Veri İşleme Sözleşmesi (DPA)

1. Sözleşmenin tarafları

1.1 Veri sorumlusu, ana sözleşmede, siparişte veya müşteri hesabında belirtilen müşteridir (bundan sonra “Müşteri” olarak anılacaktır).

1.2 Veri işleyen, Gewerbepark West 2a, 8504 Preding, Avusturya adresinde bulunan, FN 676594t, Landesgericht für ZRS Graz, UID ATU83276107, genel müdürü Luca Malli tarafından temsil edilen SimpliServ GmbH'dir (bundan sonra “SimpliServ” olarak anılacaktır).

1.3 SimpliServ, SimpliServ yazılımını Müşteriye hizmet olarak yazılım (SaaS) şeklinde sunar (bundan sonra “Ana Sözleşme”: sipariş dahil SimpliServ GmbH Genel İş Koşulları veya bireysel SaaS sözleşmesi). Bu kapsamda SimpliServ, Müşteri adına kişisel veri işler. Bu sözleşme, SimpliServ'in, çalışanlarının veya alt işleyenlerinin Müşterinin kişisel verileriyle temas ettiği tüm faaliyetler için geçerlidir.

2. Konu ve süre

2.1 SimpliServ, SimpliServ yazılımını sağlamak, işletmek, bakımını yapmak ve Müşteriye destek vermek (destek, kurulum, veri aktarımı, eğitim) amacıyla Müşteri adına kişisel veri işler.

2.2 Bu sözleşme, Ana Sözleşme yürürlükte kaldığı sürece ve bunun ötesinde, SimpliServ Müşterinin tüm verilerini madde 12 uyarınca silinceye veya iade edinceye kadar geçerlidir.

3. İşlemenin niteliği, amacı, veri türleri ve ilgili kişiler

3.1 İşlemenin niteliği: toplama, kaydetme, düzenleme, değiştirme, sorgulama, kullanma, aktarma (Müşterinin talimatıyla), kısıtlama ve silme.

3.2 Amaç: Müşterinin kullandığı işlevlerin işletilmesi; özellikle müşteri ve araç yönetimi, siparişler ve talepler (ticket), randevular, teklifler, faturalar ve kasa, ödemeler, stok ve satın alma, nihai müşterilerle iletişim (e-posta, SMS, WhatsApp, telefon), vardiya planı, çalışma süresi takibi ve personel belgeleri, imzalar, raporlamalar ile Müşterinin etkinleştirdiği ölçüde yapay zekâ destekli işlevler.

3.3 Veri türleri: kimlik ve iletişim verileri (ad, adres, e-posta, telefon, şirket, KDV numarası); sözleşme, sipariş ve araç verileri (ör. plaka, şasi numarası, onarım geçmişi); fatura, ödeme ve banka verileri (IBAN, SEPA talimatları, ödeme durumu); iletişim içerikleri (etkinleştirildiği ölçüde mesajlar, e-postalar, arama kayıtları ve transkriptler); Müşterinin çalışanlarına ait veriler (kaydedildiği ölçüde vardiya planı, çalışma saatleri, devamsızlıklar, iş sözleşmeleri, ücret ve vergi verileri); Müşterinin yüklediği imzalar, fotoğraflar, belgeler ve dosyalar; erişim ve kayıt (log) verileri (kullanıcı hesabı, IP adresi, zaman, etkinlikler).

3.4 İlgili kişiler: Müşterinin nihai müşterileri ve potansiyel müşterileri, Müşterinin çalışanları ve iş başvurusu sahipleri, Müşterinin tedarikçileri ve iş ortakları ile bunların irtibat kişileri, yazılımın kullanıcıları.

3.5 GDPR madde 9 kapsamındaki özel nitelikli veriler planlı olarak işlenmez. Müşteri bu tür verileri (ör. hastalık izinleri) kaydederse, hukuki dayanağı sağlamakla kendisi yükümlüdür.

4. Talimatlar

4.1 SimpliServ verileri yalnızca Müşterinin belgelenmiş talimatı üzerine işler; AB hukuku veya bir üye devletin hukuku bunu zorunlu kılıyorsa bu kural uygulanmaz. Bu durumda SimpliServ, kanunun izin verdiği ölçüde, söz konusu yükümlülüğü Müşteriye önceden bildirir.

4.2 Talimatlar bu sözleşmeden, Ana Sözleşmeden ve Müşterinin yazılımda yaptığı ayarlardan doğar. Müşteri münferit talimatlarını metin şeklinde verir (e-posta yeterlidir).

4.3 SimpliServ bir talimatın hukuka aykırı olduğu kanaatindeyse, Müşteriyi gecikmeksizin bilgilendirir ve konu açıklığa kavuşturuluncaya kadar talimatın uygulanmasını askıya alabilir.

4.4 SimpliServ verileri kendi amaçları için kullanmaz. Özellikle veriler satılmaz ve yapay zekâ modellerinin eğitimi için kullanılmaz. Yazılımın işletilmesi ve iyileştirilmesi amacıyla, kişilerle ilişkilendirilemeyen anonimleştirilmiş kullanım istatistikleri oluşturulabilir.

5. İşleme yeri

5.1 Sunucular, veri tabanları ve yedekler Almanya'da bulunur. Ek 1'de belirtilen bazı hizmetler verileri AB veya AEA dışında da işleyebilir; bunlar için madde 5.2 geçerlidir.

5.2 Üçüncü bir ülkeye aktarım, yalnızca GDPR madde 44 ve devamındaki koşulların sağlanması halinde gerçekleşir (yeterlilik kararı, özellikle EU-US Data Privacy Framework, veya standart sözleşme maddeleri). İlgili alt işleyenler Ek 1'de belirtilmiştir.

6. Gizlilik

6.1 SimpliServ bünyesinde verilere erişimi olan tüm kişiler yazılı olarak gizlilik yükümlülüğü altına alınmıştır (Avusturya Veri Koruma Kanunu (DSG) § 6 uyarınca veri gizliliği). Bu yükümlülük, görevlerinin sona ermesinden sonra da devam eder.

6.2 Müşteri verilerine yalnızca görevleri için buna ihtiyaç duyan kişiler, özellikle Müşterinin talebi üzerine destek sağlamak amacıyla erişebilir.

7. Teknik ve idari tedbirler

7.1 SimpliServ, GDPR madde 32 uyarınca Ek 2'de açıklanan tedbirleri alır.

7.2 SimpliServ, koruma düzeyi düşmediği sürece tedbirleri teknolojinin güncel durumuna uyarlayabilir. Önemli değişiklikler belgelenir.

8. Alt işleyenler

8.1 Müşteri, Ek 1'de belirtilen alt işleyenleri onaylar. İsteğe bağlı olarak işaretlenen hizmetler, yalnızca Müşteri ilgili işlevi etkinleştirdiğinde kullanılır.

8.2 SimpliServ, yeni veya değiştirilen alt işleyenleri en az 4 hafta önceden metin şeklinde bildirir (e-posta, yazılım içi bildirim veya bu sayfanın güncellenmesi). Müşteri bu süre içinde veri koruma hukukuna dayanan haklı bir sebeple itiraz edebilir. Taraflar bir çözüm bulamazsa, Müşteri Ana Sözleşmeyi ilgili hizmet bakımından olağanüstü fesih yoluyla sona erdirebilir.

8.3 SimpliServ, her alt işleyene sözleşme yoluyla bu sözleşmedeki veri koruma yükümlülüklerinin aynısını yükler ve bunlara uyulmasından sorumludur.

8.4 Müşteri verilerine erişim içermeyen yan hizmetler (ör. telekomünikasyon) ile Müşterinin kendisinin sözleşme yaptığı ve kendisinin bağladığı hizmetler alt işleme niteliğinde değildir. Bu hizmetlerden Müşteri kendisi sorumludur.

9. Müşteriye destek

9.1 SimpliServ, ilgili kişilerin taleplerinde (GDPR madde 12 ila 22) Müşteriye uygun tedbirlerle destek olur. Yazılım bu amaçla görüntüleme, dışa aktarma, düzeltme ve silme işlevleri sunar. İlgili kişi doğrudan SimpliServ'e başvurursa, SimpliServ talebi gecikmeksizin Müşteriye iletir.

9.2 SimpliServ; işleme güvenliği, kişisel veri ihlallerinin bildirilmesi, veri koruma etki değerlendirmeleri ve ön istişareler konularında (GDPR madde 32 ila 36) Müşteriye destek olur.

9.3 SimpliServ, yazılımın işlevlerini ve olağan bilgilendirmeleri aşan destek hizmetlerini, SimpliServ'in bir ihlalinden kaynaklanmadıkça harcanan emeğe göre ücretlendirebilir.

10. Kişisel veri ihlalleri

10.1 SimpliServ, kişisel veri ihlalini öğrendikten sonra gecikmeksizin, en geç 24 saat içinde Müşteriye bildirir. Bildirim, bilindiği ölçüde GDPR madde 33 fıkra 3'te öngörülen bilgileri içerir.

10.2 SimpliServ, ihlali sınırlamak ve sonuçlarını hafifletmek için derhal önlem alır.

11. Kanıtlar ve denetimler

11.1 SimpliServ, talep üzerine bu sözleşmeye uyulduğunu kanıtlamak için gerekli bilgileri Müşteriye sunar. Bunun için kural olarak ekler, yazılı açıklamalar ve veri merkezlerinin sertifikaları yeterlidir.

11.2 Müşteri veya Müşteri tarafından görevlendirilen ve sır saklama yükümlülüğü altındaki bir denetçi, yerinde denetim yapabilir: en az 14 gün önceden bildirimde bulunarak, mesai saatleri içinde, işleyişi aksatmadan ve kural olarak yılda en fazla bir kez. Her taraf kendi masraflarını kendisi karşılar.

12. Silme ve iade

12.1 Müşteri, sözleşme süresi boyunca verilerini istediği zaman kendisi dışa aktarabilir (ör. CSV, PDF belgeler).

12.2 Ana Sözleşmenin sona ermesinden sonra SimpliServ, Müşteri önceden iadesini talep etmedikçe veya bir kanun saklamayı zorunlu kılmadıkça, Müşterinin verilerini 90 gün içinde siler. Yedeklerdeki veriler, yedek saklama süresinin dolmasıyla, en geç 90 gün daha sonra üzerine yazılarak silinir. Kasa verileri yasal saklama süresi boyunca değiştirilemez şekilde arşivlenir ve ancak bu sürenin sonunda silinir.

12.3 Müşteri kendi saklama yükümlülüklerini (ör. faturalar ve kasa verileri için) verileri zamanında dışa aktararak yerine getirir. Talep halinde SimpliServ silme işlemini metin şeklinde teyit eder.

13. Sorumluluk ve son hükümler

13.1 Sorumluluk bakımından GDPR madde 82 uygulanır. Bunun dışında Ana Sözleşmenin sorumluluk hükümleri geçerlidir.

13.2 Çelişki halinde, veri korumaya ilişkin konularda bu sözleşme Ana Sözleşmeye göre öncelikli olarak uygulanır.

13.3 Değişiklikler metin şeklinde yapılmalıdır. Bir hükmün geçersiz olması halinde diğer hükümler geçerliliğini korur.

13.4 Kanunlar ihtilafı kuralları hariç olmak üzere Avusturya hukuku uygulanır. Kanunen izin verildiği ölçüde yetkili mahkeme Graz mahkemeleridir.

13.5 SimpliServ'in veri koruma irtibat kişisi: Luca Malli, Genel Müdür, datenschutz@simpliserv.com. SimpliServ GmbH'nin şu anda bir veri koruma görevlisi atama yükümlülüğü bulunmamaktadır.

Ek 1: Alt işleyenler

Müşteri aşağıdaki hizmet sağlayıcıları onaylar. “Her zaman”: Hizmet her müşteri için kullanılmaktadır. “İsteğe bağlı”: Hizmet yalnızca Müşteri ilgili işlevi etkinleştirdiğinde kullanılır.

Alt işleyen olmayan hizmetler

Müşterinin kendisinin satın aldığı ve bağladığı hizmetler SimpliServ'in alt işleyenleri değildir. Bunlar arasında Stripe, Mollie ve SumUp (ödemeler), Lexware, ZIR, VeloConnect, JTL-Wawi, WooCommerce, Shopify ve Wix (arayüzler), DHL ve Österreichische Post (gönderim), JobRad ve leasing kontrolleri, banka verisi çekme ile Microsoft 365 (Müşterinin posta kutusu) yer alır. Bu hizmetler için Müşteri, sağlayıcıyla kendi sözleşmesini yapar.

Kendi sunucularımızda işletilen

PDF oluşturma, arama, gerçek zamanlı bildirimler, belge düzenleme, görüntülü randevular ve e-posta barındırma, SimpliServ'in Almanya'da Hetzner bünyesindeki kendi sunucularında çalışır.

Ek 2: Teknik ve idari tedbirler (GDPR madde 32)