Veri İşleme ve Sağlayıcılar

Veri sorumlusu ve veri işleyen

Doğrudan TicAsist iletişimi ile kendi hesap/güvenlik amaçlarında şirket veri sorumlusudur. İşletmenin müşteri satış sürecinde amaçları işletme belirler; TicAsist talimatla teknik işleme yaptığı ölçüde veri işleyendir. Her faaliyet gerçek amacı ve karar yetkisine göre değerlendirilmelidir.

Kodda bulunan sağlayıcılar

• Meta / WhatsApp: ileti, gönderen/kanal kimliği ve kullanılan medya aktarımı; işletmenin WhatsApp iletişimi.
• OpenAI: etkin metin/bağlam analizi, yanıt üretimi, ses dökümü, görsel veya PDF analizi. Çağrı türüne göre metin, ham ses ya da medya iletilebilir.
• Google Firebase Authentication: panel hesabı, e-posta ve kimlik doğrulama/oturum bilgileri. Google Cloud: etkin yapılandırmaya göre uygulama, veritabanı snapshot ve nesne saklama altyapısı.
• Resend: e-posta işçisi etkinse davet/doğrulama adresi ve e-posta içeriği. Devre dışı veya dry-run yapılandırması da kodda desteklenir.
• E-posta ve barındırma: doğrudan iletişim ve erişim kayıtları için fiili sağlayıcı/hesap listesi ayrıca doğrulanmalıdır.

Maskeleme, medya ve yapay zekâ

Seçili metinlerde telefon, IBAN, adres ve sipariş kimliği için maskeleme kodu vardır. Bu uygulama bütün isimleri, e-postaları, sesleri, görsel piksellerini ve PDF içeriğini anonimleştirmez. Hash veya takma kimlik yeniden ilişkilendirilebilir; anonim veri sayılmaz.

Medya analizi etkin olduğunda ham ses, görsel veya PDF dış sağlayıcıya gidebilir. Bu çağrılar için veri minimizasyonu, özellik bazında hukuki sebep, aktarım şartı ve erişim kontrolü ayrıca değerlendirilmelidir. Tüm konuşmaların dış modelden önce eksiksiz anonimleştirildiği söylenemez.

TicAsist’in hizmet politikası uyarınca müşteri sohbetleri model eğitimi, ince ayar veya eğitim/veri seti üretiminde kullanılmaz; başka müşterilerin ya da başka sohbetlerin yanıtlarını beslemek için yeniden kullanılmaz. OpenAI API politikasında varsayılan eğitim kullanımı ile izleme/saklama ayrı konulardır; hesap seçeneği ve uç noktaya göre şartlar değişebilir. Sıfır saklama bütün çağrılar için garanti değildir.

Yurt dışı aktarım şartları

Yabancı sağlayıcı veya bölge kullanımı gerçek alıcı, alt işleyen, veri türü ve ülke/bölgeyle belgelendirilmelidir. Düzenli aktarımda uygun hukuki sebep yanında yeterlilik veya uygulanabilir uygun güvence mekanizması gerekir. Arızi aktarım istisnaları sürekli hizmet akışının genel çözümü değildir.

KVKK standart sözleşmesi kullanılacaksa doğru taraf tipine uygun resmi metin, yetkili imzalar ve beş iş günü içindeki bildirim yükümlülüğü dikkate alınır. Bir sağlayıcının DPA veya AB standart maddeleri bu yükümlülüğün kendiliğinden karşılandığını göstermez. Kullanıcı tarafından bildirilen uygulama bölgesi ABD us-central1 (Iowa), altyapı tercihi Google Cloud Run ve Firebase’dır. Kaynak bazında fiili konum, alt işleyen, imzalı sözleşme ve bildirim teyidi henüz tamamlanmamıştır.

İşletmeyle düzenlenecek veri işleme şartları

• Konu, süre, veri kategorisi, ilgili kişi grupları ve belgelenmiş işletme talimatları.
• Yetkili erişim, gizlilik, güvenlik tedbirleri ve alt işleyen değişikliklerinin yönetimi.
• Yurt dışı aktarım mekanizması; başvuru, ihlal ve denetim süreçlerinde işbirliği.
• İlişki sonunda iade/imha, yedekler, sağlayıcı kopyaları ve kanıtlanabilir tamamlanma.
• Bu bilgilendirme hukuken kurulmuş bir veri işleme sözleşmesi yerine geçmez.

İhlal ve başvuru koordinasyonu

Veri işleyen, ihlal şüphesini veri sorumlusuna gecikmeden bildirmelidir. Veri sorumlusu, olayın niteliğine göre Kurula öğrenmeden itibaren en geç 72 saatlik bildirim kuralını ve ilgili kişiye en kısa sürede bildirim yükümlülüğünü değerlendirir. Teknik olay ve başvuru sorumlusu, iletişim zinciri ve kayıt prosedürü işletme sözleşmesinde somutlaştırılmalıdır.

Envanter, VERBİS ve işletme kurulumu

Veri sorumlusu kendi faaliyetleri için işleme envanteri, saklama çizelgesi ve gerekiyorsa VERBİS yükümlülüğünü değerlendirmelidir. Şirketin kayıt/istisna durumu bu incelemede doğrulanmadı; kaydı tamamlanmış gibi bir beyan verilmez.

Her işletmede unvan, adres, başvuru kanalı, özellikler, gerçek sağlayıcılar ve aktarım şartları kurulum kapsamına göre netleştirilmelidir. TicAsist’in genel ürün açıklaması işletmeye özel metin ve sözleşmelerin yerine geçmez.

Yalnız ilgili hizmet için kullanım

Müşteri verisi, ilgili işletmenin ilgili müşteri görüşmesini yürütmek, bu görüşmenin sürekliliğini sağlamak, işletmenin yetkili ekibine destek vermek ve gerekli teknik sorunları çözmek amacıyla sınırlı işlenir. Başka bir sohbetin içeriğini üretmek, başka işletmenin hizmetini beslemek veya model eğitimi için kullanılmaz.

Veriler satılmaz, reklam amacıyla paylaşılmaz ve eğitim veri setine aktarılmaz. İletişim, barındırma ve etkin AI işlevi için gerekli Meta/WhatsApp, Google ve ilgili teknik sağlayıcı işlemleri bu politikadan ayrı bir paylaşım yasağıyla gizlenmez; gerekli hizmet aktarımı ilgili belgelerde açıklanır. Yetkili makam açıklamaları hukuki yükümlülükle sınırlıdır.

Hizmet kalitesini koruma amacı süresiz saklama yetkisi oluşturmaz. Veri türüne göre gerekli azami süre ve gerekçe belirlenmeli; ihtiyaç sona erdiğinde hukuki saklama yükümlülükleri de dikkate alınarak imha uygulanmalıdır. Eğitim kullanılmaması, sağlayıcının güvenlik kayıtlarının hiç tutulmadığı anlamına gelmez.

Bildirilen altyapı ve bölgeler

Bu bilgiler işletmeci tarafından bildirilen planı gösterir; canlı kaynak yapılandırmaları bu çalışma sırasında değiştirilmemiş veya bağımsız olarak doğrulanmamıştır.

• Google Cloud Run: planlanan uygulama bölgesi us-central1 — Iowa, ABD.
• Firebase: kullanılan ürünün veri yerleşimi ayrı değerlendirilir. Cloud Run bölgesi Firebase Authentication, Firestore/Realtime Database, Storage, log ve yedek konumlarını kendiliğinden belirlemez.
• Meta / WhatsApp: yurt dışı sağlayıcı altyapısı kullanılır; Cloud Run seçimi Meta veri işleme konumunu belirlemez.
• Etkin OpenAI çağrıları ve Resend e-postaları için hesap, bölge, alt işleyen ve saklama koşulları ayrıca teyit edilir.

Aktarım sözleşmesi için yapılacaklar

• Her aktarımda fiili veri alıcısının tüzel kişiliği, ülkesi, işlenen veri ve tarafların veri sorumlusu/veri işleyen rolü belirlenir.
• Uygun aktarım mekanizması ve varsa KVKK standart sözleşme tipi seçilir. Veri işleyen sıfatıyla yapılan alt sağlayıcı aktarımı, şirketin kendi veri sorumlusu aktarımından ayrı değerlendirilir.
• Google, Meta ve etkin diğer sağlayıcılarla mekanizmanın kurulabilirliği, doğru imzacı ve alt işleyen şartları doğrulanır. Bir çevrim içi DPA kabulü otomatik olarak KVKK standart sözleşmesi sayılmaz.
• Standart sözleşme kullanılacaksa resmi metnin değiştirilebilen alanları tamamlanır, yetkili taraflar imzalar ve imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır.
• İmzalanmış belge ve bildirim tamamlanmadan bu sitede sözleşmelerin tamamlandığı veya aktarımın hukuken güvenceye alındığı beyan edilmez.