Veri işleme sözleşmesi. Kullanım koşullarının eki.

Bu sözleşme Kullanım koşullarının ekidir. Postlip Metrics’i kullanan Müşteri (veri sorumlusu) ile YGMR Danışmanlık Limited Şirketi (“Postlip Metrics”, veri işleyen) arasında, Müşteri adına işlenen kişisel veriler bakımından tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m.12 ve ilgili mevzuattan doğan yükümlülüklerini düzenler. Kullanım koşullarıyla birlikte kurulur ve onlarla birlikte sona erer.

Sürüm 2026-11-10 · Yürürlük: 10 Kasım 2026

1. Taraflar ve roller

Veri sorumlusu: Kullanım koşullarını kabul ederek Hizmeti kullanan Müşteri.

Veri işleyen: YGMR Danışmanlık Limited Şirketi, Yeşilova Mah. 1. Değer Sk. No:28 İç Kapı No:3 Küçükçekmece/İstanbul, MERSİS 0953096784700001; KVKK ile ilgili yazışmalar için kvkk@ygmr.com.tr.

Müşteri kişisel verileri hangi amaçla ve hangi araçlarla işleyeceğine Hizmetin ayarlarıyla ve bu sözleşmedeki talimatlarla karar verir; Postlip Metrics bu verileri yalnız Müşteri adına işler. Bu sözleşmede tanımlanmayan terimler Kullanım koşullarındaki anlamıyla kullanılır.

2. Konu, nitelik, amaç ve süre

Konu: Hizmetin sunulması.
Nitelik: Müşterinin ürünlerinden gelen mesajların alınması, doğrulanması, kişisel veri taramasından geçirilmesi ve saklanması; oturumların, kişilerin, dönüşümlerin ve atfın hesaplanması; metrik, rapor ve bildirimlerin üretilmesi; Mailing & SMS kişilerinin saklanması ve iletilerin gönderilmesi; Müşterinin bağladığı platformlardan veri okunması ve bu platformlara Müşterinin talimatıyla veri gönderilmesi; içerik ve dosyaların saklanması. İşleme otomatik yollarla, Hizmetin yazılımıyla yapılır.
Amaç: Müşterinin ürünlerini ölçmesi, analiz etmesi ve pazarlaması. Postlip Metrics Müşteri verisini kendi amacıyla kullanmaz, satmaz, kendi pazarlamasında kullanmaz ve başka bir Müşterinin verisiyle birleştirmez.
Süre: Kullanım koşullarındaki sözleşme süresince; sözleşme sona erdikten sonra yalnız aşağıdaki “Sona erme, iade ve silme” bölümündeki süre boyunca.

3. Kişisel veri kategorileri

Kategori	Veriler	Not
Kimlik (takma ad)	Anonim kimlik, Müşterinin kullanıcı ve hesap kimlikleri, çerezsiz sayımın günlük kimliği.	Opak kimlikler; kullanıcı kimliği olarak e-posta ya da telefon kullanılmaz.
Kimlik ve iletişim	Ad, soyad, e-posta adresi, cep ve sabit telefon, adres, firma, unvan, web sitesi, notlar, Müşterinin tanımladığı kişisel alanlar.	Yalnız Mailing & SMS kişi kaydında; kimlik ve iletişim bilgileri şifreli.
Müşteri işlemi ve pazarlama	Olaylar ve özellikleri (sipariş, tutar, ürün, plan), dönüşümler, talepler, kaynak ve kampanya bilgisi, tıklama kimlikleri, segment üyelikleri, iletiler ve gönderim, açılma, tıklama kayıtları, izinler ve izin kanıtları.	Tıklama kimlikleri yalnız pazarlama rızasıyla saklanır.
Kullanım ve cihaz	Sayfa ve ekran görüntülemeleri, oturumlar, etkileşimler (tıklama, kaydırma, sayfa düzeni, hata), cihaz, işletim sistemi, tarayıcı, ülke ve şehir, dil, ekran.	Form alanlarının değeri alınmaz; Müşteri sayfa öğelerini maskeleyebilir ya da yakalamadan çıkarabilir.
İşlem güvenliği	IP adresi ve tarayıcı bilgisi (User-Agent).	Yalnız alımda kullanılır ve atılır; istisnası aşağıdaki dönüşüm gönderimi.
İçerik ve görsel	Medya kütüphanesindeki dosyalar, blog yazıları ve yazar bilgileri, sosyal medya gönderileri.	Müşterinin yüklediği ya da bağladığı hesaplardan okunan.

Özel nitelikli kişisel veri işlenmez; Müşteri bu tür veriyi Hizmete göndermemeyi Kullanım koşullarında üstlenir.

5. Müşterinin talimatları

Müşterinin talimatları bu sözleşme, Kullanım koşulları ve Müşterinin Hizmette yaptığı ayarlardır: rıza kipi, olay şeması ve kişisel veri sınıfları, saklama süreleri, kişi alanları ve izinleri, bağlantılar, dönüşüm hedefleri, kitle senkronları, kampanyalar, webhook’lar ve silme talepleri. Ayarlarla verilemeyen talimatlar yazılı olarak verilir.
Bir talimatın KVKK’ya ya da başka bir mevzuata aykırı olduğunu düşünürsek Müşteriyi gecikmeksizin bilgilendiririz ve talimat netleşene kadar uygulamayabiliriz.
Kanunen zorunlu bir aktarım ya da işleme gerekirse, kanun yasaklamadıkça bunu önceden Müşteriye bildiririz.

6. Postlip Metrics’in yükümlülükleri

Müşteri verisini yalnız Müşterinin talimatıyla ve Hizmeti sunmak için işlemek.
Müşteri verisine yalnız gizlilik yükümlülüğü altındaki çalışanlarımızın, işleri gerektirdiği ölçüde erişmesini sağlamak.
Aşağıdaki teknik ve idari tedbirleri almak ve güncel tutmak.
Alt işleyenleri bu sözleşmedeki kurallarla kullanmak.
İlgili kişi başvurularında, veri ihlallerinde ve Müşterinin KVKK’ya uyumunu göstermesinde Müşteriye yardım etmek.
Sözleşme sona erdiğinde Müşteri verisini iade etmek ve silmek.

7. Teknik ve idari tedbirler

Barındırma: Hizmetin sunucuları Türkiye’deki veri merkezlerinde bulunur; veritabanı yedekleri de bu sunucularda alınır.
Kiracı yalıtımı: Her kayıt bir organizasyona aittir. Veritabanının satır düzeyinde güvenlik (RLS) kuralları her sorguyu yalnız o organizasyonun bağlamında çalıştırır ve bu kuralları atlayan uygulama kodu yazılmaz. API, olay alımı ve arka plan işleri ayrı veritabanı rolleriyle, en az yetkiyle bağlanır.
Şifreleme: Trafik TLS ile şifrelenir. Bağlantı belirteçleri, sağlayıcı şifreleri, imza anahtarları, iki adımlı doğrulama sırları, Mailing & SMS kişilerinin kimlik ve iletişim bilgileri ve dönüşüm gönderimi için bekleyen IP adresi ve tarayıcı bilgisi AES-256-GCM ile mühürlenir; anahtar halkası yenilenebilir.
Özetleme: Olay şemasında kişisel olarak tanımlı alanlar uygulamaya özel anahtarla HMAC-SHA256 ile özetlenir; oturum ve denetim kayıtlarındaki istemci adresi yalnız anahtarlı özetiyle tutulur; yazma ve API anahtarları yalnız özetiyle saklanır; kişiler anahtarlı kör dizinle aranır; şifreler scrypt ile saklanır.
Veri en aza indirme: IP adresi ve tarayıcı bilgisi olayla saklanmaz; tanımsız alanda kişisel veri bulunan mesaj reddedilir; web SDK’sı çerez yazmaz ve form alanlarının değerini okumaz; rıza gerektiren kipte rızasız ziyaretçi için kalıcı kimlik oluşmaz.
Erişim kontrolü: Rol ve uygulama kapsamlı yetkiler; iki adımlı doğrulama (e-posta kodu ya da doğrulama uygulaması, kurtarma kodları), organizasyonda zorunlu kılınabilir; hız sınırları, hesap kilidi ve riskli girişte CAPTCHA; platform yöneticileri için doğrulama uygulaması zorunludur.
Destek erişimi: Platform ekibi bir organizasyona yalnız gerekçeli, en çok 24 saatlik destek erişimiyle bakabilir. Erişim salt okunurdur; olay, kişi ve e-posta adresi göstermez. Açılışı ve her okuma organizasyonun denetim kaydına yazılır, sahiplere e-postayla bildirilir; organizasyon erişimi istediği an kapatabilir.
Denetim kaydı: Her değişiklik kim, ne zaman, neyi, önceki ve sonraki değeriyle denetim kaydına yazılır; Müşteri kaydı panelde arar ve dışa aktarır.
Günlükler: Uygulama günlüklerine istek gövdesi, kişisel veri, IP adresi ve kimlik bilgisi yazılmaz; sunucularda erişim günlüğü tutulmaz.
Dış bağlantılar: Webhook ve sağlayıcı çağrıları yalnız HTTPS ile ve herkese açık adreslere yapılır; iç ağ adresleri engellenir.
Yedekleme: Veritabanı her gün yedeklenir ve yedeğin bütünlüğü denetlenir; yedekler döngüyle en geç 35 gün sonra silinir.
Saklama ve silme: Müşteri saklama sürelerini uygulama başına seçer; süresi dolan veri her gün silinir. Silme talebi bir kişinin uygulamadaki bütün verisini siler.

8. Alt işleyenler

Müşteri, Postlip Metrics’in Hizmeti sunmak için aşağıdaki alt işleyenleri kullanmasına izin verir. Alt işleyenler bu sözleşmedekilerle aynı düzeyde veri koruma yükümlülüğü altındadır; onların yükümlülüklerini yerine getirmesinden Müşteriye karşı biz sorumluyuz.

Alt işleyen	İşlenen veri	Bölge
Veri merkezi (sunucu barındırma)	Hizmetin bütün verisi ve veritabanı yedekleri.	Türkiye
E-posta gönderim hizmeti sağlayıcısı	Hizmetin gönderdiği e-postalar (davet, doğrulama kodu, güvenlik, bildirim ve rapor e-postaları): alıcının e-posta adresi ve iletinin içeriği.	AB/ABD

Alan adı çözümlemesi (DNS) yurt dışında yerleşik bir sağlayıcıdan alınır. Hizmetin trafiği bu sağlayıcıdan geçmez ve sağlayıcı Müşteri verisini işlemez; bu nedenle alt işleyen değildir. Müşteri rapor özetlerini yapay zekâyla yazdırmayı açarsa (organizasyon ayarı, varsayılan kapalı) yalnız raporun toplu sayıları ve metrik tanımları yapay zekâ modeli sağlayıcısına (ABD) gönderilir; kişisel veri, kimlik ve serbest metin gönderilmez.

Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce organizasyon sahiplerine e-postayla bildiririz. Müşteri haklı bir sebeple itiraz eder ve uzlaşılamazsa sözleşmeyi değişiklik yürürlüğe girmeden sona erdirebilir. Talep eden Müşteriye alt işleyenlerin unvanlarını gizlilik yükümlülüğüyle bildiririz.

Müşterinin kendi seçip bağladığı platformlar ve sağlayıcılar (reklam, analiz ve sosyal medya platformları, Mailing & SMS’in e-posta ve SMS sağlayıcıları, İYS, webhook ve bildirim kanalları) Postlip Metrics’in alt işleyeni değildir: Müşteri bunlarla kendi sözleşmesini yapar ve bunlara aktarım Müşterinin talimatıyla yapılır.

9. Aktarımlar ve yurt dışı

Müşteri verisini yalnız Hizmetin gerektirdiği ölçüde, alt işleyenlere ve Müşterinin talimatıyla Müşterinin seçtiği alıcılara aktarırız.
E-posta gönderim hizmeti sağlayıcısına yapılan yurt dışı aktarım, KVKK m.9 uyarınca Kurulca ilan edilen standart sözleşme hükümleri ve ilgili güvenceler çerçevesinde yapılır.
Dönüşüm gönderimi ve kitle senkronu. Müşterinin bir dönüşüm hedefi ya da kitle senkronu kurması, o platforma aktarım talimatıdır. Aktarım yalnız pazarlama rızası açıkça verilmiş (ya da Müşterinin “rıza gerekmez” kipindeki bir kaynağından gelen) olaylar ve pazarlama rızalı kişiler için yapılır; bot ve iç trafik gönderilmez. Platformun kullandığı ölçüde gönderilenler: dönüşüm olayının adı, zamanı, tutarı, para birimi, ürünleri, sipariş kimliği ve sayfa adresi; tıklama ve tarayıcı kimlikleri; kullanıcı kimliğinin ve Mailing & SMS kaydındaki e-posta, telefon, ad, soyad, şehir, posta kodu ve ülkenin SHA-256 özetleri; bunu isteyen platformlarda ziyaretçinin IP adresi ve tarayıcı bilgisi. Kitle senkronunda yalnız segmentteki pazarlama rızalı kişilerin bu özetleri gönderilir.
IP adresi ve tarayıcı bilgisi. Bu iki değer yalnız dönüşüm gönderimi için, alımdan gönderime kadar AES-256-GCM ile mühürlü tutulur; hiçbir olaya, oturuma, kişiye, günlüğe, denetim kaydına ya da teslim ayrıntısına yazılmaz. Gönderim tamamlanınca ya da kesin olarak başarısız olunca, her durumda en geç 7 gün içinde silinir. Özel, paylaşılan ve iç ağ adresleri gönderilmez.
Bu platformların çoğu yurt dışında yerleşiktir. Bu aktarımların KVKK m.9’daki dayanağını (ilgili kişinin açık rızası ya da Müşterinin platformla yaptığı standart sözleşme) ve ziyaretçilerin aydınlatılmasını veri sorumlusu olarak Müşteri sağlar.

10. İlgili kişi başvuruları

Bize doğrudan ulaşan ilgili kişi başvurularını gecikmeksizin Müşteriye iletir, Müşterinin talimatı olmadan yanıtlamayız.
Müşteri başvuruları Hizmetin araçlarıyla yerine getirebilir: kişi ve hesap profilleri, Mailing & SMS kişi kartı ve dışa aktarma, izinler ve bastırma listesi, silme talepleri (Ayarlar → Veri hakları ya da Management API). Silme talebi bir kişinin uygulamadaki bütün verisini dakikalar içinde siler; talebin kaydı silinen satır sayısıyla kalır.
Bu araçlarla karşılanamayan bir başvuruda Müşteriye makul ölçüde yardım ederiz.

11. Veri ihlali

Müşteri verisini etkileyen bir kişisel veri ihlalini öğrendiğimizde Müşteriyi gecikmeksizin ve her durumda en geç 72 saat içinde, organizasyon sahiplerinin e-posta adresine bildiririz.
Bildirim, bilindiği ölçüde ihlalin niteliğini ve zamanını, etkilenen veri ve kişi gruplarını ve yaklaşık sayılarını, olası sonuçlarını, alınan ve önerilen tedbirleri ve irtibat kişisini içerir; bilinmeyenler öğrenildikçe tamamlanır.
İhlalin Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirimi veri sorumlusu olarak Müşterinin yükümlülüğüdür; bunun için gereken bilgi ve belgeleri sağlarız.

13. Bilgi ve denetim

Müşterinin isteği üzerine bu sözleşmeye uyumu gösteren bilgi ve belgeleri (tedbirlerin açıklaması, alt işleyenlerin listesi, ilgili denetim kayıtları) sağlarız.
Müşteri, yılda bir defadan fazla olmamak, en az 30 gün önce yazılı bildirmek, iş saatlerinde yapmak, Hizmetin işleyişini ve başka Müşterilerin verisinin gizliliğini bozmamak ve gizlilik taahhüdü vermek kaydıyla, kendisi ya da bağımsız bir denetçi aracılığıyla denetim yapabilir. Denetimin masrafları Müşteriye aittir. Bir ihlalden sonra yapılan denetim ve Kişisel Verileri Koruma Kurulunun ya da yetkili bir makamın talebi yıllık sınıra tabi değildir.