Veri İşleme Sözleşmesi (DPA)

1.1 Temel Tanımlar

1.2 Veri Koruma Yasaları

Veri korunması ve mahremiyetle ilgili tüm geçerli yasaları ifade eder:

• AB Genel Veri Koruma Tüzüğü (GDPR)
• Türkiye Kişisel Verilerin Korunması Kanunu (KVKK)
• California Tüketici Mahremiyeti Yasası (CCPA)
• Diğer geçerli veri koruma düzenlemeleri

2.1 Tarafların İlişkisi

• Müşteri, Kişisel Veriler için Veri Sorumlusu sıfatıyla hareket eder
• LUNAAR, bu VİS kapsamında işlenen Kişisel Veriler için Veri İşleyici sıfatıyla hareket eder
• Bu VİS, LUNAAR tarafından Müşteri adına gerçekleştirilen tüm İşleme faaliyetleri için geçerlidir

2.2 Müşteri Talimatları

• İşlemci, Kişisel Verileri yalnızca Veri Sorumlusunun belgelenmiş talimatları üzerine işleyecektir
• Sözleşme ve bu VİS, Veri Sorumlusunun tam talimatlarını oluşturur
• Ek talimatlar yazılı anlaşma gerektirir ve ek ücretler doğurabilir

3.1 Veri Sahibi Kategorileri

• Müşterinin çalışanları ve personeli
• Müşterinin müşterileri
• Müşterinin tedarikçileri ve ortakları
• Müşterinin hizmet kullanıcıları
• Müşterinin sağladığı diğer kişiler

3.2 Kişisel Veri Türleri

• Kimlik verileri (ad, kimlik numaraları)
• İletişim bilgileri (e-posta, telefon, adres)
• Hesap kimlik bilgileri ve kimlik doğrulama verileri
• Ödeme ve faturalandırma bilgileri
• Kullanım verileri ve analitik
• Görüntüler ve görsel içerik
• Yapay zeka tarafından üretilen içerik ve çıktılar
• Müşterinin yüklediği veya işlediği diğer veriler

3.3 İşleme Faaliyetleri

• Veri depolama ve barındırma
• Yapay zeka modeli işleme ve üretim
• Veri yedekleme ve kurtarma
• Teknik destek hizmetleri
• Analitik ve raporlama
• Güvenlik izleme
• Hizmet geliştirme

4.1 Uyum

İşlemci şunları yapacaktır:

• Kişisel Verileri Veri Koruma Yasalarına uygun şekilde işlemek
• İşleme faaliyetlerinin kayıtlarını tutmak
• Denetim makamlarıyla işbirliği yapmak
• Tasarımla mahremiyet ilkelerini uygulamak

4.2 Veri Güvenliği

Güvenlik Önlemleri

İşlemci uygun teknik ve organizasyonel önlemleri uygulayacak ve sürdürecektir:

• Dinlenmedeki veriler için şifreleme (AES-256) ve aktarımda (TLS 1.3)
• Erişim kontrolleri ve kimlik doğrulama mekanizmaları
• Düzenli güvenlik değerlendirmeleri ve penetrasyon testleri
• Olay müdahale ve afet kurtarma prosedürleri
• Veri merkezlerinin fiziksel güvenliği

4.3 Veri Sahibi Hakları

İşlemci şunları yapacaktır:

• Veri Sorumlusuna veri sahibi taleplerine yanıt vermede yardımcı olmak
• Veri sahibi haklarını desteklemek için teknik önlemler uygulamak
• Veri sahiplerinden gelen doğrudan talepleri derhal Veri Sorumlusuna bildirmek
• Yetkilendirilmedikçe veri sahiplerine doğrudan yanıt vermemek

5.1 Mevcut Alt İşlemciler

5.2 Alt İşlemci Gereksinimleri

İşlemci şunları yapacaktır:

• Alt İşlemcilere aynı veri koruma yükümlülüklerini yüklemek
• Alt İşlemci performansından tam sorumlu kalmak
• Uluslararası transferler için uygun güvenceler sağlamak

6.1 Transfer Mekanizmaları

AEA/yeterli ülkeler dışına transferler için İşlemci şunları sağlayacaktır:

• Standart Sözleşme Maddelerinin yerinde olması
• Gerektiğinde tamamlayıcı önlemler
• Schrems II gereksinimlerine uyum

6.2 Transfer Güvenceleri

• Talep üzerine veri yerelleştirme seçenekleri mevcut
• Tüm uluslararası transferlerin şifrelenmesi
• Coğrafi konuma dayalı erişim kısıtlamaları
• Üçüncü ülke yasalarının düzenli değerlendirmesi

7.1 Olay Müdahalesi

Güvenlik Olayından haberdar olduktan sonra İşlemci şunları yapacaktır:

• Veri Sorumlusuna gecikmeksizin bildirmek (72 saat içinde)
• Olayı araştırmak ve belgelemek
• Etkileri azaltmak için önlemler uygulamak
• Veri Sorumlusunun soruşturmasına işbirliği yapmak

7.2 Bildirim İçeriği

Olay bildirimleri şunları içerecektir:

• Olayın niteliği ve kapsamı
• Etkilenen veri sahibi kategorileri ve sayısı
• İlgili Kişisel Veri kategorileri ve hacmi
• Muhtemel sonuçlar ve riskler
• Alınan veya önerilen önlemler
• Daha fazla bilgi için iletişim noktası

8.1 Saklama Süresi

• Kişisel Veriler yalnızca gerekli olduğu sürece saklanır
• Saklama süreleri Veri Sorumlusu talimatlarıyla tanımlanır
• Yasal saklama gereksinimleri silme taleplerini geçersiz kılar

8.2 Veri İade ve Silme

Sonlandırma veya Veri Sorumlusu talebi üzerine:

• Tüm Kişisel Verileri kararlaştırılan formatta iade etmek
• Yasal olarak saklamak gerekmedikçe tüm kopyaları silmek
• Silme sertifikası sağlamak
• Silme işlemini 30 gün içinde tamamlamak

9.1 Yasal Talimatlar

Veri Sorumlusu şunları yapacaktır:

• Talimatların Veri Koruma Yasalarına uygun olmasını sağlamak
• İşleme için yasal dayanağa sahip olmak
• Gerekli rızaları almak
• Veri minimizasyonu ilkelerine uymak

9.2 Haklar ve Yetkilendirmeler

Veri Sorumlusu şu haklara sahip olduğunu garanti eder:

• Kişisel Verileri sağlamak için tüm gerekli haklar
• Gerekli rızaların alınması
• Veri sahiplerine gerekli bildirimlerin yapılması
• Bu VİS'e girme yetkisi

10.1 Sorumluluk Dağılımı

• Her taraf kendi uyumsuzluğundan sorumludur
• İşlemci, Veri Sorumlusunun talimatları dışında İşleme'den sorumludur
• Veri Sorumlusu yasadışı talimatlardan sorumludur

10.2 Sorumluluk Sınırlaması

• Veri Koruma Yasalarının zorunlu hükümlerine tabidir
• Toplam sorumluluk ana Sözleşme'de belirtildiği şekilde sınırlandırılır
• Düzenleyici para cezalarını ve cezalarını hariç tutar

11.1 Avrupa Birliği (GDPR)

• İşlemci, GDPR Madde 28 uyarınca hareket eder
• Standart Sözleşme Maddeleri referansla dahil edilir
• Veri Koruma Görevlisi: spark@lunaarvision.com

11.2 Türkiye (KVKK)

• KVKK gereksinimlerine uyum
• VERBİS kaydının tutulması
• Yerel veri residansı seçenekleri mevcut

11.3 Kaliforniya (CCPA/CPRA)

• CCPA uyarınca Hizmet Sağlayıcı
• Kişisel Bilgi satışı yok
• Belirli Amaç Sınırlaması geçerlidir