MSP Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Route de la Galaise 32, 1228 Plan-les-Ouates, İsviçre adresinde bulunan, CHE-354.686.492 Şirket kimlik numaralı Proton AG ("Veri İşleyen" olarak anılacaktır) ile Ana Sözleşmede tanımlanan MSP ("Şirket" olarak anılacaktır ve yasal biçimine bakılmaksızın kendi Yönetilen Müşterilerine Hizmetleri sağlamak, faturalandırmak ve destek vermek için Hizmetleri kullanan yönetilen hizmet sağlayıcısı olarak anlaşılacaktır) arasındaki Yönetilen Hizmet Sağlayıcı Sözleşmesinin ("Ana Sözleşme") bir parçasını oluşturur.

Bu Sözleşme, Şirketin Hizmetleri kullanımı, Şirketin Hizmetleri Yönetilen Müşterilere sağlaması da dahil olmak üzere, Veri Koruma Yasalarına tabi Kişisel Verilerin İşlenmesini gerektirdiği ölçüde Veri Koruma Yasalarının özel gereksinimlerini düzenler.

Bu Sözleşmenin süresi, Ana Sözleşmenin süresine tabi olacaktır. Burada tanımlanmamış terimler, Ana Sözleşmede belirtilen anlamı taşır.

NE ZAMAN Kİ

A) Şirket, bir Veri Sorumlusu olarak veya bir Yönetilen Müşterinin kendi Kişisel Verilerinin İşlenmesi talimatını bizzat verdiği durumlarda ilgili Yönetilen Müşteri adına bir Veri İşleyen olarak hareket eder (her iki durumda da "Veri Sorumlusu").

B) Şirket, Kişisel Verilerin İşlenmesini içeren belirli Hizmetleri alt yüklenici olarak bir Veri İşleyen ("Veri İşleyen") sıfatıyla hareket eden Proton AG'ye devretmek istemektedir.

C) Taraflar, (AB) 2016/679 sayılı Yönetmelik ("GDPR"), İsviçre Federal Veri Koruma Yasası ("FADP") ve geçerli diğer Veri Koruma Yasaları dahil olmak üzere veri işlemeye ilişkin mevcut yasal çerçevenin gerekliliklerine uygun bir veri işleme sözleşmesi uygulamayı amaçlamaktadır.

D) Taraflar, ilgili hak ve yükümlülüklerini belirlemek istemektedir.

ŞU KONULARDA ANLAŞILMIŞTIR:

1. Tanımlar, Roller ve Kapsam

1.1 Tanımlar. Burada aksi belirtilmedikçe, büyük harfle yazılan terimler Ana Sözleşmede belirtilen veya orada tanımlanmamışsa aşağıdaki anlamı taşır:

• "Şirket Kişisel Verileri", Ana Sözleşme ile bağlantılı olarak İşlenen, Şirket, Şirketin Yönetilen Müşterileri veya bunların ilgili müşterileri veya çalışanlarıyla ilişkili her türlü Kişisel Veriyi ifade eder.
• "Sözleşmeli Veri İşleyen", bir Alt Veri İşleyeni ifade eder.
• "Veri Koruma Yasaları", GDPR'yi, FADP'yi ve uygulanabilir olduğu ölçüde diğer tüm ülkelerin veri koruma veya gizlilik yasalarını ifade eder.
• "Veri Aktarımı", (i) Şirket Kişisel Verilerinin Şirketten Veri İşleyene veya Sözleşmeli Veri İşleyene aktarılmasını veya (ii) Şirket Kişisel Verilerinin Veri İşleyenden bir Alt Veri İşleyene ya da bir Alt Veri İşleyenin iki kuruluşu arasında sonraki aktarımını ifade eder.
• "Yönetilen Müşteri", Ana Sözleşmede verilen anlamı taşır: Şirketin kendi yönetilen hizmet teklifinin bir parçası olarak Hizmetleri sağladığı ve sunduğu bir son kullanıcı kuruluşu.
• “Alt Veri İşleyen”, Sözleşme ile bağlantılı olarak Kişisel Verileri İşlemek üzere Veri İşleyen tarafından veya onun adına atanan herhangi bir kişiyi ifade eder.
• "Komisyon", "Veri Sorumlusu", "Veri Sahibi", "Üye Devlet", "Kişisel Veriler", "Kişisel Veri İhlali", "İşleme" ve "Denetim Makamı" terimleri, GDPR veya geçerli diğer Veri Koruma Yasasındaki ile aynı anlamı taşır.

1.2 Tarafların Rolleri. Proton ile Şirket arasında; Yönetilen Müşterilere ve onların ilgili son kullanıcılarına ait veya bunlarla ilişkili Kişisel Veriler de dahil olmak üzere Ana Sözleşme kapsamında İşlenen tüm Şirket Kişisel Verileri açısından Şirket, Veri Sorumlusu (veya duruma göre bir Yönetilen Müşterinin talimatlarına göre hareket eden Veri İşleyen) ve Proton, Veri İşleyendir. Bu Sözleşme, Proton ile Yönetilen Müşteri zincirindeki herhangi bir taraf arasındaki veri işleme düzenlemesinin tamamını ve münhasır olanını oluşturur. Proton'un hiçbir Yönetilen Müşteri ile doğrudan bir sözleşme, Veri Sorumlusu-Veri İşleyen veya Veri İşleyen-Alt Veri İşleyen ilişkisi bulunmamaktadır ve hiçbir Yönetilen Müşteri bu Sözleşmenin bir tarafı veya üçüncü taraf lehtarı değildir. Şirket, geçerli yasa veya sözleşme uyarınca Yönetilen Müşterilerine karşı borçlu olduğu tüm veri koruma şartları da dahil olmak üzere, Yönetilen Müşterileri ile olan anlaşmalarından ve onlara karşı yükümlülüklerinden münhasıran sorumludur.

1.3 Şirketin alt kademe sorumluluğu. Şirket, her bir Yönetilen Müşteri ile Şirkete, söz konusu Yönetilen Müşterinin Kişisel Verilerini koruma açısından Proton'un bu Sözleşme kapsamında Şirkete karşı yükümlülüklerinden daha az koruyucu olmayan veri koruma yükümlülükleri getiren, Şirketin söz konusu Yönetilen Müşteriye sağladığı Hizmetlerin niteliğine uygulanabilir olduğu ölçüde, yazılı bir sözleşme akdedecektir. Proton'un bu Sözleşme kapsamındaki yükümlülükleri yalnızca Şirkete yöneliktir; Şirket ile Yönetilen Müşterileri arasında, Proton'un herhangi bir eylem veya ihmali de dahil olmak üzere, Kişisel Verilerinin İşlenmesinden Yönetilen Müşterilerine karşı münhasıran Şirket sorumlu olmaya devam eder.

2. Şirket Kişisel Verilerinin İşlenmesi

Veri İşleyen'in sorumlulukları şunlardır:

• şirket Kişisel Verilerinin İşlenmesinde geçerli tüm Veri Koruma Yasalarına uymak; ve
• aşağıda belirtildiği gibi Şirketin belgelenmiş talimatları dışında Şirket Kişisel Verilerini İşlememek.

Şirket, Veri İşleyene Şirket Kişisel Verilerini şu amaçlarla İşleme talimatı verir:

• şirkete ve Şirket aracılığıyla Yönetilen Müşterilere Hizmetleri ve ilgili teknik desteği sağlamak;
• yasal yükümlülükleri yerine getirmek veya uyuşmazlıkları çözmek;
• hizmetlerin güvenliğini, gizliliğini ve işlevselliğini optimize etmeye yönelik her türlü dahili görevi yerine getirmek; ve
• dahili raporlama, finansal raporlama ve diğer benzer dahili görevleri yürütmek.

3. Veri İşleyen Çalışanları

Veri İşleyen, Şirket Kişisel Verilerine erişimi olabilecek herhangi bir Sözleşmeli Veri İşleyen çalışanının, temsilcisinin veya yüklenicisinin güvenilirliğini sağlamak için makul adımları atacak; her durumda erişimin, Ana Sözleşmenin amaçları ve/veya Veri Koruma Yasalarına uyum için kesinlikle gerekli olduğu ölçüde, ilgili Şirket Kişisel Verilerini bilmesi veya bunlara erişmesi gereken kişilerle kesin olarak sınırlandırılmasını ve bu tür tüm kişilerin gizlilik taahhütlerine ya da mesleki veya yasal gizlilik yükümlülüklerine tabi olmasını sağlayacaktır.

4. Güvenlik

GDPR Madde 32(1) uyarınca Veri İşleyen; teknolojinin durumunu, uygulama maliyetlerini ve İşlemenin niteliğini, kapsamını, bağlamını ve amaçlarını dikkate alarak riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve organizasyonel önlemleri uygulayacaktır. Bu önlemler, Kişisel Veri İhlali riski de dahil olmak üzere değişen olasılık ve ciddiyetteki riskleri göz önünde bulundurarak gerçek kişilerin hak ve özgürlüklerini korumak için tasarlanmıştır. Şirket, Yönetilen Müşteri hesaplarının MSP Yönetici Lisansları aracılığıyla yönetilmesi de dahil olmak üzere Şirket Kişisel Verilerini kendi İşlemesi için uygun teknik ve organizasyonel önlemleri uygulayacak ve bu tür hesaplara erişimin buna ihtiyaç duyan Şirket personeli ile sınırlandırılmasını, uygun kimlik doğrulama kontrolleri ile korunmasını ve artık gerek kalmadığında derhal iptal edilmesini sağlayacaktır.

5. Alt İşleyenler

Bu Sözleşmeye tabi olarak Şirket, Veri İşleyene Alt Veri İşleyenleri görevlendirmesi ve Şirket Kişisel Verilerini bunlara açıklaması veya aktarması için genel yetki verir. Şirket, Veri İşleyenin Gizlilik İlkesinde belirtilen Alt Veri İşleyenler listesini kabul eder ve onaylar; bu listenin Veri İşleyen tarafından zaman zaman güncellenebileceğini ve bu durumda Şirketin Gizlilik İlkesi bildirim sürecine göre bilgilendirileceğini anlar. Şirket ayrıca Veri İşleyene Kişisel Verileri kendi şirketler grubu içindeki herhangi bir şirkete açıklama ve aktarma yetkisi verir. Veri İşleyen, Alt Veri İşleyen tarafından sağlanan hizmetlerin niteliğine uygulanabilir olduğu ölçüde, Alt Veri İşleyenlerin Şirket Kişisel Verilerinin korunması konusunda bu Sözleşmeden daha az kısıtlayıcı ve koruyucu olmayan, Veri İşleyen ile yapılmış bir sözleşmeye tabi olmasını sağlayacaktır. Şüpheye mahal vermemek adına, Şirket Proton'un bir Alt Veri İşleyeni değildir ve bu Bölüm, Şirketin herhangi bir Yönetilen Müşteri veya üçüncü tarafı görevlendirmesi için geçerli değildir.

6. Veri Sahibinin Hakları

İşlemenin niteliği dikkate alınarak Veri İşleyen; Şirketin bir Yönetilen Müşteriden veya söz konusu Yönetilen Müşterinin kendi son kullanıcılarından ya da onlar adına aldığı talepler de dahil olmak üzere, Veri Koruma Yasaları kapsamındaki Veri Sahibi haklarını kullanma taleplerine yanıt verme yükümlülüklerini yerine getirmesinde Şirkete makul ölçüde yardımcı olacaktır.

Veri İşleyen'in sorumlulukları şunlardır:

• şirket Kişisel Verilerine ilişkin olarak herhangi bir Veri Koruma Yasası kapsamında bir Veri Sahibinden talep alması durumunda Şirketi derhal bilgilendirmek; ve

• şirketin belgelenmiş talimatları haricinde veya geçerli yasaların gerektirdiği durumlar dışında bu talebe yanıt vermemesini sağlamak; bu durumda Veri İşleyen, yasal olarak izin verilen ölçüde, yanıt vermeden önce Şirketi bu yasal gereklilik hakkında bilgilendirecektir.

Şirket, söz konusu Yönetilen Müşterinin Kişisel Verilerine ilişkin herhangi bir Veri Sahibi talebine yanıt vermekten ve bu konuda herhangi bir Yönetilen Müşteri ile koordinasyon sağlamaktan münhasıran sorumludur; Veri İşleyenin herhangi bir Yönetilen Müşteriyi doğrudan tanımlama veya onunla doğrudan iletişim kurma yükümlülüğü yoktur.

7. Kişisel Verilerin Ele Geçirilmesi

Veri İşleyen, her türlü Kişisel Veri İhlalini geçerli Veri Koruma Yasalarına ve kendi dahili Kişisel Veri İhlali prosedürlerine uygun olarak yönetecektir. Şirket Kişisel Verilerini etkileyen bir Kişisel Veri İhlali durumunda Veri İşleyen; geçerli olduğu durumlarda etkilenen Yönetilen Müşterileri ve Veri Sahiplerini bilgilendirmek de dahil olmak üzere, Şirketin Veri Koruma Yasaları kapsamındaki kendi yükümlülüklerini yerine getirmesini sağlamak için yeterli bilgiyi sağlayarak gecikmeksizin Şirkete bildirimde bulunacaktır. Veri İşleyen, Şirket ile iş birliği yapacak ve bu tür her bir Kişisel Veri İhlalinin araştırılması, etkilerinin hafifletilmesi ve giderilmesine yardımcı olmak için Şirket tarafından yönlendirilen makul ticari adımları atacaktır. Her bir Taraf, bir Kişisel Veri İhlaline söz konusu Tarafın neden olduğu ölçüde soruşturma, iyileştirme, etkileri hafifletme ve diğer ilgili maliyetleri üstlenecektir. Her bir Taraf, bu Sözleşme kapsamındaki yükümlülüklerini bizzat ihlal etmesinden kaynaklandığı ölçüde, yetkili bir düzenleyici makam tarafından uygulanan para cezaları, yaptırımlar, tazminatlar veya diğer ilgili tutarların maliyetlerini üstlenecektir. Şirket, Yönetilen Müşterilerine ve onların Veri Sahiplerine yönelik ihlal bildirimlerinden ve bu bildirimlerin zamanlamasından ve içeriğinden münhasıran sorumludur.

8. Veri Koruma Etki Değerlendirmesi ve Ön Görüşmeler

Veri İşleyen; Şirketin GDPR Madde 35 veya 36 ya da diğer herhangi bir Veri Koruma Yasasının eşdeğer hükümleri uyarınca gerekli olduğunu makul olarak değerlendirdiği veri koruma etki değerlendirmeleri ve denetim makamlarıyla ön danışma süreçlerinde Şirkete makul yardım sağlayacaktır; her durumda yalnızca Sözleşmeli Veri İşleyenler tarafından Şirket Kişisel Verilerinin İşlenmesine ilişkin olarak ve İşlemenin niteliği ile Sözleşmeli Veri İşleyenlerin erişebildiği bilgiler dikkate alınarak.

9. Şirket Kişisel Verilerinin Silinmesi veya İadesi

Şirket Kişisel Verilerinin İşlenmesini içeren herhangi bir Hizmetin sona ermesi durumunda Veri İşleyen, geçerli yasaların izin verdiği ölçüde ve Veri İşleyenin Hüküm ve Koşulları ile Gizlilik İlkesine uygun olarak tüm Şirket Kişisel Verilerini silecektir. Şirket, Şirket Kişisel Verilerinin bir kopyasına ihtiyaç duyarsa bunu silme işleminden önce talep etmelidir; silme işleminden sonra yapılan talepler artık dikkate alınamaz. Ana Sözleşmenin feshi durumunda Şirket, Ana Sözleşmenin 5.4 Bölümü (Geçiş yardımı) ile tutarlı olarak, Şirket ile söz konusu Yönetilen Müşteri arasında herhangi bir Yönetilen Müşterinin Kişisel Verilerinin silinmesini, iadesini veya geçişini yönetmekten münhasıran sorumlu kalmaya devam eder.

10. Denetim Hakları

Bu Bölüm 10'a tabi olarak Veri İşleyen; talep üzerine bu Sözleşmeye uygunluğu kanıtlamak için gerekli tüm bilgileri Şirketin kullanımına sunacak ve Sözleşmeli Veri İşleyenler tarafından Şirket Kişisel Verilerinin İşlenmesine ilişkin olarak Şirket veya Şirket tarafından görevlendirilen bir denetçi tarafından gerçekleştirilen denetimlere, incelemeler dahil, izin verecek ve katkıda bulunacaktır. Şirket, bir Kişisel Veri İhlali veya bir düzenleyici makamın talimatı haricinde, bu Bölüm kapsamındaki denetim haklarını takvim yılı başına bir defadan fazla kullanamaz. Şirket, denetim yapma niyetini Veri İşleyene en az altmış (60) gün önceden yazılı olarak bildirecektir. Denetim, Veri İşleyenin çalışma saatleri içinde gerçekleştirilecek, Veri İşleyenin faaliyetlerini aksatmayacak ve Şirketin, Veri İşleyenin ve diğer Veri Sahiplerinin Kişisel Verilerinin korunmasını sağlayacaktır. Taraflar denetim için geçerli olacak tarih, kapsam, süre ile güvenlik ve gizlilik kontrolleri konusunda önceden karşılıklı olarak anlaşacaktır; Veri İşleyen, denetimden önce bir gizlilik sözleşmesi talep edebilir. Bu Bölüm kapsamındaki bilgi ve denetim hakları, yalnızca bu Sözleşmenin Şirkete Veri Koruma Yasasının ilgili gereksinimlerini karşılayan bilgi ve denetim haklarını başka bir şekilde sağlamadığı ölçüde doğar. Bir Yönetilen Müşterinin, Şirketin söz konusu Yönetilen Müşteriye karşı kendi durum tespiti yükümlülüklerinin bir parçası olarak Proton'un İşleme faaliyetleri hakkında bilgi talep etmesi durumunda Şirket, gerekli bilgileri Veri İşleyenden almak ve aktarmak için bu Bölüme dayanabilir; ancak Yönetilen Müşterinin kendisinin Veri İşleyene karşı bağımsız bir denetim hakkı yoktur.

11. Veri Aktarımı

Mümkün olduğu ölçüde Veri İşleyen, GDPR Madde 45 ve İsviçre FADP Madde 16'da öngörüldüğü üzere, Şirket Kişisel Verilerini yalnızca İsviçre, AB içindeki ülkelere ve/veya bir yeterlilik kararına tabi ülkelere aktaracak veya aktarılmasına izin verecektir. Bu Sözleşme kapsamında İşlenen Şirket Kişisel Verileri İsviçre, AB veya bir yeterlilik kararına tabi bir ülkeden bu kapsam dışındaki bir ülkeye aktarılırsa Taraflar; aksi kararlaştırılmadıkça İsviçre, AB ve/veya Birleşik Krallık tarafından onaylanmış ve o tarihte geçerli standart sözleşme maddelerine veya Veri Koruma Yasaları tarafından sağlanan diğer aktarım mekanizmalarına dayanarak Kişisel Verilerin yeterli düzeyde korunmasını sağlayacaktır. Veri İşleyen, aktarımın niteliği göz önünde bulundurularak yeterli güvencelerin uygulanması koşuluyla Alt Veri İşleyenlere bu tür aktarımlar gerçekleştirmeye yetkili olacaktır.

12. Genel Hükümler

12.1 Geçerli Yasalara Uygunluk. Veri İşleyen, Şirket Kişisel Verilerini bu Sözleşmeye ve bu Sözleşme kapsamındaki rolüne uygulanan Veri Koruma Yasalarına uygun olarak İşleyecektir. Veri İşleyen, yalnızca kendi iş kolları veya sektörleri nedeniyle münhasıran Şirket ya da herhangi bir Yönetilen Müşteri için geçerli olan Veri Koruma Yasalarına uymakla sorumlu değildir.

12.2 Gizlilik. Her bir Taraf, bu Sözleşmeyle bağlantılı olarak diğer Taraf hakkında edindiği tüm bilgileri gizli tutacak ve (a) açıklamanın yasalarca zorunlu kılındığı veya (b) bilginin Tarafların kusuru olmaksızın halihazırda kamuya açık hale geldiği durumlar haricinde diğer Tarafın önceden yazılı izni olmaksızın bu bilgileri kullanmayacak veya ifşa etmeyecektir.

12.3 Bildirimler. Bu Sözleşme kapsamındaki bildirimler, Ana Sözleşmenin bildirim hükümleri uyarınca yapılacaktır. Veri koruma konularına ilişkin olarak Veri İşleyene yapılacak bildirimler ayrıca legal@proton.ch adresine kopyalanacaktır

12.4 Sorumluluk. Her bir Tarafın bu Sözleşmeden doğan veya bu Sözleşmeyle bağlantılı sorumluluğu; gizlilik ve veri koruma yükümlülüklerinin ihlali için orada belirtilen belirli sınırlar da dahil olmak üzere, Ana Sözleşmenin sorumluluğun sınırlandırılması hükümlerine tabidir ve bunlara uygun olarak sınırlandırılmıştır. Bu Sözleşmedeki hiçbir husus, bir Tarafın geçerli Veri Koruma Yasalarını bizzat ihlal etmesinden kaynaklanan ve yetkili bir denetim makamı tarafından doğrudan ilgili Tarafa uygulanan para cezaları veya cezai yaptırımlara ilişkin sorumluluğunu sınırlandırmaz. Şirket; Yönetilen Müşterilerine karşı Veri Sorumlusu muhatabı olan tek taraf olarak, Ana Sözleşmenin sorumluluk üst sınırı kapsamında Veri İşleyenden geri alabileceği tutarı aşan ve bir Yönetilen Müşteriye karşı doğabilecek her türlü sorumluluğun münhasıran Şirkete ait olduğunu kabul eder.

12.5 Geçerli Yasa ve Yargı Yetkisi. Bu Sözleşme, başka herhangi bir yargı bölgesinin kanunlar ihtilafı veya kanun seçimi hükümlerine bakılmaksızın İsviçre yasalarına tabidir ve bu Sözleşmeden doğan veya bu Sözleşmeyle bağlantılı uyuşmazlıklar münhasıran Cenevre, İsviçre mahkemelerinin yargı yetkisine tabidir.

12.6 Öncelik sırası. Kişisel Verilerin İşlenmesine ilişkin olarak bu Sözleşme ile Ana Sözleşme arasında tutarsızlık olması halinde, Ana Sözleşmenin 10.1 Bölümü ile tutarlı olacak şekilde bu Sözleşme geçerli olacaktır. Bu Sözleşmenin İngilizce sürümü ile tercüme edilmiş herhangi bir sürümü arasında tutarsızlık olması durumunda, İngilizce sürüm geçerli olacaktır.