Bu çeviri kolaylık sağlamak amacıyla sunulmuştur. Bağlayıcı metin İngilizce sürümdür.
Vocito.ai · Yapay Zekâ Sesli Resepsiyonist Platformu
İşbu Veri İşleme Sözleşmesi (“DPA”), Vocito.ai hesabında belirtilen müşteri (“Veri Sorumlusu”, “Müşteri”, “siz”) ile Vocito.ai B.V. (“Veri İşleyen”, “Vocito”, “biz”) arasında akdedilmiştir ve hem Hizmet Şartları metninin hem de taraflar arasındaki, Vocito Hizmeti'nin sunulmasına ilişkin sözleşmenin ayrılmaz bir parçasını oluşturur.
İşbu DPA, kişisel verilerin Veri İşleyen tarafından Veri Sorumlusu adına işlenmesine ilişkin olarak tarafların vardığı mutabakatı, şu hükmün gerekliliklerine uygun olarak yansıtır: (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (“GDPR”) madde 28.
Beta dönemi eki (Mayıs 2026, GA): Vocito Beta aşamasında olduğu sürece, Ek A'daki saklama süresi görüşme kayıtları, transkriptler ve yapay zekâ görüşme meta verileri için 90 gün olarak uygulanır (Beta sona erdiğinde GA dönemi varsayılan değerleri geçerli olur). Ek B/C'de yer alan Alt Veri İşleyenler ile teknik ve idari tedbirler Beta süresince değişmeden geçerlidir. Veri Sorumlusu (Müşteri), Beta dönemindeki işlemenin, Hizmet Şartlarımızın §2 (Beta Programı) hükmünde açıklandığı şekilde kısa kesintiler, özelliklerde gerilemeler veya veri sıfırlamaları içerebileceğini kabul eder. Vocito, Beta süresince işbu DPA kapsamındaki İlgili Kişi haklarına, ihlal bildirimine ve denetime ilişkin yükümlülüklerini herhangi bir değişiklik olmaksızın yerine getirmeye devam eder.
İşbu DPA'da aksi tanımlanmadıkça, baş harfi büyük yazılan terimler GDPR'da veya Hizmet Şartları'nda kendilerine verilen anlamları taşır. Aşağıdaki ek tanımlar geçerlidir:
Hizmet aracılığıyla işlenen Kişisel Veriler bakımından Müşteri Veri Sorumlusu sıfatını, Vocito ise Veri İşleyen sıfatını taşır. Veri İşleyen, Kişisel Verileri yalnızca Veri Sorumlusu adına ve Veri Sorumlusu'nun belgelenmiş talimatlarına uygun olarak işler.
İşbu DPA, Hizmet'in sunulmasıyla bağlantılı olarak Veri İşleyen'in Veri Sorumlusu adına işlediği tüm Kişisel Veriler bakımından geçerlidir; bunların ayrıntılı açıklaması şurada yer almaktadır: Ek A.
İşbu DPA, Hizmet Şartları'nı tamamlar ve Hizmet Şartları'nın bir parçasını oluşturur. Veri koruma konularında işbu DPA ile Hizmet Şartları arasında çelişki olması hâlinde işbu DPA geçerli olur.
İşleme faaliyetlerinin ayrıntıları Ek A içinde belirtilmiştir ve şunları kapsar:
Veri İşleyen:
Veri İşleyen, Kişisel Verileri işlemeye yetkili tüm kişilerin gizlilik taahhüdünde bulunmuş olmasını veya uygun bir yasal gizlilik yükümlülüğü altında olmasını sağlar.
Veri İşleyen, riske uygun bir güvenlik düzeyi sağlamak üzere uygun teknik ve idari tedbirleri, Ek B içinde açıklandığı şekilde ve GDPR madde 32 uyarınca uygular.
Veri İşleyen, Alt Veri İşleyen görevlendirirken Madde 6 kapsamında belirtilen koşullara uyar.
Veri İşleyen, Veri Sorumlusu'nun İlgili Kişi taleplerini yanıtlama yükümlülüklerini yerine getirmesine şu maddede belirtildiği şekilde yardımcı olur: Madde 9.
Veri İşleyen, işlemenin niteliğini ve kendi elindeki bilgileri dikkate alarak, işleme güvenliğine, kişisel veri ihlallerinin bildirilmesine, veri koruma etki değerlendirmelerine ve denetim makamlarıyla ön istişareye ilişkin yükümlülükler dâhil olmak üzere, GDPR madde 32 ila 36 hükümlerine uyumun sağlanmasında Veri Sorumlusu'na yardımcı olur.
Veri İşleyen, hizmetlerin sunulmasının sona ermesinden sonra, Veri Sorumlusu'nun tercihine göre tüm Kişisel Verileri şu maddede belirtildiği şekilde siler veya iade eder: Madde 13.
Veri İşleyen, GDPR madde 28 hükümlerine uyumu kanıtlamak için gerekli tüm bilgileri Veri Sorumlusu'nun kullanımına sunar; ayrıca şu maddede belirtildiği şekilde denetimlere izin verir ve katkıda bulunur: Madde 12.
Veri Sorumlusu:
Veri Sorumlusu, işbu maddede belirtilen koşullara tabi olmak kaydıyla, Hizmet'in sunulmasına yardımcı olmak üzere Veri İşleyen'in Alt Veri İşleyenler görevlendirmesi için genel yazılı izin verir. İzin verilen Alt Veri İşleyenlerin güncel listesi şurada yer almaktadır: Ek C.
Veri İşleyen'in bir Alt Veri İşleyen görevlendirmesi hâlinde:
Veri İşleyen, Veri Sorumlusu'na en az 30 gün önceden Alt Veri İşleyenlerin eklenmesine veya değiştirilmesine ilişkin planlanan her türlü değişikliği bildirir ve böylece Veri Sorumlusu'na bu değişikliklere itiraz etme imkânı tanır.
Veri Sorumlusu'nun yeni bir Alt Veri İşleyen'in görevlendirilmesine itiraz etmek için makul gerekçeleri varsa, Veri Sorumlusu bildirimi aldığı tarihten itibaren 14 gün içinde Veri İşleyen'e bildirimde bulunur. Taraflar, Veri Sorumlusu'nun endişelerini iyi niyetle görüşür. Taraflar bir çözüme ulaşamazsa, Veri Sorumlusu yazılı bildirimde bulunarak etkilenen hizmetleri herhangi bir cezai şart ödemeksizin feshedebilir.
Veri İşleyen, şu ekte açıklanan teknik ve idari güvenlik tedbirlerini uygular ve sürdürür: Ek B; bu tedbirler asgari olarak şunları içerir:
Veri İşleyen, güvenlik tedbirlerinin işlemeyle ilişkili risklere uygun olmaya devam etmesini sağlamak için bu tedbirleri düzenli olarak değerlendirir ve günceller. Veri İşleyen, işbu DPA'nın süresi boyunca genel güvenlik düzeyini esaslı ölçüde düşüremez.
Veri İşleyen, bir Kişisel Veri İhlali'ni, bundan haberdar olduktan sonra gereksiz gecikme olmaksızın ve her hâlükârda 72 saat içinde Veri Sorumlusu'na bildirir. Bildirim, Veri Sorumlusu'nun hesabıyla ilişkili e-posta adresine gönderilir ve mevcut olduğu ölçüde şunları içerir:
Veri İşleyen, bir Kişisel Veri İhlali'nden haberdar olduğunda:
Kişisel Veri İhlali'nin GDPR madde 33 ve 34 uyarınca bir denetim makamına ve/veya İlgili Kişilere bildirilmesinin gerekip gerekmediğini belirlemek Veri Sorumlusu'nun sorumluluğundadır. Veri İşleyen, bu belirlemelerin yapılmasında ve bu yükümlülüklerin yerine getirilmesinde Veri Sorumlusu'na makul olan her türlü iş birliğini ve yardımı sağlar.
Veri İşleyen, işlemenin niteliğini dikkate alarak, GDPR Bölüm III kapsamındaki haklarını kullanan İlgili Kişilerin taleplerini yanıtlama yükümlülüğünü yerine getirebilmesi için Veri Sorumlusu'na, mümkün olduğu ölçüde, uygun teknik ve idari tedbirlerle yardımcı olur; bu haklar arasında şunlar yer alır:
Veri İşleyen doğrudan bir İlgili Kişi'den talep alırsa, İlgili Kişi'yi gecikmeksizin (ve her hâlükârda 5 iş günü içinde) Veri Sorumlusu'na yönlendirir ve talebi Veri Sorumlusu'na bildirir. Veri İşleyen, Veri Sorumlusu tarafından yetkilendirilmedikçe veya yasa gereği zorunlu olmadıkça böyle bir talebi doğrudan yanıtlayamaz.
Veri İşleyen, Veri Sorumlusu'nun Müşteri Verilerini yaygın olarak kullanılan, makinece okunabilir formatlarda (JSON, CSV) dışa aktarabilmesi için Hizmet panosu üzerinden bir işlev sunar. Veri Sorumlusu, veri taşınabilirliği taleplerini yerine getirmek için bu araçları kullanabilir.
Veri İşleyen, Kişisel Verilerin Hizmet aracılığıyla işlenmesiyle ilgili olarak gerekli olduğu hâllerde, GDPR madde 35 ve 36 kapsamında veri koruma etki değerlendirmelerinin (“DPIA'lar”) yürütülmesinde ve denetim makamlarıyla ön istişarelerde Veri Sorumlusu'na makul ölçüde yardım sağlar. Bu yardım, Veri İşleyen'in işleme faaliyetleri, teknik ve idari tedbirleri ve Alt Veri İşleyen düzenlemeleri hakkında bilgi sağlanmasını içerir.
Veri İşleyen, Kişisel Veriler dâhil Müşteri Verilerini esas olarak şu bölgede saklar: Avrupa Ekonomik Alanı (“AEA”), somut olarak İrlanda (eu-west-1) bölgesinde bulunan Supabase altyapısında.
Veri İşleyen tarafından görevlendirilen bazı Alt Veri İşleyenler Amerika Birleşik Devletleri'nde bulunmaktadır. Kişisel Verilerin, AEA dışında bulunan ve Avrupa Komisyonu'ndan yeterlilik kararı almamış bir ülkeye aktarıldığı hâllerde aşağıdaki güvenceler uygulanır:
Veri İşleyen, her bir uluslararası aktarım için, alıcı ülkenin hukuki çerçevesini ve yürürlükteki güvencelerin etkililiğini değerlendiren aktarım etki değerlendirmeleri yürütür ve bunları güncel tutar. Bu değerlendirmeler, talep üzerine Veri Sorumlusu'nun kullanımına sunulur.
Veri İşleyen, GDPR madde 28 ve işbu DPA ile öngörülen yükümlülüklere uyumu kanıtlamak için gerekli tüm bilgileri Veri Sorumlusu'nun kullanımına sunar.
Veri İşleyen, aşağıdaki koşullara tabi olmak kaydıyla, Veri Sorumlusu veya Veri Sorumlusu'nun görevlendirdiği bir denetçi tarafından yürütülen, teftişler dâhil denetimlere izin verir ve katkıda bulunur:
Mevcut olduğu hâllerde Veri İşleyen, Veri Sorumlusu'nun denetim gerekliliklerini karşılamak üzere ilgili sertifikaları, denetim raporlarını (örneğin SOC 2 Type II raporları) veya bağımsız üçüncü taraf denetimlerinin özetlerini sunabilir. Veri Sorumlusu, bu belgelerin kendi endişelerini makul ölçüde giderdiği hâllerde, bunları fiziksel denetim yerine değerlendirmeyi kabul eder.
Veri Sorumlusu ile Veri İşleyen arasındaki sözleşmenin feshi veya sona ermesi hâlinde:
Veri İşleyen, fesihten sonra Kişisel Verileri yalnızca aşağıdaki hâllerde saklayabilir:
Her bir hâlde Veri İşleyen, saklanan bu verileri işbu DPA uyarınca korumaya devam eder ve işlemeyi hukukun gerektirdiği amaçlarla sınırlar.
Sözleşme süresi boyunca Veri Sorumlusu, belirli Müşteri Verilerinin silinmesini Hizmet panosu üzerinden veya Veri İşleyen'e yazılı talepte bulunarak isteyebilir. Veri İşleyen, teknik uygulanabilirliğe ve yasal saklama yükümlülüklerine tabi olmak kaydıyla, bu talepleri 30 gün içinde yerine getirir.
Taraflardan her biri, GDPR madde 82 uyarınca, GDPR'ı ihlal eden işlemenin yol açtığı zararlardan sorumludur:
Taraflardan her birinin işbu DPA kapsamındaki toplam sorumluluğu, Hizmet Şartları'nda belirtilen sorumluluk sınırlamalarına tabidir; ancak bu sınırlamalar aşağıdakilere uygulanmaz:
Taraflardan her biri, tazmin talep eden tarafın diğer tarafa gecikmeksizin bildirimde bulunması ve makul iş birliği sağlaması kaydıyla, tazmin eden tarafın işbu DPA'yı veya GDPR kapsamındaki yükümlülüklerini ihlal etmesi sonucunda doğan her türlü masraf, talep, zarar veya gider bakımından diğer tarafı tazmin eder.
İşbu DPA, Veri Sorumlusu'nun Hizmet'i ilk kez kullandığı tarihte yürürlüğe girer ve Veri İşleyen, Veri Sorumlusu adına Kişisel Verileri işlediği sürece yürürlükte kalır.
Veri İşleyen'in işbu DPA kapsamındaki yükümlülükleri, Kişisel Verilerin iadesine veya silinmesine ilişkin yükümlülüklerini ve devam eden gizlilik yükümlülüklerini yerine getirmesi için gerekli olduğu ölçüde, sözleşmenin feshinden sonra da yürürlükte kalır.
İşbu DPA, kanunlar ihtilafı kurallarına bakılmaksızın şu ülkenin hukukuna tabidir ve bu hukuka göre yorumlanır: Hollanda. İşbu DPA'dan doğan her türlü uyuşmazlık, şu yerdeki yetkili mahkemelerin münhasır yargı yetkisine tabidir: Amsterdam, Hollanda.
İşbu DPA'nın herhangi bir hükmünün geçersiz veya uygulanamaz olduğu tespit edilirse, kalan hükümler tümüyle yürürlükte kalır ve geçerliliğini korur. Geçersiz hüküm, asıl amacı en yakın şekilde yansıtan geçerli bir hükümle değiştirilir.
İşbu DPA, yürürlükteki hukukta veya Veri İşleyen'in veri işleme uygulamalarında meydana gelen değişiklikleri yansıtmak üzere Veri İşleyen tarafından değiştirilebilir. Esaslı değişiklikler Veri Sorumlusu'na en az 30 gün önceden bildirilir. Bu bildirimden sonra Hizmet'in kullanılmaya devam edilmesi, değiştirilmiş DPA'nın kabul edildiği anlamına gelir.
İşbu DPA; Hizmet Şartları, Gizlilik Politikası ve geçerli her türlü Sipariş Formu ile birlikte, işbu DPA'nın konusuna ilişkin olarak taraflar arasındaki sözleşmenin tamamını oluşturur.
İşbu DPA'ya ilişkin sorular şu adrese iletilmelidir: privacy@vocito.ai
| Konu | Kişisel Verilerin Vocito yapay zekâ sesli resepsiyonist platformu aracılığıyla işlenmesi |
|---|---|
| Süre | Veri Sorumlusu ile Veri İşleyen arasındaki sözleşmenin süresi boyunca ve buna ek olarak geçerli saklama süreleri boyunca |
| İşleme Faaliyeti | Amaç |
|---|---|
| Gelen telefon aramalarının karşılanması | Aramaların, Veri Sorumlusu'nun işletmesi adına yapay zekâ sesli ajanı aracılığıyla yanıtlanması |
| Görüşme kaydı | Görüşmelerin, Veri Sorumlusu'nun incelemesi, kalite güvencesi ve kayıt tutma amacıyla kaydedilmesi |
| Görüşme transkripsiyonu | Ses kayıtlarının inceleme, metin içinde arama ve lead bilgilerinin çıkarılması amacıyla metne dönüştürülmesi |
| Yapay zekâ ile görüşme işleme | Arayanın niyetini anlamak, yanıt üretmek ve yapılandırılmış bilgi çıkarmak için büyük dil modellerinin (LLM) kullanılması |
| SMS mesajlaşması | Veri Sorumlusu adına arayanlara takip amaçlı kısa mesajlar gönderilmesi |
| Lead yönetimi | Aramalardan elde edilen lead bilgilerinin toplanması, saklanması ve düzenlenmesi |
| Randevu alma ve planlama | Veri Sorumlusu adına randevuların ve takvim kayıtlarının oluşturulması |
| E-posta entegrasyonu | Gmail/Microsoft 365 üzerinden bildirim gönderilmesi ve e-posta iletişiminin yönetilmesi |
| CRM veri yönetimi | Müşteri ilişkileri verilerinin saklanması ve düzenlenmesi |
| Analiz ve raporlama | Kullanım istatistiklerinin, arama analizlerinin ve performans raporlarının oluşturulması |
| Veri depolama | Müşteri Verilerinin AB merkezli altyapıda saklanması |
Veri İşleyen, GDPR madde 32 uyarınca aşağıdaki teknik ve idari tedbirleri uygular:
| Tedbir | Uygulama |
|---|---|
| Aktarım sırasında şifreleme | API çağrıları, pano erişimi ve Alt Veri İşleyenlerle iletişim dâhil tüm veri iletimleri için TLS 1.2+ |
| Beklemede şifreleme | Görüşme kayıtları, veritabanı kayıtları ve dosya depolama dâhil, saklanan tüm Kişisel Veriler için AES-256 şifreleme |
| Anahtar yönetimi | Şifreleme anahtarları, görevler ayrılığı ilkesiyle güvenli anahtar yönetimi hizmetleri üzerinden yönetilir |
| Tedbir | Uygulama |
|---|---|
| Kimlik doğrulama | Güçlü parola politikaları; tüm yönetici erişimleri ve canlı ortam erişimleri için MFA |
| Yetkilendirme | En az yetki ilkesine dayalı rol tabanlı erişim kontrolü (RBAC); müşteri verilerinin izolasyonu |
| Erişim gözden geçirmeleri | Tüm erişim izinlerinin üç ayda bir gözden geçirilmesi; rol değişikliği veya ayrılma hâlinde derhâl iptal |
| Müşteri verilerinin izolasyonu | Müşteri Verilerinin, Supabase PostgreSQL üzerinde satır düzeyinde güvenlik (RLS) kullanılarak mantıksal olarak ayrılması |
| Tedbir | Uygulama |
|---|---|
| Barındırma | Railway ve Supabase üzerinde, AB'de barındırılan altyapıyla AB bölgesinde barındırma; beklemede şifreli |
| Ağ güvenliği | Güvenlik duvarı koruması, ağ segmentasyonu, DDoS saldırılarının etkisinin azaltılması |
| Zafiyet yönetimi | Düzenli zafiyet taraması; kritik zafiyetlerin gecikmeksizin yamalanması |
| Sızma testi | Üçüncü tarafça yürütülen yıllık sızma testi |
| Tedbir | Uygulama |
|---|---|
| Güvenlik izleme | Güvenlik olaylarına, anormalliklere ve yetkisiz erişim girişimlerine yönelik sürekli izleme |
| Denetim kayıtları | Kişisel Verilere erişimin, yönetimsel işlemlerin ve güvenlik olaylarının kayıt altına alınması; log kayıtları en az 12 ay saklanır |
| Olay müdahalesi | Tanımlanmış roller, eskalasyon yolları ve iletişim prosedürleri içeren belgelenmiş olay müdahale planı; 72 saat içinde ihlal bildirimi |
| Tedbir | Uygulama |
|---|---|
| Veri minimizasyonu | İşleme, belirtilen amaçlar için gerekli Kişisel Verilerle sınırlıdır; yapay zekâ sağlayıcılarına toplu veri aktarımı yerine gerçek zamanlı akış |
| Saklama yönetimi | Yapılandırılabilir saklama süreleri içeren otomatik veri saklama politikaları; süresi dolan verilerin otomatik olarak silinmesi |
| Silme prosedürleri | Talep üzerine veya saklama süresinin dolması hâlinde, 90 gün içinde yedeklerden de silinmek üzere, Kişisel Verilerin güvenli şekilde silinmesi |
| Tedbir | Uygulama |
|---|---|
| Yedeklemeler | Müşteri Verilerinin düzenli ve otomatik olarak yedeklenmesi; şifreli yedek depolama; test edilmiş geri yükleme prosedürleri |
| Yedeklilik | Kritik hizmetler için yedekli altyapı; yük devretme yetenekleri |
| Kurtarma hedefleri | Kritik sistemler için tanımlanmış Kurtarma Süresi Hedefi (RTO) ve Kurtarma Noktası Hedefi (RPO) |
| Tedbir | Uygulama |
|---|---|
| Gizlilik | Tüm personel, Kişisel Verileri kapsayan gizlilik sözleşmeleri imzalar |
| Eğitim | Tüm personel için işe başlarken ve sonrasında her yıl güvenlik ve veri koruma farkındalığı eğitimi |
| Geçmiş taraması | Canlı ortam sistemlerine erişimi olan personel için geçmiş taraması (yasaların izin verdiği hâllerde) |
Mayıs 2026 itibarıyla Veri İşleyen aşağıdaki Alt Veri İşleyenleri görevlendirmektedir:
| Alt Veri İşleyen | Tüzel Kişi | Amaç | İşlenen Veriler | Konum | Aktarım Mekanizması |
|---|---|---|---|---|---|
| Twilio | Twilio Inc. | Telefon altyapısı, sesli arama yönlendirme, SMS iletimi | Telefon numaraları, görüşme sesi (gerçek zamanlı), arama meta verileri, SMS içeriği | ABD | SCC'ler + DPF |
| ElevenLabs | ElevenLabs Inc. | Yapay zekâ ses sentezi, gerçek zamanlı ses üretimi | Görüşme sesi (gerçek zamanlı akış) | ABD | SCC'ler |
| Anthropic | Anthropic PBC | Görüşmenin anlaşılması ve yanıt üretimi için büyük dil modeli (Claude) | Görüşme transkriptleri (gerçek zamanlı), görüşme bağlamı | ABD | SCC'ler |
| Google LLC | Görüşmelerin işlenmesi için büyük dil modeli (Gemini) | Görüşme transkriptleri (gerçek zamanlı), görüşme bağlamı | ABD / AB | SCC'ler + DPF | |
| OpenAI | OpenAI Inc. | Görüşmelerin işlenmesi için büyük dil modeli (GPT) | Görüşme transkriptleri (gerçek zamanlı), görüşme bağlamı | ABD | SCC'ler + DPF |
| Supabase | Supabase Inc. | PostgreSQL veritabanı barındırma, dosya depolama (görüşme kayıtları), kimlik doğrulama | Tüm Müşteri Verileri (hesap verileri, görüşme kayıtları, transkriptler, leadler, CRM verileri) | AB (İrlanda) | Veriler AEA'da saklanır; ana kuruluşla SCC'ler |
| Railway | Railway Corp. | Arka uç uygulamasının barındırılması ve çalıştırılması | Aktarım ve işleme sırasındaki uygulama verileri | AB bölgesi | Veriler AEA'da işlenir; ana kuruluşla SCC'ler |
Bu liste Veri İşleyen tarafından tutulur ve güncellenir. Bu listeye yapılacak her türlü ekleme veya değişiklik Veri Sorumlusu'na en az 30 gün önceden bildirilir.