Veri İşleme Sözleşmesi (DPA)

KVKK m.12/5 ve GDPR m.28 kapsamında Veri Sorumlusu (Müşteri) ile Veri İşleyen (Teknik Danışman) arasındaki standart sözleşme.

Son güncelleme: 2026-10-30

Bu sözleşme ne için? Teknik Danışman platformunu kullanan müşteri firmaları (örn. çalışan/donanım/lisans kaydı tutmak için panel kullananlar), KVKK ve GDPR kapsamında Veri Sorumlusu'dur. Biz, müşterinin talimatları doğrultusunda veriyi işleyen Veri İşleyen'iz. Bu DPA, ilişkiyi yazılı zemine oturtur ve Hizmet Sözleşmesi'nin ayrılmaz parçasıdır. Kurumsal müşteri diligence süreçlerinde DPA talep edildiğinde bu doküman geçerlidir; özel düzenleme için legal@teknikdanisman.net ile iletişime geçin.

1. Taraflar ve Tanımlar

Veri Sorumlusu / "Müşteri": Teknik Danışman panelini kullanan tüzel kişi (tenant).
Veri İşleyen / "Hizmet Sağlayıcı": Ali Enis Tekin (Teknik Danışman platformu işleticisi), kayıtlı adres: ADNAN KAHVECİ MAH. HASBAHÇE CAD.
HASBAHÇE HASBAHÇE SİTESİ A2 BLOK NO: 1 A İÇ KAPI NO: 3
Beylikdüzü / İstanbul 34528.
Veri Sahibi: Verisi işlenen gerçek kişi (genellikle Müşteri'nin çalışanı veya iş ortağı).
Kişisel Veri: KVKK m.3 ve GDPR m.4(1) anlamında.
İşleme: KVKK m.3 ve GDPR m.4(2) anlamında.
Alt İşleyen: Hizmet Sağlayıcı'nın hizmet kapsamında veri işlemekle görevlendirdiği üçüncü taraflar (sunucu, e-posta, ödeme vb.).

2. İşleme Konusu, Süresi, Türü ve Amacı

Konu	Müşteri'nin Teknik Danışman platformu üzerinden gerçekleştirdiği İK / IT / donanım yönetimi operasyonları kapsamında Veri Sahipleri'ne ait kişisel verilerin işlenmesi
Süre	Hizmet Sözleşmesi'nin yürürlükte olduğu süre boyunca + sözleşme sonrası 60 günlük veri-iadesi/silme penceresi
İşleme türü	Toplama, kaydetme, saklama, sıralama, sorgulama, kullanma, açıklama (yalnızca Müşteri'nin talimatları doğrultusunda), aktarma, silme
Amaç	Müşteri'nin İK ve IT operasyonlarını yürütmesi, bildirim, raporlama, faturalandırma

İşlenen Veri Kategorileri

Çalışan kimlik bilgileri (ad, TCKN — yalnızca Müşteri yüklerse)
İletişim bilgileri (e-posta, telefon)
İstihdam bilgileri (pozisyon, departman, işe başlangıç/çıkış tarihleri, izin/ihtar kayıtları)
Donanım/zimmet kayıtları (cihaz seri no, atanmış çalışan)
Yazılım lisans bilgisi
Sistem erişim ve audit log verileri
Müşteri adına saklanan teknik erişim bilgileri — ağ yapılandırması, modem/router panel ve servis erişim bilgileri (AES-256 şifreli)
Çalışan yazılım kullanım verisi (Shadow SaaS tespiti), yalnızca Müşteri bu özelliği etkinleştirdiğinde
Cihaz envanteri ve kurulu yazılım bilgisi, oturum açmış kullanıcı adı (envanter ajanı — yalnızca Müşteri kurduğunda)
Yardım masası temsilci performans özetleri — temsilci adı, e-postası, departmanları, günlük talep sayıları ve ortalama yanıt/çözüm süreleri, her eşitlemede (varsayılan günde bir, Müşteri'nin seçimine göre en sık 6 saatte bir) alınan açık/bekleyen/SLA'sı aşılmış talep sayıları (CRM bağlantısı — yalnızca Müşteri kendi CRM yardım masasını bağladığında; talep içeriği okunmaz)

Veri Sahibi Kategorileri

Müşteri'nin çalışanları
Müşteri'nin iş ortakları / hizmet aldığı taraflar
Müşteri'nin tedarikçi temsilcileri

3. Veri İşleyen'in Yükümlülükleri

Hizmet Sağlayıcı taahhüt eder ki:

Verileri yalnızca Müşteri'nin yazılı talimatları doğrultusunda işler. Bu DPA ve Hizmet Sözleşmesi yazılı talimat sayılır.
Verilerin gizliliğini korumakla yükümlü, gizlilik taahhüdü altında bulunan personeli atar.
KVKK m.12 ve GDPR m.32 kapsamında uygun teknik ve idari önlemleri uygular (detay Trust Center'da).
Müşteri'nin Veri Sahipleri'nin haklarına ilişkin başvurularını yerine getirmesinde kendisine yardımcı olur.
Müşteri'nin denetim hakkını kullanmasına makul ölçüde yardımcı olur (yılda bir kez ücretsiz audit raporu paylaşımı).
Veri ihlali durumunda Müşteri'yi 72 saat içinde bilgilendirir.
Sözleşme sona erdiğinde verileri, Müşteri'nin tercihine göre Müşteri'ye iade eder veya kalıcı olarak siler.

4. Müşteri'nin Yükümlülükleri

Müşteri taahhüt eder ki:

Veri Sahipleri'nden gerekli açık rızaları/aydınlatmaları KVKK m.10 uyarınca kendisi temin eder.
Platforma yalnızca işleme amacına uygun ve yasal olarak elde ettiği veriyi yükler.
Hesap erişim bilgilerini korur; yetkisiz erişimlerden Hizmet Sağlayıcı'yı haberdar eder.
Veri Sahipleri'ne sağladığı aydınlatma metninde Hizmet Sağlayıcı'nın Veri İşleyen sıfatıyla işleyeceğini belirtir.
Envanter ajanını kurduğu bilgisayarların kullanıcılarını KVKK m.10 uyarınca bilgilendirir.
CRM yardım masasını bağlamadan önce performansı ölçülen yardım masası temsilcilerini KVKK m.10 uyarınca bilgilendirir (şablon: crm_aydinlatma.php) ve çalışanlarla ilgili kararları yalnız karneye dayandırmaz.

5. Alt İşleyenler

Müşteri, aşağıdaki alt işleyenlerin kullanımına genel olarak onay verir. Yeni bir alt işleyen eklendiğinde Müşteri en az 30 gün önce bilgilendirilir ve makul itiraz hakkı saklıdır.

Alt İşleyen	Hizmet	Lokasyon
Hetzner Online GmbH	Uygulama ve veritabanı barındırma (tüm tenant verileri)	Almanya (AB)
PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.	Ödeme işleme	Türkiye
Amazon Web Services (Amazon S3, Amazon Bedrock)	(1) 10.10.2026'dan itibaren: gece alınan sistem yedeğinin ikinci sunucu dışı kopyası; sunucumuzdan çıkmadan AES-256 ile şifrelenir (anahtar AWS'de bulunmaz). (2) En erken 10.11.2026'dan itibaren: Anthropic Claude modeliyle AI yanıt üretimi, destek talebi sınıflandırma ve izleme raporu özeti (sohbet mesajları, yanıt için panelden çekilen ilgili kayıtlar, WhatsApp asistanına gönderilen PDF belgelerin metni, talep konu ve metni, izleme istatistikleri)	AB (Frankfurt) — AWS veri işleme eki (AB SCC dahil); AI istekleri yalnız AB bölgelerinde işlenir, varsayılan olarak saklanmaz, model eğitiminde kullanılmaz, model geliştiricisi Anthropic ile paylaşılmaz
Google LLC (Gemini API)	AI yanıt üretimi, isteğe bağlı AI evrak alan okuma, WhatsApp asistanına gelen sesli mesajların metne çevrilmesi, görsellerin okunması ve PDF belgelerle ilgili soruların yanıtlanması (sohbet mesajları, sohbet özeti, yanıt için panelden çekilen ilgili kayıtlar, yüklenen belge görüntüsü, sesli mesaj kaydı, ekran görüntüsü/fotoğraf ve PDF belgelerin sunucumuzda çıkarılan metni — ses sistemlerimizde saklanmaz; görsel yalnız kullanıcı «Talebe ekle» ya da kayıt olarak eklemeyi (sigorta poliçesi, donanım, ödeme) seçerse saklanır; PDF dosyasının kendisi yalnız okunabilir metni yoksa — taranmış belge — içeriğinin okunması için gönderilir)	ABD — ücretli katman, Google veri işleme eki kapsamında (AB SCC dahil); içerik Google ürünlerini geliştirmek için kullanılmaz
Groq, Inc.	AI yanıt üretimi (sohbet mesajları, sohbet özeti, yanıt için panelden çekilen ilgili kayıtlar, WhatsApp asistanına gönderilen PDF belgelerden okunan metin)	ABD — verileri saklamadığı sözleşmesel olarak taahhüt eder
NVIDIA Corporation (API kataloğu)	Anlamsal arama: AI sohbetine yazılan soru metnini sayısal vektöre dönüştürür	ABD — sağlayıcının API kullanım koşullarına tabidir
Microsoft Corp. / Google LLC	E-posta dağıtımı (Müşteri'nin OAuth ile bağladığı kendi tenant'ı üzerinden)	AB / ABD — SCC altında
Sentry (Functional Software, Inc.)	Hata izleme (stack trace, istek no, kullanıcı no — yalnızca yapılandırıldığında aktif)	ABD — SCC altında
Cloudflare, Inc. (Turnstile)	Panel içi iletişim formunda bot doğrulaması (IP adresi, tarayıcı sinyalleri)	ABD — SCC altında
Meta Platforms Ireland Ltd (WhatsApp Business Platform)	WhatsApp bildirimleri — yalnız yöneticinin açtığı ve numarasını bağlamış kullanıcılar: telefon numarası ve bildirim içeriği (tür, kayıt adı, şube adı, tarih, tutar ve sağlayıcı/sigorta şirketi gibi kayıt ayrıntıları; çalışan adı gönderilmez; kullanıcının kendi kurduğu kişisel hatırlatmada hatırlatma başlığı ve zamanı — not metni gönderilmez). WhatsApp asistanı — yalnız yöneticinin açtığı kullanıcılar: yazılı, sesli, görsel ya da PDF belge olarak gönderilen sorular ve belgeler ve kullanıcının yetkili olduğu panel kayıtlarından üretilen yanıtlar (personel adı gibi kayıt bilgileri içerebilir; şifre, lisans anahtarı ve kimlik numarası gönderilmez)	AB / ABD — SCC altında
Natro Bilişim A.Ş.	Genel tanıtım sitesinin yedek kopyası (kişisel veya tenant verisi barındırmaz)	Türkiye

Tarayıcı bildirimleri: Kullanıcı kendi cihazında tarayıcı bildirimlerini açarsa panel bildirimleri tarayıcı üreticisinin (Google, Microsoft, Apple ya da Mozilla) bildirim servisi üzerinden iletilir. İçerik gönderilmeden önce sunucumuzda uçtan uca şifrelenir (RFC 8291); bildirim servisi yalnız okuyamadığı şifreli veriyi taşır, içeriği işlemez. Açmak kullanıcının tercihidir.

CRM bağlantısı: Müşteri kendi CRM yardım masasını (ör. Zoho Desk) bağladığında platform, Müşteri'nin CRM'in kendi ekranında verdiği yetkiyle yalnız özet sayıları ve temsilci/departman listesini salt okunur olarak okur. CRM sağlayıcısı Müşteri'nin kendi sözleşmesi kapsamındaki hizmet sağlayıcısıdır, Hizmet Sağlayıcı'nın alt işleyeni değildir. Müşteri yöneticisi yapay zekâ önerisi istediğinde ayın özet sayıları, her temsilci bir kodla değiştirilerek Gizlilik Politikası'nda listelenen AI alt işleyenlerine gönderilir; temsilci adı, e-postası ve numarası gönderilmez, kod yalnız platformda temsilciyle eşleştirilir. Müşteri bağlantıyı kestiğinde veriler tamamen silinir.

6. Yurt Dışı Aktarım

KVKK m.9 ve GDPR Bölüm V kapsamında yurt dışı aktarımlar için aşağıdaki güvenlik tedbirleri uygulanır:

AB barındırma (Hetzner, Almanya): Uygulama ve tüm tenant veritabanları AB sınırları içinde barındırılır. Aktarım, sağlayıcının veri işleme sözleşmesi (AV-Vertrag) ve AB Standart Sözleşme Maddeleri (SCC 2021/914) ile güvenceye alınır; KVKK m.9 kapsamında uygun güvenceler uygulanır.
ABD aktarımları (Groq, Microsoft, Google e-posta, Sentry, Cloudflare, Meta): Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC 2021/914) imzalı
Amazon Web Services (Amazon S3, Amazon Bedrock): AB Standart Sözleşme Maddelerini içeren AWS veri işleme eki; depolama ve işleme AB'de (Frankfurt)
Google (Gemini API): AB Standart Sözleşme Maddelerini içeren Google veri işleme eki
NVIDIA (API kataloğu, anlamsal arama — yalnızca soru metni): ayrı bir veri işleme sözleşmesi bulunmaz; sağlayıcının standart kullanım koşullarına tabidir
Hassas veriler (özel nitelikli) yurt dışına aktarılmaz

AB barındırma aktarımı için KVKK Kurul Standart Sözleşme bildirimi tamamlanma aşamasındadır; tamamlandığında bu bölüm referans numarasıyla güncellenecektir.

7. Veri Güvenliği — Asgari Standartlar

Hizmet Sağlayıcı asgari olarak şu önlemleri uygular:

Şifreleme: Veriler transit'te TLS 1.2+, hassas alanlar rest'te AES-256-CBC ile şifreli.
Erişim kontrolü: Rol bazlı (RBAC), 2FA zorunluluğu admin hesaplarda, ayrıntılı audit log.
İzolasyon: Multi-tenant veritabanı izolasyonu — her Müşteri kendi veritabanına sahip.
Yedekleme: Saatlik veritabanı yedeği + günlük tam yedek (veritabanları ve dosyalar); AB içinde iki ayrı sağlayıcıda (Hetzner, AWS Frankfurt) şifreli (AES-256) sunucu dışı kopya, ikincisi 30 gün boyunca değiştirilemez. Geri yükleme her ay otomatik sınanır.
Olay yanıtı: 7/24 izleme, security@teknikdanisman.net üzerinden bildirim kanalı.
Personel: Erişim yetkisi olan tüm personel gizlilik sözleşmesi imzalı.

8. Veri İhlali Bildirimi

Hizmet Sağlayıcı, kişisel veri güvenliğini etkileyen bir ihlal tespit ettiğinde:

Müşteri'yi 72 saat içinde e-posta ve panel bildirimi ile bilgilendirir.
Bildirimde: ihlalin niteliği, etkilenen veri kategorisi, tahmini etkilenen Veri Sahibi sayısı, alınan ve alınacak önlemler yer alır.
İletişim için iletişim kişisi bilgileri paylaşılır.

9. Denetim ve Şeffaflık

Müşteri'nin denetim hakkı:

Yılda bir kez ücretsiz olarak self-assessment audit raporu talep edebilir.
Kurumsal müşteriler için ek olarak yılda bir kez 5 iş günü önceden bildirim ile saha denetimi yapılabilir (denetçi NDA imzalı olmak koşuluyla).
SOC 2 Type 1 raporu (hazırlık aşamasında) tamamlandığında ücretsiz erişim sağlanır.

10. Sözleşmenin Sona Ermesi

Sözleşme sona erdiğinde Müşteri'nin tercihine göre:

İade: Veriler 30 gün içinde makine-okunabilir format (JSON, CSV) ile teslim edilir.
Silme: 60 gün sonra tüm aktif veriler kalıcı olarak silinir; yedeklerden 90 gün içinde silinir.

Müşteri tercih bildirmezse hesap, ücretli dönemin bitiminden 15 iş günü sonra askıya alınır ve veriler askıya alma tarihinden itibaren 60 gün sonra kalıcı olarak silinir.

11. Sorumluluk

Tarafların sorumluluğu, Hizmet Sözleşmesi'nde belirtilen sınırlar dahilindedir. KVKK m.12/5 ve GDPR m.82 kapsamındaki tazminat yükümlülükleri saklıdır.

12. Uygulanacak Hukuk ve Yetki

Bu DPA, Türk hukukuna tabidir. Uyuşmazlıklarda İstanbul Çağlayan Mahkemeleri ve İcra Daireleri yetkilidir. Müşteri'nin GDPR kapsamında ikamet ülkesinde dava hakkı saklıdır.

13. Kabul ve Yürürlük

Müşteri, Hizmet Sözleşmesi'ni kabul ederek bu DPA'yı da kabul etmiş sayılır. Müşteri imzalı kopya talep ederse legal@teknikdanisman.net üzerinden iletişime geçebilir.

Not: Bu doküman hukuki bağlayıcılığı olan bir taslaktır ancak özel ihtiyaçlar için (örn. enterprise SSO entegrasyonu, sektöre özgü compliance), tarafların imzalayacağı özel bir DPA hazırlanabilir.