KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN EK (VERİ İŞLEYEN SÖZLEŞMESİ) Sürüm 1.0 Bu Ek, Hizmet Kullanım Sözleşmesi'nin ayrılmaz parçasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesinin ikinci fıkrası uyarınca düzenlenmiştir. Taraflardan biri talep ederse bu Ek, ıslak imzalı veya güvenli elektronik imzalı olarak ayrıca düzenlenir. Panelde verilen kabul, tarih, saat, IP adresi ve metnin parmak izi ile birlikte kayıt altına alınır. 1. TARAFLAR VE ROLLER 1.1. Veri Sorumlusu: Müşteri. İşlemenin amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. 1.2. Veri İşleyen: Yücel Kahraman ("VeriTakibi"). Kişisel verileri yalnızca Veri Sorumlusunun talimatı doğrultusunda ve onun adına işler. 1.3. VeriTakibi, işlemenin amaçlarını ve vasıtalarını kendi başına belirlediği ölçüde, o işleme bakımından veri sorumlusu sayılır. Panel kullanıcılarının kendi kişisel verileri (hesap bilgileri, giriş kayıtları) bu kapsamdadır ve ayrı bir aydınlatma metniyle düzenlenir. 2. İŞLEMENİN KONUSU, NİTELİĞİ, AMACI VE SÜRESİ 2.1. Konu ve nitelik: Müşterinin Platform üzerinden yürüttüğü otomatik etkileşimlerin gerçekleştirilmesi; bu etkileşimlerde oluşan içeriğin işlenmesi, dökümlenmesi, özetlenmesi, sonuçlarının kaydedilmesi ve Müşteriye raporlanması. 2.2. Amaç: Yalnızca Hizmet Kullanım Sözleşmesi'nde tanımlanan hizmetin sunulması. Başka hiçbir amaç yoktur. 2.3. Süre: Hizmet Kullanım Sözleşmesi yürürlükte kaldığı sürece; sona ermesinden sonra 8. maddedeki imha süresince. 3. VERİ KATEGORİLERİ VE İLGİLİ KİŞİ GRUPLARI 3.1. İlgili kişi grupları: Müşterinin, Platform üzerinden iletişim kurulmasını talep ettiği veya Müşteriyle ilişkisi bulunan gerçek kişiler; etkileşim içeriğinde yer aldıkları ölçüde Müşterinin Yetkili Kullanıcıları. 3.2. Veri kategorileri: a) Kimlik ve iletişim bilgileri (ad, soyad, telefon numarası, e-posta adresi gibi Müşterinin aktardığı bilgiler); b) Müşterinin aktardığı ve etkileşimin konusunu oluşturan işlem bilgileri; c) Etkileşim içeriği: ses ve/veya metin kayıtları, bunlardan üretilen dökümler, özetler ve sonuç kayıtları; d) İşlem güvenliği bilgileri (IP adresi, zaman damgası, işlem kayıtları). 3.3. Özel nitelikli kişisel veri işlenmesi öngörülmemiştir. Müşteri, Platforma özel nitelikli kişisel veri aktarmamayı taahhüt eder; etkileşim içeriğinde kendiliğinden ortaya çıkan beyanlar bu taahhüdün dışındadır. 4. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ 4.1. Müşteri, Platforma aktardığı kişisel verilerin KVKK'ya uygun olarak elde edildiğini; işleme şartlarının (KVKK m.5 ve m.6) mevcut olduğunu taahhüt eder. 4.2. İlgili kişilerin aydınlatılması (KVKK m.10) Müşterinin yükümlülüğüdür. Gereken hâllerde açık rızanın alınması ve belgelenmesi de Müşteriye aittir. 4.3. VERBİS kaydı, gerekiyorsa, Müşterinin yükümlülüğündedir. Veri işleyen sıfatıyla VeriTakibi bu kaydı yapmaz. 4.4. Müşteri, VeriTakibi'ye vereceği talimatların hukuka uygun olmasından sorumludur. 4.5. Müşteri, Platform üzerindeki ayarları ve saklama tercihlerini kendi hukuki değerlendirmesine göre yapılandırır. 5. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ 5.1. Talimatla işleme. VeriTakibi kişisel verileri yalnızca Müşterinin talimatı doğrultusunda işler. Talimat; bu Ek, Hizmet Kullanım Sözleşmesi ve Müşterinin panelde yaptığı ayarlardan oluşur. VeriTakibi, bir talimatın hukuka aykırı olduğunu düşünürse Müşteriyi bilgilendirir ve o talimatı yerine getirmekten kaçınabilir. 5.2. Gizlilik. Kişisel verilere erişen herkes gizlilik yükümlülüğü altındadır ve bu yükümlülük görevin sona ermesinden sonra da devam eder. 5.3. Güvenlik tedbirleri. VeriTakibi, KVKK m.12 uyarınca uygun güvenlik düzeyini sağlamak için en az şu tedbirleri uygular: a) Aktarım sırasında şifreleme (TLS); b) Gizli alanların (erişim anahtarları gibi) veritabanında şifreli saklanması; c) Rol ve yetki tabanlı erişim denetimi; her firmanın verisinin veri tabanı katmanında birbirinden ayrılması; d) İki adımlı doğrulama imkânı; e) İşlem ve erişim kayıtlarının tutulması; f) Düzenli yedekleme; g) Erişim yetkilerinin gerektiği kadar kişiyle sınırlanması. Bu tedbirler teknolojinin gelişimine göre güncellenebilir; güvenlik düzeyi düşürülemez. 5.4. Veri ihlali. VeriTakibi, kişisel verilerin hukuka aykırı olarak erişilmesi, ele geçirilmesi veya ifşası hâlinde durumu öğrendiği andan itibaren gecikmeksizin ve en geç yetmiş iki (72) saat içinde Müşteriye bildirir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, tahmini etkiyi ve alınan önlemleri içerir. Kurula ve ilgili kişilere bildirim yükümlülüğü Müşteriye aittir; VeriTakibi bu bildirim için gereken bilgiyi sağlar. 5.5. İlgili kişi başvuruları. VeriTakibi, kendisine ulaşan ilgili kişi başvurularını yanıtlamaz, gecikmeksizin Müşteriye iletir. Müşterinin KVKK m.11 kapsamındaki taleplere cevap verebilmesi için gereken teknik desteği sağlar. 5.6. Denetim. Müşteri, bu Ek'e uyumu denetlemek için yılda bir kez, en az on beş (15) gün önceden bildirmek kaydıyla, uzaktan ve iş akışını aksatmayacak biçimde bilgi ve belge talep edebilir. Denetimin masrafı Müşteriye aittir. Sıklık sınırı, bir veri ihlali yaşanması hâlinde uygulanmaz. 5.7. Kayıt. VeriTakibi, kendisi adına yürütülen işleme faaliyetlerinin kaydını tutar ve talep hâlinde Müşteriye sunar. 6. ALT VERİ İŞLEYENLER 6.1. Hizmetin sunulabilmesi için alt veri işleyenler kullanılır. Bunlar şu kategorilerdedir: a) Yapay zekâ sağlayıcıları: etkileşim içeriğinin gerçek zamanlı veya sonradan işlenmesi, dökümlenmesi, özetlenmesi; b) Bulut ve barındırma sağlayıcıları: sunucu, veritabanı ve yedek barındırma; c) Elektronik haberleşme ve mesajlaşma sağlayıcıları: etkileşimin taşınması ve iletilmesi; d) Bildirim ve e-posta gönderim sağlayıcıları. 6.2. Bu Ek'in kabul edildiği tarihte kullanılan ve yakın dönemde kullanılması planlanan alt veri işleyenler ile işlemenin yürütülebileceği yerler şunlardır. Bunlardan hangisinin O AN kullanıldığı 6.4'teki listede güncel olarak görülür; bu Ek kimlerin ve nerelerin söz konusu olabileceğini, liste ise o günkü fiilî durumu söyler: a) Google — yapay zekâ sağlayıcısı; Google Cloud Vertex AI ve sağlayıcının Google AI Studio dâhil diğer yapay zekâ hizmetleri — Avrupa Birliği üyesi ülkeler, Amerika Birleşik Devletleri ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; b) OpenAI — yapay zekâ sağlayıcısı — Amerika Birleşik Devletleri ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; c) Meta (WhatsApp Business Platform) — mesajlaşma sağlayıcısı — İrlanda ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; d) Bulut ve barındırma sağlayıcıları — Avrupa Birliği üyesi ülkeler, Türkiye ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; e) Elektronik haberleşme sağlayıcıları — Türkiye. Bu aktarım yurt içindedir; telefon aramalarının şebeke üzerinden taşınmasıyla sınırlıdır; f) Anthropic — yapay zekâ sağlayıcısı — Amerika Birleşik Devletleri, Avrupa Birliği üyesi ülkeler ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; g) ElevenLabs, Cartesia — yapay zekâ sağlayıcısı (metinden konuşma) — Amerika Birleşik Devletleri ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; h) Deepgram — yapay zekâ sağlayıcısı (konuşmadan metin) — Amerika Birleşik Devletleri ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler; i) Bildirim ve e-posta gönderim sağlayıcıları — Avrupa Birliği üyesi ülkeler ve sağlayıcının küresel altyapısını işlettiği diğer ülkeler. Yukarıdakilerin bir kısmı bu Ek'in kabul edildiği tarihte henüz kullanılmamaktadır; hangisinin kullanımda olduğu, sağlayıcıların adları, tüzel kişilikleri ve kendi veri işleme şartlarına bağlantıları 6.4'teki listede yer alır ve orada güncel tutulur. 6.3. Yerler bakımından iki noktanın bilinmesi gerekir: a) Yukarıda sayılan yerler, işlemenin yürütülebileceği yerlerdir; VeriTakibi bunlar arasından veri ikametgâhı sağlayan seçeneği tercih etmeye çalışır (7.3). b) Bazı hizmetlerde sağlayıcı bölge seçimi sunmaz. Böyle hizmetlerde işlemenin hangi ülkede yürütüleceğini sağlayıcı belirler ve VeriTakibi bu konuda bir taahhütte bulunamaz. Hangi hizmetin bölge seçimi sunduğu 6.4'teki listede gösterilir. 6.2'de adı geçmeyen bir alt veri işleyenin kullanılması gerekirse, bu 6.6'daki usule tabidir. 6.4. Alt veri işleyenlerin GÜNCEL listesi şu adreste yayımlanır ve 6.2'deki liste, bu Ek'in kabulünden sonra yalnız oradan güncellenir: https://veritakibi.com/legal/subprocessors Liste, her alt veri işleyen için adını, tüzel kişiliğini, işlemenin yürütüldüğü ülke veya bölgeyi, işleme amacını ve o sağlayıcının kendi veri işleme şartlarına bağlantıyı içerir. Listenin geçmiş hâlleri, hangi tarihte hangi sağlayıcıların yer aldığı görülebilecek şekilde aynı adresten yayımlanmaya devam eder. 6.5. Müşteri, bu Ek'i kabul etmekle 6.2'deki alt veri işleyenlerin ve 6.6'daki usule uyularak listeye eklenecek olanların kullanılmasına onay vermiş olur. 6.6. Listeye yeni bir alt veri işleyen eklenmesi ya da mevcut birinin değiştirilmesi, en az on beş (15) gün önceden panelden duyurulur. Duyuru; neyin değiştiğini, değişikliğin yürürlük tarihini ve 6.4'teki adresi içerir. Müşteri bu değişikliğe itiraz edebilir; itiraz için gerekçe göstermesi gerekmez. Taraflar on beş (15) gün içinde bir çözümde anlaşamazsa Müşteri, Hizmet Kullanım Sözleşmesi'ni ve bu Ek'i derhâl ve tazminatsız feshedebilir. Müşterinin sözleşmeyi her zaman, sebep göstermeksizin ve tazminatsız feshetme hakkı (Hizmet Kullanım Sözleşmesi m.14.2) bu maddeden bağımsız olarak ve her hâlükârda saklıdır. 6.7. Hizmetin sürekliliği için acil ve zorunlu değişikliklerde duyuru gecikmeksizin, değişiklikten sonra yapılır. Müşterinin 6.6'daki itiraz ve fesih hakları bu hâlde de aynen geçerlidir. 6.8. VeriTakibi, alt veri işleyenlerini bu Ek'tekiyle en az aynı düzeyde yükümlülük altına sokar ve onların fiillerinden kendi fiili gibi sorumludur. 7. YURT DIŞINA AKTARIM 7.1. Müşteri, hizmetin niteliği gereği kişisel verilerin yurt dışında yerleşik alt veri işleyenlere aktarıldığını bilir ve kabul eder. Bu aktarım hizmetin aslî işlevidir; arızi değildir. 7.2. Aktarım, alt veri işleyenin işlemeyi yürüttüğü ülkeye yapılır. Bu ülkeler Avrupa Birliği üyesi ülkeler, Birleşik Krallık, Amerika Birleşik Devletleri, İsviçre, Kanada ve alt veri işleyenin küresel altyapısını işlettiği diğer ülkelerdir. Bir alt veri işleyenin küresel altyapı kullanması hâlinde bu durum, o alt işleyen için listede ayrıca belirtilir; aktarımın yapıldığı güncel ülke bilgisi her zaman 6.4'teki listede yer alır. 7.3. İşlemenin hangi bölgede yürütüleceği, alt veri işleyenin sunduğu seçeneklerle sınırlıdır. VeriTakibi, veri ikametgâhı sağlayan bir seçenek sunulduğunda bunu tercih etmeye çalışır; ancak bir modelin veya hizmetin yalnızca belirli bir bölgede sunulduğu hâllerde bu mümkün olmayabilir. Hangi bölgenin kullanıldığı 6.4'teki listede gösterilir. 7.4. Yurt dışına aktarımın KVKK'nın 9. maddesi kapsamındaki hukuki sebebinin sağlanması, veri sorumlusu sıfatıyla Müşterinin yükümlülüğündedir. VeriTakibi, bu yükümlülüğün yerine getirilebilmesi için gereken bilgiyi -- aktarılan veri kategorileri, alıcı grupları, alıcı ülkeler ve alt veri işleyenlerin kendi taahhütleri -- 6.4'teki listede sağlar; alt veri işleyenlerin kendisine sunduğu veri işleme taahhütlerini belgeler ve talep hâlinde Müşteriyle paylaşır. 7.5. Bu Ek kapsamındaki aktarım, Müşterinin veya ilgili kişinin açık rızasına dayandırılmamıştır. KVKK'nın 9. maddesinin altıncı fıkrası açık rızaya dayalı aktarımı arızi hâllerle sınırlandırdığından, süreklilik gösteren bu aktarım için açık rıza uygun bir hukuki sebep değildir. 7.6. Bu maddedeki bilgilendirme, VeriTakibi'nin Müşteriye hukuki görüş verdiği anlamına gelmez. 8. SAKLAMA VE İMHA 8.1. Kişisel veriler, hizmetin sunulması için gerekli olduğu sürece saklanır. 8.2. Hizmet Kullanım Sözleşmesi sona erdiğinde, Müşterinin verilerini dışa aktarabilmesi için tanınan otuz (30) günlük sürenin bitiminden sonra kişisel veriler otuz (30) gün içinde silinir veya Müşteriye iade edilip silinir. Müşterinin talebi hâlinde silme işlemi yazılı olarak teyit edilir. 8.3. Kanunen saklanması zorunlu veriler, zorunluluk süresince saklanmaya devam eder ve bu süre boyunca yalnızca saklama amacıyla işlenir. 8.4. Yedeklerdeki veriler, yedekleme döngüsünün olağan akışı içinde silinir. 9. SORUMLULUK 9.1. Taraflardan her biri, KVKK'dan doğan kendi yükümlülüklerinin ihlalinden sorumludur. 9.2. Veri güvenliğinin sağlanmasına ilişkin KVKK m.12 yükümlülüğü bakımından taraflar müştereken sorumludur; taraflar arasındaki iç ilişkide, sorumluluk kusur oranına göre paylaştırılır. 9.3. Hizmet Kullanım Sözleşmesi'nin 9. maddesindeki sorumluluk sınırı, kanundan doğan idari sorumluluk bakımından uygulanmaz. 10. YÜRÜRLÜK 10.1. Bu Ek, Hizmet Kullanım Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer. 10.2. Kişisel verilere ilişkin konularda bu Ek, Hizmet Kullanım Sözleşmesi'ne göre önceliklidir.