1. Tanımlar
Bu Veri İşleme Sözleşmesinin amaçları doğrultusunda:
- "Kişisel Veri" GDPR Madde 4(1)'de tanımlandığı şekliyle, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi anlamına gelir
- "İşleme" GDPR Madde 4(2)'de tanımlandığı şekliyle, Kişisel Veriler üzerinde gerçekleştirilen toplama, depolama, kullanma, açıklama veya silme dahil her türlü işlem anlamına gelir
- "Veri Sorumlusu" Kişisel Verilerin İşlenmesinin amaçlarını ve yöntemlerini belirleyen müşteri anlamına gelir
- "Veri İşleyen" Veri Sorumlusu adına Kişisel Verileri işleyen Morlivo anlamına gelir
- "Alt İşlemci" Veri Sorumlusu adına Kişisel Verileri işlemek üzere Veri İşleyen tarafından görevlendirilen herhangi bir üçüncü taraf anlamına gelir
- "Veri Sahibi" Kişisel Verileri işlenen, kimliği belirli veya belirlenebilir gerçek kişi anlamına gelir
2. İşleme Detayları
Veri İşleyen, Kişisel Verileri yalnızca Veri Sorumlusunun belgelenmiş talimatlarına dayanarak işleyecektir; bu, Kişisel Verilerin üçüncü bir ülkeye aktarılması da dahil olmak üzere geçerlidir, ancak Veri İşleyenin tabi olduğu Birlik veya Üye Devlet hukuku tarafından zorunlu kılınması hariçtir.
İşlemenin ayrıntıları aşağıdaki gibidir:
- Konu: Çeviri, transkripsiyon ve dil işleme hizmetlerinin sağlanması
- Süre: Temel hizmet sözleşmesinin süresi boyunca
- Nitelik ve amaç: Çeviri, transkripsiyon ve ilgili dil hizmetlerini sunmak amacıyla Müşteri İçeriğinin işlenmesi
- Veri sahibi kategorileri: Son kullanıcılar ve verileri Müşteri İçeriğinde yer alan bireyler
- Kişisel veri türleri: İsimler, iletişim bilgileri ve işlenmek üzere gönderilen materyallerde yer alan diğer kişisel veriler
3. Güvenlik Önlemleri
Veri İşleyen, GDPR Madde 32 uyarınca, riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve organizasyonel önlemleri uygulayacaktır. Bu önlemler şunları içerir:
- Bekleyen Kişisel Verilerin (AES-256) ve aktarım sırasındaki (TLS 1.2+) şifrelenmesi
- İşleme sistemleri ve hizmetlerinin sürekli gizliliğini, bütünlüğünü, kullanılabilirliğini ve dayanıklılığını sağlama yeteneği
- Fiziksel veya teknik bir olay durumunda Kişisel Verilere erişimi ve kullanılabilirliği zamanında geri yükleme yeteneği
- Teknik ve organizasyonel önlemlerin etkinliğinin düzenli olarak test edilmesi, değerlendirilmesi
- Teknik olarak uygulanabilir ve uygun olduğu durumlarda Kişisel Verilerin takma adlaştırılması
- En az ayrıcalık ilkesine dayalı katı erişim kontrolleri
- Veri erişiminin kapsamlı denetim günlüğü ve izlenmesi
Veri İşleyen, Kişisel Verileri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmuş olmalarını veya uygun yasal gizlilik yükümlülüğü altında olmalarını sağlayacaktır.
4. Alt İşleyiciler
Veri Sorumlusu, Veri İşleyen'in Alt İşlemciler görevlendirmesi için genel yetkilendirme sağlar. Veri İşleyen, güncel bir Alt İşlemci listesi tutacak ve talep üzerine Veri Sorumlusu'na sunacaktır. Güncel Alt İşlemci listesi Gizlilik Politikası sayfamızda yayımlanmaktadır.
Veri İşleyen, Alt İşlemcilerin eklenmesi veya değiştirilmesiyle ilgili planlanan değişiklikleri Veri Sorumlusuna bildirecek ve Veri Sorumlusuna bu değişikliklere itiraz etme konusunda makul bir fırsat tanıyacaktır. Veri İşleyen bir Alt İşlemci görevlendirdiğinde, sözleşme yoluyla bu Alt İşlemciye bu DPA'da belirtilen aynı veri koruma yükümlülüklerini yükleyecektir.
Veri İşleyen, herhangi bir Alt İşlemcinin bu DPA kapsamındaki yükümlülüklerinin yerine getirilmesinden Veri Sorumlusuna karşı tamamen sorumlu olmaya devam edecektir.
5. Veri Sahibi Hakları
Veri İşleyen, GDPR'nin III. Bölümü kapsamındaki haklarını kullanan Veri Sahiplerinden gelen taleplere yanıt verme yükümlülüğünü yerine getirmesinde Veri Sorumlusuna yardımcı olacaktır; bunlar şunları içerir:
- Erişim hakkı (Madde 15)
- Düzeltme hakkı (Madde 16)
- Silinme hakkı (Madde 17)
- İşlemenin kısıtlanması hakkı (Madde 18)
- Veri taşınabilirliği hakkı (Madde 20)
- İtiraz hakkı (Madde 21)
Veri İşleyen, doğrudan bir Veri Sahibinden talep alırsa, talebi derhal Veri Sorumlusuna iletecek ve Veri Sorumlusu tarafından yetkilendirilmedikçe Veri Sahibine doğrudan yanıt vermeyecektir.
6. Uluslararası Aktarımlar
Veri İşleyen, GDPR'nin V. Bölümü tarafından gerekli kılınan uygun güvenceler mevcut olmadıkça Kişisel Verileri üçüncü bir ülkeye veya uluslararası kuruluşa aktarmayacaktır. Onaylanan aktarım mekanizmaları şunlardır:
- Avrupa Komisyonu tarafından kabul edilen Standart Sözleşme Maddeleri (SCC'ler) (Komisyon Uygulama Kararı (AB) 2021/914)
- GDPR Madde 45 uyarınca yeterlilik kararları
- Yetkili denetim otoritesi tarafından onaylanmış Bağlayıcı Kurumsal Kurallar
Kurumsal müşteriler, Kişisel Verilerin işlenmesini ve depolanmasını belirli coğrafi bölgelerle (AB, ABD veya APAC) sınırlandırmak için veri yerleşim ayarlarını yapılandırabilir ve böylece sınır ötesi aktarım ihtiyacını en aza indirebilir.
7. İhlal Bildirimi
Veri İşleyen, GDPR Madde 4(12)'de tanımlanan bir Kişisel Veri ihlalinin farkına vardıktan sonra gereksiz gecikme olmaksızın ve her halükarda en geç kırk sekiz (48) saat içinde Veri Sorumlusunu bilgilendirecektir.
Bildirim aşağıdakileri içerecektir:
- İlgili Veri Sahiplerinin ve kayıtların kategorileri ve yaklaşık sayısı dahil, Kişisel Veri ihlalinin niteliğinin açıklaması
- Veri İşleyenin veri koruma irtibat noktasının adı ve iletişim bilgileri
- İhlalin olası sonuçlarının açıklaması
- İhlalin olumsuz etkilerini azaltmaya yönelik önlemler dahil, ihlali gidermek için alınan veya önerilen önlemlerin açıklaması
8. Denetimler ve Teftişler
Veri İşleyen, GDPR Madde 28'de belirtilen yükümlülüklere uyumu göstermek için gerekli tüm bilgileri Veri Sorumlusuna sunacaktır. Veri İşleyen, makul önceden bildirim ve gizlilik yükümlülüklerine tabi olarak, Veri Sorumlusu veya Veri Sorumlusu tarafından yetkilendirilen bir denetçi tarafından gerçekleştirilen teftişler dahil denetimlere izin verecek ve katkıda bulunacaktır.
9. Süre ve Veri Silme
Bu DPA, temel hizmet sözleşmesinin süresi boyunca yürürlükte kalacaktır. Hizmet sözleşmesinin sona ermesi üzerine, Veri İşleyen, Birlik veya Üye Devlet hukuku Kişisel Verilerin saklanmasını gerektirmedikçe, Veri Sorumlusunun tercihine göre tüm Kişisel Verileri silecek veya iade edecek ve mevcut kopyaları silecektir. Veri İşleyen, Veri Sorumlusunun talebi üzerine bu yükümlülüğe uyduğunu yazılı olarak onaylayacaktır.