Veri İşleme Sözleşmesi

1. Taraflar, yürürlük ve öncelik

Bu Veri İşleme Sözleşmesi ("Sözleşme" veya "DPA"), Custombull hesabı sahibi satıcı ("Müşteri") ile AKIN INDUSTRIES LLC, 11500 Main St. Suite 126, Houston, TX 77025, United States of America ("Custombull", "biz") arasında akdedilir.

Sözleşme, Müşteri'nin Kullanım Koşulları'nı kabul etmesiyle birlikte kabul edilmiş sayılır ve Koşullar yürürlükte kaldığı sürece geçerlidir. Ayrıca imzalı bir nüsha isteyen Müşteri hello@custombull.com adresine yazabilir.

Çelişki halinde öncelik sırası şöyledir: (1) Standart Sözleşme Maddeleri ve ilgili ekler, (2) bu Sözleşme, (3) Kullanım Koşulları.

2. Tanımlar

• Veri Koruma Mevzuatı: Kişisel verilerin işlenmesine uygulanan tüm mevzuat; özellikle AB Genel Veri Koruma Tüzüğü 2016/679 (GDPR), UK GDPR ve 2018 Veri Koruma Kanunu, İsviçre Federal Veri Koruma Kanunu (FADP), Türkiye'de 6698 sayılı KVKK, Kaliforniya Tüketici Gizliliği Kanunu ve değişiklikleri (CCPA/CPRA), Texas Veri Gizliliği ve Güvenliği Kanunu (TDPSA) ve diğer ABD eyalet gizlilik yasaları.
• Müşteri Kişisel Verisi: Custombull'un bu Sözleşme kapsamında Müşteri adına işlediği ve Ek 1'de tanımlanan kişisel veriler.
• Veri sorumlusu, işleyen, ilgili kişi, işleme, kişisel veri ihlali: Veri Koruma Mevzuatındaki anlamlarıyla. KVKK bakımından "işleyen", veri işleyen; CCPA bakımından "service provider"; TDPSA bakımından "processor" anlamına gelir.
• Alt İşleyen: Custombull'un Müşteri Kişisel Verisini işlemek üzere görevlendirdiği üçüncü kişi.
• SCC: Avrupa Komisyonu'nun 4 Haziran 2021 tarihli ve 2021/914 sayılı Uygulama Kararı ile kabul edilen Standart Sözleşme Maddeleri.
• UK Eki: Birleşik Krallık Bilgi Komiserliği (ICO) tarafından yayımlanan International Data Transfer Addendum to the EU Commission Standard Contractual Clauses.

3. Rollerin belirlenmesi

Müşteri Kişisel Verisi bakımından Müşteri veri sorumlusu, Custombull işleyendir. Müşteri kendisi başka bir veri sorumlusu adına işleyen ise, Custombull'u alt işleyen olarak görevlendirme yetkisine sahip olduğunu taahhüt eder.

Custombull; satıcı hesabı verileri, faturalama, bu internet sitesinin ziyaretçileri ve bülten aboneleri bakımından veri sorumlusudur; bu işlemeler Gizlilik Politikası'na tabidir ve bu Sözleşmenin kapsamı dışındadır.

Custombull ayrıca Müşteri Kişisel Verisini; hizmetin güvenliğini sağlamak, dolandırıcılık ve kötüye kullanımı önlemek ve kendisine uygulanan hukuki yükümlülükleri yerine getirmek için, bu amaçlarla sınırlı ve gerekli ölçüde işleyebilir.

4. Ek 1: İşlemenin ayrıntıları

5. Belgelenmiş talimatlar

Custombull, Müşteri Kişisel Verisini yalnız Müşteri'nin belgelenmiş talimatları doğrultusunda işler (GDPR md. 28(3)(a)). Kullanım Koşulları, bu Sözleşme, Müşteri'nin hizmette yaptığı ayarlar ve seçimler (ör. bir mağazayı bağlamak, bir kampanyayı göndermek, Otomatik Üretimde "otomatik yayınla" seçeneğini açmak) ve Müşteri'nin yazılı talepleri talimat sayılır.

Uygulanacak hukuk başka türlü bir işleme gerektirirse, hukuk bu bildirimi yasaklamadıkça Custombull işlemeden önce Müşteri'yi bilgilendirir. Custombull, bir talimatın Veri Koruma Mevzuatını ihlal ettiği kanaatindeyse Müşteri'yi derhal bilgilendirir ve talimatın uygulanmasını, Müşteri talimatı doğrulayana veya değiştirene kadar askıya alabilir.

6. Gizlilik yükümlülüğü

Custombull, Müşteri Kişisel Verisine erişim yetkisi verdiği çalışanlarının ve yüklenicilerinin sözleşmeyle veya kanunla gizlilik yükümlülüğü altında olmasını sağlar ve erişimi, görevin gerektirdiği kişilerle ve ölçüyle sınırlar (GDPR md. 28(3)(b)).

7. Güvenlik (GDPR md. 32) ve Ek 2

Custombull, riskin niteliğine uygun bir güvenlik düzeyi sağlamak için aşağıdaki teknik ve organizasyonel önlemleri uygular. Custombull önlemleri zaman içinde geliştirebilir; ancak güvenliğin genel düzeyini düşürmez.

Custombull bu Sözleşme tarihinde herhangi bir bağımsız güvenlik sertifikasına (ör. SOC 2, ISO 27001) sahip olduğunu beyan etmez. Böyle bir sertifika alınırsa bu sayfada duyurulur.

8. Alt İşleyenler

1. Müşteri, Custombull'a Alt İşleyen görevlendirmesi için genel yazılı yetki verir (GDPR md. 28(2)). Alt İşleyen kategorileri, işleme yerleri ve aktarım güvenceleri Alt İşleyenler sayfasında yayımlanır. Sözleşme tarihindeki Alt İşleyenlerin adlarıyla birlikte tam listesi, Müşteri'ye gizlilik yükümlülüğü altında talep üzerine hello@custombull.com adresinden verilir; bu listedeki Alt İşleyenler onaylanmış sayılır. Müşteri, tam listeyi yalnız bu Sözleşme kapsamındaki haklarını kullanmak ve kendi veri koruma yükümlülüklerini yerine getirmek için kullanır; kendi ilgili kişilerine ve denetim makamlarına gerektiği ölçüde açıklayabilir.
2. Custombull yeni bir Alt İşleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce, Alt İşleyenin adını, işleme amacını ve yerini hesap e-postası veya uygulama içi bildirim yoluyla Müşteri'ye bildirir ve gerekiyorsa yayımlanan kategorileri günceller.
3. Müşteri, makul ve veri korumaya dayalı gerekçelerle bu süre içinde hello@custombull.com adresine yazarak itiraz edebilir. Taraflar iyi niyetle çözüm arar. Makul bir çözüm bulunamazsa Müşteri, etkilenen hizmeti bildirimle feshedebilir; bu durumda feshin etkili olduğu tarihten sonraki döneme ait peşin ödenmiş abonelik ücreti orantılı olarak iade edilir.
4. Custombull her Alt İşleyene, bu Sözleşmedeki yükümlülüklerle esasen aynı düzeyde veri koruma yükümlülükleri yükler ve Alt İşleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı sorumlu olmaya devam eder (GDPR md. 28(4)).
5. Acil güvenlik veya hizmet sürekliliği gerektiğinde bir Alt İşleyen daha kısa bildirimle değiştirilebilir; bu durumda Müşteri en kısa sürede bilgilendirilir ve aynı itiraz hakkına sahiptir.

Anlaşmalı üreticiler ve taşıyıcılar: Siparişleri basan ABD'deki bağımsız baskı işletmeleri ile kargo sağlayıcıları ve taşıyıcılar, yalnız siparişin üretimi ve teslimi için gereken verileri alır. Taşıyıcılar (USPS, UPS, FedEx) gönderiyi kendi yasal yükümlülükleri çerçevesinde taşıdığından, taşıma sırasında kendi koşullarına tabi bağımsız taraflar olarak hareket edebilir.

9. İlgili kişi taleplerine yardım

Custombull, işlemenin niteliğini dikkate alarak, Müşteri'nin ilgili kişi taleplerini (erişim, düzeltme, silme, kısıtlama, taşıma, itiraz ve ABD eyalet yasalarındaki karşılıkları) yanıtlamasına uygun teknik ve organizasyonel önlemlerle yardımcı olur (GDPR md. 28(3)(e)). Müşteri, siparişleri ve kişileri uygulama içinden görüntüleyebilir, dışa aktarabilir ve silebilir.

Custombull'a doğrudan bir alıcıdan talep ulaşırsa, Custombull talebi yanıtlamadan ve hukuk gerektirmedikçe ilgili kişiyi Müşteri'ye yönlendirir ve talebi gecikmeksizin Müşteri'ye iletir. Pazarlama iletilerinden çıkma talepleri ise alıcı korunması için hemen uygulanır ve bastırma listesine alınır.

10. Güvenlik, etki değerlendirmesi ve danışmada yardım

Custombull, işlemenin niteliğini ve kendisine sunulan bilgiyi dikkate alarak Müşteri'ye GDPR md. 32 ile 36 arasındaki yükümlülüklerinde (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi ve denetim makamına ön danışma) makul ölçüde yardım eder. Bu Sözleşmenin olağan kapsamını aşan kapsamlı yardım talepleri için makul bir ücret önceden bildirilerek talep edilebilir.

11. Kişisel veri ihlali bildirimi

Custombull, Müşteri Kişisel Verisini etkileyen bir kişisel veri ihlalinin farkına vardığında Müşteri'yi gecikmeksizin ve her halde farkına vardıktan sonra en geç 48 saat içinde hesap e-postasıyla bilgilendirir. İlk bildirim, o an bilinen ölçüde şunları içerir:

• İhlalin niteliği, etkilenen veri kategorileri ve yaklaşık ilgili kişi ve kayıt sayısı,
• Custombull'da bilgi alınabilecek kişinin iletişim bilgisi,
• İhlalin muhtemel sonuçları,
• Alınan veya alınması önerilen önlemler.

Bilgiler bir defada verilemiyorsa aşamalı olarak, gecikmeksizin tamamlanır. Bu bildirim, Müşteri'nin denetim makamına 72 saat içinde (GDPR md. 33, KVKK kapsamında Kurul kararı) ve etkilenen kişilere yapması gereken bildirimleri yerine getirmesine yardım amacı taşır. Custombull'un bildirimi, bir kusur veya sorumluluk kabulü sayılmaz.

12. Sözleşme sonunda silme veya iade

Koşullar sona erdiğinde veya Müşteri hesabını sildiğinde, Custombull Müşteri Kişisel Verisini 30 gün içinde siler veya anonimleştirir (GDPR md. 28(3)(g)). Müşteri bu süre dolmadan uygulama içinden veya talep ederek siparişlerini ve kişilerini yaygın kullanılan bir biçimde dışa aktarabilir. Şifreli yedeklerdeki kopyalar yedek döngüsüyle 30 gün içinde kendiliğinden silinir.

Uygulanacak hukukun saklamayı gerektirdiği veriler (ör. vergi ve muhasebe kayıtları, gönderiyi ispatlayan asgari sipariş kaydı: sipariş numarası, tarih, tutar, takip numarası) yalnız bu amaçla, gerekli süre boyunca ve gizliliği korunarak saklanır.

13. Bilgi sağlama ve denetim

Custombull, bu Sözleşmeye uyumu göstermek için gerekli bilgileri Müşteri'nin makul talebi üzerine sağlar (GDPR md. 28(3)(h)). Öncelikle yazılı bilgi, güvenlik önlemlerinin açıklaması ve soru formlarının yanıtlanması yoluyla uyum gösterilir.

Bu bilgiler yeterli değilse veya bir denetim makamı gerektiriyorsa, Müşteri yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, olağan çalışma saatleri içinde, Custombull'un diğer müşterilerinin verilerine ve güvenliğine zarar vermeyecek şekilde ve gizlilik taahhüdü altındaki bağımsız bir denetçi eliyle denetim yapabilir. Denetim masrafları, denetim esaslı bir ihlal ortaya koymadıkça Müşteri'ye aittir. Bir ihlal veya denetim makamı talebi halinde yıllık sınır uygulanmaz.

14. Uluslararası aktarımlar

Custombull ABD'de kuruludur; sunucuları Avrupa Birliği'ndedir ve Alt İşleyenlerinin çoğu ABD'dedir. Custombull, AB-ABD Veri Gizliliği Çerçevesi'ne (Data Privacy Framework) katıldığını beyan etmez; aktarımlar aşağıdaki mekanizmalara dayanır.

AB ve Avrupa Ekonomik Alanı

AEA'daki bir Müşteri'den veya GDPR'ın uygulandığı Müşteri Kişisel Verisinin yeterlilik kararı bulunmayan bir ülkeye aktarımında, SCC Modül 2 (veri sorumlusundan işleyene) bu Sözleşmeye referansla dahil edilmiştir ve Müşteri'nin Koşulları kabul etmesiyle taraflar arasında akdedilmiş sayılır. Müşteri veri ihracatçısı, Custombull veri ithalatçısıdır. Custombull, Alt İşleyenlerine yaptığı aktarımlar için SCC Modül 3 (işleyenden işleyene) veya eşdeğer bir aktarım mekanizması kullanır. Seçimler:

Birleşik Krallık

UK GDPR kapsamındaki aktarımlarda, ICO'nun International Data Transfer Addendum'u (Sürüm B1.0, 21 Mart 2022'den itibaren yürürlükte) SCC'yi tamamlayacak şekilde bu Sözleşmeye referansla dahildir. Tablo 1'deki taraf bilgileri 1. bölümde, Tablo 2'deki seçimler yukarıdaki SCC tablosunda, Tablo 3'teki ekler bu Sözleşmenin Ek 1 ve Ek 2'sindedir; Tablo 4 bakımından her iki taraf da Addendum'u sona erdirebilir.

İsviçre

İsviçre FADP kapsamındaki aktarımlarda SCC şu uyarlamalarla uygulanır: yetkili denetim makamı Federal Veri Koruma ve Kamu Bilgilendirme Görevlisi'dir (FDPIC); "üye devlet" ifadesi, İsviçre'deki ilgili kişilerin kendi yerleşim yerlerinde dava açma hakkını dışlamayacak şekilde yorumlanır; GDPR'a yapılan atıflar FADP'ye yapılmış sayılır.

Türkiye

KVKK md. 9 kapsamında Türkiye'den yapılan aktarımlar için Custombull, Müşteri'nin talebi üzerine Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeyi imzalamayı kabul eder. Standart sözleşmenin imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi, veri aktaran sıfatıyla Müşteri'nin yükümlülüğüdür; Custombull bu konuda gerekli bilgiyi sağlar.

15. Müşterinin yükümlülükleri

• Müşteri Kişisel Verisini toplamak ve Custombull'a işletmek için Veri Koruma Mevzuatına uygun bir hukuki dayanağa sahip olmak.
• Alıcılarını ve diğer ilgili kişileri, verilerin Custombull ve Alt İşleyenleri tarafından işleneceği konusunda mevzuata uygun şekilde aydınlatmak (ör. mağaza gizlilik politikası).
• Pazarlama Merkezi ile gönderilen her e-posta, SMS ve WhatsApp iletisi için gerekli onayı almak ve kanıtlamak: ABD'de CAN-SPAM Act (doğru gönderen bilgisi, yanıltıcı olmayan konu satırı, fiziksel posta adresi, çalışan çıkış bağlantısı ve çıkış taleplerinin 10 iş günü içinde uygulanması) ve TCPA (pazarlama amaçlı otomatik SMS için önceden alınmış açık yazılı onay, sessiz saatlere uyum, STOP taleplerine uyum); AB ve Birleşik Krallık'ta GDPR ve ePrivacy kuralları (PECR dahil); Türkiye'de KVKK, 6563 sayılı Kanun ve gerektiğinde İleti Yönetim Sistemi (İYS) kaydı; Kanada'da CASL.
• WhatsApp gönderimlerinde Meta'nın WhatsApp Business politikalarına uymak.
• Custombull'a verdiği talimatların Veri Koruma Mevzuatına uygun olmasını sağlamak ve özel nitelikli verileri gereksiz yere iletmemek.
• Alıcı taleplerini süresinde yanıtlamak ve gerektiğinde denetim makamlarına ve ilgili kişilere ihlal bildirimi yapmak.

16. ABD eyalet yasaları bakımından taahhütler

Müşteri Kişisel Verisi CCPA/CPRA veya TDPSA gibi ABD eyalet gizlilik yasalarına tabi olduğunda Custombull bir service provider veya processor olarak hareket eder ve şunları taahhüt eder:

• Müşteri Kişisel Verisini satmamak ve çapraz bağlamlı davranışsal reklam amacıyla paylaşmamak.
• Veriyi, Koşullarda belirtilen iş amaçları dışında veya Müşteri ile doğrudan ilişki dışında saklamamak, kullanmamak veya ifşa etmemek.
• Veriyi, yasanın izin verdiği haller dışında, başka kişilerden aldığı veya kendi topladığı kişisel verilerle birleştirmemek.
• Yasaya uyamayacağını tespit ederse Müşteri'yi bilgilendirmek; Müşteri'nin yetkisiz kullanımı durdurmak ve gidermek için makul adımlar atma hakkını tanımak.
• TDPSA (Texas Business and Commerce Code md. 541.104) uyarınca: Müşteri'nin talimatlarına uymak, işleme sırasında gizlilik yükümlülüğü altındaki kişileri görevlendirmek, hizmet sonunda Müşteri'nin talimatına göre veriyi silmek veya iade etmek, uyumu göstermek için gereken bilgiyi sağlamak ve alt işleyenlere yazılı sözleşmeyle aynı yükümlülükleri yüklemek.

17. KVKK bakımından veri işleyen yükümlülükleri

KVKK md. 12/2 uyarınca Custombull, Müşteri Kişisel Verisinin güvenliğini sağlamak için Müşteri ile birlikte müştereken sorumludur ve md. 12/1'deki tedbirleri alır. Custombull, öğrendiği kişisel verileri bu Sözleşmeye ve KVKK hükümlerine aykırı olarak başkasına açıklamaz ve işleme amacı dışında kullanmaz; bu yükümlülük görevin sona ermesinden sonra da devam eder (md. 12/4).

18. Sorumluluk

Tarafların bu Sözleşmeden doğan sorumluluğu, Kullanım Koşulları'ndaki sorumluluk sınırlamalarına tabidir. Bu sınırlama; SCC kapsamında ilgili kişilere karşı sorumluluğu, Veri Koruma Mevzuatı uyarınca sınırlandırılamayacak sorumluluğu ve zorunlu hukuk hükümlerini etkilemez.

19. Süre, fesih ve değişiklik

Bu Sözleşme, Koşullar yürürlükte kaldığı ve Custombull Müşteri Kişisel Verisini işlediği sürece yürürlükte kalır; Custombull'un veriyi sildiği veya iade ettiği tarihte kendiliğinden sona erer. Niteliği gereği fesihten sonra da uygulanması gereken hükümler (gizlilik, silme, sorumluluk) yürürlükte kalır.

Custombull bu Sözleşmeyi, Veri Koruma Mevzuatındaki değişikliklere uyum, yeni bir aktarım mekanizması veya Müşteri aleyhine olmayan değişiklikler için güncelleyebilir. Esaslı değişiklikler yürürlüğe girmeden 30 gün önce e-posta veya uygulama içi bildirimle duyurulur. Değişiklikler, Veri Koruma Mevzuatının gerektirdiği korumayı azaltamaz.

Bu Sözleşmenin İngilizce metni esastır; Türkçe metin çeviridir. Zorunlu hukukun yerel dile öncelik tanıdığı haller saklıdır. SCC ve UK Eki kendi resmi metinleriyle geçerlidir.