DUCKTYLO — KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ
Sürüm: 1.0 · Yürürlük tarihi: 20.09.2026
Bu metin Ducktylo kullanıcılarını ve ziyaretçilerini kişisel veri işleme faaliyetleri hakkında bilgilendirir. Aydınlatma metnini okumak veya gördüğünüzü belirtmek açık rıza vermek değildir. Gerekli işlemler için sözleşme kabulü; isteğe bağlı işlemler için gerekiyorsa açık rıza ve ticari ileti onayı ayrıca alınır.
1. Veri sorumlusu ve iletişim
Ducktylo, ayrı bir tüzel kişi olmayıp Ravalu Teknoloji ve Yazılım Limited Şirketinin işlettiği bağımsız bir platform ve markadır. Bu metinde “Ravalu” veya “Şirket”, aşağıdaki veri sorumlusunu; “Platform” ducktylo.com üzerinden sunulan Ducktylo hizmetlerini ifade eder.
| Bilgi | Açıklama |
|---|---|
| Veri sorumlusu | Ravalu Teknoloji ve Yazılım Limited Şirketi |
| Ticaret sicili | İstanbul Ticaret Sicili — 1154131 |
| MERSİS | 0733141988300001 |
| Vergi dairesi / numarası | İkitelli / 7331419883 |
| Merkez | Ziya Gökalp Mah. Süleyman Demirel Bul. The Office No: 7E İç Kapı No: 136 Başakşehir / İstanbul |
| KVKK başvuruları | kvkk@ducktylo.com |
| Genel iletişim | ducktylo@ducktylo.com — +90 553 364 22 91 |
| KEP | ravalu@hs01.kep.tr |
2. Kapsam ve roller
Metin; ziyaretçiler, senaristler, yapımcılar, yapımcı ekiplerindeki gerçek kişiler, şirket temsilcileri, ödeme ve fatura ilgilileri, iletişim veya destek talebi iletenler ve Platformdaki içerikte kişisel verisi bulunan diğer gerçek kişiler için geçerlidir. Tüzel kişiye ait bir bilgi, gerçek kişiyle ilişkilendirilebildiği ölçüde kişisel veri niteliği taşır.
Ravalu; üyelik, yetkilendirme, görünürlük kuralları, analiz hizmetinin işletilmesi, abonelik, güvenlik, işlem kayıtları ve başvuru süreçlerinde amaç ve araçlarını belirlediği işleme faaliyetleri bakımından veri sorumlusudur. Bir yapımcı veya senarist, elde ettiği kişisel verileri kendi proje değerlendirme, sözleşme veya iletişim amaçlarıyla kullandığında kendi işlemleri bakımından ayrıca veri sorumlusu olabilir. İçeriğin kullanıcı tarafından yüklenmesi, Ravalu'nun bütün faaliyetlerini kendiliğinden “veri işleyen” faaliyetine dönüştürmez.
3. Hangi veriler hangi amaç ve hukuki sebeple işlenir?
İşleme şartları 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) esas alınarak aşağıda ayrıştırılmıştır. Sözleşme tarafı gerçek kişinin verisinde m.5/2(c); kurumsal kullanıcının temsilcisine ilişkin zorunlu iletişim ve yetki verisinde, dengeleme değerlendirmesine bağlı olarak m.5/2(f) uygulanır.
| Faaliyet / veriler | Amaç | Hukuki sebep |
|---|---|---|
| Kayıt ve hesap: ad-soyad, e-posta, kullanıcı kimliği, senarist/yapımcı rolü, oturum ve doğrulama kayıtları | Hesap açmak, kimliği doğrulamak, oturum ve erişim yetkilerini yönetmek | Sözleşmenin kurulması veya ifası için gereklilik: m.5/2(c); kurumsal temsilci ve yetki yönetiminde m.5/2(f) |
| Profil ve proje: yazar adı/mahlası, mesleki bilgiler, eklenen profil görseli, proje adı, künye, logline, özet, tür ve görünürlük tercihleri | Kullanıcının istediği profil ve proje sayfasını oluşturmak, belirlediği kapsamda keşfedilmeyi sağlamak | Talep edilen hizmetle sınırlı m.5/2(c); temsilci verilerinde m.5/2(f). Zorunlu olmayan farklı kullanım için ayrıca uygun hukuki sebep aranır |
| İçerik ve AI: senaryo PDF'i, sürüm bilgisi, analiz için gönderilen metin, talimatlar ve üretilen coverage/proje dosyası | Dosya saklama, sürümleme, künye oluşturma ve seçilen analiz hizmetini yerine getirmek | Kullanıcının kendi verilerinde m.5/2(c). Üçüncü kişi verilerinde somut işleme için ayrıca m.5 veya m.6 şartı bulunmalıdır |
| Zaman damgası: yüklenen dosyanın SHA-256 özeti, damga zamanı ve Kamu SM'nin döndürdüğü damga belirteci | Dosyanın belirli anda mevcut olduğunu ve sonradan değişmediğini doğrulanabilir kılmak | m.5/2(c); uyuşmazlıkta m.5/2(e) |
| Erişim ve okuma kaydı: okuyucunun kullanıcı kimliği, profil/kuruluş bilgisi, proje/sürüm kimliği ve erişim zamanı | Yetkili erişimi sağlamak; ilgili paketteki “kim, ne zaman okudu” bilgisini eser sahibine sunmak; kötüye kullanımı incelemek | Hizmet ifasında m.5/2(c); yazarın erişim takibi ve güvenlikte, ölçülülük ve dengeleme koşuluyla m.5/2(f); uyuşmazlıkta m.5/2(e) |
| Mesaj, teklif ve çağrı başvurusu: taraf, mesaj, başvuru, ekler ve zaman bilgisi | Taraflar arasındaki talep edilen iletişimi ve başvuru sürecini yürütmek | m.5/2(c); kurumsal temsilci verilerinde m.5/2(f) |
| Abonelik ve satış işlemi: paket, dönem, sipariş, tutar, ödeme sonucu, iptal/iade; fatura adı/unvanı, adres ve gerekli vergi bilgileri | Hizmeti tanımlamak, tahsilat/iade yapmak, belge düzenlemek, muhasebe ve vergi yükümlülüklerini yerine getirmek | Hizmet için m.5/2(c); yasal yükümlülük için m.5/2(ç); hakların korunması için m.5/2(e) |
| Sözleşme ve ispat: sunulan metin sürümü, işlem/kabul tarihi, sipariş ve bildirim kayıtları, gerekli IP kaydı | İşlemin kapsamını göstermek, şikâyetleri ve uyuşmazlıkları sonuçlandırmak | m.5/2(e); kanuni saklama yükümlülüğü varsa m.5/2(ç) |
| Teknik ve güvenlik: IP, cihaz/tarayıcı bilgisi, istek/oturum zamanı, hata ve olay kaydı | Hizmeti sunmak, erişimi korumak, saldırı ve sahteciliği önlemek, arızaları gidermek | Hak ve özgürlüklere zarar vermeyen m.5/2(f); somut yasal zorunlulukta m.5/2(ç) |
| İletişim/destek: ad, e-posta, isteğe bağlı telefon, mesaj ve ilgili ekler | Soruyu yanıtlamak, teknik destek vermek ve talebi izlemek | Sözleşmeyle ilgili taleplerde m.5/2(c); diğer makul taleplerde m.5/2(f); hak başvurusunda m.5/2(ç) |
| Ticari ileti ve isteğe bağlı ölçüm: kanal adresi, izin/ret kaydı ve izin verilen etkileşim verisi | Kullanıcının seçtiği tanıtım iletilerini yürütmek; analitik çerezlere izin verilmişse Google Analytics 4 ile site ve özellik kullanımını ölçmek | Gerektiğinde m.5/1 açık rıza; ticari ileti mevzuatının gerektirdiği ayrıca alınan onay |
Meşru menfaate dayanan bir işlemde amaç, gereklilik ve kişinin haklarına etkisi değerlendirilir. Gereksiz bir veri, sözleşmenin ifası gerekçesiyle zorunlu alan haline getirilmez. Yalnızca kamuya açık olması, bir kişisel verinin her amaçla kullanılabileceği anlamına gelmez.
4. Toplama yöntemleri
Veriler; kayıt ve profil alanlarından, senaryo/proje yükleme ekranından, Platform içi mesaj ve çağrı başvurularından, satın alma ekranlarından, ödeme kuruluşunun işlem bildirimlerinden, e-posta/iletişim formlarından ve site kullanımı sırasında oluşan teknik kayıtlardan elektronik ortamda, tamamen veya kısmen otomatik yollarla alınır. Kâğıtla veya posta yoluyla iletilen başvurular da kayıt sisteminin parçası olarak işlenebilir. Başka kullanıcı tarafından iletilen verilerde, uygulanabilir aydınlatma yükümlülüğü ayrıca yerine getirilir.
5. Senaryo içeriği, AI ve görünürlük
Yüklenen dosyada gerçek kişileri belirleyen kapak bilgileri, iletişim bilgileri veya anlatılar bulunabilir. Gerçek kişiyle ilişkilendirilmeyen kurmaca karakter bilgileri tek başına kişisel veri değildir. Kullanıcılar gereksiz gerçek kişi bilgilerini kaldırmalı; gerçek kişilere ait sağlık, cinsel hayat, siyasi görüş gibi özel nitelikli verileri ve çocuk verilerini normal yükleme/analiz akışına eklememelidir. Böyle bir işleme ihtiyaç duyulursa, uygun hukuki şart ve ek korumalar ayrıca kurulmadan ilgili veri işlenmez. Yükleyenin genel bir “izinliyim” beyanı, üçüncü kişilerin bütün haklarının yerine geçmez.
Senaryo yükleme ve analiz özelliklerinde, kullanılan işleve göre metnin tamamı veya gerekli bölümleri, proje bilgileri ve talimatlar Anthropic AI API üzerinden işlenebilir. Girdilerden coverage, künye veya proje çıktısı üretilebilir. AI çıktısı bir insanın kesin değerlendirmesi değildir ve hata içerebilir. Sırf otomatik analize dayanan ve aleyhinize sonuç doğuran işlemlere KVKK m.11 uyarınca itiraz edebilirsiniz.
Anthropic ticari API'nin yayımlanan varsayılan kuralı, girdi ve çıktıları model eğitiminde kullanmamaktır; ayrı paylaşım/geri bildirim ve özel sözleşme seçenekleri ayrıca değerlendirilir. Bu, sağlayıcının veriyi hiç saklamadığı anlamına gelmez. Standart API saklamasında genel kural 30 gün içinde silmedir; dosya hizmetleri, güvenlik incelemeleri, kanuni zorunluluklar, seçilen model ve özel sözleşme koşulları farklılık yaratabilir. Ducktylo'nun kendi dosya ve rapor saklaması ayrıca yürütülür.
Profil, proje kartı, özet coverage ve senaryo dosyası aynı erişim seviyesine sahip değildir. Free yapımcı, erişebildiği yazar/proje profillerini ve özet bilgileri görebilir; senaryo PDF'ini görüntüleyemez. Ücretli yapımcı erişimi de yazarın erişim iznine bağlıdır. Tam dosyaya erişim öncesinde geçerli gizlilik şartları gösterilir. Senarist Pro paketindeki okuma takibi kapsamında okuyucu kimliği ve okuma zamanı ilgili senariste gösterilebilir; okuyucu bu konuda erişim ekranında bilgilendirilir. Güvenlik için tutulan ham IP ve cihaz kayıtları sırf bu özellik nedeniyle senariste açılmaz.
6. Alıcılar ve paylaşım amaçları
| Alıcı / alıcı grubu | Kapsam ve amaç |
|---|---|
| Yetkili yapımcılar, senaristler ve ekip kullanıcıları | Kullanıcının görünürlük/erişim tercihleri ve paket yetkisi kapsamında profil, proje, izinli dosya, rapor, mesaj, başvuru veya sınırlı okuma kaydını göstermek |
| Supabase | Hesap, veri tabanı, kimlik doğrulama, dosya ve hizmet kayıtlarını altyapıda işlemek |
| Vercel | Uygulamayı sunmak, istek/yanıt ve ilgili teknik kayıtları işlemek; uygulama üzerinden geçen içerikler işlem gerektirdiği ölçüde işlenebilir |
| Anthropic AI API | Seçilen AI işlevini yerine getirmek için gerekli içerik, talimat ve çıktıları işlemek |
| İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico) ve bankalar | Tahsilat, kart doğrulama, iade ve ödeme uyuşmazlıklarını yürütmek |
| TÜBİTAK BİLGEM Kamu Sertifikasyon Merkezi (Kamu SM) | Yüklenen dosya için nitelikli zaman damgası üretmek; yalnızca dosyanın SHA-256 özeti iletilir, dosya içeriği ve kimlik bilgisi iletilmez |
| Resend | Hesap doğrulama, şifre değişikliği bildirimi ve ön kayıt gibi işlem e-postalarını göndermek; alıcı e-posta adresi ve e-posta içeriği işlenir |
| Google (Google Analytics 4) | Yalnızca analitik çerezlere izin verilmesi halinde site ve özellik kullanımını ölçmek |
| Görevlendirilen muhasebe, hukuk ve denetim hizmetleri | Gerekli kayıtlarla sınırlı olarak vergi, belge, denetim ve hakların korunması işlemlerini yapmak |
| Yetkili kamu kurumları ve adli/idari merciler | Kanundan kaynaklanan veya usulüne uygun resmi talepleri yerine getirmek |
Hizmet sağlayıcılar, Ravalu'nun talimatlarına göre işledikleri müşteri verilerinde veri işleyen; kendi yasal görev veya ayrı amaçları bakımından bağımsız veri sorumlusu olabilir. Ödeme kuruluşunun kendi işlemeleri, ödeme sırasında sunulan aydınlatmaya da tabidir. Yeni bir sağlayıcı kullanılması halinde, sağlayıcı ve gerekli veri paylaşımı ilgili işlem başlamadan önce bu metne eklenir.
7. Yurt dışı işlemler
Supabase, Vercel, Anthropic, Resend ve Google hizmetleri Türkiye dışındaki altyapı veya yurt dışından erişim içerebilir. Birincil sunucunun Avrupa'da seçilmesi, destek, alt işleyen, günlük ve yedek işlemlerinin tamamının aynı ülkede bulunduğunu göstermez. Yurt dışındaki bir yapımcıya/ekip üyesine kişisel veri içeren dosyanın açılması da ayrıca değerlendirilir.
Her aktarımda KVKK m.5 veya m.6 şartına ek olarak m.9'daki aktarım mekanizması aranır. Uygulanabilir yeterlilik kararı yoksa, ilgili kişi haklarının kullanılabilirliği ve etkili başvuru imkânı da dikkate alınarak Kurulun standart sözleşmesi gibi uygun güvence kurulur. Düzenli bulut ve API kullanımı, arızi aktarım istisnasına veya genel bir “yurt dışı aktarım onayı” kutusuna dayandırılmaz. Geçerli aktarım şartı bulunmayan kişisel veri akışı başlatılmaz; mevcut akışta şart ortadan kalkarsa durdurulur veya uygun başka bir çözüm uygulanır.
Bu metnin eki olan Yurt Dışı Sağlayıcı ve Aktarım Tablosu, aktif hizmetler için somut bilgileri içerir. Bu ek, kişisel verilerin yurt dışına aktarılmasına kendiliğinden izin veren bir belge değildir.
| Sağlayıcı | İşleme konumu / erişim ülkeleri | Uygulanan KVKK m.9 mekanizması |
|---|---|---|
| Supabase; yayımlanan DPA'daki sözleşme tarafı Supabase Pte. Ltd. (Singapur) | Birincil veri tabanı, kimlik doğrulama ve dosya depolama: Almanya (Frankfurt, AB). Destek ve alt işleyen erişimi: Supabase'in yayımladığı alt işleyen listesindeki ülkeler, başta Singapur ve ABD | KVKK m.9/4 uyarınca Kurulca ilan edilen standart sözleşme (veri sorumlusundan veri işleyene) |
| Vercel; yayımlanan DPA'da başlıca tesisler ABD, diğer yerler hizmet/alt işleyene bağlı | ABD (Vercel Inc.); uygulama sunucu bölgesi ve Vercel'in küresel içerik dağıtım ağı noktaları | KVKK m.9/4 uyarınca Kurulca ilan edilen standart sözleşme (veri sorumlusundan veri işleyene) |
| Anthropic AI API; sözleşme tarafı Anthropic, PBC | ABD (Anthropic, PBC) | KVKK m.9/4 uyarınca Kurulca ilan edilen standart sözleşme (veri sorumlusundan veri işleyene) |
| Resend; Resend, Inc. | ABD | KVKK m.9/4 uyarınca Kurulca ilan edilen standart sözleşme (veri sorumlusundan veri işleyene) |
| Google Analytics 4; Google LLC — yalnızca analitik izni verildiğinde | ABD ve Google'ın küresel veri merkezleri | KVKK m.9/4 uyarınca Kurulca ilan edilen standart sözleşme (veri sorumlusundan veri işleyene) |
iyzico ve Kamu SM Türkiye'de yerleşiktir; bu alıcılarla yapılan paylaşım yurt içi aktarımdır.
8. Saklama ve silme
Hesap ve proje verileri, seçilen hizmet sürdüğü ve bu amaç için gerekli olduğu müddetçe tutulur. Hesap kapatma veya içerik silme talebinde aktif kullanım sona erdirilir; vergi, ticari kayıt, işlem ispatı, uyuşmazlık veya güvenlik için hukuka uygun biçimde saklanması gereken sınırlı kayıtlar ilgili amaç ve süreyle korunabilir. Bir uyuşmazlık, ilgili olmayan bütün verilerin süresiz tutulmasına gerekçe oluşturmaz.
Yedek ve teknik günlüklerdeki kopyalar, uygulanabilir silme takvimi ve sistemlerin yaşam döngüsü içinde kaldırılır; silinmesi gereken veriler olağan hizmete geri döndürülmez. Sağlayıcı tarafındaki saklama, ilgili sözleşme ve özelliğe göre ayrıca ele alınır. İşleme şartları ortadan kalktığında kişisel veri silinir, yok edilir veya gerçekten anonim hale getirilir. Talebin sonucu ve varsa saklamanın hukuki gerekçesi başvuru sahibine açıklanır.
9. Haklarınız ve başvuru
KVKK m.11 kapsamında; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amaca uygun kullanımı öğrenme, yurt içi/yurt dışı alıcıları bilme, eksik veya yanlış bilgilerin düzeltilmesini isteme, kanuni şartlarda silinmesini/yok edilmesini isteme, düzeltme ve silmenin alıcılara bildirilmesini isteme, yalnızca otomatik analizle aleyhinize sonuç çıkmasına itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini isteme haklarına sahipsiniz.
Başvurunuzu merkez adresine yazılı olarak; ravalu@hs01.kep.tr adresine KEP ile; güvenli elektronik imza/mobil imza kullanarak veya önceden bize bildirdiğiniz ve sistemde kayıtlı e-postanızdan kvkk@ducktylo.com adresine iletebilirsiniz. Mevzuattaki kimlik ve talep bilgileri istenir; gereksiz belge toplanmaz. “Ducktylo KVKK Başvurusu” başlığı isteğe bağlıdır.
Başvurular en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırılır; yalnız mevzuatın izin verdiği tarifeli masraflar alınabilir. Açık rıza her zaman geri alınabilir; bu, önceki hukuka uygun işlemleri geriye dönük geçersiz kılmaz.