GİZLİLİK BİLDİRİMİ

Bundan böyle “Gizlilik Bildirimi” olarak anılacak olan bu belge, Spendbase adıyla faaliyet gösteren Partnerway OÜ'nün (“Biz", "bize", "biz", "Spendbase”) gizlilik uygulamalarını özetlemekte ve AB\AEA ve BK merkezli müşterilere (“Hizmetler”) dijital bankacılık, ödeme ve finansal teknoloji hizmetlerimizin (“Müşteriler”) sunulmasıyla bağlantılı olarak kişisel bilgilerin işlenmesini düzenlemektedir.

") sunulmasıyla bağlantılı olarak kişisel verilerin işlenmesini düzenlemektedir. Hizmetleri kullanmaya devam etmeniz, bu Gizlilik Bildirimi'nde açıklanan gizlilik uygulamalarını bildiğiniz ve kabul ettiğiniz anlamına gelir. Bu Gizlilik Bildirimi veya Kişisel Verilerinizi nasıl işlediğimizle ilgili herhangi bir endişeniz olması durumunda, bizimle iletişime geçmekten çekinmeyin:

Veri Koruma Görevlisi Alıcı: Gizlilik ve Uyum E-postası: privacy@test-domain-partnerway.prod.spendbase.co

Spendbase, kurumsal kart programları ve ilgili platform hizmetleri dahil olmak üzere işletmeler arası finansal teknoloji hizmetleri sunmaktadır. Tüm Spendbase hesapları yalnızca ticari amaçlarla açılır ve sürdürülür.

Bu nedenle, bu Gizlilik Bildirimi aşağıdaki Müşteriler için geçerlidir:

• Ticari kuruluşlar olarak kabul edilen, Spendbase ile sözleşmeli bir ilişkiye giren İşletme Müşterileri (“Ticari Müşteri”) ve
• Yalnızca bir ticari veya istihdam sıfatıyla hareket eden, çalışanlar, yöneticiler ve kart sahipleri dahil olmak üzere bir İşletme Müşterisi adına Spendbase hizmetlerine erişen veya bunları kullanan bireyler (“Yetkili Kullanıcı”)

GDPR ve BK GDPR amaçları doğrultusunda Spendbase, bu Gizlilik Bildirimi'nde açıklanan işleme faaliyetleri bakımından veri sorumlusu olarak hareket eder. Detaylarımız aşağıda belirtilmiştir.

Yürürlükteki yasalara uygun olarak, Spendbase şu sıfatla hareket edebilir::

• Bağımsız Veri Sorumlusu kendi yasal, uyumluluk, dolandırıcılığı önleme, güvenlik ve AML/KYC yükümlülükleri için işlenen Kişisel Veriler bakımından.
• Veri İşleyen ilgili veri işleme sözleşmeleri kapsamında, hesap yönetimi, masraf yönetimi ve ilgili platform amaçları doğrultusunda Ticari Müşteriler adına işlenen Yetkili Kullanıcı Kişisel Verileri ile ilgili olarak.

Bu çift kapasiteli düzenlemenin Yetkili Kullanıcı Kişisel Verilerinin işlenmesini nasıl etkilediği hakkında bilgi için lütfen şuraya bakın: Bölüm 12 (Yetkili Kullanıcılar) aşağıda.

Spendbase'in Ticari Müşteriler adına Kişisel Verileri işlemesini düzenleyen bir Veri İşleme Sözleşmesi (“DPA“) talep üzerine temin edilebilir. DPA, Yetkili Kullanıcı verilerinin işlenmesiyle bağlantılı olarak her bir tarafın yükümlülüklerini belirler ve herhangi bir tutarsızlık durumunda bu Gizlilik Bildirimi'nden önce gelir.

Düzenlenmiş Hizmet Sağlayıcıları. BK Müşterileri için kartlar ve hesaplar, İngiltere ve Galler'de kurulmuş (şirket numarası 08491211), kayıtlı ofisi Fora, 3 Lloyds Avenue, Londra, EC3N 3DS adresinde bulunan ve Elektronik Para Yönetmeliği 2011 (FRN 900709) uyarınca Mali Davranış Otoritesi (FCA) tarafından yetkilendirilmiş Moorwand Ltd tarafından ihraç edilir. AEA Müşterileri için kartlar ve hesaplar, Moorwand Ltd ortaklığıyla Heuro SAS tarafından ihraç edilir. Heuro SAS, 17478 lisans numarası ile Autorité de Contrôle Prudentiel et de Résolution (ACPR) tarafından yetkilendirilmiştir. Bu kuruluşlar, Hizmetlerin sunulmasına katılan Mastercard International ve diğer ödeme ağı ortaklarıyla birlikte, AML/CTF uyumluluğu, yaptırım taraması, Şüpheli Etkinlik Raporu (SAR) bildirimi, dolandırıcılık riski yönetimi, tokenizasyon hizmetleri, hesap numarası sağlama ve kendi yetkilendirmeleri ile geçerli finansal hizmetler düzenlemelerinden kaynaklanan yükümlülükler dahil olmak üzere kendi düzenlenmiş amaçları için Kişisel Verileri bağımsız sorumlular olarak işlerler. Bu taraflara veri akışları, Spendbase'den gelen işleme talimatları değil, bağımsız sorumlular arasındaki paylaşımları teşkil eder. Bu tür her bir kuruluş, aldığı Kişisel Veriler için kendi düzenleyicilerine (FCA, ACPR ve ilgili ulusal yetkili makamlar dahil) karşı bağımsız olarak sorumludur. Ticari Müşteriler ve Yetkili Kullanıcılar, bu Bildirime ek olarak bu kuruluşların kendi gizlilik bildirimlerine de tabi olabilirler.

Spendbase, uygulanabildiği ölçüde Kişisel Verileri şu kurallara uygun olarak işler:

• Yönetmelik (AB) 2016/679 (Genel Veri Koruma Yönetmeliği — GDPR);
• BK GDPR ve Veri Koruma Yasası 2018 (BK Müşterileri için);
• Direktif (AB) 2015/2366 (PSD2) ve geçerli ulusal uygulama tedbirleri;
• Yönetmelik (AB) 2022/2554 (DORA) ve ilgili teknik düzenleme standartları;
• Direktif (AB) 2018/843 (5AMLD) ve ulusal uygulama tedbirleri dahil olmak üzere geçerli AML/KYC mevzuatı;
• Düzenlenmiş Hizmet Sağlayıcılarımızla olan sözleşme yükümlülükleri, kart şeması kuralları ve geçerli finansal hizmetler düzenlemeleri.

Spendbase, Kişisel Verileri yalnızca Hizmetleri sunmak, yürürlükteki yasal ve düzenleyici yükümlülüklere uymak, dolandırıcılık ve kötüye kullanımı önlemek ve Spendbase ile Hizmetlerini işletmek ve güvence altına almak için gerekli olduğu ölçüde toplar ve işler. Müşteri türüne bağlı olarak Kişisel Verileri aşağıdaki şekilde toplarız:

Tüm Yetkili Kullanıcı Kişisel Verileri, yalnızca bireyin ilgili Ticari Müşteri ile olan profesyonel veya iş ilişkisiyle bağlantılı olarak işlenir. Spendbase, kişisel, ailevi veya hanehalkı amaçlarıyla bilerek Kişisel Veri toplamaz, Hizmetlerini çocuklara yönlendirmez ve 18 yaşın altındaki bireylerden bilerek Kişisel Veri toplamaz.

Yasaların izin verdiği durumlarda Spendbase; analiz, raporlama, kıyaslama ve hizmet geliştirme amacıyla Kişisel Verilerden elde edilen anonimleştirilmiş veya birleştirilmiş veriler oluşturabilir ve bunları kullanabilir. Bu tür veriler herhangi bir bireyi tanımlamaz ve yürürlükteki yasalar kapsamında Kişisel Veri olarak kabul edilmez.

Spendbase, Kişisel Verileri aşağıdaki yasal ve şeffaf kaynaklardan toplar:

GDPR ve BK GDPR uyarınca Spendbase, her bir işleme faaliyeti için yasal bir sebep belirlemekle yükümlüdür. Spendbase, Kişisel Verileri GDPR Madde 6 (ve özel nitelikli veriler için geçerli olduğu durumlarda GDPR Madde 9) uyarınca aşağıdaki hukuki sebeplere dayanarak ve Hizmetlerimizin niteliğiyle tutarlı amaçlarla işler. Kişisel Veriler, toplandığı orijinal amaçla bağdaşmayan amaçlarla kullanılmaz.

 Meşru menfaat değerlendirmesi. Spendbase'in Madde 6(1)(f) (meşru menfaatler) hükmüne dayandığı durumlarda, veri işlemenin takip edilen meşru menfaat için gerekli olduğunu ve bu menfaatin ilgili veri sahiplerinin menfaatleri veya temel hak ve özgürlükleri tarafından gölgelenmediğini değerlendirmiştir. Veri sahipleri bu değerlendirmeler hakkında daha fazla bilgi talep edebilir veya bu tür bir işlemeye itiraz edebilir — aşağıdaki Bölüm 14'e (Veri Sahibi Hakları) bakın.

Spendbase, Kişisel Verileri satmaz ve Hizmetleri yürütmek, yasal ve düzenleyici yükümlülüklere uymak, platformun güvenliğini ve bütünlüğünü korumak için gerekli olan durumlar veya yasaların izin verdiği durumlar haricinde Kişisel Verileri ifşa etmez. Tüm hizmet sağlayıcıların, sözleşme gereği bu Bildirim ve geçerli yasalarla tutarlı gizlilik ve güvenlik uygulamalarını sürdürmeleri gerekmektedir.

Kişisel Veriler, yürürlükteki yasal ve düzenleyici gereklilikler, sözleşmesel yükümlülükler ve şirket içi veri yönetimi politikalarımız uyarınca, yalnızca toplandıkları amaçları yerine getirmek için gerekli olan süre boyunca saklanır.

Saklanması artık gerekli olmadığında, Kişisel Veriler yürürlükteki politikalar ve teknik kontroller uyarınca güvenli bir şekilde silinir, anonimleştirilir veya kimliksizleştirilir.

Spendbase, GDPR Madde 32 ve ICT risk yönetimine ilişkin DORA gereklilikleri de dahil olmak üzere yürürlükteki yasalarla uyumlu olarak, Kişisel Verileri yetkisiz erişim, ifşa, değiştirme veya imhaya karşı korumak üzere tasarlanmış idari, teknik ve fiziksel koruma önlemleri uygular ve sürdürür.

• İdari önlemler: Veri erişimi, gizlilik, çalışan eğitimi, olaya müdahale, tedarikçi yönetimi ve uyum denetimini yöneten politikalar ve prosedürler. Kişisel Verilere erişim, yalnızca meşru ticari amaçlar için buna ihtiyaç duyan ve gizlilik yükümlülüklerine tabi olan personel ve hizmet sağlayıcılarla sınırlıdır.
• Teknik önlemler: Erişim kontrolleri, çok faktörlü kimlik doğrulama, aktarım sırasında ve beklemede olan verilerin şifrelenmesi, günlük kaydı ve izleme, ağ güvenliği kontrolleri ve zafiyet yönetimi.
• Olaya müdahale: Spendbase, güvenlik olaylarını tespit etmek, bunlara müdahale etmek ve bunları gidermek için prosedürler sürdürür. GDPR Madde 33 uyarınca gerekli olan durumlarda Spendbase, bildirilmesi gereken bir kişisel veri ihlalinden haberdar olduktan sonraki 72 saat içinde yetkili denetim makamına bildirimde bulunacaktır. Madde 34 uyarınca gerekli olan durumlarda, etkilenen veri sahiplerine gereksiz gecikme olmaksızın bildirim yapılacaktır. İhlalin kart programı operasyonlarını etkilediği durumlarda Spendbase, sözleşmesel yükümlülükleri ve geçerli kart şeması olay raporlama gereklilikleri uyarınca Moorwand Ltd ve Heuro SAS'a da bildirimde bulunacaktır.

Spendbase, Kişisel Verileri korumak için makul ve uygun önlemler alsa da, hiçbir sistemin veya iletim yönteminin tamamen güvenli olduğu garanti edilemez. Kurumsal Müşteriler ve Yetkili Kullanıcılar, erişim bilgilerinin gizliliğini korumaktan ve Hizmetleri güvenli bir şekilde kullanmaktan sorumludur.

Spendbase küresel bir teknoloji şirketidir. Hizmetlerle bağlantılı olarak toplanan Kişisel Veriler, Amerika Birleşik Devletleri de dahil olmak üzere AB/AEA veya Birleşik Krallık dışındaki ülkelerde işlenebilir. Başlıca altyapı sağlayıcıları şunlardır:

• Amazon Web Services (AWS) — esas olarak AB/AEA bölgeleri (İrlanda ve Frankfurt dahil), nadiren ABD;
• Google Cloud Platform (GCP) — AB/AEA bölgeleri ve ABD;
• DPA'da (Veri İşleme Anlaşması) açıklanan diğer alt işlemciler.

Kişisel Verilerin üçüncü bir ülkeye aktarıldığı durumlarda Spendbase, duruma göre aşağıdaki aktarım mekanizmalarına dayanır:

• Avrupa Komisyonu uygunluk kararları;
• Standart Sözleşme Maddeleri (SCC'ler) ve\veya Birleşik Krallık Uluslararası Veri Aktarım Anlaşmaları (IDTA'lar)
• Geçerli olduğu üzere, GDPR Madde 46 veya Birleşik Krallık GDPR Madde 46 uyarınca diğer uygun güvenceler.

Kurumsal Müşteriler, aktarım hedefleri, geçerli güvenceler ve ilgili aktarım mekanizmalarının kopyaları hakkında daha fazla bilgiyi şu adresle iletişime geçerek talep edebilir: privacy@test-domain-partnerway.prod.spendbase.co

Moorwand Ltd ve Heuro SAS tarafından bağımsız veri sorumlusu sıfatıyla işlenen Kişisel Veriler, Mastercard International’ın işlem altyapısına yapılan aktarımlar da dahil olmak üzere, kendi düzenleyici çerçeveleri kapsamındaki ayrı uluslararası aktarım düzenlemelerine tabi olabilir. Müşteriler, daha fazla bilgi için bu kuruluşların kendi gizlilik bildirimlerine başvurmalıdır.

Spendbase, Yetkili Kullanıcılara ilişkin Kişisel Verileri yalnızca ilgili Ticari Müşteriye sunulan Hizmetlerle bağlantılı olarak ve Ticari Müşterinin talimatları, geçerli sözleşme koşulları ve geçerli yasalar uyarınca işler.

Ticari Müşterinin sorumlulukları. Ticari Müşteriler şunlardan sorumludur: (i) Hizmetlere erişmeye yetkili kişilerin belirlenmesi ve bunların erişim hakları ile kimlik bilgilerinin yönetilmesi; (ii) Spendbase'e sağlanan Yetkili Kullanıcı bilgilerinin doğru, güncel ve yasal yollarla elde edilmiş olmasının sağlanması; (iii) Geçerli istihdam, gizlilik ve veri koruma yasalarının gerektirdiği durumlarda iç politikalar ve bildirimler de dahil olmak üzere, Hizmetlerle bağlantılı olarak Kişisel Verilerinin nasıl toplandığı, kullanıldığı ve paylaşıldığı hakkında Yetkili Kullanıcıların bilgilendirilmesi; ve (iv) Yetkili Kullanıcı verilerini kullanımlarının geçerli yasalara uygun olmasının sağlanması.

Spendbase'in rolü. Kurumsal Müşteriler adına platform yönetimi amacıyla işlenen Yetkili Kullanıcı verileriyle ilgili olarak, Spendbase bir Veri İşleyen olarak hareket eder ve bu tür bir işlemenin amacını veya araçlarını kontrol etmez veya belirlemez. Spendbase’in kendi yasal, uyum, dolandırıcılığı önleme ve güvenlik yükümlülükleri için işlenen verilerle ilgili olarak ise Spendbase, Bağımsız Veri Sorumlusu olarak hareket eder.

Yetkili Kullanıcı talepleri. Yetkili Kullanıcılar, Kişisel Verilerine erişim, düzeltme veya bunların silinmesiyle ilgili taleplerini öncelikle Hizmetlere erişimlerini yetkilendiren Ticari Müşteriye yönlendirmelidir. Yasaların veya sözleşmenin gerektirdiği durumlarda Spendbase, bu tür taleplere yanıt vermelerinde Ticari Müşterilere yardımcı olacaktır. Bir Yetkili Kullanıcının doğrudan Spendbase'e bir gizlilik talebi göndermesi durumunda Spendbase, talebi gereksiz gecikme olmaksızın ilgili Ticari Müşteriye iletmeye ve yasaların izin verdiği bilgileri sağlamaya çalışacaktır.

Spendbase, Hizmetleri işletmek, güvence altına almak ve geliştirmek amacıyla web siteleri ve platformuyla bağlantılı olarak çerezler ve benzer teknolojiler kullanır. Bu teknolojiler, platform işlevselliğinin sağlanmasına, dolandırıcılık ve yetkisiz erişime karşı korunmaya, analitik ve performans izleme süreçlerinin desteklenmesine ve hizmet güvenilirliğinin sürdürülmesine yardımcı olur.

Çerezler ve benzeri teknolojiler cihaz tanımlayıcıları, IP adresi, tarayıcı türü, işletim sistemi, dil tercihleri, erişim zaman damgaları ve etkileşim verileri gibi bilgileri toplayabilir. Bu bilgiler teknik, güvenlik ve operasyonel amaçlarla kullanılır.

Spendbase aşağıdaki teknoloji kategorilerini kullanır:

• Kesinlikle gerekli: Platformun çalışması, güvenliği ve kimlik doğrulaması için gereklidir. İşlevselliğe zarar vermeden devre dışı bırakılamaz.
• İşlevsel ve performans: Kullanıcı tercihlerinin hatırlanmasına, platform performansının analiz edilmesine ve teknik sorunların teşhis edilmesine yardımcı olur.
• Analitik: Hizmetlerin nasıl kullanıldığını anlamaya ve işlevselliği geliştirmeye yardımcı olur. Analitik araçları ticari faaliyetleri desteklemek üzere yapılandırılmıştır ve bağlamlar arası davranışsal reklamcılık için kullanılmaz.

Spendbase, tüketici tarzı davranışsal reklamcılık yapmaz ve bağlamlar arası davranışsal reklamcılık için çerezleri kullanmaz. Zorunlu olmayan (kesinlikle gerekli olanlar dışındaki) çerezler, yalnızca kullanıcının önceden rızası alınarak yerleştirilir ve bu rıza, Spendbase web sitesinde bulunan çerez yönetim aracı aracılığıyla her zaman geri çekilebilir. Geçerli yasaların gerektirdiği durumlarda Spendbase, platform ayarları veya tarayıcı kontrolleri aracılığıyla çerezlerin ve benzer teknolojilerin kullanımıyla ilgili uygun bildirimleri ve seçenekleri sunar.

GDPR ve Birleşik Krallık GDPR uyarınca, Kişisel Verileri veri sorumlusu olarak Spendbase tarafından işlenen kişilerin aşağıdaki hakları mevcuttur. Spendbase işletmeler arası (B2B) bir bağlamda faaliyet gösterdiğinden ve verilerin çoğunu bir istihdam veya ticari kapasitede işlediğinden, bazı haklar geçerli yasalar kapsamındaki sınırlamalara veya istisnalara tabi olabilir.

Haklarınızı nasıl kullanırsınız?. Yukarıda listelenen herhangi bir hakkı kullanmak için Müşteri, şu adrese yazılı bir talep gönderecektir: privacy@test-domain-partnerway.prod.spendbase.co  konu satırına “Data Subject Request” (Veri Sahibi Talebi) yazarak şunları içermelidir: (i) veri sahibinin tam adı ve hesapla ilişkili e-posta adresi; (ii) veri sahibinin bağlı olduğu Kurumsal Müşterinin adı; (iii) veri sahibinin kullanmak istediği hakkın açıklaması; ve (iv) kimliği doğrulamak için makul ölçüde gerekli olan her türlü ek bilgi.

Spendbase, herhangi bir talebi işleme koymadan önce kimlik doğrulaması yapacak ve alındığı tarihten itibaren bir takvim ayı içinde yanıt verecektir. Taleplerin karmaşık veya çok sayıda olduğu durumlarda, bu süre iki aya kadar uzatılabilir; bu durumda Spendbase, ilk bir aylık süre içinde veri sahibini bilgilendirecektir. Spendbase, bir gizlilik hakkını kullandığı veya şikayette bulunduğu için hiçbir bireye karşı misillemede bulunmayacaktır. Yetkili Kullanıcılar genellikle taleplerini, Hizmetlere erişimlerini yetkilendiren Kurumsal Müşteriye yönlendirmelidir.

Şikayette bulunma hakkı. Müşteriler bir denetim makamına şikayette bulunma hakkına sahiptir. Spendbase için yetkili öncü denetim makamı:

• Estonya Veri Koruma Müfettişliği (Andmekaitse Inspektsioon) — aki.ee— AB GDPR konuları için;
• Bilgi Komisyonu Ofisi (ICO) — ico.org.uk— Birleşik Krallık GDPR konuları için.
• Müşteriler ayrıca kendi AB Üye Devletindeki veya Birleşik Krallık'taki veri koruma makamına şikayette bulunma hakkına sahiptir.

Kişisel Verilerin bağımsız veri sorumlusu sıfatıyla Moorwand Ltd veya Heuro SAS tarafından işlendiği durumlarda — kart işlem kayıtları ve e-para hesabı verileri dahil — veri sahipleri, bu verilere ilişkin taleplerini, aşağıdaki bağlantılarda bulunan ilgili gizlilik bildirimlerindeki iletişim bilgilerini kullanarak doğrudan ilgili kuruluşa iletmelidir: Moorwand Gizlilik Politikası ve  Heuro SAS Gizlilik Politikası.

Spendbase, uygulamalarımızdaki, hizmetlerimizdeki, yasal veya düzenleyici gerekliliklerdeki ya da operasyonel ihtiyaçlardaki değişiklikleri yansıtmak amacıyla bu Gizlilik Bildirimi'ni zaman zaman güncelleyebilir. Maddi değişiklikler yaptığımızda, bu belgede gösterilen Yürürlük Tarihini güncelleyerek Spendbase platformu aracılığıyla bildirimde bulunacağız.

Kişisel Verilerin işlenme şeklini önemli ölçüde etkileyebilecek önemli değişiklikler olması durumunda Spendbase, geçerli yasalara uygun olarak, değişiklikler yürürlüğe girmeden önce etkilenen Ticari Müşterileri ve Yetkili Kullanıcıları bilgilendirmek için mevcut iletişim araçlarını kullanacaktır.

Güncellenmiş bir Gizlilik Bildirimi yürürlüğe girdikten sonra Hizmetleri kullanmaya devam etmek, yasaların izin verdiği ölçüde, revize edilmiş Bildirimin onaylandığı anlamına gelir.

Bu Gizlilik Bildirimi amaçları doğrultusunda, aşağıdaki terimler aşağıda belirtilen anlamlara gelmektedir: