Veri işleme sözleşmesi (şablon)

Bu, GPT Workspace’in kurumsal müşterileriyle imzaladığı veri işleme sözleşmesinin (VİS) şablonudur. Önceden doldurulmuş halini almak için contact@gpt.space adresine şirketinizin yasal adı, adresi, iletişim kişisi ve koltuk sayısıyla birlikte yazın. Adı geçen işleyiciler Güven Merkezi sayfasında listelenmekte ve güncel tutulmaktadır.

Bu şablon yalnızca bilgilendirme amaçlı sunulmuştur ve hukuki tavsiye değildir. İmzalamadan önce avukatınızın incelemesine sunun. Köşeli parantez içindeki alanlar imzadan önce doldurulur.

---

Bu Veri İşleme Sözleşmesi (“VİS”), GPT Workspace’in (“Hizmet”) kullanımına ilişkin sözleşmenin bir parçasını oluşturur ve aşağıdaki taraflar arasında akdedilir:

• [MÜŞTERİ YASAL ADI], [MÜŞTERİ ADRESİ], [SİCİL NUMARASI] (“Müşteri” veya “Veri Sorumlusu”), ve
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, ABD (“Sağlayıcı” veya “İşleyen”),

birlikte “Taraflar”. Sözleşme [YÜRÜRLÜK TARİHİ] tarihinde yürürlüğe girer ve Sağlayıcı Müşteri adına Kişisel Verileri işlediği sürece geçerli kalır.

“GDPR”, Avrupa Birliği Tüzüğü 2016/679 anlamına gelir ve uygulanabilir olduğu durumlarda 2018 Veri Koruma Yasası’nda tanımlanan İngiltere GDPR’ini de kapsar. “Kişisel Veri”, “İşleme”, “Veri Sorumlusu”, “İşleyen”, “Veri Sahibi”, “Denetim Otoritesi” ve “Kişisel Veri İhlali” ifadeleri GDPR Madde 4’te verilen anlamlara sahiptir. “Alt İşleyici”, Sağlayıcının Müşteri adına Kişisel Verileri işlemek üzere görevlendirdiği üçüncü bir tarafı ifade eder. “Müşteri Verisi”, Hizmet sözleşmesi kapsamında Sağlayıcının Müşteri için işlediği ve Ek 1’de tanımlanan Kişisel Verileri ifade eder.

2.1 Müşteri, Veri Sorumlusu ve Sağlayıcı, Müşteri Verilerinin İşleyenidir. Müşterinin kendi müşterileri için bir işleyen olarak hareket ettiği durumlarda, Sağlayıcı bir alt işleyen olarak hareket eder ve Müşteri, kendi talimatlarının ilgili veri sorumlusu tarafından yetkilendirildiğini garanti eder.

2.2 İşlemenin konusu, süresi, doğası ve amacı, Kişisel Verilerin türleri ve Veri Sahiplerinin kategorileri Ek 1’de belirtilmiştir.

3.1 Sağlayıcı, Müşteri Verilerini yalnızca Müşterinin belgelendirilmiş talimatları doğrultusunda işler; bu, üçüncü bir ülkeye aktarımı da kapsar. Ancak Sağlayıcının tabi olduğu Birlik veya Üye Devleti yasası bunu gerektirdiği durumlar hariçtir; bu durumda Sağlayıcı, yasaklamadığı sürece, işlemeden önce Müşteriyi bu yasal gereklilik konusunda bilgilendirir.

3.2 Müşterinin talimatları şunlardır: Hizmet sözleşmesi, bu VİS, Müşteri ve kullanıcılarının Hizmette yaptıkları yapılandırma ve Müşteri kullanıcılarının Hizmete gönderdiği istekler. Sağlayıcı, bir talimatın GDPR’i ihlal ettiği kanısına varması halinde Müşteriyi derhal bilgilendirir.

Sağlayıcı, Müşteri Verilerini işlemeye yetkili kişilerin gizlilik taahhüdünde bulunduğundan veya uygun bir yasal gizlilik yükümlülüğü altında olduklarından emin olur ve erişimi, her kişinin Hizmeti sunmak için ihtiyaç duyduğuyla sınırlar.

Sağlayıcı, Ek 2’de listelenen teknik ve organizasyonel önlemleri uygular ve bunları sürekli gözden geçirir. Teknolojinin güncel durumu, uygulama maliyetleri ve İşlemenin doğası, kapsamı, bağlamı ve amaçları göz önünde bulundurulduğunda, bu önlemler riske uygun bir güvenlik düzeyi sağlar.

6.1 Müşteri, Sağlayıcıya Ek 3’te listelenen Alt İşleyicileri görevlendirmesi için genel yazılı yetki verir.

6.2 Sağlayıcı, bir Alt İşleyicinin eklenmesi veya değiştirilmesi niyetini, değişiklik yürürlüğe girmeden en az [30] gün önce, [MÜŞTERİ BİLDİRİM E-POSTASI] adresine e-posta göndererek ve https://gpt.space/trust adresindeki listeyi güncelleyerek Müşteriye bildirir. Müşteri, makul veri koruma gerekçeleriyle bu süre içinde itiraz edebilir; Taraflar itirazı çözemezse, Müşteri Hizmetin etkilenen kısmını ceza olmaksızın feshedebilir.

6.3 Sağlayıcı, her Alt İşleyiciye sözleşme yoluyla bu VİS’te öngörülenlerle aynı veri koruma yükümlülüklerini getirir; özellikle uygun teknik ve organizasyonel önlemleri uygulamak için yeterli güvenceler sağlar. Bir Alt İşleyici yükümlülüklerini yerine getirmezse, Sağlayıcı, o Alt İşleyicinin yükümlülüklerinin yerine getirilmesinden Müşteriye karşı tam sorumludur.

İşlemenin doğası göz önünde bulundurulduğunda, Sağlayıcı, Müşterinin GDPR Bölüm III kapsamında Veri Sahibinin haklarını kullanma taleplerine yanıt verme yükümlülüğünü yerinelendirmesi için, mümkün olduğu ölçüde, uygun teknik ve organizasyonel önlemlerle Müşteriye yardımcı olur. Sağlayıcı, Müşteri Verisiyle ilgili olarak doğrudan bir Veri Sahibinden aldığı her türlü talebi makul gecikme olmaksızın Müşteriye iletir ve Müşterinin talimatı veya yasal gereklilik olmadıkça bu talebe yanıt vermez.

Sağlayıcı, İşlemenin doğasını ve Sağlayıcının elindeki bilgileri göz önünde bulundurarak, Müşterinin GDPR Madde 32 ila 36 kapsamındaki yükümlülüklerine (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmeleri ve önceden istişare) uymasını sağlamada Müşteriye yardımcı olur.

Sağlayıcı, Müşteri Verisini etkileyen bir Kişisel Veri İhlalinden haberdar olduğu andan itibaren makul gecikme olmaksızın ve her halükarda [48] saat içinde, [MÜŞTERİ BİLDİRİM E-POSTASI] adresine e-posta göndererek Müşteriyi bilgilendirir. Bildirim, bilinen ölçüde, ihlalin doğasını, etkilenen Veri Sahiplerinin kategorilerini ve yaklaşık sayısını, olası sonuçları, alınan veya önerilen önlemleri ve bir iletişim noktasını içerir; henüz mevcut olmayan bilgiler, makul bir gecikme daha olmaksızın aşamalarla sağlanır.

10.1 Müşterinin seçimine bağlı olarak, Sağlayıcı, Hizmet sunumu sona erdikten sonra tüm Müşteri Verilerini siler veya iade eder ve mevcut kopyaları siler; Birlik veya Üye Devleti yasaları Kişisel Verilerin saklanmasını gerektirmedikçe.

10.2 10.1’den bağımsız olarak, Müşteri ve kullanıcılarının her biri, hesaplarını ve Sağlayıcının elinde tuttuğu verileri Hizmetten istediği zaman silebilir; silme işlemi talepten itibaren 24 saat içinde gerçekleştirilir. Faturalar ve ödeme kayıtları, vergi yasasının gerektirdiği süre boyunca saklanır.

11.1 Sağlayıcı, Müşteriye GDPR Madde 28’de öngörülen yükümlülüklere uyumu göstermek için gerekli tüm bilgileri sunar ve Müşteri veya Müşterinin yetkilendirdiği bir denetçi tarafından yürütülen denetimlere, incelemeler dahil, izin verir ve bunlara katkıda bulunur.

11.2 Sağlayıcı, denetim taleplerini öncelikle ISO 27001 sertifikasını ve denetim raporunu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), CASA Tier III değerlendirmesini ve bir güvenlik anketine yazılı yanıtlarını sunarak karşılar. Yerinde veya uzaktan bir inceleme, bir Denetim Otoritesi aksini gerektirmedikçe veya bir Kişisel Veri İhlali gerçekleşmedikçe, yılda en fazla [bir kez], [30] gün önceden yazılı bildirimle, çalışma saatleri içinde, bir gizlilik sözleşmesi kapsamında ve Müşteri masrafına gerçekleştirilir.

12.1 Sağlayıcı Amerika Birleşik Devletleri’nde kurulmuştur ve Hizmet Amerika Birleşik Devletleri’ndeki Google Cloud Platform üzerinde barındırılmaktadır. EEA, Birleşik Krallık veya İsviçre’deki Veri Sahiplerine ait Müşteri Verisi, yeterlilik kararı olmayan bir ülkeye aktarıldığında, Taraflar Avrupa Komisyonunun Karar (AB) 2021/914 ile kabul ettiği Standart Sözleşme Maddelerine (uygulanabilir olduğu şekilde, Modül İki, veri sorumlusundan işleyene veya Modül Üç, işleyenden işleyene) güvenir; bunlar, İngiltere verisi söz konusu olduğunda İngiltere Uluslararası Veri Aktarım Ek’i ile birlikte referans yoluyla dahil edilir. Müşteri Verisi alan Sağlayıcının Alt İşleyicileri, bu çerçeve kendilerine açık olduğunda AB-ABD Veri Gizlilik Çerçevesine katılır; Sağlayıcının kendisinin yaptığı her aktarım Standart Sözleşme Maddelerine tabidir.

12.2 Standart Sözleşme Maddelerindeki seçenekler için: Madde 7 (katılma) uygulanır; Madde 9 seçenek 2 (genel yetki), Bölüm 6.2’deki bildirim süresiyle birlikte; Madde 11 opsiyonel dili uygulanmaz; Madde 13 ve Madde 17: [ÜYE DEVLET, örn. İrlanda] yasası; Madde 18: [ÜYE DEVLET] mahkemeleri. Maddelerin Ek I ve Ek II’si, bu VİS’in Ek 1 ve Ek 2’sidir.

13.1 Bu VİS kapsamında her Tarafın sorumluluğu, Hizmet sözleşmesindeki sorumluluk sınırlamalarına ve istisnalarına tabidir; uygulanabilir veri koruma yasası uyarınca bunların sınırlandırılamadığı durumlar hariçtir.

13.2 Bu VİS, Yürürlük Tarihinde yürürlüğe girer ve Sağlayıcı Müşteri Verilerini işlediği sürece yürürlükte kalır. Bu VİS ile Hizmet sözleşmesi arasında çelişki olması durumunda, Kişisel Verilerin İşlenmesi konusunda bu VİS önceliklidir.

13.3 Bu VİS, Standart Sözleşme Maddeleri Bölüm 12.2’de seçilen yasaya tabi olmak dışında, Hizmet sözleşmesini yöneten yasaya tabidir.

Müşteri adına	Sağlayıcı adına
Ad: [AD]	Ad: [AD]
Unvan: [UNVAN]	Unvan: [UNVAN]
Tarih: [TARİH]	Tarih: [TARİH]
İmza:	İmza:

---

Madde	Açıklama
Konu	GPT Workspace Hizmetinin sunumu: Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, Chrome uzantısı ve MCP sunucuları içinde yapay zeka asistanı.
Süre	Hizmet sözleşmesinin süresi, Ek 2’deki saklama süreleri dahil.
Doğa ve amaç	Kullanıcının Google hesabında işaretlediği içeriği okuma, kullanıcı komutuyla birlikte bir yapay zeka model sağlayıcısına gönderme ve yanıtı kullanıcının dosyasına veya sohbetine geri yazma. Hesap yönetimi, faturalandırma ve destek.
Veri Sahibi kategorileri	Hizmeti kullanan Müşterinin çalışanları ve yüklenicileri; Müşterinin Hizmet üzerinden işlenen belgelerinde, elektronik tablolarında, e-postalarında ve dosyalarında verisi görünen kişiler.
Kişisel Veri türleri	Hesap verileri (ad, e-posta adresi, profil resmi, Google hesap tanımlayıcısı); faturalandırma verileri (faturalandırma adı, adres, KDV numarası); kullanım metadatası (istek sayısı, tarihler, belge başlıkları); kullanıcı tarafından gönderilen komutların ve Google dosyalarının, e-postaların ve eklerin içeriği; bunlar Müşterinin yerleştirdiği herhangi bir Kişisel Veri kategorisini içerebilir.
Özel kategoriler	Tasarım gereği yoktur. Hizmet özel kategori verisi gerektirmez; kullanıcıların ne göndereceğini Müşteri belirler. [Müşteri, özel kategoriler bekleniyorsa belirtsin: YOK / AÇIKLA]
Sıklık	Sürekli, kullanıcının yaptığı her istekte.
Saklama	Ek 2’ye bakınız, “Saklama”.

Alan	Önlem
Sertifikalar	ISO 27001 sertifikalı bilgi güvenliği yönetim sistemi (denetim raporu mevcuttur). Google Workspace entegrasyonu için CASA Tier III (App Defense Alliance) değerlendirmesi. Google API Hizmetleri Kullanıcı Verisi Politikasına uyum, Sınırlı Kullanım gereklilikleri dahil.
Barındırma	Google Cloud Platform (Firebase), Amerika Birleşik Devletleri, US East ve US West bölgeleri. Müşteri Verisini işleyen bileşenler, Sağlayıcının özel ağı içinde, yük dengeleyiciler ve bir web uygulaması güvenlik duvarı arkasında çalışır.
Şifreleme	Transitteki tüm veriler için TLS 1.2 veya daha yüksek. Firebase’de bekleyen veriler için AES-256 sunucu tarafı şifrelemesi, GCP IAM ile anahtar yönetimi. Google erişim ve yenileme belirteçleri bekleyen halde şifrelenir.
Müşteri dosyalarının kopyası yok	Google dosyaları, e-postaları ve elektronik tabloları kullanıcının kendi OAuth belirteciyle gerçek zamanlı olarak okunur ve Sağlayıcının depolamasına kopyalanmaz. Tek istisna, kullanıcının dosya arama için eklediği bir dosyadır; bu dosya bir OpenAI vektör deposuna yüklenir (bkz. Ek 3): arama dizini son kullanımdan 1 gün sonra bırakılır ve kopya 7 gün sonra silinir.
Model sağlayıcıları	İsteklerin eğitimde kullanılmasını yasaklayan API koşulları altında kullanılır. Sağlayıcı, Müşteri Verileri üzerinde hiçbir zaman model eğitmez veya ince ayar yapmaz.
Erişim kontrolü	Üretim sistemlerine erişim, bireysel hesaplara, çok faktörlü kimlik doğrulamaya ve GCP IAM üzerinden en az ayrıcalık ilkesine sahip yetkili personelle sınırlıdır. Kullanıcı bazlı veri izolasyonu Firebase güvenlik kurallarıyla uygulanır. Üretim erişimi olan her hesap için çok faktörlü kimlik doğrulama zorunludur; erişim hakları haftalık olarak gözden geçirilir.
İzleme ve test	Kapsamdaki tüm varlıklara yönelik GCP Security Command Center sürekli açıklık taraması; dış araştırmacılar için açıklık bildirim politikası.
Saklama	Hesap verileri, sohbet zincirleri, ayarlar ve kullanım metadatası: kullanıcının son etkinliğinden 18 ay sonra veya silme talebinden 24 saat sonra. Dosya arama için eklenen dosyalar: arama dizini son kullanımdan 1 gün sonra bırakılır, yüklenen kopya 7 gün sonra silinir. Model ağ geçidi istek günlükleri: 30 gün, yalnızca destek kullanımı içindir. Komutlar ve yanıtlar: gerçek zamanlı işlenir, Sağlayıcı tarafından uzun süreli saklanmaz. Faturalar: vergi yasasının gerektirdiği süre boyunca.
Silme	Hizmetteki hesabın ve ilgili tüm verilerin self servis silinmesi; talep üzerine 24 saat içinde silme.
İş sürekliliği	Yerel Google Cloud yedekleme ve çok bölgeli kullanılabilirlik araçları; her 7 günde bir tam yedekleme.
Personel	İstihdam ve yüklenici sözleşmelerinde gizlilik yükümlülükleri; üretim erişimi olan personel için güvenlik farkındalığı.

Güncel liste https://gpt.space/trust adresinde tutulmakta ve Yürürlük Tarihindeki haliyle burada yeniden üretilmektedir.

Alt İşleyici	Amaç	Konum
Google Cloud Platform / Firebase (Google LLC)	Barındırma, veritabanı, depolama, kimlik doğrulama, gizli anahtarlar	Amerika Birleşik Devletleri
OpenRouter, Inc.	Her model isteğini aşağıdaki sağlayıcıya yönlendiren ağ geçidi; istek günlükleri yalnızca destek için 30 gün saklanır, asla eğitim için kullanılmaz	Amerika Birleşik Devletleri
OpenAI	Metin ve görüntü modelleri; dosya arama için vektör deposu	Amerika Birleşik Devletleri
Anthropic	Claude modelleri (Anthropic’in kendi uç noktasına sabitlenmiş)	Amerika Birleşik Devletleri
Google (AI Studio)	Gemini metin ve görüntü modelleri	Amerika Birleşik Devletleri
Perplexity	Web arama modelleri	Amerika Birleşik Devletleri
OpenRouter çıkarım sunucuları	Açık ağırlıklı GLM-5.3-flash ve gpt-oss-120b modelleri için çıkarım sunucuları	OpenRouter üzerinden
Typesafe	GPT_CLASSIFY formülü背后的 karar modeli	OpenRouter üzerinden
Google Programmable Search	Oluşturulan slaytlar için stok görsel arama (yalnızca sorgu)	Amerika Birleşik Devletleri
Stripe	Ödemeler, faturalar, faturalandırma portalı	Amerika Birleşik Devletleri ve İrlanda, Stripe VİS kapsamında
PostHog (kendi kendine barındırılan örnek)	Ürün analitiği	Avrupa Birliği
Sentry	Hata izleme	Avrupa Birliği (AB veri bölgesi)