Bu Veri İşleme Sözleşmesi (“DPA”), More.You hesap sahibi olarak sizin (“siz”, veri sorumlusu) ile LoadFocus LTD, 4 Grayscroft Road, Londra SW16 5UP, Birleşik Krallık, şirket numarası 09554514 (“biz”, veri işleyen) arasındadır. Hizmet aracılığıyla sizin adınıza kişisel veri işlediğimizde geçerlidir. UK GDPR ve AB GDPR'nin 28. maddesini karşılar. Koşulları kabul ettiğinizde bunu da kabul etmiş olursunuz. Hiçbir şey imzalamanız gerekmez.
1. Tanımlar
“Veri koruma hukuku”; UK GDPR, Birleşik Krallık Veri Koruma Yasası 2018, AB GDPR ve işlemeye uygulanan diğer tüm veri koruma hukukunu ifade eder. “Kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi” ve “kişisel veri ihlali” bu hukukta tanımlanan anlamlara sahiptir. “Hizmet”, Koşullar'da tanımlanan anlama sahiptir.
2. Bu DPA neleri kapsar
| Konu | Ayrıntılar |
|---|---|
| Amaç | Sayfanızı çalıştırmak ve size istatistik göstermek, kitle kurallarınızı uygulamak, sayfanız üzerinden verilen siparişleri kaydetmek ve Meta'nın Conversions API'sini bağladığınızda Meta'ya ziyaret olayları göndermek |
| İlgili kişiler | Sayfalarınızın ziyaretçileri ve sayfalarınız üzerinden sizden satın alan ya da size bahşiş bırakan kişiler |
| Kişisel veriler | IP adresi ve ondan çıkarılan ülke; cihaz, tarayıcı ve uygulama; ziyaretçiyi getiren sayfa ve gönderi; tıklamalar; alıcılar için ise e-posta adresi, satın aldıkları ürün ve tutar |
| Özel nitelikli kişisel veri | Yok. Sayfanız üzerinden ziyaretçilerden sağlık, din veya benzeri veriler istemeyin |
| Süre | Hesabınız var olduğu sürece, ardından 9. bölümde belirtildiği gibi |
Bu DPA, kendi amaçlarımız için kullandığımız verileri kapsamaz. Hesap verileri, faturalandırma, dolandırıcılığın önlenmesi ve yasa gereği tuttuğumuz sipariş kayıtları bunlara örnektir. Bu verilerin veri sorumlusu biziz ve Gizlilik Politikası bunu açıklar.
3. Sorumluluklarınız
- Ziyaretçilerinizin verilerinin neden işleneceğine siz karar verirsiniz ve bunun için bir hukuki dayanağınız olduğundan emin olursunuz.
- Ziyaretçilerinize ve alıcılarınıza verilerini nasıl kullandığınızı bildirirsiniz, örneğin sayfanızdan link verilen kendi gizlilik bildiriminizde.
- Hukukun gerektirdiği yerlerde onay alırsınız, örneğin ziyaretçilerinizin bulunduğu yerin hukuku bunun için onay istiyorsa, Meta'nın Conversions API'sini bağlamadan önce.
- Bize yalnızca hukuka uygun talimatlar verirsiniz. Hizmetteki ayarlarınız sizin talimatlarınızdır.
4. Sorumluluklarımız
- Hukuk aksini gerektirmedikçe kişisel verileri yalnızca belgelenmiş talimatlarınız doğrultusunda işleriz. Bu talimatlar Koşullar, bu DPA ve ayarlarınızdır. Bir talimatın hukuka aykırı olduğunu düşünürsek size bildiririz.
- LoadFocus LTD'de verilere erişebilen herkes, bunları gizli tutmakla yükümlüdür.
- Verileri 5. bölümdeki önlemlerle koruruz.
- Alt işleyenleri yalnızca 6. bölümde belirtildiği şekilde kullanırız.
- İlgili kişilerin taleplerini yanıtlamanıza (7. bölüm) ve güvenlik, ihlal bildirimleri ve etki değerlendirmeleri konusundaki yükümlülüklerinize, işlemenin niteliğinin elverdiği ölçüde yardımcı oluruz.
- Hizmet sona erdiğinde verileri sileriz veya size iade ederiz (9. bölüm).
- 28. maddeye uyduğumuzu göstermek için ihtiyaç duyduğunuz bilgileri size veririz ve denetimlere 10. bölümde belirtildiği şekilde izin veririz.
5. Güvenlik önlemleri
- Aktarım sırasında şifreleme: sayfalar, uygulama ve API'lerimiz HTTPS üzerinden sunulur.
- Erişim: veritabanı ve oturum deposu yalnızca kendi sunucularımızdan gelen bağlantıları kabul eder ve parola gerektirir. Canlı sistemlere yalnızca işi gereği ihtiyacı olan çalışanlar erişebilir.
- Gizli bilgiler: anahtarlar ve parolalar AWS Systems Manager Parameter Store'da tutulur, kodumuzda asla yer almaz.
- Hesaplar: Google ile giriş; saklanan her parola bcrypt ile özetlenir; oturumlar güvenli (Secure) ve HttpOnly çerezler kullanır.
- Kötüye kullanım koruması: girişte ve kayıtta istek sınırları ile isteklerin kendi sitemizden geldiğinin kontrolü.
- Veri minimizasyonu: alıcıların IP adresleri yalnızca kısaltılmış, tek yönlü bir özet olarak saklanır; başarısız ödemelerin kart tanımlayıcıları en fazla 48 saat tutulur.
Hizmet değiştiğinde bu önlemleri gözden geçiririz. Bir güvenlik açığını nasıl bildireceğinizi Güvenlik sayfası açıklar.
6. Alt işleyenler
Bu DPA'nın kapsadığı veriler için şu alt işleyenleri kullanmamıza izin verirsiniz:
| Alt işleyen | Amaç | Konum |
|---|---|---|
| Amazon Web Services, Inc. | Barındırma, veritabanı ve depolama | ABD (us-east-1) |
| Stripe Payments Europe, Ltd. ve Stripe, Inc. | Sayfanız üzerinden yapılan ödemeler | İrlanda ve ABD |
| Cloudflare, Inc. | Ödeme sayfasında Turnstile bot kontrolleri | Amerika Birleşik Devletleri |
Her alt işleyen, veri koruma hükümleri en az bu DPA kadar koruyucu olan yazılı bir sözleşmeyle bağlıdır. Onlardan sorumlu olmaya devam ederiz.
Yeni bir alt işleyeni, çalışmaya başlamasından en az 30 gün önce e-posta ile bildiririz. Bu süre içinde gerekçelerinizle birlikte e-posta ile itiraz edebilirsiniz. İtirazınızı gideremezsek hesabınızı kapatabilirsiniz ve kullanmadığınız süre için önceden ödediğiniz ücretleri iade ederiz.
7. İlgili kişilerin talepleri
Bir ziyaretçi veya alıcı verilerine erişmemizi, düzeltmemizi ya da silmemizi isterse, hukuk bizden aksini istemedikçe talebi gecikmeden size iletiriz ve kendimiz yanıtlamayız. hello@more.you adresine e-posta gönderebilirsiniz; o kişinin verilerini bulmanıza, dışa aktarmanıza veya silmenize yardımcı oluruz.
8. Kişisel veri ihlalleri
Bu DPA kapsamındaki verileri etkileyen bir kişisel veri ihlalini öğrenirsek, bunu gereksiz gecikme olmadan ve her durumda 48 saat içinde size bildiririz. Ne olduğunu, hangi verileri ve kaç kişiyi etkilediğini, bu konuda ne yaptığımızı ve kiminle iletişime geçebileceğinizi söyleriz. Öğrendikçe daha fazla ayrıntı göndeririz.
9. Sözleşme sonunda silme
Hesabınızı kapattığınızda sayfalarınız yayından kalkar ve verileri sizin için işlemeyi bırakırız. Hukuk saklamamızı gerektirmedikçe verileri 90 gün içinde sileriz. Hesabınızı kapatmadan önce hello@more.you adresine yazarak istatistiklerinizin ve siparişlerinizin bir kopyasını isteyebilirsiniz.
10. Bilgi ve denetimler
Talep üzerine, verileri nasıl koruduğumuza dair makul yazılı soruları yanıtlarız. Bu yanıtlar bu DPA'ya uyduğumuzu göstermeye yetmezse ya da bir düzenleyici kurum isterse, bizi yılda bir kez, 30 gün önceden bildirimle, mesai saatlerinde, gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetleyebilirsiniz. Denetimin masrafını siz karşılarsınız.
11. Uluslararası aktarımlar
Birleşik Krallık'tayız ve sunucularımız Amerika Birleşik Devletleri'nde. Birleşik Krallık'tan veya Avrupa Ekonomik Alanı'ndan gelen kişisel veriler yeterlilik kararı olmayan bir ülkeye gittiğinde, hukukun tanıdığı bir aktarım mekanizması kullanırız: alıcı sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık Uzantısı ya da Birleşik Krallık Eki ile birlikte AB standart sözleşme hükümleri.
Avrupa Ekonomik Alanı'nda bulunuyorsanız ve sizden kişisel veri alıyorsak, AB standart sözleşme hükümleri (modül 2, veri sorumlusundan veri işleyene, ya da kendiniz veri işleyen olduğunuzda modül 3) sizinle aramızda geçerlidir ve bu DPA'nın bir parçasıdır. 7. madde uygulanmaz, 9. maddenin 2. seçeneği 6. bölümdeki bildirim süresiyle uygulanır, 11. maddedeki isteğe bağlı ifade uygulanmaz ve 17. ile 18. maddeler İrlanda hukukunu ve mahkemelerini seçer. Ekler, bu DPA'nın 2, 5 ve 6. bölümleridir.
12. Sorumluluk, belgelerin sırası ve uygulanacak hukuk
Koşullar'daki sorumluluk sınırları, veri koruma hukukunun izin vermediği durumlar dışında bu DPA için de geçerlidir. Bu DPA ile Koşullar kişisel veriler konusunda çelişirse bu DPA geçerlidir. Standart sözleşme hükümleri ile bu DPA çelişirse hükümler geçerlidir.
Bu DPA, 11. bölümde veya veri koruma hukukunda aksi belirtilmedikçe Koşullar ile aynı hukuka tabidir. Hukuka veya Hizmet'teki değişikliklere uymak için güncelleyebiliriz. Korumanızı azaltan bir değişiklikten önce size e-posta ile haber veririz.
13. İletişim
Bu DPA hakkında sorular: hello@more.you.
