Gizlilik Politikası

1. Genel yaklaşım

STAJYER, kişisel verilerin korunmasını sonradan eklenen bir uyum katmanı olarak değil, ürünün kurucu ilkesi olarak ele alır: KVKK önce. Veri işleyen her özellik, tasarım aşamasında bu ilkeye göre kurulur. Bu sayfa, gizlilik uygulamamızın özetidir; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki ayrıntılı aydınlatma için KVKK Aydınlatma Metni sayfasına bakınız.

2. İşlenen veriler (özet)

Hizmetin sunulması kapsamında işlenen başlıca veri kategorileri şunlardır:

• Hesap bilgileri: ad, e-posta adresi, rol ve bağlı olduğunuz organizasyon.
• Yüklenen belgeler ve içerik: platforma yüklediğiniz sözleşmeler, dosyalar ve bunlardan türetilen analiz çıktıları. İsteğe bağlı tarayıcı eklentisiyle UYAP'tan aktardığınız dosyalar da bu kategoriye girer; eklentinin neyi okuyup neyi okumadığı 9. bölümde ayrıca açıklanmıştır.
• Asistan sohbetleri: asistana yönelttiğiniz sorular ve aldığınız yanıtlar.
• Kullanım telemetrisi: hizmetin sağlıklı çalışmasını izlemek için toplanan teknik kayıtlar. Bu kayıtlara kullanıcı kimliği yazılmaz; sorular ham metin olarak değil hash'iyle tutulur, organizasyon kimliği ise kiracı ayrımı için ham bulunur. Telemetri şemasında içerik kolonu yoktur: belge metni ve ham soru hiç yazılmaz.

3. Verinin nerede tutulduğu

Verileriniz Frankfurt'ta (Almanya) barındırılır; model çağrıları AB bölgeleri içinde işlenir. Kullandığımız altyapı bileşenleri ve bölgeleri:

• AWS — sözleşme tarafı AWS Turkey Pazarlama Teknoloji ve Danışmanlık Hizmetleri Limited Şirketi. Model çağrıları eu-central-1 (Frankfurt) çıkışlıdır ve şu 6 AB bölgesini kapsayan çapraz-bölge çıkarım profili üzerinden yürütülür: Frankfurt (Almanya), İrlanda, Paris (Fransa), Stockholm (İsveç), Milano (İtalya) ve İspanya (Aragón). Tekil bir çağrı bu bölgelerden herhangi birinde karşılanabilir ve bu çağrılarda veri saklanmaz. Arama dizini (embedding) üretimi bu profilden bağımsızdır ve tek bölgede yürür (yalnız eu-central-1 (Frankfurt)). Platform e-postalarının gönderimi ile taranmış belgelerin metne dönüştürülmesi (etkinleştirildiğinde) de aynı sağlayıcıda, eu-central-1 bölgesinde yürütülür.
• Supabase — veritabanı ve dosya depolama, Frankfurt.
• Vercel — uygulama barındırma, fra1 (Frankfurt) bölgesi.

Her alt-işleyenin işlevi, işleme konumu ve yürüttüğü işleme adımları — bugün AB dışında bulunan ve devre dışı duran tek uç dahil — Alt-İşleyenler envanterinde tek tek sayılır. Bir işleme konumunun değişmesi, envanterin değişiklik usulüne tabidir.

4. Verinin nasıl korunduğu

• RLS org-izolasyonu: işler, belgeler, incelemeler, sohbetler ve entegrasyon kayıtları satır seviyesinde (Row-Level Security) organizasyona bağlanır; başka bir organizasyonun kaydına erişim veritabanı seviyesinde reddedilir.
• Arama dizini izolasyonu: belge metni ve arama dizini kayıtları, veritabanı politikasıyla değil, uygulama katmanındaki organizasyon parametresiyle ayrılır. Bu ayrımı açıkça belirtiyoruz; "tüm veriler veritabanı seviyesinde izole edilir" demiyoruz.
• Rol kapıları: belge silme gibi geri alınamaz işlemler ve yönetim uçları sunucu tarafında rol denetimine tabidir.
• Kullanım tavanları: hesap bazında kullanım sınırları uygulanır.

Uygulanan ve uygulanmayan tedbirlerin tam envanteri — kurumsal SSO, personel erişim kaydı, bağımsız denetim raporu ve zorunlu çok faktörlü kimlik doğrulama dahil bugün bulunmayanlar — Veri İşleme Sözleşmesi'nin 8. maddesindedir. Müvekkil verisine personel erişimi için Meslek Sırrı sayfasına bakınız.

5. Çerezler

Yalnızca oturum yönetimi için zorunlu çerezler kullanılır. Reklam veya izleme amaçlı çerez kullanılmaz; üçüncü taraf pazarlama araçlarına veri aktarılmaz. Tanıtım sayfalarımız hiçbir çerez yazmaz. Analitik ve ölçümleme araçları envanterimizde bugün yer almıyor; böyle bir aracın eklenmesi, alt-işleyen değişiklik usulüne tabidir. Ayrıntılar için Çerez Politikası sayfasına bakınız.

6. Üçüncü taraflarla paylaşım

Verileriniz satılmaz ve pazarlama amacıyla üçüncü taraflarla paylaşılmaz. Veri aktarımı yalnızca hizmetin çalışması için gereken alt-işleyenlerle sınırlıdır. Her birinin işlevi, veri lokasyonu ve eriştiği veri kategorisiyle birlikte tam listesi: Alt-İşleyenler.

Model sağlayıcıya iletilen içeriğin model eğitiminde kullanılıp kullanılmaması, sağlayıcının sözleşme koşullarına tabidir. Kullandığımız AWS Bedrock hizmetinin varsayılan koşulları, müşteri içeriğinin model eğitiminde kullanılmamasıdır; buna rağmen bu güvenceyi kendi taahhüdümüz olarak değil, sağlayıcı koşullarının bir sonucu olarak aktarıyoruz ve bu koşulları düzenli olarak takip ediyoruz.

7. Saklama ve silme

Hesabınızın veya organizasyonunuzun silinmesi hâlinde silme kaskadı çalışır: yüklenen belgeler, bunlardan türetilen embedding'ler ve depolanan dosyalar birlikte silinir. Veritabanı kaydının silinmesi garantilidir; arama dizini ve depolanan dosyanın kaldırılması en iyi gayret esasına tabidir.

Silinen bir veri, silme anından itibaren canlı sistemde bulunmaz; silme öncesinde alınmış yedeklerde ise o yedek yaşlanıp düşene kadar bulunmaya devam eder. Kayıt türlerine göre saklama süreleri, yedeklerin saklanma süresi ve bugün otomatik temizliği bulunmayan kayıtlar Saklama ve İmha sayfasında açıkça belirtilmiştir.

8. Haklarınız

KVKK m.11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini talep etme ve zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. Hakların kapsamı ve başvuru usulü için KVKK Aydınlatma Metni sayfasına bakınız.

10. İletişim

Gizlilikle ilgili soru ve talepleriniz için bize iletisim@stajyer.ai adresinden ulaşabilirsiniz.