Veri işleme sözleşmesi

Ek 1’de tanımlanan kişisel verilerin veri sorumlusu Hizmet Alan, veri işleyeni ise EasyHaus’tur. EasyHaus bu verileri yalnızca Hizmet Alan’ın belgelenmiş talimatları doğrultusunda işler; bu talimatlar hizmet şartları, bu VİS ve Hizmet Alan’ın hizmeti kullanımıdır. EasyHaus, bir talimatın veri koruma mevzuatını ihlal ettiğini düşünürse Hizmet Alan’a bildirir.

EasyHaus, verileri işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlar. Personel, bir Hizmet Alan’ın kuruluşuna destek amacıyla yalnızca Hizmet Alan’ın sahibi destek erişimini etkinleştirdiğinde erişir; bu erişim sınırlıdır, belirtilmiş bir neden gerektirir ve Hizmet Alan’ın denetim kaydına işlenir.

EasyHaus, Ek 2’deki teknik ve idari tedbirleri uygular ve genel koruma düzeyi düşmemek kaydıyla bunları güncelleyebilir.

Hizmet Alan, Ek 3’teki alt işleyenler için genel yetki verir. EasyHaus, yeni veya değiştirilen alt işleyenleri en az 30 gün önceden kuruluş sahibine e-postayla duyurur. Hizmet Alan makul veri koruma gerekçeleriyle itiraz edebilir; taraflar itirazı çözemezse Hizmet Alan etkilenen hizmeti feshedebilir. EasyHaus her alt işleyene bu VİS’e eşdeğer veri koruma yükümlülükleri getirir ve onlardan sorumlu olmaya devam eder.

• İlgili kişi talepleri: hizmet, Hizmet Alan’ın bir müşterinin verilerini dışa aktarmasına, düzeltmesine ve silmesine olanak tanır. EasyHaus doğrudan kendisine ulaşan talepleri Hizmet Alan’a iletir ve bunları kendisi yanıtlamaz.
• EasyHaus, bilgilerin kendisinde mevcut olduğu ölçüde veri koruma etki değerlendirmelerine ve yetkili makamlarla yapılan istişarelere yardımcı olur.

EasyHaus, Hizmet Alan’ın verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra Hizmet Alan’ı gecikmeksizin ve her durumda 48 saat içinde bilgilendirir. Bildirim, ihlalin niteliğini, bilindiği kadarıyla ilgili verileri ve kişileri, olası sonuçları ve alınan önlemleri açıklar ve yeni bilgiler edinildikçe güncellenir.

Abonelik süresince ve aboneliğin sona ermesinden sonraki 90 gün boyunca Hizmet Alan tüm verilerini dışa aktarabilir. Bu sürenin sonunda veya Hizmet Alan kuruluşunu sildikten 30 gün sonra EasyHaus verileri veritabanından ve dosya depolama alanından siler. Şifrelenmiş yedekler olağan rotasyonları içinde 30 gün içinde sona erer. EasyHaus verileri yalnızca yasanın gerektirdiği durumlarda daha uzun süre saklar.

EasyHaus, GDPR 28. maddeye uyumu göstermek için gereken bilgileri, en son güvenlik incelemesinin bir özeti de dahil olmak üzere sağlar. Hizmet Alan, 30 gün önceden bildirimde bulunarak, bir ihlal veya yetkili bir makam aksini gerektirmedikçe yılda en fazla bir kez, masrafları kendisine ait olmak ve gizlilik içinde yürütülmek kaydıyla uyumu denetleyebilir veya bağımsız bir denetçiye denetletebilir.

Hizmet Alan Verilerini barındıran veritabanı Avrupa Birliği’nde barındırılır. Ek 3’teki alt işleyenlerden Amerika Birleşik Devletleri’nde bulunan veya verileri orada işleyenler AB–ABD Veri Gizliliği Çerçevesi kapsamında sertifikalıdır ve ayrıca veri işleme koşullarındaki Standart Sözleşme Maddeleri de uygulanır. EasyHaus, Azerbaycan Cumhuriyeti’nden işletilmektedir; Hizmet Alan Verilerine Azerbaycan’dan erişim Standart Sözleşme Maddeleri kapsamındadır. EasyHaus kişisel verileri Avrupa Ekonomik Alanı dışına yalnızca GDPR V. Bölüm kapsamındaki bu tür güvencelerle aktarır.

Bu VİS kapsamındaki sorumluluk hizmet şartlarına tabidir. Bu VİS ile hizmet şartları çelişirse kişisel verilerin işlenmesi bakımından bu VİS geçerli olur. Bu VİS, EasyHaus artık Hizmet Alan’ın kişisel verilerini işlemediğinde sona erer.

• TLS ve HSTS ile aktarım sırasında şifreleme.
• Vergi kimlik numaralarının, kimlik belgesi numaralarının, banka hesap numaralarının, gerçek faydalanıcı tanımlayıcılarının, ikinci faktör sırlarının ve kurtarma kodlarının AES-256-GCM ile depolama sırasında şifrelenmesi; anahtarlar veritabanı dışında, rotasyon için anahtar tanımlayıcılarıyla birlikte saklanır.
• Kuruluşların mantıksal olarak ayrılması: her sorgu tek bir kuruluşla sınırlıdır; bu, otomatik bir kontrol ve bir yalıtım test paketiyle güvence altına alınır.
• Kuruluş içinde role dayalı erişim (sahip, yönetici, müdür, görüntüleyici); hassas alanlar yalnızca sahiplere ve yöneticilere tam olarak gösterilir.
• argon2id ile hash’lenen parolalar, asgari uzunluk ve sızdırılmış parola kontrolleri; isteğe bağlı veya zorunlu iki faktörlü kimlik doğrulama; tekrarlanan yanlış kodlardan sonra kilitleme.
• Hash olarak saklanan, boşta kalma ve mutlak süre sonu ile iptal özelliğine sahip rastgele oturum belirteçleri.
• Giriş, parola sıfırlama, e-postayla gönderilen bağlantılar, yüklemeler ve iletişim formu için hız sınırları.
• Kısa ömürlü, tek kullanımlık yükleme bağlantılarıyla özel dosya depolama; izin verilen dosya türleri listesi ve içerik kontrolleri; görüntülerin yeniden kodlanması.
• Kişisel alanları maskelenmiş, müşteriler tarafından silinemeyen ve her değişikliği içeren denetim kaydı; belge indirmelerinin kaydı.
• Destek erişimi yalnızca sahibin onayıyla, sınırlı kapsamda ve kayıt altında.
• Sağlamlaştırılmış sunucu süreçleri, bağımlılık güvenlik açığı taraması ve İçerik Güvenliği Politikası (Content Security Policy) dahil güvenlik başlıkları.
• Avrupa Birliği’nde barındırılan veritabanı; dosyalar depolama alanında şifrelenmiş olarak saklanır.
• Sunucumuzdan çıkmadan önce AES-256 ile şifrelenen, 30 gün saklanan, haftalık bütünlük kontrolüne ve belgelenmiş bir geri yükleme prosedürüne sahip gece yedeklemeleri.