Veri İşleme Sözleşmesi
Son güncelleme: 15 Ekim 2026
Bu Veri İşleme Sözleşmesi ("Sözleşme"), İngiltere ve Galler'de kayıtlı (Şirket No. 13282175), kayıtlı adresi 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ olan ve Bilgi Komiserliği'ne (ICO) ZB250899 numarasıyla kayıtlı MailGraf Digital Ltd ("MailGraf", "biz") ile Hizmet Şartları'nı kabul eden müşteri ("Müşteri", "siz") arasındaki Hizmet Şartları'nın bir parçasıdır.
Sözleşme, MailGraf'ın Hizmet'i sunarken Müşteri Kişisel Verilerini sizin adınıza işlediği her durumda uygulanır. Hizmet Şartları'nı kabul ettiğinizde bu Sözleşme'yi de kabul etmiş olursunuz; ayrıca imza gerekmez. Kurumunuz imzalı bir nüsha isterse bize ulaşın, bu sürümü imzalayıp gönderelim.
Bu sürüm 15 Ekim 2026 tarihlidir. Türkçe metin bilgi amaçlıdır; İngilizce metinle çelişki olursa İngilizce metin esas alınır.
1. Tanımlar
Burada tanımlanmayan terimler Hizmet Şartları'ndaki ya da Veri Koruma Mevzuatı'ndaki anlamı taşır.
- "Veri Koruma Mevzuatı": UK GDPR, 2018 tarihli Veri Koruma Kanunu (Data Protection Act 2018; 2025 tarihli Data (Use and Access) Act dahil değişiklikleriyle), 2003 tarihli Gizlilik ve Elektronik İletişim Yönetmeliği ("PECR") ve işleme için uygulandıkları ölçüde AB Genel Veri Koruma Tüzüğü (EU) 2016/679 ("AB GDPR"), AB e-Gizlilik Direktifi'ni uygulayan ulusal mevzuat ile 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK").
- "Müşteri Kişisel Verileri": sizin ya da sizin adınıza hareket edenlerin Hizmet'e yüklediği veya Hizmet aracılığıyla topladığı ve MailGraf'ın sizin adınıza işlediği kişisel veriler. Ek 1'de açıklanmıştır.
- "Veri Sorumlusu", "Veri İşleyen", "İlgili Kişi", "Kişisel Veri", "İşleme" ve "Denetim Otoritesi": Veri Koruma Mevzuatı'ndaki anlamlarını taşır.
- "Kişisel Veri İhlali": Müşteri Kişisel Verilerinin kazara ya da hukuka aykırı biçimde yok edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak açıklanmasına ya da bunlara erişilmesine yol açan güvenlik ihlali.
- "Alt İşleyen": MailGraf'ın görevlendirdiği ve Müşteri Kişisel Verilerini işleyen üçüncü taraf.
- "Kısıtlı Aktarım": Müşteri Kişisel Verilerinin, aktarıma uygulanan Veri Koruma Mevzuatı kapsamında yeterlilik kararı bulunmayan bir ülkeye aktarılması.
2. Roller ve kapsam
2.1 Müşteri Kişisel Verilerinin veri sorumlusu sizsiniz; MailGraf sizin veri işleyeninizdir.
2.2 Ajanslar ve bayiler. Hizmet'i kendi müşterileriniz için kullanıyorsanız onlar adına veri işleyen konumunda olabilirsiniz. Bu durumda MailGraf sizin alt işleyeninizdir ve müşterilerinizin MailGraf'ı bu Sözleşme'nin şartlarıyla görevlendirmeniz için size yetki verdiğini kabul edersiniz.
2.3 MailGraf'ın sorumlu olduğu veriler. MailGraf, hesabınızdaki kullanıcıların kişisel verileri ile hesabınıza ilişkin fatura, destek, güvenlik ve kötüye kullanımı önleme kayıtları için bağımsız veri sorumlusudur. Bu veriler bu Sözleşme'nin değil, Gizlilik Politikamızın kapsamındadır.
2.4 İşlemenin konusu, süresi, niteliği ve amacı ile kişisel veri ve ilgili kişi kategorileri Ek 1'de yer alır.
3. Yükümlülükleriniz
3.1 İşleme için hukuki dayanağa sahip olmak, pazarlama emaili göndermeden önce PECR, e-Gizlilik kuralları ya da yürürlükteki mevzuatın gerektirdiği izinleri almak ve kişilerinizi Veri Koruma Mevzuatı'nın öngördüğü şekilde bilgilendirmek sizin sorumluluğunuzdadır.
3.2 Hizmet üzerinden gönderilen emaillerde açılma ve tıklamalar izleme pikseli ve izlenen linklerle kaydedilir. Bu izleme için mevzuatın gerektirdiği izin ya da bilgilendirme sizin sorumluluğunuzdadır.
3.3 MailGraf'a verdiğiniz talimatların Veri Koruma Mevzuatı'na uygun olduğunu ve bu talimatlara uyulmasının MailGraf'ı mevzuata aykırı duruma düşürmeyeceğini kabul edersiniz.
3.4 İşleme hukuka uygun olmadıkça ve önceden bizimle yazılı olarak kararlaştırılmadıkça özel nitelikli kişisel veri, ceza mahkûmiyeti verisi ya da 13 yaşından küçük çocuklara ait veri yüklemezsiniz.
3.5 Müşteri Kişisel Verilerinin doğruluğundan ve Kabul Edilebilir Kullanım Politikamıza uymaktan siz sorumlu olmaya devam edersiniz.
4. MailGraf'ın yükümlülükleri
4.1 Talimatlar. Müşteri Kişisel Verilerini yalnız belgelenmiş talimatlarınızla işleriz. Talimatlarınız; Hizmet Şartları, bu Sözleşme ve Hizmet'te ya da API üzerinden seçtiğiniz ayarlar ve yaptığınız işlemlerdir. Bir talimatın Veri Koruma Mevzuatı'na aykırı olduğunu düşünürsek size bildiririz. O talimata uymak zorunda değiliz ve hukuka uygun bir talimat verene kadar ilgili işlemeyi durdurabiliriz. Mevzuat Müşteri Kişisel Verilerini başka bir amaçla işlememizi gerektirirse, mevzuat yasaklamadıkça bunu önce size bildiririz.
4.2 Hizmet'i güvende tutan işlemeler. Talimatlarınız şu işlemleri de kapsar:
- emaillerinizi teslim etmek ve sizin ile diğer müşterilerin teslim edilebilirliğini korumak; örneğin geri dönen mailleri ve şikayetleri işlemek, engelleme listelerini tutmak, listeleri ve içerikleri spam, oltalama ve diğer kötüye kullanımlara karşı kontrol etmek;
- Hizmet'in güvenliğini sağlamak ve kötüye kullanımı incelemek;
- Hizmet'i ölçmek ve geliştirmek için sizi ya da herhangi bir ilgili kişiyi tanımlamayan toplu istatistikler üretmek.
4.3 Asla yapmayacaklarımız. Müşteri Kişisel Verilerini satmayız, kendi pazarlamamızda kullanmayız ve yapay zeka modeli eğitmek için kullanmayız.
4.4 Gizlilik ve destek erişimi. MailGraf'ta Müşteri Kişisel Verilerine erişebilen herkes gizlilik yükümlülüğü altındadır ve verilere yalnız görevinin gerektirdiği ölçüde erişir. Ekibimiz hesabınıza yalnız istediğiniz desteği vermek, güvenlik ya da kötüye kullanım sorunlarını incelemek veya Hizmet'in çalışmasını sağlamak için girer; her erişim denetim kaydına yazılır.
4.5 Güvenlik. Ek 2'deki teknik ve idari tedbirleri uygularız. Teknoloji ve riskler değiştikçe bu tedbirleri güncelleyebiliriz; genel koruma düzeyi düşmez.
4.6 Resmi makam talepleri. Bir resmi makam Müşteri Kişisel Verilerini talep ederse, mümkün olduğunda onu size yönlendiririz. Mevzuat yasaklamadıkça bir açıklama yapmadan önce size bildiririz, yalnız hukuken zorunlu olanı açıklarız ve makul olarak hukuka aykırı gördüğümüz taleplere itiraz ederiz.
5. Alt işleyenler
5.1 Genel izin. MailGraf'ın Alt İşleyen kullanmasına izin verirsiniz. Her Alt İşleyenin amacı, konumu ve aktarım dayanağıyla birlikte güncel liste Ek 3'te ve web sitemizde yer alır.
5.2 Sözleşmeler. Her Alt İşleyene bu Sözleşme'den daha az koruyucu olmayan veri koruma yükümlülükleri yükleriz. Alt İşleyenlerimizin yükümlülüklerini yerine getirmesinden size karşı biz sorumluyuz.
5.3 Değişiklikler. Yeni bir Alt İşleyen Müşteri Kişisel Verilerini işlemeye başlamadan en az 30 gün önce size bildirim yaparız. Bildirimi hesap sahibinize email ile göndeririz ve web sitemizdeki listeyi güncelleriz.
5.4 İtiraz. Bildirimimizden itibaren 15 gün içinde, makul veri koruma gerekçesiyle yeni bir Alt İşleyene itiraz edebilirsiniz. Endişelerinizi iyi niyetle görüşür ve makul bir alternatif ararız. Bulamazsak Hizmet'in ilgili bölümünü yazılı bildirimle feshedebilirsiniz; o bölüm için kalan döneme ait peşin ödenmiş ücretleri iade ederiz.
6. İlgili kişi hakları
6.1 Hizmet; kişileri bulmanızı, düzeltmenizi, dışa aktarmanızı ve silmenizi, abonelikten çıkışları kaydetmenizi ve engelleme listelerini yönetmenizi sağlar. Kişileriniz Hizmet üzerinden gönderdiğiniz her pazarlama emailinden abonelikten çıkabilir.
6.2 Bir ilgili kişi Müşteri Kişisel Verileri hakkında MailGraf'a başvurursa, talebi gecikmeden size iletiriz; siz istemedikçe talebi kendimiz yanıtlamayız.
6.3 Hizmet'in kendi araçlarıyla karşılayamadığınız taleplerde size makul destek veririz. Bu destek ücretsizdir. Talep açıkça aşırıysa, işe başlamadan önce ücreti sizinle kararlaştırırız.
7. Kişisel veri ihlalleri
7.1 Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrendikten sonra size gecikmeden ve her durumda 48 saat içinde bildirim yaparız. Böylece veri sorumlusu için öngörülen 72 saatlik süreye uymanız için zamanınız kalır.
7.2 Bildirimimiz, o an bildiğimiz kadarıyla ihlalin niteliğini, etkilenen ilgili kişi ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve alınan ya da önerilen tedbirleri içerir. Yeni bilgi edindikçe güncelleme göndeririz.
7.3 İhlali kontrol altına almak ve etkilerini azaltmak için makul adımları atarız; bir Denetim Otoritesine ya da ilgili kişilere yapmanız gereken bildirimlerde size yardımcı oluruz.
7.4 Size ihlal bildirimi yapmamız, kusur ya da sorumluluk kabulü anlamına gelmez.
8. Güvenlik, etki değerlendirmesi ve ön danışma
İşlemenin niteliğini ve elimizdeki bilgileri dikkate alarak; UK GDPR'ın (uygulandığı ölçüde AB GDPR'ın) 32 ile 36. maddelerindeki yükümlülüklerinizi yerine getirmeniz için size makul destek veririz: işleme güvenliği, Kişisel Veri İhlallerinin bildirimi, veri koruma etki değerlendirmeleri ve Denetim Otoritesine ön danışma. Bu destek ücretsizdir; talep açıkça aşırıysa, işe başlamadan önce ücreti sizinle kararlaştırırız.
9. Uluslararası aktarımlar
9.1 Verileriniz nerede. Hizmet'i, veritabanı dahil, Almanya'daki sunucularda barındırırız. Hizmet'ten gönderilen emailler Birleşik Krallık ve Avrupa Birliği'ndeki gönderim altyapısında işlenir. Bazı Alt İşleyenler verileri Ek 3'te belirtilen başka ülkelerde işler.
9.2 Birleşik Krallık'tan aktarımlar. Birleşik Krallık'tan yapılan Kısıtlı Aktarımlarda sırasıyla şu dayanaklara başvururuz: Birleşik Krallık yeterlilik düzenlemeleri (Avrupa Ekonomik Alanı'nı kapsayanlar dahil); sertifikalı ABD'li alıcılar için AB-ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık uzantısı; ya da Birleşik Krallık Uluslararası Veri Aktarım Sözleşmesi (IDTA) veya AB Standart Sözleşme Maddelerine ek Birleşik Krallık Eki.
9.3 Avrupa Ekonomik Alanı'ndan aktarımlar. AB GDPR uygulandığında, Avrupa Ekonomik Alanı'ndan Birleşik Krallık'taki MailGraf'a yapılan aktarımlar Avrupa Komisyonu'nun Birleşik Krallık için verdiği yeterlilik kararına dayanır. Bu karar uygulanmaz hale gelirse, gecikmeden AB Standart Sözleşme Maddelerini (duruma göre Modül 2, veri sorumlusundan veri işleyene, ya da Modül 3, veri işleyenden veri işleyene) veya AB GDPR'ın tanıdığı başka bir aktarım aracını devreye alırız.
9.4 Türkiye'den aktarımlar. KVKK uygulandığında, talebiniz üzerine Kişisel Verileri Koruma Kurulu'nun yurt dışına aktarım için yayımladığı standart sözleşmeyi sizinle imzalarız. İmzalanan sözleşmenin Kişisel Verileri Koruma Kurumu'na bildirilmesi, aktaran taraf olarak sizin sorumluluğunuzdadır.
9.5 Bu maddede ve Ek 3'te açıklanan aktarımlara izin verirsiniz.
10. Bilgi ve denetim
10.1 UK GDPR'ın 28. maddesine uyumu göstermek için makul olarak ihtiyaç duyduğunuz bilgileri sağlarız: 12 ayda bir makul bir güvenlik soru formunun yanıtlanması ve paylaşmamıza izin verildiği ölçüde Alt İşleyenlerimizin güncel sertifikaları ya da denetim raporları bu kapsamdadır.
10.2 Bu bilgiler yeterli olmazsa, 12 aylık süre içinde bir kez, 30 gün önceden yazılı bildirimle denetim yapabilir ya da gizlilik yükümlülüğü altındaki bağımsız bir denetçi görevlendirebilirsiniz. Bir Denetim Otoritesi yerinde denetim istemedikçe ya da denetim bizim tarafımızdaki bir Kişisel Veri İhlalinin ardından yapılmadıkça denetim uzaktan, belge incelemesi ve görüntülü görüşmelerle yapılır. Denetim Hizmet'i ve diğer müşterilerin verilerini aksatmamalıdır; masrafları size aittir.
10.3 Bir Denetim Otoritesi gerektirirse ya da bizim tarafımızdaki bir Kişisel Veri İhlalinden sonra daha sık denetim yapabilirsiniz.
11. İade ve silme
11.1 Hizmet sona erdiğinde Müşteri Kişisel Verilerinin size iade edilmesini ya da silinmesini siz seçersiniz. Kişilerinizi ve kampanya raporlarınızı istediğiniz zaman Hizmet üzerinden ücretsiz olarak CSV biçiminde dışa aktarabilirsiniz; talep ederseniz dışa aktarımı biz de sağlarız.
11.2 Hesabınız kapandıktan sonra verilerinizi dışa aktarmak ya da bizden dışa aktarım istemek için 14 gününüz vardır. Bu sürenin sonunda Müşteri Kişisel Verilerini aktif sistemlerimizden sileriz. Yedeklerdeki kopyalar, bu yedeklerin olağan yedekleme döngüsünde süresi dolduğunda silinir. Talep ederseniz silme işlemini yazılı olarak teyit ederiz.
11.3 Şunları saklayabiliriz:
- abonelikten çıkan, şikayet eden ya da kalıcı olarak geri dönen adreslere ilişkin, yalnız email adresi, nedeni ve tarihiyle sınırlı engelleme kayıtları; bu kayıtlar yalnız o adreslere yeniden email gönderilmesini önlemek için gerektiği süre boyunca tutulur ve başka bir amaçla kullanılmaz;
- mevzuatın saklamamızı gerektirdiği veriler; bunları elimizde bulundurduğumuz sürece bu Sözleşme kapsamında koruruz;
- sizi ya da herhangi bir kişiyi tanımlayamayan anonim veya toplu veriler.
12. Sorumluluk
Tarafların bu Sözleşme kapsamındaki ya da bununla bağlantılı sorumluluğu, Hizmet Şartları'ndaki sınırlamalara ve istisnalara tabidir. Bu Sözleşme'deki hiçbir hüküm ilgili kişilerin Veri Koruma Mevzuatı'ndan doğan haklarını ya da İngiltere ve Galler hukukuna göre sınırlanamayan bir sorumluluğu sınırlamaz.
13. Süre, öncelik ve değişiklikler
13.1 Bu Sözleşme, 11. maddedeki silme süresi dahil, MailGraf Müşteri Kişisel Verilerini işlediği sürece geçerlidir.
13.2 Müşteri Kişisel Verilerinin işlenmesi konusunda bu Sözleşme ile Hizmet Şartları çelişirse bu Sözleşme esas alınır. 9. madde kapsamında devreye alınan aktarım hükümleri bu Sözleşme ile çelişirse o hükümler esas alınır.
13.3 Bu Sözleşme'yi mevzuattaki, Alt İşleyenlerimizdeki ya da Hizmet'teki değişiklikleri yansıtmak için güncelleyebiliriz. Esaslı değişiklikleri, Hizmet Şartları'ndaki değişikliklerde olduğu gibi önceden bildiririz. Hiçbir değişiklik bu Sözleşme'nin Müşteri Kişisel Verilerine sağladığı korumayı azaltmaz.
13.4 Bu Sözleşme, Hizmet Şartları'nda belirtildiği gibi İngiltere ve Galler hukukuna tabidir ve İngiltere ve Galler mahkemeleri yetkilidir.
Ek 1. İşlemenin ayrıntıları
| Konu | Ayrıntı |
|---|---|
| İşlemenin konusu | MailGraf email pazarlama platformunun Hizmet Şartları kapsamında sunulması. |
| Süre | Hesabınızın süresi boyunca ve 11. maddedeki silme süresi. |
| Nitelik ve amaç | Kişileri saklamak, içe aktarmak ve düzenlemek; listeleri, etiketleri ve segmentleri yönetmek; emailleri ve otomasyonları oluşturmak, göndermek ve kişiselleştirmek; teslimleri, geri dönenleri, açılmaları, tıklamaları, abonelikten çıkışları ve şikayetleri kaydetmek; kayıt formlarını, pop-up'ları ve açılış sayfalarını yayınlamak; izleme kodunu kurduğunuz sitelerde site etkinliğini kaydetmek; email adreslerini doğrulamak; bağladığınız entegrasyonlarla veri eşitlemek; rapor üretmek; yapay zeka destekli yazım ve tasarım özellikleri; istediğiniz destek. |
| İlgili kişiler | Kişileriniz, aboneleriniz, potansiyel müşterileriniz ve müşterileriniz; formlarınızı, pop-up'larınızı ve açılış sayfalarınızı dolduranlar; izleme kodunu kurduğunuz sitelerin ziyaretçileri; bağlı mağazanızdan sipariş verisi eşitlenen müşterileriniz. |
| Kişisel veriler | Email adresi, ad ve elinizdeki diğer iletişim bilgileri; tanımladığınız özel alanlar; izin ve abonelik kayıtları (kaynak, tarih ve saat, IP adresi, çift onay teyidi); liste, etiket ve segment üyelikleri; ilgili IP adresi, cihaz ve tarayıcı verileriyle birlikte email etkileşimi (gönderim, teslim, geri dönme, açılma, tıklama, abonelikten çıkma, şikayet); form ve pop-up gönderimleri; site etkinlikleri; bağlı mağazalardan sipariş ve ürün verileri; email ve formlarınızın içeriği. |
| Özel nitelikli veriler | Amaçlanmamıştır. Bkz. madde 3.4. |
| Sıklık | Hizmet'i kullandığınız sürece sürekli. |
Ek 2. Teknik ve idari tedbirler
Barındırma ve ayrıştırma
- Uygulama ve veritabanı, veri merkezleri ISO/IEC 27001 sertifikalı Hetzner Online GmbH'nin Almanya'daki sunucularında çalışır.
- Her müşteri hesabı, uygulamadaki kontrollere ek olarak veritabanı düzeyinde satır bazlı güvenlik politikalarıyla diğer hesaplardan ayrılır.
Erişim
- Hesabınızda role dayalı erişim (sahip, yönetici, editör, kısıtlı ve özel roller).
- MailGraf ekibi canlı sistemlere yalnız görevinin gerektirdiği ölçüde erişir. Müşteri hesabına destek erişimi ve yönetim işlemleri denetim kaydına yazılır.
- Kullanıcı şifreleri yalnız tuzlanmış özet (hash) olarak saklanır.
İletim ve saklama
- Uygulama, API, formlar ve izleme linkleri şifreli bağlantı (TLS) kullanır.
- Emailler, alıcı sunucu desteklediğinde TLS ile teslim edilir.
Süreklilik ve kurtarma
- Zamanlanmış veritabanı yedekleri.
- Uygulama hata izleme aracı, varsayılan olarak kişisel veri toplamayacak şekilde yapılandırılmıştır.
Kötüye kullanım ve teslim edilebilirlik kontrolleri
- Geri dönen mailler ve şikayetlerin işlenmesi; abonelikten çıkan, şikayet eden ya da kalıcı olarak geri dönen adreslerin otomatik engellenmesi.
- Gönderim sınırları ve yeni gönderenlerin incelenmesi.
- Herkese açık formlarda ve uç noktalarda bot koruması ve istek sınırlaması.
Veri azaltma
- Email doğrulamaya yalnız email adresleri gönderilir; ad ve diğer alanlar gönderilmez.
- Yapay zeka özelliklerine yalnız sizin girdiğiniz içerik ve talimatlar ile toplu kampanya istatistikleri gider. Kişi listeleriniz gönderilmez.
Ekip ve süreç
- Erişimi olan herkes için gizlilik yükümlülüğü.
-
- maddedeki 48 saatlik bildirimi karşılayan bir olay müdahale süreci.
- Alt İşleyenlerin görevlendirilmeden önce veri koruma açısından değerlendirilmesi.
Ek 3. Alt işleyenler
| Alt İşleyen | Amaç | Konum | Aktarım dayanağı |
|---|---|---|---|
| Hetzner Online GmbH | Uygulama, veritabanı ve gönderim sunucularının barındırılması | Almanya | Birleşik Krallık yeterlilik düzenlemeleri (AEA) |
| Amazon Web Services | Email gönderimi için bulut altyapısı | Birleşik Krallık | Kısıtlı aktarım yok |
| Cloudflare, Inc. | Dosya ve görsel depolama, içerik dağıtımı, bot koruması | ABD ve küresel ağ | AB-ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık uzantısı ya da IDTA |
| EmailListVerify | Email adresi doğrulama (yalnız email adresleri) | Polonya | Birleşik Krallık yeterlilik düzenlemeleri (AEA) |
| Functional Software, Inc. (Sentry) | Uygulama hata izleme | ABD | AB-ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık uzantısı ya da IDTA |
| OpenAI | Yapay zeka destekli yazım, tasarım ve rapor özetleri | ABD | AB-ABD Veri Gizliliği Çerçevesi'nin Birleşik Krallık uzantısı ya da IDTA |
Stripe gibi ödeme kuruluşları, veri sorumlusunun MailGraf olduğu fatura verilerini işler. Müşteri Kişisel Verilerini işlemezler ve Gizlilik Politikamızın kapsamındadır.
