1. Giriş
1.1 Bu Veri İşleme Sözleşmesi ("DPA"), Scholé Sàrl, EPFL IC IINFCOM ML4ED, INF 231 (Bâtiment INF), Station 14, 1015 Lausanne, İsviçre ("Sağlayıcı") tarafından Scholé platformunu ve ilgili hizmetleri kullanan herhangi bir kuruluş veya birey ("Müşteri") adına kişisel verilerin işlenmesini düzenler. Bu DPA, Müşteri ile Sağlayıcı arasındaki anlaşmanın bir parçasını oluşturur ve Müşteri Kişisel Verilerinin işlenmesi ve güvenliği konusundaki tarafların taahhüdünü yansıtır.
1.2 Bu DPA'da kullanılan "veri sahibi", "işleme", "kontrolör" (sırasıyla "veri dosyasının kontrolörü") ve "işleyici" terimleri, İsviçre Veri Koruma Mevzuatı veya GDPR'de belirtilen anlamlara sahiptir ve bunların ilgili uygulama kapsamına bağlıdır. Büyük harfle yazılmış terimler, 12. Bölümde tanımlanmıştır.
2. Veri Koruma Mevzuatları
2.1 Müşteri Kişisel Verilerinin işlenmesine, duruma bağlı olarak, aşağıdaki veri koruma mevzuatları uygulanabilir:
- İsviçre Veri Koruma Mevzuatı
- AB Genel Veri Koruma Tüzüğü (GDPR)
- Diğer Uygulanabilir Veri Koruma Mevzuatı
2.2 Aksi belirtilmedikçe, bu DPA'nın hükümleri, Müşteri Kişisel Verilerinin işlenmesine hangi mevzuatın uygulandığından bağımsız olarak geçerli olacaktır.
3. Veri İşleme
3.1 Roller ve Uyumluluk
3.1.1 İsviçre Veri Koruma Mevzuatı veya GDPR uygulanıyorsa: (a) Müşteri, Müşteri Kişisel Verilerinin bir veri sorumlusu veya üçüncü bir taraf için bir veri işleyicisidir; (b) Sağlayıcı, Müşteri Kişisel Verilerinin bir veri işleyicisidir, ancak yasal yükümlülüklere uymak veya hizmet sunumuna bağlı iç iş operasyonları için veri işlediği durumlar hariç (bu durumda bağımsız bir veri sorumlusu olarak hareket eder); ve (c) her bir taraf, geçerli mevzuat kapsamındaki yükümlülüklerine uyacaktır.
3.1.2 Müşteri, üçüncü bir taraf için bir veri işleyici ise, Müşteri, Müşteri talimatları ve Sağlayıcının başka bir veri işleyici olarak atanması konusunda ilgili veri sorumlusunun açık ön onayını aldığını garanti eder.
3.2 İşleme Kapsamı
3.2.1 Sağlayıcı, bu DPA'ya uygun olarak Müşteri Kişisel Verilerini işleyecektir. Veri işleyici olarak hareket ederken, Sağlayıcı, Müşteri Kişisel Verilerini yalnızca Müşteri tarafından belgelenmiş talimatlara göre işlemeyi taahhüt eder, aksi takdirde Sağlayıcıya uygulanabilir mevzuat başka bir işlemeyi gerektiriyorsa, Sağlayıcı bu yasal gerekliliği işlemeye başlamadan önce Müşteriye bildirecektir.
3.2.2 Bu DPA'yı kabul ederek, Müşteri, Sağlayıcıya Müşteri Kişisel Verilerini yalnızca Hizmetleri sağlamak ve iyileştirmek amacıyla, bu DPA ve geçerli Sözleşmede belgelenmiş şekilde işlemeyi talimat verir. Herhangi bir ek veya alternatif talimat yazılı olarak kabul edilmelidir.
3.3 Müşterinin Yükümlülükleri
Müşteri, Hizmetler bağlamında işlenen Müşteri Verilerinin kalitesinden, yasallığından ve uygunluğundan sorumlu olacak ve işleme nedeniyle etkilenen üçüncü taraflara karşı sorumlu olacaktır. Özellikle, Müşteri şunlardan sorumludur:
- Kişisel verilerin toplanması ve işlenmesi hakkında veri sahiplerine yeterli bilgi sağlamak
- Uygulanabilir Veri Koruma Mevzuatı kapsamında gerekli olduğunda veri sahiplerinin geçerli onayını almak
- Veri sahiplerinin tüm haklarına (ör. erişim ve düzeltme hakkı, itiraz hakkı) ve yetkili veri koruma otoritelerine karşı yükümlülüklere uyumu sağlamak
- Müşterinin kendisinin gerçekleştirmeye yetkili olacağı işleme operasyonlarını yalnızca Sağlayıcıya devretmek
3.4 Sorumluluk
Müşteri, Hizmetler çerçevesinde Müşteri Kişisel Verilerinin işlenmesinden yalnızca kendisi sorumlu olacaktır. Müşteri, Sağlayıcının Sözleşme kapsamında izin verilen şekilde Hizmetler çerçevesinde Müşteri Kişisel Verilerinin herhangi bir işlenmesini, tüm geçerli yasalara uygun olarak kabul edeceğini kabul eder.
4. Verilerin Silinmesi
İlişkinin sona ermesi üzerine, Müşteri, Sağlayıcıdan tüm Müşteri Kişisel Verilerini (mevcut kopyalar dahil) Müşteriye veya Müşteri tarafından belirlenen bir üçüncü tarafa aktarmasını talep edebilir. Sağlayıcı, teknik veya yasal nedenlerle tüm Müşteri Kişisel Verilerini veya bir kısmını saklaması gerektiğinde, mümkün olan en kısa sürede uyacaktır. Bu durumda, Sağlayıcı bu verileri yalnızca bu nedenlerle saklayacak ve işleyecek ve uygun teknik ve organizasyonel önlemler aldığını gösterebilecektir.
5. Veri Güvenliği
5.1 Güvenlik Önlemleri
5.1.1 Sağlayıcı, Müşteri Kişisel Verilerini Güvenlik Olaylarına karşı korumak için uygun teknik ve organizasyonel önlemleri uygular ve sürdürür. Müşteri verileri:
- Microsoft Azure altyapısında İsviçre'de depolanır
- Dinlenme ve aktarım sırasında şifrelenir
- Diğer tüm müşterilerin verilerinden mantıksal olarak ayrılmıştır
- Sektörün en iyi güvenlik uygulamalarına uygun şekilde korunur
5.1.2 Sağlayıcı, çalışanlarının ve alt yüklenicilerinin güvenlik önlemlerine uyumunu sağlamak için uygun önlemleri alır, özellikle Müşteri Kişisel Verilerini işleme yetkisi olan tüm kişilerin gizliliği koruma yükümlülüğüne sözleşme yoluyla bağlı olmasını veya uygun bir yasal gizlilik yükümlülüğüne tabi olmasını sağlar.
5.2 Güvenlik Olayları
5.2.1 Sağlayıcı bir Güvenlik Olayından haberdar olursa, olayın niteliğini, potansiyel riskleri azaltmak için alınan önlemleri ve Müşteriye önerilen önlemleri tanımlayarak mümkün olan en kısa sürede Müşteriyi herhangi bir uygun yolla bilgilendirecektir.
5.2.2 Sağlayıcı, dahil olan veri türünü belirlemek amacıyla Müşteri Verilerinin içeriğini incelemeyecektir. Müşteri, yetkili makamlara ve/veya veri sahiplerine bildirimde bulunma yükümlülüklerine uymaktan yalnızca kendisi sorumludur. Sağlayıcı, bu konuda Müşteriye makul bir yardım sağlayacaktır.
5.3 Denetimler
5.3.1 GDPR'nin geçerli olduğu durumlarda, Sağlayıcı, bu DPA kapsamındaki yükümlülüklerine uyumu göstermek için Müşteriye makul şekilde gerekli tüm belgeleri ve bilgileri sağlayacaktır.
5.3.2 GDPR'nin geçerli olduğu durumlarda, Sağlayıcı, Müşteriye veya Müşteri tarafından atanan bağımsız bir denetçiye, uyumu doğrulamak için denetimler (incelemeler dahil) yapma izni verecektir. Olağanüstü durumlar dışında, Müşteri yılda bir kereden fazla talepte bulunamaz. Denetim talepleri yazılı olarak iletilmeli, ilgili veriler, nedenler, denetlenecek özel yükümlülükler belirtilmeli ve toplanan bilgilerin yalnızca uyumu sağlamak için kullanılacağına dair bir taahhüt içermelidir.
6. Sağlayıcının Yardımı
6.1 Sağlayıcı, Müşteri tarafından talep edilmesi halinde, Müşterinin İsviçre Veri Koruma Mevzuatı veya GDPR kapsamındaki yükümlülüklerini yerine getirmesi için makul bir yardım sağlayacaktır.
6.2 Sağlayıcı, bir veri sahibinden Müşteri Kişisel Verileriyle ilgili bir talep alırsa, veri sahibine talebi Müşteriye iletmesini yönlendirecektir. Bu tür taleplere yanıt vermek yalnızca Müşterinin sorumluluğundadır.
6.3 Sağlayıcı, Hizmetlerin işlevselliğiyle uyumlu ve makul ölçüde olmak kaydıyla, Müşteriye veri sahiplerine yönelik yükümlülüklerini yerine getirmesi konusunda yardımcı olacaktır. Bu, Geçerli Veri Koruma Mevzuatı kapsamındaki tüm hakları (erişim, düzeltme, sınırlama, itiraz, silme ve taşınabilirlik) kapsar.
6.4 GDPR'nin geçerli olduğu durumlarda, Sağlayıcı, GDPR'nin 35. ve 36. Maddeleri veya İsviçre Veri Koruma Mevzuatı uyarınca veri koruma etki değerlendirmesi ve ön danışma yükümlülüklerine uyumu sağlamak için Müşteriye makul ölçüde yardımcı olmayı taahhüt eder.
7. Uluslararası Veri Aktarımları
7.1 Aksi belirtilmedikçe, Sağlayıcı, Müşteri Kişisel Verilerini İsviçre ve Avrupa Birliği'nde veya Avrupa Komisyonu ve İsviçre tarafından kişisel veri koruma düzeyinin yeterli olduğu kabul edilen bir ülkede saklayacak ve işleyecektir.
7.2 Sağlayıcı, yukarıda belirtilmeyen bir ülkeye herhangi bir transferden önce Müşteri'yi bilgilendirecek ve Müşteri, Sağlayıcı'nın herhangi bir faydalı yöntemle yeterli bir koruma düzeyini garanti edebilmesi koşuluyla bu transferi yetkilendirmeyi taahhüt eder.
7.3 Sağlayıcı, yeterli koruma sağlamadığı kabul edilen bir üçüncü ülkede bir alt işleyici ile çalıştığında, GDPR veya İsviçre Veri Koruma Mevzuatına uymak için Avrupa Komisyonu'nun Standart Sözleşme Maddelerini veya başka bir yasal mekanizmayı kullanabilir.
8. Alt İşleme
8.1 Müşteri, Sağlayıcı'nın bağlı kuruluşlar veya üçüncü taraflar olabilecek alt işleyiciler kullanmasını yetkilendirir. Sağlayıcı, alt işleyicilerin eklenmesi veya değiştirilmesiyle ilgili planlanan değişiklikleri önceden ve yazılı olarak Müşteri'ye bildirecek ve Müşteri'nin itirazda bulunmasına olanak tanıyacaktır.
8.2 Sağlayıcı, (a) alt işleyicilerin yalnızca Müşteri Kişisel Verilerine erişip bunları yükümlülüklerini yerine getirmek için gerekli ölçüde işlemesini; (b) alt işleyicilerin bu DPA'daki hükümlere en az eşdeğer sözleşmesel yükümlülüklere sahip olmasını; ve (c) GDPR'nin uygulandığı durumlarda, alt işleyiciye GDPR Madde 28(3)'te belirtilen yükümlülüklerin dayatılmış olmasını sağlar.
8.3 Müşteri, planlanan bir ekleme veya değişiklik hakkında bilgilendirildikten sonra itirazlarını sunmak için 30 günü vardır. Sağlayıcı atamayı onaylarsa, Müşteri, yazılı bildirimle 14 gün içinde geçerli Sözleşmeyi derhal feshedebilir. Bu süreler içinde tepki verilmemesi kabul olarak değerlendirilecektir.
Alt işleyicilerin güncel listesi, her biri için ülke, işleme bölgesi, amaç ve aktarım dayanağı ile birlikte şu adreste yayımlanmıştır: app.schole.ai/sub-processors.
9. İşleme Faaliyetleri Kaydı
Müşteri, Sağlayıcı'nın belirli bilgileri (her işleyicinin ve/veya kontrolörün adı ve iletişim bilgileri ve gerçekleştirilen işleme kategorileri dahil) toplaması ve saklaması ve bu bilgileri yetkili bir makama sunması gerekebileceğini kabul eder. Müşteri, bu yükümlülükleri yerine getirmek için Sağlayıcı'ya makul ölçüde gerekli tüm bilgileri sağlamayı taahhüt eder.
10. Veri Koruma Konuları İçin İletişim
GDPR, Müşteri'nin bir veri koruma görevlisi atamasını gerektiriyorsa, Müşteri bu kişinin iletişim bilgilerini Sağlayıcı'ya sağlamalıdır.
Bu DPA ve/veya veri koruma ile ilgili Sağlayıcı'ya yapılacak tüm iletişimler şu adrese yönlendirilmelidir: Veri Koruma Ekibi, privacy@schole.ai
11. Çeşitli Hükümler
11.1 Bu DPA'da ele alınmayan tüm hususlarda geçerli Sözleşme hükümleri uygulanır.
11.2 Bu DPA ile geçerli bir Sözleşme'nin hükümleri arasında bir çelişki olması durumunda, bu DPA'nın hükümleri, Sözleşme'de belirtilen açık sapmalar haricinde öncelikli olacaktır.
11.3 Bu DPA, Müşteri Hizmetleri kullandığı sürece geçerlidir. Geçerli Sözleşme'nin sona ermesi veya feshi, Sağlayıcı'nın Müşteri Kişisel Verilerini saklamaya devam ettiği herhangi bir dönem dahil olmak üzere, bu DPA yürürlükte kalacaktır. Taraflardan herhangi biri, 6 aylık yazılı bildirimle bu DPA'yı feshedebilir.
11.4 Bu DPA'nın herhangi bir hükmünün geçersiz veya uygulanamaz olduğu tespit edilirse, taraflar aynı hukuki ve ekonomik amaçları gerçekleştiren bir yedek hükümle değiştirecektir. Bu DPA'nın geri kalan kısmı tam olarak yürürlükte kalacaktır.
11.5 Bu DPA, İsviçre yasalarına (hukuklar ihtilafı hükümlerine atıfta bulunmaksızın) tabi olacaktır. Herhangi bir uyuşmazlık, Sağlayıcı'nın kayıtlı ofisinin bulunduğu mahkemelerin münhasır yargı yetkisine sunulacak ve İsviçre Federal Mahkemesi'ne temyiz hakkı saklı kalacaktır.
12. Tanımlar
- "Sözleşme", Müşteri ile Sağlayıcı arasında Hizmetlerin yerine getirilmesine ilişkin herhangi bir anlaşma, Hizmet Şartları dahil, anlamına gelir.
- "Geçerli Veri Koruma Mevzuatı", İsviçre Veri Koruma Mevzuatı, GDPR ve diğer Geçerli Veri Koruma Mevzuatını ifade eder.
- "Müşteri Verileri", Müşteri tarafından Sağlayıcı'ya iletilen, Sağlayıcı tarafından Müşteri adına toplanan veya Hizmetlerle bağlantılı olarak Sağlayıcı tarafından üretilen verileri ifade eder.
- "Müşteri Kişisel Verileri", Geçerli Veri Koruma Mevzuatına uygun olarak, Müşteri Verilerinde yer alan tanımlanmış veya tanımlanabilir bir gerçek kişiyle ilgili herhangi bir bilgiyi ifade eder.
- "GDPR", 27 Nisan 2016 tarihli ve bireylerin kişisel verilerinin işlenmesi ve bu verilerin serbest dolaşımı ile ilgili olarak korunmasına dair Avrupa Parlamentosu ve Konseyi'nin (AB) 2016/679 sayılı Tüzüğünü ifade eder.
- "Güvenlik Olayı", Müşteri Kişisel Verilerinin kazara veya yasa dışı bir şekilde yok edilmesi, kaybolması, değiştirilmesi, yetkisiz ifşa edilmesi veya erişilmesiyle sonuçlanan bir güvenlik ihlalini ifade eder.
- "Hizmetler", Sağlayıcı tarafından Müşteri'ye sağlanan tüm hizmetleri, Scholé platformu ve ilgili hizmetler dahil, ifade eder.
- "İsviçre Veri Koruma Mevzuatı", İsviçre Federal Veri Koruma Yasası ve zaman zaman değiştirilebilecek uygulama yönetmeliklerini ifade eder.