Veri İşleme Sözleşmesi (DPA)

Veri İşleyen, kişisel verileri yalnızca Salonnare Hizmeti kapsamında, Veri Sorumlusu adına ve onun belgelenmiş talimatları doğrultusunda işler.

Bu DPA, dayandığı abonelik sözleşmesinin süresi boyunca geçerlidir ve bölüm 10 (işlemenin sona ermesi) saklı kalmak kaydıyla, bu sözleşmenin sona ermesiyle otomatik olarak sona erer.

Nitelik: çok kiracılı bir bulut SaaS ortamında kişisel verilerin saklanması, görüntülenmesi, yapılandırılması, erişilmesi, iletilmesi (e-posta/WhatsApp), silinmesi ve yedeklenmesi.

Amaç: Veri Sorumlusu’nun uygulama arayüzü veya destek kanalları aracılığıyla verdiği talimatlara uygun olarak Salonnare işlevlerinin (takvim, kasa, faturalandırma, kampanyalar, bildirimler, raporlama, müşteri kayıtları) sunulması.

Veri İşleyen, Hizmet’in sunulması, anonim/toplulaştırılmış ürün araştırması veya yasal yükümlülükler için gerekli olanlar dışında, kişisel verileri kendi amaçları veya üçüncü kişilerin amaçları için işlemez.

İlgili kişiler: salonun son müşterileri; salon çalışanları/stilistler; Veri Sorumlusu’nun kaydettiği tedarikçiler ve irtibat kişileri.

Kişisel veri kategorileri: iletişim bilgileri (ad, e-posta, telefon), tanımlayıcılar (müşteri numarası), randevu geçmişi, hizmetler, faturalar, ödemeler, notlar, fotoğraflar, tercihler, hediye çeki ve sadakat bakiyeleri, e-posta/WhatsApp iletişimi, değerlendirmeler.

Özel nitelikli veriler (GDPR Madde 9) - sağlık notları (alerjiler, ilaçlar, cilt rahatsızlıkları, hamilelik) gibi - normal müşteri notlarından ayrı, özel bir şifreli kasada saklanır. Veri İşleyen aşağıdaki ek güvenceleri uygular:

• Kiracıya özgü bir veri anahtarıyla AES-256-GCM zarf şifrelemesi; bu anahtarın kendisi de bekleme halinde bir platform ana anahtarıyla sarmalanır.

• Ana anahtar yalnızca ortam değişkenlerinde, veritabanı yedeklerinden ayrı olarak tutulur; anahtarın kaybı kasadaki tüm verileri kalıcı olarak okunamaz hale getirir.

• Üyelik bazında denetlenebilir, özel bir yetki işareti (can_view_health_notes) üzerinden rol tabanlı erişim kontrolü; yöneticilere otomatik geçiş hakkı tanınmaz.

• Değiştirilemez erişim kaydı: her okuma, yazma, indirme ve silme işlemi; işlemi yapan kişi, IP adresi ve zaman damgasıyla kaydedilir ve 24 ay saklanır.

• Varsayılan saklama süresi 12 ay + 30 günlük ek süredir; Veri Sorumlusu bunu not bazında ayarlayabilir.

• Sağlık verisi yollarında platform kimliğine bürünme teknik olarak engellenmiştir (derinlemesine savunma).

GDPR Madde 9(2) kapsamında uygun hukuki dayanağın (genellikle açık rıza veya hayati menfaatler) belirlenmesi ve belgelenmesinden Veri Sorumlusu sorumlu olmaya devam eder. Veri İşleyen, bu rızanın ayrı bir rıza olayı kaydı aracılığıyla kaydedilmesi, ispatlanması ve geri çekilmesi için teknik imkânı sağlar. Teknik ayrıntılar için "art9-health-data-vault" çalıştırma kılavuzuna bakılabilir.

Veri İşleyen, kanunen zorunlu tutulmadıkça kişisel verileri yalnızca Veri Sorumlusu’nun belgelenmiş talimatları doğrultusunda işler. Bu durumda Veri İşleyen, böyle bir bildirimin kanunen yasaklandığı haller dışında, işlemeden önce Veri Sorumlusu’nu bilgilendirir.

Veri İşleyen, bir talimatın GDPR’ı veya diğer AB ya da üye devlet veri koruma mevzuatını ihlal ettiği kanaatindeyse, Veri Sorumlusu’nu gecikmeksizin bilgilendirir.

Veri İşleyen, kişisel verileri işlemeye yetkili kişilerin yazılı olarak gizlilik taahhüdünde bulunmasını veya uygun bir yasal gizlilik yükümlülüğü altında olmasını sağlar.

Üretim verilerine erişim, 2FA ile korunarak, VanIersel Development’ın kurucusu ve açıkça yetkilendirilmiş kişilerle sınırlıdır.

Veri Sorumlusu, Veri İşleyen’e alt veri işleyen görevlendirmesi için genel yazılı yetki verir. Güncel liste salonnare.com/sub-processors adresinde yer alır ve atıf yoluyla bu sözleşmeye dahildir.

Veri İşleyen, yeni bir alt veri işleyen görevlendirmeden veya mevcut birini değiştirmeden en az 30 gün önce Veri Sorumlusu’nu bilgilendirir. Bu 30 gün içinde Veri Sorumlusu gerekçeli olarak itiraz edebilir. İtiraz makul şekilde çözülemezse Veri Sorumlusu, abonelik sözleşmesini alt veri işleyenin görevlendirildiği kısım için ihbar süresi olmaksızın feshedebilir.

Veri İşleyen, her alt veri işleyene yazılı bir (alt) veri işleme sözleşmesiyle bu DPA’da belirlenenlerle aynı veya daha sıkı yükümlülükler yükler. Veri İşleyen, alt veri işleyenlerinin uyumundan tam olarak sorumlu olmaya devam eder.

Veri İşleyen, aşağıdakiler dahil uygun teknik ve idari tedbirleri uygular: aktarım sırasında TLS 1.3, bekleme halinde AES-256, HSTS preload, veritabanı düzeyinde satır bazlı kiracı izolasyonu, 2FA ile en az yetki ilkesine dayalı üretim erişimi, değişikliklerin denetim kaydı, otomatik istek sınırlama ve anormallik tespiti, düzenli bağımlılık ve güvenlik güncellemeleri.

Veri İşleyen, güvenlik tedbirlerini periyodik olarak değerlendirir ve teknolojinin geldiği nokta veya risk profili gerektirdiğinde bunları uyarlar.

Veri İşleyen, uygulama içi self servis dışa aktarmalar (JSON/CSV) ve API uç noktaları dahil uygun teknik ve idari tedbirlerle, ilgili kişi taleplerinin (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) yanıtlanmasında Veri Sorumlusu’na makul yardım sağlar.

Doğrudan Veri İşleyen’e ulaşan ilgili kişi talepleri, Veri İşleyen’in bunları bizzat ele almakla kanunen yükümlü olduğu haller dışında, işleme alınmadan Veri Sorumlusu’na iletilir.

Talep üzerine Veri İşleyen, veri koruma etki değerlendirmeleri (DPIA) ve denetim makamıyla ön istişare (GDPR Madde 35-36) konusunda Veri Sorumlusu’na yardım eder; kapsamlı çalışmalarda fiili maliyetler için makul bir ücret saklıdır.

Veri İşleyen, GDPR Madde 33 anlamında bir kişisel veri ihlalini, gereksiz gecikme olmaksızın ve her halükârda tespit edilmesinden itibaren 48 saat içinde Veri Sorumlusu’na bildirir.

Bildirim en az şunları içerir: ihlalin niteliği, etkilenen kategoriler ve yaklaşık sayılar, irtibat kişisi, olası sonuçlar ile alınan veya önerilen tedbirler.

Hollanda Veri Koruma Kurumu’na ve gerektiğinde ilgili kişilere bildirim yapılmasından (GDPR Madde 33-34) Veri Sorumlusu sorumlu olmaya devam eder. Veri İşleyen makul yardım sağlar.

Dayanak sözleşmenin sona ermesi üzerine Veri Sorumlusu, tüm kişisel verileri self servis dışa aktarma işlevi (JSON/CSV) veya API aracılığıyla indirmek için 30 gün süreye sahiptir.

Bu sürenin ardından Veri İşleyen, tüm kişisel verileri üretim sistemlerinden siler. Veriler, standart 30 günlük rotasyon içinde yedeklerden kaldırılır. Veri İşleyen’in AB veya Hollanda hukuku uyarınca saklaması gereken veriler (örneğin Madde 52 AWR kapsamındaki faturalandırma kayıtları - 7 yıllık vergi saklama yükümlülüğü) bu yasal süre boyunca saklanır ve ardından imha edilir.

Makul talep üzerine Veri İşleyen, bu DPA’ya uyumu göstermek için gerekli bilgileri, güvenlik politikaları ve en son sızma testi raporu (gizlilik sözleşmesi kapsamında) dahil olmak üzere sunar.

Veri Sorumlusu, en fazla 12 ayda bir ve masrafları kendisine ait olmak üzere bağımsız bir denetçiye denetim yaptırabilir. Denetimler en az 30 gün önceden bildirilir, karşılıklı mutabakatla planlanır ve hizmeti aksatmamalıdır. Bulgular gizlidir.

Veri İşleyen, uygun güvenceler (AB Standart Sözleşme Maddeleri, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikasyon veya GDPR Bölüm V kapsamındaki başka bir mekanizma) olmaksızın kişisel verileri AB/AEA dışındaki üçüncü ülkelere aktarmaz.

Her alt veri işleyen için geçerli güvenceler salonnare.com/sub-processors adresinde listelenmiştir.

Bu DPA kapsamındaki sorumluluk, Hizmet Şartları’nda (salonnare.com/terms - bölüm 12) belirlenen sorumluluk sınırlamasına tabidir.

Bu DPA’daki hiçbir hüküm GDPR Madde 82 kapsamındaki yükümlülükleri sınırlamaz; taraflar ilgili kişilere ve denetim makamlarına karşı tam olarak sorumlu olmaya devam eder.

Bu DPA Hollanda hukukuna tabidir. Emredici hukuk aksini öngörmedikçe uyuşmazlıklar Hollanda’nın Breda kentindeki yetkili mahkemeye sunulur.

Salonnare’ın test veya erken erişim programına katılan Veri Sorumlusu kullanıcıları, uygulamanın içinden bir sorun bildirebilir. Veri İşleyen, yalnızca böyle bir kullanıcı bizzat bir bildirim gönderdiğinde ekrandaki son 2 dakikanın kaydını (sayfa yapısı ve etkileşimler, video veya ses yok) ve tarayıcı konsolundan en fazla 100 satır alır. Diğer kullanıcılar için hiçbir şey kaydedilmez.

Amaç - Veri İşleyen bu kayıtları yalnızca bildirilen sorunu incelemek ve gidermek için kullanır, başka hiçbir amaçla kullanmaz.

Güvenceler - Son müşterilere ait kişisel veriler (adlar, e-posta adresleri, telefon numaraları) uygulamada işaretlenir ve gönderilmeden önce cihazda maskelenir; buna bir ad içerebilecek nitelikler (ekran okuyucu metinleri, araç ipuçları ve alternatif görsel metinleri gibi) de dahildir. Telefon numarası veya e-posta adresi içeren bağlantılar her yerde maskelenir. Tüm giriş alanlarının içeriği maskelenir; sağlık verisi kasası, ön görüşme yanıtları ve müşteri fotoğrafları kaydedilmez. Uygulama sunucudan geçerli maskeleme ayarları almazsa en sıkı ayarla maskeler. Kayıtlar şifreli olarak saklanır (AES-256-GCM, özel bir anahtarla), yalnızca Veri İşleyen’in sınırlı sayıda platform yöneticisi tarafından erişilebilir ve 30 gün sonra otomatik olarak silinir. Hiçbir alt veri işleyen dahil değildir.

Kalan risk - Maskeleme, uygulamada müşteri verisi olarak işaretlenmiş verilere uygulanır. Bir kayıt o anda ekranda olanı yakalar ve bu nedenle işaretlenmemiş bir yerde düz metin olarak gösterilen son müşteri kişisel verilerini, örneğin bir kullanıcının bir açıklamaya kendisinin yazdığı bir adı içerebilir. Veri İşleyen bu tür verileri bu DPA’ya uygun olarak işler. Veri Sorumlusu’nun privacy@vaniersel.dev üzerinden talebi halinde Veri İşleyen bir kaydı daha erken siler veya Veri Sorumlusu’nun kullanıcıları için geri bildirim işlevini kapatır.

Bir içe aktarma talebi gönderirken Veri Sorumlusu’nun bir kullanıcısı, Veri İşleyen’den hangi sütunun hangi alana ait olduğuna dair bir yapay zekâ önerisi isteyebilir. Bu yalnızca kullanıcı bunu istediğinde gerçekleşir; böyle bir talep olmadan yapay zekâya hiçbir şey gönderilmez ve sütun adına göre ya da elle eşleştirme her zaman kullanılabilir kalır. Bunun için Veri İşleyen, Anthropic, PBC’yi (ABD) alt veri işleyen olarak görevlendirir.

Hangi veriler - Sütun adları ve sütun başına bir tür profili (değer türü, tarih kalıbı, boş hücre oranı, uzunluk). Müşteri dosyalarında dosyadan hiçbir değer gönderilmez: üç örnek satır tamamen uydurmadır. Ürün ve hizmet dosyalarında, e-posta adresleri, telefon numaraları, IBAN’lar, posta kodları ve eski tarihlerin değiştirildiği ve 40 karakterden uzun serbest metnin çıkarıldığı üç örnek satır gönderilir; bir sütunda iki veya daha fazla e-posta adresi, telefon numarası veya IBAN varsa yapay zekâya hiçbir şey gönderilmez. Başlık satırı olmayan bir dosya ve ödeme sütunları hiçbir zaman yapay zekâya gönderilmez; sağlık verisi içeren bir dosya zaten yükleme sırasında reddedilir. Satırların kendisi yalnızca Veri İşleyen tarafından işlenir; yapay zekâ yalnızca bir eşleştirme döndürür.

Anthropic’te saklama ve kullanım - Anthropic verileri model eğitmek için kullanmaz ve girdileri ile çıktıları 30 gün içinde siler. Anthropic’in otomatik güvenlik sistemleri bir talebi kullanım politikasını ihlal ediyor olarak işaretlerse, Anthropic girdileri ve çıktıları 2 yıla kadar saklayabilir. Veri İşleyen talebin veya yanıtın içeriğini kaydetmez; yalnızca öneriyi ve kullanılan token sayısını saklar.

Aktarım - Anthropic verileri ABD’de saklar; işlemenin kendisi AEA dışındaki başka ülkelerde de gerçekleşebilir. Anthropic, AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı değildir. Aktarım, Anthropic’in veri işleme ekindeki (anthropic.com/legal/data-processing-addendum) AB Standart Sözleşme Maddelerine (modül 3, veri işleyenden veri işleyene) dayanır.

İtiraz - Veri Sorumlusu 6. madde uyarınca itiraz edebilir. privacy@vaniersel.dev üzerinden talep edilmesi halinde Veri İşleyen, Veri Sorumlusu için yapay zekâ yardımını kapatır; içe aktarma kullanılabilir kalır.