Veri İşleme Ek Sözleşmesi

Bu Veri İşleme Ek Sözleşmesi ("Ek Sözleşme"), Türkiye'de yerleşik şahıs şirketi olan ve Atelye ticari adıyla faaliyet gösteren Murat Gözel'in ("Atelye", "biz"), Atelye platformunun bir müşterisi ("Müşteri", "siz") adına Kullanım Koşulları kapsamında gerçekleştirdiği kişisel veri işleme faaliyetlerini düzenler.

Belge, Genel Veri Koruma Tüzüğü'nün ((AB) 2016/679 sayılı Tüzük, "GDPR") 28. maddesi esas alınarak hazırlanmıştır ve 14. bölümde açıklanan aktarım güvencesini içerir.

GDPR'de tanımlanan terimler — "kişisel veri", "işleme", "veri sorumlusu", "veri işleyen", "alt işleyen", "ilgili kişi", "kişisel veri ihlali", "denetim makamı" — bu belgede de GDPR'deki anlamlarıyla kullanılır.

1. Bu ek sözleşme nasıl uygulanır

Bu Ek Sözleşme, Kullanım Koşulları'nın bir parçasıdır ve kendiliğinden onlara dâhil edilmiştir. Yukarıda belirtilen yürürlük tarihinden itibaren, ayrı bir imzaya ve Müşteri bazında bir müzakereye gerek olmaksızın her Müşteri için geçerlidir.

Bu tercih bilinçlidir. Herkese aynı şekilde uygulanan, yayımlanmış ve sürümlenmiş bir ek sözleşme; taahhüt altına girmeden önce okunabilir, sonradan herhangi bir tarihte yürürlükte olduğu hâliyle yeniden ortaya konabilir ve karşılıklı imzalanmış bir nüshanın bir dosyada saklanmış olmasına bağlı değildir. Yürürlükten kalkmış sürümler /legal/archive/dpa/<sürüm> adresinde yayımda kalır.

Kendi kayıtlarınız için imzalı bir nüshaya ihtiyaç duyarsanız legal@atelye.net adresine yazın.

2. Taraflar ve rolleri

Platforma yüklediğiniz veya bağladığınız bir kanal üzerinden platforma ulaşan kişisel veriler — içerikleriniz, kataloğunuz ve siparişleriniz, alıcı kayıtlarınız ve müşterilerinizin size gönderdiği mesajlar — bakımından siz veri sorumlusu, Atelye ise veri işleyeninizsiniz.

Ayrı ve çok daha küçük bir veri kümesi bakımından Atelye kendisi veri sorumlusudur: platforma giriş yapan personelinizin hesapları, faturalama ve hesap kayıtları, sizinle yürütülen destek yazışmaları ve Atelye'nin hizmeti işletirken ürettiği operasyonel telemetri ile güvenlik kayıtları. Bu işleme faaliyeti Gizlilik Politikası belgesinde açıklanır ve bu Ek Sözleşme'nin kapsamı dışındadır.

Atelye Türkiye'de yerleşiktir. Altyapısı Avrupa Birliği'ndedir. 14. bölüm, bu birleşimin neden önemli olduğunu ve neyi gerektirdiğini açıklar.

3. Konu, süre, niteliği ve amacı

Konu. Atelye platformunun size sunulması için gerekli kişisel veri işleme faaliyeti: içerik yönetimi, ticaret ve bağlı mesajlaşma kanallarında müşterilerinizden gelen mesajların yapay zekâ destekli olarak ele alınması.

Süre. Hesabınız etkin olduğu sürece ve sonrasında yalnızca 12. bölümde açıklanan süre boyunca.

Niteliği. Toplama, kaydetme, düzenleme, yapılandırma, saklama, erişme, inceleme, kullanma, 17. bölümde listelenen alt işleyenlere aktarma, sınırlama, silme ve yok etme — otomatik yollarla.

Amacı. Yalnızca platformu size sunmak, güvenliğini sağlamak ve desteklemek ve platformu kullanımınız yoluyla verdiğiniz talimatları yerine getirmek. Atelye kişisel verilerinizi kendi amaçları için işlemez, satmaz, reklam için kullanmaz ve makine öğrenimi modellerini eğitmek için kullanmaz.

4. Kişisel veri kategorileri

Platformun hangi bölümlerini kullandığınıza bağlı olarak:

• Mesaj içeriği ve medya — bağlı kanallarda sizinle müşterileriniz arasında karşılıklı iletilen metin, görsel, ses, video ve dosyalar ile bunları yanıtlamak üzere üretilen yanıt taslakları.
• Kanala özgü kimlik bilgileri — bir mesajlaşma platformunun, sizin hesabınız bağlamında bir kişiye atadığı örtük kimlik (örneğin Instagram'a özgü kimlik, Sayfa'ya özgü kimlik veya bir WhatsApp numarası) ile o platformun gösterdiği görünen ad.
• Alıcı ve sipariş kayıtları — sizden alışveriş yapan kişilere ilişkin tuttuğunuz ad, iletişim bilgileri, teslimat ve fatura adresleri, sipariş kalemleri ve sipariş geçmişi.
• Yayımladığınız içerik — kendi içeriğinize koymayı seçtiğiniz her türlü kişisel veri; örneğin bir yazar adı veya bir fotoğraf.
• Etkileşim üstverisi — zaman damgaları, mesaj yönü, görüşme durumu ve personelinizden kimin neyi yaptığına ilişkin kayıt.

Atelye, GDPR'nin 9. maddesi anlamında özel nitelikli kişisel verileri veya 10. madde anlamında ceza mahkûmiyetlerine ilişkin verileri talep etmez; platform bunları almak üzere tasarlanmamıştır. Kabul Edilebilir Kullanım Politikası, bu tür verilerin görüşme yüzeyi üzerinden iletilmesini yasaklar.

5. İlgili kişi kategorileri

• Bağlı bir kanal üzerinden size mesaj gönderen kişiler — müşterileriniz ve müşteri adaylarınız.
• Sizden alışveriş yapan veya adına alışveriş yapılan kişiler.
• Platform üzerinden yayımladığınız içeriğe kişisel verisini dâhil ettiğiniz kişiler.
• Yaptıkları bir işlemin kaydında kimlikleri göründüğü ölçüde kendi personeliniz. Hesap verileri bu Ek Sözleşme'nin değil, Gizlilik Politikası'nın kapsamındadır.

6. Yalnızca belgelendirilmiş talimatlar doğrultusunda işleme

Atelye, üçüncü ülkelere aktarımlar dâhil olmak üzere, kişisel verilerinizi yalnızca belgelendirilmiş talimatlarınız doğrultusunda işler. Kullanım Koşulları, bu Ek Sözleşme ve platformda gerçekleştirdiğiniz yapılandırma ile işlemler, birlikte, belgelendirilmiş talimatlarınızın tamamını oluşturur.

Atelye yalnızca tabi olduğu bir hukuk kuralının gerektirdiği hâllerde başka bir dayanakla işleme yapar. Bu durumda, söz konusu hukuk kuralı önemli kamu yararı gerekçesiyle yasaklamadıkça, işleme öncesinde bu gerekliliği size bildirir.

Verdiğiniz bir talimatın kendi görüşüne göre GDPR'yi veya uygulanabilir başka bir veri koruma hükmünü ihlal ettiğini düşünürse Atelye size bunu bildirir ve talimat geri alınana veya değiştirilene kadar ilgili işlemeyi durdurabilir.

7. Gizlilik

Kişisel verilerinize erişim, platformu size sunmak, güvenliğini sağlamak veya desteklemek için buna ihtiyaç duyanlarla sınırlıdır. Bu erişime sahip her kişi, görevi sona erdikten sonra da devam eden bir gizlilik yükümlülüğü altındadır.

Bu operasyonun yapısına ilişkin somut bir olguyu bilmelisiniz: Atelye tek bir kişi tarafından işletilmektedir. Üretim sistemlerine yönetici erişimi, 20. bölümde adı geçen işletmecidedir. Kısıtlanacak daha geniş bir personel kadrosu yoktur — aynı şekilde, gösterilebilecek bir görevler ayrılığı kontrolü de yoktur. Güvenlik Genel Bakışı, bunu Atelye'de bulunmayan diğer hususlarla birlikte açıkça belirtir.

8. Güvenlik tedbirleri

Atelye, bu Ek Sözleşme'nin Ek II'sini oluşturan (16. bölüm) Güvenlik Genel Bakışı belgesinde ortaya konan teknik ve idari tedbirleri uygular. Bu tedbirler, değerlendirmenize yetecek ayrıntıda açıklanmıştır ve orada belirtilen her kontrol bugün fiilen mevcuttur.

Atelye bir tedbiri değiştirebilir; ancak bunu, işlemenin genel güvenlik düzeyini esaslı biçimde düşürecek şekilde yapamaz. Esaslı bir değişiklik 19. bölümdeki bildirim sürecine tabidir.

9. Alt işleyenler

Genel yetkilendirme. Bu Ek Sözleşme'de açıklanan işleme faaliyetleri için alt işleyen görevlendirmesi konusunda Atelye'ye genel yazılı yetki vermektesiniz. Güncel liste /legal/subprocessors adresinde yayımlanır ve Ek III'ü oluşturur (17. bölüm).

Alt işleyenlere getirilen şartlar. Atelye bir alt işleyeni yalnızca, esas itibarıyla bu Ek Sözleşme kapsamında size karşı üstlendiği yükümlülüklerden daha az koruyucu olmayan veri koruma yükümlülükleri getiren yazılı bir sözleşmeyle görevlendirir; alt işleyen AEA dışındaysa buna 14. bölümdeki aktarım güvenceleri de dâhildir. Atelye, alt işleyenin yükümlülüklerini yerine getirmesinden size karşı tam sorumludur.

Değişiklik bildirimi — 30 gün. Yeni bir alt işleyen eklemeden veya mevcut bir alt işleyeni değiştirmeden önce Atelye size en az 30 gün önceden bildirim yapar. Bildirim, hesabınızda kayıtlı adrese gönderilir.

İtiraz süresi. Bu 30 gün içinde, makul ve belgelendirilmiş veri koruma gerekçeleriyle legal@atelye.net adresine yazarak önerilen yeni veya ikame alt işleyene itiraz edebilirsiniz. Atelye, iyi niyetle bir çözüm için sizinle birlikte çalışır — bir yapılandırma değişikliği, alternatif bir sağlayıcı veya ilgili özelliğin hesabınızda devre dışı bırakılması. Çözüme ulaşılamazsa hizmetin etkilenen kısmını herhangi bir cezai şart olmaksızın feshedebilirsiniz; verilerinize ne olacağını 12. bölüm düzenler.

Acil değiştirme. Bir alt işleyenin, hizmetin güvenliğini veya sürekliliğini korumak amacıyla 30 günden önce değiştirilmesi gerekirse — ihlale uğradığı veya faaliyetini durdurduğu için — Atelye değişikliği yapar ve gerekçesiyle birlikte gecikmeksizin size bildirir. Bu bölüm kapsamındaki itiraz hakkınız saklıdır ve süre bu bildirimden itibaren işler.

10. Yükümlülüklerinize destek

İlgili kişi talepleri. İşlemenin niteliğini dikkate alarak Atelye, GDPR'nin III. Bölümü kapsamındaki ilgili kişi haklarının kullanılmasına yönelik taleplere yanıt verme yükümlülüğünüzü yerine getirmenizde, mümkün olduğu ölçüde uygun teknik ve idari tedbirlerle size destek olur.

Bir ilgili kişinin doğrudan Atelye'ye gönderdiği bir talep tek taraflı olarak işleme konulmaz. Atelye talebi gecikmeksizin size iletir ve yalnızca sizin talimatınız üzerine hareket eder. Veri sorumlusu sizsiniz; müşterinize nasıl yanıt verileceği sizin kararınızdır, bizim değil.

Tek istisna bilinçlidir: bir kişi Atelye uygulamasını bağlı bir Meta platformundan kaldırdığında veya erişimini geri aldığında, o platform doğrudan Atelye'ye bir silme talimatı gönderir ve Meta Platform Şartları bunu gerektirdiği için Atelye talimatı doğrudan yerine getirir. Veri Silme sayfası bu yolu açıklar.

Veri koruma etki değerlendirmesi. Atelye, talep üzerine ve kendisinde mevcut bilgileri dikkate alarak, bu Ek Sözleşme kapsamındaki işlemeye ilişkin bir veri koruma etki değerlendirmesi ve bir denetim makamıyla yapılacak ön istişare için size makul destek sağlar.

Kişisel veri ihlali. Atelye, kişisel verilerinizi etkileyen bir kişisel veri ihlalinden haberdar olmasının ardından gecikmeksizin ve her hâlde 24 saat içinde size bildirimde bulunur. Bildirim, o an bilindiği ölçüde şunları içerir: ihlalin niteliği ile etkilenen ilgili kişi ve kayıt kategorileri ve yaklaşık sayıları; olası sonuçlar; alınan veya alınması önerilen tedbirler. Bilgi tek seferde mevcut değilse gecikmeksizin, aşamalar hâlinde iletilir. Atelye, önce kendi incelemesini tamamlamak için bildirimi geciktirmez.

İhlalin bir denetim makamına ve gerektiğinde etkilenen ilgili kişilere bildirilmesi, veri sorumlusu olarak sizin sorumluluğunuzdadır. Atelye bunun için ihtiyaç duyduğunuz bilgileri sağlar.

11. Kendi istem ve işletme bağlamınızın kişiselleştirilmesi

Bu, adı konmuş bir işleme faaliyetidir ve burada açıklanmaktadır; çünkü bir veri işleyen, veri sorumlusuna bildirilmemiş bir işleme faaliyeti yürütmemelidir.

Yapay zekâ destekli mesajlaşma özelliklerini kullandığınızda platform, yalnızca sizin hesabınız için kullandığı istemleri ve işletme bağlamını yalnızca sizin hesabınıza ait görüşme geçmişinden yararlanarak geliştirir; böylece sizin için hazırlanan taslaklar sizin gerçekte nasıl yanıt verdiğinizi yansıtmaya başlar.

Üç sınır geçerlidir ve bu bölümün asıl konusu bunlardır:

• Yalnızca kendi hesabınız içinde. Görüşmelerinizden türetilen hiçbir sinyal, istatistik, ifade biçimi veya örnek başka bir müşterinin hesabında kullanılmaz; başka bir müşterinin görüşmelerinden türetilen hiçbir şey de sizin hesabınızda kullanılmaz.
• Üçüncü kişilere ait içeriğin birebir kullanılmaması. Geliştirilmiş bir istem veya işletme bağlamı kaydı, sizin nasıl yanıt verdiğinizi — bir üslubu, yinelenen bir politikayı, sık sorulan bir soruyu — kodlayabilir; ancak bir müşterinin mesaj metnini, adını, adresini, sipariş numarasını veya kanal kimliğini içeremez. Bir geliştirmenin birebir içerik gerektirdiği hâllerde içerik kopyalanmaz; özetlenir veya bırakılır.
• Bu bir model eğitimi değildir. Burada hiçbir makine öğrenimi modeli eğitilmez, ince ayara tabi tutulmaz veya başka bir şekilde değiştirilmez. Yapılan şey, bir talep anında modele gönderilen talimatların ve başvuru malzemesinin — yalnızca sizin hesabınız için — düzenlenmesidir.

Bu faaliyet, hizmeti size sunmanın bir parçası olarak, talimatlarınız doğrultusunda ve veri işleyen sıfatıyla yürütülür. Atelye'nin kendi meşru menfaati kapsamında yürütülmez — bu şekilde kurgulamak, faaliyeti sizin değil Atelye'nin amacı hâline getirir ve talimatlarınızın dışına çıkarırdı. Faaliyetin hukuki dayanağı, esas görüşme işlemesi için sizin belirlediğiniz dayanaktır.

support@atelye.net adresine yazarak bu özelliğin hesabınız için devre dışı bırakılmasını isteyebilirsiniz.

12. Hizmetin sona ermesinde silme veya iade

Kullanım Koşulları'nın feshi veya sona ermesi hâlinde ve bu tarihten itibaren 30 gün içinde bildireceğiniz tercihinize göre Atelye, kişisel verilerinizi yapılandırılmış, yaygın olarak kullanılan ve makinece okunabilir bir biçimde size iade eder ya da siler. Bu 30 gün içinde bir tercih bildirmezseniz Atelye verileri siler.

Silme, canlı sistemlerden silinmeyi ifade eder. Açıklanmamış bir saklama, açıklanmış bir saklamadan daha kötü olduğu için iki kayıt burada belirtilmektedir:

• Yedekler. Silinen veriler, şifrelenmiş veritabanı yedeklerinde, bu yedekler olağan saklama takvimine göre tasfiye olana kadar kalır. Yedekler bir felaket durumu dışında hiçbir zaman geri yüklenmez ve geri yükleme yordamı, geri yüklenen sistem yeniden hizmet vermeye başlamadan önce tamamlanmış silme işlemlerini yeniden uygular. Yedekleme süreleri Güvenlik Genel Bakışı sayfasında belirtilmiştir.
• Atelye'nin tutmak zorunda olduğu kayıtlar. Atelye, platform faaliyetine ilişkin içerik barındırmayan bir kaydı — kimin, hangi kayıt üzerinde, ne zaman ne yaptığını — hukuki taleplerin tesisi, kullanılması veya savunulması ve kendi kayıt tutma yükümlülüklerini karşılamak amacıyla saklar. Bu kayıt referanslar ve durum değişiklikleri içerir; müşterilerinizin kişisel verilerinin içeriğini içermez.

Atelye, talep üzerine silme işlemini yazılı olarak teyit eder.

13. Denetim ve bilgi alma hakları

Atelye, GDPR'nin 28. maddesine ve bu Ek Sözleşme'ye uygunluğu ortaya koymak için gerekli bilgileri size sunar; sizin veya görevlendireceğiniz bir denetçinin yürüteceği denetimlere — yerinde incelemeler dâhil — izin verir ve katkıda bulunur.

Uygulamada ve bu ölçekteki bir operasyonla orantılı olarak:

• Güvenlik Genel Bakışı, teknik ve idari tedbirlerin sürekli açıklamasıdır ve güncel tutulur.
• Herhangi bir 12 aylık dönemde bir kez yazılı güvenlik veya veri koruma soru formu gönderebilirsiniz; Atelye 30 gün içinde yanıtlar.
• Yukarıdaki malzemenin gidermediği somut ve belgelendirilmiş bir endişeniz varsa ya da bir denetim makamı gerektiriyorsa, yerinde veya uygulamalı bir inceleme talep edilebilir. İnceleme makul bir bildirim süresiyle, mesai saatleri içinde, hizmeti makul olmayan biçimde aksatmadan ve gizlilik kaydıyla düzenlenir; bir kişisel veri ihlalinin ardından yapılmadıkça veya bir denetim makamı gerektirmedikçe masrafları size aittir.

Atelye'nin SOC 2 raporu, ISO 27001 belgesi veya üçüncü taraf güvenlik tasdiki bulunmamaktadır ve Atelye aksini beyan etmez.

14. Uluslararası aktarımlar

Burada önemli olan yön, sezgiye aykırı olanıdır. Platformun sunucuları Avrupa Birliği içindedir — işlem gücü ve veritabanları Frankfurt'ta Hetzner'da, nesne depolama AB'de Cloudflare R2'de. İşletmeci ise Avrupa Komisyonu'nun yeterlilik kararı vermediği bir üçüncü ülke olan Türkiye'de yerleşiktir. Dolayısıyla güvence gerektiren aktarım, içeriye doğru olandır — AB'de yerleşik bir veri sorumlusu olarak kişisel verilerinizin Türkiye'deki bir veri işleyenin erişimine açılması — hiçbir zaman AB dışına çıkmayan saklama yeri değil.

Güvence. Bu aktarım için taraflar, 4 Haziran 2021 tarihli (AB) 2021/914 sayılı Komisyon Uygulama Kararı'nda yer alan kişisel verilerin üçüncü ülkelere aktarımına ilişkin Standart Sözleşme Maddeleri'ni, Modül İki (Veri Sorumlusundan Veri İşleyene) olarak benimser. Bu maddeler atıf yoluyla bu Ek Sözleşme'ye dâhil edilmiştir ve onun bir parçasını oluşturur. Maddeler yayımlandıkları hâliyle uygulanır; bu Ek Sözleşme'deki hiçbir hüküm onlarla çelişmeyi veya onları sınırlamayı amaçlamaz ve çelişme hâlinde maddeler üstün gelir.

Bu maddelerin uygulanmasında:

• Veri ihracatçısı sizsiniz. Veri ithalatçısı Atelye ticari adıyla Murat Gözel'dir.
• Madde 7 (katılım maddesi) uygulanır.
• Madde 9 (alt işleyenlerin kullanımı): Seçenek 2, genel yazılı yetkilendirme uygulanır ve bildirim süresi 30 gün olarak belirlenmiştir (9. bölüm).
• Madde 11 (başvuru yolları): bağımsız uyuşmazlık çözümüne ilişkin isteğe bağlı paragraf uygulanmaz.
• Madde 17 (uygulanacak hukuk): İrlanda hukuku.
• Madde 18 (yetkili mahkeme ve yargı yetkisi): İrlanda mahkemeleri.
• Ek I, bu Ek Sözleşme'nin 15. bölümüdür. Ek II, 16. bölümdür. Ek III, 17. bölümdür.

Birleşik Krallık'ta yerleşikseniz, aynı aktarıma AB Standart Sözleşme Maddeleri'ne ilişkin Birleşik Krallık Uluslararası Veri Aktarımı Ek Sözleşmesi uygulanır ve yukarıdaki hükümler o Ek Sözleşme'nin gerektirdiği değişikliklerle okunur. İsviçre'de yerleşikseniz maddeler, İsviçre Federal Veri Koruma ve Bilgi Komiserliği'nin yayımladığı değişikliklerle okunur.

Aktarım etkisi — Türkiye. Taraflar aktarımın koşullarını değerlendirmiştir:

• Fiilen aktarılan nedir. Veriler AB'de saklanmaya devam eder. Sınırı aşan şey, Türkiye'den yapılan uzaktan yönetim ve destek erişimidir; bu erişim kimlik doğrulamalı ve şifreli bağlantılar üzerinden, 20. bölümde adı geçen tek işletmeci tarafından ve yalnızca eklemeye açık bir faaliyet kaydına işlenerek gerçekleşir.
• Varış ülkesindeki hukuki çerçeve. Türkiye'nin genel bir veri koruma kanunu (6698 sayılı Kişisel Verilerin Korunması Kanunu) vardır; Türkiye Avrupa İnsan Hakları Sözleşmesi'ne ve 108 sayılı Sözleşme'ye taraftır. Türk ceza muhakemesi ve millî güvenlik mevzuatı, belirli hâllerde ve genellikle hâkim kararına bağlı olarak kamu makamlarının veri talep etmesine veya gözetim yapmasına izin verir. Türkiye, FISA 702. bölüm veya 12333 sayılı Başkanlık Kararnamesi gibi Amerika Birleşik Devletleri gözetim mevzuatına tabi değildir.
• Gerçekçi maruziyet. Atelye, işletme yazılımı sunan bir şahıs şirketidir. Bir telekomünikasyon işletmecisi değildir, verilerin kayıtlı barındırma sağlayıcısı değildir ve sürekli veri sağlama veya iletişimin denetlenmesi yükümlülüğüne tabi bir kuruluş kategorisinde yer almaz. AB altyapısında tutulan verilere ulaşmak isteyen bir Türk makamının işletmeciyi şahsen zorlaması gerekir.
• Tamamlayıcı tedbirler. Duran veriler AB altyapısında kalır. İşletmeci ile üretim sistemleri arasındaki trafik aktarım hâlinde şifrelenir. Veritabanı yedekleri, sunucudan çıkmadan önce istemci tarafında şifrelenir ve anahtar depolama sağlayıcısının dışında tutulur. Müşteri verileri veritabanı satır düzeyinde yalıtılmıştır; bu nedenle bir erişim toptan değil, kapsamı sınırlı olur. Yönetimsel işlemler eklemeye açık bir kayda işlenir.
• Kamu makamı erişimine ilişkin taahhütler. Atelye, yasaklanmadıkça, kişisel verilerinize yönelik hukuken bağlayıcı her kamu makamı talebini size bildirir; hukuka aykırı veya aşırı görünen bir talebe, ihtiyati tedbir talebi dâhil olmak üzere itiraz eder; ve yalnızca talebin kapsadığı asgari veriyi açıklar. Bildirim yasağı bulunması hâlinde Atelye muafiyet talep eder ve yasak sona erdiğinde size verilmek üzere bir kayıt tutar.

Sonraki aktarımlar. Atelye kişisel verilerinizi AEA dışındaki bir alt işleyene aktardığında, bunu o alt işleyenin kendi 46. madde güvencesi kapsamında — her hâlde Standart Sözleşme Maddeleri veya eşdeğer bir mekanizma altında — yapar. Her alt işleyenin işleme yeri 17. bölümde belirtilir.

Bu bölüm, açıklanan olgular temelinde iyi niyetle benimsenmiş bir tutumu ortaya koyar. Size verilmiş bir hukuki görüş değildir ve veri sorumlusu olarak kendi değerlendirmenizin yerini almaz.

15. Ek I — İşlemenin tanımı

A. Tarafların listesi.

• Veri ihracatçısı (veri sorumlusu): platformda kayıtlı hesapla belirlenen Müşteri ve o hesapta tutulan iletişim bilgileri. Aktarımla ilgili faaliyetler: Atelye platformunun içerik yönetimi, ticaret ve yapay zekâ destekli mesajlaşma için kullanılması. Rol: veri sorumlusu.
• Veri ithalatçısı (veri işleyen): Atelye ticari adıyla şahıs şirketi Murat Gözel. Adres: Akarca Mah. Fatma Seher Hanım Cad. Yuvam Akarca B1-B1 No: 98 İç Kapı No: 9 41310 İzmit Kocaeli Türkiye. İletişim: privacy@atelye.net. Aktarımla ilgili faaliyetler: platformun sunulması, güvenliğinin sağlanması ve desteklenmesi. Rol: veri işleyen.

B. Aktarımın tanımı.

• İlgili kişi kategorileri: 5. bölümde belirtildiği gibi.
• Kişisel veri kategorileri: 4. bölümde belirtildiği gibi.
• Özel nitelikli veriler: yoktur. Platform bunları gerektirmez ve Kabul Edilebilir Kullanım Politikası bunların görüşme yüzeyinden iletilmesini yasaklar.
• Aktarımın sıklığı: hizmet süresince sürekli.
• İşlemenin niteliği ve amacı: 3. bölümde belirtildiği gibi.
• Saklama: hesap süresince, ardından 12. bölümde belirtildiği gibi. Görüşme kayıtları, daha erken silme talimatı vermediğiniz sürece — ki bu talimat her zaman yerine getirilir — son gelen mesajdan itibaren beş yıl saklanır. Medya ve üretilen taslaklar ait oldukları görüşmeyi izler.
• Alt işleyenlere aktarımlar: konu, nitelik, süre ve yer bakımından 17. bölümde belirtildiği gibi.

C. Yetkili denetim makamı. Standart Sözleşme Maddeleri'nin 13. Maddesi uyarınca belirlenir — veri ihracatçısı olarak yerleşik olduğunuz Üye Devletin denetim makamı; AB'de yerleşik değilseniz ancak 27. madde uyarınca bir temsilci atadıysanız, o temsilcinin yerleşik olduğu Üye Devletin denetim makamı.

16. Ek II — Teknik ve idari tedbirler

Atelye'nin veri ithalatçısı sıfatıyla uyguladığı, verilerin güvenliğini sağlamaya yönelik olanlar dâhil teknik ve idari tedbirler, atıf yoluyla buraya dâhil edilen ve kendi sürümü ile yürürlük tarihini taşıyan Güvenlik Genel Bakışı sayfasında ortaya konmuştur.

O sayfa bu ek olarak okunmak üzere yazılmıştır. Müşteri yalıtımı, yetkilendirme, kimlik doğrulama, sır yönetimi, ağ ve aktarım güvenliği, şifreleme, faaliyet kaydı, izleme, yedekleme ve geri yükleme, değişiklik kontrolü ve bir güvenlik açığının bildirilmesi sürecini açıklar. Ayrıca Atelye'nin sahip olmadığı güvenceleri de yumuşatmadan belirtir.

17. Ek III — Alt işleyenler

9. bölüm uyarınca yetkilendirilen alt işleyenlerin listesi; her birinin rolü, işlediği kişisel veri kategorileri ve işleme yeriyle birlikte /legal/subprocessors adresinde yayımlanır, sürümlenir ve atıf yoluyla buraya dâhil edilmiştir.

Bu listedeki değişiklikler 9. bölümdeki 30 günlük bildirim ve itiraz sürecine tabidir.

18. Kendi gizlilik bildiriminiz için açıklama metni

Ne yazmanız gerektiğini size söylemedikçe, kendi gizlilik bildiriminizde Atelye'yi veri işleyen olarak adlandıramazsınız. Aşağıdaki iki paragraf, bildiriminize kopyalanıp ona uyacak şekilde düzenlenmek üzere yazılmıştır. İngilizce ve Türkçe olarak sunulmaktadır.

Paragraflar bilinçli olarak bir hukuki dayanak belirtmez. İşlemenize hangi hukuki dayanağın uygulanacağı, veri sorumlusu olarak sizin belirlemenizdir — işletmenize ve ilgili kişilerle ilişkinize bağlıdır ve sizin adınıza seçmek bize düşmez.

İngilizce.

Who processes your data. We use Atelye, a business platform operated by Murat Gözel, a sole proprietor established in Türkiye, to manage our website content, our catalogue and orders, and the messages you send us on Instagram, Facebook Messenger and WhatsApp. Atelye acts as our processor and handles personal data only on our instructions. The data concerned may include the content of your messages and any media you send, the identifier the messaging platform assigns to you, your contact and order details where you place an order, and the times of those interactions. It is stored on servers in the European Union.

Artificial intelligence and sub-processing. Replies to your messages may be drafted with the help of artificial intelligence, and a member of our team reviews and approves every reply before it is sent. To do this, Atelye passes the content of the conversation to third-party AI providers acting as its sub-processors. Atelye publishes the full list of its sub-processors at https://atelye.net/legal/subprocessors and the data processing terms that govern them at https://atelye.net/legal/dpa. You can ask to speak to a person at any time.

Türkçe.

Verilerinizi kim işliyor. Web sitemizin içeriğini, kataloğumuzu ve siparişlerimizi ve Instagram, Facebook Messenger ile WhatsApp üzerinden bize gönderdiğiniz mesajları yönetmek için, Türkiye'de yerleşik şahıs şirketi Murat Gözel tarafından işletilen Atelye adlı iş platformunu kullanıyoruz. Atelye, veri işleyenimiz sıfatıyla hareket eder ve kişisel verileri yalnızca bizim talimatlarımız doğrultusunda işler. Söz konusu veriler; mesajlarınızın içeriğini ve gönderdiğiniz medya dosyalarını, mesajlaşma platformunun size atadığı kimlik bilgisini, sipariş vermeniz hâlinde iletişim ve sipariş bilgilerinizi ve bu etkileşimlerin zamanını kapsayabilir. Bu veriler Avrupa Birliği'nde bulunan sunucularda saklanır.

Yapay zekâ ve alt işleyenler. Mesajlarınıza verilecek yanıtlar yapay zekâ desteğiyle taslak hâline getirilebilir; gönderilmeden önce her yanıt ekibimizden bir kişi tarafından incelenip onaylanır. Bunun için Atelye, görüşmenin içeriğini kendi alt işleyeni sıfatıyla hareket eden üçüncü taraf yapay zekâ sağlayıcılarına aktarır. Atelye, alt işleyenlerinin tam listesini https://atelye.net/tr/legal/subprocessors adresinde, bunlara uygulanan veri işleme şartlarını ise https://atelye.net/tr/legal/dpa adresinde yayımlar. Dilediğiniz an bir kişiyle görüşmeyi talep edebilirsiniz.

Türkçe paragraflar kolaylık sağlamak amacıyla sunulan bir çeviridir. Bunlar bir KVKK aydınlatma metni değildir ve öyle sunulmamalıdır — 6698 sayılı Kanun kapsamındaki aydınlatma metni, farklı zorunlu içeriğe sahip ayrı bir belgedir ve onu hazırlamak veri sorumlusu olarak sizin sorumluluğunuzdadır.

19. Bu ek sözleşmedeki değişiklikler

Atelye bu Ek Sözleşme'yi değiştirebilir. Esaslı bir değişiklikte yeni sürümü ileri bir yürürlük tarihiyle yayımlar, yürürlükten kalkan sürümü /legal/archive/dpa/<sürüm> adresine taşır ve yeni sürüm yürürlüğe girmeden en az 30 gün önce hesabınızda kayıtlı adrese bildirimde bulunur. Esaslı olmayan değişiklikler — düzeltmeler, biçimlendirme, bağlantı onarımları — sürüm değişikliği olmaksızın yapılır.

Yeni bir sürüm yürürlüğe girdikten sonra platformu kullanmaya devam etmeniz, o sürümün kabulü anlamına gelir. Esaslı bir değişikliği kabul etmiyorsanız, yürürlüğe girmeden önce Kullanım Koşulları uyarınca sözleşmeyi feshedebilirsiniz; verilerinizi 12. bölüm düzenler.

20. İletişim

Veri koruma konuları: privacy@atelye.net

İmzalı nüsha talebi dâhil sözleşmesel konular: legal@atelye.net

Güvenlik konuları, güvenlik açığı bildirimleri dâhil: security@atelye.net

Atelye ticari adıyla Murat Gözel — Akarca Mah. Fatma Seher Hanım Cad. Yuvam Akarca B1-B1 No: 98 İç Kapı No: 9 41310 İzmit Kocaeli Türkiye — +90 532 590 2141

GDPR'nin 27. maddesi uyarınca bir temsilci atanmamıştır. Gizlilik Politikası mevcut durumu ve bir temsilcinin hangi hâllerde atanacağını belirtir.