version: 2 effective_date: 2026-08-25 replaces: v1 amendment_clause: continued-use-v1

Bayi Veri İşleme Eki (Reseller DPA) — v2

Kapsam Notu: İşbu Ek; Bayi'nin DoWaba paneli üzerinden eklediği Müşteri'ye ait son kullanıcı kişisel verilerinin 3-katmanlı veri işleme zinciri kapsamında düzenler. Hiyerarşi: Müşteri (Veri Sorumlusu) → Bayi (Veri İşleyen) → DoWaba (Alt Veri İşleyen). DoWaba'nın kendi alt işleyenleriyle (Hetzner, Anthropic, Meta, Google, NetGSM, PayTR vb.) ilişkisi mevcut DPA dokümanı (Alt İşleyenler) ile düzenlenmiştir; işbu Ek bunu kapsam-üstü olarak referanslamaktadır.

Madde 1 — Taraflar ve Roller

• Müşteri (Veri Sorumlusu): Bayi tarafından panele eklenen ve son kullanıcılarına yönelik iletişim faaliyetlerini DoWaba altyapısı üzerinden yürüten kurumsal kullanıcı.
• Bayi (Veri İşleyen): Müşteri ile arasındaki ticari sözleşme uyarınca, DoWaba paneli üzerinde Müşteri'ye ait kayıtları (kullanıcı, site, lisans, ödeme) yönetmeye yetkili gerçek / tüzel kişi.
• DoWaba (Alt Veri İşleyen): Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi. Hizmet sağlayan teknik altyapı sunucusu.

İşbu Ek; KVKK, GDPR Madde 28(4) ve KVKK Kurulu 2017/61 sayılı Kararı kapsamında alt-işleyen ilişkisini somutlaştırır.

Madde 2 — Veri Akış Zinciri ve Sorumluluk

2.1. Veri Sorumlusu (Müşteri): Son kullanıcılarına yönelik aydınlatma, açık rıza, KVKK m. 11 talep yönetimi (silme / düzeltme / aktarım), İYS kaydı, VERBİS kaydı yükümlülüğü Müşteri'dedir.

2.2. Veri İşleyen (Bayi): Müşteri ile arasındaki sözleşme uyarınca panel üzerinde Müşteri adına işleme gerçekleştirir. Bayi:

• Müşteri'nin yazılı / panel düzeyindeki talimatları doğrultusunda hareket eder.
• Müşteri'nin verilerini kendi pazarlama veya başka iş amaçlarıyla kullanamaz.
• Müşteri'nin son kullanıcılarının verileri ile Bayi'nin kendi son kullanıcı verileri birbirinden ayrı tutulur (multi-tenant izolasyon altyapı düzeyinde sağlanır).

2.3. Alt Veri İşleyen (DoWaba): Bayi'nin yazılı talimatları (panel konfigürasyonu) çerçevesinde, yalnızca teknik altyapıyı sunar. DoWaba, ayrıca Müşteri'den de doğrudan talimat alabilir (Müşteri kendi panelinde site / agent yönetir); bu durumda DoWaba doğrudan Müşteri'nin Veri İşleyeni rolüne de sahip olur. Roller, talimatın verildiği işleme faaliyetine göre belirlenir.

Madde 3 — İşlenen Veri Kategorileri

İşbu Ek kapsamında işlenen kişisel veriler b2b-dpa-v1 Madde 3'te sayılan kategorilerle aynıdır: kimlik, iletişim, mesaj içerikleri, çağrı verileri, otomasyon iş akışı verileri, teknik veriler, tercih ve davranış verileri.

İlgili kişi grupları:

• Müşteri'nin son kullanıcıları,
• Müşteri'nin çalışanları (panel kullanıcıları),
• Bayi'nin Müşteri kayıt verileri (Müşteri yetkilisi ad, telefon, e-posta).

Madde 4 — Bayi'nin Yükümlülükleri

4.1. Müşteri kayıt sorumluluğu. Bayi, panele eklediği Müşteri yetkilisinin kendi rızasıyla kaydedildiğini, kişisel verilerini doğru ve güncel beyan ettiğini taahhüt eder.

4.2. Talimat zinciri. Bayi, Müşteri'nin Veri Sorumlusu sıfatıyla verdiği talimatları sadakat ile ileterek panel üzerinde uygular. Müşteri'nin talimatına aykırı işleme yapamaz.

4.3. Kayıt güncelliği ve silme. Bayi, Müşteri ile aralarındaki sözleşmenin sona ermesi durumunda Müşteri kaydını ve ona bağlı agent / site kayıtlarını panelden makul süre içinde siler. Müşteri'nin veri silme talebini Bayi 7 iş günü içinde panel üzerinden uygular.

4.4. Yetkisiz erişim önleme. Bayi, kendi panel kullanıcı bilgilerini güvenli saklar. Bayi hesabının ele geçirildiği tespit edildiğinde 24 saat içinde DoWaba'ya bildirir. Müşteri'ye birinci basamak ihlal bildirimi de Bayi tarafından yapılır.

4.5. KVKK m. 12 teknik / idari tedbirler. Bayi, Müşteri verilerinin işlendiği panel oturumunu paylaşmaz, ekran kayıtları almaz, ekran görüntülerini Müşteri'nin yazılı izni olmadan üçüncü tarafla paylaşmaz.

Madde 5 — DOWABA'nın (Alt İşleyen) Yükümlülükleri

5.1. Talimata bağlılık. DoWaba, panel ve API üzerinden gelen Bayi / Müşteri talimatları doğrultusunda işleme yapar. Mevzuat zorunluluğu doğarsa hukuken yasak olmadığı ölçüde Bayi ve Müşteri'yi bilgilendirir.

5.2. Çoklu kiracı izolasyonu. DoWaba, Bayi'lerin müşteri verilerini ve standalone müşteri verilerini birbirinden ayrı tutar; başka bir bayinin müşterisinin veya standalone bir müşterinin verisi başka bir Bayi tarafından görülemez. Bu izolasyon reseller_id, parent_user_id, site user_id FK'leri ve API yetki kontrolleri ile uygulanır.

5.3. DoWaba alt işleyen zinciri. DoWaba, hizmetin sunulması için kullandığı alt işleyenleri (Hetzner barındırma, Meta WhatsApp Business, Google Cloud, Anthropic AI, NetGSM, PayTR ödeme) Alt İşleyenler sayfasında listeler. Planlanan ekleme veya değişiklik, yürürlüğe girmeden en az 15 gün (esaslı ise 30 gün) önce e-posta ve panel bildirimiyle duyurulur; Bayi bu süre içinde makul veri koruma gerekçesiyle itiraz edebilir. Güncel liste Alt İşleyenler sayfasında yayımlanır.

5.4. Hizmet sonu. İşbu Ek sona erdiğinde veya Bayi rolü iptal edildiğinde, DoWaba ilgili Bayi'nin Müşteri kayıtlarını arşivde tutar (yasal saklama süreleri çerçevesinde); aksi hâlde lisans bitiş tarihinde veriler silme rutinine alınır. Lisans süresi sonunda yenileme yapılmazsa DoWaba, mümkün olduğunda Bayi'yi önceden bilgilendirerek Müşteri'ye hizmet sürekliliği için devam seçeneği sunabilir; Bayilik Çerçeve Sözleşmesi m. 6.4'teki müşteri portföyü koruması saklıdır.

Madde 6 — Veri İhlali ve Bildirim

6.1. İhlal tespiti. Verilerde yetkisiz erişim, kayıp, ifşa veya bütünlük ihlali tespit edildiğinde:

• DoWaba, ihlali makul kesinlikle öğrendikten sonra gecikmeksizin Bayi'yi bilgilendirir. İlk bildirim, o an bilinen ve makul olarak erişilebilir bilgiyle yapılır; esaslı ek bilgiler aşamalı olarak ve gereksiz gecikme olmadan iletilir. Bildirimde bulunulması ya da yardım sağlanması kusur veya sorumluluk ikrarı değildir.
• Bayi, kendi tespiti üzerine veya DoWaba bildirimi üzerine gecikmeksizin Müşteri'yi bilgilendirir.
• Müşteri, Veri Sorumlusu sıfatıyla 72 saat içinde KVKK Kurulu'na ve etkilenen ilgili kişilere bildirimde bulunur (KVKK m. 12/5).

6.2. İncelemeye katkı. Bayi ve DoWaba, Müşteri'nin Kurum'a vereceği bilgilendirme için gerekli teknik kayıt ve kanıtları temin etmekle yükümlüdür.

Madde 7 — Yurt Dışı Aktarım

İşbu hizmette yurt dışı aktarım yapan alt işleyenler (Anthropic — ABD, Meta — İrlanda/ABD, Google — İrlanda/ABD) Yurt Dışı Aktarım sayfasında detaylandırılmıştır; her sağlayıcıyla ilişkinin güncel durumu Alt İşleyenler tablosunda ve Güven Merkezi'nde yayımlanan değerlendirmede açıklanır. Bayi, Müşteri'sini bu aktarımlar konusunda KVKK m. 9 uyarınca aydınlatır ve gerekli açık rızayı Müşteri üzerinden son kullanıcılardan ister.

Madde 8 — Denetim

8.1. Müşteri denetimi. Müşteri, Veri Sorumlusu sıfatıyla yılda en fazla bir kez, makul ön bildirim ile Bayi nezdinde panel üzerindeki işleme faaliyetlerini denetleme hakkına sahiptir. Bu denetim Bayi'nin diğer Müşteri'lerinin verilerine erişimi kapsayamaz.

8.2. DoWaba alt işleyen denetimi. DoWaba, KVKK Kurulu, mahkeme ve resmi otoritelerin yasal yetkileri çerçevesinde denetlenebilir. Bayi / Müşteri tarafında özel teknik denetim talepleri yazılı başvuru ile değerlendirilir.

Madde 9 — Süre ve Fesih

İşbu Ek; Bayilik Çerçeve Sözleşmesi yürürlükte olduğu süre boyunca geçerlidir. Çerçeve Sözleşmenin feshi halinde işbu Ek kendiliğinden sona erer; ancak yasal saklama süreleri ve mevcut Müşteri lisansları için Madde 5.4 hükmü uygulanmaya devam eder.

Madde 10 — Yetkili Mahkeme ve Hukuk

İşbu Ek'ten doğan uyuşmazlıklarda Türk Hukuku uygulanır ve Burdur Mahkemeleri ve İcra Daireleri yetkilidir.

Madde 11 — Değişiklikler ve Kullanmaya Devam

DoWaba; mevzuat değişikliği, hizmet kapsamının değişmesi veya makul ticari sebeple işbu Ek'i güncelleme hakkını saklı tutar. Değişiklikler en az 15 gün, esaslı değişiklikler en az 30 gün önce e-posta ve/veya panel bildirimi ile önceden duyurulur; bildirimde değişen belgeler, yeni sürüm numarası ve belge özeti (SHA-256) yer alır.

Bayi, süre dolmadan itiraz edebilir; itiraz hâlinde yeni sürüm o Bayi bakımından kendiliğinden yürürlüğe girmez, taraflar iyi niyetle çözüm arar ve çözüm bulunamazsa Bayi ilgili hizmeti sonlandırabilir. İtiraz yoksa ve süre dolduktan sonra Bayi hizmeti kullanmaya devam ediyorsa bu kullanım yeni sürümün kabulü sayılır; kabul, bildirim tarihi, bekleme süresi, kullanım kanıtı, sürüm numarası ve belge özeti ile denetim kaydına işlenir.

İşbu madde yalnız Bayi ile DoWaba arasındaki sözleşmesel ilişkiyi kapsar. Müşteri'nin veya ilgili kişilerin KVKK m. 9 kapsamındaki açık rızası ya da m. 10 kapsamındaki aydınlatması bu yolla kurulamaz.

DoWaba — Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi İletişim: info@dowaba.com — KVKK Sorumlusu: kvkk@dowaba.com