Veri İşleme Sözleşmesi (AVV)

(1) Sözleşmenin konusu, kullanım sözleşmesi uyarınca FibreAct platformunun hizmet olarak yazılım şeklinde sağlanması, özellikle İş Veren ve kullanıcılarının girdiği verilerin saklanması, sunulması ve iletilmesi, mobil uygulamaların ve iletişim formlu firma web sitesinin işletilmesi ile teknik destek ve bakımdır.

(2) İşlemenin niteliği ve amacı, kişisel veri türleri ve ilgili kişi kategorileri Ek 1’de belirtilmiştir.

(3) İşbu sözleşmenin süresi kullanım sözleşmesinin süresine bağlıdır. Yüklenici İş Verenin kişisel verilerini işlediği sürece bu sözleşmeden doğan yükümlülükler devam eder.

(1) Yüklenici, tabi olduğu Birlik veya üye devlet hukuku uyarınca başka bir işleme yapmakla yükümlü olmadıkça kişisel verileri – kişisel verilerin üçüncü bir ülkeye veya uluslararası kuruluşa aktarımı dahil – yalnızca İş Verenin belgelenmiş talimatı üzerine işler; böyle bir durumda, ilgili hukuk önemli bir kamu yararı gerekçesiyle bu bildirimi yasaklamadıkça, işlemeden önce İş Vereni bu yasal gereklilik hakkında bilgilendirir.

(2) İş Verenin talimatları kullanım sözleşmesinden, işbu sözleşmeden ve İş Verenin platformda yaptığı ayarlardan doğar. İş Veren başka talimatları datenschutz@fibreact.com adresine metin şeklinde verir. Yüklenici, kararlaştırılan hizmet kapsamını aşan talimatları bir ücret anlaşmasına bağlayabilir veya reddedebilir; reddetmesi halinde İş Veren kullanım sözleşmesini olağanüstü feshedebilir.

(3) Yüklenici bir talimatın veri koruma mevzuatına aykırı olduğu görüşündeyse İş Vereni gecikmeksizin bilgilendirir. Talimatın uygulanmasını İş Veren tarafından teyit edilene veya değiştirilene kadar askıya alabilir.

(1) Yüklenici, verileri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını veya uygun bir yasal sır saklama yükümlülüğüne tabi olmasını sağlar.

(2) Yüklenici Ek 2’de açıklanan GVKT Madde 32 uyarınca teknik ve idari tedbirleri alır. Koruma düzeyi düşürülmemek kaydıyla bunları teknik gelişmelere uyarlayabilir.

(3) Yüklenici, işlemenin niteliğini dikkate alarak, ilgili kişilerin GVKT III. Bölüm kapsamındaki haklarını kullanma taleplerinin yanıtlanmasında uygun teknik ve idari tedbirlerle mümkün olduğu ölçüde İş Verene destek olur.

(4) Yüklenici, işlemenin niteliğini ve elindeki bilgileri dikkate alarak GVKT Madde 32 ila 36 kapsamındaki yükümlülüklerin yerine getirilmesinde İş Verene destek olur.

(5) Yüklenici bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin, en geç 48 saat içinde İş Verene bildirir. Bildirim, mevcut olduğu ölçüde GVKT Madde 33 (3) kapsamındaki bilgileri içerir; henüz mevcut olmayan bilgiler gecikmeksizin iletilir.

(6) Yüklenici İş Veren adına yürütülen tüm işleme faaliyeti kategorilerinin GVKT Madde 30 (2) uyarınca kaydını tutar.

(7) Yüklenicinin veri koruma irtibat kişisine datenschutz@fibreact.com adresinden ulaşılabilir.

(1) Ek 3’te belirtilen alt veri işleyenler saklı kalmak üzere veriler Federal Almanya Cumhuriyeti’ndeki sunucularda saklanır.

(2) Yüklenicinin merkezi Türkiye’dedir. Türkiye için Avrupa Komisyonu’nun yeterlilik kararı bulunmamaktadır. Yüklenicinin çalışanlarının yönetim, bakım ve destek amacıyla verilere Türkiye’den erişmesi üçüncü ülkeye aktarım teşkil eder.

(3) Bu aktarımlar için taraflar, Komisyon’un 4 Haziran 2021 tarihli (AB) 2021/914 sayılı Uygulama Kararı uyarınca kişisel verilerin üçüncü ülkelere aktarımına ilişkin standart sözleşme hükümlerinin Modül 2’sini (veri sorumlusundan veri işleyene aktarım) işbu sözleşmeyle kabul eder; hükümler https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj adresinde yayınlanmıştır ("Standart Sözleşme Hükümleri"). Hükümler atıf yoluyla ve değiştirilmeksizin sözleşmenin parçası olur. Şu kurallar uygulanır:

• Ek I.A: Veri ihracatçısı, müşteri hesabında kayıtlı bilgileriyle (ad, adres, irtibat kişisi, iletişim bilgileri) İş Verendir; rolü: veri sorumlusu. Veri ithalatçısı Yüklenicidir; irtibat kişisi: şirket yönetimi, datenschutz@fibreact.com; rolü: veri işleyen. Aktarımla ilgili faaliyet: FibreAct platformunun sağlanması. İşbu sözleşmenin elektronik olarak kabulü imza ve tarihin yerine geçer; sözleşmenin kurulduğu an esastır.
• Ek I.B işbu sözleşmenin Ek 1’i, Ek II Ek 2’si ve Ek III Ek 3’ü ile doldurulur.
• Madde 7 (katılım hükmü) uygulanmaz.
• Madde 9: Seçenek 2 (genel yazılı izin) uygulanır; değişiklikler hakkında önceden bilgilendirme süresi dört haftadır. İşbu sözleşmenin § 5’i ayrıca uygulanır.
• Madde 11: İsteğe bağlı düzenleme uygulanmaz.
• Madde 13 ve Ek I.C: Veri ihracatçısı bir AB üye devletinde yerleşikse, ondan sorumlu denetim makamı yetkilidir. Veri ihracatçısı Avrupa Birliği’nde yerleşik değil ancak GVKT Madde 3 (2) uyarınca Tüzüğün kapsamındaysa ve GVKT Madde 27 (1) uyarınca temsilci atamışsa, temsilcinin yerleşik olduğu üye devletin denetim makamı; temsilci atamamışsa, verileri aktarılan ilgili kişilerin bulunduğu üye devletin denetim makamı yetkilidir.
• Madde 17: Seçenek 1 uygulanır; Federal Almanya Cumhuriyeti hukuku geçerlidir.
• Madde 18: Federal Almanya Cumhuriyeti mahkemeleri yetkilidir.

(4) İşbu sözleşme ile Standart Sözleşme Hükümleri arasında çelişki olması halinde Standart Sözleşme Hükümleri önceliklidir.

(5) Taraflar Madde 14 uyarınca, üçüncü ülkede geçerli mevzuat ve uygulamaların veri ithalatçısının Standart Sözleşme Hükümlerinden doğan yükümlülüklerini yerine getirmesine engel olduğuna inanmak için bir sebepleri olmadığını taahhüt eder. Yüklenici değerlendirmesini belgelemiştir; bu belgeleri ve İş Verenin kendi değerlendirmesi için gerekli tüm bilgileri talep üzerine sunar. Ayrıca: Ek 3 saklı kalmak üzere veriler yalnızca Almanya’da saklanır ve kalıcı olarak Türkiye’ye kopyalanmaz; Türkiye’den erişim yalnızca işletim, bakım veya destek için gerektiğinde, şifreli bağlantılar üzerinden ve yetkili çalışanlarca yapılır ve sunuculara oturum açmalar kayıt altına alınır. Yüklenici kamu makamlarının veri açıklama taleplerini hukuka uygunluk bakımından inceler, dikkatli bir değerlendirme sonucunda yeterli gerekçe bulunması halinde Madde 15.2 uyarınca bunlara itiraz eder, yalnızca asgari gerekli verileri açıklar ve izin verildiği ölçüde Madde 15.1 uyarınca İş Vereni bilgilendirir.

(1) İş Veren başka veri işleyenlerin ("Alt Veri İşleyenler") görevlendirilmesi için genel izin verir. Sözleşmenin kurulduğu anda görevli Alt Veri İşleyenler Ek 3’te listelenmiştir ve onaylanmış sayılır.

(2) Yüklenici bir Alt Veri İşleyeni görevlendirmeden veya değiştirmeden en az dört hafta önce İş Vereni metin şeklinde, örneğin e-postayla veya müşteri hesabındaki bir bildirimle bilgilendirir. İş Veren bu süre içinde nesnel bir veri koruma gerekçesiyle değişikliğe metin şeklinde itiraz edebilir. Taraflar anlaşamazsa, her iki taraf da etkilenen hizmeti veya bu hizmet ayrılamıyorsa kullanım sözleşmesini değişikliğin yürürlüğe girdiği tarih itibarıyla feshedebilir.

(3) Yüklenici her Alt Veri İşleyene, özellikle uygun teknik ve idari tedbirler için yeterli güvence sağlanması dahil, işbu sözleşmede ve Standart Sözleşme Hükümlerinde belirlenen veri koruma yükümlülüklerinin aynısını sözleşmeyle yükler. Bir Alt Veri İşleyen veri koruma yükümlülüklerini yerine getirmezse Yüklenici bunların yerine getirilmesinden İş Verene karşı sorumlu kalır (GVKT Madde 28 (4) ikinci cümle, Standart Sözleşme Hükümleri Madde 9 (d)). Üçüncü bir ülkeye sonraki aktarım yalnızca Standart Sözleşme Hükümleri Madde 8.7’deki koşullarla yapılır.

(4) Yüklenicinin yan hizmet olarak kullandığı telekomünikasyon ve taşıma hizmetleri gibi hizmetler ile İş Verenin üçüncü kişilerle kendisinin kararlaştırdığı hizmetler alt veri işleme sayılmaz. Paddle.com Market Limited ödeme işlemleri için bağımsız veri sorumlusu olarak hareket eder.

(1) Yüklenici, GVKT Madde 28 ve işbu sözleşmede belirlenen yükümlülüklere uyulduğunu göstermek için gerekli tüm bilgileri İş Verene sunar.

(2) İş Veren denetimleri ve yerinde incelemeleri kendisi veya görevlendirdiği, sır saklama yükümlülüğü altındaki ve Yüklenicinin rakibi olmayan bir denetçi aracılığıyla yapabilir. İş Veren denetime karar verirken Yüklenicinin sunduğu, bağımsız kuruluşların denetim raporları gibi uygun kanıtları dikkate alabilir. Denetimler makul bir süre, kural olarak 30 gün önceden bildirilir; ihlale dair somut belirti varsa süre makul ölçüde kısaltılabilir. Denetimler olağan çalışma saatlerinde yapılır ve diğer müşterilerin verilerinin korunmasını etkilememelidir.

(3) Her taraf denetimlerden kaynaklanan kendi masraflarını üstlenir.

Bir ilgili kişi doğrudan Yükleniciye başvurursa, başvuru İş Verene ilişkilendirilebildiği ölçüde Yüklenici kişiyi İş Verene yönlendirir ve talebi gecikmeksizin İş Verene iletir. Yüklenici, İş Veren talimat vermedikçe talebi kendisi yanıtlamaz. Platform verilere erişim, verilerin düzeltilmesi ve silinmesi için işlevler sunar.

(1) İş Veren sözleşme süresince verilerini platformun dışa aktarma işlevleriyle alabilir ve silebilir.

(2) Kullanım sözleşmesi sona erdikten sonra Yüklenici, Birlik veya üye devlet hukuku saklamayı gerektirmedikçe İş Verenin kişisel verilerini 90 gün içinde siler. İş Veren sözleşme sona ermeden önce dışa aktarma işlevleriyle alınamayan verilerin iadesini talep ederse Yüklenici bunları yaygın, makinece okunabilir bir formatta sunar. Silinene kadar verilere erişim iade amacıyla sınırlıdır. Yedekler, üretim sistemindeki silmeden en geç 14 gün sonra üzerine yazılır.

(3) Yüklenici silme işlemini metin şeklinde teyit eder.

(1) İlgili kişilere karşı sorumluluk GVKT Madde 82’ye tabidir. Taraflar arasında kullanım sözleşmesinin sorumluluk hükümleri uygulanır; bu hükümler Standart Sözleşme Hükümleri Madde 12 kapsamındaki sorumluluğa ve ilgili kişilere karşı uygulanmaz.

(2) İşbu sözleşmedeki değişiklikler Genel Şartlar ve Koşulların değişikliğe ilişkin hükümlerine tabidir; Ek 3 § 5 uyarınca değiştirilir. Standart Sözleşme Hükümleri bu yolla değiştirilemez; değişiklikler bunlarla çelişemez.

(3) Federal Almanya Cumhuriyeti hukuku uygulanır. Tek tek hükümler geçersizse diğer hükümlerin geçerliliği etkilenmez.

İlgili kişi kategorileri:

• İş Verenin çalışanları, alt yüklenicileri ve diğer kullanıcıları, özellikle montajcılar, şantiye şefleri ve planlamacılar,
• İş Verenin müşterilerinin ve iş ortaklarının irtibat kişileri,
• verileri kaydedildiği ölçüde çalışma yerlerindeki abone, mülk sahibi ve sakinler,
• fotoğraflarda veya belgelerde tanınabilen kişiler,
• firma web sitesinde iletişim formunu kullanan ziyaretçiler.

Kişisel veri türleri:

• kullanıcı ana verileri: ad, e-posta adresi, telefon numarası, rol, firma bağlantısı,
• erişim ve kayıt verileri: oturum açma zamanları, cihaz bilgileri, uygulama sürümü, push token,
• iş ve kurulum verileri: çalışma yeri adresleri, randevular, durum, ölçüm değerleri, form içerikleri, imzalar, notlar,
• fotoğraflar ve belgeler,
• uygulama kullanılırken mobil cihazların konum verileri; arka planda yalnızca İş Veren bunu etkinleştirdiyse ve ilgili kişi cihazda izin verdiyse,
• platform içindeki mesajlar gibi iletişim içerikleri,
• iletişim formu talepleri: ad, e-posta adresi, varsa telefon numarası ve firma, mesaj, IP adresinin geri döndürülemez bir özet (hash) değeri.

Özel nitelikli kişisel veriler (GVKT Madde 9) işlemenin konusu değildir. İş Veren bu tür verilerin girilmemesini sağlar.

İşlemenin niteliği ve amacı: platform işlevleri kapsamında saklama, düzenleme, değerlendirme, sunma ve iletme; özellikle iş yönetimi, mobil dokümantasyon, raporlama, çalışma yeri adreslerinin koordinata dönüştürülmesi, bildirim gönderimi, web sitesi içeriklerinin çevirisi, firma web sitesinin sunulması ve iletişim taleplerinin iletilmesi ile destek, bakım ve güvenlik.

Türkiye’ye aktarımın amacı: yönetim, bakım ve destek için gerektiğinde uzaktan erişim.

Aktarım sıklığı: sözleşme süresince gerektiğinde; sunuculardaki işleme süreklidir.

Saklama süresi: sözleşme süresi ve ardından § 8 uyarınca; iletişim formu talepleri İş Verenin belirlediği süre (30 ila 730 gün, varsayılan 180 gün) dolunca otomatik olarak silinir.

Alt veri işleyenlere aktarımlar: Ek 3’e bakınız (konu, nitelik ve süre orada belirtilen hizmetlere ve sözleşme süresine karşılık gelir).

Gizlilik (fiziksel erişim, sisteme erişim, veriye erişim ve ayrım kontrolü):

• sunucuların Almanya’da, fiziksel erişimi veri merkezi işletmecisi tarafından kontrol edilen bir veri merkezinde işletilmesi,
• sunuculara yönetici erişiminin yalnızca şifreli bağlantılar üzerinden yapılması; güvenlik duvarı; tekrarlanan başarısız oturum açma denemelerinde göndericinin otomatik engellenmesi; oturum açmaların kayıt altına alınması,
• kişisel kullanıcı hesapları; parolaların yalnızca bcrypt özet değeri olarak saklanması; oturum belirteçlerinin 24 saatle sınırlı olması; oturum açma denemelerinin sınırlandırılması,
• platform içinde rol ve yetki tabanlı yetkilendirme,
• farklı müşterilerin verilerinin mantıksal olarak ayrılması; müşteri ayrımı otomatik kod analizleriyle kontrol edilir,
• üretim verilerine yalnızca işletim, bakım veya destek için gerekli olduğu ölçüde yetkili çalışanların erişimi.

Takma adlandırma ve veri minimizasyonu:

• iletişim formu kullanıcılarının IP adresleri yalnızca gizli anahtarla oluşturulan geri döndürülemez bir özet değeri olarak saklanır,
• koordinat dönüştürme hizmetine yalnızca isim içermeyen adres bilgileri iletilir,
• firma web siteleri çerez ve izleme hizmeti kullanmaz,
• örneğin arka plan konum kaydının kapalı olması gibi gizlilik dostu varsayılan ayarlar.

Bütünlük (iletim ve giriş kontrolü):

• cihazlar ile platform arasındaki tüm bağlantıların güncel teknolojiye uygun şifrelenmesi (TLS),
• güvenlik açısından önemli ve idari işlemlerin kayıt altına alınması,
• program değişiklikleri yayına alınmadan önce test edilir.

Erişilebilirlik ve dayanıklılık:

• veritabanının 14 gün saklamayla günlük olarak yedeklenmesi,
• hata durumunda uygulama süreçlerinin otomatik yeniden başlatılması,
• gönderici başına istek sınırlamasıyla aşırı yüke karşı koruma.

Düzenli gözden geçirme usulleri:

• platformda önemli değişikliklerde tedbirlerin gözden geçirilmesi ve uyarlanması,
• Alt Veri İşleyenlerin veri koruma ölçütlerine göre seçilmesi ve sözleşmeyle bağlanması,
• verileri işlemeye yetkili kişilerin gizlilik taahhüdü.

• Contabo GmbH, Aschauer Straße 32a, 81549 Münih, Almanya – sunucuların sağlanması (uygulama, veritabanı, dosya depolama, e-posta gönderimi); işleme yeri: Almanya.
• İlgili hizmetin sözleşme tarafına göre Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, ABD veya Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda – push bildirimleri için Firebase Cloud Messaging (push token, bildirim içeriği) ve çalışma yeri adreslerinin koordinata dönüştürülmesi için Google Maps Platform (isim içermeyen adres bilgileri); ABD’de de işleme; aktarım Google’ın veri işleme koşullarında yer alan Avrupa Komisyonu standart sözleşme hükümleri temelinde yapılır.
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, ABD – yalnızca İş Veren çeviri işlevini kullandığı ölçüde firma web sitesi metinlerinin makine çevirisi (slogan, açıklama, hizmetler, referanslar ve görsel açıklamaları gibi web sitesi metinleri); aktarım Avrupa Komisyonu’nun standart sözleşme hükümleri (Modül 3, veri işleyenden veri işleyene) temelinde yapılır; veriler yapay zekâ modellerinin eğitiminde kullanılmaz.