1. Tanımlar
Bu DPA kapsamında "kişisel veri", "veri sorumlusu", "veri işleyen", "işleme", "ilgili kişi", "ihlal" terimleri 6698 sayılı KVKK ve GDPR'ın ilgili maddelerindeki anlamlarıyla kullanılır.
2. İşleme Kapsamı
- Amaç: Veri Sorumlusu'nun LLM sağlayıcılarına gönderdiği isteklerin güvenlik taraması, PII/PCI maskelemesi ve politika uygulaması.
- Süre: Aktif abonelik süresi + 30 gün silme penceresi.
- Veri kategorileri: Prompt metinleri, model yanıtları, API kullanım telemetrisi, kullanıcı kimliği (opak SSO subject ID).
- İlgili kişi kategorileri: Veri Sorumlusu'nun çalışanları, müteahhitleri ve son kullanıcıları.
3. Veri İşleyen Yükümlülükleri
- Verileri yalnızca yazılı talimatlar doğrultusunda işlemek.
- Verilere erişen personel için gizlilik taahhütleri almak ve yıllık KVKK farkındalık eğitimi uygulamak.
- TLS 1.3+, AES-256 depolama, ve mTLS admin erişimi dahil güvenlik kontrolleri uygulamak.
- Alt işleyen listesindeki değişiklikler için 30 gün önceden bildirim vermek.
- İhlalleri 72 saat içinde Veri Sorumlusu'na bildirmek (KVKK 12/5 ve GDPR 33 uyumlu).
4. İlgili Kişi Hakları
Tamga, Veri Sorumlusu'nun ilgili kişi taleplerini karşılamasını kolaylaştırmak için şu operasyonel araçları sağlar:
POST /api/v1/compliance/erase— konu bazlı silme (tombstone işareti + denetim kaydı).GET /api/v1/events/export— konu bazlı veri çıkarma (JSON/CSV).POST /api/v1/policy/retention— saklama penceresinin yürütülmesi.
5. Uluslararası Aktarım
Veriler varsayılan olarak AWS eu-central-1 (Frankfurt) bölgesinde işlenir. Türkiye veri yerleşimi isteyen kurumsal müşteriler için eu-central-2 Zürih veya Türk veri merkezi seçenekleri sunulur. AB dışı aktarım yalnızca Standart Sözleşme Maddeleri (SCC) ile ve Veri Sorumlusu onayıyla yapılır.
6. Denetim
Veri Sorumlusu, makul bildirim sonrasında yılda bir kez Tamga'nın güvenlik kontrollerini denetleyebilir. Bağımsız SOC 2 Type II raporu NDA altında paylaşılır (Q3 2026'da hazır olacak).
7. Sözleşme Sonrası Veri
Sözleşme sona erdiğinde tüm kişisel veri 30 gün içinde silinir veya — Veri Sorumlusu talep ederse — şifrelenmiş export paketi olarak teslim edilir.