Veri İşleme Sözleşmesi (DPA)

Bu Veri İşleme Sözleşmesi (“DPA”), Molvek Bot hizmetini kullanan ticari müşteri (“Veri Sorumlusu” veya “Müşteri”) ile Molvek OÜ (sicil numarası: 17618773, kayıtlı adres: Sepapaja tn 6, 15551 Tallinn, Harju Maakond, Estonia, e-posta: info@molvek.com — “Veri İşleyen” veya “Molvek”) arasında, Hizmet Koşulları’nın ayrılmaz bir eki olarak akdedilmiştir.

1. Konu, Süre, Nitelik ve Amaç (GDPR Madde 28(3))

• Konu ve Süre: Bu DPA, Müşteri’nin Molvek Bot hizmetini kullanımı kapsamında Molvek’in Müşteri adına kişisel verileri işlemesini düzenler. İşleme faaliyeti, Müşteri’nin aboneliği veya deneme süresi boyunca ve aşağıdaki Bölüm 9’da belirtilen silme/saklama yükümlülükleri tamamlanana kadar devam eder.
• İşlemenin Niteliği ve Amacı: Müşteri’nin bağladığı mesajlaşma ve takvim kanalları üzerinden gelen son kullanıcı iletilerinin alınması, saklanması, işletmenin bilgi bankası ve talimatlarına göre yapay zekâ destekli yanıt/öneri/özet üretilmesi, randevu ve devir (handoff) akışlarının yürütülmesi ve yönetim paneli üzerinden Müşteri operatörlerine sunulması.
• Veri Kategorileri ve İlgili Kişi Grupları: Ek-1’de ayrıntılı olarak listelenmiştir.

2. Veri Sorumlusunun Belgelenmiş Talimatları (GDPR Madde 28(3)(a))

Molvek, kişisel verileri yalnızca Müşteri’nin Hizmet Koşulları, bu DPA ve yönetim panelindeki yapılandırma ile verdiği belgelenmiş talimatları doğrultusunda işler; Avrupa Birliği veya Estonya hukuku aksini zorunlu kılmadıkça bu talimatlar dışında kişisel veri işlemez. Hukuki bir zorunluluk bulunması halinde Molvek, önemli bir kamu yararı nedeniyle kanunen yasaklanmadıkça, işlemeden önce Müşteri’yi bilgilendirir.

3. Gizlilik Yükümlülüğü (GDPR Madde 28(3)(b))

Molvek, kişisel verilere erişim yetkisi bulunan personelin ve yüklenicilerin yalnızca görevleri kapsamında erişim sağlamasını ve sözleşmesel gizlilik yükümlülüğü altında bulunmasını sağlar.

4. Alt İşleyenler (GDPR Madde 28(2) ve 28(4))

• Genel Yetki ve Alt İşleyen Listesi: Müşteri, Molvek’in hizmeti sunmak için alt işleyen görevlendirmesine genel yazılı onay verir. Yürürlükteki onaylı alt işleyen listesi ayrı ve sürümlü olarak Alt İşleyen Listesi sayfasında yayımlanmıştır ve bu DPA’nın ayrılmaz bir parçasıdır.
• Alt İşleyen Değişiklikleri ve İtiraz Hakkı: Molvek, yeni bir alt işleyen eklemeden veya mevcut bir alt işleyeni değiştirmeden en az 30 gün önce Müşteri’nin kayıtlı iletişim adresine yazılı bildirimde bulunur. Müşteri bu 30 günlük süre içinde veri koruma gerekçesiyle yazılı olarak itiraz edebilir. İtiraz çözülemezse Müşteri, etkilenen hizmeti cezasız feshedebilir.
• Alt İşleyen Sözleşmeleri: Molvek, görevlendirdiği her alt işleyenle GDPR Madde 28(4) uyarınca kişisel verilerin korunması bakımından bu DPA’daki yükümlülüklere eşdeğer veri koruma yükümlülükleri içeren sözleşmeler akdeder ve alt işleyenin yükümlülüklerini yerine getirmemesinden Müşteri’ye karşı sorumlu kalmaya devam eder.

5. Güvenlik Önlemleri (GDPR Madde 28(3)(c) ve Madde 32)

Molvek, işlenen kişisel verilerin güvenliğini sağlamak için aşağıdaki teknik ve organizasyonel önlemleri uygular:

1. Aktarım ve Depolama Güvenliği: Tüm istemci ve API bağlantıları şifreli aktarım (HTTPS/TLS) üzerinden yürütülür. Müşteri adına saklanan üçüncü taraf kanal bağlantı bilgileri ve erişim belirteçleri depolama sırasında şifrelenir.
2. Kimlik Doğrulama Güvenliği: Operatör parolaları açık metin olarak saklanmaz; yalnızca tek yönlü kriptografik parola özeti olarak tutulur. Doğrulama, şifre sıfırlama ve oturum belirteçleri veritabanında açık metin olarak değil, yalnızca kriptografik özet değeri olarak saklanır.
3. Mantıksal Kiracı İzolasyonu ve En Az Yetki İlkesi: Her işletme hesabının verileri (iletişim kişileri, görüşmeler, mesajlar, bilgi bankası kayıtları ve arama vektörleri) işletme kimliği bazında mantıksal olarak izole edilir. Uygulama, arka plan işleme ve veritabanı erişimleri en az yetki ilkesine göre ayrıştırılır.
4. Kötüye Kullanım ve Otomatik İstismar Koruması: Açık kayıt, e-posta doğrulama ve şifre sıfırlama uç noktaları Cloudflare Turnstile doğrulaması ve IP adresinden türetilen tek yönlü kötüye kullanım anahtarına dayalı hız sınırları ile korunur.
5. Yönetici Erişim Güvenliği: Üretim altyapısına yönetici erişimleri çok faktörlü kimlik doğrulama (MFA) ve erişim kontrolleri ile sınırlandırılır.

6. Uluslararası Veri Aktarımları (GDPR Bölüm V)

• AB Barındırma Konumu: Molvek’in uygulama ve veritabanı altyapısı AB (Hollanda / Almanya) veri merkezlerinde barındırılır.
• AEA Dışı Aktarım Güvenceleri: Yapay zekâ işleme veya ağ güvenliği/doğrulama hizmetleri kapsamında kişisel verilerin Avrupa Ekonomik Alanı (AEA) dışına aktarılması gerektiği ölçüde, aktarımlar Avrupa Komisyonu’nun yürürlükteki Standart Sözleşme Maddeleri (SCC — Komisyon Uygulama Kararı (AB) 2021/914) veya geçerli yeterlilik kararları ve ek teknik önlemler çerçevesinde gerçekleştirilir.

7. İlgili Kişi Talepleri, Veri İhlali Bildirimi ve İşbirliği (GDPR Madde 28(3)(e)–(f))

• İlgili Kişi Hakları: Molvek, işlemenin niteliğini dikkate alarak, Müşteri’nin GDPR Bölüm III kapsamındaki ilgili kişi başvurularına (erişim, düzeltme, silme, kısıtlama, taşınabilirlik ve itiraz) yanıt verme yükümlülüğünü yerine getirmesine uygun teknik ve organizasyonel önlemlerle yardımcı olur.
• Kişisel Veri İhlali Bildirimi: Molvek, Müşteri adına işlediği kişisel verileri etkileyen bir kişisel veri ihlalinden haberdar olunca Müşteri’ye gecikmeksizin, en geç 48 saat içinde kayıtlı iletişim adresinden yazılı olarak bildirir ve Müşteri’nin GDPR Madde 33 ve 34 kapsamındaki bildirim yükümlülüklerini yerine getirmesi için makul işbirliği sağlar.
• Etki Değerlendirmesi ve Ön Danışma: Molvek, elindeki bilgiler ve işlemenin niteliği ölçüsünde GDPR Madde 35 (veri koruma etki değerlendirmesi) ve Madde 36 (denetim makamıyla ön danışma) yükümlülüklerinde Müşteri’ye yardımcı olur.

8. Denetim ve Uyum Kanıtları (GDPR Madde 28(3)(h))

Molvek, bu DPA kapsamındaki yükümlülüklerine uyumu göstermek için gerekli bilgileri Müşteri’nin makul yazılı talebi üzerine sunar. Müşteri, güvenlik ve diğer müşterilerin veri gizliliği korunmak ve normal çalışma saatleri içinde yürütülmek kaydıyla, en az 30 gün önceden yazılı bildirim yaparak yılda en fazla bir kez denetim yapabilir. Yetkili bir makamın talebi veya bir kişisel veri ihlali sonrası yapılan denetim bu sınırın dışındadır.

9. Verilerin Silinmesi, İadesi ve Yasal Saklama İstisnaları (GDPR Madde 28(3)(g))

1. Hesap Kapatma ve Silme: Hizmetin sona ermesi veya Müşteri’nin yazılı silme talebi üzerine Molvek, Müşteri’nin tercihine göre Müşteri adına işlenen kişisel verileri (iletişim kişileri, görüşmeler, mesajlar, bilgi bankası metinleri, arama vektörleri, bağlantı bilgileri ve operatör kimlik doğrulama kayıtları) siler veya iade eder; AB veya Estonya hukuku saklamayı zorunlu kılmadıkça mevcut kopyaları siler.
2. Operasyonel E-posta Teslimat Bilgileri: Hesap açılışı ve doğrulama sürecine ilişkin operasyonel e-posta teslimat ve hata kayıtları yalnızca güvenlik ve kötüye kullanım önleme amacıyla sınırlı süreyle tutulur ve sürenin sonunda otomatik olarak temizlenir.
3. Sözleşme Onay Kayıtlarının 3 Yıl Saklanması: İşletme hesabı silindiğinde, yasal belgelerin kabul edildiğini kanıtlayan onay kayıtları adsız ve e-postasız halde (belge türü, sürümü, özet değeri ve onay zamanı ile sınırlı olarak) Estonya Medeni Kanunu Genel Hükümler Yasası (TsÜS) § 146 lg 1 uyarınca 3 yıl süreyle saklanır ve bu sürenin sonunda kalıcı olarak silinir.
4. Muhasebe Kayıtları: Faturalandırma ve muhasebe belgeleri Estonya Muhasebe Yasası (Raamatupidamise seadus) § 12 uyarınca 7 yıl süreyle saklanır.

---

Ek-1 — Kişisel Veri İşleme Ayrıntıları