PhotoRobot Veri İşleme Anlaşması (DPA)
Bu belge, PhotoRobot Veri İşleme Anlaşması: Sürüm 1.0 — PhotoRobot Edition, uni-Robot Ltd., Çek Cumhuriyeti'ni temsil etmektedir.
1. Partiler
Bu Veri İşleme Anlaşması ("DPA") şu alanlar arasında yapılır:
Kontrolör (Müşteri)
PhotoRobot Hizmet Şartları'na giren ve Hizmeti kullanan kişi veya tüzel kişi.
ve
İşlemci:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Prag 1
Çek Cumhuriyeti
Şirket Kimliği: 01478061
KDV Kimliği: CZ01478061
E-posta: legal@photorobot.com
Bundan sonra topluca "Taraflar" olarak adlandırılacaktır.
Bu DPA, PhotoRobot Hizmet Şartlarını tamamlar ve PhotoRobot Müşteri adına kişisel verileri işlediğinde geçerlidir.
2. Konu ve İşlemin Doğası
PhotoRobot ("İşlemci"), Müşteri ("Kontrolör") tarafından yüklenen görseller, meta veriler ve ilgili dijital içeriği işlemek için bulut tabanlı hizmetler, yerel yazılım uzantıları, firmware yönetimi ve barındırma altyapısı sağlar.
İşleme şunları içerir:
- Koleksiyon
- Depolama
- Şanzıman
- Meta Veri Çıkarımı
- CL ↔ Cloud arasındaki senkronizasyon
- Müşteri tarafından yüklenen içeriğin barındırılması
- Loglar ve Tanı Oluşturma
- Yedek Operasyonlar
İşleme, belgelenmiş talimatlara göre Kontrolör adına kesinlikle gerçekleştirilir.
3. Süre
Bu DPA, Taraflar arasındaki sözleşme ilişkisi süresince ve sonrasında İşlemci, Kontrolör adına herhangi bir kişisel veri depoladığı veya işlediği sürece yürürlükte kalacaktır.
4. Kişisel Veriler ve Veri Konu Kategorileri
4.1. Kişisel Veri Türleri
Hizmetin kullanım şekline bağlı olarak, işlenen veriler şunları içerebilir:
- Kimlik Verileri (isim, soyad, şirket)
- İletişim verileri (e-posta, telefon)
- Görsel içerik (görseller, videolar)
- Yüklenen içerikle ilişkili meta veriler
- günlük verileri, IP adresleri, teknik tanımlayıcılar
- Proje düzeyindeki veriler
- kimlik bilgileri (hashed), erişim tokenları
İşlemci , özel veri kategorilerini zorunlu kılmaz veya kasıtlı olarak işlemez (GDPR Madde 9).
4.2. Veri Konu Kategorileri
- Müşterinin çalışanları
- Müşterinin müşterileri veya ortakları
- Yetkili Kullanıcılar
- Müşteri tarafından yüklenen görsel içerikte sunulan herhangi bir kişi
Müşteri, veri subyeklerinden yasal olarak veri toplanmasını sağlamaktan yalnızca sorumludur.
5. Kontrolörden Talimatlar
İşlemci yalnızca kişisel verileri işler:
- Kontrolör'ün belgelenmiş talimatlarına göre,
- Hizmeti sağlamak için gerekli olan bir şekilde,
- sistemlerin güvenliğini, bütünlüğünü ve erişilebilirliğini sağlamak için,
- AB veya Çek yasalarının gerektirdiği gibi.
İşlemci bir talimatı yasa dışı bulursa, Kontrolör'e bildirmelidir.
6. Gizlilik
İşlemci, kişisel verileri işlemeye yetkili tüm kişilerin şunları sağlamasını sağlar:
- gizlilik yükümlülüğüne tabi olurlar,
- uygun eğitim almış olmuş,
- verileri yalnızca Denetleyicinin talimatları altında işlemek.
7. Alt İşlemciler
İşlemci, Hizmeti desteklemek için belirli üçüncü tarafları ("Alt İşlemciler") kullanır.
7.1. Onaylanmış Alt İşlemciler
Kontrolör, İşlemciye aşağıdaki Alt İşlemci kategorilerini kullanması için genel yetki verir:
- bulut altyapı sağlayıcıları (örneğin, Google Cloud Platform)
- E-posta teslimat sağlayıcıları
- Analitik sağlayıcılar
- Bilet sistemleri
- Güvenlik izleme hizmetleri
- Yedek ve Felaket Kurtarma Sistemleri
Tam bir liste PhotoRobot Alt İşlemci Listesi'nde tutulur ve güncellenebilir.
7.2. Değişikliklerin Bildirimi
İşlemci, Alt İşlemcilerde yapılacak herhangi bir niyetlenen değişikliği en az 15 gün önceden Denetleyiciye bildirmelidir; böylece Kontrolör makul gerekçelerle itiraz edebilir.
8. Uluslararası Veri Transferleri
Alt İşlemciler veya altyapı EEA dışında yer aldığında, İşlemci şunları sağlar:
- Standart Sözleşme Maddelerinin (SCC 2021) uygulanması,
- ek teknik ve organizasyonel güvenceler,
- en düşük erişim ve şifreleme,
- temel sağlayıcı tarafından uyumluluk denetimleri.
Google Cloud Platform şunları sağlar:
- ISO 27001, ISO 27017, ISO 27018
- SOC 1/2/3 raporları
- GDPR uyum dokümantasyonu
Detaylar https://cloud.google.com/security.
9. Güvenlik Önlemleri
İşlemci, endüstri standardı teknik ve organizasyonel önlemleri (TOM'lar) uygular, bunlar arasında şunlar yer alır:
9.1. Teknik Önlemler
- Taşınan verilerin TLS şifrelenmesi
- Şifreli erişim tokenlarıyla güvenli depolama
- İzole İşleme Ortamları
- Şifre hashing
- Hız sınırları ve müdahale tespit sistemleri
- Çok katmanlı firewall
- fiziksel veri merkezi güvenliği (Google Cloud aracılığıyla)
9.2. Organizasyonel Önlemler
- rol tabanlı erişim kontrolü
- Erişim kaydı ve izleme
- Veri işleme için iç politikalar
- Çalışan gizliliği yükümlülükleri
- Periyodik güvenlik eğitimi
- Tedarikçi Risk Yönetimi
TOM'ların tam listesi talep üzerine mevcuttur.
10. Veri Konu Hakları
İşlemci, Denetleyiciye şu konulara yanıt vermesine yardımcı olur:
- Erişim talepleri
- Düzeltme
- Silme
- Kısıtlama
- Veri taşınabilirliği
- İtirazlar
İşlemci, bir veri tabi olan herhangi bir doğrudan talebi Denetleyiciye gereksiz gecikme olmadan iletmelidir.
11. Veri İhlali Bildirimi
Kişisel veri ihlali durumunda, İşlemci Denetleyiciye şu bilgileri vermelidir:
- Gecikmeden,
- GDPR 33. Madde tarafından gerekli olan tüm bilgiler dahil,
- ve iyileştirme tamamlanana kadar sürekli güncellemeler sağlamaktır.
Kontrolör, yetkilileri ve etkilenen kişileri bilgilendirmekten sorumludur.
12. Verilerin Sililmesi veya Geri Getirilmesi
Sözleşmenin sona ermesiyle:
- İşlemci 30 gün sonra Müşteri Verilerini siler,
- Denetleyici tarafından başka türlü talimat verilmedikçe,
- yasa tarafından tutulmanın zorunlu olduğu durumlar hariç.
Yedekler normal yaşam döngülerinde üzerine yazılır.
13. Denetimler
Kontrolör şu hakka sahiptir:
- GDPR uyumluluğunu kanıtlayan belgeleri alın
- TOM'lar hakkında rapor talep etmek
- makul denetimler yap, yılda bir kez sınırlıdır
- üçüncü taraf sertifikalarına (Google Cloud ISO/SOC raporları) güvenin.
Denetimler güvenliği tehlikeye atmamalı veya operasyonları aksatmamalıdır.
14. Sorumluluk
Tarafların sorumluluğu Hizmet Şartlarına uygundur.
İşlemci, yalnızca kendi GDPR yükümlülüklerini ihlal etmekten kaynaklanan ihlallerden sorumludur.
15. Yönetim Hukuku ve Yetki
Bu DPA, Çekya Cumhuriyeti yasalarıyla yönetilmektedir.
Anlaşmazlıklar, Çekya'nın Prag mahkemeleri tarafından çözülecektir.
16. Standart Sözleşme Maddeleri (SCC)
Gerektiği durumlarda, SCC 2021 (Modül 2: Kontrolör → İşlemci) bu DPA'ya ek olarak uygulanır.
PhotoRobot:
- referans yoluyla SCC'yi içeriyor,
- tüm zorunlu maddeleri içerir,
- Ek teknik önlemler uygular
- EEA dışındaki alt işlemcilere yapılan transferlerin uyumunu sağlar.
SCC, talep üzerine tam olarak sağlanabilir.
17. İletişim
uni-Robot Ltd.
Vodičkova 710/31
110 00 Prag 1
Çek Cumhuriyeti
E-posta: legal@photorobot.com