Veri İşleme Sözleşmesi (DPA)

Beta yalnızca bireysel onay ve sözleşme koordinasyonu sonrasında üretken olarak kullanılabilir.

Sözleşmeye ilişkin not

Bu sözleşme taslağı şeffaflık amacıyla sunulmuştur; bağlayıcı sürüm üretimde kullanımdan önce taraflar arasında ayrıca kararlaştırılır.

Mail relay / müşteri alan adları için e-posta alımı

Müşteri kendi alan adını (örn. fatura@ornekfirma.com) işleyene devrettiği veya gelen e-fatura alımı için MX kayıtlarını işleyenin posta sunucularına yönlendirdiği takdirde, bu kapsamda gerçekleştirilen kişisel veri işlemesine GDPR md. 28 uyarınca veri işleme sözleşmesine ek olarak aşağıdaki alt hüküm uygulanır. Aşağıdaki taslak yalnızca şeffaflık amaçlıdır; bağlayıcı sözleşme metni, üretim ortamı kullanımından önce taraflar arasında ayrıca düzenlenir.

Sözleşme konusu ve süresi

İşleme, müşterinin kontrolündeki bir alan adına gelen e-postaların alınmasını, kabul edilmesini ve teknik ön işlemesini kapsar. İlk e-postanın teslimiyle başlar ve §147 AO ile GoBD'ye göre yasal saklama süreleri dolunca, en geç ana sözleşmenin sona ermesi ve silme hükmünde belirlenen geçiş sürelerinin tamamlanmasıyla sona erer.

İşlemenin niteliği ve amacı

• Müşterinin kontrolündeki bir alan adı üzerinden gelen faturaların e-posta ile alınması • Yapılandırılmış fatura verilerinin (XRechnung, ZUGFeRD, Factur-X) çıkarılması ve doğrulanması • Orijinal e-postanın ek dosyaları ile birlikte denetim güvenceli arşivlenmesi • Verilerin müşterinin muhasebe sistemlerine (örn. DATEV Unternehmen online) aktarım için hazır tutulması • Kapsam dışı: Özellik yalnızca gelen postaya yöneliktir; müşteri adına reklam veya toplu e-posta gönderimi bu hükmün kapsamında değildir

Kişisel verilerin türleri

• Gönderen ve alıcı adresleri ile görünen adlar • Fatura düzenleyen ve fatura alan taraflara ilişkin veriler (ad, firma, adres, KDV kimliği, banka bilgisi) • E-posta içeriği ve eklerinde yer alan serbest metinler • Teknik üstveriler (SMTP başlıkları, zaman damgaları, gönderen posta sunucularının IP adresleri)

İlgili kişi kategorileri

• Müşterinin tedarikçileri, hizmet sağlayıcıları ve iş ortakları • Müşterinin gelen fatura ve muhasebe işlerinden sorumlu çalışanları • Faturalarda veya eşlik eden yazışmalarda adı geçen üçüncü kişiler

Alt işleyenler

E-postaların alımı ve saklanması için aşağıdaki alt işleyenler görevlendirilmiştir. Tüm işleme AB içinde veya AB standart sözleşme maddeleri kapsamında gerçekleşir: • Mailgun Technologies, Inc. – gelen e-postaların alımı ve kabulü • Supabase, Inc. – veritabanı, nesne depolama ve kimlik doğrulama (AB bölgesi) • Vercel, Inc. – web ve API katmanının barındırılması (AB bölgesi, fra1) • Sentry GmbH – hata ve performans izleme (DE bölgesi) İşleyen, alt işleyenleri sözleşme ile eş değer koruma düzeyine bağlar ve ek alt işleyenlerin dahil edilmesi veya değiştirilmesinden önce müşteriyi bilgilendirir.

Teknik ve organizasyonel tedbirler

• Aktarımda TLS şifrelemesi (gönderen sunucu destekliyorsa STARTTLS) • Durağan veri şifrelemesi (nesne ve veritabanı depolamada AES-256) • Veritabanı düzeyinde satır-düzeyi güvenlikle müşteri izolasyonu • Erişim, değişiklik ve silme için denetim güvenceli günlükler • Üretim sistemlerine erişim yalnızca gereklilik ilkesine göre ve çok faktörlü kimlik doğrulama ile

Müşterinin yükümlülükleri ve sorumluluğu

• Müşteri, GDPR md. 4/7 uyarınca veri sorumlusu olarak kalır ve alan adının devrinin (DNS/MX yapılandırması) hukuka uygun şekilde gerçekleşmesini sağlar • Müşteri, ilgili tedarikçi ve iş ortaklarını GDPR md. 13/14 uyarınca verilerinin işlenmesi hakkında bilgilendirir • Mail-relay özelliği yalnızca ticari fatura alımı için kullanılır; özel veya konu dışı e-postalar hariç tutulur • Müşteri, ilgili kişilerin erişim, düzeltme ve silme talepleri için bir iletişim noktası belirler

Verilerin silinmesi ve iadesi

Ana sözleşmenin sona ermesinden sonra, mail-relay özelliği üzerinden işlenen e-postalar ve bunlardan çıkarılan fatura verileri §147 AO uyarınca yasal saklama süreleri dolduğunda silinir. Bu sürelerin dolmasından önce müşteri verileri dilediği zaman standart dışa aktarma biçiminde (orijinal e-posta, PDF/A ve yapılandırılmış XML fatura içeren ZIP arşivi) alabilir. Diğer biçimlerde iade yalnızca açık talep üzerine ve masraf karşılığında yapılır.