Sözleşmeler: Veri İşleme Sözleşmesi

3.1.Bu Sözleşme, Veri İşleyenin Hizmet kapsamında İçerikte yer alan kişisel verileri Veri Sorumlusu adına işlemesine ilişkin hak ve yükümlülükleri KVKK'nın 12. maddesi uyarınca düzenler.

3.2.Veri İşleyen İçeriği yalnız depolamak, saklamak, çoğaltarak (Madde 5.4) korumak ve Veri Sorumlusunun yetkilendirdiği erişim anahtarlarıyla erişime sunmak amacıyla işler. Veri İşleyen İçeriğin niteliğini belirlemez, İçeriği incelemez ve İçeriğe başka bir amaçla erişmez.

3.3.İşlemenin ayrıntıları (veri kategorileri, ilgili kişi grupları, süre) Ek-1'de yer alır.

4.1.Talimata bağlılık. Veri İşleyen kişisel verileri yalnız Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işler. Hizmet Sözleşmesi, bu Sözleşme ve Veri Sorumlusunun panel ya da API üzerinden yaptığı işlemler (bucket ve anahtar oluşturma, silme, erişim kısıtlaması vb.) talimat sayılır. Veri İşleyen, bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusunu gecikmeksizin bilgilendirir.

4.2.İçeriğe erişim. Veri İşleyen İçeriğe yalnız (a) Veri Sorumlusunun yazılı talebi ya da destek talebi üzerine, talep kapsamıyla sınırlı olarak, (b) hizmetin teknik sürekliliği için zorunlu hallerde, (c) yetkili makamların hukuka uygun talebi üzerine erişir.

4.3.Gizlilik. Veri İşleyen, kişisel verilere erişebilecek çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük görev ve Sözleşme sona erdikten sonra da sürer.

4.4.Güvenlik. Veri İşleyen, KVKK'nın 12. maddesi ve Kurulun yayımladığı rehberler çerçevesinde Ek-2'de sayılan teknik ve idari tedbirleri alır. Tedbirler, aynı ya da daha yüksek koruma düzeyini sağlamak kaydıyla güncellenebilir.

4.5.Veri lokasyonu ve aktarım. İçerik ve bütün kopyaları yalnız Türkiye'de, İstanbul'daki veri merkezinde tutulur. Veri İşleyen İçeriği ve kopyalarını yurt dışına aktarmaz ve kopyalamaz. Başka bir lokasyona kopya yalnız Veri Sorumlusunun yazılı talebiyle yapılır.

4.6.Alt veri işleyen. Veri İşleyen, İçeriği işlemek için alt veri işleyen kullanmaz. Hizmetin çalıştığı donanım Veri İşleyene aittir; veri merkezi işletmecisi yalnız fiziksel barındırma (alan, enerji, soğutma, fiziksel güvenlik) hizmeti verir ve İçeriğe mantıksal erişimi yoktur. Veri İşleyen ileride alt veri işleyen kullanmak isterse Veri Sorumlusuna en az 30 gün önceden yazılı bildirimde bulunur; Veri Sorumlusu bu süre içinde itiraz ederek Hizmeti cezai şart ödemeden sona erdirebilir.

4.7.Kişisel veri ihlali bildirimi. Veri İşleyen, Hizmeti etkileyen bir Kişisel Veri İhlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusunu, hesapta kayıtlı e-posta adresine yazılı olarak ve Ek-1'de bildirilen irtibat telefonuna sözlü olarak bildirir. Bildirim, o an bilindiği ölçüde ihlalin niteliğini, zamanını, etkilenen bucket'ları ve tahmini kayıt sayısını, olası sonuçlarını, alınan ve önerilen önlemleri ve Veri İşleyenin irtibat kişisini içerir; bilgiler netleştikçe tamamlanır. Veri İşleyen, Veri Sorumlusunun Kurula ve ilgili kişilere yapacağı bildirimler için gerekli bilgi ve belgeyi sağlar.

4.8.İlgili kişi başvuruları. Veri İşleyen, kendisine doğrudan gelen ilgili kişi başvurularını cevaplamadan Veri Sorumlusuna iletir ve Veri Sorumlusunun KVKK'nın 11. ve 13. maddeleri kapsamındaki yükümlülükleri için makul desteği sağlar.

4.9.Bilgi ve denetim. Veri İşleyen, bu Sözleşmeye uyumu gösteren bilgi ve belgeleri (veri merkezinin güncel sertifikaları dahil) Veri Sorumlusunun yazılı talebi üzerine sağlar. Veri Sorumlusu yılda bir kez, en az 30 gün önceden yazılı bildirimle denetim talep edebilir; yerinde denetim veri merkezinin erişim kurallarına ve diğer müşterilerin gizliliğine tabidir, masraflar talep eden tarafa aittir.

4.10.Resmi makam talepleri. Veri İşleyen, İçeriğe ilişkin bir resmi makam talebini, hukuken izin verildiği ölçüde Veri Sorumlusuna gecikmeksizin bildirir ve yalnız hukuken zorunlu olan kapsamda yanıt verir.

5.1.Veri Sorumlusu, İçerikteki kişisel verilerin hukuka uygun işleme şartlarına dayanmasından, ilgili kişilerin aydınlatılmasından ve gerekli hallerde açık rızanın alınmasından sorumludur.

5.2.Veri Sorumlusu, erişim anahtarlarının gizliliğinden, yetkilendirmeden ve erişim kısıtlamalarının (IP kısıtlaması dahil) doğru yapılandırılmasından sorumludur.

5.3.Veri Sorumlusu, özel nitelikli kişisel veri işleyecekse bunu Ek-1'de belirtir.

5.4.Hizmette veriler aynı lokasyonda 3 kopya hâlinde tutulur; bu kopyalar yedek yerine geçmez. Veri Sorumlusunun sildiği ya da üzerine yazdığı veri geri getirilemez. Sürüm geçmişi (versioning) ve silmeye karşı kilit (object lock) Veri Sorumlusu tarafından açılabilir; yedekleme Veri Sorumlusunun sorumluluğundadır.

6.1.Bu Sözleşme imza tarihinde yürürlüğe girer ve Hizmet sürdükçe geçerlidir.

6.2.Hizmet herhangi bir nedenle sona erdiğinde İçeriğe erişim kapatılır. İçerik 7 gün bekletilir; bu süre içinde Veri Sorumlusunun talebiyle erişim geçici olarak açılarak İçeriğin indirilmesi sağlanır. Süre dolduğunda İçerik bütün kopyalarıyla kalıcı olarak silinir ve silme Veri Sorumlusuna yazılı olarak bildirilir. Mevzuat gereği saklanması zorunlu kayıtlar (fatura vb.) bu kapsamın dışındadır.

Tarafların sorumluluğu Hizmet Sözleşmesindeki hükümlere tabidir. KVKK'nın 12. maddesinin 2. fıkrası kapsamındaki müteselsil sorumluluk ve emredici hükümler saklıdır.

Bu Sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda İstanbul mahkemeleri ve icra müdürlükleri yetkilidir. Bu Sözleşme ile Hizmet Sözleşmesi arasında kişisel verilerin işlenmesine ilişkin bir çelişki olursa bu Sözleşme uygulanır.

Bu Sözleşme 9 madde ve 2 ekten oluşur, iki nüsha olarak düzenlenmiştir ve ....../....../........ tarihinde imzalanarak yürürlüğe girmiştir. Taraflar Sözleşmeyi ıslak ya da elektronik imzayla imzalayabilir.