Veri işleme sözleşmesi
Sürüm 2026-10-13
Hizmet Sözleşmesinin ekidir.
1. Roller
1.1. Müşteri, panele aktardığı ve bağlantılarla okunmasına izin verdiği kişisel verilerde (ör. mağaza siparişlerinden gelen müşteri özetleri, reklam hesabındaki kitle bilgileri) veri sorumlusudur. Şirket bu verileri yalnız Müşterinin talimatıyla ve hizmeti sunmak için işleyen veri işleyendir.
1.2. Şirket; panel kullanıcılarının hesap, iletişim, güvenlik ve fatura verilerinde ve site ziyaretçisi verilerinde veri sorumlusudur (Aydınlatma Metni).
2. İşlenen veri ve amaç
- Mağaza siparişlerinden: tutar, tarih, kaynak kanal ve müşterinin geri döndürülemez özeti; Müşteri il başına satış ölçümünü açarsa siparişin yalnız teslimat ili (il adı). Ad, e-posta, telefon, ilçe ve açık adres alınmaz; ölçüm kapatılınca saklanan iller silinir.
- Reklam hesabından: kampanya, harcama ve sonuç verisi; özel kitlelerin adı, türü ve tahmini büyüklüğü (kitle üyeleri alınmaz).
- Müşteri listesi kitlesi kurulursa: listedeki e-posta ve telefonların Müşterinin tarayıcısında alınan SHA-256 karmaları (ham liste Şirkete gelmez). Karmalar yalnız Müşterinin reklam hesabına kitle olarak yüklenmek için tutulur; yüklemeden ya da gölgede kurulumdan sonra ve en geç 7 gün içinde silinir. Liste için ilgili kişilerin aydınlatılması ve gerekiyorsa açık rızası Müşterinin yükümlülüğüdür (7. madde); Müşteri yüklemeden önce bunu beyan eder.
- Amaç: rapor, sağlık skoru, uyarı, öneri ve Müşterinin açtığı otomasyon.
3. Şirketin yükümlülükleri
3.1. Veriyi yalnız Müşterinin talimatıyla ve bu sözleşmenin amacıyla işler; başka müşterilerin hizmetinde kullanmaz, satmaz, müşteriler arası kitle ya da model oluşturmaz.
3.2. Veriye yalnız işi gereği erişmesi gereken personel erişir; personelin her görüntülemesi ve işlemi kayda geçer. Personel gizlilik yükümlülüğü altındadır.
3.3. Teknik ve idari tedbirler: erişim anahtarlarının AES-256-GCM ile bağlantıya kilitli şifrelenmesi, parolaların PBKDF2-SHA256 ile özetlenmesi, her yerde HTTPS, çalışma alanları arasında veritabanı düzeyinde satır güvenliği, rol tabanlı erişim, iki adımlı doğrulama, değiştirilemez işlem kaydı, yedekleme ve en az yetki ilkesi.
3.4. Kişisel veri ihlalini öğrendiğinde gecikmeksizin Müşteriye bildirir; Müşterinin Kurula ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.
3.5. İlgili kişi başvurularında ve Kurul taleplerinde Müşteriye makul ölçüde yardım eder.
3.6. Hizmet sona erince veriyi 30 gün dışa aktarılabilir tutar, sonra siler; kanunen saklanması gereken mali kayıtlar hariç.
4. Alt işleyenler
Şirket aşağıdaki hizmet sağlayıcıları kullanır. Yeni alt işleyen eklemeden en az 30 gün önce bildirir; Müşteri haklı gerekçeyle itiraz ederse sözleşmeyi feshedebilir.
| Alt işleyen | Hizmet | Veri yeri |
|---|---|---|
| Hetzner Online GmbH | Sunucu ve veritabanı barındırma, yedekleme | Almanya |
| E-posta gönderim sağlayıcısı (adı lansmandan önce yazılacak) | Bildirim ve rapor e-postaları | Lansmandan önce yazılacak |
| Ödeme kuruluşu (kartla ödeme açıldığında yazılacak) | Kartla ödeme | Türkiye |
| Anthropic, PBC | Asistanın yapay zekâ yanıtları; yalnız Müşteri çalışma alanında açarsa | ABD |
Meta, Google, TikTok, Shopify ve ikas alt işleyen değildir: Müşterinin kendi hesabı ve sözleşmesiyle çalışan bağımsız platformlardır; Vites onlara yalnız Müşterinin bağladığı hesap için ve Müşterinin onayladığı işlemlerde istek gönderir.
5. Yurt dışına aktarım
Barındırma Almanya'dadır; asistanın yapay zekâ yanıtları açıldıysa sağlayıcı ABD'dedir. Aktarım KVKK m.9 uyarınca, yeterlilik kararı bulunmayan durumda Kurulun ilan ettiği standart sözleşmeyle ve sözleşmenin Kurula bildirilmesiyle yapılır.
6. Denetim
Müşteri, makul aralıklarla ve önceden bildirerek bu sözleşmeye uyumu gösteren bilgi isteyebilir; Şirket güvenlik tedbirlerini açıklayan belgeleri ve Güven merkezindeki bilgileri sunar.
7. Müşterinin yükümlülükleri
Müşteri, aktardığı veriler için kendi aydınlatma yükümlülüğünü yerine getirir, gerekiyorsa açık rıza alır ve veriyi hukuka uygun elde ettiğini kabul eder.