Veri işleme sözleşmesi

Taraflar

Veri sorumlusu ("Müşteri")

İşleyici ("Alvoru")

Bundan böyle birlikte: "Taraflar".

Göz önünde bulundurarak

• Tarafların, Alvoru'nun İşleyici olarak Müşteri adına kişisel verileri işlediği bir ana sözleşme akdettiğini (bundan böyle: "Ana Sözleşme");
• GDPR madde 28 fıkra 3 uyarınca, İşleyicinin kişisel verileri işleme şekli hakkında düzenlemelerin belirlendiği yazılı bir veri işleme sözleşmesinin gerekli olduğunu;
• bu veri işleme sözleşmesinin (bundan böyle: "DPA") Ana Sözleşme'nin ayrılmaz bir parçasını oluşturduğunu.

Madde 1 — Tanımlar

Bu DPA'da büyük harfle yazılan terimler, Alvoru'nun Genel Şartlarındaki tanımlarla tamamlanarak, GDPR'de kendilerine atfedilen anlama sahiptir.

Madde 2 — Konu ve süre

2.1 Bu DPA, Ana Sözleşme kapsamında Müşterinin talimatıyla Alvoru tarafından kişisel verilerin işlenmesini düzenler.

2.2 Bu DPA, Ana Sözleşme'nin başladığı tarihte yürürlüğe girer ve Ana Sözleşme'nin sona ermesiyle kendiliğinden sona erer, niteliği gereği geçerli kalması amaçlanan hükümler saklı kalmak kaydıyla.

Madde 3 — İşlemenin niteliği ve amacı

3.1 İşlemenin niteliği ve amacı, Ana Sözleşme'de tanımlanan Hizmetin (sohbet botu, e-posta ve ajanda dahil AI müşteri hizmetleri) sunulmasından oluşur.

3.2 Alvoru, farklı yasal yükümlülükler hariç, kişisel verileri yalnızca Müşterinin belgelenmiş talimatı üzerine işler (GDPR madde 28 fıkra 3 bent a). Bu son durumda Alvoru, o yasa bunu ağır gerekçelerle yasaklamadıkça, işlemeden önce Müşteriyi bilgilendirir.

Madde 4 — Kişisel veri türü ve ilgili kişi kategorileri

Özel kategori kişisel veriler (GDPR madde 9) ve ceza hukukuna ilişkin veriler (GDPR madde 10), yazılı olarak ayrıca kararlaştırılmadıkça işlenmez.

Madde 5 — İşleyicinin yükümlülükleri

5.1 Alvoru, kişisel verileri yalnızca Ana Sözleşme ve bu DPA'da belirlenen amaçlar için ve Müşterinin yazılı talimatı üzerine işler.

5.2 Alvoru, kişisel verileri işleyen kişilerin, ister yasa gereği ister bir sözleşme gereği olsun, bir gizlilik yükümlülüğüne sahip olmasını sağlar.

5.3 Alvoru, işlemenin niteliğini göz önünde bulundurarak, ilgili kişilerin GDPR kapsamındaki haklarını kullanmalarına yönelik taleplerini karşılamada Müşteriye makul yardım sağlar.

5.4 Alvoru, GDPR madde 28'e uyumu göstermek için gerekli tüm bilgileri Müşterinin kullanımına sunar.

5.5 AI eğitim yasağı. Alvoru, Veri Sorumlusu adına işlediği kişisel verileri hiçbir zaman AI modellerini eğitmek, ince ayar yapmak veya başka bir şekilde iyileştirmek için, ne de kendi veya üçüncü taraf AI uygulamalarını geliştirmek için kullanmayacaktır.

Madde 6 — Güvenlik önlemleri (GDPR madde 32)

Alvoru, riske uygun bir güvenlik seviyesini sağlamak için uygun teknik ve organizasyonel önlemler alır, bunlar arasında:

• Aktarım sırasında şifreleme (TLS 1.2+) ve uygun olduğu yerde durağan halde şifreleme;
• Şuna dayalı erişim kontrolü: least privilege; yöneticiler için iki faktörlü kimlik doğrulama;
• Güvenlik duvarları, fail2ban ve saldırı izleme;
• Saklama süresi en fazla 90 gün olan günlük şifreli yedeklemeler;
• Yapılandırma ve veri dosyalarında kısıtlayıcı dosya izinleri (600);
• Üretim sistemlerine erişimin günlüğe kaydedilmesi ve izlenmesi;
• Güvenlik önlemlerinin periyodik değerlendirilmesi ve güncellenmesi.

Madde 7 — Alt işleyiciler

7.1 Müşteri, Alvoru'nun bu maddenin diğer hükümlerine uyması koşuluyla, Alvoru'ya alt işleyicileri kullanma konusunda genel yazılı bir izin verir.

7.2 Şu anda kullanılan alt işleyiciler şunlardır:

7.3 Alvoru, alt işleyicilere bu DPA'da yer alan aynı veri koruma yükümlülüklerini uygular (GDPR madde 28/4).

7.4 Alvoru, alt işleyicilerin değiştirilmesi veya eklenmesi hakkında Müşteriyi en az 14 gün önceden bilgilendirir. Müşteri bu süre içinde gerekçeli itiraz edebilir. Haklı bir itiraz durumunda Müşteri, Ana Sözleşmeyi ücretsiz olarak feshetme hakkına sahiptir.

Madde 8 — AEA dışına aktarım

Kişisel verilerin Avrupa Ekonomik Alanı dışındaki bir ülkeye aktarılması yalnızca bir yeterlilik kararı (GDPR madde 45), bağlayıcı şirket kuralları, AB Standart Sözleşme Hükümleri (GDPR madde 46/2-c) veya GDPR'de öngörülen başka bir güvence temelinde ve gerektiğinde ek teknik ve organizasyonel önlemlerle tamamlanarak gerçekleşir.

Madde 9 — İlgili kişilerin hakları

9.1 Alvoru, ilgili kişilerin taleplerinin (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) işlenmesinde müşteri portalındaki teknik işlevler ve gerektiğinde ek destek aracılığıyla Müşteriye uygun destek sunar.

9.2 Alvoru, doğrudan Alvoru'ya ulaşan ilgili kişilerin taleplerini gecikmeksizin Müşteriye iletir.

Madde 10 — Veri ihlalleri

10.1 Alvoru, Müşteriyi bilgilendirir gecikmeksizin ve en geç 48 saat içinde kişisel verilerle ilgili bir ihlalin tespit edilmesinin ardından (GDPR madde 33/2), böylece Müşteri, Autoriteit Persoonsgegevens'e karşı 72 saat içindeki bildirim yükümlülüğünü zamanında yerine getirebilir.

10.2 Bildirim her halükârda şunları içerir: ihlalin niteliği, ilgili kişilerin kategorileri ve sayısı, ilgili kayıtların kategorileri ve sayısı, olası sonuçlar ve alınan veya önerilen önlemler.

10.3 Alvoru, Autoriteit Persoonsgegevens'e ve ilgili olduğunda ilgili kişilere yapılacak bildirimde Müşteriye uygun destek sağlar.

Madde 11 — Denetim

11.1 Müşteri, takvim yılında bir kez, en az 30 gün önceden yazılı bildirimde bulunmak kaydıyla, kendi masrafıyla Alvoru'nun bu DPA'ya uyumu konusunda bir denetim yapabilir veya yaptırabilir.

11.2 Denetim, bağımsız ve gizlilikle yükümlü bir denetçi tarafından, mesai saatleri içinde ve Alvoru'nun normal işleyişini aksatmayacak şekilde gerçekleştirilir.

11.3 Alvoru, yerinde denetim yerine, makul ölçüde yeterli güvence sağlaması koşuluyla bağımsız bir üçüncü tarafın güncel bir raporuyla (örneğin ISO 27001 veya SOC 2) yetinebilir.

Madde 12 — Fesih ve verilerin silinmesi

12.1 Ana Sözleşmenin feshinden sonra Alvoru, Müşterinin tercihine göre ve ilk yazılı talep üzerine, GDPR madde 28/3-g uyarınca tüm kişisel verileri siler veya Müşteriye iade eder.

12.2 Böyle bir talep, fesihten sonra 60 gün içinde yapılabilir. Aksi takdirde veriler 60 gün sonra otomatik olarak silinir.

12.3 Çevrimdışı yedekler, düzenli rotasyon programı uyarınca fesihten sonra en geç 90 gün içinde silinir.

12.4 Alvoru'nun yasa gereği saklaması gereken veriler, yasal olarak öngörülen süre boyunca saklanır.

Madde 13 — Sorumluluk

13.1 Alvoru'nun bu DPA kapsamındaki sorumluluğu, Ana Sözleşmeye ait Genel Koşulların sorumluluk hükümlerine dahildir ve bunlarla sınırlıdır.

13.2 GDPR'nin emredici hükümleri saklıdır.

Madde 13a — İşleme faaliyetleri kaydı

Alvoru, GDPR madde 30 uyarınca bir işleme faaliyetleri kaydı tutar. Bu kayıt her halükârda şunları içerir: işleyici olarak Alvoru'nun adı ve iletişim bilgileri, Veri Sorumluları adına yürütülen işleme kategorileri, üçüncü ülkelere yapılan aktarımlar ve uygulanan güvenceler ve teknik ile organizasyonel güvenlik önlemlerinin genel bir açıklaması. Kayıt, talep üzerine Autoriteit Persoonsgegevens için erişilebilirdir.

Madde 14 — Uygulanacak hukuk ve uyuşmazlıklar

Bu DPA'ya Hollanda hukuku uygulanır. Uyuşmazlıklar, Overijssel mahkemesi, Almelo lokasyonuna sunulur.

İmza

İmzalı sürümü (taranmış veya dijital olarak imzalanmış) şu adrese gönder: info@alvoru.com. Alvoru, karşılıklı imzalanmış bir kopya iade eder.