Veri Gizliliği Çerçevesi (DPF)
AB-ABD
AB-ABD DPF’in Birleşik Krallık Uzantısı
Yürürlük tarihi: 19 Ağustos 2024
1. AB-ABD Veri Gizliliği Çerçevesi (DPF) nedir?
AB-ABD Veri Gizliliği Çerçevesi (“DPF”), Avrupa Komisyonu tarafından 10 Temmuz tarihinde kabul edilen bir yeterlilik kararıdır.
Yeterlilik kararı, Genel Veri Koruma Tüzüğü (GDPR) kapsamında, kişisel verilerin Avrupa Birliği’nden kişisel verilerin Avrupa Birliği’ndeki koruma seviyesine karşılaştırılabilir bir koruma sağlayan üçüncü ülkelere aktarılmasına olanak veren araçlardan biridir.
Yeterlilik kararları sayesinde, 27 AB Üye Devleti ile Norveç, İzlanda ve Lihtenştayn’ı içeren Avrupa Ekonomik Alanı’ndan (AEA) üçüncü bir ülkeye kişisel veriler ilave herhangi bir şart veya yetkilendirmeye tabi olmaksızın serbestçe ve güvenli biçimde aktarılabilir. Başka bir ifadeyle, üçüncü ülkeye aktarımlar, AB içi veri iletimleriyle aynı şekilde ele alınabilir.
DPF, Avrupa Birliği’nden ABD’de DPF’ye katılan şirketlere aktarılan kişisel veriler bakımından, ABD’nin AB’ye kıyasla yeterli düzeyde koruma sağladığı sonucuna varmaktadır.
AB-ABD DPF’ye ilişkin yeterlilik kararı, AEA’daki kamu veya özel herhangi bir kuruluştan, AB-ABD DPF’ye katılan ABD’li şirketlere yapılan veri aktarımlarını kapsar.
Aynı şekilde, AB-ABD DPF’in Birleşik Krallık uzantısı, Birleşik Krallık (ve Cebelitarık) kaynaklı kişisel veri aktarımları için, Birleşik Krallık hukukuyla uyumlu veri korumasını gözetirken ABD’ye aktarımda güvenilir bir mekanizma sağlar.
AB-ABD Veri Gizliliği Çerçevesi (DPF) hakkında daha fazla bilgi için: https://www.dataprivacyframework.gov/s/
2. Biz Kimiz?
“Buddy Insan Kaynaklari Yazilim A.S.” Türkiye’de mukim bir kuruluştur. Kayıtlı adresi: Acıbadem Mah. Çeçen Sok. No:25A D:150 Üsküdar – İstanbul, Tel: (+90) 533 210 27 10. Şirket, dünya genelinde tekil şirket veya kuruluşlara Oriento dâhil olmak üzere (“Hizmetler”) erişilebilir ve uygun maliyetli e-öğrenme hizmetleri sunar.
3. Bu Gizlilik Bildirimi nedir?
Bu Gizlilik Bildirimi, AB’den elde ettiğimiz Kişisel Verileri nasıl kullandığımız hakkında sizi bilgilendirmek amacıyla hazırlanmıştır. Şeffaflığa değer veriyor ve gizliliğinize saygı duyuyoruz.
Buddy Insan Kaynaklari Yazilim A.S., ABD Ticaret Bakanlığı tarafından belirlenen AB-ABD Veri Gizliliği Çerçevesi’ne (AB-ABD DPF) ve AB-ABD DPF’in Birleşik Krallık uzantısına uyar. Buddy Insan Kaynaklari Yazilim A.S., AB-ABD DPF’ye dayanarak Avrupa Birliği’nden ve Birleşik Krallık uzantısına dayanarak Birleşik Krallık’tan (ve Cebelitarık’tan) alınan kişisel verilerin işlenmesi bakımından AB-ABD DPF İlkelerine uyacağını ABD Ticaret Bakanlığı’na beyan ve sertifika etmiştir. Bu Gizlilik Politikasındaki hükümler ile AB-ABD DPF İlkeleri arasında çelişki olması hâlinde, İlkeler geçerlidir. DPF programı hakkında daha fazla bilgi ve sertifikamızı görüntülemek için bkz. https://www.dataprivacyframework.gov/.
4. ABD’de Hangi Kişisel Veriler Alınır ve Nasıl Kullanılır?
A. Buddy Insan Kaynaklari Yazilim A.S.’nin Veri Sorumlusu Sıfatıyla İşlemleri
1) Ziyaretçiler
Buddy Insan Kaynaklari Yazilim A.S., https://www.Orientoapp.com adresindeki internet sitesi (“Site”) üzerinden Kişisel Veri toplar. Sitemizin yalnızca ziyaret edilmesi veya iletişim formunun doldurulup gönderilmesi, ya da bültene abone olunması gibi etkileşimlerde bulunulması hâlinde kişi “Ziyaretçi”dir (“siz”, “size”, “Ziyaretçi”).
Çerezler
Çerez, tarayıcınız tarafından cihazınızın sabit diskinde saklanan küçük bir veri dosyasıdır ve Site üzerindeki kullanım ve faaliyetlere ilişkin kayıt amaçlarına hizmet eder. Bu bilgiler; IP adresiniz, tarayıcı türünüzün yanı sıra Site’yi ziyaret etmeden önceki tarama geçmişiniz ve Site içi arama geçmişinizi içerebilir.
“Birinci taraf çerezleri”, bir web sitesinin sahibi (Buddy Insan Kaynaklari Yazilim A.S.) tarafından ayarlanan çerezlerdir. Web sitesi sahibi dışındaki taraflarca ayarlananlar ise “üçüncü taraf çerezleri”dir.
Çerezler farklı amaçlarla kullanılır:
- Zorunlu çerezler: Bir web sitesinin çalışması için teknik olarak zorunludur.
- Tercih çerezleri: Bir web sitesinin performans ve işlevselliğini artırır; reddedilmesi hâlinde bazı işlevler kullanılamayabilir.
- Analitik çerezler: Bir sitenin nasıl kullanıldığını toplu şekilde anlamaya yardımcı olur. Örneğin Google, kullanıcıları ayırt etmek ve site sahibine ziyaret sayısı, görülen sayfalar, ziyaret süresi gibi bilgileri göstermek için Google Analytics çerezi kullanır. Sitemizde onayınıza bağlı üçüncü taraf çerezleri Google Analytics’tir.
- Pazarlama çerezleri: Genellikle Google, Facebook gibi sağlayıcılar tarafından reklam hizmeti sunmak için yerleştirilen üçüncü taraf çerezleridir. İlgi alanına dayalı reklamların üçüncü taraf sitelerde gösterilmesine imkân verir.
Site’yi ziyaret ettiğinizde çerez kullanımına onayınız sorulur. Zorunlu olanlar hariç, hiçbirine veya seçtiğiniz kategorilere onay verebilirsiniz. Onayı, ziyaretiniz sırasında istediğiniz anda Çerez Yöneticisi üzerinden tercihlerinizi değiştirerek geri çekebilirsiniz.
Ayrıca tarayıcınızın ayarlarını değiştirerek çerezleri tamamen reddedebilir veya bir çerez kabul edilmeden önce uyarı almayı seçebilirsiniz.
Bülten
Bültenimizi (ör. yeni kampanya ve duyurular) almak isterseniz, Site’ye e-posta adresinizi girerek özel olarak abone olabilirsiniz. E-posta adresiniz yalnızca Bülten gönderimi amacıyla kullanılır ve “abonelikten çık” bağlantısını seçtiğinizde listeden çıkarılırsınız. Ayrıca privacy [at] Oriento [dot] com adresine e-posta göndererek de çıkarılmayı talep edebilirsiniz.
Bülten gönderimi için ABD merkezli bir elektronik iletişim platformu sağlayıcısı olan Mailchimp’i kullanmaktayız. Mailchimp’in gizlilik politikası: https://mailchimp.com/legal/privacy/.
İletişim Formu
İletişim Formu üzerinden bizimle görüşmek isterseniz adınız, e-posta adresiniz, telefon numaranız, görüşmek istediğiniz konu ve mesajınızı iletebilirsiniz. Bu kişisel veriler yalnızca size yanıt vermek amacıyla kullanılır ve talebinize yanıt vermek için gerekli süre boyunca saklanır.
Diğer Beyanlar
Site’deki etkileşimli özelliklere katılımınız, anket, yarışma, etkinlik vb. faaliyetler veya bizimle iletişiminiz kapsamında sunduğunuz diğer verileri de toplarız. Bu kişisel veriler yalnızca toplandıkları amaç doğrultusunda kullanılır ve bu amacı gerçekleştirmek için gerekli olduğu süre boyunca saklanır.
2) Müşteriler
Ziyaretçilere ilişkin verilere ek olarak, Müşterilerimizden; kimlik verileri (e-posta, adres), sözleşme verileri (abonelik planınız) ile faturalama ve tahsilata ilişkin verileri toplarız. Faturalama ve ödemeler için Stripe’ı kullanırız (Stripe Global Privacy Policy).
Kredi Kartları: Kredi kartı bilgilerinizi sistemlerimizde saklamadığımızı bilmenizi isteriz. Tüm kredi kartı işlemleri, önde gelen bankaların kullandığı seviyede güvenli şifreleme ile işlenir. Kart bilgileri, PCI uyumlu bir ağ üzerinde güvenli şekilde iletilir, saklanır ve işlenir.
Acentelerimizin (temsilcilerimizin) en az bizimle aynı düzeyde veri koruması sağlamasını temin etmek üzere yazılı sözleşmeler akdettik; örneğin güvenilir teknik ve organizasyonel tedbirler izlemelerini şart koştuk. Buddy Insan Kaynaklari Yazilim A.S., sonraki aktarımlardan doğan sorumluluğu üstlenir.
B. Buddy Insan Kaynaklari Yazilim A.S.’nin Veri İşleyen Sıfatıyla İşlemleri
Hizmetleri satın almanız veya ücretsiz kaydolmanız hâlinde, Buddy Insan Kaynaklari Yazilim A.S., Veri İşleyen olarak, Müşteri/hesap sahibi ve Yetkili Kullanıcılarının (hesabınız üzerinden Hizmetleri kullanmaya yetkilendirdiğiniz kişiler) Hizmetlere girdiği Kişisel Verileri, Veri İşleme Ekinde (“DPA”) tarif edildiği ve tarafınızca verilen talimatlara uygun şekilde işler.
Veri İşleme Eki
Hizmetlerin sunumu kapsamında işlenen tüm Kişisel Veriler bakımından Buddy Insan Kaynaklari Yazilim A.S. veri işleyendir. Bu, söz konusu Kişisel Verilerin Müşteri/hesap sahibi adına ve kendi amaçları için toplandığı; Müşteri/hesap sahibinin (i) bu verilerin hukuka uygunluğu, güvenilirliği, doğruluğu ve kalitesi, (ii) işleme amaçlarının hukuka uygunluğu ve (iii) bu amaçlara ulaşmak için işlemenin gerekliliğinden tek başına sorumlu olduğu ve Hizmetler kullanılırken işlenen Kişisel Veriler bakımından veri sorumlusu olduğu anlamına gelir. Bu nedenle, veri sahibi/ilgili kişilerin taleplerinin karşılanmasından Müşteri/hesap sahibi sorumludur; Buddy Insan Kaynaklari Yazilim A.S. talep üzerine gerekli desteği sağlar.
Ayrıca, veri sahibi/ilgili kişilerin (Hizmetler vasıtasıyla Kişisel Verileri işlenen herkes) işlemenin kapsamı, amacı, süresi ve yöntemi hakkında bilgilendirilmesi ve gerekiyorsa rızalarının alınmasından Müşteri/hesap sahibi sorumludur. Buddy Insan Kaynaklari Yazilim A.S., Müşteri/hesap sahibi ile Veri İşleme Eki imzalar.
Hizmetlerin sağlanması amacıyla Kişisel Verileri, alt yüklenicilerimiz ve alt işleyicilerimizle paylaşırız. Alt işleyicilerimizin DPA’ya uyması ve en az bizimle aynı düzeyde koruma sağlaması için yazılı sözleşmeler akdettik; örneğin güvenilir teknik ve organizasyonel güvenlik tedbirleri uygulamalarını şart koştuk. Buddy Insan Kaynaklari Yazilim A.S., sonraki aktarımlardan doğan sorumluluğu üstlenir.
Görevleri, iletişim bilgileri ve gizlilik politikaları dâhil tam alt işleyici listemiz, DPA’nın Ek 3’ü kapsamında bu Site’de yayımlanmaktadır.
5. Veri Bütünlüğü ve Amaçla Sınırlılık
İlkelere uygun olarak, Kişisel Veriler, işleme amaçlarıyla ilgili ve gerekli bilgilerle sınırlıdır. Kişisel bilgileri, toplandıkları veya ilgili kişi tarafından sonradan yetkilendirilen amaçlarla bağdaşmayacak şekilde işlemeyiz. Bu amaçlar için gerekli olduğu ölçüde, Kişisel Verilerin amaçlanan kullanım için güvenilir, doğru, eksiksiz ve güncel olmasını sağlamak üzere makul adımlar atarız. Söz konusu bilgileri muhafaza ettiğimiz sürece İlkelere uyarız.
Kişisel Verileri, ilgili kişiyi tanımlayan veya tanımlanabilir kılan bir biçimde, İlkelere göre işleme amacına hizmet ettiği müddetçe saklarız.
6. Erişim
Hakkınızda tuttuğumuz Kişisel Verilere erişme hakkına sahipsiniz ve bu bilgilerin yanlış olması veya İlkelere aykırı şekilde işlenmiş olması durumunda, söz konusu bilgileri düzeltir, değiştirir veya sileriz; ancak erişim sağlanmasının ilgili kişinin gizliliğine yönelik risklere nazaran orantısız maliyet veya külfet doğurduğu hâller veya üçüncü kişilerin haklarını ihlal edeceği durumlar istisnadır.
7. Seçim Hakkı
Kişisel Verileriniz, acente olarak bizim adımıza ve talimatlarımız doğrultusunda görev yapmayan bir üçüncü tarafa açıklanacaksa veya toplanma amacıyla esaslı surette bağdaşmayan bir amaçla kullanılacaksa, itiraz etme (opt-out) hakkına sahipsiniz.
Opt-out hakkınızı dpo [at] epignosishq [dot] com ve/veya privacy [at] Oriento [dot] com adreslerinden bize ulaşarak kullanabilirsiniz.
8. Güvenlik
Kişisel Verileri; işleme sürecindeki riskleri ve kişisel verilerin niteliğini dikkate alarak kayıp, kötüye kullanım, yetkisiz erişim, ifşa, değişiklik ve imhaya karşı korumak için makul ve uygun tedbirler alırız. Güvenlik Politikamız hakkında daha fazla bilgi için DPA’nın Ek 2’sine bakınız.
9. Başvuru ve Çözüm Yolları
A. İç Şikâyet Mekanizması
AB-ABD DPF ve Birleşik Krallık uzantısına uyum kapsamında, Buddy Insan Kaynaklari Yazilim A.S., AB-ABD DPF İlkeleriyle ilgili şikâyetleri çözmeyi taahhüt eder. AB ve BK bireyleri, AB-ABD DPF veya BK uzantısı uyarınca alınan Kişisel Verilerin tarafımızca ele alınmasına ilişkin soru veya şikâyetlerinde öncelikle info [at] orientoapp [dot] com adresinden Buddy Insan Kaynaklari Yazilim A.S. ile iletişime geçmelidir.
B. Alternatif Uyuşmazlık Çözüm Sağlayıcısı
AB-ABD DPF ve Birleşik Krallık uzantısına uyum kapsamında, Buddy Insan Kaynaklari Yazilim A.S., ABD merkezli bir alternatif uyuşmazlık çözüm sağlayıcısı olan JAMS’e çözümlenmemiş şikâyetleri yönlendirmeyi taahhüt eder (https://www.jamsadr.com/dpf-dispute-resolution).
DPF İlkeleriyle ilgili şikâyetiniz için bizden zamanında yanıt alamazsanız veya yanıtımız tatmin edici olmazsa, daha fazla bilgi almak veya şikâyet başvurusu yapmak için https://www.jamsadr.com/submit/ adresini ziyaret edebilirsiniz. JAMS hizmetleri sizin için ücretsizdir.
C. Bağlayıcı Tahkim
Belirli koşullar altında, diğer DPF mekanizmalarıyla çözülemeyen DPF uyumuna ilişkin şikâyetler için bağlayıcı tahkime başvurma imkânınız vardır. Ayrıntılı bilgi için bkz. DPF Ek I.
D. Yargı Yetkisi
Buddy Insan Kaynaklari Yazilim A.S.’nin AB-ABD DPF ve Birleşik Krallık uzantısına uyumu üzerinde Federal Ticaret Komisyonu (FTC)’nun yargı yetkisi bulunduğunu bilmenizi isteriz.
10. Kamu Otoritelerine Açıklama
Kişisel bilgileri, ulusal güvenlik veya hukukî yaptırım gereklilikleri dâhil olmak üzere, kamu otoritelerinin hukuka uygun talepleri üzerine açıklamak zorunda kalabiliriz.