Veri İşleme Sözleşmesi

1. Roller

Kullanıcı; bağladığı mağaza, reklam ve analitik hesaplarında yer alan ve kendi müşterilerine (veya ajans ise müşterilerinin müşterilerine) ait kişisel veriler bakımından veri sorumlusudur. [ŞİRKET UNVANI] ("Veri İşleyen") bu verileri yalnız Kullanıcı adına, Kullanıcı'nın talimatları ve bu sözleşme doğrultusunda işler. Ajans Kullanıcılar, müşterileriyle aralarındaki ilişkide gerekli sözleşmeleri yapmak ve yetkileri almakla yükümlüdür.

2. İşlemenin konusu ve kapsamı

• Veri kategorileri: sipariş kayıtlarındaki ad-soyad, e-posta, telefon, teslimat adresi; hedef kitle listeleri (platforma gönderilmeden önce tek yönlü özetlenmiş e-posta/telefon); reklam etkileşim ve dönüşüm verileri.
• İlgili kişiler: Kullanıcı'nın son müşterileri, potansiyel müşterileri ve web sitesi ziyaretçileri.
• Amaç: raporlama, kâr analizi, katalog ve hedef kitle senkronizasyonu, AI destekli analiz ve öneri üretimi.
• Süre: üyelik süresince; sona ermesinde madde 8 uygulanır.

3. Veri İşleyen'in yükümlülükleri

• Verileri yalnız belgelenmiş talimatlar doğrultusunda işlemek; talimatın mevzuata aykırı olduğunu düşünürse Kullanıcı'yı bilgilendirmek.
• Verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlamak.
• KVKK m.12 kapsamında uygun teknik ve idari tedbirleri almak (TLS, RLS ile kiracı izolasyonu, sırların sunucuda tutulması, rol tabanlı yönetici erişimi ve denetim kaydı, yedekleme).
• İlgili kişi başvurularının yanıtlanmasında makul ölçüde destek olmak.
• Verileri kendi amaçları için kullanmamak, satmamak ve genel AI modellerinin eğitimine vermemek.

4. Alt işleyenler

Kullanıcı, aşağıdaki alt işleyenlerin kullanılmasına genel izin verir. Veri İşleyen, alt işleyen değişikliklerini en az 30 gün önceden bildirir; Kullanıcı makul gerekçeyle itiraz edebilir ve itirazın giderilememesi hâlinde sözleşmeyi feshedebilir.

• Supabase Inc. – veritabanı, kimlik doğrulama, depolama ([VERİ BARINDIRMA BÖLGESİ])
• [UYGULAMA BARINDIRMA SAĞLAYICISI] – uygulama barındırma
• OpenAI, L.L.C. – metin üretimi ve analiz (ABD)
• Runway AI, Inc.; Pollo AI; Stability AI Ltd. – görsel/video üretimi (yalnız ilgili özellik kullanıldığında)
• Upstash, Inc. – zamanlanmış görev kuyruğu
• Resend – işlemsel e-posta
• Stripe, iyzico, PayTR, Paraşüt – yalnız Kullanıcı'nın kendi ödeme ve fatura verileri için

5. Yurt dışına aktarım

Alt işleyenlerin bir kısmı Türkiye dışındadır. Aktarımlar KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca; yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmeler veya diğer uygun güvencelerle yapılır ve standart sözleşmeler imza tarihinden itibaren beş iş günü içinde Kurul'a bildirilir.

6. Veri ihlali bildirimi

Veri İşleyen, Kullanıcı verilerini etkileyen bir ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Kullanıcı'ya bildirir; ihlalin niteliği, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi verir. Kullanıcı'nın Kurul'a 72 saat içinde bildirim yükümlülüğünü yerine getirmesi için gerekli bilgileri sağlar.

7. Denetim

Kullanıcı, makul önceden bildirim ve gizlilik taahhüdüyle, yılda bir defadan fazla olmamak üzere bu sözleşmeye uyuma ilişkin bilgi ve belge talep edebilir. Yerinde denetim masrafları Kullanıcı'ya aittir.

8. Sözleşmenin sona ermesi

Üyeliğin sona ermesinde Veri İşleyen, Kullanıcı'nın talebi doğrultusunda verileri dışa aktarma imkânı sağlar ve yasal saklama yükümlülükleri saklı kalmak kaydıyla 30 gün içinde siler veya anonimleştirir; bağlı hesap belirteçlerini derhal siler.

9. İletişim

Veri koruma talepleri için: [İLETİŞİM E-POSTASI] · [KEP ADRESİ] · [MERKEZ ADRESİ].