Müşteri Veri İşleme Eki (DPA)

1. Taraflar, roller ve talimat

Müşteri işletme, kendi son kullanıcı ve müşterilerinin kişisel verileri bakımından veri sorumlusudur. Talepvix, TalepVix hizmetini sunarken bu veriler bakımından kural olarak veri işleyen sıfatıyla ve belgelenmiş talimat kapsamında hareket eder. İletişim info@talepvix.com; adres Platinum Plus İş Merkezi, Kat: 6, No: 67.

Bu ek, ana hizmet sözleşmesine eklenmesi için hazırlanmış taslaktır; müşterinin ve TalepVix'in kabulü kaydedilmeden imzalı sözleşme sayılmaz. TalepVix'in kendi hesap, güvenlik ve kanuni kayıt işlemleri için veri sorumlusu olduğu faaliyetler genel gizlilik metninde ayrıca açıklanır. Bir sağlayıcının rolü somut hizmete göre belirlenir.

2. İşleme konusu

• Konu ve süre: TalepVix aboneliği boyunca chatbot, talep, CRM, görev, randevu, raporlama ve etkinleştirilmiş entegrasyonlar.
• İlgili kişiler: müşteri çalışanları, aday müşterileri, ziyaretçileri ve iletişim kuran kişiler.
• Veriler: kimlik/iletişim, sohbet ve talep içeriği, işlem/kanal bilgisi, randevu ve müşteri tarafından belirlenen alanlar.
• Özel nitelikli veri: ayrı yazılı aktivasyon, minimizasyon ve güvenlik kontrolü olmadan işlenmez.

3. Gizlilik ve güvenlik

Mevcut teknik tedbirler rol tabanlı erişim, firma ayrımı, HTTPS aktarımı, şifreli entegrasyon anahtarları, webhook imza doğrulaması, denetim kaydı ve doğrulanan şifreli yedeklemeyi içerir. Bunlar mutlak güvenlik, bağımsız sertifikasyon veya bütün işletme süreçlerinin tamamlandığı garantisi değildir.

Nihai ekin uygulanmasında erişecek kişiler, görevleri, yetki gözden geçirmesi ve gizlilik yükümlülükleri işletme tarafından belgelenmelidir. Müşteri kullanıcı yetkilerini doğru tanımlar; TalepVix destek erişimi iş için gerekli kapsamla sınırlanır. Talimatın hukuka aykırı olabileceği görülürse kapsam açıklığa kavuşturulur.

4. Sağlayıcılar ve alt işleyenler

Teknik envanterde IHS VPS/barındırma, aynı sunucuda Supabase/PostgreSQL ve otomasyon servisleri, şifreli yedekte Google Drive, etkin kanal hizmetinde Meta ve AI hizmetinde Anthropic bulunur. E-posta için yapılandırılmış SMTP hizmeti kullanılır. Bu liste marka/teknik hizmet envanteridir; sözleşmedeki tüzel kişi, ülke, uzaktan erişim ve sağlayıcının veri işleyen/veri sorumlusu rolü ayrıca doğrulanmalıdır.

Nihai alt işleyen listesinde hizmet, veri kategorisi, işleme yeri, sözleşme/aktarım güvencesi ve değişiklikte müşteri bildirim yöntemi bulunmalıdır. Ödeme veya fatura sağlayıcısı seçilmemişken listede aktif hizmet olarak gösterilmez. Yeni sağlayıcıya ilişkin gerekli müşteri bilgilendirmesi ve yetkilendirme, ilgili veri akışı açılmadan tamamlanmalıdır.

5. Yurt dışına aktarımın durumu

Kullanıcı beyanına göre yurt dışı aktarım için hukuki çalışma henüz yapılmamıştır. Bu ek bir aktarım sözleşmesinin yerine geçmez; imza, uygun güvence veya Kuruma bildirim yapıldığı beyanı içermez. Gerçek verinin Google, Meta veya Anthropic gibi hizmetlerde işlenmesinden önce o akış için geçerli koşul ve ilgili tarafların rolleri somutlaştırılmalıdır.

Standart sözleşme yöntemi seçilirse doğru aktarım tipi ve taraflar, yetkili imzalar ve uygulanabilir bildirim yükümlülüğü ayrı işlem olarak tamamlanır. Kurulun standart maddeleri serbestçe yeniden yazılmaz; bu taslakta yeni bir standart sözleşme üretilmemiştir.

6. İlgili kişi talepleri

TalepVix, müşteri tarafından iletilen erişim, düzeltme, silme, kısıtlama ve dışa aktarma taleplerine sistemin niteliği ölçüsünde destek verir; veri sorumlusu adına doğrudan karar vermez.

7. İhlal ve olay yönetimi

Nihai işletme prosedürü, müşteri verisini etkileyen bir olaya ilişkin kapsam, bilinen etki, alınan önlem ve irtibat noktasının müşteriye gereksiz gecikme olmadan iletilmesini düzenlemelidir. Bir ilk bildirim, tüm araştırmanın bittiği anlamına gelmez; yeni bulgular eklenir. Sayısal hizmet/bildirim süresi bu taslakla uydurulmaz.

Veri sorumlusu ve veri işleyen rollerine göre resmî bildirim sorumlulukları ve uygulanabilir yasal süreler ayrıca değerlendirilir. Bir izleme alarmının kapatılması, ihlal olmadığına veya resmî bildirimin yapıldığına dair kanıt değildir.

8. İade, silme, saklama ve denetim

Firma sahibi/yöneticisi panelde mevcut firma verisi dışa aktarma işlevini kullanabilir. Bu dışa aktarımın kapsamı; dosya içerikleri, üçüncü taraf kopyaları ve bütün teknik günlükler dahil tam sistem yedeği gibi sunulmaz. Sona ermede verinin iadesi, kanuni saklama, erişimin kesilmesi ve silme kapsamı belgelenmiş talimatla belirlenmelidir.

Mevcut panel, onaylı CRM silme talebinin kişisel alan temizliğiyle tamamlanmasını destekler; tüm hesap ve kopyalar için otomatik imha değildir. Talep kaydı veya bağlantının kaldırılması tek başına tüm veriyi silmez. Mevcut yedekler ayrı döngüye tabidir ve geri yüklemede önceki talepler kontrol edilmelidir.

Denetim ve güvenlik bilgisi paylaşımı, diğer müşterilerin verisini veya gizli anahtarları açığa çıkarmayacak kapsamda yürütülür. Saklama hedefleri ve uygulanacak süreli imha görevi ayrıca onaylanıp test edilmelidir.

9. Veri kullanımının sınırı

Müşteri içeriği, hizmetin sağlanması ve belgelenmiş talimat kapsamı dışında reklam hedeflemesi veya veri satışı için kullanılmaz. Bir sohbetin AI hizmetine iletilmesi veya Meta sayfasının bağlanması, müşterinin verisinin başka amaçlarla kullanılmasına sınırsız izin değildir. Yeni amaç veya sağlayıcı için rol, hukuki sebep ve bilgilendirme yeniden değerlendirilmelidir.