Veri İşleme Sözleşmesi (DPA)

1. Tarafların Sıfatı

2. İşlemenin Konusu ve Talimat

KEDD, Son Müşteri verilerini yalnızca Hizmeti sunmak için ve Kullanıcının belgelenmiş talimatları (Hizmet Koşulları, Platform yapılandırması ve verilen yazılı talimatlar) doğrultusunda işler. KEDD, verileri kendi amaçları için kullanmaz, satmaz veya talimat dışı işlemez. Hukuki bir yükümlülük gereği talimat dışı işleme gerekirse, yasak olmadıkça Kullanıcıyı önceden bilgilendirir. İşleme süresi: Hizmetin sunulduğu süre. İşlemenin niteliği/amacı: SaaS hizmetinin sunumu. Veri kategorileri ve ilgili kişi grupları: Kullanıcının Platforma girdiği Son Müşteri verileri.

3. KEDD'in (Veri İşleyen) Yükümlülükleri

• Verileri yalnızca talimat doğrultusunda işlemek;
• Verilere erişen personelin gizlilik taahhüdü altında olmasını sağlamak;
• KVKK m.12 uyarınca uygun teknik ve idari tedbirleri almak (şifreleme, erişim kontrolü, loglama, yedekleme);
• Veri ihlali halinde Kullanıcıyı gecikmeksizin bilgilendirmek ve makul desteği sağlamak;
• Kullanıcının, ilgili kişi başvurularını ve Kurul taleplerini karşılamasına makul ölçüde yardımcı olmak;
• Hizmet sona erince verileri Kullanıcının seçimine göre iade etmek veya silmek (yasal saklama saklı).

4. Kullanıcının (Veri Sorumlusu) Yükümlülükleri

• Son Müşterilere karşı aydınlatma ve gerekiyorsa açık rıza yükümlülüklerini yerine getirmek;
• Platforma yüklediği verilerin hukuka uygun şekilde elde edildiğini ve işlemenin hukuki dayanağının bulunduğunu garanti etmek;
• KEDD'e verdiği talimatların mevzuata uygun olmasını sağlamak;
• Erişim yetkilerini ve hesap güvenliğini yönetmek.

Bu yükümlülüklerin ihlalinden doğan sorumluluk Kullanıcıya aittir ve Kullanıcı bu nedenle KEDD'e yöneltilen talepler için KEDD'i tazmin eder.

5. Alt İşleyenler

6. Yurt Dışına Aktarım

Platform altyapısı (barındırma, veritabanı, yapay zeka) yurt dışında bulunan sağlayıcılar (Google Cloud/Firebase — veri AB'de; Google AI/Gemini — ABD; Meta Platforms — ABD/İrlanda; Resend — ABD) üzerinde çalıştığından, Son Müşteri verileri yurt dışına aktarılır. Bu aktarımlar güncel KVKK m.9 (yeterlilik kararı / uygun güvenceler — standart sözleşme ve sağlayıcıların DPA/SCC taahhütleri / arızi haller) çerçevesinde yapılır. KEDD, veri işleyen sıfatıyla, alt işleyenlerle uygun güvence mekanizmalarının kurulmasını sağlamaya çalışır ve Kullanıcının bu aktarıma ilişkin KVKK yükümlülüklerini yerine getirebilmesi için gerekli bilgi/belgeleri makul talep üzerine sağlar. Açık rıza gereken arızi hallerde rızanın Son Müşteriden alınması Kullanıcının sorumluluğundadır.

7. Güvenlik ve İhlal Bildirimi

KEDD, KVKK m.12 ve Kurul kararları doğrultusunda uygun güvenlik tedbirlerini uygular. Bir veri ihlali öğrenildiğinde KEDD, Kullanıcıyı gecikmeksizin bilgilendirir; Kullanıcının Kurul'a/ilgili kişilere bildirim yükümlülüğünü yerine getirmesi için gerekli bilgileri sağlar.

8. Denetim

KEDD, bu DPA'ya uyumu gösterir belge/özet bilgileri makul talep üzerine sunar. Yerinde denetimler önceden yazılı talep, gizlilik ve operasyonel güvenliği bozmama koşuluyla, makul sıklıkta yapılabilir.

9. Sona Erme

Hizmet sona erdiğinde, Kullanıcının 30 gün içindeki talebine göre veriler iade edilir veya silinir/yok edilir/anonimleştirilir. Bu süre sonunda KEDD verileri silebilir (yasal saklama yükümlülükleri saklıdır).

EK: Alt-İşleyen Listesi

KEDD'in Hizmeti sunmak için kullandığı güncel alt işleyenler aşağıdadır (alt işleyen — ülke — rol/işlenen veri):

• Google LLC — Firebase / Google Cloud (ABD merkezli; veri lokasyonu AB — europe-west): barındırma, veritabanı, kimlik doğrulama, dosya depolama ve sunucu fonksiyonları.
• Google LLC — Gemini AI (ABD): chatbot ve yapay zeka işleme (müşteri mesaj içerikleri, varlık çıkarımı).
• Meta Platforms, Inc. (ABD/İrlanda): WhatsApp Business, Instagram ve Messenger mesajlaşma altyapısı (telefon numarası, mesaj içerikleri, sosyal medya kimlikleri).
• Google LLC — Gmail / Calendar (ABD): Kullanıcının kendi bağladığı hesap üzerinden e-posta gönderimi ve takvim etkinlikleri.
• Resend, Inc. (ABD): işlemsel e-posta gönderimi (alıcı e-posta adresi ve içerik).
• iyzico Ödeme Hizmetleri A.Ş. (Türkiye): ödeme işleme (yurt içi — yurt dışı aktarım kapsamında değildir).
• Google Ireland Ltd. / Google LLC — Google Ads & Data Manager (İrlanda/ABD): Kullanıcının Platform üzerinden dijital reklam yürütmesi halinde reklam dönüşüm ölçümü (reklam tıklama tanımlayıcıları; Son Müşteri açık rızası varsa SHA-256 ile geri döndürülemez şekilde hash'lenmiş e-posta/telefon — açık veri paylaşılmaz).

Not: Twilio (ABD) entegrasyonu kod tabanında mevcut olmakla birlikte şu an devre dışıdır ve aktif veri aktarımı yapılmamaktadır; etkinleştirilmesi halinde bu liste güncellenir.