Taslak bildirimi — hukuki inceleme bekleniyor

Bu belge, şeffaflık amacıyla yayımlanmış bir çalışma taslağıdır ve yetkin veri koruma hukuku müşavirinin incelemesini beklemektedir. İmzalı sürüm her iki tarafça imzalanana kadar lütfen bu sayfayı bilgilendirme amaçlı kabul edin. Veri işleme faaliyetlerinize uygulanan imzalı Veri İşleme Sözleşmesi (DPA), talep üzerine info@nuvinode.com adresinden veya sözleşmenin akdi sırasında sağlanır.

1. Taraflar ve Tanımlar

Bu Veri İşleme Sözleşmesi ("DPA"), NUVI SOFTWARE LIMITED ("nuvinode", "Veri İşleyen") ile Hizmete kaydolan müşteri ("Müşteri", "Veri Sorumlusu") arasındaki Hizmet Şartları'nın ayrılmaz bir parçasını oluşturur. DPA, nuvinode'un Hizmet kapsamında Müşteri adına Kişisel Veri işlediği her durumda uygulanır.

Burada tanımlanmayan terimler, (AB) 2016/679 sayılı Tüzük'te ("GDPR") ve uygulanabilir olduğu ölçüde 6698 sayılı Türk Kişisel Verilerin Korunması Kanunu'nda ("KVKK") kendilerine verilen anlamı taşır.

2. Konu ve Süre

Konu: nuvinode platformunun — nuvinode.com adresinde barındırılan çok kiracılı e-ticaret, içerik ve yapay zekâ asistan hizmeti — sağlanması; Müşteri veya son kullanıcıları tarafından Hizmetin kullanımı sırasında iletilen Kişisel Verilerin işlenmesi dâhil.

Süre: bu DPA, Müşteri aktif bir nuvinode aboneliğine sahip olduğu sürece ve buna ek olarak 9. Bölümde tanımlanan fesih sonrası saklama süresi boyunca yürürlükte kalır.

3. İlgili Kişi ve Kişisel Veri Kategorileri

İlgili kişiler: Kişisel Verileri Hizmet aracılığıyla toplanan; Müşterinin son müşterileri, çalışanları, tedarikçileri ve site ziyaretçileri.

Kişisel Veri kategorileri: kimlik verileri (ad, e-posta, telefon), hesap kimlik bilgileri (karma/hash olarak), adresler (fatura, teslimat), sipariş geçmişi, ödeme yöntemi belirteçleri (tam kart numarası — PAN — nuvinode tarafından asla saklanmaz), etkileşim kayıtları ve Müşterinin Hizmet aracılığıyla saklamayı seçtiği diğer her türlü Kişisel Veri.

4. İşlemenin Niteliği ve Amacı

nuvinode, Kişisel Verileri yalnızca Müşterinin belgelenmiş talimatları doğrultusunda Müşteriye Hizmeti sağlamak amacıyla işler. Bu; barındırma, depolama, iletim, yedekleme, arama, dizinleme, Müşterinin talebi üzerine ele alınan destek talepleri ve Müşterinin etkinleştirdiği özelliğe özgü işlemleri (örn. yapay zekâ asistanı, otomasyon akışları, e-posta gönderimi) kapsar.

5. Veri İşleyenin Yükümlülükleri

nuvinode; (a) Kişisel Verileri yalnızca Müşterinin belgelenmiş talimatları üzerine işler; (b) Kişisel Veri işlemeye yetkili personelin uygun gizlilik yükümlülükleriyle bağlı olmasını sağlar; (c) uygun teknik ve idari tedbirleri uygular ve sürdürür (Bölüm 7); (d) alt işleyenlerin görevlendirilmesine ilişkin 6. Bölümde belirlenen koşullara riayet eder; (e) ilgili kişilerden gelen taleplerin yanıtlanmasına ilişkin yükümlülüklerini yerine getirmesinde Müşteriye yardım eder; (f) GDPR'nin 32 ila 36. maddelerine (güvenlik, ihlal bildirimi, DPIA, ön danışma) uyumun sağlanmasında Müşteriye yardım eder; ve (g) hizmetlerin sağlanmasının sona ermesinin ardından, Müşterinin tercihine göre, tüm Kişisel Verileri siler veya iade eder; Birlik veya Üye Devlet hukukunun saklamayı zorunlu kıldığı hâller saklıdır.

nuvinode, GDPR'nin 28. maddesine uyumu göstermek için gerekli tüm bilgileri Müşteriye sunar ve makul kapsam, zamanlama ve gizlilik koşullarına tabi olmak kaydıyla, Müşteri veya Müşterinin yetkilendirdiği başka bir denetçi tarafından yürütülen denetimlere — yerinde incelemeler dâhil — imkân tanır ve katkıda bulunur.

6. Alt İşleyenler

Müşteri, Hizmetin sağlanması için nuvinode'un alt işleyenler görevlendirmesine yetki verir. Güncel alt işleyen listesi /subprocessors adresinde yayımlanır ve zaman zaman güncellenir.

nuvinode, alt işleyen listesine yapılması planlanan eklemeler veya değişiklikler hakkında makul bir süre önceden bildirimde bulunur. Müşteri, bu değişikliklere bildirimden itibaren 30 gün içinde makul veri koruma gerekçeleriyle itiraz edebilir; bu durumda taraflar bir çözüm bulmak için iyi niyetle birlikte çalışır.

nuvinode, her alt işleyenle, bu DPA'dakilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme akdeder. nuvinode, her alt işleyenin yükümlülüklerinin ifasından Müşteriye karşı tam olarak sorumlu kalır.

7. Teknik ve İdari Tedbirler

nuvinode, riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve idari tedbirleri sürdürür; bunlar arasında iletim sırasında şifreleme (HSTS preload ile TLS 1.3), bekleme halinde şifreleme (veritabanı birimleri ve nesne depolama için AES-256), kiracı bazında mantıksal izolasyon, denetim kaydı tutulan en az yetki ilkesine dayalı erişim kontrolleri, OAuth token'ları ve API kimlik bilgileri için gizli kasa (secret-vault) depolaması, otomatik bağımlılık taraması, güvenlik açığı izleme, olay müdahale prosedürleri ve personel güvenlik eğitimleri yer alır.

Operasyonel uygulamaların daha ayrıntılı açıklaması /security adresinde yayımlanmıştır ve işbu DPA'nın parçasını oluşturur.

8. Uluslararası Aktarımlar

Kişisel Veriler öncelikli olarak Avrupa Ekonomik Alanı içinde saklanır. Hizmetin sunulması için üçüncü bir ülkeye aktarım gerekli olduğunda (örneğin bir alt işleyenin AEA dışında yerleşik olması nedeniyle), nuvinode GDPR'ın V. Bölümü kapsamında tanınan bir aktarım mekanizmasına — uygulanabilir olduğu hallerde tipik olarak Avrupa Komisyonu'nun Standart Sözleşme Maddelerine — dayanır ve içtihat hukukunun gerektirdiği hallerde ek tedbirler uygular.

9. Kişisel Veri İhlalleri

nuvinode, Müşteri'nin Kişisel Verilerini etkileyen bir Kişisel Veri ihlalinden haberdar olduktan sonra, Müşteri'nin ihlal bildirim yükümlülüklerini yerine getirebilmesini sağlamak amacıyla makul ölçüde mevcut olan bilgileri sunarak Müşteri'yi gecikmeksizin bilgilendirir. Bilgilerin tamamı henüz mevcut değilse, nuvinode bunları elde edildikçe aşamalı olarak sağlar.

10. Kişisel Verilerin İadesi veya Silinmesi

Hizmetin sona ermesi veya süresinin dolması halinde nuvinode — Müşteri'nin tercihine göre — tüm Kişisel Verileri siler veya iade eder ve Birlik hukuku ya da Üye Devlet hukuku saklamayı gerektirmedikçe mevcut kopyaları siler.

Müşteri tarafından başlatılan dışa aktarma, kontrol paneli veya API aracılığıyla her zaman kullanılabilir. Hesabın kapatılmasını takiben varsayılan silme süresi, kanunen zorunlu saklama sürelerine tabi olmak üzere 30 gündür.

11. Sorumluluk ve Öncelik Sırası

Hizmet Şartları'nın sorumluluk hükümleri işbu DPA için de aynı şekilde geçerlidir. Veri koruma konularında işbu DPA ile Hizmet Şartları arasında çelişki olması halinde işbu DPA esas alınır.

İşbu DPA'daki hiçbir hüküm, taraflardan herhangi birinin geçerli veri koruma hukuku kapsamındaki haklarını veya başvuru yollarını sınırlamaz.

12. Uygulanacak Hukuk ve Yetkili Mahkeme

İşbu DPA, Hizmet Şartları'nda belirtilen hukuka tabidir. İşbu DPA'dan doğan veya DPA ile bağlantılı uyuşmazlıklar, Hizmet Şartları'nda belirtilen şekilde çözülür.