Son Güncelleme: 20 Nisan 2026
Bu Veri İşleme Sözleşmesi (“DPA”), LedgerPort kullanım şartları ve koşullarının (“Şartlar”) bir parçasıdır ve LedgerPort hesap kaydında tanımlanan kuruluş (“Müşteri”, “Kontrolör”, “siz” veya “sizin”) ile PushEngage LLC, Florida limited liability şirketi, LedgerPort olarak faaliyet gösteren, 400 Executive Center Dr, Ste 208, West Palm Beach, Florida 33401 adresinde bulunan (“LedgerPort”, “İşleyici”, “biz”, “bizim” veya “bizi”) arasında akdedilmiştir.
Bu DPA, LedgerPort tarafından Müşteri adına, LedgerPort veri senkronizasyon hizmetlerinin (“Hizmetler”) sağlanmasıyla bağlantılı olarak Kişisel Verilerin işlenmesi için geçerlidir. Bu DPA ile Şartlar arasında bir çelişki olması durumunda, Kişisel Verilerin işlenmesiyle ilgili olarak bu DPA geçerli olacaktır.
Hizmetlere abone olarak ve Hizmetleri kullanarak, Müşteri bu DPA'yı kendi adına ve geçerli Veri Koruma Yasaları uyarınca gerektiği ölçüde, Hizmetler aracılığıyla işlenen Kişisel Verilerinin son müşterileri ve diğer veri sahipleri adına akdetmiş olur.
1. Tanımlar
“Veri Koruma Yasaları”, Kişisel Verilerin işlenmesiyle ilgili tüm geçerli yasa ve düzenlemeler anlamına gelir, bunlara uygulanabildiği ölçüde şunlar dahildir: (a) 2020 tarihli Kaliforniya Gizlilik Hakları Yasası ile değiştirilen 2018 tarihli Kaliforniya Tüketici Gizlilik Yasası (topluca “CCPA”); (b) AB Genel Veri Koruma Tüzüğü 2016/679 (“GDPR”); (c) Birleşik Krallık Genel Veri Koruma Tüzüğü ve 2018 tarihli Veri Koruma Yasası (“Birleşik Krallık GDPR”); ve (d) diğer geçerli gizlilik veya veri koruma mevzuatı.
“Kişisel Veri”, Hizmetlerle bağlantılı olarak LedgerPort tarafından Müşteri adına işlenen, tanımlanmış veya tanımlanabilir gerçek bir kişiye ilişkin tüm bilgiler anlamına gelir. Buna CCPA tarafından tanımlanan “kişisel bilgiler” ve GDPR ve Birleşik Krallık GDPR tarafından tanımlanan “kişisel veri” dahildir.
“İşleme”, toplama, kaydetme, düzenleme, yapılandırma, depolama, uyarlama, değiştirme, geri alma, danışma, kullanma, iletim yoluyla açıklama, yayma, hizalama, birleştirme, kısıtlama, silme veya yok etme dahil olmak üzere Kişisel Veriler üzerinde gerçekleştirilen herhangi bir işlem veya işlem kümesi anlamına gelir.
“Güvenlik Olayı”, Hizmetlerle bağlantılı olarak LedgerPort tarafından iletilen, depolanan veya başka şekilde işlenen Kişisel Verilerin herhangi bir kazara veya yasa dışı imhası, kaybı, değiştirilmesi, yetkisiz ifşası veya bunlara erişim anlamına gelir.
“Alt İşleyici”, Hizmetlerle bağlantılı olarak Müşteri adına Kişisel Verileri işlemek üzere LedgerPort tarafından görevlendirilen herhangi bir üçüncü taraf anlamına gelir.
“Standart Sözleşme Maddeleri” veya “SCC'ler”, Avrupa Komisyonu tarafından kabul edilen, zaman zaman değiştirilebilen, yerini alabilen veya yenilenebilen, kişisel verilerin üçüncü ülkelere aktarılması için standart sözleşme maddeleri anlamına gelir.
2. Roller ve İşleme Kapsamı
2.1 Roller
Müşteri, Hizmetler aracılığıyla işlenen Kişisel Verilerin Denetleyicisi (veya KVKK kapsamında "işletme")dir. LedgerPort, Kişisel Verileri yalnızca Müşterinin adına ve Müşterinin belgelenmiş talimatları doğrultusunda işleyen İşleyicidir (veya KVKK kapsamında "hizmet sağlayıcı").
2.2 İşlemenin Kapsamı
İşlemenin ayrıntıları aşağıdaki gibidir:
Konu: Müşterinin bağlı Üçüncü Taraf Platformları (örneğin, Shopify, QuickBooks Online, Xero, WooCommerce, Magento, Amazon) ile LedgerPort Hizmetleri aracılığıyla e-ticaret ve finansal verilerin senkronizasyonu.
Süre: Müşterinin Hizmetlere abonelik süresi boyunca, herhangi bir yasal veya düzenleyici saklama yükümlülüğüne tabi olmak kaydıyla, fesih sonrası veri silme için otuz (30) takvim günü artı.
Nitelik ve Amaç: Müşteri tarafından Hizmetler aracılığıyla yapılandırıldığı şekilde, Müşterinin bağlı platformları arasında e-ticaret ve finansal kayıtların otomatik veri senkronizasyonu, dönüştürülmesi, eşlenmesi ve iletilmesi.
İşlenen Kişisel Veri Türleri:
- Adlar (Müşterinin son müşterilerinin, kişilerinin ve hesap kullanıcılarının)
- E-posta adresleri
- Telefon numaraları
- Fiziksel adresler (fatura ve teslimat)
- Sipariş ve işlem ayrıntıları (sipariş kimlikleri, tutarlar, tarihler, satır öğeleri)
- Ödeme bilgileri (ödeme yöntemleri, ağ geçidi referansları - tam kart numaraları değil)
- Ürün satın alma geçmişi
- Hesap kimlik bilgileri (kullanıcı adları, hash'lenmiş şifreler, OAuth belirteçleri)
Veri Konuları Kategorileri:
- Müşterinin son müşterileri (siparişleri, iletişim bilgileri ve işlem verileri senkronize edilen bireyler)
- Hizmetlere erişen Müşterinin çalışanları ve Yetkili Kullanıcıları
- Bağlı muhasebe platformlarında saklanan Müşterinin iş kişileri
3. Müşteri Yükümlülükleri
3.1. Müşteri, aşağıdakileri garanti eder: (a) Hizmetler aracılığıyla sağladığı veya erişilebilir kıldığı Kişisel Verilerin toplanması ve işlenmesi için geçerli Veri Koruma Yasaları kapsamında yasal bir dayanağı vardır; (b) Hizmetler aracılığıyla işlenecek Kişisel Veri sahiplerinden gerekli tüm bildirimleri yapmış ve tüm gerekli onayları veya yetkileri almıştır; ve (c) Kişisel Verilerin işlenmesine ilişkin LedgerPort'a verdiği talimatlar, tüm geçerli Veri Koruma Yasalarına uygundur.
3.2. Müşteri, Hizmetlere sağlanan veya Hizmetler aracılığıyla işlenen Kişisel Verilerin doğruluğu, kalitesi ve yasallığı ile Müşterinin bu verileri elde etme yollarından yalnızca sorumludur.
3.3. Müşteri, LedgerPort'un bu DPA kapsamındaki yükümlülüklerini yerine getirme yeteneğini etkileyebilecek herhangi bir durumdan haberdar olduğunda derhal LedgerPort'a bildirecektir.
4. LedgerPort Yükümlülükleri
4.1. İşleme Talimatları. LedgerPort, Kişisel Verileri yalnızca Müşterinin belgelenmiş talimatları uyarınca ve bu talimatlara uygun olarak işleyecektir. Müşterinin talimatları şunlarda belgelenmiştir: (a) bu DPA; (b) Hükümler; ve (c) Hizmetler içindeki Müşterinin senkronizasyon yapılandırma ayarları. LedgerPort, görüşüne göre bir talimatın geçerli Veri Koruma Yasalarını ihlal etmesi durumunda Müşteriyi derhal bilgilendirecektir.
4.2. Gizlilik. LedgerPort, Kişisel Verileri işlemeye yetkili tüm personelin gizlilik yükümlülüklerine bağlı olmasını veya uygun bir yasal gizlilik yükümlülüğü altında olmasını sağlayacaktır.
4.3. Güvenlik. LedgerPort, Kişisel Verileri yetkisiz veya yasa dışı işlemeye, kazara kayba, yok edilmeye veya hasara karşı korumak için uygun teknik ve organizasyonel önlemleri uygulayacak ve sürdürecektir. Bu önlemler şunları içerir, ancak bunlarla sınırlı değildir:
- TLS/SSL protokolleri kullanılarak aktarım halindeki Kişisel Verilerin şifrelenmesi
- Saklanan OAuth belirteçlerinin, kimlik bilgilerinin ve diğer hassas verilerin durağan halde şifrelenmesi
- Kişisel Verilere erişimi yalnızca yetkili personelin bilmesi gereken ölçüde sınırlayan role dayalı erişim kontrolleri
- Düzenli güvenlik değerlendirmeleri, güvenlik açığı taramaları ve sızma testleri
- Kurumsal düzeyde altyapı, ağ izolasyonu ve güvenlik duvarı korumaları ile Google Cloud Platform'da güvenli barındırma
- Şüpheli etkinlik ve yetkisiz erişim girişimleri için otomatik izleme ve uyarılar
- Kod incelemeleri ve bağımlılık yönetimi dahil olmak üzere güvenli yazılım geliştirme yaşam döngüsü uygulamaları
- Çalışan güvenlik farkındalığı eğitimi
4.4. CCPA Uyumluluğu. LedgerPort'un Müşteri adına CCPA'ya tabi Kişisel Verileri işlemesi durumunda, LedgerPort: (a) Kişisel Verileri satmayacak veya paylaşmayacaktır (CCPA'da tanımlandığı şekilde); (b) Kişisel Verileri, Hükümler ve bu DPA'da belirtilen iş amaçları dışında veya CCPA tarafından izin verilen durumlar dışında herhangi bir amaçla saklamayacak, kullanmayacak veya ifşa etmeyecektir; (c) Kişisel Verileri LedgerPort ile Müşteri arasındaki doğrudan iş ilişkisi dışında saklamayacak, kullanmayacak veya ifşa etmeyecektir; ve (d) bu Bölüm 4.4'te belirtilen kısıtlamaları anladığını onaylar ve bunlara uyacaktır.
4.5. Veri Sahibi Haklarına Yardımcı Olma. LedgerPort, işlemenin niteliğini dikkate alarak, Müşterinin geçerli Veri Koruma Yasaları (erişim, düzeltme, silme, veri taşınabilirliği, kısıtlama ve itiraz hakları dahil) kapsamındaki haklarını kullanan veri sahiplerinden gelen taleplere yanıt verme yükümlülüğünü yerine getirmesinde, mümkün olduğu ölçüde, uygun teknik ve organizasyonel önlemlerle Müşteriye yardımcı olacaktır. LedgerPort doğrudan bir veri sahibinden bir talep alırsa, veri sahibini derhal Müşteriye yönlendirecek ve Müşteriyi talep hakkında bilgilendirecektir.
4.6. Assistance with Compliance. LedgerPort shall assist the Customer in ensuring compliance with its obligations under applicable Data Protection Laws with respect to: (a) the security of processing; (b) notification of Security Incidents; (c) data protection impact assessments (where required); and (d) prior consultation with supervisory authorities (where required). Such assistance shall be provided taking into account the nature of processing and the information available to LedgerPort.
4.7. Data Deletion. Upon termination or expiration of the Customer’s subscription, LedgerPort shall, at the Customer’s choice, delete or return all Personal Data processed on behalf of the Customer within thirty (30) calendar days, and delete existing copies unless applicable law requires further storage. The Customer acknowledges that after the thirty (30) day deletion period, LedgerPort shall have no obligation to maintain or provide any Personal Data.
5. Security Incident Notification
5.1. Notification. LedgerPort shall notify the Customer of any Security Incident without undue delay after becoming aware of such incident. Where feasible, notification shall be made within seventy-two (72) hours of LedgerPort becoming aware of the Security Incident.
5.2. Content of Notification. The notification shall include, to the extent reasonably available:
- A description of the nature of the Security Incident, including the categories and approximate number of data subjects and Personal Data records affected
- The name and contact details of LedgerPort’s point of contact for further information
- A description of the likely consequences of the Security Incident
- A description of the measures taken or proposed to be taken to address the Security Incident, including measures to mitigate its possible adverse effects
5.3. Cooperation. LedgerPort shall cooperate with the Customer and take commercially reasonable steps to assist in the investigation, mitigation, and remediation of each Security Incident. LedgerPort shall also assist the Customer in complying with any breach notification obligations under applicable Data Protection Laws, including the California breach notification requirements under Cal. Civ. Code § 1798.82.
5.4. Limitations. LedgerPort’s obligation to report or respond to a Security Incident under this Section 5 is not and will not be construed as an acknowledgment by LedgerPort of any fault or liability with respect to the Security Incident.
6. Sub-Processors
6.1. Authorized Sub-Processors. The Customer provides general written authorization for LedgerPort to engage Sub-Processors to process Personal Data on behalf of the Customer. The current list of authorized Sub-Processors is set forth in Schedule 1 (Sub-Processor List) below and is also maintained at www.ledgerport.com/sub-processors.
6.2. Sub-Processor Obligations. LedgerPort shall: (a) enter into a written agreement with each Sub-Processor that imposes data protection obligations no less protective than those set out in this DPA; (b) remain fully liable to the Customer for the performance of each Sub-Processor’s obligations; and (c) ensure that each Sub-Processor provides sufficient guarantees to implement appropriate technical and organizational measures.
6.3. Changes to Sub-Processors. LedgerPort shall notify the Customer by email at least thirty (30) days before engaging any new Sub-Processor or replacing an existing Sub-Processor. The notice shall identify the new Sub-Processor, describe its processing activities, and state its location. If the Customer objects to a new Sub-Processor on reasonable grounds related to data protection, the Customer shall notify LedgerPort in writing within fifteen (15) days of receiving notice. The parties shall work together in good faith to find a mutually acceptable resolution. If no resolution can be reached within thirty (30) days of the Customer’s objection, the Customer may terminate the affected Services without penalty by providing written notice to LedgerPort.
7. International Data Transfers
7.1. The Services are hosted on infrastructure located in the United States. Personal Data processed through the Services is stored and processed in the United States.
7.2. To the extent that the processing of Personal Data involves a transfer of Personal Data from the European Economic Area (“EEA”), the United Kingdom, or Switzerland to a country that has not been recognized as providing an adequate level of data protection, the parties agree that such transfers shall be subject to the Standard Contractual Clauses adopted by the European Commission (Commission Implementing Decision (EU) 2021/914), which are hereby incorporated by reference into this DPA. For transfers from the UK, the International Data Transfer Addendum to the EU SCCs issued by the UK Information Commissioner’s Office shall apply.
7.3. LedgerPort shall implement appropriate supplementary measures to ensure that the level of protection of Personal Data is not undermined by the transfer, taking into account the laws and practices of the destination country.
Note: LedgerPort is currently focused on the United States market. As the Services expand to serve customers in the EEA and UK, LedgerPort will execute the applicable Standard Contractual Clauses and make them available for Customer co-signature at www.ledgerport.com/legal.
8. Audit Rights
8.1. LedgerPort shall make available to the Customer, on request, all information reasonably necessary to demonstrate compliance with this DPA and applicable Data Protection Laws.
8.2. The Customer (or a qualified, independent third-party auditor appointed by the Customer) may conduct an audit of LedgerPort’s processing activities and security measures, subject to the following conditions:
- The Customer shall provide at least thirty (30) days’ prior written notice of any audit request
- Audits shall be conducted during normal business hours, no more than once per twelve (12) month period, unless a Security Incident or regulatory requirement necessitates an additional audit
- The Customer shall ensure that the auditor executes a confidentiality agreement acceptable to LedgerPort before the audit commences
- Audits shall be conducted in a manner that minimizes disruption to LedgerPort’s business operations
- The Customer shall bear the costs of any audit, except where the audit reveals a material breach of this DPA by LedgerPort
8.3. As an alternative to an on-site audit, LedgerPort may, at its discretion, provide the Customer with: (a) a copy of any applicable SOC 2 Type II report, ISO 27001 certification, or equivalent third-party audit report; or (b) written responses to the Customer’s reasonable audit questions. Where such documentation is provided and reasonably addresses the Customer’s audit requirements, the Customer agrees that this shall satisfy the audit right for the applicable period.
9. Liability
9.1. Each party’s total aggregate liability arising out of or related to this DPA shall be subject to the limitations of liability set forth in the Terms.
9.2. Nothing in this DPA shall limit either party’s liability for: (a) fraud or fraudulent misrepresentation; (b) death or personal injury caused by negligence; or (c) any liability that cannot be excluded or limited under applicable law.
10. Term and Termination
10.1. This DPA shall come into effect on the date the Customer first subscribes to the Services and shall remain in effect for the duration of LedgerPort’s processing of Personal Data on behalf of the Customer.
10.2. Upon termination of the Terms, LedgerPort shall comply with the data deletion obligations set forth in Section 4.7 of this DPA.
10.3. Sections 1 (Definitions), 4.7 (Data Deletion), 5 (Security Incident Notification), 8 (Audit Rights), 9 (Liability), and this Section 10.3 shall survive termination of this DPA.
11. General Provisions
11.1. Governing Law. This DPA shall be governed by the laws of the State of Florida, without regard to conflict of law provisions, except where applicable Data Protection Laws require the application of a different governing law for specific provisions (such as the Standard Contractual Clauses, which shall be governed by the law of the EU Member State in which the Controller is established).
11.2. Amendments. LedgerPort may update this DPA from time to time to reflect changes in its data processing practices, Sub-Processors, or applicable Data Protection Laws. LedgerPort shall notify the Customer of material changes at least thirty (30) days before they take effect. Continued use of the Services after such notice constitutes acceptance of the updated DPA.
11.3. Bölünebilirlik. Bu DPA'nın herhangi bir hükmü geçersiz veya uygulanamaz bulunursa, kalan hükümler tam olarak yürürlükte kalacaktır.
11.4. DPA'nın Bütünlüğü. Bu DPA, Hükümler ve Gizlilik Politikası ile birlikte, Hizmetlerle bağlantılı olarak Kişisel Verilerin işlenmesi konusunda taraflar arasındaki eksiksiz anlaşmayı oluşturur.
11.5. İletişim. Bu DPA veya LedgerPort'un veri işleme uygulamaları hakkında sorularınız veya endişeleriniz için lütfen iletişime geçin:
LedgerPort (PushEngage LLC tarafından işletilmektedir) — Gizlilik
400 Executive Center Dr, Ste 208
West Palm Beach, Florida 33401
E-posta: [email protected]
1. Çizelge: Yetkili Alt İşleyiciler
20 Nisan 2026 itibarıyla geçerlidir. Mevcut alt işleyici listesi ayrıca www.ledgerport.com/sub-processors adresinde tutulmaktadır.
| Alt İşleyici | Amaç | Konum | İşlenen Veriler |
|---|---|---|---|
| Google Cloud Platform (Google LLC) | Bulut altyapısı barındırma, veritabanı barındırma, veri işleme ve depolama | Amerika Birleşik Devletleri | Hizmetler aracılığıyla işlenen tüm Kişisel Veriler |
| Stripe, Inc. | Doğrudan abonelikler için kredi/banka kartı ödeme işlemesi | Amerika Birleşik Devletleri | Müşteri adı, e-posta, fatura adresi, ödeme kartı bilgileri (token'lı) |
| Shopify Inc. | Shopify'a yüklenen abonelikler için uygulama faturalandırması; e-ticaret platformu entegrasyonu | Kanada / Amerika Birleşik Devletleri | Müşteri adı, e-posta, Shopify hesap kimliği, fatura bilgileri; Müşteri tarafından yapılandırıldığı şekilde e-ticaret verileri |
| Intuit Inc. (QuickBooks Online) | Muhasebe platformu entegrasyonu | Amerika Birleşik Devletleri | Müşteri tarafından yapılandırıldığı şekilde muhasebe verileri ve müşteri kayıtları |
| Xero Limited | Muhasebe platformu entegrasyonu (planlanıyor) | Yeni Zelanda / Küresel | Müşteri tarafından yapılandırıldığı şekilde muhasebe verileri ve müşteri kayıtları |
| Lindris | İşlemsel ve pazarlama e-postası teslimatı | Amerika Birleşik Devletleri | Müşteri adı, e-posta adresi, e-posta içeriği |
| FreeScout (kendi kendine barındırılan) | Müşteri destek bileti yönetimi | Amerika Birleşik Devletleri (LedgerPort altyapısında barındırılır) | Müşteri adı, e-posta adresi, destek bileti içeriği |
| Google LLC (Analitik) | Web sitesi ve ürün kullanım analizleri | Amerika Birleşik Devletleri | IP adresi (anonimleştirilmiş), cihaz bilgileri, tarama davranışı, kullanım verileri |
| Meta Platforms, Inc. | Pazarlama kampanyası ölçümü ve reklamcılık | Amerika Birleşik Devletleri | IP adresi, cihaz bilgileri, tarama davranışı (piksel aracılığıyla) |
Bu alt işlemci listesi, bu DPA'nın 6.3. Maddesi uyarınca değişebilir. Yeni bir alt işlemci devreye alınmadan en az otuz (30) gün önce müşterilere bildirimde bulunulacaktır.
Ek 2: Teknik ve Organizasyonel Önlemler
LedgerPort, Hizmetler aracılığıyla işlenen Kişisel Verileri korumak için aşağıdaki teknik ve organizasyonel önlemleri uygular:
Erişim Kontrolü
- LedgerPort idari erişimi için çok faktörlü kimlik doğrulama
- Tüm iç sistemler için role dayalı erişim kontrolleri (RBAC)
- Tüm personele ve hizmet hesaplarına uygulanan en az ayrıcalık ilkesi
- Tüm personel için benzersiz kullanıcı kimlik bilgileri; paylaşılan hesaplar yasaktır
- Çalışan işe alım ve işten çıkarma sırasında erişimin otomatik olarak sağlanması ve kaldırılması
Şifreleme
- Tüm aktarım halindeki veriler için TLS 1.2 veya üstü
- Beklemedeki OAuth belirteçleri ve hassas kimlik bilgileri için AES-256 şifrelemesi
- Tüm depolanan veriler için Google Cloud Platform varsayılan beklemedeki şifrelemesi
- Şifrelenmiş veritabanı yedeklemeleri
Ağ Güvenliği
- Herkese açık uç noktaları koruyan web uygulama güvenlik duvarı (WAF)
- Üretim, hazırlık ve geliştirme ortamları arasında ağ segmentasyonu ve izolasyonu
- DDoS azaltma hizmetleri
- Saldırı tespit ve önleme sistemleri
- Harici ve dahili sistemlerin düzenli güvenlik açığı taraması
Uygulama Güvenliği
- Güvenlik incelemeleriyle güvenli yazılım geliştirme yaşam döngüsü (SDLC)
- Bağımlılık güvenlik açığı taraması ve otomatik yama
- Giriş doğrulama ve çıkış kodlaması ile enjeksiyon saldırılarını önleme
- Güvenlik odaklı düzenli kod incelemeleri
- CI/CD işlem hatlarında otomatik güvenlik testi
Veri İşleme
- Müşteri hesabına göre ayrılmış Kişisel Veriler; kiracılar arası veri erişimi yok
- Hesap sonlandırmasından sonra otuz (30) gün içinde otomatik veri silme
- Senkronizasyon günlükleri ve denetim izleri, abonelik planı saklama sürelerine göre tutulur
- OAuth belirteçleri şifrelenir ve uygulama verilerinden ayrı olarak saklanır
- Yedekleme verileri şifrelenir ve yalnızca olağanüstü durum kurtarma amacıyla saklanır
İzleme ve Olay Müdahalesi
- Altyapı ve uygulama sağlığının 7/24 otomatik izlenmesi
- Kurcalamaya dayanıklı günlük depolamalı merkezi günlük kaydı
- Tanımlanmış yükseltme prosedürlerine sahip belgelenmiş olay müdahale planı
- Düzenli olay müdahale tatbikatları ve masaüstü egzersizleri
- Olay sonrası inceleme ve düzeltme takibi
Personel
- Üretim sistemlerine erişimi olan tüm çalışanlar için geçmiş kontrolleri
- Tüm personel için gizlilik sözleşmeleri
- Yıllık güvenlik farkındalığı eğitimi
- Temiz masa ve ekran kilidi politikaları
İş Sürekliliği
- Coğrafi yedeklilik ile otomatik günlük veritabanı yedeklemeleri
- Tanımlanmış kurtarma süresi hedefleri (RTO) ve kurtarma noktası hedefleri (RPO) ile olağanüstü durum kurtarma planı
- Düzenli yedek geri yükleme testi
