Veri İşleme Sözleşmesi (DPA)

Veri işleyen: Opus Growth, Türkiye'de kayıtlı Talat KOÇ şahıs işletmesinin (Gökalp Vergi Dairesi) ticari markasıdır. İletişim: support@opus-growth.com

Bu Veri İşleme Sözleşmesi ("DPA"), Opus Growth Kullanım Koşulları'nın ("Sözleşme") bir parçasıdır ve Kullanım Koşulları'nı kabul eden her müşteri ("Müşteri") için kendiliğinden geçerlidir. Opus Growth hizmeti ("Hizmet") sunulurken Müşteri adına işlenen kişisel verileri düzenler. Ayrıca imza gerekmez. Kayıtlarınız için karşılıklı imzalı bir kopyaya ihtiyacınız varsa support@opus-growth.com adresine yazın.

Bu metin, Avrupa Birliği Genel Veri Koruma Tüzüğü'ne (GDPR) tabi müşteriler içindir ve İngilizce metnin çevirisidir. İki metin arasında fark olursa İngilizce metin esas alınır.

1. Tanımlar#

"Kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "ilgili kişi", "kişisel veri ihlali" ve "denetim makamı" gibi terimler, (AB) 2016/679 sayılı Tüzük'teki ("GDPR") anlamlarıyla kullanılır. "SCC'ler", (AB) 2021/914 sayılı Komisyon Uygulama Kararı ekindeki standart sözleşme maddeleridir.

2. Roller ve kapsam#

• Müşteri, Ek I'de tanımlanan kişisel verilerin veri sorumlusudur; Opus Growth bu verileri veri işleyen olarak işler. Müşteri kendi müşterisi adına veri işleyen olarak hareket ediyorsa Opus Growth, Müşteri'nin alt veri işleyenidir ve Müşteri, kendi müşterisinin buna izin verdiğini teyit eder.
• Müşteri'nin bağladığı reklam ve analitik platformları (Google, Meta, Microsoft, TikTok, LinkedIn ve OpenAI'nin ChatGPT Ads hizmeti gibi) ve Müşteri'nin Hizmet'i birlikte kullandığı yapay zeka asistanı (Anthropic'in Claude'u ya da OpenAI'nin ChatGPT'si gibi), hizmetlerini Müşteri'ye Müşteri'nin onlarla yaptığı kendi sözleşmeleri kapsamında sunar. Bunlar Opus Growth'un alt veri işleyenleri değildir. Opus Growth bunlarla yalnız Müşteri'nin talimatıyla veri alışverişi yapar.
• Bu DPA, Opus Growth'un bağımsız veri sorumlusu olarak işlediği verileri, örneğin Müşteri'nin kendi kullanıcılarına ait hesap, fatura ve destek verilerini kapsamaz. Bu veriler Gizlilik Politikası'na tabidir.

3. Talimatlar#

Opus Growth kişisel verileri, aktarımlar dahil, yalnız Müşteri'nin belgelenmiş talimatlarıyla işler. Yürürlükteki hukuk aksini gerektiriyorsa, hukuk yasaklamadıkça bunu işlemeden önce Müşteri'ye bildirir. Sözleşme, bu DPA ve Müşteri'nin Hizmet'i kullanma ve yapılandırma biçimi, Müşteri'nin yapay zeka asistanı üzerinden yaptığı istekler ve orada verdiği onaylar dahil, Müşteri'nin belgelenmiş talimatlarıdır. Bağlı reklam hesaplarındaki değişiklikler, ancak Müşteri bir önizlemeyi görüp onayladıktan sonra uygulanır. Opus Growth, bir talimatın GDPR'ı ya da başka bir veri koruma mevzuatını ihlal ettiği kanaatindeyse bunu Müşteri'ye gecikmeden bildirir.

4. Gizlilik#

Opus Growth, kişisel verileri işlemeye yetkilendirdiği herkesin uygun bir gizlilik yükümlülüğü altında olmasını ve verilere yalnız Hizmet'i sunmak, korumak ve desteklemek için gereken ölçüde erişmesini sağlar.

5. Güvenlik#

Opus Growth, Ek II'de açıklanan teknik ve idari tedbirleri uygular. Genel güvenlik düzeyini düşürmemek kaydıyla bu tedbirleri güncelleyebilir.

6. Alt veri işleyenler#

• Müşteri, Opus Growth'un Ek III'te listelenen alt veri işleyenlerle çalışmasına genel izin verir.
• Opus Growth, bir alt veri işleyen eklemeden ya da değiştirmeden en az 30 gün önce bu sayfadaki Ek III'ü günceller ve Müşteri'ye e-postayla bildirir. Müşteri bu süre içinde, veri korumaya ilişkin makul gerekçelerle itiraz edebilir. Taraflar itirazı çözemezse Müşteri, Hizmet'in etkilenen bölümünü sona erdirebilir ve kalan süre için peşin ödediği ücretin orantılı kısmını geri alır.
• Opus Growth her alt veri işleyene bu DPA'dakinden daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve alt veri işleyenlerinin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı sorumlu kalır.

7. Destek#

• Opus Growth, işlemenin niteliğini dikkate alarak, ilgili kişilerin GDPR III. Bölüm'deki haklarını kullanmak için yaptığı başvuruların yanıtlanmasında Müşteri'ye uygun teknik ve idari tedbirlerle destek olur. Böyle bir başvuru doğrudan Opus Growth'a ulaşırsa gecikmeden Müşteri'ye iletir ve talimat almadıkça kendisi yanıt vermez.
• Opus Growth, elindeki bilgileri dikkate alarak, veri koruma etki değerlendirmeleri ve ön danışma dahil, GDPR 32 ile 36. maddelerdeki yükümlülüklerin yerine getirilmesinde Müşteri'ye destek olur.

8. Kişisel veri ihlalleri#

Opus Growth, Müşteri'nin kişisel verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra Müşteri'ye gecikmeden ve her durumda en geç 48 saat içinde bildirir. Bildirim, o an bilindiği kadarıyla ihlalin niteliğini, etkilenen ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları ve alınan ya da önerilen tedbirleri açıklar. Opus Growth yeni bilgileri öğrendikçe iletir ve ihlali sınırlamak ve gidermek için makul adımları atar.

9. Silme ve iade#

Hizmet sona erdiğinde ya da daha önce Müşteri'nin talebiyle, Opus Growth, kanunen saklanması gerekmedikçe Müşteri'nin kişisel verilerini 30 gün içinde siler. Bir platformun bağlantısını kesmek, o platform için saklanan erişim anahtarını hemen siler. Silinen veriler, Opus Growth'un şifreli yedekleri döndükçe en geç 12 ay içinde yedeklerden de çıkar ve Hizmet'i kurtarmak dışında yedekten geri yüklenmez. Müşteri silmeden önce Hizmet'te bulunan verileri yapay zeka asistanı ya da panel üzerinden dışa aktarabilir.

10. Bilgi ve denetim#

Opus Growth, GDPR 28. madde ve bu DPA'ya uyumu göstermek için gereken bilgileri Müşteri'ye sunar. Müşteri bu bilgileri önce yazılı olarak, örneğin bir güvenlik soru formuyla istemeyi kabul eder; Opus Growth makul bir sürede yanıtlar. Bilgiler yeterli olmazsa Müşteri ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi, 12 aylık dönemde bir kez ya da bir kişisel veri ihlalinden sonra, en az 30 gün önceden bildirerek, mesai saatlerinde, Hizmet'i aksatmadan ve diğer müşterilerin verilerinin güvenliğini ya da gizliliğini tehlikeye atmadan ve masrafı Müşteri'ye ait olmak üzere denetim yapabilir.

11. Uluslararası aktarımlar#

• Opus Growth, Müşteri'nin kişisel verilerini Avrupa Birliği'nde, Almanya ve Finlandiya'da barındırır (Ek III).
• Opus Growth Türkiye'de yerleşik olduğundan, kişisel verilere Türkiye'den erişilmesi üçüncü ülkeye aktarım sayılabilir. GDPR'ın böyle bir aktarıma uygulandığı ölçüde taraflar, bu DPA'ya atıfla dahil edilen SCC'leri akdeder: Müşteri veri aktaran, Opus Growth veri alan olarak Modül İki (veri sorumlusundan veri işleyene) ya da Müşteri veri işleyen olarak hareket ediyorsa Modül Üç (veri işleyenden veri işleyene).
• SCC'ler bakımından: 7. madde (katılım maddesi) uygulanır; 9(a) maddesinde, 6. bölümdeki 30 günlük bildirim süresiyle Seçenek 2 (genel yazılı izin) uygulanır; 11. maddedeki isteğe bağlı ifade uygulanmaz; 13. maddede yetkili denetim makamı Ek I.C'ye göre belirlenir; 17. maddede SCC'ler, üçüncü kişi lehine hakları tanıması kaydıyla Müşteri'nin yerleşik olduğu AB üye devletinin hukukuna, aksi halde İrlanda hukukuna tabidir; 18. maddede uyuşmazlıklar aynı üye devletin mahkemelerinde çözülür. Bu DPA'nın Ek I, II ve III'ü, SCC'lerin Ek I, II ve III'ünü tamamlar.
• Opus Growth kişisel verileri Avrupa Ekonomik Alanı dışındaki bir alt veri işleyene yalnız bir yeterlilik kararı ya da GDPR V. Bölüm'deki başka bir aktarım mekanizması varsa aktarır.

12. Sorumluluk, süre ve öncelik#

• Tarafların bu DPA kapsamındaki sorumluluğu, GDPR'ın ya da SCC'lerin izin vermediği haller dışında, Sözleşme'deki sorumluluk sınırlarına tabidir.
• Bu DPA, Opus Growth Müşteri adına kişisel veri işlediği sürece geçerlidir.
• Çelişki halinde SCC'ler bu DPA'ya, bu DPA da Sözleşme'ye üstün gelir.

Ek I: İşlemenin tanımı#

A. Taraflar. Veri aktaran: Hizmet'i kendi ya da müşterilerinin dijital reklam ve analitik işlerini yönetmek için kullanan Müşteri; veri sorumlusu (ya da 2. bölümde açıklandığı gibi veri işleyen). Veri alan: yukarıda tanımlanan Opus Growth; Hizmet'i sunan veri işleyen (ya da alt veri işleyen).

B. İşlemenin tanımı.

• İlgili kişiler: Hizmet'i kullanan Müşteri çalışanları; Müşteri'nin bağladığı reklam ve analitik hesaplarında verisi bulunan kişiler, örneğin form dolduran potansiyel müşteriler ve hedefleme ya da dönüşüm ölçümü için yüklenen müşteri listelerindeki kişiler; Müşteri'nin Opus Growth tıklama koruması etiketini kurduğu ya da Opus Growth'ta barındırdığı web sitelerinin ziyaretçileri.
• Kişisel veriler: potansiyel müşteri formlarındaki ve müşteri listelerindeki ad, e-posta adresi ve telefon numaraları (çoğu zaman tek yönlü özet olarak); tıklama kimliği, IP adresi ve tarayıcı bilgisi gibi çevrim içi tanımlayıcılar; dönüşüm ve etkileşim verileri; Müşteri'nin Opus Growth'ta barındırdığı sitelerdeki iletişim ve form verileri; Müşteri kullanıcılarının ad ve e-posta adresleri.
• Özel nitelikli veriler: işlenmesi amaçlanmaz. Müşteri, Hizmet'i özel nitelikli kişisel veri işlemek için kullanmamalıdır.
• Sıklık: Müşteri Hizmet'i kullandığı sürece süreklidir.
• İşlemenin niteliği: Müşteri ya da yapay zeka asistanı istediğinde bağlı platformlardan veri okumak; bu veriyi düzenlemek ve özetlemek; Müşteri'nin seçtiği yapay zeka asistanına ve raporlara iletmek; Müşteri onayladıktan sonra bağlı platformlarda değişiklik yapmak; aşağıda açıklanan sınırlı verileri saklamak; Müşteri AI Server kullanıyorsa web sitelerini barındırmak.
• Amaç: Hizmet'in Sözleşme kapsamında sunulması.
• Saklama: reklam ve ölçüm verileri istendiğinde platformdan okunur, tam kopyası tutulmaz. Opus Growth yalnız bir özelliğin ihtiyaç duyduğunu saklar; örneğin son rapor özetleri, Müşteri'nin paylaştığı rapor bağlantıları ve Data Studio için en çok 30 dakika önbelleğe alınan veriler; bunlar hesapla birlikte silinir. Tıklama koruması kayıtları 90 gün saklanır. Erişim anahtarları platform bağlantısı kesilene ya da hesap silinene kadar saklanır. Tam liste Gizlilik Politikası'nın 4. bölümündedir.
• Alt veri işleyenler: Ek III'te listelendiği gibi, aynı nitelik, amaç ve süreyle.

C. Yetkili denetim makamı. Müşteri'nin yerleşik olduğu AB üye devletinin denetim makamı; Müşteri AB'de yerleşik değilse GDPR 27(1). madde uyarınca atadığı temsilcinin yerleşik olduğu üye devletin denetim makamı.

Ek II: Teknik ve idari tedbirler#

• Aktarımda şifreleme: Hizmet'e, API'sine ve bağlayıcıya tüm erişim TLS ile HTTPS üzerinden yapılır.
• Saklamada şifreleme: bağlı platformların erişim ve yenileme anahtarları ile API anahtarları, anahtar değişimini destekleyen doğrulamalı simetrik şifrelemeyle (Fernet) şifreli saklanır. Yedekler sunucudan çıkmadan önce şifrelenir.
• Veri en aza indirme: reklam verileri istendiğinde okunur ve tam olarak kopyalanmaz; yalnız bir özelliğin ihtiyaç duyduğu özetler saklanır.
• Barındırma: Almanya'daki Hetzner veri merkezlerinde sunucular; Finlandiya'da sürekli çoğaltılan salt okunur yedek veritabanı ve şifreli yedekler.
• Erişim kontrolü: sunuculara yönetici erişimi yalnız yetkili makinelerden SSH anahtarıyla ve güvenlik duvarı arkasından; veritabanı çoğaltması özel ağ üzerinden; çalışanlar için en az yetki ilkesi.
• Kullanıcı kimlik doğrulaması: Google ile giriş ya da şifre ve e-postayla gönderilen tek kullanımlık kodla giriş; tek kullanımlık kodlar 15 dakika geçerlidir ve bir kez kullanılabilir; kullanıcılar bağlı yapay zeka uygulamalarını panelden görebilir ve bağlantılarını kesebilir.
• Müşteri hesaplarında değişiklik kontrolü: bağlı bir reklam hesabındaki her değişiklik önizleme olarak gösterilir ve yalnız açık onaydan sonra uygulanır; bütçe değişiklikleri işlem başına ve 24 saat içinde sınırlıdır; tüm işlemler Müşteri'nin inceleyebileceği bir işlem kaydına yazılır.
• Barındırılan sitelerin yalıtımı: her AI Server, kaynak sınırları, kısıtlı dış ağ erişimi ve salt okunur temel sistemle kendi yalıtılmış konteynerinde çalışır.
• Erişilebilirlik ve dayanıklılık: sağlık kontrollü, kesintisiz dağıtımlar; sıcak yedek veritabanı; geri yüklemesi denenmiş, izlenen düzenli yedekler.
• İzleme ve olay müdahalesi: hizmet sağlığı ve hatalar kişisel içerik maskelenerek kaydedilir; kişisel veri ihlalleri 8. bölümde açıklandığı gibi ele alınır.
• Silme: hesap silme 30 gün içinde; bağlantı kesilince anahtarların hemen silinmesi; yedeklerin 12 ay içinde dönmesi.

Ek III: Alt veri işleyenler#

• Hetzner Online GmbH (Almanya): sunucular, veritabanı, web sitesi barındırma, yedek veritabanı ve yedekler. Konum: Falkenstein, Almanya ve Helsinki, Finlandiya. Aktarım mekanizması: gerekmez, işleme AB içinde yapılır.
• Cloudflare, Inc. (ABD): web sitesi, panel ve bağlayıcı için ağ dağıtımı, TLS sonlandırma ve saldırılara karşı koruma (aktarım halindeki veri). Konum: Cloudflare'in küresel ağı; her istek ziyaretçiye en yakın veri merkezinde işlenir. Aktarım mekanizması: AB-ABD Veri Gizliliği Çerçevesi ve SCC'ler.
• Google LLC / Google Ireland Limited: rapor bağlantıları ve bildirimler gibi hizmet mesajları için Google Workspace e-postası. Konum: AB ve ABD. Aktarım mekanizması: AB-ABD Veri Gizliliği Çerçevesi ve SCC'ler.