Gizlilik Politikası ve Aydınlatma Metni
Taslak · Hukuki inceleme bekliyor
TASLAK — hukuki inceleme gerekli. Bu metin çalışma taslağıdır ve henüz yürürlükte değildir.
Bu metin, quvos.io, quvos.dev ve quvos.app üzerinden sunulan Quvos hizmetinde kişisel verilerin nasıl işlendiğini açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatma metni niteliğindedir; Avrupa Birliği ve Birleşik Krallık Genel Veri Koruma Tüzüğü ("GDPR") kapsamındaki bilgilendirme yükümlülüklerini de karşılamak üzere hazırlanmıştır.
1. Veri sorumlusu
Hesap, faturalama, güvenlik ve web sitesi verileri bakımından veri sorumlusu [Şirket unvanı]'dır. Adres: [adres], MERSİS no: [MERSİS no], VERBİS kaydı: [VERBİS kaydı].
- Gizlilik iletişim adresi: [email protected]
- Veri koruma görevlisi (DPO): [DPO iletişim]
- AB temsilcisi (GDPR md. 27): [AB temsilcisi]
- Birleşik Krallık temsilcisi: [UK temsilcisi, gerekirse]
Müşterilerin çalışma alanlarına yüklediği içerikteki kişisel veriler (örneğin depolardaki, dokümanlardaki veya geliştirilen uygulamalardaki veriler) bakımından veri sorumlusu müşterinin kendisidir; Quvos bu verileri Veri İşleme Sözleşmesi kapsamında veri işleyen sıfatıyla işler. Bu verilere ilişkin taleplerinizi öncelikle ilgili çalışma alanı sahibine iletmeniz gerekir.
2. İşlenen veriler, amaçlar ve hukuki sebepler
| Veri kategorisi | Örnekler | Amaç | KVKK hukuki sebebi (md. 5) | GDPR hukuki dayanağı |
|---|---|---|---|---|
| Kimlik ve iletişim | ad, e-posta, giriş sağlayıcı kimliği | hesabın açılması ve yönetimi | 5/2-c sözleşmenin ifası | md. 6/1-b sözleşme |
| İşlem güvenliği | parola özeti (hash), iki adımlı doğrulama verileri, giriş IP adresi, tarayıcı bilgisi, son etkinlik zamanı | hesap ve oturum güvenliği, hareketsizlik politikası | 5/2-f meşru menfaat | md. 6/1-f meşru menfaat |
| Çalışma alanı içeriği | projeler, Git depoları, Agent'lar, Skill'ler, dokümanlar, bilgi tabanı, AI Agent sohbetleri, telemetri, şifrelenmiş secret'lar | hizmetin sunulması | 5/2-c | md. 6/1-b |
| Finans | plan, faturalar, fatura adresi, vergi numarası, ödeme durumu | faturalama, muhasebe, vergi | 5/2-c, 5/2-ç hukuki yükümlülük | md. 6/1-b, 6/1-c |
| Kötüye kullanım sinyalleri | kayıt sırasında özetlenmiş (hash) IP ve cihaz bilgisi, geçici e-posta kontrolü, kaynak kullanım örüntüleri | dolandırıcılık ve kötüye kullanımın önlenmesi | 5/2-f | md. 6/1-f |
| Denetim ve destek erişim kayıtları | işlem kayıtları, destek erişim gerekçeleri | güvenlik ve hesap verebilirlik | 5/2-ç, 5/2-f | md. 6/1-c, 6/1-f |
| Onay kayıtları | kabul edilen metin, sürüm, zaman ve IP | koşulların kabulünün ispatı | 5/2-e bir hakkın tesisi ve korunması | md. 6/1-c, 6/1-f |
| Talep ve şikâyet | destek talepleri, kötüye kullanım bildirimleri | taleplerin yanıtlanması | 5/2-c, 5/2-f | md. 6/1-b, 6/1-f |
Veriler; doğrudan sizden, Hizmeti kullanımınız sırasında otomatik yollarla, seçtiğiniz kimlik sağlayıcıdan (Google, Microsoft veya GitHub: ad, doğrulanmış e-posta ve sağlayıcı kimliği) ve ödeme kuruluşlarından (ödeme durumu) elektronik ortamda toplanır. Kart bilgileri doğrudan iyzico veya Stripe ekranlarına girilir; Quvos kart numarasının tamamını saklamaz.
Kişisel verileri reklam amacıyla kullanmayız ve satmayız. Hukuki sonuç doğuran kararları yalnızca otomatik işlemeye dayanarak vermeyiz. Otomatik kötüye kullanım sinyalleri kullanımın yavaşlatılmasına veya kart doğrulaması istenmesine yol açabilir; askıya alma kararlarını bir çalışan inceler ve bu kararlara itiraz edilebilir.
3. Yapay zekâ ile işleme
İstemlere yanıt üretmek için istemler ve ilgili içerik, çalışma alanınızda tanımlı AI model sağlayıcılarına iletilir. Kendi anahtarınızı (BYOK) kullanıyorsanız bu trafik için o sağlayıcının koşulları geçerlidir. Quvos, müşteri içeriğini AI modellerinin eğitiminde kullanmaz ve bunu yasaklayan koşullara sahip sağlayıcılarla çalışır. [teyit edilecek]
4. Verilerin aktarıldığı kişiler
- Hizmetin işletilmesinde destek aldığımız alt işleyenler: bulut barındırma [GCP, barındırma bölgesi], Stripe, iyzico, AI model sağlayıcıları [liste], e-posta gönderim hizmeti [sağlayıcı belirlenecek]. Güncel liste Veri İşleme Sözleşmesi ekindedir.
- Bir Teams çalışma alanının üyeleri, diğer üyelerin adını ve e-posta adresini ve çalışma alanının içeriğini görebilir.
- Kanunen yetkili kamu kurum ve kuruluşları, yasal yükümlülük veya bağlayıcı karar bulunduğunda.
- Birleşme veya devralma halinde, bu politikaya bağlı kalmak kaydıyla halef şirket.
5. Yurt dışına aktarım
Alıcıların bir kısmı Türkiye dışında, AB kullanıcıları bakımından ise Avrupa Ekonomik Alanı dışında bulunmaktadır.
- KVKK: Yurt dışına aktarım, 6698 sayılı Kanun'un değişik 9. maddesine uygun yapılır. Yeterlilik kararı bulunan ülkelere bu karara dayanarak; bulunmayan hallerde başta Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmeler olmak üzere uygun güvencelerle aktarım yapılır. Standart sözleşmeler imzadan itibaren beş iş günü içinde Kurum'a bildirilir. Arızi aktarımlarda 9. maddenin altıncı fıkrasındaki istisnalara dayanılabilir. [alıcı bazında teyit edilecek]
- GDPR: Yeterlilik kararlarına (alıcının sertifikalı olduğu hallerde AB-ABD Veri Gizliliği Çerçevesi dahil) veya Avrupa Komisyonu Standart Sözleşme Maddelerine (ve Birleşik Krallık Eki'ne) dayanılır; gerekirse ek önlemler alınır.
Ana barındırma bölgesi [barındırma bölgesi]'dir. Güvencelerin bir örneğini [email protected] adresinden talep edebilirsiniz.
6. Saklama süreleri
- Hesap verileri: hesap var olduğu sürece. 12 ay hareketsiz kalan Free hesaplara bildirim, 30 gün sonra ikinci bildirim gönderilir; bundan 30 gün sonra hesap silinir. Ücretli hesaplar hareketsizlik nedeniyle silinmez.
- Çalışma alanı içeriği: çalışma alanı silinene kadar. Silinen alan 30 gün içinde geri yüklenebilir; ardından kalıcı olarak temizlenir ve veri anahtarları imha edilerek yedekler okunamaz hale getirilir.
- Yedekler: çalışma alanı bazında şifrelenmiş yedekler plana göre saklanır (Free 7 gün, Pro 14, Max 30, Teams 30); ayrıca veritabanı anlık geri dönüş (point-in-time recovery) kayıtları [süre belirlenecek] tutulur.
- Dışa aktarımlar: 7 gün indirilebilir, sonra silinir.
- Fatura kayıtları: vergi ve ticaret mevzuatının öngördüğü süre (Türkiye'de genel olarak 10 yıl).
- Güvenlik, denetim ve kötüye kullanım kayıtları: [süre belirlenecek]; yalnızca soruşturma veya hukuki talep için gerekli olduğunda daha uzun.
Süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve kişisel veri saklama ve imha politikamız [bağlantı belirlenecek] uyarınca silinir, yok edilir veya anonim hale getirilir.
7. Güvenlik
Parolalar yalnızca özet (hash) olarak saklanır. Secret'lar her çalışma alanına özgü veri anahtarıyla şifrelenir. Oturumlar tek bir çalışma alanına bağlıdır ve güvenli, HttpOnly çerezler kullanır; iki adımlı doğrulama mevcuttur. Destek ekibi bir çalışma alanına yalnızca salt okunur, en fazla 8 saat ve yazılı gerekçeyle erişebilir; sahip bilgilendirilir ve erişim kaydını görür. Destek ekibi secret değerlerini, terminalleri ve kişisel sohbetleri göremez.
8. Haklarınız
KVKK md. 11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, 7. madde çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz.
GDPR md. 15–22 uyarınca erişim, düzeltme, silme, işlemenin kısıtlanması, bildirim, veri taşınabilirliği, meşru menfaate dayalı işlemeye itiraz ve yalnızca otomatik karar almaya tabi olmama haklarına sahipsiniz. Rızaya dayalı işlemelerde rızanızı her zaman geri alabilirsiniz.
Birçok hakkınızı hesap ayarlarından doğrudan kullanabilirsiniz (profil düzenleme, dışa aktarım, hesap silme). Diğer talepler için [email protected] adresine yazabilir veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak [adres] adresine yazılı olarak ya da [KEP adresi] KEP adresine başvurabilirsiniz. Başvurular en geç 30 gün içinde (GDPR kapsamında bir ay, izin verilen hallerde uzatılabilir) sonuçlandırılır; kimlik doğrulaması istenebilir.
Başvurunuzun reddedilmesi, yanıtı yetersiz bulmanız veya süresinde yanıt verilmemesi halinde Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikâyette bulunabilirsiniz. AB/AEA'da bulunan kullanıcılar yerleşim veya çalışma yerlerindeki denetim makamına, Birleşik Krallık'takiler ICO'ya başvurabilir.
9. Çerezler
Yalnızca kesinlikle gerekli birinci taraf çerezleri kullanıyoruz. Ayrıntılar için Çerez Politikası'na bakınız.
10. Çocuklar
Hizmet [16] yaşından küçüklere yönelik değildir. Bir çocuğun bize veri verdiğini düşünüyorsanız [email protected] adresine bildirin.
11. Değişiklikler
Bu metni güncelleyebiliriz. Esaslı değişiklikleri önceden e-posta veya Hizmet içi bildirimle duyurur, gerektiğinde yeni sürümün kabulünü isteriz. Tüm sürümler https://quvos.io/legal/privacy adresinde saklanır.