Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve roller

CarbHQ'yu kullanan işletme ("Müşteri"), platforma girdiği kişisel veriler bakımından veri sorumlusudur. CarbHQ ("Hizmet Sağlayıcı"), bu verileri Müşteri'nin talimatları doğrultusunda ve yalnızca hizmeti sunmak amacıyla işleyen veri işleyendir. CarbHQ'nun kendi kullanıcı hesaplarına (kayıt, giriş, iletişim) ilişkin verilerde veri sorumlusu olarak hareket ettiği hâller Gizlilik Politikası ve KVKK Aydınlatma Metni'nde açıklanmıştır.

2. Konu, süre ve amaç

İşleme konusu, Müşteri'nin CarbHQ aracılığıyla CBAM emisyon verilerini hesaplaması, tedarikçilerinden veri toplaması, belge saklaması, rapor üretmesi ve bunları alıcı veya doğrulayıcılarla paylaşmasıdır. İşleme, hizmet ilişkisi süresince devam eder.

3. İşlenen veri türleri ve ilgili kişiler

• İlgili kişiler: Müşteri'nin kullanıcıları ve davet ettiği ekip üyeleri; tedarikçi, alıcı ve doğrulayıcı kuruluşların iletişim kişileri.
• Veri türleri: ad-soyad, kurumsal e-posta adresi, unvan, şirket adı; tedarikçi davetlerinde girilen tedarikçi adı ve e-postası; yüklenen belgelerde bulunabilecek kişisel veriler. Platform, özel nitelikli kişisel veri işlemek üzere tasarlanmamıştır; bu tür verileri yüklememenizi rica ederiz.

4. Talimatlar

CarbHQ, kişisel verileri yalnızca Müşteri'nin yazılı talimatları (hizmeti kullanması ve bu sözleşme) doğrultusunda işler; talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir.

5. Gizlilik

Verilere erişebilen CarbHQ personeli ve hizmet sağlayıcılar, gizlilik yükümlülüğüne tabidir. Veriler tesis bazında ayrılır; bir tesisin kayıtlarına yalnızca o tesise üye kullanıcılar erişebilir.

6. Güvenlik önlemleri

Uygulanan önlemler Güvenlik sayfasında, gerçekte uygulanan haliyle listelenir; özetle: tek yönlü hash ile saklanan şifreler, isteğe bağlı iki adımlı doğrulama, HTTPS ve CSRF koruması, rol bazlı erişim, süreli ve iptal edilebilir paylaşım linkleri, API anahtarlarının yalnızca özetinin saklanması, yüklenen dosyalar için tür/içerik imzası kontrolü ve giriş gerektiren indirme adresleri. Bağımsız bir güvenlik sertifikamız (ISO 27001, SOC 2) ve zararlı yazılım taraması şu an yoktur.

7. Alt işleyenler

Müşteri, aşağıdaki alt işleyenlerin kullanımına genel olarak izin verir:

• Railway: barındırma; veritabanı ve yüklenen dosyalar (sunucu bölgesi: ABD Batı, Kaliforniya).
• Brevo: işlemsel e-postaların iletilmesi (şifre sıfırlama, doğrulama kodu, tedarikçi daveti, rapor gönderimi).

Alt işleyen listesinde değişiklik olursa bu sayfa güncellenir. Müşteri değişikliğe makul gerekçeyle itiraz edebilir.

8. Yurt dışına aktarım

Barındırma sağlayıcımızın sunucuları şu anda ABD'dedir (Kaliforniya), yani Türkiye ve AEA dışındadır; diğer alt işleyenler de bu bölgelerin dışında olabilir. Aktarımlar, ilgili mevzuatın (KVKK, GDPR) aradığı güvencelerle yapılır; güncel durum alt işleyenin kendi belgelerine ve hukuk danışmanı incelemesine tabidir.

9. İlgili kişi talepleri ve yardım

CarbHQ, ilgili kişilerin haklarına ilişkin taleplere yanıt verebilmeniz için makul ölçüde yardımcı olur; doğrudan CarbHQ'ya ulaşan bir talebi Müşteri'ye iletir. Talepler için: support@carbhq.com.

10. İhlal bildirimi

Kişisel verileri etkileyen bir güvenlik ihlalini öğrenen CarbHQ, Müşteri'yi gecikmeksizin bilgilendirir ve ihlalin niteliği, etkilenen veriler ile alınan önlemler hakkında elindeki bilgileri paylaşır.

11. Silme ve iade

Hizmet ilişkisi sona erdiğinde veya Müşteri talep ettiğinde, Müşteri verileri makul bir sürede silinir ya da dışa aktarım için sunulur; yasal saklama yükümlülükleri saklıdır. Hesap silme talepleri şu an elle işleme alınır.

12. Denetim

Müşteri, CarbHQ'nun bu sözleşmedeki yükümlülüklerine uyduğunu gösteren makul bilgilere talep üzerine erişebilir. Yerinde denetim, önceden ve makul bir kapsamda kararlaştırılır.

13. Geçerli hukuk

Bu sözleşmenin ayrıntıları, şirketin kuruluşu ve hukuk danışmanı incelemesi tamamlandığında netleştirilecektir.