Veri İşleme Sözleşmesi

1. Taraflar ve kapsam

1.1 Bu Veri İşleme Sözleşmesi ("DPA"), BlinkFix Ltd (şirket no. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Birleşik Krallık ("BlinkFix", "Veri İşleyen") ile Enterprise Şartları belgesini kabul eden kuruluş, tedarikçi veya teslimat şirketi ya da Üye İşyeri Şartları belgesini kabul eden işletme ("Müşteri", "Veri Sorumlusu") arasındadır.

1.2 BlinkFix'in BlinkFix Enterprise veya bir işletmenin Personel ve entegrasyon araçlarını sağlarken Müşteri adına işlediği kişisel veriler için geçerlidir ("Müşteri Kişisel Verileri"). Enterprise Şartları veya Üye İşyeri Şartları belgesinin bir parçasını oluşturur ve bunlarla birlikte kabul edilir ("Sözleşme").

1.3 Bu, BlinkFix'in veri sorumlusu olarak işlediği ve Gizlilik Politikası belgesinde açıklanan kişisel veriler için geçerli değildir. BlinkFix, örneğin şunların veri sorumlusudur: (a) BlinkFix hesapları; (b) müşteri siparişleri ve ödemeleri; (c) faturalandırma, Cüzdan, ödemeler ve ekstreler; (d) bir siparişin teslimat bilgileri (isim, adres, telefon, teslimat kodu) ve bir teslimat şirketi tarafından yapılanlar dahil olmak üzere teslimat kayıtları; (e) alıcının teslimat bilgileri dahil olmak üzere tedarikçi siparişi; (f) talepler, fotoğraflar ve BlinkFix'in kararları dahil olmak üzere araç depozitoları; (g) BlinkFix'in bir kanal ortağına, yönlendirdiği hesaplar hakkında verdiği sınırlı bilgiler; (h) bir teslimat şirketinin onaylanmak üzere yüklediği belgelerin kendi kontrolü. BlinkFix bu tür verileri bir tedarikçiye, bir teslimat şirketine veya bir kanal ortağına kendi üzerine düşeni yapabilmesi için verdiğinde, ilgili işletme bu verileri yalnızca bu amaçla, Fleet Şartları belgesinde, Enterprise Şartları belgesinin 16. bölümünde ve Kanal Ortağı Şartları belgesinde belirtildiği üzere ayrı bir veri sorumlusu olarak alır.

1.4 "Birleşik Krallık GDPR", "AB GDPR" (Tüzük (AB) 2016/679), "Veri Koruma Kanunları", "kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi", "kişisel veri ihlali" ve "denetim makamı" terimleri, Birleşik Krallık GDPR, 2018 Veri Koruma Yasası ve geçerli olduğu durumlarda AB GDPR'deki anlamlarını taşır.

2. İşleme detayları

3. Veri sorumlusunun talimatları

3.1 BlinkFix, Müşteri Kişisel Verilerini yalnızca, uluslararası aktarımlar da dahil olmak üzere, Müşteri'nin belgelendirilmiş talimatları doğrultusunda işler; Birleşik Krallık veya AB hukuku tarafından aksi belirtilmedikçe, bu durumda BlinkFix, ilgili hukuk yasaklamadığı sürece işlemeden önce Müşteri'yi bilgilendirir.

3.2 Sözleşme, bu Veri İşleme Anlaşması (DPA) ve Müşteri'nin hizmeti kullanımı ve yapılandırması (ayarlar, entegrasyonlar ve adminlerinin eylemleri dahil) Müşteri'nin eksiksiz talimatlarıdır. Ek talimatlar yazılı olmalı ve Sözleşme ile tutarlı olmalıdır.

3.3 BlinkFix, bir talimatın Veri Koruma Yasalarını ihlal ettiği kanaatindeyse Müşteri'yi derhal bilgilendirir.

3.4 Müşteri, talimatını verdiği işlemenin yasallığından, yasal bir dayanağa sahip olmaktan ve veri sahiplerine gerekli bilgileri vermekten sorumludur.

4. Gizlilik

BlinkFix, Müşteri Kişisel Verilerini işlemeye yetkilendirdiği herkesin gizlilik yükümlülüğü altında olmasını ve bu verilere yalnızca hizmeti sağlamak, Müşteri'ye talebi üzerine destek vermek, raporları ve kötüye kullanımı ele almak veya yasaya uymak için gerektiği ölçüde erişmesini sağlar.

5. Güvenlik

BlinkFix, Müşteri Kişisel Verilerini korumak için uygun teknik ve organizasyonel önlemleri (Madde 32 Birleşik Krallık/AB GDPR) uygular, bunlar şunları içerir:

• tüm trafik için aktarım sırasında şifreleme (TLS) ve Google Cloud (sunucularımız ve veritabanı disklerimiz) ile Cloudflare (dosyalar ve yedekler) tarafından sağlanan durağan verilerin şifrelenmesi;
• yalnızca özet (hash) olarak saklanan şifreler ve PIN'ler; şifreli olarak saklanan entegrasyon sırları; kapsamı belirlenmiş ve iptal edilebilir API anahtarları; imzalı web kancaları;
• koltuk ve rol bazlı erişim kontrolü; üretim verilerine personel erişiminin buna ihtiyaç duyan kişilerle sınırlandırılması; hassas öğelere personel erişiminin günlüğe kaydedilmesi;
• uygulamada müşterilerin verilerinin organizasyon bazında ayrılması;
• hız sınırlaması ve kötüye kullanım koruması;
• sürekli değişiklik günlükleri ile veritabanımızın günlük yedekleri, 7 gün boyunca ayrı bir yedekleme deposunda tutulur ve bunları geri yükleme süreci;
• hizmet değiştikçe önlemlerin düzenli olarak gözden geçirilmesi.

Müşteri, koltuk yönetimi, kimlik bilgileri ve API anahtarlarını gizli tutma ve bağladığı sistemleri güvence altına alma dahil olmak üzere kendi güvenliğinden sorumludur.

6. Alt işleyenler

6.1 Müşteri, BlinkFix'e Alt işleyenler listesindeki alt işleyenlerle çalışma konusunda genel yetki verir.

6.2 BlinkFix, listeyi güncelleyerek ve Müşteri'nin adminlerine veya hesap sahiplerine e-posta göndererek Müşteri'ye yeni veya yedek bir alt işleyen için en az 30 gün önceden bildirimde bulunur. Müşteri, bu süre zarfında makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı iyi niyetle görüşecektir; çözülemediği takdirde, Müşteri etkilenen hizmeti sonlandırabilir ve kalan süre için önceden ödenen ücretlerin iadesini alabilir.

6.3 BlinkFix, her alt işleyene bu Veri İşleme Anlaşması'ndan (DPA) daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve onların performansından sorumlu kalmaya devam eder.

7. Uluslararası transferler

7.1 BlinkFix'in veritabanı dahil ana barındırma hizmeti, Frankfurt, Almanya'daki (AB) Google Cloud üzerindedir. Veritabanı yedekleri Cloudflare R2'de tutulur. BlinkFix'in e-posta sunucusu Kanada'dadır. Yapay zeka hizmeti dahil bazı alt işleyenler, listede gösterildiği gibi verileri ABD'de veya başka yerlerde işler.

7.2 Müşteri Kişisel Verilerinin Birleşik Krallık veya AEA dışına, yeterlilik kararı olmayan bir ülkeye aktarıldığı durumlarda, BlinkFix uygun güvenceleri sağlar: sertifikalı alıcılar için AB-ABD Veri Gizliliği Çerçevesi ve bunun Birleşik Krallık Uzantısı veya Birleşik Krallık Uluslararası Veri Aktarımı Eki ile birlikte Avrupa Komisyonu'nun standart sözleşme maddeleri (Karar 2021/914, modül 3 işleyenden işleyene veya uygun olduğu şekilde modül 2), gerektiğinde bir aktarım risk değerlendirmesi ve tamamlayıcı önlemlerle birlikte. Kanada gibi ticari organizasyonlar için yeterlilik kararı olan bir ülkeye yapılan aktarım, bu karara dayanır.

7.3 Müşteri'nin AEA'da bulunduğu ve BlinkFix'in (Birleşik Krallık'ta) Müşteri Kişisel Verilerini aldığı durumlarda, aktarım Avrupa Komisyonu'nun Birleşik Krallık için verdiği yeterlilik kararı kapsamındadır. Bu kararın sona ermesi halinde, standart sözleşme maddeleri (modül 2, veri sorumlusundan veri işleyene) geçerli olur ve atıf yoluyla dahil edilir; bunlar için İrlanda hukuku ve mahkemeleri seçilmiş olup yetkili makam olarak Müşteri'nin denetim makamı belirlenmiştir.

7.4 Birleşik Krallık ve AEA dışındaki Müşteriler. Müşteri'nin Birleşik Krallık ve AEA dışında (örneğin Birleşik Arap Emirlikleri veya ABD'de) bulunduğu ve ilgili hukukunun kişisel verilerin Birleşik Krallık'a veya Alt işleyenler listesindeki ülkelere gönderilmesini kısıtladığı durumlarda, taraflar bu Veri İşleme Sözleşmesi'ne (DPA) ve ilgili hukukun daha fazlasını talep ettiği hallerde, 7.2 ve 7.3'te belirtilen standart maddelere ve ek sözleşmeye dayanır; taraflar bunların ilgili hukukun izin verdiği ölçüde geçerli olacağını kabul eder.

8. Destek

8.1 Veri sahibi talepleri. BlinkFix, işlemenin niteliğini göz önünde bulundurarak, Müşteri'nin veri sahiplerinden gelen taleplere (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) yanıt vermesine, esas olarak hizmetin özellikleri aracılığıyla (admin'ler verileri görüntüleyebilir, düzenleyebilir, dışa aktarabilir ve kaldırabilir) yardımcı olur. BlinkFix bir talebi doğrudan alırsa, kişiyi Müşteri'ye yönlendirir ve Müşteri talep etmedikçe kendisi yanıt vermez.

8.2 Etki değerlendirmeleri ve danışma. BlinkFix, Müşteri'ye veri koruma etki değerlendirmeleri ve bir denetim makamına ön danışma konularında yardımcı olmak için makul bilgileri sağlar.

9. Kişisel veri ihlalleri

BlinkFix, Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra gecikmeksizin ve her halükarda 48 saat içinde, Müşteri'nin yükümlülüklerini yerine getirmesi için makul ölçüde ihtiyaç duyduğu bilgilerle (ihlalin niteliği, kategoriler ve yaklaşık sayılar, olası sonuçlar, alınan veya önerilen önlemler ve bir iletişim noktası) birlikte Müşteri'yi bilgilendirir ve daha fazla bilgi edindikçe güncellemeleri yapar. BlinkFix, ihlali kontrol altına almak ve gidermek için makul adımları atar. Bildirim, bir kusur kabulü teşkil etmez.

10. Denetimler

BlinkFix, bu Veri İşleme Sözleşmesi'ne (DPA) ve 28. Madde'ye uyumu kanıtlamak için makul ölçüde gerekli olan bilgileri, yılda bir kez güvenlik anketlerine verilen yazılı yanıtlar dahil olmak üzere kullanıma sunar. Bunun yeterli olmaması veya bir denetim makamının bunu talep etmesi halinde, Müşteri en az 30 gün önceden bildirimde bulunarak, mesai saatleri içinde, yılda en fazla bir kez, kendi masraflarıyla ve diğer müşterilerin verilerine erişim sağlamadan bir denetim (bizzat veya gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla) gerçekleştirebilir.

11. Silme ve iade

11.1 Sözleşme süresince, admin'ler Müşteri Kişisel Verilerini silebilir ve dışa aktarabilir (CSV ve JSON dışa aktarımları ve API aracılığıyla).

11.2 Sözleşme sona erdiğinde, Müşteri verilerini dışa aktarmak için 30 güne sahiptir. BlinkFix, Birleşik Krallık veya AB hukuku saklamasını gerektirmedikçe, aktif sistemler dahil olmak üzere Müşteri Kişisel Verilerini sonraki 30 gün içinde siler. Yedekler 7 gün boyunca tutulur ve ardından normal döngülerinde silinir; felaket kurtarma durumları haricinde geri yüklenmezler. Talep üzerine, BlinkFix silme işlemini yazılı olarak onaylar.

11.3 BlinkFix üzerindeki işletmeler, siparişleri ve personelinin kişisel BlinkFix hesapları hakkındaki veriler, Enterprise Müşterisi'nin Müşteri Kişisel Verisi değildir ve Üye İşyeri Şartları ile Gizlilik Politikası kapsamında devam eder.

12. Sorumluluk ve öncelik

12.1 Tarafların bu Veri İşleme Sözleşmesi (DPA) kapsamındaki sorumluluğu, Sözleşme'deki limitlere tabidir.

12.2 Bu Veri İşleme Sözleşmesi (DPA) ile Sözleşme arasında çelişki olması durumunda, Müşteri Kişisel Verilerinin işlenmesi için bu Veri İşleme Sözleşmesi (DPA) geçerli olur. Standart sözleşme maddeleri veya Birleşik Krallık Eki uygulanıyorsa ve bu Veri İşleme Sözleşmesi (DPA) ile çelişiyorsa, bunlar önceliklidir.

12.3 Bu Veri İşleme Sözleşmesi (DPA), Sözleşme'yi yöneten hukuk tarafından yönetilir.

13. İletişim

Gizlilik ve veri koruma: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, United Kingdom.

Birleşik Krallık Bilgi Komisyonu Ofisi'ne kayıt: başvuru yapıldı (başvuru C2042936).

AB temsilcisi (GDPR Madde 27)

BlinkFix'in AB GDPR 27. Madde uyarınca Avrupa Birliği'ndeki temsilcisi Michał Michalek, Polonya'dır (posta adresi [email protected] adresinden talep edilebilir), [email protected], +48 505 643 432. AB veri sahipleri ve denetim makamları, bu Veri İşleme Sözleşmesi (DPA) kapsamındaki işleme dahil olmak üzere, BlinkFix'in veri işleme faaliyetleri hakkında temsilci ile iletişime geçebilir.

14. Diğer ülkelerin hukukları

14.1 AEA. Müşteri'nin İzlanda, Lihtenştayn veya Norveç'te bulunduğu durumlarda, bu Veri İşleme Sözleşmesi (DPA) AB için olduğu gibi uygulanır ve "EU GDPR", GDPR'nin AEA'da uygulandığı şekliyle GDPR'yi kapsar.

14.2 Birleşik Arap Emirlikleri. Müşteri Kişisel Verileri için 2021 tarihli 45 sayılı Kişisel Verilerin Korunmasına İlişkin BAE Federal Kararname Kanunu geçerli olduğunda, Müşteri veri sorumlusu ve BlinkFix veri işleyendir; 3 ila 11. bölümler, BlinkFix'in bu kanun kapsamındaki veri işleyen olarak görevleridir. Dubai Uluslararası Finans Merkezi veya Abu Dabi Küresel Pazarı'nın veri koruma hukukunun geçerli olduğu durumlarda, ilgili hukuk kapsamında aynı durum geçerlidir. Taraflar, BAE dışına yapılacak her türlü aktarım için bu Veri İşleme Sözleşmesi'ne (DPA) ve 7. bölüme dayanır.

14.3 Amerika Birleşik Devletleri. Müşteri Kişisel Verileri için bir ABD eyaleti gizlilik yasasının geçerli olduğu durumlarda (örneğin, California Tüketici Gizliliği Yasası'nın California Gizlilik Hakları Yasası ile değiştirilmiş hali), BlinkFix, Müşteri'nin hizmet sağlayıcısı veya veri işleyicisidir ve: (a) BlinkFix, Müşteri Kişisel Verilerini yalnızca 2. bölümdeki amaçlar doğrultusunda ve Müşteri'nin talimatları uyarınca işler; (b) BlinkFix bunları satmaz veya paylaşmaz (söz konusu yasaların bu kelimelere yüklediği anlamlar çerçevesinde); (c) BlinkFix bunları başka herhangi bir amaçla veya Müşteri ile olan doğrudan iş ilişkisinin dışında tutmaz, kullanmaz veya ifşa etmez; (d) BlinkFix, yasaların izin verdiği durumlar haricinde, bunları diğer kaynaklardan aldığı veya kendisinin topladığı kişisel verilerle birleştirmez; (e) BlinkFix söz konusu yasaya uyar ve aynı düzeyde gizlilik koruması sağlar; (f) Müşteri, BlinkFix'in verileri bu Veri İşleme Sözleşmesi'nde belirtildiği şekilde kullandığından emin olmak ve yetkisiz kullanımı durdurup düzeltmek için (10. bölüm kapsamındakiler dahil) makul adımlar atabilir; (g) BlinkFix, söz konusu yasa kapsamındaki yükümlülüklerini artık yerine getiremeyecek olması durumunda Müşteri'yi 5 iş günü içinde bilgilendirir.

14.4 Başka bir ülkenin veri koruma yasasının geçerli olduğu ve bu Veri İşleme Sözleşmesi'nden daha fazlasını talep ettiği durumlarda, taraflar neyin ekleneceği konusunda iyi niyet çerçevesinde mutabık kalacaklardır.