İşbu Veri İşleme Sözleşmesi (“VİS”), Müşteri ile Adapty arasında akdedilen ve Müşterinin Adapty hizmetlerini kullanmasını ve bu hizmetlerin sağlanmasını düzenleyen Adapty Hizmet Koşullarının (aşağıda tanımlandığı şekliyle) bir parçasını oluşturur.
Müşteri ve Adapty bundan böyle birlikte “Taraflar”, ayrı ayrı ise “Taraf” olarak anılacaktır. Taraflara ilişkin bilgiler Ek 1’de yer almaktadır.
Adapty Hizmet Koşulları hükümleriyle bir çelişki veya tutarsızlık bulunması hâlinde, işbu VİS, söz konusu çelişki veya tutarsızlık ölçüsünde Adapty Hizmet Koşullarındaki diğer hükümlere göre öncelikli olarak uygulanır.
İşbu VİS’te başkaca tanımlanmamış olan ve büyük harfle başlayan terimler, Adapty Hizmet Koşullarında kendilerine verilen anlamı taşır.
Tüm Ekleri dâhil olmak üzere işbu VİS, Adapty tarafından Müşteri adına işlenen Kişisel Verilere ilişkin olarak Tarafların veri koruma yükümlülüklerini, işbu VİS’in Ek 1’inde açıklandığı şekilde ve Uygulanacak Gizlilik Mevzuatına uygun olarak düzenler.
1. Tanımlar
1.1. Adapty Hizmet Koşulları, https://adapty.io/terms/ adresinde yer alan hizmet koşullarını veya Müşteri ile Adapty arasında akdedilen diğer yazılı ya da elektronik sözleşmeyi ifade eder.
1.2. Uygulanacak Gizlilik Mevzuatı, Kişisel Verilerin toplanmasını, kullanılmasını, aktarılmasını ve ifşa edilmesini düzenleyen ve herhangi bir kamu otoritesi tarafından çıkarılan tüm kanunları, yasal düzenlemeleri, yönetmelikleri, tüzükleri, kodları, kuralları, kılavuzları, emirleri veya diğer her türlü hukuki yükümlülüğü ifade eder.
1.3. Veri Sorumlusu, Kişisel Verilerin işlenme amaçlarını ve vasıtalarını belirleyen veya başka bir şekilde Kişisel Verilerin işlenmesine ilişkin kararların alınmasından sorumlu olan gerçek kişiyi veya kuruluşu ifade eder.
1.4. Veri İşleyen, Kişisel Verileri Veri Sorumlusu adına işleyen gerçek veya tüzel kişiyi ya da diğer kuruluşu ifade eder.
1.5. İlgili Kişi Talebi, işbu VİS’in 3.2 numaralı paragrafında belirtilen anlamı taşır.
1.6. İlgili Kişi, Kişisel Verilerin ilişkili olduğu, kimliği doğrudan veya dolaylı olarak belirli ya da belirlenebilir kişiyi ifade eder.
1.7. GDPR, kişisel verilerin işlenmesi bakımından gerçek kişilerin korunması ve bu verilerin serbest dolaşımı ile 95/46/AT sayılı Direktifin yürürlükten kaldırılması hakkında Avrupa Parlamentosu ve Konseyinin (AB) 2016/679 sayılı Tüzüğünü ifade eder.
1.8. UK GDPR, European Union (Withdrawal) Act 2018’in 3. bölümü uyarınca İngiltere ve Galler, İskoçya ve Kuzey İrlanda hukukunun bir parçasını oluşturduğu şekliyle ve Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019’un (SI 2019/419) 1 numaralı ekiyle değiştirilmiş hâliyle, AB Genel Veri Koruma Tüzüğü’nün ((AB) 2016/679) (AB GDPR) muhafaza edilen versiyonunu ifade eder.
1.9. Kişisel Veriler, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin olan, Uygulanacak Gizlilik Mevzuatına tabi bulunan ve Müşteri tarafından işlenmek üzere sağlanan her türlü bilgiyi ifade eder; kimliği belirli veya belirlenebilir bir bireye ilişkin bilgiler de buna dâhildir.
1.10. Kişisel Veri İhlali, Kişisel Verilerin kazara veya hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara yetkisiz erişilmesine yol açan güvenlik ihlali anlamını taşır.
1.11. İşleme, işler ve işlem, Kişisel Verilerin kullanımını içeren her türlü faaliyeti veya Uygulanacak Gizlilik Mevzuatınca işleme, işler ya da işlem bakımından belirlenebilecek her türlü faaliyeti ifade eder. Bu kavram, Kişisel Veriler veya Kişisel Veri kümeleri üzerinde, otomatik yollarla olsun veya olmasın, gerçekleştirilen toplama, kaydetme, düzenleme, yapılandırma, depolama, uyarlama veya değiştirme, geri getirme, danışma, kullanma, iletim yoluyla ifşa etme, yayma veya başka bir şekilde erişilebilir hâle getirme, hizalama veya birleştirme, kısıtlama, silme veya yok etme gibi her türlü işlemi veya işlemler dizisini kapsar. İşleme, Kişisel Verilerin üçüncü kişilere aktarılmasını da kapsar.
1.12. Standart Sözleşme Hükümleri (SCC), Avrupa Komisyonu tarafından onaylanan standart sözleşme hükümlerini (Avrupa Komisyonu tarafından zaman içinde güncellendiği, değiştirildiği, yerine yenisi konulduğu veya yürürlükten kaldırıldığı şekliyle) ifade eder. Avrupa Komisyonu’nun Standart Sözleşme Hükümlerinin yerine değiştirilmiş veya yeni standart sözleşme hükümleri koyması hâlinde, ilgili denetim makamının söz konusu değiştirilmiş veya yeni standart sözleşme hükümlerinin kullanımını onayladığı ölçüde, işbu VİS’te “Standart Sözleşme Hükümleri”ne yapılan atıflar, söz konusu değiştirilmiş veya yeni standart sözleşme hükümlerine yapılmış atıflar olarak yorumlanır.
1.13. Alt İşleyen, Adapty tarafından görevlendirilen ve Kişisel Verilere erişim imkânı tanınmış ya da potansiyel olarak erişimi bulunabilecek veya Kişisel Verileri işleyen üçüncü taraf veri işleyeni ifade eder.
1.14. Alt İşleyen Değişikliği Bildirimi, işbu VİS’in 4.1 numaralı maddesinde belirtilen anlamı taşır.
2. Kişisel verilerin işlenmesi
2.1. Tarafların Rolleri
Taraflar, kişisel verilerin işlenmesi bakımından Müşterinin veri sorumlusu, Adapty’nin ise veri işleyen olduğunu kabul eder ve onaylar.
2.2. Veri işlemenin ayrıntıları
Kişisel veri işlemenin konusu, süresi, niteliği ve amaç(lar)ı ile kişisel verilerin türü ve ilgili kişi kategorileri Ek 1’de belirtilmiştir.
2.3. İşlemenin Kapsamı
Adapty, tabi olduğu yürürlükteki mevzuat uyarınca zorunlu olmadıkça, kişisel verileri Adapty Hizmet Koşullarında veya işbu VİS’te belirtildiği şekilde Müşteri tarafından belirlenen makul ve olağan yönergelerin ötesinde işlemekten kaçınacaktır.
2.4. Müşteri Talimatları
Müşterinin kişisel verilerin işlenmesine ilişkin talimatları uygulanacak gizlilik mevzuatına uygun olmalıdır. Müşteri, kişisel verilerin doğruluğundan, kalitesinden ve hukuka uygunluğundan ve Müşterinin kişisel verileri elde etme yöntemlerinden tek başına sorumludur. Bunlarla sınırlı olmaksızın, kişisel verilerin Adapty Hizmet Koşulları ve işbu VİS hükümlerine uygun olarak işlenmesi için uygun bir hukuki dayanağın ve hakkın bulunmasını sağlamaktan yalnızca Müşteri sorumlu olacaktır. Müşteri, Hizmetleri kullanmasının herhangi bir ilgili kişinin haklarını ihlal etmeyeceğini özellikle kabul eder ve onaylar.
2.5. İşlemenin Hukuki Dayanağı
Müşteri, Adapty Hizmetlerinin, Müşterinin elde etmesi gereken ve Adapty’nin güvendiği, varlığı ortaya konmuş bir hukuki dayanağa bağlı olduğunu ve bu dayanağı esas aldığını kabul eder ve onaylar. Müşteri, böyle bir hukuki dayanağın mevcut olduğunu beyan eder.
2.6. Çocukların Gizliliği
Müşteri, çocukların kişisel verilerini (uygulanacak gizlilik mevzuatında tanımlandığı şekliyle) işlerken, çocukların korunmasına yönelik olarak platform politikaları, düzenlemeler ve uygulanacak gizlilik mevzuatı tarafından öngörülen ek gerekliliklere uymakla yükümlüdür. Bu kanunların bazıları özel olarak çocuklara yöneliktir (COPPA gibi), diğerleri ise daha geniş kapsamlı olmakla birlikte çocuklar için özel koruma hükümleri içerir (GDPR ve benzeri bölgesel kanunlar gibi).
3. İlgili Kişi Talepleri
3.1. İlgili Kişi Taleplerine Yanıt Verilmesi
Müşteri, uygulanacak gizlilik mevzuatı kapsamında ilgili kişi haklarının kullanılmasına yönelik taleplere ilişkin her türlü yasal yükümlülüğe uyulmasından tek başına sorumludur. Taraflar, Adapty’nin ilgili kişi taleplerine yanıt veremeyeceğini kabul eder ve onaylar.
3.2. İlgili Kişi Talepleri
Müşterinin sorumluluğu ve İlgili Kişi Taleplerinin ele alınması. Müşteri, Uygulanacak Gizlilik Mevzuatı kapsamında İlgili Kişi Taleplerine ilişkin kanuni yükümlülüklere uyulmasından tek başına sorumlu olmaya devam edecektir. Müşteri, yalnızca Müşterinin belgelenmiş talimatları doğrultusunda ve Müşterinin Veri İşleyeni sıfatıyla hareket eden Adapty’ye, Mesajlarda sunulan abonelikten çıkma mekanizmaları aracılığıyla doğrudan Alıcılardan gelen abonelikten çıkma taleplerini ve doğrudan pazarlamaya yönelik itirazları, ilgili Alıcıyı Müşterinin gönderim engelleme listesine eklemek de dâhil olmak üzere, otomatik olarak işleme ve yerine getirme yetkisi verir.
Bu maddede açıkça belirtilenler dışında Adapty, İlgili Kişi Taleplerine Müşteri adına esasa ilişkin bir yanıt vermeyecek ve hukuken izin verildiği ölçüde İlgili Kişiyi Müşteriye yönlendirecek ve/veya bu madde uyarınca Müşteriyi bilgilendirecektir.
3.3. İlgili Kişi Talebi
Müşterinin bir talebe yanıt verilmesi için Adapty’den yardım istemesi hâlinde Adapty, mümkün olduğu ölçüde ve bunu yapmaya yasal hakkının bulunduğu ve söz konusu talebe yanıt verilmesinin uygulanacak gizlilik mevzuatı uyarınca zorunlu olduğu sınırlar içinde, söz konusu talebe yanıt verilmesinde Müşteriye yardımcı olmak için ticari açıdan makul çabayı gösterecektir.
3.4. Masraflar
Kanunen izin verilen ölçüde Müşteri, ek işlevlerin sağlanmasına ilişkin ücretler dâhil olmak üzere, Adapty’nin söz konusu yardımı sağlaması sonucunda doğan her türlü masraftan sorumludur. Bu gibi durumlarda Adapty, bu masrafları Müşteriye önceden bildirecektir.
4. Alt işleme
4.1. Alt İşleyen Atanması
Müşteri, Adapty’ye bu bölüm ve VİS’teki sınırlamalar uyarınca alt işleyenler atama yetkisi verir. Müşteri, Adapty’nin Müşterinin önceden onayı olmaksızın alt işleyenlerle çalışabileceğini kabul eder ve onaylar. Üçüncü taraf bir alt işleyenin kişisel verileri işlemesine izin verilmesinin koşulu, Adapty’nin her bir alt işleyenle, kişisel veriler için en az işbu VİS’tekiyle aynı düzeyde koruma sağlayan veri koruma taahhütlerini içeren yazılı bir sözleşme akdetmesidir. Adapty, alt işleyen eklenmesine veya değiştirilmesine ilişkin önerilen her türlü değişikliği, söz konusu alt işleyen değişikliklerinden önce Müşteriye yazılı olarak bildirecektir (bundan böyle “Alt İşleyen Değişikliği Bildirimi” olarak anılacaktır). Müşteri, söz konusu alt işleyen değişikliklerine işbu VİS’in 4.2 numaralı Bölümü uyarınca itiraz edebilir.
4.2. Güncel Alt İşleyen Listesi
Adapty tarafından işleme için görevlendirilen alt işleyenlerin güncel listesi işbu VİS’in Ek 3’ünde yer almaktadır. Adapty, alt işleyen eklenmesini veya değiştirilmesini içeren herhangi bir değişiklikten itibaren otuz (30) gün içinde işbu VİS’teki alt işleyen listesini güncelleyecektir.
4.3. Sorumluluk
Adapty, her bir alt işleyen bakımından: (i) alt işleyenin VİS’in gerektirdiği kişisel veri koruma düzeyini sağlamakla yükümlü olmasını temin etmek için makul adımları atacak ve (ii) alt işleyenin veri koruma yükümlülüklerine uymaması hâlinde, alt işleyenin bu yükümlülüklere uyumundan Müşteriye karşı tamamen sorumlu olmaya devam edecektir.
4.4. Alt İşleyenlere İtiraz Hakkı
Müşteri, alt işleyen eklenmesini veya değiştirilmesini içeren önerilen herhangi bir değişikliğe (örneğin, kişisel verilerin bir alt işleyene sağlanmasının yürürlükteki veri koruma mevzuatını ihlal edebilecek veya söz konusu kişisel verilerin korunmasını zayıflatabilecek olması hâlinde), alt işleyen değişikliğine ilişkin bildirimi almasından itibaren otuz (30) gün içinde Adapty’ye derhal yazılı bildirimde bulunarak makul gerekçelerle itiraz edebilir. Müşterinin bu bildirimi, itirazın makul gerekçelerini açıklamalıdır.
Müşterinin Adapty’ye böyle bir itirazı bildirmesi hâlinde Taraflar, ticari açıdan makul bir çözüme ulaşmak amacıyla konuyu iyi niyetle müzakere edecektir. İşleme söz konusu alt işleyenin katılımı olmaksızın gereği gibi devam edemeyeceği için bu itirazların on beş (15) gün içinde çözüme kavuşturulamaması hâlinde Adapty, işbu VİS uyarınca işlemeye devam etmeyi reddetme ve Adapty Hizmet Koşullarını, bu fesih nedeniyle herhangi bir sorumluluk doğmaksızın feshetme hakkına sahiptir.
5. Kişisel verilerin sınır ötesi aktarımı
5.1. AB’den Aktarımlar
Kişisel Verilerin işlenmesinin GDPR kapsamında korunduğu ölçüde Taraflar, söz konusu aktarımların, atıf yoluyla işbu VİS’e dâhil edilen ve işbu VİS’in ayrılmaz bir parçasını oluşturan SCC’ye tabi olduğunu işbu belgeyle kabul eder. SCC seçenekleri ve ekleri, işbu VİS’in Ek 4’üne göre doldurulmuş sayılır.
5.2. İsviçre’den Aktarımlar
Kişisel Verilerin işlenmesinin 19 Haziran 1992 tarihli İsviçre Federal Veri Koruma Kanunu (“FADP”) kapsamında korunduğu ölçüde Taraflar, söz konusu aktarımların, SCC’lerin İsviçre hukukuna uygun olması ve böylece FADP’nin 6. maddesinin 2. fıkrasının (a) bendi uyarınca İsviçre’den üçüncü bir ülkeye veri aktarımı için yeterli düzeyde koruma sağlamaya elverişli olması amacıyla gerekli uyarlamalar yapılmış SCC’lere tabi olacağını işbu belgeyle kabul eder. Uyarlamaların listesi, Federal Veri Koruma ve Bilgi Komiseri’nin 27 Ağustos 2021 tarihli standart sözleşme hükümleri ve model sözleşmelerine dayanılarak yeterli veri koruma düzeyine sahip olmayan bir ülkeye kişisel veri aktarımına ilişkin 4.3. noktasında yer almaktadır (https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html adresinde mevcuttur). Durum 2’nin 2. Örneği uygulanacaktır.
5.3. Birleşik Krallık’tan Aktarımlar
Kişisel Verilerin işlenmesinin UK GDPR kapsamında korunduğu ölçüde Taraflar, söz konusu aktarımın, Birleşik Krallık Bilgi Komiserliği Ofisi, Parlamento veya Bakan tarafından kabul edildiği, değiştirildiği veya güncellendiği şekliyle, https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf adresinde yer alan, Avrupa Komisyonu’nun uluslararası veri aktarımlarına ilişkin standart sözleşme hükümlerine yönelik Uluslararası Ek’e tabi olduğunu işbu belgeyle kabul eder.
6. Teknik ve idari tedbirler
6.1. Teknik ve İdari Tedbirler
Adapty, Kişisel Verileri aşağıdakilere karşı korumak amacıyla, Kişisel Verilerin uygun düzeyde güvenliğini, gizliliğini ve bütünlüğünü sağlamak için, ilgili ve uygulanabilir olduğu durumlarda GDPR’ın 32. maddesinde öngörülen tedbirler dâhil olmak üzere, işbu VİS’in Ek 2’sinde belirtilen uygun teknik ve idari tedbirleri uygulayacak ve sürdürecektir:
- kazara veya hukuka aykırı olarak yok edilme ve
- Kişisel Verilerin kaybı, değiştirilmesi, yetkisiz olarak ifşa edilmesi veya bunlara yetkisiz erişilmesi (her biri bir “Kişisel Veri İhlali”).
6.2. Uyumun İzlenmesi
Adapty, işbu VİS’in Ek 2’sinde belirtilen tedbirlere uyumu düzenli olarak izler.
6.3. Uyumun Sağlanmasında Yardım
İşlemenin niteliği ve Adapty’nin erişebildiği Kişisel Veriler dikkate alınarak Adapty, GDPR’ın 32-36. maddeleri kapsamındaki yükümlülüklere uyumun sağlanmasında Müşteriye yardımcı olur.
7. Kişisel Veri İhlali
7.1. Kişisel Veri İhlalinin Bildirilmesi
Adapty’nin bir kişisel veri ihlalinden haberdar olması hâlinde Adapty, kanunen izin verilen ölçüde, Adapty’nin veya herhangi bir Alt İşleyenin Müşterinin kişisel verilerini içeren kişisel veri ihlalinden haberdar olmasının ardından gereksiz gecikme olmaksızın Müşteriyi e-posta yoluyla bilgilendirecek ve (makul ölçüde Adapty’nin bilgisi ve/veya kontrolü dâhilinde olduğu ölçüde) makul bilgileri sağlayacaktır.
7.2. İş Birliği
Adapty, işlemenin niteliğini ve Adapty’nin erişebildiği bilgileri dikkate alarak, Müşterinin Uygulanacak Gizlilik Mevzuatı uyarınca ilgili kişileri veya veri koruma otoritelerini bir kişisel veri ihlali hakkında bilgilendirme yükümlülüklerine uymasına yardımcı olmak üzere iş birliği yapacaktır. Adapty ayrıca bir kişisel veri ihlalinin sonuçlarını ortadan kaldırmak veya hafifletmek için makul ölçüde gerekli tüm adımları atacak ve işlemleri gerçekleştirecek ve kişisel veri ihlaline ilişkin tüm önemli gelişmeler hakkında Müşteriyi bilgilendirecektir.
8. Denetim
8.1. Müşterinin Denetim Yapma Hakkı
Adapty, işbu VİS’te belirtilen yükümlülüklere uyumu göstermek için makul ölçüde gerekli tüm bilgileri Müşteriye sağlayacak ve işbu VİS kapsamındaki yükümlülüklere uyuma ilişkin olarak Müşteri veya Müşteri tarafından yetkilendirilen başka bir denetçi tarafından yürütülen, yerinde incelemeler dâhil denetimlere olanak tanıyacaktır.
8.2. Denetimin Yürütülmesinde Adapty’nin İş Birliği
Adapty, Müşterinin veya Müşterinin üçüncü taraf denetçilerinin bu tür bir denetimi yürütmesi için makul ölçüde gerekli tüm bilgileri, sistemleri ve personeli Müşteriye sağlayacaktır; ancak bunun için Müşterinin:
8.2.1. denetimden kırk beş (45) gün önce bildirimde bulunması; ve
8.2.2. denetimi olağan çalışma saatleri içinde yürütmesi; ve
8.2.3. Adapty’nin faaliyetlerinde gereksiz aksaklıkların önlenmesi için tüm makul tedbirleri alması gerekir. Bu tür denetimler kesinlikle kişisel verilerin işlenmesine ilişkin bilgilerle sınırlı olmalıdır.
8.3. Denetim Parametreleri
Taraflar, denetimin veya incelemenin kapsamı, zamanlaması ve süresi konusunda karşılıklı olarak mutabakata varır.
8.4. Gizlilik
İşbu VİS kapsamındaki tüm denetimler gizlilik yükümlülüklerine tabidir. Müşteri, denetim raporunun tamamını Adapty ile paylaşmalı ve bu raporu, gizliliği korumakla yükümlü olan muhasebecileri ve hukuk danışmanları dışındaki üçüncü kişilerle paylaşmamalıdır. Müşteri, söz konusu denetim raporunu Adapty’nin işbu VİS’e uyumunu değerlendirmek dışında hiçbir amaçla kullanmamalıdır.
8.5. Masraflar
Taraflarca aksi kararlaştırılmadıkça, söz konusu denetimin masrafları Müşteri tarafından karşılanır.
8.6. Denetimlerin Sıklığı
Müşteri, aşağıdaki durumlar dışında, denetim haklarını herhangi bir on iki (12) takvim ayı içinde bir defadan fazla kullanamaz:
8.6.1. yetkili bir veri koruma otoritesi tarafından zorunlu kılınması hâlinde ve zorunlu kılındığı zaman; veya
8.6.2. Adapty’nin ve/veya Alt İşleyenlerin maruz kaldığı bir kişisel veri güvenliği ihlaliyle bağlantılı olarak gerekli olması hâlinde.
9. Gizlilik
9.1. Adapty, kişisel verileri işlemeye yetkili tüm personelin güvenilirliğini sağlamak için tüm makul adımları atacak ve söz konusu personelin uygun gizlilik yükümlülüklerine tabi olmasını ve her zaman yürürlükteki veri koruma mevzuatına uygun hareket etmesini sağlayacaktır.
10. Kişisel Bilgilerin Silinmesi veya İade Edilmesi
10.1 (i) işbu VİS’in sona ermesi veya (ii) Müşterinin yazılı talebi veya (iii) Adapty’nin Adapty Hizmet Koşulları ve işbu VİS kapsamındaki yükümlülüklerini yerine getirmek için Kişisel Verileri işlemesine artık gerek kalmaması veya (iv) Adapty’nin işbu VİS’in 4.4 numaralı Bölümü uyarınca işlemeden çekilmesi üzerine Adapty, Uygulanacak Gizlilik Mevzuatı uyarınca Kişisel Verilerin bir kopyasını belirli bir saklama süresi boyunca muhafaza etmekle yükümlü olmadıkça, Müşterinin tercihine göre tüm Kişisel Verileri silecek, yok edecek veya Müşteriye iade edecek ve mevcut tüm kopyaları yok edecek veya iade edecektir. Söz konusu saklama süresinin sona ermesi üzerine Adapty, kalan tüm Kişisel Verileri derhal silecek veya yok edecektir.
Adapty Mail Alıcı profilleri bakımından silme işlemi, profildeki Kişisel Verilerin geri döndürülemez şekilde kimliksizleştirilmesi ve profilin silinmiş olarak işaretlenmesi suretiyle gerçekleştirilir. Ortaya çıkan kayıt, Adapty tarafından tek başına veya Adapty’nin erişebildiği diğer bilgilerle birlikte, ilgili Alıcının kimliğini belirlemek veya yeniden belirlemek için makul olarak kullanılamaz.
Yedekler, Adapty’nin standart yedek rotasyon döngüsüne uygun olarak saklanır ve üzerine yazılır.
10.2. Kişisel Verilerin herhangi bir Yüklenici tarafından işlenmiş olması hâlinde Adapty, bu gibi durumlarda söz konusu Yüklenicilerin de ellerinde bulunan tüm Kişisel Verileri bu bölümde belirtilen hükümlere uygun olarak iade etmesini, silmesini veya yok etmesini sağlayacaktır.
11. Kaliforniya Tüketici Gizlilik Hakları
11.1. İşbu 11. Bölüm’deki “Kişisel Bilgiler”, “Tüketici” ve büyük harfle başlayan diğer terimler, zaman zaman değiştirildiği şekliyle 2018 tarihli California Consumer Privacy Act, Cal. Civ. Code §§ 1798.100 vd. (“CCPA”) kapsamında kendilerine verilen anlamları taşır.
11.2. Taraflar arasındaki her türlü kişisel veri alışverişinin yalnızca bir iş amacının yerine getirilmesi amacıyla gerçekleştirildiği ve Adapty’nin Hizmetler karşılığında bedel olarak herhangi bir kişisel veri almadığı veya işlemediği işbu belgeyle kararlaştırılmıştır.
11.3. Bu nedenle Müşteri, Hizmetleri kullanımı bakımından CCPA’ya uyumdan tek başına sorumludur. Müşteri, Hizmetlerin sağlanması sırasında İlgili Kişilerin kişisel verilerinin alışverişinin veya aktarımının Kişisel Verilerin Satışı niteliği taşımamasını sağlamaktan tek başına sorumlu ve yükümlüdür.
11.4. Adapty, kişisel verileri Adapty Hizmet Koşullarında belirtilen Hizmetleri sağlamak dışında ticari amaçlarla saklamayacak, kullanmayacak veya aktarmayacaktır.
12. Süre
12.1. İşbu VİS, Adapty Hizmet Koşullarında belirtilen tarihten itibaren yürürlüğe girer. İşbu VİS, Adapty Hizmet Koşulları yürürlükte kaldığı sürece yürürlükte kalacaktır.
13. Bölünebilirlik
13.1. İşbu VİS’in herhangi bir hükmünün tamamen veya kısmen geçersiz, etkisiz veya uygulanamaz olması ya da böyle olduğunun tespit edilmesi hâlinde, işbu VİS’in diğer hükümlerinin geçerliliği, etkinliği ve uygulanabilirliği bundan etkilenmeyecektir.
13.2. Söz konusu geçersiz, etkisiz veya uygulanamaz hüküm, kanunen izin verilen ölçüde, konusu, zamanı, yeri ve uygulama kapsamı bakımından geçersiz, etkisiz veya uygulanamaz hükmün ekonomik amacını ve maksadını en yakın şekilde yansıtan geçerli, etkili ve uygulanabilir bir hükümle değiştirilmiş sayılır.
13.3. Söz konusu kural, işbu VİS’te bulunabilecek boşlukların doldurulmasında da kıyasen uygulanır.
14. Sözleşmenin Bütünlüğü
14.1. Taraflar, işbu VİS’in (burada atıfta bulunulan ekler dâhil) ve burada atıfta bulunulan belgelerin Taraflar arasındaki sözleşmenin tamamını oluşturduğunu ve işbu VİS’in konusuyla ilgili olarak Taraflar arasındaki, yazılı olsun veya olmasın, her türlü önceki taslak, sözleşme, taahhüt, mutabakat, koşul ve düzenlemenin, aksi yönde herhangi bir öncelik sıralamasına bakılmaksızın, yerine geçtiğini açıkça beyan eder.
15. Uygulanacak hukuk ve yetki
15.1. VİS’e uygulanacak hukuk, Adapty Hizmet Koşullarında belirtilen hükümlere göre belirlenir.
15.2. Taraflar, işbu VİS’in varlığına, geçerliliğine veya sona ermesine ilişkin uyuşmazlıklar ve geçersizliğinin sonuçları dâhil olmak üzere, işbu VİS’ten herhangi bir şekilde doğan her türlü uyuşmazlık veya talep bakımından VİS’te öngörülen yetki seçimine işbu belgeyle tabi olurlar.
16. Çeşitli Hükümler
16.1. Aşağıdakiler arasında bir çelişki veya belirsizlik bulunması hâlinde:
16.1.1 VİS’in herhangi bir hükmü ile Adapty Hizmet Koşullarının herhangi bir hükmü arasında, VİS hükümleri öncelikli olarak uygulanır;
16.1.2. işbu VİS’in herhangi bir hükmü ile imzalanmış herhangi bir SCC arasında, imzalanmış SCC hükümleri öncelikli olarak uygulanır.
Ek 1. Veri İşleme Parametreleri
Bölüm A. Tarafların Listesi
Veri Sorumlusu
| Adı | Sözleşmede, kayıt sırasında veya ayrı bir Sipariş Formunda belirtilen Müşteri kimliği |
|---|---|
| Adresi | Sözleşmede, kayıt sırasında veya ayrı bir Sipariş Formunda belirtilen Müşteri adresi |
| Resmi sicil numarası | Sözleşmede veya ayrı bir Sipariş Formunda belirtilen Müşteri sicil numarası |
| İrtibat kişisinin adı, görevi ve iletişim bilgileri | Sözleşmede veya ayrı bir Sipariş Formunda belirtilen Müşteri temsilcisi |
| Rolü | Veri Sorumlusu |
Veri İşleyen
| Adı | Adapty Tech Inc. |
|---|---|
| Adresi | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| İrtibat kişisinin adı, görevi ve iletişim bilgileri | Kirill Potekhin, Teknoloji Direktörü, [email protected] |
| Rolü | Veri İşleyen |
Bölüm B. İşlemenin Tanımı
| İlgili kişi kategorileri | Müşterinin mobil uygulama(lar)ının son kullanıcıları; Müşterinin web sitelerinin, web hunilerinin ve diğer dijital varlıklarının ziyaretçileri ve kullanıcıları ile bunlar aracılığıyla edinilen aboneler; ve Müşterinin Adapty Mail aracılığıyla Mesaj gönderilmesi amacıyla iletişim bilgilerini hukuka uygun olarak Adapty’ye sağladığı diğer gerçek kişiler. |
|---|---|
| Aktarılan kişisel veri kategorileri | Hizmetlerin sağlanması sırasında Veri İşleyen tarafından işlenen kişisel veri kategorileri, Müşterinin yapılandırmasına ve talimatlarına bağlı olarak aşağıdakileri içerebilir: |
| i. Teknik Bilgiler | Bu kategori, Son Kullanıcının Müşterinin mobil oyunlar veya uygulamalar gibi dijital hizmetlerine erişmek için kullandığı cihaza ilişkin teknik verileri içerir. Bu bilgiler örneğin IP adresi, cihaz modeli, işletim sistemi ve dil ayarlarını içerebilir. |
| ii. Tanımlayıcılar | Bu kategori, Son Kullanıcının cihazı veya uygulama örneğiyle ilişkili çeşitli tanımlayıcıları içerir. Bu tanımlayıcılar örneğin Apple Identifier for Advertisers (IDFA), Identifier for Vendors (IDFV), Google Advertising ID ve diğer benzer tanımlayıcıları içerebilir. |
| iii. Kullanım Verileri | Bu kategori, Son Kullanıcıların Müşterinin hizmetleriyle nasıl etkileşimde bulunduğuna ilişkin bilgileri ifade eder. Bunlarla sınırlı olmamak üzere şunları içerir: uygulama içi olaylar; Müşterinin reklamlarına yapılan tıklamalar gibi Son Kullanıcı eylemleri; Müşterinin reklamlarının görüntülenmeleri (gösterimler); uygulama indirme ve yükleme zaman damgaları; uygulama başlatmaları; satın alma zamanı ve tutarı dâhil uygulama içi satın almalar; ve Müşterinin hizmetlerinin özelliklerine bağlı olarak izlemeyi ve analiz etmeyi seçtiği diğer olaylar veya etkileşim verileri. |
| iv. İletişim Bilgileri | Bu kategori, bir Son Kullanıcıyı doğrudan tanımlayan veya ona ilişkin olan ve iletişim ya da kullanıcıya özgü işlevler için gerekli olan kişisel verileri içerir. Bu veriler örneğin e-posta adresi, ad, soyadı ve Müşterinin Veri İşleyene bilerek ilettiği diğer bilgileri içerebilir. |
| v. E-posta ve Mesajlaşma Verileri | E-posta adresi; ad; gönderici ve alıcı bilgileri; mesaj içeriği; mesaj meta verileri; abonelik ve rıza durumu; abonelikten çıkma, şikâyet, teslim edilemeyen ileti ve gönderim engelleme bilgileri; teslimat, açılma, tıklama ve etkileşim verileri; ve Müşterinin Mesajların segmentasyonu, kişiselleştirilmesi ve teslimi için sağladığı diğer nitelikler. |
| Özel nitelikli verilerin aktarımı (varsa) ve verilerin niteliğini ve bunlarla ilişkili riskleri tam olarak dikkate alan, örneğin katı amaç kısıtlamaları, erişim kısıtlamaları (yalnızca özel eğitim almış çalışanların erişimi dâhil), verilere erişim kayıtlarının tutulması, sonraki aktarımlara ilişkin kısıtlamalar veya ek güvenlik tedbirleri gibi uygulanan kısıtlamalar veya güvenceler | Uygulanmaz |
| İşlemenin niteliği (işlemenin kapsamı) | Teslim alma, toplama, kaydetme, düzenleme, depolama, geri getirme, danışma, kullanma, segmentasyon, kişiselleştirme, gönderim engelleme, kısıtlama, silme ve Müşterinin belgelenmiş talimatları doğrultusunda Mesajların ve ilgili meta verilerin Alıcılara iletilmesi. |
| Veri işleme amaç(lar)ı | Kişisel Veriler yalnızca şu amaçlarla işlenebilir: Hizmetlerin Sözleşmeye uygun olarak sağlanması. Veri İşleyen, Müşterinin Kişisel Verilerini satmayacaktır. |
| Kişisel Verilerin işleneceği süre veya bunun mümkün olmaması hâlinde bu sürenin belirlenmesinde kullanılan kriterler | Kişisel Veriler, Adapty Hizmet Koşulları süresince ve sonrasında yalnızca işbu VİS’in 10. maddesi uyarınca iade veya silme işleminin tamamlanması, Uygulanacak Gizlilik Mevzuatına uyulması, geçerli yedek saklama döngülerinin tamamlanması ya da bir İlgili Kişinin kimliğini belirlemeyen veya makul olarak yeniden belirlenmesine imkân vermeyen anonimleştirilmiş bilgilerin muhafaza edilmesi için gerekli süre boyunca İşlenecektir. |
Ek 2. Veri Güvenliğini Sağlamaya Yönelik Teknik ve İdari Tedbirler Dâhil Teknik ve İdari Tedbirler
| Tedbirin konusu | Alınan önlem (E/H) | Evet ise, lütfen ayrıntıları belirtin |
|---|---|---|
| Kişisel verilerin takma adlandırılması ve şifrelenmesi | E | Kişisel Veriler iletim sırasında şifrelenir. |
| Veri işleme sistemlerinin ve hizmetlerinin sürekli gizliliğinin, bütünlüğünün, erişilebilirliğinin ve dayanıklılığının sağlanması | E | Tüm veriler, güvenlik duvarıyla korunan kapalı bir iç ağda depolanır ve işlenir. Veriler birden fazla veri merkezine sürekli olarak çoğaltılır. Artımlı yedekler tutulur. |
| Fiziksel veya teknik bir olay durumunda kişisel verilerin erişilebilirliğinin ve bunlara erişimin makul bir süre içinde yeniden sağlanabilmesinin temin edilmesi | E | Veriler birden fazla veri merkezine sürekli olarak çoğaltılır. Artımlı yedekler tutulur. |
| İşleme güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin etkinliğinin düzenli olarak test edilmesine, değerlendirilmesine ve ölçülmesine ilişkin süreçler | E | Canlı ortama dağıtılan tüm kodlar incelemeden geçirilir. Güvenlik testleri dâhil otomatik testler, dağıtım sürecinin bir parçasını oluşturur. İşletim sistemleri, veritabanları, önbellekler, IDE’ler ve orkestrasyon hizmetleri dâhil ancak bunlarla sınırlı olmamak üzere üçüncü taraf yazılımlar düzenli olarak en son kararlı sürüme güncellenir. |
| Müşteri kimlik tespiti ve yetkilendirmesi | E | Müşteri, e-posta adresi ve parola kullanılarak yetkilendirilir. Tüm parolalar rastgele bir salt değeri kullanılarak şifrelenmiş biçimde saklanır. |
| İletim sırasında veri koruma | E | Tüm veriler SSL/TLS sertifikaları kullanılarak şifrelenmiş biçimde iletilir. |
| Depolama sırasında veri koruma | E | Tüm veriler, güvenlik duvarıyla korunan kapalı bir iç ağda depolanır ve işlenir. |
| Kişisel verilerin işlendiği yerlerin fiziksel güvenliğinin sağlanması | E | Verilerin depolanması ve işlenmesi için Tier 1 veri merkezleri kullanılır. |
| Olay kayıtlarının tutulması | E | Verileri güvenlik duvarının arkasında saklayan dağıtık bir kayıt sistemi kullanılır. |
| Varsayılan yapılandırma dâhil sistem yapılandırmasının sağlanması | E | Varsayılan yapılandırma dâhil sistem yapılandırması incelenir ve sürekli olarak izlenir. Varsayılan bağlantı noktaları ve parolalar değiştirilir. |
| BT yönetimi ve yönetişimi ile BT güvenliği | E | Veri İşleyen, Müşteri bilgilerini yetkisiz erişime, kayba, değişikliğe, virüslere, Truva atlarına ve diğer benzer kötü amaçlı kodlara karşı korumak için çeşitli altyapı güvenliği tedbirleri uygular. Bu tedbirler şunlardır: • Güvenlik açıklarını gidermek için işletim sistemlerinin, donanımın ve üçüncü taraf yazılımların düzenli olarak güncellenmesi. • Sunuculara erişimi kısıtlamak ve sunucuları korumak için güvenlik duvarlarının ve saldırı önleme sistemlerinin (IPS) kullanılması. • Çok faktörlü kimlik doğrulama kullanılarak uzaktan erişim iletişiminin güvenliğinin sağlanması. • Müşteri verilerinin günlük rotasyonlu bir program dâhilinde yedeklenmesi. |
| Süreçlerin ve ürünlerin sertifikasyonu/güvencesi | E | Evet. Adapty, güvenlik, erişilebilirlik ve gizlilik kontrollerinin işleyiş etkinliğini kapsayan bir SOC 2 Type II güvence raporuna sahiptir. Güncel SOC 2 Type II raporu, talep üzerine ve gizlilik sözleşmesi kapsamında Müşterilere ve potansiyel Müşterilere sunulur. |
| Veri minimizasyonunun sağlanması | E | Veri toplama, Hizmetlerin sağlanması için gerekli kişisel bilgilerle sınırlıdır. Kişisel bilgiler, Veri İşleme Sözleşmesinde ve Sözleşmede belirtilmeyen amaçlarla kullanılmaz ve yalnızca bu amaçların yerine getirilmesi için gerekli süre boyunca saklanır. |
| Veri kalitesinin güvence altına alınması | E | Müşteri, Son Kullanıcı verilerinin değiştirilmesini veya silinmesini talep edebilir. |
| Sınırlı veri saklamanın sağlanması | E | Kişisel Veriler, Müşteri ile kararlaştırılan sözleşme hükümlerine uygun olarak ve yürürlükteki mevzuatın gerektirdiği şekilde saklanır. |
| Hesap verebilirliğin sağlanması | E | Kişisel Veriler mantıksal olarak belirli bir Müşteri ile ilişkilendirilir ve birbiriyle ilişkisi olmayan müşteriler arasında paylaşılmaz. Platform ve sistem erişimine ilişkin olaylar ve denetim kayıtları kaydedilir, izlenir ve periyodik olarak incelenir. |
| Veri taşınabilirliğinin ve silinmesinin sağlanması | E | Veri İşleyen, Sözleşme hükümlerine ve yürürlükteki mevzuata tabi olarak, Müşterinin yazılı talebi üzerine veri taşınabilirliğini ve silinmesini destekler. |
Ek 3. Alt İşleyenlerin Listesi
Müşteri, aşağıdaki ek veri işleyenlerin kullanılmasına izin vermiştir:
| Adı | Adresi | İşlemenin tanımı |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | E-posta Mesajlarının iletimi ve teslimatla ilgili meta verilerin işlenmesi dâhil bulut barındırma altyapısı ve e-posta teslim altyapısı. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Bulut barındırma altyapısı |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | İçerik dağıtım ve önbellekleme altyapısı |
Ek 4. SCC Koşulları
Komisyonun 4 Haziran 2021 tarihli (AB) 2021/914 sayılı Uygulama Kararı’nın Ekinde yer alan AB Standart Sözleşme Hükümlerinin (“AB SCC’leri”) koşulları, Veri İşleme Sözleşmesine atıf yoluyla aşağıdaki şekilde dâhil edilir:
1. Uygulanacak Modül
Sözleşme kapsamında AB’den kaynaklanan Veri Sorumlusu Kişisel Verilerinin aktarımına uygulanacak modül, Modül 2 – “Veri Sorumlusundan Veri İşleyene”dir.
2. Seçilen Seçenekler
(AB) 2021/914 sayılı Komisyon Uygulama Kararı’nın AB SCC’lerinde seçenekler arasında seçim yapılmasına imkân tanıdığı durumlarda aşağıdaki seçenekler seçilmiştir:
| SCC hükmü | Seçilen seçenek / belirleme |
|---|---|
| Madde 7: Katılım Hükmü | İsteğe bağlı katılım hükmü uygulanmayacaktır. |
| Madde 9: Alt işleyenlerin kullanımı | Seçenek 2. Süre 30 iş günü olacaktır. |
| Madde 11: Hukuki Başvuru / Tazminat | İsteğe bağlı hüküm uygulanmayacaktır. |
| Madde 17: Uygulanacak Hukuk | Seçenek 1. İrlanda hukuku. |
| Madde 18: Mahkeme ve Yetki Seçimi | İrlanda mahkemeleri. |
3. SCC’nin IA numaralı Eki aşağıdaki şekilde doldurulmuş sayılır:
- Veri aktaran Müşteridir ve veri aktarana ilişkin bilgiler, VİS’in Ek 1 (Bölüm A)’da belirtilen bilgilerle aynıdır.
SCC kapsamında aktarılan verilere ilişkin faaliyetler: veri alıcının söz konusu Kişisel Verileri veri aktaran adına işleyebilmesi ve Hizmetleri Adapty Hizmet Koşullarına uygun olarak sağlayabilmesi amacıyla Kişisel Verilerin veri aktaran tarafından veri alıcıya aktarılması. - Veri alıcı Adapty’dir ve Adapty’ye ilişkin bilgiler, VİS’in Ek 1 (Bölüm A)’da belirtilen bilgilerle aynıdır.
SCC kapsamında aktarılan verilere ilişkin faaliyetler şunlardır: Hizmetlerin Adapty Hizmet Koşullarına uygun olarak sağlanması amacıyla Kişisel Verilerin Veri Aktarandan alınması.
4. SCC’nin IB numaralı Eki, VİS’in Ek 1’i ile aynı olacak ve ayrıca IB numaralı Ekin doldurulması için şu bilgi eklenmiştir: aktarım sıklığı süreklidir.
5. IC numaralı Ek aşağıdaki şekilde doldurulmuştur: İrlanda Cumhuriyeti Denetim Makamı.
6. SCC’nin II numaralı Eki, VİS’in Ek 2’si ile aynı olacaktır.
7. SCC’nin III numaralı Eki, VİS’in Ek 3’ü ile aynı olacaktır.
Son güncelleme:
