Veri İşleme Eki (DPA)

Aşağıdaki doğrulanmış ek hükümler (v1.0-RC1, 8 Kasım 2026), bu belgenin devamındaki genel hükümlerle çelişirse önceliklidir.

2. DATA PROCESSING ADDENDUM — GÜNCELLENMİŞ EKLER

2.1 Roller

Govexa, kendi hesap, satış, destek, güvenlik ve web operasyonları bakımından veri sorumlusu/controller olabilir. Kurumsal Müşterinin Govexa platformuna yüklediği veya bağlayıcılar üzerinden Govexa'ya işlenmek üzere sağladığı kişisel veriler bakımından Govexa kural olarak Müşterinin belgelenmiş talimatıyla veri işleyen/processor veya alt veri işleyen/subprocessor olarak hareket eder.

2.2 İşlenen veri kategorileri — Ek A

Kullanım biçimine göre Müşteri Kişisel Verileri aşağıdakileri içerebilir:

Kimlik ve kullanıcı dizini

• ad, soyad;
• kurumsal e-posta;
• kullanıcı/hesap kimliği;
• organizasyon, departman ve rol;
• yönetici/ayrıcalıklı rol bilgisi;
• MFA etkinlik/durum bilgisi;
• son giriş veya hesap aktivite bilgisi.

GRC verileri

• süreç, varlık, veri, risk, kontrol ve yükümlülük kayıtları;
• denetim, bulgu, aksiyon ve kanıt verileri;
• tedarikçi/üçüncü taraf kayıtları;
• teknik açıklık ve güvenlik bulguları;
• Müşteri tarafından yüklenen dosya ve açıklamalar.

Bağlayıcı verileri

Müşterinin etkinleştirdiği entegrasyona göre AWS, Google, Okta, Microsoft Entra, GitHub, Jira, Slack veya diğer desteklenen sistemlerden:

• kullanıcı dizini ve erişim bilgileri;
• MFA/kimlik güvenliği durumu;
• son giriş/aktivite;
• yönetici ve ayrıcalıklı roller;
• bulut yapılandırma ve güvenlik metadata'sı;
• repository/depo yapılandırma ve güvenlik ayarları;
• entegrasyonun GRC kanıtı üretmesi için gerekli diğer yapılandırma metadata'sı.

Govexa yalnızca Müşterinin etkinleştirdiği entegrasyon ve talimat kapsamında erişir.

2.3 Govexa-managed AI alt işlemcileri

Govexa-managed AI kullanıldığında Anthropic varsayılan AI alt işlemcisi olabilir. OpenAI, ilgili tenant/paket için Govexa tarafından etkinleştirildiğinde opsiyonel AI alt işlemcisi olabilir.

AI işlevinin yerine getirilmesi için gerekli prompt ve bağlamsal Müşteri Verisi ilgili sağlayıcıya aktarılabilir. Sağlayıcıya ilişkin uluslararası aktarım mekanizmaları uygulanabilir mevzuata göre yönetilir.

Anthropic ZDR, Govexa'nın ilgili hesabı için ayrıca etkinleştirilip doğrulanmadıkça Govexa tarafından sözleşmesel özellik olarak vaat edilmez.

2.4 Customer-Directed AI — alt işlemci değildir

Müşteri, Platform'daki yapay zekâ işlevleri için kendi Anthropic/OpenAI hesabını, kendi API anahtarını veya kendi barındırdığı Ollama/model sunucusunu kullanmayı yazılı olarak talep ederse, söz konusu sağlayıcı veya sistem Govexa tarafından seçilmiş alt işlemci değil, Müşteri tarafından seçilen/yönlendirilen üçüncü taraf veya Müşterinin kendi tedarikçisi olarak değerlendirilir.

Bu yapılandırmada:

• AI işlevine gönderilen veriler Müşterinin talimatıyla doğrudan Müşterinin seçtiği sağlayıcıya/endpoint'e iletilir;
• sağlayıcıyla sözleşme, DPA, aktarım güvencesi, yurt dışı aktarım mekanizması ve ilgili kişilere gerekli aydınlatma Müşterinin sorumluluğundadır;
• Govexa API anahtarı gibi desteklenen bağlantı sırlarını şifreli saklar ve arayüzde geri göstermez;
• Customer-Directed AI bağlantısı başarısız olduğunda Govexa kendi AI hesabına sessiz fallback yapmaz.

Govexa'nın yalnızca teknik yönlendirme yapması, Müşterinin doğrudan seçtiği sağlayıcının bağımsız hukuki rolünü Govexa'ya devretmez.

2.5 Sentry

Sentry yalnızca ilgili production ortamında DSN/entegrasyon etkin olduğunda hata izleme amacıyla kullanılan alt işlemci olarak kabul edilir. Mevcut uygulama yapılandırmasında sendDefaultPii: false ve beforeSend temizleme kontrolleri bulunur.

Sentry production'da etkin değilse, kamuya açık alt işlemci listesinde "conditional / only when enabled" olarak gösterilir veya aktif alt işlemciler listesinden çıkarılır.

2.6 Retention ve silme

Govexa henüz tüm veri sınıfları için otomatik sabit retention/silme işini uygulamıyorsa, DPA veya Privacy Policy belirli bir "12 ay" gibi teknik olarak uygulanmayan otomatik süre taahhüdü vermez.

Retention; veri sınıfı, sözleşme, güvenlik ihtiyacı, yasal yükümlülük ve teknik yedekleme döngüsüne göre belirlenir.

audit_log mevcut sistemde append-only tutulmaktadır. Bu kayıtların silinmesi/anonimleştirilmesi için ayrıca tasarlanmış ve doğrulanmış retention mekanizması devreye alınmadan belirli otomatik silme süresi vaat edilmez.

2.7 Yedekleme ve iş sürekliliği

Govexa'nın veritabanı altyapısında sağlayıcı tarafından sunulan yedekleme özellikleri kullanılabilir. Ancak Govexa, test edilmiş geri yükleme prosedürü ve yazılı RPO/RTO hedefleri teknik olarak kurulup kanıtlanmadan bunları sözleşmesel garanti olarak sunmaz.

2.8 Uluslararası aktarımlar

GDPR kapsamındaki Restricted Transfer'larda uygun olduğunda Avrupa Komisyonu SCC'leri ve gerekli tamamlayıcı önlemler kullanılır.

KVKK kapsamındaki yurt dışı aktarımlarda 6698 sayılı Kanun m.9 ve yürürlükteki ikincil düzenlemelerdeki uygun mekanizma kullanılır. KVKK standart sözleşmesinin kullanıldığı hallerde yürürlükteki bildirim yükümlülükleri yerine getirilir.

• — — — — — — — — — — — — — — — — — — — — — — — --

Genel hükümler

Bu DPA, Govexa'nın Müşteri adına kişisel veri işlediği ölçüde ana sözleşmenin parçasıdır.

Müşteri controller/veri sorumlusu veya başka bir controller adına processor olabilir; Govexa ilgili işleme bakımından processor/veri işleyen veya subprocessor/alt veri işleyen olarak hareket eder.

Govexa Müşteri Kişisel Verilerini yalnızca belgelenmiş talimatlar doğrultusunda ve Hizmetleri sağlamak, güvenliğini sağlamak, desteklemek ve sürdürmek için işler; kanuni zorunluluklar saklıdır.

Yetkili kişiler gizlilik yükümlülüğüne tabidir. Riskle orantılı teknik ve organizasyonel tedbirler uygulanır; bunlar erişim kontrolü, en az yetki, aktarımda şifreleme, uygun olduğu ölçüde saklamada şifreleme, loglama, yedekleme, zafiyet yönetimi, olay müdahalesi ve güvenli geliştirmeyi içerebilir.

Müşteri, Govexa'nın gerekli alt veri işleyenleri kullanmasına genel yetki verir. Kurumsal sözleşmede subprocessor değişiklik bildirimi ve itiraz süresi ayrıca düzenlenebilir.

Anthropic varsayılan Govexa AI subprocessor'ı olabilir; OpenAI seçildiğinde kullanılabilir. Müşterinin doğrudan sözleşme yaptığı BYOAI sağlayıcısı, Govexa'nın yalnızca Müşteri talimatıyla bağlantı kurduğu ölçüde Müşteri tarafından yönlendirilen üçüncü taraf olarak değerlendirilebilir.

Govexa, veri sahibi başvurularında, güvenlik ihlallerinde, DPIA/ön istişarede ve mevzuatın gerektirdiği denetimlerde makul yardım sağlar.

Kişisel veri ihlalinden haberdar olduktan sonra Müşteriye gereksiz gecikme olmaksızın bildirim yapılır ve mevcut bilgiler paylaşılır.

Sözleşme sona erdiğinde Müşteri Kişisel Verileri, kanuni saklama zorunluluğu yoksa makul sürede silinir veya iade edilir. Normal yedek döngülerinde kalan kopyalar silinene kadar korunur.

GDPR kapsamındaki Restricted Transfer için gerektiğinde SCC Module Two (Controller-to-Processor) veya Module Three (Processor-to-Processor) uygulanır. KVKK kapsamındaki yurt dışı aktarımında yürürlükteki uygun aktarım mekanizması kullanılır.

İşleme konusu: Govexa SaaS hizmetinin sunulması.
Süre: Abonelik + yasal/teknik silme süresi.
İşlem: toplama, saklama, düzenleme, erişim, iletim, analiz, AI inference, raporlama, güvenlik ve silme.
İlgili kişiler: yetkili kullanıcılar, çalışanlar, tedarikçiler, denetim tarafları ve Müşterinin hukuka uygun aktardığı diğer kişiler.
Veri türleri: kimlik/iletişim, organizasyon, hesap, risk/uyum/denetim, kanıt, teknik metadata, prompt ve Müşterinin seçtiği diğer içerik.

• — — — — — — — — — — — — — — — — — — — — — — — --