Veri İşleme Eki
Sürüm 2026-10-09
Bu Veri İşleme Eki ("DPA"), Craftkite'ın ("Hizmet") kullanımı için Craftkite ("Craftkite", "veri işleyen") ile bu Eki kabul eden müşteri ("Müşteri", "veri sorumlusu") arasındaki sözleşmenin bir parçasıdır. Craftkite'ın AB Genel Veri Koruma Tüzüğü (GDPR), Birleşik Krallık GDPR'ı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve uygulanabilir diğer veri koruma mevzuatı ("Veri Koruma Mevzuatı") kapsamında Müşteri adına kişisel veri işlediği durumlarda uygulanır.
1. Roller ve kapsam
- Müşteri; kendisinin, üyelerinin veya yayınladığı uygulamaların son kullanıcılarının Hizmete sağladığı kişisel verilerin ("Müşteri Kişisel Verileri") veri sorumlusudur. Craftkite ise veri işleyendir.
- Craftkite, Gizlilik Politikası'nda açıklandığı üzere kendi işini yürütmek için ihtiyaç duyduğu hesap, faturalama ve güvenlik verileri bakımından veri sorumlusudur. Bu DPA söz konusu verileri kapsamaz.
- Ek 1, işlemeyi açıklar.
2. Talimatlar
Craftkite, Müşteri Kişisel Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler: sözleşme, bu DPA ve Müşterinin Hizmeti kullanımı ve yapılandırması. Craftkite, bir talimatın Veri Koruma Mevzuatını ihlal ettiğini düşünürse, kanun yasaklamadıkça bunu Müşteriye bildirir.
3. Gizlilik ve çalışan erişimi
- Craftkite, Müşteri Kişisel Verilerini işlemeye yetkili herkesin gizlilik yükümlülüğü altında olmasını sağlar.
- Craftkite personeli, Müşteri Kişisel Verilerine ve Müşterinin içeriğine (istemler, proje dosyaları, önizlemeler, uygulama verileri) yalnızca Müşterinin bir destek talebini, bir kötüye kullanım bildirimini, hukuki bir yükümlülüğü veya bir güvenlik olayını çözmek için gerekli olduğunda erişir. Her erişim belgelenmiş bir gerekçe gerektirir, süre ve kapsam (tek bir hesap veya tek bir proje) bakımından sınırlıdır, okunan her öğeyle birlikte yalnızca eklenebilir bir denetim kaydına işlenir ve Hesap → Gizlilik bölümünde Müşteriye gösterilir. Çalışan araçlarındaki kişisel veriler varsayılan olarak maskelenir.
- Craftkite, Müşteri Kişisel Verilerini veya Müşteri içeriğini yapay zekâ modellerini eğitmek, örnek, şablon veya değerlendirme oluşturmak ya da analiz amacıyla kullanmaz; içeriği topluluk galerisinde yalnızca Müşteri, geri alabileceği açık rızasıyla gönderdiğinde paylaşır.
4. Güvenlik
Craftkite, Ek 2'deki teknik ve idari tedbirleri uygular ve bunları riske uygun düzeyde tutar. Craftkite, genel koruma düzeyi düşmediği sürece bu tedbirleri güncelleyebilir.
5. Alt işleyenler
- Müşteri, Alt İşleyenler sayfasında listelenen alt işleyenler için genel yetki verir.
- Craftkite, yeni alt işleyenleri, Müşteri Kişisel Verilerini işlemeye başlamalarından en az 30 gün önce bu sayfada duyurur. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir; taraflar itirazı çözemezse, Müşteri Hizmetin etkilenen bölümünü sona erdirebilir ve bunun için peşin ödediği ücretlerin kalan süreye düşen kısmını iade alır.
- Craftkite, her alt işleyene bu DPA'dan daha az koruyucu olmayan veri koruma yükümlülükleri yükler ve onların yükümlülüklerini yerine getirmesinden sorumlu olmaya devam eder.
6. Uluslararası aktarımlar
Müşteri Kişisel Verilerinin AEA, Birleşik Krallık, İsviçre veya Türkiye dışında yeterlilik kararı bulunmayan bir ülkeye aktarıldığı durumlarda taraflar, atıf yoluyla bu DPA'ya dahil edilen AB Standart Sözleşme Hükümlerine (duruma göre Modül 2 veya 3), Birleşik Krallık Uluslararası Veri Aktarım Ekine ve Türkiye bakımından Kişisel Verileri Koruma Kurumu tarafından yayımlanan standart sözleşmelere dayanır. Veri Koruma Mevzuatının bir aktarım için ilgili kişinin açık rızasını gerektirdiği durumlarda, bu rızayı kendi kullanıcılarından almak Müşterinin sorumluluğundadır.
7. Destek ve ilgili kişi başvuruları
Craftkite, işlemenin niteliğini dikkate alarak, Müşteriye ilgili kişilerden gelen başvuruları yanıtlamasında ve güvenlik, ihlal bildirimi, veri koruma etki değerlendirmeleri ve ön istişareye ilişkin yükümlülüklerini yerine getirmesinde yardımcı olur. Hizmet, Müşterinin verilerini kendisinin dışa aktarmasına ve silmesine olanak tanır.
8. Kişisel veri ihlalleri
Craftkite, Müşteri Kişisel Verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin ve her hâlükârda 48 saat içinde, Müşterinin kendi yükümlülüklerini yerine getirmesi için ihtiyaç duyduğu bilgilerle birlikte Müşteriyi bilgilendirir.
9. Silme ve iade
Sözleşme sona erdiğinde Müşteri verilerini 30 gün boyunca dışa aktarabilir. Craftkite bunun ardından, kanun saklanmasını gerektirmedikçe, olağan rotasyonları içinde yedekler dahil olmak üzere Müşteri Kişisel Verilerini siler.
10. Denetimler
Craftkite, güvenlik politikaları ve mevcut olduğunda bağımsız denetim raporları (SOC 2 gibi) dahil olmak üzere, bu DPA'ya uyumu göstermek için gereken bilgileri sağlar. Bunun yeterli olmadığı durumlarda Müşteri, yılda bir kez, 30 gün önceden bildirimde bulunarak, mesai saatleri içinde, masrafları kendisine ait olmak ve gizlilik yükümlülüğü altında bir denetim yapabilir.
11. Sorumluluk ve öncelik
Her bir tarafın bu DPA kapsamındaki sorumluluğu sözleşmedeki sınırlara tabidir. Bu DPA ile sözleşme çelişirse, Müşteri Kişisel Verilerinin işlenmesi bakımından bu DPA geçerlidir. Bu DPA'nın bir çevirisi İngilizce sürümden farklıysa İngilizce sürüm geçerlidir.
Ek 1 — İşlemenin tanımı
| Başlık | Açıklama |
|---|---|
| Konu | Hizmetin sunulması: uygulamaların üretilmesi, çalıştırılması, test edilmesi, barındırılması ve yayınlanması |
| Süre | Sözleşme süresi ile 9. maddedeki silme süresi |
| Niteliği ve amacı | Saklama, istemlerin ve proje dosyalarının yapay zekâ ile işlenmesi, uygulamaların derlenmesi ve barındırılması, destek |
| İlgili kişiler | Müşterinin üyeleri; Müşterinin yayınladığı uygulamaların son kullanıcıları |
| Veri kategorileri | Adlar, e-posta adresleri, istemlerin ve proje dosyalarının içeriği, yayınlanan uygulamaların sakladığı veriler (uygulama veritabanları) |
| Özel nitelikli kişisel veriler | Amaçlanmamıştır; Müşteri ayrı bir sözleşme olmaksızın Hizmete özel nitelikli kişisel veri sağlamamalıdır |
Ek 2 — Teknik ve idari tedbirler
- Aktarım sırasında (TLS) ve gizli anahtarlar için depolamada şifreleme; uygulama gizli anahtarları şifreli bir kasada.
- Her proje kısıtlı ağa sahip yalıtılmış bir sandbox'ta çalışır; her uygulama veritabanı ayrıdır.
- Craftkite çalışanları için rol tabanlı erişim, yöneticiler için zorunlu iki adımlı doğrulama, yönetim konsolu için IP izin listesi ve yalnızca eklenebilir bir güvenlik denetim kaydı.
- Kurumsal çalışma alanları için çalışma alanı rolleri (sahip, yönetici, editör, görüntüleyici) ve çoklu oturum açma (SAML veya OpenID Connect).
- Craftkite'ın güvenlik politikalarında açıklandığı şekilde yedekleme, izleme ve olay müdahalesi.
- Yapay zekâ model sağlayıcıları, Müşteri verileriyle eğitim yapmamakla sözleşmesel olarak yükümlüdür; istekler, sunulduğu durumlarda sağlayıcıların saklamama seçeneklerini (OpenAI
store: false) taşır ve üye tanımlayıcıları içermez. - Çalışanlar için acil durum (break-glass) erişimi: gerekçe, süre sınırı, kapsam, okuma başına denetim kaydı ve Müşteriye şeffaflık; çalışan araçlarında kişisel verilerin maskelenmesi ve denetim kaydına işlenen açığa çıkarma; tam kişisel veri dışa aktarımları yalnızca süper yöneticiler için.
- Gizli önizlemeler: yalnızca projenin üyelerine veya süresi dolan imzalı bağlantılar aracılığıyla gösterilir.
- Kayıtlar, ekler, ekran görüntüleri, destek talepleri ve e-posta kayıtları için zamanlanmış temizlikle uygulanan saklama sınırları; hata raporları ve analizlerden kişisel verilerin ve içeriğin çıkarılması.