Veri İşleme Sözleşmesi

1. Taraflar ve sözleşmenin kurulması

Veri Sorumlusu: FrameCRM Aboneliği satın almış olan Müşteri (“Veri Sorumlusu”).

Veri İşleyen: Pavlo Okhmak; Çek Cumhuriyeti Ticari Faaliyet Sicili’ne (živnostenský rejstřík) kayıtlı, KDV mükellefi olmayan şahıs işletmesi (ticari faaliyette bulunan gerçek kişi); işletme kimlik numarası (IČO) 29485941; merkez (faaliyet yeri): Bezručova 4201, 430 03 Chomutov, Çek Cumhuriyeti (“Veri İşleyen”).

İşbu Veri İşleme Sözleşmesi (“DPA”), Hizmet Koşulları’nın bir parçasını oluşturur. Veri Sorumlusu, FrameCRM’e kayıt sırasında onayını teyit ederek bu sözleşmeyi kabul eder; imza gerekmez. DPA, (AB) 2016/679 sayılı Tüzük’ün (GDPR) md. 28(3) uyarınca sözleşme şartını yerine getirir.

İşbu DPA’nın Çekçe metni bağlayıcıdır; bu Türkçe metin yalnızca bilgilendirme amacıyla sunulan bir çeviridir ve herhangi bir farklılık halinde Çekçe metin esas alınır. Kişisel verilerin korunmasına ilişkin konularda DPA, Hizmet Koşulları’na göre önceliklidir.

2. Konu, süre, nitelik ve amaç

• Konu: Veri Sorumlusunun veya kullanıcılarının FrameCRM’e girdiği kişisel verilerin işlenmesi.
• Süre: Abonelik süresince ve sonrasında, veriler Madde 10 uyarınca silinene kadar.
• İşlemenin niteliği: toplama (Veri Sorumlusunun web sitesinden veya kullanıyorsa çevrim içi rezervasyon formundan gelen talepler ve rezervasyonlar dahil), saklama, düzenleme, görüntüleme, arama, değiştirme, dışa aktarma, Veri Sorumlusunun kullanıcılarının müşterilere kendilerinin gönderdiği hatırlatmaların ve mesajların hazırlanması (ör. bir WhatsApp bağlantısı aracılığıyla), Veri Sorumlusunun kullanıcılarına bildirimler (Veri Sorumlusu tarafından etkinleştirilmişse Telegram üzerinden), fatura gibi belgelerin düzenlenmesi, yedekleme ve silme.
• Amaç: FrameCRM hizmetinin sunulması — Veri Sorumlusunun müşterilerinin, araçlarının, iş emirlerinin, takviminin, hatırlatmalarının, değerlendirmelerinin, faturalarının, stokunun, ücret bordrosunun ve istatistiklerinin kaydı.

3. İlgili kişi kategorileri ve kişisel veri kategorileri

İlgili kişiler: Veri Sorumlusunun müşterileri ve potansiyel müşterileri, bunların iletişim kişileri, Veri Sorumlusunun çalışanları ve diğer kullanıcıları.

Veri kategorileri:

• kimlik ve iletişim verileri (ad, telefon, e-posta, adres);
• araç verileri (marka, model, plaka, VIN, kilometre bilgisi);
• iş emri geçmişi, randevular, fiyatlar ve ödeme kayıtları, notlar;
• fatura bilgileri (fatura adı, adres, işletme kimlik numarası / KDV numarası);
• başka kişisel veriler de içerebilen fotoğraflar (esas olarak araç fotoğrafları);
• müşteri yazışmaları ve değerlendirmeleri;
• Veri Sorumlusunun kullanıcılarına ilişkin veriler (ad, e-posta, telefon, rol, giriş kayıtları, işlem kaydı) ve Veri Sorumlusu ücret bordrosu özelliğini kullanıyorsa bunların ücretlendirme kuralları, kazançları ve ödemeleri.

Özel nitelikli verilerin (GDPR md. 9) veya cezai mahkûmiyetlere ilişkin verilerin işlenmesi öngörülmemektedir; Veri Sorumlusu bu tür verileri FrameCRM’e girmez.

4. Veri Sorumlusunun yükümlülükleri

Veri Sorumlusu; işleme için bir hukuki dayanağa sahip olmaktan, ilgili kişileri gereği gibi bilgilendirmekten, girilen verilerin doğruluğundan ve Veri İşleyen’e verdiği talimatların hukuka uygun olmasını sağlamaktan sorumludur. Veri Sorumlusu, kullanıcılarının giriş bilgilerini korur.

5. Veri İşleyenin yükümlülükleri

Veri İşleyen:

• kişisel verileri, üçüncü ülkelere aktarımlar da dahil olmak üzere yalnızca Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işler — Hizmet Koşulları, işbu DPA ve Veri Sorumlusunun uygulamadaki ayarları ve işlemleri bu tür talimatlar olarak kabul edilir; bir talimatın hukuka aykırı olduğunu düşünürse Veri Sorumlusunu derhal bilgilendirir;
• verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altına girmesini sağlar;
• GDPR md. 32 uyarınca teknik ve idari tedbirleri alır (Madde 7);
• alt veri işleyenlerin görevlendirilmesine ilişkin koşullara uyar (Madde 6);
• ilgili kişi taleplerinin yanıtlanmasında Veri Sorumlusuna yardımcı olur — özellikle verileri bulmaya, düzeltmeye, dışa aktarmaya ve silmeye yönelik uygulama özellikleri aracılığıyla;
• işlemenin niteliğini ve mevcut bilgileri dikkate alarak GDPR md. 32 ila 36 kapsamındaki yükümlülüklerin yerine getirilmesinde Veri Sorumlusuna yardımcı olur;
• hizmetin sona ermesinden sonra verileri siler veya iade eder (Madde 10);
• uyumun gösterilmesi için gerekli bilgileri Veri Sorumlusunun erişimine sunar ve denetimlere izin verir (Madde 11);
• Veri Sorumlusunun verilerini kendi amaçları için kullanmaz.

6. Alt veri işleyenler

Veri Sorumlusu, alt veri işleyenlerin görevlendirilmesi için genel yetki verir. İşbu DPA’nın yürürlük tarihi itibarıyla bunlar şunlardır:

Abonelik ödemeleri Stripe tarafından işlenir; ancak Stripe, Veri Sorumlusunun müşterilerine ait kişisel verileri işlemez.

WhatsApp üzerinden müşterilere gönderilen mesajlar, Veri Sorumlusunun kullanıcıları tarafından kendi WhatsApp uygulamalarından (sohbet başlatma bağlantısı) gönderilir; bu nedenle WhatsApp (Meta), Veri İşleyen’in alt veri işleyeni değildir ve Veri Sorumlusunun WhatsApp kullanımı, Meta ile kendi ilişkisine tabidir. Bir kullanıcı bir VIN’i çözümlediğinde, marka ve modelin belirlenmesi amacıyla yalnızca VIN (başka herhangi bir veri olmadan) ücretsiz ve herkese açık NHTSA vPIC veritabanına (ABD Ulaştırma Bakanlığı) gönderilir; stüdyo adresleri OpenStreetMap (Nominatim) üzerinden aranabilir.

Veri İşleyen, bir alt veri işleyenin eklenmesine veya değiştirilmesine yönelik her türlü planı Veri Sorumlusuna en az 14 gün önceden e-posta ile bildirir. Veri Sorumlusu, veri korumaya ilişkin makul gerekçelerle itiraz edebilir; taraflar bir çözüm bulamazsa Veri Sorumlusu Aboneliği değişiklik tarihinden itibaren geçerli olmak üzere iptal edebilir. Veri İşleyen, alt veri işleyenlerine aynı veri koruma yükümlülüklerini yükler ve onların yükümlülüklerini yerine getirmesinden sorumlu olmaya devam eder.

Üçüncü ülkelere aktarımlar yalnızca GDPR Bölüm V kapsamındaki güvencelerle (yeterlilik kararları, standart sözleşme hükümleri) gerçekleşir.

7. Teknik ve idari tedbirler

• aktarım sırasında şifreleme (HTTPS/TLS) ve veritabanı sağlayıcısı tarafından saklanan verilerin şifrelenmesi;
• parolalar veya tek kullanımlık giriş bağlantıları (sınırlı süre geçerli) ile giriş, güvenli oturumlar, hesap içinde kullanıcı rolleri ve yetkileri;
• her müşterinin verilerinin mantıksal olarak ayrıştırılması;
• Veri İşleyen’in üretim verilerine yalnızca gerekli ölçüde (destek, sorun giderme) ve güçlü kimlik doğrulama ile korunan erişimi;
• veritabanı sağlayıcısında geri yükleme imkânı sunan düzenli yedeklemeler;
• yazılımın ve bağımlılıkların sürekli güncellenmesi, gizli anahtarların kaynak kodun dışında yönetilmesi;
• işlem ve güvenlik olayı kayıtları;
• veri minimizasyonu — müşterilerin kişisel verileri analiz araçlarına gönderilmez;
• bir güvenlik olayı müdahale prosedürü.

8. Kişisel veri ihlalleri

Veri İşleyen, bir kişisel veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 48 saat içinde Veri Sorumlusuna bildirir. Bildirim, Veri İşleyen’in elinde bulunan GDPR md. 33(3) kapsamındaki bilgileri içerir ve yeni bilgiler edinildikçe tamamlanır. Veri İşleyen, sonuçları hafifletmek için makul tedbirleri alır.

9. İlgili kişi talepleri

Veri İşleyen, Veri Sorumlusunun verilerine ilişkin bir ilgili kişiden talep alırsa, bu talebi gecikmeksizin Veri Sorumlusuna iletir ve Veri Sorumlusu tarafından yetkilendirilmedikçe talebe kendisi yanıt vermez.

10. Verilerin silinmesi ve iadesi

Abonelik süresince Veri Sorumlusu verileri dilediği zaman dışa aktarabilir ve silebilir. Aboneliğin sona ermesinden sonra Veri İşleyen verileri 90 gün süreyle saklar; bu süre içinde Veri Sorumlusu verileri makine tarafından okunabilir bir formatta talep edebilir. Ardından Veri İşleyen verileri kalıcı olarak siler; yedeklerdeki kopyalar, yedek rotasyonu yoluyla en geç sonraki 30 gün içinde ortadan kalkar. Saklamanın kanunen zorunlu olduğu haller bu hükmün dışındadır.

11. Bilgi ve denetimler

Veri İşleyen, talep üzerine GDPR md. 28’e uyumu göstermek için gerekli bilgileri Veri Sorumlusuna, genellikle yazılı yanıtlar ve dokümantasyon şeklinde sunar. Veri Sorumlusu veya onun yetkilendirdiği ve gizlilik yükümlülüğü altındaki bir denetçi, en az 30 gün önceden bildirimde bulunarak, yılda en fazla bir kez (bir kişisel veri ihlalinin soruşturulması veya bir denetim makamının talebi hali hariç) ve masrafları Veri Sorumlusuna ait olmak üzere bir denetim veya yerinde inceleme yapabilir.

12. Sorumluluk ve son hükümler

Tarafların sorumluluğu GDPR md. 82’ye, diğer hususlarda ise Hizmet Koşulları’na tabidir. İşbu DPA, Veri İşleyen Veri Sorumlusunun verilerini işlediği sürece yürürlükte kalır. DPA, Çek Cumhuriyeti hukukuna tabidir.

Veri koruma iletişimi: info@frame-webs.com.