Veri İşleme Sözleşmesi
Bu Veri İşleme Sözleşmesi (DPA), Genel Veri Koruma Yönetmeliği'nin (GDPR) 28. Maddesi uyarınca yapılmıştır ve Hizmet Şartlarının bir parçasını oluşturur. Müşterilerimiz adına ClientFlow tarafından kişisel verilerin işlenmesini düzenler.
Versiyon 2.2 | Son Güncelleme: 5 Ekim 2026
1. Taraflar
Veri Sorumlusu
Siz, müşteri (işlemenin amaçlarını ve araçlarını belirleyen kuruluş)
Veri İşleyen
ClientFlow (kişisel verileri sizin adınıza işler)
1.1 İşleme Kapsamı
Bu DPA, aşağıdaki durumlarda kişisel verilerin işlenmesi için geçerlidir:
- ClientFlow, Hizmeti sağlamanın bir parçası olarak Veri Sorumlusu adına kişisel verileri işler
- İşleme, Veri Sorumlusunun müşteri ilişkilerinin yönetimi ile ilgilidir
- Veri konuları, Veri Sorumlusunun müşterileri ve iş bağlantılarıdır
- ClientFlow, tıbbi kayıt veya klinik sistemi değil, işletme yönetimi yazılımıdır. Veri Sorumlusu müşterileri hakkında sağlık verisi veya diğer özel nitelikli kişisel veriler kaydettiğinde, hukuki dayanağı belirleyen ve gereken açık rızayı alan Veri Sorumlusudur; ClientFlow bu verileri yalnızca Veri Sorumlusunun belgelenmiş talimatları doğrultusunda işler
İşleme Faaliyetleri
- Müşteri iletişim bilgilerinin depolanması ve organizasyonu
- Ödeme işlemlerinin kaydedilmesi ve takibi
- Yetkili iletişimlerin gönderilmesi (hatırlatıcılar, bildirimler)
- Toplu verilere dayalı analiz ve raporların oluşturulması
2. Veri Kategorileri
| Kategori | Örnekler | Amaç |
|---|---|---|
| Hesap Verileri | E-posta, ad, profil resmi | Hizmet erişimi |
| Müşteri Verileri | Müşteri isimleri, telefonlar, e-postalar | CRM işlevselliği |
| Ödeme Kayıtları | Tutarlar, tarihler, durumlar | Ödeme takibi |
| Kullanım Verileri | Giriş zamanları, özellik kullanımı | Güvenlik, iyileştirme |
3. İşleyen Yükümlülükleri
Yapacaklarımız:
- Verileri yalnızca belgelenmiş talimatlarınız doğrultusunda işlemek
- Personelin gizlilik yükümlülüğüne tabi olmasını sağlamak
- Uygun güvenlik önlemlerini uygulamak
- Veri sahibi taleplerine yardımcı olmak
- Veri ihlallerini 72 saat içinde size bildirmek
- Fesihin ardından verileri silmek (saklama süresi sonrasında)
4. Güvenlik Önlemleri
Teknik
- TLS (aktarım)
- Beklemede AES-256-GCM (seans notları, sonuç kayıtları, entegrasyon kimlik bilgileri, ödeme tokenları, iki faktörlü doğrulama sırları)
- OAuth 2.0 kimlik doğrulaması
- Rol tabanlı erişim kontrolü
- Otomatik izleme ve uyarı
Organizasyonel
- Yazılı güvenlik ve veri işleme uygulamaları
- Olay müdahale prosedürü
- Tedarikçi ve alt işleyici incelemeleri
- Veriye erişimi olan herkes için gizlilik yükümlülükleri
- Üretim sistemleri için değişiklik yönetimi
5. Alt İşleyenler
Aşağıdaki yetkili alt işleyenleri kullanıyoruz:
| Sağlayıcı | Hizmet | Konum | Aktarım mekanizması |
|---|---|---|---|
| Hetzner Cloud | Bulut altyapısı ve barındırma | Germany | AB/AEA içinde işlenir |
| Vercel | Ön yüz barındırma ve dağıtımı | Frankfurt, Germany (FRA1) | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| Cloudflare | İçerik dağıtımı ve dosya depolama | Global edge network (EU primary storage) | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| iyzico | Ödeme işleme | Istanbul, Turkey | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Resend | İşlemsel e-posta gönderimi | United States | Standart Sözleşme Hükümleri |
| Sentry | Hata izleme ve tanılama | United States | Standart Sözleşme Hükümleri |
| Google (OAuth, Analytics) | Oturum açma ve kimlik doğrulama | United States | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| Firebase Cloud Messaging | Anlık bildirimler | United States | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| Expo (push relay, OTA updates) | Anlık bildirimler | United States | Standart Sözleşme Hükümleri |
| WhatsApp Business API | WhatsApp mesajlaşması | Ireland (contracting) + global (Meta infrastructure) | Standart Sözleşme Hükümleri |
| Apple (Sign in with Apple) | Oturum açma ve kimlik doğrulama | United States | Standart Sözleşme Hükümleri |
| Anthropic (Claude) | Yapay zekâ asistanı ve sohbet botu işleme | United States | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| OpenAI | Yapay zekâ asistanı ve sohbet botu işleme | United States | Standart Sözleşme Hükümleri + AB–ABD Veri Gizliliği Çerçevesi |
| Groq | Yapay zekâ asistanı ve sohbet botu işleme | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Meta (Facebook Login) | Oturum açma ve kimlik doğrulama | Ireland (EEA controller) + global (Meta infrastructure) | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Google (reCAPTCHA) | Bot ve kötüye kullanım koruması | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Google (Gmail, customer-connected) | İşlemsel e-posta gönderimi | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Google (Calendar sync, customer-connected) | Takvim senkronizasyonu | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Microsoft (Outlook mail, customer-connected) | İşlemsel e-posta gönderimi | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Apple (iCloud Mail, customer-connected) | İşlemsel e-posta gönderimi | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Apple (iCloud Calendar, customer-connected) | Takvim senkronizasyonu | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| Yahoo (Yahoo Mail, customer-connected) | İşlemsel e-posta gönderimi | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| OpenStreetMap (map tiles, address search) | Harita gösterimi ve adres arama | United Kingdom and Netherlands (tile requests: global CDN) | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
| CARTO (dark-theme map tiles) | Harita gösterimi ve adres arama | United States | Standart Sözleşme Hükümleri (henüz yürürlükte değil) |
Alt İşleyen Değişiklikleri
Alt işleyenlerdeki amaçlanan değişiklikleri size bildireceğiz:
- Alt işleyenleri eklemeden veya değiştirmeden en az 14 gün önceden bildirim
- Kayıtlı hesap e-posta adresinize e-posta ile bildirim
- Değişikliklere 14 gün içinde bizimle iletişime geçerek itiraz edebilirsiniz
- İtirazınız çözülemezse, etkilenen hizmetleri feshedebilirsiniz
5.1 Denetim Hakları
Veri Sorumlusu, bu DPA'ya uyumu doğrulama hakkına sahiptir:
- İlgili dokümantasyon ve sertifikaları talep etme
- En az 30 gün önceden yazılı bildirimle denetim yapma
- Denetimler normal çalışma saatleri içinde yapılmalıdır
- Denetçi bir gizlilik sözleşmesi imzalamalıdır
Denetim Kapsamı
- Güvenlik önlemleri ve teknik korumalar
- Alt işleyen uyumluluğu
- Veri işleme prosedürleri
- Olay müdahale yetenekleri
Denetim, önemli bir uyumsuzluk ortaya çıkarmadıkça Veri Sorumlusu tarafından karşılanacaktır.
6. Veri Saklama ve Silme
Kişisel verileri yalnızca açıklanan amaçlar için gerekli olduğu sürece veya yürürlükteki vergi ve ticaret hukukunun gerektirdiği süre boyunca saklarız.
| Zaman Çizelgesi | İşlem |
|---|---|
| Hesap silme talebinde | Müşteri verileri hesabınızla birlikte kalıcı olarak silinir: web sitemizden yapılan bir silme talebini izleyen 30 günlük bekleme süresi dolduktan sonraki bir gün içinde (talebi bu süre bitene kadar iptal edebilirsiniz) veya hesap iOS uygulamasında silindiğinde 3 gün içinde. Kendi müşterilerinize kestiğiniz faturalar, makbuzlar ve teklifler sizin kayıtlarınızdır; aynı süre içinde hesabınızla birlikte silinir. |
| Hesap silindikten sonra | ClientFlow'un aboneliğinize ilişkin kendi muhasebe kayıtları (size kestiğimiz faturalar), anonimleştirilmiş olarak (kişisel veri içermez) en az vergi ve ticaret hukukunun gerektirdiği süre boyunca saklanır. |
| Sözleşme sona erdiğinde | Hesabınızı sildiğinizde kişisel veriler 31 gün içinde (iOS uygulamasında 3 gün içinde) silinir; saklamak zorunda olduğumuz kayıtlar (örneğin denetim kayıtları ve anonimleştirilmiş fatura kayıtları) bunun dışındadır ve şifreli yedekler 90 gün içinde döner. Bir aboneliği iptal etmek verileri silmez |
7. CCPA Hükümleri
CCPA kapsamında "Hizmet Sağlayıcı" olarak hareket ediyoruz ve:
- Verileri yalnızca belirtilen iş amaçları için işleriz
- Kişisel bilgileri satmayız
- Tüketici hakları taleplerine yardımcı oluruz
- Makul güvenlik önlemlerini uygularız
8. Veri İhlali Bildirimi
Kişisel veri ihlali durumunda, aşağıdakileri taahhüt ediyoruz:
Bildirim Zaman Çizelgesi
- İhlalin farkına varıldıktan itibaren 72 saat içinde size bildirim
- İhlal kapsamı ve etkisinin ilk değerlendirmesinin sağlanması
- 5 iş günü içinde ayrıntılı yazılı bildirim sağlama
Bildirim İçeriği
- İhlalin niteliği, etkilenen veri sahiplerinin kategorileri ve yaklaşık sayısı
- Takip soruları için gizlilik iletişim bilgileri
- İhlalin olası sonuçlarının açıklaması
- İhlali ele almak için alınan veya önerilen önlemler
- Olası olumsuz etkileri azaltmaya yönelik önlemler
Soruşturmanız ve herhangi bir düzenleyici sorgulamayla tam olarak işbirliği yapacağız ve geçerli yasalarca gerekli olduğu şekilde denetim makamlarına ve etkilenen bireylere ihlal bildirimlerinde yardımcı olacağız.
9. Uluslararası Veri Transferleri
Kişisel veriler Avrupa Ekonomik Alanı (AEA) dışına transfer edildiğinde, alt işleyenler sayfamızda her alıcı için gösterilen güvenceye dayanırız; bu sayfa ayrıca bir güvencenin henüz yürürlükte olmadığı yerleri de gösterir:
Transfer Mekanizmaları
AB Yeterlilik Kararları
Avrupa Komisyonu tarafından yeterli kabul edilen ülkelere transferler
AB-ABD Veri Gizliliği Çerçevesi
DPF kapsamında sertifikalandırılmış ABD tabanlı işleyiciler için
Standart Sözleşme Hükümleri (SCC)
Diğer transferler için AB Komisyonu onaylı hükümler (2021 versiyonu)
Gerektiğinde transfer etki değerlendirmeleri yapıyoruz ve esasen eşdeğer bir koruma seviyesi sağlamak için gerektiğinde ek önlemler (teknik, organizasyonel ve sözleşmeli) uyguluyoruz.
Talep üzerine ilgili transfer mekanizmalarının kopyalarını talep edebilirsiniz.
10. Sorumluluk ve Tazminat
İşleyen Sorumluluğu
ClientFlow, bu DPA'ya uymayan veya Veri Sorumlusunun yasal talimatları dışında veya aksine hareket ettiğimiz işlemlerden kaynaklanan hasarlardan sorumlu olacaktır.
Veri Sorumlusu Sorumluluğu
Veri Sorumlusu, geçerli veri koruma yasasını ihlal eden veya bu DPA kapsamındaki Veri Sorumlusunun yükümlülüklerine uymayan işlemlerden kaynaklanan hasarlardan sorumlu olacaktır.
Sınırlamalar
- Hiçbir taraf dolaylı, arızi veya sonuç olarak ortaya çıkan hasarlardan sorumlu olmayacaktır
- Bu DPA kapsamındaki toplam toplam sorumluluk, talebin öncesindeki 12 ayda ödenen ücretlerle sınırlıdır
- Bu sınırlamalar gizlilik ihlalleri, kasıtlı suistimal veya ağır ihmal durumlarında geçerli değildir
Her taraf, tazmin eden tarafın bu DPA'nın veya geçerli veri koruma yasalarının ihlalinden kaynaklanan üçüncü taraf taleplerinden diğerini tazmin etmeyi kabul eder.
11. Fesih ve Veri İadesi
Süre
Bu DPA, Hizmet Sözleşmesinin süresi boyunca ve sizin adınıza kişisel verileri işlediğimiz sürece yürürlükte kalır.
Fesihin Ardından
- Tercihinize göre, kişisel verilerinizi 31 gün içinde iade edeceğiz veya sileceğiz; saklamak zorunda olduğumuz kayıtlar (örneğin denetim kayıtları ve anonimleştirilmiş fatura kayıtları) bunun dışındadır
- Yaygın olarak kullanılan makine tarafından okunabilir bir formatta veri dışa aktarımı talep edebilirsiniz
- Talep üzerine silme işlemini onaylayacağız
- Geçerli yasalar gerektirdiğinde veriler saklanabilir
Gizlilik, sorumluluk ve veri koruma haklarına ilişkin bölümler bu DPA'nın feshinden sonra da geçerliliğini sürdürecektir.