Veri İşleme Eki

1. Taraflar ve Konu

1.1. Bu Veri İşleme Eki ("Ek"), Yaşar Alkan Anatolia Art Web Hizmetleri ("zuwinasa cloud") ile zuwinasa cloud hizmetlerini kullanan üye ("Üye") arasında akdedilen Hizmet Şartları'nın ayrılmaz parçasıdır.

1.2. Bu Ek, zuwinasa cloud'un hizmetlerin sunulması sırasında Üye adına işlediği kişisel verilere ilişkin olarak tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuat kapsamındaki hak ve yükümlülüklerini düzenler.

1.3. Bu Ek ile Hizmet Şartları arasında kişisel verilerin işlenmesine ilişkin bir çelişki olması hâlinde bu Ek uygulanır.

2. Tanımlar

• Kurul / Kurum: Kişisel Verileri Koruma Kurulu / Kişisel Verileri Koruma Kurumu.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi. Bu Ek kapsamında Üye.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi. Bu Ek kapsamında zuwinasa cloud.
• Alt işleyen: zuwinasa cloud'un hizmetlerin sunulması için kullandığı ve Üye verilerini işleyen üçüncü taraf hizmet sağlayıcı.
• Barındırılan veriler: Üyenin hizmetler üzerinde barındırdığı internet siteleri, veritabanları, e-posta kutuları, dosyalar ve sanal sunucular içindeki kişisel veriler.
• Veri ihlali: Barındırılan verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi.

3. İşlemenin Kapsamı

3.1. Konu ve amaç: Barındırma, e-posta, alan adı ve ilgili teknik hizmetlerin sunulması. Bu kapsamda veriler depolanır ve yedeklenir, e-postalar iletilir ve süzgeçten geçirilir, hizmetlerin güvenliği sağlanır.

3.2. Süre: Hizmet Şartları kapsamındaki hizmet süresi ile 12. maddede belirtilen silme süreleri.

3.3. İlgili kişi grupları: Üyenin internet sitesi ziyaretçileri, müşterileri, üyeleri, çalışanları, e-posta yazışmalarının tarafları ve Üyenin barındırdığı verilerde yer alan diğer kişiler.

3.4. Veri kategorileri: Üyenin kendi tercihine göre barındırdığı her türlü veri; örneğin kimlik, iletişim, müşteri işlem, sipariş, e-posta içerikleri ve işlem güvenliği verileri.

3.5. zuwinasa cloud, barındırılan verilerin içeriğini kontrol etmez ve içerik hakkında bilgi sahibi değildir. Üye, özel nitelikli kişisel veri işliyorsa bunun için gerekli ek tedbirleri almaktan kendisi sorumludur.

4. Talimatlar

4.1. zuwinasa cloud barındırılan verileri yalnızca Üyenin belgelenmiş talimatları doğrultusunda işler. Şunlar Üyenin talimatı sayılır:

• Hizmet Şartları ve bu Ek,
• Üyenin üye paneli ve kontrol paneli (Plesk vb.) üzerinden yaptığı işlemler,
• Üyenin destek kanalları aracılığıyla yazılı olarak verdiği talimatlar.

4.2. zuwinasa cloud, bir talimatın mevzuata aykırı olduğunu düşünürse Üyeyi bilgilendirir ve talimatı yerine getirmeyebilir.

4.3. Kanunen zorunlu hâllerde yetkili makamların talebi üzerine yapılan işlemler bu maddenin istisnasıdır. zuwinasa cloud, kanunen yasaklanmadıkça bu durumu Üyeye bildirir.

5. Gizlilik

zuwinasa cloud, barındırılan verilere erişebilen çalışanlarının ve yardımcı kişilerinin gizlilik yükümlülüğü altında olmasını sağlar. Bu kişilerin erişimi, hizmetin sunulması için gerekli olanla sınırlıdır.

6. Güvenlik Tedbirleri

zuwinasa cloud, KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini sağlamak için Ek-2'de belirtilen teknik ve idari tedbirleri alır. Üye de kendi sorumluluğundaki alanlarda güvenlikten sorumludur: parolaları, site yazılımlarını, eklentileri ve temaları güncel ve güvenli tutmak, ayrıca kendi yedeklerini almak bunlara örnektir.

7. Alt İşleyenler

7.1. Üye, zuwinasa cloud'un Ek-1'de listelenen alt işleyenleri kullanmasına genel olarak izin verir.

7.2. zuwinasa cloud, alt işleyen eklemeden veya değiştirmeden en az 30 gün önce bu sayfayı günceller ve Üyeye kayıtlı e-posta adresi üzerinden bildirim yapar.

7.3. Değişikliğe makul gerekçeyle itiraz eden Üye, değişiklik yürürlüğe girmeden önce hizmeti feshedebilir. Kullanılmayan döneme ilişkin iade Teslimat ve İade Şartları'na tabidir.

7.4. zuwinasa cloud, alt işleyenlerle bu Ek'teki yükümlülüklerle esasen aynı düzeyde koruma sağlayan sözleşmeler yapar.

8. Yurt Dışına Aktarım

8.1. Barındırılan veriler Hizmet Şartları'nda ve Ek-1'de belirtilen ülkelerde saklanır ve işlenir.

8.2. Yurt dışındaki alt işleyenlere aktarım, KVKK'nın 9. maddesinde öngörülen uygun güvencelerle yapılır.

8.3. Üye, kendi ilgili kişilerini verilerin yurt dışında barındırıldığı konusunda kendi aydınlatma metniyle bilgilendirmekle yükümlüdür.

9. İlgili Kişi Başvuruları

9.1. zuwinasa cloud'a doğrudan bir ilgili kişi başvurusu ulaşırsa, zuwinasa cloud bunu en geç beş iş günü içinde Üyeye iletir; kanunen zorunlu hâller dışında başvuruyu kendisi yanıtlamaz.

9.2. Üye, başvuruları yanıtlarken kontrol paneli aracılığıyla verilere erişebilir, verileri düzeltebilir ve silebilir. Panel üzerinden yapılamayan işlemler için zuwinasa cloud makul ölçüde destek sağlar.

10. Veri İhlali

10.1. zuwinasa cloud, barındırılan verileri etkileyen bir veri ihlalini tespit ederse Üyeyi gecikmeksizin, en geç 24 saat içinde kayıtlı e-posta adresi üzerinden bilgilendirir.

10.2. Bildirimde o an bilinebildiği ölçüde şu bilgiler yer alır:

• ihlalin niteliği,
• etkilenen sistemler ve veri kategorileri,
• olası sonuçlar,
• alınan ve alınması önerilen tedbirler,
• irtibat kişisi.

10.3. Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Üyeye aittir. Kurul'un 2019/10 sayılı kararına göre bu bildirimin en geç 72 saat içinde yapılması gerekir. zuwinasa cloud bu süreçte Üyeyle makul ölçüde iş birliği yapar.

11. Bilgi Talebi ve Denetim

11.1. zuwinasa cloud, bu Ek'e uyumunu göstermek için gerekli bilgileri Üyenin makul talebi üzerine yazılı olarak sağlar. Alt işleyenlerin kamuya açık sertifika ve raporlarına yönlendirme de buna dahildir.

11.2. Paylaşımlı altyapı nedeniyle Üye adına yerinde denetim yapılmaz. Yetkili makamların denetim hakları saklıdır.

12. Hizmetin Sona Ermesi ve Verilerin Silinmesi

12.1. Hizmet herhangi bir nedenle sona erdiğinde barındırılan veriler Hizmet Şartları'nın 7. ve 8. maddelerindeki sürelerin sonunda silinir: ödenmeyen web hosting hizmetinde askıya alma tarihinden itibaren 15 gün, sanal sunucuda durdurma tarihinden itibaren 3 gün.

12.2. Web hosting hizmetlerinde altyapı yedeklerindeki kopyalar, yedek döngüsü içinde en geç 3 ay içinde silinir. zuwinasa cloud sanal sunucuların yedeğini almaz.

12.3. Üye, verilerini bu süreler dolmadan kendisi indirmekten sorumludur.

12.4. 5651 sayılı Kanun kapsamındaki trafik bilgileri ile vergi ve ticaret mevzuatı gereği saklanması zorunlu kayıtlar, mevzuattaki süreler boyunca saklanır.

13. Sorumluluk

13.1. Taraflar, bu Ek'ten doğan yükümlülüklerini ihlal etmelerinden kendi kusurları oranında sorumludur. Hizmet Şartları'ndaki sorumluluk sınırlamaları, mevzuatın izin verdiği ölçüde bu Ek bakımından da uygulanır.

13.2. KVKK'nın 12. maddesinin ikinci fıkrasındaki müşterek sorumluluk hükmü saklıdır. Taraflar arasındaki iç ilişkide sorumluluk kusur oranına göre belirlenir. Hizmet Şartları'ndaki rücu hükmü saklıdır.

14. Yürürlük ve Değişiklikler

14.1. Bu Ek, Hizmet Şartları'nın kabulüyle birlikte yürürlüğe girer ve hizmetin sona ermesinden sonra 12. maddedeki silme işlemleri tamamlanana kadar yürürlükte kalır.

14.2. zuwinasa cloud bu Ek'i mevzuat değişiklikleri veya hizmet değişiklikleri nedeniyle güncelleyebilir. Esaslı değişiklikler Üyeye kayıtlı e-posta adresi üzerinden bildirilir.

Ek-1: Alt İşleyenler

Ek-2: Teknik ve İdari Tedbirler

Teknik tedbirler

• Panellerde ve sunucu yönetiminde TLS (SSL) şifreleme; e-posta bağlantılarında TLS desteği
• Plesk ve işletim sistemi paketlerinde otomatik güvenlik güncellemeleri; çekirdek güncellemelerinin düzenli bakımda uygulanması
• Varsayılan kuralı "reddet" olan sunucu güvenlik duvarı ve kaba kuvvet saldırılarına karşı Fail2Ban
• Web uygulama güvenlik duvarı (ModSecurity)
• Günlük zararlı yazılım taraması ve gerçek zamanlı antivirüs
• Her barındırma aboneliğinin ayrı bir sistem kullanıcısıyla çalıştırılması
• Sunuculara root kullanıcısıyla parolalı SSH girişinin kapalı olması
• Yönetim paneline girişte zorunlu iki adımlı doğrulama
• Web hosting hizmetlerinde her gün artımlı, haftada bir tam yedek; ayrıca her gün AES-256 ile şifrelenen tüm sunucu yedeği
• Ad sunucusu Cloudflare hesabımızda yönetilen alan adlarında DDoS ve bot koruması

İdari tedbirler

• Barındırılan verilere erişimin yetkili kişilerle ve hizmetin gerektirdiği durumlarla sınırlandırılması

Fiziksel güvenlik: Veri merkezlerinin fiziksel güvenliği, ilgili alt işleyen tarafından kendi sertifikalı altyapısında sağlanır.