Veri İşleme Sözleşmesi

17 Ekim 2026 güncellemesi: EK-3’te gerçek zamanlı sesli asistan ve yedek döküm için kullanılan Google hizmeti, 15 Ekim 2026’dan itibaren küresel Gemini API yerine Vertex AI’ın Avrupa Birliği bölgesidir; ilgili satır buna göre güncellendi. Sayfadaki 23 Eylül 2026 tarihli PDF önceki metni içerir.

Bu Veri İşleme Sözleşmesi, genel çevrim içi Hizmet Sözleşmesi kapsamında kabul edildiği ölçüde uygulanır. Ayrı kurumsal siparişlerde Kurumsal Veri İşleme Sözleşmesi ve o siparişin alt işleyen listesi esas alınır. Bir sipariş için kabul edilen metin ve sürüm, sipariş kaydında gösterilir.

KEP (kayıtlı elektronik posta): ekoticaret@hs01.kep.tr

1. Taraflar, yürürlük ve kapsam

Bu Sözleşme, Comturk AI Hizmet Sözleşmesi kapsamında müşteri olarak tanımlanan gerçek veya tüzel kişi (“Müşteri”) ile EKO MÜŞAVİRLİK MÜMESSİLLİK İNŞAAT İTHALAT VE İHRACAT SANAYİ TİCARET LİMİTED ŞİRKETİ (“EKO”) arasında, Müşteri adına gerçekleştirilen kişisel veri işleme faaliyetlerini düzenler. Düzenlenme tarihi 15 Eylül 2026’dır. Taraflar bakımından yürürlük, Hizmet Sözleşmesi ve bu ekin kabul edildiği tarihte başlar.

EKO’nun MERSİS numarası 0330000931700017, İstanbul Ticaret Sicili numarası 691735-0; merkez adresi Esentepe Mah. Büyükdere Cad. Ferko Signature No:175 İç Kapı No:7 Şişli/İstanbul; iletişim adresi support@comturk.com’dur. Müşterinin kimlik, adres, temsil ve iletişim bilgileri kabul ettiği sipariş ve Hizmet Sözleşmesi kayıtlarıyla belirlenir. Bu kayıtlar, seçilen hizmet ve etkin entegrasyonları gösteren bilgilerle birlikte Sözleşmenin işleme kapsamını oluşturur. Vergi dairesi Zincirlikuyu, vergi kimlik numarası 3300009317'dir.

Müşteri, işleme amaç ve vasıtalarını belirlediği son kullanıcı içerikleri bakımından veri sorumlusu; EKO, bu içerikleri Müşterinin yetkisine ve hukuka uygun talimatına dayanarak işlediği ölçüde veri işleyendir. EKO’nun kendi hesap, satış, faturalama, ödeme, güvenlik ve pazarlama amaçlarıyla işlediği veriler bu talimat ilişkisinden ayrıdır; bu faaliyetlerde kendi veri sorumlusu yükümlülükleri uygulanır.

Bu Sözleşme 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili mevzuat çerçevesinde yorumlanır. Kişisel verilerin korunması bakımından genel hizmet koşullarıyla çelişki varsa bu Sözleşme uygulanır; emredici hukuk ve ilgili kişilerin hakları her durumda saklıdır. Bu metin, Kurulun yurt dışına aktarım için ilan ettiği standart sözleşmelerden biri değildir ve onların yerine geçmez.

Kanunen özel bir şekil aranmadıkça bu Sözleşme, metin ve ekleri önceden incelemeye ve saklamaya sunularak Müşterinin kendisi veya temsile yetkili kişisi tarafından elektronik ortamda kabul edilebilir. EKO kabul edilen metin ve eklerin sabit nüshasını Müşteriye sağlar; kabulü verenin kimliğini ve yetkisini, kabul zamanını ve hangi metnin kabul edildiğini gösterebilecek kayıtları hukuka uygun biçimde saklar. Hesaba veya telefon numarasına erişim tek başına şirketi temsil yetkisini kanıtlamaz. Sözleşme kabulü, ilgili kişilerin açık rızası veya ticari elektronik ileti onayı değildir. Kurul standart sözleşmelerinin imza şartları ile belirli bir talimat veya yetkilendirme için gereken özel şekil saklıdır.

2. İşlemenin konusu ve talimatlar

İşleme; seçilen hizmetin çalıştırılması için sesli ve yazılı iletişimlerin alınması, iletilmesi, gerçek zamanlı değerlendirilmesi, talep edilen döküm ve özetlerin oluşturulması, randevu ve müşteri kayıtlarının tutulması, içeriğin yetkili kullanıcılara sunulması ve sözleşme sonunda iade veya silinmesini kapsar. Kişi ve veri kategorileri ile süreler Ek 1’de, hizmet sağlayıcı kapsamı Ek 2’de açıklanmıştır.

Sipariş, bu Sözleşme, Müşterinin yetkili kişilerince yapılan hizmet ayarları ve EKO’ya kayıtlı iletişim kanallarından gönderilen açık talepler belgelendirilebilir talimat oluşturur. Talimat yalnız talimatı verenin yetkisi, satın alınan hizmet ve hukuki sınırlar içinde geçerlidir. Bir arama listesini yüklemek, listedeki kişilerden gerekli onayların alındığını tek başına ispat etmez.

EKO talimatları izler; belirgin biçimde hukuka aykırı olduğunu değerlendirdiği bir talimatı uygulamadan önce Müşteriye nedenini bildirir. Risk devam ediyorsa ilgili işlemle sınırlı durdurma uygulanabilir. Kanuni bir yükümlülük nedeniyle talimat dışında işlem gerekirse, bildirim hukuken yasaklanmadıkça Müşteri önceden bilgilendirilir. Durumun aciliyeti ön bildirime izin vermiyorsa gecikmeksizin sonradan bilgi verilir.

Yapay zekânın ürettiği yanıt, döküm, özet, etiket, sınıflandırma veya kişi hakkındaki çıkarım; kaynağın aynısı veya doğrulanmış olgu olarak kabul edilemez. Sistem, gerçek olmayan kişisel bilgileri doğruymuş gibi üretebilir; konuşma tanıma sırasında kişi, sayı, tarih, tutar, olumsuzluk veya bağlam yanlış anlaşılabilir. Bu tür türetilmiş kayıtların işlenmesi de kişisel veri işleme kurallarına tabidir. Müşterinin hangi amaçla kullanacağına ilişkin talimatı, çıktının doğruluğunu veya hukuka uygunluğunu tek başına kanıtlamaz.

Müşteri, üretilmiş kayıtla kaynak veri arasındaki farkı gözetir; kişi hakkında önemli sonuç doğuran bir karar veya işlemde çıktıyı kullanmadan önce kaynağı, kimlik eşleşmesini, bağlamı ve güncelliği yetkili insan incelemesiyle doğrulatır. Uzmanlık gerektiren değerlendirme ilgili uzmana sunulur. Gerçek bir görüşmede bir ifadenin geçmiş olması, o ifadenin içerdiği iddianın doğru olduğu anlamına gelmez. Hukuki yükümlülükler ve ilgili kişinin hakları saklı kalmak üzere doğrulanmamış veya hatalı bir çıkarım, kesin bilgi olarak kullanılmaz.

EKO, veri işleyenden veri işleyene yurt dışı aktarımında, adına işlem yaptığı veri sorumlusunun kimliğini ve işleme için gerekli irtibat ve talimat bilgilerini, aktarım kapsamında veri işleme başlamadan önce alıcıya bildirir. Müşterinin hukuka uygun talimatlarını ve uygulanabilir değişikliklerini alıcıya iletir; kendi ilave talimatları Müşterinin talimatlarıyla çelişemez. Alıcının talimatları yerine getiremediğine ilişkin bildirimini gecikmeksizin Müşteriye aktarır ve gerekli düzeltme veya durdurmayı değerlendirir. EKO'nun bu Sözleşmede üstlendiği, alıcının işlemesine uygulanabilir veri koruma yükümlülüklerinin alıcı tarafından da üstlenilmesi sağlanır.

3. Müşterinin yükümlülükleri

Müşteri, işleme için Kanun’un 5. maddesine; özel nitelikli veri varsa ayrıca 6. maddesine uygun hukuki sebebi belirlemekle yükümlüdür. Veri toplama, görüşme kaydı, analiz ve yurt dışına aktarım birbirinden ayrı değerlendirilir. Bir satış sözleşmesinin bulunması, bütün görüşme katılımcılarının verilerinin her amaçla işlenmesine izin vermez.

Müşteri, görüşme katılımcılarına kendi kimliğini, amaçlarını, hukuki sebeplerini, alıcı gruplarını, toplama yöntemlerini ve haklarını açıklayan aydınlatmayı zamanında sağlar. Yapay zekâ kullanımı, gerçek zamanlı ses işleme, kalıcı döküm ve ham ses kaydı açıkça ayrılmalıdır. EKO’nun kendi müşterilik ilişkisine ait aydınlatması, Müşterinin kendi muhataplarına yapması gereken aydınlatmanın yerine geçmez.

Yeni siparişte ham ses kaydı için başlangıç seçimi kapalıdır. Müşteri kaydı açtıracaksa hukuki sebebi, gerekli aydınlatmayı ve gerçek teknik akışı birlikte sağlar. Kayıt, kullanılan teknik yapıya göre çağrı cevaplandığında başlayabilir ve ilk kayıt bildiriminden önceki kısa sesi içerebilir. Kayıt başlangıcı ve bildirim akışı hizmet açılmadan önce doğrulanır. Kayıt başlamadan önce geçerli işleme şartı ve zamanında aydınlatma sağlanamıyorsa kayıt açılmaz. Yalnız görüşme içinde alınacak rızaya dayanılıyorsa, rıza öncesi kaydı engelleyen teknik akış bulunmadan kayıt başlatılmaz. Sonradan yapılan bildirim veya alınan rıza, önceki kaydı geriye dönük olarak hukuka uygun hâle getirmez. Açık rızaya dayanan kayıtta rıza verilmeden kayıt başlatılamaz; susma ve görüşmeye devam etme tek başına açık rıza sayılmaz.

Müşterinin kendi mal veya hizmetlerini ya da işletmesini tanıttığı ticari arama ve iletilerin göndereni Müşteridir. EKO bu faaliyetlerde santral, çağrı yönetimi ve yapay zekâ yazılımı sağlar; kampanyanın sahibi veya tanıtılan ürünün satıcısı hâline gelmez. Hizmetin satın alınması, liste yüklenmesi, numara bağlanması veya arama talimatı verilmesi, alıcıdan onay alındığını göstermez. EKO'nun kendi tanıtımı için aldığı onaylar Müşterinin kampanyasında kullanılamaz.

Müşteri, 6563 sayılı Kanun kapsamında gereken onayları kendi gönderen ve marka kimliği ile ilgili iletişim kanalı için aramadan veya gönderimden önce almaktan; İYS hizmet sağlayıcı ve marka kayıtlarını tamamlamaktan; onay ve ret durumunun doğruluğunu, güncelliğini ve ispatını sağlamaktan bizzat sorumludur. İYS dışında alınan ve kaydı zorunlu onaylar en geç üç iş gününde İYS'ye kaydedilir; gerekli kayıt tamamlanmadan onaya dayanılarak arama veya gönderim talimatı verilemez. Müşteri, gönderim öncesinde ilgili marka ve kanal için güncel onay ve ret durumunu kontrol eder veya hukuka uygun bir hizmet aracılığıyla kontrol edilmesini sağlar. Satın alınmış, kiralanmış, internetten derlenmiş veya yalnız müşteri ilişkisi nedeniyle saklanan liste, tek başına geçerli onay ya da kişisel veri işleme sebebi değildir.

Onay istisnasına dayanılan işlemde Müşteri aramanın amacını, istisnayı ve dayanak bilgilerini doğru bildirir, gerektiğinde belgelendirir. İşlem bildirimi reklama veya kampanyaya genişletilemez. Tacir veya esnaf istisnasının şartları somut alıcı için sağlanmalı; gerekli İYS kaydı ve ret kontrolü yine yapılmalıdır. Alıcının e-Devlet'e giriş yapmamış olması muafiyet sağlamaz. Ticari ileti onayı, KVKK kapsamındaki hukuki sebep ve aydınlatma yükümlülüklerinin yerine geçmez.

Müşteri, retleri kendi listelerinde ve bağlı sistemlerinde gecikmeksizin uygular; kendisine ulaşan retleri en geç üç iş günü içinde İYS'ye bildirir ve kanuni azami süre içinde ticari iletiyi durdurur. Kabul Edilebilir Kullanım Politikasındaki derhâl kampanya durdurma kuralı saklıdır. Ret, farklı numara, hesap veya kampanyayla aşılamaz. Müşteri izin, kayıt, kontrol ve istisna belgelerini ilgili kanuni süreler boyunca saklar; somut şikâyet, inceleme veya yetkili merci talebi için EKO'nun makul olarak istediği ölçüde gecikmeksizin sunar. EKO, kendisine ulaşan ret ve hak kullanım taleplerini ilgili Müşteriye gecikmeksizin iletir.

Bu görevler standart santral ve yapay zekâ hizmetinin alınmasıyla EKO'ya devredilmez; ancak EKO'nun fiilen yürüttüğü hizmetten doğan emredici yükümlülükleri de kaldırılamaz. EKO'ya kanunen düşen İYS uyumu, gönderim öncesi kontrol veya engelleme görevi ek hizmet ya da ücret şartına bağlanamaz. Gerekli onay, kayıt veya hukuka uygun istisna dayanağı bulunmayan ticari arama ve ileti talimatı yerine getirilemez; EKO bu işlemi başlatmaz, başlamışsa durdurur. Ayrıca sözleşmedeki ölçülü tedbirleri uygulayabilir.

Müşteri yetkileri düzenli gözden geçirir, gereksiz veri yüklemez, güncelliği gözetir ve saklama süresini amacı için gerekli olanla sınırlar. Başka bir sistemle entegrasyon kurmadan önce gönderilecek alanları, karşı tarafın rolünü ve aktarım şartlarını değerlendirir. Bu yükümlülükler, EKO’nun kendi güvenlik ve aktarım sorumluluklarını ortadan kaldırmaz.

Müşteri, kendi kontrolündeki bilgi tabanı, talimatlar ve kaynak kayıtların doğruluğunu ve güncelliğini gözetir; erişim, araç, işlem türü ve tutar yetkilerini amaç için gerekenle sınırlar. Kendi iş akışını ilk kez kullanıma açmadan önce ve önemli kaynak, talimat veya entegrasyon değişikliklerinden sonra, yanlış kişiye ait veri kullanılması, hatalı türetim ve yetki aşımı risklerini içeren makul testler yapar. Müşterinin bu kontrolleri, EKO'nun kendi yazılımı ve veri işleme faaliyetleri bakımından yerine getirmesi gereken doğruluk, güvenlik ve sözleşmeye uygun ifa yükümlülüklerini veya üstlendiği kurulum, teknik test ve bakım görevlerini ortadan kaldırmaz.

Kişiler hakkında önemli hukuki, mali veya benzeri sonuç doğuran işlemler yalnız doğrulanmamış otomatik çıktıya dayandırılmaz; işleme esas alınmadan önce yetkili insan, gerekli olduğunda ilgili uzman tarafından incelenir. Diğer iş akışlarında kullanımın niteliği ve riskiyle uyumlu izleme yapılır. Gerekli kontrolün hizmet içindeki işlevlerle veya Müşterinin kendi süreciyle sağlanamadığı işlem otomatik yürütülmez. Müşteri bildiği yanlış kişisel veri veya hatalı değerlendirmeyi kullanmayı ve etkilenen otomatik akışı gerektiği ölçüde gecikmeksizin durdurur; kontrolündeki kaynakları düzeltir, gerekli olay bilgileriyle EKO'yu bilgilendirir ve zararı azaltır. EKO kendi kontrolündeki işleme ve teknik hata bakımından gerekli inceleme, düzeltme ve koruma tedbirlerini alır. İş birliği, gereksiz kişisel veri çoğaltılmadan yürütülür.

4. EKO’nun veri işleme sınırları

EKO içeriği yalnız hizmeti sunmak, Müşterinin destek ve güvenlik taleplerini karşılamak, hukuka uygun talimatlarını yerine getirmek ve kanuni yükümlülüklerini karşılamak için gerekli ölçüde işler. İçeriğe personel erişimi görev, ihtiyaç ve yetkiyle sınırlanır. Yetkilendirilen kişilerin gizlilik yükümlülüğü, görev veya hizmet ilişkisi sona erdikten sonra da devam eder.

Müşteri içeriği ve görüşme katılımcılarının verileri; model eğitimi, üçüncü kişinin model geliştirmesi, bağımsız reklam profili veya kişisel veri satışı için kullanılamaz. Hizmetin işletilmesine yönelik fikrî hak lisansı bu amaçlara izin vermez. EKO kendi alt işleyenlerine de bu sınırı yansıtır. Kimliği yeniden belirlenebilir takma adlı veriler, anonim veri sayılarak bu sınırlardan çıkarılamaz.

EKO, verileri Müşterinin kullanım amacıyla bağdaşmayan şekilde birleştiremez veya başka müşteriye açıklayamaz. Teknik hata analizi mümkün olduğunca içerik yerine gerekli teknik kayıtlarla yürütülür. İçerik erişiminin zorunlu olduğu destek veya güvenlik olayında kapsam asgari düzeyde tutulur.

5. Güvenlik ve özel nitelikli veri

Taraflar, Kanun’un 12. maddesindeki yükümlülükleri kendi rolleri kapsamında yerine getirir. EKO; hukuka aykırı işlemeyi ve erişimi önlemek, muhafazayı sağlamak için verinin niteliği ve riskle uyumlu teknik ve idari tedbirleri almakla yükümlüdür. Ek 3, bu hizmet bakımından uygulanması gereken güvenlik çerçevesini düzenler.

Standart kullanım, özel nitelikli kişisel verilerin sınırsız toplanmasına izin vermez. Sağlık, biyometrik veri veya diğer özel nitelikli verilerin sistemli işlenmesini gerektiren bir kullanım önceden EKO’ya bildirilir; amaç, işleme şartı, veri kategorileri, erişim, süre ve ek tedbirler yazılı olarak belirlenmeden başlatılmaz. Sırf Müşterinin talimatı veya ilgili kişinin bilgiyi kendiliğinden söylemesi, Kanun’un 6. maddesindeki şartların yerine geçmez.

Beklenmedik hassas içerik fark edilirse taraflar gerekli bilgileri paylaşır, yayılmasını ve gereksiz erişimi sınırlandırır; hukuki zorunluluk yoksa ilgili içerik silinir veya ayıklanır. Müşteri sorumlu sıfatıyla hukuki sebebi sağlamakla, EKO ise kendi işleme ve güvenlik yükümlülükleriyle sorumludur. Tarafların kanuni sorumluluğu bütünüyle diğer tarafa aktarılamaz.

6. Alt işleyenler ve entegrasyonlar

Ek 2, hizmet sağlayıcılarını adları veya alıcı grupları ile ve işleme kapsamlarıyla gösterir. Türkiye’deki sağlayıcıların grup olarak belirtilmesi, kimliği belirsiz kuruluşlara genel veri işleme izni vermez. EKO, ilgili hizmet kullanıma açılmadan ve ilgili kuruluşun Müşteri adına ilk kişisel veri işleme faaliyeti başlamadan önce, kullanılacak alt işleyenlerin gerçek kimliklerini Müşterinin yetkili temsilcisine güvenli bir iletişim kanalıyla özel olarak bildirmekle yükümlüdür. Bildirim listesinde her kuruluşun tam ticaret unvanı, rolü, hizmeti ve işleme amacı, işleyeceği veri kategorileri, işleme ve saklama ülkesi ile verilere erişiminin kapsamı belirtilir. Bu isimli liste, Müşteriye sunulan hizmet bakımından Ek 2’yi tamamlar.

Alt işleyen kullanımı, Müşterinin kimliği ve kapsamı bildirilmiş kuruluşlar için verdiği belgelenebilir yazılı veya elektronik yetkilendirmeye dayanır. Genel yetkilendirme verilirse bu yetki, bildirilen isimli liste ve bu maddedeki değişiklik süreciyle sınırlıdır. Bir alıcı grubunun veya hizmetin ürün kataloğunda bulunması, bu bilgilendirme ve yetkilendirmenin yerine geçmez. İzin yalnız Müşteriye sunulan hizmetle ilgili işlemler içindir; işleme ve aktarım için ayrıca gereken hukuki şartları kaldırmaz.

EKO yeni bir alt işleyen eklenmesini veya mevcut işleyenin değiştirilmesini, olağan koşullarda en az 30 gün önce Müşterinin kayıtlı iletişim adresine bildirir. Bildirim; alıcının kimliği, hizmeti, işleyeceği veri, işleme amacı, konum ve erişim kapsamı, değişikliğin nedeni ve varsa yurt dışı aktarım güvencesini içerir. Müşteri, bu süre içinde kişisel verilerin korunmasına ilişkin gerekçeli itirazını iletebilir. EKO itirazı değerlendirir; makul bir alternatif veya koruma sağlanamıyorsa Müşteri etkilenen hizmeti cezasız sona erdirebilir ve sunulmayacak döneme ait bedelin iadesini isteyebilir.

Acil güvenlik ihtiyacı nedeniyle 30 günlük ön bildirim mümkün değilse EKO durumu gecikmeksizin bildirir; bu durum, kimliği ve kapsamı bildirilmemiş bir alt işleyenin gerekli yetkilendirme olmadan kullanılmasına veya aktarımın kanuni şartlarından muafiyete izin vermez. Alt işleyenle, işin kapsamına uygun gizlilik, talimat, güvenlik, ihlal bildirimi, hak kullanımına yardım ve silme yükümlülükleri içeren düzenleme yapılır. EKO, alt işleyen kullanımının kendi yükümlülüklerini azaltmadığını kabul eder.

EKO, gerçek alıcı ve alt işleyen kimliklerini, işleme kapsamını, yetkilendirmeyi ve değişiklik geçmişini kayıtlı tutar; Müşterinin kendi aydınlatma, ilgili kişi başvurusu ve denetim yükümlülüklerini yerine getirebilmesi için gerekli bilgiyi sağlar. Müşteriye özel listelerin kamuya yayımlanmaması, gerekli bilgilerin Müşteriden, ilgili kişiden veya yetkili merciden saklanmasına gerekçe oluşturmaz. Bu kişilerin ve mercilerin kanuni veya sözleşmesel bilgi taleplerinin karşılanması, ayrıca gizlilik sözleşmesi imzalanması şartına bağlanamaz. Hakkın kullanılması için gerekmeyen ticari ve güvenlik ayrıntıları ile diğer kişilerin verileri korunur; bu koruma, alıcı kimliği ve işleme kapsamına ilişkin gerekli açıklamayı engelleyemez.

Müşterinin doğrudan sözleşme yaparak kullandığı Türkiye’de yetkili telefon veya SMS işletmecisi, kendi şebeke ve abonelik amaçları bakımından bağımsız veri sorumlusudur. Bir hattın EKO yazılımına bağlanması, işletmeciyi sırf bu nedenle EKO’nun alt işleyeni hâline getirmez. Kullanılan işletmeci ve bağlantı, Müşterinin abonelik ve etkinleştirme kayıtlarında belirlenir. SIP bağlantısı ve çağrı yönetimi için arayan ve aranan numara, gerekli çağrı üstverisi ve iletişimin kurulması, iletilmesi veya talep edilen asistan işlevi için gereken ses akışı işlenebilir. İşleme, seçilen hizmetin amacı ve gerekli veri kapsamıyla sınırlıdır; bağlantı kurulması sınırsız kayıt veya başka amaçla kullanım yetkisi vermez. EKO, Müşteri adına gerçekleştirdiği yazılım ve çağrı işleme faaliyetlerinde veri işleyen yükümlülüklerini ve kendi veri güvenliği sorumluluğunu yerine getirir.

EKO’nun kendi destek hattı, hesap doğrulama mesajları ve kendi müşteri iletişimi için kullandığı işletmeciler, EKO’nun kendi veri sorumlusu olduğu iletişim faaliyetlerine ilişkindir. Bu işletmeciler de kendi şebeke ve abonelik amaçları bakımından bağımsız veri sorumlusudur; yalnız EKO’nun kendi iletişiminde kullanılmaları nedeniyle Müşteri içeriği için alt işleyen sayılmaz.

Müşterinin doğrudan sözleşme yaptığı takvim, müşteri ilişkileri veya mesajlaşma hizmeti bağımsız bir ilişki oluşturabilir. Tarafların gerçek rolleri, hizmetin adı yerine fiilî işlemeye göre belirlenir. EKO’nun gerçekleştirdiği veri açıklaması ve aktarımı için yükümlülükleri sürer.

Bu maddedeki bilgilendirme, yetkilendirme ve değişiklik süreci, Google veya başka bir alıcının Müşteri verilerini işlemek için kullandığı sonraki alt işleyenleri de kapsar. EKO, ilgili aktarım için geçerli standart sözleşmede seçilen özel veya genel yetkilendirme yöntemini, uygulanacak süreyi ve Müşterinin işleme faaliyetine uygulanacak isimli listeyi Müşteriye işlem başlamadan önce sunar; gerekli yetkiyi alır ve alıcıya iletir. Yalnız Google'ın veya bir üst sağlayıcının adının kabul edilmesi, açıklanmamış bütün alt işleyenlerine izin verildiği anlamına gelmez. Sonraki alt işleyen değişiklikleri ve itirazlar da bu zincirde zamanında iletilir. Standart sözleşmenin daha uzun bildirim süresi, özel yazılı izin, ek güncellemesi veya başka bir şartı varsa bu şart karşılanmadan ilgili kullanım başlatılamaz; elektronik kabul kaydı özel şekil şartının kendiliğinden karşılığı sayılmaz. Gerekli alt işleme sözleşmeleri, uygulanabilir standart sözleşmedeki korumaları ve üçüncü taraf yararlanıcı haklarını da içerecek şekilde kurulur.

7. Yurt dışına aktarım

Uygulama ve ilgili veri altyapısı Frankfurt, Almanya’da; santral ve ham ses kayıt altyapısı Türkiye’dedir. Yapay zekâ veya başka bir dış hizmet için anlık ses/metin akışı, saklama konumundan ayrı değerlendirilir. Yurt dışından erişim ve sonraki aktarımlar da Kanun’un 9. maddesi kapsamındadır.

EKO, her aktarım için maddenin gerektirdiği hukuki yolu sağlamakla yükümlüdür. Yeterlilik kararı bulunmayan düzenli hizmet aktarımında, uygulanabilir uygun güvence oluşturulmadan aktarım başlatılamaz. Standart sözleşme kullanılıyorsa veri aktaran ve alıcının gerçek sıfatlarına uygun Kurul metni seçilir; gerekli ekler tamamlanır ve yetkililerce geçerli biçimde imzalanır. İmzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır; sonraki değişiklik ve sona erme bildirimleri de ilgili mevzuata uygun yürütülür.

Bu Sözleşmenin kabul edilmesi veya imzalanması, Google veya başka bir yurt dışı alıcıyla standart sözleşmenin imzalandığını ya da bildirildiğini göstermez. EKO, kendi gerçekleştirdiği aktarımın kapsamı ve güvencesi konusunda Müşteriye talep üzerine yeterli bilgi ve belge sağlar. Ticari sırlar ve üçüncü kişilerin hakları korunurken, aktarımın hukuka uygunluğunun denetlenmesi engellenemez.

GDPR standart sözleşmesi, yabancı sağlayıcının genel şartları veya Müşterinin entegrasyon tercihi, Kanun’un 9. maddesindeki şartların yerine geçmez. Düzenli hizmet akışına genel açık rıza alınarak arızi aktarım istisnası uygulanamaz. Şartlar sağlanamaz veya sonradan ortadan kalkarsa ilgili aktarım durdurulur; taraflar hukuka uygun alternatif ve verilerin iadesi veya silinmesini belirler.

Bu Sözleşme veya genel hizmet koşulları, geçerli bir Kurul standart sözleşmesinden doğan yükümlülükleri, ilgili kişilerin üçüncü taraf yararlanıcı haklarını ya da başvuru ve tazminat imkânlarını daraltamaz. Müşteri bu nedenle kendiliğinden EKO ile yabancı alıcı arasındaki standart sözleşmenin tarafı olmaz. EKO, tarafı olduğu standart sözleşmenin diğer alıcı sözleşmeleriyle çatışmasında o standart sözleşmenin öncelik kuralına uyar. Bildirim, imza, ekler ve fiilî veri akışı ayrıca doğrulanır; bu metindeki açıklamalar bunların tamamlandığına ilişkin beyan değildir.

EKO, alıcıdan gelen ve aktarım güvencelerini etkileyen mevzuat veya uygulama değişikliği, kamu makamının veri talebi veya doğrudan erişimi ile uyum sağlanamamasına ilişkin bilgileri, hukuken açıklanabildiği ölçüde Müşteriye gecikmeksizin iletir. Bir açıklama yasağı söz konusuysa EKO, durumu uygulanabilir hukuk ve aktarım güvenceleri açısından değerlendirir; açıklama imkânını sağlamak için hukuken mümkün adımları atar. Bu durum, standart sözleşme yükümlülüklerinin yerine getirilememesini geçerli saymaz; gerekli durdurma ve fesih tedbirleri uygulanır. EKO ilgili talep, değerlendirme ve tedbir kayıtlarını tutar; gerekli hukuki itiraz, aktarımı durdurma, fesih ve veri iadesi veya imhası süreçlerini alıcı nezdinde işletir. Yabancı bir makam talebi, tek başına sınırsız veri açıklama yetkisi oluşturmaz.

8. İlgili kişi talepleri ve denetim

EKO, Müşteri adına işlediği verilere ilişkin doğrudan başvuruyu, ilgili Müşteri belirlenebildiği ölçüde gecikmeksizin ona iletir ve başvuru sahibine uygun yönlendirmeyi yapar. Müşterinin talimatı olmadan, kanuni zorunluluk hariç, başka bir kişinin verisini açıklayamaz. EKO’nun kendi veri sorumlusu olduğu bölüm için ayrıca yanıt vermesi gerekir.

EKO; erişim, düzeltme, silme, uygun dışa aktarım, üçüncü kişilere bildirim ve otomatik analize itiraz taleplerinin karşılanmasında Müşteriye teknik destek verir. İş birliği, Müşterinin en geç 30 günlük yanıt süresini yerine getirebileceği zamanda sağlanır. Mevcut teknik işlevin bulunmaması, hukuken karşılanması gereken talebi reddetmenin tek gerekçesi olamaz.

Müşteri, sözleşmeye uyum için gerekli açıklamaları, güvenlik tedbirleri özetini, alt işleyen ve aktarım bilgilerini talep edebilir. Öncelikle belge üzerinden inceleme yapılır. Ciddi olay, haklı şüphe veya yetkili merci talebi gerektiğinde uygun kapsamlı denetim sağlanır; makul bildirim, gizlilik, sistem güvenliği ve diğer müşterilerin hakları gözetilir. Denetim hakkı, kanuni yükümlülükleri fiilen kullanılamaz hâle getiren ücret veya kısıtlamaya bağlanamaz.

Yanlış üretilmiş kişisel bilgi, döküm, özet, sınıflandırma veya çıkarım fark edildiğinde Müşteri, kaynağı ve doğruluğu inceler; gerekli düzeltme, silme veya hatalı kaydın kullanımının sınırlandırılması talimatını EKO'ya iletir. Kaynak kayıtta da hata varsa Müşteri kontrolündeki kaynağı düzeltir; yalnız üretilmiş kayıt hatalıysa doğru kaynak sırf çıktıya uydurulmak için değiştirilmez. Bir görüşmenin gerçekte nasıl gerçekleştiğini gösteren kayıt ile o görüşmedeki yanlış iddiaya ilişkin düzeltme birbirinden ayırt edilir; hukuken gerekli delil bütünlüğü ve saklama sınırları korunur.

EKO, hukuka uygun düzeltme veya silme talimatını kendi işlediği kayıtlarda ve sorumluluğundaki alt işleyenlerde yerine getirir; Müşteri de kendi kontrolündeki kaynaklarda ve bağlı sistemlerde gerekli işlemi sağlar. İlgili kişinin hakkı veya başka bir hukuki yükümlülük gerektiriyorsa düzeltme, silme ya da yok etme işlemi verinin aktarıldığı üçüncü kişilere de bildirilir. Taraflar ilgili kişinin münhasıran otomatik analiz sonucu aleyhine ortaya çıkan sonuca itirazını ve diğer kanuni haklarını karşılamak için iş birliği yapar. Bu yükümlülükler, yapay zekâ çıktılarının hata içerebileceği gerekçesiyle reddedilemez.

Müşteri, makul aralıklarla da uyum denetimi talep edebilir; yalnız bir ihlal şüphesinin bulunması şart değildir. EKO, kendi işleme faaliyetlerinde uygun kapsamlı denetimi sağlar ve yurt dışındaki alıcı nezdinde uygulanabilir standart sözleşmedeki denetim, bilgi ve belge haklarını kendisi veya uygun bağımsız denetçi aracılığıyla kullanır. Müşterinin talimatıyla gerçekleştirilen denetimin sonuçları ve uyum için gerekli alıcı bilgileri Müşteriye iletilir. Öncelikle belge üzerinden inceleme yapılması, gerektiğinde yerinde incelemeyi ve yetkili mercilerin denetimini engelleyemez.

EKO, uygulanabilir standart sözleşme uyarınca talep eden ilgili kişiye standart sözleşme ve doldurulan eklerinin ücretsiz nüshasını sağlar. Ticari sır, kişisel veri ve diğer gizli bilgiler için gerekli sınırlı karartmalar yapılabilir; karartma metnin anlaşılmasını veya hakkın kullanılmasını önlüyorsa anlamlı bir özet sunulur. Müşteriye de kendi verilerine ilişkin alt işleme sözleşmelerinin ve değişikliklerinin, hukuken sahip olduğu bilgi ve denetim hakkını kullanmasına elverişli nüshaları sağlanır. Bu işlemler diğer kişilerin verilerini veya hakkın kullanımı için gerekmeyen gizli bilgileri açıklama yükümlülüğü doğurmaz; gizlilik gerekçesi gerekli denetimi etkisiz kılamaz.

9. Kişisel veri ihlali

EKO, Müşteri adına işlediği verilerin hukuka aykırı yollarla başkalarınca elde edildiğini öğrenirse Müşteriye herhangi bir gecikmeye yer vermeksizin bildirim yapar. Bilgilerin tamamının henüz bulunmaması ilk bildirimi geciktirmez; bilgiler aşamalı tamamlanabilir. Bildirimde bilinen ölçüde olayın niteliği, zamanı, etkilenen kişi/veri kategorileri, muhtemel sonuçlar, alınan tedbirler ve iletişim noktası yer alır.

Veri sorumlusu Müşteri, Kurula öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde; ilgili kişilere ise makul olan en kısa sürede yapılması gereken bildirimleri değerlendirir ve yerine getirir. EKO gerekli bilgileri, olay kayıtlarını ve teknik desteği sağlar. EKO kendi veri sorumlusu olduğu veriler için bildirimini ayrıca yapar.

Taraflar olayın sınırlandırılması, delillerin korunması, riskin azaltılması ve tekrarın önlenmesi için iş birliği yapar. Olayın kaydı, ilgili inceleme için gereken kapsamla sınırlı tutulur. Bildirimin yapılması tek başına bir tarafın kusuru kabul ettiği anlamına gelmez; ihlal veya sorumluluk değerlendirmesini engellemez.

Alıcı ve sonraki alt işleyenlerden gelen ihlal bildirimleri de aynı gecikmeksizin bildirim ve iş birliği zincirine dahildir. Uygulanabilir standart sözleşmenin gerektirdiği durumlarda Kurulun Veri İhlali Bildirim Formu kullanılır; eksik bilgiler ilk bildirimi bekletmeden tamamlanır. Müşteriye bildirim yapılması, EKO'nun veya alıcının ayrıca yerine getirmesi gereken bir kanuni bildirimi ortadan kaldırmaz.

10. İade, saklama ve silme

Ek 1’deki azami süreler uygulanır; Müşteri amaç için yeterli daha kısa süre belirleyebilir. İşleme şartları daha önce ortadan kalkarsa veriler sırf azami süre henüz dolmadığı için tutulamaz. EKO, Müşterinin hukuka uygun silme talimatını mevcut hizmet işlevleri veya destek süreciyle yerine getirir.

Hizmetin sona ermesinde içeriklerin alınması için 30 günlük dışa aktarım süresi sağlanır. EKO, olağan müşteri içeriğini ve yedek kopyalarını en geç sona ermeden itibaren 90 gün içinde silmek veya yok etmekle yükümlüdür. Müşteri daha erken silme talep edebilir. Bu süreler, ilgili kişinin hukuken daha önce karşılanması gereken silme talebini ertelemez.

Kanuni saklama yükümlülüğü veya somut bir hakkın korunması gereği zorunlu kayıtlar, kapsamı ve dayanağı belirlenerek olağan işlemeden ayrılır. Yedekler yalnız güvenlik ve geri yükleme amacıyla sınırlı kullanılabilir; silinmesi gereken veriler geri yükleme sonrası yeniden olağan işlemeye açılmaz. EKO alt işleyenlerdeki silmeyi de takip eder ve talep üzerine tamamlanmaya ilişkin yazılı bilgi verir.

Silme, yok etme ve anonim hâle getirme ilgili Yönetmeliğe uygun yürütülür. Takma adlandırma tek başına anonimleştirme değildir. İmha işlemlerinin kayıtları, diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır; bu kayıtlar silinen içeriğin gereksiz bir kopyasını içermez.

EKO, alıcı ve sonraki alt işleyenler nezdinde Müşterinin hukuka uygun iade veya imha talimatını uygulatır ve tamamlanan imhayı belgelendiren kayıtları temin eder; kendi işlemleriyle birlikte Müşteriye talep üzerine sunar. Bu Sözleşmedeki azami saklama ve sona erme süreleri, uygulanabilir standart sözleşmede veya hukuka uygun talimatta daha erken iade ya da imha gerektiren bir süreyi uzatmaz. Alıcıdaki işleme süresi ve yedeklerin durumu, gerçek aktarım ekleriyle uyumlu tutulur. İade veya imha tamamlanıncaya kadar gizlilik ve güvenlik korumaları devam eder.

11. Sorumluluk, bildirim ve sona erme

Tarafların Kanun’un 12/2. maddesindeki veri güvenliğine ilişkin müşterek sorumluluğu, bu Sözleşmeyle kaldırılmaz. Her taraf kendi yükümlülüklerinin ihlalinden doğan sorumluluğunu taşır. İlgili kişilerin tazminat ve başvuru hakları ile yetkili mercilerin yetkileri sözleşmesel sorumluluk sınırlarıyla daraltılamaz. Taraflar arasındaki rücu, ihlal ve kusurun somut katkısına göre genel hükümlere tabidir.

Müşterinin ticari arama ve ileti faaliyetlerinden doğan aşağıdaki taahhüt, Hizmet Sözleşmesinin 20.1 maddesiyle birlikte ve aynı sınırlar içinde uygulanır. Bu iç ilişki düzenlemesi, Kanun'un 12/2 maddesindeki müşterek sorumluluğu veya tarafların üçüncü kişilere ve yetkili mercilere karşı emredici yükümlülüklerini değiştirmez.

Müşteri; kendi ticari arama ve ileti faaliyetlerinde onay alma, İYS kaydı, güncellik, ret, ispat ve hukuka uygun gönderim yükümlülüklerini ihlal etmesi veya gerçeğe aykırı bilgi ya da belge vermesi nedeniyle EKO'nun uğradığı, ihlalle uygun nedensellik bağı bulunan ve Müşterinin kusur ve hukuki sorumluluk payına düşen hukuken rücu edilebilir tüm zararları karşılamayı kabul ve taahhüt eder. Bu taahhüt; belgeli tazminatları, mevzuat uyarınca Müşteriye rücu edilmesi mümkün idari para cezaları ile kanuni ferilerini, makul ve gerekli savunma, avukatlık, yargılama, icra ve takip giderlerini kapsar.

EKO'nun kendi kanuni yükümlülüğünü ihlalinden, kendi kusurundan veya zararı artıran davranışından kaynaklanan tutarlar Müşteriye yüklenmez. Müşteriye kanunen devredilemeyen yaptırımlar bu taahhüdün dışındadır. İdari para cezasının EKO adına düzenlenmesi veya kesinleşmeden ödenmesi, tek başına Müşterinin borcunu doğurmaz ya da kesinleştirmez; Müşterinin ihlali, sorumluluk payı ve rücu edilebilirlik ayrıca değerlendirilir.

EKO, talep veya yaptırımı ve dayanaklarını Müşteriye gecikmeksizin bildirir; gerekli belgeleri paylaşır ve Müşterinin savunmaya katılmasına imkân verir. Müşteri bilgi ve belgeleri sağlayarak iş birliği yapar. Müşteriye borç yükleyecek sulh veya kabul için Müşterinin önceden yazılı onayı alınır. Tarafların itiraz, savunma ve kanun yolu hakları korunur; sessizlik borç ikrarı veya kesin delil sayılmaz.

EKO, indirimden yararlanmak veya zararın artmasını önlemek amacıyla ödeme yapabilir; bu ödeme Müşterinin sorumluluğunun değerlendirilmesi ve kanun yolu hakları yerine geçmez. Hesaplamada indirimler, iadeler, sigorta ödemeleri ve aynı zararı karşılayan diğer tahsilatlar düşülür. EKO'nun kendi gecikmesi veya kusurlu savunmasıyla artırdığı faiz ve giderler Müşteriden istenmez. Sonradan iptal, indirim veya iade nedeniyle dayanaksız kalan müşteri ödemesi gecikmeksizin geri verilir. Aynı zarar birden fazla belgeye veya hukuki sebebe dayanılarak mükerrer tahsil edilemez.

Müşteri, bu esaslara göre hukuken doğmuş ve muaccel olmuş alacağı, hesap ve dayanak belgelerini içeren yazılı ödeme talebinin kendisine ulaşmasından itibaren on beş gün içinde EKO'ya ödemeyi kabul ve taahhüt eder. Uyuşmazlık hâlinde EKO kanuni tahsil yollarına başvurabilir; tek taraflı hesap dökümü veya ödeme talebi kesin delil oluşturmaz. Tüketici iadesinin korunması ve kanuni takas şartları saklıdır.

Ticari veya mesleki amaçla hizmet alan Müşterinin bu maddeden doğan ödeme yükümlülüğüne, hizmet bedeline bağlı sorumluluk tavanı ve sözleşmesel zarar türü sınırlamaları uygulanmaz; rücu yine yukarıdaki hukuki sorumluluk, nedensellik ve gerçek net zarar sınırları içindedir. Tüketici işleminde yalnız genel hükümlere göre doğan kanuni sorumluluk esas alınır; tüketiciye bunu aşan bağımsız garanti veya cezai şart yüklenmez. Bu hükümler yetkili mercilerin yetkilerini ve üçüncü kişilerin kanuni haklarını daraltmaz.

Bildirimler EKO için support@comturk.com, Müşteri için kayıtlı yetkili iletişim adresine yapılır. Kanunun özel şekil aradığı bildirimlerde bu şekil saklıdır. İhlal veya erişim riski taşıyan durumlarda kullanılabilir ek iletişim yollarıyla bildirim desteklenir. İrtibat bilgilerinin güncel tutulması tarafların yükümlülüğüdür.

Sözleşme Türk hukukuna tabidir. Yetkili merci Hizmet Sözleşmesi ve emredici mevzuata göre belirlenir; tüketicinin kanuni başvuru hakları korunur. Gizlilik, güvenlik, iade, silme ve ilgili kişilerin haklarına ilişkin hükümler, hizmet sona erdikten sonra da niteliğinin gerektirdiği süreyle devam eder.

Yapay zekâ kullanımında yanlış kişisel veri veya değerlendirme üretilmesi, doğrulama ve insan incelemesi, kaynakların güncellenmesi, yetkilerin sınırlandırılması ve bilinen hataya müdahale bakımından Hizmet Sözleşmesinin 6 ve 20.2 maddeleri, bu Sözleşmenin veri koruma hükümleriyle birlikte uygulanır. Müşteri, kendi yükümlülüğünü ihlal etmesiyle uygun nedensellik bağı bulunan ve kusur ile hukuki sorumluluk payına düşen, EKO'nun belgeli ve hukuken kendisine rücu edilebilir tüm gerçek zararlarını, hukuken rücu edilebilir tazminat, idari para cezası ve kanuni ferileri ile makul ve gerekli düzeltme, savunma, avukatlık, yargılama, icra ve takip giderlerini, 20.2 maddesindeki koşul, usul ve sınırlarla EKO'ya ödemeyi kabul ve taahhüt eder.

Salt yapay zekâ hatası Müşterinin ihlalini veya ödeme borcunu kendiliğinden doğurmaz. EKO'nun kendi kusuru, kendi yükümlülüğünün ihlali veya zararı artıran davranışı nedeniyle kendisine düşen tutarlar ve kanunen devredilemeyen yaptırımlar Müşteriye yüklenmez; aynı zarar mükerrer tahsil edilemez. Ticari Müşterinin bu yükümlülüğüne Hizmet Sözleşmesinin 20.2 maddesindeki tavan istisnası, hukuki sorumluluk, nedensellik ve gerçek net zarar sınırlarıyla uygulanır. EKO'ya yöneltilen taleplerde ise anılan sözleşmenin 20 ve 20.2 maddelerindeki koşul ve istisnalar korunur. Tüketici işleminde yalnız genel hükümlere göre doğan kanuni sorumluluk uygulanır; bunu aşan bağımsız garanti, tazmin taahhüdü, cezai şart veya koşulsuz sorumluluk yaratılmaz.

Bu iç ilişki düzenlemesi EKO'nun veri güvenliği, gizlilik, hukuka uygun işleme ve kararlaştırılan hizmeti sunma yükümlülüklerini, Kanun'un 12/2 maddesindeki müşterek sorumluluğu, ilgili kişilerin haklarını veya yetkili mercilerin yetkilerini sınırlandırmaz. Hizmet Sözleşmesindeki ticari sorumluluk tavanı, kişisel veri güvenliği veya gizlilik ihlallerine ve kanunen sınırlandırılamayan sorumluluklara uygulanmaz.

Ek 1 — İşleme faaliyetinin tanımı

Ham ses kayıtları en çok 90 gün; konuşma dökümü, özet ve etiketler en çok 12 ay; çağrı üstverisi, sohbet ve mesaj kayıtları en çok 24 ay; teknik erişim ve güvenlik günlükleri en çok 12 ay saklanır. Süreler kaydın oluşumundan başlar. Bilgi tabanı, irtibat listesi, görsel ve yapılandırma içeriği Müşterinin belirlediği gerekli süre boyunca, her durumda sözleşme sonundaki silme çerçevesiyle sınırlıdır. Özel nitelikli veri, ayrıca yazılı kabul ve hukuki şartlar olmadan standart işleme kapsamına girmez.

Ek 2 — Hizmet sağlayıcı kapsamı

Listedeki isteğe bağlı hizmetler yalnız satın alınan ve yetkilendirilen kapsamda açılır. Bir adın listede bulunması, bütün ürünlerin kullanıldığı veya aktarım şartlarının tamamlandığı anlamına gelmez. Google'ın Türkiye fatura adresli ticari hesaplar için yayımladığı taraf Google Cloud EMEA Limited'dir; gerçek hesap ve ürün kapsamı sözleşme/faturayla eşleştirilir. Netinternet grubundaki ayrı erişim şirketi Netinternet Veri Merkezi Teknolojileri AŞ ile barındırma şirketi birbirinin yerine kullanılmaz. Hesaba özgü sağlayıcı, sonraki alıcı, ülke, saklama ve aktarım bilgileri işleme başlamadan önce Müşteriye bildirilir. Bu DPA'nın 6 ve 7. maddeleri uygulanır.

Meta'nın WhatsApp, Instagram ve Messenger hizmetleri, Telegram ve diğer müşteri bağlantıları, açıklanan gerçek alıcı ve etkinleştirme kaydıyla sınırlıdır. Genel onayla sınırsız veri aktarımı yapılamaz. EKO'nun kendi hesap açma, giriş ve parola e-postalarında kullanılan Amazon SES, EKO'nun kendi veri sorumlusu işlemi bakımından ayrıca değerlendirilir; bu satırdaki müşteri adına e-posta işleviyle aynı işlem değildir. EKO'nun faturalama, ödeme ve web analitiği sağlayıcıları, yalnız bu nedenle müşteri içeriğinin alt işleyeni sayılmaz.

Ek 3 — Teknik ve idari güvenlik çerçevesi

EKO’nun sağlamakla yükümlü olduğu tedbirler; verinin niteliği, işleme ölçeği, yetkisiz erişim riski ve kullanılan altyapıya göre belirlenir. Tedbirlerin kapsamı aşağıdaki esasları içerir:

• Kullanıcı ve yönetici erişiminin görev ve ihtiyaçla sınırlandırılması; yetkilerin düzenli gözden geçirilmesi ve gereksiz yetkinin kaldırılması.
• Müşteri içeriklerinin yetkisiz müşterilerce görülmesini önleyecek ayrım; erişim ve önemli işlemlerin uygun kayıtlarla izlenmesi.
• İletim ve saklama güvenliğinin riskle uyumlu korunması; erişim anahtarlarının ve kimlik doğrulama bilgilerinin güvenli yönetimi.
• Güncelleme, zafiyet giderme, olay tespiti, yedekleme ve geri yükleme süreçlerinin işin gerektirdiği biçimde yürütülmesi.
• Personelin gizlilik yükümlülüğü ve gerekli bilgilendirmesi; hizmet sağlayıcıların veri güvenliği bakımından değerlendirilmesi.
• Saklama ve imha talimatlarının uygulanması; olay ve hak kullanım süreçleri için sorumluların belirlenmesi.

Müşteriye ayrıca taahhüt edilen güvenlik şartları bu çerçeveyi tamamlar; Kanun’un gerektirdiği koruma düzeyinden sapılamaz.