Veri İşleme Sözleşmesi

1. Taraflar ve roller

Bu sözleşme; hizmeti alan kurumsal müşteri (“Veri Sorumlusu”) ile Oben Teknoloji Limited Şirketi (“Veri İşleyen” / “AkıllıPosta”) arasındadır. AkıllıPosta’ya e-posta/barındırma hizmeti verirken, müşterinin son-kullanıcılarına ait kişisel verileri müşteri adına ve müşterinin talimatıyla işleriz; bu ilişkide müşteri Veri Sorumlusu, Oben ise Veri İşleyen konumundadır (KVKK m.12).

Veri İşleyen bilgileri: Oben Teknoloji Limited Şirketi — Adalet Mah. Manas Blv. No: 39 İç Kapı No: 3408 Bayraklı/İzmir; Karşıyaka V.D. — VKN 6321394265; MERSİS 0632139426500001; İzmir Ticaret Sicili No: 245905.

2. İşlemenin konusu, kapsamı, niteliği ve amacı

İşlenen veri kategorileri: hesap ve iletişim bilgileri, e-posta içerikleri ve trafik/başlık verileri, e-posta arşivi, sistem/erişim günlükleri, destek talepleri ve müşterinin platforma yüklediği içerik ile spam/antivirüs/ATO (hesap ele geçirme) güvenlik sinyalleri.

Amaç: yalnızca yönetilen e-posta hizmetinin sunulması, güvenliğin sağlanması ve müşteri talimatlarının yerine getirilmesi. İşleme süresi, hizmet süresi ile 11. ve 12. bölümdeki saklama süreleridir.

Postalarda sağlık, din, sendika üyeliği gibi özel nitelikli kişisel veri bulunabilir. Bu veriyi işlemek için KVKK m.6/3’teki şartlardan birinin bulunup bulunmadığına veri sorumlusu olarak siz karar verirsiniz; biz içeriği yalnız sizin adınıza ve hizmetin gerektirdiği ölçüde işleriz. Bu veri için uyguladığımız tedbirler 5. bölümdekilerle aynıdır: müşteriler arası veri yalıtımı, aktarımda TLS, rol tabanlı erişim ve değiştirilemez denetim kaydı. Posta kutuları sunucuda ayrıca şifrelenmez.

Posta kutularını kendi sunucusunda tutup yalnız MX kaydını bize yönlendiren müşteriler için kapsam farklıdır: kutu, posta deposu ve arşiv müşteride kalır. Bu hizmete özel şartlar 15–17. bölümlerdedir ve çelişki hâlinde o bölümler önce gelir.

3. Müşterinin talimatları

Oben, kişisel verileri yalnızca hizmet sözleşmesi ve müşterinin belgelenmiş talimatları kapsamında işler; verileri kendi amaçları için kullanmaz, satmaz ve üçüncü taraflara pazarlamaz. Bir talimatın mevzuata aykırı olduğunu değerlendirirsek müşteriyi bilgilendiririz.

4. Gizlilik ve personel

Verilere erişebilen tüm personelimiz gizlilik yükümlülüğü altındadır ve erişim yalnızca görev gereği (need-to-know) sağlanır. Bu yükümlülük görev ve sözleşme sona erdikten sonra da sürer.

Destek amacıyla müşteri hesabına giriş (impersonation) yapılması gerektiğinde işlem “önce-denetim” (audit-first) ilkesiyle, yetkiyle sınırlı ve değiştirilemez biçimde kayda alınır; müşteri bu kayıtları görebilir.

5. Veri güvenliği tedbirleri (KVKK m.12)

Uygulanan teknik ve idari tedbirler: müşteriler arası katı veri yalıtımı (satır-düzeyi güvenlik / RLS), aktarımda TLS + HSTS şifreleme, iki adımlı doğrulama (2FA), rol-tabanlı erişim denetimi (RBAC), değiştirilemez (append-only) denetim kaydı, e-posta arşivinde WORM (silinemez) saklama ve kendi altyapımızda çalışan antispam/antivirüs taraması.

6. Alt-işleyenler

Sizin adınıza işlediğimiz veride iki alt-işleyenden yararlanırız: barındırma altyapısı (Türkiye’deki veri merkezi) ve yetkili DNS barındırma (ClouDNS, Bulgaristan). ClouDNS’e yalnız bizde barındırılan alan adlarınızın DNS kayıtları gider; posta içeriği gitmez.

Posta sunucusu yazılımını SmarterTools Inc.’ten (ABD) lisansla kullanırız. Bu şirkete sunucularımıza uzaktan erişim verilmez ve destek taleplerinde kişisel veri içeren kayıt paylaşılmaz; bu yüzden SmarterTools verinizi işlemez.

PayTR (ödeme) ve Paraşüt (e-fatura) Oben’in kendi ödeme ve fatura işleri içindir; müşterinin posta verisini işlemez. Bu ikisinde Oben veri sorumlusudur, ayrıntısı KVKK Aydınlatma Metni’ndedir.

Alt-İşleyenler sayfasında ayrıca Google Analytics (web sitesi ziyaretçi istatistikleri) ve satış asistanının yapay zekâ sağlayıcısı (DeepSeek) gösterilir. Bu ikisi müşteri adına veri işlemez, müşterinin posta ve panel verisine erişmez; bu nedenle bu sözleşmenin alt-işleyen listesinde yer almaz.

Güncel alt-işleyen listesi kamuya açık “Alt-İşleyenler” sayfamızda (/alt-isleyenler) yayımlanır. Yeni bir alt-işleyen ekleyeceğimizde en az 30 gün önce panelde duyuru yayımlar ve hesap sahibinin e-posta adresine yazarız; makul itiraz hakkınız saklıdır.

7. İlgili kişi (veri sahibi) haklarına destek

Müşteri, kendi son-kullanıcılarının KVKK m.11 kapsamındaki başvurularını yönetir. Oben; erişim, veri taşınabilirliği (dışa aktarma), silme/yok etme ve arşiv-erişim araçlarıyla müşteriye gerekli teknik desteği sağlar (DSAR araçları panelde mevcuttur).

8. İhlal bildirimi

Kişisel veri ihlali tespit edersek sizi (Veri Sorumlusu) gecikmeksizin ve en geç 24 saat içinde yazılı olarak bilgilendiririz.

Bildirimde şunlar yer alır: ihlalin ne zaman olduğu ve ne zaman tespit edildiği, niteliği, etkilenen veri kategorileri, yaklaşık etkilenen kişi ve kayıt sayısı, olası sonuçları, aldığımız ve önerdiğimiz tedbirler ve irtibat kişisi. Bilgilerin tamamı ilk anda belli değilse ilk bildirimi bilinenlerle yapar, gerisini öğrendikçe ayrı bildirimlerle ekleriz. Böylece Kişisel Verileri Koruma Kurulu’na yapmanız gereken bildirimi zamanında yapabilirsiniz.

9. Yurt dışına aktarım

Kural: müşterinin posta ve arşiv verisi Türkiye’deki veri merkezinde barınır ve yurt dışına aktarılmaz. Giriş yapmış kullanıcının posta verisi hiçbir yurt dışı yapay zekâ hizmetine gönderilmez.

Tek istisna 6. bölümdeki DNS kayıtlarıdır: bizde barındırılan alan adlarınızın DNS kayıtları ClouDNS’in (Bulgaristan) ad sunucularında tutulur. SmarterTools’a veri aktarılmaz.

Giriş yapmadan kullanılan satış asistanı müşterinin son kullanıcı verisini işlemez; yalnız ziyaretçinin kendi açık rızasıyla çalışır ve bu sözleşmenin kapsamında değildir.

10. Denetim hakkı

Müşteri veya yetkilendirdiği bağımsız denetçi, işbu tedbirlere uyumu makul sıklıkta ve önceden bildirimle denetleme hakkına sahiptir. Denetim, güvenlik tedbirlerine ilişkin kanıt matrisinin ve denetim kayıtlarının paylaşılması yoluyla da karşılanabilir; denetim gizlilik yükümlülüğü altında yürütülür.

11. Sözleşmenin sona ermesi

Yönetilen e-posta hizmeti sona erdiğinde posta kutularınız ve içindeki postalar askıya alma anından en az 30 gün sonra kalıcı olarak silinir; silmeden en az 7 gün önce haber veririz. Hesap ve fatura kayıtları bu silmeye girmez; KVKK Aydınlatma Metnindeki sürelerle saklanır. Bu süre içinde verinizi almak isterseniz yazın, kutularınızı geçici olarak açarız. Web hosting hesabı en az 30 gün askıda bekler; kalıcı silmeyi bu süreden sonra ekibimiz yapar.

Ne kadar saklanacağına sizin seçtiğiniz paket ve talimatınız karar verir. Arşiv değiştirilemez (WORM) biçimde tutulduğu için hizmet bitince hemen silinemez: paketinizde seçtiğiniz süre dolana ya da koyduğunuz yasal saklamayı (legal hold) kaldırana kadar durur, sonra kendiliğinden silinir.

Silme işleminin kaydını tutarız; isterseniz imha tutanağını size iletiriz.

12. Saklama süreleri

Süreler KVKK Aydınlatma Metni ile aynıdır. E-posta arşivi: kurumunuzun seçtiği pakete göre 1, 5 ya da 10 yıl; süreyi kurumunuz (veri sorumlusu) belirler; arşivdeki postayla ilgili silme talepleri kurumunuza yapılır. Fatura/muhasebe kayıtları: 10 yıl (Türk Ticaret Kanunu m.82). Web sitesi erişim kayıtları ve teslim kayıtları: 2 yıl; süre sonunda silinir. Silme ve imha işlemlerinin kayıtları: 3 yıl (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.7/3 en az üç yıl ister). Güvenlik/oturum kayıtları: türüne göre 30 gün – 12 ay. Süre sonunda veriler silinir, yok edilir veya anonim hâle getirilir.

13. Sorumluluk

Oben, veri işleyen sıfatıyla KVKK m.12 kapsamındaki yükümlülüklerinden sorumludur. Tarafların sorumlulukları ve aralarındaki rücu ilişkisi, hizmet sözleşmesindeki genel sorumluluk hükümleri ile birlikte uygulanır.

14. Çelişki hâlinde öncelik sırası

Belgeler arasında çelişki hâlinde öncelik sırası: (1) taraflarca ayrıca imzalanmış bir sözleşme varsa o, (2) veri işlemeye ilişkin konularda bu Veri İşleme Sözleşmesi, (3) Kullanım Koşulları ve Mesafeli Hizmet Sözleşmesi, (4) /kvkk ve /cerez-politikasi sayfaları, (5) kamuya açık bildirimler.

15. Antispam Gateway (yalnız filtreleme) — kapsam, amaç ve veri kategorileri

Bu bölüm yalnız, posta kutularını kendi sunucusunda tutan ve alan adının MX kaydını AkıllıPosta gateway sunucularına yönlendiren müşteriler için geçerlidir. Bu hizmette kutunuz, posta deponuz ve arşiviniz sizde kalır; postayı yalnız geçiş anında işleriz. 1–14. bölümler burada da uygulanır; çelişki hâlinde 15–17. bölümler önce gelir.

Amaç: gelen postanın istenmeyen posta (spam) ve zararlı yazılım yönünden incelenmesi, temiz olanın sizin sunucunuza iletilmesi. Hukuki sebep, sözleşmenin ifası ve sizin talimatınızdır; ağ ve bilgi güvenliğinin sağlanmasına ilişkin meşru menfaat de bu işlemeyi destekler. Kararı insan değil, otomatik filtre ve virüs tarama sistemlerimiz verir.

İşlenen kategoriler: (a) trafik verisi — teslim zamanı, gönderen ve alıcı adresi, teslim sonucu ve karşı sunucunun yanıt kodu, mesaj boyutu, kuyruk kimliği, postanın geçtiği gateway; (b) mesaj içeriği — yalnız analiz ve teslim süresince, geçici olarak; (c) filtre çıktıları — spam skoru ve tetiklenen kural adları; (d) karantinaya alınan mesajlar — panelinizde inceleyebilmeniz için tam kopya hâlinde. Teslim kayıtlarında konu satırı tutulmaz.

Filtre kararının sonradan doğrulanabilmesi ve yanlış işaretlemelerin düzeltilebilmesi için mesajın başlık bilgileri ile kısa bir içerik önizlemesi güvenlik kayıtlarımızda tutulabilir. Bu kayıtlara güvenlik ekibimiz, kötüye kullanım incelemesi ve filtre doğruluğunun ölçülmesi amacıyla erişir. Karantinaya alınan bir mesajda, serbest bırakma kararını verebilmesi için alan adı yöneticiniz de bu önizlemeyi panelde görebilir. Önizleme düz metindir. İçindeki e-posta adresleri, bitişik yazılmış IBAN’lar ve en az 10 haneli bitişik numaralar gizlenir; ad, adres ve boşlukla ayrılarak yazılmış numaralar gizlenmez.

Filtrelerin öğrenmesi: filtreler iki katmanda öğrenir. Genel katman, istatistiksel belirteçlerle çalışır ve bu belirteçler bir müşteriye bağlanmaz. Müşteriye özel katman hizmetin parçasıdır ve talimatınızın gereğidir (KVKK m.5/2-c): yalnız sizin kendi işaretlerinizden (spam bildir, karantinadan serbest bırakma) ve yalnız sizin alan adınız için öğrenir; işaretleriniz genel katmana yazılmaz ve başka bir müşterinin filtresini değiştirmez. Bu katmandaki belirteçler 90 gün içinde kendiliğinden düşer; sözleşme bitince ya da alan adı silinince bu katmana yeni öğrenme yazılmaz. Öğrenme Türkiye’deki kendi sunucularımızda, kapalı devrede yapılır; veri üçüncü taraflarla paylaşılmaz, yurt dışına aktarılmaz ve başka bir şirketin model eğitiminde kullanılmaz.

Giden posta uyarısı: sizin alan adınızdan spam gönderimi tespit edersek olayın zamanını, gönderim desenini ve gönderimi yapan hesabın e-posta adresini işler ve hesap yöneticinize bildiririz. Amaç, ele geçirilmiş bir hesabı erken durdurmak ve alan adınızın gönderim itibarını korumaktır; hukuki sebep sözleşmenin ifası ve hizmet güvenliğine ilişkin meşru menfaattir. Bildirim hesabın adresini ve olay bilgisini içerir, mesaj metinlerinizi değil.

16. Gateway hizmetinde saklama ve veri ikameti

Teslim edilen mesajın içeriği gateway sunucularında kalıcı olarak saklanmaz; posta sizin sunucunuza iletildikten sonra kuyruktan düşer. Bu hizmet e-posta arşivi içermez; 12. bölümdeki arşiv saklaması yalnız arşiv hizmetini ayrıca alan müşteriler için geçerlidir.

Teslim kayıtları (gelen ve giden) 2 yıl saklanır; süre sonunda silinir. Kayıtlar süresiz tutulmaz.

Karantinaya alınan mesajı alan adı yöneticiniz AkıllıPosta panelinden görüntüler ya da serbest bırakır; serbest bırakılmayan mesaj 48 saat sonra kendiliğinden silinir ve geri getirilemez. Aynı posta hizmetimizi kullanmayan bir alan adına da gönderildiyse ya da alıcı listesi bunu ayırt edemeyeceğimiz kadar uzunsa, karantinadaki bu ortak kopya en çok 30 gün durur.

Gateway sunucularımız ve gönderim kapılarımız Türkiye’deki veri merkezinde çalışır. Postanız filtreleme için yurt dışına aktarılmaz ve yurt dışında çalışan bir yapay zekâ hizmetine gönderilmez. Filtreleme sırasında postayı gönderen sunucunun IP adresi, gönderenin alan adı ve postadaki bağlantıların alan adları, kara listede olup olmadıklarına bakmak için kara liste servislerine DNS sorgusuyla sorulabilir. Bu sorgulara posta içeriği ve ad gitmez; bir servis postada geçen e-posta adresini denetliyorsa adresin kendisi değil, özeti gider. Panelde alan adınızın DNS durumunu gösterebilmek için kayıtları (ör. MX, SPF, DKIM) Cloudflare (1.1.1.1) ve Google (8.8.8.8) genel DNS sunucularına sorulur. Sorguda yalnız alan adı geçer. Gelen postadaki eklerin ve metnin geri çevrilemeyen özetleri, bilinen spam örnekleriyle karşılaştırılmak için Rspamd projesinin özet sunucularına (fuzzy1.rspamd.com, fuzzy2.rspamd.com) sorulur. Özetten içerik geri elde edilemez; bu sunuculara özet dışında bir şey gönderilmez.

Gateway sunucularını Oben Teknoloji Ltd. Şti. işletir — yani bu sözleşmedeki veri işleyenin ta kendisi. Posta içeriği filtreleme için üçüncü taraf bir hizmete gönderilmez; yalnız yukarıdaki geri çevrilemeyen özet ve DNS sorguları gider. Altyapı, yine Oben Teknoloji tarafından işletilen antispam platformuyla ortak donanım üzerinde çalıştığı için ayrı bir alt-işleyen doğmaz; bu donanıma erişen personel 4. bölümdeki gizlilik ve görev-gereği erişim yükümlülüğüne tabidir. Ödeme (PayTR) ve e-fatura (Paraşüt) dışında bu hizmet için alt-işleyen kullanılmaz.

Gateway’den geçen postanın başlık bilgilerine (gönderen, alıcı, konu, zaman, filtre sonucu) iki taraf erişir: veri işleyen sıfatıyla Oben Teknoloji, antispam platformunun yönetim panelinden; alan adının sahibi olarak siz, AkıllıPosta panelinden. Mesajın gövdesi teslim sonrası saklanmaz; yalnız filtreleme sırasında ve karantinaya alınan mesajlar için 48 saatlik süreyle işlenir. Aynı posta hizmetimizi kullanmayan bir alan adına da gönderildiyse ya da alıcı listesi bunu ayırt edemeyeceğimiz kadar uzunsa, karantinadaki bu ortak kopya en çok 30 gün durur. Bunun dışındaki tek istisna, 15. bölümde anlatılan kısa ve maskeli içerik önizlemesidir. Karantinadaki bir mesajın kısa içerik önizlemesini panelde alan adı yöneticiniz açabilir; her açış denetim kaydına yazılır.

17. Gateway hizmetinde tarafların yükümlülükleri ve hizmetin sonu

Veri sorumlusu olarak siz: alan adı ve MX kaydı üzerinde yetkili olduğunuzu, son-kullanıcılarınızı bu filtrelemeye ilişkin aydınlattığınızı ve karantinaya kimlerin erişeceğini belirlemeyi üstlenirsiniz. Karantinadaki bir mesajı görüntülemek, o mesajın alıcısının haberleşme içeriğine erişmek anlamına gelir; panelde bu yetkiyi kime verdiğinizin sorumluluğu sizdedir.

Veri işleyen olarak biz: talimatınız dışına çıkmayız, erişimi görev gereğiyle sınırlarız, karantina görüntüleme ve serbest bırakma işlemlerini denetim kaydına yazarız ve kişisel veri ihlalinde 8. bölümdeki süre içinde sizi bilgilendiririz. Filtreleme kurallarını hizmetin geneli için uygularız; kurumunuza özel bir kuralı ancak talebinizle tanımlarız.

Hizmet sona erdiğinde MX kaydınızı kendi sunucunuza geri çevirirsiniz. Karantinada duran mesajlar 48 saat dolunca kendiliğinden silinir. Aynı posta hizmetimizi kullanmayan bir alan adına da gönderildiyse ya da alıcı listesi bunu ayırt edemeyeceğimiz kadar uzunsa, karantinadaki bu ortak kopya en çok 30 gün durur. Teslim kayıtları 16. bölümdeki 2 yıllık süre dolana kadar saklanır, sonra silinir.

18. Çalışan e-postalarının denetimi: sizin yükümlülüğünüz, bizim araçlarımız

Kişisel Verileri Koruma Kurulu’nun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (Resmî Gazete 8 Ekim 2026, sayı 33394) işverenin çalışan e-postalarını denetlemesini sınırlar. Denetime karar veren ve bu karardaki yükümlülükleri taşıyan sizsiniz.

Bu karara göre: çalışanlarınızı önceden ve somut olarak aydınlatırsınız; kurum postasının özel kullanımına ilişkin kuralları önceden duyurur, özel yazışmaları denetim dışında bırakırsınız; önce trafik kayıtlarına bakarsınız, içeriğe ancak somut bir şüphe olduğunda ve o şüpheyle sınırlı olarak geçersiniz; sürekli ve ayrımsız izleme yapmazsınız; içeriğe erişecek kişileri görevle sınırlar ve gizlilik yükümlülüğü altına alırsınız; iş ilişkisi bitince kutuyu kapatır, dayanağı kalmayan veriyi imha edersiniz.

Açık rıza, iş ilişkisindeki güç dengesizliği nedeniyle kural olarak bu denetimin dayanağı yapılmamalıdır; denetim somut olaya göre KVKK m.5/2-ç, e veya f’ye dayandırılır. Biz veri işleyen olarak bu kurallara uyabilmeniz için aşağıdaki araçları sağlarız.

Panelde bir yönetici başka bir çalışanın posta kutusundaki klasörleri ve postaları açamaz. Ancak kutunun parolasını sıfırlarsa yeni parolayla webmail’e girip kutudaki bütün postaları görebilir. Parola sıfırlama denetim kaydına yazılır; sıfırlamanın gerekçesi ve girişte hangi postaların okunduğu bu kayda yazılmaz.

Arşivde arama yapmak ve bir postayı açmak için gerekçe yazmanız gerekir. Arama sonuçları posta metninden parçalar da gösterdiği için arama da içeriğe erişim sayılır. Kimin, ne zaman, hangi gerekçeyle arama yaptığı ya da posta açtığı erişim kaydına yazılır ve bu kaydı panelin Arşiv ekranında görürsünüz. Kayıt yazılamazsa içerik gösterilmez.

İş ilişkisi bitince panelin Posta kutuları ekranından tek bir kutuyu kapatabilirsiniz. Kapatılan kutuya yeni giriş yapılamaz: parolası rastgele bir değerle değişir, IMAP, POP ve SMTP bağlantıları kesilir, Outlook (MAPI/EWS) erişimi kapanır ve kutuda kurulu yönlendirme silinir. Tarayıcıda açık kalmış bir webmail oturumu ise kendi süresi dolana kadar sürebilir. Kutu silinmez; içindeki postalar durur ve gelen posta birikmeye devam eder.

İşlerin aksamaması için kapatılan kutuya gelen postayı başka bir adrese yönlendirebilir ya da otomatik yanıt koyabilirsiniz. Kapalı kutuda ikisi için de bitiş tarihi girmeniz gerekir; bitiş en çok 90 gün sonrası olabilir. Yönlendirme yalnız kendi alan adlarınızdaki adreslere yapılabilir. Bitiş tarihi gelince yönlendirmeyi sistem kendiliğinden kaldırır, otomatik yanıt da durur.

Açık bir kutu için de kural aynıdır: panelden bir kutuya yönlendirme yalnız kurumunuzun alan adlarına, en çok 90 gün için ve gerekçe yazılarak kurulabilir; gerekçe denetim kaydına yazılır. Bu kurallardan önce kurulmuş, bitişi olmayan ya da 90 günden uzun bir yönlendirmeye sistem 90 günlük bir bitiş tarihi yazar ve hesap sahibine e-postayla haber verir; süre dolunca yönlendirme kendiliğinden kalkar. Gerekirse kurumunuzun alan adına giden yönlendirmeyi gerekçe yazarak yeniden kurabilirsiniz; kurum dışındaki bir adrese yönlendirme kurulamaz. Yönlendirmenin hedef adresi de panel denetim kaydına yazılır ve 2 yıl tutulur.

Çalışanlarınıza vereceğiniz aydınlatmada kayıtların ne kadar tutulduğunu yazmanız gerekir. Bizdeki süreler şunlardır: posta teslim kayıtları (trafik) 730 gün; geçit karantinasındaki postalar 48 saat; hesap ele geçirme (ATO) giriş ve uyarı kayıtları 12 ay; panel denetim kayıtları 2 yıl, silme ve imha işlemlerinin kayıtları 3 yıl; e-posta arşivi aldığınız pakete göre 365, 1826 ya da 3650 gün. Aynı posta hizmetimizi kullanmayan bir alan adına da gönderildiyse ya da alıcı listesi bunu ayırt edemeyeceğimiz kadar uzunsa, karantinadaki bu ortak kopya en çok 30 gün durur. Bu süreleri dolan kayıt otomatik silinir. Arşivde kimin, ne zaman, hangi gerekçeyle arama yaptığını ya da posta açtığını gösteren erişim kaydı 3 yıl tutulur. Yasal saklama (legal hold) koyduğunuz arşiv postası, siz kaldırana kadar silinmez.

Bazı işlemleri sistem kendiliğinden yapar; bunlarda kimse postayı okumaz ve çalışanlarınıza verdiğiniz aydınlatmada da yer almaları gerekir. Paketinizde hesap ele geçirme (ATO) uyarısı varsa: (1) IMAP ve SMTP girişlerinin IP adresi, zamanı, IP’den çıkan ülke ve yaklaşık konumu (aynı IP için saatte bir) kaydedilir, başarısız giriş denemelerinin sayısı tutulur; IP adresi 30 gün sonra silinir, ülke, konum ve zaman 12 ay kalır. Sistem kimseyi kendiliğinden engellemez, uyarıya sizin yöneticiniz bakar. Konum sunucumuzdaki yerel bir dosyadan bulunur; IP adresi bunun için dışarı gönderilmez. (2) Giden posta adres başına saatlik alıcı ve ileti sayısı olarak sayılır; içerik okunmaz. Sayım teslim kaydından yapılır; bu iş için alıcı adresi ayrıca kaydedilmez. Eşik aşılırsa kutu adı ve sayılar uyarıya yazılır, uyarı 12 ay tutulur. Bir kutunun yönlendirme ayarı değişince hedeflerin yalnız alan adına bakılır (kuruluş dışı mı: evet ya da hayır); bu kontrol hedef adresi saklamaz. Panelden kurulan yönlendirmenin hedefi ise yukarıda yazdığımız gibi panel denetim kaydında 2 yıl durur.

Gelen postada kimlik taklidini (yöneticiniz, başkanınız ya da bir tedarikçiniz adına sahte ödeme talimatı) yakalamak için, kurumunuzdan giden postalarda kurum dışındaki alıcının alan adı (ücretsiz posta servisleri hariç), alıcı adresinin özeti ve gönderenin görünen adının özeti antispam sistemimizde 180 gün tutulur. Kurumdaki kutuların görünen adlarının özeti de antispam sistemimize saatte bir aktarılır; adın kendisi aktarılmaz. Böylece yönetici adına yazılmış sahte ödeme talimatı, o kişi kurum dışına hiç posta yazmamış olsa da tanınır. Liste her aktarımda baştan yazılır; kapatılan kutunun adı bir sonraki aktarımda düşer. Özet takma addır, anonim veri değildir. 50’den çok alıcılı toplu gönderimler ve otomatik yanıtlar bu kayda girmez; posta içeriği de girmez. Gelen postanın konusu ve metni tarama sırasında ödeme ya da IBAN ifadesi için okunur. Bu kontrolün yanlış alarm verip vermediğini ölçebilmek için, kurumunuza gelen ve kurumunuzdan giden postada gönderenin görünen adı (ör. “Ayşe Demir”) geçit kaydında 30 gün tutulur; süre dolunca kayıt kendiliğinden silinir. Yeni kurulmuş alan adını tanımak için gönderen alan adının antispam sistemimizde ilk ve son görüldüğü zaman tutulur; o alan adından 365 gün posta gelmezse kayıt silinir. Bu kayıt kişiye değil alan adına aittir. Alan adının ne zaman kaydedildiğini öğrenmek için, .tr dışındaki uzantılarda ve yalnız taklit şüphesi olan postada, gönderenin alan adı rdap.org’a ve oradan yönlendirilen, uzantıyı (ör. .com) yöneten kuruluşun kayıt sunucusuna sorulur; başka bir bilgi gönderilmez. Yanıt 7 gün saklanır. Alan adının yeni olması tek başına postayı karantinaya almaz. Bundan ayrı olarak, gelen bir postanın kurumunuzdan giden bir postaya yanıt olup olmadığını anlamak için giden her postanın Message-ID özeti ve gönderenin özeti 30 gün tutulur.

Öncelikli kutu İş ve üstü planlarda açık gelir; panelden kapatabilirsiniz, kapalıyken bu işleme yapılmaz. Açıkken gelen posta otomatik puanlanır. Puan için teslim kaydından, son 180 günde o adrese yazılıp yazılmadığı ve gelen postanın kutunun bir postasına yanıt olup olmadığı okunur. Gelen postanın konusu ve metni de puanlama sırasında aciliyet ve hitap ifadeleri için okunur, saklanmaz. Puanlanan her posta için 6 sayısal sinyal ve taşınıp taşınmadığı, kutu ve postanın Message-ID özetiyle 30 gün tutulur; içerik saklanmaz. Kullanıcının postayı Öncelikli klasörü ile gelen kutusu arasında taşıması yalnız kendi kutusunun modelini ayarlar. Taşımalardan öğrenilen kutu ayarı hizmet süresince tutulur. Kutu başına gönderen hafızası (gönderen adresinin özeti ve o gönderenin postasının kaç kez önemli, kaç kez önemsiz sayıldığı) tutulur; bir gönderenin kaydı son güncellemesinden 180 gün sonra silinir. Öncelikli kutu kapatılınca kutu ayarı, gönderen hafızası ve puan kayıtları silinir.

Öncelikli ileti özeti varsayılan kapalıdır; panelden açarsanız Öncelikli klasörüne taşınan uzun postanın metni sunucumuzda çalışan yerel bir yapay zekâ modeline verilir ve 1-2 cümlelik özet çıkarılır. Metin sunucudan dışarı gönderilmez, saklanmaz ve model eğitiminde kullanılmaz. Özet, gönderen ve konuyla birlikte 7 gün tutulur ve yalnız kutunun sahibine gösterilir; anahtar kapatılınca silinir.

Çalışanlarınız için doldurabileceğiniz bir aydınlatma metni şablonu panelde, KVKK & Gizlilik ekranındadır. Şablon hukuki görüşün yerine geçmez; yayımlamadan önce avukatınıza gözden geçirtin.

19. Kabul, yürürlük ve değişiklik

Bu sözleşmeyi hesap açarken ya da panelde, elektronik ortamda onaylarsınız; ayrıca imza gerekmez. Kurumunuz imzalı bir nüsha isterse aynı metni imzaya hazırlayıp iletiriz.

Onay kaydında onay anı, sürüm, metnin SHA-256 özeti, IP adresi, tarayıcı bilgisi, gösterilen kabul cümlesi ve onayı veren kullanıcı (o anki e-posta adresi ve rolüyle) yer alır. Kayıt sonradan değiştirilemez; kayıt zincirinin özeti her gün harici bir zaman damgası hizmetiyle (RFC 3161) damgalanır. Onaylanan metnin kopyasını onayı veren kullanıcının e-posta adresine göndeririz. Onay kayıtları hizmet bitiminden itibaren 10 yıl saklanır.

Bu sözleşmeyi değiştirirsek yeni sürümü yürürlük tarihinden en az 30 gün önce panelde duyurur ve hesap sahibinin e-posta adresine yazarız; bildirimde yürürlük tarihi ve değişikliğin özeti yer alır. 6. bölümdeki yeni alt-işleyen duyurusu da aynı 30 günlük süreye uyar. Eski sürümlerin metni 23 Ekim 2026 sürümünden başlayarak sitede kalır (ör. https://akilliposta.com/sozlesmeler/veri-isleme-sozlesmesi/2026-10-23); daha eski metinleri isteyene yazılı olarak veririz.

Yürürlük tarihinden sonra yeni sürümü onaylayana kadar panelde değişiklik işlemi (ayar, posta kutusu, kullanıcı ekleme) yapılamaz; posta hizmeti durmaz. Yeni sürümü kabul etmezseniz Kullanım Koşulları madde 15’teki fesih talebi yolu uygulanır. Kabul edene kadar verinizi, kabul ettiğiniz son sürüme göre işleriz.