Veri işleme sözleşmesi (DPA)

1. Konu ve süre

Konu, LogCon'nin hizmet olarak yazılım şeklinde sunulması sırasında kişisel verilerin işlenmesidir. Süre, ana sözleşmenin süresine karşılık gelir.

2. İşlemenin niteliği ve amacı

Taşıma yönetimi, YZ destekli sipariş işleme, sevkiyat planlama, müşteriler, taşıyıcılar ve sürücülerle iletişim, belge oluşturma, gümrük hazırlığı ve faturalama.

3. Veri kategorileri ve ilgili kişiler

• Veri sorumlusunun çalışanları: ad, e-posta, telefon, rol, dil, giriş verileri
• Sürücüler (kendi ve taşeronların): ad, telefon, dil, nitelikler, seferler sırasındaki konum verileri
• Müşteriler ve taşıyıcılardaki irtibat kişileri: ad, iletişim bilgileri, iletişim içeriği
• Kişisel referans içeren sipariş, belge, gümrük ve fatura verileri

4. Veri işleyenin yükümlülükleri

• Yalnızca veri sorumlusunun belgelenmiş talimatları doğrultusunda işleme
• Yetkili tüm kişiler için gizlilik yükümlülüğü
• Teknik ve organizasyonel önlemlerin uygulanması (ek 1)
• İlgili kişi hakları, veri koruma etki değerlendirmeleri ve bildirim yükümlülükleri konusunda destek
• Bir talimatın, veri işleyenin görüşüne göre veri koruma hukukunu ihlal etmesi durumunda veri sorumlusunu bilgilendirme

5. Alt işleyiciler

Veri sorumlusu, ek 2'de listelenen alt işleyicileri onaylar. Veri işleyen, planlanan değişiklikler konusunda veri sorumlusunu en az 30 gün önceden bilgilendirir; veri sorumlusu veri koruma hukuku açısından haklı bir sebeple itiraz edebilir.

6. Teknik ve organizasyonel önlemler (ek 1)

• Fiziksel erişim kontrolü: ISO 27001 sertifikalı AB veri merkezi, veri işleyenin personeli tarafından fiziksel erişim yok
• Sistem erişim kontrolü: bcrypt ile hash'lenmiş şifreler, iki faktörlü kimlik doğrulama, başarısız denemelerden sonra kilitleme, süresi dolan JWT, API anahtarları yalnızca hash olarak saklanır
• Veri erişim kontrolü: role dayalı yetkiler, en az ayrıcalık ilkesi, platform genelinde yönetim yalnızca veritabanında doğrulanmış yetkiyle
• Ayrım kontrolü: her tabloda tenant kimliği, tenant başına ayrı depolama yolları
• Şifreleme: aktarımda TLS, entegrasyon kimlik bilgileri için AES-256-GCM, hosting sağlayıcısında disk şifreleme
• Giriş kontrolü: değişiklikler ve YZ eylemleri için önce/sonra durumlu denetim kaydı
• Aktarım kontrolü: HMAC ile imzalanmış webhook'lar, giden e-postalar yalnızca yapılandırılmış sunucular üzerinden
• Kullanılabilirlik: veritabanı ve belgelerin 7 günlük, 4 haftalık ve 12 aylık yedeklerinin saklandığı günlük şifreli yedekler, ikinci bir sağlayıcıda şifreli site dışı kopya, belgelenmiş geri yükleme prosedürü, izleme
• Veri koruma yönetimi: işleme faaliyetleri kaydı, silme konsepti, olay müdahale süreci

7. Veri ihlallerinin bildirilmesi

Veri işleyen, kişisel veri ihlallerini gecikmeksizin, öğrenilmesinden itibaren en geç 24 saat içinde, GDPR madde 33(3) uyarınca gereken bilgilerle bildirir.

8. Denetim hakları

Veri sorumlusu, kanıt ve raporları inceleyerek ve zamanında bildirimde bulunulduktan sonra yerinde denetimler yaparak bu sözleşmeye uyumu doğrulayabilir.

9. Silme ve iade

Sözleşme sona erdikten sonra işleyen (processor), 30 gün boyunca eksiksiz bir veri dışa aktarımı sağlar, ardından kopyalar dahil olmak üzere veri sorumlusuna ait tüm verileri siler ve silme işlemini onaylar. Yasal saklama yükümlülükleri bundan etkilenmez; şifreli yedek kopyalar, olağan rotasyon döngüsünde, en geç 12 ay içinde üzerine yazılır.

10. Üçüncü ülkelere aktarım

Üçüncü ülkelere aktarımlar yalnızca GDPR madde 44 ve devamı koşulları altında, özellikle bir yeterlilik kararına veya standart sözleşme hükümlerine dayanarak gerçekleşir.

11. YZ şeffaflığı (ek 4)

YZ ajanları öneriler oluşturur veya – veri sorumlusu tarafından ayarlanan otonomi seviyesine bağlı olarak – eylemleri gerçekleştirir. Her YZ eylemi model, zaman, güven düzeyi ve önce/sonra durumuyla kaydedilir; otomatik eylemler geri alınabilir. Müşteri verileri YZ modellerini eğitmek için kullanılmaz.

12. Son hükümler

Çelişki durumunda, veri koruma konularında bu sözleşme ana sözleşmeye üstün gelir. Avusturya hukuku uygulanır; yetkili mahkeme Wien'dır.

Ek 2: alt işleyiciler

Aşağıdaki tabloya bakın.