası sonuçlarını ve alınan/alınacak tedbirleri içerir. Bilgi tek seferde verilemiyorsa aşamalı olarak tamamlanır.
- Kişisel Verileri Koruma Kuruluna 72 saat içinde bildirim ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Müşteriye aittir. Mareviq bu süreçte gerekli tüm bilgi, kayıt ve teknik desteği sağlar.
- Mareviq, ihlale ilişkin kayıtları tutar ve Müşterinin talebi hâlinde paylaşır.
- Mareviq, Müşterinin yazılı onayı olmadan ihlali kamuya duyurmaz veya Müşteriyi adıyla anmaz.
11. İlgili kişi başvuruları
Bir şoför, personel veya başka bir ilgili kişi kendi verisi hakkında doğrudan Mareviq'e başvurursa, Mareviq başvuruyu esastan yanıtlamaz; başvuranı veri sorumlusu olan Müşteriye yönlendirir ve başvuruyu gecikmeksizin Müşteriye iletir.
Mareviq, Müşterinin ilgili kişi taleplerini (erişim, düzeltme, silme, aktarım) karşılayabilmesi için gerekli teknik yardımı — veri dökümü, düzeltme ve silme işlemleri dâhil — makul sürede ve ek ücret talep etmeksizin sağlar. Olağandışı hacimli veya tekrarlayan taleplerde makul bir hizmet bedeli kararlaştırılabilir.
12. Denetim hakkı
- Müşteri, yılda bir kez ve en az 30 gün önceden yazılı bildirimde bulunmak kaydıyla, Mareviq'in bu sözleşmeye uyumunu denetleyebilir.
- Denetim öncelikle yazılı bilgi talebi / soru formu ve varsa bağımsız denetim raporlarının paylaşılması yoluyla yapılır. Bunlar yeterli olmazsa, mesai saatleri içinde ve Mareviq'in faaliyetini aksatmayacak biçimde yerinde denetim yapılabilir.
- Denetim yapan taraf ve görevlendirdiği kişiler gizlilik yükümlülüğü altındadır; Mareviq'in diğer müşterilerine ait verilere erişilemez.
- Denetim masrafları Müşteriye aittir. Yıl içinde bir veri ihlali yaşanmışsa ek denetim ücretsiz talep edilebilir.
13. Sözleşmenin sona ermesi: iade ve imha
- Abonelik sona erdiğinde Müşteri Verisi 30 gün boyunca dışa aktarılabilir durumda tutulur. Müşteri bu süre içinde tam veri dökümünü CSV/Excel ve talep hâlinde JSON formatında ücretsiz olarak talep edebilir; talep en geç 10 iş günü içinde karşılanır.
- 30 günlük sürenin bitiminden itibaren en geç 60 gün içinde kişisel veriler üretim sistemlerinden silinir veya yok edilir.
- Yedeklerdeki kopyalar, yedek rotasyon döngüsü içinde ve her hâlde 90 gün içinde imha edilir. Bu süre boyunca yedekler yalnızca felaketten dönüş amacıyla erişilebilir kalır.
- Mevzuatın saklanmasını zorunlu kıldığı kayıtlar (fatura ve mali belgeler gibi) bu hükmün dışındadır; bu kayıtlar yasal süre boyunca erişimi sınırlandırılmış olarak saklanır.
- Mareviq, imha işlemini Müşterinin talebi üzerine yazılı olarak (imha tutanağı) teyit eder.
14. Sorumluluk ve rücu
- Müşterinin hukuka aykırı talimatından, sisteme hukuka aykırı olarak veri girmesinden, ilgili kişileri aydınlatmamasından veya gerekli rızayı almamasından doğan zarar ve idari yaptırımlardan Mareviq sorumlu değildir; Mareviq bu nedenle bir yaptırıma maruz kalırsa Müşteriye rücu eder.
- Mareviq'in bu sözleşmeye aykırılığından veya kendi kusurundan doğan zararlardan Mareviq sorumludur.
- Mareviq'in bu sözleşmeden doğan toplam sorumluluğu, Abonelik Sözleşmesi m.16/4'teki üst sınıra (zararın doğduğu tarihten önceki 12 aylık dönemde fiilen ödenmiş abonelik bedelleri toplamı) tabidir. Bu sınır, Mareviq'in kastı ve ağır ihmali hâlinde uygulanmaz.
- Her taraf, kendi sıfatından doğan idari para cezasından kendisi sorumludur.
15. Yürürlük ve değişiklik
Bu sözleşme, Abonelik Sözleşmesinin ayrılmaz eki (Ek-1) olup Müşterinin kayıt ekranındaki "Veri işleme sözleşmesi" onayıyla birlikte yürürlüğe girer ve abonelik süresince, ayrıca 13. maddedeki imha süreçleri tamamlanana kadar geçerlidir.
Kişisel verilere ilişkin konularda bu Ek'in hükümleri, Abonelik Sözleşmesinin genel hükümlerine göre üstün tutulur.
Mevzuat değişikliği veya alt işleyen listesindeki güncelleme hâlinde bu metin yeni bir sürüm numarasıyla yayımlanır; esaslı değişiklikler Müşteriye e-posta ile bildirilir. Müşterinin onayladığı sürüm ve onay zamanı Mareviq tarafından kayıt altında tutulur.