version: 3 effective_date: 2026-07-17 replaces: v2

Veri İşleme Sözleşmesi (DPA) — v3

Kapsam Notu: Bu metin, DoWaba'nın hizmet sunarken kullanabileceği alt işleyenlere ilişkin sözleşmesel ilkeleri açıklar. Müşteri'nin son kullanıcı verileri bakımından Müşteri Veri Sorumlusu, DoWaba Veri İşleyen'dir; bu ilişki güncel B2B-DPA v2 ile düzenlenir. Bu metin; herhangi bir sağlayıcı DPA'sının veya KVKK standart sözleşmesinin imzalandığı, Kuruma bildirildiği ya da bir yeterlilik kararının bulunduğu beyanı değildir. Sağlayıcıya özgü imzalı belgeler ve m.9 mekanizması ayrıca doğrulanır.

1. Taraflar ve Tanımlar

İşbu Veri İşleme Sözleşmesi ("DPA"), aşağıdaki taraflar arasında akdedilmiştir:

• Veri Sorumlusu: Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi ("DoWaba"), https://dowaba.com, Burdur / Türkiye, info@dowaba.com.
• Alt Veri İşleyen: İşbu DPA'nın akdedildiği üçüncü taraf hizmet sağlayıcı (Hetzner / Google / OpenAI / Anthropic / Meta / PayTR / SIP trunk operatörü vb.).

İşbu sözleşme; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), KVKK m. 12 (veri güvenliği), KVKK Kurulu'nun 2017/61 sayılı Kararı (Veri Sorumlusu — Veri İşleyen ayrımı), KVKK Kurulu'nun 2024/959 sayılı Kararı (yurt dışına aktarımda standart sözleşme), KVKK Kurulu'nun 2018/10 sayılı Kararı (özel nitelikli verilerde yeterli önlemler) ve uygulanabildiği ölçüde AB GDPR (2016/679) hükümleri dikkate alınarak düzenlenmiştir.

Tanımlar. "Kişisel Veri", "İşleme", "Veri Sorumlusu", "Veri İşleyen", "Açık Rıza" ve "İlgili Kişi" kavramları KVKK 6698 sayılı Kanun m. 3 anlamında kullanılmaktadır. "Hizmet", DoWaba'nın çok kanallı (WhatsApp, Instagram, Telegram, Mail, Messenger, Web Widget, Telefon AI Voice) iletişim ve otomasyon platformudur.

2. İşleme Konusu, Niteliği ve Amacı

Alt İşleyen, DoWaba'nın yazılı talimatları doğrultusunda DoWaba adına kişisel veri işler. İşleme konusu; sunucu altyapısı, AI çıkarsama (transkripsiyon/özet), mesajlaşma kanalları, ödeme tahsilatı veya telekomünikasyon altyapısı sağlamaktır.

Amaç: DoWaba Hizmet'inin sunulması, son kullanıcı verilerinin işlenmesi, depolanması, AI ile zenginleştirilmesi ve yasal yükümlülüklerin yerine getirilmesi.

3. Veri Kategorileri ve İlgili Kişi Grupları

Sözleşme kapsamında işlenebilecek veri kategorileri:

1. Kimlik verileri (ad, soyad, unvan)
2. İletişim verileri (telefon numarası, e-posta, kullanıcı adı, IP)
3. Görsel/işitsel veriler (telefon ses kayıtları, transkriptler)
4. Mesaj içerikleri (WhatsApp, IG, Telegram, mail vb.)
5. İşlem verileri (randevu, sipariş, sepet bilgisi — Müşteri tarafından entegre edilirse)
6. Ödeme referansları (kart bilgisi alt işleyen sahasında, DoWaba sahasında değil)

İlgili kişi grupları: DoWaba müşterileri (KOBİ panel sahipleri), Müşteri'nin son kullanıcıları (potansiyel müşteri, müşteri, abone, ziyaretçi).

4. İşleme Süresi

Alt İşleyen, kişisel verileri Hizmet sözleşmesinin yürürlükte olduğu süre boyunca işler. Sözleşme sona erdiğinde DoWaba'nın yazılı talimatına göre verileri imha eder veya iade eder; yasal saklama yükümlülüklerine tabi olanlar süre dolana kadar tutulur.

5. Veri Sorumlusu Talimatları

Alt İşleyen, DoWaba'nın belgelenmiş talimatları (sözleşme, panel konfigürasyonu, API çağrıları, yazılı yönergeler) dışında veri işleyemez. Mevzuat gereği işleme zorunluluğu doğarsa, hukuken yasak olmadığı ölçüde DoWaba'ya derhal bilgi verir.

DoWaba'nın talimatı KVKK veya ilgili mevzuata aykırılık taşıyorsa Alt İşleyen, bu durumu DoWaba'ya yazılı olarak bildirir; aykırılık devam ederse işlemeyi durdurma hakkını saklı tutar.

6. Gizlilik

Alt İşleyen; verilere erişen tüm personelinin yazılı gizlilik yükümlülüğüne tabi olmasını sağlar. Bu yükümlülük iş ilişkisinin sona ermesinden sonra da devam eder. Erişim need-to-know prensibine göre verilir.

7. Teknik ve İdari Tedbirlerin Kapsamı

Taraflar, KVKK m.12 uyarınca işleme ve riskle orantılı teknik ve idari tedbirleri belirler, uygular ve gözden geçirir. Erişim kontrolü, aktarım güvenliği, loglama, anahtar yönetimi, yedekleme, olay müdahalesi ve tedarikçi değerlendirmesi uygulanabilir kontroller arasındadır.

Bu liste; her veri, sağlayıcı veya depolama katmanında aynı kontrolün bulunduğu, tüm verilerin at-rest şifreli olduğu, belirli sertifika ya da sızma testinin mevcut olduğu yönünde mutlak garanti değildir. Uygulanan kontroller yalnız güncel ve doğrulanmış teknik/operasyon kaydıyla beyan edilir.

8. Alt İşleyen Kullanımı

Alt işleyen kullanımı, veri sorumlusunun talimatı ile yürürlükteki sözleşme ve mevzuata göre yönetilir. Liste değişikliği bildirimi, itiraz, denetim ve alt zincir yükümlülüklerinin kapsamı ve süreleri fiilen akdedilmiş müşteri/sağlayıcı sözleşmesine göre belgelenir. Bu metin tek başına sabit 30 günlük süre veya belirli bir sağlayıcı sözleşmesinin mevcut olduğu taahhüdünü oluşturmaz.

9. Yurt Dışına Aktarım ve Alt İşleyen Doğrulaması

Etkinleştirilen özelliğe göre Hetzner Online GmbH, Google LLC, OpenAI, L.L.C., Anthropic PBC veya Meta Platforms Inc. gibi yurt dışındaki sağlayıcılar kullanılabilir. Bir sağlayıcının listelenmesi, her müşteri veya çağrıda kullanıldığı ya da o sağlayıcı için aktarım mekanizmasının kurulmuş olduğu anlamına gelmez.

Düzenli ve süreklilik gösteren aktarım, ancak ilgili sağlayıcı, ürün ve veri akışı için KVKK m.9 kapsamında gerçekten uygulanabilir bir yol kurulup Hukuk ve Operasyon tarafından denetlenebilir referansla kaydedildikten sonra başlatılır. DoWaba Voice, Google Gemini Voice veya OpenAI Realtime Voice seçilmiş olsa dahi bu doğrulama tamamlanana kadar platform düzeyinde fail-closed kalır.

Müşterinin panel kabulü, arayanın çağrı-bazlı açık rızası veya görüşmeye devam edilmesi bu platform aktarım kapısını açmaz. Arızi aktarım istisnasındaki açık rıza, düzenli Voice/AI aktarımının genel güvencesi yapılamaz. Ticari şartlar, sağlayıcı DPA'sı veya bu metin tek başına KVKK m.9 aktarım yetkisi oluşturmaz. İmzalı sözleşme, Kurum bildirimi, sağlayıcı bölgesi ve eğitim/iyileştirme kullanımı hakkında yalnız doğrulanmış ve arşivlenmiş kayıtlar esas alınır.

10. Veri İhlali İş Birliği

Alt işleyen, kişisel veri ihlalini öğrendiğinde uygulanabilir mevzuat ve yürürlükteki sözleşmede belirlenen şekilde gereksiz gecikme olmaksızın ilgili tarafa bilgi verir ve olayın niteliği, etkisi ve alınan tedbirlere ilişkin mevcut bilgileri sağlar.

Belirli bir 24/72 saat süresi, yalnız gerçekten uygulanabilir yasal yükümlülük veya imzalı sözleşme kapsamı doğrulandıktan sonra taahhüt edilir. Kurum ve ilgili kişi bildirimini yapacak taraf ile süre, somut olay ve rol dağılımına göre hukuk danışmanıyla belirlenir.

11. Denetim ve Bilgi Hakkı

Denetim ve bilgi talepleri; uygulanabilir mevzuat, fiilen yürürlükteki sözleşme, güvenlik ve diğer müşterilerin gizliliği dikkate alınarak makul yöntemle karşılanır. Sertifika, bağımsız rapor, yazılı soru veya mutabık kalınan inceleme kullanılabilir. Bu metin tek başına sınırsız yerinde denetim ya da sabit sıklık hakkı yaratmaz.

12. Sözleşme Sonu — İade, Silme veya Anonimleştirme

Sözleşme sona erdiğinde veri, veri sorumlusunun hukuka uygun talimatı, uygulanabilir mevzuat, teknik yedek döngüsü ve doğrulanmış imha kabiliyetine göre iade edilir, silinir veya anonimleştirilir. Kesin süre ve imha belgesi ancak ilgili veri sınıfı ve operasyon süreci doğrulanarak taahhüt edilir. Kanunen saklanması gereken kayıtlar kendi geçerli süreleri boyunca erişimi sınırlandırılmış şekilde tutulur.

13. Sorumluluklar

Alt İşleyen; işbu DPA'ya aykırılıktan, KVKK ve uygulanabilir mevzuatın ihlalinden, gizlilik yükümlülüğünün çiğnenmesinden ve teknik tedbirlerdeki zafiyetten doğan zararlardan DoWaba'ya karşı sorumludur. KVKK m. 12/4 uyarınca veri ihlalinden doğan idari para cezalarının muhatabı kanuni olarak Veri Sorumlusu (DoWaba) olsa da, ihlalin Alt İşleyen kaynaklı olduğunun ispatı halinde rücu hakkı saklıdır.

DoWaba, kendi talimatlarındaki hatalardan, kötü konfigürasyondan ve son kullanıcılarına yönelik aydınlatma yükümlülüğünün ihlalinden Alt İşleyen'e karşı sorumludur.

14. Uygulanabilir Hukukun Belirlenmesi

İşleme ve aktarıma uygulanacak hukuk; ilgili kişi, tarafların rolleri, faaliyet, kuruluş yeri ve somut veri akışına göre belirlenir. Bir sağlayıcının AB'de bulunması veya GDPR'a tabi olması, Müşteri'nin ya da tüm ilgili kişilerin kendiliğinden GDPR kapsamına girdiği anlamına gelmez. KVKK kapsamındaki yükümlülükler ayrıca yerine getirilir; çatışma veya ek yükümlülük bağımsız hukuk danışmanıyla değerlendirilir.

15. Çözüm Sırası ve Yetkili Mahkeme

Taraflar arasındaki uyuşmazlıklar öncelikle iyi niyetli müzakere ile çözülmeye çalışılır. Çözülemeyen uyuşmazlıklar Türk Hukuku'na göre Burdur Mahkemeleri ve İcra Dairelerinde görülür. Yurt dışı alt işleyenler için tarafların ayrıca üzerinde mutabık kaldığı tahkim/jürisdiksiyon hükümleri saklıdır.

16. Yürürlük

İşbu DPA, taraflarca elektronik veya ıslak imzalı şekilde kabul edildiği tarihte yürürlüğe girer ve Hizmet sözleşmesinin yürürlükte olduğu süre boyunca devam eder. DPA hükümleri, Hizmet sözleşmesi sona erse dahi yasal saklama ve imha yükümlülükleri tamamlanana kadar geçerliliğini korur.

17. İmza, Kabul ve Aktarım Belgesi

Tarafların elektronik veya ıslak imzalı kabulü, yalnız imzaladıkları sözleşme metni ve taraf rolleri için delil oluşturur. Müşterinin bu metni kabul etmesi, bir yurt dışı sağlayıcının DPA veya KVKK standart sözleşmesini imzaladığı anlamına gelmez.

Bir KVKK m.9 belgesi gerçekten akdedilirse uygulanabilir bildirim ve kayıt adımları, somut modül/roller ve yürürlükteki mevzuata göre hukuk danışmanı tarafından teyit edilen süre içinde tamamlanır ve denetlenebilir referansla arşivlenir.

Sürüm ve Yürürlük

• Sürüm: v3 (v2'nin yerine geçer; önceki sürüm hash'leri denetim kayıtlarında korunur)
• Yürürlük Tarihi: 17 Temmuz 2026
• İletişim: info@dowaba.com — KVKK talepleri: kvkk@dowaba.com — Panel: https://dowaba.com/kvkk-talep
• Uyuşmazlık: Türk Hukuku — Burdur Mahkemeleri ve İcra Daireleri

Bu metin bağımsız hukuki danışmanlık ihtiyacını ortadan kaldırmaz. Özellikle KVKK m.9 aktarım mekanizması, sağlayıcı/ürün kapsamı ve gerekli bildirimler bağımsız hukuk danışmanı tarafından doğrulanmadan Voice aktarım kapısı açılmamalıdır.