Veri işleme sözleşmesi

Bu sözleşmenin tarafları, Mühür Mail'de kuruluş hesabı açarak hizmeti kullanan kuruluş ("Kuruluş") ile Mühür Mail'i sunan işletmedir ("Hizmet Sağlayıcı"):

Kuruluşun e-posta hizmeti kapsamında işlenen kişisel veriler bakımından Kuruluş veri sorumlusu, Hizmet Sağlayıcı veri işleyendir. Hizmet Sağlayıcı'nın kendi hesap, abonelik ve fatura kayıtları için veri sorumlusu olduğu işlemeler bu sözleşmenin değil, KVKK aydınlatma metninin konusudur.

KVKK m.12/2 uyarınca Hizmet Sağlayıcı, Kuruluş adına işlediği veriler için gerekli güvenlik tedbirlerinin alınması konusunda Kuruluş ile birlikte müştereken sorumludur.

Bu sözleşmenin konusu, Hizmet Sağlayıcı'nın Kuruluş'a kendi alan adında e-posta hizmeti (posta kutuları, webmail, mobil uygulama, IMAP ve SMTP erişimi, spam ve zararlı yazılım taraması, teslim edilebilirlik ve yönetim araçları) sunarken Kuruluş adına kişisel veri işlemesidir.

Sözleşme, Kuruluş'un hizmeti kullandığı süre boyunca ve sözleşme sona erdikten sonra verilerin iadesi ya da silinmesi tamamlanana kadar geçerlidir. Hizmetin kendisi kullanım koşullarına tabidir; iki metin birlikte uygulanır.

İlgili kişi grupları: Kuruluş'un açtığı posta kutularının kullanıcıları (çalışanlar, ortaklar, yetkililer); bu posta kutularıyla yazışan kişiler (müşteriler, tedarikçiler, adaylar ve diğer gönderen ve alıcılar); dağıtım grubu üyeleri ve kişi listesindeki kişiler.

Veri kategorileri:

• Posta kutusu kullanıcısının adı, e-posta adresi, oturum ve cihaz bilgileri, IP adresi ve giriş kayıtları.
• Gelen ve giden iletilerin içeriği, ekleri ve başlık bilgileri (gönderen, alıcılar, konu, tarih).
• Gönderen doğrulama, spam ve zararlı yazılım denetimi sonuçları; teslim, geri dönüş ve şikâyet kayıtları.
• Kişiler, takma adlar, dağıtım grupları, kurallar, imzalar, otomatik yanıtlar ve posta kutusu ayarları.
• Kuruluş'un iletilere ve eklere koyduğu her türlü veri; özel nitelikli kişisel veri bunlara Kuruluş'un tercihiyle dahil olabilir.

İşleme faaliyetleri: iletilerin alınması, saklanması, taranması, dizinlenmesi ve aranması, gönderilmesi ve teslimi; posta kutularına erişimin sağlanması; yedekleme; hizmetin güvenliğinin sağlanması ve kötüye kullanımın önlenmesi.

Hizmet Sağlayıcı kişisel verileri yalnız Kuruluş'un talimatıyla ve hizmeti sunmak için işler. Talimat; bu sözleşme ve kullanım koşulları, Kuruluş'un yönetim panelinde ve posta kutularında yaptığı ayarlar (saklama süreleri, yönlendirme, kurallar, spam politikası, Mühür Asistan izni gibi) ve Kuruluş'un yazılı olarak verdiği ek talimatlardır.

• Hizmet Sağlayıcı verileri kendi amaçları için kullanmaz, satmaz, reklam için ya da yapay zekâ modellerinin eğitimi için kullanmaz.
• Mühür Asistan iletilerin içeriğine yalnız Kuruluş açıkça izin verdiyse ve kullanıcı istediğinde erişir.
• Bir talimatın KVKK'ya ya da başka bir mevzuata aykırı olduğunu düşünürse Hizmet Sağlayıcı bunu Kuruluş'a gecikmeden bildirir.
• Kanunun zorunlu kıldığı işlemeler (ör. yetkili makamların hukuka uygun talepleri) saklıdır; yasak olmadıkça Kuruluş önceden bilgilendirilir.

Hizmet Sağlayıcı, verilere yalnız işini yapmak için erişmesi gereken personelinin erişmesini sağlar ve bu personeli gizlilik yükümlülüğü altına alır. Platform ekibi ileti içeriğini okumaz; yönetim ekranlarında ileti içeriği gösterilmez; ileti içeriği, parolalar ve erişim anahtarları sistem kayıtlarına, hata kayıtlarına ve denetim kaydına yazılmaz.

Alınan teknik ve idari tedbirler başlıca şunlardır:

• Web, IMAP ve SMTP bağlantılarında aktarım şifrelemesi (TLS); alıcı sunucu destekliyorsa sunucular arası iletimde de TLS ve MTA-STS desteği.
• Hesap ve posta kutusu parolalarının ve uygulama şifrelerinin geri döndürülemez özetle saklanması; DKIM özel anahtarları ve entegrasyon anahtarları gibi sırların şifreli saklanması.
• İki adımlı doğrulama; Kuruluş'un bunu ekibi için zorunlu tutabilmesi; masaüstü ve telefon uygulamaları için iptal edilebilir uygulama şifreleri.
• Rol tabanlı yetkilendirme ve her sorguda kuruluş kapsamı: bir kuruluşun kayıtları başka bir kuruluşa gösterilmez.
• Yönetim işlemlerinin denetim kaydı.
• Gelen ve giden iletilerde spam ve zararlı yazılım taraması; HTML iletilerin güvenli biçimde gösterilmesi ve uzak içeriğin kullanıcı onayına kadar yüklenmemesi.
• Gönderimde hız sınırları ve ele geçirilmiş hesap belirtisinde otomatik gönderim askısı.
• Parolayla şifrelenmiş düzenli yedekleme.

Tedbirler teknolojik gelişmeye göre güncellenebilir; güncelleme koruma düzeyini düşürmez.

Kuruluş, Hizmet Sağlayıcı'nın hizmeti sunmak için aşağıdaki alt işleyen gruplarını kullanmasına genel izin verir:

• Sunucu, veri tabanı, dosya depolama ve yedekleme hizmeti sağlayıcıları.
• Gönderim bir aracı sunucu (relay) üzerinden yapılıyorsa o hizmetin sağlayıcısı.
• Mobil bildirimler için Apple ve Google bildirim hizmetleri. Bildirimde varsayılan olarak ileti içeriği yer almaz; kullanıcı bildirim önizlemesini açarsa kısa bir önizleme iletilir.
• Kuruluş Mühür Asistan'a ileti içeriği için izin verdiyse, yanıtları üreten yapay zekâ dil modeli hizmeti sağlayıcısı.

Hizmet Sağlayıcı, alt işleyenlere bu sözleşmedekilerle aynı nitelikte veri koruma yükümlülükleri yükler ve onların işlemlerinden Kuruluş'a karşı sorumludur. Güncel alt işleyen listesi talep üzerine info@muhurmail.com adresinden verilir. Yeni bir alt işleyen eklenmeden önce Kuruluş sahibine bildirim yapılır; Kuruluş haklı bir sebebe dayanarak itiraz edebilir. İtiraz giderilemezse Kuruluş aboneliğini sona erdirebilir.

Alt işleyenlerin bir kısmının sunucuları yurt dışında bulunabilir. Yurt dışına aktarım KVKK m.9'daki koşullara uygun olarak yapılır: yeterlilik kararı bulunan ülkelere, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme gibi uygun güvencelerle ya da Kanun'da sayılan arızi aktarım hâllerinde.

İletilerin saklandığı sunucuların konumu, hizmet kullanıma açılmadan önce bu metinde ve KVKK aydınlatma metninde belirtilecektir. Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) kapsamına giren kuruluşlar, buna ilişkin ek hükümler için bize yazabilir.

Kuruluş'un posta kutularıyla ilgili kişilerden gelen başvuruları (bilgi isteme, düzeltme, silme gibi KVKK m.11 hakları) yanıtlamak Kuruluş'un yükümlülüğüdür. Hizmet Sağlayıcı bunun için:

• Kuruluş'a panelde ve standart IMAP erişimiyle iletileri bulma, dışa aktarma, düzeltme ve silme imkânı sunar.
• Doğrudan kendisine gelen bu tür başvuruları gecikmeden Kuruluş'a iletir; Kuruluş'un talimatı olmadan başvuruyu kendisi yanıtlamaz.
• Kuruluş'un makul yardım taleplerini, hizmetin teknik imkânları ölçüsünde karşılar.

Hizmet Sağlayıcı, Kuruluş adına işlediği verilerin hukuka aykırı olarak başkalarınca elde edildiğini öğrendiğinde Kuruluş'u gecikmeksizin bilgilendirir. Bildirim, o an bilinenler ölçüsünde şunları içerir: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı, olası sonuçları, alınan ve önerilen önlemler ve iletişim kişisi. Bilgiler netleştikçe bildirim tamamlanır.

KVKK m.12/5 uyarınca ihlali Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirmek veri sorumlusu olarak Kuruluş'un yükümlülüğüdür; Kurul'un ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılmasını öngören kararı dikkate alınır. Hizmet Sağlayıcı, Kuruluş'un bu bildirimi süresinde yapabilmesi için gereken bilgiyi gecikmeksizin verir ve ihlalin etkilerini azaltmak için makul önlemleri alır.

Hizmet Sağlayıcı, bu sözleşmeye uyduğunu göstermek için gereken bilgileri Kuruluş'un yazılı talebi üzerine makul sürede sağlar ve Kişisel Verileri Koruma Kurulu'nun taleplerine yasal ölçüde yardımcı olur. Bu bilgiler başka kuruluşların verilerinin ve hizmetin güvenliğinin gizliliğini korumak koşuluyla verilir.

Kuruluş'un ya da yetkilendirdiği bağımsız denetçinin yerinde denetimi; önceden yazılı bildirim, makul kapsam ve zamanlama, gizlilik taahhüdü ve hizmetin işleyişini bozmama koşullarıyla, taraflar arasında ayrıca kararlaştırılarak yapılabilir.

Sözleşme sona ermeden önce Kuruluş, iletilerini ve kayıtlarını standart IMAP erişimiyle ve hizmetin sunduğu dışa aktarma araçlarıyla alabilir. Abonelik sona erdikten sonra yönetim paneli salt okunur olur; kayıtlar hemen silinmez.

Kuruluş'un talebiyle ya da hesabın kapatılmasından sonra bekleme süresinin sonunda, Kuruluş adına işlenen veriler silinir ya da anonim hâle getirilir. Silinen bir posta kutusunun iletileri 30 gün sonra kalıcı olarak temizlenir. Yedeklerdeki kopyalar, yedeklerin olağan dönüşüm süresi içinde silinir. Mevzuatın saklamayı zorunlu kıldığı kayıtlar bu süre boyunca saklanır ve başka amaçla işlenmez.

• Bu sözleşme kullanım koşullarının parçasıdır; iki metin arasında kişisel verilerin korunmasına ilişkin bir çelişki olursa bu sözleşme uygulanır. Sorumluluğun sınırı kullanım koşullarındaki hükümlere tabidir; kanunun emredici hükümleri saklıdır.
• Sözleşme, Kuruluş'un hizmeti kullanmaya başlamasıyla yürürlüğe girer. Kurumsal paketlerde iki tarafça imzalanmış bir sürüm talep üzerine düzenlenebilir.
• Önemli değişiklikler yürürlüğe girmeden önce kuruluş sahibine e-posta ya da uygulama içi bildirimle duyurulur.
• Bu sözleşme Türk hukukuna tabidir.