Veri işleme sözleşmesi (DPA)

1. Konu, nitelik ve amaç

Bir siber güvenlik platformunun sağlanması: Veri Sorumlusunun cihazlarının korunması, envanteri, güncellenmesi ve izlenmesi; olayların tespiti ve müdahalesi, uyumluluk raporları ve seçeneklere göre e-posta güvenliği.

2. Veri ve kişi kategorileri

• İlgili kişiler: Veri Sorumlusunun çalışanları, yöneticileri ve cihaz kullanıcıları; K-Mail için e-posta muhatapları.
• Veriler: tanımlayıcılar ve kullanıcı adları, cihazların adları ve özellikleri, yazılım envanteri, DNS kayıtları, güvenlik olayları, parmak izleri ve açık onayla dosya örnekleri, analiz edilen e-postaların meta verileri ve içerikleri (K-Mail).
• Hiçbir özel nitelikli veri kategorisi aranmaz; analiz edilen bir içerikte tesadüfen bulunmaları halinde aynı güvencelerle işlenir.

3. Süre

Sözleşme, aboneliğin tüm süresi boyunca ve sonunda verilerin silinmesine kadar uygulanır.

4. Veri İşleyenin yükümlülükleri

• verileri, aktarımlar dahil, yalnızca Veri Sorumlusunun belgelenmiş talimatı üzerine işlemek; Birlik veya bir üye devlet hukukunun getirdiği bir yükümlülük bunun istisnasıdır ve Veri İşleyen bu durumda Veri Sorumlusunu önceden bilgilendirir;
• verileri işlemeye yetkili kişilerin gizliliğini sağlamak;
• 5. maddede açıklanan güvenlik önlemlerini uygulamak;
• Veri Sorumlusuna hak kullanım taleplerini yanıtlamasında ve GDPR'nin 32 ila 36. maddelerinden doğan yükümlülüklerini, etki analizleri ve denetim otoritesine ön danışma dahil, yerine getirmesinde yardımcı olmak;
• alt işleyenlerinin yükümlülüklerini yerine getirmesinden Veri Sorumlusuna karşı tam olarak sorumlu kalmak;
• bir talimatı mevzuata aykırı buluyorsa Veri Sorumlusunu derhal bilgilendirmek.

5. Güvenlik önlemleri

• müşteri verilerinin Avrupa Birliği'nde barındırılması [À VALIDER : barındırıcının adı];
• aktarım sırasında (TLS 1.3) ve bekleme halinde, her müşteriye özel anahtarlarla şifreleme;
• müşterilerin sistematik filtreleme ve veri tabanı satır düzeyinde güvenlik kuralları ile yalıtılması;
• ajanların karşılıklı kimlik doğrulaması, imzalı komutlar ve güncellemeler, tekrar saldırısına karşı koruma;
• güçlü kimlik doğrulama, en az ayrıcalık ve iç erişimlerin denetim günlüğü;
• otomatik olarak uygulanan saklama süreleri; şifrelenmiş yedeklemeler.

6. Alt işleyenler

Veri Sorumlusu, Alt işleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel olarak izin verir. Veri İşleyen, her ekleme veya değişikliği en az 30 gün önceden Veri Sorumlusuna bildirir; Veri Sorumlusu meşru bir gerekçeyle itiraz edebilir ve anlaşma sağlanamazsa cezasız fesih yapabilir. Her alt işleyen eşdeğer yükümlülüklere tabidir.

7. Veri ihlalleri

Veri İşleyen, kişisel verilerin her ihlalini mümkün olan en kısa sürede ve öğrenmesinden itibaren en geç 48 saat içinde, Veri Sorumlusunun denetim otoritesine yapacağı kendi bildirimi için yararlı bilgilerle birlikte Veri Sorumlusuna bildirir. [À VALIDER : süre]

8. Denetimler

Veri İşleyen, bu sözleşmeye uyulduğunu göstermek için gerekli bilgileri sağlar ve olay hariç yılda en fazla bir kez, makul bir ön bildirimle ve diğer müşterilerin gizliliğine saygı çerçevesinde denetimlere izin verir.

9. Sözleşmenin sona ermesi

Abonelik sona erdiğinde Veri İşleyen, verilerin 30 gün boyunca dışa aktarılmasına izin verir; ardından, Veri Sorumlusunun tercihine göre, verileri ve kopyalarını ona iade eder veya siler; yasal saklama yükümlülüğü saklıdır.

10. Aktarımlar

Müşteri verilerinin Avrupa Birliği'nde barındırılması öngörülür. Yalnızca Alt işleyenler sayfasında AB dışında yerleşik olarak belirtilen alt işleyenler (işlemsel e-postaların gönderimi ve etkinleştirilmişse Kayzen Copilot gibi isteğe bağlı hizmetler), GDPR'nin 45 veya 46. maddelerindeki güvenceler (yeterlilik kararı veya standart sözleşme maddeleri) kapsamında veri alabilir.