Taraflar; 6698 sayılı KVKK ve ilgili veri koruma mevzuatı kapsamında, Müşteri'nin (veya iştirak/franchise şubelerinin) "Veri Sorumlusu" (Data Controller), Omurga Systems'ın ise şube itibar, kriz radarı ve merkezi analiz hizmetlerini sunarken Müşteri adına ve hesabına hareket eden "Veri İşleyen" (Data Processor) sıfatına haiz olduğunu kabul ederler.
Veri İşleyen; yalnızca Müşteri'nin açık talimatları, platform yapılandırması ve Ana SaaS Sözleşmesi'nin ifası amacıyla aşağıdaki veri kategorilerini işler:
Veri İşleyen, Müşteri'ye ait hiçbir veriyi, kurumsal yanıt taslaklarını veya şube yorumlarını; halka açık veya kapalı temel yapay zeka modellerinin (OpenAI, Anthropic, Gemini vb.) genel eğitimi amacıyla kullanmayacağını, saklamayacağını ve üçüncü taraf model sağlayıcılarının eğitim havuzlarına aktarmayacağını peşinen taahhüt eder. Tüm çıkarımlar geçici ve oturum bazlı kriptolu çıkarım API'leri üzerinden yürütülür.
Veri İşleyen, KVKK m. 12 uyarınca veri güvenliğini temin etmek adına aşağıdaki kurumsal tedbirleri aldığını taahhüt eder:
Veri Sorumlusu, Veri İşleyen'in hizmetin kesintisiz ifası için uluslararası standartlara (ISO-27001, SOC 2 Type II) tam uyumlu altyapı sağlayıcıları (Hetzner Online GmbH, OpenAI, Netgsm A.Ş., Cloudflare Inc. veya benzer güvenlik standartlarına haiz muadilleri) ile çalışmasına genel yetki verir. Sağlayıcı değişiklikleri gizlilik sayfasında şeffafça duyurulur.
Veri İşleyen; Müşteri verilerini etkileyen doğrulanmış herhangi bir güvenlik ihlali, yetkisiz erişim veya veri sızıntısı tespit ettiğinde, gecikmeksizin ve en geç 72 (yetmiş iki) saat içinde (kritik sızıntılarda azami 48 saat hedefiyle) Veri Sorumlusuna yazılı bildirimde bulunmayı ve ihlalin etkilerini gidermek için gereken teknik tedbirleri derhal almayı taahhüt eder.
Platformda işlenen kamuya açık şube Google incelemeleri ve tüketici geri bildirimlerine ilişkin olarak veri sahiplerinden doğrudan Veri İşleyen'e ulaşabilecek 6698 sayılı KVKK m. 11 ve GDPR Chapter III kapsamındaki hak talepleri (silme, düzeltme, anonimleştirme vb.) 3 (üç) iş günü içerisinde Veri Sorumlusuna yazılı olarak yönlendirilir. Başvuruların 30 günlük yasal süre içinde mevzuata uygun şekilde incelenmesi ve cevaplandırılması sorumluluğu Veri Sorumlusu'na aittir; Veri İşleyen teknik altyapı desteği sağlar.
Müşteri'nin platforma aktardığı tüm şube kayıtları, operasyonel metrikler, yorum geçmişi ve oluşturulan yanıt içerikleri üzerindeki mülkiyet hakları münhasıran Veri Sorumlusu'na aittir. Veri İşleyen bu veriler üzerinde yalnızca Ana Sözleşme kapsamındaki SaaS hizmetinin ifası için sınırlı, münhasır olmayan bir işleme lisansına sahiptir. Sözleşmenin sona ermesi halinde veriler standart formatlarda (JSON/CSV) güvenle dışa aktarılabilir.
Anonimleştirilmiş ve Toplulaştırılmış Sektörel Benchmark Verisi: Veri Sorumlusu'na ait operasyonel verilerin münhasır mülkiyeti baki kalmak üzere; Veri İşleyen, doğrudan veya dolaylı olarak herhangi bir şubeyi, markayı veya gerçek kişiyi tanımlayamayacak şekilde geri döndürülemez biçimde anonimleştirilmiş ve toplulaştırılmış (de-identified & aggregated) istatistikleri; platformun algoritma performansını izlemek, bölgesel itibar haritaları ve sektörel ortalama metrikler üretmek amacıyla işleme ve yayınlama hakkına sahiptir.
Ana SaaS Sözleşmesi'nin sona ermesi halinde, Veri İşleyen kanunen saklanması zorunlu olan log kayıtları (5651 sayılı kanun gereği 2 yıl) haricindeki tüm operasyonel müşteri verilerini, Veri Sorumlusunun tercihine göre 30 gün içinde güvenli biçimde iade eder veya kriptografik olarak imha eder.
İşbu DPA'dan doğan ihtilaflarda Ana Sözleşme'nin Delil Sözleşmesi (HMK m. 193) ile Uyuşmazlık Çözümü (İstanbul Anadolu Mahkemeleri ve İSTAC Tahkimi) hükümleri aynen geçerlidir.