version: 4 effective_date: 2026-07-30 replaces: v3 amendment_clause: continued-use-v1

B2B Veri İşleme Sözleşmesi (B2B-DPA) — v4

Kapsam Notu: İşbu B2B-DPA; DoWaba'nın kurumsal müşterisine (KOBİ panel sahibi) sunduğu Hizmet kapsamında, Müşteri'nin kendi son kullanıcılarına ait kişisel verilerin işlenmesine ilişkindir. Bu sözleşmede Müşteri Veri Sorumlusu, DoWaba ise Veri İşleyen olarak konumlanır. Fiilen kullanılabilecek alt işleyenlerin güncel listesi /legal/alt-isleyenler sayfasında yayımlanır; DoWaba'nın her sağlayıcıyla ilişkisi, varsa o sağlayıcıyla fiilen akdedilmiş ayrı şart ve sözleşmelere tabidir. Bu B2B-DPA böyle bir sağlayıcı sözleşmesinin akdedildiği beyanı değildir.

Madde 1 — Taraflar ve Tanımlar

İşbu B2B Veri İşleme Sözleşmesi ("Sözleşme") aşağıdaki taraflar arasında akdedilmiştir:

• Veri Sorumlusu (Müşteri): DoWaba paneline üye olan ve son kullanıcılarına yönelik iletişim faaliyetlerini DoWaba altyapısı üzerinden yürüten kurumsal abone.
• Veri İşleyen (DoWaba): Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi, https://dowaba.com, Burdur / Türkiye, info@dowaba.com.

Tanımlar; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 3 anlamında kullanılır. KVKK Kurulu'nun 2017/61 sayılı Kararı, Veri Sorumlusu — Veri İşleyen ayrımının uygulamadaki sonuçlarına ışık tutar. Uygulanabildiği ölçüde AB GDPR (2016/679) Madde 28 hükümleri de dikkate alınır.

Madde 2 — Sözleşmenin Konusu

Sözleşme'nin konusu; Müşteri'nin son kullanıcılarına yönelik çok kanallı iletişim (WhatsApp, Instagram, Telegram, Mail, Messenger, Web Widget, Telefon AI Voice) ve otomasyon hizmetlerinin sunulması sırasında, DoWaba'nın Müşteri'nin yazılı talimatları doğrultusunda kişisel veri işleme yetkilerini ve yükümlülüklerini düzenlemektir.

DoWaba; Hizmet kapsamında Müşteri'ye yalnızca teknik altyapı sağlar. Müşteri'nin son kullanıcılarına yönelik aydınlatma yükümlülüğü, açık rıza alınması ve içerik yönetimi Müşteri'nin sorumluluğundadır.

Madde 3 — İşlenen Veri Kategorileri

Sözleşme kapsamında DoWaba tarafından Müşteri adına işlenebilecek kişisel veri kategorileri:

1. Kimlik verileri (ad, soyad, unvan)
2. İletişim verileri (telefon, e-posta, kullanıcı adı, sosyal medya kimliği)
3. Mesaj içerikleri (WhatsApp / IG / Telegram / mail / web widget metinleri ve medya)
4. Çağrı verileri (ses kaydı, transkript, çağrı meta verisi)
5. Otomasyon iş akışı verileri (randevu, sipariş, sepet, ürün ilgisi)
6. Teknik veriler (IP, tarayıcı, cihaz, oturum)
7. Tercih ve davranış verileri (kanal tercihi, açık rıza durumu)

Müşteri; bu listenin dışına çıkan ve özel nitelikli kişisel veri (sağlık, biyometrik vb.) içeren işleme yapmadan önce DoWaba'yı yazılı olarak bilgilendirmek ve gerekli ek tedbirleri Müşteri olarak almakla yükümlüdür.

Madde 4 — İlgili Kişi Grupları

Sözleşme kapsamında işlenen kişisel verilerin ilgili kişi grupları:

• Müşteri'nin son kullanıcıları (mevcut müşteri, potansiyel müşteri, abone, ziyaretçi),
• Müşteri'nin çalışanları (operatör, satış temsilcisi, çağrı merkezi personeli — paneli kullananlar),
• Müşteri'nin bayileri ve iş ortakları (ilgili faaliyet bu kapsamı gerektiriyorsa).

Madde 5 — İşleme Süresi

DoWaba, kişisel verileri Sözleşme'nin yürürlükte olduğu süre boyunca ve makul saklama dönemi boyunca işler. Hizmet sözleşmesi sona erdiğinde Müşteri'nin geçerli yazılı talimatı doğrultusunda iade veya imha süreci işletilir; yasal saklama yükümlülüğüne ya da hukuki muhafaza ihtiyacına tabi olanlara (vergi, tüketici hukuku, iletişim ihtilafı kayıtları) erişim kısıtlanır ve bu veriler riske uygun teknik ve idari tedbirlerle yalnızca gereken süre boyunca tutulur.

Uygulanabilir saklama süreleri ve Müşteri tarafından değiştirilebilen ayarlar, ilgili özelliğin panelinde veya güncel hizmet belgelerinde gösterilir. Müşteri kontrolü yalnızca panelde fiilen sunulan alanlar ve izin verilen sınırlarla sınırlıdır. Sesli görüşmelerde çağrı sesi, teknik altyapı gereği çağrı süresince geçici olarak kayda alınır; seçili gizlilik modu kalıcılaştırmaya izin vermiyorsa bu geçici teknik kayıt, içeriği okunmadan çağrı sonunda otomatik olarak imha edilir. Bu geçici kayıt, Telefon ve Yapay Zekâ Görüşmeleri Gizlilik Politikası'nda tanımlanan saklama modlarının kapsamını genişletmez.

Madde 6 — İşleme Amacı

DoWaba, Sözleşme kapsamındaki kişisel verileri yalnızca aşağıdaki amaçlarla ve Müşteri'nin yazılı / panel düzeyindeki talimatları doğrultusunda işler:

• Hizmet'in sunulması (mesaj iletimi, çağrı yönlendirme, otomasyon),
• Hizmet kalitesinin izlenmesi ve hata teşhisi,
• Bilgi güvenliği, dolandırıcılık tespiti, hizmet kötüye kullanımı önleme,
• Yasal yükümlülüklerin yerine getirilmesi.

DoWaba; Müşteri verilerini kendi pazarlama, profil oluşturma veya çapraz satış amaçlarıyla kullanamaz. Hizmet kalitesini iyileştirmek amacıyla üretilen istatistikler kümülatif ve anonim biçimde tutulur.

Madde 7 — Veri Sorumlusu'nun (Müşteri) Yükümlülükleri

Müşteri, Veri Sorumlusu sıfatıyla aşağıdaki yükümlülükleri kabul ve taahhüt eder:

1. KVKK m. 10 aydınlatma yükümlülüğü. Son kullanıcılarına Hizmet kapsamında yapılan veri işlemeyi, hangi kanaldan ve hangi amaçla işlendiğini açıkça bildirmek; gerektiğinde DoWaba tarafından sağlanan örnek aydınlatma şablonlarını uyarlayarak kullanmak.
2. Açık rıza yönetimi. Pazarlama, ticari elektronik ileti veya rıza gerektiren diğer faaliyetler için son kullanıcıdan KVKK m. 5/1 ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile İYS uyumlu şekilde açık rıza almak.
3. Hukuka uygun işleme dayanağı. Her işleme faaliyeti için KVKK m. 5 / m. 6 dayanağına sahip olduğunu kontrol etmek.
4. VERBİS kaydı. Yükümlülük sınırlarını aşması hâlinde veri envanterini ve VERBİS kaydını güncel tutmak.
5. Yetkili kullanıcı yönetimi. Panel üzerinde verilen yetkileri ihtiyaç ölçüsünde ve need-to-know prensibine göre dağıtmak; ayrılan personelin yetkisini iptal etmek.
6. İçerik kontrolü. Müşteri, panele yüklediği içeriklerin (broadcast mesajı, otomatik yanıt, anons) hukuka uygunluğundan kendisi sorumludur.
7. Aydınlatma anons profili. Sesli görüşmelerde ilk katman aydınlatmasının kapsamını belirleyen anons profilini ve mesajlaşma kanallarında yazılı ilk katman aydınlatmasını panelden yönetmek. Platform varsayılanı kısa ilk katmandır; kısa anonsun kullanılması Müşteri'nin tercihi ve sorumluluğundadır ve Müşteri dilediği zaman panelden ayrıntılı (tam metin) anons biçimine geçebilir. Müşteri, ilk katmanın kendi somut faaliyeti, çağrı türü ve muhatap grubu bakımından KVKK m. 10 aydınlatma yükümlülüğünü karşılayıp karşılamadığını değerlendirir; bu yükümlülüğün tam ve usulüne uygun ifası — kendi web sitesi ve başvuru kanallarında tam aydınlatma metnini erişilebilir kılmak dâhil — münhasıran Müşteri'ye aittir. Müşteri, platformda beyan ettiği işletme adı, gizlilik modu, hukuki sebep ve saklama süresi bilgilerinin doğruluğundan sorumludur. DoWaba bu seçimi Müşteri'nin belgelenmiş talimatı olarak uygular, profilin yeterliliğini Müşteri adına beyan etmez ve 6698 sayılı Kanun kapsamında veri işleyen sıfatıyla yalnız teknik altyapıyı sağlar; talep üzerine verilen ayrıntılı katman tüm hatlarda ve kanallarda açıktır ve kapatılamaz. Profil ayrımının ve mesajlaşma kanallarındaki kademeli aydınlatmanın kapsamı, asgari unsurları ve sınırları Telefon ve Yapay Zekâ Görüşmeleri Gizlilik Politikası'nda düzenlenir.

Madde 8 — Veri İşleyen'in (DoWaba) Yükümlülükleri

DoWaba, Veri İşleyen sıfatıyla aşağıdaki yükümlülükleri kabul ve taahhüt eder:

1. Talimata bağlılık. Yalnızca Müşteri'nin yazılı talimatları (sözleşme, panel konfigürasyonu, API çağrıları) doğrultusunda işleme yapmak; mevzuat gereği işleme zorunluluğu doğarsa, hukuken yasak olmadığı ölçüde Müşteri'yi bilgilendirmek.
2. Gizlilik. Verilere erişim yetkisi verilen kişileri erişim ihtiyacıyla sınırlamak ve bu kişileri sözleşme, iç politika veya mevzuattan doğan uygun gizlilik yükümlülüklerine tabi tutmak; uygulanabildiği ölçüde bu yükümlülüklerin erişim veya iş ilişkisi sona erdikten sonra da devam etmesini sağlamak.
3. Teknik ve idari tedbirler (TOM). KVKK m. 12 kapsamında; işlemenin niteliği ve riski, teknolojinin güncel seviyesi ve uygulama maliyetiyle orantılı, dokümante edilmiş tedbirleri uygulamak. DoWaba, ilgili bileşende fiilen devrede ve uygulanabilir olduğu ölçüde aktarım sırasında şifreleme, en az yetki / RBAC, erişim ve denetim kayıtları, yedekleme-kurtarma, izleme ve zafiyet yönetimi gibi kontrolleri risk değerlendirmesine göre seçer. Bu hüküm, her veri deposunun saklama sırasında şifrelendiği veya belirli periyotla bağımsız sızma testi tamamlandığı yönünde genel bir beyan oluşturmaz.
4. Alt işleyen kullanımı. Fiilen kullanılabilecek alt işleyenlerin güncel listesini yayımlamak ve planlanan önemli değişiklikleri, uygulanabilir olduğu ölçüde makul süre önce panel veya e-posta yoluyla bildirmek. Acil güvenlik, mevzuat veya sağlayıcı kaynaklı değişikliklerde bildirim süresi daha kısa olabilir ya da bildirim değişiklikle eş zamanlı yapılabilir. Müşteri, somut veri koruma gerekçesiyle yazılı itirazda bulunabilir; taraflar alternatif yapılandırma veya sağlayıcı imkânını iyi niyetle değerlendirir. Fesih ve ücret sonuçları asıl Hizmet sözleşmesine ve emredici hukuka tabidir; bu madde koşulsuz ücretsiz fesih hakkı vermez.
5. İlgili kişi başvurularına destek. Müşteri'nin son kullanıcılarından gelen KVKK m. 11 başvurularına Müşteri'nin yanıt verebilmesi için makul ve uygun teknik destek sağlamak.
6. Veri ihlali bildirimi. Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde, makul olmayan gecikme olmaksızın ve o anda mevcut bilgiler ölçüsünde Müşteri'yi yazılı olarak bilgilendirmek; inceleme ilerledikçe ek bilgi sağlamak.

Madde 9 — Yurt Dışı İşleme ve Aktarım Güvencesi

Hizmetin etkinleştirilen özelliğine ve seçilen sağlayıcıya göre kişisel veriler; Almanya'daki Hetzner Online GmbH altyapısında ve Google LLC (Gemini hizmetleri dahil), OpenAI, L.L.C., Anthropic PBC veya Meta Platforms Inc. gibi yurt dışındaki teknik sağlayıcılar nezdinde işlenebilir. Bu liste fiili sağlayıcı ihtimalini açıklar; herhangi bir sağlayıcıyla KVKK standart sözleşmesinin imzalandığına, Kuruma bildirim yapıldığına veya yeterlilik kararı bulunduğuna dair beyan oluşturmaz.

• Düzenli ve süreklilik gösteren yurt dışı aktarım, ancak o aktarım için KVKK m. 9 kapsamında gerçekten uygulanabilir bir yol (yeterlilik kararı veya kurulmuş uygun güvence gibi) mevcutsa başlatılabilir.
• İlgili kişinin açık rızası, Kanundaki arızi aktarım istisnasının şartları varsa değerlendirilebilir; düzenli Voice / AI aktarımı için tek başına genel bir güvence olarak kullanılamaz.
• Bu B2B-DPA, yurt dışı aktarım yetkisini kendiliğinden oluşturmaz. Müşteri'nin kendi yapay zekâ sağlayıcı hesabı veya API anahtarıyla etkinleştirdiği Voice/AI özelliklerinde, sağlayıcıyla hizmet ve veri işleme ilişkisinin tarafı Müşteri'dir; KVKK m.9 kapsamındaki uygun mekanizmanın belirlenmesi, kurulması ve gerekli bildirimlerin yapılması Müşteri'nin (veri sorumlusunun) yükümlülüğündedir. DoWaba bu anahtarı yalnız Müşteri'nin talimatı doğrultusunda teknik olarak kullanır ve aktivasyon sırasında bu sorumluluk düzenini panel beyanıyla kayıt altına alır.
• Müşteri, fiilen etkinleştirilen sağlayıcıları ve aktarım şartlarını kendi son kullanıcılarına doğru ve güncel biçimde açıklamak; kendi veri sorumlusu yükümlülüklerini yerine getirmekle yükümlüdür.
• Sesli görüşmelerde platform varsayılanı olan kısa anons profilinde ve mesajlaşma kanallarındaki kısa ilk katmanda, açık rıza dışındaki hukuki sebeplerde yurt dışında işleme (sesli görüşmelerde anlık işleme) bilgisi ilk katmandan çıkarılıp talep üzerine aynı çağrı veya yazışma içinde verilen ayrıntılı katmana taşınır; bu katman tüm hatlarda ve kanallarda açıktır ve kapatılamaz. Bu tercih aktarımın kendisini, kapsamını veya Müşteri'nin bu madde kapsamındaki KVKK m. 9 yükümlülüklerini değiştirmez. Açık rızaya dayanan hat ve kanallarda yurt dışı bilgisi, kısa biçimde de rıza alınmadan önce ilk katmanda verilir.

DoWaba, bu sorumluluk düzeninin yürürlük kaydını ve platform kapısının açılış dayanağını denetlenebilir operasyon kaydında tutar. Bu metin, DoWaba veya Müşteri tarafından kurulmuş bir standart sözleşme ya da yapılmış bir bildirim bulunduğu beyanı değildir.

Madde 10 — Veri İhlali Bildirimi

DoWaba; Müşteri verilerini etkileyen kişisel veri ihlalini öğrendiğinde, makul olmayan gecikme olmaksızın Müşteri'yi yazılı olarak (e-posta veya panel bildirimi) bilgilendirir. İlk bildirim, o anda makul olarak mevcut bilgilerle yapılabilir ve inceleme ilerledikçe tamamlanır. Bildirim, mevcut olduğu ölçüde şunları içerir:

• İhlalin niteliği,
• Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı,
• Olası sonuçlar,
• Alınmış / alınacak tedbirler,
• DoWaba veri irtibat kişisinin iletişim bilgisi.

Müşteri; KVKK Kurulu'na ve etkilenen ilgili kişilere yapılacak bildirimden Veri Sorumlusu sıfatıyla kendisi sorumludur. DoWaba bu süreçte makul teknik destek sağlar.

KVKK Kurulu uygulamasındaki 72 saatlik süre, veri sorumlusunun Kurula bildirimine ilişkindir; bu hüküm DoWaba'nın Müşteri'ye her olayda eksiksiz bildirimi kesin olarak 72 saat içinde tamamlayacağı yönünde ayrı bir garanti oluşturmaz.

Madde 11 — Denetim Hakkı

Müşteri, DoWaba'nın bu B2B-DPA kapsamındaki yükümlülüklerini yerine getirdiğini göstermek için makul ölçüde gerekli bilgi ve belgeleri yazılı olarak isteyebilir. DoWaba bu talebi öncelikle güncel politika ve tedbir özetleri, ilgili kayıt özetleri ve mevcutsa bağımsız üçüncü taraf raporlarıyla makul ölçüde karşılar. İlave denetim şu kurallara tabidir:

• Talep, Müşteri verileri ve bu Sözleşme kapsamındaki yükümlülüklerle sınırlı, gerekçeli ve ölçülü olmalıdır.
• Uzaktan ve belge üzerinden inceleme önceliklidir. Yerinde veya bağımsız üçüncü taraf denetimi; emredici hukuk gerektiriyorsa, önemli bir ihlal yaşanmışsa ya da belgeli ciddi bir endişe makul biçimde giderilememişse ve taraflar kapsam, zaman, yöntem ve maliyeti önceden yazılı olarak kararlaştırırsa yapılabilir.
• Denetim; başka müşterilerin verilerine, kaynak koda, kimlik bilgilerine veya açıklanması güvenliği zayıflatabilecek bilgilere erişim vermez; uygun gizlilik yükümlülüğüne tabidir.
• Denetim normal iş saatlerinde ve Hizmet'i makul olmayan biçimde aksatmadan yürütülür. Emredici hukuk veya DoWaba'ya atfedilebilir doğrulanmış önemli ihlal aksini gerektirmedikçe denetim maliyetleri Müşteri'ye aittir.

Madde 12 — Sözleşme Sonu

Hizmet sözleşmesi sona erdiğinde ve Müşteri geçerli yazılı talepte bulunduğunda DoWaba; emredici saklama yükümlülükleri, hukuki muhafaza gereksinimleri, yedekleme döngüleri, teknik bağımlılıklar ve ürünün o tarihteki dışa aktarma imkânları saklı kalmak üzere iade veya imha sürecini makul olmayan gecikme olmaksızın başlatır ve makul operasyonel süre içinde yürütür:

• Teknik olarak sunulabilen veriler, o tarihte mevcut standart dışa aktarma formatlarından biriyle Müşteri'ye verilebilir.
• Aktif üretim kopyaları, belgelenmiş saklama ve imha işleri uyarınca silinir veya anonimleştirilir; kalan yedek kopyalar olağan yedek döngülerinde süresi doldukça kaldırılır.
• Yasal saklama veya hukuki muhafazaya tabi verilerin kullanımı ilgili amaçla sınırlandırılır, erişimi kısıtlanır ve riske uygun tedbirlerle korunur.

Müşteri'nin talebi üzerine DoWaba, sistem kayıtlarının elverdiği ölçüde işlemin kapsamını ve bilinen istisnaları belirten yazılı bir imha teyidi sağlayabilir. Bu hüküm, bağımsız denetçi tarafından düzenlenmiş bir imha sertifikası veya her teknik kopyanın belirli bir günde yok edildiği garantisi oluşturmaz.

Madde 13 — Sorumluluklar

Her taraf, kendi sıfatıyla yürüttüğü işleme faaliyetlerinden ve kendi yükümlülüklerinin ihlalinden kendisi sorumludur. KVKK m. 12 kapsamında ortaya çıkabilecek paylaşılan sorumluluk durumları saklıdır.

DoWaba, Müşteri'nin son kullanıcılarına yönelik aydınlatma, açık rıza ve diğer Veri Sorumlusu yükümlülüklerinin yerine getirilmemesinden sorumlu değildir.

Madde 14 — Sigorta ve Tazminat

• Müşteri; kendi son kullanıcılarından, panele yüklediği içeriklerden veya açık rıza yokluğundan kaynaklanan şikayet, KVKK Kurulu yaptırımı veya tazminat taleplerinden DoWaba'yı tazmin eder.
• DoWaba ise teknik altyapı kusuru, kendi alt işleyen yönetimi veya bu Sözleşme'deki kendi yükümlülüklerinin ihlalinden kaynaklı doğrudan zararlardan kendi sorumluluğu dahilinde sorumlu olur.
• Toplam sorumluluk sınırı, asıl Hizmet sözleşmesindeki sorumluluk hükümlerine tabidir.

Madde 15 — Çakışma Çözümü

İşbu Sözleşme ile Müşteri ve DoWaba arasındaki diğer sözleşmeler arasında çakışma olması hâlinde, kişisel veri işleme konularında bu B2B-DPA hükümleri öncelikli olarak uygulanır. Diğer hususlarda asıl Hizmet sözleşmesi geçerlidir.

Madde 16 — Yürürlük

Bu Sözleşme; Müşteri'nin DoWaba paneline kaydolması ve Hizmet sözleşmesini imzalamasıyla birlikte yürürlüğe girer ve Hizmet sözleşmesinin yürürlükte olduğu süre boyunca geçerli olur. DoWaba bu sözleşmeyi aşağıdaki koşullarla güncelleyebilir; yeni sürüm artan sürüm numarasıyla /legal/b2b-dpa adresinde yayımlanır ve panel üzerinde değişiklik bildirimi gösterilir.

DoWaba, mevzuat değişikliği, hizmet kapsamının değişmesi veya makul ticari sebeple bu metni güncelleme hakkını saklı tutar. Değişiklikler yürürlüğe girmeden en az 15 gün, esaslı değişiklikler ise en az 30 gün önce Müşteri'ye e-posta ve/veya panel bildirimi ile duyurulur. Bildirimde değişen belgeler, yeni sürüm numarası ve belge özeti (SHA-256) yer alır.

Müşteri, bildirim süresi dolmadan önce panelden veya kvkk@dowaba.com adresine yazarak itiraz edebilir; itiraz hâlinde yeni sürüm o Müşteri bakımından kendiliğinden yürürlüğe girmez, taraflar çözümü iyi niyetle değerlendirir ve çözüm bulunamazsa Müşteri ilgili hizmeti sonlandırabilir. İtiraz edilmemişse ve bildirim süresi dolduktan sonra Müşteri hizmeti kullanmaya devam ediyorsa, bu kullanım yeni sürümün kabulü sayılır. Kabul; bildirim tarihi, bekleme süresi, kullanım kanıtı, sürüm numarası ve belge özeti ile birlikte denetim kaydına işlenir ve Müşteri panelden görebilir.

Bu hüküm yalnızca Müşteri (panel sahibi işletme) ile DoWaba arasındaki sözleşmesel ilişkiyi kapsar. Aranan veya arayan gerçek kişinin KVKK m.9 kapsamındaki açık rızası ya da m.10 kapsamındaki aydınlatması bu yolla kurulamaz; kullanmaya devam yoluyla kabul, Müşteri'nin ilgili kişilere karşı kendi yükümlülüklerinin yerine geçmez.

Sözleşme; Türkiye Cumhuriyeti hukukuna tabidir ve uyuşmazlıklarda Burdur Mahkemeleri ve İcra Daireleri yetkilidir.

İletişim: kvkk@dowaba.com — info@dowaba.com — https://dowaba.com