Gizlilik politikası

TASLAK — hukuki tavsiye değildir, kullanımdan önce hukukçu incelemesi gerekir.

• Belge: Gizlilik Politikası (platform veri sorumlusu olarak) · Dil: Türkçe · Sürüm: 0.1 taslak · Tarih: 2026-10-26
• Dayanak: docs/research/06-legal-compliance.md R4, F2, F8, F9, F10. Tüm yer tutucular 2026-10-27’de (F1-64) kapatılmıştır; † ile işaretli cümleler hâlâ hukukçu teyidi bekler (son bölümde listelenir). Şirket ülkesi: Türkiye.
• Türkiye’deki kullanıcılar için ayrıca KVKK Aydınlatma Metni’ne bakın (kvkk-aydinlatma.tr.md); bu metin herhangi bir açık rıza metninden ayrı tutulur.

1. Biz kimiz

1.1 Bu politikada anlatılan kişisel verilerin veri sorumlusu Faruk Sancak TiklaWeb Bilişim Hizmetleri (şahıs işletmesi), Türkiye, Atatürk Mahallesi Dilek Sokak No: 12 İç Kapı No: 5, Küçükçekmece / İstanbul (“biz”) şirketidir. Gizlilik konularında iletişim: privacy@gondero.com; atanmışsa veri koruma görevlisi: atanmış değildir.†

1.2 Şu anda GDPR m.27 / UK GDPR kapsamında atanmış bir temsilcimiz yoktur. m.3(2)’nin platformumuza uygulanıp uygulanmadığı hukuki inceleme altındadır. Temsilci gerekirse AB’de ve Birleşik Krallık’ta bir temsilci atar, adını ve adresini burada yayımlarız.†

1.3 VERBİS’e (Veri Sorumluları Sicili) kayıtlı değiliz. Kayıt yükümlülüğü bir hukukçu ve mali müşavirle teyit edilmektedir: yurt içindeki veri sorumluları, ana faaliyeti özel nitelikli veri değilse 50 çalışan ve 100 milyon TL yıllık bilanço toplamının altında muaftır; yurt dışında yerleşik veri sorumlularının büyüklüğe bakılmaksızın kayıt yükümlüsü olduğu belirtilir (06 F1.3).†

2. Kapsam: bu politika neyi kapsar, neyi kapsamaz

2.1 Kapsananlar: web sitemizi ziyaret edenler ile bizde hesabı olan kişi ve kuruluşlara ilişkin kişisel veriler; faturalama irtibatları, Yetkili Kullanıcılar, destek talepleri ve güvenlik kayıtları dahil. Bu veride veri sorumlusu biziz.

2.2 Kapsanmayanlar: müşterilerimizin yüklediği ya da bulduğu lead ve mesaj alıcılarının kişisel verileri. Bu veride veri sorumlusu müşterimizdir; biz Veri İşleme Sözleşmesi uyarınca müşterinin adına işleriz. Müşterilerimizden birinin gönderdiği bir mesajı aldıysanız o müşteriyle iletişime geçin; size cevap vermesi için ona yardım ederiz.

2.3 Lead kişisel verisini müşteriler arasında birleştirmeyiz ve ortak bir lead veritabanı oluşturmayız.

3. Topladığımız veriler

3.1 Hesap verisi: ad, iş e-postası, rol, kuruluş, kimlik bilgileri (hash’lenmiş ya da şifreli saklanır), iki aşamalı doğrulama ayarları. 3.2 Faturalama verisi: faturalama irtibatı, vergi bilgileri ve ödeme durumu. Ödeme kartı verisini PayTR işler; kart numarası PayTR’ın güvenli sayfasına girilir. 3.3 Kullanım ve güvenlik verisi: girişler, IP adresi, cihaz ve tarayıcı verisi, denetim günlükleri, API kullanımı, kötüye kullanım önleme sinyalleri. 3.4 Destek verisi: bize gönderdiğiniz mesajlar ve sizin yetkilendirdiğiniz bir destek oturumunda sorunu çözmek için gereken veri. 3.5 Bağlantı verisi: posta kutusu ve üçüncü taraf bağlantıları için token’lar ve ayarlar; şifreli saklanır. Sırları size geri göstermeyiz, günlüklere yazmayız.

4. Amaçlar ve hukuki sebepler

4.1 Tablo önerilen amaçları ve sebepleri listeler. Her yargı alanı için önerilmiştir, hukukçu teyit edecek.

4.2 Meşru menfaate dayandığımız yerlerde bunları haklarınızla tarttık; itiraz edebilirsiniz (10. madde).

4.3 Açık rıza istediğimiz yerlerde bunu bu politikadan ayrı olarak isteriz ve istediğiniz zaman geri alabilirsiniz.

5. Çerezler ve benzeri teknolojiler

5.1 Web sitesi. Web sitesi çerez bırakmaz ve benzeri teknoloji kullanmaz (2026-10-27 kararı; bkz. Çerez Politikası, 2. bölüm). Analitik, reklam ya da üçüncü taraf kaynak yoktur ve ziyaretçileri ölçmek, profillemek ya da izlemek için hiçbir şey kullanılmaz. Panel. Oturum açtıktan sonra panel, istediğiniz hizmet için kesinlikle gerekli bir oturum çerezi kullanır; reklam çerezi kullanmaz (Çerez Politikası, 4. bölüm). Platformun giden e-postalarında varsayılan olarak açılma takip pikseli kullanılmaz; bu bir müşteri ayarıdır ve müşterinin kendi bilgilendirmelerinin konusu olan ayrı bir meseledir.

5A. Web sitesi ziyaretçileri ve bize e-posta gönderenler

2026-10-27 tarihinde eklendi (F1-87). 5A numarası diğer bölümlerin numaralandırmasını değiştirmez. Taslağın geri kalanı gibi hukukçu incelemesi gerekir.

5A.1 Kapsam. Bu bölüm, Gondero tanıtım web sitesinin ziyaretçilerini ve erken erişim, demo ya da soru için bize e-posta ile yazan kişileri kapsar. Hesap sahiplerini (3. ve 4. bölümler) ya da müşterilerimizin kişi listelerini (2.2) kapsamaz.

5A.2 Web sitesi ne yapar. Web sitesi statik sayfalardan oluşur. Hesap, iletişim formu, analitik ve üçüncü taraf kaynak yoktur (yazı tipleri ve betikler kendi sunucumuzdan gelir). Çerez bırakmaz; Çerez Politikası’na bakın.

5A.3 Sunucu günlükleri. Web sitesini barındıran şirket, Hostinger, siteyi sunmak ve korumak için standart sunucu günlüklerini (IP adresi, zaman, istenen sayfa, tarayıcı bilgisi) işler. Hostinger bu günlükleri kendi saklama takvimine göre tutar; bunu teyit etmedik (DOĞRULANAMADI).† Siteyi barındıran veri merkezi yayın sırasında seçilir ve henüz teyit edilmemiştir (DOĞRULANAMADI). Hostinger’ın yayımladığı VPS konumları FR, DE, LT, UK, IN, ID, MY, US ve BR’dir ve hiçbiri Türkiye’de değildir (13 numaralı araştırma raporu); bu nedenle günlükler Türkiye dışında işlenebilir. Aktarım mekanizması: KVKK’ya tabi veri için KVKK standart sözleşmesi yolu, aksi halde ziyaretçinin bölgesinin aktarım kuralları (7. bölüm).†

5A.4 Bize gönderdiğiniz e-posta. Sitedeki düğmeler, kendi e-posta uygulamanızı hazır doldurulmuş bir mesajla açar. Sayfanın kendisi hiçbir şey göndermez. Mesajı gönderirseniz e-posta adresinizi, yazdığınız ad, şirket ve ülke bilgisini ve mesajı alırız. Bunları yanıt vermek ve talebin kaydını tutmak için kullanırız. Önerilen dayanak: meşru menfaat ve sözleşme öncesinde talebiniz üzerine yapılan işlemler (önerilen, hukukçu teyit edecek). Talebi, sizinle son temasımızdan 12 ay sonrasına kadar saklar, ardından sileriz ya da anonimleştiririz (etkileşimi olmayan kişiler için platform varsayılanı, 06 T4).†

5A.5 Paylaşım. Bu veriyi satmayız ve profil çıkarmak için kullanmayız. Yalnızca e-posta ve barındırma hizmetlerimizi yürüten sağlayıcılarla paylaşılır (https://gondero.com/tr/legal/subprocessors/). Siz istemedikçe size pazarlama iletisi göndermeyiz.

5A.6 Haklarınız. 10. bölüm geçerlidir. privacy@gondero.com adresine yazın.

6. Paylaşım ve alt işleyiciler

6.1 Veriyi yalnızca şunlarla paylaşırız: (a) talimatımızla hareket eden hizmet sağlayıcılar (barındırma, kendi transactional e-postalarımız için e-posta altyapısı, faturalama, hata izleme, yapay zekâ sağlayıcıları); (b) kanunen gerektiğinde profesyonel danışmanlar ve makamlar; (c) birleşme ya da satışta halef, size bildirimle.

6.2 Güncel alt işleyiciler https://gondero.com/tr/legal/subprocessors/ adresinde listelenir. Kendi transactional e-postamız (davet, şifre sıfırlama, uyarılar) ayrı bir platform göndericisi üzerinden gider ve müşteri kampanya içeriği taşımaz.

6.3 Kişisel veri satmayız.

7. Yurt dışına aktarım

7.1 Kişisel veri toplandığı ülkenin dışına çıktığında hukuka uygun bir aktarım mekanizması kullanırız: AB Standart Sözleşme Maddeleri (Modül 2 ve 3), UK Eki (UK Addendum) ve Türkiye’den çıkan kişisel veri için Kişisel Verileri Koruma Kurulu’nun değiştirilmeden kullanılan ve imzadan sonra 5 iş günü içinde bildirilen standart sözleşmesi (KVKK m.9).

7.2 Türkiye’nin AB yeterlilik kararı yoktur. Platformun barındırma sağlayıcısı ve bölgesi henüz seçilmemiştir (ADR-008) ve ilk sürümde bölge sabitleme yoktur. Türkiye kaynaklı kişisel veri için KVKK standart sözleşmesi yolu, AB/AEA kaynaklı veri için AB Standart Sözleşme Maddeleri, Birleşik Krallık kaynaklı veri için UK Eki uygulanır (DPA Ek D).†

7.3 KVKK yeterlilik kararı bulamadık; hiç yokmuş gibi tasarlıyoruz.

8. Yapay zekâ işleme

8.1 Yapay zekâ modellerini kullanan özellikler, lead kişisel verisi varsayılan olarak modele gönderilmeyecek biçimde tasarlanmıştır: istemler, üretimden sonra doldurulan yer tutucular kullanır.

8.2 Bir yapay zekâ özelliği kişisel veriyi işlemek zorunda olduğunda (örneğin yanıt sınıflandırma), yalnızca kişinin bölgesi için bir aktarım dayanağı bulunan yerlerde kullanırız. Planlanan yapay zekâ sağlayıcımız Anthropic’tir. Çıkarım bölgesi yalnızca global ya da ABD olabilir, AB seçeneği yoktur ve DPA’sı KVKK’yı kapsamaz (alt işleyici listesi, 2. satır).†

8.3 Yapay zekâ sağlayıcımızın girdi ve çıktıları varsayılan olarak 30 gün içinde silinir; istisnalar vardır (örneğin dosyalar ve politika ihlali işaretleri). Sıfır veri saklama düzenlemesi varsa o geçerlidir. Sağlayıcının güncel şartları geçerlidir ve özellik yayına alınmadan önce teyit edilir.†

8.4 Çalışma alanı verinize kendi yapay zekâ istemcinizden (MCP) erişim varsayılan olarak kapalıdır ve yalnızca çalışma alanı sahibi ya da yöneticisi tarafından açılır.

9. Saklama

9.1 Aşağıdaki önerilen varsayılanlar işlediğimiz veriye uygulanır; müşterinin kontrolündeki veri için kiracı tarafından ayarlanabilir süreler geçerlidir. Önerilmiştir, hukukçu teyit edecek.

9.2 İptalden sonra çalışma alanınız 30 gün silinme bekleme durumuna geçer, ardından sileriz.

10. Haklarınız

10.1 Yaşadığınız yere bağlı olarak verilerinize erişme, düzeltme, silme, kısıtlama ya da taşıma, işlemeye itiraz etme (doğrudan pazarlamaya mutlak itiraz hakkı dahil) ve rızayı geri alma haklarına sahip olabilirsiniz.

10.2 Talepleri GDPR ve UK GDPR kapsamında bir ay içinde (kanunun izin verdiği hallerde iki ay uzatılabilir), KVKK m.13/2 kapsamında ücretsiz ve 30 gün içinde yanıtlarız. Eşikleri aşıldığında California sakinleri CCPA kapsamında haklara sahip olabilir.

10.3 Bir hakkı kullanmak için privacy@gondero.com adresine yazın. Ayrıca veri koruma otoritenize şikâyet edebilirsiniz (Türkiye için KVKK Kurulu).

11. Güvenlik

11.1 Riske uygun teknik ve idari tedbirler uygularız: kiracı yalıtımı, saklanan kimlik bilgilerinin şifrelenmesi, erişim denetimi, denetim günlüğü ve iki aşamalı doğrulama. Tedbirler Veri İşleme Sözleşmesi Ek B’de listelenmiştir.

11.2 Yöneticilerimiz, günlüğe alınan süreli bir destek oturumu dışında müşteri içeriğini okumaz.

11.3 Bir kişisel veri ihlali verinizi etkilerse ilgili kişi ve makamlara kanunun gerektirdiği şekilde bildirim yaparız. KVKK m.12/5 uyarınca veri sorumlusu ilgili kişiye ve Kurul’a en kısa sürede bildirir; GDPR m.33 ve 34 uyarınca veri sorumlusu denetim otoritesine ve risk yüksekse ilgili kişilere bildirir. Müşterinin lead verisinde müşteriyi gecikmeksizin bilgilendiririz (DPA, 9. bölüm).†

12. Bu politikadaki değişiklikler

12.1 İşlememiz değiştiğinde bu politikayı güncelleriz ve esaslı değişiklikleri uygulanmadan makul bir süre önce bildiririz. Sürüm ve tarih üstte gösterilir.

13. İletişim

13.1 Faruk Sancak TiklaWeb Bilişim Hizmetleri (şahıs işletmesi), Atatürk Mahallesi Dilek Sokak No: 12 İç Kapı No: 5, Küçükçekmece / İstanbul, privacy@gondero.com.

14. İnceleyen hukukçu için notlar

• m.27 temsilcisi (1.2), VERBİS (1.3) ve barındırma konumu (7.2) inceleme altında olarak belirtilmiştir; hukukçu karar verir (06 F10, L8, R6).
• Platform/kiracı rol ayrımını (hesap verisinde veri sorumlusu, lead verisinde veri işleyen) ve ortak bir kiracılar arası lead önbelleği ya da global bastırmanın platformu veri sorumlusu yapmadığını teyit edin (06 F10, L5).
• 9. maddedeki saklama değerleri 06 önerileridir (T4); yasal alt ya da üst sınır değildir; yargı alanı bazında teyit edin.
• KVKK m.5/2 sebeplerini ve KVKK Aydınlatma Metni’nin rıza metninden ayrılığını teyit edin (06 F1.3, 2026/347 kararı [S]).
• Yapay zekâ aktarım ifadesini teyit edin: Anthropic DPA’sı AB SCC Modül 2 ve 3, UK Eki ve İsviçre hukukunu kapsar ama KVKK’yı ve DPF’yi kapsamaz; herhangi bir sağlayıcının KVKK standart sözleşmesini imzalayıp imzalamayacağı DOĞRULANAMADI (06 F8).
• 2026-10-27 tarihinde (F1-89) content-input/company.md dosyasından dolduruldu: unvan, vergi dairesi ve numarası, adres ve e-posta adresleri. Şahıs işletmesi olduğu için MERSIS numarası yoktur; esnaf ya da tacir statüsünü mali müşavir teyit edecek. hello@, support@, privacy@, billing@ ve security@gondero.com posta kutuları açıktır. legal@, abuse@, postmaster@, dmarc@ ve no-reply@ henüz yoktur; bu yüzden hukuki bildirimler ve kötüye kullanım şikâyetleri için, onlar açılana kadar hello@gondero.com kullanılır. Başlıkta şirket ülkesinin bilinmediğini söyleyen ifadeler geçersizdir (Türkiye); seçenekler 2026-10-27’de karara bağlandı. Tüm yer tutucular 2026-10-27’de (F1-64) kapatıldı; durum tablosu README.md içinde.
• † Hukukçu teyidi bekleyen maddeler: 1.1, 1.2, 1.3, 4.1, 5A.3, 5A.4, 7.2, 8.2, 8.3, 9.1, 11.3.