Veri işleme eki

Bu veri işleme eki (“Ek”), Continuumship (“biz”, “Veri İşleyen”) ile Müşteri (“siz”, “Veri Sorumlusu”) arasındaki kullanım koşullarının parçasıdır. Müşteri İçeriğindeki kişisel verileri sizin adınıza işlediğimiz her durumda (“Müşteri Kişisel Verileri”) uygulanır; GDPR’ın 28. maddesinin ve KVKK’ya tabi işlemeler için KVKK’nın 12. maddesinin gereklerini karşılar. Veri koruma konusunda bu Ek, Koşulların geri kalanına göre önceliklidir.

GDPR’da tanımlanan kavramlar — veri sorumlusu, veri işleyen, kişisel veri ihlali ve ilgili kişi gibi — burada aynı anlamda kullanılır.

Müşteri Kişisel Verilerini, aktarımlar dâhil olmak üzere yalnızca belgelenmiş talimatlarınız — Koşullar, bu Ek ve Hizmeti kullanma ve yapılandırma şekliniz — doğrultusunda işleriz; kanun aksini gerektiriyorsa, kanunun izin verdiği ölçüde önce size bildiririz. Bir talimatın veri koruma mevzuatını ihlal ettiğini düşünürsek derhâl size bildiririz.

Müşteri Kişisel Verilerine yalnızca Hizmeti sunmak için erişmesi gereken kişiler, sır saklama yükümlülüğü altında ulaşabilir; erişim kişi bazında verilir, kaydedilir ve artık gerekmediğinde kaldırılır.

GDPR’ın 32. maddesi ve KVKK’nın 12. maddesi uyarınca aşağıdaki teknik ve idari tedbirleri uygular ve teknolojinin gerektirdiği şekilde güncel tutarız:

• Ayrım — her çalışma alanı veritabanında satır düzeyinde güvenlikle ayrılır ve bu ayrım her değişiklikte testlerle kanıtlanır.
• Şifreleme — tüm trafik için TLS; depolanan veriler barındırma sağlayıcılarımız tarafından şifrelenir; iki adımlı doğrulama anahtarları gibi sırlar uygulamada şifrelenir.
• Ağ — veritabanının herkese açık bir adresi yoktur ve yalnızca şifreli bağlantılarla özel ağ üzerinden erişilir; uzaktan yönetim, paylaşılan anahtar olmaksızın kimlik farkındalıklı bir vekil sunucu üzerinden yapılır.
• Erişim kontrolü — en az yetki ilkesine göre veritabanı rolleri; kişiye özel ve kayıt altındaki yönetici erişimi; Kullanıcılar için tek oturum açma, SCIM, geçiş anahtarları ve iki adımlı doğrulama.
• Kimlik bilgileri — API belirteçleri yalnızca özet olarak saklanır ve tek bir çalışma alanıyla sınırlıdır; çalıştırma kimlik bilgileri kısa ömürlüdür; kimlik bilgileri günlüklere, denetim olaylarına veya dışa aktarımlara asla yazılmaz.
• Hesap verebilirlik — yalnızca eklemeye açık, hash zinciriyle bağlı denetim günlüğü; her tablo ve sütun sınıflandırılır ve sınıflandırma her değişiklikte veritabanı şemasıyla karşılaştırılır.
• Dosyalar — yalnızca süresi dolan bağlantılarla erişilen özel nesne depolaması; yüklenen derlemeler açılmadan önce taranır ve ayrı bir kaynaktan sunulur.
• Dayanıklılık — düzenli yedekler ve sınanmış geri yükleme; erişilebilirlik ve hataların izlenmesi.
• Geliştirme — her sürümden önce kod incelemesi, otomatik testler ve statik analiz; bağımlılıkların güncel tutulması.
• Olaylar — belgelenmiş bir müdahale prosedürü ve aşağıdaki bildirim taahhüdü.

Alt işleyen görevlendirmemize genel olarak izin verirsiniz. Güncel liste aşağıda ve alt işleyenler sayfasında yer alır:

Yeni bir alt işleyen Müşteri Kişisel Verilerini işlemeye başlamadan en az 30 gün önce ücretli çalışma alanlarının sahiplerine bildiririz. Bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilirsiniz; bu durumda bir çözüm bulmaya çalışırız, bulunamazsa Hizmetin etkilenen kısmını sona erdirebilir ve onun için peşin ödenen ücretlerin iadesini alabilirsiniz. Her alt işleyeni bu Ek’ten daha az koruyucu olmayan yükümlülüklerle bağlar ve onun performansından sorumlu kalırız.

İşlemenin niteliğini dikkate alarak, ilgili kişilerin taleplerini yanıtlamanıza — bunların çoğunu Hizmet yöneticilerinizin doğrudan yapmasına imkân verir — ve güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön danışma yükümlülüklerinizi yerine getirmenize yardım ederiz. Müşteri Kişisel Verileriyle ilgili doğrudan bize gelen bir talebi, siz istemedikçe kendimiz yanıtlamadan size iletiriz.

Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalini, GDPR’ın 33. maddesindeki ve Kişisel Verileri Koruma Kurulu’nun veri ihlali bildirimine ilişkin kararındaki 72 saatlik sürelere uyabilmeniz için, gecikmeksizin ve her durumda öğrendiğimiz andan itibaren en geç 48 saat içinde size bildiririz. Bildirim, bilindiği ölçüde ne olduğunu, etkilenen ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını, aldığımız ve almayı önerdiğimiz tedbirleri içerir. Yeni bilgiler ortaya çıktıkça bildirimi tamamlarız.

Müşteri Kişisel Verilerini Avrupa Birliği’nde saklarız. Bir alt işleyen bunları yeterlilik kararı bulunmayan bir ülkede işlediğinde aktarım, Avrupa Komisyonu’nun Standart Sözleşme Maddeleri (Modül Üç, veri işleyenden veri işleyene) veya ABD’de sertifikalı bir sağlayıcı için AB–ABD Veri Gizliliği Çerçevesi kapsamındadır.

Müşteri Kişisel Verilerini AEA dışından bize aktardığınızda, sizin veri ihracatçısı, bizim veri ithalatçısı olduğumuz, isteğe bağlı maddelerin hariç tutulduğu ve kuruluş yerinizin denetim otoritesi ile mahkemelerinin uygulandığı Standart Sözleşme Maddeleri (Modül İki, veri sorumlusundan veri işleyene) atıf yoluyla bu Ek’e dâhildir. Türkiye’den yapılan aktarımlar için taraflar, Kişisel Verileri Koruma Kurulu’nun veri sorumlusundan veri işleyene aktarım için ilan ettiği standart sözleşmeyi kullanır ve yönetmeliğin belirlediği taraf, sözleşmeyi kanunda öngörülen süre içinde Kurul’a bildirir.

Güvenlik inceleme paketi dâhil, bu Ek’e uyumu göstermek için gereken bilgileri sağlarız. Bu bilgiler yeterli değilse veya bir denetim otoritesi gerektiriyorsa, uyumumuzu yılda bir kez, en az 30 gün önceden bildirerek, mesai saatleri içinde, gizlilik yükümlülüğüyle bağlı bir denetçi aracılığıyla ve denetim tarafımızca esaslı bir ihlal ortaya koymadıkça masrafı size ait olmak üzere denetleyebilirsiniz.

Süre boyunca yöneticileriniz Müşteri İçeriğini istedikleri zaman dışa aktarabilir. Koşullar sona erdiğinde dışa aktarmak için 30 gününüz vardır; ardından Müşteri Kişisel Verilerini, kanunen saklamamız gerekmedikçe 30 gün içinde sileriz; saklamamız gerekiyorsa verileri gizli tutar ve yalnızca bu amaçla işleriz. Silinen veriler, yedeklerimizden olağan döngüleri içinde süreleri doldukça çıkar. Talep üzerine silme işlemini yazılı olarak teyit ederiz.

Tarafların bu Ek kapsamındaki sorumluluğu, veri koruma mevzuatının izin vermediği hâller dışında Koşullardaki sınırlamalara tabidir.

Bu Ek’le ilgili her konuda hello@continuumship.com adresine yazın. Satın alma süreciniz karşı imzalı bir nüsha gerektiriyorsa hello@continuumship.com adresine yazın.