KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında kişisel verileriniz, aşağıda bilgileri verilen veri sorumlusu tarafından işbu Aydınlatma Metni'nde açıklanan amaçlar doğrultusunda işlenebilecektir.

Ünvan	Cebir Mühendislik Proje ve Bilişim - Nuran Kocaoğlu (Şahıs Şirketi)
Adres	Esenler Mah. Adnan Menderes Cad. No: 2/23 İç Kapı No: 21, Merkez/Çanakkale 17100
Telefon	+90 543 553 37 17
E-posta	info@cebirproje.com
Vergi No / Dairesi	5670114825 — Çanakkale Vergi Dairesi
Web	www.cebirproje.com

2. İşlenen Kişisel Veri Kategorileri

NodeDesk hizmetlerinin sunulması kapsamında aşağıdaki kategorilerde kişisel verileriniz işlenmektedir:

Veri Kategorisi	Kapsam
Kimlik Verileri	Ad, soyad, firma unvanı
İletişim Verileri	E-posta adresi, telefon numarası, işyeri adresi
Finansal Veriler	Fatura bilgileri, ödeme geçmişi, abonelik planı bilgisi. Kredi/banka kartı bilgileri tarafımızca saklanmaz; ödeme işlemleri BDDK lisanslı PayTR altyapısı üzerinden gerçekleştirilir.
Dijital İz Verileri	Maskelenmiş IP adresi, tarayıcı türü ve sürümü, oturum çerezleri, erişim logları
Sohbet Verileri	WebChat üzerinden gerçekleştirilen görüşme içerikleri, zaman damgaları
RAG Verileri	Kiracı firmaların (tenant) bilgi bankasına yüklediği dokümanlar ve bunlardan türetilen vektör gömüleri (embeddings)

3. Kişisel Verilerin İşlenme Amaçları ve Hukuki Dayanakları

Kişisel verileriniz, KVKK'nın 5. maddesinin 2. fıkrasında belirtilen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

İşleme Amacı	Hukuki Dayanak
Hizmet sunumu, hesap oluşturma ve yönetimi, sohbet asistanı hizmetinin sağlanması	Sözleşmenin kurulması veya ifası (md. 5/2-c)
Fatura düzenleme, vergi ve muhasebe yükümlülüklerinin yerine getirilmesi, yasal saklama	Kanunlarda öngörülmüş olması / hukuki yükümlülük (md. 5/2-ç)
Hizmet kalitesinin artırılması, teknik sorunların tespiti, güvenlik önlemlerinin alınması, sistem analitiği	Veri sorumlusunun meşru menfaati (md. 5/2-f)
RAG bilgi bankası içeriklerinin işlenmesi ve yapay zeka sohbet hizmetinin sunulması	Sözleşmenin ifası (md. 5/2-c)
Suç gelirlerinin aklanmasının önlenmesi, 5651 sayılı Kanun kapsamındaki log saklama yükümlülüğü	Kanunlarda öngörülmüş olması (md. 5/2-ç)

4. Kişisel Verilerin Toplanma Yöntemleri

Kişisel verileriniz aşağıdaki kanallar aracılığıyla otomatik veya otomatik olmayan yollarla toplanmaktadır:

• Web sitemiz ve müşteri portalı üzerindeki kayıt ve iletişim formları
• E-posta ile yapılan yazışmalar
• WebChat sohbet widget'ı aracılığıyla girilen mesajlar
• Oturum ve kimlik doğrulama çerezleri (Supabase Magic Link)
• Sunucu erişim logları (IP adresi maskelenerek kaydedilir)

5. Kişisel Verilerin Yurtiçi Aktarımı

Kişisel verileriniz, hizmetin gerektirdiği hallerde aşağıdaki yurtiçi üçüncü taraflara aktarılabilmektedir:

• PayTR Ödeme Hizmetleri A.Ş.: Ödeme işlemlerinin gerçekleştirilmesi amacıyla, BDDK lisanslı ödeme kuruluşuna yalnızca ödeme işlemi için gerekli veriler aktarılır. Kredi kartı bilgileri tarafımızca işlenmez ve saklanmaz.
• Yasal Merciler: Mahkeme kararı veya kanuni zorunluluk hallerinde yetkili kamu kurum ve kuruluşlarına aktarım yapılabilir.

6. Kişisel Verilerin Yurtdışına Aktarımı

NodeDesk altyapı hizmetleri, Supabase (PostgreSQL veritabanı) platformu üzerinden sunulmaktadır. Supabase, Amazon Web Services (AWS) altyapısını kullanmakta olup veriler EU bölgesindeki sunucularda barındırılmaktadır.

KVKK'nın 9. maddesi uyarınca yurtdışına veri aktarımı aşağıdaki güvenceler çerçevesinde gerçekleştirilmektedir:

• Tüm kişisel veriler, veritabanında AES-256 Zarf Şifreleme (Envelope Encryption) yöntemiyle şifreli olarak saklanmaktadır. Her kiracıya (tenant) ait veriler, kendisine özgü bir şifreleme anahtarı ile korunmaktadır.
• Şifre çözme işlemleri yalnızca Türkiye'deki backend sunucusunun RAM belleğinde anlık olarak gerçekleştirilmekte, şifrelenmemiş veri hiçbir zaman diske yazılmamaktadır.
• Aktarım, KVKK md. 9/2 kapsamında yeterli koruma tedbirlerinin alınması ve açık rıza mekanizması ile hukuki zemine oturtulmaktadır.
• Veri iletimi TLS 1.3 şifreleme protokolü ile güvence altındadır.

7. Yapay Zeka ve Otomatik İşleme

NodeDesk, RAG (Retrieval-Augmented Generation) tabanlı yapay zeka sohbet asistanı hizmeti sunmaktadır. Bu kapsamda:

• Sohbet sırasında girilen mesajlar, yalnızca ilgili kiracının bilgi bankasında bağlamsal arama yaparak doğru yanıt üretmek amacıyla işlenmektedir.
• Sohbet verileri, herhangi bir yapay zeka veya makine öğrenmesi modelinin eğitiminde kullanılmamaktadır.
• Otomatik profilleme, otomatik karar alma veya kullanıcılar hakkında otomatik değerlendirme yapılmamaktadır.
• Her kiracının verileri, Row-Level Security (RLS) ile birbirinden tamamen izole edilmiştir; bir kiracının verileri başka bir kiracı tarafından erişilemez.
• LLM (Büyük Dil Modeli) API çağrıları sırasında iletilen veriler, üçüncü taraf API sağlayıcıları tarafından saklanmamakta veya model eğitiminde kullanılmamaktadır.

8. Veri Güvenliği Tedbirleri

Kişisel verilerinizin güvenliğini sağlamak amacıyla aşağıdaki teknik ve idari tedbirler uygulanmaktadır:

• AES-256 Zarf Şifreleme (Envelope Encryption): Kişisel veriler ve ticari sırlar veritabanında şifreli olarak saklanır. Her kiracının verisi kendisine ait benzersiz bir anahtar (Tenant Key) ile şifrelenir.
• Row-Level Security (RLS): Veritabanı seviyesinde kiracı izolasyonu sağlanmakta, bir firmanın verisine başka bir firmanın erişimi teknik olarak engellenmektedir.
• TLS 1.3 Şifreleme: Tüm veri iletimi uçtan uca şifreleme ile korunmaktadır.
• Günlük Yedekleme: Veritabanı yedekleri günlük olarak şifreli şekilde alınmakta ve 30 günlük TTL (saklama ömrü) ile saklanmaktadır.
• Erişim Kontrolü: Yetkilendirme, Supabase Magic Link tabanlı kimlik doğrulama ile sağlanmakta; şifre saklanmamaktadır.
• Log Maskeleme: IP adresleri maskelenerek kaydedilmektedir.

9. Veri Saklama Süreleri

Kişisel verileriniz, işlenme amaçlarının gerektirdiği süre boyunca ve ilgili mevzuatta öngörülen zamanaşımı süreleri dahilinde saklanmaktadır:

Veri Türü	Saklama Süresi	Yasal Dayanak
Hesap ve kimlik verileri	Üyelik süresince + 10 yıl	6102 sayılı TTK
Sohbet geçmişi	90 gün	Hizmet sözleşmesi kapsamı
Fatura ve finansal veriler	10 yıl	213 sayılı VUK
IP adresi ve erişim logları	2 yıl	5651 sayılı Kanun
Veritabanı yedekleri	Canlı veriden silindikten sonra maks. 30 gün (TTL)	İş sürekliliği politikası

Saklama süresi dolan veriler, periyodik imha süreçleri kapsamında otomatik olarak silinir veya anonim hale getirilir.

10. Veri Sahibinin Hakları

KVKK'nın 11. maddesi uyarınca, kişisel veri sahibi olarak aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurtiçinde veya yurtdışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

11. Başvuru Yöntemi

Yukarıda sıralanan haklarınıza ilişkin taleplerinizi aşağıdaki yöntemlerle iletebilirsiniz:

• E-posta: Kimliğinizi tespit edici bilgiler ile birlikte info@cebirproje.com adresine yazılı başvuru gönderebilirsiniz.
• KEP (Kayıtlı Elektronik Posta): Tarafımıza ait KEP adresi mevcut olduğunda bu kanal üzerinden başvuru yapılabilir.
• Yazılı Başvuru: Islak imzalı dilekçenizi yukarıdaki adresimize elden teslim edebilir veya noter kanalıyla gönderebilirsiniz.

Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyeti gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir.

Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde yanıt verilmemesi halinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkınız saklıdır.

12. Aydınlatma Metninde Değişiklikler

İşbu Aydınlatma Metni, yasal düzenlemeler ve hizmetlerimizde meydana gelen değişiklikler doğrultusunda güncellenebilir. Yapılacak güncellemeler, bu sayfada revize edilmiş metin ve güncellenmiş tarih ile yayımlanacaktır. Önemli değişikliklerde, kayıtlı e-posta adresinize bilgilendirme yapılabilir.

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi uyarınca aydınlatma yükümlülüğünün yerine getirilmesi amacıyla hazırlanmıştır.