Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("VİS"), PulseDesk'i kullanan müşteri ("Müşteri", veri sorumlusu) ile Londonist Yazılım ve Teknolojileri A.Ş. ("PulseDesk", veri işleyen) arasındaki Hizmet Koşullarının bir parçasını oluşturur. PulseDesk'in PulseDesk hizmeti aracılığıyla Müşteri adına kişisel veri işlediği her durumda uygulanır. Müşteri'nin Koşulları kabul etmesiyle yürürlüğe girer ve ayrıca imza gerektirmez; talep üzerine karşı imzalı bir nüsha sağlanabilir.

1. Tanımlar

• Veri Koruma Mevzuatı, işleme faaliyetine uygulanan ve 2016/679 sayılı AB Genel Veri Koruma Tüzüğü ("GDPR"), UK GDPR ve Data Protection Act 2018, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Hindistan Digital Personal Data Protection Act 2023 ve diğer ulusal kanunlar dahil olmak üzere kişisel verilere ilişkin tüm mevzuat anlamına gelir.
• Müşteri Kişisel Verileri, hizmetin sunulması sırasında PulseDesk tarafından Müşteri adına işlenen kişisel veriler anlamına gelir.
• Alt İşleyen, Müşteri Kişisel Verilerini işlemek üzere PulseDesk tarafından görevlendirilen üçüncü kişi anlamına gelir.
• Kişisel Veri İhlali, Müşteri Kişisel Verilerinin kazara veya hukuka aykırı olarak imha edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara yetkisiz erişilmesine yol açan güvenlik ihlali anlamına gelir.
• "Veri sorumlusu" (controller), "veri işleyen" (processor), "ilgili kişi" (data subject) ve "işleme" (processing) gibi terimler GDPR'da verilen anlamları taşır (diğer Veri Koruma Mevzuatındaki eşdeğer terimler, örneğin KVKK'daki "veri sorumlusu" ve "veri işleyen" terimleri de bu anlamlarda kullanılır).

2. Roller ve kapsam

• Müşteri Kişisel Verileri bakımından Müşteri veri sorumlusu, PulseDesk ise veri işleyendir. Müşteri'nin kendisinin başka bir veri sorumlusu adına veri işleyen olduğu durumlarda PulseDesk, Müşteri'nin alt işleyeni olur ve Müşteri o veri sorumlusuna karşı sorumlu olmaya devam eder.
• İşlemenin konusu, niteliği, amacı ve süresi, kişisel veri türleri ve ilgili kişi kategorileri Ek 1'de belirtilmiştir.

3. Müşteri talimatları

• PulseDesk, Müşteri Kişisel Verilerini yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Bu Koşullar, bu VİS ve Müşteri'nin hizmeti yapılandırma ve kullanma şekli (örneğin etkinleştirdiği özellikler, saklama ayarları ve verdiği yetkiler) Müşteri'nin talimatlarının tamamını oluşturur.
• PulseDesk, kendi görüşüne göre bir talimatın Veri Koruma Mevzuatını ihlal etmesi halinde bunu Müşteri'ye bildirir ve talimat teyit edilene veya değiştirilene kadar talimatın uygulanmasını askıya alabilir.
• Kanunun PulseDesk'in Müşteri Kişisel Verilerini başka bir şekilde işlemesini gerektirmesi halinde PulseDesk, kanunun yasaklamadığı durumlarda Müşteri'yi önceden bilgilendirir.

4. Müşteri'nin yükümlülükleri

Müşteri, talimat verdiği işlemenin hukuka uygunluğundan sorumludur. Müşteri özellikle şunları taahhüt eder:

• çalışanlarının ve diğer kullanıcılarının verilerini izlemek ve işlemek için geçerli bir hukuki sebebe sahiptir ve gerekli olan her türlü veri koruma etki değerlendirmesini yapmıştır;
• PulseDesk aracılığıyla toplanan veriler, amaçlar, saklama süreleri ve verilere kimlerin erişebileceği konusunda - kendi aydınlatma metni ile - ilgili kişileri açıkça ve önceden bilgilendirmiştir ve gerekli tüm rızaları veya çalışan temsilcisi onaylarını almıştır;
• hizmeti yalnızca sahibi olduğu veya yönetmeye yetkili olduğu cihazlarda kullanır ve Kabul Edilebilir Kullanım Politikası uyarınca gizli izleme için kullanmaz;
• hizmeti (örneğin ekran görüntüleri, konum ve toplantı kayıtları bakımından) ölçülü şekilde yapılandırır ve yetki ayarlarını uygun şekilde tutar;
• yerel mevzuatının gerektirdiği durumlarda denetim makamlarına kayıt veya bildirim yükümlülüklerini yerine getirir (örneğin KVKK kapsamında VERBİS kaydı).

5. PulseDesk'in yükümlülükleri

PulseDesk:

• Müşteri Kişisel Verilerini yalnızca Ek 1'de belirtilen amaçlarla işler; hiçbir zaman kendi pazarlama, reklam veya profil oluşturma faaliyetleri için işlemez ve satmaz;
• Müşteri Kişisel Verilerine erişimi olan personelinin gizlilik yükümlülüğü altında olmasını ve bu verilere yalnızca hizmeti sunmak veya desteklemek için gerektiğinde erişmesini sağlar;
• Ek 2'de açıklanan teknik ve idari tedbirleri uygular ve sürdürür; bu tedbirler, genel koruma düzeyi düşürülmemek kaydıyla güncellenebilir;
• işlemenin niteliğini dikkate alarak ilgili kişi başvuruları, güvenlik, ihlal bildirimleri, veri koruma etki değerlendirmeleri ve denetim makamlarıyla ön istişareler konusunda Müşteri'ye yardımcı olur.

6. İlgili kişi başvuruları

Hizmet, Müşteri'nin kullanıcılarının verilerini görüntülemesine, dışa aktarmasına ve silmesine olanak tanır. PulseDesk, Müşteri Kişisel Verileriyle ilgili olarak doğrudan bir ilgili kişiden başvuru alırsa, başvuruyu gereksiz gecikme olmaksızın Müşteri'ye iletir ve Müşteri aksi yönde yetki vermedikçe başvurunun iletildiğini teyit etmek dışında kendisi yanıt vermez.

7. Alt işleyenler

• Müşteri, PulseDesk'e Alt İşleyen görevlendirmesi için genel yetki verir. Güncel liste Alt İşleyenler sayfamızda yayımlanmaktadır.
• PulseDesk, her Alt İşleyene bu VİS'ten daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve Alt İşleyenlerin yükümlülüklerini yerine getirmesinden sorumlu olmaya devam eder.
• PulseDesk, yeni bir Alt İşleyeni listeyi güncelleyerek ve organizasyon sahiplerini bilgilendirerek en az 30 gün önceden bildirir. Müşteri, bildirimden itibaren 15 gün içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı iyi niyetle görüşür; itiraz çözülemezse Müşteri, hizmetin etkilenen kısmını cezai şart ödemeksizin feshedebilir ve kalan döneme ilişkin peşin ödenmiş ücretlerin iadesini alır.

8. Yurt dışına aktarımlar

Müşteri Kişisel Verileri Birleşik Krallık'ta barındırılır. PulseDesk ve Alt İşleyenleri bu verileri Alt İşleyenler sayfasında listelenen diğer ülkelerde işleyebilir. Veri Koruma Mevzuatı kapsamında güvence gerektiren her aktarım için PulseDesk; AB Standart Sözleşme Hükümleri (duruma göre ikinci veya üçüncü modül), Birleşik Krallık Uluslararası Veri Aktarımı Eki (UK International Data Transfer Addendum) ve KVKK'ya tabi aktarımlar için KVKK'nın 9. maddesinin gerektirdiği standart sözleşmeler ve bildirim gibi uygun bir aktarım mekanizmasını, gerektiğinde ek önlemlerle birlikte uygular.

9. Kişisel Veri İhlalleri

PulseDesk, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrendikten sonra Müşteri'yi gereksiz gecikme olmaksızın ve her halükârda 48 saat içinde bilgilendirir. Bildirimde, bilindiği ölçüde ihlalin niteliği, etkilenen ilgili kişilerin ve kayıtların kategorileri ve yaklaşık sayısı, olası sonuçları ve alınan veya alınması önerilen tedbirler açıklanır. Bilgiler aşamalı olarak sağlanabilir. PulseDesk, ihlali sınırlandırmak ve gidermek için makul adımları atar. Gerekli durumlarda (örneğin GDPR ve KVKK kapsamında 72 saat içinde) denetim makamlarını ve ilgili kişileri bilgilendirmek Müşteri'nin sorumluluğundadır. Bildirim, kusur ikrarı anlamına gelmez.

10. Denetimler

PulseDesk, bu VİS'e uyumu göstermek için makul ölçüde gerekli bilgileri - güvenlik anketlerine verilen yanıtlar dahil - Müşteri'nin kullanımına sunar. Bunun yeterli olmaması veya bir denetim makamının talep etmesi halinde Müşteri, PulseDesk'in uyumunu herhangi bir 12 aylık dönemde bir kez, en az 30 gün önceden yazılı bildirimde bulunarak, olağan mesai saatleri içinde, masrafları kendisine ait olmak üzere ve uygun gizlilik koşulları altında, kendisi veya PulseDesk'in rakibi olmayan bağımsız bir denetçi aracılığıyla denetleyebilir. Denetimler diğer müşterilerin verilerinin güvenliğini tehlikeye atmamalıdır.

11. İade ve silme

Abonelik süresi boyunca Müşteri, hizmeti kullanarak Müşteri Kişisel Verilerini dışa aktarabilir ve silebilir. Fesihten sonra Müşteri'nin verilerini dışa aktarmak için 30 günü vardır. PulseDesk ardından, kanunen saklanması gerekmedikçe, Müşteri Kişisel Verilerini sonraki 30 gün içinde canlı sistemlerinden ve 90 gün içinde yedeklerden siler; kanunen saklanması gereken durumlarda PulseDesk bu verileri gizli tutar ve yalnızca bu amaçla işler.

12. Sorumluluk ve süre

Koşullardaki sorumluluk sınırlamaları, Veri Koruma Mevzuatının izin vermediği haller dışında bu VİS için de geçerlidir. Bu VİS, PulseDesk Müşteri Kişisel Verilerini işlediği sürece yürürlükte kalır. Bu VİS'in Koşullarla çelişmesi halinde, veri korumaya ilişkin konularda bu VİS geçerli olur. Bu VİS, Veri Koruma Mevzuatı veya aktarım hükümleri aksini gerektirmedikçe Koşullarla aynı hukuka ve yargı yetkisine tabidir.

Ek 1 - İşlemeye ilişkin ayrıntılar

Amaç: PulseDesk hizmetinin Müşteri'ye sunulması: otomatik zaman ve etkinlik takibi, verimlilik ve devam analitiği, ekran görüntüleri (etkinleştirilmişse), çevrimdışı süre, projeler, çalışma programları ve vardiya planı, izin ve devamsızlık yönetimi, resmî tatiller, sohbet, aramalar ve toplantılar (kullanılıyorsa kayıtlar, dökümler ve yapay zekâ özetleri dahil), belgeler ve Drive, duyurular, raporlar, bildirimler, Lucy yapay zekâ asistanı, destek ve güvenlik.

İşlemenin niteliği: masaüstü uygulaması ve panel aracılığıyla toplama, saklama, düzenleme, analiz etme, yetkili kullanıcılara gösterme, iletme, dışa aktarma ve silme.

Süre: abonelik süresi boyunca ve 11. madde uyarınca silinene kadar.

İlgili kişiler: Müşteri'nin PulseDesk'i kullanan çalışanları, yüklenicileri, yöneticileri ve sistem yöneticileri; kullanıcılar tarafından davet edilen toplantı misafirleri; Müşteri'nin yüklediği içeriklerde adı geçen kişiler.

Kişisel veri kategorileri:

• Kimlik ve iletişim verileri: ad, iş e-postası, telefon, unvan, departman, yönetici, profil fotoğrafı, dil ve saat dilimi;
• Hesap verileri: parola özeti (hash), roller ve yetkiler, oturum açma ve cihaz bilgileri, masaüstü uygulaması sürümü;
• İş etkinliği verileri: çalışma süreleri, geliş ve çıkış, etkin uygulamalar ve pencere başlıkları, web sitesi adresleri, boşta geçen, uzakta geçen ve özel zaman, çevrimdışı süre kayıtları, verimlilik sınıflandırmaları;
• Müşteri tarafından etkinleştirilmişse ekran görüntüleri;
• Müşteri tarafından etkinleştirilmişse yaklaşık konum (IP tabanlı veya cihaz konumu);
• Planlama verileri: çalışma programları, vardiya planı, izin talepleri ve bakiyeleri, resmî tatiller ve devamsızlık nedenleri;
• Müşteri'nin kaydetmeyi seçtiği, işe başlama tarihi, doğum tarihi, çalışılan ülke, saatlik ücret ve belgeler gibi personel verileri;
• İletişim verileri: sohbet mesajları ve dosyalar, arama ve toplantı geçmişi, kayıtlar, dökümler ve özetler, duyurular;
• Asistan verileri: Lucy'ye sorulan sorular ve üretilen yanıtlar;
• Teknik veriler: IP adresleri, masaüstü uygulamasının kayıtları ve müdahale olayları.

Özel nitelikli kişisel veriler: PulseDesk, özel nitelikli kişisel verileri işlemek üzere tasarlanmamıştır. Bununla birlikte, Müşteri tarafından girilen devamsızlık nedenleri, personel belgeleri veya mesajlar bu tür veriler içerebilir (örneğin hastalık izniyle ilgili sağlık bilgileri). Bu tür verilerin kaydedilip kaydedilmeyeceğine Müşteri karar verir ve bunun için hukuki sebebe sahip olmaktan Müşteri sorumludur.

Ek 2 - Teknik ve idari tedbirler

• Aktarım sırasında şifreleme: panel, API ve masaüstü uygulamasına yapılan tüm bağlantılar HTTPS/TLS kullanır.
• Erişim kontrolü: her istek için sunucu tarafında uygulanan rol tabanlı yetkiler; her müşterinin verilerinin kesin olarak ayrılması; hassas görünümlerin (ekran görüntüleri, personel dosyaları, konum) yetkili rollerle sınırlandırılması.
• Kimlik doğrulama: güçlü bir tek yönlü özetleme (hash) algoritmasıyla saklanan parolalar; imzalı ve süreli oturum belirteçleri; masaüstü uygulaması için tek kullanımlık aktarım kodları.
• Korunan dosyalar: ekran görüntüleri ve diğer hassas dosyalar herkese açık değildir ve kısa ömürlü imzalı bağlantılar üzerinden sunulur; ekran görüntüleri Müşteri'nin saklama ayarına göre silinir.
• Altyapı: Londra, Birleşik Krallık'taki profesyonel bir veri merkezinde barındırma; veritabanı erişiminin kimliği doğrulanmış hizmet hesaplarıyla sınırlandırılması; idari erişimin yetkili personelle sınırlandırılması.
• Yedekler: geri yüklemeye olanak tanımak için ayrı olarak saklanan düzenli veritabanı yedekleri.
• Personel: gizlilik yükümlülükleri; bilmesi gereken ilkesine dayalı erişim; idari erişim için en az yetki ilkesi.
• Masaüstü uygulamasının bütünlüğü: otomatik güncellemeler; uygulamayı kapatma veya kaldırma girişimlerinin tespit edilmesi, kaydedilmesi ve Müşteri'nin yöneticilerine bildirilmesi.
• Yapay zekâ özellikleri: yapay zekâ sağlayıcısına yalnızca talepte bulunan kullanıcının erişebileceği veriler gönderilir; sağlayıcı bu verileri eğitim için kullanmaz; kullanım, sohbet içeriği sunucularımızda saklanmadan kayıt altına alınır.
• Olay yönetimi: Kişisel Veri İhlallerini tespit etme, inceleme, sınırlandırma ve bildirme prosedürleri.

Ek 3 - Alt işleyenler

Yetkilendirilmiş Alt İşleyenler Alt İşleyenler sayfamızda listelenmektedir.