Yasal

Gastte Veri İşleme Sözleşmesi

Sürüm 1.0

Gastte Veri İşleme Sözleşmesi

Sürüm 1.0 — Yürürlük: 2 Kasım 2026

Bu Veri İşleme Sözleşmesi ("VİS"), Gastte Hizmet ve Abonelik Sözleşmesi'nin ("Ana Sözleşme") ekidir ve onunla birlikte yürürlüğe girer. Müşterinin Gastte altyapısında yayımladığı haber sitesi, bülten, podcast ve bağlı kanallar aracılığıyla işlenen ve Müşterinin veri sorumlusu olduğu kişisel verilerin, Fibrika Reklam Hizmetleri Limited Şirketi ("Gastte", veri işleyen) tarafından işlenmesinin koşullarını 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12 çerçevesinde düzenler.

1. Taraflar ve Roller

1.1 Veri Sorumlusu: Müşteri. Yayınının okurlarına, bülten abonelerine, yorumculara, anket katılımcılarına, röportaj kaynaklarına, haber öznelerine ve kendi ekip üyelerine ait kişisel verilerin işlenme amaçlarını ve araçlarını Müşteri belirler.

1.2 Veri İşleyen: Fibrika Reklam Hizmetleri Limited Şirketi (Gastte markasıyla), Yaka Mah. Aziz Mahmut Hüdai Cad. No:185/102 Meram / Konya, MERSİS 0387119748100001. Gastte bu verileri yalnızca Müşteri adına ve talimatıyla işler.

1.3 Ayrım. Müşterinin kendi hesap, fatura ve kullanım verileri bakımından Fibrika ayrı bir veri sorumlusudur; bu veriler KVKK Aydınlatma Metni'ne tabidir ve bu VİS'in kapsamı dışındadır.

1.4 Ortak sorumluluk yoktur. Taraflar, bu VİS kapsamındaki veriler için ortak veri sorumlusu değildir. Gastte'nin işleme amaçlarını kendi belirlemesi hâlinde o işleme için Gastte veri sorumlusu olur ve bunu Müşteriye bildirir.

2. İşlemenin Konusu, Niteliği ve Amacı

2.1 Konu: Hizmetin sunulması için gereken barındırma, saklama, yedekleme, iletim, görüntüleme, e-posta ve bildirim gönderimi, güvenlik izleme, teknik destek ve Müşterinin tetiklediği otomasyonlar (yapay zekâ üretimi, sosyal paylaşım).

2.2 Veri kategorileri: okur kimlik ve iletişim verileri (ad, e-posta, telefon), abonelik ve tercih kayıtları, yorum ve form içerikleri, okur IP adresi ve cihaz bilgisi (trafik kayıtları), çerez kimlikleri, haber içeriğinde yer alan gerçek kişilere ait veriler, röportaj ve kaynak kayıtları, Müşterinin ekip üyelerinin hesap verileri.

2.3 İlgili kişi grupları: okurlar, aboneler, yorumcular, haber özneleri, kaynaklar, Müşterinin çalışanları ve yazarları.

2.4 Süre: Ana Sözleşme süresince ve 10. maddedeki silme takvimi tamamlanana kadar.

2.5 Özel nitelikli veri. Hizmet özel nitelikli kişisel veri işlemek için tasarlanmamıştır. Müşteri haber içeriğinde özel nitelikli veri (sağlık, ceza mahkûmiyeti, din, cinsel yaşam vb.) işliyorsa KVKK m.6 koşullarını kendisi sağlar ve Gastte'ye ek bir yükümlülük yüklemez.

3. Veri Sorumlusunun (Müşterinin) Yükümlülükleri

3.1 Okurlarına ve diğer ilgili kişilere KVKK m.10 uyarınca aydınlatma yapmak; gerekli açık rızaları almak; yayınında çerez bildirimi ve yasal metinleri yayımlamak.

3.2 Her işleme için geçerli bir hukuki sebebe sahip olmak; Gastte'ye verdiği talimatların hukuka uygun olmasını sağlamak.

3.3 İlgili kişi başvurularını (KVKK m.11 ve m.13) yanıtlamak; Gastte'ye yöneltilen başvurular 5 iş günü içinde Müşteriye iletilir, yanıt Müşteriye aittir.

3.4 Yapay zekâ sağlayıcısına kendi anahtarıyla gönderdiği içeriğin (kaynak haber, görsel, talimat) kişisel veri içermesi hâlinde bu aktarımın hukuki dayanağını ve yurt dışı aktarım şartlarını sağlamak (madde 7).

3.5 Ekip üyelerine erişim yetkisi verirken en az yetki ilkesini uygulamak, ayrılan üyelerin erişimini kaldırmak, iki aşamalı doğrulamayı kullanmak.

3.6 Haber içeriğinde yer alan kişilerin haklarını (cevap ve düzeltme, unutulma, çocukların korunması) gözetmek; mahkeme ve idari kararları uygulamak.

3.7 VERBİS kayıt yükümlülüğünü kendi durumuna göre değerlendirmek ve yerine getirmek.

3.8 Müşteri, bu yükümlülüklerin ihlalinden kaynaklanan idari para cezaları, tazminat talepleri ve giderler için Gastte'yi ari tutar (Ana Sözleşme m.14.5).

4. Veri İşleyenin (Gastte'nin) Yükümlülükleri

4.1 Talimatla işleme. Gastte, kişisel verileri yalnızca Müşterinin belgelenmiş talimatlarıyla işler. Ana Sözleşme, bu VİS, panel ayarları ve Müşterinin panel üzerinden tetiklediği işlemler talimat sayılır. Mevzuatın zorunlu kıldığı işlemler (ör. 5651 sayılı Kanun kapsamında trafik kayıtlarının saklanması ve yetkili makamlara verilmesi) talimat gerektirmez; mümkünse Müşteriye bildirilir.

4.2 Hukuka aykırı talimat. Gastte, bir talimatın KVKK'ya ya da diğer mevzuata aykırı olduğu kanısındaysa Müşteriyi uyarır ve talimatı yerine getirmeyi reddedebilir.

4.3 Gizlilik. Gastte, kişisel verilere erişen personelinin gizlilik yükümlülüğü altında olmasını sağlar; bu yükümlülük görev sonrası da sürer (KVKK m.12/4).

4.4 Amaçla sınırlılık. Gastte, Müşteri verilerini kendi amaçları için (pazarlama, profilleme, model eğitimi, üçüncü kişilere satış) kullanmaz. Hizmetin güvenliği ve kapasite planlaması için yalnızca toplu ve anonim istatistikler üretir.

4.5 Erişim kısıtı. Gastte personeli Müşterinin kiracı veri tabanına yalnızca destek talebi, güvenlik olayı, göç ya da yasal zorunluluk hâlinde, kayıt altına alınarak erişir. "Müşteri adına panele giriş" yalnızca Müşterinin talebi ya da onayıyla yapılır ve denetim günlüğüne yazılır.

4.6 Yardım. Gastte, Müşterinin ilgili kişi başvurularını yanıtlaması, veri ihlali bildirimi yapması ve denetim yükümlülüklerini yerine getirmesi için makul teknik yardım sağlar (dışa aktarma, silme, erişim kaydı sorgulama). Olağan araçların ötesindeki talepler ücretlendirilebilir.

5. Güvenlik Tedbirleri

Gastte, KVKK m.12 ve Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi doğrultusunda, en az aşağıdaki teknik ve idari tedbirleri uygular:

Her Müşteri için ayrı kiracı veri tabanı ve ayrı işçi süreci (mantıksal yalıtım); kiracılar arası veri erişimi mimari olarak engellenir.
Aktarımda TLS 1.2 ve üzeri şifreleme; HTTPS zorunlu; HSTS.
Parolaların argon2 ile geri döndürülemez özet olarak saklanması; parola politikası; iki aşamalı doğrulama.
Yapay zekâ anahtarları, sosyal ağ belirteçleri ve ajans kimlik bilgilerinin uygulama düzeyinde şifreli saklanması.
Rol tabanlı erişim kontrolü; en az yetki ilkesi; yönetim arayüzünde oturum süresi sınırı.
Panel ve API işlemlerinin denetim günlüğü (kim, ne zaman, ne yaptı); giriş denemesi kısıtlaması; IP tabanlı hız sınırı.
Günlük şifreli yedek; en fazla 30 gün saklama; ayrı depolama alanı.
Güvenlik güncellemelerinin düzenli uygulanması; bağımlılık taraması; güvenlik duvarı ve saldırı tespiti.
Personel için gizlilik sözleşmesi ve KVKK eğitimi; erişim yetkilerinin düzenli gözden geçirilmesi.
Veri ihlali müdahale planı ve kayıt defteri.

Gastte tedbirleri teknolojik gelişmelere göre günceller; güncelleme güvenlik düzeyini düşüremez.

6. Alt İşleyenler

6.1 Genel yetki. Müşteri, Gastte'nin Hizmeti sunmak için alt işleyen kullanmasına genel olarak yetki verir. Güncel alt işleyen listesi bu VİS'in Ek-1'inde ve panelde yayımlanır.

6.2 Mevcut alt işleyen kategorileri (Ek-1):

Sunucu barındırma ve veri merkezi (kiracı veri tabanları, uygulama sunucuları).
Nesne depolama ve içerik dağıtım ağı (medya dosyaları, yedekler).
E-posta gönderim altyapısı (bülten, bildirim ve hesap e-postaları).
Alan adı, DNS ve SSL sertifika sağlayıcıları.
Hata izleme ve performans ölçümü (kişisel veri maskelenerek).
Ödeme kuruluşu PayTR (yalnızca Müşterinin kendi ödemeleri; okur verisi gitmez).
Yapay zekâ sağlayıcıları — yalnızca deneme havuzu kullanıldığında Gastte'nin alt işleyeni; kendi anahtarınızla kullandığınızda Müşterinin doğrudan sağlayıcısıdır (madde 7).

6.3 Değişiklik bildirimi. Kişisel veri işleyen yeni bir alt işleyen eklenmesi ya da mevcutun değiştirilmesi en az 15 gün önce panel bildirimi ya da e-posta ile duyurulur. Müşteri bu süre içinde makul ve veri korumaya dayalı gerekçeyle itiraz edebilir; itiraz çözülemezse Müşteri Ana Sözleşme'yi feshedebilir ve kullanılmayan dönem bedelini geri alır. Acil güvenlik ya da hizmet sürekliliği gerekçesiyle yapılan değişiklikler derhal uygulanır ve sonradan bildirilir.

6.4 Alt işleyen yükümlülükleri. Gastte, her alt işleyenle yazılı sözleşme yapar ve bu VİS'teki yükümlülüklere denk veri koruma yükümlülüklerini alt işleyene yükler. Alt işleyenin kusurundan Gastte, Müşteriye karşı Ana Sözleşme'deki sorumluluk sınırları içinde sorumludur.

7. Yapay Zekâ Sağlayıcıları ve Yurt Dışına Aktarım

7.1 Kendi anahtarınız (BYOK). Müşteri yapay zekâ özelliklerini kendi sağlayıcı hesabı ve anahtarıyla kullandığında, sağlayıcıya giden içeriğin (kaynak haber metni, talimatlar, görseller, ses) aktarıcısı ve veri sorumlusu Müşteridir. Gastte bu aktarımda yalnızca Müşterinin talimatını teknik olarak ileten araçtır. Sağlayıcıyla sözleşme, sağlayıcının veri kullanım politikası ve KVKK m.9 yurt dışı aktarım koşulları (yeterlilik kararı, standart sözleşme, açık rıza) Müşterinin sorumluluğundadır.

7.2 Deneme havuzu. Deneme süresinde Gastte'nin anahtarıyla çalışan havuz kullanıldığında yapay zekâ sağlayıcısı Gastte'nin alt işleyenidir; Gastte sağlayıcının API verilerini model eğitiminde kullanmadığını beyan eden bir sözleşme koşuluna sahip sağlayıcıları tercih eder ve standart sözleşme ya da eş değer güvenceyi sağlar.

7.3 Diğer yurt dışı aktarımlar. Ek-1'deki bazı alt işleyenlerin sunucuları Türkiye dışında olabilir. Gastte bu aktarımları KVKK m.9 çerçevesinde Kurul'un yeterlilik kararı, Kurul'un ilan ettiği standart sözleşme (imza ve süresinde bildirim) ya da diğer uygun güvencelerle yapar. Müşteri, Hizmeti kullanmakla bu aktarımlar için gerekli aydınlatmayı kendi okurlarına yapmayı üstlenir.

7.4 Haber içeriğinde kişisel veri. Müşteri, yapay zekâya gönderilen kaynak metinlerde yer alan haber öznelerinin verilerinin gazetecilik faaliyeti kapsamında (KVKK m.28/1-c) işlendiğini değerlendirmekten ve bu istisnanın sınırlarına uymaktan kendisi sorumludur.

8. Veri İhlali Bildirimi

8.1 Gastte, Müşteri verilerini etkileyen bir kişisel veri ihlalini öğrendiğinde, gereksiz gecikme olmaksızın ve her hâlde öğrenmeden itibaren 72 saat içinde Müşteriyi kayıtlı e-posta ve panel bildirimiyle haberdar eder.

8.2 Bildirimde, o anda bilinen ölçüde şu bilgiler yer alır: ihlalin niteliği ve zamanı, etkilenen veri kategorileri ve tahmini ilgili kişi sayısı, olası sonuçlar, alınan ve önerilen önlemler, iletişim kişisi. Bilgiler aşamalı olarak tamamlanabilir.

8.3 Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yapma kararı ve yükümlülüğü veri sorumlusu olan Müşteriye aittir (KVKK m.12/5; Kurul kararı: 72 saat). Gastte, bildirimin hazırlanması için gerekli teknik bilgileri sağlar.

8.4 Gastte'nin kendi veri sorumlusu olduğu veriler etkilenmişse, Gastte Kurul bildirimini kendisi yapar.

9. Denetim

9.1 Gastte, uygulanan tedbirleri gösteren güncel bir güvenlik özeti ile alt işleyen listesini yılda bir ya da talep üzerine Müşteriye sunar. Bağımsız denetim ya da sertifika raporu bulunduğunda bu rapor özeti yeterli kanıt sayılır.

9.2 Müşteri ya da Müşterinin görevlendirdiği, Gastte'nin rakibi olmayan ve gizlilik yükümlülüğü altındaki bağımsız denetçi, yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, iş saatleri içinde ve Gastte'nin diğer müşterilerinin verilerini ya da ticari sırlarını açığa çıkarmayacak biçimde belge üzerinden denetim yapabilir. Yerinde denetim yalnızca bir veri ihlali ya da Kurul talebi sonrasında ve Gastte'nin makul güvenlik koşullarıyla yapılır.

9.3 Denetimin makul giderleri Müşteriye aittir; denetim esaslı bir uyumsuzluk ortaya çıkarırsa Gastte giderleri karşılar ve uyumsuzluğu makul sürede giderir.

10. Sözleşme Sonunda Silme ve İade

10.1 İade (dışa aktarma). Ana Sözleşme süresince ve kapanış penceresinde (30 gün) Müşteri, tüm verisini panelden makine tarafından okunabilir biçimlerde dışa aktarabilir. Gastte, talep üzerine dışa aktarmaya teknik yardım sağlar.

10.2 Silme. Kapanış penceresi tamamlanıp hesap kapalı duruma geçtikten 30 gün sonra Gastte, Müşteri verilerini (kiracı veri tabanı, medya dosyaları, arama dizinleri, alan adı kayıtları) ve mevcut kopyalarını geri döndürülemez biçimde siler. Yedek kopyalar yedek döngüsü (en fazla 30 gün) içinde kendiliğinden düşer.

10.3 İstisnalar. Mevzuatın saklanmasını zorunlu kıldığı kayıtlar (5651 sayılı Kanun trafik kayıtları, fatura ve muhasebe belgeleri, sözleşme kabul kayıtları) yasal süreleri boyunca, erişimi kısıtlanmış olarak saklanır ve başka amaçla işlenmez.

10.4 Gastte, talep üzerine silmenin tamamlandığını yazılı olarak teyit eder.

11. Sorumluluk

11.1 Bu VİS'ten doğan sorumluluk Ana Sözleşme'nin 14. maddesindeki sınırlara tabidir (son 3 ay ücreti; dolaylı zarar hariç). Bu sınır, Gastte'nin kast ya da ağır ihmalinden kaynaklanan ihlallerde uygulanmaz.

11.2 Müşterinin veri sorumlusu olarak kendi yükümlülüklerini (aydınlatma, rıza, hukuki sebep, ilgili kişi başvuruları, yapay zekâ sağlayıcısına aktarım) yerine getirmemesinden kaynaklanan idari para cezaları ve tazminat talepleri Müşteriye aittir; Gastte'ye yöneltilmişse Müşteri rücuen karşılar.

11.3 Kişisel Verileri Koruma Kurulu'nun doğrudan veri işleyene yönelik bir yaptırımında, yaptırımın sebebi Müşterinin talimatı ya da yükümlülük ihlali ise Müşteri Gastte'yi ari tutar.

12. Genel Hükümler

12.1 Bu VİS, Ana Sözleşme ile birlikte ve onun süresince geçerlidir; Ana Sözleşme sona erdiğinde 10. madde tamamlanana kadar yürürlükte kalır.

12.2 KVKK ve ikincil mevzuatta değişiklik olması hâlinde Gastte bu VİS'i uyumlu hâle getirir ve değişikliği 30 gün önce bildirir; Müşteri lehine değişiklikler derhal uygulanır.

12.3 Çelişki hâlinde kişisel veri koruma konularında bu VİS, diğer konularda Ana Sözleşme önceliklidir.

12.4 Uygulanacak hukuk Türk hukukudur; yetkili merci Konya Mahkemeleri ve İcra Daireleridir.

Ek-1: Alt İşleyen Kategorileri ve Veri Konumu

Sunucu barındırma ve veri merkezi — uygulama ve kiracı veri tabanları — Türkiye ya da Avrupa Birliği veri merkezi (güncel konum panelde).
Nesne depolama ve CDN — medya dosyaları ve yedekler — yurt dışı olabilir; KVKK m.9 güvenceli.
E-posta gönderim altyapısı — bildirim ve bülten iletimi — yurt dışı olabilir; KVKK m.9 güvenceli.
Alan adı, DNS ve SSL — alan adı kayıtları — yurt içi ve yurt dışı.
Hata izleme ve performans ölçümü — maskelenmiş teknik kayıtlar — yurt dışı olabilir.
PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. — Müşterinin ödemeleri — Türkiye.
E-fatura entegratörü — Müşterinin fatura bilgileri — Türkiye.
Yapay zekâ sağlayıcıları (OpenAI, Google, Anthropic, DeepSeek) — yalnızca deneme havuzunda Gastte'nin alt işleyeni; aksi hâlde Müşterinin doğrudan sağlayıcısı — yurt dışı.

Güncel ve ayrıntılı liste (ticari unvan, ülke, güvence türü) panelde "Hesap › Yasal › Alt İşleyenler" sayfasında tutulur ve değişiklikler madde 6.3'e göre duyurulur.