Veri İşleme Sözleşmesi (DPA)
Sürüm: 2026-10-12 · Yürürlük tarihi: 12.06.2026 · Bağlayıcı dil: Türkçe
Bu Veri İşleme Sözleşmesi ("DPA"), Hizmet'i kullanan Müşteri (veri sorumlusu) ile aşağıda bilgileri yer alan Repmight (veri işleyen) arasında, Müşteri adına yapılan kişisel veri işleme faaliyetlerini 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil mevzuat çerçevesinde düzenler. Kullanım Koşulları'nın ayrılmaz parçasıdır ve Koşulların kabulüyle yürürlüğe girer. AB/AEA'da veya Birleşik Krallık'ta yerleşik Müşteriler için ayrıca aşağıdaki Ek 2 (GDPR) uygulanır.
| Unvan | OMERBEYOGLU UNLU TEKNOLOJI DANISMANLIK |
| Adres | Bulancak 2. OSB, 4.Cadde No:5 Giresun Teknokent Bulancak/Giresun |
| Vergi dairesi / VKN | GİRESUN / 46699107934 |
| Kayıtlı olunan oda | Giresun Ticaret ve Sanayi Odası |
| KEP adresi | omerbeyogluunlu@hs01.kep.tr |
| E-posta | contact@repmight.com |
| Telefon | — |
| VERBİS | — |
1. Konu, süre, nitelik ve amaç
- Konu ve amaç: Müşteri'nin satış ve pazarlama iletişimi için işletmelerin ve iş iletişim verilerinin bulunması, zenginleştirilmesi, yapay zekâ ile değerlendirilmesi, e-posta taslağı hazırlanması, Müşteri'nin onayıyla gönderilmesi, cevapların işlenmesi; kullanılıyorsa sesli asistan görüşmeleri, WhatsApp şablon mesajları ve CRM/webhook aktarımları.
- Nitelik: toplama, kaydetme, saklama, düzenleme, yapay zekâ ile analiz, sınıflandırma, iletim, aktarım, silme.
- Süre: abonelik süresi ile madde 3'teki iade ve silme süresi.
2. İlgili kişiler ve veri kategorileri
- İlgili kişiler: Müşteri'nin hedeflediği işletmelerin çalışanları, yetkilileri ve şahıs işletmesi sahipleri; Müşteri'ye cevap veren veya Müşteri'yi arayan kişiler; Müşteri'nin çalışanları.
- Veriler: ad soyad, unvan, iş e-postası, iş telefonu, işletme adı ve web sitesi, işletmenin herkese açık web sitesinden elde edilen metinler, e-posta yazışmaları, çağrı kayıtları ve dökümleri (kayıt açıksa), WhatsApp mesajları, İYS sorgu ve ret kayıtları, çıkış listesi.
- Özel nitelikli veri: işlenmez. Müşteri, Hizmet'e özel nitelikli kişisel veri yüklememeyi ve bu tür verileri hedefleme veya içerikte kullanmamayı taahhüt eder.
3. Veri işleyenin yükümlülükleri
- Kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler; Hizmet'in ayarları, Müşteri'nin panelden yaptığı işlemler ve bu DPA talimat sayılır. Bir talimatın mevzuata aykırı olduğu kanaatindeyse Müşteri'yi bilgilendirir.
- Kişisel verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlar.
- KVKK m.12 kapsamında uygun güvenlik düzeyini sağlamak için Ek 1'deki teknik ve idari tedbirleri alır.
- Alt işleyen kullanımında madde 4'e uyar.
- Müşteri'nin ilgili kişi başvurularını yanıtlamasına makul ölçüde yardımcı olur; panelde dışa aktarma ve silme ("unut") araçları sunar. Kendisine doğrudan gelen başvuruları gecikmeksizin Müşteri'ye iletir.
- Kişisel veri ihlalini öğrenmesinden sonra gecikmeksizin ve en geç 24 saat içinde Müşteri'ye bildirir; ihlalin niteliği, etkilenen veri ve kişi kategorileri, olası sonuçları ve alınan tedbirler hakkında bildiği bilgileri paylaşır. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir; Biz bu bildirim için gereken bilgileri sağlarız.
- Sözleşmenin sona ermesinden sonra Müşteri'nin panelden verilerini dışa aktarması için 30 gün süre tanır; bu sürenin sonunda verileri siler veya anonim hâle getirir, yedeklerdeki kopyaları 60 gün içinde siler. Mevzuat gereği saklanması zorunlu veriler saklanmaya devam edilir.
- Bu DPA'ya uyumu gösteren bilgileri Müşteri'nin makul talebi üzerine sağlar. Denetim, yılda en fazla bir kez, 30 gün önceden bildirimle, öncelikle yazılı soru listesi ve belgeler üzerinden; yerinde denetim gerekirse masrafı Müşteri'ye ait olmak üzere, iş akışını aksatmayacak şekilde ve gizlilik taahhüdüyle yapılır.
- Müşteri verilerini kendi amaçları için kullanmaz, satmaz ve genel yapay zekâ modellerini eğitmek için kullanmaz veya kullandırmaz.
4. Alt işleyenler
Müşteri, Alt İşleyenler sayfasında listelenen alt işleyenlerin kullanılmasına genel yetki verir. Yeni bir alt işleyen eklenmeden veya değiştirilmeden en az 30 gün önce Müşteri'ye e-posta veya panel bildirimiyle haber verilir. Müşteri haklı sebeple itiraz edebilir; itiraz giderilemezse Müşteri, ilgili hizmeti kullanmayı bırakabilir veya aboneliğini feshederek ödenmiş ancak kullanılmamış döneme ilişkin orantılı iade alabilir. Alt işleyenlere bu DPA'dakilerle esasen aynı düzeyde veri koruma yükümlülükleri yüklenir; alt işleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı mevzuat çerçevesinde sorumluyuz. Müşteri'nin kendi hesabıyla bağladığı hizmetler (ör. Müşteri'nin posta kutusu sağlayıcısı, CRM'i, İYS entegratörü veya telefon operatörü) Bizim alt işleyenimiz değil, Müşteri'nin kendi tedarikçileridir.
5. Yurt dışına aktarım
Alt işleyenlerin bir kısmı yurt dışında yerleşiktir. Yurt dışına aktarımlar KVKK m.9 uyarınca; yeterlilik kararı bulunan ülkelere veya Kurul'ca ilan edilen standart sözleşme gibi uygun güvencelerden biri sağlanarak yapılır. Lead verilerinin yurt dışındaki alt işleyenlere aktarımında aktaran taraf Biziz: her yurt dışı alt işleyenle Kurul'ca ilan edilen standart sözleşmenin veri işleyenden veri işleyene aktarıma ilişkin hâlini imzalar ve imzadan itibaren 5 iş günü içinde Kurul'a bildirimi Biz yaparız. Bu yükümlülük için Müşteri'ye ayrıca bir işlem düşmez; Müşteri talep ederse imzalanan sözleşmelerin listesini ve bildirim tarihlerini paylaşırız. Müşteri, Hizmet'i kullanarak lead verilerinin Alt İşleyenler sayfasında belirtilen ülkelere bu güvencelerle aktarılacağını kabul eder ve kendi ilgili kişilerini buna göre aydınlatır.
6. Müşteri'nin yükümlülükleri
Müşteri; lead verilerinin toplanması ve işlenmesi için hukuki sebebin bulunmasından, ilgili kişilerin aydınlatılmasından, gerekiyorsa açık rıza ve ticari elektronik ileti onayı alınmasından, İYS yükümlülüklerinden, VERBİS kaydından ve verdiği talimatların hukuka uygunluğundan sorumludur.
7. Sorumluluk
Bu DPA kapsamındaki sorumluluk, Kullanım Koşulları'ndaki sorumluluk sınırlamalarına tabidir; emredici hükümler saklıdır.
Ek 1 — Teknik ve idari tedbirler
- Kiracı izolasyonu: veritabanında satır düzeyi güvenlik ile Müşteri verilerinin birbirinden ayrılması.
- İletimde TLS şifrelemesi; posta kutusu erişim belirteçleri ve API anahtarlarının veritabanında şifreli saklanması; şifrelerin tek yönlü özet olarak tutulması.
- Rol tabanlı erişim, en az yetki ilkesi, yönetici erişimlerinin kayıt altına alınması (denetim kayıtları).
- Günlük yedekleme ve sunucu dışı yedek; geri yükleme denemeleri.
- Saklama sürelerinin otomatik uygulanması (dönüşmeyen lead'lerin, eşleşmeyen e-postaların silinmesi).
- Barındırma: Netİnternet, Türkiye (İstanbul).
- Yönetici hesaplarında iki adımlı doğrulama ve IP kısıtı; oturum ve giriş denemelerinde hız sınırı; bağımlılık ve güvenlik güncellemelerinin düzenli uygulanması; erişim yetkilerinin yalnızca gerekli kişilerle sınırlandırılması.
Ek 2 — Birleşik Krallık ve diğer ülkelerdeki Müşteriler için veri koruma eki
Hizmet şu an AB/AEA'da yerleşik Müşterilere sunulmamaktadır. Müşteri'nin UK GDPR'a veya AB GDPR'ın ülke dışı uygulanma kurallarına tabi olduğu ölçüde, taraflar GDPR m.28(3)'te sayılan hususların bu DPA'nın 1–5. maddeleri ve Ek 1 ile karşılandığını kabul eder: belgelenmiş talimatla işleme, gizlilik yükümlülüğü, m.32 güvenlik tedbirleri, alt işleyen şartları (genel yetki ve itiraz hakkı), ilgili kişi taleplerine ve m.32–36 yükümlülüklerine yardım, sona ermede silme veya iade, uyumu gösterme ve denetim. Veri işleyen, bir talimatın GDPR'a aykırı olduğu kanaatindeyse Müşteri'yi bilgilendirir. AB/AEA'dan Türkiye'ye ve üçüncü ülkelere aktarımlarda Avrupa Komisyonu'nun Standart Sözleşme Maddeleri (Modül 2: veri sorumlusundan veri işleyene; alt işleyenler için Modül 3), Birleşik Krallık'tan aktarımlarda UK IDTA veya UK Eki uygulanır ve referans yoluyla bu DPA'ya dâhil edilir [hukuk ile teyit: UK IDTA/UK Eki seçimleri]. Bu Ek ile DPA'nın diğer hükümleri arasında çelişki olması hâlinde, GDPR'a tabi işleme bakımından bu Ek ve SCC hükümleri önceliklidir.