Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ('VİS'), ToRun'un kişisel verileri bir kurumsal müşteri adına işlediği durumlarda uygulanır. Kullanım Koşulları belgemizin bir parçasıdır ve ona dahildir; AB Genel Veri Koruma Tüzüğü ('GDPR') 28. maddesine, Birleşik Krallık GDPR'ının karşılık gelen hükümlerine ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ('KVKK') 12. maddesine işlerlik kazandırır.

Bu belgede ToRun, Hizmet'i sunan anonim şirket olan TORUN TEKNOLOJİ ANONİM ŞİRKETİ'ni (Torun Teknoloji A.Ş.) ifade eder; Şirket Türkiye'de kurulmuş olup İstanbul Ticaret Sicili Müdürlüğü'ne 1165311 sicil numarasıyla kayıtlıdır (MERSİS No. 0857078305100001) ve merkez adresi Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye'dir.

1. Bu VİS ne zaman uygulanır, ne zaman uygulanmaz

ToRun'u kullananların çoğu kendisi için kullanır. Bu durumda kişisel verilerinizin veri sorumlusu ToRun'dur, Gizlilik Politikası geçerlidir ve bu VİS size uygulanmaz.

Bu VİS, bir Kurum'un - bir şirket, kurum, kuruluş veya başka bir tüzel kişinin - ToRun'u kendi amaçları için kişisel veri işlemek üzere kullandığı ve dolayısıyla işlemenin amaçlarını ve yöntemlerini belirlediği durumlarda uygulanır. Örneğin: yöneticileri çalışanları için hesap oluşturan ve yöneten bir kiracı; müşterilerine ait belgeleri bir Bilgi tabanına yükleyen bir Kurum; kendi kişi listesine ilişkin kişisel veriler üzerinde iş akışı çalıştıran bir Kurum; işlettiği bir otel, hastane, mağaza, kampüs veya başka bir yer için mekân yapay zekâ asistanı yayımlayan bir Kurum. Bu durumlarda veri sorumlusu Kurum, veri işleyen ToRun'dur.

Gizlilik Politikası'nın 1. bölümü aynı ayrımı belirtir. İki belge aynı hizmeti anlattığında, Gizlilik Politikası ToRun'un veri sorumlusu olarak, bu VİS ise veri işleyen olarak hareket ettiği hâli anlatır. Hiçbiri diğerini genişletmez.

1.1 Bu VİS nasıl yürürlüğe girer

Bu VİS sürekli bir icaptır. Kurum, veri sorumlusu olduğu kişisel verileri işlemek üzere Hizmet'i kullanmaya başladığında, imzaya gerek olmaksızın ToRun ile Kurum arasında yürürlüğe girer. Karşılıklı imzalı bir nüshaya veya kendi metnine göre düzenlenmiş koşullara ihtiyaç duyan bir Kurum, /company/contact?category=legal adresindeki iletişim formundan talep edebilir. Kurum ile ToRun arasında imzalanmış bir sözleşme varsa, çelişki ölçüsünde o sözleşme bu VİS'e üstün gelir.

1.2 Mekân yapay zekâ asistanları

Kurum bir mekân yapay zekâ asistanı yayımlayabilir: Kurum'un işlettiği bir yer hakkındaki soruları yanıtlayan ve halkın hesap açmadan, Kurum'un seçtiği bir Nokta'daki karekodu okutarak ya da bağlantıyı açarak ulaştığı bir yapay zekâ asistanı. Bu durumda Ziyaretçi İçeriği, Kurum adına işlenen Kurum Kişisel Verisi'dir ve bu VİS ona bütünüyle uygulanır: veri sorumlusu Kurum, veri işleyen ToRun'dur.

Mekân yapay zekâ asistanı Ziyaretçi'den ad, telefon numarası, e-posta adresi veya başka bir tanımlayıcı istemese ve Ziyaretçi hesabı tutmasa da durum böyledir. Bir Nokta ve bir zaman, Kurum'un kendi kayıtlarıyla birleştirildiğinde bir kişiyi belirleyebilir: bir otel odası ve bir saat o odada kalan misafiri, bir yatak veya bir masa onu kullanan kişiyi belirler. Bu nedenle ToRun, her soruyu ve bildirimi geldiği Nokta ve zamanla birlikte, Kurum bu birleştirmeyi hiç yapmasa bile kişisel veri olarak kabul eder.

Noktalarının nereye konacağına ve nasıl adlandırılacağına, Kurum içinde soruları, yanıtları, bildirimleri ve istatistikleri kimin görebileceğine ve bunları kendi kayıtlarıyla eşleştirip eşleştirmeyeceğine Kurum karar verir; Ziyaretçilere kanunun gerektirdiği aydınlatmayı Kurum yapar. Her mekân yapay zekâ asistanının sayfası, veri sorumlusunun Kurum, veri işleyenin ToRun olduğunu belirten bir açıklamaya bağlantı verir.

ToRun, Ziyaretçi İçeriği'ni bir Ziyaretçiyi tanımlamak veya profillemek için kullanmaz. Bir soru veya bildirim saklanmadan önce, Ziyaretçinin içine yazdığı telefon numaraları, e-posta adresleri, T.C. kimlik numaraları, IBAN'lar, kart numaraları ve Türk araç plakaları sabit bir yer tutucuyla değiştirilir. Bu süzgeç otomatiktir ve alışılmadık bir biçimi kaçırabilir: Kurum çalışanlarının gördüğünü azaltır, Ziyaretçi İçeriği'ni anonim hâle getirmez. Yanıtlar, Kurum'un planının belirlediği sürenin sonunda silinir; sorular, Kurum'un raporları sayılarını korusun diye kalır ve 9. bölümde anlatıldığı gibi Kurum'un hesabıyla birlikte silinir.

2. Tanımlar

Veri sorumlusu, veri işleyen, kişisel veri, ilgili kişi, işleme, kişisel veri ihlali ve denetim makamı terimleri GDPR'daki anlamlarını taşır. Ayrıca:

• 'Kurum Kişisel Verisi', ToRun'un bu VİS kapsamında Kurum adına işlediği, Kurum İçeriği içindeki kişisel veriyi ifade eder.
• 'Kurum İçeriği', Kurum'un veya Kullanıcılarının Hizmet'e gönderdiği ya da Hizmet üzerinden ürettiği istemleri, dosyaları, belgeleri, bilgi tabanlarını, iş akışı girdi ve çıktılarını, mesajları ve diğer materyali ve Kurum'un mekân yapay zekâ asistanlarının Ziyaretçi İçeriği'ni ifade eder.
• 'Kullanıcı', Kurum'un kendi hesabı altında Hizmet'i kullanmaya yetkilendirdiği gerçek kişiyi ifade eder.
• 'Mekân yapay zekâ asistanı', Kurum'un Hizmet üzerinden işlettiği bir yer veya internet sitesi için yayımladığı ve halkın hesap açmadan kullandığı yapay zekâ asistanını ifade eder.
• 'Nokta', bir mekân yapay zekâ asistanının, Kurum'un adlandırıp yerleştirdiği karekodunu veya bağlantısını ifade eder - örneğin bir giriş, bir danışma, bir masa, bir yatak veya bir otel odası.
• 'Ziyaretçi', bir mekân yapay zekâ asistanını kullanan kişiyi ifade eder. Ziyaretçi bir Kullanıcı değildir.
• 'Ziyaretçi İçeriği', bir Ziyaretçinin mekân yapay zekâ asistanına gönderdiği içeriği - yazılı veya sesli soruları ile arıza veya yanlış bilgi bildirimi gibi bildirimleri - verilen yanıtlarla, her birinin geldiği Nokta, tarih ve saatle ve kullanılan dille birlikte ifade eder.
• 'Alt İşleyen', ToRun'un Kurum Kişisel Verisi'ni işlemek üzere görevlendirdiği üçüncü tarafı ifade eder.
• 'Model Sağlayıcı', Kurum'un veya Kullanıcısının talep ettiği sonucu üretmek amacıyla bir yapay zekâ isteğinin yönlendirildiği üçüncü taraf yapay zekâ sağlayıcısını ifade eder.

3. Roller

3.1 Veri sorumlusu olarak Kurum

Kurum Kişisel Verisi'nin işlenme amaçlarını ve yöntemlerini Kurum belirler. Talimat verdiği işleme için hukuka uygun bir sebebe sahip olmaktan, ilgili kişilere kanunun gerektirdiği bildirimleri yapmaktan, gönderdiği Kurum İçeriği'nin doğruluğu ve hukuka uygunluğundan ve Kurum içinde kimin neyi görebileceğine karar vermekten Kurum sorumludur.

3.2 Veri işleyen olarak ToRun

ToRun, Kurum Kişisel Verisi'ni yalnız bu VİS'te belirtildiği şekilde ve Kurum'un belgelenmiş talimatları doğrultusunda işler.

3.3 ToRun'un veri sorumlusu kaldığı hâller

Şunlar bakımından ToRun bağımsız veri sorumlusudur ve bu VİS uygulanmaz: hesap kaydı ve kimlik doğrulama verileri; faturalama, fatura, vergi ve dolandırıcılık önleme kayıtları; güvenlik, denetim ve kötüye kullanım önleme günlükleri; toplulaştırılmış ve anonimleştirilmiş hizmet telemetrisi; ve Kurum yöneticileriyle yazışmalar. Bu işleme Gizlilik Politikası kapsamındadır. ToRun bağımsız veri sorumlusu olarak hareket ettiğinde bu işleme için Kurum'un talimatlarıyla hareket etmez ve aynı veri için iki rolü birbirinin yerine kullanmaz.

4. Konu, süre, nitelik ve amaç

İşlemenin konusu, süresi, niteliği ve amacı ile kişisel veri türleri ve ilgili kişi kategorileri Ek I'de belirtilmiştir. Özetle: ToRun, Kurum'un hesabı etkin olduğu sürece, Kurum'un talep ettiği Hizmet'i sunmak için Kurum Kişisel Verisi'ni işler - içeriği saklamak, yapay zekâ isteklerini Model Sağlayıcılara yönlendirmek, iş akışlarını çalıştırmak ve sonuçları döndürmek.

5. Veri işleyen olarak ToRun'un yükümlülükleri

5.1 Belgelenmiş talimatlar

ToRun, üçüncü ülkelere aktarım dahil olmak üzere Kurum Kişisel Verisi'ni yalnız Kurum'un belgelenmiş talimatları doğrultusunda işler. Bu talimatlar; bu VİS'ten, Kullanım Koşulları'ndan, Kurum'un Hizmet içinde seçtiği yapılandırmadan - isteklerinin hangi Model Sağlayıcılara ulaşabileceği dahil - ve Kullanıcılarının Hizmet üzerinden yaptığı her istekten oluşur.

AB, Üye Devlet veya Türk hukuku gerektirdiğinde ToRun, Kurum Kişisel Verisi'ni başka türlü işleyebilir. Bu durumda, kanun önemli kamu yararı gerekçesiyle bildirimi yasaklamadıkça, ToRun işlemeden önce Kurum'u bu hukuki gereklilik hakkında bilgilendirir.

ToRun bir talimatın veri koruma hukukunu ihlal ettiği kanaatine varırsa, gecikmeksizin Kurum'u bilgilendirir ve talimat geri alınana veya değiştirilene kadar askıya alabilir.

5.2 Gizlilik

ToRun'un Kurum Kişisel Verisi'ni işlemeye yetkilendirdiği her kişi bir gizlilik yükümlülüğü altındadır ve erişim, Hizmet'i sunmak, güvenliğini sağlamak veya desteklemek için buna ihtiyacı olanlarla sınırlıdır.

5.3 Güvenlik

ToRun, GDPR 32. maddenin gerektirdiği üzere teknolojik gelişmeleri, uygulama maliyetini ve işlemenin niteliğini, kapsamını, bağlamını ve amaçlarını dikkate alarak Ek II'de belirtilen teknik ve idari tedbirleri uygular. Koruma düzeyi düşürülmemek kaydıyla bu tedbirleri güncelleyebilir.

5.4 İlgili kişi taleplerine destek

Hizmet, Kurum'a ve Kullanıcılarına Kurum Kişisel Verisi'ni doğrudan bulma, dışa aktarma, düzeltme ve silme imkânı verir. Oturum açmış bir Kullanıcı, Hizmet içindeki Kişisel veriler sayfasından kendi kişisel verisini dışa aktarabilir ve silebilir; silme anında çalışır ve kanunun ToRun'a saklamayı zorunlu kıldığı mali ve denetim kayıtları silinmek yerine anonimleştirilir.

Bir ilgili kişi ToRun'a Kurum Kişisel Verisi'ne ilişkin bir talep yönelttiğinde ToRun talebi esastan yanıtlamaz: ilgili kişiyi Kurum'a yönlendirir ve talebi gecikmeksizin Kurum'a bildirir. Kurum bir talebi Hizmet'in kendi araçlarıyla karşılayamıyorsa, ToRun işlemenin niteliğini dikkate alarak makul destek sağlar.

5.5 32 ilâ 36. maddelere destek

İşlemenin niteliğini ve elindeki bilgiyi dikkate alarak ToRun, Kurum'a işleme güvenliği, kişisel veri ihlali bildirimi, veri koruma etki değerlendirmesi ve ön istişare konularında destek olur. Ek I ve Ek II, bir etki değerlendirmesine girdi olarak kullanılabilecek şekilde yazılmıştır.

5.6 İşleme kayıtları

ToRun, GDPR 30(2). maddenin gerektirdiği, veri sorumluları adına yürütülen işleme kategorilerine ilişkin kaydı tutar ve Kurum'u ilgilendiren kısımlarını talep üzerine sunar.

6. Alt İşleyenler

6.1 Genel yetkilendirme

Kurum, ToRun'a Alt İşleyen görevlendirmesi için genel yazılı yetki verir. ToRun her Alt İşleyeni sözleşmeyle bu VİS'tekinden daha az koruyucu olmayan veri koruma yükümlülüklerine bağlar ve Alt İşleyenin bu yükümlülükleri yerine getirmesinden Kurum'a karşı tam sorumlu kalır.

6.2 Liste ve diğerlerinden farklı davranan tek kategori

Ek III, ToRun'un Alt İşleyenlerini listeler. Bu belgenin parçasıdır ve liste değiştiğinde güncellenir.

Bir kategori diğerleri gibi davranmaz ve bir Kurum bu VİS'e güvenmeden önce bunu anlamalıdır: bir isteği hangi Model Sağlayıcının alacağına isteğin kendisi karar verir. Bu; talep edilen yeteneğe, Kullanıcının veya Kurum'un yönlendirme yapılandırmasının seçtiği modele ve - Kurum kendi sağlayıcı anahtarını verdiğinde (BYOK) - Kurum'un o sağlayıcıyla kendi sözleşmesine bağlıdır. ToRun, hâlihazırda kullanılabilir sağlayıcı ve modelleri Hizmet içinde yayımlar. Kurum Kişisel Verisi'nin belirli sağlayıcılar, bölgeler veya modellerle sınırlı kalmasını gerektiren bir Kurum, yönlendirmeyi kendi yapılandırmasında kısıtlar; varsayılana güvenmek yerine bunu yapmalıdır.

6.3 Listedeki değişiklikler

ToRun, yeni bir Alt İşleyen Kurum Kişisel Verisi'ni işlemeye başlamadan en az 30 gün önce Kurum'un idari iletişim noktasını bilgilendirir. Kurum bu 30 gün içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı iyi niyetle çözmeye çalışır — örneğin Kurum'un işlemesini o Alt İşleyenden uzağa yönlendirerek. Çözülemezse Kurum, Hizmet'in etkilenen kısmını sonlandırabilir ve döneminin kullanılmayan kalanı için peşin ödenmiş ücretlerin oranlı iadesini alır.

Hizmet'i çalışır ve güvenli tutmak için bir Alt İşleyenin bundan daha hızlı değiştirilmesi gerektiğinde ToRun, koşulların elverdiği kadar bildirim yapar ve sürenin neden kısaldığını açıklar. Yukarıdaki itiraz ve fesih hakları bundan etkilenmez.

Bir Model Sağlayıcının ürün içi kataloğa eklenmesi tek başına bildirim gerektiren bir değişiklik değildir; Kurum'un kendi yönlendirme yapılandırması isteklerin o sağlayıcıya ulaşmasına izin verdiğinde böyle olur.

7. Uluslararası aktarımlar

ToRun İstanbul, Türkiye'den faaliyet gösterir ve Alt İşleyenleri Türkiye, Avrupa Ekonomik Alanı, Birleşik Krallık, Amerika Birleşik Devletleri ve diğer ülkelerde bulunur. Kurum Kişisel Verisi AEA, Birleşik Krallık veya Türkiye dışına aktarıldığında aktarım şunlara dayanır:

• GDPR V. Bölüm - duruma göre Modül İki (veri sorumlusundan veri işleyene) veya Modül Üç (veri işleyenden veri işleyene) olmak üzere Standart Sözleşme Hükümleri ((AB) 2021/914 sayılı Komisyon Uygulama Kararı). Hükümler atıfla bu VİS'e dahildir ve çelişki hâlinde ona üstün gelir. Bu VİS'in Ek I ve Ek II'si, Hükümler'in Ek I ve Ek II'si olarak kullanılır; katılım (docking) maddesi uygulanır; yetkili denetim makamı Kurum'un AB'deki yerleşim yerinin, yoksa ilgili kişilerinin bulunduğu Üye Devletin makamıdır.
• Birleşik Krallık GDPR - AB Standart Sözleşme Hükümleri'ne Birleşik Krallık Uluslararası Veri Aktarım Eki.
• KVKK 9. madde - gerektiğinde Kişisel Verileri Koruma Kurumu'na bildirilen taahhütname veya standart sözleşme dahil olmak üzere 9. madde kapsamında mevcut bir aktarım dayanağı.

Kurum, aktarım belgelerinin bir nüshasını /company/contact?category=legal adresindeki iletişim formundan talep edebilir.

8. Kişisel veri ihlali

ToRun, Kurum Kişisel Verisi'ni etkileyen bir kişisel veri ihlalini öğrendikten sonra gecikmeksizin ve her hâlükârda 72 saat içinde Kurum'a bildirir. Bildirim, o an bilindiği ölçüde, ihlalin niteliğini ve etkilenen ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, muhtemel sonuçlarını, alınan veya önerilen tedbirleri ve ek bilgi için bir iletişim noktasını açıklar. Bilgilerin tamamı aynı anda mevcut değilse ToRun bunları başkaca gecikme olmaksızın aşamalar hâlinde sunar.

Bildirim Kurum'un idari iletişim noktasına yapılır. Veri sorumlusu olarak denetim makamına ve ilgili kişilere kanunun gerektirdiği bildirimi yapmak Kurum'un sorumluluğundadır.

9. Silme ve iade

Kurum'un hesabının sona ermesi üzerine ve Kurum'un yazılı talebi hâlinde herhangi bir zamanda, AB, Üye Devlet veya Türk hukuku saklamayı gerektirmedikçe ToRun, Kurum'un tercihine göre Kurum Kişisel Verisi'ni siler veya iade eder ve mevcut kopyaları siler.

Uygulamada:

• İade. Kurum ve Kullanıcıları, hesap etkin olduğu sürece Kurum İçeriği'ni Hizmet'ten istedikleri zaman dışa aktarabilir. Sona ermeden sonra dışa aktarım isteyen bir Kurum, silme penceresi kapanmadan önce talep etmelidir.
• Silme. İçerik hesap kapanışında silinir. Birincil depolardan silme kesindir; silinen bir kopyanın yeniden ortaya çıkabileceği bir yedek rotasyonu yoktur.
• Saklanan. ToRun'un kanunen saklamak zorunda olduğu kayıtlar - faturalama, vergi ve karma zincirli denetim kayıtları - aynı bölümdeki süreler boyunca saklanır; kayıt kimlik tanımlayıcıları olmadan da amacına hizmet ettiği ölçüde bu tanımlayıcılar ayrılır.

10. Denetim ve bilgi

ToRun, bu VİS ve Ekleri ile makul bir güvenlik ve gizlilik anketine verdiği yanıtlar dahil olmak üzere, GDPR 28. maddeye uygunluğu göstermek için gerekli bilgiyi Kurum'a sunar.

Bir Kurum bundan fazlasını gerektirdiğinde - yerinde ziyaret, üçüncü taraf denetçi veya özel bir değerlendirme - 12 aylık dönemde bir kez, 30 gün önceden yazılı bildirimle, mesai saatleri içinde ve Hizmet'i aksatmayacak şekilde denetim yapabilir. Denetçi ToRun'un rakibi olamaz ve en az Sözleşme'dekiler kadar koruyucu gizlilik yükümlülükleri altında olmalıdır. Kurum kendi ve denetçisinin masraflarını, ToRun kendi masraflarını üstlenir; denetim bu VİS'in esaslı bir ihlalini ortaya çıkarırsa denetimin makul masrafını ToRun üstlenir.

Bir denetim makamının denetim talep ettiği hâllerde ve Kurum'un verisini etkileyen bir kişisel veri ihlalinin ardından bu sınırlar uygulanmaz: bu durumlarda koşulların gerektirdiği sıklıkta denetim yapılabilir.

ToRun, kanunun Kurum'a tanıdığı bir denetimi reddetmez. Çok kiracılı bir platformun denetimi başka bir müşterinin verisini açığa çıkaramasın diye usulünün yazılı olarak kararlaştırılmasını ister - bu kısıt Kurum'un kendi verisini de birebir aynı şekilde korur.

11. Yapay zekâya özgü hükümler

11.1 Kurum İçeriği ile eğitim yapılmaz

ToRun, Kurum İçeriği'ni - istemleri, dosyaları, konuşmaları veya üretilen çıktıları - kendisinin ya da bir başkasının hiçbir yapay zekâ modelini eğitmek, ince ayarlamak veya başka şekilde geliştirmek için kullanmaz. ToRun'un kendi sağlayıcı hesapları üzerinden yönlendirilen istekler için ToRun, sağlayıcının müşteri içeriğiyle eğitim yapmasını yasaklayan koşullarla çalışır. Kurum kendi sağlayıcı anahtarını verdiğinde (BYOK), sağlayıcının eğitim tutumu Kurum'un o sağlayıcıyla kendi sözleşmesine tabidir ve Kurum bunu incelemelidir.

11.2 Model Sağlayıcının aldığı şey

Bir Model Sağlayıcı, belirli isteği yanıtlamak için gereken içeriği - istemi, ona eklenmiş veya onda atıf yapılmış materyali ve o isteğin gerektirdiği konuşma bağlamını - alır ve bunu yalnız bir Kullanıcının eylemi veya Kurum'un yapılandırdığı otomasyon bir isteğin gönderilmesine yol açtığında alır. ToRun, Kurum İçeriği'ni başka hiçbir amaçla bir Model Sağlayıcıya göndermez.

11.3 Çıktı

ToRun, yapay zekâ çıktısının doğru, eksiksiz veya belirli bir amaca uygun olduğuna dair bir beyanda bulunmaz. Kurum çıktıyı bir kişi hakkında karar vermek için kullandığında, o kararın veri sorumlusu Kurum'dur ve GDPR 22. madde kapsamındakiler dahil olmak üzere bundan doğan yükümlülükleri taşır.

11.4 İçerik taraması

Yüklenen görseller ve genel erişime açık bir yüzeyde yayımlanan metin, Kabul Edilebilir Kullanım Politikası 4. bölümde açıklandığı üzere otomatik bir moderasyon sınıflandırıcısı tarafından taranır. Bu tarama ToRun'un kendi meşru menfaati doğrultusunda ve hukuki yükümlülüklerini yerine getirmek için yapılır. Kurum'un talimatı üzerine yapılan bir işleme değildir.

12. Sorumluluk

Tarafların bu VİS kapsamındaki sorumluluğu, Kullanım Koşulları'ndaki veya varsa Kurum ile ToRun arasında imzalanmış sözleşmedeki sorumluluk istisna ve sınırlamalarına tabidir. Bu VİS'te yer alan hiçbir hüküm, ilgili kişinin Standart Sözleşme Hükümleri veya yürürlükteki mevzuat kapsamındaki haklarını sınırlamaz.

13. Öncelik, değişiklik ve uygulanacak hukuk

Kurum Kişisel Verisi'nin işlenmesine ilişkin bir çelişki hâlinde bu VİS, Kullanım Koşulları'na üstün gelir. Standart Sözleşme Hükümleri bu VİS'e üstün gelir.

ToRun, değişiklik kanun, bir denetim makamı veya Hizmet'teki bir değişiklik tarafından gerektirildiğinde ve Kurum Kişisel Verisi'nin korunmasını azaltmadığı sürece bu VİS'i değiştirebilir. Bu belgeyle gösterilen sürüm ve yürürlük tarihi, yürürlükteki metnin resmî kaydıdır.

Bu VİS, emredici veri koruma hukuku ve Standart Sözleşme Hükümleri'nin uygulanacak hukuku saklı kalmak kaydıyla, Kullanım Koşulları'nda belirtilen hukuka tabidir.

14. İletişim

Veri koruma soruları, imzalı nüsha talepleri, aktarım belgeleri, güvenlik anketleri ve denetim başvuruları: /company/contact?category=legal adresindeki iletişim formu veya privacy@torun.ai.

Ek I - İşlemenin tanımı

Konu	ToRun yapay zekâ orkestrasyon platformunun Kurum'a sunulması.
Süre	Kurum'un hesabının süresi ile Gizlilik Politikası 8. bölümdeki saklama süreleri.
İşlemenin niteliği	Toplama, saklama, yapılandırma, erişim, Model Sağlayıcılara iletme, çıktı üretme ve silme - otomatik yollarla.
Amaç	Kurum'un ve Kullanıcılarının başlattığı özellikleri sunmak: sohbet, belgeler ve bilgi tabanları, iş akışı yürütme, medya üretimi, çeviri, mekân yapay zekâ asistanları ve bunları çevreleyen hesap, destek ve güvenlik işlevleri.
İlgili kişi kategorileri	Kurum'un Kullanıcıları; mekân yapay zekâ asistanlarının Ziyaretçileri; ve Kurum'un veya Kullanıcılarının Kurum İçeriği'ne dahil etmeyi seçtiği kişisel veriye sahip herhangi bir gerçek kişi - örneğin Kurum'un çalışanları, müşterileri, tedarikçileri veya iletişimde olduğu kişiler.
Kişisel veri kategorileri	Kullanıcıların kimlik ve iletişim verileri (ad, e-posta adresi, profil bilgileri, kimlik doğrulama tanımlayıcıları); bir Kullanıcıya bağlı kullanım ve etkileşim verileri; Ziyaretçi İçeriği - sorular, bildirimler, verilen yanıtlar, Nokta (bir oda, yatak veya masa olabilir) ile her birinin tarih ve saati ve dil - Ziyaretçi hesabı olmadan ve iletişim bilgisi istenmeden toplanır; ve Kurum'un Kurum İçeriği içinde göndermeyi seçtiği, kategorilerini Kurum'un belirlediği ve ToRun'un önceden kısıtlamadığı her türlü kişisel veri.
Özel nitelikli veriler (9. madde)	Hizmet tarafından gerekli görülmez ve talep edilmez. Kurum İçeriği içinde gönderilip gönderilmeyeceğine Kurum karar verir. Gönderildiğinde, GDPR 9 ve 10. maddelerdeki ve KVKK 6. maddedeki ek koşullardan Kurum sorumludur.
Sıklık	Hesap süresince sürekli.
Saklama	Gizlilik Politikası 8. bölümde ve bu VİS'in 9. bölümünde belirtildiği gibi.

Ek II - Teknik ve idari tedbirler

Bunlar uygulamada olan tedbirlerdir. Burada uygulanmayan hiçbir şey listelenmemiştir.

Erişim denetimi

• Host, kiracı, kurum, üretici ve son kullanıcı ad alanlarına açıkça kapsamlanmış rol ve izin tabanlı yetkilendirme; böylece bir kapsamda verilen izin başka bir kapsama taşınmaz.
• Kiracı yalıtımı yalnız arayüzde değil veri katmanında uygulanır.
• Her hesapta iki faktörlü kimlik doğrulama mevcuttur; oturum listesi ve güvenlik günlüğü hesap sahibine görünür.
• Üretim sistemlerine erişim, kimlik doğrulamalı kanallar üzerinden ve yalnız ihtiyacı olan kişilerle sınırlıdır.

Şifreleme

• Aktarım hâlindeki veriler için TLS; her API isteği ve her Model Sağlayıcı isteği dahil.
• Kendi anahtarını getir (BYOK) sağlayıcı kimlik bilgileri: ham anahtar hiçbir zaman saklanmaz. Parmak izi çıkarılır ve bir uygulama anahtar yönetim halkasıyla şifrelenir. Hesap sahibinin gördüğü yüzey yalnız bir anahtarın yapılandırılmış olup olmadığını ve en son ne zaman test edildiğini döndürür - anahtarı da şifreli hâlini de asla. Platform yönetimi saklanan şifreli metni okuyabilir; anahtar rotasyonu ve olay müdahalesi bunu gerektirir.

Denetlenebilirlik

• Faturalama, moderasyon ve yönetim işlemleri için karma zincirli, kurcalamayı belli eden denetim kayıtları. Zincir saklanan kayıtlardan doğrulanır; böylece kurcalanmış bir satır, doğrulayıcının beklediği değeri yeniden türetmesi yerine doğrulamayı kırar.
• Her yapay zekâ çağrısı için tek bir faturalama kaydı; uygulanan fiyatı, fon kaynağını ve kullanılan sağlayıcıyı taşır; böylece neyin, kimin için ve hangi sağlayıcı üzerinden işlendiği yeniden kurulabilir.

Dayanıklılık ve bütünlük

• Olay yayımı için işlemsel giden kutusu ve gelen kutusu tarafında tekillik; böylece bir olay ne çökmede kaybolur ne de iki kez uygulanır.
• Genel erişime açık ve kimlik doğrulamalı yüzeylerde hız sınırlama ve kötüye kullanım tespiti.
• Birincil veritabanı, arbiter içermeyen üç üyeli bir replica set olarak çalışır; her üye tam bir kopya taşır, dolayısıyla bir düğümün veya diskin kaybı ne veri ne de erişilebilirlik kaybına yol açar.

İçerik güvenceleri

• Yüklenen görsellerin saklanmadan önce ve genel erişime açık yüzeylerde yayımlanan metnin yayına girmeden önce otomatik moderasyon taraması; Kabul Edilebilir Kullanım Politikası 4. bölümde açıklandığı gibi.

İlgili kişi araçları

• Hizmet içinden kişisel verinin kendi kendine dışa aktarımı ve silinmesi. Silme eşzamanlıdır ve her modülü kapsar; kanunun saklanmasını gerektirdiği mali ve denetim kayıtları silinmek yerine anonimleştirilir.

Tedarikçi yönetimi

• Alt İşleyenler sözleşmeyle bu VİS'tekinden daha az koruyucu olmayan veri koruma yükümlülüklerine bağlanır.

Ek III - Alt İşleyenler

Kategori	Alt İşleyen	Amaç	Konum
Depolama ve dağıtım	Bunny.net (BunnyWay d.o.o.)	Nesne depolama, CDN, görsel ve video optimizasyonu ve akışı	Slovenya (AB), küresel uç ağ
Ödemeler	Dodo Payments	Resmî Satıcı (Merchant of Record): ödeme işleme, faturalama, vergi hesaplama ve beyanı, iadeler ve ters ibrazlar	Sağlayıcının kendi koşullarında belirtildiği gibi
Barındırma ve altyapı	OVHcloud	Üretim kümesi için işlem gücü, veritabanı ve önbellek barındırma	Almanya (AB)
Uç ağ	Cloudflare	torun.ai ve alt alan adları için DNS, TLS sonlandırma, önbellekleme ve hizmet reddi saldırısı koruması	Küresel uç ağ
Model Sağlayıcılar	İsteğe göre belirlenir - bkz. 6.2	Bir yapay zekâ isteğinin sonucunu üretmek	Sağlayıcıya göre değişir

İşlemsel e-posta - makbuzlar, parola sıfırlama, güvenlik uyarıları ve bildirimler - ToRun'un kendi işlettiği posta altyapısından gönderilir ve üçüncü taraf bir gönderim hizmetine devredilmez.

Her sağlayıcının işleme konumunu içeren güncel Model Sağlayıcı listesi, /company/contact?category=legal adresindeki iletişim formu üzerinden talep eden Kuruma sunulur.