KVKK aydınlatma metni ve gizlilik politikası

1. Veri sorumlusu

Notussoft Bilgi Teknolojileri Ltd. Şti. ("Notussoft"), Güzelyalı Yalı Mah. Yunusemre Sok. No: 6/1, Mudanya / Bursa adresinde yerleşik olup; kişisel verilerinizle ilgili her türlü başvuru ve sorunuz için info@notussoft.com e-posta adresinden ulaşılabilir.

2. Kapsam ve roller

Veri sorumlusu olduğumuz hâller: Web sitesi ziyaretçileri, bekleme listesi katılımcıları, hesap sahipleri ve platform yöneticileri bakımından Notussoft veri sorumlusudur.

Veri işleyen olduğumuz hâller: Müşterilerimizin NotusCRM'e girdiği ya da bağladıkları e-posta ve takvim hesaplarından eşitlenen müşteri ve kişi verileri bakımından veri sorumlusu ilgili müşterimizdir (kullanıcı şirkettir); Notussoft, bu verileri yalnızca müşteri adına ve talimatıyla işleyen veri işleyen konumundadır.

3. İşlenen kişisel veriler

Bekleme listesi: E-posta adresi, ad soyad, şirket adı, isteğe bağlı mesaj, formun dili ve gönderim zamanı.

Hesap bilgileri: Ad, e-posta adresi, profil fotoğrafı ve dil tercihi. Google ile giriş (OAuth) yapılması durumunda Google'dan yalnızca ad, e-posta ve profil fotoğrafı temin edilir.

Güvenlik ve kullanım kayıtları: IP adresi, tarayıcı bilgisi, oturum kayıtları ve hesap içerisindeki değişikliklerin denetim izi (audit log).

Bağlanan e-posta ve takvim hesapları: Bağlanan hesaplara ait bağlantı parametreleri, kimlik bilgileri ve OAuth erişim/yenileme anahtarları (tokens), uygulama veritabanından izole edilmiş ayrı bir kimlik doğrulama servisinde güçlü algoritmalarla şifreli olarak saklanır; doğrudan CRM operasyonel veritabanına yazılmaz. CRM'de henüz kaydı bulunmayan potansiyel kişilere ait e-posta adresleri ve gönderici isimleri, kullanıcıya kişi oluşturma önerisi sunulabilmesi amacıyla ("Gelen Öneriler" kapsamında) geçişli olarak işlenir; bilinen kişilerle eşleşen iletilere ait konu, tarih, katılımcı ve müşteri ilişkileri yönetimiyle ilgili özet/metin parçaları ile etkinliklerin başlık, zaman ve katılımcı bilgisi CRM'e kaydedilir. E-posta ekleri sisteme alınmaz.

Mobil uygulama bildirimleri: Mobil uygulamada bildirimler açıksa cihazın bildirim adresi (push token'ı), işletim sistemi türü (iOS/Android), uygulama dili, okunmamış bildirim sayısı ve bildirim başlığında gösterilen çalışma alanı adı.

4. İşleme amaçları ve hukuki sebepler

Kişisel verileriniz aşağıdaki amaçlar ve KVKK m.5 ve m.9 fıkralarında belirtilen hukuki sebeplere dayanarak işlenmektedir:

Bekleme listesi başvurularının değerlendirilmesi ve sizi ürünün açılışından haberdar etmek (KVKK m.5/2-c: sözleşmenin kurulmasıyla doğrudan ilgili olması ve m.5/2-f: meşru menfaat).

NotusCRM hizmetinin sunulması, hesabın yönetimi ve teknik destek sağlanması (KVKK m.5/2-c).

Yapay zekâ (AI) özeti özelliğinin, müşterinin (veri sorumlusu) çalışma alanında özelliği açması hâlinde; kullanıcının münferit özetleme talepleri ile eşitlenen e-posta yazışmalarının özetlenmesi ve kişi önerilerinin zenginleştirilmesi amacıyla çalıştırılması. Bu kapsamda alt veri işleyene yapılan aktarım müşterinin talimatına dayanır (ayrıntılar 6. bölümde; özellik kapalıyken aktarım yapılmaz).

Mobil anlık bildirimlerin (push) iletilmesi ve uygulama simgesindeki okunmamış bildirim sayısının güncellenmesi (KVKK m.5/2-c).

Hizmet güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve denetim kayıtlarının tutulması (KVKK m.5/2-f: meşru menfaat).

Bilgi güvenliği süreçlerinin yürütülmesi ve yasal yükümlülüklerin yerine getirilmesi (KVKK m.5/2-ç: veri sorumlusunun hukuki yükümlülüğü).

İletişim izni bulunması hâlinde ürün güncellemeleri, duyurular ve bilgilendirmelerin iletilmesi (KVKK m.5/1: açık rıza / ticari elektronik ileti mevzuatı).

5. Aktarım

Kişisel verileriniz Türkiye'de, Notussoft'un kendi sunucularında barındırılır. Altyapının güvenliğini sağlamak, şifreli tünel bağlantılarını yönetmek ve istekleri iletmek amacıyla Cloudflare (ABD merkezli altyapı sağlayıcısı) tünel/CDN katmanı veri işleyen sıfatıyla kullanılır; ağ trafiği, IP adresleri ve form içerikleri bu altyapı üzerinden teknik olarak geçer.

Kişisel verileriniz, aşağıda düzenlenen yapay zekâ özeti (özellik aktif olduğunda) ve mobil anlık bildirimler haricinde başka bir amaçla yurt dışına aktarılmaz.

Google ile girişte (OAuth) temin edilen bilgiler yalnızca kimlik doğrulama ve hesap oluşturma süreçleri için kullanılır; reklam amacıyla kullanılmaz ve üçüncü taraflarla paylaşılmaz. Google API'lerinden alınan verilerin kullanımı, Google API Services User Data Policy (Limited Use kısıtlamaları dâhil) şartlarına uygundur.

Google API verilerinin kullanımı ve sınırları: NotusCRM, kullanıcının açık yetkilendirmesiyle Google API'leri üzerinden yalnızca takvim verilerine (calendar.events.owned.readonly) ve kullanıcının CRM üzerinden e-posta gönderebilmesi için Gmail gönderim servisine (gmail.send) erişir.

Google Takvim: Etkinliklerin başlığı, saati, katılımcıları ve toplantı bağlantısı okunarak CRM'deki ilgili kişi kayıtlarıyla eşleştirilir.

Gmail ile e-posta gönderimi: Kullanıcının CRM arayüzünden oluşturduğu e-postalar kullanıcının kendi Gmail hesabı üzerinden iletilir; gelen kutusundaki e-postalar Google API'leri üzerinden okunmaz.

Model eğitimi yasağı: Google API'lerinden elde edilen veriler hiçbir koşulda yapay zekâ veya makine öğrenimi modellerinin eğitilmesi amacıyla kullanılmaz.

Sınırlı kullanım (Limited Use): Google kullanıcı verilerinin kullanımı ve diğer uygulamalara aktarımı, Google API Services User Data Policy (Limited Use gereksinimleri dâhil) ile tam uyumludur.

Microsoft 365 / Graph API verilerinin kullanımı: Kullanıcının Microsoft hesabını bağlaması hâlinde; bağlantı anında son 30 günün, sonrasında yeni gelen ve gönderilen e-postalar (Mail.Read), takvim etkinlikleri (Calendars.Read) ve kullanıcı adına e-posta gönderimi (Mail.Send) kapsamlarında Microsoft Graph API kullanılır. E-postaların konu, tarih, katılımcı ve en fazla 4.000 karaktere kadar olan metin gövdesi ile kayıtlı kişilerin toplantı bilgileri CRM'e işlenir. Bu veriler reklam hedeflemesi amacıyla kullanılmaz ve üçüncü taraflara satılmaz.

Mobil anlık bildirimler: Bildirimler mobil işletim sistemlerinin bildirim altyapıları üzerinden iletilir: Google LLC (Firebase Cloud Messaging – ABD/İrlanda) ve iOS cihazlarda ayrıca Apple Inc. (Apple Push Notification service – ABD). Bu sağlayıcılara cihazın bildirim adresi, bildirim başlığında çalışma alanının (workspace) adı, "Yeni bir bildiriminiz var" gibi genel bir metin, ilgili kaydı açmak için teknik kimlikler ve okunmamış bildirim sayısı aktarılır; kayıt içeriği ile kişi ve fırsat adları gönderilmez. Bu sağlayıcılar alt veri işleyen sıfatıyla hareket eder. Bildirimleri dilediğiniz an cihazınızın işletim sistemi ayarlarından ya da NotusCRM bildirim tercihlerinden kapatabilirsiniz.

Yukarıdakiler haricinde kişisel verileriniz yalnızca kanunen yetkili kamu kurum ve kuruluşlarına talep hâlinde aktarılır.

6. Yapay zekâ (AI) özeti ve alt veri işleyen aktarımı

İsteğe bağlı kullanım: NotusCRM'deki yapay zekâ özellikleri varsayılan olarak kapalıdır ve yalnızca çalışma alanı (workspace) yetkilisinin bu özelliği açmasıyla çalışır. Özellik açıkken iki şekilde çalışır: (i) kullanıcı bir kayıtta "AI ile özetle" komutunu verdiğinde o kayıt özetlenir; (ii) eşitlenen e-posta trafiğinde belirli hacme ulaşan yazışma zincirleri kendiliğinden özetlenir ve kişi imzalarından unvan önerisi çıkarılır. Her iki durumda da üretilen çıktı yalnızca öneridir; kullanıcı onaylamadıkça CRM kaydına yazılmaz. Özellik kapalıyken hiçbir veri yapay zekâ altyapısına iletilmez.

Aktarılan veriler ve veri minimizasyonu: Özetleme talebi sırasında yalnızca ilgili kaydın metni ve fırsatın özet aktivite bilgileri yurt dışına aktarılır. AI özellikleri aktif edilmiş çalışma alanlarında; kullanıcının münferit özetleme taleplerinin yanı sıra, eşitlenen e-posta trafiğinde belirli hacme ulaşan yazışma zincirlerinin özetlenmesi ve kişi imzalarından unvan tespiti amacıyla da ilgili kayıt parçaları maskelenerek yapay zekâ altyapısına iletilir. Sistemimiz, verileri göndermeden önce e-posta adresi ve telefon numaralarını otomatik olarak maskeler. Parolalar, ekli dosyalar veya CRM veritabanının geri kalanı kesinlikle aktarılmaz.

Alt veri işleyen: Bu özellik kapsamında veriler, yapay zekâ altyapı sağlayıcımız olan Anthropic PBC'ye (ABD) teknik bir alt veri işleyen sıfatıyla aktarılmaktadır.

Kullanım amacı ve güvenlik taahhüdü: Aktarılan veriler yalnızca özetin ya da unvan önerisinin üretilmesi amacıyla işlenir. Anthropic API politikaları ve Notussoft ile yapılan sözleşmeler uyarınca, veriler büyük dil modellerinin eğitiminde kesinlikle kullanılmaz. Üretilen özetler kullanıcı onay vermedikçe CRM veritabanına kaydedilmez.

Saklama süresi: Girdi ve çıktılar, sağlayıcı nezdinde kural olarak en geç 30 gün içinde (sıfır saklama / ZDR protokolü devreye girdiğinde anlık işlem süresini takiben derhal) silinir; yalnızca yasal mevzuat ve kullanım politikası ihlali denetimleri kapsamında sınırlı güvenlik logları geçici olarak tutulabilir.

7. Saklama süreleri

Bekleme listesi: Bekleme listesine katılan kişilerin verileri, sisteme kayıt oldukları tarihten itibaren en geç 30 gün süreyle saklanır. Bu süre içinde davet edilerek NotusCRM hesabı oluşturulan kişilerin verileri hesap ve CRM ilişkisi kapsamında saklanmaya devam eder; davet edilmeyen veya 30 günlük süre içinde hesaba dönüştürülmeyen bekleme listesi başvuruları otomatik olarak sistemden silinir.

CRM verileri ve loglar: Silinen CRM kayıtları 30 gün boyunca sistemde geri alınabilir durumda tutulur, ardından kalıcı olarak silinir. Güvenlik denetim kayıtları (audit log) 90 gün süreyle saklanır. E-posta/takvim eşitleme kayıtları ve webhook teslim günlükleri 30 gün, otomasyon çalışma geçmişi 90 gün saklanır ve süre sonunda otomatik olarak silinir.

E-posta bağlantıları: E-posta veya takvim hesabı bağlantısı kaldırıldığında kimlik doğrulama anahtarları derhal ve kalıcı olarak silinir. Senkronize edilmiş mevcut CRM aktiviteleri, kullanıcı veya çalışma alanı yöneticisi tarafından silinmedikçe ya da çalışma alanı kapatılmadıkça korunur; bağlantı kaldırılırken bu hesaptan eşitlenmiş kayıtların da silinmesi seçilebilir.

8. Çerezler

notuscrm.com web sitesi pazarlama veya analitik çerezleri barındırmaz. NotusCRM web uygulaması yalnızca oturum güvenliğinizi ve dil tercihinizi sürdürmek amacıyla zorunlu çerezler kullanır.

9. KVKK m.11 kapsamındaki haklarınız

Kişisel veri sahibi olarak KVKK'nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme,

İşlenmişse buna ilişkin bilgi talep etme,

İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,

Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde verilerinizin silinmesini veya yok edilmesini isteme,

İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

10. Başvuru yöntemi

Yukarıda belirtilen haklarınızı kullanmakla ilgili taleplerinizi, yazılı olarak Güzelyalı Yalı Mah. Yunusemre Sok. No: 6/1, Mudanya / Bursa adresine bizzat iletebilir, noter vasıtasıyla gönderebilir veya info@notussoft.com adresine güvenli elektronik imza ya da sistemimizde kayıtlı e-posta adresiniz üzerinden iletebilirsiniz. Başvurularınız kanuni süre olan en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır.