Veri işleme sözleşmesi

Sürüm 1.0 · Son güncelleme: 6 Kasım 2026

Bu Veri İşleme Sözleşmesi ("VİS"), Alvara AI'ı işleten şirket ("Şirket" veya "Veri İşleyen") ile Platform'u kullanan müşteri ("Müşteri" veya "Veri Sorumlusu") arasındaki Kullanım şartları'nın ("Ana Sözleşme") ayrılmaz parçasıdır ve Müşteri'nin Ana Sözleşme'yi kabul etmesiyle yürürlüğe girer. Tanımlanmamış terimler Ana Sözleşme'deki ve 6698 sayılı KVKK'daki anlamlarını taşır.

1. Kapsam ve roller

1.1. Bu VİS yalnızca Müşteri Verileri içindeki kişisel verilerin Şirket tarafından Müşteri adına işlenmesine uygulanır.

1.2. Müşteri Verileri bakımından Müşteri veri sorumlusu, Şirket veri işleyendir. İşlemenin konusu, niteliği, amacı, süresi, veri kategorileri ve ilgili kişi grupları Ek-1'de belirtilmiştir.

1.3. Şunlar bu VİS'in kapsamı dışındadır:

• Şirket'in Müşteri yetkilileri ve kullanıcılarına ait hesap, faturalandırma, güvenlik ve kullanım verilerini kendi amaçları için işlemesi (Şirket veri sorumlusudur),
• Şirket'in Platform Verileri'ni derlemesi, merkezi veri tabanında saklaması, güncellemesi ve birden fazla müşteriye sunması (Şirket veri sorumlusudur). Müşteri'nin arama, zenginleştirme ve doğrulama işlemlerine yanıt olarak üçüncü taraf hizmetlerden elde edilen firma ve kişi bilgileri Müşteri Verileri değil, Platform Verileri'dir; bu bilgiler Müşteri adına işlenmez ve diğer müşterilere de sunulabilir,
• Müşteri'nin Platform Verileri'ni elde ettikten sonra kendi amaçları için kullanması (Müşteri bağımsız veri sorumlusudur),
• Şirket'in Müşteri'nin Platform Verileri'ne ilişkin düzeltmelerini, Müşteri'nin kimliğini diğer müşterilere açıklamadan verilerin doğruluğunu sağlamak için kullanması.

1.4. Müşteri'nin hedef müşteri profilleri, arama kriterleri, yüklediği listeler ve oluşturduğu lead listeleri Müşteri Verileri'dir ve diğer müşterilere gösterilmez. Arama kriterlerinin ve zenginleştirme girdilerinin Ek-2'deki veri sağlayıcı geçidine ve veri sağlayıcılarına iletilmesi ilgili işlemin yürütülmesi için zorunludur.

2. Müşteri'nin yükümlülükleri ve beyanları

2.1. Müşteri, veri sorumlusu olarak şunları beyan ve taahhüt eder:

• Müşteri Verileri hukuka uygun elde edilmiştir ve Şirket'e aktarılması ile bu VİS kapsamında işlenmesi için gerekli hukuki sebepler (gerekiyorsa açık rıza) mevcuttur,
• ilgili kişiler, Şirket'e ve yurt dışına aktarım dâhil, KVKK m.10 uyarınca aydınlatılmıştır,
• Müşteri Verileri arasında özel nitelikli kişisel veri, 18 yaşından küçüklere ait veri ya da Kabul edilebilir kullanım politikası ile yasaklanan veri yoktur,
• ilgili kişilerin başvurularını yanıtlama, VERBİS kaydı ve diğer veri sorumlusu yükümlülükleri kendisine aittir.

2.2. Talimatlar. Ana Sözleşme, bu VİS ve Müşteri'nin Platform'daki yapılandırmaları ve işlemleri (arama, zenginleştirme, kampanya hazırlama, dışa aktarma, silme gibi) Müşteri'nin Şirket'e verdiği eksiksiz ve nihai talimatlardır. Ek talimatlar yazılı verilir; hizmet kapsamını aşan ya da ek maliyet doğuran talimatlar ancak tarafların ayrıca anlaşmasıyla yerine getirilir.

2.3. Müşteri, Şirket'in Müşteri Verileri'ni hizmetin sunulması ve güvenliği, hata giderme ve destek, kötüye kullanımın önlenmesi ve hizmetin geliştirilmesi amaçlarıyla işlemesi talimatını verdiğini kabul eder. Şirket, Müşteri Verileri'ni anonim hâle getirerek ya da toplulaştırarak kullanabilir; anonim hâle getirilmiş veriler kişisel veri niteliği taşımaz.

2.4. Gönderim. Şirket Müşteri adına kendiliğinden kimseyle iletişime geçmez; hizmet taslak üretir. E-posta gönderim özellikleri sunulduğu hâllerde gönderim yalnızca Müşteri'nin talimatıyla ve Müşteri'nin kendi hesabı ve alan adıyla yapılır; içerik, alıcı seçimi, ticari ileti onayı ve İYS kaydı ile hukuki dayanak Müşteri'nin sorumluluğundadır. Bu özellikler sunulduğu hâllerde ileti açılma ve bağlantı tıklama ölçümü yapılabilir ve Müşteri bunu ayarlarından kapatabilir; ölçümün alıcıların ülkelerinin mevzuatına uygunluğundan ve gerekli aydınlatmadan Müşteri sorumludur.

3. Şirket'in yükümlülükleri

3.1. Şirket Müşteri Verileri'ni yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Bir talimatın mevzuata aykırı olduğu kanaatine varırsa Müşteri'yi bilgilendirir ve talimatı yerine getirmekten kaçınabilir; talimatların hukuka uygunluğunu denetleme yükümlülüğü yoktur.

3.2. Şirket, Müşteri Verileri'ne erişimde uygun idari tedbirlerle gizliliği korur.

3.3. Şirket, KVKK m.12 uyarınca Ek-3'teki teknik ve idari tedbirleri alır; genel koruma seviyesini esaslı ölçüde düşürmemek kaydıyla güncelleyebilir.

3.4. Şirket, Müşteri'nin ilgili kişi başvurularını yanıtlamasına ve diğer KVKK yükümlülüklerini yerine getirmesine, işlemenin niteliğini dikkate alarak, öncelikle Platform'daki araçlarla (görüntüleme, düzeltme, dışa aktarma, silme, hariç tutma listesi) makul ölçüde destek olur. Bu araçlarla karşılanamayan destek talepleri için makul masrafları Müşteri'den talep edebilir.

3.5. Şirket'e doğrudan ulaşan ve Müşteri Verileri'ne ilişkin ilgili kişi başvurusu makul sürede Müşteri'ye iletilir. Şirket bu başvurulara Müşteri'nin talimatı olmadan esas yönünden yanıt vermez.

4. Alt veri işleyenler

4.1. Müşteri, Şirket'in hizmeti sunmak için alt veri işleyenlerden yararlanmasına genel yetki verir. Kullanılan alt veri işleyenler Ek-2'de listelenmiştir.

4.2. Şirket yeni bir alt veri işleyen eklemeden ya da değiştirmeden önce güncel listeyi bu sayfada yayımlayarak ve/veya e-posta ile en az 15 gün önceden bildirir. Müşteri bu sürede makul ve veri korumaya ilişkin gerekçelerle yazılı itiraz edebilir. Makul sürede çözüm bulunamazsa Müşteri'nin tek ve münhasır hakkı, etkilenen hizmeti dönem sonunda sona erecek şekilde bildirimle iptal etmektir; ücret iade edilmez.

4.3. Alt veri işleyenlerin hizmetleri, kendi hizmet koşullarına ve veri koruma düzenlemelerine tabidir.

5. Yurt dışına aktarım

5.1. Müşteri, Ek-2'deki alt veri işleyenlerin bir kısmının yurt dışında bulunduğunu ve Müşteri Verileri'nin hizmeti sunmak için bu ülkelere aktarılabileceğini bildiğini ve bu aktarımlara talimat verdiğini kabul eder.

5.2. Yurt dışı aktarımlar KVKK m.9 ve ilgili yönetmelik çerçevesinde değerlendirilir. Avrupa Birliği'ndeki sunuculara aktarım da KVKK bakımından yurt dışına aktarımdır.

5.3. Aktarımın hukuki sebebinin bulunmasını (KVKK m.5 veya m.6) ve ilgili kişilerin yurt dışına aktarım hakkında aydınlatılmasını sağlamak Müşteri'nin yükümlülüğüdür.

6. Veri ihlali bildirimi

6.1. Şirket, Müşteri Verileri'ni etkileyen ve kişisel verilerin kanuna aykırı olarak üçüncü kişilerce elde edilmesi sonucunu doğuran bir güvenlik ihlalini öğrendiğinde Müşteri'yi gecikmeksizin bilgilendirir.

6.2. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kayıt sayısını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir; bilgilerin tamamı aynı anda verilemiyorsa aşamalı iletilir.

6.3. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü Müşteri'ye aittir. Şirket'in bildirimi kusurunu ya da sorumluluğunu kabul ettiği anlamına gelmez.

7. Denetim

7.1. Şirket, bu VİS'e uyumu gösteren makul bilgi ve belgeleri (güvenlik politikaları özeti, varsa bağımsız denetim raporları, güvenlik soru formu yanıtları) talep üzerine sunar. Denetim hakkı öncelikle bu yolla kullanılır.

7.2. Bilgiler yetersiz kalırsa ya da yetkili makam talep ederse Müşteri; yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, olağan çalışma saatlerinde, hizmeti aksatmadan ve gizlilik taahhüdü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir. Masraflar Müşteri'ye aittir. Denetim diğer müşterilerin verilerine, Şirket'in ticari sırlarına ve alt veri işleyenlerin tesislerine erişimi kapsamaz.

8. Süre, silme ve iade

8.1. Bu VİS, Ana Sözleşme süresince ve Şirket Müşteri Verileri'ni işlemeye devam ettiği sürece yürürlüktedir.

8.2. Ana Sözleşme sona erdiğinde Müşteri Verileri, Müşteri'nin talebi üzerine silinir ya da anonim hâle getirilir; silinen veriler şifreli yedeklerde en fazla 37 gün kalır ve sonra kendiliğinden silinir. Mevzuat gereği saklanması zorunlu veriler bu kapsamın dışındadır.

9. Sorumluluk ve çelişki

9.1. Tarafların bu VİS'ten doğan sorumlulukları Ana Sözleşme'deki sorumluluk sınırlamalarına ve tazmin hükümlerine tabidir; bu VİS ayrı ya da ek bir sorumluluk sınırı yaratmaz.

9.2. KVKK m.12/2 uyarınca müteselsil sorumluluk doğarsa iç ilişkide her taraf kendi kusuru oranında sorumludur. Müşteri'nin talimatlarından, Müşteri Verileri'nin hukuka aykırılığından ya da Müşteri'nin veri sorumlusu yükümlülüklerini ihlalinden doğan zarar iç ilişkide Müşteri'ye aittir.

9.3. Bu VİS ile Ana Sözleşme arasında kişisel verilerin işlenmesi bakımından çelişki olursa bu VİS uygulanır; diğer konularda Ana Sözleşme önceliklidir.

Ek-1: İşleme faaliyetinin ayrıntıları

Ek-2: Alt veri işleyenler

Liste, bu sayfanın yayımlandığı sürümde kullanılan sağlayıcıları gösterir; değiştiğinde bu sayfa güncellenir.

Ek-3: Teknik ve idari tedbirler

Teknik tedbirler

• Aktarım sırasında şifreleme (TLS) ve sağlayıcı düzeyinde bekleme hâlinde şifreleme,
• hesap bazında veri ayrıştırması; uygulama katmanında yetki kontrolü ve veritabanı seviyesinde satır bazlı erişim kontrolü,
• rol bazlı yetkilendirme,
• sağlayıcı anahtarlarının şifreli, API anahtarlarının özet (hash) olarak saklanması,
• kayıtlarda hassas verilerin maskelenmesi; kimlik bilgilerinin düz metin olarak kaydedilmemesi,
• erişim ve işlem kayıtları ile denetim kayıtlarının tutulması,
• hız sınırlama,
• düzenli yedekleme ve geri yükleme; yedeklerin şifrelenerek ana altyapıdan ayrı bir sağlayıcıda saklanması,
• yapay zekâ modeline giden verilerin en aza indirilmesi: görevin gerektirmediği veriler istemlere eklenmez; API anahtarları, şifreler ve kimlik doğrulama bilgileri gönderilmez,
• veri sağlayıcı geçidine iletilen çağrı etiketlerinde müşteri ve çalışma alanı bilgisi yerine takma adlı kimlik kullanılması,
• Platform Verileri ile Müşteri Verileri'nin mantıksal olarak ayrı tutulması.

İdari tedbirler

• Müşteri Verileri'ne yetkisiz erişimi ve veri ihlallerini önlemeye ve ele almaya yönelik uygun idari tedbirlerin alınması.