Bu sözleşme, UPPU platformunu kullanan işletme ile Alone AI Teknoloji Ltd. Şti. arasındaki hizmet ilişkisini düzenler. Sayfanın sonundaki Ek-1 Veri İşleme Eki (firma açma ekranındaki adıyla "veri işleyen eki") sözleşmenin ayrılmaz parçasıdır ve firma açılırken sözleşmeyle birlikte kabul edilir.
1. Taraflar ve kabul
1.1. Bu Hizmet Sözleşmesi ("Sözleşme"), Alone AI Teknoloji Ltd. Şti. ("UPPU") ile UPPU platformunda firma açan tüzel kişi, tacir ya da esnaf ("Müşteri") arasında kurulur.
1.2. Sözleşme, firma açma ekranında "Hizmet sözleşmesini ve veri işleyen ekini kabul ediyorum" kutusunun işaretlenmesiyle kurulur. Kutudaki "veri işleyen eki", bu sayfadaki Ek-1 Veri İşleme Eki'dir. Kabul eden kişi, Müşteri'yi temsile ve bağlamaya yetkili olduğunu beyan eder. Kabul edilen sürüm ve kabul zamanı firma kaydına yazılır.
1.3. UPPU yalnızca ticari veya mesleki amaçla hareket eden işletmelere yöneliktir; tüketicilere hizmet sunulmaz. Müşteri, hizmeti ticari veya mesleki faaliyeti için kullandığını kabul eder.
1.4. Taraflar arasında ayrıca imzalanan bir teklif, sipariş formu ya da sözleşme varsa, o belge bu Sözleşme ile çeliştiği konularda önceliklidir.
2. Tanımlar
- Platform
- UPPU'nun app.uppu.net adresindeki paneli, sohbet penceresi, müşteri API'si (API v1), webhook'ları (webhook v1) ve bunları çalıştıran altyapı.
- Kanal
- Platforma bağlanan web sohbeti, WhatsApp Business Platformu numarası, Facebook sayfası (Messenger) ya da Instagram profesyonel hesabı.
- Kişi
- Müşteri'ye bir kanal üzerinden yazan ya da Müşteri'nin mesaj gönderdiği gerçek kişi.
- Kullanıcı
- Müşteri'nin platforma davet ettiği ve Müşteri adına platformu kullanan kişi (sahip, yönetici, temsilci, denetçi).
- Müşteri Verisi
- Müşteri'nin kanallarından platforma gelen ya da platformdan gönderilen mesajlar, medya, kişi kimlikleri, izin kayıtları ve bunlara ilişkin bilgiler.
- Meta
- WhatsApp, Messenger ve Instagram hizmetlerini sunan Meta Platforms şirketleri.
3. Hizmetin konusu
3.1. UPPU; Müşteri'nin kanallarından gelen mesajları ekip gelen kutusunda toplayan, Kullanıcıların bu mesajları yanıtlamasını sağlayan ve Müşteri'nin kendi sistemlerinin API ve webhook'larla platforma bağlanmasına imkân veren bir yazılım hizmetidir. Hizmetin güncel kapsamı web sitesindeki Hizmetler ve Geliştiriciler sayfalarında açıklanır.
3.2. Web sohbeti kanalını Müşteri kendisi kurar. WhatsApp, Messenger ve Instagram kanalları ile API erişimi, Müşteri'nin talebi üzerine UPPU tarafından Müşteri için açılır. UPPU; kötüye kullanım riski, Meta kuralları ya da teknik nedenlerle bu erişimi açmamaya karar verebilir.
3.3. UPPU hizmeti geliştirmek için özellikleri değiştirebilir. Müşteri'nin kullandığı bir özelliği esaslı biçimde kısıtlayan değişiklikler makul bir süre önce bildirilir. API v1'e yeni alan, olay ve uç nokta eklenebilir; Müşteri'nin sistemleri tanımadığı alanları yok saymalıdır. Mevcut davranışı bozan değişiklikler yeni bir API sürümüyle ya da önceden duyurularak yapılır.
3.4. Hizmet, belirli bir çalışma süresi oranı taahhüt edilmeden sunulur. Taraflar yazılı olarak ayrı bir hizmet seviyesi kararlaştırabilir.
4. Hesap, kullanıcılar ve güvenlik
4.1. Hesap açmak için geçerli bir e-posta adresinin doğrulanması ve 18 yaşın doldurulmuş olması gerekir.
4.2. Müşteri; Kullanıcıları davet etmekten, rollerini belirlemekten ve Kullanıcıların platformdaki işlemlerinden sorumludur. Müşteri, Kullanıcılarının bu Sözleşme'ye uymasını sağlar.
4.3. Parolalar, iki adımlı doğrulama araçları, API anahtarları ve webhook sırları gizli tutulur. Müşteri, yetkisiz bir kullanımdan haberdar olduğunda ilgili anahtarı iptal eder ve UPPU'ya gecikmeden bildirir. UPPU, Kullanıcıların iki adımlı doğrulamayı açmasını önerir.
5. Deneme kullanımı
5.1. UPPU yeni firmalara ücretsiz ve süreli bir deneme kullanımı sunabilir. Deneme süresi ve kotaları panelde ve Fiyatlar sayfasında gösterilir.
5.2. Deneme süresi biten firma, ücretli kullanım başlayana kadar salt okunur hâle gelir: mesajlar okunabilir ve kişilerin verisi dışa aktarılabilir, yeni mesaj gönderilemez. Deneme bittiği için veri silinmez; saklama süreleri olağan şekilde işlemeye devam eder.
5.3. Deneme kullanımı olduğu gibi sunulur; deneme süresince ücret doğmaz.
6. Ücretler, faturalama ve ödeme
6.1. Ücretli kullanımın kapsamı, ücreti ve dönemi Müşteri'ye verilen teklifte belirlenir. Aksi yazılmadıkça ücretlere KDV ve diğer yasal vergiler dahil değildir.
6.2. UPPU ücretleri fatura ile tahsil eder. Faturalar, aksi kararlaştırılmadıkça düzenlenme tarihinden itibaren 7 gün içinde ödenir.
6.3. Ödemesi geciken Müşteri'ye yazılı bildirim yapılır. Bildirimden itibaren 15 gün içinde ödeme yapılmazsa firma salt okunur hâle getirilebilir. Verilerin silinmesinde bu Sözleşme'nin saklama ve fesih hükümleri uygulanır.
6.4. Meta'nın WhatsApp Business Platformu ücretleri UPPU ücretlerine dahil değildir. Bu ücretleri Meta, güncel fiyat listesine göre ve Müşteri'nin WhatsApp Business hesabına tanımladığı ödeme yönteminden tahsil eder. WhatsApp Business hesabına geçerli bir ödeme yöntemi eklemek Müşteri'nin sorumluluğundadır.
6.5. UPPU ücretlerini değiştirmek isterse değişikliği yürürlüğe girmeden en az 30 gün önce bildirir. Müşteri değişikliği kabul etmezse yürürlük tarihine kadar Sözleşme'yi 17. maddedeki usulle feshedebilir.
7. Meta kanalları ve üçüncü taraf koşulları
7.1. Müşteri; WhatsApp Business hesabını, telefon numaralarını, Facebook sayfasını ve Instagram hesabını kendi Meta hesabıyla ve Meta'nın koşullarını kabul ederek bağlar. Bu varlıklar Müşteri'ye aittir ve Meta'nın sistemlerinde tutulur. Müşteri, bu varlıklar üzerinde gerekli yetkiye sahip olduğunu beyan eder.
7.2. Müşteri; WhatsApp Business Koşulları, WhatsApp Business Mesajlaşma Politikası ve Ticaret Politikası, Meta Platform Koşulları, Messenger Platformu ve Instagram politikaları başta olmak üzere Meta'nın güncel koşullarına uyar. Bu kapsamda Müşteri özellikle:
- kişilere WhatsApp üzerinden mesaj göndermeden önce Meta'nın aradığı biçimde izin (opt-in) alır ve izinden vazgeçme taleplerine uyar;
- 24 saatlik yanıt penceresi dışında yalnızca Meta tarafından onaylanmış şablonları kullanır;
- otomatik yanıt ya da bot kullanıyorsa kişilere bir insana ulaşma yolu sunar;
- işletme profilindeki bilgileri doğru ve güncel tutar;
- Meta'nın yasakladığı ya da kısıtladığı ürün ve hizmetler için mesajlaşma yapmaz;
- kanallardan elde ettiği verileri kişilerle mesajlaşmanın gerektirdiği amaç dışında kullanmaz; kişiler hakkında profil oluşturmaz, bu verileri başka verilerle zenginleştirmez ve yapay zekâ modeli eğitmek için kullanmaz (Meta'nın izin verdiği istisnalar saklıdır);
- bir Instagram hesabını Facebook sayfasına bağlarken, sayfa yöneticilerinin Instagram mesajlarını görebileceği konusunda hesabın sahibini bilgilendirir.
7.3. Meta; hesapları, numaraları, şablonları ya da mesaj gönderimini kendi kurallarına göre kısıtlayabilir, askıya alabilir ya da ücretlendirebilir. Meta'nın bu kararları ve Meta hizmetlerindeki kesintiler UPPU'nun kontrolünde değildir.
7.4. Meta bir Müşteri'nin erişiminin kesilmesini isterse ya da Müşteri'nin kullanımı Meta koşullarını ihlal ediyorsa UPPU ilgili kanalın bağlantısını kesebilir. Müşteri, WhatsApp Business hesabından UPPU'nun iş ortağı erişimini kaldırırsa (Meta'nın PARTNER_REMOVED bildirimi) UPPU ilgili erişim jetonlarını siler ve kanalı kapatır. Facebook sayfası ve Instagram'da UPPU'yu Meta tarafında kaldırmak jetonu Meta'da geçersiz kılar; UPPU'daki şifreli jeton, kanalın bağlantısı panelde kesilince ya da firma verisi temizlenince silinir.
7.5. Meta'nın Müşteri'ye ilişkin olarak UPPU'ya ilettiği bildirim ve talepler Müşteri'ye iletilir. UPPU, Meta'nın teknoloji sağlayıcılarına ilişkin koşulları gereği Müşteri'nin unvan ve iletişim bilgilerini içeren güncel bir müşteri listesi tutar ve Meta talep ederse bu bilgileri Meta'ya verebilir.
8. Müşteri'nin yükümlülükleri ve kabul edilebilir kullanım
8.1. Müşteri platformu yürürlükteki mevzuata, bu Sözleşme'ye ve Meta koşullarına uygun kullanır. Özellikle şunlar yasaktır:
- istenmeyen toplu mesaj göndermek ya da izinsiz pazarlama iletisi göndermek;
- hukuka aykırı, aldatıcı, tehdit edici, nefret söylemi içeren, başkalarının haklarını ihlal eden ya da zararlı yazılım veya kimlik avı içeren içerik iletmek;
- başkasının kimliğine bürünmek;
- platformun güvenliğini sınamak ya da aşmaya çalışmak, hız sınırlarını dolanmak, platformu tersine mühendislikle çözümlemek (kanunun izin verdiği hâller saklıdır);
- platformu UPPU'nun yazılı izni olmadan üçüncü kişilere yeniden satmak ya da kiralamak.
8.2. Ticari elektronik iletiler. Müşteri, kişilere gönderdiği ticari elektronik iletiler için 6563 sayılı Kanun ve ilgili yönetmelik uyarınca gerekli onayları almaktan, İleti Yönetim Sistemi'ne (İYS) kayıt ve kontrol yükümlülüklerini yerine getirmekten ve ret taleplerine uymaktan sorumludur. Platformun izin kayıtları bu yükümlülüklerin yerine geçmez; UPPU'nun İYS entegrasyonu yoktur.
8.3. Kişisel veriler. Müşteri, kişilere ilişkin verilerin veri sorumlusudur. Kişileri aydınlatmak, gerekli hukuki sebebe dayanmak, gerektiğinde açık rıza almak ve kişilerin başvurularını yanıtlamak Müşteri'nin sorumluluğundadır. Web sohbeti kanalı, Müşteri'nin kendi aydınlatma metninin adresi girilmeden açılmaz. Müşteri özel nitelikli kişisel verileri yalnızca KVKK m.6'ya uygun bir dayanak varsa, gerekli olduğu ölçüde ve m.6/4 uyarınca Kurul'ca belirlenen yeterli önlemleri önceden değerlendirerek işler (Ek-1, madde E.2).
8.4. Müşteri; API ve webhook entegrasyonlarının güvenliğinden, webhook ile kendi sistemlerine aktarılan verilerden ve bu verilerin kendi sistemlerinde işlenmesinden sorumludur.
9. UPPU'nun yükümlülükleri, destek ve bakım
9.1. UPPU hizmeti özenle sunar ve Ek-1'de sayılan teknik ve idari tedbirleri alır.
9.2. Destek info@uppu.net adresinden hafta içi 09.00–18.00 (Türkiye saati) arasında verilir.
9.3. Planlı bakım çalışmaları mümkün olduğunca önceden duyurulur. Acil güvenlik müdahaleleri önceden duyurulmadan yapılabilir.
10. Kişisel veriler
10.1. Müşteri Verisi bakımından Müşteri veri sorumlusu, UPPU veri işleyendir. UPPU bu verileri yalnızca Müşteri adına ve Ek-1 Veri İşleme Eki'ne göre işler.
10.2. UPPU; Kullanıcıların hesap verileri, sözleşme ve fatura bilgileri ile güvenlik kayıtları bakımından veri sorumlusudur. Bu işlemeler Gizlilik Politikası'nda ve KVKK Aydınlatma Metni'nde açıklanır.
10.3. Müşteri, konuşmaların saklama süresini panelden 30 ile 730 gün arasında belirleyebilir; belirlemezse platformun varsayılan süresi (365 gün) uygulanır. Süre, konuşmanın son etkinliğinden itibaren sayılır.
11. Fikri mülkiyet
11.1. Platform, yazılım, arayüz, belgeler ve UPPU markası üzerindeki haklar UPPU'ya ya da lisans verenlerine aittir. Müşteri'ye Sözleşme süresince ve yalnızca kendi iş amaçları için devredilemez ve münhasır olmayan bir kullanım hakkı tanınır.
11.2. Müşteri Verisi Müşteri'ye aittir. Müşteri, UPPU'ya bu verileri yalnızca hizmeti sunmak amacıyla işleme yetkisi verir.
11.3. UPPU, Müşteri'nin hizmetle ilgili öneri ve geri bildirimlerini, Müşteri'ye karşı bir yükümlülük altına girmeden hizmeti geliştirmek için kullanabilir.
12. Gizlilik
Taraflar, Sözleşme kapsamında öğrendikleri ve gizli olduğu belirtilen ya da niteliği gereği gizli olan bilgileri (fiyatlar, teknik ayrıntılar ve Müşteri Verisi dahil) yalnızca Sözleşme'nin ifası için kullanır ve üçüncü kişilere açıklamaz. Yasal zorunluluk hâlleri saklıdır. Bu yükümlülük Sözleşme sona erdikten sonra da sürer.
13. Askıya alma
UPPU; Sözleşme'nin ya da Meta koşullarının ağır ihlali, hukuka aykırı kullanım, platformun veya başka müşterilerin güvenliğini tehdit eden durumlar, yetkili makamların talebi ya da ödeme gecikmesi (madde 6.3) hâllerinde hizmeti tamamen ya da kısmen askıya alabilir. Askıya alma, mümkün olan hâllerde önceden ve gerekçesiyle bildirilir; sebep ortadan kalkınca hizmet yeniden açılır.
14. Sorumluluk
14.1. UPPU; Meta ya da diğer üçüncü taraf hizmetlerindeki kesinti ve kararlardan, internet altyapısındaki sorunlardan, Müşteri'nin kendi sistemlerinden ve Müşteri'nin talimatlarına uygun yapılan işlemlerden doğan zararlardan sorumlu değildir.
14.2. Kanunen sınırlanamayan hâller ile kast ve ağır ihmal hâlleri saklı kalmak üzere UPPU'nun bu Sözleşme'den doğan toplam sorumluluğu, zarara yol açan olaydan önceki 12 ay içinde Müşteri'nin UPPU'ya ödediği ücretlerle sınırlıdır. UPPU dolaylı zararlardan ve kâr kaybından sorumlu değildir.
14.3. Müşteri, bu Sözleşme'ye, Meta koşullarına ya da mevzuata aykırı kullanımı nedeniyle UPPU'ya yöneltilen talep ve yaptırımlardan doğan zararları karşılar.
15. Süre ve fesih
15.1. Sözleşme firmanın açılmasıyla yürürlüğe girer ve belirsiz süreli olarak devam eder. Ücretli kullanımda teklifte belirtilen dönem uygulanır.
15.2. Müşteri, firmayı panelden kapatarak ("Firmayı sil") Sözleşme'yi dilediği zaman sona erdirebilir; bu kapatma fesih bildirimi yerine geçer (madde 17). Bunun için bağlı kanalların bağlantısı önce kesilir. Önceden ödenmiş dönem ücretlerinin iadesi teklifteki koşullara tabidir.
15.3. UPPU, Sözleşme'yi 30 gün önceden, 17. maddedeki usulle yapacağı bildirimle; Müşteri'nin esaslı ihlali hâlinde ise derhal feshedebilir.
15.4. Müşteri, Sözleşme sona ermeden önce kişilerin verisini panelden kişi bazında JSON olarak dışa aktarabilir; API erişimi açıksa mesajları ve medyayı API v1 ile alabilir. Toplu dışa aktarma için UPPU'ya yazılır; UPPU bunu JSON biçiminde 30 gün içinde sağlar. Kapatılan firmanın verileri kapanıştan 365 gün sonra topluca ve kalıcı olarak silinir; bu sürede tek tek ya da daha erken silme yapılamaz. Müşteri, kişilerin verisini firmayı kapatmadan önce panelden silebilir. Firma kaydı, yasal kayıtlar ve denetim kayıtları için Ek-1, madde E.12 uygulanır.
16. Sözleşmenin değiştirilmesi
16.1. UPPU bu Sözleşme'yi değiştirebilir. Değişiklikler yürürlüğe girmeden en az 30 gün önce firma sahiplerine e-postayla bildirilir ve bu sayfada yeni sürüm numarasıyla yayımlanır.
16.2. Müşteri değişikliği kabul etmezse yürürlük tarihinden önce Sözleşme'yi 17. maddedeki usulle feshedebilir. Yasal zorunluluk ya da güvenlik nedeniyle yapılan değişiklikler daha kısa sürede yürürlüğe girebilir.
16.3. Her firmanın kabul ettiği sözleşme sürümü kaydedilir. Önceki sürümler bu sayfanın arşivinde erişilebilir tutulur.
17. Bildirimler
UPPU'nun bildirimleri firma sahibinin panelde kayıtlı e-posta adresine gönderilir. Müşteri'nin UPPU'ya bildirimleri info@uppu.net adresine yapılır. Müşteri'nin 15.2 uyarınca firmayı panelden kapatması fesih bildirimi yerine geçer ve denetim kaydına yazılır. Diğer fesih ve ihtarlar 6102 sayılı Türk Ticaret Kanunu'nun 18. maddesinin 3. fıkrası uyarınca noter, taahhütlü mektup ya da KEP ile yapılır.
18. Delil sözleşmesi
Taraflar, bu Sözleşme'den doğan uyuşmazlıklarda UPPU'nun sistemlerinde tutulan elektronik kayıtların (denetim kayıtları, sözleşme kabul kayıtları ve teslim kayıtları dahil) 6100 sayılı Hukuk Muhakemeleri Kanunu'nun 193. maddesi uyarınca delil oluşturacağını kabul eder; karşı delil sunma hakkı saklıdır.
19. Uygulanacak hukuk ve yetkili mahkeme
Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Müşteri'nin tacir ya da kamu tüzel kişisi olduğu hâllerde, 6100 sayılı Hukuk Muhakemeleri Kanunu'nun 17. maddesi uyarınca uyuşmazlıklarda İstanbul Anadolu Mahkemeleri ve İcra Daireleri yetkilidir; diğer hâllerde genel yetki kuralları uygulanır.
20. Çeşitli hükümler
20.1. Mücbir sebep hâllerinde (doğal afet, salgın, savaş, yaygın altyapı kesintileri, yetkili makam kararları gibi) taraflar etkilenen yükümlülüklerinden sorumlu tutulmaz.
20.2. Müşteri, Sözleşme'den doğan hak ve yükümlülüklerini UPPU'nun yazılı onayı olmadan devredemez.
20.3. Sözleşme'nin bir hükmünün geçersiz olması diğer hükümlerini etkilemez.
20.4. Sözleşme Türkçe hazırlanmıştır. İngilizce çevirisi bilgi amaçlıdır; çelişki hâlinde Türkçe metin esas alınır.
Ek-1: Veri İşleme Eki (veri işleyen eki)
Bu ek ayrıca kendi sayfasında da yayımlanır: Veri İşleme Eki.
Bu ek, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesi uyarınca, Müşteri'nin veri sorumlusu, UPPU'nun veri işleyen olduğu işlemelere ilişkin hükümleri düzenler. Firma açma ekranındaki kutuda "veri işleyen eki" olarak anılan belge bu ektir. Ekte tanımlanmayan kavramlar Sözleşme'deki ve KVKK'daki anlamlarını taşır.
E.1. Konu, süre ve amaç
UPPU, Müşteri Verisi'ni Sözleşme süresince ve bu ekin E.12 maddesindeki silme süreleri dolana kadar yalnızca Müşteri'ye hizmet sunmak amacıyla işler: mesajları almak, saklamak ve Kullanıcılara göstermek; Müşteri'nin yanıtlarını ve şablonlarını iletmek; teslim durumlarını izlemek; Meta'nın mesajlaşma kurallarını uygulamak ve verileri Müşteri'nin tanımladığı entegrasyonlara aktarmak.
E.2. İlgili kişi grupları ve veri kategorileri
- İlgili kişiler: Müşteri'ye kanallar üzerinden yazan ya da Müşteri'nin mesaj gönderdiği kişiler; web sohbeti ziyaretçileri; paylaşılan içerikte bilgisi bulunan üçüncü kişiler (örneğin kişi kartlarındaki kişiler).
- Veri kategorileri: kanal kimlikleri (WhatsApp BSUID ve telefon numarası, Messenger PSID, Instagram IGSID, web ziyaretçi kimliği); ad ve görünen ad; mesaj içerikleri; medya dosyaları; paylaşılan konum ve kişi kartları; teslim, okunma ve hata bilgileri; konuşma, etiket ve atama bilgileri; izin ve geri çekme kayıtları; ham mesaj kopyaları.
- Özel nitelikli veriler: platform özel nitelikli kişisel veri işlemek için tasarlanmamıştır. Mesaj içerikleri, medya dosyaları ve yedekler bekleme hâlinde ayrıca şifrelenmez; yedekler sunucu dışında tutulmaz. Kişilerin bu tür veriler iletmesi hâlinde hukuki dayanağın varlığından Müşteri sorumludur. Müşteri, KVKK m.6/4 ve Kurul'un yeterli önlemler kararı kapsamında özel nitelikli veri işleyecekse bu tedbirlerin yeterli olup olmadığını önceden değerlendirir.
- Sunucu erişim günlükleri: sohbet penceresinin yüklendiği sayfaların ziyaretçilerinin IP adresi ve tarayıcı bilgisi, pencere açılmasa bile, UPPU sunucularının erişim günlüklerine yazılır. UPPU bu günlükleri kendi güvenliği için veri sorumlusu olarak tutar (KVKK Aydınlatma Metni); Müşteri bunu kendi aydınlatma metninde anar.
E.3. Talimatla işleme
UPPU, Müşteri Verisi'ni yalnızca Müşteri'nin talimatıyla işler. Sözleşme, Müşteri'nin paneldeki ayarları (kanallar, saklama süresi, webhook ve API ayarları) ve yazılı talepleri Müşteri'nin talimatıdır. UPPU bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir ve talimatı yerine getirmeyebilir. Bir yasal zorunluluk nedeniyle başka bir işleme yapılması gerekirse, kanun yasaklamadıkça Müşteri önceden bilgilendirilir.
E.4. Kişilerin doğrudan silme talepleri
Meta'nın koşulları, Meta kanallarından elde edilen verilerin ilgili kişinin talebi üzerine silinmesini öngörür. UPPU'ya doğrudan ulaşan silme taleplerinde UPPU, başvuranın kimliğini makul ölçüde doğruladıktan sonra talebi en geç 3 iş günü içinde Müşteri'ye iletir. Müşteri talebi 10 iş günü içinde paneldeki silme aracıyla yerine getirir ya da yasal bir saklama yükümlülüğünü veya başka bir hukuki engeli gerekçesiyle UPPU'ya bildirir. UPPU sonucu ve varsa gerekçesini ilgili kişiye bildirir; taraflar, kişiye en geç 30 gün içinde yanıt verilebilmesi için bu süreleri gözetir. Silme, Müşteri'nin API erişimi açıksa Müşteri'nin sistemlerine contact.erased olayıyla bildirilir. Kapatılmış firmada tek tek silme yapılamaz; bu firmanın verisi E.12'deki süre dolunca topluca silinir.
E.5. Gizlilik ve personel
UPPU, Müşteri Verisi'ne erişebilecek çalışanlarını ve yardımcılarını gizlilik yükümlülüğüne tabi kılar ve erişimi işin gerektirdiği kişilerle sınırlar. Platform yöneticisi hesaplarının firma verilerine örtük erişimi yoktur. Bu yükümlülük görev ve Sözleşme sona erdikten sonra da sürer (KVKK m.12/4).
E.6. Teknik ve idari tedbirler
UPPU, KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini sağlamak için en az şu tedbirleri uygular:
- verilerin İstanbul'daki UPPU veri merkezinde, UPPU'nun yönettiği sunucularda tutulması;
- firmaların verilerinin zorunlu firma süzgeciyle birbirinden yalıtılması; izinlerin rollere ve açık yetkilere bağlanması; temsilcilerin telefon numaralarını maskeli görmesi;
- tüm bağlantılarda TLS; Meta erişim jetonları, WhatsApp PIN'leri, webhook adresleri ve sırlarının, uygulamanın genel şifreleme anahtarından (APP_KEY) ayrı, döndürülebilir bir anahtar halkasıyla AES-256-GCM ile şifrelenmesi ve şifreli değerin firmaya ve kayda bağlanması;
- API anahtarlarının yalnızca SHA-256 özetinin saklanması; kapsam, kanal, IP aralığı ve süre sınırları;
- imzalı webhook'lar ve hedef adreslerin iç ağlara yönlendirilmesini önleyen denetimler;
- iki adımlı doğrulama ve geçiş anahtarı desteği; platform yöneticileri için zorunlu iki adımlı doğrulama; giriş denemelerinin sınırlanması; hassas işlemlerde parola onayı;
- veri değişikliklerinin ve güvenlik olaylarının denetim kaydına yazılması; parola, kod ve jetonların hiçbir kayda yazılmaması;
- sunucuda güvenlik duvarı, zorunlu erişim denetimi (SELinux), yalnızca anahtarla ve sınırlı adreslerden yönetim erişimi, otomatik güvenlik güncellemeleri;
- veritabanının her gece yedeklenmesi, yedeklerin 7 gün saklanması ve geri yüklemenin her ay sınanması;
- saklama süresi dolan verilerin her gece otomatik silinmesi ve silmelerin imha kaydıyla belgelenmesi.
UPPU bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; güncelleme koruma düzeyini düşüremez.
E.7. Alt veri işleyenler
UPPU, Müşteri Verisi'ni kendi veri merkezinde işler ve bu verinin barındırılması için bir bulut ya da barındırma sağlayıcısı kullanmaz. Hizmet e-postaları (doğrulama, davet ve uyarı e-postaları) mail.uppu.net üzerinden gönderilir; bu e-postalar kişilerin adını ve mesaj içeriğini içermez. UPPU, Müşteri Verisi'ne erişecek yeni bir alt veri işleyen kullanmadan en az 30 gün önce Müşteri'yi bilgilendirir; Müşteri haklı bir gerekçeyle itiraz ederse Sözleşme'yi feshedebilir.
E.8. Meta kanalları ve yurt dışına aktarım
UPPU Müşteri Verisi'ni Türkiye'de saklar. Müşteri'nin bağladığı WhatsApp, Messenger ve Instagram kanallarında mesajlar, bu kanalların işleyişi gereği yurt dışındaki Meta sistemlerinden geçer. Müşteri bu kanalları kendi Meta hesabıyla ve Meta'nın koşullarını doğrudan kabul ederek bağlar; Meta bu verileri Müşteri ile Meta arasındaki koşullara göre işler ve UPPU'nun alt veri işleyeni değildir. Bu kanalların kullanımına ilişkin aydınlatma ve KVKK'nın 9. maddesi kapsamındaki yükümlülükler Müşteri'nin sorumluluğundadır; UPPU, Müşteri'nin talebi üzerine bu konuda gereken bilgileri sağlar.
E.9. İlgili kişi taleplerine yardım
Panel, Müşteri'nin bir kişinin verilerini JSON biçiminde dışa aktarmasını ve kalıcı olarak silmesini sağlar; silme, Müşteri'nin API erişimi açıksa Müşteri'nin sistemlerine contact.erased webhook olayıyla bildirilir. UPPU kendisine doğrudan ulaşan talepleri en geç 3 iş günü içinde Müşteri'ye iletir ve Müşteri'nin talebi yanıtlamasına makul ölçüde yardım eder. Silme talepleri için E.4 maddesi uygulanır.
E.10. Veri ihlali bildirimi
UPPU, Müşteri Verisi'ni etkileyen bir veri ihlalini öğrendiğinde Müşteri'yi gecikmeksizin ve en geç 48 saat içinde bilgilendirir. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir. UPPU, Müşteri'nin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.
E.11. Bilgi verme ve denetim
UPPU, bu ekin uygulandığını göstermek için Müşteri'nin makul bilgi ve belge taleplerini yanıtlar. Müşteri; makul bir süre önceden bildirmek, gizlilik yükümlülüğüne uymak ve masrafları kendisine ait olmak üzere yılda en çok bir kez denetim yapabilir ya da bağımsız bir denetçiye yaptırabilir. Denetim, başka müşterilerin verilerinin gizliliğini ve platformun güvenliğini tehlikeye atmayacak biçimde yürütülür.
E.12. Saklama, iade ve silme
- Konuşmalar ve mesajlar, konuşmanın son etkinliğinden itibaren Müşteri'nin seçtiği sürenin (30 ile 730 gün; seçilmezse 365 gün) sonunda; gelen medya dosyaları alındıktan 90 gün sonra; ham mesaj kopyaları 90 gün sonra (Müşteri'nin saklama süresi daha kısaysa o süre) otomatik olarak silinir. Diğer kayıtların (webhook olayları, API günlüğü, yüklenen medya ve işlenemeyen mesaj kayıtları gibi) süreleri Gizlilik Politikası'ndaki saklama tablosundadır.
- Müşteri, Sözleşme sona ermeden önce kişilerin verisini panelden kişi bazında JSON olarak dışa aktarabilir; API erişimi açıksa mesajları ve medyayı API v1 ile alabilir. Toplu dışa aktarma için UPPU'ya yazılır; UPPU bunu JSON biçiminde 30 gün içinde sağlar.
- Kapatılan firmanın Müşteri Verisi kapanıştan 365 gün sonra topluca ve kalıcı olarak silinir; bu sürede tek tek ya da daha erken silme yapılamaz. Müşteri, kişilerin verisini firmayı kapatmadan önce panelden silebilir.
- Firma kaydı (ad), fatura unvanı, vergi numarası, kabul edilen sözleşme sürümü ve kurulum adımları 10 yıl (213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu), denetim kayıtları en az 3 yıl ve en çok 10 yıl saklanır; bu kayıtlar kapatılan firmanın temizliğinde silinmez ve süre dolunca imha edilir.
- Silinen veriler yedeklerde en çok 7 gün, veritabanı değişiklik günlüklerinde en çok 14 gün daha kalır.
- Her otomatik silme, yalnızca sayıları içeren bir imha kaydıyla belgelenir. Müşteri isterse silmenin yapıldığı yazılı olarak teyit edilir.
E.13. Meta'dan kaynaklanan yükümlülükler
Meta kanallarından elde edilen veriler bakımından UPPU ayrıca: verileri yalnızca Müşteri adına ve Müşteri'nin talimatıyla işler; her müşterinin verisini ayrı tutar; Müşteri'nin bu verileri Meta koşullarına aykırı işlemesini sözleşmeyle yasaklar (madde 7.2); Meta'nın talebi hâlinde erişimi keser; Müşteri WhatsApp Business hesabından UPPU'nun iş ortağı erişimini kaldırdığında erişim jetonlarını siler, Facebook sayfası ve Instagram kanallarında ise kayıtlı jetonu kanalın bağlantısı kesilince ya da firma verisi temizlenince siler; verileri profil oluşturma, zenginleştirme ya da yapay zekâ modeli eğitme amacıyla kullanmaz.
E.14. Sorumluluk ve süre
Tarafların bu ekten doğan sorumluluğu Sözleşme'nin 14. maddesine tabidir; KVKK'nın 12. maddesinin 2. fıkrası uyarınca veri güvenliği tedbirlerinden müşterek sorumluluk saklıdır. Bu ek, Sözleşme sona erse de Müşteri Verisi silinene kadar yürürlükte kalır.