Sözleşmeler: Veri İşleme Sözleşmesi

3.1.Bu Sözleşme, Veri İşleyenin Hizmet kapsamında İçerikte yer alan kişisel verileri Veri Sorumlusu adına işlemesine ilişkin hak ve yükümlülükleri KVKK'nın 12. maddesi uyarınca düzenler.

3.2.Veri Sorumlusu sunucuda tam yönetici (root ya da Administrator) yetkisine sahiptir; sunucunun işletim sistemi, içindeki yazılımlar ve İçerik Veri Sorumlusunun yönetimindedir. Veri İşleyen İçeriği yalnız sunucunun çalıştığı altyapıyı (donanım, sanallaştırma, depolama ve ağ) işleterek barındırmak, Veri Sorumlusunun talimatıyla snapshot ve yedek kopyalarını tutmak ve talep edilen teknik desteği vermek amacıyla işler. Veri İşleyen İçeriğin niteliğini belirlemez, İçeriği incelemez ve İçeriğe başka bir amaçla erişmez.

3.3.İşlemenin ayrıntıları (veri kategorileri, ilgili kişi grupları, süre) Ek-1'de yer alır.

4.1.Talimata bağlılık. Veri İşleyen kişisel verileri yalnız Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işler. Hizmet Sözleşmesi, bu Sözleşme, Veri Sorumlusunun panel ya da API üzerinden yaptığı işlemler (sunucuyu başlatma, durdurma ve yeniden kurma, snapshot alma ve silme, yedekten geri yükleme vb.) ve destek talebiyle verdiği yazılı talimatlar talimat sayılır. Veri İşleyen, bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu gecikmeksizin bilgilendirir.

4.2.İçeriğe erişim. Veri İşleyen sunucunun içine ve İçeriğe yalnız (a) Veri Sorumlusunun yazılı talebi ya da destek talebi üzerine, talep kapsamıyla sınırlı olarak, (b) hizmetin teknik sürekliliği için zorunlu hallerde, (c) yetkili makamların hukuka uygun talebi üzerine erişir. Destek talebi üzerine sunucuya erişim yalnız Veri İşleyenin yetkili personelince ve Veri Sorumlusunun o talep için verdiği izinle yapılır. Destek asistanı sunucuda oturum açmaz, komut çalıştırmaz ve sunucunun içinden veri almaz; sunucunun dışından yapılan erişilebilirlik kontrolleri (port ve web yanıtı gibi) ile panel ve altyapı kayıtlarının incelenmesi sunucunun içine erişim sayılmaz. Veri Sorumlusunun panelden kendisinin başlattığı işlemler Madde 4.1 uyarınca talimat sayılır. Sunucu kurulduktan sonra sunucuda Veri İşleyene ait kalıcı bir kullanıcı hesabı bırakılmaz.

4.3.Gizlilik ve erişim kaydı. Veri İşleyen, kişisel verilere erişebilecek çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük görev ve Sözleşme sona erdikten sonra da sürer. Sunucuya yönetim erişimi yetkili personelle sınırlıdır ve kayıt altına alınır: yönetim panelinde yapılan işlemler (sunucu konsolunun açılması ve sunucu erişim parolasının görüntülenmesi dahil) işlemi yapan hesap, zaman ve IP adresiyle denetim kaydında tutulur; destek ekibinin panel üzerinden sunucuda yaptığı işlemler hizmet sayfasındaki işlem günlüğünde Veri Sorumlusuna da gösterilir.

4.4.Güvenlik. Veri İşleyen, KVKK'nın 12. maddesi ve Kurulun yayımladığı rehberler çerçevesinde Ek-2'de sayılan teknik ve idari tedbirleri alır. Tedbirler, aynı ya da daha yüksek koruma düzeyini sağlamak kaydıyla güncellenebilir.

4.5.Veri lokasyonu ve aktarım. Sunucunun diski, snapshot'ları ve Bulut Yedekleme kopyaları yalnız Türkiye'de, İstanbul'daki veri merkezinde tutulur. Veri İşleyen İçeriği ve kopyalarını yurt dışına aktarmaz ve kopyalamaz. Başka bir lokasyona kopya (çapraz yedek dahil) yalnız Veri Sorumlusunun yazılı talebiyle yapılır.

4.6.Alt veri işleyen. Veri İşleyen, İçeriği işlemek için alt veri işleyen kullanmaz. Hizmetin çalıştığı donanım (sunucular ve depolama) Veri İşleyene aittir; veri merkezi işletmecisi yalnız fiziksel barındırma (alan, enerji, soğutma, fiziksel güvenlik) ve internet bağlantısı hizmeti verir ve İçeriğe mantıksal erişimi yoktur. Veri İşleyen ileride alt veri işleyen kullanmak isterse Veri Sorumlusuna en az 30 gün önceden yazılı bildirimde bulunur; Veri Sorumlusu bu süre içinde itiraz ederek Hizmeti cezai şart ödemeden sona erdirebilir.

4.7.Kişisel veri ihlali bildirimi. Veri İşleyen, Hizmeti etkileyen bir Kişisel Veri İhlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusunu, hesapta kayıtlı e-posta adresine yazılı olarak ve Ek-1'de bildirilen irtibat telefonuna sözlü olarak bildirir. Bildirim, o an bilindiği ölçüde ihlalin niteliğini, zamanını, etkilenen sunucuları ve tahmini kayıt sayısını, olası sonuçlarını, alınan ve önerilen önlemleri ve Veri İşleyenin irtibat kişisini içerir; bilgiler netleştikçe tamamlanır. Veri İşleyen, Veri Sorumlusunun Kurula ve ilgili kişilere yapacağı bildirimler için gerekli bilgi ve belgeyi sağlar.

4.8.İlgili kişi başvuruları. Veri İşleyen, kendisine doğrudan gelen ilgili kişi başvurularını cevaplamadan Veri Sorumlusuna iletir ve Veri Sorumlusunun KVKK'nın 11. ve 13. maddeleri kapsamındaki yükümlülükleri için makul desteği sağlar.

4.9.Bilgi ve denetim. Veri İşleyen, bu Sözleşmeye uyumu gösteren bilgi ve belgeleri (veri merkezinin güncel sertifikaları dahil) Veri Sorumlusunun yazılı talebi üzerine sağlar. Veri Sorumlusu yılda bir kez, en az 30 gün önceden yazılı bildirimle denetim talep edebilir; yerinde denetim veri merkezinin erişim kurallarına ve diğer müşterilerin gizliliğine tabidir, masraflar talep eden tarafa aittir.

4.10.Resmi makam talepleri. Veri İşleyen, İçeriğe ilişkin bir resmi makam talebini, hukuken izin verildiği ölçüde Veri Sorumlusuna gecikmeksizin bildirir ve yalnız hukuken zorunlu olan kapsamda yanıt verir.

5.1.Veri Sorumlusu, İçerikteki kişisel verilerin hukuka uygun işleme şartlarına dayanmasından, ilgili kişilerin aydınlatılmasından ve gerekli hallerde açık rızanın alınmasından sorumludur.

5.2.Veri Sorumlusu, sunucunun işletim sistemi ve yazılımlarının güncellenmesinden, sunucu içindeki güvenlik duvarı ve erişim yapılandırmasından, yönetici parolası ve SSH anahtarları dahil erişim bilgilerinin gizliliğinden ve sunucuya erişim verdiği kişilerin yetkilendirilmesinden sorumludur. Sunucu içindeki oturum ve erişim kayıtları Veri Sorumlusunun yönetimindeki işletim sisteminde tutulur.

5.3.Veri Sorumlusu, özel nitelikli kişisel veri işleyecekse bunu Ek-1'de belirtir.

5.4.Bulut Yedekleme ek hizmeti alınmışsa sunucunun günlük imaj yedeği 7 gün geriye dönük olarak İstanbul'da, sunucudan ayrı bir depolamada tutulur. Bulut Yedekleme alınmamışsa Veri İşleyen yedek almaz; snapshot'lar sunucuyla aynı depolamada tutulur ve yedek yerine geçmez. Veri Sorumlusunun sildiği ya da üzerine yazdığı veri, alınmış bir yedek ya da snapshot yoksa geri getirilemez; Bulut Yedekleme alınmamışsa yedekleme Veri Sorumlusunun sorumluluğundadır.

6.1.Bu Sözleşme imza tarihinde yürürlüğe girer ve Hizmet sürdükçe geçerlidir.

6.2.Hizmet herhangi bir nedenle sona erdiğinde sunucu kapatılır ve İçeriğe erişim kapanır. Sunucu kapatıldıktan sonra en az 7 gün bekletilir; bu süre içinde Veri Sorumlusunun talebiyle sunucu geçici olarak açılarak ya da disk imajı sağlanarak İçeriğin alınması sağlanır. Veri Sorumlusu daha erken silinmesini yazılı olarak talep ederse bu süre beklenmez. Süre dolduğunda sunucunun diski ve snapshot'ları kalıcı olarak silinir. Bulut Yedekleme alınmışsa sunucu yedekleme işinden çıkarılır ve yeni yedek alınmaz; mevcut yedek kopyaları Veri Sorumlusunun talebiyle silinir ve silme tutanağına eklenir. Veri Sorumlusu talep ederse silme, tarihini ve kapsamını gösteren yazılı bir silme tutanağıyla belgelenir. Mevzuat gereği saklanması zorunlu kayıtlar (fatura vb.) bu kapsamın dışındadır.

Tarafların sorumluluğu Hizmet Sözleşmesindeki hükümlere tabidir. KVKK'nın 12. maddesinin 2. fıkrası kapsamındaki müteselsil sorumluluk ve emredici hükümler saklıdır.

Bu Sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda İstanbul mahkemeleri ve icra müdürlükleri yetkilidir. Bu Sözleşme ile Hizmet Sözleşmesi arasında kişisel verilerin işlenmesine ilişkin bir çelişki olursa bu Sözleşme uygulanır.

Bu Sözleşme 9 madde ve 2 ekten oluşur, iki nüsha olarak düzenlenmiştir ve ....../....../........ tarihinde imzalanarak yürürlüğe girmiştir. Taraflar Sözleşmeyi ıslak ya da elektronik imzayla imzalayabilir.