Veri İşleme Eki

• Geçerli Veri Koruma Mevzuatı, Sözleşme kapsamında Müşteri Kişisel Verilerinin işlenmesi için geçerli olan tüm yasaları ifade eder; bunlara GDPR, Birleşik Krallık GDPR'ı, İsviçre Federal Veri Koruma Yasası ve Kaliforniya Tüketici Gizliliği Yasası gibi Amerika Birleşik Devletleri eyalet gizlilik yasaları dahil olabilir.
• Müşteri Kişisel Verileri, Müşteri İçeriğinde bulunan ve Zurelay'in Hizmetleri sunmak için Müşteri adına işlediği kişisel verileri ifade eder.
• Alt Veri İşleyen, Altyapı Sağlayıcıları dahil olmak üzere, Zurelay'in görevlendirdiği ve Müşteri Kişisel Verilerini işleyen üçüncü tarafı ifade eder.
• Kişisel Veri İhlali, Zurelay'in kontrolündeki sistemlerde meydana gelen ve Müşteri Kişisel Verilerinin kazara veya hukuka aykırı biçimde yok edilmesine, kaybolmasına, değiştirilmesine, yetkisiz şekilde açıklanmasına veya bu verilere yetkisiz erişime yol açan güvenlik ihlalini ifade eder.
• SCCs, Avrupa Komisyonunun (EU) 2021/914 sayılı Kararıyla onaylanan standart sözleşme maddelerini ifade eder.
• Veri sorumlusu, veri işleyen, ilgili kişi, kişisel veri, işleme, işletme ve hizmet sağlayıcı, Geçerli Veri Koruma Mevzuatında belirtilen anlamları taşır.

Müşteri Kişisel Verileri açısından Müşteri, veri sorumlusu (veya kendi müşterileri adına hareket eden veri işleyen), Zurelay ise veri işleyendir (veya alt veri işleyendir). Bu DPA, Zurelay'in bağımsız veri sorumlusu olarak işlediği hesap, faturalandırma, destek, güvenlik ve web sitesi verileri gibi kişisel veriler için geçerli değildir; bu veriler Gizlilik Politikamız kapsamındadır.

3.1 Talimatlar. Zurelay, Müşteri Kişisel Verilerini yalnızca Hizmetleri sunmak, güvenliğini sağlamak ve desteklemek amacıyla; Sözleşmeye, bu DPA'ya ve Müşterinin Hizmetleri kullanımına ve yapılandırmasına uygun olarak ve yasaların gerektirdiği şekilde işler. Bunlar birlikte Müşterinin belgelenmiş talimatlarının tamamını oluşturur. Yasaların bu talimatların ötesinde işlemeyi gerektirdiği durumlarda Zurelay, yasalar bunu yasaklamadıkça Müşteriyi önceden bilgilendirir.

3.2 Yönlendirme bir talimattır. Müşteri, Çıktıları oluşturmak için gerektiğinde Müşteri İçeriğini Zurelay'in seçtiği Altyapı Sağlayıcılarına göndermesi, istekleri yeniden denemesi, yeniden yönlendirmesi ve bu sağlayıcılar arasında yedek sağlayıcılara geçiş yapması için Zurelay'e talimat verir.

3.3 Mevzuata aykırı talimatlar. Zurelay, bir talimatın Geçerli Veri Koruma Mevzuatını ihlal ettiğini düşünürse Müşteriyi bilgilendirir. Zurelay'in Müşterinin talimatlarını hukuki açıdan inceleme yükümlülüğü yoktur.

Müşteri, Sözleşme kapsamında Müşteri Kişisel Verilerinin işlenmesi için hukuki dayanak sağlamaktan, gerekli tüm bilgilendirmeleri yapmaktan ve tüm rızaları almaktan sorumludur. Taraflar buna izin veren ayrı bir yazılı sözleşme imzalamadıkça Müşteri, özel nitelikli kişisel veriler ve çocukların kişisel verileri dahil Kısıtlı Verileri göndermez. Müşteri, Girdilere dahil ettiği kişisel verileri Hizmetleri kullanmak için gerekenlerle sınırlamaktan ve kimliklerini Zurelay'in açıklamadığı Altyapı Sağlayıcılarının Bölüm 7'de açıklandığı üzere kendi koşulları kapsamında veri işlemesi dahil olmak üzere Hizmetlerin kendi verileri için uygun olup olmadığına karar vermekten sorumludur.

Zurelay, Müşteri Kişisel Verilerini işlemek üzere yetkilendirdiği kişilerin uygun gizlilik yükümlülüklerine tabi olmasını ve bu verilere yalnızca Hizmetleri sunmak için gereken ölçüde erişmesini sağlar.

Zurelay, kontrolündeki sistemlerde Müşteri Kişisel Verilerini korumak amacıyla Ek II'de açıklanan teknik ve idari tedbirleri uygular ve sürdürür. Zurelay, genel koruma düzeyini önemli ölçüde azaltmamak kaydıyla bu tedbirleri güncelleyebilir.

7.1 Genel yetkilendirme. Müşteri, Zurelay'e aşağıdaki kategorilerde Alt Veri İşleyenlerden yararlanması için genel yetki verir: (a) barındırma, veritabanı, depolama ve ağ sağlayıcıları; (b) Müşteri Kişisel Verilerini işledikleri ölçüde ödeme, e-posta ve destek sağlayıcıları; ve (c) Model Geliştiricileri, bulut platformları, bağımsız yeniden satıcılar ve diğer model kapasitesi sağlayıcılarını içerebilen, Modelleri sunan Altyapı Sağlayıcıları.

7.2 Altyapı Sağlayıcılarının kimlikleri. Zurelay'in Altyapı Sağlayıcılarının kimlikleri gizli ticari bilgidir ve Zurelay bunları açıklamaz. Müşterinin Bölüm 7.1 kapsamında verdiği yetki, kimlikleri açıklanmadan Altyapı Sağlayıcılarını kategori bazında kapsar. Zurelay, yazılı talep üzerine, Müşterinin Sözleşme kapsamındaki gizlilik yükümlülüklerine tabi olmak kaydıyla, diğer mevcut Alt Veri İşleyenlerinin listesini Müşteriye sunar. Müşterinin yasal yükümlülükleri, kişisel veriler gönderilmeden önce her Alt Veri İşleyenin kimliğini bilmesini gerektiriyorsa Müşteri, bu kişisel verileri Müşteri İçeriğine dahil etmemelidir.

7.3 Değişiklikler. Zurelay, Hizmetlerin kullanılabilirliğini sürdürmek için istediği zaman Altyapı Sağlayıcıları ekleyebilir, kaldırabilir veya değiştirebilir. Zurelay, bu DPA'yı güncelleyerek yeni Alt Veri İşleyen kategorilerini Müşteriye bildirir. Müşteri, veri korumaya ilişkin makul gerekçelerle itiraz ederse taraflar itirazı iyi niyetle görüşür; itiraz çözülemezse Müşterinin başvurabileceği tek çözüm, etkilenen Hizmetleri kullanmayı bırakmak ve Sözleşmeyi feshetmektir.

7.4 Alt Veri İşleyen koşulları. Zurelay, bir Alt Veri İşleyenin koşullarını müzakere edebildiği durumlarda, Alt Veri İşleyenin sunduğu hizmetlerle ilgili olduğu ölçüde, özünde bu DPA'dakilerden daha az koruyucu olmayan veri koruma yükümlülükleri getirilmesini şart koşar. Bazı Altyapı Sağlayıcıları hizmetlerini yalnızca kendi standart koşulları kapsamında sunar. Müşteri, bu sağlayıcıların Müşteri İçeriğini işlemesinde kendi standart koşullarının geçerli olduğunu ve Zurelay'in onlardan ek taahhütler alamayabileceğini kabul eder.

7.5 Sorumluluk. Zurelay, Sözleşmedeki sorumluluk sınırlamalarına tabi olmak kaydıyla, Geçerli Veri Koruma Mevzuatının gerektirdiği ölçüde Alt Veri İşleyenlerinden sorumlu olmaya devam eder.

Zurelay, işleme faaliyetinin niteliğini dikkate alarak, ilgili kişilerin haklarını kullanmaya yönelik taleplerini yanıtlaması için Müşteriye makul destek sağlar. Zurelay, Müşteri Kişisel Verileri hakkında böyle bir talep alırsa ve Müşteriyi belirleyebiliyorsa talep sahibini Müşteriye yönlendirir; yönlendirmeyi teyit etmek veya yasal bir gerekliliği yerine getirmek dışında talebi kendisi yanıtlamaz. Müşteri, Hizmetler kapsamında sunulanların ötesindeki destek için Zurelay'in makul masraflarını karşılar.

Zurelay, bir Kişisel Veri İhlalinden haberdar olduktan sonra gereksiz gecikme olmaksızın Müşteriyi bilgilendirir ve Müşterinin kendi bildirim yükümlülüklerini yerine getirmek için ihtiyaç duyduğu, makul olarak erişebildiği bilgileri sağlar. Zurelay, ihlali kontrol altına almak ve araştırmak için makul adımlar atar. Bildirim, kusur veya sorumluluğun kabulü anlamına gelmez. Gerekli durumlarda düzenleyici kurumlara ve ilgili kişilere bildirim yapmaktan Müşteri sorumludur. Bir Altyapı Sağlayıcısı, Müşteri Kişisel Verilerini etkileyen bir güvenlik olayını Zurelay'e bildirirse Zurelay, aldığı ilgili bilgileri Müşteriye iletir.

10.1 Destek. Zurelay, işleme faaliyetinin niteliğini ve elindeki bilgileri dikkate alarak, Geçerli Veri Koruma Mevzuatının gerektirdiği durumlarda veri koruma etki değerlendirmeleri ve düzenleyici kurumlarla ön istişareler konusunda Müşteriye makul destek sağlar; desteğin asgari düzeyi aştığı durumlarda masraflar Müşteriye aittir.

10.2 Bilgi. Zurelay, yazılı talep üzerine, herhangi bir 12 aylık dönemde en fazla bir kez olmak üzere, makul kapsamlı bir güvenlik ve gizlilik soru formuna yazılı yanıtlar ve bu DPA'ya uyumu göstermek için makul ölçüde gerekli diğer bilgileri sağlar.

10.3 Denetimler. Geçerli Veri Koruma Mevzuatı bu bilgilerin ötesinde bir denetim gerektiriyorsa Müşteri, masrafları kendisine ait olmak üzere, herhangi bir 12 aylık dönemde en fazla bir kez denetim yapabilir. Denetim, en az 30 gün önceden yazılı bildirimle, normal çalışma saatlerinde, uygun gizlilik yükümlülükleri altında ve Zurelay ile rekabet etmeyen bir denetçi tarafından gerçekleştirilir. Zurelay üzerinde yetkili bir mahkeme veya düzenleyici kurum zorunlu kılmadıkça denetimler, diğer müşterilerin verilerine, Altyapı Sağlayıcılarının sistemlerine veya Altyapı Sağlayıcılarının kimliklerine erişim sağlamaz.

Zurelay, API üzerinden gönderilen sohbet ve metin isteklerinin içeriğini, istekleri işledikten sonra saklamaz. Playground sohbetleri, ekli dosyalar hariç, sohbeti yapan kişi için kendisi silene kadar saklanır (çalışma alanı başına en yeni 300 sohbet). Playground'a eklenen görseller çalışma alanı için saklanır ve 30 gün sonra silinir. Oluşturulan görseller ve videolar, bunların istemleri ve referans görselleri ile başarısız denemelerin hata ayrıntıları 30 gün sonra silinir. Zurelay, Sözleşmenin sona ermesinden sonraki 90 gün içinde, yasal olarak saklamak zorunda olduğu kopyalar ve normal takvimlerine göre silinen yedek kopyalar hariç, kontrol ettiği sistemlerde kalan tüm Müşteri Kişisel Verilerini siler. Altyapı Sağlayıcıları tarafından işlenen Müşteri Kişisel Verileri, bu sağlayıcıların kendi koşullarına göre saklanır.

12.1 Yetkilendirme. Müşteri, Zurelay ve Alt Veri İşleyenlerini, Müşteri Kişisel Verilerini Amerika Birleşik Devletleri'ne ve faaliyet gösterdikleri diğer ülkelere aktarmak ve bu ülkelerde işlemek üzere yetkilendirir.

12.2 Avrupa'dan aktarımlar. Müşteri Kişisel Verilerinin GDPR kapsamında olması ve hakkında yeterlilik kararı bulunmayan bir ülkeye aktarılması durumunda SCC'ler bu DPA'ya şu şekilde dahil edilir: Müşterinin veri sorumlusu olduğu durumlarda Modül İki, veri işleyen olduğu durumlarda Modül Üç uygulanır; Madde 7'deki isteğe bağlı katılım hükmü uygulanır; Madde 9'da, Bölüm 7.3'te açıklanan bildirimle birlikte Seçenek 2 uygulanır; Madde 11'deki isteğe bağlı metin uygulanmaz; Madde 17 uyarınca SCC'ler İrlanda hukukuna tabidir; Madde 18 uyarınca İrlanda mahkemeleri yetkilidir. Bu DPA'nın Ek I ve Ek II'si, SCC'lerin ilgili eklerini tamamlar.

12.3 Birleşik Krallık ve İsviçre. UK GDPR kapsamındaki kişisel veriler için SCC'ler, Birleşik Krallık Bilgi Komiseri tarafından yayımlanan Uluslararası Veri Aktarımı Eki ile değiştirilmiş haliyle uygulanır. İsviçre hukukuna tabi kişisel veriler için SCC'ler, atıflar İsviçre Federal Veri Koruma Kanunu'na uyarlanarak uygulanır ve yetkili makam İsviçre Federal Veri Koruma ve Bilgi Komiseridir.

12.4 Öncelik. SCC'ler ile bu DPA arasında çelişki olması durumunda, çelişki ölçüsünde SCC'ler önceliklidir.

Amerika Birleşik Devletleri eyalet gizlilik yasalarının geçerli olduğu ölçüde Zurelay, Müşteri Kişisel Verileri bakımından Müşterinin hizmet sağlayıcısı veya veri işleyenidir. Zurelay, Müşteri Kişisel Verilerini satmaz veya paylaşmaz; Sözleşmede belirtilen ticari amaçlar dışında herhangi bir amaçla ya da Zurelay ile Müşteri arasındaki doğrudan ticari ilişki dışında saklamaz, kullanmaz veya açıklamaz; bu yasaların izin verdiği durumlar dışında başka kaynaklardan gelen kişisel verilerle birleştirmez. Zurelay, bu yasaların geçerli yükümlülüklerine uyar, bunları artık yerine getiremeyecek duruma gelirse Müşteriye bildirimde bulunur ve Müşteriye, Müşteri Kişisel Verilerinin izinsiz kullanımını durdurmak ve gidermek için makul adımlar atma hakkı tanır.

Müşteri Kişisel Verilerinin korunması konusunda bu DPA, Şartlara göre önceliklidir. Bunun dışında, Geçerli Veri Koruma Mevzuatı veya SCC'ler aksini gerektirmedikçe, sorumluluk sınırlamaları, uygulanacak hukuk ve uyuşmazlık çözümü hükümleri dahil olmak üzere Şartlar geçerlidir. Zurelay, mevzuattaki, Hizmetlerdeki veya Alt Veri İşleyenlerindeki değişiklikleri yansıtmak için bu DPA'yı güncelleyebilir ve önemli değişiklikleri Müşteriye bildirir. Niteliği gereği devam eden yükümlülükler hariç, bu DPA Sözleşmenin sona ermesiyle sona erer.

• Şifreleme: Hizmetlere ve Hizmetlerden veri aktarımında TLS; depolanan veriler için Zurelay'in barındırma sağlayıcıları tarafından sağlanan şifreleme.
• Kimlik bilgileri: yalnızca tek yönlü özetler olarak saklanan API anahtarları; tek kullanımlık kodlarla oturum açma; anahtarları ve faturalandırmayı kimlerin yönetebileceğini belirleyen çalışma alanı rolleri.
• Erişim kontrolü: üretim sistemlerine ve verilere erişimin yalnızca ihtiyaç duyan personelle sınırlandırılması.
• Veri minimizasyonu: API üzerinden gönderilen sohbet ve metin içeriğinin bellekte işlenmesi ve saklanmaması; Playground sohbetlerinin ekli dosyalar hariç yalnızca sohbeti yapan kişi için saklanması; Playground'a eklenen görsellerin 30 gün sonra silinmesi; oluşturulan dosyaların, bunların istemlerinin ve hata ayrıntılarının 30 gün sonra silinmesi; müşterinin son kullanıcılarına ait tanımlayıcıların, istekler Altyapı Sağlayıcılarına gönderilmeden önce isteklerden kaldırılması.
• İzleme: Hizmetlerin ve Altyapı Sağlayıcılarının kullanılabilirliğinin ve davranışlarının sürekli izlenmesi, olayların kaydedilmesi ve incelenmesi.
• Dayanıklılık: Altyapı Sağlayıcıları arasında otomatik yeniden deneme ve yedek sağlayıcıya geçiş.
• Olay müdahalesi: Bölüm 9'da açıklandığı şekilde Kişisel Veri İhlallerinin incelenmesi, kontrol altına alınması ve müşterilere bildirilmesi.
• Tedarikçi denetimi: Altyapı Sağlayıcılarının kullanım öncesinde ve kullanım sırasında test edilmesi; örneğin, istenen Modeli sunup sunmadıklarının ve bunu ne kadar güvenilir biçimde yaptıklarının kontrol edilmesi ve Zurelay'in kontrollerini geçemeyenlerin devre dışı bırakılması. Bu kontroller hizmet kalitesini kapsar; Altyapı Sağlayıcılarının kendi koşulları çerçevesinde yönettikleri güvenliklerini kapsamaz.