Veri İşleme Sözleşmesi

Bu VİS, veri işleyen sıfatıyla FİDKEEP TEKNOLOJİ TİCARET LİMİTED ŞİRKETİ (MERSİS No: 0387146003100001; adres: Sarıgüllük Mah. Ali Nadi Ünler Bul. Milenyum Apt. No: 3A, Şehitkamil / Gaziantep, Türkiye; KEP: [email protected]) (“Fidkeep”) ile veri sorumlusu sıfatıyla Kullanım Koşulları'nı kabul ederek Hizmet'i kullanan işletme (“Müşteri”) arasında akdedilmiştir.

VİS, yalnızca Müşteri Kişisel Verileri'ne uygulanır. Fidkeep'in kendi amaçlarıyla veri sorumlusu olarak işlediği veriler (hesap kullanıcılarının kimlik ve iletişim bilgileri, kimlik doğrulama ve güvenlik kayıtları, fatura ve ödeme bilgileri, destek yazışmaları, web sitesi ve pazarlama verileri) bu VİS'in kapsamında değildir; bu veriler Gizlilik Politikası ve KVKK Aydınlatma Metni'ne tabidir.

Müşteri'nin, örneğin bir ajans olarak, kendi müşterileri adına veri işleyen sıfatıyla hareket ettiği hâllerde Müşteri, bu VİS'i ilgili veri sorumlularının yetkisiyle kabul ettiğini ve Fidkeep'e verdiği talimatların bu veri sorumlularının talimatlarıyla uyumlu olduğunu taahhüt eder. Bu durumda Fidkeep alt veri işleyen olarak hareket eder ve yalnızca Müşteri ile muhatap olur.

Müşteri'nin işleme faaliyeti Avrupa Birliği Genel Veri Koruma Tüzüğü'ne (“GDPR”) tabi ise, bu VİS aynı zamanda GDPR md. 28/3'te öngörülen sözleşme niteliğindedir. Bu hâlde VİS'teki KVKK kavramları GDPR'daki karşılıklarıyla birlikte uygulanır.

Bu VİS'te büyük harfle başlayan ve aşağıda tanımlanmayan terimler Kullanım Koşulları'ndaki anlamı taşır; “kişisel veri”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi” ve “işleme” terimleri 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki (“KVKK”) anlamıyla kullanılır.

• Müşteri Kişisel Verileri: Fidkeep'in Hizmet kapsamında Müşteri adına işlediği kişisel veriler; özellikle Müşteri'nin bağladığı Google Business Profile hesaplarından senkronize edilen yorum ve yanıt verileri ile Müşteri'nin çalışma alanına üçüncü kişilere ilişkin olarak girdiği veriler.
• Hizmet: Kullanım Koşulları kapsamında sunulan Fidkeep web uygulaması ve ilgili hizmetler.
• Alt İşleyen: Fidkeep'in Müşteri Kişisel Verileri'nin işlenmesi için görevlendirdiği üçüncü kişi hizmet sağlayıcı.
• Kişisel Veri İhlali: Müşteri Kişisel Verileri'nin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya güvenliğin ihlali sonucu verilerin kazara ya da hukuka aykırı olarak yok edilmesi, kaybı, değiştirilmesi, yetkisiz açıklanması veya bunlara yetkisiz erişilmesi.
• Kurul ve Kurum: Kişisel Verileri Koruma Kurulu ve Kişisel Verileri Koruma Kurumu.
• Talimat: Bölüm 5'te tanımlanan belgelenmiş talimatlar.

• Konu: Hizmet'in Müşteri'ye sunulması.
• Süre: Kullanım Koşulları'nın süresi ile Bölüm 14'te öngörülen iade ve silme süreleri.
• Nitelik: Google Business Profile verilerinin Google API aracılığıyla elde edilmesi, kaydedilmesi, depolanması, düzenlenmesi, görüntülenmesi, yapay zekâ ile yanıt taslağı ve rapor hazırlanmasında ve yorumların konu ve duygu bakımından etiketlenmesinde kullanılması, Müşteri'nin tanımladığı akıllı kurallara uyan yeni yorumların bilgilerinin Müşteri'nin kendi ekip üyeleri arasından seçtiği alıcılara e-postayla iletilmesi, Müşteri'nin talimatıyla Google'a yanıt olarak aktarılması ve silinmesi gibi otomatik işleme faaliyetleri.
• Amaç: Yalnızca Hizmet'in Kullanım Koşulları'na ve Müşteri'nin Talimatlarına uygun olarak sunulması.

İlgili kişi grupları, veri kategorileri ve işleme faaliyetlerinin ayrıntıları Ek-1'de yer alır.

Fidkeep, Müşteri Kişisel Verileri bakımından:

• Verileri yalnızca Müşteri'nin Talimatlarına göre ve Hizmet'in sunulması amacıyla işler; kendi amaçları için kullanmaz, satmaz ve reklam amacıyla kullanmaz veya aktarmaz.
• Müşteri içeriklerini kendi modellerini veya herhangi bir yapay zekâ modelini eğitmek için kullanmaz; yapay zekâ sağlayıcılarına yalnızca ilgili görev için gerekli verileri gönderir ve API verilerinin model eğitiminde kullanılmadığı koşullar altında çalışan sağlayıcılarla çalışır.
• Google API'lerinden elde edilen verileri, Google API Hizmetleri Kullanıcı Verisi Politikası'na (Sınırlı Kullanım gereklilikleri dahil) uygun olarak kullanır.
• KVKK md. 12/4 uyarınca öğrendiği kişisel verileri KVKK'ya aykırı olarak başkasına açıklamaz ve işleme amacı dışında kullanmaz; bu yükümlülük VİS sona erdikten sonra da devam eder.
• KVKK md. 12/1'de ve uygulandığı ölçüde GDPR md. 32'de öngörülen teknik ve idari tedbirleri alır (Bölüm 7 ve Ek-2).
• Müşteri'nin talebi üzerine, kendisinde bulunan bilgiler ölçüsünde, Müşteri'nin veri güvenliği, ihlal bildirimi, veri koruma etki değerlendirmesi ve denetim makamıyla ön istişare yükümlülüklerini (GDPR md. 32-36) yerine getirmesine makul ölçüde yardımcı olur.
• Müşteri adına yürüttüğü işleme faaliyetlerine ilişkin mevzuatın gerektirdiği kayıtları tutar.

Müşteri'nin yükümlülükleri Bölüm 13'te düzenlenmiştir.

Müşteri'nin belgelenmiş Talimatları şunlardır:

1. Kullanım Koşulları, bu VİS ve ilgili sipariş.
2. Müşteri'nin yetkili kullanıcılarının Hizmet içinde yaptığı yapılandırmalar ve işlemler; örneğin Google hesabı ve lokasyon bağlanması, marka dili ayarları, yanıt taslağı oluşturulması, yanıtların yayımlanması, otomatik yanıtların etkinleştirilmesi ve koşullarının belirlenmesi, akıllı kuralların oluşturulması ve koşulları ile alıcılarının belirlenmesi, rapor alıcılarının tanımlanması ve lokasyon bağlantısının kaldırılması.
3. Müşteri'nin [email protected] adresine veya KEP ile ilettiği, Kullanım Koşulları ile uyumlu yazılı talimatlar.

Hizmet kapsamı dışında kalan talimatlar tarafların yazılı mutabakatını gerektirir. Fidkeep, bir Talimatın KVKK'ya, GDPR'a veya diğer veri koruma mevzuatına aykırı olduğunu düşünürse Müşteri'yi derhâl bilgilendirir ve aykırılık giderilinceye kadar söz konusu Talimatın uygulanmasını askıya alabilir.

Fidkeep'in tabi olduğu mevzuat Müşteri Kişisel Verileri'nin Talimat dışında işlenmesini zorunlu kıldığında Fidkeep, mevzuat yasaklamadıkça işlemeden önce Müşteri'yi bu yükümlülük hakkında bilgilendirir.

Fidkeep, Müşteri Kişisel Verileri'ne erişimi yalnızca Hizmet'in sunulması, desteklenmesi ve güvenliğinin sağlanması için erişmesi gereken personeliyle ve gerekli olduğu ölçüyle sınırlar. Bu personel yazılı gizlilik yükümlülüklerine tabidir ve bu yükümlülükler görevden ayrılmalarından sonra da devam eder. Fidkeep personeli, Müşteri Kişisel Verileri'ne yalnızca Müşteri'nin talebi veya onayıyla, güvenlik ya da destek için gerekli olduğunda veya mevzuatın gerektirdiği hâllerde erişir.

Fidkeep, Müşteri Kişisel Verileri'nin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla Ek-2'de sayılan teknik ve idari tedbirleri uygular. Fidkeep bu tedbirleri teknolojik gelişmelere göre güncelleyebilir; ancak güncelleme, genel koruma seviyesini düşüremez.

Müşteri, kendi tarafındaki güvenlikten sorumludur: kullanıcı hesaplarının ve kimlik bilgilerinin korunması, rollerin ve lokasyon erişimlerinin yalnızca ihtiyaç duyan kişilere verilmesi, artık yetkili olmayan kullanıcıların erişiminin kaldırılması ve şüpheli erişimlerin Fidkeep'e bildirilmesi bu kapsamdadır.

Müşteri, bu VİS ile Fidkeep'e, Hizmet'in sunulması için Alt İşleyen görevlendirmesi konusunda genel yazılı yetki verir. Güncel Alt İşleyen listesi Alt İşleyenler sayfasında yayımlanır ve Ek-3'te özetlenir.

Fidkeep, yeni bir Alt İşleyen eklemeden veya mevcut bir Alt İşleyeni değiştirmeden en az 30 gün önce Müşteri'nin hesapta kayıtlı e-posta adresine veya uygulama içinde bildirimde bulunur ve Alt İşleyenler sayfasını günceller.

Müşteri, bildirim süresi içinde veri korumaya ilişkin makul gerekçelerle yazılı olarak itiraz edebilir. Taraflar itirazı iyi niyetle görüşür; Fidkeep, mümkünse değişikliğin itiraz konusu verileri etkilememesini sağlayan bir alternatif sunar. İtiraz, değişikliğin yürürlüğe girdiği tarihe kadar çözülemezse Müşteri, etkilenen hizmeti yazılı bildirimle feshedebilir; bu hâlde Müşteri'ye, bu hizmet için peşin ödenmiş bedellerin kullanılmamış döneme isabet eden kısmı kıst esasına göre iade edilir.

Fidkeep, her Alt İşleyen ile bu VİS'tekilerle esas itibarıyla aynı düzeyde veri koruma yükümlülüklerini içeren yazılı bir sözleşme yapar ve Alt İşleyenleri görevlendirmeden önce veri güvenliği bakımından değerlendirir. Fidkeep, Alt İşleyenlerinin yükümlülüklerini yerine getirmemesinden dolayı Müşteri'ye karşı, kendi fiilinden sorumlu olduğu gibi sorumludur.

Google LLC ve iyzico kendi hizmetleri bakımından ayrıca bağımsız veri sorumlusu sıfatına sahiptir. Müşteri'nin Talimatıyla Google Business Profile'da yayımlanan yanıtlar, yayımlandıktan sonra Google'ın kendi koşullarına tabidir.

Müşteri Kişisel Verileri, Ek-3'te belirtilen Alt İşleyenler aracılığıyla Finlandiya'da (AB) ve Amerika Birleşik Devletleri başta olmak üzere yurt dışında işlenir. Bu ülkeler hakkında Kurul'un verdiği bir yeterlilik kararı bulunmamaktadır. Müşteri, bu VİS ile bu aktarımlara izin verir ve Fidkeep'e bu yönde talimat verir.

Fidkeep, Alt İşleyenlerine yaptığı yurt dışı aktarımlarda 7499 sayılı Kanun ile değişik KVKK md. 9 uyarınca aktaran taraf olarak Kurul tarafından ilan edilen standart sözleşmelerin ilgili modülünü (veri işleyenden veri işleyene aktarım) imzalar ve her standart sözleşmeyi imzalanmasından itibaren beş iş günü içinde Kurum'a bildirir. Bu bildirimler Fidkeep tarafından yapılır. Standart sözleşme düzenlenmesinin mümkün olmadığı hâllerde, yalnızca arızi nitelikteki aktarımlar için md. 9/6'daki istisnalara dayanılır.

Müşteri'nin kendisinin taraf olduğu aktarımlardan doğan bildirim ve diğer yükümlülükler Müşteri'ye aittir. Müşteri GDPR'a tabiyse ve GDPR kapsamında Fidkeep'e veya Alt İşleyenlere yapılan aktarımlar için ek bir aktarım aracı gerekiyorsa, taraflar Avrupa Komisyonu'nun standart sözleşme hükümlerinin ilgili modülünü akdetmek için iyi niyetle işbirliği yapar.

Fidkeep, Müşteri Kişisel Verileri'ne ilişkin olarak doğrudan kendisine yapılan ilgili kişi başvurularını gecikmeksizin Müşteri'ye iletir. Fidkeep, başvurunun ilgili veri sorumlusuna iletildiğini ilgili kişiye bildirmek dışında, Müşteri'nin Talimatı olmaksızın başvurunun esasına ilişkin yanıt vermez.

Fidkeep, işlemenin niteliğini dikkate alarak ve uygun teknik ve idari tedbirlerle, Müşteri'nin KVKK md. 11 ve md. 13 ile uygulandığı ölçüde GDPR md. 12-22 kapsamındaki başvuruları yanıtlamasına yardımcı olur; örneğin belirli bir yorum sahibine ilişkin verilerin tespit edilmesi, dışa aktarılması, düzeltilmesi veya silinmesi. Bu yardım makul ölçüde ve ek ücret talep edilmeksizin sağlanır; olağan dışı veya orantısız yardım talepleri için taraflar önceden yazılı mutabakat sağlar.

Başvuruları KVKK md. 13'teki 30 günlük süre içinde yanıtlamak Müşteri'nin sorumluluğundadır.

Fidkeep, bir Kişisel Veri İhlali'nden haberdar olduktan sonra gecikmeksizin ve en geç 48 saat içinde Müşteri'yi hesapta kayıtlı e-posta adresi üzerinden bilgilendirir. Bildirim, o an bilinebildiği ölçüde şunları içerir:

• İhlalin niteliği ile gerçekleştiği ve tespit edildiği zaman.
• Etkilenen ilgili kişi ve kayıt kategorileri ile yaklaşık sayıları.
• İhlalin olası sonuçları.
• Alınan veya alınması önerilen tedbirler.
• Bilgi alınabilecek irtibat noktası ([email protected]).

Tüm bilgilerin aynı anda sağlanması mümkün değilse bilgiler, gereksiz gecikme olmaksızın aşamalı olarak iletilir. Fidkeep ihlalin etkilerini sınırlamak için gerekli tedbirleri derhâl alır ve Müşteri ile işbirliği yapar.

Veri sorumlusu olarak Kurul'a ve ilgili kişilere bildirim yapma yükümlülüğü Müşteri'ye aittir. KVKK md. 12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca Müşteri, ihlali öğrenmesinden itibaren en geç 72 saat içinde Kurul'a, ilgili kişilere ise makul olan en kısa sürede bildirimde bulunur; GDPR'a tabi olduğu ölçüde GDPR md. 33 ve 34'e uyar. Fidkeep, mevzuatın zorunlu kıldığı hâller dışında Müşteri adına Kurul'a veya ilgili kişilere bildirim yapmaz. Fidkeep'in bildirimde bulunması, kusur kabulü anlamına gelmez.

Fidkeep, bu VİS'e ve KVKK md. 12'ye uyumu göstermek için gerekli bilgi ve belgeleri Müşteri'nin yazılı talebi üzerine makul bir süre içinde sağlar. Müşteri'nin denetim hakkı öncelikle bu belgeler ve yazılı sorular yoluyla kullanılır.

Belgelerin uyumu göstermede yetersiz kaldığı hâllerde Müşteri veya Müşteri'nin görevlendireceği, Fidkeep'e rakip olmayan ve gizlilik yükümlülüğü altındaki bağımsız bir denetçi yerinde denetim yapabilir. Yerinde denetim:

• Yılda en fazla bir kez yapılabilir.
• En az 30 gün önceden yazılı olarak bildirilir ve kapsamı taraflarca önceden belirlenir.
• Fidkeep'in çalışma saatleri içinde, faaliyetlerini makul olmayan şekilde aksatmadan yürütülür.
• Diğer müşterilerin verilerini, Fidkeep'in ticari sırlarını ve Alt İşleyenlerin tesislerini kapsamaz; Alt İşleyenler bakımından Fidkeep'in elindeki belgeler esas alınır.
• Gizlilik yükümlülüğüne tabidir.

Denetim masrafları Müşteri'ye aittir; ancak denetim sonucunda Fidkeep'in bu VİS'i esaslı şekilde ihlal ettiği tespit edilirse makul denetim masrafları Fidkeep tarafından karşılanır. Bu bölüm, Kurul'un veya diğer yetkili makamların mevzuattan doğan denetim yetkilerini sınırlamaz.

Müşteri, veri sorumlusu sıfatıyla:

• Müşteri Kişisel Verileri'nin işlenmesi için geçerli bir hukuki sebebe (örneğin KVKK md. 5/2-d veya 5/2-f) sahip olduğunu ve kendi ilgili kişilerine karşı aydınlatma yükümlülüğünü yerine getirdiğini taahhüt eder.
• Bağladığı her Google Business Profile hesabına ve lokasyonuna erişmeye, yorumları almaya ve yanıt yayımlamaya yetkili olduğunu ve Google'ın koşullarına uyacağını taahhüt eder.
• Marka dili talimatlarına, örnek yanıtlara, imzalara, yanıtlara ve diğer girdilere özel nitelikli kişisel veri (KVKK md. 6) girmez. Yorum sahiplerinin kendi yayımladığı özel nitelikli bilgiler yorum metninin bir parçası olarak tesadüfen işlenebilir; Fidkeep bu verileri aramaz, ayrıştırmaz ve bunlara dayalı profil oluşturmaz.
• Sağlık sektöründe faaliyet gösteriyorsa, yanıtlarda bir yorum sahibinin hasta olduğunu veya olmuş olduğunu teyit etmemeyi ve herhangi bir sağlık veya kişisel bilgi açıklamamayı taahhüt eder. Kamu kurumları, kendi mevzuatlarından doğan yükümlülüklere ayrıca uyar.
• Yayımlanan yanıtların içeriğinden ve otomatik yanıtları etkinleştirmesinden sorumludur. Yapay zekâ çıktıları hatalı olabilir; yanıtların yayımlanmadan önce insan tarafından incelenmesi önerilir.
• Talimatlarının hukuka uygun olmasını sağlar ve kendi veri sorumlusu yükümlülüklerini, uygulanabildiği ölçüde Veri Sorumluları Siciline kayıt yükümlülüğü dahil olmak üzere, yerine getirir.

Sözleşme süresince Müşteri, bir lokasyonun bağlantısını kaldırabilir veya Google bağlantısını sonlandırabilir. Google OAuth belirteçleri, bağlantı kaldırıldığında, Google erişimi geri alındığında veya hesap kapatıldığında silinir. Müşteri talep ederse, bağlantısı kaldırılan lokasyona ait senkronize yorum ve yanıt verileri ile yapay zekâ taslakları, bağlantının kaldırılmasından itibaren 90 gün içinde silinir.

Hesabın kapatılması veya Kullanım Koşulları'nın sona ermesi hâlinde:

• Müşteri, hesabın kapatılmasından itibaren 30 gün içinde [email protected] adresine yazarak verilerinin dışa aktarılmasını talep edebilir; Fidkeep dışa aktarımı yapılandırılmış ve yaygın olarak kullanılan elektronik bir biçimde sağlar.
• Müşteri Kişisel Verileri, hesabın kapatılmasından itibaren 90 gün içinde silinir veya anonim hâle getirilir.
• Yedeklerdeki kopyalar, dönüşümlü yedekleme düzeni içinde en geç 30 gün içinde üzerine yazılarak silinir.

Fidkeep'in mevzuat gereği saklamakla yükümlü olduğu veriler, yalnızca ilgili yükümlülük süresince, erişimi kısıtlanarak ve başka bir amaçla işlenmeksizin saklanır. Fidkeep, Müşteri'nin yazılı talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

Tarafların bu VİS'ten doğan sorumluluğu, Kullanım Koşulları'ndaki sorumluluk sınırlamalarına tabidir. Bu sınırlamalar ağır kusur veya kast hâlinde (TBK md. 115) ve sorumluluğun sınırlandırılmasının kanunen yasak olduğu hâllerde uygulanmaz.

Taraflar, KVKK md. 12/2 uyarınca Müşteri'nin, kişisel verilerin kendi adına Fidkeep tarafından işlenmesi hâlinde veri güvenliği tedbirlerinin alınması hususunda Fidkeep ile birlikte müştereken sorumlu olduğunu kabul eder. Bu sorumluluk ilgili kişilere ve yetkili makamlara karşı saklıdır; taraflar arasındaki iç ilişkide her taraf kendi kusuru oranında sorumludur.

Bu VİS, Kullanım Koşulları'nın kabulüyle yürürlüğe girer ve Fidkeep Müşteri Kişisel Verileri'ni işlediği sürece yürürlükte kalır. Kullanım Koşulları'nın herhangi bir nedenle sona ermesiyle VİS de sona erer; ancak Bölüm 6, 11, 14 ve 15 ile niteliği gereği sona ermeden sonra da uygulanması gereken hükümler, Müşteri Kişisel Verileri'nin silinmesi tamamlanıncaya kadar ve gizlilik yükümlülükleri bakımından süresiz olarak yürürlükte kalır.

Kişisel verilerin korunmasına ilişkin konularda bu VİS ile Kullanım Koşulları veya diğer sözleşme belgeleri arasında çelişki bulunması hâlinde bu VİS uygulanır. Diğer tüm konularda Kullanım Koşulları geçerlidir. VİS'in Türkçe metni ile İngilizce çevirisi arasında çelişki bulunması hâlinde Türkçe metin esas alınır.

Fidkeep, bu VİS'te yapacağı esaslı değişiklikleri yürürlüğe girmeden en az 30 gün önce e-posta veya uygulama içi bildirim yoluyla duyurur. Müşteri değişikliğe itiraz ederse, değişiklik yürürlüğe girmeden önce sözleşmeyi feshedebilir.

Müşteri'ye yapılacak bildirimler hesapta kayıtlı e-posta adresine yapılır. Fidkeep'e yapılacak bildirimler [email protected] adresine veya resmî bildirimler için [email protected] KEP adresine gönderilir.

Bu VİS Türkiye Cumhuriyeti hukukuna tabidir. VİS'ten doğan uyuşmazlıklarda Gaziantep Mahkemeleri ve İcra Daireleri münhasıran yetkilidir. HMK md. 193 uyarınca Fidkeep'in elektronik kayıtları, sistem kayıtları ve e-posta kayıtları, aksi ispat edilinceye kadar kesin delil teşkil eder. GDPR'ın Müşteri'ye uygulanan emredici hükümleri ve denetim makamlarının yetkileri saklıdır.

İlgili kişi grupları

• Müşteri'nin bağladığı lokasyonlar hakkında Google'da yorum yazan kişiler.
• Yorum ve yanıt metinlerinde adı geçen kişiler (örneğin Müşteri çalışanları).
• Müşteri'nin çalışma alanına girdiği diğer üçüncü kişiler (örneğin rapor alıcıları ile imza ve örnek yanıtlarda adı geçen çalışanlar).

Veri kategorileri

• Yorum verileri: Yorum sahibinin görünen adı ve profil fotoğrafı, puan, yorum metni, yoruma eklenen medya bağlantıları, oluşturma ve güncelleme zamanları, yorum tanımlayıcıları.
• Yanıt verileri: İşletme yanıtlarının metni, yayımlanma durumu ve zamanı, Google'ın döndürdüğü politika durumu.
• Yapay zekâ verileri: Yanıt taslakları, rapor anlatımları, yorumlara atanan konu ve duygu etiketleri ve bunların üretilmesi için gönderilen girdiler (konu ve duygu etiketlemesinde yorum metni ve puanı ile lokasyonun sektörüne ait konu listesi).
• Akıllı kural verileri: Kural koşulları ve kapsadığı lokasyonlar, kural geçmişi (kurala uyan yorumlar ve e-posta gönderilen ekip üyeleri) ile akıllı kural uyarı e-postalarında yer alan, kurala uyan yorumun bilgileri (lokasyon, puan, yorum metni ve yorumcunun görünen adı).
• Çalışma alanı içerikleri: Marka dili talimatları, tercih edilen veya yasaklanan ifadeler, imzalar, örnek yanıtlar ve rapor alıcılarının e-posta adresleri, kişisel veri içerdikleri ölçüde.
• Özel nitelikli veriler: Kasıtlı olarak işlenmez; yalnızca yorum sahibinin kendi yayımladığı yorum metninin parçası olarak tesadüfen işlenebilir.

İşleme amaçları

• Yorumların senkronize edilmesi ve tek bir gelen kutusunda gösterilmesi.
• Lokasyona özgü marka dilinde yapay zekâ destekli yanıt taslaklarının hazırlanması.
• Yorumların yapay zekâ ile konu ve duygu bakımından etiketlenmesi; etiketlerin yorum listesinde, yorum detayında ve gösterge panelinde gösterilmesi, filtrelemede ve akıllı kuralların konu koşulunda kullanılması.
• Müşteri'nin tanımladığı akıllı kurallara uyan yeni yorumlar için Müşteri'nin kendi ekip üyeleri arasından seçtiği alıcılara uyarı e-postası gönderilmesi ve kural geçmişinin tutulması.
• Yanıtların Müşteri'nin Talimatıyla veya Müşteri'nin etkinleştirdiği kontrollü otomatik yanıt ayarlarına göre Google'da yayımlanması.
• Günlük ve aylık lokasyon raporlarının hazırlanması ve iletilmesi.
• Hizmet'in güvenliğinin sağlanması, hataların giderilmesi ve Müşteri'ye destek verilmesi.

İşleme faaliyetleri

Elde etme, kaydetme, depolama, muhafaza etme, düzenleme, sınıflandırma, görüntüleme, yapay zekâ ile işleme ve etiketleme, Alt İşleyenlere ve Müşteri'nin Talimatıyla Google'a aktarma, yetkili çalışma alanı kullanıcılarının erişimine sunma, akıllı kural alıcılarına e-postayla iletme, dışa aktarma ve silme veya anonim hâle getirme.

Süre ve sıklık

İşleme, Kullanım Koşulları süresince sürekli olarak yapılır ve Bölüm 14'teki sürelerle sona erer.

Şifreleme

• Aktarım sırasında TLS şifrelemesi.
• Google OAuth belirteçlerinin depolamada şifrelenmesi.
• Parolaların yalnızca tuzlanmış özet (hash) olarak saklanması.

Erişim kontrolü ve kimlik doğrulama

• Rol ve lokasyon bazlı erişim kontrolü.
• Dahili erişimde en az yetki ilkesi.
• HttpOnly ve Secure olarak işaretlenmiş oturum çerezleri.
• Gizli anahtar ve kimlik bilgisi yönetimi.

Uygulama güvenliği ve izleme

• İstek doğrulama ve istek sınırlaması (rate limiting).
• Hassas alanları maskelenmiş denetim kayıtları.
• Hata izleme.

Yedekleme ve süreklilik

• Şifrelenmiş ve düzenli olarak test edilen yedekler.

İdari tedbirler

• Personel için gizlilik yükümlülükleri.
• Hizmet sağlayıcıların seçiminde ve görevlendirilmesinde durum tespiti (vendor due diligence).
• Güvenlik olaylarına müdahale prosedürü.

Fidkeep'in bu VİS tarihindeki Alt İşleyenleri şunlardır; amaçlar, konumlar ve güncel liste Alt İşleyenler sayfasında yer alır:

• Finlandiya'daki veri merkezinde hizmet veren bulut altyapı sağlayıcımız — Konum: Finlandiya (AB).
• Cloudflare, Inc. — Konum: küresel ağ, ABD merkezli.
• Google LLC — Konum: ABD ve küresel.
• Yapay zekâ altyapı sağlayıcılarımız — Konum: ABD.
• Resend — Konum: ABD.
• Linear — Konum: ABD.
• Sentry (Functional Software, Inc.) — Konum: ABD.
• İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico) — Konum: Türkiye.

Listedeki sağlayıcıların bir kısmı (örneğin ödeme işlemleri için iyzico) yalnızca Fidkeep'in veri sorumlusu olarak işlediği verileri işlemek üzere görevlendirilmiştir. Yapay zekâ sağlayıcılarının ticari unvanları Fidkeep tarafından gizli tutulur; Müşteri'nin bu VİS kapsamındaki haklarını kullanması için gerekli olduğu ölçüde, talep hâlinde ve gizlilik yükümlülüğü altında Müşteri'ye bildirilir.