Kapsam ve öncelik
Bu sözleşme, [Şirket ünvanı] ("işleyen", "biz") ile hizmetimizi kullanan taraf ("sorumlu", "siz") arasında, testin kişisel veriye temas ettiği her durumda uygulanır.
Kullanım Koşullarının ayrılmaz parçasıdır. Kişisel veri işlenmesine ilişkin bir çelişki hâlinde bu sözleşme diğer belgelere üstün gelir.
Ayrı ve imzalı bir veri işleme sözleşmesi yapılırsa, imzalanan belge bu sayfaya üstün gelir.
Tanımlar
"Kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi" ve "veri ihlali" terimleri, uygulanacak veri koruma mevzuatındaki anlamlarıyla kullanılır.
"Uygulanacak mevzuat": 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeleri; işlemenin kapsamına giriyorsa Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve Birleşik Krallık GDPR.
Rollerin dağılımı
Test kapsamındaki verilerde siz veri sorumlususunuz, biz veri işleyeniz. Neyin, hangi amaçla ve hangi hukuki dayanakla işlendiğine siz karar verirsiniz.
Kendi müşteri ve ziyaretçi verilerimizde (hesabınız, faturanız, destek yazışmalarınız) veri sorumlusu biziz; bu işleme Gizlilik Politikasındadır.
Tester ağımızdaki testerlar ve altyapı sağlayıcılarımız bizim alt işleyenlerimizdir; onların uyumundan size karşı biz sorumluyuz.
İşlemenin konusu, süresi ve niteliği
Konu: onayladığınız kapsamdaki testin yürütülmesi, bulguların raporlanması ve doğrulama turunun yapılması.
Süre: testin başlangıcından, test verilerinin silinmesine kadar. Silme, test bitiminden 90 gün sonra gerçekleşir.
Nitelik ve amaç: test senaryolarının yürütülmesi sırasında karşılaşılan verilere erişim, gerektiğinde kanıt olarak kaydedilmesi ve raporlanması. Başka hiçbir amaç yoktur.
Veri kategorileri ve ilgili kişiler
İlgili kişiler: sizin son kullanıcılarınız, müşterileriniz ve çalışanlarınız — yalnızca test ortamında karşılaşıldığı ölçüde.
Veri kategorileri: kimlik ve iletişim bilgileri, hesap ve oturum bilgileri, işlem kayıtları ve test ortamında bulunan diğer veriler.
Özel nitelikli kişisel veri (sağlık, biyometrik, inanç, sendika üyeliği vb.) işlenmesini istemiyoruz. Test ortamında böyle veri varsa bunu bize testten önce bildirirsiniz ve ek tedbirleri birlikte kararlaştırırız.
Test ortamınızda gerçek kişisel veri yerine örnek veri kullanmanızı öneririz. Bu, hem riski hem de kapsam kısıtlarını ortadan kaldırır.
Talimatlara uygun işleme
Kişisel veriyi yalnızca sizin belgelenmiş talimatlarınız doğrultusunda işleriz. Onayladığınız kapsam, bu talimatın kendisidir.
Bir talimatın mevzuata aykırı olduğunu düşünürsek, uygulamadan önce size bildiririz.
Hukuken zorunlu kaldığımız hâller istisnadır; böyle bir durumda, yasal olarak mümkünse işlemeden önce size bildiririz.
Gizlilik yükümlülüğü
Kişisel veriye erişen herkes, çekirdek ekip üyeleri ve testerlar dahil, yazılı bir gizlilik yükümlülüğü altındadır ve bu yükümlülük görevin sona ermesinden sonra da devam eder.
Erişim, bilmesi gereken ilkesine göre kişi bazında verilir ve testin süresiyle sınırlıdır.
Güvenlik önlemleri
Riske uygun teknik ve idari tedbirleri uygularız: aktarımda TLS 1.2 ve üzeri, durağan hâlde AES-256 şifreleme, en az yetki ilkesiyle erişim yönetimi, çok faktörlü kimlik doğrulama, erişim kayıtlarının tutulması ve düzenli yedekleme.
Test verisinin kişisel cihazlara kopyalanması yasaktır; çalışma, denetlenen ortamlarda yürütülür.
Tedbirlerin tam listesi Güvenlik Politikası sayfasındadır ve bu sözleşmenin eki sayılır.
Alt işleyenler
Alt işleyen kullanımına genel yetki verdiğinizi kabul ediyorsunuz. Güncel liste Alt İşleyenler sayfasındadır.
Her alt işleyenle, bu sözleşmedekinden daha az koruyucu olmayan yazılı bir sözleşme yaparız.
Alt işleyenin yükümlülüklerini yerine getirmemesinden size karşı biz sorumluyuz.
Alt işleyen değişikliği ve itiraz
Yeni bir alt işleyen eklemeden ya da mevcut birini değiştirmeden en az 30 gün önce bildiririz.
Bu süre içinde makul gerekçeyle itiraz edebilirsiniz. İtirazınızı çözemezsek, etkilenen hizmeti cezasız olarak sonlandırabilir ve yürütülmemiş kısmın bedelini iade alırsınız.
İlgili kişi taleplerine yardım
Bir ilgili kişi doğrudan bize başvurursa talebi yanıtlamaz, gecikmeksizin size yönlendiririz.
Erişim, düzeltme, silme, itiraz ve taşınabilirlik taleplerini karşılamanız için gereken teknik desteği veririz.
Bu destek, hizmetin bir parçası olarak ücretsizdir; olağandışı ölçüde emek gerektiren talepler için önceden fiyat bildiririz.
İhlal bildirimi
Bir kişisel veri ihlalini öğrendiğimizde, gecikmeksizin ve her hâlükârda 24 saat içinde size bildiririz.
Bildirim şunları içerir: ihlalin niteliği, etkilenen ilgili kişi ve kayıt sayısı (yaklaşık olarak), muhtemel sonuçlar, aldığımız ve almayı planladığımız tedbirler, irtibat noktamız.
Bilgilerin tamamı aynı anda hazır değilse, elde ettikçe aşamalı olarak iletiriz. Yetkili makama bildirimi siz yaparsınız; gereken bilgi ve belgeyi sağlarız.
Etki değerlendirmesi ve ön danışma
Yürüttüğünüz bir veri koruma etki değerlendirmesinde, işleme faaliyetimize ilişkin bilgileri makul ölçüde sağlarız.
Denetim makamıyla ön danışma gerekirse, sürece makul ölçüde destek veririz.
Yurt dışına aktarım
Kişisel veriyi, mevzuatın izin verdiği güvenceler olmaksızın yurt dışına aktarmayız.
Aktarım gereken hâllerde standart sözleşme hükümleri ya da mevzuatın öngördüğü diğer mekanizmalar kullanılır. Hangi alt işleyenin nerede bulunduğu Alt İşleyenler sayfasındadır.
Silme ve iade
Test bitiminden 90 gün sonra kişisel veriyi, test kayıtlarını ve erişim bilgilerini kalıcı olarak sileriz.
Daha erken silinmesini ya da iade edilmesini isterseniz, talebinizden itibaren 30 gün içinde yerine getirir ve silme kaydını paylaşırız.
Otomatik yedeklerdeki kopyalar yedek döngüsü dolmadan silinemez; bu kopyalara erişilmez ve döngü sonunda kendiliğinden kaybolur. Süre boyunca bu sözleşme onlar için de geçerlidir.
Hukuken saklamak zorunda olduğumuz kayıtlar istisnadır ve yalnızca saklama yükümlülüğü süresince tutulur.
Denetim ve bilgi verme
Bu sözleşmeye uygunluğumuzu gösteren bilgileri talebiniz üzerine sağlarız.
Yılda bir kez, en az 30 gün önceden bildirmek ve mesai saatleri içinde olmak kaydıyla, bağımsız bir denetçi aracılığıyla denetim yaptırabilirsiniz. Denetçi bir rakibimiz olamaz ve gizlilik yükümlülüğü altında çalışır.
Denetimin makul masrafları size aittir; denetimde esaslı bir uygunsuzluk çıkarsa masraf bize geçer.
Sorumluluk
Bu sözleşmeden doğan sorumluluk, Kullanım Koşullarındaki sorumluluk sınırlarına tabidir.
Ancak mevzuatın öngördüğü idari para cezaları ve ilgili kişilere ödenecek tazminat, kusurlu olan tarafa aittir; kusur oranında paylaşılır.
Süre
Bu sözleşme, kişisel veriyi ilk işlediğimiz anda başlar ve silme tamamlanana kadar sürer.
Gizlilik ve güvenlik yükümlülükleri, silmeden sonra da devam eder.
Bu belgeler İngilizce ve Türkçe olarak yayımlanır. Çelişki hâlinde Türkçe metin esas alınır.