Veri İşleme Sözleşmesi (DPA)

Bu Veri İşleme Sözleşmesi ("DPA"), AIroomier ile hizmeti kullanan işletme ("Müşteri") arasındaki İşletme Hizmet Sözleşmesi'nin parçasıdır. AIroomier'in Müşteri adına kişisel veri, özellikle Müşteri'nin misafirlerine ait verileri işlediği her durumda uygulanır. AB Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesinin ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) gereklerini karşılar. Müşteri, hesap açıp İşletme Hizmet Sözleşmesi'ni kabul ettiğinde bu DPA'yı da kabul etmiş olur; ayrıca imza gerekmez.

Taraflar ve roller#

Veri sorumlusu: Müşteri. Misafir verilerinin hangi amaçla işleneceğine karar verir ve misafirlerine karşı sorumludur.
Veri işleyen: Gürer Ilgar (AIroomier), Liman Mah. 18. Sok. No: 23, 07070 Antalya, Türkiye, support@airoomier.com (ayrıntılar Künye sayfasında).
AIroomier verileri kendi amaçları için işlediğinde (ör. Müşteri hesabı, faturalama ve tanıtım sitesi) veri sorumlusu AIroomier'dir; bu durumda bu DPA yerine Gizlilik Politikası geçerlidir.

Konu, nitelik ve amaç#

AIroomier, yapay zekâ resepsiyon asistanı Mira'yı ve yönetim panelini sunar. Bunun için misafir mesajlarını alır, büyük dil modelleriyle yanıt üretir, müsaitlik ve fiyatları gösterir, rezervasyon ve hizmet taleplerini kaydeder, bildirim e-postaları gönderir ve konuşma geçmişini panelde saklar. Personel Tercümanı (Pro) ile AIroomier ayrıca Müşteri personeli ile misafirler arasındaki konuşmaları sesten yazıya çevirir, tercüme eder ve cevap önerir. AIroomier verileri yalnızca bu hizmeti sunmak için işler.

DPA, İşletme Hizmet Sözleşmesi yürürlükte kaldığı sürece ve sonrasında veriler silinene veya iade edilene kadar geçerlidir.

Veri türleri ve ilgili kişiler#

İlgili kişiler: Müşteri'nin sohbeti kullanan veya talep gönderen misafirleri ve misafir adayları; paneli kullanan Müşteri çalışanları.

Veri türleri: sohbet mesajları ve yapay zekâ yanıtları; ad, e-posta adresi ve telefon numarası; konaklama tarihleri, kişi sayısı, oda veya alan tercihleri ve diğer rezervasyon ya da talep bilgileri; konuşmanın dili ve zamanı; IP adresi ve tarayıcı bilgisi gibi teknik veriler; Personel Tercümanı kullanıldığında konuşmanın kendisi, yazıya dökülmüş hâli ve çevirisi; panel kullanıcılarının adı, e-posta adresi ve rolü.

Özel nitelikli kişisel veriler (ör. sağlık verileri) hizmet için gerekli değildir. Müşteri, misafirlerine bu verileri sohbette paylaşmamalarını bildirir (sohbet penceresi bu uyarıyı gösterir). Misafir yine de paylaşırsa AIroomier bu verileri diğer sohbet verileriyle aynı şekilde korur.

Müşteri'nin talimatları#

AIroomier verileri yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. İşletme Hizmet Sözleşmesi, bu DPA ve Müşteri'nin panelde seçtiği ayarlar bu talimatlardır.
AIroomier, bir talimatın veri koruma mevzuatına aykırı olduğunu düşünürse Müşteri'yi gecikmeden bilgilendirir.
AIroomier'in kanunen verileri başka şekilde işlemesi gerekirse, kanun yasaklamadıkça bunu önceden Müşteri'ye bildirir.
İşlemenin hukuki sebebe dayanmasından ve misafirlerin örneğin Müşteri'nin kendi gizlilik metniyle aydınlatılmasından Müşteri sorumludur.

Gizlilik#

AIroomier'de Müşteri verilerine erişebilen herkes gizlilik yükümlülüğü altındadır ve verileri yalnızca Müşteri'nin talimatlarıyla işleyebilir.

Teknik ve idari tedbirler#

AIroomier şu tedbirleri uygular (Standart Sözleşme Maddeleri Ek II):

AB'de barındırma: Uygulama, veritabanı ve yüklenen dosyalar, Contabo GmbH'nin Fransa'daki (Lauterbourg) veri merkezinde bulunan bir sunucudadır.
Aktarımda şifreleme: Panele, sohbet penceresine ve API'ye yapılan tüm bağlantılar HTTPS (TLS) ile şifrelenir.
Erişim kontrolü: Her işletme ayrı bir kiracıdır ve diğer işletmelerin verilerini göremez. Panel rolleri (tam yetkili, yönetici, müdür, personel) her kullanıcının ne görebileceğini sınırlar; personel rolündekiler yalnızca misafir taleplerini görür.
Şifreler yalnızca geri döndürülemez özet olarak saklanır. Sunuculara yönetici erişimi yetkili AIroomier personeliyle sınırlıdır.
Yapay zekâ sağlayıcıları ve eğitim: Mira'nın dil modeli sağlayıcılarında sıfır veri saklama (zero data retention) açıktır; girdileri ve yanıtları saklamazlar. Talep verilerini model eğitiminde kullanan sağlayıcılar hariç tutulur. Personel Tercümanı'nda Deepgram (sesi yazıya çevirme) model eğitiminden çıkarılmıştır ve sesi yalnızca işlemek için gereken süre kadar tutar; Anthropic (çeviri) verileri eğitimde kullanmaz ve en geç 30 gün içinde siler; Google Cloud Text-to-Speech (çevirileri sesli okuma) yalnızca metin alır, ses almaz. AIroomier ses kaydı saklamaz.
Veri minimizasyonu ve saklama: Sohbet kayıtları en çok 12 ay saklanır. Hesap kapatıldıktan sonra veriler 30 gün içinde, yedeklerden en geç 90 gün içinde silinir.
Erişilebilirlik: Düzenli yedekleme ve hizmetin izlenmesi.

AIroomier, koruma düzeyini düşürmemek kaydıyla bu tedbirleri teknik gelişmelere göre güncelleyebilir.

Alt işleyiciler#

Müşteri, AIroomier'in alt işleyici kullanmasına genel izin verir. Güncel liste; her sağlayıcının amacı, konumu ve aktarım dayanağıyla birlikte Alt işleyiciler sayfasındadır.
AIroomier yeni veya değişen bir alt işleyiciyi en az 30 gün önceden hesap sahibine e-postayla ve Alt işleyiciler sayfasında duyurur. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar anlaşamazsa Müşteri ilgili hizmeti feshedebilir.
AIroomier her alt işleyiciye en az bu DPA kadar koruyucu veri koruma yükümlülükleri yükler ve alt işleyicilerinden sorumludur.

Yurt dışına veri aktarımı#

AIroomier Türkiye'de yerleşiktir ve Avrupa Komisyonu'nun Türkiye için bir yeterlilik kararı yoktur. Müşteri GDPR'a tabiyse kişisel veriler AIroomier'e AB Standart Sözleşme Maddeleri (Komisyon Uygulama Kararı (AB) 2021/914), Modül 2 (veri sorumlusundan veri işleyene) kapsamında aktarılır. Maddeler bu DPA'ya atıfla dahil edilmiştir; Müşteri veri ihracatçısı, AIroomier veri ithalatçısıdır.
Şu seçenekler uygulanır: Madde 7 (katılım maddesi) uygulanır; Madde 9 seçenek 2 (genel izin, 30 gün önceden bildirim); Madde 11'deki isteğe bağlı hüküm uygulanmaz; Madde 13 uyarınca yetkili denetim makamı, Müşteri'nin veya AB temsilcisinin yerleşik olduğu AB üye devletinin makamıdır; Madde 17 ve 18: İrlanda hukuku ve mahkemeleri.
Maddelerin Ek I'i bu DPA ile doldurulur: Taraflar "Taraflar ve roller" bölümünde, işleme "Konu, nitelik ve amaç" ile "Veri türleri ve ilgili kişiler" bölümlerinde açıklanmıştır; aktarım sözleşme süresince süreklidir. Ek II, "Teknik ve idari tedbirler" bölümüdür. Ek III, Alt işleyiciler sayfasıdır.
İsviçre hukukuna tabi aktarımlarda GDPR'a yapılan atıflar İsviçre Federal Veri Koruma Kanunu'na yapılmış sayılır ve yetkili makam FDPIC'tir. Birleşik Krallık'tan yapılan aktarımlarda AB Standart Sözleşme Maddelerine ilişkin UK Ek'i (UK Addendum) uygulanır.
Bazı alt işleyiciler verileri AB dışında, başta ABD'de işler. AIroomier bu sağlayıcıları yalnızca GDPR'ın 46. maddesindeki uygun güvencelerle kullanır (sağlayıcının veri işleme koşullarındaki standart sözleşme maddeleri ve sağlayıcı sertifikalıysa AB–ABD Veri Gizliliği Çerçevesi). Aktarım KVKK'ya tabiyse AIroomier, KVKK'nın 9. maddesinin gerektirdiği standart sözleşmeleri kullanır.
Standart Sözleşme Maddeleri ile bu DPA çelişirse maddeler önceliklidir.

Müşteri'ye destek#

AIroomier, misafirlerin haklarını kullanma taleplerine (erişim, düzeltme, silme, kısıtlama, itiraz ve veri taşınabilirliği) yanıt verirken Müşteri'ye makul ölçüde yardımcı olur. Bunların çoğu doğrudan panelden yapılabilir. Bir misafir AIroomier'e yazarsa AIroomier talebi Müşteri'ye iletir ve tek başına yanıtlamaz.
AIroomier ayrıca güvenlik, ihlal bildirimleri, veri koruma etki değerlendirmeleri ve denetim makamıyla ön istişare (GDPR md. 32–36) konularında, elindeki bilgiler ölçüsünde destek olur.

Kişisel veri ihlalleri#

AIroomier, Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendikten sonra Müşteri'yi gecikmeksizin ve en geç 48 saat içinde bilgilendirir. Bildirim, bilindiği kadarıyla ne olduğunu, hangi verilerin ve yaklaşık kaç kişinin etkilendiğini, olası sonuçları ve alınan önlemleri içerir. AIroomier yeni bilgi edindikçe bildirimi tamamlar ve ihlali sınırlamak için makul önlemleri alır.

Denetim ve bilgilendirme#

AIroomier, bu DPA'ya uyumu göstermek için gereken bilgileri sağlar; başta bu belge, Alt işleyiciler sayfası ve makul sorulara yazılı yanıtlar. Bunlar yeterli olmazsa Müşteri, en az 30 gün önceden bildirmek, mesai saatleri içinde ve yılda en fazla bir kez olmak üzere kendisi ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi aracılığıyla denetim yapabilir; denetim makamı aksini gerektiriyorsa veya bir ihlal olduysa bu sınır uygulanmaz. Her taraf kendi masrafını karşılar.

Verilerin silinmesi ve iadesi#

Sözleşme sona erdiğinde Müşteri verilerini panelden dışa aktarabilir. AIroomier, kanunen daha uzun saklaması gerekmedikçe Müşteri'nin kişisel verilerini 30 gün içinde, yedeklerden en geç 90 gün içinde siler. Talep edilirse silme işlemini yazılı olarak teyit eder.

Sorumluluk ve öncelik sırası#

GDPR'ın veya Standart Sözleşme Maddelerinin sınırlamaya izin vermediği haller dışında İşletme Hizmet Sözleşmesi'ndeki sorumluluk hükümleri uygulanır. Bu DPA ile İşletme Hizmet Sözleşmesi çelişirse veri koruma konularında bu DPA önceliklidir. AIroomier bu DPA'yı güncelleyebilir; önemli değişiklikleri önceden e-postayla duyurur ve değişiklikler koruma düzeyini düşüremez.

Sürüm: 31 Ekim 2026. Bu DPA ile ilgili sorularınız için support@airoomier.com adresine yazın.