Bu Veri İşleme Sözleşmesi ("Sözleşme"), ITpano hizmetine abone olan firma ("Veri Sorumlusu") ile TeknoWeb Teknoloji Dış Ticaret Limited Şirketi ("Veri İşleyen") arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 12. maddesi uyarınca, Veri Sorumlusu adına ITpano üzerinde işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme, Kullanım Koşulları'nın ayrılmaz parçasıdır ve kayıt sırasında onaylanmasıyla yürürlüğe girer.
1. Veri İşleyen
- Unvan
- TeknoWeb Teknoloji Dış Ticaret Limited Şirketi
- Adres
- Cevizli Mah., Ritim İstanbul, Zuhal Cd. A5 Blok No: 46 E 179, 34846 Maltepe/İstanbul
- Vergi dairesi
- Kartal
- Vergi numarası
- 8360931372
- MERSİS numarası
- 0836-0931-3720-0001
- Ticaret sicil numarası
- 433595-5
- Telefon
- +90 850 840 88 60
- E-posta
- info@teknoweb.net
- KEP adresi
- teknowebteknoloji@hs01.kep.tr
- İnternet sitesi
- https://itpano.teknoweb.net
2. Konu ve kapsam
Veri İşleyen, ITpano hizmetini sunmak amacıyla ve yalnız bu amaçla, Veri Sorumlusu'nun ve onun müşterilerinin aşağıda belirtilen kişisel verilerini Veri Sorumlusu adına işler.
İlgili kişi grupları
- Veri Sorumlusu'nun destek verdiği firmaların çalışanları (istemcinin kurulu olduğu bilgisayarların kullanıcıları),
- Veri Sorumlusu'nun müşterilerinin bildirim alan yetkilileri,
- Veri Sorumlusu'nun panel kullanıcıları (teknisyenler).
Veri kategorileri
- Kimlik ve iletişim: ad soyad, işletim sistemi kullanıcı adı, e-posta adresi, telefon numarası.
- Cihaz ve işlem güvenliği: bilgisayar adı, modeli, işletim sistemi, IP adresi, çevrimiçi durumu, tanılama sonuçları, uzaktan bağlantı oturum kayıtları, denetim kayıtları.
- Talep içerikleri: talep metni, yazışmalar, ekran görüntüleri ve ekler. Talep içerikleri ve ekran görüntüleri, son kullanıcının ekranında bulunan başka bilgileri içerebilir.
Hizmet özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır. Veri Sorumlusu, son kullanıcıları özel nitelikli veri paylaşmamaları konusunda yönlendirir.
3. Veri Sorumlusu'nun yükümlülükleri
- Kişisel verilerin işlenmesi için Kanun'un 5. ve 6. maddelerinde öngörülen hukuki sebeplerden birine sahip olmak.
- İstemcinin kurulduğu bilgisayarların kullanıcılarını, işlenen veriler, ekran görüntüsü alınması ve uzaktan bağlantı imkânı konusunda doğrudan veya kendi müşterileri aracılığıyla Kanun'un 10. maddesine uygun şekilde aydınlatmak.
- İstemciyi yalnız destek vermeye yetkili olduğu bilgisayarlara kurmak ve uzaktan bağlantıyı yetkisi dâhilinde kullanmak.
- Panel kullanıcılarına uygun rolleri vermek, ayrılan kullanıcıların erişimini kaldırmak, hesap bilgilerinin gizliliğini sağlamak.
- Varsa Veri Sorumluları Siciline kayıt yükümlülüğünü yerine getirmek.
4. Veri İşleyen'in yükümlülükleri
- Kişisel verileri yalnız Hizmet'in sunulması için ve Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda işlemek. Veri Sorumlusu'nun Hizmet'i kullanarak yaptığı işlemler ve panel ayarları talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu bilgilendirmek.
- Kişisel verileri kendi amaçları için kullanmamak, satmamak, pazarlama amacıyla işlememek.
- Kişisel verilere erişen çalışanlarının ve yardımcılarının gizlilik yükümlülüğü altında olmasını sağlamak; erişimi işin gerektirdiği kişilerle sınırlamak.
- Kanun'un 12. maddesi uyarınca, Ek'te özetlenen teknik ve idari tedbirleri almak ve güncel tutmak.
- İlgili kişilerden gelen başvuruların yanıtlanmasında, Hizmet'in imkânlarıyla (dışa aktarma, düzeltme, silme) Veri Sorumlusu'na yardımcı olmak; Veri İşleyen'e doğrudan ulaşan başvuruları gecikmeksizin Veri Sorumlusu'na yönlendirmek.
- Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde Veri Sorumlusu'na gecikmeksizin ve öğrendiği andan itibaren en geç yirmi dört saat içinde, o ana kadar bilinen bilgilerle bildirimde bulunmak; Veri Sorumlusu'nun Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirebilmesi için gerekli bilgi ve desteği sağlamak.
- Veri Sorumlusu'nun bu Sözleşme'ye uyumu denetleme talebini makul ölçüde karşılamak; denetim, önceden yazılı bildirimle, iş akışını aksatmayacak şekilde ve gizlilik yükümlülüğü altında yapılır. Veri İşleyen öncelikle güncel güvenlik belgeleri ve yazılı açıklamalarla bu talebi karşılayabilir.
5. Alt veri işleyenler
Veri Sorumlusu, Veri İşleyen'in Hizmet'i sunmak için aşağıdaki alt veri işleyenlerle çalışmasına genel izin verir. Veri İşleyen, alt veri işleyenlerine bu Sözleşme'dekilerden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Veri Sorumlusu'na karşı sorumludur.
| Hizmet | Amaç | Konum |
|---|---|---|
| Hetzner Online GmbH | Sunucu barındırma (uygulama, veritabanı, dosyalar, uzaktan bağlantı sunucusu, e-posta) | Almanya (Avrupa Birliği) |
| Cloudflare, Inc. | Alan adı çözümleme, içerik dağıtımı, saldırı koruması (trafik şifreli olarak geçer) | Küresel ağ |
Alt veri işleyen eklenmesi veya değiştirilmesi, yürürlüğe girmeden en az otuz gün önce firma sahiplerine e-postayla veya panelde duyurulur. Veri Sorumlusu haklı bir gerekçeyle itiraz ederse ve taraflar çözüm bulamazsa, Veri Sorumlusu aboneliğini dönem sonunu beklemeden sona erdirebilir ve kullanılmayan döneme ait bedel iade edilir.
6. Yurt dışına aktarım
Hizmet'in çalıştığı sunucular Avrupa Birliği'ndedir. Bu nedenle kişisel veriler yurt dışına aktarılır. Aktarımlar, Kanun'un 9. maddesinde öngörülen uygun güvencelerden biri olarak Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşmenin ilgili alt veri işleyenle imzalanması ve Kurum'a süresi içinde bildirilmesi yoluyla yapılır. Veri Sorumlusu, Hizmet'i kullanarak bu aktarıma ilişkin talimat verdiğini kabul eder ve kendi aydınlatma metninde yurt dışına aktarıma yer verir.
7. Süre, iade ve silme
- Sözleşme, abonelik ve Veri Sorumlusu'nun hesabı devam ettiği sürece yürürlükte kalır.
- Veri Sorumlusu, verilerinin tamamını sözleşme süresince ve sona ermeden önce panelde Veriler ve hesap sayfasından makine tarafından okunabilir biçimde (JSON ve ekler, zip) dışa aktarabilir.
- Hesap silme talebinden 30 gün sonra Veri Sorumlusu'na ait bütün kişisel veriler ve dosyalar canlı sistemlerden kalıcı olarak silinir. Yedeklerdeki kopyalar, yedeklerin olağan döngüsü içinde silinir ve bu süre boyunca yalnız geri yükleme amacıyla korunur.
- Ekran görüntüleri ve talep ekleri, hesap devam ederken de oluşturulmalarından 90 gün sonra kendiliğinden silinir.
- Mevzuat gereği saklanması zorunlu kayıtlar (fatura ve ödeme kayıtları gibi) bu hükmün dışındadır.
8. Sorumluluk
Taraflar, Kanun'un 12. maddesi uyarınca kişisel verilerin güvenliğini sağlamaya yönelik tedbirlerin alınmasından müştereken sorumludur. Tarafların bu Sözleşme kapsamındaki sorumluluğu, Kullanım Koşulları'ndaki sınırlamalara tabidir; emredici hükümler saklıdır.
9. Değişiklik ve uyuşmazlık
Bu Sözleşme'de yapılacak değişiklikler Kullanım Koşulları'ndaki usule göre duyurulur. Uyuşmazlıklarda Türk hukuku uygulanır ve İstanbul mahkemeleri ve icra daireleri yetkilidir.
Ek: Teknik ve idari tedbirler
- Bütün iletişimin TLS ile şifrelenmesi; panelin yalnız HTTPS ile sunulması.
- Panel kullanıcıları için zorunlu iki adımlı doğrulama; rol tabanlı yetkilendirme (sahip, yönetici, teknisyen).
- Parolaların geri döndürülemez özetlerle; cihaz, kurulum, uygulama ve entegrasyon anahtarlarının yalnız özetleriyle saklanması.
- Gizli anahtarların veritabanında şifreli tutulması.
- Firmalar arası veri ayrımının uygulama katmanında zorunlu kılınması ve otomatik testlerle denetlenmesi.
- Eklerin internetten doğrudan erişilemeyen depolama alanında tutulması; yalnız yetkili oturumla erişim.
- Uzaktan bağlantıların kısa ömürlü giriş anahtarlarıyla açılması ve kayıt altına alınması.
- Önemli işlemlerin değiştirilemez denetim kaydına yazılması.
- Sunuculara yalnız anahtar tabanlı kimlik doğrulamayla ve sınırlı sayıda yetkilinin erişmesi; güvenlik duvarı, güncellemelerin düzenli uygulanması, düzenli yedekleme.
- Ekran görüntüleri için 90 gün, doğrulanmamış kayıtlar için bir hafta gibi kısa saklama süreleri; veri en aza indirme.