Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("VİS"), etkinlik organizatörü ("Veri Sorumlusu", "siz") ile EventMann platformunu işleten ChetsApp UG ("Veri İşleyen", "biz", "bize") arasında akdedilmiştir. Bu VİS, Organizatör Sözleşmesini ve Hizmet Şartlarını tamamlar.

Bu VİS boyunca aşağıdaki tanımlar geçerlidir:

• Veri Sorumlusu: Katılımcı kişisel verilerinin işlenme amaçlarını ve araçlarını belirleyen etkinlik organizatörü. EventMann aracılığıyla etkinlik oluşturup katılımcı bilgilerini topladığınızda Veri Sorumlusu sizsiniz.
• Veri İşleyen: EventMann platformu hizmetlerinin sunulması kapsamında Veri Sorumlusu adına kişisel verileri işleyen ChetsApp UG (EventMann).
• Veri Sahibi: Kişisel verileri işlenen tanımlanmış veya tanımlanabilir gerçek kişi. EventMann bağlamında Veri Sahipleri öncelikle etkinlik katılımcılarıdır.
• Kişisel Veri: Bir Veri Sahibiyle ilgili herhangi bir bilgi; adlar, e-posta adresleri, rezervasyon bilgileri ve özel ödeme sorularına verilen yanıtlar dahil.
• İşleme: Kişisel veriler üzerinde gerçekleştirilen herhangi bir işlem; toplama, saklama, erişim, kullanma, ifşa, birleştirme, silme veya imha dahil.
• Alt İşleyen: Veri Sorumlusu adına kişisel verileri işlemek üzere Veri İşleyen tarafından görevlendirilen üçüncü taraf.

Bu VİS, ChetsApp UG'nin EventMann platformuyla bağlantılı olarak Veri Sorumlusu adına gerçekleştirdiği tüm kişisel veri işlemeleri için geçerlidir. Veri İşleyen, AB veya üye devlet hukuku tarafından gerekli kılınan durumlar hariç, kişisel verileri yalnızca Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işleyecektir.

Bu VİS kapsamındaki işleme şunları içerir:

• Katılımcı kayıt ve rezervasyon verilerinin saklanması ve yönetimi
• Bilet satın alımlarının ve ödeme işlemlerinin işlenmesi (Stripe ile birlikte)
• Veri Sorumlusu adına işlemsel e-postalar gönderme (rezervasyon onayları, bilet teslimi, etkinlik güncellemeleri)
• Katılımcı ve rezervasyon verilerine dayalı raporlar ve analizler oluşturma
• QR kodu doğrulama aracılığıyla giriş süreçlerini kolaylaştırma
• Veri Sorumlusu tarafından tanımlanan özel ödeme sorularına verilen yanıtların saklanması ve iletilmesi

Veri İşleyen, Veri Sorumlusu tarafından açıkça talimat verilmedikçe veya yürürlükteki yasa gerektirmedikçe, kişisel verileri bu VİS'te ve Organizatör Sözleşmesinde açıklanan EventMann platform hizmetlerinin sağlanması dışında herhangi bir amaçla işlemeyecektir.

Bu VİS kapsamında aşağıdaki kişisel veri kategorileri işlenmektedir:

Katılımcı kimlik verileri:

• Ad soyad
• E-posta adresi
• Telefon numarası (sağlanmışsa veya Veri Sorumlusu tarafından gerekliyse)

Rezervasyon ve işlem verileri:

• Rezervasyon referans numaraları
• Bilet türü ve miktarı
• Satın alma tarihi ve saati
• Ödeme durumu (onaylanmış, beklemede, iade edilmiş)
• Kısmi ödeme bilgileri (kartın son 4 hanesi, kart markası — Stripe'dan alınmış)

Özel veri alanları:

• Veri Sorumlusu tarafından tanımlanan özel ödeme sorularına verilen yanıtlar (örn. diyet gereksinimleri, şirket adı, erişilebilirlik ihtiyaçları)

Teknik veriler:

• Rezervasyon sırasındaki IP adresi
• Tarayıcı ve cihaz bilgileri
• QR kodu giriş zaman damgaları

Özel kategori veriler: Veri İşleyen, özel kategorilerdeki kişisel verileri (örn. sağlık verileri, biyometrik veriler, dini inançlar) kasıtlı olarak toplamaz veya işlemez. Veri Sorumlusu bu tür verileri ortaya çıkaran özel ödeme soruları yapılandırırsa, uygun yasal dayanak ve güvencelerin sağlanmasından yalnızca Veri Sorumlusu sorumludur.

Kişisel veriler yalnızca aşağıdaki amaçlarla işlenir:

• Sözleşmenin ifası: Rezervasyonların işlenmesi, bilet düzenlenmesi, ödemelerin kolaylaştırılması ve etkinlik katılımının yönetimi — tümü Veri Sorumlusu (Organizatör) ile Veri Sahibi (Katılımcı) arasındaki sözleşmeye hizmet eder.
• İletişim: Veri Sorumlusu adına rezervasyon onayları, bilet teslimi, etkinlik güncellemeleri ve iptal bildirimleri dahil işlemsel e-postalar gönderme.
• Etkinlik yönetimi: Giriş işlevselliğinin etkinleştirilmesi, katılımcı listelerinin yönetimi, iade taleplerinin işlenmesi ve Veri Sorumlusu tarafından yapılandırılan bilet transferlerinin kolaylaştırılması.
• Raporlama: Veri Sorumlusunun etkinlik yönetimi amaçları için bilet satışları, katılım, gelir ve diğer metrikler hakkında toplu ve bireysel raporlar oluşturma.
• Platform işletimi: Dolandırıcılık tespiti, kötüye kullanım önleme ve teknik sorun giderme dahil EventMann platformunun güvenliğini, kullanılabilirliğini ve performansını sürdürme.

Veri İşleyen, kişisel verileri kendi pazarlama amaçları, profilleme veya EventMann platform hizmetlerinin sağlanmasıyla ilgisiz herhangi bir amaç için kullanmayacaktır. Bireysel Veri Sahipleriyle ilişkilendirilemeyen anonimleştirilmiş ve toplulaştırılmış veriler, Veri İşleyen tarafından platform iyileştirme ve istatistiksel analiz için kullanılabilir.

Veri Sorumlusu, Veri İşleyeni bu VİS'te açıklanan amaçlar doğrultusunda aşağıdaki alt işleyenleri görevlendirmeye yetkilendirir:

• Stripe, Inc. — Ödeme işleme, işlem yönetimi ve ödeme kolaylaştırma. Stripe, ödeme kartı verilerini doğrudan işler ve bağımsız olarak PCI-DSS Seviye 1 sertifikalıdır. Stripe'ın veri işleme şartları, ödeme verilerinin yönetimi için geçerlidir. Konum: Amerika Birleşik Devletleri, AB veri işleme kapasitesiyle.
• Barındırma sağlayıcısı: EventMann platformu için altyapı barındırma ve veri depolama. Tüm birincil veriler Avrupa Birliği'nde (Almanya) barındırılmaktadır. Barındırma sağlayıcısı, kişisel verileri yalnızca altyapı hizmetleri sağlama amacıyla işler ve ChetsApp UG ile bir veri işleme sözleşmesiyle bağlıdır.

Veri İşleyen, herhangi bir alt işleyeni eklemeden veya değiştirmeden önce Veri Sorumlusunu bilgilendirecektir. Veri Sorumlusu, bildirimden itibaren 14 gün içinde yeni bir alt işleyene itiraz edebilir. Veri Sorumlusu itiraz eder ve taraflar bir çözüme varamazsa, Veri Sorumlusu etkilenen hizmetleri feshedebilir.

Veri İşleyen, tüm alt işleyenlerin bu VİS'te belirtilenden daha az koruyucu olmayan veri koruma yükümlülükleriyle bağlı olmasını sağlayacaktır. Veri İşleyen, alt işleyenlerinin eylem ve ihmallerinden Veri Sorumlusuna karşı tamamen sorumlu olmaya devam eder.

Veri İşleyen, GDPR'nin 32. Maddesi uyarınca kişisel verileri korumak için aşağıdaki teknik ve organizasyonel önlemleri uygular:

Teknik önlemler:

• Tüm veri iletişimleri için TLS 1.3 kullanarak aktarım sırasında şifreleme
• Kişisel veri içeren veritabanları için durağan halde şifreleme
• Uygun maliyet faktörleriyle bcrypt kullanarak güvenli şifre hashleme
• Kişisel verilere erişimi sınırlayan ayrıntılı izinlerle rol tabanlı erişim kontrolü (RBAC)
• Kimlik doğrulama uç noktalarında hız sınırlama ve kaba kuvvet koruması
• Otomatik güvenlik açığı taraması ve bağımlılık güncellemeleri
• Düzenli güvenlik yamaları ve sistem güncellemeleri

Organizasyonel önlemler:

• Kişisel verilere erişim, bilmesi gereken bazında yetkili personelle sınırlıdır
• Kişisel verilere erişimi olan tüm personel gizlilik yükümlülükleriyle bağlıdır
• Kişisel verilere tüm erişim ve değişikliklerin denetim günlüğü
• Güvenlik olayları ve veri ihlalleri için olay müdahale prosedürleri
• Güvenlik önlemlerinin düzenli incelenmesi ve test edilmesi
• Yüksek riskli işleme faaliyetleri için veri koruma etki değerlendirmeleri

Bu önlemler, teknoloji, tehditler ve düzenleyici gereksinimlerdeki değişiklikleri yansıtmak üzere periyodik olarak gözden geçirilir ve güncellenir. Veri Sorumlusu, belirli güvenlik önlemleri hakkında istediğiniz zaman bilgi talep edebilir.

Veri İşleyen, GDPR'nin 15-22. Maddeleri kapsamında Veri Sahibi taleplerine yanıt verme yükümlülüklerinde Veri Sorumlusuna yardımcı olacaktır; bunlar şunları içerir:

• Erişim hakkı (Md. 15): Veri İşleyen, Veri Sorumlusuna katılımcı verilerini yapılandırılmış, yaygın olarak kullanılan, makine tarafından okunabilir bir formatta dışa aktarma imkanı sağlayacaktır.
• Düzeltme hakkı (Md. 16): Veri İşleyen, Veri Sorumlusunun platformun katılımcı yönetim özellikleri aracılığıyla hatalı kişisel verileri düzeltmesini sağlayacaktır.
• Silme hakkı (Md. 17): Veri Sorumlusunun talebi üzerine, Veri İşleyen belirli Veri Sahiplerinin kişisel verilerini silecektir; ancak yasal olarak saklanması gereken durumlar hariçtir (örn. Alman ticaret hukuku kapsamında mali kayıtlar).
• Kısıtlama hakkı (Md. 18): Veri İşleyen, Veri Sahibinin doğruluğa itiraz ettiği veya işlemeye karşı çıktığı durumlarda kişisel veri işlemenin kısıtlanmasında Veri Sorumlusunu destekleyecektir.
• Veri taşınabilirliği hakkı (Md. 20): Veri İşleyen, taşınabilirliği kolaylaştırmak için CSV ve JSON formatlarında veri dışa aktarma işlevselliği sağlayacaktır.
• İtiraz hakkı (Md. 21): Veri Sorumlusu, işlemeye yönelik itirazları ele almaktan ve Veri İşleyeni buna göre talimatlandırmaktan sorumludur.

Veri İşleyen doğrudan bir Veri Sahibinden talep alırsa, derhal Veri Sorumlusunu bilgilendirecek ve Veri Sorumlusu tarafından yetkilendirilmedikçe veya yasa gerektirmedikçe talebe doğrudan yanıt vermeyecektir.

Kişisel veri ihlali durumunda, Veri İşleyen, ihlalden haberdar olduktan itibaren gecikmeksizin ve her halükarda 72 saat içinde Veri Sorumlusunu bilgilendirecektir. Bu süre, Veri Sorumlusunun GDPR'nin 33. Maddesi kapsamında denetim otoritesini bilgilendirme yükümlülüğüyle uyumludur.

İhlal bildirimi, mevcut olduğu ölçüde aşağıdakileri içerecektir:

• Etkilenen Veri Sahiplerinin ve kayıtların kategorileri ve yaklaşık sayısı dahil ihlalin niteliğinin açıklaması
• Veri İşleyenin veri koruma irtibat noktasının adı ve iletişim bilgileri
• İhlalin olası sonuçlarının açıklaması
• İhlali ele almak ve etkilerini azaltmak için alınan veya önerilen önlemlerin açıklaması

Veri İşleyen, ihlalin araştırılması ve giderilmesinde Veri Sorumlusuyla tam olarak işbirliği yapacaktır; bu şunları içerir:

• Ek bilgilerin mevcut olduğunda sağlanması
• İhlali kontrol altına almak ve daha fazla yetkisiz erişimi önlemek için derhal adımlar atılması
• GDPR'nin 34. Maddesi kapsamında gerekli olduğunda Veri Sahiplerine bildirimlerde Veri Sorumlusuna yardımcı olunması
• İhlal soruşturmasıyla ilgili kanıtların ve günlüklerin korunması

Veri İşleyen, denetim otoritesine bildirim gerekip gerekmediğine bakılmaksızın, gerçekler, etkiler ve alınan düzeltici eylemler dahil tüm kişisel veri ihlallerini belgeleyecektir.

Organizatör Sözleşmesinin feshi üzerine veya Veri Sorumlusunun yazılı talebi üzerine, Veri İşleyen şunları yapacaktır:

• Veri iadesi: Veri Sorumlusuna, Veri Sorumlusu adına işlenen tüm kişisel verilerin yapılandırılmış, yaygın olarak kullanılan, makine tarafından okunabilir bir formatta (CSV veya JSON) eksiksiz dışa aktarımını sağlamak.
• Veri silme: İade talebinin alınmasından itibaren 30 gün içinde veya sözleşmenin feshi üzerine (hangisi önce gerçekleşirse) Veri İşleyenin sistemlerinden tüm kişisel verileri silmek.
• Silme onayı: Veri Sorumlusunun talebi üzerine veri silmenin yazılı onayını sağlamak.

Silme istisnaları: Veri İşleyen, yürürlükteki yasa gerektirdiğinde silme son tarihinin ötesinde kişisel verileri saklayabilir; bunlar şunları içerir:

• Alman ticaret hukuku (HGB Bölüm 257) kapsamında gerekli mali işlem kayıtları — 10 yıla kadar saklanır
• Alman Mali Kanunu (AO Bölüm 147) kapsamında gerekli vergiyle ilgili kayıtlar — 10 yıla kadar saklanır
• Yasal taleplerin kurulması, uygulanması veya savunulması için gerekli veriler

Veriler yasal bir yükümlülük kapsamında saklandığında, daha fazla işlemeden kısıtlanacak ve uygun güvenlik önlemleriyle korunacaktır. Veri İşleyen, tam silmeyi engelleyen herhangi bir yasal saklama yükümlülüğü hakkında Veri Sorumlusunu bilgilendirecektir.

Kişisel veri içeren yedek kopyalar, 90 günü aşmayan normal yedek rotasyon döngüsü aracılığıyla üzerine yazılacaktır.

Bu Veri İşleme Sözleşmesi, AB Genel Veri Koruma Yönetmeliği (Yönetmelik (AB) 2016/679) hükümlerine göre yönetilir ve yorumlanır; özellikle veri sorumluları ve veri işleyenler arasındaki veri işleme sözleşmeleri için gereksinimleri belirleyen Madde 28.

GDPR'nin belirli bir konuyu ele almadığı ölçüde, bu VİS, Alman Federal Veri Koruma Yasası (BDSG) dahil Federal Almanya Cumhuriyeti yasalarına tabi olacaktır. Bu VİS'ten kaynaklanan tüm anlaşmazlıklar Münih (München), Almanya mahkemelerinin münhasır yargı yetkisine tabi olacaktır.

Bu VİS'in herhangi bir hükmü geçersiz veya uygulanamaz bulunursa, kalan hükümler tam olarak yürürlükte kalmaya devam edecektir. Geçersiz hüküm, orijinal amacı mümkün olduğunca yakından gerçekleştiren geçerli bir hükümle değiştirilecektir.

Bu VİS, Veri Sorumlusunun EventMann'da organizatör hesabı oluşturduğu tarihten itibaren geçerlidir ve Organizatör Sözleşmesinin süresi ile geçerli veri saklama süreleri boyunca yürürlükte kalır. Bu VİS, Veri İşleyen tarafından Veri Sorumlusuna 30 gün önceden bildirimde bulunularak değiştirilebilir. Bildirim süresinden sonra platformu kullanmaya devam etmek, değiştirilen şartların kabulünü oluşturur.

ChetsApp UG
Pecserstr 55, 70736 Fellbach, Almanya