Veri İşleme Sözleşmesi
1. Taraflar ve roller
Bu sözleşme, Hizmet Sözleşmesi'nin eki ve ayrılmaz parçasıdır. Hizmet kapsamında işlenen müşteri verileri bakımından Salon veri sorumlusu (KVKK m.3/1-ı), CODEVVO ("Musaitse") veri işleyendir (KVKK m.3/1-ğ). Bu sözleşmede tanımlanmayan terimler 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuattaki anlamıyla kullanılır.
2. Konu, süre ve işlemenin niteliği
Musaitse, kişisel verileri yalnız Hizmet'i sunmak amacıyla, Hizmet Sözleşmesi süresince ve madde 12'deki silme süresi dolana kadar işler. İlgili kişi grupları, veri kategorileri ve işleme faaliyetleri Ek-1'dedir.
3. Talimatlar
- Musaitse kişisel verileri yalnız Salon'un belgelenmiş talimatlarına göre işler. Bu sözleşme, Hizmet Sözleşmesi ve Salon'un panelde yaptığı ayarlar (çalışma saatleri, hatırlatma, asistanın açılıp kapatılması, müşteri silme vb.) Salon'un talimatıdır.
- Musaitse, bir talimatın KVKK'ya aykırı olduğunu düşünürse Salon'u gecikmeksizin bilgilendirir ve aykırılık giderilene kadar o talimatı uygulamayabilir.
- Musaitse kişisel verileri kendi amaçları için işlemez, satmaz, reklam veya profil çıkarma amacıyla kullanmaz. Kanunen zorunlu hâller saklıdır; bu durumda, kanun yasaklamıyorsa Salon önceden bilgilendirilir.
- Hizmet kalitesi: Musaitse, Asistan'ın hatalı cevap verdiği konuşmaları test senaryosuna dönüştürerek Hizmet'i iyileştirebilir; bunu yalnız Salon'un panel üzerinden ya da yazılı olarak verdiği izinle ve ad, telefon ve randevu kodu gibi kimlik bilgileri çıkarılmış olarak yapar.
4. Gizlilik ve yetkili personel
Musaitse, kişisel verilere yalnız Hizmet'in işletilmesi, destek ve arıza giderme için gereken personelinin erişmesini sağlar; bu kişiler gizlilik yükümlülüğü altındadır. Musaitse yöneticisinin bir salonun verisine panel üzerinden erişmesi ve salon adına yaptığı işlemler denetim kaydına yazılır.
5. Veri güvenliği (KVKK m.12)
Musaitse, Kişisel Verileri Koruma Kurulu'nun kişisel veri güvenliğine ilişkin rehberini dikkate alarak Ek-3'teki teknik ve idari tedbirleri uygular ve güncel tutar. KVKK m.12/2 uyarınca taraflar bu tedbirlerin alınmasından müştereken sorumludur; Salon da kendi tarafındaki tedbirleri (panel parolası, çalışan yetkileri, salon cihazlarının güvenliği) alır.
6. Alt işleyenler
- Salon, Ek-2'deki alt işleyenlerin kullanılmasına genel yetki verir.
- Musaitse yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 15 gün önce Salon'u e-postayla ve panelde bilgilendirir. Salon makul gerekçeyle itiraz edebilir; itiraz giderilemezse Salon sözleşmeyi bu sürede ek bedel ödemeden feshedebilir.
- Musaitse alt işleyenlerle bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler içeren sözleşmeler yapar ve alt işleyenin yükümlülüklerini yerine getirmemesinden Salon'a karşı sorumlu kalır.
7. Yurt dışına aktarım (KVKK m.9)
- Salon, bu sözleşmeyi kabul ederek Ek-2'de "yurt dışı" olarak gösterilen alt işleyenlere aktarıma genel yazılı izin verir; Musaitse'yi bu alt işleyenlerle gereken sözleşmeleri yapmaya yetkilendirir. Bunun için Salon'un ayrıca imza atması gerekmez.
- Ek-2'de "yurt dışı" olarak gösterilen alt işleyenlere aktarım, hizmetin sürekli bir parçasıdır. Musaitse bu aktarımlar için Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeyi (veri işleyenden veri işleyene) değiştirmeden imzalar ve imzadan itibaren 5 iş günü içinde Kurul'a bildirir (KVKK m.9/4; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik).
- Yurt dışına aktarım, Salon adına müşterilere yapılan aydınlatmada (müşteriye ilk cevapta gönderilen not ve
/kvkk/…sayfası) açıklanır. - Standart sözleşmelerin imzalanma ve bildirim durumu Salon'a talep hâlinde bildirilir.
- Ek-2'deki bir yurt dışı aktarım için standart sözleşme imzalanamazsa Musaitse Salon'u bilgilendirir ve o alt işleyenin yerine yurt içinde ya da uygun güvence sağlanan bir alternatif kullanır.
8. İlgili kişi başvuruları
- Hizmet, müşterinin WhatsApp'tan yaptığı silme ve erişim taleplerini kayda alır ve Salon'a bildirir; Salon başvuruyu panelde "KVKK talepleri" ekranından sonuçlandırır. Panel, müşteri verisinin dışa aktarılması ve silinmesi/anonimleştirilmesi araçlarını sunar.
- Musaitse'ye doğrudan gelen bir ilgili kişi başvurusu, cevaplanmadan en geç 2 iş günü içinde Salon'a iletilir.
- Musaitse, Salon'un KVKK m.13 kapsamındaki 30 günlük cevap süresine uyabilmesi için makul yardımı sağlar.
9. Veri ihlali bildirimi
- Musaitse, Salon'un verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde Salon'u gecikmeksizin ve en geç 24 saat içinde e-postayla bildirir.
- Bildirim, bilindiği ölçüde şunları içerir: ihlalin zamanı ve nasıl fark edildiği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve önerilen önlemler, Musaitse'de irtibat kişisi. Bilinmeyenler öğrenildikçe tamamlanır.
- Kurul'a ve ilgili kişilere bildirim (KVKK m.12/5) veri sorumlusu olarak Salon'un yükümlülüğüdür; Kurul uygulamasına göre bu bildirim ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır. Musaitse, bildirim formunun doldurulması için gereken teknik bilgiyi sağlar.
- Birden çok salonu etkileyen ihlalde her salona ayrı bildirim yapılır; bir salona başka bir salonun verisine ilişkin bilgi verilmez.
10. Denetim ve bilgi verme
Musaitse, bu sözleşmeye uyumu gösteren bilgileri Salon'un makul talebi üzerine yazılı olarak verir. Yerinde denetim, önceden kararlaştırılan tarihte, gizlilik taahhüdüyle ve altyapı diğer müşterilerle ortak olduğundan başka salonların verisine erişilmeyecek biçimde yapılır; masrafı talep edene aittir. Kişisel Verileri Koruma Kurulu'nun denetim ve bilgi talepleri saklıdır.
11. Sorumluluk
Taraflar, kendi kusurlarıyla sebep oldukları zarardan sorumludur. İlgili kişiye ya da Kurul'a karşı müştereken sorumlu tutulan taraf, kusuru oranında diğer tarafa rücu edebilir. Hizmet Sözleşmesi madde 11'deki sınırlamalar, kişisel verilerin korunmasına ilişkin kanuni yükümlülüklere uygulanmaz.
12. Sözleşme sona erince silme ve iade
- Salon, sona ermeden itibaren 30 gün içinde verilerinin makine tarafından okunabilir biçimde kendisine verilmesini isteyebilir.
- Musaitse, Salon'un bütün kişisel verilerini sona ermeden itibaren en geç 90 gün içinde siler; şifreli yedeklerden en geç 35 gün sonra düşer. Salon isterse silme yazılı olarak teyit edilir.
- Kanunen saklanması zorunlu kayıtlar bu süreden muaftır ve yalnız o amaçla saklanır.
Ek-1: İşlemenin ayrıntıları
| Konu | Ayrıntı |
|---|---|
| İlgili kişi grupları | Salon'un müşterileri ve müşteri adayları (Salon'un WhatsApp numarasına yazan kişiler); Salon çalışanları (randevu ve hizmet tanımlarındaki adları) |
| Veri kategorileri | Kimlik (ad), iletişim (telefon, WhatsApp kimliği), müşteri işlem (randevu, hizmet, hatırlatma tercihi, notlar), konuşma içeriği (yazılı mesajlar), işlem güvenliği (zaman damgaları, maskeli hata kayıtları) |
| Özel nitelikli veri | İşlenmesi amaçlanmaz; müşteri kendiliğinden yazarsa mesaj içeriği olarak saklama süresince tutulur |
| İşleme faaliyetleri | WhatsApp mesajlarını alma ve gönderme, yapay zekâ ile cevap hazırlama, randevu oluşturma/değiştirme/iptal, hatırlatma gönderme, salonla ilgisiz ilk mesajı ayırt edip silme, panelde gösterme, yedekleme, saklama süresi dolanı silme |
| Saklama süreleri | Mesaj içeriği 180 gün; asistan işlem kayıtları 90 gün; kişisel işaretlenen sohbetin müşteri kaydı 30 gün; müşteri adı/telefonu son etkileşimden 2 yıl (sonra anonim); kullanım ve denetim kayıtları 2 yıl; yedekler 35 gün |
Ek-2: Alt işleyenler
| Alt işleyen | Hizmet | Veri | Konum | Yurt dışı |
|---|---|---|---|---|
| Hostinger International Ltd. | Sunucu barındırma (uygulama, veritabanı, WhatsApp bağlantısı) | Hizmette işlenen bütün veriler (müşteri ve panel kullanıcı verileri) | Avrupa Birliği (sunucu konumu) | Evet |
| Cloudflare, Inc. | Şifreli yedek depolama (R2) ve alan adı (DNS) hizmeti | Veritabanı yedeği — sunucuda şifrelenir, anahtar Musaitse'dedir; Cloudflare içeriği okuyamaz | Avrupa Birliği (yedek kovası); şirket merkezi ABD | Evet |
| Functional Software, Inc. (Sentry) | Uygulama hata kaydı | Teknik hata kayıtları; telefon, e-posta, mesaj ve IP adresi gönderilmeden önce maskelenir/çıkarılır | ABD ya da AB (hesap bölgesi) | Evet |
| E-posta gönderim sunucusu | Salon sahibine bildirim, doğrulama ve parola e-postaları | Panel kullanıcısının e-posta adresi ve bildirim metni (müşteri verisi içermez) | Doğrulanacak | Evet |
| NVIDIA Corporation | Yapay zekâ dil modeli (mesajın anlaşılması ve cevap taslağı) | Müşterinin WhatsApp adı, mesaj metni, randevu özeti (telefon numarası gönderilmez) | ABD | Evet |
WhatsApp bağlantı yazılımı (Evolution API) Musaitse'nin kendi sunucusunda çalışır; üçüncü taraf bir hizmet değildir. Kaynak kodu ve kurulum kayıtları için kullanılan hizmetlere kişisel veri aktarılmaz.
Ek-3: Teknik ve idari tedbirler
- Salonlar arası ayrım: her kayıt salon kimliğiyle tutulur; sorgular salon kapsamından geçer, kapsam yoksa sorgu çalışmaz; veritabanı kısıtları bir salonun kaydının başka salonunkine bağlanmasını engeller; bu ayrım otomatik testlerle denetlenir.
- Asistan güvenliği: salon ve müşteri kimliği yapay zekâdan alınmaz, konuşmadan eklenir; randevu yalnız yazılım tarafından doğrulanmış işlemle yazılır.
- Veri en aza indirme: yapay zekâya telefon numarası gönderilmez; tanıdık/kişisel olarak işaretlenen sohbetlerin mesajları hiçbir yere yazılmaz, yalnız numaranın anahtarlı özeti tutulur; salon sahibine giden bildirimler müşteri adı, telefonu veya mesajı içermez.
- İletim güvenliği: panel ve dış bağlantılar HTTPS (TLS) ile; veritabanı, önbellek ve WhatsApp bağlantı yazılımı dışarıya kapalı iç ağda; WhatsApp olayları salon başına gizli jeton ve paylaşılan sırla doğrulanır.
- Erişim: parolalar argon2id ile özetlenir; giriş denemeleri sınırlanır; oturum çerezleri yalnız HTTPS'te ve betiklerden erişilemez; panel yetkisi salon ve rol bazlıdır; sunucuya yalnız SSH anahtarıyla girilir; yönetici işlemleri denetim kaydına yazılır.
- Kayıtlar: uygulama kayıtlarında telefon maskelenir, mesaj içeriği yazılmaz; hata izleme hizmetine kullanıcı, IP, istek gövdesi ve çerez gönderilmez, telefon ve e-posta maskelenir.
- Yedek: veritabanı her gün yedeklenir, sunucudan çıkmadan önce şifrelenir (şifre çözme anahtarı sunucuda bulunmaz); geri yükleme tatbikatla denenmiştir; yedekler 35 gün tutulur.
- Saklama ve imha: Ek-1'deki süreler her gün otomatik temizlik işiyle uygulanır.
- İzleme: erişilebilirlik dış izleyiciyle, uygulama hataları hata izleme hizmetiyle izlenir.
Bu metin, salon panelindeki panel.musaitse.com/veri-isleme-sozlesmesi sayfasıyla aynıdır.