Veri İşleme Sözleşmesi

1. Taraflar, konu ve dayanak

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Manvera'ya firma kaydı oluşturan ve Kullanım Koşulları'nı kabul eden firma ("Veri Sorumlusu") ile ("Veri İşleyen") arasında, Kullanım Koşulları'nın eki olarak akdedilmiştir. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesi ve Veri Sorumlusu'na uygulanabildiği ölçüde AB Genel Veri Koruma Tüzüğü'nün ("GDPR") 28. maddesi kapsamında, Veri İşleyen'in Veri Sorumlusu adına yürüttüğü kişisel veri işleme faaliyetlerine ilişkin hak ve yükümlülükleri düzenler.

Sözleşme, firma kaydı sırasında veya sonradan girişte firma yöneticisi tarafından, Veri Sorumlusu'nu temsilen elektronik olarak kabul edilir. Kabulün sürümü, zamanı ve kabul eden kişi Veri İşleyen'in sistemlerinde kayıt altına alınır.

2. Tanımlar

Bu Sözleşme'de "kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi" ve "kişisel veri ihlali" kavramları KVKK'daki ve uygulanabildiği ölçüde GDPR'daki anlamlarıyla kullanılmıştır. "Müşteri Verisi", Kullanım Koşulları'nda tanımlanan veridir. "Alt İşleyen", Veri İşleyen'in Müşteri Verisi'ni işlemek üzere görevlendirdiği üçüncü kişidir.

3. İşlemenin konusu, süresi, niteliği ve amacı

Konu: Manvera CRM hizmetinin Veri Sorumlusu'na sunulması.
Süre: Kullanım Koşulları'nın yürürlükte kaldığı süre ve sona ermesinden sonra Madde 13'teki silme işleminin tamamlanmasına kadar geçen süre.
Nitelik: kaydetme, depolama, düzenleme, görüntüleme, sorgulama, dışa aktarma, yedekleme, Veri Sorumlusu'nun talimatıyla iletme (e-posta, webhook, takvim aboneliği) ve silme; Veri Sorumlusu kullanıcılarının başlattığı yapay zekâ ve kişi arama işlemleri.
Amaç: yalnızca hizmetin sunulması, güvenliğinin sağlanması, destek verilmesi ve Veri Sorumlusu'nun talimatlarının yerine getirilmesi.
İlgili kişi grupları: Veri Sorumlusu'nun müşterileri, potansiyel müşterileri ve tedarikçilerindeki ilgili kişiler (çalışanlar, yetkililer); hedef firmalarda çalışan ve kişi arama özelliğiyle bulunan kişiler; Veri Sorumlusu'nun kullanıcıları ve çalışanları (sorumlu kişi kayıtları); Veri Sorumlusu'nun kayıtlara girdiği diğer gerçek kişiler.
Veri kategorileri: kimlik (ad soyad), iletişim (iş e-postası, telefon, LinkedIn adresi), mesleki bilgi (işveren, unvan), müşteri işlem bilgisi (notlar, aktiviteler, fırsatlar, teklifler, projeler, faturalar, tahminler), yüklenen dosyalardaki bilgiler, kullanıcıların kayıt sahipliği ve işlem bilgileri.
Özel nitelikli veri: Hizmet özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır; Veri Sorumlusu bu tür verileri Hizmet'e girmemeyi taahhüt eder.

4. Veri Sorumlusu'nun talimatları ve yükümlülükleri

Veri İşleyen Müşteri Verisi'ni yalnızca Veri Sorumlusu'nun belgelenmiş talimatlarıyla işler. Kullanım Koşulları, bu Sözleşme, Veri Sorumlusu'nun Hizmet'i kullanması ve Hizmet içinde yaptığı ayarlar (ör. webhook adresi, E-Tablo senkronizasyonu, takvim aboneliği, kişi arama ve yapay zekâ araştırmasının başlatılması) belgelenmiş talimat sayılır. Veri İşleyen, bir talimatın mevzuata aykırı olduğu kanaatindeyse Veri Sorumlusu'nu gecikmeksizin bilgilendirir. Bir yasal zorunluluk gereği başka bir işleme yapması gerekirse, kanun yasaklamadıkça Veri Sorumlusu'na önceden bildirir.

Veri Sorumlusu; Müşteri Verisi'nin hukuka uygun biçimde elde edilmesinden, işleme için gerekli hukuki sebeplerin bulunmasından, ilgili kişilerin aydınlatılmasından (kişi arama özelliğiyle üçüncü bir kaynaktan elde edilen veriler dahil, KVKK m.10, GDPR m.14), ticari elektronik ileti onaylarının alınmasından ve kullanıcılarına doğru yetkilerin verilmesinden sorumludur.

5. Gizlilik

Veri İşleyen, Müşteri Verisi'ne erişebilen çalışanlarının ve yetkililerinin yazılı gizlilik yükümlülüğü altında olmasını ve erişimin işin gerektirdiği kişilerle sınırlı tutulmasını sağlar. Veri İşleyen personeli Müşteri Verisi'ne yalnızca destek talebi, hata giderme, güvenlik olayı veya mevzuat gereği gibi zorunlu durumlarda erişir; platform yöneticisinin bir firmaya geçerek yaptığı işlemler o firmanın denetim izinde görünür.

6. Güvenlik tedbirleri

Veri İşleyen, KVKK m.12 ve GDPR m.32 uyarınca, işlemenin niteliğine ve risklere uygun teknik ve idari tedbirleri alır. Güncel tedbirler Ek 2'de yer alır. Veri İşleyen tedbirleri geliştirebilir; ancak genel koruma düzeyini düşürmez. KVKK m.12/2 uyarınca taraflar, güvenlik tedbirlerinin alınması hususunda müştereken sorumludur.

7. Alt işleyenler

Veri Sorumlusu, Veri İşleyen'e Ek 1'deki alt işleyenleri kullanma konusunda genel yazılı yetki verir. Veri İşleyen, yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Veri Sorumlusu'nu e-posta veya Hizmet içi bildirimle bilgilendirir. Veri Sorumlusu, makul gerekçeyle bu süre içinde itiraz edebilir; itiraz giderilemezse Veri Sorumlusu sözleşmeyi bu sürenin sonunda ek bir bedel ödemeden feshedebilir. Veri İşleyen, alt işleyenlere bu Sözleşme'dekilerle esasen aynı veri koruma yükümlülüklerini sözleşmeyle yükler ve onların yükümlülüklerini yerine getirmesinden Veri Sorumlusu'na karşı sorumludur.

8. Yurt dışına aktarım

Müşteri Verisi'nin veritabanı ve dosyaları Google Cloud'un europe-west1 (Belçika, AB) bölgesinde tutulur. Kimlik doğrulama, web dağıtımı ve reCAPTCHA Google'ın küresel altyapısında; yapay zekâ (Anthropic) ve kişi arama (RocketReach) özellikleri ABD'de işlenir. Yedekler bölgesinde tutulur.

KVKK m.9: Yeterlilik kararı bulunmayan ülkelere aktarımlar, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelerle yapılır ve standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir. Veri Sorumlusu, Hizmet'in bu aktarımları içerdiğini bilerek talimat verir; standart sözleşmenin Veri Sorumlusu ile Veri İşleyen arasında da imzalanması gerekiyorsa taraflar bunu ayrıca imzalar.
GDPR: AB/AEA'da yerleşik Veri Sorumlusu bakımından, Türkiye'de yerleşik Veri İşleyen'e yapılan aktarım (uzaktan erişim dahil) AB Komisyonu'nun 2021/914 sayılı kararıyla kabul edilen Standart Sözleşme Maddeleri'nin İkinci Modülü'ne (veri sorumlusundan veri işleyene), alt işleyenlere yapılan aktarımlar Üçüncü Modül'e veya AB-ABD Veri Gizliliği Çerçevesi'ne dayanır. Standart Sözleşme Maddeleri bu Sözleşme'ye atıfla dahil edilmiş sayılır; çelişki hâlinde Standart Sözleşme Maddeleri önceliklidir.

9. İlgili kişi talepleri

Veri İşleyen, ilgili kişilerin KVKK m.11 ve GDPR m.12–22 kapsamındaki taleplerine yanıt verilmesinde Veri Sorumlusu'na, işlemenin niteliğine uygun teknik ve idari tedbirlerle yardımcı olur. Hizmet bu amaçla şu imkânları sunar: kayıtların görüntülenmesi, düzeltilmesi ve silinmesi; firmanın verisinin JSON ve Excel olarak dışa aktarılması; kullanıcıların silinmesi. Veri İşleyen'e doğrudan ulaşan talepleri, kendisi yanıtlamaksızın gecikmeksizin Veri Sorumlusu'na iletir.

10. Kişisel veri ihlali bildirimi

Veri İşleyen, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrendiğinde Veri Sorumlusu'nu gecikmeksizin ve her hâlükârda 72 saati aşmayacak şekilde bildirir; ilk bildirimi, Veri Sorumlusu'nun Kişisel Verileri Koruma Kurulu'na ve gerektiğinde AB denetim makamına 72 saat içinde bildirim yapabilmesine imkân verecek biçimde mümkün olan en kısa sürede yapar. Bildirim, o anda bilinebildiği ölçüde: ihlalin niteliği, etkilenen ilgili kişi ve kayıt kategorileri ile yaklaşık sayısı, olası sonuçları, alınan ve önerilen tedbirler ve irtibat kişisini içerir; bilgiler öğrenildikçe tamamlanır. Veri İşleyen ihlali sınırlamak için gerekli tedbirleri alır ve Veri Sorumlusu'nun ilgili kişilere ve Kurul'a yapacağı bildirimlerde ona yardımcı olur.

11. Diğer yardımlar

Veri İşleyen, makul ölçüde ve kendisine sunulan bilgiler çerçevesinde, Veri Sorumlusu'nun veri koruma etki değerlendirmeleri, önceden danışma yükümlülükleri ve Kurul ya da denetim makamlarıyla yazışmalarında ona yardımcı olur.

12. Bilgi ve denetim

Veri İşleyen, bu Sözleşme'deki yükümlülüklere uyulduğunu göstermek için gerekli bilgileri Veri Sorumlusu'nun yazılı talebi üzerine sağlar. Veri Sorumlusu, makul bir süre önceden bildirmek, mesai saatleri içinde yapmak, diğer müşterilerin verisinin gizliliğini ve Hizmet'in güvenliğini tehlikeye atmamak ve denetçinin gizlilik yükümlülüğü altında olması koşuluyla, yılda en fazla bir kez veya bir ihlalin ya da yetkili makam talebinin gerektirdiği durumlarda denetim yapabilir veya yaptırabilir. Altyapı sağlayıcılarının (ör. Google) bağımsız denetim raporları ve sertifikaları da bu amaçla kullanılabilir.

13. Silme ve iade

Kullanım Koşulları sona erdiğinde Veri Sorumlusu, verilerini Hizmet içinden boyunca dışa aktarabilir. Bu sürenin sonunda Veri İşleyen, Müşteri Verisi'ni kalıcı olarak siler: bütün firma kayıtları, yüklenen dosyalar ve firma logosu, başka bir firmada kullanılmayan kullanıcı giriş hesapları ve firmaya ait sistem kayıtları (denetim izi, webhook ve takvim kayıtları, hata kayıtları, yapay zekâ kullanım kayıtları dahil). Silinen veriler, yedeklerden yedek saklama süresi sonunda kendiliğinden çıkar; o zamana kadar yedekler yalnızca felaket kurtarma için tutulur ve başka amaçla kullanılmaz. Mevzuatın saklamayı zorunlu kıldığı veriler bu yükümlülük süresince saklanır.

14. Sorumluluk

Tarafların bu Sözleşme'den doğan sorumluluğu, kanunun emredici hükümleri saklı kalmak kaydıyla, Kullanım Koşulları'ndaki sorumluluk hükümlerine tabidir. İlgili kişilere karşı sorumluluk bakımından KVKK ve uygulanabildiği ölçüde GDPR m.82 hükümleri saklıdır.

15. Süre, öncelik ve değişiklik

Bu Sözleşme Kullanım Koşulları ile birlikte yürürlüğe girer ve Madde 13'teki silme tamamlanana kadar yürürlükte kalır. Kişisel verilerin işlenmesi bakımından bu Sözleşme, Kullanım Koşulları'na göre önceliklidir. Değişiklikler Kullanım Koşulları'ndaki usulle yapılır; yeni sürüm, firma yöneticisine girişte firma adına onaylatılır.

16. Uygulanacak hukuk

Bu Sözleşme Türk hukukuna tabidir ve Kullanım Koşulları'ndaki yetkili mahkeme hükmü uygulanır. GDPR'ın uygulandığı Veri Sorumluları bakımından GDPR'ın emredici hükümleri ve Standart Sözleşme Maddeleri'nin uygulanacak hukuk ve yetki hükümleri saklıdır.

Ek 1 — Alt işleyenler

E-posta gönderim sağlayıcısı:

Alt işleyen olmayan alıcılar: Veri Sorumlusu'nun kendisi tanımladığı webhook adresleri, kendi Google E-Tablosu ve kullanıcılarının takvim aboneliğini eklediği takvim sağlayıcıları (Google Takvim, Outlook, Apple Takvim vb.), Veri Sorumlusu'nun talimatıyla seçtiği alıcılardır; bu aktarımlar Veri Sorumlusu'nun sorumluluğundadır. Döviz kurları için Türkiye Cumhuriyet Merkez Bankası'na kişisel veri gönderilmez.

Ek 2 — Teknik ve idari güvenlik tedbirleri

Firma ayrımı: Her kayıt bağlı olduğu firmanın kimliğini taşır; veritabanı güvenlik kuralları bir kullanıcının yalnızca kendi aktif firmasının kayıtlarını okuyup yazmasına izin verir. Firma ayrımı, rol yetkileri ve yetki yükseltme denemeleri otomatik testlerle gerçek bir veritabanı emülatöründe sınanır.
Yetkilendirme: rol (yönetici, satış, proje, izleyici vb.) ve sayfa bazlı yazma yetkileri sunucu tarafındaki kurallarla uygulanır; izleyici rolü veri değiştiremez, bakım tabloları yalnızca yönetici tarafından değiştirilebilir; isteğe bağlı kayıt sahipliği kısıtıyla satış kullanıcıları yalnızca sorumlusu oldukları ticari kayıtları görür. Kullanıcılar kendi rollerini, firmalarını veya hesap durumlarını değiştiremez.
Kimlik doğrulama: Firebase Authentication; parolalar geri döndürülemez biçimde özetlenir. SMS ile iki adımlı doğrulama, firma tarafından belirli bir tarihten itibaren zorunlu kılınabilir ve zorunluluk hem veritabanı kurallarında hem sunucu fonksiyonlarında uygulanır. Platform yöneticisi yetkisi yalnızca doğrulanmış e-posta adresine verilir.
Oturum politikası: firma, boşta kalma zaman aşımı ve azami oturum süresi tanımlayabilir; azami süre sunucu tarafında da denetlenir.
Uygulama doğrulaması: Firebase App Check (reCAPTCHA Enterprise), sunucu uç noktalarına gelen isteklerin gerçek uygulamadan geldiğini doğrular; kimlik doğrulaması gerektirmeyen uç noktalar (kayıt, hata kaydı) bununla korunur.
Şifreleme: bütün iletim HTTPS/TLS ile şifrelidir; veriler Google Cloud altyapısında bekleme hâlinde şifreli saklanır. Servis anahtarları ve parolalar kaynak kodda değil Google Secret Manager'da tutulur.
Denetim izi: iş verisindeki oluşturma, değiştirme ve silme işlemleri kim, ne zaman ve hangi alanlar bilgisiyle, kullanıcıların değiştiremeyeceği ve silemeyeceği bir denetim kaydına yazılır; kayıtlar 365 gün saklanır.
Yedekleme: veritabanının tamamı her gece otomatik olarak Cloud Storage'a dışa aktarılır; yedekleme başarısız olursa platform yöneticisine bildirim gider.
Uygulama güvenliği: kullanıcı verisinin ekranda ve e-postalarda kaçışlanması (XSS koruması), güvenlik başlıkları (çerçeveleme yasağı, içerik türü koruması, yönlendiren politikası, izin politikası), webhook gönderimlerinin HMAC ile imzalanması ve iç ağ adreslerine gönderimin engellenmesi, takvim aboneliği adreslerinin kriptografik rastgele jetonla üretilmesi, dosya yollarının firma klasörüyle sınırlanması.
Hata ve olay izleme: istemci hataları harici bir servise değil Veri İşleyen'in kendi sistemine kaydedilir; tekrar eden kayıtlar sınırlanır.
Silme: firma silme işlemi yalnızca platform yöneticisi tarafından ve firma adının yeniden yazılmasıyla onaylanarak yapılır; firma kayıtları, dosyalar ve kullanılmayan giriş hesapları birlikte silinir.
İdari tedbirler: erişim yetkisinin işin gerektirdiği kişilerle sınırlandırılması, personelin gizlilik yükümlülüğü, yazılım değişikliklerinin otomatik testlerden geçmeden yayına alınmaması.

Data Processing Agreement

1. Parties, subject matter and basis

This Data Processing Agreement ("Agreement") is concluded, as an annex to the Terms of Service, between the company that creates a company registration with Manvera and accepts the Terms of Service ("Controller") and ("Processor"). It governs the rights and obligations relating to the personal data processing carried out by the Processor on behalf of the Controller under Article 12 of the Turkish Personal Data Protection Law No. 6698 ("KVKK") and, to the extent applicable to the Controller, Article 28 of the EU General Data Protection Regulation ("GDPR").

The Agreement is accepted electronically on behalf of the Controller by the company administrator at registration or later at sign-in. The version, time and person accepting are recorded in the Processor's systems.

2. Definitions

In this Agreement the terms "personal data", "processing", "controller", "processor", "data subject" and "personal data breach" have the meanings given in KVKK and, where applicable, the GDPR. "Customer Data" means the data defined in the Terms of Service. "Sub-processor" means a third party engaged by the Processor to process Customer Data.

3. Subject matter, duration, nature and purpose of processing

Subject matter: provision of the Manvera CRM service to the Controller.
Duration: the term of the Terms of Service and, after their termination, until completion of the deletion under Section 13.
Nature: recording, storage, organisation, viewing, querying, export, backup, transmission on the Controller's instructions (email, webhook, calendar subscription) and deletion; AI and people search operations started by the Controller's users.
Purpose: solely to provide and secure the service, to provide support and to carry out the Controller's instructions.
Categories of data subjects: contacts (employees, representatives) at the Controller's customers, prospects and suppliers; people working at target companies found with the people search feature; the Controller's users and employees (owner records); other natural persons entered into records by the Controller.
Categories of data: identity (name), contact (business email, phone, LinkedIn address), professional information (employer, job title), customer transaction information (notes, activities, opportunities, quotes, projects, invoices, forecasts), information contained in uploaded files, record ownership and activity information of users.
Special categories: the Service is not designed for processing special categories of personal data; the Controller undertakes not to enter such data into the Service.

4. Controller's instructions and obligations

The Processor processes Customer Data only on the documented instructions of the Controller. The Terms of Service, this Agreement, the Controller's use of the Service and the settings it makes in the Service (e.g. webhook address, spreadsheet synchronisation, calendar subscription, starting people search and AI research) are deemed documented instructions. If the Processor considers that an instruction infringes the law, it informs the Controller without delay. If it is required by law to carry out other processing, it informs the Controller in advance unless the law prohibits this.

The Controller is responsible for obtaining Customer Data lawfully, for the existence of the legal bases required for processing, for informing data subjects (including data obtained from a third-party source through the people search feature, KVKK Art. 10, GDPR Art. 14), for obtaining consent for commercial electronic messages and for granting correct permissions to its users.

5. Confidentiality

The Processor ensures that its employees and representatives with access to Customer Data are under a written obligation of confidentiality and that access is limited to those who need it for their work. The Processor's staff access Customer Data only where necessary, such as for support requests, troubleshooting, security incidents or legal requirements; actions taken by the platform administrator after switching to a company appear in that company's audit trail.

6. Security measures

In accordance with KVKK Art. 12 and GDPR Art. 32, the Processor implements technical and organisational measures appropriate to the nature of the processing and the risks. The current measures are set out in Annex 2. The Processor may improve the measures but will not reduce the overall level of protection. Under KVKK Art. 12(2) the parties are jointly responsible for taking the security measures.

7. Sub-processors

The Controller grants the Processor general written authorisation to use the sub-processors listed in Annex 1. The Processor informs the Controller by email or in-service notice at least 30 days before adding or replacing a sub-processor. The Controller may object on reasonable grounds within this period; if the objection cannot be resolved, the Controller may terminate the agreement at the end of this period without additional cost. The Processor imposes on sub-processors by contract data protection obligations essentially equivalent to those in this Agreement and remains liable to the Controller for their performance.

8. Transfers abroad

The database and files containing Customer Data are kept in Google Cloud's europe-west1 region (Belgium, EU). Authentication, web delivery and reCAPTCHA run on Google's global infrastructure; the AI (Anthropic) and people search (RocketReach) features are processed in the USA. Backups are kept in the region.

KVKK Art. 9: Transfers to countries without an adequacy decision are made using the standard contracts announced by the Personal Data Protection Board and are notified to the Authority within five business days of signing. The Controller gives its instructions knowing that the Service involves these transfers; if the standard contract must also be signed between the Controller and the Processor, the parties sign it separately.
GDPR: For Controllers established in the EU/EEA, the transfer to the Processor established in Türkiye (including remote access) is based on Module Two (controller to processor) of the Standard Contractual Clauses adopted by Commission Decision (EU) 2021/914, and transfers to sub-processors on Module Three or the EU-US Data Privacy Framework. The Standard Contractual Clauses are deemed incorporated into this Agreement by reference; in case of conflict, the Standard Contractual Clauses prevail.

9. Data subject requests

The Processor assists the Controller, by technical and organisational measures appropriate to the nature of the processing, in responding to requests from data subjects under KVKK Art. 11 and GDPR Arts. 12–22. For this purpose the Service offers: viewing, correcting and deleting records; exporting the company's data as JSON and Excel; deleting users. Requests received directly by the Processor are forwarded to the Controller without delay and without responding to them itself.

10. Personal data breach notification

When the Processor becomes aware of a personal data breach affecting Customer Data, it notifies the Controller without undue delay and in any case within no more than 72 hours; it makes the initial notification as soon as possible so that the Controller can notify the Personal Data Protection Board and, where required, the EU supervisory authority within 72 hours. The notification includes, as far as known at the time: the nature of the breach, the categories and approximate number of data subjects and records concerned, its likely consequences, the measures taken and proposed, and a contact person; the information is supplemented as it becomes available. The Processor takes the necessary measures to contain the breach and assists the Controller with notifications to data subjects and the Board.

11. Further assistance

The Processor reasonably assists the Controller, taking into account the information available to it, with data protection impact assessments, prior consultation obligations and correspondence with the Board or supervisory authorities.

12. Information and audits

Upon the Controller's written request, the Processor provides the information necessary to demonstrate compliance with this Agreement. The Controller may carry out or commission an audit at most once a year, or where required by a breach or a request of a competent authority, provided that reasonable advance notice is given, the audit takes place during business hours, it does not jeopardise the confidentiality of other customers' data or the security of the Service, and the auditor is bound by confidentiality. Independent audit reports and certifications of infrastructure providers (e.g. Google) may also be used for this purpose.

13. Deletion and return

When the Terms of Service end, the Controller may export its data from the Service for . At the end of this period the Processor permanently deletes the Customer Data: all company records, uploaded files and the company logo, user sign-in accounts not used in another company, and system records belonging to the company (including audit trail, webhook and calendar records, error logs and AI usage records). Deleted data disappears from backups automatically at the end of the backup retention period; until then backups are kept solely for disaster recovery and are not used for any other purpose. Data that must be retained by law is kept for the duration of that obligation.

14. Liability

Subject to mandatory provisions of law, the parties' liability under this Agreement is governed by the liability provisions of the Terms of Service. Liability towards data subjects under KVKK and, where applicable, Art. 82 GDPR remains unaffected.

15. Term, precedence and amendments

This Agreement enters into force together with the Terms of Service and remains in force until the deletion under Section 13 is completed. With regard to the processing of personal data, this Agreement takes precedence over the Terms of Service. Amendments follow the procedure of the Terms of Service; the new version is presented to the company administrator for acceptance on behalf of the company at sign-in.

16. Governing law

This Agreement is governed by Turkish law and the jurisdiction clause of the Terms of Service applies. For Controllers subject to the GDPR, the mandatory provisions of the GDPR and the governing law and jurisdiction provisions of the Standard Contractual Clauses remain unaffected.

Annex 1 — Sub-processors

Email delivery provider:

Recipients that are not sub-processors: webhook addresses defined by the Controller itself, its own Google spreadsheet and the calendar providers to which its users add their calendar subscription (Google Calendar, Outlook, Apple Calendar, etc.) are recipients chosen on the Controller's instructions; these transfers are the Controller's responsibility. No personal data is sent to the Central Bank of the Republic of Türkiye for exchange rates.

Annex 2 — Technical and organisational security measures

Company separation: Every record carries the identifier of the company it belongs to; database security rules allow a user to read and write only the records of their own active company. Company separation, role permissions and privilege escalation attempts are tested automatically against a real database emulator.
Authorisation: role-based (administrator, sales, project, viewer, etc.) and page-based write permissions are enforced by server-side rules; the viewer role cannot change data, maintenance tables can only be changed by administrators; with the optional record ownership restriction, sales users see only the commercial records they are responsible for. Users cannot change their own role, company or account status.
Authentication: Firebase Authentication; passwords are hashed irreversibly. Two-step verification by SMS can be made mandatory by the company from a given date, and the requirement is enforced both in the database rules and in the server functions. Platform administrator rights are granted only to a verified email address.
Session policy: the company can define an idle timeout and a maximum session duration; the maximum duration is also checked on the server.
App verification: Firebase App Check (reCAPTCHA Enterprise) verifies that requests to server endpoints come from the genuine application; endpoints not requiring authentication (registration, error logging) are protected in this way.
Encryption: all transmission is encrypted with HTTPS/TLS; data is stored encrypted at rest on Google Cloud infrastructure. Service keys and passwords are kept in Google Secret Manager, not in the source code.
Audit trail: creation, modification and deletion of business data are written, with who, when and which fields, to an audit log that users cannot change or delete; entries are kept for 365 days.
Backups: the entire database is automatically exported to Cloud Storage every night; if a backup fails, the platform administrator is notified.
Application security: escaping of user data on screen and in emails (XSS protection), security headers (framing prohibition, content type protection, referrer policy, permissions policy), HMAC signing of webhook deliveries and blocking of deliveries to internal network addresses, generation of calendar subscription addresses with cryptographically random tokens, restriction of file paths to the company's folder.
Error and event monitoring: client errors are recorded in the Processor's own system rather than an external service; repeated entries are limited.
Deletion: deletion of a company can only be performed by the platform administrator and must be confirmed by retyping the company name; company records, files and unused sign-in accounts are deleted together.
Organisational measures: limiting access rights to those who need them, confidentiality obligations of staff, no software change is released without passing automated tests.

Auftragsverarbeitungsvertrag

1. Parteien, Gegenstand und Grundlage

Dieser Auftragsverarbeitungsvertrag („Vertrag“) wird als Anlage zu den Nutzungsbedingungen zwischen der Firma, die eine Firmenregistrierung bei Manvera anlegt und die Nutzungsbedingungen akzeptiert („Verantwortlicher“), und („Auftragsverarbeiter“) geschlossen. Er regelt die Rechte und Pflichten bezüglich der Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt, nach Art. 12 des türkischen Datenschutzgesetzes Nr. 6698 („KVKK“) und, soweit auf den Verantwortlichen anwendbar, nach Art. 28 der EU-Datenschutz-Grundverordnung („DSGVO“).

Der Vertrag wird bei der Registrierung oder später bei der Anmeldung vom Firmenadministrator im Namen des Verantwortlichen elektronisch angenommen. Version, Zeitpunkt und annehmende Person werden in den Systemen des Auftragsverarbeiters protokolliert.

2. Begriffsbestimmungen

In diesem Vertrag haben die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ die Bedeutung nach dem KVKK und, soweit anwendbar, der DSGVO. „Kundendaten“ sind die in den Nutzungsbedingungen definierten Daten. „Unterauftragsverarbeiter“ ist ein Dritter, den der Auftragsverarbeiter mit der Verarbeitung von Kundendaten beauftragt.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung des CRM-Dienstes Manvera für den Verantwortlichen.
Dauer: die Laufzeit der Nutzungsbedingungen und nach deren Ende bis zum Abschluss der Löschung nach Ziffer 13.
Art: Erfassen, Speichern, Ordnen, Anzeigen, Abfragen, Exportieren, Sichern, Übermitteln auf Weisung des Verantwortlichen (E-Mail, Webhook, Kalenderabonnement) und Löschen; von Benutzern des Verantwortlichen gestartete KI- und Personensuchvorgänge.
Zweck: ausschließlich Bereitstellung und Sicherung des Dienstes, Support und Ausführung der Weisungen des Verantwortlichen.
Kategorien betroffener Personen: Ansprechpartner (Mitarbeiter, Vertreter) bei Kunden, Interessenten und Lieferanten des Verantwortlichen; mit der Personensuche gefundene Mitarbeiter von Zielfirmen; Benutzer und Mitarbeiter des Verantwortlichen (verantwortliche Personen); sonstige natürliche Personen, die der Verantwortliche in Datensätzen erfasst.
Datenkategorien: Identität (Name), Kontakt (geschäftliche E-Mail, Telefon, LinkedIn-Adresse), berufliche Angaben (Arbeitgeber, Position), Kundenvorgangsdaten (Notizen, Aktivitäten, Opportunities, Angebote, Projekte, Rechnungen, Forecasts), Inhalte hochgeladener Dateien, Angaben zur Datensatzverantwortung und Tätigkeit der Benutzer.
Besondere Kategorien: Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt; der Verantwortliche verpflichtet sich, solche Daten nicht in den Dienst einzugeben.

4. Weisungen und Pflichten des Verantwortlichen

Der Auftragsverarbeiter verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisungen gelten die Nutzungsbedingungen, dieser Vertrag, die Nutzung des Dienstes durch den Verantwortlichen und dessen Einstellungen im Dienst (z. B. Webhook-Adresse, Tabellen-Synchronisierung, Kalenderabonnement, Start der Personensuche und der KI-Recherche). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Ist er gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorab mit, sofern das Gesetz dies nicht verbietet.

Der Verantwortliche ist verantwortlich für die rechtmäßige Erhebung der Kundendaten, das Vorliegen der erforderlichen Rechtsgrundlagen, die Information der betroffenen Personen (auch bei Daten, die über die Personensuche aus einer Drittquelle stammen, Art. 10 KVKK, Art. 14 DSGVO), die Einholung von Einwilligungen für kommerzielle elektronische Nachrichten und die korrekte Vergabe von Berechtigungen an seine Benutzer.

5. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass seine Mitarbeiter und Beauftragten mit Zugang zu Kundendaten schriftlich zur Vertraulichkeit verpflichtet sind und der Zugang auf die Personen beschränkt ist, die ihn für ihre Arbeit benötigen. Mitarbeiter des Auftragsverarbeiters greifen nur in erforderlichen Fällen, etwa bei Supportanfragen, zur Fehlerbehebung, bei Sicherheitsvorfällen oder aufgrund gesetzlicher Pflichten, auf Kundendaten zu; Handlungen des Plattformadministrators nach dem Wechsel in eine Firma erscheinen im Audit-Trail dieser Firma.

6. Sicherheitsmaßnahmen

Gemäß Art. 12 KVKK und Art. 32 DSGVO trifft der Auftragsverarbeiter der Art der Verarbeitung und den Risiken angemessene technische und organisatorische Maßnahmen. Die aktuellen Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, das Gesamtschutzniveau jedoch nicht senken. Nach Art. 12 Abs. 2 KVKK sind die Parteien für die Umsetzung der Sicherheitsmaßnahmen gemeinsam verantwortlich.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 1 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail oder Hinweis im Dienst. Der Verantwortliche kann innerhalb dieser Frist aus berechtigtem Grund widersprechen; lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche den Vertrag zum Ende dieser Frist ohne zusätzliche Kosten kündigen. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich im Wesentlichen gleichwertige Datenschutzpflichten auf und haftet gegenüber dem Verantwortlichen für deren Erfüllung.

8. Übermittlung ins Ausland

Datenbank und Dateien mit Kundendaten werden in der Google-Cloud-Region europe-west1 (Belgien, EU) gespeichert. Authentifizierung, Webauslieferung und reCAPTCHA laufen auf der globalen Infrastruktur von Google; die Funktionen der KI (Anthropic) und der Personensuche (RocketReach) werden in den USA verarbeitet. Sicherungen werden in der Region gespeichert.

Art. 9 KVKK: Übermittlungen in Länder ohne Angemessenheitsbeschluss erfolgen mit den von der türkischen Datenschutzbehörde bekanntgegebenen Standardverträgen und werden der Behörde innerhalb von fünf Arbeitstagen nach Unterzeichnung gemeldet. Der Verantwortliche erteilt seine Weisungen in Kenntnis dieser Übermittlungen; muss der Standardvertrag auch zwischen Verantwortlichem und Auftragsverarbeiter unterzeichnet werden, unterzeichnen die Parteien ihn gesondert.
DSGVO: Für Verantwortliche mit Sitz in der EU/im EWR stützt sich die Übermittlung an den in der Türkei ansässigen Auftragsverarbeiter (einschließlich Fernzugriff) auf Modul 2 (Verantwortlicher an Auftragsverarbeiter) der mit Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln, Übermittlungen an Unterauftragsverarbeiter auf Modul 3 oder das EU-US Data Privacy Framework. Die Standardvertragsklauseln gelten durch Verweis als Bestandteil dieses Vertrags; bei Widersprüchen haben die Standardvertragsklauseln Vorrang.

9. Anfragen betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit der Art der Verarbeitung angemessenen technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen nach Art. 11 KVKK und Art. 12–22 DSGVO. Der Dienst bietet dazu: Anzeigen, Berichtigen und Löschen von Datensätzen; Export der Firmendaten als JSON und Excel; Löschen von Benutzern. Direkt beim Auftragsverarbeiter eingehende Anfragen leitet er unverzüglich an den Verantwortlichen weiter, ohne sie selbst zu beantworten.

10. Meldung von Datenschutzverletzungen

Erlangt der Auftragsverarbeiter Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, meldet er dies dem Verantwortlichen unverzüglich, in jedem Fall innerhalb von höchstens 72 Stunden; die erste Meldung erfolgt so früh wie möglich, damit der Verantwortliche den türkischen Datenschutzrat und gegebenenfalls die EU-Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen kann. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktperson; die Angaben werden ergänzt, sobald sie vorliegen. Der Auftragsverarbeiter ergreift die zur Eindämmung erforderlichen Maßnahmen und unterstützt den Verantwortlichen bei Benachrichtigungen an betroffene Personen und die Behörde.

11. Weitere Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang und unter Berücksichtigung der ihm vorliegenden Informationen bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen und bei der Korrespondenz mit der Behörde oder Aufsichtsbehörden.

12. Informationen und Kontrollen

Auf schriftliche Anfrage des Verantwortlichen stellt der Auftragsverarbeiter die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Der Verantwortliche kann höchstens einmal jährlich oder wenn eine Verletzung oder eine behördliche Anfrage es erfordert, eine Kontrolle durchführen oder durchführen lassen, sofern dies mit angemessener Vorankündigung, während der Geschäftszeiten, ohne Gefährdung der Vertraulichkeit der Daten anderer Kunden oder der Sicherheit des Dienstes und durch einen zur Verschwiegenheit verpflichteten Prüfer erfolgt. Unabhängige Prüfberichte und Zertifizierungen der Infrastrukturanbieter (z. B. Google) können hierfür ebenfalls herangezogen werden.

13. Löschung und Rückgabe

Nach Ende der Nutzungsbedingungen kann der Verantwortliche seine Daten für aus dem Dienst exportieren. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die Kundendaten dauerhaft: alle Firmendatensätze, hochgeladenen Dateien und das Firmenlogo, die nicht in einer anderen Firma genutzten Anmeldekonten der Benutzer und die zur Firma gehörenden Systemaufzeichnungen (einschließlich Audit-Trail, Webhook- und Kalenderaufzeichnungen, Fehlerprotokollen und KI-Nutzungsaufzeichnungen). Gelöschte Daten verschwinden mit Ablauf der Aufbewahrungsfrist für Sicherungen automatisch aus den Sicherungen; bis dahin werden Sicherungen ausschließlich zur Notfallwiederherstellung vorgehalten und zu keinem anderen Zweck verwendet. Gesetzlich aufzubewahrende Daten werden für die Dauer dieser Pflicht aufbewahrt.

14. Haftung

Vorbehaltlich zwingender gesetzlicher Bestimmungen richtet sich die Haftung der Parteien aus diesem Vertrag nach den Haftungsbestimmungen der Nutzungsbedingungen. Die Haftung gegenüber betroffenen Personen nach dem KVKK und, soweit anwendbar, nach Art. 82 DSGVO bleibt unberührt.

15. Laufzeit, Vorrang und Änderungen

Dieser Vertrag tritt mit den Nutzungsbedingungen in Kraft und gilt bis zum Abschluss der Löschung nach Ziffer 13. Hinsichtlich der Verarbeitung personenbezogener Daten hat dieser Vertrag Vorrang vor den Nutzungsbedingungen. Änderungen erfolgen nach dem Verfahren der Nutzungsbedingungen; die neue Version wird dem Firmenadministrator bei der Anmeldung zur Annahme im Namen der Firma vorgelegt.

16. Anwendbares Recht

Dieser Vertrag unterliegt türkischem Recht; es gilt die Gerichtsstandsregelung der Nutzungsbedingungen. Für Verantwortliche, die der DSGVO unterliegen, bleiben die zwingenden Bestimmungen der DSGVO sowie die Bestimmungen der Standardvertragsklauseln über anwendbares Recht und Gerichtsstand unberührt.

Anlage 1 — Unterauftragsverarbeiter

E-Mail-Versanddienstleister:

Empfänger, die keine Unterauftragsverarbeiter sind: vom Verantwortlichen selbst festgelegte Webhook-Adressen, seine eigene Google-Tabelle und die Kalenderanbieter, in die seine Benutzer ihr Kalenderabonnement eintragen (Google Kalender, Outlook, Apple Kalender usw.), sind auf Weisung des Verantwortlichen gewählte Empfänger; diese Übermittlungen liegen in der Verantwortung des Verantwortlichen. Für Wechselkurse werden keine personenbezogenen Daten an die Zentralbank der Republik Türkei übermittelt.

Anlage 2 — Technische und organisatorische Maßnahmen

Mandantentrennung: Jeder Datensatz trägt die Kennung seiner Firma; die Sicherheitsregeln der Datenbank erlauben einem Benutzer nur das Lesen und Schreiben der Datensätze seiner aktiven Firma. Mandantentrennung, Rollenberechtigungen und Versuche der Rechteausweitung werden automatisiert gegen einen echten Datenbank-Emulator getestet.
Berechtigungen: rollenbasierte (Administrator, Vertrieb, Projekt, Betrachter usw.) und seitenbasierte Schreibrechte werden durch serverseitige Regeln durchgesetzt; die Betrachterrolle kann keine Daten ändern, Stammdatentabellen können nur Administratoren ändern; mit der optionalen Datensatzverantwortung sehen Vertriebsbenutzer nur die kaufmännischen Datensätze, für die sie verantwortlich sind. Benutzer können ihre eigene Rolle, Firma oder ihren Kontostatus nicht ändern.
Authentifizierung: Firebase Authentication; Passwörter werden nicht umkehrbar gehasht. Die Zwei-Schritt-Verifizierung per SMS kann von der Firma ab einem bestimmten Datum verpflichtend gemacht werden; die Pflicht wird sowohl in den Datenbankregeln als auch in den Serverfunktionen durchgesetzt. Plattformadministrator-Rechte werden nur einer verifizierten E-Mail-Adresse erteilt.
Sitzungsrichtlinie: Die Firma kann eine Inaktivitätsdauer und eine maximale Sitzungsdauer festlegen; die maximale Dauer wird auch serverseitig geprüft.
App-Verifizierung: Firebase App Check (reCAPTCHA Enterprise) prüft, dass Anfragen an Serverendpunkte von der echten Anwendung stammen; Endpunkte ohne Authentifizierung (Registrierung, Fehlerprotokoll) sind so geschützt.
Verschlüsselung: Sämtliche Übertragungen sind mit HTTPS/TLS verschlüsselt; Daten werden auf der Google-Cloud-Infrastruktur verschlüsselt gespeichert. Dienstschlüssel und Passwörter liegen im Google Secret Manager, nicht im Quellcode.
Audit-Trail: Anlegen, Ändern und Löschen von Geschäftsdaten wird mit Angaben zu wer, wann und welche Felder in einem Audit-Protokoll aufgezeichnet, das Benutzer weder ändern noch löschen können; Einträge werden 365 Tage aufbewahrt.
Sicherung: Die gesamte Datenbank wird jede Nacht automatisch nach Cloud Storage exportiert; schlägt eine Sicherung fehl, wird der Plattformadministrator benachrichtigt.
Anwendungssicherheit: Maskierung von Benutzerdaten auf dem Bildschirm und in E-Mails (XSS-Schutz), Sicherheits-Header (Framing-Verbot, Schutz des Inhaltstyps, Referrer-Policy, Permissions-Policy), HMAC-Signatur von Webhook-Zustellungen und Sperre von Zustellungen an interne Netzadressen, Erzeugung von Kalenderabonnement-Adressen mit kryptografisch zufälligen Token, Beschränkung von Dateipfaden auf den Ordner der Firma.
Fehler- und Ereignisüberwachung: Fehler im Client werden im eigenen System des Auftragsverarbeiters statt bei einem externen Dienst erfasst; wiederholte Einträge werden begrenzt.
Löschung: Eine Firma kann nur vom Plattformadministrator gelöscht werden, bestätigt durch erneute Eingabe des Firmennamens; Firmendatensätze, Dateien und nicht mehr genutzte Anmeldekonten werden gemeinsam gelöscht.
Organisatorische Maßnahmen: Beschränkung der Zugriffsrechte auf die Personen, die sie benötigen, Verschwiegenheitspflicht der Mitarbeiter, keine Freigabe von Softwareänderungen ohne bestandene automatisierte Tests.