Veri İşleme Sözleşmesi (VİS)

6698 sayılı Kişisel Verilerin Korunması Kanunu ve İkincil Mevzuatı Kapsamında · Sürüm 1.0 · Son güncelleme: 9 Haziran 2026

Madde 1 — Taraflar

İşbu Veri İşleme Sözleşmesi ("Sözleşme" veya "VİS"), aşağıdaki taraflar arasında akdedilmiştir:

Veri Sorumlusu ve Veri İşleyen birlikte "Taraflar", ayrı ayrı "Taraf" olarak anılır.

Madde 2 — Tanımlar

İlk harfi büyük yazılan kavramlar, aksi belirtilmedikçe 6698 sayılı Kanun (m.3) ve ikincil mevzuattaki anlamlarıyla kullanılır. Başlıcaları: Kanun/KVKK (6698 sayılı Kanun); Kurum/Kurul (Kişisel Verileri Koruma Kurumu/Kurulu); Kişisel Veri, Özel Nitelikli Kişisel Veri, İşleme, Veri Sorumlusu, Veri İşleyen, Alt Veri İşleyen (EK-2); İlgili Kişi (platform aracılığıyla iletişime geçilen işletmelerin gerçek kişi yetkilileri ile gerçek kişi tacir/esnaf işletme sahipleri); Standart Sözleşme (Kurul'un 04.06.2024 tarihli kararıyla kabul edilen tip metinler); Ticari Elektronik İleti/İYS (6563 sayılı Kanun); İşleme Talimatı (Müşterinin platformda oluşturduğu kampanya, hedefleme, listeleme ve gönderim eylemleri belgelenmiş talimat sayılır).

Madde 3 — Konu ve Kapsam

İşbu Sözleşmenin konusu; Taraflar arasındaki Kullanım Koşulları/Abonelik ilişkisi ("Ana Sözleşme") kapsamında, LeaderMix platformu üzerinden Müşteri adına gerçekleştirilen kişisel veri işleme faaliyetlerinin KVKK'ya uygun yürütülmesine ilişkin hak ve yükümlülükleri düzenlemektir. İşbu Sözleşme Ana Sözleşmenin ayrılmaz ekidir; kişisel verilerin korunmasına ilişkin çelişkide işbu Sözleşme uygulanır. Sözleşme, EK-1'deki işleme faaliyetlerini, veri kategorilerini ve ilgili kişi gruplarını kapsar.

Madde 4 — Tarafların Rolü ve Gerekçesi

4.1. İşleme faaliyetinin asli niteliği itibarıyla Müşteri "Veri Sorumlusu", LeaderMix "Veri İşleyen"dir. İşleme amacını ve esaslı vasıtalarını (hedefleme, listeleme, hangi metinle/ne zaman iletişim, kampanya başlat/durdur) Müşteri belirler (KVKK m.3/1-ı); LeaderMix bu kararları Müşterinin platform talimatları doğrultusunda onun adına icra eder (m.3/1-ğ) ve verileri kendi bağımsız amacı için kullanmaz. Gönderilen iletiler Müşterinin mal/hizmetlerini tanıttığından 6563 "hizmet sağlayıcı" sıfatı da Müşteriye aittir.

4.2. LeaderMix yalnızca şu faaliyetlerde bağımsız veri sorumlusudur (işbu Sözleşme kapsamı dışında): platformun kurulması/işletilmesi/güvenliği; hesap yönetimi, faturalandırma, mevzuattan doğan saklama; yalnızca anonim/toplulaştırılmış verilerle ürün geliştirme ve istatistik.

4.3. Veri izolasyonu ve havuzlama yasağı (mimari olarak doğrulanmıştır). Her Müşterinin lead kayıtları kullanıcı kimliğine bağlı ve izole tutulur; tekrar-kayıt kontrolü yalnızca ilgili Müşterinin kendi veri kümesinde yapılır; aynı işletme farklı Müşterilerce tarandığında ayrı kayıtlar oluşur; bir Müşterinin lead'i diğerlerine görünür kılınmaz/yeniden kullanılmaz; erişim kullanıcı kimliğiyle filtrelenir. LeaderMix, topladığı kişisel verileri birden çok Müşteri için ortak veri tabanında havuzlamadığını ve yeniden kullanmadığını taahhüt eder. Bu mimari değişip veriler Müşteriler arası ortak amaçla kullanılırsa, ilgili faaliyet bakımından LeaderMix ortak/bağımsız veri sorumlusu olur; böyle bir değişikliği önceden Müşteriye bildirir.

Madde 5 — İşlemenin Niteliği, Amacı, Süresi; Veri Kategorileri

İşleme faaliyeti özetle; kamuya açık kaynaklardan (Google Haritalar/Places, işletme web siteleri, çevrimiçi rehberler, LinkedIn) işletme/yetkili iletişim verilerinin toplanması, doğrulanması, yapay zekâ ile firma analizi ve ileti metni üretimi, e-posta ile tanıtım ve yanıt takibinden ibarettir; ayrıntı EK-1'dedir. LeaderMix, EK-1 dışında işleme yapmayacağını; KVKK m.6'daki özel nitelikli verileri toplamayacağını/işlemeyeceğini, tesadüfen tespit edilirse gecikmeksizin imha edip Müşteriyi bilgilendireceğini taahhüt eder.

Madde 6 — İşlemenin Hukuka Uygunluk Sebepleri (KVKK m.5–m.6 ve 6563/İYS)

6.1. Müşteri, işlenen veriler bakımından KVKK m.5'teki şartlardan en az birinin mevcudiyetini sağlar. Asli hukuki sebep, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Müşterinin meşru menfaatidir (m.5/2-f); Müşteri menfaat dengesi testini belgeler. Verinin kamuya açık olması tek başına yeterli değildir (m.5/2-d sınırı). Toplamada açık rıza dayanağı kullanılmaz.

6.2. İşleme özel nitelikli veri içermez (m.6); bu durumun korunmasından Taraflar müştereken sorumludur.

6.3. Aydınlatma (m.10) yükümlülüğü Müşteriye aittir. Bunu teminen giden her e-postada (i) gönderimin kim adına yapıldığı, (ii) verinin kaynağı/amacı/hukuki sebebi, (iii) KVKK m.11 başvuru kanalı ve (iv) vazgeçme (opt-out) bağlantısı yer alır; LeaderMix bu unsurları teknik olarak yerleştirir, içeriğin hukuka uygunluğundan Müşteri sorumludur.

6.4. Ticari elektronik ileti (6563/İYS): Alıcı tacir/esnaf ise önceden onay zorunlu değildir, ancak opt-out hakkı sağlanır ve red bildirimleri uygulanır; alıcıların İYS'ye kaydı, red kontrolü ve tacir/esnaf ispatı hizmet sağlayıcı sıfatıyla Müşteriye aittir. Alıcı tacir/esnaf değilse önceden onay (opt-in) kuraldır. İYS kaydı, onay/red yönetimi ve red bildiriminin üç iş günü içinde İYS'ye işlenmesi Müşteriye aittir; LeaderMix opt-out altyapısını sağlar.

Madde 7 — Veri İşleyenin Yükümlülükleri

• Yalnızca talimatla işleme; hukuka aykırı bulduğu talimatı Müşteriye gecikmeksizin bildirir.
• Gizlilik; erişimi olan herkesi yazılı gizlilik taahhüdü altında tutar (sona ermeden sonra da süresiz).
• Veri güvenliği (m.12) — EK-3'teki teknik ve idari tedbirleri alır ve güncel tutar.
• Alt veri işleyen kullanımında Madde 10'a uyar; onlara en az eşdeğer yükümlülük yükler.
• İlgili kişi taleplerine destek (Madde 12); doğrudan kendisine ulaşanı gecikmeksizin Müşteriye yönlendirir.
• Veri ihlali bildirimi — öğrendiği andan itibaren en geç 24 saat içinde Müşteriyi bilgilendirir (Madde 13).
• İlişki sonunda imha/iade — Madde 14'teki rejim uyarınca; Madde 14 ile çelişen genel imha vaadi yer almaz.
• Hesap verebilirlik için kayıt tutar; sunucu/lokasyon (EK-2/EK-3) esaslı değişikliklerini önceden bildirir.

Madde 8 — Veri Sorumlusunun Yükümlülükleri

• Her veri için KVKK m.5/m.6 şartlarından birinin mevcudiyetini sağlar (Madde 6).
• İlgili kişilere yönelik m.10 aydınlatma yükümlülüğünü yerine getirir; metnin içeriğinden sorumludur.
• 6563/İYS yükümlülüklerini (hizmet sağlayıcı kaydı, onay/red, tacir-esnaf ispatı, İYS aktarımı) yerine getirir.
• LeaderMix'e verdiği talimatların hukuka uygunluğunu taahhüt eder.
• Tabi olması hâlinde VERBİS yükümlülüğünü yerine getirir; kendisine ulaşan m.11 taleplerini kural olarak 30 gün içinde sonuçlandırır.

Madde 9 — Teknik ve İdari Güvenlik Tedbirleri

LeaderMix, KVKK m.12 ve Kurum rehberi doğrultusunda, verinin niteliği ve riskiyle orantılı tedbirleri alır (asgari liste EK-3). Tedbirler teknolojik gelişme ve risk değerlendirmesiyle periyodik gözden geçirilir. Müşteri, kendi erişim hesapları ve oluşturduğu listelerin güvenliğinden sorumludur.

Madde 10 — Alt Veri İşleyenler

Müşteri, EK-2'deki alt veri işleyenlerin kullanımına genel olarak onay verir. LeaderMix, yeni/değişen alt işleyeni en az 15 gün önceden bildirir; Müşteri makul ve veri korumasına ilişkin gerekçeyle itiraz edebilir, çözülmezse ilgili hizmet bakımından feshedebilir. LeaderMix her alt işleyene en az eşdeğer yükümlülük yükler ve onların fiillerinden Müşteriye karşı sorumlu kalır. Yurt dışı alt işleyenler için Madde 11 uygulanır.

Madde 11 — Yurt Dışına Aktarım (KVKK m.9)

11.1. Aktarımlar, 7499 sayılı Kanunla değişik ve 01.06.2024'te yürürlüğe giren KVKK m.9 ile 10.07.2024 tarihli (RG 32598) Yönetmeliğe tabidir.

11.2. Kademeli rejim: (a) yeterlilik kararı; (b) uygun güvenceler (standart sözleşme, BCR, taahhütname+Kurul izni); (c) arızi haller — yalnızca süreklilik arz etmeyen aktarımlar için, LeaderMix'in sistematik aktarımlarına uygulanamaz.

11.3. EK-2'deki alt işleyenlerin tamamı yurt dışında ve aktarımlar sürekli olduğundan, asli mekanizma Standart Sözleşmedir. LeaderMix her yurt dışı alt işleyenle geçerli m.9 mekanizmasını tesis eder, Standart Sözleşmeyi imzasından sonra 5 iş günü içinde Kurum'a bildirir ve bildirim kaydını talep hâlinde sunar.

11.4. Sözleşme tarihi itibarıyla Kurul herhangi bir ülke için yeterlilik kararı vermemiştir; aktarımlar uygun güvencelere dayanır. LeaderMix aktarım envanteri tutar; Müşteri bunu kendi belgeleme yükümlülüğü için kullanır. Geçerli güvence tesis edilemeyen aktarım durdurulur.

Madde 12 — İlgili Kişi Hakları (KVKK m.11) ve Destek

İlgili kişiler m.11 haklarına (öğrenme, bilgi, amaç, üçüncü kişiler, düzeltme, m.7 silme/yok etme, bildirim, otomatik analize itiraz, tazminat) sahiptir. Talepleri sonuçlandırmak Müşterinin yükümlülüğüdür; LeaderMix gerekli teknik işlemleri (erişim/düzeltme/silme/durdurma) makul süre içinde ve en geç 7 gün içinde yaparak destek olur; kendisine doğrudan ulaşan talebi esastan yanıtlamaz, gecikmeksizin Müşteriye iletir. Yapay zekâ analizinin ilgili kişi aleyhine münhasıran otomatik karar oluşturmamasını sağlamak Müşterinin sorumluluğundadır.

Madde 13 — Veri İhlali Bildirimi (KVKK m.12)

LeaderMix, bir ihlali öğrendiği andan itibaren en geç 24 saat içinde Müşteriyi; ihlalin niteliği, etkilenen kişi/veri kategorileri, olası sonuçlar ve alınan tedbirler hakkında bilgilendirir. Bu süre, Müşterinin Kurul'a (2019/10 sayılı karar uyarınca makul 72 saat içinde) bildirimini yapabilmesi içindir. LeaderMix etkileri sınırlar, soruşturmaya tam destek verir; kamuya/üçüncü kişilere yalnızca Müşterinin yazılı talimatıyla bildirimde bulunur.

Madde 14 — Saklama ve İmha

14.1. Veriler KVKK m.4 (amaçla sınırlı/ölçülü saklama) ve m.7 (amaç bitince silme/yok etme/anonimleştirme) ilkelerine tabidir.

14.3. Vazgeçme (opt-out) kaydı: Vazgeçme talebinde ilgili veri aktif işlemeden çıkarılır; red kaydının ispatı için zorunlu asgari veri yalnızca bu amaçla ve mevzuat süresiyle sınırlı saklanabilir.

14.4. İlişki sonunda / hesap kapanışında kural — imha: Ana Sözleşmenin sona ermesi veya hesabın kapatılması/silinmesi hâlinde (a) LeaderMix hesabı ve kullanıcı kaydını anonim hâle getirir ve erişimi kapatır; (b) ilgili Müşteriye ait lead kayıtları ve bağlı üçüncü kişi verileri, işleme amacı ortadan kalktığından imha edilir veya geri döndürülemez biçimde anonim hâle getirilir (Müşteri açıkça isterse iade edilir); "ihtimalen gerekebilir" gerekçesiyle süresiz saklama yapılmaz; (c) aynı kişi ileride farklı bir Müşteri tarafından işlense dahi kapatılan hesaba ait önceki lead'ler yeni hesaba bağlanmaz/geri yüklenmez; öksüz kayıtlar imha/anonimleştirme kapsamındadır; (d) işleme ilişkin tutanak talep hâlinde sunulur.

14.5. Tek saklama istisnası — 6563 ileti kayıtları: İmha kuralının yegâne istisnası, 6563 ve ilgili Yönetmelik kapsamındaki ticari elektronik iletilere ilişkin onay/red ve gönderim kayıtlarıdır. Yalnızca mevzuatın saklamayı zorunlu kıldığı kayıtlar saklanır (ham lead veri tabanının tamamı girmez, imha edilir); saklama süresi mevzuat süresiyle (kayıt tarihinden itibaren 3 yıl) sınırlıdır ve sonunda otomatik imha edilir; erişim kısıtlıdır ve aktif işleme/pazarlama için kullanılamaz; yükümlülük hizmet sağlayıcı sıfatıyla Müşteriye aittir, LeaderMix yalnızca onun adına saklar.

14.6. Yeniden kullanım yasağı: 14.5 uyarınca saklanan hiçbir veri başka Müşteriye sunulamaz, yeni kampanyada kullanılamaz, ürün geliştirme/bağımsız amaç için işlenemez ve yeniden üyelikte önceki lead'ler geri yüklenemez. Aksi hâlde LeaderMix ilgili faaliyet bakımından bağımsız veri sorumlusu olur ve geçerli bir m.5 sebebi + aydınlatma sağlamakla yükümlüdür.

14.7. Anonimleştirme tercih edildiğinde geri döndürülemez olması ve başka verilerle eşleştirilse dahi kimliği belirlenebilir kılmaması sağlanır.

Madde 15 — Sorumluluk ve Tazminat

Her Taraf, yükümlülük ihlalinden doğan zararlardan kendi kusuru oranında sorumludur. İdari para cezası/tazminatın münhasıran diğer Tarafın ihlalinden kaynaklandığı ispat edilirse, ödeyen Taraf diğerine rücu hakkını haizdir. LeaderMix yalnızca veri işleyene yüklenen yükümlülüklere aykırılıktan veya hukuka uygun talimat dışına çıkmaktan sorumludur; hukuka aykırı talimat, hukuki sebep/aydınlatma/İYS eksikliğinden Müşteri sorumludur. Azami sorumluluk sınırı Ana Sözleşmedeki limitlere tabidir; kasıt, ağır ihmal ve KVKK'nın emredici hükümleri bu sınırdan istisnadır.

Madde 16 — Denetim Hakkı

Müşteri, uygunluğu doğrulamak için yılda en fazla 1 kez ve en az 15 gün önceden yazılı bildirimle denetim yapma/yaptırma hakkına sahiptir (veri ihlali sonrası makul ek denetimler hariç). LeaderMix güncel tedbir raporları ve varsa bağımsız sertifika/denetim raporlarıyla yükümlülüğü karşılayabilir. Denetimler LeaderMix'in faaliyetlerini ve diğer müşterilerin gizliliğini ihlal etmeyecek şekilde, makul saatlerde yürütülür; öğrenilen bilgiler gizlidir.

Madde 17 — Süre, Fesih, Uygulanacak Hukuk ve Yetkili Mahkeme

İşbu Sözleşme Ana Sözleşme süresince geçerlidir ve onunla birlikte sona erer; niteliği gereği sona ermeden sonra da uygulanması gereken hükümler (gizlilik, imha/iade, sorumluluk) yürürlükte kalır. Esaslı yükümlülük ihlali yazılı ihtara rağmen 30 gün içinde giderilmezse karşı Taraf haklı nedenle feshedebilir. Sözleşme Türk hukukuna tabidir; uyuşmazlıklarda İstanbul (Anadolu) Mahkemeleri ve İcra Daireleri yetkilidir. Madde 1'deki/hesap kaydındaki adresler tebligat adresidir; değişiklik 7 gün içinde bildirilmedikçe eski adrese tebligat geçerlidir. Sözleşme ekleriyle tam mutabakatı oluşturur; bir hükmün geçersizliği diğerlerini etkilemez.

EK-1 — İşleme Detay Tablosu

EK-2 — Alt Veri İşleyen Listesi ve Yurt Dışına Aktarım Rejimi

Tüm yurt dışı aktarımlar için, aktarımın yönüne göre uygun Standart Sözleşme tipi tesis edilir ve imzadan sonra 5 iş günü içinde Kurum'a bildirilir.

EK-3 — Teknik ve İdari Güvenlik Tedbirleri

İdari: kişisel veri envanteri/işleme kaydı; çalışan gizlilik sözleşmeleri ve eğitim; erişim yetki matrisi (asgari yetki); alt işleyenlerle veri koruma sözleşmeleri; veri ihlali müdahale planı; saklama ve imha politikası, periyodik imha; risk analizi.

Teknik: aktarımda ve durağan veride şifreleme (TLS/HTTPS; hassas alan şifreleme); çok faktörlü kimlik doğrulama ve güçlü parola politikası; WAF (Cloudflare), oran sınırlama, bot/zafiyet koruması; erişim/oturum logları, izleme/uyarı; düzenli ve şifreli/erişimi kısıtlı yedekleme; yama yönetimi, güvenlik testleri; hassas dosya/dizin erişim engelleri; API anahtarlarının güvenli saklanması ve rotasyonu; hata/izleme araçlarında (Sentry) PII maskeleme (before_send + send_default_pii=False).

Elektronik Kabul

Müşteri, LeaderMix'e kayıt sırasında ilgili kabul kutusunu işaretleyerek işbu Veri İşleme Sözleşmesini bir bütün olarak okuduğunu, anladığını ve kabul ettiğini beyan eder. Kabul tarihi, sözleşme sürümü ve IP adresi LeaderMix tarafından ispat amacıyla kayıt altına alınır. Islak/elektronik imzalı ayrı bir nüsha talep eden kurumsal Müşteriler için ayrıca imzalanabilir bir nüsha sağlanabilir.