Veri İşleme Sözleşmesi (DPA) — Kullanım Koşulları Ek 1

Sürüm 1.0 — 3 Kasım 2026. Bu sözleşme (umowa powierzenia przetwarzania danych osobowych, GDPR Madde 28), bir PolyMatch hesabına sahip Şirket ("Müşteri") ile [Ad SOYAD], [kayıtlı adres], Polonya, NIP [NIP] ("PolyMatch") arasında akdedilir. Sözleşme, Müşteriyi temsil ve ilzama yetkili bir kişi tarafından Kullanım Koşulları ile birlikte kabul edilir; Müşteri adına düzenlenmiş tarihli bir nüsha Şirketim bölümünden indirilebilir.

1. Konu ve kapsam

1.1 Bu sözleşme, Müşterinin Platforma yüklediği veya girdiği içerikte yer alan üçüncü kişilere ait kişisel verilerin ("Müşteri Verileri") PolyMatch tarafından Müşteri adına işlenmesini düzenler: Müşterinin fasoncularının, müşterilerinin veya iş ortaklarının iletişim bilgileri, belgelerinde, mesajlarında, projelerinde veya tekliflerinde adı geçen kişiler.

1.2 Aşağıdakiler Müşteri Verisi değildir ve Gizlilik Politikası'na uygun olarak PolyMatch tarafından bağımsız veri sorumlusu sıfatıyla işlenir: Müşterinin Kullanıcılarının hesapları, Şirketin kimlik ve listeleme verileri, Grade'lerin teknik verileri, teknik boyutlarıyla Projeler, Talepler, Eşleşmeler ve sıralamalar, faturalandırma, güvenlik ve etkinlik kayıtları, onaylar. Müşteri ve PolyMatch, bir Kilit Açma işleminden sonra Şirketler arasında paylaşılan veriler bakımından her biri bağımsız veri sorumlusudur.

1.3 İşlemenin tanımı: niteliği — barındırma, depolama, Müşteriye ve Kullanıcılarına görüntüleme, Müşterinin Platform aracılığıyla iletişime geçtiği Şirketlere iletme, mesajların otomatik çevirisi, yedekleme; amacı — Koşullarda açıklanan hizmetlerin sunulması; süresi — sözleşmenin süresi; ilgili kişi kategorileri — Müşterinin fasoncularının, müşterilerinin ve iş ortaklarının kurumsal irtibat kişileri, Kullanıcılarının andığı kişiler; veri kategorileri — mesleki kimlik, görev, kurumsal iletişim bilgileri, mesajların ve belgelerin içeriği; özel nitelikli veri (GDPR Madde 9) işlenmesi öngörülmemektedir ve Müşteri bu tür verileri yüklememeyi taahhüt eder.

2. Müşterinin talimatları

2.1 PolyMatch, Müşteri Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler. Talimatlar şunlardır: Kullanım Koşulları, bu sözleşme ve Müşteri ile Kullanıcılarının Platformda gerçekleştirdiği işlemler (yükleme, paylaşma, gönderme, silme).

2.2 PolyMatch, bir talimatın GDPR'yi veya veri korumaya ilişkin diğer hükümleri ihlal ettiği kanaatine varırsa Müşteriyi gecikmeksizin bilgilendirir. PolyMatch, Birlik hukuku veya bir Üye Devlet hukuku gerektirdiğinde Müşteri Verilerini talimat olmaksızın işleyebilir; kanunen yasaklanmadıkça bu durumda Müşteriyi bilgilendirir.

3. Müşterinin yükümlülükleri

Müşteri; Müşteri Verileri için bir hukuki dayanağa sahip olduğunu, ilgili kişileri bilgilendirdiğini, talimatlarının hukuka uygun olduğunu ve Müşteri Verilerini gerekli olanla sınırladığını garanti eder. Müşteri Verilerine ilişkin ilgili kişi ve makam taleplerini, Madde 6 uyarınca PolyMatch'in yardımıyla, yalnızca Müşteri yanıtlar.

4. PolyMatch'in yükümlülükleri

4.1 Gizlilik: Müşteri Verilerini işlemeye yetkili kişiler sözleşme veya kanun gereği gizlilik yükümlülüğü altındadır; erişim, işletim ve destek için gerekli olanla sınırlıdır.

4.2 Güvenlik: PolyMatch, Ek A'daki teknik ve idari tedbirleri uygular ve bunları genel düzeylerini düşürmeksizin risklerin gelişimine uyarlar.

4.3 Kayıtlar ve işbirliği: PolyMatch, Müşteri adına yürütülen işleme faaliyetlerinin kategorilerine ilişkin kaydı tutar ve talep üzerine denetim makamıyla işbirliği yapar.

5. Alt işleyenler

5.1 Müşteri, Gizlilik Politikası'nda yayımlanan listeyi aynen içeren Ek B'de sayılan alt işleyenlerin kullanılmasına genel bir izin verir.

5.2 PolyMatch, her türlü ekleme veya değişikliği, yürürlüğe girmesinden en az otuz gün önce Müşteriye e-posta ile bildirir. Müşteri, veri korumaya ilişkin meşru gerekçelerle bu süre içinde yazılı olarak itiraz edebilir; anlaşma sağlanamaması hâlinde Müşteri, değişiklik yürürlüğe girmeden önce sözleşmeyi cezai şart ödemeksizin feshedebilir.

5.3 PolyMatch, her alt işleyene sözleşme yoluyla kendi yükümlülüklerine eşdeğer veri koruma yükümlülükleri yükler ve bunların yerine getirilmesinden Müşteriye karşı sorumlu olmaya devam eder.

6. Yardım ve ilgili kişilerin hakları

6.1 PolyMatch, işlemenin niteliğini dikkate alarak, haklarını kullanan ilgili kişilerin taleplerinin (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) yanıtlanmasında Müşteriye yardım eder. Müşteri, Platform içinde Müşteri Verilerini görüntüleme, düzeltme ve silme imkânlarına sahiptir; PolyMatch, Platformun izin vermediği hususlarda yazılı talep üzerine on iş günü içinde müdahale eder.

6.2 Bir ilgili kişinin Müşteri Verileri hakkında doğrudan PolyMatch'e başvurması hâlinde PolyMatch, kanunen zorunlu olmadıkça esasa ilişkin yanıt vermeksizin talebi Müşteriye iletir.

6.3 PolyMatch, elindeki bilgiler ölçüsünde, güvenlik, ihlal bildirimi ve etki değerlendirmesine ilişkin yükümlülüklerine uyması için Müşteriye yardım eder (GDPR Madde 32 ila 36).

7. Veri ihlalleri

PolyMatch, Müşteri Verilerini etkileyen her türlü kişisel veri ihlalini, gereksiz gecikme olmaksızın ve ihlalden haberdar olmasından itibaren en geç kırk sekiz saat içinde, Müşterinin Yöneticilerine e-posta göndererek Müşteriye bildirir. Bildirim; ihlalin niteliğini, ilgili kişilerin ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları, alınan veya önerilen tedbirleri ve irtibat noktasını açıklar; henüz mevcut olmayan bilgiler mevcut olur olmaz sağlanır.

8. Avrupa Birliği dışına aktarımlar

Müşteri Verileri Avrupa Birliği'nde barındırılır. Bir alt işleyen tarafından üçüncü bir ülkeye yapılan her aktarım, bir yeterlilik kararına veya uygun ek tedbirlerle birlikte Avrupa Komisyonu standart sözleşme hükümlerine dayanır; Ek B her alt işleyen için geçerli güvenceyi belirtir.

9. Denetim

9.1 PolyMatch, bu sözleşmeye uyumun gösterilmesi için gerekli bilgileri Müşterinin kullanımına sunar: güvenlik tedbirlerinin tanımı, alt işleyenlerin listesi, yılda bir kez yazılı bir soru formuna verilen yanıtlar.

9.2 Yerinde denetim veya bağımsız bir üçüncü kişi tarafından yapılan denetim; yılda bir kez ya da bir veri ihlalinden sonra veya bir makamın talebi üzerine, otuz gün önceden yazılı bildirimde bulunularak, mesai saatleri içinde, faaliyetleri aksatmadan veya diğer müşterilerin verilerine erişim sağlamadan ve masrafları Müşteriye ait olmak üzere mümkündür. Bulgular gizlidir.

10. İşlemenin sona ermesi

10.1 Sözleşmenin sona ermesi üzerine PolyMatch, Müşteri Verilerini otuz gün içinde siler; yasal bir saklama yükümlülüğü bulunması hâlinde veriler bu yükümlülük sona erene kadar ayrı tutularak saklanır. Müşteri, sözleşme sona ermeden önce verilerini Platformun işlevleri aracılığıyla bizzat dışa aktarır.

10.2 Müşterinin talimatı üzerine bir Kilit Açma işlemi, bir Teklif veya belge paylaşımı yoluyla başka bir Şirkete daha önce iletilmiş Müşteri Verileri, veri sorumlusu sıfatını taşıyan o Şirkette kalır. Sözleşmenin sona ermesinden sonra Grade'lerin listelenmeye devam etmesi (Koşulların Madde 12.5'i), Müşteri Verisi olmayan teknik verileri ve şirket verilerini ilgilendirir.

11. Sorumluluk ve süre

11.1 Tarafların her birinin bu sözleşme kapsamındaki sorumluluğu, GDPR'nin emredici hükümlerinin aksini öngördüğü hâller hariç, Kullanım Koşulları Madde 13'teki sınırlamalara tabidir.

11.2 Bu sözleşme, sözleşmenin tüm süresi boyunca ve Müşteri Verileri silinene kadar uygulanır. Sözleşme Polonya hukukuna tabidir; kişisel verilere ilişkin bir konuda Koşullarla çelişki hâlinde bu sözleşme esas alınır.

Ek A — Teknik ve idari tedbirler

• Verilerin ve dosyaların, ISO 27001 ve SOC 2 sertifikalı bir hizmet sağlayıcıda, Avrupa Birliği'nde (İrlanda) barındırılması.
• İletişimin (TLS 1.2 veya üzeri) ve depolanan verilerin şifrelenmesi.
• Verilerin Şirket ve rol bazında ayrıştırılması ve bunun veri tabanı düzeyinde uygulanması (satır düzeyinde erişim kontrolü); hassas tablolara tarayıcıdan doğrudan erişim olmaması; hassas işlevlerin yalnızca sunucu tarafından çalıştırılabilmesi.
• Özetlenmiş parola ile kimlik doğrulama, ele geçirilmiş parolalara karşı koruma, 7 günlük hareketsizlikten sonra oturumun sona ermesi, kayıt, oturum açma ve parola sıfırlama sırasında bot karşıtı kontrol, istek sıklığı sınırlaması.
• Dosyalara süreyle sınırlı imzalı bağlantılar aracılığıyla erişim; Şirketler arasında paylaşılan belgelerin kaydı.
• Özel bir kasada tutulan, asla kodda yer almayan teknik sırlar; isme bağlı ve kayıt altına alınan yönetici erişimi.
• Şifrelenmiş yedeklemeler, dosyaların ikinci bir hizmet sağlayıcıda kopyalanması; geri yükleme prosedürü.
• İşlemlerin ve hataların kayıt altına alınması; sözleşmeye ilişkin bir iletinin gönderilememesi hâlinde uyarı.
• Her sürümden önce otomatik testler, inceleme ve güvenlik denetimleri ile geliştirme; lansmandan önce ve her büyük değişiklikten sonra güvenlik denetimi.
• Bir veri işleme sözleşmesiyle bağlı alt işleyenler; sertifikalarının ve aktarım güvencelerinin doğrulanması.
• İhlal yönetimi prosedürü: tespit, sınırlama, analiz, bildirim (Madde 7), düzeltici tedbirler.

Ek B — Alt işleyenler

Liste, Müşterilerin Şirketim (Sözleşme belgeleri) bölümünde erişimine açıktır. Her türlü değişiklik Madde 5'teki prosedüre tabidir.