Bu Veri İşleme Sözleşmesi ("DPA"), ELXAO SASU ("İşlemci") ile müşteri ("Denetleyici") arasındaki Sözleşmenin ayrılmaz bir parçasını oluşturur ve Düzenlemenin (AB) 28. Maddesini uygular. 2016/679 (“GDPR”) ve Fransız Veri Koruma Yasası (değiştirildiği şekliyle 6 Ocak 1978 tarihli Loi n° 78-17). Bu, ELXAO Hizmetlerin sağlanması sırasında Kontrolör adına kişisel verileri işlediğinde geçerlidir.
Tanımlar
“Kişisel veri”, “işleme”, “kontrolör”, “işleyici”, “alt işleyici”, “veri sahibi”, “özel kategori veri” ve “kişisel veri ihlali” terimleri GDPR'nin 4. Maddesinde belirtilen anlamları taşır. Sözleşmenin şartları, bu DPA'nın bunları açıkça geçersiz kıldığı durumlar haricinde, bu DPA için geçerlidir.
İşlemenin konusu, süresi ve niteliği
| Ürün | Açıklama |
|---|---|
| Konu | Denetleyici adına pazarlama operasyon hizmetlerinin (web siteleri, SEO, ücretli medya, analiz, CRM/e-posta, markalama, sosyal medya, yerelleştirme, PM/etkinlikler) sağlanması. |
| Süre | Sözleşmenin Süresi artı aşağıda belirtilen saklama süreleri. |
| Doğa ve amaç | Hizmetlerin sunulması için gereken şekilde kişisel verilerin depolanması, düzenlenmesi, analizi, aktarılması, barındırılması ve silinmesi. |
| Veri konularının kategorileri | Denetleyicinin son kullanıcıları, potansiyel müşterileri, müşterileri, aboneleri, çalışanları, tedarikçileri ve etkinlik katılımcıları. |
| Kişisel veri kategorileri | Kimlik verileri (isim, unvan), iletişim verileri (e-posta, telefon, posta adresi), mesleki veriler (şirket, rol), çevrimiçi tanımlayıcılar (IP, çerezler, cihaz kimlikleri), davranış verileri (tıklamalar, oturumlar, dönüşümler), ticari veriler (siparişler, faturalandırma), etkinlik verileri (kayıtlar, katılım, yaka kartları, kayıtlar). |
| Özel kategori verileri | Varsayılan olarak işlenmez. Herhangi bir istisna, yazılı bir talimat ve ek güvenlik önlemleri gerektirir. |
Roller ve talimatlar
Kontrolör, işleme amaçlarını ve araçlarını belirler. ELXAO kişisel verileri yalnızca Denetleyicinin Sözleşme, siparişler, SLA'lar, Denetleyicinin Gizlilik Politikası ve daha sonra gönderilen herhangi bir özel yazılı talimatla resmileştirilen belgelenmiş talimatlarına göre işler. ELXAO veri koruma yasasını ihlal etmeye yönelik bir talimatı dikkate alırsa Kontrolöre gereksiz gecikme olmaksızın bilgi verecektir.
Personelin gizliliği
ELXAO kişisel verileri işlemeye yetkili olan her bireyin uygulanabilir bir gizlilik yükümlülüğüne (iş sözleşmesi, serbest çalışma sözleşmesi veya NDA) tabi olmasını ve kişisel verilerin korunması konusunda rollerine uygun eğitim almasını sağlar.
Güvenlik önlemleri
ELXAO aşağıdakiler de dahil olmak üzere uygun teknik ve organizasyonel önlemleri uygular (Madde 32 GDPR):
- Üretim veri depoları için aktarım sırasında TLS 1.2+ şifreleme ve bekleme sırasında AES-256 şifreleme.
- En az ayrıcalık ilkesiyle rol tabanlı erişim kontrolü; tüm yöneticiler için zorunlu çok faktörlü kimlik doğrulama.
- Düzenli güvenlik açığı taraması ve düzeltme eki uygulama özelliğine sahip, güçlendirilmiş, AB tarafından barındırılan altyapı.
- Kod incelemesi, gizli dizi yönetimi, güvenli SDLC ve üretim/hazırlama ortamlarının ayrılması.
- Merkezi, bütünlük korumalı günlük kaydı; şüpheli kimlik doğrulama ve veri dışa aktarma olayları hakkında uyarı verme.
- Belgelenmiş geri yükleme testleriyle şifrelenmiş, coğrafi olarak ayrılmış yedeklemeler.
- Personel işe alım/çıkış prosedürleri, şifre yöneticisi, tam disk şifrelemeli güvenli dizüstü bilgisayarlar.
- İş sürekliliği ve olay-müdahale planları en az yılda bir kez gözden geçirilir.
Alt işleme
Denetleyici, ELXAO belirli işleme faaliyetlerinin (barındırma, e-posta dağıtımı, analitik, reklam platformları, müşteri destek araçları, etkinlik yönetimi platformları) performansı için alt işleyicileri görevlendirmek üzere genel bir yetki verir. ELXAO, talep üzerine [email protected] adresinden temin edilebilecek güncel bir alt işleyici listesi tutar ve Denetleyicinin makul veri koruma gerekçesiyle itiraz edebileceği herhangi bir ekleme veya değişiklik konusunda en az otuz (30) gün önceden bildirimde bulunacaktır. ELXAO her bir alt işleyiciye bu DPA'da belirtilenlerden daha az koruyucu olmayan veri koruma yükümlülükleri getirir.
Uluslararası transferler
Kişisel veriler öncelikle Avrupa Ekonomik Alanı (AEA) dahilinde işlenir. İşlemenin, yeterlilik kararı olmadan AEA dışında bir ülkeye aktarımı içerdiği durumlarda, ELXAO GDPR'nin 46. Maddesi kapsamındaki uygun güvencelere, özellikle de Avrupa Komisyonu'nun 4 Haziran 2021 tarihli Standart Sözleşme Maddelerine (SCC'ler) dayanır ve aktarım etki değerlendirmesinin gerektirdiği ek önlemlerle desteklenir.
Kontrolöre Yardım
ELXAO Veri sahibi taleplerine yanıt verme yükümlülüklerini (Madde 12-22 GDPR) yerine getirme ve Madde 32-36 GDPR (güvenlik, ihlal bildirimi, DPIA, ön danışma) ile uyumluluğu sağlama konusunda uygun teknik ve organizasyonel önlemlerle Denetleyiciye yardımcı olur. Standart yardım Hizmetlere dahildir; Talep başına bir (1) İş Gününü aşan önemli işler, yazılı bildirimin ardından ELXAO'nun o sırada geçerli olan profesyonel tarifeleri üzerinden faturalandırılabilir.
Kişisel veri ihlali
ELXAO Kontrolörün verilerini etkileyen bir kişisel veri ihlalinin farkına vardıktan sonra aşırı gecikme olmaksızın ve her halükarda yetmiş iki (72) saat içinde Kontrolöre bildirimde bulunur. Bildirim, ihlalin niteliğini, kategorileri ve etkilenen yaklaşık hacimleri, olası sonuçları ve buna yönelik olarak alınan veya önerilen önlemleri içerir.
Denetimler
ELXAO makul talep üzerine ve yılda bir defadan fazla olmamak kaydıyla (bir ihlalin ardından hariç), bu DPA'ya uygunluğu göstermek için gerekli bilgileri, mevcut olduğunda alt işleyicilerden alınan ISO 27001 / SOC 2 tipi raporlar da dahil olmak üzere Denetleyiciye sunar. Yerinde denetimler, Kontrolör veya gizlilik ilkesine bağlı karşılıklı olarak onaylanmış bir üçüncü taraf denetçi tarafından, masrafları Kontrolöre ait olmak üzere, makul bir süre önceden bildirimde bulunarak ve mesai saatleri içerisinde, ELXAO'nun operasyonlarını makul olmayan bir şekilde kesintiye uğratmayacak şekilde gerçekleştirilebilir.
Verilerin iadesi veya silinmesi
Sözleşmenin feshi üzerine ELXAO, Kontrolörün otuz (30) gün içinde yapacağı tercihe göre, tüm kişisel verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta iade edecek veya tüm üretim ve operasyonel sistemlerden silecektir. Yedek kopyalar standart rotasyon döngüsünde (doksan (90) güne kadar) silinir ve bu sürenin ötesinde yalnızca geçerli yasaların gerektirdiği durumlarda saklanabilir; bu durumda bu Veri Gizliliği Anlaşmasının güvenlik ve gizlilik yükümlülüklerine tabi kalırlar.
Sorumluluk
MSA'nın sorumluluk hükümleri, bu DPA kapsamında ortaya çıkan talepler için geçerlidir. Tarafların her biri, GDPR'nin 82. Maddesi uyarınca veri sahiplerine ve denetleyici makamlara karşı sorumlu olmaya devam edecektir.
İletişim
Bu DPA kapsamındaki herhangi bir veri koruma sorusu, talebi veya bildirimi için [email protected] adresinden ELXAO ile iletişime geçin.