Veri İşleme Sözleşmesi

Son güncelleme: 31 Ekim 2026

Bu metindeki köşeli parantezli alanlar henüz doldurulmadı: LEGAL_COMPANY_NAME, LEGAL_ADDRESS, LEGAL_EMAIL.

Bu Veri İşleme Sözleşmesi (“Sözleşme”), Gentz AI platformunu (“Platform”) kullanan ajans ve işletmelerin (“Müşteri”) Platformda işlediği kişisel veriler bakımından platform işleticinin (“Şirket”) veri işleyen olarak yükümlülüklerini düzenler ve Kullanım Koşulları’nın ayrılmaz parçasıdır.

Unvan

[LEGAL_COMPANY_NAME]

Adres

[LEGAL_ADDRESS]

E-posta

[LEGAL_EMAIL]

1. Roller

Müşteri, Platformda kendi müşterilerine, çalışanlarına ve iletişim kurduğu kişilere ait kişisel verileri işlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca veri sorumlusudur. [LEGAL_COMPANY_NAME], bu verileri yalnızca Müşteri adına ve talimatları doğrultusunda işleyen veri işleyendir.

Ajans, Platformu kendi müşterisi olan işletmeler adına kullanıyorsa bu işletmelerle gerekli sözleşmeleri yapmaktan ve bu Sözleşmedeki yükümlülükleri onlara da yansıtmaktan sorumludur.

2. İşlemenin konusu, amacı ve süresi

İşleme; Platformun sunulması, barındırılması, yedeklenmesi, güvenliğinin sağlanması, destek verilmesi ve Müşteri’nin etkinleştirdiği özelliklerin (mesajlaşma, yapay zekâ asistanı, randevu, ödeme, reklam raporları vb.) çalıştırılması amacıyla, sözleşme süresince yapılır.

3. Veri kategorileri ve ilgili kişiler

Müşteri’nin kullanımına göre işlenebilecek başlıca veriler:

• İlgili kişiler: Müşteri’nin müşterileri ve potansiyel müşterileri, mesajlaştığı kişiler, form dolduranlar, çalışanları ve Platform kullanıcıları.
• Kimlik ve iletişim: ad soyad, telefon, e-posta, WhatsApp ve Instagram kullanıcı kimlikleri.
• Müşteri işlem: mesaj içerikleri, notlar, randevular, teklifler, satışlar, paket / seans kullanımları, ödeme durumu, memnuniyet yanıtları.
• Pazarlama: kaynak ve kampanya atıfı, iletişim tercihleri, rıza kayıtları, sadakat puanları.
• İşlem güvenliği: oturum, IP ve işlem kayıtları.

Kart bilgileri Platformda saklanmaz; ödemeler doğrudan ödeme kuruluşunun altyapısında işlenir. Müşteri, gerekmedikçe özel nitelikli kişisel veri (ör. sağlık verisi) girmemeyi; giriyorsa KVKK m. 6’daki şartları sağlamayı kabul eder.

4. Şirket’in yükümlülükleri

• Kişisel verileri yalnızca Müşteri’nin belgelenmiş talimatları (Platform ayarları ve kullanımı dâhil) doğrultusunda işlemek; bir talimatın hukuka aykırı olduğunu düşünürse Müşteri’yi bilgilendirmek.
• Verilere erişen personelini gizlilik yükümlülüğü altına almak ve erişimi görev gereğiyle sınırlamak.
• Aşağıda belirtilen teknik ve idari tedbirleri uygulamak.
• İlgili kişi başvurularının yanıtlanmasında Müşteri’ye destek olmak; Platformdaki veri dışa aktarma, anonimleştirme, iletişim tercihi ve rıza yönetimi araçlarını sunmak.
• Bir veri ihlalini öğrendiğinde Müşteri’yi gecikmeksizin ve en geç 48 saat içinde bilgilendirmek; ihlalin niteliği, etkilenen veriler ve alınan önlemler hakkında Müşteri’nin Kişisel Verileri Koruma Kurulu’na bildirim yapabilmesi için gereken bilgileri sağlamak.

5. Teknik ve idari tedbirler

• Her ajans ve işletmenin verisinin uygulama ve veritabanı seviyesinde (satır düzeyinde güvenlik) birbirinden ayrılması.
• Rol ve atama bazlı yetkilendirme; çalışanların yalnızca atandıkları işletme ve konuşmalara erişmesi.
• Yönetici hesapları için iki adımlı doğrulama ve oturum yönetimi.
• Entegrasyon erişim anahtarlarının şifreli saklanması; aktarımda şifreli bağlantı (TLS) kullanılması.
• Önemli işlemlerin denetim kaydına alınması; destek amaçlı erişimin gerekçeli, süreli ve kayıtlı olması.
• Düzenli yedekleme, güvenlik güncellemeleri ve en az yetki ilkesi.

6. Alt veri işleyenler

Müşteri, Şirket’in hizmeti sunmak için aşağıdaki kategorilerde alt veri işleyen kullanmasına genel izin verir. Şirket, alt veri işleyenlere bu Sözleşmedekilerle eşdeğer yükümlülükler yükler ve onların eylemlerinden Müşteri’ye karşı sorumludur. Yeni bir alt veri işleyen eklenmeden en az 15 gün önce Müşteri bilgilendirilir; Müşteri haklı gerekçeyle itiraz edebilir.

• Barındırma, veritabanı, dosya depolama ve yedekleme: [LEGAL_HOSTING].
• E-posta gönderim hizmetleri.
• Yapay zekâ modeli sağlayıcısı (Anthropic, PBC): yalnızca Müşteri yapay zekâ özelliklerini etkinleştirdiğinde ve yalnızca ilgili konuşma ve bilgi içerikleri için (bkz. Gizlilik Politikası §5).
• Müşteri’nin kendi hesabıyla bağladığı Meta Platforms (WhatsApp, Instagram, Facebook, reklamlar) ve ödeme kuruluşları (iyzico, PayTR); bu sağlayıcılarla ilişki Müşteri’nin kendi sözleşmelerine de tabidir.

7. Yurt dışına aktarım

Alt veri işleyenlerin bir kısmı yurt dışında bulunabilir. Bu durumda aktarım, KVKK m. 9’da öngörülen güvencelerden biri (yeterlilik kararı, Kişisel Verileri Koruma Kurulu’na bildirilen standart sözleşme vb.) sağlanarak yapılır. Yurt dışında işleme gerektiren isteğe bağlı özellikler (ör. yapay zekâ asistanı) Müşteri tarafından etkinleştirilmedikçe kullanılmaz.

8. Müşteri’nin yükümlülükleri

• Kişisel verileri hukuka uygun bir işleme şartına dayanarak toplamak ve ilgili kişileri aydınlatmak.
• Ticari elektronik ileti göndermeden önce gerekli onayları almak ve İYS kayıtlarını yönetmek.
• İlgili kişi başvurularını yanıtlamak ve gerektiğinde Kurul’a bildirim yapmak.
• Kullanıcılarını yetkilendirirken en az yetki ilkesine uymak.

9. Denetim

Şirket, bu Sözleşmeye uyumu gösteren bilgileri makul talep üzerine Müşteri’ye sağlar. Müşteri, en az 30 gün önceden bildirmek, yılda bir kez ile sınırlı olmak, gizlilik taahhüdü vermek ve masrafları kendisine ait olmak üzere denetim talep edebilir.

10. Sözleşmenin sona ermesi

Abonelik sona erdiğinde Müşteri verilerini dışa aktarabilir. Çalışma alanı verileri, kanunen saklanması zorunlu olanlar hariç, aboneliğin sona ermesinden itibaren en geç 30 gün içinde silinir veya anonim hâle getirilir; Müşteri talep ederse bu durum yazılı olarak teyit edilir.

11. Uygulanacak hukuk ve iletişim

Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir; uyuşmazlıklarda [LEGAL_JURISDICTION] yetkilidir. Sorularınız için: [LEGAL_EMAIL].