KVKK ve GDPR'a göre verinizle ne yaptığımız

Konumumuz

• KVKK (6698): Kiracının girdiği veriler için veri işleyen, kendi abonelerimiz ve site ziyaretçilerimiz için veri sorumlusuyuz. Veri güvenliğine ilişkin yükümlülükler (m.12) iki rolde de bizim için de geçerlidir.
• GDPR (2016/679): Avrupa Birliği’ndeki kişilere ait veriyi işleyen kiracılarımız için GDPR m.28 anlamında veri işleyen olarak hareket ederiz ve talep üzerine buna uygun veri işleme sözleşmesi imzalarız.

Yurt dışı aktarım

Platform Almanya’daki bir veri merkezinde çalışır. Kişisel Verileri Koruma Kurulu Almanya için bir yeterlilik kararı vermediğinden, Türkiye’den bu sunuculara veri gönderilmesi KVKK m.9 kapsamında yurt dışı aktarımdır; “Avrupa’da olduğu için aktarım sayılmaz” demiyoruz. Bu nedenle m.9/4-c kapsamında Kurul’un standart sözleşmelerini alıcılarla imzalama ve Kurum’a bildirme sürecini yürütüyoruz. Bazı alt işleyenler (ör. e-posta, ağ güvenliği ve şirket sahibinin açtığı yapay zekâ özellikleri) Türkiye ve Almanya dışında da veri işleyebilir; hepsi alt işleyenler sayfasında konumlarıyla listelenir.

Sizin platforma girdiğiniz veriler (müşterileriniz, potansiyelleriniz, gelen mesajlar) için aktarım zinciri şöyledir:

• Siz ve Müşavir: Veri sorumlusu siz, veri işleyen Müşavir’dir. Aramızdaki veri işleme sözleşmesi, verinin Almanya’daki altyapıda işlenmesini ve yurt dışı aktarım hükümlerini içerir.
• Müşavir ve altyapı sağlayıcısı: Veri Almanya’daki sunuculara bu aşamada çıkar; bu aktarım için Kurul’un veri işleyenden veri işleyene standart sözleşmesi kullanılır ve Kurum’a bildirilir.
• Müşavir ve yapay zekâ sağlayıcıları: Şirket sahibi yapay zekâ özelliklerini açtığında veri OpenRouter (ABD) üzerinden Anthropic’e (ABD) gider; bu da KVKK m.9 kapsamında yurt dışı aktarımdır. Sağlayıcılar konumlarıyla alt işleyenler sayfasında listelenir.
• Siz ve kendi müşterileriniz: Kendi ilgili kişilerinizi (müşterileriniz, size mesaj yazanlar) bu işlemeden ve yurt dışı aktarımdan aydınlatmak, gerektiğinde açık rızalarını almak veri sorumlusu olarak sizin yükümlülüğünüzdür.

İlgili kişi hakları

KVKK m.11 ve GDPR m.15 ile m.22 arasındaki haklar için başvuru yolu:

1. Bir Müşavir kullanıcısı şirketle ilişkiniz varsa (müşterisi, çalışanı, tedarikçisi) başvurunuzu o şirkete yapın.
2. Doğrudan bizimle ilişkiniz varsa KVKK Aydınlatma Metni’nde sayılan yollardan biriyle (e-posta, posta veya güvenli elektronik imza) yazılı başvurun; iletişim sayfasında da başvuru adresimiz yer alır. Ayrıntılar gizlilik politikamızda.
3. KVKK başvuruları en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırılır (m.13).

Otomatik karar ve yapay zekâ

KVKK m.11/1-g, münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhe çıkan sonuca itiraz hakkı tanır; GDPR m.22 de benzer bir koruma getirir. Platformdaki yapay zekâ asistanları öneri, taslak ve cevap üretir; bir talebi doğru ekibe yönlendirmek gibi şirket içi iş akışı adımlarını da yapabilir. Yapay zekâ kişiye mesaj göndermez, ödeme veya resmî gönderim yapmaz; şirket dışına çıkan her işlem bir kişinin onayını bekler ve her yapay zekâ işlemi kayıt altındadır.

Gece çalışan otomatik görev açıksa yapay zekâ, önceki günün konuşmalarına bakarak potansiyel kaydının aşamasını, ad soyadını ve kısa ihtiyaç profilini onay beklemeden günceller. Güncelleme şirket içindeki kayıtta yapılır: yapay zekâ kişiye mesaj göndermez, atama değiştirmez, teklif açmaz. Müşteriye dönüştürülmüş kayıtlar değiştirilmez. Her değişiklik “Yapay zekâ” etiketiyle durum geçmişine ve denetim izine yazılır; ekibiniz değişikliği panelden düzeltebilir, şirketiniz görevi istediği zaman kapatabilir. Bir kişi bu güncellemenin aleyhine sonuç doğurduğunu düşünürse itirazını veri sorumlusu olan şirkete yapar; şirket kaydı inceleyip düzeltebilir.