Veri İşleme Sözleşmesi (DPA)

Son güncelleme: 20.07.2026

İşbu Veri İşleme Sözleşmesi ("DPA"), rankzupAI tarafından işletilen rankzupAI hizmetini bir kurumsal müşteri, ajans veya bayi ("Müşteri") olarak kullandığınızda, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili ikincil mevzuat kapsamında tarafların rol ve yükümlülüklerini düzenler. Bu belge, KVKK Aydınlatma Metni ve Gizlilik Politikası ile birlikte okunmalıdır ve onlarla tutarlıdır.

1. Tanımlar ve Taraflar

• Veri Sorumlusu: Kişisel verilerin işlenme amaç ve vasıtalarını belirleyen taraf.
• Veri İşleyen: Veri sorumlusunun talimatları doğrultusunda kişisel veri işleyen taraf.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi (Müşteri'nin son kullanıcıları, çalışanları vb.).
• Alt-İşleyen: rankzupAI'nin hizmeti sunmak için kullandığı üçüncü taraf işleyenler.

2. Rollerin Belirlenmesi

rankzupAI, hizmet kapsamındaki kişisel veriler bakımından ikili bir role sahiptir:

• Veri sorumlusu olarak: Müşteri'nin kendi hesap bilgileri (yetkili ad-soyad, e-posta, oturum/IP verisi, faturalandırma verisi) bakımından rankzupAI kendi meşru amaçları için veri sorumlusudur.
• Veri işleyen olarak: Müşteri'nin panele girdiği ve hizmet aracılığıyla işlediği içerik (proje verileri, izleme sorguları, rakip listeleri vb.) bakımından rankzupAI, Müşteri'nin talimatları doğrultusunda hareket eden veri işleyendir. Bu içeriğin kapsamını ve amacını Müşteri belirler.

3. İşlemenin Konusu, Süresi ve Amacı

• Konu: Markanın yapay zeka platformlarındaki (OpenAI/ChatGPT, Google/Gemini) görünürlüğünün ölçülmesi, raporlanması ve izlenmesi.
• Süre: Müşteri'nin aboneliği aktif olduğu süre boyunca; sözleşme sona erdiğinde aşağıda 8. maddedeki silme/iade hükümleri uygulanır.
• Amaç: Yalnızca hizmetin sunulması, sürdürülmesi ve Müşteri'ye raporlanması.

4. İşlenen Veri Kategorileri

Hizmet kapsamında aşağıdaki veri kategorileri işlenir (KVKK Aydınlatma Metni ile tutarlıdır):

• Kimlik ve iletişim verisi: yetkili kullanıcı ad-soyad ve e-posta adresi.
• İşlem güvenliği verisi: IP adresi, oturum/çerez kimlikleri, giriş ve son görülme zaman damgaları.
• Kullanım (log) verisi: panel içi işlemler, tarama/rapor talepleri, kota kullanımı.
• Ödeme/fatura verisi: banka havalesi dekontundaki ad/unvan ve fatura bilgisi. Kart verisi (numara, son kullanma, CVV) hiçbir şekilde toplanmaz veya saklanmaz.
• Müşteri içeriği: proje adı, marka/rakip adları, sektör bilgisi ve izleme sorguları. Bu içerik kural olarak ticari/kamuya açık bilgidir ve kişisel veri içermemesi Müşteri'nin sorumluluğundadır (bkz. madde 6).

5. Alt-İşleyenler

rankzupAI, hizmeti sunmak için aşağıdaki alt-işleyenlerden yararlanır. Müşteri bu listeyi onaylamış sayılır; listede esaslı bir değişiklik olması hâlinde Müşteri makul süre önce bilgilendirilir.

• OpenAI — yapay zeka görünürlük ölçümü (ChatGPT/web arama API'si).
• Google (Gemini) — yapay zeka görünürlük ölçümü (grounding API'si).
• Anthropic (Claude) ve xAI (Grok) — tercihli motor seçildiğinde yapay zeka görünürlük ölçümü (resmi API'lar).
• SerpAPI — arama sonucu/atıf doğrulama verisi.
• SMTP e-posta sağlayıcısı — hesap ve bildirim e-postalarının gönderimi.
• Sunucu barındırma / altyapı sağlayıcısı — uygulamanın ve veritabanının çalıştırılması.
• Telegram — yalnızca Müşteri'nin kendi isteğiyle bağladığı alarm kanalı için.

6. LLM API'lerine Kişisel Veri Aktarılmaz İlkesi (KVKK m. 9)

rankzupAI'nin temel mimari ilkesi, yukarıda 5. maddede listelenen yapay zeka sağlayıcılarının (OpenAI, Google, Anthropic, xAI, DataForSEO) API'lerine hiçbir kişisel veri (ad-soyad, e-posta, IP, T.C. kimlik no vb.) gönderilmemesidir. Bu API'lere yalnızca ölçüm için gerekli olan marka adı, ürün/hizmet bilgisi, sektör ve izleme sorgusu metni iletilir.

Bu ilke sayesinde, söz konusu sağlayıcıların altyapılarının yurt dışında (örn. ABD) bulunması, KVKK madde 9 anlamında bir yurt dışına kişisel veri aktarımı rejimini tetiklemez; zira aktarılan bilgi kişisel veri niteliğinde değildir. rankzupAI, sistemi bu ilkeyi koruyacak biçimde tasarlar ve işletir.

7. Veri Güvenliği Önlemleri

• Parolalar geri döndürülemez biçimde argon2 ile saklanır; düz metin parola tutulmaz.
• Tüm istemci-sunucu iletişimi HTTPS/TLS ile şifrelenir.
• Form gönderimleri CSRF token'ı ile korunur; oturum çerezleri HttpOnly ve Secure'dur.
• Erişim, yalnızca hizmetin işletilmesi için yetkilendirilmiş kişilerle sınırlıdır (asgari yetki ilkesi).
• Düzenli veritabanı yedeği alınır; yedekler sınırlı süre saklanır.

8. Veri Saklama, İade ve Silme

Sözleşmenin sona ermesi hâlinde, Müşteri'nin talebi üzerine Müşteri içeriği makul bir süre içinde silinir, yok edilir veya (talep edilirse) iade edilir. Mevzuattan doğan saklama yükümlülükleri (örn. vergi/fatura kayıtları) saklı kalmak kaydıyla, bu süre sonunda kalan kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Ayrıntı için KVKK Aydınlatma Metni madde 6.

9. Veri İhlali Bildirimi (72 Saat Taahhüdü)

rankzupAI, kişisel veri güvenliğini etkileyen bir ihlali tespit ettiğinde, gecikmeksizin ve en geç 72 saat içinde ilgili veri sorumlusunu/Müşteri'yi bilgilendirir; ihlalin niteliği, etkilenen veri kategorileri, olası sonuçları ve alınan/önerilen önlemler hakkında makul bilgiyi paylaşır. rankzupAI, Kişisel Verileri Koruma Kurumu'na ve ilgili kişilere yapılacak bildirimlerde Müşteri'ye makul ölçüde destek olur. İhlal müdahale prosedürü operasyonel el kitabında (RUNBOOK) belgelenmiştir.

10. İlgili Kişi Haklarına Destek

rankzupAI, ilgili kişilerin KVKK madde 11 kapsamındaki haklarını (erişim, düzeltme, silme, itiraz vb.) kullanabilmesi için Müşteri'ye teknik ve idari olarak makul destek sağlar. rankzupAI'ye doğrudan ulaşan ve Müşteri'nin sorumluluğundaki veriye ilişkin talepler, gecikmeksizin ilgili Müşteri'ye yönlendirilir.

11. İletişim

Bu DPA'ya ilişkin sorular ve kurumsal tedarik süreçleri için kvkk@rankzup.ai adresinden ulaşabilirsiniz. İmzalı bir nüsha talep eden kurumsal müşteriler için ıslak/elektronik imzalı sürüm sağlanabilir.