Veri İşleme Sözleşmesi

1.1 Bu Veri İşleme Sözleşmesi ("VİS"), PPS ERP'yi kullanan müşteri ("Veri Sorumlusu") ile PPS — Practical Programming Systems, [doldurulacak: adres], Kamer van Koophandel (KvK) nezdinde [doldurulacak: ticaret sicil (KvK) numarası] numarasıyla kayıtlı ("Veri İşleyen") arasında akdedilmiştir.

1.2 VİS, PPS ERP'nin sunulmasına ilişkin sözleşmenin ("Ana Sözleşme", Hizmet Şartlarımız dahil) bir parçasıdır. Ana Sözleşme ile birlikte elektronik olarak kabul edilir; bu durum GDPR md. 28(9)'daki yazılı şekil şartını karşılar.

1.3 VİS, Veri İşleyenin Hizmeti sunarken Veri Sorumlusu adına işlediği tüm kişisel verilere ("Kişisel Veriler") uygulanır. İşlemenin ayrıntıları Ek 1'de yer alır.

"Kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi", "kişisel veri ihlali" ve "denetim makamı" gibi terimler (AB) 2016/679 sayılı Tüzük'teki ("GDPR") anlamlarını taşır.

3.1 Veri İşleyen, Kişisel Verileri — uluslararası aktarımlar dahil — yalnızca Veri Sorumlusunun belgelenmiş talimatlarıyla işler; AB veya üye devlet hukuku aksini gerektiriyorsa, bu hukuk yasaklamadıkça işlemeden önce Veri Sorumlusunu bilgilendirir.

3.2 Ana Sözleşme, bu VİS ve Veri Sorumlusunun Hizmeti kullanımı ile yapılandırması — bağladığı Entegrasyonlar ve oluşturduğu kurallar dahil — belgelenmiş talimatları oluşturur.

3.3 Veri İşleyen, bir talimatın veri koruma mevzuatını ihlal ettiği kanaatindeyse Veri Sorumlusunu derhal bilgilendirir.

3.4 Veri İşleyen, Kişisel Verileri kendi amaçları için işlemez, satmaz ve diğer müşterilerin verileriyle birleştirmez. Hizmetin kullanımına ilişkin toplulaştırılmış, anonim bilgiler Hizmetin işletilmesi ve geliştirilmesi için kullanılabilir.

Veri İşleyen, Kişisel Verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını ve yalnızca görevleri için gerekli ölçüde erişime sahip olmasını sağlar.

5.1 Veri İşleyen, riske uygun bir güvenlik seviyesi sağlamak için Ek 2'de açıklanan teknik ve idari tedbirleri uygular (GDPR md. 32).

5.2 Veri İşleyen, genel güvenlik seviyesini düşürmemek kaydıyla bu tedbirleri teknolojik gelişmelere ve risklere göre güncelleyebilir.

5.3 Veri Sorumlusu kendi cihazlarının ve erişim bilgilerinin güvenliğinden, Yetkili Kullanıcılara uygun rollerin verilmesinden ve destek erişimi gibi Hizmette kendi kontrol ettiği ayarlardan sorumludur.

6.1 Veri Sorumlusu, Ek 3'te listelenen alt işleyenlerin görevlendirilmesine genel yazılı izin verir.

6.2 Veri İşleyen, bir alt işleyeni eklemeden veya değiştirmeden en az 30 gün önce Veri Sorumlusunu bilgilendirir. Veri Sorumlusu bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar iyi niyetle bir alternatif arar; bulunamazsa Veri Sorumlusu, değişiklik yürürlüğe girmeden önce Ana Sözleşmenin ilgili kısmını feshedebilir ve peşin ödenen ücretler orantılı olarak iade edilir.

6.3 Veri İşleyen her alt işleyene bu VİS'tekilere eşdeğer veri koruma yükümlülükleri yükler ve alt işleyenlerinin ifasından Veri Sorumlusuna karşı sorumlu kalır.

6.4 Veri Sorumlusunun Hizmete bağladığı üçüncü taraf platformlar (örneğin bol.com, Amazon, Shopify veya Veri Sorumlusunun kendi ödeme ya da e-posta sağlayıcısı) Veri İşleyenin alt işleyenleri değildir. Veri Sorumlusu bu platformlarla kendi sözleşmeleri kapsamında veri alışverişi yapar.

7.1 Hizmet European Union (EU/EEA) bölgesinde barındırılır.

7.2 Bir alt işleyen Kişisel Verileri AB/AEA dışında işliyorsa veya verilere oradan erişilebiliyorsa, Veri İşleyen GDPR Bölüm V kapsamında geçerli bir aktarım mekanizması sağlar — sertifikalı alıcılar için AB-ABD Veri Gizliliği Çerçevesi dahil bir yeterlilik kararı veya gerektiğinde ek tedbirlerle birlikte Avrupa Komisyonu Standart Sözleşme Hükümleri.

8.1 Veri İşleyen, işlemenin niteliğini dikkate alarak ilgili kişi taleplerinin yanıtlanmasında Veri Sorumlusuna uygun teknik ve idari tedbirlerle destek olur. Hizmet; müşterilerin, tedarikçi yetkililerinin ve çalışanların kişisel verilerine erişim, dışa aktarma, düzeltme ve anonimleştirme işlevleri sunar.

8.2 Veri İşleyen, Kişisel Verilere ilişkin olarak doğrudan bir ilgili kişiden talep alırsa bu talebi gecikmeksizin Veri Sorumlusuna iletir ve ilgili kişiyi Veri Sorumlusuna yönlendirmek dışında kendisi yanıt vermez.

9.1 Veri İşleyen, Kişisel Verileri etkileyen bir kişisel veri ihlalini gecikmeksizin ve her halükarda ihlalden haberdar olduktan sonra 48 saat içinde Veri Sorumlusuna bildirir.

9.2 Bildirim, bilindiği ölçüde şunları içerir: ihlalin niteliği, etkilenen ilgili kişi ve kayıtların kategorileri ile yaklaşık sayısı, olası sonuçlar, alınan veya önerilen tedbirler ve bir irtibat noktası. Henüz mevcut olmayan bilgiler elde edildikçe iletilir.

9.3 Veri İşleyen ihlali sınırlamak ve etkilerini azaltmak için makul tedbirleri alır ve Veri Sorumlusunun denetim makamına ve ilgili kişilere bildirim yükümlülüklerini yerine getirmesine destek olur.

Veri İşleyen, Veri Sorumlusunun başka şekilde erişemediği ölçüde, bir veri koruma etki değerlendirmesi veya denetim makamıyla ön istişare için gerekli makul bilgileri sağlar.

11.1 Ana Sözleşme süresince Veri Sorumlusu, Hizmetin işlevleriyle Kişisel Verileri kendisi dışa aktarabilir ve silebilir.

11.2 Ana Sözleşme sona erdikten sonra Hesap, Veri Sorumlusunun verilerini dışa aktarabilmesi için 30 gün boyunca salt okunur olarak erişilebilir kalır. Ardından Veri İşleyen, AB veya üye devlet hukuku saklamayı gerektirmedikçe Kişisel Verileri 60 gün içinde üretim sistemlerinden kalıcı olarak siler.

11.3 Yedeklerdeki kopyalar, yedekler olağan döngüde süresi dolduğunda silinir ve felaket kurtarma dışında geri yüklenmez; geri yükleme halinde silme işlemleri yeniden uygulanır.

11.4 Talep halinde Veri İşleyen silme işlemini yazılı olarak teyit eder.

12.1 Veri İşleyen, GDPR md. 28'e uyumu göstermek için gerekli tüm bilgileri öncelikle bu VİS, güvenlik sayfası ve makul güvenlik anketlerine verilen yanıtlar aracılığıyla sağlar.

12.2 Bu bilgiler yeterli değilse Veri Sorumlusu, yılda en fazla bir kez, gizlilik yükümlülüğü altındaki bağımsız bir denetçiye, en az 30 gün önceden bildirimde bulunarak, mesai saatleri içinde ve Hizmeti aksatmadan veya diğer müşterilerin verilerini tehlikeye atmadan denetim yaptırabilir. Denetim, Veri İşleyenin bu VİS'i esaslı şekilde ihlal ettiğini ortaya koymadıkça masraflar Veri Sorumlusuna aittir.

Tarafların bu VİS kapsamındaki sorumluluğu, GDPR'ın sınırlamaya izin vermediği haller dışında Ana Sözleşmedeki sınırlamalara tabidir.

14.1 Bu VİS, Veri İşleyen Veri Sorumlusu adına Kişisel Veri işlediği sürece geçerlidir.

14.2 Kişisel verilerin korunmasına ilişkin olarak bu VİS ile Ana Sözleşme arasında çelişki olması halinde bu VİS önceliklidir.

14.3 Bu VİS the Netherlands hukukuna tabidir; uyuşmazlıklarda Amsterdam yetkili mahkemesi yetkilidir.

Konu ve süre. Ana Sözleşme süresince ve sonrasındaki dışa aktarma ve silme süresi boyunca PPS ERP bulut platformunun sunulması.

Niteliği ve amacı. Veri Sorumlusunun kullandığı ERP işlevlerini sunmak için verilerin saklanması, düzenlenmesi, sorgulanması, görüntülenmesi, birleştirilmesi, hesaplamalarda kullanılması, dışa aktarılması, bağlı Entegrasyonlara iletilmesi ve silinmesi: ürünler ve stok, satış ve faturalandırma, satın alma, müşteriler (CRM), tedarikçiler, satış noktası ve mağazalar, insan kaynakları ve bordro, pazaryeri ve e-ticaret entegrasyonları, raporlama, bildirimler ve destek.

İlgili kişi kategorileri.

• Veri Sorumlusunun Yetkili Kullanıcıları;
• müşteriler, potansiyel müşteriler ve bunların yetkilileri;
• tedarikçiler ve bunların yetkilileri;
• çalışanlar, adaylar ve acil durum kişileri (İK modülü);
• bağlı pazaryerleri ve e-ticaret siteleri üzerinden gelen siparişlerin alıcıları.

Kişisel veri kategorileri.

• kimlik ve iletişim bilgileri: ad, şirket, adres, e-posta, telefon;
• ticari veriler: teklifler, siparişler, faturalar, ödemeler, iadeler, gönderiler;
• finansal veriler: banka hesabı (IBAN), KDV ve vergi numaraları;
• çalışan verileri (İK modülü): doğum tarihi, uyruk, kimlik numarası, istihdam bilgileri, devam ve izin, maaş ve bordrolar, performans değerlendirmeleri, personel belgeleri;
• pazaryeri sipariş verileri: platformun sağladığı şekilde alıcı adı, teslimat ve fatura adresi, e-posta ve telefon;
• kullanım ve güvenlik verileri: kullanıcı hesapları, roller, giriş kayıtları, denetim kaydı.

Özel nitelikli veriler. Hizmet özel nitelikli kişisel veriler (GDPR md. 9) için tasarlanmamıştır. Veri Sorumlusu serbest metin alanlarına sağlık bilgisi — örneğin izinlerin tıbbi gerekçeleri — kaydetmemelidir. Kimlik numaraları işleniyorsa Veri Sorumlusu bir hukuki sebebin bulunmasını sağlar (örneğin bordro için).

Sıklık. Ana Sözleşme süresince sürekli.

Konum. European Union (EU/EEA); alt işleyenler için Ek 3'e bakınız.

Güvenlik sayfamızda yayımlanan tedbirler, ilgili zamanda yürürlükte olan sürümüyle bu VİS'in Ek 2'sini oluşturur.

Alt işleyenler sayfamızda yayımlanan alt işleyenler, ilgili zamanda yürürlükte olan sürümüyle bu VİS'in Ek 3'ünü oluşturur.

Dil sürümleri arasında farklılık olması halinde İngilizce sürüm esas alınır.