Veri İşleme Sözleşmesi

1. Taraflar

Bu Veri İşleme Sözleşmesi ("DPA"), Müşteri ("Veri Sorumlusu") ile İrlanda'da kayıtlı YARDtwin Ltd ("Veri İşleyici") arasında akdedilmekte olup taraflar birlikte "Taraflar" olarak anılır. Bu DPA, aşağıdaki YARDtwin belgesinin bir parçasını oluşturur ve ona tabidir: Hizmet Koşulları.

2. Kapsam ve Amaç

İşleyici, kişisel verileri Sorumlu adına yalnızca YARDtwin saha yönetim platformunu sağlama amacıyla işler: rıhtım planlaması, kapı operasyonları, dijital ikiz saha görselleştirmesi, taşıyıcı ve sürücü yönetimi, GMP ortamları için tasarlanmış denetim izi, analitik ve entegrasyonlar. İşleme, Sorumlu'nun abonelik süresi ve Madde 11'in gerektirdiği saklama süresi boyunca gerçekleştirilir.

3. Veri Sahibi Kategorileri

• Sorumlu'nun çalışanları ve yöneticileri (platformun adlandırılmış kullanıcıları)
• Sorumlu'nun kapılarında giriş yapan sürücüler ve lojistik personeli
• Taşıyıcı temsilcileri ve sevkiyat irtibat kişileri
• Kapı güvenliği ve depo operatörü personeli

4. Kişisel Veri Türleri

• Kimlik verileri: adlar, e-posta adresleri, telefon numaraları, pozisyon/iş unvanı, şirket adı ve adresi
• Kimlik doğrulama verileri: bcrypt ile karma şifreler (12 tur), JWT erişim ve yenileme token'ları, oturum zaman damgaları, IP adresleri, SSO tanımlayıcıları (Google, Microsoft)
• Operasyonel veriler: randevular, rıhtım tahsisleri, treyler hareketleri, denetim kayıtları, belgeler, görev atamaları, araç tescil bilgileri
• Sürücü verileri: ehliyet numaraları ve ehliyet görüntüleri. Kapı personeli, kapı kanıtı olarak sürücünün yüz fotoğrafını çekebilir. Bir sahada yapay zeka yüz karşılaştırması etkinleştirildiğinde, yapay zeka sağlayıcımız (Anthropic) bu fotoğrafı sürücünün kimliğini doğrulamaya yardımcı olmak amacıyla ehliyet fotoğrafıyla veya sürücünün kayıtlı fotoğrafıyla bire bir karşılaştırır. Sonuç bir tavsiye niteliğindedir: karar kapı personeline aittir ve personel, gerekçe belirterek karşılaştırmanın onaylamadığı bir sürücüyü kabul edebilir. Her karşılaştırma, sonucuyla birlikte sunucularımıza kaydedilir. Yüz karşılaştırması kapalı olduğunda (varsayılan), yapay zeka sağlayıcısına yüz fotoğrafı gönderilmez ve personel sürücüyü ehliyet fotoğrafıyla kendisi karşılaştırır; yapay zeka okuma açıksa ehliyet görüntüleri yine de yapay zeka tarafından okunur. YARDtwin yüz şablonu saklamaz ve bire çok tanımlama yapmaz.
• Denetim verileri: kullanıcı eylemleri, zaman damgaları, IP adresleri, kullanıcı aracısı dizeleri, eski/yeni değer farkları, GMP ile işaretlenmiş kayıtlar

5. İşleyicinin Yükümlülükleri

• Kişisel verileri yalnızca Sorumlu'nun belgelenmiş talimatları doğrultusunda işlemek (platform UI ve API, belgelenmiş talimat niteliği taşır)
• Veri işleme yetkisi verilen kişilerin gizlilik sözleşmeleriyle bağlı olmasını sağlamak
• Uygun teknik ve organizasyonel güvenlik önlemlerini uygulamak (Madde 32) — aşağıdaki Bölüm 7'ye bakınız
• Yalnızca Madde 6'da listelenen alt işleyicilerle çalışmak; bunlar için Sorumlu genel yazılı yetkilendirme verir; herhangi bir yeni alt işleyici için en az 30 gün önceden bildirim yapmak; Sorumlu itiraz hakkına sahiptir (Madde 6)
• Bölüm 9'da açıklanan DSAR uç noktaları aracılığıyla Sorumlu'ya veri sahibi talepleri (Madde 15–22) konusunda yardımcı olmak
• Bir kişisel veri ihlalinden haberdar olunmasının ardından gereksiz gecikme olmaksızın ve her halükarda 48 saat içinde Sorumlu'ya bildirimde bulunmak; Sorumlu'nun verilerini etkileyen doğrulanmış herhangi bir güvenlik olayında 24 saat içinde ilk bildirimi yapmak (Madde 8)
• Hizmetlerin sona ermesi üzerine tüm kişisel verileri silmek veya iade etmek (Bölüm 11)
• Uyumluluğu kanıtlamak ve denetimleri desteklemek için gerekli tüm bilgileri sunmak (Bölüm 12)

6. Alt İşleyiciler

İşleyici, her biri bir Veri İşleme Sözleşmesi ve (uygulanabildiği durumlarda) 2021 Standart Sözleşme Maddeleri kapsamında faaliyet gösteren aşağıdaki alt işleyicilerle şu an itibarıyla çalışmaktadır:

Sorumlu, yukarıda listelenen alt işleyiciler için genel yazılı yetkilendirme verir. İşleyici, herhangi bir yeni alt işleyici için en az 30 gün önceden bildirimde bulunur; Sorumlu makul gerekçelerle itiraz edebilir ve itiraz çözülemezse etkilenen hizmeti cezasız olarak sonlandırabilir.

Yalnızca web sitesi hizmetleri (müşteri operasyonel verisi yok)

Bunlar yalnızca herkese açık web sitesinde çalışır. Hiçbir müşteri operasyonel verisi almaz ve bu verinin alt işleyicisi değildir; çerez kullananlar yalnızca onay ile yüklenir.

7. Güvenlik Önlemleri (Madde 32)

• İletimde şifreleme: Her uç noktada TLS 1.2+; sertifikalar Microsoft Azure (DigiCert) tarafından yönetilir
• Depoda şifreleme: Azure Postgres Flexible Server şeffaf veri şifreleme; Azure Blob Storage şifreleme
• Sürücü belgesi görselleri ve imzalar: Sürücü belgesi görselleri ve imzalar, Azure Storage ve Azure Database for PostgreSQL tarafından bekleme sırasında AES-256 ile şifrelenir (Microsoft tarafından yönetilen anahtarlar) ve bunlara erişim role ve kuruluşa göre sınırlandırılır
• Parola karma: bcrypt, 12 tur
• Kimlik doğrulama: JWT erişim token'ları (1 saatlik geçerlilik süresi) ve yenileme token'ları (7 günlük geçerlilik süresi, kullanımda döndürülür, oturum açmadan itibaren 30 günü aşamaz). Tek oturum açma (SAML 2.0, Google, Microsoft); platform yöneticileri için zorunlu, tüm kullanıcılar için kullanılabilir zamana dayalı tek kullanımlık şifre ile MFA
• Kiracı izolasyonu: sunucu tarafında kiracı kapsam belirlemesiyle uygulanır ve her sürümden önce otomatik olarak test edilir: sürüm geçidinin çapraz kiracı taraması, API'yi bir kuruluş olarak başka bir kuruluşun kayıt ID'leriyle çağırır ve o kuruluşun verilerinden herhangi biri okunabilir ya da değiştirilebilirse sürüm engellenir
• Rol tabanlı erişim denetimi: kimliği doğrulanmış rotalarda rol tabanlı izinler; kiracı kapsam belirlemesi sunucu tarafında uygulanır
• Web Uygulama Güvenlik Duvarı: Kimlik doğrulama, kayıt, parola sıfırlama ve veri sahibi talebi uç noktalarında özel hız sınırlama kurallarıyla Prevention modunda Azure Front Door WAF ve platform düzeyinde L7 DDoS koruması. Yönetilen bir OWASP kural seti bağlı değildir — bu, Front Door Premium katmanını gerektirir.
• Hız sınırlama: Rota başına sınırlar, kimlik doğrulama uç noktalarında daha kısıtlı; bellek içi + kalıcı deneme takibi
• Denetim izi: değiştirme kanıtı sağlayan ve yalnızca eklemeye izin veren (veritabanında zorunlu kılınan), GMP ile ilgili kayıtlar ayrıca işaretlenir ve hizmet sözleşmesi devam ettiği sürece en az 7 yıl saklanır (sözleşme sonunda Veri Sorumlusuna dışa aktarılır; Veri Sorumlusunun dışa aktarmayı yazılı olarak reddetmesi veya makul girişimlerin ardından kendisine ulaşılamaması hâli hariç, ardından silinir — Bölüm 11), diğer kayıtlar 365 gün saklanır, Art. 17(3)(b) kapsamındaki Art. 17 silme talebi üzerine takma adlı hâle getirilir (silinmez)
• Sürekli izleme: Azure Application Insights; her 10 dakikada bir web sitesi kullanılabilirlik testi; şema kayması uyarısı (15 dakikalık pencere); 5 dakika içinde 10'dan fazla sunucu hatası (HTTP 5xx) oluştuğunda uyarı; ve her 5 dakikada bir denetim günlüğünü kontrol eden bir ihlal izleme çalışanı — bu çalışan bir saatte bir hesap için 10 veya daha fazla başarısız giriş denemesini, 24 saat içinde 5 veya daha fazla IP adresinden aynı hesaba yapılan giriş girişimlerini ve son 30 gün içinde o kullanıcı için görülmemiş bir IP adresinden yapılan başarılı girişleri izler
• Yazılım tedarik zinciri: Her pull request birleştirilmeden önce npm audit (bağımlılık güvenlik açıkları), Semgrep (statik analiz) ve gitleaks (gizli bilgi taraması) kontrollerini geçmek zorundadır; Trivy konteyner imaj taraması danışma amaçlı bir kontrol olarak eklenir. Bu kontroller aynı zamanda master'a her push işleminde ve gece yarısı çalışır; üretim sitesinin dinamik testini kapsayan danışma amaçlı OWASP ZAP temel taramasıyla birlikte. Gizli bilgiler: App Service yönetilen kimliği aracılığıyla erişilen Azure Key Vault; kod, env dosyaları veya konteyner görüntülerinde gizli bilgi bulunmaz

8. Kişisel Veri İhlali Bildirimi

İşleyici, Sorumlu'nun verilerini etkileyen bir kişisel veri ihlalinden haberdar olmasının ardından gereksiz gecikme olmaksızın ve her halükarda 48 saat içinde Sorumlu'ya bildirimde bulunur; Sorumlu'nun verilerini etkileyen doğrulanmış herhangi bir güvenlik olayında 24 saat içinde ilk bildirimi yapar. Bildirim; ihlalin niteliğini, etkilenen veri sahiplerinin kategorilerini ve yaklaşık sayısını, olası sonuçları, alınan veya önerilen önlemleri ve ihlal kaydı referansını içerir. Tespit edilen anomaliler Azure Monitor Action Group'a yönlendirilir yardtwin-breach-actions; onaylanan olaylar, 72 saatlik DPC geri sayımıyla ihlal kaydı tablosunda takip edilir.

9. Veri Sahibi Hakları

İşleyici, Sorumlu'ya 30 günlük Art. 12(3) süresi içinde veri sahibi haklarını yerine getirmek için aşağıdaki uç noktaları sağlar:

• POST /api/v1/dsar/export/by-email — Art. 15 (erişim) ve Art. 20 (taşınabilirlik) kapsamını içeren makine tarafından okunabilir dışa aktarım
• POST /api/v1/dsar/erase/by-email — doğrulanmış talep üzerine silme: kişinin seçilen müşteri hesaplarındaki kendi kullanıcı hesapları anonimleştirilir ve oturumları, belirteçleri, bildirimleri, bekleyen davetleri, bülten ve kayıt kayıtları ile kendi avatarı silinir; Sorumlu'nun tuttuğu operasyonel kayıtlar (rezervasyonlar, kapı ve ziyaret kayıtları, sürücü listesi, kişiler) Sorumlu'nun gereğini yapabilmesi için listelenir; denetim izi, GMP bütünlüğü için işlemi yapana ilişkin anonimleştirilmiş bir referansı korur (Md. 17(3)(b))
• Self-servis talep portalı: /data-request

10. Uluslararası Veri Transferleri

Operasyonel veriler Avrupa Ekonomik Alanı içinde depolanır (Microsoft Azure, İsveç Orta ve Norveç Doğu). AEA dışındaki her alt işleyiciye yapılan aktarım için Standart Sözleşme Maddeleri (2021) uygulanır; alıcının AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı olması durumunda bu çerçeveye de dayanılır. Aktarım etki değerlendirmeleri tamamlanmaktadır (hedef: Kasım 2026).

11. Süre, Fesih ve Verilerin İadesi

Bu DPA, hizmet sözleşmesinin süresi boyunca geçerliliğini korur. Fesih durumunda:

• Sorumlu, ürün içi dışa aktarma işlevleri veya talep yoluyla tüm verilerini 30 gün içinde dışa aktarabilir
• 30 günün ardından İşleyici, Sorumlu'ya ait tüm operasyonel kişisel verileri siler
• Hizmet sözleşmesi devam ettiği sürece denetim günlükleri takma adlı hâle getirilmiş biçimde saklanır: GMP ile ilgili kayıtlar, GMP kayıt saklama gerekliliklerini karşılamak amacıyla (21 CFR Part 11 / EU GMP Annex 11; Art. 17(3)(b) yasal yükümlülük istisnası) olaydan itibaren en az 7 yıl, diğer denetim kayıtları ise 365 gün süreyle saklanır. Sözleşmenin sona ermesi üzerine, Veri Sorumlusunun verileri silinmeden önce, Veri Sorumlusuna denetim izinin eksiksiz bir dışa aktarımı doğrulama makbuzuyla birlikte verilir; Veri Sorumlusunun bunu kendi kayıt saklama süresi için muhafaza etmesi beklenir; ancak Veri Sorumlusu dışa aktarmayı yazılı olarak reddeder veya makul girişimlerin ardından kendisine ulaşılamazsa bu hüküm uygulanmaz. Veri İşleyici, ardından denetim izini Veri Sorumlusunun diğer verileriyle birlikte siler. Kendi programlarına göre sona eren aşağıda açıklanan yedekler ile Veri İşleyicinin kendi devir teslim kaydı (makbuz, dışa aktarmanın hash'leri ve sayımları ile bunu kimin yaptığı ve aldığı) hariç olmak üzere, denetim izi ancak Veri Sorumlusunun Veri İşleyiciye ayrı bir sözleşme kapsamında yazılı talimat vermesi hâlinde daha uzun süre saklanır.
• Operasyonel veriler, sözleşme sona erdikten sonra 30 gün içinde silinir. Belirli bir zamana ait veritabanı yedekleri 7 gün içinde sona erer. Şifrelenmiş aylık arşiv yedekleri yalnızca olağanüstü durum kurtarma amacıyla 7 yıla kadar saklanır; yalnızca hizmeti kurtarmak için geri yüklenir, içerdikleri veriler kullanılamaz durumdadır ve yedekle birlikte sona erer.
• Her gece tam bir veritabanı yedeği alınır ve AEA içindeki ayrı şifreli depolama alanında (Sweden Central, Sweden South'a coğrafi olarak çoğaltılmış) 35 gün boyunca saklanır; canlı hizmetten silinen veriler, yedeklerin süresi dolana kadar bu yedeklerde kullanım dışı olarak kalır.

12. Denetim Hakları

İşleyici, Sorumlu'ya Madde 28 GDPR uyumunu kanıtlamak için gerekli tüm bilgileri sağlar. Müşteriler şunları talep edebilir: güncel alt işleyici kaydı, en son kiracı izolasyonu regresyon test raporu, gerçekleştirildikten sonra harici sızma testi özeti (bkz. GDPR Policy 11.1) ve tedarikçi güvenlik anketi yanıtları. Makul yerinde veya uzaktan denetimler, en az 30 gün önceden bildirimde bulunularak gizlilikle bağlı Sorumlu veya bağımsız bir üçüncü tarafça yürütülmek üzere düzenlenebilir. İşleyici bugün itibarıyla ISO 27001 veya SOC 2 sertifikasına sahip değildir; ISO 27001 sertifikası elde edildiğinde (hedef: Q1 2027), İşleyici sertifikayı alternatif kanıt olarak sunacaktır.

13. Sorumluluk ve Geçerli Hukuk

Bu DPA kapsamındaki sorumluluk, YARDtwin Hizmet Koşulları'nde belirtilen sınırlamalara tabidir. Bu DPA, İrlanda hukuku ve AB Genel Veri Koruma Tüzüğü (GDPR) tarafından yönetilir. Tüm anlaşmazlıklar, İrlanda mahkemelerinin münhasır yargı yetkisine tabidir.

14. İletişim

Bu DPA hakkındaki sorular için, inceleme kopyası talep etmek (şirket tescili tamamlandıktan sonra karşılıklı imzalı bir suret düzenlenir) veya yukarıda belirtilen haklardan herhangi birini kullanmak için lütfen iletişime geçin: admin@yardtwin.com veya veri koruma iletişim adresine dpo@yardtwin.com. Bu, YARDtwin Ltd bünyesinde veri korumadan sorumlu kişi tarafından takip edilen bir rol posta kutusudur. YARDtwin, kendi işleme faaliyetleri açısından zorunlu olmayan GDPR Madde 37 kapsamında yasal bir Veri Koruma Görevlisi atamamıştır (GDPR Politikası 11.2); iletişim adresi, bireysel bir isim yerine kamuoyuyla paylaşılmaktadır.