Veri işleme sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), müşteri ("Veri Sorumlusu") ile Venüs Yazılım Bilişim ve İnternet Hizmetleri ("Zefily", "Veri İşleyen") arasındaki Kullanım Koşulları'nın parçasıdır. Zefily'nin hizmeti sunarken Veri Sorumlusu adına kişisel veri işlediği hallerde uygulanır. Veri koruma konusunda Kullanım Koşulları ile çeliştiği noktalarda bu Sözleşme önceliklidir.

1. Konu ve süre#

Zefily, kişisel verileri yalnızca Kullanım Koşulları'nda açıklanan hizmeti sunmak için, Veri Sorumlusu hizmeti kullandığı sürece ve 10. bölümdeki silme süreleri boyunca işler.

2. İşlemenin niteliği ve amacı#

Zefily, Veri Sorumlusunun bağladığı sunucularda yazılım işletir. Veri Sorumlusunun talimatıyla şunları yapar:

• yazılım kurar ve yapılandırır,
• dağıtım, yedekleme, veritabanı aktarımı, dosya işlemleri ve terminal oturumlarını çalıştırır,
• sistem bilgilerini ve kayıtları raporlar.

Kişisel veriler yalnızca bu işlemlerin sonucu olarak işlenir. Örneğin bir yedek bir veritabanını kopyaladığında veya Veri Sorumlusu panelde bir kayıt ya da dosya açtığında.

3. Veri türleri ve ilgili kişiler#

Kişisel veriler, Veri Sorumlusunun sitelerinde ve uygulamalarında bulunan verilerdir. Bunlar genellikle Veri Sorumlusunun kendi müşterilerine, ziyaretçilerine, kullanıcılarına ve çalışanlarına aittir: ad, iletişim bilgileri, hesap verileri, sipariş ve işlem verileri, içerik ve teknik veriler (IP adresleri, kayıtlar). Özel nitelikli kişisel verilerin işlenip işlenmeyeceğine Veri Sorumlusu karar verir; işleniyorsa Zefily'ye bildirmelidir.

4. Talimatlar#

Zefily kişisel verileri yalnızca Veri Sorumlusunun belgelenmiş talimatlarıyla işler. Bu talimatlar şunlardır:

• Kullanım Koşulları,
• bu Sözleşme,
• Veri Sorumlusunun ve üyelerinin panelde, API'de ve komut satırı aracında yaptığı veya zamanladığı işlemler.

Bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Zefily, Veri Sorumlusunu bilgilendirir. Zefily kişisel verileri bunlar dışında yalnızca mevzuatın gerektirdiği hallerde işleyebilir. Bu durumda, mevzuat yasaklamadıkça önce Veri Sorumlusunu bilgilendirir.

5. Gizlilik#

Zefily, kişisel verilere erişebilen personelinin gizlilik yükümlülüğü altında olmasını sağlar. Personel verilere yalnızca hizmeti veya Veri Sorumlusunun istediği desteği sunmak için gereken ölçüde erişir. Personelin destek araçlarıyla müşteri sunucularına erişimi kayıt altına alınır ve Veri Sorumlusu bunu denetim kaydında görür.

6. Güvenlik önlemleri#

Zefily uygun teknik ve idari tedbirleri uygular. Bunlar şunları içerir:

• müşteri sunucusundaki her işin kontrol düzlemi ve ayrı bir imzalama servisi tarafından tekrar saldırısı koruması ve süre sınırıyla imzalanması; yüksek riskli işlerin ayrıca Veri Sorumlusunun passkey onayını gerektirmesi,
• Ajan ile Zefily arasında karşılıklı TLS; Ajanın dışarıdan bağlantı kabul etmemesi,
• gizli bilgilerin, ayrı bir anahtar yönetim sisteminde tutulan organizasyona özel anahtarlarla şifrelenmesi,
• veritabanında satır düzeyi güvenlikle sağlanan ve otomatik olarak test edilen müşteri yalıtımı,
• personelin yalnızca passkey ile giriş yapması, hassas yönetim işlemlerinde dört göz onayı ve yalnızca eklenebilen, zincirleme özetli denetim kaydı,
• Zefily'nin kendi sistemlerinin şifreli yedekleri ve test edilmiş geri yükleme süreçleri,
• düzenli güncellemeler, zafiyet taramaları ve güvenlik testleri.

Zefily, genel koruma düzeyi düşmediği sürece bu tedbirleri güncelleyebilir.

7. Alt veri işleyenler#

Veri Sorumlusu, Zefily'nin Gizlilik politikasında listelenen alt veri işleyenleri orada belirtilen amaçlarla kullanmasına izin verir. Zefily her alt veri işleyeni bu Sözleşmeden daha az koruyucu olmayan yükümlülüklerle bağlar ve onlardan sorumlu olmaya devam eder. Zefily yeni alt veri işleyenleri en az 30 gün önceden duyurur. Veri Sorumlusu makul veri koruma gerekçeleriyle itiraz edebilir; çözüm bulunamazsa ilgili hizmeti feshedebilir.

Veri Sorumlusunun kendi sunucularında ve yedek hedeflerinde kalan veriler Zefily'nin alt veri işleyenleri tarafından işlenmez.

8. Yurt dışına aktarım#

Kişisel verilerin Türkiye, Avrupa Ekonomik Alanı veya Birleşik Krallık dışına aktarıldığı hallerde, taraflar şu güvencelere dayanır:

• Türkiye için KVKK madde 9'daki yeterlilik kararları veya uygun güvenceler; gerektiğinde Kurul'a bildirilen standart sözleşmeler dahil,
• AEA ve Birleşik Krallık için yeterlilik kararları veya bu Sözleşmeye atıfla dahil edilen standart sözleşme hükümleri.

9. Destek#

Zefily, işlemenin niteliğini dikkate alarak Veri Sorumlusuna şu konularda yardımcı olur:

• ilgili kişi başvurularını yanıtlamak,
• veri koruma etki değerlendirmeleri yapmak,
• güvenlik yükümlülüklerini yerine getirmek.

Başvuruların çoğu, Veri Sorumlusunun doğrudan erişebildiği kendi sunucularındaki verilerle ilgilidir.

10. İade ve silme#

Hizmet sona erdiğinde Veri Sorumlusunun verileri kendi sunucularında ve yedek hedeflerinde kalır. Zefily, Veri Sorumlusu için tuttuğu kişisel verileri 30 gün içinde siler; yönetilen yedekler ve terminal kayıtları bunlara örnektir. Kendi yedeklerinden ise mevzuat saklamayı gerektirmedikçe 35 gün daha içinde siler. Yönetilen yedekler hizmet sona ermeden önce indirilebilir.

11. Kişisel veri ihlalleri#

Zefily, Veri Sorumlusunun verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde gecikmeden, her halükarda 48 saat içinde Veri Sorumlusuna bildirir. Bildirimde Veri Sorumlusunun kendi yükümlülüklerini yerine getirmesi için gereken bilgileri verir; Türkiye'de Kurul'a yapılacak 72 saatlik bildirim de buna dahildir.

12. Denetim#

Zefily, bu Sözleşmeye uyduğunu göstermek için gereken bilgileri sağlar. Veri Sorumlusu uyumu yılda en fazla bir kez, 30 gün önceden bildirerek denetleyebilir. Denetim; Zefily'nin belgeleri, sertifikaları veya bağımsız raporları incelenerek yapılır. Bunlar yeterli değilse mesai saatleri içinde ve gideri Veri Sorumlusuna ait olmak üzere yerinde denetim yapılabilir.

13. Sorumluluk#

Kullanım Koşulları'ndaki sorumluluk sınırlamaları, mevzuatın izin vermediği haller dışında bu Sözleşme için de geçerlidir.

Veri Sorumlusu, Kullanım Koşulları'nı kabul ederek bu Sözleşmeyi elektronik ortamda kabul etmiş olur.

Veri İşleyen: Venüs Yazılım Bilişim ve İnternet Hizmetleri, Küçükbakkalköy Mah. Dereboyu Cad. Brandium Residence No:3a, R5 Blok, K:7 D:48, 34750 Ataşehir/İstanbul, Türkiye, hello [at] zefily [dot] com.