01.11.2026 tarihli 2.9 sürümünün arşiv kopyası. Yürürlükteki sürüm: Kişisel verilerin işlenmesine ilişkin sözleşme
Sürüm 2.9 · 01.11.2026
Bilgi amacıyla sunulan çeviri. Yalnızca Fransızca metin bağlayıcıdır. Fransızca metni okuyun
Yalnızca A kapsamı: Kalisme Pro erişim haklarının yönetimi. Kalisme’nin kurumsal müşterilerine yönelik sözleşme modeli. Sürüm 2.9 · 01.11.2026
Müşteri, bundan sonra “Veri Sorumlusu” olarak anılacaktır
Unvan: (Müşteri tarafından doldurulacaktır)
Merkez: (Müşteri tarafından doldurulacaktır)
Temsilen: (Müşteri tarafından doldurulacaktır)
Sözleşmesel bildirimler için başvuru adresi: (Müşteri tarafından doldurulacaktır)
İhlal bildirimleri için iletişim (e-posta adresi): (Müşteri tarafından doldurulacaktır)
Bir olay hâlinde ulaşılabilecek telefon: (Müşteri tarafından doldurulacaktır)
Varsa veri koruma görevlisi (adı ve e-posta adresi): (Müşteri tarafından doldurulacaktır)
Bu son dört satır, işbu sözleşme anlamında belirlenen iletişim bilgileridir. 8. ve 13. maddeler bunlara adıyla gönderme yapar. İhlaller için bir iletişim adresi belirtilmemişse, genel satış koşullarının “Bildirimlerin şekli” hükmü uyarınca portaldaki hesap yöneticisinin adresi onun yerine geçer. Bu iletişim bilgilerini güncel tutarsınız; Kalisme sizin belirlemediğiniz bir alıcıyı aramakla yükümlü değildir.
Diğer tarafta
Kalisme Kaynar, Vaud kantonu ticaret siciline kayıtlı (IDE CHE-180.420.792), işletme sahibi Hakan Kaynar olan, İsviçre hukukuna tabi şahıs işletmesi, Route des Plaines-du-Loup 78, 1018 Lausanne, İsviçre, bundan sonra “Kalisme” olarak anılacaktır. Gizlilik iletişim adresi: founder@kalisme.com
Kalisme’nin Avrupa Birliği’ndeki temsilcisi (Genel Veri Koruma Tüzüğü, GDPR, m. 27)
Bir temsilcinin atanması hiçbir sorumluluğu devretmez: GDPR m. 27 f. 5 uyarınca, Kalisme’nin kendisine karşı açılacak davalara engel olmaz. Kalisme, Birlik’teki temsilcisinin kimliğini ve iletişim bilgilerini, atanır atanmaz sözleşmesel bildirimler için belirlediğiniz başvuru adresine yazılı olarak bildirir; bu bildirim işbu sözleşmenin değiştirilmesi sonucunu doğurmaz.
İşbu sözleşme, her ikisi de bir veri işleyene başvurulmasını düzenleyen GDPR m. 28 ((AB) 2016/679 sayılı Tüzük) ve revize edilmiş İsviçre Federal Veri Koruma Kanunu (LPD) m. 9 uyarınca kurulmuştur. Birleşik Krallık’ta yerleşik bir Müşteri için GDPR’a yapılan atıflar, Tüzüğün Birleşik Krallık’ta uygulandığı biçimiyle (UK GDPR) ve bu hukukun karşılık gelen hükümleri olarak anlaşılır.
Sözleşme yalnızca A kapsamına, yani erişim haklarının yönetimine ilişkindir. Kalisme bu kapsamda, sizin adınıza ve yalnızca sizin talimatlarınızla, finansmanını sağladığınız erişim haklarının atanması, etkinleştirilmesi ve izlenmesi için gerekli verileri işler: kurumsal e-posta adresi, etkinleştirme belirteci, erişim hakkının durumu, zaman damgaları, yönetim kaydı ve portalınızdan başlattığınız anonim anketlere verilen yanıtlar. 1 numaralı ek bunların ayrıntısını verir. Yakın üç işleme faaliyeti Kalisme tarafından kendi adına, veri sorumlusu sıfatıyla yürütülür ve sizin talimatlarınıza tabi değildir: indirimli bir tarife için yüklediğiniz statüyü kanıtlayan belgenin doğrulanması (1 numaralı ek, A3), bir pilotun anketlerindeki iki iyi oluş ve stres ölçeği (1 numaralı ek, A4) ve erişim haklarının faturalandırılması (madde 7).
Ürün ikinci bir kapsama, B kapsamına dayanır: bir çalışanın defterine yazdıkları, sohbet arkadaşı Kal’a gönderdikleri ya da Le Cercle’da paylaştıkları. Bu kapsamda Kalisme sizin veri işleyeniniz değildir: siz hiçbir şey almazsınız, hiçbir talimat vermezsiniz ve bu işleme faaliyetlerinin amaçlarını ve araçlarını yalnızca Kalisme belirler. Dolayısıyla Kalisme bu kapsamda, GDPR m. 4 b. 7 ve LPD m. 5 (tanımlar) anlamında veri sorumlusu olarak, doğrudan ilgili kişiye karşı sorumludur.
Çalışanlarınızın hizmeti kişisel olarak kullanması işbu sözleşmenin kapsamında değildir. Bu kullanım, size bu sözleşmeyle birlikte verilen aydınlatma metninde açıklanır. Bu aydınlatma metni bir sözleşme değildir, imzalanmaz, size hiçbir yükümlülük yüklemez ve açıkladığı işleme faaliyetleri üzerinde size hiçbir hak tanımaz. Onu çalışanlarınıza, onların temsilci kurullarına ve iş sağlığı biriminize iletebilirsiniz. Aynı tarafsızlık ifadesi, genel satış koşullarının 7. maddesinde ve 12. maddesindeki “Bütünlük ve öncelik sırası” fıkrasında da yer alır: üç belge aynı kuralı taşır, aydınlatma metni Müşteri’yi bağlamaz ve ona hiçbir hak tanımaz.
Bu ayrım bir iç politika değil, teknik bir özelliktir ve vaat edilmekten çok ölçülür. Bu ayrımı taşıyan üç önlem, her birinin ispat yöntemiyle birlikte 2 numaralı ekte yer alır: ikisi uygulamanın kodunda doğrulanır, üçüncüsü üretim veritabanında tespit edilir ve bu tespitin tarihini taşır.
Sizin tarafınızda üstlenilmesi gereken sonuç: Kalisme size bireysel kullanıma ilişkin bir kontrol paneli ya da birini yeniden tanımlanabilir kılacak kadar ayrıntılı, kişi veya ekip bazında bir iyi oluş göstergesi sağlayamaz. Projeniz buna dayanıyorsa bunu şimdi söylemeniz gerekir: Kalisme bunu yapmayacaktır.
Buna karşılık Müşteri’nin elde ettikleri 2 numaralı ekte belirtilmiştir: üç toplu büyüklüğü, yalnızca üçünü, 20 etkinleştirilmiş erişim hakkı ve hücre başına 10 kişi şeklindeki çifte gösterim eşiği altında sunan bir katılım sayfası: etkinleştirilmiş erişim hakkı sayısı, satın alınmış erişim hakkı sayısı ve birincisini ikincisine oranlayan benimsenme oranı.
Müşteri’nin kurum içinde ileri sürebileceği: https://kalisme.com/pro/charte/ adresinde ya da onun yerini alacak her adreste yayımlanan ve basit bir talep üzerine tarihli bir belge olarak verilen yönetsel amaçla kullanmama taahhütnamesi. Bu taahhütnameyle Müşteri, hizmetin kullanılmasını ya da kullanılmamasını bir değerlendirme ölçütü yapmamayı kabul eder; Kalisme ise, 1 numaralı ekte açıklanan yönetim verileri (erişim hakkının durumu ve tarihi, her cihazın açılış tarihi, yönetim kaydına yazılan işlemler) dışında ve taahhütnamenin yazdığı çekince saklı kalmak kaydıyla, hiçbir tablonun, hiçbir anahtarın ve hiçbir kaydın bir kişiyi uygulamadaki bir içeriğe ya da bir kullanıma bağlamadığını ortaya koyar; söz konusu çekince, mesajları Kal’a ileten sunucunun Kal’ın günlük sınırlarını uygulamak için erişim hakkı başına tuttuğu ve ardından silinen günlük mesaj sayacıdır.
Süreler. İşbu sözleşmedeki her süre, açıkça İsviçre hukuku anlamında iş günü olarak belirtilmedikçe takvim günü olarak hesaplanır. İstisna, dosyanın tamamında aynı olan tek bir kategoriyi kapsar: Kalisme’nin kendisine özgü kısa yanıt, alma ya da sağlama süreleri. Bu kapsamdaki süreler yalnızca 8. maddenin ikinci aşamasında ve 11. maddenin 1. ve 2. düzeylerinde öngörülen Kalisme yanıt süreleridir. Bunun nedeni 11. maddedeki tablonun ardından yazılmıştır.
Tarihler. İşbu sözleşmedeki ve eklerindeki her tarih, ölçüm ve tespit tarihleri de dahil olmak üzere gün, ay, yıl biçiminde (GG.AA.YYYY) yazılır. Bir tespit tarihinin bir sözleşme tarihinden farklı okunmaması için başka hiçbir biçim kullanılmaz.
Erişim hakkı durumlarının terimleri, size verilen belgelerin tamamı için belirlenmiştir. Bir erişim hakkı, belirlediğiniz bir çalışana tahsis edildiğinde atandı, bu çalışan onu kullandığında etkinleştirildi, siz bu tahsise son verdiğinizde serbest bırakıldı durumundadır. Genel satış koşullarında, işbu sözleşmede ve yönetsel amaçla kullanmama taahhütnamesinde yalnızca bu üç terim kullanılır. Veritabanının iç değerleri hiçbir teknik belgenin dışına çıkmaz ve bu nedenle burada yer almaz.
Diğer terimler. Faturalandırma ve tahsis birimine erişim hakkı denir, hiçbir zaman “lisans” ya da “koltuk” denmez: erişim hakkı, uygulamayı kullanmaya yönelik kişiye özgü haktır. Erişim hakkı atadığınız kişiye çalışan denir. Ana sözleşmenin uygulama ve içerikleri üzerinde size tanıdığı hakka kullanım hakkı denir; “lisans” sözcüğü yalnızca, işbu sözleşmenin kapsamına girmeyen Manifesto’nun CC BY-NC-SA 4.0 kamu lisansı için kullanılır.
Kalisme, A kapsamındaki verileri işbu sözleşmeye uygun olarak işlemeyi taahhüt eder. 1 numaralı ek, ilgili dört işleme faaliyetinin her biri için işlemenin niteliğini, amacını, veri kategorilerini, ilgili kişileri ve saklama süresini açıklar.
Kalisme, A kapsamındaki verileri, aktarımlar da dahil olmak üzere, yalnızca Veri Sorumlusu’nun belgelenmiş talimatı üzerine işler; Kalisme’nin tabi olduğu bir yasal yükümlülük hâli saklıdır (GDPR m. 28 f. 3 b. a). Bu son durumda Kalisme, kanunen yasaklanmadıkça, işlemeye başlamadan önce sizi bundan haberdar eder.
İşbu sözleşme, sipariş ve portaldan gerçekleştirilen işlemler sizin belgelenmiş talimatlarınızı oluşturur. Diğer her talimat yazılı olarak verilir; hizmetin kapsamadığı bir geliştirme ya da iş gerektiriyorsa, önceden bir teklif konusu olur ve ancak bu teklifin yazılı olarak kabulünden sonra yerine getirilir.
Kalisme, bir talimatın GDPR’ı, LPD’yi ya da uygulanabilir başka bir hükmü ihlal ettiği kanısına varırsa sizi gecikmeksizin bilgilendirir (GDPR m. 28 f. 3 son alt paragraf). Bu durumda talimatın yerine getirilmesini, siz onu yazılı olarak değiştirene ya da teyit edene kadar askıya alabilir; bir teyit, Kalisme’yi uygulanabilir hukuka aykırı bir talimatı yerine getirmekle yükümlü kılmaz.
Verileri işlemeye yetkili kişiler sözleşmesel bir gizlilik yükümlülüğüne tabidir (GDPR m. 28 f. 3 b. b). Kalisme’nin bugün hiçbir personeli yoktur: erişim, işletme sahibiyle sınırlıdır. Bu durumdaki her değişiklik, kişi başına yazılı taahhütlerin alınmasını gerektirir ve size bildirilir.
GDPR m. 32 uyarınca alınan teknik ve idari tedbirler 2 numaralı ekte yer alır. Bu tedbirler en az yılda bir kez ve mimaride her önemli değişiklikte yeniden değerlendirilir.
2 numaralı ek, bu tedbirlerin sınırlarını da geçiştirmek yerine açıkça ortaya koyar.
Kalisme, mümkün olduğu ölçüde ve işlemenin niteliğini göz önünde bulundurarak, GDPR m. 15 ila 22’de öngörülen hakların ve LPD’nin ilgili kişiye tanıdığı karşılık gelen hakların kullanılmasına yönelik taleplere, bu talepler A kapsamına ilişkin olduğu ölçüde, yanıt vermeniz için size yardımcı olur (GDPR m. 28 f. 3 b. e).
B kapsamına ilişkin talepler işbu sözleşmenin konusu değildir ve sizin herhangi bir müdahalenizi gerektirmez: bunlar, girişte anılan aydınlatma metnine göre doğrudan Kalisme tarafından ele alınır.
GDPR m. 28 f. 2 ve 4 ile LPD m. 9 f. 3 anlamında, Kalisme’nin 3 numaralı ekte listelenen alt işleyicilere başvurmasına izin verirsiniz. Kalisme onlara, sözleşme yoluyla, veri koruma konusunda işbu sözleşmedeki yükümlülüklerin aynısını yükler; gerektiğinde bunu onların kendi veri işleme sözleşmeleri aracılığıyla yapar ve bu sözleşmelerin GDPR m. 28 f. 4’teki güvenceleri sağladığını doğrular. Kalisme, onların ifasından size karşı, genel satış koşullarının 10. maddesinin sınırları içinde sorumlu olmaya devam eder.
Her değişiklik, aşağıdaki beş aşamalı usule tabidir.
1. Önceden bildirim. Kalisme, bir alt işleyicinin her eklenmesini ya da değiştirilmesini size devreye alınmasından en az 30 gün önce yazılı olarak bildirir. Bildirim; hizmet sağlayıcının adını, rolünü, ilgili veri kategorilerini, barındırma yerini, hizmet sağlayıcının hizmetin sunulması için zorunlu olup olmadığını (genel satış koşullarının 11. maddesi) ve Avrupa Birliği ile İsviçre dışına aktarım hâlinde GDPR m. 44 ila 49 kapsamında dayanılan mekanizmayı belirtir.
2. Gerekçeli itiraz. Bildirimden itibaren 30 gün içinde, yazılı ve gerekçeli olarak itiraz edebilirsiniz. İtiraz, veri korumaya ilişkin bir gerekçeye dayanmalıdır: GDPR m. 28 f. 4 anlamında yetersiz güvenceler, GDPR m. 44 ila 49 anlamında geçerli bir mekanizmadan yoksun aktarım ya da veri sorumlusu olarak kendi yükümlülüklerinizle kanıtlanmış bir bağdaşmazlık. Gerekçesiz ya da veri koruma dışındaki bir gerekçeye dayanan itiraz, devreye almayı askıya almaz; yalnızca, bildirimden itibaren aynı 30 günlük süre içinde, 4. aşamadaki fesih hakkını size açar.
3. Çözüm arayışı. Gerekçeli itiraz, yeni alt işleyicinin sizin verileriniz için devreye alınmasını askıya alır. Bu durumda taraflar bir çözüm aramak için 30 güne sahiptir: itirazın gerekçesini ortadan kaldıran ek bir tedbir, alternatif bir hizmet sağlayıcı ya da yalnızca sizin kuruluşunuz için mevcut hizmet sağlayıcının korunması. Kalisme size yazılı ve gerekçeli olarak yanıt verir.
4. Fesih, ancak son çare olarak. Bu süre içinde hiçbir çözüm bulunamazsa, taraflardan her biri ilgili hizmeti 30 günlük bildirim süresiyle feshedebilir. Gerekçesiz bir itirazdan sonra ise aynı bildirim süresiyle yalnızca siz feshedebilirsiniz.
5. Acil değişiklik. Bir alt işleyicinin ifada bulunamaması, faaliyetine son vermesi ya da güvenlik yükümlülüklerine aykırı davranması derhal değiştirilmesini zorunlu kıldığında, Kalisme 1. aşamadaki süreyi beklemeden değişikliği yapar ve sonraki 7 gün içinde, 1. aşamadaki bilgileri içerecek şekilde size yazılı olarak bildirir. Bu durumda 2 ila 4. aşamalar bu bildirimden itibaren uygulanır.
Bu feshin mali sonuçları. Bunlar burada yazılı değildir ve bu bilinçli bir tercihtir. Bunlar, genel satış koşullarının 11. maddesindeki “Bir alt işleyiciye itiraz” fıkrasında yer alır; işbu bent, çözümsüz kalan gerekçeli bir itirazın ardından gelen fesih için o fıkraya gönderme yapar; diğer her fesih aynı maddenin genel kurallarına tabidir. Bedelleri, faturalandırmayı ve bir feshin mali sonuçlarını düzenleyen, genel satış koşullarıdır. İşbu sözleşme, bunların mali hükümlerinden hiçbirini değiştirmez ya da etkisiz kılmaz.
Neden bir istisna yerine bu gönderme. Genel satış koşullarının 12. maddesi önceliği konuya göre paylaştırır: kişisel verilerin işlenmesine ilişkin her konuda işbu sözleşme önceliklidir; fiyatlar, bedeller, süre, faturalandırma, sorumluluk ve fesih konusunda ise, feshin sebebi işbu sözleşmenin bir hükmünde bulunsa bile, genel satış koşulları önceliklidir. Dolayısıyla burada yazılacak bir mali karşılık hiçbir sonuç doğurmazdı. Bu karşılık, sonucunu doğurduğu yerde yazılıdır.
A kapsamındaki verilerin depolanması ve barındırılması Avrupa Birliği içinde gerçekleşir: Fransa’da OVH SAS, Almanya’da Hetzner Online GmbH (Falkenstein veri merkezi). İsviçre ve Avrupa Birliği, birbirlerinin yeterli bir koruma düzeyi sağladığını karşılıklı olarak tanır.
Portal e-postaları (yönetici giriş bağlantıları, çalışan davetleri, imza davetleri): 01.10.2026’dan bu yana, takip pikseli olmaksızın, Fransa’daki OVH SAS’ın e-posta hizmeti üzerinden gönderilir. Hiçbir aktarıma yol açmazlar.
A kapsamına komşu bir işleme faaliyetine ilişkin bir çekince vardır ve geçiştirilmek yerine yazılmıştır.
Erişim haklarının faturalandırılması: Kalisme bunu kendi hesabına, veri sorumlusu olarak, bedeli tahsil etmek ve muhasebesini tutmak amacıyla yürütür; bu faaliyet sizin talimatlarınıza tabi değildir ve hizmet sağlayıcıları 6. madde anlamında alt işleyici değildir. Burada bilgi amacıyla anılmaktadır. Hizmet sağlayıcısı Stripe Payments Europe, Limited’dır (İrlanda); yetkili ödeme hizmetleri içinse Stripe Payments UK Ltd devreye girer. Stripe, verileri Amerika Birleşik Devletleri’ndeki Stripe, LLC’ye aktarır. Stripe’ın beyan ettiği öncelik sırası önce Data Privacy Framework (Stripe, LLC bu çerçeveye öz sertifikasyonla katılmıştır), ardından Avrupa Komisyonu’nun 1, 2 ve 3 numaralı modülleriyle standart sözleşme hükümleridir. İsviçre için standart hükümler, denetim makamı olarak İsviçre Federal Veri Koruma ve Şeffaflık Görevlisi ile uygulanır.
Sohbet arkadaşı bu maddenin kapsamına girmez: B kapsamına girer ve Kalisme’ye emanet ettiğiniz hiçbir veriyi kapsamaz. 24.09.2026’dan bu yana, Avrupa Birliği’ndeki çalışanlarınıza varsayılan olarak Amazon Web Services EMEA SARL üzerinden sunulmaktadır. Hizmet sağlayıcıları 3 numaralı ekte anılır ve girişte anılan aydınlatma metninde açıklanır.
Her durumun ayrıntısı 3 numaralı ekte yer alır.
Kalisme, A kapsamını etkileyen her veri ihlalini, kendi bildirim yükümlülüklerinize uymanız için gereken payı size bırakacak şekilde tasarlanmış üç aşamalı bir düzenek uyarınca size bildirir (GDPR m. 33 ve 34, LPD m. 24).
İhlalin öğrenilmesi. Her aşamanın geri sayımı, Kalisme’nin, bir olayın A kapsamındaki verilerin gizliliğini, bütünlüğünü ya da kullanılabilirliğini kazara veya hukuka aykırı biçimde tehlikeye attığından makul bir kesinlik derecesinde emin olduğu andan itibaren başlar. Teyit edilmemiş bir işaret birinci aşamayı başlatmaz, ancak derhal bir incelemenin açılmasına yol açar.
Birinci aşama, derhal uyarı. Kalisme, bu şekilde tanımlanan öğrenme anından itibaren gereksiz gecikme olmaksızın ve en geç 48 saat içinde, “Bir tarafta” bloğunun “İhlal bildirimleri için iletişim” satırına yazdığınız e-posta adresine bildirimde bulunur. Kalisme bu bildirime, aynı blokta belirttiğiniz numaraya yapılacak bir aramayla eşlik edebilir. Bu ilk uyarı şunları içerir: olayın o an bilinen niteliği, keşfedildiği tarih ve saat, şimdiden belirlenebiliyorsa ilgili veri kategorileri ve yaklaşık hacim, derhal alınan sınırlama tedbirleri.
İkinci aşama, ek bilgi. Kalisme, ek unsurlar elde edilir edilmez ve en geç birinci aşamadan sonraki 5 iş günü içinde, aynı adrese yazılı olarak şunları içeren bir ek bilgi gönderir: olayın güncellenmiş nitelendirmesi (ihlal teyit edildi, ihlal ihtimali dışlandı ya da inceleme sürüyor), ilgili kişilerin kategorileri ve tahmini sayısı, olası sonuçlar, alınmış ve öngörülen tedbirler ve ilgili kişiye bildirim yapıp yapmama konusundaki kendi kararınızı aydınlatmaya yönelik bir risk düzeyi değerlendirmesi.
Üçüncü aşama, nihai rapor. Kalisme, iç incelemesini tamamladığında ve en geç bu tamamlanmadan sonraki 30 gün içinde, size yazılı olarak şunları içeren bir nihai rapor gönderir: olayın eksiksiz kronolojisi, tespit edilen neden, uygulanan düzeltici tedbirler ve olayın tekrarını önlemeye yönelik deneyim değerlendirmesi.
Veri koruma görevlisinin bilgilendirilmesi. “Bir tarafta” bloğunun “Varsa veri koruma görevlisi” satırını doldurduysanız, bu görevli yukarıdaki üç aşamanın birer kopyasını aynı tarihlerde alır.
Bu düzenek yalnızca A kapsamını kapsar. B kapsamı için Kalisme, GDPR m. 28 ya da LPD m. 9 anlamında veri işleyen değildir: kendi işleme faaliyetleri kaydının usullerine göre doğrudan ilgili kişiye karşı sorumludur ve bu bakımdan size ne uyarı, ne ek bilgi, ne de rapor borçludur. Bir olay iki kapsamı birlikte etkilerse, yalnızca A kapsamına ilişkin kısmı bu maddeye tabidir.
| Aşama | Tetikleyici | Süre | İçerik | Alıcı |
|---|---|---|---|---|
| 1 · Derhal uyarı | Bir olayın A kapsamındaki verileri tehlikeye attığına ilişkin makul kesinlik derecesi | Öğrenmeden itibaren 48 saat | Bilinen nitelik, keşif tarihi ve saati, belirlenebiliyorsa kategoriler ve yaklaşık hacim, alınan sınırlama tedbirleri | “Bir tarafta” bloğundaki ihlal iletişim adresi |
| 2 · Ek bilgi | Olayın nitelendirilmesinde ilerleme | Birinci aşamadan sonra 5 iş günü | Güncellenmiş nitelendirme, ilgili kişilerin kategorileri ve tahmini sayısı, olası sonuçlar, alınan ve öngörülen tedbirler, risk değerlendirmesi | Aynı adres, yazılı olarak |
| 3 · Nihai rapor | İç incelemenin tamamlanması | Tamamlanmadan sonra 30 gün | Eksiksiz kronoloji, tespit edilen neden, düzeltici tedbirler, deneyim değerlendirmesi | Aynı adres, yazılı olarak |
İşbu sözleşme kapsamında, yukarıdaki tablodakiler dışında hiçbir bildirim süresi Kalisme’ye karşı ileri sürülemez. Üç aşamalı bu düzenek, tek kişilik bir yapının gerçekten yerine getirebileceği ölçüye göre ayarlanmıştır ve dosyadaki tek düzenektir.
Kalisme, sahip olduğu bilgilerle sınırlı olarak, veri koruma etki değerlendirmeleriniz ve ön danışmalarınız için size destek verir (GDPR m. 35 ve 36, LPD m. 22 ve 23). Kalisme’nin kendi işleme faaliyetleri hakkında yaptığı etki değerlendirmesi, talep üzerine ve 11. maddenin 1. düzeyindeki koşullarla size iletilebilir.
Hizmetin sonunda ve yazılı olarak bildireceğiniz tercihe göre Kalisme, A kapsamındaki verileri 30 gün içinde siler ya da size iade eder ve mevcut kopyaları imha eder; yasal bir saklama yükümlülüğü saklıdır (GDPR m. 28 f. 3 b. g).
Bu tercihi en geç hizmetin sona ermesinden sonraki 15 gün içinde yazılı olarak bildirirsiniz. Bildirmezseniz veriler silinir. İade, korumalı ve süresi sınırlı bir indirme bağlantısıyla iletilen CSV biçimindeki dosyalar şeklinde yapılır; başka her biçim önceden bir teklif konusu olur.
Bu süreye biri sözleşmesel, diğeri teknik iki çekince uygulanır.
Yönetim kaydı 30 günlük silme kapsamında değildir. İşbu sözleşmeyi imzalayarak Kalisme’ye, bu kaydı 1 numaralı ekte belirtilen süre boyunca, değiştirilemez bir tabloda eksiksiz saklama talimatı verirsiniz. Hizmetin sona ermesinden sonra Kalisme bu kaydı ayrıca, sözleşmenin ifasının ispatı ve hakların tespiti, kullanılması veya yargı önünde savunulması amaçlarıyla kendi hesabına saklar. Bu kayda erişim Kalisme’nin işletme sahibiyle sınırlıdır. Satırları hiçbir şekilde kısaltılamaz, ayıklanamaz ya da kısmen yeniden yazılamaz: ona ispat değerini veren veritabanı tetikleyicileri her türlü güncellemeyi de engeller. Bu kayıttan belirli bir tarihte satır ya da alan çıkarmayı vaat eden bir hüküm ifa edilemezdi; ne işbu sözleşmede ne de genel satış koşullarında böyle bir hüküm yer alır.
Silme işlemi büyük ölçüde elle yapılan bir işlem olarak kalmaktadır. Yönetim platformunda 26.08.2026’da, ardından 09.10.2026’da yapılan ölçüme göre, yalnızca tek bir veri otomatik olarak silinir: bireysel davetlerin e-posta adresi, sözleşmenin sona ermesinden otuz gün sonra. A kapsamındaki diğer veriler ve bunların dışa aktarımı için hiçbir otomatik rutin yoktur: bunlar için 30 günlük süre, elle yerine getirilen sözleşmesel bir taahhüttür, uygulanmış bir mekanizma değildir. Bu sınır, daha sonra keşfedilmek yerine burada beyan edilmektedir.
Kalisme, GDPR m. 28 ve İsviçre LPD m. 9 kapsamındaki yükümlülüklerine uyduğunu, en hafifinden en ağırına dört düzeyli bir düzenekle gösterir. Bir düzeye erişim, bir önceki düzeyin sonuna kadar yürütülmüş ve talebinizi karşılamaya yetmemiş olmasını gerektirir; 4. düzeyin doğrudan açıldığı durumlar bunun istisnasıdır (A kapsamını etkileyen gerçekleşmiş bir veri ihlali ya da bunu gerektiren bir yasal yükümlülük).
1. düzey, belgeler. İki belge grubuna ayrılır; bu gruplar aynı rejime tabi değildir.
Kamuya açık belgeler, koşulsuz ve taahhüt aranmaksızın iletilir. Cloud Security Alliance’ın CAIQ v4.1 öz değerlendirmesi (283 soru), Cloud Security Alliance’ın STAR kamu sicilinde, https://cloudsecurityalliance.org/star/registry/kalisme/services/kalisme adresinde yayımlanmıştır. Onu önceden talepte bulunmaksızın, beklemeksizin ve karşılıksız olarak serbestçe inceleyebilir ve indirebilirsiniz. Kalisme bu belgeye hiçbir gizlilik yükümlülüğü bağlamaz: herkesin indirebildiği bir belge üzerinde bu türden bir taahhüt ileri sürülemezdi.
İç belgeler, yazılı taahhüt karşılığında iletilir. Basit bir yazılı talep üzerine Kalisme, 5 iş günü içinde size işleme faaliyetleri kaydını, Kal AI’a ilişkin etki değerlendirmesini ve alt işleyiciler ekini iletir. Bu belgeler Kalisme’nin güvenlik düzeneğini ve alt işleyicilerini açıklar: bunlar size iletilmeden önce, onları yalnızca kendi uygunluk değerlendirmeniz amacıyla kullanacağınızı, aynı yükümlülükle bağlı bir danışman ya da denetçi dışında hiçbir üçüncü kişiye yaymayacağınızı ve onlara kendi gizli bilgilerinize gösterdiğiniz özeni göstereceğinizi yazılı olarak taahhüt edersiniz.
Bu düzey hiçbir sıklık sınırına tabi değildir ve size hiçbir maliyet doğurmaz: bunlar zaten yazılmış ve güncel tutulan belgelerdir. Okumanın ardından belirli bir soru bu belgelerde yanıt bulamazsa 2. düzeye erişim sağlar.
2. düzey, hedefli yazılı soru listesi. 1. düzeydeki belgelerin kapsamadığı ve yalnızca A kapsamına ilişkin belirli soruları yazılı olarak iletirsiniz. Kalisme bunları, alındıkları tarihten itibaren 20 iş günü içinde, madde madde yazılı olarak yanıtlar. Bu düzey, yeni bir olgu ortaya çıkmadıkça (veri ihlali, mimaride önemli değişiklik) her 12 aylık dönemde bir kez açıktır. Kalisme’nin harcadığı süre 5 saate kadar Kalisme tarafından karşılanır; bunun ötesindeki ek süre, Kalisme’nin işe girişmeden önce bir süre tahminiyle birlikte size yazılı olarak bildirdiği, vergiler hariç saat ücreti üzerinden faturalandırılır; bu ücrete yazılı onayınız olmadan Kalisme ek süreye girişmez ve bu düzey karşılanan 5 saatle sınırlı kalır. Aldığınız yanıtları gizli tutmayı yazılı olarak taahhüt edersiniz. Yazılı yanıtlar gerekçeli bir şüphe bırakırsa ya da sorunuz yazılı bir açıklamadan çok canlı bir gösterim gerektiriyorsa, bu düzey 3. düzeye erişim sağlar.
3. düzey, uzaktan doğrulama oturumu. Kalisme, işletme sahibinin katılımıyla, işbu sözleşmenin 2 numaralı ekinde açıklanan teknik ve idari kontrollerin ekran paylaşımını içeren, üretim verilerine ve başka bir müşterinin hiçbir verisine erişim sağlamayan bir video konferans görüşmesi düzenler. Oturum, talebinizden sonraki 30 gün içinde düzenlenir. Bu düzey her 12 aylık dönemde bir kez açıktır. Her taraf kendi katılım masraflarını üstlenir; Kalisme’nin iki saati aşan oturum süresi 2. düzeydeki saat ücreti üzerinden faturalandırılır. Gizliliği ve Kalisme’nin açık onayı olmadan oturumu kaydetmemeyi yazılı olarak taahhüt edersiniz. Oturum, GDPR m. 28 ya da LPD m. 9’daki bir yükümlülüğe uyulduğu konusunda ciddi ve belgelenmiş bir şüphe ortaya koyarsa ya da GDPR m. 33 anlamında A kapsamını etkileyen gerçekleşmiş bir veri ihlalinin ardından yapılırsa, bu düzey 4. düzeye erişim sağlar.
4. düzey, yetkilendirilmiş üçüncü bir kişi tarafından uzaktan inceleme veya denetim. En az 30 gün önceden yazılı bildirimde bulunarak, bizzat ya da yetkilendirdiğiniz üçüncü bir denetçi aracılığıyla bir inceleme ya da kapsamlı bir denetim yaptırabilirsiniz. Bu düzey normalde 3. düzeyden sonra açılır, ancak işbu maddenin başında belirtilen iki durumda, 1 ila 3. düzeylerden geçmeksizin doğrudan açılır: A kapsamını etkileyen gerçekleşmiş bir veri ihlali ya da bu düzeye erişimi gerektiren bir yasal yükümlülük. Bu düzey kesinlikle A kapsamıyla sınırlıdır: erişim haklarının yönetimi ve buna hizmet eden sistemler. B kapsamındaki sistemlere ve verilere (Kal AI, defter, Le Cercle) erişimi açıkça hariç tutar; Kalisme ortak kullanımlı bir platform işlettiğinden, başka bir müşteriye ilişkin her veriyi de aynı şekilde hariç tutar. Bu düzey, Kalisme’nin barındırma hizmet sağlayıcılarının (OVH, Hetzner) tesislerine erişim sağlamaz: Kalisme’nin kendisinin de orada devredebileceği hiçbir fiziksel erişimi yoktur. Kalisme hiçbir iş yeri işletmediğinden inceleme uzaktan, belgeler üzerinden ve paylaşılan ekranda yürütülür. Bu düzeyin masrafları, Kalisme’nin 2. düzeydeki saat ücreti üzerinden harcadığı süre de dahil olmak üzere, tamamen size aittir. Bu düzey her 12 aylık dönemde bir kez açıktır; önceki 12 ay içinde A kapsamını etkileyen gerçekleşmiş bir veri ihlali, bir ek hak doğurur. Her türlü erişimden önce yetkilendirilen denetçi yazılı bir gizlilik taahhüdü imzalar; rapor taslağı, her türlü dağıtımdan önce olgusal düzeltme için Kalisme’ye iletilir ve rapor Kalisme’nin başka hiçbir müşterisinin adını vermez.
| Düzey | Elde ettiğiniz | Yanıt süresi | Azami sıklık | Maliyet | Bir sonraki düzeyin tetikleyicisi | Gizlilik |
|---|---|---|---|---|---|---|
| 1a · Kamuya açık belge | CAIQ v4.1 öz değerlendirmesi (283 soru), Cloud Security Alliance’ın STAR kamu sicilinde | Derhal, serbest erişimle | Sınırsız | Yok | Belirli bir soru yanıtsız kalır | Hiçbir taahhüt yok, belge kamuya açıktır |
| 1b · İç belgeler | İşleme faaliyetleri kaydı, Kal AI etki değerlendirmesi, alt işleyiciler eki | 5 iş günü | Sınırsız | Kalisme’ye ait | Belirli bir soru bu belgelerde yanıtsız kalır | Önceden yazılı taahhüt: kullanım, kendi uygunluk değerlendirmenizle sınırlı; aynı yükümlülükle bağlı danışman ya da denetçi dışında üçüncü kişiye dağıtım yok |
| 2 · Hedefli yazılı soru listesi | 1. düzeyin kapsamadığı sorularınıza madde madde yazılı yanıtlar | 20 iş günü | 12 aylık dönemde 1 kez (yeni bir olgu dışında) | 5 saate kadar Kalisme’ye ait, ötesinde yazılı olarak bildirilen ve kabul edilen saat ücreti | Okumanın ardından gerekçeli şüphe ya da canlı gösterim ihtiyacı | Alınan yanıtlar için yazılı gizlilik taahhüdü |
| 3 · Uzaktan doğrulama oturumu | Video konferans görüşmesi, 2 numaralı ekteki kontrollerin ekran paylaşımı, üretim verilerine erişim olmadan | Düzenlenmesi için 30 gün | 12 aylık dönemde 1 kez | Herkes kendi katılım masraflarını üstlenir; 2 saati aşan süre için Kalisme’ye 2. düzeyin saat ücreti | Ciddi ve belgelenmiş şüphe ya da gerçekleşmiş bir ihlalin ardından denetim (GDPR m. 33) | Yazılı gizlilik taahhüdü, Kalisme’nin açık onayı olmadan hiçbir kayıt yok |
| 4 · Yetkilendirilmiş üçüncü kişi tarafından uzaktan inceleme veya denetim | A kapsamıyla sınırlı, uzaktan, belgeler üzerinden ve paylaşılan ekranda kapsamlı inceleme ya da denetim | 30 gün önceden yazılı bildirim | 12 aylık dönemde 1 kez (önceki 12 ay içinde gerçekleşmiş bir ihlal varsa bir ek hak) | Kalisme’nin süresi dahil tamamen size ait | (son düzey) | Denetçinin imzaladığı yazılı gizlilik taahhüdü, olgusal düzeltmeye sunulan rapor taslağı, diğer müşteriler bakımından anonimleştirilmiş nihai rapor |
Bu iki süre neden işbu sözleşmenin süre sisteminden ayrılır. 5 ve 20 iş günlük süreler Kalisme’nin yanıt süreleridir, hiçbir zaman size karşı ileri sürülen süreler değildir. Dosyanın geri kalanını yöneten 30 günden kısadırlar, çünkü zaten yazılmış belgelere ya da yazılı yanıtlara ilişkindirler; iş günü olarak hesaplanırlar, çünkü Kalisme tek kişilik bir yapıdır ve erişilebilirliği İsviçre hukukundaki iş günlerini izler. 12 aylık dönemde bir kez sıklığı bir süre değil, bir kullanım sınırıdır.
Denetim makamının yetkileri saklıdır. Dört düzeyli bu düzenek, yetkili bir denetim makamının GDPR m. 58 ile kendisine tanınan soruşturma ve düzeltici tedbir yetkileri kapsamında ya da, İsviçre Federal Veri Koruma ve Şeffaflık Görevlisi için, LPD m. 49 ile kendisine tanınan soruşturma açma yetkisi kapsamında yürüttüğü denetimlere uygulanmaz: böyle bir denetim, ilgili makamın kendine özgü kurallarına göre, önceden bildirim olmaksızın, sıklık sınırı olmaksızın ve yukarıda açıklanan masraf paylaşımı uygulanmaksızın yürütülür.
Kalisme’nin bugüne kadar hiçbir SOC 2 ya da ISO 27001 sertifikası yoktur; 2 numaralı ek de beyan ettiği sınırlar arasında bunu yineler. Faaliyet bunu haklı kılarsa böyle bir sürece girişilecektir. Bu düzeneğin 1. düzeyi, aradaki dönemde tam da bu boşluğu doldurur.
İşbu sözleşme hizmetin tüm süresi boyunca uygulanır ve Kalisme A kapsamına giren verileri elinde bulundurduğu sürece, 1 numaralı ekte öngörülen yönetim kaydı saklama süresi boyunca da dahil olmak üzere, hizmetin sona ermesinden sonra da yürürlükte kalır.
İşbu sözleşmenin konusu olan faaliyet, kurulacak, Hakan Kaynar’ın kontrolünde olan ve aynı faaliyeti sürdüren İsviçre hukukuna tabi bir şirket (“Devralan”) tarafından devralınırsa, genel satış koşullarının 12. maddesindeki “Devir” ve “Faaliyeti devralan bir şirkete devir” fıkralarına ek olarak aşağıdaki hükümler uygulanır.
1. Belgelenmiş talimatların sürekliliği. Devralan, devrin yürürlük tarihinde, 1 numaralı ekte açıklanan A kapsamındaki işleme faaliyetleri için, işbu sözleşme kapsamında GDPR m. 28 f. 1 anlamındaki veri işleyen konumunu aynı koşullarla üstlenir. O tarihte yürürlükte olan belgelenmiş talimatlar, Veri Sorumlusu yenilerini verene kadar uygulanmaya devam eder.
2. Önceden bildirim. Kalisme, Veri Sorumlusu’na, “Bir tarafta” bloğuna yazılan başvuru adresine ve portaldaki yönetici hesabının adresine, yürürlük tarihinden en az 30 gün önce, Devralan’ın hukuki şeklini, unvanını, merkezini ve işletme kimlik numarasını (IDE) ve öngörülen yürürlük tarihini yazılı olarak bildirir. Bu bildirim, genel satış koşullarının 12. maddesindeki “Faaliyeti devralan bir şirkete devir” fıkrasında öngörülen önceden bilgilendirme yerine geçer.
3. İtiraz imkânı. Veri Sorumlusu devre, yalnızca genel satış koşullarının 12. maddesindeki “Faaliyeti devralan bir şirkete devir” fıkrasında öngörülen şekil ve sürelerle itiraz edebilir; işbu sözleşmenin 6. maddesi bu devre uygulanmaz. Bu süreler içinde itiraz edilmezse devir, duyurulan yürürlük tarihinde kabul edilmiş sayılır.
4. Teknik ve idari tedbirlerin sürdürülmesi. Devralan, 2 numaralı ekte açıklanan tedbirleri, 4. maddedeki koşullarla yeniden değerlendirilene ya da değiştirilene kadar kesintisiz olarak sürdürür.
5. Alt işleyiciler ekinin güncellenmesi. 3 numaralı ek, devirden kaynaklanan her alt işleyici değişikliğini, özellikle bir barındırma hizmet sağlayıcısı değişikliğini, gerektiğinde yansıtacak şekilde 6. maddedeki usule göre güncellenir. İşbu maddenin düzenlediği, asıl veri işleyenin kimliğindeki salt değişiklik, kendi başına 3 numaralı ekte hiçbir değişiklik gerektirmez.
6. Veri koruma görevlisinin bilgilendirilmesi. Veri Sorumlusu “Bir tarafta” bloğunun “Varsa veri koruma görevlisi” satırını doldurduysa, bu görevli 2. bentte öngörülen bildirimle aynı tarihte bilgilendirilir.
7. İtiraz hâlinde. İşbu sözleşme, genel satış koşullarının 12. maddesindeki “Faaliyeti devralan bir şirkete devir” fıkrasının koşullarıyla, ana sözleşmenin öngördüğü kalan süre boyunca ve yenilenmeksizin Kalisme ile devam eder.
8. Fiyatların ve taahhütlerin sürekliliği. İşbu maddede anılan olayların hiçbiri borcun yenilenmesi, fesih, yeniden müzakere ya da fiyat değişikliği sonucunu doğurmaz. Devralan’ın yeni unvanı ve işletme kimlik numarası, yürürlük tarihinden itibaren faturalarda yer alır.
9. Nitelendirme. GDPR bakımından, sözleşmeyle birlikte devredilen işbu sözleşme Devralan’ı bağlar ve GDPR m. 28 f. 3’ün aradığı sözleşmeyi oluşturur. İsviçre hukukunda dayanak, genel satış koşullarının 12. maddesindeki dayanaktır: alacakların temlikine ve borçların üstlenilmesine önceden verdiğiniz onay (CO m. 164 f. 1 ve m. 176) ya da bir malvarlığı devri (LFus m. 69 vd.).
İşbu sözleşme ve ekleri Fransızca olarak düzenlenmiş ve imzalanmıştır. Her çeviri bilgi amacıyla sunulur; bir farklılık hâlinde yalnızca Fransızca metin esas alınır.
A kapsamı, saklama süreleri aynı olmayan dört ayrı işleme faaliyetini kapsar.
| Konu | Erişim haklarının atanması, etkinleştirilmesi, izlenmesi ve serbest bırakılması |
| Amaç | Çalışanlarınızın, finansmanını sağladığınız hizmete erişebilmesi |
| İlgili kişiler | Sizin belirlediğiniz çalışanlar, portal yöneticileri |
| Veriler | Kurumsal e-posta adresi, etkinleştirme kodu ve belirteci (hiçbir zaman açık metin olarak değil, özet değeri biçiminde saklanır), erişim hakkının durumu, atama, etkinleştirme ve serbest bırakma zaman damgaları ve erişim hakkının açıldığı her cihaz için (en fazla 10) açılış tarihi |
| Erişim hakkının durumu | Üç değer, yalnızca üç: atandı, etkinleştirildi, serbest bırakıldı |
| Özel nitelikli veriler | Yok |
| Otomatik karar | GDPR m. 22 anlamında yok |
| Saklama süresi | Sözleşme süresi artı 30 gün (işbu sözleşmenin 10. maddesi, GDPR m. 28 f. 3 b. g’nin uygulanması olarak) |
Dosyanın tamamı için tek bir terim seti. Yukarıdaki üç durum, girişteki “Sürelerin ve terimlerin okunması” bölümünde tanımlanmıştır ve genel satış koşullarında, işbu sözleşmede ve yönetsel amaçla kullanmama taahhütnamesinde kullanılan yegâne terimlerdir. Veritabanının iç değerleri hiçbir teknik belgenin dışına çıkmaz ve bu nedenle size verilen belgelerin hiçbirinde yer almaz.
Kalisme’nin bu işleme faaliyetinde toplamadıkları: ne görev, ne birim, ne hiyerarşi, ne çalışma saatleri, ne içerik, ne de bireysel kullanım istatistiği.
| Konu | Yönetim işlemlerinin kaydı: bir erişim hakkının atanması ve serbest bırakılması, bir davetin gönderilmesi, bir yöneticinin oturum açması |
| Amaç | Güvenlik ve izlenebilirlik yükümlülüklerine uyulduğunu göstermek ve sözleşmenin ifasını ispat etmek |
| İlgili kişiler | Portal yöneticileri, erişim hakkı sahibi çalışanlar |
| Veriler | Kuruluş tanımlayıcısı, işlemi yapanın tanımlayıcısı, işlemin niteliği, hedefi, zaman damgası, işlemi yapanın IP adresi |
| Saklama süresi | Satırın kaydedildiği tarihten itibaren 5 yıl |
Neden A1 işleme faaliyetinden farklı bir süre ve neden bu süre. Her ikisi de adıyla belirtilen iki dayanak bir arada bulunur.
İki husus tartılmış ve 5 yıllık süre benimsenmiştir. Birincisi, CO m. 127’deki olağan zamanaşımı süresi 10 yıldır: bu süre, işbu sözleşmenin ifasına dayanan bir tazminat davasına uygulanır ve iki kat daha uzun bir saklama süresine yol açardı. 5 ile 10 yıl arasındaki tercih, ispat değerini GDPR m. 5 f. 1 b. c ve e’nin gerektirdiği en aza indirme ilkesiyle karşı karşıya getirir; 5 yıllık süre benimsenmiştir, çünkü ikisi arasında bu ilkeyle bağdaşan bir dayanak taşıyan tek süre odur ve Kalisme’nin sorumluluğu ayrıca bir üst sınırla sınırlandırılmıştır (genel satış koşullarının 10. maddesi). İkincisi, kayıt bir muhasebe belgesi değildir: muhasebe belgeleri faturalardır ve bunlar kendi açılarından, Kalisme ve fatura hizmet sağlayıcısı nezdinde ve işbu sözleşmenin dışında, CO m. 958f f. 1’deki 10 yıllık saklama süresine tabidir.
26.08.2026’da ölçülen, beyan edilmiş teknik sınır. Kayıt tablosu kesinlikle değiştirilemez: veritabanı tetikleyicileri, ona ispat değerini veren özet değerleri zincirinin yeniden yazılamaması için, tablonun sahibi olan uygulama rolü dahil olmak üzere güncellemeyi, silmeyi ve boşaltmayı engeller. Bundan, geçiştirilmek yerine yazılan iki sonuç doğar. Bir yandan, kaydın zaman içinde kısaltılması mümkün değildir: ne e-posta adresleri, ne kişi tanımlayıcıları çıkarılabilir, ne de önceden kaydedilmiş satırlar kısmen ayıklanabilir. Kayıt ya bütün olarak saklanır ya da hiç saklanmaz ve ona erişim Kalisme’nin işletme sahibiyle sınırlıdır. Öte yandan, yukarıda benimsenen sürenin sonunda yapılacak temizleme, ayrıcalıklı bir hesapla veritabanı yönetimi düzeyinde bir müdahaleyi gerektirir; bu temizleme işlemi bugün mevcut değildir, dolayısıyla yukarıdaki süre yürürlükte olan bir mekanizma değil, bir taahhüttür.
| Konu | Müşteri’nin indirimli tarife talebini desteklemek için yüklediği belge (kâr amacı gütmeyen kuruluş, eğitim kurumu, sağlık kurumu) |
| Amaç | Genel satış koşullarının 4. maddesi uyarınca, indirimli tarifeye uygunluğu sonradan doğrulamak |
| İlgili kişiler | Yüklenen belgede adı geçen kişiler: imzacılar, yöneticiler, belgede anılan sorumlular |
| Veriler | Dosya adı, türü, boyutu, özet değeri, yükleme tarihi, kararın tarihi ve yönü ile belgenin kendi içeriği; belgeyi Müşteri seçtiği için Kalisme bu içeriğin bileşimine hâkim değildir |
| Özel nitelikli veriler | Yüklenen belgeye göre mümkündür. Bir sağlık izni ya da bir dernek tüzüğü, GDPR m. 9 kapsamına giren verileri ortaya çıkarabilir |
| Saklama süresi | Hiçbir aboneliğe bağlanmamış belge: 7 gün. Bağlanmış belge: sözleşme süresi artı 12 ay |
Doğrulama süresi. Genel satış koşullarının 4. maddesi, her dönemde tekrarlanabilen doğrulamanın süresini ve sonuçlarını belirler; bu işleme faaliyeti onları tekrarlamadan izler.
İki sürenin dayanağı; dosyanın süre sisteminden ayrıldıkları için yazılmıştır. 7 gün, yürürlükte olan ve 26.08.2026’da ölçülmüş bir tedbirdir: belge bu sürenin sonunda ne bir satın alma niyeti ne de bir kuruluş tarafından sahiplenilmemişse, bir yönetim komutu dosyayı ve ona ait satırı siler. Kimsenin sahiplenmediği bir belgenin 30 gün beklemesi için hiçbir neden yoktur. Sözleşmenin sona ermesinden sonraki 12 ay, belgenin dayanak oluşturduğu son faturalandırılmış döneme karşılık gelir; böylece uygulanan tarifeye yönelik bir itiraz hâlâ yanıtlanabilir; bunun ötesinde belgeyi saklamanın, GDPR m. 5 f. 1 b. c ve e bakımından artık hiçbir gerekçesi kalmaz.
Bu işleme faaliyetine özgü tedbirler, 26.08.2026’da kodda doğrulanmıştır: veritabanı yalnızca bir referans ve bir özet değeri taşır; dosya, herkese açık bir URL’ye hiçbir şekilde sahip olamayan özel bir depolama alanında durur, yalnızca Kalisme’ye ayrılmış bir uygulama bileşeni tarafından sunulur ve kuruluşun kontrol panelinde hiçbir zaman gösterilmez. Bağlanmış belgeler için hiçbir temizleme işlemi yürürlükte değildir: 12 aylık süre de, kayıttaki süre gibi, bir mekanizma değil bir taahhüttür.
Nitelendirme: bu işleme faaliyetinin sorumlusu Kalisme’dir. Kanıtlayıcı belgenin doğrulanması Kalisme’nin kendi menfaatine hizmet eder (doğru fiyatı uygulamak) ve amaçlarını ve araçlarını yalnızca Kalisme belirler: bu, GDPR m. 4 b. 7 anlamında veri işleyen değil, veri sorumlusu rolüdür. Dolayısıyla bu işleme faaliyeti GDPR m. 28 kapsamına girmez ve 2. maddedeki talimatlar ona uygulanmaz. Belgeyi yükleyen siz olduğunuz ve onun akıbetini bilmeniz gerektiği için, imzaladığınız belgede bilgi amacıyla burada açıklanmaktadır; Kalisme’nin işleme faaliyetleri kaydında yer alır.
| Konu | Portalınızdan başlattığınız (bir pilot sırasında başlangıçta, otuzuncu ve doksanıncı günde ya da seçtiğiniz tarihte), oturum açma ve e-posta adresi gerektirmeyen ortak bir bağlantı üzerinden yürütülen gönüllü ve anonim anketler |
| Amaç | Hizmetin çalışanlarınız tarafından nasıl karşılandığını size toplu biçimde iletmek ve bir pilot sırasında sizinle kararlaştırılan başarı kriterlerini tespit etmek |
| İlgili kişiler | Yanıt vermeyi seçen çalışanlar, bir anket başlatan portal yöneticileri |
| Veriler | Kapalı uçlu sorulara verilen yanıtlar (ölçekler ve seçimler), en fazla 1.000 karakterlik iki serbest yanıt, yanıtın dili ve yanıtın günü, asla saati; her anket için kuruluş, başlatma ve kapanış tarihi, anketi başlatan yönetici ve beyan ettiğiniz davet edilen kişi sayısı |
| Özel nitelikli veriler | İsteğe bağlı iki iyi oluş ve stres ölçeği içeren, bir pilotun başlangıç ve doksanıncı gün anketleri için evet; ayrıca Kalisme’nin içeriğine hâkim olmadığı serbest yanıtlarda mümkündür: bir kişi oraya kendisi ya da bir üçüncü kişi hakkında dilediğini yazabilir |
| Otomatik karar | GDPR m. 22 anlamında yok |
| Saklama süresi | Bireysel yanıtlar: anketin kapanmasından sonra 90 gün. Toplu sonuç ve sentez: A kapsamındaki diğer verilerle birlikte (madde 10) |
Kalisme’nin bu işleme faaliyetinde kaydetmedikleri: Kalisme veritabanına ne IP adresi, ne kişi, erişim hakkı, cihaz ya da oturum tanımlayıcısı, ne de yanıt saati kaydeder. Kötüye kullanımı önlemek için IP adresi başına yanıt sayısı, bu adresten türetilen, geçici bellekte tutulan ve süresi kendiliğinden dolan bir anahtarla sınırlandırılır; bu anahtar hiçbir zaman veritabanına yazılmaz.
Aldıklarınız ve almadıklarınız. Bireysel bir yanıtı hiçbir zaman okumazsınız. Portal size toplu bir sonuç gösterir ve ondan az yanıtlayıcısı olan bir gösterge için hiçbir sonuç göstermez. Serbest yanıtlar size hiçbir zaman iletilmez: onları yalnızca Kalisme okur ve size, bir kişi tarafından yazılmış, en fazla 4.000 karakterlik, temalara göre bir sentez sunar.
Bu işleme faaliyetine özgü tedbirler, 16.10.2026’da kodda doğrulanmıştır: bireysel yanıtların 90 gün sonra silinmesi, sunucuda her gün çalışması öngörülen bir yönetim komutudur; bu komutun üretimde çalıştığı tespit edilmedikçe bu süre, kayıttaki süre gibi, bir taahhüttür.
Nitelendirme: aşağıda açıklanan iki iyi oluş ve stres ölçeği dışında, Kalisme bu işleme faaliyetinin veri işleyenidir. Anketi siz başlatırsınız; serbest yanıtların okunması ve sentezlenmesi, sipariş ettiğiniz hizmetin ta kendisidir: Kalisme bunları sizin hesabınıza yapar (GDPR m. 4 b. 8). Bir pilot sırasında başarı kriterlerinin tespiti Kalisme’nin menfaatine de hizmet eder, ancak yalnızca, on yanıtlayıcıdan itibaren var olan toplu sonuca dayanır: bu sonuç kimsenin tanımlanmasına imkân vermez ve kullanılması ayrı bir kişisel veri işleme faaliyeti değildir.
İki iyi oluş ve stres ölçeği veri işleyen ilişkisine girmez. Bunlar bir pilotun başlangıç ve doksanıncı gün anketlerinde sorulur ve her biri yanıt veren kişi için isteğe bağlıdır. Bunlardan size hiçbir sonuç iletilmez: ne ortalama, ne dağılım, ne de eşik. Kalisme bu iki ölçeğe verilen yanıtları, yalnızca tüm pilotlar üzerinden hesaplanan ve hiçbir kuruluşun adını taşımayan ortalamaları yayımlamak amacıyla, GDPR m. 4 b. 7 ve LPD m. 5 b. j anlamında veri sorumlusu olarak kendi hesabına işler. Kalisme bu ortalamaları yukarıda öngörülen bireysel yanıtların silinmesinden önce hesaplar, on yanıtlayıcı eşiğinin altında hiçbirini yayımlamaz ve bu iki ölçeği ancak kanton araştırma etik kurulunun, sorulmalarına izin veren yazılı yanıtından sonra sorar. Pilot sözleşmesinde öngörüldüğü üzere, yazılı olarak reddederseniz kuruluşunuzun yanıtları bu ortalamalara dahil edilmez. Kalisme bu işleme faaliyetini kendi işleme faaliyetleri kaydına yazar.
A kapsamına uygulanan tedbirler. B kapsamını koruyan tedbirler, GDPR m. 28 kapsamında ileri sürebileceğiniz yükümlülükler değildir: bunlar girişte anılan aydınlatma metninde açıklanmıştır.
| Alan | Tedbir |
|---|---|
| Aktarım sırasında şifreleme | Tüm erişim noktalarında TLS |
| Erişim denetimi | Altyapıya anahtarla erişim, işletme sahibiyle sınırlı. Tedarikçi konsollarında iki faktörlü kimlik doğrulama. Portal yöneticileri, yalnızca özet değeri saklanan ve 15 dakikada süresi dolan tek kullanımlık bir bağlantıyla ya da parolayla oturum açar; yönetici ikinci bir faktör eklediyse, güvenilir olarak tanımladığı bir cihaz dışında, bağlantıyla yapılanlar da dahil her oturum açışta bu faktör istenir |
| Belirteçler ve gizli bilgiler | Veritabanında açık metin hâlinde hiçbir gizli bilgi yoktur: davet kodları ve erişim belirteçleri özet değeri biçiminde saklanır. Erişim belirteci her yenilemede değiştirilir; bu da eski bir belirtecin yeniden kullanılmasını tespit edilebilir kılar |
| Tanımlayıcıların ayrıştırılması | Tüm tablolarda tahmin edilemeyen tanımlayıcılar; rastgele çekilen ve bir addan türetilmeyen kuruluş tanımlayıcısı |
| Yönetim kaydı | Yalnızca ekleme yapılabilen, özet değerleriyle zincirlenmiş, uygulama rolü dahil güncellemeyi, silmeyi ve boşaltmayı engelleyen veritabanı tetikleyicileriyle korunan kayıt |
| İki kapsamın ayrıştırılması | Üç tedbir; bunlardan ikisi kod okunarak, biri üretim veritabanında yapılan karşı sınamayla tespit edilmiştir: iki ispat yöntemi eşdeğer değildir ve eşdeğer olarak sunulmaz. 26.08.2026’da kodda doğrulanmıştır: bir erişim hakkının etkinleştirme çağrısı yalnızca kodu, yenileme çağrısı ise yalnızca belirteci iletir (uygulamanın erişim hakkı etkinleştirme modülü); kitle ölçümünün kullandığı kurulum tanımlayıcısı telemetri modülünün dışına çıkmaz, uygulamanın başka hiçbir dosyasında yer almaz ve bu modül ne erişim haklarını ne de kuruluşları bilir (uygulamanın kitle ölçüm modülü). 25.08.2026’da üretim veritabanında tespit edilmiştir: bir erişim hakkını bir cihaza bağlayabilecek tek sütun üretim veritabanından silinmiştir; sütun yoktur ve mevcut erişim hakları bozulmamıştır. Bu üçüncü tedbir kodda okunamaz: kod okuması deponun ne istediğini gösterir, üretimin neyi yürüttüğünü değil; bunu kanıtlayan, veritabanındaki karşı sınamadır |
| Yedekleme ve geri yükleme | Erişim hakları yönetim platformunun, şifrelenmiş ve bir özet değeriyle birlikte saklanan günlük yedeği. Haftalık geri yükleme tatbikatı: son yedeğin şifresi çözülür ve geçici bir veritabanına geri yüklenir, temel tablolar ve hacimleri doğrulanır, güncelliği denetlenir, ardından veritabanı silinir. Bir başarısızlık sessiz kalmaz, bir uyarıyı tetikler |
| Otomatik kontroller | Yayımlanan sürüm üzerinde her gece yeniden çalıştırılan statik kontroller dizisi, aynı sürüm üzerinde yürütülen otomatik testler dizisi |
| Gösterimde en aza indirme | Tablonun altındaki referans metne bakınız: portalın üç yüzeyini, her birinin neyi gösterdiğini ve neyi göstermediğini sayar. B kapsamının aydınlatma metni, aynı üç yüzeyi, kişiye bağlı aynı üç unsuru ve aynı üç toplu büyüklüğü çalışanın bakış açısından açıklar |
Gösterimde en aza indirme, referans metin. Portal üç yüzeyden, yalnızca üç yüzeyden oluşur.
(1) Erişim haklarının kişiye bağlı tablosu. Bu tablo her erişim hakkı için üç unsur gösterir: çalışanın kurumsal e-posta adresi, erişim hakkının durumu (atandı, etkinleştirildi, serbest bırakıldı) ve bu durumun tarihi. Yalnızca birden fazla cihazda açılmış erişim hakkı için bunlara dördüncü bir unsur eklenir: Müşteri’nin kaybolan bir cihazı erişim hakkını serbest bırakmadan kapatabilmesi için bu cihazların sayısı ve her birinin açılış tarihi. Erişim hakkı kişiye özel bir davetle değil de bir ekip bağlantısıyla açılmışsa hiçbir adres yer almaz: satırda yalnızca “Çalışan (ekip bağlantısı)” ibaresi bulunur. Tablo; çalışanın yazdığı ya da dikte ettiği bir içeriği, kullanım süresini, açılma sıklığını, bağlantı saatini, ele alınan konuyu, puanı, ruh hâli, iyi oluş ya da risk göstergesini ve hangi nitelikte olursa olsun hiçbir kullanım sütununu içermez.
Bir davetin gönderilmesi bu tablonun dördüncü bir unsuru değildir ve burada yer almaması bir unutkanlık değildir: bu, 1 numaralı ekteki A2 işleme faaliyetinin kaydına yazılan ve 10. madde uyarınca erişimi Kalisme’nin işletme sahibiyle sınırlı olan bir yönetim işlemidir. 1 numaralı ekteki A1 işleme faaliyetinin onu erişim haklarının yönetimine ilişkin veriler arasında saymamasının nedeni de budur: bu metin ve o ek aynı unsurları sayar.
(2) Katılım sayfası. Yalnızca 20 ya da daha fazla erişim hakkı satın almış bir kuruluş için görünür, büyüklüklerini ancak 20 etkinleştirilmiş erişim hakkından itibaren gösterir ve 10 kişiden azını kapsayan hiçbir hücre göstermez. Bu iki eşik, sayfanın kendisinde Müşteri’ye gösterilir. Sayfa üç toplu büyüklüğü, yalnızca üçünü gösterir: etkinleştirilmiş erişim hakkı sayısı, satın alınmış toplam erişim hakkı sayısı ve birincisini ikincisine oranlayan benimsenme oranı. İlgili sunum katmanı bağlı olmadığından, sayfaya kitle ölçümünden gelen hiçbir veri bağlı değildir. Sayfada hiçbir durum, ruh hâli, iyi oluş ya da risk göstergesi yer almaz ve Kalisme hiçbirini eklememeyi taahhüt eder. Kalisme ayrıca, sözleşmenin tüm süresi boyunca kitle ölçümünden gelen sunum katmanını bağlamamayı ve size bundan hiçbir değer sunmamayı taahhüt eder.
(3) Anketler sekmesi. Bu sekme, Müşteri’nin çalışanlarına yönelik olarak başlattığı isteğe bağlı ve anonim anketleri ortak bir bağlantı üzerinden barındırır: oturum açma olmadan, adres olmadan, erişim hakkı, kişi ya da cihaz tanımlayıcısı olmadan, kaydedilmiş IP adresi olmadan ve yanıtın saati değil yalnızca günü ile. Bir ankete verilen yanıt sayısı davet edilen kişi sayısını aşamaz. Sonuçlar ancak anket kapandığında, önerme önerme, asla ortalama olarak değil, yanıtların dağılımı olarak görünür; hiçbir sonucu Müşteri’ye iletilmeyen iki iyi oluş ve stres ölçeği bunun dışındadır (1 numaralı ek, A4); ayrıca 10 kişiden azını kapsayan hiçbir kutu rakamla gösterilmez. Serbest metin yanıtları Müşteri’ye hiçbir zaman gösterilmez: Kalisme onları okur ve Müşteri’ye yalnızca temaların bir sentezini verir. Ham yanıtlar kapanıştan 90 gün sonra silinir; yalnızca anketin toplu sonuçları saklanır.
Geçiştirilmek yerine beyan edilen sınırlar. Kalisme tek kişilik bir yapıdır. Ne 24 saat nöbet, ne görevler ayrılığı, ne de özel bir güvenlik ekibi vardır. Süreklilik insan yedekliliğine değil, yedeklemeye ve altyapının yeniden kurulabilirliğine dayanır. A kapsamının yedeği her hafta gerçek bir geri yüklemeyle sınanır; bu bir felaket sonrası kurtarma planı değildir, ancak hiç geri yüklenmemiş bir yedekten daha değerlidir. Sözleşmenin sonu (madde 10), kayıt ya da bağlanmış kanıtlayıcı belgeler (1 numaralı ek) için hiçbir otomatik temizleme yürürlükte değildir. Kalisme’nin bugüne kadar hiçbir SOC 2 ya da ISO 27001 sertifikası yoktur; Cloud Security Alliance’ın STAR kamu sicilinde (https://cloudsecurityalliance.org/star/registry/kalisme/services/kalisme) bir CAIQ v4.1 öz değerlendirmesi yayımlanmıştır; bu belge serbestçe incelenebilir ve 11. maddenin 1. düzeyi kapsamında gizlilik taahhüdü aranmaksızın iletilir.
Bu tablo, imza tarihi itibarıyla esas alınır. Yalnızca 6. maddedeki usule göre değişir; işbu sözleşmeyle birlikte verilen ve güncel tutulan liste, onun güncel durumunu yansıtır.
A kapsamına ilişkin iki alt işleyici vardır ve işbu sözleşmenin kapsamına yalnızca bunlar girer:
| Alt işleyici | A kapsamındaki rolü | Barındırma | AB ve İsviçre dışına aktarım |
|---|---|---|---|
| OVH SAS | Sitenin ve veri toplama noktalarının barındırılması, portalın e-posta hizmeti ve e-postaları | Fransa | Hayır |
| Hetzner Online GmbH | Erişim hakları yönetim platformu (erişim hakları, kuruluşlar, kayıt) | Almanya | Hayır |
Erişim haklarının faturalandırılması, Kalisme’nin kendi hesabına (madde 7), Stripe Payments Europe, Limited (İrlanda) tarafından, Stripe Payments UK Ltd ile birlikte yürütülür. Stripe, Kalisme’nin hizmet sağlayıcısıdır, işbu sözleşme anlamında bir alt işleyici değildir. Amerika Birleşik Devletleri’ndeki Stripe, LLC’ye yapılan aktarım ve mekanizması 7. maddede açıklanmıştır.
Bu listede yer alan diğer hizmet sağlayıcılar, özellikle Amazon Web Services EMEA SARL, Anthropic PBC ve Apple Inc., yalnızca B kapsamında devreye girer. Kalisme’ye emanet ettiğiniz hiçbir veriyi işlemezler ve işbu sözleşme anlamında alt işleyici değildirler. Burada bilgi amacıyla anılırlar ve girişte anılan aydınlatma metninde açıklanırlar.
Google da yalnızca B kapsamında, Apple’ın yerini aldığı Android uygulaması için devreye girer. Kalisme’ye emanet ettiğiniz hiçbir veriyi işlemez ve işbu sözleşme anlamında alt işleyici değildir. Kalisme hesabına, Firebase Cloud Messaging telefonun bildirim belirtecini sağlar ve Le Cercle’ı uyandıran mesajı, gönderen, metin ve ad içermeksizin taşır; Google’a göre bu hizmet, bu verileri Google’ın ya da temsilcilerinin tesislerinin bulunduğu her yerde, Amerika Birleşik Devletleri dahil, işleyebilir ve aktarım, Google LLC’nin AB-ABD ve İsviçre-ABD Data Privacy Framework sertifikasına dayanır. Google Play, satın almaları kendi politikasına göre yönetir; yakın daveti için Kalisme’nin sunucusu, uygulamanın kendisine ilettiği satın alma belirteçlerini Google’a doğrulatır ve abone olan bir davet edenin hediye ayı için onun aboneliğinin faturalandırılmasını Google’a erteletir. Bir Google Play hizmeti olan Play Integrity, uygulamaya, onun Google Play tarafından tanınan gerçek uygulama olduğunu doğrulayan bir belirteç verir. Uygulama bu belirteci, Kalisme Pro erişim hakkı olmadan sohbet arkadaşı Kal’a mesaj göndermeden önce ister ve Kalisme’nin sunucusu onu Google’a çözdürür; etkinleştirilmiş bir erişim hakkı varsa istek erişim hakkının belirtecini taşır ve sohbet arkadaşı için Play Integrity’ye başvurulmaz. Uygulama bu belirteci yakın daveti sunucusuyla yaptığı yazışmalara da ekler. Bu belirteç ne kişinin adını, ne e-posta adresini, ne de yazdıklarını taşır. Android yedeklemesi şifrelenmiş defteri alabilir, anahtarını ise asla. Uygulamanın tercihlerini de, Kal ile yapılan konuşmanın geçmişi dahil olmak üzere, uygulama düzeyinde şifreleme olmaksızın alabilir. Satın almaların doğrulanmasının ve faturalandırmanın ertelenmesinin bağlı olduğu Google Play ve Play Integrity için Google, kendi koşullarına göre, veri işleyen olarak değil, Kalisme’den bağımsız bir veri sorumlusu olarak hareket eder. Avrupa Ekonomik Alanı’nda ya da İsviçre’de bulunan kişiler için Google tarafındaki nihai sorumlu, yeterli koruma düzeyine sahip bir ülke olan İrlanda’daki Google Ireland Limited’dir: bu koşullara göre, Kalisme’nin ona ilettikleri standart sözleşme hükümlerini gerektirmez. Amerika Birleşik Devletleri’ne yaptığı kendi aktarımları için Google, Google LLC’nin Data Privacy Framework sertifikasına ve Avrupa Komisyonu’nun standart sözleşme hükümlerine dayanır.
Sohbet arkadaşı, 24.09.2026’dan bu yana. Çalışanlarınız için varsayılan olarak Avrupa Birliği’nde, Amazon Web Services EMEA SARL (Lüksemburg, Amazon Bedrock hizmeti) üzerinden, mesajlar ve yanıtlar saklanmaksızın sunulur. Sözleşmesel mekanizma, AWS’nin hizmet koşullarına dahil edilmiş olan ve Avrupa Ekonomik Alanı dışına her aktarıma, bir İsviçre ek protokolüyle birlikte, Avrupa Komisyonu’nun standart sözleşme hükümlerini (Haziran 2021 sürümü) uygulayan AWS veri işleme sözleşmesidir. Bu işleme faaliyetine bir çekince eşlik eder: AWS, Cloud Act’e tabi bir Amerikan grubuna aittir. Anthropic PBC, çalışanlarınızın mesajlarını Amerika Birleşik Devletleri’nde ancak kuruluşunuz Avrupa seçeneğini kaldırırsa alır; bu tercih, bu işleme faaliyetine ilişkin bir talimat değil, abone olunan hizmetin yapılandırmasına ilişkin bir seçimdir.