Veri İşleme Sözleşmesi

1. Kapsam ve taraflar

Bu Veri İşleme Sözleşmesi (“VİS”), Pitempo ile İşletme arasındaki Kullanım Şartları’nın ayrılmaz parçasıdır ve Pitempo’nun Hizmet’i sunarken İşletme adına işlediği tüm kişisel verilere (“İşletme Kişisel Verileri”) uygulanır. İşletme veri sorumlusu (başka bir veri sorumlusu adına hareket ettiği hallerde veri işleyen), Pitempo ise veri işleyendir (ya da alt veri işleyen). Çelişki halinde İşletme Kişisel Verileri bakımından bu VİS, Şartlardan önce gelir.

2. Tanımlar

“Veri Koruma Mevzuatı”; işlemeye uygulanan kişisel verilerin korunmasına ilişkin tüm mevzuat demektir ve uygulanabildiği ölçüde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu (KVKK), (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü’nü (GDPR), UK GDPR’ı ve Birleşik Krallık 2018 tarihli Veri Koruma Kanunu’nu, İsviçre Federal Veri Koruma Kanunu’nu (FADP), Brezilya Genel Veri Koruma Kanunu’nu (LGPD) ve Kaliforniya Tüketici Gizliliği Kanunu (CCPA) gibi ABD eyalet gizlilik kanunlarını kapsar. “Veri sorumlusu”, “veri işleyen”, “kişisel veri”, “işleme”, “ilgili kişi” ve “kişisel veri ihlali” gibi terimler, uygulanan Veri Koruma Mevzuatındaki anlamı taşır. Büyük harfle başlayan diğer terimler Şartlardaki anlamdadır.

3. İşlemenin ayrıntıları

İşlemenin konusu, süresi, niteliği ve amacı, kişisel veri türleri ve ilgili kişi kategorileri Ek 1’de yer alır.

4. Talimatlar

Pitempo, İşletme Kişisel Verilerini, üçüncü ülkelere aktarım dahil, yalnızca İşletme’nin belgelenmiş talimatlarına göre işler; kanun aksini gerektiriyorsa Pitempo, kanun yasaklamadıkça bu yükümlülüğü işlemeden önce İşletme’ye bildirir. Şartlar, bu VİS ve İşletme’nin Hizmet’i kullanımı ve ayarları, İşletme’nin belgelenmiş talimatlarıdır. Pitempo, bir talimatın Veri Koruma Mevzuatına aykırı olduğu kanaatindeyse bunu İşletme’ye derhal bildirir.

5. Gizlilik

Pitempo, İşletme Kişisel Verilerini işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını ya da uygun bir yasal gizlilik yükümlülüğü altında olmasını ve erişimin gerekli olanla sınırlı tutulmasını sağlar.

6. Güvenlik

Pitempo, riske uygun bir güvenlik düzeyi sağlamak için Ek 2’de açıklanan teknik ve idari tedbirleri uygular. Genel güvenlik düzeyini düşürmemek kaydıyla bu tedbirleri güncelleyebilir.

7. Alt veri işleyenler

İşletme, Pitempo’ya alt veri işleyen görevlendirmesi için genel yetki verir. Pitempo, alt veri işleyenlerin işlevini ve işleme yerini de içeren güncel listesini, privacy@pitempo.com adresine yapılacak talep üzerine İşletme’ye iletir. Pitempo, bir alt veri işleyenin eklenmesini ya da değiştirilmesini en az 30 gün önce e-posta ile ya da Hizmet içinde İşletme’ye bildirir. İşletme bu süre içinde veri korumaya ilişkin makul gerekçelerle itiraz edebilir; taraflar itirazı çözemezse İşletme, değişiklik yürürlüğe girmeden önce ilgili Hizmet’i feshedebilir. Pitempo her alt veri işleyene sözleşmeyle en az bu VİS düzeyinde koruma sağlayan veri koruma yükümlülükleri yükler ve alt veri işleyenlerinin edimlerinden İşletme’ye karşı sorumlu kalır.

İşletme’nin doğrudan kendisinin edindiği ve Hizmet’e bağladığı hizmetler (örneğin İşletme’nin kendi SMS sağlayıcısı hesabı) Pitempo’nun alt veri işleyeni değildir; İşletme, ilgili hizmet için gerekli verilerin bunlara iletilmesi konusunda Pitempo’ya talimat verir.

8. Yurt dışına aktarım

Pitempo, İşletme Kişisel Verilerini üçüncü bir ülkeye yalnızca Veri Koruma Mevzuatına uygun olarak aktarır.

İşlemenin GDPR’ın V. Bölümüne tabi bir aktarım içerdiği ölçüde, (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen standart sözleşme hükümleri (“SCC”) uygulanır ve bu VİS’e atıfla dahil edilir: İşletme veri sorumlusuysa İkinci Modül, veri işleyense Üçüncü Modül uygulanır; 7. hüküm (katılım hükmü) uygulanır; 9(a) hükmünde 2. seçenek (30 gün önceden bildirimli genel yazılı yetki) uygulanır; 11. hükümdeki isteğe bağlı ifade uygulanmaz; 17. hüküm uyarınca SCC İrlanda hukukuna tabidir ve 18. hüküm uyarınca uyuşmazlıklar İrlanda mahkemelerinde çözülür; yetkili denetim makamı 13. hükme göre belirlenir; SCC’nin I. ve II. Ekleri bu VİS’in 1. ve 2. Eklerindeki bilgilerle tamamlanır; veri aktaran İşletme, veri alıcısı Pitempo’dur.

UK GDPR’a tabi aktarımlarda ayrıca Birleşik Krallık Bilgi Komiserliği’nin yayımladığı Uluslararası Veri Aktarımı Eki uygulanır. FADP’ye tabi aktarımlarda SCC, İsviçre hukukunun gerektirdiği uyarlamalarla uygulanır ve yetkili denetim makamı İsviçre Federal Veri Koruma ve Kamuya Açıklık Komiseri’dir. KVKK ya da LGPD gibi başka bir Veri Koruma Mevzuatının belirli bir aktarım aracı öngördüğü hallerde taraflar, aktarım gerçekleşmeden önce bu aracı tesis eder.

9. Destek

Pitempo, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, ilgili kişi başvurularının yanıtlanmasında ve İşletme’nin güvenlik, kişisel veri ihlalleri, veri koruma etki değerlendirmeleri ve denetim makamlarına ön danışma yükümlülüklerinin yerine getirilmesinde uygun teknik ve idari tedbirlerle İşletme’ye destek olur. Bir ilgili kişi İşletme Kişisel Verilerine ilişkin bir taleple doğrudan Pitempo’ya başvurursa Pitempo bu talebi gecikmeksizin İşletme’ye iletir ve İşletme talimat vermedikçe talebi kendisi yanıtlamaz.

10. Kişisel veri ihlalleri

Pitempo, İşletme Kişisel Verilerini etkileyen bir kişisel veri ihlalini öğrenmesinden sonra gecikmeksizin ve mümkünse 48 saat içinde İşletme’ye bildirir. Bildirim, bilgiler elde edildiği ölçüde, ihlalin niteliğini, etkilenen ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir. Pitempo ihlali sınırlamak ve etkilerini azaltmak için makul adımları atar. Gerekli hallerde denetim makamlarına ve ilgili kişilere bildirim yapmak, örneğin Kişisel Verileri Koruma Kurulu kararları ve GDPR uyarınca 72 saat içinde, İşletme’nin sorumluluğundadır.

11. İade ve silme

Hizmet’in sunulması sona erdiğinde Pitempo, İşletme’nin İşletme Kişisel Verilerini Şartların 14. maddesinde açıklandığı şekilde dışa aktarmasını sağlar ve ardından, kanun saklamayı gerektirmedikçe bu verileri veri alma süresinin bitiminden itibaren 30 gün içinde siler. Yedeklerdeki kopyalar olağan yedekleme döngüsü içinde üzerine yazılır ve felaket kurtarma dışında geri yüklenmez. Pitempo talep halinde silmeyi teyit eder.

12. Bilgi ve denetim

Pitempo, bu VİS’e ve GDPR’ın 28. maddesine uyumu göstermek için gerekli tüm bilgileri İşletme’nin erişimine sunar ve İşletme ya da İşletme’nin yetkilendirdiği bağımsız bir denetçi tarafından yapılacak yerinde incelemeler dahil denetimlere imkân tanır ve katkı sağlar. Denetimler en az 30 gün önceden bildirilir, olağan çalışma saatlerinde ve faaliyetleri aksatmadan yapılır, gizlilik yükümlülüğüne tabidir ve bir kişisel veri ihlali ya da bir denetim makamının talebi ek bir denetimi gerektirmedikçe yılda bir defadan fazla yapılmaz. Pitempo bir denetim talebini önce yazılı bilgi ve belgeyle yanıtlayabilir. Her taraf kendi masrafını karşılar.

13. ABD eyalet gizlilik kanunları

ABD eyalet gizlilik kanunlarının uygulandığı ölçüde Pitempo “hizmet sağlayıcı” ya da “veri işleyen” sıfatıyla hareket eder. Pitempo İşletme Kişisel Verilerini satmaz ve paylaşmaz; bunları Hizmet’in İşletme’ye sunulması dışında hiçbir amaçla, Hizmet’in sunulması dışındaki ticari amaçlar dahil, ya da İşletme ile doğrudan iş ilişkisi dışında saklamaz, kullanmaz veya açıklamaz; kanunun izin verdiği haller dışında başka kaynaklardan aldığı kişisel verilerle birleştirmez. Pitempo bu kanunlardan doğan yükümlülüklerine uyar, bu kanunların gerektirdiği gizlilik koruma düzeyini sağlar ve yükümlülüklerini artık yerine getiremeyeceğini tespit ederse İşletme’ye bildirir. İşletme, İşletme Kişisel Verilerinin yetkisiz kullanımını durdurmak ve gidermek için makul ve uygun adımları atabilir. Pitempo bu kısıtlamaları anladığını ve bunlara uyacağını beyan eder.

14. İşletme’nin yükümlülükleri

İşlemenin hukuka uygunluğundan, hukuki sebebe sahip olunması, ilgili kişilerin (örneğin araçlarına servis verilen müşterilerin) aydınlatılması ve gerekli onayların alınması dahil, İşletme sorumludur. İşletme, Hizmet’te özel nitelikli kişisel veri ya da ceza mahkûmiyetine ilişkin veri saklayamaz.

15. Sorumluluk ve süre

Tarafların bu VİS’ten doğan sorumluluğu, Veri Koruma Mevzuatı ya da SCC bu sınırlamaya izin vermediği ölçü dışında, Şartlardaki sınırlamalara tabidir. Bu VİS, Pitempo İşletme Kişisel Verilerini işlediği sürece yürürlükte kalır.

Ek 1: İşlemenin ayrıntıları

Ek 2: Teknik ve idari tedbirler

• Aktarımda şifreleme: Hizmet’e yapılan tüm bağlantılar HTTPS/TLS kullanır; e-postalar e-posta sağlayıcımıza şifreli bağlantı (STARTTLS) üzerinden iletilir.
• Erişim kontrolü: parola ve isteğe bağlı olarak passkey ile giriş; parolalar yalnızca tuzlanmış özet olarak saklanır; tek kullanımlık doğrulama kodları 5 dakikada geçersiz olur; deneme sınırları kaba kuvvet saldırılarına karşı korur; oturumların süresi dolar.
• İşletmelerin ayrılması: her İşletme’nin verisi veritabanı düzeyinde satır düzeyi güvenlik politikalarıyla yalıtılır; bir İşletme başka bir İşletme’nin verisine erişemez.
• Yetkilendirme: her Hesapta role dayalı yetkiler; fiyat, maliyet ve kâr yalnızca yetkili rollere görünür ve bir rolün göremeyeceği alanlar o rolün tarayıcısına hiç gönderilmez.
• Hesap verebilirlik: değişikliklerin denetim kayıtları (kim, neyi, ne zaman) ve IP adresi maskelenmiş giriş geçmişi.
• Yönetici erişimi: sunuculara yalnızca SSH anahtarıyla erişim, parola ve root girişi kapalı; yönetim araçları ek erişim kontrolüyle korunur; en az yetki ilkesi.
• Bağlı hizmetlerin kimlik bilgileri: İşletme’nin bağlı hizmetler için girdiği kimlik bilgileri (örneğin SMS sağlayıcısı hesapları) şifrelenerek saklanır.
• Erişilebilirlik: 7 gün saklanan günlük veritabanı yedekleri ve belgelenmiş bir geri yükleme prosedürü.
• Veri en aza indirme ve saklama: ileti kayıtlarının 12 ay sonra otomatik anonim hale getirilmesi; eski bildirimlerin, 180 günü dolan giriş geçmişinin ve 30 günü dolan geçici içe aktarma verilerinin otomatik silinmesi.
• Güvenli geliştirme: İşletme yalıtımı ve erişim yetkilerine ilişkin testler dahil otomatik testler ve her sürümden önce bağımlılık güvenlik açığı denetimi; güvenlik güncellemelerinin gecikmeden uygulanması.
• Olay yönetimi: kişisel veri ihlallerinin tespiti, değerlendirilmesi, sınırlandırılması ve bildirilmesine ilişkin bir prosedür.