Veri işleme sözleşmesi Data Processing Agreement

1. Taraflar ve kapsam

Bu sözleşme; "Lumisty" (veri işleyen / processor) ile bir Lumisty müşterisi olarak hizmeti kullanan "Müşteri" (veri sorumlusu / controller) arasında, GDPR Madde 28 ve KVKK Madde 12 uyarınca yapılır. Müşterinin Lumisty üzerinden işlediği video transkriptleri, çeviri çıktıları ve eklenen altyazılar — bu sözleşme kapsamında işlenen kişisel verilerdir.

2. İşleme konusu, süresi ve amacı

• Konu: video transkripsiyon, çeviri, altyazı eklenmesi, viral pattern eşleştirme. Subject: video transcription, translation, subtitle burn-in, viral pattern matching.
• Süre: aktif abonelik boyunca; iptal sonrası 30 gün soft-delete, sonra hard-delete. Duration: for the lifetime of the active subscription; 30-day soft-delete window after cancellation, then hard-delete.
• Amaç: hizmetin sağlanması, fatura, oturum, lisans yönetimi, hata raporlama. Purpose: service delivery, billing, session and license management, error reporting.

3. Veri kategorileri

• Hesap: e-posta, OAuth ID, oturum çerezi.
• Lisans: machine fingerprint (SHA-256 hash), Stripe abone referansı.
• İçerik: Müşterinin yüklediği video, üretilen transkript ve altyazı — yalnızca Müşteri'nin makinesinde işlenir; Lumisty sunucusuna yüklenmez. Content: Customer-submitted video, generated transcript, and subtitle — processed only on the Customer's machine; never uploaded to Lumisty servers.
• Telemetri: opsiyonel, anonim ürün kullanım metrikleri (kullanıcı kapatabilir).

4. Lumisty taahhütleri (processor obligations)

• Veriyi yalnızca Müşteri'nin yazılı talimatları doğrultusunda işler.
• Yetkili personel için gizlilik yükümlülüğü uygular.
• GDPR Madde 32 uyarınca uygun teknik ve organizasyonel önlemleri alır (HSTS, TLS 1.2+, Argon2, JWT signing, signed webhook verify, rate limiting, RLS).
• Sub-processor değişikliklerini önceden duyurur.
• İhlal durumunda 72 saat içinde Müşteri'yi ve ilgili otoriteleri bilgilendirir.
• Müşteri'nin veri sahibi taleplerini (erişim, silme, taşıma) yerine getirmesine yardımcı olur (`/me/export` + `/me/delete-account` endpointleri).
• Sözleşme sonunda veriyi siler veya iade eder.

5. Sub-processor listesi

Lumisty, bu hizmetleri sunmak için aşağıdaki sub-processor'leri kullanır:

Sub-processor değişiklikleri 30 gün önce hi@lumisty.io üzerinden duyurulur ve burada güncellenir.

6. Veri yerelliği ve uluslararası aktarım

Lumisty altyapısı EU bölgesinde (Railway drams3a, Supabase EU) yer alır. Stripe, GitHub ve Modal Labs (Cloud Clean GPU işleme) ABD merkezlidir; bu aktarımlar GDPR Madde 46 uyarınca Standard Contractual Clauses (SCC) ile yapılır. KVKK Madde 9 kapsamında açık rıza alınır.

7. Denetim hakkı

Müşteri, yılda bir kez, 30 gün önceden yazılı bildirimle Lumisty'nin teknik ve organizasyonel önlemlerini denetletme hakkına sahiptir. Denetim, makul iş saatlerinde, Lumisty operasyonlarını engellemeyecek şekilde yapılır.

8. Sorumluluk ve tazminat

Tarafların sorumluluğu, ana hizmet sözleşmesindeki (Kullanım Şartları) sınırlamalara tâbidir. GDPR ihlali halinde her taraf kendi ihmali ölçüsünde sorumludur (joint controllership ilkesi).

9. Sözleşmenin değiştirilmesi ve sona ermesi

Bu sözleşme, Müşteri'nin Lumisty hizmetini kullanmaya devam ettiği sürece geçerlidir. Lumisty değişiklikleri 30 gün önce duyurur; Müşteri kabul etmezse hizmeti iptal edebilir. Sözleşme sona erdiğinde Lumisty, Müşteri verisini 30 gün içinde siler veya iade eder.

10. İletişim

Veri koruma ve DPA için: hi@lumisty.io