Veri İşleme Sözleşmesi.

1Kapsam, amaç ve roller

1.1.Bu Sözleşme, Veri Sorumlusu'nun Veri İşleyen tarafından sağlanan sanal özel sunucularda (VPS) sakladığı, barındırdığı veya başka şekilde işlediği kişisel verilerin işlenmesine uygulanır.

1.2.Bu hizmet bağlamında Müşteri veri sorumlusudur (kendi kullanıcılarının verilerinin işlenme amacını belirler), Axioma100Teorema, LDA ise veri işleyendir (yalnızca teknik altyapıyı sağlar).

2Veri İşleyen'in yükümlülükleri

Veri İşleyen kesin olarak aşağıdakileri taahhüt eder:

2.1.Yalnızca talimatlarla: Kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatlarına göre işlemek (Paymenter faturalama paneli ve Proxmox VE hipervizörü üzerinden yapılan teknik otomatik API işlemleri dahil).

2.2.Gizlilik: Altyapıyı yönetmeye yetkili tüm personelin sıkı gizlilik yükümlülüğü altına girmesini sağlamak.

2.3.Veri yalıtımı: Farklı müşteri düğümleri arasında yetkisiz erişimi önlemek için sanal ortamların hipervizör düzeyinde (Proxmox VE) mantıksal yalıtımını sürdürmek.

2.4.Sıfır erişim politikası: Veri İşleyen, Veri Sorumlusu sorun giderme için resmî bir destek talebiyle açıkça istemedikçe Veri Sorumlusu'nun VPS'inde saklanan verilere erişmez, bunları görüntülemez veya değiştirmez.

3Teknik ve idari tedbirler (GDPR madde 32 ve NIS 2 uyumu)

Veri İşleyen, riske uygun bir güvenlik düzeyi sağlamak için aşağıdakiler dahil uygun teknik ve idari tedbirleri uygular:

3.1.Altyapı güvenliği: Fiziksel altyapı, veri merkezleri, güç kaynağı ve ağ düzeyinde DDoS koruması, yalnızca Avrupa Birliği (AB) içinde bulunan ve ISO 27001 ile NIS 2 standartlarına uyan OVHcloud'a tamamen dış kaynak olarak verilmiştir.

3.2.Erişim denetimi: Altyapı yönetim katmanı için sıkı çok faktörlü kimlik doğrulama (MFA) ve erişim denetimi mekanizmaları.

3.3.Yönetim katmanının yalıtımı: Proxmox VE yönetim arayüzlerine erişim, güvenli şifreli VPN bağlantılarıyla sıkı biçimde sınırlandırılmıştır.

4Alt işleyenler

4.1.Veri Sorumlusu, Veri İşleyen'e altyapı kurulumu için alt işleyen görevlendirme konusunda genel yazılı izin verir.

4.2.Altyapı barındırma için onaylanmış başlıca alt işleyen şudur:

OVH Groupe SA (OVHcloud) — Konum: Avrupa Birliği. Amaç: bare metal dedicated sunucu kiralama.

4.3.Veri İşleyen, alt işleyenlerin eklenmesi veya değiştirilmesine ilişkin planlanan her değişikliği Veri Sorumlusu'na e-postayla veya Paymenter sisteminin duyuru bloğu aracılığıyla bildirir.

5İlgili kişi hakları ve denetim makamlarıyla iş birliği

5.1.Yardım: Veri İşleyen, hosting hizmetinin niteliğini dikkate alarak, Veri Sorumlusu'nun ilgili kişilerin taleplerine yanıt verme yükümlülüğünü (GDPR Bölüm III hakları) yerine getirmesine mümkün olduğu ölçüde uygun teknik tedbirlerle yardımcı olur.

5.2.Kişisel veri ihlali: Veri İşleyen, kendi tarafında kişisel verilerin kazara veya hukuka aykırı olarak yok edilmesine, kaybına veya değiştirilmesine yol açan doğrulanmış bir güvenlik olayından haberdar olduktan sonra Veri Sorumlusu'nu gereksiz gecikme olmadan (ve en geç 48 saat içinde) bilgilendirir.

6Uluslararası veri aktarımları

6.1.Tüm yönetim sunucuları (Paymenter) ve müşteri ortamları (Proxmox düğümleri) yalnızca Avrupa Ekonomik Alanı (AEA) içinde bulunur. Veri İşleyen, VPS'te barındırılan hiçbir kişisel veriyi AB/AEA dışına aktarmaz.

7Süre ve fesih

7.1.Bu Sözleşme, ana hizmet sözleşmesinin (Hizmet Şartları) süresi boyunca yürürlükte kalır.

7.2.Hizmetin sona ermesinin ardından Veri İşleyen, AB veya Portekiz mevzuatı muhasebe/faturalama verilerinin daha uzun süre saklanmasını gerektirmedikçe, ilgili sanal makineyi (VPS) ve buna bağlı tüm yerel veri kalıntılarını 7 ila 14 gün içinde Proxmox kümesinden siler.

Ek A: İşlemeye ilişkin ayrıntılar

İlgili kişi kategorileri: Veri Sorumlusu'nun VPS'te barındırılan web sitelerinin, uygulamalarının veya hizmetlerinin kullanıcıları.

Kişisel veri türleri: Veri Sorumlusu'nun VPS'e yüklediği, orada sakladığı veya ilettiği her türlü dijital veri (IP adresleri, kayıtlar, veritabanları, kullanıcı profilleri içerebilir).

İşlemenin niteliği ve amacı: Bulut sunucularda dijital depolama, barındırma ve bilgi işlem kaynaklarının tahsisi.