Veri İşleme Sözleşmesi

Bu belge birden fazla dilde yayımlanmaktadır. Dil sürümleri arasında herhangi bir uyuşmazlık olması halinde Lehçe sürüm bağlayıcıdır.

Sürüm 2.2 · Son güncelleme: 29 Ekim 2026

Genel Veri Koruma Tüzüğü (GDPR) Art. 28 uyarınca bir veri sorumlusu adına kişisel verilerin işlenmesine ilişkin sözleşme

veri sorumlusu olarak formexposed Müşterisi (“Müşteri”) ile veri işleyen olarak LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (Polonya vergi kimlik numarası) 7252266190 (“biz”) arasında.

Ön açıklamalar: bu Sözleşmenin konusu

formexposed, web sitelerinin iletişim formlarını spam ve kötüye kullanıma karşı korunmaları bakımından kontrol eder, izler ve değişiklikleri bildirir. Bu süreçte oluşan verilerin çoğunda veri sorumlusu biziz: müşteri hesabı, faturalandırma, Hizmetin güvenliği, günlükler ve hesapsız kontroller için. Gizlilik Politikamız bu işlemeyi açıklar; bu Sözleşme ona uygulanmaz.

Ancak bazı işlevler, üçüncü kişilerin kişisel verilerini Hizmete taşır ve bu veriler hakkında karar veren Müşteridir: web sitesinin ziyaretçilerinden gelen gerçek başvuruların kopyaları, uyarılarını alan kişilerin adresleri, bir test hesabının giriş bilgileri, üzerinde çalışmamız için bize verdiği kod. Bu verileri yalnızca Müşteri adına işleriz. Bu Sözleşme bunlara uygulanır. Bu işlevlerin ayrıntıları Sözleşmenin sonundaki Ek 1'de belirtilmiştir.

Sözleşme Art. 28(3) GDPR hükümlerini izler ve yapı ve içerik bakımından Avrupa Komisyonunun veri sorumluları ile veri işleyenler arasındaki standart sözleşme maddelerini ((AB) 2021/915 sayılı Uygulama Kararı) örnek alır. Bunları kelimesi kelimesine benimsemek yerine gerçek Hizmeti açıklar. Art. 28 GDPR kapsamındaki bir yükümlülüğü daha ayrıntılı düzenlediğimizde Tüzüğün koruma düzeyinin altına inilmemelidir.

§ 1 Konu, kapsam ve roller

(1) Bu Sözleşmenin konusu, Hizmet Koşullarımız kapsamında Hizmeti sunarken kişisel verileri Müşteri adına işlememizdir. İşlemenin konusu, niteliği ve amacı, kişisel veri türleri ve ilgili kişi kategorileri her işlev için Ek 1'de belirtilir.

(2) Bu Sözleşme, veri sorumlusu biz olduğumuz işlemeleri kapsamaz; özellikle müşteri hesabı ve çalışma alanı üyeleri, giriş ve hesap güvenliği, faturalandırma, destek, günlükler, bize ait bu verilerin yedekleri, hesapsız ücretsiz kontrol, Müşterinin henüz kontrol kanıtı sunmadığı hesaptaki alan adlarının kontrolleri, potansiyel müşteri kontrolü, araştırma, rozet ve WordPress eklentisi ile TYPO3 uzantısının ilettiği veriler: günlük sayılar, eklenti envanteri ve bağlı bir WordPress eklentisi için toplu koruma amacıyla engellenen mesajlardaki bağlantıların alan adları (varsayılan olarak etkin). Bu uzantıların yapısı gereği bu veriler bunun ötesinde ziyaretçilerin içeriklerini, adlarını, adreslerini veya IP adreslerini içermez. Buna karşılık Müşteri Verileri içerdikleri ölçüde yedekler ve işletim, sorun giderme ve güvenlik amacıyla Müşteri Verilerine erişim, Müşteri adına işlemenin parçasıdır; bunlara § 7(3) ve § 15(5) uygulanır.

(3) Ek 1'deki veriler için Müşteri, Art. 4(7) GDPR anlamında veri sorumlusudur. Müşterinin kendisi, örneğin müşterileri için çalışan bir ajans olarak, üçüncü bir kişi için veri işleyen sıfatıyla hareket ediyorsa biz bu veriler bakımından alt veri işleyeniz. Bu durumda Müşteri, bu Sözleşmenin kendi sözleşmesinden doğan yükümlülüklerle uyumlu olmasını sağlar ve üçüncü kişinin talimatlarını bize yalnızca kendi aracılığıyla iletir.

(4) Akdedilme: Sözleşme, Ek 1'deki işlevlerden hiçbirini kullanmasa bile her Müşteriyle kayıt sırasında Hizmet Koşullarıyla birlikte akdedilir. Elektronik olarak akdedilir; bu, Art. 28(9) GDPR gereğini karşılar. Bu amaçla gösterilen sürümü, sağlama toplamını ve kabulün zamanını, IP adresini ve tarayıcı tanımlayıcısını saklarız.

§ 2 Tanımlar

“Kişisel veriler”, “işleme”, “veri sorumlusu”, “veri işleyen” ve “kişisel veri ihlali” gibi terimler Art. 4 GDPR hükümlerindeki anlamı taşır. Ayrıca:

Müşteri Verileri, Ek 1 kapsamında Müşteri adına işlediğimiz kişisel verilerdir.
Alt veri işleyen, görevlendirdiğimiz ve bu sırada Müşteri Verilerini işleyen ek bir veri işleyendir (Art. 28(2) ve (4) GDPR).
Çalışma alanı, Hizmet içinde Müşterinin alan adlarını, ayarlarını ve üyelerini yönettiği alandır. Tüm Müşteri Verileri bir çalışma alanına atanır.
Metin biçimi, kalıcı bir ortamda, özellikle e-postayla yapılan okunabilir her türlü beyandır.
Günler, takvim günleridir. Bir sürenin sonu cumartesi, pazar veya Polonya'da resmî tatile denk gelirse süre bir sonraki iş gününde sona erer.

§ 3 Süre

(1) Sözleşme, Müşteri Verilerini işlediğimiz sürece geçerlidir. Kayıtla başlar ve yalnızca ücretli plan sona erdi diye sona ermez: iptalden sonra hesap ücretsiz hesap olarak devam eder ve varsa Müşteri Verileri de onunla birlikte devam eder. Hesap silindiğinde ve süresi dolana kadar yedeklerde bulunanlar dışında Müşteriye ait hiçbir Müşteri Verisini artık tutmadığımızda sona erer (§ 15).

(2) Nitelikleri gereği etkisini sürdüren yükümlülükler, özellikle gizlilik, silme, kanıtlama ve sorumluluk, sona ermeden sonra da devam eder.

(3) Hesap mevcut olduğu sürece bu Sözleşme olmadan Müşteri Verileri işlenemeyeceği için yalnızca bu Sözleşmenin olağan feshi mümkün değildir. Müşteri onu sona erdirmek istiyorsa hesabını siler (§ 15(3)). § 9(3) ve § 16 kapsamındaki fesih hakları ile Hizmet Koşullarındaki fesih hakları bundan etkilenmez.

§ 4 Talimatlar

(1) Müşteri Verilerini, üçüncü bir ülkeye veya uluslararası bir kuruluşa aktarım dahil olmak üzere yalnızca Müşterinin belgelenmiş talimatları üzerine işleriz. Tabi olduğumuz Birlik veya Üye Devlet hukukunun işlemeyi zorunlu kıldığı durumlar bunun dışındadır. Bu durumda, ilgili hukuk önemli kamu yararı gerekçeleriyle böyle bir bilgilendirmeyi yasaklamadıkça, işlemeden önce bu hukuki zorunluluk hakkında Müşteriyi bilgilendiririz (Art. 28(3), ikinci cümle, (a) bendi GDPR).

(2) Müşterinin talimatları bu Sözleşmede, Hizmet Koşullarında ve Müşterinin Hizmette yaptığı ayarlarda eksiksiz olarak belgelenir. Örnekler: gönderim kontrolünün kurulması, form e-postalarının kopyalarını kabul etme ve değerlendirme talimatıdır; bir uyarı hedefi oluşturulması, oraya bildirim gönderme talimatıdır; bir test hesabının saklanması, giriş sonrasındaki tarama için onunla giriş yapma talimatıdır. Hizmet yalnızca bu ayarların öngördüklerini yapacak şekilde yapılandırılmıştır.

(3) Müşteri ek talimatları metin biçiminde contact@lukaswojcik.com adresine veya destek penceresi üzerinden verir. Çalışma alanının sahibi ve yöneticileri talimat vermeye yetkilidir; Hizmetteki ayarlar yoluyla verilen talimatları, rolünün ilgili ayarı yapmasına izin verdiği kişi verir. Müşteri sözlü talimatı gereksiz gecikme olmaksızın metin biçiminde teyit eder; talimat verilerin silinmesi veya kısıtlanmasıyla ilgili değilse o zamana kadar uygulamayı bekletebiliriz. Kararlaştırılan hizmet kapsamını aşan talimatları hizmet değişikliği talebi olarak ele alırız; reddedebilir veya önceden metin biçiminde belirttiğimiz bir ücrete tabi tutabiliriz. Silme gibi GDPR kapsamındaki bir yükümlülükle ilgili talimatı bu gerekçeyle reddetmeyiz.

(4) Bize göre bir talimat hukuku ihlal ediyorsa Müşteriyi derhâl bilgilendiririz (Art. 28(3), ikinci alt paragraf, GDPR). Müşteri talimatı teyit edene veya değiştirene kadar uygulanmasını askıya alabiliriz. Açıkça hukuka aykırı bir talimatı uygulamayız. Her talimat için kapsamlı hukuki inceleme yapmakla yükümlü değiliz; hukuka uygunluğundan Müşteri sorumlu olmaya devam eder.

§ 5 Amaçla sınırlılık ve Müşteri Verileriyle yapmadıklarımız

(1) Müşteri Verilerini yalnızca Ek 1'deki amaçlarla ve yalnızca ilgili işlevin gerektirdiği ölçüde işleriz.

(2) Müşteri Verilerini kendi amaçlarımız için kullanmayız. Özellikle reklam amacıyla analiz etmez, satmaz, profil oluşturmak üzere diğer müşterilerin verileriyle birleştirmez ve dil modellerini eğitmek için kullanmayız. Belirli işlevlere yardımcı olan dil modeli kendi sunucumuzda çalışır; haricî bir AI hizmetine hiçbir şey gönderilmez.

(3) Müşteri, Müşteri Verilerinden artık hiçbir kişiyle, müşteriyle veya alan adıyla ilişkilendirilemeyecek toplu sayılar, örneğin teslimat, hata veya kontrol sonuçlarına ilişkin sayılar derlememize izin verir. Toplulaştırma bu Sözleşme kapsamındaki işlemedir; ortaya çıkan sayılar artık kişisel veri veya Müşteri Verisi değildir. Bunlardan kişilerin kimliğini yeniden belirlemeye çalışmayız.

§ 6 Müşterinin yükümlülükleri

(1) Müşteri, bize talimat verdiği işlemenin hukuka uygunluğundan sorumludur. Buna bir hukuki dayanağın bulunması ve ilgili kişilerin Art. 13 ve 14 GDPR kapsamında bilgilendirilmesi dahildir.

(2) Müşteri gönderim kontrolünü kullanıyorsa gizlilik politikasında web sitesi ziyaretçilerine form e-postasının bir kopyasının bize gönderildiğini bildirir. Hizmet bunun için alan adının sayfasında önerilen bir metin gösterir; ek metin blokları Web Siteniz İçin Gizlilik Politikası Metni sayfasında bulunur. Öneri, Müşterinin kendi değerlendirmesinin yerine geçmez.

(3) Giriş sonrasındaki tarama için Müşteri, yalnızca belirtilen sayfaları okumak için gerekli haklara sahip olan ve müşterilerin, hastaların, üyelerin veya çalışanların hiçbir gerçek verisini göstermeyen özel bir test hesabı oluşturur. Gerçek bir kişinin giriş bilgilerini veya kullanma yetkisi bulunmayan giriş bilgilerini saklamaz. Kullanım kuralları Kabul Edilebilir Kullanım ve Kötüye Kullanım sayfasında da belirtilir.

(4) Müşteri, kaçınabildiği ölçüde Hizmet aracılığıyla özel nitelikli kişisel verilerin (Art. 9 GDPR) veya mahkûmiyetlere ilişkin verilerin (Art. 10 GDPR) işlenmesini sağlamaz. “Fix it for me” kullanırken gerçek kişisel veri içeren kod yapıştırmaz ve müşteri portallarını yalnızca raporu sipariş etmiş kişiler için oluşturur.

(5) Müşteri portalları: abonelere gönderilen aylık rapor için veri sorumlusu genellikle bir ajans olan Müşteridir. Hizmet her abonenin teyidini bir teyit bağlantısıyla alır (double opt-in) ve her e-postada abonelikten çıkma olanağı sunar. Rızanın raporun içeriğini kapsayıp kapsamadığını değerlendirmek Müşteriye aittir.

(6) Müşteri işlemede hata veya usulsüzlük tespit ederse bizi gereksiz gecikme olmaksızın bilgilendirir.

(7) Müşteri rozeti eklerse bu onun adına veri işleme değildir; ilgili işleme Gizlilik Politikamızda açıklanır. Müşteri bunu gizlilik politikasında belirtir.

§ 7 Gizlilik

(1) Müşteri Verilerine yalnızca görevleri için buna ihtiyaç duyan ve gizlilik taahhüdünde bulunmuş veya uygun bir kanuni gizlilik yükümlülüğüne tabi kişilere erişim veririz (Art. 28(3), ikinci cümle, (b) bendi GDPR). Taahhüt, çalışmaları sona erdikten sonra da devam eder.

(2) Şu anda Hizmeti işletme sahibi kendisi yürütür. Ek kişiler katılırsa ilk erişimlerinden önce gizlilik yükümlülüğüne bağlanır ve kişisel verilerin işlenmesi konusunda bilgilendirilirler.

(3) Bir çalışma alanına yalnızca işletim, sorun giderme, destek veya kötüye kullanımın önlenmesi için gerekli olduğu ölçüde bakarız. “Müşteri olarak görüntüle” destek işlevi bir saatle sınırlıdır, parola, adres, ikinci faktör, abonelik, dışa aktarma ve silme değişikliklerini engeller ve günlüğe kaydedilir; Müşteri erişimi veri dışa aktarımında görür.

§ 8 İşleme güvenliği

(1) Art. 32 GDPR kapsamında riske uygun güvenlik düzeyini sağlayan teknik ve organizasyonel önlemleri alırız. Bunlar Teknik ve Organizasyonel Önlemler sayfasında açıklanır. Bu sayfa, ilgili zamanda orada yayımlanan sürümüyle bu Sözleşmenin parçasıdır (Ek 2). Müşteri Sözleşmeyi akdetmeden önce açıklamayı görüntüleyebilmiştir. Önlemlerin, Müşterinin bize emanet ettiği işleme için uygun güvenlik düzeyi sağlayıp sağlamadığını, özellikle Ek 1'deki bir işlevi etkinleştirmeden önce, Müşteri kendi sorumluluğunda değerlendirir (Art. 28(1) GDPR).

(2) Sayfa yalnızca gerçekten uygulanmış önlemleri açıklar. Planlanmış ancak henüz uygulanmamış her şey açıkça “planlandı” olarak işaretlenir ve uygulanana kadar taahhüt ettiğimiz önlemlerin parçası değildir.

(3) Genel koruma düzeyi düşmediği sürece önlemleri teknik ilerlemeye ve Hizmetin gelişimine uyarlayabiliriz. Her değişikliği yeni sürüm numarası ve tarihle sayfada ve Sözleşme Belgelerindeki Değişiklikler genel bakışında yayımlarız. Bir değişiklik, daha önce açıklanan bir önlemi yerine başka bir önlem koymadan kaldırır veya zayıflatırsa ayrıca Müşteriye en az 30 gün önce metin biçiminde bildiririz; Müşteri yeni alt veri işleyen durumunda olduğu gibi itiraz edebilir (§ 9(3)). Bir tehdide karşı önlemin kısa sürede değiştirilmesi gerekiyorsa koruma düzeyi düşmemek kaydıyla bu, önceden bildirim yapılmadan gerçekleştirilebilir; ardından gereksiz gecikme olmaksızın bildirim yapılır.

§ 9 Alt veri işleyenler

(1) Müşteri, alt veri işleyen görevlendirmemiz için bize genel yazılı yetki verir (Art. 28(2) GDPR). Şu anda görevlendirdiğimiz alt veri işleyenler, kayıtlı merkezleri, amaçları, verileri, işleme yerleri ve varsa üçüncü ülkeye aktarım dayanaklarıyla birlikte Alt Veri İşleyenler sayfasında listelenir. Bu liste, orada yayımlanan sürümüyle bu Sözleşmenin parçasıdır (Ek 3). Orada adı belirtilen alt veri işleyenler için yetki verilmiş sayılır.

(2) Planlanan her alt veri işleyen ekleme veya değişimini, en az 30 gün önce hesap sahibinin adresine e-postayla Müşteriye bildiririz. Bildirim alt veri işleyenin adını, kayıtlı merkezini, ilgili işlevi, verileri, işleme yerini ve varsa aktarımın dayanağını belirtir. Aynı zamanda duyurulan değişiklik alt veri işleyenler sayfasında ve değişikliklere genel bakışta gösterilir.

(3) Müşteri, veri korumaya ilişkin nesnel bir nedeni varsa bu 30 gün içinde metin biçiminde itiraz edebilir; itirazında gerekçesini belirtir. Ardından Müşteriyle birlikte, örneğin ilgili işlevi yeni alt veri işleyen olmadan Müşteri için çalıştırmaya devam etmek veya kapatmak gibi bir çözüm ararız. Çözüm bulunana kadar bu Müşterinin Müşteri Verileri için yeni alt veri işleyeni kullanmayız; bu teknik olarak mümkün değilse ilgili işlev Müşteri için askıya alınır. Çözüm bulunamazsa Müşteri Hizmet sözleşmesini veya etkilenen hizmete ilişkin sözleşmeyi değişiklik tarihi itibarıyla feshedebilir; çözümün mümkün olmadığını ancak bu tarihten sonra bildirirsek bu bildirimden itibaren 14 gün içinde derhâl geçerli olmak üzere feshedebilir. Bu nedenle artık kullanamayacağı peşin ödenmiş dönem için orantılı tutarı iade ederiz. Hizmet Koşulları kapsamındaki olağan fesih hakkımız bundan etkilenmez.

(4) Her alt veri işleyene, bu Sözleşmenin bize yüklediği veri koruma yükümlülüklerinin aynısını sözleşmeyle yükleriz; özellikle uygun teknik ve organizasyonel önlemleri uygulamak için yeterli güvenceleri (Art. 28(4), birinci cümle, GDPR). Her alt veri işleyeni özenle seçer ve bu güvencelerin varlığını görevlendirmeden önce, koşullarını önemli ölçüde değiştirirse yeniden ve bunun dışında önlemlerimizin yıllık incelemesinde kontrol ederiz. Bir alt veri işleyen yalnızca sertifika, denetim raporu veya yayımlanmış koşulları biçiminde kanıt sağlıyorsa, güncel ve anlamlı olduğu takdirde kontrolümüzü bu kanıta dayandırırız. Talep üzerine alt veri işleyenle yapılan sözleşmenin veya onun veri koruma koşullarının kopyasını Müşteriye göndeririz; öncesinde ticari sırları ve fiyatlar gibi diğer gizli bilgileri karartabiliriz.

(5) Alt veri işleyen veri koruma yükümlülüklerini yerine getirmezse onun yükümlülüklerinin ifasından Müşteriye karşı kendi davranışımız gibi sorumlu olmaya devam ederiz (Art. 28(4), ikinci cümle, GDPR). Alt veri işleyen seçimimiz Müşteriye herhangi bir sorumluluk aktarmaz. Alt veri işleyen sözleşmesel yükümlülüklerini yerine getirmez ve bu Müşterinin Müşteri Verileriyle ilgiliyse Müşteriyi gereksiz gecikme olmaksızın bilgilendiririz. Bir hukuki halef yükümlülüklerimizi üstlenmeden fiilen ortadan kaybolmuş, hukuken varlığımız sona ermiş veya ödeme aczine düşmüşsek Müşterinin alt veri işleyenden Müşteri Verilerini silmesini ya da iade etmesini isteyebilmesi gerekir; her alt veri işleyenle, izin verdiği ölçüde bunu kararlaştırırız (bkz. 2021/915 standart sözleşme maddelerinin 7.7(e) maddesi).

(6) Yalnızca Müşterinin Hizmette kendisinin hedef olarak ayarlaması nedeniyle veri gönderilen alıcılar alt veri işleyen değildir: uyarılar için sohbet hizmetleri (Slack, Discord, Microsoft Teams, Google Chat gibi) ve webhook adresleri. Hedefin ayarlanması, bildirimi oraya gönderme talimatıdır; bu sağlayıcılarla sözleşme ilişkisi ve üçüncü ülkeye aktarım için gerekli olabilecek dayanak Müşterinin sorumluluğundadır. Bildirimin teslim edildiği noktaya kadar bu Sözleşme kapsamındaki kendi yükümlülüklerimiz bundan etkilenmez. Telegram da Müşterinin seçtiği bir hedeftir; ancak farklı çalışır: mesajı kendi botumuz aracılığıyla alıcının bota kendisinin bağladığı sohbete göndeririz ve Telegram bunu Avrupa Ekonomik Alanı dışında işler. Müşteri Telegram'ı seçerek bildirimleri oraya aktarmamız için açıkça talimat verir (Art. 28(3), ikinci cümle, (a) bendi GDPR); Telegram'ın bu bakımdan alt veri işleyenimiz olarak sınıflandırılması gerekirse bu hedefin seçimi aynı zamanda bu amaç için Art. 28(2) GDPR kapsamında özel yetki sayılır. Bu aktarımın GDPR Bölüm V kapsamında hangi dayanakla yapıldığı henüz kesin olarak çözüme kavuşturulmamıştır; belirlenmiş bir dayanak olmadan aktarım yapılmasını önlemek isteyenler başka bir hedef seçer. İnternet hizmeti sağlayıcımız gibi yalnızca veri ileten hizmet sağlayıcılar da alt veri işleyen değildir.

(7) Dil modeli dahil sunucuları, veri tabanını ve hesaplama kapasitesini Polonya'da kendimiz işletiriz. Barındırma veya bulut sağlayıcısı kullanılmaz.

§ 10 Üçüncü ülkelere aktarımlar

(1) Müşteri Verilerini işlediğimiz kendi sunucularımız Polonya'dadır; bir alt veri işleyenin Müşteri Verilerini işlemesi durumunda konum Ek 3'te belirtilir. Avrupa Ekonomik Alanı dışındaki bir ülkeye aktarım yalnızca Art. 44 ila 49 GDPR koşulları karşılanırsa ve yalnızca § 4 kapsamındaki Müşteri talimatları üzerine veya § 9 kapsamında yetkilendirilmiş bir alt veri işleyene yapılır.

(2) Her alt veri işleyenin dayanağı (sertifikalı alıcılar için AB-ABD Veri Gizliliği Çerçevesine ilişkin karar gibi bir yeterlilik kararı veya Art. 46(2)(c) GDPR kapsamındaki standart sözleşme maddeleri) alt veri işleyenler listesinde belirtilir. Listede bir alıcı için “doğrulanacak” yazıyorsa dayanak belgelenene kadar ona Müşteri Verileri gönderilmez. Geçerli bir yeterlilik kararı olmadan Avrupa Ekonomik Alanı dışında bir alt veri işleyen görevlendirirsek onunla (AB) 2021/914 sayılı Uygulama Kararı kapsamındaki standart sözleşme maddelerini (Modül 3: veri işleyenden veri işleyene) kararlaştırır, önceden hedef ülkenin hukuk ve uygulamalarının bunlara uyulmasına izin verip vermediğini değerlendirir, gerekli ek önlemleri alır ve sonucu kaydederiz. Müşteri talep üzerine bu değerlendirmenin özetini alır.

(3) Müşterinin kendisinin seçtiği hedeflere aktarımlarda (§ 9(6)) dayanaktan Müşteri sorumludur.

§ 11 İlgili kişilerin hakları konusunda yardım

(1) İşlemenin niteliğini dikkate alarak, mümkün olduğu ölçüde uygun teknik ve organizasyonel önlemlerle, ilgili kişilerin GDPR Bölüm III kapsamındaki taleplerine yanıt vermede Müşteriye yardımcı oluruz (Art. 28(3), ikinci cümle, (e) bendi GDPR).

(2) Bunların çoğunu Müşteri Hizmette kendisi yapabilir: uyarı hedeflerini, test girişlerini ve kendi markalamasını değiştirebilir veya silebilir; form akışlarını değiştirebilir veya kapatabilir; müşteri portallarını iptal edebilir (aboneleri çalışma alanı silinene kadar saklanır); bir alan adını verileriyle birlikte kaldırabilir; veri dışa aktarımını indirebilir. Bunlar yeterli değilse metin biçimindeki talep üzerine yardımcı oluruz.

(3) İlgili kişi Müşteri Verileriyle ilgili bir taleple bize başvurursa talebin esası hakkında kendimiz yanıt vermeyiz; Müşteriyi belirleyebildiğimiz ölçüde gereksiz gecikme olmaksızın ve alınmasından itibaren en geç yedi gün içinde talebi Müşteriye iletir ve kişiye bunu yaptığımızı bildiririz. Müşteriyi belirleyemezsek kişiye onu bulmak için hangi bilgilere ihtiyaç duyduğumuzu söyleriz.

(4) Bir sınırlamayı açıkça belirtiriz: gönderim kontrolünden gelen form e-postalarının kopyalarını veri tabanında saklamayız ve e-posta başarılı işlemden sonra veya alma ya da silme hatası durumunda gecikmeli olarak posta kutusundan silinir. Bu nedenle belirli bir ziyaretçi bakımından genellikle yalnızca artık herhangi bir içerik tutmadığımızı söyleyebiliriz.

(5) Müşteri Verilerinin yanlış veya güncelliğini yitirmiş olduğunu öğrenirsek Müşteriyi gereksiz gecikme olmaksızın bilgilendiririz. Müşteri daha sonra Hizmette kendisi veya bize talimat vererek bunları düzeltebilir, silebilir veya kısıtlayabilir.

§ 12 Güvenlik, etki değerlendirmesi ve danışma konusunda yardım

(1) İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak Müşterinin Art. 32 ila 36 GDPR kapsamındaki yükümlülüklerini yerine getirmesine yardımcı oluruz: işleme güvenliği, ihlallerin bildirilmesi ve duyurulması, veri koruma etki değerlendirmesi ve denetim makamına önceden danışma (Art. 28(3), ikinci cümle, (f) bendi GDPR).

(2) Bu amaçla özellikle önlemlerin açıklamasını, alt veri işleyenler listesini ve talep üzerine veri akışları ve saklama süreleri hakkında ek bilgileri sunarız. Hizmetin risklerine ilişkin kendi değerlendirmemizi Veri Koruma Etki Değerlendirmesinde yayımlarız; Müşteri bunu kendi değerlendirmesi için kullanabilir.

(3) Müşterinin Hizmetin işlevleri veya yayımlanmış belgeler aracılığıyla kendisinin sağlayamadığı, takvim yılı başına dört saatten fazla çalışma gerektiren ve bizim bu Sözleşmeyi veya GDPR'yi ihlal etmemizden kaynaklanmayan §§ 11 ve 12 kapsamındaki yardım için, bu süreyi aşan çalışma karşılığında önceden metin biçiminde belirttiğimiz saatlik ücret üzerinden bedel talep edebiliriz. Talepleri iletmek ve ihlalleri bildirmek her zaman ücretsizdir. Kanunen borçlu olduğumuz yardımı ödemeye veya ücret konusunda anlaşmaya bağlamayız.

§ 13 Kişisel veri ihlalleri

(1) Müşterinin Müşteri Verilerini etkileyen bir kişisel veri ihlalinden haberdar olursak Müşteriye gereksiz gecikme olmaksızın, mümkünse 48 saat içinde hesap sahibinin adresine e-postayla bildirimde bulunuruz (Art. 33(2) GDPR). Bunun amacı, Müşterinin denetim makamına karşı uyması gereken 72 saatlik süreyi kısaltmamaktır. Bir güvenlik olayının Müşterinin Müşteri Verilerini etkilediğini makul kesinlikle tespit ettiğimiz anda ihlalden haberdar olmuş sayılırız; her şüpheyi gereksiz gecikme olmaksızın araştırırız. Alt veri işleyendeki bir ihlal için de bize bildirdiği andan itibaren aynısı geçerlidir.

(2) Bildirim, bilindiği ölçüde Art. 33(3) GDPR kapsamındaki bilgileri içerir: meydana geldiği zaman veya dönem dahil ihlalin niteliği, mümkünse etkilenen ilgili kişilerin ve kayıtların kategorileri ve yaklaşık sayısı, ek bilgi için irtibat noktası, olası sonuçlar ve alınan veya önerilen önlemler. İlk bildirim sırasında henüz belirlenmemiş her şeyi daha fazla gereksiz gecikme olmaksızın sunarız.

(3) İhlali gidermek ve sonuçlarını hafifletmek için gerekli önlemleri derhâl alır ve sonraki adımları Müşteriyle kararlaştırırız. Her ihlali olguları, etkileri ve alınan düzeltici önlemlerle birlikte belgeler, talep üzerine belgeleri Müşteriye sunarız.

(4) Denetim makamına bildirim veya ilgili kişilere duyuru Müşteri tarafından yapılır. Biz bunu yalnızca onun talimatıyla yaparız.

(5) Üçüncü kişilerin Hizmette bulduğu güvenlik açıklarına ilişkin bildirimleri Güvenlik sayfasında alırız.

(6) Bu bölüm kapsamındaki bildirim ve iş birliğimiz, bir yükümlülük ihlalinin veya sorumluluğun kabulü değildir. İhlal, veri sorumlusunun biz olduğumuz verileri de etkiliyorsa bu veriler için Art. 33 ve 34 GDPR kapsamındaki kendi yükümlülüklerimizi yerine getiririz; bunu yaparken Müşterinin Müşteri Verilerini yalnızca bu amaç için gerekli olduğu ölçüde açıklarız.

§ 14 Kanıtlama ve denetimler

(1) Art. 28 GDPR kapsamındaki yükümlülüklere uyulduğunu göstermek için gerekli tüm bilgileri Müşteriye sunar; Müşterinin veya görevlendirdiği denetçinin yaptığı, yerinde incelemeler dahil denetimlere izin verir ve katkıda bulunuruz (Art. 28(3), ikinci cümle, (h) bendi GDPR).

(2) Uyumu öncelikle belgelerle gösteririz: önlemlerin açıklaması, alt veri işleyenler listesi, müşteriler adına işlemeyi kapsayan İşleme Faaliyetleri Kayıtları (Art. 30(2) GDPR), soru formlarına yazılı yanıtlar ve talep üzerine günlüklerden veya geri yükleme testi sonuçlarından alıntılar. Soru formlarını alınmasından itibaren 30 gün içinde, 4. fıkra kapsamında bir neden varsa bu nedenin gerektirdiği hızda yanıtlarız. Şu anda haricî denetim raporu veya sertifika bulunmamaktadır; kimsenin bunların var olduğunu varsaymaması için bunu belirtiriz.

(3) Belgeler yeterli değilse Müşteri yerinde denetim dahil bir denetim isteyebilir. Müşteri rutin denetimi en az 30 gün önce, konusunu, beklenen süresini ve denetçisini belirterek metin biçiminde bildirir; denetim Polonya'daki normal çalışma saatlerinde yapılır ve işletimi gereksiz yere aksatmayacak şekilde planlanır. Rutin yerinde denetimler takvim yılı başına en fazla bir kez yapılır; 4. fıkra bundan etkilenmez.

(4) Acil neden varsa sabit bekleme süresi yoktur. Kişisel veri ihlalinde, bu Sözleşmenin veya GDPR'nin ihlal edildiğine ilişkin somut belirtiler varsa ve bir denetim makamı denetim talep ederse ne 30 günlük ön bildirim süresi ne de yılda bir denetim sınırı uygulanır. Denetim, nedenin gerektirdiği ve organizasyon açısından mümkün olan en kısa sürede yapılır.

(5) Müşteri, gizlilik yükümlülüğüne bağlı olan ve ne formexposed ile karşılaştırılabilir bir hizmet sunan ne de böyle bir sağlayıcı için çalışan bir denetçi görevlendirebilir. Denetçilerin diğer müşterilerin sırlarını, giriş bilgilerini veya güvenlik ayrıntılarını yanlarına almamalarını ya da kaydetmemelerini isteyebiliriz. Müşteri ve denetçisi denetim sırasında işletimimiz hakkında öğrendiklerini gizli tutar ve yalnızca bu Sözleşmeye ve GDPR'ye uyumu doğrulamak için kullanır; bunları yetkili denetim makamına, gizlilik yükümlülüğüne bağlı danışmanlara ve kanunun gerektirdiği ölçüde açıklayabilirler. Bu tür düzenlemeler kanuni denetim haklarını boşa çıkarmamalıdır.

(6) Her taraf denetim için kendi masraflarını karşılar. Bir Müşterinin denetim ve soru formları için toplam çalışmamız takvim yılı başına sekiz saati aşarsa, aşan süre için önceden metin biçiminde belirttiğimiz saatlik ücret üzerinden bedel talep edebiliriz; ancak denetim bizim bir ihlalimizi ortaya çıkarırsa veya 4. fıkra kapsamında sorumlu olduğumuz bir nedenle yapılırsa talep etmeyiz. Denetimin kendisini ödemeye bağlamayız.

(7) Denetim makamlarının yetkileri bundan etkilenmez. Bizim için yetkili denetim makamı Kişisel Verileri Koruma Ofisi Başkanıdır (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Her iki taraf, talep üzerine denetim sonuçları dahil bu bölüm kapsamındaki bilgileri yetkili denetim makamına sunar.

§ 15 Silme ve iade

(1) Sözleşme süresince Ek 1'deki saklama süreleri geçerlidir. Bunlar, metinlerde de görünen aynı ayarlara göre silme yapan bir gece işlemiyle uygulanır.

(2) İade ve silme arasında seçim. İşlemenin sona ermesinden sonra Müşteri, Müşteri Verilerini iade mi yoksa silmemizi mi istediğine karar verir (Art. 28(3), ikinci cümle, (g) bendi GDPR). İade, Müşterinin ayarlardan makine tarafından okunabilir bir dosya olarak kendisinin indirebildiği veri dışa aktarımıyla veya metin biçimindeki talep üzerine tarafımızca 30 gün içinde yapılır; ikinci durumda, iade edilebildikleri ölçüde dışa aktarımda bulunmayan Müşteri Verilerini de kapsar (4. fıkra). Silme, verilerini de silen alan adı kaldırma işlemiyle veya Müşterinin kendisinin başlattığı hesap silmeyle gerçekleşir. Müşteri hem iade hem silme istiyorsa önce dışa aktarımı indirir ve sonra siler.

(3) Müşteri seçim yapmadan hesabını silerse bu, silmeyi seçmesi sayılır. Hesap silindiğinde, Müşterinin tek sahibi olduğu çalışma alanları tüm Müşteri Verileriyle birlikte canlı sistemde derhâl silinir. Çalışma alanının başka üyeleri varsa en uzun süredir üye olan kişiye, yöneticiler okuyuculardan önce gelmek üzere, devredilir ve silinmez; bu üye böylece söz konusu çalışma alanının Müşterisi olur. Bunu istemeyenler silmeden önce diğer üyeleri veya alan adlarını kaldırır. Hesaba ilişkin sözleşme başka şekilde, örneğin Hizmet Koşulları kapsamında bizim feshimizle sona ererse fesih bildirimiyle birlikte Müşteriyi dışa aktarıma yönlendiririz ve Müşteri sözleşmenin sonuna kadar bunu indirebilir. Sözleşmenin sona ermesinden itibaren en geç 30 gün içinde hesabı Müşteri Verileriyle birlikte sileriz; bu şu anda elle yapılmaktadır.

(4) Nelerin iade edilemeyeceğini önceden belirtiriz: web sunucusu şifrelerini çözemediği için giriş sonrasındaki taramanın giriş bilgileri dışa aktarıma dahil değildir (Ek 1, madde 5); gönderim kontrolünün kopyaları işlemden sonra artık mevcut değildir; “Fix it for me” kodu hiç saklanmaz.

(5) Yedekler. Veri tabanı her gece yedeklenir. Her yedek 14 gün sonra silinir. Canlı sistemde silinmiş Müşteri Verileri o zamana kadar eski yedeklerde kalır; bir yedek, belirli bir anın değiştirilmemiş görüntüsü olmak zorunda olduğundan yedek içindeki tekil kayıtlar seçilerek silinmez. Süreleri dolana kadar yedekler veri tabanının kendisi gibi korunur ve yalnızca geri yükleme ve geri yüklemeyi test etme amacıyla kullanılır; aranmaz veya analiz edilmez. Bir yedeği geri yüklememiz gerekirse Hizmet yeniden işletime alınmadan önce, haberdar olduğumuz ölçüde yedeğin tarihinden sonraki silme taleplerini yeniden uygularız. Dolayısıyla bir kayıt, canlı sistemde silinmesinden itibaren en geç 14 gün sonra yedeklerden de kaybolmuş olur.

(6) Mevcut durumda Müşteri Verilerini saklama yükümlülüğümüz yoktur. Birlik veya Polonya hukuku kapsamında kanuni saklama yükümlülüğü doğarsa ilgili verileri silmek yerine kısıtlar, yalnızca bu amaçla kullanır ve yükümlülük sona erdiğinde sileriz.

(7) Talep üzerine silmeyi, 5 ve 6. fıkralar kapsamında nelerin ne zamana kadar mevcut kaldığını belirterek 30 gün içinde metin biçiminde teyit ederiz.

§ 16 İhlaller, askıya alma ve fesih

(1) Herhangi bir nedenle bu Sözleşme kapsamındaki bir yükümlülüğe uyamıyorsak Müşteriyi gereksiz gecikme olmaksızın bilgilendiririz.

(2) Bu Sözleşmeyi veya GDPR'yi ihlal edersek Müşteri, ihlal giderilene kadar ilgili Müşteri Verilerinin işlenmesini askıya almamızı isteyebilir. İhlal devam ederse veya ciddiyse Müşteri Hizmet sözleşmesini haklı nedenle feshedebilir; özellikle ihlalin bildirilmesinden itibaren bir ay içinde gidermediğimizde veya buna ilişkin bir mahkeme ya da denetim makamı kararına uymadığımızda. Sözleşmenin sona ermesinden sonraki dönem için peşin ödenmiş ücretleri orantılı olarak iade ederiz.

(3) Müşteri § 4(4) kapsamında hukuka aykırı bulduğumuz bir talimatta ısrar ederse, Müşteriye önceden bildirmiş olmamız ve onun bir ay içinde talimatı değiştirmemesi kaydıyla etkilenen hizmetin sözleşmesini feshedebiliriz.

(4) Fesihten sonra § 15 uygulanır.

§ 17 Sorumluluk

(1) İlgili kişinin uğradığı zarar için Art. 82 GDPR uygulanır. Bu sorumluluk, Hizmet Koşullarındaki dahil hiçbir sözleşmesel sorumluluk sınırlamasıyla kısıtlanmaz.

(2) Bir taraf Art. 82 GDPR kapsamında ilgili kişiye tazminat ödemişse, zarardan diğer tarafın sorumluluk payına karşılık gelen kısmı ondan geri isteyebilir (Art. 82(4) ve (5) GDPR). Bu rücu da Hizmet Koşullarındaki sorumluluk sınırlamalarıyla kısıtlanmaz.

(3) Bu Sözleşme kapsamında Müşteri ile aramızdaki diğer tüm talepler için, örneğin tarafın kendi zararının veya masraflarının tazmini için, hukukun izin verdiği ölçüde Hizmet Koşullarının sorumluluk kuralları uygulanır. Alt veri işleyenlerden § 9(5) uyarınca kendi davranışımız gibi sorumluyuz. Denetim makamının bir tarafa kendi ihlali nedeniyle verdiği para cezasını o taraf kendisi karşılar.

(4) İlgili kişi veya denetim makamı bir tarafa karşı talepte bulunursa bu taraf diğerini gereksiz gecikme olmaksızın bilgilendirir ve iki taraf konunun açıklığa kavuşturulmasında iş birliği yapar. Taraflardan hiçbiri, diğerine rücu etmeyi planladığı bir talebi onun onayı olmadan kabul etmez; onay nesnel bir neden olmadan reddedilemez.

§ 18 İrtibat noktası ve veri koruma görevlisi

(1) Müşteri, bu Sözleşmeyle ilgili veri koruma sorularını, talimatları ve bildirimleri contact@lukaswojcik.com adresine veya destek penceresi ve İletişim sayfası üzerinden iletir. Bu Sözleşme kapsamındaki bildirimlerimiz hesap sahibinin e-posta adresine gönderilir; Müşteri adresi güncel tutar.

(2) Değerlendirmemize göre Art. 37(1) GDPR koşulları karşılanmadığı için veri koruma görevlisi atamadık. Bu değişirse atamayı bu Sözleşmede duyururuz.

§ 19 Son hükümler

(1) Öncelik. Hizmet Koşullarının veya başka bir anlaşmanın bir hükmü bu Sözleşmeyle çelişirse Müşteri Verilerinin işlenmesiyle ilgili tüm konularda bu Sözleşme önceliklidir; Müşterinin kendi koşulları uygulanmaz. Münferit durumda bu Sözleşmede yapılan değişiklik ve eklemeler metin biçiminde olmalı ve açıkça bu Sözleşmeye atıfta bulunmalıdır; Sözleşmenin parçası olur ve kendi hükümleri ölçüsünde ona göre öncelik taşırlar. Bu Sözleşme GDPR'nin emredici hükümleriyle çelişirse o hükümler önceliklidir.

(2) Değişiklikler. Bu Sözleşmeyi yalnızca şu nesnel nedenlerden biriyle değiştiririz: Avrupa Komisyonunun yeni standart sözleşme maddeleri dahil hukukun veya mahkemeler ve makamlar tarafından yorumlanmasının değişmesi; Hizmetin, işlevlerinin veya teknik temelinin değişmesi; Hizmetin sunulması için gerekli bir üçüncü tarafın değişmesi; kötüye kullanımın veya güvenlik risklerinin önlenmesi; ya da hata ve belirsizliklerin düzeltilmesi. Değişiklikleri değiştirilmiş metni, gerekçeyi ve planlanan tarihi belirterek en az 30 gün önce hesap sahibinin adresine e-postayla ve değişikliklere genel bakışta duyururuz. Bu bildirim süresi olmadan yalnızca Müşterinin yararına olan, tamamen dilsel nitelikte olan veya açık hataları düzelten hususları, bir kanunun, mahkemenin veya makamın daha kısa sürede gerektirdiği hususları ve yakın bir güvenlik riskini önlemek için gerekli olanları değiştiririz; bu durumlarda da değişikliği mümkün olan en kısa sürede bildirir ve gerekçesini belirtiriz. Sessizlik onay oluşturmaz. Değişiklik Müşterinin onayını gerektiriyorsa bunu açıkça alırız; onay olmadan önceki sürüm geçerli olmaya devam eder ve kanuni ve sözleşmesel fesih hakları korunur. Müşteri duyurulan değişikliğe yürürlüğe girene kadar metin biçiminde itiraz edebilir; sonuçlar Hizmet Koşullarının değişikliğe itiraz hükümlerine tabidir. Ek 2 ve 3'teki değişiklikler § 8(3) ve § 9(2) ve (3) hükümlerine tabidir. Tüm sürümler Sözleşme Belgelerindeki Değişiklikler genel bakışında kaydedilir.

(3) Uygulanacak hukuk ve yetkili yer. Hizmet Koşullarında belirlenen hukuk uygulanır; GDPR'nin emredici hükümleri bundan etkilenmez. Yetkili yer Hizmet Koşullarına tabidir.

(4) Dil. Sözleşme Avrupa Birliğinin tüm resmî dillerinde mevcuttur. Farklılıklar durumunda Lehçe sürüm esas alınır.

(5) Bir hüküm geçersizse Sözleşmenin geri kalanı geçerliliğini korur. Geçersiz hükmün yerine amacına en yakın kanuni hüküm; tereddüt halinde Art. 28(3) GDPR gereklerini karşılayan bir hüküm geçer.

Ek 1 – Müşteri adına işleme

Bu Ek her işlev için işlemenin konusunu, niteliğini ve amacını, kişisel veri türlerini, ilgili kişi kategorilerini ve silmeyi açıklar (Art. 28(3), birinci cümle, GDPR). Aksi belirtilmedikçe işlemenin niteliği şudur: toplama, saklama, elde etme, eşleştirme, Müşterinin belirttiği hedeflere iletme ve silme. İşleme yeri Polonya'daki kendi sunucularımızdır; alt veri işleyen kullanılıyorsa bu belirtilir. Süslü parantez içindeki süreler, gece silme işleminin gerçekten esas aldığı ayarlardır. İşlemenin süresi bu Sözleşmenin süresidir (§ 3); bu süre içinde her işlev için belirtilen silme süreleri uygulanır. İşleme, Müşteri işlevi kullandığı sürece devamlı olarak gerçekleşir. Özel nitelikli kişisel veriler işlemenin konusu değildir; buna rağmen form e-postalarıyla Hizmete girerlerse § 6(4) uygulanır.

1. Gönderim kontrolü

Amaç: Müşterinin formundan gelen e-postaların ulaşıp ulaşmadığını ve gerçek olup olmadığını kontrol etmek (SPF, DKIM, DMARC).

Nasıl çalışır: işlev isteğe bağlıdır. Müşteri formunda bir kontrol posta kutusunun adresini gizli kopya (Bcc) olarak girer. Sonuç olarak her form e-postasının bir kopyası bize gönderilir; yalnızca test gönderimlerimizin değil, ziyaretçilerinden gelen gerçek başvuruların da kopyaları. Otomatik alma işlemi IMAP üzerinden üstbilgileri ve metnin en fazla ilk 8 KB'ını okur, e-postayı alan adıyla ve varsa test gönderimiyle eşleştirir ve gerçeklik özelliklerini kontrol eder. Başarılı işlemden sonra e-posta posta kutusundan silinir. Alma veya silme hatasında bir sonraki başarılı işleme kadar posta kutusunda kalabilir.

Veriler: ziyaretçilerin girdiği ad, e-posta adresi, telefon numarası ve mesaj gibi her şey dahil form e-postalarının içeriği ve üstbilgileri; ayrıca gönderen ve alıcı adresleri ve ilgili posta sunucularına ilişkin teknik bilgiler.

İlgili kişiler: formu gönderen Müşterinin web sitesi ziyaretçileri; Müşteri tarafında form e-postalarının alıcıları.

Saklama ve silme: veri tabanında yalnızca zaman, alan adıyla eşleştirme, varsa test gönderiminin tanımlayıcısı ve gerçeklik kontrolünün sonuçları saklanır. Zaman ve eşleştirme 180 gün tutulur; gerçeklik kontrolünün en son sonucu, bir sonraki e-posta onun yerini alana veya alan adı silinene kadar alan adıyla birlikte tutulur. Gerçeklik kontrolü sonucu, e-postayı teslim eden posta sunucusunun IP adresini ve gönderen adresinin alan adını içerir; bir uyarı bu alan adını yalnızca web sitesine ait değilse belirtir. Ziyaretçilerin içerikleri ve tam gönderen adresleri veri tabanında saklanmaz. E-postanın kendisi başarılı işlemden sonra veya alma ya da silme hatasında gecikmeli olarak posta kutusundan silinir.

Dahil olanlar: posta kutusu için posta hizmeti sağlayıcısı (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA); kopyalar ona yönlendirmeyle değil, alan adımızın MX kayıtları üzerinden doğrudan ulaşır; bkz. Alt Veri İşleyenler.

Sınırlama: eşleşme yalnızca ilgili kopyanın kontrol posta kutusuna ulaştığını teyit eder; gerçek alıcının aldığını veya CRM'e kayıt yapıldığını değil. Kontrol posta kutusu olmadan işlev kullanılamaz. Kopyalar özel nitelikli kişisel veri içermemelidir (§ 6(4)).

2. Müşteri portalı ve abonelere aylık rapor

Amaç: Müşteri adına, genellikle bir ajansın kendi müşterilerine, bir web sitesinin formları hakkında aylık rapor göndermek ve bu raporların bulunduğu bir portal sunmak.

Veriler: e-posta adresi, dil, aboneliğin zamanı ve IP adresi, teyit (double opt-in) ve abonelikten çıkma zamanı; raporun içeriği (alan adı, kontrol sonuçları, sayılar).

İlgili kişiler: rapora abone olan Müşterinin müşterileri ve irtibat kişileri.

Silme: teyit edilmemiş abonelikler 30 gün sonra. Abonelikten çıkıldıktan sonra, Müşterinin rızayı kanıtlayabilmesi için abonelik, teyit ve abonelikten çıkma kaydı üç yıl saklanır. Her şey en geç çalışma alanıyla birlikte silinir; yalnızca portalın iptal edilmesi abonelerini silmez.

Dahil olanlar: gönderim için posta hizmeti sağlayıcısı (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).

3. Uyarılar, raporlar ve olaylar

Amaç: uyarıları, özetleri ve raporları Müşterinin ayarladığı hedeflere teslim etmek ve olayları yönetmek.

Veriler: e-posta adresleri, webhook ve sohbet kanalı adresleri, alıcının bağlamasından sonra Telegram sohbet kimliği; bildirimlerin içeriği (alan adı, olay, zaman, Hizmete bağlantı, kontrol uyarılarında sonuç ve ekran görüntülerine giriş yapmadan erişilebilen rapor bağlantısı; Telegram rapor bağlantısı yerine yalnızca hesaptaki alan adı sayfasının giriş gerektiren bağlantısını alır); gönderim günlüğü; olay ve hedef başına üst kademeye iletme teslimat denemeleri (sayı, zamanlar, sonuç, hata); olayı üstlenen kişinin adı veya e-posta adresi ve son tarihle birlikte sorumlu kişi.

İlgili kişiler: uyarıları alan veya olayları ele alan Müşterinin çalışanları ve hizmet sağlayıcıları.

Silme: hedefler Müşteri kaldırana veya alan adını silene kadar; gönderim günlüğü 90 gün sonra; biriktirilen bildirimler gönderimden 30 gün sonra; olaylar çözülene kadar ve çözüldükten sonra 180 gün boyunca, üst kademeye iletme teslimat denemeleriyle birlikte.

Dahil olanlar: e-posta için posta hizmeti sağlayıcısı (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA); sohbet hizmetleri ve webhook'lar için Müşterinin seçtiği sağlayıcılar (§ 9(6)).

4. Müşterinin web sitelerinin kontrolü: tesadüfen görünür olan kişiler

Amaç: Müşterinin kontrol kanıtı sunduğu alan adlarındaki formları ve korumalarını kontrol etmek ve izlemek. Bir alan adının kanıtı eksik olduğu sürece onu yalnızca pasif olarak kontrol ederiz ve bu kontrollerde veri sorumlusu biziz; bu, Gizlilik Politikasında açıklanır.

Veriler: tarama, alan adının herkese açık sayfalarını okur: sayfa adresleri, formların yapısı (alan adları, türler, etiketler, zorunluluk ve görünürlük öznitelikleri, değerler değil; tarayıcı, önceden doldurulmuş gizli alanların ve veri özniteliklerinin başlangıçlarını yalnızca kontrol sırasında okur ve saklamaz), gömülü betikler, koruma önlemleri. Ana sayfanın ve formların görünür alanının, aktif test gönderimlerinde ayrıca yanıt sayfasının ekran görüntülerini alır; karartma yapılmaz. Bunlar ve okunan sayfa içeriği, irtibat kişilerinin adları ve iletişim bilgileri, fotoğraflar veya yorumlar gibi Müşterinin kendisinin yayımladığı kişisel verileri içerebilir. Formların alıcı adreslerini yalnızca alan adı olarak saklarız. Hizmet her kontrol için, kontrol silinene kadar sonuç ve ekran görüntülerine giriş yapmadan erişilebilen rastgele bir bağlantı altında rapor oluşturur; bağlantı hesapta ve uyarılarda görünür (madde 3). Bağlantıyı başkasına ileten kişi raporu da iletmiş olur.

İlgili kişiler: bilgileri Müşterinin web sitesinde görünür olan kişiler.

Silme: ekran görüntüleri dahil kontrol sonuçları en fazla 13 ay; en son kontrol alan adı hesapta bulunduğu sürece tutulur. Alan adı kaldırıldığında kontroller, bulgular ve ekran görüntüleri dahil alan adının verileri silinir.

Not: kendi sunucumuzdaki bir dil modeli, yalnızca kuralların amacını tanıyamadığı formları sınıflandırmaya yardımcı olur. Bu şekilde sınıflandırılan formlar asla gönderilmez ve puana ya da değerlendirmeye dahil edilmez. Aktif test gönderimleri (kontrol başına en fazla beş) yalnızca kişisel veri içermeyen işaretlenmiş test metinleri içerir.

Uygun raporlarda eylem planı. 4. maddede açıklanan doğrulanmış alan adı kontrolleri için yerel dil modelimiz ayrıca ana bilgisayar adından, form sayfası adreslerinden, form türlerinden, CMS bilgilerinden, varsa mevcut risk düzeyi ve puandan, belirlenen bir eklentiden ve seçilmiş başarısız ya da belirsiz bulgulardan kısa bir önceliklendirilmiş eylem planı oluşturabilir. Bu alanlar tesadüfen kişisel veri içerebilir. İstem, ekran görüntüleri, girilmiş form değerleri veya sayfanın tam kaynak kodunu içermez. Plan aynı form koruma kontrolünü destekler, web sitesini değiştirmez ve puanını ya da değerlendirmesini belirlemez. Geçici istek ve yanıtlar, alınana veya bir saatten eski kayıtların zamanlanmış temizliğine kadar dahili iş kuyruğunda tutulur; bu, kesinti sırasında koşulsuz silme garantisi değildir. Alınan plan taramayla birlikte aynı saklama ve silme kurallarına tabi olarak saklanır. 4. maddede doğrulanmamış alan adlarındaki pasif kontroller için belirtilen rol ayrımı geçerliliğini korur.

5. Giriş sonrasında tarama için test hesabının giriş bilgileri

Amaç: Müşterinin belirttiği bir girişin arkasındaki en fazla beş sayfada formları okumak. Yalnızca doğrulanmış alan adları için, yalnızca çalışma alanı sahipleri ve yöneticileri tarafından, yalnızca ücretli planlarda. Test hesabı yalnızca tam kontrolde kullanılır, tarayıcı kontrollerinde kullanılmaz (madde 6).

Veriler: test hesabının giriş adresi, kullanıcı adı ve parolası, giriş alanlarına ilişkin bilgiler; formların yapısıyla ilgili olduğu ölçüde bu hesabın okunan sayfalarda görebildiği her şey.

İlgili kişiler: bir kişiye atanmışsa test hesabının adına tutulduğu kişi; test hesabında bilgileri görünür olan kişiler.

Koruma: kullanıcı adı ve parola web sunucusunda tarama sunucusunun açık anahtarıyla şifrelenir ve alan adına bağlanır. Yalnızca tarama sunucusu tarama sırasında şifrelerini çözebilir; web sunucusu, veri tabanı ve yedekler yalnızca şifreli metin içerir. Giriş bilgileri asla görüntülenmez, günlüğe kaydedilmez veya arayüz üzerinden dışarı verilmez; kullanıcı arayüzü kullanıcı adının yalnızca ilk karakterini ve uzunluğunu gösterir. Giriş sonrasında hiçbir şey gönderilmez, aktif test yapılmaz ve ekran görüntüsü alınmaz; çıkış, silme veya iptal sayfaları ziyaret edilmez.

Silme: Müşteri giriş bilgilerini kaldırana veya alan adını silene kadar; kaldırma işlemi şifreli metnin üzerine yazar ve bekleyen işleri temizler. Tekil tarama işine eklenen kopya işlemden sonra, kalıntılar ise en geç bir saat sonra temizlenir.

6. Form akışları ve tarayıcı kontrolleri

Amaç: yapılandırılmış formların gerçek bir tarayıcıda gönderimden hemen önceki noktaya kadar çalışıp çalışmadığını düzenli olarak kontrol etmek.

Veriler: form adresleri, seçiciler, önceki tıklamalar ve kontrol adımları, tarayıcı seçimi, sorumlu kişi ve son tarih; durum, teknik hata kategorileri, hassas bilgilerden arındırılmış hata mesajları, süre ölçümleri ve giriş alanları kapatılmış form ekran görüntüsü içeren sonuçlar. Kişiyle ilişki esas olarak sorumlu kişi ve Müşterinin adımlara veya etiketlere kendisinin yazdığı içerik üzerinden doğar.

İlgili kişiler: formların atandığı Müşteri çalışanları.

Silme: yapılandırmalar alan adı silinene kadar; Müşteri bunları tek tek değiştirebilir veya kapatabilir, ancak şu anda tek tek kaldıramaz. Sonuçlar 13 ay sonra.

Sınırlama: tarayıcı kontrolleri hiçbir şey göndermez. Hizmette bağımsız ikinci bir kontrol öngörülmüştür ancak şu anda kurulmamıştır; bu olmadan ikinci bir konumdan teyit yoktur. Bir üçüncü tarafla kurulursa § 9 uygulanır.

7. “Fix it for me”

Amaç: Müşterinin yapıştırdığı form koduna bir koruma bileşeni eklemek.

Veriler: örneğin yorumlarda, örnek değerlerde veya koda sabit yazılmış adreslerde kişisel veri içeriyorsa yapıştırılan kod.

İlgili kişiler: bilgileri kodda bulunan kişiler.

İşleme ve silme: kendi sunucumuzdaki bir dil modeli bileşeni ekler. Kod yalnızca istek süresince işlenir ve saklanmaz. Hizmet, Müşterinin sistemlerinin giriş bilgileri olmadan çalışır ve sunucularına hiçbir şey kurmaz.

8. Kendi markasıyla sunum (white-label)

Amaç: raporlarda ve müşteri portalında Müşterinin markasını göstermek.

Veriler: şirket adı, web sitesi, iletişim bilgileri ve logo; varsa irtibat kişisinin adı ve iletişim bilgileri.

İlgili kişiler: Müşterinin irtibat kişileri.

Silme: Müşteri bilgileri değiştirene veya silene kadar, en geç çalışma alanıyla birlikte.

9. Kişiyle ilişkilendirilmeyen ek sayılar

WordPress uzantısının isteğe bağlı form ve alan hatası sayıları hiçbir giriş, alan adı veya ziyaretçi tanımlayıcısı içermez ve 13 ay saklanır. Form akışları kaydedicisi, adımları Müşterinin tarayıcısında en fazla 15 dakika tutar; yerel günlük sayaçlar web sitesinde en fazla 14 gün kalır. Tablo eksiksiz olsun diye bunları burada listeliyoruz; yapıları gereği Müşteri Verisi değildirler.

10. Form koruması (formconfirmed)

Bu bent yalnızca Müşteri form korumasını etkinleştirirse geçerlidir (Hizmet Koşulları madde 5.7).

Amaç: otomatik gönderimleri tanımak amacıyla Müşterinin web sitelerindeki formlar üzerinden yapılan gönderimlerin değerlendirilmesi.

İşleyiş: Korunan bir form içeren sayfa açıldığında ziyaretçinin tarayıcısındaki bir betik sunucumuzdan imzalı bir görev alır ve bunu çözer (iş kanıtı). Gönderim sırasında Müşterinin sunucusu sonucu doğrulama arayüzümüze sunar. Doğrulama belirtecinin imzasını, yaşını, tek kullanımını ve alan adını, ayrıca doldurma süresi, görünmeyen bir tuzak alan ve aynı kısaltılmış adresten gelen tekrarlanan istekler gibi diğer sinyalleri kontrol ederiz. Müşteri içerik kontrolünü etkinleştirirse, Müşterinin sunucusunun birlikte gönderdiği mesaj metnini bir dil modeli değerlendirir. Önerilen eylem ve gerekçelerle birlikte bir puan döndürülür; gönderime ne olacağına Müşteri karar verir. Çerez, tarayıcıda saklama ve cihaz parmak izi kullanılmaz.

Veriler: görev alınırken ve kontrol sırasında ziyaretçinin IP adresi, sayfanın adresi ve alan adı, zaman bilgileri ve doldurma süresi, tuzak alanın doldurulup doldurulmadığı, web sunucusu günlüğündeki tarayıcı tanımlayıcısı; yalnızca içerik kontrolü etkinse mesaj metni.

İlgili kişiler: Müşterinin web sitelerinde korunan bir form içeren sayfayı açan veya böyle bir formu gönderen ziyaretçiler.

Saklama ve silme: IP adresi yalnızca kısaltılmış olarak (IPv4'te son bayt olmadan, IPv6'da ilk 48 bit) ve her gün değişen bir anahtarla karma değer olarak bir saat süreyle saklanır; kullanılmış doğrulama belirteçleri en fazla on bir dakika; IP adresi ve metin içermeyen kontrol sonuçları (eylem, puan, gerekçeler, alan adı, içerik kontrolünün kategorisi) 30 gün; kişiyle ilişkilendirilmeyen günlük sayılar 400 gün; web sunucusu günlüğü 14 gün. Mesaj metni yalnızca bellekte işlenir; saklanmaz, günlüğe kaydedilmez ve eğitim için kullanılmaz.

Yer: Polonya'daki kendi sunucularımız, dil modeli için kendi donanımımız; ek alt veri işleyen yoktur.

Ek 2 – Teknik ve organizasyonel önlemler

Önlemler Teknik ve Organizasyonel Önlemler sayfasında belirtilir. İlgili zamanda yayımlanan sürümüyle bu Sözleşmenin parçasıdır; değişiklikler § 8(3) hükmüne tabidir.

Ek 3 – Alt veri işleyenler

Yetkilendirilmiş alt veri işleyenler Alt Veri İşleyenler sayfasında listelenir. İlgili zamanda yayımlanan sürümüyle bu Sözleşmenin parçasıdır; değişiklikler § 9(2) ve (3) hükümlerine tabidir.

Lansmandan önce açık kalan konu: planlanan posta hizmeti sağlayıcısı Namecheap, Inc. (Private Email), Phoenix, Arizona, USA olarak belirlenmiştir. Bu kullanım için geçerli veri işleme sözleşmesinin, gerçek işleme yerlerinin ve uygun aktarım dayanağının henüz belgelenmesi gerekmektedir. Bu sürüm ne akdedilmiş bir sözleşmeyi ne de Veri Gizliliği Çerçevesi kapsamındaki sertifikayı teyit eder.

Sürüm

29 Ekim 2026 tarihli sürüm 2.2, sürüm 2.1'in yerine geçer. Değişiklik: Ek 1'de formconfirmed form korumasına ilişkin yeni 10. bent; yalnızca Müşteri bunu etkinleştirirse geçerlidir. Başka hiçbir hüküm değişmez.

22 Ekim 2026 tarihli sürüm 2.1, sürüm 2.0'ın yerine geçer. Değişiklik: farklılıklar durumunda artık Almanca yerine Lehçe sürüm esas alınır; Sözleşme Avrupa Birliğinin tüm resmî dillerinde mevcuttur (dil maddesi). Başka hiçbir hüküm değişmez.

11 Ekim 2026 tarihli sürüm 2.0, 9 Ekim 2026 tarihli sürümün yerine geçer. Değişiklikler: 2021/915 standart sözleşme maddelerine atıfla Art. 28(3) GDPR'yi izleyen yapı; her işlev için eksiksiz Ek 1, artık giriş sonrasındaki taramanın giriş bilgileri, form akışları ve gönderim kontrolünün sınırlamaları da dahil; teknik ve organizasyonel önlemler ile alt veri işleyenler listesi ayrı sayfalardır ve Ek 2 ve 3 olarak Sözleşmenin parçasıdır; iade ve silme arasında seçim, süreleri dolan yedekler ve silme taleplerinin yeniden uygulanması, acil denetimlerde sabit bekleme süresinin olmaması, alt veri işleyenlerden kendi davranışımız gibi sorumluluk.

Nasıl yardımcı olabiliriz?