Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), Ajansify ("Ajansify", "biz") ile Ajansify hizmetini kullanan müşteri ("Müşteri", "siz") arasındaki Kullanım Koşulları'nın parçasıdır. Ajansify'ın Müşteri adına Müşteri Kişisel Verilerini işlediği her durumda uygulanır. Müşteri, Kullanım Koşulları'nı kabul ederek bu Sözleşme'yi de kabul eder; ayrıca imza gerekmez. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.12, GDPR m.28 ve UK GDPR m.28'in gereklerini karşılar.

1. Tanımlar

• Uygulanacak Veri Koruma Mevzuatı: KVKK, GDPR, UK GDPR ve işlemeye uygulanan diğer veri koruma kanunları.
• Müşteri Kişisel Verileri: Müşterinin ya da kullanıcılarının hizmete yüklediği, hizmette ürettiği ya da hizmete bağladığı içerikte yer alan ve Ajansify'ın Müşteri adına işlediği kişisel veriler (Ek A).
• Alt İşleyen: Ajansify'ın Müşteri Kişisel Verilerini işlemek için görevlendirdiği üçüncü kişi.
• Kişisel Veri İhlali: Müşteri Kişisel Verilerinin kazara ya da hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına ya da bunlara yetkisiz erişilmesine yol açan güvenlik ihlali.
• SCC'ler: Avrupa Komisyonu'nun 2021/914 sayılı Uygulama Kararı ekindeki standart sözleşme maddeleri.
• Veri sorumlusu, veri işleyen, ilgili kişi ve işleme gibi diğer terimler Uygulanacak Veri Koruma Mevzuatı'ndaki anlamı taşır.

2. Roller ve kapsam

• Müşteri, Müşteri Kişisel Verilerinin veri sorumlusudur ya da başka bir veri sorumlusu adına hareket eden veri işleyendir. Ajansify, Müşteri'nin veri işleyeni ya da alt veri işleyenidir.
• Müşteri veri işleyen ise, kendi veri sorumlusunun Müşteri'nin talimatlarına, Ajansify'ın ve Alt İşleyenlerin kullanılması dahil, izin verdiğini teyit eder.
• Hesap, fatura, güvenlik, pazarlama, çerez ve hizmetin işletilmesine ilişkin verilerde Ajansify veri işleyen değil, veri sorumlusudur. Bu işleme bu Sözleşme'ye değil, Gizlilik Politikası'na tabidir.

3. İşlemenin ayrıntıları

İşlemenin konusu, süresi, niteliği ve amacı ile kişisel veri türleri ve ilgili kişi grupları Ek A'da yer alır.

4. Belgelenmiş talimatla işleme

• Ajansify, Müşteri Kişisel Verilerini yalnız Müşteri'nin belgelenmiş talimatıyla işler. Bu talimatlar Kullanım Koşulları, bu Sözleşme ve Müşteri'nin hizmeti kullanımı ve ayarlarıdır; örneğin içerik üretmek, hizmet bağlamak, yayınlamak, buluta kaydetmek, genel bağlantıyla paylaşmak ve ekip üyesi davet etmek.
• Ek talimatlar yazılı olmalı ve Kullanım Koşulları'na uygun olmalıdır.
• Bir talimatın Uygulanacak Veri Koruma Mevzuatı'na aykırı olduğunu düşünürsek Müşteri'yi gecikmeden bilgilendiririz; talimat teyit edilene ya da değiştirilene kadar o işlemeyi durdurabiliriz.
• Kanun bizi Müşteri Kişisel Verilerini başka şekilde işlemeye zorlarsa, kanun yasaklamadıkça Müşteri'yi önceden bilgilendiririz.
• Müşteri Kişisel Verilerini kendi amaçlarımız için kullanmayız; yalnız hizmeti güvende tutmak, dolandırıcılığı ve kötüye kullanımı önlemek ve Müşteri'yi ya da herhangi bir kişiyi tanıtmayan toplu veya anonim istatistik üretmek için kullanırız. Müşteri Kişisel Verilerini satmayız, reklamda kullanmayız, kendi yapay zekâ modellerimizi eğitmek için kullanmayız ve yapay zekâ sağlayıcılarının genel modellerini eğitmesine izin vermeyiz.

5. Müşteri'nin yükümlülükleri

Müşteri aşağıdakileri teyit eder ve bunlardan sorumludur:

• işlemenin, Müşteri Kişisel Verilerinin Ajansify'a, Alt İşleyenlere ve işi yapan yapay zekâ sağlayıcılarına gönderilmesi dahil, hukuki bir sebebi vardır;
• ilgili kişilere gerekli aydınlatmayı yapmıştır; doğrudan kendilerinden alınmayan veriler için yapılacak aydınlatma da buna dahildir (KVKK m.10, GDPR m.14), örneğin yorumculara, fotoğraftaki kişilere ve kendi müşterilerine;
• görsel ve videolarda yer alan ve sesi kullanılan kişilerin, kanunun gerektirdiği hâllerde, yapay zekâ ile dudak senkronu, ses ve görünüm özellikleri dahil, rızasını ya da iznini almıştır;
• özel nitelikli kişisel veri ya da çocuk verisi yüklemez; ancak bu hukuka uygun ve gerekliyse ve gerekli önlemleri alıyorsa Yapay Zekâ ve İçerik Kullanım Politikası'na uygun olarak yükleyebilir;
• talimatları kanuna uygundur;
• bağladığı üçüncü taraf hizmetlerin (yayın araçları, bulut depolama, Google İşletme Profili) seçiminden ve kullanımından sorumludur. Bu hizmetleri Müşteri seçer; bunlar Ajansify'ın Alt İşleyeni değildir;
• yapay zekâ ile üretilen içeriği kontrol etmekten, gerektiğinde etiketlemekten ve yayınladığı içerikten sorumludur.

6. Gizlilik

Ajansify, Müşteri Kişisel Verilerini işlemeye yetkili kişilerin gizlilik yükümlülüğü altında olmasını ve verilere yalnız işleri için gereken ölçüde erişmesini sağlar.

7. Güvenlik

• Ajansify, KVKK m.12 ve GDPR m.32 uyarınca Ek B'de açıklanan uygun teknik ve idari tedbirleri alır.
• Genel koruma düzeyini düşürmemek şartıyla bu tedbirleri güncelleyebiliriz.
• Şifreler, ekip izinleri ve oluşturduğu genel bağlantılar dahil, kendi hesabının güvenliğinden Müşteri sorumludur.

8. Alt İşleyenler

• Müşteri, Hizmet Sağlayıcılar ve Alt İşleyenler sayfasında listelenen Alt İşleyenleri görevlendirmesi için Ajansify'a genel yetki verir.
• Yeni bir Alt İşleyen eklemeden ya da birini değiştirmeden önce listeyi günceller ve mümkün olduğunda en az 30 gün önceden Müşteri'yi e-postayla ya da uygulama içinde bilgilendiririz. Güvenlik ya da hizmetin sürekliliği gibi acil durumlarda en kısa sürede bildiririz.
• Müşteri, bildirim süresi içinde makul veri koruma gerekçesiyle [email protected] adresine yazılı olarak itiraz edebilir. İtirazı iyi niyetle görüşürüz. Çözemezsek Müşteri, değişiklik yürürlüğe girmeden önce aboneliğini iptal ederek etkilenen hizmeti kullanmayı bırakabilir; bu, Kullanım Koşulları'na göre ve kanundan doğan emredici hakları saklı kalmak üzere yapılır.
• Her Alt İşleyene yazılı sözleşmeyle bu Sözleşme'den daha az koruyucu olmayan veri koruma yükümlülükleri yükleriz. Alt İşleyenlerin yükümlülüklerini yerine getirmesinden Müşteri'ye karşı Ajansify sorumlu kalır.

9. İlgili kişi taleplerinde destek

• Hizmet, Müşteri'nin içeriği görmesine, düzeltmesine, silmesine, dışa aktarmasına ve bağlantıları kaldırmasına olanak verir; bu da ilgili kişi taleplerini yanıtlamasına yardım eder.
• Müşteri Kişisel Verileriyle ilgili bir talep doğrudan bize gelirse, kanun aksini gerektirmedikçe talebi gecikmeden Müşteri'ye iletir, kişiyi yönlendirmek dışında kendimiz yanıt vermeyiz.
• İşlemenin niteliğini dikkate alarak makul ek destek sağlarız.

10. Etki değerlendirmesi ve ön danışma

Müşteri'nin veri koruma etki değerlendirmeleri ve denetim otoritesiyle ön danışması için, bizim işlememize ilişkin olduğu ölçüde makul bilgi ve destek sağlarız. Bunu esas olarak bu Sözleşme, Ek B ve Alt İşleyen listesiyle yaparız.

11. Kişisel Veri İhlali

• Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrendikten sonra Müşteri'yi gecikmeksizin bilgilendiririz. Bunu 48 saat içinde yapmayı hedefleriz.
• Bildirimde, bilindiği ölçüde ihlalin niteliği, etkilenen ilgili kişi ve kayıtların kategorileri ve yaklaşık sayısı, olası sonuçlar, alınan ya da önerilen tedbirler ve bir iletişim noktası yer alır. Bilgiler aşamalı olarak verilebilir.
• İhlali sınırlamak ve etkilerini azaltmak için makul adımları atarız.
• Kişisel Verileri Koruma Kurulu'na, diğer denetim otoritelerine ve ilgili kişilere bildirim yapılıp yapılmayacağına Müşteri karar verir ve bildirimi o yapar; biz destek oluruz. Bildirim, kusur kabulü anlamına gelmez.
• Bildirimleri hesap sahibinin e-posta adresine göndeririz; uygulama içinde de gösterebiliriz.

12. İade ve silme

• Abonelik sürerken Müşteri içeriğini hizmetteki araçlarla dışa aktarabilir.
• Kullanım Koşulları sona erdikten ya da hesap kapandıktan sonra Müşteri'nin içeriğini dışa aktarmak için 30 günü vardır. Ardından Müşteri Kişisel Verilerini canlı sistemlerimizden sileriz. Yedeklerdeki kopyalar olağan yedek döngüsünde, en geç kapanıştan 90 gün sonra silinir; bu sürede etkin olarak işlenmez.
• Kanun bazı verileri saklamamızı gerektiriyorsa, yalnız gereken süre kadar saklar ve koruruz.
• Talep edilirse silmeyi yazılı olarak teyit ederiz.
• Müşteri'nin kendi bulutuna kaydettiği ya da bağlı hizmetlerle yayınladığı içerik sistemlerimizin dışındadır ve tarafımızdan silinmez.

13. Denetim

• Bu Sözleşme'ye uyumu göstermek için gereken bilgileri sağlarız: bu Sözleşme, Ek B, Alt İşleyen listesi ve 12 ayda bir makul bir güvenlik soru formuna yazılı yanıt.
• Bu bilgiler yeterli değilse, bir denetim otoritesi gerektiriyorsa ya da bir Kişisel Veri İhlalinden sonra Müşteri, yerinde denetim dahil denetim yapabilir. Müşteri 30 gün önceden bildirimde bulunur; denetim çalışma saatlerinde ve 12 ayda en çok bir kez yapılır (otorite gerektirdiğinde ya da ihlal sonrasında bu sınır uygulanmaz). Denetimi Müşteri ya da gizlilik yükümlülüğü altındaki, rakibimiz olmayan bağımsız bir denetçi yapar. Müşteri kendi masraflarını karşılar. Denetim faaliyetlerimizi aksatmamalı ve diğer müşterilerin verilerine erişim sağlamamalıdır.
• Veri merkezleri gibi Alt İşleyen tesislerinin denetimi, varsa Alt İşleyenlerin kendi denetim raporları ya da sertifikalarıyla karşılanır.

14. Yurt dışına aktarım

• Müşteri Kişisel Verileri Almanya'da (AB) barındırılır. Ajansify Türkiye'de kuruludur; bazı Alt İşleyenler ABD'de bulunur ya da küresel olarak çalışır.
• Türkiye. Müşteri Kişisel Verilerinin yurt dışına aktarımı, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te yer alan standart sözleşmelerle yapılır. Ajansify, Alt İşleyenleriyle uygun türdeki standart sözleşmeleri imzalar ve bildirim yükümlüsü olduğu hâllerde Kişisel Verileri Koruma Kurumu'na kanuni süre içinde bildirir. Kanun Müşteri'nin de taraf olmasını gerektiriyorsa Müşteri ilgili standart sözleşmeyi imzalamayı kabul eder.
• AB/AEA. İşleme, Müşteri Kişisel Verilerinin AB/AEA'dan yeterlilik kararı bulunmayan bir ülkeye aktarılmasını içeriyorsa SCC'ler atıf yoluyla bu Sözleşme'ye dahil edilir: Müşteri veri sorumlusuysa Modül 2 (veri sorumlusundan veri işleyene), veri işleyense Modül 3 (veri işleyenden veri işleyene). Müşteri veri aktaran, Ajansify veri alıcıdır. SCC'ler bakımından: 7. madde (katılma maddesi) uygulanır; 9(a) maddesinde 8. bölümdeki bildirim süresiyle Seçenek 2 (genel yetki) uygulanır; 11. maddedeki isteğe bağlı ifade uygulanmaz; 13. madde uyarınca yetkili denetim otoritesi, Müşteri'nin kurulu olduğu üye devletinki ya da Müşteri AB'de kurulu değilse temsilcisinin veya ilgili kişilerin bulunduğu üye devletinkidir; 17. maddede Seçenek 2 uygulanır ve SCC'ler Müşteri'nin kurulu olduğu üye devletin hukukuna, bu hukuk üçüncü kişi lehine hak tanımıyorsa ya da Müşteri AB'de kurulu değilse İrlanda hukukuna tabidir; 18. madde uyarınca uyuşmazlıklar o üye devletin mahkemelerinde çözülür. SCC'lerin Ek I'i Ek A ile, Ek II'si Ek B ile, Ek III'ü Alt İşleyen listesiyle doldurulur.
• Avrupa Komisyonu, kendisi GDPR'a tabi olan veri alıcılar için standart sözleşme maddeleri kabul ederse, yukarıdaki SCC'lerin yerine o maddeler uygulanır. O zamana kadar SCC'ler, uygulanabildiği ölçüde ve Ek B'deki tedbirlerle birlikte uygulanır.
• Üçüncü ülkelerdeki Alt İşleyenlere sonraki aktarımlar, Alt İşleyen sertifikalıysa AB-ABD Veri Gizliliği Çerçevesi'ne, değilse SCC'lere dayanır.
• Birleşik Krallık. UK GDPR'a tabi aktarımlar için Birleşik Krallık Bilgi Komiserliği'nin yayımladığı AB SCC'lerine Uluslararası Veri Aktarımı Eki (UK Addendum) bu Sözleşme'ye dahil edilir ve bu Sözleşme'deki bilgilerle doldurulur.
• Diğer ülkeler. Başka kanunlar aktarım güvencesi istiyorsa taraflar o kanunların istediği güvenceleri uygular.
• SCC'ler ile bu Sözleşme çelişirse SCC'ler geçerlidir.

15. Resmî makam talepleri

Bir makamdan Müşteri Kişisel Verilerine ilişkin hukuken bağlayıcı bir talep alırsak, kanun yasaklamadıkça Müşteri'yi bilgilendirir, yalnız gereken en az veriyi açıklar ve hukuka aykırı ya da aşırı görünen taleplere makul olduğu ölçüde itiraz ederiz.

16. Sorumluluk

Tarafların bu Sözleşme'den doğan ya da bununla bağlantılı sorumluluğu, Kullanım Koşulları'ndaki sorumluluk sınırlamalarına tabidir; ancak SCC'ler dahil Uygulanacak Veri Koruma Mevzuatı'nın böyle bir sınırlamaya izin vermediği hâller saklıdır.

17. Süre, öncelik ve değişiklikler

• Bu Sözleşme, Ajansify Müşteri Kişisel Verilerini işlediği sürece, Kullanım Koşulları sona erdikten sonra 12. bölüme göre silinene kadar da uygulanır.
• Veri koruma konusunda çelişki olursa SCC'ler bu Sözleşme'ye, bu Sözleşme de Kullanım Koşulları'na üstün gelir.
• Bu Sözleşme'yi mevzuat, Alt İşleyenler ya da hizmet değiştiğinde güncelleyebiliriz. Önemli değişiklikleri önceden e-postayla ya da uygulama içinde bildiririz. Müşteri Kişisel Verilerinin genel koruma düzeyini düşüren değişiklikler Müşteri'nin onayına bağlıdır.
• SCC'ler dışında bu Sözleşme, Kullanım Koşulları'nda belirtilen hukuka ve yetkili mahkemelere tabidir.

Ek A – İşlemenin ayrıntıları

Ek B – Teknik ve idari tedbirler

• Aktarımda şifreleme: hizmete yapılan bağlantılarda ve Alt İşleyenlere yapılan çağrılarda HTTPS/TLS.
• Kimlik bilgileri ve anahtarlar: şifreler yalnız karma (hash) olarak; bağlı hizmetlerin erişim anahtarları şifreli saklanır.
• Erişim kontrolü: müşteri hesaplarında rol ve marka bazlı izinler; şirket içinde bilmesi gereken ve en az yetki ilkesiyle erişim; yönetici erişimi yalnız yetkili personelde.
• Ayrıştırma: müşteri verileri hesap bazında mantıksal olarak ayrılır.
• Erişilebilirlik: düzenli yedekleme; Contabo'nun Almanya'daki veri merkezlerinde barındırma.
• Kayıt ve izleme: güvenlik ve erişim kayıtları 2 yıl; yapay zekâ iş kayıtları en çok 1 yıl, sınırlı erişimle.
• Ağ güvenliği: Cloudflare vekil sunucusu ve saldırı koruması, hız sınırları ve bot denetimi.
• Veri en aza indirme: geçici sunucu kopyaları her işten sonra silinir; kart verisini Ajansify değil ödeme kuruluşu işler; bulutta yalnız Müşteri'nin seçtiği dosyalara dar izinlerle erişilir.
• Alt İşleyen yönetimi: yazılı sözleşmeler; yapay zekâ sağlayıcıları, Müşteri Kişisel Verileriyle model eğitimi yapılmayan iş (API) hizmetleri üzerinden kullanılır.
• Olay yönetimi: 11. bölümde açıklandığı gibi ihlal yönetimi ve bildirimi.
• Personel: gizlilik yükümlülüğü; gerek kalmadığında erişimin kaldırılması.
• Silme: 12. bölümde açıklanan silme süreçleri.

Ek C – Alt İşleyenler

Güncel Alt İşleyen listesi, amaçları, konumları ve aktarım güvenceleri Hizmet Sağlayıcılar ve Alt İşleyenler sayfasında yayımlanır.