Veri İşleme Şartları

1. Roller — kim neyin sorumlusu

Bu şartlar, Kullanım Koşulları'nın ayrılmaz ekidir ve Tecrübe'yi kullanan her müşteri için, ayrıca imzalanmasa da geçerlidir.

MÜŞTERİ VERİSİ (sizin kendi müşterilerinizin verisi: kişi listeleri, gelen mesajlar, dönüşüm kayıtları): burada **siz veri sorumlususunuz**, Tecrübe veri işleyendir. Hangi veriyi topladığınıza, hangi hukuki sebeple işlediğinize ve kime ne söyleyeceğinize siz karar verirsiniz; Tecrübe yalnız sizin talimatınızla işler.

HESAP VERİSİ (sizin ve ekibinizin adı, e-postası, oturum kayıtları, fatura bilgileri): burada **Tecrübe veri sorumlusudur** ve Gizlilik Politikası uygulanır. Bu ayrım önemlidir: aynı ürün içinde iki farklı hukuki rol vardır ve haklarınız hangi veri olduğuna göre değişir.

Tecrübe hiçbir koşulda Müşteri Verisi'ni kendi amaçları için — ürün geliştirme, model eğitimi, pazarlama — kullanmaz. Bir istisna yoktur; olsaydı burada yazardı.

2. İşlemenin konusu, süresi, niteliği ve amacı

Konu: Tecrübe hizmetinin sunulması. Süre: aboneliğiniz sürdüğü müddetçe ve sona ermesinden sonra 6. maddedeki iade/imha süresi kadar.

İşleme faaliyetleri: saklama, düzenleme, sorgulama, iletme (bağladığınız platformlara), silme ve yapay zekâ modelleriyle metin üretimi.

Veri kategorileri: iletişim bilgileri (ad, e-posta, telefon), mesaj içerikleri, davranış ve dönüşüm verisi, sizin yüklediğiniz listeler ve içerikler.

İlgili kişi grupları: sizin müşterileriniz, potansiyel müşterileriniz, size mesaj gönderen kişiler ve ekibinizin üyeleri.

Özel nitelikli kişisel veri: hizmet bu veriyi işlemek üzere tasarlanmamıştır. Yüklerseniz ek koruma ve açık rıza yükümlülüğü size aittir.

3. Talimatla işleme

Tecrübe, Müşteri Verisi'ni yalnız sizin belgelendirilmiş talimatınız doğrultusunda işler. Hizmeti kullanmanız — bir kampanya açmanız, bir liste yüklemeniz, bir otomasyonu etkinleştirmeniz — bu anlamda talimattır.

Bir talimatın mevzuata aykırı olduğunu düşünürsek size bildirir ve o talimatı yerine getirmeyi durdurabiliriz.

Mevzuat bizi bir işlemeye zorlarsa (mahkeme kararı, idari talep) ve bildirim yasaklanmamışsa, işlemeden önce sizi bilgilendiririz.

4. Gizlilik ve güvenlik

Müşteri Verisi'ne erişimi olan herkes gizlilik yükümlülüğü altındadır ve erişim, işin gerektirdiği en dar kapsamla sınırlıdır.

Uygulanan teknik tedbirler: aktarımda ve durağan hâlde şifreleme, kiracı verilerinin veritabanı düzeyinde satır bazlı yalıtımı (RLS), parolaların argon2id ile saklanması, sağlayıcı sırlarının ayrı anahtarla şifrelenmesi, yetkiye dayalı erişim ve her yetkili işleminin denetim defterine yazılması.

İdari tedbirler: personel erişiminin kayda bağlanması, destek amaçlı kiracı görünümünün hem bakan hem bakılan tarafa görünür bir şeritle gösterilmesi, düzenli yedekleme ve geri dönüş provası.

Bu tedbirler zamanla değişebilir; değişiklik güvenlik düzeyini düşürecek nitelikte olamaz.

5. Alt işleyenler

Tecrübe, hizmeti sunmak için alt işleyen kullanır. Güncel liste, kim olduğu, ne amaçla ve hangi ülkede işlediğiyle birlikte Gizlilik Politikası'nın 9. bölümünde adıyla yayımlanır.

Yeni bir alt işleyen eklendiğinde ürün içi bildirimle duyurulur. Eklemeye makul bir gerekçeyle itiraz ederseniz, itirazınızı değerlendiririz; çözülemezse aboneliğinizi cezasız feshedebilir ve kullanılmamış dönemin bedelini geri alabilirsiniz.

Her alt işleyenle, bu şartlardakine denk yükümlülükleri içeren bir sözleşme yapılır. Alt işleyenin fiilinden Tecrübe kendi fiili gibi sorumludur.

Yapay zekâ sağlayıcılarına gönderilen veri, istemin gerektirdiğiyle sınırlıdır: marka profili ve kampanya bağlamı gider, müşteri listeleri ve iletişim bilgileri gitmez.

6. Yurt dışına aktarım

Bazı alt işleyenler Türkiye dışındadır (özellikle yapay zekâ sağlayıcıları ve reklam platformları). Aktarım, KVKK m.9 ve GDPR Bölüm V çerçevesinde; uygun olduğu ölçüde standart sözleşme hükümleri, yeterlilik kararı veya açık rıza dayanağıyla yapılır.

Hangi alt işleyenin hangi ülkede işlediği, Gizlilik Politikası'ndaki listede her satırın yanında yazar.

7. İlgili kişi talepleri ve size yardım

Bir ilgili kişi doğrudan Tecrübe'ye başvurursa, talebi kendimiz cevaplamaz, size yönlendiririz — o veride sorumlu sizsiniz.

Erişim, düzeltme, silme ve taşınabilirlik taleplerini karşılayabilmeniz için gereken araçlar üründe hazırdır: Ayarlar → Verilerim ekranından dışa aktarma ve silme yapılabilir. Aracın yetmediği durumda makul ölçüde teknik yardım sağlarız.

Veri koruma etki değerlendirmesi (KVKK/GDPR m.35) yapmanız gerekirse, bizde olan bilgileri makul ölçüde sağlarız.

8. İhlal bildirimi

Müşteri Verisi'ni etkileyen bir güvenlik ihlalini öğrenmemizden itibaren **gecikmeksizin ve en geç 24 saat içinde** size bildiririz. Bu süre, sizin Kurul'a 72 saat içinde bildirim yapabilmeniz için bilerek kısa tutulmuştur.

Bildirim şunları içerir: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kayıt sayısı, olası sonuçlar, alınan ve alınacak tedbirler, iletişim kurulacak kişi.

İlk bildirimde her şey bilinmiyorsa eksik bilgi gecikmeden tamamlanır; beklemek, bildirmemek anlamına gelmez.

9. Denetim

Bu şartlara uyumu gösterebilmek için gerekli bilgiyi talebiniz üzerine sağlarız.

Yılda bir kez, makul bildirimle ve mesai saatleri içinde, gizlilik yükümlülüğü altındaki bir denetçiyle denetim yapabilirsiniz. Denetim, diğer müşterilerin verisine erişim içeremez ve hizmeti aksatmayacak biçimde yürütülür.

10. Sözleşme sonunda iade ve imha

Aboneliğiniz sona erdiğinde Müşteri Verisi otuz gün boyunca dışa aktarılabilir durumda tutulur; bu süre içinde panelden indirebilirsiniz.

Otuz günün sonunda veri silinir. Silme geri alınamaz ve silmeden yedi gün önce e-posta ile hatırlatılır.

Yedeklerdeki kopyalar, yedek döngüsü içinde (en çok doksan gün) kendiliğinden düşer; o süre boyunca erişime kapalı ve şifreli kalır.

Mevzuatın saklamayı zorunlu kıldığı kayıtlar (fatura, denetim defteri) yasal süresi boyunca saklanır ve yalnız o amaçla işlenir.