Bu metinler taslaktır ve hukuki incelemeden geçmektedir. · Sürüm 1.2

Guestkite Veri İşleme Sözleşmesi (TASLAK)

Son güncelleme: 7 Ekim 2026 (taslak) · Sürüm: 1.0

Bu sözleşme, Guestkite Kullanım Şartları'nın ayrılmaz parçasıdır ve şu taraflar arasındadır:

• Veri sorumlusu: Guestkite'ı kullanan işletme ("İşletme").
• Veri işleyen: TAG Yazılım ve Bilgi Teknolojileri Sanayi Ticaret Limited Şirketi, Kundu Mah. 33006 Sok. No:8/N Aksu / Antalya, MERSİS 0815117464000001 ("Guestkite").

1. Konu ve roller

1.1. İşletme, müşterileriyle (misafir, hasta, danışan; "İlgili Kişi") Guestkite üzerinden yazışır. Bu yazışmalarda ve İşletmenin Guestkite'a yüklediği ya da entegrasyonlarla aktardığı verilerde İşletme veri sorumlusu, Guestkite veri işleyendir (KVKK m.3/1-ğ). 1.2. Guestkite; İşletmenin hesabı, kullanıcıları ve faturalarıyla ilgili verilerde ayrı bir veri sorumlusudur. Bu veriler Guestkite Gizlilik Politikası'na tabidir. 1.3. İşlemenin konusu, süresi, niteliği, amacı, veri kategorileri ve İlgili Kişi grupları Ek-1'dedir.

2. Talimatla işleme

2.1. Guestkite kişisel verileri yalnız İşletmenin belgelenmiş talimatıyla işler. Kullanım Şartları, bu sözleşme ve İşletmenin paneldeki ayarları (açtığı özellikler, saklama süresi, entegrasyonlar) bu talimatı oluşturur. 2.2. Guestkite verileri kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz ve yapay zekâ modeli eğitmek için kullanmaz. 2.3. Bir talimatın KVKK'ya aykırı olduğunu düşünürse Guestkite bunu İşletmeye gecikmeden bildirir.

3. Gizlilik

Guestkite, kişisel verilere erişebilen çalışanlarını ve yardımcılarını süresiz gizlilik yükümlülüğü altına alır. Bu yükümlülük sözleşme bittikten sonra da devam eder (KVKK m.12/4).

4. Güvenlik

4.1. Guestkite, Ek-2'deki teknik ve idari tedbirleri uygular ve günceller (KVKK m.12/1). İşletme ve Guestkite, bu tedbirlerden KVKK m.12/2 uyarınca birlikte sorumludur. 4.2. Guestkite, tedbirlerin genel koruma seviyesini düşürecek bir değişiklik yapmaz.

5. Veri ihlali

5.1. Guestkite, İşletmenin verilerini etkileyen bir ihlali öğrendiğinde en geç 48 saat içinde İşletmeye bildirir. Bildirimde, o an bilinenler ölçüsünde: ne olduğu, ne zaman olduğu, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve önerilen önlemler ve iletişim kişisi yer alır. Bilgiler netleştikçe bildirim tamamlanır. 5.2. Kurula (72 saat) ve İlgili Kişilere bildirim İşletmenin yükümlülüğüdür; Guestkite bu bildirim için gereken bilgi ve belgeyi sağlar.

6. İlgili Kişi başvuruları

6.1. Guestkite, İlgili Kişilerin haklarını kullanabilmesi için şu araçları sağlar: sohbette "🔒 Gizlilik" tuşu ve /privacy ile aydınlatma metni ve "Verilerimi sil"; panelde müşteri verisini silme; saklama süresi ayarı; API ile müşteri verisini okuma. 6.2. Guestkite'a doğrudan gelen başvuruları Guestkite cevaplamaz, en geç 5 iş günü içinde İşletmeye iletir; İşletme başvuruyu 30 gün içinde cevaplar. 6.3. İşletme, Guestkite'ı bot içinde kendi adına aydınlatma metnini göstermek için yetkilendirir. Metnin içeriğinden ve İşletmeye özgü bilgilerin (unvan, iletişim, kendi politikası) doğruluğundan İşletme sorumludur. Aydınlatma yükümlülüğü İşletmede kalır.

7. Alt işleyenler

7.1. İşletme, Ek-3'teki alt işleyenleri kullanmasına genel izin verir. 7.2. Guestkite, yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce İşletmeye panelde ve e-postayla bildirir. İşletme bu süre içinde makul gerekçeyle itiraz edebilir; uzlaşılamazsa İşletme etkilenen hizmeti cezasız feshedebilir. 7.3. Guestkite, alt işleyenlere bu sözleşmedekinden daha az koruyucu olmayan yükümlülükler yükletir (kendi koşulları ölçüsünde) ve alt işleyenin işlemlerinden İşletmeye karşı sorumludur.

8. Yurt dışına aktarım

8.1. Hizmet Cloudflare altyapısında çalıştığı için kişisel veriler yurt dışında saklanır ve işlenir (ABD, AB ve diğer ülkeler; Ek-3). 8.2. Guestkite, bu aktarım için KVKK m.9 kapsamında Cloudflare ile Standart Sözleşme 3 (Veri İşleyenden Veri İşleyene) imzalanması için başvurmuştur/başvuracaktır. İmzalanırsa Guestkite, imzadan sonra 5 iş günü içinde Kurula bildirimi yapar ve İşletmeye haber verir. 8.3. Güncel durum (7 Ekim 2026): Cloudflare ile KVKK standart sözleşmesi henüz imzalı değildir; Guestkite Cloudflare'e başvurmaktadır. Standart sözleşme imzalanana kadar Guestkite, Ek-2'deki risk azaltıcı önlemleri uygular ve durumu İşletmeye açıkça bildirir. İşletme, kendi aydınlatma metninde ve VERBİS kaydında (kayıt yükümlüsüyse) yurt dışı aktarımı belirtmekle yükümlüdür. 8.4. Telegram, İlgili Kişinin kendi seçtiği bağımsız bir iletişim platformudur ve kendi gizlilik politikasına tabidir.

9. Denetim

9.1. Guestkite, bu sözleşmeye uyduğunu göstermek için İşletmenin makul soru formlarını cevaplar ve gerekli bilgiyi verir. 9.2. Yerinde denetim; en az 30 gün önceden yazılı bildirimle, yılda en fazla bir kez, mesai saatlerinde, Guestkite'ın ve diğer müşterilerin gizli bilgilerini koruyacak şekilde ve masrafı İşletmeye ait olmak üzere yapılabilir. Bir ihlal sonrası veya Kurul talebi hâlinde bu sınırlar uygulanmaz.

10. Saklama, iade ve silme

10.1. Guestkite, İşletmenin panelde seçtiği saklama süresini uygular (Ek-1). 10.2. Sözleşme bittiğinde İşletme 30 gün içinde verilerini dışa aktarabilir. Bu sürenin sonunda Guestkite tüm kişisel verileri siler; otomatik yedeklerdeki kopyalar en fazla 30 gün sonra kendiliğinden yok olur. Kanunen saklanması gereken veriler hariçtir. 10.3. İşletme isterse Guestkite silme işleminin yapıldığını yazılı olarak teyit eder.

11. İşletmeye yardım

Guestkite; İşletmenin KVKK yükümlülükleri için (aydınlatma, başvurular, VERBİS bilgileri, ihlal bildirimleri, yapay zekâ özellikleri için etki değerlendirmesi) makul ölçüde bilgi ve destek sağlar.

12. Sorumluluk

Bu sözleşmeden doğan sorumluluk Kullanım Şartları m.11'e tabidir. Kast ve ağır ihmal için sınırlama uygulanmaz.

13. Süre ve öncelik

Bu sözleşme Kullanım Şartlarıyla birlikte yürürlüğe girer ve Guestkite İşletme adına veri işlediği sürece devam eder. Kişisel verilerle ilgili konularda bu sözleşme ile Kullanım Şartları çelişirse bu sözleşme geçerlidir.

Ek-1: İşlemenin ayrıntıları

Ek-2: Teknik ve idari tedbirler

Erişim ve kimlik

• Panele giriş yalnız Telegram üzerinden tek kullanımlık kodla; parola saklanmaz.
• Oturum çerezi HttpOnly ve SameSite; 30 gün; çıkışta sunucu tarafında sona erer.
• Rol tabanlı yetki (sahip, yönetici, personel); personel telefon ve rezervasyon numaralarını göremez.
• API anahtarları yalnız özet (SHA-256) olarak saklanır, yetki kapsamlıdır, iptal edilebilir, hız sınırlıdır.

Ayrıştırma ve şifreleme

• Her işletmenin verisi ayrı bir veritabanında (Cloudflare Durable Object) tutulur; bir işletmenin anahtarıyla başka işletmenin verisine erişilemez.
• Bot ve entegrasyon anahtarları (Telegram bot token, HotelRunner token) AES-GCM ile şifreli saklanır.
• Tüm trafik HTTPS; panelde sıkı içerik güvenlik politikası (CSP).

Veri en aza indirme ve saklama

• Müşteri fotoğrafları gizli depoda, yalnız kısa süreli imzalı bağlantıyla açılır; konum gibi meta veriler silinir; 30 günde silinir.
• Saklama süresi dolan veri günlük otomatik silinir; İlgili Kişi "Verilerimi sil" ile tüm verisini hemen siletebilir; entegrasyondan (HotelRunner) aynı kişinin geri gelmesi engellenir.
• Entegrasyonlardan yalnız gereken alanlar alınır (ör. HotelRunner'dan kimlik numarası, doğum tarihi, adres, ödeme bilgisi alınmaz).

Güvenlik denetimleri

• Ekip cevaplarında kaba içerik denetimi (kelime listesi + AI), onaylı ekip üyesi kuralı, saatlik mesaj sınırı, spam bekletme, güvenlik kaydı (90 gün).
• Giden webhooklar HMAC ile imzalanır; yerel ağ adreslerine webhook gönderilmez.

Yedek ve süreklilik

• Cloudflare'in otomatik veritabanı yedekleri ve geri alma özelliği (en fazla 30 gün).
• Her işletmenin verisinin gece alınan, şifreli (AES-256-GCM) ve aynı sağlayıcıda ayrı tutulan kopyası; 30 gün saklanır, sonra silinir. Yalnız Guestkite platform yöneticileri geri yükleyebilir. Geri yükleme, misafirin silinmesini istediği veriyi asla geri getirmez.

İdari

• Kod değişiklikleri yayından önce otomatik testlerden ve güvenlik incelemesinden geçer.
• Üretim verisine erişim yalnız yetkili Guestkite personeliyle sınırlıdır ve destek için, İşletmenin talebiyle yapılır. [Doğrula/tamamla: erişim kayıt politikası]

Yurt dışı aktarım için risk azaltma (standart sözleşme imzalanana kadar)

• Saklama süresinin kısa tutulabilmesi, otomatik silme, veri en aza indirme.
• AI özellikleri (asistan, çeviri, sesli mesaj) işletme bazında kapatılabilir.
• [Planlanan: yeni işletmeler için Cloudflare AB yargı alanında saklama]

Ek-3: Alt işleyenler

Güncel liste: Alt işleyenler. Sözleşme tarihindeki liste: