Veri İşleme Şartları

1. Roller — kim neyin sorumlusu

Bu şartlar, Kullanım Koşulları'nın ayrılmaz ekidir ve Tecrübe'yi kullanan her müşteri için, ayrıca imzalanmasa da geçerlidir.

Taraflar: hizmeti kullanan müşteri (“siz”) ile Hero Invest Ltd (“Tecrübe”), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, Birleşik Krallık · Kayıt ülkesi: Birleşik Krallık (İngiltere ve Galler) · Şirket numarası: 14955675. Veri işleyen sıfatıyla yükümlülükleri üstlenen tüzel kişi Hero Invest Ltd'dir; bu şartlarda geçen “Tecrübe” bu şirketi ifade eder.

MÜŞTERİ VERİSİ (sizin kendi müşterilerinizin verisi: kişi listeleri, gelen mesajlar, dönüşüm kayıtları): burada siz veri sorumlususunuz, Tecrübe veri işleyendir. Hangi veriyi topladığınıza, hangi hukuki sebeple işlediğinize ve kime ne söyleyeceğinize siz karar verirsiniz; Tecrübe yalnız sizin talimatınızla işler.

HESAP VERİSİ (sizin ve ekibinizin adı, e-postası, oturum kayıtları, fatura bilgileri): burada Tecrübe veri sorumlusudur ve Gizlilik Politikası uygulanır. Bu ayrım önemlidir: aynı ürün içinde iki farklı hukuki rol vardır ve haklarınız hangi veri olduğuna göre değişir.

Tecrübe hiçbir koşulda Müşteri Verisi'ni kendi amaçları için — ürün geliştirme, model eğitimi, pazarlama — kullanmaz. Bir istisna yoktur; olsaydı burada yazardı.

2. İşlemenin konusu, süresi, niteliği ve amacı

Konu: Tecrübe hizmetinin sunulması. Süre: aboneliğiniz sürdüğü müddetçe ve sona ermesinden sonra 10. maddedeki iade/imha süresi kadar.

İşleme faaliyetleri: saklama, düzenleme, sorgulama, iletme (bağladığınız platformlara), silme ve yapay zekâ modelleriyle metin üretimi.

Veri kategorileri: iletişim bilgileri (ad, e-posta, telefon), mesaj içerikleri, davranış ve dönüşüm verisi, sizin yüklediğiniz listeler ve içerikler.

İlgili kişi grupları: sizin müşterileriniz, potansiyel müşterileriniz, size mesaj gönderen kişiler ve ekibinizin üyeleri.

Özel nitelikli kişisel veri: hizmet bu veriyi işlemek üzere tasarlanmamıştır. Yüklerseniz ek koruma ve açık rıza yükümlülüğü size aittir.

3. Talimatla işleme

Tecrübe, Müşteri Verisi'ni yalnız sizin belgelendirilmiş talimatınız doğrultusunda işler. Hizmeti kullanmanız — bir kampanya açmanız, bir liste yüklemeniz, bir otomasyonu etkinleştirmeniz — bu anlamda talimattır.

Bir talimatın mevzuata aykırı olduğunu düşünürsek size bildirir ve o talimatı yerine getirmeyi durdurabiliriz.

Mevzuat bizi bir işlemeye zorlarsa (mahkeme kararı, idari talep) ve bildirim yasaklanmamışsa, işlemeden önce sizi bilgilendiririz.

4. Gizlilik ve güvenlik

Müşteri Verisi'ne erişimi olan herkes gizlilik yükümlülüğü altındadır ve erişim, işin gerektirdiği en dar kapsamla sınırlıdır.

Uygulanan teknik tedbirler: aktarımda ve durağan hâlde şifreleme, kiracı verilerinin veritabanı düzeyinde satır bazlı yalıtımı (RLS), parolaların argon2id ile saklanması, sağlayıcı sırlarının ayrı anahtarla şifrelenmesi, yetkiye dayalı erişim ve her yetkili işleminin denetim defterine yazılması.

İdari tedbirler: personel erişiminin kayda bağlanması, destek amaçlı kiracı görünümünün hem bakan hem bakılan tarafa görünür bir şeritle gösterilmesi, düzenli yedekleme ve geri dönüş provası.

Bu tedbirler zamanla değişebilir; değişiklik güvenlik düzeyini düşürecek nitelikte olamaz.

5. Alt işleyenler

Tecrübe, hizmeti sunmak için alt işleyen kullanır. Güncel liste, kim olduğu, ne amaçla ve hangi ülkede işlediğiyle birlikte Gizlilik Politikası'nın 9. bölümünde adıyla yayımlanır.

Yeni bir alt işleyen eklendiğinde ürün içi bildirimle duyurulur. Eklemeye makul bir gerekçeyle itiraz ederseniz, itirazınızı değerlendiririz; çözülemezse aboneliğinizi cezasız feshedebilir ve kullanılmamış dönemin bedelini geri alabilirsiniz.

Her alt işleyenle, bu şartlardakine denk yükümlülükleri içeren bir sözleşme yapılır. Alt işleyenin fiilinden Tecrübe kendi fiili gibi sorumludur.

Yapay zekâ sağlayıcılarına gönderilen veri, istenen işin gerektirdiğiyle sınırlıdır: marka profili, kampanya bağlamı ve yanıt taslağı istendiğinde ilgili mesajın metni gider. Müşterilerin adı, telefonu ve e-postası — mesaj metninin içinde geçenler dahil — gönderilmeden önce maskelenir (ör. “Müşteri #ab12cd”, “+90 5 * **12”). Bu sağlayıcılar (OpenAI ve kullanıldığında Anthropic) ABD'dedir; aktarım 6. maddedeki güvencelerle yapılır.

6. Yurt dışına aktarım

Bazı alt işleyenler Birleşik Krallık, Avrupa Ekonomik Alanı ve Türkiye dışındadır (özellikle yapay zekâ sağlayıcıları ve reklam platformları). Aktarım, UK GDPR, GDPR Bölüm V ve KVKK m.9 çerçevesinde; uygun olduğu ölçüde standart sözleşme hükümleri (Birleşik Krallık için Uluslararası Veri Aktarım Eki ile), yeterlilik kararı veya açık rıza dayanağıyla yapılır.

Hangi alt işleyenin hangi ülkede işlediği, Gizlilik Politikası'ndaki listede her satırın yanında yazar.

7. İlgili kişi talepleri ve size yardım

Bir ilgili kişi doğrudan Tecrübe'ye başvurursa, talebi kendimiz cevaplamaz, size yönlendiririz — o veride sorumlu sizsiniz.

Erişim, düzeltme, silme ve taşınabilirlik taleplerini karşılayabilmeniz için gereken araçlar üründe hazırdır: Ayarlar › Güvenlik › “Verilerimi indir” bölümünden verilerin makine tarafından okunabilir kopyası ZIP olarak indirilebilir (24 saatte en çok 3 kez); silme talepleri en geç 30 gün içinde tamamlanır. Aracın yetmediği durumda makul ölçüde teknik yardım sağlarız.

Veri koruma etki değerlendirmesi (KVKK/GDPR m.35) yapmanız gerekirse, bizde olan bilgileri makul ölçüde sağlarız.

8. İhlal bildirimi

Müşteri Verisi'ni etkileyen bir güvenlik ihlalini öğrenmemizden itibaren gecikmeksizin ve en geç 24 saat içinde size bildiririz. Bu süre, sizin Kurul'a 72 saat içinde bildirim yapabilmeniz için bilerek kısa tutulmuştur.

Bildirim şunları içerir: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kayıt sayısı, olası sonuçlar, alınan ve alınacak tedbirler, iletişim kurulacak kişi.

İlk bildirimde her şey bilinmiyorsa eksik bilgi gecikmeden tamamlanır; beklemek, bildirmemek anlamına gelmez.

9. Denetim

Bu şartlara uyumu gösterebilmek için gerekli bilgiyi talebiniz üzerine sağlarız.

Yılda bir kez, makul bildirimle ve mesai saatleri içinde, gizlilik yükümlülüğü altındaki bir denetçiyle denetim yapabilirsiniz. Denetim, diğer müşterilerin verisine erişim içeremez ve hizmeti aksatmayacak biçimde yürütülür.

10. Sözleşme sonunda iade ve imha

Aboneliğiniz sona erdiğinde Müşteri Verisi otuz gün boyunca dışa aktarılabilir durumda tutulur; bu süre içinde panelden indirebilirsiniz.

Otuz günün sonunda veri silinir. Silme geri alınamaz ve silmeden yedi gün önce e-posta ile hatırlatılır.

Yedeklerdeki kopyalar, yedek döngüsü içinde (en çok doksan gün) kendiliğinden düşer; o süre boyunca erişime kapalı ve şifreli kalır.

Mevzuatın saklamayı zorunlu kıldığı kayıtlar (fatura, denetim defteri) yasal süresi boyunca saklanır ve yalnız o amaçla işlenir.