version: 2 effective_date: 2026-07-17

B2B Veri İşleme Sözleşmesi (B2B-DPA) — v2

Kapsam Notu: İşbu B2B-DPA; DoWaba'nın kurumsal müşterisine (KOBİ panel sahibi) sunduğu Hizmet kapsamında, Müşteri'nin kendi son kullanıcılarına ait kişisel verilerin işlenmesine ilişkindir. Bu sözleşmede Müşteri Veri Sorumlusu, DoWaba ise Veri İşleyen olarak konumlanır. Fiilen kullanılabilecek alt işleyenlerin güncel listesi /legal/alt-isleyenler sayfasında yayımlanır; DoWaba'nın her sağlayıcıyla ilişkisi, varsa o sağlayıcıyla fiilen akdedilmiş ayrı şart ve sözleşmelere tabidir. Bu B2B-DPA böyle bir sağlayıcı sözleşmesinin akdedildiği beyanı değildir.

Madde 1 — Taraflar ve Tanımlar

İşbu B2B Veri İşleme Sözleşmesi ("Sözleşme") aşağıdaki taraflar arasında akdedilmiştir:

• Veri Sorumlusu (Müşteri): DoWaba paneline üye olan ve son kullanıcılarına yönelik iletişim faaliyetlerini DoWaba altyapısı üzerinden yürüten kurumsal abone.
• Veri İşleyen (DoWaba): Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi, https://dowaba.com, Burdur / Türkiye, info@dowaba.com.

Tanımlar; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 3 anlamında kullanılır. KVKK Kurulu'nun 2017/61 sayılı Kararı, Veri Sorumlusu — Veri İşleyen ayrımının uygulamadaki sonuçlarına ışık tutar. Uygulanabildiği ölçüde AB GDPR (2016/679) Madde 28 hükümleri de dikkate alınır.

Madde 2 — Sözleşmenin Konusu

Sözleşme'nin konusu; Müşteri'nin son kullanıcılarına yönelik çok kanallı iletişim (WhatsApp, Instagram, Telegram, Mail, Messenger, Web Widget, Telefon AI Voice) ve otomasyon hizmetlerinin sunulması sırasında, DoWaba'nın Müşteri'nin yazılı talimatları doğrultusunda kişisel veri işleme yetkilerini ve yükümlülüklerini düzenlemektir.

DoWaba; Hizmet kapsamında Müşteri'ye yalnızca teknik altyapı sağlar. Müşteri'nin son kullanıcılarına yönelik aydınlatma yükümlülüğü, açık rıza alınması ve içerik yönetimi Müşteri'nin sorumluluğundadır.

Madde 3 — İşlenen Veri Kategorileri

Sözleşme kapsamında DoWaba tarafından Müşteri adına işlenebilecek kişisel veri kategorileri:

1. Kimlik verileri (ad, soyad, unvan)
2. İletişim verileri (telefon, e-posta, kullanıcı adı, sosyal medya kimliği)
3. Mesaj içerikleri (WhatsApp / IG / Telegram / mail / web widget metinleri ve medya)
4. Çağrı verileri (ses kaydı, transkript, çağrı meta verisi)
5. Otomasyon iş akışı verileri (randevu, sipariş, sepet, ürün ilgisi)
6. Teknik veriler (IP, tarayıcı, cihaz, oturum)
7. Tercih ve davranış verileri (kanal tercihi, açık rıza durumu)

Müşteri; bu listenin dışına çıkan ve özel nitelikli kişisel veri (sağlık, biyometrik vb.) içeren işleme yapmadan önce DoWaba'yı yazılı olarak bilgilendirmek ve gerekli ek tedbirleri Müşteri olarak almakla yükümlüdür.

Madde 4 — İlgili Kişi Grupları

Sözleşme kapsamında işlenen kişisel verilerin ilgili kişi grupları:

• Müşteri'nin son kullanıcıları (mevcut müşteri, potansiyel müşteri, abone, ziyaretçi),
• Müşteri'nin çalışanları (operatör, satış temsilcisi, çağrı merkezi personeli — paneli kullananlar),
• Müşteri'nin bayileri ve iş ortakları (ilgili faaliyet bu kapsamı gerektiriyorsa).

Madde 5 — İşleme Süresi

DoWaba, kişisel verileri Sözleşme'nin yürürlükte olduğu süre boyunca ve makul saklama dönemi boyunca işler. Hizmet sözleşmesi sona erdiğinde Müşteri'nin geçerli yazılı talimatı doğrultusunda iade veya imha süreci işletilir; yasal saklama yükümlülüğüne ya da hukuki muhafaza ihtiyacına tabi olanlara (vergi, tüketici hukuku, iletişim ihtilafı kayıtları) erişim kısıtlanır ve bu veriler riske uygun teknik ve idari tedbirlerle yalnızca gereken süre boyunca tutulur.

Uygulanabilir saklama süreleri ve Müşteri tarafından değiştirilebilen ayarlar, ilgili özelliğin panelinde veya güncel hizmet belgelerinde gösterilir. Müşteri kontrolü yalnızca panelde fiilen sunulan alanlar ve izin verilen sınırlarla sınırlıdır.

Madde 6 — İşleme Amacı

DoWaba, Sözleşme kapsamındaki kişisel verileri yalnızca aşağıdaki amaçlarla ve Müşteri'nin yazılı / panel düzeyindeki talimatları doğrultusunda işler:

• Hizmet'in sunulması (mesaj iletimi, çağrı yönlendirme, otomasyon),
• Hizmet kalitesinin izlenmesi ve hata teşhisi,
• Bilgi güvenliği, dolandırıcılık tespiti, hizmet kötüye kullanımı önleme,
• Yasal yükümlülüklerin yerine getirilmesi.

DoWaba; Müşteri verilerini kendi pazarlama, profil oluşturma veya çapraz satış amaçlarıyla kullanamaz. Hizmet kalitesini iyileştirmek amacıyla üretilen istatistikler kümülatif ve anonim biçimde tutulur.

Madde 7 — Veri Sorumlusu'nun (Müşteri) Yükümlülükleri

Müşteri, Veri Sorumlusu sıfatıyla aşağıdaki yükümlülükleri kabul ve taahhüt eder:

1. KVKK m. 10 aydınlatma yükümlülüğü. Son kullanıcılarına Hizmet kapsamında yapılan veri işlemeyi, hangi kanaldan ve hangi amaçla işlendiğini açıkça bildirmek; gerektiğinde DoWaba tarafından sağlanan örnek aydınlatma şablonlarını uyarlayarak kullanmak.
2. Açık rıza yönetimi. Pazarlama, ticari elektronik ileti veya rıza gerektiren diğer faaliyetler için son kullanıcıdan KVKK m. 5/1 ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile İYS uyumlu şekilde açık rıza almak.
3. Hukuka uygun işleme dayanağı. Her işleme faaliyeti için KVKK m. 5 / m. 6 dayanağına sahip olduğunu kontrol etmek.
4. VERBİS kaydı. Yükümlülük sınırlarını aşması hâlinde veri envanterini ve VERBİS kaydını güncel tutmak.
5. Yetkili kullanıcı yönetimi. Panel üzerinde verilen yetkileri ihtiyaç ölçüsünde ve need-to-know prensibine göre dağıtmak; ayrılan personelin yetkisini iptal etmek.
6. İçerik kontrolü. Müşteri, panele yüklediği içeriklerin (broadcast mesajı, otomatik yanıt, anons) hukuka uygunluğundan kendisi sorumludur.

Madde 8 — Veri İşleyen'in (DoWaba) Yükümlülükleri

DoWaba, Veri İşleyen sıfatıyla aşağıdaki yükümlülükleri kabul ve taahhüt eder:

1. Talimata bağlılık. Yalnızca Müşteri'nin yazılı talimatları (sözleşme, panel konfigürasyonu, API çağrıları) doğrultusunda işleme yapmak; mevzuat gereği işleme zorunluluğu doğarsa, hukuken yasak olmadığı ölçüde Müşteri'yi bilgilendirmek.
2. Gizlilik. Verilere erişim yetkisi verilen kişileri erişim ihtiyacıyla sınırlamak ve bu kişileri sözleşme, iç politika veya mevzuattan doğan uygun gizlilik yükümlülüklerine tabi tutmak; uygulanabildiği ölçüde bu yükümlülüklerin erişim veya iş ilişkisi sona erdikten sonra da devam etmesini sağlamak.
3. Teknik ve idari tedbirler (TOM). KVKK m. 12 kapsamında; işlemenin niteliği ve riski, teknolojinin güncel seviyesi ve uygulama maliyetiyle orantılı, dokümante edilmiş tedbirleri uygulamak. DoWaba, ilgili bileşende fiilen devrede ve uygulanabilir olduğu ölçüde aktarım sırasında şifreleme, en az yetki / RBAC, erişim ve denetim kayıtları, yedekleme-kurtarma, izleme ve zafiyet yönetimi gibi kontrolleri risk değerlendirmesine göre seçer. Bu hüküm, her veri deposunun saklama sırasında şifrelendiği veya belirli periyotla bağımsız sızma testi tamamlandığı yönünde genel bir beyan oluşturmaz.
4. Alt işleyen kullanımı. Fiilen kullanılabilecek alt işleyenlerin güncel listesini yayımlamak ve planlanan önemli değişiklikleri, uygulanabilir olduğu ölçüde makul süre önce panel veya e-posta yoluyla bildirmek. Acil güvenlik, mevzuat veya sağlayıcı kaynaklı değişikliklerde bildirim süresi daha kısa olabilir ya da bildirim değişiklikle eş zamanlı yapılabilir. Müşteri, somut veri koruma gerekçesiyle yazılı itirazda bulunabilir; taraflar alternatif yapılandırma veya sağlayıcı imkânını iyi niyetle değerlendirir. Fesih ve ücret sonuçları asıl Hizmet sözleşmesine ve emredici hukuka tabidir; bu madde koşulsuz ücretsiz fesih hakkı vermez.
5. İlgili kişi başvurularına destek. Müşteri'nin son kullanıcılarından gelen KVKK m. 11 başvurularına Müşteri'nin yanıt verebilmesi için makul ve uygun teknik destek sağlamak.
6. Veri ihlali bildirimi. Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde, makul olmayan gecikme olmaksızın ve o anda mevcut bilgiler ölçüsünde Müşteri'yi yazılı olarak bilgilendirmek; inceleme ilerledikçe ek bilgi sağlamak.

Madde 9 — Yurt Dışı İşleme ve Aktarım Güvencesi

Hizmetin etkinleştirilen özelliğine ve seçilen sağlayıcıya göre kişisel veriler; Almanya'daki Hetzner Online GmbH altyapısında ve Google LLC (Gemini hizmetleri dahil), OpenAI, L.L.C., Anthropic PBC veya Meta Platforms Inc. gibi yurt dışındaki teknik sağlayıcılar nezdinde işlenebilir. Bu liste fiili sağlayıcı ihtimalini açıklar; herhangi bir sağlayıcıyla KVKK standart sözleşmesinin imzalandığına, Kuruma bildirim yapıldığına veya yeterlilik kararı bulunduğuna dair beyan oluşturmaz.

• Düzenli ve süreklilik gösteren yurt dışı aktarım, ancak o aktarım için KVKK m. 9 kapsamında gerçekten uygulanabilir bir yol (yeterlilik kararı veya kurulmuş uygun güvence gibi) mevcutsa başlatılabilir.
• İlgili kişinin açık rızası, Kanundaki arızi aktarım istisnasının şartları varsa değerlendirilebilir; düzenli Voice / AI aktarımı için tek başına genel bir güvence olarak kullanılamaz.
• Bu B2B-DPA, yurt dışı aktarım yetkisini kendiliğinden oluşturmaz. DoWaba Voice hizmeti, uygulanabilir mekanizma hukuk ve operasyon ekiplerince doğrulanıp kayıt altına alınmadıkça platform düzeyinde kapalı tutulur.
• Müşteri, fiilen etkinleştirilen sağlayıcıları ve aktarım şartlarını kendi son kullanıcılarına doğru ve güncel biçimde açıklamak; kendi veri sorumlusu yükümlülüklerini yerine getirmekle yükümlüdür.

DoWaba, mekanizma kurulduğunda dayanak ve kapsam bilgisini denetlenebilir operasyon kaydında tutar. Bu metin, henüz kurulmamış bir standart sözleşme veya yapılmamış bir bildirim bulunduğu anlamına gelmez.

Madde 10 — Veri İhlali Bildirimi

DoWaba; Müşteri verilerini etkileyen kişisel veri ihlalini öğrendiğinde, makul olmayan gecikme olmaksızın Müşteri'yi yazılı olarak (e-posta veya panel bildirimi) bilgilendirir. İlk bildirim, o anda makul olarak mevcut bilgilerle yapılabilir ve inceleme ilerledikçe tamamlanır. Bildirim, mevcut olduğu ölçüde şunları içerir:

• İhlalin niteliği,
• Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı,
• Olası sonuçlar,
• Alınmış / alınacak tedbirler,
• DoWaba veri irtibat kişisinin iletişim bilgisi.

Müşteri; KVKK Kurulu'na ve etkilenen ilgili kişilere yapılacak bildirimden Veri Sorumlusu sıfatıyla kendisi sorumludur. DoWaba bu süreçte makul teknik destek sağlar.

KVKK Kurulu uygulamasındaki 72 saatlik süre, veri sorumlusunun Kurula bildirimine ilişkindir; bu hüküm DoWaba'nın Müşteri'ye her olayda eksiksiz bildirimi kesin olarak 72 saat içinde tamamlayacağı yönünde ayrı bir garanti oluşturmaz.

Madde 11 — Denetim Hakkı

Müşteri, DoWaba'nın bu B2B-DPA kapsamındaki yükümlülüklerini yerine getirdiğini göstermek için makul ölçüde gerekli bilgi ve belgeleri yazılı olarak isteyebilir. DoWaba bu talebi öncelikle güncel politika ve tedbir özetleri, ilgili kayıt özetleri ve mevcutsa bağımsız üçüncü taraf raporlarıyla makul ölçüde karşılar. İlave denetim şu kurallara tabidir:

• Talep, Müşteri verileri ve bu Sözleşme kapsamındaki yükümlülüklerle sınırlı, gerekçeli ve ölçülü olmalıdır.
• Uzaktan ve belge üzerinden inceleme önceliklidir. Yerinde veya bağımsız üçüncü taraf denetimi; emredici hukuk gerektiriyorsa, önemli bir ihlal yaşanmışsa ya da belgeli ciddi bir endişe makul biçimde giderilememişse ve taraflar kapsam, zaman, yöntem ve maliyeti önceden yazılı olarak kararlaştırırsa yapılabilir.
• Denetim; başka müşterilerin verilerine, kaynak koda, kimlik bilgilerine veya açıklanması güvenliği zayıflatabilecek bilgilere erişim vermez; uygun gizlilik yükümlülüğüne tabidir.
• Denetim normal iş saatlerinde ve Hizmet'i makul olmayan biçimde aksatmadan yürütülür. Emredici hukuk veya DoWaba'ya atfedilebilir doğrulanmış önemli ihlal aksini gerektirmedikçe denetim maliyetleri Müşteri'ye aittir.

Madde 12 — Sözleşme Sonu

Hizmet sözleşmesi sona erdiğinde ve Müşteri geçerli yazılı talepte bulunduğunda DoWaba; emredici saklama yükümlülükleri, hukuki muhafaza gereksinimleri, yedekleme döngüleri, teknik bağımlılıklar ve ürünün o tarihteki dışa aktarma imkânları saklı kalmak üzere iade veya imha sürecini makul olmayan gecikme olmaksızın başlatır ve makul operasyonel süre içinde yürütür:

• Teknik olarak sunulabilen veriler, o tarihte mevcut standart dışa aktarma formatlarından biriyle Müşteri'ye verilebilir.
• Aktif üretim kopyaları, belgelenmiş saklama ve imha işleri uyarınca silinir veya anonimleştirilir; kalan yedek kopyalar olağan yedek döngülerinde süresi doldukça kaldırılır.
• Yasal saklama veya hukuki muhafazaya tabi verilerin kullanımı ilgili amaçla sınırlandırılır, erişimi kısıtlanır ve riske uygun tedbirlerle korunur.

Müşteri'nin talebi üzerine DoWaba, sistem kayıtlarının elverdiği ölçüde işlemin kapsamını ve bilinen istisnaları belirten yazılı bir imha teyidi sağlayabilir. Bu hüküm, bağımsız denetçi tarafından düzenlenmiş bir imha sertifikası veya her teknik kopyanın belirli bir günde yok edildiği garantisi oluşturmaz.

Madde 13 — Sorumluluklar

Her taraf, kendi sıfatıyla yürüttüğü işleme faaliyetlerinden ve kendi yükümlülüklerinin ihlalinden kendisi sorumludur. KVKK m. 12 kapsamında ortaya çıkabilecek paylaşılan sorumluluk durumları saklıdır.

DoWaba, Müşteri'nin son kullanıcılarına yönelik aydınlatma, açık rıza ve diğer Veri Sorumlusu yükümlülüklerinin yerine getirilmemesinden sorumlu değildir.

Madde 14 — Sigorta ve Tazminat

• Müşteri; kendi son kullanıcılarından, panele yüklediği içeriklerden veya açık rıza yokluğundan kaynaklanan şikayet, KVKK Kurulu yaptırımı veya tazminat taleplerinden DoWaba'yı tazmin eder.
• DoWaba ise teknik altyapı kusuru, kendi alt işleyen yönetimi veya bu Sözleşme'deki kendi yükümlülüklerinin ihlalinden kaynaklı doğrudan zararlardan kendi sorumluluğu dahilinde sorumlu olur.
• Toplam sorumluluk sınırı, asıl Hizmet sözleşmesindeki sorumluluk hükümlerine tabidir.

Madde 15 — Çakışma Çözümü

İşbu Sözleşme ile Müşteri ve DoWaba arasındaki diğer sözleşmeler arasında çakışma olması hâlinde, kişisel veri işleme konularında bu B2B-DPA hükümleri öncelikli olarak uygulanır. Diğer hususlarda asıl Hizmet sözleşmesi geçerlidir.

Madde 16 — Yürürlük

Bu Sözleşme; Müşteri'nin DoWaba paneline kaydolması ve Hizmet sözleşmesini imzalamasıyla birlikte yürürlüğe girer ve Hizmet sözleşmesinin yürürlükte olduğu süre boyunca geçerli olur. DoWaba; bu sözleşmeyi makul süreyle önceden bildirimde bulunarak güncelleyebilir; yeni sürüm b2b-dpa-v3.md adıyla yayımlanır ve panel üzerinde değişiklik bildirimi gösterilir.

Sözleşme; Türkiye Cumhuriyeti hukukuna tabidir ve uyuşmazlıklarda Burdur Mahkemeleri ve İcra Daireleri yetkilidir.

İletişim: kvkk@dowaba.com — info@dowaba.com — https://dowaba.com