Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve kapsam

Bu Veri İşleme Sözleşmesi ("DPA"), Nodesty LLC ("İşleyen") ile Hizmet Şartları'nı kabul eden müşteri ("Sorumlu") arasında akdedilmiştir ve Hizmet Şartları'nın ayrılmaz bir parçasıdır.

DPA, Sorumlu'nun hizmetler üzerinde GDPR, Birleşik Krallık GDPR'ı, İsviçre Federal Veri Koruma Kanunu veya KVKK'ya tabi kişisel veri barındırdığı ya da işlediği durumlarda uygulanır. Veri koruma konusunda Hizmet Şartları ile çelişki olması halinde DPA hükümleri geçerlidir.

2. Tanımlar

"Müşteri Verisi", Sorumlu'nun hizmetler üzerinde barındırdığı, ilettiği veya işlediği kişisel verileri ifade eder. "Kişisel veri", "işleme", "sorumlu", "işleyen" ve "kişisel veri ihlali" gibi kavramlar uygulanacak veri koruma mevzuatındaki anlamlarını taşır.

3. İşlemenin ayrıntıları

• Konu: sanal sunucu, fiziksel sunucu, web hosting ve mail hosting gibi barındırma hizmetlerinin sunulması.
• Süre: hizmet süresi ve hizmet sona erdikten sonra silme işlemi tamamlanana kadar.
• Nitelik: depolama, barındırma, ağ üzerinden iletme, yedekleme ve teknik destek.
• Amaç: Hizmet Şartları kapsamında hizmetlerin sunulması.
• Veri türleri: Sorumlu tarafından belirlenir; Sorumlu'nun hizmetlere yüklediği her türlü kişisel veri.
• İlgili kişiler: Sorumlu'nun belirlediği kişiler; örneğin Sorumlu'nun müşterileri, kullanıcıları ve çalışanları.

4. Talimatlar

İşleyen, Müşteri Verisini yalnızca Sorumlu'nun belgelenmiş talimatları doğrultusunda işler. Hizmet Şartları, bu DPA ve Sorumlu'nun müşteri paneli, API veya destek kanalları üzerinden yaptığı işlemler talimat sayılır.

İşleyen, Müşteri Verisinin içeriğine Sorumlu'nun destek talebi, bir güvenlik olayının giderilmesi veya hukuki yükümlülük dışında erişmez. Bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Sorumlu'yu derhal bilgilendirir.

5. Gizlilik

İşleyen, Müşteri Verisine erişme yetkisi verdiği kişilerin sözleşmeyle veya kanunla gizlilik yükümlülüğü altında olmasını sağlar ve erişimi görevin gerektirdiği kişilerle sınırlar.

6. Güvenlik önlemleri

İşleyen, GDPR Madde 32 ve KVKK Madde 12'ye uygun olarak en az aşağıdaki önlemleri uygular:

• Fiziksel güvenliği sağlanmış veri merkezleri ve yedekli ağ altyapısı.
• DDoS koruması ve ağ seviyesinde trafik filtreleme.
• Yönetim sistemlerine rol bazlı erişim, iki adımlı doğrulama ve erişim kayıtları.
• Müşteri paneli ve API trafiğinin TLS ile şifrelenmesi.
• Güvenlik günlüklerinin tutulması ve olayların izlenmesi.

Yönetilmeyen (unmanaged) hizmetlerde işletim sistemi, uygulamalar, erişim bilgileri ve Müşteri Verisinin yedeklenmesi Sorumlu'nun sorumluluğundadır.

7. Alt işleyenler

Sorumlu, İşleyen'in Alt İşleyenler sayfasında listelenen sağlayıcılarla çalışmasına genel yazılı izin verir. İşleyen, yeni bir alt işleyen eklemeden en az 30 gün önce listeyi günceller.

Sorumlu, makul ve veri korumaya dayalı gerekçelerle bu süre içinde privacy@nodesty.com adresine yazarak itiraz edebilir. Taraflar makul bir çözüm bulamazsa Sorumlu, ilgili hizmeti feshedebilir ve önceden ödediği, kullanılmamış sürenin ücretini geri alır.

İşleyen, alt işleyenlere bu DPA'dakilere eşdeğer yükümlülükler yükler ve alt işleyenlerin yükümlülüklerini yerine getirmemesinden Sorumlu'ya karşı sorumlu kalır.

8. İlgili kişi talepleri

İşleyen, ilgili kişilerin haklarını kullanmasında Sorumlu'ya müşteri paneli ve destek kanalları üzerinden makul ölçüde yardımcı olur. İşleyen'e doğrudan bir talep gelirse talebi yanıtlamadan Sorumlu'ya yönlendirir.

9. Kişisel veri ihlalleri

İşleyen, Müşteri Verisini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra Sorumlu'yu gecikmeksizin ve her durumda en geç 48 saat içinde bilgilendirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, olası sonuçlarını ve alınan veya önerilen önlemleri, o an bilindiği ölçüde içerir.

10. Etki değerlendirmesi ve danışma

İşleyen, Sorumlu'nun veri koruma etki değerlendirmesi ve denetim makamlarıyla ön danışma yükümlülükleri için gerekli bilgileri makul ölçüde sağlar.

11. Silme veya iade

Hizmet sona ermeden önce Müşteri Verisini dışa aktarmak Sorumlu'nun sorumluluğundadır. Hizmet sona erdikten sonra Müşteri Verisini barındıran sunucular ve depolama alanları silinir. Hukuken saklanması zorunlu veriler bu yükümlülük süresince saklanır.

12. Bilgi ve denetim

İşleyen, bu DPA'ya uyumu göstermek için gerekli bilgileri talep halinde sağlar. Sorumlu, 30 gün önceden yazılı bildirimde bulunmak kaydıyla yılda en fazla bir kez, kendi masrafıyla ve öncelikle belge incelemesi yoluyla denetim yapabilir. Denetim İşleyen'in diğer müşterilerinin verilerine ve güvenliğine zarar vermeyecek şekilde yürütülür.

13. Uluslararası aktarımlar

• AEA: Avrupa Komisyonu'nun 2021/914 sayılı kararıyla kabul edilen Standart Sözleşme Maddeleri, Modül 2 (sorumludan işleyene) ve Modül 3 (işleyenden işleyene) bu DPA'ya atıfla dahil edilmiştir. Madde 7 (katılma) uygulanmaz, Madde 9 için genel izin seçeneği ve 30 günlük süre, Madde 11 için isteğe bağlı hüküm uygulanmaz. Madde 17 ve 18 için İrlanda hukuku ve İrlanda mahkemeleri geçerlidir. Ekler bu DPA'daki işleme ayrıntıları ve güvenlik önlemleriyle doldurulmuş sayılır.
• Birleşik Krallık: Birleşik Krallık Bilgi Komiserliği'nin Uluslararası Veri Aktarımı Eki (IDTA Addendum) yukarıdaki maddelere eklenmiş sayılır.
• İsviçre: Standart Sözleşme Maddeleri, İsviçre Federal Veri Koruma Kanunu'na yapılan atıflarla uygulanır.
• Türkiye: KVKK Madde 9 kapsamında Kurul tarafından yayımlanan standart sözleşme, Sorumlu'nun talebi üzerine taraflarca imzalanır.

14. Sorumluluk ve süre

Tarafların bu DPA kapsamındaki sorumluluğu Hizmet Şartları'ndaki sınırlamalara tabidir; ancak bu sınırlamalar ilgili kişilerin mevzuattan doğan haklarını kısıtlamaz. DPA, İşleyen Müşteri Verisini işlediği sürece yürürlükte kalır.

15. Kabul

Hizmet Şartları'nın kabulü bu DPA'nın da kabulü anlamına gelir. İmzalı bir kopyaya ihtiyaç duyarsanız şirket bilgilerinizle privacy@nodesty.com adresine yazabilirsiniz.