1. Amaç

Bu Ekin amacı:

• yurt dışına veri aktarım faaliyetlerini envanterlemek,
• aktarım taraflarının rollerini belirlemek,
• kullanılan hukuki mekanizmayı göstermek,
• veri kategorileri ve ilgili kişi gruplarını açıklamak,
• sonraki aktarımları ve alt işleyenleri izlemek,
• teknik ve idari güvenceleri belgelemek,
• ilgili kişilere şeffaf bilgi sunmaktır.

---

2. Kapsam

Bu Ek aşağıdaki aktarım türlerini kapsar:

• bulut veritabanı ve dosya depolama,
• CDN, DNS ve güvenlik hizmetleri,
• AI ve OCR sağlayıcıları,
• e-posta ve bildirim sistemleri,
• analitik ve hata izleme,
• ödeme hizmetleri,
• destek ve iletişim araçları,
• banka, açık bankacılık, e-dönüşüm ve pazaryeri entegrasyonları,
• yurt dışından uzaktan erişim,
• Alt İşleyenler ve sonraki aktarımlar.

Yalnızca verinin fiziksel olarak yurt dışındaki sunucuda tutulması değil, yurt dışından erişilebilir olması da aktarım değerlendirmesine tabi tutulur.

---

3. Aktarım Yapan Taraf

Ticari unvan: 1453 İstanbul Gıda San. ve Tic. Ltd. Şti.
Marka / uygulama adı: Marfin
MERSİS No: 0001192249400001
Vergi Kimlik No: 0011922494
Adres: Mevlana Mah. Yunus Emre Cad. No: 60 İç Kapı No: A, Gebze/Kocaeli
Telefon: +90 (532) 420 66 35
E-posta: destek@marfin.com.tr
Resmî bildirim e-postası: bilgi@marfin.com.tr

Marfin, somut işleme göre:

• veri sorumlusu,
• veri işleyen

sıfatıyla yurt dışına aktarım yapabilir.

---

4. Temel İlkeler

Marfin yurt dışına aktarımda aşağıdaki ilkelere uyar:

1. Aktarım için önce geçerli bir kişisel veri işleme şartı belirlenir.
2. Aktarım yapılacak ülke, sektör veya kuruluş için yeterlilik kararı bulunup bulunmadığı kontrol edilir.
3. Yeterlilik kararı yoksa uygun güvence oluşturulur.
4. Arızi aktarım istisnaları yalnızca düzenli olmayan ve istisnai işlemler için kullanılır.
5. Düzenli bulut, AI veya e-posta aktarımları yalnızca açık rızaya dayandırılmaz.
6. Veri aktarımı amaçla bağlantılı, sınırlı ve ölçülü olur.
7. Özel nitelikli veriler için ek önlemler alınır.
8. Sonraki aktarım zinciri izlenir.
9. Aktarım mekanizması geçerliliğini kaybederse aktarım durdurulur veya değiştirilir.
10. İlgili kişi haklarını kullanabilecek etkili bir yöntem sağlanır.

---

5. AKTARIM MEKANİZMALARI

5.1. Yeterlilik Kararı

Yeterlilik kararı:

• bir ülke,
• ülke içindeki belirli sektörler veya
• uluslararası kuruluş

hakkında verilebilir.

Aktarım öncesinde yeterlilik kararının:

• yürürlükte olduğu,
• ilgili ülke/sektör/kuruluşu kapsadığı,
• askıya alınmadığı veya kaldırılmadığı

kontrol edilir.

Mevcut kontrol sonucu:
Kişisel Verileri Koruma Kurulu, bu belgenin yürürlük tarihi itibarıyla herhangi bir ülke için yeterlilik kararı yayımlamamıştır; bu nedenle Marfin'in yurt dışına aktarımları Kurul'un Standart Sözleşme mekanizmasına dayanır (bkz. Madde 5.2).

Yeterlilik kararı bulunsa dahi:

• veri minimizasyonu,
• güvenlik,
• aydınlatma,
• işleme şartı

yükümlülükleri devam eder.

---

5.2. Standart Sözleşmeler

Yeterlilik kararı bulunmadığında düzenli aktarımlar için başlıca yöntem, tarafların rollerine uygun Kurul standart sözleşmesinin kullanılmasıdır.

Rol seçenekleri:

Marfin için muhtemel örnekler

• Marfin'in kendi hesap ve güvenlik verilerini yabancı bulut hizmetine göndermesi: veri sorumlusundan veri işleyene.
• Müşterinin Platforma yüklediği verilerin Marfin tarafından yabancı alt işleyene gönderilmesi: veri işleyenden veri işleyene.
• Yurt dışındaki bağımsız ödeme veya hizmet sağlayıcısına aktarım: gerçek role göre veri sorumlusundan veri sorumlusuna olabilir.
• Marfin'in veri işleyen olarak yurt dışındaki veri sorumlusu müşteriye veri göndermesi: veri işleyenden veri sorumlusuna olabilir.

Rol, sağlayıcının pazarlama tanımına göre değil gerçek sözleşme ve veri kullanımı üzerinden belirlenir.

---

5.3. Standart Sözleşmenin Kullanım Kuralları

Standart sözleşme kullanılırken:

• Kurul tarafından yayımlanan doğru modül seçilir,
• zorunlu metin üzerinde uygun olmayan değişiklik yapılmaz,
• taraflar ve imza yetkilileri doğrulanır,
• aktarımın ayrıntıları eklerde doldurulur,
• teknik ve idari tedbirler somutlaştırılır,
• özel nitelikli veri için ek önlemler belirtilir,
• sonraki alıcılar veya alıcı grupları gösterilir,
• bildirim ve kayıt yükümlülükleri tamamlanır,
• sözleşme ve ekleri güncel tutulur.

Sadece sağlayıcının kendi yabancı hukuk standart maddesini kabul etmek, KVKK kapsamında gerekli Türk standart sözleşmesinin yerine geçtiği varsayımıyla kullanılmaz.

---

5.4. Bağlayıcı Şirket Kuralları

Bağlayıcı şirket kuralları:

• aynı teşebbüs grubu içindeki,
• düzenli ve grup içi

aktarımlar için uygulanabilecek bir güvence yöntemidir.

Marfin'in mevcut şirket yapısında uygulanabilirlik:

[GRUP ŞİRKETİ YAPISI OLUŞURSA DEĞERLENDİRİLECEKTİR]

Kurul onayı alınmadan bağlayıcı şirket kuralları geçerli aktarım dayanağı olarak kullanılmaz.

---

5.5. Taahhütname ve Kurul İzni

Standart sözleşmenin ihtiyacı karşılamadığı özel durumlarda, yeterli koruma sağlayan hükümleri içeren yazılı taahhütname hazırlanarak Kurul iznine başvurulabilir.

Kurul izni alınmadan aktarım başlatılmaz.

Bu yöntem Marfin'de:

[GEREKİRSE SAĞLAYICI BAZINDA DEĞERLENDİRİLECEKTİR]

---

5.6. Kamu Kurumları Arası Anlaşma

Türkiye'deki kamu kurumları ile yurt dışındaki kamu kurumları veya uluslararası kuruluşlar arasındaki anlaşma ve Kurul iznine dayalı yöntem, Marfin'in olağan ticari sağlayıcı aktarımlarında kullanılmaz.

---

5.7. Arızi Aktarımlar

Yeterlilik kararı ve uygun güvence bulunmadığında, yalnızca:

• düzenli olmayan,
• süreklilik göstermeyen,
• nadiren gerçekleşen

aktarımlar arızi aktarım şartlarına göre değerlendirilebilir.

Arızi aktarım örnekleri somut olaya göre:

• ilgili kişiyle sözleşmenin istisnai ifası,
• ilgili kişi yararına bir sözleşme,
• bir hakkın tesisi, kullanılması veya korunması,
• üstün kamu yararı,
• hayat veya beden bütünlüğünün korunması,
• açık sicilden sınırlı aktarım,
• muhtemel riskler açıklanarak verilen açık rıza

olabilir.

Düzenli:

• Supabase barındırma,
• Cloudflare trafiği,
• AI API çağrıları,
• e-posta hizmeti,
• analitik ve hata izleme

arızi aktarım olarak sınıflandırılmaz.

---

6. Açık Rızanın Aktarımdaki Yeri

Açık rıza, düzenli aktarım sistemini kurmanın varsayılan ve sürekli yöntemi olarak kullanılmamalıdır.

Arızi aktarımda açık rıza kullanılacaksa ilgili kişi:

• aktarım yapılacak ülke ve alıcı,
• veriler,
• amaç,
• uygun güvence bulunmaması,
• doğabilecek muhtemel riskler,
• rızayı geri alma yöntemi

hakkında bilgilendirilir.

Açık rızanın geri alınması ileriye yönelik sonuç doğurur.

Rıza verilmemesinin temel hizmete etkisi somut ve ölçülü biçimde değerlendirilir.

---

7. MARFIN AKTARIM ENVANTERİ

Aşağıdaki tablo, Alt İşleyenler Listesi ile senkronize edilmiştir; her sağlayıcıya ilişkin ayrıntılı bilgi için o belgeye bakınız.

Marfin şu an ürün analitiği, banka/açık bankacılık sağlayıcısı entegrasyonu kullanmamaktadır; bu sağlayıcılar devreye alındığında hem bu tablo hem de Alt İşleyenler Listesi güncellenir.

Mekanizma notu: "Marfin rolü" sütunundaki VS/Vİ (veri sorumlusu/veri işleyen) ayrımı, aktarılan verinin niteliğine göre değişir. Marfin'in kendi veri sorumlusu sıfatıyla işlediği veri (hesap, iletişim, güvenlik logu vb.) için Kurul'un "Veri Sorumlusundan Veri İşleyene" (Modül 2) Standart Sözleşmesi; Müşterinin veri işleyen sıfatıyla Platforma yüklediği Müşteri Verisi'nin (§5.2) yurt dışındaki alt işleyene aktarımı için ise "Veri İşleyenden Veri İşleyene" (Modül 3) Standart Sözleşmesi esas alınır. Yukarıdaki tablodaki "Mekanizma" sütunu her iki veri kategorisi için de ilgili modülün Kurul tarafından ilan edilen Standart Sözleşme çerçevesini ifade eder; kesinleştirilen sözleşmelerde hangi modülün hangi veri kategorisine uygulandığı ayrıca belirtilir.

Kurul'a bildirim: Standart Sözleşme, ilgili yurt dışı taraf ile imzalandıktan sonra imza tarihinden itibaren 5 iş günü içinde Kurul'a bildirilir (KVKK m.9).

Kısaltmalar:
VS: Veri sorumlusu
Vİ: Veri işleyen
SS: Standart sözleşme

---

8. AKTARIM KAYDI ŞABLONU

Her aktif aktarım için aşağıdaki kayıt oluşturulur.

8.1. Taraflar

Veri aktaran:
[TİCARİ UNVAN, ADRES, ROL]

Veri alıcısı:
[TİCARİ UNVAN, ADRES, ÜLKE, ROL]

İrtibat kişileri:
[BİLGİ TAMAMLANACAK]

8.2. Aktarımın Detayları

Aktarım konusu:
[BİLGİ TAMAMLANACAK]

Amaç:
[BİLGİ TAMAMLANACAK]

Sıklık:

• Sürekli
• Periyodik
• Olay bazlı
• Tek seferlik

Aktarım yöntemi:

• API
• Dosya yükleme
• E-posta
• Uzaktan erişim
• Sistem replikasyonu
• Diğer: [BİLGİ TAMAMLANACAK]

8.3. Veri Kategorileri

• Kimlik
• İletişim
• Müşteri işlem
• Finans
• Fatura ve belge
• Banka ve hesap
• Ödeme
• Kullanıcı ve yetki
• Teknik ve güvenlik logu
• AI istem ve çıktı
• OCR içeriği
• Çerez/cihaz
• Özel nitelikli veri
• Diğer: [BİLGİ TAMAMLANACAK]

8.4. İlgili Kişi Grupları

• Yetkili Kullanıcı
• Müşteri çalışanı
• Müşterinin müşterisi
• Tedarikçi
• Fatura / ödeme tarafı
• Web ziyaretçisi
• Destek başvurusu sahibi
• Diğer: [BİLGİ TAMAMLANACAK]

8.5. Hukuki Yapı

İşleme şartı:
[KVKK M.5 / M.6 ŞARTI TAMAMLANACAK]

Aktarım mekanizması:
[YETERLİLİK / STANDART SÖZLEŞME / BŞK / TAAHHÜTNAME / ARIZİ]

Standart sözleşme modülü:
[1 / 2 / 3 / 4 / UYGULANMAZ]

İmza tarihi:
[BİLGİ TAMAMLANACAK]

Bildirim/kayıt durumu:
[BİLGİ TAMAMLANACAK]

---

9. TEKNİK VE İDARİ TEDBİRLER

Aktarımın riskine göre aşağıdaki tedbirler uygulanabilir:

• veri minimizasyonu,
• maskeleme ve takma adlandırma,
• aktarım sırasında şifreleme,
• erişim kontrolü,
• çok faktörlü kimlik doğrulama,
• API anahtarı güvenliği,
• rol bazlı yetki,
• log ve denetim kayıtları,
• saklama süresi sınırlaması,
• yedek ve silme kontrolü,
• veri kaybı önleme,
• özel nitelikli veri için ek koruma,
• güvenlik olayı bildirim prosedürü,
• düzenli tedarikçi incelemesi,
• kamu makamı erişim taleplerinin değerlendirilmesi.

Kesin teknik standartlar gerçek mimariyle doğrulanmadan garanti olarak yazılmaz.

---

10. Aktarım Etki ve Risk Değerlendirmesi

Her düzenli aktarım için aşağıdaki riskler değerlendirilir:

• ülkenin veri koruma hukuku,
• ilgili kişinin hak arama imkânı,
• kamu makamlarının erişim yetkileri,
• verinin hassasiyeti,
• aktarımın sıklığı ve hacmi,
• şifreleme veya takma adlandırma,
• sağlayıcının sonraki aktarım zinciri,
• veri ihlali geçmişi,
• silme ve iade kabiliyeti,
• sözleşmeye uyumsuzluk hâlinde aktarımı durdurma imkânı.

Risk kabul edilemezse:

• veri kapsamı azaltılır,
• ek teknik önlem uygulanır,
• farklı bölge veya sağlayıcı seçilir,
• aktarım ertelenir veya durdurulur.

---

11. Sonraki Aktarımlar

Yurt dışındaki veri alıcısı, verileri başka bir alıcıya aktaracaksa:

• sonraki alıcının kimliği veya grubu belirlenir,
• amaç ve veri kapsamı doğrulanır,
• geçerli aktarım mekanizması sağlanır,
• aynı koruma yükümlülükleri sözleşmeyle aktarılır,
• Alt İşleyenler Listesi güncellenir,
• gerekli bildirimler yapılır.

Sağlayıcının herkese açık alt işleyen sayfasına genel atıf yapılması tek başına yeterli görülmez; gerçek ürün ve aktarım zinciri değerlendirilir.

---

12. Özel Nitelikli Kişisel Veriler

Özel nitelikli veri aktarılacaksa:

• aktarımın gerçekten gerekli olduğu doğrulanır,
• uygun işleme şartı belirlenir,
• standart sözleşme ekinde açıkça gösterilir,
• ek teknik ve idari tedbirler uygulanır,
• erişim ve saklama daha sıkı sınırlandırılır,
• açık sistemler ve gereksiz AI araçlarına gönderilmez.

Marfin'in standart hizmeti özel nitelikli veri işlemek amacıyla tasarlanmamıştır.

---

13. Kamu Makamı Erişim Talepleri

Yurt dışındaki alıcıdan, mümkün olduğu ölçüde:

• kamu makamı taleplerini hukuka uygunluk açısından incelemesi,
• aşırı veya hukuka aykırı taleplere itiraz etmesi,
• yasak değilse Marfin'i bilgilendirmesi,
• yalnızca gerekli veriyi açıklaması,
• taleplerin kaydını tutması

istenir.

Aktarım güvencelerini etkileyen mevzuat veya uygulama değişikliği öğrenilirse aktarım yeniden değerlendirilir.

---

14. Veri İhlali

Yurt dışındaki alıcıyı etkileyen veri ihlalinde:

1. Marfin'e gecikmeksizin bildirim yapılır.
2. Etkilenen veri, kişi ve sistemler belirlenir.
3. Aktarım gerekirse askıya alınır.
4. Müşteri ve ilgili kişi etkisi değerlendirilir.
5. Kurul ve ilgili kişi bildirimleri değerlendirilir.
6. Düzeltici tedbir ve sonraki aktarım zinciri kontrol edilir.

Sağlayıcı sözleşmesindeki bildirim süresi DPA ve standart sözleşmeyle uyumlu olmalıdır.

---

15. İlgili Kişi Hakları

İlgili kişiler:

• verilerinin yurt dışına aktarılıp aktarılmadığını öğrenebilir,
• alıcı veya alıcı gruplarını öğrenebilir,
• aktarım amacı ve veri kategorileri hakkında bilgi alabilir,
• şartları varsa standart sözleşmenin anlamlı bir örneğini talep edebilir,
• düzeltme, silme ve itiraz haklarını kullanabilir,
• hukuka aykırı işlem nedeniyle zararının giderilmesini talep edebilir.

Ticari sır veya güvenlik bilgileri korunurken ilgili kişiye anlamlı ve yeterli bilgi verilir.

Başvuru yöntemi:

İlgili Kişi Başvuru Formu

---

16. Aktarımın Askıya Alınması

Aşağıdaki durumlarda aktarım askıya alınabilir:

• aktarım mekanizmasının geçerliliğini kaybetmesi,
• sözleşmeye aykırılık,
• güvenlik ihlali,
• veri alıcısının yükümlülüklerini yerine getirememesi,
• kamu makamı erişim riskinin kabul edilemez hâle gelmesi,
• Kurul kararı veya yetkili makam talebi,
• sağlayıcının veri kullanım politikasında esaslı değişiklik.

Uygunluk yeniden sağlanamazsa hizmet veya sağlayıcı değiştirilebilir.

---

17. Sözleşme Sonu ve Veri Silme

Sağlayıcı ilişkisi sona erdiğinde:

• yeni aktarım durdurulur,
• erişim anahtarları iptal edilir,
• gerekli veriler iade veya dışa aktarılır,
• aktif kopyalar silinir,
• yedek döngüsü takip edilir,
• mümkünse silme teyidi alınır,
• yasal saklama istisnaları belgelenir.

Sağlayıcı "Kaldırıldı" statüsüne ancak silme ve kapanış süreci tamamlandıktan sonra geçirilir.

---

18. Müşteri Talimatları

Marfin'in veri işleyen olduğu durumda müşteri:

• yurt dışı aktarım için gerekli talimat ve yetkiyi sağlar,
• ilgili kişileri aydınlatır,
• işleme şartını belirler,
• özel nitelikli veri kullanımını bildirir,
• Marfin'in Alt İşleyenler Listesini takip eder.

Marfin, hukuka aykırı olduğunu değerlendirdiği talimatı uygulamayı reddedebilir veya açıklama isteyebilir.

---

19. Aydınlatma

Marfin'in veri sorumlusu olduğu işlemlerde ilgili kişiye:

• aktarım amaçları,
• veri kategorileri,
• alıcı veya alıcı grupları,
• toplama yöntemi ve hukuki sebep,
• ilgili kişi hakları

açıklanır.

Müşteri Verileri bakımından aydınlatma yükümlülüğü kural olarak veri sorumlusu müşteriye aittir.

---

20. Değişiklik Yönetimi

Yeni sağlayıcı, bölge veya aktarım mekanizması devreye alınmadan önce:

1. veri akışı çıkarılır,
2. roller belirlenir,
3. aktarım mekanizması seçilir,
4. güvenlik ve risk değerlendirmesi yapılır,
5. sözleşme ve ekleri tamamlanır,
6. gerekli bildirim/kayıt yapılır,
7. Alt İşleyenler Listesi güncellenir,
8. müşteri bildirimi yapılır,
9. teknik aktarım etkinleştirilir.

Hukuki inceleme tamamlanmadan üretim aktarımı başlatılmamalıdır.

---

21. SAĞLAYICI BAZLI KONTROL FORMU

Bu form, yeni bir yurt dışı sağlayıcı devreye alınırken doldurulur.

Sağlayıcı

[BİLGİ TAMAMLANACAK]

Kullanılan ürün ve plan

[BİLGİ TAMAMLANACAK]

Sözleşme tarafı

[BİLGİ TAMAMLANACAK]

Rol

• Veri sorumlusu
• Veri işleyen
• Alt işleyen
• Karma
• Belirsiz — kullanıma alınamaz

İşleme bölgesi

[BİLGİ TAMAMLANACAK]

Uzaktan erişim ülkeleri

[BİLGİ TAMAMLANACAK]

Sonraki alıcılar

[BİLGİ TAMAMLANACAK]

Aktarım mekanizması

• Yeterlilik kararı
• Standart Sözleşme 1
• Standart Sözleşme 2
• Standart Sözleşme 3
• Standart Sözleşme 4
• Bağlayıcı şirket kuralları
• Taahhütname ve Kurul izni
• Arızi aktarım
• Henüz yok — üretime alınamaz

Tamamlanma

• Sözleşme imzalandı.
• Ekler dolduruldu.
• Teknik tedbirler doğrulandı.
• Bildirim/kayıt tamamlandı.
• Aydınlatma güncellendi.
• Alt İşleyenler Listesi güncellendi.
• Silme ve kapanış şartları belirlendi.
• Hukukçu onayı alındı.

---

22. İlgili Belgeler

• KVKK Aydınlatma Metni
• Gizlilik Politikası
• Veri İşleme Sözleşmesi (DPA)
• Veri Saklama ve İmha Politikası
• İlgili Kişi Başvuru Formu
• Alt İşleyenler Listesi
• AI Veri İşleme Politikası

---

BELGE SONU

Bu belge, Marfin Hukuki Dokümantasyon Projesi kapsamında hazırlanmıştır.

Yürürlük tarihi: 6 Ağustos 2026