Kişisel Verilerin Korunması

Kişisel Verileri Koruma Politikası

Kişisel Verileri Koruma Politikası Tarafları

İşbu sözleşmenin tarafları hizmet sağlayan Dahusoft Yazılım Sanayi ve Ticaret Ltd.Şti. (bundan böyle "Veri İşleyen" olarak anılacaktır) ve hizmet alan müşteri (bundan böyle "Veri Sorumlusu" olacak anılacaktır) arasındadır.

Sözleşmenin tarafları, aşağıdaki şekilde anlaşmışlardır;

1. Kişisel Verileri Koruma Politikası Konusu

İşbu Kişisel Verileri Koruma Politikası münhasır taraflar arasındaki Hizmet ve Veri İşleme Sözleşmesi kapsamında kişisel verilerin işlenmesi için geçerlidir.

“İşleme”, “kişisel veri”, “veri sorumlusu" ve “işleyici” gibi terimler, aşağıda belirtilmiş mevzuatlarda kendilerine atfedilen anlamlara sahip olacaktır;

• (a) Genel Veri Koruma Yönetmeliği (General Data Protection Regulation) (bundan böyle “GDPR” olarak anılacaktır),
•  
• (b) 6698 Sayılı Kişisel Verilerin Korunması Kanunu (bundan böyle "KVKK" olarak anılacaktır),
•  
• (c) 6102 Sayılı Türk Ticaret Kanunu (bundan böyle "TKK" olarak anılacaktır),
•  
• (d) 6563 Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
•  

Veri İşleyenin, Veri Sorumlusu ile Hizmet ve Veri İşleme Sözleşmesinin ifası sırasında Veri Sorumlusu adına kişisel verileri (bundan böyle “Kişisel Veriler” olarak anılacaktır) işlemesi mümkündür. Kişisel Verilere ait kategorilere ve Kişisel Verilerin işlenme amaçlarına genel bir bakış Ek 2'de sunulmaktadır.

2. Veri İşleyen ve Veri Sorumlusu

2.1. Veri İşleyen, Kişisel Verileri, Veri İşleyenin tabi olduğu yasal bir yükümlülüğe uymak veya Veri Sorumlusunun talimatlarını takip etmek için gerekli olanlar hariç olmak üzere, yalnızca Hizmet ve Veri İşleme Sözleşmesi kapsamındaki hizmetlerin sağlanması için gerekli olduğu şekilde ve ölçüde işleyeceğini garanti eder. Veri İşleyen, Kişisel Verileri hiçbir zaman kendi amaçları için işlemeyecektir.

2.2. Taraflar, Ek 2'de belirtilen amaçlar doğrultusunda Kişisel Verilerin güvence altına alınması ve işlenmesinde Veri İşleyenin uzmanlığından faydalanmak amacıyla Hizmet ve Veri İşleme Sözleşmesini akdetmektedir. Veri İşleyenin, Hizmet ve Veri İşleme Sözleşmesine ve Veri Sorumlusunun talimatlarına uymak için gerekli gördüğü araçların seçiminde ve kullanımında kendi takdir yetkisini kullanmasına izin verilecektir.

3. Saklama ve Güvenlik

3.1. Taraflarca üzerinde mutabık kalınan diğer güvenlik standartları saklı kalmak kaydıyla, Veri İşleyen, Kişisel Verilerin işlenmesinin güvenliğini sağlamak için uygun teknik ve organizasyonel önlemleri alacaktır. Bu tedbirler her durumda aşağıdakileri içerecektir;

• (a) Kişisel Verilere yalnızca Hizmet ve Veri İşleme Sözleşmesinin amaçları doğrultusunda yine yalnızca yetkili personel tarafından erişilebilmesini sağlamaya yönelik tedbirler,
• (b) Kişisel Verileri kazara veya yasa dışı imha, kazara kayıp veya değişiklik, yetkisiz veya yasa dışı saklama, işleme, erişim veya ifşaya karşı korumak için önlemler, özellikle de aktarım ve dinlenme halindeki veriler için şifreleme kullanmak (mümkünse),
• (c) Veri Sorumlusuna hizmet sağlamak için kullanılan sistemlerin güvenliğindeki ihlalleri ve güvenlik açıklarını tespit etmek ve bu ihlalleri ve güvenlik açıklarını azaltmak ve onarmak için önlemler,
• (d) Veri işleyen, Kişisel Verileri işleyen tüm personeli ve personellerin sağlaması gereken gizliliği taahhüt eder. Taahhüt, personelin Veri İşleyen ile olan istihdam ilişkisinin sona ermesi veya sona erdirilmesinden sonra da geçerliliğini korumasına,
• (e) Ek 3'de yer alan tedbirler.

3.2. Veri İşleyen, Kişisel Verilerin işlenmesine ilişkin olarak her halükarda Madde 3.1'de belirtilen tedbirleri özetleyen uygun ve yazılı bir güvenlik politikasını her zaman yürürlükte bulunduracaktır. Veri İşleyen, Veri Sorumlusunun talebi üzerine söz konusu güvenlik politikasının bir kopyasını sağlayacak, işbu Madde 3 uyarınca aldığı önlemleri gösterecek, Veri Sorumlusunun söz konusu önlemleri denetlemesine ve test etmesine izin verecek, Veri Sorumlusunun ilave yazılı talimatları uyarınca güvenlik politikasını değiştirecek ve Veri Sorumlusu söz konusu denetimin maliyetini üstlenecektir.

3.3. Bir veri sahibi, veri sahibi olarak haklarını kullanmak amacıyla Veri İşleyen ile iletişime geçerse (örneğin kişisel verilere erişim, silme veya düzeltme ile ilgili olarak), Veri İşleyen bu talebi derhal Veri Sorumlusuna iletecektir. Veri İşleyen, talep üzerine, müşterinin GDPR Bölüm 3, KVKK Madde 7, TKK ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca ilişkin yükümlülüklerine uymasına makul ölçüde yardımcı olacaktır. Talep üzerine Veri İşleyen, GDPR Madde 35, 36 uyarınca Veri Koruma Etki Değerlendirmeleri, KVKK, TKK ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun temel alınarak gerçekleştirilmesi için bilgi sağlayarak Veri Sorumlusunu destekleyecektir.

4. Güvenlikte İyileştirmeler

4.1. Taraflar, güvenlik gereksinimlerinin sürekli değiştiğini ve etkili güvenliğin sık sık değerlendirme ve eski güvenlik önlemlerinin düzenli olarak iyileştirilmesini gerektirdiğini kabul eder. Bu nedenle Veri İşleyen, Madde 3 uyarınca uygulanan tedbirleri sürekli olarak değerlendirecek ve Madde 3'te belirtilen gerekliliklere uyumu sürdürmek için bu tedbirleri sıkılaştıracak, tamamlayacak ve iyileştirecektir.

4.2. Veri Sorumlusu, Veri İşleyen'e ek güvenlik önlemleri alması için talimat verme hakkına sahiptir. Böyle bir talimatın yerine getirilmesi için Hizmet ve Veri İşleme Sözleşmesinde bir değişiklik yapılması gerektiğinde, taraflar Hizmet ve Veri İşleme Sözleşmesinde yapılacak değişikliği iyi niyet çerçevesinde müzakere edecektir.

5. Denetim

5.1. Veri Sorumlusu, Veri İşleyen ‘in Kişisel Verileri Koruma Politikası hükümlerine ne ölçüde uyduğunu belirlemek amacıyla Veri İşleyene yönelik bir denetim gerçekleştirme hakkına sahiptir. Söz konusu denetim bağımsız bir üçüncü tarafça gerçekleştirilecek ve her iki tarafın birlikte belirleyeceği bir zamanda yapılacaktır. Veri İşleyen, denetçinin talebi üzerine, denetimin amacı için makul ölçüde gerekli olan tesislere, personele, politikalara ve belgelere denetçinin erişimini sağlayacaktır.

5.2. Denetim, Veri İşleyenin Kişisel Verileri Koruma Politikasına uymadığını açıkça göstermediği sürece, Veri Sorumlusu denetim masraflarını üstlenecektir. Aksi bir durumda ise Veri İşleyen denetim masraflarını üstlenecektir.

6. Uluslararası Veri Transferi

6.1. Veri İşleyen, Kişisel Verilerin faaliyet gösterdiği alan dışındaki yeterli koruma düzeyine sahip olmayan bir ülkeye (planlanan) kalıcı veya geçici aktarımlarını derhal Veri Sorumlusuna bildirecek ve bu tür (planlanan) bir aktarımı yalnızca Veri Sorumlusunun onayını aldıktan sonra gerçekleştirecektir. Veri aktarım süreci GDPR Madde 44, 45, 46, 47, 48, 49, 50 ve KVKK Madde 9 altında açıklanan hükümler kapsamında planlanacaktır.

6.2. Veri Sorumlusu, Madde 6.1'de kastedilen rızaya (örneğin bir aktarımın yalnızca ilgili tarafların GDPR Madde 46, 2.C altında açıklandığı gibi model sözleşme hükümleri akdetmesi halinde gerçekleşmesi koşulu gibi) koşullar getirebilir.

7. Bilgi Yükümlülükleri ve Olay Yönetimi

7.1. Veri İşleyen, Kişisel Verilerin işlenmesiyle ilgili herhangi bir olayı derhal Veri Sorumlusuna bildirecek, Veri Sorumlusunun olayla ilgili kapsamlı bir araştırma yapmasını, doğru bir yanıt oluşturmasını ve olayla ilgili uygun diğer adımları atmasını sağlamak için Veri Sorumlusuyla her zaman iş birliği yapacak ve Veri Sorumlusunun bu tür olaylarla ilgili talimatlarına uyacaktır. Özellikle, Veri İşleyen, GDPR Madde 33 ve KVKK Madde 10 kapsamındaki olayları bildirme yükümlülüğü gibi yasal yükümlülüklerini yerine getirmek için gerekli tüm bilgileri Veri Sorumlusuna sağlayacağını garanti eder. Veri Sorumlusu, gerekli gördüğü taktirde tek başına herhangi bir kamu makamına bildirimde bulunabilir.

7.2. Madde 7.1'de kullanılan “olay” terimi, her durumda, GDPR Madde 4, Paragraf 12 ve bu Kişisel Verileri Koruma Politikasının 3. Maddesinde belirtilen güvenlik ve/veya gizliliğin ihlali anlamına gelecek ve Kişisel Verilerin imhası, değiştirilmesi, yetkisiz ifşası veya bunlara erişim dahil olmak üzere kayba veya herhangi bir yasadışı işleme biçimine yol açacak veya bu tür bir ihlalin gerçekleştiğine veya gerçekleşmek üzere olduğuna dair herhangi bir gösterge anlamına gelecektir.

7.3. Veri İşleyen, olayın ortaya çıkmasından sonra 24 saat içinde Veri Sorumlusunu ve varsa sorumlu olduğu üçüncü tarafları bilgilendirecektir. Söz konusu bildirim en azından aşağıdaki bilgileri içerecektir;

• (a) olayın niteliği,
• (b) olayın gerçekleştiği ve keşfedildiği tarih ve saat,
• (c) olaydan etkilenen (veri sahibi sayısı),
• (d) olayla Ek 2'de yer alan hangi Kişisel Veri kategorilerinin ilgili olduğu,
• (e) Kişisel Verileri anlaşılmaz veya bu verilere erişim yetkisi olmayan kişiler tarafından erişilemez kılmak için şifreleme gibi güvenlik önlemlerinin alınıp alınmadığı ve alındıysa hangi güvenlik önlemlerinin alındığı

7.4. Veri İşleyen, bir olay hakkında Veri Sorumlusuna derhal yanıt vermesini ve olayın ele alınmasında Veri Sorumlusu ile etkin bir şekilde iş birliği yapmasını sağlayan yazılı prosedürleri her zaman yürürlükte bulunduracak ve Veri Sorumlusunun yazılı talebi üzerine bu prosedürlerin bir kopyasını Veri Sorumlusuna sağlayacaktır.

8. Alt İşleyicilerle Sözleşme Yapılması

8.1. Veri İşleyen, Veri Sorumlusunun önceden yazılı izni olmaksızın Hizmet ve Veri İşleme Sözleşmesinde tanımlanan faaliyetlerinden herhangi birini herhangi bir üçüncü tarafa taşere edemez.

8.2. Bir önceki paragrafta açıklandığı üzere Veri Sorumlusunun onayı, Veri İşleyenin Veri Sorumlusuna karşı Madde 10 uyarınca söz konusu üçüncü tarafla alt sözleşme yapmasının olası zararlar da dahil olmak üzere her türlü sonucuna ilişkin sorumluluğunu ortadan kaldırmayacaktır.

8.3. Veri İşleyen, alt işleyicinin işbu Kişisel Verileri Koruma Politikası kapsamında Veri İşleyen ile aynı veya eşdeğer yükümlülüklere tabi olmasını sağlayacak ve bunlara uyulmasını denetleyecektir.

8.4. Alt işleyiciler, Veri İşleyen aracılığıyla hizmet vermek için elde edecekleri Kişisel Verileri, Veri Sorumluları ve Veri İşleyen tarafından sunulan Kişisel Verileri Koruma Politikası kapsamında üzerine düşen yükümlülükleri tümüyle uygulayacaklarını taahüt eder ve işbu sözleşme kapsamında Veri İşleyenin Veri Sorumlusuna olan sorumluluklarının tamamında alt işleyiciler olarak dahil olacaklardır.

8.5. Alt işleyiciler Madde 8.5 uyarınca Madde 7 ile açıklanmış bilgi yükümlülüklerinin tamamına Veri İşleyen ve Veri Sorumlusuna karşı sorumludur.

9. Kişisel Verilerin İadesi veya Yok Edilmesi

9.1. İşbu Kişisel Verileri Koruma Politikasının feshi üzerine veya Veri Sorumlusunun yazılı talebi üzerine Veri İşleyen gerek GDPR gerekse KVKK mevzuatında öngörülen şartlar çerçevesinde Kişisel Verilerin silinmesini veya yok edilmesini isteyebilecek, eksik veya yanlış verilerin düzeltilmesi talep edebilecektir.

9.2. Fesih durumunda, Veri İşleyen, Kişisel Verilerin işlenmesine dahil olan tüm üçüncü tarafları Kişisel Verileri Koruma Politikasının feshi konusunda bilgilendirecek ve söz konusu tüm üçüncü tarafların Kişisel Verileri yok etmesini etmesini ya da Veri Sorumlusunun takdirine bağlı olarak Kişisel Verileri Veri Sorumlusuna iade etmesini konusunda uyaracaktır.

10. Kişisel Verilerin Talep Edilmesi

10.1. GDRP Madde 15 ve KVKK Madde 13 Fıkra 1 gereğince, Kişisel Verilerin Koruma Politikası kapsamında sahip olunan haklara genel bir bakış Ek 1'de sunulmaktadır.

10.2. Kişisel Verilerin talebi sürecinde başvuru sahibi Veri İşleyene, 10 Mart 2018 30356 Sayılı yayımlanmış “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ” istinaden aşağıdaki yöntemler ve bilgiler ile başvurulacaktır.

• (i) Ad soyad bilgisi,
• (ii) Başvuru sahibi Türkiye Cumhuriyeti vatandaşı ise TC Kimlik Numarası, değil ise Uyruğu ile birlikte Pasaport numarası veya var ise Kimlik numarası,
• (iii) Tebligata esas yerleşim yeri veya iş yeri adresi,
• (iv) Bildirime esas elektronik posta adresi, telefonu veya faks numarası,
• (v) Talep konusu,
• (vi) Talep konusuna istinaden bilgi ve belgeler başvuru sahibince sağlanmalıdır.

10.3. Kişisel Verilerin talebinde Veri Sorumlusu veya Veri Sahibi aşağıdaki yöntemlerden en az bir tanesiyle başvuracaktır.

• (i) Başvuru, Veri Sorumlusunun ya da Veri Sahibinin şahsen Veri İşleyenin adresine «Başvuru Formu» doldurarak kapalı zarf ve zarfın üzerine «Kişisel Verilerin Korunması Kanunu Gereği Bilgi Talebi» notu ile ilgili merkez adresine elden tutanak ile teslimatı,
• (ii) Başvuru, Noter aracılığı ile Veri İşleyenin merkez adresine tebligat çekilmesi (tebligat zarfı üzerine «Kişisel Verilerin Korunması Kanunu Gereği Bilgi Talebi» notu ibaresi eklenmelidir),
• (iii) 5070 Sayılı Elektronik İmza Kanununda tanımlı olan «Güvenli Elektronik İmza» ile başvuru sahibi şahsen Veri İşleyene ait Kayıtlı Elektronik Posta (KEP) adresine konu kısmına «Kişisel Verilerin Korunması Kanunu Gereği Bilgi Talebi» notu ile başvuru gerçekleştirilir.

10.4. Kişisel Verilerinize ilişkin hak talepleriniz Veri İşleyiciye ulaştığı tarihten itibaren en geç 30 (otuz) gün içerisinde cevaplanacak, başvurunuzun olumsuz değerlendirilmesi halinde gerekçeli ret sebepleri başvuruda belirttiğiniz adrese elektronik posta veya posta yoluyla iletilecektir.

11. Sorumluluk ve Tazminat

11.1. Veri İşleyen, Veri Sorumlusunu tazmin eder ve Veri Sorumlusunun maruz kaldığı ve doğrudan veya dolaylı olarak Veri İşleyen tarafından bu Kişisel Verileri Koruma Politikasının ihlalinden kaynaklanan veya bununla bağlantılı olarak ortaya çıkan tüm taleplere, eylemlere, üçüncü taraf taleplerine, kayıplara, zararlara ve masraflara karşı Veri Sorumlusunu zararsız tutar.

12. Süre ve Fesih

12.1. Bu Kişisel Verileri Koruma Politikası, Hizmet ve Veri İşleme Sözleşmesi ile aynı tarihte yürürlüğe girecek ve otomatik olarak sona erecektir.

12.2. Bu Kişisel Verileri Koruma Politikasının feshi veya sona ermesi, Veri İşleyeni, bu Kişisel Verileri Koruma Politikasının 5, 9 ve 11. maddelerinden kaynaklanan yükümlülükler dahil ancak bunlarla sınırlı olmamak üzere, Kişisel Verileri Koruma Politikasının feshi veya sona ermesinden sonra da devam etmesi gereken yükümlülüklerinden kurtarmayacaktır.

13. Çeşitli

13.1. İşbu Kişisel Verileri Koruma Politikası hükümleri ile Hizmet ve Veri İşleme Sözleşmesi hükümleri arasında herhangi bir tutarsızlık olması durumunda, işbu Kişisel Verileri Koruma Politikası hükümleri geçerli olacaktır.

13.2. Bu Kişisel Verileri Koruma Politikası Türkiye Cumhuriyeti yasalarına tabidir. Bu Kişisel Verileri Koruma Politikasından kaynaklanan veya bu sözleşmeyle bağlantılı olan her türlü ihtilaf münhasıran Çorlu'daki yetkili mahkemelerce görülecektir.

13.3. Bu Kişisel Verileri Koruma Politikasının süresi boyunca yürürlükten kaldırılan kanun hükümlerine yapılan her türlü atıf, benzer bir konuya sahip herhangi bir halef hükme yapılan atfı da içerecek şekilde tasarlanmıştır.

13.4. Bu Kişisel Verileri Koruma Politikasının değiştirilmesi durumunda revize edilen politika, değişikliği gerçekleştirildiği revizyon tarihiyle birlikte yayınlanır. Hizmet ve Veri İşleme Sözleşmesi üzerinde gerçekleştir içilecek önemli ölçüdeki değişiklikler geçerlilik kazanmadan önce Veri Sorumlusuna ve alt işleyicilere e-posta gönderme veya kurumsal web sitemizde ve/veya sosyal medya hesaplarında bir bildirim yayınlama gibi yollarla bildirilecektir.

Ek 1:

Kişisel Verileri Koruma Politikası kapsamında sahip olunan haklar;

• Kişisel Verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel Verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel Verilerininin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında Kişisel Verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel Verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
• GDPR ve KVKK üzerinde öngörülen şartlar çerçevesinde Kişisel Verilerinizin silinmesini veya yok edilmesini isteme,
• Eksik veya yanlış verilerin düzeltilmesi ile Kişisel Verilerinizin silinmesi veya yok edilmesini talep ettiğinizde, bu durumun Kişisel Verilerinizi aktardığımız üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması durumunda sonuca itiraz etme,
• Kişisel Verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde bu zararın giderilmesini talep edilebilecektir.

Ek 2:

Hizmet Sözleşmesi Kapsamında işlenecek kişisel veriler;

Aşağıdaki veriler yalnızca Hizmet ve Veri İşleme Sözleşmesi (E-Ticaret ile Satış Kanalı ve ERP arasındaki entegrasyon / Gönderi firmasıyla entegrasyon / Fatura firmasıyla entegrasyon / Sipariş yönetim sistemi) kapsamında ve yalnızca ilgili oldukları kendi süreçlerinde işlenecektir. İşlenecek kişisel verilerin kısıtlanması veya imhasına yönelik üçüncü taraflardan (örneğin X Satış Kanalı) gelecek talepler, sağladıkları Kişisel Veriler dahilinde gerçekleştirilecek ve gerekli anonimleştirme ve/veya yok etme prosedürleri uygulanacaktır.

• Fatura Adı
• Fatura Adresi
• Fatura Kimlik Numarası
• Fatura Telefon Numarası
• Teslimat Adı
• Teslimat Adresi
• Teslimat Telefon Numarası
• E-posta Adresi
• Sipariş ayrıntıları (ürün, fiyat, miktar, KDV)

Ek 3:

Veri İşleyen, Madde 3'te belirtildiği üzere Kişisel Verilerin işlenmesinin güvenliğini sağlamak için uygun teknik ve organizasyonel önlemleri alacaktır.

Veri İşleyen tarafından alınan ek güvenlik önlemleri şunlardır:

GDRP ve KVKK tarafından yayımlanmış Kişisel Veri Güvenliği Rehberi gerekliliklerine, ISO/IEC 27001 Bilgi Güvenliği, ISO/IEC 27017 Bulut Hizmetleri Bilgi Güvenliği, ISO/IEC 27701 Gizlilik Bilgileri Yönetimi standartlarına uyumlu ve Bilişim Teknolojileri Güvenlik Yönetim Sistemi (ISMS) mevcut şekilde yetkisiz erişime, kötüye kullanıma, ifşaya veya değiştirilmesine karşı fiziksel, teknik, örgütsel ve yönetimsel önlemler alınmaktadır.

Bu politikalar aşağıdakileri içerir ancak bunlarla sınırlı değildir:

• Şifre politikaları
• Erişim politikaları
• Yama yönetimi politikaları
• Varlık yönetimi politikaları
• Değişim yönetimi politikaları
• Kriptografik kontrol politikaları
• Sözleşme ve tedarikçi yönetimi politikaları
• Yedekleme ve geri yükleme politikaları
• Veri depolama ve değişim politikaları
• Sürekli iyileştirme politikaları
• Mobil cihaz yönetimi politikaları

Veri İşleyen, doğrudan kendisine ya da Veri Sorumlusuna üçüncü taraf hizmet sağlayıcılardan (örneğin X Satış Kanalı) gelecek Kişisel Verilerin anonimleştirmesi ve/veya yok edilmesi taleplerini ivedilikle gerçekleştirmeyi, anonimleştirme ve/veya yok etme protokollerini uygulayacağını taahhüt eder.

Bu politikalar üzerinde üçüncü taraflarca yinelenen denetimler gerçekleştirilir:

• Manuel sızma testi
• Otomatik güvenlik taramaları
• ISMS'mizin güncelliği ve ISO uyumluluğu