1.Taraflar ve roller
Bu sözleşme, Abonelik Sözleşmesi'nin ayrılmaz ekidir. Müşterinin Hizmete girdiği kişisel veriler bakımından Müşteri veri sorumlusu, [Ticaret unvanı] (“Sağlayıcı”) veri işleyendir. Kişisel verilere ilişkin konularda bu sözleşme ile Abonelik Sözleşmesi çelişirse bu sözleşme uygulanır.
2.Konu, süre ve işlemenin niteliği
Sağlayıcı kişisel verileri Hizmeti sunmak amacıyla ve Abonelik Sözleşmesi süresince işler. İşleme; barındırma, saklama, görüntüleme, hesaplama ve raporlama, e-posta ve bildirim gönderimi ile yedeklemeden oluşur.
3.Veri kategorileri ve ilgili kişiler
İşlenen veriyi Müşteri belirler. Kullanılan uygulamalara göre bunlar şunları kapsayabilir: Müşterinin çalışanları (kimlik, iletişim, özlük, bordro, izin ve devam bilgisi), müşteri ve tedarikçi yetkilileri (kimlik, iletişim, işlem bilgisi), ziyaretçiler ve Müşterinin kullanıcıları.
Müşteri, sağlık raporu gibi özel nitelikli kişisel veri girerse bunun hukuki dayanağını sağlamaktan sorumludur. Hizmet bu tür alanlar için yetki ve maskeleme araçları sunar.
4.Talimat
Sağlayıcı kişisel verileri yalnız Müşterinin belgelenmiş talimatına göre işler. Bu talimat Abonelik Sözleşmesi, Müşterinin Hizmet içindeki ayarları ve yazılı talepleridir. Sağlayıcı, bir talimatın mevzuata aykırı olduğunu düşünürse Müşteriye bildirir.
5.Gizlilik ve destek erişimi
Kişisel verilere erişen Sağlayıcı personeli gizlilik yükümlülüğü altındadır. Destek ekibi Müşterinin hesabına yalnız destek gerektiğinde, süreli ve gerekçeli bir oturumla erişir. Her oturum kim, kimin adına, hangi gerekçeyle ve ne kadar süre bilgisiyle kayıt altına alınır; Müşteri istediğinde kendisine sunulur.
6.Güvenlik tedbirleri
Sağlayıcı, Kanun'un 12. maddesi uyarınca gerekli teknik ve idari tedbirleri alır. Bunlar en azından şunlardır:
- Bütün bağlantılarda şifreleme (TLS).
- Firmalar arası ayrımın veritabanında satır düzeyi güvenlikle sağlanması.
- Rol ve seviyeye dayalı yetki; hassas alanların yetkisiz kullanıcıya maskeli gösterilmesi.
- Her kaydın değişiklik geçmişinin tutulması; kayıtların fiziksel olarak silinmeyip pasife alınması.
- Görevler ayrılığı kuralları (örneğin faturayı giren kişinin onaylayamaması).
- Şifrelerin kimlik doğrulama hizmetinde tutulması; kart bilgisinin sunuculara hiç gelmemesi.
- İstek hız sınırı, oturum zaman aşımı ve yönetilen veritabanının otomatik yedekleri.
7.Alt işleyenler
Müşteri, Alt İşleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel olarak izin verir. Sağlayıcı yeni bir alt işleyeni kullanmaya başlamadan en az 30 gün önce Müşteriye bildirir. Müşteri haklı bir sebeple itiraz edebilir; uzlaşılamazsa sözleşmeyi feshedebilir.
Sağlayıcı, alt işleyenlere bu sözleşmedekilerle aynı düzeyde veri koruma yükümlülükleri yükler ve onların yükümlülüklerinden Müşteriye karşı sorumlu kalır.
8.Yurt dışına aktarım
Alt işleyenlerin bir kısmı yurt dışındadır. Aktarım, Kanun'un 9. maddesindeki uygun güvencelerle (Kurul'un belirlediği standart sözleşme ve Kurul'a bildirimi) yapılır.
9.İlgili kişi başvuruları
Sağlayıcıya doğrudan gelen bir ilgili kişi başvurusu gecikmeden Müşteriye iletilir. Müşteri başvuruları Hizmetteki görüntüleme, düzeltme ve dışa aktarma araçlarıyla yanıtlar; gerekirse Sağlayıcı makul ölçüde yardım eder.
10.Veri ihlali bildirimi
Sağlayıcı, Müşteri verisini etkileyen bir güvenlik ihlalini fark ettiğinde gecikmeden ve en geç 24 saat içinde Müşteriye bildirir. Bildirim; ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan tedbirleri, o an bilindiği kadarıyla içerir. Müşterinin Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesi için Sağlayıcı gerekli bilgiyi sağlar.
11.Denetim
Müşteri, bu sözleşmeye uyumu doğrulamak için yazılı bilgi ve belge isteyebilir. Bu yeterli olmazsa, makul bir süre önceden bildirmek, yılda bir kez ile sınırlı kalmak, gizliliğe uymak ve giderleri kendisi karşılamak şartıyla denetim yapabilir ya da bağımsız bir denetçiye yaptırabilir.
12.Sözleşme sona erdiğinde
Sözleşme sona erdiğinde Müşteri 30 gün boyunca verisini dışa aktarabilir. Bu süreden sonra Sağlayıcı kişisel verileri en geç 90 gün içinde siler ya da anonim hâle getirir; yasal saklama yükümlülüğü olan kayıtlar bunun dışındadır.
13.Sorumluluk
Bu sözleşmeden doğan sorumluluk, Abonelik Sözleşmesindeki sınırlara tabidir.