Veri İşleme Sözleşmesi (DPA)

1. Kapsam ve Uygulanabilirlik

Bu Veri İşleme Sözleşmesi ("DPA"), Cemile Ceylan ("İşleyen") ile müşteri ("Veri Sorumlusu") arasındaki Hizmet Şartlarının bir parçasını oluşturur ve İşleyen'in MobVex hizmetlerinin sunulması kapsamında Veri Sorumlusu adına kişisel veri işlediği hâllerde uygulanır. Bu DPA, Genel Veri Koruma Tüzüğünün (GDPR) 28. maddesine uygundur.

Bu DPA, kurumsal ve ticari müşteriler için geçerlidir. Bu DPA'yı imzalamak için info@mobvex.io adresinden bize ulaşın.

2. Tanımlar

• Kişisel Veri: Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi.
• İşleme: Kişisel veriler üzerinde gerçekleştirilen her türlü işlem (toplama, saklama, kullanma vb.).
• Veri Sorumlusu: İşlemenin amaçlarını ve araçlarını belirleyen müşteri.
• İşleyen: Veri Sorumlusu adına veri işleyen Cemile Ceylan.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• Alt İşleyen: Kişisel veri işlemek üzere İşleyen tarafından görevlendirilen üçüncü taraf.

3. İşlemenin Niteliği ve Amacı

İşleyen, Veri Sorumlusu'na MobVex Hizmetini sunmak amacıyla kişisel veri işler. İşleme faaliyetleri şunları içerir:

• Hesap Verileri: Hesap yönetimi için e-posta adresleri, adlar ve kimlik doğrulama belirteçleri.
• Faturalandırma Verileri: Paddle (alt işleyen) üzerinden işlenen ödeme bilgileri.
• Kullanım Verileri: Araç kullanım kayıtları, kredi tüketimi ve özellik etkileşim ölçümleri.
• Uygulama Envanteri: Veri Sorumlusu tarafından sağlanan paket adları ve uygulama tanımlayıcıları.
• Analiz Sonuçları: Veri Sorumlusu için üretilen raporlar, anahtar kelime sıralamaları ve yorum analizleri.

4. İşlemenin Süresi

İşleme, Veri Sorumlusu'nun hesabı boyunca ve hesabın kapatılmasından sonra en fazla 30 gün devam eder; ancak kanunen daha uzun saklama gerekiyorsa bu durum saklıdır.

5. İşleyen'in Yükümlülükleri

İşleyen şunları kabul eder:

• Kişisel verileri yalnızca Veri Sorumlusu'nun belgelendirilmiş talimatları doğrultusunda, aktarımlar bakımından da dâhil olmak üzere işlemek.
• Kişisel veri işlemeye yetkili kişilerin gizlilik yükümlülükleriyle bağlı olmasını sağlamak.
• Uygun teknik ve idari güvenlik önlemlerini uygulamak (bkz. Bölüm 7).
• İlgili kişi haklarına ilişkin talepleri yanıtlarken Veri Sorumlusu'na yardımcı olmak.
• Güvenlik, ihlal bildirimi ve DPIA konularında GDPR yükümlülüklerini yerine getirmesinde Veri Sorumlusu'na yardımcı olmak.
• Bir kişisel veri ihlalinden haberdar olduğunda, gecikme olmaksızın ve her hâlükârda 72 saat içinde Veri Sorumlusu'nu bilgilendirmek.
• Hizmetin sona ermesi üzerine tüm kişisel verileri silmek veya Veri Sorumlusu'na iade etmek.
• Uyumu kanıtlamak için gerekli tüm bilgileri Veri Sorumlusu'nun kullanımına sunmak.
• Veri Sorumlusu veya yetkili bir denetçi tarafından yürütülen denetimlere izin vermek ve katkı sağlamak.

6. Alt İşleyenler

Veri Sorumlusu, İşleyen'e aşağıdaki alt işleyenleri görevlendirme yetkisi verir:

İşleyen; alt işleyenlerin eklenmesi veya değiştirilmesine ilişkin planlanan her değişikliği Veri Sorumlusu'na bildirir ve Veri Sorumlusu'na itiraz etme imkânı tanır.

7. Güvenlik Önlemleri

İşleyen aşağıdaki teknik ve idari önlemleri uygular ve sürdürür:

• Aktarım sırasında (TLS 1.2+) ve saklama sırasında (AES-256) veri şifreleme
• Güvenli oturum yönetimiyle erişim kontrolü için Firebase Authentication
• İçerik Güvenliği Politikası (CSP) ve güvenlik başlıkları (X-Frame-Options, XSS koruması)
• Düzenli güvenlik güncellemeleri ve bağımlılık güvenlik açığı taraması
• Google Cloud altyapısı üzerinden güvenlik duvarı ve DDoS koruması
• Yönetici işlemleri için erişim kaydı ve izleme
• Üretim sistemlerine dâhilî erişimde en az yetki ilkesi
• Aksi belirtilmedikçe verilerin yalnızca us-central1 bölgesinde saklanması

8. İlgili Kişi Hakları

İşleyen, işlemenin niteliğini dikkate alarak, Veri Sorumlusu'nun GDPR (12-23. maddeler) kapsamındaki ilgili kişi taleplerini yanıtlama yükümlülüğünü yerine getirmesi için uygun teknik ve idari önlemlerle Veri Sorumlusu'na yardımcı olur.

İlgili kişi talepleri info@mobvex.io adresine yönlendirilmelidir.

9. Uluslararası Veri Aktarımları

Kişisel veriler Amerika Birleşik Devletleri'nde işlenir ve saklanır. AEA'dan ABD'ye yapılan aktarımlar için İşleyen, uygulanabilir olduğu ölçüde Standart Sözleşme Hükümlerine (SCC) ve tamamlayıcı önlemlere dayanır. Firebase hizmetleri için Google Cloud Platform'un GDPR uyumlu veri işleme koşulları geçerlidir.

10. Sorumluluk

Bu DPA kapsamındaki her bir tarafın sorumluluğu, Hizmet Şartlarında belirtilen sınırlamalara tabidir. Bu DPA'daki hiçbir hüküm, bir tarafın kendi ihmalinden veya kasıtlı kötü davranışından kaynaklanan veri ihlallerine ilişkin sorumluluğunu ya da kanunen sınırlandırılamayacak sorumluluğu sınırlamaz.

11. Yürürlük

Bu DPA, koşulları karşılayan müşteriler için Hizmet Şartlarına atıfla dâhil edilmiştir. Ayrıca imzalı bir sözleşme için kurumsal müşteriler info@mobvex.io adresinden bize ulaşabilir.

12. İletişim