Veri İşleme Sözleşmesi

Üyelik ve Hizmet Sözleşmesi'ndeki müşteri, kendi hizmetindeki amaç ve araçları belirlediği işlemler bakımından veri sorumlusu; EKale Bilgi Güvenliği Teknolojileri, müşterinin yetkilendirmesiyle onun adına işlediği veriler bakımından veri işleyendir.

EKale'nin hesap yönetimi, faturalama, kanuni yükümlülük veya kendi haklarının korunması için bağımsız belirlediği faaliyetler bu yetkilendirmenin kapsamı dışındadır ve ayrıca aydınlatılır. Sözleşmedeki unvanlar fiilî rolün veya kanundan doğan yükümlülüklerin yerine geçmez.

Üretim kullanımından önce taraflar aşağıdaki bilgileri sipariş veya ona bağlı yazılı işleme kaydında belirler. Bir bilginin genel ürün tanımında yer alması, bütün veri kategorilerinin her müşteride işlenmesine izin vermez.

• Hizmet, alan adı veya uygulama; işleme konusu, amaçları, süresi ve uygulanacak talimatlar.

• İlgili kişi grupları ve gerekli veri kategorileri; özel nitelikli veri öngörülüyorsa bunun gerekliliği ve hukuki şartları.

• İşleme işlemleri, erişim yetkileri, barındırma ve yedekleme yerleri, saklama ve imha takvimi.

• Alt veri işleyenlerin unvanı, görevi, veri ve ülke kapsamı; varsa yurt dışı aktarım mekanizması.

• Güvenlik önlemleri, ihlal ve ilgili kişi başvuru irtibatları, hizmet sonunda iade biçimi ve silme takvimi.

CAPTCHA

Site ziyaretçilerine ait ağ, tarayıcı, etkileşim zamanlaması, doğrulama ve risk kayıtları; doğrulama sunma, sonucu üretme ve müşteri güvenlik analitiği için.

Fraud

Müşterinin seçtiği işlem olayları, hesap veya oturum referansları, cihaz ve risk işaretleri; işlem riskini değerlendirme ve müşterinin kurallarını uygulama için. Gereksiz kimlik, ödeme veya hassas veri gönderilmez.

E‑İmza

İmzacıların iletişim ve yetki bilgileri, imzaya konu belgeler, süreç ve doğrulama kayıtları; müşteri tarafından seçilen belge ve imza akışını yürütme için. Belge içeriği ve saklama kapsamı ayrıca belirlenir.

EKale verileri yalnız belgelenmiş müşteri talimatları ve zorunlu kanuni yükümlülükler doğrultusunda işler. Talimatlar sözleşme, sipariş, onaylı ürün ayarları ve yetkili kişinin yazılı talepleriyle verilebilir. Talimatın hukuka aykırı olduğunu düşünürse müşteriyi gecikmeksizin bilgilendirir ve açıklığa kavuşuncaya kadar ilgili işlemi sınırlar.

Müşteri adına işlenen kişisel veriler satılamaz, reklam profiline dönüştürülemez, başka müşterilere açıklanamaz veya bu yetkilendirmeye dayanılarak bağımsız model eğitimine ayrılamaz. EKale'nin bağımsız belirleyeceği bir amaç ayrıca hukuki dayanak, rol ve aydınlatma değerlendirmesi gerektirir; bu ek genel izin oluşturmaz.

Müşteri; gerekli aydınlatmayı, uygun işleme şartını ve kanunen gerekiyorsa ayrı açık rızayı sağlar. Veri toplama miktarını ve hizmete gönderdiği içeriği amaçla sınırlar. EKale'nin kendi kanuni yükümlülükleri müşteriye devredilmez.

EKale; hukuka aykırı işlemeyi ve erişimi önlemek, verinin muhafazasını sağlamak için riskle orantılı teknik ve idari tedbirleri almakla yükümlüdür. Veriye yalnız görevi gereği erişen kişiler erişebilir; gizlilik yükümlülükleri görev ve sözleşme sona erdikten sonra da sürer.

Asgari tedbirler; yetki ayrımı ve erişim kaldırma, güvenli kimlik doğrulama, aktarım güvenliği, anahtarların korunması, müşteri verilerinin ayrılması, erişim ve olay kayıtları, güncelleme ve zafiyet yönetimi, uygun yedekleme ve imha kontrollerini kapsar. Somut teknik kapsam işleme kaydında belirlenir. Bu ek bir sertifikasyon veya gerçekleşmemiş denetim beyanı değildir.

Müşteri adına kişisel veriye erişecek alt veri işleyenler, kimlikleri ve görevleriyle birlikte müşterinin önceden yazılı onayına sunulur. Genel yazılı izin verilmişse ekleme veya değiştirme, planlanan başlangıçtan en az 30 gün önce bildirilir; müşteri veri korumaya ilişkin makul gerekçeleriyle itiraz edebilir.

İtiraz hâlinde eşdeğer bir seçenek veya ilgili işleme faaliyeti için çözüm aranır. Çözüm sağlanamazsa itiraz edilen işlem yeni sağlayıcıya aktarılmaz; etkilenen hizmetin sona erdirilmesi ve sunulmayan dönem bedeli, ana sözleşmedeki kurallara göre değerlendirilir.

EKale, alt veri işleyenle bu ekteki korumayı zayıflatmayan yazılı yükümlülükler kurar ve onun müşteri adına yürüttüğü işlerin sözleşmeye uygunluğundan müşteriye karşı sorumlu olmaya devam eder. Bu izin, yurt dışı aktarım şartlarının yerine geçmez.

Yurt dışındaki bir alıcıya aktarım, uzaktan erişim veya yedekleme, müşterinin belgelenmiş talimatı ve KVKK m.9'daki şartlar sağlanmadan yapılmaz. Aktarımın alıcısı, ülkesi, veri kapsamı ve dayanağı işleme kaydında gösterilir.

Standart sözleşme yoluna başvurulacaksa Kurulun ilgili ilişki için ilan ettiği uygun metin kullanılır ve kanuni bildirim, imzaların tamamlanmasından itibaren beş iş günü içinde yapılır. Bu Veri İşleme Sözleşmesi, Kurulun yurt dışı aktarım standart sözleşmesi değildir ve onun yerine kullanılamaz.

EKale, müşteri adına işlediği verilerde bir kişisel veri ihlalini öğrendiğinde müşteriyi herhangi bir gecikmeye yer vermeksizin haberdar eder. İlk bildirim, bütün incelemenin tamamlanması beklenerek ertelenmez; eksik bilgiler makul aralıklarla tamamlanır.

Bildirim; bilinen olay ve zaman bilgilerini, etkilenen veri ve kişi gruplarını, olası sonuçları, alınan veya önerilen önlemleri ve irtibat kişisini içerir. EKale delilleri korur, olayı sınırlandırır ve müşterinin değerlendirme ve bildirim yükümlülüklerine destek verir.

Veri sorumlusunun Kurula bildirim süresi, ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saattir; ilgili kişilere bildirim de etkilenenlerin belirlenmesini izleyen makul en kısa sürede yapılır. EKale'nin veri işleyen olarak müşteriye bildirimi için ayrı bir 72 saat bekleme hakkı yoktur.

EKale, müşteri adına işlenen veriye ilişkin doğrudan aldığı talebi müşteriye gecikmeksizin iletir; kendi kanuni yükümlülükleri dışında müşterinin yerine bağımsız bir karar vermez. Arama, düzeltme, iade ve imha işlemlerinde yasal sürelere uyulabilmesi için gerekli desteği sağlar.

EKale, bu eke uyumu gösterecek ilgili bilgi ve kayıtları müşteriye sunar. Müşteri, makul ön bildirimle ve gizlilik altında kendisi veya bağımsız uzman aracılığıyla kapsamla orantılı denetim yapabilir. Denetim diğer müşterilerin verilerini veya hizmet güvenliğini açığa çıkaramaz. Ciddi ihlal şüphesi ve yetkili makam taleplerinde ön bildirim usulü etkin incelemeyi engelleyecek biçimde uygulanmaz.

Hizmet sona erdiğinde, müşteri talimatına ve işleme kaydına göre kişisel veriler üzerinde anlaşılmış kullanılabilir bir biçimde iade edilir veya silinir. Kanunen saklanması gerekmeyen kopyalar belirlenen takvimde imha edilir; tamamlanan işlem müşteriye bildirilir.

Kanuni saklama gerektiren kayıtlar amaç, kapsam ve süreleriyle ayrılır; erişimleri sınırlandırılır ve başka amaçla kullanılmaz. Yedek kopyalarda silme takvimi ve geri yükleme hâlinde silme talimatının yeniden uygulanması işleme kaydında düzenlenir. Verinin yedekte bulunması süresiz saklama gerekçesi değildir.

Gizlilik, güvenlik, kanuni saklama ve imhaya ilişkin yükümlülükler, elde tutulan veriler için sözleşme sona erdikten sonra da devam eder. Bu ekteki hiçbir hüküm ilgili kişilerin veya yetkili makamların kanuni haklarını sınırlamaz.