Veri işleme sözleşmesi

Anaokulu ile 4V3D OÜ arasında, Minute Mission grup hizmeti için. Sürüm 1.0, 23 Eylül 2026.

Bu, sözleşmenin Türkçe metnidir. Sözleşme İngilizce ve Estonca olarak da yayımlanır ve bağlayıcı olan bu iki metindir. Estonyalı müşteriler Estonca metni imzalar. Bu çeviri İngilizce metinden farklıysa İngilizce metin geçerlidir.

Bu sözleşme nasıl kabul edilir

İki yolu var, ikisinin de sonucu aynıdır.

• Satın alma sırasında. Bu sözleşmeyi, sürüm 1.0, kabul ettiğinizi belirten kutuyu işaretleyin. Sürüm ve tarih hesabınıza kaydedilir, kabul ettiğiniz metnin birebir kopyası e-postayla size gönderilir ve hesabınızda erişilebilir kalır.
• Kuruluşunuz bir imza istiyorsa, belge olarak. info@4v3d.ee adresinden bizden isteyin; aynı metni, bilgilerinizi yazacağınız bir tabloyla birlikte belge olarak gönderelim. Elektronik olarak imzalayın (eIDAS nitelikli imza, DocuSign, Adobe Sign veya kendi ulusal sisteminiz) ve bize geri gönderin. 4V3D OÜ aynı dosyayı imzalar ve size iade eder. Sözleşme, iki imzadan geç olanın tarihinde yürürlüğe girer.

Veri işleyen: 4V3D OÜ, sicil numarası 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonya. Temsilci: Oskar Viil, yönetim kurulu üyesi. İletişim: info@4v3d.ee.

1. Bu sözleşme neyi kapsar

Anaokulu (veri sorumlusu), 4V3D OÜ'nün (veri işleyen) işlettiği bir web uygulaması olan Minute Mission'ı kullanır; öğretmen burada grubun görev ve ödül panosunu tutar. Bunu yapabilmek için 4V3D OÜ, Ek II'de açıklanan kişisel verileri anaokulu adına ve onun talimatlarına göre işler.

Bu sözleşme, GDPR'nin ve UK GDPR'nin Article 28(3) hükmü uyarınca bir veri sorumlusu ile bir veri işleyen arasında yazılı olarak kararlaştırılması gereken her şeyi içerir. Anaokulunun AEA'da veya Birleşik Krallık'ta yerleşik olup olmamasından bağımsız olarak uygulanır.

2. Size hangi hukuk uygulanır

• AEA'da bulunan bir anaokulu. GDPR uygulanır. 3. bölüm de uygulanır.
• Birleşik Krallık'ta bulunan bir anaokulu. UK GDPR ve Data Protection Act 2018 uygulanır. Aşağıda GDPR'ye yapılan atıflar UK GDPR'ye, denetim makamına yapılan atıflar Information Commissioner'a yapılmış sayılır ve 3. bölüm uygulanmaz.
• Başka herhangi bir yerdeki bir anaokulu. Size kendi veri koruma hukukunuz uygulanır, bu şartlar ise 4V3D OÜ için sözleşmesel olarak bağlayıcıdır. 4V3D OÜ Avrupa Birliği'nde yerleşiktir, dolayısıyla bu işleme faaliyeti bakımından her hâlükârda GDPR ile bağlıdır. Burada yazılanların hiçbiri kendi hukukunuzun size tanıdığı bir hakkı azaltmaz.

3. Avrupa Komisyonu'nun standart sözleşme hükümleri

Anaokulu AEA'da yerleşikse taraflar, Komisyon Uygulama Kararı Decision (EU) 2021/915 ekinde yer alan, veri sorumluları ile veri işleyenler arasındaki standart sözleşme hükümlerini resmî İngilizce metniyle uygular. Bu hükümler bu sözleşmenin bir parçasıdır ve aşağıdaki ekler o hükümlerin ekleridir. Clause 5 (katılım) uygulanmaz. Clause 7.7 kapsamında Seçenek 2 uygulanır: alt veri işleyenler için genel yazılı yetkilendirme ve her değişiklikte 30 gün önceden bildirim. Hükümler ile bu sözleşme çelişirse hükümler üstün gelir.

4. Tarafların taahhütleri

4V3D OÜ şunları yapar:

• Kişisel verileri yalnızca hizmeti sunmak için ve yalnızca anaokulunun belgelenmiş talimatlarına göre, üçüncü ülkelere aktarım dâhil, işler. Bu sözleşme ve anaokulunun hizmeti kullanması, o talimatların kendisidir. 4V3D OÜ, AB veya üye devlet hukuku gereği verileri başka türlü işlemek zorunda kalırsa, o hukuk yasaklamadıkça bunu önce anaokuluna bildirir.
• Verileri hiçbir zaman kendi amaçları için kullanmaz, satmaz, herhangi bir şeyi eğitmek için kullanmaz ve Ek IV'te adı geçen alt veri işleyenler dışında kimseye göstermez.
• Erişimi olan herkesin gizlilik yükümlülüğü altında olmasını sağlar.
• Ek III'teki güvenlik önlemlerini sürdürür ve zayıflatmaz.
• Yalnızca Ek IV'teki alt veri işleyenleri kullanır. 4V3D OÜ bir alt veri işleyen ekleyebilir veya değiştirebilir; bunu yapmadan önce anaokulunun irtibat kişisine 30 gün önceden yazılı bildirim yapar. Anaokulu bu 30 gün içinde itiraz edebilir; itiraz çözülemezse anaokulu hizmeti sonlandırabilir ve ayın kullanılmayan kısmı iade edilir.
• Bir velinin veya bir çalışanın talebini yanıtlamakta anaokuluna yardımcı olur. Öğretmenler ve müdür bu verileri hizmet içinde zaten kendileri görüntüleyebilir, düzeltebilir, dışa aktarabilir ve silebilir. Talep bunun yerine 4V3D OÜ'ye ulaşırsa, beş iş günü içinde anaokulunun irtibat kişisine iletilir ve doğrudan yanıtlanmaz.
• Articles 32 to 36 kapsamındaki yükümlülüklerinde (güvenlik, ihlal bildirimi, etki değerlendirmesi, ön istişare), 4V3D OÜ'nün fiilen bildiklerini dikkate alarak anaokuluna yardımcı olur.
• Bir kişisel veri ihlalini öğrendikten sonra 24 saat içinde anaokulunun irtibat kişisine bildirir; o anda bilinenleri paylaşır, gerisini netleştikçe iletir.
• Hizmet sona erdiğinde verileri 30 gün içinde siler veya anaokulu isterse önce geri verir. Veriler şifreli yedeklerden 90 gün içinde kaybolur. 4V3D OÜ, veriler tamamen gittiğinde bunu yazılı olarak teyit eder.
• Bu yükümlülüklerin yerine getirildiğini göstermek için gereken bilgileri sağlar ve denetime izin verir. Uygulamada bu, talep üzerine yazılı yanıtlar ve belge sunmak anlamına gelir. Yerinde veya üçüncü taraf denetimi, 30 gün önceden bildirimle, masrafı anaokuluna ait olmak üzere ve bir ihlal yaşanmadıkça yılda en fazla bir kez düzenlenebilir.
• Bir talimatın veri koruma hukukunu ihlal ettiği görülürse anaokuluna hemen haber verir.

Anaokulu şunları yapar:

• Bu işleme için hukuki bir dayanağı olduğundan ve velilerin bilgilendirildiğinden emin olur. 4V3D OÜ velileri görmez ve bunu sizin yerinize yapamaz.
• Hizmetteki verileri Ek II'de anlatılanlarla sınırlı tutar. Özellikle: serbest metin alanına bir çocuğun soyadını, sağlık bilgisini, çocuk hakkındaki bir değerlendirmeyi veya ailenin durumuna ilişkin herhangi bir şeyi yazmayın.
• Kendi hesap bilgilerini güncel tutar ve irtibat kişisi değiştiğinde 4V3D OÜ'ye haber verir.
• Kendi personel hesaplarını yönetir: ayrılan öğretmenin girişini kaldırır.

5. Sizin adınıza işleme sayılmayan iki şey

Sonradan kimse tahmin yürütmek zorunda kalmasın diye açıkça yazıyoruz.

• Personel hesapları. Bir öğretmenin veya müdürün adı, e-posta adresi ve parolası olmadan hizmet hiç çalışmaz ve hizmetin nasıl işletileceğine 4V3D OÜ karar verir. Bu dar amaç bakımından 4V3D OÜ veri işleyen değil veri sorumlusudur ve kendi gizlilik politikası uygulanır. Çocuklara ilişkin her şey anaokulu adına yapılan işlemedir ve bu sözleşme kapsamındadır.
• Ödeme. Anaokulu kartla öderse ödeme Stripe Payments Europe Ltd tarafından yürütülür. Stripe, anaokulunun fatura adını, adresini, vergi numarasını, e-posta adresini ve kart bilgilerini alır; hiçbir çocuğa ait veri almaz. Bu fatura verilerinin veri sorumlusu 4V3D OÜ'dür. Bu nedenle Stripe bu sözleşme anlamında alt veri işleyen değildir ve Ek IV'te yer almaz.

6. Süre, uygulanacak hukuk ve sorumluluk

Bu sözleşme, 4V3D OÜ anaokulunun verilerini işlediği sürece yürürlüktedir ve hizmet sona erse bile veriler silinene kadar geçerliliğini korur.

Estonya hukuku uygulanır ve Harju İl Mahkemesi yetkilidir; ancak anaokulu, kendi kuralları gereği kendi ulusal hukukunu ve mahkemelerini gerektiren bir kamu kurumuysa, taraflar imzadan önce bunun yerine o konuda anlaşır.

Sorumluluk, Minute Mission Kullanım Koşulları belgesinde belirtildiği gibidir; bu sözleşme o koşulları tamamlar, onların yerine geçmez.

Ek I. Taraflar

Veri sorumlusu: anaokulu; satın alma sırasında verdiği veya imzalı nüshaya yazdığı bilgilerle belirlenir. Rolü: grup panosunda tutulan çocuk verilerinin veri sorumlusu.

Veri işleyen: 4V3D OÜ, sicil numarası 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estonya. İletişim: Oskar Viil, yönetim kurulu üyesi, info@4v3d.ee. Veri koruma görevlisi atanmamıştır, çünkü GDPR burada bunu gerektirmez.

Taraflardan her biri, diğerine yazarak irtibat kişisini değiştirebilir.

Ek II. İşlemenin tanımı

Ek III. Güvenlik önlemleri

• Veriler Avrupa Birliği'ndedir. Uygulama ve yedekleri, Hetzner Online GmbH'nin Helsinki, Finlandiya'daki veri merkezinde çalışır (ISO/IEC 27001 sertifikalı). Hizmet e-postaları Fransa'daki Scaleway SAS üzerinden gönderilir. Üçüncü bir ülkeye aktarım yoktur.
• Aktarım hâlindeki her şey şifrelidir (HTTPS ve yürürlükte bir Content Security Policy ile). Parolalar hiçbir zaman saklanmaz, yalnızca özetleri saklanır; oturum anahtarları da özet olarak saklanır, böylece veritabanının bir kopyası çalışan anahtarlar demeti olmaz.
• Her grup ayrı bir hesaptır. Bir öğretmen yalnızca kendi grubundaki çocukları görür. Müdürün kendi grupları için tek bir girişi vardır ve başkasının grubuna erişimi yoktur.
• Grup hesabına fotoğraf yüklenemez, anlık bildirimler kapalıdır ve çocukların resimleri sabit bir çizim setinden gelir.
• Günlük şifreli yedekler, sunucuda 14 gün, sunucu dışında 90 gün saklanır. Sunucunun kendisinde bulunmayan bir açık anahtarla şifrelenir, yani sunucu kendi yedeklerini okuyamaz. Yedekten geri yükleme test edilmiştir.
• Sunucuya erişim 4V3D OÜ'nün yönetim kurulu üyesiyle sınırlıdır. Erişimi olan hiçbir çalışan, yüklenici veya destek personeli yoktur.
• Analitik yok, reklam aracı yok ve hiçbir türde izleme yok. Tek düzenli raporlama, hiçbir isim içermeyen günlük kayıt, aktif hesap ve hata sayısıdır.
• Girişte ve kayıtta hız sınırı ve bir görevin geriye dönük olarak ne kadar süre işaretlenebileceğine dair 30 günlük sınır; böylece bir hata ya da kötüye kullanım aylarca geriye giden bir geçmişi yeniden yazamaz.
• Tüm kaynak kodun yazılı güvenlik incelemesi dışarıdan bir model tarafından iki kez yapılmıştır, en son 20 Eylül 2026 tarihinde, ve bulguları kapatılmıştır.

Ek IV. Alt veri işleyenler

Her ikisi de Avrupa Birliği'ndedir. AB dışında alt veri işleyen yoktur ve değerlendirilecek uluslararası aktarım yoktur.