PUSULA — Kişisel Verilerin Korunması Aydınlatma Metni

1.Veri Sorumlusu

Kişisel verileriniz, veri sorumlusu sıfatıyla NARCHVIZ (Tayfun Tanrıöver) tarafından KVKK m.10 kapsamında işlenmektedir.

• Ticari unvan: ____ (yasal onay sürecinde tamamlanacaktır)
• Adres: ____ (yasal onay sürecinde tamamlanacaktır)
• KEP / E-posta: ____ (yasal onay sürecinde tamamlanacaktır)
• Web: narchviz.com

2.İşlenen Kişisel Veriler

PUSULA'yı kullanımınız sırasında aşağıdaki veriler işlenir:

• Kimlik ve iletişim: ad-soyad, giriş için e-posta adresiniz, kayıt ve ödeme-talep süreçlerinde telefon numaranız ve paylaştığınız içerikte yer alabilecek diğer bilgiler.
• Hesap güvenliği: şifrenizin geri döndürülemez özütü (hash) — şifreniz düz metin olarak saklanmaz; e-posta doğrulama ve tek-kullanımlık giriş bağlantısı kayıtları.
• Müşteri / proje içeriği: platforma yazdığınız mesajlar, talepler, notlar/sayfalar ve yorumlar; yüklediğiniz görsel, render, dosya ve belgeler.
• Abonelik ve deneme süreci verileri: çalışma alanınızın deneme başlangıç/bitiş damgaları, plan/durum bilgisi ve ödeme-talep kayıtları (seçilen plan + iletişim için telefon). IBAN, kart numarası gibi ödeme aracı verileri platformda saklanmaz; havale/EFT süreci platform dışında yürütülür.
• İşlem güvenliği ve günlük (log) verileri: IP adresi, cihaz/ağ tanımlayıcıları (tarayıcı türü — user-agent; uygulanan loglama düzeyine göre, sistemin eriştiği ölçüde MAC adresi gibi ağ tanımlayıcıları dâhil olabilir), oturum bilgisi, çerezler, giriş-çıkış zamanları ve "hangi kullanıcının ne zaman hangi işlemi yaptığına" dair erişim ve işlem (denetim) kayıtları.

3.Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; kayıt formunu doldurmanız, e-posta doğrulaması yapmanız, platforma e-posta + şifre (veya tek-kullanımlık giriş bağlantısı) ile giriş yapmanız ve modülleri (proje/talep, mesaj, not/sayfa, dosya/görsel paylaşımı) kullanmanız sırasında elektronik ortamda, otomatik ve kısmen otomatik yollarla; ayrıca sistem ve güvenlik günlükleri (log) aracılığıyla otomatik olarak toplanır.

4.İşleme Amaçları

• Platform hizmetinin sunulması, proje ve talep süreçlerinin yürütülmesi;
• Taraflar arası iletişimin kayıt altına alınıp gerektiğinde delil olarak kullanılabilmesi (hukuki koruma);
• Bilgi ve sistem güvenliğinin sağlanması, yetkisiz erişimin önlenmesi;
• Yasal yükümlülüklerin yerine getirilmesi.

5.Hukuki Sebepler (KVKK m.5)

Verileriniz aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Bir sözleşmenin kurulması veya ifası için gerekli olması (m.5/2-c);
• Veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesi (m.5/2-ç);
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (m.5/2-e);
• Veri sorumlusunun meşru menfaati (m.5/2-f) — güvenlik ve loglama bakımından.

Güvenlik, IP/oturum kayıtları ve denetim (log) verileri; açık rızaya değil, yukarıdaki hukuki sebeplere (özellikle hukuki yükümlülük, hakkın korunması ve meşru menfaat) dayanılarak işlenir.

6.Aktarım (KVKK m.8 / m.9)

• Verileriniz, veri sorumlusunun Türkiye'deki kendi yerel sunucusunda tutulur; kural olarak üçüncü kişilere aktarılmaz ve yurt dışına aktarılmaz.
• Cloudflare yalnızca şifreli bağlantı/iletim tüneli sağlar; içerik verinizi kalıcı olarak barındırmaz, yalnızca güvenli iletim için aracılık eder.
• Cloudflare altyapısının yurt dışı bileşenleri üzerinden şifreli geçişin KVKK m.9 anlamında bir "aktarım" oluşturup oluşturmadığı değerlendirilmektedir; aktarım kabulü hâlinde m.9'da öngörülen uygun güvence yöntemlerinden (yeterlilik kararı, standart sözleşme vb.) biri sağlanacaktır.
• Yasal olarak yetkili kamu kurum ve kuruluşlarına, talep hâlinde mevzuat gereği aktarım yapılabilir (m.8).

7.Saklama Süresi ve Deneme Süreci (KVKK m.7)

Kişisel verileriniz, proje/üyelik ilişkisi süresince ve ilgili mevzuatta öngörülen yasal saklama ile zamanaşımı süreleri boyunca saklanır. Kesin süreler kalem bazında ____ (yasal onay sürecinde belirlenecektir). Süre sonunda verileriniz silinir, yok edilir veya anonim hâle getirilir.

Deneme süreci: Yeni çalışma alanları 14 günlük ücretsiz deneme ile açılır; süre sonunda ek süre tanınabilir ve ardından çalışma alanı kilitlenebilir. Kilitlenme hâlinde verileriniz silinmez; abonelik başlatıldığında kaldığınız yerden erişilmek üzere güvenle saklanmaya devam eder. Çalışma alanınızın ve içindeki kişisel verilerin kalıcı olarak silinmesini her zaman talep edebilirsiniz (m.11 kapsamındaki silme hakkı — aşağıda başvuru usulü).

8.Veri Güvenliği (KVKK m.12)

Veri sorumlusu, verilerinizin güvenliği için idari ve teknik tedbirler alır:

• Rol bazlı yetkilendirme ve erişim denetimi (RBAC);
• Kiracılar (tenant) arası veri izolasyonu;
• Güvenli oturum yönetimi ve koruyucu oturum-çerezi ayarları (HttpOnly, SameSite);
• Şifrelerin geri döndürülemez özüt (hash) olarak saklanması; e-posta doğrulamalı kayıt ve tek-kullanımlık giriş bağlantıları;
• Kötüye kullanımı önleyici istek hız-sınırlama (rate-limit);
• Düzenli yedekleme ve erişim/işlem denetim kayıtları.

9.Kurumsal Kullanıcılar ve Çok-Kiracılılık

Kurumsal kullanıcılar (ajans/kiracı hesaplar), platforma girdikleri üçüncü kişilere ait kişisel veriler bakımından veri sorumlusu konumunda olabilir; PUSULA bu veriler yönünden veri işleyen sıfatıyla ve veri sorumlusunun talimatları doğrultusunda hareket eder. Gereken hâllerde taraflar arasında ayrı bir veri işleme sözleşmesi düzenlenir (KVKK m.12/2). Kullanıcılar, platforma özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) girmemeyi ya da bunun için gerekli hukuki sebebi sağlamayı taahhüt eder.

10.Çerezler

PUSULA, yalnızca oturumun sürdürülmesi için zorunlu (kesinlikle gerekli) çerez kullanır; bu çerez HttpOnly ve SameSite bayraklarıyla, güvenlik amacıyla tutulur ve açık rıza gerektirmez.

11.Yapay Zekâ (PUSULA AI) ve Veri İşleme

PUSULA'da isteğe bağlı bir yapay-zekâ asistanı (PUSULA AI) bulunur. Bu özellik gizlilik gereği her çalışma alanında varsayılan olarak KAPALIDIR ve yalnızca çalışma alanı sahibinin açık talebiyle, ek ücrete tabi olarak etkinleştirilir.

• AI kapalıyken: hiçbir veriniz yapay-zekâ modellerine gönderilmez ve okutulmaz.
• AI açıkken: yalnız sizin tetiklediğiniz işlemler kapsamındaki içerik (ör. özetlenmesini istediğiniz metin, rapor üretiminde kullanılan iş/talep verileri) yanıt üretimi amacıyla, hizmet sağlanan yapay-zekâ modeline iletilir. Hangi motorların kullanılabileceği çalışma alanı yöneticisi tarafından kısıtlanabilir.
• Gizli-veri modu / offline kurulum: talep hâlinde, hiçbir verinin dışarı çıkmadığı tamamen yerel (offline) model kurulumu sağlanabilir; bu yapılandırmada içerik buluta hiç iletilmez.

12.İlgili Kişinin Hakları (KVKK m.11)

Veri sorumlusuna başvurarak, kendinizle ilgili aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme;
2. İşlenmişse buna ilişkin bilgi talep etme;
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme;
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme;
6. KVKK m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme;
7. Düzeltme ile silme/yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
8. Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme;
9. Kanuna aykırı işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

13.Başvuru Usulü (KVKK m.13)

Yukarıdaki taleplerinizi; ıslak imzalı yazılı dilekçeyle, KEP adresi, güvenli elektronik imza, mobil imza ya da sistemde kayıtlı e-posta adresiniz üzerinden ____ (yasal onay sürecinde belirlenecek başvuru adresi / e-postası) aracılığıyla iletebilirsiniz.

Başvurunuzda ad-soyad, (yazılı başvuruda) imza, T.C. kimlik numarası, adres veya e-posta ve talep konusu bulunmalıdır. Talebiniz en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca bir maliyet gerektirirse Kurulca belirlenen tarifedeki ücret alınabilir. Ayrıca Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

14.Açık Rıza ve Bu Metnin Niteliği

Bu aydınlatma metni yalnızca bilgilendirme amaçlıdır ve onayınıza tabi değildir. Yukarıda açıklanan işleme faaliyetleri açık rızaya değil, KVKK m.5/2'deki hukuki sebeplere dayanır.

İşleme faaliyetlerinden herhangi biri gerçekten açık rıza gerektirdiğinde, bu rıza aydınlatmadan ayrı, açık ve ayrıca işaretlenebilir biçimde talep edilir; rıza vermek zorunlu değildir ve dilediğiniz zaman geri alabilirsiniz.