Databehandleraftale

1. Taraflar, tanımlar ve roller

1.1 Müşteri içeriği: Müşterinin paylaşımlı hosting, VPS, kurumsal e-posta veya AI Site Kurucu hizmetleri üzerinde barındırdığı, yüklediği, gönderdiği veya alt kullanıcılarına ve site ziyaretçilerine işlettiği her türlü dosya, veritabanı, e-posta ve kayıt.

1.2 Müşteri kişisel verisi: Müşteri içeriğinde yer alan kişisel veriler.

1.3 Alt işleyen: Şirket’in, hizmetin sunulması için Müşteri kişisel verisine erişebilen veya bu veriyi barındıran üçüncü kişi.

1.4 Müşteri kişisel verisi bakımından Müşteri veri sorumlusu, Şirket veri işleyendir. Müşteri, verinin hangi amaçla ve hangi yöntemle işleneceğine kendisi karar verir. Şirket, bu veriyi yalnızca Müşteri adına işler.

1.5 Bu Ek’te tanımlanmayan kavramlar KVKK’daki anlamıyla kullanılır.

2. Kapsam ve işleme ayrıntıları

2.1 Şirket, Müşteri içeriğinde hangi kişisel verilerin bulunduğunu bilmez ve bunu denetlemez.

2.2 Müşteri içeriğine özel nitelikli kişisel veri (KVKK md. 6) koymak Müşterinin kararıdır. Bu durumda Kurul’un belirlediği ek önlemlerin (örneğin uygulama düzeyinde şifreleme, erişim kısıtları) alınması ve hukuki sebebin bulunması Müşterinin sorumluluğundadır. Şirket, Bölüm 3’teki önlemleri uygulamaya devam eder.

3. Şirket’in yükümlülükleri

3.1 Talimatla işleme: Şirket, Müşteri kişisel verisini yalnızca Müşterinin belgelenmiş talimatına göre ve hizmetin sunulması için işler. Hizmet Sözleşmesi, panelde yapılan ayarlar ve işlemler ile destek talepleri Müşterinin talimatı sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse Şirket, Müşteriyi gecikmeksizin bilgilendirir.

3.2 İçeriğin incelenmemesi: Şirket, Müşteri içeriğini incelemez. Yalnızca Müşterinin talebi üzerine teknik destek, arıza giderme, yasal yükümlülük ve usulüne uygun kötüye kullanım bildirimlerinin incelenmesi için ve bu amaçla sınırlı olarak erişilir.

3.3 Gizlilik: Müşteri kişisel verisine erişebilen personel, yazılı gizlilik taahhüdü altındadır ve yalnızca görevi için gereken ölçüde erişir.

3.4 Güvenlik önlemleri: Şirket, KVKK md. 12 uyarınca en az şu önlemleri uygular: yetki temelli erişim ve erişim kayıtları; iletimde şifreleme (TLS); hizmete göre düzenli yedekleme; sunucu ve ağ güvenliği; DDoS süzme; güvenlik açıklarının giderilmesi. Uygulama kodu, içerik yönetim sistemi ve VPS içindeki işletim sisteminin güvenliği, yönetim hizmeti alınmadıkça Müşterinin sorumluluğundadır.

3.5 İlgili kişi başvurularında destek: Müşterinin ilgili kişilerinden doğrudan Şirket’e gelen başvurular, kanunen yasaklanmadıkça gecikmeksizin Müşteriye iletilir; Şirket bunları kendisi yanıtlamaz. Şirket, Müşterinin bu başvuruları yanıtlayabilmesi için makul teknik destek sağlar.

3.6 Resmî talepler: Yetkili bir makam Müşteri kişisel verisini talep ederse Şirket, kanunen yasaklanmadıkça Müşteriyi bilgilendirir ve yalnızca kanunun gerektirdiği ölçüde veri verir.

3.7 İhlal bildirimi: Şirket, Müşteri kişisel verisini etkileyen bir veri ihlalini öğrendiğinde Müşteriyi gecikmeksizin ve en geç 24 saat içinde bilgilendirir. Bildirimde, o an bilinen ölçüde ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçlar ve alınan önlemler yer alır; yeni bilgiler öğrenildikçe iletilir. Böylece Müşteri, Kurul’a 72 saat içinde bildirim yükümlülüğünü yerine getirebilir.

3.8 Silme ve iade: Sözleşme sona erdiğinde Şirket, Bölüm 9’daki süreler içinde Müşteriye verilerini indirme imkânı tanır ve ardından verileri siler.

3.9 Kayıt tutma: Şirket, Müşteri kişisel verisine personel erişimlerini ve önemli sistem işlemlerini kayıt altına alır. Bu kayıtlar ihlallerin tespiti ve incelenmesi için kullanılır.

3.10 Kötüye kullanım ve yasal talepler: Müşteri içeriğine ilişkin bir kötüye kullanım bildirimi veya yetkili makam kararı geldiğinde Şirket, Kabul Edilebilir Kullanım Politikası ve Hizmet Sözleşmesi’ndeki usule göre hareket eder. Bu kapsamda yapılan inceleme, bildirim veya kararın konusu ile sınırlıdır.

4. Müşterinin yükümlülükleri

4.1 Müşteri, Müşteri kişisel verisinin işlenmesi için KVKK md. 5 veya md. 6’daki hukuki sebeplerden birinin bulunduğunu güvence altına alır.

4.2 Müşteri, kendi ilgili kişilerine karşı aydınlatma yükümlülüğünü (KVKK md. 10), gerekiyorsa açık rıza alınmasını, çerez uygulamalarını ve ilgili kişi başvurularının yanıtlanmasını kendisi yerine getirir.

4.3 Müşteri, gerekiyorsa Veri Sorumluları Siciline (VERBİS) kaydolmak dahil veri sorumlusuna ait diğer yükümlülüklerden sorumludur.

4.4 Müşteri, hizmet konumunu kendisi seçer. Yurt dışında bulunan bir konumu (örneğin Frankfurt) seçmesi, kendi ilgili kişileri bakımından KVKK md. 9 kapsamında yurt dışına aktarım anlamına gelebilir. Bu aktarımın md. 9’a uygunluğunu sağlamak Müşterinin yükümlülüğündedir; Şirket Bölüm 6’ya göre iş birliği yapar.

4.5 Müşteri, hesabına erişebilen alt kullanıcılarını ve şifrelerini kendisi yönetir ve kendi uygulamalarında uygun güvenlik önlemlerini alır. Yazılım güncellemeleri, eklentiler ve uygulama düzeyindeki erişim ayarları Müşterinin sorumluluğundadır.

4.6 Müşteri, önemli verilerinin kendi yedeğini ayrıca tutar. Şirket’in yedekleme yükümlülüğü, Hizmet Sözleşmesi’nde yazılı kapsamla sınırlıdır.

4.7 Müşteri, kendi sistemlerinde Şirket altyapısını etkileyebilecek bir veri ihlali fark ederse Şirket’i gecikmeksizin bilgilendirir.

4.8 Müşteri, Şirket’e verdiği talimatların KVKK’ya uygun olmasından sorumludur.

5. Alt işleyenler

5.1 Müşteri, aşağıdaki alt işleyenlerin kullanılmasına bu Ek ile genel izin verir:

5.2 Şirket, alt işleyenlerle bu Ek’tekinden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı sözleşmeler yapar ve alt işleyenlerin yükümlülüklerini yerine getirmesinden Müşteriye karşı sorumludur.

5.3 Değişiklik usulü: Yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Şirket, Müşteriyi hesaptaki e-posta adresi ve panel bildirimiyle bilgilendirir. Müşteri bu süre içinde haklı bir veri koruma gerekçesiyle itiraz edebilir. Taraflar makul bir çözüm bulamazsa Müşteri, değişiklik yürürlüğe girmeden ilgili hizmeti cezasız olarak feshedebilir; kullanılmayan sürenin bedeli iade edilir.

5.4 Güncel alt işleyen listesi, talep edildiğinde Müşteriye yazılı olarak bildirilir.

6. Yurt dışına aktarım

6.1 Şirket, Müşteri kişisel verisini Müşterinin seçtiği hizmet konumunda ve Bölüm 5’teki alt işleyenler nezdinde işler. Bunun dışında yurt dışına aktarmaz.

6.2 Alt işleyenlere yapılan yurt dışı aktarımlarda Şirket, KVKK md. 9 ve ilgili yönetmelik uyarınca Kurul’un ilan ettiği standart sözleşmeleri kullanır ve Kurul’a bildirim yükümlülüğünü yerine getirir.

6.3 Müşterinin yurt dışı konum seçmesi hâlinde taraflar, md. 9 yükümlülükleri bakımından iş birliği yapar. Şirket, Müşterinin talebi üzerine standart sözleşmenin imzalanması ve gerekli bilgilerin sağlanması için makul desteği verir.

7. Denetim

7.1 Müşteri, Şirket’in bu Ek’e uygunluğunu yılda bir kez, makul bir süre önceden yazılı bildirimde bulunarak denetleyebilir.

7.2 Denetim, öncelikle belge ve rapor yoluyla yapılır: Şirket, uyguladığı güvenlik önlemlerine, alt işleyenlere ve varsa bağımsız denetim raporlarına ilişkin bilgileri sağlar. Diğer müşterilerin verilerinin gizliliği ve sistem güvenliği korunur.

7.3 Kurul’un veya başka bir yetkili makamın talebi ile Müşteri kişisel verisini etkileyen bir veri ihlali sonrası yapılacak incelemeler yıllık sınıra tabi değildir.

8. Sorumluluk

8.1 Tarafların bu Ek’ten doğan sorumluluğu, Hizmet Sözleşmesi’ndeki sorumluluk hükümlerine ve sınırlarına tabidir. Kast, ağır kusur ve kanunen sınırlanamayan sorumluluk hâlleri saklıdır.

8.2 Her taraf, kendi yükümlülüklerini ihlal etmesinden doğan zarardan sorumludur. Müşterinin talimatına uygun işlemeden veya Müşterinin Bölüm 4’teki yükümlülüklerini yerine getirmemesinden doğan sonuçlardan Şirket sorumlu tutulamaz.

8.3 Tüketici sıfatına sahip Müşterilerin kanuni hakları saklıdır.

9. Süre ve sona erme

9.1 Bu Ek, Hizmet Sözleşmesi ile birlikte yürürlüğe girer ve Şirket Müşteri kişisel verisini işlediği sürece yürürlükte kalır.

9.2 Hizmet sona erdiğinde Müşteri, verilerini 14 gün boyunca indirebilir. Bu sürenin sonunda veriler kalıcı olarak silinir; yedeklerdeki kopyalar en geç 7 gün içinde yedek döngüsünden düşer.

9.3 Ödeme yapılmaması nedeniyle süre sonunda uygulanan askı ve silme takvimi Hizmet Sözleşmesi’nde yer alır.

9.4 Şirket, yalnızca kanunen saklanması zorunlu olan verileri bu yükümlülük süresince ve erişimi kısıtlanmış olarak saklar.

10. Bildirimler ve öncelik

Bu Ek kapsamındaki bildirimler, Şirket tarafından Müşterinin hesabındaki e-posta adresine ve panel bildirimiyle, tacir Müşterilerde gerektiğinde KEP ile yapılır. Müşteri bildirimlerini kvkk@ctahosting.com adresine, destek talebiyle veya [KEP adresi] adresine iletebilir.

Kişisel verilerin korunmasına ilişkin konularda bu Ek, Hizmet Sözleşmesi’nin ve diğer belgelerin hükümlerine göre önceliklidir. Bu Ek’te düzenlenmeyen konularda Hizmet Sözleşmesi uygulanır. Ek’teki değişiklikler, Hizmet Sözleşmesi’ndeki değişiklik usulüne göre yapılır.