Kişisel Veri İşleme Sözleşmesi (DPA)

1. TARAFLAR VE AMAÇ

Bu Veri İşleme Sözleşmesi (“DPA”), www.kesfedil.com hizmetlerinden yararlanarak kendi web sitesinin içeriğini ve ilgili ziyaretçi işlemlerinin amaçlarını belirleyen Müşteri ile hizmet sağlayıcı ALİ AYDINLIOĞLU – KEŞFEDİL arasında, Keşfedil'in Müşteri adına veri işleyen sıfatıyla faaliyet yürüttüğü işlemlerde uygulanır. Müşterinin çevrim içi hizmet siparişinde kabul ettiği kimlik ve iletişim bilgileri taraf bilgilerinin bir parçasıdır.

Keşfedil'in kendi kullanıcı hesabı, fatura, ödeme, hukuki yükümlülük ve güvenlik verilerini bağımsız veri sorumlusu sıfatıyla işlemesi, bu DPA kapsamındaki veri işleyen rolünden ayrıdır.

2. İŞLEMENİN KONUSU, SÜRESİ VE AMACI

Konu, Müşterinin Keşfedil ile oluşturduğu siteyi teknik olarak barındırmak, yayımlamak, teknik içerik işlemlerini yürütmek, gelen iletişim formu mesajını belirtilen e-posta adresine aktarmak, güvenlik, yedekleme ve makul teknik destek sağlamaktır. Veri işleme hizmet dönemiyle ve hukuken gerekli saklama/sonlandırma süreleriyle sınırlıdır. Keşfedil, Müşteri verilerini kendi bağımsız pazarlaması için Müşteri adına işlenen veri kapsamında kullanmaz.

3. VERİ SAHİPLERİ VE KATEGORİLER

İlgili kişiler site ziyaretçileri, müşterinin personeli, web sitesinde tanıtılan kişiler ve müşterinin içeriğine konu diğer gerçek kişiler olabilir. Veriler ziyaretçi tarafından iletişim formunda gönderilen ad, e-posta, telefon ve mesaj içeriği; müşterinin siteye yüklediği görseller, ekip üyeleri ve iletişim bilgileri; teknik erişim/işlem kayıtları ve siteyi çalıştırmak için gereken tanımlayıcılarla sınırlı olabilir.

Müşteri, özel nitelikli kişisel verileri veya kanunen kısıtlanmış veri kategorilerini gerekli hukuki dayanak, teknik önlem ve sözleşmesel uygunluk olmadan sisteme yüklememelidir.

4. MÜŞTERİNİN TALİMATLARI

Keşfedil, veri işleyen olarak Müşterinin panel işlemleri, yazılı destek talepleri ve kabul edilen hizmet kapsamı ile belirlenen belgelendirilmiş talimatları doğrultusunda kişisel veri işler. Talimatın açıkça hukuka aykırı olduğu kanaatine varılırsa Müşteri bilgilendirilir ve zorunlu mevzuatın gerektirdiği hallerde işlem durdurulabilir. Yetkili mercilerin hukuken bağlayıcı taleplerine ilişkin işlemler ayrıca yapılır.

5. MÜŞTERİNİN VERİ SORUMLUSU YÜKÜMLÜLÜKLERİ

Müşteri kendi faaliyetlerinin işleme amaçlarını ve hukuki sebeplerini belirler; ziyaretçiler ve ilgili kişiler için gerekli aydınlatmayı sağlar, gerekliyse geçerli açık rıza alır, içerik ve kişisel verileri toplama/işleme hakkını temin eder, uygun saklama politikası uygular ve ilgili kişi başvurularını yönetir. Keşfedil'in sağladığı genel politika şablonları müşteri faaliyetleri için otomatik hukuki uygunluk belgesi oluşturmaz.

6. GİZLİLİK VE ERİŞİM YETKİSİ

Keşfedil, teknik olarak müşteri verilerine erişmesi gereken yetkili personel veya hizmet sağlayıcılarını görevle sınırlı erişim ve gizlilik yükümlülüğüne tabi tutar. Müşterinin içerikleri ve mesajları hizmetin gerektirdiği ölçü dışında üçüncü kişilerle paylaşılmaz.

7. TEKNİK VE İDARİ TEDBİRLER

Uygun erişim kontrolü, yetkilendirme, güncelleme, sunucu güvenliği, log yönetimi, yedekleme, şifre/hesap koruma ve olay müdahale prosedürleri işletilir. Tedbirlerin kapsamı, işlenen veri ve güncel teknik risklerle orantılı olarak değerlendirilir. Güvenlik olaylarının tümü için mutlak risk sıfırlama taahhüdü verilmez.

8. ALT VERİ İŞLEYENLER

Keşfedil, hizmetin sunulması için Almanya'daki Hetzner barındırma ve veritabanı altyapısını, Cloudflare DNS/CDN hizmetini ve teknik işlem gerektiren diğer alt sağlayıcıları kullanabilir. İletişim formu mesajlarının yönlendirildiği e-posta adresi Müşteri tarafından belirlenir. Alan adı, ödeme, doğrulama ve diğer servislerde tarafların veri sorumlusu/veri işleyen rolleri işlem bazında ayrıca değerlendirilir. Alt işleyen değişiklikleri, veri korumayı anlamlı şekilde etkilediğinde uygun kanallardan duyurulur ve mevzuatın gerektirdiği sözleşmesel güvenceler uygulanır.

9. YURT DIŞI AKTARIM MEKANİZMALARI

Müşteri verilerinin Almanya'daki sunuculara ve varsa uluslararası teknik servisler üzerinden başka ülkelere aktarımı, KVKK m.9 kapsamındadır. Taraflar, gerekli olduğu ölçüde mevzuattaki uygun güvenceyi tesis etmek, ayrı standart sözleşmeleri yetkili kişilerce imzalamak ve yasal bildirimleri yapmak konusunda rollerine uygun işbirliğini sağlar. Bu DPA, KVKK m.9 anlamında Kurulun yayımladığı standart sözleşmenin yerine geçmez; yalnız bu metnin kabul edilmesi aktarım için yeterli hukuki temel oluşturmaz.

10. VERİ İHLALİ VE İLGİLİ KİŞİ TALEPLERİ

Keşfedil, Müşteri adına işlediği kişisel verileri etkileyen ve doğruladığı güvenlik ihlalini, olayın niteliğine göre makul olan en kısa sürede Müşteriye bildirir; olayın etkisinin tespiti ve kanuni yükümlülüklerin yerine getirilmesi için makul teknik bilgileri sağlar. İlgili kişinin başvurusunun Müşteriye yöneltilmesi gerektiğinde, uygun usulle Müşteriye aktarılır; Müşterinin yanıt hazırlamasına teknik olanaklar ölçüsünde yardımcı olunur.

11. DENETİM VE BELGELENDİRME

Keşfedil, yürürlükteki mevzuat ve makul gizlilik/güvenlik şartları uyarınca veri işleme tedbirlerine ilişkin uygun açıklama veya belge sağlayabilir. Yerinde incelemeler üçüncü kişilerin gizliliği, altyapı güvenliği, maliyet ve operasyonel imkânlarla dengelenerek, önceden yazılı mutabakat ve gerekli hukuki şartlar çerçevesinde yürütülür. Kanuni denetim yetkileri saklıdır.

12. HİZMET SONU, İADE VE SİLME

Hizmet sona erdiğinde web sitesi hizmetine bağlı ve teknik olarak erişilebilir müşteri verileri için 30 günlük geri alma süresi uygulanabilir. Bu süre sonunda ilgili hizmet verileri mevzuata uygun şekilde silinebilir; zorunlu mali kayıt, güvenlik ve hukuki uyuşmazlık kayıtları, ayrıca altyapı yedeklerinde teknik yaşam döngüsü gereği geçici olarak bulunabilecek kopyalar için gerekli ve ölçülü saklama ilkeleri geçerlidir. Müşteri kendi ziyaretçi verilerini hizmet süresince uygun yöntemle dışarı aktarmaktan sorumludur.

13. HİZMETE ÖZGÜ İLETİŞİM FORMU

Standart iletişim formu, ziyaretçi mesajını Müşterinin belirlediği e-posta adresine yönlendirir; Keşfedil panelinde sürekli erişilebilir ayrı bir form veritabanı oluşturulmaz. İletim esnasındaki geçici teknik işleme ve alıcı posta sağlayıcısının saklaması devam edebilir. Müşteri alıcı e-posta hesabına ilişkin güvenliği ve kendi saklama yükümlülüklerini sağlar.

14. SORUMLULUK VE YÜRÜRLÜK

Taraflar veri koruma mevzuatında üstlendikleri rollerin gerektirdiği yükümlülüklerden hukuken sorumludur. Bu DPA, Müşterinin ana SaaS hizmet sözleşmesini kabul edip hizmeti kullanmaya başlamasıyla, ilgili veri işleme faaliyetleri bakımından uygulanır. Emredici mevzuat hükümleri ve kurul/mahkeme kararları öncelikle geçerlidir.