Veri işleme sözleşmesi

TASLAK — hukuki tavsiye değildir, kullanımdan önce hukukçu incelemesi gerekir.

• Belge: GDPR m.28 ve UK GDPR kapsamında, Türk KVKK hükümleriyle birlikte Veri İşleme Sözleşmesi · Dil: Türkçe · Sürüm: 0.1 taslak · Tarih: 2026-10-26
• Dayanak: docs/research/06-legal-compliance.md R4, F2, F8, F10, T3. Müşterinin yüklediği ya da bulduğu lead ve alıcı kişisel verisine uygulanır; burada müşteri veri sorumlusu, platform veri işleyendir (06 F10).
• Şirket ülkesi: Türkiye. Barındırma sağlayıcısı ve bölgesi henüz seçilmemiştir (ADR-008) ve yapay zekâ kararı (TODO-Faruk 2d-c) açıktır; Ek C ve Ek D sağlayıcı adı yerine bunu belirtir. Tüm yer tutucular 2026-10-27’de (F1-64) docs/decisions/01-defaults-2026-10-27.md ve araştırma raporlarındaki değerlerle kapatılmıştır; † ile işaretli cümleler hâlâ hukukçu teyidi bekler.

1. Taraflar, roller ve konu

1.1 Bu DPA, müşteri (“Veri Sorumlusu”) ile Faruk Sancak TiklaWeb Bilişim Hizmetleri (şahıs işletmesi), Türkiye, Atatürk Mahallesi Dilek Sokak No: 12 İç Kapı No: 5, Küçükçekmece / İstanbul (“Veri İşleyen”) arasındadır ve Kullanım Şartları’nın parçasıdır.

1.2 Veri İşleyen, outreach platformunu sunmak için Veri Sorumlusu adına kişisel veri işler. Konu, süre, nitelik, amaç, veri türleri ve ilgili kişiler Ek A’dadır.

1.3 Veri Sorumlusu’nun kendi kullanıcılarına ilişkin hesap, faturalama ve güvenlik verisinde Veri İşleyen bağımsız veri sorumlusudur (bkz. Gizlilik Politikası). Bu DPA o veriye uygulanmaz.

1.4 Veri İşleyen lead kişisel verisini müşteriler arasında yeniden kullanmaz ve ortak bir lead veritabanı işletmez. Platform düzeyindeki bastırma; kalıcı (hard) bounce, spam şikâyeti, kötüye kullanım ve Veri İşleyen’e doğrudan iletilen taleplerle sınırlıdır (06 F10).

2. Tanımlar

2.1 “Kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi” ve “kişisel veri ihlali” gibi terimler GDPR’deki (ve UK GDPR’deki) anlama sahiptir. KVKK uygulandığında “veri sorumlusu”, “veri işleyen” ve “ilgili kişi” 6698 sayılı Kanun’daki anlamdadır.

2.2 “Alt işleyici”, Veri İşleyen’in Veri Sorumlusu’nun kişisel verisini işlemek üzere görevlendirdiği üçüncü taraftır. “Aktarım”, verinin yurt dışından erişilebilir hâle getirilmesini de kapsar (Aktarım Yönetmeliği m.4/e, 06 F1.3).

3. Belgelenmiş talimatlarla işleme

3.1 Veri İşleyen, kişisel veriyi yalnızca Veri Sorumlusu’nun aktarımlar dahil belgelenmiş talimatlarıyla işler (GDPR m.28(3)(a)). Kullanım Şartları, bu DPA ve Veri Sorumlusu’nun Hizmet yapılandırması belgelenmiş talimatlardır.

3.2 Dışa aktarma ve yapay zekâ istemcisi erişimi talimat olarak. Çalışma alanı verisine Veri Sorumlusu tarafındaki bir yapay zekâ istemcisinden erişim (örneğin MCP ile) ve veri dışa aktarma varsayılan olarak kapalıdır. Çalışma alanı sahibi ya da yöneticisi bunları açtığında bu eylem, verinin o istemciye ya da alıcıya sunulması için Veri Sorumlusu’nun belgelenmiş talimatıdır. Veri Sorumlusu, yapay zekâ istemcisinin sağlayıcısının kendi alıcısı olduğunu ve Türk verisi için KVKK m.9 dayanağının Veri Sorumlusu’nun görevi olduğunu kabul eder (06 F8).

3.3 Veri İşleyen, bir talimatın veri koruma hukukunu ihlal ettiğini düşünürse Veri Sorumlusu’nu bilgilendirir.

3.4 Yapay zekâ işleme: varsayılan olarak lead kişisel verisi yapay zekâ modellerine gönderilmez; istemler üretimden sonra doldurulan yer tutucular kullanır. Kişisel veriyi işlemek zorunda olan özellikler (örneğin yanıt sınıflandırma) yalnızca ilgili kişinin bölgesi için bir aktarım dayanağı bulunan yerlerde çalışır (06 F8, C-16). Bir bölge için aktarım dayanağı yoksa özellik o bölge için kapatılır (Gizlilik Politikası 8.2).†

4. Gizlilik

4.1 Veri İşleyen, veriyi işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını sağlar (GDPR m.28(3)(b)). Platform yöneticileri, Kullanım Şartları uyarınca başlatılan günlüğe alınmış süreli bir destek oturumu dışında Veri Sorumlusu içeriğini okumaz.

5. İşleme güvenliği

5.1 Veri İşleyen, riske uygun teknik ve idari tedbirleri uygular (GDPR m.28(3)(c)). Tedbirler Ek B’de özetlenmiştir.

5.2 KVKK: KVKK m.12/2 uyarınca veri güvenliğinde Veri Sorumlusu ve Veri İşleyen birlikte sorumludur. Veri İşleyen’in Ek B’deki tedbirleri bu sorumluluktaki payını oluşturur; Veri Sorumlusu kendi yapılandırmasından, kullanıcı erişiminden ve kimlik bilgilerinden sorumlu kalır.

6. Alt işleyiciler

6.1 Veri Sorumlusu, Ek C’deki alt işleyicilere genel izin verir (GDPR m.28(2)). Yetki genel olup bildirim süresi ve itiraz hakkı içerir (6.3).

6.2 Veri İşleyen, her alt işleyiciye bu DPA ile eşdeğer veri koruma yükümlülükleri getirir (GDPR m.28(4)) ve bunlardan sorumlu kalır.

6.3 Veri İşleyen, eklemeler ya da değişiklikler için 30 gün önceden bildirim yapar; Veri Sorumlusu makul veri koruma gerekçeleriyle itiraz edebilir. Veri İşleyen itirazı karşılayamazsa Veri Sorumlusu, değişiklik yürürlüğe girmeden önce etkilenen özelliği kullanmayı bırakabilir ya da ilgili hizmeti sonlandırabilir.†

7. İlgili kişi talepleri

7.1 Veri İşleyen, Hizmet’in talep araçları ve kiracı bazlı dışa aktarma yoluyla Veri Sorumlusu’nun ilgili kişi taleplerini (erişim, düzeltme, silme, itiraz) yanıtlamasına yardım eder (GDPR m.28(3)(e)). Bir ilgili kişi Veri Sorumlusu verisi hakkında Veri İşleyen’e yazarsa, talep Veri İşleyen’in kendi verisiyle ilgili değilse esasa ilişkin yanıt verilmeden Veri Sorumlusu’na iletilir.

7.2 Veri Sorumlusu’nun uyması gereken yanıt süreleri: GDPR ve UK GDPR’de bir ay (m.12(3)), KVKK m.13/2’de ücretsiz 30 gün (06 F1.3, F2).

8. DPIA ve istişarelerde yardım

8.1 Veri İşleyen, işlemenin niteliğini dikkate alarak Veri Sorumlusu’na güvenlik, ihlal bildirimi, etki değerlendirmesi ve ön istişare konularında yardım eder (GDPR m.28(3)(f)). Hizmet, meşru menfaat değerlendirmesi ve bilgilendirme şablonları sunar (06 C-06, C-13); bunları Veri Sorumlusu doldurur.

9. Kişisel veri ihlalleri

9.1 Veri İşleyen, Veri Sorumlusu verisini etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin eldeki bilgilerle Veri Sorumlusu’na bildirir. † (06’da sayısal süre yoktur.)

9.2 Makamlara ve ilgili kişilere bildirimi yapıp yapmayacağına Veri Sorumlusu karar verir. KVKK bakımından bildirimlerin dağılımı kanuna ve bu DPA’ya göre yapılır. KVKK m.12/5 uyarınca Veri Sorumlusu ilgili kişiye ve Kurul’a en kısa sürede bildirir; Veri İşleyen elindeki bilgilerle buna destek olur.†

10. İade ve silme

10.1 Hizmet sona erdikten sonra Veri Sorumlusu verisini 30 günlük silme bekleme süresi içinde dışa aktarabilir. Ardından Veri İşleyen verileri siler, OAuth token’larını iptal eder ve kiracının şifreleme anahtarlarını yok eder (GDPR m.28(3)(g)).

10.2 Veri İşleyen yalnızca kanunun gerektirdiğini, platform denetim günlüklerini ve özetlenmiş (hash) global bastırma kayıtlarını (kalıcı bounce, şikâyet, kötüye kullanım, Veri İşleyen’e iletilen talepler) tutar. Yedekler, barındırma sağlayıcısı seçilirken belirlenen yedek saklama süresinin sonunda sona erer.†

10.3 Etkin hizmet sırasındaki saklama, Gizlilik Politikası’ndaki önerilen varsayılanları izler (lead havuzu adayları 30 gün; yanıt vermeyenler son giden adımdan 12 ay sonra anonimleştirilir ya da silinir; onay kayıtları geçerlilik artı 3 yıl). Veri Sorumlusu bunları Hizmet’in izin verdiği sınırlar içinde ayarlayabilir.

11. Denetim ve bilgi

11.1 Veri İşleyen, uyumu göstermek için gereken bilgiyi sağlar ve Veri Sorumlusu’nun ya da denetçisinin denetimlerine izin verir (GDPR m.28(3)(h)), makul bir yazılı ön bildirimle, makul zamanlarda, faaliyetleri aksatmayacak ve diğer müşterilerin verisini açığa çıkarmayacak şekilde. Her taraf kendi masrafını üstlenir.†

12. Uluslararası aktarımlar

12.1 Yeterlilik kararı bulunmayan bir ülkeye Veri Sorumlusu kişisel verisinin aktarımı yalnızca hukuka uygun bir mekanizmayla yapılır. Mekanizma verinin kaynağına, barındırma ve alt işleyici konumlarına bağlıdır (Ek D).

12.2 AB/AEA verisi: Veri İşleyen AEA dışındaysa Veri Sorumlusu ile Veri İşleyen arasında AB Standart Sözleşme Maddeleri Modül 2 (veri sorumlusundan veri işleyene), AEA dışındaki alt işleyicilerle Modül 3 (veri işleyenden veri işleyene); aktarım etki değerlendirmesiyle desteklenir (06 F8).

12.3 UK verisi: AB SCC’lere UK Eki ya da AB’ye aktarım (AB’nin UK için yeterlilik kararı vardır, UK de AB’yi tanır) (06 F8).

12.4 Türk verisi: KVKK m.9 kapsamındaki aktarım, m.5 ya da m.6 dayanağına ek olarak yeterlilik kararı, uygun güvenceler veya yalnızca arızi istisna gerektirir. Standart sözleşme (Veri Sorumlusu ile Veri İşleyen arasında Modül 2, alt işleyicilerle Modül 3) hiçbir değişiklik yapılmadan kullanılır ve imzadan sonra 5 iş günü içinde bildirilir (Kanun m.9/5; Aktarım Yönetmeliği m.14/3 ve 14/5). Taraflar aksini kararlaştırmadıkça bildirimi ihracatçı yapar; taraflar, her birinin diğerine zamanında bildirim için gereken bilgiyi vermesi konusunda anlaşır.† Açık rıza (m.9/6-a) yalnızca arızi aktarımlar içindir ve ürünün düzenli akışları için dayanak değildir.

12.5 Platformun AB’de barındırılması Türk kiracı verisini KVKK m.9 aktarımı yapar. Türkiye’de barındırma AB kiracılarının verisini GDPR Bölüm V aktarımı yapar (Türkiye’nin yeterlilik kararı yoktur). Bölgeye sabitli barındırma ikisini de önler. Barındırma sağlayıcısı ve bölgesi henüz seçilmemiştir (ADR-008) ve ilk sürümde bölge sabitleme yoktur; Türk kiracı verisi için KVKK standart sözleşmesi yolu uygulanır.†

12.6 Veri İşleyen’in yapay zekâ sağlayıcısının DPA’sı AB SCC Modül 2 ve 3’ü, UK Eki’ni ve bir İsviçre Eki’ni içerir; KVKK standart sözleşmesini ya da DPF kaydını sunmaz. Herhangi bir yapay zekâ sağlayıcısının KVKK standart sözleşmesini imzalayıp imzalamayacağı DOĞRULANAMADI (06 F8).

13. KVKK’ya özgü hükümler

13.1 KVKK uygulandığında Veri Sorumlusu veri sorumlusudur; aydınlatma yükümlülüğünü (m.10), varsa VERBİS yükümlülüğünü (m.16) ve ilgili kişi yanıtlarını (m.13) taşır. Veri İşleyen 7 ila 9. maddelerde belirtildiği şekilde yardım eder.

13.2 Veri İşleyen yalnızca Veri Sorumlusu’nun talimatlarıyla hareket eder ve 1.4’te anlatılan platform düzeyi bastırma dışında kendi amaçları için işlemez.

13.3 VERBİS: her taraf, KVKK m.16 kapsamındaki kendi kayıt yükümlülüğünü değerlendirir. Yurt içindeki veri sorumluları, ana faaliyeti özel nitelikli veri değilse 50 çalışan ve 100 milyon TL yıllık bilanço toplamının altında muaftır; yurt dışında yerleşik veri sorumlularının büyüklüğe bakılmaksızın kayıt yükümlüsü olduğu belirtilir (06 F1.3). Veri İşleyen’in kayıt yükümlülüğü olup olmadığını hukukçu teyit eder.†

14. Sorumluluk, süre ve öncelik

14.1 Bu DPA kapsamındaki sorumluluk Şartlar’ı (14. madde) izler; sınırlanamayan ilgili kişi hakları dahil emredici hukuk saklıdır.†

14.2 Bu DPA, Veri İşleyen Veri Sorumlusu kişisel verisini işlediği sürece devam eder. Devamı gereken kısımlar (silme, gizlilik) devam eder.

14.3 SCC’ler, UK Eki ya da KVKK standart sözleşmesi bu DPA ile çelişirse, kapsadıkları aktarımlar için o belgeler üstündür. Aksi halde veri koruma konularında bu DPA, Şartlar’a göre önceliklidir.

15. Ek A: İşlemenin tanımı

16. Ek B: Teknik ve idari tedbirler

16.1 Aşağıdaki tedbirler, Hizmet yayına girmeden önce kabul edilen mimari kararlara karşı kontrol edilir.† Mimari kararlarda planlanan tedbirlerin özeti (henüz nihai değil; ADR durumu “proposed”):

• veritabanında zorunlu satır düzeyi güvenlik ve zorunlu kiracı bağlamıyla kiracı yalıtımı;
• saklanan kimlik bilgilerinin, bir platform anahtarıyla sarılan kiracı bazlı veri anahtarlarıyla şifrelenmesi;
• yöneticilerin günlüğe alınmış destek oturumu olmadan içeriği okuyamaması;
• yalnızca eklenebilen denetim günlükleri;
• günlüklerde sır bulunmaması;
• 10. maddedeki gibi saklama işleri ve silme yaşam döngüsü.

17. Ek C: Alt işleyici listesi

18. Ek D: Veri kaynağına göre aktarım mekanizmaları

19. İnceleyen hukukçu için notlar

• Barındırma konumu ve yapay zekâ aktarım dayanağı açıktır (TODO-Faruk 2d-b, 2d-c); Ek C ve D o zamana kadar sağlayıcı adı vermez.
• Kiracı yöneticisi anahtarının GDPR m.28(3)(a) ve KVKK bakımından yeterli bir “belgelenmiş talimat” olduğunu teyit edin (06 F8).
• KVKK m.12/2 ortak güvenlik sorumluluğu ifadesini ve standart sözleşme bildirimini kimin yapacağını teyit edin (06 R4).
• İhlal bildirim süresi, denetim koşulları, sorumluluk dağılımı ve alt işleyici değişiklik süreci için 06’da rakam yoktur; hukukçu belirler.
• Ürünün müşterileri için bir İsviçre Eki’nin gerekip gerekmediğini teyit edin.
• 2026-10-27 tarihinde (F1-89) content-input/company.md dosyasından dolduruldu: unvan, vergi dairesi ve numarası, adres ve e-posta adresleri. Şahıs işletmesi olduğu için MERSIS numarası yoktur; esnaf ya da tacir statüsünü mali müşavir teyit edecek. hello@, support@, privacy@, billing@ ve security@gondero.com posta kutuları açıktır. legal@, abuse@, postmaster@, dmarc@ ve no-reply@ henüz yoktur; bu yüzden hukuki bildirimler ve kötüye kullanım şikâyetleri için, onlar açılana kadar hello@gondero.com kullanılır. Başlıkta şirket ülkesinin bilinmediğini söyleyen ifadeler geçersizdir (Türkiye); seçenekler 2026-10-27’de karara bağlandı. Tüm yer tutucular 2026-10-27’de (F1-64) kapatıldı; durum tablosu README.md içinde.
• † Hukukçu teyidi bekleyen maddeler: 3.4, 6.3, 9.1, 9.2, 10.2, 11.1, 12.4, 12.5, 13.3, 14.1, §15, 16.1.