İçeriğe geç
1click.talk Yasal metinler
Yasal metinler

Veri işleyen sözleşmesi eki (DPA)

Sürüm 1 · 25.08.2026

1click.talk — Veri İşleyen Sözleşmesi Eki / DPA (taslak)

Bu metin nedir: Bulut Santral (ve Yerinde+Bulut AI'nin AI ses akışı kısmı) için LigaTech'in veri işleyen sıfatıyla üstlendiği yükümlülükleri tarif eden ek sözleşmedir (Data Processing Addendum). Kime gösterilir: LigaTech'i veri işleyen olarak kullanan her kurumsal müşteri; hizmet sözleşmesinin eki olarak sunulur. Neye dayanıyor: notes/cloud-urun-ayrimi-plani.md §2/§5, panel/config/asistan.php (gerçek alt işleyen: OpenAI), notes/decisions.md K-C0-1 (Stripe).

Avukat onayı gerekli. Bu metin hukuki taslaktır, imzaya/yayına hazır değildir — KVKK'nın veri işleyen yükümlülükleri (md. 12) ve varsa GDPR karşılaştırması avukat tarafından teyit edilmelidir.

1. Taraflar ve kapsam

Veri sorumlusu: Müşteri (kurum). Veri işleyen: LigaTech Inc. Bu ek yalnız aşağıdaki SKU'larda geçerlidir:

  • Bulut Santral: tüm çağrı verisi (ses kaydı, CDR, IVR etkileşimi)
  • Yerinde + Bulut AI: yalnız AI asistanın işlediği ses akışı; çağrı kaydı, CDR ve diğer santral verisi kurumda kalır, bu ek onları kapsamaz.

Yerinde + Yerel AI SKU'sunda LigaTech hiçbir veriyi işlemez, bu ek uygulanmaz.

2. İşlenen veri kategorileri ve amaç

kvkk-aydinlatma-metni.md §2/§3 ile aynıdır: çağrı ses kaydı, CDR, AI asistan konuşma içeriği — hizmetin verilmesi ve faturalandırma amacıyla.

3. Alt işleyenler

Alt işleyen Rol Veri kategorisi
OpenAI, L.L.C. Gerçek zamanlı ses tanıma/üretim (model: gpt-realtime), transkripsiyon (gpt-4o-mini-transcribe) AI asistanla yapılan konuşmanın sesi ve metni
Stripe, Inc. Ödeme işleme Ad, e-posta, ödeme bilgisi (çağrı verisi değil)

Yeni bir alt işleyen eklenmeden önce müşteriye en az 30 gün önceden yazılı bildirim yapılır [öneri] (GDPR/KVKK sektör pratiği); müşteri gerekçeli itiraz hakkına sahiptir.

Veri yeri: OpenAI ve Stripe ABD merkezli işler (varsayılan bölge) [öneri]; KVKK md. 9 gereği yurt dışı aktarım, müşterinin (veri sorumlusunun) kendi veri sahiplerinden aldığı açık rızaya dayandırılır. Bkz. kvkk-aydinlatma-metni.md §2'deki ölçülmüş boşluk: ürünün bugünkü anonsu bu rızayı tek başına karşılamıyor, kurumun karşılama metnine ek cümle koyması önerilir.

4. Silme ve iade

Sözleşme sona erdiğinde (iptal, süre bitimi) müşteri talebi üzerine:

  • Müşteri verisi (CDR, ses kaydı) 30 gün içinde silinir veya müşteriye dışa aktarılır (hangisi önce isteniyorsa) [öneri] (KVKK md. 13 — veri sorumlusunun taleplere en geç 30 gün içinde yanıt verme yükümlülüğüyle aynı süre, tutarlılık için seçildi).
  • Saklama süresi dolmuş veri zaten kvkk-aydinlatma-metni.md §5'teki varsayılan sürelere göre (ses kaydı 548 gün, denetim izi 1095 gün) otomatik olarak temizlenir; müşteri panelden bu süreyi kısaltabilir.
  • Yedeklerdeki (backup) kopyalar için silme, yedek rotasyon döngüsü tamamlanana kadar sürebilir. Ölçülmüş ürün davranışı: DB/config yedeği günlük alınır ve son 7 gün saklanır (scripts/backup-daily.sh varsayılanı --keep 7); ses kaydı arşiv yedeği ise canlı saklama süresiyle senkrondur (548 gün, scripts/kayit-yedek.sh KAYIT_SAKLAMA_GUN izler) — yani ses kaydı yedekte de aynı 548 günden geç kalmaz.

5. Veri ihlali bildirimi

LigaTech, kendi sistemlerinde meydana gelen ve müşteri verisini etkileyen bir güvenlik ihlalini fark ettiği andan itibaren en geç 72 saat içinde müşteriye yazılı olarak bildirir [öneri] (KVKK Kurulu Veri İhlali Bildirim Usul ve Esasları Tebliği ile GDPR'ın ortak standardı — sektör pratiği değil doğrudan mevzuat referansı). Bildirim en az şunları içerir: ihlalin niteliği, etkilenen veri kategorisi, alınan/ alınacak önlemler.

6. Güvenlik önlemleri

  • Ses akışı OpenAI'a şifreli bağlantı (TLS/WSS) üzerinden iletilir.
  • Alt işleyenlere erişim, kutu kimliğinin imzalı doğrulaması (Ed25519) ve lisans bayrağı kontrolüyle sınırlıdır — lisansı olmayan/kapalı bayraklı kurum dış AI adresine hiç bağlanamaz (notes/cloud-urun-ayrimi-plani.md §4).
  • Tenant (kiracı) izolasyonu kutu/instance düzeyindedir; bir müşterinin verisi başka bir müşterinin ortamından erişilemez.

7. Denetim hakkı

Müşteri, makul bildirim süresiyle, LigaTech'in bu ek kapsamındaki yükümlülüklerine uyumunu belgeyle (denetim raporu, sertifika) talep edebilir. Yerinde denetim izni verilir; koşullar: yılda en fazla 1 kez, en az 30 gün önceden yazılı bildirim, mesai saatleri içinde, müşterinin masrafı kendine ait [öneri] (SaaS sektör standardı).

Karar bekleyenler

Öneriyle dolduruldu; tek kaynak 00-karar-tablosu.md (madde D, E, F, G, H, I).

  1. Yeni alt işleyen bildirim süresi — öneri: 30 gün.
  2. OpenAI/Stripe veri işleme bölgesi ve yurt dışı aktarım gerekçesi — öneri: ABD, açık rıza. En riskli madde — bkz. kvkk-aydinlatma-metni.md'deki anons boşluğu.
  3. Talep sonrası azami silme süresi — öneri: 30 gün.
  4. Yedek saklama/rotasyon süresi — ölçüldü: DB/config 7 gün, ses kaydı arşivi 548 gün (canlı saklamayla senkron).
  5. İhlal bildirim süresi — öneri: 72 saat (mevzuat referanslı).
  6. Yerinde denetim izni koşulları — öneri: yılda 1, 30 gün önceden bildirimli.