Veri işleyen sözleşmesi

Son güncelleme: 31 Ekim 2026

Purp Dijital Medya Ajansı Limited Şirketi | Wabacüs

İşbu Veri İşleyen Sözleşmesi (Data Processing Agreement / “DPA”), Kullanım şartları ile birlikte, KVKK m.12/2 ve uluslararası veri koruma standartları çerçevesinde, Veri Sorumlusu sıfatına haiz Kullanıcı ile Veri İşleyen sıfatına haiz Purp Dijital Medya Ajansı Limited Şirketi (“İşleyen”) arasında akdedilmiştir.

1. Taraflar ve tanımlar

1.1. Veri sorumlusu

Wabacüs platformunu kullanan ve hesabı altında üçüncü kişilere ait kişisel verileri yükleyen ya da bağladığı WhatsApp Business numaraları ve CRM bağlantıları aracılığıyla Platform’a aktaran Kullanıcı.

1.2. Veri işleyen

Purp Dijital Medya Ajansı Limited Şirketi, MERSİS 0733120531000001, Altınkum Mah. Atatürk Bul. Erdem Apt. No: 146 İç Kapı No: 7 Konyaaltı / Antalya.

1.3. Tanımlar

• Kişisel Veri: KVKK m.3/(d) anlamında kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• İşleme: KVKK m.3/(e) anlamında veriler üzerinde gerçekleştirilen tüm işlemler.
• Veri Sahibi: Kişisel verisi işlenen üçüncü kişi.
• Alt Veri İşleyen (Sub-processor): İşleyen’in hizmet sağlamak için kullandığı diğer veri işleyenler.
• Platform: Wabacüs hizmeti ve paneli (app.wabacus.com).

2. Sözleşmenin konusu

İşbu DPA, Kullanıcı’nın Platform üzerinden yüklediği ya da Platform’a aktarılan üçüncü kişi kişisel verilerinin İşleyen tarafından nasıl işleneceğini, alt işleyenlere aktarılacağını, korunacağını ve imha edileceğini düzenler.

3. İşlenecek veri kategorileri

• Kullanıcı’nın WhatsApp Business numaralarıyla yazışan kişilerin telefon numaraları ve WhatsApp’ın atadığı kullanıcı kimlikleri.
• Ad-soyad ve iletişim bilgileri; kişinin WhatsApp profil adı.
• CRM senkronizasyonu ile alınan müşteri verileri.
• Gelen ve giden WhatsApp mesajlarının içeriği ile gönderilen görsel, belge, ses ve video dosyaları.
• Mesaj metaverisi (gönderim, teslim ve okundu durumları, zaman damgaları).
• Kullanıcı’nın açık onayı üzerine telefondaki WhatsApp Business uygulamasından aktarılan son altı aya ait sohbet geçmişi ve kişi rehberi.
• Kullanıcı yapay zekâ ile yazışma analizini açtıysa, analiz sonuçları (sebep etiketleri, kısa özet, yazışmadan alıntılanan cümleler ve numara karnelerindeki özetler).
• Yazışmaların içerebileceği, tedaviye ilişkin bilgiler gibi sağlık verileri (KVKK m.6 anlamında özel nitelikli kişisel veri).

4. Veri sahibi kategorileri

• Kullanıcı’nın müşterileri ve müşteri adayları.
• Lead formu doldurmuş kişiler.
• Mevcut müşteri veritabanındaki kişiler.
• Kullanıcı yapay zekâ ile yazışma analizini açtıysa, numara karnelerinde yazışmaları değerlendirilen Kullanıcı çalışanları.

5. İşleme amaçları

• WhatsApp Business Platform üzerinden mesajların alınması, gönderilmesi ve panelde yönetilmesi (onaylı şablon mesajlar, Kullanıcı’nın kurduğu otomasyonlar ve pazarlama mesajı çıkış taleplerinin uygulanması dahil).
• Kullanıcı açtıysa, yapay zekâ ile yazışma analizinin ve numara karnelerinin sağlanması.
• Kullanıcı’nın bağladığı CRM sistemiyle entegrasyonun sağlanması.
• Dolandırıcılığın ve suistimalin önlenmesi.

6. İşleyenin yükümlülükleri

1. İşleyen, Kullanıcı’nın talimatları doğrultusunda ve sözleşmede belirtilen amaçla sınırlı olarak veri işler.
2. Verileri amacı dışında kullanmaz veya üçüncü taraflara satmaz.
3. KVKK m.12 ve uluslararası standartlar çerçevesinde uygun teknik ve idari tedbirleri uygular; başlıca teknik tedbirler Gizlilik politikası’nın 9. bölümünde açıklanmıştır.
4. Personeli ve alt işleyenleri için gizlilik yükümlülüğü tesis eder.
5. Veri ihlali halinde Kullanıcı’yı 72 saat içinde bilgilendirir ve KVKK Kurulu’na bildirim sürecinde işbirliği yapar.
6. Kullanıcı’nın denetim talebine makul ölçüde cevap verir.
7. Veri sahibi haklarının (KVKK m.11) yerine getirilmesinde Kullanıcı’ya destek olur.

7. Alt veri işleyenler

İşleyen, hizmetin sağlanması için aşağıdaki alt veri işleyenleri kullanır:

Yapay zekâ hizmet sağlayıcılarına yalnızca Kullanıcı yapay zekâ ile yazışma analizini açtıysa veri gönderilir; özellik varsayılan olarak kapalıdır ve kapalıyken bu sağlayıcılara hiçbir veri gönderilmez. Kalite karşılaştırması için aynı yazışma iki sağlayıcıya birden gönderilebilir. Bu sağlayıcılar API verisini varsayılan olarak model eğitiminde kullanmaz. Gönderimden önce yapılan gizlemenin kapsamı ve sınırları Gizlilik politikası’nın 3. bölümünde açıklanmıştır. CRM sağlayıcısına yalnızca Kullanıcı bu bağlantıyı kurduysa veri aktarılır.

Yeni alt işleyen ekleneceğinde Kullanıcı’ya 30 gün önceden bildirim yapılır. Kullanıcı, makul gerekçelerle yeni alt işleyene itiraz hakkını saklı tutar.

8. Yurtdışı aktarımı

Yurtdışı aktarım, KVKK m.9 (Mart 2024 değişikliği) çerçevesinde gerçekleştirilir:

• Sağlayıcılarla aktif standart sözleşme şartları (SCC) veya bağlayıcı şirket kuralları (BCR).
• Kullanıcı tarafından alınan açık rıza (uygulanabilir hallerde).
• KVKK m.9/6 istisnaları (zorunlu hallerde).

Kullanıcı’nın paneldeki onayı (örneğin yapay zekâ ile yazışma analizinin açılması) İşleyen’e verilmiş bir talimattır; yurt dışı aktarım için gereken hukuki şartların yerine geçmez.

9. Veri sahibi hakları

İşleyen, Veri Sahibinin KVKK m.11 kapsamında ileteceği taleplere doğrudan yanıt vermez; Kullanıcı’nın taleplerine cevap vermesinde teknik ve idari destek sağlar. Kullanıcı, kendisine ulaşan veri sahibi taleplerini İşleyen’e iletmekle yükümlüdür. İşleyen’e doğrudan ulaşan talepler ilgili Kullanıcı’ya iletilir.

10. Veri ihlali bildirimi

İşleyen, kişisel veri ihlali tespit ettiğinde:

1. 72 saat içinde Kullanıcı’yı bilgilendirir.
2. İhlalin niteliği, etkilenen veri kategorileri ve sayısı, olası sonuçları, alınan ve önerilen önlemler hakkında bilgi sağlar.
3. KVKK Kurulu’na ve Veri Sahiplerine bildirim sürecinde Kullanıcı ile koordineli çalışır.

11. Saklama ve imha

Hesap silme talebi en geç 30 (otuz) gün içinde sonuçlandırılır; İşleyen, Kullanıcı’nın yüklediği ya da Platform’a aktarılan üçüncü kişi verilerini — telefon numaraları, kişiler, sohbet geçmişi, medya dosyaları ve yapay zekâ analiz sonuçları dahil — veritabanından geri döndürülemez şekilde siler ve talep üzerine bunu yazılı olarak teyit eder. Kullanıcı, silmeden önce verilerin dışa aktarılmasını talep edebilir; fesihten sonra dışa aktarım için makul bir süre tanınır.

Yedeklerdeki kopyalar, yedekleme döngüsü içinde (en geç otuz gün) kendiliğinden geçersiz olur. İşleyen’in silme işlemi yalnızca kendi sistemlerindeki kayıtları kapsar: mesajların Meta’nın WhatsApp altyapısında ve Kullanıcı’nın kendi CRM sisteminde bulunan kopyaları İşleyen’in denetiminde değildir. Yapay zekâ hizmet sağlayıcılarına gönderilmiş veriler bu sağlayıcıların kendi saklama kurallarına tabidir: olağan API saklaması 30 gündür; yasal zorunluluk veya politika ihlali incelemesi daha uzun sürebilir. Anthropic işaretli içeriği 2 yıl, güvenlik sınıflamasını 7 yıl tutabilir. Yasal saklama yükümlülüğüne tabi veriler ayrı düzenlenir.

12. Denetim hakkı

Kullanıcı, makul önceden bildirim yaparak yılda en fazla bir kez İşleyen’in veri işleme süreçlerini denetleme veya bağımsız bir denetçiye denetletme hakkına sahiptir. Denetim, İşleyen’in operasyonlarına engel olmayacak şekilde yürütülür ve denetim maliyetleri, ihlal tespit edilmedikçe Kullanıcı’ya aittir.

13. Sorumluluk

Tarafların sorumluluk sınırları, ana Kullanım şartları’nın 9. maddesi (Sorumluluğun sınırı) hükümlerine tabidir. Veri Sahiplerine karşı tazminat sorumluluğunda, KVKK ve genel hukuk hükümleri uygulanır.

14. Süre ve sona erme

Bu DPA, Kullanıcı’nın hesabı aktif olduğu sürece geçerlidir. Hesap kapatıldığında veya Kullanım şartları feshedildiğinde DPA da kendiliğinden sona erer; Madde 11 (saklama ve imha) ve Madde 13 (sorumluluk) hükümleri sona ermenin ardından da geçerli olmaya devam eder.

15. Uygulanacak hukuk ve yetkili mahkeme

Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda Antalya Mahkemeleri ve Antalya İcra Daireleri münhasıran yetkilidir.

16. Kabul

Kullanıcı, Platform’da hesap oluşturarak ve Kullanım şartlarını kabul ederek bu DPA’yı da kabul etmiş sayılır. Kurumsal müşteriler ile ayrıca ıslak veya nitelikli e-imzalı DPA akdedilebilir; talep support@wabacus.com adresine iletilebilir.

Bu DPA, wabacus.com/veri-isleme-sozlesmesi adresinde yayınlanır ve Kullanıcı’nın hesap aktiflik dönemi boyunca yürürlüktedir.