Küresel Gizlilik, Kişisel Verilerin Korunması ve Güvenlik Politikası

MADDE 1 – Amaç, Kapsam ve Uygulanabilirlik

1.1. Politikanın Amacı

İşbu Küresel Gizlilik, Kişisel Verilerin Korunması ve Güvenlik Politikası (“Politika”), Seçkiner Teknoloji ve Kimya San. ve Tic. A.Ş. tarafından DigiPestControl markası altında sunulan dijital hizmetler kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri hakkında ilgili kişileri bilgilendirmek ve veri koruma yaklaşımımızı açıklamak amacıyla hazırlanmıştır.

Politika; kişisel verilerin hangi kategorilerde işlendiğini, hangi kaynaklardan elde edilebildiğini, hangi amaçlarla ve hukuki sebeplerle işlendiğini, kimlerle paylaşılabileceğini, uluslararası veya yurt dışı veri aktarımlarını, saklama ve imha yaklaşımını, bilgi güvenliği tedbirlerini ve ilgili kişilerin uygulanabilir mevzuattan kaynaklanan haklarını açıklar.

1.2. Politikanın Kapsadığı Hizmetler

Bu Politika, uygulanabilir olduğu ölçüde aşağıdaki DigiPestControl hizmet ve iletişim kanallarını kapsar:

• DigiPestControl internet sitesi ve ilgili web sayfaları;
• DigiPestControl SaaS web uygulaması;
• DigiPestControl mobil uygulamaları;
• müşteri, kullanıcı ve yönetim panelleri;
• API'ler ve üçüncü taraf sistem entegrasyonları;
• hesap oluşturma ve abonelik süreçleri;
• demo ve ürün bilgilendirme talepleri;
• destek, eğitim ve teknik yardım hizmetleri;
• e-posta ve diğer kurumsal iletişim kanalları;
• DigiPestControl ile ilişkili diğer çevrimiçi hizmetler.

1.3. Politikanın Kapsadığı Kişiler

İşbu Politika, işleme faaliyetinin niteliğine göre aşağıdaki gerçek kişiler bakımından uygulanabilir:

• internet sitesi ziyaretçileri;
• DigiPestControl hesabı oluşturan kullanıcılar;
• Müşteri firma yetkilileri ve yöneticileri;
• Müşteri çalışanları ve teknisyenleri;
• potansiyel müşteriler ve demo talebinde bulunan kişiler;
• destek veya iletişim talebinde bulunan kişiler;
• tedarikçi ve iş ortaklarının gerçek kişi temsilcileri;
• DigiPestControl'ün Veri İşleyen / Processor sıfatıyla hizmet verdiği Müşteriler tarafından kişisel verileri platforma girilen gerçek kişiler;
• DigiPestControl ile diğer şekillerde etkileşime giren gerçek kişiler.

1.4. Uygulanabilir Veri Koruma Mevzuatı

Kişisel veri işleme faaliyetlerimiz, somut işleme faaliyetinin niteliğine ve uygulanabilirlik şartlarına göre başta Türkiye Cumhuriyeti'nin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), ilgili ikincil mevzuat ve Kişisel Verileri Koruma Kurulu kararları olmak üzere, uygulanabilir olduğu durumlarda Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”), UK GDPR ve faaliyetlerimize uygulanabilecek diğer ulusal veya bölgesel veri koruma düzenlemeleri dikkate alınarak yürütülür.

Belirli bir ülke veya bölgenin zorunlu veri koruma mevzuatının işbu Politika'dan daha yüksek veya farklı bir koruma standardı getirdiği durumlarda ilgili zorunlu mevzuat hükümleri saklıdır.

MADDE 2 – Veri Sorumlusunun Kimliği ve Veri Koruma Rolleri

2.1. DigiPestControl'ün Veri Sorumlusu / Controller Olduğu Durumlar

Seçkiner Teknoloji ve Kimya San. ve Tic. A.Ş., kişisel veri işleme faaliyetlerinin amaçlarını ve esaslı vasıtalarını kendisinin belirlediği durumlarda Veri Sorumlusu / Controller olarak hareket eder.

Bu kapsamdaki işleme faaliyetleri, somut duruma bağlı olarak özellikle aşağıdakileri içerebilir:

• web sitesi ve dijital hizmet ziyaretçilerinin yönetilmesi;
• kullanıcı hesabı oluşturulması ve hesap yönetimi;
• müşteri ilişkileri ve abonelik yönetimi;
• faturalandırma, ödeme ve muhasebe işlemleri;
• destek, demo ve iletişim taleplerinin yönetilmesi;
• bilgi ve sistem güvenliğinin sağlanması;
• dolandırıcılık ve kötüye kullanımın önlenmesi;
• hukuki yükümlülüklerin yerine getirilmesi;
• sözleşme ve elektronik kabul kayıtlarının tutulması;
• gerekli hukuki şartların sağlandığı ölçüde pazarlama ve ticari iletişim faaliyetlerinin yürütülmesi.

2.2. DigiPestControl'ün Veri İşleyen / Processor Olduğu Durumlar

DigiPestControl SaaS platformunun kullanımı sırasında Müşteri'nin kendi faaliyetleri için Yazılım'a yüklediği veya Yazılım üzerinden işlediği kişisel verilerin işleme amaç ve esaslarını Müşteri'nin belirlediği durumlarda Müşteri Veri Sorumlusu / Controller, DigiPestControl ise Müşteri adına hizmet sağladığı ölçüde Veri İşleyen / Processor olarak hareket eder.

Bu kapsamda DigiPestControl kişisel verileri, uygulanabilir veri koruma mevzuatı, DigiPestControl SaaS Hizmet ve Kullanım Lisansı Sözleşmesi, ilgili Veri İşleme Sözleşmesi (“DPA”) ve Müşteri'nin hukuka uygun belgelenmiş talimatları doğrultusunda işler.

Müşteri'nin kendi müşterilerine, çalışanlarına, teknisyenlerine veya diğer ilgili kişilere karşı sahip olduğu veri sorumlusu yükümlülükleri Müşteri'ye aittir.

MADDE 3 – Temel Tanımlar

3.1. Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.

3.2. İlgili Kişi / Data Subject: Kişisel verisi işlenen gerçek kişiyi ifade eder.

3.3. Veri Sorumlusu / Controller: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişiyi ifade eder.

3.4. Veri İşleyen / Processor: Veri Sorumlusu adına ve onun yetkilendirmesi veya talimatları doğrultusunda kişisel veri işleyen gerçek veya tüzel kişiyi ifade eder.

3.5. Alt İşleyen / Sub-processor: DigiPestControl'ün bir Müşteri adına gerçekleştirdiği kişisel veri işleme faaliyetlerinin belirli bir bölümünü yerine getirmek amacıyla yararlandığı üçüncü taraf hizmet sağlayıcıyı ifade eder.

3.6. İşleme: Kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, düzenlenmesi, değiştirilmesi, görüntülenmesi, kullanılması, aktarılması, erişilebilir hale getirilmesi, sınırlandırılması, silinmesi, yok edilmesi veya anonimleştirilmesi dahil kişisel veriler üzerinde gerçekleştirilen işlemleri ifade eder.

3.7. Müşteri Verisi: DigiPestControl SaaS Hizmet ve Kullanım Lisansı Sözleşmesi'nde tanımlanan, Müşteri veya onun yetkilendirdiği Kullanıcılar tarafından Yazılım'a girilen, yüklenen, aktarılan veya Yazılım aracılığıyla oluşturulan verileri ifade eder.

3.8. Kişisel Veri İhlali: Kişisel verilerin kazara veya hukuka aykırı olarak imha edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına veya yetkisiz erişimine yol açan güvenlik ihlalini ifade eder.

MADDE 4 – İşlenebilecek Kişisel Veri Kategorileri

DigiPestControl tarafından işlenebilecek kişisel veriler, ilgili kişinin DigiPestControl ile olan ilişkisine, kullandığı Hizmetlere ve kullanılan modüllere göre değişebilir. Her ilgili kişi bakımından aşağıdaki kategorilerin tamamının işlenmesi zorunlu değildir.

4.1. Kimlik Bilgileri

• ad;
• soyad;
• kullanıcı veya hesap kimliği;
• yetkili temsilci bilgileri.

4.2. İletişim Bilgileri

• e-posta adresi;
• telefon numarası;
• kurumsal iletişim bilgileri;
• iş veya fatura adresi.

4.3. Kurumsal ve Mesleki Bilgiler

• şirket veya kurum adı;
• görev ve unvan;
• organizasyon veya departman bilgileri;
• kullanıcı rolü;
• yetkilendirme ve erişim seviyesi bilgileri.

4.4. Hesap ve Abonelik Bilgileri

• hesap oluşturma bilgileri;
• abonelik planı ve durumu;
• kullanıcı ve organizasyon ilişkileri;
• elektronik sözleşme kabul kayıtları;
• hesap tercihleri;
• abonelik ve hesap işlem geçmişleri.

4.5. Faturalandırma ve İşlem Bilgileri

• fatura bilgileri;
• ödeme durumu;
• abonelik veya sipariş bilgileri;
• işlem ve tahsilat kayıtları;
• mevzuat gereği tutulması gereken muhasebe veya ticari kayıtlar.

4.6. Teknik ve Güvenlik Verileri

• IP adresi;
• cihaz bilgileri;
• işletim sistemi bilgileri;
• tarayıcı türü ve sürümü;
• oturum bilgileri;
• kimlik doğrulama kayıtları;
• erişim ve güvenlik logları;
• hata kayıtları;
• API işlem kayıtları;
• güvenlik olaylarının araştırılması için gerekli teknik kayıtlar.

4.7. Kullanım ve Etkileşim Verileri

• kullanılan platform özellikleri;
• kullanıcı işlem kayıtları;
• oturum ve kullanım süreleri;
• işlem tarih ve saatleri;
• uygulama içi kullanıcı hareketleri;
• teknik performans ve hata analiz verileri.

4.8. İletişim ve Destek Verileri

• iletişim formu içerikleri;
• demo talepleri;
• destek talepleri;
• e-posta yazışmaları;
• hata bildirimleri;
• kullanıcı geri bildirimleri;
• müşteri destek süreçlerinde gönüllü olarak sağlanan diğer bilgiler.

4.9. Müşteri Tarafından Platforma Girilen Operasyonel Veriler

DigiPestControl'ün Veri İşleyen / Processor olarak hareket ettiği durumlarda, Müşteri tarafından Hizmet'e aşağıdaki türlerde veriler yüklenebilir:

• müşteri ve tesis kayıtları;
• saha operasyon kayıtları;
• servis kayıtları;
• teknisyen bilgileri ve işlem kayıtları;
• tesis, lokasyon ve istasyon kayıtları;
• pest control uygulama kayıtları;
• ürün kullanım kayıtları;
• fotoğraflar;
• imzalar;
• dokümanlar;
• rapor içerikleri;
• IoT ve telemetri kayıtları;
• serbest metin alanlarına Müşteri tarafından girilen diğer bilgiler.

Bu kategoriler bakımından Müşteri, uygulanabilir veri koruma mevzuatı kapsamında kişisel verilerin hukuka uygun şekilde toplanması, Hizmet'e aktarılması ve işlenmesine ilişkin kendi Veri Sorumlusu yükümlülüklerinden sorumludur.

4.10. Özel Nitelikli Kişisel Veriler

DigiPestControl, açıkça ilgili amaç için tasarlanmış bir özellik veya modül bulunmadıkça sağlık, genetik, biyometrik veya uygulanabilir mevzuat kapsamında özel nitelikli / özel kategori olarak değerlendirilen kişisel verilerin sistematik biçimde işlenmesi amacıyla tasarlanmamıştır.

Müşteri tarafından bu tür verilerin Hizmet'e girilmesinin gerekli olduğu durumlarda, gerekli hukuki işleme şartlarının ve uygulanabilir ek güvenlik tedbirlerinin sağlanması Müşteri'nin sorumluluğundadır; DigiPestControl'ün kendi veri sorumlusu sıfatıyla gerçekleştirdiği özel nitelikli veri işleme faaliyetleri bulunması halinde bunlar ayrıca ilgili aydınlatma kapsamında açıklanır.

MADDE 5 – Kişisel Verilerin Elde Edilme Yöntemleri ve Kaynakları

Kişisel veriler; ilgili kişinin DigiPestControl ile olan ilişkisinin niteliğine, kullandığı Hizmetlere ve gerçekleştirilen işlemlere bağlı olarak doğrudan ilgili kişiden, Müşteri'den, yetkilendirilmiş Kullanıcılardan, kullanılan teknik sistemlerden veya hukuka uygun üçüncü taraf kaynaklardan elektronik veya fiziksel yöntemlerle elde edilebilir.

5.1. Doğrudan İlgili Kişiden Elde Edilen Veriler

Kişisel veriler aşağıdaki işlemler sırasında doğrudan ilgili kişi tarafından sağlanabilir:

• kullanıcı hesabı oluşturulması;
• abonelik veya satın alma işlemlerinin gerçekleştirilmesi;
• demo veya ürün bilgilendirme talebinde bulunulması;
• iletişim veya destek formlarının doldurulması;
• e-posta veya diğer iletişim kanalları üzerinden bizimle iletişime geçilmesi;
• kullanıcı profili veya hesap bilgilerinin güncellenmesi;
• eğitim, destek veya çevrimiçi görüşmelere katılım sağlanması;
• ilgili kişinin gönüllü olarak DigiPestControl'e bilgi sağlaması.

5.2. Müşteri veya Yetkilendirilmiş Kullanıcılardan Elde Edilen Veriler

DigiPestControl'ün Veri İşleyen / Processor sıfatıyla hareket ettiği durumlarda, kişisel veriler Müşteri veya Müşteri tarafından yetkilendirilen Kullanıcılar tarafından SaaS platformuna girilebilir, yüklenebilir veya aktarılabilir.

Bu kapsamda veriler özellikle aşağıdaki işlemler sırasında sisteme aktarılabilir:

• müşteri ve tesis kayıtlarının oluşturulması;
• teknisyen ve kullanıcı bilgilerinin tanımlanması;
• saha ve servis kayıtlarının oluşturulması;
• rapor, fotoğraf, imza veya doküman yüklenmesi;
• lokasyon veya istasyon bilgilerinin kaydedilmesi;
• mevcut veri setlerinin sisteme aktarılması;
• üçüncü taraf sistem entegrasyonları üzerinden veri aktarılması.

Bu tür Müşteri Verilerinin hukuka uygun şekilde elde edilmiş olması ve DigiPestControl'e aktarılması için gerekli hukuki şartların sağlanması, Müşteri'nin Veri Sorumlusu olduğu ölçüde Müşteri'nin sorumluluğundadır.

5.3. Otomatik Olarak Elde Edilen Teknik Veriler

Hizmetlerin kullanılması sırasında belirli teknik veriler sistemlerimiz tarafından otomatik olarak oluşturulabilir veya kaydedilebilir. Bunlar, uygulanabilir olduğu ölçüde aşağıdakileri içerebilir:

• IP adresi;
• erişim tarihi ve saati;
• cihaz ve işletim sistemi bilgileri;
• tarayıcı bilgileri;
• oturum ve kimlik doğrulama kayıtları;
• güvenlik logları;
• uygulama hata kayıtları;
• API çağrı ve işlem kayıtları;
• uygulama kullanım ve performans verileri;
• güvenlik olaylarının araştırılması için gerekli teknik kayıtlar.

5.4. Çerezler ve Benzeri Teknolojiler

İnternet sitesi ve ilgili dijital hizmetler üzerinden çerezler, yerel depolama teknolojileri veya benzeri teknolojiler aracılığıyla belirli bilgiler elde edilebilir.

Zorunlu olmayan çerezler veya benzeri teknolojiler bakımından uygulanabilir mevzuatın gerektirdiği durumlarda kullanıcı tercihi veya gerekli izin mekanizması uygulanır.

Kullanılan çerezlerin kategorileri, amaçları, süreleri, sağlayıcıları ve tercih yönetimi hakkında ayrıntılı bilgi DigiPestControl Çerez Politikası kapsamında ayrıca açıklanır.

5.5. Entegrasyonlar ve Üçüncü Taraf Hizmetlerden Elde Edilen Veriler

Müşteri'nin talebi veya kullandığı Hizmet fonksiyonları kapsamında, DigiPestControl üçüncü taraf sistemler, API'ler, cihazlar veya entegrasyonlar üzerinden veri alabilir.

Bunlar, kullanılan gerçek entegrasyonlara bağlı olarak aşağıdakileri içerebilir:

• IoT cihazları;
• telemetri sistemleri;
• harita ve konum servisleri;
• ödeme hizmet sağlayıcıları;
• e-posta veya bildirim sistemleri;
• Müşteri tarafından bağlanan üçüncü taraf yazılımlar;
• diğer yetkilendirilmiş sistem entegrasyonları.

Üçüncü taraf hizmet sağlayıcının kendi amaçları doğrultusunda bağımsız Veri Sorumlusu olarak gerçekleştirdiği kişisel veri işleme faaliyetleri, ilgili üçüncü tarafın kendi gizlilik hükümlerine tabi olabilir.

MADDE 6 – Kişisel Verilerin İşlenme Amaçları

Kişisel veriler, ilgili veri kategorisine ve veri işleme faaliyetinin niteliğine göre aşağıdaki belirli ve meşru amaçlardan biri veya birkaçı kapsamında işlenebilir.

6.1. Hizmetlerin Sunulması

• kullanıcı hesabı oluşturulması;
• SaaS platformuna erişim sağlanması;
• aboneliklerin oluşturulması ve yönetilmesi;
• kullanıcı rollerinin ve yetkilerinin işletilmesi;
• talep edilen Yazılım fonksiyonlarının sunulması;
• Hizmet'in teknik olarak çalıştırılması ve sürdürülmesi.

6.2. Müşteri ve Abonelik Yönetimi

• müşteri ilişkilerinin yönetilmesi;
• abonelik durumunun takip edilmesi;
• paket ve kullanıcı bilgilerinin yönetilmesi;
• yenileme ve iptal işlemlerinin yürütülmesi;
• müşteri taleplerinin yerine getirilmesi.

6.3. Faturalandırma ve Finansal Süreçler

• fatura oluşturulması;
• ödeme durumlarının takip edilmesi;
• muhasebe süreçlerinin yürütülmesi;
• vergi ve mali yükümlülüklerin yerine getirilmesi;
• ödeme ve tahsilat uyuşmazlıklarının yönetilmesi.

6.4. Destek ve Müşteri Hizmetleri

• teknik destek sağlanması;
• hata bildirimlerinin değerlendirilmesi;
• demo taleplerinin yanıtlanması;
• eğitim ve kullanıcı desteğinin sağlanması;
• iletişim taleplerinin cevaplandırılması;
• müşteri memnuniyetine ilişkin operasyonların yürütülmesi.

6.5. Bilgi ve Sistem Güvenliği

• hesap güvenliğinin sağlanması;
• kimlik doğrulama işlemlerinin yürütülmesi;
• yetkisiz erişimlerin önlenmesi ve tespit edilmesi;
• güvenlik olaylarının araştırılması;
• kötüye kullanım ve dolandırıcılığın önlenmesi;
• sistem loglarının oluşturulması ve incelenmesi;
• Hizmet'in güvenilirliğinin ve bütünlüğünün korunması.

6.6. Hizmet Kalitesi, Hata Analizi ve Ürün Geliştirme

• teknik hataların tespit edilmesi;
• performans sorunlarının analiz edilmesi;
• Hizmet'in kullanılabilirliğinin geliştirilmesi;
• özelliklerin ve kullanıcı deneyiminin iyileştirilmesi;
• güvenlik ve kapasite planlamasının yapılması;
• istatistiksel ve teknik analizlerin gerçekleştirilmesi.

Bu amaçla kullanılan verilerin mümkün olduğu ölçüde veri minimizasyonuna tabi tutulması ve kişisel veri kullanılmasının gerekli olmadığı analizlerde anonim veya toplulaştırılmış verilerin tercih edilmesi hedeflenir.

6.7. Hukuki ve Düzenleyici Yükümlülükler

• yetkili kamu kurumlarının hukuka uygun taleplerinin karşılanması;
• vergi ve muhasebe yükümlülüklerinin yerine getirilmesi;
• kişisel veri koruma yükümlülüklerinin yerine getirilmesi;
• yasal kayıtların tutulması;
• mahkeme, icra veya diğer hukuki süreçlerin yürütülmesi;
• uygulanabilir diğer kanuni yükümlülüklerin yerine getirilmesi.

6.8. Hakların Tesisi, Kullanılması ve Korunması

Kişisel veriler; bir hukuki hakkın tesisi, kullanılması veya korunmasının gerekli olduğu durumlarda, sözleşmesel veya hukuki uyuşmazlıkların yönetilmesi, alacakların takibi, savunma haklarının kullanılması ve hukuki delillerin korunması amacıyla işlenebilir.

6.9. Pazarlama ve Ticari İletişim

Ürün duyuruları, kampanyalar, pazarlama iletişimleri, ticari elektronik iletiler ve benzeri faaliyetler yalnızca uygulanabilir veri koruma ve elektronik iletişim mevzuatının izin verdiği hukuki şartlar kapsamında yürütülür.

Açık rıza veya ayrıca iletişim izni gereken durumlarda söz konusu izin, SaaS Hizmet ve Kullanım Lisansı Sözleşmesi'nin kabulünden ayrı olarak alınır.

İlgili kişi, uygulanabilir mevzuatın kendisine tanıdığı ölçüde pazarlama iletişimlerini durdurabilir veya daha önce verdiği izni geri çekebilir.

MADDE 7 – Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

7.1. KVKK Kapsamındaki İşleme Şartları

KVKK'nın uygulanabilir olduğu işlemlerde kişisel veriler, somut işleme faaliyetine göre özellikle aşağıdaki hukuki şartlardan bir veya birkaçına dayanılarak işlenebilir:

• ilgili kişinin açık rızasının bulunması;
• veri işlemenin kanunlarda açıkça öngörülmesi;
• bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması;
• Veri Sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması;
• ilgili kişi tarafından alenileştirilmiş kişisel verilerin, alenileştirme iradesine uygun şekilde işlenmesi;
• bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması;
• ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Veri Sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması.

Somut işleme faaliyetine uygulanabilecek diğer KVKK işleme şartları saklıdır.

7.2. GDPR Kapsamındaki Hukuki Dayanaklar

GDPR'ın uygulanabilir olduğu veri işleme faaliyetlerinde kişisel veriler, somut faaliyetin niteliğine göre özellikle aşağıdaki hukuki dayanaklardan bir veya birkaçına dayanılarak işlenebilir:

• ilgili kişinin rızası – GDPR Article 6(1)(a);
• ilgili kişinin taraf olduğu bir sözleşmenin ifası veya sözleşme öncesi talebinin yerine getirilmesi – GDPR Article 6(1)(b);
• Veri Sorumlusunun tabi olduğu hukuki yükümlülüğün yerine getirilmesi – GDPR Article 6(1)(c);
• ilgili kişinin veya başka bir gerçek kişinin hayati menfaatlerinin korunması – GDPR Article 6(1)(d), uygulanabilir olduğu sınırlı hallerde;
• ilgili kişinin temel hak ve özgürlüklerinin ağır basmadığı durumlarda Veri Sorumlusunun veya üçüncü bir tarafın meşru menfaatlerinin gerçekleştirilmesi – GDPR Article 6(1)(f).

7.3. Temel İşleme Faaliyetleri ve Hukuki Sebep Eşleştirmesi

Yukarıdaki tablo temel işleme faaliyetlerini özetlemektedir. Somut bir işlemin hukuki sebebi, ilgili kişinin DigiPestControl ile ilişkisine, işlenen veri kategorisine ve uygulanabilir mevzuata göre farklılaşabilir.

7.4. Özel Nitelikli Kişisel Veriler

Özel nitelikli kişisel verilerin DigiPestControl tarafından Veri Sorumlusu sıfatıyla işlenmesi gerektiği durumlarda, KVKK'nın özel nitelikli kişisel verilere ilişkin hükümleri ve uygulanabilir diğer veri koruma mevzuatındaki özel kategori veri işleme şartları ayrıca değerlendirilir.

DigiPestControl'ün Veri İşleyen olduğu Müşteri Verileri bakımından Müşteri, özel nitelikli kişisel verilerin Hizmet'e aktarılmasının hukuka uygunluğu ve gerekli ek tedbirlerin sağlanmasından Veri Sorumlusu sıfatıyla sorumludur.

MADDE 8 – Kişisel Verilerin Aktarılması ve Alıcı Grupları

Kişisel veriler, yalnızca ilgili veri işleme amacı için gerekli olduğu ve uygulanabilir mevzuat kapsamında geçerli bir hukuki aktarım şartının bulunduğu ölçüde üçüncü taraflarla paylaşılabilir.

Kişisel verilerin üçüncü taraflarla paylaşılması, söz konusu üçüncü tarafın niteliğine göre veri işleyen hizmet sağlayıcı, Alt İşleyen, bağımsız Veri Sorumlusu veya yetkili kamu kurumu ile yapılan bir aktarım niteliğinde olabilir.

8.1. Altyapı ve Teknoloji Hizmet Sağlayıcıları

Hizmet'in teknik olarak sunulması amacıyla, kullanılan gerçek altyapıya bağlı olarak kişisel veriler sınırlı ölçüde aşağıdaki hizmet sağlayıcılarla paylaşılabilir:

• sunucu ve veri merkezi sağlayıcıları;
• bulut hizmet sağlayıcıları;
• yedekleme ve felaket kurtarma hizmetleri;
• e-posta hizmet sağlayıcıları;
• SMS ve bildirim hizmetleri;
• mobil push notification sağlayıcıları;
• teknik performans ve hata izleme hizmetleri;
• güvenlik hizmet sağlayıcıları;
• Hizmet'in sunulması için gerekli diğer teknik hizmet sağlayıcılar.

Müşteri adına kişisel veri işleyen hizmet sağlayıcılar, uygulanabilir olduğu ölçüde DigiPestControl SaaS Hizmet ve Kullanım Lisansı Sözleşmesi kapsamındaki Alt İşleyen / Sub-processor yapısına tabidir.

8.2. Ödeme ve Finansal Hizmet Sağlayıcıları

Abonelik veya ödeme işlemlerinin gerçekleştirilmesi amacıyla gerekli kişisel veriler kullanılan ödeme kuruluşları, bankalar veya ilgili finansal hizmet sağlayıcıları ile paylaşılabilir.

Ödeme hizmeti sağlayıcılarının kendi yasal ve düzenleyici yükümlülüklerini yerine getirmek amacıyla bağımsız Veri Sorumlusu olarak gerçekleştirdikleri işlemler kendi gizlilik ve veri koruma hükümlerine tabi olabilir.

8.3. Profesyonel Danışmanlar ve Hizmet Sağlayıcılar

Hukuki yükümlülüklerin yerine getirilmesi, şirket faaliyetlerinin yönetimi veya hakların korunması amacıyla gerekli olduğu ölçüde kişisel veriler; avukatlar, mali müşavirler, muhasebe hizmet sağlayıcıları, denetçiler, bilgi güvenliği danışmanları ve diğer profesyonel danışmanlarla paylaşılabilir.

8.4. Yetkili Kamu Kurumları ve Adli Merciler

Kişisel veriler; yürürlükteki mevzuat, mahkeme kararı, yetkili idari makam talebi veya diğer bağlayıcı hukuki yükümlülüklerin gerektirdiği ölçüde, yetkili mahkemeler, icra makamları, kolluk birimleri, düzenleyici otoriteler, vergi makamları, kişisel verileri koruma otoriteleri ve diğer yetkili kamu kurumları ile paylaşılabilir.

8.5. Şirket İşlemleri

Şirket birleşmesi, devralma, yeniden yapılanma, yatırım, finansman, işletme veya varlık devri gibi işlemlerin değerlendirilmesi veya gerçekleştirilmesi sırasında, gerekli gizlilik ve veri koruma tedbirleri alınmak kaydıyla sınırlı kişisel veriler potansiyel veya fiili işlem tarafları ve profesyonel danışmanlarla paylaşılabilir.

Bu tür işlemlerde kişisel verilerin yeni bir Veri Sorumlusuna aktarılması söz konusu olduğunda uygulanabilir veri koruma mevzuatındaki bilgilendirme, hukuki sebep ve aktarım yükümlülükleri ayrıca gözetilir.

MADDE 9 – Uluslararası ve Yurt Dışı Kişisel Veri Aktarımları

DigiPestControl'ün uluslararası nitelikte bir SaaS hizmeti olması ve bazı teknik hizmet sağlayıcılarının farklı ülkelerde faaliyet gösterebilmesi nedeniyle, kişisel verilerin Türkiye veya ilgili kişinin bulunduğu ülke dışındaki bir ülkede işlenmesi veya bu ülkelere aktarılması söz konusu olabilir.

Yurt dışı aktarımın gerçekleşip gerçekleşmediği; kullanılan gerçek hosting, bulut, e-posta, bildirim, ödeme, harita, izleme, destek ve diğer hizmet sağlayıcılarının teknik yapılarına göre belirlenir.

9.1. KVKK Kapsamındaki Yurt Dışı Aktarımlar

KVKK'nın uygulanabilir olduğu yurt dışı kişisel veri aktarımları, Kanun'un 9. maddesi ve ilgili ikincil mevzuat kapsamında öngörülen aktarım şartlarına uygun şekilde gerçekleştirilir.

Somut aktarım faaliyetine göre özellikle aşağıdaki mekanizmalar değerlendirilebilir:

• ilgili ülke, sektör veya uluslararası kuruluş hakkında geçerli bir yeterlilik kararının bulunması;
• Kurul tarafından yayımlanan uygun Standart Sözleşmelerin kullanılması;
• bağlayıcı şirket kuralları veya mevzuatta öngörülen diğer uygun güvencelerin sağlanması;
• yalnızca mevzuatın izin verdiği sınırlı durumlarda uygulanabilen diğer yasal aktarım mekanizmaları.

Standart sözleşme veya başka bir uygun güvence mekanizmasının kullanılması halinde mevzuatta öngörülen bildirim, kayıt ve diğer usuli yükümlülükler yerine getirilir.

9.2. GDPR Kapsamındaki Uluslararası Aktarımlar

GDPR'ın uygulanabilir olduğu ve kişisel verilerin Avrupa Ekonomik Alanı dışındaki bir ülkeye aktarılması gerektiği durumlarda, GDPR Bölüm V kapsamında izin verilen aktarım mekanizmalarından uygun olanı kullanılabilir. Bunlar özellikle:

• Avrupa Komisyonu yeterlilik kararları;
• Avrupa Komisyonu Standart Sözleşme Maddeleri (“EU SCCs”);
• uygulanabilir olduğu durumlarda bağlayıcı şirket kuralları;
• gerekli olduğu durumlarda tamamlayıcı teknik veya organizasyonel güvenlik tedbirleri;
• GDPR kapsamında izin verilen diğer geçerli aktarım mekanizmaları.

9.3. UK GDPR Kapsamındaki Aktarımlar

UK GDPR'ın uygulanabilir olduğu uluslararası veri aktarımlarında Birleşik Krallık mevzuatında kabul edilen yeterlilik düzenlemeleri, International Data Transfer Agreement (“IDTA”), UK Addendum veya uygulanabilir diğer geçerli aktarım mekanizmaları kullanılabilir.

9.4. Veri İşleyen Sıfatıyla Gerçekleştirilen Aktarımlar

DigiPestControl'ün Müşteri adına Veri İşleyen / Processor olarak işlediği kişisel verilerin yurt dışındaki bir Alt İşleyene aktarılması gerektiğinde, ilgili Müşteri'nin Veri Sorumlusu rolü, DigiPestControl SaaS Hizmet ve Kullanım Lisansı Sözleşmesi, DPA hükümleri ve uygulanabilir veri aktarım mevzuatı birlikte değerlendirilir.

Aktarım için KVKK Standart Sözleşmesi, EU SCC veya başka resmi bir aktarım belgesinin kullanılması gerekiyorsa, DigiPestControl'ün genel SaaS Sözleşmesi veya DPA'sı bu resmi aktarım belgesinin yerine geçmez.

9.5. Alt İşleyenler ve Veri İşleme Bölgeleri

DigiPestControl tarafından kullanılan ve Müşteri adına kişisel veri işleyen önemli Alt İşleyenlerin kimliği, hizmet amacı ve mümkün olduğu ölçüde veri işleme veya barındırma bölgeleri Alt İşleyenler / Sub-processors listesinde açıklanabilir.

MADDE 10 – Kişisel Verilerin Saklanması ve Saklama Sürelerinin Belirlenmesi

Kişisel veriler; işlendikleri amaç için gerekli olan süreyi aşmayacak şekilde, uygulanabilir hukuki saklama yükümlülükleri, sözleşmesel yükümlülükler, zamanaşımı süreleri, bilgi güvenliği ihtiyaçları ve veri işleme faaliyetinin niteliği dikkate alınarak saklanır.

Her kişisel veri kategorisinin aynı süre boyunca saklanması zorunlu değildir. Saklama süresi, ilgili veri kategorisi ve işleme amacı bakımından ayrı ayrı belirlenebilir.

10.1. Saklama Süresinin Belirlenmesinde Kullanılan Kriterler

Kişisel verilerin ne kadar süreyle saklanacağının belirlenmesinde özellikle aşağıdaki kriterler dikkate alınabilir:

• kişisel verinin işlenme amacı;
• ilgili kişinin DigiPestControl ile ilişkisinin devam edip etmediği;
• abonelik veya sözleşme süresi;
• ilgili yasal saklama yükümlülükleri;
• muhasebe, vergi ve ticari kayıt yükümlülükleri;
• hukuki hakların tesisi, kullanılması veya korunması için gerekli süre;
• uygulanabilir zamanaşımı ve hak düşürücü süreler;
• bilgi ve sistem güvenliği gereklilikleri;
• güvenlik olaylarının araştırılması için gerekli makul süre;
• ilgili kişinin geçerli rızasını geri çekmesi veya işlemeye itiraz etmesi;
• uygulanabilir veri koruma mevzuatındaki diğer saklama ve imha yükümlülükleri.

10.2. Başlıca Veri Kategorilerine İlişkin Saklama Yaklaşımı

10.3. Müşteri Verileri İçin 7 İş Günlük Geçiş Süresi

Müşteri, abonelik sona ermeden önce ve varsa 7 (yedi) iş günlük geçiş süresi içerisinde saklamak istediği verileri Yazılım tarafından desteklenen .sql, Excel, PDF ve diğer veri dışa aktarma araçları ile kendi sistemlerine aktarmakla sorumludur.

Bu sürenin sona ermesi, DigiPestControl'ün Veri Sorumlusu sıfatıyla kendi hukuki yükümlülükleri kapsamında saklaması gereken fatura, sözleşme, muhasebe, işlem güvenliği veya diğer kayıtların da aynı tarihte silinmesini gerektirmez.

10.4. Süresiz Saklama Yapılmaması

Kişisel veriler, gelecekte kullanılma ihtimali bulunduğu gerekçesiyle belirsiz veya süresiz şekilde muhafaza edilmez. İşleme amacı ve uygulanabilir hukuki saklama gerekliliği sona erdiğinde ilgili veri için uygun imha süreci değerlendirilir.

MADDE 11 – Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi

Kişisel verilerin işlenmesini gerektiren amaç ve hukuki sebeplerin ortadan kalkması halinde, uygulanabilir veri koruma mevzuatı ve DigiPestControl'ün ilgili saklama ve imha prosedürleri doğrultusunda kişisel veriler silinebilir, yok edilebilir veya anonim hale getirilebilir.

11.1. Silme

Kişisel verilerin ilgili kullanıcılar veya iş birimleri tarafından artık erişilemez ve kullanılamaz hale getirilmesi, kullanılan sistem ve veri mimarisinin niteliğine göre silme yöntemi olarak uygulanabilir.

11.2. Yok Etme

Kişisel verilerin hiçbir kişi tarafından erişilemeyecek, geri getirilemeyecek ve tekrar kullanılamayacak şekilde ortadan kaldırılması gerektiği durumlarda uygun teknik yok etme yöntemleri uygulanabilir.

11.3. Anonimleştirme

İşleme amacının kişisel veri kullanılmadan sürdürülebileceği durumlarda kişisel veriler, başka verilerle eşleştirilmesi dahil olmak üzere hiçbir surette kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hale getirilerek anonimleştirilebilir.

11.4. Teknik Yedeklerde Bulunan Veriler

Aktif sistemlerden silinen bazı kişisel veri kopyaları, teknik yedekleme mimarisinin niteliği nedeniyle belirli bir süre için güvenli yedeklerde bulunmaya devam edebilir.

Bu durumda söz konusu veriler normal operasyonel kullanım amacıyla yeniden işlenmez ve güvenli yedekleme, üzerine yazma ve imha döngüsü kapsamında ortadan kaldırılır.

Teknik yedeklerde bir veri kopyasının bulunması, DigiPestControl'ün Müşteri'ye ilgili kaydı seçerek geri getirme veya veri kurtarma hizmeti sağlamakla yükümlü olduğu anlamına gelmez.

11.5. Müşteri veya Kullanıcı Tarafından Silinen Veriler

Müşteri veya Müşteri tarafından yetkilendirilmiş Kullanıcıların kendi yetkileri kapsamında gerçekleştirdikleri silme işlemlerinin sonuçlarından Müşteri sorumludur.

Teknik silme işlemi tamamlanmış verileri DigiPestControl'ün yeniden oluşturma, eski sürümüne döndürme veya geri getirme yükümlülüğü bulunmaz; uygulanabilir zorunlu mevzuattan kaynaklanan yükümlülükler saklıdır.

MADDE 12 – KVKK Kapsamında İlgili Kişinin Hakları

KVKK'nın uygulanabilir olduğu veri işleme faaliyetleri bakımından ilgili kişi, Kanun'un 11. maddesi kapsamında Veri Sorumlusuna başvurarak kendisiyle ilgili aşağıdaki hakları kullanabilir.

• kişisel verilerinin işlenip işlenmediğini öğrenme;
• kişisel verileri işlenmişse buna ilişkin bilgi talep etme;
• kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme;
• yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme;
• kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme;
• KVKK'da öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme;
• düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
• işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme;
• kişisel verilerin kanuna aykırı olarak işlenmesi nedeniyle zarara uğraması halinde zararın giderilmesini talep etme.

12.1. Hakların Sınırları

İlgili kişi hakları uygulanabilir mevzuatta belirtilen şart ve istisnalara tabidir. Örneğin belirli bir verinin silinmesi talep edilmiş olsa dahi DigiPestControl'ün söz konusu veriyi hukuki bir yükümlülük nedeniyle saklaması gerekiyorsa silme talebi bu zorunlu saklama süresi boyunca tamamen veya kısmen yerine getirilemeyebilir.

Başvurunun tamamen veya kısmen reddedilmesi halinde, uygulanabilir mevzuatın gerektirdiği ölçüde ret gerekçesi ilgili kişiye açıklanır.

MADDE 13 – GDPR ve UK GDPR Kapsamındaki İlgili Kişi Hakları

GDPR veya UK GDPR'ın uygulanabilir olduğu kişisel veri işleme faaliyetleri bakımından ilgili kişiler, somut işleme faaliyetinin niteliğine ve ilgili mevzuatta öngörülen şartlara bağlı olarak aşağıdaki haklardan yararlanabilir.

13.1. Erişim Hakkı

İlgili kişi, kişisel verilerinin işlenip işlenmediğine ilişkin teyit ve işlenmesi halinde mevzuat kapsamında sağlanması gereken kişisel veri ve işleme bilgilerine erişim talep edebilir.

13.2. Düzeltme Hakkı

İlgili kişi, kendisi hakkındaki yanlış kişisel verilerin düzeltilmesini ve somut koşullar dikkate alınarak eksik kişisel verilerin tamamlanmasını isteyebilir.

13.3. Silme Hakkı

İlgili kişi, mevzuatta belirtilen şartların oluşması halinde kişisel verilerinin silinmesini talep edebilir.

Silme hakkı mutlak değildir. Hukuki yükümlülüklerin yerine getirilmesi, hukuki taleplerin tesisi, kullanılması veya savunulması veya mevzuatta öngörülen diğer istisnaların mevcut olması halinde verinin belirli süre saklanması gerekebilir.

13.4. İşlemenin Kısıtlanmasını İsteme Hakkı

Mevzuatta belirtilen şartların oluşması halinde ilgili kişi kişisel verilerinin işlenmesinin geçici veya belirli amaçlarla kısıtlanmasını talep edebilir.

13.5. Veri Taşınabilirliği Hakkı

GDPR veya UK GDPR'da öngörülen şartların sağlanması halinde ilgili kişi, DigiPestControl'e kendisinin sağladığı belirli kişisel verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta alma ve uygulanabilir olduğu durumlarda başka bir Veri Sorumlusuna iletme hakkına sahip olabilir.

13.6. İşlemeye İtiraz Hakkı

Kişisel verilerin meşru menfaat dahil olmak üzere itiraz hakkının uygulanabildiği bir hukuki dayanak kapsamında işlendiği durumlarda ilgili kişi, kendi özel durumuyla ilgili gerekçelerle işlemeye itiraz edebilir.

Doğrudan pazarlama amacıyla kişisel veri işlenmesi halinde ilgili kişi, uygulanabilir mevzuat kapsamında bu işlemeye itiraz edebilir.

13.7. Rızayı Geri Çekme Hakkı

Kişisel veri işleme faaliyetinin hukuki dayanağının rıza olduğu durumlarda ilgili kişi rızasını ileriye etkili olarak geri çekebilir.

Rızanın geri çekilmesi, geri çekme işleminden önce rızaya dayanılarak gerçekleştirilmiş işlemenin hukuka uygunluğunu etkilemez.

13.8. Otomatik Karar Verme ve Profilleme

İlgili kişiler, kendileri hakkında hukuki sonuç doğuran veya benzer şekilde önemli ölçüde etkileyen ve yalnızca otomatik işlemeye dayanan kararlar bakımından uygulanabilir GDPR veya UK GDPR hükümlerinde belirtilen haklardan yararlanabilir.

DigiPestControl kapsamında gelecekte yapay zekâ veya otomatik karar destek özelliklerinin sunulması, bu özelliklerin her durumda yalnızca otomatik karar verme niteliğinde olduğu anlamına gelmez. Somut özelliğin niteliği ayrıca değerlendirilir.

13.9. Denetim Otoritesine Şikâyet Hakkı

İlgili kişi, GDPR veya UK GDPR kapsamındaki haklarının ihlal edildiğini düşünmesi halinde, uygulanabilir mevzuatın kendisine tanıdığı ölçüde ilgili veri koruma denetim otoritesine şikâyette bulunabilir.

MADDE 14 – California ve Diğer Yerel Gizlilik Hakları

14.1. California CCPA/CPRA Hakları

California Consumer Privacy Act ve ilgili değişikliklerin DigiPestControl'e uygulanması halinde California'da bulunan ve mevzuat kapsamında “consumer” olarak değerlendirilen kişiler, uygulanabilir şartlara bağlı olarak özellikle aşağıdaki haklara sahip olabilir:

• kendileri hakkında hangi kişisel bilgilerin toplandığını ve işlendiğini öğrenme;
• belirli kişisel bilgilere erişim talep etme;
• mevzuatta belirtilen şartlarla kişisel bilgilerin silinmesini talep etme;
• yanlış kişisel bilgilerin düzeltilmesini talep etme;
• kişisel bilgilerin “sale” veya “sharing” kapsamındaki işlemlerine itiraz etme / opt-out hakkını kullanma;
• uygulanabilir olduğu durumlarda hassas kişisel bilgilerin kullanım veya açıklanmasının sınırlandırılmasını talep etme;
• gizlilik haklarını kullandığı için kanuna aykırı ayrımcılığa uğramama.

14.2. Kişisel Verilerin Satılmaması

DigiPestControl'ün iş modeli kapsamında kişisel verilerin üçüncü taraflara doğrudan parasal bedel karşılığında satılması amaçlanmamaktadır.

Bununla birlikte CCPA/CPRA kapsamındaki “sale” ve “sharing” kavramları, gündelik anlamdaki veri satışından daha geniş hukuki tanımlara sahip olabileceğinden, özellikle reklam veya üçüncü taraf takip teknolojilerinin kullanılması halinde ilgili işlem ayrıca değerlendirilir.

CCPA/CPRA'nın uygulanabilir olduğu ve mevzuat kapsamında “sale” veya “sharing” olarak değerlendirilebilecek bir işlem mevcut olduğu takdirde gerekli opt-out mekanizmaları sağlanır.

14.3. Diğer Ülke veya Bölgesel Haklar

İlgili kişinin bulunduğu ülke veya bölgedeki zorunlu veri koruma mevzuatının DigiPestControl'e uygulanması ve bu mevzuatın kişiye işbu Politika'da belirtilen haklardan farklı veya ek haklar tanıması halinde söz konusu zorunlu haklar saklıdır.

MADDE 15 – İlgili Kişi Başvuruları ve Hakların Kullanılması

15.1. Başvuru İletişim Bilgileri

DigiPestControl'ün Veri Sorumlusu olduğu kişisel veri işleme faaliyetlerine ilişkin başvurular aşağıdaki iletişim bilgileri üzerinden iletilebilir:

15.2. Başvuruda Yer Alması Gereken Bilgiler

Başvurunun doğru kişiyle ilişkilendirilebilmesi ve talebin güvenli şekilde sonuçlandırılabilmesi için başvuruda, uygulanabilir mevzuatın gerektirdiği ölçüde aşağıdaki bilgiler talep edilebilir:

• ad ve soyad;
• başvurunun niteliğine göre kimliği veya hesabı doğrulamaya yarayan bilgi;
• iletişim bilgileri;
• Müşteri veya hesap bilgisi, varsa;
• kullanılmak istenen hakkın veya talebin açık açıklaması;
• talep konusu işlemin belirlenebilmesi için gerekli ek bilgi;
• yetkili temsilci aracılığıyla başvuru yapılması halinde temsil yetkisini gösteren gerekli belge veya bilgiler.

DigiPestControl, başvuruyu gerçekleştiren kişinin kimliğini doğrulamak için talebin niteliğiyle orantılı ek doğrulama bilgisi isteyebilir.

Kimlik doğrulaması için ihtiyaç duyulandan fazla kişisel veri talep edilmemesi ve gereksiz kimlik belgesi kopyalarının toplanmaması esastır.

15.3. KVKK Başvurularının Sonuçlandırılması

KVKK kapsamında DigiPestControl'e yapılan geçerli başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde sonuçlandırılır.

Başvurular kural olarak ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirdiği ve uygulanabilir mevzuatın ücret alınmasına izin verdiği durumlarda yetkili otorite tarafından belirlenen tarife uygulanabilir.

15.4. GDPR ve UK GDPR Başvuruları

GDPR veya UK GDPR kapsamındaki hak talepleri, uygulanabilir mevzuatta öngörülen süreler içerisinde ve kural olarak gereksiz gecikme olmaksızın sonuçlandırılır.

Genel kural olarak ilgili taleplere başvurunun alınmasını takip eden bir ay içerisinde yanıt verilir. Talebin karmaşıklığı, sayısı veya uygulanabilir mevzuatta öngörülen diğer koşulların mevcut olması halinde yanıt süresi mevzuatın izin verdiği ölçüde uzatılabilir ve gerekli bilgilendirme ilgili kişiye yapılır.

15.5. Birleşik Krallık Veri Koruma Şikâyetleri

Birleşik Krallık veri koruma mevzuatının DigiPestControl'e uygulanabilir olduğu durumlarda, ilgili kişiler kişisel verilerinin kullanımına ilişkin veri koruma şikâyetlerini DigiPestControl'e iletebilir.

Uygulanabilir UK veri koruma kuralları doğrultusunda, veri koruma şikâyetinin alındığı uygun yöntemlerle teyit edilir, şikâyet hakkında gerekli incelemeler gerçekleştirilir ve sonuç ilgili kişiye gereksiz gecikme olmaksızın bildirilir.

15.6. Veri İşleyen Olduğumuz Durumlarda Başvurular

DigiPestControl'e doğrudan ulaşan ve Müşteri'nin Veri Sorumlusu olduğu açık olan talepler, DigiPestControl'ün hukuken doğrudan yanıt vermesini gerektiren bir durum bulunmadıkça ilgili Müşteri'ye yönlendirilebilir.

DigiPestControl, SaaS Sözleşmesi ve DPA hükümleri doğrultusunda Müşteri'nin ilgili kişi hak taleplerini yerine getirebilmesi için işlemenin niteliği ölçüsünde makul teknik yardım sağlar.

15.7. Açıkça Dayanaksız veya Aşırı Talepler

Uygulanabilir mevzuatın izin verdiği durumlarda, açıkça dayanaksız, tekrarlanan veya aşırı nitelikteki talepler bakımından mevzuatta öngörülen sınırlamalar uygulanabilir.

Her durumda ilgili kişi haklarının kullanımının gereksiz şekilde zorlaştırılmaması ve başvuruların şeffaf, güvenli ve hukuka uygun biçimde yönetilmesi hedeflenir.

MADDE 16 – Gizlilik ve Ticari Bilgilerin Korunması

DigiPestControl, Hizmetlerin sunulması sırasında erişebileceği Müşteri Verilerini, kişisel veri niteliğinde olsun veya olmasın, niteliği gereği gizli olması gereken bilgiler bakımından uygun gizlilik ve erişim kontrolü tedbirleri altında işler.

16.1. Gizli Bilgi Kapsamı

Somut olayın niteliğine göre aşağıdaki bilgiler gizli bilgi veya ticari olarak hassas bilgi niteliğinde değerlendirilebilir:

• Müşteri'nin müşteri ve tesis bilgileri;
• saha ve servis kayıtları;
• pest control planları ve operasyon süreçleri;
• ürün ve uygulama kayıtları;
• fiyatlandırma ve ticari bilgiler;
• raporlar, denetim kayıtları ve dokümanlar;
• Müşteri'nin iş süreçleri ve organizasyon bilgileri;
• teknik entegrasyon bilgileri;
• API anahtarları ve diğer erişim bilgileri;
• niteliği gereği gizli olduğu açıkça anlaşılabilen diğer ticari, operasyonel veya teknik bilgiler.

16.2. DigiPestControl'e Ait Gizli Bilgiler

DigiPestControl'ün kaynak kodu, yazılım mimarisi, veri modeli, güvenlik mimarisi, sistem yapılandırmaları, erişim bilgileri, ticari stratejileri, fiyatlandırma modelleri, geliştirme planları, teknik dokümantasyonu ve kamuya açık olmayan diğer teknik veya ticari bilgileri de gizli bilgi niteliğinde olabilir.

16.3. Gizli Bilgilere Erişim

Müşteri Verilerine ve diğer gizli bilgilere erişim, uygulanabilir olduğu ölçüde aşağıdaki durumlarla sınırlandırılır:

• Hizmet'in sunulması;
• teknik destek sağlanması;
• hata veya güvenlik olaylarının araştırılması;
• altyapı ve sistem güvenliğinin korunması;
• Müşteri'nin yetkili talimatının yerine getirilmesi;
• uygulanabilir hukuki yükümlülüklerin yerine getirilmesi.

16.4. Gizlilik Yükümlülüğünün Devamı

Gizli bilginin niteliği gereği korunmasının devam etmesi gereken durumlarda gizlilik yükümlülüğü, ilgili sözleşme veya abonelik ilişkisinin sona ermesinden sonra da uygulanabilir mevzuat ve taraflar arasındaki sözleşmesel yükümlülükler kapsamında devam eder.

MADDE 17 – Bilgi Güvenliği Yaklaşımı

DigiPestControl, kişisel verilerin ve Hizmet kapsamında işlenen diğer bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak amacıyla işleme faaliyetinin niteliği, kapsamı, bağlamı ve amaçları ile ortaya çıkabilecek riskleri dikkate alan risk esaslı bir bilgi güvenliği yaklaşımı uygular.

Bilgi güvenliği tedbirlerinin belirlenmesinde, teknolojinin mevcut durumu, uygulama maliyetleri, işlenen verilerin niteliği, sistem mimarisi ve ilgili kişiler bakımından ortaya çıkabilecek risklerin olasılığı ve ağırlığı dikkate alınabilir.

17.1. Güvenlik Hedefleri

Bilgi güvenliği yaklaşımımız özellikle aşağıdaki hedeflere yöneliktir:

• yetkisiz veri erişiminin önlenmesi;
• yetkisiz veri değiştirme veya silme riskinin azaltılması;
• hesap ve kullanıcı erişimlerinin korunması;
• kişisel verilerin gizliliğinin korunması;
• sistemlerin bütünlüğünün korunması;
• güvenlik olaylarının tespit edilmesi ve değerlendirilmesi;
• olayların etkilerinin sınırlandırılması;
• Hizmet sürekliliğinin makul ölçüde desteklenmesi.

MADDE 18 – Teknik Güvenlik Tedbirleri

DigiPestControl, risk değerlendirmesi ve kullanılan teknik altyapıya bağlı olarak uygun teknik güvenlik tedbirlerini uygular ve güvenlik ihtiyaçları doğrultusunda bu tedbirleri geliştirebilir.

18.1. Kimlik Doğrulama ve Erişim Kontrolü

Uygulanabilir olduğu ölçüde aşağıdaki tedbirlerden yararlanılabilir:

• kullanıcı adı ve parola tabanlı kimlik doğrulama;
• parola güvenliğinin sağlanmasına yönelik teknik kontroller;
• rol ve yetki tabanlı erişim kontrolü;
• yönetimsel erişimlerin sınırlandırılması;
• görev ihtiyacına göre veri erişiminin sınırlandırılması;
• yetkisi sona eren kullanıcıların erişimlerinin kaldırılması;
• teknik altyapının ve ilgili Hizmet fonksiyonunun desteklediği durumlarda ek kimlik doğrulama kontrolleri.

18.2. Veri İletişim Güvenliği

İnternet üzerinden gerçekleştirilen veri iletişiminde, teknik olarak uygun ve uygulanabilir olduğu ölçüde güvenli iletişim protokolleri ve şifreli iletişim mekanizmaları kullanılır.

API ve sistemler arası erişimlerde kimlik doğrulama, yetkilendirme ve erişim kontrolü mekanizmalarından yararlanılabilir.

18.3. Veri ve Sistem Güvenliği

Risk ve teknik uygunluğa göre aşağıdaki türde kontroller uygulanabilir:

• sunucu ve sistem erişimlerinin sınırlandırılması;
• ağ erişim kontrolleri;
• gerekli güvenlik yapılandırmalarının uygulanması;
• zararlı yazılımlara veya yetkisiz erişime karşı koruma mekanizmaları;
• güvenlik güncellemeleri ve yamaların uygulanması;
• uygun olduğu durumlarda verilerin şifrelenmesi veya benzeri koruyucu tekniklerin kullanılması;
• kritik yönetimsel erişimlerin normal kullanıcı erişimlerinden ayrıştırılması.

18.4. Loglama ve İzlenebilirlik

Sistem güvenliği, hata analizi ve olay incelemesi amacıyla gerekli olduğu ölçüde teknik kayıtlar tutulabilir.

Bu kayıtlar özellikle aşağıdakileri içerebilir:

• oturum açma ve kimlik doğrulama kayıtları;
• IP ve erişim kayıtları;
• sistem hata kayıtları;
• API işlem kayıtları;
• güvenlik olay kayıtları;
• sistem bütünlüğü ve olay analizi için gerekli diğer teknik loglar.

Log kayıtlarına erişim yetkili kişilerle sınırlandırılır ve kayıtların saklama süresi ilgili güvenlik, hukuki ve operasyonel ihtiyaçlar doğrultusunda belirlenir.

18.5. Yedekleme ve İş Sürekliliği

Hizmet sürekliliğinin ve bilgi güvenliğinin desteklenmesi amacıyla teknik yedekleme, veri çoğaltma, snapshot, replikasyon veya felaket kurtarma mekanizmalarından yararlanılabilir.

MADDE 19 – İdari ve Organizasyonel Güvenlik Tedbirleri

Teknik güvenlik tedbirlerinin yanında, kişisel verilere ve sistemlere erişimi yöneten uygun idari ve organizasyonel tedbirlerin uygulanması hedeflenir.

19.1. Yetki ve Sorumluluk Yönetimi

• kişisel verilere erişim iş ihtiyacıyla sınırlandırılır;
• yetkiler görev ve sorumluluklarla uyumlu şekilde belirlenebilir;
• gerekli olmayan erişimlerin kaldırılması hedeflenir;
• yüksek yetkili hesaplar için ek güvenlik kontrolleri uygulanabilir.

19.2. Gizlilik Yükümlülükleri

Kişisel verilere veya gizli bilgilere erişimi bulunan çalışanlar, yükleniciler ve diğer yetkili kişiler uygun gizlilik yükümlülüklerine tabi tutulabilir.

19.3. Bilgi Güvenliği Farkındalığı

Kişisel verilere veya sistemlere erişimi bulunan kişilerin güvenlik riskleri, kimlik avı, parola güvenliği, yetkisiz veri paylaşımı ve güvenlik olaylarının bildirilmesi gibi konularda farkındalıklarının artırılması hedeflenir.

19.4. Veri Minimizasyonu ve Yetki Sınırlandırması

İş süreçlerinde ve teknik sistemlerde, ilgili amaç için gerekli olmayan kişisel verilere erişimin ve veri işleme faaliyetlerinin azaltılması hedeflenir.

19.5. Güvenlik Politikalarının Güncellenmesi

Bilgi güvenliği ve kişisel veri koruma tedbirleri, teknolojik gelişmeler, yeni tehditler, kullanılan altyapının değişmesi, güvenlik olaylarından elde edilen bulgular ve mevzuat gereklilikleri dikkate alınarak gözden geçirilebilir ve güncellenebilir.

MADDE 20 – Güvenli Yazılım Geliştirme, Güncelleme ve Zafiyet Yönetimi

DigiPestControl, Yazılım'ın geliştirilmesi ve işletilmesi sırasında ortaya çıkabilecek güvenlik risklerinin azaltılması amacıyla geliştirme, bakım, güncelleme ve zafiyet yönetimi süreçlerinde güvenlik hususlarını dikkate alır.

20.1. Yazılım Geliştirme Güvenliği

Teknik ve organizasyonel yapının elverdiği ölçüde aşağıdaki uygulamalardan yararlanılabilir:

• güvenli kodlama yaklaşımlarının uygulanması;
• geliştirme sırasında hata ve güvenlik risklerinin değerlendirilmesi;
• kod ve yapılandırma değişikliklerinin kontrollü şekilde uygulanması;
• yazılım bağımlılıklarının ve üçüncü taraf bileşenlerin izlenmesi;
• güvenlikle ilgili yazılım güncellemelerinin uygulanması;
• yayınlama öncesi veya sonrasında uygun teknik kontrollerin gerçekleştirilmesi.

20.2. Güvenlik Açıkları ve Zafiyetler

Tespit edilen veya DigiPestControl'e bildirilen güvenlik açıkları, riskin niteliği ve potansiyel etkisi dikkate alınarak değerlendirilir.

Gerekli görülmesi halinde güvenlik açığının etkisini azaltmak amacıyla geçici koruyucu önlem, yapılandırma değişikliği, yazılım güncellemesi, erişim sınırlandırması veya başka uygun düzeltici tedbirler uygulanabilir.

20.3. Yetkisiz Güvenlik Testleri

DigiPestControl altyapısı veya uygulamaları üzerinde SATICI'nın önceden açık yetkilendirmesi bulunmaksızın penetrasyon testi, otomatik zafiyet taraması, yük testi veya benzeri saldırı simülasyonlarının gerçekleştirilmesine izin verilmez.

İyi niyetli şekilde tespit edilen potansiyel bir güvenlik açığı, info@digipestcontrol.com adresi üzerinden DigiPestControl'e bildirilebilir. Güvenlik açığının istismar edilmemesi, veri indirilmemesi, başka kullanıcıların verilerine erişilmemesi ve Hizmet'in kesintiye uğratılmaması beklenir.

MADDE 21 – Güvenlik Olayları ve Kişisel Veri İhlali Yönetimi

DigiPestControl, kişisel veri veya bilgi güvenliğini etkileyebilecek bir olay tespit edildiğinde olayın niteliğini, kapsamını, olası etkilerini ve gerekli müdahale tedbirlerini değerlendirmeyi amaçlayan güvenlik olay yönetim süreçlerini uygular.

21.1. Güvenlik Olayının Değerlendirilmesi

Bir güvenlik olayı tespit edildiğinde, olayın niteliğine göre aşağıdaki işlemler gerçekleştirilebilir:

• olayın doğrulanması;
• etkilenen sistemlerin belirlenmesi;
• etkilenmiş olabilecek kişisel veri kategorilerinin değerlendirilmesi;
• yetkisiz erişimin veya veri kaybının kapsamının araştırılması;
• olayın kontrol altına alınması;
• gerekli düzeltici güvenlik tedbirlerinin uygulanması;
• olay ve gerçekleştirilen müdahalelere ilişkin gerekli kayıtların oluşturulması.

21.2. DigiPestControl'ün Veri Sorumlusu Olduğu İhlaller

DigiPestControl'ün Veri Sorumlusu / Controller sıfatıyla işlediği kişisel verileri etkileyen bir Kişisel Veri İhlali meydana gelmesi halinde, bildirim gerekliliği uygulanabilir veri koruma mevzuatı kapsamında değerlendirilir.

KVKK kapsamında yetkili Kurula bildirim yapılmasını gerektiren bir ihlal bulunması halinde bildirim, ilgili mevzuat ve Kişisel Verileri Koruma Kurulu tarafından belirlenen süreler içerisinde gerçekleştirilir.

GDPR veya UK GDPR'ın uygulanabilir olduğu durumlarda ilgili denetim otoritesine bildirim yükümlülüğü, olayın ilgili kişiler bakımından oluşturduğu risk ve uygulanabilir mevzuattaki bildirim kriterleri dikkate alınarak değerlendirilir.

21.3. İlgili Kişilere Bildirim

Uygulanabilir veri koruma mevzuatının kişisel veri ihlalinden etkilenen kişilere bildirim yapılmasını gerektirdiği durumlarda, ilgili kişiler olayın niteliğine uygun ve mevzuatın öngördüğü süre veya risk değerlendirmesi çerçevesinde bilgilendirilir.

21.4. DigiPestControl'ün Veri İşleyen Olduğu İhlaller

DigiPestControl'ün bir Müşteri adına Veri İşleyen / Processor olarak işlediği kişisel verileri etkileyen bir Kişisel Veri İhlali'nden haberdar olması halinde, ilgili Müşteri uygulanabilir mevzuat ve DPA hükümleri doğrultusunda gereksiz gecikme olmaksızın bilgilendirilir.

Müşteri'nin Veri Sorumlusu olduğu durumlarda yetkili otoritelere ve ilgili kişilere yapılması gereken bildirimlerin hukuki değerlendirmesi ve gerçekleştirilmesi kural olarak Müşteri'nin sorumluluğundadır.

DigiPestControl, sahip olduğu bilgiler ve işlemenin niteliği ölçüsünde Müşteri'nin veri ihlali değerlendirme ve bildirim yükümlülüklerini yerine getirebilmesi için makul iş birliği sağlar.

21.5. Aşamalı Bilgilendirme

Bir veri ihlali hakkında gerekli tüm bilgilerin ilk değerlendirme sırasında mevcut olmaması halinde, uygulanabilir mevzuatın izin verdiği ölçüde mevcut bilgiler ilk aşamada paylaşılabilir ve ek bilgiler elde edildikçe bilgilendirme aşamalı olarak tamamlanabilir.

MADDE 22 – Alt İşleyen ve Tedarikçi Güvenliği

DigiPestControl, Hizmetlerin sunulması sırasında barındırma, veri merkezi, e-posta, bildirim, ödeme, harita, hata izleme, destek veya diğer teknik alanlarda üçüncü taraf hizmet sağlayıcılardan yararlanabilir.

22.1. Tedarikçi Seçimi

Kişisel verilere erişimi bulunan veya DigiPestControl adına kişisel veri işleyen önemli hizmet sağlayıcıların seçiminde, hizmetin niteliğine ve risk seviyesine uygun veri güvenliği ve gizlilik kriterleri dikkate alınır.

22.2. Sözleşmesel Güvenceler

DigiPestControl adına kişisel veri işleyen hizmet sağlayıcılarla, uygulanabilir veri koruma mevzuatının ve işleme faaliyetinin niteliğinin gerektirdiği veri koruma, gizlilik ve güvenlik yükümlülükleri sözleşmesel olarak düzenlenebilir.

22.3. Alt İşleyenler

DigiPestControl'ün Müşteri adına Veri İşleyen sıfatıyla kullandığı Alt İşleyenler, DigiPestControl SaaS Hizmet ve Kullanım Lisansı Sözleşmesi ve ilgili DPA hükümlerine tabidir.

Alt İşleyenlerin güncel listesi ayrı bir Alt İşleyenler / Sub-processors sayfasında veya ilgili sözleşmesel dokümanlarda yayımlanabilir.

22.4. Uluslararası Alt İşleyenler

Alt İşleyenin yurt dışında bulunması veya kişisel verilerin yurt dışında işlenmesine yol açması halinde, işbu Politika'nın Madde 9 – Uluslararası ve Yurt Dışı Kişisel Veri Aktarımları hükümleri ayrıca uygulanır.

MADDE 23 – Çocukların Kişisel Verileri

DigiPestControl, pest control işletmeleri ve diğer profesyonel veya ticari kullanıcılar için sunulan B2B nitelikte bir SaaS hizmetidir ve doğrudan çocuklara yönelik olarak tasarlanmamıştır.

Çocuklardan doğrudan hesap oluşturma, abonelik veya pazarlama amacıyla bilerek kişisel veri toplanması hedeflenmez.

DigiPestControl'ün bir Müşteri adına Veri İşleyen olarak hareket ettiği durumlarda Müşteri'nin platforma çocuklara ait kişisel veri yüklemesi söz konusu olabilir. Böyle bir durumda verilerin hukuka uygun şekilde toplanması, gerekli aydınlatmanın yapılması, uygun hukuki işleme şartının belirlenmesi ve gerektiğinde ebeveyn veya yasal temsilciye ilişkin yükümlülüklerin yerine getirilmesi Veri Sorumlusu olan Müşteri'nin sorumluluğundadır.

DigiPestControl'ün kendi Veri Sorumlusu faaliyetleri kapsamında hukuka aykırı şekilde çocuk verisi işlendiğinin tespit edilmesi halinde, uygulanabilir mevzuat doğrultusunda gerekli düzeltme, silme veya diğer tedbirler değerlendirilir.

MADDE 24 – Politika Güncellemeleri ve Sürüm Yönetimi

İşbu Politika; mevzuat değişiklikleri, DigiPestControl'ün hizmetlerinde gerçekleştirilen değişiklikler, yeni veri işleme faaliyetleri, kullanılan teknolojilerin veya hizmet sağlayıcıların değişmesi ve bilgi güvenliği gereklilikleri nedeniyle zaman zaman güncellenebilir.

24.1. Güncel Sürüm

Politikanın yürürlükte bulunan güncel sürümü DigiPestControl internet sitesinde veya ilgili dijital hizmetler içerisinde yayımlanabilir.

24.2. Esaslı Değişiklikler

Kişisel veri işleme faaliyetlerinin niteliğini veya ilgili kişilerin haklarını esaslı şekilde etkileyebilecek politika değişikliklerinde, uygulanabilir mevzuatın gerektirdiği ölçüde uygun bilgilendirme yöntemlerinden yararlanılabilir.

Yeni bir kişisel veri işleme faaliyeti için açık rıza veya başka bir özel hukuki işlem gerekiyorsa, Politikanın yalnızca güncellenmesi söz konusu hukuki işlemin yerine geçmez.

24.3. Sürüm Kayıtları

Gerekli olduğu ölçüde önceki Politika sürümleri, mevzuata uyumun ve ilgili tarihte geçerli bilgilendirme metninin ispatlanabilmesi amacıyla arşivlenebilir.

MADDE 25 – İletişim

İşbu Politika, kişisel verilerin korunması veya DigiPestControl'ün gizlilik ve güvenlik uygulamaları hakkında sorularınız için aşağıdaki iletişim bilgilerini kullanabilirsiniz:

İlgili kişi haklarının kullanılması amacıyla yapılacak başvurular bakımından işbu Politikanın Madde 15 – İlgili Kişi Başvuruları ve Hakların Kullanılması hükümleri uygulanır.