Jently jently.io

Veri İşleme Eki (DPA)

Yürürlük tarihi: 28 Temmuz 2026 · Son güncelleme: 28 Temmuz 2026

1. Kapsam ve bu Ek'in uygulanması

Bu Veri İşleme Eki (“DPA”); Jently platformunu işleten, Delaware (ABD) yasalarına göre kurulu TECHERO LLC (1111B S Governors Ave #21885, Dover, DE 19904, USA — “Jently”, “biz”) ile ilgili sözleşmede tanımlanan müşteri (“Müşteri”) arasında akdedilir. Jently Kullanım Şartları'nın ve bayilik programı katılımcıları için Bayilik (White-Label) Sözleşmesi'nin (birlikte “Sözleşme”) ayrılmaz parçasıdır. İmza gerekmez — bu DPA, Hizmeti kullanımı veri koruma mevzuatı kapsamında kişisel veri işlemeyi içeren her Müşteri için kendiliğinden uygulanır; karşılıklı imzalı bir nüsha legal@mail.jently.io adresinden talep edilebilir.

Bu DPA, Müşteri adına (veri işleyen veya alt işleyen sıfatıyla) gerçekleştirdiğimiz işlemeyi düzenler. Bağımsız veri sorumlusu olduğumuz işlemeler — Müşteri hesap ve faturalama verileri, güvenlik ve kötüye kullanım önleme, hukuki uyum — Gizlilik Politikası'nda açıklanır ve bu Ek'in kapsamı dışındadır.

2. Tanımlar

  • Veri Koruma Mevzuatı — Sözleşme kapsamındaki kişisel veri işlemeye uygulanan tüm mevzuat: AB GDPR (2016/679), Birleşik Krallık GDPR'ı ve 2018 Veri Koruma Kanunu, İsviçre FADP, Türkiye'nin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ikincil düzenlemeleri ile uygulanabilir ABD eyalet gizlilik kanunları (CCPA/CPRA dâhil).
  • Müşteri Kişisel Verisi — Müşteri adına işlediğimiz, Müşteri Verisi (Sözleşme'de tanımlandığı şekliyle) içindeki kişisel veriler; ayrıntıları Ek I'dedir.
  • Alt İşleyen — Müşteri Kişisel Verisini bizim adımıza işlemek üzere görevlendirdiğimiz üçüncü kişi.
  • SCC'ler — (AB) 2021/914 sayılı Komisyon Uygulama Kararı ile onaylanan AB standart sözleşme maddeleri.
  • “veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “işleme”, “kişisel veri ihlali” terimleri, uygulanan Veri Koruma Mevzuatındaki anlamlarını taşır.

3. Roller ve işleme talimatları

  • Taraflar arasında, Müşteri Kişisel Verisinin veri sorumlusu Müşteri, veri işleyeni Jently'dir. Müşteri'nin kendisi üçüncü bir veri sorumlusu adına veri işleyen olarak hareket ediyorsa (örneğin son müşterileri adına işleyen bir bayi), Jently alt işleyendir; Müşteri, (i) kendi veri sorumlusunun Jently'nin görevlendirilmesine ve verilen talimatlara yetki verdiğini ve (ii) o veri sorumlusunun ilgili talimat veya itirazlarını Jently'ye derhâl ileteceğini taahhüt eder.
  • Müşteri Kişisel Verisini — yurt dışı aktarımlar dâhil — yalnızca Müşteri'nin belgeli talimatlarıyla işleriz; hukuk aksini gerektirmedikçe (bu durumda, hukuk yasaklamıyorsa, işlemeden önce Müşteri'yi o hukuki gereklilik hakkında bilgilendiririz). Müşteri'nin belgeli talimatları şunlardır: Sözleşme, bu DPA, Müşteri'nin Hizmet yapılandırması (asistanlar, saklama, kayıt, anonslar, entegrasyonlar) ve desteğe iletilen yazılı talimatlar.
  • Bir talimatın Veri Koruma Mevzuatını ihlal ettiği kanaatindeysek Müşteri'yi gecikmeksizin bilgilendiririz; talimat teyit veya tadil edilene kadar ilgili işlemeyi askıya alabiliriz.
  • Müşteri Kişisel Verisini satmayız, reklam için kullanmayız ve temel modellerin eğitiminde kullanmayız. CCPA'nın uygulandığı ölçüde “hizmet sağlayıcı” sıfatıyla hareket eder ve Müşteri Kişisel Verisini yalnızca Ek I'deki iş amaçlarıyla işleriz.

4. Personel gizliliği

Müşteri Kişisel Verisini işlemeye yetkili tüm personelin sözleşmesel veya kanuni gizlilik yükümlülüğüyle bağlı olmasını, uygun veri koruma eğitimi almasını ve verilere yalnızca görevi için gerekli ölçüde erişmesini (asgari yetki) sağlarız.

5. Güvenlik

Teknolojik imkânlar, uygulama maliyeti ile işlemenin niteliği, kapsamı, bağlamı ve amaçları dikkate alınarak; Müşteri Kişisel Verisini kazara veya hukuka aykırı imha, kayıp, değiştirme, yetkisiz ifşa veya erişime karşı korumak için Ek II'de açıklanan teknik ve idari tedbirleri uygular ve sürdürürüz. Genel koruma düzeyini esaslı biçimde düşürmemek kaydıyla bu tedbirleri zaman zaman güncelleyebiliriz.

6. Alt işleyenler

  • Müşteri, Ek III'te sayılan kategoriler için Alt İşleyen görevlendirmemize genel yetki verir. Güncel kategoriler Gizlilik Politikası'nda da açıklanır; isimli liste, gizlilik kaydıyla talep üzerine sağlanır.
  • Bir Alt İşleyen'in eklenmesi veya değiştirilmesini en az 15 gün önceden (panel veya e-posta yoluyla) bildiririz. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir; makul bir alternatif sunamazsak Müşteri, Hizmetin etkilenen kısmını, kullanılmayan döneme ilişkin peşin ücretlerin kıst iadesiyle sonlandırabilir.
  • Alt İşleyenlere, bu DPA'dakinden esaslı olarak daha az koruyucu olmayan veri koruma yükümlülükleri yükleriz ve edimlerinden Müşteri'ye karşı kendi edimlerimiz gibi sorumlu kalırız.

7. İlgili kişi talepleri

  • İşlemenin niteliğini dikkate alarak; Müşteri'nin ilgili kişi taleplerini (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz; KVKK m. 11 hakları) yanıtlama yükümlülüğünü, Hizmet'teki uygun teknik ve idari araçlarla — dışa aktarma, silme, saklama yapılandırması ve arama araçları — destekleriz.
  • Bir ilgili kişi, Müşteri Kişisel Verisi hakkında doğrudan bize başvurursa, (hukuk yasaklamadıkça) talebi derhâl Müşteri'ye iletir; ilgili kişiyi Müşteri'ye yönlendirmek veya hukukun gerektirdiği hâller dışında esasa ilişkin yanıt vermeyiz.

8. Kişisel veri ihlalleri

Müşteri Kişisel Verisini etkileyen bir kişisel veri ihlalinden haberdar olduğumuzda Müşteri'yi gecikmeksizin ve her hâlükârda 72 saat içinde bilgilendiririz. Bildirim, o an bilinenler ölçüsünde ihlalin niteliğini, etkilenen ilgili kişi ve kayıt kategorileri ile yaklaşık sayılarını, muhtemel sonuçları ve alınan/önerilen tedbirleri içerir. Müşteri'nin idari makamlara ve ilgili kişilere bildirim yükümlülüklerinde makul işbirliği sağlarız. Bildirimimiz kusur veya sorumluluk ikrarı değildir.

9. Etki değerlendirmeleri ve istişareler

İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak; bu DPA kapsamındaki işlemeyi ilgilendirdiği ölçüde, Müşteri'nin veri koruma etki değerlendirmelerine ve denetim makamlarıyla ön istişarelerine makul yardım sağlarız.

10. Saklama, silme ve iade

  • Süre boyunca; çağrı kayıtları, transkriptler ve ilgili içeriğin saklanması Müşteri'nin Hizmet yapılandırmasına tabidir.
  • Sözleşme'nin sona ermesiyle Müşteri, 30 gün boyunca Müşteri Verisini dışa aktarabilir (Sözleşme uyarınca). Bu pencerenin ardından Müşteri Kişisel Verisini sileriz; yedeklerdeki artık kopyalar, olağan yedek rotasyonunda ilave 30 gün içinde temizlenir — hukuken saklama zorunluysa veri bu DPA'nın koruması altında kalır ve başka işlemeden yalıtılır.
  • Talep üzerine silmeyi yazılı olarak teyit ederiz.

11. Denetimler ve bilgi

  • Bu DPA'ya uyumu göstermek için makul ölçüde gerekli bilgileri sunarız — makul güvenlik soru formlarına yanıtlar ile bağımsız değerlendirme veya sızma testi özetleri dâhil, gizlilik kaydıyla.
  • Veri Koruma Mevzuatının Müşteri'ye yukarıdakilerle karşılanamayan emredici bir denetim hakkı tanıdığı hâllerde; Müşteri (veya gizlilikle bağlı, rakibimiz olmayan bağımsız bir denetçi), ilgili işleme faaliyetlerimizi 12 ayda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, mesai saatlerinde ve masrafları kendisine ait olmak üzere denetleyebilir; diğer müşterilerin verilerine veya güvenliğimizi tehlikeye atacak bilgilere erişilemez. Bulgular gizlidir.

12. Yurt dışı aktarımlar

  • Müşteri, bu maddeye tabi olmak üzere, Müşteri Kişisel Verisinin bizim ve Alt İşleyenlerimizin faaliyet gösterdiği ülkelerde işlenmesine yetki verir.
  • AB/AEA: yeterlilik kararı bulunmayan ülkelere aktarımlar, bu DPA'ya atıfla dâhil edilen SCC'lere tabidir: Müşteri veri sorumlusuysa Modül İki (sorumlu → işleyen), veri işleyense Modül Üç (işleyen → işleyen); Madde 7 (katılım) dâhil, Madde 9 Seçenek 2 (genel yetki, 15 gün), Madde 17 İrlanda hukuku ve Madde 18 İrlanda mahkemeleri; SCC'lerin Ek I ve II'si bu DPA'nın Ek I ve II'siyle doldurulur.
  • Birleşik Krallık: SCC'lere ek Birleşik Krallık Uluslararası Veri Aktarım Eki, tabloları bu DPA ile doldurulmuş olarak uygulanır. İsviçre: SCC'ler FADP'ye uyarlanmış hâliyle uygulanır (GDPR atıfları FADP olarak okunur; yetkili makam FDPIC).
  • Türkiye (KVKK): KVKK'ya tabi kişisel verilerin yurt dışına aktarımı gerektiğinde taraflar, değişik KVKK m. 9'daki araçlara — öncelikle Kişisel Verileri Koruma Kurumu'nca yayımlanan standart sözleşmeye, yayımlandığı şekliyle akdedilerek — dayanır; ilgili mevzuatın yükümlü kıldığı taraf, imzadan itibaren beş iş günü içinde Kurum'a bildirim yapar. Müşteri'nin KVKK standart sözleşmesinin bizimle akdedilmesine ihtiyacı varsa, talep üzerine akdederiz.
  • Dayanılan bir aktarım mekanizması geçersiz kılınır veya değişirse taraflar, Hizmeti kesintiye uğratmadan hukuka uygun bir alternatifi uygulamak için iyi niyetle işbirliği yapar.

13. Sorumluluk, öncelik ve süre

  • Her bir tarafın bu DPA (izin verilen ölçüde SCC'ler dâhil) kapsamındaki sorumluluğu, Sözleşme'deki istisna ve toplam üst sınıra tabidir; bu madde, ilgili kişilerin Veri Koruma Mevzuatından doğan haklarını sınırlamaz.
  • Çelişki hâlinde: SCC'ler bu DPA'ya; bu DPA, Müşteri Kişisel Verisinin işlenmesi bakımından Sözleşme'ye üstün gelir.
  • Bu DPA, Sözleşme ile yürürlüğe girer ve Müşteri Kişisel Verisini işlediğimiz sürece yürürlükte kalır. SCC'ler veya emredici Veri Koruma Mevzuatı aksini gerektirmedikçe, Sözleşme'ye uygulanan hukuka tabidir.

Ek I — İşleme ayrıntıları

  • Konu ve nitelik: Müşteri için yapay zekâ sesli asistanların işletilmesi — telefon çağrılarının alınması ve yapılması; konuşma tanıma; dil modelleriyle yanıt üretimi; ses sentezi; (etkinse) çağrı kaydı ve transkripsiyon; randevu planlama; bilgi bankasından getirme; kampanya aramaları; Müşteri için analitik ve raporlama; depolama ve barındırma.
  • Süre: Sözleşme süresi + 10. maddedeki silme pencereleri.
  • Amaçlar: Hizmetin, Müşteri'nin yapılandırdığı şekilde sunulması; başka amaç yoktur.
  • İlgili kişi kategorileri: Son Kullanıcılar (arayanlar ve arananlar); Müşteri'nin personeli; Müşteri Verisinde bilgileri yer alan kişiler (ör. randevu sahipleri, yüklenen listelerdeki ve bilgi bankalarındaki kişiler).
  • Kişisel veri kategorileri: kimlik ve iletişim verileri (ad, telefon, e-posta); çağrı içeriği (ses, kayıtlar, transkriptler, yapay zekâ üretimi özet ve notlar); randevu ve talep ayrıntıları; kampanya kişi listeleri; Müşteri'nin sağladığı bilgi bankası içerikleri; teknik ve kullanım üstverileri (çağrı zamanları, süreler, numaralar, kalite metrikleri).
  • Özel nitelikli veriler: işlenmesi amaçlanmaz. Hizmet özel nitelikli veriler için tasarlanmamıştır; Müşteri, hukuki dayanak ve uygun güvenceler olmadan asistanları bu verileri toplayacak şekilde yapılandıramaz (Sözleşme m. 6) ve Hizmeti biyometrik tanıma için kullanamaz (ses izi çıkarma yasağı).
  • Sıklık: Müşteri'nin kullanımına bağlı olarak sürekli.

Ek II — Teknik ve idari tedbirler

  • Şifreleme: aktarımda TLS 1.2+; depolanan içerik ve kayıtlar için at-rest şifreleme.
  • Tenant izolasyonu: her sorguda uygulama ve depo katmanında zorlanan tenant-kapsamlı veri erişimiyle çok kiracılı mimari.
  • Erişim kontrolü: rol tabanlı yetkilendirme; benzersiz hesaplar; geçmiş ve kilitleme içeren güçlü parola politikası; oturum sınırları; parola değişiminde token iptali; müşteri hesaplarından ayrılmış ve yetkili personelle sınırlı yönetim erişimi.
  • Ağ ve altyapı: güvenlik duvarlı servisler; özel ağlardaki yönetim arayüzleri; ortam izolasyonuyla sır yönetimi; barındırmada sağlayıcı düzeyinde fiziksel güvenlik.
  • İzleme ve kayıt: PII maskelemeli merkezî yapılandırılmış loglama, metrikler ve alarmlar; hassas işlemler için denetim izleri.
  • Zafiyet yönetimi: bağımlılık ve imaj güncellemeleri; periyodik iç güvenlik incelemeleri ve sıkılaştırma; olay müdahale prosedürleri.
  • Dayanıklılık ve yedekler: çoğaltılmış veri depoları, saklama ve rotasyonlu planlı yedekler, felaket kurtarma prosedürleri.
  • Veri minimizasyonu: yapılandırılabilir saklama; kayıt ve transkripsiyon yalnızca Müşteri etkinleştirdiğinde; çağrılar için anons/onay araçları.
  • Personel: gizlilik taahhütleri, asgari yetki, güvenlik farkındalığı.

Ek III — Alt işleyen kategorileri

  • Bulut barındırma, işlem ve depolama (kayıt depolama dâhil)
  • Telefon ve SIP operatörleri / iletişim altyapısı
  • Konuşma tanıma (transkripsiyon) sağlayıcıları
  • Büyük dil modeli (yapay zekâ yanıt üretimi) sağlayıcıları
  • Ses sentezi (TTS) sağlayıcıları
  • Bilgi bankaları için vektör veritabanı / getirme altyapısı
  • İşlemsel e-posta gönderimi
  • Gözlemlenebilirlik ve hata takip araçları

Alt İşleyenlerin konumlarıyla birlikte isimli listesi, gizlilik kaydıyla legal@mail.jently.io adresinden talep üzerine sağlanır. Ödeme işleme (Stripe), bağımsız veri sorumlusu sıfatımızla gerçekleşir ve Gizlilik Politikası kapsamındadır.