KVKK aydınlatma metni

1. Veri sorumlusu ve kapsam

Veri sorumlusu, Türkiye'de bağımsız olarak işletilen Citeply yazılım hizmetinin operatörü Engin Mutlu'dur. Citeply bir ürün ve ticari kullanım adıdır; şirketleşme iddiası taşımaz. Kişisel verilerin korunmasına ilişkin sorular için privacy@citeply.com adresi kullanılabilir.

Bir müşteri kuruluşun kendi workspace'ine yüklediği veya bağladığı içerik bakımından müşteri kuruluş veri sorumlusu, Citeply ise müşterinin talimatlarıyla hareket eden veri işleyen olabilir. Citeply'nin hesap, güvenlik, destek ve ticari operasyon amacıyla bağımsız olarak belirlediği işlemler bakımından yukarıdaki operatör veri sorumlusudur.

2. İşlenen kişisel veri kategorileri

• Kimlik ve iletişim: ad, iş e-postası, kuruluş, rol ve kullanıcı/tenant tanımlayıcıları.
• Hesap güvenliği: parola özeti, MFA durumu, oturum, cihaz, başarısız giriş ve güvenlik kayıtları. Açık parola saklanmaz.
• Müşteri içeriği: yetkili kullanıcının yüklediği anketler, kanıtlar, cevaplar, atıflar, inceleme kararları ve denetim olayları.
• Entegrasyon: yetkili yönetici tarafından etkinleştirilen Microsoft 365 bağlantı ve izin tanımlayıcıları; seçilen dosya veya posta eki bilgileri.
• Ticari ve destek: plan, abonelik yaşam döngüsü, Paddle işlem tanımlayıcıları, destek mesajları ve hizmet kullanım olayları.

Citeply ödeme kartı numarası veya kart güvenlik kodu saklamaz; bu veriler ödeme sağlayıcısı tarafından işlenir.

3. İşleme amaçları ve hukuki sebepler

• Hesap açma, kimlik doğrulama, hizmet sunma, abonelik ve destek işlemleri: sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma.
• Faturalama, vergi, yetkili makam talepleri ve zorunlu kayıtlar: hukuki yükümlülüğün yerine getirilmesi.
• Tenant izolasyonu, kötüye kullanımın önlenmesi, olay müdahalesi, hak talepleri ve denetim izi: bir hakkın tesisi, kullanılması veya korunması ile temel haklara zarar vermemek kaydıyla meşru menfaat.
• Açıkça isteğe bağlı bağlantılar veya kanunen rıza gerektiren işlemler: ilgili kişinin açık rızası. Rızanın geri alınması önceki işlemenin hukuka uygunluğunu etkilemez.

İşleme amacı ile hukuki sebep birbirinden ayrı değerlendirilir; veriler gelecekte belirsiz amaçlarla kullanılmaz.

4. Toplama yöntemleri

Veriler; kayıt ve destek formları, yüklemeler, müşteri yöneticilerinin davet ve yetkilendirmeleri, isteğe bağlı bağlantılar, tarayıcı ve sunucu güvenlik kayıtları, Paddle ve Resend tarafından doğrulanmış yaşam döngüsü bildirimleri yoluyla elektronik olarak elde edilir.

5. Aktarım ve yurt dışı işleme

Veriler yalnız hizmetin sunulması, güvenliği, e-posta teslimi, ödeme yönetimi ve etkinleştirilen bağlantılar için gerekli alıcı gruplarına aktarılır. Sağlayıcılar, amaçlar, veri kategorileri, etkinleşme sınırları ve bölgeler alt işleyen sicilinde açıklanır. Bu hizmetlerin bir bölümü Türkiye dışında işleme gerektirebilir. Bu durumda aktarım; uygulanabilir KVKK hükümleri kapsamında yeterlilik kararına, uygun güvenceye, standart sözleşmeye veya kanunen tanınan başka bir aktarım mekanizmasına dayandırılır. Gerekli aktarım mekanizmasının kurulamadığı bir işlem kullanıma açılmaz.

6. Saklama ve silme

Workspace içeriği için varsayılan yapılandırılabilir süre 365 gündür. Tam silme talebi erişimi ve arka plan işlemlerini derhal durdurur; veri 30 günlük denetimli kurtarma penceresinden sonra kapsam envanteriyle silinir. Tamamlanmamış, içeriksiz yerel kayıtlar son uygun etkinlikten yedi gün sonra güvenli şartlar sağlanırsa kaldırılır. Faturalama, uyuşmazlık ve güvenlik kayıtları yalnız belgelenmiş hukuki süre boyunca asgari kapsamda tutulur. Ayrıntılar Gizlilik Bildirimi'nde yer alır.

7. İlgili kişinin hakları

6698 sayılı Kanun'un 11. maddesi kapsamındaki bilgi alma, erişim, düzeltme, silme veya yok etme, aktarılan üçüncü kişileri öğrenme, otomatik analiz sonucuna itiraz etme ve zararın giderilmesini isteme hakları kullanılabilir. Talep, kimliği ve talep kapsamını doğrulamaya yetecek asgari bilgiyle privacy@citeply.com adresine iletilebilir. Başka bir tenant veya kişinin verisi yalnız e-posta talebiyle açıklanmaz.

8. Çerezler ve cihaz tercihleri

Uygulama; güvenli oturum, OAuth işlem bütünlüğü ve kötüye kullanım önleme için zorunlu, HttpOnly güvenlik çerezleri kullanır. Tema ve menü görünümü gibi cihaz tercihleri tarayıcı yerel depolamasında tutulabilir. Mevcut yayında reklam veya davranışsal profil oluşturma çerezi kullanılmaz. İleride zorunlu olmayan ölçüm teknolojisi eklenirse gerekli bilgilendirme ve tercih mekanizması etkinleştirilmeden çalıştırılmaz.