Hizmet Sağlayıcı Veri Koruma Standartları (HSVKS)

Son Güncelleme: Mart 2018.

Hilton olarak bizler müşterilerimiz, çalışanlarımız, bağımsız yüklenicilerimiz ve hizmet sağlayıcılarımız ile ilgili Kişisel Bilgilerin korunmasını çok ciddiye alıyoruz. Bir Delaware şirketi olan Hilton Domestic Operating Company Inc.’e veya doğrudan veya dolaylı iştiraklerine, sahip olduğu ve yönettiği otellere, ortaklıklara veya ortak girişimlere (münferiden ve müştereken “Hilton” olarak anılacaktır) veya acenteleri (franchise) yararına Hilton aracılığıyla mal veya hizmet sağlayan tüm kişi veya kuruluşlar, bu Hizmet Sağlayıcı Veri Koruma Standartlarında (“Standartlar”) belirtilen esaslara uymak zorundadır. Bu Standartlar, Hilton ile Sağlayıcı arasında akdedilen ve bu Standartlara atıfta bulunan veya bu Standartların eklendiği veya dâhil edildiği her tür sözleşmenin (“Sözleşme”) parçasını teşkil eder. Bu Standartlar ile Sözleşme arasında bir çelişki olması durumunda, Sözleşmede daha katı standartlar öngörülmedikçe, konusu bakımından bu Standartlar geçerli olacaktır.

a. “Biyometrik Veriler”, bir kişinin benzersiz kimliğinin tespitine olanak sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerinin özel teknik işlenmesiyle elde edilen Kişisel Bilgileri ifade eder.

Sağlayıcı, Kişisel Bilgileri, Sözleşmede açıklanan Hizmetlerle bağlantılı olarak ve Sözleşme süresince Veri Koruma Gerekliliklerine ve Sözleşmeye uymak koşuluyla işleyecektir. Sağlayıcı tarafından işlenen Kişisel Bilgilerin türü, Sözleşmede açıklanmıştır. İşleme, Hilton çalışanlarının, Hilton müşterileri ve misafirlerinin kişisel bilgilerini ve Sözleşmede ayrıntılı olarak açıklandığı üzere Hilton kurumsal müşterilerinin, tedarikçilerinin ve diğer iş ortaklarının ticari iletişim bilgilerini içerebilir.

Hilton, Kişisel Bilgilerin işlenme amaçlarını münhasıran belirleme hakkına sahiptir. Sağlayıcı, Kişisel Bilgileri yalnızca Hizmetleri Sözleşmeye uygun olarak sağlamak amacıyla işleyecektir. Sağlayıcı hiçbir zaman Kişisel Bilgilere ilişkin herhangi bir mülkiyet, lisans, hak veya başka menfaatler iktisap etmeyecektir. Hilton ve Sağlayıcı arasında olduğu üzere Kişisel Bilgiler daima Hilton’un özel mülkiyetindeki bilgiler olarak kalmaya devam edecek ve GVKY’de tanımlandığı üzere Hilton, “Veri Sorumlusu” ve Sağlayıcı “İşleyici” olacaktır.

Sağlayıcı, Kişisel Bilgileri Veri Koruma Gereklilikleri, bu Standartlar ve Sözleşmeye uygun olarak gizli tutacaktır. Sağlayıcı, Hizmetlerin ifası için gerekli olmadıkça, Kişisel Bilgileri (Alt-Yüklenicileri dâhil olmak, ancak bunlarla sınırlı olmamak üzere) herhangi bir bağlı kuruluşuna veya üçüncü tarafa açıklamayacaktır. Herhangi bir Kişisel Bilgiyi herhangi bir Alt-Yükleniciye veya başka bir üçüncü tarafa açıklamadan önce Sağlayıcı, ilgili Alt-Yüklenici veya diğer üçüncü tarafla, en az bu Standartlarda belirtilenler kadar kısıtlayıcı yükümlülükler içeren yazılı bir anlaşma yapacaktır. Sağlayıcı ayrıca Kişisel Bilgileri açıkladığı tüm bağlı kuruluşların ve üçüncü tarafların bir listesini Hilton’un talebi üzerine vermeyi kabul eder. Sağlayıcı, Kişisel Bilgileri açıkladığı üçüncü tarafların, bağlı kuruluşlarının ve kendisinin bu Standartlara uymasından daima mesul ve sorumlu olacaktır. Sağlayıcı, Kişisel Bilgilerin İşlenmesi faaliyetinde görev alan personelinin, Kişisel Bilgilerin gizli niteliği hakkında bilgilendirilmesini ve yazılı gizlilik sözleşmeleri imzalamış (veya uygun bir yasal gizlilik yükümlülüğü altında) olmalarını sağlayacaktır. Sağlayıcı, bu gizlilik yükümlülüklerinin, söz konusu personelin iş akdinin herhangi bir şekilde sona ermesinden sonra da yürürlükte kalmaya devam etmesini sağlayacaktır.

Sağlayıcıdan herhangi bir Kişisel Bilgiyi(sözlü sorular, sorgular, hukuki işlemlerdeki bilgi veya belge talepleri, mahkeme celbi, hukuk soruşturması talebi veya benzeri bir işlem yoluyla) üçüncü bir tarafa açıklaması talep edilmesi veya gerekmesi halinde Sağlayıcı, Kişisel Bilgileri yürürlükteki yasalara uymadan açıklamayacaktır. Yürürlükteki yasalar tarafından yasaklanmadıkça Sağlayıcı, Kişisel Bilgilerin üçüncü bir tarafa açıklanması talebini veya gerekliliği, Hilton’un yapılacak açıklamayı önlemek veya sınırlandırmak için yasalar kapsamında sahip olabileceği hakları, masrafları kendisine ait olmak üzere, kullanabilmesini sağlamak amacıyla en geç talebi aldıktan sonra yetmiş iki (72) saat içerisinde, ancak her halükarda herhangi bir açıklama yapmadan önce yazılı olarak Hilton’a bildirecektir. Yukarıdaki hükme bakılmaksızın Sağlayıcı, Kişisel Bilgilerin açıklanmasını önlemek veya sınırlamak ve Kişisel Bilgilerin gizliliğini korumak için Sağlayıcının açıklamasının mecbur tutulduğu Kişisel Bilgilerin gizli tutulacağına dair uygun bir koruma veya başka bir güvence elde etmek için Hilton ile iş birliği yapılmasını içeren, ancak bununla da sınırlı olmayan ticari olarak makul çabayı gösterecektir.

Madde 4’te belirtildiği üzere Sağlayıcı, Kişisel Bilgileri bir ülkeden diğerine yalnızca Hilton’un önceden yazılı izni ile ve Veri Koruma Gerekliliklerine uygun olarak aktarabilir. Kaynağı Avrupa Birliği (“AB”) veya İsviçre olan, Hizmetlerle bağlantılı olarak Sağlayıcı tarafından işlenen Kişisel Bilgiler ile ilgili olarak, (i) Sağlayıcının AB’de veya İsviçre’de bulunduğu ve söz konusu Kişisel Bilgileri AB’de veya İsviçre’de aldığı durumlarda Sağlayıcı, Kişisel Bilgileri Hilton’un önceden yazılı izni olmadan (Sözleşmeye dâhil edilebilir) AB veya İsviçre dışına aktarmamayı ve yürürlükteki Veri Koruma Gereklilikleri uyarınca söz konusu aktarımlar için yeterli güvenlik önlemlerinin alınması hususunda Hilton’un talimatlarına uymayı ve Alt-Yüklenicilerinin de uymasını sağlamayı ve (ii) Sağlayıcının (A) AB’de veya İsviçre’de bulunmaması veya (B) söz konusu Kişisel Bilgileri başlangıçta AB veya İsviçre dışındaki bir ülkeden alması (örneğin, kaynağı AB veya İsviçre olan Kişisel Bilgilerin Sağlayıcıya doğrudan Amerika Birleşik Devletleri’nden gönderilmesi) durumunda, (1) Sağlayıcı, https://www.privacyshield.gov/EU-US-Framework adresinde bulunan ve zaman zaman tadil edilen AB-ABD Gizlilik Kalkanı Çerçevesinde öngörülen gizlilik koruması seviyesinin en azından aynısını sağlamayı ve (2) Hilton’un talebi üzerine, Sağlayıcı ve acenteleri ve Alt-Yüklenicilerinin, Kişisel Bilgilerin Hilton tarafından Sağlayıcı ve acenteleri ve Alt-Yüklenicilerine aktarılmasına olanak sağlamak amacıyla Hilton ile Veri Sorumluları ve İşleyicileri arasındaki Avrupa Komisyonu Standart Sözleşme Maddelerini veya diğer ülkelerle ilgili diğer benzer maddeleri içeren bir veri işleme sözleşmesi yapmayı kabul eder. Yukarıdaki hükümlerin genel niteliğini sınırlamaksızın Sağlayıcı, aksi Hilton tarafından yazılı olarak kabul edilmedikçe, Kişisel Bilgileri herhangi bir ülkeye (Sağlayıcının acenteleri veya Alt-Yüklenicileri tarafından İşlenmesi dahil) aktarmayacaktır.

Sağlayıcı, mümkünse, kötü amaçlı yazılımların varlığı da dâhil olmak üzere, bir güvenlik ihlalinin farkına varması üzerine durumu derhal Hilton’a ISC@Hilton.com bildirmeyi kabul eder. Sağlayıcı, kötü amaçlı yazılımların varlığı da dâhil olmak üzere, bir güvenlik ihlalinin farkına vardıktan sonra durumu derhal Hilton’a bildirememesi halinde, durumu güvenlik ihlalinin farkına vardıktan sonra yirmi dört (24) saat içinde Hilton’a bildirecektir. Bu bildirimi yaptıktan sonra Sağlayıcı, (i) bir kök neden analizi yapılması da dâhil olmak üzere, güvenlik ihlalini derhal araştıracak ve bulgularını Hilton’a bildirecek, (ii) güvenlik ihlalini ele almak ve başka olayları önlemek amacıyla Hilton’a, Hilton tarafından kendi takdiri ile onaylanan bir iyileştirme planı sunacak, (iii) güvenlik ihlalini, Hilton tarafından onaylanan iyileştirme planına uygun olarak giderecek, (iv) güvenlik ihlalinden hangi sistemlerin, verilerin ve bilgilerin etkilendiğini belirlemek için adli soruşturma yapacak, (v) Hilton kendi güvenlik olayı müdahale planını uygularken ya da güvenlik ihlalini araştırırken Hilton ile işbirliği yapacak, (vi) Hilton’un, güvenlik ihlalini araştıran kolluk kuvvetleri veya düzenleyici yetkilileri, kredi raporlama şirketleri veya kredi kartı kuruluşları ile işbirliği yapılması taleplerine uyacak ve (vii) güvenlik ihlalinin durumu ve buna ilişkin konular hakkında Hilton’u bilgilendirecektir. Sağlayıcı ayrıca Hilton ve/veya Hilton’un görevlendirdiği temsilcileri tarafından, bu tür bir güvenlik ihlalinin Hilton tarafından soruşturulması, düzeltilmesi ve/veya giderilmesi ile ilgili olarak talep edilen tüm makul yardımı sağlamayı kabul eder ve yasal olarak gerekli bildirimlerin yapılması zorunluluğu doğuran bir güvenlik ihlalinden kaynaklanan veya bu tür bir güvenlik ihlali ile bağlantılı olarak Hilton tarafından yapılan bildirim ile ilgili tüm makul masraflar karşısında, talep edilmesi üzerine Hilton’u tazmin edecektir. Herhangi bir Veri Koruma Gerekliliği kapsamında veya herhangi bir Hilton’un gizlilik veya güvenlik politikaları uyarınca bir kişiye bildirimde bulunulmasının gerekmesi halinde, aynı olaydan (Hilton tarafından makul surette belirlendiği şekilde) etkilenen tüm kişilere yapılacak bildirimler yasal olarak gerekli kabul edilecektir. Bildirim ile İlgili Masraflar, (i) yasal olarak gerekli bildirimlerin hazırlanması ve gönderilmesi veya başka bir şekilde iletilmesi, (ii) etkilenen kişilere, acentelere ya da Hilton’un makul nedenlerle uygun gördüğü diğerlerine gönderilecek yazışmaların hazırlanması ve gönderilmesi veya başka bir şekilde iletilmesi, (iii) on iki (12) ay ya da yürürlükteki Veri Koruma Gereklilikleri uyarınca gerekli olabilecek veya ilgili şartlar uyarınca makul olan daha uzun bir süre boyunca bir çağrı merkezi kurulması, (iv) güvenlik ihlaline müdahale etmek için iletişim prosedürlerinin tesis edilmesi (örneğin, müşteri hizmetleri SSS, konuşma noktaları ve eğitim), (v) halkla ilişkiler ve diğer benzeri kriz yönetimi hizmetleri ücretleri, (vi) Hilton’un güvenlik ihlalini veya kötü amaçlı yazılım varlığını soruşturması ve bunlara müdahale etmesi ile ilgili yasal, adli ve muhasebe ücretleri ve giderleri, ve (vii) ticari olarak makul kredi raporlama, kredi izleme, kimlik koruma, kimlik düzeltme ve yasal olarak gerekli bildirimlerle bağlantılı olan veya on iki (12) ay ya da yürürlükteki Veri Koruma Gereklilikleri uyarınca gerekli olabilecek veya ilgili şartlar uyarınca makul olan daha uzun bir süre boyunca ilgili koşullar kapsamında önerilen benzer hizmetlere ilişkin masraflar dâhil olmak, ancak bunlarla sınırlı olmamak üzere, Hilton’un güvenlik ihlalinin ele alınması ve güvenlik ihlaline müdahale edilmesi ile ilgili dahili ve harici maliyetleri kapsar. Aksi yürürlükteki Veri Koruma Gerekliliklerinde öngörülmedikçe, güvenlik ihlalinin ve iyileştirme planının uygulanmasını Hilton çalışanlarına, misafirlerine, hizmet sağlayıcılarına, düzenleyici makamlara ve/veya kamuya bildirilmesine ilişkin nihai kararı Hilton verecektir.

Sağlayıcıya, kendisinin Kişisel Bilgileri İşlemesi veya Hilton’un veya Sağlayıcının Kişisel Bilgiler ile bağlantılı olarak yürürlükteki yasa ve yönetmeliklere uyumu ile doğrudan veya dolaylı olarak ilgili herhangi bir şikâyet, bildirim veya yazışma gönderilmesi halinde, söz konusu şikâyet, bildirim veya yazışmayı derhal Hilton’a bildirecektir. Hilton’un talebi üzerine Sağlayıcı, bu tür bir şikâyet ya da düzenleyici bir kurum ya da bir veri koruma makamı ya da benzer bir makam tarafından yapılan bir soruşturma durumunda, söz konusu şikâyet ya da soruşturmanın Sağlayıcının Kişisel Bilgileri İşlemesi ile ilgili olduğu ölçüde Hilton’a yardım ve destek sağlayacaktır. Bu yardıma ilişkin tüm masraflar Hilton’a ait olacak, ancak şikâyetin veya soruşturmanın Sağlayıcının davranışları veya ihmalleri ile ilgili bir iddiadan veya soruşturmadan kaynaklandığı durumlarda, söz konusu masraflar Sağlayıcıya ait olacaktır.

Sağlayıcı, verilerin sahibi olan (ya da olduğunu iddia eden) bir kişiden Kişisel Bilgilere erişilmesi, Kişisel Bilgilerin düzeltilmesi, değiştirilmesi veya silinmesine dair herhangi bir talep alması üzerine söz konusu talebi derhal yazılı olarak Hilton’a bildirecektir (“Veri Sahibi Talepleri”). Aksi yasalar veya yönetmeliklerde belirtilmedikçe veya Sözleşmede öngörülmedikçe Sağlayıcı, talebin Hilton ile ilgili olduğunu doğrulamak için gerekli olduğu durumlar dışında, kendisine Hilton tarafından açıkça izin verilmedikçe bu taleplere doğrudan cevap vermeyecektir. Hizmetler kapsamında Sağlayıcı, Veri Sahibi Taleplerini yanıtlamak ve yerine getirmek için Hilton ile işbirliği yapacak ve Hilton’a tüm makul yardımı sağlayacaktır

Sağlayıcı, Veri Koruma Gereklilikleri uyarınca gerektiğinde bir veri koruma görevlisi görevlendirmiştir.

Sağlayıcının bu Standartlar kapsamındaki diğer yükümlülüklerine ek olarak ve bunlarla sınırlı olmamak üzere ve Hizmetler ve İşleme faaliyeti bakımından geçerli olduğu durumlarda Sağlayıcı, Hilton’un talebi üzerine ve Hizmetler kapsamında (i) Hilton’un Kişisel Bilgiler bakımından geçerli güvenlik önlemlerini uygulamasında, (ii) bir denetim makamına veya Veri Sahiplerine yapılması gereken Güvenlik İhlali bildirimi ile bağlantılı olarak, (iii) İşleme ile ilgili herhangi bir gizlilik etkisi değerlendirmesi ile bağlantılı olarak ve (iv) İşleme ile bağlantılı olarak Hilton tarafından yürütülen ve bir denetleyici makama yapılan herhangi bir başvuru ile bağlantılı olarak Hilton’a yardımcı olacak ve Hilton ile işbirliği yapacaktır.

Sağlayıcı, bu Standartların esaslı ihlallerini derhal Hilton’a bildirmeyi kabul eder. Hilton’un bu Standartların ihlaline ilişkin sahip olabileceği diğer çözümleri sınırlamaksızın, Sağlayıcı, bu Standartların herhangi bir şartını ihlal etmesi durumunda, Hilton’un, Sağlayıcı ve Hilton arasındaki tüm sözleşme veya düzenlemeler kapsamında Sağlayıcı tarafından yapılan mal ve/veya hizmet tedariklerini kendi takdirine bağlı olarak ve cezasız olarak derhal feshedebileceğini kabul eder. Ayrıca, Sağlayıcı, kendi kontrolündeki Kişisel Bilgilerin yetkisiz işlenmesi ve ayrıca Kişisel Bilgilerin acenteler, Alt-Yükleniciler veya üçüncü taraflarca izinsiz erişimi, toplanması ve kullanılması ile ilişkili tüm masraf, ücret, iddia veya davalar karşısında Hilton’u eksiksiz olarak tazmin etmeyi kabul eder.

Sağlayıcı, Sağlayıcı İşleme Kayıtları da dahil olmak üzere, Veri Güvenliği Önlemleri ve iş sürekliliği ve kurtarma olanakları, kaynakları, planları ve prosedürleri ile ilgili kayıtları ve makul destekleyici belgeleri ve Sağlayıcının bu Standartlara uyduğunu doğrulamak için gerekli diğer kayıt ve belgeleri, Sözleşme süresince daima eksiksiz ve doğru bir şekilde tutacak ve Hilton’un talebi üzerine, ek bir ücret talep etmeden Hilton’a sağlayacaktır. Sağlayıcı, kendisine makul bir bildirimde bulunulması üzerine, Hilton’a, denetçilerine, görevli denetleme temsilcilerine ve veri koruma makamları dahil düzenleyici makamlara normal mesai saatleri içerisinde (i) Kişisel Bilgilerin İşlendiği Sağlayıcı tesislerini, (ii) Kişisel Bilgilerin İşlenmesinde kullanılan bilgisayarlı sistemleri ve (iii) Sağlayıcının güvenlik uygulamaları ve prosedürleri, veri koruma uygulamaları ve prosedürleri ve iş sürekliliği ve kurtarma kolaylıkları, kaynakları, planları ve prosedürlerini denetleme ve incelemelerine izin verecektir. Bu denetim ve inceleme hakları asgari olarak (i) Sağlayıcının bu Standartlara ve Veri Koruma Gerekliliklerine uyduğunu doğrulamak, (ii) Kişisel Bilgilerin bütünlüğünü doğrulamak ve (iii) Hilton’un Veri Koruma Gerekliliklerine uyumunu kolaylaştırmak amaçlı olacaktır.

Hilton, Sağlayıcının Kişisel Bilgileri İşleme hakkını kendi takdirine bağlı olarak istediği zaman ve zaman zaman kısıtlama, durdurma, askıya alma, iptal, fesih etme veya değiştirme hakkına sahiptir. Sözleşmenin veya Sağlayıcının Hizmetleri sağlamasının fesih edilmesi veya sona ermesi veya Hilton’un talebi üzerine Sağlayıcı, elinde, yetkisi dahilinde veya kontrolünde bulunan tüm kişisel Bilgileri, Hilton tarafından makul surette talep edilen şekilde ve formatta iade edecek veya Hilton tarafından özellikle talep edilmesi halinde, imha edecek ve yürürlükteki Veri Koruma Gerekliliklerinde Kişisel Bilgilerin saklanması öngörülmedikçe, mevcut tüm kopyaları silecek ve bu işlemlerin her birini, yukarıda Madde 9(d)’de açıklandığı şekilde teyit edecek ve acenteleri ve Alt-Yüklenicilerinin anılan hususları yerine getirmesini sağlayacaktır.

Hilton, bu Standartları istediği zaman ve zaman zaman kendi takdirine bağlı olarak değiştirebilir. Bu Standartlarda yapılacak değişiklikler, http://www.hiltondistribution.com/privacyanddataprotectionstandards.htm adresinde yayınlandığında Sağlayıcı bakımından bağlayıcı olacaktır;ncak, bunun için Sağlayıcıya, Politikada yapılan herhangi bir değişikliği uygulamak için makul bir süre verilmesi şarttır (bu süre, söz konusu değişikliği uygulamak için yürürlükteki yasa, kural veya yönetmelikle öngörülen süreyi aşmayacaktır). Sağlayıcı, değişiklik yapılıp yapılmadığını görmek için bu URL’yi düzenli olarak kontrol etmekle yükümlüdür. Politikada yapılan en son değişiklikler, Politikanın altında, “Hilton’un Hizmet Sağlayıcı Veri Koruma Standartlarına İlişkin Önemli Revizyonlar” başlıklı bölümde görünecektir.

Sağlayıcının bu Standartlar kapsamındaki yükümlülükleri, hizmetlerinin veya ilgili anlaşmaların feshedilmesi veya sona ermesinden sonra da yürürlükte kalacak ve Sağlayıcı ya da acentelerinden veya Alt-Yüklenicilerinden herhangi biri Kişisel Bilgileri elinde bulundurduğu veya Kişisel Bilgilere erişim izni olduğu sürece devam edecektir. Sağlayıcı, yukarıda “Hilton” tanımında zikredilen her tüzel kişiliğin, Sağlayıcının Kişisel Bilgilere ilişkin yükümlülükleri dahil olmak, ancak bunlarla sınırlı olmamak üzere, Sağlayıcının bu Standartlar kapsamındaki yükümlülükleri ve sorumluluklarının üçüncü taraf lehtarı olduğunu ve bu itibarla, bunların her birinin, bu Standartları uygulama hakkına sahip olduğunu beyan ve kabul eder.

HILTON HİZMET SAĞLAYICI VERİ KORUMA STANDARTLARINDA YAPILAN ÖNEMLİ REVİZYONLAR