Veri İşleme Sözleşmesi

Bu sözleşme kullanım koşullarının parçasıdır. Cliux'ta yürüttüğünüz bir site başka kişiler hakkında kişisel veri tuttuğunda uygulanır: sitenizin ziyaretçileri, üyeleri ve müşterileri; randevu alan, satın alan ya da bağış yapan kişiler; size bir form, bir yorum ya da sohbet üzerinden yazan herkes.

Bu veriler için, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında veri sorumlusu sizsiniz: verilerin hangi amaçla ve hangi araçlarla işleneceğini siz belirlersiniz (KVKK md. 3). Cliux, bu verileri sizin verdiğiniz yetkiye dayanarak sizin adınıza işleyen veri işleyendir (KVKK md. 3 ve md. 12). Avrupa Birliği'ndeki kişilerin verileri için aynı roller, Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesi anlamında da geçerlidir.

Cliux'u işleten şirket kuruluş aşamasındadır. Şirketin unvanı, adresi, MERSİS ve ticaret sicil numaraları, vergi bilgileri ve KEP adresi tescil tamamlandığında bu metinde yayınlanır.

Bu sözleşme, kullanım koşullarını kabul ettiğinizde yürürlüğe girer ve bu verileri sizin için tuttuğumuz sürece devam eder.

Verileri yalnızca sitelerinizi barındırmak, yayınlamak, yedeklemek ve korumak ve sizin açtığınız özellikleri çalıştırmak için işleriz; bunu da yalnızca sizin belgelenmiş talimatlarınızla yaparız: kullanım koşulları, bu sözleşme ve panelde seçtiğiniz ayarlar. Verileri satmayız, reklam için kullanmayız ve bir yapay zekâ modelini eğitmek için kullanmayız.

Bir talimatınızın hukuka aykırı olduğunu düşünürsek onu uygulamak yerine size bildiririz. Kanun bizi verileri bir makama açıklamaya zorlarsa, kanun yasaklamadıkça bunu önce size haber veririz.

• İlgili kişiler: sitelerinizin ziyaretçileri, üyeleri, müşterileri, misafirleri, bağışçıları ve size yazan kişiler; ayrıca davet ettiğiniz ekip üyeleriniz.
• Veriler: iletişim bilgileri; kişilerin formlar, siparişler, randevular, yorumlar ve sohbet üzerinden gönderdikleri; üye hesabı bilgileri; bir siteyi sunmak ve korumak için gereken, IP adresi ve tarayıcı gibi teknik veriler.
• Özel nitelikli kişisel veriler: yalnızca sizin toplamayı seçtikleriniz. Bunları işleyebilmek için KVKK md. 6'da sayılan şartlardan birine sizin dayanmanız gerekir.
• Süre: hesabınız var olduğu sürece; ardından aşağıdaki "Sözleşme sona erdiğinde" bölümündeki silme süreleri.

Sitenizin topladığı veriler için kanunun veri sorumlusuna yüklediği yükümlülükler size aittir. Başlıcaları şunlardır:

• her işleme faaliyeti için KVKK md. 5 ya da md. 6'daki bir işleme şartına dayanmak; açık rıza gerekiyorsa onu almak;
• ziyaretçilerinizi ve diğer ilgili kişileri, verilerini toplarken KVKK md. 10'a göre aydınlatmak ve bu aydınlatmada verilerin Cliux'a ve aşağıda sayılan sağlayıcılara, dolayısıyla yurt dışına aktarıldığını belirtmek;
• ilgili kişilerin KVKK md. 11'deki haklarına ilişkin başvurularını md. 13'teki süre içinde sonuçlandırmak;
• bir veri ihlalini Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirmek (KVKK md. 12/5);
• kanun sizi Veri Sorumluları Siciline kayıt olmakla yükümlü tutuyorsa sicile kaydolmak (KVKK md. 16).

Cliux, bunları yerine getirebilmeniz için bu sözleşmede yazan yardımı verir; sizin yerinize veri sorumlusu olmaz.

Cliux'ta verilere erişebilen herkes onları gizli tutmakla yükümlüdür ve verilere yalnızca hizmeti işleten kişiler erişebilir. Öğrendiğimiz kişisel verileri kanuna aykırı olarak kimseye açıklamayız ve işleme amacı dışında kullanmayız; bu yükümlülük görev sona erdikten sonra da devam eder (KVKK md. 12/4).

KVKK md. 12/1'in istediği teknik ve idari tedbirlerden bugün yerinde olanlar, güvenlik sayfasında ayrıntısıyla yazanlardır:

• Platforma gelen trafik, iletim sırasında şifrelenir.
• Panelde oturum açmayı Clerk yürütür; site üyelerinin belirlediği parolalar ve paylaşılan önizlemelere konan parolalar argon2id ile özetlenerek saklanır.
• Bir sitenin verilerine dokunan her sunucu işlemi ve API yolu, isteği yapanın o siteye erişimi olup olmadığını denetler ve olmayanı reddeder; bu denetimi atlayan yeni bir işlem, kod tabanının otomatik taramasında test paketini başarısız kılar.
• Veritabanına erişim yalnızca Cliux'u işleten kişidedir. Cliux'un kendi yönetim panelinde yetkilendirdiği bir destek görevlisi, bir site hakkındaki talebi yanıtlamak için o sitenin verilerini okuyabilir ve böyle her okuma kayda alınır.
• Veritabanı her gece yedeklenir; son 14 gecelik kopya sunucuda tutulur, her birinin şifreli bir kopyası sunucu dışında en çok 90 gün saklanır ve yüklenen dosyalar haftada bir sunucu dışına kopyalanır. Bir silme, satırı ya da dosyayı tutan kopyaların süresi dolduğunda tamamlanır. Ayda bir, en yeni sunucu dışı kopya geçici bir veritabanına geri yüklenerek denenir.
• Kart bilgileri Cliux'a hiç ulaşmaz. Ödeme sağlayıcılarını bağlamak için girdiğiniz anahtarlar şifrelenmiş olarak saklanır ve size bir daha gösterilmez.

Güvenlik sayfası yerinde olmayan tedbirleri de sayar. Bu sözleşme sürdükçe en az o sayfada yazan tedbirleri sürdürürüz ve bu tedbirlerde yapılan bir değişiklik, sağladıkları korumayı hiçbir zaman azaltamaz. Verilerin sizin adınıza bizim tarafımızdan işlenmesi, bu tedbirlerin alınmasında sizi ve bizi müştereken sorumlu kılar (KVKK md. 12/2).

Cliux, hizmeti aşağıdaki sağlayıcılarla yürütür ve her biri yalnızca kendi işinin gerektirdiğini görür. Bu tablo, Gizlilik Politikası ve KVKK Aydınlatma Metni sayfasındaki tablonun aynısıdır; bu yüzden Cliux'un kendi hesap ve ödeme kayıtları için çalışan sağlayıcıları da içerir.

Bu sözleşmeyi kabul ederek, sitelerinizin verilerinin, tablodaki sağlayıcılar tarafından satırlarında yazan iş için alt veri işleyen olarak işlenmesine yetki vermiş olursunuz. Tabloda kendi başına veri sorumlusu olarak tanımlanan bir sağlayıcı alt veri işleyen değildir.

Her alt veri işleyeni en az bu sözleşmedeki kadar koruyucu veri koruma hükümleriyle bağlarız ve onların yaptıklarından size karşı biz sorumlu kalırız. Kendi hesabınızla bağladığınız ödeme sağlayıcıları bunlardan değildir: o ödemelerin sözleşmesi sizinle o sağlayıcı arasındadır ve Cliux onlara yalnızca alıcınızın başlattığı bir ödemenin gerektirdiğini iletir.

Sitenizi makineyle çevirmesini Cliux'tan istediğinizde, çevirmeyi seçtiğiniz metinler ve dil, Avrupa Birliği'ndeki Google Cloud Translation hizmetine gönderilir ve çeviri geri döner; hesabınız ya da ziyaretçileriniz hakkında hiçbir şey gönderilmez. Google bunları Cliux adına veri işleyen olarak işler ve modellerini eğitmek için kullanmaz. Çevirdiğiniz bir metin bir kişiyi tanımlıyorsa, Türkiye'deki biri için onun Avrupa Birliği'ne gönderilmesi KVKK md. 9 anlamında kişisel verilerin yurt dışına aktarılmasıdır. Bu aktarımlar için Kişisel Verileri Koruma Kurulunun ilan ettiği standart sözleşmelerin her yurt dışı sağlayıcıyla imzalanması ve Kuruma bildirilmesi, şirketin tescilinden sonra tamamlanacaktır; tamamlandığında bu metin güncellenir.

Editörde Yapay zekâ ile yaz düğmesini kullandığınızda, onun için yazdıklarınız (metnin konusu ya da yeniden yazdırmak istediğiniz metin ve eklediğiniz talimat), sitenizin adı ve açıklaması ile sayfanın adı, Google Cloud'un Vertex AI hizmetinde, Avrupa Birliği'nde çalışan Google'ın Gemini modeline gönderilir; model, aralarından seçim yapacağınız sürümleri yazar. Hesabınız ya da ziyaretçileriniz hakkında hiçbir şey gönderilmez. Google bunları Cliux adına veri işleyen olarak işler ve modellerini eğitmek için kullanmaz. Yazdıklarınız bir kişiyi tanımlıyorsa, Türkiye'deki biri için bunların Avrupa Birliği'ne gönderilmesi KVKK md. 9 anlamında kişisel verilerin yurt dışına aktarılmasıdır. Bu aktarımlar için Kişisel Verileri Koruma Kurulunun ilan ettiği standart sözleşmelerin her yurt dışı sağlayıcıyla imzalanması ve Kuruma bildirilmesi, şirketin tescilinden sonra tamamlanacaktır; tamamlandığında bu metin güncellenir.

Bir alt veri işleyen eklediğimizde ya da değiştirdiğimizde bu tablo ve gizlilik politikasındaki tablo değişir; değişikliğin yürürlüğe girdiği gün, gizlilik politikasının tarihinde de görünür. O günden itibaren otuz gün içinde veri korumaya ilişkin makul bir gerekçeyle itiraz eder ve biz itirazınızı karşılayamazsak, değişiklikten etkilenen planlarınızı sona erdirebilirsiniz; bu planların kullanılmamış kısmının bedelini iade ederiz.

Platformun sunucusu yurt dışındadır: İsveç (Stockholm). Bu yüzden Türkiye'den gelen kişisel veriler yurt dışında işlenir; platforma ve yurt dışındaki sağlayıcılara yapılan her aktarım, KVKK md. 9 anlamında kişisel verilerin yurt dışına aktarılmasıdır. Bu aktarımlar için Kişisel Verileri Koruma Kurulunun ilan ettiği standart sözleşmelerin her yurt dışı sağlayıcıyla imzalanması ve Kuruma bildirilmesi, şirketin tescilinden sonra tamamlanacaktır; tamamlandığında bu metin güncellenir.

KVKK md. 9, kişisel verilerin yurt dışına aktarılmasını şu yollardan birine bağlar: aktarılan ülke için Kurulun verdiği bir yeterlilik kararı; Kanunda sayılan uygun güvencelerden biri, örneğin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilen standart sözleşme; ya da yalnızca arızi aktarımlar için Kanunda sayılan istisnalar. Ziyaretçilerinize ve diğer ilgili kişilere vereceğiniz aydınlatmada, verilerin yurt dışına aktarıldığını, kimlere ve hangi amaçla aktarıldığını belirtmeniz gerekir (KVKK md. 10).

Avrupa Birliği ya da Avrupa Ekonomik Alanı'ndan gelen veriler için AB Standart Sözleşme Hükümleri (ikinci modül, veri sorumlusundan veri işleyene) bu sözleşmenin parçasıdır: veri ihracatçısı siz, veri ithalatçısı Cliux'tur; bu hükümlerin istediği uygulanacak hukuk ve yetkili mahkeme, kurulu olduğunuz AB üye devletininkidir. Cliux, Avrupa Birliği'nin yeterlilik kararı bulunmayan Türkiye'den faaliyet gösterir. Bu veriler sağlayıcılarımıza aktarıldığında, sağlayıcıların kendi veri işleme sözleşmelerindeki aktarım hükümlerine dayanırız.

Panel, sitelerinizin bir kişi hakkında tuttuklarını gösterir: form gönderimleri, siparişler, randevular, üyeler ve sohbetler. Bir kişi KVKK md. 11 uyarınca verilerini ya da verilerinin silinmesini istediğinde ve panel bunu yapamadığında [email protected] adresine yazın; bunu sizin için otuz gün içinde yaparız. Başvuruyu KVKK md. 13'e göre otuz gün içinde sonuçlandırmanız gerektiğinden, böyle bir isteği bize, başvuru size ulaştığı gün iletmenizi öneririz.

Biri sitelerinizden birinin tuttuğu veriler hakkında doğrudan bize başvurursa, başvuruyu size iletiriz ve kendimiz yanıtlamayız. İhtiyaç duyduğunuzda, bir risk değerlendirmesinde ve Kurulla ya da başka bir makamla yazışmalarınızda, bildiklerimiz ölçüsünde size yardımcı oluruz.

Sitelerinizin tuttuğu kişisel veriler kaybolur, açıklanır ya da erişmemesi gereken birinin eline geçerse, bunu öğrendikten sonra gecikmeksizin size bildiririz: o an bildiklerimizi, bunun ilgili kişiler için ne anlama geldiğini ve ne yaptığımızı yazarız ve öğrendikçe bildirmeyi sürdürürüz.

İhlali Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirmek, veri sorumlusu olarak size düşer (KVKK md. 12/5). Kurul, kendisine bildirimin veri sorumlusunun ihlali öğrenmesinden itibaren en geç 72 saat içinde, ilgili kişilere bildirimin ise bu kişiler belirlendikten sonra makul olan en kısa sürede yapılmasını beklemektedir (Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı). Size gecikmeksizin bildirmemiz, bu süreye yetişebilmeniz içindir; bildirimi yapmanız için gerekenlerden elimizde olanları size veririz.

Bir siteyi ya da hesabınızı sildiğinizde, sitenin verileri 90 gün sonra, çöp kutusunda Kalıcı olarak sil seçeneğini seçtiğinizde ise hemen kalıcı olarak silinir. Yedekler için: Veritabanı her gece yedeklenir; son 14 gecelik kopya sunucuda tutulur, her birinin şifreli bir kopyası sunucu dışında en çok 90 gün saklanır ve yüklenen dosyalar haftada bir sunucu dışına kopyalanır. Bir silme, satırı ya da dosyayı tutan kopyaların süresi dolduğunda tamamlanır.

Bundan önce panelin dışa aktardıklarını kendiniz indirebilir, geri kalanının bir kopyasını [email protected] adresinden isteyebilirsiniz; kopyayı otuz gün içinde göndeririz. Bunun ardından yalnızca kanunun saklamamızı istediklerini, süreleri dolana kadar sitelerinizin e-postalarının teslim kayıtlarını (alıcı adresleri büyük ölçüde gizlenmiş olarak), Stripe'ın sitelerinize yapılan ödemeler için bize gönderdiği, alıcının adını, e-posta adresini ve fatura adresini taşıyabilen bildirimlerin tam içeriğini ve sitelerinize yüklenen dosyaların sunucu dışındaki haftalık kopyasını saklarız; bu son ikisini silen bir işimiz yoktur. Saklama sürelerini ve imha yöntemlerini Kişisel Veri Saklama ve İmha Politikası ayrıntısıyla anlatır.

Bu sözleşmeye uyulduğunu gösterebilmeniz için gereken bilgileri size verir ve bu konudaki yazılı sorularınızı yanıtlarız. Bu yeterli olmazsa ya da bir makam isterse, siz ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi, verilerinizi ilgilendiren konularda denetim yapabilirsiniz: otuz gün önceden bildirerek, çalışma saatleri içinde, masrafı size ait olmak üzere ve bir ihlal olmadıkça yılda en fazla bir kez. Bu hak, KVKK md. 12'nin veri sorumlusuna yüklediği güvenlik ve denetim yükümlülüklerini yerine getirebilmeniz içindir.

Bu sözleşmeden doğan sorumluluk, kullanım koşullarındaki sorumluluk hükümlerine tabidir. Bu sözleşme ile kullanım koşulları kişisel veriler konusunda birbirinden ayrılırsa bu sözleşme, AB Standart Sözleşme Hükümleri ise ikisinden de önce uygulanır.

Bu sözleşmeye Türkiye Cumhuriyeti hukuku uygulanır. Cliux henüz tescilli bir şirket olmadığından bir şirket merkezi ya da münhasır yetkili mahkeme gösterilmez; uyuşmazlıklarda genel yetki kuralları uygulanır. Tüketiciyseniz, 6502 sayılı Tüketicinin Korunması Hakkında Kanun'un size tanıdığı başvuru yolları bu sözleşmeyle kaldırılamaz: Ticaret Bakanlığının her yıl ilan ettiği parasal sınırın altında kalan uyuşmazlıklarda yerleşim yerinizdeki ya da tüketici işlemini yaptığınız yerdeki Tüketici Hakem Heyetine başvurabilirsiniz; bu sınırın üstündeki uyuşmazlıklarda, önce arabulucuya başvurduktan sonra (aynı Kanun md. 73/A), yerleşim yerinizdeki Tüketici Mahkemesinde dava açabilirsiniz. Türkiye dışında yerleşik bir tüketiciyseniz, yerleşim yerinizin hukukunun tüketiciye tanıdığı ve sözleşmeyle kaldırılamayan haklar da saklıdır.

Bu sözleşmedeki her konuda [email protected] adresine ya da iletişim formu üzerinden yazabilirsiniz. Bu sözleşme değiştiğinde sayfanın başındaki tarih de değişir.