Veri işleme sözleşmesi

1.1. Bu sözleşme, Kullanım Koşulları'nı kabul eden Müşteri (veri sorumlusu) ile Wennes Biyoteknoloji Limited Şirketi (Unique Alphabet®, veri işleyen) arasındadır ve Koşulların ayrılmaz parçasıdır.

1.2. Kapsam: Müşterinin platforma koyduğu ve Müşteri adına işlenen kişisel veriler (Müşteri Kişisel Verisi). Hesap, kullanıcı, Denetim Kütüğü, destek ve fatura kayıtlarında Unique Alphabet® veri sorumlusudur; bunlar Aydınlatma metniyle düzenlenir ve bu sözleşmenin dışındadır.

1.3. Bu sözleşme ile Koşullar çatışırsa kişisel verinin korunmasında bu sözleşme uygulanır.

1.4. Uygulanacak mevzuat: 6698 sayılı KVKK ve ikincil düzenlemeleri; Müşteri ya da ilgili kişiler AB'de veya Birleşik Krallık'taysa ayrıca GDPR ve UK GDPR.

3.1. Unique Alphabet® Müşteri Kişisel Verisini yalnız Müşterinin belgelenmiş talimatıyla işler. Koşullar, bu sözleşme, Müşterinin platformdaki ayar ve işlemleri (ör. paylaşım oluşturmak, yapay zekâyı açık tutmak, Asistan'ın izin kartında izin vermek) ve yazılı destek talepleri talimattır.

3.2. Kanun bir işlemeyi zorunlu kılarsa, kanun yasaklamadıkça bunu işlemeden önce Müşteriye bildirir.

3.3. Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteriyi hemen bilgilendirir ve aykırılık giderilene kadar o talimatı uygulamayabilir.

4.1. Müşteri Kişisel Verisine yalnız bu işi yapması gereken ve gizlilik taahhüdü altındaki kişiler erişir; taahhüt görevden ayrıldıktan sonra da sürer (KVKK m.12/4).

4.2. Ekibimiz içeriğe yalnız üç durumda erişir: Müşterinin yazılı talebi, güvenlik olayı, yasal zorunluluk. Her erişim kişi, gerekçe, kapsam ve süreyle kaydedilir (Personel Erişim Politikası).

Unique Alphabet® en az şunları uygular ve sürdürür: TLS 1.2/1.3 ile şifreli bağlantı; parolaların yalnız özet olarak saklanması; firma verisinin sunucuda satır düzeyinde ayrılması; hassas alanların uygulama anahtarıyla şifrelenmesi; SHA-256 zincirli, değiştirilemeyen Denetim Kütüğü ve dış çapa; her kullanıcıya açık iki adımlı giriş; yönetim panelinde zorunlu iki adımlı giriş ve içerik göstermeyen tasarım; hata kayıtlarının kişisel veriden ayıklanması; yetki matrisi ve ayrılışta aynı gün erişim kapatma. Önlemler geliştikçe güncellenir; düzeyi düşürülmez. Ayrıntı: Güvenlik ve veri sayfası.

6.1. Bir ilgili kişi Müşteri Kişisel Verisi için doğrudan bize başvurursa talebi gecikmeden Müşteriye iletiriz ve Müşterinin talimatı olmadan cevaplamayız.

6.2. Müşterinin bu talepleri karşılamasına platform araçlarıyla (görüntüleme, düzeltme, silme, dışa aktarma) ve gerektiğinde makul destekle yardım ederiz.

7.1. Müşteri Kişisel Verisini etkileyen bir ihlali öğrendiğimizde Müşteriyi gecikmeksizin ve her hâlde 24 saat içinde bildiririz.

7.2. Bildirim, o an bilinenleri içerir ve sonra tamamlanır: olayın niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve önerilen önlemler, iletişim kişisi.

7.3. Müşterinin Kurula (72 saat) ve ilgili kişilere bildirimine makul ölçüde yardım ederiz. Müşteri adına Kurula bildirim yapmayız.

8.1. Müşteri, Ek A'daki alt işleyenleri kullanmamıza genel izin verir.

8.2. Yeni bir alt işleyen eklemeden ya da değiştirmeden en az 30 gün önce hesap sahiplerine e-postayla ve Ek A'da bildiririz.

8.3. Müşteri bu süre içinde makul gerekçeyle yazılı itiraz edebilir. Birlikte bir çözüm arayız (ör. ilgili işlevi o Müşteri için kapatmak). Bulunamazsa Müşteri ilgili hizmeti kapatabilir ya da sözleşmeyi değişiklik yürürlüğe girmeden cezasız feshedip kullanılmayan dönemin bedelini oranlı geri alabilir.

8.4. Her alt işleyene bu sözleşmedeki kadar koruyucu yükümlülükleri yazılı olarak yükleriz ve onun fiillerinden Müşteriye karşı KVKK m.12/2 çerçevesinde sorumlu kalırız.

9.1. Müşteri Kişisel Verisi Türkiye'de (İstanbul) saklanır. Yurt dışına giden akışlar yalnız iki yapay zekâ işlevidir ve tek alıcısı Anthropic, PBC'dir (ABD). Sağlayıcı bu veriyle model eğitmez ve en geç 30 gün içinde siler. (a) Etiket Kontrolü: yapıştırılan etiket metni (e-posta ve telefonlar silinmiş) ya da yüklenen etiket dosyası (PDF/görsel), dosya adı olmadan. (b) Asistan: kullanıcının sorusu ve konuşmanın son altı turu (her biri en çok 400 karakter), üç kuralla: (i) kamu verisi (mevzuat, ortak toksikoloji kaynakları) olduğu gibi kullanılır; (ii) Müşterinin hesap verisi modele yalnız yer tutucuyla gider ("ÜRÜN_1" gibi), formül oranları ve sonuçlar gibi değerler gitmez; (iii) daha iyi bir cevap için değer gerekirse Asistan izin ister — izin yalnız adı geçen ürünü ve alanları kapsar, en çok o sohbet boyunca geçerlidir, denetim kütüğüne yazılır ve Ayarlar'da listelenir; yalnız izin verilen değerler gönderilir. Müşterinin Sahibi ya da Yöneticisi izin politikasını seçer: kapalı, sor ya da yöneticiye sor.

9.2. Müşteri, yapay zekâyı açık tutarak (b) bendi için ayrıca izin vererek bu aktarımı talimat olarak verir. Sahip ya da Yönetici Ayarlar'daki tek anahtarla bütün yapay zekâ işlemlerini istediği an kapatabilir. Kapalıyken hiçbir veri yurt dışına gitmez.

9.3. KVKK m.9 uyarınca alıcıyla Kurulun ilan ettiği veri işleyenden veri işleyene standart sözleşmeyi imzalamak ve Kurula bildirmek bizim yükümlülüğümüzdür (Yönetmelik m.7/3, m.14/5). Bu süreç 27.10.2026 itibarıyla tamamlanmamıştır; sağlayıcıya yazılı talep yapılmıştır. Tamamlandığında Müşteriye bildirir, bildirim alındısını isteyene veririz. Bu durumu bilerek yapay zekâyı açık tutan Müşteri, talimatını bu bilgiyle verir.

9.4. Etikette gerçek kişi olan bir Sorumlu Kişinin adı ve adresi bulunuyorsa, o kişiyi aydınlatmak Müşterinin yükümlülüğüdür.

9.5. AB'deki Müşteriler için Müşteriden bize (Türkiye'ye) aktarım, Avrupa Komisyonu'nun 2021/914 sayılı Kararı ekindeki standart sözleşme maddeleri, Modül İki (sorumludan işleyene) ile yapılır; bu maddeler bu sözleşmeye atıfla dahildir. Ek I'in yerini bu sözleşmenin §1–2'si, Ek II'nin yerini §5'i, Ek III'ün yerini Ek A tutar. Seçimler: Madde 7 (katılma) uygulanır; Madde 9 seçenek 2 (genel izin, 30 gün); Madde 11 seçmeli hüküm uygulanmaz; Madde 13 denetim makamı Müşterinin bulunduğu üye devletin otoritesi; Madde 17 ve 18 İrlanda hukuku ve İrlanda mahkemeleri. Birleşik Krallık'taki Müşteriler için aynı maddeler, ICO'nun Uluslararası Veri Aktarımı Eki (UK Addendum, sürüm B1.0) ile birlikte uygulanır; Ek'in Tablo 4'ünde iki taraf da sona erdirebilir. Standart sözleşme maddeleri ile bu sözleşme çatışırsa standart sözleşme maddeleri uygulanır. Anthropic'e sonraki aktarım, Anthropic'in Veri İşleme Ekindeki AB SCC ve UK Addendum ile güvence altındadır.

10.1. Hesap kapanınca Müşteri 90 gün boyunca bütün veriyi dışa aktarabilir; ödeme sorunu ya da ücretli dönemin bitmesi nedeniyle Free sınırlarını aşan hesapta önce en çok 60 günlük salt okunur dönem işler (Koşullar §05, §09A).

10.2. Bu sürenin sonunda Müşteri Kişisel Verisini sileriz; kanunen saklamamız gereken kayıtlar (Denetim Kütüğü arşivi, fatura) bu sözleşmenin dışında ve Aydınlatma metnindeki sürelerle tutulur.

10.3. Müşteri isterse silmenin yapıldığını yazılı teyit ederiz.

11.1. Bu sözleşmeye uyduğumuzu göstermek için gereken bilgileri Müşterinin yazılı sorularına 30 gün içinde cevap vererek ve mevcut belgeleri (politikalar, Güvenlik ve veri sayfası, ölçüm kayıtları) paylaşarak sağlarız.

11.2. Yazılı bilgi yetmezse Müşteri, yılda en çok bir kez, 30 gün önceden bildirerek, mesai saatlerinde, gizlilik taahhüdü vermiş bir denetçiyle denetim yapabilir; masraf Müşteriye aittir. Denetim başka müşterilerin verisine ve barındırıcının tesislerine erişim içermez. Kurul ya da yetkili makamın denetimi saklıdır.

Taraflar, KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasından müştereken sorumludur. Diğer konularda Kullanım Koşulları §14 uygulanır.

Bu sözleşme Koşullarla birlikte yürürlüğe girer ve Müşteri Kişisel Verisi işlendikçe sürer. Değişiklikler Koşullar §15'teki usulle yapılır; mevzuat değişikliği gerektirirse hemen uygulanır.

Müşteri verisine dokunmayan hizmetler (bilgi için): GitHub (kod ve iş akışları, ABD), Google Analytics (site istatistiği, ABD), Euromsg Express (pazarlama e-postası, Türkiye). Hata kayıtları kendi sunucumuzda. Planlanan: ödeme kuruluşu (iyzico, Türkiye), e-fatura entegratörü (Türkiye), yedek deposu (Türkiye) — eklenmeden 30 gün önce bildirilir.