Veri İşleme Sözleşmesi

GDPR Madde 28 uyarınca Veri İşleme Sözleşmesi (VİS)

Tarih: 20.03.2026

Biscotti CMP'nin

Biscotti CMP'nin kayıtlı müşterisi – bundan sonra "Sorumlu" veya "Müşteri" olarak anılacaktır –

ile

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Federal Almanya Cumhuriyeti

Kayıt Mahkemesi: Potsdam Asliye Mahkemesi Kayıt Numarası: HRB 40180 P KDV No.: DE368000447 Vergi Numarası: 29/249/36095 Temsilciler: Daniel Bosch (CEO), Philipp André Marschall (Vekil) E-posta: [email protected] Telefon: +49 3322 50703301 Çalışma saatleri: Pazartesi-Cuma, 09:00 - 17:00 – bundan sonra "Veri İşleyen" veya "Sağlayıcı" olarak anılacaktır –

– Sorumlu ve İşlemci bundan sonra birlikte "Taraflar" olarak anılacaktır –

Giriş

Campcruisers GmbH'ye hoş geldiniz! Sizi müşterimiz olarak ağırlamaktan büyük mutluluk duyuyoruz. Şeffaflık, en yüksek güvenlik standartları ve eşit düzeyde bir ortaklık ilişkisi bizim için önceliklidir. Verilerinizin ve web sitenizi ziyaret edenlerin verilerinin korunması bizim için sadece yasal bir yükümlülük değil, aynı zamanda şirketimizin temel kalite taahhüdüdür.

Veri Sorumlusu, Veri İşleyen tarafından geliştirilen, işletilen ve dağıtılan bulut tabanlı Hizmet Olarak Yazılım (SaaS) çözümü “Biscotti CMP” (Onay Yönetimi Platformu) kullanmaktadır. biscotti-cmp.com etki alanı ve app.biscotti-cmp.com uygulaması üzerinden sunulan bu SaaS hizmetlerinin sağlanması kapsamında, işleyici, sorumlu kişinin talimatı ve adına kişisel verileri işler. Bu sözleşme, Biscotti CMP'nin kullanımından kaynaklanan tarafların veri koruma yükümlülüklerini somutlaştırmaktadır. Sözleşme, ana sözleşmeyle (SaaS hizmetleri kullanım sözleşmesi) ilgili olan ve işleyicinin çalışanlarının veya işleyici tarafından görevlendirilen üçüncü tarafların sorumlu tarafın kişisel verileriyle temas edebileceği tüm faaliyetlere uygulanır.

Bu sözleşme, (AB) 2016/679 sayılı Tüzük (Genel Veri Koruma Yönetmeliği – GDPR), özellikle GDPR'nin 28. maddesi ile Federal Veri Koruma Kanunu (BDSG) ve Telekomünikasyon-Dijital Hizmetler-Veri Koruma Kanunu'nun (TDDDG) tamamlayıcı hükümlerine tam olarak uymak için zorunludur.

[!NOTE] Elektronik ticarette sözleşmenin akdedilmesi Bu sözleşme, GDPR'nin 28. maddesinin 9. fıkrası uyarınca elektronik bir formatta akdedilir. Sorumlu kişi tarafından yapılan kayıt/kayıt işlemi sırasında, bu sözleşme Biscotti CMP'nin Genel İş Şartları'nın (AGB) ayrılmaz bir parçasıdır. Sözleşmenin akdedilmesi, kayıt sırasında açıkça verilen elektronik onay (örneğin, bir onay düğmesine tıklanması) ile gerçekleşir ve geçerliliği ve hukuki yürürlüğü için ayrı bir el yazısı imzaya gerek yoktur.

§ 1 İşlemenin Konusu ve Süresi

1.1 İşlemenin Konusu İşlemci, sorumlu kişi adına rıza yönetimi (Consent Management) ve veri koruma mevzuatına uygunluk otomasyonu alanlarında hizmetler sunar. Kişisel verilerin işlenmesinin konusu, taraflar arasında Biscotti CMP'nin kullanımı konusunda akdedilen ana sözleşmeden kaynaklanmaktadır. İşleme, sözleşmede kararlaştırılan yazılım işlevlerinin sağlanması için gerekli olan tüm veri ile ilgili işlemleri kapsamaktadır. Bunlar arasında özellikle, ancak bunlarla sınırlı olmamak üzere şunlar yer almaktadır:

• Sorumlunun web sitelerinde rıza banner'larının (çerez banner'larının) sağlanması ve sunulması.
• Veri sorumlusunun son kullanıcılarının (web sitesi ziyaretçilerinin) onay kararlarının (kabul / red) GDPR Madde 7, Paragraf 1 ve TDDDG Madde 25, Paragraf 1 uyarınca toplanması, saklanması, yönetilmesi ve belgelenmesi.
• İzleme teknolojilerinin tanımlanması ve kategorize edilmesi ve bunların IAB sağlayıcı veritabanıyla karşılaştırılması amacıyla sorumlu kişinin web sitelerinde AI destekli çerez taramalarının gerçekleştirilmesi.
• Google Consent Mode v2, IAB Transparency & Consent Framework (TCF 2.4) ve Global Privacy Control (GPC) kapsamında sinyallerin işlenmesi.
• Yasalara uygun banner varyantlarının (örn. GDPR, CCPA/CPRA) dinamik olarak görüntülenmesi için web sitesi ziyaretçisinin yargı yetkisini IP tabanlı olarak belirleme.
• Alibaba Cloud Qwen kullanılarak entegre Legal Suite Asistanı üzerinden yasal metinlerin (yasal uyarı, gizlilik politikası, çerez politikası) AI destekli olarak oluşturulması.
• GDPR Madde 15 uyarınca veri sahiplerinin haklarını yerine getirmek için denetim günlükleri (Audit-Logs), gerçek zamanlı bildirim için webhook'lar, A/B testi işlevleri ve veri aktarım işlevlerinin sağlanması.
• "Agency" tarifesi kapsamında ajans alt hesaplarının yönetimi, müşteri yönetimi ve beyaz etiket markalaması dahil.

1.2 İşleme Süresi Bu işleme sözleşmesinin süresi, Biscotti CMP'nin kullanımıyla ilgili temel ana sözleşmenin süresine bağlıdır. Sözleşme, sorumlu kişinin kaydı ve hesabın etkinleştirilmesi (ücretsiz tarifelerde) veya ödeme onayı (Starter, Growth, Business, Agency gibi ücretli tarifelerde) ile yürürlüğe girer. Herhangi bir hukuki gerekçeyle (ör. olağan fesih, olağanüstü fesih veya hesabın silinmesi) ana sözleşmenin sona ermesiyle otomatik olarak sona erer. Ana sözleşmenin fesih süresi, ilgili fatura döneminin sonuna kadar 1 gündür. Doğası gereği fesih tarihinden sonra da geçerli olması gereken bu sözleşmenin hükümleri (özellikle verilerin silinmesi ve iadesi ile ilgili düzenlemeler ve sorumluluk konuları), fesihden etkilenmez.

§ 2 İşlemenin Türü ve Amacı

2.1 İşlemenin Türü İşlemenin türü, verilerin toplanmasını, kaydedilmesini, düzenlenmesini, sıralanmasını, depolanmasını, uyarlanmasını veya değiştirilmesini, okunmasını, sorgulanmasını, kullanılmasını, aktarım, yayma veya başka bir şekilde sunulması yoluyla ifşa edilmesini, karşılaştırılmasını veya bağlanmasını, kısıtlanmasını, silinmesini veya imha edilmesini içerir. İşleme, öncelikle işleyici tarafının bulut altyapısında otomatik olarak gerçekleştirilir (ör. Hetzner Online GmbH'da barındırılır, sunucu konumu genellikle Avrupa Birliği'ndedir).

2.2 İşlemenin Amacı İşlemenin amacı, münhasıran ana sözleşmeden doğan sözleşme yükümlülüklerinin yerine getirilmesidir. Bu, aşağıdakileri içerir:

• Onayın kanıtlanabilirliği: GDPR Madde 5, Paragraf 2 ve Madde 7, Paragraf 1 uyarınca sorumlu tarafın hesap verebilirlik yükümlülüğünün yerine getirilmesi için onay verilerinin saklanması.
• Teknik sağlama: Onay bannerının sunulması ve kullanıcı tercihleri dikkate alınarak sorumlu kişinin web sitesinin işlevselliğinin sağlanması.
• Uyum analizi: Veri koruma riskleri açısından sorumlu kişinin web sayfalarının otomatik olarak kontrol edilmesi (çerez tarayıcısı).
• Hukuki metin hazırlama: Sorumlunun şirket ve iletişim verilerinin, yapay zeka destekli olarak kişiye özel hukuki metinler hazırlamak amacıyla işlenmesi.
• Faturalandırma ve hesap yönetimi: Kullanıcı hesaplarının yönetimi, oturum limitlerinin tahsisi (ör. Ücretsiz tarifede 5.000 oturum, İşletme tarifesinde 500.000 oturum) ve oturum transferlerinin gerçekleştirilmesi.
• Ajans yönetimi: Agency tarifesinde, bayi sayfalarının ve e-posta gönderim işlevlerinin sağlanması dahil olmak üzere, 25 adede kadar alt hesabın yönetilmesini mümkün kılma.

Verilerin, sözleşmeye dayalı hizmet sunumunun ötesine geçen, veri işleyenin kendi amaçları için, özellikle kendi reklam amaçları veya kullanıcı profilleri oluşturmak amacıyla işlenmesi, açık bir yasal izin veya ayrı bir rıza bulunmadıkça kesinlikle yasaktır.

§ 3 Kişisel verilerin türü

Veri işleme kapsamında aşağıdaki kişisel veri kategorileri işlenir. Veri sorumlusu, Biscotti CMP'yi kullanarak ve yazılımı kendisi yapılandırarak verilerin tam kapsamını belirler:

• Onay verileri: Kararlar (Temel, İşlevsel, Analiz, Pazarlama, AI hizmetleri gibi çeşitli kategoriler için onay / red), zaman damgası (onayın tarihi ve tam saati), benzersiz kimlik numarası (kararın ilgili son kullanıcı cihazına/tarayıcıya takma adla atanması için).
• Teknik veriler: IP adresleri (öncelikle konum tabanlı yargı yetkisi tanımlaması için işlenir ve sorumlu kişi tarafından farklı bir yapılandırma yapılmadığı sürece genellikle derhal anonimleştirilir/kısaltılır), tarayıcı bilgileri, cihaz bilgileri, kullanıcı ajanı dizeleri, oturum verileri.
• Çerez ve izleyici verileri: Sorumlunun web sayfalarının tarama sonuçları, bulunan çerezler, yerel depolama içeriği, üçüncü taraf izleyiciler ve bunların sınıflandırılması dahil.
• AI tarafından oluşturulan içerikler: Sorumlunun, yasal metinleri (gizlilik beyanı, yasal uyarı, genel şartlar ve koşullar) oluşturmak için Legal Suite Asistanına girdiği veriler. Bu, şirket verilerini, temsil yetkisi olan kişilerin adlarını, adresleri ve Alibaba Cloud Model Studio (Qwen) API üzerinden işlenen belirli işleme faaliyetlerini içerebilir.
• İletişim verileri (Hesap Sahibi): Müşterilerin veya hesap sahiplerinin adı ve soyadı, e-posta adresi, şirket adı, adresi, telefon numarası, vergi kimlik numarası (VKN).
• Kullanım verileri: Kontrol paneli etkinlikleri, banner istatistikleri (görüntülemeler, etkileşimler, kabul oranları), uyumluluk raporları, hesap değişikliklerine ilişkin denetim günlükleri.
• Ödeme verileri: Ödeme hizmeti sağlayıcısı Stripe aracılığıyla işlenen fatura bilgileri (kredi kartı verileri doğrudan Stripe'de tokenize edilir ve işleyici tarafından düz metin olarak saklanmaz).

§ 4 İlgili kişilerin kategorileri

İşleme, aşağıdaki veri sahibi kategorilerini ilgilendirir:

• Web sitesi ziyaretçileri (son kullanıcılar): Sorumlunun web sitelerini ziyaret eden ve Biscotti CMP bannerı aracılığıyla rıza kararları sorgulanan, işlenen ve saklanan gerçek kişiler.
• Müşteriler (Hesap Sahipleri): Veri işleyicinin sözleşme ortağı olarak Biscotti CMP'de bir hesap açmış olan gerçek kişiler, bireysel girişimciler veya tüzel kişilerin temsilcileri.
• Ekip üyeleri ve çalışanlar: Sistemi yönetmek üzere hesap sahibi (sorumlu) tarafından Biscotti CMP Dashboard'a ek kullanıcı olarak davet edilen kişiler.
• Ajans müşterileri (Alt hesap sahipleri): "Ajans" tarifesini kullanan ve kendileri için alt hesaplar oluşturulan ajansların son müşterileri.

§ 5 Sorumlunun Yükümlülükleri ve Hakları

5.1 İşlemenin Yasallığı Görevlendirilen işlemenin kabul edilebilirliğinin değerlendirilmesi ve ilgili kişilerin haklarının korunmasından yalnızca sorumlu kişi sorumludur (GDPR Madde 4, No. 7). Sorumlu kişi, işleyici tarafından kişisel verilerin işlenmesi için geçerli bir yasal dayanağın (örn. GDPR Madde 6, Paragraf 1, Bent a uyarınca rıza veya GDPR Madde 6, Paragraf 1, Bent f uyarınca meşru menfaat) mevcut olmasını sağlar. Bu, özellikle § 25 (1) TDDDG uyarınca rıza alınması için Biscotti CMP'nin kullanılması için geçerlidir.

5.2 Bilgilendirme yükümlülükleri Kontrolör, GDPR'nin 13. ve 14. maddeleri uyarınca, ilgili kişilere (özellikle web sitesi ziyaretçilerine) veri işleme hakkında şeffaf, kesin ve zamanında bilgi vermekten tam olarak sorumludur. Veri işleyen, bu amaçla sorumlu kişiye Biscotti CMP'nin işleyişi hakkında gerekli teknik bilgileri ve Legal Suite Asistanı aracılığıyla örnek metinleri sağlar. Gizlilik beyanının hukuki incelemesi ve entegrasyonu sorumlu kişinin sorumluluğundadır.

5.3 Ajans ve Bayi Kullanımı Sorumlu kişi "Ajans" tarifesini kullanır ve kendi müşterileri için alt hesaplar oluşturursa, Sorumlu kişi, İşlemciye karşı tek sözleşme tarafı ve veri koruma hukuku açısından sorumlu kişi olarak kalır. Sorumlu kişi, son müşterileriyle gerekli sözleşme anlaşmalarına (kendi veri işleme sözleşmeleri dahil) sahip olduğunu garanti eder. Sorumlu kişi bir bayi sayfası kurarsa veya kendi alan adı altında kendi e-posta sunucularını kullanırsa, bu altyapı için veri koruma ve rekabet hukuku açısından tek başına sorumluluk taşır. Veri işleyen bu konuda herhangi bir sorumluluk üstlenmez.

5.4 Hataların Bildirilmesi Sorumlu, iş sonuçlarını incelerken veri koruma hükümlerine ilişkin hatalar veya usulsüzlükler tespit ederse, işleyiciyi derhal ve eksiksiz olarak bilgilendirmelidir.

§ 6 Veri Sorumlusunun Talimat Verme Hakkı

6.1 Talimatların Türü ve Kapsamı Veri işleyen, tabi olduğu Birlik veya üye devletlerin hukuku tarafından buna mecbur kılınmadıkça, kişisel verileri yalnızca veri sorumlusunun belgelenmiş talimatı üzerine işler (GDPR Madde 28, Paragraf 3, Bent a). Böyle bir durumda, işleyici, ilgili hukukun önemli bir kamu yararı nedeniyle böyle bir bildirimi yasaklamadığı sürece, işleme başlamadan önce bu yasal gerekliliği sorumlu kişiye bildirir.

Ana sözleşme ve bu AVV, ilk belgelenmiş talimatı oluşturur. Sorumlunun Dashboard'da Biscotti CMP'nin işlevlerini (örn. banner'ın yapılandırılması, taramanın başlatılması, metinlerin oluşturulması) kullanması, belgelenmiş tekil talimat olarak kabul edilir.

6.2 Talimatların Şekli Talimatlar genellikle yazılımın (uygulamanın) kullanıcı arayüzü üzerinden verilebilir. Bunun ötesindeki talimatlar yazılı olarak (örn. [email protected] adresine e-posta yoluyla) verilmelidir. Sözlü talimatlar, sorumlu tarafından derhal yazılı olarak teyit edilmelidir.

6.3 Talimatlara İlişkin Endişeler İşlemci, bir talimatın GDPR, BDSG veya Birlik ya da üye devletlerin diğer veri koruma düzenlemelerine aykırı olduğunu düşünüyorsa, bunu derhal Sorumluya bildirir. İşlemci, ilgili talimatın Sorumlu tarafından onaylanana veya değiştirilene kadar uygulanmasını askıya alma hakkına sahiptir. Veri işleyen, açıkça hukuka aykırı talimatları reddedebilir.

§ 7 Gizlilik yükümlülüğü

7.1 Çalışanların yükümlülüğü İşlemci, sorumlu kişinin kişisel verilerinin işlenmesine yetkili tüm kişileri (çalışanlar, serbest çalışanlar, organlar) faaliyete başlamadan önce gizlilik yükümlülüğüne tabi tuttuğunu (GDPR Madde 28, Paragraf 3, b bendi) veya bunların uygun bir yasal gizlilik yükümlülüğüne tabi olduğunu teyit eder. Bu yükümlülük veri gizliliğini de kapsar ve faaliyetin veya iş ilişkisinin sona ermesinden sonra da devam eder.

7.2 Eğitim ve Bilinçlendirme İşlemci, işleme yetkisi olan kişilerin veri koruma (GDPR, BDSG) ve veri güvenliği hükümleri konusunda düzenli olarak eğitilmesini ve bilinçlendirilmesini sağlar. İşlemci, yönetim kurulu (Daniel Bosch, Philipp André Marschall) tarafından temsil edilerek, veri koruma kurallarına uygun bir şirket kültürünün oluşturulmasını sağlar.

7.3 Veri Koruma Görevlisi İşlemci, § 38 (1) BDSG veya Madde 37 GDPR uyarınca yasal olarak gerekli olması halinde (örneğin, genellikle otomatik işlemeye sürekli olarak katılan en az 20 kişi olması durumunda), uzman ve güvenilir bir veri koruma görevlisi atamıştır.

Yasal olarak atama zorunluluğu bulunmasa bile, işleyici yine de veri koruma yükümlülüklerinin yönetim kurulu tarafından tam olarak denetlenmesini ve yerine getirilmesini sağlar.

§ 8 GDPR Madde 32 uyarınca teknik ve organizasyonel önlemler (TOM'lar)

8.1 İşlemenin güvenliği ilkesi İşlemci, teknolojinin mevcut durumu, uygulama maliyetleri ve işlemenin türü, kapsamı, koşulları ve amaçları ile gerçek kişilerin hak ve özgürlüklerine yönelik risklerin farklı olasılık ve ciddiyet düzeylerini dikkate alarak, riske uygun bir koruma seviyesi sağlamak için uygun teknik ve organizasyonel önlemler (TOM'lar) aldığını bağlayıcı bir şekilde beyan eder (GDPR Madde 32). Bu önlemler, (ISO 27001 ve SOC 2 gibi) temel alır.

8.2 Somut önlemler İşlemci, özellikle aşağıdaki önlemleri uygular ve bunları sözleşme süresi boyunca sürdürür:

a) Takma adlandırma ve şifreleme (GDPR Madde 32, Paragraf 1, Bent a)

• Aktarım sırasında şifreleme: Son kullanıcı, veri sorumlusu ve Biscotti CMP altyapısı arasındaki tüm veri aktarımları, zorunlu olarak en modern şifreleme protokolleri (TLS 1.2 veya TLS 1.3) üzerinden gerçekleştirilir.
• Bekleme durumunda şifreleme: Hetzner Online GmbH'daki (sunucu konumu NL) tüm veritabanları ve depolama ortamları sabit disk düzeyinde şifrelenmiştir (AES-256).
• Takma ad kullanımı: Onay kararları gerçek isimlerle değil, rastgele oluşturulan kriptografik kimlik numaralarıyla ilişkilendirilir. IP adresleri, konum tabanlı eşleştirme tamamlandığında varsayılan olarak kısaltılır/anonimleştirilir.

b) Gizlilik (erişim ve erişim kontrolü)

• Giriş kontrolü: Kullanılan sunucuların fiziksel güvenliği, harici altyapı hizmet sağlayıcısı (örn. Google Cloud) tarafından sağlanır. Veri merkezleri, sektördeki standartlara uygun sıkı erişim ve güvenlik kontrollerine tabidir. Campcruisers GmbH'nin kendi ofis alanları, uygun fiziksel erişim kısıtlamaları (örn. güvenlik kilitleri) ile korunmaktadır.
• Erişim Kontrolü: Veri işleyicinin BT sistemlerine erişim, kısıtlayıcı şifre kuralları, ilgili idari erişimler için çok faktörlü kimlik doğrulama (MFA) ve oturum zaman aşımları ile korunmaktadır. Cloudflare Turnstile gibi sistemler, oturum açma girişimlerini bot saldırılarından korumak için kullanılmaktadır.
• Erişim kontrolü: Asgari hak tahsisi ilkesi (Role-Based Access Control - RBAC) geçerlidir. Veri işleyicinin çalışanları, yalnızca kendi görevleri için zorunlu olan verilere erişebilir. Farklı tarifelerin müşteri verileri birbirinden mantıksal olarak ayrılmıştır (çoklu müşteri desteği).

c) Bütünlük (aktarım, giriş ve ayrıştırma kontrolü)

• Aktarım kontrolü: Veriler fiziksel veri taşıyıcıları üzerinde taşınmaz. Aktarım yalnızca güvenli ağlar üzerinden gerçekleştirilir.
• Giriş kontrolü: Biscotti CMP, kapsamlı bir denetim günlüğüne (Audit-Log) sahiptir. Hangi kullanıcının (müşteri, ekip üyesi, ajans) hangi zamanda kontrol panelinde hangi değişiklikleri yaptığı (örn. banner metinlerinin değiştirilmesi, çerez kategorilerinin uyarlanması) her zaman izlenebilir.
• Ayrıştırma kontrolü: Farklı amaçlarla toplanan veriler ayrı ayrı işlenir. Üretim, test ve geliştirme ortamları birbirinden sıkı bir şekilde izole edilmiştir.

d) Kullanılabilirlik ve Dayanıklılık (GDPR Madde 32, Paragraf 1, b ve c)

• Kullanılabilirlik: İşlemci, sistemlerin kullanılabilirliğini sağlamak için sektörde yaygın olan uygun önlemleri alır (Hetzner Online GmbH'da barındırma). Ancak, açık bir SLA kullanılabilirliği garanti edilmez ve altyapıda tam bir yedeklilik bulunmaz.
• Yük kapasitesi: Sistem mimarisi, beklenen oturum hacimlerinin kural olarak güvenilir bir şekilde işlenebileceği şekilde tasarlanmıştır. Ancak, özel bir yük dengeleme veya otomatik ölçeklendirme mekanizmaları (Auto-Scaling) kullanılmamaktadır.
• Geri yükleme: İşlemci, teknik bir olay durumunda verilerin geri yüklenmesini sağlamak için uygun önlemleri (ör. veritabanlarının düzenli yedeklenmesi) alır. Ancak, kayıpsız geri yükleme garantisi yoktur; bu nedenle, sorumlu kişi, kendi sorumluluğu altında mevcut dışa aktarma işlevlerini kullanmakla yükümlüdür.

e) Düzenli denetim prosedürleri (GDPR Madde 32, Paragraf 1, d bendi)

• Veri işleyen, alınan teknik ve organizasyonel önlemlerin etkinliğini düzenli olarak dahili olarak denetler.
• Yasal çerçeve içinde olası olaylara müdahale edebilmek için güvenlik olaylarına müdahale (Incident-Response) konusunda iç süreçler mevcuttur.
• TOM'lar sürekli bir iyileştirme sürecine tabidir.

8.3 TOM'ların uyarlanması Teknik ve organizasyonel önlemler, teknik ilerlemelere ve gelişmelere tabidir. İşlemci, belirlenen önlemlerin güvenlik seviyesinin altına düşülmemesi koşuluyla, alternatif uygun önlemleri uygulamaya yetkilidir. Önemli değişiklikler, sorumlu kişiye yazılı olarak bildirilmelidir.

§ 9 Alt İşlemciler

9.1 Alt işleyicilerin görevlendirilmesi Sorumlu, işleyiciye bu vesileyle, başka işleyicileri (alt işleyiciler) dahil etmek için genel yazılı izin (GDPR Madde 28, Paragraf 2) vermektedir. İşlemci, alt işleyicileri özenle seçtiğinden ve bu kişileri sözleşmeyle bu sözleşmede belirlenen aynı veri koruma yükümlülüklerine tabi kıldığından emin olur (GDPR Madde 28, Paragraf 4).

9.2 Halihazırda onaylanmış alt işleyiciler Sözleşmenin imzalandığı tarihte, aşağıdaki alt işleyiciler Biscotti CMP hizmetlerinin sunulması için faaliyet göstermektedir ve sorumlu tarafça onaylanmış sayılmaktadır. İşlemci, AB veri koruma seviyesini korumak amacıyla ABD'li sağlayıcılar nezdinde ilgili AB şubesinin sözleşme ortağı olarak hareket etmesini sağlamıştır:

9.3 Üçüncü Ülkelere Aktarım Avrupa Birliği (AB) veya Avrupa Ekonomik Alanı (AEA) dışındaki alt işleyiciler tarafından işleme gerçekleştiriliyorsa (örn. Resend), işleyici, GDPR'nin 44. maddesi ve devamındaki maddelerde belirtilen özel koşulların yerine getirildiğinden emin olur. Bu, genellikle AB Komisyonu'nun güncel Standart Sözleşme Maddeleri'nin (SCC'ler) imzalanması, bir Aktarım Etki Değerlendirmesi (Transfer Impact Assessment) ve ek teknik önlemlerin (örn. şifreleme) uygulanmasıyla gerçekleştirilir.

9.4 Yeni alt işleyicilerin değiştirilmesi veya devreye alınması İşlemci, alt işleyicilerin devreye alınması veya değiştirilmesine ilişkin her türlü planlanan değişikliği sorumlu tarafa bildirecektir. Bildirim, planlanan değişiklikten en az 30 gün önce yazılı olarak (örneğin, hesapta kayıtlı adrese e-posta yoluyla) yapılır. Veri sorumlusu, veri koruma mevzuatına ilişkin önemli bir neden olması halinde, bildirimin alınmasından itibaren 14 gün içinde değişikliğe itiraz edebilir. İtirazda bulunulmaması halinde, değişiklik onaylanmış sayılır. İşlemcinin makul önlemlerle gideremediği haklı bir itiraz olması durumunda, sorumlu kişi, değişikliğin yürürlüğe girdiği tarihte ana sözleşmeyi olağanüstü olarak feshetme hakkına sahiptir.

§ 10 İlgili Kişilerin Haklarına İlişkin Destek

10.1 Destek yükümlülüğü İşlemci, mümkün olduğunca uygun teknik ve organizasyonel önlemler alarak, veri sorumlusunun GDPR'nin III. Bölümünde belirtilen veri sahiplerinin haklarının (GDPR Madde 15 ila 22) kullanılması taleplerine cevap verme yükümlülüğünü yerine getirmesine destek olur (GDPR Madde 28, Paragraf 3, e bendi).

10.2 Biscotti CMP'de teknik uygulama Biscotti CMP, veri sorumlusuna yükümlülüklerini yerine getirmesi konusunda teknik destek sağlamayı amaçlamaktadır:

• Bilgi edinme hakkı (GDPR Madde 15) ve veri taşınabilirliği hakkı (GDPR Madde 20): Yazılım, veri dışa aktarma seçenekleri (ör. CSV olarak) sunar veya belirli onay kimliklerinin dışa aktarılması, veri koruma kurallarına uygun olarak destek ekibinden talep edilebilir.
• İptal hakkı (GDPR Madde 7, Paragraf 3): Biscotti CMP'nin onay başlığı, son kullanıcılara yapılan ayarları görüntüleme ve istedikleri zaman iptal etme işlevi sunar.
• Silme hakkı (GDPR Madde 17): Toplanan veriler, kontrolör tarafından kontrol panelinde sağlanan işlevler aracılığıyla silinebilir veya destek ekibine kanıtlanabilir bir şekilde silinmesi talep edilebilir.

10.3 Taleplerin iletilmesi Bir veri sahibi haklarını doğrudan işleyiciye karşı kullanırsa, işleyici talebe kendi başına cevap vermez, ancak mevcut verilere dayanarak veri sahibinin sorumlu kişiye atfedilebilmesi durumunda, veri sahibini derhal sorumlu kişiye yönlendirir. İşleyici, talebi derhal sorumlu kişiye iletir.

§ 11 DSFA ve bildirim yükümlülükleri konusunda destek

11.1 Veri Koruma Etki Değerlendirmesi (GDPR Madde 35) Veri işleyen, işleme türü ve elindeki bilgileri dikkate alarak, GDPR Madde 35 uyarınca bir veri koruma etki değerlendirmesi (DSFA) yapılmasında ve gerekirse denetim makamına önceden danışılmasında (GDPR Madde 36) veri sorumlusuna destek sağlar.

11.2 Kişisel Verilerin Korunmasına İlişkin İhlallerin Bildirilmesi İşlemci, işleme göre işlenen verileri etkileyen her türlü kişisel verilerin korunmasına ilişkin ihlali (veri ihlali), derhal, ancak en geç bunu öğrendikten sonra 48 saat içinde, yazılı olarak sorumlu kişiye bildirmekle yükümlüdür.

§ 12 Verilerin silinmesi ve iadesi

12.1 Sözleşme Sona Ermesinden Sonra Silme İşleme hizmetlerinin sunulmasının tamamlanmasından sonra (ana sözleşmenin sona ermesi) işleyen, sorumlu kişinin tercihine göre, Birlik hukuku veya üye devletlerin hukuku (örneğin, HGB ve AO'ya göre ticaret ve vergi hukuku saklama yükümlülükleri) uyarınca kişisel verilerin saklanması konusunda bir yükümlülük bulunmadıkça, tüm kişisel verileri silmek veya iade etmekle yükümlüdür.

12.2 Biscotti CMP'nin standart süreci Sorumlu, aksi yönde bir talimat vermedikçe, aşağıdaki standart süreç geçerlidir: Sorumlu, sözleşme sona ermeden önce verilerini Dışa Aktar (CSV) işlevini kullanarak bağımsız olarak yedekleme olanağına sahiptir. Fesih yürürlüğe girdikten ve fatura dönemi sona erdikten sonra, Sorumlunun hesabı devre dışı bırakılır. Hesapta saklanan kişisel veriler, yanlışlıkla bir alt sürüme geçilmesi durumunda geri yüklemeyi mümkün kılmak için 30 günlük bir geçiş süresi (saklama süresi) boyunca tutulur. Bu 30 günün sonunda veriler, geri alınamaz bir şekilde ve veri koruma kurallarına uygun olarak üretim sistemlerinden silinir.

12.3 Silme Onayı İşlemci, sorumlu kişinin açık talebi üzerine, verilerin veri koruma kurallarına uygun olarak silindiğini yazılı olarak teyit eder.

§ 13 Denetim Hakları ve Denetimler

13.1 Denetim Hakkı İşlemci, sorumlu kişiye, GDPR Madde 28'de ve bu sözleşmede belirtilen yükümlülüklerin yerine getirildiğini kanıtlamak için gerekli tüm bilgileri sağlar. İşlemci, sorumlu kişi veya sorumlu kişi tarafından görevlendirilmiş ve gizlilik yükümlülüğü bulunan bir denetçi tarafından gerçekleştirilen denetimlere (incelemeler dahil) izin verir ve bunlara katkıda bulunur.

13.2 Denetimlerin Yürütülmesi Veri merkezlerinin güvenliğini ve diğer müşterilerin verilerinin gizliliğini (müşteri ayrımı) tehlikeye atmamak için, taraflar denetimler için aşağıdaki prosedürü kararlaştırır:

• Sorumlu, denetim hakkını öncelikle anlamlı sertifikaların (örn. ISO 27001) talep edilmesi ve değerlendirilmesi veya IT güvenliği ile ilgili ayrıntılı anketler yoluyla kullanacaktır.
• Bu bilgiler yeterli olmazsa, Sorumlu, Campcruisers GmbH'nin işyerinde (Berliner Str. 21 B, 14612 Falkensee) yerinde bir denetim yapma hakkına sahiptir.
• Yerinde denetimler, makul bir süre önceden (genellikle en az 14 gün) bildirilmelidir.

§ 14 Sorumluluk ve Tazminat

14.1 Dış İlişki (İlgili Kişilere Karşı) Zararın tazmininden, sorumlu kişi ve işleyici, GDPR'nin 82. maddesi uyarınca ilgili kişiye karşı sorumludur. İşleyici, işleme nedeniyle ortaya çıkan zarardan, yalnızca GDPR'den doğan yükümlülüklerini yerine getirmediği veya sorumlu kişinin yasal olarak verdiği talimatlara aykırı davrandığı takdirde sorumludur.

14.2 İç İlişki (Taraflar Arasında) İç ilişkide, taraflardan biri, zararın meydana gelmesine neden olan durumdan hiçbir şekilde sorumlu olmadığını kanıtladığı takdirde, taraflar birbirlerini sorumluluktan muaf tutarlar.

14.3 Ana sözleşmeden kaynaklanan sorumluluk sınırlaması Buna ek olarak, ana sözleşmenin (GŞK) sorumluluk hükümleri de geçerlidir. Hafif ihmalden kaynaklanan sorumluluk hariç tutulur; ancak, bu durum temel sözleşme yükümlülüklerinin (kardinal yükümlülükler) ihlali ile ilgili değilse. Bu durumda sorumluluk, sözleşmeye özgü, öngörülebilir zararla sınırlıdır.

§ 15 Son Hükümler

15.1 Yazılı Şekil ve Değişiklikler Bu sözleşmedeki değişiklikler ve eklemeler yazılı olarak (örn. e-posta) yapılmalıdır. Veri işleyen, değişen yasal durumlara veya teknik gelişmelere uyum sağlamak amacıyla bu sözleşmeyi değiştirme hakkını saklı tutar. Veri sorumlusu, değişiklikler hakkında e-posta yoluyla bilgilendirilir.

15.2 Öncelik Sırası Bu Veri İşleme Sözleşmesinin münferit hükümleri, ana sözleşmenin (GŞK) hükümleriyle çelişirse, veri koruma ve veri güvenliği ile ilgili olarak bu Veri İşleme Sözleşmesinin hükümleri önceliklidir.

15.3 Kurtarma Hükmü Bu sözleşmenin tek tek hükümleri geçersiz veya uygulanamazsa veya geçersiz ya da uygulanamaz hale gelirse, bu durum diğer hükümlerin geçerliliğini etkilemez. Taraflar, geçersiz veya uygulanamaz hükmü geçerli ve uygulanabilir bir hükümle değiştirmekle yükümlüdür.

15.4 Uygulanacak hukuk ve yargı yeri Bu sözleşme, BM Satış Hukuku hariç olmak üzere, münhasıran Almanya Federal Cumhuriyeti hukukuna tabidir. Yasal olarak izin verildiği ölçüde, bu sözleşmeden kaynaklanan veya bu sözleşmeyle ilgili tüm ihtilaflar için münhasır yargı yeri, veri işleyicinin merkezi (Falkensee) olacaktır. Sözleşmenin dili Almancadır.