Gizlilik Politikası

1. Rollerimiz: Ne Zaman Veri Sorumlusu, Ne Zaman Veri İşleyen

Platformda iki farklı veri kümesi bulunur ve inTusell bu iki kümede aynı sıfatı taşımaz. Veri sorumlusu, işlemenin amacını ve vasıtalarını belirleyen taraftır; veri işleyen, verileri sorumlunun talimatıyla işleyen taraftır.

1.1 inTusell'in veri SORUMLUSU olduğu veriler

Amacını ve vasıtalarını inTusell'in kendisi belirlediği, kendi SaaS müşterisiyle ilişkisine ait veriler:

• Hesap verisi: Kurum kullanıcılarının adı, e-posta adresi, telefon numarası, şifresi (şifreli halde), profil bilgileri
• Fatura ve ödeme verisi: Abonelik bilgileri, ödeme geçmişi, fatura kayıtları
• Destek yazismalari: Destek talepleri, geri bildirimler, inTusell ile yapılan e-posta yazışmaları
• Kullanım ve telemetri verisi: Oturum kayıtları, IP adresi, cihaz ve tarayıcı bilgisi, kullanım istatistikleri, hata kayıtları
• Pazarlama iletisimi: Çerez kayıtları, kampanya tercihleri, iletişim izinleri

Bu küme bakımından veri sorumlusu:

• Unvan: LORD BROTHERS ULUSLARARASI İTHALAT İHRACAT MADENCİLİK TİCARET LİMİTED ŞİRKETİ
• Adres: Ünalan Mah. Libadiye Cad. Emar Residence No: 82 E İç Kapı No: 291 Üsküdar / İstanbul
• Vergi dairesi: Ümraniye
• VKN: 6091025919
• MERSİS no: 0609102591900001
• Ticaret sicil no: 257054-5
• E-posta: hi@intusell.com
• Web: intusell.com

1.2 inTusell'in veri İŞLEYEN olduğu veriler

Müşteri kurumun (okul, klinik, eczane, acente, mağaza vb.) platform üzerinden topladığı ve işlediği son-müşteri verisi. Bu kümede amacı ve vasıtaları müşteri kurum belirler; inTusell yalnızca onun talimatıyla ve hizmet sözleşmesi çerçevesinde işler:

• Kisi kayıtları: Son müşterilerin, velilerin veya hastaların adı, telefonu, e-postası, etiketleri ve kurumun tanımladığı özel alanlar
• Konuşma ve mesaj içerikleri: WhatsApp, Instagram DM, Telegram ve web sohbeti yazışmalarının tam metni
• Randevu ve seans kayıtları
• Satış fırsatı, teklif ve sipariş kayıtları
• Bilgi tabanı içerikleri: Kurumun yüklediği belge, fiyat listesi, sıkça sorulan sorular ve ürün metinleri
• Sesli arama verileri: Çağrı kayıtları ve dökümleri (yalnızca ilgili modül kurum tarafından etkinleştirildiğinde)

Bu kümedeki veriler bakımından veri sorumlusu, hizmeti kullanan müşteri kurumdur, inTusell değildir. İlgili kişi (örneğin veli, hasta veya tüketici) olarak 8. bölümdeki haklarınızı kullanmak istiyorsanız, talebinizi öncelikle verinizi toplayan kuruma yöneltmeniz gerekir. inTusell'e ulaşan bu tür talepleri, ilgili kurumu bilgilendirerek ve kurumun talimatı doğrultusunda karşılar; talep hakkında kendi başına bir karar vermez. Verinizi hangi kurumun işlediğini bilmiyorsanız hi@intusell.comadresine yazabilirsiniz; sizi ilgili kuruma yönlendirebiliriz.

1.3 Veri işleyen sıfatıyla yükümlülüklerimiz

• Talimatla işleme: Bu verileri yalnızca müşteri kurumun talimatı ve hizmet sözleşmesinin amacı doğrultusunda işleriz; kendi amaçlarımız için kullanmayız
• Gizlilik: Verilere erişebilen personel gizlilik yükümlülüğü altındadır; erişim görev bazlı olarak sınırlandırılır
• Güvenlik tedbirleri: 10. bölümdeki teknik ve idari tedbirler (RLS ile kiracılar arası izolasyon, TLS, şifreli kimlik bilgisi saklama)
• Alt-isleyen seffafligi: Kullandığımız alt-işleyenler 5. bölümde tek tek listelenir
• İhlal bildirimi: Veri ihlalini gecikmeksizin müşteri kuruma bildiririz; yetkili makama ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olan kuruma aittir (11. bölüm)
• İade veya imha: Hizmet sözleşmesi sona erdiğinde, kurumun talimatina göre verileri kuruma iade eder veya imha ederiz

2. Toplanan Veriler

Aşağıdaki liste, inTusell'in veri sorumlusu sıfatıyla (1.1) topladığı verileri tanımlar. Bir kurumun 1.2'deki kümede hangi verileri topladığı, o kurumun kendi aydınlatma metninde belirtilir:

• Kimlik Bilgileri: Ad, soyad, e-posta adresi, telefon numarası
• Hesap Bilgileri: Kullanıcı adı, şifre (şifreli), profil bilgileri
• İşlem Bilgileri: Abonelik bilgileri, ödeme geçmişi, fatura bilgileri
• Kullanım Verileri: Platform kullanım istatistikleri, oturum bilgileri, log kayıtları
• İletişim Verileri: Destek talepleri, geri bildirimler
• Entegrasyon Verileri: Bağlanan sosyal medya hesapları, Google Calendar verileri
• Teknik Veriler: IP adresi, tarayıcı bilgileri, cihaz bilgileri, çerez verileri
• Müşteri İletişim Verileri: Platform üzerinden gerçekleştirilen mesajlaşma içerikleri

3. Veri İşleme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Platform hizmetlerinin sunulması ve iyileştirilmesi
• Hesap oluşturma ve kimlik doğrulama
• Abonelik ve ödeme işlemlerinin yürütülmesi
• Yapay zeka destekli satış otomasyon hizmetinin sağlanması
• Müşteri destek hizmetlerinin sunulması
• Yasal yükümlülüklerin yerine getirilmesi
• Platformun güvenliğinin sağlanması
• Analitik ve raporlama hizmetlerinin sunulması
• Pazarlama iletişimlerinin gönderilmesi (onaylı)

4. Hukuki Dayanak

Kişisel verileriniz aşağıdaki hukuki dayanaklarla işlenmektedir:

• Sözleşmenin ifası: Platform hizmetlerinin sunulması için gerekli veri işleme
• Yasal yükümlülük: Vergi, muhasebe ve diğer yasal yükümlülükler
• Meşru menfaat: Platform güvenliğinin sağlanması, hizmet iyileştirme
• Açık rıza: Pazarlama iletişimleri ve çerez kullanımı

5. Veri Paylaşımı

Kişisel verileriniz aşağıdaki taraflarla paylaşılabilir:

5.1 Her kurulumda devrede olan hizmet sağlayıcılar (alt-işleyenler)

• Supabase (AB - Frankfurt): Veritabanı, dosya depolama ve kimlik doğrulama
• Vercel (ABD): Uygulama barındırma (sunucu fonksiyonları Frankfurt bölgesinde çalışır) ve performans telemetrisi
• Anthropic (ABD): AI yanıt üretimi, belge ve görsel analizi
• OpenAI (ABD): AI yanıt üretimi, görsel ve belge analizi, vektör (embedding) oluşturma, sesli mesaj ve arama kaydı deşifresi
• Google (ABD): AI yanıt üretimi ve görsel analizi (Gemini), sistem istemlerinin geçici önbelleklenmesi. Sitedeki sesli demoda (yalnızca açıklamayı onaylayıp mikrofon izni verdiğinizde) ve paneldeki sesli denemede (yalnızca denemeyi başlattığınızda ve mikrofon izni verdiğinizde) mikrofon sesi, tarayıcınızdan doğrudan Google altyapısına iletilir. Çerez onayı verdiğinizde Google Analytics site ziyaret istatistiklerini işler
• Resend (ABD): E-posta iletimi
• Upstash (AB - Frankfurt): Zamanlanmış iş kuyruğu: yalnızca kayıt kimlikleri
• Fly.io (AB - Frankfurt): QR ile bağlanan WhatsApp kanal köprüsü
• Telegram: Telegram kanalı mesajları ve platform yönetim bildirimleri (yeni kayıt, ödeme, partner başvurusu ve destek talebi bildirimleri, iletişim bilgileri dahil)
• iyzico (Türkiye): Ödeme ve abonelik işlemleri

5.2 Yalnızca ilgili entegrasyon bağlandığında

• Meta (ABD): WhatsApp Business, Instagram DM ve Messenger mesajları, reklam formu kayıtları; kurum kendi reklam pikselini tanımlarsa özetlenmiş (SHA-256) telefon/e-posta ile dönüşüm bildirimi
• Twilio (ABD): Sesli arama ve global SMS
• NetGSM (Türkiye): Türkiye numaralarına SMS (kurumun kendi NetGSM hesabı)
• Google Takvim (ABD): Randevu senkronizasyonu: ad, randevu notu, tarih
• Bitrix24: CRM senkronizasyonu (kurumun kendi portalı): eşleşen kişi kaydı, satış sürecinin açık/kapalı durumu ve tarihi ve açık fırsatların sayısı okunur; WhatsApp'tan yeniden yazan kişinin son 90 günlük sohbetinden yalnız kısa hafıza maddeleri saklanır. Hafızaya alınmadan önce süzgecin tanıdığı rakamlar (belirli tarih biçimleri hariç), sayı sözcükleri ve para birimleri çıkarılır: fiyat konuşulmayan yan cümlede yalnız sayı ve birimi silinir ("15 günlük umre paketi" → "umre paketi"), bunları taşıyan öteki yan cümleler bütünüyle düşer; kişisel ve özel nitelikli bilgiler süzgeçten geçirilir; ham mesaj saklanmaz. Kurum açmadıkça Bitrix24'e hiçbir şey yazılmaz
• E-ticaret ve pazaryeri platformlari: Sipariş ve mesaj senkronizasyonu (Shopify, Amazon, Trendyol, Hepsiburada vb.)
• Kolayturum (Türkiye): Tur ve konaklama ön kayıt aktarımı
• ElevenLabs (ABD): Kurum telefonda gelişmiş sesi ya da marka sesi klonunu açtığında: AI yanıtının seslendirilmesi ve klon için ses örneği. Standart ses bu sağlayıcıyı kullanmaz
• Fly.io (AB - Frankfurt): Kurum telefonda gelişmiş sesi açtığında: telefon görüşmesi sesinin işlendiği ses köprüsü
• Kurumun tanımladığı webhook adresleri: Kurum bir otomasyon adresi tanımlarsa olay verisi o adrese gönderilir; alıcının kim olduğunu belirleyen taraf müşteri kurumdur

5.3 Diğer paylaşımlar

• Yasal Merciiler: Yasal zorunluluk halinde yetkili mahkemeler ve kamu kurumları

Kişisel verileriniz hiçbir koşulda üçüncü taraflara ticari amaçlı olarak satılmaz. Yukarıdaki sağlayıcılar, hizmetin sunulması için gereken ölçüde ve inTusell'in (1.2 kapsamında: müşteri kurumun) talimatıyla işlem yapan alt-işleyenlerdir.

6. Çerezler

Platformumuz çerezler ve benzer teknolojiler kullanmaktadır. Çerez kullanımı hakkında detaylı bilgi için Çerez Politikamızı inceleyiniz.

7. Veri Saklama Süresi

Bu bölümde yalnızca platformda fiilen çalışan imha ve anonimleştirme işlerini ve yasal saklama yükümlülüklerini beyan ediyoruz.

Süreye bağlı otomatik imha/anonimleştirme:

• Entegrasyon istek kayıtları: 30 gün (günlük çalışan imha işi)
• Webhook olay kayıtları: 60 gün (günlük çalışan imha işi)
• Müşteri hafızası özetleri: 6 ay hareket görmeyen kayıtlarda özet ve konu başlıkları haftalık bir işle anonimleştirilir

Ana sayfadaki site önizlemesi: Ana sayfada web sitenizin adresini yazıp önizleme istediğinizde, kötüye kullanımı ve maliyeti sınırlamak için iki kayıt tutulur. Deneme hakkını saymak için IP adresinizin kendisi saklanmaz; yalnızca tek yönlü özeti (hash) ile o güne ait deneme sayacı en çok 2 gün saklanır. Yazdığınız web sitesi adresi ve sitenin herkese açık sayfalarından üretilen kısa önizleme (işletme adı, sektör, üç soru ve cevap) aynı adres için 24 saat boyunca yeniden gösterilir; süresi dolan kayıtlar en geç bir gün içinde silinir. Sayfaların kendi metni saklanmaz. Bot doğrulaması açıkken bu kontrolü Cloudflare Turnstile (ABD) yapar; bunun için IP adresiniz Cloudflare'e iletilir.

Yasal saklama yükümlülükleri: Fatura ve mali kayıtlar 10 yıl (Vergi Usul Kanunu / Türk Ticaret Kanunu), elektronik iletişim kayıtları 3 yıl (5651 sayılı Kanun) boyunca, silme talebi gelse dahi saklanır.

Talep üzerine imha: Yukarıdaki otomatik işlerin kapsamına girmeyen veriler, hizmet ilişkisi sürdüğü müddetçe saklanır ve silme talebi üzerine imha edilir. Talep günlük çalışan bir işle işlendiği için imhanın başlaması en fazla 24 saat sürebilir. Kurum kapsamlı talepte kayıtlar kalıcı olarak silinir; kişi kapsamlı talepte ad, telefon, e-posta, özel alanlar ve mesaj gövdeleri maskelenir, kişiye bağlanamayan istatistiksel toplamlar korunur. Pazarlama verileri rızanın geri çekilmesiyle pazarlama amacıyla kullanılmaz.

1.2'deki kümede saklama süresini belirlemek veri sorumlusu olan müşteri kurumun yetkisindedir; hizmet sözleşmesi sona erdiğinde bu veriler kurumun talimatina göre iade edilir veya imha edilir.

8. Haklarınız

KVKK madde 11 ve GDPR kapsamında aşağıdaki haklara sahipsiniz. 1.1'deki küme için talebinizi doğrudan inTusell'e, 1.2'deki küme için öncelikle verinizi toplayan kuruma yoneltmeniz gerekir:

• Kişisel verilerinizin işlenir işlenmediği hakkında bilgi edinme
• Kişisel verileriniz işleniyorsa bunun hakkında bilgi talep etme
• Kişisel verilerin işlenme amacını ve bunların amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
• Kişisel verilerin silinmesini veya yok edilmesini isteme
• İşlenen verilerin aktarıldığı üçüncü kişilere düzeltme/silme işlemlerinin bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

9. Uluslararası Veri Aktarımı

Hizmet sağlayıcılarımızın bir kısmı yurt dışında bulunmaktadır. Kişisel verileriniz, KVKK ve GDPR kapsamında yeterli koruma düzeyi sağlayan ülkelere veya uygun güvenceler (standart sözleşme hükümleri) çerçevesinde aktarılabilir. 5. bölümde sayılan sağlayıcılar bakımından aktarım yapılan ülkeler:

• ABD: Anthropic, OpenAI, Google, Vercel, Resend, Meta, Twilio ve ElevenLabs
• Avrupa Birliği: Supabase (Frankfurt), Upstash ve Fly.io (Frankfurt); Vercel sunucu fonksiyonları da Frankfurt bölgesinde çalışır
• Türkiye: iyzico, NetGSM, Kolayturum ve Türkiye merkezli pazaryeri platformları
• Diğer: Telegram, Bitrix24 ve kurumun bağladığı pazaryeri/otomasyon hizmetleri: bulunduğu ülke ilgili sağlayıcıya ve kurumun seçimine göre değişir

Tüm uluslararası veri aktarımlarında veri güvenliğini sağlayacak teknik ve idari tedbirler alınmaktadır.

10. Güvenlik

Kişisel verilerinizin korunması için aşağıdaki güvenlik önlemlerini uygulamaktayız:

• SSL/TLS şifreleme ile veri iletimi
• Veritabanı düzeyinde satır bazlı güvenlik (RLS)
• Çok kiracılı mimari ile veri izolasyonu
• Düzenli güvenlik denetimleri ve sızma testleri
• Erişim kontrolü ve yetkilendirme mekanizmaları
• Veri yedekleme ve felaket kurtarma planları

11. Veri İhlali Bildirim Prosedürü

Kişisel verilerinizin güvenliğini etkileyen bir veri ihlali tespit edilmesi halinde aşağıdaki prosedür uygulanır. Bu adımlar 1.1'deki küme için doğrudan inTusell tarafından yürütülür. 1.2'deki kümede inTusell ihlali gecikmeksizin müşteri kuruma bildirir; yetkili makama ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olan kuruma aittir:

• Tespit ve Değerlendirme: İhlal tespit edildikten sonra en geç 24 saat içinde olay incelenir ve etkisi değerlendirilir
• Yetkili Makama Bildirim: KVKK kapsamında, veri ihlali en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilir
• Kullanıcıya Bildirim: İhlalden etkilenen kullanıcılar, ihlalin niteliğine bağlı olarak en kısa sürede e-posta ve platform içi bildirim yoluyla bilgilendirilir
• Bildirim İçeriği: İhlalin tarihi, kapsamı, etkilenen veri kategorileri, olası sonuçları ve alınan/alınacak önlemler açıkça belirtilir
• Düzeltici Önlemler: İhlalin tekrarını önlemek için gerekli teknik ve idari tedbirler derhal alınır

12. Değişiklikler

Bu gizlilik politikası gerekli görüldüğünde güncellenebilir. Önemli değişiklikler, yürürlüğe girmeden en az 30 gün önce platformumuz ve e-posta aracılığıyla bildirilir. Güncel politikayı web sitemizde her zaman inceleyebilirsiniz.

13. İletişim

Gizlilik politikası ve kişisel verilerinizle ilgili her türlü soru, talep ve şikayetleriniz için:

• Unvan: LORD BROTHERS ULUSLARARASI İTHALAT İHRACAT MADENCİLİK TİCARET LİMİTED ŞİRKETİ
• Adres: Ünalan Mah. Libadiye Cad. Emar Residence No: 82 E İç Kapı No: 291 Üsküdar / İstanbul
• Vergi dairesi: Ümraniye
• VKN: 6091025919
• MERSİS no: 0609102591900001
• Ticaret sicil no: 257054-5
• E-posta: hi@intusell.com
• Web: intusell.com