İşbu Veri İşleme Eki'nin hukuki açıdan bağlayıcı ve yetkili versiyonu İngilizce versiyondur. Sağlanan tüm çeviriler yalnızca bilgilendirme amacıyla sunulmaktadır. Herhangi bir çelişki, tutarsızlık veya uyuşmazlık halinde, İngilizce versiyon tüm durumlarda kesin olarak geçerli olacaktır.

Veri İşleme Eki

İşbu Veri İşleme Eki ("DPA"), SUITE IMPERIAL LLC (New Mexico eyaletinde kurulu, CeroVueltas ticari unvanıyla faaliyet gösteren bir limited şirketi) ("CeroVueltas") ile Sözleşme'yi kabul eden tüzel kişi ("Müşteri") arasında akdedilen CeroVueltas Hizmet Şartları'nın ("Sözleşme") ayrılmaz bir parçasını oluşturmakta ve söz konusu Sözleşme'ye atıf yoluyla dahil edilmektedir. İşbu DPA, CeroVueltas'ın Hizmetler kapsamında Müşteri adına Kişisel Veri işlediği ölçüde uygulanır. Müşteri, Sözleşme'yi kabul etmek veya Hizmetleri kullanmak suretiyle işbu DPA'yı kabul etmiş sayılır.

1. Tanımlar

• "Uygulanabilir Veri Koruma Mevzuatı", işbu DPA kapsamında işlenen Kişisel Veriler'e uygulanabilecek tüm gizlilik ve veri koruma mevzuatını ifade eder; bu kapsamda, uygulanabildiği ölçüde: CPRA ile değiştirilmiş haliyle California Tüketici Gizliliği Yasası ("CCPA"); diğer ABD eyalet kapsamlı gizlilik yasaları (Colorado, Connecticut, Teksas, Utah ve Virginia eyaletlerinin yasaları dahil) ("ABD Eyalet Gizlilik Yasaları"); ve yalnızca Müşteri'nin kullanımına uygulanabildiği ölçüde, AB Genel Veri Koruma Tüzüğü 2016/679 ("GDPR"), İngiltere GDPR'ı, İsviçre FADP'si, Brezilya LGPD'si, Arjantin Ley 25.326 ve Meksika LFPDPPP yer almaktadır.
• "Kişisel Veri", CeroVueltas'ın Müşteri adına işlediği Müşteri Verileri içinde yer alan, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. "Veri Sorumlusu," "Veri İşleyen," "İşletme," "Hizmet Sağlayıcı," "Veri Sahibi," "Tüketici," "Satış," "Paylaşım" ve "İşleme" terimleri, Uygulanabilir Veri Koruma Mevzuatı'nda kendilerine atfedilen anlamları taşır.
• "Güvenlik İhlali", CeroVueltas tarafından işlenen Kişisel Veriler'in kazara veya hukuka aykırı biçimde imha edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bu verilere yetkisiz erişim sağlanmasına yol açan, teyit edilmiş bir güvenlik ihlalini ifade eder.
• "Alt İşleyen", barındırma hizmeti sağlayıcıları ve üçüncü taraf Yapay Zeka API sağlayıcıları dahil olmak üzere, CeroVueltas tarafından Müşteri adına Kişisel Veri işlemek amacıyla görevlendirilen üçüncü tarafları ifade eder.
• "SCC'ler", Avrupa Komisyonu Kararı (AB) 2021/914 ile onaylanan Standart Sözleşme Maddelerini ifade eder.

Burada tanımlanmayan büyük harfle yazılmış terimler, Sözleşme'de kendilerine atfedilen anlamları taşır.

2. Roller ve Kapsam

2.1 Roller. Müşteri, Kişisel Veriler bakımından Veri Sorumlusu (veya İşletme) sıfatını taşımakta ya da üçüncü taraf bir Veri Sorumlusu adına Veri İşleyen olarak hareket etmektedir. CeroVueltas, Müşteri'nin belgelenmiş talimatları doğrultusunda hareket eden bir Veri İşleyen (veya Hizmet Sağlayıcı) sıfatındadır.

2.2 Müşteri Talimatları. CeroVueltas, Kişisel Verileri yalnızca şu hallerde işler: (a) Sözleşme'de tanımlanan Hizmetleri sağlamak, güvence altına almak, sürdürmek ve sorun gidermek amacıyla; (b) işbu DPA ve Ek I'de belgelendiği şekilde; ve (c) Müşteri'nin diğer belgelenmiş ve hukuka uygun talimatları doğrultusunda. Sözleşme, Müşteri'nin Hizmetleri yapılandırması (Bilgi Tabanı ve yönlendirme kuralları dahil) ve kontrol panelinin kullanımı, Müşteri'nin talimatlarını oluşturur. CeroVueltas, kendi görüşüne göre bir talimatın Uygulanabilir Veri Koruma Mevzuatı'nı ihlal ettiği kanaatine varması halinde Müşteri'yi bilgilendirecektir.

2.3 Müşteri'nin Sorumlulukları. Müşteri, aşağıdakilerden münhasıran sorumludur: (a) Kişisel Veriler'in doğruluğu, kalitesi ve hukuka uygunluğu ile bu verilerin elde edilme yöntemi; (b) Son Kullanıcılara (web sitesi widget'ları, oturum kaydı ve otomatik/yapay zeka destekli iletişimler dahil) yasal olarak zorunlu tüm bildirimlerin yapılması ve bu kişilerden yasal olarak zorunlu tüm onayların alınması; ve (c) talimatlarının Uygulanabilir Veri Koruma Mevzuatı'na uygunluğunun sağlanması.

3. CCPA ve ABD Eyalet Gizlilik Mevzuatı Hükümleri

CeroVueltas'ın CCPA veya ABD Eyalet Gizlilik Yasaları kapsamındaki Kişisel Verileri işlediği ölçüde, CeroVueltas:

(a) Hizmet Sağlayıcı / Veri İşleyen sıfatıyla hareket eder ve Kişisel Verileri yalnızca Sözleşme ve Ek I'de belirtilen ticari amaçlar doğrultusunda işler;

(b) Kişisel Verileri Satmaz veya Paylaşmaz;

(c) Kişisel Verileri, Müşteri ile olan doğrudan ticari ilişkinin dışında veya belirtilen ticari amaçlar haricinde herhangi bir amaçla saklamaz, kullanmaz veya ifşa etmez; ancak Uygulanabilir Veri Koruma Mevzuatı'nın izin verdiği haller saklıdır;

(d) Kişisel Verileri, Uygulanabilir Veri Koruma Mevzuatı'nın izin verdiği haller (örn. güvenlik ve dolandırıcılık önleme) dışında, başka kaynaklardan elde ettiği kişisel bilgilerle birleştirmez;

(e) işbu Madde 3'teki kısıtlamaları anladığını ve bunlara uyacağını teyit eder;

(f) Uygulanabilir Veri Koruma Mevzuatı kapsamındaki yükümlülüklerini artık yerine getiremeyeceğini tespit etmesi halinde Müşteri'yi derhal bilgilendirir; bu durumda Müşteri, yetkisiz işlemeyi durdurmak ve gidermek için makul ve uygun adımlar atabilir; ve

(g) Müşteri'ye, Madde 9'daki denetim mekanizması aracılığıyla, CeroVueltas'ın Kişisel Verileri Müşteri'nin yükümlülükleriyle tutarlı biçimde kullandığını doğrulamak amacıyla makul adımlar atma hakkını tanır.

4. Gizlilik

CeroVueltas, Kişisel Verileri işlemeye yetkili personelin yazılı gizlilik yükümlülükleri veya uygun yasal gizlilik yükümlülükleriyle bağlı olmasını sağlar ve bu personelin Kişisel Verilere yalnızca bilmesi gereken ölçüde erişmesini temin eder.

5. Alt İşleyenler

5.1 Genel Yetkilendirme. Müşteri, CeroVueltas'a; barındırma altyapısı sağlayıcıları ve dinamik yönlendirme için kullanılan üçüncü taraf Yapay Zeka API sağlayıcıları dahil olmak üzere Alt İşleyenler görevlendirmesi için genel yazılı yetki vermektedir. Güncel önemli Alt İşleyenler listesi Alt İşleyenler Listesi adresinde tutulmaktadır.

5.2 Güncellemeler ve İtiraz. CeroVueltas, önemli bir Alt İşleyen eklemeden veya değiştirmeden önce Alt İşleyenler Listesi'ni güncelleyecek ve güncelleme bildirimlerine abone olmak için bir mekanizma sunacaktır. Müşteri, bir güncellemeyi takip eden on (10) gün içinde privacidad@cerovueltas.com adresine yazılı bildirimde bulunmak suretiyle, belgelenmiş ve makul veri koruma gerekçelerine dayanarak itirazda bulunabilir. Tarafların itirazı otuz (30) gün içinde iyi niyetle çözememesi halinde, Müşteri'nin tek ve münhasır hukuki yolu, etkilenen Hizmetlerin feshedilmesi olacaktır. Müşteri, işbu Madde kapsamında gerçekleştirilen fesih nedeniyle halihazırda tüketilmiş kapasite, kullanılmış kullanım kotaları veya süresi dolmuş hizmet bakiyeleri için herhangi bir iade, kredi veya tazminat talep etme hakkına sahip olmayacaktır.

5.3 Yükümlülüklerin Devri. CeroVueltas, Alt İşleyenlere işbu DPA'dan özünde daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve hizmetleri bizzat yerine getiriyor olsaydı sorumlu tutulacağı ölçüde, Sözleşme'deki sınırlamalar saklı kalmak kaydıyla, Alt İşleyenlerin performansından sorumlu olmaya devam eder.

5.4 Yapay Zeka Eğitimi Yasağı. Sözleşme'nin 10.2. Maddesi ile tutarlı biçimde, CeroVueltas; Kişisel Verileri, Müşteri Verilerini, Bilgi Tabanı içeriklerini veya Son Kullanıcı mesajlarını yapay zeka ya da makine öğrenmesi modellerini eğitmek amacıyla kullanmaz ve yayımlanmış politikaları, API verilerinin genel amaçlı temel modellerini eğitmek için kullanılmasını açıkça yasaklayan üçüncü taraf yapay zeka Alt İşleyenlerini tercih eder. Müşteri, söz konusu Alt İşleyenlerin API günlüklerini yalnızca güvenlik, kötüye kullanım izleme ve güven ile güvenlik amaçlarıyla, kendi politikaları çerçevesinde geçici olarak saklayabileceğini kabul ve beyan eder.

6. Güvenlik

6.1 Tedbirler. CeroVueltas, Ek II'de açıklanan şekilde, Kişisel Verileri Güvenlik İhlallerine karşı korumak amacıyla tasarlanmış, ticari açıdan makul teknik ve organizasyonel tedbirleri uygular ve sürdürür. CeroVueltas bu tedbirleri güncelleyebilir; ancak güncellemeler, genel koruma düzeyini özünde azaltmamalıdır.

6.2 Güvenlik İhlali Bildirimi. CeroVueltas, Müşteri'nin Kişisel Verilerini etkileyen bir Güvenlik İhlalini teyit etmesinin ardından, gecikmeksizin ve her halükarda yetmiş iki (72) saat içinde Müşteri'yi bilgilendirir. Bildirim, bilindiği ölçüde şunları içerir: olayın niteliği, etkilenen veri kategorileri ve yaklaşık hacmi, olası sonuçlar ile alınan veya önerilen tedbirler. CeroVueltas'ın bildirimi, kusur veya sorumluluk kabulü niteliği taşımaz. Düzenleyici kurumlara, Veri Sahiplerine veya Tüketicilere yapılması yasal olarak zorunlu tüm bildirimlerden münhasıran Müşteri sorumludur.

7. Yardım

CeroVueltas, işlemenin niteliğini göz önünde bulundurarak Müşteri'ye aşağıdaki konularda makul düzeyde yardım sağlar: (a) Veri Sahibi / Tüketici taleplerine yanıt verilmesi (erişim, silme, düzeltme, taşınabilirlik, vazgeçme) — bu tür taleplerin doğrudan CeroVueltas'a iletilmesi halinde, talep sahibi Müşteri'ye yönlendirilecektir; (b) GDPR'ın gerektirdiği durumlarda veri koruma etki değerlendirmeleri ve denetim makamlarıyla ön istişareler; ve (c) Müşteri'nin güvenlik ve ihlal bildirimi yükümlülüklerine uyumu.

İdari Ücretler: CeroVueltas tarafından işbu Madde kapsamında sağlanan ve basit bir otomatik platform işlevini veya temel yönlendirmeyi aşan her türlü manuel, teknik veya özelleştirilmiş idari yardım (konuşma geçmişlerinin manuel olarak çıkarılması veya teknik belgelerin derlenmesi dahil ancak bunlarla sınırlı olmaksızın), saatte 150 USD tutarında, asgari bir (1) saatlik dilimler halinde faturalandırılan zorunlu bir idari hizmet ücretine tabi olacaktır; söz konusu ücretin, yardımın ifasından önce Müşteri tarafından tamamen peşin olarak ödenmesi zorunludur.

8. Veri İadesi ve Silme

Sözleşme'nin sona ermesi veya süresinin dolması üzerine CeroVueltas, otuz (30) gün içinde tüm Kişisel Verileri aktif üretim sistemlerinden siler veya anonimleştirir; ancak yürürlükteki mevzuat veya vergi/mali denetim gereklilikleri nedeniyle saklama zorunluluğu bulunan veriler bu kapsamın dışındadır (bu tür kayıtlar için azami yedi (7) yıl). Otomatik yedeklerdeki Kişisel Veriler, doksan (90) gün içinde silinir veya üzerine yazılır. Sözleşme'nin yürürlükte olduğu süre boyunca Müşteri, Müşteri Verilerini kontrol paneli veya mevcut API'ler aracılığıyla dışa aktarabilir.

9. Denetimler

9.1 Denetim Raporları. CeroVueltas, on iki (12) ayda bir defayı geçmemek kaydıyla, yazılı talep üzerine ve talebin alınmasından itibaren kırk beş (45) gün içinde, işbu DPA'ya uyumu kanıtlamak için makul ölçüde gerekli belgeleri sunacaktır. Söz konusu belgeler, CeroVueltas'ın o dönemde müşterilerine genel olarak sunduğu standart güvenlik özetleri, sık sorulan sorular veya genel politika özetleriyle kesinlikle sınırlı tutulacaktır.

9.2 Düzenleyici ve Zorunlu Denetimler. Uygulanabilir Veri Koruma Mevzuatı'nın Müşteri'ye, Madde 9.1 kapsamında sağlanan belgelerle makul ölçüde karşılanamayacak, zorunlu ve feragat edilemez yasal bir denetim hakkı tanıdığı durumlarda, Müşteri söz konusu denetimi yalnızca aşağıdaki kümülatif koşulların tamamına uyulması kaydıyla başlatabilir:

(a) Müşteri, CeroVueltas'a ayrıntılı bir denetim planıyla birlikte en az altmış (60) takvim günü önceden yazılı bildirimde bulunmak zorundadır;

(b) Denetim, münhasıran CeroVueltas tarafından yazılı olarak onaylanan, bağımsız ve sertifikalı bir üçüncü taraf denetçi (kesinlikle tanınmış "Büyük Dört" muhasebe ve denetim firmasından biriyle sınırlı) tarafından ve katı bir gizlilik sözleşmesine bağlı olarak yürütülmek zorundadır; Müşteri'nin iç çalışanları, personeli veya doğrudan/dolaylı rakipleri denetçi olarak kesinlikle görev yapamaz;

(c) Denetimin kapsamı, CeroVueltas personeli tarafından uzaktan ekran paylaşımı yoluyla sunulan özelleştirilmiş uyum kanıtlarının, anonimleştirilmiş sistem günlüklerinin ve güvenlik mimarisi incelemelerinin uzaktan masaüstü değerlendirmesiyle kesinlikle sınırlı tutulacaktır;

(d) ERIŞIM YASAĞI: Denetçiye veya Müşteri'ye, CeroVueltas'a ait veya CeroVueltas tarafından kullanılan herhangi bir sisteme, altyapıya, ağa, yazılıma, veri tabanına, ortama, personele veya fiziksel ya da dijital nitelikteki diğer varlıklara, kaynaklara ya da tescilli bilgilere hiçbir koşulda fiziksel veya mantıksal erişim izni verilmeyecektir. Denetim, yalnızca CeroVueltas tarafından açıkça sağlanan veya gösterilen kanıtların uzaktan görsel incelemesiyle kesinlikle sınırlıdır;

(e) Müşteri, harici denetçi tarafından yapılan tüm masraf, ücret ve giderlerin yüzde yüzünü (%100) karşılamakla yükümlüdür; ve

(f) Müşteri, denetim incelemesinin yürütüldüğü her takvim günü (veya günün bir kısmı) için CeroVueltas'a zorunlu bir idari ve operasyonel aksama ücreti olarak günlük 1.500 USD ödemek zorundadır; söz konusu ücretin tamamının peşin olarak ödenmesi gerekmektedir. CeroVueltas, incelemenin sistem kararsızlığına yol açması, fikri mülkiyet ifşası riski doğurması veya operasyonel güvenlik sınırlarını ihlal etmesi halinde denetimi derhal askıya alma veya sona erdirme hakkını saklı tutar.

10. Uluslararası Veri Transferleri

10.1 İşleme Konumu. Hizmetler, Amerika Birleşik Devletleri'nde barındırılmakta ve işletilmektedir. Müşteri, Kişisel Verilerin Amerika Birleşik Devletleri'nde ve Alt İşleyenler Listesi'nde yer alan Alt İşleyenlerin yargı bölgelerinde işleneceğini kabul ve talimat olarak beyan eder.

10.2 AEA/İngiltere/İsviçre Transferleri. Yalnızca Müşteri'nin GDPR, İngiltere GDPR'ı veya İsviçre FADP'si kapsamındaki Kişisel Verileri CeroVueltas'a aktardığı ölçüde, SCC'ler aşağıdaki şekilde atıf yoluyla dahil edilir:

10.3 Müşteri'nin Sorumluluğu. Veri Sorumlusu sıfatıyla Müşteri, kendi özel kullanım senaryosu ve Veri Sahipleri bakımından uluslararası transferlerin hukuka uygunluğunu belirleme sorumluluğunu taşımaya devam eder. CeroVueltas, herhangi bir Alt İşleyen yargı bölgesinin "yeterli" olarak nitelendirildiğine dair herhangi bir beyanda bulunmamaktadır.

11. Sorumluluk ve Öncelik Sırası

11.1 Her bir tarafın işbu DPA'dan (SCC'ler dahil) doğan veya bununla bağlantılı sorumluluğu, Sözleşme'de (Hizmet Şartları'nda) öngörülen sorumluluk sınırlamaları, tazminat prosedürleri, toplu dava feragatleri ve tahkim hükümleri dahil olmak üzere, sorumluluk muafiyetlerine ve genel sorumluluk sınırlamalarına kesinlikle tabidir. İşbu DPA, Sözleşme'nin hiçbir sorumluluk sınırlamasını veya uyuşmazlık çözüm hükmünü değiştirmez, geçersiz kılmaz, genişletmez veya daraltmaz.

11.2 Çelişki halinde: (a) SCC'ler, yalnızca düzenledikleri transferler bakımından işbu DPA'ya göre önceliklidir; (b) işbu DPA, yalnızca Kişisel Verilerin işlenmesinin teknik mekanizmaları bakımından Sözleşme'ye göre önceliklidir; ve (c) Sözleşme (Hizmet Şartları), sorumluluk, tazminat, uyuşmazlık çözümü ve uygulanacak hukuka ilişkin tüm konular dahil olmak üzere, diğer tüm hususlarda kesinlikle önceliklidir.

12. Süre, Güncellemeler ve Uygulanacak Hukuk

İşbu DPA, CeroVueltas'ın Müşteri adına Kişisel Veri işlediği süre boyunca yürürlükte kalır. CeroVueltas, Sözleşme'nin 21.6. Maddesi uyarınca, Uygulanabilir Veri Koruma Mevzuatı'ndaki veya Hizmetlerdeki değişiklikleri yansıtmak amacıyla işbu DPA'yı makul ölçüde gerekli olduğu hallerde güncelleyebilir. SCC'lerin aksi yönde bir hüküm içermediği durumlar haricinde, işbu DPA, Sözleşme'nin 19. Maddesi'nde belirtilen hukuka tabidir.

Ek I — İşlemenin Tanımı

Ek II — Teknik ve Organizasyonel Tedbirler

• Şifreleme ve Takma Ad Kullanımı: İletim sırasında TLS 1.2+; veri tabanları ve kritik iletişimler için beklemede AES-256-GCM. Veri tabanı sorgularındaki KBB tanımlayıcıları için kriptografik takma ad kullanımı uygulanmaktadır.
• Erişim Kontrolü: Sağlayıcı düzeyinde MFA desteğiyle Kimlik Sağlayıcılar (örn. Google/Facebook/E-posta) aracılığıyla SSO entegrasyonu; rol tabanlı erişim; mantıksal kiracı ayrımı (Müşteri Kimliğine göre katı veri tabanı düzeyinde kapsam belirleme).
• Oturum Güvenliği: Güvenli önekli çerezler, Katı SameSite politikaları, CSRF belirteçleme ve katı boşta oturum zaman aşımı kullanan Sıfır Güven oturum yönetimi.
• DDoS ve Kötüye Kullanım Önleme: Kötüye kullanımı ve kaynak tükenmesini azaltmak amacıyla atomik izleme ve katı yük boyutu kısıtlamalarıyla otomatik hız sınırlama.
• Yapay Zeka Güvenliği: Düşmanca girdileri ve RAG Zehirlenmesini azaltmak için otomatik istem enjeksiyonu tespit mekanizmaları ve dinamik sanitizasyon protokolleri.
• Otomatik KBB Maskeleme: Sistem denetim günlüklerinde Kişisel Olarak Tanımlanabilir Bilgilerin (E-postalar, Telefon numaraları, Parolalar) veri tabanına alınmadan önce otomatik olarak maskelenmesi.
• Altyapı ve Gizli Bilgi Yönetimi: Tanınmış sertifikalara (örn. SOC 2, ISO 27001) sahip saygın bulut sağlayıcılarında barındırma. Kimlik bilgisi ifşasını önlemek için merkezi, bulut destekli gizli bilgi yönetimi. Katı İçerik Güvenliği Politikası (CSP) uygulaması.
• Güvenlik Açığı Yönetimi: Periyodik yama uygulama, bağımlılık incelemesi ve güvenli temel dağıtım iş akışları (Sıfır Kesinti Süreli hatlar).
• İş Sürekliliği: Otomatik yedeklemeler; dinamik API'ler için belgelenmiş olay müdahale ve yedek yönlendirme prosedürleri.
• Veri Yaşam Döngüsü: Madde 8 uyarınca otomatik GDPR/SOC2 silme protokolleri (örn. 72 iş saati temizleme penceresi) ve yedek üzerine yazma süreçleri.

Ek III — Alt İşleyenler

Güncel önemli Alt İşleyenler listesi (barındırma ve yapay zeka sağlayıcıları) atıf yoluyla dahil edilen Alt İşleyenler Listesi adresinde tutulmaktadır.

İletişim: privacidad@cerovueltas.com | legal@cerovueltas.com

SUITE IMPERIAL LLC, New Mexico, ABD