Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Şartlar ve Koşullar uyarınca MIRAKL SRL ile müşteri arasında kurulan sözleşmenin bir parçasıdır. Sözleşme, kişisel verileri müşteri adına hangi koşullarda işlediğimizi, (AB) 2016/679 sayılı Tüzük'ün ("GDPR") 28. maddesine uygun olarak belirler.

• Sözleşme, tüzel kişi ve profesyonel müşterilere ve ayrıca barındırılan içeriği üçüncü kişilere ait kişisel veriler içeren her müşteriye (örneğin bir sitenin ziyaretçilerinin, bir çevrimiçi mağazanın müşterilerinin, bir bültenin abonelerinin verileri veya e-posta kutularının içeriği) uygulanır.
• Bu veriler bakımından müşteri veri sorumlusu, MIRAKL SRL ise veri işleyendir.
• Sözleşme, kendi adımıza veri sorumlusu olarak işlediğimiz verilere (müşteri hesabı, faturalama, ödemeler, kayıt kuruluşlarına iletilen alan adı sahiplerinin verileri, güvenlik kayıtları) uygulanmaz. Bunlar için Gizlilik Politikası geçerlidir.
• Faaliyetiniz tamamen kişisel veya ev içi nitelikteyse, sizin yaptığınız işlemeye GDPR uygulanmayabilir; bu durumda dahi bu Sözleşmedeki önlemleri sözleşmesel olarak uygularız.
• Sipariş sırasında Şartlar ve Koşullar'ın kabul edilmesi, bu Sözleşmenin kabulünü de kapsar. Tüzel kişi müşteriler bu Sözleşmeyi sipariş sırasında açıkça kabul eder.

• Kişisel verileri, Birlik veya Romanya mevzuatı bizi bir işleme yapmaya zorlamadıkça, üçüncü ülkelere aktarımlar dâhil olmak üzere yalnızca müşterinin belgelenmiş talimatlarına dayanarak işleriz. Bu durumda, yasa önemli kamu yararı gerekçesiyle bilgilendirmeyi yasaklamadıkça, müşteriyi işlemeden önce bu gereklilik hakkında bilgilendiririz.
• Müşterinin talimatları sözleşmede, bu Sözleşmede, müşterinin yaptığı hizmet yapılandırmasında ve müşteri alanı veya e-posta aracılığıyla iletilen taleplerde yer alır.
• Görüşümüze göre bir talimat GDPR'yi veya veri korumaya ilişkin diğer hükümleri ihlal ediyorsa müşteriyi derhal bilgilendiririz.
• Müşterinin verilerini kendi amaçlarımız için kullanmayız, satmayız ve bunlara yalnızca hizmetin sunulması, teknik destek, güvenlik veya yasaya uyum (örneğin bir makamın emri veya yasa dışı içeriğe ilişkin bir bildirim durumunda) için gerekli olduğu ölçüde erişiriz.

Kişisel verileri işlemeye yetkili kişilerin (çalışanlar, iş birliği yapılan kişiler) gizliliğe uymayı taahhüt ettiklerini veya yasal bir gizlilik yükümlülüğü altında olduklarını ve erişimlerinin gerekli olanla sınırlı olduğunu güvence altına alırız.

GDPR'nin 32. maddesi uyarınca, teknolojinin mevcut durumunu, maliyetleri ve riskleri dikkate alarak uygun teknik ve idari önlemler alırız. Genel olarak bunlar şunları içerir:

• sunucuların, fiziksel güvenliği ve erişim kontrolü veri merkezi sağlayıcısı tarafından sağlanan, Avrupa Birliği'ndeki bir veri merkezinde barındırılması;
• yönetici erişiminin, güvenli kimlik doğrulama ile yetkili kişilerle sınırlandırılması;
• müşteri hesaplarının sunucularda birbirinden ayrılması;
• hizmetin elverdiği yerlerde aktarım sırasındaki trafiğin şifrelenmesi (örneğin TLS/SSL sertifikaları);
• ağ düzeyinde koruma (güvenlik duvarı, filtreleme ve DDoS saldırılarına karşı koruma);
• tarafımızca yönetilen altyapı için güvenlik güncellemelerinin zamanında uygulanması;
• güvenlik amaçlı izleme ve kayıt tutma;
• olay yönetimi prosedürleri.

Güvenlik sertifikalarımız yoktur ve belirli bir standarda uygunluk iddiasında bulunmuyoruz. Müşteri tarafından kurulan ve yönetilen uygulamaların, şifrelerin ve içeriğin (örneğin WordPress, modüller, betikler) güvenliği, kendi yedeklerini saklamak gibi müşterinin sorumluluğundadır (bkz. Şartlar ve Koşullar).

1. Genel yetkilendirme. Müşteri, bu Sözleşmeyi kabul ederek, hizmetlerin sunulması için gerekli işleme faaliyetlerinde başka veri işleyenleri ("alt veri işleyenler") görevlendirmemiz için GDPR'nin 28. maddesinin (2). fıkrası anlamında bize genel bir yazılı yetki verir; örneğin: veri merkezleri ve sunucu altyapısı, ağ, DNS ve saldırılara karşı koruma, yedeklerin depolanması, e-postaların iletilmesi ve uzman teknik destek.
2. Alt Veri İşleyenler Listesi. Her alt veri işleyenin faaliyetini, işleme yerini ve aktarımlara uygulanan güvenceleri içeren güncel liste, Alt Veri İşleyenler Listesi sayfasında yayımlanır. Liste bilgilendirme amaçlıdır ve bu Sözleşmenin hükümlerinden biri değildir; dolayısıyla bu bölüme uygun olarak yapılan güncellenmesi Sözleşmede bir değişiklik teşkil etmez.
3. Önceden bilgilendirme. Müşterinin verilerine erişimi olan bir alt veri işleyeni ekleme veya değiştirme niyetimizi, değişiklik hüküm doğurmadan en az 14 gün önce, müşteri hesabındaki adrese e-posta göndererek veya müşteri hesabında bir mesajla müşteriye bildirir ve listeyi aynı anda güncelleriz.
4. Acil değişiklikler. Hizmetin sürekliliğini veya güvenliğini sağlamak için bir alt veri işleyenin acilen değiştirilmesi gerekiyorsa (örneğin faaliyetini sona erdirmesi, bir güvenlik olayı veya yükümlülüklerini ihlal etmesi), müşteriyi gecikmeksizin bilgilendirmek kaydıyla değişikliği yukarıdaki süre dolmadan yapabiliriz. Aşağıdaki itiraz hakkı bu durumda da uygulanır; süre, bilgilendirme tarihinden itibaren işler.
5. İtiraz hakkı. Müşteri, bilgilendirmeden itibaren 14 gün içinde, [email protected] adresine veri korumaya ilişkin gerekçeler içeren bir e-posta göndererek bir değişikliğe itiraz edebilir. İtirazı iyi niyetle inceler ve makul bir çözüm ararız (örneğin müşterinin hizmeti için bir alternatif). Bir çözüm bulamazsak müşteri, değişiklikten etkilenen hizmetleri, ödenen dönemin kullanılmayan kısmının orantılı olarak iadesiyle, cezai şart ödemeksizin sonlandırabilir. Süresi içinde itiraz edilmemesi, değişikliğin kabulü anlamına gelir.
6. Alt veri işleyenlerin yükümlülükleri. Her alt veri işleyene, bir sözleşme veya başka bir hukuki işlemle, bu Sözleşmedekilerle aynı veri koruma yükümlülüklerini, özellikle GDPR'nin 28. maddesinin (4). fıkrası uyarınca teknik ve idari önlemlere ilişkin yeterli güvenceleri yükleriz.
7. Sorumluluk. Her alt veri işleyenin yükümlülüklerini yerine getirmesinden müşteriye karşı tamamen sorumlu olmaya devam ederiz.
8. Kimler alt veri işleyen değildir. Ödeme hizmeti sağlayıcısı, alan adı kayıt kuruluşları (registry), kayıt şirketleri (registrar) ve kamu makamları verileri kendi kurallarına göre bağımsız veri sorumluları olarak işler ve müşterinin barındırdığı içeriğe erişimleri yoktur. Bunları yukarıdaki sayfada yalnızca şeffaflık amacıyla belirtiyoruz.

Barındırılan veriler Avrupa Birliği'nde depolanır. Bir alt veri işleyen müşterinin verilerini Avrupa Ekonomik Alanı dışında işlerse (örneğin küresel bir trafik dağıtım ve koruma ağı kapsamında), aktarım yalnızca GDPR'nin V. bölümünde öngörülen güvencelerden biriyle yapılır: Avrupa Komisyonu'nun bir yeterlilik kararı (sertifikalı kuruluşlar için AB-ABD Veri Gizliliği Çerçevesi – EU-US Data Privacy Framework dâhil), Avrupa Komisyonu tarafından onaylanmış standart sözleşme maddeleri veya diğer uygun güvenceler. Her alt veri işleyen için geçerli güvence Alt Veri İşleyenler Listesi'nde belirtilmiştir.

İşlemenin niteliğini dikkate alarak, müşterinin ilgili kişilerin taleplerine (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) yanıt verme yükümlülüğünü yerine getirmesinde, mümkün olduğu ölçüde uygun teknik ve idari önlemlerle müşteriye destek oluruz. Müşteri, içeriğine tam erişimi olduğundan bu taleplere genellikle doğrudan yanıt verebilir. Müşterinin verilerine ilişkin bir talebi doğrudan bir ilgili kişiden alırsak, talebi gecikmeksizin müşteriye yönlendiririz ve müşterinin onayı olmadan veya yasa bizi zorunlu kılmadıkça talebin esasına yanıt vermeyiz.

• Müşterinin verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra müşteriyi gereksiz gecikme olmaksızın bilgilendiririz.
• Bildirimi, müşterinin veri sorumlusu olarak GDPR'nin 33. maddesi uyarınca denetim makamına bildirimde bulunması gereken 72 saatlik süreye (veri sorumlusunun ihlali öğrendiği andan itibaren işleyen süre) uyabileceği kadar hızlı göndermeyi hedefleriz.
• Bildirim, mevcut olduğu ölçüde şunları içerir: ihlalin niteliği, ilgili kişilerin ve etkilenen kayıtların kategorileri ve yaklaşık sayısı, olası sonuçlar, alınan veya önerilen önlemler ve ek bilgi için iletişim bilgileri. Başlangıçta mevcut olmayan bilgiler, gereksiz gecikme olmaksızın daha sonra iletilir.
• Bildirim, müşteri hesabındaki e-posta adresine gönderilir.
• İhlalin etkilerini sınırlamak için makul önlemleri alır ve müşteriyle iş birliği yaparız.
• Müşterinin uygulamaları, şifreleri veya yapılandırmalarından kaynaklanan olaylar (örneğin ele geçirilmiş bir WordPress sitesi) tarafımızca gerçekleştirilmiş güvenlik ihlalleri değildir; yine de bunları tespit edersek müşteriyi bilgilendiririz.

İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak, GDPR'nin 32–36. maddelerinde öngörülen yükümlülüklerin (güvenlik, ihlallerin bildirilmesi, ilgili kişilerin bilgilendirilmesi, etki değerlendirmesi ve makama ön danışma) yerine getirilmesinde, özellikle hizmet ve güvenlik önlemleri hakkında ilgili bilgileri sağlayarak müşteriye destek oluruz. Bu bilgilerin sağlanmasını aşan destek, önceden bildirilen makul maliyetler üzerinden faturalandırılabilir.

• Sözleşme süresince müşteri, hizmetin araçlarını (örneğin kontrol paneli, FTP/SFTP, veritabanı dışa aktarımı) kullanarak içeriğini her zaman indirebilir.
• Hizmetin sona ermesi üzerine, müşterinin tercihine göre, Birlik veya Romanya hukuku bunların saklanmasını gerektirmedikçe, tüm kişisel verileri sileriz veya indirmesi için müşterinin kullanımına sunarız ve ardından mevcut kopyaları sileriz.
• Müşteri, verilerini sona ermeden önce veya Şartlar ve Koşullar'da öngörülen askıya alma ile silme arasındaki süre içinde indirmelidir. Bu sürenin ardından veriler aktif sunuculardan silinir.
• Yedekler (7 günlük, 4 haftalık, 3 aylık), olağan rotasyon döngüsü içinde, verilerin aktif sunuculardan silinmesinden itibaren en geç 90 gün içinde üzerine yazılır veya silinir.

• Talep üzerine, GDPR'nin 28. maddesinde öngörülen yükümlülüklere uyulduğunu göstermek için gerekli tüm bilgileri müşterinin kullanımına sunarız.
• Müşteri veya onun yetkilendirdiği bir denetçi tarafından yapılan, yerinde incelemeler dâhil denetimlere aşağıdaki koşullarla izin verir ve katkıda bulunuruz: en az 30 gün önceden bildirim; gizlilik yükümlülüğü altındaki bir denetçi; diğer müşterilerin güvenliğini veya verilerini etkilemeden yürütülmesi; bir kişisel veri ihlali gerçekleşmediği veya bir denetim makamı denetimi talep etmediği sürece yılda en fazla bir kez.
• Alt veri işleyenlerin veri merkezlerinde yerinde incelemeler, onların politikalarına uygun olarak yapılır; yerinde inceleme yerine alt veri işleyenlerin sağladığı raporları veya belgeleri sunabiliriz.
• Denetimin, tarafımızca bu Sözleşmenin önemli bir ihlalini tespit etmesi hâli dışında, denetim masrafları müşteriye aittir.

• Müşteri, veri sorumlusu olarak barındırdığı verilerin işlenmesinin hukuka uygunluğundan sorumludur: hukuki dayanak, ilgili kişilerin bilgilendirilmesi, taleplerine yanıt verilmesi ve gerektiğinde ihlallerin makama ve ilgili kişilere bildirilmesi.
• Müşteri, talimatlarının yasaya uygun olmasını ve verileri bize iletme hakkına sahip olmasını sağlar.
• Müşteri, kendisine ait güvenlik önlemlerini (şifreler, güncellemeler, yedekler, hassas verilerin uygulama düzeyinde şifrelenmesi) seçer ve yapılandırır.

• Sözleşme, ana sözleşme süresince ve sona ermesinden sonra müşterinin tüm verileri silinene kadar uygulanır.
• Tarafların sorumluluğu, yasanın izin verdiği sınırlar içinde, GDPR'nin 82. maddesinde ve Şartlar ve Koşullar'da öngörülen şekildedir.
• Veri korumaya ilişkin olarak bu Sözleşme ile Şartlar ve Koşullar arasında çelişki olması hâlinde bu Sözleşme esas alınır.
• Sözleşme Romanya hukukuna tabidir. Sözleşmeyi Şartlar ve Koşullar'ın değiştirilmesine ilişkin prosedüre uygun olarak güncelleyebiliriz; alt veri işleyenlere ilişkin değişiklikler bunun dışındadır ve onlar için 6. bölüm uygulanır.
• Bu Sözleşmeye ilişkin sorular [email protected] adresine gönderilir.
• Sözleşme 29 Ekim 2026 tarihinden itibaren yürürlüktedir.