Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi (“VİS”), santral.la Hizmet Sözleşmesinin (“Sözleşme”) ayrılmaz parçasıdır ve Müşteri (“Veri Sorumlusu”) ile [ŞİRKET ÜNVANI] (“santral.la” veya “Veri İşleyen”) arasında uygulanır. Sözleşmedeki tanımlar burada da geçerlidir.

1. Kapsam ve roller

1.1. santral.la, Hizmeti sunarken Müşteri Verisindeki kişisel verileri Müşteri adına ve onun talimatlarıyla işler. Bu işleme bakımından Müşteri veri sorumlusu, santral.la veri işleyendir (KVKK m. 3(1)(ğ) ve (ı); GDPR m. 4(7) ve (8)).

1.2. santral.la’nın kendi müşteri hesabı, faturalama, destek ve pazarlama verileri bu VİS’in kapsamı dışındadır; bu veriler bakımından santral.la veri sorumlusudur ve Aydınlatma Metnine (santral.la/kvkk) tabidir.

1.3. Müşterinin Operatörü (SIP Trunk sağlayıcısı) santral.la’nın alt işleyeni değildir. Operatör, Müşteri ile kendi sözleşmesi kapsamında ayrı bir hizmet sunar.

1.4. Uygulanacak veri koruma mevzuatı: Türkiye’de yerleşik Müşteriler için KVKK ve ikincil mevzuatı; AB/AEA’da yerleşik Müşteriler veya GDPR kapsamındaki işlemeler için ayrıca Tüzük (AB) 2016/679 (GDPR). Bu VİS, KVKK m. 12 ve GDPR m. 28(3) gerekliliklerini karşılamak üzere hazırlanmıştır.

1.5. İşlemenin konusu, süresi, niteliği, amacı, kişisel veri türleri ve ilgili kişi kategorileri Ek-1’dedir.

2. Talimatlar

2.1. santral.la kişisel verileri yalnızca Müşterinin belgelenmiş talimatlarıyla işler. Sözleşme, bu VİS ve Müşterinin panel, uygulamalar veya API üzerinden yaptığı ayarlar (ör. kayıt açma, saklama süresi, silme, dışa aktarma) Müşterinin talimatlarıdır. Ek talimatlar yazılı olarak (destek talebi veya e-posta) verilir.

2.2. santral.la, bir talimatın mevzuata aykırı olduğu kanaatindeyse Müşteriyi derhal bilgilendirir ve talimatın uygulanmasını, Müşteri talimatı teyit edene veya değiştirene kadar erteleyebilir.

2.3. santral.la’nın yasal bir yükümlülük gereği işlemesi gerekirse, kanun yasaklamadıkça bunu işlemeden önce Müşteriye bildirir.

2.4. santral.la kişisel verileri kendi amaçları için (reklam, profil çıkarma, yapay zekâ modeli eğitimi, satış) kullanmaz. Müşteri Verisinden istatistik yalnızca Hizmetin işletilmesi, kapasite planlaması ve güvenlik için, kişisel veri içermeyecek şekilde üretilebilir.

3. Gizlilik

3.1. santral.la, kişisel verilere erişen çalışanlarının ve yüklenicilerinin yazılı gizlilik taahhüdü altında olmasını ve bu yükümlülüğün görevden ayrılmalarından sonra da sürmesini sağlar (KVKK m. 12(4); GDPR m. 28(3)(b)).

3.2. santral.la personeli ses kayıtlarına, sesli mesajlara ve çağrı içeriğine yalnızca Müşterinin yazılı destek talebi üzerine, talep kapsamıyla sınırlı olarak erişir. Bu erişimler kayıt altına alınır ve talep üzerine Müşteriye bildirilir.

4. Güvenlik

4.1. santral.la, işlemenin niteliği ve riskleri göz önünde bulundurularak Ek-2’deki teknik ve idari tedbirleri uygular (KVKK m. 12(1); GDPR m. 32).

4.2. santral.la tedbirleri, genel güvenlik seviyesini düşürmemek kaydıyla güncelleyebilir.

4.3. Müşteri de kendi sorumluluk alanındaki tedbirleri almakla yükümlüdür: Kullanıcı hesaplarının ve yetkilerin yönetimi, şifre güvenliği, uç cihazların güvenliği, Trunk kimlik bilgileri ve kayıtlara erişecek Kullanıcıların belirlenmesi.

5. Alt işleyenler

5.1. Müşteri, santral.la’nın Ek-3’te (santral.la/sozlesmeler/alt-isleyenler) belirtilen alt işleyenleri kullanmasına genel yazılı izin verir.

5.2. santral.la yeni bir alt işleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteriyi e-posta veya panel bildirimiyle bilgilendirir. Müşteri bu süre içinde makul ve veri korumaya dayalı gerekçeyle itiraz edebilir. Taraflar makul bir çözüm bulamazsa Müşteri, etkilenen Hizmet bölümünü ek ücret ödemeden feshedebilir ve kullanılmayan dönemin ücreti iade edilir.

5.3. santral.la, alt işleyenlere bu VİS’tekilerle özünde aynı veri koruma yükümlülüklerini yazılı sözleşmeyle yükler ve alt işleyenin yükümlülüklerini yerine getirmemesinden Müşteriye karşı sorumlu olmaya devam eder.

6. İlgili kişi taleplerine yardım

6.1. santral.la, Müşterinin ilgili kişi taleplerini (KVKK m. 11; GDPR m. 12-22) yanıtlamasına uygun teknik araçlarla yardım eder: arayan numarasına göre çağrı kayıtlarını ve ses kayıtlarını bulma, dışa aktarma ve tek tek silme.

6.2. santral.la’ya doğrudan bir ilgili kişi talebi ulaşırsa santral.la talebi yanıtlamaz, ilgili kişiyi Müşteriye yönlendirir ve Müşteriyi gecikmeksizin bilgilendirir.

6.2a. Kullanıcının kendi hesabını silmesi (sürekli talimat). Müşteri, kendi kullanıcılarının panelden, uygulamalardan veya hesap silme sayfasından kimliğini doğrulayarak kendi hesabının silinmesini istemesi hâlinde santral.la’nın bu talebi Müşteriye ayrıca sormadan yerine getirmesi için önceden talimat verir: hesap derhal devre dışı bırakılır ve tüm oturumları kapatılır, Müşterinin yöneticilerine derhal bildirilir, 14 gün sonra kullanıcının adı, e-posta adresi, şifresi ve iki adımlı doğrulama bilgisi, cihaz kayıtları, çevrimiçi süre kayıtları ve giriş kayıtlarındaki IP adresi ile tarayıcı bilgisi silinir veya kimliksizleştirilir. Müşteriye ait çağrı kayıtları, ses kayıtları, sesli mesajlar ve rehber kayıtları bu işlemden etkilenmez ve Müşterinin saklama süresine tabi kalır; kullanıcı bu kayıtlarda yalnızca takma adlı bir kimlikle yer alır. Müşteri, belgeli bir yasal saklama yükümlülüğü bulunduğunda 14 günlük süre içinde panelden yasal saklama kaydı (dayanak ve bitiş tarihi) düşerek silmeyi bu tarihe kadar erteleyebilir; erteleme talebi iptal etmez. [DOĞRULANACAK]

6.3. Araçlarla karşılanamayan yardım talepleri makul süre içinde yerine getirilir; olağan dışı çaba gerektiren talepler için santral.la, önceden bildirmek kaydıyla makul bir ücret talep edebilir.

7. Kişisel veri ihlali

7.1. santral.la, Müşteri Verisini etkileyen bir kişisel veri ihlalini öğrendiğinde Müşteriyi gecikmeksizin ve her hâlükârda en geç 24 saat içinde bilgilendirir.

7.2. Bildirim, o an mevcut olduğu ölçüde şunları içerir: ihlalin niteliği, zamanı ve tespit zamanı; etkilenen veri kategorileri, ilgili kişi ve kayıt sayısı (yaklaşık); olası sonuçlar; alınan ve önerilen tedbirler; irtibat kişisi. Tüm bilgiler aynı anda mevcut değilse bilgiler aşamalı olarak iletilir.

7.3. santral.la ihlalin etkilerini azaltmak için gerekli tedbirleri derhal alır, Müşterinin Kişisel Verileri Koruma Kuruluna, AB denetim makamlarına ve ilgili kişilere yapacağı bildirimlerde işbirliği yapar ve ihlal kayıtlarını tutar.

7.4. santral.la’nın bildirimi, ihlalden kusurlu olduğunu kabul anlamına gelmez.

8. Veri koruma etki değerlendirmesi

santral.la, Müşterinin veri koruma etki değerlendirmeleri ve denetim makamlarıyla önceden istişare yükümlülükleri (GDPR m. 35-36) için, işlemenin niteliği ve santral.la’nın elindeki bilgiler ölçüsünde yardım eder.

9. Veri bölgesi ve yurt dışına aktarım

9.1. Müşteri Verisi Müşterinin seçtiği Veri Bölgesinde saklanır ve işlenir: tr bölgesi İstanbul (Türkiye), eu bölgesi Frankfurt (Almanya, planlanan). Türkiye’deki müşterilerin verisi Türkiye’de, AB’deki müşterilerin verisi AB’de tutulur. Veri Bölgesi Müşterinin yazılı talimatı olmadan değiştirilmez.

9.2. Türkiye bölgesi (KVKK): santral.la, Türkiye bölgesindeki kişisel verileri Müşterinin talimatı olmadan yurt dışına aktarmaz. Bir aktarım gerekirse (ör. Müşterinin bölge değişikliği talimatı veya yurt dışındaki bir alt işleyen), aktarım KVKK m. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’e göre, Kurulun ilan ettiği standart sözleşmenin değiştirilmeden imzalanması ve imzadan itibaren beş iş günü içinde Kuruma bildirilmesi yoluyla yapılır. Yurt dışındaki bir alt işleyen bakımından bu sözleşme santral.la ile alt işleyen arasında veri işleyenden veri işleyene türündeki standart sözleşmedir; Müşterinin izni Madde 5.1 ile belgelenir.

9.3. AB bölgesi (GDPR): santral.la Türkiye’de yerleşiktir. AB bölgesindeki veriler AB’de saklansa da Hizmetin işletilmesi, bakımı ve destek için Türkiye’den uzaktan erişim mümkün olduğundan, bu erişim GDPR Bölüm V anlamında aktarım sayılabilir. Bu nedenle AB/AEA’da yerleşik Müşteriler bakımından taraflar, Komisyonun 2021/914 sayılı Kararıyla kabul edilen Standart Sözleşme Maddelerinin Modül 2’sini (veri sorumlusundan işleyene) Ek-4’te belirtilen seçimlerle bu VİS’e dâhil eder; Müşteri veri ihracatçısı, santral.la veri ithalatçısıdır. Uzaktan erişim en aza indirilir, kayıt altına alınır ve Ek-2’deki tedbirlerle korunur. santral.la, Müşterinin aktarım etki değerlendirmesine (TIA) yardım eder.

9.4. Uygulamaların anlık bildirimleri (Apple APNs, Google FCM) gibi zorunlu yurt dışı hizmetler Ek-3’te gösterilir. Bu hizmetlere gönderilen veri teknik olarak mümkün olan en az düzeyde tutulur.

10. Denetim

10.1. santral.la, bu VİS’e uyumu göstermek için gerekli bilgileri Müşterinin talebi üzerine sağlar (politikalar, tedbir açıklamaları, varsa bağımsız denetim raporları veya sertifikalar).

10.2. Bilgiler yeterli değilse Müşteri, en az 30 gün önceden yazılı bildirimle, yılda en fazla bir kez (ihlal veya denetim makamı talebi hâlinde ayrıca), çalışma saatleri içinde, gizlilik taahhüdü vermiş ve santral.la’nın rakibi olmayan bir denetçi aracılığıyla denetim yapabilir. Denetim diğer müşterilerin verilerine ve Hizmetin güvenliğine zarar vermeyecek şekilde yapılır; masrafları Müşteriye aittir.

11. Sürenin sona ermesi: iade ve silme

11.1. Sözleşme sona erdiğinde Müşteri 30 gün boyunca verilerini dışa aktarabilir. Bu sürenin sonunda santral.la Müşteri Verisini siler; yedeklerdeki kopyalar en geç [35] gün içinde yedek döngüsüyle silinir ve silinene kadar erişime kapalı tutulur.

11.2. santral.la, yasal bir saklama yükümlülüğü bulunan verileri (bu yükümlülük süresince ve yalnızca o amaçla) saklar.

11.3. Müşterinin talebi üzerine santral.la silmeyi yazılı olarak teyit eder.

12. Kayıtlar ve yetkili makam talepleri

12.1. santral.la, veri işleyen olarak yürüttüğü işleme faaliyetlerinin kaydını tutar (GDPR m. 30(2)).

12.2. santral.la’ya Müşteri Verisine ilişkin bir mahkeme, savcılık veya başka bir yetkili makam talebi ulaşırsa santral.la, kanun yasaklamadıkça Müşteriyi bilgilendirir, talebin hukuka uygunluğunu inceler ve yalnızca zorunlu olan asgari veriyi verir.

13. Sorumluluk ve öncelik

13.1. Bu VİS’ten doğan sorumluluk Sözleşmedeki sınırlamalara tabidir; kanunen sınırlandırılamayan sorumluluklar ve ilgili kişilerin doğrudan hakları (ör. GDPR m. 82) saklıdır.

13.2. Kişisel veriler bakımından bu VİS Sözleşmeye önceliklidir. Ek-4’teki SCC ile bu VİS arasında çelişki olursa SCC uygulanır.

13.3. Bu VİS Sözleşme süresince ve santral.la Müşteri Verisini işlediği sürece yürürlükte kalır. Uygulanacak hukuk ve yetki Sözleşmedeki gibidir; SCC kendi hükümlerine tabidir.

---

Ek-1 — İşlemenin ayrıntıları

Ek-2 — Teknik ve idari tedbirler

Erişim ve kimlik doğrulama

• Rol tabanlı yetkilendirme (platform yöneticisi, müşteri yöneticisi, temsilci); her istek kiracı (tenant) kontrolünden geçer.
• Oturumlar sunucu tarafında tutulur; panel oturum çerezi HttpOnly’dir; tarayıcı API’ye doğrudan erişmez.
• Başarısız giriş denemeleri sınırlandırılır; tekrar eden kötü niyetli girişimler engellenir (fail2ban). [DOĞRULANACAK]
• Panel için iki aşamalı doğrulama (2FA).
• santral.la personelinin erişimi en az yetki ilkesine göre verilir; sunuculara yalnızca anahtar tabanlı SSH ile erişilir.

Kiracı ayrımı

• Her müşteri için ayrı SIP alanı; tüm müşteri tablolarında zorunlu müşteri kimliği; farklı müşteriler arasında çağrı yönlendirmesi yapılamaz; Trunk’lar müşteriler arasında paylaşılmaz.

Şifreleme

• Panel, API ve uygulama trafiği TLS ile; web ve mobil telefon ses trafiği DTLS-SRTP ile şifrelenir. Operatör tarafında SIP/RTP şifrelemesi Operatörün desteğine bağlıdır.
• Masa telefonları ve üçüncü taraf SIP istemcileri TLS/SRTP yapılandırılmadıkça şifresiz bağlanır (platform bu cihazlar için şifresiz UDP/TCP kaydını da kabul eder).
• Trunk şifreleri ve SIP kimlik bilgileri veritabanında şifreli (Fernet) saklanır ve API tarafından hiçbir zaman geri döndürülmez.
• Ses kayıtları ve sesli mesajlar için bekleyen veri (at rest) şifrelemesi. [DOĞRULANACAK]
• Yedekler şifreli olarak saklanır. [DOĞRULANACAK]

Kayıt ve izleme

• Değişiklikler, girişler ve başka bir kullanıcının telefon kimlik bilgilerine erişim işlem kaydına (audit log) yazılır.
• Kayıt dinleme, indirme ve silme işlemlerinin kaydı.
• Sunucu ve hizmet izleme; olağan dışı trafik uyarıları.

Dolandırıcılığa karşı

• Uluslararası arama varsayılan olarak kapalıdır ve iki anahtarlıdır (platform izni ve Müşteri ayarı).
• Müşteri başına eşzamanlı çağrı limiti.
• Giden arayan numarası Müşterinin kendi numaralarıyla sınırlanır.

Veri azaltma ve saklama

• Çağrı kaydı varsayılan olarak kapalıdır; kayıt anonsu tanımlanabilir.
• Saklama süresi dolan kayıtların otomatik silinmesi.
• Anlık bildirimlerde yalnızca çağrıyı eşleştirmek için gereken asgari veri gönderilir. [DOĞRULANACAK]

Süreklilik

• Günlük yedekleme; yedekten geri dönüş testleri; yedekler aynı Veri Bölgesinde tutulur.

İdari tedbirler

• Personel gizlilik taahhütleri; KVKK ve bilgi güvenliği farkındalık eğitimi; ihlal müdahale prosedürü ve ihlal kaydı; yazılım güncellemelerinin düzenli uygulanması; yılda en az bir kez sızma testi [DOĞRULANACAK]; alt işleyen sözleşmeleri.

Ek-3 — Alt işleyenler

Güncel liste: santral.la/sozlesmeler/alt-isleyenler.

Ek-4 — AB Standart Sözleşme Maddeleri (yalnızca AB/AEA müşterileri)