Veri İşleme Sözleşmesi

Bu metnin hukuki incelemesi henüz tamamlanmamıştır.

Bu Veri İşleme Sözleşmesi ("Sözleşme"), EnaTTO hizmetini kullanan organizasyon (Müşteri; bkz. madde 1.1) ile ENA Innovation arasında, Müşteri adına işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeleri esas alınarak hazırlanmıştır. Müşteri'ye (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR"), Birleşik Krallık GDPR'ı ("UK GDPR") veya İsviçre Federal Veri Koruma Kanunu ("FADP") uygulanıyorsa 17. bölüm de geçerlidir.

1. Taraflar ve kapsamBağlantıyı kopyala

1.1. Taraflar şunlardır:

1.2. Bu Sözleşme; Müşteri'nin kabul ettiği teklif veya sipariş formu, Kullanım Koşulları ve taraflar arasında yazılı olarak kararlaştırılan diğer koşullarla ("Ana Sözleşme") birlikte uygulanır.

1.3. Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme ile Ana Sözleşme arasında çelişki olursa bu Sözleşme uygulanır. Taraflar yazılı olarak Müşteri'nin kendi veri işleme sözleşmesini kullanmayı kararlaştırırsa o sözleşme bu Sözleşmenin yerine geçer.

2. TanımlarBağlantıyı kopyala

Bu Sözleşmede geçen "kişisel veri", "özel nitelikli kişisel veri", "ilgili kişi", "veri sorumlusu", "veri işleyen", "işleme" ve "Kurul" kavramları KVKK'daki anlamları ile kullanılır. Ayrıca:

• Hizmet: EnaTTO yazılımının web yönetim arayüzü, herkese açık sayfalar ve API ile bunlara bağlı ENA Cloud hizmetleri (organizasyon bulma, bildirim ağ geçidi, yapay zekâ ağ geçidi ve kıyaslama hizmeti) aracılığıyla sunulması.
• Müşteri Verisi: Müşteri veya kullanıcıları tarafından Hizmet'e girilen, Müşteri'nin herkese açık sayfaları aracılığıyla toplanan ya da Hizmet aracılığıyla Müşteri adına oluşturulan kişisel veriler. Buluş bildirimleri, araştırma sonuçları ve belgeler, kişisel veri içerdikleri ölçüde Müşteri Verisidir; 7. bölümdeki gizlilik yükümlülükleri bunlara bütünüyle uygulanır.
• Gizlilik sınıfı: Hizmet'teki bir kayda verilen sınıf: Genel, Kurum içi, Gizli veya Çok gizli.
• Alt İşleyen: ENA Innovation'ın Müşteri Verisi'nin işlenmesi için görevlendirdiği üçüncü kişi.
• Veri İhlali: Müşteri Verisi'nin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya buna yol açan güvenlik olayı.
• Müşteri Ortamı: Müşteri'ye tahsis edilen, organizasyonkodu.enatto.com adresinde çalışan uygulama ve veri ortamı; kendi uygulama yığını, dosya deposu, veritabanı ve veritabanı kullanıcısı olan ayrı bir sunucu.

3. Rollerin belirlenmesiBağlantıyı kopyala

3.1. Müşteri Verisi bakımından Müşteri veri sorumlusu, ENA Innovation veri işleyendir. İşleme amaçlarını ve vasıtalarını Müşteri belirler.

3.2. ENA Innovation; sözleşme yönetimi, faturalama, Müşteri yetkilileriyle iletişim ve kendi merkezî hizmetlerinin güvenliği gibi kendi amaçlarıyla sınırlı işlemelerde veri sorumlusu sıfatını taşır. Bu işlemeler EnaTTO Gizlilik Politikası'na tabidir.

3.3. Bir kullanıcının Hizmet üzerinden sorguladığı dış veri kaynakları (ORCID, OpenAlex, Crossref ve Avrupa Patent Ofisi'nin Open Patent Services hizmeti), ENA Innovation'ın Müşteri Verisi'ni kendi adına işlemek üzere görevlendirmediği kamuya açık hizmetlerdir; bunlara yalnızca tanımlayıcılar (ORCID iD, DOI, yayın numarası) gönderilir ve Avrupa Patent Ofisi erişiminde Müşteri'nin kendi erişim bilgileri kullanılır. Bu nedenle bu hizmetler Alt İşleyen olarak değerlendirilmez ve Ek-3'te yer almaz. Müşteri'nin tek oturum açma için bağladığı kimlik sağlayıcı, Müşteri'nin kendi sağlayıcısıdır ve Alt İşleyen değildir.

4. İşlemenin konusu, niteliği ve süresiBağlantıyı kopyala

4.1. İşlemenin konusu, amacı, ilgili kişi grupları ve veri kategorileri Ek-1'de yer alır.

4.2. ENA Innovation, Müşteri Verisi'ni Ana Sözleşme süresince ve bu Sözleşmenin 14. bölümündeki silme veya iade süresi sona erinceye kadar işler.

5. Müşteri'nin talimatlarıBağlantıyı kopyala

5.1. ENA Innovation, Müşteri Verisi'ni yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Ana Sözleşme, bu Sözleşme, Müşteri'nin Hizmet içinde yaptığı ayarlar (kullanıcılar, roller, kayıt üyelikleri, gizlilik sınıfları, iş akışları, herkese açık sayfalar, tek oturum açma ile yapay zekâ yardımının, kıyaslamanın veya dış veri kaynaklarının açılması dâhil) ve yetkili Müşteri temsilcisinin yazılı talepleri talimat sayılır.

5.2. ENA Innovation, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse bunu Müşteri'ye gecikmeksizin bildirir ve talimat netleşene kadar ilgili işlemi askıya alabilir.

5.3. Mevzuat ENA Innovation'ın Müşteri Verisi'ni başka bir amaçla işlemesini zorunlu kılarsa ENA Innovation, kanunen yasaklanmadıkça bunu işlemeden önce Müşteri'ye bildirir.

5.4. ENA Innovation, Müşteri Verisi'ni kendi amaçları için kullanmaz; reklam, pazarlama veya profil oluşturma amacıyla kullanmaz; satmaz, veri simsarlarıyla paylaşmaz ve yapay zekâ modellerinin eğitiminde kullanmaz.

6. Müşteri'nin yükümlülükleriBağlantıyı kopyala

Müşteri, veri sorumlusu olarak özellikle şunlardan sorumludur:

• Herkese açık sayfaları aracılığıyla dış kişilerden toplanan veriler ile kullanıcı hesabı olmadan kaydedilen buluş sahiplerinin, ortakların ve firma irtibat kişilerinin verileri dâhil, her işleme faaliyeti için hukuki sebebi belirlemek.
• Herkese açık sayfalarındaki onay ve aydınlatma metinleri aracılığıyla da olmak üzere, ilgili kişileri KVKK m. 10 ve uygulanacak diğer mevzuat uyarınca aydınlatmak.
• Her kayda içeriğine uygun gizlilik sınıfını atamak ve erişimi bilmesi gereken ilkesine göre vermek; Hizmet sınıfları uygular ancak bunlara karar vermez.
• Gerekli olmadıkça ve hukuki bir sebebi bulunmadıkça Hizmet'e özel nitelikli kişisel veri (örneğin sağlık verisi) girmemek; Hizmet bu tür veriler için tasarlanmamıştır.
• Yapay zekâ yardımının ve kıyaslamanın açılıp açılmayacağına ve dış veri kaynaklarının kullanılıp kullanılmayacağına kendi politikaları doğrultusunda karar vermek.
• Uygulanıyorsa kayıt yükümlülüğü (örneğin Türkiye'de VERBİS, GDPR md. 30 kapsamında işleme faaliyetleri kaydı), saklama ve imha politikası ile ilgili kişi başvurularının yanıtlanması gibi veri sorumlusu yükümlülüklerini yerine getirmek.
• Ayrılan kullanıcıların erişimini kaldırmak ve dış uzmanlar için erişim bitiş tarihleri belirlemek.

7. GizlilikBağlantıyı kopyala

7.1. ENA Innovation, Müşteri Verisi'ne erişen çalışanlarının ve kendisi adına çalışan kişilerin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük, KVKK m. 12/4 uyarınca görevden ayrılmadan sonra da devam eder.

7.2. Müşteri Verisi'ne erişim, Hizmet'in sunulması, destek, bakım ve güvenlik için gerekli kişilerle ve gerekli ölçüyle sınırlıdır. ENA Innovation; buluş bildirimlerini, yayımlanmamış araştırma sonuçlarını ve Gizli veya Çok gizli sınıftaki kayıtları, kişisel veri içermeseler bile Müşteri'nin gizli bilgisi olarak kabul eder.

7.3. ENA Innovation, Müşteri Verisi'ni bu Sözleşmede izin verilenler dışında üçüncü kişilere açıklamaz. Yetkili bir makam Müşteri Verisi'ni talep ederse ENA Innovation, kanunen yasaklanmadıkça bunu Müşteri'ye bildirir ve talebi kanunen zorunlu olanla sınırlı tutar.

7.4. Gizli veya Çok gizli sınıftaki kayıtlar hiçbir zaman yapay zekâ sağlayıcısına veya kıyaslama hizmetine gönderilmez. Hizmet bu tür istekleri sunucu tarafında reddeder.

8. Veri güvenliğiBağlantıyı kopyala

8.1. ENA Innovation, KVKK m. 12 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri alır. Bu tedbirler Ek-2'de yer alır.

8.2. Tedbirler teknik gelişmeye göre güncellenebilir. Güncellemeler, Ek-2'de tanımlanan genel koruma seviyesini düşüremez.

8.3. Taraflar, KVKK m. 12/2 uyarınca veri güvenliği tedbirlerinin alınmasından birlikte sorumlu olduklarını kabul eder. Hizmet içindeki ayarlar, kullanıcı hesapları, roller, gizlilik sınıfları, Müşteri'nin kendi kimlik sağlayıcısı ve Müşteri'nin Hizmet'ten dışa aktardığı veya indirdiği dosyalar Müşteri'nin sorumluluğundadır.

9. Alt işleyenlerBağlantıyı kopyala

9.1. Müşteri, Ek-3'te listelenen Alt İşleyenlerin görevlendirilmesine genel yazılı izin verir.

9.2. ENA Innovation, yeni bir Alt İşleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteri'ye e-posta ile veya Hizmet içinden bildirimde bulunur. Bildirim; Alt İşleyenin adını, işleme faaliyetini ve işleme yerini içerir.

9.3. Müşteri, bildirimden itibaren 15 gün içinde haklı gerekçeyle yazılı olarak itiraz edebilir. Taraflar makul bir çözüm üzerinde iyi niyetle görüşür. Çözüm bulunamazsa Müşteri, etkilenen hizmet bölümüne ilişkin Ana Sözleşmeyi, değişikliğin yürürlüğe gireceği tarihten önce ve cezai şart ödemeksizin feshedebilir.

9.4. Güvenlik veya hizmet sürekliliği nedeniyle acil bir değişiklik gerekirse ENA Innovation değişikliği yapar ve Müşteri'yi gecikmeksizin bilgilendirir. Bu durumda da 9.3. madde uygulanır.

9.5. ENA Innovation, her Alt İşleyen ile bu Sözleşmedeki yükümlülüklerden daha az koruyucu olmayan yazılı veri koruma yükümlülükleri öngörür. Alt İşleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı ENA Innovation sorumludur.

10. Yurt dışına aktarımBağlantıyı kopyala

10.1. Müşteri Ortamının barındırıldığı bölge, Müşteri'nin tercihine göre sipariş formunda veya Ana Sözleşmede belirlenir. Ek-3'te "yurt dışı aktarım" olarak işaretlenen hizmetlerin kullanılması, Müşteri Verisi'nin bir kısmının bu bölge dışına aktarılmasını gerektirebilir.

10.2. ENA Innovation, kendi taraf olduğu her yurt dışı aktarımda KVKK'nın 7499 sayılı Kanunla değişik 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uyar. Buna göre aktarım; yeterlilik kararına, yeterlilik kararı yoksa uygun güvencelerden birine (öncelikle Kurul'un ilan ettiği standart sözleşmeye) dayandırılır.

10.3. ENA Innovation'ın veri aktaran taraf olarak standart sözleşme imzaladığı durumlarda, sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurul'a bildirimi ENA Innovation yapar. Müşteri'nin veri aktaran olduğu durumlarda bildirim Müşteri'ye aittir. ENA Innovation bu bildirim için gerekli bilgileri sağlar.

10.4. Bir Alt İşleyenin standart koşulları gerekli güvencenin sağlanmasına imkân vermezse ENA Innovation bunu Müşteri'ye bildirir. Taraflar alternatif bir sağlayıcı veya başka bir hukuki dayanak gibi seçenekleri birlikte değerlendirir.

11. İlgili kişi başvurularına destekBağlantıyı kopyala

11.1. ENA Innovation'a doğrudan bir ilgili kişi başvurusu ulaşırsa ENA Innovation başvuruyu yanıtlamaz; başvuruyu 5 iş günü içinde Müşteri'ye iletir ve başvuru sahibine Müşteri'ye yönlendirildiğini bildirir.

11.2. Müşteri, ilgili kişi başvurularını öncelikle Hizmet'in kendi araçlarıyla (dizin ve kayıt girişlerini görüntüleme ve düzeltme, Excel veya CSV olarak dışa aktarma, kayıtları arşivleme, erişimi kaldırma) karşılar. Bu araçlar yetmezse ENA Innovation, Müşteri'nin yazılı talebi üzerine makul teknik destek sağlar. Müşteri'nin yasal yanıt sürelerine uyabilmesi için ENA Innovation, destek talebini kural olarak 10 iş günü içinde karşılar.

11.3. Belirli bir ilgili kişiye ait verilerin kalıcı olarak silinmesi veya anonim hâle getirilmesi gerekirse ENA Innovation, Müşteri'nin talebi üzerine bu işlemi gerçekleştirir veya Müşteri'ye nasıl yapılacağını gösterir. Denetim kayıtlarının (yalnızca ekleme yapılabilen ve adların ve e-posta adreslerinin maskelendiği kayıtlar) bütünlüğünü korumak için gereken istisnalar Müşteri ile birlikte belirlenir.

12. Veri ihlali bildirimiBağlantıyı kopyala

12.1. ENA Innovation, Müşteri Verisi'ni etkileyen bir Veri İhlali'nden haberdar olduğunda Müşteri'yi gecikmeksizin ve her hâlde ihlali öğrendiği andan itibaren en geç 48 saat içinde bilgilendirir. Bu süre, Müşteri'nin denetim makamına (KVKK m. 12/5 ve Kurul'un 72 saatlik bildirim süresine ilişkin kararı ile, uygulanıyorsa GDPR md. 33 uyarınca) zamanında bildirim yapabilmesini amaçlar.

12.2. Bildirim, o anda bilinen ölçüde şunları içerir:

• ihlalin niteliği, başlangıç ve tespit tarihi
• etkilenen veri ve kayıt kategorileri (gizlilik sınıfları dâhil) ve yaklaşık ilgili kişi sayısı
• olası sonuçlar
• alınan ve önerilen tedbirler
• ENA Innovation'daki irtibat kişisi

Bilgiler henüz mevcut değilse ENA Innovation ilk bildirimi geciktirmez; eksik bilgileri öğrendikçe tamamlar.

12.3. ENA Innovation, ihlalin etkilerini sınırlamak için gerekli tedbirleri alır ve Müşteri'nin denetim makamına ve ilgili kişilere bildirim yapmasına makul ölçüde destek olur. Bu bildirimleri yapma yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. ENA Innovation, Müşteri'nin önceden yazılı onayı veya kanuni zorunluluk olmadıkça ihlali Müşteri adına üçüncü kişilere duyurmaz.

12.4. Veri İhlali bildirimleri, Ana Sözleşmede Müşteri'nin bildirdiği yetkili kişinin e-posta adresine ve telefonuna yapılır. Müşteri bu bilgileri güncel tutar.

13. Denetim ve bilgi sağlamaBağlantıyı kopyala

13.1. ENA Innovation, bu Sözleşmeye uyumu göstermek için gerekli bilgi ve belgeleri Müşteri'nin talebi üzerine sağlar. Bu kapsamda güvenlik soru formları yanıtlanır, bu Sözleşmenin ekleri güncel tutulur ve Müşteri'nin veri koruma etki değerlendirmesine makul ölçüde bilgi sağlanır.

13.2. Müşteri, KVKK m. 12/3 uyarınca denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Denetim:

• yılda en fazla bir kez yapılır; Veri İhlali, denetim makamı talebi veya ciddi bir uyumsuzluk şüphesi varsa ayrıca yapılabilir
• en az 30 gün önceden yazılı bildirimle ve kapsamı önceden kararlaştırılarak yapılır
• mesai saatleri içinde ve ENA Innovation'ın faaliyetlerini makul olmayan ölçüde aksatmadan yürütülür
• diğer müşterilerin verilerine veya ENA Innovation'ın ticari sırlarına erişim sağlamaz
• gizlilik taahhüdü altında yapılır; giderleri, aksi kararlaştırılmadıkça Müşteri'ye aittir

13.3. Bu Sözleşme, ENA Innovation'ın veya Hizmet'in herhangi bir belgeye veya sertifikaya sahip olduğu ya da herhangi bir mevzuata uyumlu olduğu anlamına gelmez. Hizmet, Müşteri'nin yükümlülüklerini desteklemek üzere tasarlanmıştır.

14. Süre, sona erme, iade ve silmeBağlantıyı kopyala

14.1. Bu Sözleşme, Ana Sözleşme ile birlikte yürürlüğe girer ve ENA Innovation'ın Müşteri Verisi'ni işlemesi sona erinceye kadar yürürlükte kalır.

14.2. Ana Sözleşmenin sona ermesinden önce Müşteri, Hizmet'in dışa aktarma araçlarıyla (Excel ve CSV) verilerini alabilir ve belgelerini indirebilir. Müşteri, sona ermeden itibaren 30 gün içinde yazılı olarak talep ederse ENA Innovation, Müşteri Verisi'nin bir kopyasını yaygın bir makine tarafından okunabilir biçimde, saklanan belgelerle birlikte Müşteri'ye teslim eder.

14.3. ENA Innovation, Ana Sözleşmenin sona ermesinden itibaren 30 gün içinde Müşteri Ortamını kapatır ve Müşteri Verisi'ni; veritabanı, dosya deposu ve yedekler (gecelik veritabanı dökümleri, güncellemeler öncesinde alınan dökümler ve dosya deposu arşivleri) dâhil olmak üzere siler. Yönetilen veritabanı hizmetinin otomatik yedekleri, yapılandırılmış saklama süresinin dolmasıyla kendiliğinden silinir (yapılandırılan süre en az 7 gündür ve Müşteri'nin talebi üzerine bildirilir). Müşteri'nin varsa kıyaslama gönderimleri kıyaslama hizmetinden silinir.

14.4. Mevzuat daha uzun bir saklama süresi öngörüyorsa ENA Innovation ilgili veriyi yalnızca bu amaçla ve süreyle saklar, gizliliğini korur ve süre sonunda siler.

14.5. ENA Innovation, Müşteri'nin talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

15. SorumlulukBağlantıyı kopyala

15.1. Her taraf, bu Sözleşmeden ve uygulanacak veri koruma mevzuatından doğan kendi yükümlülüklerini ihlal etmesinden sorumludur.

15.2. Ana Sözleşmedeki sorumluluk sınırlamaları, kanunen izin verilen ölçüde bu Sözleşme için de geçerlidir. Kast ve ağır ihmal hâllerinde ve kanunen sınırlanamayan durumlarda sorumluluk sınırlanmaz.

16. Uygulanacak hukuk ve diğer hükümlerBağlantıyı kopyala

16.1. Ana Sözleşmede aksi kararlaştırılmadıkça bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Ana Sözleşmedeki yetki hükmü uygulanır.

16.2. Bu Sözleşmenin bir hükmünün geçersiz sayılması diğer hükümlerini etkilemez.

16.3. ENA Innovation, mevzuat değişikliklerine veya Hizmet'teki değişikliklere uyum için bu Sözleşmeyi güncelleyebilir. Müşteri aleyhine esaslı değişiklikler, yürürlükten en az 30 gün önce Müşteri'ye bildirilir.

16.4. Bu Sözleşme Türkçe, İngilizce ve Almanca olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.

17. GDPR, UK GDPR ve FADP kapsamındaki MüşterilerBağlantıyı kopyala

17.1. Müşteri'ye GDPR, UK GDPR veya FADP uygulanıyorsa bu Sözleşme, GDPR md. 28(3)'ün (ve UK GDPR ile FADP'deki karşılık hükümlerin) gerektirdiği hususları kapsayacak şekilde uygulanır. Bu kapsamda KVKK'ya yapılan atıflar, uygulanacak mevzuatın ilgili hükümlerine yapılmış sayılır.

17.2. ENA Innovation, Müşteri'nin GDPR md. 32–36 (veri güvenliği, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön danışma) kapsamındaki yükümlülüklerine, işlemenin niteliği ve ENA Innovation'ın elindeki bilgiler ölçüsünde destek olur.

17.3. Müşteri Verisi'nin AEA, Birleşik Krallık veya İsviçre'den Türkiye'ye ya da yeterlilik kararı bulunmayan başka bir ülkeye aktarılması gerekiyorsa taraflar, Avrupa Komisyonu'nun standart sözleşme hükümlerini (ve gerektiğinde Birleşik Krallık ve İsviçre için uyarlamalarını) ayrıca imzalar. Modül, tarafların rollerine göre belirlenir; Müşteri veri sorumlusu olduğunda kural olarak Modül 2 (veri sorumlusundan veri işleyene) kullanılır.

18. İletişimBağlantıyı kopyala

Ek-1: İşlemenin ayrıntılarıBağlantıyı kopyala

Konu ve amaç. Müşteri'nin teknoloji transferi çalışmalarının yönetilmesi: kurumlar, birimler, kişiler ve ekosistem paydaşlarından oluşan dizin; buluş bildirimleri, değerlendirmeler, kurumsal fikri mülkiyet kararları, fikri mülkiyet portföyü, patent başvuruları, ofis yazışmaları, son tarihler ve masraflar; projeler, fon programları ve çağrılar; yapılandırılabilir iş akışları, onaylar, görevler ve komiteler; belgeler ve sürümleri; sanayi iş birliği (firma profilleri, sanayi talepleri, görüşmeler, sözleşmeler, ödemeler); girişim programları (çağrılar, başvurular, değerlendirme, girişimler, mentorluk, yatırım, çıkışlar); eğitim ve etkinlikler (etkinlik kayıtları, katılım, sertifikalar, geri bildirim anketleri); ticarileştirme (teknolojiler, katalog, lisans alan adayları, müzakereler, sözleşmeler, gelirler ve gelir paylaşımı); raporlar, göstergeler, zamanlanmış e-posta özetleri ve dışa aktarmalar; Müşteri'nin herkese açık sayfalarından gelen gönderimlerin toplanması ve doğrulanması; uygulama içi bildirimlerin ve e-postaların gönderilmesi; Müşteri açarsa yapay zekâ yardımı, yıllık kıyaslama ve dış veri kaynaklarında sorgulama; destek, bakım ve güvenlik.

İşlemenin niteliği. Toplama, kaydetme, içe aktarma (CSV veya Excel), depolama, düzenleme, kayıtların birbirine bağlanması, görüntüleme, iş akışı işlemleri, toplu göstergelerin hesaplanması, dışa aktarma, aktarma (e-posta gönderim sağlayıcısına; yapay zekâ yardımı açılmışsa Genel ve Kurum içi kayıtların seçili alanlarının yapay zekâ sağlayıcısına), arşivleme ve silme.

İlgili kişi grupları ve veri kategorileri:

Özel nitelikli kişisel veriler. Hizmet, özel nitelikli kişisel veriler için tasarlanmamıştır. Müşteri, gerekli ve hukuka uygun olmadıkça bu tür verileri Hizmet'e girmez (6. bölüm).

Saklama. Müşteri Verisi, Müşteri daha önce arşivlemedikçe veya silmedikçe Ana Sözleşmenin sona ermesine kadar saklanır; sonrasında 14. bölüm uygulanır. E-posta ile doğrulanmayan herkese açık form gönderimleri 48 saat sonra silinir. Dışa aktarma dosyaları 7 gün sonra silinir. İçe aktarma önizlemeleri 30 dakika saklanır. Sertifika PDF'leri saklanmaz; talep üzerine oluşturulur. Geri bildirim anketi bağlantıları 30 gün sonra geçerliliğini yitirir. Kıyaslama gönderimleri, Müşteri katılımını geri çekene veya Ana Sözleşme sona erene kadar kıyaslama hizmetinde saklanır; katılımın geri çekilmesi tüm gönderimleri siler, Ana Sözleşmenin sona ermesinde ise 14.3 maddesi uygulanır. Şifreli yedekler Ek-2'de açıklandığı şekilde saklanır.

Ek-2: Teknik ve idari tedbirlerBağlantıyı kopyala

Ortam ayrımı

• Her Müşteri'nin kendi Müşteri Ortamı vardır: kendi uygulama yığını ve dosya deposu olan ayrı bir sunucu ile yönetilen bir veritabanı hizmetinde kendi veritabanı ve veritabanı kullanıcısı. Diğer müşterilerin veritabanı kullanıcıları Müşteri'nin veritabanına bağlanamaz.
• Organizasyon kodu yalnızca yönlendirme amaçlıdır; tek başına erişim yetkisi vermez.

İletim ve ağ güvenliği

• Tüm trafik, hem tarayıcı ile ağ koruma hizmeti arasında hem de bu hizmet ile sunucu arasında TLS ile şifrelenir (tam ve katı sertifika doğrulaması).
• Yalnızca 80 ve 443 numaralı portlar ve yalnızca ağ koruma hizmetinin adres aralıklarına açıktır; yönetim erişimi yönetim IP adresleriyle sınırlıdır.
• ENA Cloud hizmetlerine yapılan bağlantılar her Müşteri Ortamı için ayrı olarak imzalanır (HMAC).

Kimlik doğrulama ve yetkilendirme

• Kullanıcılar, davet usulüyle çalışan kimlik hizmeti (Logto) veya Müşteri'nin kendi tek oturum açma sistemi üzerinden giriş yapar; herkese açık kayıt kapalıdır. Dış uzman davetleri sürelidir ve erişim süre dolduğunda kendiliğinden sona erer.
• Her kayıt isteği, rol, kayıt üyeliği ve gizlilik sınıfına dayanan tek bir sunucu tarafı erişim kararından geçer; varsayılan olarak erişim reddedilir ve kişinin göremeyeceği bir kayıt "bulunamadı" olarak yanıtlanır. Listelerde de aynı kural uygulanır.
• Gizli ve Çok gizli kayıtlar yalnızca kayıt üyelerine ve açıkça yetkilendirilmiş TTO personeline açıktır; sahip ve yönetici rolleri kendiliğinden okuma yetkisi vermez. Yükseltilmiş erişim gerekçe gerektirir, sürelidir, denetim kaydına yazılır ve Çok gizli kayıtlarda kayıttan sorumlu kişilere bildirilir.

İçeriğin gizliliği

• Yönetim raporları gizli kayıtların başlığını veya içeriğini değil, yalnızca sayısını gösterir.
• Dışa aktarmalarda Gizli ve Çok gizli satırlar yalnızca kod ve durum içerir; başlıklar, özetler, kişi alanları, başvuru numaraları, tarihler ve tutarlar boş bırakılır. İç notlar ve planlanan yayınlar hiçbir zaman dışa aktarılmaz, bildirim metinlerinde veya rapor ayrıntılarında yer almaz ve dış kullanıcılara gösterilmez.
• Bildirim metinleri yalnızca kayıt kodu ve bağlantı içerir. Dışa aktarmalarda hesap tablosu formül enjeksiyonu etkisiz hâle getirilir.
• Belgeler imzalı, kısa ömürlü bağlantılarla indirilir; Gizli veya Çok gizli bir belgenin her indirilmesi denetim kaydına yazılır.

Dış hizmetler

• Yapay zekâ yardımı varsayılan olarak kapalıdır ve her Müşteri için ayrı açılır. Gizli ve Çok gizli kayıtlara ilişkin istekler sunucu tarafında reddedilir. Yalnızca Genel ve Kurum içi kayıtların seçili alanları gönderilir; sanayi taleplerinde firma adı, irtibat kişisi, e-posta, telefon ve iç notlar hiçbir zaman gönderilmez ve eşleştirme adayları tarafsız etiketlerle gönderilir. Her istek, metnin kendisi olmadan hedefi ve boyutuyla denetim kaydına yazılır. İstekler kişi başına hız sınırına tabidir. Yapay zekâ ağ geçidi içeriği değil, yalnızca üst verileri (boyut, süre ve durum gibi) kaydeder.
• Kıyaslama katılım esaslıdır. Yalnızca toplu yıllık göstergeler, uygun yetkiye sahip bir kullanıcı bunları önizleyip onayladıktan sonra gönderilir; kayıt, ad, kod veya tutar gönderilmez. Emsaller yalnızca en az 5 organizasyondan oluşan grupların çeyreklik değerlerini görür. Katılımın geri çekilmesi tüm gönderimleri siler.
• Dış veri kaynaklarına yalnızca tanımlayıcılar (ORCID iD, DOI, yayın numarası) gönderilir.

Herkese açık sayfalar

• Gönderimler yalnızca e-posta ile doğrulandıktan sonra kabul edilir; doğrulanmayan gönderimler 48 saat sonra silinir. Doğrulama anahtarlarının yalnızca özeti (hash) saklanır ve anahtarlar sunucu kayıtlarına ulaşmaması için bağlantının parça (fragment) kısmında taşınır.
• Gönderimler IP adresi ve e-posta adresi başına hız sınırına tabidir ve bir bal küpü (honeypot) alanıyla korunur.

Kayıt ve izlenebilirlik

• Bir kayıttaki her değişiklik denetim kaydına yazılır. Denetim kaydı, girişlerin yalnızca eklenebilmesi, değiştirilememesi veya silinememesi için bir veritabanı tetikleyicisiyle korunur. Denetim girişlerindeki adlar ve e-posta adresleri maskelenir.
• Hata izleme hizmeti etkinleştirildiğinde kullanıcı bilgilerini, çerezleri veya istek ve yanıt gövdelerini göndermeyecek şekilde yapılandırılır.

Yedekleme ve süreklilik

• Her gece veritabanının dökümü ve dosya deposunun arşivi alınır, şifrelenir (AES-256) ve 14 gün saklanır; en yeni 10 döküm ve en yeni arşiv, daha eski olsalar da her zaman korunur.
• Her güncellemeden önce şifreli bir veritabanı dökümü alınır; bu dökümler de aynı saklama kuralına tabidir.
• Yedeklerden geri yükleme, boş bir test veritabanına yapılan tatbikatla ayda bir test edilir.
• Veritabanı ayrıca yönetilen veritabanı hizmetinin otomatik yedekleriyle korunur (zamana göre geri yükleme dâhil; saklama en az 7 gün).

İdari tedbirler

• Müşteri Verisi'ne erişim, işi gereği ihtiyaç duyan çalışanlarla sınırlıdır ve çalışanlar gizlilik yükümlülüğü altındadır.
• Konteyner imajları ve derleme bağımlılıkları sabitlenir; bağımlılıklar sürüm sürecinde bilinen güvenlik açıklarına karşı kontrol edilir.
• Güvenlik açıkları yayımlanmış güvenlik açığı bildirim politikası üzerinden alınır ve değerlendirilir.
• Alt İşleyenler 9. bölüm uyarınca yazılı yükümlülüklere tabidir.

Ek-3: Alt işleyenlerBağlantıyı kopyala

Notlar

• ENA Cloud (organizasyon bulma, bildirim ağ geçidi, yapay zekâ ağ geçidi ve kıyaslama hizmeti), ENA Innovation'ın kendi işlettiği hizmettir ve Alt İşleyen değildir. Huawei Cloud üzerinde barındırılır.
• ORCID, OpenAlex, Crossref ve Avrupa Patent Ofisi Alt İşleyen değildir (3.3. madde).
• Güncel liste ayrıca Alt İşleyenler sayfasında yayımlanır. Alt İşleyenlerin tam unvanları ve işleme yerleri, talep üzerine yazılı olarak bildirilir.