Veri İşleme Sözleşmesi

Yürürlük tarihi: [DOLDURULACAK] · Son güncelleme: [DOLDURULACAK]

Bu Veri İşleme Sözleşmesi ("VİS"), Hizmet Şartları ve Abonelik Sözleşmesi'nin ("Sözleşme") ayrılmaz parçasıdır ve Sözleşmenin elektronik ortamda onaylanmasıyla, ayrıca imzaya gerek olmaksızın yürürlüğe girer.

Taraflar

• Veri Sorumlusu: Sözleşmeyi onaylayan ve Hizmete abone olan işletme ("Müşteri").
• Veri İşleyen: [DOLDURULACAK] (Leadivo), MERSİS No: [DOLDURULACAK], Adres: [DOLDURULACAK], E-posta: [DOLDURULACAK], KEP: [DOLDURULACAK] ("Şirket").

1. Tanımlar

Bu VİS'te kullanılan ve aşağıda tanımlanmayan terimler Sözleşmedeki anlamlarını taşır. Ayrıca:

• Kişisel Veri, İlgili Kişi, İşleme, Veri Sorumlusu, Veri İşleyen, Açık Rıza: 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 3'teki ve, uygulandığı ölçüde, (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR") m. 4'teki anlamlarını taşır.
• Veri Koruma Mevzuatı: KVKK ve ikincil mevzuatı, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ("Aktarım Yönetmeliği"), Kişisel Verileri Koruma Kurulu ("Kurul") kararları ve, uygulandığı ölçüde, GDPR ile AB üye devletlerinin ilgili mevzuatı.
• İleti Mevzuatı: 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ("İleti Yönetmeliği").
• Müşteri Kişisel Verileri: Şirketin Hizmeti sunarken Müşteri adına işlediği ve Ek-1'de tanımlanan kişisel veriler.
• Alt İşleyen: Şirketin, Müşteri Kişisel Verilerini işlemekle görevlendirdiği üçüncü taraf veri işleyen.
• Kişisel Veri İhlali: Müşteri Kişisel Verilerinin kazara veya hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına veya bunlara yetkisiz erişilmesine yol açan güvenlik ihlali; KVKK m. 12/5 kapsamında verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi.
• Standart Sözleşme: KVKK m. 9/4 ve Aktarım Yönetmeliği uyarınca Kurul tarafından ilan edilen standart sözleşme metinleri.
• AB SCC: AB Komisyonunun 4 Haziran 2021 tarihli ve (AB) 2021/914 sayılı Uygulama Kararı ekindeki Standart Sözleşme Hükümleri.

2. Kapsam ve öncelik

2.1. Bu VİS, Şirketin Hizmet kapsamında Müşteri adına ve Müşterinin talimatları doğrultusunda Müşteri Kişisel Verilerini işlemesine uygulanır.

2.2. Şirketin veri sorumlusu sıfatıyla işlediği Müşteri hesap, Kullanıcı ve abonelik verileri bu VİS'in kapsamı dışındadır; bu veriler Gizlilik Politikası uyarınca işlenir.

2.3. Kişisel verilerin korunmasına ilişkin konularda bu VİS, Sözleşmeye göre önceliklidir. Ek-4'te yer alan AB SCC hükümleri ile bu VİS arasında çelişki bulunması hâlinde AB SCC hükümleri uygulanır.

3. Tarafların rolleri

3.1. Müşteri; hangi sektör, unvan, şirket büyüklüğü ve bölgedeki kişilerle hangi teklifle iletişime geçileceğine, yani Müşteri Kişisel Verilerinin işlenme amaçlarına ve temel vasıtalarına karar veren veri sorumlusudur. Şirket bu verileri yalnızca Müşteri adına ve onun talimatlarıyla işleyen veri işleyendir.

3.2. Şirketin Hedefleme Segmentlerini Mevzuata ve teslim edilebilirlik kurallarına uygunluk bakımından incelemesi, hukuka aykırı talimatları yerine getirmeme yükümlülüğünün bir gereğidir ve Şirkete veri sorumlusu sıfatı kazandırmaz.

3.3. Veri kaynağı (Apollo.io). Alıcılara ilişkin iş iletişim verileri, Müşterinin talimatı üzerine Şirket tarafından ZenLeads, Inc. d/b/a Apollo.io ("Apollo") veri tabanından Müşteri adına temin edilir. Apollo, kendi veri tabanını kendi amaçları ve hukuki dayanakları çerçevesinde oluşturan ve işleyen bağımsız bir veri sorumlusudur; Müşteri veya Şirket adına veri işleyen değildir. Apollo'dan temin edilen verilerin Hizmet kapsamında kullanılmasıyla ilgili veri sorumlusu Müşteridir.

3.4. Müşterinin kendi hizmet sağlayıcıları. Müşterinin kendi hesabıyla kullandığı Cal.com ve Müşterinin bildirim almak için bağladığı Slack çalışma alanı, Müşterinin seçtiği ve Müşteri ile doğrudan sözleşme ilişkisi bulunan hizmetlerdir; Şirketin Alt İşleyeni değildir. Şirket bu hizmetlere veri iletirken veya bu hizmetlerden veri alırken Müşterinin talimatıyla hareket eder. Bu hizmetlere ilişkin aktarım yükümlülükleri Müşteriye aittir.

3.5. Ödeme sağlayıcısı. LemonSqueezy, ödeme ve faturalama verileri bakımından bağımsız veri sorumlusudur ve bu VİS kapsamında değildir.

4. Müşterinin yükümlülükleri

Müşteri:

a) Müşteri Kişisel Verilerinin işlenmesi için Veri Koruma Mevzuatında öngörülen bir hukuki sebebin bulunduğunu; bu kapsamda Ek-5'teki meşru menfaat değerlendirmesini incelediğini ve kendi faaliyetine uyarlayarak benimsediğini, b) KVKK m. 10 ve GDPR m. 14 kapsamındaki aydınlatma yükümlülüğünün, Şirketin Müşteri adına yayımladığı Alıcı Aydınlatma Metni ve her e-postaya eklenen bağlantı ile yerine getirilmesini talimat olarak verdiğini; bu metnin içeriğinin kendi işleme faaliyetini doğru yansıttığını kontrol edeceğini ve gerekirse Şirketten değişiklik talep edeceğini, c) Veri sorumlusu olarak Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü bulunup bulunmadığını değerlendireceğini ve varsa yerine getireceğini, ç) İleti Mevzuatı kapsamında hizmet sağlayıcı sıfatıyla İYS kaydı, tacir/esnaf adreslerinin İYS'ye kaydı, ret kontrolü ve bildirimi ile kayıt saklama yükümlülüklerini Sözleşmenin 7. maddesi uyarınca yerine getireceğini, d) Şirkete verdiği talimatların Veri Koruma Mevzuatına ve İleti Mevzuatına uygun olacağını, e) Hedefleme kriterlerinde ve Platforma girdiği içeriklerde özel nitelikli kişisel verilere yer vermeyeceğini, f) Kendisine doğrudan yapılan ilgili kişi başvurularını Veri Koruma Mevzuatında öngörülen sürelerde cevaplayacağını

kabul ve taahhüt eder.

5. Talimatlar

5.1. Şirket, Müşteri Kişisel Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler. Sözleşme, bu VİS, Platformda onaylanan Hedefleme Segmentleri, kampanya ve bildirim ayarları ile Müşterinin yazılı (e-posta dâhil) talimatları Müşterinin belgelenmiş talimatlarını oluşturur.

5.2. Şirket, bir talimatın Veri Koruma Mevzuatına veya İleti Mevzuatına aykırı olduğu kanaatindeyse Müşteriyi gecikmeksizin bilgilendirir ve talimat açıklığa kavuşturuluncaya veya değiştirilinceye kadar ilgili işlemeyi askıya alabilir.

5.3. Şirket, Türk hukuku veya tabi olduğu diğer hukuk uyarınca işleme zorunluluğu bulunması hâlinde, hukuken yasaklanmadıkça bu zorunluluğu işleme öncesinde Müşteriye bildirir.

6. Şirketin kendi amaçlarıyla işleme yasağı

6.1. Şirket, Müşteri Kişisel Verilerini kendi amaçları için kullanmaz; satmaz, kiralamaz, diğer müşterilerle paylaşmaz ve başka müşterilerin verileriyle birleştirmez.

6.2. Şirket, Hizmetin geliştirilmesi ve güvenliği amacıyla Müşteri Kişisel Verilerinden, hiçbir ilgili kişiyi veya Müşteriyi tanımlamaya imkân vermeyecek şekilde anonim hâle getirilmiş, toplulaştırılmış istatistikler üretebilir. Anonim hâle getirilmiş veriler kişisel veri niteliği taşımaz.

6.3. Şirket, Müşteri Kişisel Verilerini yapay zekâ modellerinin eğitimi amacıyla kullanmaz ve Alt İşleyen yapay zekâ sağlayıcılarıyla, API aracılığıyla iletilen içeriğin varsayılan olarak model eğitiminde kullanılmamasını öngören koşullarla çalışır.

7. Gizlilik ve personel

7.1. Şirket, Müşteri Kişisel Verilerine erişimi, Hizmetin sunulması için bilmesi gereken ve yazılı gizlilik yükümlülüğü altındaki veya kanuni sır saklama yükümlülüğüne tabi personeli ile sınırlar.

7.2. Şirket, yetkili personelini kişisel verilerin korunması konusunda bilgilendirir ve erişim yetkilerini görev değişikliği veya ayrılma hâlinde gecikmeksizin kaldırır.

8. Alt işleyenler

8.1. Genel yetki. Müşteri, Şirketin Alt İşleyenler sayfasında ve Ek-3'te belirtilen Alt İşleyenleri kullanmasına genel yetki verir.

8.2. Değişiklik bildirimi. Şirket, yeni bir Alt İşleyen eklemeden veya mevcut bir Alt İşleyeni değiştirmeden en az 15 gün önce, Alt İşleyenler sayfasını güncelleyerek ve Müşterinin kayıtlı e-posta adresine bildirim göndererek Müşteriyi bilgilendirir. Hizmetin sürekliliği veya güvenliği için acil değişiklik gerekmesi hâlinde bildirim derhâl yapılır ve itiraz süresi değişiklikten sonra işler.

8.3. İtiraz. Müşteri, bildirimden itibaren 15 gün içinde, Veri Koruma Mevzuatına dayalı makul gerekçelerle yazılı olarak itiraz edebilir. Taraflar itirazı iyi niyetle değerlendirir. Şirket, makul bir alternatif sunamazsa Müşteri, itiraz ettiği Alt İşleyenin kullanılmasını gerektiren Hizmet bölümüne ilişkin olarak Sözleşmeyi feshedebilir ve kullanılmayan süreye isabet eden peşin ödenmiş ücretin iadesini talep edebilir (İptal ve İade Politikası m. 6).

8.4. Yükümlülüklerin yansıtılması. Şirket, her Alt İşleyen ile bu VİS'te öngörülenlerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar veya Alt İşleyenin bu nitelikteki standart sözleşme koşullarını kabul eder.

8.5. Sorumluluk. Şirket, Alt İşleyenlerinin veri koruma yükümlülüklerini yerine getirmemesinden, Müşteriye karşı Sözleşmenin 19. maddesindeki sınırlar dâhilinde kendi fiilinden sorumlu olduğu gibi sorumludur.

8.6. Alt işleyenlerin alt işleyenleri. Bazı Alt İşleyenler kendi alt işleyenlerini kullanır (ör. Instantly.ai'nin Gönderici Posta Kutularını Google LLC'nin Google Workspace altyapısında barındırması; posta kutusu hizmeti: Instantly.ai DFY (Google Workspace)). Bu zincirdeki önemli alt işleyenler Alt İşleyenler sayfasında belirtilir.

9. Yurt dışına aktarım

9.1. KVKK. Müşteri Kişisel Verileri, Ek-3'te belirtilen Alt İşleyenler nedeniyle Türkiye dışına (başta Amerika Birleşik Devletleri olmak üzere) aktarılır. Müşteri bu aktarımlara talimat verir. Şirket, KVKK m. 9 ve Aktarım Yönetmeliği uyarınca:

a) Aktarımın yapıldığı ülke veya sektör hakkında Kurulun yeterlilik kararı bulunması hâlinde bu karara, b) Yeterlilik kararı bulunmaması hâlinde, her bir yurt dışı Alt İşleyen ile "veri işleyenden veri işleyene" aktarıma ilişkin Standart Sözleşmeyi değiştirmeden imzalamaya ve imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirmeye, c) Standart Sözleşmede değişiklik, taraf değişikliği veya sona erme hâllerinde gerekli bildirimleri yapmaya

dayanır. Şirket, talep hâlinde Müşteriye ilgili aktarım güvencelerine ilişkin bilgi verir.

9.2. Müşteriden Şirkete aktarım. Müşteri Türkiye'de yerleşik ise Müşteriden Şirkete aktarım yurt içi aktarım niteliğindedir. Müşteri Türkiye dışında yerleşik ise kendi hukukunun gerektirdiği aktarım mekanizmasını sağlamakla yükümlüdür; Avrupa Ekonomik Alanında, İsviçre'de veya Birleşik Krallık'ta yerleşik Müşteriler bakımından Ek-4 uygulanır.

9.3. İşleme yeri. Müşteri Kişisel Verilerinin birincil olarak saklandığı veritabanı [DOLDURULACAK] bölgesindedir. Alt İşleyenlerin işleme yerleri Ek-3'te belirtilir.

10. Güvenlik

10.1. Şirket, KVKK m. 12 ve GDPR m. 32 uyarınca; teknolojinin geldiği nokta, uygulama maliyeti, işlemenin niteliği, kapsamı, bağlamı ve amaçları ile ilgili kişilerin hak ve özgürlükleri bakımından risklerin olasılık ve ağırlığını dikkate alarak Ek-2'de belirtilen teknik ve idari tedbirleri uygular.

10.2. Şirket bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; ancak güncellemeler genel güvenlik düzeyini düşüremez.

10.3. KVKK m. 12/2 uyarınca Şirket, Müşteri Kişisel Verilerinin güvenliğine ilişkin tedbirlerin alınması hususunda Müşteri ile birlikte sorumludur.

11. İlgili kişi başvurularına yardım

11.1. Şirket, Müşteriye; KVKK m. 11 ve GDPR m. 15–22 kapsamındaki ilgili kişi taleplerini cevaplayabilmesi için Platform işlevleri (görüntüleme, dışa aktarma, Engelleme Listesine ekleme) ve gerektiğinde talebin alınmasından itibaren 5 iş günü içinde ilgili kayıtları sağlayarak yardım eder.

11.2. Şirkete doğrudan ulaşan ve Müşteri Kişisel Verilerine ilişkin başvurular, ilgili kişinin tabi olduğu Müşteri tespit edilebildiği ölçüde 2 iş günü içinde Müşteriye iletilir. Şirket, Müşterinin talimatı olmaksızın başvuruyu esastan cevaplamaz; ancak ilgili kişiye başvurunun ilgili veri sorumlusuna iletildiğini bildirebilir.

11.3. Ret ve itirazlar. Müşteri, Alıcıların e-posta iletisi almayı reddetme ve kişisel verilerinin pazarlama amaçlı işlenmesine itiraz etme taleplerinin, hangi kanaldan gelirse gelsin, Şirket tarafından Müşterinin önceden onayı aranmaksızın derhâl uygulanmasını talimat olarak verir. Şirket bu talepleri Engelleme Listesine ve gönderim sağlayıcısının engelleme listesine ekler ve Müşteriye bildirir.

11.4. Silme talepleri bakımından Şirket, Müşterinin talimatı üzerine Alıcının verilerini siler; ancak ilgili kişinin tekrar iletişime geçilmemesini güvence altına almak için gerekli asgari Engelleme Listesi kaydını (e-posta adresinin tek yönlü özeti, tarih ve kanal) muhafaza eder.

12. Kişisel veri ihlali

12.1. Şirket, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrenmesinden itibaren gecikmeksizin ve her hâlde en geç 48 saat içinde Müşteriye bildirir.

12.2. Bildirim, o an bilindiği ölçüde; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık ilgili kişi sayısını, ihlalin muhtemel sonuçlarını, alınan veya alınması önerilen tedbirleri ve irtibat kişisini içerir. Bilgilerin aynı anda verilemediği hâllerde bilgiler gecikmeksizin aşamalı olarak sağlanır.

12.3. KVKK m. 12/5 ve Kurulun 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca Kurula 72 saat içinde ve ilgili kişilere makul en kısa sürede bildirim yapma yükümlülüğü veri sorumlusu sıfatıyla Müşteriye aittir; GDPR kapsamındaki bildirimler (m. 33–34) için de aynı ilke geçerlidir. Şirket, Müşterinin bu bildirimleri yapabilmesi için gerekli bilgi ve belgeleri sağlar ve makul iş birliğinde bulunur. Şirket, Müşterinin talimatı veya yasal zorunluluk olmaksızın Müşteri adına ilgili kişilere veya makamlara bildirim yapmaz.

12.4. Şirket, ihlalin etkilerini azaltmak için gerekli tedbirleri derhâl alır ve ihlale ilişkin kayıtları tutar.

12.5. Şirketin ihlali bildirmesi, Şirketin kusurunu veya sorumluluğunu kabul ettiği anlamına gelmez.

13. Diğer yardım yükümlülükleri

Şirket, kendisine sunulan bilgiler ve işlemenin niteliği dikkate alınarak; veri koruma etki değerlendirmesi, Kurul veya denetim makamlarıyla ön görüşme ve bu makamlardan gelen bilgi talepleri bakımından Müşteriye makul ölçüde yardım eder. Olağan kapsamı aşan yardım talepleri için Şirket, makul maliyetlerinin karşılanmasını talep edebilir.

14. Saklama, silme ve iade

14.1. Sözleşme süresince Müşteri Kişisel Verileri Ek-1'deki saklama sürelerine göre tutulur ve sürenin sonunda otomatik olarak silinir veya anonim hâle getirilir.

14.2. Sözleşmenin sona ermesi hâlinde Müşteri, 30 gün içinde verilerini dışa aktarabilir veya Şirketten iade talep edebilir. Bu sürenin bitiminden itibaren en geç 30 gün içinde Şirket, Müşteri Kişisel Verilerini canlı sistemlerinden siler; yedeklerdeki kopyalar olağan yedek döngüsü içinde en geç 30 gün içinde silinir.

14.3. Müşteri, İleti Yönetmeliği m. 13 kapsamındaki ispat yükümlülüğünü desteklemek ve ret bildiren kişilere yeniden ileti gönderilmesini önlemek amacıyla, Sözleşmenin sona ermesinden sonra Engelleme Listesi kayıtlarının, sona ermeden itibaren en geç 60 gün içinde asgari hâle (e-posta adresinin tek yönlü özeti, ret tarihi ve kanalı) getirilerek sona ermeden itibaren 3 yıl süreyle saklanmasını talimat olarak verir. Müşteri, bu kayıtların dışa aktarılmasını ve daha erken silinmesini yazılı olarak talep edebilir; bu durumda ispat yükümlülüğü bakımından sorumluluk Müşteriye aittir.

14.4. Şirket, talep hâlinde silme işleminin tamamlandığını yazılı olarak teyit eder.

14.5. Hukuken saklama zorunluluğu bulunan veriler, yalnızca bu zorunluluğun gerektirdiği süre ve amaçla sınırlı olarak saklanır ve başka amaçla işlenmez.

15. Denetim ve bilgi

15.1. Şirket, bu VİS'e uyumu göstermek için gerekli bilgileri (güvenlik tedbirleri özeti, Alt İşleyen listesi, aktarım güvenceleri, politika ve prosedürler) talep üzerine Müşteriye sağlar.

15.2. Müşteri, bilgilerin yetersiz olduğunu makul gerekçelerle ortaya koyması, bir Kişisel Veri İhlali yaşanması veya yetkili bir makamın talep etmesi hâlinde, en az 30 gün önceden yazılı bildirimde bulunarak, yılda en fazla bir kez, Şirketin iş akışını aksatmayacak şekilde mesai saatleri içinde denetim yapabilir veya bağımsız ve gizlilik yükümlülüğü altındaki bir denetçiye yaptırabilir. Denetim maliyetleri Müşteriye aittir; denetim, Şirketin ciddi bir ihlalini ortaya koyarsa Şirketin makul maliyetleri Şirkete aittir.

15.3. Denetim, diğer müşterilerin verilerine, Şirketin ticari sırlarına veya Alt İşleyenlerin tesislerine erişimi kapsamaz. Alt İşleyenler bakımından denetim hakkı, ilgili Alt İşleyenin yayımladığı denetim raporları ve sertifikalarla karşılanır.

15.4. Kurul veya denetim makamlarının denetim ve inceleme yetkileri saklıdır.

16. Sorumluluk

16.1. Tarafların bu VİS'ten doğan sorumluluğu, Sözleşmenin 19. ve 20. maddelerine tabidir. Bu sınırlamalar, emredici Veri Koruma Mevzuatı uyarınca ilgili kişilere karşı doğrudan doğan sorumluluğu sınırlamaz.

16.2. Her Taraf, Veri Koruma Mevzuatından doğan kendi yükümlülüklerini ihlalinden sorumludur. Müşterinin talimatlarından kaynaklanan veya Müşterinin veri sorumlusu ya da hizmet sağlayıcı yükümlülüklerini yerine getirmemesinden doğan zararlardan Müşteri sorumludur.

17. Süre ve fesih

Bu VİS, Sözleşme yürürlükte kaldığı ve sona ermesinden sonra Şirket Müşteri Kişisel Verilerini işlemeye devam ettiği sürece yürürlükte kalır.

18. Uygulanacak hukuk ve yetki

Bu VİS Türk hukukuna tabidir; uyuşmazlıklarda Sözleşmenin 26. maddesi uygulanır. Ek-4 kapsamındaki AB SCC hükümlerine ilişkin olarak AB SCC'de öngörülen hukuk ve yetki hükümleri saklıdır.

Bu VİS'in Türkçe metni esastır; İngilizce çeviri (Data Processing Agreement) bilgilendirme amaçlıdır. Ek-4'ün uygulanacağı Müşteriler bakımından AB SCC'nin resmî İngilizce metni geçerlidir.

Ek-1: İşleme ayrıntıları

Saklama süreleri (Müşterinin varsayılan talimatı)

Ek-2: Teknik ve idari tedbirler

Erişim kontrolü ve yetkilendirme

1. Veritabanındaki tüm Müşteri tablolarında satır düzeyinde güvenlik (Row Level Security) etkindir; Kullanıcılar yalnızca kendi Müşteri kimliğine bağlı kayıtları görebilir.
2. Yönetici erişimi, rol tabanlı yetki ve sunucu ortamında tanımlı bir izin listesi ile sınırlandırılmıştır (en az yetki ilkesi).
3. Tam yetkili veritabanı hizmet anahtarı yalnızca sunucu tarafında kullanılır; tarayıcıya veya istemci koduna hiçbir koşulda iletilmez.
4. Giriş, kimlik doğrulama sağlayıcısı üzerinden tek kullanımlık bağlantı (magic link) veya parola ile yapılır; oturum çerezleri SameSite=Lax özelliğiyle ayarlanır, Platform yalnızca HTTPS üzerinden sunulur ve oturum anahtarları düzenli olarak yenilenir.
5. Erişim yetkileri görev değişikliği ve ayrılma hâllerinde gecikmeksizin kaldırılır.

Arayüz ve entegrasyon güvenliği

6. Ödeme sağlayıcısından gelen webhook bildirimleri HMAC-SHA256 imzası ile, e-posta gönderim sağlayıcısından gelen bildirimler gizli anahtar ile doğrulanır; karşılaştırmalar zamanlama saldırılarına dayanıklı yöntemle yapılır ve gizli anahtar tanımlı değilse istekler reddedilir.
7. Zamanlanmış görev uç noktaları gizli taşıyıcı anahtar (bearer token) ile korunur.
8. Webhook olayları tekrar işlemeye karşı tekilleştirilir (idempotency).
9. Uç noktalarda IP adresi veya e-posta anahtarlı hız sınırlaması uygulanır.
10. Müşterinin girdiği webhook adresleri; yerel ağ, özel IP aralıkları ve link-local adreslere yönelik isteklere (SSRF) karşı filtrelenir.
11. Girdiler şema tabanlı doğrulamadan geçirilir; hata mesajlarında iç ayrıntılar kullanıcıya gösterilmez.
12. Yapay zekâ çıktıları, gönderimden önce otomatik kurallarla (izinli bağlantı listesi, kısaltılmış bağlantı yasağı, uzunluk ve içerik kontrolleri) doğrulanır.

Şifreleme

13. Tüm veri aktarımları TLS ile şifrelenir.
14. Bekleyen veriler, veritabanı ve barındırma sağlayıcıları tarafından disk düzeyinde şifrelenir.
15. Gizli anahtarlar kaynak kodunda tutulmaz; barındırma sağlayıcısının şifreli ortam değişkenlerinde saklanır.

Veri en aza indirme ve ayrıştırma

16. Yalnızca iş amaçlı, mesleki iletişim verileri işlenir; özel nitelikli veriler hedeflemede kullanılmaz.
17. Yapay zekâ modellerine yalnızca görevin gerektirdiği asgari veri iletilir.
18. Her Müşterinin verileri ve Engelleme Listesi mantıksal olarak ayrıdır; Müşteriler arasında veri paylaşılmaz. Tek istisna: ret veya itiraz bildiren ya da olumsuz cevap veren kişinin e-posta adresi, ayrıca gönderim altyapısı sağlayıcısının (Instantly.ai DFY (Google Workspace)) çalışma alanı düzeyindeki engelleme listesine eklenir. Bu liste Şirketin gönderim altyapısını kullanan tüm Göndericiler için geçerlidir ve ilgili kişiye bu altyapı üzerinden hiçbir Gönderici adına ileti gönderilmesini engeller; listede yalnızca e-posta adresi tutulur, hangi Müşteriye ret bildirildiği bilgisi yer almaz.
19. Kayıtlarda cevap metinleri kısaltılmış alıntılarla sınırlandırılır.

Kayıt ve izleme

20. Kritik işlemler (hesap açılışı, kurulum, segment onayı, ödeme olayları, bildirimler, hata durumları) olay ve denetim kayıtlarına yazılır; kayıtlar 12 ay saklanır.
21. Hatalar ve sorgu başarısızlıkları yöneticilere otomatik olarak bildirilir.

Süreklilik ve yedekleme

22. Veritabanı sağlayıcısı tarafından düzenli yedekleme yapılır.
23. Kurulum ve gönderim adımları birbirinden bağımsız yürütülür; bir adımın hatası diğerlerini durdurmaz ve kayıt altına alınır.

İdari tedbirler

24. Personel ve danışmanlar yazılı gizlilik yükümlülüğü altındadır; erişim bilmesi gereken ilkesine göre verilir.
25. Kişisel veri ihlali müdahale prosedürü uygulanır (tespit, sınırlama, değerlendirme, 48 saat içinde Müşteriye bildirim, kayıt).
26. Alt İşleyenler, güvenlik ve veri koruma güvenceleri bakımından seçilir ve her biriyle veri işleme sözleşmesi yapılır.
27. Saklama süreleri dolan veriler periyodik imha süreciyle silinir.
28. Tedbirler en az yılda bir kez ve önemli değişikliklerde gözden geçirilir.

Ek-3: Alt işleyenler ve aktarım güvenceleri

Güncel ve bağlayıcı liste Alt İşleyenler sayfasındadır. Yayım tarihi itibarıyla Müşteri Kişisel Verilerini işleyen Alt İşleyenler:

Ek-4: Avrupa Ekonomik Alanı, İsviçre ve Birleşik Krallık'taki Müşteriler için ek hükümler

1. GDPR m. 28/3 uyumu. Bu VİS, GDPR m. 28/3'te sayılan asgari unsurları içerir: talimatlarla işleme (m. 5), gizlilik (m. 7), güvenlik (m. 10, Ek-2), alt işleyen koşulları (m. 8), ilgili kişi haklarına yardım (m. 11), m. 32–36 yükümlülüklerine yardım (m. 12, 13), silme veya iade (m. 14), bilgi ve denetim (m. 15).
2. AB SCC'nin dahil edilmesi. Türkiye hakkında AB yeterlilik kararı bulunmadığından, Müşteri (veri ihracatçısı) ile Şirket (veri ithalatçısı) arasında AB SCC Modül 2 (veri sorumlusundan veri işleyene) bu VİS'e atıfla dahil edilmiş ve akdedilmiş sayılır. Seçimler: Madde 7 (katılım maddesi) uygulanmaz; Madde 9(a) Seçenek 2 (genel yetki, 15 gün önceden bildirim); Madde 11(a) isteğe bağlı hüküm uygulanmaz; Madde 13: Müşterinin yerleşik olduğu üye devletin denetim makamı, Müşteri AB'de yerleşik değilse ve GDPR m. 3/2 kapsamındaysa temsilcisinin bulunduğu üye devletin denetim makamı; Madde 17: İrlanda hukuku; Madde 18: İrlanda mahkemeleri. AB SCC'nin Ek I ve Ek II'si bu VİS'in Ek-1 ve Ek-2'si ile, Ek III'ü Ek-3 ile doldurulmuş sayılır.
3. Sonraki aktarımlar. Şirket, ABD'deki Alt İşleyenlere yapılan sonraki aktarımlarda AB SCC Modül 3'e (veri işleyenden veri işleyene) veya ilgili Alt İşleyenin AB-ABD Veri Gizliliği Çerçevesi sertifikasına dayanır.
4. İsviçre. İsviçre Federal Veri Koruma Kanunu kapsamındaki aktarımlarda AB SCC, "üye devlet" ifadesinin İsviçre'yi de kapsayacağı, denetim makamının Federal Veri Koruma ve Bilgi Komiseri olacağı şekilde uyarlanarak uygulanır.
5. Birleşik Krallık. Birleşik Krallık'tan yapılan aktarımlarda Birleşik Krallık Bilgi Komiserliğinin AB SCC'ye ilişkin Uluslararası Veri Aktarım Eki (IDTA Addendum) uygulanır.
6. Aktarım etki değerlendirmesi. Şirket, Müşterinin AB SCC Madde 14 kapsamındaki aktarım etki değerlendirmesi için makul bilgi sağlar.
7. Elektronik pazarlama. Müşteri, hedeflenen AB üye devletlerinin, 2002/58/AT sayılı Direktifi iç hukuka aktaran kurallarının kurumsal alıcılara gönderilen iletiler bakımından önceden onay gerektirip gerektirmediğini kontrol etmekten sorumludur.

Ek-5: Meşru menfaat değerlendirmesi özeti

Bu özet, Müşterinin KVKK m. 5/2-f ve GDPR m. 6/1-f kapsamındaki değerlendirmesine esas olmak üzere hazırlanmıştır. Müşteri, değerlendirmeyi kendi faaliyetine uyarlamakla yükümlüdür.

1. Amaç testi. Müşterinin meşru menfaati; kendi mal ve hizmetlerini, bunlarla makul bir iş ilgisi bulunması muhtemel işletmelerin ilgili karar vericilerine tanıtmak ve yeni iş ilişkileri kurmaktır. Doğrudan pazarlama, GDPR'ın 47. gerekçesinde meşru menfaat olarak anılmaktadır; Türk hukukunda da İleti Yönetmeliği m. 6/3 tacir ve esnafa yönelik iletilerde önceden onay şartını aramamaktadır.

2. Gereklilik testi. İşleme, amaca ulaşmak için gerekli olanla sınırlıdır: yalnızca mesleki iletişim verileri (ad, unvan, şirket, iş e-posta adresi) kullanılır; özel nitelikli veri işlenmez; kişi başına en fazla üç ileti (ilk e-posta ve iki takip) gönderilir; hedefleme, Müşterinin hizmetiyle ilgili sektör ve unvanlarla sınırlandırılır.

3. Dengeleme testi.

• Makul beklenti: Mesleki rolleri gereği satın alma veya iş geliştirme kararlarında yer alan kişiler, kendi görev alanlarıyla ilgili iş tekliflerini iş e-posta adreslerinden almayı makul ölçüde bekleyebilir.
• Etki: İşleme düşük risklidir; kişi hakkında hukuki sonuç doğuran bir karar alınmaz; ileti sayısı sınırlıdır.
• Güvenceler: İlk iletide Alıcı Aydınlatma Metni bağlantısı ve gönderici kimliği yer alır; her iletide tek tıkla ret bağlantısı ve "çıkar" yazarak cevap verme imkânı bulunur; ret ve itirazlar derhâl ve kalıcı olarak uygulanır; veriler 12 ay sonra silinir; Müşteriler arasında veri paylaşılmaz; güçlü güvenlik tedbirleri uygulanır.
• Hassas gruplar: Tüketiciler, çocuklar veya kırılgan gruplar hedeflenmez.

Sonuç: Belirtilen güvenceler uygulandığı sürece Müşterinin meşru menfaati, ilgili kişilerin temel hak ve özgürlüklerine zarar vermemektedir. Hedefleme kapsamının genişletilmesi, ileti sayısının artırılması veya yeni veri kategorilerinin eklenmesi hâlinde değerlendirme yenilenmelidir.