GİZLİLİK BİLDİRİMİ

Bundan böyle “Gizlilik Bildirimi” olarak anılacak olan bu belge, Spendbase (“Biz", "bize", "biz", "Spendbase”) firmasının gizlilik uygulamalarını özetlemekte ve aşağıda tanımlanan Kanadalı müşterilere (“Hizmetler”) dijital bankacılık, ödeme ve finansal teknoloji hizmetlerimizin (“Müşteriler”) sunulmasıyla bağlantılı olarak kişisel bilgilerin işlenmesini düzenlemektedir. 

Hizmetleri kullanmaya devam etmeniz, bu Gizlilik Bildiriminde açıklanan gizlilik uygulamalarını bildiğinizi ve kabul ettiğinizi gösterir. Bu Gizlilik Bildirimi veya Kişisel Bilgilerinizi nasıl işlediğimizle ilgili herhangi bir endişeniz olması durumunda, bizimle iletişime geçmekten çekinmeyin:

Gizlilik Görevlisi, Spendbase Ltd. Alıcı: Gizlilik ve Uyum E-postası: privacy@test-domain-partnerway.prod.spendbase.co

Not edin! Yürürlük tarihi itibarıyla Spendbase, Quebec'te faaliyet GÖSTERMEMEKTEDİR. Bu nedenle, bu Gizlilik Bildiriminin Fransızca sürümü mevcut değildir.

Spendbase, kurumsal kart programları ve ilgili platform hizmetleri dahil olmak üzere işletmeler arası finansal teknoloji hizmetleri sunmaktadır. Tüm Spendbase hesapları yalnızca ticari amaçlarla açılır ve sürdürülür. Bu nedenle, bu Gizlilik Bildirimi Müşteriler için, yani şunlar için geçerlidir: 

• Ticari kuruluşlar olarak kabul edilen, Spendbase ile sözleşmeli bir ilişkiye giren İşletme Müşterileri (“Ticari Müşteri”) ve
• Yalnızca bir ticari veya istihdam sıfatıyla hareket eden, çalışanlar, yöneticiler ve kart sahipleri dahil olmak üzere bir İşletme Müşterisi adına Spendbase hizmetlerine erişen veya bunları kullanan bireyler (“Yetkili Kullanıcı”)
  

Yürürlükteki yasalara uygun olarak Spendbase, İşletme Müşterisi ile ilişkili olarak bir Kuruluş (veya Quebec'te tanımlandığı şekliyle bir “Teşebbüs”) olarak faaliyet göstermektedir. Yetkili Kullanıcıların Kişisel Bilgilerinin işlenmesi, Spendbase tarafından, ilgili sözleşmede güvence altına alınan, Kuruluş (veya Quebec'te tanımlandığı şekliyle bir “Teşebbüs”) olan İşletme Müşterisinin talimatları doğrultusunda hareket eden Hizmet sağlayıcı (veya Quebec'te tanımlandığı şekliyle bir “Temsilci”) olarak yerine getirilir.

Bunun Yetkili Kullanıcı Kişisel Bilgilerinin işlenmesini nasıl etkileyebileceğine ilişkin ayrıntılı bilgi için lütfen buradaki Bölüm 12'ye (YETKİLİ KULLANICILAR) bakın.

Spendbase, Kişisel Bilgileri yalnızca Hizmetleri sunmak, yürürlükteki yasal ve düzenleyici yükümlülüklere uymak, dolandırıcılığı ve kötüye kullanımı önlemek ve Spendbase platformunu işletmek ve güvenliğini sağlamak için gerekli olduğu ölçüde toplar ve işler.

Buradaki müşteri tanımına bağlı olarak, Kişisel bilgileri aşağıdaki gibi topluyoruz:

Tüm Yetkili Kullanıcı Kişisel Bilgileri, yalnızca ilgili Ticari Müşteri ile olan profesyonel ilişkileri kapsamında işlenir. Spendbase, bilerek 18 yaşın altındaki bireylerden Kişisel Bilgi toplamaz. Quebec sakinleri için, 14 yaşın altındaki bireyler için ebeveyn veya vasi rızası gereklidir. Birleştirilmiş veya kimliksizleştirilmiş veriler analiz ve hizmet iyileştirme amacıyla kullanılabilir ve Kişisel Bilgi olarak kabul edilmez. Spendbase, Kişisel Sağlık Bilgisi toplamaz.

Spendbase, Ticari Müşterilere ve Yetkili Kullanıcılara hizmet sunumuyla bağlantılı olarak sınırlı sayıda yasal ve şeffaf kaynaktan Kişisel Bilgi toplar.

Tüm amaçlar, PIPEDA'nın Amaçları Belirleme ilkesine uygun olarak, toplama anında veya öncesinde belirlenir. Kişisel Bilgiler, toplanma amacına aykırı amaçlarla kullanılmaz. Yeni bir amacın ortaya çıkması durumunda, bu amaç belirlenecek ve işleme devam edilmeden önce gerekli rıza alınacaktır.

Kanada gizlilik yasası uyarınca, rıza tüm işlemler için varsayılan yasal dayanaktır. Belirli bir PIPEDA s.7 muafiyetinin geçerli olduğu durumlar aşağıda açıkça belirtilmiştir. PIPEDA veya geçerli eyalet mevzuatı kapsamında “meşru menfaat” veya “sözleşmenin ifası” dayanağı bulunmamaktadır.

Spendbase, rızayı PIPEDA'nın Rıza İlkesi ve OPC'nin Anlamlı Rıza Alınmasına İlişkin Kılavuz İlkeleri uyarınca alır, kaydeder ve yönetir.

• Açık rıza Ticari Müşterilerden ilk katılım sırasında, zaman damgalı ve o sırada yürürlükte olan bu Gizlilik Bildiriminin sürümüne bağlı olarak imzalı bir sözleşme veya eşdeğer dijital kabul yoluyla alınır.
• Rıza ayrıntılıdır amaçlar ayrı ayrı sunulduğunda ve temel Hizmetlere verilen rıza asla pazarlama rızasıyla birleştirilmez. 
• Zımni rıza yalnızca ticari ilişkiden açıkça anlaşılan hassas olmayan amaçlar için dayanak alınır (örn. kimliksizleştirilmiş veriler kullanılarak hizmet iyileştirme). 

Yetkili Kullanıcılar için Spendbase, Yetkili Kullanıcı Kişisel Bilgileri platforma gönderilmeden önce gerekli tüm bildirimlerin ve rızaların alındığını Ticari Müşterilerin sözleşmeli olarak onaylamasını şart koşar.

Takip. Spendbase, her bir amaç için yasal dayanağı, rızanın tarihini ve şeklini, yürürlükteki Gizlilik Bildirimi sürümünü ve rıza durumundaki sonraki değişiklikleri belgeleyen dahili işleme kayıtları tutar.

Geri çekme. Onay, herhangi bir zamanda şu adresle iletişime geçilerek geri çekilebilir: privacy@test-domain-partnerway.prod.spendbase.co. Spendbase, alındığını 5 iş günü içinde teyit edecek ve zorunlu olmayan tüm işlemleri 15 iş günü içinde durdurarak onay kaydını buna göre güncelleyecektir. Geri çekme, önceki işlemlerin hukuka uygunluğunu etkilemez ve yasal olarak zorunlu tutma yükümlülüklerini (örneğin, FINTRAC, KYC/KYB kayıtları) geçersiz kılmaz.

Ticari Elektronik İletiler. Spendbase, ticari elektronik iletiler (CEM) gönderdiğinde bunu Kanada Anti-Spam Yasası (CASL) kapsamında yapar. Spendbase, yeni kişilere yönelik pazarlama faaliyetleri için açık rızaya, mevcut Kurumsal Müşteriler için ise zımni rızaya (son işlemden itibaren 2 yıl geçerli) dayanır. Her ticari elektronik ileti, gönderici olarak Spendbase'i tanımlar ve bir üyelikten ayrılma mekanizması içerir; iletilen talepler privacy@test-domain-partnerway.prod.spendbase.co  10 iş günü içinde işleme alınır. İşlemsel ve operasyonel iletiler (hesap uyarıları, güvenlik bildirimleri, düzenleyici açıklamalar) CEM değildir ve pazarlama onayından bağımsız olarak gönderilir.

Spendbase, Kişisel Bilgileri satmaz. Tüm paylaşımlar PIPEDA'nın Sorumluluk ilkesine ve eyalet düzeyindeki muadillerine tabidir. Alıcıların sözleşme gereği PIPEDA ile kıyaslanabilir gizlilik korumalarını sürdürmeleri gerekmektedir. Üçüncü taraf anlaşmaları, Spendbase'in PIPEDA ve Suç Gelirlerinin (Kara Para Aklama) ve Terörizmin Finansmanının Önlenmesi Yasası (PCMLTFA) kapsamındaki yükümlülükleriyle tutarlı sözleşme güvencelerine tabidir.

Kara Para Aklama / Terörün Finansmanı ile Mücadele (AML/ATF) Bilgi Paylaşımı: Spendbase'in, FINTRAC onaylı bir özel-özel paylaşım düzenlemesine katıldığı durumlarda Suç Gelirleri (Kara Para Aklama) ve Terörizmin Finansmanı Yasası (PCMLTFA) uyarınca, Kişisel Bilgiler, Kanada Gizlilik Komiserliği Ofisi tarafından onaylanmış bir Uygulama Esasları kapsamında AML/ATF amaçları doğrultusunda, PIPEDA ve PCMLTFA tarafından izin verildiği şekilde onay alınmaksızın diğer raporlama yapan kuruluşlarla paylaşılabilir.

Kişisel Bilgiler, PIPEDA'nın Kullanımı, Açıklamayı ve Saklamayı Sınırlandırma ilkesi ve eyalet düzeyindeki muadilleri uyarınca, yalnızca toplama amaçlarını yerine getirmek için gerekli olduğu sürece saklanır.

Saklama süreleri, Kişisel Bilgilerin niteliğine, toplanma amacına ve geçerli yasal veya düzenleyici gerekliliklere bağlı olarak değişir. Finansal hizmetler bağlamında, kara para aklamayı önleme, yaptırımlara uyum, dolandırıcılığı önleme, vergi, muhasebe ve düzenleyici kayıt tutma ile ilgili gereklilikler de dahil olmak üzere, belirli kayıtların yasaların gerektirdiği minimum süreler boyunca saklanması gerekir. Bu tür yükümlülüklerin geçerli olduğu durumlarda Spendbase, Kişisel Bilgileri geçerli yasalar veya düzenleyici kılavuzlar tarafından zorunlu kılınan süre boyunca saklar.

Ticari Müşteriler ve Yetkili Kullanıcılar ile ilgili Kişisel Bilgiler, genellikle sözleşme ilişkisinin süresi boyunca ve fesihten sonra, yasal yükümlülüklere uymak, denetimleri ve soruşturmaları desteklemek, anlaşmazlıkları çözmek ve sözleşme haklarını uygulamak için gerekli olduğu ölçüde sınırlı bir süre boyunca saklanır. Saklama artık gerekli olmadığında, Kişisel Bilgiler geçerli politikalar ve teknik kontroller uyarınca güvenli bir şekilde silinir, anonimleştirilir veya kimliksizleştirilir.

Birleştirilmiş veya kimliksizleştirilmiş bilgiler, yasaların izin verdiği durumlarda daha uzun süreler boyunca saklanabilir; çünkü bu tür veriler bireyleri tanımlamaz ve analitik, raporlama ve hizmet iyileştirme gibi yasal ticari amaçlar için kullanılır.

Spendbase, Kişisel Bilgileri yetkisiz erişime, ifşa edilmeye, değiştirilmeye veya imha edilmeye karşı korumak için tasarlanmış idari, teknik ve fiziksel güvenceler uygular ve sürdürür.

Güvenlik programımız risk tabanlıdır ve işlediğimiz Kişisel Bilgilerin hassasiyetini, hizmetlerimizin niteliğini, öngörülebilir riskleri ve gelişen güvenlik tehditlerini dikkate alır. Güvenceler, teknolojideki, düzenleyici kılavuzlardaki ve operasyonel risklerdeki değişiklikleri ele almak için düzenli olarak gözden geçirilir ve güncellenir.

İdari güvenceler; veri erişimi, gizlilik, çalışan eğitimi, olaylara müdahale, satıcı yönetimi ve uyum denetimini yöneten politika ve prosedürleri içerir. Kişisel Bilgilere erişim, bu tür bir erişime meşru ticari amaçlarla ihtiyaç duyan ve gizlilik ile güvenlik yükümlülüklerine tabi olan personel ve hizmet sağlayıcılarla sınırlandırılmıştır.

Teknik güvenceler; işleme, saklama ve iletim sırasında Kişisel Bilgileri korumak için tasarlanmış erişim kontrolleri, kimlik doğrulama mekanizmaları, şifreleme, günlük kaydı ve izleme, ağ güvenliği kontrolleri ve güvenlik açığı yönetimi gibi önlemleri içerir.

Spendbase ayrıca, Kişisel Bilgileri içeren veri güvenliği olayları da dahil olmak üzere, güvenlik olaylarını tespit etmek, bunlara müdahale etmek ve bunları düzeltmek için prosedürler sürdürür. Geçerli yasaların gerektirdiği durumlarda Spendbase, veri ihlalleri veya güvenlik olaylarıyla ilgili bildirimleri geçerli yasal ve düzenleyici gerekliliklere uygun olarak sağlayacaktır.

Spendbase, Kişisel Bilgileri korumak için makul ve uygun önlemler alsa da, hiçbir sistemin veya iletim yönteminin tamamen güvenli olduğu garanti edilemez. Ticari Müşteriler ve Yetkili Kullanıcılar, erişim bilgilerinin gizliliğini korumaktan ve hizmetleri güvenli bir şekilde kullanmaktan sorumludur.

Spendbase, Hizmetlerini Ticari Müşterilere sunar ve yalnızca Yetkili Kullanıcılar ile ilgili Kişisel Verileri işler. Yetkili Kullanıcılar, Spendbase platformuna ve ilgili hizmetlere ilgili Ticari Müşteri adına ve onun kontrolüne tabi olarak erişir.

Hizmetlere erişim yetkisi olan kişileri belirlemekten, erişim haklarını atamaktan ve yönetmekten, kimlik bilgilerini vermekten ve iptal etmekten ve Spendbase'e sağlanan Yetkili Kullanıcı bilgilerinin doğru, güncel ve yasal olmasını sağlamaktan Ticari Müşteriler sorumludur. Ticari Müşteriler ayrıca, yasaların gerektirdiği durumlarda dahili politikalar ve bildirimler de dahil olmak üzere, hizmetlerin kullanımıyla bağlantılı olarak Kişisel Verilerinin nasıl toplandığı, kullanıldığı ve paylaşıldığı hakkında Yetkili Kullanıcıları bilgilendirmekten sorumludur.

Spendbase, Yetkili Kullanıcı Kişisel Bilgilerini ilgili Ticari Müşterinin talimatları, geçerli sözleşme koşulları ve geçerli yasalar uyarınca işler. Ticari Müşteriler, Yetkili Kullanıcı verilerinin kendi kuruluşları içinde gider yönetimi, raporlama, iç kontroller, uyum denetimi ve istihdamla ilgili amaçlar da dahil olmak üzere nasıl kullanılacağını kontrol eder ve belirler. Spendbase, Ticari Müşterilerin dahili veri uygulamalarını kontrol etmez ve bunlardan sorumlu değildir.

Yetkili Kullanıcılar, Kişisel Bilgilerine erişim, bunların düzeltilmesi veya silinmesi ile ilgili taleplerini öncelikle hizmetlere erişimlerini yetkilendiren Ticari Müşteriye yönlendirmelidir. Yasaların veya sözleşmelerin gerektirdiği durumlarda Spendbase, bu tür taleplere yanıt vermede Ticari Müşterilere yardımcı olabilir.

Ticari Müşteriler, platform aracılığıyla elde edilen Yetkili Kullanıcı verilerini işlemeleri de dahil olmak üzere, Hizmetleri kullanımlarının geçerli istihdam, gizlilik ve veri koruma yasalarına uygun olmasını sağlamaktan sorumludur.

Spendbase, Kişisel Bilgileri Kanada dışındaki bağlı ortaklıklara, hizmet sağlayıcılara ve Amerika Birleşik Devletleri ile Avrupa Birliği/AEA dahil ancak bunlarla sınırlı olmamak üzere çeşitli yetki alanlarında faaliyet gösteren bankacılık ortaklarına aktarabilir. Biz ve ana hizmet sağlayıcılarımız (örneğin KYC amaçları için), verilerinizi Avrupa Birliği/AEA'da, yani Lüksemburg, Almanya ve Finlandiya'da barındırma hizmetleri sunan Amazon Web Services (AWS), Google Cloud Platform (GCP) ve Hetzner üzerinde saklıyoruz. Kişisel Verilerin daha az sıkı koruma sağlayan diğer ülkelerde işleneceği durumlarda, ilgili sınır ötesi mekanizmanın uygulanabilirliğini sağlıyor ve olası hükümet müdahalelerini önlemek için hedef ülkenin mevzuatını değerlendiriyoruz. Her durumda, kişisel bilgilerin başka bir ülkede saklanması veya işlenmesi durumunda, o ülkenin yasalarına tabi olacağını bilmelisiniz. Sonuç olarak, o ülkenin hükümeti, mahkemeleri, kolluk kuvvetleri, ulusal güvenlik kurumları veya düzenleyici makamları bu bilgilere erişebilir.

Tüm aktarımlar, alıcı veri işleyenlerin PIPEDA ile kıyaslanabilir korumaları sürdürmesini, verileri yalnızca belirtilen amaçlar için kullanmasını ve herhangi bir güvenlik olayını Spendbase'e bildirmesini gerektiren yazılı sözleşmelere tabidir. Spendbase, PIPEDA'nın Sorumluluk İlkesi ve OPC'nin Sınır Ötesi Kişisel Veri İşleme Kılavuzu (2009) ile uyumlu olarak, aktarılan Kişisel Bilgilerden her zaman sorumlu olmaya devam eder. İşleme amacıyla yapılan bir aktarım, Kişisel Bilgilerin ifşa edilmesi değil, kullanılması niteliğindedir ve verilerin yalnızca ilk toplandığı amaç doğrultusunda kullanılması kaydıyla ek onay gerektirmez.

Eyalete özel notlar: Alberta ve BC sakinleri, aktarım varış noktaları ve geçerli güvenceler hakkında daha fazla ayrıntı talep edebilir. Spendbase'in Hizmetleri Quebec'e genişletmesi durumunda, sınır ötesi aktarımlar Gizlilik Etki Değerlendirmesine, gerekli koruyucu önlemleri içeren yazılı anlaşmalara ve tam uyumluluğa tabi olacaktır. Yasa 25.

Herhangi bir hakkınızı kullanmak için privacy@test-domain-partnerway.prod.spendbase.co adresine yazılı bir talep gönderin. İşlem yapılmadan önce kimlik doğrulaması gerekebilir. Spendbase, gizlilik haklarını kullanan veya şikayette bulunan hiçbir bireye karşı misillemede bulunmayacaktır.

Yetkilendirilmiş Kullanıcılar taleplerini genellikle erişimlerini yetkilendiren Kurumsal Müşteriye iletmelidir. Spendbase, Kurumsal Müşterinin talebi üzerine ilgili Yetkilendirilmiş Kullanıcıların taleplerinin karşılanmasına yardımcı olabilir. Spendbase'in doğrudan Yetkilendirilmiş Kullanıcıdan herhangi bir talep alması durumunda, Spendbase talebi gereksiz gecikme olmaksızın iletmek ve/veya talep edilen bilgileri yasaların izin verdiği ölçüde sunmak için elinden geleni yapacaktır.

Çözülemeyen şikayetler ilgili düzenleyici kuruma iletilebilir:

Geçerli olduğu durumlarda, Spendbase Kişisel Bilgileri aşağıdakilere uygun olarak işler:

• • Bu Kişisel Bilgilerin Korunması ve Elektronik Belgeler Kanunu (PIPEDA) ve bunun uygulama yönetmelikleri;
  • Kanada Gizlilik Komiserliği Ofisi (OPC) tarafından denetlenen, PIPEDA'nın Ek 1'inde belirtilen 10 Adil Bilgi İlkesi;
  • Kanada'nın Anti-Spam Mevzuatı (CASL);
  • Quebec'in Özel sektörde kişisel bilgilerin korunmasına ilişkin Kanun (Yasa 25), Kişisel Bilgilerin Korunması Kanunu (Alberta PIPA) ve Kişisel Bilgilerin Korunması Kanunu (BC PIPA) dahil olmak üzere, PIPEDA ile büyük ölçüde benzer kabul edilen ilgili eyalet gizlilik mevzuatları; ve

• Suç Gelirleri (Kara Para Aklama) ve Terörizmin Finansmanı Yasası (PCMLTFA);

• PIPEDA kapsamında zorunlu kılınan koruma düzeyine benzer bir gizlilik koruması sağlaması gereken bankacılık ortaklarımız ve hizmet sağlayıcılarımızla olan sözleşme yükümlülükleri.

Yasaların Etkileşimi: Quebec Yasa 25, Alberta PIPA veya BC PIPA'nın Spendbase'in bu eyaletlerdeki işleme faaliyetlerine uygulandığı durumlarda, eyalet içi faaliyetler için PIPEDA yerine bu yasalar geçerlidir. PIPEDA, federal olarak denetlenen bir hizmet sağlayıcı olarak Spendbase için ve tüm eyaletler arası ile uluslararası Kişisel Bilgi aktarımları için her zaman geçerli olmaya devam eder.

Spendbase, uygulamalarımızdaki, hizmetlerimizdeki, yasal veya düzenleyici gereksinimlerdeki ya da operasyonel ihtiyaçlardaki değişiklikleri yansıtmak amacıyla bu Gizlilik Bildirimini zaman zaman güncelleyebilir. Önemli değişiklikler yaptığımızda, “Yürürlük tarihi” kısmını güncelleyerek Spendbase platformu üzerinden bildirimde bulunacağız.

Hizmetleri kullanımınızı etkileyebilecek önemli değişiklikler olması durumunda, mevcut iletişim kanalları aracılığıyla sizi bilgilendireceğiz.

Bu Gizlilik Bildirimi amaçları doğrultusunda, aşağıdaki terimler aşağıda belirtilen anlamlara gelmektedir:

"Yetkili Kullanıcı”, bir Ticari Müşterinin kendi adına Spendbase hizmetlerine erişmesi veya bunları kullanması için yetkilendirdiği çalışanlar, yöneticiler ve yetkili kart sahipleri dahil olmak üzere bir bireyi ifade eder.

"Ticari Müşteri”, ticari odaklı finans veya ödeme hizmetlerinin sağlanması amacıyla Spendbase ile sözleşmesel bir ilişki içine giren yasal bir kişiliği veya kuruluşu ifade eder.

"Kişisel Bilgiler”, geçerli PIPEDA ve/veya diğer ilgili eyalet yasaları kapsamında tanımlandığı ve bu Gizlilik Bildiriminde daha ayrıntılı olarak açıklandığı şekliyle, kimliği belirlenmiş veya belirlenebilir bir bireyi tanımlayan, onunla ilişkili olan, onu tanımlayan veya makul bir şekilde onunla ilişkilendirilebilecek her türlü bilgiyi ifade eder.

“Kişisel Sağlık Bilgileri” bir bireyin fiziksel veya zihinsel sağlığı, kendisine sunulan sağlık hizmetleri ve ilgili bilgiler hakkındaki her türlü bilgiyi ifade eder.

"Kuruluş”, doğrudan Spendbase platformu ve hizmetleri aracılığıyla toplanan ve kontrol edilen Kişisel Bilgilerden sorumlu olan kuruluştur

"Hizmetler”, Ticari Müşterilere sunulan Spendbase dijital bankacılık, ödeme, kurumsal kart ve ilgili finansal teknoloji hizmetlerini ifade eder.

"Hizmet sağlayıcı”, başka bir kuruluş adına kişisel bilgileri toplayan, kullanan veya ifşa eden bir kuruluşu ifade eder