Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme" veya "DPA"), Reaktör Teknoloji Ticaret Limited Şirketi'nin (Reactll markasıyla, "Reactll", "biz") bir işletme müşterisine ("Müşteri", "siz") hizmet verdiği her anlaşmanın parçasıdır: kabul edilmiş bir teklif, bir sipariş, bir bakım veya abonelik anlaşması ya da Reactll Connect ve Reactll uygulamasının kullanımı (birlikte "Ana Sözleşme"). Sizin adınıza kişisel veri işlediğimiz her durumda uygulanır.

Bu Sözleşmeyi; ona atıf yapan bir teklifi kabul ederek, size gönderdiğimiz onay bağlantısıyla, Reactll uygulamasında veya yazılı olarak (e-posta dahil) kabul edersiniz. Hangi sürümü kimin, ne zaman ve nasıl kabul ettiğini kayıt altında tutarız.

1. Tanımlar

"Veri Koruma Mevzuatı": işlemeye uygulanan kişisel veri mevzuatının tamamı; özellikle 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR"), Birleşik Krallık'ta Data Protection Act 2018 ile birlikte uygulanan GDPR ("UK GDPR") ve İsviçre Federal Veri Koruma Kanunu. "Kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi", "kişisel veri ihlali" ve "denetim makamı" bu mevzuattaki anlamlarını taşır. "Müşteri Kişisel Verisi": Ana Sözleşme kapsamında sizin adınıza işlediğimiz ve Ek I'de tanımlanan kişisel veriler. "Alt İşleyen": Müşteri Kişisel Verisini işleyen ve bizim görevlendirdiğimiz üçüncü kişi.

2. Roller

Müşteri Kişisel Verisinin veri sorumlusu sizsiniz, biz veri işleyeniz. Siz de başka biri adına veri işleyen konumundaysanız biz sizin alt işleyeniniz oluruz ve bizim görevlendirilmemize sizin veri sorumlunuzun izin verdiğini kabul edersiniz. Sizinle ilgili kendi iş verilerimiz (şirketinizdeki muhataplarımız, faturalar, aramızdaki yazışmalar) için biz ayrı bir veri sorumlusuyuz; bu veriler bu Sözleşmeye değil Gizlilik Politikamıza tabidir.

3. Talimatlarınız

Müşteri Kişisel Verisini yalnızca belgelenmiş talimatlarınızla işleriz. Ana Sözleşme, bu Sözleşme, Reactll Connect ve Reactll uygulamasında seçtiğiniz ayarlar (örneğin hangi modüllerin — ziyaretçiler, olaylar, formlar, satışlar ve siparişler — açık olduğu) ve yazılı talepleriniz talimatınızdır. Bir talimatın Veri Koruma Mevzuatına aykırı olduğunu düşünürsek bunu size gecikmeksizin bildiririz ve siz onaylayana ya da değiştirene kadar işlemenin o kısmını durdurabiliriz. Bir kanun veriyi farklı işlememizi gerektirirse, o kanun yasaklamadıkça bunu önceden size bildiririz.

Bize işlettiğiniz verilerin hukuka uygunluğundan siz sorumlusunuz: sitelerinizin, formlarınızın ve uygulamalarınızın mevzuatın gerektirdiği aydınlatmayı yapması ve gereken rızaları alması (hazır metin için bölüm 16'ya bakınız) ve yalnızca ihtiyaç duyduğunuz verinin toplanması.

4. Gizlilik

Müşteri Kişisel Verisine yalnızca hizmetler için ihtiyacı olan kişiler erişebilir. Bu kişilerin her biri, görevden ayrıldıktan sonra da süren yazılı bir gizlilik yükümlülüğü altındadır. Erişim kişiseldir (ortak hesap veya anahtar kullanılmaz) ve ihtiyaç kalmadığında kaldırılır.

5. Güvenlik

İşlemenin riskine uygun olarak Ek II'deki teknik ve idari tedbirleri uygularız. Bu tedbirleri zamanla geliştirebiliriz, ancak sözleşme süresince toplam koruma seviyesini düşürmeyiz.

6. Alt işleyenler

Ek III'te listelenen Alt İşleyenleri kullanmamıza genel izin verirsiniz. Yeni bir Alt İşleyen Müşteri Kişisel Verisini işlemeye başlamadan en az 30 gün önce bunu ana muhatabınıza e-postayla ve bu sayfada bildiririz. Bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilirsiniz; bu durumda iyi niyetle bir alternatif ararız, bulamazsak taraflardan her biri hizmetlerin etkilenen kısmını cezasız olarak sonlandırabilir ve o kısım için peşin ödenmiş bedelin kalan süreye düşen payı iade edilir. Her Alt İşleyen en az bu Sözleşmedeki korumayı sağlayan yazılı şartlarla bağlıdır ve onun yaptığı işten size karşı biz sorumlu kalırız.

7. Verinin yeri ve yurtdışına aktarım

Müşteri Kişisel Verisi Avrupa Birliği'nde, Frankfurt'taki (Almanya) sunucumuzda saklanır. Veriye AB'den (şirket müdürümüz Hollanda'dan çalışır) ve Türkiye'den (ekibimiz ve merkezimiz İstanbul'dadır) erişilir. Ek III'teki bazı Alt İşleyenler AB dışındadır.

• Türkiye'den (KVKK): verinin Frankfurt'ta saklanması ve yurtdışındaki Alt İşleyenlerin kullanılması KVKK'nın 9. maddesi kapsamında yurtdışına aktarımdır. Türkiye'de yerleşik bir veri sorumlusu olmanız halinde, Kişisel Verileri Koruma Kurumu'nun veri sorumlusundan veri işleyene aktarım için yayımladığı standart sözleşmeyi talebiniz üzerine ücretsiz olarak imzalarız; veri aktaran taraf, imzadan itibaren KVKK'nın öngördüğü süre içinde (bugün için beş iş günü) Kurum'a bildirimde bulunur.
• AB/AEA'dan: bize ve yeterlilik kararı bulunmayan ülkelerdeki Alt İşleyenlere aktarımlar, (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen Standart Sözleşme Maddeleri ("AB SCC") ile güvence altına alınır ve bu maddeler atıf yoluyla bu Sözleşmenin parçasıdır: veri sorumlusu olduğunuzda Modül İki, veri işleyen olduğunuzda Modül Üç. AB SCC bakımından: isteğe bağlı 7. madde (katılım) uygulanır; 9. maddede 2. seçenek (genel izin) bölüm 6'daki bildirim süresiyle uygulanır; 11. maddedeki isteğe bağlı ifade uygulanmaz; 17. ve 18. maddeler Hollanda hukukunu ve mahkemelerini seçer; bu Sözleşmenin Ek I–III'ü AB SCC'nin eklerini tamamlar. ABD'deki bir Alt İşleyen AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıysa bu sertifikaya da dayanırız.
• Birleşik Krallık'tan: Birleşik Krallık Bilgi Komiseri'nin AB SCC'ye yönelik Uluslararası Veri Aktarımı Eki (sürüm B1.0, 21 Mart 2022'de yürürlüğe girmiştir) atıf yoluyla bu Sözleşmenin parçasıdır. Tablo 1 tarafların bilgileriyle, Tablo 2 yukarıdaki seçimlerle, Tablo 3 Ek I–III ile tamamlanır; Tablo 4'te taraflardan her biri Ek'in 19. bölümünün izin verdiği şekilde sonlandırma hakkına sahiptir. Birleşik Krallık'tan AB'ye aktarımlar Birleşik Krallık'ın yeterlilik düzenlemelerine dayanır.
• İsviçre'den: AB SCC, İsviçre Federal Veri Koruma ve Bilgi Komiseri'nin öngördüğü değişikliklerle uygulanır: GDPR'a yapılan atıflar İsviçre kanununa, yetkili makam bu Komiser'e yapılmış sayılır ve İsviçre'deki ilgili kişiler İsviçre'de dava açabilir.

AB SCC, Birleşik Krallık Eki veya KVKK standart sözleşmesi bu Sözleşmeyle çelişirse onlar uygulanır. Talebiniz üzerine aramızda uygulanan maddelerin bir kopyasını ve AB dışından neyin, kim tarafından görülebildiğini ve nasıl korunduğunu anlatan kısa bir aktarım etki değerlendirmesini size veririz.

8. İlgili kişilerin haklarına destek

Bir ilgili kişi Müşteri Kişisel Verisi hakkında bize başvurursa talebi gecikmeksizin ve en geç 5 iş günü içinde size iletiriz; siz istemedikçe kendimiz yanıtlamayız. Hizmetlerin imkân verdiği ölçüde erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz taleplerine yanıt vermenize yardımcı oluruz: HQ'da ve Reactll uygulamasında bir talebin kişisel bilgileri tek işlemle silinebilir; talebiniz üzerine veriyi 10 iş günü içinde dışa aktarır veya sileriz.

9. Kişisel veri ihlalleri

Müşteri Kişisel Verisini etkileyen bir kişisel veri ihlalini, öğrendiğimiz andan itibaren gecikmeksizin ve en geç 48 saat içinde size bildiririz; böylece kendi sürenize uyabilirsiniz (KVKK'da "en kısa sürede", Kurul uygulamasında 72 saat; GDPR ve UK GDPR'da 72 saat). Bildirimimiz, o an bildiğimiz kadarıyla şunları içerir: ne olduğu, etkilenen ilgili kişi ve kayıtların kategorileri ve yaklaşık sayısı, olası sonuçlar, aldığımız ve almayı önerdiğimiz önlemler ve bir irtibat kişisi. Öğrendikçe bilgi ekler, ihlali sınırlamak için makul adımları atarız; siz istemedikçe veya kanun gerektirmedikçe sizin adınıza makama ya da ilgili kişilere bildirim yapmayız. İhlali bildirmemiz kusur kabulü anlamına gelmez.

10. Etki değerlendirmeleri ve makamlar

Hizmetlerle ilgili bir veri koruma etki değerlendirmesi veya denetim makamıyla ön istişare için makul olarak ihtiyaç duyduğunuz bilgileri size veririz ve denetim makamının işlemeyle ilgili taleplerinde işbirliği yaparız.

11. Saklama ve silme

Müşteri Kişisel Verisini yalnızca hizmetlerin gerektirdiği süre boyunca tutarız; bu süreleri elle değil, zamanlanmış görevlerle uygularız:

• Sitelerinizden gelen form talepleri (ad, e-posta, telefon, mesaj ve diğer alanlar): kişisel bilgilerle birlikte 24 ay tutulur, sonra anonimleştirilir. Talebin kaydı (tarih, form, sayfa, trafik kaynağı) kalır; böylece sayılarınız, grafikleriniz ve raporlarınız doğru kalır, ancak kayıt artık kimseyi tanımlamaz.
• Reactll Connect ziyaretçi istatistikleri: IP adresi saklanmaz; ziyaretler her gün değişen bir değerle sayılır. 24 ay tutulur, sonra silinir.
• Satış ve sipariş verileri (yalnızca bu modülü açarsanız): adres, e-posta ve telefon alınmaz; müşteri ad ve soyadının baş harfiyle görünür. Hizmetler sürdükçe tutulur.
• Veritabanı yedekleri: 30 gün sonra silinir. Canlı sistemden silinen veri bu süre içinde yedeklerden de kalkar.
• Hizmetler sona erdiğinde (Ana Sözleşme sona erdiğinde veya bir siteyi bağlantıdan çıkardığınızda): 30 gün içinde verilerinizin dışa aktarımını isteyebilirsiniz; 60 gün sonra Müşteri Kişisel Verisini siler veya geri döndürülemez şekilde anonimleştiririz, ardından yedekler yedek süresi içinde bunu izler. Talebiniz üzerine silmeyi yazılı olarak teyit ederiz. Yalnızca bir kanunun saklamamızı zorunlu kıldığı veriyi, yalnızca o amaçla tutarız.

12. Denetim

Bu Sözleşmeye uyduğumuzu göstermek için gereken bilgileri, başta bu sayfa, Ek II ve yazılı sorularınıza yanıtlarımız olmak üzere sunarız. Bu yeterli olmazsa siz (veya gizlilik yükümlülüğü altında olan ve rakibimiz olmayan bağımsız bir denetçi) yılda bir kez, en az 30 gün önceden yazılı bildirimle, mesai saatlerinde, işimizi aksatmayacak ve diğer müşterilerin verilerini açığa çıkarmayacak şekilde denetim yapabilirsiniz; önce uzaktan denetim önerebiliriz. Denetim tarafımızca bu Sözleşmenin esaslı bir ihlalini ortaya çıkarmadıkça her taraf kendi masrafını karşılar. Bir denetim makamının istediği veya bir kişisel veri ihlalinin ardından yapılan denetim yılda bir sınırına tabi değildir.

13. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu Ana Sözleşmedeki sorumluluk sınırlarına tabidir; Veri Koruma Mevzuatının veya AB SCC'nin bu sınırlara izin vermediği haller saklıdır. Bu Sözleşmedeki hiçbir hüküm ilgili kişilerin taraflara karşı haklarını sınırlamaz.

14. Süre, öncelik ve değişiklikler

Bu Sözleşme, sizin adınıza Müşteri Kişisel Verisi işlediğimiz sürece uygulanır; silme ve gizlilik yükümlülükleri bu süreden sonra da devam eder. Kişisel verilerin işlenmesi konusunda bu Sözleşme Ana Sözleşmeyle çelişirse bu Sözleşme, bölüm 7'deki aktarım maddeleri ise her ikisinden önce uygulanır.

Bu Sözleşmenin her sürümünün bir numarası ve tarihi vardır. Yeni bir sürüm yürürlüğe girmeden en az 30 gün önce size bildiririz. Yalnızca veriye koruma ekleyen, Ek II veya Ek III'ü güncelleyen (bölüm 6 saklı kalmak üzere) ya da mevzuat değişikliğini izleyen değişiklikler o tarihten itibaren uygulanır. Diğer değişiklikler yeni sürümü kabul ettiğinizde sizin için geçerli olur; o zamana kadar kabul ettiğiniz sürüm uygulanmaya devam eder.

15. Uygulanacak hukuk

Türkiye'de yerleşikseniz bu Sözleşmeye Türk hukuku uygulanır ve İstanbul (Çağlayan) mahkemeleri yetkilidir. Diğer hallerde bu Sözleşme Ana Sözleşmeye uygulanan hukuka tabidir; ancak AB SCC Hollanda hukukuna, Birleşik Krallık Eki İngiltere ve Galler hukukuna, KVKK standart sözleşmesi Türk hukukuna tabidir.

16. Aydınlatma metniniz için bir paragraf

İlgili kişilerin, verilerini bir hizmet sağlayıcının işlediğini bilmesi gerekir. Sitenizdeki aydınlatma metnine veya gizlilik politikasına şunu ekleyebilirsiniz (köşeli parantezleri doldurun):

Web sitemizin işletilmesi ve formlar aracılığıyla bize ilettiğiniz mesajların alınması için Reactll (Reaktör Teknoloji Ticaret Ltd. Şti., İstanbul) hizmetinden yararlanıyoruz. Reactll bu verileri yalnızca talimatlarımız doğrultusunda işler, Avrupa Birliği'nde (Frankfurt, Almanya) saklar ve reactll.com/legal/dpa adresinde listelenen hizmet sağlayıcılarını kullanır; bu kapsamda verileriniz yurtdışına aktarılmaktadır. Sitemiz ziyaretleri IP adresinizi saklamadan sayar. Form talepleri 24 ay saklanır, ardından anonimleştirilir. KVKK'nın 11. maddesindeki haklarınızı kullanmak için [e-posta adresiniz] adresine yazabilirsiniz.

İletişim

Reaktör Teknoloji Ticaret Limited Şirketi, Şahkulu Mah. Serdar-ı Ekrem Cad. No: 15/A, Galata, 34430 Beyoğlu, İstanbul, Türkiye · MERSİS 0734209102400001 · [email protected]. Veri koruma irtibat kişisi: Sedat Yusuf Ergüneş, şirket müdürü. Güvenlik bildirimleri: [email protected].

Ek I — İşlemenin tanımı

• Taraflar: veri aktaran: Ana Sözleşmede belirtilen Müşteri (veri sorumlusu veya kendi veri sorumlusu adına veri işleyen). Veri alan: Reaktör Teknoloji Ticaret Limited Şirketi, bilgileri yukarıda (veri işleyen veya alt işleyen).
• Konu ve amaç: Müşterinin web sitelerinin ve uygulamalarının geliştirilmesi, barındırılması, bakımı ve izlenmesi; Reactll Connect ile Müşterinin site ziyaretlerinin, olaylarının, form taleplerinin ve açıksa satış ve siparişlerinin toplanması ve gösterilmesi; HQ'da, e-postayla ve Reactll uygulamasında bildirimler ve raporlar; Müşterinin herkese açık işletme profillerinin ve rakiplerinin takibi; destek.
• İlgili kişiler: Müşterinin web sitesi ziyaretçileri; formlarını dolduranlar; müşterileri (satış ve sipariş modülü); hizmetlerimizi veya Reactll uygulamasını kullanan Müşteri çalışanları.
• Veri kategorileri: IP adresi olmadan ziyaret verileri (sayfalar, yönlendiren, cihaz türü, ülke ve şehir, gün bazlı sayaç); olaylar (telefon, e-posta, WhatsApp, yol tarifi, indirme tıklamaları); form talepleri (ad, e-posta, telefon, mesaj ve Müşterinin formlarının topladığı alanlar, sayfa, zaman); sipariş verileri (sipariş numarası, durum, tutarlar, ürünler, şehir, ad ve soyadın baş harfi); çalışan hesapları (ad, e-posta, verilmişse telefon, rol, bildirim için cihaz anahtarları); yazışmalar.
• Özel nitelikli veriler: amaçlanmamıştır. Hizmetler sağlık, din, biyometrik veya benzeri verileri toplamak için tasarlanmamıştır ve Müşteri bunları soran formlar tasarlamamalıdır. Serbest metin alanlarına her şey yazılabildiği için bir mesaj yine de bu tür veri içerebilir; böyle bir mesaj diğer tüm talepler gibi korunur (saklanırken şifrelenir, aynı takvimle silinir). Formlarının bu tür veri alması muhtemelse (örneğin bir sağlık hizmeti sunuyorsa) Müşteri bunu bize yazılı olarak bildirir; ek tedbirleri birlikte kararlaştırırız.
• Sıklık: Ana Sözleşme süresince sürekli.
• Saklama: bölüm 11'deki gibi.
• Yetkili denetim makamı: Türkiye için Kişisel Verileri Koruma Kurumu; Müşterinin yerleşik olduğu veya AB temsilcisinin bulunduğu AB üye devletinin makamı; Birleşik Krallık için Information Commissioner.

Ek II — Teknik ve idari tedbirler

• Barındırma: canlı sistem Frankfurt'ta (Almanya) özel bir sunucuda (DigitalOcean); veritabanı, dosyalar, kuyruklar ve yedekler aynı sunucuda, üçüncü taraf depolamada değil.
• İletimde: yalnızca TLS, HSTS, sunucunun önünde Cloudflare; sitelerden gelen Connect istekleri site başına bir gizli anahtarla imzalanır (HMAC-SHA256) ve tekrar saldırılarına karşı korunur.
• Saklamada: form taleplerinin ad, e-posta, telefon, mesaj ve alanları AES-256 ile şifrelenir (uygulama düzeyinde şifreleme, anahtarlar veritabanının dışında); birebir aramalar (örneğin "bu kişi daha önce yazdı mı") hiçbir zaman açık değerle değil, anahtarlı özetlerle yapılır.
• Veri en aza indirme: ziyaretçi istatistikleri IP adresi saklamaz ve varsayılan olarak çerez kullanmaz; sipariş verilerinde adres, e-posta ve telefon yoktur; modüller site başına kapatılabilir ve kapalı bir modülden gelen veri saklanmaz.
• Erişim: rol bazlı yetkilerle kişisel hesaplar (sahip, yönetici, üye; Müşteri kullanıcıları yalnızca kendi şirketlerini görür); sunucuya yalnızca kişisel SSH anahtarlarıyla erişim; ihtiyaç kalmayınca kaldırılan erişim; giriş denemesi sınırları ve süresi dolan oturumlar ve anahtarlar.
• Silme: bölüm 11'deki süreleri uygulayan zamanlanmış görevler (eski taleplerin anonimleştirilmesi, eski istatistiklerin silinmesi, yedeklerin budanması); bir talebin kişisel bilgilerinin tek işlemle silinmesi.
• Erişilebilirlik: her canlıya almadan önce doğrulanmış veritabanı yedeği, 30 gün dönen yedekler, belgelenmiş geri alma; beş dakikada bir, sonuçları herkese açık çalışma kontrolleri.
• Geliştirme: her canlıya almadan önce otomatik testlerin geçmesi zorunludur; değişiklikler gözden geçirilir ve sürümlenir; testlerde canlı veri kullanılmaz.
• Kişiler: erişimi olan herkes için gizlilik yükümlülüğü; en az yetki ilkesi; [email protected] adresine gelen güvenlik bildirimlerine iki iş günü içinde yanıt.
• Alt işleyenler: güvenlikleri gözetilerek seçilir ve yazılı veri koruma şartlarıyla bağlıdır (Ek III).

Ek III — Alt işleyenler