B2B Veri İşleme Sözleşmesi (Data Processing Agreement - DPA)

İşbu B2B Veri İşleme Sözleşmesi ("DPA"); https://gelsinsatislar.com internet alan adında ve bağlı yazılım servislerinde faaliyet gösteren GelsinSatışlar Bilişim ve Yazılım Anonim Şirketi("Veri İşleyen" veya "GelsinSatışlar") ile Platform'a abone olarak hizmet alan gerçek veya tüzel kişi tacir ("Veri Sorumlusu" veya "Abone") arasında akdedilmiştir.

İşbu Sözleşmenin amacı; Abone'nin Platform'a entegre ettiği WhatsApp iletişim kanalı, sipariş süreçleri ve müşteri veri tabanı üzerinden GelsinSatışlar sistemine aktarılan kişisel verilerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili alt mevzuata tam uyumlu biçimde işlenmesini, korunmasını ve güvenliğini temin etmektir.

2.1. Abone'nin Rolü (Veri Sorumlusu): Abone, Platform aracılığıyla iletişim kurduğu kendi müşterilerinin, son kullanıcıların ve çalışanlarının kişisel verilerinin işleme amaçlarını ve vasıtalarını belirleyen yegane "Veri Sorumlusu"dur. Abone, bahse konu ilgili kişilere karşı KVKK m. 10 uyarınca aydınlatma yükümlülüğünü yerine getirdiğini ve gerekmesi halinde m. 5/1 uyarınca açık rızalarını temin ettiğini taahhüt eder.

2.2. GelsinSatışlar'ın Rolü (Veri İşleyen): GelsinSatışlar, Abone'nin Platforma aktardığı üçüncü şahıs müşteri verileri bakımından KVKK m. 3/1-ğ bendi uyarınca münhasıran "Veri İşleyen"sıfatını haizdir. GelsinSatışlar, bu verileri yalnızca Abone'nin SaaS yazılımını kullanma amacına yönelik talimatları kapsamında işler; verileri kendi nam ve hesabına bağımsız bir veri sorumlusu olarak işleyemez, üçüncü kişilere satamaz veya kiralayamaz.

İşbu Sözleşme kapsamında Veri İşleyen sıfatıyla işlenen veriler şunlardır:

• İlgili Kişi Grubu: Abone'nin mevcut veya potansiyel müşterileri, sipariş sahipleri ve WhatsApp üzerinden mesajlaşan son kullanıcılar.
• Kişisel Veri Kategorileri: Kimlik (Ad, soyad), İletişim (Telefon numarası, e-posta, teslimat adresi), Müşteri İşlem (Sipariş detayları, ürün talepleri, sepet bilgileri), Görsel/İşitsel (WhatsApp üzerinden gönderilen görsel, katalog, ses veya belge dosyaları) ve Mesajlaşma İçerikleri.
• Özel Nitelikli Veri Yasağı: Abone, KVKK m. 6 kapsamında yer alan özel nitelikli kişisel verileri (sağlık, ceza mahkumiyeti, biyometrik veri vb.) Platform aracılığıyla işlememeyi ve sisteme yüklememeyi kabul eder.

Veri İşleyen, işbu Sözleşme kapsamında aşağıdaki temel yükümlülüklere uymayı taahhüt eder:

• Kişisel verileri yalnızca Veri Sorumlusu Abone'nin yazılı talimatları, ana Kullanım Koşulları ve Platform'un teknik özellikleri çerçevesinde işlemek.
• Veri işleme yetkisi verilen şirket personelinin gizlilik sözleşmelerine veya kanuni gizlilik yükümlülüğüne tabi olmasını temin etmek.
• Kişisel verileri, Veri Sorumlusu'nun önceden yazılı onayı olmaksızın kendi ticari hedefleri, pazar araştırması veya reklam amaçları doğrultusunda kullanmamak.
• İlgili kişilerin KVKK m. 11 kapsamındaki hak taleplerini yanıtlaması için Veri Sorumlusu'na teknik imkanlar dahilinde makul desteği sunmak.

Veri Sorumlusu, bulut tabanlı SaaS hizmetinin doğası gereği Veri İşleyen'in aşağıdaki alt işleyen altyapı sağlayıcılarından hizmet almasını işbu Sözleşme ile peşinen onaylar:

• Meta Platforms Ireland Ltd. / WhatsApp LLC: Resmi WhatsApp Cloud API mesaj iletimi ve altyapı bağlantısı.
• Amazon Web Services (AWS) / Supabase Inc.: Yüksek güvenlikli şifreli bulut sunucu barındırma ve veri tabanı yedekleme.
• OpenAI OpCo LLC: Abone'nin talebiyle aktive edilen yapay zeka satış asistanı metin yanıt üretimi (Model eğitimi yasağı kuralları altında).
• Lisanslı Ödeme Kuruluşları (iyzico / PayTR): PCI-DSS uyumlu abonelik tahsilat geçitleri.

Veri İşleyen, alt işleyenlerle yapacağı sözleşmelerde işbu DPA'da yer alan veri koruma standartlarına eşdeğer güvenlik yükümlülükleri tesis etmekten sorumludur.

Veri İşleyen, KVKK m. 12/2 hükmü uyarınca, işlediği kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek üzere sektör standardı teknik tedbirleri alır:

• Aktarım Güvenliği: Tüm internet ve API trafiğinde minimum TLS 1.2 / TLS 1.3 şifreleme.
• Depolama Güvenliği: Veritabanında saklanan hassas alanların ve API anahtarlarının AES-256 standardıyla kriptografik şifrelenmesi.
• Veri İzolasyonu (Tenant Isolation): Çok kiracılı mimaride her Abone'nin müşteri verilerinin mantıksal olarak birbirinden tamamen ayrılması.
• Erişim Kısıtı: Sistemlere erişimde en az yetki prensibi, iki adımlı doğrulama (2FA) ve düzenli denetim loglaması.

Veri İşleyen, Abone'ye ait kişisel verileri etkileyen doğrulanmış bir güvenlik ihlali veya yetkisiz erişim hadisesi tespit etmesi halinde; durumu öğrendiği andan itibaren gecikmeksizin ve en geç 24 (yirmi dört) saat içindeVeri Sorumlusu Abone'ye yazılı veya kayıtlı e-posta ile bildirir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve alınan telafi edici tedbirler açıklanır.

Veri İşleyen, işbu Sözleşme kapsamındaki yükümlülüklere uyumu kanıtlamak üzere makul bilgi, güvenlik sertifikası ve denetim raporlarını Veri Sorumlusu'nun talep etmesi halinde sunar. Kişisel Verileri Koruma Kurulu tarafından gerçekleştirilecek resmi denetimlerde gerekli teknik ve hukuki iş birliği sağlanır.

Abonelik ilişkisinin herhangi bir sebeple sona ermesi halinde Veri İşleyen; mevzuatta saklanması zorunlu olan mali ve kanuni log kayıtları hariç olmak üzere, Abone'ye ait tüm müşteri mesajlaşma ve iletişim verilerini en geç 30 (otuz) güniçerisinde sistemlerinden, veritabanlarından ve yedekleme birimlerinden geri getirilemeyecek şekilde güvenle imha eder veya Veri Sorumlusu'nun talep etmesi halinde standart formatta (JSON/CSV) Abone'ye teslim eder.

İşbu Sözleşme, Abone'nin Platform'a üye olması veya hizmet paketini satın almasıyla elektronik ortamda yürürlüğe girer ve taraflar arasındaki ana Hizmet Sözleşmesi devam ettiği sürece yürürlükte kalır. Sözleşmeden doğan uyuşmazlıklarda Türk Hukuku uygulanır ve İstanbul (Çağlayan) Mahkemeleri ve İcra Daireleri yetkilidir.