İşlemci şartları, ekler dahil.

Bu Veri İşleme Eki (“DPA”), ABD'nin Delaware eyaletinde kurulmuş sınırlı sorumluluk şirketi Digital Socket LLC, Transglot ticari unvanıyla faaliyet göstermektedir (“Transglot”, “İşlemci”) ile müşteri (“Müşteri”, “Veri Sorumlusu”) arasındaki Hizmet Şartlarının veya diğer yazılı anlaşmanın (“Anlaşma”) bir parçasını oluşturur ve Hizmeti sağlarken Müşteri adına Müşteri Kişisel Verilerini işlediğimiz her yerde uygulanır. Anlaşmaya referansla dahil edilmiştir ve Anlaşmanın yürürlüğe girdiği anda yürürlüğe girer; bizi bağlaması için imza gerekmez. Müşterinin kendisi üçüncü taraf bir veri sorumlusu adına hareket eden bir işlemci olması durumunda, Müşteri veriyi ihraç eden taraftır ve bu Veri İşleme Eki, veri sorumlusuymiş gibi uygulanır; Müşteri, kendi veri sorumlusundan bu şartlarla anlaşmaya girme yetkisine sahip olduğunu teyit eder.

“Veri Koruma Yasası”, bir tarafa uygulanan kişisel verilerin işlenmesine ilişkin tüm yasaları ifade eder; bunlara AB Genel Veri Koruma Tüzüğü 2016/679 (“GDPR”), Birleşik Krallık GDPR ve 2018 Veri Koruma Kanunu, İsviçre Federal Veri Koruma Kanunu, California Tüketici Gizliliği Yasası ve değişiklikleri (“CCPA”) ile benzer ABD eyalet gizlilik yasaları dahildir. “Müşteri Kişisel Verileri”, Müşteri İçeriğinde bulunan veya bizim tarafımızdan Müşteri adına işlenen kişisel verileri ifade eder. “Standart Sözleşme Hükümleri” veya “SCC'ler”, Komisyon Uygulama Kararı (AB) 2021/914'e eklenen hükümleri ifade eder. “Birleşik Krallık Ek Maddesi”, Birleşik Krallık Bilgi Komisyonu tarafından 2018 Veri Koruma Kanunu'nun 119A. maddesi uyarınca yayımlanan Uluslararası Veri Aktarımı Ek Maddesini ifade eder. “Alt İşlemci”, Müşteri Kişisel Verilerini işlemek üzere bizim tarafımızdan görevlendirilen üçüncü tarafı ifade eder. “Veri Sorumlusu”, “işlemci”, “veri sahibi”, “kişisel veri”, “işleme”, “kişisel veri ihlali” ve “denetleyici makam”, GDPR'de verilen anlamlara sahiptir ve diğer yasalardaki eşdeğer terimler kendi eşdeğer anlamlarına sahiptir.

Bir çatışma durumunda öncelik sırası şu şekildedir: (a) uygulanmaları halinde Standart Sözleşme Hükümleri ve Birleşik Krallık Ek Maddesi; (b) bu Veri İşleme Eki; (c) bir Sipariş Formundaki diğer veri koruma hükümleri; (d) Anlaşmanın geri kalanı. Bu Veri İşleme Ekindeki hiçbir şey, bir tarafın Veri Koruma Yasası altındaki yükümlülükleriyle çatışmayı amaçlamaz ve böyle bir çatışmaya yol açacak herhangi bir hüküm, çatışmayı ortadan kaldırmak için gereken asgari ölçüde dar yorumlanır.

Bu Veri İşleme Sözleşmesi, Sözleşmenin yürürlük tarihinden itibaren, Müşteri Kişisel Verilerini artık tutmadığımız zamana kadar geçerlidir; bu durum, 13. maddedeki silme zaman çizelgeleri nedeniyle Sözleşme sona erdikten sonra da olabilir. Yükümlülükleri, herhangi bir Müşteri Kişisel Verisini tuttuğumuz sürece fesihten sonra da devam eder ve gizlilik yükümlülükleri, Veri Koruma Kanunu'nun gerektirdiği ölçüde süresiz olarak sürer.

Müşteri Kişisel Verilerini, yalnızca Müşteri’nin belgelenmiş talimatları doğrultusunda, üçüncü bir ülkeye aktarım dahil olmak üzere işleriz; ancak tabi olduğumuz bir kanun tarafından zorunlu kılınmadıkça, bu durumda kanunun önemli kamu menfaati gerekçeleriyle yasaklamadığı sürece işlemden önce Müşteri’ye bu gerekliliği bildiririz. Sözleşme, bu Veri İşleme Sözleşmesi, Dokümantasyon ve Müşteri’nin üründe yapılandırdığı ayarlar (projeler, yerel ayarlar, bağlayıcılar, webhook abonelikleri, saklama anahtarları, çeviri belleği anahtarı ve Müşteri için kullanılabilen motor ve kalite ayarları) birlikte Müşteri’nin tam belgelenmiş talimatlarını oluşturur. Bir talimatın Veri Koruma Kanunu’nu ihlal ettiğini düşündüğümüzde Müşteri’ye bildirimde bulunuruz ve bunu yerine getirmek yerine geri çekilene veya değiştirilene kadar etkilenen işlemeyi askıya alabiliriz.

Müşteri Kişisel Verilerini yalnızca Müşteri için Hizmeti sağlamak, güvence altına almak, desteklemek ve sürdürmek amacıyla işleriz; kendi bağımsız amaçlarımız için değil. Müşteri Kişisel Verilerini satmıyoruz, çapraz bağlamsal davranışsal reklamcılık için paylaşmıyoruz, bir hizmet sağlayıcı için Veri Koruma Kanunu’nun izin verdiği durumlar haricinde diğer kaynaklardan aldığımız kişisel verilerle birleştirmiyoruz ve herhangi bir makine öğrenimi modelini eğitmek, ince ayar yapmak veya değerlendirmek için kullanmıyoruz. AI alt işlemcilerimiz, üzerinde eğitim yapılmasını ticari şartlarla yasaklayan koşullar altında, yalnızca çıkarım amacıyla işler. Hiçbir Müşteriyi veya veri sahibini tanımlamayan agregat veya kimliği belirsizleştirilmiş istatistikler oluşturup kullanabiliriz ve bunları yeniden tanımlamaya çalışmayacağız.

Müşteri Kişisel Verilerini işlemeye yetkili olan her kişinin, sözleşmesel veya yasal olsun, görevlerinin sona ermesinden sonra da devam eden uygun bir gizlilik yükümlülüğüne tabi olmasını sağlıyoruz. Erişim, en az ayrıcalık ilkesine göre verilir; bir kişinin rolünü yerine getirmek için ihtiyaç duyduğuyla sınırlıdır, periyodik olarak gözden geçirilir ve rol değişikliği veya ayrılma durumunda derhal iptal edilir. Erişimi olan personele, rollerine uygun veri koruma ve güvenlik eğitimi verilir.

Teknik ve organizasyonel önlemleri, sanatın durumu, uygulama maliyetleri ve işlemenin niteliği, kapsamı, bağlamı ve amaçları ile veri sahiplerine yönelik riskleri dikkate alarak Ek II’de belirtilen şekilde uygular ve sürdürürüz. Ücretli abonelik dönemi sırasında genel koruma düzeyi önemli ölçüde azalmadığı sürece bu önlemleri zaman içinde güncelleyebiliriz. Ek II, kasıtlı olarak hem eksikliklerimizi hem de kontrollerimizi belirtir: yalnızca güçlü yönleri listeleyen bir önlem eki, bir denetçinin güvenebileceği bir belge değildir.

Müşteri, Alt İşlemcileri Alt İşlemciler belgesinde açıklanan kategorilerde görevlendirmemiz için genel yazılı yetki verir ve yürürlük tarihi itibarıyla Ek III altında sunulan alt işlemci listesindeki özel alt işlemcileri açıkça yetkilendirir. Her bir Alt İşlemciye, bu Veri İşleme Sözleşmesi’ndekilerden daha az koruyucu olmayan veri koruma yükümlülüklerini yazılı bir sözleşme yoluyla yükleriz ve bir Alt İşlemcinin yükümlülüklerini yerine getirmesinden Müşteri’ye karşı tamamen sorumlu oluruz. Yeni bir Alt İşlemci Müşteri Kişisel Verilerini işlemeye başlamadan en az otuz gün önce, Hesap Sahiplerine e-posta yoluyla Müşteri’ye bildirimde bulunuruz. Müşteri, bu süre içinde makul ve belgelenmiş veri koruma gerekçeleriyle itiraz edebilir; bu durumda, işlemeyi önleyen bir yapılandırma değişikliği veya alternatif sunmak için iyi niyetle çalışırız; makul bir süre içinde bunu sağlayamazsak, Müşteri etkilenen aboneliği ceza ödemeden feshedebilir ve peşin ödenmiş kullanılmayan ücretlerin orantılı iadesini alabilir.

İşlemenin niteliğini dikkate alarak, Müşteri’nin erişim, düzeltme, silme, kısıtlama, taşınabilirlik veya itiraz haklarını kullanan bir veri sahibinin talebine yanıt verme yükümlülüğünü yerine getirmesine mümkün olduğunca uygun teknik ve organizasyonel önlemlerle yardımcı oluyoruz. Ürünün kendisi bu yardımın ilk hattını oluşturur: Hesap Sahipleri ve çalışma alanı yöneticileri proje içeriğini arayabilir, düzenleyebilir ve silebilir; üyeleri ve rolleri yönetebilir; ayrıca ücretli bir plan kapsamında API çekme uç noktası, komut satırı arayüzü, teslimat paketi veya bir depolama bağlayıcısı aracılığıyla proje içeriğini alabilir ve Hesap Sahipleri çalışma alanını silebilir. Ürün bir talebi karşılayamadığında, makul bir talep hacmi için ücretsiz ve makul bir süre içinde talep üzerine yardımcı olacağız. Bir veri sahibi doğrudan Müşteri Kişisel Verileri hakkında bizimle iletişime geçerse, konuya ilişkin substantive bir yanıt vermeyeceğiz; onlara Müşteri ile iletişime geçmelerini söyleyeceğiz ve yasaklanmadığı sürece durumu derhal Müşteri’ye bildireceğiz.

İşlemenin niteliğini ve bize sunulan bilgileri dikkate alarak, Müşteri’nin GDPR’in 32. ila 36. maddeleri ve eşdeğerleri kapsamındaki yükümlülüklerini, veri koruma etki değerlendirmeleri ve denetleyici otoriteyle önceden istişare dahil olmak üzere yerine getirmesine yardımcı oluyoruz. Pratikte bu, bu DPA’yı, II. Ek’i, Güven Merkezi açıklamalarını, Gizlilik Politikası’ndaki saklama takvimini, güvenlik belgelerimizi ve bir güvenlik veya gizlilik anketine makul yazılı yanıtlar sağlamamız anlamına gelir. Makul bir hacmi önemli ölçüde aşan yardımlar için mevcut profesyonel hizmet ücretlerimiz üzerinden ücret talep edebiliriz ve bunu işi yaptıktan sonra değil, öncesinde belirteceğiz.

Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalinden haberdar olduktan sonra, Müşteri’yi gereksiz gecikme olmadan ve her halükarda yetmiş iki saat içinde bilgilendiriyoruz. Bildirim, o anda bilinen ölçüde ve yeni bilgiler öğrendikçe güncellenerek şu hususları açıklar: mümkün olan hallerde ilgili veri sahipleri ve kayıtların kategorileri ile yaklaşık sayıları dahil ihlalin niteliği; muhtemel sonuçlar; ihlali ele almak ve etkilerini azaltmak için alınan veya önerilen önlemler; ve daha fazla bilgi için bir iletişim noktası. Müşteri’nin kendi soruşturmasına ve bildirimine yardımcı olması için Müşteri ile iş birliği yapıyor ve Müşteri’nin makul şekilde talep ettiği adımları atıyoruz. Bir bildirim, kusur veya sorumluluk kabulü olarak değerlendirilmez ve yorumlanmaz. Önce soruşturmayı tamamlamak amacıyla bir bildirimi geciktirmeyeceğiz.

Hizmet sağlamanın sonunda, Müşteri’nin tercihine bağlı olarak Müşteri Kişisel Verilerini siler veya iade eder ve mevcut kopyaları sileriz; ancak bizi bağlayan bir yasa saklamayı gerektiriyorsa bu geçerli değildir. Üründe bu süreç şu şekilde işler: bir aboneliğin iptal edilmesi Hesabı Ücretsiz plana taşır; bu plan tek bir çalışma alanı içerir ve diğer tüm çalışma alanları salt okunur hale gelir ve 30 gün sonra silinir veya Hizmet Şartları’nın 13. maddesinde belirtildiği gibi yakın zamanda aynı süreçten geçmiş bir çalışma alanı için daha erken silinir; ancak Müşteri önce yükseltme yapmazsa veya taşıma işlemi gerçekleştirmezse. Bir çalışma alanının silinmesi, onu 30 gün boyunca salt okunur hale getirir; bu süre içinde bir Hesap Sahibi onu geri yükleyebilir ve bu sürenin ardından çalışma alanı projeler, çeviriler, sürüm geçmişi, kullanım kayıtları, webhook teslim kayıtları, ekran görüntüleri ve denetim olayları dahil olmak üzere canlı veritabanından tamamen temizlenir. Hesabın kapatılması, üzerindeki her çalışma alanını aynı şekilde siler ve Hesabın faturalarını 7 yıl boyunca saklar. Bir Kullanıcının giriş bilgisinin silinmesi anında ve geri döndürülemez şekilde gerçekleşir. Müşteri’nin API, komut satırı arayüzü, teslimat paketi veya bir depolama bağlayıcısı aracılığıyla aldığı içerik, tarafımızdan teslim edildiği andan itibaren kontrolümüz dışındadır. Şifreli yedeklemeler temizleme işleminden etkilenmez ve II. Ek’te belirtilen takvime göre sona erer; var oldukları sürece izole edilmiş ve şifrelenmiş durumdadır ve yalnızca afet kurtarma amacıyla geri yüklenir, asla temizlenmiş bir çalışma alanını hizmete geri döndürmek için kullanılmaz. Silme işleminden önce yapılandırılmış bir formatta iade için yapılan yazılı bir talep, makul bir süre içinde ve ücretsiz olarak bir kez yerine getirilecektir.

We make available to the Customer the information reasonably necessary to demonstrate compliance with this DPA and with Article 28 of the GDPR, and allow for and contribute to audits, including inspections, conducted by the Customer or an auditor it mandates. In the first instance that obligation is met by this DPA, Annex II, the Trust Center, the security page and our completed security questionnaire responses. Where those are genuinely insufficient for the Customer’s regulatory obligation, the Customer may audit once in any twelve month period, on at least thirty days written notice, during business hours, without unreasonably disrupting our operations, subject to confidentiality obligations, limited to systems and records relating to the Customer’s own data, and at the Customer’s cost. A supervisory authority exercising a statutory power is subject to none of those limits. An auditor may not be a competitor of ours, and we may require a separate confidentiality undertaking from them.

Müşteri Kişisel Verilerinin işlenmesi, Avrupa Ekonomik Alanı’ndan yeterlilik kararı kapsamında olmayan bir ülkeye aktarım içeriyorsa, Standart Sözleşme Hükümleri bu DPA’ya dahil edilir ve onun ayrılmaz bir parçasını oluşturur ve aşağıdaki şekilde uygulanır. Müşteri’nin veri sorumlusu olduğu durumlarda Modül İki (veri sorumlusundan veri işleyicisine) uygulanır. Müşteri’nin kendisinin veri işleyicisi olduğu durumlarda Modül Üç (veri işleyicisinden veri işleyicisine) uygulanır. Madde 7 (liman maddesi) uygulanır. Madde 9’da, yukarıdaki 09. maddede belirtilen bildirim süresiyle birlikte 2. Seçenek (genel yazılı yetkilendirme) seçilmiştir. Madde 11’de, isteğe bağlı bağımsız uyuşmazlık çözümü dili seçilmemiştir. Madde 17’de, taraflar bir Sipariş Formunda başka bir AB üye devleti hukukunu kararlaştırmadıkça, Hükümler İrlanda Cumhuriyeti hukukuna tabidir. Madde 18(b) uyarınca, uyuşmazlıklar aynı esaslarla İrlanda Cumhuriyeti mahkemelerinde çözümlenir. I(A) Eki tarafları, I(B) Eki aktarımın tanımını, I(C) Eki yetkili denetleyici otoriteyi, II. Eki teknik ve organizasyonel önlemleri ve III. Eki alt işlemcilerin listesini içerir; her biri aşağıda belirtildiği gibidir.

Birleşik Krallık GDPR kapsamındaki bir aktarım için, Birleşik Krallık Ek Maddesi aşağıdaki şekilde dahil edilir ve tamamlanır: Tablo 1, I(A) Eki ile doldurulur; Tablo 2 ve 3, bu Veri İşleme Ekinin 15. maddesi ve I ve II Ekleri ile, dayanak olarak alınan Onaylı AB SCC'ler ile doldurulur; ve Tablo 4'te, Onaylı Ek Madde değiştiğinde hiçbir taraf Ek Maddeyi sonlandıramaz. İsviçre hukukuna tabi bir aktarım için, SCC'lerdeki GDPR atıfları İsviçre Federal Veri Koruma Kanunu'na yapılan atıflar olarak okunur, yetkili merci Federal Veri Koruma ve Bilgi Komisyonu'dur, bir üye devlete yapılan atıflar İsviçre'deki bir veri sahibinin ikamet ettiği yerde dava açma hakkından mahrum bırakmaz ve SCC'ler, İsviçre hukuku artık bunu gerektirmediği sürece tüzel kişilerin verilerini korur.

Müşteri Kişisel Verileri için kamusal bir makamtan yasal olarak bağlayıcı bir talep alırsak: talebin geçerliliğini ve kapsamını gözden geçiririz ve yasa dışı olduğuna dair makul gerekçeler varsa itiraz ederiz; yalnızca talebin gerektirdiği asgari miktarı ifşa ederiz; ve yasal olarak yasaklanmadığı sürece Müşteriyi yanıt verebilmesi için yeterli detayla derhal bilgilendiririz; bu durumda yasağı kaldırmak için makul çaba gösterir ve ifşaya izin veren geçici bir tedbir ararız. Aldığımız taleplerin ve verdiğimiz yanıtların kaydını tutarız ve bunları, yasanın izin verdiği ölçüde Müşterinin ve denetleyici makamın talebi üzerine kullanıma sunarız. Müşteri Kişisel Verilerine genel bir erişim mekanizması oluşturmamızı veya sürdürmemizi gerektiren bir devlet talebi almadık ve böyle bir mekanizmayı gönüllü olarak oluşturmayacağız.

CCPA kapsamındaki kişisel bilgiler için Müşteri işletme, biz ise hizmet sağlayıcıyız. Bu kişisel bilgileri satmamız veya paylaşmamız yasaktır ve bunu yapmayacağız; Sözleşmede belirtilen iş amaçları dışında veya CCPA tarafından başka şekilde izin verilmediği sürece bu bilgileri saklamayacağız, kullanmayacak veya ifşa etmeyeceğiz; taraflar arasındaki doğrudan iş ilişkisi dışında saklamayacak, kullanmayacak veya ifşa etmeyeceğiz; veya CCPA'nın bir hizmet sağlayıcıya izin verdiği durumlar hariç, başka bir kaynaktan alınan kişisel bilgilerle birleştirmeyeceğiz. Bu kısıtlamaları anladığımızı ve bunlara uyacağımızı beyan ederiz. Bunlara artık uymamız mümkün olmadığında Müşteriyi bilgilendireceğiz. Müşteri, 14. maddedeki denetim haklarını kullanarak yetkisiz kullanımı durdurmak ve düzeltmek için makul ve uygun adımlar atabilir. İşletmeden CCPA'nın gerektirdiği düzeyde gizlilik koruması sağlarız.

Kapsamlı bir eyalet gizlilik yasasının uygulanması ve belirli hükümleri içeren bir işlemci sözleşmesi gerektirmesi durumunda, bu Veri İşleme Eki söz konusu sözleşmedir: işlemenin niteliği ve amacı, veri türü, süre, tarafların hakları ve yükümlülükleri, gizlilik yükümlülüğümüz, eşdeğer yazılı hükümler altında alt işlemcileri devretmemiz, tüketici hakları talepleri ve güvenlik yükümlülükleri konusunda yardımımız, hizmetlerin sonunda silme veya iade yükümlülüğümüz ve uyumluluğu göstermek için gerekli bilgileri kullanıma sunma ve makul bir değerlendirmeye izin verme yükümlülüğümüz bu ekte belirlenir. Bu yasalar kapsamında işlemci veya hizmet sağlayıcı olarak hareket ederiz ve Müşteri Kişisel Verilerinin veri sorumlusu olarak asla hareket etmeyiz.

Sözleşme, haksız fiil veya başka herhangi bir teoriye dayalı olsun, bu Veri İşleme Ekinden kaynaklanan veya bununla ilgili her iki tarafın da sorumluluğu, Sözleşmedeki sorumluluk sınırlamaları ve istisnalarına tabidir ve bu sınırlamalardaki bir tarafın sorumluluğuna yapılan her türlü atıf, o tarafın Sözleşme ve bu Ek altındaki toplam sorumluluğunu ifade eder. Bu maddeki hiçbir şey, Standart Sözleşme Hükümleri veya Veri Koruma Yasası kapsamındaki bir veri sahibinin haklarını sınırlamaz ve yasal olarak sınırlanamayan bir sorumluluğu sınırlamaz.

Veri Koruma Yasasındaki bir değişikliği, yeni veya değiştirilmiş bir aktarım mekanizmasını, bir denetleyici makamın veya mahkemenin kararını ya da Hizmetin Müşteri Kişisel Verilerini işleme biçimindeki önemli bir değişikliği yansıtması gerektiğinde, güncelleme Müşteri Kişisel Verilerine verilen korumayı önemli ölçüde azaltmadığı sürece bu Veri İşleme Ekini güncelleyebiliriz. Önemli bir güncelleme için en az otuz gün önceden, e-posta yoluyla ve bu sayfada bildirimde bulunuruz ve üstteki yürürlük tarihini değiştiririz. Yürürlükten kaldırılan sürümü talep üzerine kullanılabilir tutarız.

Bu Veri İşleme Eki bizi imza olmadan bağlar, bu nedenle Müşterinin korunması için imzaya ihtiyacı yoktur. Süreciniz kayıtlarınız için imzalı bir nüsha gerektiriyorsa veya bir karşılaştırmalı metin (redline) talep etmek istiyorsanız, tüzel kişi adını, kayıtlı adresi, bildirim iletişim kişisini ve imza yetkilisini belirterek privacy@transglot.ai adresine yazın; biz de imzalı bir kopya göndereceğiz. Güvenlik ve gizlilik anketlerini aynı adresten yanıtlıyoruz ve Trust Center, çoğu inceleyicinin kimseye yazmadan önce ihtiyaç duyduğu paketi barındırıyor.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: ABD'nin Delaware eyaletinde kurulmuş sınırlı sorumluluk şirketi Digital Socket LLC, Transglot ticari unvanıyla faaliyet göstermektedir, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

Yetkili ve güncel alt işlemci listesi tarafımızca tutulur ve privacy@transglot.ai adresine yazılarak, bir gizlilik sözleşmesi kapsamında Müşteriye sunulur. Her birinin kategorisi, amacı, bölgesi ve engagement koşulu Güven Merkezi’nde yayınlanır ve Alt İşlemciler belgesinde özetlenir; bu belge referans yoluyla bu Eke dahildir. Liste bilinçli olarak tek bir yerde tutulur, bu sayfaya çoğaltılmaz: hukuki bir belgeye yeniden yazılan liste, bir satıcı değiştiği gün eskiyen listedir ve güncelliğini yitirmiş bir ek, bir bağlantıdan daha kötüdür. Yürürlük tarihi itibarıyla kategoriler şunlardır: ABD’de işlenen ve bir AI özelliği kullanıldığında devreye giren AI çevirisi, otomatik kalite kontrolü, sözlük çıkarımı ve bağlam içi görsel öneriler; yalnızca bir proje bu özelliği açtığında (varsayılan olarak kapalıdır) devreye giren ve ABD’de işlenen anlamsal çeviri belleği için metin gömüleri; ABD’de bir API yönlendirici aracılığıyla erişilen ve Singapur’da barındırılan, yalnızca bir operatör bir katmanı ona yönlendirdiğinde (varsayılan olarak kapalıdır) devreye giren isteğe bağlı alternatif çeviri motoru; dağıtım sırasında sabitlenen bölgede bulunan ve her zaman devrede olan bulut barındırma, veritabanı ve nesne depolama; yalnızca ücretli planlar için devreye giren ve ABD ile Avrupa Birliği’nde bulunan ödeme işleme; her zaman devrede olan işlem e-postası teslimatı; ve yalnızca destek mesajlaşması etkinleştirildiğinde devreye giren ürün içi destek mesajlaşması. Bir müşteri, isteğe bağlı bir makine çevirisi yedeği için kendi kimlik bilgilerini sağladığında, bu aktarımın sorumlusu müşteridir ve satıcı bizim alt işlemcimiz değildir.