Art. 28 GDPR uyarınca Veri İşleme Sözleşmesi (VİS)

Bu Veri İşleme Sözleşmesi ("VİS"), Art. 28(3) GDPR uyarınca aşağıdaki taraflar arasında akdedilmiştir:

Veri sorumlusu, Capwork platformuna kaydolarak ve ilgili onay kutusunu işaretleyerek bu VİS’i elektronik biçimde akdeder (Art. 28(9) GDPR). Kabul; sürüm numarası, zaman damgası, IP adresi ve kullanıcı aracısı ile birlikte denetime dayanıklı biçimde kayıt altına alınır.

Konu: Bu VİS’in konusu, Capwork platformu (SaaS) ve modülleri (randevu alma, müşteri yönetimi, sipariş işleme, envanter, araç yönetimi, finans, iletişim kanalları, görev ve iş akışı yönetimi, geri bildirim toplama dahil) kapsamında, kişisel verilerin Capwork tarafından veri sorumlusu adına ve onun talimatlarına göre işlenmesidir.

Süre: VİS belirsiz süreli olup veri sorumlusu ile Capwork arasındaki temel ana sözleşme (Hizmet Şartları / AGB) sona erdiğinde kendiliğinden sona erer. Bu VİS’in erken feshi yalnızca ana sözleşmeyle birlikte mümkündür.

İşlemenin niteliği: Toplama, kaydetme, düzenleme, yapılandırma, saklama, uyarlama veya değiştirme, geri alma, sorgulama, kullanma, aktarım yoluyla açıklama, yayma veya başka şekilde erişime açma, eşleştirme veya birleştirme, kısıtlama, silme veya yok etme — tümü elektronik biçimde, 7. bölümde adı geçen alt işleyenlerin sunucularında.

İşlemenin amacı:

• Satın alınan platform işlevlerinin sağlanması, işletilmesi ve bakımı;
• Randevu planlaması, onayı ve son müşterilere bildirilmesi;
• Veri sorumlusunun siparişlerinin, faturalarının, envanterinin, araçlarının, çalışanlarının ve görevlerinin yönetimi;
• Veri sorumlusu adına son müşterilerine işlemsel mesajların (e-posta, SMS, WhatsApp) gönderilmesi;
• Yapay zekâ destekli ön işleme (ör. belgelerden metin çıkarma, geri bildirim analizi, planlama önerileri); yalnızca veri sorumlusunun talimatıyla, verilerin temel alınan temel modellerin eğitiminde kullanılmaksızın ve Art. 22 GDPR anlamında hukuki veya benzer şekilde önemli etkiler doğuran, yalnızca otomatik işlemeye dayalı hiçbir karar alınmaksızın. Somut olarak hangi modelin kullanılacağını — genellikle Vertex AI üzerinden Google’dan (ör. Gemini) veya Anthropic’ten (ör. Claude) — Capwork kullanım durumuna uygunluğa göre seçer; tüm yapay zekâ çıktıları bağlayıcı olmayan, deterministik olmayan önerilerdir ve kullanılmaları veri sorumlusu veya personeli tarafından içerik yönünden onaylanmasını gerektirir;
• Hizmetin teknik güvenliği, sorun giderme, yedekleme, kurtarma ve denetlenebilirlik;
• veri sorumlusunun Siparişler modülünde saha çalışması belgelemesini kullanması halinde: çalışanlarının son müşterinin yerindeki işlerinin belgelenmesi (zaman kayıtlarına aktarılan çalışma, mola ve yol süreleri, iş durumu, kullanılan malzemeler, notlar, fotoğraflar, yer notları), dikte edilen notların rapor taslaklarına dönüştürülmesi, çalışanın cihazında imza ile veya bir bağlantı üzerinden onay ile teslim alma, iş raporunun oluşturulması ve iletilmesi, son müşteriye personelin yolda olduğunun veya gecikeceğinin bildirilmesi ve sipariş takip bağlantısı üzerinden işin ilerlemesinin gösterilmesi, iş raporunun indirilmeye sunulması ve son müşteriden fotoğraf alınması.

İşleme özellikle aşağıdaki ilgili kişi kategorilerini kapsar:

• Veri sorumlusunun son müşterileri (randevu alan kişiler, irtibat kişileri, hizmet alıcıları);
• Platform üzerinden yönetildikleri ölçüde veri sorumlusunun çalışanları, personeli veya serbest çalışanları;
• Veri sorumlusunun tedarikçileri, iş ortakları, harici hizmet sağlayıcıları;
• Entegre iletişim kanalları (e-posta, SMS, WhatsApp, web formları) üzerinden veri sorumlusuyla iletişime geçen kişiler;
• Veri sorumlusunun platform hesaplarının yetkili kullanıcıları (ör. işletme sahibi, yönetim, yöneticiler);
• Veri sorumlusunun saha çalışması belgelemesini kullanması halinde, son müşterinin yerindeki işi kendileri son müşteri olmaksızın teslim alan veya onaylayan kişiler (ör. yerinde bulunan sakinler veya temsilciler).

Veri sorumlusunun platforma girdiği veya platforma toplanması talimatını verdiği ölçüde aşağıdaki kişisel veri kategorileri işlenir:

• Temel ve iletişim verileri (ad, hitap, adres, telefon numarası, e-posta adresi, isteğe bağlı olarak doğum tarihi);
• Randevu, rezervasyon ve sipariş verileri (alınan hizmetler, saatler, durum, notlar, ekler);
• İletişim içerikleri (mesajlar, sohbet geçmişi, e-postalar, SMS, WhatsApp mesajları, yüklenen belgeler);
• Kişisel nitelikte oldukları ölçüde araç, envanter ve atölye verileri (ör. araç sahibi verileri, seyir defteri kayıtları, plakalar);
• Platform üzerinden kaydedildikleri ölçüde faturalama ve ödeme akışı verileri (ör. fatura kalemleri, ödeme durumu); son müşterilerin ham kart ve banka hesabı verileri ödeme sağlayıcısı üzerinden belirteçlenmiş (tokenize) biçimde işlenir ve Capwork tarafından kural olarak açık metin halinde erişilemez;
• Veri sorumlusunun platform kullanıcılarına ait kimlik doğrulama ve güvenlik verileri (e-posta adresi, Firebase Authentication üzerinden parola özeti, giriş zaman damgaları, IP adresi, oturum kimlikleri);
• Teşhis, güvenlik ve faturalama için gerekli olduğu ölçüde kullanım, günlük ve telemetri verileri;
• Veri sorumlusunun saha çalışması belgelemesini kullanması halinde çalışanların iş verileri: zaman kayıtlarına otomatik aktarımları dahil iş başına çalışma, mola ve yol süreleri, iş durumu (yolda, yerinde, duraklatıldı, tamamlandı, gecikiyor), kullanılan malzemeler, notlar, fotoğraflar ve kimin neyi ne zaman belgelediğine ilişkin kayıt; son müşterinin aldığı iş raporu görevlendirilen çalışanların adlarını ve o işteki çalışma, mola ve yol sürelerini belirtir; sipariş takibi son müşteriye işin ilerlemesini adlar olmadan, varış saatini ve gecikmeyi ise yalnızca çalışanlar bildirdikten sonra gösterir; dikte edilen notların ses kayıtları yalnızca metne dönüştürme için işlenir ve saklanmaz; cihazın konumu yalnızca cihaz üzerinde değerlendirilir ve Capwork’e iletilmez;
• Veri sorumlusunun kullanması halinde son müşterinin yerindeki saha çalışması belgelemesi: iş yerinin ve mekânın fotoğrafları (çalışanlar tarafından çekilen veya son müşteri tarafından sipariş takip bağlantısı ya da talep formu üzerinden yüklenen), müşteri adresi başına yer notları (ör. erişim kodları, park yeri, tesisatların konumu), teslim alan kişinin adı ve imzası – imza, biyometrik özellikler olmaksızın, yani baskı, hız veya zamanlama bilgisi içermeden bir vektör yolu olarak saklanır –, imzalanmış iş raporu (özet ve PDF), bağlantı üzerinden onay durumunda ayrıca onayın IP adresi, tarayıcı tanımlayıcısı (kullanıcı aracısı) ve zamanı, bağlantının gönderildiği kısmen maskelenmiş e-posta adresi ve onaya kadar onaya gönderilen özet ile iş hakkındaki bildirimler için kullanılan cep telefonu numarası veya e-posta adresi; veri sorumlusunun raporu münferit bir durumda gönderdiği ve yalnızca mesajın teslimat kaydında saklanan farklı bir e-posta adresi de buna dahildir.

Art. 9 GDPR anlamında özel nitelikli kişisel veriler (sağlık verileri, biyometrik veriler, dini inançlar vb.) bu VİS’in kapsamında değildir. Veri sorumlusu bu tür verileri platforma ancak kendine ait bir hukuki dayanağı ve özel güvenlik önlemleri varsa girebilir; bu durumda veri sorumlusu işlemeden önce Capwork’ü yazılı olarak bilgilendirir.

Capwork, kişisel verileri yalnızca veri sorumlusunun talimatları ve bu VİS’in gereklilikleri çerçevesinde işlemeyi taahhüt eder. Özellikle:

• Yalnızca veri sorumlusunun belgelenmiş talimatları üzerine işleme — ana sözleşme, bu VİS ve veri sorumlusunun platform içi yapılandırması belgelenmiş talimat sayılır. Başka talimatlar platform içi destek işlevi üzerinden verilebilir; platform belirli bir talimata teknik olarak izin vermiyorsa, veri sorumlusu bunu office@capwork.io adresine e-posta ile iletebilir (Art. 28(3)(a) GDPR);
• Verileri işlemeye yetkili tüm kişilerin gizlilik yükümlülüğü altına alınması veya uygun bir yasal sır saklama yükümlülüğüne tabi olması (Art. 28(3)(b), Art. 29 GDPR);
• 9. bölümde (TOM’lar) ayrıntılı olarak açıklanan, Art. 32 GDPR uyarınca uygun teknik ve idari tedbirlerin uygulanması (Art. 28(3)(c) GDPR);
• Başka veri işleyenlerin yalnızca bu VİS’in 7. bölümündeki koşullarla görevlendirilmesi (Art. 28(2) ve (4) GDPR);
• Veri sorumlusuna, ilgili kişilerin taleplerine yanıt verme yükümlülüğünü yerine getirmesinde — mümkün olduğu ölçüde ve uygun teknik ve idari tedbirlerle — destek olunması (Art. 12–22 GDPR; Art. 28(3)(e) GDPR);
• İşlemenin niteliği ve Capwork’ün elindeki bilgiler dikkate alınarak, veri sorumlusuna Art. 32–36 GDPR kapsamındaki yükümlülüklerine (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi, ön danışma) uymasında destek olunması (Art. 28(3)(f) GDPR);
• Hizmetlerin sağlanması sona erdikten sonra verilerin 13. bölümde belirtildiği şekilde iade edilmesi veya silinmesi (Art. 28(3)(g) GDPR);
• Art. 28 GDPR kapsamındaki yükümlülüklere uyulduğunu göstermek için gerekli tüm bilgilerin sağlanması ve 12. bölüm uyarınca denetim ve incelemelere olanak tanınması (Art. 28(3)(h) GDPR);
• Platform işlevlerinde yapay zekâ modellerinin yalnızca AB’ye bölge sabitlemeli olarak Google Vertex AI üzerinden, girdilerin model eğitiminde kullanılmasına karşı sözleşmeyle güvence altına alınmış şekilde kullanılması. Capwork ilgili kullanım durumuna en uygun modeli seçer — genellikle Google’ın kendi modelleri (ör. Gemini) veya Vertex Model Garden üzerinden sunulan iş ortağı modelleri (ör. Anthropic Claude). Model seçimi, 9. bölümde güvence altına alınan koruma düzeyi düşürülmediği sürece Capwork’ün teknik ve ticari takdirindedir; tüm çıkarım Google Cloud tarafından işletildiğinden sözleşme gereği model sağlayıcılarına hiçbir veri aktarılmaz. Bundan ayrı olarak Capwork, platformu işletmek, sorunlarını gidermek, bakımını yapmak ve geliştirmek için Anthropic Ireland, Limited’in yapay zekâ aracı Claude Code’u kullanır; bu araç 7. bölümde ayrı bir alt işleyen olarak listelenmiştir;
• Standart platform işlevlerinin veya yerleşik yapılandırma olanaklarının ötesine geçen ya da olağanüstü emek gerektiren talimatlar, Capwork tarafından önceden yapılan bir emek tahminine göre makul piyasa ücreti karşılığında uygulanabilir; yasal asgari gerekliliklere uyuma ilişkin yükümlülükler ücretsiz yerine getirildiği ölçüde Art. 28 GDPR buna engel değildir.

Veri işlemenin hukuka uygunluğundan ve ilgili kişilerin haklarının korunmasından yalnızca veri sorumlusu sorumludur (Art. 4(7), Art. 24 GDPR). Verilen talimatların hukuka uygunluğuna ilişkin ispat yükü veri sorumlusundadır; Capwork her talimatın hukuki açıdan caiz olup olmadığını aktif olarak incelemekle yükümlü değildir, ancak açıkça hukuka aykırı olan her talimatı veri sorumlusuna gecikmeksizin bildirir (Art. 28(3) cümle 3 GDPR). Veri sorumlusu özellikle şunlarla yükümlüdür:

• Görevin usulüne uygun yerine getirilmesi için gerekli tüm hususları, sapma gösteren veya ek talimatlar dahil, Capwork’e zamanında ve eksiksiz bildirmek;
• GDPR’ye uygun kendi gizlilik bildirimini tutmak ve son müşterilerini Capwork platformunun veri işleyen olarak kullanıldığı, yapay zekâ destekli ön işleme, 8. bölüm kapsamındaki üçüncü ülke aktarımları ve 7. bölüm kapsamındaki güncel alt işleyen listesi hakkında bilgilendirmek;
• İlgili işleme için uygun hukuki dayanakları (ör. sözleşmenin ifası, meşru menfaat, açık rıza) oluşturmak ve — gerektiğinde — rızaları kendisi almak, belgelemek ve ispat etmek;
• İlgili kişilerin taleplerini (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) öncelikle kendisi yanıtlamak ve Capwork’ü yalnızca platformun self servis olanakları yetersiz kaldığında dahil etmek;
• Çalışanlarının platform erişimlerini, rollerini ve yetkilerini özenle atamak ve yönetmek, ele geçirilmiş erişim bilgilerini gecikmeksizin askıya almak veya sıfırlamak;
• Yapay zekâ destekli işlevleri üretken kullanıma almadan önce personelini yapay zekâ çıktılarının deterministik olmayan, ön niteliği hakkında bilgilendirmek ve her yapay zekâ çıktısının içerik yönünden makul olup olmadığını sonraki kullanımdan önce — özellikle her türlü dış iletişim, faturalama veya hukuki sonuç doğuran karardan önce — kontrol etmek; yapay zekâ çıktıları Art. 22 GDPR anlamında hukuki sonuç doğuran otomatik kararların tek dayanağı olarak kullanılamaz;
• Özel nitelikli kişisel veriler (Art. 9 GDPR) veya mahkûmiyet kararlarına ilişkin veriler (Art. 10 GDPR) platform işlevlerine — özellikle yapay zekâ destekli olanlara — girilecekse, Capwork’ü önceden yazılı olarak bilgilendirmek ve kendine ait bir hukuki dayanak bulundurmak; böyle bir ön bildirim olmaksızın bu tür verilerin platformda işlenmesi genel işleme görevinin kapsamına girmez;
• Veri sorumlusunun sorumlu olduğu bu VİS veya GDPR ihlalinden — özellikle platforma izin verilmeyen verilerin girilmesinden, eksik veya hukuka aykırı hukuki dayanaklardan, hukuka aykırı talimatlardan veya ilgili kişilere karşı yetersiz şeffaflıktan — kaynaklandığı ölçüde, idari para cezaları ve makul hukuki savunma masrafları dahil üçüncü kişi taleplerine karşı Capwork’ü tazmin etmek;
• saha çalışması belgelemesini kullanması halinde, çalışanlarını ve son müşterilerini ilgili işleme hakkında (Art. 13 ve 14 GDPR) bilgilendirmek – özellikle çalışma ve yol sürelerinin kaydedilmesi ve zaman kayıtlarına aktarılması, iş durumunun işletmesinin diğer üyelerine ve adlar olmadan son müşteriye görünür olması, son müşterinin aldığı iş raporunda çalışanların çalışma, mola ve yol süreleriyle birlikte adlandırılması ile fotoğraflar, imzalar ve iş raporları hakkında –, kullanıma almadan önce bunun çalışanları izlemeye veya denetlemeye elverişli bir tedbir olarak bir çalışan temsil organının (ör. işyeri konseyi) katılımını gerektirip gerektirmediğini incelemek ve gerektiriyorsa onu dahil etmek ve teslim almadaki imzanın veya bağlantı üzerinden onayın (yazılı ad, onay ve istenirse imza) – her biri eIDAS Tüzüğü Art. 3(10) anlamında, teslim almanın ispatına yarayan basit bir elektronik imza – ilgili amaç için yeterli olup olmadığını kendisi değerlendirmek.

Veri sorumlusu işbu belgeyle Capwork’e, sözleşmenin ifası için başka veri işleyenleri ("alt işleyenler") görevlendirmek üzere Art. 28(2) cümle 1 GDPR uyarınca genel yazılı izin verir. Capwork her alt işleyeni, bu VİS’te belirtilenlere eşdeğer veri koruma yükümlülüklerine uymakla sözleşmesel olarak yükümlü kılar (Art. 28(4) GDPR).

Capwork, başka veri işleyenlerin görevlendirilmesine veya değiştirilmesine ilişkin planlanan değişiklikleri veri sorumlusuna en az 30 gün önceden, kayıtlı iletişim adresine e-posta ile veya platform içi bir bildirimle bildirir. Veri sorumlusu bu değişikliklere önemli bir veri koruma gerekçesiyle itiraz edebilir; salt tercihler veya ticari değerlendirmeler önemli gerekçe teşkil etmez. Geçerli bir itiraz yapılırsa taraflar dostane bir çözüm arar; 30 gün içinde çözüm bulunamazsa veri sorumlusu ana sözleşmeyi olağanüstü feshetme hakkına sahiptir, ancak önceki alt işleyenin korunmasını talep etme hakkına sahip değildir. Bundan farklı olarak, acil durumlarda — özellikle iflas, alt işleyen tarafından kısa süreli fesih, resmi makam kararı veya güvenlik ya da platform erişilebilirliğine ilişkin zorunlu nedenler — ön bildirim süresi teknik ve organizasyonel olarak mümkün olan ölçüye kısaltılabilir; Capwork veri sorumlusunu sonradan gecikmeksizin bilgilendirir.

Görevlendirilen alt işleyenlerin güncel listesi (Ek 2):

Bu liste her hizmeti (yalnızca "Google" veya benzeri yerine) ayrı ayrı belirtir, çünkü Art. 28 GDPR belirlilik gerektirir: her hizmetin kendi tüzel kişisi, kendi sözleşme şartları, kendi işleme bölgesi ve kendi risk profili vardır — ve veri sorumlusu her değişikliğe ayrı ayrı itiraz edebilmelidir.

Kişisel verilerin AEA dışındaki üçüncü ülkelere aktarımı yalnızca Art. 44 vd. GDPR koşullarından biri karşılandığında gerçekleşir — özellikle bir AB Komisyonu yeterlilik kararı, Standart Sözleşme Maddelerinin (SCC, Uygulama Kararı (AB) 2021/914) kullanımı veya Art. 46 GDPR uyarınca başka bir uygun güvence.

Google LLC, Twilio Inc. ve Stripe Inc. EU-U.S. Data Privacy Framework kapsamında sertifikalıdır ve böylece AB Komisyonu’nun 10 Temmuz 2023 tarihli yeterlilik kararı anlamında yeterli bir veri koruma düzeyi sağlar. Ayrıca ilgili Standart Sözleşme Maddeleri bu alt işleyenlerle yapılan veri işleme sözleşmelerinin parçasıdır. Anthropic Ireland, Limited (Claude Code) için ABD’ye ve diğer üçüncü ülkelere aktarımlar, Anthropic’in Data Processing Addendum’unun parçası olan AB Standart Sözleşme Maddelerine (Modül 3) dayanır; Capwork bu aktarımlar için EU-U.S. Data Privacy Framework’e dayanmaz.

Gerektiğinde Capwork, Art. 44 GDPR’nin koruma düzeyini sürdürmek için bir aktarım etki değerlendirmesi (TIA) yapar ve ek teknik tedbirler (aktarımda ve saklamada şifreleme, bölge sabitleme, takma adlandırma) uygular.

Capwork aşağıdaki teknik ve idari tedbirleri teknolojinin güncel durumuna, işlenen verilerin koruma ihtiyacına ve sektör standartlarına (özellikle sertifika temeli temel bulut altyapısı — Google Cloud — tarafından sağlanan ISO 27001, ISO 27018 ve ISO 27701) göre belirler:

• Şifreleme — tüm veri aktarımları için teknolojinin güncel durumuna uygun TLS, Firestore ve Cloud Storage’da saklama için AES-256 veya eşdeğeri; anahtar yönetimi Google Cloud tarafından (Google tarafından yönetilen şifreleme anahtarları);
• Erişim ve yetki kontrolü — rol tabanlı yetki modeline sahip Google IAM, veri sorumlusunun çalışanları için ayrıntılı platform rolleri (yetki sistemi);
• Kimlik doğrulama — teknolojinin güncel durumuna uygun parola özetleme ile Firebase Authentication, isteğe bağlı e-posta doğrulama ve kısa geçerlilik süreli parola sıfırlama belirteçleri;
• Ayırma kontrolü — `companyId` kapsamlandırması ile katı çok kiracılık; Firestore güvenlik kuralları ve sunucu tarafı yetki kontrolleri kiracı sınırları ötesine erişimi engeller;
• Erişilebilirlik ve kurtarılabilirlik — otomatik günlük yedeklemeler, Firestore’da belirli bir zamana kurtarma (PITR), projeler arası yedekleme kasası, belgelenmiş kurtarma prosedürüne sahip felaket kurtarma projesi;
• Takma adlandırma — açık metin PAN yerine kart belirteçleri, operasyonel olarak makul olan her yerde teknik tanımlayıcıların ve kişisel verilerin ayrı saklanması;
• Günlük kaydı ve denetlenebilirlik — kritik güvenlik günlüklerinin saklandığı Cloud Logging, tüm yönetimsel işlemlerin ve hukuki kabullerin denetim izi (sürüm, zaman damgası, IP, kullanıcı aracısı);
• Personel taahhüdü — kişisel verilere erişimi olan tüm kişiler veri gizliliği ve sır saklama yükümlülüğü altına alınmıştır; düzenli farkındalık eğitimleri;
• Güvenlik açığı ve yama yönetimi — otomatik bağımlılık taraması, platform bileşenlerinin düzenli güvenlik güncellemeleri, olay müdahale süreci;
• Saha çalışması belgelemesi — fotoğraflar gömülü meta veriler (ör. EXIF ve GPS verileri) olmadan saklanır; fotoğraflar, imzalar ve iş raporları herkese açık olmayan depolamada tutulur ve yalnızca süre sınırlı imzalı bağlantılarla alınabilir; imzalanmış teslim almalar değiştirilmez, sonraki düzeltmeler ayrıca kaydedilir; onay bağlantıları Capwork’ün yalnızca özet (hash) olarak sakladığı tek kullanımlık rastgele bir kod içerir, en fazla 14 gün geçerlidir ve yeniden gönderildiğinde veya geri çekildiğinde geçersiz olur; sipariş takip bağlantısı üzerinden yüklemeler, onaylar ve rapor indirmeleri sayıca sınırlıdır ve sayaçlar bağlantıyı ve IP adresini yalnızca özet (hash) olarak içerir.

Capwork, koruma düzeyi düşürülmediği sürece TOM’ları teknolojinin güncel durumuna uyarlamak için geliştirebilir; önemli değişiklikler 7. bölüme uygun olarak veri sorumlusuna bildirilir. Capwork belirli bir yapılandırmayı veya belirli bir sonucu değil, teknolojinin güncel durumuna uyumu borçlanır; akla gelebilecek her saldırıya karşı mutlak güvenlik teknik olarak garanti edilemez.

Capwork, ilgili kişilerin taleplerine yanıt verme yükümlülüklerini yerine getirmesinde veri sorumlusunu uygun teknik ve idari tedbirlerle destekler (Art. 12–22 GDPR). Platform; erişim (yapılandırılmış biçimde veri dışa aktarımı), düzeltme, silme (ilişkili kayıtların anonimleştirilmesi dahil "unutulma hakkı") ve işlemenin kısıtlanması için self servis işlevler sunar.

Self servis işlevler yetersiz kalırsa veri sorumlusu office@capwork.io adresinden yazılı olarak destek talep edebilir. Capwork gereksiz gecikme olmaksızın, genellikle 7 iş günü içinde yanıt verir. Bir ilgili kişi doğrudan Capwork’e başvurursa, Capwork talebi gecikmeksizin veri sorumlusuna iletir ve esasa ilişkin kendisi yanıt vermez. Standart platform işlevlerinin ötesine geçen destek emeği, yasal asgari yükümlülükler ücretsiz yerine getirildiği sürece, Capwork tarafından önceden yapılan bir emek tahminine göre makul piyasa ücreti karşılığında faturalandırılabilir.

Veri sorumlusu saha çalışması belgelemesini kullanıyorsa, fotoğraflar, imzalar ve iş raporları sipariş var olduğu sürece saklanır ve 13. bölüm uyarınca diğer verilerle birlikte ya da veri sorumlusunun talimatıyla daha önce silinir. Bir son müşterinin verilerinin silinmesi fotoğrafları, imzayı, imzalayan kişinin adını, bağlantı üzerinden onayın kanıtlarını, notları, yer notlarını, iş raporunu (PDF) ve özetiyle birlikte bekleyen her onay talebini de kapsar; sipariş geçmişinde bir teslim almanın gerçekleştiğinin görülebilmesi için anonim bir kayıt (tarih, iş, sağlama toplamı) kalır.

Capwork, Capwork’ün veya bir alt işleyenin sorumluluk alanında meydana gelen her kişisel veri güvenliği ihlalini (Art. 4(12) GDPR anlamında "veri ihlali") kesin olarak öğrendikten sonra gereksiz gecikme olmaksızın veri sorumlusuna bildirir. Daha fazla inceleme gerektiren salt şüpheler ile otomatik güvenlik sistemlerinin açıkça yanlış pozitif sonuçları henüz bildirim yükümlülüğü doğurmaz. Bildirim, bildirim anında bilindiği ölçüde en az şunları içerir:

• ihlalin niteliğinin, mümkünse ilgili kişi ve kayıtların kategorileri ve yaklaşık sayısı belirtilerek açıklanması;
• ek bilgiler için irtibat kişisinin adı ve iletişim bilgileri;
• ihlalin olası sonuçlarının açıklanması;
• ihlali gidermek ve olası olumsuz etkilerini hafifletmek için alınan veya önerilen tedbirlerin açıklanması.

Denetim makamlarına (Art. 33 GDPR) ve ilgili kişilere (Art. 34 GDPR) karşı yasal bildirim yükümlülükleri veri sorumlusunda kalır; Capwork bu bildirimleri yapmakla yükümlü değildir ve bunları veri sorumlusu adına yapmaz. Capwork, veri sorumlusunu bu yükümlülükleri yerine getirmesinde uygun teknik ve idari tedbirlerle ve elinde bulunduğu ölçüde gerekli bilgileri sağlayarak destekler.

Capwork, Art. 28 GDPR kapsamındaki yükümlülüklere uyduğunu öncelikle güncel sertifikalar ve denetim raporları (özellikle Google Cloud’un ISO 27001, ISO 27018 ve ISO 27701 sertifikaları, alt işleyenlerin SOC 2 Type II raporları, Vertex AI Data Processing Addendum ve Stripe’ın PCI-DSS raporları) sunarak ve yazılı veri koruma anketlerini yanıtlayarak kanıtlar. Yerinde denetim yalnızca bu kanıt biçimleri veri sorumlusunun özen yükümlülüğü amaçları için yetersiz kaldığında caizdir.

Yerinde denetimler takvim yılı başına en fazla bir kez, en az 14 iş günü makul ön bildirimle, normal çalışma saatleri içinde ve Capwork’ün iş faaliyetlerini makul olmayan şekilde aksatmadan caizdir. Olağanüstü bir denetim yalnızca somut bir veri koruma sebebiyle — özellikle Capwork’ün alanında teyit edilmiş bir kişisel veri ihlali — caizdir. Capwork’ün rakipleri denetçi olarak hariç tutulur; denetim başlamadan önce veri sorumlusu veya görevlendirdiği denetçi Capwork ile makul bir gizlilik sözleşmesi akdeder. Denetimin kapsamı, zamanlaması ve yöntemi önceden yazılı olarak kararlaştırılır.

Denetim, Capwork’ün bu VİS’i veya GDPR’yi önemli ölçüde ihlal ettiğini ortaya koymadıkça, denetimin maliyetini veri sorumlusu üstlenir; bu durumda doğan makul masrafları Capwork üstlenir. Capwork personelinin denetimi desteklemek için on kişi-saati aşan emeği piyasada olağan günlük ücretlerle faturalandırılır.

Ana sözleşme sona erdiğinde bu VİS de sona erer. Capwork, veri sorumlusunun tercihine göre, onun adına işlenen kişisel verileri ya siler ya da yapılandırılmış, yaygın olarak kullanılan, makine tarafından okunabilir bir biçimde veri sorumlusuna iade eder. Tercih, sözleşmenin sona ermesinden sonra 30 gün içinde metin biçiminde yapılmalıdır (office@capwork.io adresine bir e-posta yeterlidir); veri sorumlusu tercih yapmazsa silme seçilmiş sayılır.

Veri sorumlusu aksini seçmedikçe, onun adına işlenen tüm kişisel veriler sözleşmenin sona ermesinden sonra 30 gün içinde silinir. Otomatik saklama süreleri nedeniyle en fazla 90 gün daha kalan ve bu süre içinde yalnızca geri yükleme ve güvenlik amaçlarıyla erişilebilen yedeklemeler ve günlükler bunun dışındadır. Verilerin yapılandırılmamış veya müşteriye özgü dışa aktarma biçimlerinde sağlanması ve karmaşık taşıma hizmetleri, önceden yapılan bir emek tahminine göre makul piyasa ücreti karşılığında yerine getirilir.

Daha uzun saklama yalnızca Capwork’ün tabi olduğu AB hukuku veya Üye Devlet hukuku uyarınca buna yükümlü olduğu ölçüde gerçekleşir (ör. UGB/BAO/GoBD kapsamındaki saklama yükümlülükleri); bu durumda veriler sonraki işlemeye karşı kısıtlanır.

Tarafların ilgili kişilere karşı sorumluluğu Art. 82 GDPR’ye tabidir ve aşağıdaki sınırlamalardan etkilenmez. Taraflar müteselsilen sorumlu tutulursa, iç ilişkide rücu Art. 82(5) GDPR uyarınca her tarafın kusur ve katkı payına göre yapılır.

İç ilişkide her taraf, bu VİS’te daha özel bir hüküm bulunmadığı ölçüde, bu VİS’in veya GDPR’nin kusurlu ihlalinden doğan zararlardan diğer tarafa karşı ana sözleşmenin genel hükümlerine ve orada kararlaştırılan sorumluluk üst sınırlarına göre sorumludur.

Capwork’ün hafif ihmalden sorumluluğu hariç tutulmuştur; hukuken izin verildiği ölçüde bu, olağan ağır ihmal için de geçerlidir. Capwork’ün bu VİS’ten veya bununla bağlantılı olarak doğan toplam sorumluluğu — hukuki dayanağı ne olursa olsun — tutar olarak, veri sorumlusunun zarara yol açan olaydan önceki 12 ay içinde fiilen ödediği ücretlerle sınırlıdır; bu üst sınır ana sözleşmede kararlaştırılan sorumluluk üst sınırına karşılık gelir. Yoksun kalınan kâr, elde edilemeyen tasarruflar, sonuç zararları, dolaylı zararlar, veri kaybı (sözleşmeyle borçlanılan yedekleme tedbirlerinde bir aksaklık olmadığı ölçüde) ve diğer malvarlığı zararlarından sorumluluk, kanunen izin verilen ölçüde hariç tutulmuştur.

Yukarıdaki sınırlamalar (a) kast ve ağır kusur niteliğindeki ağır ihmal, (b) hayata, vücut bütünlüğüne veya sağlığa zarar verilmesinden doğan zararlar, (c) Ürün Sorumluluğu Kanunu (PHG) veya diğer emredici ürün sorumluluğu hukuku kapsamındaki talepler ve (d) diğer emredici yasal sorumluluk için geçerli değildir. İlgili kişilerin Art. 82 GDPR kapsamındaki talepleri saklıdır; veri sorumlusunun iç ilişkideki tazminat ve rücu talepleri (Art. 82(5) GDPR) için yukarıdaki sorumluluk sınırlamaları hukuken izin verildiği ölçüde uygulanır.

Veri sorumlusu, veri sorumlusunun sorumlu olduğu bu VİS veya GDPR ihlaline — özellikle platforma izin verilmeyen verilerin girilmesine, eksik veya hukuka aykırı hukuki dayanaklara, hukuka aykırı talimatlara veya ilgili kişilere karşı yetersiz şeffaflığa — dayandığı ölçüde, idari para cezaları ve makul hukuki savunma masrafları dahil üçüncü kişi taleplerine karşı Capwork’ü tazmin eder.

Capwork; mücbir sebep, grevler, lokavtlar, resmi makam kararları, savaş veya terör eylemleri, salgınlar, Capwork’ün etki alanı dışındaki internet ve telekomünikasyon kesintileri veya Capwork’ün sorumlu olmadığı üçüncü kişilerin eylemleri (özellikle dağıtılmış hizmet engelleme saldırıları, bir yama mevcut olmadan önceki sıfırıncı gün açıkları) nedeniyle meydana gelen kesintilerden veya ihlallerden sorumlu değildir.

Yapay zekâ çıktıları teknolojinin güncel durumuna göre sağlanır; Capwork bunların doğruluğu, eksiksizliği, güncelliği veya belirli bir amaca uygunluğu konusunda hiçbir garanti vermez. İçerik yönünden makullük kontrolünün ve yapay zekâ çıktılarının kullanımının sorumluluğu veri sorumlusunda kalır (6. bölüm bent f). Yapay zekâ çıktılarının veri sorumlusu veya personeli tarafından kontrol edilmeden benimsenmesinden ya da hatalı kullanılmasından kaynaklanan zararlardan Capwork’ün sorumluluğu, kanunen izin verilen ölçüde ve 4. fıkra kapsamında bir istisna uygulanmadıkça hariç tutulmuştur.

Bir zararın Capwork’ün bir yükümlülük ihlaline dayandığına ve başka bir nedene (özellikle veri sorumlusunun, bir son müşterinin, Capwork’ün sözleşmeyle borçlandığı seçim özeninin dışındaki bir alt işleyenin eylemine veya 6. fıkra kapsamındaki bir nedene) dayanmadığına ilişkin ispat yükü, kanunen izin verilen ölçüde veri sorumlusundadır.

Bu VİS benzersiz bir sürüm numarasıyla yönetilir (bkz. "Son güncelleme"). Veri sorumlusunun hak veya yükümlülüklerini etkileyen önemli değişiklikler en az 30 gün önceden bildirilir; bu süre içinde veri sorumlusu, 7. bölümde açıklanan sonuçlarla, önemli bir veri koruma gerekçesiyle değişikliğe itiraz edebilir. Yalnızca açıklayıcı nitelikteki, yasal düzenlemeleri uygulayan veya veri sorumlusunun hukuki durumunu kötüleştirmeyen değişiklikler Capwork tarafından önceden bildirim yapılmaksızın yapılabilir.

Bu VİS ana sözleşmenin parçasıdır. Bu VİS hükümleri ile ana sözleşme hükümleri arasında çelişki olması halinde, veri koruma konularında bu VİS hükümleri, diğer tüm konularda ana sözleşme hükümleri önceliklidir. Bu VİS’in bir hükmü geçersizse veya geçersiz hale gelirse, diğer hükümlerin geçerliliği etkilenmez; geçersiz hüküm yerine, geçersiz hükmün ekonomik ve hukuki amacına en yakın geçerli bir düzenleme geçer (bölünebilirlik hükmü).

BM Satış Sözleşmesi (CISG) ve kanunlar ihtilafı kuralları hariç olmak üzere Avusturya Cumhuriyeti hukuku uygulanır. Veri sorumlusunun UGB anlamında bir tacir olması halinde, bu VİS’ten veya bununla bağlantılı olarak doğan tüm uyuşmazlıklar için münhasır yetkili yer Viyana, Avusturya’dır.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-posta: office@capwork.io