KVKK Aydınlatma Metni

1. Rollerimiz: Ne Zaman Veri Sorumlusu, Ne Zaman Veri İşleyen

Platformda iki farklı veri kümesi bulunur ve inTusell bu iki kümede aynı sıfatı taşımaz. Aşağıdaki ayrım, KVKK md. 3/1'deki veri sorumlusu ve veri işleyen tanımlarına dayanır: veri sorumlusu, işlemenin amacını ve vasıtalarını belirleyen taraftır; veri işleyen, verileri sorumlunun talimatıyla işleyen taraftır.

1.1 inTusell'in veri SORUMLUSU olduğu veriler

İşlemenin amacını ve vasıtalarını inTusell'in kendisi belirlediği veriler. Bu kümede muhatabınız doğrudan inTusell'dir:

• Hesap verisi: Platforma kayıtlı kurum kullanıcılarının adı, soyadı, e-posta adresi, telefon numarası, şifresi (şifreli halde), profil bilgileri
• Fatura ve ödeme verisi: Abonelik bilgileri, ödeme geçmişi, fatura kayıtları
• Destek yazismalari: inTusell'e iletilen destek talepleri, geri bildirimler ve e-posta yazışmaları
• Kullanım ve telemetri verisi: Oturum kayıtları, IP adresi, cihaz ve tarayıcı bilgisi, platform kullanım istatistikleri, hata kayıtları
• Pazarlama iletisimi: Çerez kayıtları, kampanya tercihleri, iletişim izinleri

Bu küme bakımından veri sorumlusu:

• Unvan: LORD BROTHERS ULUSLARARASI İTHALAT İHRACAT MADENCİLİK TİCARET LİMİTED ŞİRKETİ
• Adres: Ünalan Mah. Libadiye Cad. Emar Residence No: 82 E İç Kapı No: 291 Üsküdar / İstanbul
• Vergi dairesi: Ümraniye
• VKN: 6091025919
• MERSİS no: 0609102591900001
• Ticaret sicil no: 257054-5
• E-posta: hi@intusell.com
• Web: intusell.com

1.2 inTusell'in veri İŞLEYEN olduğu veriler

Müşteri kurumun (okul, klinik, eczane, acente, mağaza vb.) platform üzerinden topladığı ve işlediği son-müşteri verisi. Bu kümede işlemenin amacını ve vasıtalarını müşteri kurum belirler; inTusell yalnızca onun talimatıyla ve hizmet sözleşmesi çerçevesinde işler:

• Kisi kayıtları: Son müşterilerin, velilerin veya hastaların adı, telefonu, e-postası, etiketleri ve kurumun tanımladığı özel alanlar
• Konuşma ve mesaj içerikleri: WhatsApp, Instagram DM, Telegram ve web sohbeti yazışmalarının tam metni
• Randevu ve seans kayıtları
• Satış fırsatı, teklif ve sipariş kayıtları
• Bilgi tabanı içerikleri: Kurumun yüklediği belge, fiyat listesi, sıkça sorulan sorular ve ürün metinleri
• Sesli arama verileri: Çağrı kayıtları ve dökümleri (yalnızca ilgili modül kurum tarafından etkinleştirildiğinde)

Bu kümedeki veriler bakımından veri sorumlusu, hizmeti kullanan müşteri kurumdur, inTusell değildir. İlgili kişi (örneğin veli, hasta veya tüketici) olarak 7. bölümdeki KVKK md. 11 haklarınızı kullanmak istiyorsanız, talebinizi öncelikle verinizi toplayan kuruma yöneltmeniz gerekir. inTusell'e ulaşan bu tür talepleri, ilgili kurumu bilgilendirerek ve kurumun talimatı doğrultusunda karşılar; talep hakkında kendi başına bir karar vermez. Verinizi hangi kurumun işlediğini bilmiyorsanız hi@intusell.comadresine yazabilirsiniz; sizi ilgili kuruma yönlendirebiliriz.

1.3 Veri işleyen sıfatıyla yükümlülüklerimiz

1.2'deki küme bakımından KVKK md. 12 ve hizmet sözleşmesi kapsamında aşağıdaki yükümlülükleri taşırız:

• Talimatla işleme: Bu verileri yalnızca müşteri kurumun talimatı ve hizmet sözleşmesinin amacı doğrultusunda işleriz; kendi amaçlarımız için kullanmayız
• Gizlilik: Verilere erişebilen personel gizlilik yükümlülüğü altındadır; erişim görev bazlı olarak sınırlandırılır
• Güvenlik tedbirleri: Satır bazlı güvenlik (RLS) ile kiracılar arası izolasyon, aktarımda TLS şifreleme, entegrasyon kimlik bilgilerinin şifreli saklanması, iki adımlı doğrulama desteği
• Alt-isleyen seffafligi: Hizmetin sunulması için kullandığımız alt-işleyenler 5. bölümde tek tek listelenir
• İhlal bildirimi: Veri ihlali tespit edildiğinde müşteri kurumu gecikmeksizin bilgilendiririz; Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olan kuruma aittir (9. bölüm)
• İade veya imha: Hizmet sözleşmesi sona erdiğinde, kurumun talimatina göre verileri kuruma iade eder veya imha ederiz

2. İşlenen Kişisel Veriler

Bu bölüm, inTusell'in veri sorumlusu sıfatıyla (1.1) işlediği veri kategorilerini tanımlar. Müşteri kurumun 1.2'deki kümede hangi verileri topladığı ve hangi amaçla işlediği, o kurumun kendi aydınlatma metninde belirtilir.

• Kimlik Bilgileri: Ad, soyad
• İletişim Bilgileri: E-posta adresi, telefon numarası
• Hesap Bilgileri: Kullanıcı adı, şifre (şifreli halde), profil bilgileri
• Müşteri İşlemi Bilgileri: Abonelik bilgileri, ödeme geçmişi, fatura bilgileri
• İşlem Güvenliği Bilgileri: IP adresi, oturum bilgileri, log kayıtları, erişim zamanları
• Pazarlama Bilgileri: Çerez kayıtları, kampanya tercihleri, iletişim izinleri
• Görsel/İşitsel Veriler: Profil fotoğrafları
• Dijital Iz Bilgileri: Tarayıcı bilgileri, cihaz bilgileri, platform kullanım verileri

3. İşleme Amaçları

inTusell'in veri sorumlusu sıfatıyla (1.1) belirlediği işleme amaclari sunlardir:

• Üyelik işlemlerinin yürütülmesi ve hesap yönetimi
• Platform hizmetlerinin sunulması ve iyileştirilmesi
• Yapay zeka destekli satış otomasyon hizmetinin sağlanması
• WhatsApp, Instagram ve web widget entegrasyonlarının yürütülmesi
• Abonelik ve ödeme işlemlerinin gerçekleştirilmesi
• Müşteri ilişkileri yönetimi ve destek hizmetlerinin sunulması
• Analitik ve raporlama hizmetlerinin sağlanması
• Bilgi güvenliği süreçlerinin yürütülmesi
• Hukuki yükümlülüklerin yerine getirilmesi
• Pazarlama ve iletişim faaliyetlerinin yürütülmesi (rızanız dahilinde)

1.2'deki kümede işleme amacını müşteri kurum belirler; inTusell o kümede kendi amacı için işleme yapmaz. Bu kümedeki verileri hizmetin sunulması (mesajın iletilmesi, yanıtın üretilmesi, randevunun kaydedilmesi) dışında bir amaçla kullanmayız.

4. Hukuki Sebepler

inTusell'in veri sorumlusu sıfatıyla (1.1) işlediği veriler, KVKK madde 5/2 kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenmektedir. 1.2'deki kümede hukuki sebebi belirlemek ve gerektiğinde açık rıza almak veri sorumlusu olan müşteri kuruma aittir:

• Sözleşmenin kurulması ve ifası (md. 5/2-c): Platform hizmetlerinin sunulması, hesap oluşturma, abonelik yönetimi
• Kanuni yükümlülük (md. 5/2-ç): Vergi mevzuatı, elektronik ticaret mevzuatı gereklilikleri
• Meşru menfaat (md. 5/2-f): Platform güvenliğinin sağlanması, hizmet kalitesinin arttırılması, dolandırıcılığın önlenmesi
• Açık rıza (md. 5/1): Pazarlama iletişimleri, çerez kullanımı, profilleme faaliyetleri
• Bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e): Hukuki uyuşmazlıklarda delil olarak kullanım

5. Aktarım

Kişisel verileriniz, KVKK madde 8 ve 9 kapsamında aşağıdaki alıcılara aktarılabilir:

Yurt içi aktarım: Yasal merciler, denetim kuruluşları ve hizmetin sunulması için zorunlu is ortakları.

5.1 Her kurulumda kullanılan alt-işleyenler

Platform çalışırken aşağıdaki hizmet sağlayıcılar zorunlu olarak devrededir:

• Supabase Inc. (AB - Frankfurt): Veritabanı, dosya depolama ve kimlik doğrulama: platformdaki tüm veriler
• Vercel Inc. (ABD): Uygulama barındırma; sunucu fonksiyonları Frankfurt bölgesinde çalışır. Ayrıca sayfa görüntüleme ve performans telemetrisi
• Anthropic PBC (ABD): AI yanıt üretimi, belge ve görsel analizi, çağrı dökümü değerlendirmesi: istem içeriğine giren konuşma metni
• OpenAI Inc. (ABD): AI yanıt üretimi, görsel ve belge analizi, bilgi tabanı ve konuşma vektörleri (embedding), sesli mesaj ve arama kaydı deşifresi: konuşma metni, görseller, belgeler ve ses dosyaları
• Google LLC (ABD): AI yanıt üretimi ve görsel analizi (Gemini), sistem istemlerinin geçici önbelleklenmesi. Web sitesindeki sesli demoda mikrofon sesi, tarayıcınızdan doğrudan Google altyapısına iletilir; bu yalnızca açıklamayı onaylayıp mikrofon izni verdiğinizde olur. Paneldeki sesli denemede aynı aktarım yalnızca denemeyi başlattığınızda ve mikrofon izni verdiğinizde olur. intusell.com'da çerez onayı verdiğinizde Google Analytics site ziyaret istatistiklerini işler (ayrıntı: Çerez Politikası)
• Resend Inc. (ABD): E-posta iletimi: alıcı adresi, konu ve e-posta gövdesi
• Upstash Inc. (AB - Frankfurt): Zamanlanmış iş kuyruğu: yalnızca kayıt kimlikleri ve iş türü, mesaj içeriği aktarılmaz
• Fly.io Inc. (AB - Frankfurt): WhatsApp (QR ile bağlanan) kanal köprüsü: WhatsApp mesaj içeriği, telefon numarası ve oturum anahtarları
• Telegram: Telegram kanalı mesajlarının iletimi; ayrıca platform yönetim bildirimleri: yeni kayıt, ödeme, partner başvurusu ve destek talebi bildirimleri (ad, e-posta ve telefon gibi iletişim bilgileri dahil) ile sistem uyarıları
• iyzico (Türkiye): Ödeme ve abonelik işlemleri: ad, e-posta, tutar; kart bilgileri iyzico'nun kendi ödeme formunda işlenir

5.2 Yalnızca ilgili entegrasyon etkinleştirildiğinde

Aşağıdaki aktarımlar, müşteri kurum ilgili kanalı veya entegrasyonu kendi hesabıyla bağladığında gerçekleşir; bağlanmadığı sürece hiçbir veri aktarılmaz:

• Meta Platforms Inc. (ABD): WhatsApp Business, Instagram DM ve Messenger mesajlarının iletimi ve alınması, reklam formu (Lead Ads) kayıtları. Kurum kendi reklam pikselini tanımlarsa, satış/randevu olayları kriptografik olarak özetlenmiş (SHA-256) telefon ve e-posta ile birlikte kurumun reklam hesabına bildirilir
• Twilio Inc. (ABD): Sesli arama ve global SMS: telefon numarası, mesaj metni, çağrı sesi ve kayıtları (kurumun kendi Twilio hesabı)
• NetGSM (Türkiye): Türkiye numaralarına SMS: telefon numarası ve mesaj metni (kurumun kendi NetGSM hesabı)
• Google LLC (ABD) - Google Takvim: Randevu senkronizasyonu: randevu sahibinin adı, randevu notu, tarih ve saat
• Bitrix24: Kurumun kendi CRM portalı, kurum bağlarsa. Okunanlar: telefonla eşleşen kişi ya da aday kaydı (ad, satış sürecinin açık/kapalı durumu ve tarihi, sorumlu temsilcinin ilk adı, son görüşme tarihi) ve açık fırsatların sayısı; kişi WhatsApp'tan yeniden yazınca son 90 güne ait Açık Kanal sohbet mesajları. Saklananlar: yalnız bu mesajlardan çıkarılan kısa hafıza maddeleri ve satış durumu maddesinde sorumlu temsilcinin ilk adı (yalnız panelde, kurumun ekibine gösterilir; AI'a verilmez). Hafızaya alınmadan önce süzgecin tanıdığı rakamlar (belirli tarih biçimleri hariç), sayı sözcükleri ve para birimleri çıkarılır: fiyat konuşulmayan yan cümlede yalnız sayı ve birimi silinir ("15 günlük umre paketi" → "umre paketi"), bunları taşıyan öteki yan cümleler bütünüyle düşer; kişisel ve özel nitelikli bilgiler süzgeçten geçirilir; ham mesaj saklanmaz. Kurum maddeyi kişi kartından silebilir. Yazılanlar: varsayılan olarak hiçbir şey; kurum açarsa kişi (ad, telefon, e-posta, kanal), aday ve görüşme notu
• E-ticaret ve pazaryeri platformlari: Sipariş ve mesaj senkronizasyonu: alıcı adı, telefonu, e-postası ve teslimat adresi; kurum otomatik yanıtı açtıysa AI yanıt metni pazaryeri mesaj kanalına gönderilir. Örnek: Shopify, Amazon, eBay, Etsy, TikTok Shop, Trendyol, Hepsiburada, n11
• Kolayturum (Türkiye): Tur ve konaklama ön kayıt aktarımı: misafir bilgileri
• ElevenLabs Inc. (ABD): Kurum telefondaki sesli AI için gelişmiş sesi ya da marka sesi klonunu açtığında: AI yanıt metninin seslendirilmesi ve klon için sesin sahibinin ses örneği. Standart ses bu sağlayıcıyı kullanmaz
• Fly.io Inc. (AB - Frankfurt): Kurum telefondaki sesli AI için gelişmiş sesi açtığında: telefon görüşmesi sesinin gerçek zamanlı işlendiği ses köprüsü
• Kurumun kendi tanımladığı webhook adresleri: Kurum bir otomasyon adresi tanımlarsa (örneğin Zapier, Make, n8n veya kendi sunucusu), sipariş/kişi/randevu olayları o adrese gönderilir. Bu durumda alıcının kim olduğunu ve hangi ülkede bulunduğunu belirleyen taraf müşteri kurumdur

Yurt dışı veri aktarımlarında KVKK'nın 9. maddesi kapsamında gerekli teknik ve idari önlemler alınmakta, sağlayıcılarla standart sözleşme hükümleri içeren veri işleme sözleşmeleri uygulanmaktadır. 1.2'deki kümede alt-işleyen kullanımına ilişkin nihai yetki veri sorumlusu olan müşteri kuruma aittir; bu listede değişiklik yapılması halinde kurumlar önceden bilgilendirilir.

6. Saklama Süresi

Bu bölümde yalnızca platformda fiilen çalışan imha ve anonimleştirme işlerini ve yasal saklama yükümlülüklerini beyan ediyoruz.

6.1 Süreye bağlı otomatik imha ve anonimleştirme

Aşağıdaki kategorilerde imha veya anonimleştirme, zamanlanmış işlerle otomatik olarak uygulanır:

• Entegrasyon istek kayıtları: 30 gün sonra silinir (günlük çalışan imha işi)
• Webhook olay kayıtları: 60 gün sonra silinir (günlük çalışan imha işi)
• Müşteri hafızası özetleri: 6 ay boyunca hareket görmeyen kayıtlarda özet ve konu başlıkları haftalık çalışan bir işle anonimleştirilir

Ana sayfadaki site önizlemesi: Ana sayfada web sitenizin adresini yazıp önizleme istediğinizde, kötüye kullanımı ve maliyeti sınırlamak için iki kayıt tutulur. Deneme hakkını saymak için IP adresinizin kendisi saklanmaz; yalnızca tek yönlü özeti (hash) ile o güne ait deneme sayacı en çok 2 gün saklanır. Yazdığınız web sitesi adresi ve sitenin herkese açık sayfalarından üretilen kısa önizleme (işletme adı, sektör, üç soru ve cevap) aynı adres için 24 saat boyunca yeniden gösterilir; süresi dolan kayıtlar en geç bir gün içinde silinir. Sayfaların kendi metni saklanmaz. Bot doğrulaması açıkken bu kontrolü Cloudflare Turnstile (ABD) yapar; bunun için IP adresiniz Cloudflare'e iletilir.

6.2 Yasal saklama yükümlülükleri

Aşağıdaki kayıtlar, silme talebi gelse dahi ilgili mevzuatın öngördüğü süre boyunca saklanır (KVKK md. 7/1 ve md. 28):

• Ticari defter ve belgeler: 10 yıl (Türk Ticaret Kanunu)
• Fatura ve mali kayıtlar: 10 yıl (Vergi Usul Kanunu)
• Elektronik iletişim kayıtları: 3 yıl (5651 sayılı Kanun)

6.3 Talep üzerine imha

6.1 kapsamına girmeyen veriler, hizmet ilişkisi sürdüğü müddetçe saklanır ve silme talebi üzerine imha edilir. Talep, günlük çalışan bir is tarafından işlenir; bu nedenle imha işleminin başlaması en fazla 24 saat sürebilir. Kurum kapsamlı silme talebinde ilgili kayıtlar veritabanından kalıcı olarak silinir; kişi kapsamlı silme talebinde ad, telefon, e-posta ve özel alanlar ile mesaj gövdeleri maskelenir (kişiye bağlanamayan istatistiksel toplamlar korunur). Pazarlama verileri, rızanın geri çekilmesiyle birlikte pazarlama amacıyla kullanılmaz.

1.2'deki kümede saklama süresini belirlemek veri sorumlusu olan müşteri kurumun yetkisindedir; inTusell kurumun talimatıyla imha eder. Hizmet sözleşmesi sona erdiğinde bu kümedeki veriler kurumun talimatina göre iade edilir veya imha edilir.

7. Haklarınız (KVKK Madde 11)

KVKK'nın 11. maddesi kapsamında aşağıdaki haklara sahipsiniz:

• a) Kişisel verilerinizin işlenip işlenmediğini öğrenme
• b) Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
• c) Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• ç) Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
• d) Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
• e) KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
• f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme
• g) İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• h) Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

8. Başvuru Yöntemleri

inTusell'in veri sorumlusu olduğu küme (1.1) için haklarınızı kullanmak üzere aşağıdaki yöntemlerle doğrudan bize başvurabilirsiniz. 1.2'deki küme için başvurunuzu öncelikle verinizi toplayan kuruma yöneltmeniz gerekir; bize ulaşan bu tür talepleri ilgili kuruma iletir ve kurumun talimatıyla işlem yaparız:

• E-posta: hi@intusell.com adresine "KVKK Bilgi Talebi" konulu e-posta gönderebilirsiniz
• Platform Üzerinden: Panel > Ayarlar ekranındaki Verilerimi İndir (JSON) işlevi ile verilerinizin bir kopyasını anında indirebilir, Kiracıyı sil işlevi ile silme talebi oluşturabilirsiniz

Başvurunuzda kimliğinizi doğrulayıcı bilgiler ile talebinizin açık ve anlaşılır şekilde belirtilmesi gerekmektedir. Başvurunuz, talebinizin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır. Ancak işlemin ayrıca bir maliyet gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; cevabı öğrendiğiniz tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayet hakkına sahipsiniz.

9. Veri İhlali Bildirim Prosedürü

Kişisel verilerinizin güvenliğini etkileyen bir veri ihlali tespit edilmesi halinde aşağıdaki prosedür uygulanır. Aşağıdaki adımlar, inTusell'in veri sorumlusu olduğu küme (1.1) için doğrudan inTusell tarafından yürütülür. 1.2'deki kümede inTusell ihlali gecikmeksizin müşteri kuruma bildirir; Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olan kuruma aittir, inTusell bu bildirimlerde kuruma teknik destek verir:

• Tespit ve Değerlendirme: İhlal tespit edildikten sonra en geç 24 saat içinde olay incelenir
• Kurul'a Bildirim: KVKK md. 12/5 uyarınca veri ihlali en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilir
• İlgili Kişilere Bildirim: İhlalden etkilenen veri sahipleri en kısa sürede e-posta ve platform içi bildirim yoluyla bilgilendirilir
• Bildirim İçeriği: İhlalin tarihi, kapsamı, etkilenen veri kategorileri, olası sonuçları ve alınan önlemler açıkça belirtilir
• Düzeltici Önlemler: İhlalin tekrarını önlemek için gerekli teknik ve idari tedbirler derhal uygulanır