CREATO AI Veri İşleme Sözleşmesi

Belge sürümü: 2.0 — Hazırlanma tarihi: 30 Eylül 2026. Bu sözleşme, SaaS Hizmet Sözleşmesinin kişisel veri işleme ekidir ve müşteri hesabına bağlı kabul kaydıyla birlikte uygulanır.

1 Taraflar ve roller

Veri sorumlusu, hesap veya Sipariş Özetinde belirtilen Müşteridir. Veri işleyen, CREATO AI markası altında hizmet sunan EMRE ALAY'dır. İletişim: hello@creato.digital; Şemikler Mah. 6250 Sk. No:5 D:3 Karşıyaka/İzmir.

Müşterinin kendi Son Kullanıcılarının kişi, mesaj, sipariş, kampanya ve mağaza verilerini işlettiği faaliyetlerde, amaç ve hukuki sebepleri Müşteri belirler; CREATO AI belgelenmiş talimatla hizmet sunar. Müşteri kendi müşterisi adına veri işleyen olarak hareket ediyorsa, asıl veri sorumlusunun gerekli yetkisini almakla yükümlüdür; CREATO AI ilgili kapsamda alt işleyendir. Böyle bir durum, fiilî veri rolüne göre ayrıca kayda geçirilir.

CREATO AI'nın kendi hesap ilişkisi, faturalama, hukuki yükümlülüğü, kendi pazarlaması ve kendi belirlediği amaçlarla yürüttüğü sınırlı güvenlik işlemleri bakımından veri sorumlusu olduğu faaliyetler KVKK Aydınlatma Metninde açıklanır. CREATO AI müşteri içeriğini bağımsız bir yeni amaçla işlemek isterse bunu veri işleyen rolünün arkasına gizleyemez.

2 İşlemenin konusu kapsamı ve süresi

İşleme; seçilen hizmetin kurulması, müşteri iletişimi, AI yanıt ve özetleri, mağaza senkronizasyonu, müşteri bağlamı, kampanya yürütme, raporlama, destek ve sözleşmenin sona ermesindeki teslim/silme işlemleridir. Kayıt alma, düzenleme, saklama, eşleştirme, sınırlı analiz, yetkili gösterim, gerekli iletim ve silme yapılabilir.

İlgili kişiler; Müşterinin müşterileri, müşteri adayları, iletişime geçen kişiler, mağaza alıcıları ve bu kayıtlarla bağlantılı yetkili çalışanlarıdır. İşlenen kategoriler, etkin işlevin gerektirdiği ölçüde kimlik ve iletişim, mesaj ve ekler, ürün/sipariş/işlem durumu, kampanya etkileşimi, kişi etiketleri, notlar ve teknik işlem kayıtlarıdır. Her veri kategorisi her hesapta işlenmez.

Müşteri özel nitelikli kişisel veri, ödeme kartının tamamı, şifre, kimlik belgesi veya hizmet için gerekmeyen hassas bilgi yüklememelidir. Özel nitelikli verinin kasıtlı işlenmesini gerektiren bir hizmet, ayrıca kapsam, uygun şart ve güvenlik tedbirleri kararlaştırılmadan açılmaz. İstenmeden gelen hassas veri için erişim kısıtlama ve uygun silme/giderme süreci uygulanır; genel yükleme yasağı ihlâli tek başına CREATO AI'nın kanuni sorumluluğunu kaldırmaz.

İşleme abonelik ve deneme boyunca, sona erme sonrasında ise yalnız veri teslimi, silme ve gerekli kanuni saklama süresince devam eder. Sipariş Özeti, açılan özellik ve entegrasyon bağlantı kaydı somut kapsamı tamamlar.

3 Talimatlar ve hukuka aykırı talep

Bu sözleşme, bağlantı ekranında gösterilip kabul edilen analiz kapsamı ve Müşterinin yetkili hesap işlemleri belgelenmiş talimatı oluşturur. Destek kanalından verilen değişiklik talimatında temsil ve kapsam doğrulanır. CREATO AI talimat dışı reklam, veri satışı, müşteriler arası paylaşım veya genel model eğitimi yapamaz.

CREATO AI bir talimatın veri koruma hukukuna aykırı olduğunu değerlendirirse Müşteriyi bilgilendirir ve ilgili işlemi gerekli ölçüde durdurabilir. Kanunun gerektirdiği bağımsız işlemde, açıklama yasaklanmadıkça Müşteriye bildirim yapılır. Müşterinin talimatı, kanuni aktarım veya güvenlik yükümlülüğünü ortadan kaldırmaz.

4 Müşterinin yükümlülükleri

Müşteri verinin elde edilmesini, doğru ve güncel tutulmasını, uygun hukuki sebebi, gerekli aydınlatmayı ve ilgili izinleri sağlar. Son Kullanıcının hak talebini, ret tercihini ve düzeltmesini takip eder; CREATO AI'ya uygulanması gereken talimatı iletir. İYS ve ticari ileti süreçleri ayrıca WhatsApp özel şartlarına tabidir.

Müşteri yalnız gerekli veriyi yükler, kullanıcı erişimini sınırlar, entegrasyon yetkisini yönetir ve riskli otomasyonların denetimini sağlar. Belgelenmiş yanlış veya aşırı geniş talimatını düzeltir. Müşterinin bu yükümlülükleri, CREATO AI'nın veri işleyen olarak güvenlik ve talimata uyma yükümlülüklerini devraldığı anlamına gelmez.

5 Gizlilik ve güvenlik tedbirleri

CREATO AI kişisel veriye erişimi görev gereği yetkili kişilerle sınırlar; bu kişileri uygun gizlilik yükümlülüğü altına alır. Risk ve işleme niteliğine göre erişim kontrolü, kimlik doğrulama, aktarım güvenliği, kayıtların korunması, yedek yönetimi, güncelleme ve zafiyet giderme tedbirlerini uygular. Sağlayıcı ile Müşteri, kendi yetki alanındaki güvenlik eksikliğini gidermek için iş birliği yapar.

Teknik tedbir kapsamı; hesap ve erişim yetkilerinin ayrılması, tenantlar arası yetkisiz erişimin önlenmesi, gerekli bağlantılarda şifreli aktarım, anahtar ve sırların erişim kontrollü yönetimi, hata ve işlem kayıtlarının korunması, yedeklere sınırlı erişim, güvenli silme ve olay müdahalesini içerir. İlgili tedbirlerin teknik uygulaması hizmetin gerçek riskine göre belgelenir ve Müşterinin makul bilgi talebine sunulur.

Bu sözleşme, doğrulanmamış bir ISO/SOC sertifikası, belirli bulut bölgesi, uçtan uca şifreleme, belirli kurtarma süresi veya sıfır ihlal garantisi beyanı değildir. AWS altyapısının bir sertifikaya sahip olması, CREATO AI'nın aynı sertifikaya sahip olduğu anlamına gelmez. Kanuni ve sözleşmesel güvenlik yükümlülükleri devam eder.

6 Alt işleyenlerin kullanılması

Müşteri, kabul anında kendisine açıklanan ve ilgili hizmete uygulanan alt işleyenlerin hizmet için kullanılmasına genel yetki verir. Liste sağlayıcının adı, görevi, veri kategorisi, işleme yeri ve ilgili aktarım mekanizmasını içerir. Boş veya adı belirtilmemiş sağlayıcı kaydı, sınırsız alt işleyen yetkisi oluşturmaz.

Müşteri Verisine erişecek yeni veya değişen alt işleyen için CREATO AI en az otuz gün önce bildirim yapar. Müşteri on beş gün içinde somut veri koruma gerekçesiyle itiraz edebilir. Taraflar uygun alternatif veya tedbir arar. Çözüm bulunamazsa etkilenen hizmet, Müşteriye cezai bedel uygulanmadan sona erdirilebilir; Sağlayıcı tarafından sunulmayacak ön ödemeli dönem bedeli iade edilir. Acil değişiklikte gerekli asgari işlem yapılır ve sebep gecikmeksizin bildirilir; emredici ön izin veya aktarım şartı atlanamaz.

CREATO AI alt işleyeni en az bu sözleşmedeki işleme, güvenlik, gizlilik ve silme korumalarını sağlayan uygun yükümlülükler altına alır. Kendi seçtiği alt işleyenin Müşteri Verisine ilişkin yükümlülüğünü ihlal etmesinden, kanunen ve ana sözleşmede geçerli olarak belirlenmiş kapsamda sorumlu olmaya devam eder. Müşterinin bağımsız hesabı üzerinden kendi seçtiği üçüncü tarafın fiilî rolü ayrıca değerlendirilir.

7 Yurt dışı aktarım ve AI

Yurt dışı barındırma, yedek, uzaktan destek erişimi ve dil modeli çağrıları ayrı veri akışları olarak değerlendirilir. Yalnız kaynak veriyi anonim hale getirmek, AWS'de zaten saklanan veya uzaktan erişilen kişisel veriler için aktarım yükümlülüğünü kaldırmaz.

Kişisel veri yurt dışına ancak uygun işleme şartı ve KVKK m.9 kapsamındaki yeterlilik kararı veya uygun güvence gibi uygulanabilir aktarım mekanizması mevcutsa aktarılır. Düzenli ve süreklilik taşıyan hizmet aktarımı, arızi aktarıma özgü istisnalara veya genel hesap kabulüne dayandırılmaz. Standart sözleşme kullanılıyorsa gerçek veri sorumlusu/veri işleyen rolleri için uygun Kurul metni kullanılır; gerekli imzalar ve imzaların tamamlanmasından itibaren beş iş günü içinde bildirim tamamlanır. Bu veri işleme eki, Kurulun standart aktarım sözleşmesinin yerine geçmez.

AI girdileri için gerekli veri azaltma ve uygun maskeleme uygulanır. Yeniden kimlikle ilişkilendirilebilir girdi kişisel veri sayılır. Mevcut anonim LLM akışında anonimleştirme tamamlanmadan böyle bir girdi modele gönderilmez. Kişisel veriyle çalışan ayrı bir AI kapsamı ancak Yapay Zekâ ve Entegrasyon Özel Şartlarındaki yeni bildirim, etkinleştirme ve kanuni aktarım koşullarıyla açılabilir. Gerçek anonim veri, hizmet amacı ve geçerli kanal kısıtları içinde işlenebilir. Müşteri içeriği genel model eğitiminde kullanılmaz; ilgili sağlayıcıların içerik saklama ve alt aktarım koşulları sözleşme ve yapılandırmayla sınırlandırılır.

8 İlgili kişi talepleri

CREATO AI Müşteri Verisiyle ilgili doğrudan aldığı talebi, hukuken izin verilen kapsamda gecikmeksizin ve en geç üç iş günü içinde Müşteriye iletir. Müşterinin yetkisi dışında talebin esası hakkında işlem yapmaz; kanunen kendisine düşen doğrudan yükümlülükler saklıdır.

Erişim, düzeltme, silme, kullanımın sınırlanması, itiraz ve kanuni diğer hakların değerlendirilmesinde makul teknik yardım sağlanır. Müşterinin kanuni yanıt süresini karşılayabilmesi için yardım zamanında yürütülür. Kimlik doğrulama için gereksiz veya aşırı kişisel veri istenmez. Standart taleplerin teknik uygulanması ayrıca ücrete bağlanmaz; kapsamı aşan özel çalışma ancak önceden kabul edilen teklifle yapılabilir ve ilgili kişinin kanuni hakkını engelleyemez.

9 Kişisel veri ihlali

CREATO AI Müşteri Verisini etkileyen kişisel veri ihlalini öğrendiğinde Müşteriye gecikmeksizin ve ilk bilgilendirmeyi en geç yirmi dört saat içinde yapar. Bütün detayların tamamlanması beklenmez. Bildirimde bilinen olay, veri ve kişi kategorileri, muhtemel etki, alınan tedbir, irtibat kişisi ve gerekli takip adımları açıklanır; yeni bulgular aşamalı iletilir.

Bu yirmi dört saat süresi taraflar arasındaki bilgilendirme yükümlülüğüdür. Veri sorumlusunun Kurula ihlali öğrendiğinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde bildirmesine ve etkilenen kişileri makul en kısa sürede bilgilendirmesine ilişkin uygulanabilir yükümlülükler ayrıca yerine getirilir. Kanuni muhatap ve sorumluluk fiilî veri rolüne göre belirlenir. Bildirim, tek başına kusur kabulü sayılmaz; kanuni yükümlülükler gizlilik gerekçesiyle ertelenemez.

10 Bilgi sağlama ve denetim

CREATO AI bu sözleşmeye uyumu göstermek için makul bilgiyi sağlar. Müşteri, kural olarak yılda bir ve en az on iş günü ön bildirimle, gizlilik ve diğer müşterilerin güvenliğini koruyan belge incelemesi veya makul denetim talep edebilir. Somut ihlal, ciddi uyumsuzluk veya yetkili makam talebinde bu dönem sınırı uygulanmaz.

Denetim başka müşterinin içeriğine, gereksiz kaynak koduna veya üretimi tehlikeye atan erişime hak vermez. Bilgi güvenli biçimde sunulur. Denetimde CREATO AI'nın esaslı ihlali belirlenirse kendi ihlalini giderme giderleri Müşteriye yüklenmez. Kanuni denetim yetkisi bu düzenlemeyle sınırlanamaz.

11 Sona erme veri iadesi ve silme

Sona ermede yeni işleme durdurulur. Müşteri otuz gün içinde standart veri teslimini talep edebilir. Yasal saklama veya belgelenmiş hukuki koruma gereği olmayan Müşteri Verisi bu teslim süresinin sonunda aktif sistemlerden silinir. Daha erken geçerli silme talebi yerine getirilir. Kısıtlı yedekler sona ermeden itibaren en geç doksan gün içinde olağan döngüde kaldırılır; ticari amaçla veya yeni AI işlemi için kullanılmaz.

Yedekten geri yükleme gerekirse daha önceki silme ve ret talimatları yeniden uygulanır. Alt işleyenlere gerekli silme talimatı iletilir; uygulanması takip edilir. Saklanması gereken kayıt için kategori, gerekçe ve süre açıklanır; bütün konuşmaların tutulması için genel mali kayıt gerekçesi kullanılamaz. Müşteri talebinde uygun silme teyidi verilir.

12 Sorumluluk ve öncelik

Kanunun veri sorumlusu ve veri işleyene yüklediği veri güvenliği yükümlülükleri saklıdır. Sözleşme resmî makamların yaptırım yetkisini veya ilgili kişinin haklarını azaltmaz. Taraflar arasındaki tazminat, kusur ve kanunen geçerli sınırlamalar ana sözleşmenin 15 inci maddesine tabidir. Veri işleme bakımından bu ek genel sözleşmeye göre önceliklidir; emredici hukuk ve imzalanmış resmî aktarım metni üzerindeki yükümlülükler ayrıca korunur.