Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("DPA"), geçerli bir hizmet sözleşmesi kapsamında statycs'in hizmetlerini kullanan müşteri ("Sorumlu") ile statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viyana, Avusturya ("İşleyen") arasında akdedilmiştir.

Bu DPA, statycs'in finansal planlama ve analiz için SaaS platformuyla bağlantılı olarak kişisel verilerin Sorumlu adına işlenmesini düzenler. Sorumlu, Şartlar ve Koşullar'ı kabul ettiğinde ya da başka şekilde statycs ile bir hizmet sözleşmesi akdettiğinde yürürlüğe girer ve statycs, Sorumlu adına kişisel verileri işlediği sürece yürürlükte kalır. Bu DPA ile diğer sözleşme hükümleri arasında bir çelişki olması durumunda, veri koruma konularına ilişkin olarak bu DPA öncelikli olur.

İşlemenin konusu. statycs'in finansal planlama ve analiz platformunu Sorumlu'ya sunması için gerekli olan kişisel verilerin işlenmesi.

İşlemenin süresi. Aşağıdaki §11 kapsamındaki her türlü kapatma ve silme dönemi dâhil olmak üzere, dayanak hizmet sözleşmesinin süresi boyunca.

statycs, Sorumlu'ya finansal planlama ve analiz platformunu sunmak için kişisel verileri işler. İşleme; hizmeti sunmak için gerekli olduğu ölçüde, verilerin toplanmasını, depolanmasını, düzenlenmesini, yapılandırılmasını, geri alınmasını, danışılmasını, kullanılmasını ve silinmesini içerir.

İşleme yalnızca Sorumlu'nun belgelenmiş talimatları temelinde gerçekleştirilir. statycs, AB veya Avusturya hukukunun gerektirdiği durumlar dışında, kararlaştırılan hizmeti sunmaktan başka herhangi bir amaçla kişisel verileri işlemez. Bu durumda statycs, hukukun bu tür bir bilgilendirmeyi yasaklamadığı sürece, işlemeden önce Sorumlu'yu yasal gereklilik hakkında bilgilendirir.

Kişisel veri kategorileri. Aşağıdaki türde kişisel veriler işlenebilir: adlar, e-posta adresleri, telefon numaraları, unvanlar, şirket bağlılığı, IP adresleri, tarayıcı ve cihaz verileri ile Sorumlu'nun platforma girdiği diğer her türlü kişisel veri. Platforma yüklenen finansal veriler - muhasebe kayıtları, raporlar ve planlar gibi - Sorumlu'nun dâhil ettiği ölçüde kişisel veri içerebilir.

Veri sahibi kategorileri. Veri sahipleri; Sorumlu'nun çalışanlarını, yüklenicilerini, danışanlarını, tedarikçilerini, yatırımcılarını ve Sorumlu'nun platform aracılığıyla kişisel verilerini işlediği diğer her türlü gerçek kişiyi kapsayabilir.

Sorumlu, GDPR kapsamında veri sorumlusudur ve kişisel veri işlemesinin hukuka uygunluğunu sağlamaktan - hem işlemenin kendisi hem de verilerin statycs'e aktarılması için geçerli bir hukuki dayanağa sahip olmak dâhil - tek başına sorumludur.

Sorumlu; statycs'e sağlanan kişisel verilerin doğruluğundan, kalitesinden ve hukuka uygunluğundan ve veri sahiplerini verilerinin işlenmesi hakkında bilgilendirmek dâhil olmak üzere tüm geçerli veri koruma yasalarına uyumdan sorumludur.

statycs şunları taahhüt eder:

• Hukuken aksi gerekmedikçe, kişisel verileri yalnızca Sorumlu'nun belgelenmiş talimatları doğrultusunda işlemek
• Kişisel verileri işlemeye yetkili tüm kişilerin yazılı gizlilik yükümlülükleriyle bağlı olmasını sağlamak
• Riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve organizasyonel önlemleri hayata geçirmek
• GDPR'ın 15 ila 22. maddeleri kapsamındaki veri sahibi taleplerine yanıt vermede Sorumlu'ya yardımcı olmak
• İşlemenin niteliğini ve statycs'te bulunan bilgileri dikkate alarak, GDPR'ın 32 ila 34. maddelerine, veri koruma etki değerlendirmelerine ve denetim makamlarıyla ön istişarelere uyumda Sorumlu'ya yardımcı olmak
• Bir kişisel veri ihlalinden haberdar olduğunda Sorumlu'yu gereksiz gecikme olmaksızın bilgilendirmek
• Saklama hukuken gerekmedikçe, hizmet sözleşmesinin sona ermesi üzerine tüm kişisel verileri Sorumlu'ya silmek veya iade etmek
• statycs'in görüşüne göre bir talimatın GDPR'ı veya diğer geçerli veri koruma hukukunu ihlal etmesi durumunda Sorumlu'yu derhal bilgilendirmek

statycs, GDPR'ın 28(3)(h) maddesi kapsamındaki denetim yükümlülüklerini; makul yazılı talep üzerine ve on iki ayda birden fazla olmamak üzere, güncel güvenlik özetini, alt işleyen listesini ve Sorumlu'nun makul anketine yazılı yanıtlarını sağlayarak yerine getirir. Ayrıca Sorumlu - veya bir gizlilik yükümlülüğü altında görevlendirdiği bağımsız bir denetçi - yirmi dört ayda birden fazla olmamak üzere ya da bir denetim makamının görevlendirmesinin veya bir ihlale dair gerekçeli bir şüphenin ardından herhangi bir zamanda yerinde denetim yapabilir. Yerinde denetimler; Sorumlu'nun masrafıyla, otuz gün önceden yazılı bildirimde bulunularak, çalışma saatleri içinde ve kapsamı, zamanlaması ve gizliliği önceden yazılı olarak kararlaştırılarak gerçekleştirilir.

statycs, hizmeti sunmaya yardımcı olmak için aşağıdaki alt işleyenleri görevlendirir:

• Google Analytics (Google LLC, ABD) - analitik
• PostHog (PostHog Inc., ABD; Almanya'da barındırılan PostHog Cloud EU) - ürün analitiği
• Hanko (Hanko GmbH, Almanya) - kimlik doğrulama
• Zero (Zero Inc., Finlandiya) - CRM
• Hetzner (Hetzner Online GmbH, Almanya) - barındırma
• Chatwoot (Chatwoot Inc., ABD) - web sitesi ziyaretçileri için canlı sohbet, uygulama kullanıcıları için değil

statycs, tüm alt işleyenlerin eşdeğer veri koruma yükümlülükleri getiren yazılı sözleşmelerle bağlı olmasını sağlar. Alt işleyenlere ilişkin her türlü amaçlanan değişiklik, en az otuz gün önceden Sorumlu'ya bildirilir. Sorumlu, bildirimden itibaren on dört gün içinde makul gerekçelerle yeni bir alt işleyene itiraz edebilir. İtiraz çözülemezse, Sorumlu sözleşmeyi alt işleyen değişikliğinin yürürlüğe gireceği tarihte sona erdirebilir ve statycs, önceden ödenmiş ücretleri dönemin kullanılmayan kısmı için oransal olarak iade eder.

statycs, müşteri verilerini Avrupa Birliği ve Avrupa Ekonomik Alanı içinde depolar ve işler. Verilerin AB veya AEA dışında bulunan alt işleyenlere aktarılması gerektiğinde - özellikle Amerika Birleşik Devletleri'nde - statycs, GDPR'ın V. Bölümü'ne uygun olarak uygun güvencelerin yürürlükte olmasını sağlar.

Bu güvenceler, Avrupa Komisyonu tarafından kabul edilen AB Standart Sözleşme Maddeleri'ni ve varsa yeterlilik kararlarını içerir. statycs, sürekli uyumu sağlamak için alıcı ülkelerin hukuki çerçevesini düzenli olarak değerlendirir. Güvencelerin bir kopyası, talep üzerine [email protected] adresinden edinilebilir.

statycs, kişisel verileri korumak için aşağıdakiler dâhil uygun teknik ve organizasyonel önlemleri hayata geçirir:

• Aktarım sırasında (TLS) ve durağan halde veri şifreleme
• En az ayrıcalık ilkesine göre role dayalı erişim kontrolleri
• İç sistemler için çok faktörlü kimlik doğrulama
• Zaman zaman üçüncü taraf testleri dâhil olmak üzere, işlemenin niteliğine ve ölçeğine uygun periyodik güvenlik incelemeleri
• Otomatik veri yedekleme ve olağanüstü durum kurtarma prosedürleri
• Kişisel verilere erişimin günlüğe kaydedilmesi ve izlenmesi
• Çalışanlar için güvenlik farkındalığı eğitimi

Teknik ve organizasyonel önlemlerin güncel bir açıklaması, talep üzerine [email protected] adresinden edinilebilir.

statycs, veri sahiplerinin hak ve özgürlükleri açısından bir riske yol açması muhtemel bir kişisel veri ihlalinden haberdar olduğunda Sorumlu'yu gereksiz gecikme olmaksızın bilgilendirir.

Bildirim, bilindiği ölçüde şunları içerir: ihlalin niteliği, etkilenen veri sahiplerinin kategorileri ve yaklaşık sayısı, olası sonuçlar, ihlali ele almak ve etkilerini hafifletmek için alınan veya önerilen önlemler ile Sorumlu'nun daha fazla bilgi edinebileceği bir iletişim noktası ([email protected]).

statycs, Sorumlu ile iş birliği yapacak ve ihlalin araştırılması, kontrol altına alınması ve düzeltilmesine yardımcı olmak için makul adımlar atacaktır.

Bu DPA kapsamındaki veri işlemeye ilişkin sorumluluk, dayanak hizmet sözleşmesinin Şartlar ve Koşulları ile düzenlenir. Bu DPA'daki hiçbir hüküm, taraflar arasında kararlaştırılan sorumluluk hükümlerini değiştirmez veya genişletmez.

Her taraf, GDPR'ın 82. maddesine uygun olarak, GDPR'ı ihlal eden işlemenin neden olduğu zararlardan sorumludur. statycs yalnızca GDPR kapsamında özellikle işleyenlere yönelik yükümlülüklere ya da Sorumlu'nun hukuka uygun talimatlarına uymayan işlemenin neden olduğu zarardan sorumludur.

Bu DPA, Sorumlu ile statycs arasındaki dayanak hizmet sözleşmesinin sona ermesi üzerine otomatik olarak sona erer.

Fesih üzerine, Sorumlu adına işlenen kişisel veriler, Sorumlu bu süre içinde verilerin yapılandırılmış, yaygın olarak kullanılan bir biçimde iadesini talep etmedikçe, 30 gün boyunca saklanır ve ardından kalıcı olarak silinir. statycs, kişisel verileri bu sürenin ötesinde yalnızca AB veya Avusturya hukukunun gerektirdiği durumlarda saklayabilir ve Sorumlu'yu böyle bir gereklilik hakkında bilgilendirir.

Bu DPA, Avusturya hukukuna tabidir. Münhasır yetkili yargı yeri Viyana'daki yetkili mahkemedir.