Veri İşleme Sözleşmesi
Taslak · Hukuki inceleme bekliyor
TASLAK — hukuki inceleme gerekli. Bu metin çalışma taslağıdır ve henüz yürürlükte değildir.
İşbu Veri İşleme Sözleşmesi ("Sözleşme"), bir Quvos çalışma alanını kontrol eden müşteri ("Müşteri") ile [Şirket unvanı] ([adres], MERSİS no: [MERSİS no]) ("Quvos") arasındaki Kullanım Koşulları'nın ayrılmaz parçasıdır. Quvos'un Müşteri adına, Müşteri İçeriğinde yer alan kişisel verileri işlediği her durumda uygulanır. Ayrı bir sözleşmeye tabi olan Quvos Enterprise kurulumlarını kapsamaz.
1. Tarafların sıfatı ve kapsam
- Müşteri İçeriğindeki kişisel veriler bakımından Müşteri veri sorumlusu, Quvos ise 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 12 ve GDPR md. 28 anlamında veri işleyendir.
- Müşteri bir üçüncü kişi adına veri işleyen konumundaysa, Quvos alt işleyen sıfatıyla hareket eder; Müşteri, Quvos'u görevlendirmeye yetkili olduğunu beyan eder.
- Hesap, faturalama, güvenlik ve kötüye kullanımın önlenmesine ilişkin veriler bu Sözleşme kapsamında değildir; Quvos bunları Gizlilik Politikası uyarınca bağımsız veri sorumlusu olarak işler.
- "Müşteri İçeriği"; Müşterinin çalışma alanındaki projeler, Git depoları, Agent'lar, Skill'ler, dokümanlar, bilgi tabanları, AI Agent sohbetleri, uygulama ve Agent telemetrisi, secret'lar ile quvos.app üzerinden yayınlanan uygulamalardır.
2. İşlemenin ayrıntıları
| Unsur | Açıklama |
|---|---|
| Konu | Quvos yazılım geliştirme platformunun barındırılması ve işletilmesi |
| Süre | Kullanım Koşulları süresince ve 10. maddedeki silme süreleri boyunca |
| Nitelik ve amaç | Müşteri İçeriğinin saklanması, barındırılması, işlenmesi, AI model sağlayıcılarına iletilmesi, yedeklenmesi, desteği ve güvenliği |
| İlgili kişiler | Müşterinin kullanıcıları, ekip üyeleri ve Müşterinin çalışma alanına veya uygulamalarına verisini yüklediği diğer kişiler |
| Veri kategorileri | Müşteri tarafından belirlenir; genellikle ad, iletişim bilgisi, kullanıcı kimlikleri, sohbet, kod ve doküman içerikleri, uygulama telemetrisi |
| Özel nitelikli veriler | Amaçlanmamaktadır. Müşteri, hukuki dayanağı ve gerekli güvenceleri değerlendirmeden özel nitelikli kişisel veri (KVKK md. 6, GDPR md. 9) yüklememelidir. |
3. Müşterinin yükümlülükleri
İşlemenin hukuka uygunluğu, ilgili kişilerin aydınlatılması ve gerekiyorsa açık rızalarının alınması, verilerin doğruluğu ile çalışma alanının (üyeler, roller, Agent'lar, MCP bağlantıları, model sağlayıcıları ve BYOK anahtarları) uygun biçimde yapılandırılması Müşterinin sorumluluğundadır. Hizmet ayarları, Kullanım Koşulları ve bu Sözleşme aracılığıyla verilen talimatlar, Müşterinin talimatlarının tamamını oluşturur.
4. Quvos'un yükümlülükleri
Quvos:
- kişisel verileri yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler; kanunen aksi gerekiyorsa, kanun yasaklamadıkça bunu Müşteriye bildirir;
- bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Müşteriyi bilgilendirir;
- verilere erişen personelinin gizlilik yükümlülüğü altında olmasını sağlar;
- KVKK md. 12 ve GDPR md. 32 kapsamında Ek 2'deki teknik ve idari tedbirleri alır;
- işlemenin niteliğini gözeterek ilgili kişi başvuruları (KVKK md. 11, GDPR md. 15–22), güvenlik, ihlal bildirimi, veri koruma etki değerlendirmesi ve ön istişare konularında Müşteriye destek olur;
- Müşteri İçeriğini AI modellerinin eğitiminde kullanmaz [teyit edilecek], satmaz ve reklam amacıyla kullanmaz.
5. Destek erişimi
Quvos destek ekibi bir çalışma alanına yalnızca salt okunur, en fazla 8 saatle sınırlı ve yazılı gerekçe kaydedilerek erişebilir. Çalışma alanı sahibi bilgilendirilir ve erişim kaydını görür. Destek ekibine hiçbir zaman yazma yetkisi verilmez; secret değerleri, terminaller ve kişisel sohbetler destek ekibine kapalıdır.
6. Alt işleyenler
- Müşteri, Ek 1'de sayılan alt işleyenlerin görevlendirilmesine genel yetki verir.
- Quvos, yeni veya değişen alt işleyenleri en az [30] gün önceden https://quvos.io/legal/dpa adresinde ve bildirime abone olan çalışma alanı sahiplerine e-postayla duyurur. Müşteri makul veri koruma gerekçeleriyle itiraz edebilir; çözüm bulunamazsa ilgili hizmeti sona erdirebilir ve peşin ödenmiş ücretlerin kalan döneme düşen kısmını geri alır.
- Quvos her alt işleyene bu Sözleşmedekilere eşdeğer yükümlülükler yükler ve onların yükümlülüklerini yerine getirmesinden Müşteriye karşı sorumlu kalır.
7. Yurt dışına aktarım
Kişisel verilerin Türkiye veya AEA/Birleşik Krallık dışına aktarılması halinde Quvos geçerli bir aktarım mekanizması sağlar: KVKK bakımından yeterlilik kararı ya da Kanun'un değişik 9. maddesi uyarınca standart sözleşme (imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilir); GDPR bakımından yeterlilik kararı ya da uygun modülüyle (Modül 2 veya 3) Standart Sözleşme Maddeleri ve Birleşik Krallık Eki. Bu belgeler atıf yoluyla Sözleşmeye dahildir. Bir mekanizmanın geçersiz hale gelmesi durumunda taraflar alternatif bir mekanizma için iş birliği yapar.
8. Veri ihlalleri
Quvos, Müşteri İçeriğini etkileyen bir kişisel veri ihlalini öğrendiğinde Müşteriyi gecikmeksizin ve her halde [48] saat içinde bilgilendirir. Bildirimde, bilindiği ölçüde ihlalin niteliği, etkilenen ilgili kişi ve kayıtların kategorileri ve yaklaşık sayısı, olası sonuçları ve alınan veya önerilen tedbirler yer alır. Müşterinin kendi bildirim sürelerine (KVKK Kurulu kararları ve GDPR md. 33 uyarınca 72 saat) uyabilmesi için yeni bilgiler edinildikçe paylaşılır. Bildirim, kusur kabulü anlamına gelmez.
9. Denetim
Quvos, bu Sözleşmeye uyumu göstermek için gerekli bilgileri, [mevcut olduğunda] güvenlik incelemesi özetleri ve sertifikalar dahil olmak üzere Müşteriye sunar. Bunun yeterli olmaması halinde Müşteri; yılda en fazla bir kez, en az 30 gün önceden bildirerek, mesai saatleri içinde, masrafı kendisine ait olmak üzere, gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla ve diğer müşterilerin verilerine erişmeksizin denetim yapabilir. Bir denetim makamının talep ettiği denetimler bu yıllık sınıra tabi değildir.
10. Silme ve iade
- Sözleşme süresince çalışma alanı sahibi ve yöneticileri Müşteri İçeriğinin dışa aktarımını her zaman alabilir; her dışa aktarım 7 gün indirilebilir.
- Silinen bir çalışma alanı 30 gün içinde geri yüklenebilir. Bu sürenin sonunda alan kalıcı olarak temizlenir: veriler silinir ve çalışma alanının veri anahtarları imha edilerek şifrelenmiş yedekler okunamaz hale getirilir.
- Şifrelenmiş yedekler planın yedek saklama süresi (Free 7 gün, Pro 14, Max 30, Teams 30), veritabanı anlık geri dönüş kayıtları ise [süre belirlenecek] sonunda kendiliğinden sona erer.
- Quvos verileri yalnızca kanunen zorunlu olduğu hallerde saklayabilir; bu durumda verileri gizli tutar ve yalnızca o amaçla işler.
11. Sorumluluk ve öncelik
Tarafların bu Sözleşmeden doğan sorumluluğu, emredici hükümler saklı kalmak kaydıyla Kullanım Koşullarındaki sınırlamalara tabidir. Bu Sözleşme ile Kullanım Koşulları arasında çelişki olması halinde kişisel verilerin işlenmesi bakımından bu Sözleşme, her ikisine karşı ise Standart Sözleşme Maddeleri ve KVKK standart sözleşmeleri önceliklidir.
Ek 1 — Alt işleyenler
| Alt işleyen | Amaç | Konum |
|---|---|---|
| [Google Cloud Platform] | Barındırma, depolama, yedekleme | [barındırma bölgesi] |
| Stripe | Türkiye dışındaki ödemeler | [konum] |
| iyzico | Türkiye'deki ödemeler | Türkiye |
| [AI model sağlayıcıları — liste] | İstem ve içerikten AI yanıtı üretilmesi | [konumlar] |
| [E-posta gönderim sağlayıcısı belirlenecek] | İşlemsel e-postalar | [konum] |
Müşteri kendi model anahtarını (BYOK) kullanıyorsa, o anahtarın sağlayıcısı doğrudan Müşteri tarafından görevlendirilmiş sayılır ve Quvos'un alt işleyeni değildir.
Ek 2 — Teknik ve idari tedbirler
- Ayrıştırma: her çalışma alanının (kiracı) verisi ayrı tutulur, kendine ait veritabanı rolleri vardır ve oturumlar tek bir çalışma alanına bağlıdır.
- Şifreleme: aktarımda TLS, depolamada şifreleme; secret'lar her kiracıya özgü veri anahtarıyla şifrelenir; anahtarın imhası o çalışma alanının yedeklerini okunamaz kılar.
- Erişim kontrolü: personel için en az yetki ilkesi; salt okunur, süreli, kayıt altına alınan ve sahibe bildirilen destek erişimi; secret değerlerine, terminallere ve kişisel sohbetlere personel erişimi yoktur.
- Kimlik doğrulama: parolaların özet olarak saklanması, isteğe bağlı iki adımlı doğrulama (doğrulayıcı uygulama, kurtarma kodları, passkey), tekrarlanan hatalı girişlerde hesap kilitleme.
- Kayıt tutma: güvenlikle ilgili işlemlerin ve destek erişimlerinin denetim kayıtları.
- Süreklilik: çalışma alanı bazında otomatik şifrelenmiş yedekler, anlık geri dönüş, status.quvos.dev üzerinden olay bildirimi.
- Kötüye kullanımın önlenmesi: kaynak kötüye kullanımının izlenmesi, dış bağlantı sınırlamaları, kayıt sırasında kötüye kullanım tespiti.
- Güvenli geliştirme: kod incelemesi, bağımlılık güncellemeleri, zafiyet yönetimi [ayrıntılar belirlenecek].
- Personel: gizlilik taahhütleri ve kişisel veri farkındalık eğitimleri.