Kişisel Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme, Platform Hizmet Sözleşmesi'nin Ek-1'idir ve Kurum ile Ak Analitik platformunu işleten [Hukuki onay bekliyor: platform işletmecisinin tam unvanı, MERSİS numarası ve adresi] ("Platform") arasında, platform üzerinden işlenen kişisel veriler için uygulanır.

• Aranan kişilerin (katılımcılar) ve Kurum'un anketör ve süpervizörlerinin çalışma verilerinin veri sorumlusu Kurum'dur: kimin, hangi amaçla, hangi listeden aranacağına, hangi soruların sorulacağına ve verinin ne kadar tutulacağına Kurum karar verir.
• Platform veri işleyendir: bu verileri yalnız Kurum'un talimatıyla ve onun adına işler; altyapıyı sağlar, saklar, erişimi kısıtlar ve kayıt altına alır, alt işleyenleri sözleşmeyle bağlar.
• Platform; hesap sahiplerinin hesap ve güvenlik verileri ile site ziyaretçileri bakımından kendisi veri sorumlusudur. Bu alan Platform Aydınlatma Metni'nde anlatılır ve bu sözleşmenin kapsamı dışındadır.

2. İşlemenin konusu, süresi, niteliği ve amacı

• Konu: Kurum'un telefon anketlerinin yapay zekâ destekli sesli asistan ve/veya Kurum'un anketörleri eliyle yürütülmesi, cevapların kaydı ve analizi.
• Süre: Hizmet Sözleşmesi süresince ve 15. maddedeki silme takvimi tamamlanana kadar.
• Nitelik: numaraların aranması, görüşmenin ses kaydı ve yazıya dökümü, cevapların çıkarılması ve saklanması, kota ve ağırlıklandırma hesapları, raporlama, dışa aktarım, kalite denetimi, aranmayacaklar listesinin uygulanması, silme taleplerinin yerine getirilmesi.
• Amaç: Kurum'un belirlediği kamuoyu ve pazar araştırması amacı. Platform veriyi başka bir amaçla işlemez.

3. Veri kategorileri ve ilgili kişi grupları

Kurum, araştırma amacı için gerekli olmayan veriyi yüklemez; T.C. kimlik numarası sütunları yüklemede atılır ve cevaplarda maskelenir.

4. Talimatlar

• Kurum'un platform ayarlarıyla yaptığı seçimler (anket kurma, liste yükleme, arama başlatma, kota, kayıt bildirimi, oy tercihinin profile yazılması, silme talebi, aranmayacaklar listesine ekleme) Platform'a verilmiş belgeli talimattır.
• Kullanılacak teknoloji, bulut ve yapay zekâ sağlayıcıları, saklama yöntemi ve güvenlik tedbirleri gibi teknik vasıtalara karar verme yetkisi, Kurum'un menfaatine bağlı kalmak kaydıyla bu sözleşmeyle Platform'a bırakılmıştır (Kurul kararı 2020/71).
• Platform, bir talimatın KVKK'ya aykırı olduğunu düşünürse Kurum'u uyarır ve talimatı askıya alabilir.
• Platform, veriyi Kurum'un talimatı dışında işlemez, üçüncü kişilere açıklamaz, başka kurumların kullanımına sunmaz.

5. Gizlilik ve personel

Platform, kişisel verilere erişen personelinin ve platform yöneticilerinin gizlilik yükümlülüğü altında olmasını, yalnız görevi için gereken veriye erişmesini ve erişimlerinin kayıt altına alınmasını sağlar. Platform yöneticisi işlemleri ikinci doğrulama ile korunur ve denetim kaydına yazılır.

6. Alt işleyenler

• Kurum, Alt İşleyen Listesi'ndeki (/hukuki/alt-isleyenler) sağlayıcıların kullanılmasına genel yazılı yetki verir. Platform, alt işleyenlerle bu sözleşmedekine denk veri koruma yükümlülükleri içeren sözleşmeler yapar ve onların ihlalinden Kurum'a karşı sorumludur.
• Yeni alt işleyen ya da değişiklik en az 30 gün önce listede ilan edilir ve kurum sahibine e-posta ile bildirilir. Kurum bu süre içinde gerekçeli itiraz edebilir; taraflar çözüm bulamazsa Kurum, Hizmet Sözleşmesi'ni ücret iadesi hakkıyla feshedebilir.
• Alt işleyen listesi, platformdaki sağlayıcı ayarlarından türetilir; Kurum'un seçtiği ses yolu hangi sağlayıcıların devreye gireceğini belirler.

7. Yurt dışına aktarım

• Kurum, görüşmenin canlı sesinin ve dökümünün yapay zekâ işlemleri için yurt dışındaki sağlayıcıya aktarıldığını ve bazı altyapı sağlayıcılarının yurt dışında olduğunu bilir; sağlayıcı ve bölge listesi Ek-2'dedir.
• Platform, yurt dışındaki her alt işleyenle Kurul'un ilan ettiği veri işleyenden veri işleyene standart sözleşmeyi imzalar ve imzadan itibaren beş iş günü içinde Kurum'a bildirir (KVKK m.9; Yurt Dışına Aktarım Yönetmeliği). İmzalanmış sözleşmeler ve bildirim tarihleri Ek-2'de sağlayıcı başına gösterilir; imzası tamamlanmamış sağlayıcı işaretli kalır.
• Kurum, kendi veri sorumlusu sıfatıyla bu aktarımları aydınlatma metnine yazmaktan ve gerekiyorsa kendi standart sözleşme yükümlülüklerinden sorumludur; Platform bunun için Ek-2'yi ve sözleşme örneklerini sağlar.
• Platform, Kurum'un yazılı talebi hâlinde yurt içinde işleme seçeneklerini ve bunların kapsamını bildirir.

8. Platform'un kendi başına yaptığı işlemler

Kurum, hizmetin kalitesi ve güvenliği için Platform'un şu işlemleri Kurum adına ve bu sözleşme kapsamında yapmasına yetki verir:

• Görüşme kalitesinin yapay zekâ ile değerlendirilmesi ve kayıtların kalite amacıyla dinlenmesi
• Türkçe dışındaki dillerde verilen cevapların dökümünün düzeltilmesi
• Hata ayıklama ve işletim günlükleri (telefon numaraları maskelenir, cevap içeriği yazılmaz)
• Kimseyle ilişkilendirilemeyen toplu istatistikler

Platform, Kurum Verisi'ni model eğitiminde kullanmaz ve referans ses kaydı gibi kendi amaçlı programlara Kurum'un ayrı yazılı onayı olmadan almaz.

9. Özel nitelikli veriler

• Oy tercihi, siyasi görüş ve dil bilgisi gibi özel nitelikli verilerin işlenme şartını (KVKK m.6) ve açık rızanın alınıp belgelenmesini Kurum sağlar; Platform rıza cümlesi şablonu ve kayıt aracı sunar.
• Oy tercihi varsayılan olarak kişi profiline yazılmaz; yalnız kurum sahibi belirli bir anket için açarsa yazılır. Profildeki oy ve ek sütunlar yalnız yönetici ve kurum sahibi rollerine açıktır ve kişi aramasında kullanılmaz.
• Platform, Kurul'un özel nitelikli veriler için belirlediği tedbirleri (ayrı politika, erişim kısıtı ve kaydı, şifreli saklama, güvenli aktarım) 11. maddedeki ölçüde uygular; Kurum kendi tarafında aynı tedbirleri alır.

10. Aranmayacaklar listesi

Görüşmede bir daha aranmak istemediğini söyleyen, KVKK silme talebi uygulanan ya da Kurum'un elle eklediği numaralar Kurum'un aranmayacaklar listesine girer. Liste kurum bazındadır: Kurum'un listesindeki numara Kurum'un hiçbir anketi için aranmaz; başka bir kurumun listesi Kurum'u bağlamaz ve Kurum başka kurumların listesini görmez. Listenin veri sorumlusu Kurum'dur; Platform listeyi Kurum adına tutar ve her arama öncesi denetler (ilgili kişinin itirazının yerine getirilmesi: KVKK m.5/2-ç ve 2-f).

Listeden çıkarma yalnız kurum sahibinin gerekçeli işlemiyle ve denetim kaydıyla yapılır; anketörün işaretinin geri alınması süpervizör talebi ve kurum onayıyla olur. Platform, bir numarayı ilgili kişinin talebi üzerine ya da hukuki bir zorunlulukla Kurum'un listesinden çıkarırsa bunu Kurum'a bildirir.

11. Güvenlik tedbirleri (Ek-3)

Platform, KVKK m.12 uyarınca aşağıdaki teknik ve idari tedbirleri uygular. Liste platformun bugünkü davranışını yansıtır; yeni bir tedbir eklendikçe ya da bir tedbir değiştikçe güncellenir.

• Kurum ayrımı: her kurumun verisi ayrı tutulur; her kullanıcı yalnız üyesi olduğu kurumun verisine, rolünün izin verdiği ölçüde erişir. Kurumlar arası erişim sunucuda otomatik testlerle denetlenir.
• Rol tabanlı erişim: görüntüleyici ve analist rollerinde telefon numarası yalnız son dört hanesiyle görünür; tam numarayı yalnız yönetici ve kurum sahibi görebilir ve her görüntüleme kaydedilir. Oy tercihi ve ek sütunlar yalnız yönetici ve kurum sahibine açıktır.
• Erişim kayıtları: ses kaydı dinleme, döküm okuma, görüşme ayrıntısı açma, tam numara gösterme, numara arama ve canlı dinleme kim, ne zaman ve hangi kayıt bilgisiyle tutulur.
• Takma adlı kimlikler: raporlarda ve dışa aktarımlarda kişiler telefon numarası yerine anahtarlı (HMAC) katılımcı kimliği ve numaranın son dört hanesiyle gösterilir; arşiv kayıtlarında numara yerine anahtarlı özet tutulur.
• İmzalı ve süreli bağlantılar: ses kaydı bağlantıları bir saat, dışa aktarım bağlantıları beş dakika geçerlidir; dışa aktarım dosyaları bir saat sonra silinir.
• Servisler arası imzalı trafik: ses sunucusu ile veritabanı arasındaki olaylar imzalanır; imzasız ya da süresi geçmiş istekler reddedilir.
• Arama kapıları: yalnız izin listesindeki numaralar aranır (liste boşsa hiç arama yapılmaz); aranmayacaklar listesi her arama öncesi denetlenir; yapay zekâ aramaları her gün 09:00–20:00 (Türkiye saati) dışında başlatılmaz; aynı numara 24 saatte en çok üç kez aranır.
• Veri azaltma: T.C. kimlik numarası sütunları yüklemede atılır ve cevaplarda maskelenir; sunucu günlüklerinde telefon numaraları maskelenir, cevap içeriği ve katılımcının sözleri günlüğe yazılmaz.
• Platform yönetimi: platform yöneticisi işlemleri ikinci doğrulama ister ve denetim kaydına yazılır; kurum verisine erişimi olan yönetici sayısı en azda tutulur.
• Sır yönetimi: API anahtarları ve imza anahtarları kod deposunda tutulmaz; depo ve derleme hattı sır ve telefon numarası taramasından geçer.
• Tarayıcı güvenliği: HSTS, çerçeveleme engeli, içerik türü denetimi ve içerik güvenlik politikası başlıkları gönderilir.
• Yedekleme: veritabanının günlük yedeği alınır; yedekler yetkili kişilerle sınırlı ve şifreli ortamda tutulur.
• Silme: kişi düzeyinde silme talebi; veritabanı kayıtlarını, ses kaydını, dökümü, cevapları ve arşiv kopyalarını kapsayan iş akışıyla yerine getirilir ve kayıt altına alınır.

12. Müşterek sorumluluk

Veri güvenliğine ilişkin tedbirlerin alınmasında Kurum ve Platform KVKK m.12/2 uyarınca müştereken sorumludur. Platform bu sözleşmedeki tedbirleri uygular; Kurum kendi kullanıcılarının hesap güvenliğini, cihazlarını, dışa aktardığı dosyaları, anketörlerinin çalışma ortamını ve listelerin kaynağını kendisi korur. Taraflar, güvenliği etkileyen bir durumu fark edince birbirini gecikmeden bilgilendirir.

13. Kişisel veri ihlali

• Platform, Kurum Verisi'ni etkileyen bir kişisel veri ihlalini öğrendiğinde Kurum'un kurum sahibine en geç 48 saat içinde e-posta ile bildirir; bildirim ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçları ve alınan önlemleri içerir. Bilgiler aşamalı tamamlanabilir.
• Kurum, veri sorumlusu olarak Kişisel Verileri Koruma Kurulu'na bildirimi (ihlali öğrenmesinden itibaren 72 saat; Kurul kararı 2019/10) ve ilgili kişilere bildirimi kendisi yapar; Platform gereken bilgi ve belgeleri sağlar.
• Platform, ihlale ilişkin kayıtları ve kanıtları saklar, etkiyi sınırlamak için gerekli teknik önlemleri alır ve Kurum ile birlikte kök nedeni inceler.

14. İlgili kişi başvuruları

• Aranan kişilerin ve anketörlerin başvurularını veri sorumlusu olarak Kurum cevaplar; cevap süresi Kurum'un başvuruyu aldığı günden itibaren KVKK m.13'teki süredir.
• Platforma (kvkk@akanalitik.com) gelen bir başvuru, başvuranın hangi kurum tarafından arandığı belirlenerek en geç 2 iş günü içinde Kurum'a iletilir; Platform başvurana veri sorumlusunun Kurum olduğunu ve başvurunun iletildiğini bildirir. Kurum, başvuruyu 30 gün içinde kendisi cevaplar.
• Platform; bilgi edinme taleplerinde kişinin kayıtlarına ilişkin dökümü, silme taleplerinde kurum sahibinin kullandığı silme aracını ve aranmayacaklar listesine eklemeyi sağlar. Silme işi sonucu Kurum'a gösterilir.
• Platform, Kurum'un talimatı olmadan bir başvuruyu kendi başına karara bağlamaz; yalnız kendisinin veri sorumlusu olduğu konularda doğrudan cevap verir.

15. Silme ve iade

• Kurum, platformdaki işlevlerle kişi kayıtlarını, anketleri ve kampanyaları silebilir; silinen kayıtlar kişisel verisiz arşive girer ve platform ayarı açıkken arşiv süresi dolunca kalıcı olarak silinir.
• Kişi düzeyinde KVKK silme talebi uygulandığında kişinin kaydı, numaraları, profili, notları, görüşmelerinin ses kaydı, dökümü, cevapları, özeti ve arşiv kopyaları silinir; görüşme kaydının iskeleti (zaman, süre, sonuç) numarasız kalır ve numara aranmayacaklar listesine eklenir.
• Hizmet Sözleşmesi sona erince Kurum verisini dışa aktarım işlevleriyle alır; [Hukuki onay bekliyor: fesihten sonra verinin tamamen silinmesine kadar geçecek süre] sonunda Platform, Kurum Verisi'ni siler ve Kurum'a yazılı teyit verir. Kanunen saklanması zorunlu kayıtlar ve yedeklerdeki kopyaların yedek döngüsüyle silinmesi bu kuralın dışındadır.
• Alt işleyenlerin kendi tuttuğu geçici kayıtlar (ör. yapay zekâ sağlayıcısının kötüye kullanım denetimi kayıtları) Platform'un silme işlemlerinin dışındadır ve Ek-2'de açıklanır.

16. Denetim

Platform, bu sözleşmeye uyumunu gösteren bilgileri (güvenlik tedbirleri, alt işleyen sözleşmeleri, erişim kaydı örnekleri, test sonuçları) Kurum'un yazılı talebi üzerine yılda bir kez yazılı rapor olarak sağlar. Kurum ya da görevlendirdiği bağımsız denetçi, makul süre önceden bildirmek, gizliliğe uymak ve hizmeti aksatmamak kaydıyla yılda bir yerinde denetim yapabilir; masrafı Kurum'a aittir. Kurul denetimlerinde taraflar birbirine yardım eder.

17. Sorumluluk

• Platform, bu sözleşmeye aykırı işlemesinden, talimat dışına çıkmasından ve 11. maddedeki tedbirleri uygulamamasından doğan zararlardan sorumludur.
• Kurum; işleme amacının ve hukuki sebebinin belirlenmesinden, aydınlatmadan, açık rızadan, listelerin kaynağından, anketörleriyle ilişkisinden ve verdiği talimatların hukuka uygunluğundan sorumludur; bunlardan doğan idari para cezaları ve üçüncü kişi talepleri Kurum'a aittir.
• Sorumluluk sınırı ve tazminat hükümleri Hizmet Sözleşmesi'nin 16. maddesindedir.

18. Süre ve sona erme

Bu sözleşme Hizmet Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer; silme, gizlilik ve denetim hükümleri sona ermeden sonra da uygulanır. Hizmet Sözleşmesi'nin değişiklik usulü bu sözleşme için de geçerlidir.

19. Diğer hükümler

• Bu sözleşmedeki terimler KVKK'daki anlamlarıyla kullanılır.
• Kurum, bu sözleşmenin yazılı ve imzalı bir nüshasını isterse Platform aynı metni belge olarak sağlar; platformdaki kabul kaydı ile imzalı nüsha arasında çelişki olursa daha yeni sürüm uygulanır.
• Hizmet Sözleşmesi'nin uygulanacak hukuk ve yetkili mahkeme hükmü bu sözleşme için de geçerlidir.