Kişisel verilerin ikincil aktarımları
Hizmetlerimizi size etkili bir şekilde sunabilmek için, sözleşme yaptığınız Shopify kuruluşuna sağladığınız kişisel veriler aşağıdaki alıcılara aktarılır:
- Belirli diğer Shopify kuruluşları ve
- dikkatle seçilmiş ve güvenilir alt işleyenler
Bu bölümde, ikincil aktarımların nasıl yönetildikleri hakkında bilgi verilmektedir.
Bu sayfada
Kişisel verilerin Avrupa Ekonomik Alanı (EEA) ve Birleşik Krallık (Birleşik Krallık) ikincil aktarımları
İrlanda'da kayıtlı bir kuruluş olan Shopify International Limited, Shopify'ın EMEA (Avrupa, Orta Doğu ve Afrika) ve LATAM (Latin Amerika) ülkelerindeki satıcılarla sözleşme yapan birincil kuruluşudur. Shopify International Limited aynı zamanda Shopify'ın, Genel Veri Koruma Tüzüğü'nün (GDPR) amaçlarına yönelik ana kuruluşu olarak da işlev görür.
GDPR ve Birleşik Krallık'taki eşdeğer düzenleme, kişisel veriler EEA ve Birleşik Krallık dışındaki bir kuruluşla paylaşılırken hedef ülkede, temel olarak eşdeğer bir koruma düzeyi olmasını gerektirir. Bu nedenle, bu tür uluslararası aktarımlar güçlü yasal mekanizmalarla korunmalıdır.
Shopify, uluslararası veri aktarımları için GDPR gerekliliklerini nasıl karşılar?
Bu gerekliliği karşılamak üzere Shopify, kişisel verilerin Shopify International Limited tarafından Kanada'da kayıtlı kurumsal ana şirketi olan Shopify Inc. şirketine aktarılması sırasında, Avrupa Komisyonu'nun Kanada için yeterlilik kararına dayanır. Yeterlilik kararları hakkında daha fazla bilgi edinin.
Buna ek olarak Shopify, aşağıdakileri yönetmek için Avrupa Komisyonu tarafından onaylanan Standart Sözleşme Maddeleri'nin (SCC'ler) en son sürümünü içeren kapsamlı veri aktarımı ve işleme anlaşmalarını (DPA'lar) kullanır:
- Shopify grubu içindeki tüm aktarımlar ve
- Alt işleyenlere yönelik ikincil aktarımlar
Kişisel verileri korumaya yönelik uygun teknik ve organizasyonel önlemlere sahip olduklarından ve uygun aktarım etkisi değerlendirmeleri yaptıklarından emin olmak için alt işleyenlerimizi dikkatle değerlendiririz. SCC'ler hakkında daha fazla bilgi edinin
Hem yeterlilik kararı hem de SCC'ler, EEA ve Birleşik Krallık'ta veri korumayla ilgili yetkili kurumlar tarafından yasal olarak geçerli ve yeterli aktarım mekanizması olarak kabul edilir.
Ek bir önlem olarak Shopify, Shopify grubu içindeki aktarımları daha da iyi yönetmek için Bağlayıcı Kurumsal Kurallar için de başvuruda bulunmuştur. Bu başvuru, GDPR amaçları doğrultusunda Shopify için başlıca denetim otoritesi olan İrlanda Veri Koruma Komisyonu'na yapılmıştır. Bunlar, şirketler grubumuz içindeki aktarımların güvenliğini sağlamaya yönelik, ek bir yasal aktarım mekanizması olacaktır. Bu başvuru sürecinin son aşamalarındayız ve yakında onaylanacağını umuyoruz.
Kişisel verilerin, diğer tüm bölgelerden ikincil aktarımları
AEA ve Birleşik Krallık dışındaki yetki bölgelerinde geçerli olan belirli gizlilik yasaları, kişisel verilerin uluslararası aktarımları söz konusu olduğunda da belirli korumalar gerektirir. Bu gereklilikleri karşılamak için, Shopify grubu içindeki aktarımları yöneten Shopify DPA'ları ve alt işleyicilerimize ikincil aktarımları yöneten DPA'ları, geçerli olduğu durumlarda Kanada, Amerika Birleşik Devletleri (ABD) ve Singapur'daki gizlilik yasalarına uygunluğu sağlayan uygun korumaları içerir. Ayrıca, bu DPA'ları da gerektiği şekilde günceller ve sürdürürüz.
Veri barındırma konumları
Shopify, satıcı veritabanımız genelinde öngörülemeyen hacimleri işleyebilecek güvenilir ve ölçeklenebilir bir altyapı sunabilmemizi sağlamak için, birden fazla Google Cloud Platform bölgesi arasında depolamayı dinamik olarak yeniden dengeler. Hizmetlerimizi yürütebilmek için verileri coğrafi olarak taşıyabilmemiz gerekir ve bunu, GDPR de dahil olmak üzere, yürürlükteki yasa ve düzenlemelere uygun olarak yapabilecek mekanizmalara sahibiz.
Shopify artık belirli satıcı ve müşterilerin kişisel verilerini Avrupa'da (yani AEA, Birleşik Krallık ve/veya İsviçre'de) şu şekilde depolar:
- Avrupa'daki yeni satıcılar bu yeni altyapıdan otomatik olarak yararlanır ve artık mağaza verileri, sipariş verileri ve müşterilerin kişisel verileri varsayılan olarak Avrupa'da saklanmaktadır.
- Mevcut tüm Shopify özellikleri çalışmaya devam edecektir.
- Satıcıların ve müşterilerin kişisel verileri Avrupa'da depolanmış olsa bile, bu kişisel verilerin işlemesi için uluslararası veri aktarımlarından yararlanırız.
Shopify, alt işleyenlerini nasıl seçer?
Shopify, GDPR ve yürürlükteki diğer veri koruma yasalarına uygun şekilde, alt işleyenleri görevlendirirken bir dizi en iyi uygulama önlemini benimser:
- Birlikte çalıştığımız şirketleri dikkatle seçeriz.
- Yalnızca sınırlı sayıda üçüncü taraf hizmet sağlayıcısı kullanırız.
- Alt işleyenlerin Kanada, ABD ve Singapur'daki gizlilik yasalarına uyumu sağlamak için gerekli korumaların yanı sıra SCC'leri de içeren kapsamlı bir DPA imzalaması konusunda ısrar ederiz.
- Alt işleyenlerimizin kullanımını teknik hizmetlerle sınırlandırırız: Bulutta barındırma, hata günlüğü kaydı, yük dengeleme, içerik teslimatı, eşleştirme teslimatı, veri analizi ve dahili günlük kaydı (günlük dosyaları).
- Aktarım, sürekli ve güvenli şekilde gerçekleşir.
- Kişisel verilerin hassas veya özel kategorileri, sorumlu tarafından yönlendirilmediği sürece uluslararası olarak işlenmez.
- Alt işleyenlerimizin gizlilik ve güvenlik programlarını dikkatle inceleriz.
Shopify'ın temel alt işleyenleri hakkında daha fazla bilgi edinin.