Veri İşleme Eki

Bu ek, Hizmet Sözleşmesi'nin Ek-1'idir ve firma açılırken sözleşmeyle birlikte, aynı sürümle kabul edilir. Aynı metin sözleşmenin sonunda da yer alır; bu sayfa ek ayrıca okunabilsin ve yazdırılabilsin diye yayımlanır.

Bu ek, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 12. maddesi uyarınca, Müşteri'nin veri sorumlusu, UPPU'nun veri işleyen olduğu işlemelere ilişkin hükümleri düzenler. Firma açma ekranındaki kutuda "veri işleyen eki" olarak anılan belge bu ektir. Ekte tanımlanmayan kavramlar Sözleşme'deki ve KVKK'daki anlamlarını taşır.

E.1. Konu, süre ve amaç

UPPU, Müşteri Verisi'ni Sözleşme süresince ve bu ekin E.12 maddesindeki silme süreleri dolana kadar yalnızca Müşteri'ye hizmet sunmak amacıyla işler: mesajları almak, saklamak ve Kullanıcılara göstermek; Müşteri'nin yanıtlarını ve şablonlarını iletmek; teslim durumlarını izlemek; Meta'nın mesajlaşma kurallarını uygulamak ve verileri Müşteri'nin tanımladığı entegrasyonlara aktarmak.

E.2. İlgili kişi grupları ve veri kategorileri

• İlgili kişiler: Müşteri'ye kanallar üzerinden yazan ya da Müşteri'nin mesaj gönderdiği kişiler; web sohbeti ziyaretçileri; paylaşılan içerikte bilgisi bulunan üçüncü kişiler (örneğin kişi kartlarındaki kişiler).
• Veri kategorileri: kanal kimlikleri (WhatsApp BSUID ve telefon numarası, Messenger PSID, Instagram IGSID, web ziyaretçi kimliği); ad ve görünen ad; mesaj içerikleri; medya dosyaları; paylaşılan konum ve kişi kartları; teslim, okunma ve hata bilgileri; konuşma, etiket ve atama bilgileri; izin ve geri çekme kayıtları; ham mesaj kopyaları.
• Özel nitelikli veriler: platform özel nitelikli kişisel veri işlemek için tasarlanmamıştır. Mesaj içerikleri, medya dosyaları ve yedekler bekleme hâlinde ayrıca şifrelenmez; yedekler sunucu dışında tutulmaz. Kişilerin bu tür veriler iletmesi hâlinde hukuki dayanağın varlığından Müşteri sorumludur. Müşteri, KVKK m.6/4 ve Kurul'un yeterli önlemler kararı kapsamında özel nitelikli veri işleyecekse bu tedbirlerin yeterli olup olmadığını önceden değerlendirir.
• Sunucu erişim günlükleri: sohbet penceresinin yüklendiği sayfaların ziyaretçilerinin IP adresi ve tarayıcı bilgisi, pencere açılmasa bile, UPPU sunucularının erişim günlüklerine yazılır. UPPU bu günlükleri kendi güvenliği için veri sorumlusu olarak tutar (KVKK Aydınlatma Metni); Müşteri bunu kendi aydınlatma metninde anar.

E.3. Talimatla işleme

UPPU, Müşteri Verisi'ni yalnızca Müşteri'nin talimatıyla işler. Sözleşme, Müşteri'nin paneldeki ayarları (kanallar, saklama süresi, webhook ve API ayarları) ve yazılı talepleri Müşteri'nin talimatıdır. UPPU bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirir ve talimatı yerine getirmeyebilir. Bir yasal zorunluluk nedeniyle başka bir işleme yapılması gerekirse, kanun yasaklamadıkça Müşteri önceden bilgilendirilir.

E.4. Kişilerin doğrudan silme talepleri

Meta'nın koşulları, Meta kanallarından elde edilen verilerin ilgili kişinin talebi üzerine silinmesini öngörür. UPPU'ya doğrudan ulaşan silme taleplerinde UPPU, başvuranın kimliğini makul ölçüde doğruladıktan sonra talebi en geç 3 iş günü içinde Müşteri'ye iletir. Müşteri talebi 10 iş günü içinde paneldeki silme aracıyla yerine getirir ya da yasal bir saklama yükümlülüğünü veya başka bir hukuki engeli gerekçesiyle UPPU'ya bildirir. UPPU sonucu ve varsa gerekçesini ilgili kişiye bildirir; taraflar, kişiye en geç 30 gün içinde yanıt verilebilmesi için bu süreleri gözetir. Silme, Müşteri'nin API erişimi açıksa Müşteri'nin sistemlerine contact.erased olayıyla bildirilir. Kapatılmış firmada tek tek silme yapılamaz; bu firmanın verisi E.12'deki süre dolunca topluca silinir.

E.5. Gizlilik ve personel

UPPU, Müşteri Verisi'ne erişebilecek çalışanlarını ve yardımcılarını gizlilik yükümlülüğüne tabi kılar ve erişimi işin gerektirdiği kişilerle sınırlar. Platform yöneticisi hesaplarının firma verilerine örtük erişimi yoktur. Bu yükümlülük görev ve Sözleşme sona erdikten sonra da sürer (KVKK m.12/4).

E.6. Teknik ve idari tedbirler

UPPU, KVKK'nın 12. maddesi uyarınca uygun güvenlik düzeyini sağlamak için en az şu tedbirleri uygular:

• verilerin İstanbul'daki UPPU veri merkezinde, UPPU'nun yönettiği sunucularda tutulması;
• firmaların verilerinin zorunlu firma süzgeciyle birbirinden yalıtılması; izinlerin rollere ve açık yetkilere bağlanması; temsilcilerin telefon numaralarını maskeli görmesi;
• tüm bağlantılarda TLS; Meta erişim jetonları, WhatsApp PIN'leri, webhook adresleri ve sırlarının, uygulamanın genel şifreleme anahtarından (APP_KEY) ayrı, döndürülebilir bir anahtar halkasıyla AES-256-GCM ile şifrelenmesi ve şifreli değerin firmaya ve kayda bağlanması;
• API anahtarlarının yalnızca SHA-256 özetinin saklanması; kapsam, kanal, IP aralığı ve süre sınırları;
• imzalı webhook'lar ve hedef adreslerin iç ağlara yönlendirilmesini önleyen denetimler;
• iki adımlı doğrulama ve geçiş anahtarı desteği; platform yöneticileri için zorunlu iki adımlı doğrulama; giriş denemelerinin sınırlanması; hassas işlemlerde parola onayı;
• veri değişikliklerinin ve güvenlik olaylarının denetim kaydına yazılması; parola, kod ve jetonların hiçbir kayda yazılmaması;
• sunucuda güvenlik duvarı, zorunlu erişim denetimi (SELinux), yalnızca anahtarla ve sınırlı adreslerden yönetim erişimi, otomatik güvenlik güncellemeleri;
• veritabanının her gece yedeklenmesi, yedeklerin 7 gün saklanması ve geri yüklemenin her ay sınanması;
• saklama süresi dolan verilerin her gece otomatik silinmesi ve silmelerin imha kaydıyla belgelenmesi.

UPPU bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; güncelleme koruma düzeyini düşüremez.

E.7. Alt veri işleyenler

UPPU, Müşteri Verisi'ni kendi veri merkezinde işler ve bu verinin barındırılması için bir bulut ya da barındırma sağlayıcısı kullanmaz. Hizmet e-postaları (doğrulama, davet ve uyarı e-postaları) mail.uppu.net üzerinden gönderilir; bu e-postalar kişilerin adını ve mesaj içeriğini içermez. UPPU, Müşteri Verisi'ne erişecek yeni bir alt veri işleyen kullanmadan en az 30 gün önce Müşteri'yi bilgilendirir; Müşteri haklı bir gerekçeyle itiraz ederse Sözleşme'yi feshedebilir.

E.8. Meta kanalları ve yurt dışına aktarım

UPPU Müşteri Verisi'ni Türkiye'de saklar. Müşteri'nin bağladığı WhatsApp, Messenger ve Instagram kanallarında mesajlar, bu kanalların işleyişi gereği yurt dışındaki Meta sistemlerinden geçer. Müşteri bu kanalları kendi Meta hesabıyla ve Meta'nın koşullarını doğrudan kabul ederek bağlar; Meta bu verileri Müşteri ile Meta arasındaki koşullara göre işler ve UPPU'nun alt veri işleyeni değildir. Bu kanalların kullanımına ilişkin aydınlatma ve KVKK'nın 9. maddesi kapsamındaki yükümlülükler Müşteri'nin sorumluluğundadır; UPPU, Müşteri'nin talebi üzerine bu konuda gereken bilgileri sağlar.

E.9. İlgili kişi taleplerine yardım

Panel, Müşteri'nin bir kişinin verilerini JSON biçiminde dışa aktarmasını ve kalıcı olarak silmesini sağlar; silme, Müşteri'nin API erişimi açıksa Müşteri'nin sistemlerine contact.erased webhook olayıyla bildirilir. UPPU kendisine doğrudan ulaşan talepleri en geç 3 iş günü içinde Müşteri'ye iletir ve Müşteri'nin talebi yanıtlamasına makul ölçüde yardım eder. Silme talepleri için E.4 maddesi uygulanır.

E.10. Veri ihlali bildirimi

UPPU, Müşteri Verisi'ni etkileyen bir veri ihlalini öğrendiğinde Müşteri'yi gecikmeksizin ve en geç 48 saat içinde bilgilendirir. Bildirim, o an bilinen ölçüde ihlalin niteliğini, etkilenen veri ve kişi gruplarını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir. UPPU, Müşteri'nin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım eder.

E.11. Bilgi verme ve denetim

UPPU, bu ekin uygulandığını göstermek için Müşteri'nin makul bilgi ve belge taleplerini yanıtlar. Müşteri; makul bir süre önceden bildirmek, gizlilik yükümlülüğüne uymak ve masrafları kendisine ait olmak üzere yılda en çok bir kez denetim yapabilir ya da bağımsız bir denetçiye yaptırabilir. Denetim, başka müşterilerin verilerinin gizliliğini ve platformun güvenliğini tehlikeye atmayacak biçimde yürütülür.

E.12. Saklama, iade ve silme

• Konuşmalar ve mesajlar, konuşmanın son etkinliğinden itibaren Müşteri'nin seçtiği sürenin (30 ile 730 gün; seçilmezse 365 gün) sonunda; gelen medya dosyaları alındıktan 90 gün sonra; ham mesaj kopyaları 90 gün sonra (Müşteri'nin saklama süresi daha kısaysa o süre) otomatik olarak silinir. Diğer kayıtların (webhook olayları, API günlüğü, yüklenen medya ve işlenemeyen mesaj kayıtları gibi) süreleri Gizlilik Politikası'ndaki saklama tablosundadır.
• Müşteri, Sözleşme sona ermeden önce kişilerin verisini panelden kişi bazında JSON olarak dışa aktarabilir; API erişimi açıksa mesajları ve medyayı API v1 ile alabilir. Toplu dışa aktarma için UPPU'ya yazılır; UPPU bunu JSON biçiminde 30 gün içinde sağlar.
• Kapatılan firmanın Müşteri Verisi kapanıştan 365 gün sonra topluca ve kalıcı olarak silinir; bu sürede tek tek ya da daha erken silme yapılamaz. Müşteri, kişilerin verisini firmayı kapatmadan önce panelden silebilir.
• Firma kaydı (ad), fatura unvanı, vergi numarası, kabul edilen sözleşme sürümü ve kurulum adımları 10 yıl (213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu), denetim kayıtları en az 3 yıl ve en çok 10 yıl saklanır; bu kayıtlar kapatılan firmanın temizliğinde silinmez ve süre dolunca imha edilir.
• Silinen veriler yedeklerde en çok 7 gün, veritabanı değişiklik günlüklerinde en çok 14 gün daha kalır.
• Her otomatik silme, yalnızca sayıları içeren bir imha kaydıyla belgelenir. Müşteri isterse silmenin yapıldığı yazılı olarak teyit edilir.

E.13. Meta'dan kaynaklanan yükümlülükler

Meta kanallarından elde edilen veriler bakımından UPPU ayrıca: verileri yalnızca Müşteri adına ve Müşteri'nin talimatıyla işler; her müşterinin verisini ayrı tutar; Müşteri'nin bu verileri Meta koşullarına aykırı işlemesini sözleşmeyle yasaklar (madde 7.2); Meta'nın talebi hâlinde erişimi keser; Müşteri WhatsApp Business hesabından UPPU'nun iş ortağı erişimini kaldırdığında erişim jetonlarını siler, Facebook sayfası ve Instagram kanallarında ise kayıtlı jetonu kanalın bağlantısı kesilince ya da firma verisi temizlenince siler; verileri profil oluşturma, zenginleştirme ya da yapay zekâ modeli eğitme amacıyla kullanmaz.

E.14. Sorumluluk ve süre

Tarafların bu ekten doğan sorumluluğu Sözleşme'nin 14. maddesine tabidir; KVKK'nın 12. maddesinin 2. fıkrası uyarınca veri güvenliği tedbirlerinden müşterek sorumluluk saklıdır. Bu ek, Sözleşme sona erse de Müşteri Verisi silinene kadar yürürlükte kalır.