KVKK Aydınlatma Metni
Ducktylo Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
1. Veri Sorumlusu
Ducktylo platformunu işleten [ŞİRKET UNVANI] ("Ducktylo" veya "Platform"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusudur.
Avukat görüşü kritik: Şirketin tüzel kişilik bilgileri (unvan, MERSİS no, adres, KEP) netleşmeden bu bölüm yayımlanmamalıdır.
2. İşlenen Kişisel Veri Kategorileri
| Kategori | Örnek Veriler | Veri Sahibi |
|---|---|---|
| Kimlik ve İletişim Verisi | Ad-soyad, e-posta adresi | Senarist, Yapımcı |
| Hesap/İşlem Güvenliği Verisi | Giriş kayıtları, oturum bilgileri | Tüm kullanıcılar |
| Senaryo İçerik Verisi | Yüklenen senaryo dosyaları (PDF), senaryo meta verileri | Senarist |
| Yapımcı Doğrulama Verisi | Vergi levhası, faaliyet belgesi gibi doğrulama belgeleri | Yapımcı |
| Erişim Log Verisi | script_access_logs — hangi yapımcının hangi senaryoya, ne zaman eriştiğine ilişkin kayıtlar | Senarist, Yapımcı |
| AI Analiz Verisi | Senaryo metni ve meta verisi — AI analizi özelliği aktifleştiğinde ve yalnızca kullanıcının açık rızasıyla işlenir | Senarist |
| Abonelik / Ödeme Kayıtları | Seçilen tier, ödeme tarihi, işlem referansı — abonelik sistemi yakında aktif olacaktır | Tüm kullanıcılar |
| Ticari / Mali Kimlik | Vergi Kimlik Numarası (VKN) — yapımcı doğrulama sürecinde | Yapımcı |
3. Kişisel Verilerin İşlenme Amaçları
- Platform üyeliğinin kurulması ve yürütülmesi (senarist/yapımcı hesap yönetimi)
- Senaryoların yüklenmesi, incelenmesi (review) ve yayımlanması (publish) sürecinin yürütülmesi
- Open call (açık çağrı) sistemine başvuru ve eşleştirme süreçlerinin yürütülmesi
- Yapımcı hesaplarının doğrulanması (vergi levhası/faaliyet belgesi incelemesi) ve onay sürecinin yürütülmesi
- Senaryo dosyalarına erişimin loglanması yoluyla yetkisiz erişimin önlenmesi ve uyuşmazlık halinde delil oluşturulması
- Platform güvenliğinin sağlanması, kötüye kullanımın tespiti
- Yasal yükümlülüklerin yerine getirilmesi (örn. talep halinde yetkili mercilere bilgi verilmesi)
- AI analizi özelliği aktifleştiğinde: senaryo dosyasının yapısal analizi ve meta veri çıkarımı amacıyla Anthropic Claude API'ye iletim — bu amaç yalnızca kullanıcının opsiyonel açık rızasına dayanır ve henüz aktif değildir
4. İşlemenin Hukuki Sebepleri (KVKK m.5/2)
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması (platform kullanım sözleşmesi)
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (örn. erişim logları, güvenlik)
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması (uyuşmazlık halinde
script_access_logskullanımı) - AI analizi özelliği aktifleştiğinde: ilgili kişinin açık rızası (KVKK m.5/1) — senaryo içeriğinin ABD'de mukim Anthropic PBC'ye iletilmesi için ayrı ve opsiyonel rıza alınacaktır (KVKK m.9/1)
Avukat görüşü kritik: Yapımcı doğrulama belgelerinin (vergi levhası vb.) hangi hukuki sebeple ve hangi sürede işleneceği — bu belgeler özel nitelikli veri içermese de ticari/mali bilgi taşıdığından, açık rıza gerekip gerekmediği netleştirilmelidir.
5. Kişisel Verilerin Saklanması ve Aktarılması
- Veriler, Supabase altyapısı üzerinden Avrupa Birliği (Frankfurt, Almanya) bölgesinde barındırılan sunucularda saklanmaktadır.
- Senaryo dosyaları (
scriptsbucket) ve doğrulama belgeleri (verificationsbucket) private olarak saklanır, herkese açık URL üzerinden erişilemez; erişim yalnızca süreli (signed URL, 15 dakika geçerlilik) ile sağlanır. - Veriler, işlenme amacının gerektirdiği süre kadar saklanır; hesap kapatma/talep halinde silme veya anonimleştirme süreçleri uygulanır. Somut saklama süreleri hazırlanmakta olan Veri Saklama Politikası ile netleştirilecektir [süreler avukat değerlendirmesinde belirlenecektir].
Alt-İşleyenler
| Alt-İşleyen | Hizmet | Veri Lokasyonu | Not |
|---|---|---|---|
| Supabase Inc. | Veritabanı, depolama (Storage), kimlik doğrulama (Auth) | Veri: Frankfurt, Almanya (AWS eu-central-1) — Supabase Inc. ABD merkezli şirkettir | DPA ve Standart Sözleşme Hükümleri (SCCs) mevcuttur; KVKK m.9 kapsamındaki ABD şirketi riski avukat incelemesindedir |
| Vercel Inc. | Platform barındırma, CDN, sunucu taraflı render (SSR) | Küresel CDN; Sunucu Fonksiyonları fra1 (Frankfurt) bölgesi hedeflenmektedir; birincil işleme ABD'dir | DPA ve SCCs mevcuttur; Edge ağının küresel yapısı KVKK m.9 kapsamında avukat değerlendirmesindedir |
| Anthropic PBC | AI tabanlı senaryo analizi ve meta veri çıkarımı | Amerika Birleşik Devletleri (ABD) | Yalnızca AI analizi özelliği aktifleştiğinde ve kullanıcının açık rızasıyla (KVKK m.9/1) geçerlidir. API verisi Anthropic'in politikası gereği 7 gün içinde silinmekte; model eğitiminde kullanılmamaktadır. Henüz aktif değildir. |
Avukat görüşü kritik: Supabase'in AB içinde barındırılması "yurt dışına aktarım" sayılmasa da, Supabase Inc.'in (ABD merkezli) alt işleyen sıfatıyla veriye erişiminin olup olmadığı kontrol edilmeli; gerekiyorsa KVKK m.9 kapsamında yurt dışı aktarım mekanizması (standart sözleşme hükümleri vb.) değerlendirilmelidir. Ayrıca veri saklama süreleri için somut bir saklama/imha politikası (özellikle yapımcı doğrulama belgeleri için) hazırlanmalıdır.
6. İlgili Kişinin Hakları (KVKK m.11)
İlgili kişi, veri sorumlusuna başvurarak:
- Kişisel verisinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik/yanlış işlenmişse düzeltilmesini isteme,
- KVKK m.7 şartları oluştuğunda silinmesini/yok edilmesini isteme,
- Düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu aleyhine bir sonuç ortaya çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğraması halinde zararın giderilmesini talep etme
haklarına sahiptir. Başvurular [BAŞVURU KANALI — örn. KEP/e-posta] üzerinden yapılabilir; başvurular KVKK m.13 uyarınca en kısa sürede ve en geç 30 gün içinde sonuçlandırılır.
7. Çerez Kullanımı
Platform, oturum yönetimi ve hizmet kalitesinin iyileştirilmesi amacıyla çerez (cookie) teknolojisini kullanmaktadır:
- Supabase Auth Oturum Çerezi: Kullanıcı oturumunun sürdürülmesi için zorunlu çerez. Temel hizmet işleyişi için gereklidir; ayrıca rıza alınmaksızın kullanılır.
- Vercel Analytics: Platform kullanımına ilişkin anonim ziyaret istatistikleri toplanabilmektedir. Kişisel kimlik tespitine yönelik izleme yapılmamaktadır.
Çerez kullanımına ilişkin kapsamlı Çerez Politikası hazırlanmakta olup yakında ayrı bir sayfa olarak yayımlanacaktır.
Bu metin bir taslaktır, hukuki tavsiye niteliği taşımaz. Yayımlanmadan önce bir avukat tarafından onaylanmalıdır.