Veri İşleme Eki

Bu Veri İşleme Eki (“DPA”), BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “biz”) ile LumaKol Hizmet Şartlarını kabul etmiş olan müşteri (“Müşteri”, “siz”) arasında yapılmıştır.

Bu DPA her Müşteri için Hizmet Şartlarının parçasını oluşturur ve LumaKol Müşteri adına, Hindistan'ın 2023 tarihli Digital Personal Data Protection Act'i, GDPR, UK GDPR veya başka herhangi bir veri koruma yasası kapsamında kişisel veri işlediğinde uygulanır. Otomatik olarak uygulanır; imzalamanız gerekmez.

Bir Müşteri kayıtları için karşı imzalı bir kopya isterse [email protected] adresinden talep edebilir. Bu DPA ile Hizmet Şartları kişisel verilerin korunması konusunda çelişirse bu DPA geçerli olur.

• “Veri Koruma Mevzuatı”, Hindistan'ın 2023 tarihli Digital Personal Data Protection Act'i ve buna dayanılarak çıkarılan kurallar (“DPDP Yasası”), AB Genel Veri Koruma Tüzüğü 2016/679 (GDPR), UK GDPR ve Birleşik Krallık 2018 tarihli Data Protection Act ile değiştirilmiş haliyle California Consumer Privacy Act (“CCPA”) dahil olmak üzere işlemeye uygulanan her veri koruma yasası anlamına gelir.
• “Müşteri Kişisel Verileri”, LumaKol'un Hizmeti sağlamak için Müşteri adına işlediği kişisel veriler anlamına gelir.
• “Veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “kişisel veri ihlali” ve “işleme” terimleri Veri Koruma Mevzuatındaki anlamlarını taşır. DPDP Yasasının uygulandığı durumlarda “veri sorumlusu” Data Fiduciary, “veri işleyen” Data Processor ve “ilgili kişi” Data Principal anlamına gelir.
• “Alt işleyici”, LumaKol'un Müşteri Kişisel Verilerini işlemek için görevlendirdiği üçüncü taraf anlamına gelir.
• “SCC'ler”, Avrupa Komisyonu'nun (AB) 2021/914 sayılı Uygulama Kararı ile onaylanan standart sözleşme maddeleri anlamına gelir; “Birleşik Krallık Eki” ise Birleşik Krallık Information Commissioner'ı tarafından yayımlanan International Data Transfer Addendum anlamına gelir.

Büyük harfle yazılan diğer terimler Hizmet Şartlarındaki anlamlarını taşır.

Müşteri Kişisel Verilerinin sorumlusu Müşteri, veri işleyeni ise LumaKol'dur. Müşterinin kendisi başka bir veri sorumlusu adına hareket eden bir veri işleyen olduğunda, LumaKol onun alt işleyicisidir ve ilgili talimatları iletmekten Müşteri sorumludur.

LumaKol, kullanıcı adları, giriş bilgileri ve faturalama kayıtları gibi Müşterinin hesabını yürütmek için ihtiyaç duyduğu kişisel veriler bakımından ayrı bir veri sorumlusudur. Bu verileri bu DPA değil, Gizlilik Politikası düzenler.

CCPA'nın uygulandığı durumlarda Müşteri bir “business”, LumaKol ise onun “service provider”ıdır. LumaKol Müşteri Kişisel Verilerini satmaz veya paylaşmaz; bunları Hizmeti sağlamak dışında herhangi bir amaçla veya Müşteriyle doğrudan ticari ilişkisi dışında saklamaz, kullanmaz veya açıklamaz ve CCPA'nın izin verdiği durumlar dışında başka kaynaklardan gelen kişisel verilerle birleştirmez. LumaKol bu yükümlülükleri artık yerine getiremeyecekse Müşteriye bildirir.

Müşteri; işleme için hukuki bir dayanağa (DPDP Yasası kapsamında onay veya meşru bir kullanım) sahip olmaktan, Müşteri Kişisel Verilerinin doğruluğundan, iletişim kurduğu kişilere yasanın gerektirdiği her türlü bilgilendirmeyi yapmaktan ve pazarlama aramaları ile arama kaydına ilişkin yasalara kendi uyumundan sorumludur.

• Konu: Müşterinin ekibinin adayları yönettiği, kendi cep telefonlarından arama yaptığı ve her aramanın sonucunu kaydettiği bir arama CRM'i olan LumaKol'un sağlanması.
• Süre: Müşteri Hizmeti kullandığı sürece ve sonrasında veriler “Silme ve iade” kapsamında silinene kadar.
• Nitelik: toplama, depolama, düzenleme, geri alma, görüntüleme, Müşterinin kullanıcılarına ve cihazlarına iletme ve silme.
• Amaç: Hizmeti Müşteri için sağlamak, güvence altına almak ve desteklemek; başka hiçbir amaç için değil.

LumaKol Müşteri Kişisel Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler. Hizmet Şartları, bu DPA ve Müşterinin Hizmeti kullanımı ve yapılandırması bu talimatlardır. LumaKol, bir talimatın Veri Koruma Mevzuatını ihlal ettiğini düşünürse, yasa bunu yasaklamadıkça Müşteriye bildirir.

Yasa LumaKol'un Müşteri Kişisel Verilerini başka bir şekilde işlemesini gerektirirse, yasa bunu yasaklamadıkça LumaKol bunu yapmadan önce Müşteriye bildirir.

LumaKol, Müşteri Kişisel Verilerini işlemeye yetkilendirdiği herkesin gizlilik yükümlülüğüyle bağlı olmasını sağlar. Çalışanların Müşteri Kişisel Verilerine erişimi, Hizmeti işletmek ve desteklemek için ihtiyaç duydukları ölçüyle sınırlıdır ve kayıt altına alınır.

LumaKol, riske uygun teknik ve idari önlemleri sürdürür; bunlar arasında şunlar yer alır:

• verilerin aktarımda şifrelenmesi (TLS), veritabanının depolamada şifrelenmesi ve belirteçler ile bağlı posta kutusu parolaları gibi gizli bilgiler için ikinci bir AES-256 şifreleme katmanı;
• her müşterinin verilerinin çalışma alanına göre ayrılması, her sorgunun müşterinin çalışma alanına göre filtrelenmesi;
• Argon2id ile özetlenen parolalar ve yalnızca özet olarak saklanan oturum belirteçleri;
• girişte hız sınırlama ve kilitleme;
• telefon numaralarını gizleme, dışa aktarmaları sınırlama ve ses kayıtlarını kimlerin dinleyebileceğini kısıtlama seçenekleriyle ürün içinde rol tabanlı erişim;
• hassas işlemlerin yalnızca eklemeli denetim kayıtları;
• LumaKol çalışanları için çok faktörlü kimlik doğrulama ve canlı ortam verilerine erişimin kayıt altına alınması;
• bir arızadan sonra kurtarma için yaklaşık dört hafta içinde döngüden çıkan yedekler.

LumaKol, genel koruma düzeyi düşmediği sürece bu önlemleri güncelleyebilir.

Müşteri, LumaKol'u aşağıdaki tabloda açıklanan alt işleyicileri görevlendirmeye yetkilendirir. LumaKol her alt işleyiciyi yazılı bir sözleşmeyle bu DPA'dan daha az koruyucu olmayan veri koruma yükümlülüklerine bağlar ve her alt işleyicinin ifasından Müşteriye karşı sorumlu kalır. Mevcut alt işleyicilerin adları, talep üzerine [email protected] adresinden her Müşteriye verilir ve bu DPA'nın parçasını oluşturur.

Yeni bir alt işleyici Müşteri Kişisel Verilerini işlemeye başlamadan önce LumaKol, çalışma alanı sahibine en az 30 gün önceden e-postayla, adını belirterek bildirimde bulunur. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı çözemezse Müşteri, Hizmetin etkilenen kısmını kullanmayı bırakabilir veya aboneliği sona erdirebilir.

iPhone uygulaması yayınlandığında anlık bildirimlerini iPhone platformunun kendi hizmeti iletecektir; bu gerçekleşmeden önce, yukarıda açıklanan bildirimle birlikte onu bu listeye ekleyeceğiz. Google Drive, Sheets ve Calendar, Microsoft Outlook takvimi ve Facebook ile Instagram aday reklamları henüz bağlanamaz.

Arama ses kayıtları LumaKol'un sunucularında saklanır. Sesli notlar ve saha ziyareti fotoğrafları LumaKol'un sunucularında değil, Google Drive'ı bağlayan ekip üyesinin Google Drive'ında saklanacaktır.

Bir müşterinin kendi adaylarına gönderdiği e-postalar LumaKol'un e-posta sağlayıcısı üzerinden değil, müşterinin kendi posta kutusu (Ayarlar → E-posta) üzerinden gider. Müşterinin kendi web sitesi, aday kaynakları, API istemcileri ve webhook uç noktaları gibi kendisinin bağladığı sistemler verileri müşterinin talimatlarıyla alır ve LumaKol'un alt işleyicileri değildir.

Hizmet, Müşterinin adaylarının verilerini aramasına, düzeltmesine, dışa aktarmasına ve silmesine ve bir adaya yapılacak sonraki aramaları engellemesine olanak tanır; böylece Müşteri ilgili kişi taleplerinin çoğunu kendisi yanıtlayabilir. Bunu yapamadığı durumlarda LumaKol, işlemenin niteliğini dikkate alarak talep üzerine yardımcı olur.

LumaKol, Müşteri Kişisel Verileriyle ilgili olarak doğrudan bir ilgili kişiden talep alırsa, bunu gecikmeksizin Müşteriye iletir ve Müşterinin talimatları olmadıkça yanıtlamaz.

LumaKol ayrıca, LumaKol'un işlemesiyle ilgili oldukları ölçüde, Müşterinin veri koruma etki değerlendirmelerine ve denetim makamlarıyla yapacağı istişarelere makul ölçüde yardım eder.

LumaKol, Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra, Müşterinin düzenleyicilere ve etkilenen kişilere bildirimde bulunma yükümlülüklerini (örneğin GDPR ve DPDP Yasası kuralları kapsamında 72 saat içinde) yerine getirebilmesi için Müşteriyi gecikmeksizin ve her halükârda 48 saat içinde bilgilendirir. Bildirim, o an bilindiği ölçüde ihlalin niteliğini, etkilenen kişilerin ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları ve alınan veya önerilen önlemleri açıklar ve daha fazla bilgi için bir irtibat kişisi belirtir.

LumaKol daha fazla bilgi edindikçe Müşteriyi bilgilendirir ve ihlali sınırlamak ve etkilerini azaltmak için makul adımları atar. Bir ihlalin bildirilmesi kusur kabulü anlamına gelmez.

Abonelik süresince Müşteri adaylarını CSV'ye aktarabilir ve verilerini genel API üzerinden okuyabilir. Müşteri çalışma alanını kapattığında veya verileri bir iptal ya da ödeme yapılmaması nedeniyle dondurma sonrasında Ödeme koşullarındaki saklama süresinin sonuna ulaştığında, LumaKol Müşteri Kişisel Verilerini Hizmetten siler.

Yedeklerdeki kopyalar döngüsel bir takvime göre sona erer ve sona erdiklerinde silinir. LumaKol verileri yalnızca yasanın gerektirdiği durumlarda ve yalnızca o verileri, bu DPA kapsamında korunarak, yasanın gerektirdiği süre boyunca saklayabilir.

LumaKol, makul bir talep üzerine, bu DPA ve GDPR'nin 28. maddesi kapsamındaki yükümlülüklerini yerine getirdiğini göstermek için gereken bilgileri (örneğin güvenlik anketlerine yazılı yanıtlar) sağlar.

Bu bilgiler yeterli olmadığında Müşteri, LumaKol'un uyumunu kendisi veya gizlilikle bağlı bağımsız bir denetçi aracılığıyla; en az 30 gün önceden yazılı bildirimle, mesai saatlerinde, bir denetim makamı gerektirmedikçe veya bir kişisel veri ihlali sonrası olmadıkça yılda en fazla bir kez ve masrafları Müşteriye ait olmak üzere denetleyebilir. Taraflar, denetimin Hizmeti aksatmaması veya diğer müşterilerin verilerini açığa çıkarmaması için kapsamı önceden kararlaştırır.

LumaKol Müşteri Kişisel Verilerini Hindistan'da, Hizmetin barındırıldığı Singapur ve Japonya'da ve alt işleyicilerinin faaliyet gösterdiği ülkelerde işler. Bu durum, kişisel verilerin AEA'dan veya Birleşik Krallık'tan yeterlilik kararı veya düzenlemesi bulunmayan bir ülkeye aktarılmasını içerdiğinde taraflar şu konularda mutabıktır:

• AEA verileri için SCC'ler uygulanır ve atıf yoluyla bu DPA'ya dahil edilir: Müşterinin veri sorumlusu olduğu durumlarda Modül İki (veri sorumlusundan veri işleyene), Müşterinin veri işleyen olduğu durumlarda Modül Üç (veri işleyenden veri işleyene); isteğe bağlı katılım maddesi, Madde 9'da seçenek 2 (genel yetkilendirme) ve Madde 17 ile 18'de İrlanda hukuku ve mahkemeleri;
• Birleşik Krallık verileri için Birleşik Krallık Eki uygulanır ve tabloları bu DPA'daki bilgilerle doldurulmuş olarak atıf yoluyla dahil edilir;
• SCC'lerin eklerinde istenen bilgiler, yukarıdaki “Taraflar”, “Konu, süre, nitelik ve amaç”, “İlgili kişiler ve kişisel veriler”, “Güvenlik önlemleri” ve “Alt işleyici listesi” bölümlerindeki bilgilerdir.

DPDP Yasasının uygulandığı durumlarda LumaKol, Müşteri Kişisel Verilerini Hindistan Hükümetinin kısıtladığı bir ülke veya bölgeye aktarmaz.

SCC'ler veya Birleşik Krallık Eki bu DPA ile çelişirse onlar geçerli olur. LumaKol, alt işleyicilerinden sonraki aktarımları uygun güvencelerle korumalarını ister.

Her tarafın bu DPA kapsamındaki sorumluluğu, Veri Koruma Mevzuatının veya SCC'lerin sorumluluğun sınırlandırılmasına izin vermediği durumlar dışında, Hizmet Şartlarındaki sınırlamalara tabidir.

Bu DPA, LumaKol Müşteri Kişisel Verilerini işlediği sürece yürürlükte kalır. Gizlilik ve silme gibi nitelikleri gereği geçerliliğini sürdürmesi gereken yükümlülükler, DPA sona erdikten sonra da geçerli kalır. LumaKol bu DPA'yı yasadaki veya Hizmetteki değişiklikleri yansıtacak şekilde güncelleyebilir; Müşteri Kişisel Verilerine sağlanan korumayı azaltmaz ve yukarıdaki “Son güncelleme” tarihi geçerli sürümü gösterir.

Bu DPA ile ilgili sorular, bu DPA kapsamındaki bildirimler ve karşı imzalı kopya talepleri [email protected] adresine gönderilir.

İmzalı kopya talep edin: kuruluşunuzun yasal adı ve adresiyle [email protected] adresine yazın, bu DPA'yı karşı imzalı olarak size geri gönderelim.