Veri İşleme Sözleşmesi

Botpress Veri İşleme Sözleşmesi (DPA)

Bu DPA, Hizmet Şartlarında belirtilen Botpress grup kuruluşu ile Müşteri arasındaki anlaşmanın tamamlayıcı bir parçasıdır ve bu anlaşmaya referans yoluyla dahil edilmesiyle yürürlüğe girer.

1. Tanımlar

1.a Burada tanımlanmamış büyük harfli terimler, Anlaşmada kendilerine verilen anlamı taşır.

1.b Bu DPA'da:

(a) “Anlaşma” Hizmet Şartlarında bu terime verilen anlamı taşır.

(b) “Botpress Grubu” Botpress ve ona bağlı tüm iştirakleri ifade eder.

(c) “California Kişisel Bilgileri” CCPA kapsamında korunan Kişisel Verileri ifade eder.

(d) “Kanada Veri Koruma Yasaları” 2000 tarihli Kişisel Bilgilerin Korunması ve Elektronik Belgeler Yasası (SC 2000, c 5) ile özel sektörde kişisel bilgilerin korunmasına ilişkin yasa (CQLR c P-39.1) ve bunların değiştirilen, yürürlükten kaldırılan veya yerine geçen halleri anlamına gelir.

(e) “CCPA” California Medeni Kanunu Madde 1798.100 ve devamı (2018 California Tüketici Gizliliği Yasası olarak da bilinir) anlamına gelir.

(f) “Tüketici”, “İşletme”, “Satmak” ve “Hizmet Sağlayıcı” terimleri CCPA'da verilen anlamlara sahiptir.

(g) “Kontrolör” Kişisel Verilerin işlenme amaçlarını ve araçlarını tek başına veya başkalarıyla birlikte belirleyen herhangi bir Kişiyi ifade eder.

(h) “Veri Koruma Yasaları” bu DPA'ya taraf olan bir tarafa uygulanan tüm dünya çapındaki veri koruma ve gizlilik mevzuatlarını, bunlara sınırlama olmaksızın Avrupa Veri Koruma Yasaları, Kanada Veri Koruma Yasaları ve CCPA'nın zaman zaman değiştirilen, yürürlükten kaldırılan veya yerine geçen hallerini kapsayacak şekilde ifade eder.

(i) “Veri Sahibi” Kişisel Verilerin ait olduğu gerçek kişiyi ifade eder.

(j) “Avrupa” Avrupa Birliği, Avrupa Ekonomik Alanı ve/veya bunların üye devletleri, İsviçre ve Birleşik Krallık anlamına gelir.

(k) “Avrupa Veri Koruma Yasaları” Avrupa'da geçerli olan ve zaman zaman değiştirilen, yürürlükten kaldırılan veya yerine geçen veri koruma yasalarını ifade eder.

(l) “Avrupa Verisi” Avrupa Veri Koruma Yasaları kapsamında korunan Kişisel Verileri ifade eder.

(m) “İzinli İştirakler” (i) Anlaşma kapsamında Yazılım Hizmetlerini kullanma hakkına sahip olan, (ii) Botpress tarafından işlenen Kişisel Verilerin Kontrolörü olan ve (iii) Avrupa Veri Koruma Yasalarına tabi olan Müşteri İştiraklerini ifade eder.

(n) “Kişi” geniş anlamda yorumlanır ve herhangi bir gerçek kişi, anonim şirket, limited şirket, komandit şirket, şirket, dernek, ortaklık, vakıf veya miras, ortak girişim, devlet kurumu veya siyasi alt birimi ya da başka herhangi bir kuruluşu kapsar.

(o) “Kişisel Veri” tanımlanmış veya tanımlanabilir bir gerçek kişiyle ilgili her türlü bilgiyi ifade eder.

(p) “İşleme” veya “İşlemek” bir İşleyici tarafından Kişisel Veriler üzerinde otomatik yollarla olsun veya olmasın gerçekleştirilen her türlü işlem veya işlem setini ifade eder;

(q) “İşleyici” Kişisel Verileri bir Kontrolör adına işleyen Kişiyi ifade eder.

(r) “Düzenleyici” ilgili olduğu ölçüde, Hizmetlerin sağlanması veya alınmasıyla bağlantılı olarak Kişisel Verilerin işlenmesinin tamamı veya bir kısmı üzerinde düzenleyici, denetleyici veya idari yetkiye sahip (yasal bir düzenleme kapsamında olsun veya olmasın) herhangi bir Kişi, kolluk kuvveti veya başka bir kurum ya da ajans anlamına gelir; buna Avrupa veri koruma denetim otoriteleri de dahildir.

(s) “Güvenlik İhlali” Botpress ve/veya Alt-İşleyiciler tarafından Hizmetlerin sağlanmasıyla bağlantılı olarak iletilen, saklanan veya başka şekilde işlenen Kişisel Verilerin güvenliğinin ihlali sonucunda meydana gelen, kazara veya hukuka aykırı şekilde yok edilmesi, kaybolması, değiştirilmesi, yetkisiz ifşası veya erişimi anlamına gelir. Kişisel Verilerin güvenliğini tehlikeye atmayan olaylar (başarısız giriş denemeleri, pingler, port taramaları, hizmet reddi saldırıları ve güvenlik duvarlarına veya ağ sistemlerine yönelik diğer ağ saldırıları gibi) bu kapsama dahil değildir.

(t) “Hizmetler” Botpress Grubunun herhangi bir kuruluşu tarafından Müşteriye veya iştiraklerine sağlanan Yazılım Hizmetleri veya Profesyonel Hizmetleri ifade eder.

(u) “Standart Sözleşme Maddeleri” Avrupa Komisyonu’nun 4 Haziran 2021 tarihli (AB) 2021/914 sayılı Kararına ekli standart sözleşme maddeleri ve bunların değiştirilen, yürürlükten kaldırılan veya yerine geçen halleri anlamına gelir.

(v) “Alt-İşleyici” Botpress veya Botpress İştirakleri tarafından, Anlaşma kapsamındaki Hizmetlerin sağlanmasına ilişkin Botpress yükümlülüklerini yerine getirmeye yardımcı olmak amacıyla görevlendirilen herhangi bir İşleyiciyi ifade eder. Alt-İşleyiciler üçüncü tarafları veya Botpress İştiraklerini içerebilir, ancak Botpress tarafından istihdam edilen veya görevlendirilen bireyleri kapsamaz.

(w) “Üçüncü Ülke” (i) Avrupa Komisyonu tarafından kişisel veriler için yeterli koruma düzeyi sağladığı kabul edilmeyen bir yargı bölgesi veya alıcıyı ve (ii) ilgili makamlar veya mahkemeler tarafından kişisel veriler için yeterli koruma düzeyi sağladığı kabul edilen uygun bir çerçeve kapsamında olmayan bir yargı bölgesi veya alıcıyı ifade eder.

(x) “Kullanım Verisi” Yazılımın Yetkili Kullanıcılar tarafından kullanımına ilişkin verileri ifade eder; bu veriler, bireysel kullanıcıların tanımlanmasının gerekli olduğu durumlarda Kişisel Veri içerebilir, ancak herhangi bir Konuşma Verisi içermez. Kullanım Verisi, Müşterinin çalışanları ve yüklenicileriyle ilgili Kişisel Verileri içerebilir, ancak Müşteri Botları ile etkileşime giren son kullanıcılarla ilgili Kişisel Veri içermez.

2. Tarafların Rolü

2.a Hizmetler aracılığıyla Konuşma Verisinin İşlenmesinde, taraflar, Müşterinin Kontrolör ve Botpress'in ise İşleyici olarak hareket ettiğini kabul ve mutabık kalır.

2.b Müşteri, bir Kontrolör adına İşleyici olarak hareket ediyorsa, Botpress Müşterinin alt-işleyicisi olarak kabul edilir.

2.c Botpress, Kullanım Verisi bakımından Kontrolör olarak hareket eder.

3. Veri Koruma Yasalarına Uyum

3.a Her bir taraf, Kişisel Verilerin işlenmesini yürürlükteki tüm Veri Koruma Yasalarına uygun şekilde gerçekleştirecektir.

3.b Botpress, Müşteriye veya Müşterinin sektörüne özgü olup Botpress'e genel olarak uygulanmayan herhangi bir Veri Koruma Yasasına uyumdan sorumlu değildir.

3.c Botpress, yürürlükteki herhangi bir yasa kapsamında yasal bir gereklilik nedeniyle Müşteri talimatlarına uygun şekilde Kişisel Verileri işleyemeyeceğini fark ederse, (i) yürürlükteki yasanın izin verdiği ölçüde Müşteriyi derhal bu yasal gereklilikten haberdar edecek ve (ii) gerekli olduğu durumlarda, Müşteri yürürlükteki yasaya uygun yeni talimatlar verene kadar tüm işlemleri (etkilenen Kişisel Verilerin yalnızca saklanması ve güvenliğinin sağlanması hariç) durduracaktır. Bu hüküm uygulandığında, Botpress, Müşterinin talimatlarının yasal olduğuna makul şekilde karar verene kadar, ilgili Yazılım Hizmetleri veya Profesyonel Hizmetlerin yerine getirilmemesinden dolayı Anlaşma kapsamında Müşteriye karşı sorumlu olmayacaktır.

4. Botpress Yükümlülükleri

4.a Botpress, Kişisel Verileri yalnızca bu DPA'da belirtilen amaçlar doğrultusunda veya Müşteriden alınan yasal talimatlar kapsamında aksi kararlaştırıldığı ölçüde işleyecektir; aksi durumlar yalnızca yürürlükteki yasanın gerektirdiği ölçüde geçerlidir.

4.b Botpress, Kişisel Verileri Güvenlik Olaylarından korumak için bu DPA'nın Ek 2'sinde (“Güvenlik Önlemleri”) açıklananlar dahil olmak üzere uygun teknik ve organizasyonel önlemleri uygulayacak ve sürdürecektir. Botpress, Güvenlik Önlemlerinde kendi takdirine bağlı olarak değişiklik veya güncelleme yapabilir; ancak bu değişiklik veya güncelleme, Güvenlik Önlemleriyle sağlanan korumada maddi bir azalmaya yol açamaz.

4.c Botpress, Kişisel Verileri Müşterinin gizli bilgisi olarak ele alacak ve Kişisel Verilere erişmeye veya işlemeye yetkili olan çalışanlarının veya yüklenicilerinin bu verilerle ilgili uygun gizlilik yükümlülüklerine (sözleşmesel veya yasal) tabi olmasını sağlayacaktır.

4.d Botpress, bu DPA kapsamında işlenen tüm Kişisel Verileri, Sözleşmenin sona ermesi veya bitiminde silecek veya iade edecektir. Botpress, yürürlükteki yasalar gerektiriyorsa veya Kişisel Veriler yedekleme sistemlerinde arşivlenmişse, bu verilerin kopyalarını saklayabilir; bu veriler güvenli bir şekilde izole edilecek, daha fazla işlenmeye karşı korunacak ve geçerli silme uygulamalarına uygun olarak silinecektir.

5. Müşterinin Yükümlülükleri

5.a Müşteri, Yazılım Hizmetleri veya Yazılımı kullanımının tüm ilgili Veri Koruma Yasalarına uygun olmasını sağlamakla sorumludur. Buna, (i) Botpress'i bu DPA'ya uygun olarak kendi adına Kişisel Veri İşlemek üzere atamaya yetkili olduğundan emin olmak, (ii) Kişisel Verileri, Sözleşme (bu DPA dahil) şartlarına uygun olarak Botpress'e aktarma veya erişim sağlama hakkına sahip olmak, (iii) Kişisel Verilerin İşlenmesine ilişkin Müşteri talimatlarının yürürlükteki yasalara, Veri Koruma Yasaları dahil, uygun olmasını sağlamak dahildir.

5.b Müşteri, Kişisel Verilerin Hizmetler aracılığıyla Müşteri tarafından işlenmesinin yürürlükteki yasalara, Veri Koruma Yasaları dahil, aykırı olduğuna inanmak için bir nedeni varsa veya bu konuda bilgilendirilmişse, Botpress'i yazılı olarak derhal bilgilendirecektir.

5.c Müşteri, Botpress tarafından uygulanan güvenlik önlemlerinin, Müşterinin yürürlükteki Veri Koruma Yasalarındaki yükümlülüklerini yeterince karşılayıp karşılamadığını belirlemekten sorumludur. Ayrıca, Yazılım Hizmetlerine erişiminin güvenliğini sağlamak ve yalnızca yetkili personelle sınırlı tutmak da Müşterinin sorumluluğundadır.

‍6. Güvenlik İhlali

6.a Botpress, herhangi bir Güvenlik İhlalinden haberdar olursa Müşteriyi derhal bilgilendirecek ve bu Güvenlik İhlali ile ilgili bilgileri öğrendikçe veya Müşteri tarafından makul şekilde talep edildikçe zamanında sağlayacaktır.

6.b Talep edilmesi halinde, Botpress, Müşterinin bir Güvenlik İhlalini Düzenleyicilere ve/veya etkilenen Veri Sahiplerine bildirmesini sağlamak için gerekli makul desteği hızlıca sağlayacaktır; eğer böyle bir bildirim Veri Koruma Yasaları kapsamında zorunluysa.

7. Alt-İşleyiciler

7.a Botpress, Kişisel Verileri İşlemek için Alt-İşleyiciler kullanabilir. Mevcut Alt-İşleyiciler Ek 3'te listelenmiştir, Alt-İşleyicilerdeki herhangi bir değişiklik Müşteriye bildirilecektir.

7.b Botpress, Alt-İşleyicileri, bu DPA'daki koruma düzeyiyle en az aynı seviyede veri koruma taahhütleri sunanlardan seçer (uygun olduğu durumlarda Standart Sözleşme Maddeleri dahil), bu Alt-İşleyicilerin sunduğu hizmetlerin niteliğine bağlı olarak. Botpress, her bir Alt-İşleyicinin bu DPA kapsamındaki yükümlülüklere uymasından ve bu Alt-İşleyicinin Botpress’in bu DPA kapsamındaki yükümlülüklerinin ihlaline neden olan her türlü eylem veya ihmallerinden sorumludur.

7.c Botpress, Müşteri adına Avrupa Verisi işliyorsa, Müşteri, veri koruma temelli makul gerekçelerle yeni bir Alt-İşleyiciye itiraz edebilir. Böyle bir itiraz bildirildiğinde, Botpress, ticari olarak makul bir çözüm bulmak için iyi niyetle görüşmeyi kabul eder. Eğer bir çözüm sağlanamazsa, Botpress yeni Alt-İşleyicinin atanmasından vazgeçebilir veya Müşterinin, bu yeni Alt-İşleyiciye dayanan Yazılım Hizmetleri bölümündeki aboneliğini herhangi bir taraf için sorumluluk doğurmaksızın (ancak fesih öncesi oluşan ücretler saklı kalmak kaydıyla) sonlandırmasına izin verebilir.

7.d Yasa gereği veya Standart Sözleşme Maddeleri kapsamında gerekirse, Botpress, Alt-İşleyicilerle yaptığı anlaşmalar hakkında Müşteriye gerekli bilgileri makul çaba göstererek sunacaktır. Müşteri, bu anlaşmalardan bazı bilgilerin gizli tutulabileceğini veya gizli olarak sağlanabileceğini kabul eder.

8. Kişisel Verilerin Aktarımı

8.a Botpress Grup şirketleri tarafından Avrupa Verisi dışındaki Kişisel Verilerin işlenmesi, Gizlilik Yetki Alanının yürürlükteki yasalarının izin verdiği herhangi bir yargı bölgesinde gerçekleşebilir.

8.b Avrupa Verisinin işlenmesi yalnızca şu şekillerde gerçekleşecektir:

a) Avrupa içinde;

b) Avrupa Komisyonu'nun ilgili Veri Koruma Yasalarına dayanarak yeterli koruma sağladığına karar verdiği bir yargı bölgesinde;

c) Herhangi bir yargı bölgesinde, uygun güvenceler sunan bir kuruluş veya tüzel kişi tarafından, Standart Sözleşme Maddeleri dahil olmak üzere;

d) Herhangi bir yargı bölgesinde, Müşterinin veya ilgili Veri Sahibi'nin yazılı onayıyla.

8.c Avrupa Verisinin bir Üçüncü Ülkede işlenmesi durumunda, taraflar yalnızca ilgili Kişisel Veriler ve ilgili İşleme ile sınırlı olarak Standart Sözleşme Maddelerine taraf olmuş sayılır. Taraflar, Standart Sözleşme Maddeleri için şunları kabul eder:

a) Müşteri Veri Sorumlusu, Botpress Veri İşleyici ise, Modül 2 (Sorumludan İşleyiciye) uygulanacaktır.

b) Müşteri Veri İşleyici, Botpress alt-işleyici ise, Modül 3 (İşleyiciden İşleyiciye) uygulanacaktır.

c) Kullanım Verileri ile ilgili olarak, Modül 1 (Sorumludan Sorumluya) uygulanacaktır.

d) Standart Sözleşme Maddelerinin 7. Maddesinde, isteğe bağlı ekleme maddesi uygulanmayacaktır;

e) Standart Sözleşme Maddelerinin 9. Maddesinde, Seçenek 2 uygulanacak ve alt-işleyici değişiklikleri için önceden yazılı bildirim süresi 10 gün olacaktır;

f) Standart Sözleşme Maddelerinin 11. Maddesinde, isteğe bağlı dil uygulanmayacaktır;

g) 17. Maddede (Seçenek 1), Standart Sözleşme Maddeleri İrlanda yasalarına tabi olacaktır;

h) 18(b) Maddesinde, anlaşmazlıklar İrlanda mahkemelerinde çözülecektir;

i) Botpress "veri ithalatçısı", Müşteri ise "veri ihracatçısı" (kendisi ve İzinli Bağlı Kuruluşları adına) olacaktır;

j) Bu DPA'nın Ek 1 ve Ek 2'sinde belirtilen ilgili bilgiler, Standart Sözleşme Maddelerinin Eklerinde yer almış sayılacaktır;

k) Standart Sözleşme Maddeleri ile bu DPA'nın herhangi bir hükmü arasında çelişki olması halinde, çelişkiyle sınırlı olarak Standart Sözleşme Maddeleri geçerli olacaktır.

8.d İsviçre ve Birleşik Krallık Aktarımları. Müşteri ile Botpress ve/veya bir Alt-İşleyici arasında Kişisel Veri aktarımı İsviçre veya Birleşik Krallık Veri Koruma Yasalarına tabi ise, Standart Sözleşme Maddeleri, ilgili İsviçre ve Birleşik Krallık Veri Koruma Yasalarının gerekliliklerini yansıtacak şekilde değiştirilmiş sayılır; buna mevzuata, geçerli hukuka ve yetkili otoritelere ve mahkemelere yapılan atıflar dahildir.

9. CCPA Kapsamında İşleme

9.a Botpress, Müşterinin talimatlarına uygun olarak California Kişisel Bilgilerini işlerken, taraflar Müşterinin CCPA kapsamında bir İşletme, Botpress'in ise bir Hizmet Sağlayıcı olduğunu kabul ve beyan eder. Taraflar, Botpress'in California Kişisel Bilgilerini yalnızca Sözleşme kapsamındaki Yazılım Hizmetleri ve Profesyonel Hizmetleri sağlamak amacıyla ("Ticari Amaç") veya CCPA'nın izin verdiği şekilde Hizmet Sağlayıcı olarak işleyeceği konusunda mutabık kalır.

10. Üçüncü Taraf Talepleri

10.a Müşteri, bir Veri Sahibi veya Düzenleyiciden gelen Kişisel Verileriyle ilgili herhangi bir talebi karşılamaktan sorumludur ve Kişisel Veri işleme ile ilgili gerekli bilgileri almak için Yazılım Hizmetleri'nde mevcut özellikleri kullanacaktır.

10.b Müşteri, bir Veri Sahibi veya Düzenleyici talebini (“Talep”) kendi başına karşılayamazsa, Botpress, Sözleşme kapsamında Kişisel Verilerin İşlenmesiyle ilgili bu tür taleplere yanıt vermek için Müşteriye makul ölçüde yardımcı olacaktır. Botpress'in bu DPA kapsamındaki yükümlülüklerine uymamasından kaynaklanan talepler hariç olmak üzere, Müşteri, Botpress'in sağladığı her türlü yardım için makul masraflarını karşılayacaktır.

10.c Sözleşme kapsamında Kişisel Verilerin İşlenmesiyle ilgili bir Talep veya başka bir iletişim doğrudan Botpress'e yapılırsa, Botpress Müşteriyi derhal bilgilendirecek ve Veri Sahibi veya Düzenleyiciye Taleplerini doğrudan Müşteriye iletmelerini tavsiye edecektir. Kişisel Verileri içeren bu tür tüm Taleplere veya iletişimlere esaslı olarak yanıt vermekten yalnızca Müşteri sorumludur.

11. Kişisel verilerle ilgili denetim

11.a Müşterinin talebi ve Botpress'e makul bir bildirimde bulunması halinde, Müşteri, kendi masraflarıyla, Botpress'in Müşteri adına işlediği Kişisel Verilerin Müşterinin talimatlarına uygun olarak işlendiğini doğrulamak için gerekli denetimleri yapmaya yetkilidir. Müşterinin talebi üzerine, Botpress, Botpress tarafından gerçekleştirilen işlemenin denetimine ve incelenmesine izin verecektir. Böyle bir denetim, Müşteri ve/veya Müşteri tarafından seçilen ve Botpress tarafından makul şekilde kabul edilen üçüncü bir taraf (Müşteri adına hareket eden) tarafından gerçekleştirilebilir. Müşteri, Botpress Grup şirketlerinin tesislerine, ekipmanına, personeline ve işine herhangi bir zarar veya aksaklık gelmemesi için gerekli tüm önlemleri alacaktır.

11.b Müşteri ve Botpress, Müşteri tarafından yapılacak herhangi bir denetimin niteliği, kapsamı ve süresi konusunda önceden anlaşacaktır ve Müşteri, böyle bir denetimle ilgili tüm makul masrafları Botpress'e geri ödeyecektir; bu masraflar, denetim başlamadan önce Müşterinin talebi üzerine tahmini olarak bildirilebilir. Mümkün olduğu ölçüde, Müşterinin denetim gereksinimleri, Botpress tarafından sağlanan üçüncü taraf denetim raporları ile karşılanacaktır, eğer böyle bir rapor mevcutsa.

11.c Botpress, Müşteri adına Avrupa Verisi işliyorsa, Botpress, Müşterinin makul talebi üzerine (gizli olarak) (i) güvenlik testi raporlarının özet bir kopyasını ve (ii) Botpress'in bu VEK'ye uyumunu doğrulamak için Müşteri tarafından yapılan tüm makul bilgi taleplerine yazılı yanıtlar sağlayacaktır; ancak Müşteri, Botpress'in VEK'ye uymadığına dair makul bir gerekçe göstermedikçe, bu hakkı takvim yılı başına bir defadan fazla kullanamaz.

12. Sorumluluğun Sınırlandırılması

12.a Botpress ve Bağlı Kuruluşlarının, bu VEK'den (ve taraflar arasındaki diğer VEK'lerden) ve Standart Sözleşme Maddelerinden (uygulanabilir olduğu durumlarda) kaynaklanan veya bunlarla ilgili toplam sorumluluğu, ister sözleşmeden, ister haksız fiilden veya başka bir sorumluluk teorisinden doğsun, Müşterinin Hizmetler karşılığında Botpress'e ödediği Ücretlerin, sorumluluğa yol açan olaydan önceki 12 aylık dönemdeki toplamı ile sınırlıdır.

13. Yargı Yetkisi

Yürürlükteki Veri Koruma Mevzuatı aksini gerektirmedikçe, bu VEK, Sözleşmeye uygulanacak hukuk uyarınca yönetilecek ve yorumlanacak ve bu Sözleşmeyle ilgili herhangi bir uyuşmazlık, Teklif'te belirtilen yetkili mahkemelerde çözülecektir.

Veri Koruma Mevzuatının bu VEK'nin bir Avrupa Birliği üye devletinin hukukuna tabi olmasını gerektirdiği ölçüde, bu VEK İrlanda hukukuna tabi olacak ve bu Sözleşmeyle ilgili uyuşmazlıklar İrlanda mahkemelerinde çözülecektir.

14. Genel

14.a Öncelik. Bu VEK hükümleri ile Sözleşmenin diğer herhangi bir hükmü arasında herhangi bir tutarsızlık olması durumunda, aksi açıkça belirtilmedikçe veya bu VEK'nin bir hükmünün geçersiz kılınacağı ya da değiştirileceği açıkça belirtilmedikçe, VEK hükümleri her zaman öncelikli olacaktır.

14.b Değişiklikler. Botpress, veri işleme uygulamalarındaki değişiklikleri yansıtmak için bu VEK'yi değiştirebilir. Dilin netleştirilmesine yönelik değişiklikler dışında (bunlar rutin olarak Müşteriye bildirilecektir), diğer tüm değişiklikler Müşterinin onayına sunulacak ve Müşteri tarafından kabul edilmedikçe uygulanmayacaktır. Yürürlükteki mevzuat gereği bu VEK'de bir değişiklik yapılması gerekiyorsa, Müşteri bu değişikliği kabul etme veya Yazılım Hizmetleri aboneliğini sonlandırma seçeneğine sahip olacaktır.

14.c  Bölünebilirlik. Eğer bu DPA'nın herhangi bir hükmü geçersiz veya uygulanamaz olarak belirlenirse, DPA'nın diğer hükümlerinin geçerliliği ve uygulanabilirliği etkilenmez.‍

‍

Ek 1 – İşlemenin Detayları

Veri Sorumlusunun Tanımlanması

Müşteri

İlgili Kişi : Müşteri tarafından kabul edilen Teklifte belirtilen kişi.

Veri İşleyenin Tanımlanması

Müşteri Kanada'da bulunuyorsa : Technologies Botpress Inc. Müşteri başka bir yerde bulunuyorsa : Botpress, Inc.

İlgili Kişi:

Jean-Bernard Perron [email protected]

Veri Sahibi Kategorileri

Müşteri, Yazılım Hizmetini kullanırken, kapsamı tamamen Müşterinin kendi takdirine bağlı olarak belirlenen ve kontrol edilen, geçerli hizmet şartlarına tabi olan ve aşağıdakilerle sınırlı olmamak üzere aşağıdaki Veri Sahibi kategorileriyle ilgili Kişisel Verileri gönderebilir:

• Müşteri adına Yazılımı kullanan kişiler
• Müşteri Botlarının Son Kullanıcıları

Kişisel Veri Kategorileri

Müşteri, Yazılım Hizmetlerine Kişisel Veri gönderebilir ve Son Kullanıcıların da Yazılım Hizmetlerine Kişisel Veri göndermesine izin verebilir; bu kapsam tamamen Müşterinin kendi takdirine bağlı olarak belirlenir ve kontrol edilir, geçerli hizmet şartlarına tabidir.

Yazılım Hizmeti, hassas verilerin işlenmesi amacıyla tasarlanmamıştır; Yazılım Hizmetlerinin hassas veri işlemek için uygunluğunu belirlemekten Müşteri sorumludur.

Botpress, Yetkili Kullanıcılar hakkında iletişim bilgilerini (isim, e-posta, telefon) ve ürün kullanımıyla ilgili teknik destek ve istatistiksel amaçlarla kullanım ve davranış verilerini işleyecektir.

İşlemenin Niteliği

• Müşteriye sunulan Hizmetleri sağlamak, sürdürmek ve geliştirmek için gerekli olan depolama ve diğer İşleme faaliyetleri;
• Sözleşme (bu VEK dahil) uyarınca ve/veya yürürlükteki mevzuat gereği açıklama;
• Botpress, Sözleşme uyarınca Hizmetleri sağlamak için gerekli olduğu ölçüde ve Müşterinin Hizmetleri kullanırken verdiği ek talimatlar doğrultusunda Kişisel Verileri işleyecektir.
• Botpress, teknik destek sağlamak ve istatistiksel amaçlarla (ürün geliştirme ve iyileştirme için) Kullanım Verilerini işler.

Kişisel Verilerin Saklanacağı Süre

Botpress'in verileri silme veya Müşteriye iade etme yükümlülüğüne tabi olarak, Sözleşme kapsamında Botpress, aksi yazılı olarak kararlaştırılmadıkça, Kişisel Verileri Sözleşmenin süresi boyunca işleyecektir.

‍

‍Ek 2 – Güvenlik Önlemleri‍

1. Yönetişim

Botpress, Kişisel Verilere ilişkin uygun politika ve prosedürleri uygular; bunlar şunlardır:

• Bilgi Güvenliği Prosedürleri;
• Kişisel Verilerin Kullanımına İlişkin Politikalar;
• Güvenlik ve Gizlilik Olayı Bildirim Prosedürü;
• Risk Değerlendirme Mekanizmaları;
• İç Denetim Prosedürleri;
• Sözleşmeye Dayalı Önlemler;

‍2. Kullanıcı Erişimi

• Botpress kullanıcılarının ve Kişisel Verilere ve bilgi sistemlerine erişimi olan kullanıcı profillerinin görev ve sorumlulukları açıkça tanımlanmıştır.
• Botpress, kullanıcılarını, görevlerini yerine getirirken uymaları gereken güvenlik kuralları ve bu kuralları ihlal etmeleri durumunda karşılaşacakları sonuçlar hakkında bilgilendirmek için önlemler alır.
• Kişisel Verilere erişim veya veri aktarımı için açık metin protokolleri kullanılmaz. Bu işlemler için yalnızca SSL protokolü kabul edilir.
• Botpress, Kişisel Verileri içerebilecek fiziksel ortam veya ekipmanların işlenmesi veya imhası süreç ve prosedürlerinin güvenliğini sağlar.
• Kişisel Veriler, diğer Botpress verilerinden fiziksel olarak ayrılır veya bir veritabanında ya da sanal ortamda ise mantıksal olarak ayrılır. Kişisel Veriler diğer veri, sistem veya Müşteriyle ilgisi olmayan uygulamalardan fiziksel olarak ayrılmamışsa, Botpress uygun güvenlik kontrolleri, özellikle erişim kontrolleri uygular.

3. Erişim Kontrolü

Botpress, Kişisel Verileri depolayan sunucuları, ilgili veritabanlarını ve diğer donanım ve/veya yazılım bileşenlerini, yalnızca yetkili personelin girişine izin verilen ve erişimi kontrol edilen güvenli bir veri merkezinde tutar.

Botpress, Kişisel Verilerin oluşturulması, iletilmesi veya işlenmesinde kullanılan tüm sistemlerde etkili mantıksal erişim kontrol önlemleri uygular; bu önlemler arasında şunlar bulunur ancak bunlarla sınırlı değildir:

• Kullanıcıların kimlik doğrulaması yapılır; kullanıcılar benzersiz tanımlayıcılar ("kullanıcı kimlikleri") ve isimler kullanmalıdır.
• Yeterince karmaşık ve güçlü bir parola stratejisi.
  
• Kişisel Veri içeren bilgi kaynaklarına kullanıcı erişim hakları/yetkileri, kullanıcının görev ve sorumluluklarıyla ilgili olarak yalnızca bilmesi gereken esasına göre verilir.
• Kişisel Verilere erişim sağlayan bilgisayar sistemlerine kullanıcı erişimi, kullanıcının işten ayrılması veya iş değiştirip yeni görevinde erişim gerekmemesi durumunda derhal silinir.
• Kişisel Verileri desteklemek için kullanılan üçüncü taraf ürün/uygulamalardaki varsayılan şifreler ve güvenlik ayarları değiştirilmelidir.
• Üçüncü taraf hizmet sağlayıcılar, Kişisel Verileri işlerken Botpress'in yetkili kullanıcılarıyla eşdeğer güvenlik gereksinimlerine ve yükümlülüklerine tabi tutulacaktır.
• Kişisel bilgilere erişimi olan kullanıcı hesaplarının ve ilgili yetkilendirmelerin gerekçesinin yıllık olarak yeniden doğrulanması.

‍4. Ağ güvenliği mimarisi

Botpress, Kişisel Verilerin oluşturulması, iletilmesi veya işlenmesinde kullanılan tüm sistemlerde etkili ağ erişim kontrol önlemleri uygular; bu önlemler şunlarla sınırlı olmamak üzere şunları içerir:

• Güvenlik duvarları her zaman çalışır durumda tutulur ve Botpress'in dahili (özel) ağı ile genel ağ (İnternet) arasında ağ sınırında kurulu olur.
• Botpress ağı üzerinde düzgün yapılandırılmış ve izlenen saldırı tespit ve önleme sistemleri kullanılır.
• Kişisel Verileri işleyen veritabanı ve diğer bilgi sistemlerinde yalnızca rutin programların çalışması için gerekli hizmetler/süreçler ve portlar etkinleştirilir. Ana bilgisayardaki diğer tüm hizmetler/süreçler devre dışı bırakılır.
• Kişisel Verileri işlemek için kullanılan tüm bilgi sistemleri, depolar ve diğer sistemler, kontrollü bir veri merkezi ortamında fiziksel olarak bulunmalı ve bilgi sistemlerini koruma amacıyla kullanılmalıdır.
• Botpress veri merkezine iletişimlerde güvenli kanallar (ör. TLS, SFTP, SSH, IPSEC vb.) tutarlı şekilde kullanılmalıdır.

5. Zafiyet Yönetimi Kontrolleri

Botpress, Kişisel Verilerin oluşturulması, iletilmesi veya işlenmesinde kullanılan tüm sistemlerde etkili zafiyet yönetimi kontrolleri uygular; bu önlemler şunlarla sınırlı olmamak üzere şunları içerir:

• Botpress tarafından yönetilen ve Kişisel Verilere doğrudan veya dolaylı erişimi olan iş istasyonlarına ulaşmadan önce oltalama e-postalarını ve kötü amaçlı yazılımları filtrelemeye yardımcı olmak için ağ önleme ve tespit cihazlarının kurulumu.
• Botpress tarafından yönetilen ve Kişisel Verileri işleyen tüm iş istasyonlarında antivirüs ve kötü amaçlı yazılım önleme ve tespit yazılımlarının kurulumu.
• Kişisel Verilere erişen, işleyen veya depolayan tüm cihazların korunmasını sağlamak için standart bir yama yönetimi süreci ve uygulaması sürdürülür.
  
• Kişisel Verileri içeren cihazlar ve belgeler, erişilen bilgilerin tanımlanmasına olanak sağlamalı, envantere alınmalı ve yalnızca güvenlik dokümanına uygun olarak veriye erişme yetkisi olan kullanıcıların erişimine açık olmalıdır.
• Kişisel Verilerin iletimi ve aktarımı sırasında hırsızlık, kayıp veya yetkisiz erişimi önlemeye yönelik önlemler.

6. Veri yedekleme, kurtarma ve erişilebilirlik

Botpress, maksimum kesinti süresini ve veri kaybını en aza indirmek için aşağıdaki felaket kurtarma ve iş sürekliliği planlarını uygular.

• Botpress, Kişisel Verileri içeren sistemin işlevselliğini, taraflarca üzerinde mutabık kalınan bir süre içinde veya aksi halde Kişisel Verilerin niteliği dikkate alınarak makul bir süre içinde geri yüklemeye yönelik felaket kurtarma işlevleri uygular.
• Botpress, Kişisel Verilere yalnızca yetkili Botpress personelinin erişebilmesini sistematik olarak sağlar (ör. harici yedeklemeler sistematik olarak şifrelenir).
• Çevresel tehditler, tehlikeler ve yetkisiz erişim risklerini azaltmak için ekipman, yüksek olasılıklı çevresel risklere maruz kalan yerlerden uzakta konumlandırılmalı ve makul bir mesafede yedekli ekipmanla desteklenmelidir.
• Ekipmanı hizmet kesintilerinden (ör. elektrik kesintileri, ağ aksaklıkları vb.) korumak için güvenlik mekanizmaları ve yedeklilikler uygulanmalıdır.
• Veri saklama ve depolama için politika ve prosedürler oluşturulmalı ve yedekleme veya yedeklilik mekanizmaları uygulanarak düzenleyici, yasal, sözleşmesel veya iş gereksinimlerine uyum sağlanmalıdır. Disk veya bant yedeklerinin kurtarma testleri planlı aralıklarla yapılmalıdır.

7. Güvenlik denetimi

Botpress, Kişisel Verilerin oluşturulması, iletilmesi veya işlenmesinde kullanılan tüm sistemlerde aşağıdakiler dahil olmak üzere kontroller uygular:

• Kişisel Verileri içeren dışa açık (genel) altyapı cihazlarının üçüncü taraf zafiyet taramaları veya denetimleri.
• Kişisel Verileri depolayan ve işleyen Botpress sistemlerinin üçüncü taraf sızma testleri.
• Uygulama veya süreçlerin finansal bilgileri desteklediği durumlarda periyodik üçüncü taraf değerlendirmesi.
• Botpress, sızma testleri sonucunda tespit edilen tüm zafiyetlerle ilgilenmeyi ve düzeltici eylemler hakkında Müşteriyi bilgilendirmeyi taahhüt eder.
  

8. Eğitim ve farkındalık

Botpress, Kişisel Verileri işleyen sistemlerle etkileşime giren çalışanları ve hizmet sağlayıcıları için bir güvenlik farkındalığı programı uygular. Bu program şunları içerir:

• Botpress, personelinin Botpress Hizmetleriyle ilgili bilgi risk yönetimi tehditleri ve endişeleri ile ilgili bilgi risk yönetimi politikalarını anlamasını sağlar.
• Botpress personeli, standart risk yönetimi sınıflandırma şeması ve uygun prosedürlere ilişkin ilgili bilgi risk yönetimi politika ve prosedürleri hakkında eğitim alır ve düzenli güncellemelerden geçer.
• Alt yüklenici personeline, Botpress'in bilgi risk yönetimi sınıflandırma şeması ve uygun prosedürler hakkında bilgi verilir.
• Duyarlı veri içeren belgelerin görünür şekilde bırakıldığı alanların, çalışma alanı başıboş bırakıldığında temizlenmesi ve iş istasyonlarında belirli bir süre işlem yapılmadığında oturumun kapatılmasının sağlanması için politika ve prosedürler oluşturulmalıdır.

‍

Ek 3 – Alt İşleyiciler

Botpress, Güven Merkezi'nde güncel bir Alt İşleyici listesini tutar. Aksi belirtilmedikçe, tüm veriler Amerika Birleşik Devletleri'nde işlenir.