Veri İşleme Sözleşmesi (DPA)
Son güncelleme:
Bu sözleşme QRtimetrack Kullanım Koşulları'nın bir parçasıdır ve (AB) 2016/679 sayılı Tüzük'ün (GDPR) 28. maddesi uyarınca her müşteriye (işverene) otomatik olarak uygulanır. İmzalı bir nüshaya ihtiyacınız varsa contact@qrtimetrack.com adresine yazın. Bu metin bir çeviridir. Çeviri ile Romence veya İngilizce sürüm arasında bir farklılık olması hâlinde Romence veya İngilizce sürüm geçerlidir.
1. Taraflar ve roller
Müşteri (QRtimetrack'i kullanan işveren), çalışanlarının verilerinin veri sorumlusudur. NINE UNIT GROUP S.R.L., CUI 54549440, J2026027060009, București, Sector 1, Intrarea Gheorghe Simionescu nr. 19, ap. B26 veri işleyendir ve bu verileri yalnızca hizmeti sunmak amacıyla ve yalnızca müşterinin belgelenmiş talimatları (hesap ayarları ve bu sözleşme) doğrultusunda işler.
2. Konu ve süre
Çalışma süresi kayıtları: giriş-çıkışlar (giriş, çıkış, molalar), giriş anındaki konum, selfie'ler (müşteri istiyorsa), varlık kontrolleri, izin talepleri, görevler, iç sohbet ve duyurular, raporlar ve dışa aktarmalar. İşleme, müşterinin hesabı aktif olduğu sürece ve buna ek olarak aşağıdaki silme süresi boyunca devam eder.
3. İlgili kişi ve veri kategorileri
Müşterinin çalışanları ve yüklenicileri ile yönetim paneli kullanıcıları (yöneticiler, yetkililer). Veriler: ad, telefon/e-posta (isteğe bağlı), unvan, çalışılan saatler, girişteki GPS konumu, bilgisayardan yapılan girişlerde IP adresi, selfie, bilgisayar etkinliği (yalnızca aktif/boşta, etkinleştirilmişse), izin talepleri, sohbet mesajları ve duyurular (okundu bilgileriyle), görevler ve eklenen fotoğraflar. Biyometrik veri işlemiyoruz: telefonun Face ID'si / parmak iziyle kilit açma çalışanın telefonunda gerçekleşir (passkey) ve bize yalnızca kriptografik bir imza ulaşır. Yüz tanıma yapmıyoruz: selfie'ler yalnızca giriş kaydına eklenen fotoğraflardır, kimseyi tanımlamak için teknik olarak işlenmez ve 30 gün sonra silinir.
4. Yükümlülüklerimiz
Verileri yalnızca hizmeti sunmak için işleriz; erişimi olan herkesin gizliliği korumasını sağlarız; uygun teknik ve idari tedbirleri uygularız; müşterinin ilgili kişi taleplerini (erişim, düzeltme, silme, dışa aktarma) yanıtlamasına yardımcı oluruz; herhangi bir kişisel veri ihlalini, öğrenmemizden itibaren gecikmeksizin ve en geç 48 saat içinde müşteriye bildiririz; uyumu göstermek için gereken bilgileri sağlarız; bir talimatın veri koruma mevzuatını ihlal etmesi hâlinde müşteriyi derhâl bilgilendiririz; veri koruma etki değerlendirmeleri (DPIA), ön danışma ve GDPR md. 32–36 kapsamındaki yükümlülükleri konusunda müşteriye yardımcı oluruz. İhlal bildirimi; ihlalin niteliğini, etkilenen kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve alınan tedbirleri açıklar (GDPR md. 33(3)). Veri işleyen olarak işleme faaliyetleri kaydını tutarız (GDPR md. 30(2)).
5. Güvenlik tedbirleri
Şifreli bağlantılar (HTTPS/TLS); Avrupa Birliği'nde (Frankfurt) barındırılan veritabanı ve dosyalar; veritabanı kurallarıyla uygulanan şirket bazında ayrım; yalnızca hash olarak saklanan parolalar; yalnızca kendi lokasyonlarıyla sınırlı yöneticiler; düzeltmelerin denetim kaydı (kim, ne zaman, neden); 30 gün sonra otomatik silinen selfie'ler; 14 gün saklanan günlük yedek.
6. Alt işleyenler
Müşteri aşağıdaki alt işleyenlerin kullanılmasına izin verir: Supabase Inc. (veritabanı ve dosyalar, AB bölgesi – Frankfurt, Almanya); OVH SAS (uygulamanın özel sunucusu, Gravelines, Fransa – AB); Resend Inc. (hizmet e-postaları, ABD; standart sözleşme hükümleri); Stripe Payments Europe Ltd. (ödemeler, İrlanda; yalnızca müşterinin fatura bilgileri); tarayıcıların ve telefonların anlık bildirim hizmetleri (Apple, Google, Mozilla), bunlar bildirimleri şifreli olarak iletir (Web Push standardı) ve yalnızca aboneliğin teknik adresini alır. Google Analytics yalnızca web sitesinde, yalnızca ziyaretçinin onayıyla kullanılır ve çalışanlara ait hiçbir veri almaz. Her alt işleyene sözleşmeyle bu sözleşmedekiyle aynı veri koruma yükümlülüklerini yükleriz ve onlardan dolayı müşteriye karşı sorumlu olmaya devam ederiz. Bir alt işleyeni eklemeden veya değiştirmeden en az 30 gün önce bildirimde bulunuruz; müşteri itiraz edebilir ve hesabını ücretsiz olarak kapatabilir.
7. AB dışına aktarımlar
Veritabanı ve dosyalar (selfie'ler dahil) AB'de, Frankfurt'ta saklanır. Uygulama sunucusu AB'dedir (OVH, Gravelines, Fransa). E-posta gönderimi (Resend) ABD'dedir: iletişim verileri, Avrupa Komisyonu'nun standart sözleşme hükümleri (2021/914 sayılı Karar) kapsamında, aktarım sırasında şifrelenerek ve tarafımızca saklanan ve talep hâlinde müşteriyle paylaşılan bir aktarım etki değerlendirmesiyle bu hizmetten geçer.
8. Müşterinin yükümlülükleri
Müşteri, hukuki sebebi belirler (genellikle çalışma süresini kaydetme yasal yükümlülüğü ve meşru menfaat), çalışanları bilgilendirir (uygulama, çalışanın onayladığı bir bilgilendirme gösterir), isteğe bağlı özellikleri (selfie, varlık kontrolleri, bilgisayar etkinliği) amaçla orantılı biçimde yapılandırır ve gerekli olduğu hâllerde çalışan temsilcilerine danışır.
9. Verilerin silinmesi ve iadesi
Müşteri verileri her zaman dışa aktarabilir (Excel, CSV, API). Hesap kapatıldığında müşteri, verilerin kendisine iade edilmesini (tam dışa aktarma) veya silinmesini seçer; silme en geç 30 gün içinde gerçekleştirilir. Kanunun çalışma süresi kayıtlarının saklanmasını gerektirdiği hâllerde (ör. İspanya'da 4 yıl), müşteri hesabı kapatmadan önce verileri dışa aktarıp arşivlemelidir. Kanunen saklamakla yükümlü olduğumuz veriler (ör. faturalar) dışında veriler silinir. Yedek kopyalar bunu izleyen en geç 14 gün içinde ortadan kalkar.
10. Denetimler
Müşterinin yazılı talebi üzerine güvenlik tedbirlerimiz hakkında bilgi sağlarız. Yerinde denetim, 30 gün önceden bildirimde bulunularak, masrafları müşteriye ait olmak üzere ve diğer müşterilerin gizliliğini etkilemeden yılda bir kez yapılabilir.
11. Son hükümler
Bu sözleşme ile Kullanım Koşulları arasında çelişki olması hâlinde, veri korumaya ilişkin konularda bu sözleşme geçerlidir. Romanya hukuku uygulanır.