Standard Contractual Clauses
AB Standart Sözleşme Hükümleri (Modül 2: C2P) uygulama çerçevesi ve ekleri. / EU Standard Contractual Clauses (Module 2: C2P) implementation framework and annexes.
1. Amaç
Bu sayfa, AB/EEA'dan üçüncü ülkeye (Türkiye) kişisel veri aktarımında, AB Komisyonu'nun 4 Haziran 2021 tarihli ve (EU) 2021/914 sayılı Uygulama Kararı ile kabul edilen Standart Sözleşme Hükümleri'nin (SCC) uygulanmasına ilişkin çerçeveyi ve eklerini sunar.
2. Uygulanacak Modül
Kızılelma AI, kurumsal müşteri adına veri işlediğinden, kural olarak Modül 2 (Veri Sorumlusundan Veri İşleyene — C2P) uygulanır. Taraflar ve aktarım ayrıntıları aşağıdaki eklerde tanımlanır.
3. Temel Taahhütler
- Veri ithalatçısı, kişisel verileri yalnızca veri ihracatçısının talimatlarıyla işler.
- GDPR'a eşdeğer koruma sağlanır; ilgili kişiler SCC kapsamında üçüncü taraf yararlanıcı haklarına sahiptir.
- Kamu otoritesi erişim talepleri şeffaflık ilkesiyle ele alınır; hukuken mümkünse ihracatçı bilgilendirilir.
- Ek tedbirler uygulanır: maskeleme (takma adlandırma), aktarımda TLS şifrelemesi ve Türkiye'deki şifreli kasada saklama.
4. Mimari Notu (Önemli)
Uygulamamızda belge asılları, belgelerdeki kimlik verileri ve takma ad eşleşmeleri Türkiye'deki şifreli kasada, Yerel Kasa modunda ise kullanıcının kendi cihazında saklanır; yapay zekâ modeline ve AB altyapısına metin işlemede kural olarak maskeli (takma adlandırılmış) veri gider. İstisnalar: hesap verileri (ad-soyad, e-posta, telefon, abonelik) AB altyapısında tutulur; Dava Çalışma Alanı ve Dilekçe Üretici geçmişinin 14 Eylül 2026'daki geçişten önceki kayıtları AB veritabanında maskesizdir; taranmış sayfa okuma, canlı sesli mod ve mesajlaşma kanalları yalnız ayrı açık rızayla maskesiz çalışır (Veri Aktarımı Protokolü §2, §5, §8 — sesli mod başlığı dahil — ve §9). Maskeli veri de kişisel veridir. Türkiye'deki destek personelinin erişimi, üçüncü ülke erişimi sayıldığından SCC Modül 2 ile güvence altına alınır.
5. Ekler
Annex I.A — Taraflar / List of Parties
| Rol / Role | Kimlik / Identity |
|---|---|
| Veri ihracatçısı / Data exporter | AB/EEA'da yerleşik kurumsal müşteri (veri sorumlusu) / EEA-based corporate customer (controller) |
| Veri ithalatçısı / Data importer | Kızılelma AI Software (Anıl Talha BULDUKLU) — Akademi Mah. Gürbulut Sok. No: 67, Selçuk Üniversitesi Teknoloji Geliştirme Bölgesi (Teknokent), 42150 Selçuklu/KONYA, Türkiye (veri işleyen / processor) |
Annex I.B — Aktarımın Tanımı / Description of Transfer
| Parametre / Item | Açıklama / Description |
|---|---|
| İlgili kişiler / Data subjects | Müşteri personeli; belgelerde geçen müvekkil/karşı taraf/üçüncü kişiler / Customer staff; clients/counterparties/third parties in documents |
| Veri kategorileri / Categories | Kimlik, iletişim, belge içeriği, üstveri, log / Identity, contact, document content, metadata, logs |
| Hassas veri / Sensitive data | Mahiyeti gereği mümkün; ek tedbirlerle / Possible by nature; with extra safeguards |
| Sıklık / Frequency | Sürekli (hizmet boyunca) / Continuous (during the service) |
| İşleme niteliği / Nature | Metin işlemede kural olarak maskeli (takma adlandırılmış) metin üzerinde analiz/üretim/depolama; açık rızalı istisnalar ve geçiş öncesi maskesiz geçmiş kayıtları Veri Aktarımı Protokolü'ndedir / As a rule, analysis/generation/storage on masked (pseudonymised) text; consent-based exceptions and pre-migration unmasked history records are set out in the Data Transfer Protocol |
| Aktarımın amacı / Purpose of transfer | Platform hizmetlerinin (analiz, üretim, araştırma, arama, depolama, destek ve güvenlik) veri ihracatçısı adına sunulması / Provision of the platform services (analysis, generation, research, search, storage, support and security) on behalf of the data exporter |
| Alt işleyenlere aktarım / Transfers to subprocessors | Konu, nitelik ve süre bakımından yukarıdakiyle aynı; alıcılar ve ülkeleri Annex III'teki listededir (Clause 8.8 kapsamındaki ileri aktarımlar dâhil) / Same subject matter, nature and duration as above; recipients and their countries are listed in Annex III (including onward transfers under Clause 8.8) |
| Süre / Duration | Ana sözleşme + en geç 30 gün (günlük yedek döngüsü). İstisnalar: ücretsiz hesaplarda 37 günlük imha kuralı, 4 Ağustos 2026 tarihli olay/devir yedek tabloları, hesap silme sonrası beş (5) yıllık ispat arşivi ve AB'deki şifreli felaket kurtarma arşivinde en geç üç (3) yıllık döngüsel silme (Ek Protokol m.11.3, m.11.6, m.11.7 ve Ek-1) / Main contract + up to 30 days (daily backup rotation); exceptions are set out in the Addendum, Art. 11.3, 11.6, 11.7 and Annex 1 |
Annex II — Teknik ve İdari Tedbirler / TOMs
TLS 1.2 ve 1.3 (aktarım; TLS 1.1 ve öncesi kapalı), AES-256 / LUKS2 (saklama), Türkiye'de şifreli kasa + maskeleme geçidi, rol bazlı erişim, çok kiracılı izolasyon, loglama/izleme, yedekleme, güvenli geliştirme. / TLS 1.2 and 1.3 in transit (TLS 1.1 and earlier disabled), AES-256/LUKS2 at rest, encrypted vault + masking gateway in Türkiye, RBAC, multi-tenant isolation, logging/monitoring, backups, secure SDLC.
Annex I.C — Yetkili Denetim Makamı / Competent Supervisory Authority
Clause 13(a) uyarınca yetkili denetim makamı, veri ihracatçısının yerleşik olduğu AB/AEA üye devletinin denetim makamıdır; veri ihracatçısı AB/AEA'da yerleşik değilse GDPR m.27(1) uyarınca atadığı temsilcinin bulunduğu üye devletin denetim makamıdır. Taraflar imzalı nüshada bu makamı adıyla yazar. / Pursuant to Clause 13(a), the competent supervisory authority is that of the EU/EEA Member State in which the data exporter is established, or, where the exporter is not established in the EU/EEA, that of the Member State of its Art. 27(1) representative; the parties name that authority in the signed counterpart.
Hüküm Seçimleri / Clause Options
| Hüküm / Clause | Seçim / Option |
|---|---|
| Clause 7 (Docking clause) | Uygulanmaz / Not applicable |
| Clause 9(a) — Alt işleyen kullanımı / Use of subprocessors | Seçenek 2 — genel yazılı izin. Değişiklikler en az otuz (30) gün önce bildirilir ve itiraz süresi dolmadan yeni alt işleyen devreye alınmaz (Ek Protokol m.7.1 ve m.7.4). / Option 2 — general written authorisation, with at least 30 days' prior notice |
| Clause 8.8 — İleri aktarımlar / Onward transfers | Annex III'teki üçüncü ülke alt işleyenlerine (ABD dâhil) ileri aktarım, aynı modülün standart sözleşme hükümlerine ya da Clause 8.8'de sayılan diğer güvencelere bağlanır; her satırın bugünkü güvence durumu Ek Protokol Ek-3'te gösterilir. / Onward transfers to third-country subprocessors listed in Annex III are subject to the same clauses or another Clause 8.8 safeguard |
| Clause 11(a) — Bağımsız uyuşmazlık çözümü / Independent redress | İsteğe bağlı kısım uygulanmaz / Optional paragraph not used |
| Clause 17 — Uygulanacak hukuk / Governing law | Veri ihracatçısının yerleşik olduğu AB/AEA üye devletinin hukuku; taraflar imzalı nüshada bu üye devleti adıyla yazar. / The law of the EU/EEA Member State in which the data exporter is established, named in the signed counterpart |
| Clause 18 — Yetkili mahkeme / Choice of forum | Clause 17'de belirlenen üye devletin mahkemeleri / The courts of the Member State determined under Clause 17 |
Annex III — Alt İşleyenler / Subprocessors
Bkz. Ek Protokol — Ek-3. / See Addendum — Annex 3.