Provided in Turkish and English; the Turkish version prevails.Türkçe ve İngilizce olarak sunulmuştur; Türkçe metin esas alınır.
This Data Processing Agreement ("DPA") is part of the Course Factory Terms of Service between the customer ("Customer", controller) and D&E Creative ("Processor"). It applies to personal data that the Processor processes on the Customer's behalf through Course Factory. It meets Article 28 GDPR and the obligations of the Turkish Personal Data Protection Law No. 6698 (KVKK), in particular Articles 9 and 12.
1. Subject, duration, nature and purpose
- Subject: managing the content of the Customer's training websites (courses, events, prices, cities, registrations, enquiries) and the Customer's Course Factory account.
- Duration: as long as the Customer's account exists, plus the deletion period in section 9.
- Nature: reading, storing, displaying, changing and deleting data in the Customer's websites and in Course Factory, on the Customer's instruction; sending content to an AI provider when the Customer uses AI features.
- Purpose: providing Course Factory to the Customer.
2. Data subjects and categories of data
- Data subjects: people who register for courses or send enquiries on the Customer's websites, trainees, instructors and contact persons, and the Customer's own staff using Course Factory.
- Data: names, contact details (email, phone), company and job title, registration and enquiry details, and content of messages.
- Special categories (for example health data) are not intended. The Customer must not process them through Course Factory unless agreed in writing.
3. Instructions
The Processor processes personal data only on the Customer's documented instructions. The Terms, this DPA and the Customer's use of Course Factory's functions are the Customer's complete instructions. The Processor informs the Customer if it believes an instruction breaks data protection law. Processing required by law is excepted; the Processor then informs the Customer unless the law forbids it.
4. Confidentiality
Everyone the Processor authorises to process the data is bound to confidentiality.
5. Security measures
- Encrypted connections (HTTPS/TLS) between browser, Course Factory and its API.
- Website database and file credentials stored encrypted; the Customer is asked to use separate, limited accounts.
- Each customer's Course Factory data in a separate database.
- Access only for authorised people, with individual accounts, two-factor sign-in or passkeys, and least privilege.
- Audit log of changes (who, what, when).
- Regular backups and restore tests; servers updated and protected by a firewall.
- Payment card data is handled only by Paddle and never reaches the Processor.
The Processor may update these measures if the level of protection does not decrease.
6. Subprocessors
The Customer authorises the subprocessors listed below. The Processor informs the Customer at least 30 days before adding or replacing a subprocessor; the Customer may object on reasonable data protection grounds and, if no solution is found, terminate the affected service. The Processor imposes the same data protection obligations on each subprocessor and remains responsible for them.
| Subprocessor | Service | Location |
|---|---|---|
| Oracle Corporation (Oracle Cloud Infrastructure) | Server hosting, storage, backups | Israel (Jerusalem region) |
| Google (Google Workspace) | Email notifications and support correspondence | EU / USA |
| AI provider used with D&E Creative's AI key | Text generation, only when the Customer uses AI features without its own key | Named here before the feature is offered |
If the Customer connects its own AI key, that AI provider acts for the Customer, not as the Processor's subprocessor. Paddle processes billing data as an independent Merchant of Record and receives no website data.
7. International transfers
Data is hosted in Israel, which the European Commission recognises as adequate. Any transfer to a country without such recognition relies on the European Commission's standard contractual clauses or another safeguard under Chapter V GDPR; transfers from Türkiye abroad are made under Article 9 KVKK, in particular with standard contracts.
8. Assistance and breaches
- The Processor helps the Customer, as far as reasonably possible, to answer data subject requests, carry out data protection impact assessments and consult authorities.
- The Processor notifies the Customer without undue delay, and at the latest within 48 hours of becoming aware, of a personal data breach affecting the Customer's data, with the information available, so that the Customer can meet its own obligations (72 hours under the GDPR and under KVKK).
9. Deletion and return
When the account ends, the Customer can export its data for 30 days. The Processor then deletes the Customer's data, unless the law requires it to be kept; backups are overwritten within a further 30 days. Data on the Customer's own websites is not affected - it stays with the Customer.
10. Audits
The Processor provides the information needed to show compliance with this DPA. The Customer may audit once per year, with 30 days' notice, during business hours and at its own cost, or have an independent auditor bound to confidentiality do so.
11. Precedence
If this DPA conflicts with the Terms on data protection, this DPA prevails. The liability rules of the Terms apply. If the two language versions differ, the Turkish version prevails.
Bu Veri İşleme Sözleşmesi ("Sözleşme"), müşteri ("Müşteri", veri sorumlusu) ile D&E Creative ("Veri İşleyen") arasındaki Course Factory Hizmet Koşulları'nın bir parçasıdır. Veri İşleyen'in Course Factory aracılığıyla Müşteri adına işlediği kişisel verilere uygulanır. GDPR md. 28'i ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK), özellikle 9. ve 12. maddelerinin yükümlülüklerini karşılar.
1. Konu, süre, nitelik ve amaç
- Konu: Müşteri'nin eğitim web sitelerinin içeriğinin (kurslar, etkinlikler, fiyatlar, şehirler, kayıtlar, talepler) ve Müşteri'nin Course Factory hesabının yönetilmesi.
- Süre: Müşteri'nin hesabı var olduğu sürece ve 9. maddedeki silme süresi.
- Nitelik: Müşteri'nin talimatı üzerine, Müşteri'nin web sitelerindeki ve Course Factory'deki verilerin okunması, saklanması, görüntülenmesi, değiştirilmesi ve silinmesi; Müşteri yapay zekâ özelliklerini kullandığında içeriğin bir yapay zekâ sağlayıcısına gönderilmesi.
- Amaç: Course Factory'nin Müşteri'ye sunulması.
2. İlgili kişiler ve veri kategorileri
- İlgili kişiler: Müşteri'nin web sitelerinde kurslara kayıt olan veya talep gönderen kişiler, katılımcılar, eğitmenler ve irtibat kişileri ile Course Factory'yi kullanan Müşteri çalışanları.
- Veriler: ad-soyad, iletişim bilgileri (e-posta, telefon), şirket ve unvan, kayıt ve talep ayrıntıları ile mesaj içerikleri.
- Özel nitelikli kişisel veriler (örneğin sağlık verileri) işlenmesi amaçlanmamaktadır. Müşteri, yazılı olarak kararlaştırılmadıkça bunları Course Factory üzerinden işlememelidir.
3. Talimatlar
Veri İşleyen, kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Hizmet Koşulları, bu Sözleşme ve Müşteri'nin Course Factory işlevlerini kullanması, Müşteri'nin talimatlarının tamamını oluşturur. Veri İşleyen, bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Müşteri'yi bilgilendirir. Kanunen zorunlu işlemeler istisnadır; bu durumda kanun yasaklamadıkça Veri İşleyen Müşteri'yi bilgilendirir.
4. Gizlilik
Veri İşleyen'in verileri işlemeye yetkilendirdiği herkes gizlilik yükümlülüğü altındadır.
5. Güvenlik tedbirleri
- Tarayıcı, Course Factory ve API'si arasında şifreli bağlantılar (HTTPS/TLS).
- Web sitesi veritabanı ve dosya erişim bilgileri şifreli saklanır; Müşteri'den ayrı ve sınırlı yetkili hesaplar kullanması istenir.
- Her müşterinin Course Factory verileri ayrı bir veritabanında tutulur.
- Erişim yalnızca yetkili kişilere, kişisel hesaplarla, iki adımlı giriş veya geçiş anahtarlarıyla ve en az yetki ilkesine göre verilir.
- Değişikliklerin denetim kaydı (kim, ne, ne zaman).
- Düzenli yedekleme ve geri yükleme testleri; sunucular güncel tutulur ve güvenlik duvarıyla korunur.
- Ödeme kartı verileri yalnızca Paddle tarafından işlenir ve hiçbir zaman Veri İşleyen'e ulaşmaz.
Veri İşleyen, koruma seviyesi düşmemek kaydıyla bu tedbirleri güncelleyebilir.
6. Alt veri işleyenler
Müşteri, aşağıda listelenen alt veri işleyenlere izin verir. Veri İşleyen, bir alt veri işleyen eklemeden veya değiştirmeden en az 30 gün önce Müşteri'yi bilgilendirir; Müşteri makul veri koruma gerekçeleriyle itiraz edebilir ve bir çözüm bulunamazsa ilgili hizmeti sona erdirebilir. Veri İşleyen, her alt veri işleyene aynı veri koruma yükümlülüklerini yükler ve onlardan sorumlu olmaya devam eder.
| Alt veri işleyen | Hizmet | Konum |
|---|---|---|
| Oracle Corporation (Oracle Cloud Infrastructure) | Sunucu barındırma, depolama, yedekleme | İsrail (Kudüs bölgesi) |
| Google (Google Workspace) | E-posta bildirimleri ve destek yazışmaları | AB / ABD |
| D&E Creative'in yapay zekâ anahtarıyla kullanılan yapay zekâ sağlayıcısı | Metin üretimi; yalnızca Müşteri yapay zekâ özelliklerini kendi anahtarı olmadan kullandığında | Özellik sunulmadan önce burada belirtilecektir |
Müşteri kendi yapay zekâ anahtarını bağlarsa, o yapay zekâ sağlayıcısı Veri İşleyen'in alt veri işleyeni olarak değil, Müşteri adına hareket eder. Paddle, fatura verilerini bağımsız satıcı (Merchant of Record) olarak işler ve web sitesi verisi almaz.
7. Yurt dışına aktarım
Veriler, Avrupa Komisyonu tarafından yeterli kabul edilen İsrail'de barındırılır. Böyle bir kabulü olmayan bir ülkeye aktarım, Avrupa Komisyonu'nun standart sözleşme hükümlerine veya GDPR'ın V. Bölümü kapsamındaki başka bir güvenceye dayanır; Türkiye'den yurt dışına aktarımlar KVKK md. 9 kapsamında, özellikle standart sözleşmelerle yapılır.
8. Destek ve veri ihlalleri
- Veri İşleyen, makul ölçüde mümkün olduğu kadar, Müşteri'ye ilgili kişi başvurularını yanıtlamada, veri koruma etki değerlendirmelerinde ve otoritelere danışmada yardımcı olur.
- Veri İşleyen, Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin ve en geç 48 saat içinde, mevcut bilgilerle birlikte Müşteri'ye bildirir; böylece Müşteri kendi yükümlülüklerini (GDPR ve KVKK kapsamında 72 saat) yerine getirebilir.
9. Silme ve iade
Hesap sona erdiğinde Müşteri verilerini 30 gün boyunca dışa aktarabilir. Ardından Veri İşleyen, kanunen saklanması gerekmedikçe Müşteri verilerini siler; yedekler sonraki 30 gün içinde üzerine yazılır. Müşteri'nin kendi web sitelerindeki veriler etkilenmez - Müşteri'de kalır.
10. Denetim
Veri İşleyen, bu Sözleşme'ye uyumu göstermek için gereken bilgileri sağlar. Müşteri, yılda bir kez, 30 gün önceden bildirerek, mesai saatleri içinde ve masrafı kendisine ait olmak üzere denetim yapabilir veya gizlilik yükümlülüğü altındaki bağımsız bir denetçiye yaptırabilir.
11. Öncelik
Bu Sözleşme, veri koruma konusunda Hizmet Koşulları ile çelişirse bu Sözleşme esas alınır. Hizmet Koşulları'nın sorumluluk hükümleri uygulanır. İki dil sürümü arasında farklılık olması halinde Türkçe metin esas alınır.