MuchBetter İş
VERİ KORUMA EKİ

1. Tanımlar

Bu Veri Koruma Eki'nde ("DPA") tanımlanmayan tüm büyük harfle yazılmış terimler, Sözleşme'de belirtilen anlamlara sahiptir.

1. ortak bir Tarafı doğrudan veya dolaylı olarak kontrol eden, kontrol edilen veya ortak kontrol altında olan herhangi bir kişi veya kuruluş anlamına gelir. Bu tanımın amacı için, "kontrol" (karşılıklı anlamlarıyla, "kontrol eden", "kontrol edilen" ve "ortak kontrol altında" terimleri dahil), söz konusu kişinin veya kuruluşun işlerini, oy hakkı olan menkul kıymetlerin mülkiyeti, sözleşme veya başka bir şekilde yönetme veya yönlendirme yetkisi anlamına gelir.
2. Anlaşma MIR ile Hesap Sahibi arasında Kişisel Verilere erişimi veya başka bir şekilde Kişisel Verilerin İşlenmesini içeren MuchBetter Ticari Hesap Hizmetleri Sözleşmesi anlamına gelir;
3. Onaylanmış Yargı Yetkisi Avrupa Ekonomik Alanı'nın bir üye devleti veya Avrupa Komisyonu tarafından veya Veri Koruma Yasası 2018'in 17A Bölümü veya Veri Koruma Yasası 2018'in 21. Ek'inin 4. ve 5. Paragrafları uyarınca çıkarılan Birleşik Krallık yeterlilik yönetmelikleri uyarınca veriler için yeterli yasal korumaya sahip olduğu onaylanan diğer yargı alanı anlamına gelir;
4. İhlal Olayı iletilen, saklanan veya başka bir şekilde işlenen kişisel verilerin kazara veya hukuka aykırı olarak imha edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara erişilmesine yol açan bir güvenlik ihlali anlamına gelir;
5. Veri Koruma Yasaları Veri gizliliği, veri güvenliği ve/veya Kişisel Verilerin korunmasına ilişkin tüm geçerli yerel ve yabancı yasalar, kurallar, direktifler ve düzenlemeler, kişisel verilerin işlenmesi ve elektronik iletişim sektöründe gizliliğin korunmasına ilişkin Gizlilik ve Elektronik İletişim Direktifi 2002/58/EC (ve ilgili yerel uygulama yasaları) (Gizlilik ve elektronik iletişim direktifi) dahil olmak üzere, bunlara ilişkin değişiklikler veya değiştirmeler, Avrupa Parlamentosu ve Konseyinin 27 Nisan 2016 tarihli (AB) 2016/679 sayılı Tüzüğü (“GDPR”) ve Veri Koruma Yasası 2018 ve Avrupa Birliği (Çekilme) Yasası 2018'in (“BK GDPR”) 3. bölümü uyarınca İngiltere ve Galler, İskoçya ve Kuzey İrlanda yasalarının bir parçası olan GDPR dahil olmak üzere anlamına gelir.
6. AEA Avrupa Ekonomik Alanı'na üye olan ülkeleri ifade eder.
7. MIR MuchBetter Ticari Hesap Hizmetleri sağlayıcısı olan MIR Limited UK Ltd anlamına gelir
8. Kişisel Veriler veya “Kişisel Veri”, tanımlanabilir bir bireyle ilgili veya ilişkilendirilebilen herhangi bir bilgi anlamına gelir. Bir bireyle ilişkilendirilebilen veya bir bireyi, gerçek kişiyi doğrudan veya dolaylı olarak tanımlamak için kullanılabilen herhangi bir bilgiyi içerir. Kişisel Veriler, kaynağı ne olursa olsun Gizli Bilgi olarak kabul edilecektir.
9. İşlem Kişisel Veriler üzerinde, otomatik yollarla olsun veya olmasın, toplama, kaydetme, düzenleme, saklama, uyarlama veya değiştirme, erişim, geri alma, danışma, kullanma, iletim yoluyla ifşa etme, yayma veya başka bir şekilde kullanılabilir hale getirme, hizalama veya birleştirme, engelleme, silme veya imha gibi gerçekleştirilen herhangi bir işlem veya işlem seti anlamına gelir. “İşlemler” veya “İşleme” buna göre yorumlanacaktır.
10. Standart Sözleşme Maddeleri veya “SCC'ler” 4 Haziran 2021 tarihli ve zaman zaman değiştirilebilen, yerini alabilecek veya değiştirilebilecek olan Avrupa Parlamentosu ve Konseyinin (AB) 2016/679 sayılı Tüzüğü uyarınca kişisel verilerin üçüncü ülkelere aktarılmasına ilişkin standart sözleşme maddelerinin uygulanabilir modülü.
11. İngiltere Eki 21 Mart 2022 tarihinde yürürlüğe giren Standart Sözleşme Maddelerine Ek Uluslararası Veri Aktarımı Eki anlamına gelir.

2. Bu DPA'nın uygulanması

1. Bu DPA yalnızca aşağıdaki koşulların tümünün karşılanması halinde geçerli olacaktır:
   
   1. Taraflardan biri, diğer Tarafça Sözleşme ile bağlantılı olarak kullanıma sunulan Kişisel Verileri işler;
   2. Kişisel Verilerin işlenmesinde Veri Koruma Mevzuatı uygulanır.
2. Bu DPA, yalnızca Tarafların Anlaşma'da kabul ettiği ve DPA'yı atıf yoluyla içeren hizmetlere uygulanacaktır.

3. Veri Koruma ve Gizlilik

1. Bir Tarafın, diğer Tarafın kullanımına sunulan Kişisel Verilere erişimi olması veya bunları başka bir şekilde İşlemesi durumunda, bu Taraf:
   
   1. Kişisel Verilerin bağımsız Denetleyicisi olacak ve Sözleşme ve Veri Koruma Yasaları uyarınca işleme amaçlarını ve araçlarını belirleyecektir.
   2. Kişisel Verileri yalnızca Veri Koruma Yasaları gerekliliklerine uygun olarak işleyin ve Veri Koruma Yasaları uyarınca gerekli olduğu şekilde, Sözleşme kapsamında gerçekleştirilen tüm Kişisel Veri İşleme faaliyetlerinin doğru yazılı kayıtlarını tutun.
   3. Yukarıdakilerden herhangi bir sapma olmaksızın, veri sahibine Veri Koruma Kanunları kapsamında gerekli olan her türlü bilgiyi sağlamaktan ve veri sahiplerinin Veri Koruma Kanunları kapsamındaki haklarını kullanmalarına olanak tanımaktan sorumlu olacak ve diğer Tarafa yukarıdakileri ve her türlü yasal veya düzenleyici yükümlülüğü yerine getirmesi için makul iş birliği ve yardım sağlayacaktır;
   4. Kişisel Verileri, kazara veya hukuka aykırı imhaya, kazara kayba, değişikliğe, iletilen, saklanan veya başka şekilde işlenen kişisel verilere yetkisiz ifşa veya erişime ve diğer tüm hukuka aykırı İşleme biçimlerine karşı korumak için ticari olarak makul ve uygun fiziksel, teknik ve organizasyonel güvenlik önlemlerini uygulamak ve sürdürmek;
   5. Veri Koruma Kanunları uyarınca gerekli olduğu üzere, kişisel veri ihlaline ilişkin olarak denetim otoritesine bildirim yükümlülüklerine ve veri sahiplerine yönelik iletişim yükümlülüklerine uymak;
   6. Bir İhlal Olayı'nın farkına vardıktan sonra diğer Tarafı gereksiz gecikme olmaksızın ve en geç yirmi dört (24) saat içinde bilgilendirin.
2. Kişisel Verileri bir veri sahibinden ilk olarak elde eden Taraf, veri sahibinden istenebilecek tüm onayları almaktan (her durumda Veri Koruma Yasalarına uymak için gerekli ölçüde) ve Veri Koruma Yasalarına uymak için gerekli olduğu takdirde, Kişisel Verilerin toplanmasından önce veri sahibine bilgi sağlamaktan (örneğin “Gizlilik Bildirimi” veya “Gizlilik Politikası”) sorumludur. Yukarıdakiler, diğer Tarafın Veri Koruma Yasaları kapsamındaki sorumluluklarından (örneğin, Kişisel Verilerin işlenmesiyle bağlantılı olarak Kişisel Veriler söz konusu olduğunda veri sahibine bilgi sağlama gerekliliği) sapmaz.
3. Her Taraf, Sözleşme kapsamındaki yükümlülüklerini ve hizmetlerini yerine getirmesi amacıyla, Kişisel Verileri kendi adına işlemek üzere Bağlı Şirketler de dahil olmak üzere alt yükleniciler ("Alt İşlemciler") atayabilir; ancak şu koşullar sağlanmalıdır: (i) atama, uygulanabilir olduğu durumlarda, bu Veri Koruma Eki kapsamında sağlanan Kişisel Verilerin eşdeğer şekilde korunmasını sağlayan şartları içeren, atanan Alt İşlemci ile yapılacak yazılı bir sözleşmeye tabi olacaktır; ve (ii) her Taraf, kendi Alt İşlemcilerinin eylemlerinden veya ihmallerinden, bu Veri Koruma Eki, Sözleşme ve Veri Koruma Yasaları kapsamında kendi eylemlerinden veya ihmallerinden sorumlu olduğu ölçüde sorumlu olacaktır.

4. Kişisel Verilerin Aktarımı

Taraflar, Kişisel Verileri Onaylanmış bir Yargı Bölgesi dışında işlemeyecek veya aktarmaya yetkili olmayacaktır;

1. Bir Taraf, Kişisel Verileri Onaylanmış Yargı Alanı dışındaki bir yargı alanında işlemek veya Kişisel Verileri bu yargı alanına aktarmak isterse, geçerli olduğu durumlarda Birleşik Krallık Eki ile birlikte SCC'leri kabul ettiği kabul edilir; bu durumda: (i) Birleşik Krallık Eki ve SCC'ler atıf yoluyla buraya dahil edilmiştir; ve (ii) Kişisel Verileri ifşa eden Taraf İhracatçı olarak kabul edilir ve Kişisel Verileri alan Taraf İthalatçı olarak kabul edilir (bu terimler burada tanımlandığı şekilde).

5. Genel

1. Veri Koruma Kanunlarından herhangi biri yeni veya değiştirilmiş Veri Koruma Kanunları (ilgili bir mahkeme veya hükümet makamının bu konuyla ilgili kararları veya yorumları dahil) tarafından yürürlükten kaldırılırsa, yeni veya değiştirilmiş Veri Koruma Kanunları bu Veri Koruma Eki'ne dahil edilmiş sayılacak ve her iki Taraf da derhal bu Veri Koruma Kanunlarına uymaya başlayacaktır.
2. Bu DPA'nın şartları ile Standart Sözleşme Maddeleri veya Birleşik Krallık Eki (geçerli olduğu şekilde) arasında herhangi bir çelişki veya tutarsızlık olması halinde, Standart Sözleşme Maddeleri veya Birleşik Krallık Eki (geçerli olduğu şekilde) şartları geçerli olacaktır.

SCC'lerin Ek I'i

1. Ek 1, DPA'nın bir parçasını oluşturur ve Tarafların, Birleşik Krallık Eki ve/veya Standart Sözleşme Maddeleri kapsamındaki ilgili yükümlülüklerine ilişkin mutabık kaldıkları yorumlamaları belirler.
2. Taraflar, MIR ile Hesap Sahibi arasında Kişisel Verilerin aktarımı amacıyla aşağıdakilerin uygulanacağını kabul eder:
   
   1. SCC'lerin 7. maddesi uygulanmayacaktır
   2. Birleşik Krallık Ek Sözleşmesi'nin dahil edildiği durumlarda denetleyici makam Birleşik Krallık Bilgi Komiserliği Ofisi, yalnızca SCC'lerin dahil edildiği durumlarda ise İrlanda Veri Koruma Komiserliği olacaktır.
   3. Birleşik Krallık Ek Sözleşmesi'nin geçerli olduğu durumlarda İngiltere ve Galler yasaları, geçerli olmadığı durumlarda ise İrlanda yasaları geçerli olacaktır.
   4. Taraflar, Birleşik Krallık Ek Sözleşmesi'nin geçerli olduğu durumlarda yargı yeri ve yetki alanı olarak İngiliz mahkemelerini, geçerli olmadığı durumlarda ise İrlanda mahkemelerini seçerler.
   5. Birleşik Krallık Ek Sözleşmesi'nin 4. Tablosunda, tarafların her biri Birleşik Krallık Ek Sözleşmesi'nin 19. maddesi uyarınca sözleşmeyi feshedebilir.

Tarafların Tanımlanması

“Veri İhracatçısı”: Kişisel Verilerin aktarıcısı;

“Veri İthalatçısı”: Kişisel Verilerin alıcısı

Transferin Açıklaması

Veri Konuları

İşlenen Kişisel Veriler aşağıdaki Veri Sahibi kategorilerine ilişkindir (lütfen belirtiniz):

• ☐ MIR çalışanları
• ☐ MIR'in müşterileri
• ☐ Hesap Sahibinin son kullanıcıları
• ☐ Hesap Sahibinin çalışanları
• ☐ Hesap Sahibinin müşterileri
• ☐ Diğer: ________

Kişisel Veri Kategorileri

Aktarılan Kişisel Veriler aşağıdaki veri kategorilerini kapsamaktadır (lütfen belirtiniz):

• ☐ İletişim bilgileri (isim, yaş, cinsiyet, adres, telefon numarası, e-posta adresi vb.)
• ☐ Finansal ve ödeme verileri (örneğin kredi kartı numarası, banka hesabı, işlemler)
• ☐ Resmi kimlikler (pasaport, ehliyet)
• ☐ Cihaz tanımlayıcıları ve internet veya elektronik ağ etkinliği (IP adresleri, GAID/IDFA, tarama geçmişi, zaman damgaları)
• ☐ Coğrafi konum bilgisi
• ☐ Biyometrik veriler
• ☐ Diğer: ________

Özel Veri Kategorileri (uygunsa)

Aktarılan Kişisel Veriler aşağıdaki özel veri kategorilerini kapsamaktadır (lütfen belirtiniz):

• ☐ Hiçbiri
• ☐ Genetik veya biyometrik veriler
• ☐ Sağlık verileri
• ☐ Irksal veya etnik köken
• ☐ Siyasi görüşler, dini veya felsefi inançlar
• ☐ Diğer: ________

Transfer sıklığı:

• ☐ Tek seferlik
• ☐ Sürekli
• ☐ Diğer: ________

İşlemin niteliği

• ☐ Koleksiyon
• ☐ Kayıt
• ☐ Organizasyon veya yapılandırma
• ☐ Depolama
• ☐ Uyarlama veya değişiklik
• ☐ Geri Alma
• ☐ Danışmanlık
• ☐ Açıklama, yayma veya başka bir şekilde kullanılabilir hale getirme
• ☐ Analiz
• ☐ Silme veya imha
• ☐ Diğer: ________
•  

Aktarımın amacı ve daha sonraki işleme

• ☐ MBB Hesap Hizmetlerini sağlamak, yönetmek ve işletmek
• ☐ Diğer: ________

Saklama süresi

Kişisel Veriler, Sözleşme süresi boyunca veya Uygulanacak Hukuka uygun olarak saklanacaktır.

SCC'lerin Ek II'si - Verilerin Güvenliğini Sağlamak İçin Teknik ve Organizasyonel Önlemler de Dahil Teknik ve Organizasyonel Önlemler

Bu Ek, DPA'nın bir parçasını oluşturur ve veri ithalatçısı tarafından uygulanan teknik ve organizasyonel güvenlik önlemlerini açıklar.

Veri İthalatçısı, teknolojinin durumunu, uygulama maliyetlerini ve işlemenin niteliğini, kapsamını, bağlamını ve amaçlarını ve gerçek kişilerin hakları ve özgürlükleri açısından farklı olasılık ve ciddiyetteki riski dikkate alarak, riske uygun bir güvenlik düzeyini sağlamak için uygun teknik ve organizasyonel önlemleri uygulayacaktır; bunlara uygun olduğu takdirde şunlar dahildir:

• kişisel verilerin takma adlandırılması ve şifrelenmesi;
• işleme sistemlerinin ve hizmetlerinin sürekli gizliliğini, bütünlüğünü, kullanılabilirliğini ve dayanıklılığını sağlama yeteneği;
• fiziksel veya teknik bir olay durumunda kişisel verilere erişimin ve kullanılabilirliğin zamanında yeniden sağlanabilmesi yeteneği;
• işlemenin güvenliğinin sağlanması için teknik ve organizasyonel önlemlerin etkinliğini düzenli olarak test etme, değerlendirme ve ölçme süreci; ve
• Bilgi Güvenliği ve Veri Gizliliği Politikalarının sürdürülmesi