Veri İşleme Sözleşmesi
Bu sözleşme, Givoti SMS Kullanım Şartlarının ekidir ve müşterinin Givoti SMS’e kayıt olurken onayıyla yürürlüğe girer. Kullanım şartları ile bu sözleşme arasında kişisel verilerin işlenmesine ilişkin bir çelişki olursa bu sözleşme uygulanır.
1. Taraflar ve roller
- Veri sorumlusu: Givoti SMS’e kayıt olan ve hizmeti kullanan gerçek veya tüzel kişi (“Müşteri”).
- Veri işleyen: Emircan Taş — Givoti SMS (Kırklareli Vergi Dairesi, VKN 8251714959; Cumhuriyet Mah. Eski Polos Yolu Sk. Akademi 4 No: 2B İç Kapı No: 5 Merkez / Kırklareli; destek@givotisms.com) (“Givoti SMS”).
Müşteri’nin hizmete yüklediği, hizmet aracılığıyla topladığı veya mesajlaştığı kişilere ait kişisel veriler (“Müşteri Verileri”) bakımından Müşteri veri sorumlusu, Givoti SMS veri işleyendir. Panel kullanıcılarına ait veriler bakımından ise Givoti SMS veri sorumlusudur ve bu veriler KVKK Aydınlatma Metni kapsamında işlenir.
2. Konu, kapsam ve süre
Bu sözleşmenin konusu, Givoti SMS’in hizmeti sunarken Müşteri adına Müşteri Verilerini işlemesine ilişkin koşulların KVKK m.12/2 uyarınca belirlenmesidir. Sözleşme, Müşteri’nin hesabı açık olduğu sürece yürürlükte kalır; sona ermesinden sonra 13. maddedeki yükümlülükler devam eder.
3. İşlenen veriler ve ilgili kişiler
| İlgili kişi grupları | Müşteri’nin müşterileri, potansiyel müşterileri, abonelik/duyuru listesi üyeleri ve Müşteri’ye WhatsApp üzerinden yazan kişiler |
|---|---|
| Veri kategorileri | Ad, soyad, telefon numarası, e-posta, firma, doğum tarihi, Müşteri’nin eklediği etiket ve özel alanlar; gönderilen ve alınan mesaj içerikleri ve dosyalar; teslim ve okunma bilgileri; ticari ileti onay/ret kayıtları; mağaza entegrasyonundan gelen sipariş bilgileri (sipariş numarası, tutar, kargo bilgisi) |
| İşleme faaliyetleri | Kaydetme, saklama, düzenleme, sınıflandırma, Müşteri’nin talimatıyla mesaj gönderme ve alma, raporlama, dışa aktarma ve silme |
| Amaç | Yalnızca Givoti SMS hizmetinin Müşteri’ye sunulması |
Müşteri, hizmete özel nitelikli kişisel veri (sağlık, biyometrik, inanç vb.) yüklememeyi kabul eder; bu tür verilerin yüklenmesi hâlinde sorumluluk Müşteri’ye aittir.
4. Talimatla işleme
- Givoti SMS, Müşteri Verilerini yalnızca Müşteri’nin belgelenmiş talimatlarıyla işler. Müşteri’nin panelde veya API ile yaptığı işlemler (kişi ekleme, kampanya başlatma, mesaj gönderme, silme, saklama süresi seçme vb.) talimat niteliğindedir.
- Givoti SMS Müşteri Verilerini kendi amaçları için kullanmaz, satmaz, kiralamaz, reklam veya profilleme amacıyla işlemez ve üçüncü kişilere aktarmaz.
- Bir talimatın mevzuata aykırı olduğunu değerlendirirse Givoti SMS bunu Müşteri’ye derhâl bildirir.
5. Müşterinin yükümlülükleri
- Müşteri, Müşteri Verilerinin hukuka uygun şekilde elde edildiğini, ilgili kişilere KVKK m.10 kapsamında aydınlatma yapıldığını ve işleme için gerekli hukuki sebebin (gerektiğinde açık rızanın) bulunduğunu taahhüt eder.
- Ticari elektronik iletiler için alıcı onaylarının alınması, İleti Yönetim Sistemi’ne kaydedilmesi ve ret taleplerinin uygulanması Müşteri’nin sorumluluğundadır.
- Müşteri, kendi hesabındaki kullanıcıların yetkilerini, iki adımlı doğrulamayı ve API anahtarlarının gizliliğini yönetmekten sorumludur.
- Müşteri, alıcı verilerinin WhatsApp altyapısı üzerinden iletilmesine ilişkin yükümlülükleri (bkz. 9. madde) veri sorumlusu olarak yerine getirir.
6. Gizlilik
Givoti SMS, Müşteri Verilerine yalnızca hizmetin sunulması, güvenliğin sağlanması ve Müşteri’nin destek talebinin karşılanması için gerekli olduğu ölçüde erişir. Erişim yetkisi olan kişiler gizlilik yükümlülüğü altındadır. Destek amacıyla hesaba erişildiğinde bu erişim kayıt altına alınır ve hesap sahibine panel bildirimiyle haber verilir. Gizlilik yükümlülüğü sözleşme sona erdikten sonra da devam eder.
7. Güvenlik tedbirleri
Givoti SMS, KVKK m.12/1 ve Kişisel Verileri Koruma Kurulu’nun güvenlik rehberi doğrultusunda en az şu teknik ve idari tedbirleri uygular:
- Tüm bağlantılarda TLS (HTTPS) şifrelemesi; WhatsApp oturum anahtarlarının, iki adımlı doğrulama anahtarlarının ve entegrasyon anahtarlarının AES-256-GCM ile şifrelenmesi; şifrelerin bcrypt ile özetlenmesi; API anahtarlarının yalnızca özetinin saklanması,
- Hesaplar arası mantıksal ayrım ve bu ayrımın otomatik testlerle sürekli denetlenmesi,
- Rol bazlı yetkilendirme, yönetici hesaplarında zorunlu iki adımlı doğrulama, oturum yönetimi ve hız sınırlamaları,
- Erişim ve işlem kayıtlarının tutulması, telefon numaralarının API kayıtlarında maskelenmesi,
- Günlük yedekleme, bağımlılıkların güvenlik açığına karşı düzenli taranması,
- Saklama süresi dolan verilerin otomatik silinmesi ve kullanılmayan dosyaların temizlenmesi.
8. Alt veri işleyenler
Müşteri, Givoti SMS’in hizmeti sunmak için aşağıdaki alt veri işleyenlerle çalışmasına genel izin verir:
| Alt veri işleyen | Hizmet | Konum |
|---|---|---|
| Güzel Hosting | Sunucu, veritabanı, yedekleme ve e-posta altyapısı | Türkiye |
Givoti SMS, alt veri işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler yükler. Yeni bir alt veri işleyen eklenmesi veya mevcut olanın değişmesi, yürürlükten en az 15 gün önce bu sayfada ve e-postayla duyurulur; Müşteri haklı sebeple itiraz ederse sözleşmeyi ek bedel ödemeden sona erdirebilir.
9. Yurt dışına aktarım
Givoti SMS, Müşteri Verilerini Türkiye’de barındırır ve kendi kararıyla yurt dışına aktarmaz. Mesajların gönderilmesi ve alınması Müşteri’nin kendi WhatsApp hesabı üzerinden ve Müşteri’nin talimatıyla gerçekleşir; bu nedenle mesaj içerikleri ve alıcı numaraları WhatsApp/Meta altyapısından geçer. Bu iletim bakımından KVKK m.9 kapsamındaki yükümlülükler (aydınlatma, uygun güvence veya gerekli hukuki sebep) veri sorumlusu olarak Müşteri’ye aittir.
10. İlgili kişi talepleri
Givoti SMS, Müşteri’nin ilgili kişilerden gelen KVKK m.11 taleplerini karşılayabilmesi için panelde kişi verisini görüntüleme, dışa aktarma, düzeltme, onay geçmişini görme ve kalıcı silme (“unut”) araçları sunar. Givoti SMS’e doğrudan ulaşan talepler, en geç 3 iş günü içinde Müşteri’ye iletilir; Givoti SMS bu taleplere Müşteri’nin talimatı olmadan yanıt vermez.
11. Veri ihlali bildirimi
Givoti SMS, Müşteri Verilerini etkileyen bir güvenlik ihlalini öğrendiğinde Müşteri’ye gecikmeksizin ve en geç 24 saat içinde e-posta ile bildirir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan veya önerilen tedbirler yer alır. Givoti SMS, Müşteri’nin Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere 72 saat içinde yapacağı bildirim için gerekli bilgi ve desteği sağlar.
12. Bilgi ve denetim
Givoti SMS, bu sözleşmeye uyumunu gösteren bilgi ve belgeleri Müşteri’nin yazılı talebi üzerine makul sürede sağlar. Yetkili makamların talepleri ve Müşteri’nin yasal yükümlülükleri saklı kalmak üzere, yerinde denetim taleplerinin kapsamı, tarihi ve masrafları taraflarca önceden yazılı olarak belirlenir.
13. Sona erme, iade ve silme
- Müşteri, hesabı açık olduğu sürece verilerini panelden dilediği zaman dışa aktarabilir.
- Müşteri hesabını sildiğinde Müşteri Verileri (rehber, mesajlar, şablonlar, dosyalar) en geç 30 gün içinde geri döndürülemez şekilde silinir. Mevzuat gereği saklanması zorunlu olan kayıtlar (ör. ticari ileti onay kayıtları) yalnızca yasal süre boyunca, erişimi kısıtlı bir arşivde tutulur ve süre dolunca silinir.
- Yedeklerdeki kopyalar, olağan yedek döngüsü içinde silinir ve bu süre boyunca başka hiçbir amaçla kullanılmaz.
14. Sorumluluk
Her taraf, bu sözleşmeden ve KVKK’dan doğan kendi yükümlülüklerini ihlal etmesinden sorumludur. Givoti SMS’in bu sözleşmeden doğan sorumluluğu Kullanım Şartlarının 10. maddesindeki sınırlara tabidir; kasıt ve ağır ihmal hâlleri ile kanunen sınırlandırılamayan sorumluluklar saklıdır.
15. Son hükümler
Bu sözleşme, Kullanım Şartlarıyla birlikte kayıt sırasında elektronik ortamda onaylanır; onayın sürümü, zamanı ve IP adresi kayıt altına alınır. Sözleşmeye Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda Kullanım Şartlarındaki yetki hükmü geçerlidir.