Veri İşleyen Sözleşmesi

• Veri sorumlusu: Uygulamada organizasyon açan ve etkinliklerini Desdoor ile yöneten organizatör (bundan sonra "Organizatör").
• Veri işleyen: Raşit Şahin (Desdoor markasının sahibi; desdoor.com). Adres: Bereketzade Mah. Büyük Hendek Cad. No:11/1 Beyoğlu/İstanbul · E-posta: privacy@desdoor.com (bundan sonra "Desdoor").

Bu sözleşme, Organizatörün etkinlikleri için Desdoor'a işlettirdiği kişisel verilere (misafir listesi, bilet, başvuru, kapı girişi, rapor ve ilgili kayıtlar) ilişkin tarafların hak ve yükümlülüklerini 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.12 çerçevesinde düzenler. Kullanım Koşulları'nın ayrılmaz parçasıdır; çelişki hâlinde kişisel veriler bakımından bu sözleşme uygulanır.

Desdoor'un kendi hesap, ekip, güvenlik ve vitrin (site) faaliyetleri bu sözleşmenin konusu değildir; bunlarda Desdoor veri sorumlusudur ve Gizlilik Politikası uygulanır.

Desdoor kişisel verileri yalnız Organizatörün talimatıyla ve yalnız hizmeti sunmak için işler. Talimat: bu sözleşme, Organizatörün uygulamada yaptığı ayarlar ve işlemler (liste yükleme, bilet kesme, başvuru onayı, silme, dışa aktarma vb.) ile yazılı istekleridir. Desdoor bir talimatın mevzuata aykırı olduğunu düşünürse Organizatöre bildirir ve o talimatı uygulamayabilir.

• Topladığı ve yüklediği her kişisel veri için geçerli bir hukuki sebebe sahip olmak ve ilgili kişileri KVKK m.10 uyarınca aydınlatmak (Desdoor başvuru formunda Organizatör adına kısa bir aydınlatma gösterir; bu, Organizatörün kendi aydınlatma yükümlülüğünü ortadan kaldırmaz).
• Ticari elektronik ileti göndereceği kişilerden 6563 sayılı Kanun'a uygun onay almak ve İleti Yönetim Sistemi yükümlülüklerini yerine getirmek.
• Uygulamaya eriştirdiği ekip üyelerini ve kapı bağlantısı verdiği kişileri belirlemek, gizliliğe bağlamak ve erişimi gerekmeyince kaldırmak; kendi cihazlarının güvenliğini sağlamak.
• Ayrımcılık yasağı: başvuru ve misafir kabullerinde 6701 sayılı Türkiye İnsan Hakları ve Eşitlik Kurumu Kanunu başta olmak üzere ayrımcılık yasağına uymak. Desdoor cinsiyet veya başka bir temele dayalı kabul/ret mekanizması sunmaz; cinsiyet bilgisi yalnız istatistik amacıyla tutulur. Organizatörün verdiği kabul ve ret kararlarının sorumluluğu Organizatöre aittir.
• Yaş sınırı ve alkollü mekânlara ilişkin mevzuata uymak; Desdoor yalnız Organizatörün girdiği yaş sınırını uygular.
• Kara liste gerekçe alanına sağlık, ceza mahkûmiyeti gibi özel nitelikli kişisel veri yazmamak.
• İlgili kişilerin KVKK m.11 başvurularını yanıtlamak ve gerektiğinde Kurul'a bildirimleri yapmak.

• Verileri kendi amaçları için kullanmamak, satmamak, organizasyonlar arasında paylaşmamak (kara liste dahil) ve yalnız gerçekten anonim toplam sayıları ürünü geliştirmek için kullanmak.
• Verilere erişebilen kişileri gizlilik yükümlülüğüne bağlamak.
• Ek-3'teki teknik ve idari güvenlik tedbirlerini uygulamak (KVKK m.12/2 gereği taraflar güvenlik tedbirlerinden birlikte sorumludur).
• İlgili kişi başvurularında Organizatöre makul ölçüde yardım etmek (uygulamadaki silme, düzeltme ve dışa aktarma araçları; gerekirse teknik destek).
• Organizatörün mevzuattan doğan yükümlülüklerini yerine getirebilmesi için gereken bilgiyi sağlamak.

Organizatör, hizmetin sunulması için Ek-2'deki alt işleyenlerin kullanılmasına genel izin verir. Desdoor her alt işleyeni en az bu sözleşmedeki kadar koruyucu yükümlülüklere bağlar. Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 15 gün önce Organizatöre uygulama içinden veya e-postayla bildirir. Organizatör bu sürede kişisel verilerin korunmasına dayanan haklı bir itirazda bulunabilir; makul bir çözüm bulunamazsa Organizatör sözleşmeyi ilgili hizmet bakımından sona erdirebilir.

Ek-2'deki alt işleyenlerin tamamı Türkiye dışındadır. Organizatör bu aktarımlara izin verir. Desdoor aktarımları KVKK m.9'a uygun yürütür: organizatör hesabının ve başvuru formunu dolduran misafirin açık rızasını ayrı bir kutuyla alır ve tarihiyle kaydeder; Kurul'un ilan ettiği standart sözleşmeleri ya da m.9'daki diğer uygun güvenceleri kurmak ve gereken bildirimleri yapmak Desdoor'un yükümlülüğüdür. Organizatörün kendisinin eklediği kişiler (misafir listesi, ekip üyeleri) için aktarımın hukuki dayanağını sağlamak Organizatörün yükümlülüğüdür. Organizatörün verdiği izin, Desdoor'un yükümlülüğünü ortadan kaldırmaz.

Organizatör, aşağıdaki varsayılan süreleri talimatı olarak kabul eder; daha önce silmek isterse uygulamadaki silme araçlarını kullanabilir ya da Desdoor'dan isteyebilir.

• Silinen veri yedeklerde yalnız yukarıdaki süre kadar kalır, başka hiçbir amaçla kullanılmaz; yedekten geri yükleme yapılırsa daha önce silinmiş kayıtlar yeniden silinir.
• Kullanımdan kaldırılan bir özelliğin topladığı veriler (örneğin Kasım 2026'da kaldırılan pazarlama izni listesi) silinir.
• Mali kayıtlara ilişkin yasal saklama yükümlülükleri Organizatöre aittir; Organizatör gereken kayıtları süre dolmadan dışa aktarmalıdır.

Desdoor, Organizatörün verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Organizatörü gecikmeksizin ve en geç 24 saat içinde bilgilendirir; ilk bildirimde o an bilinenleri paylaşır, inceleme ilerledikçe tamamlar ve zararı sınırlamak için gereken önlemleri alır. Kurul'a (72 saat) ve ilgili kişilere bildirim, veri sorumlusu olarak Organizatörün yükümlülüğüdür; Desdoor bunun için gereken bilgiyi sağlar.

Desdoor, Organizatörün verilerine yalnız Organizatörün destek talebi, bir güvenlik olayı ya da yasal bir yükümlülük gerektirdiğinde, yalnız ilgili organizasyonla sınırlı, mümkün olan en kısa süre ve kayıt altında erişir.

Organizatör, bu sözleşmeye uyulduğunu gösteren bilgi ve belgeleri yazılı olarak isteyebilir; Desdoor makul sürede yanıt verir. Denetim, hizmetin güvenliği ve diğer organizatörlerin verilerinin gizliliği gözetilerek yapılır.

Sözleşme, Organizatörün kabulüyle yürürlüğe girer ve organizasyon hesabı açık kaldığı sürece geçerlidir. Organizasyon silindiğinde ona ait tüm veriler silinir (yedekler 7. maddedeki sürelerle). Organizatör silmeden önce verilerini dışa aktarabilir. Gizlilik yükümlülükleri sözleşme bittikten sonra da sürer.

• Taraflar, kendi yükümlülüklerine aykırılıktan kusurları oranında sorumludur. Organizatörün hukuka aykırı talimatından, hukuki sebebi olmadan veri toplamasından ya da aydınlatma yükümlülüğünü yerine getirmemesinden doğan sonuçlar Organizatöre aittir.
• Sorumluluk sınırı: kast, ağır kusur ve emredici hükümler saklı kalmak kaydıyla, Desdoor'un bu sözleşmeden doğan toplam sorumluluğu, zarara yol açan olaydan önceki 12 ayda Organizatörün Desdoor'a ödediği hizmet bedeliyle sınırlıdır.
• Bu sözleşmedeki hiçbir hüküm, kanunen sınırlandırılamayan sorumlulukları ortadan kaldırmaz.

Desdoor bu sözleşmeyi değiştirirse yeni sürüm uygulamada Organizatöre gösterilir ve yeniden kabul istenir; kabul edilene kadar önceki sürüm geçerlidir. Sözleşmeye Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda İstanbul mahkemeleri ve icra daireleri yetkilidir.

Ek-1: Kişi grupları ve veri kategorileri

• Kişi grupları: misafirler, bilet sahipleri, başvuranlar, kara listeye alınan kişiler, Organizatörün ekip üyeleri (yalnız işlem kayıtları bakımından).
• Veri kategorileri: ad soyad; e-posta ve telefon (ayrı, daha dar erişimli kayıtta); doğum yılı (yaş sınırı için); isteğe bağlı Instagram kullanıcı adı; bilet ve QR bilgisi; giriş durumu ve saati; görevlinin girişte ya da bilet satışında seçtiği cinsiyet (Organizatör açtıysa); VIP işareti; kara liste kaydı ve kısa gerekçe; işlem kayıtları.

Ek-2: Alt işleyenler

Ek-3: Teknik ve idari tedbirler

• Rol bazlı yetkilendirme; kapı görevlisi iletişim bilgisini ve ciroyu göremez; kapı bağlantıları tek etkinliğe kilitli ve süreli.
• İletişim bilgileri ayrı ve daha dar erişimli kayıtlarda; ham IP adresi uygulama veritabanında saklanmaz.
• Aktarımda şifreleme; sunucu tarafında erişim kuralları; istek doğrulama (App Check).
• Önemli ayar, ekip ve yetki değişiklikleri için denetim kaydı.
• Hata kayıtlarında kişisel veri maskeleme.
• Çıkışta ve etkinlik bitince cihazdaki misafir listesinin silinmesi.
• Yedekleme, geri yükleme provası ve olay müdahale süreci.