KekikSoft Kişisel Veri İşleme Ek Protokolü

1. Taraflar, rol ve öncelik

Bu Ek Protokol, Kullanıcı ve SaaS Hizmet Sözleşmesindeki Müşteri ("Veri Sorumlusu") ile Ahmet Deniz / KekikSoft / KekikSoft ("Veri İşleyen") arasında, Müşterinin Platforma aktardığı veya Bağlı Hesap üzerinden erişime açtığı kişisel veriler için uygulanır.

Tarafların somut faaliyetteki rolleri mevzuata göre belirlenir; unvanlandırma tek başına rolü değiştirmez. KekikSoft'un hesap, fatura, kendi güvenliği ve yasal yükümlülükleri için bağımsız veri sorumlusu olduğu işlemler KVKK Aydınlatma Metnine tabidir.

Bu Ek Protokolle ana sözleşme çelişirse kişisel veri işleme konusunda bu Ek Protokol önceliklidir. Elektronik kabul, kabul eden kişinin Müşteriyi bağlama yetkisi beyanıyla sürüm ve bütünlük kanıtı eşliğinde kaydedilir.

2. İşlemenin konusu, süresi, niteliği ve amacı

İşlemenin konusu; Müşterinin profesyonel Instagram hesabındaki mesaj, yorum ve ilgili kişi kayıtlarının resmî API üzerinden alınması; panelde sunulması; ekipçe yanıtlanması; aranması, etiketlenmesi ve atanması; müşteri adayı/CRM kaydı, satış aşaması, görev ve takip bilgilerinin yönetilmesi; Müşterinin seçtiği otomasyon/raporlama/dışa aktarma işlemlerinin ve ayrı etkinleştirilirse yapay zekâ destekli karar desteğinin yürütülmesi; güvenli yedekleme ve destek faaliyetleridir.

İşleme, sözleşme ve ilgili workspace aktif olduğu sürece; sonrasında Müşterinin iade/silme talimatı, güvenli yedek döngüsü ve kanuni zorunluluklarla sınırlı geçiş dönemi boyunca sürer. İşleme sıklığı, Bağlı Hesap etkileşimi ve Müşteri kullanımına bağlıdır.

3. İlgili kişi ve veri kategorileri

• İlgili kişiler: Instagram hesabıyla iletişim kuran takipçiler, müşteriler, müşteri adayları, yorumcular; Müşterinin çalışanı/temsilcisi olan workspace üyeleri ve konuşmalarda yer alan diğer kişiler.
• Kimlik/profil: Instagram platform kullanıcı kimliği, kullanıcı adı, görünen ad, profil görseli/bağlantısı ve Müşterinin eklediği kişi bilgileri.
• İletişim ve içerik: mesaj, yorum, ek/medya referansı, konuşma zamanı ve durumu, Müşterinin yanıtı.
• Müşteri işlem: etiket, not, atama, şablon, otomasyon sonucu, moderasyon ve talep durumu.
• CRM ve satış takibi: müşteri adayı durumu, pipeline aşaması, tahmini fırsat değeri, para birimi, takip tarihi, sorumlu ekip üyesi, görevler, işlem geçmişi ve kayıp nedeni.
• Opsiyonel karar desteği: özet, görüşme amacı, duygu, satışa yakınlık puanı/seviyesi, güven oranı, satın alma sinyalleri, ihtiyaçlar, itirazlar, önerilen takip adımı, uyarılar ve dayanak mesaj kimlikleri.
• Teknik/güvenlik: olay kimlikleri, teslim/senkronizasyon durumu, hata ve denetim kayıtları.
• Özel nitelikli veri: hizmetin amaçlanan kategorisi değildir. İçerikte kendiliğinden ortaya çıkabilir; kasıtlı işleme ancak Müşterinin hukuki sebebi ve gerekli ek önlemleri belgelemesiyle mümkündür.

4. Belgelenmiş talimat

Ana sözleşme, workspace ayarları, API/özellik seçimleri, yetkili destek talepleri ve bu Ek Protokol Müşterinin belgelenmiş talimatlarını oluşturur. KekikSoft veriyi yalnızca bu talimatlarla ve uygulanabilir hukukla uyumlu işler.

Bir talimatın hukuka aykırı olduğu kanaati doğarsa, yasaklanmadığı ölçüde Müşteri gecikmeden bilgilendirilir ve işlem açıklığa kavuşana kadar durdurulabilir. KekikSoft, kanuni zorunlulukla talimat dışında işlem yaparsa, yasaklanmadığı ölçüde hukuki dayanağı önceden bildirir.

Yapay zekâ CRM analizi ayrı bir workspace sahibi talimatıyla etkinleştirilir. Analiz yalnızca karar desteği üretir; kişi durumu/pipeline aşaması değiştirmez, ileti göndermez ve münhasıran otomatik şekilde aleyhe sonuç doğurmaz. Özel nitelikli veya hassas kişisel özelliklerin çıkarımı yasaktır; çıktının doğruluğu, kanıt bağlantısı ve uygun kullanımı Müşterinin yetkili çalışanı tarafından doğrulanır.

5. Müşterinin yükümlülükleri

• Veri toplama ve Platforma aktarma için geçerli hukuki sebebi belirlemek, ilgili kişileri aydınlatmak ve gerektiğinde rıza/ileti izinlerini ispatlamak.
• Talimatların amaçla sınırlı, ölçülü, doğru ve güncel olmasını sağlamak; gereksiz içerik ve özel nitelikli veri aktarmamak.
• Workspace rollerini, saklama tercihlerini, otomasyonları ve dışa aktarmaları yönetmek; ilgili kişi taleplerini kanuni sürelerde sonuçlandırmak.
• Çocuklara veya hassas sektörlere yönelik kullanımda ek mevzuat ve güvenlik değerlendirmesini yapmak; gerekli olmadıkça Platformu bu amaçla kullanmamak.

6. Gizlilik ve yetkili personel

KekikSoft, Müşteri Verisine erişimi hizmet için bilmesi gereken kişilerle ve asgari yetkiyle sınırlar. Yetkili kişiler sözleşmesel veya kanuni gizlilik yükümlülüğü, güvenlik eğitimi ve erişim denetimine tabidir. Destek erişimleri amaç ve süreyle sınırlandırılır ve uygun olduğunda kayda alınır.

7. Teknik ve idari önlemler

• Workspace ve rol tabanlı sunucu tarafı yetkilendirme; veritabanı satır seviyesinde erişim kuralları ve servis hesabı ayrımı.
• Aktarımda TLS; erişim tokenlarının uygulama seviyesinde güçlü şifrelenmesi; anahtarların koddan ayrı tutulması ve kontrollü rotasyonu.
• HTTP-only/SameSite/güvenli oturum çerezleri, CSRF ve içerik türü kontrolleri, imzalı webhook doğrulama, replay ve hız sınırlama önlemleri.
• Kritik işlemler için içerik azaltılmış denetim kayıtları; gizli bilgi, bağımlılık ve kod güvenliği kontrolleri; olay müdahale ve geri yükleme süreçleri.
• Yedek, silme ve erişim süreçlerinde görev ayrılığı; tedarikçi ve alt işleyen risk değerlendirmesi.

Önlemler risk, teknoloji ve maliyet dikkate alınarak sürekli geliştirilir; bir önlemin açıklanması güvenlik sırrını ifşa edecek ayrıntıları kapsamaz.

8. Kişisel veri ihlali ve olay bildirimi

KekikSoft, Müşteri Verisini etkileyen doğrulanmış bir kişisel veri ihlalini öğrendikten sonra, Müşterinin yasal bildirim yükümlülüklerini yerine getirebilmesi için gereksiz gecikme olmaksızın mevcut bilgileri iletir. Bildirim; bilindiği ölçüde olayın niteliği, etkilenen veri/kişi grupları, muhtemel sonuçlar, alınan/önerilen önlemler ve irtibat noktasını içerir.

İlk bildirim tüm bilgilerin tamamlandığı anlamına gelmez; soruşturma ilerledikçe güncelleme yapılabilir. KekikSoft'un bildirim veya yardım sunması kusur ya da sorumluluk kabulü değildir. Müşteri, veri sorumlusu olarak Kurul ve ilgili kişi bildirimlerine karar verir; KekikSoft makul destek sağlar.

9. İlgili kişi talepleri ve resmi incelemeler

KekikSoft, Müşteri Verisine ilişkin doğrudan bir talep alırsa, hukuken yasaklanmadıkça talebi Müşteriye yönlendirir ve talimat olmadan esas hakkında karar vermez. Platform araçları ve makul teknik destekle erişim, düzeltme, dışa aktarma, kısıtlama ve silme taleplerinin yerine getirilmesine yardımcı olur.

KVKK yükümlülüğü, etki değerlendirmesi, güvenlik incelemesi veya yetkili kurum talebi için gereken makul bilgiler sağlanır. Olağan dışı, yoğun veya Müşterinin kusurundan doğan ek çalışma önceden bildirilen makul ücretlendirmeye tabi olabilir.

10. Alt işleyenler ve değişiklik bildirimi

Müşteri, güncel Alt İşleyenler ve Üçüncü Taraflar sayfasında belirtilen sağlayıcıların yalnızca orada açıklanan amaçlarla kullanılmasına genel yazılı izin verir. KekikSoft alt işleyene, veri koruma bakımından bu Ek Protokolle esasen eşdeğer yükümlülükler yükler ve kendi yükümlülüklerinden sorumlu kalır.

Yeni bir alt işleyen Müşteri Verisine erişmeden önce makul bildirim yapılır. Müşteri, belgeli ve makul veri koruma gerekçesiyle bildirilen süre içinde itiraz edebilir. Taraflar alternatif çözümü iyi niyetle değerlendirir; çözüm mümkün değilse etkilenen özellik veya sözleşme ileriye dönük sonlandırılabilir.

11. Yurt dışına aktarım

Müşteri Verisinin yurt dışına düzenli aktarımı, KVKK m.9'a uygun yeterlilik kararı veya uygun güvence tesis edilmeden başlatılmaz. Uygun güvence olarak standart sözleşme kullanılırsa taraf/rol/modül doğru belirlenir, imzalı sözleşme mevzuattaki sürede Kuruma bildirilir ve sonraki değişiklik/sona erme yükümlülükleri izlenir.

Açık rıza veya arızi istisna, yapısal ve süreklilik arz eden aktarımın varsayılan çözümü değildir. Yapay zekâ gibi opsiyonel ve yeni alıcı içeren özellikler, aktarım envanteri ve güvence tamamlanana kadar kapalı tutulur.

12. İade, silme ve sözleşme sonu

Sözleşme sona erdiğinde Müşterinin seçimine ve teknik imkâna göre Müşteri Verisi yapılandırılmış formatta iade edilir ve aktif sistemlerden silinir; kanuni saklama zorunluluğu olan sınırlı kayıtlar ayrıştırılır, başka amaçla kullanılmaz ve süre sonunda imha edilir. Yedek kopyalar güvenli, erişimi sınırlı ve değiştirilmez döngü sonunda silinir.

Müşteri, fesih öncesi sunulan dışa aktarma aracını kullanmaktan sorumludur. Silme talimatı, geri döndürülemez sonuçları nedeniyle yetkili workspace sahibi ve uygun ek doğrulama gerektirir.

13. Bilgi ve denetim

KekikSoft, bu Ek Protokole uyumu göstermek için güncel güvenlik/tedarikçi özetlerini ve makul kanıtları sağlar. Belge incelemesinin yetersiz kaldığı somut riskte, yılda en fazla bir kez, gizlilik ve güvenlik şartlarıyla, hizmeti aksatmayacak kapsamda bağımsız denetime izin verilebilir. İhlal şüphesi veya yetkili kurum talebinde bu sınır uygulanmaz.

14. İrtibat ve yürürlük

Veri koruma bildirimleri kekiksoft@gmail.com üzerinden iletilir. Ek Protokol elektronik kabul tarihinde yürürlüğe girer ve ana sözleşme kapsamındaki Müşteri Verisi işlendiği sürece geçerlidir.