Veri işleme sözleşmesi (taslak)

Bu, GPT Workspace’in kurumsal müşterilerle imzaladığı veri işleme sözleşmesinin (VİS) taslağıdır. Önceden doldurulmuş halini almak için contact@gpt.space adresine şirketinizin ticari unvanı, adresi, iletişim kişisi ve koltuk sayısıyla birlikte yazın. Sözleşmede adı geçen işleyiciler Güven Merkezi sayfasında listelenir ve güncel tutulur.

Bu taslak yalnızca bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. İmzalamadan önce hukuk müşavirinize inceletin. Köşeli parantez içindeki alanlar imzadan önce doldurulur.

---

Bu Veri İşleme Sözleşmesi (“VİS”), GPT Workspace’in (“Hizmet”) kullanımına ilişkin sözleşmenin bir parçasını oluşturur ve aşağıdaki taraflar arasında akdedilir:

• [MÜŞTERİ TİCARİ UNVANI], [MÜŞTERİ ADRESİ], [SİCİL NUMARASI] (“Müşteri” veya “Veri Sorumlusu”), ve
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, ABD (“Sağlayıcı” veya “Veri İşleyen”),

birlikte “Taraflar”. Sözleşme [YÜRÜRLÜK TARİHİ] tarihinde yürürlüğe girer ve Sağlayıcı Müşteri adına Kişisel Verileri işlediği sürece uygulanır.

“GDPR”, Avrupa Birliği Tüzüğü 2016/679 anlamına gelir ve uygulanabilir olduğu durumlarda 2018 Veri Koruma Yasası’nda tanımlanan İngiltere GDPR’ını da kapsar. “Kişisel Veri”, “İşleme”, “Veri Sorumlusu”, “Veri İşleyen”, “İlgili Kişi”, “Denetim Otoritesi” ve “Kişisel Veri İhlali” ifadeleri GDPR Madde 4’te verilen anlamları taşır. “Alt İşleyici”, Sağlayıcının Müşteri adına Kişisel Verileri işlemek için görevlendirdiği üçüncü bir tarafı ifade eder. “Müşteri Verisi”, Ek 1’de açıklandığı şekilde, Sağlayıcının Hizmet sözleşmesi kapsamında Müşteri için işlediği Kişisel Verileri ifade eder.

2.1 Müşteri, Müşteri Verileri açısından Veri Sorumlusu, Sağlayıcı ise Veri İşleyen’dir. Müşteri kendi müşterileri için bir veri işleyen olarak hareket ettiğinde, Sağlayıcı bir alt işleyici olarak hareket eder ve Müşteri, kendi talimatlarının ilgili veri sorumlusu tarafından yetkilendirildiğini garanti eder.

2.2 İşlemenin konusu, süresi, niteliği ve amacı, Kişisel Veri türleri ve İlgili Kişi kategorileri Ek 1’de belirtilmiştir.

3.1 Sağlayıcı, Müşteri Verilerini yalnızca Müşterinin belgelendirilmiş talimatları doğrultusunda işler; bu talimatlar üçüncü bir ülkeye aktarımları da kapsar. Ancak Sağlayıcının tabi olduğu Birlik veya Üye Devlet yasası bunu gerektirdiği durumlar bu hükmün dışındadır; bu durumda Sağlayıcı, yasa bunu yasaklamadıkça, işlemeden önce Müşteriyi bu yasal yükümlülük hakkında bilgilendirir.

3.2 Müşterinin talimatları şunlardır: Hizmet sözleşmesi, bu VİS, Müşteri ve kullanıcılarının Hizmette yaptığı yapılandırma ve Müşteri kullanıcılarının Hizmete gönderdiği istekler. Sağlayıcı, bir talimatın GDPR’ı ihlal ettiği kanaatine varması halinde Müşteriyi derhal bilgilendirir.

Sağlayıcı, Müşteri Verilerini işlemeye yetkili kişilerin gizlilik taahhüdünde bulunduğundan veya uygun bir yasal gizlilik yükümlülüğü altında olduklarından emin olur ve erişimi her kişinin Hizmeti sunmak için ihtiyaç duyduğuyla sınırlı tutar.

Sağlayıcı, Ek 2’de listelenen teknik ve organizasyonel önlemleri uygular ve bunları sürekli gözden geçirir. Mevcut teknoloji düzeyi, uygulama maliyetleri ve İşlemenin niteliği, kapsamı, bağlamı ve amaçları dikkate alındığında, bu önlemler riske uygun bir güvenlik düzeyi sağlar.

6.1 Müşteri, Sağlayıcıya Ek 3’te listelenen Alt İşleyicileri görevlendirmesi için genel yazılı yetki verir.

6.2 Sağlayıcı, bir Alt İşleyicinin eklenmesi veya değiştirilmesi niyetini, değişikliğin yürürlüğe girmesinden en az [30] gün önce [MÜŞTERİ BİLDİRİM E-POSTASI] adresine e-posta göndererek ve https://gpt.space/trust adresindeki listeyi güncelleyerek Müşteriye bildirir. Müşteri, makul veri koruma gerekçeleriyle bu süre içinde itiraz edebilir; Taraflar itirazı çözemezse, Müşteri Hizmetin etkilenen kısmını ceza ödemeden feshedebilir.

6.3 Sağlayıcı, her Alt İşleyiciye sözleşme yoluyla bu VİS’de öngörülenle aynı veri koruma yükümlülüklerini getirir; özellikle uygun teknik ve organizasyonel önlemleri uygulayacak yeterli garantiyi sağlar. Bir Alt İşleyici yükümlülüklerini yerine getirmezse, Sağlayıcı, o Alt İşleyicinin yükümlülüklerinin yerine getirilmesinden Müşteriye karşı tam sorumludur.

İşlemenin niteliği dikkate alındığında, Sağlayıcı, Müşterinin GDPR Bölüm III kapsamında İlgili Kişinin haklarını kullanma taleplerine yanıt verme yükümlülüğünü yerine getirmesi için, mümkün olduğu ölçüde, uygun teknik ve organizasyonel önlemlerle Müşteriye yardımcı olur. Sağlayıcı, Müşteri Verisiyle ilgili doğrudan bir İlgili Kişiden alınan talebi makul gecikme olmadan Müşteriye iletir ve Müşterinin talimatı veya yasa gereği olmadıkça bu talebe yanıt vermez.

Sağlayıcı, İşlemenin niteliği ve Sağlayıcının elindeki bilgiler dikkate alınarak, Müşterinin GDPR Madde 32 ila 36 (güvenlik, ihlal bildirimi, veri koruma etki değerlendirmeleri ve ön danışma) kapsamındaki yükümlülüklere uymasını sağlamada Müşteriye yardımcı olur.

Sağlayıcı, Müşteri Verilerini etkileyen bir Kişisel Veri İhlalinden haberdar olduğu andan itibaren makul gecikme olmadan ve her halükarda [48] saat içinde, [MÜŞTERİ BİLDİRİM E-POSTASI] adresine e-posta göndererek Müşteriyi bilgilendirir. Bildirim, bildirim anında bilinen ölçüde, ihlalin niteliğini, etkilenen İlgili Kişi kategorilerini ve yaklaşık sayısını, kayıt sayısını, olası sonuçları, alınan veya önerilen önlemleri ve bir iletişim noktasını içerir; henüz mevcut olmayan bilgiler aşamalar halinde, makul bir gecikme daha olmadan sağlanır.

10.1 Müşterinin seçimine bağlı olarak, Sağlayıcı Hizmet sunumunun sona ermesinin ardından tüm Müşteri Verilerini siler veya iade eder ve mevcut kopyaları siler; Birlik veya Üye Devlet yasası Kişisel Verilerin saklanmasını gerektirmesi hariç.

10.2 10.1’den bağımsız olarak, Müşteri ve kullanıcılarının her biri hesabını ve Sağlayıcının Hizmette tuttuğu verileri istediği zaman silebilir; silme işlemi talepten sonra 24 saat içinde gerçekleştirilir. Faturalar ve ödeme kayıtları vergi yasasının gerektirdiği süre boyunca saklanır.

11.1 Sağlayıcı, GDPR Madde 28’de öngörülen yükümlülüklere uyumu göstermek için gerekli tüm bilgileri Müşteriye sunar ve Müşteri veya Müşteri tarafından yetkilendirilen bir denetçi tarafından yürütülen denetimlere (incelemeler dahil) olanak tanır ve bunlara katkıda bulunur.

11.2 Sağlayıcı, denetim taleplerini öncelikle ISO 27001 sertifikası ve denetim raporunu (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), CASA Tier III değerlendirmesini ve bir güvenlik anketine verilen yazılı yanıtları sunarak karşılar. Yerinde veya uzaktan inceleme, [yılda en fazla bir kez], [30] gün önceden yazılı bildirimle, çalışma saatleri içinde, bir gizlilik sözleşmesi kapsamında ve Müşteri masrafıyla gerçekleştirilir; bir Denetim Otoritesi aksini gerektirmesi veya bir Kişisel Veri İhlali gerçekleşmesi hariç.

12.1 Sağlayıcı Amerika Birleşik Devletleri’nde kurulmuştur ve Hizmet Amerika Birleşik Devletleri’ndeki Google Cloud Platform üzerinde barındırılır. AEA, Birleşik Krallık veya İsviçre’deki İlgili Kişilere ait Müşteri Verileri, yeterlilik kararı olmayan bir ülkeye aktarıldığında, Taraflar Avrupa Komisyonu’nun Karar (AB) 2021/914 ile kabul ettiği Standart Sözleşme Maddelerine (uygulandığı ölçüde Modül İki, veri sorumlusundan veri işleyene, veya Modül Üç, veri işleyenden veri işleyene) dayanır; bu maddeler başvuru yoluyla dahil edilir ve Birleşik Krallık verileri söz konusu olduğunda İngiltere Uluslararası Veri Aktarım Ek’i ile birlikte uygulanır. Müşteri Verisi alan Sağlayıcının Alt İşleyicileri, bu çerçeve kendilerine açık olduğu durumda ABD-AB Veri Gizlilik Çerçevesine katılır; Sağlayıcının bizzat yaptığı her aktarım Standart Sözleşme Maddelerine tabidir.

12.2 Standart Sözleşme Maddelerindeki seçenekler için: Madde 7 (katılım) uygulanır; Madde 9 seçenek 2 (genel yetki), 6.2 numaralı bölümdeki bildirim süresiyle birlikte; Madde 11 opsiyonel dili uygulanmaz; Madde 13 ve Madde 17: [ÜYE DEVLET, örn. İrlanda] yasası; Madde 18: [ÜYE DEVLET] mahkemeleri. Maddelerin Ek I ve Ek II’si, bu VİS’in Ek 1 ve Ek 2’sidir.

13.1 Bu VİS kapsamında her Tarafın sorumluluğu, Hizmet sözleşmesindeki sorumluluk sınırlamalarına ve istisnalarına tabidir; uygulanabilir veri koruma yasası gereği sınırlandırılamayan durumlar hariç.

13.2 Bu VİS, Yürürlük Tarihinde yürürlüğe girer ve Sağlayıcı Müşteri Verilerini işlediği sürece yürürlükte kalır. Bu VİS ile Hizmet sözleşmesi arasında çelişki olması durumunda, Kişisel Verilerin İşlenmesi konusunda bu VİS önceliklidir.

13.3 Bu VİS, Standart Sözleşme Maddeleri 12.2 numaralı bölümde seçilen yasaya tabi olması hariç, Hizmet sözleşmesine tabi olan yasaya tabidir.

Müşteri adına	Sağlayıcı adına
Ad: [AD]	Ad: [AD]
Unvan: [UNVAN]	Unvan: [UNVAN]
Tarih: [TARİH]	Tarih: [TARİH]
İmza:	İmza:

---

Madde	Açıklama
Konu	GPT Workspace Hizmetinin sunulması: Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, Chrome uzantısı ve MCP sunucuları içinde yapay zeka desteği.
Süre	Hizmet sözleşmesinin süresi, Ek 2’deki saklama süreleri hariç.
Nitelik ve amaç	Kullanıcının Google hesabında işaretlediği içeriği okuma, kullanıcı komutuyla birlikte bir yapay zeka model sağlayıcısına gönderme ve yanıtı kullanıcının dosyasına veya sohbetine geri yazma. Hesap yönetimi, faturalandırma ve destek.
İlgili Kişi kategorileri	Hizmeti kullanan Müşterinin çalışanları ve yüklenicileri; Müşterinin Hizmet aracılığıyla işlenen belgelerinde, elektronik tablolarında, e-postalarında ve dosyalarında verileri bulunan kişiler.
Kişisel Veri türleri	Hesap verileri (ad, e-posta adresi, profil fotoğrafı, Google hesap tanımlayıcısı); faturalandırma verileri (fatura adı, adres, KDV numarası); kullanım meta verileri (istek sayısı, tarihler, belge başlıkları); kullanıcının gönderdiği komutların ve Google dosyalarının, e-postaların ve eklerin içeriği; bunlar Müşterinin buraya yerleştirdiği herhangi bir Kişisel Veri kategorisini içerebilir.
Özel kategoriler	Tasarımdan dolayı yok. Hizmet özel kategori verisi gerektirmez; Müşteri, kullanıcılarının ne göndereceğine karar verir. [Müşteri, özel kategoriler bekleniyorsa belirtsin: YOK / AÇIKLA]
Sıklık	Sürekli, kullanıcının her isteğinde.
Saklama	Ek 2’ye bakınız, “Saklama”.

Alan	Önlem
Sertifikalar	ISO 27001 sertifikalı bilgi güvenliği yönetim sistemi (denetim raporu mevcuttur). Google Workspace entegrasyonu için CASA Tier III (App Defense Alliance) değerlendirmesi. Google API Hizmetleri Kullanıcı Verileri Politikasına uyum, Sınırlı Kullanım gereksinimleri dahil.
Barındırma	Google Cloud Platform (Firebase), Amerika Birleşik Devletleri, US East ve US West bölgeleri. Müşteri Verilerini işleyen bileşenler, Sağlayıcının özel ağı içinde, yük dengeleyiciler ve bir web uygulaması güvenlik duvarı arkasında çalışır.
Şifreleme	Aktarım sırasındaki tüm veriler için TLS 1.2 veya üzeri. Firebase üzerinde bekleyen veriler için AES-256 sunucu tarafı şifrelemesi, anahtar yönetimi GCP IAM üzerinden. Google erişim ve yenileme belirteçleri bekleyen halde şifrelenir.
Müşteri dosyalarının kopyası yok	Google dosyaları, e-postaları ve elektronik tabloları kullanıcının kendi OAuth belirteciyle gerçek zamanlı okunur ve Sağlayıcının depolamasına kopyalanmaz. Tek istisna, kullanıcının dosya arama için eklediği bir dosyadır; bu dosya bir OpenAI vektör deposuna yüklenir (Ek 3’e bakınız): arama dizini son kullanımdan 1 gün sonra bırakılır ve kopya 7 gün sonra silinir.
Model sağlayıcıları	İstekler üzerinde eğitim yapılmasını yasaklayan API koşulları altında kullanılır. Sağlayıcı, Müşteri Verileri üzerinde hiçbir zaman model eğitmez veya ince ayar yapmaz.
Erişim kontrolü	Üretim sistemlerine erişim, bireysel hesaplara, çok faktörlü kimlik doğrulamaya ve GCP IAM üzerinden en az ayrıcalık ilkesine sahip yetkili personelle sınırlıdır. Kullanıcı bazlı veri izolasyonu Firebase güvenlik kurallarıyla uygulanır. Üretim erişimi olan her hesap için çok faktörlü kimlik doğrulama zorunludur; erişim hakları haftalık olarak gözden geçirilir.
İzleme ve test	Kapsamdaki tüm varlıklara yönelik GCP Security Command Center sürekli güvenlik açığı taraması; harici araştırmacılar için güvenlik açığı bildirim politikası.
Saklama	Hesap verileri, sohbet zincirleri, ayarlar ve kullanım meta verileri: kullanıcının son etkinliğinden 18 ay sonra veya silme talebinden 24 saat sonra. Dosya arama için eklenen dosyalar: arama dizini son kullanımdan 1 gün sonra bırakılır, yüklenen kopya 7 gün sonra silinir. Model ağ geçidi istek günlükleri: 30 gün, yalnızca destek kullanımı içindir. Komutlar ve yanıtlar: gerçek zamanlı işlenir, Sağlayıcı tarafından uzun süreli saklanmaz. Faturalar: vergi yasasının gerektirdiği süre boyunca.
Silme	Hizmette hesabın ve ilgili tüm verilerin self servis silinmesi; talep üzerine 24 saat içinde silme.
İş sürekliliği	Yerel Google Cloud yedekleme ve çok bölgeli kullanılabilirlik araçları; 7 günde bir tam yedekleme.
Personel	İstihdam ve yüklenici sözleşmelerinde gizlilik yükümlülükleri; üretim erişimi olan personel için güvenlik farkındalığı.

Güncel liste https://gpt.space/trust adresinde tutulur ve Yürürlük Tarihindeki haliyle burada yeniden üretilir.

Alt İşleyici	Amaç	Konum
Google Cloud Platform / Firebase (Google LLC)	Barındırma, veritabanı, depolama, kimlik doğrulama, gizli anahtarlar	Amerika Birleşik Devletleri
OpenRouter, Inc.	Her model isteğini aşağıdaki sağlayıcıya yönlendiren ağ geçidi; istek günlükleri yalnızca destek için 30 gün saklanır, eğitim için asla kullanılmaz	Amerika Birleşik Devletleri
OpenAI	Metin ve görüntü modelleri; dosya arama için vektör deposu	Amerika Birleşik Devletleri
Anthropic	Claude modelleri (Anthropic’in kendi uç noktasına sabitlenmiş)	Amerika Birleşik Devletleri
Google (AI Studio)	Gemini metin ve görüntü modelleri	Amerika Birleşik Devletleri
Perplexity	Web arama modelleri	Amerika Birleşik Devletleri
OpenRouter çıkarım sunucuları	Açık ağırlıklı GLM-5.3-flash ve gpt-oss-120b modelleri için çıkarım sunucuları	OpenRouter üzerinden
Typesafe	GPT_CLASSIFY formülü arkasındaki karar modeli	OpenRouter üzerinden
Google Programmable Search	Üretilen slaytlar için stok görsel araması (yalnızca sorgu)	Amerika Birleşik Devletleri
Stripe	Ödemeler, faturalar, faturalandırma portalı	Amerika Birleşik Devletleri ve İrlanda, Stripe VİS kapsamında
PostHog (kendi sunucusunda barındırılan örnek)	Ürün analitiği	Avrupa Birliği
Sentry	Hata izleme	Avrupa Birliği (AB veri bölgesi)