Veri İşleme Sözleşmesi

Sürüm: 2026-10-12

Bu Veri İşleme Sözleşmesi ("VİS"), EJO Cloud Kullanım Koşulları'nın ("Sözleşme") ekidir ve Sözleşme'yle birlikte kabul edilir. Taraflar: EJO Cloud'a kaydolan organizasyon (veri sorumlusu, "Müşteri") ve [Şirket unvanı], [Şirket adresi] (veri işleyen, "EJO"). Bu VİS'te tanımlanmayan terimler Sözleşme'deki ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki ("KVKK") anlamlarını taşır.

1. Konu ve roller

1.1. EJO, Müşteri'ye EJO Cloud hizmetini sunarken Müşteri Verisi içindeki kişisel verileri Müşteri adına işler. Bu veriler için Müşteri veri sorumlusu, EJO veri işleyendir.

1.2. EJO'nun kendi amaçları için işlediği veriler (kayıt, hesap sahibiyle iletişim, faturalama, hizmet güvenliği) bu VİS'in kapsamında değildir; bunlar için EJO veri sorumlusudur ve Aydınlatma Metni uygulanır.

2. İşlemenin ayrıntıları

• Amaç: Müşteri'nin Kurulum'unu çalıştırmak: repository'leri pipeline'lara bağlamak, deployment'ları yürütmek ve kaydetmek, kullanıcıları yetkilendirmek, audit kaydı tutmak, metrik ve katalog göstermek, yedeklemek, destek vermek
• Niteliği: Toplama (SCM webhook'ları, API'ler ve Agent'lar aracılığıyla), kaydetme, saklama, düzenleme, görüntüleme, yedekleme, silme
• Süre: Sözleşme süresince ve 5. maddedeki silme süresi dolana kadar
• İlgili kişi grupları: Müşteri'nin Yetkili Kullanıcıları (çalışanlar, yükleniciler); Müşteri'nin repository'lerindeki commit, pull request ve review yazarları; Müşteri'nin loglarına, test raporlarına veya artifact'larına bilgisi yazılan diğer kişiler
• Veri kategorileri: Kimlik ve iletişim: kullanıcı adı, ad soyad, e-posta adresi, SCM kullanıcı adı, SSO veya LDAP kimliği ve grup üyelikleri. İşlem güvenliği: şifre özeti (bcrypt), rol ve yetkiler, oturum token'ları, audit kayıtları (kim, ne zaman, hangi işlemi yaptı). Mesleki faaliyet: commit'lerin yazarı, mesajı, tarihi ve değişen satır sayıları; pull request'ler, review'lar ve yorumların zamanı ile uzunluğu (yorum metni saklanmaz); bunlardan türetilen geliştirici ve teslimat metrikleri; deployment'ları kimin başlattığı ve onayladığı. Müşteri'nin loglarında, test raporlarında, artifact'larında ve değişkenlerinde yer alan ve içeriğine Müşteri'nin karar verdiği her türlü veri.
• Özel nitelikli veri: Hizmetin amacı gereği beklenmez. Müşteri, Kurulum'a özel nitelikli kişisel veri yüklememeyi kabul eder.

3. EJO'nun yükümlülükleri

3.1. Talimat. EJO kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatıyla işler. Sözleşme, bu VİS ve Müşteri'nin Kurulum'da yaptığı ayarlar ve işlemler Müşteri'nin talimatıdır. Bir talimatın KVKK'ya aykırı olduğunu düşünürse EJO bunu Müşteri'ye bildirir. Kanunen zorunlu bir işleme gerekirse EJO, kanun yasaklamadıkça bunu işlemeden önce Müşteri'ye bildirir.

3.2. Gizlilik. EJO kişisel verilere yalnızca hizmeti sunmak için erişmesi gereken kişilerin erişmesine izin verir ve bu kişileri gizlilik yükümlülüğü altına alır. Bu yükümlülük görevin sona ermesinden sonra da sürer (KVKK md. 12/4).

3.3. Güvenlik. EJO, KVKK md. 12 ve Kurul'un Kişisel Veri Güvenliği Rehberi uyarınca, en az Ek-2'deki teknik ve idari tedbirleri alır. EJO bu tedbirleri geliştirebilir, ancak genel koruma düzeyini düşüremez.

3.4. Veri ihlali. EJO, Müşteri Verisi'ni etkileyen bir veri ihlalini öğrendiğinde Müşteri'nin Hesap Sahibi'ne gecikmeden ve en geç 48 saat içinde bildirir. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan veya önerilen tedbirleri içerir; yeni bilgiler öğrenildikçe tamamlanır. Bu süre, Müşteri'nin Kurul'a 72 saat içinde bildirim yapabilmesi içindir. İlgili kişilere ve Kurul'a bildirim yapmak veri sorumlusu olarak Müşteri'nin yükümlülüğüdür; EJO bunun için gereken bilgileri sağlar.

3.5. İlgili kişi başvuruları. EJO'ya doğrudan bir ilgili kişi başvurusu gelirse EJO başvuruyu yanıtlamaz, makul sürede Müşteri'ye iletir ve başvurucuya veri sorumlusunun Müşteri olduğunu bildirir. EJO, Müşteri'nin KVKK md. 11 ve 13 uyarınca yapacağı işlemlerde, hizmetin niteliği ölçüsünde yardım eder. Kurulum'un kendisi, kullanıcı hesaplarını silme ve audit kayıtlarını görüntüleme gibi işlemler için Müşteri'ye araç sağlar.

3.6. Yardım ve bilgi. EJO, Müşteri'nin KVKK'ya uyumunu gösterebilmesi için gereken bilgileri talep üzerine verir: bu VİS, güncel alt işleyen listesi, güvenlik tedbirlerinin açıklaması ve makul güvenlik sorularının yanıtları.

4. Alt işleyenler

4.1. Müşteri, Ek-1'deki alt işleyenlerin kullanılmasına genel izin verir. EJO her alt işleyenle, bu VİS'tekinden daha az koruyucu olmayan yükümlülükler içeren yazılı bir sözleşme yapar ve alt işleyenin işlerinden Müşteri'ye karşı sorumludur.

4.2. EJO yeni bir alt işleyen eklemeden veya birini değiştirmeden en az 30 gün önce Hesap Sahibi'ne e-postayla bildirir ve bu sayfadaki listeyi günceller. Müşteri bu süre içinde makul ve veri korumaya dayanan bir gerekçeyle itiraz edebilir. Taraflar bir çözüm bulamazsa Müşteri, değişiklik yürürlüğe girmeden Sözleşme'yi feshedebilir ve peşin ödediği kullanılmamış dönemin ücretini geri alır. Acil güvenlik gerekçesiyle yapılan değişiklikler hemen bildirilir.

5. Yurt dışına aktarım

5.1. Müşteri Verisi'ni barındıran veritabanları, Kurulum'lar ve yedekler Türkiye'deki sunucularda tutulur.

5.2. Ek-1'de yurt dışında olduğu belirtilen alt işleyenlere yapılan aktarımlar KVKK md. 9 uyarınca, Kurul'un ilan ettiği standart sözleşmelerle ve sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilerek yapılır. Cloudflare, tarayıcıyla Kurulum arasındaki TLS trafiğini taşır ve Müşteri Verisi'ni kalıcı olarak saklamaz. E-posta gönderim sağlayıcısına yalnızca EJO Cloud'un hesap sahibine gönderdiği hizmet e-postaları ulaşır; Kurulum'un içindeki bildirimler Müşteri'nin kendi ayarladığı kanallardan (SMTP, Slack vb.) gider.

5.3. Müşteri, Kurulum'u kendi seçtiği yurt dışındaki hizmetlere (ör. GitHub, bir bulut sağlayıcısının secret yöneticisi, yurt dışındaki bir registry) bağlarsa, bu bağlantı Müşteri'nin talimatıyla ve Müşteri'nin sorumluluğunda kurulur; o hizmetlere yapılan aktarımlar için gereken KVKK md. 9 adımları Müşteri'ye aittir. Bu hizmetler EJO'nun alt işleyeni değildir.

6. Silme ve iade

6.1. Sözleşme sona erdiğinde EJO, Kurulum'u ve veritabanını siler. Silmeden önce alınan son yedek 30 gün saklanır; bu sürede Hesap Sahibi isterse EJO verileri PostgreSQL dökümü olarak iade eder. Süre dolunca yedek silinir; günlük yedeklerdeki kopyalar en geç 14 gün içinde düşer. Böylece Müşteri Verisi sona ermeden en geç 44 gün sonra tamamen silinmiş olur.

6.2. Sözleşme sürerken Müşteri, Kurulum'daki verileri Kurulum'un kendi araçlarıyla silebilir. Silinen veriler günlük yedeklerden en geç 14 gün içinde düşer.

6.3. EJO, kanunen saklaması zorunlu olan veriler dışında Müşteri Verisi'nin kopyasını tutmaz. Talep üzerine silmeyi yazılı olarak teyit eder.

7. Denetim

7.1. EJO, bu VİS'e uyduğunu göstermek için 3.6'daki bilgileri verir. Bu bilgiler yeterli olmazsa Müşteri, en az 30 gün önceden yazılı bildirimle, yılda en fazla bir kez, mesai saatleri içinde ve EJO'nun diğer müşterilerinin verilerinin gizliliğini ve hizmetin güvenliğini tehlikeye atmayacak şekilde, kendisi veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetimin maliyeti Müşteri'ye aittir. Bir veri ihlali veya yetkili bir merci talebi hâlinde bu sınırlar uygulanmaz.

7.2. Kurul'un veya başka bir yetkili merciin Müşteri Verisi'ne ilişkin bir talebi olursa EJO, kanun yasaklamadıkça bunu Müşteri'ye bildirir.

8. Müşteri'nin yükümlülükleri

8.1. Müşteri, Kurulum'a yüklediği kişisel verilerin hukuka uygun işlenmesinden, ilgili kişilerin aydınlatılmasından ve gerektiğinde açık rızalarının alınmasından sorumludur.

8.2. EJO'nun geliştirici, pull request ve teslimat metrikleri kişi bazında sonuç gösterebilir. Müşteri bu metrikleri çalışanlarının performansını değerlendirmek gibi bir amaçla kullanacaksa bunun hukuki sebebini belirlemek ve çalışanlarını bu konuda aydınlatmak Müşteri'nin sorumluluğundadır.

8.3. Müşteri, gerekliyse Veri Sorumluları Siciline (VERBİS) kendi kaydını yapar ve işlemelerini bu kayıtta gösterir.

9. Sorumluluk ve öncelik

Bu VİS kapsamındaki sorumluluk Sözleşme'nin 10. maddesine tabidir; ancak KVKK md. 12/2 uyarınca taraflar, kişisel verilerin korunması için gereken tedbirlerin alınmasından ilgili kişilere karşı müştereken sorumludur. Sözleşme ile bu VİS çelişirse kişisel verilerin işlenmesi konusunda bu VİS uygulanır.

Ek-1: Alt işleyenler

Ek-2: Teknik ve idari tedbirler

Ayrım

• Her Kurulum ayrı bir Kubernetes namespace'inde, ayrı bir PostgreSQL veritabanında ve o veritabanına özel bir veritabanı kullanıcısıyla çalışır. Bir Kurulum'un kullanıcısı başka bir Kurulum'un veritabanına bağlanamaz.
• Kurulum'ların ağ erişimi Kubernetes NetworkPolicy ile sınırlanır; bir Kurulum diğer Kurulum'lara ve EJO Cloud'un iç ağına erişemez.

Şifreleme

• Tarayıcılar, Agent'lar ve SCM webhook'ları ile Kurulum arasındaki tüm trafik TLS ile şifrelenir.
• EJO Cloud'un sakladığı veritabanı şifreleri, Kurulum şifreleme anahtarları ve yönetim token'ları AES-GCM ile şifrelenir.
• Kurulum'daki SECRET değişkenleri, Kurulum'a özel anahtarla şifrelenerek saklanır ve pipeline loglarında maskelenir.
• Kullanıcı şifreleri yalnızca bcrypt özeti olarak saklanır.

Erişim

• Kurulum içinde rol tabanlı yetkilendirme (RBAC), LDAP ve OIDC ile tek oturum açma, ve kullanıcı işlemlerinin audit kaydı.
• EJO Cloud yönetim paneli internete açık değildir; yalnızca yetkili kişiler, kimlik doğrulamasıyla, sunucuya özel bir bağlantı üzerinden erişir.
• Sunuculara ve yedeklere erişim, gereken en az sayıda yetkili kişiyle sınırlıdır ve bu kişiler gizlilik yükümlülüğü altındadır.

Süreklilik

• Her Kurulum veritabanının günlük yedeği alınır, sunucu dışında Türkiye'de ikinci bir konumda tutulur ve 14 gün saklanır. Bir Kurulum'un yedekten geri yüklenmesi denenmiş bir işlemdir.
• EJO sürüm güncellemeleri önce tek bir Kurulum'da denenir, sağlıklı çalışmayan bir güncellemede geri kalanlara geçilmez.

Kötüye kullanıma karşı

• Kayıt sitesinde CSRF koruması, IP ve e-posta başına istek sınırlama, isteğe bağlı robot doğrulaması; e-posta doğrulama bağlantıları tek kullanımlık ve 24 saat geçerli.
• Cloudflare üzerinden DDoS koruması.

İdari

• Gizlilik taahhütleri, ihlal müdahale prosedürü, kişisel veri saklama ve imha politikası, alt işleyenlerle yazılı sözleşmeler.