Veri işleme sözleşmesi

Veri işleyen

BundS GmbH, Marburger Str. 17, 57223 Kreuztal, Almanya. info@qrinio.com

Veri sorumlusu

Kabul sırasında adı veya ticari unvanı ve hesap e-postasıyla belirtilen kişi ya da kuruluş. Kabul hesaba bağlanır; hesap e-postası talimatlar ve veri koruma için iletişim adresidir. Bir kuruluş adına hareket eden kişi temsil yetkisi olduğunu beyan eder.

1. Konu ve süre

BundS GmbH, kararlaştırılan QRinio özelliklerini sağlamak için müşteri verilerini kullanım süresi ve ardından iade veya silme boyunca işler. Amaçları, içerikleri ve yetkileri müşteri belirler; hukuki dayanaklardan ve ilgili kişilerin bilgilendirilmesinden müşteri sorumludur. QRinio’nun hesap yönetimi gibi kendi veri işleme faaliyetleri gizlilik bildiriminde açıklanır.

2. İşleme ve veriler

İşleme; müşterinin seçtiği QR kodları, kısa bağlantılar, iletişim ve bağlantı sayfaları, dosyalar ve ilgili ziyaret istatistiklerinin saklanmasını, düzenlenmesini, sunulmasını, yayımlanmasını, iletilmesini, analizini ve silinmesini kapsar. Kullanıma göre çalışanların, müşterilerin, iş bağlantılarının ve ziyaretçilerin adları, mesleki iletişim bilgileri, görselleri, içerik ve bağlantı verileri işlenir. Kesin kapsam, müşterinin kullandığı işlevlerden ve verdiği talimatlardan doğar. GDPR’nin 9. veya 10. maddesindeki veriler yalnızca ayrı bir anlaşmayla kapsanır.

3. Talimatlar ve gizlilik

Üçüncü ülkelere aktarımlar dâhil, verileri yalnızca müşterinin belgelenmiş talimatlarıyla işleriz. Talimatlar bu sözleşmeden, seçilen ayarlardan ve belirlenen irtibat kişisinin info@qrinio.com adresine ilettiği mesajlardan doğar. Birlik hukuku veya ulusal hukuk işlemeyi zorunlu kılarsa, izin verilen ölçüde önceden bilgi veririz. Hukuka aykırı bulduğumuz talimatları gecikmeden bildirir ve açıklığa kavuşana kadar uygulamayı durdururuz. Erişim yetkisi olan kişiler gizlilik yükümlülüğüne tabidir.

4. Teknik ve organizasyonel önlemler

GDPR’nin 32. maddesine uygun, riske göre önlemler sağlarız. Aşağıdaki önlemler sözleşmenin parçasıdır; sonraki geliştirmeler koruma düzeyini düşüremez:

• Şifreli aktarım ve yalnızca yetkili kişilere açık yönetim erişimi.
• Korunan parolalar, ayrı hesaplar ve role dayalı erişim yetkileri.
• Ayrı depolamada şifreli aktarım, kısıtlı erişim ve geri yükleme testleriyle düzenli yedekleme.
• Sınırlı günlük kaydı ve saklama süreleri, güvenlikle ilgili değişiklik ve güncellemelerin incelenmesi ve önlemlerin etkinliğinin düzenli kontrolü.
• Talimatların, ilgili kişi taleplerinin ve güvenlik olaylarının belgeli şekilde ele alınması; barındırma sağlayıcılarının veri merkezlerinde fiziksel erişim kontrolü.

5. Alt veri işleyenler

Müşteri sözleşme ekindeki hizmet sağlayıcı listesine genel yetki verir. Eklemeleri veya değişiklikleri en az 30 gün önce e-posta ile bildirir, görevlendirme öncesinde veri korumaya dayalı gerekçeli itirazlara imkân tanırız. İtiraz giderilemezse müşteri ilgili hizmeti değişiklikten önce sonlandırabilir. Eşdeğer veri koruma yükümlülükleri getirir ve bunların yerine getirilmesinden sorumlu kalırız. AEA dışına aktarımlar yalnızca belgelenmiş talimatlarla ve GDPR’nin V. Bölümüne uygun olarak yapılır; dayanak her sağlayıcı için belirtilir.

6. Destek ve kişisel veri ihlalleri

İşlemeyi ve elimizdeki bilgileri dikkate alarak ilgili kişi hakları ile etki değerlendirmeleri ve makamlarla istişare dâhil GDPR’nin 32–36. maddelerindeki yükümlülüklerde müşteriye destek oluruz. İlgili kişi taleplerini gecikmeden iletir, yalnızca talimat veya yasal yükümlülük üzerine yanıtlarız. Müşteri verilerini etkileyen ihlalleri öğrendikten sonra gereksiz gecikme olmadan, nitelik, sonuçlar, önlemler ve iletişim hakkında mevcut bilgilerle bildirir; eksik bilgileri sonradan tamamlarız.

7. Belgeler ve denetimler

GDPR’nin 28. maddesine uyumu göstermek için gerekli tüm bilgileri sunar, müşterinin veya görevlendirdiği denetçinin incelemeler dâhil denetimlerine izin verir ve destek oluruz. Uygulama diğer müşterilerin gizliliğini koruyarak koordine edilir; acil veya kanunen gerekli denetimler engellenmez.

8. İade ve silme

Hizmet sona erdiğinde, saklama kanunen zorunlu olmadıkça müşteri verilerini ve mevcut kopyaları müşterinin seçimine göre iade eder veya sileriz. İade, silmeden önce kararlaştırılır. Yedek kopyalara erişim, ekte kararlaştırılan saklama süresi bitene kadar kısıtlanır ve sonra silinir; geri yükleme sonrasında önceki silme talimatları yeniden uygulanır. Kanunen saklanan veriler yalnızca bu amaçla sınırlı tutulur. Talep üzerine silmeyi teyit ederiz.