Veri İşleme Sözleşmesi (DPA)

İşbu Veri İşleme Sözleşmesi ("VİS"), PINHAN GROUP LLC (ABD'nin Delaware eyaletinde kurulu limited şirket; adres: 501 Silverside Road, Suite #105 - 5653, Wilmington, DE 19809, USA; "PINHAN GROUP LLC" veya "Veri İşleyen") ile COTA CRM hizmetini kullanan işletme ("Müşteri" veya "Veri Sorumlusu") arasında, Kullanım Koşulları'nın ("Koşullar") ayrılmaz bir parçası olarak akdedilmiştir ve Müşteri Verisi kişisel veri içerdiği ölçüde uygulanır. VİS, Müşteri'nin hizmeti kullanmaya başlaması veya Koşulları kabul etmesiyle yürürlüğe girer; ayrıca imza gerektirmez.

1. Tanımlar

• "Müşteri Verisi": Müşteri'nin veya yetkili kullanıcılarının hizmete girdiği ya da hizmet aracılığıyla topladığı, Müşteri adına işlenen tüm veriler.
• "Kişisel Veri": Müşteri Verisi içinde yer alan, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (6698 sayılı KVKK'daki "kişisel veri" ile GDPR/UK GDPR'daki "personal data" ve CCPA'daki "personal information" kavramlarını kapsar).
• "Veri Koruma Mevzuatı": 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuatı; (AB) 2016/679 sayılı Tüzük ("GDPR"); Birleşik Krallık Veri Koruma Yasası 2018 ve UK GDPR; İsviçre Federal Veri Koruma Yasası ("FADP"); Kaliforniya Tüketici Gizliliği Yasası (CCPA/CPRA) ve diğer ABD eyalet gizlilik mevzuatı; Müşteri'ye uygulanan diğer ilgili mevzuat.
• "Alt İşleyen": PINHAN GROUP LLC adına Kişisel Veri işleyen üçüncü taraf.
• "Kişisel Veri İhlali": Müşteri Verisi'nin hukuka aykırı olarak ele geçirilmesi, kaybı, değiştirilmesi, yetkisiz ifşası veya erişimi sonucunu doğuran güvenlik ihlali.
• "SSS": (AB) 2021/914 sayılı Komisyon Uygulama Kararı ekindeki Standart Sözleşme Hükümleri. "UK Eki": Bilgi Komiserliği Ofisi'nin (ICO) yayımladığı Uluslararası Veri Aktarım Eki (International Data Transfer Addendum). "KVKK Standart Sözleşmesi": Kişisel Verileri Koruma Kurulu'nun KVKK m.9 uyarınca yayımladığı standart sözleşme metinleri.

Bu VİS'te tanımlanmayan "veri sorumlusu", "veri işleyen", "ilgili kişi", "işleme" ve benzeri terimler, Veri Koruma Mevzuatı'ndaki anlamlarını taşır.

2. Kapsam, Taraflar'ın Rolleri ve Öncelik Sırası

• 2.1. Müşteri Verisi bakımından Müşteri veri sorumlusu (GDPR'da controller; CCPA'da business), PINHAN GROUP LLC veri işleyendir (GDPR'da processor; CCPA'da service provider). Müşteri başka bir veri sorumlusu adına hareket ediyorsa (ör. franchise yapısı), Müşteri veri işleyen, PINHAN GROUP LLC ise alt veri işleyen sıfatını taşır ve bu VİS buna göre uygulanır; Müşteri, ilgili veri sorumlusundan gerekli talimat ve yetkilere sahip olduğunu beyan eder.
• 2.2. İşlemenin konusu, süresi, niteliği, amacı, Kişisel Veri türleri ve ilgili kişi kategorileri Ek I'de belirtilmiştir.
• 2.3. Veri korumaya ilişkin konularda öncelik sırası şöyledir: (i) SSS, UK Eki ve KVKK Standart Sözleşmesi (uygulandıkları ölçüde); (ii) bu VİS; (iii) Koşullar ve imzalı sipariş formu/sözleşme (VİS ile çelişen hükümler bakımından VİS, veri konularında Koşulların önündedir). Genel öncelik sırası Koşullar'da düzenlenmiştir.
• 2.4. Müşteri; Kişisel Veri'nin işlenmesinin hukuki sebebini, ilgili kişilere yapılacak aydınlatma/bilgilendirmeyi, gerekli açık rızaları ve ticari elektronik ileti izinlerini (İYS dâhil) sağlamaktan ve Veri Koruma Mevzuatı'na uygunluktan sorumludur.

3. İşleme Talimatları

• 3.1. PINHAN GROUP LLC, Kişisel Veri'yi yalnızca Müşteri'nin yazılı (elektronik ortam dâhil) talimatları doğrultusunda ve hizmetin sunulması amacıyla işler. Müşteri'nin bu konudaki belgelenmiş talimatları şunlardır: Koşullar ve bu VİS; Müşteri ve kullanıcılarının hizmeti kullanırken panel üzerinden yaptığı yapılandırma ve işlemler; destek talebi veya e-posta ile ilettiği makul ve belgelenmiş ek talimatlar.
• 3.2. PINHAN GROUP LLC, Müşteri Verisi'ni kendi amaçları için kullanmaz, satmaz, paylaşmaz ve yapay zekâ modellerini eğitmek için kullanmaz. Hizmetin güvenliği, performansı ve faturalanması için yalnızca toplulaştırılmış ve anonimleştirilmiş istatistikler üretilebilir.
• 3.3. Kanunen zorunlu olmadıkça PINHAN GROUP LLC talimat dışında işleme yapmaz; böyle bir zorunluluk varsa, yasaklanmadığı sürece Müşteri'yi önceden bilgilendirir.
• 3.4. PINHAN GROUP LLC, bir talimatın Veri Koruma Mevzuatı'nı ihlal ettiği kanaatindeyse Müşteri'yi derhâl bilgilendirir ve talimat değiştirilene veya teyit edilene kadar uygulamayı askıya alabilir.

4. Personelin Gizlilik Yükümlülüğü

PINHAN GROUP LLC, Kişisel Veri'ye erişimi bulunan personelinin ve yetkili temsilcilerinin erişimini görev gereği ve ihtiyaç ölçüsünde sınırlandırır; bu kişilerin gizlilik taahhüdü verdiğini veya yasal bir gizlilik yükümlülüğü altında olduğunu temin eder. Bu yükümlülük, işleme ilişkisinin sona ermesinden sonra da devam eder.

5. Güvenlik Önlemleri

PINHAN GROUP LLC, Kişisel Veri'nin güvenliğini sağlamak amacıyla risk ile orantılı uygun teknik ve idari tedbirleri (GDPR m.32; KVKK m.12) uygular ve sürdürür; asgari tedbirler Ek II'de yer alır. Ek II'deki tedbirlerin genel koruma düzeyini önemli ölçüde düşüren değişiklikler yapılmaz. Müşteri, kullanıcı hesaplarının, parolalarının ve yetkilerinin güvenliğinden ve hizmeti yapılandırırken uygun ayarları seçmekten sorumludur.

6. Alt İşleyenler

• 6.1. Genel yetki. Müşteri, PINHAN GROUP LLC'nin Kişisel Veri'yi işlemek üzere Alt İşleyen kullanmasına genel olarak yetki verir. Güncel liste Alt İşleyenler sayfasında yayımlanır (Ek III).
• 6.2. Değişiklik bildirimi. PINHAN GROUP LLC, yeni bir Alt İşleyen eklemeyi veya mevcut birini değiştirmeyi planladığında, değişiklik yürürlüğe girmeden en az 30 gün önce Alt İşleyenler sayfasını güncelleyerek ve hesap sahiplerine e-posta göndererek Müşteri'yi bilgilendirir.
• 6.3. İtiraz. Müşteri, bildirimden itibaren 30 gün içinde makul ve veri korumaya ilişkin gerekçeyle yazılı olarak itiraz edebilir. Taraflar çözüm için iyi niyetle görüşür; çözüm sağlanamazsa Müşteri, yalnızca etkilenen hizmeti, cezasız olarak ve ödenmiş ancak kullanılmamış ücretlerin orantılı iadesi (zorunlu mevzuat gerektirdiği ölçüde) ile feshedebilir. İtiraz edilmemesi, değişikliğin kabulü sayılır.
• 6.4. Alt İşleyen yükümlülükleri. PINHAN GROUP LLC, her Alt İşleyen ile bu VİS'tekilerle özünde aynı veri koruma yükümlülüklerini içeren yazılı bir sözleşme yapar ve Alt İşleyen'in yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı sorumludur.
• 6.5. Müşteri'nin kendi kurduğu entegrasyonlar (kendi SMTP sunucusu, SMS sağlayıcısı, yapay zekâ anahtarı, WhatsApp hesabı vb.) Müşteri'nin kendi veri işleyenleridir ve PINHAN GROUP LLC'nin Alt İşleyeni sayılmaz.

7. İlgili Kişi Taleplerine Yardım

• 7.1. PINHAN GROUP LLC, işlemenin niteliğini dikkate alarak, Müşteri'nin ilgili kişilerin haklarına (bilgi, erişim, düzeltme, silme, işlemeyi kısıtlama, taşınabilirlik, itiraz, otomatik karar vermeye karşı hak, KVKK m.11, CCPA hakları vb.) ilişkin taleplerini yanıtlama yükümlülüğüne uygun teknik ve idari tedbirlerle yardımcı olur. Müşteri'nin bu talepleri çoğunlukla panel üzerindeki müşteri kaydı, dışa aktarma ve silme/anonimleştirme araçlarıyla kendisinin karşılayabileceği kabul edilir; Müşteri'nin yardım talebi bu araçlarla karşılanamıyorsa PINHAN GROUP LLC makul çabayla destek verir.
• 7.2. Bir ilgili kişiden doğrudan PINHAN GROUP LLC'ye iletilen ve Müşteri Verisi'ne ilişkin talep, ilgili Müşteri'ye gecikmeksizin iletilir; Müşteri'nin yazılı talimatı olmadıkça PINHAN GROUP LLC talebe esastan yanıt vermez (ilgili kişiyi talebin Müşteri'ye iletildiği konusunda bilgilendirebilir).

8. Veri Koruma Etki Değerlendirmesi ve Ön Danışma

PINHAN GROUP LLC, işlemenin niteliğini ve elindeki bilgileri dikkate alarak, Müşteri'nin Veri Koruma Mevzuatı kapsamındaki veri koruma etki değerlendirmesi yapma ve denetim makamına ön danışma yükümlülüklerine, makul ölçüde bilgi sağlayarak yardımcı olur.

9. Kişisel Veri İhlali

• 9.1. PINHAN GROUP LLC, Müşteri Verisi'ni etkileyen bir Kişisel Veri İhlali'ni öğrendiğinde Müşteri'yi gecikmeksizin ve her hâlde öğrenmesinden itibaren 48 saat içinde bilgilendirir; böylece Müşteri'nin GDPR m.33 ve KVKK m.12(5) kapsamındaki 72 saatlik bildirim yükümlülüklerini yerine getirmesi mümkün olur.
• 9.2. Bildirim, mümkün olduğu ölçüde şunları içerir: ihlalin niteliği (etkilenen ilgili kişi ve kayıt kategorileri ile yaklaşık sayıları); iletişim noktası; olası sonuçlar; alınan veya önerilen tedbirler. Bilgilerin tamamı hemen mevcut değilse aşamalı olarak sağlanır.
• 9.3. PINHAN GROUP LLC, ihlalin sebebini araştırır, etkisini azaltmak için makul önlemleri alır ve Müşteri'nin denetim makamlarına ve ilgili kişilere yapacağı bildirimlerde Müşteri ile iş birliği yapar. Müşteri'nin yazılı onayı olmadıkça (mevzuat gerektirmedikçe) Müşteri'yi adıyla anarak üçüncü kişilere veya kamuya açıklama yapmaz. İhlal bildirimi, kusurun veya sorumluluğun kabulü anlamına gelmez.

10. Uluslararası Aktarımlar

• 10.1. Barındırma. Müşteri Verisi Almanya (Avrupa Birliği) konumundaki veri merkezinde barındırılır. PINHAN GROUP LLC (Amerika Birleşik Devletleri) ve bazı Alt İşleyenler (Ek III) bu verilere erişebilir veya veriyi işleyebilir; bu durum ilgili mevzuat bakımından yurt dışına aktarım sayılabilir.
• 10.2. AB/AEA. GDPR kapsamındaki Müşteri verisi bakımından, Müşteri'den PINHAN GROUP LLC'ye aktarımda SSS Modül İki (veri sorumlusundan veri işleyene), PINHAN GROUP LLC'den Alt İşleyenlere aktarımda Modül Üç (veri işleyenden alt veri işleyene) atıf yoluyla bu VİS'e dâhil edilmiştir ve aşağıdaki tercihlerle uygulanır: m.7 (katılım maddesi) uygulanır; m.9(a) Seçenek 2 (genel yazılı yetki), bildirim süresi 30 gündür; m.11 isteğe bağlı dil uygulanmaz; m.13: Müşteri'nin AB'de yerleşik olduğu Üye Devletin denetim makamı yetkilidir; Müşteri AB'de yerleşik olmayıp GDPR m.27 kapsamında bir temsilci atamışsa temsilcinin bulunduğu Üye Devletin, temsilci yoksa İrlanda Veri Koruma Komisyonu'nun denetim makamı yetkilidir; m.17: İrlanda hukuku; m.18(b): İrlanda mahkemeleri. Ek I, II ve III bu VİS'in ilgili ekleridir. SSS ile bu VİS çelişirse SSS geçerlidir. Uygun olduğu hâllerde, PINHAN GROUP LLC veya Alt İşleyen AB-ABD Veri Gizliliği Çerçevesi (DPF) kapsamında sertifikalıysa aktarım ayrıca bu çerçeveye dayanabilir.
• 10.3. Birleşik Krallık. UK GDPR kapsamındaki aktarımlarda ICO'nun Uluslararası Veri Aktarım Eki, yukarıdaki SSS'ye ek olarak atıf yoluyla dâhil edilmiştir. Ek'in Tablo 1'indeki taraf ve iletişim bilgileri Ek I'den, Tablo 2'deki SSS modülleri ve seçenekleri madde 10.2'den, Tablo 3'teki ekler Ek I–III'ten alınır. UK temsilcisi bilgileri: Temsilci atandığında iletişim bilgileri bu sayfada yayımlanacaktır; o zamana kadar tüm talepler [email protected] adresine iletilebilir.
• 10.4. İsviçre. FADP kapsamındaki aktarımlarda SSS, "üye devlet" atıfları İsviçre için de geçerli olacak ve yetkili makam Federal Veri Koruma ve Bilgi Komiseri olacak şekilde, ayrıca İsviçre'deki ilgili kişilerin haklarını kullanabilmesi korunarak uygulanır.
• 10.5. Türkiye (KVKK m.9). 7499 sayılı Kanun ile değişik KVKK m.9 uyarınca yurt dışına aktarım; Kurul'un yayımladığı standart sözleşmelerin imzalanmasına veya m.9'daki diğer hukuki dayanaklara bağlıdır. PINHAN GROUP LLC, Türkiye'de yerleşik Müşteri'nin talebi üzerine Kurul'un standart sözleşme metnini değiştirilmeksizin imzalanmak üzere sunar ve Müşteri'nin sözleşmenin imzasından itibaren beş iş günü içinde Kurum'a yapacağı bildirime gerekli bilgi ve belgelerle destek olur. PINHAN GROUP LLC, yeterlilik kararı bulunduğu yönünde bir iddiada bulunmaz. KVKK Standart Sözleşmesi ile bu VİS çelişirse standart sözleşme geçerlidir.
• 10.6. Tamamlayıcı tedbirler. Aktarımlarda Ek II'deki tedbirler (aktarım ve depolamada şifreleme, yedeklerin yüklemeden önce şifrelenmesi, erişim kontrolü) uygulanır. PINHAN GROUP LLC, bir kamu otoritesinin Kişisel Veri'ye erişim talebini hukuka aykırı bulursa veya mevzuatın izin verdiği ölçüde bunu itiraz konusu yapabilecekse, talebi makul bir şekilde sorgular ve yasak olmadığı sürece Müşteri'yi bilgilendirir.

11. Özel Nitelikli Kişisel Veri ve Sağlık Verisi

• 11.1. Hizmetin kullanım alanına bağlı olarak (diş, klinik, fizyoterapi, diyetisyen, psikoloji, güzellik/estetik uygulamaları vb.) Müşteri Verisi sağlık verisi gibi özel nitelikli veya hassas kişisel veri içerebilir. Bu verilerin yalnızca Müşteri'nin gerçekten ihtiyaç duyduğu alanlar etkinleştirilerek girilmesi esastır.
• 11.2. Müşteri; bu verilerin işlenmesi için gerekli hukuki sebebi ve ilgili kişilerin açık rızasını (veya ilgili mevzuattaki diğer şartı) sağlamaktan, sağlık hizmeti mevzuatından doğan yükümlülüklerinden ve KVKK m.6 kapsamındaki yeterli önlemlerden sorumludur.
• 11.3. PINHAN GROUP LLC, bu verilere uygulanan güvenlik tedbirlerini Ek II'deki seviyede sürdürür; bu veriler yalnızca hizmeti sunmak için işlenir. Fotoğraflar (ör. işlem öncesi/sonrası) kimlik tespiti amacıyla biyometrik olarak işlenmez.

12. Yapay Zekâ (COTAI) ile İşleme

• 12.1. COTAI özelliği kullanıldığında istem metinleri, ilgili işletme bağlamı ve (gider okuma özelliği için) fiş görselleri yapay zekâ sağlayıcısına gönderilir. Telefon numaraları ve e-posta adresleri gönderimden önce otomatik olarak maskelenir; adlar takma adlandırılabilir.
• 12.2. Müşteri Verisi, PINHAN GROUP LLC tarafından veya yapay zekâ sağlayıcıları tarafından PINHAN GROUP LLC hesabı üzerinden model eğitimi için kullanılmaz. Varsayılan sağlayıcı ve etkinleştirilmesi hâlinde alternatif sağlayıcılar Alt İşleyen olarak listelenir (Ek III).
• 12.3. Müşteri, COTAI'yi devre dışı bırakabilir veya mümkün olduğu hâllerde sağlayıcıyı seçebilir; kendi sağlayıcı anahtarını kullanması hâlinde o sağlayıcı Müşteri'nin kendi veri işleyenidir (madde 6.5). COTAI çıktıları yapay zekâ ürünü olarak etiketlenir ve ilgili kişi hakkında hukuki sonuç doğuran kararlar vermek için kullanılmaz; çıktıların insan tarafından gözden geçirilmesi Müşteri'nin sorumluluğundadır.

13. Silme veya İade

• 13.1. Hizmet ilişkisinin sona ermesinden itibaren 30 gün boyunca Müşteri, Müşteri Verisi'ni panel üzerinden dışa aktarabilir.
• 13.2. Bu sürenin sonunda Müşteri Verisi silinir; yedeklerdeki kopyalar da fesihten itibaren en geç 90 gün içinde yok edilir. Kanunen saklama yükümlülüğü bulunan veriler bunun dışındadır; bu hâlde veri yalnızca ilgili yükümlülük kapsamında saklanır ve işlenir.
• 13.3. PINHAN GROUP LLC, Müşteri'nin yazılı talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

14. Denetim

• 14.1. PINHAN GROUP LLC, bu VİS'e uygunluğu göstermek için gerekli bilgileri Müşteri'nin talebi üzerine sağlar. Bu bilgiler öncelikle yazılı belgeler, güvenlik açıklamaları, mevcut raporlar ve doldurulmuş güvenlik anketleri ile sunulur.
• 14.2. Bu bilgiler yeterli olmazsa veya bir denetim makamı talep ederse, Müşteri (veya bağımsız ve gizlilik yükümlülüğü altındaki denetçisi) PINHAN GROUP LLC'nin işleme faaliyetlerini 30 gün önceden yazılı bildirimle, makul kapsam ve süreyle, PINHAN GROUP LLC'nin faaliyetlerini ve diğer müşterilerin verilerini aksatmayacak biçimde ve kendi maliyetiyle yerinde denetleyebilir. Mevzuat veya makam talebi gerektirmedikçe ya da bir Kişisel Veri İhlali yaşanmadıkça denetim yılda bir kez yapılır. Denetçi gizlilik taahhüdü verir; elde edilen bilgiler yalnızca bu VİS'e uygunluğu değerlendirmek için kullanılır.

15. CCPA ve Diğer ABD Eyalet Gizlilik Mevzuatı

CCPA/CPRA veya diğer ABD eyalet gizlilik mevzuatı kapsamında Kişisel Veri işlendiği ölçüde, PINHAN GROUP LLC Müşteri'nin "service provider" (hizmet sağlayıcı) / "processor" konumundadır ve şunları kabul eder:

• (a) Kişisel Veri'yi yalnızca Müşteri'nin işi için belirtilen iş amaçları, yani Koşullar'da tanımlanan COTA CRM hizmetlerinin sunulması amacıyla işler;
• (b) Kişisel Veri'yi satmaz ve paylaşmaz (çapraz bağlamlı davranışsal reklamcılık amacıyla dâhil);
• (c) Kişisel Veri'yi, Müşteri ile arasındaki doğrudan iş ilişkisi dışında, belirtilen iş amaçları dışında alıkoymaz, kullanmaz veya ifşa etmez;
• (d) Kişisel Veri'yi, başka kaynaklardan aldığı veya kendi kişilerle etkileşimlerinden topladığı kişisel bilgilerle birleştirmez (mevzuatın izin verdiği iş amaçları hariç);
• (e) bu kısıtlamaları anladığını ve bunlara uyacağını teyit eder;
• (f) uygulanan mevzuat kapsamındaki yükümlülüklerine artık uyamayacağı sonucuna varırsa Müşteri'yi bilgilendirir; Müşteri, makul ve uygun adımlarla yetkisiz kullanımı durdurma ve gidermeye yönelik haklara sahiptir;
• (g) Müşteri'nin tüketici taleplerini yanıtlamasına madde 7 uyarınca yardımcı olur ve Alt İşleyenleriyle bu maddeye uygun sözleşme yapar.

16. Sorumluluk

Bu VİS kapsamındaki tarafların sorumluluğu, Koşullar'daki sorumluluk sınırlamaları ve hariç tutmalarına tabidir (Koşullar uyarınca belirlenen üst sınır dâhil). Bu sınırlama, yürürlükteki mevzuatın sınırlanmasını yasakladığı sorumluluklar (SSS kapsamında ilgili kişilere karşı doğan sorumluluk dâhil) bakımından uygulanmaz. Taraflardan biri, ilgili kişilere veya denetim makamlarına karşı, kusuru oranında sorumlu olur ve diğer tarafa rücu hakkı saklıdır.

17. Süre

Bu VİS, Müşteri'nin hizmeti kullandığı ve PINHAN GROUP LLC'nin Müşteri Verisi'ni işlediği süre boyunca yürürlüktedir; madde 4, 9, 13, 14 ve 16 hükümleri işleme sona erdikten sonra da, Müşteri Verisi'nin silinmesine kadar devam eder. PINHAN GROUP LLC, Veri Koruma Mevzuatı'ndaki değişiklikler veya yetkili makamların yeni standart sözleşmeleri nedeniyle VİS'i güncelleyebilir; esaslı değişiklikler Koşullar'daki usulle 30 gün önceden bildirilir.

Ek I - Taraflar ve İşlemenin Tanımı

A. Taraflar

B. İşlemenin Tanımı

C. Yetkili denetim makamı

SSS m.13 uyarınca: madde 10.2'de belirtilen makam. Türkiye'de yerleşik Müşteri bakımından Kişisel Verileri Koruma Kurulu; Birleşik Krallık bakımından ICO; İsviçre bakımından Federal Veri Koruma ve Bilgi Komiseri. AB temsilcisi: Temsilci atandığında iletişim bilgileri bu sayfada yayımlanacaktır; o zamana kadar tüm talepler [email protected] adresine iletilebilir.

Ek II - Teknik ve İdari Tedbirler

• Veri ayrıştırması: Her Müşteri'nin verisi ayrı bir veritabanında tutulur.
• Aktarımda şifreleme: Tüm bağlantılarda TLS kullanılır.
• Kimlik doğrulama: E-posta ile tek kullanımlık şifre (OTP) ile giriş; OTP özetlenmiş olarak saklanır, 10 dakika geçerlidir, 5 deneme ile sınırlıdır.
• Erişim kontrolü: Rol ve şube bazlı yetkilendirme; veri erişim kapsamı (kendi kayıtları, şube, tüm işletme) kullanıcı bazında sınırlandırılır.
• Gizli bilgilerin korunması: Gizli anahtarlar ve kimlik bilgileri şifrelenerek saklanır.
• Dosya depolama: Fotoğraf ve belgeler özel (herkese açık olmayan) depolamada tutulur.
• Kötüye kullanıma karşı koruma: İstek sınırlama (rate limiting); herkese açık randevu ve mağaza sayfalarında bot koruması.
• İzlenebilirlik: Etkinlik ve denetim kayıtları tutulur.
• Yedekleme: Şifrelenmiş şirket dışı yedekler; yerel yedekler 7 gün, şirket dışı yedekler yaklaşık 30 gün saklanır. Yedekler yüklenmeden önce istemci tarafında şifrelenir.
• Veri minimizasyonu: Web sitesi analitiğinde IP adresi ham olarak saklanmaz (günlük tuzlu özet); analitik yalnızca onayla etkinleştirilir. Yapay zekâya gönderimde telefon ve e-posta maskelenir.
• Alt İşleyen yönetimi: Madde 6 uyarınca sözleşmesel yükümlülükler.
• Olay yönetimi: Madde 9 uyarınca 48 saat içinde bildirim.

PINHAN GROUP LLC, herhangi bir güvenlik sertifikasyonu veya bağımsız denetim raporu bulunduğu yönünde beyanda bulunmaz.

Ek III - Alt İşleyenler

Güncel Alt İşleyen listesi, konumları ve aktarım güvenceleri: https://cotacrm.com/legal/subprocessors. Genel yetki ve değişiklik usulü madde 6'da düzenlenmiştir.