QR Code AI veri işleme sözleşmesi

VERİ İŞLEME SÖZLEŞMESİ (DPA)

Son güncelleme: 2 Mart 2026

Bu Veri İşleme Sözleşmesi ("DPA"), Fransa'da 27 Rue Wurtz, Juvisy-sur-Orge 91260 adresinde kayıtlı, FR67948452891 KDV numaralı Supernovae ("Veri İşleyen", "biz") ile bu DPA'yı kabul eden kuruluş ("Veri Sorumlusu", "siz") arasındaki Kullanım koşullarının ("Sözleşme") bir parçasıdır. Bu taraflar birlikte "Taraflar" olarak anılır.

Bu DPA, API üzerinden sunulanlar dâhil olmak üzere QR Code AI hizmetlerimiz kapsamında sizin adınıza kişisel veri işlediğimizde uygulanır.

1. TANIMLAR

• "Kişisel Veri", GDPR'nin 4(1). maddesinde tanımlandığı üzere, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.
• "İşleme", GDPR'nin 4(2). maddesinde tanımlandığı üzere, Kişisel Veriler üzerinde gerçekleştirilen herhangi bir işlemi veya işlemler bütününü ifade eder.
• "İlgili Kişi", Kişisel Verilerin ilişkin olduğu, kimliği belirli veya belirlenebilir gerçek kişiyi ifade eder.
• "Alt Veri İşleyen", Veri İşleyen tarafından Veri Sorumlusu adına Kişisel Veri işlemek üzere görevlendirilen herhangi bir üçüncü tarafı ifade eder.
• "GDPR", Avrupa Parlamentosu ve Konseyinin (AB) 2016/679 sayılı Tüzüğünü ifade eder.
• "UK GDPR", Birleşik Krallık hukukunda uygulandığı şekliyle ve Data Protection Act 2018 ile birlikte değerlendirilen Birleşik Krallık Genel Veri Koruma Tüzüğünü ifade eder.
• "SCC", Kişisel Verilerin üçüncü ülkelere aktarılması için Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Maddelerini ifade eder.
• "Veri İhlali", Kişisel Verilerin kazara veya hukuka aykırı olarak yok edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak açıklanmasına ya da bu verilere yetkisiz erişime yol açan bir güvenlik ihlalini ifade eder.

2. KAPSAM VE ROLLER

2.1 Veri Sorumlusu ve Veri İşleyen

Bu DPA kapsamında:

• Siz (Veri Sorumlusu): Hizmetlerimizi kullanırken, özellikle kendi müşterileriniz için QR kodlar oluşturmak üzere API'mizi kullandığınızda veya Hizmetlerimizi ürünlerinize entegre ettiğinizde, Kişisel Verilerin işlenmesinin amaçlarını ve yöntemlerini belirlersiniz.
• Biz (Veri İşleyen): Kişisel Verileri, bu DPA'da ve Sözleşmede açıklandığı üzere, sizin adınıza ve talimatlarınıza uygun olarak işleriz.

2.2 Bu DPA'nın Uygulandığı Durumlar

Bu DPA aşağıdaki durumlarda uygulanır:

• Son kullanıcılarınızın verilerini işleyen QR kodlar oluşturmak için QR Code AI API'sini kullandığınızda (örneğin kişisel bilgiler içeren URL'ler, vCard verileri veya QR kodlara kodlanmış iletişim bilgileri).
• Son kullanıcılarınızdan tarama verileri toplayan QR Code AI takip ve analitik özelliklerini kullandığınızda.
• Veri işleyen sıfatıyla sizin adınıza Kişisel Veri işlediğimiz diğer tüm durumlarda.

QR Code AI'ı kendi amaçlarınız için bireysel kullanıcı olarak kullandığınızda bağımsız veri sorumlusu olarak hareket ederiz ve veri işleme faaliyetleri Gizlilik politikamıza tabidir.

3. VERİ İŞLEME AYRINTILARI

3.1 Konu ve Süre

QR kod oluşturma, takip, analitik ve ilgili işlevler dâhil QR Code AI hizmetlerini sağlamak için Sözleşme süresince Kişisel Veri işleriz.

3.2 İşlemenin Niteliği ve Amacı

• Veri Sorumlusunun sağladığı girdilere dayanarak QR kodlar oluşturmak
• QR kod taramalarını takip etmek ve analitik verileri toplamak
• QR kod yapılandırmalarını ve ilgili meta verileri saklamak
• Yapay zekâ ile oluşturulan sanatsal QR kod taleplerini işlemek
• Raporlar ve analitik panoları sunmak

3.3 Kişisel Veri Türleri

İşlenen Kişisel Veri türleri şunları içerebilir:

• QR kodlara kodlanmış iletişim bilgileri (adlar, e-posta adresleri, telefon numaraları)
• URL'ler ve web adresleri
• QR kod taramalarından elde edilen konum verileri
• QR kod taramalarından elde edilen cihaz bilgileri ve IP adresleri
• Yapay zekâ ile QR kod oluşturmak için sağlanan metin istemleri ve görseller
• Veri Sorumlusunun QR kodlara kodlamayı seçtiği diğer veriler

3.4 İlgili Kişi Kategorileri

• Veri Sorumlusunun oluşturduğu QR kodları tarayan son kullanıcılar
• İletişim bilgileri QR kodlara kodlanan kişiler
• Veri Sorumlusunun ürün veya hizmetlerini kullanırken QR kodlarla etkileşime giren kullanıcılar

4. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ

4.1 İşleme Talimatları

Tabi olduğumuz AB veya üye devlet hukuku gerektirmedikçe Kişisel Verileri yalnızca belgelenmiş talimatlarınıza göre işleriz. Böyle bir durumda, hukuk önemli kamu yararı gerekçeleriyle bilgi verilmesini yasaklamadıkça, işleme başlamadan önce sizi bu hukuki gereklilik hakkında bilgilendiririz.

Bir talimatın GDPR'yi veya uygulanabilir diğer AB ya da üye devlet veri koruma hükümlerini ihlal ettiğini düşünürsek sizi derhâl bilgilendiririz.

4.2 Gizlilik

Kişisel Veri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmasını veya uygun bir yasal gizlilik yükümlülüğüne tabi olmasını sağlarız.

4.3 Güvenlik Önlemleri

Riske uygun bir güvenlik seviyesi sağlamak için aşağıdakiler dâhil uygun teknik ve organizasyonel önlemleri uygularız:

• Aktarım sırasında Kişisel Verilerin şifrelenmesi (TLS/HTTPS) ve saklanan hassas bilgilerin depolama sırasında şifrelenmesi
• İç sistemler için erişim kontrolleri ve rol tabanlı kimlik doğrulama
• Düzenli güvenlik değerlendirmeleri ve güvenlik açığı taramaları
• Sağlayıcıya ve barındırma hizmetine göre değişen güvenlik ve uyumluluk önlemleriyle Scaleway ve DigitalOcean tarafından barındırılan altyapı
• DDoS koruması ve web uygulaması güvenlik duvarı (Cloudflare)
• Şifreli depolamayla düzenli yedekleme
• Kişisel Verilere erişimin kaydedilmesi ve izlenmesi

4.4 Alt Veri İşleyenler

Alt işlemciler sayfamızda listelenen alt veri işleyenleri kullanırız. Bir alt veri işleyenin eklenmesi veya değiştirilmesi yönündeki her planımızı size aktif olarak yazılı biçimde bildirir ve değişiklik yürürlüğe girmeden önce itiraz edebilmeniz için bu bildirimden itibaren 30 gün süre tanırız. Bu süre içinde [email protected] adresinden bizimle iletişime geçerek itiraz edebilirsiniz. İtiraz etmeniz ve itirazınızı makul şekilde karşılayamamamız hâlinde taraflardan herhangi biri Hizmetlerin etkilenen kısmını sona erdirebilir.

Sizin adınıza Kişisel Veri işlemek üzere bir alt veri işleyeni yalnızca GDPR'nin 28(4). maddesinin gerektirdiği veri koruma yükümlülüklerini getiren yazılı bir sözleşme kapsamında görevlendiririz; buna uygulanabilir elektronik şartlar da dâhildir. Bu maddenin gerektirdiği şekilde alt veri işleyenlerimizden sorumlu olmaya devam ederiz.

4.5 İlgili Kişilerin Hakları

İlgili Kişilerin uygulanabilir veri koruma hukuku kapsamındaki haklarını (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz) kullanmaya yönelik taleplerini yanıtlamanızda size yardımcı oluruz. Doğrudan bir İlgili Kişiden talep alırsak, aksi yönde talimat verilmedikçe kendisini gecikmeksizin size yönlendiririz.

4.6 Uyuma Destek

İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak GDPR'nin 32 ila 36. maddeleri kapsamındaki yükümlülüklerinize uymanıza yardımcı oluruz.

5. VERİ İHLALİ BİLDİRİMİ

5.1 Bildirim Süresi

Bir Veri İhlalini gereksiz gecikme olmaksızın ve her durumda ihlalden haberdar olmamızdan itibaren 72 saat içinde size bildiririz. Bildirim, hesabınızla ilişkili e-posta adresine gönderilir.

5.2 Bildirimin İçeriği

Bildirim, mevcut olduğu ölçüde aşağıdaki bilgileri içerir:

• Etkilenen İlgili Kişilerin ve kayıtların kategorileri ile yaklaşık sayıları dâhil, Veri İhlalinin niteliğinin açıklaması.
• Veri koruma irtibat kişimizin adı ve iletişim bilgileri.
• Veri İhlalinin olası sonuçlarının açıklaması.
• Olası olumsuz etkileri azaltmaya yönelik önlemler dâhil, Veri İhlalini gidermek için alınan veya önerilen önlemlerin açıklaması.

5.3 Sürekli İş Birliği

Veri İhlallerinin araştırılması, etkilerinin azaltılması ve giderilmesi ile denetim makamlarına veya İlgili Kişilere yapmanız gereken bildirimler konusunda sizinle iş birliği yapar ve makul destek sağlarız.

6. ULUSLARARASI VERİ AKTARIMLARI

6.1 Verilerin Konumu

Kişisel Veriler ağırlıklı olarak Avrupa Birliği'nde saklanır ve işlenir:

• Scaleway aracılığıyla Fransa (AB)
• DigitalOcean aracılığıyla Hollanda (AB)

6.2 AB/AEA Dışına Aktarımlar

Alt veri işleyenlerimizin bazıları AB/Avrupa Ekonomik Alanı (AEA) dışında, ağırlıklı olarak Amerika Birleşik Devletleri'nde bulunmaktadır. Bu aktarımlarda aşağıdaki mekanizmalara dayanırız:

• AB–ABD Veri Gizliliği Çerçevesi: Uygulanabilir olduğu durumlarda, bu çerçeve kapsamında sertifikalandırılmış ABD merkezli sağlayıcılara yapılan aktarımlar için.
• Standart Sözleşme Maddeleri (SCC): Veri Gizliliği Çerçevesinin uygulanmadığı durumlarda, AB/AEA dışındaki alt veri işleyenlerle yaptığımız sözleşmelere Avrupa Komisyonunun onayladığı SCC'leri (Komisyonun (AB) 2021/914 sayılı Uygulama Kararı) dâhil ederiz.

6.3 Aktarım Etki Değerlendirmesi

Üçüncü ülkelere yapılan aktarımlar için aktarım etki değerlendirmeleri yapar ve yeterli veri koruma seviyesi sağlamak amacıyla gerektiğinde ek önlemler uygularız.

7. DENETİMLER VE İNCELEMELER

7.1 Denetim Hakları

Bu DPA'ya uyumumuzu denetleme hakkına sahipsiniz. Uyumu göstermek için gerekli tüm bilgileri size sunar, sizin veya görevlendirdiğiniz bir denetçinin gerçekleştirdiği denetimlere, incelemeler de dâhil olmak üzere, izin verir ve katkıda bulunuruz.

7.2 Denetim Süreci

Aşağıdaki düzenlemeler, yalnızca uygulanabilir veri koruma hukuku kapsamındaki hak veya yükümlülükleri kısıtlamadıkları ölçüde denetimlere uygulanır:

• Her denetimden en az 30 gün önce yazılı bildirimde bulunmalısınız.
• Bir denetim makamının gerektirmesi veya bir Veri İhlalinin ardından yapılması dışında denetimler yılda en fazla bir kez gerçekleştirilebilir.
• Denetimler normal çalışma saatlerinde yapılmalı ve faaliyetlerimizi makul olmayan şekilde aksatmamalıdır.
• Denetimde bu DPA'nın esaslı biçimde ihlal edildiği ortaya çıkmadıkça denetim masraflarından siz sorumlusunuz.
• Denetim sırasında diğer müşterilerimizin gizli bilgileri açığa çıkarılmamalıdır.

8. VERİLERİN SAKLANMASI VE SİLİNMESİ

8.1 Sözleşme Süresince

Kişisel Verileri, Hizmetleri sağlamak için gerekli olduğu ölçüde Sözleşme süresince saklarız.

8.2 Sözleşme Sona Erdiğinde

Sözleşme sona erdiğinde veya yazılı talebiniz üzerine:

• Tercihinize göre Kişisel Verileri siler ya da size iade eder ve aktif sistemlerimizdeki kalan kopyaları 30 gün içinde sileriz.
• Yedek arşivlerdeki Kişisel Veriler 6 ay içinde silinir; o zamana kadar korunmaya devam eder ve uygulanabilir hukuk aksini gerektirmedikçe başka amaçlarla kullanılmaz.
• Kişisel Verileri, uygulanabilir hukukun gerektirdiği ölçüde (örneğin vergi veya muhasebe yükümlülükleri için) saklayabiliriz. Bu durumda söz konusu verileri ayırır, korur ve sonraki işleme faaliyetlerini hukukun gerektirdikleriyle sınırlandırırız.

8.3 Teyit

Talebiniz üzerine Kişisel Verilerin bu bölüme uygun olarak silindiğine dair yazılı teyit sağlarız.

9. SORUMLULUK

Her tarafın bu DPA kapsamındaki sorumluluğu, Sözleşmede belirtilen sorumluluk sınırlamalarına tabidir. Bu DPA'daki hiçbir hüküm, taraflardan herhangi birinin uygulanabilir veri koruma hukuku uyarınca İlgili Kişilere veya denetim makamlarına karşı sorumluluğunu sınırlandırmaz.

10. UYGULANACAK HUKUK

Bu DPA, Fransa hukukuna tabidir. GDPR ve UK GDPR, işleme faaliyetlerinin kendi hukuki kapsamlarına girdiği ölçüde uygulanır. Bu DPA'dan doğan uyuşmazlıklar, Sözleşmenin uyuşmazlık çözümüne ilişkin hükümlerine göre çözülür.

11. BU DPA'NIN KABULÜ

Bu DPA, Kullanım koşullarına dâhil edilmiştir ve onların bir parçasıdır. QR Code AI Hizmetlerini kullanarak bu DPA'yı kabul edersiniz.

Kayıtlarınız için bu DPA'nın ayrıca imzalanmış bir kopyasına ihtiyaç duyarsanız [email protected] adresinden bizimle iletişime geçin; 10 iş günü içinde bir kopya sağlarız.

12. İLETİŞİM

Bu DPA veya veri işleme uygulamalarımızla ilgili sorularınız için:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Fransa [email protected]