Gizlilik Politikası: Bordro Verisi ve GDPR

Sarı işaretli alanlardaki şirket bilgileri, şirket kuruluş işlemleri tamamlandığında güncellenecektir.

1. Kapsam

Bu Gizlilik Politikası, [ŞİRKET UNVANI] (“Turkuaz Payroll”, “biz”) tarafından işletilen turkuazpayroll.com web sitesi ile sunduğumuz bordro, SGK, özlük ve ilgili dış kaynak hizmetleri kapsamında gerçekleştirilen kişisel veri işleme faaliyetlerini açıklar. Web sitesi ve iletişim verilerine ilişkin KVKK m.10 kapsamındaki ayrıntılı bilgilendirme KVKK Aydınlatma Metni’nde yer alır.

2. Rollerimiz: veri sorumlusu ve veri işleyen

Veri	Rolümüz	Veri sorumlusu
Web sitesi ziyaretçileri, teklif/iletişim talepleri, müşteri ve tedarikçi yetkilileri	Veri sorumlusu	Turkuaz Payroll ([ŞİRKET UNVANI])
Müşterilerimizin çalışanlarına ait bordro, SGK ve özlük verileri	Veri işleyen (KVKK) / Processor (GDPR)	İlgili müşteri (işveren)

Müşterilerimiz adına işlediğimiz çalışan verileri bakımından işlemenin amacını ve vasıtalarını işveren belirler; biz bu verileri yalnızca işverenin yazılı talimatları ve aramızdaki sözleşme çerçevesinde işleriz.

3. Bordro hizmetlerinde işlenen veriler

Hizmetin kapsamına göre müşterimiz tarafından bize iletilen ve işlenen çalışan verileri şunları içerebilir:

Kimlik bilgileri (ad, soyad, T.C. kimlik/yabancı kimlik numarası, doğum tarihi, uyruk),
İletişim bilgileri (adres, telefon, e-posta),
Özlük ve çalışma bilgileri (işe giriş-çıkış tarihleri, pozisyon, çalışma süresi, puantaj, izin ve fazla mesai kayıtları),
Finansal bilgiler (ücret, yan haklar, kesintiler, banka hesabı/IBAN, icra ve nafaka kesintileri),
SGK ve vergi bilgileri (sigorta sicil bilgileri, prim günleri, teşvik bilgileri, vergi matrahları),
Mevzuat gerektirdiğinde özel nitelikli kişisel veriler (ör. engellilik durumu, sağlık raporu/istirahat bilgisi, sendika üyeliği).

Özel nitelikli kişisel veriler, KVKK m.6 ve Kişisel Verileri Koruma Kurulu’nun belirlediği yeterli önlemlere uygun olarak ve yalnızca hizmetin gerektirdiği ölçüde işlenir.

4. Veri işleyen olarak taahhütlerimiz

Her müşterimizle, KVKK m.12 ve (uygulanabildiği hallerde) GDPR m.28 gerekliliklerini karşılayan bir veri işleme sözleşmesi imzalarız. Bu kapsamda:

Kişisel verileri yalnızca müşterinin belgelenmiş talimatları doğrultusunda ve sözleşmede belirlenen amaçlarla işleriz; kendi amaçlarımız için kullanmayız, satmayız.
Verilere erişen tüm personelimiz gizlilik yükümlülüğü altındadır ve erişim “bilmesi gereken” ilkesiyle sınırlandırılır.
Alt veri işleyen (ör. barındırma, bulut depolama) kullanımı önceden müşteriye bildirilir; alt işleyenlere aynı veri koruma yükümlülükleri sözleşmeyle yüklenir.
Uygun teknik ve idari güvenlik tedbirlerini uygularız (bkz. madde 5).
Bir kişisel veri ihlalini öğrendiğimizde müşterimize gecikmeksizin bildirir, müşterinin Kurul’a ve ilgili kişilere yapacağı bildirimlerde (KVKK’da 72 saat; GDPR m.33) gerekli bilgiyi sağlarız.
İlgili kişi başvurularının yanıtlanmasında ve veri koruma etki değerlendirmelerinde müşterimize destek oluruz.
Sözleşmenin sona ermesinde, müşterinin tercihine göre verileri iade eder veya güvenli şekilde sileriz; yasal saklama yükümlülüğü bulunan kayıtlar yalnızca bu süre boyunca ve erişimi kısıtlanarak saklanır.
KVKK m.12/2 gereği, veri işleyen olarak veri güvenliğine ilişkin tedbirlerin alınmasında müşterimizle birlikte müştereken sorumlu olduğumuzun bilincindeyiz.

5. Güvenlik tedbirleri

Kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için başlıca şu tedbirleri uygularız:

Aktarım sırasında şifreleme (HTTPS/TLS) ve çalışan verileri için yalnızca şifreli, erişim kontrollü paylaşım kanalları; e-posta ile şifresiz çalışan listesi kabul etmeme,
Rol bazlı yetkilendirme, en az yetki ilkesi, çok faktörlü kimlik doğrulama ve erişim kayıtlarının tutulması,
Bordro verilerinin müşteri bazında ayrıştırılması, düzenli yedekleme ve yedeklerin korunması,
Personel için gizlilik taahhütnameleri ve düzenli KVKK/bilgi güvenliği farkındalık eğitimleri,
Hizmet sağlayıcıların güvenlik açısından değerlendirilmesi ve sözleşmesel güvenceler.

6. Web sitesi ve iletişim verileri

Web sitemizde hesap oluşturma veya üyelik yoktur. Bir form doldurduğunuzda ya da bize yazdığınızda ilettiğiniz bilgileri talebinizi yanıtlamak için kullanırız. Sitemiz analitik, reklam veya sosyal medya izleme araçları kullanmaz; yalnızca dil tercihinizi hatırlayan işlevsel bir çerez ve yerel depolama kaydı kullanılır (bkz. Çerez Politikası).

Sitemiz Cloudflare, Inc. (ABD) altyapısında barındırılır. Bu sağlayıcı, sitenin güvenli şekilde sunulması için IP adresi, tarayıcı bilgisi ve istek zamanı gibi teknik bağlantı verilerini kısa süreli olarak işler. Ana sayfaya ilk girişte sizi uygun dile yönlendirmek için IP adresinden türetilen ülke bilgisi ve tarayıcınızın dil ayarı anlık olarak kullanılır; bu bilgi bizim tarafımızdan saklanmaz.

7. Yurt dışına aktarım

Hizmet sağlayıcılarımızın bir kısmı yurt dışında bulunduğundan kişisel veriler yurt dışına aktarılabilir. Bu aktarımlar KVKK m.9 uyarınca; yeterlilik kararı yoksa Kurul’un ilan ettiği standart sözleşmeler gibi uygun güvencelerle ve öngörülen bildirimler yapılarak gerçekleştirilir. Müşteri adına işlenen çalışan verilerinin hangi alt işleyenlerde ve hangi ülkelerde işlendiği veri işleme sözleşmesinde açıkça belirtilir.

Türkiye’de çalışan istihdam eden ve Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (AB) 2016/679 (“GDPR”) tabi müşterilerimiz için:

GDPR m.28 kapsamında veri işleyen (processor) olarak hareket eder, GDPR m.28/3’teki asgari unsurları içeren bir veri işleme sözleşmesi (DPA) imzalarız.
Türkiye hakkında AB Komisyonu’nun bir yeterlilik kararı bulunmadığından, AB/AEA’dan Türkiye’ye yapılan aktarımlar için AB Komisyonu’nun 2021/914 sayılı kararıyla kabul edilen Standart Sözleşme Hükümleri (SCC) kullanılır ve gerektiğinde aktarım etki değerlendirmesine destek verilir.
GDPR m.30/2 uyarınca işleme faaliyetleri kaydı tutar, m.32 kapsamında uygun güvenlik önlemlerini uygular, m.33/2 uyarınca kişisel veri ihlallerini müşteriye gecikmeksizin bildiririz.
İlgili kişilerin GDPR m.15–22 kapsamındaki haklarının (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) kullanılmasında müşterimize destek oluruz.

Web sitemizi AB/AEA’dan ziyaret eden ve bizimle iletişime geçen kişiler için, veri sorumlusu sıfatıyla işlediğimiz veriler bakımından işleme GDPR m.6/1-(b) (sözleşme öncesi adımlar), (c) (hukuki yükümlülük) ve (f) (meşru menfaat) hukuki sebeplerine dayanır. Bu kişiler GDPR m.15–22’deki haklarını privacy@turkuazpayroll.com adresine yazarak kullanabilir ve bulundukları ülkedeki veri koruma denetim makamına şikâyette bulunabilir.

9. Saklama

Müşteri adına işlenen veriler sözleşme süresince ve müşteri talimatı doğrultusunda saklanır. Kendi adımıza işlediğimiz veriler için saklama süreleri KVKK Aydınlatma Metni’nde açıklanmıştır.

10. Çocukların verileri

Web sitemiz ve hizmetlerimiz işletmelere yöneliktir; 18 yaşından küçüklerden bilerek kişisel veri toplamayız. Çalışan verileri kapsamında reşit olmayan çalışanlara (ör. çırak, stajyer) ait veriler yalnızca işverenin talimatıyla ve mevzuatın gerektirdiği ölçüde işlenir.

11. Haklarınız ve iletişim

KVKK m.11 kapsamındaki haklarınız ve başvuru yöntemi KVKK Aydınlatma Metni’nde açıklanmıştır. Gizlilikle ilgili tüm sorularınız için privacy@turkuazpayroll.com adresine yazabilirsiniz. Bir işverenin çalışanıysanız ve bordro verilerinize ilişkin bir talebiniz varsa, lütfen önce işvereninize başvurun.

12. Değişiklikler

Bu politikayı mevzuattaki veya hizmetlerimizdeki değişikliklere göre güncelleyebiliriz. Güncel sürüm her zaman bu sayfada, “Son güncelleme” tarihiyle (25 Ekim 2026) yayımlanır.