Hukuki

Art. 28 DSGVO uyarınca Veri İşleme Sözleşmesi (AVV)

Stand: 21 Ekim 2026 · Tüm hukuki belgeler

Bilgilendirme amaçlı çeviridir. Yalnızca Almanca sürüm hukuken bağlayıcıdır.

Bilgilendirme amaçlı çeviridir. Yalnızca Almanca sürüm hukuken bağlayıcıdır.

Bu sözleşme ne zaman geçerlidir

Bu sözleşme yalnızca ticari etkinlikler için geçerlidir — bir işletme, bir kamu kurumu, bir dernek veya başka bir kuruluş tarafından faaliyetleri kapsamında rezerve edilen etkinlikler. Sözleşmenin kurulmasıyla birlikte otomatik olarak sözleşmenin bir parçası hâline gelir ve ayrıca imzalanması gerekmez; imzalı bir nüshayı talep üzerine privacy@snapories.com adresinden sağlarız.

Özel etkinlikler için geçerli değildir (düğün, doğum günü, aile kutlaması). Bu durumda rezervasyonu yapan kişi kural olarak DSGVO kapsamı dışındadır (ev içi istisna, Art. 2 Abs. 2 lit. c DSGVO) ve biz kendi başımıza veri sorumlusuyuz — bu durumda sipariş üzerine veri işleme söz konusu değildir.

Taraflar


Veri Sorumlusu	rezervasyonu yapan kuruluş (bundan sonra „Organizatör")
Veri İşleyen	Matthias Anderer GmbH, Abt-Kaspar-Str. 19, 83607 Holzkirchen, Deutschland

§ 1 Konu, süre ve talimatlara bağlılık

1.1 Konu, Organizatör adına, Genel İşlem Koşulları içinde tanımlanan hizmetlerin sunulması sırasında gerçekleştirdiğimiz kişisel verilerin işlenmesidir. İşlemenin niteliği, amacı, kapsamı, veri kategorileri ve ilgili kişiler Ek 1'de belirtilmiştir.

1.2 Bu sözleşme, ana sözleşmenin süresi boyunca, en geç § 9 uyarınca sipariş üzerine işlenen tüm verilerin silinmesine kadar geçerlidir.

1.3 Verileri yalnızca Organizatörün belgelenmiş talimatı doğrultusunda işleriz. Talimatlar metin biçiminde privacy@snapories.com adresine verilir; üründe öngörülen ayar olanakları (etkinlik dönemi, veri bölgesi, görünürlük, misafirler için paylaşım bağlantısı, resimlerin ve misafirlerin engellenmesi, diller, silme talepleri) talimat olarak kabul edilir.

1.4 Bir talimatı hukuka aykırı bulursak, bunu gecikmeksizin bildiririz. Teyit veya değişikliğe kadar uygulamayı askıya alabiliriz (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 Kendi amaçlarımıza yönelik işlemeler — sözleşmenin ifası ve faturalandırma, işletme ve BT güvenliği, kötüye kullanımın önlenmesi, kişisel referans içermeyen toplulaştırılmış göstergeler, yasal yükümlülüklerin yerine getirilmesi — bu sözleşmenin konusu değildir. Bu kapsamda kendi başımıza veri sorumlusuyuz; Gizlilik Politikası geçerlidir.

§ 2 İşleme yeri

2.1 Bir etkinliğin verileri, rezervasyon sırasında o etkinlik için seçilen veri bölgesinde işlenir: Avrupa Birliği (Frankfurt am Main) veya Amerika Birleşik Devletleri (Kuzey Virginia). Bölgeler arasında yansıtma yapılmaz. Depolama, işleme ve silme yalnızca bu bölgede gerçekleşir; resimlerin teslimi için bunlar, etkinlik devam ettiği sürece, geçici olarak seçilen bölgenin dışındaki uç (edge) konumlarında da önbelleğe alınır (Ek 3, bölüm 1.1).

2.2 Bundan farklı olarak, yapay zekâ fotoğraf kabininde üretim, kullanılan yapay zekâ sağlayıcısında, Avrupa Ekonomik Alanı (AEA) dışında da gerçekleşir (Ek 3). Organizatör bunu kabul eder; etkinliği için fotoğraf kabinini devre dışı bırakırsa bu aktarım gerçekleşmez.

2.3 Üçüncü ülkelere aktarımlar yalnızca bir yeterlilik kararı veya standart sözleşme hükümleri (Uygulama Kararı (EU) 2021/914) temelinde ve bir aktarım etki değerlendirmesi ile birlikte gerçekleşir.

2.4 § 2.1'den farklı olarak, Ek 1'de belirtilen iletişim verileri — Dashboard kullanıcılarının e-posta adresleri ve giriş kodları — etkinliğin veri bölgesinden bağımsız olarak her etkinlikte Avrupa Birliği'nde (Frankfurt am Main) işlenir. Bir hesap, etkinlikleri her iki bölgede yönetir; bu nedenle bu veri kümesi tek bir etkinliğe ait değildir ve hiçbirini takip edemez; bir kez saklanır ve her iki bölgeden okunur (Ek 3, Bölüm 1.2). Buna hiçbir görsel dâhil değildir. Aynı durum, § 1.5 uyarınca kendi sorumlumuz olarak işlediğimiz veriler için de geçerlidir.

§ 3 Gizlilik

3.1 İşleme faaliyetinde yalnızca gizlilik yükümlülüğü altında bulunan veya uygun bir yasal sır saklama yükümlülüğüne tabi olan kişileri görevlendiririz (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Görevlendirilen kişiler, ilgili veri koruma düzenlemelerine vâkıftır ve düzenli olarak eğitilir.

§ 4 Teknik ve organizasyonel tedbirler

4.1 Ek 2'de açıklanan, Art. 32 DSGVO uyarınca tedbirleri alır ve bunları sözleşme süresi boyunca sürdürürüz.

4.2 Koruma düzeyi altına düşülmediği sürece tedbirler geliştirilebilir. Esaslı değişiklikleri belgeler ve talep üzerine bildiririz.

§ 5 Alt işleyiciler

5.1 Düzenleyici, alt işleyicilerin görevlendirilmesine ilişkin genel yazılı izin verir (Art. 28 Abs. 2 Satz 2 DSGVO). İşbu sözleşmenin tarihi itibarıyla görevlendirilen alt işleyiciler, Ek 3'te adlarıyla listelenmiştir.

5.2 Başka bir alt işleyici görevlendirmeyi veya mevcut bir alt işleyiciyi değiştirmeyi planlamamız hâlinde, Düzenleyiciyi en az 30 gün önceden metin biçiminde bilgilendiririz. Düzenleyici, bu süre içinde önemli ve veri korumasıyla ilgili bir nedenle itiraz edebilir. İtiraz etmesi hâlinde, ilgili hizmeti uyarlayabilir veya sözleşmeyi planlanan değişiklik tarihinden itibaren geçerli olmak üzere olağan yolla feshedebilir ve oransal ücreti iade edebiliriz.

5.3 Alt işleyicileri, burada kararlaştırılanlarla esas itibarıyla örtüşen veri koruma yükümlülüklerine bağlarız ve onların davranışlarından kendi davranışımız gibi sorumlu oluruz.

§ 6 Düzenleyiciye destek

6.1 İlgili kişilerin hakları. İlgili kişilerin doğrudan bize başvurması hâlinde, talebi gecikmeksizin Düzenleyiciye iletir ve işleme konusunu ilgilendirdiği ölçüde bunu kendimiz yanıtlamayız. Düzenleyiciyi, Art. 12–22 DSGVO kapsamındaki hakların yerine getirilmesinde, özellikle bilgi edinme, düzeltme, silme, kısıtlama ve bir etkinliğin görsellerinin teslim edilmesinde, uygun teknik ve organizasyonel tedbirlerle destekleriz.

6.2 Art. 32–36 DSGVO kapsamındaki yükümlülükler. Düzenleyiciyi; işlemenin güvenliğinin sağlanmasında, veri koruma ihlallerinin bildirilmesinde ve bir veri koruma etki değerlendirmesinde, her durumda işlemenin niteliğini ve bize sunulan bilgileri dikkate alarak destekleriz.

6.3 Harcanan çaba. Destek, olağan ve makul çerçevede ücretsizdir. Yasal olarak borçlanılanın ötesine geçen ve önemli bir çaba gerektiren destek için uygun bir ücret talep edebiliriz; buna önceden dikkat çekeriz.

§ 7 Kişisel verilerin korunmasına ilişkin ihlallerin bildirilmesi

7.1 Sipariş kapsamında kişisel verilerin korunmasına ilişkin bir ihlal tarafımızca öğrenildikten sonra Organizatörü gecikmeksizin bilgilendiririz — kural olarak 24 saat içinde.

7.2 Bildirim, mevcut olduğu ölçüde şunları içerir: ihlalin niteliğinin tanımı, etkilenen kişilerin ve veri kayıtlarının kategorileri ile yaklaşık sayısı, muhtemel sonuçlar, alınan ve önerilen önlemler ile bir iletişim noktası.

7.3 Denetim makamına bildirim (Art. 33 DSGVO) ve etkilenen kişilerin bilgilendirilmesi (Art. 34 DSGVO) Organizatörün yükümlülüğündedir; bu konuda kendisine destek oluruz.

§ 8 Kanıtlar ve denetimler

8.1 Art. 28 DSGVO'dan doğan yükümlülüklere uyumun kanıtlanması için gerekli tüm bilgileri talep üzerine Organizatöre sunarız — öncelikle belgelendirme, Ek 2 ve mevcut olduğu ölçüde alt işleyenlerimizin sertifikaları ve denetim raporları aracılığıyla.

8.2 Bu kanıtlar münferit durumda yeterli olmazsa, denetimlere ve bu kapsamda incelemelere olanak tanırız. Bunlar, makul bir ön bildirim süresiyle (en az 14 gün) duyurulmalı, işletmeyi uygunsuz şekilde aksatmamalı ve — somut bir sebep bulunmadıkça — en fazla yılda bir kez gerçekleşir. Denetimi yapan üçüncü taraflar rakip olamaz ve gizliliğe riayet etmekle yükümlü kılınır.

§ 9 Silme ve iade

9.1 İşlemenin sona ermesinin ardından, sipariş kapsamında işlenen verileri sileriz veya Organizatörün tercihine göre iade ederiz. Organizatör, bir etkinliğin görsellerini istediği zaman Dashboard üzerinden indirebilir.

9.2 Farklı bir talimat olmaması halinde silme, AGB'de kararlaştırılan saklama süresinin dolmasıyla gerçekleşir. Talep üzerine süresinden önce sileriz.

9.3 Yasal bir saklama yükümlülüğü bulunan veriler silme işleminin dışındadır; bu veriler, ileri kullanıma karşı erişime kapatılır.

9.4 Silme işlemi, talep üzerine metin biçiminde teyit edilir.

§ 10 Sorumluluk

Sorumluluk, Art. 82 DSGVO ve ana sözleşmenin hükümlerine tabidir; ana sözleşmedeki sorumluluk sınırlamaları, etkilenen kişilerin Art. 82 DSGVO uyarınca talepleri için geçerli değildir.

§ 11 Ana sözleşmeyle ilişki

Bu sözleşme ile ana sözleşme arasında çelişki bulunması halinde, kişisel verilerin işlenmesine ilişkin olarak bu sözleşme önceliklidir.

§ 12 Son Hükümler

12.1 Değişiklikler metin biçimini gerektirir. 12.2 Alman hukuku geçerlidir. 12.3 Bir hükmün geçersiz olması hâlinde, diğer hükümlerin geçerliliği bundan etkilenmez. 12.4 Esas alınan dil sürümü.

Bu sözleşmenin yalnızca Almanca sürümü esas alınır. Diğer dillerdeki sürümleri yalnızca bilgilendirme amacıyla sunuyoruz. Farklılıklar hâlinde Almanca sürüm önceliklidir.

Ek 1 — İşlemenin Konusu

Niteliği ve amacı. Kapalı bir etkinlik galerisinin — bir yapay zekâ fotoğraf kabini dâhil — işletilmesi amacıyla, düzenleyici adına ve talimatı doğrultusunda görsellerin ve ilgili verilerin toplanması, saklanması, yapılandırılması, görüntülenmesi, sunulması ve silinmesi. Fotoğraf kabininin kendine ait bir kamerası yoktur: Bir misafir, kabini galeride zaten bulunan ve kendi çektiği bir görsele uygular. Düzenleyici yapay zekâ görselleri satın almışsa, ayrıca yüklenen her görsel, işlevin bu görsel için sunulup sunulamayacağı bakımından otomatik olarak denetlenir (Ek 3, Google).

İlgili kişiler

Etkinliğe katılan misafirler
Katkıda bulunulan veya oluşturulan görsellerde yer alan kişiler
Düzenleyicinin panoyu kullanan çalışanları

Veri kategorileri

Kategori	İçerik
Görsel verileri	misafirlerin çektiği fotoğraflar, bir yapay zekâ üretiminde kullanılan bir fotoğrafın çalışma kopyaları, oluşturulan görseller, önizleme sürümleri
Görsel meta verileri	çekim zamanı, boyutlar, misafir ve etkinlikle ilişkilendirme, engelleme durumu, paylaşım işareti, otomatik yapay zekâ uygunluk denetiminin sonucu (bir Evet/Hayır değeri)
Katılım verileri	kendi seçilen görünen ad, rol, kontenjanlar ve bunların tüketimi, katılım zamanı
Kimlik verileri (hesapsız)	sunucu tarafından verilen tanımlayıcı ve erişim belirteci; cihaz parmak izi yok
Etkinlik verileri	etkinlik adı, zaman aralığı, katılım kodu, ayarlar, diller, veri bölgesi
İletişim verileri	pano kullanıcılarının e-posta adresleri, tek seferlik kodlar
Metin girişleri	misafirlerin yapay zekâ fotoğraf kabininde girdiği açıklama metinleri

Özel kategoriler. Bir gerçek kişinin tek olarak kimliğinin belirlenmesine yönelik hiçbir biyometrik veri oluşturulmaz; hiçbir noktada yüz şablonları (Templates), yüz vektörleri veya bir yüz karşılaştırması oluşmaz.

Ancak bir yapay zekâ üretiminden önce gerçekleştirilen analiz ve yüklenen her görselin otomatik denetimi, ön planda yer alan kişilerin kısa bir tanımını oluşturur; bu tanım, bu kişilerin görünürdeki ten tonunu ve görünürdeki etnik kökenini içerir — Art. 9 DSGVO anlamında bilgiler. Bu bilgiler yalnızca, görüntülenen kişilerin görünümünü oluşturulan görselde korumaya hizmet eder; bunlar işleyenin veri tabanına yazılmaz (bir üretim sırasında, misafirin uygulamasının tuttuğu oturum belirtecinde şifreli olarak taşınır; otomatik denetimde ise Evet/Hayır yanıtı bunlardan türetilir türetilmez atılır) ve kimseyi sınıflandırmak, profillemek, değerlendirmek veya yeniden tanımak için kullanılmaz.

Bunun ötesinde, görseller doğaları gereği hassas bilgileri açığa çıkarabilir; düzenleyici, etkinliğinin bu bakımdan özel önlemler gerektirip gerektirmediğini kendi sorumluluğunda değerlendirir.

Ek 2 — Teknik ve idari tedbirler (Art. 32 DSGVO)

Gizlilik

Fiziksel erişim: yalnızca sertifikalı sağlayıcıların veri merkezleri (ISO 27001, SOC 2); kendimize ait donanım işletmiyoruz.
Sistem erişimi: üretim sistemlerine erişim yalnızca belirlenmiş kişiler için, iki faktörlü kimlik doğrulamalı kişiselleştirilmiş hesaplar üzerinden; dahili konsola erişim açıkça tanımlanmış bir adres listesi üzerinden.
Veri erişimi: rol ve kapsam bağlantılı belirteçler (etkinlik, düzenleyici, iş ortağı, öneri, personel); görsel dosyalarına yalnızca imzalı, kısa ömürlü erişim bağlantıları üzerinden.
Ayrım: etkinlik verileri için veri bölgelerinin ayrılması (ayrı veri tabanları, ayrı depolama alanları, bölgeler arası yansıtma yok); hesap ve ticari veri kayıtları bir kez AB'de tutulur ve bir bölgeye kopyalanmak yerine her iki bölgeden okunur (§ 2.4); altı arayüzün ortak tarayıcı deposu olmadan kendi alan adlarına ayrılması; test ve üretim verilerinin ayrılması.
Takma adlandırma: sunucu tarafından verilen tanımlayıcılar üzerinden hesapsız kimlik; kötüye kullanım sayaçlarındaki IP adresleri kısaltılır ve özetlenir, asla açık metin olarak saklanmaz.

Bütünlük

Aktarım: tüm bağlantılar için TLS; sipariş verilerinin işlendiği misafir uygulamasına ve düzenleyici panosuna üçüncü taraf yazı tiplerinin, analiz veya reklam araçlarının gömülmemesi; ödeme verileri doğrudan ödeme hizmeti sağlayıcısına aktarılır.
Giriş: tüm girişlerin merkezi, tipli bir sözleşme şemasına karşı sunucu tarafında doğrulanması; yönetimsel işlemlerin kaydedilmesi; çift kayıtları önlemek için atomik işlemlerle kontenjan ve maliyet sayaçları.

Kullanılabilirlik ve dayanıklılık

yönetilen, çok katmanlı yedekli depolama ve veri tabanı hizmetleri, beklemede şifreleme ile; uygulama katmanının otomatik ölçeklenmesi; yapay zekâ çağrıları için katı maliyet sınırları; otomatik toplu çağrılara karşı kötüye kullanım koruması.

Doğrulama prosedürleri

her yayından önce otomatik test çalıştırmaları (işlevsel uçtan uca testler, altyapı tanımının doğrulanması, tarayıcıdaki her depolama girdisinin merkezi bir dizine karşı otomatik olarak karşılaştırılması);
talimatların belirlenmiş bir adres üzerinden belgelenmiş şekilde alınması;
bu sözleşmenin § 5 maddesi üzerinden sipariş denetimi.

Ek 3 — Alt İşleyiciler

Bu sözleşmenin ayrılmaz bir parçasını oluşturan, her zaman güncel Alt İşleyiciler Listesi geçerlidir. Değişiklikler § 5.2 uyarınca bildirilir.