Veri işleme sözleşmesi (DPA)

Müşteri veri sorumlusu, mendyl.ai veri işleyen: yükümlülükler ve alt işleyenler.

TASLAK — hukukçu onayı bekliyor. Bu metin yayına hazırlanan taslaktır; imzalı son hâli hukukçu incelemesinden sonra yayımlanacaktır.

Taraflar: Müşteri (veri sorumlusu) ve mendyl.ai (veri işleyen).

Konu: mendyl.ai, Müşterinin ürettiği uygulamaların barındırılması, veritabanı ve dosya depolaması, e-posta/bildirim bağlayıcıları kapsamında Müşteri adına kişisel veri işler.
Talimat: işleme yalnız Müşterinin belgelenmiş talimatıyla (ürün ayarları, bağlayıcı kurulumları) yapılır.
Gizlilik: verilere erişimi olan personel gizlilik yükümlülüğü altındadır; destek görünümü müşteri içeriğini göstermez (yalnız olay akışı).
Güvenlik önlemleri: şifreli sır kasası, çok kiracılı ayrım (proje başına veritabanı/ön ek), yayın öncesi güvenlik taraması, denetim kaydı, yedek ve zamana dönüş.
Alt işleyenler: Cloudflare (barındırma), Neon (veritabanı), Anthropic/OpenAI (üretim modelleri), ödeme ve e-posta sağlayıcıları; liste güncellenince Müşteriye bildirilir, itiraz hakkı vardır.
Veri ihlali bildirimi: öğrenildikten sonra en geç 72 saat içinde Müşteriye bildirim.
Silme/iade: sözleşme bitiminde veriler 30 gün içinde silinir ya da dışa aktarılır (pg_dump, zip).
Denetim: Müşteri yılda bir kez makul süre öncesinden bildirimle denetim isteyebilir; bağımsız sızma testi raporu paylaşılır.

Yurt dışı aktarım

Yurt dışı aktarımın KVKK md. 9 dayanağı (standart sözleşme / Kurul izni) imza bekliyor; imzalanan belgenin tarihi ve türü burada yayımlanacaktır.

Veri sorumlusu bilgisi bekleniyor: işletmeci şirketin unvanı, adresi ve MERSİS/vergi numarası kayıt tamamlandığında burada yayımlanacaktır.

Kaynak metin: docs/hukuk/veri-isleme-sozlesmesi.md