1. Veri korumaya yaklaşımımız
Elektronik imzalar, insanların ele aldığı en hassas evrakların bir kısmını kapsar: sözleşmeler, istihdam belgeleri, finansal anlaşmalar, kimlik bilgileri. Junosign, bu belgelerdeki kişisel verilerin gerekli olanla sınırlı tutulacağı, Avrupa Birliği içinde saklanacağı ve verileri yükleyen müşteri tarafından kontrol edileceği şekilde tasarlanmıştır.
Bu sayfa, Junosign B.V.’nin Genel Veri Koruma Tüzüğü’nü (Tüzük (AB) 2016/679, “GDPR”) nasıl karşıladığını açıklar. Sayfa, hakkınızdaki kendi verilerimizi nasıl ele aldığımızı anlatan Gizlilik Bildirimi’ni ve müşterilerin bizimle imzaladığı sözleşme olan Veri İşleme Sözleşmesi’ni tamamlar.
2. Rollerimiz: veri sorumlusu ve veri işleyen
GDPR kapsamında sorumluluk, verilerin neden ve nasıl kullanılacağına kimin karar verdiğine bağlıdır.
- Veri işleyen olarak Junosign. Bir müşteri belge yüklediğinde, form yanıtı topladığında veya imzalayıcı davet ettiğinde, müşteri veri sorumlusu, Junosign ise veri işleyendir. Bu verileri yalnızca müşterinin belgelenmiş talimatları doğrultusunda ve Hizmet’in sağlanması amacıyla işleriz.
- Veri sorumlusu olarak Junosign. Hesap verileri, faturalama verileri, web sitesi analizleri ve kendi yazışmalarımız bakımından veri sorumlusu Junosign B.V.’dir. Ayrıntılar Gizlilik Bildirimi’nde yer almaktadır.
- Kamu kurumu dağıtımları. JunosignNation ile aynı platform, bir devletin kendi veri merkezleri içinde çalışır. Junosign B.V. bu verileri barındırmaz ve bunlara erişmez; veri sorumlusu ve işletici ilgili kamu kurumudur.
3. Hukuki dayanaklar
Kontrolümüzdeki veriler bakımından 6. madde kapsamında aşağıdaki dayanaklara başvururuz:
- Hesapları oluşturmak ve yürütmek ve ödeme almak için sözleşme;
- Vergi, muhasebe ve benzeri yükümlülükler için hukuki yükümlülük;
- Güvenlik izleme, dolandırıcılığın önlenmesi ve hizmetin geliştirilmesi için, etkilenen kişilerin haklarıyla dengelenmek kaydıyla meşru menfaatler;
- Gerekli olmayan çerezler ve müşterimiz olmayan kişilere yönelik pazarlama için açık rıza.
İmzalayıcı ve belge verileri bakımından hukuki dayanağı müşteri seçer ve bundan müşteri sorumludur; bu dayanak genellikle sözleşme, hukuki yükümlülük veya meşru menfaatlerdir. Müşteriyle yaptığımız sözleşme, bunu kanıtlayabilmesine yardımcı olmamızı, örneğin her imzalama işlemini belgeleyen denetim izini sağlamamızı şart koşar.
Kişisel verileri, toplanma amacıyla bağdaşmayan şekillerde işlemeyiz. Belge içeriğini model eğitimi, reklam veya profilleme için kullanmayız ve kişisel verileri satmayız.
4. İlgili kişi hakları
Verilerini işlediğimiz kişiler aşağıdaki haklarını kullanabilir. Veri işleyen olduğumuz durumlarda talepleri müşteriye iletir ve yanıt vermesine yardımcı oluruz. Veri sorumlusu olduğumuz durumlarda bir ay içinde doğrudan yanıt veririz.
| Hak | Anlamı | Nasıl kullanılır |
|---|---|---|
| Erişim | Verilerinizi tutup tutmadığımızın teyidi, bir kopyası ve kullanımına ilişkin bilgi | privacy@junosign.com adresine e-posta gönderin; imzalayıcılar önce belgeyi gönderen kişiyle iletişime geçmelidir |
| Düzeltme | Yanlış veya eksik verilerin düzeltilmesi | Hesap bilgilerini ayarlardan düzenleyin veya bize e-posta gönderin |
| Silme | Verilerin saklanmasını gerektiren üstün bir neden bulunmadığında silinmesi | Hesabınızı kapatın veya bize e-posta gönderin; belgelerin silinmesi müşterinin kontrolündedir |
| Kısıtlama | Bir sorun çözülene kadar verilerinizin kullanımının durdurulması | Gerekçelerinizi belirterek bize e-posta gönderin |
| Taşınabilirlik | Sağladığınız verileri makine tarafından okunabilir bir biçimde almanız | Hesaptaki dışa aktarma araçlarını kullanın veya bize e-posta gönderin |
| İtiraz | Meşru menfaatlere veya doğrudan pazarlamaya dayalı işlemenin durdurulması | Herhangi bir iletideki abonelikten çıkma bağlantısını kullanın veya bize e-posta gönderin |
| Açık rızanın geri çekilmesi | Dayanağın açık rıza olduğu durumlarda fikrinizi değiştirmeniz | Çerez ayarlarını kullanın veya bize e-posta gönderin |
İmzalanmış bir belge delildir. Müşterinin belgeyi saklaması yasal olarak zorunluysa, silme hakkı bu belge için geçerli olmayabilir ve bunun nedenini açıklarız.
5. AB’de veri yerleşimi
Müşteri İçeriği, merkezi Avrupa’da bulunan sağlayıcıların işlettiği altyapıda, Avrupa Birliği içinde saklanır ve işlenir. Müşterilerin verilerini AB’de tutmak için herhangi bir yapılandırma yapmasına gerek yoktur. Mevcut sağlayıcılar ve konumlar alt işleyenler sayfasında listelenmiştir ve bunları değiştirmeden önce müşterileri bilgilendiririz.
6. Uluslararası aktarımlar ve güvenceler
Kahire ve Dubai’deki bağlı kuruluşlarımızın personeli destek ve mühendislik hizmetleri sağlar. Bu personelin Avrupa Ekonomik Alanı dışından kişisel verilere erişebileceği durumlarda aktarım; Avrupa Komisyonu’nun Standart Sözleşme Hükümleri, belgelenmiş bir aktarım risk değerlendirmesi ve en az ayrıcalık ilkesine dayalı erişim, çok faktörlü kimlik doğrulama, erişim günlüğü tutma ve şifreleme dahil teknik tedbirlerle güvence altına alınır. Müşteri belgelerine, müşteri belirli bir talep için yetki vermedikçe destek personeli erişemez. AB dışındaki kamu makamlarına hukuken bağlayıcı bir dayanak olmaksızın aktarım yapmayız ve hukuka aykırı gördüğümüz taleplere itiraz ederiz.
Aktarım güvenceleri en az yılda bir kez ve hukuki durum değiştiğinde, örneğin yeni bir yeterlilik kararı veya uluslararası aktarımlara ilişkin bir mahkeme kararı sonrasında gözden geçirilir. Bir güvence etkinliğini yitirirse, ilgili aktarımı sürdürmek yerine askıya alırız. Müşteriler, mevcut aktarım risk değerlendirmesinin bir özetini gizlilik sözleşmesi (NDA) kapsamında talep edebilir.
6.1 AEA dışındaki personelin görebildikleri ve göremedikleri
Destek ve mühendislik personeli; hesap üst verileri, yapılandırma, günlükler ve hata raporlarıyla çalışır. Belge içeriği, imzalayıcı kimlik verileri ve denetim izleri varsayılan olarak bu personele açık değildir. Bunlardan herhangi birine erişim, müşteriden gelen bir talep kaydı gerektirir, süreyle sınırlıdır, ikinci bir kişi tarafından onaylanır ve müşterinin talep edebileceği bir günlüğe kaydedilir.
6.2 Kamu makamlarının talepleri
Makamlara gayriresmî talep üzerine veri vermeyiz. Hukuken bağlayıcı bir karar hukuk ekibimizce incelenir, kesinlikle gerekli olanla sınırlandırılır ve kanunen izin verilen hâllerde, herhangi bir ifşa yapılmadan önce müşteriye bildirilir.
7. Güvenlik tedbirleri
32. madde, riske uygun tedbirler alınmasını gerektirir. Bizim tedbirlerimiz şunları içerir:
- belgelerin ve kişisel verilerin iletim sırasında ve beklemedeyken şifrelenmesi;
- role dayalı erişim kontrolü, personel için zorunlu çok faktörlü kimlik doğrulama ve üretim sistemlerine erişimin günlüğe kaydedilmesi;
- imzadan sonra yapılan her değişikliğin tespit edilebilmesini sağlayan mühürlü belgeler ve her imza için bir denetim izi;
- müşteri ortamlarının ayrıştırılması ve düzenli, test edilmiş yedeklemeler;
- SOC 2 Type II çerçevesine göre bağımsız değerlendirme ve düzenli sızma testleri;
- her çalışan için ön değerlendirme, gizlilik yükümlülükleri ve yıllık eğitim.
Daha fazla ayrıntı güvenlik sayfasında yer almaktadır. Nitelikli imzalara yönelik güven hizmetlerimiz, eIDAS kapsamında nitelikli bir güven hizmeti sağlayıcı ortağı aracılığıyla sunulmaktadır.
8. İhlal bildirimi
En az yılda bir kez test edilen bir olay müdahale prosedürü uygularız. Bir kişisel veri ihlali meydana gelirse şunları yaparız:
- ihlali kontrol altına alır ve etkilenen kişiler açısından riski değerlendiririz;
- etkilenen müşterilere, kendi yükümlülüklerini yerine getirmeleri için ihtiyaç duydukları bilgilerle birlikte gecikmeksizin bildirimde bulunuruz;
- veri sorumlusu olduğumuz durumlarda, ihlalin gerçek kişiler açısından risk doğurma ihtimalinin bulunmadığı haller dışında, ihlali öğrendiğimiz andan itibaren 72 saat içinde Autoriteit Persoonsgegevens’e bildirimde bulunuruz;
- risk yüksek olduğunda ilgili kişilere doğrudan bilgi veririz; ve
- olguları, etkileri ve alınan düzeltici önlemleri ihlal kayıt defterimize kaydederiz.
9. Alt işleyenler
Her biri Veri İşleme Sözleşmesi ile aynı veri koruma yükümlülüklerini getiren bir sözleşmeyle bağlı, sınırlı sayıda alt işleyen kullanırız. Bunların performansından sorumlu olmaya devam ederiz. Müşteriler öngörülen değişikliklerden önceden haberdar edilir ve makul veri koruma gerekçeleriyle itiraz edebilir. Güncel liste alt işleyenler sayfasındadır.
10. Kayıtlar, değerlendirmeler ve saklama
Junosign B.V., hem veri sorumlusu hem de veri işleyen olarak 30. madde uyarınca işleme faaliyetlerinin kayıtlarını tutar. Yüksek risk doğurması muhtemel yeni özellikler için veri koruma etki değerlendirmeleri yapar ve bunları geliştirirken tasarım yoluyla ve varsayılan olarak veri koruma ilkesini uygularız. Saklama süreleri Gizlilik Bildirimi’ndeki takvimi izler. Müşteriler belgelerin ve imza kayıtlarının ne kadar süre saklanacağını kontrol eder, bunları istedikleri zaman silebilir ve hesap kapatmadan önce dışa aktarabilir. Hesap kapatıldıktan sonra Müşteri İçeriği’ni 30 gün içinde sileriz; yedeklemeler ise 35 gün içinde devreden çıkar.
11. Veri Koruma Görevlisi ve denetim makamı
Junosign B.V., bir Veri Koruma Görevlisi atamıştır; kendisine privacy@junosign.com adresinden veya Weesperstraat 100, 1018 VN Amsterdam, Hollanda adresine posta yoluyla ulaşılabilir.
Baş denetim makamımız Hollanda Autoriteit Persoonsgegevens’tir. Kişiler, bu makama veya ikamet ya da çalışma ülkelerindeki makama şikâyette bulunabilir. Endişeleri önce doğrudan ele alma fırsatını memnuniyetle karşılarız.
12. AB dışındaki düzenleyicilerle çalışma
Müşterilerimizin çoğu Orta Doğu ve Kuzey Afrika’da faaliyet göstermektedir. Platformumuz, Mısır Bilgi Teknolojisi Endüstrisi Geliştirme Kurumu’nun (ITIDA) elektronik imzalara ilişkin gereklilikleriyle uyumludur ve veri işleme süreçlerimizi, müşterilerin GDPR’nin yanı sıra yerel gizlilik kurallarını da karşılayabileceği şekilde tasarlarız. Yerel bir kanun farklı hükümler gerektiriyorsa, bunları sipariş formunda kararlaştırırız. Belirli bir yargı yetkisine ilişkin sorular legal@junosign.com adresine gönderilebilir.