Veri İşleme Sözleşmesi
1. Taraflar ve Kapsam
Bu Sözleşme, Indexa hizmetini kullanan müşteri ("Veri Sorumlusu") ile Indexa Teknoloji Anonim Şirketi ("Veri İşleyen") arasındaki Kurumsal Hizmet Sözleşmesi'nin veya web sitesi üzerinden kurulan Mesafeli Hizmet Sözleşmesi'nin ekidir ve Veri İşleyen'in Hizmet kapsamında Veri Sorumlusu adına işlediği kişisel verilere uygulanır.
Web sitesi aboneliğinde bu Sözleşme, Mesafeli Hizmet Sözleşmesi m.7.2.1 uyarınca, işletme (tacir veya esnaf) olarak hareket eden ve ölçüme marka veya rakip olarak bir gerçek kişinin adını ekleyen müşteriye uygulanır.
Ajans müşteriler: Müşteri bir ajans olarak kendi müşterisi olan marka sahibi için hizmet alıyorsa, kural olarak marka sahibi veri sorumlusu, Müşteri veri işleyen ve Indexa alt veri işleyendir. Bu durumda bu Sözleşme'deki "Veri Sorumlusu" ifadesi Müşteri'yi (ajans) ifade eder; Müşteri, bu Sözleşme'deki talimat ve taahhütleri marka sahibinin talimatıyla uyumlu olarak verdiğini taahhüt eder.
Indexa'nın kendi hesap ve fatura süreçleri ile kendi adına hazırladığı sektör raporları bu Sözleşme'nin kapsamı dışındadır; bu süreçlerde Indexa veri sorumlusudur (KVKK Aydınlatma Metni).
2. İşlemenin Ayrıntıları
| Konu | Markanın yapay zeka asistanlarının cevaplarındaki görünürlüğünün ölçülmesi ve raporlanması |
| Süre | Ana sözleşme süresince ve madde 9'daki silme süresi boyunca |
| İlgili kişi grupları | (a) Kişi markası olarak ölçülen gerçek kişi; (b) rakip olarak tanımlanan gerçek kişiler; (c) yapay zeka cevaplarında adı geçen kişiler; (d) soru setine Veri Sorumlusu'nca yazılmış diğer kişiler |
| Veri kategorileri | Kimlik (ad-soyad), kamuya açık mesleki bilgi (unvan, kurum), yapay zeka cevaplarında kişi hakkında yer alan bilgiler |
| Özel nitelikli veri | İşlenmesi amaçlanmaz. Yapay zeka cevapları kişi hakkında bu nitelikte bilgi içerebilir; bu durumda madde 4.5 uygulanır |
| İşleme faaliyetleri | Soru setine dahil etme, yapay zeka sağlayıcılarına sorgu olarak gönderme, cevapları kaydetme, sayma, analiz etme, raporlama, saklama, silme |
3. Veri Sorumlusu'nun Yükümlülükleri
3.1. Veri Sorumlusu, Veri İşleyen'e ilettiği kişisel verilerin işlenmesi için KVKK m.5'e uygun hukuki sebebe sahip olduğunu ve ilgili kişileri KVKK m.10 uyarınca aydınlattığını taahhüt eder.
3.2. Veri Sorumlusu, ölçüme gerçek kişi adı eklerken gerekli olandan fazla veri (ör. iletişim bilgisi, özel nitelikli veri) eklememeyi kabul eder.
3.3. Veri Sorumlusu, yurt dışı aktarım için gerekli işlemlerin (madde 7) yürütülmesinde Veri İşleyen ile iş birliği yapar.
4. Veri İşleyen'in Yükümlülükleri
4.1. Veri İşleyen, kişisel verileri yalnız Veri Sorumlusu'nun ana sözleşme ve bu Sözleşme'deki talimatlarına göre ve yalnız Hizmet'in sunulması için işler. Talimatın mevzuata aykırı olduğunu düşünürse Veri Sorumlusu'nu bilgilendirir.
4.2. Veri İşleyen, bu Sözleşme kapsamındaki kişisel verileri kendi amaçları için kullanmaz, satmaz ve başka müşterilerle paylaşmaz. Kişi markası verisi (ölçülen veya rakip olarak tanımlanan gerçek kişilerin adları ve onlara ilişkin yapay zeka cevapları), anonimleştirilmiş veya toplulaştırılmış olsa dahi Veri İşleyen'in toplulaştırılmış istatistiklerine, sektör analizlerine, sektör raporlarına ve ürün geliştirme çalışmalarına alınmaz. Kurum markalarına ilişkin, kişi içermeyen ve Veri Sorumlusu'nu tanımlamayan toplulaştırılmış istatistikler bu yasağın dışındadır.
4.3. Veri İşleyen, verilere erişen çalışanlarının gizlilik yükümlülüğü altında olmasını sağlar.
4.4. Veri İşleyen, ilgili kişilerin KVKK m.11 başvurularına cevap verilmesinde Veri Sorumlusu'na makul ölçüde yardımcı olur; kendisine doğrudan gelen başvuruları gecikmeksizin 5 iş günü içinde Veri Sorumlusu'na iletir.
4.5. Yapay zeka cevaplarında ilgili kişi hakkında özel nitelikli olabilecek bilgi tespit edilirse ve Veri Sorumlusu talep ederse, Veri İşleyen ilgili ham cevabı silmek veya maskelemek için makul tedbiri alır.
5. Veri Güvenliği (KVKK m.12)
5.1. Veri İşleyen en az şu teknik ve idari tedbirleri uygular:
- Aktarımda şifreleme (TLS) ve durağan veride şifreli saklama (veritabanı sağlayıcısında AES-256)
- Müşteri verisinin satır düzeyi erişim kurallarıyla müşteri bazında ayrılması
- Rol bazlı yetkilendirme; yönetici erişiminin sınırlı tutulması ve kaydedilmesi
- Sırların (API anahtarları) yalnız sunucu tarafında saklanması
- Yapay zeka sağlayıcılarına gönderilen sorgularda hesap kimliğinin (e-posta, ad, kullanıcı numarası) yer almaması
- Hata takibine gönderilen kayıtların müşteri verisinden ayıklanması
- Çalışanlara gizlilik taahhüdü ve yılda bir KVKK farkındalık eğitimi
5.2. Taraflar, KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasında müştereken sorumludur.
6. Alt İşleyenler
6.1. Veri Sorumlusu, aşağıdaki listede yer alan alt işleyenlerin kullanılmasına genel yazılı onay verir.
6.2. Veri İşleyen, yeni bir alt işleyen eklemeden en az 15 gün önce Veri Sorumlusu'nu e-postayla bilgilendirir. Veri Sorumlusu haklı gerekçeyle itiraz edebilir; uzlaşma sağlanamazsa ilgili hizmeti cezasız feshedebilir.
6.3. Veri İşleyen, alt işleyenlere bu Sözleşme'deki yükümlülüklerden daha az koruyucu olmayan yükümlülükler yükler ve onların fiillerinden Veri Sorumlusu'na karşı sorumludur.
Alt İşleyen Listesi
| Alt işleyen | Hizmet | İşleme yeri | Bu sözleşme kapsamındaki veri |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Veritabanı | İrlanda (AB) | Tüm ölçüm kayıtları |
| Vercel Inc. (ABD) | Uygulama barındırma | İrlanda (Dublin, AB) | İşleme sırasında geçici |
| OpenAI OpCo, LLC (ABD) | Yapay zeka ölçümü | ABD | Sorgu ve cevaplar |
| Google LLC (ABD) — Gemini API | Yapay zeka ölçümü | ABD | Sorgu ve cevaplar |
| Anthropic, PBC (ABD) | Analiz, soru üretimi, rapor anlatısı | ABD | Cevaplar ve marka bağlamı |
| Plus Five Five, Inc. — Resend (ABD) | E-posta bildirimi | AB (eu-west-1) | Rapor bildirimlerinde marka adı |
| Functional Software, Inc. — Sentry (ABD) | Hata takibi | Almanya (Frankfurt, AB) | Ayıklanmış hata kayıtları — kural olarak bu sözleşme kapsamındaki veri gitmez |
| Joam Intelligence, LLC — Scrapfly (ABD) | Web sayfası okuma, arama önerisi | ABD | Arama ifadesinde kişi adı geçebilir |
| Anthropic, PBC (ABD) — Claude Team hesabı | Müşteri raporlarının hazırlanması | ABD | Rapor hazırlığında ölçüm sonuçları, kişi adı ve hakkındaki cevaplar |
| Google Cloud EMEA Limited (İrlanda) — Google Workspace: şirket e-postası ve Google Drive | Raporların saklanması ve Veri Sorumlusu'na iletilmesi | Google'ın veya alt işleyenlerinin tesis bulundurduğu ülkeler (ABD dahil) | Raporlar ve yazışmalar |
7. Yurt Dışına Aktarım
Alt işleyenlerin bir kısmı Türkiye dışındadır. Veri İşleyen, bu alt işleyenlerle KVKK m.9 ve ilgili Yönetmelik uyarınca Kurul'un ilan ettiği standart sözleşmeyi (veri işleyenden veri işleyene modülü) imzalamayı ve her imzadan sonra Kurum'a bildirimi mevzuattaki süre içinde yapmayı üstlenir. Bu Sözleşme'nin tarihi itibarıyla imza süreci devam etmektedir; Veri İşleyen, talep halinde güncel imza durumunu Veri Sorumlusu'na yazılı olarak bildirir. Ayrıntılar Indexa'nın yurt dışı aktarım envanterindedir (talep halinde paylaşılır).
8. İhlal Bildirimi
Veri İşleyen, kişisel veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Veri Sorumlusu'na bildirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçlar ve alınan tedbirler yer alır. Kurul'a ve ilgili kişilere bildirim yükümlülüğü Veri Sorumlusu'na aittir; Veri İşleyen gerekli bilgiyi sağlar.
9. Silme ve İade
Ana sözleşme sona erdiğinde Veri İşleyen, Veri Sorumlusu'nun tercihine göre verileri dışa aktarılabilir biçimde iade eder ve/veya sona ermeden itibaren 30 gün içinde siler veya anonim hale getirir; yedeklerdeki kopyalar veritabanı sağlayıcısının yedek döngüsü sonunda (7–30 gün) silinir. Mevzuat gereği saklanması zorunlu kayıtlar saklıdır.
10. Denetim
Veri İşleyen, bu Sözleşme'ye uyumu göstermek için makul bilgi ve belgeyi sağlar. Yerinde denetim, 30 gün önceden yazılı bildirimle, yılda en fazla bir kez, iş saatlerinde ve masrafı Veri Sorumlusu'na ait olmak üzere yapılabilir; üçüncü taraf sağlayıcıların tesisleri kapsam dışıdır.
11. Sorumluluk ve Süre
Bu Sözleşme'den doğan sorumluluk ana sözleşmedeki sınırlamalara tabidir. Kurumsal Hizmet Sözleşmesi'nde kişisel veri ihlalleri için genel tavandan ayrı bir tavan (son 12 ayda ödenen ücretin 2 katı) uygulanır; kast ve ağır ihmalde sınırlama yoktur. Web sitesi aboneliğinde Mesafeli Hizmet Sözleşmesi m.8.4 uygulanır. Sözleşme ana sözleşmeyle birlikte sona erer; madde 9 ve gizlilik hükümleri sona ermeden sonra da geçerlidir.
Sorularınız için: hello@indexa.com.tr · KEP: indexa@hs06.kep.tr
Son güncelleme: 29 Ekim 2026