Veri İşleme Sözleşmesi

1. Konu ve Süre

İşlemenin konusu, WaiverKit dijital feragatname platformunun Veri Sorumlusuna sağlanmasıdır. İşleme, Veri Sorumlusu aktif bir hesabı sürdürdüğü sürece ve 11. Bölümde açıklanan geçerli fesih sonrası saklama süresi boyunca devam eder.

2. İşlemenin Niteliği ve Amacı

Veri İşleyen kişisel verileri yalnızca WaiverKit hizmetini barındırmak, sağlamak, güvenceye almak ve desteklemek amacıyla işler: imzalı feragatnameleri toplamak ve saklamak, PDF kayıtları oluşturmak, işlemsel e-postalar göndermek, kullanıcıların kimliğini doğrulamak, ödemeleri işlemek ve Veri Sorumlusu adına analizler üretmek.

3. Kişisel Veri Türleri ve Veri Sahibi Kategorileri

İşlenen kişisel veriler şunları içerebilir:

• İmzalayan kimlik verileri (ad, doğum tarihi, adres, e-posta, telefon)
• İmza görüntüleri ve yazılı imzalar
• Reşit olmayan imzalayanlar için veli/vasi verileri
• İşletme kullanıcı hesap verileri (ad, e-posta, kimlik doğrulama tanımlayıcıları, IP adresi)

Veri sahibi kategorileri şunları içerir: feragatname imzalayan katılımcılar, reşit olmayan katılımcıların velileri/vasileri ve Veri Sorumlusunun çalışanları veya yetkili kullanıcıları.

4. Veri Sorumlusunun Yükümlülükleri ve Hakları

Veri Sorumlusu, kişisel verilerin toplanması ve işlenmesinin hukuka uygunluğundan, veri sahiplerinden gerekli onayların alınmasından, Veri İşleyene verilen talimatların doğruluğundan ve yapılandırdığı feragatname şablonları ile iş akışlarının geçerli hukuka uygun olmasını sağlamaktan sorumludur. Veri Sorumlusu kişisel veriler üzerindeki tüm hakları elinde tutar ve istediği zaman Veri İşleyene belgelenmiş talimatlar verebilir.

5. Alt İşleyenler

Veri Sorumlusu, Veri İşleyene hizmeti sunmak için aşağıdaki alt işleyenleri görevlendirme yetkisi verir:

• Clerk (kimlik doğrulama, oturum yönetimi ve kullanıcı dizini).
• Stripe (ödeme işleme ve abonelik faturalandırma).
• Resend (işlemsel e-posta teslimi).
• Cloudflare R2 (imza görüntüleri ve PDF yapıtları için nesne depolama).
• Vercel (uygulama barındırma, uç ağ ve istek yönlendirme).
• Neon (Postgres) (yapılandırılmış veriler için yönetilen Postgres veritabanı barındırma).

Veri İşleyen; alt işleyenlerde planlanan ekleme veya değişiklikleri, Veri Sorumlusuna meşru gerekçelerle itiraz etme makul fırsatı tanıyarak bildirecektir.

6. Güvenlik Önlemleri

Veri İşleyen, kişisel verileri korumak için uygun teknik ve organizasyonel önlemleri uygular, bunlar şunları içerir:

• Aktarımda (TLS 1.2+) ve veritabanı ile nesne depolama için beklemede şifreleme
• Altyapı genelinde rol tabanlı erişim kontrolleri ve en az ayrıcalık prensibiyle IAM
• Uygulama ve sorgu katmanında uygulanan kiracı izolasyonu
• Yönetici işlemlerinin ve PII erişiminin denetim kaydı
• Düzenli yedeklemeler, otomatik bağımlılık taraması ve olay müdahale prosedürleri

7. Veri Sahibi Hakları

İşlemenin niteliğini dikkate alarak Veri İşleyen, Veri Sorumlusunun; veri sahiplerinin GDPR 15 ila 22. Maddeleri kapsamındaki erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz haklarına ilişkin taleplerine yanıt verme yükümlülüğünü yerine getirmesine uygun teknik ve organizasyonel önlemlerle yardımcı olacaktır.

8. Veri İhlali Bildirimi

Veri İşleyen, Veri Sorumlusunun verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra gereksiz gecikme olmaksızın ve her halükarda 72 saat içinde Veri Sorumlusuna bildirim yapacaktır. Bildirim; ihlalin niteliğini, olası sonuçlarını, alınan veya önerilen önlemleri ve daha fazla bilgi için bir iletişim noktasını açıklayacaktır.

9. Uluslararası Aktarımlar

Kişisel verilerin, yeterlilik kararı bulunmayan bir ülkeye Avrupa Ekonomik Alanı, Birleşik Krallık veya İsviçre dışına aktarıldığı durumlarda, bu aktarımlar Avrupa Komisyonu'nun Standart Sözleşme Hükümlerine (SCC) ve geçerli olduğu durumlarda Birleşik Krallık Uluslararası Veri Aktarım Ekine ve İsviçre ekine, aktarım etkisi değerlendirmesinin gerektirdiği tamamlayıcı önlemlerle birlikte tabidir.

10. Denetim Hakları

Veri İşleyen; bu DPA'ya uyumu kanıtlamak için makul olarak gerekli tüm bilgileri Veri Sorumlusuna sunacak ve makul gizlilik yükümlülüklerine tabi olmak üzere, belgelenmiş bir güvenlik olayı veya düzenleyici talep durumu dışında takvim yılı başına birden fazla olmamak üzere Veri Sorumlusu veya Veri Sorumlusu tarafından görevlendirilen bir denetçi tarafından yürütülen denetimlere (denetim incelemeleri dahil) izin verecek ve katkıda bulunacaktır.

11. Fesih, İade ve Silme

Sözleşmenin feshi üzerine Veri İşleyen, Veri Sorumlusunun tercihine göre, Veri Sorumlusu adına işlenen tüm kişisel verileri silecek veya iade edecek ve geçerli hukuk aksini gerektirmedikçe mevcut kopyaları silecektir. Kişisel veri içeren yedekler, yedek saklama döngüsünün olağan akışı içinde silinecektir.