KVKK Aydınlatma Metni

Veri sorumlusu ve kapsam

Hizmet sağlayıcı ve veri sorumlusu: Ali Yıldırım

Marka: TedariX 360 Global

Vergi dairesi: Konak Vergi Dairesi

Vergi numarası: 9540310170

Adres: Akdeniz Mahallesi, Şehit Fethi Bey Caddesi, Heris Tower No:55, Kat:9, Daire:091, Alsancak – Konak / İzmir, 35210

E-posta: ali@tedarix360global.com

Telefon: 0532 510 10 35

Bu metin, hesap oluşturma, satın alma, faturalandırma, hizmet kullanımı ve güvenlik işlemleri sırasında kişisel verilerin nasıl işlendiğini açıklar. Bu aydınlatma, sözleşme kabulü veya açık rıza değildir.

Verilerin toplanması ve işleme amaçları

Web formları, hesap işlemleri, elektronik iletişim ve sistem kayıtları yoluyla; ad-soyad/temsilci ve işletme bilgileri, e-posta/telefon, fatura adresi, vergi dairesi ve VKN/TCKN, sipariş/ödeme/fatura referansları, sözleşme kabul kayıtları, hesap/oturum bilgileri ve gerekli teknik güvenlik kayıtları işlenir. Amaçlar hesap ve hizmet yönetimi, sipariş/ödeme eşleştirmesi, PayTR ödemesi doğrulandıktan sonra otomatik aktivasyon ve havale/EFT için yetkili manuel onay, fatura düzenlenmesi, işlem bildirimleri, kullanım hakkı yönetimi, destek, güvenlik ve uyuşmazlıkların yönetimidir. Analiz/araştırma seçimleri ve sonuçları hesapla ilişkilendirilebildiği ölçüde kişisel veri kapsamına girebilir; hesap eşleştirmesi TedariX tarafında yapılır.

Ücretsiz mini analiz ve ücretli hizmet

Ücretsiz mini analiz girdileri ücretli hesap geçmişinden ayrı değerlendirilir. Ücretli analiz ve araştırma sonuçları hizmet geçmişi için kaydedilir. Yerel geçmiş kayıtlarının OpenAI’ye gönderilmesi izin verilen veri kapsamına dahil değildir; dış gönderimin sınırı aşağıda açıklanır. Özel nitelikli kişisel veri veya gereksiz üçüncü kişi verisi girilmemelidir. Yerel kullanım, güvenlik kayıtları ve harici gönderim sınırı aşağıda ayrı açıklanır.

Ücretsiz mini analizde web formu üzerinden işletme adı, konum, sektör, ürün, hizmet veya faaliyet alanı, hedef, pazar ve sinyal bilgileri alınır. İşletme adı ücretsiz kullanım sınırının denetimi için yerel olarak anahtarlı bir özete dönüştürülür; bu özetle kullanım zamanı tutulur. İstek IP adresi hız sınırı denetiminde yerel anahtarlı özet oluşturmak için kullanılır. Bunlar anonimlik garantisi değildir. Ticari girdiler mini analiz yanıtının oluşturulması, gerekli istek/oturum güvenliği ve kötüye kullanımın önlenmesi için işlenir. Barındırma hizmetini GNET sağlar; izin verilen kimliksiz teknik/ticari seçimler için OpenAI akışı aşağıdaki ayrı veri sınırına tabidir. Ücretli hesap geçmişinin tamamı mini analiz girdisine eklenmez.

Veri türlerine göre hukuki sebepler ve alıcılar

Mini analizde alınan işletme adı, konum, sektör, ürün/hizmet, hedef, pazar ve sinyal seçimleri ilk değerlendirmeyi oluşturmak amacıyla işlenir. Gerçek kişi veya şahıs işletmesi belirlenebiliyorsa kişisel veri olarak değerlendirilir. Sözleşmeye taraf gerçek kişinin hizmetin kurulması veya ifası için gerekli verileri KVKK m.5/2(c) kapsamında ele alınır. Tüzel kişi temsilcisinin gerekli iş iletişim ve temsil verileri bakımından bu dayanak otomatik uygulanmaz; hizmet ilişkisinin yürütülmesine yönelik meşru menfaat için m.5/2(f) gereklilik, ölçülülük ve hak dengesi şartları aranır. Veriler GNET barındırma altyapısında tutulur; OpenAI’ye ham form ve müşteri kimliği gönderilemez.

İşletme adının yerel anahtarlı özeti ve kullanım zamanı ücretsiz kullanım sınırını denetlemek ve kötüye kullanımı önlemek için tutulur. Kayıt GNET altyapısındadır ve OpenAI’ye gönderilemez. Özetleme tek başına anonimleştirme değildir. Bu sınırlı güvenlik amacı için KVKK m.5/2(f) kapsamında gereklilik ve ilgili kişinin temel hak ve özgürlükleriyle denge şartları aranır; kayıt başka amaçlarla müşteri profili çıkarmak için kullanılamaz.

İstek IP adresi hız sınırı için yerel anahtarlı özet, sayaç ve dönem bitişi oluşturmakta kullanılır. Amaç hizmetin kötüye kullanımını önlemek ve güvenliğini sağlamaktır; hukuki sebep KVKK m.5/2(f) kapsamında zorunluluk ve hak dengesi şartlarına bağlıdır. Anahtarlı özet, ham IP’den ayrı tutulur; bu kayıt OpenAI girdisine eklenemez. Sağlayıcının sunucu erişim günlükleri ayrı kayıt türüdür.

Hesap ve hizmet geçmişindeki gerekli kimlik/iletişim, hesap/oturum ve yerel kullanıcı-sonuç eşleştirmeleri; hesap, erişim, kullanım hakkı ve hizmet ifası için işlenir. Sözleşmeye taraf gerçek kişinin gerekli verilerinde KVKK m.5/2(c), zorunlu hukuki yükümlülüklerde m.5/2(ç), hakların tesisi, kullanılması veya korunması için zorunlu kayıtlarda m.5/2(e) esas alınır. Veriler GNET barındırma altyapısında tutulur. Temsilci verileri için ayrı gereklilik ve hak dengesi şartları korunur. Hesap geçmişi ve müşteri kimliği OpenAI gönderim kapsamı dışındadır.

Alıcı/fatura bilgileri, sipariş ve ödeme/fatura referansları, kabul edilen metin sürümü ve işlem zamanları; siparişin yürütülmesi, PayTR ödemesi doğrulandıktan sonra otomatik aktivasyon ve havale/EFT için yetkili manuel onay, faturalandırma ve kabul kanıtının korunması için işlenir. Sözleşme tarafının gerekli verilerinde KVKK m.5/2(c), somut kanuni mali yükümlülüklerde m.5/2(a) ve (ç), gerekli hak ve uyuşmazlık kanıtlarında m.5/2(e) uygulanır. GNET, barındırma ve işlem bildirimi hizmetleri; PayTR ise ödeme aracılığı kapsamında gerekli verilerin alıcısıdır. nettefatura ile manuel faturalandırmada yalnız gerekli alıcı, vergi/fatura ve işlem bilgileri kullanılır; bu açıklama otomatik veri aktarımı veya otomatik fatura kesimi anlamına gelmez.

İşlem ve aktivasyon e-postaları için kullanılan sağlayıcı GNET’tir. Doğrulanmış ödeme sonrası paket aktivasyonu e-posta gönderimine bağlı değildir; gönderilmeyen bildirim gönderilmiş sayılmaz ve bekleyen kaydı korunur. Mevcut parolalı hesabın girişi korunur. Gerekli alıcı e-posta adresi ve işlem bilgileri, sözleşme tarafı bakımından KVKK m.5/2(c) kapsamında hizmetin yürütülmesi ve bilgilendirme için kullanılır. Temsilci adreslerinde gereklilik ve hak dengesi ayrıca gözetilir. Gereksiz analiz/araştırma içeriği bildirim kapsamına eklenmez. GNET’in barındırma konumu alıcının posta hizmetinin konumunu belirlemez.

Saklama ve imha süreleri

Ücretsiz mini analizde işletme adından oluşturulan anahtarlı özet ve kullanım zamanı, ücretsiz kullanım sınırını uygulamak amacıyla kullanım tarihinden itibaren en fazla 90 gün aktif kayıtta tutulmak üzere işlenir. Bu özet başka amaçlarla profil çıkarmak için kullanılamaz ve OpenAI’ye gönderilemez. Özetleme tek başına anonimleştirme değildir.

IP adresinden oluşturulan hız sınırı kaydında bir saatlik dönem kullanılır. Süresi dolan kayıtlar sonraki hız sınırı işlemi sırasında temizlenir; yeni bir işlem yapılmadığında tam bir saat sonunda fiziksel silme gerçekleşmeyebilir. Bu süre, barındırma hizmetinin erişim günlüklerine veya uygulama hata günlüklerine uygulanmaz.

Uygulama günlükleri için belirlenen saklama süresi 30 gündür. Bu süre hesap geçmişine, mali kayıtlara, e-postalara veya manuel yedeklere genellenmez. Belirlenen süre, tüm kayıtlarda otomatik silme yapıldığı güvencesi değildir.

Hesap ve profil verileri ile tamamlanmış analiz ve araştırma sonuçları ve bunlara ait PDF dosyaları için belirlenen imha eşiği, gerçek aktivasyonla başlayan 12 aylık kullanım süresinin bitiminden 30 gün sonrasıdır. Sonuçları görüntülemek ve PDF indirmek için tanınan ek 14 günlük süre, bu imha eşiğini uzatmaz.

Bekleyen işler, sözleşme kabulü, ödeme, fatura ve aktivasyon kanıtları ile kanuni yükümlülük veya somut uyuşmazlık nedeniyle saklanması gereken kayıtlar ayrı değerlendirilir. Bu istisnalar yalnız gerekli veri ve süreyle sınırlıdır; bekleyen bir iş kaydı süresiz saklama gerekçesi değildir. Mali kayıtların saklama süreleri analiz ve araştırma geçmişine kendiliğinden uygulanmaz.

Gereksiz aktivasyon teşhis ayrıntıları için belirlenen azami süre olaydan itibaren 90 gündür. Bu süre, 30 günlük uygulama günlüğü saklama süresini uzatmaz. İmha işlemlerine ilişkin kayıtlar, gereksiz kişisel veri içermeyecek şekilde en az üç yıl saklanır.

Saklama süreleri, bütün verilerin aynı anda veya otomatik olarak silindiği anlamına gelmez. Geçerli silme talepleri ve daha erken imha gerektiren kanuni yükümlülükler ayrıca değerlendirilir. İşleme şartları ortadan kalkmış veriler, belirtilen süreler henüz dolmadığı gerekçesiyle saklanmaz. Yedeklerin saklanmasına ve geri yüklenmesine ilişkin sınırlar aşağıda ayrıca açıklanmıştır.

GNET’in yazılı açıklamasına göre tam hosting yedekleri haftalık alınır, en fazla iki yedek tutulur ve yeni yedekler döngüsel olarak eskilerinin üzerine yazılır. Bu yöntem her an kesintisiz iki haftalık geri dönüş imkânı sağlamayabilir. Yenilenmeyen hosting hizmetinin yedeği yaklaşık bir ay sonra silinir. Bu süreler TedariX’in manuel yedeklerine veya diğer sağlayıcıların kayıtlarına kendiliğinden uygulanmaz.

Aktif sistemden silinmiş veriler, yedek döngüsü tamamlanana kadar eski yedeklerde bulunabilir. Bir müşterinin kaydının tam yedekten tekil olarak silinebildiği veya bütün yedeklerden aynı gün fiziksel olarak kaldırıldığı garanti edilmez. Eski yedeklerin geri yüklenmesi, daha önce silinmiş verilerin yeniden ortaya çıkması riski taşır; bu riskin tamamen giderildiğine ilişkin güvence verilmez. Silme kararları ve saklama istisnaları doğrulanıp gerekli işlemler uygulanmadan geri yüklenen veriler yeniden erişime açılmamalıdır. Yedekleme politikasının açıklanması, silme ve veri güvenliği yükümlülüklerini ortadan kaldırmaz.

OpenAI ve araştırma veri sınırı

OpenAI’ye yalnızca analiz ve araştırma için gerekli kimliksiz, yapılandırılmış genel teknik ve ticari kategori bilgilerinin gönderilmesine izin verilir. Müşterinin veya müşteri işletmesinin kişi/firma kimliği, ad-soyadı, iletişim bilgileri, adresi, hesap ve vergi bilgileri, VKN/TCKN, ödeme, fatura ve sipariş bilgileri, kişisel belgeleri, müşteri listeleri, ham serbest metinleri ve geçmiş müşteri kayıtları gönderim kapsamı dışındadır. Kullanıcı, oturum, IP adresi, cihaz ve giriş bilgileri ile ayrıntılı müşteri profilinin gönderilmesi de yasaktır. Güvenle ayrıştırılamayan veya yeniden tanımlama riski taşıyan içeriklerin gönderilmesine izin verilmez. Kişiyi veya şahıs işletmesini belirlenebilir kılan ticari bilgiler kendiliğinden anonim sayılmaz. Kullanıcı-sonuç eşleştirmesi TedariX tarafında tutulur. Dış kaynaklarda yalnız gerekli ticari/teknik kanıt kullanılır; gerçek kişi ve iletişim bilgileri ayrılmalıdır. Harici araştırma sonucunun alınması ile Türkiye’den yurt dışına giden istek birbirinden ayrıdır. Sonucun veya kaynak metninin sonraki isteğe eklenmesi de aynı veri yasağına tabidir; sonuçlardaki kişisel verilerin yerel işlenmesi ayrıca değerlendirilir. KVKK koruması vatandaşlıkla sınırlı değildir. Bu sınırlama mutlak anonimlik güvencesi değildir.

Hukuki sebepler

KVKK m.5/2(c) yalnız sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve sözleşme tarafına ait gerekli veriler için kullanılır. Kanunda açıkça öngörülen işlemler m.5/2(a), hukuki yükümlülük için zorunlu işlemler m.5/2(ç), bir hakkın tesisi, kullanılması veya korunması için zorunlu işlemler m.5/2(e) kapsamındadır. Güvenlik, sınırlı kullanım denetimi ve gerekli temsilci iletişiminde m.5/2(f) bakımından gereklilik, daha az müdahaleci yöntem ve temel hak dengesi birlikte gözetilir. Bu şartlar sağlanmıyorsa aynı gerekçeyle işleme yapılamaz. Aydınlatmanın sunulması, sözleşme kabulü ve açık rıza birbirinden ayrıdır; genel bir onay bütün işlemleri hukuka uygun hâle getirmez.

Hizmet sağlayıcılar ve alıcılar

GNET’in yazılı açıklamasına göre sunucuları Türkiye’de bulunmaktadır; e-posta iletim hizmeti kendi sunucularında çalışmakta ve kendi hizmetinde yurt dışına veri aktarımı yapılmamaktadır. Bu beyan yalnız GNET’in kendi hizmetini kapsar; diğer sağlayıcıların veya alıcının e-posta hizmetinin aynı koşullarda çalıştığı anlamına gelmez. GNET toplu e-posta gönderimine izin vermez; bu yasağa aykırı gönderimler hizmet kısıtlamasına yol açabilir.

PayTR ödeme aracısıdır; satıcı yukarıda belirtilen sağlayıcıdır. Ödeme işlemlerindeki veri kullanımı siparişin ve ödemenin yürütülmesi için gerekli kapsamla sınırlıdır. Manuel e-Arşiv faturalandırmada İş Net Elektronik Bilgi Üretim Dağıtım Ticaret ve İletişim Hizmetleri A.Ş. (İşNet) tarafından sunulan nettefatura hizmetine gerekli alıcı, vergi/fatura ve işlem bilgileri yetkili kişi tarafından girilir; otomatik veri aktarımı veya fatura kesimi taahhüt edilmez. Yetkili kurumlara uygulanabilir hukuki gerekçe ve gerekli kapsamla aktarım yapılır. PayTR, ödeme ve elektronik para hizmetlerinden kaynaklanan kendi mevzuat yükümlülükleri kapsamında veri sorumlusu olarak işlem yapar; TedariX’in ayrı veri sorumlusu yükümlülükleri devam eder. OpenAI’ye müşteri kişisel verilerinin gönderilmesine izin verilmez. Sağlayıcının genel veri işleme sözleşmesi, bu sınırı kaldırmaz ve olası bir yurt dışı aktarımının hukuki şartlarını tek başına karşılamaz.

İşNet’in yazılı açıklamasına göre nettefatura verileri Türkiye dışında barındırılmamaktadır. Barındırma konumu, bütün alt hizmetlerin veya uzaktan erişim faaliyetlerinin ülkelerini ve her fatura kaydının saklama süresini tek başına açıklamaz.

Yurt dışına aktarım koşulları

Kimliksiz teknik/kategorik seçim hedefi tek başına fiilî anonimlik kanıtı değildir. Başka verilerle eşleştirildiğinde bir gerçek kişiyi belirlenebilir kılan içerik anonim kabul edilemez. Kişisel veri niteliği ihtimali giderilemeyen içerik OpenAI’ye gönderilmemelidir. Bu yasak kişisel veri aktarımına izin veren bir hüküm değildir. Kişisel veri niteliğindeki herhangi bir yurt dışı aktarımı için KVKK m.9 kapsamındaki uygulanabilir şart ve güvencelerin ayrıca sağlanması gerekir; genel hizmet sözleşmesi veya genel açık rıza kutusu bunların yerine geçmez. Alıcı, ülke ve uygun güvence belirlenmeden aktarımın hukuken güvence altında olduğu iddia edilemez. Sağlayıcının genel veri işleme eki veya Avrupa Birliği standart sözleşmeleri, Türkiye’den aktarım için KVKK m.9 şartlarının sağlandığına tek başına kanıt sayılmaz.

İlgili kişi hakları ve başvuru

KVKK m.11 kapsamındaki bilgi alma, düzeltme, şartları varsa imha ve alıcılara bildirim, yalnız otomatik işlem sonucu aleyhe sonuca itiraz ve zararın giderilmesi hakları kullanılabilir. Başvuru yukarıdaki iş adresine yazılı veya mevzuata uygun diğer yöntemlerle; şartları karşılayan, sistemde kayıtlı e-posta üzerinden yapılabilir. Kimlik doğrulaması ölçülü yürütülür; başvurular mevzuattaki süre içinde, en geç 30 günde cevaplanır. Aydınlatmanın sunum kaydı okunduğunun veya açık rıza verildiğinin tek başına kanıtı değildir.