Bu ek, Mesafeli Hizmet Satış Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, Müşterinin barındırdığı kişisel verilerin işlenmesine ilişkin tarafların yükümlülüklerini düzenler.
1. Tarafların Sıfatı
1.1. Müşteri, veri sorumlusudur. Hosting hizmeti kapsamında barındırdığı web sitesi, e-posta ve veritabanlarındaki kişisel verilerin (kendi ziyaretçi, üye ve müşteri bilgileri) işlenme amaç ve vasıtalarını Müşteri belirler.
1.2. Çağrı Hosting, veri işleyendir. Bu verileri yalnızca barındırma hizmetini sunmak amacıyla, Müşterinin talimatları doğrultusunda ve bu sözleşmede belirlenen sınırlar içinde işler.
1.3. Çağrı Hosting'in kendi müşteri kayıtları (sipariş, fatura, iletişim bilgileri) bakımından veri sorumlusu Çağrı Hosting'dir; bu veriler KVKK Aydınlatma Metni kapsamındadır ve bu ekin konusu dışındadır.
2. İşlemenin Konusu ve Kapsamı
| Başlık | İçerik |
|---|---|
| İşleme amacı | Barındırma hizmetinin sunulması, altyapının çalıştırılması, yedekleme, teknik destek ve güvenliğin sağlanması |
| Veri kategorileri | Müşterinin belirlediği ve barındırdığı her türlü kişisel veri |
| İlgili kişi grupları | Müşterinin ziyaretçileri, üyeleri, müşterileri ve çalışanları |
| Süre | Hizmet süresince ve bu ekte belirtilen imha süreleri boyunca |
Çağrı Hosting, barındırdığı verilerin içeriğini, türünü veya hassasiyet derecesini bilmez ve denetlemez. Müşteri, özel nitelikli kişisel veri (sağlık, biyometrik, ceza mahkûmiyeti vb.) barındıracaksa buna uygun ek teknik tedbirleri kendisi almakla yükümlüdür.
3. Çağrı Hosting'in Yükümlülükleri
3.1. Kişisel verileri yalnızca Müşterinin talimatları ve hizmetin gerektirdiği ölçüde işler; kendi amaçları için kullanmaz, satmaz, üçüncü kişilere devretmez.
3.2. Verilere erişimi, görevi gereği yetkilendirilmiş ve gizlilik yükümlülüğü altındaki personelle sınırlar.
3.3. KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini sağlamak için makul teknik ve idari tedbirleri alır: erişim kontrolü, şifreleme (SSL/TLS), güvenlik duvarı, saldırı izleme, düzenli yedekleme, güncelleme yönetimi ve erişim kayıtlarının tutulması.
3.4. Müşterinin barındırdığı içeriğe yalnızca şu hâllerde erişir:
- Müşterinin destek talebi veya açık talimatı üzerine,
- Hizmetin sürdürülmesi için zorunlu teknik müdahale hâllerinde,
- Yetkili makamların hukuka uygun kararları doğrultusunda.
3.5. Veri ihlali bildirimi: Barındırılan verileri etkileyen bir güvenlik ihlali tespit edilirse, Çağrı Hosting durumu öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Müşteriye bildirir; bildirimde ihlalin niteliği, etkilenen veri türleri ve alınan tedbirler yer alır. Kurul'a bildirim yükümlülüğü, veri sorumlusu sıfatıyla Müşteriye aittir ve mevzuat uyarınca 72 saat içinde yapılmalıdır. Çağrı Hosting bu süreçte Müşteriye gerekli bilgi ve desteği sağlar.
3.6. İlgili kişi talepleri: Müşterinin barındırdığı verilere ilişkin olarak Çağrı Hosting'e doğrudan bir ilgili kişi başvurusu ulaşırsa, Çağrı Hosting talebi kendisi cevaplamaz; başvuruyu Müşteriye yönlendirir ve talebin karşılanması için makul teknik desteği sağlar.
3.7. Denetim: Müşteri, makul sıklıkta ve önceden yazılı bildirimde bulunarak, bu ekteki yükümlülüklerin yerine getirildiğine ilişkin bilgi talep edebilir. Çağrı Hosting, diğer müşterilerin verilerinin gizliliğini ihlal etmemek kaydıyla gerekli bilgileri sağlar.
4. Alt Veri İşleyenler
4.1. Çağrı Hosting, hizmetin sunulması için alt veri işleyen kullanabilir. Güncel liste:
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| SunucumFix | Sunucu altyapısı | Türkiye |
| [YEDEKLEME SAĞLAYICISI] | Sunucu dışı yedekleme | [ÜLKE] |
| [CDN / GÜVENLİK SAĞLAYICISI] | İçerik dağıtımı ve saldırı koruması | [ÜLKE] |
| [DİĞER] |
4.2. Alt işleyenlerle, bu ektekiyle eşdeğer yükümlülükler içeren yazılı sözleşmeler yapılır. Çağrı Hosting, alt işleyenlerin eylemlerinden Müşteriye karşı sorumludur.
4.3. Alt işleyen listesinde değişiklik yapılması hâlinde Müşteriye en az 30 gün önce e-posta ile bildirim yapılır. Müşteri, değişikliğe itiraz ederse hizmeti cezai şart ödemeden sonlandırabilir; bu durumda kullanılmayan süreye ilişkin bedel iade edilir.
5. Yurt Dışına Aktarım
Alt işleyenlerden bazılarının sunucuları yurt dışında bulunuyorsa, aktarım KVKK'nın 9. maddesi uyarınca gerçekleştirilir: Kurul tarafından ilan edilen standart sözleşmeler imzalanır ve imza tarihinden itibaren 5 iş günü içinde Kurum'a bildirilir. Müşteri, kendi veri sorumlusu yükümlülükleri kapsamında bu aktarımı kendi aydınlatma metninde belirtmekle yükümlüdür.
6. Verilerin İadesi ve İmhası
6.1. Hizmetin sona ermesi hâlinde Müşteriye, verilerini indirmesi için 30 gün süre tanınır.
6.2. Bu sürenin sonunda barındırılan veriler kalıcı olarak silinir. Yedek sistemlerdeki kopyalar, yedek döngüsünün doğası gereği en geç 30 gün içinde silinir.
6.3. Mevzuatın saklanmasını zorunlu kıldığı kayıtlar (5651 sayılı Kanun kapsamındaki trafik bilgileri gibi) ilgili süre boyunca saklanmaya devam eder.
7. Müşterinin Yükümlülükleri
7.1. Müşteri, barındırdığı kişisel verileri hukuka uygun olarak topladığını, gerekli aydınlatmayı yaptığını ve gereken hâllerde açık rıza aldığını taahhüt eder.
7.2. Müşteri; kendi sitesinin yazılımını, eklentilerini ve temalarını güncel tutmakla, güçlü şifre kullanmakla ve kendi kullanıcı yetkilendirmelerini yönetmekle yükümlüdür.
7.3. Müşterinin bu yükümlülüklere aykırılığı nedeniyle doğan ihlal ve zararlardan Çağrı Hosting sorumlu değildir.
8. Yürürlük
Bu ek, hizmetin satın alınmasıyla birlikte yürürlüğe girer ve hizmet süresince geçerlidir. Müşteri talep ederse ıslak veya elektronik imzalı bir nüsha düzenlenir.