Veri İşleme Sözleşmesi (DPA)

Bu Veri İşleme Sözleşmesi (“DPA”), Müşterinin Axporter hizmetini kullanırken Axporter'a sağladığı veya Axporter hesabında işlediği kişisel veriler bakımından tarafların veri koruma sorumluluklarını düzenler. Bu DPA, Kullanım Koşulları, Gizlilik Politikası ve KVKK Aydınlatma Metni, Alt İşleyenler Listesi ve Saklama/Silme Politikasıyla birlikte uygulanır.

Bu DPA ile Kullanım Koşulları arasında kişisel verilerin işlenmesine ilişkin açık bir çelişki varsa, yalnız çelişen veri işleme konusu bakımından bu DPA önceliklidir. Ticari hükümler, ödeme, lisans, sorumluluk sınırı ve uyuşmazlık hükümleri Kullanım Koşullarında düzenlenmeye devam eder.

Müşteri, kendi CRM kayıtlarına yüklediği veya Axporter üzerinden yönettiği müşteri, potansiyel müşteri, kişi, şirket, iletişim, belge, e-posta, sevkiyat ve dosya içerikleri bakımından çoğu durumda veri sorumlusu/controller veya eşdeğer karar verici roldedir. Axporter, bu verileri Müşteri adına ve Müşterinin belgelenmiş talimatları doğrultusunda veri işleyen/processor veya hizmet sağlayıcı olarak işler.

Axporter; kendi hesap yönetimi, ödeme/faturalama, güvenlik, dolandırıcılık önleme, ürün operasyonu, müşteri referans izni, destek kayıtları ve yasal yükümlülükleri bakımından ayrı veri sorumlusu/controller veya bağımsız işleyen rolünde hareket edebilir. Somut rol, verinin kaynağına, işleme amacına ve işleme araçlarını kimin belirlediğine göre değerlendirilir.

Müşteri, Axporter'a kişisel verileri yalnız hizmetin sağlanması, güvenliğin korunması, destek verilmesi, veri bütünlüğü/yedekleme/geri yükleme, entegrasyonların çalıştırılması, yasal yükümlülüklerin yerine getirilmesi ve Kullanım Koşullarının uygulanması için işleme talimatı verir.

Axporter, Müşteri Verilerini kendi satış çıkarı için kullanamaz; Müşterinin müşterilerine kendi adına ulaşamaz; Müşteriyle rekabet edemez; verileri satamaz, kiralayamaz, veri ticaretine konu edemez; başka müşteri hesaplarını zenginleştiremez; bağımsız veri tabanı oluşturamaz; reklam hedefleme veya izinsiz genel yapay zekâ modeli eğitimi için kullanamaz.

Axporter, bir talimatın açıkça hukuka aykırı olduğunu düşünürse, hukuken yasak olmadığı ölçüde Müşteriyi bilgilendirebilir ve talimatın yerine getirilmesini askıya alabilir.

İşlenen kişisel veri kategorileri; kimlik, iletişim, hesap, oturum, güvenlik, kullanım, cihaz, IP, CRM kayıtları, şirket/kişi kayıtları, e-posta ve bağlı posta kutusu verileri, belge/dosya/sevkiyat içerikleri, destek kayıtları, işlem kayıtları, faturalama referansları, doğrulama/teslimat kayıtları, elektronik kabul/onay/sözleşme versiyonu/hash kayıtları ve müşteri içeriğinden arındırılmış teknik tanılama kayıtlarını içerebilir.

İlgili kişi kategorileri; Müşteri kullanıcıları, kuruluş yöneticileri, çalışanlar, davet edilen ekip üyeleri, Müşterinin müşterileri, potansiyel müşterileri, tedarikçileri, iş ortakları, iletişim kişileri ve Müşteri tarafından Axporter'a aktarılan diğer kişiler olabilir.

Axporter, kişisel verilerin yetkisiz erişim, kayıp, değişiklik, ifşa veya kötüye kullanıma karşı korunması için makul teknik ve organizasyonel önlemler uygular. Bu önlemler şunları içerebilir:

• aktarım sırasında ve uygun durumlarda saklama sırasında şifreleme;
• rol tabanlı erişim kontrolü, asgari ayrıcalık ve kimlik doğrulama;
• yetkili personel ve yükleniciler için gizlilik yükümlülüğü;
• güvenlik, erişim ve işlem kayıtları;
• yedekleme, geri yükleme ve felaket kurtarma süreçleri;
• güvenlik izleme, olay müdahalesi ve zafiyet yönetimi;
• müşteri içeriğinden arındırılmış test ve tanılama uygulamaları;
• üretim verilerinin geliştirme, test ve tasarım sistemlerine olağan akışta aktarılmaması.

Bulut altyapısı, barındırma bölgesi, somut şifreleme standardı, anahtar yönetimi, yedek saklama süresi ve sağlayıcı güvenlik belgeleri Alt İşleyenler Listesi, güvenlik eki veya müşteri güvenlik dokümanında ayrıca açıklanmalıdır.

Müşteri, Axporter'ın hizmeti sunmak için gerekli alt işleyenleri kullanabileceğini kabul eder. Alt işleyenler yalnız gerekli asgari veriyle ve gizlilik, güvenlik, amaç sınırlaması, ihlal bildirimi, hak taleplerine yardım, alt işleyen yönetimi ve hizmet bitiminde veri iadesi/silme yükümlülükleri altında kullanılmalıdır.

Güncel alt işleyenlerin ticari unvanları, işlevleri, işlenen veri kategorileri ve işleme/aktarım bölgeleri ayrı Alt İşleyenler Listesinde yayımlanır. Önemli alt işleyen değişikliklerinde Axporter listeyi günceller ve uygulanabilir hukuk veya sözleşmenin gerektirdiği ölçüde Müşteriye bildirim sağlar.

Axporter, Müşteri Verilerini etkileyen doğrulanmış veya makul şüpheli bir kişisel veri güvenliği olayını öğrendiğinde olayı değerlendirir, etkisini sınırlandırmak için makul adımlar atar ve Müşteriye gereksiz gecikme olmaksızın, hedef olarak 48 saat içinde bildirim yapmaya çalışır.

Bildirim, o an makul olarak bilinen ölçüde olayın niteliğini, etkilenen veri kategorilerini, etkilenen sistemleri, alınan veya planlanan önlemleri, Müşterinin alabileceği önerilen adımları ve iletişim noktasını içerebilir. Bilgiler tamamlanmamışsa Axporter makul aralıklarla ek bilgi sağlayabilir.

Axporter'ın veri sorumlusu olduğu KVKK kapsamındaki ihlallerde Kurul'a bildirim gerekip gerekmediği değerlendirilir ve uygulanabilir hâllerde gecikmeksizin, kural olarak en geç 72 saat içinde bildirim yaklaşımı dikkate alınır. Müşterinin veri sorumlusu olduğu verilerde, resmi bildirim yükümlülüğünü değerlendirmek ve yerine getirmek Müşterinin sorumluluğundadır; Axporter makul teknik destek sağlar.

Axporter, Müşteri adına işlediği verilerle ilgili bir erişim, düzeltme, silme, itiraz, kısıtlama, taşınabilirlik veya benzeri ilgili kişi talebi alırsa, hukuken aksi gerekmedikçe talebi Müşteriye yönlendirebilir. Müşteri, kendi veri sorumlusu olduğu talepleri değerlendirmekten, yanıtlamaktan ve gerekli hukuki dayanağı belirlemekten sorumludur.

Axporter, Müşterinin makul ve teknik olarak mümkün taleplerine yardımcı olur. Talebin kapsamı olağan destek seviyesini aşarsa taraflar uygulanabilir ücret veya iş kapsamını ayrıca değerlendirebilir.

Sözleşme veya ücretli erişim sona erdiğinde Müşteri, Kullanım Koşullarında belirtilen süre boyunca müşteri içeriklerini görüntüleyebilir, dışa aktarabilir veya hesap kurtarma sürecini tamamlayabilir. Axporter'ın ürün politikası uyarınca, ücretli erişimin sona ermesinden veya ödeme alınamadığı için üyeliğin askıya alınmasından/sona ermesinden itibaren en fazla 180 gün sonunda Müşterinin operasyonel müşteri verileri, CRM kayıtları, belgeleri, dosyaları ve hesap içerikleri aktif üretim veri tabanlarından silinir veya geri döndürülemez biçimde anonimleştirilir.

Fatura, vergi, ödeme, güvenlik, fraud, onay, uyuşmazlık, yasal savunma ve hukuki zorunluluk kayıtları, gerekli olduğu süre boyunca ayrı ve kısıtlı biçimde saklanabilir.

Yedeklerde kalan kopyalar olağan üzerine yazma döngüsünde silinir ve bu arada olağan işletim amacıyla geri yüklenmez veya başka amaçla kullanılmaz.

Expinno Inc. ABD merkezlidir ve Axporter hizmetinde kullanılan sağlayıcılar farklı ülkelerde veri işleyebilir. Uluslararası kişisel veri aktarımları uygulanabilir hukuk uyarınca gerekli sözleşmesel, teknik ve organizasyonel güvencelerle yürütülmelidir. Türkiye'deki ilgili kişiler bakımından KVKK yurt dışına aktarım kuralları, standart sözleşmeler, açık rıza veya diğer geçerli aktarım mekanizmaları uygulanır ve gerekli bildirim/başvuru süreçleri tamamlanır.

Axporter, makul talep üzerine ve gizlilik/güvenlik sınırları içinde Müşteriye veri işleme faaliyetleri, güvenlik önlemleri, alt işleyenler ve ihlal müdahale süreçleri hakkında uygun dokümantasyon sağlayabilir. Güvenlik nedeniyle üçüncü taraf denetim raporları, özet güvenlik belgeleri veya kontrollü yazılı yanıtlar doğrudan sistem erişimine tercih edilebilir.

Denetim talepleri makul sıklıkta, önceden bildirimle, iş sürekliliğini ve diğer müşterilerin gizliliğini bozmayacak şekilde yürütülmelidir. Yerinde denetim, penetrasyon testi veya kaynak sistemlere erişim Axporter'ın açık yazılı onayına tabidir.

Bu DPA, Kullanım Koşullarındaki sorumluluk sınırlarını, garanti reddini, uygulanacak hukuk ve uyuşmazlık hükümlerini genişletmez veya ortadan kaldırmaz; emredici veri koruma hukuku kapsamındaki vazgeçilemez hak ve yükümlülükler saklıdır.

Müşteri, Axporter'a aktardığı kişisel veriler için gerekli hukuki dayanağı, aydınlatmayı, izinleri, veri minimizasyonunu, doğruluğu, saklama kararlarını ve kendi faaliyetindeki ilgili kişi taleplerini yönetmekten sorumludur. Axporter, Müşteri adına işlediği veriler bakımından bu DPA'da belirtilen veri işleyen yükümlülüklerini yerine getirir.