KVKK Aydınlatma Metni

İlgilen; WhatsApp, Instagram ve Google Business Profile üzerinden gelen mesaj ve yorumları tek gelen kutusunda toplayan, randevu süreçlerini yöneten bir yazılım hizmetidir. Hizmetin doğası gereği hem panele giriş yapan işletme kullanıcılarının hem de o işletmeye yazan son müşterilerin kişisel verileri sistemimizden geçer. Bu iki grubun hukuki durumu aynı değildir; metnin ikinci bölümü tam olarak bu ayrımı açıklar.

Metni avukat diline boğmadan, ancak Kanun'un aradığı bütün unsurları eksiksiz karşılayacak şekilde yazdık. Bir madde size kapalı geldiyse yazın; aynı gün içinde sade bir dille açıklayalım.

1. Veri sorumlusunun kimliği

Bu aydınlatma metni kapsamında veri sorumlusu, aşağıda bilgileri yer alan şirkettir:

• Unvan: İlgilen Teknoloji A.Ş.
• Adres: Merhaba Mah. Bağdat Cad. No: 123/A Kadıköy / İstanbul
• E-posta: merhaba@ilgilen.com
• Telefon: +90 212 123 45 67
• İnternet sitesi: ilgilen.com

Kişisel verilerin korunmasına ilişkin başvuru, talep ve bildirimleriniz için tek adres merhaba@ilgilen.com'dur. Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) bakımından yükümlülüğümüzün doğduğu ölçüde kaydımızı oluşturur ve veri envanterimizle birlikte güncel tutarız.

2. Sıfatımız: veri sorumlusu mu, veri işleyen mi?

Kanun, veriyi işleme amaç ve vasıtalarını belirleyen tarafı veri sorumlusu, veriyi yalnızca sorumlunun talimatıyla işleyen tarafı veri işleyen olarak tanımlar. İlgilen bu iki sıfatı farklı ilişkilerde ayrı ayrı taşır.

a) Veri sorumlusu olduğumuz durumlar

Sitemizi ziyaret eden, deneme hesabı açan, demo veya geri arama talep eden, abone olan ve panele giriş yapan kişilerin verilerinde amaç ve vasıtaları biz belirleriz. Bu verilerde veri sorumlusu İlgilen Teknoloji A.Ş.'dir. Güzellik merkezinin sahibi, şube yöneticisi, danışmanı ve resepsiyon görevlisi bu kapsamdadır.

b) Veri işleyen olduğumuz durumlar

Bir güzellik merkezine WhatsApp'tan “tüm vücut lazer ne kadar” diye yazan kişinin verisinde durum farklıdır. O mesajı hangi amaçla işleyeceğine, ne kadar saklayacağına, kimlere göstereceğine ve ne zaman sileceğine hizmeti aldığınız işletme karar verir. Bu ilişkide veri sorumlusu işletmedir; ilgilen ise işletmenin talimatları doğrultusunda hareket eden veri işleyendir.

Veri işleyen sıfatımız somut olarak şu anlama gelir:

• Son müşteri verilerini yalnızca hizmeti sunmak için, işletmenin panelde yaptığı ayarlar çerçevesinde işleriz. Kendi amaçlarımız için kullanmayız.
• Bu verileri satmayız, kiralamayız, reklam ağlarıyla paylaşmayız ve başka bir işletmeye göstermeyiz. Her işletmenin verisi teknik olarak izole tutulur.
• Son müşteri mesajlarını yapay zekâ modellerinin eğitiminde kullanmayız; alt işleyenlerimizle yaptığımız sözleşmelerde de bu kısıt yer alır.
• Saklama süresini kısaltma, konuşmayı silme, müşteri kaydını dışa aktarma ve kanal bağlantısını kaldırma araçlarını işletmeye paneli üzerinden sunarız; talimatı işletme verir, biz uygularız.
• KVKK m.12/1 uyarınca veri güvenliğine ilişkin tedbirlerden veri işleyen olarak sorumluluğumuz, veri sorumlusuyla birlikte müştereken devam eder.

Buna karşılık, hizmet aldığı müşterileri kendi aydınlatma metniyle bilgilendirmek, gerekli hâllerde açık rıza almak, veri minimizasyonuna uymak ve ilgili kişi başvurularını ilk elden yanıtlamak işletmenin yükümlülüğüdür. Bir merkeze yazdığınız mesajlarla ilgili talebinizi önce o merkeze iletmenizi öneririz; bize ulaşmanız hâlinde talebi gecikmeksizin ilgili işletmeye yönlendirir, teknik olarak bize düşen adımları uygularız.

3. İşlenen kişisel veri kategorileri

İşlediğimiz veriler, Kişisel Verileri Koruma Kurumu'nun veri kategorileri sınıflandırmasına göre aşağıdaki gibidir:

Son satır özel bir dikkat gerektirir. Güzellik ve estetik alanında çalıştığımız için müşteri mesajlarında zaman zaman sağlıkla ilişkili ifadeler geçebilir; örneğin bir cilt hassasiyetinden veya gebelik durumundan söz edilebilir. Bu tür içerikleri Kanun'un 6. maddesi kapsamındaki özel nitelikli veri hassasiyetiyle ele alırız: yapay zekâ teşhis koymaz, tedavi sonucu vaat etmez, riskli görülen konularda konuşmayı işletme personeline aktarır ve bu içerikler ek erişim kısıtlarıyla korunur. İşletmelere de bu bilgileri yalnızca gerektiği kadar kaydetmelerini öneririz.

Panelde teşhis, tanı, reçete veya tıbbi rapor niteliğinde bir alan bulunmaz. Sağlık verisi toplamayı amaçlayan bir kurgu kurmayız; bu veriler yalnızca müşterinin kendi yazdığı mesajın içinde, kaçınılmaz biçimde ortaya çıkar.

4. Kişisel verilerin işlenme amaçları

Kişisel verileri yalnızca belirli, açık ve meşru amaçlar için işleriz. Amaç ortadan kalktığında işleme de sona erer. Başlıca amaçlarımız:

• Üyelik oluşturma, hesap açma ve abonelik ilişkisinin kurulması.
• Sözleşmenin ifası: mesajların alınıp iletilmesi, randevuların oluşturulması, hatırlatmaların gönderilmesi, Google yorumlarının panele taşınması.
• Randevu takviminin doğru işletilmesi, çift rezervasyonun önlenmesi ve iptal-erteleme işlemlerinin yürütülmesi.
• Faturalandırma, tahsilat ve mali mevzuattan doğan kayıt yükümlülüklerinin yerine getirilmesi.
• Destek taleplerinin karşılanması, arıza ve şikâyet süreçlerinin yönetilmesi.
• Bilgi güvenliğinin sağlanması, yetkisiz erişimin ve kötüye kullanımın önlenmesi, denetim izinin tutulması.
• Hizmet kalitesinin ölçülmesi ve ürünün geliştirilmesi; bu amaçla mümkün olan her yerde toplulaştırılmış, kişiye bağlanamayan veriler kullanılır.
• Paket kapsamındaki kullanım haklarının takibi ve limit bilgilendirmelerinin yapılması.
• Yetkili kamu kurum ve kuruluşlarının usulüne uygun taleplerinin karşılanması.
• Hukuki uyuşmazlıklarda savunma hakkının kullanılması ve delil saklama.
• Açık rızanız varsa ürün duyuruları, yenilik bültenleri ve tanıtım iletilerinin gönderilmesi.

İlgilen'de toplu kampanya ve reklam mesajı gönderme özelliği bilinçli olarak yoktur. Amacımız, sizinle zaten iletişime geçmiş bir müşteriye hızlı ve doğru cevap vermektir; kimseye izinsiz mesaj göndermek değil.

5. Hukuki sebepler (KVKK m.5)

Kanun'un 5. maddesi, kişisel verilerin kural olarak açık rıza ile işlenebileceğini; 5/2. fıkrada sayılan hâllerde ise açık rıza aranmaksızın işlenebileceğini düzenler. Faaliyetlerimizde dayandığımız sebepler şunlardır:

• m.5/2-a — Kanunlarda açıkça öngörülmesi.
• m.5/2-c — Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması.
• m.5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• m.5/2-e — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• m.5/2-f — İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olması.
• m.5/1 — Yukarıdaki şartların bulunmadığı hâllerde ilgili kişinin açık rızası.

Kanun'un 5/2-b bendindeki fiili imkânsızlık ve 5/2-d bendindeki alenileştirme hâllerine olağan işleyişimizde dayanmayız. Özel nitelikli verilerde ise m.6/3 çerçevesinde hareket eder, açık rıza bulunmadıkça bu verileri ayrıca işlemeye konu etmeyiz.

Amaç ve hukuki sebep eşleşmemiz aşağıdaki gibidir:

6. Kişisel verilerin aktarıldığı taraflar

Kişisel verileri satmıyoruz, kiralamıyoruz ve reklam ağlarıyla paylaşmıyoruz. Aktarım yalnızca hizmetin çalışması için zorunlu olduğu ölçüde, gereken en az veriyle ve aktarımı yapılan tarafla yazılı sözleşme kurularak gerçekleştirilir.

Yurt içindeki alıcı grupları

• Barındırma ve altyapı sağlayıcımız — sunucu, veritabanı ve yedekleme hizmeti; aktarım amacı hizmetin teknik olarak sunulmasıdır.
• Ödeme kuruluşu — abonelik tahsilatı. Kart bilgileriniz bizim sistemimize hiç girmez; bize yalnızca işlem sonucu ve kartın son dört hanesi iletilir.
• E-fatura sağlayıcısı ve mali müşavir — fatura düzenleme ve muhasebe yükümlülükleri.
• Hukuk ve bağımsız denetim danışmanları — yalnızca somut bir uyuşmazlık veya denetim kapsamında ve gerektiği kadar.
• Yetkili kamu kurum ve kuruluşları ile adli merciler — usulüne uygun bir talep geldiğinde, talebin kapsamıyla sınırlı olarak.
• Hizmeti aldığınız güzellik merkezi — son müşteri verilerinde asıl veri sorumlusu olan işletme.

Yurt dışına aktarım

Kanal entegrasyonları ve doğal dilde yanıt üretimi, doğası gereği yurt dışında yerleşik sağlayıcılar üzerinden çalışır. Bu aktarımlar Kanun'un 9. maddesi kapsamında; yeterlilik kararı bulunmayan hâllerde standart sözleşme, taahhütname veya diğer uygun güvenceler ile yapılır.

Yapay zekâ tarafına gönderilen veriyi bilinçli olarak kısıtlarız. Fiyat, konum, çalışma saati, hizmet listesi ve mevcut randevu gibi soruların büyük bölümü doğrudan işletmenin veritabanından yanıtlanır; bu mesajlar yapay zekâ sağlayıcısına hiç ulaşmaz. Yanıt üretimi gerektiğinde ise konuşmanın tamamı değil, yalnızca o soruyu anlamak için gereken son birkaç mesaj ve işletmenin onayladığı bilgi parçaları iletilir. Bu yapının nasıl kurulduğunu İlgilen nasıl çalışır sayfasında adım adım anlattık.

Alt işleyen listemiz zamanla değişebilir. Yeni bir alıcı eklediğimizde bu sayfayı günceller, önemli değişiklikleri hesabınıza kayıtlı e-posta adresine bildiririz.

7. Kişisel veri toplama yöntemi

Kişisel veriler, tamamen veya kısmen otomatik yollarla ve elektronik ortamda toplanır. Fiziksel ortamda veri toplamamız yalnızca yazılı başvuru, sözleşme ve fatura süreçleriyle sınırlıdır. Başlıca yöntemler:

1. Doğrudan sizden. Kayıt formu, demo ve geri arama talepleri, panele girdiğiniz hizmet, fiyat ve çalışan bilgileri, destek yazışmaları ve telefon görüşmeleri.
2. Otomatik olarak. Siteyi ve paneli kullandığınızda oluşan erişim kayıtları, güvenlik kayıtları ve çerezler.
3. Bağladığınız kanallar üzerinden. Yalnızca resmî arayüzler kullanılır: WhatsApp Cloud API, Instagram Messaging API ve Google Business Profile API. QR kodla oturum açma, WhatsApp Web otomasyonu, resmî olmayan arayüzler veya ekran kazıma yöntemleri hiçbir koşulda kullanılmaz. Kanal bağlantısını siz onaylarsınız, panelden istediğiniz an kaldırabilirsiniz.
4. Sınırlı biçimde üçüncü taraflardan. Ödeme kuruluşundan gelen işlem sonucu ve e-fatura sağlayıcısından gelen belge durumu gibi, hizmetin işleyişi için zorunlu bilgiler.

8. Saklama ve imha

Verileri süresiz saklamayız. Saklama süresi; mevzuatta bir süre öngörülmüşse o süre, öngörülmemişse işleme amacının gerektirdiği makul süre ve genel zamanaşımı süreleri esas alınarak belirlenir. Aşağıdaki süreler varsayılan değerlerdir; mesaj ve randevu verileri için işletmeler panelden daha kısa süreler seçebilir.

Kişisel Veri Saklama ve İmha Politikamız uyarınca imha işlemlerini periyodik olarak, en geç altı ayda bir gözden geçiririz. İmha; verinin niteliğine göre silme, yok etme veya geri döndürülemez biçimde anonim hâle getirme yoluyla yapılır. Yedeklerdeki kayıtlar, yedek döngüsü tamamlandığında ortadan kalkar; bu süre boyunca yedeklere erişim yalnızca geri yükleme amacıyla ve sınırlı yetkiyle mümkündür.

Hesabınızı kapattığınızda verileriniz 30 gün boyunca geri dönüş ihtimaline karşı dondurulur, ardından mevzuatın zorunlu tuttuğu kayıtlar dışında kalan her şey silinir. Kapatmadan önce konuşma geçmişinizi ve müşteri listenizi panelden dışa aktarabilirsiniz.

9. Açık rıza gerektiren haller

Hizmetin çalışması için gereken işlemelerin neredeyse tamamı sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat sebeplerine dayanır; bunlar için ayrıca rızanızı istemeyiz. Açık rızanızı yalnızca şu sınırlı hâllerde alırız:

• Tanıtım ve bülten iletileri. Ürün duyuruları, yenilikler ve kampanya bilgilendirmeleri yalnızca kutucuğu işaretlemeniz hâlinde gönderilir.
• Ölçüm çerezleri. Hangi sayfaların ne kadar okunduğunu toplu olarak görmemizi sağlayan çerezler, rıza vermediğiniz sürece çalışmaz. Zorunlu ve tercih çerezleri bu kapsamda değildir.
• Referans ve vaka çalışmaları. İşletmenizin adını, logosunu veya deneyimini tanıtım içeriklerimizde kullanabilmek için ayrıca yazılı onayınızı isteriz.
• Uygun güvence bulunmayan yurt dışı aktarımları. KVKK m.9 kapsamındaki güvencelerden hiçbirinin sağlanamadığı istisnai durumlarda aktarım, yalnızca açık rızanızla yapılır.
• Özel nitelikli veriler. Sağlıkla ilişkili bilgilerin ayrıca işlenmesi gerektiğinde, bunun hukuki dayanağını kurmak veri sorumlusu sıfatıyla ilgili işletmeye aittir.

Açık rıza, özgür iradeyle ve belirli bir konuya ilişkin olarak verilir; dilediğiniz an geri alabilirsiniz. Rızayı geri almanız hizmetin kullanımını etkilemez. Tanıtım iletilerinden çıkmak için her e-postanın altındaki bağlantı yeterlidir; arıza, güvenlik ve fatura bildirimleri gibi zorunlu işlem iletileri gönderilmeye devam eder. Geri alma talebiniz, ulaştığı andan itibaren geleceğe etkili olarak sonuç doğurur.

10. Veri güvenliği tedbirleri

Kanun'un 12. maddesi, veri sorumlusuna uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alma yükümlülüğü getirir. Uyguladığımız başlıca tedbirler:

Teknik tedbirler

• Site, panel ve tüm sağlayıcı bağlantıları güncel TLS sürümleriyle şifrelenir; şifresiz bağlantı kabul edilmez.
• Kanal bağlantı anahtarları ve benzeri hassas bilgiler veritabanında şifreli tutulur; parolalar geri döndürülemez özet algoritmasıyla saklanır ve destek ekibimiz dâhil hiç kimse tarafından görülemez.
• Her kayıt bir işletmeye bağlıdır ve veritabanına giden her sorgu, oturumdaki işletme kimliğiyle sınırlandırılır. Bir kullanıcı, adres çubuğundaki numarayı değiştirerek dahi başka bir işletmenin verisine erişemez; bu kural için ayrı otomatik testler çalıştırılır.
• Rol bazlı yetkilendirme: sahip, şube yöneticisi, danışman ve uygulayıcı personel farklı yetkilere sahiptir.
• Giriş denemelerinde hız sınırlaması, oturum güvenliği önlemleri ve olağan dışı erişim uyarıları.
• Şifreli yedekleme ve düzenli geri yükleme tatbikatları; güncel yazılım bileşenleri ve düzenli güvenlik gözden geçirmeleri.

İdari tedbirler

• Kişisel veri envanteri, saklama ve imha politikası ile düzenli olarak güncellenen erişim yetki matrisi.
• Üretim ortamına erişim sınırlı sayıda yetkili personeldedir; erişimler kayıt altına alınır. Destek ekibi, işletmenin verisine yalnızca açık talep üzerine ve talebin gerektirdiği kadar bakar.
• Tüm çalışanlar gizlilik taahhüdü imzalar ve kişisel verilerin korunması konusunda düzenli eğitim alır.
• Alt işleyenlerle veri işleme sözleşmeleri kurulur; sağlayıcılar güvenlik ve gizlilik açısından değerlendirilir.
• Panelde yapılan kritik işlemler kim, ne zaman, hangi kayıt üzerinde bilgisiyle denetim izine yazılır.

Hiçbir sistemin yüzde yüz güvenli olduğunu iddia etmiyoruz. Kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi hâlinde durumu en kısa sürede, en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na ve etkilenen ilgili kişilere bildiririz. Güvenlik yaklaşımımızın ürün tarafındaki karşılığını özellikler sayfasının güvenlik bölümünde görebilirsiniz.

11. İlgili kişinin hakları (KVKK m.11)

Kişisel verisi işlenen herkes, veri sorumlusuna başvurarak aşağıdaki haklara sahiptir:

1. Kişisel verisinin işlenip işlenmediğini öğrenme.
2. Kişisel verisi işlenmişse buna ilişkin bilgi talep etme.
3. Kişisel verisinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
4. Yurt içinde veya yurt dışında kişisel verisinin aktarıldığı üçüncü kişileri bilme.
5. Kişisel verisinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
6. Kanun'un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verisinin silinmesini veya yok edilmesini isteme.
7. Düzeltme, silme ve yok etme işlemlerinin, kişisel verisinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
9. Kişisel verisinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Sekizinci haktaki “münhasıran otomatik analiz” konusunda şunu açıkça belirtiriz: İlgilen'de kişiler hakkında hukuki sonuç doğuran veya kişiyi önemli ölçüde etkileyen otomatik bir karar mekanizması bulunmaz. Yapay zekâ yalnızca yanıt metni önerir; fiyat, müsaitlik ve randevu bilgisi doğrudan işletmenin veritabanından gelir ve nihai karar her zaman işletme personelindedir.

12. Başvuru yöntemi ve süreler

Haklarınızı kullanmak için başvurunuzu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak aşağıdaki yollardan biriyle iletebilirsiniz:

• Yazılı olarak: Merhaba Mah. Bağdat Cad. No: 123/A Kadıköy / İstanbul adresine ıslak imzalı dilekçe veya noter aracılığıyla.
• E-posta ile: Sistemimizde kayıtlı e-posta adresinizden merhaba@ilgilen.com adresine.
• Güvenli elektronik imza veya mobil imza ile imzalanmış bir belgeyi aynı adrese göndererek.

Başvurunuzda Türkçe olarak; ad soyad, başvuru yazılı ise imza, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi ve telefon numarası ile talep konusunun bulunması gerekir. Konuya ilişkin bilgi ve belgeleri de eklemeniz, talebi daha hızlı sonuçlandırmamızı sağlar.

Başvurunuzun reddedilmesi, verdiğimiz cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâllerinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Kurul'a şikâyet yoluna gitmeden önce veri sorumlusuna başvurma şartı zorunludur.

Bir güzellik merkezine yazdığınız mesajlarla ilgili taleplerde veri sorumlusu o işletmedir; başvurunuzu öncelikle işletmeye iletmenizi öneririz. Bize ulaşmanız hâlinde talebi gecikmeksizin ilgili işletmeye yönlendirir, veri işleyen sıfatıyla bize düşen teknik adımları uygularız ve süreci takip ederiz.

13. Güncellemeler ve iletişim

Mevzuat, hizmet kapsamı veya çalıştığımız sağlayıcılar değiştikçe bu aydınlatma metnini güncelleriz. Güncel sürüm daima bu sayfada yayımlanır ve sayfanın üst kısmındaki tarih yenilenir. Haklarınızı önemli ölçüde etkileyen bir değişiklikte, değişiklik yürürlüğe girmeden en az 15 gün önce hesabınıza kayıtlı e-posta adresine bildirim göndeririz.

Kişisel verilerin korunmasına ilişkin her soru, talep ve bildirim için bize doğrudan ulaşabilirsiniz:

• Şirket: İlgilen Teknoloji A.Ş.
• Adres: Merhaba Mah. Bağdat Cad. No: 123/A Kadıköy / İstanbul
• E-posta: merhaba@ilgilen.com
• Telefon: +90 212 123 45 67

Genel sorular için iletişim sayfamızdaki formu kullanabilir, ürünün günlük kullanımına ilişkin konularda Destek Merkezi üzerinden ekibimize yazabilir, sık merak edilenler için sıkça sorulan sorular bölümüne göz atabilirsiniz. Paket kapsamları ve fiyatlar için fiyatlar sayfasını inceleyebilirsiniz.