OnetraX – Veri İşleyen Sözleşmesi

Son güncelleme: 17 Ağustos 2026 | Sürüm: 1.0

⚠ Bu belge bir taslaktır ve yayına alınmadan önce köşeli parantezli alanların doldurulması ile hukuki inceleme gerektirir.

İşbu Veri İşleyen Sözleşmesi ("Sözleşme"), OnetraX Kullanım Koşulları'nın ayrılmaz bir ekidir. Kullanım Koşulları'nı kabul eden Müşteri, işbu Sözleşme'yi de kabul etmiş sayılır. Sözleşme ile Kullanım Koşulları arasında kişisel verilerin korunmasına ilişkin bir çelişki bulunması hâlinde işbu Sözleşme hükümleri uygulanır.

1. Taraflar ve Sıfatları

Taraf	KVKK Sıfatı	Anlamı
Müşteri Hizmet'i kullanan lojistik/nakliye firması	Veri Sorumlusu	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu taraf.
OnetraX [Ticari unvan — şahıs şirketi kaydı sonrası doldurulacak] Hâlihazırda: Mustafa Ece (gerçek kişi)	Veri İşleyen	Veri Sorumlusu'nun verdiği yetkiye dayanarak, onun adına kişisel verileri işleyen taraf.

Bu ayrımın anlamı: Sisteme girilen şoför, araç ve sevkiyat verilerinin veri sorumlusu Müşteri'dir, OnetraX değildir. Şoförlere aydınlatma yapma, gerekliyse açık rıza alma ve ilgili kişi başvurularını sonuçlandırma yükümlülüğü Müşteri'ye aittir. OnetraX bu verileri yalnızca Müşteri'nin talimatı doğrultusunda barındırır ve işler.

OnetraX; Müşteri'nin hesap sahibi kullanıcısının kimlik, iletişim ve fatura bilgileri bakımından ise kendisi veri sorumlusudur. Bu ilişki işbu Sözleşme'nin değil, Aydınlatma Metni ve Gizlilik Politikası'nın kapsamındadır.

2. İşlemenin Konusu, Süresi, Niteliği ve Amacı

Unsur	Kapsam
Konu	Müşteri'nin filo yönetimi faaliyetleri kapsamında OnetraX platformuna girdiği kişisel verilerin barındırılması, saklanması, görüntülenmesi, düzenlenmesi ve silinmesi.
Süre	Müşteri'nin abonelik/kullanım ilişkisi süresince; sona ermesinin ardından 9. bölümdeki iade ve imha hükümleri uygulanır.
Nitelik	Tamamen otomatik yollarla, bulut tabanlı yazılım hizmeti (SaaS) kapsamında işleme.
Amaç	Yalnızca Hizmet'in sunulması. OnetraX, Müşteri'nin verilerini kendi amaçları için, istatistik, model eğitimi, profilleme veya pazarlama amacıyla kullanmaz.

3. İşlenen Kişisel Veri Kategorileri ve İlgili Kişi Grupları

İlgili Kişi Grubu	Veri Kategorileri
Müşteri'nin şoförleri / personeli	Ad-soyad, iletişim bilgisi, ehliyet ve SRC belge bilgileri, belge geçerlilik tarihleri, görevlendirme kayıtları, maaş ve ödeme bilgileri, Müşteri tarafından yüklenen belge görselleri.
Müşteri'nin iş ortakları / karşı tarafları	Sevkiyat kayıtlarında yer alan gerçek kişi bilgileri (yükleyici, alıcı, gümrük müşaviri vb. iletişim bilgileri).
Müşteri'nin yetkili kullanıcıları	Ad-soyad, e-posta adresi, oturum ve giriş kayıtları, IP adresi.

⚠ Özel nitelikli kişisel veri uyarısı. Psikoteknik raporu, sağlık raporu, engel durumu, adli sicil kaydı ve benzeri belgeler KVKK m.6 anlamında özel nitelikli kişisel veridir ve ek koruma tedbirlerine tabidir. OnetraX platformu bu tür verilerin işlenmesi için özel olarak tasarlanmamıştır. Müşteri, belge yükleme alanlarına özel nitelikli kişisel veri yüklememeyi taahhüt eder; buna rağmen yüklenmesi hâlinde doğacak tüm hukuki sorumluluk Müşteri'ye aittir.

4. Müşteri'nin (Veri Sorumlusu) Yükümlülükleri

Müşteri aşağıdakileri taahhüt eder:

Platforma girdiği kişisel verileri hukuka uygun şekilde elde etmiş olmak ve KVKK m.5/6'daki bir işleme şartına sahip olmak.
Şoförleri ve diğer ilgili kişileri KVKK m.10 uyarınca aydınlatmış olmak; gerekli hâllerde açık rızalarını almış olmak.
Verilerin OnetraX aracılığıyla işlenmesi ve yurt dışına aktarılması bakımından KVKK m.9 kapsamında gerekli hukuki dayanağa sahip olmak (bkz. Bölüm 7).
Kullanıcı hesaplarının ve şifrelerinin güvenliğini sağlamak, yetkisiz kişilerin erişimini engellemek.
İlgili kişilerden gelen KVKK m.11 başvurularını bizzat sonuçlandırmak.
Platforma yalnızca faaliyeti için gerekli, işleme amacıyla bağlantılı ve ölçülü veri girmek.

5. OnetraX'in (Veri İşleyen) Yükümlülükleri

OnetraX aşağıdakileri taahhüt eder:

Kişisel verileri yalnızca Müşteri'nin talimatları doğrultusunda işlemek; kendi amaçları için kullanmamak, üçüncü taraflara satmamak veya kiralamamak.
Bir talimatın mevzuata aykırı olduğunu değerlendirmesi hâlinde Müşteri'yi gecikmeksizin bilgilendirmek.
Verilere erişimi, Hizmet'in sunulması için zorunlu olan asgari düzeyle sınırlı tutmak; erişimi olan kişileri gizlilik yükümlülüğü altına almak.
Bölüm 6'daki teknik ve idari tedbirleri uygulamak ve sürdürmek.
Müşteri'ye, ilgili kişi başvurularını yanıtlamasında ve gerektiğinde veri ihlali bildirimlerinde makul yardımı sağlamak.
Alt veri işleyen değişikliklerini Bölüm 8'de düzenlenen usule uygun olarak bildirmek.
Hizmet ilişkisi sona erdiğinde verileri Bölüm 9 uyarınca iade veya imha etmek.

6. Teknik ve İdari Tedbirler (KVKK m.12)

Tedbir	Uygulama
Aktarımda şifreleme	Tüm bağlantılar TLS ile şifrelenir.
Durağan veri şifrelemesi	Veriler Google Cloud altyapısında AES-256 ile şifreli olarak saklanır.
Kimlik doğrulama	Firebase Authentication ile hesap bazlı kimlik doğrulama ve oturum yönetimi.
Mantıksal veri ayrımı	Firestore güvenlik kuralları ile her Müşteri'nin verisi sunucu tarafında ayrı tutulur; bir hesabın başka bir hesabın verisine erişimi kurallar düzeyinde engellenir.
Erişim sınırlaması	Yönetimsel erişim, Hizmet'in işletilmesi için zorunlu hâllerle sınırlıdır.
Veri çoğaltma	Veriler Google Cloud altyapısında bölge içindeki birden fazla erişilebilirlik alanına çoğaltılır.
Güncelleme	Tedbirler teknolojik gelişmeler doğrultusunda gözden geçirilir; koruma düzeyi düşürülmez.

7. Yurt Dışına Aktarım

Hizmet'in altyapısı gereği, Müşteri'nin platforma girdiği kişisel veriler Almanya'nın Frankfurt bölgesinde (europe-west3) barındırılmaktadır. Bu, KVKK anlamında yurt dışına aktarım teşkil eder ve teknik olarak zorunludur; veritabanı bölgesi oluşturulduktan sonra değiştirilemeyen bir ayardır.

Bu aktarım bakımından veri sorumlusu sıfatıyla hukuki dayanağı sağlama yükümlülüğü Müşteri'ye aittir. OnetraX, aktarımın alıcılarını, ülkelerini ve amacını Alt Veri İşleyen Listesi'nde şeffaf biçimde yayımlar ve Müşteri'nin bu yükümlülüğü yerine getirmesi için gerekli bilgi ve belgeleri sağlar.

⚠ HUKUKİ İNCELEME GEREKTİRİR. Kişisel Verileri Koruma Kurulu tarafından hakkında yeterlilik kararı verilmiş bir ülke bulunmadığından, aktarımın KVKK m.9/2 kapsamında bir uygun güvenceye (tercihen standart sözleşme) dayandırılması gerekir. Standart sözleşme imzalanması hâlinde 5 iş günü içinde Kuruma bildirilmesi zorunludur. Bu bölümün nihai metni avukat onayından geçmelidir.

8. Alt Veri İşleyenler

Müşteri, OnetraX'in Hizmet'in sunulması için alt veri işleyen kullanmasına genel olarak onay verir. Güncel alt veri işleyen listesi alt-veri-isleyen-listesi.html adresinde yayımlanır ve işbu Sözleşme'nin ayrılmaz parçasıdır.

OnetraX, alt veri işleyenlerini işbu Sözleşme'dekine eşdeğer yükümlülüklere tabi kılar.
Alt veri işleyenin fiillerinden Müşteri'ye karşı OnetraX sorumludur.
Yeni bir alt veri işleyen eklenmesi veya değiştirilmesi hâlinde OnetraX, değişiklikten en az 30 gün önce Müşteri'yi e-posta yoluyla bilgilendirir.
Müşteri, bildirimden itibaren 30 gün içinde haklı gerekçeyle itiraz edebilir. Tarafların anlaşamaması hâlinde Müşteri, cezai şart doğmaksızın aboneliğini sona erdirebilir.

9. Verilerin İadesi ve İmhası

Müşteri, abonelik süresince verilerini platform üzerinden dilediği zaman görüntüleyebilir ve dışa aktarabilir.
Hizmet ilişkisinin sona ermesinden itibaren 30 gün boyunca veriler, Müşteri'nin dışa aktarım yapabilmesi amacıyla saklanır.
Bu sürenin sonunda veriler, mevzuattan doğan saklama yükümlülükleri saklı kalmak kaydıyla 90 gün içinde imha edilir.
Müşteri'nin yazılı talebi hâlinde imha daha erken gerçekleştirilir.
Fatura ve muhasebe kayıtları, vergi mevzuatı uyarınca ayrıca saklanır ve bu hükmün kapsamı dışındadır.

10. Veri İhlali Bildirimi

OnetraX, kişisel verilerin hukuka aykırı olarak erişilmesi, ifşası veya kaybı hâlinde, durumu öğrendiği andan itibaren gecikmeksizin ve en geç 24 saat içinde Müşteri'yi bilgilendirir. Bildirim, ihlalin niteliğini, etkilenen veri kategorilerini, tahmini ilgili kişi sayısını ve alınan/planlanan tedbirleri içerir.

Kurula bildirim yükümlülüğü veri sorumlusu sıfatıyla Müşteri'ye aittir ve Kurul kararı uyarınca kural olarak 72 saat içinde yerine getirilir. Etkilenen ilgili kişilere bildirim de Müşteri tarafından yapılır. OnetraX, bu bildirimlerin hazırlanması için gerekli teknik bilgi ve kayıtları sağlar.

11. Denetim

Müşteri, yılda bir defayı geçmemek üzere ve makul bir süre önceden yazılı bildirimde bulunmak kaydıyla, OnetraX'in işbu Sözleşme'ye uygunluğunu denetleyebilir. Denetim öncelikle belge ve bilgi talebi yoluyla yürütülür. Denetim, Hizmet'in işleyişini aksatmayacak ve diğer müşterilerin verilerine erişim sağlamayacak şekilde gerçekleştirilir. Alt veri işleyenlere ilişkin denetim, ilgili alt veri işleyenin yayımladığı uyum belgeleri ve sertifikalar üzerinden yapılır.

12. Sorumluluk

KVKK m.12/2 uyarınca veri sorumlusu ile veri işleyen, veri güvenliğine ilişkin tedbirlerin alınması bakımından müştereken sorumludur. Taraflardan her biri, kendi kusurundan kaynaklanan ihlallerden doğan zararlardan sorumludur. Müşteri'nin hukuka aykırı talimatı, aydınlatma yükümlülüğünü yerine getirmemesi veya platforma hukuka aykırı şekilde veri girmesi nedeniyle OnetraX aleyhine bir idari yaptırım uygulanması hâlinde, OnetraX'in rücu hakkı saklıdır.

13. Yürürlük ve Değişiklikler

İşbu Sözleşme, Müşteri'nin Kullanım Koşulları'nı kabul etmesiyle yürürlüğe girer ve Hizmet ilişkisi süresince geçerliliğini korur. Mevzuat değişikliği veya Hizmet'te yapılan değişiklikler nedeniyle güncellenmesi hâlinde, güncel sürüm bu sayfada yayımlanır ve Müşteri e-posta yoluyla bilgilendirilir.

14. İletişim

İşbu Sözleşme kapsamındaki tüm bildirimler için: info@onetrax.net

[Şahıs şirketi kaydı tamamlandığında ticari unvan, vergi dairesi, vergi numarası ve adres bilgileri bu bölüme eklenecektir.]

OnetraX – Data Processing Agreement

Last updated: August 17, 2026 | Version: 1.0

⚠ This document is a draft; the bracketed fields must be completed and it requires legal review before publication.

This Data Processing Agreement (the "Agreement") forms an integral annex to the OnetraX Terms of Use. By accepting the Terms of Use, the Customer also accepts this Agreement. In the event of a conflict between this Agreement and the Terms of Use regarding the protection of personal data, this Agreement prevails.

1. The Parties and Their Roles

Party	Role under KVKK	Meaning
Customer the logistics/haulage company using the Service	Data Controller	The party that determines the purposes and means of processing personal data and is responsible for establishing and managing the data filing system.
OnetraX [trade name — to be completed after sole proprietorship registration] Currently: Mustafa Ece (natural person)	Data Processor	The party that processes personal data on behalf of the Data Controller, based on the authority granted by it.

What this distinction means: The data controller for driver, vehicle and shipment data entered into the system is the Customer, not OnetraX. The obligation to inform drivers, to obtain explicit consent where required, and to handle data subject requests rests with the Customer. OnetraX hosts and processes this data solely on the Customer's instructions.

In respect of the identity, contact and billing details of the Customer's account holder, OnetraX acts as data controller in its own right. That relationship falls under the Information Notice and Privacy Policy, not this Agreement.

2. Subject Matter, Duration, Nature and Purpose of Processing

Element	Scope
Subject matter	Hosting, storage, display, modification and deletion of personal data entered into the OnetraX platform by the Customer in the course of its fleet management activities.
Duration	For the term of the Customer's subscription/use; upon termination, the return and deletion provisions in Section 9 apply.
Nature	Processing by fully automated means, as part of a cloud-based software service (SaaS).
Purpose	Solely the provision of the Service. OnetraX does not use Customer data for its own purposes, for statistics, model training, profiling or marketing.

3. Categories of Personal Data and Data Subjects

Category of Data Subject	Data Categories
The Customer's drivers / staff	Name, contact details, driving licence and SRC certificate details, document expiry dates, assignment records, salary and payment details, document images uploaded by the Customer.
The Customer's business partners / counterparties	Details of natural persons appearing in shipment records (contact details of shippers, consignees, customs brokers, etc.).
The Customer's authorised users	Name, email address, session and login records, IP address.

⚠ Warning on special categories of personal data. Psychotechnical reports, medical reports, disability status, criminal records and similar documents constitute special categories of personal data under KVKK Art. 6 and are subject to additional protective measures. The OnetraX platform is not specifically designed for processing such data. The Customer undertakes not to upload special categories of personal data to document upload fields; if such data is nevertheless uploaded, all resulting legal liability rests with the Customer.

4. Obligations of the Customer (Data Controller)

The Customer undertakes to:

have obtained the personal data entered into the platform lawfully and to have a valid processing condition under KVKK Art. 5/6;
have informed drivers and other data subjects in accordance with KVKK Art. 10, and to have obtained their explicit consent where required;
hold the necessary legal basis under KVKK Art. 9 for the processing and cross-border transfer of the data via OnetraX (see Section 7);
maintain the security of user accounts and passwords and prevent unauthorised access;
handle data subject requests under KVKK Art. 11 directly;
enter into the platform only data that is necessary, relevant and proportionate to its purpose.

5. Obligations of OnetraX (Data Processor)

OnetraX undertakes to:

process personal data only on the Customer's instructions; not to use it for its own purposes, nor to sell or rent it to third parties;
inform the Customer without delay if it considers an instruction to be contrary to applicable law;
limit access to the minimum necessary to provide the Service, and bind those with access to confidentiality obligations;
implement and maintain the technical and organisational measures set out in Section 6;
provide reasonable assistance to the Customer in responding to data subject requests and, where necessary, in making breach notifications;
notify changes to sub-processors in accordance with the procedure in Section 8;
return or delete data upon termination of the Service relationship in accordance with Section 9.

6. Technical and Organisational Measures (KVKK Art. 12)

Measure	Implementation
Encryption in transit	All connections are encrypted using TLS.
Encryption at rest	Data is stored encrypted with AES-256 on Google Cloud infrastructure.
Authentication	Account-based authentication and session management via Firebase Authentication.
Logical data separation	Firestore security rules keep each Customer's data separate server-side; access by one account to another account's data is blocked at rules level.
Access limitation	Administrative access is limited to cases strictly necessary for operating the Service.
Data replication	Data is replicated across multiple availability zones within the region on Google Cloud infrastructure.
Review	Measures are reviewed in line with technological developments; the level of protection is not reduced.

7. Cross-Border Transfer

Due to the Service's infrastructure, personal data entered into the platform by the Customer is hosted in the Frankfurt region of Germany (europe-west3). This constitutes a cross-border transfer under KVKK and is technically necessary; the database region is a setting that cannot be changed once provisioned.

In respect of this transfer, the obligation to establish a legal basis rests with the Customer in its capacity as data controller. OnetraX transparently publishes the recipients, countries and purposes of the transfer in the Sub-processor List and provides the information and documentation the Customer needs to meet that obligation.

⚠ REQUIRES LEGAL REVIEW. As the Turkish Personal Data Protection Board has not issued an adequacy decision in respect of any country, the transfer must rely on an appropriate safeguard under KVKK Art. 9/2 (preferably a standard contract). Where a standard contract is signed, it must be notified to the Board within 5 business days. The final wording of this section must be approved by a lawyer.

8. Sub-processors

The Customer gives general authorisation for OnetraX to engage sub-processors for the provision of the Service. The current sub-processor list is published at alt-veri-isleyen-listesi.html and forms an integral part of this Agreement.

OnetraX imposes on its sub-processors obligations equivalent to those in this Agreement.
OnetraX remains liable to the Customer for the acts of its sub-processors.
OnetraX will notify the Customer by email at least 30 days in advance of adding or replacing a sub-processor.
The Customer may object on reasonable grounds within 30 days of notification. If the parties cannot reach agreement, the Customer may terminate its subscription without penalty.

9. Return and Deletion of Data

During the subscription, the Customer may view and export its data via the platform at any time.
Data is retained for 30 days after termination of the Service relationship to allow the Customer to export it.
At the end of that period, data is deleted within 90 days, subject to statutory retention obligations.
Deletion will be carried out earlier upon the Customer's written request.
Invoicing and accounting records are retained separately under tax legislation and fall outside the scope of this provision.

10. Data Breach Notification

In the event of unlawful access to, disclosure of, or loss of personal data, OnetraX will inform the Customer without delay and no later than 24 hours after becoming aware of it. The notification will describe the nature of the breach, the categories of data affected, the estimated number of data subjects and the measures taken or planned.

The obligation to notify the Board rests with the Customer as data controller and, per the Board's decision, is generally to be fulfilled within 72 hours. Notification to affected data subjects is likewise made by the Customer. OnetraX will provide the technical information and records needed to prepare those notifications.

11. Audit

No more than once per year and upon reasonable prior written notice, the Customer may audit OnetraX's compliance with this Agreement. Audits are conducted primarily by way of requests for documents and information. Audits will be carried out so as not to disrupt the operation of the Service and without granting access to other customers' data. Audits relating to sub-processors are conducted on the basis of the compliance documents and certifications published by the relevant sub-processor.

12. Liability

Under KVKK Art. 12/2, the data controller and the data processor are jointly liable for taking data security measures. Each party is liable for damages arising from breaches attributable to its own fault. Where an administrative sanction is imposed on OnetraX as a result of the Customer's unlawful instruction, failure to fulfil its information obligation, or unlawful entry of data into the platform, OnetraX reserves its right of recourse.

13. Effect and Amendments

This Agreement takes effect upon the Customer's acceptance of the Terms of Use and remains in force for the duration of the Service relationship. Where it is updated due to changes in legislation or in the Service, the current version will be published on this page and the Customer will be notified by email.

14. Contact

For all notices under this Agreement: info@onetrax.net

[Trade name, tax office, tax number and address will be added to this section once sole proprietorship registration is complete.]