Bu Veri İşleme Eki ("Ek"), sipariş formunda belirtilen müşteri ("Müşteri") ile Apivom Technology FZ-LLC arasındaki sözleşmenin parçasıdır. Apivom Technology FZ-LLC, Dubai Geliştirme Otoritesi (Dubai Internet City, lisans no. 107172) tarafından lisanslıdır; kayıtlı adresi DMC-BLD-VD-G00-706, Building 5, Dubai Media City, Dubai, Birleşik Arap Emirlikleri'dir ("Apivom"). Apivom, Ek A'da listelenen bir hizmeti ("Hizmet") bu sözleşme kapsamında sunar. Burada tanımlanmayan büyük harfli terimler söz konusu sözleşmedeki ("Sözleşme") anlamını taşır. Sorularınız için: info@apivom.com. Alt işleyenlerin listesi /subprocessors adresinde yayımlanır.

1. Roller ve tanımlar

1.1 Hizmetin Müşteri adına işlediği kişisel veriler bakımından Müşteri veri sorumlusu, Apivom veri işleyendir. Müşteri kendisi veri işleyen ise Apivom alt işleyendir ve Müşteri bu talimatları verme yetkisine sahip olduğunu teyit eder.

1.2 "Uygulanabilir Veri Koruma Hukuku", Müşteri'nin işlemesine uygulanan ve Müşteri'nin sipariş formunda ya da Hizmet ayarlarında seçtiği veri koruma mevzuatıdır: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili yönetmelikler; (AB) 2016/679 sayılı Tüzük (GDPR); UK GDPR ve Data Protection Act 2018; BAE 2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname; California Tüketici Gizliliği Yasası (CCPA) ve diğer ABD eyalet gizlilik yasaları; ayrıca sipariş formunda adı geçen diğer mevzuat. Müşteri'nin seçtiği her mevzuat, aşağıdaki "Mevzuata özgü hükümler"den kendi hükümlerini ekler; bu hükümler ilgili mevzuat bakımından bu Ek'e üstündür.

1.3 "Kişisel Veri", "işleme", "ilgili kişi" ve "kişisel veri ihlali" Uygulanabilir Veri Koruma Hukuku'ndaki anlamıyla kullanılır.

2. Kapsam ve talimatlar

2.1 Apivom kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler: bu Ek, Sözleşme, Ekler ve Müşteri yöneticilerinin Hizmet'te seçtiği ayarlar. Üçüncü ülkelere aktarımlara ilişkin talimatlar da buna dahildir.

2.2 Apivom bir talimatın Uygulanabilir Veri Koruma Hukuku'nu ihlal ettiğini düşünürse Müşteri'yi derhal bilgilendirir ve talimat teyit edilene ya da değiştirilene kadar uygulamayı durdurabilir.

2.3 Apivom kişisel verileri model eğitmek için kullanmaz, üçüncü taraf yapay zekâ veya analiz hizmetlerine göndermez ve kendi amaçları için işlemez.

3. Gizlilik

Apivom, kişisel verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlar ve erişimi Hizmet'i işletmek ve desteklemek için ihtiyaç duyan personelle sınırlar. Bu yükümlülük Sözleşme sona erdikten sonra da devam eder.

4. Güvenlik

Apivom, Ek B'deki önlemleri uygular ve bunları riske uygun tutar. Müşteri, kendi riskine uygun Hizmet ayarlarını seçmekten sorumlu olmaya devam eder.

5. Alt işleyenler

5.1 Müşteri, /subprocessors adresinde listelenen alt işleyenler için genel yazılı izin verir.

5.2 Apivom, bir alt işleyen eklemeden ya da değiştirmeden en az 30 gün önce Müşteri'nin belirttiği gizlilik irtibat kişisine e-posta ile ve alt işleyen sayfasında yazılı bildirim yapar. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı çözemezse Müşteri, Hizmet'in etkilenen kısmını cezasız feshedebilir ve orantılı iade alır.

5.3 Apivom her alt işleyene bu Ek'tekiyle aynı veri koruma yükümlülüklerini yükler ve onların ifasından Müşteri'ye karşı sorumlu kalır.

6. Yurt dışına aktarımlar

6.1 Müşteri, Apivom'un Birleşik Arap Emirlikleri'nde yerleşik olduğunu ve Hizmet'in Microsoft Azure Batı Avrupa bölgesinde barındırıldığını kabul eder.

6.2 Müşteri'nin seçtiği bir mevzuat aktarımı kısıtlıyorsa ve aktarımı kapsayan bir yeterlilik kararı yoksa taraflar, ilgili mevzuata özgü hükümlerde adı geçen aktarım belgesini kullanır ve bu Ek'in eki olarak imzalar.

6.3 Apivom, sonraki aktarımlara aynı güvenceleri uygular.

6.4 Bir aktarım belgesi geçersiz hâle gelirse ya da gereken bildirim yapılmazsa Apivom, Müşteri'nin talebi üzerine sorun giderilene kadar etkilenen işlemeyi durdurur.

7. İlgili kişi başvuruları

7.1 Apivom, doğrudan ilgili kişiden aldığı başvuruyu 3 iş günü içinde Müşteri'ye iletir ve Müşteri aksini talimatlandırmadıkça yanıtlamaz.

7.2 Apivom, Müşteri'nin başvuruları Uygulanabilir Veri Koruma Hukuku'ndaki süreler içinde yanıtlayabilmesi için uygun teknik ve idari tedbirlerle yardımcı olur.

8. Kişisel veri ihlali

8.1 Apivom, Müşteri'nin kişisel verilerini etkileyen bir ihlali öğrendiğinde gecikmeksizin ve en geç 24 saat içinde, o anda sahip olduğu bilgilerle (niteliği, kategoriler ve yaklaşık sayılar, olası sonuçlar, alınan önlemler) Müşteri'nin ihlal irtibat kişisine bildirir ve gelişmelere göre günceller.

8.2 Müşteri, makamlara ve ilgili kişilere bildirim yapıp yapmayacağına ve nasıl yapacağına karar verir. Apivom incelemeye ve bildirimlere destek olur.

9. Yardım

Apivom, Hizmet'in niteliği ve elindeki bilgiler ölçüsünde Müşteri'ye güvenlik, ihlal yönetimi, veri koruma etki değerlendirmeleri ve ön danışma konularında; ayrıca Müşteri'nin işleme kayıtları ve aydınlatma yükümlülükleri konusunda yardımcı olur. Talep üzerine bir etki değerlendirmesi girdi formu sağlar.

10. Denetim

10.1 Apivom, bu Ek'e uyumu göstermek için gereken bilgileri sunar ve Müşteri'nin ya da yetkilendirdiği denetçinin denetim ve incelemelerine izin verir.

10.2 Müşteri önce Apivom'un belgelerini ve soru formu yanıtlarını inceler. Ardından 30 gün önceden bildirimle, bir ihlal ya da düzenleyici talebi daha fazlasını gerektirmedikçe 12 ayda en fazla bir kez, mesai saatlerinde, gizlilik altında ve diğer müşterilerin verilerine erişim olmaksızın yerinde ya da uzaktan denetim yapılır. Her taraf kendi denetim maliyetini üstlenir.

11. Saklama, iade ve silme

11.1 Saklama, Ekler'de açıklanan sınırlar içinde Müşteri'nin ayarlarına uyar. Apivom süresi dolan verileri otomatik olarak siler.

11.2 Hizmet sona erdiğinde Müşteri verilerini 30 gün boyunca dışa aktarabilir. Ardından Apivom, kanun saklamayı gerektirmedikçe verileri ve mevcut kopyaları 30 gün içinde siler.

11.3 Yedekler yalnızca Apivom'un yedekleme politikası uyarınca felaket kurtarma amacıyla bulunur (veri tabanı yedekleri en fazla beş yıl saklanır) ve başka bir amaçla üretim ortamına geri yüklenmez. Süreleri dolunca silinir.

12. Sorumluluk, uygulanacak hukuk, öncelik

12.1 Sorumluluk ve tazminat Sözleşme'ye uyar.

12.2 Uygulanacak hukuk ve yetkili merci Sözleşme'ye uyar; ancak 6. madde uyarınca ek yapılan aktarım belgesi kendi hükümlerine tabidir.

12.3 Bu Ek bir aktarım belgesiyle çelişirse aktarım bakımından belge üstündür. Aksi hâlde veri korumaya ilişkin konularda bu Ek, Sözleşme'ye üstündür.

13. Değişiklikler

Apivom bu Ek'i hukuki ya da operasyonel nedenlerle güncelleyebilir ve esaslı bir değişiklikten en az 30 gün önce Müşteri'yi bilgilendirir. Müşteri, korumasını azaltan esaslı bir değişikliğe itiraz ederse etkilenen Hizmet'i cezasız feshedebilir.

Mevzuata özgü hükümler

A. Türkiye, KVKK (6698 sayılı Kanun)

A1. Aktarım belgesi. Apivom ve barındırma Türkiye dışında olduğundan taraflar, Kişisel Verileri Koruma Kurulu'nun Standart Sözleşme 2'sini (veri sorumlusundan veri işleyene) değiştirmeden, Ekler'den tamamlayarak imzalar.

A2. Bildirim. İmzalanan standart sözleşme, son imzadan itibaren beş iş günü içinde elden, kayıtlı elektronik posta (KEP) ile ya da Kurul'un belirleyeceği başka bir yöntemle Kişisel Verileri Koruma Kurumu'na bildirilir. Veri aktaran olarak Müşteri bildirir. Apivom, imzalanan nüshayı, imza yetkililerinin yetkisini gösteren belgeleri ve yabancı dildeki belgelerinin noter onaylı Türkçe çevirilerini imzadan itibaren 3 iş günü içinde teslim eder. Tarafların bilgilerinde ya da ek içeriğinde değişiklik veya sona erme hâlinde aynı yolla yeniden bildirim yapılır.

A3. Sonraki aktarımlar. Apivom verileri sonraki bir alıcıya aktarırsa yalnızca Müşteri'nin belirlediği amaç ve kapsam içinde ve Müşteri'nin talimatlarıyla hareket eder, güvenlik önlemlerini sürdürür ve sonraki aktarıma aynı güvenceleri uygular.

A4. Gizlilik. Apivom, öğrendiği verileri Kanun'a aykırı olarak açıklamaz ve başka amaçlarla kullanmaz; bu yükümlülük görev sona erdikten sonra da sürer.

A5. İhlal. Apivom Müşteri'yi 24 saat içinde bilgilendirir. Müşteri ilgili kişileri ve Kurul'u en kısa sürede bilgilendirir.

A6. Başvurular ve silme. Müşteri başvuruları en kısa sürede ve en geç 30 gün içinde sonuçlandırır. Apivom, Müşteri'nin talimatı üzerine ve Hizmet sona erdiğinde verileri siler, yok eder ya da anonim hâle getirir.

A7. Müşteri'nin kendi yükümlülükleri. Müşteri, Hizmet mesajları taramadan önce 10. madde uyarınca gereken aydınlatmayı yayımlar, hukuki sebebini kayıt altına alır ve Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünün kendisi için geçerli olup olmadığını kontrol eder.

B. Avrupa Birliği ve Birleşik Krallık, GDPR ve UK GDPR

B1. Madde 28. 2. ila 11. maddeler, GDPR m. 28(3) uyarınca gereken hükümlerdir: aktarımlar dahil belgelenmiş talimatlar, gizlilik, m. 32 önlemleri, m. 28(2) ve (4)'teki alt işleyen koşulları, ilgili kişi başvurularında ve m. 32-36 kapsamında yardım, silme veya iade ve denetim desteği. Apivom alt işleyenlerinden Müşteri'ye karşı tamamen sorumlu kalır.

B2. AB aktarımları. Taraflar, (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen Standart Sözleşme Hükümleri'nin 2. Modülünü (veri sorumlusundan veri işleyene) şu tercihlerle dahil eder: bağlanma hükmü dahil; alt işleyenler için 30 gün bildirim süreli genel izin; bağımsız uyuşmazlık çözüm kuruluşu yok; sipariş formunda belirtilen Üye Devlet'in denetim makamı, uygulanacak hukuku ve mahkemeleri (belirtilmemişse Müşteri'nin yerleşik olduğu Üye Devlet). Ek I, Ek A; Ek II, Ek B; Ek III alt işleyen sayfasıdır.

B3. Birleşik Krallık aktarımları. UK GDPR kapsamındaki işleme için aynı ek içeriğiyle Standart Sözleşme Hükümleri'ne UK Uluslararası Veri Aktarımı Eki uygulanır.

B4. İhlal. Apivom'un 24 saatlik bildirimi, Müşteri'nin m. 33'teki 72 saatlik süreyi karşılamasını sağlar.

B5. Başvurular. Müşteri ilgili kişi başvurularını bir ay içinde yanıtlar.

B6. Etki değerlendirmesi. Mesaj içeriğinin geniş ölçekte taranması büyük olasılıkla bir veri koruma etki değerlendirmesi (m. 35) gerektirir; değerlendirme Müşteri'ye aittir ve Apivom yardımcı olur.

C. Birleşik Arap Emirlikleri, PDPL (2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname)

Apivom, Dubai Geliştirme Otoritesi'ne bağlı bir serbest bölgede lisanslıdır. Müşteri'nin kendi işlemesi PDPL'ye tabi olduğunda Apivom, PDPL Apivom'a doğrudan uygulansa da uygulanmasa da aşağıdaki işleyen şartlarını sözleşmeyle kabul eder.

C1. Sözleşme kapsamında işleme. Bu Ek ve Ekler; kapsamı, konuyu, amacı, verinin niteliğini ve türünü ve ilgili kişi kategorilerini belirtir.

C2. Süre ve silme. İşleme, Ekler'deki süre ve Müşteri'nin saklama ayarları boyunca sürer. İşleme bu süreyi aşacaksa Apivom, Müşteri'nin uzatmaya izin vermesi veya talimat vermesi için Müşteri'yi bilgilendirir. Apivom, süre dolunca veya verileri teslim ederken siler.

C3. Gizlilik ve güvenlik. Apivom, kanunun izin verdiği durumlar dışında verileri ya da işleme sonuçlarını açıklamaz ve ham değer saklamaktan kaçınan tasarım ile saklanan alıntıların şifrelenmesi dahil Ek B önlemlerini uygular.

C4. İşleme kaydı. Apivom, Müşteri adına yürüttüğü işlemeye ilişkin bir kayıt tutar ve talep üzerine Müşteri'ye, kanunun gerektirdiği hâllerde BAE Veri Ofisi'ne sunar.

C5. Uyumun ispatı. Apivom, Müşteri istediğinde, kanunun gerektirdiği hâllerde ise BAE Veri Ofisi istediğinde uyumu ispat araçlarını sağlar.

C6. Alt işleyenler. Birden fazla işleyen varsa roller ve sorumluluklar yazılı sözleşmeyle belirlenir (5. madde).

C7. İhlal. Apivom, ihlali öğrenir öğrenmez Müşteri'yi bilgilendirir (8. madde: 24 saat içinde). Müşteri, BAE Veri Ofisi'ni ve ilgili kişileri Uygulama Yönetmeliği'nin belirlediği süre içinde bilgilendirir.

C8. Ülke dışında işleme. Müşteri, Apivom'a Microsoft Azure Batı Avrupa'da barındırma talimatı verir. Alıcı ve konum Ek C'de belirtilir ve alt işleyenler aynı yükümlülüklere bağlanır.

C9. Başvurular. Müşteri ilgili kişi başvurularını yanıtlar; Apivom 7. madde uyarınca yardımcı olur. Her taraf veri koruma görevlisi atamasının kendisi için gerekli olup olmadığına kendisi karar verir.

D. Amerika Birleşik Devletleri, California CCPA/CPRA ve diğer eyalet yasaları

D1. Hizmet sağlayıcı. Apivom, kişisel bilgileri Müşteri adına yalnızca Ekler'deki ticari amaçlar (Hizmet'in sunulması, güvenlik ve bütünlük) için işler ve Müşteri'nin hizmet sağlayıcısıdır.

D2. Kısıtlamalar. Apivom: kişisel bilgileri satmaz veya paylaşmaz; bunları Sözleşme'de belirtilen ticari amaçlar dışındaki herhangi bir amaçla, ticari bir amaç dahil, ya da CCPA'nın başka türlü izin verdiği hâller dışında saklamaz, kullanmaz veya ifşa etmez; Apivom ile Müşteri arasındaki doğrudan ticari ilişkinin dışında saklamaz, kullanmaz veya ifşa etmez; başka bir kişiden veya onun adına aldığı ya da tüketiciyle kendi etkileşiminden topladığı kişisel bilgilerle, CCPA ve yönetmeliklerinin bir ticari amaç için izin verdiği hâller dışında birleştirmez.

D3. İzleme. Müşteri, Apivom'un uyumunu en az 12 ayda bir inceleme, tarama, değerlendirme, denetim veya test yoluyla izleyebilir (10. madde uygulanır).

D4. Alt işleyenler. Apivom, işlemeye yardım etmesi için başka bir kişiyi görevlendirdiğinde Müşteri'yi bilgilendirir ve o kişiyi yazılı sözleşmeyle D2'deki kısıtlamalara bağlar.

D5. Uyum. Apivom, hizmet sağlayıcılar için geçerli olduğu şekliyle CCPA'ya uyar ve yükümlülüklerini artık karşılayamayacağını anlarsa Müşteri'yi derhal bilgilendirir.

D6. Başvurular ve silme. Apivom tüketici başvurularını 3 iş günü içinde Müşteri'ye iletir, 7. madde uyarınca yardımcı olur ve Müşteri'nin talimatı üzerine ve Hizmet sona erdiğinde siler (11. madde).

D7. Diğer eyaletler. Yukarıdaki hükümler, ABD eyalet gizlilik yasalarında ortak olan işleyen sözleşmesi gerekliliklerini karşılayacak şekilde yazılmıştır. Bunların ötesinde gereklilik getiren bir eyalet için taraflar bir ek ekler.

Ekler

Ek A. İşlemenin açıklaması

Hizmet: Virtus (WhatsApp mesajlarında veri koruma taraması)

• Veri sorumlusu: Müşteri. Veri işleyen: Apivom Technology FZ-LLC.
• Amaç: Müşteri'nin WhatsApp Business hatlarındaki mesajlarda kişisel tanımlayıcıların (örneğin kimlik numarası, IBAN, kart numarası, telefon numarası, e-posta adresi) tespit edilmesi; böylece Müşteri'nin yetkili personeli bunları inceleyip yönetebilir.
• İlgili kişiler: Müşteri'nin hatlarına mesaj gönderen kişi ve müşterileri; hatları kullanan Müşteri personeli.
• Kişisel veriler: mesaj metni (taramak için okunur, kopyalanmaz); bulgular: tanımlayıcı türü, güven düzeyi, mesaj referansı, hat, yön, zaman damgaları ve uygulanan düzenleme sürümleri; isteğe bağlı maskelenmiş bağlam alıntısı (varsayılan kapalı); kimin neyi görüntülediğini ya da değiştirdiğini gösteren denetim kayıtları.
• Özel nitelikli veriler: hedeflenmez. Tespit, Müşteri'nin seçtiği düzenlemelerin tanımlayıcı türleriyle sınırlıdır.
• Sıklık ve süre: Sözleşme süresi boyunca sürekli tarama, artı 11.2'deki iade süresi.
• Saklama: Müşteri, bulguların ve alıntıların saklama süresini seçtiği düzenlemelere ve risk düzeyine bağlı sınırlar içinde belirler. Varsayılanlar: bulgular 365 gün; alıntılar kapalı, açıkken 30 gün veya daha az. Yüksek risk düzeyinde bulgular 180 gün, alıntılar 14 günle sınırlıdır. Sınırlar Apivom ürün politikasıdır ve Müşteri bunları istediği zaman düşürebilir.
• İşlemler: Müşteri'nin çalışma alanındaki mesaj deposundan okuma, desen ve sağlama toplamı tanıma, bulguları saklama, isteğe bağlı olarak alıntıları şifreleyip saklama, sonuçları Müşteri'nin yetkili kullanıcılarına gösterme ve süre dolunca silme.
• Barındırma: Microsoft Azure, Batı Avrupa.

Müşteriye özgü bilgiler (müşteri adı, gizlilik ve ihlal irtibat kişileri, seçilen mevzuat) sipariş formunda tamamlanır.

Ek B. Güvenlik önlemleri

• Veri minimizasyonu: tarama yalnızca mesaj kimliğini, konuşma kimliğini, yönü, sağlayıcı mesaj kimliğini, metni ve zaman damgalarını okur. Medya veya etkileşimli içeriği okuyamaz ve mesajlaşma sistemine yazamaz. Bulgular ham tespit edilen değeri ya da mesajın tamamını asla içermez.
• Bağlam alıntıları: bulgunun çevresindeki maskelenmiş bir pencere; AES-256-GCM ile şifrelenir, anahtar veri tabanının dışında, yalnızca hizmet hesabının okuyabildiği bir dosyada tutulur. Yalnızca Müşteri'nin çalışma alanı yöneticileri görüntüleyebilir, her görüntüleme denetim kaydına yazılır ve özellik kapatıldığında saklanan tüm alıntılar aynı işlemde silinir.
• Erişim kontrolü: Apivom Key üzerinden (OpenID Connect) oturum açma; erişim uygulamanın erişim rolünü, yönetim işlemleri yönetici rolünü gerektirir; her müşterinin verisi ayrı bir veri tabanında tutulur.
• En az yetki: Hizmet'in veri tabanı rolü, mesaj ve konuşma tablolarında sütun düzeyinde okuma yetkisine sahiptir, bunlara yazamaz, denetim kayıtları yalnızca eklenebilir ve silme yetkisi yalnızca bulgular ve alıntılarla sınırlıdır.
• Denetim: ayar değişiklikleri, alıntı görüntülemeleri, belge dışa aktarmaları ve silmeler kim ve ne zaman bilgisiyle kaydedilir.
• Günlükleme: işçi günlükleri sayılar ve tanımlayıcılar içerir; mesaj metni veya tespit edilen değerler içermez.
• Harici işleme yok: tarama yolunda üçüncü taraf yapay zekâ veya harici API kullanılmaz.
• İletim, barındırma ve kenar: Hizmet'e TLS; Microsoft Azure Batı Avrupa'da, web uygulaması güvenlik duvarlı Azure Front Door arkasında barındırma; veri tabanı yedekleri coğrafi yedekli depolamalı Azure Backup ile alınır.
• Saklama: süresi dolan bulgular ve alıntılar, tarama kapalıyken bile otomatik olarak kalıcı biçimde silinir.
• Mühendislik: kaynak koduna erişen mühendisler için iki faktörlü kimlik doğrulama, imzalı ve gözden geçirilen değişiklikler, otomatik bağımlılık ve konteyner güvenlik açığı taraması.

Ek C. Alt işleyenler

Güncel liste /subprocessors adresinde yayımlanır.