Veri işleme eki

1. Roller ve kapsam

Bu ek, Hizmet koşullarının bir parçasıdır. Müşteri çalışma alanında, Müşterinin reklam hesaplarında, etiket yöneticilerinde ve analitik araçlarında ve bize verilen CRM dışa aktarımlarında işlenen kişisel veriler (“Müşteri Kişisel Verileri”) bakımından Müşteri veri sorumlusu, THEFOCUS LTD ise veri işleyendir. Ek-1 işleme faaliyetini tanımlar. Müşterinin kendisinin başka bir veri sorumlusu adına veri işleyen olduğu durumlarda, aynı koşullarla onun alt işleyeni olarak hareket ederiz.

Bu ek, UK GDPR’ın 28. maddesini ve uygulandıkları durumlarda AB GDPR’ının 28. maddesini ve hizmet verdiğimiz pazarlardaki diğer veri koruma kanunlarının veri işleyene ilişkin hükümlerini karşılar.

2. Veri işleyen olarak yükümlülüklerimiz

• Müşteri Kişisel Verilerini, yasa aksini gerektirmedikçe yalnızca sözleşme ve Müşterinin uygulamayı kullanımı dahil olmak üzere Müşterinin belgelenmiş talimatları doğrultusunda işlemek. Yasanın aksini gerektirdiği durumda, yasa yasaklamadıkça işlemeden önce Müşteriyi bilgilendiririz. Bir talimatın veri koruma mevzuatını ihlal ettiğini düşünürsek bunu Müşteriye bildiririz.
• Verileri işlemeye yetkili herkesin gizlilik yükümlülüğüyle bağlı olmasını sağlamak.
• Ek-2’deki teknik ve idari tedbirleri uygulamak.
• Alt işleyenleri yalnızca 3. bölümde belirtildiği şekilde kullanmak.
• İşlemenin niteliğini dikkate alarak ilgili kişi taleplerinde ve Müşterinin güvenlik, ihlal bildirimi, etki değerlendirmeleri ve düzenleyici kurumlarla ön istişareye ilişkin yükümlülüklerinde Müşteriye yardımcı olmak.
• Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra Müşteriyi gecikmeksizin ve 48 saat içinde, Müşterinin kendi bildirim yükümlülüklerini yerine getirmesi için gereken bilgilerle birlikte bilgilendirmek.
• Hizmetlerin sonunda, yasa saklamamızı gerektirmedikçe, Müşteri Kişisel Verilerini Müşterinin tercihine göre 30 gün içinde silmek veya iade etmek ve mevcut kopyaları silmek.
• Uyumu kanıtlamak için gereken bilgileri sunmak ve Müşteri veya onun atadığı bir denetçi tarafından, 30 gün önceden bildirimle, gizlilik yükümlülüğü altında ve bir ihlal ya da düzenleyici kurum gerektirmedikçe yılda en fazla bir kez yapılacak denetimlere izin vermek.

3. Alt işleyenler

Müşteri, Alt İşleyenler sayfamızda açıklanan alt işleyenlere genel yetki verir; güncel isim listesi müşteri panelinde ve talep üzerine sunulur. Yeni bir alt işleyen için uygulama üzerinden en az 30 gün önceden bildirimde bulunuruz. Müşteri makul veri koruma gerekçeleriyle itiraz edebilir; itirazı çözemezsek Müşteri etkilenen hizmeti cezasız olarak sona erdirebilir. Her alt işleyene bu ekten daha az koruyucu olmayan veri koruma hükümleri uygularız ve onun yükümlülüklerini yerine getirmesinden sorumlu olmaya devam ederiz.

4. Uluslararası aktarımlar

Müşteri Kişisel Verilerini Birleşik Krallık dışına yalnızca Birleşik Krallık yeterlilik düzenlemeleri, AB-ABD Veri Gizliliği Çerçevesi’nin Birleşik Krallık Uzantısı (UK Extension to the EU-US Data Privacy Framework), ICO’nun Uluslararası Veri Aktarım Sözleşmesi veya AB Standart Sözleşme Hükümlerine ilişkin Birleşik Krallık Eki (UK Addendum) kapsamında aktarırız.

Müşterinin AEA’da bulunduğu durumlarda, bize yapılan aktarımlar Avrupa Komisyonu’nun Birleşik Krallık için verdiği yeterlilik kararına dayanır; bu karar uygulanmaz hale gelirse AB Standart Sözleşme Hükümleri (ikinci modül veya Müşterinin veri işleyen olduğu durumda üçüncü modül) atıf yoluyla dahil edilir ve yalnızca bu hükümler bakımından uygulanacak hukuk ve yetkili yer İrlanda’dır. Müşterinin İsviçre’de bulunduğu durumlarda aynı hükümler İsviçre’ye özgü değişikliklerle uygulanır. Diğer pazarlar için, talep üzerine, Türkiye’deki KVKK veya Çin’deki PIPL kapsamındaki standart sözleşmeler gibi Müşterinin tabi olduğu hukukun gerektirdiği aktarım hükümlerini imzalarız.

5. Özel nitelikli veriler ve hassas hedefleme

Müşteri, uygulamaya özel nitelikli veri (örneğin sağlık verisi), suç ve ceza mahkûmiyetlerine ilişkin veri veya çocuklara ait veri yüklememeli ve hassas özelliklere dayalı hedefleme talimatı vermemelidir.

6. Sorumluluk ve süre

Bu ek kapsamındaki sorumluluk, Hizmet koşullarındaki sınırlara tabidir. Bu ek, Müşteri Kişisel Verilerini işlediğimiz sürece yürürlükte kalır.

Ek-1: İşleme faaliyetinin tanımı

• Konu ve süre: hizmetlerin sözleşme süresi ve 30 günlük çıkış dönemi boyunca sunulması.
• Niteliği ve amacı: kampanya planlama ve yürütme, Müşterinin kampanyalarına iletilen gerçek zamanlı optimizasyon sinyalleri, ölçüm ve izleme yapılandırması, raporlama ve destek.
• İlgili kişiler: Müşterinin personel kullanıcıları ile reklam, analitik ve CRM verilerinde yer alan potansiyel ve mevcut müşterileri.
• Veri kategorileri: Müşteri kullanıcılarının adları ve iş iletişim bilgileri; çevrim içi tanımlayıcılar, platform dönüşüm eşleştirmesi için kullanılan karma (hash) iletişim verileri, toplu kampanya metrikleri ve CRM potansiyel müşteri aşamaları.
• Saklama: Gizlilik bildiriminde ve 2. bölümde belirtildiği şekilde.

Ek-2: Teknik ve idari tedbirler

• Tüm hesaplar için zorunlu çok faktörlü kimlik doğrulama; tek kullanımlık kurtarma kodları yalnızca karma (hash) olarak saklanır.
• Personel için rol tabanlı, en az yetki ilkesine dayalı erişim; roller değiştiğinde gözden geçirilir.
• Müşteri çalışma alanları arasında uygulamada ve veritabanı katmanında uygulanan yalıtım.
• Güncel TLS ile aktarım sırasında şifreleme; veritabanları, dosyalar ve yedekler için depolamada şifreleme.
• 125’ten fazla ülkeye yayılan dağıtık ve şifreli hizmet sunumu.
• Güvenlik açısından önemli işlemler için yalnızca ekleme yapılabilen denetim kayıtları.
• Reklam hesabı parolaları saklanmaz; erişim yalnızca platform kullanıcı veya iş ortağı izinleriyle sağlanır.
• İmzalı ve tekrar saldırılarına karşı korumalı webhook’lar ve veri alımı.
• Her sürümden önce otomatik gizli bilgi taraması ve testler.
• Tanımlı eskalasyon ve müşteri bildirimi içeren olay müdahale prosedürü.