Nexier School Veri İşleme Sözleşmesi

1. Taraflar, talimatlar ve uygulanabilirlik

Bu veri işleme sözleşmesi yalnızca, imzalanmış ENT-02 belgesinde belirtilen müşteri veya veri sorumlusunun Nexier School için SMARTEDTECH SL şirketini veri işleyen olarak görevlendirdiği hâllerde uygulanır. İşletmecinin kendi hesabı, faturalaması, güvenliği veya kanuni amaçları bakımından bunun yerine veri sorumlusu olabilir. Bağımsız sağlayıcılar ve kurumlar kendi işlemelerinden sorumlu kalır. Ek A, işlemeye başlamadan önce konuyu, süreyi, niteliği, amacı, veri kategorilerini, ilgili kişileri, veri sorumlusu talimatlarını ve izin verilen konumları tanımlamalıdır. Boş bir ek, sınırsız işlemeye yetki vermez.

2. Belgelenmiş amaç ve gizlilik

Veri işleyen, aktarımlar dâhil, yalnızca belgelenmiş talimatlarla hareket eder; bağlayıcı hukuk aksini gerektirirse ve hukuken izin veriliyorsa bu zorunluluğu veri sorumlusuna bildirir. Makul biçimde hukuka aykırı gördüğü bir talimatı derhâl işaretler. Yalnızca erişmesi gereken personel yetkilendirilir, eğitilir ve gizlilikle bağlanır. Bu sözleşmeden reklam, sonraki satış, ilgisiz model eğitimi, platformlar arası zenginleştirme veya özel verinin yayımlanması doğmaz.

3. Güvenlik ve yetkili erişim

Ek B içinde belgelenen, madde 32 uyarınca riske uygun tedbirleri kullanın: kiracı yalıtımı ve RLS, ayrıcalıklı erişim için asgari yetki ve MFA, fiilen uygulandığı yerde şifreleme ve anahtar yönetimi, sırların maskelenmesi, yama ve açıklık yönetimi, sınanmış geri yükleme ve kurtarma, kapsamı belirli entegrasyonlar, yükleme denetimleri, olay sevki ve kanıt bütünlüğü. Bunlar, her tedbirin hâlihazırda geçtiğine dair bir belgelendirme değil, kanıtlanması gereken sözleşmesel yükümlülüklerdir. Üretimde işlemeye geçmeden önce esaslı sapmaları açıklayın ve düzeltin. Değiştirilemez rıza günlüklerine özel içerik yazılmaz; asgari referanslar ve hukuka uygun saklama kullanılır.

4. Alt veri işleyenler ve aktarımlar

Ek C, her fiilî alt veri işleyeni, amacını, konumunu, veri erişimini ve onay dayanağını tanımlar. Genel yazılı yetki altında tasarlanan ekleme ve değiştirmeleri bildirin ve makul, kararlaştırılmış bir itiraz sürecine imkân verin; hukuka uygun güvenceler üzerinde anlaşılamazsa etkilenen işlemeyi çözün veya durdurun. Madde 28 hükmünün gerektirdiği eşdeğer işleme yükümlülüklerini yükleyin ve sorumlu kalın. Kısıtlı aktarımlar, DAT-02 belgesindeki fiilen geçerli araç ve değerlendirmeyi gerektirir. Bir tedarikçi logosu veya API ayarı, imzalanmış bir veri işleme sözleşmesi veya aktarım güvencesi değildir.

5. Haklar ve olaylar

Veri sorumlusuna, orantılı kimlik doğrulama ve kapsamı belirli arama, dışa aktarma, düzeltme ve silme ile ilgili kişi taleplerinde yardımcı olun. Yetkili kılınmadıkça veya hukuk gerektirmediği sürece yanıtı bağımsız kararlaştırmayın. Kişisel veri ihlalini, farkına vardıktan sonra gereksiz gecikme olmaksızın veri sorumlusuna bildirin; eldeki olguları, kategorileri ve yaklaşık sayıları, olası etkileri, azaltmayı ve iletişimi ekleyin. Aşamalı güncellemeler verin ve ilgili kanıtı koruyun; kusursuz bir rapor için beklemeyin. Veri sorumlusunun 72 saatlik denetim otoritesine bildirim yükümlülüğü, veri işleyenin bildiriminden ayrıdır ve her güvenlik uyarısına kendiliğinden bağlanmaz. Taraflar, kanuni süreleri engellemeden etkilenen kişilere bildirimi eşgüdümler.

6. Değerlendirmeler, denetim ve makamlar

Madde 28 uyumu için makul ölçüde gerekli bilgileri, ilgili güvenlik kanıtını, DPIA ve ön istişare yardımını ve gizlilik, güvenlik ile başkalarının haklarına tabi orantılı denetim ve incelemeleri sağlayın. Erişimi ilgili veriyle sınırlayın; ham sırlar veya ilgisiz kiracıların kayıtları istenmez. Kanuni düzenleyici erişimi saklıdır. Bir belgenin bulunmaması, esaslı denetim iş birliğini reddetme gerekçesi olamaz.

7. Hizmetin sonu ve saklama

Veri sorumlusunun seçimine göre, talimat verilen hizmetin sonunda kişisel veriyi ve mevcut kopyaları iade edin veya silin; bağlayıcı hukuk belirli bir saklamayı gerektiriyorsa bu saklama saklıdır. Fiilî dışa aktarma biçimini, zamanlamayı, yedek sona ermesini ve silme doğrulamasını Ek D içinde kararlaştırın. Hukuken tutulan kayıtları belirli amaç ve süreyle sınırlayın. Yalnızca eklenebilir kanıt zorunluluğu, tanımlanabilir içeriğin sonsuza kadar saklanmasına yetki vermez; onaylı hukuk ve teknik tasarıma uygun olarak yükleri asgariye indirin veya kriptografik olarak ayırın.

8. İcra ekleri

Ek A, ENT-02 belgesindeki hizmet, ilgili kişi ve amaç alanlarını kullanır; Ek B kanıta dayalı TOM listesidir; Ek C fiilî alıcı, konum ve değişiklik bildirimi kaydıdır; Ek D saklama, dışa aktarma, silme ve olay iletişimlerini belirtir. Kiracı ve hizmet yapılandırmasından tamamlanana kadar eksik olgu olarak kalırlar. Fiilî veri sorumlusu ve veri işleyen imzalar. Kanuni işleme yükümlülükleri ve emredici haklar, bunlarla çelişen ticari koşulların önüne geçer.

Platforma özgü koşullar

Veri rolleri

1. Platform verisi. İşletmeci, platformu işletmek üzere işlenen kişisel verilerin veri sorumlusudur: hesap, kimlik doğrulama, kabul kayıtları, ödemeler, güvenlik, destek, iletişimler ve analitik.

2. Sağlayıcı sunum verisi. Bir sağlayıcı platform aracılığıyla bir müşteriye hizmet sunduğunda, bu sunum için ihtiyaç duyduğu verilerin (rezervasyon, sipariş, klinik, eğitim veya mesleki kayıtlar) bağımsız veri sorumlusu; İşletmeci ise işlemin platform düzeyindeki kaydının veri sorumlusudur. Her taraf kendi yükümlülüklerine uyar; hiçbiri diğeri adına hareket etmez.

3. Veri işleyen hizmetleri. İşletmeci, bir ticari müşterinin talimatları uyarınca (örneğin bir kurumsal kiracının çalışan verileri) kişisel veri işlediğinde Veri İşleme Sözleşmesi (DAT-01) uygulanır ve hüküm ifade eder; siparişin parçası olarak imzalanır.

4. SET platformları arasında paylaşım. Kişisel veri, ayarlarınızda belirli hedefi etkinleştirmediğiniz sürece İşletmecinin veya grubunun işlettiği başka hiçbir platformla paylaşılmaz. Bir hedefi etkinleştirmek diğerlerini etkinleştirmez; bunu dilediğiniz zaman kapatabilirsiniz.

5. Uluslararası aktarımlar. Kişisel veri Avrupa Ekonomik Alanı’nda (wellbridge.uk için Birleşik Krallık’ta) saklanır. Bu alanların dışında bir veri işleyen kullanıldığında aktarım, Standart Sözleşme Maddeleri veya UK Addendum/IDTA ile kapsanır ve alt veri işleyen ek’inde listelenir.

---