Veri İşleyen Sözleşmesi

Bu metin, CollectivHub Teknoloji ve Yazılım Limited Şirketi (“Yerely”, “biz”) ile ondan hizmet alan işletme (“siz”) arasındaki veri işleyen ilişkisini düzenler. Hizmet sözleşmesinin 9. maddesi bu metni sözleşmenin eki sayar; bu metin sözleşmenin ayrılmaz parçasıdır. Sürüm: 2026-10-04. Yürürlük tarihi: 4 Ekim 2026.

1. Taraflar ve sıfatlar

Sitenize gelen ziyaretçinin verisi (iletişim formu, randevu talebi, yorumlar, ziyaret istatistikleri) ve yüklediğiniz görsellerdeki kişisel veriler bakımından veri sorumlusu sizsiniz: hangi verinin toplanacağına ve ne amaçla kullanılacağına siz karar verirsiniz. Biz bu veriyi yalnızca sizin adınıza ve talimatınız doğrultusunda işleriz; yani veri işleyeniz (KVKK m.3/1-ı ve m.3/1-ğ).

Kendi müşteri ilişkimizde (sizin ve yetkililerinizin adı ve iletişim bilgileri, faturanız, sözleşmeniz, panel hesabınız ve sizin için kaydettiğimiz alan adının kayıt sahibi bilgileri) ise veri sorumlusu biziz; o ilişki Gizlilik ve KVKK Aydınlatma Metni ile düzenlenir.

2. İşlemenin konusu ve kapsamı

3. Yükümlülüklerimiz

• Veriyi yalnızca sizin belgelenmiş talimatlarınızla işleriz; kendi amaçlarımız için kullanmayız. Belgelenmiş talimatlarınız şunlardır: bu metin, hizmet sözleşmesi ve yönetim panelinde yaptığınız ayarlar ve işlemler. Veriyi yurt dışına aktarırken de bu talimatlara uyarız; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yurt Dışına Aktarım Yönetmeliği”) md.5/1 bunu zorunlu kılar.
• Veriye erişen ekip üyelerini gizlilikle yükümlü tutarız ve erişimi görev gereğiyle sınırlarız.
• Öğrendiğimiz kişisel verileri Kanun’a aykırı olarak başkasına açıklamayız ve işleme amacı dışında kullanmayız. Bu yükümlülük sözleşme sona erdikten sonra da devam eder (KVKK m.12/4).
• KVKK m.12 kapsamında uygun idari ve teknik tedbirleri alırız (bkz. 5. bölüm).
• İlgili kişilerden gelen talepleri kendimiz sonuçlandırmayız; bize ulaştığı tarihten itibaren en geç 3 iş günü içinde size iletiriz ve yanıtlamanız için makul desteği veririz. Silme talebinde önce siz yönetim panelinizdeki araçları kullanırsınız: talep ve randevu kayıtlarını silme aracıyla silersiniz ve her silme Silme Geçmişi’ne yazılır; görselleri Medya bölümünden silersiniz. Panelde görünmeyen kayıtlar gibi aracın yetmediği durumlarda size yardım ederiz. Talebiniz bize ulaştıktan sonra en geç 7 iş günü içinde üzerimize düşen kısmı tamamlarız. Neleri sildiğimizi, neleri silemediğimizi size yazılı olarak bildiririz. Teknik yedeklerimizdeki kopyalar tek tek silinmez; en geç 6 saat içinde kendiliğinden silinir.
• Sözleşme sona erdiğinde veriyi, Saklama ve İmha Politikasındaki sürelere göre siler veya talebiniz üzerine size teslim ederiz.
• Panelden sildiğiniz her talep ve randevu için silmenin tarihini, silinen kayıt sayısını, silme sebebini, varsa kişinin silme talebinde bulunduğu günü ve silen hesabı kaydederiz. Bu kayıtta ad, telefon, e-posta ve mesaj yer almaz. Kayıtları Silme Geçmişi’nde görebilir ve indirebilirsiniz. Bu kayıtları Saklama ve İmha Politikasında denetim kaydı için belirtilen süre boyunca saklarız; bu süre, Silme Yönetmeliği m.7/3’teki “en az üç yıl” şartını karşılar. Sözleşme sona erdiğinde silme kayıtları silinmez: siteniz silinmeden önce Silme Geçmişi’nden indirebilirsiniz, sonrasında talebiniz üzerine size teslim ederiz. Site silindikten sonra kayıtta silen hesabın e-posta adresi değil, numarası ve rolü yer alır. Silme kayıtlarını yalnızca size teslim etmek ve talimatlarınıza uyduğumuzu göstermek için kullanırız.
• Bir talebi ya da randevuyu sildiğinizde, kişiye Aydınlatma Metni’nin gösterildiğini kanıtlayan kayıt silinmez; bu kayıtta ad, telefon, e-posta ve mesaj yer almaz. Siteniz kalıcı olarak silinmeden önce bu kayıtlar size dosya olarak teslim edilir. Dosya hazırlandığında kaydın ait olduğu talep ya da randevu hâlâ duruyorsa, dosyada kişinin adı ve telefonu da yer alır. Ardından kayıtlar site içeriğiyle birlikte silinir. Yerely teslim ettiği dosyanın kopyasını saklamaz.

4. Sizin yükümlülükleriniz

• Aydınlatma. Sitenizdeki aydınlatma metinlerini (KVKK Aydınlatma Metni, Gizlilik Politikası, Çerez Politikası) sizin işletme bilgilerinizle biz hazırlar ve sitenizde yayımlarız. Bu metinleri okursunuz; doğruluklarını ve sitenizde yayımlanmalarını kabul edersiniz. Metinde işletmenizin gerçek uygulamasına uymayan bir nokta görürseniz bunu bize yazılı olarak bildirirsiniz. Aydınlatma yükümlülüğü veri sorumlusu olarak size aittir (KVKK m.10/1); aydınlatmanın yapıldığının ispatı da veri sorumlusuna aittir (Aydınlatma Tebliği md.5/1-e).
• Özel nitelikli veri. Form alanlarıyla özel nitelikli kişisel veri (örneğin sağlık bilgisi) toplanmasını talep etmezsiniz. Sitenizdeki her form ziyaretçiye şu uyarıyı gösterir: “Lütfen sağlık bilgisi gibi özel bilgilerinizi buraya yazmayın. Bunları görüşürken konuşabiliriz.” Buna rağmen bir ziyaretçi bu tür bir bilgi yazarsa, bu verinin işlenmesi için KVKK m.6/3’teki şartlardan birinin bulunmasını sağlamak, veri sorumlusu olarak sizin yükümlülüğünüzdür. Bu veri için de güvenlik yükümlülüğümüz devam eder.
• Kendi e-posta sağlayıcınız. Form bildirimleri sizin e-posta adresinize gönderilir. Bu e-posta kutusunu biz barındırmıyorsak, kutunun bulunduğu hizmet sağlayıcı (örneğin Gmail, Outlook, iCloud) bizim alt işleyenimiz değildir; onu siz seçersiniz ve bu sağlayıcıya yapılan aktarım, veri sorumlusu olarak sizin aktarımınızdır. E-posta kutunuzu bizim e-posta sunucumuzda barındırıyorsak, kutu 6. bölümdeki DigitalOcean satırı kapsamındadır.
• VERBİS. VERBİS’e kayıtlıysanız, Veri Sorumluları Sicili’ndeki kayıtlarınız 6. bölümdeki yurt dışı aktarımları ve kendi e-posta sağlayıcınıza yapılan aktarımı da yansıtmalıdır. Aydınlatma metni Sicil’deki bilgilerle uyumlu olmalıdır (Aydınlatma Tebliği md.5/1-ç).
• Bize yüklediğiniz görsellerde kişilerin görüntüsü varsa gerekli izinleri almış olmak.
• Panel erişim bilgilerinizi korumak; ayrılan çalışanların yetkisini kaldırmak.
• İlgili kişilerin başvurularını KVKK m.13/2 uyarınca “talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde” sonuçlandırmak; silme talebinde kişiye bilgi vermek (Silme Yönetmeliği m.12/1-a).
• E-posta kutunuzu başka bir hizmet barındırıyorsa, silinen bir talep ya da randevu için size gelmiş e-posta bildirimlerini kendi e-posta kutunuzdan silmek; bu iletilere bizim araçlarımız ulaşamaz. E-posta kutunuzu biz barındırıyorsak, talebiniz üzerine bu iletileri biz sileriz.

5. Güvenlik tedbirleri

• Aktarımda şifreleme (HTTPS) ve dinlenmeye karşı koruma.
• Rol bazlı yetkilendirme; her müşterinin verisi diğerlerinden ayrılmış olarak tutulur ve bu ayrım test edilir.
• Yönetim paneline iki adımlı doğrulama seçeneği.
• Yapılan işlemlerin denetim kaydına yazılması.
• Yedekleme ve geri yükleme; altyapı sağlayıcısının yedekleme mekanizmaları.

6. Alt işleyenler

Hizmeti verebilmek için aşağıdaki sağlayıcıları kullanırız. Tabloda her sağlayıcının görevi, hangi ülkede kurulu olduğu, verinin bulunduğu ya da işlendiği bölge ve Kurul’un ilan ettiği standart sözleşmeyi sunup sunmadığı yazılıdır. Yurt dışındaki sağlayıcılara aktarımın durumu 7. bölümde açıklanır.

¹ OpenAI’nin veri işleme sözleşmesinde Türkiye’ye özgü bir düzenleme bulamadık (bkz. 7. bölüm).

Ekibimiz yazılım geliştirme, destek ve arıza giderme işlerinde yapay zekâ destekli araçlar (Anthropic, OpenAI, Google · ABD) kullanır. Bu işler sırasında kayıtlar bu araçlara gönderilebilir. Bu araçlar, onları sağlayan şirketlerin kendi kullanım koşullarıyla çalışır ve bu tabloda alt işleyen olarak yer almaz.

Google Search Console, sitenizin Google aramadaki görünürlüğünü ölçmek için kullanılır. Bu hizmete ziyaretçilerinizin form ve randevu kayıtlarını göndermeyiz.

Sitenize eklediğiniz harita ve video hizmetleri (Google Haritalar, YouTube, Vimeo, Instagram) bizim alt işleyenimiz değildir ve kendi koşullarıyla çalışır. Bu hizmetlerin bulunduğu bir sayfa açıldığında ziyaretçinin IP adresi ve tarayıcı bilgisi bu hizmetlere iletilir.

Ödeme kuruluşları (iyzico, PayTR) bu tabloda yer almaz: bu kuruluşlar size kestiğimiz faturanın ödemesini alır, ziyaretçi verisi işlemez. Kart bilgileri bize hiç ulaşmaz; ödeme kuruluşunun kendi ekranında girilir.

Alt işleyen değişikliği ve itiraz

Listeye yeni bir alt işleyen eklemeden ya da bir alt işleyeni değiştirmeden en az 15 (on beş) gün önce sizi e-postayla bilgilendiririz. Bildirimde yeni sağlayıcının görevini, hangi ülkede kurulu olduğunu, veriyi hangi bölgede işleyeceğini ve Kurul standart sözleşmesini sunup sunmadığını belirtiriz. Değişikliği, bu metnin yeni sürümü olarak panelde onayınıza sunarız. Bu 15 (on beş) günlük süre içinde kvkk@yerely.com adresine yazarak itiraz edebilirsiniz. İtirazınıza bir çözüm bulunamazsa, hizmet sözleşmesini herhangi bir ceza ödemeden feshedebilirsiniz. Bu durumda peşin tahsil ettiğimiz ancak ifa etmediğimiz döneme ait bedeli kesintisiz olarak iade ederiz.

7. Yurt dışına aktarım: bilginiz ve talimatınız

Durum.

1. Hizmeti 6. bölümdeki tabloda yazan alt işleyenlerle sunarız. Bu alt işleyenlerin hepsi ABD’de kurulu şirketlerdir ve veriyi Türkiye dışında, tabloda yazan bölgelerde işler.
2. Verinin yurt dışındaki bir alt işleyene iletilmesi ya da ona erişilebilir hâle getirilmesi, KVKK m.9 kapsamında yurt dışına aktarımdır (Yurt Dışına Aktarım Yönetmeliği md.4/1-e; Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, KVKK Yayınları No: 48, Örnek 6).
3. Kişisel Verileri Koruma Kurulu, Almanya ve ABD dahil hiçbir ülke için yeterlilik kararı vermemiştir (Kurum’un “Yurtdışına Aktarım” sayfası, 4 Ekim 2026).
4. Yeterlilik kararı yoksa KVKK m.9/4’te sayılan uygun güvencelerden biri gerekir. Bunlardan biri Kurul’un ilan ettiği standart sözleşmedir (m.9/4-c). Veri işleyenden yurt dışındaki alt işleyene aktarımda bu sözleşmenin türü “Standart Sözleşme-3 (Veri İşleyenden Veri İşleyene)”dir.
5. Vercel, Neon, Cloudflare, Upstash, DigitalOcean, SendGrid (Twilio), Anthropic ve Google’ın (Analytics, Ads, Gemini API) yayımladığı veri işleme sözleşmelerinde Türkiye’ye özgü bir düzenleme ve Kurul standart sözleşmesi yoktur. OpenAI’nin veri işleme sözleşmesinde Türkiye’ye özgü bir düzenleme bulamadık. Bu sözleşmeleri 4 Ekim 2026’da inceledik. Yerely, tablodaki hiçbir sağlayıcıyla Kurul standart sözleşmesi imzalamamıştır ve Kurum’a standart sözleşme bildirimi yapmamıştır.

Bilginiz ve talimatınız. Bu metni onaylayarak, veri sorumlusu sıfatıyla şunları beyan edersiniz:

1. 6. bölümdeki tabloyu, sağlayıcıların ülkelerini ve verinin işlendiği bölgeleri okuduğunuzu;
2. “Sunulmuyor” yazan sağlayıcıların Kurul standart sözleşmesini sunmadığını ve bu sağlayıcılarla standart sözleşme imzalanmadığını bildiğinizi;
3. bu durumu bilerek, hizmetin bu alt işleyenlerle sunulması için Yerely’ye talimat verdiğinizi.

Bu beyanın sınırı. Bu beyan ve talimat, Kanun’un size veri sorumlusu, bize veri işleyen olarak yüklediği yükümlülükleri kaldırmaz; hiçbir yükümlülüğü bir taraftan diğerine devretmez. Bu beyan, ilgili kişilerin açık rızası değildir ve aktarımın hukuki sebebi olarak kullanılmaz. Yurt Dışına Aktarım Yönetmeliği md.7/2 şöyle der: “Kişisel verilerin veri işleyen tarafından yurt dışına aktarılması, Kanunda ve bu Yönetmelikte öngörülen usul ve esaslara uyulması ile güvencelerin sağlanması hususunda veri sorumlusunun sorumluluğunu ortadan kaldırmaz.” Aynı şekilde, KVKK m.12 kapsamındaki güvenlik yükümlülüğümüz bu aktarımlarda da devam eder.

8. Saklama

Talepler gönderildiği tarihten, randevular randevu tarihinden itibaren 6 ay sonra silinir. Veri sorumlusu olarak siz bu kayıtları daha önce silebilirsiniz. Diğer kayıtların süreleri Saklama ve İmha Politikasında yazılıdır.

9. Veri ihlali bildirimi

Bir veri ihlalinden haberdar olduğumuzda gecikmeksizin, en geç 24 saat içinde size bildiririz; ihlalin kapsamı, etkilenen veri kategorileri ve aldığımız tedbirler hakkında bilgi veririz. Kurul’a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla size aittir (KVKK m.12/5); bu bildirimi yapabilmeniz için gereken bilgiyi sağlarız.

10. Denetim

Bu metinde yazılı yükümlülüklere uyduğumuzu belgelemek için makul bilgi taleplerinizi karşılarız. Yerinde denetim talepleri, hizmetin sürekliliğini bozmayacak şekilde ve makul süre önceden haber verilerek planlanır.

11. Sürüm, onay ve kayıt

Bu metni yönetim panelinde elektronik olarak onaylarsınız. Onayınızda şunları kaydederiz: onaylayan kişinin adı, e-posta adresi ve paneldeki rolleri, işletmenizin adı, onaylanan sürüm, onayın tarihi ve saati, IP adresinizden üretilen bir kod ve tarayıcı bilginiz. Bu kaydı, sözleşmenin ifası için gerekli olduğundan (KVKK m.5/2-c) ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğundan (KVKK m.5/2-e) hizmet ilişkimizin sona ermesinden itibaren 10 yıl saklarız.

Yeni bir hizmet sözleşmesi onaylandığında, bu metnin o sırada geçerli olan sürümü de sözleşme onayıyla birlikte kaydedilir.

Bu metnin yeni bir sürümünü panelde onaylayana kadar yönetim panelinin diğer bölümlerini kullanamazsınız. Bu sürede talep ve randevu kayıtlarını görebilir, silme aracıyla silebilir ve Silme Geçmişi’ni açabilirsiniz. Siteniz yayında kalır ve hizmet sözleşmeye göre devam eder. Bu sürümü onaylamak istemezseniz kvkk@yerely.com adresine yazarak itiraz edebilirsiniz. İtirazınıza bir çözüm bulunamazsa hizmet sözleşmesini ceza ödemeden feshedebilirsiniz; ifa edilmemiş döneme ait bedeli kesintisiz iade ederiz.

12. İletişim

Veri işleme ile ilgili sorularınız için kvkk@yerely.com adresine yazabilirsiniz.