GDPR veri işleme sözleşmesi — taslak

1. Taraflar

1.1 Veri sorumlusu

Veri sorumlusu: Kişisel verilerin işlenebileceği hizmetler için Computer Repair Twente'yi görevlendiren kurumsal müşteri.

• şirket adı;
• hukuki yapı;
• adres;
• posta kodu ve yer;
• KvK numarası;
• varsa KDV numarası;
• iletişim kişisi;
• e-posta adresi;
• telefon numarası.

Bundan sonra Veri Sorumlusu veya müşteri olarak anılacaktır.

1.2 Veri işleyen

Veri işleyen: Enschede'de yerleşik Computer Repair Twente.

• şirket adı: Computer Repair Twente;
• e-posta: contact@computerrepairtwente.nl;
• telefon / WhatsApp: 06-55734000;
• web sitesi: www.computerrepairtwente.nl.

Bundan sonra Veri İşleyen veya Computer Repair Twente olarak anılacaktır.

1.3 Taraflar birlikte

Veri Sorumlusu ve Veri İşleyen birlikte taraflar olarak anılır.

2. Bu sözleşmenin amacı

2.1 Kişisel verilerle ilgili anlaşmalar

Bu veri işleme sözleşmesi, Computer Repair Twente'nin veri sorumlusu adına kişisel verileri hangi koşullarda işlediğini belirler.

2.2 GDPR

Bu sözleşme, Computer Repair Twente'nin veri işleyen olarak hareket ettiği ölçüde GDPR yükümlülüklerini yerine getirmeyi amaçlar.

2.3 Diğer anlaşmalara ek olarak

Bu veri işleme sözleşmesi; teklif, sözleşme, genel şartlar, SLA, destek anlaşmaları veya taraflar arasındaki diğer yazılı anlaşmalara ek olarak geçerlidir. Bu veri işleme sözleşmesi ile diğer anlaşmalar arasında çelişki olması durumunda, veri işleyen sıfatıyla kişisel verilerin işlenmesine ilişkin konularda bu veri işleme sözleşmesinin hükümleri önceliklidir.

3. Tarafların rolleri

3.1 Veri sorumlusu

Müşteri aşağıdakileri belirliyorsa veri sorumlusudur:

• hangi kişisel verilerin işlendiği;
• bu kişisel verilerin neden işlendiği;
• bu verilerin ne kadar süre gerekli olduğu;
• kimlerin erişim izni olduğu;
• hangi ilgili kişilerin söz konusu olduğu;
• hangi hukuki dayanağın geçerli olduğu;
• Computer Repair Twente'nin hangi talimatlara uyması gerektiği.

3.2 Veri işleyen

Kişisel verileri yalnızca müşteri adına ve müşterinin talimatlarına göre işlediğimizde Computer Repair Twente veri işleyen sıfatıyla hareket eder.

3.3 Kendi idari işlemlerimizde veri işleyen sıfatıyla hareket etmeyiz

Computer Repair Twente; kendi müşteri kayıtları, faturalandırma, teklifler, alacak yönetimi, pazarlama, kendi sistemlerinin güvenliği veya yasal yükümlülükleri için veri işleyen değildir. Bu işlemlerde Computer Repair Twente bağımsız veri sorumlusudur. Bu durumlar gizlilik bildirimimizin kapsamındadır.

4. Veri işlemenin konusu ve süresi

4.1 Konu

İşleme, Computer Repair Twente'nin kurumsal BT hizmetleri, destek, yönetim, bakım, güvenlik, yedekleme, kurtarma, taşıma, olay çözümü veya benzer çalışmalar sırasında işleyebileceği kişisel verilerle ilgilidir.

4.2 Süre

Bu sözleşme, Computer Repair Twente'nin müşteri adına kişisel verileri işlediği hizmetin süresi boyunca geçerlidir.

4.3 Sona erme

Veri işleme şu durumlarda sona erer:

• hizmetin sona ermesi;
• sözleşmenin sona erdirilmesi;
• kişisel verilerin artık gerekli olmaması;
• müşterinin yazılı olarak silme veya iade talep etmesi;
• yasal saklama yükümlülüğünün veya haklı bir nedenin daha uzun saklamayı gerektirmesi.

5. Veri işlemenin niteliği ve amacı

5.1 Veri işlemenin niteliği

Computer Repair Twente, kişisel verileri örneğin aşağıdaki işlemlerle işleyebilir:

• incelemek;
• geçici olarak saklamak;
• kopyalamak;
• aktarmak;
• geri yüklemek;
• güvenliğini sağlamak;
• yedeklemek;
• silmek;
• sorun giderme amacıyla analiz etmek;
• sistemlerde yapılandırmak;
• destek iletişiminde işlemek;
• uzaktan destek sırasında geçici olarak görmek.

5.2 Amaçlar

Veri işleme yalnızca müşteriye hizmet sunmak için gerekli olduğu ölçüde yapılır.

Amaçlar diğerlerinin yanı sıra şunlar olabilir:

• BT desteği;
• BT çalışma istasyonlarının yönetimi;
• sistem yönetimi;
• kullanıcı yönetimi;
• hesap desteği;
• e-posta desteği;
• yedekleme ve geri yükleme;
• veri kurtarma;
• veri taşıma;
• güvenlik desteği;
• olayların çözülmesi;
• bakım;
• sorun giderme;
• destek çalışmalarının belgelenmesi;
• destek talepleriyle ilgili iletişim;
• sözleşmenin veya SLA'nın yerine getirilmesi.

6. İlgili kişi kategorileri

İşe bağlı olarak diğerlerinin yanı sıra aşağıdaki kişilerin kişisel verileri işlenebilir:

• müşterinin çalışanları;
• müşterinin yönetim kurulu veya yöneticileri;
• müşterinin sistemlerinin kullanıcıları;
• müşterinin iletişim kişileri;
• müşterinin müşterileri;
• müşterinin tedarikçileri;
• müşterinin ziyaretçileri veya iş ilişkileri;
• verileri müşterinin sistemlerinde, dosyalarında veya yedeklerinde bulunan diğer kişiler.

Kesin kategoriler müşteriye veya işe göre değişebilir ve bir ekte belirtilebilir.

7. Kişisel veri türleri

İşe bağlı olarak Computer Repair Twente, diğerlerinin yanı sıra aşağıdakilere erişebilir veya bunları işleyebilir:

• ad;
• iş e-posta adresi;
• sistemlerde mevcutsa kişisel e-posta adresi;
• telefon numarası;
• kullanıcı adı;
• kullanıcı hesabı;
• görev veya bölüm;
• erişim yetkileri;
• sistem verileri ve günlük kayıtları;
• IP adresleri;
• cihaz adı;
• seri numaraları;
• çalışma istasyonu bilgileri;
• e-posta ayarları;
• dosyalar ve belgeler;
• yedekler;
• takvim veya iletişim bilgileri;
• hata mesajları;
• destek geçmişi;
• teknik yapılandırma verileri;
• güvenlik bildirimleri;
• uzaktan destek sırasında görünen veriler.

7.1 Özel nitelikli kişisel veriler

Computer Repair Twente özel nitelikli kişisel verileri işlemeyi amaçlamaz. Ancak bu veriler müşterinin dosyalarında, e-postalarında, yedeklerinde veya sistemlerinde görülebilir. İş için gerekli olmadıklarında bu verileri sınırlandırmak, korumak veya silmek müşterinin sorumluluğundadır.

7.2 Ceza hukukuna ilişkin veriler

Ceza hukukuna ilişkin verilerin işlenmesi Computer Repair Twente'nin hizmet amacı değildir. Bu veriler müşterinin sistemlerinde veya dosyalarında tesadüfen görünürse Computer Repair Twente bunları yalnızca teknik iş için gerekli olduğu ölçüde ve müşterinin talimatlarına göre işler.

8. Veri sorumlusunun talimatları

8.1 Yalnızca talimat üzerine

Yasal bir yükümlülük aksini gerektirmedikçe Computer Repair Twente kişisel verileri yalnızca veri sorumlusunun yazılı veya kanıtlanabilir talimatlarına dayanarak işler.

8.2 Kanıtlanabilir talimatlar

Talimatlar diğerlerinin yanı sıra şu yollarla verilebilir:

• sözleşme;
• teklif;
• e-posta;
• WhatsApp;
• destek talebi;
• iş teyidi;
• SLA;
• destek talebi;
• daha sonra kanıtlanabilir şekilde teyit edilen sözlü talimat;
• belge veya çalışma anlaşması.

8.3 Hukuka aykırı talimatlar

Computer Repair Twente bir talimatın GDPR'ye veya diğer mevzuata aykırı olduğunu düşünürse makul olarak mümkün olduğu ölçüde müşteriyi bilgilendirir.

8.4 Bağımsız kullanım yapılmaz

Computer Repair Twente, yasal olarak izin verilmedikçe veya kendi idari işlemleri, delillendirme, güvenlik ya da yasal yükümlülükleri için gerekli olmadıkça müşteri adına işlenen kişisel verileri kendi amaçları için kullanmaz.

9. Gizlilik

9.1 Gizlilik yükümlülüğü

Computer Repair Twente, müşterinin kişisel verilerini ve gizli bilgilerini gizli tutar.

9.2 Veri işleyenin sorumluluğu altındaki kişiler

Computer Repair Twente, sorumluluğu altında kişisel veri işleyen kişilerin gizliliğe veya uygun bir yasal ya da sözleşmesel gizlilik yükümlülüğüne tabi olmasını sağlar.

9.3 İstisnalar

Mevzuat, mahkeme kararı veya yetkili denetim makamı gereği açıklama zorunlu olduğunda gizlilik yükümlülüğü uygulanmaz.

10. Güvenlik önlemleri

10.1 Uygun önlemler

Computer Repair Twente, kişisel verileri kayba, yetkisiz erişime, değişikliğe, ifşaya veya hukuka aykırı işlemeye karşı korumak için uygun teknik ve organizasyonel önlemler alır.

10.2 Önlem örnekleri

Hizmete ve teknik olanaklara bağlı olarak önlemler şunları içerebilir:

• güçlü şifreler;
• Mümkün olduğunda MFA;
• yalnızca bilmesi gerekenlerin sınırlı erişimi;
• güvenliği sağlanmış cihazlar;
• mevcut olduğunda güvenli bağlantılar;
• uygun olduğunda şifreli aktarım;
• mümkün olduğunda yazılım güncellemeleri ve yamalar;
• uygun olduğunda antivirüs veya güvenlik önlemleri;
• uygun olduğunda günlük kaydı;
• müşteri bilgilerinin özenle saklanması;
• destek bilgilerine erişimin sınırlandırılması;
• gizlilik anlaşmaları;
• mümkün olduğunda verilerin güvenli biçimde silinmesi;
• güvenilir araçların ve tedarikçilerin kullanımı;
• cihazların ve çalışma alanlarının fiziksel güvenliği.

10.3 Mutlak güvenlik garantisi verilmez

Hiçbir sistem tamamen risksiz değildir. Computer Repair Twente, her türlü yetkisiz erişimin, veri ihlalinin, kötü amaçlı yazılımın, saldırının, insan hatasının veya sistem arızasının tamamen önlenebileceğini garanti etmez.

10.4 Müşteri ortamına bağlılık

Güvenlik ayrıca müşterinin ortamına, mevcut ayarlara, şifre politikasına, yetki yönetimine, güncellemelere, kullanıcı davranışına, ağ güvenliğine ve müşterinin tavsiyelere uymasına bağlıdır.

11. Alt veri işleyenler

11.1 Görevlendirme

Computer Repair Twente, hizmetin sunulması için gerekli veya yararlı olduğunda alt veri işleyenlerden yararlanabilir.

Alt veri işleyenler veya üçüncü taraf hizmetlerine örnekler şunlar olabilir:

• barındırma sağlayıcıları;
• bulut sağlayıcıları;
• e-posta sağlayıcıları;
• uzaktan destek araçları;
• yedekleme hizmetleri;
• muhasebe veya idari işlem yazılımı;
• güvenlik yazılımı;
• destek talebi veya belgeleme sistemleri;
• BT araçları tedarikçileri;
• uzman BT iş ortakları.

11.2 Uygun anlaşmalar

Computer Repair Twente, gerektiğinde kişisel verilerin korunması hakkında alt veri işleyenlerle uygun anlaşmalar yapılmasını sağlar.

11.3 Talep üzerine genel liste

Talep üzerine Computer Repair Twente, müşteriye hizmet sunumunda kullanılan ilgili alt veri işleyenlerin bir listesini sağlayabilir.

11.4 İtiraz

Müşteri belirli bir alt veri işleyene itiraz ederse bunu gerekçesiyle birlikte yazılı olarak bildirir. Taraflar daha sonra makul bir çözüm için görüşür.

12. Avrupa Ekonomik Alanı dışına aktarım

12.1 Avrupa Ekonomik Alanı içinde işleme

Computer Repair Twente, kişisel verileri mümkün olduğunca Avrupa Ekonomik Alanı içinde işlemeyi hedefler.

12.2 Harici hizmetler

Bazı harici hizmetler veya tedarikçiler kişisel verileri Avrupa Ekonomik Alanı dışında işleyebilir.

12.3 Uygun güvenceler

Kişisel veriler Avrupa Ekonomik Alanı dışında ancak yasal olarak gerekli olduğu ölçüde uygun dayanak veya güvence bulunduğunda işlenir.

13. Veri ihlalleri ve güvenlik olayları

13.1 Müşteriye bildirim

Computer Repair Twente müşterinin kişisel verileriyle ilgili bir veri ihlali tespit ederse veya makul gerekçelerle bundan şüphelenirse bunu veri sorumlusuna makul olmayan bir gecikme olmadan bildirir.

13.2 Bildirimde verilecek bilgiler

Computer Repair Twente, mevcut olduğu ölçüde şu tür ilgili bilgileri sağlar:

• olayın niteliği;
• tarih veya tahmini tarih;
• etkilenen sistemler;
• kişisel veri türü;
• ilgili kişi kategorileri;
• tahmini neden;
• alınan veya önerilen önlemler;
• olası sonuçlar;
• ek sorular için iletişim kişisi.

13.3 Denetim makamına bildirim yükümlülüğü

Yazılı olarak aksi kararlaştırılmadıkça veri sorumlusu, bir veri ihlalinin Autoriteit Persoonsgegevens'e veya ilgili kişilere bildirilmesi gerekip gerekmediğini değerlendirmekten sorumludur.

13.4 İş birliği

Computer Repair Twente, hizmet kapsamı ve makul olanaklar dâhilinde bir veri ihlalinin değerlendirilmesi ve ele alınmasında müşteriye makul destek sağlar.

13.5 Maliyetler

Veri ihlali veya olay Computer Repair Twente'nin sorumluluğu dışındaki koşullardan kaynaklanıyorsa inceleme, giderme, raporlama veya destek için ücret alınabilir.

14. İlgili kişilerin hakları

14.1 Destek

Computer Repair Twente, veri işleyen olarak işlediği kişisel verilerle ilgili olduğu ölçüde, ilgili kişilerin taleplerinde müşteriye makul destek sağlar.

Örneğin şu konulardaki talepler:

• erişim;
• düzeltme;
• silme;
• sınırlama;
• taşınabilirlik;
• itiraz;
• rızanın geri çekilmesi.

14.2 Müşterinin sorumluluğu

İlgili kişilerin taleplerini değerlendirme ve yanıtlama sorumluluğu müşteriye aittir.

14.3 Talebin iletilmesi

İlgili kişi, müşteri adına işlenen veriler hakkında doğrudan Computer Repair Twente ile iletişime geçerse aksi gerekli olmadıkça Computer Repair Twente talebi müşteriye iletir.

15. GDPR yükümlülüklerinin yerine getirilmesine destek

Computer Repair Twente, kendi veri işleme faaliyetleriyle ilgili GDPR yükümlülüklerinde müşteriye makul destek sağlar. Bu destek diğerlerinin yanı sıra güvenlik önlemleri hakkında bilgi, veri ihlallerinde yardım, ilgili kişilerin hakları konusunda destek, veri koruma etki değerlendirmeleri (DPIA) için bilgi, alt veri işleyenler hakkında bilgi ve veri işlemenin sona erdirilmesi veya verilerin silinmesi konularını kapsayabilir.

Bu destek makul, teknik olarak mümkün ve kararlaştırılan hizmet kapsamında olduğu ölçüde verilir. Çalışmalar normal kapsamın dışındaysa ücret alınabilir.

16. Denetim ve kontrol

16.1 Makul kontrol

Veri sorumlusu, Computer Repair Twente'nin bu veri işleme sözleşmesine uyup uymadığını kontrol etmek için makul ölçüde bilgi talep edebilir.

16.2 Denetim talebi

Denetim veya kontrol ancak amaç, kapsam, planlama, gizlilik, güvenlik ve maliyetler hakkında önceden yazılı mutabakat sağlandıktan sonra yapılabilir.

16.3 Sınırlama

Denetimler Computer Repair Twente'nin işleyişini, güvenliğini, diğer müşterilerin gizliliğini veya gizli bilgilerini makul olmayan ölçüde olumsuz etkileyemez.

16.4 Maliyetler

Yazılı olarak aksi kararlaştırılmadıkça denetimlerin, kapsamlı bilgi taleplerinin veya dış denetçilerin maliyetleri müşteriye aittir.

17. Saklama süreleri

17.1 Talimat doğrultusunda

Computer Repair Twente, müşteri adına işlenen kişisel verileri iş için gerekenden daha uzun süre saklamaz veya müşterinin talimatlarına göre saklar.

17.2 Yasal saklama yükümlülükleri

Bazı veriler yasal yükümlülükler, idari işlemler, delillendirme, uyuşmazlıklar, güvenlik veya kendi işletme faaliyetlerimiz için gerektiğinde daha uzun süre saklanabilir.

17.3 Destek ve günlük kayıtları

Aksi kararlaştırılmadıkça destek geçmişi, talepler, günlük kayıtları veya belgeler; hizmet, garanti, güvenlik, idari işlemler veya delillendirme için gerekli olduğu sürece saklanabilir.

18. Veri işlemenin sona ermesi

18.1 Silme veya iade etme

Hizmet sona erdikten sonra Computer Repair Twente, müşteri adına işlenen kişisel verileri müşterinin talimatlarına ve teknik olanaklara bağlı olarak siler veya iade eder.

18.2 İstisnalar

Silme veya iade şu durumlarda yapılmayabilir:

• yasal saklama yükümlülüklerinin geçerli olması;
• verilerin idari işlemler için gerekli olması;
• verilerin delillendirme için gerekli olması;
• verilerin hemen tek tek silinemeyeceği yedeklerde bulunması;
• silmenin teknik olarak imkânsız veya orantısız olması;
• güvenlik veya uyuşmazlıkların çözümü için daha uzun saklama gerekmesi.

18.3 Yedekler

Yedeklerdeki veriler, otomatik olarak üzerlerine yazılana veya silinene kadar normal bir yedekleme döngüsü boyunca kalabilir.

19. Sorumluluk

19.1 Genel sınırlama

Computer Repair Twente'nin sorumluluğu; genel şartlarda, teklifte, sözleşmede veya özel yazılı anlaşmalarda belirtilen şekilde sınırlıdır.

19.2 Müşterinin talimatları için sorumluluk üstlenilmez

Computer Repair Twente; müşterinin talimatları, yanlış veriler, eksik bilgiler, güvenli olmayan müşteri ortamı, yetersiz erişim yönetimi, zayıf şifreler, eksik yedekler veya müşterinin çalışanlarının ya da üçüncü taraflarının eylemlerinden kaynaklanan zararlardan sorumlu değildir.

19.3 Dolaylı zararlar kapsam dışıdır

Computer Repair Twente, yasal olarak izin verildiği ölçüde dolaylı zararlardan, sonuç olarak ortaya çıkan zararlardan, işlerin durmasından, ciro kaybından, kâr kaybından, itibar zararlarından, veri kaybından veya üçüncü taraf taleplerinden sorumlu değildir.

20. Mücbir sebep

Computer Repair Twente; tedarikçi arızaları, bulut kesintileri, internet kesintileri, siber saldırılar, elektrik kesintileri, hastalık, resmî makamların önlemleri, taşıma sorunları veya Computer Repair Twente'nin makul etki alanı dışındaki diğer durumlar dâhil mücbir sebepten kaynaklanan ifa eksikliklerinden sorumlu değildir.

21. Sona erme sonrası gizlilik

Bilgiler gizli nitelikte olduğu sürece gizlilik yükümlülükleri, hizmetin veya bu veri işleme sözleşmesinin sona ermesinden sonra da geçerliliğini korur.

22. Değişiklikler

Bu veri işleme sözleşmesindeki değişiklikler yalnızca her iki tarafça yazılı olarak teyit edildiğinde geçerlidir.

Computer Repair Twente; mevzuat, hizmetler, güvenlik önlemleri veya işletme faaliyetleri değiştiğinde web sitesindeki bu taslağı değiştirebilir. Taraflar yazılı olarak aksi yönde anlaşmadıkça önceden imzalanmış sözleşmelerde imzalanan sürüm geçerlidir.

23. Uygulanacak hukuk

Bu veri işleme sözleşmesinde Hollanda hukuku geçerlidir. Emredici hukuk kuralları aksini belirlemedikçe uyuşmazlıklar taraflar arasındaki ana anlaşmalara göre yetkili mahkemeye sunulur.

24. İmzalama

Bu sözleşme taslağı ancak doldurulup her iki tarafça imzalandıktan veya yazılı olarak teyit edildikten sonra bağlayıcı olur.

Ek 1 — Veri işlemenin açıklaması

Bu ek her müşteri için doldurulabilir.

• BT desteği;
• BT çalışma istasyonlarının yönetimi;
• sistem yönetimi;
• uzaktan destek;
• bakım;
• yedekleme ve geri yükleme;
• veri kurtarma;
• veri taşıma;
• güvenlik desteği;
• olayların çözülmesi;
• kurumsal BT hizmetleri.

İlgili kişi kategorileri
Çalışanlar, kullanıcılar, iletişim kişileri, müşterinin müşterileri, tedarikçiler ve verileri müşterinin sistemlerinde bulunan diğer kişiler.

Kişisel veri türleri
Ad, e-posta adresi, telefon numarası, kullanıcı hesapları, sistem verileri, günlük kayıtları, dosyalar, yedekler, teknik veriler, iletişim verileri ve erişim yetkileri.

Saklama süresi
Yasal saklama yükümlülükleri veya teknik sınırlamalar olmadıkça müşterinin verdiği işe, sözleşmeye veya talimatına göre.

Ek 2 — Güvenlik önlemleri

Hizmete ve teknik olanaklara bağlı olarak diğerlerinin yanı sıra aşağıdaki önlemler uygulanabilir:

• güçlü şifreler;
• Mümkün olduğunda MFA;
• sınırlı erişim;
• güvenli bağlantılar;
• mevcut olduğunda şifreli aktarım;
• uygun olduğunda yamalar ve güncellemeler;
• uygun olduğunda antivirüs/güvenlik araçları;
• uygun olduğunda günlük kaydı;
• müşteri bilgilerinin özenle saklanması;
• gizlilik;
• kendi cihazlarımızın güvenliği;
• destek bilgilerine erişimin sınırlandırılması;
• mümkün olduğunda güvenli silme.

Ek 3 — Alt veri işleyenler

Uygunsa burada alt veri işleyenlerin veya alt veri işleyen kategorilerinin bir listesi yer alabilir; örneğin:

• barındırma sağlayıcısı;
• e-posta sağlayıcısı;
• bulut sağlayıcısı;
• uzaktan destek yazılımı;
• yedekleme hizmeti;
• muhasebe yazılımı;
• belgeleme veya destek talebi sistemi;
• güvenlik yazılımı;
• uzman BT iş ortağı.

İlgili hukuki ve kurumsal sayfalar

• Gizlilik bildirimi
• Genel şartlar ve koşullar
• SLA ve destek anlaşmaları
• Servis süreci
• Garanti ve hizmet politikası
• Şikâyet prosedürü