01Genel Bakış
Bu Veri İşleme Sözleşmesi (DPA), InfoLore Ltd ('Veri İşleyen') ile müşteri kuruluş ('Veri Sorumlusu') arasındaki hizmet sözleşmesinin ayrılmaz bir parçasıdır. InfoLore'un farkındalık programı, phishing simülasyonları, eğitimler ve dark web izleme hizmetleri kapsamında müşteri adına yürüttüğü kişisel veri işleme faaliyetlerini; AB Genel Veri Koruma Tüzüğü (GDPR), Birleşik Krallık GDPR'ı (UK GDPR) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde düzenler.
02Roller ve Sorumluluklar
Müşteri, Veri Sorumlusu sıfatıyla işlemenin amaç ve yöntemlerini belirler. InfoLore, Veri İşleyen sıfatıyla kişisel verileri yalnızca müşterinin belgelenmiş talimatları doğrultusunda işler ve yasaların gerektirdiği durumlar dışında kendi amaçları için kullanmaz. Bir talimatın mevzuata aykırı olduğunu düşünürse müşteriyi derhal bilgilendirir.
03İşlenen Veriler ve Veri Sahipleri
Veri sahipleri, müşterinin çalışanları ve müşterinin programa dahil ettiği diğer kullanıcılardır. İşlenen veri kategorileri: ad, soyad ve kurumsal e-posta adresi; müşteri sağlarsa departman, unvan, yönetici ve telefon bilgisi; phishing, vishing ve smishing simülasyonlarındaki açma, tıklama, form doldurma ve bildirme kayıtları; eğitim atamaları, tamamlama kayıtları ve sınav sonuçları; risk puanları; dark web taramasında kurumsal e-posta adreslerinin yer aldığı tespit edilen sızıntı kayıtları. Özel nitelikli kişisel veri işlenmez. İşlemenin amacı, çalışanların siber güvenlik farkındalığını ölçmek ve geliştirmektir; süresi, hizmet sözleşmesinin süresidir.
04Gizlilik
Kişisel verilere erişen InfoLore personeli ve alt işleyenler yazılı gizlilik yükümlülüğü altındadır. Erişim, yalnızca hizmetin sunulması için gerekli kişilerle sınırlıdır.
05Güvenlik Önlemleri
InfoLore, kişisel verileri korumak için uygun teknik ve idari önlemler uygular: iletimde şifreleme (TLS 1.2+), en az ayrıcalık ilkesine göre erişim kontrolü, her müşteri için ayrı bir kiracı (tenant) ortamı, düzenli güvenlik testleri ve olay müdahale prosedürleri. Hizmet altyapısı, ISO 27001 ve SOC 2 sertifikalı Amazon Web Services üzerinde çalışır. InfoLore, ISO 27001 ilkelerine uygun olarak faaliyet gösterir.
06Alt İşleyenler
InfoLore şu alt işleyenleri kullanır: CanIPhish (Avustralya) simülasyon, yapay zeka destekli eğitim içeriği ve dark web izleme altyapısı için; Amazon Web Services, CanIPhish ortamının müşterinin seçtiği bölgede barındırılması için; Have I Been Pwned (Avustralya), dark web taramasında kurumsal alan adı ve e-posta adresleri için sızıntı sorgusu amacıyla, CanIPhish üzerinden; Google (Google Workspace), müşteriyle yazışma ile raporların hazırlanması ve paylaşılması için; Cloudflare ve Resend, web sitesi altyapısı ve işlemsel e-postalar için. InfoLore, alt işleyenlerle bu DPA'dakilere eşdeğer veri koruma yükümlülükleri içeren yazılı sözleşmeler yapar ve onların yükümlülüklerinden müşteriye karşı sorumlu kalır. Yeni bir alt işleyen eklenmeden en az 30 gün önce müşteri bilgilendirilir; müşteri makul gerekçeyle itiraz edebilir.
07Barındırma Bölgesi ve Veri Aktarımları
Her müşteri için ayrı bir kiracı ortamı açılır ve verilerin saklanacağı AWS bölgesini (ör. Almanya, Birleşik Krallık, Birleşik Arap Emirlikleri, ABD) müşteri hizmet başlangıcında seçer. Destek ve bakım amacıyla verilere InfoLore ve CanIPhish (Avustralya) tarafından uzaktan erişilebilir; bu erişim de bir aktarım sayılır. Aktarımlarda şu güvenceler uygulanır: GDPR kapsamında Avrupa Komisyonu'nun yeterlilik kararları veya Standart Sözleşme Maddeleri; UK GDPR kapsamında Uluslararası Veri Aktarım Sözleşmesi (IDTA) veya Standart Sözleşme Maddelerine UK Eki; KVKK kapsamında, Türkiye'den yurt dışına aktarımlarda Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme. KVKK standart sözleşmesi, imzadan itibaren 5 iş günü içinde aktarımı gerçekleştiren tarafça Kişisel Verileri Koruma Kurumu'na bildirilir.
08İhlal Bildirimi
InfoLore, müşteri verilerini etkileyen bir kişisel veri ihlalini fark ettiğinde müşteriyi gecikmeksizin ve en geç 48 saat içinde bilgilendirir. Bildirim; ihlalin niteliğini, etkilenen veri ve kişi kategorilerini, olası sonuçlarını ve alınan önlemleri içerir. Böylece müşteri, GDPR ve KVKK kapsamındaki 72 saatlik bildirim yükümlülüklerini yerine getirebilir.
09Müşteriye Yardım
InfoLore, veri sahiplerinin erişim, düzeltme, silme ve itiraz taleplerini yanıtlamada, veri koruma etki değerlendirmelerinde ve denetim makamlarıyla yazışmalarda müşteriye makul ölçüde yardımcı olur. InfoLore'a doğrudan ulaşan talepler gecikmeksizin müşteriye iletilir.
10Saklama ve Silme
Hizmetlerin sona ermesinin ardından InfoLore, yasal bir saklama zorunluluğu bulunmadığı sürece müşteri adına işlenen tüm kişisel verileri 30 gün içinde siler veya iade eder. Müşteri, sözleşme süresi boyunca istediği zaman veri silme talebinde bulunabilir.
11Denetim Hakları
Müşteri, bu DPA'ya uyumu doğrulamak için bilgi ve belge talep edebilir. Yerinde denetim; en az 30 gün önceden yazılı bildirimle, yılda en fazla bir kez (bir veri ihlali veya denetim makamı talebi halinde ayrıca), mesai saatleri içinde ve gizlilik yükümlülüğü altında yapılabilir. Alt işleyenler için öncelikle onların bağımsız denetim raporları (ör. AWS ISO 27001 ve SOC 2 raporları) esas alınır.
12İletişim
DPA ile ilgili sorularınız, güncel alt işleyen listesi veya imzalı DPA ve KVKK standart sözleşmesi talebi için [email protected] adresinden bize ulaşabilirsiniz.
InfoLore Ltd · ICO ZC045356 · [email protected]