Veri İşleme Sözleşmesi

01Taraflar ve kapsam

İşbu Veri İşleme Sözleşmesi (bundan böyle “DPA”), COTRONIKA EOODile Müşteri arasındaki sözleşmenin bir parçasını oluşturur. COTRONIKA EOOD, UIC 202457989 numarasına sahip ve kayıtlı merkezi Sofia 1700, Bulgaria olan bir Bulgar limited şirketidir (bundan böyle “Veri İşleyen”). Müşteri ise bu DPA bakımından “Veri Sorumlusu” olarak anılır. Bu DPA, UXO platformunun /legal/termsadresindeki Hizmet Şartları uyarınca kullanımına ilişkin sözleşmenin (bundan böyle “Sözleşme”) bir parçasıdır.

DPA, Veri İşleyen’in Hizmet’i sunarken Veri Sorumlusu adına kişisel veri işlediği her durumda uygulanır. Veri İşleyen, kişisel verileri kendi adına işlediğinde (örneğin, Müşteri’nin faturalama verileri ve yetkilendirilmiş personel kullanıcılarının iletişim bilgileri), bunları /legal/privacy adresindeki Gizlilik Politikası uyarınca veri sorumlusu sıfatıyla işler; bu işleme, işbu DPA’nın kapsamı dışındadır.

Bu DPA ile Sözleşme arasında çelişki olması halinde, Veri Sorumlusu adına kişisel verilerin işlenmesine ilişkin konularda bu DPA öncelikli olur.

02Tanımlar

Burada tanımlanmayan büyük harfle başlayan terimler, Sözleşme’de kendilerine verilen anlama sahiptir. “kişisel veriler”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “alt işleyen” ve “kişisel veri ihlali” terimleri, Regulation (EU) 2016/679’un Article 4 hükmünde verilen anlamları taşır (bundan böyle “GDPR”).

Uygulanabilir Veri Koruma Hukuku

GDPR, bunu uygulayan veya tamamlayan AB üye devlet mevzuatı (Bulgar Kişisel Verilerin Korunması Kanunu dahil) ve Veri İşleyen’in bu DPA kapsamındaki kişisel veri işleme faaliyetlerine uygulanan diğer tüm veri koruma veya mahremiyet hukuku.

EEA

Avrupa Ekonomik Alanı.

SCCs

Kişisel verilerin üçüncü ülkelere aktarımına ilişkin, Avrupa Komisyonu tarafından 4 June 2021 tarihli Decision (EU) 2021/914 ile kabul edilen Standard Contractual Clauses.

Müşteri Kişisel Verileri

Veri İşleyen tarafından, bu DPA kapsamında Veri Sorumlusu adına işlenen kişisel veriler.

03Roller ve işleme talimatları

Taraflar, Müşteri Kişisel Verileri bakımından Veri Sorumlusu’nun veri sorumlusu ve Veri İşleyen’in veri işleyen olduğunu kabul eder. Veri Sorumlusu’nun Veri İşleyen’e verdiği belgelenmiş talimatlar, Sözleşme, bu DPA ve Hizmet’in yapılandırma seçenekleri üzerinden veya yazılı olarak makul şekilde verilen diğer talimatlardan oluşur.

Veri İşleyen, Müşteri Kişisel Verileri’ni yalnızca Veri Sorumlusu’nun belgelenmiş talimatları üzerine ve yalnızca Ek I’de açıklanan amaçlarla işler; Uygulanabilir Veri Koruma Hukuku aksini gerektiriyorsa bu durum istisnadır. Veri İşleyen, bir talimatın Uygulanabilir Veri Koruma Hukuku’nu ihlal ettiğine inanırsa Veri Sorumlusu’na bunu bildirir ve talimatı yerine getirmeyi reddedebilir.

Veri Sorumlusu, Müşteri Kişisel Verileri’ni Veri İşleyen’e sunma ve Veri İşleyen’e işbu DPA’da açıklanan işlemeyi yaptırma hakkına ve hukuki dayanağa sahip olduğunu garanti eder. İlgili kişilere gerekli bilgilerin verilmesinden, ilgili kişilerle ilişkinin yürütülmesinden ve işlemenin hukuki dayanağının rıza olduğu durumlarda rızanın alınmasından Veri Sorumlusu sorumludur.

04Veri işleyenin yükümlülükleri (Article 28(3) GDPR)

Veri İşleyen şunları yapacaktır:

• Müşteri Kişisel Verileri’ni, uluslararası aktarımlar dahil olmak üzere (bkz. Section 9), yalnızca Veri Sorumlusu’nun belgelenmiş talimatları doğrultusunda işlemek;
• Müşteri Kişisel Verileri’ni işlemeye yetkili kişilerin gizlilik yükümlülüğü altına girmesini veya uygun yasal gizlilik yükümlülüğüne tabi olmasını sağlamak;
• Müşteri Kişisel Verileri’ni kazara veya hukuka aykırı imha, kayıp, değişiklik, yetkisiz ifşa veya erişime karşı korumak için Ek II’de belirtilen teknik ve organizasyonel önlemleri uygulamak;
• alt işleyen görevlendirilmesinde bu DPA’daki koşullara uymak (Section 5);
• işlemenin niteliğini dikkate alarak ve mümkün olduğu ölçüde, Veri Sorumlusu’nun ilgili kişi taleplerine yanıt verme yükümlülüğünü yerine getirmesine uygun teknik ve organizasyonel önlemlerle destek olmak (Section 7);
• işlemenin niteliğini ve Veri İşleyen’in elindeki bilgileri dikkate alarak, Veri Sorumlusu’nun Articles 32 to 36 GDPR kapsamındaki yükümlülüklere (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi, ön danışma) uyum sağlamasına yardımcı olmak;
• hizmet sunumunun sona ermesinden sonra, Veri Sorumlusu’nun tercihine göre tüm Müşteri Kişisel Verileri’ni silmek veya iade etmek ve mevcut kopyaları da silmek; ancak Uygulanabilir Veri Koruma Hukuku saklamayı gerektiriyorsa bu durum hariçtir (Section 10);
• Article 28 GDPR’de öngörülen yükümlülüklere uyumu göstermek için gerekli tüm bilgileri Veri Sorumlusu’nun kullanımına sunmak ve Section 8’de belirtildiği şekilde denetimlere izin vermek ve katkı sağlamak.

05Alt işleyenler

Genel yetkilendirme

Veri Sorumlusu, işbu DPA tarihi itibarıyla Ek III’te listelenen alt işleyenleri görevlendirmesi için Veri İşleyen’e genel bir yetki verir. Veri İşleyen, herhangi bir alt işleyenin yükümlülüklerinin ifasından dolayı Veri Sorumlusu’na karşı tamamen sorumlu olmaya devam eder.

Yeni veya ikame alt işleyenler

Veri İşleyen, bir alt işleyenin eklenmesi veya değiştirilmesi planlandığında, veri koruma gerekçeleriyle itiraz etmesi için Veri Sorumlusu’na makul fırsat tanıyarak önceden bilgi verecektir. Bildirim, değişiklik yürürlüğe girmeden en az otuz gün önce, birincil hesap irtibat kişisine e-posta ile veya bu amaçla tutulan ürün içi ya da internet sitesi duyurusu ile yapılır.

İtiraz

Veri Sorumlusu, bildirim süresi içinde makul ve belgelenmiş veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı iyi niyetle görüşür. İtiraz çözülemezse, Veri Sorumlusu etkilenen Hizmet kısmını yazılı bildirimle sona erdirebilir; Veri İşleyen, sona erme tarihinden itibaren kullanılmayan kısma ilişkin peşin ödenmiş Ücretleri iade eder.

Alt işleyen yükümlülükleri

Veri İşleyen bir alt işleyen görevlendirdiğinde, GDPR gereklerini karşılayacak şekilde uygun teknik ve organizasyonel önlemleri uygulamak için yeterli güvenceler sağlanmasını özellikle temin edecek şekilde, bu DPA’da yer alan veri koruma yükümlülüklerinin aynısını yazılı bir sözleşme yoluyla alt işleyene yükler.

06Kişisel veri ihlali bildirimi

Veri İşleyen, Müşteri Kişisel Verileri’ni etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra Veri Sorumlusu’nu gereksiz gecikme olmaksızın bilgilendirir. Bildirim, Veri Sorumlusu’nun birincil hesap irtibat kişisine bağlı e-posta adresine gönderilir ve bilginin o aşamada Veri İşleyen tarafından bilindiği ölçüde aşağıdaki unsurları içerir:

• mümkün olduğu yerde, ilgili kişi kategorileri ile yaklaşık ilgili kişi ve kayıt sayıları dahil olmak üzere ihlalin niteliğinin açıklaması;
• Veri İşleyen’in irtibat noktasının adı ve iletişim bilgileri;
• ihlalin muhtemel sonuçları;
• ihlali gidermek ve olası olumsuz etkilerini hafifletmek için alınan veya önerilen önlemler.

Bu bilgilerin tamamını aynı anda vermek mümkün değilse, Veri İşleyen bunları, erişilebilir hale geldikçe, ilave gereksiz gecikme olmaksızın aşamalar halinde sağlayacaktır.

Bir ihlalin bildirilmesi, Veri İşleyen bakımından kusur veya sorumluluğun kabulü anlamına gelmez.

07İlgili kişi haklarına ilişkin destek

Hizmet, Veri Sorumlusu’na, ilgili kişilerin Articles 15-22 GDPR kapsamındaki erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz haklarını kullanmalarına yanıt vermek için self-service araçlar sunar (örneğin, personel paneli sipariş geçmişi ile müşteri iletişim kayıtlarını dışa aktarır ve Veri Sorumlusu kayıtları doğrudan silebilir).

Self-service araçlar yeterli olmadığında, işlemenin niteliği dikkate alınarak, Veri İşleyen ilgili kişi talebine yanıt vermede Veri Sorumlusu’na makul destek sağlar. Yardım, açıkça dayanaksız veya özellikle tekrarlayıcı niteliği nedeniyle aşırıysa, Veri İşleyen bu yardım için makul bir ücret talep edebilir.

Veri İşleyen, Müşteri Kişisel Verileri ile bağlantılı bir ilgili kişi talebini doğrudan ilgili kişiden alırsa, ilgili kişiyi talebini Veri Sorumlusu’na yöneltmesi konusunda bilgilendirir ve Veri Sorumlusu’na gereksiz gecikme olmaksızın bildirimde bulunur.

08Denetimler

Veri İşleyen, makul yazılı talep üzerine, Article 28 GDPR kapsamındaki yükümlülüklerine uyduğunu göstermek için gerekli bilgileri Veri Sorumlusu’nun kullanımına sunacaktır.

Veri Sorumlusu, sağlanan bilgilerin uyumu göstermek için yeterli olmadığını makul olarak değerlendirirse, en az otuz gün önceden yazılı bildirim vererek takvim yılı başına en fazla bir kez denetim gerçekleştirebilir. Denetimler iş saatleri içinde yürütülür, diğer müşterilerin verilerinin gizliliğine saygı gösterir, Veri İşleyen’in faaliyetlerine makul olmayan ölçüde müdahale etmez ve Veri Sorumlusu tarafından veya uygun gizlilik yükümlülükleri altındaki nitelikli bağımsız bir üçüncü taraf denetçi tarafından yapılır. Denetim, Veri İşleyen’e atfedilebilir önemli bir DPA ihlali tespit etmedikçe, maliyetleri Veri Sorumlusu tarafından karşılanır.

Bir denetim yapılması bir denetim otoritesi tarafından Veri Sorumlusu’na yönlendirilirse veya Veri Sorumlusu’nun verilerini önemli ölçüde etkileyen bir kişisel veri ihlalini takiben gerekirse, daha sık denetimler yapılabilir.

09Uluslararası aktarımlar

Veri İşleyen, Müşteri Kişisel Verileri’ni esas olarak Bulgaria (EU) içinde işler. Veri İşleyen veya bir alt işleyen, Müşteri Kişisel Verileri’ni EEA dışındaki ve Article 45 GDPR kapsamındaki adequacy decision ile kapsanmayan bir ülkeye aktarırsa, taraflar aktarımın Article 46 GDPR anlamında uygun güvenceler çerçevesinde yapılacağını kabul eder; bu güvenceler şunlar olacaktır:

• veri ihracatçısı ile veri ithalatçısı arasında, Ek IV’te belirtilen seçimler ve opsiyonel hükümlerle birlikte, ilgili Module formunda imzalanan SCCs; veya
• ithalatçının EU-US Data Privacy Framework (Commission Implementing Decision (EU) 2023/1795) kapsamında self-certification yaptığı durumlarda, adequacy decision ile birlikte ithalatçının self-certification beyanı.

Gerektiğinde Veri İşleyen bir transfer impact assessment yapacak ve GDPR ile güvence altına alınan koruma düzeyinin zedelenmemesini sağlamak için makul şekilde gerekli olduğu ölçüde tamamlayıcı önlemler uygulayacaktır.

10Verilerin iadesi veya silinmesi

Sözleşme sona erdiğinde ve Veri Sorumlusu’nun tercihine göre, Veri İşleyen:

• tüm Müşteri Kişisel Verileri’ni Hizmet’in dışa aktarma araçları veya diğer makul yollarla yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir formatta Veri Sorumlusu’na iade eder; veya
• tüm Müşteri Kişisel Verileri’ni siler.

Sona ermeden itibaren üç ay içinde, Veri İşleyen Müşteri Kişisel Verileri’ni üretim sistemlerinden ve rutin yedeklerden olağan operasyon döngüleri içinde siler; ancak Uygulanabilir Veri Koruma Hukuku veya başka bir uygulanabilir hukuk daha uzun saklama gerektiriyorsa (örneğin muhasebe ve vergi kayıtları) veya saklama, hukuki taleplerin tesisi, kullanılması ya da savunulması için gerekliyse bu durum hariçtir. Saklanan veriler bu DPA’ya tabi olmaya devam eder.

11Sorumluluk ve süre

Taraflardan her birinin bu DPA kapsamındaki sorumluluğu, Sözleşme’de yer alan sınırlama ve istisnalara tabidir. Bu DPA’daki hiçbir hüküm; dolandırıcılık, ağır ihmal, kasıtlı kötü davranış veya Uygulanabilir Veri Koruma Hukuku uyarınca sınırlandırılamayan ya da hariç tutulamayan herhangi bir sorumluluk bakımından tarafların sorumluluğunu hariç tutmaz veya sınırlandırmaz.

Bu DPA, tarafların Sözleşme’yi akdettiği tarihte yürürlüğe girer ve Veri İşleyen Section 10 uyarınca tüm Müşteri Kişisel Verileri’ni silene veya iade edene kadar devam eder. Veri İşleyen Müşteri Kişisel Verileri’ni elinde tuttuğu sürece, bu DPA kapsamındaki yükümlülükler Sözleşme’nin sona ermesinden sonra da yürürlükte kalır.

12Uygulanacak hukuk

Bu DPA, kanunlar ihtilafı kurallarına bakılmaksızın Bulgaristan Cumhuriyeti hukuku uyarınca yönetilir. Uygulanabilir Veri Koruma Hukuku farklı bir merciye münhasır yetki vermediği sürece, bu DPA’dan doğan veya bununla bağlantılı herhangi bir uyuşmazlık üzerinde Sofia City mahkemeleri münhasır yargı yetkisine sahiptir.

13İletişim

Bu DPA hakkındaki sorular, ilgili kişiler adına hak kullanımına ilişkin talepler veya bu DPA kapsamında gereken bildirimler [email protected] adresine ya da posta yoluyla COTRONIKA EOOD, Sofia 1700, Bulgaria adresine gönderilmelidir.

A1Ek I — İşlemenin tanımı

Konu

Sözleşme kapsamında UXO platformunun sağlanması amacıyla, Veri İşleyen’in Veri Sorumlusu adına kişisel veri işlemesi.

Süre

Sözleşme süresi boyunca ve sonrasında Veri İşleyen’in Section 10 uyarınca Müşteri Kişisel Verileri’ni elinde tuttuğu her dönem için.

İşlemenin niteliği ve amacı

Veri Sorumlusu’nun kullanmayı seçtiği UXO platformu özelliklerini işletmek için gerekli olan barındırma, saklama, erişim, görüntüleme, iletim, inceleme, düzenleme, yapılandırma, indeksleme, arama, pseudonymisation, silme ve diğer işlemler; buna dijital menüler, QR sipariş, gel-al ve teslimat akışları, rezervasyonlar, personel paneli, pazaryeri yüzeyi ve destekleyici analitik dahildir.

İlgili kişi kategorileri

• QR kodu tarayan, sipariş veren, rezervasyon yapan veya müşteri odaklı yüzeylerle başka şekilde etkileşime geçen Veri Sorumlusu’nun mekanlarının Misafirleri.
• personel panelini, mutfak / bar kuyruklarını veya yazıcı hizmetini kullanan Veri Sorumlusu’nun yetkilendirilmiş personel üyeleri.
• Uygun olduğu durumlarda, Veri Sorumlusu’nun mekanına eklediği tedarikçiler ve diğer iş bağlantıları.

Kişisel veri kategorileri

• İletişim ve kimlik verileri — ad, e-posta, telefon, teslimat adresi.
• Sipariş ve rezervasyon verileri — ürünler, varyantlar, notlar, zamanlar, masa veya gel-al / teslimat ayrıntıları, ödeme durumu.
• Hesap verileri — dil tercihi, kayıtlı adresler, kimlik doğrulama token’ları.
• Personel verileri — ad, rol, iletişim bilgileri, oturum token’ları, faaliyet logları.
• Teknik ve bağlantı verileri — IP adresi, cihaz, tarayıcı, yaklaşık konum, sunucu logları ve güvenlik telemetrisi.

Hizmet, özel nitelikli kişisel veri kategorilerini (Article 9 GDPR) veya cezai mahkumiyetler ve suçlara ilişkin verileri (Article 10 GDPR) işlemek üzere tasarlanmamıştır. Veri Sorumlusu, Veri İşleyen ile yazılı olarak ek güvenceler üzerinde anlaşmadan bu tür verileri yüklememeyi taahhüt eder.

A2Ek II — Teknik ve organizasyonel önlemler

Mevcut teknik düzey, uygulama maliyetleri, işlemenin niteliği, kapsamı, bağlamı ve amaçları ile gerçek kişilerin hak ve özgürlükleri bakımından risk dikkate alınarak, Veri İşleyen riske uygun bir güvenlik seviyesi sağlamak için uygun teknik ve organizasyonel önlemler uygular. Güncel önlemler şunları içerir:

Gizlilik

• Hizmet’e giden ve Hizmet’ten gelen tüm trafik için aktarım sırasında TLS 1.2+ şifreleme.
• Üretim veritabanları ve yedekler için sektör standardı algoritmalarla beklemede şifreleme.
• Rol tabanlı erişim kontrolü ve asgari yetki ilkesi. Üretim verilerine personel erişimi, bunu rolü gerektiren kişilerle sınırlıdır.
• Her veritabanı sorgusunda zorunlu restaurant tenancy filtresi aracılığıyla uygulanan çok kiracılı izolasyon.
• Parolalar, salt eklenmiş ve belleğe yük bindiren yavaş bir algoritma kullanılarak hash şeklinde saklanır. Oturum token’ları döndürülür ve süreleri dolar.

Bütünlük

• Üretim sistemlerindeki değişiklikler için akran incelemesini içeren kod değişikliği yönetim süreci.
• Dağıtımdan önce otomatik continuous-integration build ve test pipeline süreci.
• İdari işlemlere ilişkin, imzalı ve tahrifata karşı görünür nitelikte denetim logları.

Kullanılabilirlik ve dayanıklılık

• Düzenli otomatik yedeklerle yedekli üretim altyapısı.
• Cloudflare üzerinden DDoS koruması ve web uygulaması güvenlik duvarı.
• Sistem sağlığının kapasite planlaması ve izlenmesi.
• Tanımlanmış bir yükseltme zinciri içeren belgelenmiş olay müdahale prosedürleri.

Periyodik test ve gözden geçirme

• İşletim sistemi, language runtime, framework, bağımlılıklar ve altyapı bileşenleri için rutin zafiyet yamalama.
• Ek III’te listelenen alt işleyenler için tedarikçi güvenlik duruşunun periyodik gözden geçirilmesi.
• Bu teknik ve organizasyonel önlemlerin periyodik olarak gözden geçirilmesi ve güncellenmesi.

Veri İşleyen, teknik düzeydeki ve Hizmet’in risk profilindeki değişiklikleri yansıtmak için bu önlemleri zaman zaman güncelleyebilir; ancak güncellenen önlemler koruma seviyesini önemli ölçüde azaltamaz.

A3Ek III — Mevcut alt işleyenler

Veri İşleyen’in Hizmet’i sağlarken kullandığı mevcut alt işleyenler aşağıda listelenmiştir. Liste, “Last updated” tarihi itibarıyla durumu yansıtır ve Section 5 doğrultusunda sürdürülür.

A4Ek IV — SCC modül seçimleri

Section 9 kapsamındaki bir aktarım için SCCs uygulandığında, aşağıdaki seçimler peşinen yapılmış sayılır:

• Module. Module Two (transfer controller-to-processor), Veri Sorumlusu ile doğrudan Veri Sorumlusu tarafından görevlendirilen herhangi bir non-EEA alt işleyen arasında uygulanır. Module Three (transfer processor-to-processor), Veri İşleyen ile onun Veri Sorumlusu adına görevlendirdiği herhangi bir non-EEA alt işleyen arasında uygulanır.
• Clause 7 (docking clause). Uygulanır. Diğer Veri Sorumluları ve Veri İşleyenler, bu hüküm uyarınca SCCs’ye katılabilir.
• Clause 9 (sub-processors). Section 5’te belirtilen bildirim süresi ile birlikte Option 2 (general written authorisation) uygulanır.
• Clause 11 (redress). İlgili kişinin bağımsız bir uyuşmazlık çözüm kuruluşuna şikayette bulunmasına imkan tanıyan opsiyonel ifade seçilmemiştir.
• Clause 17 (governing law). Bulgarian law.
• Clause 18 (forum and jurisdiction). The courts of Sofia City, Bulgaria.
• Annex I.A (parties). Veri Sorumlusu, Veri İşleyen’e sağlanan hesap bilgileri ile tanımlanır; Veri İşleyen COTRONIKA EOOD’dur; her iki taraf için veri koruma iletişim noktası, Veri İşleyen bakımından [email protected] ve Veri Sorumlusu bakımından Veri Sorumlusu’nun hesap e-posta adresidir.
• Annex I.B (description). Bu DPA’nın Ek I bölümünde belirtildiği şekildedir.
• Annex II (security measures). Bu DPA’nın Ek II bölümünde belirtildiği şekildedir.
• Annex III (sub-processors). Bu DPA’nın Ek III bölümünde belirtildiği şekildedir.

14Bu DPA’ya ilişkin güncellemeler

Veri İşleyen, örneğin hukuktaki, Hizmet’in işlevselliğindeki veya alt işleyenlerindeki değişiklikleri yansıtmak için bu DPA’yı zaman zaman güncelleyebilir. Veri İşleyen, önemli değişiklikleri birincil hesap irtibat kişisine makul süre önce bildirir. Müşteri Kişisel Verileri’ne sağlanan koruma seviyesini önemli ölçüde azaltmayan güncellemeler, bu sayfada yayımlandıkları tarihte yürürlüğe girebilir.