Giriş
Bu Veri İşleme Sözleşmesi ("DPA"), Bütçe Gardiyanı ("İşleyici", "biz") ile tıklama dolandırıcılığı koruma hizmetlerimizi kullanan müşteri ("Sorumlu", "siz", "Müşteri") arasındaki Kullanım Koşulları'nın bir parçasını oluşturur.
Bu DPA, Genel Veri Koruma Tüzüğü (GDPR) ve diğer geçerli veri koruma yasalarının gerekliliklerine uygun olarak kişisel verilerin işlenmesine ilişkin tarafların anlaşmasını yansıtır.
1. İşlemenin Kapsamı ve Amacı
1.1 Konu
İşleyici, Sorumlu adına aşağıdaki amaçlarla kişisel verileri işleyecektir:
- Sorumlu'nun web sitelerinden ziyaretçi verilerini toplama ve analiz etme
- Dolandırıcı tıklamaları ve şüpheli aktiviteyi tespit etme
- Kötü amaçlı IP adreslerini engelleme
- Google Ads IP hariç tutma listelerini yönetme
1.2 Veri Sahipleri Kategorileri
- Sorumlu'nun web sitelerinin ziyaretçileri
- Sorumlu'nun reklamlarına tıklayan kullanıcılar
- Hesap kaydı yapan kullanıcılar
1.3 Kişisel Veri Türleri
| Veri | Açıklama |
|---|---|
| IP Adresi | Ziyaretçi IP adresi |
| Tarayıcı ve Cihaz Bilgisi | Tarayıcı türü, işletim sistemi, cihaz modeli |
| Trafik Kaynağı | Ziyaretçinin geldiği kaynak |
| Zaman Damgası | Ziyaret tarihi ve saati |
| Sayfa Adresi | Ziyaret edilen sayfa |
| Kampanya Bilgisi | Google Ads kampanya parametreleri |
| Bot Sinyalleri | Otomasyon tespit verileri |
| E-posta Adresi | Hesap kaydı ve doğrulama amacıyla kullanılır |
| E-posta Doğrulama Kodları | Kayıt sırasında gönderilen tek kullanımlık kodlar, hash'lenerek saklanır |
| Telefon Numarası | Tekrarlayan ödeme işlemleri için sistemimizde saklanır; ayrıca ödeme hizmet sağlayıcısına iletilir |
| Ödeme Kartı Token Bilgileri | Kart son 4 hanesi ve kart türü saklanır; tekrarlayan ödeme token'ları şifreli olarak saklanır; tam kart numarası depolanmaz |
| Fatura Bilgileri | İsteğe bağlı (kimlik numarası, adres, şehir, posta kodu); ödeme hizmet sağlayıcısına iletilir, sistemimizde depolanmaz |
| Sözleşme Kabul Kayıtları | Ön Bilgilendirme Formu ve Mesafeli Satış Sözleşmesi'nin kabul anındaki içerik kopyası, kabul tarihi, IP adresi ve tarayıcı bilgisi |
2. İşleyici Yükümlülükleri
2.1 Talimatlar
Kişisel verileri yalnızca Sorumlu'nun belgelenmiş talimatları doğrultusunda işleyeceğiz.
2.2 Gizlilik
Kişisel verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlayacağız.
2.3 Güvenlik
GDPR Madde 32 gereğince uygun teknik ve organizasyonel güvenlik önlemlerini uygulayacağız.
2.4 Veri İhlali Bildirimi
Kişisel veri ihlalinden haberdar olduktan sonra 48 saat içinde Sorumlu'yu bilgilendireceğiz.
Bildirim şu bilgileri içerir:
- İhlalin niteliği ve etkilenen veri sahipleri kategorileri
- Tahmini etkilenen kişi sayısı
- Olası sonuçları
- Alınan veya alınması önerilen önlemler
- İşleyici irtibat kişisi bilgileri
Not: Bu 48 saatlik süre İşleyici'den Sorumlu'ya bildirim süresidir. Sorumlu'nun denetim makamına bildirimi için GDPR Md. 33 kapsamında 72 saatlik süre geçerlidir.
2.5 Silme
Hizmetlerin sona ermesinden sonra, Sorumlu'nun tercihine göre tüm kişisel verileri sileceğiz veya iade edeceğiz.
3. Denetim Hakkı
Sorumlu (Müşteri), İşleyici'nin (Bütçe Gardiyanı) bu DPA ve GDPR yükümlülüklerine uyumunu doğrulamak amacıyla yılda bir kez denetim yapma veya bağımsız bir denetçi tayin etme hakkına sahiptir.
- Denetim talebi en az 30 gün önceden yazılı olarak bildirilmelidir
- Denetimler normal iş saatlerinde gerçekleştirilir
- Denetim masrafları Sorumlu tarafından karşılanır
- Acil durumlar hariç yılda en fazla 1 denetim talep edilebilir
İşleyici, talep üzerine bağımsız güvenlik denetimi raporlarını paylaşır.
4. Teknik ve Organizasyonel Önlemler (TOM)
İşleyici, GDPR Madde 32 kapsamında aşağıdaki teknik ve organizasyonel önlemleri uygulamaktadır:
Teknik Önlemler
- Şifreleme: Endüstri standardı şifreleme (depolama ve aktarım)
- Şifre güvenliği: Güçlü şifreleme standartlarıyla korunan parolalar
- Oturum güvenliği: Güvenli oturum yönetimi ve çerez politikaları
- E-posta doğrulama: Tek kullanımlık kodlar hash'lenerek saklanır; doğrulama veya süre sona erdiğinde otomatik silinir
- Form güvenliği: Tüm form işlemlerinde güvenlik doğrulaması
- Hız sınırlama: Kimlik doğrulama ve doğrulama uç noktalarında otomatik kaba kuvvet saldırı önleme
- Ağ güvenliği: Otomatik saldırı tespit ve engelleme sistemleri
Organizasyonel Önlemler
- Rol tabanlı erişim kontrolü (admin/müşteri)
- Gizlilik politikası ve iş süreçleri
- Log yönetimi ve izleme (14 gün rotasyon)
- Olay müdahale prosedürü
- Otomatik veri silme zamanlaması (günlük)
- Doğrulanmamış hesapların ve süresi dolmuş doğrulama kodlarının otomatik silinmesi
5. Alt İşleyiciler
İşleyici, hizmetlerin sunulması için belirli alt işleyicilerle çalışmaktadır. Güncel alt işleyici listesine Alt İşleyiciler sayfasından ulaşabilirsiniz.
Alt İşleyici Değişiklik Bildirimi: İşleyici, alt işleyici listesinde değişiklik yapmadan en az 30 gün önce Sorumlu'ya e-posta ile bildirim yapar. Sorumlu, bildirimi aldıktan sonra 15 gün içinde yazılı itiraz etmezse değişikliği kabul etmiş sayılır. Sorumlu'nun itiraz etmesi ve tarafların çözüm bulamaması halinde, Sorumlu hizmeti sonlandırma hakkına sahiptir.
6. Veri Sahibi Talepleri
Veri sahiplerinden (müşterinin web sitesi ziyaretçileri) gelen erişim, düzeltme, silme, kısıtlama veya taşınabilirlik talepleri aşağıdaki prosedüre göre işlenir:
- Veri sahibi, talebini Sorumlu'ya (Müşteri'ye) iletir
- Sorumlu, talebi İşleyici'ye (Bütçe Gardiyanı'na) iletir
- İşleyici, teknik olarak gerekli işlemleri gerçekleştirir (veri çıkarma, silme vb.)
- İşleyici, işlemin tamamlandığını Sorumlu'ya bildirir
- Sorumlu, veri sahibine bilgi verir
İşleyici, doğrudan veri sahiplerinden gelen talepleri Sorumlu'ya yönlendirir ve Sorumlu'nun talimatı olmadan yanıtlamaz.
İşlem Süreleri
- Veri erişim talepleri: 5 iş günü
- Silme talepleri: 10 iş günü
- Veri taşıma talepleri: 10 iş günü (JSON veya CSV formatında)
7. Veri Saklama
| Veri Türü | Saklama Süresi |
|---|---|
| Ziyaretçi kayıtları | 90 gün |
| Engellenen IP kayıtları | Engel kaldırılana kadar; engel kaldırıldıktan sonra maksimum 90 gün |
| E-posta doğrulama kodları | Doğrulama tamamlanana kadar; doğrulanmamış hesaplar 48 saat sonra otomatik silinir |
8. Uluslararası Veri Transferleri
AB/AEA dışına yapılan veri aktarımlarında, Avrupa Komisyonu'nun 4 Haziran 2021 tarihli 2021/914/EU sayılı Uygulama Kararı ile kabul edilen Standart Sözleşme Hükümleri (SCC) uygulanır.
- Standart Sözleşme Maddeleri: AB Komisyonu onaylı SCC'ler tüm AEA dışı veri aktarımlarında uygulanır
- AEA İçi Sağlayıcılar: AEA içinde bulunan sağlayıcılar için ek güvence gerekmemektedir
9. DPA Kabul Mekanizması
Bu DPA, Kullanım Koşulları'nın kabulüyle otomatik olarak kabul edilmiş sayılır. Ayrı bir imza gerekmez.
10. İşleme Süresi
Bu DPA, Müşteri'nin Hizmetleri kullandığı süre boyunca geçerlidir.
Hizmetlerin sona ermesi üzerine:
- İşlenmekte olan kişisel veriler 30 gün içinde silinir veya iade edilir
- Yasal saklama yükümlülüğü olan veriler ilgili süreler boyunca korunur
- Silme işlemi tamamlandığında Sorumlu yazılı olarak bilgilendirilir