Yasal

Telefon ve Yapay Zekâ Görüşmeleri Aydınlatma Metni (GDPR / UK GDPR)

Sürüm: v2

version: 2 effective_date: 2026-08-24 replaces: v1 amendment_clause: continued-use-v1

Telefon ve Yapay Zekâ Görüşmeleri Aydınlatma Metni (GDPR / UK GDPR) — v2

Hangi mevzuat uygulanır: bu metin, çağrı ve mesajları AB Genel Veri Koruma Tüzüğü (GDPR) ya da Birleşik Krallık Genel Veri Koruma Tüzüğü (UK GDPR) kapsamına giren işletmeler için yazılmıştır; işletme için hangisi uygulanabilirse o geçerlidir. Bu metnin konusu bakımından iki rejim aynı yükümlülükleri getirir; ayrıldıkları yerde fark açıkça belirtilir (örneğin 10. bölümdeki denetim otoritesi). Türk veri koruma mevzuatına tabi işletmeler bu belge yerine /legal/kvkk-aydinlatma adresindeki KVKK metnini kullanır.

1. Belgenin Niteliği ve Tarafların Rolleri

Bu belge, DoWaba Voice hizmetinin teknik gizlilik seçeneklerini ve hizmeti kullanan işletmenin yükümlülüklerini açıklar. Bu belgeyi panelde kabul eden işletme kullanıcısının kabulü, aranan veya arayan gerçek kişiye yapılması gereken bilgilendirmenin ya da alınması gereken rızanın yerine geçmez.

Çağrının amaç ve vasıtalarını — amacını, hukuki dayanağını, saklama politikasını ve alıcılarını — belirleyen işletme veri sorumlusudur (GDPR m. 4(7)). DoWaba — Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi, Burdur, Türkiye, info@dowaba.com — hizmeti işletmenin belgelenmiş talimatları doğrultusunda sunduğu ölçüde veri işleyen (m. 4(8)) sıfatıyla hareket eder. İşletme hizmeti bir bayi üzerinden aldıysa, müşteriye bakan sağlayıcı bayidir; bayi, müşterisinin belgelenmiş talimatını uyguladığı sürece yetkili yönetici/veri işleyen, DoWaba ise alt işleyen olur. Bayi, amaç ve vasıtalarını kendisi belirlediği faaliyetler bakımından veri sorumlusu hâline gelir. Sıfatlar sözleşmedeki addan değil, fiilî veri işleme faaliyetinden doğar.

M. 28(3)'ün aradığı işleme şartları, hizmet ilişkisinin ayrılmaz parçası olan /legal/gdpr-dpa adresindeki veri işleme sözleşmesinde düzenlenmiştir.

2. Zorunlu Katmanlı Aydınlatma

Her Voice çağrısında, çağrı içeriği kalıcı olarak saklanmadan önce kısa bir ilk katman işletmeyi tanıtır, karşı tarafın bir yapay zekâ asistanıyla konuştuğunu belirtir ve seçili saklama modunu açıklar. Bu katman önceden kaydedilmiş bir anons ya da tuşlu menü değildir; görüşmeyi yürüten yapay zekâ sesi tarafından doğal biçimde söylenir. Hukuki çekirdeği sabittir, atlanamaz ve model tarafından serbestçe yeniden yazılamaz. İşletme kimliği, yapay zekâ olma bilgisi ve kayıt/deşifre durumu kapatılamaz.

Ayrıntılı aydınlatma, m. 13-14'ün aradığı unsurları içerir: veri sorumlusunun (varsa temsilcisinin ve veri koruma görevlisinin) kimliği ve iletişim bilgileri, kişisel veri kategorileri, işleme amaçları ve hukuki dayanakları, alıcılar veya alıcı grupları, varsa yurt dışı aktarım ve dayanılan güvence, saklama süresi, ilgili kişinin hakları, denetim otoritesine şikâyet hakkı ve veriler ilgili kişiden alınmamışsa verinin kaynağı. Metin işletmenin fiilî faaliyetini ve sağlayıcılarını yansıtmalıdır; başka bir veri sorumlusunun metni uyarlanmadan kopyalanamaz.

2.1 Aydınlatma Profilleri: Katmanlı Metnin İki Biçimi

İlk katmanın kapsamı, veri sorumlusunun panelden seçtiği aydınlatma profiline göre değişir. Kısa profil platform varsayılanıdır; ayrıntılı (tam metin) biçimi tercih eden veri sorumlusu panelden standart profile geçebilir. Her iki profilde de katmanlı yapı korunur: yalnız ilk katman kısalır, ayrıntılı katmanın unsurları hiçbir zaman azaltılmaz.

Her iki profilde de ilk katmanın asgari unsurları aynıdır ve kapatılamaz: veri sorumlusu işletmenin adı, karşı tarafın bir yapay zekâ asistanıyla konuştuğu ve seçili moda uygun kayıt/deşifre durumu.

2.2 Mesajlaşma Kanallarında Katmanlı Aydınlatma

Mesajlaşma kanallarında (WhatsApp, Instagram, Messenger, Telegram, e-posta ve web widget'ı) aynı katmanlı mantık yazılı biçimde uygulanır: görüşmenin ilk mesajı işletmeyi tanıtır, cevabın bir yapay zekâ asistanı tarafından üretildiğini belirtir ve ayrıntılı aydınlatmaya bağlantı verir. Bağlantı veri sorumlusunun kendi metnidir; platform onun yerine kendi metnini koymaz.

3. Gizlilik Modları

Veri sorumlusu panelden site başına üç moddan birini seçer ve mod yalnız politikayla değil platformca teknik olarak uygulanır:

Veri minimizasyonu (m. 5(1)(c)) böylece bir niyet beyanı değil, teknik etkisi olan bir yapılandırma seçimidir.

4. Hukuki Dayanak ve Rıza

Hukuki dayanağı veri sorumlusu seçer. Uygulamada kullanılan dayanaklar şunlardır:

Özel nitelikli kişisel verilerin (m. 9) gerçekçi biçimde gündeme gelebileceği hâllerde — örneğin bir klinik hattında sağlık verisi — veri sorumlusu, kayıt veya deşifre başlamadan önce m. 6 dayanağına ek olarak m. 9(2) şartlarından birini belirlemek zorundadır. Böyle bir şart yoksa uygun yapılandırma no_retention modudur.

Madde 8'in uygulandığı hâllerde — yani bir bilgi toplumu hizmetinin doğrudan çocuğa sunulduğu ve işlemenin rızaya dayandığı hâllerde — veri sorumlusu, uygulanabilir yaş eşiği ve ebeveyn yetkilendirmesi şartlarına uyar. Çocukları ilgilendiren diğer işleme faaliyetleri; uygulanabilir hukuki dayanak, hakkaniyet, şeffaflık, veri minimizasyonu ve koruma yükümlülükleri çerçevesinde değerlendirilir. Platform çocuklara yönelik tasarlanmamıştır; çocuk verisinin işlenmesine karar veren ve şartlarını sağlaması gereken taraf veri sorumlusudur. Çocuklara ait kişisel veriler, SCC Ekleri Ek I'deki kapsam beyanında açıkça bildirilmedikçe platforma verilmez.

5. İtiraz, Geri Alma ve Tercih Değişikliği

Arayan, çağrının herhangi bir anında kayda itiraz edebilir. Platform itiraz için sözlü bir yol sunar: o andan itibaren çağrı no_retention modunda sürer, o çağrı için o ana kadar oluşturulmuş içerik imha edilir ve itiraz denetim izine yazılır. İşleme rızaya dayanıyorsa, rızayı geri almak vermek kadar kolaydır ve ileriye etkili sonuç doğurur.

Tercih değişikliği, pazarlama aramalarından çıkarılma ya da 10. bölümdeki herhangi bir hakkın kullanılması talepleri veri sorumlusunca karşılanır. DoWaba veri işleyen sıfatıyla talebi veri sorumlusuna iletir ve ona yardımcı olur (m. 28(3)(e)); talep hakkında kendisi karar vermez.

6. Saklama ve İmha

recorded ve transcript_only modlarındaki kalıcı içerik, site için yapılandırılan sürenin sonunda otomatik olarak imha edilir. Varsayılan süre 90 gündür; veri sorumlusu gerekli ve ölçülü olduğu ölçüde bu süreyi panelden değiştirebilir. Mesajlaşma kanallarındaki mesaj içeriği de varsayılan olarak 90 gün sonunda imha edilir. no_retention modunda hiçbir kalıcı içerik oluşmaz.

Panelde gösterilen süre ile otomatik imhanın uyguladığı süre aynı alandan yönetilir; böylece yayınlanan süre ile teknik davranış birbirinden ayrışamaz. Silme talebi ya da kayda itiraz, olağan sürenin dolmasından önce imhayı gerektirebilir. Başka mevzuat gereği saklanması zorunlu kayıtlar — örneğin fatura ve muhasebe kayıtları — o mevzuatın öngördüğü süre boyunca saklanır ve talep üzerine silinmez; bu saklama yalnız ilgili kayıtlarla sınırlıdır, çağrı içeriğine yayılmaz.

7. Yapay Zekâ Sağlayıcıları ve Yurt Dışı Aktarım

Sesin ve mesajların geçici işlenmesi, seçili yapay zekâ sağlayıcısı üzerinden yapılır. Fiilî sağlayıcı ve işleme bölgesi site yapılandırmasına bağlı olduğu için bu metin belirli bir sağlayıcının kullanıldığına dair sabit bir iddia içermez ve veri sorumlusu adına belirli bir aktarım aracının “imzalanmış olduğu” beyanında bulunmaz. Veri sorumlusunun kendi ayrıntılı aydınlatması, çağrılarında fiilen kullanılan sağlayıcıları listeler.

Yapay zekâ işlemesi kural olarak işletmenin panelde tanımladığı kendi sağlayıcı hesabı veya API anahtarı üzerinden yürür; bu hâlde sağlayıcıyla hizmet ve veri işleme ilişkisinin tarafı işletmedir ve DoWaba anahtarı yalnız işletmenin talimatıyla kullanır.

Hizmet altyapısı (uygulama sunucuları, veri tabanları ve nesne depolama) Almanya'da (AB) işletilmektedir. Veri sorumlusunun seçtiği sağlayıcıya göre geçici işleme Amerika Birleşik Devletleri'nde veya başka bir üçüncü ülkede de gerçekleşebilir.

Üçüncü ülkeye aktarım söz konusu olduğunda, veri sorumlusu işleme başlamadan önce geçerli bir Bölüm V aktarım mekanizması belirlemek ve sürdürmek zorundadır: yeterlilik kararı (m. 45), standart sözleşme hükümleri (m. 46(2)(c)) veya başka uygun bir güvence; güvence standart hükümlere dayanıyorsa aktarım etki değerlendirmesiyle birlikte. UK GDPR'a tabi aktarımlarda karşılık gelen araçlar Uluslararası Veri Aktarım Sözleşmesi (IDTA) ya da AB standart sözleşme hükümlerine eklenen UK Ek Belgesidir. DoWaba'nın veri sorumlusunun talimatıyla gerçekleştirdiği aktarımlarda, talep üzerine standart hükümlerin ilgili modülü (ya da IDTA/Ek Belge) veri sorumlusuyla akdedilir ve eşdeğer şartlar alt işleyenlere aktarılır.

Aydınlatmayı dinlemiş olmak, görüşmeye devam etmek veya çağrı düzeyinde rıza vermek, veri sorumlusunun kendi aktarım yükümlülüğünün yerine geçmez.

8. Talimat, Güvenlik ve Denetim

DoWaba kişisel verileri yalnız veri sorumlusunun belgelenmiş talimatı doğrultusunda işler, personelini gizlilik yükümlülüğü altında tutar ve riske uygun teknik ve idari tedbirleri uygular (m. 32): aktarım sırasında şifreleme, kiracı bazlı erişim denetimi, hukuken önemli işlemlerin denetim kaydı ve hizmet bileşenleri arasında görev ayrılığı bunlara dâhildir.

Kullanılabilecek alt işleyenlerin güncel listesi /legal/alt-isleyenler adresinde yayımlanır. Bu listede yapılacak değişiklikler veri sorumlusuna bildirilir ve veri işleme sözleşmesi uyarınca itiraz edilebilir.

Aydınlatmada yayımlanan kimlik ve iletişim bilgilerinin doğruluğundan, panele erişim verilen kullanıcılardan ve verilen talimatların içeriğinden veri sorumlusu ve — varsa onun adına hareket eden bayi — sorumludur.

9. Giden Pazarlama Aramaları ve Mesajları

Telefon, elektronik posta veya mesajlaşma kanalıyla yapılan doğrudan pazarlama, /legal/eprivacy-marketing adresindeki ayrı elektronik pazarlama kurallarına tabidir (ilgili üye devlette uygulandığı şekliyle e-Gizlilik Direktifi; Birleşik Krallık'ta Gizlilik ve Elektronik Haberleşme Yönetmeliği). Bu kurallar m. 6 kapsamındaki hukuki dayanağa ek olarak uygulanır — geçerli bir GDPR dayanağı tek başına pazarlama araması veya mesajı yapmaya yetki vermez.

10. İlgili Kişinin Hakları ve Şikâyet

İlgili kişilerin erişim (m. 15), düzeltme (m. 16), silme (m. 17), işlemenin kısıtlanması (m. 18), veri taşınabilirliği (m. 20) ve itiraz (m. 21) hakları vardır; hukuki sonuç doğuran ya da benzer biçimde önemli etkiler yaratan, yalnızca otomatik işlemeye dayanan bir karara tabi olmama hakkı da bunlara dâhildir (m. 22). Platformun sunduğu yapay zekâ asistanı görüşme yürütür ve bilgi hazırlar; veri sorumlusu bunu hukuki sonuç doğuran ya da benzer biçimde önemli etkili bir karar vermek için kullanıyorsa insan müdahalesi, açıklama ve karara itiraz imkânı sağlamak zorundadır.

Talepler, çağrının başında adı anons edilen işletmeye — veri sorumlusuna — yöneltilir. Doğrudan DoWaba'ya iletilen talepler veri sorumlusuna aktarılır ve veri işleyen sıfatıyla yardımcı olunur.

İlgili kişi ayrıca bir denetim otoritesine şikâyette bulunabilir:

DoWaba'ya başvurmuş olmak, denetim otoritesine şikâyet veya yargı yoluna başvurma hakkını etkilemez.

11. Değişiklikler ve Kullanmaya Devam

DoWaba, mevzuat değişikliği, hizmet kapsamının değişmesi veya makul ticari sebeple bu metni güncelleme hakkını saklı tutar. Değişiklikler yürürlüğe girmeden en az 15 gün, esaslı değişiklikler ise en az 30 gün önce Müşteri'ye e-posta ve/veya panel bildirimi ile duyurulur. Bildirimde değişen belgeler, yeni sürüm numarası ve belge özeti (SHA-256) yer alır.

Müşteri, bildirim süresi dolmadan önce panelden veya kvkk@dowaba.com adresine yazarak itiraz edebilir; itiraz hâlinde yeni sürüm o Müşteri bakımından kendiliğinden yürürlüğe girmez, taraflar çözümü iyi niyetle değerlendirir ve çözüm bulunamazsa Müşteri ilgili hizmeti sonlandırabilir. İtiraz edilmemişse ve bildirim süresi dolduktan sonra Müşteri hizmeti kullanmaya devam ediyorsa, bu kullanım yeni sürümün kabulü sayılır. Kabul; bildirim tarihi, bekleme süresi, kullanım kanıtı, sürüm numarası ve belge özeti ile birlikte denetim kaydına işlenir ve Müşteri panelden görebilir.

Bu hüküm yalnızca Müşteri (panel sahibi işletme) ile DoWaba arasındaki sözleşmesel ilişkiyi kapsar. Aranan veya arayan gerçek kişiye m. 13-14 kapsamında yapılması gereken bilgilendirme ya da m. 6(1)(a) veya m. 9(2)(a) kapsamındaki rıza bu yolla kurulamaz; kullanmaya devam yoluyla kabul, Müşteri'nin ilgili kişilere karşı kendi yükümlülüklerinin yerine geçmez.

12. Sürüm

Bu belge, ürünün teknik davranışını ve tarafların hizmet sözleşmesinden doğan sorumluluklarını açıklar; bağımsız hukuki değerlendirmenin yerine geçmez. v2, v1'in yerine geçer: no_retention modu artık üç katmanda anlatılmaktadır (canlı işleme, DoWaba tarafı, sağlayıcı ve operatör), çocuk verisine ilişkin paragraf Madde 8'e ve kapsam beyanına atıfla yeniden yazılmıştır ve kısa ilk katman anons örneği GDPR çerçevesinde kullanılan amaç-ve-seçenek kalıbıyla güncellenmiştir.