Veri İşleme Sözleşmesi

İçindekiler

1. 1. Kapsam, roller ve tanımlar
2. 2. İşlemenin ayrıntıları
3. 3. Müşterinin talimatları
4. 4. Yetkili kişilerin gizlilik yükümlülüğü
5. 5. Güvenlik tedbirleri
6. 6. Alt Veri İşleyenler
7. 7. Verilerin konumu ve uluslararası aktarımlar
8. 8. İlgili Kişi taleplerine yardım
9. 9. Kişisel Veri İhlali bildirimi
10. 10. Etki değerlendirmeleri ve düzenleyici kurumlarla istişare
11. 11. Bilgi ve denetimler
12. 12. Verilerin iadesi ve silinmesi
13. 13. Kamu kurumlarının talepleri
14. 14. Sorumluluk
15. 15. Süre ve öncelik sırası
16. 16. Veri koruma iletişim noktası ve işleme faaliyetleri kaydı
17. Ek 1: İşlemenin ayrıntıları
18. Ek 2: Teknik ve idari tedbirler
19. Ek 3: Alt Veri İşleyenler

Sürüm: 1.2 · Yayımlanma: 16 Ekim 2026 · Yürürlük: yeni Çalışma Alanları için kabul anında; daha önceki bir Sürümü kabul eden Çalışma Alanları için, STAK’ın Müşteri Hizmet Şartlarının 20 numaralı maddesi uyarınca bildiriminde verdiği tarihte · Geçerli metin: İngilizce (Müşteri Hizmet Şartlarının 23.9 numaralı maddesi)

Düzenleyen: Delaware Eyaleti, Amerika Birleşik Devletleri’nde kurulmuş bir limited şirket olan STAK Global, LLC (dosya numarası 10798493), STAK (ستاك) ve Hizmetlerin sahibidir. İletişim: [email protected].

1. Kapsam, roller ve tanımlar

1.1 Bu Veri İşleme Sözleşmesi, STAK Müşteri Hizmet Şartlarının (“Şartlar”) 3.1 numaralı maddesi uyarınca Sözleşmenin ayrılmaz bir parçasıdır. STAK’ın Müşteri Kişisel Verilerini İşlemesini düzenler. Şartlarda tanımlanan ifadeler bu Veri İşleme Sözleşmesinde aynı anlama sahiptir.

1.2 Müşteri, Müşteri Kişisel Verilerinin Veri Sorumlusudur ve STAK bunları Müşteri adına ve Müşterinin talimatlarıyla işleyen bir Veri İşleyendir.

• Veri Sorumlusu ve Veri İşleyen, Uygulanabilir Veri Koruma Mevzuatı kapsamındaki karşılıklarını (Suudi Arabistan Krallığı’ndaki kontrol eden kuruluş ve işleyen kuruluş gibi) ifade eder.
• Müşteri verileri başka bir veri sorumlusu adına veri işleyen olarak işliyorsa STAK bunları Müşteri adına hareket eden bir veri işleyen olarak işler ve 1.3 numaralı madde anlamında bir Alt Veri İşleyen değildir. Müşteri, talimatlarının o veri sorumlusunun talimatlarıyla uyumlu olmasını sağlar.
• STAK, Hesap Verilerini Gizlilik Politikasında açıklandığı şekilde Veri Sorumlusu olarak işler ve bu Veri İşleme Sözleşmesi bunlara uygulanmaz. Ne bu atıf ne de Ek 3’teki atıf, Şartların 3.2 numaralı maddesi kapsamında sözleşmesel yükümlülük doğurmaz.

1.3 Aşağıdaki ifadeler, her birinin yanında verilen anlamlara sahiptir:

• Müşteri Kişisel Verileri: Müşteri Verileri içinde yer alan Kişisel Veriler; Hesap Verileri dışında, Müşterinin Son Müşterilerine, çalışanlarına, tedarikçilerine ve Kullanıcılarına ilişkin veriler dahil.
• Özel Nitelikli Kişisel Veriler: sağlık ve klinik verileri ile Uygulanabilir Veri Koruma Mevzuatının özel nitelikli olarak sınıflandırdığı her türlü veri.
• İşleme: Kişisel Veriler üzerinde gerçekleştirilen, toplama, kaydetme, saklama, geri getirme, kullanma, ifşa etme, aktarma ve silme gibi her türlü işlem.
• Alt Veri İşleyen: STAK’ın Hizmetleri sağlamak amacıyla Müşteri Kişisel Verilerini İşlemek üzere görevlendirdiği her türlü taraf.
• İlgili Kişi: Kişisel Verilerin ilişkin olduğu gerçek kişi.
• Güvenlik Olayı: Hizmetlerin gizliliğini, bütünlüğünü veya erişilebilirliğini tehdit eden ya da tehdit ettiğinden şüphelenilen her olay.
• Kişisel Veri İhlali: Müşteri Kişisel Verilerinin kazara veya hukuka aykırı olarak imha edilmesine, kaybına, değiştirilmesine ya da yetkisiz ifşasına veya bunlara yetkisiz erişime yol açan her türlü güvenlik ihlali.
• Yedek: Müşteri Verilerinin kurtarma amacıyla alınmış her kopyası, 12.3 numaralı madde ve Ek 2 uyarınca.
• Üretim Ortamı: Hizmetlerin üzerinde çalıştığı ve Müşterinin kullandığı sistemler ve veritabanları; Yedekler hariç.
• Uygulanabilir Veri Koruma Mevzuatı: İşlemeye uygulanan, her biri uygulandığı şekliyle, aşağıdakiler dahil kişisel verilerin korunması mevzuatı:
  • Kuveyt Devleti’nde: Elektronik İşlemlere İlişkin 2014 tarihli ve 20 sayılı Kanun ile Communication and Information Technology Regulatory Authority tarafından yayımlanan Veri Gizliliğinin Korunması Yönetmeliği, Bulut Bilişim Düzenleme Çerçevesi ve Veri Sınıflandırma Politikası, her biri kendi kapsamı dahilinde;
  • Suudi Arabistan Krallığı’nın, 9/2/1443 AH tarihli (M/19) sayılı Kraliyet Kararnamesiyle çıkarılan, değiştirilmiş haliyle Kişisel Verilerin Korunması Kanunu, Uygulama Yönetmeliği ve Krallık Dışına Kişisel Veri Aktarımı Yönetmeliği;
  • Birleşik Arap Emirlikleri’nde: Kişisel Verilerin Korunmasına İlişkin 2021 tarihli (45) sayılı Federal Kararname-Kanun, Sağlık Alanlarında Bilgi ve İletişim Teknolojisinin Kullanımına İlişkin 2019 tarihli (2) sayılı Federal Kanun ile Dubai International Financial Centre ve Abu Dhabi Global Market’in tabi olanlar bakımından veri koruma kanunları;
  • Bahreyn Krallığı’nın Kişisel Verilerin Korunması Kanununu çıkaran 2018 tarihli ve (30) sayılı Kanun;
  • Katar Devleti’nin Kişisel Veri Gizliliğinin Korunmasına İlişkin 2016 tarihli ve (13) sayılı Kanunu;
  • Umman Sultanlığı’nın (6/2022) sayılı Kraliyet Kararnamesiyle çıkarılan Kişisel Verilerin Korunması Kanunu;
  • Müşteri bakımından uygulanması halinde Avrupa Birliği Genel Veri Koruma Tüzüğü ((AB) 2016/679 sayılı Tüzük);
  • Birleşik Krallık Genel Veri Koruma Tüzüğü ve Data Protection Act 2018; İsviçre Federal Veri Koruma Kanunu; değiştirilmiş haliyle California Consumer Privacy Act ve Amerika Birleşik Devletleri’nin diğer kapsamlı eyalet gizlilik kanunları; Kanada’nın Personal Information Protection and Electronic Documents Act’i ve eyalet kanunları; Brezilya’nın Lei Geral de Proteção de Dados’u (13.709/2018 sayılı Kanun); Hindistan’ın Digital Personal Data Protection Act, 2023’ü; Türkiye’nin Kişisel Verilerin Korunması hakkındaki 6698 sayılı Kanunu; Mısır’ın 2020 tarihli ve 151 sayılı Kanunu; Güney Afrika’nın Protection of Personal Information Act, 2013’ü; Singapur’un Personal Data Protection Act 2012’si; Avustralya’nın Privacy Act 1988’i; ve İşlemeye uygulanan diğer her kişisel verilerin korunması kanunu.

2. İşlemenin ayrıntıları

Ek 1, İşlemenin konusunu, süresini, niteliğini ve amacını, İlgili Kişi kategorilerini ve Kişisel Veri kategorilerini belirler.

3. Müşterinin talimatları

3.1 STAK, Müşteri Kişisel Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler. Bu talimatlar şunlardır:

• Sözleşme;
• Çalışma Alanı ayarları;
• Kullanıcıların Hizmetler içinde gerçekleştirdiği eylemler;
• Tarafların üzerinde anlaştığı diğer her türlü yazılı talimat.

3.2 Uygulanabilir Mevzuat gerektiriyorsa STAK verileri bu talimatlar dışında işleyebilir. Kanun bildirimi yasaklamıyorsa Müşteriyi önceden bilgilendirir.

3.3 STAK, bir talimatın Uygulanabilir Veri Koruma Mevzuatını ihlal ettiğini düşünürse Müşteriyi bilgilendirir. Müşteri ihlali ortadan kaldırmak için talimatı değiştirene veya STAK’ın makul olarak kabul ettiği bir hukuki dayanak beyanıyla yazılı olarak teyit edene kadar bu talimatı yerine getirmeyi reddedebilir.

3.4 Müşteri, talimatlarının hukuka uygunluğundan ve Müşteri Kişisel Verilerini toplamak ve İşlemek için hukuka uygun bir dayanağa sahip olmaktan sorumludur. Bu, gerektiğinde İlgili Kişileri bilgilendirmeyi ve rızalarını almayı, 7 numaralı madde uyarınca verilerinin aktarılmasına ilişkin rıza dahil, içerir.

4. Yetkili kişilerin gizlilik yükümlülüğü

STAK, Müşteri Kişisel Verilerine erişimi, işleri için buna ihtiyaç duyan çalışanlar ve yüklenicilerle sınırlar ve bunları gizlilik yükümlülüğü altına alır. STAK’ın çalışanları ve yüklenicileri Müşteri Verilerine yalnızca aşağıdaki hallerde erişir ve Üretim Ortamına yönelik her erişimin başlangıcı kaydedilir:

• (a) Müşterinin talep ettiği desteği sağlamak için;
• (b) Hizmetleri işletmek ve sürdürmek ve Yedeklerden geri yüklemek için;
• (c) bir Güvenlik Olayını veya Kabul Edilebilir Kullanım Politikasının şüphelenilen bir ihlalini araştırmak için;
• (d) kanunun gerektirdiği hallerde.

5. Güvenlik tedbirleri

5.1 STAK, İşlemenin niteliğini ve risklerini dikkate alarak Müşteri Kişisel Verilerini korumak için uygun teknik ve idari tedbirler uygular. Bunlar en azından Ek 2’deki tedbirleri içerir.

5.2 STAK, genel koruma düzeyi düşmediği sürece bu tedbirleri güncelleyebilir.

5.3 Müşteri, Kullanıcıları ve izinleri yönetmek, iki adımlı oturum açmayı etkinleştirmek, cihazlarını ve ekipmanını güvence altına almak ve dışa aktardığı verileri güvende tutmak gibi kendi kontrolü altındaki güvenlik tedbirlerinden sorumludur.

6. Alt Veri İşleyenler

6.1 Müşteri, STAK’ın Ek 3’te listelenen Alt Veri İşleyenleri görevlendirmesine yetki verir.

6.2 STAK, her Alt Veri İşleyen ile yazılı bir sözleşme akdetmelidir. Sözleşme, İşlemeye uygun bir koruma düzeyi sağlayan ve bu Veri İşleme Sözleşmesine esas itibarıyla eşdeğer veri koruma yükümlülükleri getirmelidir. STAK, Alt Veri İşleyenlerinin yükümlülüklerinin ifasından Müşteriye karşı sorumlu kalır.

6.3 STAK, yeni bir Alt Veri İşleyenin Müşteri Kişisel Verilerini İşlemeye başlamasından en az 30 gün önce Hizmetler içinde veya e-posta ile Müşteriyi bilgilendirir.

6.4 Bildirim süresi boyunca Müşteri, makul veri koruma gerekçeleriyle yeni Alt Veri İşleyene yazılı olarak itiraz edebilir. Taraflar bir çözüm üzerinde anlaşamazsa Müşteri, İşleme başlamadan önce etkilenen aboneliği veya Sözleşmeyi feshedebilir ve kalan dönem için peşin ödenen Ücretlerin iadesini alabilir.

6.5 Müşterinin kendi hesapları aracılığıyla bağladığı Bağlı Sağlayıcılar, STAK’ın Alt Veri İşleyenleri değildir. Bunlar arasında Ödeme Hizmeti Sağlayıcıları, Müşterinin kendi WhatsApp Business hesabı bakımından Meta ve teslimat platformları bulunur. Müşterinin talimatı üzerine bunlara veri gönderilmesi, Müşterinin yönlendirmesiyle ve Müşteri adına yapılan bir aktarımdır.

6.6 Veriler Yapay Zekâ Özelliklerinin sağlayıcısına yalnızca bir Kullanıcı bu özelliklerden birini talep ettiğinde, bir Kullanıcı bunlardan birinin okuması için bir fiş gibi bir belge yüklediğinde veya bir Kullanıcının kurduğu bir otomasyon yapay zekâ kullanan bir adım çalıştırdığında gönderilir ve yalnızca o isteği veya adımı yerine getirmek için gereken veriler gönderilir. Sağlayıcı bunları modellerini eğitmek için kullanamaz. Özel Nitelikli Kişisel Veriler sağlayıcıya yalnızca isteğin veya adımın kendisi bunları içeriyorsa gönderilir.

7. Verilerin konumu ve uluslararası aktarımlar

7.1 Hizmetler, Federal Almanya Cumhuriyeti’nde, Frankfurt bölgesindeki Amazon Web Services Üretim Ortamında barındırılır ve Müşteri Kişisel Verileri öncelikle orada saklanır. Yedekler aynı bölgede tutulur ve bunların kopyaları İrlanda Cumhuriyeti’ndeki ayrı bir Amazon Web Services bölgesine yapılır.

7.2 Müşteri aşağıdakileri kabul eder ve bunlardan kaynaklanan aktarımlara açıkça yetki verir:

• (a) barındırma, Müşterinin yerleşik olduğu veya ticari faaliyet yürüttüğü ülkenin dışında olabilecek Avrupa Birliği’nde gerçekleşir;
• (b) Cloudflare, ağ trafiğini her zaman küresel ağı üzerinden işler;
• (c) Ek 3’te listelenen diğer Alt Veri İşleyenler, verileri yalnızca ilgili hizmet kullanıldığında Amerika Birleşik Devletleri dahil diğer ülkelerde işler;
• (d) STAK çalışanları verilere Kuveyt Devleti’nden, yalnızca 4 numaralı maddede belirtilen durumlarda erişebilir.

7.3 Müşteri Kişisel Verilerinin toplandığı ülkenin dışına aktarılması halinde STAK aşağıdaki güvenceleri uygular:

• (a) 6.2 numaralı maddede atıf yapılan sözleşmeler ve STAK’ın Avrupa Birliği dışındaki Alt Veri İşleyenlerle akdettiği standart sözleşme hükümleri;
• (b) iletim sırasında ve depolanırken şifreleme;
• (c) Uygulanabilir Veri Koruma Mevzuatının gerektirdiği hallerde, bu mevzuat tarafından tanınan aktarım mekanizmaları, 7.6 numaralı maddedekiler dahil.

7.4 Müşteri, ülkesinin hukukunun Müşteri Kişisel Verilerinin o ülkenin dışına aktarılması için gerektirdiği her türlü rızayı veya izni, ister bir düzenleyici kurumdan ister İlgili Kişilerden olsun, almalıdır. STAK, bunun için gereken bilgileri talep üzerine sağlar.

7.5 STAK, Müşteriyi en az 30 gün önceden bilgilendirdikten sonra birincil barındırmayı veya Yedekleri başka bir bölgeye taşıyabilir ve Müşteri 6.4 numaralı madde uyarınca itiraz edebilir; bu madde uyarınca yapılacak fesih taşıma tarihinden önce yürürlüğe girer. Birincil barındırma bölgesinin kaybedilmesinden sonra Hizmetlerin geçici olarak İrlanda Cumhuriyeti’ndeki Yedeklerden çalıştırılması bu madde kapsamında bir taşıma değildir ve STAK bunu Müşteriye gecikmeksizin bildirir.

7.6 Kanunun gerektirdiği aktarım mekanizmaları: 7.4 numaralı madde saklı kalmak kaydıyla:

• (a) Avrupa Birliği Genel Veri Koruma Tüzüğü Müşteri bakımından uygulandığında, Avrupa Komisyonu’nun (AB) 2021/914 sayılı Uygulama Kararı ile kabul edilen standart sözleşme hükümleri (“AB SCC’leri”) atıf yoluyla bu Veri İşleme Sözleşmesine dahil edilir: Müşteri bir veri sorumlusu ise İkinci Modül (veri sorumlusundan veri işleyene), Müşteri verileri başka bir veri sorumlusu adına işliyorsa Üçüncü Modül (veri işleyenden veri işleyene). Müşteri veri ihraç eden, STAK ise veri ithal edendir. Madde 7 (bağlanma maddesi) uygulanır. Madde 9(a) uyarınca, 6.3 numaralı maddedeki bildirim süresiyle birlikte Seçenek 2 (genel yazılı yetkilendirme) uygulanır. Madde 11(a)’daki isteğe bağlı ifade uygulanmaz. Madde 17 ve 18 uyarınca İrlanda Cumhuriyeti hukuku ve mahkemeleri uygulanır. Yetkili denetim otoritesi Madde 13 uyarınca belirlenir. Bunların ekleri Ek 1, 2 ve 3 ile tamamlanır. Bunlar, ikisi arasında çelişki olması halinde Sözleşmeye göre önceliklidir.
• (b) Suudi Arabistan Krallığı Kişisel Verilerin Korunması Kanunu Müşteri bakımından uygulandığında, Saudi Data and Artificial Intelligence Authority tarafından yayımlanan Kişisel Veri Aktarımına İlişkin Standart Sözleşme Hükümleri, İkinci Şablon (veri sorumlusundan veri işleyene), atıf yoluyla bu Veri İşleme Sözleşmesine dahil edilir. Müşteri veri ihraç eden, STAK ise veri ithal edendir ve bunların ekleri Ek 1, 2 ve 3 ile tamamlanır. STAK, Müşterinin Krallık Dışına Kişisel Veri Aktarımı Yönetmeliği uyarınca gerçekleştirmesi gereken aktarım risk değerlendirmesi için ihtiyaç duyduğu bilgileri Müşteriye sağlar. Bunlar, ikisi arasında çelişki olması halinde Sözleşmeye göre önceliklidir.
• (c) Birleşik Arap Emirlikleri’nin 2021 tarihli (45) sayılı Federal Kararname-Kanunu Müşteri bakımından uygulandığında STAK, aktarılan verilere bu kanunun hükümlerini, tedbirlerini ve kontrollerini, bir veri işleyen için geçerli oldukları ölçüde uygular.
• (d) Birleşik Krallık Genel Veri Koruma Tüzüğü Müşteri bakımından uygulandığında, Birleşik Krallık Information Commissioner’ı tarafından yayımlanan, AB SCC’lerine ilişkin International Data Transfer Addendum (B1.0 sürümü, 21 Mart 2022 tarihinden itibaren yürürlükte, sonradan değiştirilmiş haliyle) atıf yoluyla dahil edilir. Tablo 1 ila 3, Taraflara ilişkin Sözleşmedeki bilgiler ve Ek 1 ila 3 ile doldurulur. Tablo 4 bakımından, Taraflardan her biri Bölüm 19’un izin verdiği şekilde Eki sona erdirebilir.
• (e) İsviçre Federal Veri Koruma Kanunu Müşteri bakımından uygulandığında, AB SCC’leri şu değişikliklerle uygulanır: İsviçre Federal Veri Koruma ve Bilgi Komiseri, bu Kanuna tabi aktarımlar bakımından yetkili denetim otoritesidir; GDPR’a yapılan atıflar bu Kanunu da kapsar; ve “Üye Devlet” ifadesi, İsviçre’deki ilgili kişilerin taleplerini İsviçre’de ileri sürebileceği şekilde okunur.
• (f) Başka bir Uygulanabilir Veri Koruma Mevzuatı belirli bir aktarım aracı gerektiriyorsa, örneğin Brezilya ulusal veri koruma otoritesinin standart sözleşme hükümleri veya Türkiye’nin 6698 sayılı Kanunu kapsamındaki standart sözleşme, STAK bu aracı Müşterinin talebi üzerine imzalar veya dahil eder; ayrıntıları Ek 1 ila 3’ten doldurulur.
• (g) California Consumer Privacy Act veya benzer bir ABD eyalet gizlilik kanunu uygulandığında STAK, Müşterinin hizmet sağlayıcısı, yüklenicisi veya veri işleyeni olarak hareket eder. STAK, Müşteri Kişisel Verilerini satmaz veya paylaşmaz. Bunları, Sözleşme kapsamında Hizmetleri sağlamak dışındaki herhangi bir amaçla veya Müşteriyle doğrudan ticari ilişki dışında elde tutmaz, kullanmaz veya ifşa etmez. Bu kanunların izin verdiği haller dışında bunları başka kaynaklardan gelen kişisel bilgilerle birleştirmez. Bu kanunlara uyar ve bu kanunların gerektirdiği düzeyde gizlilik koruması sağlar. Bu yükümlülükleri artık yerine getiremiyorsa Müşteriye bildirir. Müşteri, yetkisiz kullanımı durdurmak ve gidermek için makul adımlar atabilir. STAK, bu kısıtlamaları anladığını beyan eder.

7.7 Belirli bir ülkede kalması gereken veriler: Müşteri, Hizmetler Şartların 9.5 numaralı maddesi uyarınca ilgili Uygulama için o ülkede barındırmanın mümkün olduğunu göstermedikçe, Uygulanabilir Mevzuatın belirli bir ülke içinde saklanmasını veya işlenmesini gerektirdiği verileri Hizmetlerde tutmamalıdır. Bu, Şartların 13.4 numaralı maddesi ve Kabul Edilebilir Kullanım Politikasının 5.4 numaralı maddesinden kaynaklanır.

8. İlgili Kişi taleplerine yardım

8.1 Hizmetler Müşteriye, Son Müşterilerinin Kişisel Verilerini görüntülemek, dışa aktarmak ve düzeltmek için araçlar, bunları, kanunun saklanmasını gerektirdiği kayıtları korurken kimliklerini bir takma adla değiştirerek silmek için bir araç ve çalışanlarının verilerini görüntülemek ve düzeltmek için araçlar sunar. Müşteri bu araçları İlgili Kişi taleplerini yanıtlamak için kullanır ve STAK, bunların kapsamadığı her konuda, çalışan verilerinin dışa aktarılması ve silinmesi dahil, 8.3 numaralı madde uyarınca yardımcı olur.

8.2 STAK, Müşteri Kişisel Verilerine ilişkin bir İlgili Kişiden doğrudan bir talep alırsa bunu gecikmeksizin Müşteriye iletir ve yalnızca Müşterinin talimatları doğrultusunda yanıt verir.

8.3 STAK, mevcut araçların kapsamadığı her konuda Müşteriye makul yardım sağlar.

9. Kişisel Veri İhlali bildirimi

9.1 STAK, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalinden haberdar olduktan sonra Müşteriyi gereksiz gecikme olmaksızın bilgilendirir. Bunu mümkün olduğunda haberdar olmasından itibaren 24 saat içinde ve her halükarda 48 saat içinde yapar.

9.2 Bildirim, bilgi mevcut olduğu ölçüde şunları içerir:

• (a) ihlalin niteliği;
• (b) veri ve İlgili Kişi kategorileri ile bunların yaklaşık sayısı;
• (c) olası sonuçlar;
• (d) ihlali gidermek için alınan ve önerilen tedbirler;
• (e) STAK’ta bir iletişim noktası.

STAK, ek bilgileri mevcut hale gelir gelmez sağlar.

9.3 STAK, ihlali kontrol altına almak ve etkilerini sınırlamak için derhal makul tedbirler alır. Müşterinin yapmak zorunda olduğu hallerde, kanunun Müşteri için belirlediği süreleri dikkate alarak düzenleyici kurumların ve İlgili Kişilerin bilgilendirilmesinde Müşteriyle iş birliği yapar. Uygulanabilir Mevzuat STAK’ın ihlali bizzat bir düzenleyici kuruma bildirmesini gerektiriyorsa STAK bunu gerekli süre içinde yapar ve Müşteriye bildirir.

9.4 STAK’ın bir ihlale ilişkin bildirimi veya ihlalin ele alınmasına verdiği destek, kusurun veya sorumluluğun kabulü değildir.

10. Etki değerlendirmeleri ve düzenleyici kurumlarla istişare

STAK, Müşterinin talebi üzerine, Hizmetleri ilgilendirdiği ölçüde, bir veri koruma etki değerlendirmesi yapmak veya bir düzenleyici kuruma danışmak için gereken makul bilgileri sağlar.

11. Bilgi ve denetimler

11.1 STAK, Müşterinin talebi üzerine bu Veri İşleme Sözleşmesine uyumunu göstermek için makul ölçüde gerekli bilgileri sağlar. Buna güvenlik dokümantasyonu ve yılda bir güvenlik anketine verilen yanıtlar dahildir.

11.2 Müşteri, kendi masrafıyla, aşağıdaki hallerde bir denetim yapabilir veya gizlilik yükümlülüğü altındaki bağımsız bir denetçiye yaptırabilir:

• (a) bir düzenleyici kurumun gerektirdiği hallerde;
• (b) verilerini etkileyen bir Kişisel Veri İhlalinden sonra;
• (c) 11.1 numaralı madde uyarınca sağlanan bilgiler yeterli değilse.

Denetim şu koşullara tabidir:

• Müşteri, denetimi STAK’a en az 30 gün önceden bildirir.
• Bu, İş Günlerinde mesai saatleri içinde gerçekleşir.
• (c) bendi uyarınca yapılan bir denetim yılda en fazla bir kez gerçekleştirilir.
• Hiçbir denetim Alt Veri İşleyenlerin tesislerini kapsamaz. Bunun yerine sertifikaları ve bağımsız raporları yeterlidir.
• Hiçbir denetim, diğer müşterilerin verilerine veya güvenliklerini etkileyen herhangi bir şeye erişimi kapsamaz.

12. Verilerin iadesi ve silinmesi

12.1 Müşteri, Şartların 19.5 numaralı maddesi uyarınca Müşteri Kişisel Verilerini istediği zaman ve Sözleşmenin sona ermesinden sonra 30 gün boyunca dışa aktarabilir.

12.2 Dışa aktarma süresinden sonra STAK, Uygulanabilir Mevzuat saklanmasını gerektirmedikçe ve STAK’a bir mahkeme uyuşmazlığı, soruşturma veya yetkili bir makamın talebi bildirilmişken Şartların 19.5 numaralı maddesindeki saklama yükümlülüğü saklı kalmak kaydıyla, Müşteri Kişisel Verilerini Üretim Ortamından 30 gün içinde siler.

12.3 Yedekler aşağıdaki saklama süreleri boyunca tutulur:

• (a) istenen bir zaman noktasına geri yükleme ve günlük Yedekler: her Yedeğin alındığı tarihten itibaren 35 gün;
• (b) veritabanının gecelik mantıksal Yedekleri (veritabanı dökümleri): 35 gün;
• (c) aylık Yedekler: her Yedeğin alındığı tarihten itibaren 12 ay;
• (d) yüklenen dosyaların önceki sürümleri: değiştirildikleri veya silindikleri tarihten itibaren 90 gün.

Bu Yedeklere uygulanan kurallar:

• Günlük ve aylık Yedekler ve bunların kopyaları, politikası STAK’ın kendi personeli dahil hiç kimsenin bir Yedeği saklama süresi dolmadan silmesini veya bu süreyi değiştirmesini engelleyen ve barındırma sağlayıcısının uyumluluk modunda uygulanan kilidi herhangi bir Yedeğin en az ilk 35 günü boyunca silinmesini engelleyen yedek kasalarında tutulur.
• Gecelik mantıksal Yedekler, saklama süreleri sona erene kadar değiştirilmeye ve silinmeye karşı korunur.
• STAK, Müşterinin talebi üzerine bile hiçbir Yedeği saklama süresi dolmadan silmez.
• Tüm Yedekler kullanım dışı bırakılır ve yalnızca 12.4 numaralı madde saklı kalmak kaydıyla teknik kurtarma için veya kanunun gerektirdiği hallerde kullanılır.
• Silinmiş verileri içeren tüm Yedekler bu sürelerin sonunda, yani en geç 12 ay içinde sona erer ve silinen veriler bunun ardından kalıcı olarak imha edilir.
• STAK, talep üzerine Müşteriye silinmiş verileri içeren son Yedeğin sona erdiği tarihi bildirir; böylece Müşteri bunu İlgili Kişiye bildirebilir.

12.4 STAK bu süreler içinde bir Yedeği geri yüklerse, veriler kullanıma sunulmadan önce, bu işlemlere ilişkin tuttuğu kayıtları kullanarak, o Yedeğin tarihinden sonra 8.1 numaralı madde uyarınca gerçekleştirilen veri silmelerini ve 12.2 numaralı madde uyarınca yapılan silmeleri yeniden uygular.

13. Kamu kurumlarının talepleri

STAK bir kamu veya yargı makamından Müşteri Kişisel Verilerinin ifşasına ilişkin bağlayıcı bir talep alırsa, kanun bildirimi yasaklamıyorsa Müşteriyi bilgilendirir. STAK ifşayı talebin gerektirdiği asgari düzeyle sınırlar. Hukuka aykırı olduğunu makul olarak değerlendirdiği taleplere, mevcut hukuki yollarla itiraz eder.

14. Sorumluluk

Her Tarafın bu Veri İşleme Sözleşmesi kapsamındaki sorumluluğu, 7.6 numaralı maddedeki standart sözleşme hükümleri uyarınca diğer Tarafa karşı sorumluluğu dahil, Şartların 16 numaralı maddesindeki sorumluluğun sınırlandırılmasına ilişkin hükümlere tabidir; bu, söz konusu maddelerin izin verdiği ölçüde geçerlidir ve İlgili Kişilerin bunlardan doğan haklarını etkilemez.

15. Süre ve öncelik sırası

15.1 Bu Veri İşleme Sözleşmesi, STAK Müşteri Kişisel Verilerini İşlediği sürece geçerlidir.

15.2 Bu Veri İşleme Sözleşmesi Şartlarla çeliştiğinde, Müşteri Kişisel Verilerini ilgilendiren konularda öncelik taşır.

15.3 Uygulanabilir Veri Koruma Mevzuatı bu Veri İşleme Sözleşmesinden daha sıkı bir emredici yükümlülük getirdiğinde, bu yükümlülük kapsamı dahilinde uygulanır.

16. Veri koruma iletişim noktası ve işleme faaliyetleri kaydı

STAK, e-posta ile [email protected] adresinden ulaşılabilen bir veri koruma iletişim noktası atamıştır. STAK, müşteriler adına yürüttüğü işleme faaliyetlerinin bir kaydını tutar ve kanunun gerektirdiği hallerde bunu yetkili düzenleyici kuruma sunar.

Ek 1: İşlemenin ayrıntıları

• Konu: Hizmetlerin Şartlar uyarınca Müşteriye sağlanması.
• Süre: Sözleşmenin süresi, bundan sonraki 12 numaralı madde uyarınca dışa aktarma ve silme dönemi, 12.3 numaralı maddedeki Yedek saklama süreleri ve Ek 3’te belirtilen Alt Veri İşleyenlerin saklama süreleri.
• Niteliği ve amacı:
  • Müşteri Verilerinin saklanması ve barındırılması;
  • satışların, siparişlerin, rezervasyonların ve faturaların işlenmesi;
  • stok, muhasebe, insan kaynakları ve bordronun yönetimi;
  • Müşterinin Bağlı Sağlayıcılar nezdindeki kendi hesapları aracılığıyla veya Ek 3’te listelendikten sonra STAK’ın kullandığı mesajlaşma sağlayıcıları aracılığıyla talep ettiği mesajların gönderilmesi;
  • Yapay Zekâ Özelliklerinin kullanıldıklarında sağlanması;
  • Yedekler, güvenlik ve Destek.
• İlgili Kişi kategorileri:
  • Müşterinin Son Müşterileri, konukları ve hastaları;
  • çalışanları ve iş başvurusunda bulunanlar;
  • Kullanıcılar;
  • tedarikçileri ve bunların irtibat kişileri;
  • sürücüler ve kuryeler.
• Kişisel Veri kategorileri:
  • ad, telefon, e-posta, adres ve teslimat konumu gibi kimlik ve iletişim verileri;
  • işlemlere, siparişlere, rezervasyonlara ve faturalara ilişkin kayıtlar;
  • tam kart numaraları olmaksızın ödemelerle ilişkilendirilmiş referanslar;
  • sadakat verileri, tercihler ve rızalar;
  • Müşterinin çalışanlarına ilişkin; Civil ID numarası, ikamet bilgileri, maaş, uluslararası banka hesap numarası (IBAN), devam ve izin gibi veriler;
  • Müşterinin yüklediği fotoğraflar ve belgeler;
  • mesaj kayıtları ve denetim kaydı.
• Özel Nitelikli Kişisel Veriler: klinik Uygulamaları kullanıldığında sağlık ve klinik verileri; 7.7 numaralı madde ve Şartların, hasta kayıt özelliklerinin Kuveyt Devleti’nde veya Birleşik Arap Emirlikleri’nde sağlık hizmeti alan hastalar için kullanılmamasını öngören 13.4 numaralı maddesi saklı kalmak kaydıyla; ve insan kaynakları dosyalarındaki, hastalık raporları gibi sağlık verileri. Klinik kayıtlar ve insan kaynakları dosyaları ayrı anahtarlarla şifrelenir ve bu veriler yalnızca bunları görmeye yetkili rollere sahip Kullanıcılar tarafından görülebilir. Sigorta taleplerindeki ve ön provizyonlardaki tanı ve prosedür kodları ile sigorta kartlarının görüntüleri, Ek 2’deki veritabanı ve depolama şifrelemesi ile korunur.

Ek 2: Teknik ve idari tedbirler

1. Şifreleme:
   • İletim sırasındaki veriler TLS 1.2 veya daha yeni sürümle şifrelenir ve veritabanı sunucusunun kimliği her bağlantıda doğrulanır.
   • Veritabanlarında, disklerde, dosyalarda, Yedeklerde ve sır deposunda bekleyen veriler, AWS Key Management Service (AWS KMS) üzerinden veya barındırma sağlayıcısı tarafından yönetilen anahtarlarla AES-256 ile şifrelenir.
   • İnsan kaynakları dosyaları ve klinik kayıtlar uygulama içinde ayrıca ayrı anahtarlarla şifrelenir; Bağlı Sağlayıcılara ilişkin bağlantı bilgileri ise ayrı bir anahtarla şifrelenmiş ayrı bir sır deposunda tutulur.
2. Her müşterinin verilerinin izolasyonu: Müşteri Verilerinin her kaydı, ait olduğu İşletmenin tanımlayıcısını taşır. Veritabanındaki satır düzeyinde güvenlik politikaları uygulamanın rolüne uygulanır ve uygulamanın rolünün bunları aşma yetkisi yoktur. Bileşik anahtar kısıtlamaları, bir İşletmenin kayıtlarının bir diğerinin kayıtlarına bağlanmasını engeller.
3. Erişim kontrolü:
   • Erişim, asgari yetki ilkesine göre verilir.
   • Üretim Ortamına erişim, adı belirtilmiş STAK çalışanlarıyla sınırlıdır, çok faktörlü kimlik doğrulama gerektirir ve her erişimin başlangıcı kaydedilir.
   • Sunuculara yönetimsel erişim yalnızca AWS Systems Manager üzerinden yapılır, doğrudan (SSH) oturum açılmaz.
4. Kullanıcı oturum açma güvenliği:
   • Kullanıcılar için Hizmetler; geçiş anahtarları, kimlik doğrulayıcı uygulamalar ve doğrulanmış bir telefona gönderilen doğrulama kodları sunar.
   • Müşteri için bunlar; özelleştirilebilir roller ve izinler, Şubeye göre kısıtlanan erişim ve bunları içeren Planlarda oturum boşta kalma kuralları ile yeni cihazlardan oturum açılması halinde Sahiplere yönelik uyarılar sunar.
5. Denetim kaydı: değişikliklerin, hiçbir Kullanıcının değiştiremeyeceği veya silemeyeceği bir denetim kaydı tutulur. Eylemi yapanı, zamanı, kaynağı ve IP adresini kaydeder. Müşteri 8.1 numaralı madde uyarınca bir Son Müşterinin Kişisel Verilerini sildiğinde, girdiler o kişinin kimlik bilgilerini kaybeder ancak ne yapıldığını, kimin yaptığını ve ne zaman yapıldığını korur. Denetim kaydı, 12 numaralı madde uyarınca Müşteri Verileriyle birlikte silinir. Muhasebe kayıtları, her türlü kurcalamayı ortaya çıkaran bir zincirle birbirine bağlanır.
6. Yedekler ve kurtarma:
   • otomatik, sürekli Yedekler 35 gün içinde istenen bir zaman noktasına geri yüklemeye olanak tanır;
   • günlük Yedekler 35 gün, aylık Yedekler 12 ay saklanır ve İrlanda Cumhuriyeti’ndeki ayrı bir coğrafi bölgeye kopyalanır. Yedek kasalarının politikası, saklama süreleri dolmadan silinmelerini veya bu sürelerin değiştirilmesini engeller ve uyumluluk modu kilidi herhangi bir Yedeğin en az ilk 35 günü boyunca silinmesini engeller;
   • her gece veritabanının mantıksal bir Yedeği alınır ve 35 gün boyunca değiştirilmeye ve silinmeye karşı korunan depolamada saklanır;
   • veritabanının Yedeklerden geri yüklenmesi her ay test edilir.
7. Ödeme verileri: Hizmetler, STAK’ın tam kart numaralarını saklamayacağı şekilde tasarlanmıştır. Ödemeler, Ödeme Hizmeti Sağlayıcılarının barındırdığı sayfalarda veya onların sertifikalı kart kabul terminallerinde ve uygulamalarında yapılır. Hizmetlerin ekranlarında kart verisi girmek için alan bulunmaz ve Hizmetler, Müşterinin yanlışlıkla girilen kart numaralarını kaldırabilmesi için serbest metin alanlarını taramasına olanak tanır.
8. Ağ ve altyapı: veritabanları, herkese açık olarak erişilemeyen özel ağlarda, güvenlik duvarlarının arkasında çalışır. Bir web uygulaması güvenlik duvarı ve hizmet reddi saldırılarına karşı koruma Cloudflare aracılığıyla sağlanır.
9. Güvenlik açığı yönetimi ve güvenli geliştirme: kod incelenir ve her sürümden önce otomatik testler çalıştırılır. Yazılım kütüphaneleri kontrol edilir ve güvenlik güncellemeleri gecikmeksizin uygulanır.
10. İzleme ve olay müdahalesi:
    • bulut altyapısı günün her saati otomatik olarak izlenir ve anında uyarılar verilir;
    • bulut altyapısındaki her yönetimsel eylem kaydedilir; tehditler ve fazla yetkiler özel Amazon hizmetleri (AWS CloudTrail, GuardDuty ve IAM Access Analyzer) aracılığıyla otomatik olarak tespit edilir;
    • Güvenlik Olaylarına müdahale etmek ve 9 numaralı madde uyarınca bildirimde bulunmak için belgelenmiş prosedürler uygulanır.
11. İş sürekliliği: Hizmet Seviyesi Sözleşmesindeki kurtarma hedefleriyle uyumlu olarak süreklilik ve kurtarma planları uygulanır.
12. Personel: STAK’ın çalışanları ve yüklenicileri gizlilik yükümlülüğü altındadır ve güvenlik farkındalığı eğitimi alır.
13. Güvenli silme: veriler 12 numaralı madde uyarınca silinir ve barındırma sağlayıcısı ortamları kendi standartlarına uygun olarak imha eder.

Ek 3: Alt Veri İşleyenler

Yalnızca etkinleştirildiğinde kullanılan sağlayıcılar. STAK aşağıdaki sağlayıcıları kurmuştur ancak bugün Müşteri Kişisel Verilerini işlemek için kullanmamaktadır. Bunlardan herhangi birini kullanmaya ancak 6.3 numaralı madde uyarınca en az 30 gün önceden bildirimde bulunduktan sonra başlar ve bildirim, sağlayıcının verileri nerede işlediğini ve ne kadar süre sakladığını belirtir.

STAK kendi WhatsApp numarasını devreye aldığında, Meta bu numaradan Kullanıcılara oturum açma kodları ve telefon numaralarını Herkese Açık Sayfalarda doğrulayan Son Müşterilere doğrulama kodları gönderir. Bunu yaparken Meta, Müşteri Kişisel Verileri değil, STAK’ın Gizlilik Politikası uyarınca Veri Sorumlusu olarak işlediği verileri işler.

Yukarıdaki sağlayıcılar dışında STAK, Müşteri Kişisel Verilerini işlemek için kısa mesaj, anlık bildirim, dijital cüzdan veya adres arama, doğrulama ve haritalama sağlayıcıları kullanmaz.