Veri işleyen sözleşmesi

Taraflar

• Veri sorumlusu: [MUSTERI KURULUSUNUN ADI], [YERLESIM YERI] adresinde yerleşik, ticaret odası numarası [TICARET ODASI NUMARASI] (“Sorumlu”).
• Veri işleyen: AGENTICA, Langeland 18, 2548 WE Lahey adresinde yerleşik, ticaret odası numarası 94577056, KDV numarası NL005093484B44 (“İşleyen”).

Madde 1: Tanımlar

• GDPR: Genel Veri Koruma Tüzüğü.
• Kişisel veriler: bu Sözleşme kapsamında işlenen, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi.
• İşleme: kişisel verilere ilişkin toplama, saklama, görüntüleme ve silme gibi her türlü işlem.
• Alt işleyen: İşleyen tarafından İşleme'nin (bir kısmını) yerine getirmek üzere görevlendirilen üçüncü taraf.

Madde 2: Konu ve süre

İşleyen, kişisel verileri yalnızca Sorumlu adına ve Sorumlu'nun talimatı üzerine, TelMaar kullanımı çerçevesinde işler. Bu Sözleşme ana sözleşmeyle birlikte yürür ve onun sona ermesiyle kendiliğinden sona erer; niteliği gereği sona ermeden sonra da yürürlükte kalan hükümler saklıdır (iade ve silmeye ilişkin madde 10 dâhil).

Madde 3: İşlemenin niteliği ve amacı

İşleme, Sorumlu'nun ilgili taraflarının (müşteriler, tedarikçiler ve onların irtibat kişileri) kişisel verilerinin mali kayıt, faturalama ve müşteri ilişkileri yönetimi amacıyla saklanmasını, yönetilmesini ve işlenmesini kapsar; ayrıntısı Sorumlu'nun gizlilik beyanında yer alır. İlgili kişi ve kişisel veri kategorileri, söz konusu beyanın 2. ve 4. maddeleriyle aynıdır.

Madde 4: İşleyen'in yükümlülükleri

• İşleyen, yasal bir yükümlülük aksini gerektirmedikçe kişisel verileri yalnızca Sorumlu'nun yazılı talimatlarına dayanarak işler.
• İşleyen, kişisel verileri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını sağlar.
• İşleyen, ilgili kişilerin erişim, düzeltme veya silme taleplerine, yasal saklama yükümlülüğünün sınırları içinde makul ölçüde yardımcı olur.
• İşleyen, bir talimatın kendi görüşüne göre yürürlükteki mevzuata aykırı olması hâlinde Sorumlu'yu gecikmeksizin bilgilendirir.
• İşleyen, kişisel verileri kendi veya başkalarının modellerini eğitmek ya da geliştirmek için kullanmaz ve bu yükümlülüğü görevlendirdiği Alt işleyenlere de getirir.

Madde 5: Güvenlik önlemleri

İşleyen, aşağıdakiler dâhil uygun teknik ve idari önlemleri alır:

• Aktarım sırasında verilerin TLS 1.3 ile şifrelenmesi.
• Durağan haldeki verilerin AES-256 ile şifrelenmesi; ödeme sağlayıcı kimlik bilgileri ve diğer özellikle hassas alanlar için ek zarf şifrelemesi (kuruluş başına veri şifreleme anahtarı, bir ana anahtarla şifrelenir).
• Veritabanında rol tabanlı erişim yönetimi (RBAC) ve satır düzeyi güvenlik (Row Level Security); böylece bir kuruluşun verilerine başka bir kuruluş asla erişemez.
• Mali verilere yazma erişimi olan kullanıcılar için zorunlu iki faktörlü kimlik doğrulama (2FA).
• Mali verilerdeki değişikliklerin yalnızca eklemeli denetim kaydı; zaman, IP adresi ve kullanıcı bilgisiyle.
• En az 7, en fazla 30 gün saklanan düzenli ve şifreli yedekler; böylece madde 10 uyarınca yapılan bir silmeden sonra hiçbir kopya kalmaz.

Madde 6: Alt işleyenler

Veri Sorumlusu, Veri İşleyen'in aşağıdaki Alt İşleyenleri kullanmasına izin verir: Supabase (veritabanı, kimlik doğrulama, depolama), Vercel (barındırma), Resend (e-posta), Stripe ve Mollie (ödeme işleme), Cloudflare (güvenlik ve içerik dağıtımı), Anthropic (Veri Sorumlusu'nun asistan aracılığıyla sunduğu soru ve belgelerin işlenmesi), Sentry (uygulamadan gelen hata bildirimleri, kişisel verilerden arındırılmış), Expo, Google ve Apple (telefona bildirim iletimi), Google ML Kit (bir fiş fotoğraflanırken cihazda metin tanıma), Mapbox (bir adres için harita gösterimi), overheid.io (Ticaret Sicili sorguları) ve postcode.tech (posta kodundan adres). Asistan yalnızca finansal rolü olan kullanıcılara açıktır ve yalnızca kullanıcının kendisinin sunduğu bilgileri işler; sunulan veriler model eğitmek için kullanılmaz. Veri İşleyen, her Alt İşleyen'e bu Sözleşme'dekilere benzer yükümlülükler getirir ve bu listedeki her değişikliği itiraz imkânı tanıyarak Veri Sorumlusu'na bildirir.

Madde 7: AEA dışına aktarım

İşleme kural olarak Avrupa Ekonomik Alanı içinde gerçekleşir. Bir Alt işleyen kişisel verileri AEA dışında işlediği ölçüde, bu yalnızca Avrupa Komisyonu'nun bir yeterlilik kararına veya Avrupa Komisyonu'nun standart sözleşme hükümlerine (SCC) dayanır ve aktarım sırasında ve durağan halde şifreleme gibi uygun ek önlemlerle desteklenir. İşleyen, talep üzerine Sorumlu'ya her Alt işleyen için geçerli aktarım dayanağını bildirir.

Madde 8: Veri ihlalleri ve bildirim süresi

İşleyen, tespit edilen bir kişisel veri ihlalini gereksiz gecikme olmaksızın ve keşiften sonra en geç 48 saat içinde Sorumlu'ya bildirir; böylece Sorumlu, Hollanda Veri Koruma Kurumu'na karşı kendi bildirim yükümlülüğünü (72 saat içinde) zamanında yerine getirebilir. Bildirim en azından ihlalin niteliğini, etkilenen kategorileri ve ilgili kişi sayısını ve alınan veya önerilen önlemleri kapsar.

Madde 9: Denetimler

Sorumlu, en az dört haftalık makul bir süreyle önceden yazılı bildirimde bulunarak bu Sözleşmeye uyum konusunda denetim yaptırma veya İşleyen'in sunduğu bağımsız üçüncü taraf raporu aracılığıyla bilgi edinme hakkına sahiptir. Sorumlu tarafından yaptırılan denetimin maliyeti, eksiklik tespit edilmedikçe Sorumlu'ya aittir.

Madde 10: Sona ermeden sonra iade ve silme

Ana sözleşmenin sona ermesi hâlinde İşleyen, Sorumlu'nun talebi üzerine tüm kişisel verileri yaygın bir dışa aktarma biçiminde sunar ve ardından, yasal bir saklama yükümlülüğü (yedi yıllık vergisel saklama yükümlülüğü dâhil) gereği saklanması gerekenler dışındaki tüm kişisel verileri siler. Silme, talepten sonra 30 gün içinde gerçekleşir.

Madde 11: Sorumluluk

Tarafların bu Sözleşme kapsamındaki sorumluluğu, taraflar arasındaki ana sözleşmeyle, yani genel koşulların 11. maddesiyle düzenlenir.

Madde 12: Uygulanacak hukuk

Bu Sözleşmeye Hollanda hukuku uygulanır. Uyuşmazlıklar, emredici hukuk aksini öngörmedikçe Lahey yargı çevresindeki yetkili mahkemeye sunulur.

Madde 13: Birleşik Arap Emirlikleri'ndeki Veri Sorumluları için ek

Bu madde yalnızca Veri Sorumlusu Birleşik Arap Emirlikleri'nde yerleşikse geçerlidir. Önceki maddelerden ayrıldığı yerde bu madde önceliklidir.

Uygulanacak çerçeve. İşleme, kişisel verilerin korunmasına ilişkin 2021 tarihli 45 sayılı Federal Kararname Kanunu'na (PDPL) tabidir. Bu Sözleşmede GDPR'a yapılan atıflarda, Veri Sorumlusu için PDPL'nin karşılık gelen hükümleri geçerlidir.

Aktarım. Veri İşleyen, kişisel verileri Avrupa Birliği'ndeki sunucularda işler. Bu aktarım Veri Sorumlusunun talimatıyla yapılır; Sözleşmenin ifası için gereklidir ve hedef bölge en az PDPL ile eşdeğer bir koruma düzeyi sağlar.

Veri ihlalleri. Veri İşleyen, kişisel veri ihlalini gereksiz gecikme olmaksızın Veri Sorumlusuna bildirir; böylece Veri Sorumlusu UAE Data Office'e ve ilgili kişilere karşı bildirim yükümlülüğünü yerine getirebilir.

İlgili kişilerin hakları. Veri İşleyen, PDPL kapsamındaki erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz taleplerinde Veri Sorumlusuna makul destek sağlar.

Saklama süresi. 10. maddeden farklı olarak, vergi kayıtları BAE mevzuatının gerektirdiği süre boyunca saklanır: KDV için vergi döneminin bitiminden sonra beş yıl, gayrimenkule ilişkin kayıtlar için on beş yıl.

Uygulanacak hukuk. 12. maddeden farklı olarak, bu ekten doğan uyuşmazlıklar Dubai'deki yetkili mahkemeye sunulur ve bu uyuşmazlıklara Birleşik Arap Emirlikleri hukuku uygulanır.

İmza

İşbu şekilde kararlaştırılmış ve her iki tarafça imzalanmıştır: