Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("VİS"), müşteri ("Müşteri", veri sorumlusu) ile Künye'de adı geçen şirket ("Pactinel", veri işleyen) arasındaki Kullanım Koşulları'nın parçasıdır. Pactinel'in Müşteri adına Müşteri Verisi'nde yer alan kişisel verileri işlediği ve GDPR, Birleşik Krallık GDPR'ı ya da başka bir veri koruma hukukunun uygulandığı hallerde geçerlidir. GDPR madde 28'i karşılamak üzere hazırlanmıştır. Türkiye'deki müşteriler için 6698 sayılı KVKK'nın veri işleyene ilişkin hükümleri (m. 12) bu sözleşmenin ilgili bölümleriyle birlikte uygulanır.

1. Tanımlar

"Kişisel Veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi" ve "kişisel veri ihlali" GDPR'daki anlamlara sahiptir. "Müşteri Verisi", Müşteri'nin veya kullanıcılarının Hizmet'e koyduğu belge ve verilerdir. "Alt İşleyici", Pactinel'in Kişisel Verileri işlemek için görevlendirdiği üçüncü taraftır. "SCC", (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen standart sözleşme hükümleridir; "UK Eki" ise bu hükümler için Birleşik Krallık Bilgi Komiseri'nin yayımladığı ektir.

2. Roller ve talimatlar

Müşteri, Müşteri Verisi'ndeki Kişisel Verilerin veri sorumlusu, Pactinel veri işleyenidir. Pactinel bunları yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler; talimatlar Kullanım Koşulları, bu VİS, Müşteri'nin Hizmet'i yapılandırması ve kullanımı ile bunlarla tutarlı diğer makul yazılı talimatlardır; hukukun başka bir şey gerektirdiği haller saklıdır, bu durumda hukuk yasaklamıyorsa Pactinel işlemeden önce Müşteri'yi bilgilendirir. Pactinel bir talimatın veri koruma hukukunu ihlal ettiğini düşünürse Müşteri'ye bildirir.

3. İşlemenin ayrıntıları

4. Pactinel'in yükümlülükleri

Pactinel:

1. Kişisel Verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlar;
2. 1. bölümdeki teknik ve idari tedbirleri uygular;
3. işlemenin niteliğini dikkate alarak Müşteri'ye ilgili kişi taleplerini yanıtlamada, Hizmet'teki arama, dışa aktarma ve sözleşmelerdeki kişisel verileri silme araçlarıyla yardımcı olur; doğrudan aldığı talebi, aksi yönde talimat verilmedikçe yanıtlamadan Müşteri'ye iletir;
4. Pactinel'in elindeki bilgileri dikkate alarak Müşteri'ye güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön danışma yükümlülüklerinde yardımcı olur;
5. uyumu göstermek için gerekli bilgileri sağlar ve 9. bölümdeki denetimlere izin verir, katkıda bulunur.

5. Müşteri'nin yükümlülükleri

Müşteri, işlemenin hukuka uygunluğundan, hukuki dayanağın bulunmasından ve ilgili kişilere gereken bildirimlerin yapılmasından, Müşteri Verisi'nin doğruluğundan ve rol atamaları, iki adımlı doğrulama ve yapay zekâ ayarları dahil Hizmet'i yapılandırmasından sorumludur.

6. Güvenlik

Pactinel, Güvenlik sayfasında anlatılan tedbirleri uygular; bunlar buraya dahil edilmiştir: aktarımda ve beklemede şifreleme, banka bilgileri, vergi numaraları ve sırlar için alan düzeyinde şifreleme; uygulama filtreleri ve satır düzeyi güvenlikle kiracı izolasyonu; kayıt düzeyinde kapsamlar ve gizlilik ayarıyla rol tabanlı erişim; iki adımlı doğrulama; erişim ve değişikliklerin yalnızca eklenebilir denetim kaydına işlenmesi; yüklemelerin zararlı yazılım taraması; destek erişiminin yalnızca Müşteri'nin süreli ve geri alınabilir izniyle verilmesi; aylık geri yükleme testli yedekler; yazılı olay ve anahtar kaybı prosedürleri. Genel koruma düzeyi düşmediği sürece Pactinel tedbirleri güncelleyebilir.

7. Alt işleyiciler

Müşteri, Pactinel'e Alt İşleyiciler sayfasında listelenen alt işleyicileri görevlendirmesi için genel yazılı izin verir. Pactinel, bir alt işleyici eklemeden veya değiştirmeden en az 30 gün önce Müşteri'ye e-postayla bildirir. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar iyi niyetle görüşür; sorun çözülmezse Müşteri etkilenen Hizmet'i sonlandırabilir ve kalan dönem için peşin ödenen ücretin iadesini alır. Pactinel her alt işleyiciyi bu VİS'ten daha az koruyucu olmayan veri koruma yükümlülükleriyle bağlar ve her alt işleyicinin ifasından Müşteri'ye karşı sorumlu kalır.

8. Uluslararası aktarımlar

Üretim verisi ve yedekler AB'de saklanır. İşleme, AEA, Birleşik Krallık veya İsviçre'den yeterlilik kararı olmayan bir ülkeye kişisel veri aktarımı içerdiğinde aktarım, atıfla dahil edilen SCC ile karşılanır:

• Müşteri Kişisel Verileri Pactinel'e aktarıyorsa ve Pactinel yeterlilik kararı olmayan bir ülkedeyse İkinci Modül (veri sorumlusundan veri işleyene) uygulanır;
• Pactinel'den alt işleyicilere, ABD'de barındırılan yapay zekâ sağlayıcısı dahil, devam eden aktarımlar için Üçüncü Modül (veri işleyenden veri işleyene) uygulanır; Pactinel bunu o alt işleyiciyle yapar;
• isteğe bağlı katılım maddesi uygulanır; alt işleyiciler için genel izin seçeneği 7. bölümdeki ihbar süresiyle uygulanır; yetkili denetim otoritesi Müşteri'den sorumlu olandır; uygulanacak hukuk (Madde 17) Almanya hukuku, yetkili mahkemeler (Madde 18) Almanya mahkemeleridir; Ek I bu VİS'in 3., Ek II 6. bölümüdür;
• Birleşik Krallık aktarımları için aynı eklerle UK Eki uygulanır.

SCC ile bu VİS çelişirse SCC üstündür. Bir aktarım mekanizması geçersiz kılınırsa taraflar alternatif üzerinde anlaşır. Pactinel ek önlemler uygular: yapay zekâ sağlayıcısına yalnızca ilgili sayfalar gider, gereksiz kişisel veri önce maskelenir, iletim şifrelidir ve sağlayıcı veriyi saklamamalı ya da eğitimde kullanmamalıdır. KVKK kapsamında yurt dışına aktarım gereken hallerde Kanun m. 9'daki güvence mekanizmaları ve bildirim yükümlülükleri uygulanır.

9. Denetim ve bilgi

Talep üzerine, kişisel veri ihlali olmadıkça ya da bir denetim otoritesi gerektirmedikçe yılda bir defadan fazla olmamak üzere, Pactinel uyumu göstermek için güvenlik paketini, anket yanıtlarını ve makul diğer bilgileri sağlar. Bu yeterli değilse Müşteri, kendisi ya da gizlilikle bağlı bağımsız bir denetçi aracılığıyla, 30 gün önceden yazılı bildirimle, mesai saatlerinde, operasyonları aksatmadan ve diğer müşterilerin verisine erişmeden, masrafı kendisine ait olmak üzere denetim yapabilir.

10. Kişisel veri ihlali

Pactinel, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeden Müşteri'ye bildirir; ihlalin niteliği, etkilenen veri ve kişiler, olası sonuçlar ve alınan ya da önerilen tedbirler hakkındaki bilgileri verir ve daha fazlasını öğrendikçe günceller. Pactinel'in bildirimi kusurun kabulü sayılmaz.

11. Silme ve iade

Müşteri verilerini, tam arşiv dahil, abonelik bittikten sonra da her zaman dışa aktarabilir. Çalışma alanı kapatıldıktan sonra 30 gün salt okunur kalır, sonra silinir. Müşteri'nin sildiği öğeler 30 gün çöp kutusunda bekler. Yedeklerdeki kalan kopyaların üzerine yaklaşık 8 hafta içinde yazılır. Pactinel bundan sonra Kişisel Verileri yalnızca hukukun gerektirdiği hallerde saklar ve korur.

12. Sorumluluk ve öncelik sırası

Kullanım Koşulları'ndaki sorumluluk sınırları, hukukun izin verdiği ölçüde bu VİS'e de uygulanır; hiçbir şey bir ilgili kişinin haklarını ya da sınırlandırılamayan sorumluluğu sınırlamaz. Bu VİS ile Koşullar veri koruma konusunda çelişirse VİS üstündür.

13. Süre

Bu VİS, Pactinel Müşteri için Kişisel Veri işlediği sürece geçerlidir.

14. İletişim

Veri koruma soruları iletişim sayfasından iletilir. AB ve Birleşik Krallık temsilcileri ve varsa veri koruma görevlisi Künye'de adlandırılır.