Veri İşleme Sözleşmesi (DPA)

Bu Veri İşleme Sözleşmesi ("DPA"), bir işletme veya başka bir kuruluşun ("Müşteri") Fips'i örneğin bir Team planıyla kullandığı ve T2MA Labs LLC'nin ("T2MA Labs", "biz") kişisel verileri Müşteri adına işlediği durumlarda uygulanır. Müşteri ile T2MA Labs arasındaki Hizmet Şartlarının bir parçasını oluşturur. Bireysel kullanıcılar için bunun yerine Gizlilik Politikamız uygulanır.

1. Roller

Müşteri, kendisinin veya kullanıcılarının Fips'e girdiği kişisel verilerin veri sorumlusudur (controller); T2MA Labs ise veri işleyendir (processor). Müşteri kendisi bir veri işleyen ise T2MA Labs onun alt işleyenidir (sub-processor). Hesap yönetimi, faturalandırma, güvenlik ve hukuki yükümlülükler gibi kendi amaçlarımız için işlediğimiz verilerde, Gizlilik Politikamız kapsamında bağımsız veri sorumlusuyuz.

2. İşlemenin ayrıntıları

• Konu: Fips'in Müşteriye sunulması.
• Süre: Müşterinin abonelik süresi boyunca ve 9. bölüm uyarınca silinene kadar.
• Niteliği ve amacı: işlem verilerinin barındırılması, saklanması, senkronize edilmesi ve analiz edilmesi; kullanıcı hesaplarının yönetimi; bildirim gönderilmesi; destek sağlanması.
• Kişisel veri kategorileri: adlar ve e-posta adresleri, hesap tanımlayıcıları, işlem verileri (işlemler, işlem hesapları, bakiyeler, notlar, ekran görüntüleri), bağlı hesap bilgileri, cihaz ve kullanım verileri ve destek mesajları.
• İlgili kişiler: Müşterinin çalışanlar, üyeler veya trader'lar gibi yetkili kullanıcıları.
• Özel nitelikli kişisel veriler: işlenmesi amaçlanmamaktadır.

3. Yükümlülüklerimiz

Şunları taahhüt ederiz:

• kişisel verileri yalnızca Müşterinin belgelenmiş talimatlarına (bu DPA, Şartlar ve Müşterinin Hizmeti kullanımı ve ayarları) göre işlemek ve bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürsek Müşteriyi bilgilendirmek;
• verileri işlemeye yetkili herkesin gizlilik yükümlülüğü altında olmasını sağlamak;
• GDPR'ın 32. maddesine uygun olarak 6. bölümdeki güvenlik önlemlerini uygulamak;
• işlemenin niteliğini dikkate alarak, ilgili kişilerden gelen taleplerin yanıtlanmasında, veri koruma etki değerlendirmelerinde ve denetim makamlarıyla yapılacak istişarelerde Müşteriye yardımcı olmak;
• Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra gereksiz gecikme olmaksızın Müşteriyi bilgilendirmek ve Müşterinin kendi yükümlülüklerini yerine getirmesi için ihtiyaç duyduğu bilgileri sağlamak;
• bu DPA'ya uyumu göstermek için gereken bilgileri sunmak ve makul bir süre önceden bildirilmesi koşuluyla makul denetimlere izin vermek.

4. Müşterinin yükümlülükleri

Müşteri; işleme için hukuka uygun bir dayanağa sahip olmaktan, kullanıcılarına gerekli bildirimleri yapmaktan ve talimatlarının mevzuata uygun olmasını sağlamaktan sorumludur. Müşteri, Fips'i özel nitelikli kişisel verileri işlemek için kullanmaz.

5. Alt işleyenler

Müşteri, alt işleyen kullanmamız için genel yetki verir. Mevcut alt işleyenlerimiz şunlardır:

• Cloudflare: web sitelerinin ve API'nin barındırılması, veritabanı, dosya depolama ve güvenlik.
• Resend: sistem e-postaları (transactional email).
• Google: anlık bildirimlerin iletilmesi için Firebase Cloud Messaging ve destek yanıtlarının taslağını hazırlamak için Gemini API (yalnızca destek görüşmelerinde).
• Sentry: mobil uygulamadan çökme raporları.
• PostHog: mobil uygulamada ürün analitiği.
• RevenueCat: mobil uygulama satın almalarının abonelik durumu.
• Ödeme sağlayıcımız: web ödemeleri; satış kaydındaki satıcı (merchant of record) olarak hareket edebilir.
• Bulut sunucu sağlayıcısı: kendi barındırdığımız destek sohbetini (Chatwoot) ve veri toplama hizmetlerimizi barındırır.

Yeni bir alt işleyen Müşteri verilerini işlemeye başlamadan önce bu listeyi güncelleriz; Müşteri makul veri koruma gerekçeleriyle itiraz edebilir. İtirazı çözemezsek Müşteri etkilenen aboneliği iptal edebilir ve kullanılmayan döneme ait peşin ödenmiş ücretlerin iadesini alır. Her alt işleyeni, verileri en az bu DPA kadar koruyan veri koruma şartlarıyla bağlarız ve onların çalışmalarından sorumlu olmaya devam ederiz.

6. Güvenlik önlemleri

• verilerin aktarım sırasında (HTTPS) ve barındırma sağlayıcılarımız tarafından depolama sırasında şifrelenmesi;
• şifrelerin yalnızca tuzlanmış hash olarak saklanması;
• her API isteğinde kimlik doğrulama ve her kullanıcının yalnızca kendi verileriyle sınırlandırılması;
• hız sınırlama ve saldırılara karşı ağ düzeyinde koruma;
• bağlı işlem hesaplarına salt okunur erişim;
• canlı sistemlere erişimin yalnızca ihtiyacı olan kişilerle sınırlandırılması;
• kullanıcının verilerini aktif sistemlerimizden kaldıran hesap silme.

7. Yurt dışına aktarımlar

Kişisel verileri Amerika Birleşik Devletleri'nde ve alt işleyenlerimizin faaliyet gösterdiği diğer ülkelerde işleriz. Kişisel verilerin AB/AEA'dan aktarımı için bu DPA, Avrupa Komisyonu'nun (AB) 2021/914 sayılı Kararı ile kabul edilen Standart Sözleşme Hükümlerini, duruma göre Modül 2 (veri sorumlusundan veri işleyene) veya Modül 3 (veri işleyenden veri işleyene) olarak, Müşteri veri ihracatçısı ve T2MA Labs veri ithalatçısı sıfatıyla içerir. 11. Hükümdeki isteğe bağlı düzenleme uygulanmaz; 17. ve 18. Hükümler İrlanda hukukuna ve mahkemelerine tabidir. Bu DPA'nın 2. bölümü Ek I, 6. bölümü Ek II ve 5. bölümü Ek III'tür.

Birleşik Krallık'tan yapılan aktarımlarda UK International Data Transfer Addendum (Birleşik Krallık Uluslararası Veri Aktarımı Eki) uygulanır; İsviçre için Hükümler, İsviçre hukukunun gerektirdiği uyarlamalarla uygulanır; Türkiye'den yapılan aktarımlarda ise standart sözleşmeler gibi KVKK'nın 9. maddesinin izin verdiği güvencelere dayanırız.

8. İlgili kişilerden gelen talepler

Bir ilgili kişi Müşteri verileriyle ilgili olarak doğrudan bize başvurursa, talebi Müşteriye iletiriz; kişiyi Müşteriye yönlendirmek veya mevzuatın gerektirdiği durumlar dışında kendimiz yanıt vermeyiz.

9. İade ve silme

Müşterinin aboneliği sona erdiğinde Müşteri, hesaplarını kapatmadan önce verilerini dışa aktarabilir. Ardından, mevzuat saklamamızı gerektirmedikçe, Müşteri kişisel verilerini 30 gün içinde aktif sistemlerimizden sileriz. Barındırma sağlayıcılarımızın tuttuğu yedekler olağan takvimlerine göre sona erer.

10. Sorumluluk, öncelik ve uygulanacak hukuk

Bu DPA kapsamındaki sorumluluk, mevzuatın izin vermediği durumlar hariç, Şartlardaki sınırlamalara tabidir. Çelişki hâlinde önce Standart Sözleşme Hükümleri, sonra bu DPA, sonra Şartlar uygulanır. Bu DPA, Şartlara uygulanan hukuka, yani ABD New Mexico Eyaleti hukukuna tabidir; ancak Standart Sözleşme Hükümleri kendi belirttikleri hukuka tabidir.

11. İletişim

T2MA Labs LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. E-posta: [email protected]