Veri İşleme Sözleşmesi

1. Taraflar ve roller

Müşteri, kendi sitesine Savra etiketini ekleyerek ziyaretçilerinin verilerinin işlenmesine karar verdiğinden bu verilerin veri sorumlusudur. Savra, bu verileri yalnızca müşteri adına, müşterinin talimatları ve bu sözleşme çerçevesinde işleyen veri işleyendir. Savra'nın kendi müşterileri hakkında işlediği hesap ve fatura verileri bu sözleşmenin kapsamı dışındadır; onlar için Savra veri sorumlusudur.

2. İşlemenin konusu, niteliği ve süresi

• Konu: Müşterinin sitesine gelen reklam ziyaretlerinin otomatik kaynaklar ve şüpheli tıklama açısından incelenmesi; şüpheli IP adreslerinin müşterinin yetkilendirdiği ölçüde Google Ads hesabında süreli olarak hariç tutulması.
• Nitelik: Toplama, kaydetme, şifreleme, özetleme (HMAC), puanlama, müşterinin Google Ads hesabına aktarma (yalnızca hariç tutulan IP adresi), saklama ve silme.
• Süre: Müşterinin aboneliği süresince ve bu sözleşmedeki silme süreleri dolana kadar.

3. Veri kategorileri ve ilgili kişiler

• İlgili kişiler: Müşterinin sitesini ziyaret eden kişiler.
• Veriler: IP adresi (şifreli, varsayılan 7 gün), IP adresinin müşteriye özel anahtarla üretilmiş özeti, sorgu parametreleri temizlenmiş sayfa yolu, reklam tıklama kimlikleri (gclid, gbraid, wbraid, fbclid), UTM etiketleri ve reklam kampanya beyanları, kaba tarayıcı sınıfı ve tarayıcı bilgisinin özeti, sayfanın görünür kaldığı süre ve etkileşim sayısı, ziyaretçi onay durumu.
• Toplanmayanlar: Form içeriği, tuş vuruşları, fare izi, tam URL, cihaz parmak izi, çerez. Özel nitelikli kişisel veri işlenmez.

4. İşleme talimatları

Müşterinin talimatları; bu sözleşme, Kullanım Koşulları ve müşterinin panelde yaptığı ayarlardan (mod, eşikler, izin listesi, saklama süreleri, hariç tutma kapsamı) oluşur. Savra verileri başka bir amaçla işlemez, başka müşterilerin verileriyle birleştirmez ve satmaz. Bir talimatın mevzuata aykırı olduğunu düşünürse müşteriyi derhal bilgilendirir.

5. Müşterinin yükümlülükleri

• Ziyaretçilerini kendi aydınlatma metninde bu işleme hakkında bilgilendirmek,
• Çerez veya benzeri teknolojiler için gereken onayı kendi çerez yönetiminde almak ve etikete iletmek (data-consent özniteliği veya setConsent çağrısı),
• İşlemenin hukuki sebebinin bulunduğundan emin olmak.

6. Gizlilik

Savra, verilere erişen personelinin ve yardımcılarının sır saklama yükümlülüğü altında olmasını sağlar. Erişim, hizmetin sunulması, destek talebi, güvenlik incelemesi veya kanuni zorunlulukla sınırlıdır.

7. Teknik ve idari tedbirler

• Aktarım sırasında HTTPS ile şifreleme,
• Ham IP adresinin AES-256-GCM ile şifrelenmesi ve kısa süre sonra silinmesi; analizin müşteriye özel anahtarlı özet üzerinden yapılması,
• Veritabanı düzeyinde müşteri ayrımı (her kayıt kuruluş kimliğiyle bağlıdır),
• Saklama sürelerinin otomatik uygulanması,
• Google Ads'e yazmanın çok katmanlı onay, saatlik sınır ve acil durdurma ile sınırlandırılması,
• İşlem günlüğü,
• Asgari yetki ilkesi ve gizli anahtarların veritabanından ayrı tutulması.

8. Alt veri işleyenler

Müşteri, aşağıdaki alt veri işleyenlerin kullanılmasına genel izin verir. Savra yeni bir alt veri işleyen eklemeden veya mevcut olanı değiştirmeden önce en az 30 gün önceden e-posta ile bildirir; müşteri bu süre içinde makul gerekçeyle itiraz edebilir ve itirazı karşılanamazsa aboneliğini ek bedel ödemeden sona erdirebilir. Savra, alt veri işleyenlere bu sözleşmedekilerle eşdeğer yükümlülükler yükler.

9. Yurt dışına aktarım

Bazı alt veri işleyenler ABD merkezlidir. Bu sözleşme tek başına yurt dışına aktarım için hukuki dayanak oluşturmaz. Aktarımlar KVKK'nın 9. maddesine uygun olarak yürütülür; taraflar, Kurul'un ilan ettiği standart sözleşmelerin ilgili modülünün imzalanması ve Kurum'a bildirimi dahil gerekli işlemleri birlikte tamamlamayı kabul eder.

10. İhlal bildirimi ve iş birliği

Savra, müşteri verilerini etkileyen bir ihlali öğrendiğinde müşteriyi gecikmeksizin ve mümkünse 24 saat içinde bilgilendirir; ihlalin niteliğini, etkilenen veri kategorilerini, olası sonuçlarını ve alınan tedbirleri bildirir. Müşterinin Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirebilmesi için makul iş birliği yapar. Ziyaretçilerden gelen başvuruları müşteriye iletir ve müşterinin başvuruları yanıtlamasına yardım eder (örneğin IP bazlı silme aracı).

11. Denetim ve bilgi talepleri

Savra, bu sözleşmeye uyumunu gösteren bilgi ve belgeleri müşterinin makul talebi üzerine sağlar. Yerinde denetim, makul bir süre önceden bildirilmesi, Savra'nın diğer müşterilerinin verilerinin gizliliğinin korunması ve masrafların müşteri tarafından karşılanması kaydıyla yılda bir kez yapılabilir. Yetkili makamların denetimleri saklıdır.

12. Sona ermede verilerin silinmesi veya iadesi

Abonelik sona erdiğinde ziyaretçi verileri saklama süreleri dolduğunda silinir. Müşteri hesabın kapatılmasını isterse bu veriler 30 gün içinde silinir; müşteri sona ermeden önce isterse kayıtlar makine tarafından okunabilir biçimde kendisine verilir. Kanunen saklanması zorunlu veriler bu kapsamın dışındadır.