Veri İşleme Eki

Roller ve kapsam

Müşteri, kendisinin veya misafirlerinin Sixto’ya girdiği kişisel verilerin veri sorumlusu (Responsable del Tratamiento), [Sixto tüzel kişiliği, S.A.S.] ise veri işleyenidir (Encargado del Tratamiento). DPA; konuyu (Sixto’nun sağlanması), süreyi (abonelik ve silme dönemi), niteliği ve amacı (rezervasyonlar, misafir iletişimi, yasal bildirimler, muhasebe ve operasyonlar için barındırma ve işleme), veri türlerini (kimlik ve iletişim, seyahat, kimlik belgeleri, ödeme kayıtları, mesajlar ve ekip kayıtları) ve kişi kategorilerini (misafirler, ekip üyeleri, mülk sahipleri ve bağlantılar) kapsar.

Web sitesi ziyaretçileri ve hesap sahipleriyle ilgili veriler için Sixto, Gizlilik Politikası içinde açıklandığı üzere veri sorumlusudur.

Veri işleyenin yükümlülükleri

Sixto şunları yapacaktır:

• kişisel verileri yalnızca müşterinin belgelenmiş talimatları, yani Şartlar, DPA ve müşterinin ürünü kullanımı doğrultusunda işlemek ve bir talimat yasayı ihlal ediyor görünürse müşteriye bildirmek;
• kişisel verilere erişen kişilerin gizlilik yükümlülüğüne tabi olmasını sağlamak;
• verileri satmamak, reklam veya profilleme için kullanmamak ve yapay zekâ modellerini eğitmek için kullanmamak;
• işleme faaliyetlerinin kayıtlarını tutmak ve yasa gerektirdiğinde müşterinin yetkili makamlarıyla iş birliği yapmak;
• verileri Ley 1581 de 2012 ve ilgili düzenlemelere, geçerli olduğu yerlerde de GDPR’a uygun işlemek.

Alt işleyenler

Müşteri, Sixto’ya alt işleyen kullanımı için genel yetki verir. Her biri DPA’dan daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı sözleşmeye tabidir ve Sixto bunlardan sorumlu olmaya devam eder. Kategoriler ve amaçlar Alt işleyenler sayfasındadır; güncel isim listesi talep üzerine sağlanır.

Müşteri kişisel verilerini işleyen bir alt işleyeni eklemeden veya değiştirmeden önce müşterilere e-posta ya da uygulama üzerinden, normalde en az 30 gün önceden bildirim yaparız. Müşteri makul veri koruma gerekçeleriyle itiraz edebilir; birlikte çözüm ararız. Çözüm bulunamazsa müşteri etkilenen hizmeti sonlandırabilir.

Güvenlik önlemleri

Sixto, riske uygun teknik ve kurumsal önlemleri sürdürür; bunlar arasında şunlar vardır:

• aktarım sırasındaki verilerin şifrelenmesi;
• her müşterinin verilerinin uygulama içinde zorunlu tutulan mantıksal ayrımı;
• rol tabanlı izinler; kapsamı sınırlı API anahtarları ve bağlı temsilciler, onları kuran kişinin izinlerinden fazlasını asla alamaz;
• hassas eylemlerin denetim günlükleri;
• entegrasyon sırları için kimlik bilgisi kasası;
• metin yapay zekâ sağlayıcılarına gönderilmeden önce hassas bilgilerin gizlenmesi ve misafir kimlik belgelerinin yapay zekâ tarafından yalnızca misafirin onayıyla okunması;
• müşteri hesabına destek erişiminin yalnızca müşterinin onayıyla, varsayılan olarak salt okunur ve denetlenebilir olması;
• düzenli yedeklemeler ve üretim sistemlerinde erişim kontrolleri.

Ayrıntılar Güvenlik sayfasında ve tam DPA’da yer alır.

Kişisel veri ihlali

Sixto, müşteri kişisel verilerinin kazara veya hukuka aykırı biçimde yok edilmesine, kaybına, değiştirilmesine, yetkisiz ifşasına ya da bu verilere yetkisiz erişime yol açan bir güvenlik ihlalini öğrendiğinde müşteriye gereksiz gecikme olmadan ve mümkünse öğrenmesinden itibaren 72 saat içinde bildirim yapar. Bildirim, ihlalin niteliği, etkilenen veriler ve kişiler, olası sonuçlar ve alınan veya planlanan önlemler hakkında bilinenleri açıklar; yeni bilgiler geldikçe güncellenir. SIC’ye (Superintendencia de Industria y Comercio), diğer makamlara veya etkilenen kişilere bildirim yapılıp yapılmayacağına müşteri karar verir; Sixto yardımcı olur.

Müşteriye yardım

İşlemenin niteliğini dikkate alarak Sixto; haklarını kullanan kişilerin taleplerine (erişim, güncelleme, düzeltme, silme, geri çekme, taşınabilirlik ve itiraz) yanıt verme, etki değerlendirmeleri yapma ve makamlara danışma konularında müşteriye yardımcı olur. Ürün dışa aktarma ve silme araçları içerir. Bir kişi müşteri verileri hakkında doğrudan Sixto’ya yazarsa talebi müşteriye iletiriz ve yasa gerektirmedikçe kendimiz yanıtlamayız.

Uluslararası aktarımlar

Müşteri kişisel verileri Kolombiya dışında işlenebilir. Sixto, aktarımların SIC tarafından tanınan standartlar ve güvenceler veya GDPR kapsamındaki veriler için standart sözleşme maddeleri gibi yasal bir mekanizmaya dayanmasını sağlayacak ve gerektiğinde bunları tam DPA’ya dahil edecektir.

İade ve silme

Müşteri, hesabı etkin olduğu sürece verilerini dışa aktarabilir. Sona ermeden sonra Sixto verileri 30 gün dışa aktarmaya hazır tutar, ardından yasaların bazı kayıtları tutmayı zorunlu kıldığı durumlar dışında etkin sistemlerden ve kullanım süresi doldukça yedeklerden siler. Talep üzerine Sixto silme işlemini yazılı olarak doğrular.

Denetimler ve bilgiler

Sixto, makul bir güvenlik anketine verilen yanıtlar ve önlemlerinin özeti gibi DPA’ya uyumu göstermek için gereken bilgileri müşteriye sağlar. Bu yeterli olmazsa müşteri, ihlal yaşanmadıkça yılda en fazla bir kez, makul ön bildirimle, iş saatlerinde, gizliliğe uyarak ve diğer müşterilerin verilerini açığa çıkarmadan denetim yapabilir. Denetimin makul maliyetleri müşteriye aittir.

Tam DPA’yı isteyin

Tam DPA’yı, imzalanabilir bir kopyayı veya güncel alt işleyen listesini almak ya da soru sormak için [email protected] adresine yazın. Lütfen şirketinizin adını ve hesap sahibinin e-posta adresini belirtin.