Veri İşleme Sözleşmesi

1. İşlemenin ayrıntıları

• Konu ve süre: sözleşme süresi boyunca ve bölüm 10 uyarınca silinene kadar Carreh for Business'ın sağlanması.
• Niteliği ve amacı: Müşterinin yapılandırdığı ve talimat verdiği şekilde seyahat ve masraf kayıtlarını barındırma, düzenleme, okuma (AI ile dâhil), görüntüleme, dışa aktarma ve silme.
• Veri sahipleri: Müşterinin çalışanları, yüklenicileri ve diğer kullanıcıları ile seyahat ve masraf kayıtlarında adı geçen kişiler.
• Kişisel veriler: kimlik ve iletişim bilgileri, rol ve departman, seyahat talepleri, güzergâhlar, rezervasyonlar ve seyahat belgeleri, fişler, masraflar, geri ödemeler, onaylar ve yorumlar, oturum açma kayıtları.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Talimatlar

Carreh kişisel verileri yalnızca Müşterinin belgelendirilmiş talimatlarına göre işler; bu talimatlar Koşullar, bu DPA ve Müşterinin Hizmeti kullanımı ve yapılandırmasıdır; AB veya üye devlet hukuku aksini gerektirmedikçe. Bu durumda Carreh, hukuk yasaklamadıkça önce Müşteriyi bilgilendirir. Carreh bir talimatı hukuka aykırı bulursa Müşteriye bildirir.

3. Gizlilik

Carreh'te kişisel verileri işlemeye yetkili herkes gizlilikle bağlıdır.

4. Güvenlik

Carreh, Ek 1'deki teknik ve idari tedbirleri uygular ve bunları riske uygun tutar. Carreh, genel koruma düzeyi düşmediği sürece bunları güncelleyebilir.

5. Alt işleyiciler

Müşteri, Carreh'e burada listelenen alt işleyicileri kullanma yetkisi verir. Carreh, yeni bir alt işleyiciyi çalışma alanı Sahiplerine e-posta yoluyla en az 30 gün önceden bildirir. Müşteri makul veri koruma gerekçeleriyle itiraz edebilir; bir çözüm bulunamazsa Müşteri etkilenen Hizmeti sonlandırabilir ve kalan dönem için ön ödenmiş ücretlerin iadesini alabilir. Carreh, her alt işleyiciye bu DPA'ya eşdeğer veri koruma yükümlülükleri getirir ve onlardan sorumlu kalır.

6. Uluslararası transferler

Kişisel verilerin Avrupa Ekonomik Alanı dışında yeterlilik kararı bulunmayan bir ülkeye aktarıldığı durumlarda Carreh, Avrupa Komisyonu'nun Standart Sözleşme Maddelerine dayanır ve gerektiğinde ek önlemler alır.

7. Destek

İşlemenin niteliğini dikkate alarak Carreh, Müşterinin veri sahibi taleplerini yanıtlamasına (Hizmet, Sahiplerin ve Yöneticilerin kayıtları bulmasına, dışa aktarmasına, düzeltmesine ve silmesine olanak tanır) ve güvenlik, ihlal bildirimleri, etki değerlendirmeleri ve denetim makamlarıyla istişareler konusunda yardımcı olur.

8. Kişisel veri ihlalleri

Carreh, Müşteri kişisel verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra en geç 48 saat içinde ve gereksiz gecikme olmaksızın, o anda mevcut olan bilgilerle Müşteriye bildirimde bulunur, ardından soruşturma ilerledikçe bunu günceller.

9. İade ve silme

Müşteri verilerini istediği zaman dışa aktarabilir. Sözleşme sona erdiğinde Müşterinin dışa aktarmak için 30 günü vardır; Carreh ardından kişisel verileri 90 gün içinde siler; AB veya üye devlet yasalarının saklanmasını gerektirdiği durumlar hariç. Yedekler normal programlarına göre üzerine yazılır.

10. Denetimler

Carreh, bu DPA'ya uygunluğu göstermek için gereken bilgileri sağlar. Müşteri, 30 gün önceden yazılı bildirimle, iş saatleri içinde, gizlilik altında ve kendi masrafıyla yılda bir kez denetim yapabilir veya Carreh'in alt işleyicilerinin mevcut bağımsız sertifikalarına, işlemeyi kapsadıkları ölçüde güvenebilir.

11. Sorumluluk ve öncelik

Koşullardaki sorumluluk sınırlamaları, yasaların izin verdiği ölçüde bu DPA için geçerlidir. Kişisel verilerin işlenmesi için bu DPA, Koşullara üstün gelir.

12. Ek 1: teknik ve organizasyonel önlemler

• Ayrılık: Carreh for Business'ın Carreh'in tüketici uygulamalarından ayrı kendi hesapları, veritabanı, depolaması ve anahtarları vardır. Her şirketin verileri ayrı tutulur ve her istek kullanıcının şirket üyeliği ve rolüne göre kontrol edilir.
• Erişim kontrolü: e-posta ile gönderilen tek kullanımlık giriş kodları; oturumlar yalnızca karma olarak saklanır; Carreh personelinin bir e-posta kodu ve bir geçiş anahtarı olması gerekir; yetkili personel çalışma alanı içeriğini yalnızca destek sağlamak, Hizmeti güvende tutmak, dolandırıcılığı önlemek ve yasal yükümlülükleri yerine getirmek için açar ve her açma işlemi çalışma alanının işlem günlüğüne kaydedilir.
• İzleme: oturum açma ve işlemler ağ ve cihazla birlikte kaydedilir; otomatik kontroller olağan dışı oturum açmaları, yinelenen veya değiştirilmiş fişleri ve kötüye kullanımı işaretler ve kötüye kullanan ağları engeller.
• Şifreleme: Aktarım sırasında TLS; barındırma sağlayıcısı tarafından bekleyen verilerde şifreleme; kimlik doğrulayıcı sırları AES-256-GCM ile şifrelenir; kodlar ve belirteçler SHA-256 ve bir gizli anahtarla karma hâline getirilir.
• Günlükleme: oturum açma ve yönetici işlemlerinin yalnızca eklenebilir, kurcalandığı belli olan işlem günlüğü.
• Dayanıklılık: zamana nokta kurtarma ve yedeklemelerle yönetilen veritabanı; geri yükleme prosedürleri lansmandan önce test edildi.
• Geliştirme: kod incelemesi, bir şirketin başka bir şirketin verilerine erişemeyeceğini doğrulayan testler dahil otomatik testler; sırlar kaynak kodun dışında tutulur.
• Asgari veri: reklam izleyicisi yok; AI sağlayıcıları Müşteri verileriyle eğitim yapmaz.