SVOYAGER Veri İşleme ve Gizlilik Eki (DPA)

1. Amaç

SVOYAGER, seyahat, vize, taşınma, göçmenlik ve ilgili iş ortakları için yapay zeka destekli fotoğraf işleme, belge fotoğrafı biçimlendirme, iş ortağı takibi, barındırılan fotoğraf akışları, gömülü widget'lar ve B2B API erişimi sağlar. Bu hizmetleri sunma sürecinde, SVOYAGER, İş Ortağı ve uygun olduğu durumlarda İş Ortağı'nın son kullanıcıları adına kişisel verileri işleyebilir. Bu Veri İşleme Anlaşması (DPA), söz konusu hizmetler için geçerli olan gizlilik, güvenlik, veri işleme, saklama, gizlilik, alt işleyici ve silme taahhütlerini belirler.

2. Tarafların Rolleri

2.1 Kontrolör Olarak Ortak. B2B ortak kullanım durumlarında, Ortak genellikle kendi müşterileri, kullanıcıları, potansiyel müşterileri, müşterileri veya web sitesi ziyaretçileriyle ilgili kişisel verilerin Kontrolörü olarak hareket eder ve kullanıcılarına fotoğraf hizmetinin neden sunulduğunu, nasıl sunulduğunu, geçerli yasal dayanağı, entegrasyon modelini ve Ortak'ın gizlilik, rıza, ödeme ve hizmet şartları konusunda kullanıcılarıyla nasıl iletişim kuracağını belirler.

2.2 İşleyici Olarak SVOYAGER. SVOYAGER, B2B fotoğraf widget'ı, barındırılan ortak bağlantısı, API, beyaz etiketli erişim, raporlama ve ilgili hizmetleri sağlamak amacıyla Ortak adına kişisel verileri işlediğinde Veri İşleyici olarak hareket eder; bu işlemler yalnızca Ortak’ın belgelenmiş talimatlarına uygun olarak, hizmetlerin sağlanması için gerekli olduğu ölçüde, yürürlükteki yasaların gerektirdiği şekilde ve ana sözleşme, bu DPA ve geçerli gizlilik yasaları kapsamında izin verilen şekilde gerçekleştirilir.

2.3 Sınırlı Durumlarda Bağımsız Veri Sorumlusu Olarak SVOYAGER. SVOYAGER, ortak hesap yönetimi, faturalandırma, muhasebe ve vergi uyumu, dolandırıcılığın önlenmesi, kötüye kullanımın tespiti ve güvenlik izleme, hukuki talepler, uyum ve ihtilaf yönetimi ile hizmetle ilgili Ortaklarla doğrudan iletişim dahil olmak üzere sınırlı amaçlar doğrultusunda bağımsız bir Veri Sorumlusu olarak hareket edebilir.

2.4 Alt İşlemciler. SVOYAGER, hizmetleri sunmak için alt işlemciler kullanabilir; bunlara, temel yapay zeka fotoğraf işleme sağlayıcısı olarak SNAPFLOW LLC de dahildir. Bu sağlayıcılar, verileri yalnızca fotoğraf işleme, barındırma, depolama, güvenlik, ödeme veya altyapı hizmetlerini sunmak için gerekli olduğu ölçüde işler.

3. İşleme Kapsamı

Bu Veri Koruma Beyanı (DPA), SVOYAGER tarafından barındırılan ortak bağlantıları aracılığıyla işlenen kişisel veriler için geçerlidir (Ortak, kullanıcıları izlenen bir SVOYAGER bağlantısına yönlendirir; örneğin https://svoyager.com/{locale}/passport-photo?ref={code}), gömülü SVOYAGER widget'ı (Ortak'ın kendi platformuna gömülü olup, işleme SVOYAGER'in arka ucundan gerçekleştirilir) ve SVOYAGER B2B API / beyaz etiket erişimi (Ortak, SVOYAGER tarafından verilen kimlik bilgilerini kullanarak SVOYAGER'in API'sine bağlanır).

4. Kişisel Veri Kategorileri

İşlenen kişisel veriler arasında yüklenen kullanıcı fotoğrafları, oluşturulan önizlemeler ve filigran içermeyen nihai fotoğraflar, desteklenen durumlarda yazdırılabilir fotoğraf sayfaları, seçilen belge türü/ülke/spesifikasyon kodu, teknik meta veriler (dosya türü, dosya boyutu, istek kimliği, işleme durumu, zaman damgaları, hata/sorun kodları), teslimat/ödeme/destek için gerekli olduğu durumlarda kullanıcı e-posta adresi, Ortak/kampanya/kiracı/ortaklık/izleme tanımlayıcıları veya API anahtarı tanımlayıcısı, IP adresi, tarayıcı/cihaz meta verileri, günlükler ve güvenlik olayları, ödeme durumu/sipariş/işlem/faturalandırma meta verileri ve destek iletişimlerini içerebilir. Mümkün olduğunda, İş Ortağı SVOYAGER ile paylaşılan kişisel verileri en aza indirmelidir.

5. Veri Sahiplerinin Kategorileri

Veri sahipleri arasında Ortak'ın müşterileri ve web sitesi ziyaretçileri, vize/göçmenlik/yer değiştirme/seyahat/belge hizmeti müşterileri, pasaport/vize/kimlik/belge fotoğrafları oluşturan son kullanıcılar, hesabı yöneten Ortak çalışanları veya yetkili kullanıcılar, SVOYAGER B2C kullanıcıları ve fotoğraf hizmeti ile ilgili olarak destek birimiyle iletişime geçen kişiler yer alabilir.

6. İşleme Talimatları

Ortak, SVOYAGER’e kişisel verileri yalnızca bu DPA’da ve ilgili sözleşmede açıklanan amaçlar doğrultusunda işlemesi talimatını verir. SVOYAGER, yasalarca zorunlu tutulmadıkça, güvenlik, dolandırıcılık veya suistimalin önlenmesi için gerekli olmadıkça, Ortak tarafından açıkça yetkilendirilmedikçe veya bu DPA’nın izin verdiği şekilde sözleşmeye konu hizmetin sağlanması, sürdürülmesi veya iyileştirilmesi için gerekli olmadıkça, kişisel verileri bu amaçlarla ilgisi olmayan hiçbir amaçla işlemeyecektir. SVOYAGER, bir talimatın geçerli veri koruma yasasını ihlal ettiğine inanırsa, Ortak’ı bilgilendirebilir ve durum netleşene kadar ilgili işlemeyi askıya alabilir.

7. Veri Koruma İlkeleri ve Güvenlik

SVOYAGER, kişisel verileri yetkisiz erişim, ifşa, değiştirme, kayıp, kötüye kullanım veya imha karşı korumak için tasarlanmış uygun teknik ve organizasyonel güvenlik önlemlerini uygulayacak ve kişisel verileri hukuka uygunluk, adalet ve şeffaflık, amaç sınırlaması, veri minimizasyonu, doğruluk, saklama sınırlaması, bütünlük ve gizlilik ile hesap verebilirlik ilkeleri doğrultusunda işleyecektir. SVOYAGER hizmetlerine ve bu hizmetlerden iletilen tüm veriler, endüstri standardı şifreli aktarım (TLS/HTTPS) kullanılarak korunmalıdır.

8. Veri Depolama Seçenekleri

Seçenek A — Geçici Bulut Depolama. Müşteri resimleri, önizleme çıktıları, nihai çıktılar ve ilgili işleme verileri, operasyonel amaçlarla (önizleme erişimi, nihai teslimat, e-posta kurtarma, sipariş tamamlama, geri ödeme/yeniden düzenleme desteği, kötüye kullanım önleme, hata ayıklama, fatura doğrulama, iş ortağı raporlaması) güvenli bulut altyapısı içinde geçici olarak depolanabilir. Önerilen SVOYAGER varsayılan ayarları: önizleme görüntüleri 24 saat; filigran içermeyen nihai dosyalar 24 saat; vergi/muhasebe/yasal amaçlar için gerekli olduğu durumlarda sipariş meta verileri en fazla 7 yıl; teknik günlükler 30 ila 180 gün. Altta yatan sağlayıcı yapılandırılabilir saklama süresini destekliyorsa, SVOYAGER, yasalar, güvenlik, destek veya İş Ortağının yapılandırması gereği daha kısa veya daha uzun bir süre gerekmedikçe, 2 saat ile 14 gün arasında bir süre seçebilir.

Seçenek B — Durum Bilgisi Olmayan / Depolamasız İşleme. Teknik olarak mümkün olduğu durumlarda, yüklenen görüntüler işlenmek üzere gönderilir ve işlenmiş çıktılar doğrudan (örneğin Base64 olarak) geri gönderilir; kalıcı depolama en aza indirilir veya devre dışı bırakılır. Bu seçenek, gizlilik, uyumluluk, finans, kamu, sağlık, göçmenlik veya kurumsal gereklilikleri daha yüksek olan Ortaklar için önerilir.

9. Veri Mülkiyeti

Ortak veya uygun olduğu durumlarda Ortak'ın son kullanıcısı, yüklenen görüntüler, oluşturulan önizlemeler, nihai fotoğraf çıktıları ve ilgili kullanıcı içeriği üzerindeki tüm hakları, mülkiyeti ve menfaatleri elinde tutar. SVOYAGER, yüklenen kullanıcı fotoğraflarının veya oluşturulan nihai fotoğraf dosyalarının mülkiyetini talep etmez ve yalnızca fotoğrafı işlemek, çıktıları oluşturmak, hizmeti sunmak, destek sağlamak, hizmeti işletmek/güvenliğini sağlamak/iyileştirmek, yasal yükümlülükleri yerine getirmek ve geçerli sözleşmeyi uygulamak için gerekli hakları alır.

10. İzin Olmadan Satış, Reklam ve Yapay Zeka Eğitimi Yapılamaz

SVOYAGER, İş Ortağı veya son kullanıcının kişisel verilerini satmayacak, yüklenen görselleri, üretilen çıktıları veya son kullanıcının kişisel verilerini üçüncü taraf reklamları için kullanmayacak ve (uygulanabilir olduğu durumlarda) açıkça yazılı olarak yetkilendirilmedikçe İş Ortağı veya son kullanıcının görsel verilerini yapay zeka modeli eğitimi için kullanmayacaktır; yürürlükteki yasalarca izin verilmedikçe ve ilgili gizlilik bildiriminde açıkça belirtilmedikçe, Ortakların veya son kullanıcıların görüntü verilerini yapay zeka modeli eğitimi için kullanmayacaktır. SVOYAGER, açıkça yetkilendirilmedikçe, alt işleyicilerinden de aynı kısıtlamalara uymalarını talep edecektir.

11. İş Ortaklarının Gizlilik Sorumlulukları

Ortak, kişisel verileri SVOYAGER'e göndermeden önce son kullanıcılarına uygun gizlilik bildirimlerini sunmaktan ve gerekli onayları veya yasal dayanakları temin etmekten sorumludur, ayrıca kullanıcılara, fotoğraflarının belge fotoğrafı oluşturmak amacıyla işleneceğini, hizmetin otomatik işlemeyi içerebileceğini, SVOYAGER ve alt işleyicilerin görüntüyü ve meta verileri işleyebileceğini, nihai dosya için ödeme gerekebileceğini ve oluşturulan fotoğrafın herhangi bir yetkili kurum tarafından onaylanacağını garanti etmediğini açıkça bildirmekle sorumludur. Ortak, hizmeti yanıltıcı bir şekilde tanımlamamalıdır.

12. Gizlilik ve Erişim

Kişisel verilere erişimi olan SVOYAGER personeli, yüklenicileri ve yetkili alt işleyiciler, bilginin niteliğine uygun gizlilik yükümlülüklerine tabidir. Erişim, meşru bir ticari, teknik, güvenlik, destek veya operasyonel ihtiyacı olan yetkili personel ile sınırlıdır.

13. Güvenlik İzleme ve Denetimler

SVOYAGER, altyapı izleme, erişim kontrolü, rol tabanlı erişim, güvenlik açığı değerlendirmeleri, bağımlılık güncellemeleri, API kötüye kullanım izleme, günlük kaydı/uyarı, kimlik bilgisi rotasyonu ve olay müdahalesi dahil olmak üzere güvenlik risklerini tespit etmek, önlemek ve azaltmak için periyodik incelemeler ve izleme faaliyetleri gerçekleştirir. Makul bir yazılı talep üzerine ve gizlilik ile güvenlik kısıtlamalarına tabi olarak, SVOYAGER bu DPA’ya uyumu kanıtlamak için makul ölçüde gerekli bilgileri sağlayabilir.

14. Alt İşlemciler ve Altyapı Sağlayıcıları

SVOYAGER, uygun sözleşmeye dayalı gizlilik, güvenlik ve veri koruma yükümlülüklerine tabi olarak, saygın üçüncü taraf alt işleyiciler ve altyapı sağlayıcıları kullanabilir. Mevcut alt işleyiciler arasında SNAPFLOW LLC (AI fotoğraf işleme), Supabase (veritabanı/kimlik doğrulama/uygulama arka ucu), Stripe (ödemeler), Vercel Blob dahil Vercel (barındırma ve geçici dosya depolama/teslimat), Resend (işlemsel e-posta), Upstash (hız sınırlama ve idempotans) ve Sentry (hata izleme/gözlemlenebilirlik) bulunmaktadır. AWS, Supabase ve Vercel’in temel bulut altyapısıdır ve ayrı bir alt işleyici olarak doğrudan görev almamaktadır. Güncel liste /legal/subprocessors adresinde yayınlanmaktadır.

15. Alt İşlemcilerdeki Değişiklikler

SVOYAGER, zaman zaman alt işleyiciler ekleyebilir, değiştirebilir veya kaldırabilir. Kurumsal Ortaklar için, SVOYAGER, geçerli sözleşmenin gerektirdiği durumlarda, alt işleyicilerde yapılan önemli değişiklikler hakkında önceden bildirimde bulunabilir. Ortak, yeni bir alt işleyiciye ilişkin makul bir veri koruma itirazına sahipse, bunu SVOYAGER’e yazılı olarak bildirebilir ve taraflar, sorunu çözmek için iyi niyetle çalışacaktır.

16. Uluslararası Veri Aktarımları

Kişisel veriler, SVOYAGER'in, altyapı sağlayıcılarının, alt işleyicilerinin veya hizmet sağlayıcılarının faaliyet gösterdiği ülkelerde işlenebilir. Yürürlükteki yasaların gerektirdiği durumlarda, SVOYAGER uygun aktarım mekanizmalarını kullanacaktır; bunlar arasında Standart Sözleşme Maddeleri, Birleşik Krallık Uluslararası Veri Aktarımı Eki, yeterlilik kararları, sözleşmeye dayalı güvenceler, mevcut olduğu durumlarda veri yerelleştirme ayarları veya desteklendiği durumlarda sınır ötesi işleme modu yer alabilir.

17. API Anahtarları ve Erişim Denetimleri

SVOYAGER, API anahtarları, müşteri kimlikleri, ortak kimlikleri, kiracı kimlikleri, gömme jetonları veya diğer kimlik bilgilerini verebilir. Ortak, kimlik bilgilerini gizli tutmaktan, ön uç kodunda gizli anahtarları ifşa etmemekten, erişimi yetkili çalışanlar ve sistemlerle sınırlandırmaktan, güvenlik ihlali şüphesi durumunda anahtarları derhal değiştirmekten, yetkisiz kullanımları SVOYAGER’e bildirmekten ve API kullanımının geçerli sözleşme ve belgelere uygun olmasını sağlamaktan sorumludur.

18. Kullanım Verileri, Günlükler ve İş Ortaklarına Raporlama

SVOYAGER, API kullanım takibi, iş ortağı atıfları, faturalandırma ve fatura kesimi, gelir paylaşımı veya komisyon hesaplaması, dolandırıcılığın önlenmesi, hata giderme, hizmet analitiği, SLA izleme, ürün geliştirme ve güvenlik izleme amacıyla teknik ve kullanım verilerini işleyebilir. SVOYAGER, destek, faturalandırma veya belirli entegrasyon modeli için gerekli olmadıkça, Ortak panolarında gereksiz son kullanıcı kişisel verilerini ifşa etmekten kaçınmalıdır.

19. Ödeme Verileri

SVOYAGER'in ödemeleri doğrudan işlediği durumlarda, ödeme kartı verileri Stripe gibi PCI uyumlu bir ödeme işleyicisi tarafından yönetilir. SVOYAGER, tam kart numaralarını, CVC kodlarını veya hassas ödeme kimlik doğrulama verilerini kendi sunucularında saklamaz; ancak ödeme durumu, sipariş kimliği, işlem kimliği, tutar, para birimi, makbuz URL'si, iade durumu, Ortak atıfı, fatura meta verileri ve vergi/muhasebe kayıtları gibi sınırlı ödeme meta verilerini saklayabilir.

20. Veri Sahibi Talepleri

Yürürlükteki yasaların gerektirdiği ölçüde, SVOYAGER, veri sahibi taleplerine (erişim, düzeltme, silme, kısıtlama, itiraz, taşınabilirlik, rızanın geri çekilmesi) yanıt verilmesi konusunda İş Ortağına makul ölçüde yardım sağlayacaktır. Ortak, talep sahibinin kimliğini doğrulamaktan ve talebin yerine getirilip getirilmeyeceğine karar vermekten sorumludur. SVOYAGER, bir Ortak’ın son kullanıcısından doğrudan bir talep alırsa, kullanıcıyı Ortak’a yönlendirebilir, yasal olarak gerekli olduğu durumlarda doğrudan yanıt verebilir, doğrulama talep edebilir veya Ortak ile işbirliği yapabilir.

21. Verilerin Silinmesi

Ortak talebi üzerine, hizmetlerin sonlandırılması veya geçerli saklama süresinin dolması durumunda, SVOYAGER, yasalarca saklanması zorunlu olmadığı veya vergi kayıtları, muhasebe kayıtları, uyuşmazlık çözümü, dolandırıcılığın önlenmesi, güvenlik soruşturmaları, yasal talepler veya uyum yükümlülükleri için gerekli olmadığı sürece, geçerli saklama yapılandırmasına uygun olarak kişisel verileri silecek veya anonimleştirecektir.

22. Güvenlik Olayları

SVOYAGER, kişisel verilerle ilgili güvenlik olaylarını tespit etmek, araştırmak ve bunlara müdahale etmek için makul prosedürler uygular. SVOYAGER, Ortakların kişisel verilerini etkileyen teyit edilmiş bir kişisel veri ihlali fark ederse, bunu fark ettikten sonra gecikmeden Ortak'a bildirimde bulunur ve olayla ilgili mevcut ayrıntıları, etkilenen verileri, olası sonuçları, alınan önlemleri ve irtibat noktasını paylaşır. SVOYAGER, kolluk kuvvetleri, düzenleyici kurumlar veya güvenlik soruşturmaları gerektirdiği durumlarda bildirimde gecikme yaşayabilir.

23. Doğruluk ve Resmi Gereklilikler

SVOYAGER, seçilen fotoğraf özelliklerine göre otomatik biçimlendirme, kırpma, arka plan ayarlaması, doğrulama ve uygunluk kontrolleri sağlayabilir. Ancak, resmi gereklilikler yargı bölgesi, yetkili kurum, elçilik, konsolosluk, vize merkezi veya başvuru türüne göre değişebilir ve farklılık gösterebilir. Aksi açıkça kararlaştırılmadıkça, SVOYAGER herhangi bir devlet kurumu tarafından kabul edilmesini, vize onayını, pasaport düzenlenmesini, göçmenlik onayını, konsolosluk onayını veya üçüncü taraf başvuru merkezi tarafından kabul edilmesini garanti etmez.

24. Yürürlükteki Yasa ve Öncelik Sırası

Bu Veri İşleme Anlaşması (DPA), ana sözleşmede açıkça farklı bir geçerli hukuk belirtilmedikçe, Dubai Emirliği'nde uygulanan Birleşik Arap Emirlikleri yasalarına tabidir (SVOYAGER Fotoğraf Ortağı ve API/Widget Şartları ile tutarlı olarak). Bu DPA ile ana sözleşme arasında bir çelişki olması durumunda, aksi belirtilmedikçe aşağıdaki sıra geçerlidir: zorunlu olarak uygulanacak veri koruma kanunu; veri koruma konularında bu DPA; ana ticari sözleşme; sipariş formu veya fiyat listesi; ve API/ürün belgeleri.

25. Yürürlük Dili

Bu Veri İşleme Anlaşması (DPA), kolaylık sağlamak amacıyla çeşitli dillerde yayınlanabilir. İngilizce versiyonu geçerlidir. İngilizce versiyon ile bir çeviri arasında herhangi bir tutarsızlık, çelişki veya belirsizlik olması durumunda, geçerli yasaların zorunlu hükümleri tarafından aksi açıkça belirtilmedikçe, İngilizce versiyon geçerlidir.

26. Süre ve İletişim

Bu Veri İşleme Anlaşması (DPA), SVOYAGER'in Ortak adına kişisel verileri işlediği sürece yürürlükte kalır; gizlilik, güvenlik, silme, denetim kayıtları, yasal uyumluluk ve sorumlulukla ilgili hükümler, yasaların veya ana sözleşmenin gerektirdiği ölçüde, sözleşmenin feshinden sonra da geçerliliğini korur. Gizlilik, güvenlik veya veri işleme ile ilgili sorularınız için privacy@svoyager.com veya hello@svoyager.com adresine başvurun.