EK B — Kişisel Veri İşleme Sözleşmesi (DPA)

B1. Taraflar ve veri işleme rolleri

Müşteri / talimat veren taraf: MÜŞTERİ TİCARET UNVANI, ADRESİ, YETKİLİSİ
Hizmet Sağlayıcı: Monitoring World Bilişim Sistemleri Yönetim Danışmanlık Tic. Ltd. Şti.
Veri koruma iletişimi: kvkk@autonomz.com
Tarafların rolü: SOMUT FAALİYET İÇİN DOĞRULANACAK

B1.1. Bu Ek, Müşteri'nin veri sorumlusu olarak işleme amaç ve vasıtalarını belirlediği ve Hizmet Sağlayıcı'nın hizmet sunumu kapsamında Müşteri adına veri işleyen sıfatıyla kişisel veri işlediği faaliyetlerde uygulanır.

B1.2. Müşteri kendi müşterisi adına veri işleyen olarak hareket ediyorsa, gerekli alt işleme yetkilendirmelerinin bulunması ve sözleşme zincirinin hukuka uygun kurulması gerekir. Üçüncü taraf verilerinin teknik olarak erişilebilir olması tek başına işlenmesine izin vermez.

B1.3. Hizmet Sağlayıcı'nın kendi amaçları için yürüttüğü kurumsal başvuru, müşteri ilişkileri, faturalama, hesap güvenliği, hukuki kayıtlar ve uygun faaliyet bazında ürün kullanım analitiği bu Ek'teki müşteri adına işleme ilişkisinden farklı olabilir. İlgili veri sorumluluğu, amaç, hukuki sebep ve aydınlatma ayrıca belirlenir.

B2. Konu, amaç, veri kategorileri ve ilgili kişiler

B2.1. İşlemenin konusu: Müşteri'nin yetkilendirdiği izleme altyapısı verilerinin hizmet kapsamında değerlendirilmesi; sonuç, öneri ve raporların oluşturulması; Müşteri'nin yetkilendirdiği işlemlerin gerçekleştirilmesi; hizmetin güvenliği ve destek işlemleri.

B2.2. İşlemenin amacı: Sözleşmede fiilen etkin olan özelliklerin sunulması ve bunlarla doğrudan bağlantılı gerekli operasyonların yürütülmesidir. Hizmet Sağlayıcı, ilgili verileri bağımsız pazarlama, başka müşterilere sunum veya başka bir ürünün eğitimi gibi ilgisiz amaçlar için yalnız bu Ek'e dayanarak kullanamaz.

B2.3. İlgili kişi grupları: Müşteri'nin yetkili çalışanları ve temsilcileri; izleme kayıtlarında verisi bulunabilen çalışanlar, hizmet sağlayıcı personeli ve Müşteri'nin meşru olarak izlediği sistemlerle ilişkili diğer kişiler.

B2.4. Olası veri kategorileri: Kurumsal iletişim ve kullanıcı/rol bilgileri; sistem ve varlık tanımlayıcıları; olay/uyarı açıklamaları; işlem ve onay kayıtları; ölçüm verileri; teknik destek kapsamında gerekli olabilecek bilgiler. Bu unsurlar ancak gerçek kişiyle ilişkilendirilebildikleri ölçüde kişisel veridir. Kaynak sistemlere ilişkin şifreler ve erişim anahtarları gereksiz yere raporlara veya destek taleplerine eklenmemelidir.

B2.5. Özel nitelikli kişisel veriler: Hizmetin olağan kullanımına ilişkin veri kategorisi olarak öngörülmez. Müşteri, böyle verileri gerekli değerlendirme ve özel koruma koşulları sağlanmaksızın sisteme dahil etmez. Hizmet Sağlayıcı'nın bunları işlemeyi kabul ettiği sonucu bu Ek'ten çıkarılamaz.

B2.6. Kaynak ve toplama yöntemi: Müşteri tarafından yapılandırılan bağlantılar, kullanıcı tarafından yapılan işlemler ve Müşteri'nin hizmet kapsamında sağladığı dosya veya bilgiler. Gerekli bilgilendirme ve hukuki dayanağın temin edilmesi yükümlülüğü tarafların rollerine göre belirlenir.

B3. Talimatlar ve yetkilerin sınırı

B3.1. Hizmet Sağlayıcı, Müşteri adına verileri yalnız bu Ek, ana sözleşme, geçerli Sipariş/Özel Teklif ve yetkili kullanıcı işlemleriyle doğrulanabilen hukuka uygun talimatlar çerçevesinde işler; hukuki yükümlülük hâlleri saklıdır.

B3.2. Bir veri aktarımını yetkilendirme, bir yapılandırma değişikliğini onaylama ve pazarlama iletisi izni farklı hukuki ve ürün işlemleridir. Birinin varlığı diğerinin verildiği anlamına gelmez.

B3.3. Hukuka aykırı olduğu makul şekilde değerlendirilen talimatlar hakkında Müşteri uyarılır. Gerekli durumda işlem, tarafların yükümlülükleri dikkate alınarak sınırlandırılabilir.

B4. Saklama, erişim ve sona erme

B4.1. Veriler yalnız işleme amacı ve uygulanabilir yasal saklama süreleriyle sınırlı tutulur. Geçici analiz verileri, kalıcı raporlar, kullanım istatistikleri, güvenlik/işlem kanıtları ve mali kayıtlar farklı saklama sürelerine tabi olabilir. Tüm ürün verilerinin tek bir sürede silindiği taahhüt edilmez.

B4.2. Bazı özel veri aktarımları için Müşteri'ye gösterilen işlem bazlı aydınlatma/izin metni somut süreyi ayrıca belirtir. Halen sunulan belirli geçici ham ölçüm aktarımı açıklamalarında 24 saat sonra silme bilgisi vardır; bu bilgi diğer veri grupları için genellenemez. Bu bildirimle fiilî silme işlemleri arasında tutarlılık sağlanması zorunludur.

B4.3. Sözleşmenin sona ermesinde Müşteri verilerinin iadesi, silinmesi ve yedeklerden kaldırılması; uygulanabilir hukuk, meşru saklama yükümlülükleri ve imza öncesi mutabık kalınmış Veri Saklama/İade Çizelgesine göre yürütülür. Sağlayıcı, meşru saklama yükümlülüğü dışında işlenmemesi gereken verileri başka amaçla kullanmaz.

B4.4. Veri Saklama/İade Çizelgesi — hukuki/operasyonel doğrulama gerektirir:

B4.5. Yukarıdaki doldurulmamış alanlar nihai sözleşme gibi imzalanmamalı; ilgili gerçek uygulama ve yasal gereklilikler teyit edilerek tamamlanmalıdır.

B5. Gizlilik ve güvenlik tedbirleri

B5.1. Hizmet Sağlayıcı, kişisel verilerin niteliği ve risklerine uygun erişim kontrolü, yetkilendirme, güvenli işleme, saklama, olay yönetimi, çalışan gizliliği ve veri minimizasyonu gibi uygun teknik ve idari tedbirler uygular.

B5.2. Yetkili personel, verilere yalnız görevin gerektirdiği ölçüde erişir ve gizlilik yükümlülüğüne tabidir. Müşteri verilerinin yetkisiz kişilere veya başka müşterilere açıklanması yasaktır.

B5.3. Hizmet Sağlayıcı'nın güvenlik ve gizlilik yükümlülüğü, kamuya açıklanacak teknik sistem ayrıntılarının paylaşılmasını gerektirmez. Gerekli denetim ve güvence talepleri, meşru ihtiyaçla orantılı ve gizliliği koruyan usullerle karşılanır; yetkili makamların hakları saklıdır.

B5.4. Gerçek olmayan güvenlik sertifikası, veri konumu, üçüncü taraf bağımsız test veya kesintisizlik garantisi bu Ek'ten çıkarılamaz.

B6. Alt veri işleyenler ve alıcılar

B6.1. Hizmetin ifası için gerekli alt veri işleyenler sözleşmesel gizlilik ve veri güvenliği yükümlülüklerine tabi tutulur. Bunların kullanılması Hizmet Sağlayıcı'nın kendi yasal ve sözleşmesel yükümlülüklerini ortadan kaldırmaz.

B6.2. Alıcı grupları faaliyet bakımından uygun olduğu ölçüde: barındırma ve teknik altyapı, kurumsal iletişim/bildirim, destek ve ödeme hizmeti sağlayıcıları ile hukuken yetkili kamu kurumlarıdır. Bunlar her bir sağlayıcının mutlaka kullanılacağı anlamına gelmez; faaliyete göre gerçek aktarım ayrıca teyit edilir.

B6.3. Müşteri'nin hukuken gerekli alt işleyen kimliği, aktarım ülkesi, erişim kapsamı ve aktarım güvence bilgilerine ihtiyaç duyması hâlinde bunlar uygun bir gizli tedarikçi/aktarım envanteri üzerinden, geçerli yasal yükümlülükleri karşılayacak kapsamda paylaşılır. Ticari sır koruması, zorunlu bilgi verme yükümlülüğünün yerine geçmez.

B6.4. İşleme faaliyetini önemli ölçüde etkileyen alt işleyen değişikliklerinde, sözleşme ve hukukun gerektirdiği uygun bilgilendirme, yetkilendirme ve varsa itiraz usulleri uygulanır: DEĞİŞİKLİK BİLDİRİMİ VE İTİRAZ DÜZENİ.

B7. Yurt dışına veri aktarımı

B7.1. Kişisel verilerin Türkiye dışına aktarılması hâlinde uygulanabilir KVKK m. 9 koşulları ve gerekli aktarım mekanizması faaliyet ve alıcı bazında değerlendirilerek yerine getirilir.

B7.2. Gerekiyorsa Kişisel Verileri Koruma Kurumu tarafından ilan edilmiş uygun resmî standart sözleşme, yetkili taraflar arasında ayrıca akdedilir ve bildirimi süresinde yapılır. Bu Ek, ilgili standart sözleşmenin yerine geçtiği anlamına gelmez.

B7.3. Uluslararası aktarımın tarafları, ülkeleri ve hukuki dayanağı zorunlu kapsamda ilgili kişiler ve Müşteri ile paylaşılır. Bu bilgilendirme, herkese açık bir teknik altyapı diyagramı veya güvenlik konfigürasyonu yayımlanmasını gerektirmez.

B8. İlgili kişi hakları, denetim ve iş birliği

B8.1. Müşteri'nin veri sorumlusu sıfatıyla yerine getirmesi gereken aydınlatma, ilgili kişi talebi ve kanuni başvuru süreçlerinde Hizmet Sağlayıcı, hukuken gerekli ve teknik olarak makul desteği sağlar. Kendi veri sorumluluğu kapsamında gelen talepleri ayrıca yönetir.

B8.2. Hizmet Sağlayıcı, kendi kapsamındaki kişisel veri ihlallerini değerlendirir ve Müşteri adına işlenen veriler bakımından ilgili veri sorumlusunu gecikmeksizin bilgilendirir. Kanuni bildirim sorumluluğu tarafların fiilî ve hukuki rollerine göre belirlenir. Ek A'daki genel olay yönetimi hükümleri uygulanır.

B8.3. Müşteri'nin hukuken veya sözleşmeyle hak sahibi olduğu denetim talepleri, kapsam ve amaçla orantılı olarak; üçüncü kişilerin gizliliği, güvenlik hassasiyetleri ve ticari sırlar korunarak yerine getirilir. Bu hüküm yetkili resmî makamların haklarını sınırlamaz.