TwinOry Veri İşleme Sözleşmesi
1. Taraflar, talimatlar ve uygulanabilirlik
Bu DPA, yalnızca imzalanmış bir ENT-02'de belirtilen müşteri/veri sorumlusu SMARTEDTECH SL'yi TwinOry için veri işleyen olarak talimatlandırdığında uygulanır. İşletmecinin kendi hesabı, faturalama, güvenlik veya kanuni amaçları bakımından bunun yerine veri sorumlusu olabilir. Bağımsız sağlayıcılar/kurumlar kendi işlemelerinden sorumlu olmaya devam eder. Ek A, işleme başlamadan önce konuyu, süreyi, niteliği, amacı, veri kategorilerini, ilgili kişileri, veri sorumlusu talimatlarını ve izin verilen yerleri belirtmelidir. Boş bir ek, sınırsız işlemeye yetki vermez.
2. Belgelenmiş amaç ve gizlilik
Veri işleyen, bağlayıcı hukuk aksini gerektirmedikçe, aktarımlar dâhil yalnızca belgelenmiş talimatlarla hareket eder; hukuken izin verildiği ölçüde bu gerekliliği veri sorumlusuna bildirir. Hukuka aykırı olduğunu makul biçimde değerlendirdiği bir talimatı gecikmeksizin işaretler. Yalnızca erişmesi gereken personel yetkilendirilir, eğitilir ve gizlilikle bağlanır. Bu DPA'dan reklam, sonraki satış, ilgisiz model eğitimi, platformlar arası zenginleştirme veya özel veri yayını doğmaz.
3. Güvenlik ve yetkili erişim
Ek B'de belgelenen, Madde 32 uyarınca riske uygun önlemleri kullanın: kiracı yalıtımı/RLS, asgari ayrıcalık ve ayrıcalıklı erişim için MFA, fiilen uygulandığı yerde şifreleme ve anahtar yönetimi, gizli bilgi maskeleme, yama/güvenlik açığı yönetimi, sınanmış geri yükleme ve kurtarma, kapsamı sınırlı entegrasyonlar, yükleme denetimleri, olay yükseltme ve kanıt bütünlüğü. Bunlar kanıtlanacak sözleşmesel gerekliliklerdir; her önlemin hâlihazırda geçtiğine dair bir belgelendirme değildir. Üretim işleminden önce esaslı sapmaları açıklayın ve düzeltin. Değiştirilemez rıza günlüklerine özel içerik yazılmaz; asgariye indirilmiş atıflar ve hukuka uygun saklama kullanılır.
4. Alt işleyenler ve aktarımlar
Ek C, her fiili alt işleyeni, amacı, yeri, veri erişimini ve onay dayanağını belirtir. Genel yazılı yetki altında, amaçlanan ekleme/değiştirmeleri bildirin ve makul, üzerinde anlaşılmış bir itiraz süreci tanıyın; hukuka uygun güvenceler üzerinde anlaşılamazsa etkilenen işlemeyi çözün veya durdurun. Eşdeğer işleme yükümlülükleri yükleyin ve Madde 28'in gerektirdiği şekilde sorumlu kalın. Kısıtlı aktarımlar, DAT-02'deki fiili geçerli aracı ve değerlendirmeyi gerektirir. Bir satıcı logosu veya API ayarı, imzalanmış bir DPA veya aktarım güvencesi değildir.
5. Haklar ve olaylar
İlgili kişi taleplerinde veri sorumlusuna, orantılı kimlik doğrulama ve kapsamı sınırlı arama/dışa aktarma/düzeltme/silme ile yardımcı olun. Yetkilendirilmedikçe veya hukuk gerektirmediği sürece yanıtı bağımsız olarak karara bağlamayın. Farkına varıldıktan sonra kişisel veri ihlalini, mevcut olgular, kategoriler/yaklaşık sayılar, olası etkiler, azaltma ve iletişim bilgisiyle birlikte, gereksiz gecikme olmaksızın veri sorumlusuna bildirin. Aşamalı güncellemeler sağlayın ve ilgili kanıtı koruyun; kusursuz bir rapor için beklemeyin. Veri sorumlusunun 72 saatlik denetim otoritesine bildirim yükümlülüğü, veri işleyenin bildiriminden ayrıdır ve her güvenlik uyarısına kendiliğinden bağlanmaz. Taraflar, kanuni süreleri engellemeksizin etkilenen kişilere yapılacak bildirimleri koordine eder.
6. Değerlendirmeler, denetim ve makamlar
Madde 28 uyumu için makul ölçüde gerekli bilgileri, ilgili güvenlik kanıtını, DPIA'lar ve ön danışma için yardımı ve gizlilik, güvenlik ve başkalarının haklarına tabi orantılı denetimleri/incelemeleri sağlayın. Erişimi ilgili verilerle sınırlayın; ham gizli bilgileri veya ilgisiz kiracıların kayıtlarını hiçbir zaman talep etmeyin. Kanuni düzenleyici erişimi saklıdır. Bir sertifika bulunmadığı için esaslı denetim iş birliğini reddetmeyin.
7. Hizmet sonu ve saklama
Talimat verilen hizmetin sonunda, bağlayıcı hukuk belirli bir saklama gerektirmedikçe, veri sorumlusunun seçimine göre kişisel verileri ve mevcut kopyaları iade edin veya silin. Fiili dışa aktarma biçimini, zamanlamayı, yedek sona erme süresini ve silme doğrulamasını Ek D'de kararlaştırın. Hukuken tutulan kayıtları belirli amaç ve süreyle sınırlayın. Yalnızca eklemeli kanıt gerekliliği, tanımlanabilir içeriğin sonsuza dek saklanmasına yetki vermez; onaylı hukuk ve teknik tasarımla tutarlı biçimde yükleri asgariye indirin veya kriptografik olarak ayırın.
8. İcra ekleri
Ek A, ENT-02'deki hizmet/konu/amaç alanlarını kullanır; Ek B, kanıta dayalı TOM listesidir; Ek C, fiili alıcılar/yer/değişiklik bildirimi kayıt defteridir; Ek D, saklama/dışa aktarma/silme ve olay iletişim bilgilerini belirtir. Kiracı/hizmet yapılandırmasından tamamlanana kadar eksik olgular olarak kalırlar. Fiili veri sorumlusu ve veri işleyen imzalar. Kanuni işleme yükümlülükleri ve emredici haklar, bunlarla çelişen ticari şartlara üstün gelir.
Platforma özgü şartlar
Veri rolleri
1. Platform verisi. İşletmeci, platformu işletmek için işlenen kişisel verilerin veri sorumlusudur: hesap, kimlik doğrulama, kabul kayıtları, ödemeler, güvenlik, destek, iletişimler ve analitik.
2. Sağlayıcı tedarik verisi. Bir sağlayıcı, platform aracılığıyla bir müşteriye hizmet sunduğunda, sağlayıcı o tedarik için ihtiyaç duyduğu verinin (rezervasyon, sipariş, klinik, eğitsel veya mesleki kayıtlar) bağımsız veri sorumlusudur; İşletmeci ise işlemin platform düzeyindeki kaydının veri sorumlusudur. Her taraf kendi yükümlülüklerine uyar; hiçbiri diğeri adına hareket etmez.
3. Veri işleyen hizmetleri. İşletmeci, bir işletme müşterisinin talimatları uyarınca o müşteri adına kişisel veri işlediğinde (örneğin bir kurumsal kiracının çalışan verisi), Veri İşleme Sözleşmesi (DAT-01) uygulanır ve yönetir; siparişin parçası olarak imzalanır.
4. SET platformları arasında paylaşım. Kişisel veri, ayarlarınızda belirli varış yerini etkinleştirmedikçe, İşletmeci veya grubu tarafından işletilen başka bir platformla paylaşılmaz. Bir varış yerini etkinleştirmek diğerlerini etkinleştirmez ve bunu dilediğiniz zaman devre dışı bırakabilirsiniz.
5. Uluslararası aktarımlar. Kişisel veri Avrupa Ekonomik Alanı'nda (wellbridge.uk için Birleşik Krallık'ta) saklanır. Bu alanların dışında bir veri işleyen kullanıldığında aktarım, alt işleyen ekinde listelenen Standart Sözleşme Maddeleri veya Birleşik Krallık Eki/IDTA kapsamındadır.
---