Veri İşleme Anlaşması

Kapsam ve Roller

API, dosya işleme araçları veya bağlı e-tablo işlevleri aracılığıyla gönderilen Müşteri Kişisel Verileri bakımından Müşteri veri sorumlusu; Ozan Soft ticari adıyla faaliyet gösteren şahıs işletmesi sahibi Onur Öztürk ("GenderAPI") veri işleyendir. GenderAPI'nin hesap, faturalama ve iş iletişimi yönetimi dahil olmak üzere, her taraf veri sorumlusu sıfatıyla işlediği kişisel verilerden bağımsız olarak sorumlu olmaya devam eder.

Müşteri, gönderdiği verilerin kişisel veri olup olmadığını belirler; hukuki dayanak, bilgilendirme, izinler ve talimatlardan sorumludur. Müşteri, Hizmetin işlemek üzere tasarlanmadığı verileri göndermemeli ve tahmin sonuçlarını bir kişi hakkında hukuki veya benzer ölçüde önemli etkiler doğuran bir kararın tek dayanağı olarak kullanmamalıdır.

İşleme Talimatları

GenderAPI, Müşteri Kişisel Verilerini yalnızca sözleşmeye, bu DPA'ya, Müşterinin Hizmeti belgelenmiş kullanımına ve geçerli mevzuata uygun biçimde Hizmeti sunmak, güvenliğini sağlamak ve desteklemek amacıyla işler. Bir talimatın geçerli veri koruma mevzuatını ihlal ettiği yönünde makul bir kanaate varırsa, mevzuat bu bildirimi yasaklamadığı sürece Müşteriyi bilgilendirir.

GenderAPI, Müşteri Kişisel Verilerini satmaz; farklı bağlamlar arasında davranışsal reklamcılık için veya özel tahmin modelini eğitmek amacıyla kullanmaz ve AI günlüklerinde saklamaz. Gizlilik Politikasındaki saklama kuralları, bu belgelenmiş işleme talimatlarının bir parçasıdır.

Gizlilik ve Güvenlik

GenderAPI, Müşteri Kişisel Verilerini işlemeye yetkili kişilerin uygun gizlilik yükümlülüklerine tabi olmasını ve verilere yalnızca görevleri için gerekli ölçüde erişmesini sağlar. Hizmetin niteliğine ve işleme risklerine uygun teknik ve organizasyonel önlemleri sürdürür.

• Hizmetle yapılan veri alışverişinde TLS ile korunan iletim.
• Üretim sistemleri, müşteri verileri ve erişimi kısıtlı yedekler için erişim sınırlamaları.
• Hesap kimlik bilgilerinin ve üretim API anahtarlarının ayrılması ve korunması.
• Yayımlanmış saklama takvimine tabi güvenlik olayı ve teknik günlük kayıtları.
• En fazla 15 günlük standart üzerine yazma süresine sahip döngüsel yedekler.
• Müşteri verileriyle eğitim veya AI istem/sonuç kaydı yapılmadan özel AI işleme.
• Hizmetin saklama takvimiyle uyumlu veri minimizasyonu ve silme prosedürleri.

Alt İşleyiciler

Müşteri, Alt İşleyiciler sayfasında DPA alt işleyicisi olarak belirtilen sağlayıcıların kullanılması için GenderAPI'ye genel yazılı yetki verir. GenderAPI, bu alt işleyicilerin her birinden, yürüttüğü hizmetler bakımından geçerli olduğu ölçüde, Müşteri Kişisel Verilerini bu DPA ile esaslı ölçüde uyumlu yükümlülükler altında korumasını ister. GenderAPI, bu DPA kapsamındaki kendi yükümlülüklerinden sorumlu olmaya devam eder. Yalnızca GenderAPI'nin faturalama veya hesap iletişimi gibi veri sorumlusu faaliyetlerinde kullanılan sağlayıcılar ayrı belirtilir; sağlayıcı kaydında yer almaları tek başına onları Müşterinin veri işleyeni yapmaz.

GenderAPI, Müşteri Kişisel Verilerini işleyecek bir alt işleyiciyi eklemeden veya değiştirmeden en az 30 gün önce Alt İşleyiciler sayfası, Hizmet veya Müşterinin hesap e-postası aracılığıyla bildirimde bulunur. Müşteri bu süre içinde makul ve belgelenmiş bir veri koruma itirazı sunabilir. Taraflar ticari açıdan makul bir çözüm bulmak için iyi niyetle çalışır; böyle bir çözüm bulunamazsa Müşteri etkilenen özelliği kullanmayı durdurabilir.

Yardım ve Kişisel Veri Olayları

GenderAPI, işlemenin niteliğini ve erişebildiği bilgileri dikkate alarak, ilgili kişi talepleri, güvenlik yükümlülükleri, kişisel veri ihlali bildirimleri, veri koruma etki değerlendirmeleri ve geçerli veri koruma mevzuatının gerektirdiği danışma süreçlerinde makul yardım sağlar. Bir ilgili kişi Müşteri Kişisel Verileri hakkında GenderAPI ile iletişime geçerse, geçerli mevzuat doğrudan yanıt gerektirmediği sürece GenderAPI talebi Müşteriye yönlendirebilir.

GenderAPI, Müşteri Kişisel Verilerini etkileyen doğrulanmış bir kişisel veri ihlalinden haberdar olduktan sonra gereksiz gecikme olmaksızın ve makul ölçüde mümkünse 48 saat içinde Müşteriyi bilgilendirir. Bildirim, Müşterinin değerlendirme ve bildirim yükümlülükleri için makul ölçüde gerekli olan mevcut bilgileri içerir. Bildirim, kusur veya sorumluluk kabulü anlamına gelmez.

İade ve Silme

Hizmet süresince Müşteri, desteklenen Hizmet işlevleri aracılığıyla mevcut sonuçlarını alabilir. Hesabın kapatılması, ilgili işlemenin sona ermesi veya geçerli bir silme talebi üzerine GenderAPI, geçerli mevzuat saklama gerektirmediği sürece, aktif sistemlerde kalan Müşteri Kişisel Verilerini 30 gün içinde siler veya geri döndürülemez biçimde anonimleştirir. Aktif sistemlerden kaldırılan veriler, otomatik olarak üzerlerine yazılmadan önce erişimi kısıtlı döngüsel yedeklerde en fazla 15 ek gün kalabilir.

Faturalama, işlem, dolandırıcılık önleme veya uyuşmazlık kayıtlarının hukuken saklanması, Müşterinin sorgu veya yüklediği dosya içeriklerinin kullanılmaya devam edilmesine izin vermez. Gizlilik Politikasındaki kategori bazlı takvim, daha kısa bir süre öngördüğü durumlarda uygulanmaya devam eder.

Bilgi ve Denetimler

GenderAPI, bu DPA'ya uyumu göstermek için makul ölçüde gerekli bilgileri öncelikle güncel politikalar, belgeler ve makul bir güvenlik soru formu aracılığıyla Müşteriye sunar. Bu bilgiler yasal bir yükümlülük için yetersizse Müşteri, doğrulanmış bir ihlal veya bağlayıcı bir düzenleyici makam talebi sonrasındaki durumlar hariç, yılda en fazla bir kez ölçülü bir denetim talep edebilir.

Denetim, makul bir ön bildirimle ve normal çalışma saatlerinde, başka bir müşterinin verilerini açığa çıkarmadan veya güvenliği tehlikeye atmadan yapılmalıdır. Denetimde GenderAPI'nin esaslı bir ihlali tespit edilmedikçe Müşteri kendi denetim masraflarını karşılar. Taraflar önceden uygun gizlilik ve kapsam koşulları üzerinde anlaşır.

Uluslararası Aktarımlar

Müşteri Kişisel Verileri Türkiye'de ve sözleşmeli altyapı aracılığıyla Amerika Birleşik Devletleri'nde işlenebilir. GenderAPI, gerekli durumlarda hukuken tanınan bir aktarım mekanizması kullanır. Avrupa Komisyonunun (AB) 2021/914 sayılı Uygulama Kararı ile kabul edilen AB Standart Sözleşme Maddeleri gerekliyse, uygulanabilir veri sorumlusundan veri işleyene aktarım modülü bu DPA'ya dahil edilir ve ilgili aktarım bakımından çelişen hükümlere üstün gelir. Taraflar, DPA'yı imzalarken kendi aktarımları için hukuken gerekli seçimleri veya ek bilgilerini tamamlar.

İşleme Ayrıntıları

Konu ve süre

Müşterinin Hizmeti kullanımı sırasında ve bu DPA ile Gizlilik Politikasında açıklanan sınırlı silme, yedekleme, güvenlik ve yasal saklama süreleri boyunca GenderAPI'nin sunulması için gereken işleme.

Nitelik ve amaç

API sorguları, yüklenen Excel veya CSV dosyaları ve bağlı e-tablo işlemleri için verilerin alınması, iletilmesi, analiz edilmesi ve sonuçların döndürülmesi; bunlarla ilgili barındırma, güvenlik, sorun giderme ve destek.

İlgili kişi kategorileri

Müşterinin adlarını, e-posta adreslerini, kullanıcı adlarını veya ilgili kayıtlarını gönderdiği kişiler; Müşterinin kullanıcıları, personeli, iletişim kişileri veya son kullanıcıları ve yüklenen ya da bağlı e-tablo verilerinde yer alan kişiler.

Kişisel veri türleri

İsimler, e-posta adresleri, kullanıcı adları, ülke veya yerelleştirme bağlamı, Müşterinin sağladığı e-tablo alanları, tahmin edilen cinsiyet sonucu ve güven bilgileri ile Hizmetin işletilmesi için gerekli sınırlı istek, cihaz, kimlik doğrulama ve güvenlik metaverileri. Açıkça yazılı olarak kararlaştırılmadıkça ve hukuken izin verilmedikçe Müşteri özel nitelikli kişisel veri göndermemelidir.