Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi (“VİS”; İngilizcede “DPA”), DS160.io ticari adıyla faaliyet gösteren Galah Enterprises Pty Ltd’nin (ACN 682 927 779) (“DS160.io”), bir DS160.io kurumsal çalışma alanı kullanan bir kurumsal müşteri (“Müşteri”; İngilizcede “Customer”) adına kişisel verileri nasıl işlediğini düzenler. Bu VİS, DS160.io’nun Hizmet Şartlarının (“Sözleşme”; İngilizcede “Agreement”) bir parçasıdır ve Müşteri bu şartları, Sözleşme’nin 1(e) maddesinde belirtilen yollardan herhangi biriyle kabul ettiğinde yürürlüğe girer: kutuyu işaretleyerek veya “I accept these Terms” (Bu Şartları kabul ediyorum) düğmesine tıklayarak, DS160.io ile bir sözleşme imzalayarak ya da bir kurumsal çalışma alanının ücretini ödeyerek veya onu kullanarak.

1. Tanımlar

Burada tanımlanmayan terimler, GDPR’da (Avrupa Birliği Genel Veri Koruma Tüzüğü, (AB) 2016/679 sayılı Tüzük) verilen anlamı taşır. “Veri Koruma Mevzuatı”; GDPR, Birleşik Krallık GDPR’ı ve Birleşik Krallık 2018 tarihli Veri Koruma Kanunu (Data Protection Act 2018), İsviçre Federal Veri Koruma Kanunu ve Müşteri’nin Kişisel Verilerine uygulanan diğer tüm veri koruma mevzuatı anlamına gelir. “Müşteri Kişisel Verileri”, DS160.io’nun Müşteri adına işlediği, Ek I’de tanımlanan kişisel veriler anlamına gelir. “Başvuru Sahibi”, DS-160’ı Müşteri’nin çalışma alanında hazırlanan kişi anlamına gelir. “Alt Veri İşleyen”, DS160.io’nun Müşteri Kişisel Verilerini işlemek üzere görevlendirdiği üçüncü taraf anlamına gelir. “SCC’ler”, (AB) 2021/914 sayılı Komisyon Uygulama Kararı’na ekli standart sözleşme maddeleri (Standard Contractual Clauses) anlamına gelir.

2. Roller ve kapsam

Müşteri, Müşteri Kişisel Verilerinin veri sorumlusudur ve DS160.io onun veri işleyenidir. Bu VİS yalnızca Müşteri Kişisel Verilerini, yani Müşteri’nin çalışma alanındaki başvuru sahibi verilerini kapsar. DS160.io, Müşteri’nin kendi hesap ve faturalama verilerini ve çalışanlarının giriş verilerini, gizlilik politikası kapsamında veri sorumlusu olarak işler.

Ek I; işlemenin konusunu, süresini, niteliğini ve amacını, kişisel veri türlerini ve ilgili kişi kategorilerini açıklar.

3. Müşteri’nin yükümlülükleri

Müşteri, talimat verdiği işleme için hukuka uygun bir dayanağa sahip olmaktan ve Başvuru Sahiplerine GDPR Madde 13 ve 14’ün gerektirdiği bilgileri vermekten sorumludur. DS-160 sağlık ile tutuklamalar ve mahkûmiyetler hakkında sorular sorduğundan, Müşteri özellikle, bu cevaplar DS160.io aracılığıyla girilmeden veya toplanmadan önce, sağlık cevapları için GDPR Madde 9 kapsamında bir şartın ve sabıka geçmişi cevapları için GDPR Madde 10 kapsamında bir dayanağın (örneğin Başvuru Sahibinin açık rızası) bulunmasından sorumludur.

DS160.io, müşteri bağlantılarında, Müşteri’nin çalışma alanı ayarlarında veya her bağlantı için ayrı ayrı açtığı isteğe bağlı bir onay adımı sunar. Bu adımın açık olduğu bir müşteri bağlantısı, Başvuru Sahibine, DS160.io tarafından şablon olarak yazılmış, Müşteri’nin markasıyla sunulan ve DS160.io’yu yalnızca Müşteri’nin yazılım sağlayıcısı olarak anan bir gizlilik bildirimi ile bu işlemenin bir açıklamasını gösterir ve Başvuru Sahibinin bağlantıyı ancak, sağlık ve sabıka geçmişi cevaplarına açıkça onay vermek dahil olmak üzere, kabul ettikten sonra kullanmasına izin verir. Müşteri bu şablonu kendi bildirimi olarak benimser ve bu bildirimden, rızanın doğru dayanak olup olmadığından ve DS160.io’ya böyle bir bağlantı dışındaki yollardan ulaşan Başvuru Sahiplerinden sorumlu olmaya devam eder. DS160.io her onayı ve onayın geri çekilmesini Müşteri adına kaydeder.

Müşteri’nin DS160.io’ya verdiği talimatlar; bu VİS, Sözleşme ve Müşteri’nin DS160.io’yu kullanması ve yapılandırmasıdır; bunlara müşteri bağlantıları göndermek, cevapları girmek ve düzenlemek, bir başvurunun mesajlarında Başvuru Sahiplerine yazmak ve CEAC’ta bir gönderim başlatmak dahildir. CEAC’tan bir içe aktarma başlatmak veya Müşteri kapatmadıkça açık olan bir ayarla Başvuru Sahiplerinin müşteri bağlantılarında içe aktarma başlatmasına izin vermek de bir talimattır; bilgileri giren kişi, Başvuru Sahibinin, CEAC’ın gönderilmiş bir DS-160’tan oluşturduğu kopyaya onay verdiğini teyit eder.

4. DS160.io’nun yükümlülükleri

Talimatlar. DS160.io, kanun aksini gerektirmedikçe, AEA ve Birleşik Krallık dışına aktarımlar dahil olmak üzere, Müşteri Kişisel Verilerini yalnızca Müşteri’nin belgelenmiş talimatları doğrultusunda işler; böyle bir durumda DS160.io, kanun yasaklamadıkça bunu önce Müşteri’ye bildirir. DS160.io, bir talimatın Veri Koruma Mevzuatını ihlal ettiğini düşünürse bunu Müşteri’ye bildirir.

Gizlilik. DS160.io’nun Müşteri Kişisel Verilerini işlemeye yetkilendirdiği herkes yazılı bir gizlilik yükümlülüğüyle bağlıdır ve uygun gizlilik ve güvenlik eğitimi alır. DS160.io çalışanları, Müşteri’nin çalışma alanını veya bir Başvuru Sahibinin başvurusunu yalnızca Müşteri’nin bir sorunu incelemek için verdiği izinle açar ve bunun dışında yalnızca başarısız gönderim çalıştırmalarının tanılama kayıtlarını görür.

Güvenlik. DS160.io, Ek II’deki teknik ve idari tedbirleri uygular ve bunları en az orada açıklandığı kadar koruyucu düzeyde tutar.

Yardım. DS160.io, işlemenin niteliğini dikkate alarak Müşteri’ye şu konularda yardımcı olur:

• haklarını kullanan Başvuru Sahiplerinden gelen talepleri yanıtlamak. Müşteri, çalışma alanındaki Başvuru Sahibi cevaplarını kendisi görüntüleyebilir, düzeltebilir ve silebilir; DS160.io, Müşteri’nin talebi üzerine bir Başvuru Sahibinin verilerinin silinmesini üstlenir ve kopyalarını sağlar. DS160.io, Müşteri Kişisel Verilerine ilişkin olarak doğrudan kendisine gelen her talebi Müşteri’ye iletir ve Müşteri’nin talimatı olmadıkça bu talebi yanıtlamaz;
• veri koruma etki değerlendirmeleri ve ön danışma dahil olmak üzere, GDPR Madde 32 ila 36 kapsamındaki yükümlülüklerini, DS160.io’nun elindeki bilgilerle yerine getirmek.

5. Kişisel veri ihlalleri

DS160.io, Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra Müşteri’yi gecikmeksizin ve her durumda 48 saat içinde bilgilendirir. Bildirim, o an bilindiği ölçüde ihlalin niteliğini, ilgili Başvuru Sahiplerinin ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve alınan veya önerilen tedbirleri açıklar ve DS160.io daha fazla bilgi edindikçe bildirime ekleme yapar. DS160.io ihlali sınırlamak için makul adımları atar ve Müşteri talimat vermedikçe veya kanun gerektirmedikçe ihlal hakkında bir denetim makamını veya Başvuru Sahiplerini bilgilendirmez.

6. Alt veri işleyenler

Müşteri, DS160.io’ya Alt Veri İşleyenleri görevlendirmesi için genel yetki verir. Bu VİS tarihinde görevlendirilmiş olan Alt Veri İşleyenler Ek III’te listelenmiştir.

DS160.io, bir Alt Veri İşleyen eklemeden veya değiştirmeden önce, çalışma alanı sahibine e-posta göndererek ve Ek III’ü güncelleyerek Müşteri’ye en az 30 gün önceden bildirimde bulunur. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir; taraflar itirazı çözemezse Müşteri, peşin ödenmiş ve kullanılmamış Ücretlerin kalan süreyle orantılı olarak iadesiyle birlikte, Sözleşme’nin 5(c) maddesi uyarınca DS160.io kullanımını sona erdirebilir.

DS160.io, her Alt Veri İşleyene yazılı bir sözleşmeyle, en az bu VİS’in sağladığı korumayı sağlayan veri koruma yükümlülükleri yükler ve her Alt Veri İşleyenin yükümlülüklerini yerine getirmesinden Müşteri’ye karşı sorumlu olmaya devam eder.

7. Uluslararası aktarımlar

DS160.io, Müşteri Kişisel Verilerini Amerika Birleşik Devletleri’ndeki genel merkezinde bulunan kendi sunucularında işler ve Alt Veri İşleyenleri Amerika Birleşik Devletleri’ndedir. Müşteri’nin GDPR’a tabi olduğu ve DS160.io’ya yapılan bir aktarımın üçüncü bir ülkeye aktarım niteliği taşıdığı durumlarda taraflar, atıf yoluyla bu VİS’e dahil edilen SCC’lerin Modül 2’sini (veri sorumlusundan veri işleyene) akdeder; Müşteri veri aktaran, DS160.io ise veri alıcısı sıfatını taşır ve aşağıdaki seçimler geçerlidir:

• Madde 7 (katılım maddesi) uygulanmaz;
• Madde 9: 6. bölümdeki bildirim süresiyle birlikte seçenek 2 (genel yazılı yetkilendirme);
• Madde 11: isteğe bağlı ifade uygulanmaz;
• Madde 13: yetkili denetim makamı Ek I’de belirtildiği gibidir;
• Madde 17 ve 18: İrlanda hukuku ve mahkemeleri;
• SCC’lerin Ek I, II ve III’ü, bu VİS’in Ek I, II ve III’ü ile doldurulmuştur.

Müşteri’nin Birleşik Krallık GDPR’ına tabi olduğu durumlarda taraflar ayrıca SCC’lere ilişkin Birleşik Krallık Uluslararası Veri Aktarımı Eki’ni (UK International Data Transfer Addendum, sürüm B1.0) akdeder; bu ekin tabloları bu VİS’ten doldurulur ve taraflardan hiçbiri eki 19. bölümü uyarınca sona erdiremez.

Müşteri’nin İsviçre Federal Veri Koruma Kanunu’na (FADP) tabi olduğu durumlarda SCC’ler, FADP’ye tabi aktarımlara da şu uyarlamalarla uygulanır: GDPR’a yapılan atıflar FADP’ye yapılmış atıflar olarak okunur; yetkili denetim makamı Federal Veri Koruma ve Bilgi Komiseri’dir (Federal Data Protection and Information Commissioner); “Üye Devlet” terimi, mutad meskeni İsviçre’de bulunan ilgili kişilerin, Madde 18(c) uyarınca oradaki mahkemelerde dava açmasını engellemez; Madde 17 ve 18 ise diğer bakımlardan bu bölümde belirtildiği gibi kalır.

Bir Başvuru Sahibinin DS-160’ını CEAC’ta göndermek, Başvuru Sahibinin cevaplarını ABD Dışişleri Bakanlığı’na iletir. Bu aktarım, hizmetin amacı olarak Müşteri’nin talimatı üzerine yapılır ve ABD Dışişleri Bakanlığı bir Alt Veri İşleyen değil, bir alıcıdır. Bir DS-160’ı CEAC’tan içe aktarmak, onu geri getiren bilgileri CEAC’a gönderir ve gönderilmiş bir DS-160 için orada yeni, imzasız bir kopya oluşturur; bu da Müşteri’nin talimatı üzerine yapılır.

8. Silme ve iade

Müşteri’nin DS160.io kullanımı sona erdiğinde DS160.io, Müşteri Kişisel Verilerinin makine tarafından okunabilir biçimdeki bir dışa aktarımını 30 gün boyunca Müşteri’nin erişimine sunar ve ardından bu verileri siler (Sözleşme’nin 11(e) maddesi). Müşteri DS160.io’yu kullandığı sürece DS160.io, bir çalışma alanının veya bir Başvuru Sahibinin Müşteri Kişisel Verilerini Müşteri’nin talebinden itibaren 30 gün içinde siler. Silinen veriler, silinmeden sonra en fazla 7 gün boyunca, şifrelenmiş olarak DS160.io’nun veritabanı yedeklerinde ve saklanan dosyaların önceki sürümleri olarak depolama sağlayıcısında kalır ve ardından üzerine yazılır. DS160.io, Müşteri Kişisel Verilerini yalnızca kanunun gerektirdiği durumlarda ve yalnızca bu amaçla daha uzun süre saklar.

9. Denetimler ve bilgi

DS160.io, bu VİS’e ve GDPR Madde 28’e uyumu göstermek için gerekli bilgileri Müşteri’nin erişimine sunar ve Müşteri’nin işleme faaliyetlerine ilişkin makul yazılı sorularını yanıtlar. DS160.io, Müşteri veya Müşteri’nin atadığı bağımsız bir denetçi tarafından, yerinde incelemeler dahil denetimlere, herhangi bir 12 aylık dönemde bir kez (veya bir kişisel veri ihlalinden sonra ya da bir denetim makamının gerektirdiği durumlarda daha sık), en az 30 gün önceden yazılı bildirimle, mesai saatleri içinde, gizlilik yükümlülüğü altında ve masrafları Müşteri’ye ait olmak üzere izin verir. DS160.io, güncel belgelerin bir denetim talebini karşıladığı durumlarda bu talebi söz konusu belgelerle karşılayabilir.

10. Sorumluluk ve öncelik

Her bir tarafın bu VİS kapsamındaki sorumluluğu, Veri Koruma Mevzuatının bu sınırlamalara izin vermediği durumlar hariç, Sözleşme’nin 12. maddesindeki (Sorumluluk) sınırlamalara tabidir. Bu VİS Sözleşme ile çelişirse bu VİS geçerli olur; SCC’lerle çelişirse SCC’ler geçerli olur.

Bu VİS, DS160.io Müşteri Kişisel Verilerini işlediği sürece yürürlükte kalır. 7. bölümde belirtildiği şekilde tabi oldukları hukuka bağlı olan SCC’ler dışında bu VİS, Avustralya’nın Yeni Güney Galler eyaleti hukukuna tabidir ve her bir taraf, Yeni Güney Galler mahkemelerinin ve bu mahkemelerin kararlarına karşı başvurulan istinaf mahkemelerinin münhasır yargı yetkisini kabul eder.

Ek I: İşlemenin açıklaması

A. Taraflar

Veri aktaran ve veri sorumlusu: DS160.io kurumsal çalışma alanında belirtildiği şekliyle Müşteri. İletişim: çalışma alanı sahibi.

Veri alıcısı ve veri işleyen: DS160.io ticari adıyla faaliyet gösteren Galah Enterprises Pty Ltd, 26 Knight Street, Arncliffe NSW 2205, Australia. İletişim: privacy@ds160.io.

B. Aktarımın ve işlemenin açıklaması

İlgili kişi kategorileri

• Başvuru Sahipleri: DS-160’ı Müşteri’nin çalışma alanında hazırlanan, Müşteri’nin müşterileri ve çocuklar dahil olmak üzere onların aile üyeleri.
• Bir Başvuru Sahibinin cevaplarında adı geçen kişiler; örneğin aile üyeleri, işverenler, seyahat arkadaşları ve Amerika Birleşik Devletleri’ndeki irtibat kişileri.
• Bir başvurunun düzenleme geçmişinde kaydedildiği şekliyle ve Başvuru Sahiplerine gönderilen mesajların yazarları olarak Müşteri’nin çalışanları.

Kişisel veri kategorileri

• DS-160’ın sorduğu her şey: adlar, doğum tarihi ve yeri, uyruk, ulusal kimlik ve pasaport bilgileri, adresler, telefon numaraları, e-posta adresleri ve sosyal medya tanımlayıcıları, seyahat planları ve geçmişi, aile üyeleri, eğitim ve iş geçmişi.
• Başvuru Sahibinin vize fotoğrafı ve başvuru için yüklenen tüm belgeler.
• Gönderim kayıtları: CEAC Application ID, güvenlik sorusu cevabı, onay sayfası ve CEAC’ın geri gösterdiği her sayfanın PDF’si.
• CEAC’tan içe aktarmalar: bir DS-160’ı geri getirmek için girilen konum, Application ID, soyadı, doğum yılı ve güvenlik sorusu cevabı; CEAC’ın geri gösterdiği cevaplar; gönderilmiş bir DS-160 için, CEAC’ın oluşturduğu kopyanın Application ID’si ve güvenlik sorusu cevabı; ve her içe aktarmanın ilerleyişine ve sonucuna ilişkin, hiçbir cevap içermeyen bir kayıt.
• Her cevabın düzenleme geçmişi: eski ve yeni değer, değişikliği kimin ve ne zaman yaptığı.
• Müşteri’nin çalışanları ile bir Başvuru Sahibi arasında başvuru hakkındaki mesajlar (Başvuru Sahibinin e-postayla verdiği yanıtlar dahil) ve her birinin ne zaman gönderildiği ve okunduğu. E-postayla gönderilen bir yanıtın ekleri saklanmaz.
• Bir Başvuru Sahibinin müşteri bağlantısı üzerinden açtığı müşteri bilgi toplama (client-intake) sayfalarından elde edilen kullanım verileri.
• Bir müşteri bağlantısının bunu istediği durumlarda, Başvuru Sahibinin onayına ilişkin kayıt: onayın ne zaman verildiği veya geri çekildiği, bildirimin sürümü ve dili ve kullanılan tarayıcı.

Özel nitelikli veriler ve cezai veriler: DS-160’ın güvenlik ve geçmiş sorularından elde edilen sağlık verileri (GDPR Madde 9: bulaşıcı hastalıklar, zihinsel veya fiziksel bozukluklar, uyuşturucu kullanımı) ile cezai mahkûmiyetler ve suçlara ilişkin veriler (GDPR Madde 10: tutuklamalar, mahkûmiyetler ve diğer cezai konular).

Aktarımın sıklığı: Müşteri DS160.io’yu kullandığı sürece sürekli.

İşlemenin niteliği: cevapları müşteri bağlantıları ve Müşteri’nin çalışanları aracılığıyla toplamak; bunları saklamak ve şifrelemek; serbest metin cevaplarını İngilizceye çevirmek; Müşteri’nin çalışanları veya bir Başvuru Sahibi istediğinde, bunlardan cevap önermek için bir pasaport taramasındaki bilgileri çıkarmak; vize fotoğrafını otomatik olarak kontrol etmek; müşteri bağlantısı ve mesaj e-postaları göndermek ve Başvuru Sahiplerinin bunlara verdiği yanıtları almak; onay isteyen müşteri bağlantılarında Başvuru Sahiplerinin onayını kaydetmek; ve Müşteri bir gönderim başlattığında, cevapları CEAC’a girmek ve sonucu kaydetmek. Müşteri’nin çalışanları veya müşteri bağlantısındaki bir Başvuru Sahibi istediğinde DS160.io ayrıca bir DS-160’ı CEAC’tan geri okuyarak yeni bir başvuruya veya başvurunun cevaplarının yerine aktarır.

Amaç: Başvuru Sahiplerinin DS-160 başvurularını Müşteri için hazırlamak ve göndermek.

Saklama: Müşteri’nin çalışma alanı var olduğu sürece, ardından 8. bölümde belirtildiği gibi. Başarısız bir gönderim çalıştırmasının tanılama kayıtları 90 gün sonra, her gönderim çalıştırmasının adımlarına ilişkin kayıtlar ise 30 gün sonra silinir. Bir pasaport taramasından çıkarılan bilgiler 30 gün sonra veya tarama silindiğinde ya da değiştirildiğinde daha erken silinir. E-postayla alınan bir yanıt, DS160.io onu başvurunun mesajlarına aktarana kadar ve en fazla 14 gün boyunca Amazon Web Services tarafından tutulur. Bir DS-160’ı CEAC’tan içe aktarmak için girilen bilgiler, içe aktarma onu okumaya başlar başlamaz ve en geç bir saat içinde silinir; bir içe aktarmanın okudukları, CEAC’ın oluşturduğu bir kopyanın bilgileri ve bir içe aktarmanın tanılama kayıtları 90 gün sonra silinir.

Alt Veri İşleyenlere aktarımlar: Ek III’te belirtildiği gibi, orada listelenen amaçlar ve veriler için, DS160.io onları kullandığı sürece.

C. Yetkili denetim makamı

Müşteri’nin yerleşik olduğu AB üye devletinin denetim makamı veya Müşteri AB’de yerleşik olmamakla birlikte GDPR’a tabi ise, GDPR Madde 27 kapsamındaki temsilcisinin yerleşik olduğu üye devletin makamı. Birleşik Krallık GDPR’ı için Information Commissioner’s Office (Bilgi Komiserliği Ofisi). İsviçre Federal Veri Koruma Kanunu için Federal Veri Koruma ve Bilgi Komiseri.

Ek II: Teknik ve idari tedbirler

Durağan hâlde şifreleme. Başvuru Sahibi cevapları, bunların düzenleme geçmişi, bir başvuruya ilişkin mesajlar, başvurunun her gönderimde oluşturulan kopyası, CEAC Application ID’si ve güvenlik cevabı ile gönderim çalıştırmalarının tanılama kayıtları AES-256 (GCM) ile şifrelenir. Şifreleme anahtarı, veritabanından ve yedeklerinden ayrı olarak yönetilen bir anahtar deposunda tutulur; bu nedenle ikisi de anahtar olmadan okunamaz. Başvuru listeleri için yalnızca Başvuru Sahibinin adı, doğum yılı, konsolosluk ve vize türü okunabilir kalır. Bir DS-160’ı CEAC’tan içe aktarmak için girilen bilgiler, içe aktarmanın okudukları ve CEAC’ın oluşturduğu bir kopyanın bilgileri de aynı şekilde şifrelenir.

Aktarım sırasında şifreleme. DS160.io’ya giden tüm trafik HTTPS üzerinden sunulur. Posta sunucusu şifreleri ve kimlik doğrulama anahtarları gibi gizli bilgiler şifrelenmiş olarak saklanır.

Barındırma. Veritabanı, uygulama sunucuları ve her DS-160’ı gönderen tarayıcı, DS160.io’nun Amerika Birleşik Devletleri’ndeki genel merkezinde, kendi tesislerinde bulunan kendi donanımı üzerinde çalışır. Tesisler kilitli tutulur.

Erişim kontrolü. Üretim sistemlerine yalnızca DS160.io ekibi erişebilir. Çalışanlar bir çalışma alanını veya başvuruyu yalnızca Müşteri’nin bir sorunu incelemek için verdiği izinle açar ve bunun dışında yalnızca başarısız gönderim çalıştırmalarının tanılama kayıtlarını görür. Çalışanların bir inceleme sırasında yaptığı değişiklikler DS160.io tarafından yapılmış olarak kaydedilir. Her hesap çok faktörlü kimlik doğrulamayı açabilir ve bir çalışma alanı içindeki erişim, Müşteri’nin atadığı rollere göre belirlenir.

Operasyonlarda veri minimizasyonu. DS160.io’nun operasyonel uyarıları kendi sunucularında çalışır ve çalışma alanlarını ve başvuruları hiçbir zaman ad veya e-posta adresiyle değil, dahili kimlik numarasıyla (ID) tanımlar. Vize fotoğrafları üçüncü bir tarafça değil, DS160.io’nun kendi sunucularında kontrol edilir.

Yedekleme ve kurtarma. Veritabanı yedeklenir ve yedekler 7 gün saklanır. Saklanan dosyaların önceki sürümleri depolama sağlayıcısı tarafından 7 gün tutulur. Felaket kurtarma için hedeflenen kurtarma noktası ve kurtarma süresi 24 saattir.

Kayıt tutma, izleme ve yama yönetimi. DS160.io’nun sistemlerinin kayıtları tutulur ve sistemler izlenir; güvenlik açıkları zamanında yama uygulanarak yönetilir.

Eğitim. Müşteri Kişisel Verilerine erişimi olan herkes gizlilik ve güvenlik eğitimi alır.

Saklama. Başarısız gönderim çalıştırmalarının tanılama kayıtları 90 gün sonra, gönderim çalıştırması adımlarına ilişkin kayıtlar 30 gün sonra ve bir silme talebine konu veriler 8. bölümde belirtildiği gibi 30 gün içinde silinir. CEAC’tan bir içe aktarma için girilen bilgiler bir saat içinde, içe aktarmanın okudukları ise 90 gün sonra silinir.

Ek III: Alt veri işleyenler