Yasal Merkez / Sözleşmeler
Veri İşleme Sözleşmesi
Yaklaşan sürüm. Yeni müşteriler ve yürürlükteki sürümü henüz onaylamamış hesaplar için kabul tarihinden, diğer mevcut müşteriler için 13.11.2026 tarihinden itibaren geçerlidir. Diğer mevcut müşteriler için henüz yürürlükte değildir. Şu an yürürlükte olan sürüm 1.0: mevcut metni oku.
Son değişiklik: Müşterinin veri sorumlusu yükümlülükleri (md. 3A) ve sorumluluk dağılımı (md. 11) eklendi; silinen verilerin felaket kurtarma yedeklerinde en çok 13 ay kalabileceği belirtildi (md. 9); hizmet sağlayıcı marka adıyla anıldı; alt işleyenler kategori düzeyinde, ad ve unvanlı liste talep üzerine e-postayla (md. 6); güvenlik tedbirleri genel hatlarıyla yazıldı, ayrıntısı talep üzerine (md. 5); yurt dışına aktarım maddesi şifreli yedekleri ve işlem e-postasını da kapsayacak şekilde düzeltildi ve mobil anlık bildirim iletimi (ABD) eklendi (md. 7), işlenen verilere mobil bildirim cihaz bilgisi (md. 2) ve Müşterinin aydınlatma yükümlülüğüne bu aktarım (md. 3A) eklendi; alt işleyenlerin hizmetlerinde sağlayıcının kendi hizmet koşullarının da uygulandığı yazıldı (md. 6) (önceki sürüm 1.0).
Bu Veri İşleme Sözleşmesi ("VİS"), Kullanım Koşulları'nın ayrılmaz parçasıdır ve mirAi'yi kullanan müşterinin ("Müşteri") kendi alıcılarına ve çalışanlarına ait kişisel verilerin, hizmet sağlayıcı mirAi tarafından işlenmesini düzenler. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 12/2 uyarınca veri işleyenin yükümlülüklerini belirler.
1. Roller
- Müşteri, pazaryeri ve mağaza hesaplarından mirAi'ye aktardığı alıcı verileri ile panele eklediği çalışan verileri bakımından veri sorumlusudur.
- mirAi bu veriler bakımından veri işleyendir; verileri yalnız Müşteri adına, Müşterinin talimatları ve hizmetin sunulması amacıyla işler.
- mirAi'nin Müşteriye ait hesap, iletişim ve faturalama verilerini işlemesi bu VİS'in değil, KVKK Aydınlatma Metni'nin konusudur (mirAi orada veri sorumlusudur).
2. İşlemenin konusu ve kapsamı
| İlgili kişi grupları | Müşterinin pazaryeri/mağaza alıcıları; panele erişim verilen Müşteri çalışanları. |
|---|---|
| Veri kategorileri | Alıcı adı-soyadı, teslimat ve fatura adresi, telefon (pazaryerinin paylaştığı ölçüde), sipariş, iade ve kargo bilgileri, müşteri soruları ve yanıtları; çalışanlar için ad, e-posta, yetki ve işlem kayıtları; mobil uygulamada bildirimlere izin vermişlerse ayrıca cihazın bildirim belirteci, platformu, cihaz adı, uygulama sürümü, bildirim tercihleri, cihaz kaydının oluşturulma ve son yenilenme zamanı. |
| Amaç | Sipariş, iade, stok, fiyat, kârlılık, hakediş, fatura hazırlığı ve kargo süreçlerinin tek panelden yönetilmesi; Müşterinin açıkça kullandığı özellikler (ör. yapay zekâ yanıt taslağı). |
| Süre | Müşterinin aboneliği ve hesabı süresince; sona erdiğinde madde 9'a göre. |
3. Talimatlar
mirAi kişisel verileri yalnız bu VİS'te, Kullanım Koşulları'nda ve Müşterinin panel üzerinden verdiği talimatlar çerçevesinde işler. Bir talimatın mevzuata aykırı olduğunu düşünürse Müşteriyi bilgilendirir. mirAi verileri kendi amaçları için kullanmaz, satmaz ve pazarlama amacıyla üçüncü kişilerle paylaşmaz.
3A. Müşterinin yükümlülükleri
Müşteri, veri sorumlusu olarak: (a) alıcı ve çalışan verilerini KVKK md. 5 ve 6'daki işleme şartlarından birine dayanarak işlediğini ve mirAi'ye aktardığını; (b) ilgili kişileri KVKK md. 10 uyarınca, işlemede yazılım hizmet sağlayıcılarından yararlanıldığını ve madde 7'deki yurt dışına aktarımı (şifreli yedek saklama ve işlem e-postası; kullanılıyorsa yapay zekâ özellikleri ve mobil anlık bildirim iletimi) da kapsayacak şekilde aydınlattığını; (c) mirAi'ye verdiği talimatların mevzuata uygun olduğunu; (d) panel dışına aktardığı verilerin (Excel dosyası, çıktı, kargo etiketi gibi) güvenliğinin kendisine ait olduğunu ve (e) serbest metin alanlarına ve yapay zekâ özelliklerine gereğinden fazla kişisel veri girmeyeceğini kabul eder.
4. Gizlilik
Verilere yalnız hizmetin sunulması ve destek için gerekli olan yetkili kişiler erişir. mirAi, KVKK md. 12/4 uyarınca öğrendiği kişisel verileri başkasına açıklayamaz ve işleme amacı dışında kullanamaz.
5. Güvenlik tedbirleri (KVKK md. 12/1)
- Her müşterinin verisi diğer müşterilerin verisinden ayrı tutulur; her istek oturumdaki müşteriye bağlanır.
- Pazaryeri ve entegrasyon erişim bilgileri şifreli saklanır.
- Parolalar geri döndürülemez biçimde saklanır; iki adımlı doğrulama kullanılabilir.
- Trafik HTTPS ile şifrelenir; oturumlar yaygın tarayıcı tabanlı saldırılara karşı korunur.
- Giriş denemeleri kayıt altına alınır ve kötüye kullanıma karşı korunur; yeni cihazdan girişte e-posta bildirimi gönderilir.
- Çalışan hesapları yetki bazında kısıtlanabilir ve erişimi kaldırılan çalışanın oturumu düşer.
Özet: Güvenlik. Tedbirlerin ayrıntısı, gizlilik yükümlülüğü altında Müşterinin talebi üzerine destek@usemir.ai adresinden paylaşılır.
6. Alt işleyenler
Müşteri, Alt İşleyenler sayfasında kategorileri, amaçları ve bulundukları ülkeler listelenen hizmet sağlayıcıların kullanılmasına genel izin verir. Sağlayıcıların ad, unvan ve konum bilgisini içeren güncel liste, Müşterinin talebi üzerine destek@usemir.ai adresinden e-postayla iletilir. mirAi yeni bir alt işleyen eklemeden en az 30 gün önce listeyi günceller ve Müşteriyi e-postayla bilgilendirir; Müşteri bu süre içinde haklı sebeple itiraz edebilir, itiraz çözülemezse aboneliğini cezasız sonlandırabilir. Alt işleyenlerin hizmetlerinde ilgili sağlayıcının kendi hizmet koşulları da uygulanır.
7. Yurt dışına aktarım
Şifreli yedek kopyalar ve işlem e-postası gönderimi için yurt dışında (ABD ve Avrupa Birliği) bulunan hizmet sağlayıcılardan (alt işleyen) yararlanılır:
- Şifreli yedek saklama (ABD): Müşterinin alıcılarına ve çalışanlarına ait kişisel veriler dahil Hizmetteki verilerin şifrelenmiş yedek kopyaları; felaket durumunda geri yükleme amacıyla.
- İşlem e-postası gönderimi (Avrupa Birliği): e-posta alıcısının adresi ve adı ile e-postanın içeriği (ör. çalışan hesaplarına giden giriş ve güvenlik bildirimleri); bildirimlerin iletilmesi amacıyla.
- Yapay zekâ destekli özellikler (ABD; isteğe bağlı): yalnız Müşteri özelliği kullandığında, taslak üretilecek metin (ör. alıcı sorusu, ürün bilgisi ve geçmiş yanıt örnekleri; bilinen kişisel tanımlayıcılar gönderimden önce maskelenir, metnin içindeki diğer kişisel veriler maskelenmeyebilir); yanıt taslağı üretilmesi amacıyla. Müşteri kendi yapay zekâ anahtarını tanımlarsa metin, Müşterinin seçtiği sağlayıcıya ve onun bulunduğu ülkeye iletilir. Özellik kullanılmadıkça bu amaçla aktarım gerçekleşmez.
- Mobil anlık bildirim iletimi (ABD; isteğe bağlı): yalnız mobil uygulamada bildirimlere izin verilmişse, cihazın bildirim belirteci ve bildirim içeriği (ör. sipariş ve soru özeti); bildirimlerin cihaza iletilmesi amacıyla.
Yurt dışına aktarım KVKK md. 9 hükümlerine tabidir. Müşteri, alıcılarına karşı gerekli aydınlatmayı yapmaktan sorumludur.
8. İlgili kişi talepleri ve ihlal bildirimi
- mirAi, ilgili kişilerin KVKK md. 11 kapsamındaki taleplerini karşılamasında Müşteriye makul ölçüde yardımcı olur; kendisine doğrudan gelen talebi gecikmeksizin Müşteriye iletir.
- Müşteri verilerini etkileyen bir kişisel veri ihlalini fark ettiğinde mirAi, Müşteriyi gecikmeksizin ve en geç 72 saat içinde bilgilendirir; bildirim, bilinen ölçüde ihlalin niteliğini, etkilenen veri kategorilerini ve alınan önlemleri içerir. Kurula bildirim yükümlülüğü veri sorumlusu olarak Müşteriye aittir.
9. Sözleşmenin sona ermesi, iade ve silme
Hesap kapatıldığında veya Müşteri talep ettiğinde, Müşteriye ait kişisel veriler, yasal saklama yükümlülükleri saklı kalmak üzere, talepten itibaren 30 gün içinde silinir veya anonim hâle getirilir. Müşteri, silmeden önce talep ederse verilerinin makul bir biçimde (ör. dışa aktarım dosyası) kendisine iletilmesini isteyebilir. Silinen veriler, yalnızca felaket durumunda geri yükleme amacıyla tutulan ve erişimi yetkili kişilerle sınırlı yedeklerde (bulut yedekleri ayrıca şifrelidir) yedek döngüsü sonuna kadar, en çok 13 ay kalabilir; bu kopyalar yalnız yedeğin bütünlüğünü doğrulamak ve geri yüklemek için kullanılır, başka hiçbir amaçla işlenmez ve döngü sonunda silinir.
10. Denetim
mirAi, bu VİS'e uyumu göstermek için makul bilgi ve belgeyi yazılı talep üzerine Müşteriye sağlar.
11. Sorumluluk ve diğer hükümler
11.1. Her taraf, bu VİS'ten ve KVKK'dan doğan kendi yükümlülüklerinin ihlalinden sorumludur. KVKK md. 12/2 uyarınca veri güvenliği tedbirleri bakımından ilgili kişilere ve Kurula karşı öngörülen müşterek sorumluluk saklıdır; taraflar arasındaki iç ilişkide sorumluluk tarafların kusuru oranında paylaşılır ve ödeme yapan taraf diğerine bu oranda rücu edebilir.
11.2. Kullanım Koşulları'ndaki sorumluluk sınırları bu VİS'e de uygulanır; kast veya ağır kusur hâlleri ile emredici hükümler saklıdır.
11.3. Uygulanacak hukuk ve yetki bakımından Kullanım Koşulları uygulanır. İletişim: destek@usemir.ai
English summary
This Data Processing Agreement forms part of the Terms of Use. For the personal data of the customer's buyers and staff, the customer is the data controller and mirAi acts as data processor under Turkish Personal Data Protection Law No. 6698 (KVKK). mirAi processes data only on the customer's instructions to provide the service, keeps each customer's data separate from other customers' data, stores integration credentials encrypted, uses HTTPS and supports two-factor authentication. Sub-processors are listed publicly by category; the current list with names and locations is provided on request by e-mail, and changes are announced at least 30 days in advance. Encrypted backups (USA) and transactional e-mail (EU) use service providers abroad; optional AI features may transfer the relevant text, with known personal identifiers masked (other personal data in the text may not be masked), to an AI provider in the USA, or, with the customer's own AI key, to the provider the customer chose. If notifications are allowed in the mobile app, the device push token and the notification content (such as order or question summaries) are sent to a push notification delivery provider in the USA. Transfers abroad are subject to Article 9 of the KVKK. Personal data breaches affecting customer data are notified without undue delay and within 72 hours. On termination or request, customer personal data is deleted or anonymised within 30 days, subject to statutory retention. Deleted data may remain in access-restricted backups kept solely for disaster recovery (cloud backups are additionally encrypted) until the end of the backup cycle, for at most 13 months; these copies are used only to verify backup integrity and to restore, are not processed for any other purpose and are deleted at the end of the cycle. The customer confirms that it has a legal basis for the data, has informed data subjects (including about service providers and transfers abroad for encrypted backups, transactional e-mail and, if used, AI features and mobile push notifications) and is responsible for data exported from the panel. Each party is liable for its own breaches; joint liability towards data subjects and the Board under KVKK art. 12/2 is preserved, and between the parties liability is shared in proportion to fault, with a right of recourse.
This summary is for convenience; the Turkish text prevails.