Yasal

Bayi Veri İşleme Eki (GDPR / UK GDPR)

Sürüm: v2

version: 2 effective_date: 2026-08-24 replaces: v1 amendment_clause: continued-use-v1

Bayi Veri İşleme Eki (GDPR / UK GDPR) — v2

Hangi mevzuat uygulanır: bu Ek, veri koruma bakımından AB GDPR ya da UK GDPR kapsamında faaliyet gösteren Bayiler içindir. Türk veri koruma mevzuatına tabi Bayiler /legal/reseller-dpa sürümünü kullanır.

Kapsam: işbu Ek, Bayilik Çerçeve Sözleşmesi (GDPR)'nin ayrılmaz parçasıdır ve alt işleyen (sub-processor) zincirini somutlaştırır (GDPR m. 28(4)).

Madde 1 — Taraflar ve Roller

Roller sözleşmedeki addan değil fiilî işleme faaliyetinden doğar (m. 4(7)-(8)). Bayi, amaç ve vasıtalarını kendisi belirlediği faaliyetlerde veri sorumlusudur.

Madde 2 — Veri Akış Zinciri ve Sorumluluk

2.1. Müşteri (controller): son kullanıcılara m. 13-14 bilgilendirmesi, m. 6 hukuki dayanağının (gerekiyorsa m. 9(2) şartının) belirlenmesi, Bölüm III kapsamındaki ilgili kişi taleplerinin karşılanması, gerekli hâllerde etki değerlendirmesi (m. 35) ve işleme faaliyet kaydı (m. 30(1)) Müşteri'nin yükümlülüğüdür.

2.2. Bayi (processor): Müşteri'nin belgelenmiş talimatları doğrultusunda işler; verileri kendi pazarlama veya başka iş amaçlarıyla kullanamaz; Müşteri'nin son kullanıcı verileri ile kendi verilerini ayrı tutar; m. 30(2) uyarınca kendi işleme kaydını tutar.

2.3. DoWaba (sub-processor): Bayi'nin (ve doğrudan talimat verildiğinde Müşteri'nin) talimatları çerçevesinde yalnızca teknik altyapıyı sunar. Müşteri kendi panelinde doğrudan işlem yaptığında DoWaba o faaliyet bakımından Müşteri'nin veri işleyeni olur.

Madde 3 — İşlenen Veri Kategorileri

Kimlik ve iletişim verileri; mesaj içerikleri; çağrı sesi ve dökümü; otomasyon/iş akışı verileri; teknik veriler (IP, cihaz, zaman damgası); tercih, rıza ve itiraz kayıtları.

İlgili kişi grupları: Müşteri'nin son kullanıcıları, Müşteri'nin panel kullanıcıları ve Bayi'nin tuttuğu Müşteri yetkilisi kayıtları.

Özel nitelikli veriler (m. 9), ceza mahkûmiyetine ilişkin veriler (m. 10), biyometrik veya sağlık verileri ve çocuklara ait kişisel veriler yalnız, ilgili kategori açıkça etkinleştirilmiş ve SCC Ekleri Ek I'deki kapsam beyanına yazılmışsa işlenebilir. Beyan edilmemiş bir kategorinin yüklenmesinden yalnız Bayi ve Müşteri sorumludur.

Madde 4 — Bayi'nin Yükümlülükleri

4.1. Müşteri kaydı. Bayi, panele eklediği Müşteri yetkilisinin verilerini doğru ve güncel kaydeder ve bu kişiye gerekli bilgilendirmeyi yapar.

4.2. Talimat zinciri. Müşteri'nin talimatlarını sadakatle iletir ve uygular; talimata aykırı işleme yapamaz. Bir talimatın veri koruma mevzuatını ihlal ettiği kanaatine varırsa Müşteri'yi bilgilendirir (m. 28(3) son fıkra).

4.3. Gizlilik. Verilere erişimi olan personelini gizlilik yükümlülüğü altında tutar (m. 28(3)(b)).

4.4. Güvenlik (m. 32). Riskle orantılı teknik ve idari tedbirleri uygular; panel oturumunu paylaşmaz, ekran görüntülerini Müşteri'nin yazılı izni olmadan üçüncü tarafla paylaşmaz.

4.5. Kayıt güncelliği ve silme. Müşteri ile sözleşmenin sona ermesi hâlinde Müşteri kaydını ve bağlı site/agent kayıtlarını makul sürede siler; Müşteri'nin silme talebini 7 iş günü içinde panelde uygular.

4.6. Yardım yükümlülüğü. İlgili kişi taleplerinde, ihlal bildiriminde ve etki değerlendirmesinde Müşteri'ye elindeki bilgilerle yardımcı olur (m. 28(3)(e)-(f)).

4.7. Zincir garantisi. Bayi; zincirindeki her veri sorumlusundan, DoWaba'yı (alt) veri işleyen olarak atama, o veri sorumlusu adına talimat verme ve alt işleyenler için genel yetki tanıma konusunda yetkili olduğunu taahhüt eder. Bu taahhüdün gerçeğe aykırı çıkması hâlinde Bayi; yetkinin bulunmamasından doğan üçüncü taraf taleplerine, idari para cezalarına ve makul savunma giderlerine karşı DoWaba'yı hukuken mümkün olduğu ölçüde tazmin eder. DoWaba kendi savunmasının kontrolünü elinde tutar; DoWaba'yı bağlayacak bir sulh, onun yazılı onayı olmadan yapılamaz.

Madde 5 — DOWABA'nın (Alt İşleyen) Yükümlülükleri

5.1. Talimata bağlılık. Panel ve API üzerinden gelen Bayi/Müşteri talimatları doğrultusunda işler; hukuki zorunluluk hâlinde, yasak olmadığı ölçüde önceden bilgilendirir.

5.2. Çoklu kiracı izolasyonu. Bayilerin müşteri verileri ile bağımsız müşteri verileri birbirinden ayrı tutulur; izolasyon reseller_id, parent_user_id, site user_id ilişkileri ve API yetki kontrolleriyle uygulanır.

5.3. Alt işleyen zinciri. DoWaba'nın kullandığı alt işleyenler Alt Veri İşleyenler sayfasında yayımlanır. Planlanan ekleme/değişiklik en az 15 gün (esaslıysa 30 gün) önce duyurulur; Bayi bu sürede makul veri koruma gerekçesiyle itiraz edebilir ve çözüm bulunamazsa etkilenen hizmeti sonlandırabilir.

5.4. Hizmet sonu. Ek sona erdiğinde ya da bayilik iptal edildiğinde, Bayi'nin/Müşteri'nin tercihine göre veriler silinir veya iade edilir; hukuken saklanması zorunlu kayıtlar erişimi sınırlı biçimde korunur, mevcut lisanslar için Madde 9 uygulanır.

Madde 6 — Kişisel Veri İhlali ve Bildirim

6.1. DoWaba, işbu Ek kapsamında işlenen kişisel verileri etkileyen bir ihlali makul kesinlikle öğrendikten sonra gecikmeksizin Bayi'yi bilgilendirir. İlk bildirim, o an bilinen ve makul olarak erişilebilir bilgiyle yapılır; esaslı ek bilgiler aşamalı olarak ve gereksiz gecikme olmadan iletilir. Bildirimde bulunulması ya da yardım sağlanması kusur veya sorumluluk ikrarı değildir.

6.2. Denetim otoritesine 72 saat içinde bildirim (m. 33) ve gerektiğinde ilgili kişilere bildirim (m. 34) veri sorumlusunun sorumluluğundadır; DoWaba ve Bayi, kanunen gerekli olduğu ölçüde ellerindeki bilgilerle yardımcı olur. Bayi, panelde kayıtlı bildirim adresini güncel tutar; bu adrese gönderilen bildirim tebliğ edilmiş sayılır. Olayın kaynağı Bayi, Müşterileri, onların alt kullanıcıları ya da kendi cihaz ve kimlik bilgileri ise Bayi durumu gecikmeksizin DoWaba'ya bildirir.

Madde 7 — Üçüncü Ülkeye Aktarım (Bölüm V)

Altyapı Almanya'da (AB) Hetzner Online GmbH tarafından işletilir; içeriğin Türkiye'de kalıcı kopyası tutulmaz. DoWaba Türkiye'de yerleşiktir ve adlı personeli; işletme, destek ve güvenlik amacıyla sistemlere Türkiye'den, en az yetki ilkesi, iki adımlı doğrulama ve kayıt altında uzaktan erişir. Seçilen yapay zekâ sağlayıcısına göre içerik, Amerika Birleşik Devletleri'nde yerleşik sağlayıcılara (Google LLC, OpenAI, L.L.C.) iletilir; bu sağlayıcılar EU-U.S. Data Privacy Framework kapsamında sertifikalıdır ve iletilen içerik sağlayıcının yayınlanmış şartlarına göre saklanır.

Bu aktarımlar için taraflar, (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile kabul edilen standart sözleşme hükümlerini — işbu Ek bakımından Modül Üç (veri işleyenden alt işleyene) — ve UK GDPR'ın uygulandığı hâllerde UK Addendum'u sözleşmelerine dâhil eder. Taraflar, işbu Ek'i panelde kabul etmekle bu hükümlerin aralarında yürürlükte ve imzalanmış sayıldığını kabul eder. Ek I, II ve III SCC Ekleri belgesinde yer alır.

Bayi'nin veya Müşteri'nin panelden sağlayıcı seçmesi belgelenmiş talimattır; bu talimat DoWaba'nın Bölüm V kapsamındaki kendi yükümlülüklerini ortadan kaldırmaz. Aktarım risk değerlendirmesi veri sorumlusunun sorumluluğunda kalır; Bayi ve Müşteri, aktarım risk değerlendirmesi özetini aldıklarını ve kendi değerlendirmelerini yaptıklarını kabul eder. Veri İşleme Sözleşmesi m. 11'deki geçersizleşme kuralı ve devlet makamı talepleri politikası işbu Ek bakımından da aynen uygulanır.

Madde 8 — Denetim

8.1. Müşteri ve Bayi denetimi. Bilgi talebi öncelikle mevcut bir rapor, sertifika veya yazılı cevapla karşılanır. Bu yeterli olmazsa talep eden tarafa özel bir denetim yılda bir kez ve ayrıca kendi verisini etkileyen bir veri ihlalinden sonra talep edilebilir; denetim en az 30 gün önceden yazılı bildirimle, talep edenin masrafıyla, mesai saatleri içinde, gizlilik yükümlülüğü altında ve hizmeti aksatmayacak şekilde yapılır. Denetimde başka bir müşterinin ya da başka bir bayinin verisine erişilemez ve canlı sistemlere sızma testi yapılamaz. Denetim, DoWaba'ya atfedilebilen esaslı bir uyumsuzluğu ortaya koyarsa o denetimin makul masrafını DoWaba karşılar.

8.2. Alt işleyen denetimi. DoWaba, m. 28(3)(h) kapsamında gerekli bilgileri sunar ve denetimlere katkıda bulunur; çok kiracılı bileşenlerde talep eşdeğer bir yazılı rapor ya da üçüncü taraf değerlendirmesiyle karşılanabilir.

Madde 9 — Süre ve Fesih

Ek, Bayilik Çerçeve Sözleşmesi yürürlükte olduğu sürece geçerlidir. Çerçeve sözleşmenin feshi hâlinde kendiliğinden sona erer; hukuki saklama süreleri ve mevcut müşteri lisansları bakımından Madde 5.4 uygulanmaya devam eder.

Madde 10 — Değişiklikler ve Kullanmaya Devam

DoWaba, mevzuat değişikliği, hizmet kapsamının değişmesi veya makul ticari sebeple bu Ek'i güncelleme hakkını saklı tutar. Değişiklikler en az 15 gün, esaslı değişiklikler en az 30 gün önce e-posta ve/veya panel bildirimi ile önceden duyurulur; bildirimde değişen belgeler, yeni sürüm ve belge özeti (SHA-256) yer alır.

Bayi süre dolmadan itiraz edebilir; itiraz hâlinde yeni sürüm kendiliğinden yürürlüğe girmez, taraflar iyi niyetle çözüm arar ve bulunamazsa Bayi ilgili hizmeti sonlandırabilir. İtiraz yoksa ve süre dolduktan sonra Bayi hizmeti kullanmaya devam ediyorsa bu kullanım kabul sayılır ve denetim kaydına işlenir. Bu hüküm yalnız Bayi ile DoWaba arasındaki ilişkiyi kapsar; ilgili kişilere karşı m. 13-14 bilgilendirmesi ya da m. 6(1)(a)/m. 9(2)(a) rızası bu yolla kurulamaz.

Madde 11 — Uygulanacak Hukuk ve Yetkili Mahkeme

Ek'ten doğan uyuşmazlıklarda Türk Hukuku uygulanır ve Burdur Mahkemeleri ve İcra Daireleri yetkilidir. Bu hüküm, ilgili kişilerin GDPR m. 77 (denetim otoritesine şikâyet) ve m. 79 (yargı yolu) haklarını etkilemez.

DoWaba — Acr Yapay Zeka Eğitim Ve Bilişim Teknolojileri Limited Şirketi İletişim: info@dowaba.com — veri koruma başvuruları: kvkk@dowaba.com

Sürüm v2 — 23 Ağustos 2026. v1'in yerine geçer. Başlıca değişiklikler: üçüncü ülkelere aktarım maddesi yeniden yazıldı (Türkiye'den uzaktan erişim, ABD'li yapay zekâ sağlayıcıları ve Data Privacy Framework, standart sözleşme hükümleri Modül Üç ve UK Addendum'un imzalanmış sayılması, ekler, geçersizleşme ve devlet talepleri); zincir garantisi eklendi (m. 4.7); ihlal bildiriminde sabit 48 saat kaldırılıp "gecikmeksizin" ölçütüne geçildi; denetim usulü netleştirildi; özel nitelikli veri ve çocuk verisi için kapsam beyanı eklendi. Türk hukuku karşılığı Bayi Veri İşleme Eki.