Veri İşleme Sözleşmesi (İşletmeler için)

Sürüm 1.0 · 12 Kasım 2026

Bu sözleşme, SosyalAsistan hizmetini kullanan işletme ("İşletme", veri sorumlusu) ile hizmet sağlayıcı ("Sağlayıcı", veri işleyen) arasında, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel verilerin işlenmesine ilişkin karşılıklı yükümlülükleri düzenler. Hizmet sözleşmesinin ekidir ve hizmetin kullanılmasıyla yürürlüğe girer.

Veri işleyen (Sağlayıcı)

Umut Sarıarslan · Borazanlar mah. Hattat Emin Barın cad. Bolu/Merkez · Vergi/MERSİS no: 7471076163 · sosyalasistan14@gmail.com

1. Roller

İşletme, kendi müşterilerinin ve potansiyel müşterilerinin kişisel verilerinin veri sorumlusudur; ilgili kişileri aydınlatma ve gerektiğinde açık rıza alma yükümlülüğü İşletme'ye aittir. Sağlayıcı, bu verileri yalnızca İşletme adına, İşletme'nin talimatıyla ve hizmeti sunmak amacıyla işler; başka bir amaçla kullanmaz, satmaz, reklam veya profilleme için kullanmaz, yapay zekâ modeli eğitiminde kullanmaz ve kullandırmaz.

2. İşlemenin konusu, amacı ve süresi

Konu ve amaç: İşletme'nin Instagram, WhatsApp ve web sitesi sohbetine gelen müşteri mesajlarının ve yorumlarının otomatik yanıtlanması, randevu oluşturulması ve yönetilmesi, İşletme açtıysa randevu hatırlatması ve randevu sonrası tek seferlik değerlendirme isteği gönderilmesi, İşletme'ye bildirim ve özet gönderilmesi. Süre: hizmet ilişkisi boyunca; sonrasında 8. madde uygulanır.

3. İlgili kişiler ve veri kategorileri

• İlgili kişiler: İşletme'nin müşterileri ve İşletme'ye mesaj yazan potansiyel müşteriler.
• Kimlik ve iletişim: platform kullanıcı kimliği, kullanıcı adı veya profil adı; randevu için ad-soyad ve telefon numarası.
• İşlem: mesaj içerikleri, tetikleyici yorumlar, randevu tarihi ve hizmeti, randevuya gelinip gelinmediği (İşletme işaretlerse), sohbet durumu.
• Teknik: web sohbetinde rastgele oturum kimliği ve yalnızca hız sınırı için IP adresi (en fazla 2 gün).

Özel nitelikli kişisel verilerin (sağlık bilgisi vb.) işlenmesi hedeflenmez; asistan bu tür bilgilerin paylaşılmasını caydırır ve konuşmayı İşletme yetkilisine aktarır. Sağlık alanında faaliyet gösteren İşletme, Kanun'un 6. maddesinden doğan yükümlülüklerini ayrıca yerine getirir.

4. Sağlayıcı'nın yükümlülükleri

• Verileri yalnızca bu sözleşme ve İşletme'nin yazılı talimatları doğrultusunda işler.
• Verilere erişen kişileri gizlilikle yükümlü kılar; erişimi hizmeti işletmek için gerekli olanla sınırlar.
• 5. maddedeki teknik ve idari tedbirleri uygular ve sürdürür.
• Alt işleyenleri 6. maddeye göre kullanır ve değişiklikleri bildirir.
• İlgili kişilerin başvurularında İşletme'ye yardımcı olur; ilgili kişi sohbete "verilerimi sil" yazdığında kayıtları otomatik olarak siler veya anonimleştirir ve İşletme'ye bildirir.
• Kişisel veri ihlalini öğrendiğinde gecikmeksizin ve en geç 72 saat içinde İşletme'ye bildirir; ihlalin niteliği, etkilenen veriler ve alınan önlemler hakkında bilgi verir ve İşletme'nin Kurul ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.
• İşletme'nin makul talebi üzerine bu sözleşmeye uyumu gösteren bilgileri sağlar.

5. Teknik ve idari tedbirler

• Veriler aktarım sırasında TLS ile şifrelenir; platform erişim anahtarları ve sırlar AES-256-GCM ile şifreli saklanır.
• Meta'dan gelen her istek HMAC imzasıyla, Telegram istekleri gizli başlıkla doğrulanır; yönetim uçları sabit zamanlı karşılaştırmalı erişim anahtarı gerektirir.
• İşletme paneline yalnızca İşletme'ye özel gizli bağlantıyla ve Telegram sahipliğiyle erişilir; panel ve yönetim sayfaları arama motorlarına kapalıdır ve başka sitelere gömülemez.
• Mesaj kayıtları 30 gün sonra silinir; kişi kayıtları son yazışmadan 90 gün sonra, randevu kayıtlarındaki ad ve telefon randevudan 90 gün sonra anonimleştirilir.
• Yapay zekâ sağlayıcısına gönderilmeden önce metindeki telefon, e-posta, IBAN ve uzun rakam dizileri maskelenir; sağlayıcılar içeriği model eğitiminde kullanmayan ayar ve koşullarla kullanılır.
• Mesaj sıklığı oturum, IP ve İşletme bazında sınırlandırılır; tüm işlemler kayıt altına alınır, hata günlüklerinde asgari veri tutulur.

6. Alt işleyenler

Yeni bir alt işleyen eklenmeden en az 15 gün önce bu sayfada duyurulur ve İşletme'ye bildirilir; İşletme makul gerekçeyle itiraz edebilir ve itirazı giderilmezse sözleşmeyi ücretsiz feshedebilir.

7. Yurt dışına aktarım

Alt işleyenlerin sunucuları yurt dışında bulunabilir. Kanun'un 9. maddesi kapsamında aktarımın hukuki dayanağının belirlenmesi veri sorumlusu olan İşletme'nin yükümlülüğündedir; Sağlayıcı bu amaçla alt işleyen listesini, veri kategorilerini ve güvenlik tedbirlerini sunar ve İşletme'nin talep edeceği standart sözleşme metnini imzalamayı kabul eder.

8. Sözleşmenin sona ermesi

Hizmet ilişkisi sona erdiğinde İşletme'ye ait kişisel veriler 30 gün içinde silinir veya anonimleştirilir; İşletme talep ederse randevu kayıtları yapılandırılmış biçimde dışa aktarılır. Yasal saklama yükümlülükleri saklıdır.

9. Diğer hükümler

Bu sözleşme, Kullanım Koşulları ve varsa yazılı hizmet sözleşmesiyle birlikte yorumlanır; kişisel verilerin korunmasına ilişkin konularda bu sözleşme önceliklidir. Türkiye Cumhuriyeti hukuku uygulanır.

English summary

This is the data processing agreement between a business using SosyalAsistan (the controller) and the service provider (the processor) under Turkish data protection law (KVKK). The provider processes end-customer data only on the business's instructions to answer messages and manage bookings, applies the security measures listed above, uses the listed sub-processors, notifies the business of a personal data breach within 72 hours, and deletes or anonymises the data within 30 days after the service ends.