Gizlilik Politikası

Veri Sorumlusu / Hizmet Sağlayıcı

• Tüzel kişi: OSDO Arge Yazılım Sanayi ve Ticaret Limited Şirketi
• Ürün: osdosistan · Web: osdoarge.com
• Adres: Yalı Mah. 6523 Sk. No:32 CB, 35550 Karşıyaka/İzmir
• KEP: osdo.arge@hs01.kep.tr
• KVKK / iletişim e-postası: info@osdoarge.com
• MERSİS/Vergi: MERSİS: 0648181278400001 · Vergi No: 6481812784 (Çiğli VD)

1. Giriş ve Kapsam

Bu Gizlilik Politikası, OSDO Arge tarafından sunulan osdosistan hizmeti kapsamında kişisel verilerin nasıl işlendiğini açıklar. Hizmet, Türkiye’de yerleşik işletmelere ve onların müşterilerine sunulur; işleme faaliyetleri 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile WhatsApp/Meta platform şartlarına uygun şekilde yürütülür.

Hizmet, Avrupa Birliği’nde yerleşik kişilere yönelik olarak sunulmamaktadır. Buna rağmen bir işletme AB’de bulunan müşterilerine hizmet vermek isterse, GDPR kapsamındaki yükümlülükler (temsilci atanması dâhil) ilgili işletmeye aittir ve bu durumun bize önceden bildirilmesi gerekir.

2. Rollerimiz: Veri Sorumlusu ve Veri İşleyen

osdosistan, iki katmanlı bir veri modeliyle çalışır ve bu iki katmanda farklı roller üstlenir:

• Veri sorumlusu olduğumuz katman: Hizmete kayıt olan işletme (KOBİ) kullanıcılarının verisi (ad, iletişim, işletme ve fatura bilgileri, bilgi tabanı içeriği). Bu verinin işlenme amaç ve yöntemine OSDO Arge karar verir.
• Veri işleyen olduğumuz katman: İşletmenin son-müşterilerine ait mesaj verisi. Bu veride işletme (KOBİ) veri sorumlusudur; biz yalnızca işletme adına ve talimatıyla veri işleyen sıfatıyla hareket ederiz.

KVKK m.12/2 uyarınca teknik ve idari tedbirlerden veri sorumlusu ile veri işleyen müştereken sorumludur. Taraflar arasındaki rol dağılımı, her kurulumda imzalanan Veri İşleme Sözleşmesi (DPA) ile ayrıca belirlenir.

3. İşlenen Kişisel Veriler

3.1 İşletme (KOBİ) kullanıcısı verisi — veri sorumlusu sıfatıyla

• Kimlik ve iletişim verisi: ad-soyad, telefon, e-posta.
• İşletme bilgileri: işletme adı, adres, yetkili kişi, vergi/fatura bilgileri.
• Ödeme verisi (ödeme hizmeti sağlayıcısı üzerinden; kart bilgisi tarafımızca saklanmaz).
• Bilgi tabanı içeriği ve İşletme Kuralları: işletmenin asistana tanımladığı hizmet listesi, fiyatlar, çalışma saatleri, politikalar, SSS, notlar, kampanyalar ve asistanın uyacağı genel kurallar. Bu içerik, asistanın yanıt yazabilmesi için dil modeli sağlayıcısına gönderilir (Bölüm 6).
• İşlem güvenliği verisi: giriş kayıtları, IP adresi, oturum ve cihaz/tarayıcı bilgisi.

3.2 Son-müşteri verisi — veri işleyen sıfatıyla

• Mesaj içeriği ve mesaja eklenen dosyalar (fotoğraf, ses, belge) — WhatsApp.
• Gönderen telefon numarası.
• Müşteri kartı: işletmenin veya asistanın kaydettiği ad, telefon, e-posta, notlar ve etiketler.
• Mesaj zamanı ve iletim meta verileri.
• Randevu/rezervasyon bilgileri (tarih, saat, kişi sayısı ve müşterinin kendi paylaştığı ek bilgiler).

Asistan, işletmenin bilgi tabanı dışında kalan konularda bilgi toplamaz. Sağlık, inanç, siyasi görüş gibi özel nitelikli kişisel verilerin asistana yazılmaması esastır; böyle bir veri geldiğinde konuşma insana devredilir. İşletme, kendi sektörü gereği özel nitelikli veri işleyecekse bunu kurulumdan önce bildirmek ve ek tedbirleri almakla yükümlüdür.

3.3 Yönetici kanalı verisi

İşletme sahibi veya yetkilisi asistanı Telegram üzerinden de yönetir. Bu kanaldan işletme yetkilisinin komutları, özet ve raporlar ile (işletme için açılmışsa) yönetici asistanının yanıtları geçer. Kanal ayrıca şu son-müşteri verilerini taşıyabilir: konuşma bir insana devredildiğinde kanalın adı ve kısmen gizlenmiş müşteri kimliği; müşteriye yazma düğmesinin bağlantısında müşterinin telefon numarası; işletme bu bildirimi açmışsa asistanın cevaplayamadığı müşteri sorusunun metni (günde en fazla 5); yönetici asistanı açıksa yetkilinin istediği randevu ve müşteri kayıtları. Yönetici kanalına yalnızca doğrulanmış yetkili erişebilir. Telegram yurt dışında yerleşik olduğundan bu aktarım Bölüm 8 kapsamındadır.

4. Kişisel Verilerin Toplanma Yöntemi

• Bize gönderdiğiniz e-postalar ve kurulum (onboarding) görüşmeleri aracılığıyla.
• İşletme panelinde oluşturduğunuz hesap ve girdiğiniz bilgi tabanı içeriği aracılığıyla.
• İşletmenin bağladığı WhatsApp Business hattına son-müşteriler tarafından gönderilen mesajlar ve dosyalar aracılığıyla (otomatik yolla).
• Yönetici kanalı (Telegram) üzerinden ilettiğiniz komut ve talepler aracılığıyla.
• Hizmetin kullanımı sırasında oluşan sistem ve güvenlik kayıtları aracılığıyla (otomatik yolla).

İnternet sitemizdeki (osdosistan.com) iletişim formuna yazdığınız ad, e-posta adresi, varsa telefon numarası ve mesaj; mesajın türü (iletişim veya demo talebi), sayfanın dili ve gönderim zamanıyla birlikte Türkiye’deki sunucumuzda, veritabanımızda saklanır. Bu bilgileri yalnızca yetkili çalışanlarımız yönetici panelinden okur; bilgiler yalnızca sorunuzu yanıtlamak ve size dönmek için kullanılır. Size şirket e-posta adresimizden yanıt verilir; telefon numaranızı yazdıysanız sizi telefonla da arayabiliriz. Yeni bir mesaj geldiğinde çalışanlarımıza Telegram üzerinden yalnızca mesajın türünü ve dilini bildiren, kişisel veri içermeyen bir uyarı gönderilir. Formu kullanmak istemezseniz bize doğrudan e-posta gönderebilirsiniz. Siteyi ziyaret ettiğinizde IP adresiniz ve tarayıcınızın gönderdiği teknik bilgiler, sayfanın size iletilebilmesi ve sitenin güvenliği için Türkiye’deki sunucumuzda işlenir; site bunun dışında sunucuya kişisel veri göndermez.

5. İşleme Amaçları ve Hukuki Sebepler

• Hizmetin sunulması ve sözleşmenin ifası (müşteri mesajlarının yanıtlanması, randevu ve hatırlatma süreçleri, hesap yönetimi) — KVKK m.5/2-c.
• İnternet sitemizdeki iletişim formuyla ilettiğiniz soruların yanıtlanması ve size geri dönülmesi (demo, fiyat, kurulum ve diğer sorular) — talebiniz hizmet sözleşmesinin kurulmasına yönelikse KVKK m.5/2-c, diğer hâllerde KVKK m.5/2-f meşru menfaat.
• Faturalama ve mali/yasal yükümlülüklerin yerine getirilmesi — KVKK m.5/2-ç.
• Güvenlik, kötüye kullanımın önlenmesi ve hizmet kalitesinin ölçülmesi — KVKK m.5/2-f meşru menfaat.
• Yasal taleplerin karşılanması ve hakların tesisi/korunması — KVKK m.5/2-ç ve m.5/2-e.
• Pazarlama ve tanıtım iletileri — yalnızca açık rızanız ile (m.5/1). Açık rıza hizmetin ön koşulu değildir; vermemeniz veya geri almanız hizmeti etkilemez.

Aydınlatma ile açık rıza ayrı ayrı yerine getirilir; rıza, aydınlatma metninin içine gömülü olarak alınmaz.

6. Yapay Zeka, Otomatik İşleme ve Model Eğitimi

Asistan yanıtları büyük dil modeli kullanılarak üretilir. Asistan, son-müşterilere ilk temasta işletme adına çalışan bir yapay zeka asistanı olduğunu açıkça belirtir.

• Model eğitimi yapılmaz: Hizmet kapsamında işlenen mesajlar ve bilgi tabanı içeriği, tarafımızca yapay zeka modellerinin eğitilmesi için kullanılmaz. Model sağlayıcısının (OpenAI) ve karar katmanı sağlayıcısının (TypeSafe) yürürlükteki şartları da API üzerinden gönderilen verinin model eğitiminde kullanılmamasını öngörür; bu husustaki taahhüt her sağlayıcının yürürlükteki şartlarına dayanır.
• Karar katmanı: Son-müşteri mesajının ne istediği (yeni randevu, randevu değişikliği, bilgi sorusu gibi) ve asistanın bir sonraki adımı (uygun saat önermek, soru sormak, yetkiliye devretmek gibi), yanıt metni yazmayan ayrı bir sınıflandırma modeliyle (TypeSafe) belirlenir; yanıt metnini dil modeli (OpenAI) yazar. Karar katmanına konuşmanın son mesajları (en fazla 20) gönderilir; telefon numarası, e-posta adresi, IBAN gibi numaralar ve bağlantılar gönderilmeden önce gizlenir, adlar ve mesajın diğer içeriği gizlenmez. Bilgi tabanı ve İşletme Kuralları karar katmanına gönderilmez.
• Bilgi tabanının modele gönderilmesi: Asistanın doğru yanıt yazabilmesi için işletmenin bilgileri (çalışma saatleri, adres, hizmet listesi ve fiyatlar), İşletme Kuralları metni ve bilgi tabanındaki yayındaki politika, SSS ve not kayıtları (bu kayıtlar için toplam en fazla 6000 karakter) her son-müşteri mesajında, mesajın konusundan bağımsız olarak dil modeli sağlayıcısına (OpenAI) gönderilir; bilgi tabanının diğer içeriği soruyla eşleştiğinde gönderilir. İşletme bu alanlara kişisel veri (örneğin bir çalışanın adı veya telefon numarası) yazarsa o veri de gönderilir; bu nedenle bu alanlara gerekmedikçe kişisel veri yazılmamalıdır.
• Tam otomatik karar alınmaz: Kişi hakkında hukuki sonuç doğuran veya kişiyi benzer şekilde önemli ölçüde etkileyen tam otomatik karar verilmez.
• Kapsam sınırı: Asistan yalnızca işletmenin bilgi tabanından cevap verir; bilgi yoksa uydurmaz, konuşmayı bir insana devreder. Fiyat pazarlığı, tıbbi ve hukuki tavsiye gibi konular tasarım gereği kapsam dışıdır.

7. Alt İşleyenler ve Üçüncü Taraflar

Hizmetin sunulabilmesi için aşağıdaki alt işleyenler kullanılır. Liste, güncel hâliyle Alt İşleyen Listesi sayfasında da yayımlanır.

Alt işleyenlerle ilişkimiz, her sağlayıcının hizmet şartlarına ve sunuluyorsa veri işleme ekine dayanır. Alt işleyen listesinde değişiklik olduğunda, değişiklik yürürlüğe girmeden önce işletme kullanıcılarına bildirim yapılır. Bunlar dışında kişisel veriler; yalnızca yasal olarak yetkili kamu kurum ve kuruluşlarına, mevzuatın öngördüğü ölçüde aktarılır.

İnternet sitemiz (osdoarge.com), Netlify, Inc. (ABD) altyapısında barındırılır. Siteyi ziyaret ettiğinizde IP adresiniz, sitedeki iletişim ve demo formlarını gönderdiğinizde yazdığınız bilgiler bu sağlayıcı üzerinden işlenir. Netlify, osdosistan hizmetinde işletmelerin ve son-müşterilerin verisini işlemez.

8. Yurt Dışına Aktarım

Bölüm 7’de görüldüğü üzere, yanıt üretimi, karar katmanı, mesajlaşma altyapısı ve yönetici kanalı zorunlu olarak yurt dışında yerleşik sağlayıcılar üzerinden çalışır. Bu nedenle mesaj içeriği ve ilgili meta veriler yurt dışına aktarılır. Birincil veritabanı ve saklama Türkiye’dedir; yurt dışına aktarım, hizmetin çalışması için gereken asgari veriyle sınırlıdır.

Bu aktarımların KVKK m.9’a uygun hukuki dayanağa kavuşturulması için Kurul’un yayımladığı Standart Sözleşme’nin imzalanması ve Kurul’a bildirilmesi süreci yürütülür; süreç tamamlandığında yürürlükteki dayanak bu bölümde belirtilir. Aktarım her hâlde, hizmetin çalışması için gereken asgari veriyle sınırlı tutulur.

İşletme (KOBİ) kullanıcıları, son-müşterilerine yönelik kendi aydınlatma metinlerinde bu aktarımı belirtmekle yükümlüdür; kurulum sırasında bunun için hazır bir aydınlatma metni sağlanır.

9. Saklama Süreleri ve İmha

Süre dolduğunda veriler; KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hale getirilir. Son-müşteri verisinde uygulanan yöntem, mesaj gövdesi ile ad, iletişim referansı ve notun geri döndürülemez biçimde maskelenmesidir; kaydın kendisi kişisel veri içermeden kalır. İmha, düzenli aralıklarla çalışan otomatik bir işle yürütülür; periyodik imha aralığı hiçbir hâlde altı ayı aşmaz. Sistem yedekleri en fazla 30 gün tutulur; silinen veri bu sürenin sonunda yedeklerden de çıkar.

Silme talepleri için Veri Silme Talimatı sayfasına bakınız.

10. Veri Güvenliği

• İletimde TLS ile şifreleme.
• Üçüncü taraf erişim anahtarları ve kimlik bilgileri (token) AES-256 zarf şifrelemesiyle saklanır; parolalar geri döndürülemez biçimde özetlenir (hash).
• En az yetki ilkesi ve rol bazlı erişim kontrolleri.
• Çok kiracılı mimaride işletme (tenant) izolasyonu, veritabanı düzeyinde satır bazlı güvenlik (RLS) ile zorunlu kılınır; her istek yalnızca kendi işletmesine ait satırlara erişebilir.
• Kişisel verinin uygulama loglarına gereksiz yere yazılmaması.
• Yönetici kanalında yetkili doğrulaması; müşteri mesajlarının asla yönetim komutu olarak işlenmemesi.

11. Veri İhlali Bildirimi

Bir kişisel veri ihlali öğrenildiğinde; veri sorumlusu olduğumuz veriler bakımından en kısa sürede ve her hâlde 72 saat içinde Kişisel Verileri Koruma Kurulu’na, ayrıca ilgili kişilere makul olan en kısa sürede bildirim yapılır. Veri işleyen sıfatıyla işlediğimiz veriler bakımından ise durum, gecikmeksizin veri sorumlusu olan işletmeye bildirilir; Kurul’a bildirim yükümlülüğü işletmeye aittir. Bildirim zinciri yazılı bir iç prosedürle yürütülür.

12. KVKK m.11 Kapsamındaki Haklarınız ve Başvuru

İlgili kişi olarak; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Başvuru usulü, gerekli bilgiler ve süreler için İlgili Kişi Başvuru Formu ve Usulü sayfasına bakınız. Son-müşteri sıfatıyla başvuruyorsanız, veri sorumlusu hizmeti aldığınız işletmedir; başvurunuzu öncelikle ona yöneltmeniz gerekir, talebinizi bize de iletebilirsiniz.

13. Çerezler ve Yerel Depolama

İnternet sitemizde (osdoarge.com) çerez, yerel depolama veya üçüncü taraf analitik/izleme aracı kullanılmamaktadır. İleride zorunlu olmayan bir çerez kullanılacak olursa, kullanımdan önce ayrı bir Çerez Politikası yayımlanır ve açık rızanız alınır. İşletme paneli, yalnızca oturumun sürdürülmesi için zorunlu çerez kullanır.

14. Değişiklikler, Sürüm ve Yürürlük

Bu politika güncellenebilir. Önemli değişikliklerde işletme kullanıcılarına, değişiklik yürürlüğe girmeden makul bir süre önce bildirim yapılır. Güncel sürüm bu sayfada yayımlanır. Yürürlük tarihi: 22.09.2026.

Bu metnin Türkçe ve İngilizce sürümleri arasında çelişki hâlinde Türkçe metin esastır.