Gizlilik Politikası

1 VERİ İŞLEMEDE TEMEL İLKELER

Şirket kişisel verileri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü olarak işler; yalnızca gerekli süreyle saklar. Hesap, satış ve kendi güvenlik işlemlerinde veri sorumlusu; Kurumun belirlediği tesis dosyası ve belge işlemlerinde Kurum adına veri işleyen olarak hareket eder. Fiilî faaliyetin niteliği esas alınır. Kişisel veriler pazarlama amacıyla üçüncü kişilere satılmaz veya devredilmez.

2 İŞLENEN BİLGİLER VE KULLANIM AMAÇLARI

Hesap ve iletişim bilgileri üyeliği kurmak, erişim ve Kurum rollerini yönetmek, hizmet ve destek sunmak; ücretli hizmet sunulduğunda sipariş, kredi, ödeme sonucu ve fatura bilgileri tahsilat, iade ve mali yükümlülükler; oturum, IP, cihaz ve işlem kayıtları güvenlik ve kötüye kullanımın önlenmesi; mobil uygulamada bildirim almayı seçen kullanıcının cihaz bildirim anahtarı, cihaz adı veya modeli, işletim sistemi ve uygulama sürümü ajanda hatırlatmalarını iletmek için işlenir. Uygulanabilir KVKK m.5 şartları ve ilgili kişi hakları Kullanıcı Aydınlatma Metninde açıklanmıştır. Hizmetin gerektirmediği kimlik veya belge talep edilmez; cihazın konum bilgisi toplanmaz.

Kullanıcı İçeriği; soru, tesis bilgisi, belge, ölçüm raporu, kamerayla taranmış görüntü, not, asistan yazışması, rapor ve değerlendirme kayıtlarını kapsar. Kamerayla çekilen görüntüler cihazda belgeye dönüştürülür ve yalnızca kullanıcı yüklemeyi onayladığında seçilen tesis dosyasına kaydedilir. İçeriğin ilgili işlem için kullanılması, başka kurumlara kaynak sağlama, reklam veya genel model eğitimi izni değildir. İçeriğin hak sahipliği Kurumda/ilgili hak sahibinde kalır. Şirket yalnızca talimatın ve hizmetin gerektirdiği erişimi sağlar; ayrıntılı yükümlülükler Veri İşleme Ekinde yer alır.

Platform mesleki kullanıma yöneliktir ve 18 yaşından küçüklere yönelik değildir.

3 ALICILAR VE ÖDEME GİZLİLİĞİ

Google Cloud barındırma, depolama, veri tabanı ve ilgili hizmetlerde; Google yapay zekâ hizmetleri (Vertex AI üzerinde Gemini ve Vertex AI Search) talep edilen işlevlerde kullanılır. Doğrulama ve bildirim e-postaları e-posta hizmet sağlayıcısı (Google Workspace) üzerinden, mobil anlık bildirimler Expo (650 Industries, Inc., ABD) ve Apple/Google bildirim servisleri üzerinden iletilir. Hizmet kapsamında yararlanılan sağlayıcılar görev, veri ve işleme yeri bilgileriyle Veri İşleme Ekinin 4.6 maddesindeki güncel sağlayıcı listesinde açıklanır. Google dışındaki sağlayıcılara ilişkin veri işleme ve aktarım koşulları ayrıca yerine getirilir.

Ücretli hizmet sunulduğunda kullanılacak ödeme kuruluşu tahsilat, iade ve ödeme güvenliği için gerekli sipariş, kimlik/iletişim, tutar ve işlem bilgilerini işler. Tesis belgeleri ve analiz içerikleri ödeme amacıyla ödeme kuruluşuna gönderilmez. Kart ve doğrulama bilgileri ödeme kuruluşu ve ilgili bankaların sistemlerinde işlenir; Şirket tam kart numarası, CVV veya kart şifresini kendi hizmet altyapısında saklamaz. Ödeme kuruluşu kendi mevzuat yükümlülükleri ve ödeme hizmeti amaçlarını belirlediği işlemlerde ayrı veri sorumlusudur; kuruluşun adı ve aydınlatma bağlantısı satış başlamadan önce açıklanır.

Gerekli kayıtlar mali müşavirlik/muhasebe hizmeti ile yetkili kamu ve yargı mercilerine hukuki yükümlülük veya hakların korunması amacıyla aktarılabilir. Kurum içi erişim, Kurum yöneticisinin atadığı rol ve yetkilere bağlıdır. Kullanıcının bağladığı haricî uygulama (Claude, ChatGPT ve benzeri) yalnızca izin verilen Kurum ve kapsamda erişebilir; bağlantıyı kaldırmak daha önce gönderilen kaydı kendiliğinden silmez.

4 GOOGLE ALTYAPISI VE YURT DIŞI AKTARIM

Google Cloud EMEA Limited ile kişisel verilerin yurt dışına aktarımına ilişkin Standart Sözleşme-2 (SS-2) [SS-2 imza tarihi] tarihinde imzalanmış ve Kişisel Verileri Koruma Kurumuna [Kurum bildirim tarihi] tarihinde bildirilmiştir. Şirketin veri sorumlusu, Google'ın veri işleyen olduğu ve sözleşme eklerinde tanımlanan aktarımlar, KVKK m.9/4-c uyarınca bu uygun güvenceye dayanılarak gerçekleştirilir. Bu kapsamdaki aktarım için ayrıca genel bir yurt dışı aktarım açık rızası alınmaz. Aktarım, standart sözleşmedeki veri, amaç ve alıcı kapsamı ile teknik/idari tedbirler çerçevesinde yürütülür.

Uygulama sunucusunun, veri tabanının ve belge deposunun Google Cloud europe-west4 (Hollanda) bölgesinde, arama dizinlerinin AB çoklu bölgesinde barındırılması, bütün model işlemlerinin ve uzaktan erişimlerin yalnızca bu bölgelerde gerçekleştiği anlamına gelmez. Gemini model çağrıları Google'ın küresel uç noktası üzerinden yapılır; işleme yerleri ve sonraki aktarımlar, kullanılan Google ürününün koşulları ve standart sözleşme ekleri çerçevesinde belirlenir. SS-2, Şirketin veri işleyen sıfatıyla gerçekleştirdiği aktarımları kendiliğinden kapsamaz. Bu işlemler bakımından fiilî rollere ve aktarım zincirine uygun KVKK m.9 koşulları aktarım başlamadan önce sağlanır; koşulları sağlanmayan veri akışı başlatılmaz veya durdurulur. Kullanıcının işlem talimatı ve alt hizmet sağlayıcı yetkilendirmesi eksik aktarım güvencesinin yerine geçmez. Google ile yapılan sözleşme diğer bağımsız sağlayıcıları kendiliğinden kapsamaz.

5 GÜVENLİK VE ERİŞİM

Şirket riskle orantılı rol ve erişim kontrolü, güvenli iletim, uygun şifreleme, kurumlar ve hesaplar arası ayrım, yedekleme, güncelleme ve olay yönetimi tedbirlerini uygular. Kurumlar arası ayrım veri tabanı düzeyinde zorunlu kılınır: aynı sektördeki rakip bir kurum Platformu kullandığında, bir Kurumun belgesi onun yanıtında kaynak olarak gösterilmez, özetlenmez veya alıntılanmaz. Özel nitelikli verilerde Kurulun belirlediği yeterli önlemler alınır. Görev gereği erişim, gizlilik yükümlülüğü altındaki yetkili personelle ve gerekli kapsamla sınırlandırılır; destek, bakım, güvenlik veya kanuni gereklilik için yapılan erişimler kontrol altında tutulur.

Kullanıcı kendi cihaz, parola ve paylaşım yetkilerini korur; şüpheli erişimi gecikmeksizin bildirir. Bu yükümlülük Şirketin KVKK m.12 kapsamındaki sorumluluğunu kaldırmaz. İhlallerde ilgili veri sorumlusuyla iş birliği yapılır; Şirketin kendi sorumluluğundaki kanuni bildirimler yerine getirilir.

6 SAKLAMA VE SİLME

Hesap verileri ilişki ve gereklilik devam ettiği sürece saklanır; hesap silindiğinde kimlik ve iletişim bilgileri anonimleştirilir, oturum, cihaz ve ayar kayıtları silinir. Sözleşme kabul ve ticari ileti onay/ret kayıtları onayın sona erdiği tarihten itibaren 3 yıl; fatura ve ticari kayıtlar 10 yıl; güvenlik ve uyuşmazlık kayıtları amaç ve hakkın korunması için gerekli süreyle tutulur. Bütün verilere tek bir süresiz saklama uygulanmaz. Amaç ve hukuki sebep sona erdiğinde silme, yok etme veya anonimleştirme yapılır.

Hesabı silinen kullanıcının tek etkin üyesi olduğu Kurum kapanır; Kurumun içerik verisi 30 gün erişilemez tutulduktan sonra kalıcı olarak imha edilir. Kurum adına işlenen içeriğin iadesi, aktif sistem ve indekslerden silinmesi, yedek ve sağlayıcı kayıtları ile oturum belirteçlerine ilişkin süreç ayrı Veri İşleme Ekinin 7. maddesinde düzenlenmiştir.

7 ÇEREZLER

7.1. Oturum ve güvenlik için ekv_at (erişim belirteci, 15 dakika), ekv_rt (yenileme belirteci, 7 gün; yalnızca oturum uç noktalarına gönderilir), XSRF-TOKEN, XSRF-UID ve .AspNetCore.Antiforgery (oturum süresince) zorunlu çerezleri kullanılır. Oturum belirteçleri tarayıcıdaki betiklerin okuyamadığı (HttpOnly) çerezlerde tutulur. Bunlar giriş, oturum devamlılığı ve kötüye kullanımı önlemek içindir; gerekli sözleşme ifası ve ölçülü güvenlik menfaati kapsamında işlenir. Fiilî araç ve süre değişikliği bu maddeye yansıtılır.

7.2. Platformda analitik, reklam veya üçüncü taraf izleme çerezi kullanılmaz. Tema, dil, kenar çubuğu ve görünüm gibi tercihler yalnızca tarayıcının yerel depolamasında tutulur. İleride zorunlu olmayan analitik bir araç eklenirse kullanıcı kabulünden önce çalıştırılmaz; kabul, ret ve tercih yönetimi kolay ve eşdeğer biçimde sunulur ve yurt dışı aktarım için gereken m.9 mekanizması ayrıca sağlanır.

7.3. Mobil uygulama çerez kullanmaz; oturum belirteçleri cihazın güvenli deposunda tutulur. Tarayıcıdan çerez silinmesi oturumun kapanmasına yol açabilir. Çerez tercihi, üyelik veya pazarlama iznine bağlanmaz.

8 HAKLAR VE İLETİŞİM

KVKK m.11 kapsamındaki öğrenme, bilgi isteme, düzeltme, silme/yok etme, alıcılara bildirim, otomatik analize itiraz ve zarar giderimi haklarınızı Kullanıcı Aydınlatma Metninde açıklanan yollarla kullanabilirsiniz. Hesabınızı web veya mobil uygulamadaki hesap ayarlarından silebilirsiniz. Başvuru ve iletişim adresi info@ecorapor.com, yazılı başvuru adresi Konutkent Mah. 3028 Cad. No: 6 İç Kapı No: 100, 06810 Çankaya/Ankara'dır. Başvurular en geç 30 gün içinde sonuçlandırılır. Kural olarak ücret alınmaz; Kurulca belirlenen tarifeye tabi ek maliyet hâlleri saklıdır. Politika değişiklikleri erişilebilir biçimde duyurulur ve değişen metin yeni adla yayımlanır; yeni amaç veya rıza gerektiren işleme için gerekli bilgilendirme ve izin ayrıca sağlanır.