Veri İşleme Eki (DPA)

1. Kapsam ve taraflar

Bu Veri İşleme Eki, Temsor Kullanım koşullarının parçasıdır ve Türkiye veri bölgesindeki (tr.temsor.com) bir çalışma alanında Temsor’un işletme adına kişisel veri işlediği her durumda uygulanır. Bu veriler bakımından işletme veri sorumlusu, Temsor veri işleyendir (KVKK m.3). İşletmenin kendi hesap ve giriş verileri için Temsor, Gizlilik ve KVKK aydınlatma metninde anlatıldığı gibi veri sorumlusudur; Temsor’un kimlik ve iletişim bilgileri de oradadır (1. bölüm). Veri koruma konusunda bu Ek ile Koşullar arasında fark varsa bu Ek geçerlidir; bu Ekten doğan sorumluluk Koşulların 6. bölümündeki sınıra tabidir. İşletme bu Eki hizmeti kullanarak kabul eder; panel açık kabul istediğinde (AI sesli ajan açılmadan önce zorunlu) kabul edilen sürüm, zaman ve hesap kaydedilir.

2. Konu, nitelik, amaç ve süre

Temsor kişisel verileri yalnız işletmenin kurduğu hizmeti sunmak için işler: işletmenin numaralarına gelen aramaları karşılamak ve yönlendirmek, IVR akışlarını çalıştırmak, sesli mesaj, yapay zekâ ses ajanı, geri arama ve randevu talepleri, arama kayıtları (CDR), analitik ve dışa aktarım. İşleme hesap süresince ve 13. bölümdeki silme süresi boyunca sürer.

3. İlgili kişiler ve veri kategorileri

İlgili kişiler: işletmenin arayanları ve müşterileri ile işletmenin hizmete getirdiği diğer kişiler. Veri kategorileri: telefon numarası ve arama üst verisi (zaman, süre, hat, sonuç); işletme sesli mesajı açtıysa sesli mesaj kayıtları, otomatik dökümleri ve özetleri; randevu ve geri arama talepleri (ad, numara, kısa not); AI sesli ajan aramalarında çağrı özeti (arayanın söylediği ad, talebin kısa açıklaması, randevu zamanı ve hizmet türü, geri arama isteği). Temsor AI sesli ajan görüşmelerini kaydetmez ve dökümlerini saklamaz. Özel nitelikli kişisel verilerin işlenmesi amaçlanmaz (8. bölüm).

4. Belgelenmiş talimatlar

Temsor verileri yalnız işletmenin belgelenmiş talimatlarıyla işler: bu Ek, Koşullar, işletmenin panelde yaptığı ayarlar ve API çağrıları. Temsor bir talimatın KVKK’ya ya da başka bir mevzuata aykırı olduğunu düşünürse işletmeye gecikmeden bildirir ve o işlemeyi durdurabilir. Temsor verileri satmaz, yapay zekâ modeli eğitmekte kullanmaz ve kanunen zorunlu olmadıkça kendi amaçları için kullanmaz.

5. Gizlilik ve güvenlik

Temsor’da verilere erişen herkes gizlilik yükümlülüğü altındadır. Temsor uygun teknik ve idari tedbirleri uygular; bunlar arasında: panel, API ve webhook trafiğinde aktarım şifrelemesi (TLS); kimlik bilgileri ve sırların korunarak saklanması; en az yetki ilkesiyle anahtar tabanlı yönetici erişimi ve hesaplarda isteğe bağlı iki adımlı doğrulama; arayan telefon numarası, sır ve görüşme içeriği içermeyen kayıtlar; uygulamada her işletmenin verisinin ayrılması; sürekli izleme vardır. Tedbirler hizmet her değiştiğinde gözden geçirilir.

6. Alıcı grupları (alt işleyenler)

İşletme, Temsor’a alt işleyen kullanması için genel yetki verir. Alt işleyenler alıcı gruplarıyla gösterilir; güncel sağlayıcı listesi talep üzerine [email protected] adresinden paylaşılır. Güncel liste (alıcı grubu — görev — konum): Türkiye’de yerleşik barındırma ve veri merkezi hizmeti sağlayıcısı — uygulama, veritabanları, e-posta sunucusu, konuşma tanıma ve yapay zekâ modellerinin çalıştığı sunucular — Türkiye (İstanbul); Türkiye’de yetkilendirilmiş elektronik haberleşme işletmecisi — telefon numaraları ve çağrı taşıma (telefon hattı bağlandığında) — Türkiye; Anons seslendirme hizmeti — işletmenin yazdığı anons ve yanıt metinlerinin seslendirilmesi — yalnız anons metni ile saat, tarih ve hizmet adı gibi kişisel olmayan değerler gider; arayanın sesi, numarası ya da adı gitmez — AB. Her alt işleyen KVKK’yı karşılayan bir veri işleme sözleşmesi ve gizlilik yükümlülüğüyle bağlıdır ve Temsor onların yükümlülüklerinden işletmeye karşı sorumlu kalır. Temsor yeni bir alt işleyen eklemeden ya da birini değiştirmeden önce bu listeyi günceller ve hesap sahibine en az 30 gün önceden e-posta gönderir. İşletme bu 30 gün içinde makul veri koruma gerekçesiyle yazılı itiraz edebilir; taraflar iyi niyetle çözüm arar, çözüm bulunamazsa işletme ilgili özelliği kullanmayı bırakabilir ya da hesabını cezasız kapatabilir. Acil durumda (ör. hizmeti tehdit eden bir sağlayıcı arızası) bildirim süresi kısalabilir; Temsor bu durumda işletmeyi en kısa sürede bilgilendirir ve itiraz hakkı aynı şekilde geçerlidir.

7. Yurt içinde işleme

Türkiye veri bölgesindeki kişisel veriler Türkiye’de işlenir ve yurt dışına aktarılmaz. Anons seslendirme hizmetine yalnız işletmenin yazdığı anons ve yanıt metni ile saat, tarih ve hizmet adı gibi kişisel olmayan değerler gönderilir; arayanın sesi, numarası ya da adı gönderilmez. Konuşma tanıma, sesli mesaj dökümü, çağrı özeti ve AI sesli ajan Türkiye’deki sunucularda çalışır. Bir alt işleyen yurt dışına aktarım gerektirirse Temsor, KVKK m.9’daki güvenceler (Kurul’un yayımladığı standart sözleşme ve imzadan itibaren 5 iş günü içinde Kurum’a bildirim) kurulmadan ve 6. bölümdeki 30 günlük bildirim yapılmadan aktarım yapmaz.

8. Sağlık ve özel nitelikli veriler

Hizmet, sağlık verisi dahil özel nitelikli kişisel verileri (KVKK m.6) işlemek için tasarlanmamıştır. İşletme, arayanlardan sağlık, biyometrik ya da başka özel nitelikli veri isteyen akış, istem veya form kuramaz. AI sesli ajan teşhis koymaz, tıbbi tavsiye vermez, sağlık ayrıntısı sormaz ve arayanlardan bu bilgileri paylaşmamalarını ister; özetlerde yalnız talebin kısa açıklaması yer alır ve ajana sağlık ayrıntısını kaydetmemesi talimatı verilir.

9. AI sesli ajan ve çağrı özetleri

İşletme AI sesli ajanı açtığında arayan, aramanın başında işletme adına bir yapay zekâ asistanıyla görüştüğünü duyar. Konuşma tanıma, anlama ve yanıt Türkiye’deki sunucularda anlık yapılır; ses ya da konuşma metni yurt dışındaki bir sağlayıcıya gönderilmez. Temsor görüşmeyi kaydetmez. Arama bitince özet, işletmenin belirlediği adrese Temsor’un Türkiye’deki e-posta sunucusundan e-postayla gider; bu e-posta o andan itibaren işletmenin kendi kaydıdır. Temsor özeti yalnız teslim etmek için tutar ve saklamaz.

10. İşletmeye yardım

Temsor, işlemenin niteliğini dikkate alarak işletmeye ilgili kişi başvurularını (erişim, düzeltme, silme, itiraz) panel dışa aktarımı ve silme yoluyla yanıtlamada yardım eder; kendisine doğrudan gelen başvuruyu, işletme talimat vermedikçe esastan yanıtlamadan işletmeye iletir. Temsor ayrıca işletmenin aydınlatma metinleri, veri koruma etki değerlendirmeleri ve otoritelerle görüşmeleri için makul ölçüde ihtiyaç duyduğu bilgileri verir.

11. Kişisel veri ihlali

Temsor, işletmenin verilerini etkileyen bir kişisel veri ihlalini öğrenmesinden itibaren gecikmeden ve en geç 48 saat içinde hesap sahibine e-postayla bildirir. Bildirim, bilindiği ölçüde ihlalin niteliğini, ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları ve alınan ya da önerilen tedbirleri içerir; eksik bilgiler öğrenildikçe iletilir. Bu, işletmenin Kurul’a en kısa sürede ve en geç 72 saat içinde (KVKK m.12/5 ve Kurul kararı) bildirim yükümlülüğünü destekler.

12. Denetim

Temsor bu Eke uyumu göstermek için gereken bilgileri sağlar ve yılda bir makul yazılı güvenlik anketini ücretsiz yanıtlar. İşletmenin ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçinin, en az 30 gün önceden bildirimle, mesai saatlerinde, diğer müşterilerin verilerine erişmeden ve masrafı işletmeye ait olmak üzere denetim yapmasına izin verir. Yetkili bir otoritenin emrettiği denetimlere mevzuatın gerektirdiği şekilde izin verilir.

13. Silme ve iade

Hesap süresince işletme arama kayıtlarını ve verilerini panelden istediği zaman dışa aktarabilir. İşletme daha kısa bir süre belirlemedikçe arama kayıtları ile randevu ve geri arama talepleri en çok 90 gün, sesli mesajlar 30 gün saklanır. Hesap kapatıldığında Temsor, kanunen saklanması gerekenler (ör. faturalar ve muhasebe kayıtları) dışında işletmenin kişisel verilerini 30 gün içinde siler.

14. Bu Ekteki değişiklikler

Temsor bu Eki mevzuattaki ya da hizmetteki değişikliklere göre güncelleyebilir. Esaslı değişiklikler yürürlüğe girmeden en az 30 gün önce hesap sahibine e-postayla duyurulur ve panelde yeniden kabul edilir; sürüm ve tarih bu sayfanın başında görünür. Mevzuatın ya da bir otoritenin gerektirdiği değişiklikler daha erken uygulanabilir.

15. İletişim

Veri koruma soruları, alt işleyen itirazları ve denetim talepleri: [email protected].