Veri İşleme Sözleşmesi (DPA)
GDPR madde 28 uyarınca bu veri işleme sözleşmesi (DPA), e-Rechnung Inbox'ın tüm müşterileri için geçerlidir ve fatura ile iletişim verilerinin bizim adımıza işlenmesini düzenler.
Bağlayıcılık
Bu sözleşme, sözleşmenin kurulmasından itibaren e-Rechnung Inbox'ın tüm müşterileri için geçerlidir. Bireysel ekler yazılı olarak kararlaştırılabilir.
Alt işleyenler (Tam liste)
• Supabase, Inc. (ABD) – veritabanı, nesne depolama, kimlik doğrulama; AB bölgesi Frankfurt'ta (AWS eu-central-1) işlenir; AB Standart Sözleşme Hükümleri • Vercel, Inc. (ABD, AB-ABD Veri Gizliliği Çerçevesi) – web ve API katmanının AB bölgesi Frankfurt'ta (fra1) barındırılması; hesap ve günlük verileri ABD'de işlenebilir; AB Standart Sözleşme Hükümleri • Mailgun Technologies, Inc. (ABD) – e-postaların AB bölgesi üzerinden alınması ve gönderilmesi; AB Standart Sözleşme Hükümleri • Stripe Payments Europe, Ltd. (İrlanda) – ödeme işleme ve faturalandırma • Functional Software, Inc. (Sentry, ABD) – AB/DE bölgesinde hata ve güvenlik izleme; AB Standart Sözleşme Hükümleri • Inngest, Inc. (ABD) – arka plan görevlerinin yürütülmesi (görev üst verileri, fatura içeriği yok); konum sağlayıcıya göre değişir, AB Standart Sözleşme Hükümleri • Upstash, Inc. (ABD) – hız sınırlama (hashlenmiş anahtarlar, içerik yok); konum sağlayıcıya göre değişir, AB Standart Sözleşme Hükümleri • Cloudflare, Inc. (ABD, AB-ABD Veri Gizliliği Çerçevesi) – herkese açık formlarda bot koruması (Turnstile) • Fly.io, Inc. (ABD) – KoSIT doğrulayıcısının ve PDF inceleme ortamının Frankfurt bölgesinde işletilmesi; AB Standart Sözleşme Hükümleri • Microsoft Ireland Operations Limited – Germany West Central bölgesinde Azure Document Intelligence (OCR) • Google Ireland Limited – yalnızca çerez banner'ı üzerinden onay sonrası Google Analytics 4 ve Google Ads; fatura verilerinin işlenmesi yoktur (yalnızca web sitesi kullanımı, müşteri verileri için GDPR madde 28 anlamında alt işleyen değildir)
Mail relay / müşteri alan adları için e-posta alımı
Müşteri kendi alan adını (örn. fatura@ornekfirma.com) işleyene devrettiği veya gelen e-fatura alımı için MX kayıtlarını işleyenin posta sunucularına yönlendirdiği takdirde, bu kapsamda gerçekleştirilen kişisel veri işlemesine GDPR md. 28 uyarınca veri işleme sözleşmesine ek olarak aşağıdaki alt hüküm uygulanır. Bu alt hüküm, veri işleme sözleşmesinin bağlayıcı bir parçasıdır.
Sözleşme konusu ve süresi
İşleme, müşterinin kontrolündeki bir alan adına gelen e-postaların alınmasını, kabul edilmesini ve teknik ön işlemesini kapsar. İlk e-postanın teslimiyle başlar ve §147 AO ile GoBD'ye göre yasal saklama süreleri dolunca, en geç ana sözleşmenin sona ermesi ve silme hükmünde belirlenen geçiş sürelerinin tamamlanmasıyla sona erer.
İşlemenin niteliği ve amacı
• Müşterinin kontrolündeki bir alan adı üzerinden gelen faturaların e-posta ile alınması • Yapılandırılmış fatura verilerinin (XRechnung, ZUGFeRD, Factur-X) çıkarılması ve doğrulanması • Orijinal e-postanın ek dosyaları ile birlikte denetim güvenceli arşivlenmesi • Verilerin müşterinin muhasebe sistemlerine (örn. DATEV Unternehmen online) aktarım için hazır tutulması • Kapsam dışı: Özellik yalnızca gelen postaya yöneliktir; müşteri adına reklam veya toplu e-posta gönderimi bu hükmün kapsamında değildir
Kişisel verilerin türleri
• Gönderen ve alıcı adresleri ile görünen adlar • Fatura düzenleyen ve fatura alan taraflara ilişkin veriler (ad, firma, adres, KDV kimliği, banka bilgisi) • E-posta içeriği ve eklerinde yer alan serbest metinler • Teknik üstveriler (SMTP başlıkları, zaman damgaları, gönderen posta sunucularının IP adresleri)
İlgili kişi kategorileri
• Müşterinin tedarikçileri, hizmet sağlayıcıları ve iş ortakları • Müşterinin gelen fatura ve muhasebe işlerinden sorumlu çalışanları • Faturalarda veya eşlik eden yazışmalarda adı geçen üçüncü kişiler
Alt işleyenler
E-postaların alımı ve saklanması için aşağıdaki alt işleyenler görevlendirilmiştir. Tüm işleme AB içinde veya AB standart sözleşme maddeleri kapsamında gerçekleşir: • Mailgun Technologies, Inc. – gelen e-postaların alımı ve kabulü • Supabase, Inc. – veritabanı, nesne depolama ve kimlik doğrulama (AB bölgesi) • Vercel, Inc. – web ve API katmanının barındırılması (AB bölgesi, fra1) • Functional Software, Inc. (Sentry, ABD) – AB/DE bölgesinde hata ve güvenlik izleme; AB Standart Sözleşme Hükümleri İşleyen, alt işleyenleri sözleşme ile eş değer koruma düzeyine bağlar ve ek alt işleyenlerin dahil edilmesi veya değiştirilmesinden önce müşteriyi bilgilendirir. Tam liste “Alt işleyenler (Tam liste)” bölümünde yer alır.
Teknik ve organizasyonel tedbirler
• Aktarımda TLS şifrelemesi (gönderen sunucu destekliyorsa STARTTLS) • Durağan veri şifrelemesi (nesne ve veritabanı depolamada AES-256) • Veritabanı düzeyinde satır-düzeyi güvenlikle müşteri izolasyonu • Erişim, değişiklik ve silme için denetim güvenceli günlükler • Üretim sistemlerine erişim yalnızca gereklilik ilkesine göre ve çok faktörlü kimlik doğrulama ile
Müşterinin yükümlülükleri ve sorumluluğu
• Müşteri, GDPR md. 4/7 uyarınca veri sorumlusu olarak kalır ve alan adının devrinin (DNS/MX yapılandırması) hukuka uygun şekilde gerçekleşmesini sağlar • Müşteri, ilgili tedarikçi ve iş ortaklarını GDPR md. 13/14 uyarınca verilerinin işlenmesi hakkında bilgilendirir • Mail-relay özelliği yalnızca ticari fatura alımı için kullanılır; özel veya konu dışı e-postalar hariç tutulur • Müşteri, ilgili kişilerin erişim, düzeltme ve silme talepleri için bir iletişim noktası belirler
Verilerin silinmesi ve iadesi
Ana sözleşmenin sona ermesinden sonra, mail-relay özelliği üzerinden işlenen e-postalar ve bunlardan çıkarılan fatura verileri §147 AO uyarınca yasal saklama süreleri dolduğunda silinir. Bu sürelerin dolmasından önce müşteri verileri dilediği zaman standart dışa aktarma biçiminde (orijinal e-posta, PDF/A ve yapılandırılmış XML fatura içeren ZIP arşivi) alabilir. Diğer biçimlerde iade yalnızca açık talep üzerine ve masraf karşılığında yapılır.