Veri İşleme Eki — Kontrollü Taslak

1. Belge kontrolü ve icra kapısı

Onaylı DPA yalnız doğrulanmış şirket yetkilileri arasında Sipariş Formu ve Hizmet Sözleşmesiyle birlikte, imzalı/e-imzalı ayrı bir ek olarak icra edilecektir. Web görüntüleme, `ACKNOWLEDGE` veya clickwrap bu `EXECUTE` delilinin yerine geçmez.

2. Taraflar, kapsam ve roller

Veri sorumlusu müşteri ile veri işleyen CenixAI’nin tam unvanı, adresi, kayıt numaraları, yetkilileri, kapsam içi hizmetleri ve yürürlük tarihi Sipariş Formunda doldurulacaktır. CenixAI’nin lead, hesap güvenliği, sözleşme ve kendi yasal kayıtları için bağımsız veri sorumlusu olabileceği faaliyetler bu DPA’nın müşteri talimatlı işleme kapsamından ayrılır.

• CenixAI tüzel kişisi: hukuk onayı bekleniyor.
• Müşteri tüzel kişisi ve yetkili imzacı: Sipariş Formunda zorunlu.
• KVKK/GDPR/UK rolleri ve ülkesel kapsam: hukuk onayı bekleniyor.

3. Tanımlar ve yorum

“Kişisel Veri”, “Veri Sorumlusu”, “Veri İşleyen”, “İlgili Kişi”, “İhlal”, “Alt İşleyen”, “Uygulanabilir Veri Koruma Hukuku” ve “Belgeli Talimat” terimleri, ilgili hukukta verilen anlamları taşır. Birden fazla rejim uygulanırsa çelişki ve üstünlük kuralı dış avukat tarafından tamamlanacaktır: hukuk onayı bekleniyor.

4. Talimat, konu, amaç, nitelik ve süre

CenixAI, müşteri kişisel verilerini yalnız Sipariş Formu, bu DPA ve müşterinin doğrulanabilir belgeli talimatları uyarınca, sözleşmeli CenixAI hizmetini sağlamak, güvenliğini korumak, desteklemek, export etmek ve sözleşme sonu iade/silmeyi yürütmek için işleyecektir. Hukuken zorunlu farklı işlemde, bildirim yasağı bulunmadıkça müşteriye önceden bilgi verilmesi tasarlanmıştır.

Konu, işlem türleri, sıklık, amaç ve sözleşme süresi Ek 1’de akış bazında doldurulmadan DPA icra edilemez. Müşteri talimatının hukuka aykırı olduğu kanaatinde işleme durdurulur ve güvenli hukuk incelemesine alınır; uygulanabilir standart ve süreç hukuk onayı bekleniyor durumundadır.

5. İlgili kişi ve veri kategorileri

Planlanan olağan kapsam; müşteri kullanıcıları, müşteri aday/müşteri şirket temsilcileri ve müşterinin workspace’e getirdiği olağan B2B kontak verileriyle sınırlıdır: ad, iş e-postası, şirket, görev ve müşteri talimatlı ticari içerik.

Çocuk verisi, özel nitelikli/ceza verisi, sağlık–kredi–istihdam–biyometri yüksek riskli veri, bireysel reklam profili/skoru ve salt otomatik önemli karar girdileri teknik olarak reddedilecektir. Kesin kategori ve ilgili kişi listesi Ek 1 ve DPIA ile doğrulanmadan gerçek veri işleme NO-GO’dur.

6. Gizlilik ve personel

Kapsam verilerine erişen kişiler, görevle sınırlı yetki, bağlayıcı gizlilik yükümlülüğü, eğitim ve erişim sona erdirme sürecine tabi olacaktır. Personel/iş ortağı erişim ülkeleri, screening ve eğitim kanıtı tamamlanmamıştır: hukuk onayı bekleniyor.

7. Teknik ve organizasyonel tedbirler

Ek 2; tenant/RLS izolasyonu, güçlü kimlik ve en az yetki, şifreleme ve Türkiye KMS, secret rotation, güvenli geliştirme, upload doğrulama/malware savunması, ağ ve log minimizasyonu, olay müdahalesi, iş sürekliliği, yedek ve doğrulanmış silme tedbirlerini kontrol sahibi ve test kimliğiyle gösterecektir.

Repo kodu veya “planlandı” kaydı işletim kanıtı değildir. Bağımsız penetrasyon testi, restore/tombstone tatbikatı ve kritik bulgu kapanışı olmadan TOM eki onaylı sayılamaz.

8. Alt işleyenler, bildirim ve itiraz

Hiçbir aday sağlayıcı kendiliğinden onaylı alt işleyen değildir. Her sağlayıcı; tüzel kişi, hizmet, ülke/bölge, veri/amaç, DPA, ZDR/eğitim, saklama, alt işleyen, aktarım aracı ve silme kanıtıyla Ek 3’e girmeden ve tenant bazında yetkilendirilmeden kapalı kalır.

Genel yazılı yetki modeli seçilirse CenixAI, planlanan yeni/değişen alt işleyeni en az 30 gün önce bildirir; makul ve veri koruma gerekçeli itiraz süreci onaylı sözleşmede tamamlanır. İtirazın çözümü ve fesih sonucu: hukuk onayı bekleniyor.

9. Uluslararası aktarımlar ve resmî araçlar

CenixAI çekirdek kimlik, CRM, müşteri içeriği, dosya, log, secret ve yedeği Türkiye’de tutmayı hedefler. Yabancı erişim veya dış sağlayıcı çağrısı, akış bazında ProviderComplianceGate ve yazılı aktarım kararı olmadan yapılamaz.

KVKK-STANDARD-CONTRACTS, EU-SCC-2021-914 ve UK-IDTA-ADDENDUM doğru roller/modüller ve eklerle resmî kaynaktan ayrı resmî sözleşme eki olarak icra edilir. Bu web DPA’sı bu metinlerin yerine geçmez, zorunlu hükümlerini değiştirmez ve tek başına aktarımı meşrulaştırmaz.

10. İlgili kişi taleplerinde yardım

CenixAI, müşteri-controller’ın ilgili kişi taleplerini karşılaması için işlemenin niteliği ve mevcut bilgiler ölçüsünde teknik/organizasyonel yardım sağlar. CenixAI’ye doğrudan gelen müşteri workspace talebi otomatik silmeye dönüştürülmez; doğrulanmış müşteri talimatı ve insan onayı beklenir.

KVKK 30 günlük ve uygulanırsa GDPR/UK bir aylık controller sürelerinin izlenebilmesi için bildirim, görev ve delil saatleri tutulur. Kimlik doğrulama ölçülü olmalı; talep kanalı hesap varlığını sızdırmamalıdır.

11. Kişisel veri ihlalleri

CenixAI, müşteri verisini etkileyen doğrulanmış veya makul şüpheli ihlali öğrendikten sonra gereksiz gecikme olmaksızın ve sözleşmesel hedef olarak 24 saat içinde ilk bildirimi müşteriye iletecektir. İlk bildirim bilinenleri, belirsizleri, etkiyi, alınan önlemi ve takip zamanını içerir; bilgiler aşamalı güncellenebilir.

24 saatlik işlemci bildirimi, veri sorumlusunun KVKK/GDPR/UK otorite veya ilgili kişi bildirim süresinin yerine geçmez. İletişim zinciri ve seçili sağlayıcı SLA kanıtı: hukuk onayı bekleniyor.

12. DPIA, düzenleyici yardım ve denetim

CenixAI, kapsamdaki işleme için gerekli veri koruma etki değerlendirmesi, ön danışma ve düzenleyici taleplerde elindeki bilgiler ve hizmet niteliği ölçüsünde müşteriye yardım edecektir. Önce güncel bağımsız rapor ve standart kanıt paketi sunulur; ek denetimin kapsam, gizlilik, güvenlik, sıklık, masraf ve üçüncü kişi hakları kuralları onaylı DPA’da belirlenecektir.

Gerçek veri DPIA/TIA/TRA ve bağımsız pen-test tamamlanmadan işlenemez.

13. İade, silme, yedek ve legal hold

Sözleşme sonrasında müşteri, uygulanabilir sözleşme ve hukuk sınırları içinde export/iade seçeneği alır. Seçilen profil 30 günlük retrieval/export döneminden sonra canlı silme ve en geç 35 günlük yedek üst sınırıdır. Yedek geri yüklemesinden önce erasure tombstone’ları yeniden uygulanır.

Silme işi; DB, object/file, vector, cache/queue, log, connector tokenı, sağlayıcı kopyası ve yedek için `DELETED` veya `VERIFIED_ABSENT` kanıtı olmadan tamamlanmaz. `PENDING_PROVIDER`, `RETRYABLE_FAILURE`, `PERMANENT_EXCEPTION` veya `BLOCKED_HOLD` açık kalır. Geçerli legal hold kapsam/gerekçe/onay/son kullanma taşır.

14. Sorumluluk, belge sırası ve hukuk

Planlanan ticari çerçevede genel tavan önceki 12 ay ücret; veri koruma, gizlilik ve fikrî haklar için iki kat tavandır. Kasıt, ağır kusur ve kanunen sınırlandırılamayan sorumluluklar hariç tutulacaktır. Bu hükmün geçerliliği, veri koruma rejimindeki taraf sorumlulukları, üçüncü kişi hakları ve tazminat ilişkisi dış avukatça tamamlanmadan bağlayıcı değildir.

Sipariş Formunda uyuşmazlık seçimi zorunludur; boş seçimle aktivasyon yapılamaz. Uygulanacak hukuk, merci ve belge önceliği: hukuk onayı bekleniyor.

15. Ekler ve zorunlu kanıt çizelgesi

Eklerden biri boşken DPA `EXECUTED` olarak kaydedilemez.

16. Kaynak sicili ve avukat doğrulaması

Kaynak bağlantıları gereklilik hipotezini destekler; CenixAI’ye uygulanabilirliği, rolü veya fiilî uyumu tek başına kanıtlamaz. KVKK-STANDARD-CONTRACTS, EU-SCC-2021-914 ve UK-IDTA-ADDENDUM ayrı resmî sözleşme ekidir. Son kaynak güncelliği, rol/modül seçimi ve TR/EN anlam eşliği avukatın yazılı onayıyla kapatılacaktır: hukuk onayı bekleniyor.