Hizmet Şartları (“Şartlar”) uyarınca Smartsupp, Hizmetin kullanıcısı olarak size Şartlarda belirtilen Hizmeti sunmaktadır. Dolayısıyla Smartsupp ile kullanıcı arasındaki ilişki, kullanıcının çevrimiçi kayıt sürecine veya Şartların ekli olduğu yazılı ya da elektronik bir sözleşmeye dayanmaktadır; bunlar birlikte sizinle Smartsupp arasındaki sözleşmeyi (“Sözleşme") oluşturur. Bu veri işleme eki (bundan böyle "DPA") Sözleşmenin ayrılmaz bir parçasını oluşturur.

Bu DPA'da aksi belirtilmedikçe, büyük harfle başlayan kelimeler Şartlarda veya Şartlarda atıfta bulunulan diğer eklerde belirtilen anlamları taşır.

Smartsupp bu DPA'yı, kişisel verilerin işlenmesi bakımından gerçek kişilerin korunması ve bu verilerin serbest dolaşımına ilişkin Avrupa Parlamentosu ve Konseyinin 2016/679 sayılı Tüzüğü (“GDPR”) , 2018 Veri Koruma Yasası veya CCPA/CPRA gibi geçerli veri koruma mevzuatına ve ayrıca Sözleşme kapsamında Hizmetin sunulması sırasında geçerli olan diğer gizlilik mevzuatına (“Geçerli gizlilik mevzuatı”).

Bu DPA'da Smartsupp'ın kişisel veri işleyen olarak hareket ettiği belirtildiğinde, bu ifade GDPR kapsamındaki “veri işleyen” ve diğer geçerli gizlilik mevzuatındaki eşdeğer terimlere (örneğin CCPA'da tanımlanan “Hizmet Sağlayıcı”) verilen anlamı taşır. Bu DPA'da sizin kişisel veri sorumlusu olarak hareket ettiğiniz belirtildiğinde, bu ifade GDPR kapsamındaki “veri sorumlusu” ve geçerli gizlilik mevzuatındaki eşdeğer terimlere (örneğin CCPA'da tanımlanan “İşletme”) verilen anlamı taşır.

Makaleyi birkaç bölüme ayırdık:

1.1 Kişisel verilerin kişisel veri işleyen sıfatıyla işlenmesi.Smartsupp, kullanıcıya Hizmet sunulurken kullanıcı adına kişisel verileri işleyebilir ve bu durumda kullanıcıyla ilişkisi bakımından kişisel veri işleyen (veya alt veri işleyen) olarak hareket eder.

Smartsupp tarafından gerçekleştirilen işleme faaliyetleri, kayıttan, Sözleşmeden veya Hizmetin sunulması sırasında kullanıcının aşağıdaki adreste bulunan platform üzerinden ilettiği belgelenmiş taleplerden kaynaklanır: https://www.smartsupp.com (“Platform”).

1.2 Kişisel verileri işleme yetkisi.Kullanıcı, işbu DPA'da belirtildiği şekilde, Hizmet kapsamında kendisi tarafından sağlanan ilgili kişilere ait kişisel verileri işlemesi için Smartsupp'ı yetkilendirir. Smartsupp, kullanıcı adına kişisel verileri kullanıcının belgelenmiş talimatlarına göre ve yalnızca Sözleşme kapsamındaki yükümlülüklerini gereği gibi yerine getirmek için gerekli olduğu ölçüde işler.

1.3 Kullanıcının sorumluluğu. Smartsupp kişisel veri işleyen olarak hareket ettiğinden, kullanıcı veri sorumlusu olarak hareket eder ve dolayısıyla kişisel verilerin işlenmesine ilişkin tüm yükümlülüklerin yerine getirilmesinden sorumludur. Bu yükümlülükler arasında ilgili kişileri kişisel verilerin işlenmesi hakkında uygun şekilde bilgilendirmek, gerekli olması hâlinde kişisel verilerin işlenmesi için rıza almak ve ilgili kişilerin haklarını kullanmalarına ilişkin taleplerini (bilgi edinme, erişim, düzeltme, silme, işlemenin kısıtlanması, itiraz vb. haklar) ele almak yer alır. Smartsupp, Platform üzerinden veya kullanıcının belgelenmiş talepleri aracılığıyla bu yükümlülüklerin yerine getirilmesinde kullanıcıya yardımcı olur. Ancak Smartsupp, kullanıcının Hizmeti kullandığı ülkede yürürlükte olan gizlilik mevzuatını veya diğer mevzuatı ihlal edebilecek faaliyetler de dâhil olmak üzere, kullanıcının faaliyetlerinin doğruluğundan ve hukuka uygunluğundan hiçbir şekilde sorumlu değildir.

2.1 İşlemenin konusu. Aşağıda tanımlanan kişisel verilerin Smartsupp tarafından işlenmesinin konusu, Sözleşmede belirtildiği şekilde Hizmetin sunulması, özellikle de Web Sitesinde açıklanan Hizmet özelliklerimizi kullandığınızda kişisel verilerin işlenmesidir.

2.2 Kişisel veri türleri. Sözleşme uyarınca yükümlülüklerin yerine getirilmesi ve Hizmetin sunulması kapsamında, aşağıdaki kişisel veri türleri bu DPA'ya uygun olarak işlenebilir:

a) Ad, soyadı, e-posta adresi, telefon numarası veya sosyal ağ hesabının iletişim bilgileri gibi iletişim bilgileri,

b) Ziyaret edilen web sitesinin URL'si, web sitesi ziyaretinin tarihi ve saati, teknik bilgiler (ekran çözünürlüğü, cihaz türü, tarayıcı türü, işletim sistemi vb.), IP adresi, coğrafi konum verileri (kullanıcının web sitenizi görüntülediği ülke ve şehir) gibi kullanıcının web sitesine yapılan ziyaretlere ilişkin ayrıntılar,

c) Hizmet özellikleri kullanılırken kullanıcılar ile müşteriler veya diğer kullanıcılar arasındaki görüşmelerde yer alan bilgiler,

d) Hizmeti kullanan kullanıcılara ilişkin teknik günlükler ve diğer bilgiler (Smartsupp bu tür bilgileri toplamak için üçüncü taraf araçları kullanır),

e) Kullanıcı tarafından yüklenen veya başka bir şekilde kullanılan diğer kişisel veriler veya

f) Hizmetin sunulması sırasında türü, kapsamı ve ayrıntıları kullanıcının tamamen kendi takdirine göre belirlenen ve kontrol edilen kişisel veriler.

Kişisel verilerin kapsamı, kullanıcının kullandığı Hizmet özelliklerinin türüne bağlıdır. Hizmet, özel nitelikli kişisel verilerin saklanması için tasarlanmamıştır. Kullanıcı, Hizmeti özel nitelikli kişisel verileri saklamak veya işlemek için kullanmamalıdır. Kullanıcı bu verileri Hizmet aracılığıyla işlerse Smartsupp bu tür işlemler için hiçbir sorumluluk kabul etmez.

2.3 İlgili kişi kategorileri. Smartsupp aşağıdaki ilgili kişi kategorilerine ait kişisel verileri işler:

a) Kullanıcının çalışanları (ve diğer çalışanlar ile kullanıcı adına hareket eden kişiler);

b) Kullanıcının Hizmet içerisinde hesap oluşturduğu kişiler;

c) Hizmetin sunulduğu kullanıcının müşterileri ve diğer kullanıcıları;

d) Kullanıcının web sitesinin ziyaretçileri;

e) Hizmetin sunulması sırasında kişisel verileri kullanıcı tarafından Smartsupp'a sağlanan ve kullanıcıya Hizmetin sunulması kapsamında kişisel verileri kaydedilmiş veya başka bir şekilde işlenmiş diğer kişiler.

3.1 Kişisel verilerin işlenmesinin niteliği. Smartsupp kişisel verileri otomatik ve elektronik şekilde işler; işleme, Hizmetin sunulması kapsamında kişisel verilere erişilmesini, kişisel verilerin görüntülenmesini, saklanmasını ve kullanıcıya Hizmetin sunulmasıyla bağlantılı olabilecek diğer faaliyetleri kapsar. Kişisel verilerin işlenmesinin niteliği aşağıdakilerden kaynaklanır:

a) Tarafların akdettiği Sözleşme;

b) Kullanıcının veya Platformu kullanıcı adına kullanan diğer yetkili kullanıcıların talepleri;

c) Hizmetin ve Platformun niteliği;

d) Kullanıcının sağladığı diğer belgelenmiş talimatlar.

3.2 İşlemenin amacı. İşlemenin amacı, Şartlarda tanımlandığı şekilde kullanıcıya Hizmeti sunmak ve Hizmetin sunulmasından kaynaklanabilecek diğer amaçları yerine getirmektir.

4.1 Kişisel verilerin işlenme süresi.Kişisel verilerin işlenmesi, Sözleşmenin süresi boyunca veya Sözleşmenin ifasıyla bağlantılı olarak kullanıcının Smartsupp'a talimat vermeye devam ettiği süre boyunca gerçekleştirilir. Smartsupp, Sözleşmeden bu yükümlülüklerin sona erme sonrasında da devam edeceği açıkça anlaşılmadıkça, Sözleşmenin tüm süresi boyunca veri koruma mevzuatında belirtilen yükümlülüklere uymayı taahhüt eder.

4.2 Kişisel verilerin iadesi ve silinmesi. Sözleşmenin sona ermesi hâlinde Smartsupp, geçerli gizlilik mevzuatının izin verdiği ölçüde, Hizmetin sunulması amacıyla saklanan tüm kişisel verileri sona ermeden sonraki 3 ay içinde siler. Kullanıcı yukarıda belirtilen süre içinde Smartsupp'tan verilerin iadesini tercih ettiğini belirterek talepte bulunursa Smartsupp, tutarı önceden bildirilecek makul bir ücret talep etme hakkına sahiptir.

5.1 Smartsupp'ın yükümlülükleri.Smartsupp kişisel verileri işlerken aşağıdakileri taahhüt eder:

a) Kişisel verileri yalnızca kullanıcının belgelenmiş talimatlarına dayanarak işlemek; tereddüde mahal vermemek adına, Sözleşme kapsamındaki yükümlülüklere uygun olarak kişisel verilerin işlenmesi, kullanıcının talimatlarına uygun şekilde gerçekleştirilmiş sayılır;

b) Smartsupp'ın tabi olduğu Avrupa Birliği veya Üye Devlet hukuku bu işlemeyi zaten gerektirmedikçe, kişisel verilerin üçüncü bir ülkeye veya uluslararası bir kuruluşa aktarılmasına ilişkin kullanıcının talimatlarına uymak;

c) Kişisel verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını veya yasal bir gizlilik yükümlülüğüne tabi olmasını sağlamak;

d) İşlemenin niteliğini dikkate alarak, mümkün olduğu durumlarda uygun teknik ve organizasyonel tedbirlerle, ilgili kişilerin haklarını kullanma taleplerine yanıt verme yükümlülüğünü yerine getirmesinde kullanıcıya yardımcı olmak; ilgili kişilerin taleplerinin ele alınmasına ilişkin kurallar bu DPA'nın 5.2 maddesinde belirtilmiştir;

e) İşlemenin niteliğini ve işlenen kişisel verilerin niteliğini dikkate alarak, kullanıcının (i) işlemenin güvenlik düzeyini sağlama, (ii) kişisel veri ihlallerini Veri Koruma Makamına ve gerekli hâllerde ilgili kişilere bildirme, (iii) kişisel verilerin korunması üzerindeki etkiyi değerlendirme ve (iv) Veri Koruma Makamıyla ön istişarede bulunma yükümlülüklerini yerine getirmesine yardımcı olmak;

f) Kullanıcının veya kullanıcı tarafından yetkilendirilen bir kişinin bu DPA'ya uyumu, özellikle de bundan kaynaklanan kişisel veri işleme yükümlülüklerinin yerine getirilmesini kontrol etmesine (denetim veya inceleme dâhil) izin vermek ve kullanıcının ya da yetkilendirilmiş kişinin makul talimatları doğrultusunda bu kontrollere katkıda bulunmak; denetimlere ilişkin özel kurallar bu DPA'nın 5.3 ve 5.4 maddelerinde belirtilmiştir;

g) İlgili veri koruma mevzuatında belirtilen yükümlülüklerin yerine getirildiğini kanıtlamak için Smartsupp'tan makul olarak beklenebilecek tüm bilgileri kullanıcıya sağlamak.

5.2 İlgili kişi talepleri. Bir ilgili kişi doğrudan Smartsupp ile iletişime geçerse Smartsupp, ilgili kişiye talebini doğrudan kullanıcıya iletmesi gerektiğini bildirir. Smartsupp, hukuken izin verilen ölçüde, kullanıcının bu tür ilgili kişi taleplerine yanıt vermesine yardımcı olmak için yalnızca ticari açıdan makul çabayı gösterir. Kullanıcı, Smartsupp'ın bu yardımı sağlamasından doğan her türlü masraftan ve bu tür taleplerin doğru şekilde ele alınmasından sorumludur.

5.3 Denetim kuralları. Kullanıcı, denetim (kontrol) taleplerini makul aralıklarla yalnızca Smartsupp'ın şu e-posta adresine göndermelidir: dpo@smartsupp.com. Denetim talebinin alınması üzerine taraflar (i) denetimin olası tarihi, (ii) güvenlik tedbirleri ve denetim sırasında gizlilik yükümlülüklerine uyumun nasıl sağlanacağı ve (iii) denetimin beklenen başlangıcı, kapsamı ve süresi üzerinde önceden anlaşır. Talep tarihinden itibaren 30 gün içinde anlaşmaya varılamazsa denetimin şartlarını Smartsupp belirler.

5.4 Denetçi.Smartsupp, kendi görüşüne göre denetçinin yeterli niteliklere sahip olmaması, bağımsız olmaması, Smartsupp ile rekabet içinde olması veya başka bir nedenle açıkça uygun olmaması hâlinde, kullanıcının atadığı herhangi bir denetçiye (yetkili kişiye) yazılı olarak itiraz edebilir. İtirazın ardından kullanıcı başka bir denetçi atamak veya denetimi kendisi gerçekleştirmekle yükümlüdür. Kullanıcı, denetim sırasında tespit edilen geçerli gizlilik mevzuatına veya bu DPA'ya aykırılıkları Smartsupp'a derhâl bildirmelidir.

5.5 Denetimin kapsamı. Kullanıcının gerçekleştirdiği denetimin kapsamı yalnızca söz konusu kullanıcının Hizmeti kullanmasıyla doğrudan bağlantılı belgeleri ve süreçleri içerir.

5.6 Alt veri işleyenler. Kullanıcı, kişisel verilerin işlenmesine diğer alt veri işleyenlerin dâhil edilmesini kabul eder. Sunulan veya kullanıcının talep ettiği Hizmetin türüne bağlı olarak Smartsupp diğer alt veri işleyenleri kullanabilir veya kişisel verileri diğer kişisel veri alıcılarıyla paylaşabilir. Kullanıcı, Smartsupp'ın aşağıdaki adreste listelenen alt veri işleyenleri dâhil etmesini kabul eder: https://help.smartsupp.com/tr/articles/12647685

5.7 Diğer alt veri işleyenlere itirazlar. Smartsupp, ilave bir alt veri işleyeni dâhil etmeden önce, kullanıcıyı yazılı olarak veya Alt veri işleyenler listesini güncelleyerek bilgilendirir; kullanıcı bildirimden sonraki 10 iş günü içinde ilave alt veri işleyenin dâhil edilmesine itiraz edebilir. Kullanıcı belirlenen süre içinde itiraz etmezse Smartsupp ilave alt veri işleyeni dâhil eder. Kullanıcının itiraz etmesi hâlinde Smartsupp itirazı değerlendirir ve haklı bulursa ilave alt veri işleyeni görevlendirmez veya bu alt veri işleyenin veri işlemesini önlemek için kullanıcının yapılandırmasında ya da Hizmet kullanımında ticari açıdan makul bir değişiklik yapar. Değişiklik mümkün değilse Smartsupp, temerrüde düşmeden veya herhangi bir yükümlülüğü ihlal etmeden, kullanıcıyla olan Sözleşmeyi tamamen veya kısmen sona erdirebilir ya da Hizmetin ilave alt veri işleyenle bağlantılı kısmını sunmayabilir. Smartsupp, sona erdirilen Hizmet bakımından, sona ermenin yürürlüğe girdiği tarihten sonra söz konusu Sözleşmenin kalan süresini kapsayan önceden ödenmiş ücretleri, kullanıcıya bu sona erme nedeniyle ceza uygulamaksızın iade eder.

5.8 Diğer alt veri işleyenlere ilişkin yükümlülükler.Smartsupp başka bir alt veri işleyeni görevlendirirse bu alt veri işleyen, kişisel verilerin korunması bakımından kullanıcı ile Smartsupp arasında kararlaştırılan yükümlülüklerin aynısına uymayı ve ayrıca uygun teknik ve organizasyonel tedbirleri uygulamayı sözleşmeyle taahhüt etmelidir.

5.9 Alt veri işleyene ilişkin sorumluluk.Sözleşmede aksi belirtilmedikçe Smartsupp, alt veri işleyenlerinin eylem ve ihmallerinden, her bir alt veri işleyenin Hizmet sunumunun doğrudan bu DPA şartları kapsamında gerçekleştirilmesi hâlinde sorumlu olacağı ölçüde sorumludur.

5.10 DPA'nın ifasına ilişkin masraflar. Yazılı olarak aksi kararlaştırılmadıkça kullanıcı, DPA'nın ifasına ilişkin kendi masraflarını karşılar. Smartsupp, bu DPA kapsamındaki herhangi bir talebin ele alınması ve herhangi bir yükümlülüğün yerine getirilmesi sırasında oluşan makul masrafları kullanıcıya yansıtma hakkına sahiptir.

6.1 Kişisel verilerin güvenliğini sağlama yükümlülüğü.Smartsupp, kişisel verilere yetkisiz veya kazara erişilmesini, kişisel verilerin yetkisiz veya kazara değiştirilmesini, yok edilmesini veya kaybolmasını, yetkisiz aktarımları, diğer yetkisiz işlemeleri veya kişisel verilerin diğer yetkisiz kötüye kullanımlarını önlemek için teknik ve organizasyonel tedbirler almış olup bu tedbirleri sürdürmektedir. Smartsupp bu tedbirlere uyumu düzenli olarak izler.

6.2 Özel güvenlik tedbirleri.Smartsupp, yeterli bir güvenlik düzeyi sağlamak için aşağıdaki tedbirleri almış olup bunları sürdürmektedir:

Teknik tedbirler:

a) Kişisel verilerin takma adlandırılması ve şifrelenmesi:

Kişisel verilerin işlendiği Platform, gelen ağ bağlantıları için yalnızca güvenli kanallara veya protokollere izin verir; Smartsupp tüm veri aktarımlarında verileri SSL/TLS kullanarak şifreler

Kişisel verileri işleyen BT sistemleri yalnızca güvenli kanallara veya protokollere izin verir;

Kriptografik anahtarlar güvenli şekilde yönetilir.

b) İşleme sistemlerinin ve hizmetlerinin sürekli gizliliğini, bütünlüğünü, kullanılabilirliğini ve dayanıklılığını sağlama yeteneği:

Smartsupp personelinin fiziksel erişimi yetkili kişilerle sınırlıdır;

Smartsupp, kişisel verileri barındıran sunuculara fiziksel veya çevrimiçi erişimi kısıtlayan mekanizmalar benimsemiştir;

Yetkisiz kişilerin kişisel verilere erişmesinin ve kişisel verilerin yetkisiz kullanılmasının önlenmesi;

Kişisel verileri işlemeye yetkili kişiler yalnızca ihtiyaç duydukları ve erişme yetkisine sahip oldukları kişisel verilere erişebilir; kişisel veriler işleme sırasında yetkisiz olarak okunamaz, kopyalanamaz, değiştirilemez veya kaldırılamaz;

Erişim için güçlü kimlik doğrulaması uygulanır (örneğin güçlü şifreler kullanılarak);

Erişim hakları periyodik olarak kontrol edilir;

Erişim girişimleri (başarılı ve başarısız olanlar) kaydedilir ve izlenir;

Smartsupp personelinin kişisel verileri iş istasyonlarına veya başka bir ağ konumuna indirmesi ve bu konumlarda yerel olarak işlemesi yasaktır;

Platformun olası tüm arızaları ve anormallikleri kaydedilir.

c) Fiziksel veya teknik olaylar durumunda kişisel verilerin kullanılabilirliğini ve verilere erişimi zamanında yeniden sağlama yeteneği:

Smartsupp yedekleme sürecini, mekanizmasını ve araçlarını benimsemiştir;

Geri yükleme prosedürü, verilerin okunabilirliği ve yedeklerin bütünlüğü periyodik olarak test edilir.

d) Smartsupp, işlemenin güvenliğini sağlamak için uygulanan teknik ve organizasyonel tedbirlerin etkinliğini düzenli olarak test etme, değerlendirme ve ölçme süreci benimsemiştir.

e) Kişisel veriler elektronik iletim, taşıma veya saklama sırasında yetkisiz olarak değiştirilemez veya silinemez; herhangi bir aktarımın alıcı kuruluşları belirlenebilir ve doğrulanabilir.

Organizasyonel tedbirler:

f) Kişisel verilerin işlenmesinde görev alan tüm personel, kişisel verilerin gizli niteliği hakkında bilgilendirilmiş, sorumluluklarına ilişkin uygun eğitim almış ve yazılı gizlilik sözleşmeleri akdetmiştir.

g) Smartsupp, kişisel verilerin geçerli gizlilik mevzuatına uygun olarak güvenli şekilde işlenmesini sağlamak için iç yönergeler ve süreçler uygulamıştır.

h) Bu DPA, veri koruma mevzuatına uyum, veri gizliliği veya diğer gizlilik konularıyla ilgili sorular için Müşteri şu adrese e-posta gönderebilir: dpo@smartsupp.com.

6.3 Güvenlik olayları.Smartsupp bir kişisel veri ihlali tespit ederse bunu gereksiz gecikme olmaksızın ve güvenlik olayından haberdar olduktan sonra en geç 48 saat içinde kullanıcıya bildirir ve olay hakkında bilinen tüm bilgileri aşağıdakilerle sınırlı olarak kullanıcıya sağlamak için makul çabayı gösterir:

Smartsupp, güvenlik ihlali durumunda kullanıcının yardım taleplerine gereksiz gecikmeyle yanıt verir.

6.4 Hukuka aykırı talimatlar.Kullanıcının Smartsupp'a verdiği talimatın veri koruma mevzuatı kapsamındaki yükümlülüklerin ihlaline yol açması ve bu talimat nedeniyle Smartsupp'a bir denetim makamı veya diğer düzenleyici kurum tarafından yaptırım uygulanması ya da Smartsupp'ın ilgili kişilere tazminat ödemek zorunda kalması hâlinde kullanıcı, Smartsupp'ın yazılı bildirimi üzerine Smartsupp'ı tazmin etmeyi ve oluşan tüm zararları karşılamayı kabul eder.

6.5 Sorumluluğun sınırlandırılması. Şartlarda belirtilen sorumluluk sınırlaması bu DPA için de geçerlidir.

6.6 Değişiklikler. Şartlarda belirtilen değişiklik kuralları aynen geçerlidir.

6.7 Yürürlük. Bu DPA, Sözleşmeyle birlikte kullanıcı ile Smartsupp arasında hukuken bağlayıcı hâle gelir.