Kişisel Veri İşleme Ek Protokolü

İşlemenin konusu; WhatsApp müşteri iletişimi, yapay zekâ destekli yanıt/özet, lead ve randevu yönetimi, izinli sesli arama, medya paylaşımı, entegrasyon, raporlama, destek, güvenlik ve yedekleme hizmetlerinin sunulmasıdır. İşleme, hizmet ilişkisi ve sözleşmede belirlenen çıkış/saklama dönemi boyunca; toplama, kaydetme, düzenleme, sorgulama, iletme, erişimi sınırlama, yedekleme ve imha faaliyetlerini kapsar.

SvontAI yalnızca ana sözleşme, sipariş formu, panel ayarları, yetkili API çağrıları ve destek kanalı üzerinden belgelenmiş müşteri talimatları doğrultusunda işlem yapar. Talimatın mevzuata aykırı olduğu kanaati oluşursa müşteri bilgilendirilir ve işlem, güvenlik/yasal zorunluluk ölçüsünde askıya alınabilir. Kanunen zorunlu bir işleme talimat dışı yapılacaksa, açıklanması hukuken yasak değilse müşteri önceden bilgilendirilir.

• Her veri kategorisi için geçerli işleme ve iletişim hukuki sebebini belirlemek, ispatlamak ve ilgili kişiyi zamanında aydınlatmak.
• Yalnızca gerekli veriyi aktarmak; özel nitelikli veri veya çocuk verisi gerekiyorsa önceden yazılı risk değerlendirmesi ve ek tedbirleri tamamlamak.
• WhatsApp, Google, telefon ve diğer üçüncü taraf hesaplarını kullanmaya yetkili olmak; spam ve izinsiz iletişimi önlemek.
• Rol ve yetkileri düzenli gözden geçirmek, hesap güvenliğini sağlamak, olay veya hatalı veri şüphesini gecikmeden bildirmek.
• Otomatik yanıt, fiyat, randevu, arama ve yüksek etkili süreçler için uygun insan gözetimi ve iş kurallarını kurmak.

• Yetkili kişileri gizlilik yükümlülüğüne tabi tutmak ve erişimi görevle sınırlamak.
• Riskle orantılı teknik/idari güvenlik tedbirlerini sürdürmek ve erişimleri kaydetmek.
• İlgili kişi talepleri, etki değerlendirmesi, denetim ve ihlal yönetiminde müşteriye makul teknik destek sağlamak.
• Alt işleyenleri yazılı veri koruma ve gizlilik şartlarına tabi tutmak; alt işleyenin ediminden mevzuat ve ana sözleşme kapsamında sorumlu olmak.
• Talimat ve yasal saklama kapsamı dışında veriyi kendi bağımsız pazarlama amacıyla kullanmamak veya satmamak.

Asgari tedbirler; tenant izolasyonu, rol tabanlı en az yetki, güçlü kimlik doğrulama ve yönetici 2FA, güvenli oturum yönetimi, aktarım şifrelemesi, sır/token şifreleme, hız sınırı, imzalı webhook, audit/system event, güvenlik güncellemeleri, bağımlılık taraması, özel nesne depolama, AES-256-GCM şifreli veritabanı yedekleri, geri yükleme doğrulaması, olay izleme, iş sürekliliği ve personel erişim prosedürleridir. Tedbirler risk, teknoloji ve hizmet değiştikçe eşdeğer veya daha güçlü koruma sağlayacak şekilde güncellenebilir.

Yurt dışı aktarım gerekiyorsa taraflar veri akışındaki rollerine uygun KVKK madde 9 mekanizmasını aktarım başlamadan önce kurar. Uygun güvence olarak standart sözleşme kullanıldığında Kurulun ilan ettiği metin değiştirilmeden imzalanır ve yasal bildirim süresi gözetilir. Müşteri tarafından eklenen kendi entegrasyonunun alıcısı ve aktarım ayarlarından müşteri sorumludur; SvontAI kendi alt işleyenleri için gerekli sözleşmesel tedbirleri yürütür.

SvontAI'ye doğrudan ulaşan ve müşteri son kullanıcısına ilişkin olduğu anlaşılan talep, hukuken doğrudan cevap verilmesi gerekmedikçe müşteriye yönlendirilir. Müşteri; paneldeki dışa aktarma, düzeltme, saklama ve silme araçlarını kullanır. Ek teknik çalışma makul ölçüde sağlanır; kimlik/yetki doğrulanmadan veri açıklanmaz veya silinmez.

SvontAI, müşteri verilerini etkileyen doğrulanmış bir kişisel veri ihlalini öğrendiğinde gereksiz gecikme olmaksızın müşterinin belirlediği güvenlik irtibatına mevcut bilgileri iletir. Bildirim; olayın niteliği, etkilenen veri/kişi kategorileri, muhtemel sonuçlar, alınan/önerilen tedbirler ve güncelleme planını mevcut olduğu ölçüde içerir. Kuruma ve ilgili kişilere yapılacak yasal bildirim kararından veri sorumlusu müşteri sorumludur; SvontAI gerekli kanıt ve teknik desteği sağlar.

Aktif hizmette müşteri panelindeki saklama politikası uygulanır. Hizmet sona erdiğinde müşteri verileri sipariş formundaki çıkış süresi boyunca dışa aktarmaya hazır tutulur; ardından yasal saklama/hukuki muhafaza zorunluluğu bulunmayan aktif kopyalar silinir veya anonimleştirilir. Şifreli yedekler olağan döngüsü içinde üzerine yazılarak imha edilir ve bu sürede yalnızca felaket kurtarma amacıyla erişilebilir. İmha işlemleri audit/system event ile kayıt altına alınır.

SvontAI, güvenlik ve veri koruma yükümlülüklerinin yerine getirildiğini göstermek için ilgili politika, test ve denetim özetlerini makul ölçüde sunar. Yerinde veya özel denetim; yılda bir kez, makul ön bildirimle, diğer müşterilerin sırlarını ve sistem güvenliğini tehlikeye atmadan, tarafların maliyet/gizlilik kurallarını yazılı belirlemesiyle yapılır. İhlal şüphesi veya yetkili makam talebi halinde bu sınırlamalar somut duruma göre uyarlanır.

Tarafların sorumluluğu emredici KVKK hükümleri ve ana sözleşmedeki geçerli sorumluluk düzenine tabidir. Bu protokol hizmet süresince yürürlükte kalır; gizlilik, denetim kanıtı ve yasal saklama hükümleri niteliği gereği sona ermeden sonra da devam eder. Esaslı değişiklik yeni sürüm olarak bildirilir ve sipariş/sözleşme sürecinde kayıt altına alınır.