Veri İşleme Sözleşmesi

Madde 1 – Taraflar

1.1. Bu Sözleşme;

(a) Asissa A.Ş. (adres, MERSİS, vergi ve iletişim bilgileri Hizmet Sözleşmesi'nin 1.2 maddesinde yer alır) (bundan böyle "Asissa" veya "Veri İşleyen" olarak anılacaktır) ile

(b) Asissa hizmetlerini ticari veya mesleki faaliyeti için kullanmak üzere Hizmet Sözleşmesi'ni kabul eden ve kimlik bilgileri Panel'deki hesap kaydında yer alan gerçek veya tüzel kişi işletme (bundan böyle "Müşteri" veya "Veri Sorumlusu" olarak anılacaktır)

arasında akdedilmiştir. Asissa ve Müşteri birlikte "Taraflar", ayrı ayrı "Taraf" olarak anılacaktır.

1.2. Müşteri, hizmeti tacir, esnaf, serbest meslek mensubu veya tüzel kişi sıfatıyla ticari ya da mesleki amaçla kullandığını beyan eder. Bu Sözleşme tüketici işlemi niteliği taşımaz.

Madde 2 – Tarafların rolleri

2.1. Müşteri veri sorumlusudur. Müşteri'nin telefon hattına veya Müşteri'nin hizmete bağladığı diğer iletişim kanallarına ulaşan kişilerin kişisel verileri ile Ek-1'de sayılan diğer veriler bakımından işleme amaçlarını ve vasıtalarını Müşteri belirler. Asistanın hangi bilgileri toplayacağı, görüşmenin kaydedilip kaydedilmeyeceği, okunacak anons metni, saklama süreleri, aramanın kime aktarılacağı ve giden aramalarda hangi numaraların aranacağı Müşteri'nin kararıdır.

2.2. Asissa veri işleyendir. Asissa, Ek-1'de tanımlanan kişisel verileri yalnızca Müşteri adına, Müşteri'nin verdiği yetkiye ve belgelenmiş talimatlarına dayanarak, Hizmet Sözleşmesi'nin ifası amacıyla işler.

2.3. Asissa'nın kendi veri sorumlusu olduğu veriler. Müşteri'nin hesap sahibi ve ekip üyelerinin hesap, kimlik doğrulama ve yetki bilgileri; faturalama ve ödeme kayıtları; Müşteri'nin Asissa'ya açtığı destek talepleri (müşteri ilişkisinin yürütülmesi bakımından); Asissa'nın internet sitesi ziyaretçileri, iletişim formu ve demo aramaları; pazarlama izinleri; platform güvenliği ve erişim kayıtları bakımından Asissa veri sorumlusudur. Bu veriler bu Sözleşme'nin kapsamı dışındadır ve Asissa'nın asissa.ai/gizlilik adresinde yayımlanan aydınlatma metnine tabidir.

2.4. Rolün aşılması. Asissa, Ek-1'deki verileri bu Sözleşme'de izin verilenin dışında kendi amaçları için işlediği takdirde, o işleme faaliyeti bakımından veri sorumlusu sayılabileceğini ve bunun hukuki sonuçlarına katlanacağını kabul eder. Asissa bu sonucu doğuracak işlemlerden kaçınmayı taahhüt eder.

Madde 3 – Tanımlar

3.1. Bu Sözleşme'de geçen ve KVKK'nın 3. maddesinde tanımlanan açık rıza, anonim hâle getirme, ilgili kişi, kişisel veri, kişisel verilerin işlenmesi, Kurul, Kurum, veri işleyen, veri kayıt sistemi ve veri sorumlusu kavramları KVKK'daki anlamlarıyla kullanılmıştır. Bunlara ek olarak:

Madde 4 – İşlemenin konusu, süresi, niteliği ve amacı

4.1. Konu. Asissa'nın Hizmet'i sunarken Müşteri adına Ek-1'de sayılan kişisel verileri işlemesi.

4.2. Süre. İşleme, Hizmet Sözleşmesi'nin süresi boyunca ve sona ermesinden sonra Madde 14'te düzenlenen iade ve silme süreleri dolana kadar devam eder.

4.3. Nitelik. Gerçek zamanlı ses akışının alınması ve iletilmesi; konuşmanın yazıya dökülmesi; Müşteri'nin bilgi tabanına dayanarak yanıt üretilmesi ve sesli olarak iletilmesi; görüşme kaydının, transkriptin, yapay zekâ özetinin ve toplanan alanların saklanması; randevu ve talep kaydı oluşturulması; aramanın Müşteri'nin belirlediği kişiye aktarılması; Müşteri'nin talimatıyla bildirim, mesaj ve giden arama yapılması; Panel'de görüntüleme, raporlama, dışa aktarma ve silme.

4.4. Amaç. Yalnızca Müşteri'ye Hizmet'in sunulması, Hizmet'in güvenliğinin ve sürekliliğinin sağlanması ile Müşteri'nin yazılı Talimatlarının yerine getirilmesi. Ayrıntılar Ek-1'dedir.

Madde 5 – Talimatla işleme

5.1. Asissa, kişisel verileri yalnızca Müşteri'nin belgelenmiş Talimatlarına göre işler. Aşağıdakiler Müşteri'nin yazılı Talimatı sayılır:

(a) Hizmet Sözleşmesi ve bu Sözleşme;

(b) Müşteri'nin veya Müşteri adına yetkilendirilmiş kullanıcıların Panel'de yaptığı ayarlar ve seçimler (asistan senaryosu, toplanacak alanlar, anons metni, kayıt açık/kapalı, saklama süreleri, aktarım numaraları, entegrasyonlar, giden arama listeleri ve benzerleri);

(c) Müşteri'nin yetkili kullanıcılarından Panel'deki destek kanalı veya Asissa'nın KVKK başvuru e-posta adresi adresi üzerinden yazılı olarak gelen talepler.

5.2. Sözlü Talimatlar, Asissa tarafından yazılı olarak teyit edilmedikçe uygulanmaz. Panel'de yetkisi bulunmayan bir kullanıcıdan gelen Talimat, Müşteri'nin hesap sahibi veya yöneticisi tarafından teyit edilene kadar bekletilebilir.

5.3. Hukuka aykırı Talimat. Asissa, bir Talimatın KVKK veya ilgili diğer mevzuata aykırı olduğu kanaatine varırsa bunu gerekçesiyle birlikte Müşteri'ye gecikmeksizin bildirir. Müşteri Talimatını yazılı olarak teyit edene veya değiştirene kadar Asissa ilgili Talimatın uygulanmasını askıya alabilir. Bu bildirim hukuki danışmanlık niteliği taşımaz; Talimatın hukuka uygunluğundan Müşteri sorumludur.

5.4. Kanuni zorunluluk. Asissa'nın kanunen işleme yapmakla yükümlü olduğu hâllerde Asissa, kanun yasaklamadıkça bu yükümlülüğü işlemeden önce Müşteri'ye bildirir.

5.5. Asissa'nın Talimat dışında ancak Hizmet'in teknik olarak işletilmesi için zorunlu olan işlemleri (ör. ağ yönlendirmesi, önbellekleme, yedekleme, güvenlik izlemesi) Talimat kapsamında sayılır; bu işlemler hiçbir şekilde Madde 8'deki yasakları aşamaz.

Madde 6 – Veri işleyenin yükümlülükleri

6.1. Veri güvenliği. Asissa, KVKK m.12/1 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla, Ek-2'de sayılan teknik ve idari tedbirleri alır ve bunları sözleşme süresince sürdürür. Asissa, Ek-2'deki tedbirleri koruma seviyesini düşürmemek kaydıyla güncelleyebilir; esaslı değişiklikleri Müşteri'ye bildirir.

6.2. Müşterek sorumluluk. Taraflar, KVKK m.12/2 uyarınca kişisel verilerin Müşteri adına Asissa tarafından işlenmesi hâlinde m.12/1'deki tedbirlerin alınması hususunda Müşteri'nin Asissa ile birlikte müştereken sorumlu olduğunu kabul eder. Tarafların bu sorumluluğun iç ilişkideki paylaşımına ilişkin hükümleri Madde 16'dadır.

6.3. Gizlilik. Asissa, KVKK m.12/4 uyarınca öğrendiği kişisel verileri KVKK hükümlerine aykırı olarak başkasına açıklamaz ve işleme amacı dışında kullanmaz. Bu yükümlülük, Hizmet Sözleşmesi'nin ve bu Sözleşme'nin herhangi bir nedenle sona ermesinden sonra da süresiz olarak devam eder.

6.4. Personel. Asissa, kişisel verilere erişebilen çalışanlarının ve yüklenicilerinin:

(a) yazılı gizlilik taahhüdü vermesini veya kanuni bir sır saklama yükümlülüğü altında bulunmasını;

(b) verilere yalnızca görevleri için gerekli olduğu ölçüde ve "bilmesi gereken" ilkesine göre erişmesini;

(c) işe başlarken ve en az yılda bir kez kişisel verilerin korunması ve bilgi güvenliği eğitimi almasını;

(d) görev değişikliği veya işten ayrılma hâlinde erişim yetkilerinin derhâl kaldırılmasını

sağlar.

6.5. Destek amaçlı erişim. Asissa personeli; görüşme kayıtlarına, transkriptlere ve Müşteri'nin CRM kayıtlarına yalnızca (i) Müşteri'nin destek talebi veya açık erişim izni üzerine, (ii) bir güvenlik olayının incelenmesi için ya da (iii) kanuni bir zorunluluk hâlinde, bu amaçla sınırlı olarak erişir. Her erişim kayıt altına alınır ve Müşteri talep ederse kendisine raporlanır.

6.6. Yardım yükümlülüğü. Asissa, işlemenin niteliğini ve kendisine sunulan bilgileri dikkate alarak Müşteri'ye;

(a) ilgili kişi başvurularının yanıtlanmasında (Madde 11),

(b) Kişisel Veri İhlallerinin Kurul'a ve ilgili kişilere bildiriminde (Madde 12),

(c) kendi güvenlik ve risk değerlendirmelerinde ve Kurul'un incelemelerinde (Madde 15),

(d) veri envanteri ve, yükümlü ise, VERBİS kaydı için gereken işleme bilgilerinin (veri kategorileri, alıcı grupları, yurt dışı aktarım, saklama süreleri) sağlanmasında

makul ölçüde yardımcı olur.

6.7. Uyum bilgisi. Asissa, bu Sözleşme'deki yükümlülüklerine uyduğunu gösteren bilgileri Madde 13 çerçevesinde Müşteri'nin kullanımına sunar.

6.8. Bildirim. Asissa, bu Sözleşme'deki yükümlülüklerini yerine getiremeyeceğini öğrenirse bunu Müşteri'ye gecikmeksizin bildirir.

Madde 7 – Veri sorumlusunun yükümlülükleri

7.1. İşleme şartları. Müşteri, Hizmet aracılığıyla işletilen her işleme amacı için KVKK m.5'teki (özel nitelikli veriler bakımından m.6'daki) işleme şartlarından birinin bulunduğunu, işlemenin KVKK m.4'teki genel ilkelere uygun olduğunu ve Asissa'ya verdiği Talimatların hukuka uygun olduğunu kabul, beyan ve taahhüt eder.

7.2. Aydınlatma. Müşteri, KVKK m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca Arayanları aydınlatmakla yükümlüdür. Bu kapsamda Müşteri:

(a) görüşme başında okunacak kayıt ve aydınlatma anonsunun metnini Panel'de kendisi onaylar; Asissa'nın sağladığı varsayılan metin yalnızca bir örnek olup hukuki görüş niteliği taşımaz;

(b) anonsun, görüşmenin esas kısmı başlamadan ve kaydın esas bölümünden önce okunmasını sağlayan ayarı kullanır;

(c) anonsta veri sorumlusunun kimliğini (ticari unvanını), her işleme amacını ve o amacın hukuki sebebini, alıcı gruplarını, yurt dışına aktarımı ve KVKK m.11'deki hakları belirtir; "hizmet kalitesi" gibi genel ifadelerle yetinmez;

(d) tam aydınlatma metnini kendi internet sitesinde erişilebilir şekilde yayımlar ve anonsta bu metne yönlendirir; Hizmet'te bulunması hâlinde tam metnin görüşme içinde dinletilmesi seçeneğini etkinleştirmeyi değerlendirir;

(e) anonsta "görüşmeye devam ederek kabul etmiş olursunuz" veya benzeri bir ifadeye yer vermez.

7.3. Açık rıza. Müşteri, açık rızaya dayanılması gereken hâllerde rızayı aydınlatmadan ayrı, belirli bir konuya ilişkin ve olumlu bir eylemle (ör. tuşlama) alır ve ispat yükünün kendisinde olduğunu kabul eder. Görüşmenin sürdürülmesi açık rıza sayılmaz.

7.4. VERBİS. Müşteri, Veri Sorumluları Siciline kayıt yükümlüsü ise kaydını yapmak ve güncel tutmakla yükümlüdür. Kayıt yükümlülüğünün belirlenmesi Müşteri'nin sorumluluğundadır. Asissa, Panel'de sunduğu bilgilendirmelerin hukuki görüş niteliği taşımadığını belirtir.

7.5. Özel nitelikli veriler ve sağlık sektörü. Müşteri, Hizmet'i sağlık hizmeti sunduğu bir faaliyette (klinik, muayenehane, poliklinik ve benzeri) kullanıyorsa veya Arayanların sağlık bilgisi paylaşması muhtemelse:

(a) sağlık verilerinin işlenmesi için KVKK m.6/3'te sayılan şartlardan birinin (ör. ilgili kişinin açık rızası veya sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla gereklilik) bulunduğunu;

(b) bu şartın, verilerin Ek-3'te sayılan yurt dışındaki Alt İşleyenlere aktarılmasını da kapsadığını (KVKK m.9/4: m.5 veya m.6 şartı ile uygun güvencenin birlikte bulunması gerekir);

(c) Asistanı, randevu ve talep için gerekenden fazla sağlık bilgisi toplamayacak şekilde yapılandırdığını (ör. "şikâyetinizi anlatın" yerine "hangi tedavi/bölüm için randevu istiyorsunuz");

(d) sağlık verisi işleyen kullanıcı hesaplarında iki adımlı doğrulamayı zorunlu kıldığını;

(e) sağlık hizmetlerinde tanıtım ve reklam yasaklarına ve sağlık mevzuatından doğan diğer yükümlülüklerine uyduğunu

kabul ve taahhüt eder. Asissa, Kurul'un 2018/10 sayılı kararındaki yeterli önlemleri Ek-2'de belirtildiği şekilde uygular (KVKK m.6/4).

7.6. Yurt dışına aktarım şartları. Müşteri, Ek-3'te yurt dışında bulunduğu belirtilen Alt İşleyenlere yapılan aktarımlar için KVKK m.9/4 uyarınca gereken m.5 veya m.6 işleme şartının kendi nezdinde bulunduğunu ve bunu Arayanlara yaptığı aydınlatmada açıkladığını kabul eder. Uygun güvencenin (Modül 3) sağlanması Madde 10 uyarınca Asissa'nın yükümlülüğündedir.

7.7. Giden arama ve ileti. Müşteri, Hizmet aracılığıyla yaptığı giden aramalar ve gönderdiği mesajlar için 6563 sayılı Kanun ve ilgili mevzuat uyarınca gerekli onayları almak, İleti Yönetim Sistemi (İYS) kontrollerini yapmak ve ret bildirimlerine uymakla yükümlüdür.

7.8. Doğru ve ölçülü bilgi. Müşteri, Asistana ve bilgi tabanına hukuka aykırı, yanlış veya üçüncü kişilerin kişisel verilerini gereksiz yere içeren bilgi yüklemez; CRM ve not alanlarına amaçla bağlantılı olmayan veri girmez.

7.9. Hat ve hesap güvenliği. Müşteri, hizmete bağladığı telefon hattının yasal abonesi veya kullanım hakkı sahibi olduğunu; Panel kullanıcı hesaplarını yalnızca yetkili kişilere açtığını, yetki seviyelerini (sahip/yönetici/üye) amaca uygun belirlediğini ve ayrılan çalışanların erişimini derhâl kapattığını kabul eder.

7.10. Saklama ve imha. Kişisel verilerin ne kadar süre saklanacağını belirlemek ve süresi dolan verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini sağlamak KVKK m.7 ve Silme Yönetmeliği uyarınca Müşteri'nin yükümlülüğüdür. Asissa bu yükümlülüğün yerine getirilmesi için Madde 14'teki araçları sağlar.

7.11. Kendi çalışanları. Müşteri, aramaların aktarılacağı çalışanlarının ve Panel kullanıcılarının iletişim bilgilerinin Hizmet kapsamında işleneceği konusunda bu kişileri aydınlatır.

Madde 8 – Yasaklar ve ikincil kullanım

8.1. Asissa, Ek-1'deki kişisel verileri;

(a) kendisinin, Alt İşleyenlerin veya üçüncü kişilerin yapay zekâ veya makine öğrenmesi modellerini eğitmek, ince ayar yapmak veya genel olarak iyileştirmek amacıyla kullanmaz ve kullandırmaz;

(b) başka müşterilerin hizmetlerinde, ortak veri havuzlarında, müşteriler arası numara veya davranış listelerinde ya da çapraz müşteri analizlerinde kullanmaz;

(c) Arayanların sesinden ses izi (voiceprint) çıkarmaz, konuşmacı tanıma veya doğrulama yapmaz, sesten kimlik, duygu veya başka biyometrik özellik çıkarımında bulunmaz;

(d) kendisinin veya üçüncü kişilerin pazarlama, reklam veya profilleme faaliyetlerinde kullanmaz;

(e) satmaz, kiralamaz, bedelli veya bedelsiz olarak üçüncü kişilere devretmez veya erişimine açmaz;

(f) demo, referans, tanıtım, eğitim materyali veya kıyaslama çalışmalarında kullanmaz.

8.2. Müşteriye özgü iyileştirme. Müşteri'nin Talimatıyla bir görüşmeden yararlanılarak yalnızca o Müşteri'nin kendi asistanının ayarlarının, bilgi tabanının veya senaryosunun iyileştirilmesi bu Sözleşme kapsamında veri işleyen faaliyeti sayılır ve 8.1'e aykırılık oluşturmaz.

8.3. Anonim ve toplu istatistik. Asissa, Hizmet'in işletilmesi, kapasite planlaması ve faturalandırma amacıyla kişisel veri içermeyen işletimsel ölçümleri (ör. arama süresi, Kredi tüketimi, hata oranları) kullanabilir. Asissa, Ek-1'deki verileri ancak geri döndürülemez şekilde anonim hâle getirdikten sonra ve yalnızca toplu istatistik amacıyla kullanabilir; anonimleştirme yönteminin hiçbir ilgili kişinin yeniden tanınmasına imkân vermediğini ispat yükü Asissa'dadır.

8.4. Asissa, 8.1'deki yasakların Alt İşleyenler bakımından da uygulanmasını Madde 9.4 uyarınca sağlar.

Madde 9 – Alt işleyenler

9.1. Genel yazılı izin. Müşteri, bu Sözleşme'yi kabul etmekle Asissa'ya, Ek-3'te listelenen Alt İşleyenleri ve bu Madde'deki usule göre eklenecek yeni Alt İşleyenleri görevlendirmesi için genel yazılı izin verir. Bu izin, Alt İşleyenlerin kendi alt işleyenlerini (ör. bir Alt İşleyenin hizmetini sunduğu bulut barındırma altyapısı) de kapsar.

9.2. Değişikliklerin bildirimi. Asissa, bir Alt İşleyeni eklemeden veya değiştirmeden en az 30 gün önce Müşteri'ye Panel bildirimi ve Müşteri'nin kayıtlı e-posta adresine e-posta yoluyla bildirimde bulunur. Bildirim; Alt İşleyenin unvanını, ülkesini, hizmetini, işleyeceği veri kategorilerini ve aktarım dayanağını içerir. Alt işleyenlerin isimli ve güncel listesi Müşteri'ye Panel'de (Ayarlar › Veri ve gizlilik) sunulur ve talep hâlinde ayrıca yazılı olarak verilir; alıcı grupları asissa.ai/guven adresinde yayımlanır ve değişiklik geçmişi tutulur.

9.3. İtiraz ve fesih. Müşteri, bildirimden itibaren 30 gün içinde makul ve veri korumaya ilişkin gerekçelerle yazılı olarak itiraz edebilir. Taraflar itirazı iyi niyetle görüşür. Asissa itirazı giderecek bir çözüm (ör. ilgili Alt İşleyenin Müşteri için kullanılmaması) sunamazsa Müşteri, değişikliğin yürürlüğe girdiği tarihten önce Hizmet Sözleşmesi'ni ve bu Sözleşme'yi cezasız olarak feshedebilir; bu hâlde ödenmiş ücretler ve Krediler Hizmet Sözleşmesi Madde 14.4 uyarınca iade edilmez. Süresi içinde itiraz edilmemesi, değişikliğin onaylandığı anlamına gelir.

9.4. Aynı yükümlülükler. Asissa, her Alt İşleyenle, bu Sözleşme'dekilerle esasen aynı düzeyde veri koruma yükümlülükleri (talimatla işleme, gizlilik, Ek-2'ye denk güvenlik, ihlal bildirimi, silme, model eğitimi ve ikincil kullanım yasağı, denetime yardım) içeren yazılı bir sözleşme yapar. Alt İşleyen yükümlülüklerini yerine getirmezse Asissa, Müşteri'ye karşı o Alt İşleyenin fiillerinden kendi fiili gibi sorumludur.

9.5. Görüşme sırasında çalışan sağlayıcılara ilişkin özel hükümler. Ek-3'te 1, 2 ve 3 numarada yer alan; konuşma tanıma, dil modeliyle yanıt üretimi ve ses sentezi hizmetlerini ayrı ayrı sunan Alt İşleyenler (ABD) ("Görüşme Sağlayıcıları") bakımından Asissa:

(a) Müşteri verilerinin Görüşme Sağlayıcıları veya onların alt işleyenleri tarafından model eğitimi ve iyileştirmesi amacıyla kullanılmasını engelleyen ayarları ve talepleri etkin tutar ve bunu sözleşmesel olarak güvence altına alır;

(b) Görüşme Sağlayıcılarına görüşmenin ses kaydını göndermez; ses kaydı yalnızca Asissa'nın barındırma altyapısında saklanır. Görüşme Sağlayıcılarında görüşme verisinin kalıcı olarak saklanmamasını, sağlayıcının hizmet koşulları gereği geçici saklama varsa bu sürenin en fazla 30 gün olmasını sağlar; Müşteri'nin bir kaydı silmesi hâlinde sağlayıcıda kopya kalmışsa bunun da teknik olarak mümkün olan en kısa sürede silinmesini sağlar;

(c) sağlayıcıların sunduğu AB veri yerleşimi ve sıfır saklama seçeneklerini değerlendirir; bu seçenekler devreye alındığında Ek-3'ü günceller;

(d) Görüşme Sağlayıcılarına, kişisel verileri Müşteri'nin (veri sorumlusunun) talimatlarıyla işlediğini Modül 3 uyarınca bildirir.

9.6. Müşterinin kendi seçtiği hizmetler. Müşteri'nin kendi hesabıyla bağladığı üçüncü taraf hizmetler (ör. Müşteri'nin kendi takvim hesabı, ileride Müşteri'nin kendi WhatsApp Business hesabı) ile Müşteri'nin abonesi olduğu telekom operatörü, Asissa'nın Alt İşleyeni değildir; bunlarla ilişki Müşteri'nin sorumluluğundadır. Asissa bu hizmetlere veriyi yalnızca Müşteri'nin entegrasyon Talimatı üzerine ve entegrasyonun gerektirdiği ölçüde iletir.

Madde 10 – Yurt dışına aktarım

10.1. Hukuki çerçeve. Ek-3'te yurt dışında bulunduğu belirtilen Alt İşleyenlere yapılan aktarımlar KVKK m.9 ve Yurt Dışı Aktarım Yönetmeliği'ne tabidir. Taraflar, bu Sözleşme tarihinde Kurul tarafından herhangi bir ülke için yeterlilik kararı verilmediğini ve aktarımların düzenli ve süreklilik arz eden nitelikte olduğundan KVKK m.9/6'daki arızi aktarım istisnalarına ve açık rızaya dayandırılamayacağını kabul eder.

10.2. İki şart. KVKK m.9/4 uyarınca yurt dışına aktarım için (i) m.5 veya m.6'daki işleme şartlarından birinin bulunması ve (ii) uygun güvencelerden birinin sağlanması birlikte gereklidir. Birinci şartın varlığı Madde 7.6 uyarınca Müşteri'nin, ikinci şartın sağlanması bu Madde uyarınca Asissa'nın yükümlülüğündedir.

10.3. Modül 3. Asissa, Ek-1'deki kişisel verileri yurt dışındaki her Alt İşleyene (ilk olarak Görüşme Sağlayıcılarına) aktarmak için, ilgili Alt İşleyenle Kurul'un ilan ettiği Standart Sözleşme-3 (Veri İşleyenden Veri İşleyene) metnini, seçimlik hükümler dışında hiçbir değişiklik yapmaksızın, Türkçe metin esas olmak üzere ve imzacıların yetki belgeleriyle birlikte imzalar.

10.4. Kurum'a bildirim. Asissa, Modül 3'ü imzaların tamamlanmasından itibaren beş (5) iş günü içinde KVKK m.9/5 ve Yurt Dışı Aktarım Yönetmeliği uyarınca elden, kayıtlı elektronik posta (KEP) ile veya Kurul'un belirlediği bildirim modülü üzerinden Kurum'a bildirir. Taraflar, bildirim yükümlülüğünün Asissa'ya ait olduğunu ve bildirimin yapılmamasına ilişkin KVKK m.18/1-(d) idari para cezasının Asissa'nın kendi sorumluluğunda olduğunu kabul eder.

10.5. Ek değişikliklerinin bildirimi. Modül 3'ün Kurum'a bildirilmesinden sonra Modül 3'ün Ek I'inde (aktarımın tarafları, ilgili kişi ve veri kategorileri, amaç ve benzeri) veya Ek III'ünde (alt veri işleyenler listesi) değişiklik olması hâlinde Asissa güncellenmiş eki ilgili mevzuat uyarınca Kurum'a yeniden bildirir. Asissa, Alt İşleyenlerin kendi alt işleyenlerindeki değişiklikleri takip etmek ve Madde 9.2'deki bildirim usulünü bu değişikliklere de uygulamakla yükümlüdür.

10.6. Müşterinin yetkilendirmesi. Müşteri, Madde 9.1'deki genel izinle, Modül 3'ün alt veri işleyenlere ilişkin hükümleri bakımından gerekli olan veri sorumlusu yetkilendirmesini vermiş olur. Müşteri, Modül 3'ün Ek I'inde veri sorumlularının Asissa'nın müşterileri olarak grup hâlinde tanımlanacağını kabul eder ve talep hâlinde Modül 3'ün kendisini ilgilendiren hükümlerinin bir örneğini Asissa'dan isteyebilir.

10.7. Sonraki aktarımlar. Asissa, Alt İşleyenlerin yurt dışındaki kendi alt işleyenlerine yaptığı sonraki aktarımlarda da KVKK m.9/8 uyarınca aynı güvencelerin sağlanmasını Modül 3 ve Alt İşleyen sözleşmesi yoluyla güvence altına alır.

10.8. Yeterlilik kararı veya mevzuat değişikliği. Bir aktarım ülkesi veya sektörü için Kurul tarafından yeterlilik kararı verilmesi ya da başka bir uygun güvencenin mevzuatça kabul edilmesi hâlinde Asissa, aktarımı bu dayanağa geçirebilir ve bunu Ek-3'te belirterek Müşteri'ye bildirir.

10.9. Türkiye'de barındırma. Asissa, veritabanını, ses kayıtlarını ve yedekleri Türkiye'de bulunan sunucularda barındırmayı hedefler; barındırma sağlayıcısı kesinleştiğinde Ek-3'te belirtilir. Barındırma yerinin yurt dışına taşınması Madde 9.2 uyarınca bildirilir ve bu Madde'deki şartlara tabidir.

10.10. Aktarımın Modül 3'ün yürürlüğüne bağlanması. Asissa, yurt dışındaki bir Alt İşleyenle Modül 3'ü imzalayıp Kurum'a bildirmeden o Alt İşleyene Ek-1'deki kişisel verileri aktarmayacağını taahhüt eder.

10.11. Anons metnine yansıma. Asissa, Modül 3'ün imzalanıp bildirildiğini Müşteri'ye yazılı olarak bildirir. Asissa'nın sağladığı varsayılan anons ve aydınlatma metinleri, bu bildirimden önce "standart sözleşme güvencesi" ifadesini içermez.

Madde 11 – İlgili kişi başvuruları

11.1. Arayanların KVKK m.11'deki haklarına ilişkin başvurularını KVKK m.13 uyarınca en geç otuz (30) gün içinde ve ücretsiz olarak sonuçlandırmak Müşteri'nin yükümlülüğüdür.

11.2. Başvurunun iletilmesi. Asissa'ya doğrudan bir ilgili kişi başvurusu ulaşırsa Asissa, başvuruyu yanıtlamaz; başvuruyu en geç 3 iş günü içinde Müşteri'ye iletir ve kanunen zorunlu olmadıkça başvurucuya yalnızca başvurunun ilgili veri sorumlusuna iletildiğini bildirir. Başvurunun hangi Müşteri'ye ait olduğu belirlenemezse Asissa, başvurucudan ek bilgi isteyebilir.

11.3. Araçlar. Asissa, Müşteri'nin başvuruları yanıtlayabilmesi için Panel'de en az aşağıdaki araçları sağlar:

(a) telefon numarası veya ad ile kişiye ait kayıtların aranması;

(b) kişiye ait ses kaydı, transkript, özet, toplanan alanlar, randevu ve CRM kayıtlarının yaygın kullanılan, makinece okunabilir bir biçimde dışa aktarılması;

(c) kişiye ait kayıtların düzeltilmesi;

(d) kişiye ait kayıtların silinmesi; silmenin Alt İşleyenlerdeki kopyalara Madde 9.5-(b) uyarınca yansıtılması;

(e) silme ve düzeltme işlemlerinin kayıt altına alınması.

11.4. Otomatik kararlar. KVKK m.11/1-(g) uyarınca münhasıran otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine bir sonuç doğmasına itiraz hakkının kullanılabilmesi için Asissa, Hizmet'te aramanın bir insana aktarılması veya geri arama talebi alınması, spam olarak işaretlenen aramaların ve yapay zekâ özetlerinin Müşteri tarafından gözden geçirilebilmesi imkânlarını sunar. Bu imkânların etkinleştirilmesi Müşteri'nin kararıdır.

11.5. Araçların yeterli olmadığı durumlarda Asissa, Müşteri'nin yazılı talebi üzerine makul ölçüde ek yardım sağlar. Olağan dışı ve tekrarlayan talepler için yardımın maliyeti Taraflarca önceden yazılı olarak kararlaştırılır.

Madde 12 – Kişisel veri ihlali

12.1. Asissa'nın bildirimi. Asissa, kendisinin veya bir Alt İşleyenin nezdinde Ek-1'deki verileri etkileyen bir Kişisel Veri İhlalini öğrenmesi hâlinde, Müşteri'ye gecikmeksizin ve her hâlde ihlali öğrenmesinden itibaren en geç 24 saat içinde bildirimde bulunur.

12.2. Bildirim kanalı. Bildirim, Müşteri'nin Panel'de belirlediği KVKK irtibat e-posta adresine ve hesap sahibinin e-posta adresine yapılır; ayrıca Panel'de duyurulur. Müşteri bu adresleri güncel tutmakla yükümlüdür.

12.3. İçerik. Bildirim, o an bilinebildiği ölçüde Ek-5'teki bilgileri içerir. Bilgilerin tamamı aynı anda sağlanamıyorsa Asissa ilk bildirimi gecikmeden yapar ve eksik bilgileri öğrendikçe aşamalı olarak tamamlar.

12.4. Müşterinin bildirim yükümlülüğü. KVKK m.12/5 ve Kurul'un 2019/10 sayılı kararı uyarınca ihlalin Kurul'a öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde, ilgili kişilere ise makul en kısa sürede (Kurul'un 2019/271 sayılı kararındaki asgari içerikle) bildirilmesi veri sorumlusu olarak Müşteri'nin yükümlülüğüdür. Asissa, Müşteri'nin talimatı veya kanuni zorunluluk bulunmadıkça ihlali Kurul'a, ilgili kişilere veya kamuya kendi adına bildirmez.

12.5. İşbirliği. Asissa, ihlalin etkilerini sınırlamak için gerekli acil tedbirleri derhâl alır; ihlalin kök nedenini araştırır; Müşteri'nin Kurul'a ve ilgili kişilere yapacağı bildirimler ile Kurul'un incelemesi için gerekli bilgi ve belgeleri sağlar; tekrarını önleyecek tedbirleri raporlar. Asissa ihlale ilişkin kayıtları en az 3 yıl saklar.

12.6. İhlalin kabul edilmesi anlamına gelmez. Asissa'nın bildirimi, kendi kusurunun veya sorumluluğunun ikrarı anlamına gelmez.

12.7. Müşteri kaynaklı olaylar. Müşteri'nin kendi kullanıcı hesaplarının ele geçirilmesi gibi Müşteri tarafında gerçekleşen olayları Asissa fark ederse Müşteri'yi bilgilendirir ve makul yardımı sağlar.

Madde 13 – Denetim ve bilgi

13.1. Belgelerle denetim. Asissa, Müşteri'nin yazılı talebi üzerine, bu Sözleşme'ye uyumu gösteren makul bilgi ve belgeleri (güvenlik politikası özeti, Ek-2'nin güncel hâli, Alt İşleyen listesi, Modül 3 bildirim teyitleri, güvenlik soru formunun yanıtları, varsa bağımsız denetim raporları ve sertifikalar) 30 gün içinde sunar.

13.2. Sertifika ile ikame. Asissa'nın ISO/IEC 27001, SOC 2 Tip II veya Taraflarca kabul edilen eşdeğer bir bağımsız güvenlik sertifikasına veya güncel bir sızma testi özet raporuna sahip olması hâlinde Müşteri, denetim talebini öncelikle bu belgelerle karşılar.

13.3. Yerinde veya uzaktan denetim. 13.1 ve 13.2'deki belgeler makul olarak yeterli değilse Müşteri, kendisi veya Asissa'nın rakibi olmayan, gizlilik taahhüdü vermiş bağımsız bir denetçi aracılığıyla:

(a) yılda en fazla bir kez,

(b) en az 30 gün önceden yazılı bildirimle ve denetimin kapsamını belirterek,

(c) Asissa'nın mesai saatleri içinde, işleyişini makul olmayan ölçüde aksatmadan ve diğer müşterilerin verilerine erişim olmaksızın

denetim yapabilir.

13.4. İstisna. Müşteri'yi etkileyen bir Kişisel Veri İhlalinin ardından veya Kurul'un talebi üzerine yapılan denetimler yıllık sınıra tabi değildir.

13.5. Maliyet. Denetimin maliyeti Müşteri'ye aittir. Asissa'nın personel zamanı makul ölçüyü aşarsa Taraflar makul bir ücret üzerinde önceden anlaşır. Denetimde Asissa'nın bu Sözleşme'ye esaslı aykırılığı tespit edilirse denetimin makul maliyeti Asissa'ya aittir.

13.6. Alt İşleyenlerin denetimi, Asissa'nın o Alt İşleyenle yaptığı sözleşmede öngörülen denetim hakları ve Alt İşleyenin sunduğu bağımsız raporlar aracılığıyla yürütülür.

13.7. Asissa, KVKK m.12/3 kapsamında kendi kurumu bünyesinde düzenli iç denetim yapar.

Madde 14 – Saklama, iade ve imha

14.1. Varsayılan süreler. Müşteri Panel'de farklı bir süre belirlemedikçe aşağıdaki varsayılan saklama süreleri uygulanır:

Ses kaydı Hizmet'te varsayılan olarak açıktır; kayıtlar Asissa'nın barındırma altyapısında saklanır ve seçilen süre dolunca otomatik olarak silinir. Sağlık modu açık hesaplarda ses kayıtları için 7 veya 30 gün (varsayılan 30 gün), transkript ve özetler için 1, 3 veya 6 ay (varsayılan 3 ay) seçilebilir.

14.2. Müşterinin sorumluluğu. Saklama sürelerinin belirlenmesi Müşteri'nin kararıdır. Taraflar, Silme Yönetmeliği uyarınca saklama ve imha politikası hazırlamakla yükümlü veri sorumlularında periyodik imha süresinin altı (6) ayı geçemeyeceğini, bu yükümlülüğü bulunmayan veri sorumlularının ise işleme şartları ortadan kalktıktan sonra verileri üç (3) ay içinde silmesi, yok etmesi veya anonim hâle getirmesi gerektiğini bilir. Müşteri, Panel ayarlarını bu kurallara uygun belirler.

14.3. Otomatik imha. Asissa, Panel'de belirlenen süre dolduğunda ilgili verileri otomatik olarak siler ve silmeyi Alt İşleyenlerdeki kopyalara yansıtır. Canlı sistemden silinen veriler, yedeklerden yedekleme döngüsü içinde ve en geç 90 gün içinde düşer; bu süre boyunca yedekler yalnızca felaket kurtarma amacıyla tutulur, erişime kapalıdır ve başka amaçla kullanılmaz.

14.4. Sözleşme sonunda iade ve silme. Hizmet Sözleşmesi herhangi bir nedenle sona erdiğinde:

(a) Müşteri, sona erme tarihinden itibaren 30 gün boyunca Panel'e salt okunur erişimle verilerini dışa aktarabilir;

(b) bu sürenin bitiminden itibaren 30 gün içinde Asissa, Ek-1'deki tüm kişisel verileri canlı sistemlerinden ve Alt İşleyenlerden siler veya geri döndürülemez şekilde anonim hâle getirir;

(c) yedeklerdeki kopyalar en geç 90 gün içinde düşer;

(d) Asissa, Müşteri'nin talebi üzerine silmenin tamamlandığını gösteren yazılı bir imha beyanı verir.

14.5. Kanuni saklama. Asissa'nın kanunen saklamakla yükümlü olduğu veriler 14.4'ün dışındadır; bu veriler yalnızca ilgili kanuni amaçla ve süreyle saklanır, erişime kapatılır ve süre sonunda imha edilir. Asissa'nın veri sorumlusu olduğu veriler (Madde 2.3) kendi saklama politikasına tabidir.

14.6. İmha kayıtları. Asissa, Panel üzerinden veya kendi süreçleriyle gerçekleştirilen her silme, yok etme ve anonim hâle getirme işlemini (işlemin türü, kapsamı, tarihi, tetikleyen kullanıcı veya otomatik kural) kayıt altına alır ve bu kayıtları en az üç (3) yıl saklar. Kayıtlar, Müşteri'nin Silme Yönetmeliği m.7/3 kapsamındaki yükümlülüğünü yerine getirebilmesi için Panel'den dışa aktarılabilir. Kayıtlar silinen verinin içeriğini barındırmaz.

Madde 15 – Kurum, kurul ve resmî makam talepleri

15.1. Asissa, Ek-1'deki verilere ilişkin olarak Kurul'dan, Kurum'dan, mahkemelerden, savcılıklardan veya diğer resmî makamlardan bir talep, inceleme veya şikâyet bildirimi alırsa, kanunen yasaklanmadıkça bunu Müşteri'ye gecikmeksizin bildirir.

15.2. Asissa, bu tür taleplere yalnızca kanuni yükümlülüğü ölçüsünde ve talebin gerektirdiği asgari veriyle yanıt verir; talebin hukuka aykırı veya aşırı kapsamlı olduğu kanaatindeyse makul hukuki yollara başvurmayı değerlendirir.

15.3. Taraflar, Kurul'un KVKK m.15 kapsamındaki inceleme yetkisinin bu Sözleşme ile sınırlanamayacağını ve Kurul'un m.15/7 uyarınca veri işlemenin veya yurt dışına aktarımın durdurulmasına karar verebileceğini kabul eder. Böyle bir karar hâlinde Asissa, Müşteri'yi derhâl bilgilendirir ve Taraflar Hizmet'in mümkün olan ölçüde sürdürülmesi için iyi niyetle işbirliği yapar.

15.4. Yurt dışındaki bir Alt İşleyene yabancı bir kamu makamından gelen erişim talepleri, Modül 3'ün ilgili hükümlerine ve Alt İşleyen sözleşmesine göre yönetilir; Asissa bu tür bir talepten haberdar olursa Müşteri'yi bilgilendirir.

Madde 16 – Sorumluluk ve rücu

16.1. Genel ilke. Her Taraf, bu Sözleşme'ye ve KVKK'ya kendi aykırılığından doğan zarardan sorumludur.

16.2. İdari para cezaları. Taraflar, KVKK m.18/2 uyarınca:

(a) m.18/1-(a) (aydınlatma), (b) (veri güvenliği), (c) (Kurul kararları) ve (ç) (VERBİS) bentlerindeki idari para cezalarının yalnızca veri sorumlusu olan Müşteri hakkında uygulanacağını;

(b) m.18/1-(d) bendindeki (standart sözleşmenin bildirilmemesi) idari para cezasının veri işleyen olan Asissa hakkında da uygulanabileceğini

bilir. Sözleşme, cezanın kime kesileceğini değiştirmez; yalnızca Taraflar arasındaki iç ilişkide ekonomik yükün paylaşımını düzenler.

16.3. Rücu. Müşteri hakkında uygulanan bir idari para cezası veya Müşteri'nin ilgili kişilere ödediği bir tazminat, kısmen veya tamamen Asissa'nın bu Sözleşme'ye aykırılığından (ör. Ek-2'deki tedbirlerin alınmaması, 24 saatlik bildirim süresine uyulmaması, Madde 8'deki yasakların ihlali, Madde 10'daki yükümlülüklerin yerine getirilmemesi) kaynaklanıyorsa Müşteri, kesinleşmiş karar veya ödeme belgesine dayanarak Asissa'ya, Asissa'nın kusuru oranında rücu edebilir. Aynı ilke Asissa hakkında uygulanan bir ceza veya ödenen bir tazminatın Müşteri'nin aykırılığından (ör. hukuka aykırı Talimat, eksik aydınlatma, açık rıza veya m.6 şartının bulunmaması) kaynaklanması hâlinde Asissa lehine uygulanır.

16.4. Asissa'nın kendi cezası. m.18/1-(d) cezası ile Asissa'nın Madde 2.4 uyarınca veri sorumlusu sayılmasından doğan cezalar Asissa'nın kendi sorumluluğundadır ve Müşteri'ye yansıtılamaz.

16.5. İlgili kişilere karşı sorumluluk. İlgili kişilerin KVKK m.14/3 ve genel hükümler uyarınca Taraflardan birine veya her ikisine karşı tazminat talep etme hakkı saklıdır. İç ilişkide Taraflar, ödenen tazminatı kusurları oranında paylaşır.

16.6. Bildirim ve savunma. Rücu hakkını kullanmak isteyen Taraf, aleyhine başlatılan inceleme, şikâyet veya davayı öğrendiğinde diğer Tarafa makul sürede bildirir ve savunmaya katılması için imkân tanır. Diğer Tarafın yazılı onayı olmadan yapılan sulh veya kabuller rücu bakımından onu bağlamaz; onay makul olmayan şekilde esirgenemez.

16.7. Sınırlama. Bu Madde kapsamındaki sorumluluk, Hizmet Sözleşmesi'ndeki sorumluluk sınırlarına (olaydan önceki 12 ayda Müşteri'nin ödediği hizmet bedeli) tabidir. Kast ve ağır kusur hâlleri ile Madde 8'deki yasakların kasıtlı ihlali bu sınırın dışındadır (TBK m.115).

Madde 17 – Süre ve fesih

17.1. Bu Sözleşme, Müşteri'nin Hizmet Sözleşmesi'ni kabul ettiği tarihte yürürlüğe girer ve Hizmet Sözleşmesi'nin süresi boyunca yürürlükte kalır.

17.2. Bu Sözleşme, Hizmet Sözleşmesi'nin herhangi bir nedenle sona ermesiyle kendiliğinden sona erer. Ancak Asissa'nın Ek-1'deki verileri işlemeye devam ettiği süre boyunca (Madde 14'teki iade, silme ve yedek süreleri dahil) bu Sözleşme'nin ilgili hükümleri uygulanmaya devam eder.

17.3. Madde 6.3 (gizlilik), Madde 8 (yasaklar), Madde 14 (saklama, iade ve imha), Madde 16 (sorumluluk ve rücu) ve Madde 21 (uygulanacak hukuk) sona ermeden sonra da yürürlükte kalır.

17.4. Taraflardan birinin bu Sözleşme'ye esaslı aykırılığı hâlinde diğer Taraf, aykırılığın giderilmesi için yazılı olarak en az 15 günlük süre verir; süre içinde giderilmeyen aykırılık Hizmet Sözleşmesi'nin haklı nedenle feshi sebebidir. Kişisel verilerin güvenliğini ağır şekilde tehlikeye düşüren aykırılıklarda süre verilmesi gerekmez.

17.5. Müşteri'nin Madde 9.3 uyarınca fesih hakkı saklıdır.

Madde 18 – Hizmet sözleşmesi ile ilişki ve öncelik

18.1. Bu Sözleşme Hizmet Sözleşmesi'nin ayrılmaz bir parçasıdır. Bu Sözleşme'de düzenlenmeyen hususlarda Hizmet Sözleşmesi uygulanır.

18.2. Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme ile Hizmet Sözleşmesi arasında çelişki olması hâlinde bu Sözleşme esas alınır.

18.3. Asissa'nın bir Alt İşleyenle imzaladığı Modül 3, Kurul'un ilan ettiği metne bağlıdır. Bu Sözleşme, Modül 3'ün emredici hükümlerini değiştirmez ve onlarla çelişecek şekilde yorumlanamaz.

18.4. Bu Sözleşme'nin herhangi bir hükmünün geçersiz sayılması, diğer hükümlerin geçerliliğini etkilemez. Geçersiz hüküm, Tarafların amacına ve KVKK'ya en yakın geçerli hükümle ikame edilir.

18.5. Değişiklik. Asissa, bu Sözleşme'yi yalnızca (i) mevzuat değişikliği, Kurul kararı veya Kurum düzenlemesine uyum, (ii) Alt İşleyen değişikliği (Madde 9 usulüyle) ya da (iii) Müşteri lehine değişiklik amacıyla güncelleyebilir. Müşteri aleyhine sonuç doğuran değişiklikler en az 30 gün önceden bildirilir ve Müşteri bu süre içinde cezasız fesih hakkına sahiptir. Değişiklikler Müşteri'nin elektronik onayıyla yürürlüğe girer; kabul edilen sürümler arşivlenir.

Madde 19 – Bildirimler

19.1. Bu Sözleşme kapsamındaki operasyonel bildirimler (Alt İşleyen değişiklikleri, ihlal bildirimleri, başvuruların iletilmesi, Talimatlara ilişkin bildirimler) Panel bildirimi ve e-posta yoluyla yapılır. Asissa'ya yapılacak bildirimler Asissa'nın KVKK başvuru e-posta adresi adresine, Müşteri'ye yapılacak bildirimler Müşteri'nin Panel'de belirlediği KVKK irtibat e-posta adresine ve hesap sahibinin e-posta adresine gönderilir.

19.2. Fesih, itiraz ve hukuki sonuç doğuran ihtarlar, Asissa'ya Hizmet Sözleşmesi'nin 1.2 maddesindeki KEP adresine KEP ile veya noter aracılığıyla; Müşteri'ye, varsa KEP adresine, yoksa Hizmet Sözleşmesi'nde belirtilen adrese yapılır.

19.3. Taraflar adres ve iletişim bilgilerindeki değişiklikleri gecikmeksizin bildirir; bildirilmeyen değişiklikler nedeniyle eski adrese yapılan bildirimler geçerli sayılır.

Madde 20 – Delil

20.1. Taraflar, bu Sözleşme'nin kabulüne, Talimatlara, Panel ayarlarına, bildirimlere ve silme işlemlerine ilişkin olarak Asissa'nın sistemlerinde tutulan elektronik kayıtların, HMK m.193 uyarınca kesin delil niteliğinde olduğunu kabul eder; karşı delil ikamesi hakkı saklıdır.

Madde 21 – Uygulanacak hukuk ve yetkili mahkeme

21.1. Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir.

21.2. Bu Sözleşme'den doğan uyuşmazlıklarda Ankara mahkemeleri ve icra daireleri yetkilidir.

21.3. Bu Sözleşme'nin Türkçe metni esastır. Başka dilde bir çevirisi sunulursa, çelişki hâlinde Türkçe metin uygulanır.

Madde 22 – Yürürlük

22.1. Bu Sözleşme, 22 maddeden ve 5 ekten oluşur. Müşteri tarafından elektronik ortamda kabul edildiği tarihte yürürlüğe girer.

Ekler:

• Ek-1 İşlemenin Ayrıntıları
• Ek-2 Teknik ve İdari Tedbirler
• Ek-3 Alt İşleyenler Listesi
• Ek-4 Yurt Dışı Aktarım Bilgileri (Modül 3)
• Ek-5 Kişisel Veri İhlali Bildirim Formu

Ek-1 – İşlemenin ayrıntıları

1. İşleme amaçları

Asissa, Ek-1'deki verileri yalnızca Müşteri adına ve aşağıdaki amaçlarla işler:

1. Müşteri'nin hattına gelen aramaların yanıtlanması ve Arayanın sorularının Müşteri'nin sağladığı bilgilerle cevaplanması;
2. Randevu oluşturulması, değiştirilmesi, iptali ve hatırlatılması;
3. Talep, sipariş, geri arama ve şikâyet kayıtlarının oluşturulması;
4. Aramanın Müşteri'nin belirlediği kişiye aktarılması;
5. Görüşmenin kaydedilmesi, yazıya dökülmesi, özetlenmesi ve Panel'e işlenmesi;
6. Müşteri'nin CRM kayıtlarının, notlarının ve randevu takviminin tutulması;
7. Müşteri'nin Talimatıyla giden arama kampanyalarının yürütülmesi ve mesaj (WhatsApp, web sohbet, sosyal medya mesaj kanalları) gönderilmesi ve alınması;
8. Müşteri'ye bildirim, rapor ve istatistik sunulması;
9. Müşteri'nin talebi üzerine destek verilmesi;
10. Hizmet'in güvenliğinin, kötüye kullanımın önlenmesinin ve sürekliliğinin sağlanması (yalnızca o Müşteri'nin hesabı bakımından);
11. İlgili kişi başvurularının ve ihlal yönetiminin desteklenmesi.

2. İlgili kişi grupları

3. Kişisel veri kategorileri

4. Özel nitelikli veri ihtimali ve önlemler

4.1. Hizmet özel nitelikli veri toplamak amacıyla tasarlanmamıştır. Ancak Arayanlar görüşme sırasında kendiliğinden sağlık verisi (ör. tedavi türü, şikâyet, kronik hastalık, gebelik, ilaç kullanımı) paylaşabilir. Bu ihtimal özellikle sağlık sektöründeki Müşteriler için yüksektir. Diğer özel nitelikli veri türleri (ör. dini inanç, ceza mahkûmiyeti) istisnai olarak görüşme içeriğinde yer alabilir.

4.2. Asissa bu verilere ilişkin olarak:

• Ek-2'de Kurul'un 2018/10 sayılı kararına göre sayılan yeterli önlemleri uygular;
• Müşteri'ye, Asistanın sağlık bilgisi toplamasını randevu için gerekli asgari bilgiyle sınırlandırma ayarını sunar;
• sağlık sektöründeki hesaplarda (Sağlık modu açık olan hesaplar) iki adımlı doğrulamayı paketten bağımsız olarak zorunlu tutar;
• sesten biyometrik veri çıkarımı yapmaz (Madde 8.1-(c)).

4.3. Bu verilerin işlenmesi ve yurt dışına aktarılması için KVKK m.6/3 ve m.9/4 uyarınca gereken şartın sağlanması Müşteri'nin yükümlülüğündedir (Madde 7.5, 7.6).

4.4. Biyometrik veri: Olağan bir görüşme kaydı kendiliğinden biyometrik veri değildir. Asissa ses izi çıkarmadığı ve konuşmacı tanıma yapmadığı için biyometrik veri işlemez.

5. İşleme faaliyetleri

Toplama (ses akışı, tuşlama, mesaj), kaydetme, yazıya dökme, yapay zekâ ile işleme (anlama, özetleme, alan çıkarma, yanıt üretme), ses sentezi, depolama, Panel'de görüntüleme, düzenleme, sınıflandırma, Müşteri'nin belirlediği kişilere aktarma (arama transferi, bildirim), Müşteri'nin Talimatıyla entegrasyonlara iletme, dışa aktarma, yedekleme, silme ve anonim hâle getirme.

6. Saklama süreleri

Madde 14.1'deki tablo ve Müşteri'nin Panel'deki ayarları uygulanır. Sözleşme sonunda Madde 14.4 uygulanır.

7. Aktarım ve alıcılar

• Müşteri ve yetkilendirdiği kullanıcılar (Panel üzerinden);
• Müşteri'nin belirlediği aktarım hedefleri (çalışanlar, telefon numaraları);
• Alt İşleyenler (Ek-3);
• Müşteri'nin bağladığı üçüncü taraf hizmetler (Madde 9.6);
• Yetkili kamu kurum ve kuruluşları (yalnızca Madde 15 çerçevesinde).

Ek-2 – Teknik ve idari tedbirler

Bu ek, Kurum'un Kişisel Veri Güvenliği Rehberi'ndeki tedbir başlıklarına ve Kurul'un özel nitelikli veriler için yeterli önlemleri belirleyen 2018/10 sayılı kararına göre düzenlenmiştir.

A. İdari tedbirler

B. Teknik tedbirler

C. Özel nitelikli veriler için ek önlemler (Kurul 2018/10)

• Sağlık verisi ihtimali bulunan hesaplar için ayrı politika ve prosedür (A2);
• bu verilere erişen personele özel eğitim ve gizlilik taahhüdü (A5, A6);
• erişim yetkilerinin tanımlanması ve periyodik kontrolü (A7, A8);
• şifreleme ve anahtarların ayrı yönetimi (B3);
• tüm işlemlerin güvenli şekilde kayıt altına alınması (B9);
• uzaktan erişimde iki adımlı doğrulama (B6);
• sunucular arası şifreli bağlantı (B2);
• verilerin taşınması gerekiyorsa şifreli ortamda ve kayıt altında taşınması.

Ek-3 – Alt işleyenler listesi

Son güncelleme: 23 Ekim 2026. Bu ek, Alt İşleyenleri alıcı grupları (rol, ülke ve aktarım dayanağı) hâlinde gösterir. Alt işleyenlerin isimli ve güncel listesi Müşteri'ye Panel'de (Ayarlar › Veri ve gizlilik) sunulur ve talep hâlinde ayrıca yazılı olarak verilir; değişiklikler Madde 9 uyarınca önceden bildirilir. İsimli güncel liste, panele giriş yapan müşterilerimize bu bölümde de gösterilir.

Bu listede yer almayan, ancak bilgi için belirtilen taraflar:

• Müşteri'nin telekom operatörü (Netgsm, Verimor, Türk Telekom vb.): Müşteri'nin kendi abonesi olduğu hizmettir; Asissa'nın Alt İşleyeni değildir.
• Müşteri'nin kendi hesabıyla bağladığı takvim ve ileride WhatsApp Business entegrasyonları: Madde 9.6'ya tabidir.
• Lisanslı ödeme kuruluşu ve e-Fatura/e-Arşiv entegratörü: Asissa'nın kendi veri sorumlusu olduğu faturalama verilerini işler; Ek-1'deki Arayan verilerine erişmez.

Ek-4 – Yurt dışı aktarım bilgileri (Modül 3)

Bu ek, Asissa'nın yurt dışındaki her Alt İşleyenle imzalayacağı Standart Sözleşme-3'ün (Veri İşleyenden Veri İşleyene) temel parametrelerini gösterir. Modül 3'ün kendisi Kurul metnine bağlıdır ve bu ekle değiştirilemez.

A. Taraflar ve imza

B. Aktarımın ayrıntıları (Ek I)

Ek-5 – Kişisel veri ihlali bildirim formu

(Asissa'dan Müşteri'ye yapılacak bildirim – Madde 12)

Bu form, Müşteri'nin Kurul'a 72 saat içinde yapacağı bildirimi hazırlayabilmesi için Kurul'un 2019/10 sayılı kararı ekindeki ihlal bildirim formunun gerektirdiği bilgileri esas alır. Bilinmeyen alanlar "henüz bilinmiyor" olarak işaretlenir ve sonraki bildirimlerle tamamlanır.

1. Bildirim bilgileri

• Bildirim türü: ☐ İlk bildirim ☐ Ek / güncelleme bildirimi (numarası)
• Bildirim tarihi ve saati:
• Asissa irtibat kişisi (ad, unvan, telefon, e-posta):
• Müşteri (unvan, hesap no):

2. İhlalin zamanı

• İhlalin başlangıç tarihi ve saati (biliniyorsa):
• İhlalin bitiş tarihi ve saati (biliniyorsa) / devam ediyor mu:
• Asissa'nın ihlali öğrendiği tarih ve saat:
• Öğrenme şekli (iç izleme, Alt İşleyen bildirimi, Müşteri, üçüncü kişi, ilgili kişi):
• 24 saati aşan bildirim varsa gecikme nedeni:

3. İhlalin niteliği

• Kaynağı: ☐ Asissa sistemleri ☐ Alt İşleyen (adı) ☐ Müşteri tarafı ☐ Bilinmiyor
• Türü: ☐ Gizlilik (yetkisiz erişim/ifşa) ☐ Bütünlük (yetkisiz değişiklik) ☐ Erişilebilirlik (kayıp, imha, erişilemezlik)
• Nedeni: ☐ Siber saldırı ☐ Yetkisiz personel erişimi ☐ Hatalı yapılandırma ☐ Cihaz kaybı/hırsızlığı ☐ Yanlış alıcıya gönderim ☐ Diğer
• Olayın kısa açıklaması:
• İhlal yurt dışındaki bir Alt İşleyende mi gerçekleşti / yurt dışına veri çıkışı oldu mu:

4. Etkilenen veriler ve kişiler

• Etkilenen veri kategorileri (ses kaydı, transkript, telefon numarası, ad-soyad, randevu, CRM, notlar, mesajlar, diğer):
• Özel nitelikli veri (özellikle sağlık verisi) etkilendi mi: ☐ Evet ☐ Hayır ☐ Bilinmiyor
• Etkilenen kayıt sayısı (yaklaşık):
• Etkilenen ilgili kişi sayısı (yaklaşık) ve grupları (Arayanlar, Müşteri çalışanları, diğer):
• Verilerin şifreli veya okunamaz durumda olup olmadığı:

5. Olası sonuçlar

• İlgili kişiler bakımından olası sonuçlar (ör. dolandırıcılık amaçlı arama, itibar zararı, sağlık bilgisinin ifşası):
• Risk değerlendirmesi: ☐ Düşük ☐ Orta ☐ Yüksek

6. Alınan ve önerilen tedbirler

• İhlali durdurmak ve etkisini sınırlamak için alınan tedbirler:
• Kök neden analizi durumu:
• Tekrarını önlemek için planlanan tedbirler ve tarihleri:
• Müşteri'nin alması önerilen tedbirler (ör. kullanıcı parolalarının sıfırlanması):
• İlgili kişilere bildirim için öneri ve taslak içerik (Kurul 2019/271 asgari içeriği):

7. Diğer

• Başka bir kuruma (ör. yurt dışı denetim makamı, kolluk) bildirim yapıldı mı:
• Eklenen belgeler (kayıt özetleri, Alt İşleyen bildirimi vb.):
• Bir sonraki güncellemenin planlanan zamanı: