Gizlilik Politikası

Son güncelleme: 21 Ekim 2026

Aşağıdaki bilgilerle, web sitemiz callivo.ai adresini ziyaret ettiğinizde, platformumuzda bir hesap oluşturduğunuzda veya bizimle iletişime geçtiğinizde kişisel verilerinizi nasıl işlediğimize dair size genel bir bakış sunuyoruz. Bu açıklama, Genel Veri Koruma Tüzüğü (DSGVO / GDPR) Madde 13 ve Madde 14 uyarınca bilgilendirme yükümlülüklerini yerine getirmektedir.

1. Veri Sorumlusu, Kapsam ve İletişim

Bu web sitesindeki kişisel verilerin işlenmesinden Art. 4 Nr. 7 DSGVO anlamında sorumlu olan veri sorumlusu:

Bu gizlilik politikası, callivo.ai web sitesi için (tüm alt alan adları dâhil) ve bu site üzerinden erişilebilen platform için (kontrol paneli, hesap işlevleri, uygulama içi alanlar) geçerlidir.

Önemli ayrım: İş müşterilerimiz Callivo platformu üzerinden yapay zekâ destekli telefon ajanları işlettiğinde ve bu sayede kendi son müşterileriyle görüşmeler yürüttüğünde, bu sırada ortaya çıkan son müşterilerin kişisel verilerini yalnızca ilgili iş müşterisinin talimatı doğrultusunda ve onun adına işleriz. Bunun dayanağı, Art. 28 DSGVO uyarınca akdedilmiş bir veri işleme sözleşmesidir. Bu işleme açısından veri sorumlusu Callivo değil, ilgili iş müşterisidir. Bu gizlilik politikası bu nedenle yalnızca Callivo’nun kendisinin veri sorumlusu olduğu işleme faaliyetlerine ilişkindir.

2. Kişisel Verilerin İşlendiği Amaçlar

Aşağıda, web sitesinde ve platformda kişisel verileri işlediğimiz münferit amaçlar açıklanmaktadır. Her amaç için toplanan veri kategorilerini, hukuki dayanağı, varsa devreye giren veri işleyenleri ve amaca özgü diğer açıklamaları belirtiyoruz.

2.1 Web Sitesinin Çağrılması ve Barındırma (Hosting)

Web sitemiz çağrıldığında, sitenin sunulması ve güvenli işletimi için gerekli olan, teknik olarak kaçınılmaz bağlantı ve protokol verileri işlenir.

Toplanan ve işlenen veriler

• IP adresi (14 gün sonra kısaltılmış ya da anonimleştirilmiş)
• Çağrının tarihi ve saati
• Çağrılan URL ve HTTP durum kodu
• Aktarılan veri miktarı
• User-Agent (tarayıcı, işletim sistemi, dil)
• Referrer-URL (tarayıcı tarafından iletildiği ölçüde)

Hukuki dayanak

Art. 6 Abs. 1 lit. f DSGVO (web sitemizin sunulması, kararlılığı ve güvenliğine yönelik meşru menfaat).

Devreye giren veri işleyenler

• Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA - Barındırma ve CDN. Avrupa’dan gelen ziyaretçilere sunum, AB veri merkezlerinden yapılır.

2.2 Yapay Zekâ Telefon Asistanının Test Edilmesi

Ana sayfamızda, yapay zekâ telefon asistanımızı deneyimleyebileceğiniz bir test çağrısı sunuyoruz. Bunun için telefon numaranızı girdiğinizde, sistemimiz sizi arar ve kısa bir örnek görüşme gerçekleştirir.

Toplanan ve işlenen veriler

• Tarafınızdan girilen telefon numarası (ülke kodu dâhil)
• Çağrı meta verileri (başlangıç, süre, durum)
• Test çağrısının sesi (sözlü ifadeleriniz)
• Gerçek zamanlı işleme için transkriptler

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (talebiniz üzerine sözleşme öncesi tedbirlerin yürütülmesi) ve Art. 6 Abs. 1 lit. a DSGVO (telefon numarasının etkin biçimde girilmesi ve çağrının başlatılması yoluyla verilen rıza).

Devreye giren veri işleyenler

• Telnyx LLC, 311 W Superior St, Suite 504, Chicago, IL 60654, USA - Telekomünikasyon yönlendirmesi ve çağrı iletimi.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland - Konuşmanın gerçek zamanlı işlenmesi (konuşma tanıma, yanıt üretimi, konuşma sentezi). İşleme, teknik nedenlerle AB dışında da gerçekleşebilir.

Diğer bilgiler

Test çağrısının ses verileri yalnızca süregelen görüşmenin işlenmesi için geçici (transient) olarak kullanılır ve kalıcı olarak saklanmaz. Telefonu kapatarak test çağrısını istediğiniz an sonlandırabilirsiniz.

Çerez bandımız üzerinden ayrıca „Pazarlama“ kategorisine etkin biçimde onay vermiş olmanız hâlinde, bir test çağrısının başarıyla başlatılmasını sunucu tarafında bir Lead olayı olarak Meta’ya iletiriz. Bu sırada yalnızca reklam çerez tanımlayıcıları_fbp ve gerektiğinde _fbc ile her test çağrısı için benzersiz bir olay kimliği (Event ID) iletilir. Bu Lead iletiminde telefon numarası, e-posta adresi, ad veya başka kişisel veriler Meta’ya gönderilmez; test çağrısı Lead’inde ayrıca hash’lenmiş bir e-posta değeri de üretilmez veya iletilmez. Ayrıntılar için bkz. madde 2.9.

2.3 E-posta veya İletişim Formu Üzerinden İletişime Geçilmesi

Bizimle bu gizlilik politikasında belirtilen iletişim kanalları üzerinden ya da web sitemizdeki formlar aracılığıyla (örn. satış talepleri) iletişime geçebilirsiniz. Tarafınızdan iletilen verileri, talebinizi yanıtlamak ve olası takip iletişimini yürütmek için işleriz.

Toplanan ve işlenen veriler

• Ad
• E-posta adresi
• Telefon numarası (belirtildiği ölçüde)
• Şirket / görev (belirtildiği ölçüde)
• Talebinizin içeriği ve olası ekler

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (sözleşme öncesi tedbirler, sözleşme görüşmelerinin başlatılması) veya bir sözleşme bağlantısı bulunmadığı ölçüde Art. 6 Abs. 1 lit. f DSGVO (talebinizin yanıtlanmasına yönelik meşru menfaat).

Devreye giren veri işleyenler

• Resend, Inc., 2261 Market Street #4977, San Francisco, CA 94114, USA - E-posta iletimi.
• Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992 - Talep verilerinin veritabanımızda saklanması (AB bölgesi).

2.4 Çevrimiçi Randevu Belirleme

Demo rezervasyonu sayfasında, ekibimizle yapacağınız kişisel bir görüşme için bağımsız olarak bir randevu seçebileceğiniz bir randevu rezervasyon bileşeni gömüyoruz.

Toplanan ve işlenen veriler

• Ad
• E-posta adresi
• Seçilen randevu saati ve saat dilimi
• Talebe ilişkin isteğe bağlı notlar
• Rezervasyon bileşenine ilişkin teknik veriler (bkz. Çerezler bölümü)

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (talebiniz üzerine sözleşme öncesi tedbirlerin yürütülmesi).

Devreye giren veri işleyenler

• Cal.com, Inc., 548 Market St #83855, San Francisco, CA 94104, USA - Randevu rezervasyon bileşeninin sağlanması ve rezervasyon takviminin yönetimi.

Diğer bilgiler

Rezervasyon bileşeni IFrame ile gömülür. Cal.com bu sırada kendi teknik olarak gerekli çerezlerini ayarlayabilir.

Çerez bandımız üzerinden ayrıca „Pazarlama“ kategorisine etkin biçimde onay vermiş olmanız hâlinde, rezervasyonu sunucu tarafında bir Lead olayı olarak Meta’ya iletiriz. Bu sırada, randevu rezervasyonunda belirttiğiniz e-posta adresi yalnızca iletim anında Cal.com rezervasyon API’si üzerinden alınır, normalleştirilir ve takma adlı (pseudonym) bir eşleştirme sinyali olarak SHA-256 hash biçiminde eklenir. Ham e-posta adresi Meta’ya iletilmez; ayrıntılar için bkz. madde 2.9.

2.5 Hesap Kaydı ve Platformun Kullanımı

Callivo platformunu fiilen (canlı/üretim ortamında) kullanmak için bir hesap oluşturulması gereklidir. Kayıt sırasında ve platformun süregelen kullanımı kapsamında, aşağıda açıklanan verileri işleriz.

Toplanan ve işlenen veriler

• E-posta adresi ve parola (parola yalnızca kriptografik bir hash olarak saklanır)
• Ad, varsa şirket/kuruluş bilgileri
• Kimlik doğrulama tokenları (Authentifizierungs-Tokens) ve oturum (session) verileri
• Yapay zekâ ajanlarınızın yapılandırmaları ve kaydedilen bilgi tabanı (Knowledge-Base) içerikleri
• Platformu kullanımınız sırasında ortaya çıkan çağrı kayıtları, transkriptler ve değerlendirmeler
• Erişim ve etkinlik kayıtları (Audit-Logs)

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (sizinle akdedilen kullanım sözleşmesinin ifası) ve Art. 6 Abs. 1 lit. f DSGVO (güvenlik ve kötüye kullanımın önlenmesine yönelik meşru menfaat).

Devreye giren veri işleyenler

• Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992 - Veritabanı, kimlik doğrulama ve nesne depolama (Object Storage). Avrupalı müşterilerimiz için veri tutumu AB bölgesinde (İrlanda) gerçekleşir.
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland - AB veri merkezlerinde ek hesaplama ve depolama altyapısının sağlanması.

2.6 Ödeme İşlemleri

Ücretli paketlerin ve bakiyenizin yüklenmesinin işlenmesi için harici bir ödeme hizmet sağlayıcısı kullanırız. Bize yapılan bu ödemeler için eksiksiz ödeme aracı verilerini (örn. kredi kartı numaraları) kendimiz toplamaz, iletmez veya saklamayız - bunlar doğrudan ödeme hizmet sağlayıcısı tarafından toplanır ve işlenir. Asistanınızın başka satıcılardaki alışverişleri için Mimar’da kaydettiğiniz ödeme kartları madde 2.11’de açıklanmıştır.

Toplanan ve işlenen veriler

• Ad ve fatura adresi
• UID numarası (belirtildiği ölçüde)
• Ödeme tokenı ya da ödeme hizmet sağlayıcısında kayıtlı ödeme yöntemine referans
• Fatura ve ödeme verileri (tutarlar, zamanlar, durum)

Hukuki dayanak

Ödeme ve fatura verileri, sözleşmenin kurulması veya ifası için gerekli olduğu ölçüde KVKK m.5/2-c; kanuni muhasebe ve saklama yükümlülükleri kapsamında m.5/2-ç uyarınca işlenir.

Devreye giren veri işleyenler

• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland - Avrupa ödeme işlemlerinden sorumlu birim. Belirli işleme faaliyetleri için ana şirket olan Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA’ya bir veri aktarımı gerçekleşebilir.

2.7 Kullanıcılara Yönelik İşlemsel E-postalar

Size işlevle ilgili bildirimleri e-posta ile göndeririz (örn. onaylar, güvenlik bildirimleri, fatura e-postaları, ajanlarınızdan elde edilen sonuç özetleri). Bu iletiler bir bülten (newsletter) veya reklam postası değildir.

Toplanan ve işlenen veriler

• E-posta adresi
• Ad (kayıtlı olduğu ölçüde)
• İlgili iletinin içeriği
• Gönderim durumu (teslim edildi, teknik düzeyde açıldı, geri döndü/bounced)

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (sözleşmenin ifası) veya Art. 6 Abs. 1 lit. f DSGVO (işleyen bir hizmet iletişimine yönelik meşru menfaat).

Devreye giren veri işleyenler

• Resend, Inc., 2261 Market Street #4977, San Francisco, CA 94114, USA - Gönderim ve teslimat kayıtlarının tutulması.

2.8 Yazı Tipleri

„Inter“ yazı tipini kullanıyoruz. Bu yazı tipi, build (derleme) sürecinde kendi dağıtımımıza gömülür ve kendi alan adımızdan sunulur. Çalışma zamanında üçüncü taraf sunucularına hiçbir çağrı yapılmaz (özellikle Google sunucularına bir çağrı yapılmaz). Bu nedenle yazı tipi sunumu kapsamında IP adresinizin veya başka kişisel verilerinizin üçüncü taraf sağlayıcılara iletilmesi söz konusu değildir.

2.9 Erişim Ölçümü ve Reklam Atıfı (Meta Conversions API)

Çerez bandımız üzerinden „Pazarlama“ kategorisine etkin biçimde onay vermiş olmanız hâlinde, belirli dönüşüm (Conversion) olaylarını tarayıcı tarafındaki Meta-Pixel’e ek olarak Meta Conversions API (CAPI) üzerinden sunucu tarafında doğrudan Meta Platforms Ireland Ltd.’ye de iletiriz. Bu sayede Meta, reklam kampanyalarının etkinliğini daha kesin biçimde ölçebilir ve reklam gösterimimizi iyileştirebilir. Verilmiş bir pazarlama onayı olmadan bu iletim gerçekleşmez.

Toplanan ve iletilen veriler

• Olay türü (kaydın tamamlanmasında CompleteRegistration, InitiateCheckout bir ödeme işleminin başlatılmasında, Purchase abonelik etkinleştirilmesinde, Lead ise ya madde 2.4 uyarınca çevrimiçi randevu belirleme üzerinden bir demo randevusunun rezervasyonunda ya da madde 2.2 uyarınca bir yapay zekâ test çağrısının başarıyla başlatılmasında) ve zaman damgası
• Tarayıcı tarafından ayarlandığı ölçüde, Meta çerez tanımlayıcıları _fbp ve gerektiğinde _fbc
• Kayıtla ilgili üç olayda (CompleteRegistration, InitiateCheckout, Purchase) ve Cal.com randevu rezervasyonundan kaynaklanan Lead olayında ek olarak, takma adlı bir eşleştirme sinyali olarak SHA-256 ile hash’lenmiş ve normalleştirilmiş e-posta adresi (küçük harfli, baştaki/sondaki boşluklar olmadan). Temel alınan e-posta adresi, kayıtla ilgili üç olayda Callivo hesabınızdan, Cal.com Lead olayında ise Cal.com randevu rezervasyonunda belirttiğiniz adresten gelir. Ham e-posta adresi Meta’ya iletilmez.
• Madde 2.2 uyarınca yapay zekâ test çağrısından kaynaklanan Lead olayında hiçbir e-posta adresi toplanmaz, hash’lenmez veya iletilmez; yapay zekâ test çağrısı Lead’i yalnızca yukarıda belirtilen Meta çerez tanımlayıcılarını, olay türünü ve her test çağrısı için benzersiz olan olay kimliğini içerir. Bu sırada bir telefon numarası da Meta’ya iletilmez.
• Purchase olayında ek olarak işlem tutarı ve para birimi
• Sunucu tarafındaki CAPI yükümüz (payload) üzerinden müşteri bilgisi olarak iletilmeyenler: ad, telefon numarası, posta adresi, tarayıcı IP adresi, tarayıcı User-Agent’ı, dâhilî kullanıcı veya kuruluş tanımlayıcıları, Stripe tanımlayıcıları ya da hesap yapılandırmanızdan kaynaklanan diğer içerikler

Hukuki dayanak

Art. 6 Abs. 1 lit. a DSGVO (çerez bandı üzerinden rıza). İletim yalnızca etkin biçimde verilmiş pazarlama onayının ardından gerçekleşir ve ileriye etkili olmak üzere istediğiniz an, alt bilgimizdeki (footer) „Çerez Ayarları“ bağlantısı üzerinden ya da support@callivo.ai adresine e-posta göndererek geri alınabilir.

Devreye giren alıcılar

• Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland - Meta reklam hizmetlerinden sorumlu Avrupa birimi. Ana şirket Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA’dır. ABD’ye bir veri aktarımı gerçekleşebilir ve bu aktarım EU-US Data Privacy Framework ya da EU-Standardvertragsklauseln ile güvence altına alınır (bkz. madde 3.1 ve 3.2).

Diğer bilgiler

SHA-256 ile hash’lenmiş e-posta adresi yalnızca kayıtla ilgili üç olay ile Cal.com Lead’i için ve yalnızca Meta’ya iletim anında üretilir: Outbox sürecimiz bunun için yalnızca kimlik doğrulama katmanındaki hesabınızın e-posta adresini – ya da Cal.com Lead olayında, randevu rezervasyonunda belirtilen e-posta adresini Cal.com rezervasyon API’si üzerinden – okur, normalleştirir ve hash’ler, ardından hash’i doğrudan Meta’ya iletir. Madde 2.2 uyarınca yapay zekâ test çağrısı Lead’inde bu adım tamamen atlanır: Hiçbir anda Meta’ya bir e-posta adresi, e-posta hash’i veya telefon numarası iletilmez. Analiz veri kümelerimizde (analytics_events, analytics_deliveries) veya uygulama günlüklerinde ham ya da hash’lenmiş e-posta adresini kalıcı olarak saklamayız ; hash yalnızca iletim anında geçici olarak var olur. Hash ve çerez tanımlayıcıları, Meta’nın dönüşüm olayını kendi kullanıcı kimliklerinden birine takma adlı biçimde ilişkilendirmesine olanak tanır; Callivo tarafından yeniden tanımlama (Re-Identifikation) yapılmaz.

2.10 Google Takvim Entegrasyonu (Google Calendar API)

Platformumuzun kullanıcıları, Callivo üzerinden rezerve edilen randevuların otomatik olarak takvimlerinde görünmesi ve dolu zaman aralıklarının müsaitlik hesaplamasında dikkate alınması için Google Takvim’lerini isteğe bağlı olarak Callivo’nun randevu planlayıcı işleviyle bağlayabilir. Bağlantı, Google’ın OAuth 2.0 yöntemi üzerinden kurulur; Callivo hiçbir zaman kullanıcının Google parolasını almaz.

Erişimin kapsamı

• calendar.events - Callivo üzerinden yapılan rezervasyonlardan doğan randevu etkinliklerinin bağlı takvimde oluşturulması, güncellenmesi ve iptal edilmesi.
• calendar.readonly - Çifte rezervasyonları önlemek amacıyla takvim listesinin ve dolu zaman aralıklarının (müsait/dolu bilgileri) okunması.
• Google hesabının e-posta adresi (openid, email) - Bağlı hesabın panelde gösterilmesi ve bağlantının benzersiz biçimde eşleştirilmesi.

Amaçla sınırlılık ve Limited Use

Google API’leri üzerinden elde edilen verileri yalnızca randevu planlayıcı işlevinin sunulması için kullanırız. Bu veriler reklam amaçlarıyla kullanılmaz, satılmaz ve işlevin sunulması için gerekli olmadıkça (Bölüm 2’de belirtilen işleyiciler tarafından barındırma), yasal olarak zorunlu olmadıkça veya bir güvenlik incelemesine hizmet etmedikçe üçüncü taraflara aktarılmaz. Takvim verilerine insan erişimi yalnızca kullanıcının açık rızasıyla, güvenlik nedenleriyle veya yasal yükümlülüklerin yerine getirilmesi için gerçekleşir. Google API’lerinden elde edilen bilgilerin kullanımı, oradaki Limited-Use (sınırlı kullanım) gereklilikleri dâhil olmak üzere Google API Services User Data Policy ile uyumludur.

Yapay zekâ / makine öğrenimi eğitiminde kullanılmaz

Google Workspace API’leri üzerinden elde edilen verileri - bunlardan türetilen, toplulaştırılan veya anonimleştirilen veriler dâhil - genelleştirilmiş, kişiselleştirilmemiş yapay zekâ ya da makine öğrenimi modellerini geliştirmek, iyileştirmek veya eğitmek için kullanmayız. Bu veriler söz konusu modellerle birlikte saklanmaz ve modellerini eğitmek ya da iyileştirmek için kullanacak üçüncü taraflara aktarılmaz. Callivo hiçbir eğitim, ince ayar (fine-tuning) veya değerlendirme hattı işletmez.

Callivo bağlı takvimlerden yalnızca müsait/dolu zaman aralıklarını (freebusy) okur. Randevu içerikleri - başlıklar, açıklamalar, katılımcılar veya konumlar - ne okunur, ne saklanır, ne de aktarılır. Randevu planlayıcı işlevinin sunulabilmesi için bunlardan türetilen boş zaman aralıkları (yalnızca zaman damgaları), asistanın arayan kişiye uygun randevu saatleri önerebilmesi amacıyla kullandığımız yapay zekâ hizmet sağlayıcılarına girdi olarak iletilir. Bu amaçla yalnızca, koşulları bu verilerin model eğitimi veya iyileştirmesi için kullanılmasını dışlayan hizmetleri ve tarifeleri kullanırız.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

Saklama, güvenlik ve geri alma

Google tarafından düzenlenen OAuth erişim ve yenileme token’larını veritabanımızda yalnızca şifrelenmiş olarak (AES-256-GCM) saklarız. Takvim içeriklerini yalnızca müsaitlik hesaplaması ve randevu eşitlemesi için gerekli olan kapsamda işleriz. Bağlantı istenildiği zaman panel üzerinden kesilebilir; bu durumda token’ları Google nezdinde iptal eder ve veritabanımızdan sileriz. Ayrıca erişim istenildiği zaman myaccount.google.com/permissions adresinden geri alınabilir.

Hukuki dayanak ve alıcılar

İşlemenin hukuki dayanağı DSGVO / GDPR Madde 6 (1) (b)’dir (sözleşmeyle kararlaştırılan randevu planlayıcı işlevinin sunulması). Bağlantı isteklerinin alıcısı Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland’dır; ana şirket Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA’dır. ABD’ye bir veri aktarımı gerçekleşebilir ve bu aktarım EU-US Data Privacy Framework ya da EU-Standardvertragsklauseln ile güvence altına alınır (bkz. madde 3.1 ve 3.2).

2.11 Mimar Üzerinden Yapılan Alışverişler İçin Ödeme Kartları

Mimar’da (masaüstü uygulaması, web ve mobil) ödeme kartlarınızı kaydedebilirsiniz; böylece yapay zekâ asistanınız sizin adınıza çevrim içi satıcılarda ödeme yapabilir. Ödeme yalnızca, her bir ödemeyi Mimar’daki güvenli formda onaylamanızdan sonra yapılır; formda satıcıyı ve tutarı görürsünüz. Kart bilgilerini satıcının ödeme formuna Mimar uygulamasının kendisi girer. Yapay zekâ modeli kart numarasını, son kullanma tarihini ve güvenlik kodunu hiçbir zaman görmez.

Toplanan ve işlenen veriler

• Kart numarası, son kullanma tarihi, güvenlik kodu (CVV/CVC), kart sahibinin adı ve isteğe bağlı olarak sizin seçtiğiniz bir etiket
• Kart markası ve kart numarasının son dört hanesi (gösterim için)
• Her ödeme için: satıcının alan adı, tutar ve para birimi, zaman ve kararınız (onay veya ret)

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (Mimar kullanım sözleşmesinin sizin talebiniz üzerine ifası).

Saklama ve güvenlik

Kart numarasını, güvenlik kodunu ve kart sahibinin adını talebiniz üzerine şifrelenmiş olarak saklarız (her hesap için ayrı bir anahtarla AES-256-GCM; ana anahtar veritabanında değil, yalnızca Mimar hizmetinde bulunur); kart markası, son dört hane, son kullanma tarihi ve etiketiniz gösterim için şifrelenmeden saklanır. Kayıtlı kartlar hesabınızın tüm cihazlarında kullanılabilir. Kart bilgilerinin şifresi yalnızca sizin onayladığınız bir ödeme için çözülür. Onaylanmış ancak henüz gerçekleştirilmemiş bir ödemeyi en fazla 15 dakika tutarız; ardından bir dakika içinde sileriz.

Alıcılar

Onaylanan bir ödemede kart bilgileri ilgili satıcının veya ödeme hizmet sağlayıcısının ödeme formuna girilir ve ona iletilir. Oradaki işleme için satıcının gizlilik hükümleri geçerlidir.

Devreye giren veri işleyenler

• Fly.io, Inc., 2261 Market Street #4990, San Francisco, CA 94114, USA - Mimar hizmetinin ve uzak bilgisayarınızın Amsterdam’daki (Hollanda) bir veri merkezinde işletilmesi; ABD’den olası erişimler için bkz. madde 3.1 ve 3.2.
• Supabase, Inc. (bkz. madde 2.5) - AB bölgesinde (İrlanda) veritabanı; kart numarası, güvenlik kodu ve ad orada yalnızca şifrelenmiş olarak bulunur.

Saklama süresi

Kartı, siz Mimar’da Ayarlar ▸ Güvenli depolama bölümünden kaldırana kadar, en geç hesabınızın silinmesine kadar saklarız.

2.12 Mimar’da Kayıtlı Web Sitesi Girişleri

Mimar’da (masaüstü uygulaması, web ve mobil) web siteleri için giriş bilgilerinizi kaydedebilirsiniz; böylece yapay zekâ asistanınız sizin adınıza bu sitelerde oturum açabilir. Kullanıcı adını ve şifreyi web sitesinin giriş formuna Mimar uygulamasının kendisi girer. Her giriş için Mimar’ın onu otomatik olarak kullanabileceğini veya önce size soracağını siz belirlersiniz (varsayılan: önce sor). Yapay zekâ modeli şifrenizi hiçbir zaman görmez; kullanıcı adınız ve web sitesinin adresi, asistanınızın o anda işlediği web sayfasının bir parçası olarak modele iletilebilir.

Toplanan ve işlenen veriler

• Web sitesinin adresi (alan adı), kullanıcı adı, şifre ve izniniz (otomatik veya onaydan sonra)
• Her kullanım için: web sitesi, zaman ve kararınız (izin veya ret)
• Mac’inizdeki bir oturum açma için başka bir cihazda girdiğiniz doğrulama kodları

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (Mimar kullanım sözleşmesinin sizin talebiniz üzerine ifası).

Saklama ve güvenlik

Şifreyi şifrelenmiş olarak saklarız (her hesap için ayrı bir anahtarla AES-256-GCM; ana anahtar veritabanında değil, yalnızca Mimar hizmetinde bulunur); web sitesinin adresi, kullanıcı adı ve izniniz, Mimar’ın girişlerinizi gösterebilmesi için şifrelenmeden saklanır. Kayıtlı girişler hesabınızın tüm cihazlarında kullanılabilir. Şifreniz yalnızca sizin adınıza yapılan bir oturum açma için deşifre edilir: bu giriş için izin verdiyseniz otomatik olarak, aksi hâlde ancak onayınızdan sonra. Yalnızca bir kez kullandığınız (kaydetmediğiniz) bir girişi, bu oturum açma için en fazla 15 dakika şifrelenmiş olarak tutarız; ardından bir dakika içinde sileriz. Mimar Mac’inizde bir giriş, bir doğrulama kodu veya bir ödeme onayı (bkz. 2.11) istediğinde ve siz başka bir cihazda (web’de veya mobilde) yanıt verdiğinizde, girdiğiniz bilgiyi Mac’iniz alana kadar şifrelenmiş olarak tutarız: bir girişi ve bir ödeme onayını en fazla 15 dakika, bir doğrulama kodunu en fazla 10 dakika; ardından bir dakika içinde sileriz. Bu bilgiyi yalnızca aynı hesapla oturum açmış Mac’iniz ve yalnızca bir kez alabilir; alındığında silinir. Daha önce Mac uygulamasında (Mac’in anahtar zincirinde) kaydettiğiniz girişleri Mimar, oturum açmanızdan sonra bir kez hesabınıza aktarır ve ardından Mac’ten siler.

Alıcılar

Bir oturum açmada kullanıcı adı ve şifre, ilgili web sitesinin giriş formuna girilir ve sitenin işletmecisine iletilir. Oradaki işleme için işletmecinin gizlilik hükümleri geçerlidir.

Devreye giren veri işleyenler

• Fly.io, Inc., 2261 Market Street #4990, San Francisco, CA 94114, USA - Mimar hizmetinin ve uzak bilgisayarınızın Amsterdam’daki (Hollanda) bir veri merkezinde işletilmesi; ABD’den olası erişimler için bkz. madde 3.1 ve 3.2.
• Supabase, Inc. (bkz. madde 2.5) - AB bölgesinde (İrlanda) veritabanı; şifreler orada yalnızca şifrelenmiş olarak bulunur.
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA - asistanınızın kullandığı yapay zekâ modelinin işletilmesi; model, web sayfalarının bir parçası olarak kullanıcı adlarını alabilir, şifreleri asla; ABD’ye aktarımlar için bkz. madde 3.1 ve 3.2.

Saklama süresi

Bir girişi, siz Mimar’da Ayarlar ▸ Güvenli depolama bölümünden kaldırana kadar, en geç hesabınızın silinmesine kadar saklarız.

2.13 Mimar’da Bağlı Hizmetler (Make, Zapier)

Mimar’da (masaüstü uygulaması, web ve mobil) Make veya Zapier’daki kendi hesabınızı bağlayabilirsiniz; böylece yapay zekâ asistanınız orada sizin adınıza çalışabilir, örneğin senaryolar veya Zap’ler oluşturup çalıştırabilir. Bunun için Make veya Zapier’ın hesabınız için düzenlediği bir erişim anahtarını (token) eklersiniz. Token’ı Mimar uygulamasının kendisi kullanır; yapay zekâ modeli onu hiçbir zaman görmez. Hizmetin araçları, oradaki hesabınızın tanımlayıcıları ve çağrıların sonuçları, asistanınız bunlarla çalıştığı ölçüde modele iletilir.

Toplanan ve işlenen veriler

• Token; Make’te ayrıca bölge ve isteğe bağlı olarak ekip kimliği (Team-ID)
• Hizmetin sunduğu araçlar (adları ve açıklamaları) ve bunlardan hangilerine asistanınıza izin verdiğiniz
• Hizmetin bağlantı kontrolünde bildirdiği, oradaki kendi hesabınıza ait tanımlayıcılar ve adlar (örn. kullanıcı, ekip veya kuruluş kimliği)
• Son kontrolün zamanı ve sonucu (örn. bir hata mesajı)

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (Mimar kullanım sözleşmesinin sizin talebiniz üzerine ifası).

Saklama ve güvenlik

Token’ı şifrelenmiş olarak saklarız (her hesap için ayrı bir anahtarla AES-256-GCM; ana anahtar veritabanında değil, yalnızca Mimar hizmetinde bulunur); bölge, ekip kimliği, araçlar, seçiminiz, hizmetteki hesabınızın tanımlayıcıları ve son kontrolün sonucu, Mimar’ın bağlantınızı gösterebilmesi için şifrelenmeden saklanır. Bağlı hizmetler hesabınızın tüm cihazlarında kullanılabilir. Token yalnızca bağlantıyı kontrol etmek veya asistanınızın hizmeti kullanabilmesi için ve asistan nerede çalışıyorsa orada deşifre edilir: Mimar hizmetinde ya da Mac uygulamasında. Daha önce Mac uygulamasında (Mac’in anahtar zincirinde) kaydettiğiniz bağlantıları Mimar, oturum açmanızdan sonra bir kez hesabınıza aktarır ve ardından Mac’ten siler.

Alıcılar

Token ve asistanınızın çağrıları, hesabınızın bulunduğu ilgili hizmete (Make veya Zapier) iletilir. Oradaki işleme için hizmetin gizlilik hükümleri geçerlidir.

Devreye giren veri işleyenler

• Fly.io, Inc., 2261 Market Street #4990, San Francisco, CA 94114, USA - Mimar hizmetinin ve uzak bilgisayarınızın Amsterdam’daki (Hollanda) bir veri merkezinde işletilmesi; ABD’den olası erişimler için bkz. madde 3.1 ve 3.2.
• Supabase, Inc. (bkz. madde 2.5) - AB bölgesinde (İrlanda) veritabanı; token’lar orada yalnızca şifrelenmiş olarak bulunur.
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA - asistanınızın kullandığı yapay zekâ modelinin işletilmesi; model, hizmetin araçlarını, oradaki hesabınızın tanımlayıcılarını ve asistanınızın çağrılarının sonuçlarını alabilir, token’ı asla; ABD’ye aktarımlar için bkz. madde 3.1 ve 3.2.

Saklama süresi

Bir bağlantıyı, siz Mimar’da Konektörler bölümünden bağlantıyı kesene kadar, en geç hesabınızın silinmesine kadar saklarız. Mimar’da bağlantıyı kesmek token’ı hizmet nezdinde iptal etmez; bunu Make veya Zapier’daki hesabınızdan yapabilirsiniz.

2.14 Mimar’da Yapay Zekâ Asistanınızın Çalışma Geçmişi

Mimar’ı web’de veya mobilde (ya da Mimar orada sunucumuza taşındıktan sonra Mac uygulamasında) kullandığınızda, yapay zekâ asistanınız görevlerini Mimar hizmetinde yerine getirir. Aynı sohbette bir göreve devam edebilmesi için orada her sohbetin çalışma geçmişini saklarız: talimatlarınızı, asistanın çalışma adımlarını ve bu sırada kullandığı araçların sonuçlarını; örneğin sizin için okuduğu e-postaların, web sayfalarının ve dosyaların içeriğini.

Toplanan ve işlenen veriler

• Sohbetteki talimatlarınız ve mesajlarınız ile asistanınızın yanıtları
• Asistanınızın çalışma adımları ve araçlarının sonuçları; örneğin okunan e-postaların, web sayfalarının ve dosyaların içerikleri, arama sonuçları ve Callivo hesabınızdaki veriler
• Asistanınızın çalışma geçmişiyle en son çalıştığı zaman

Hukuki dayanak

Art. 6 Abs. 1 lit. b DSGVO (Mimar kullanım sözleşmesinin ifası).

Saklama ve güvenlik

Çalışma geçmişini Mimar hizmetinde, her hesap için ayrı bir alanda saklarız. Asistanınız, aynı sohbette çalışmaya devam ettiğinizde, hesabınızın başka bir cihazından da olsa onu okur. Asistanınızın bunun için indirdiği dosyaları (örneğin bir e-postadaki bağlantının arkasındaki bir eki) ve bu sırada kaydettiği sayfa anlık görüntülerini, oluşturulmalarından en geç bir gün sonra sileriz. Bir çalışma geçmişi silinmişse asistanınız bu sohbetteki işe sohbetin mesajlarına dayanarak devam eder.

Alıcılar

Çalışma geçmişini üçüncü kişilere aktarmayız. Asistanınızın kullandığı yapay zekâ modeli (aşağıya bakınız) onu her çalışma adımında alır.

Devreye giren veri işleyenler

• Fly.io, Inc., 2261 Market Street #4990, San Francisco, CA 94114, USA - Mimar hizmetinin Amsterdam’daki (Hollanda) bir veri merkezinde işletilmesi; çalışma geçmişi orada bulunur; ABD’den olası erişimler için bkz. madde 3.1 ve 3.2.
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA - asistanınızın kullandığı yapay zekâ modelinin işletilmesi; model, her çalışma adımında sohbetin çalışma geçmişini alır; ABD’ye aktarımlar için bkz. madde 3.1 ve 3.2.

Saklama süresi

Bir sohbetin çalışma geçmişini siz sohbeti silene kadar, en fazla asistanınızın onu son kullanmasından sonraki 90 gün boyunca saklarız; sohbeti silmeseniz de bu süre geçerlidir. Silme her durumda bir gün içinde gerçekleşir. Hesabınız silindiğinde tüm çalışma geçmişlerini de kural olarak yine bir gün içinde, en geç son kullanımlarından 90 gün sonra sileriz. Silinen bir çalışma geçmişi, Mimar hizmetinin günlük yedek kopyalarında silinmesinden sonra en fazla 5 gün daha bulunabilir.

Bir sohbetin mesajları, sohbette gördüğünüz hâliyle, çalışma geçmişinden ayrı olarak veri tabanımızda bulunur (madde 2.5). Sohbeti silseniz de hesabınızı silene kadar orada saklanır.

3. Diğer Bilgiler

3.1 Verilerin ABD’ye İletilmesi ve Data Privacy Framework

Bölüm 2’de belirtilen veri işleyenlerden bazılarının merkezi ABD’dedir ya da kişisel verileri ABD’ye iletebilirler. Avrupa Komisyonu, 10 Temmuz 2023 tarihli kararıyla EU-US Data Privacy Framework (DPF) çerçevesini, DPF sertifikalı alıcılara yapılan iletimler için yeterli bir veri koruma düzeyinin temeli olarak tanımıştır.

İlgili alıcı sertifikalı olduğu ölçüde, iletimi öncelikli olarak DPF’ye ilişkin yeterlilik kararına (Art. 45 DSGVO) dayandırırız. Sertifikalı olmayan alıcılar ya da DPF’nin uygulama alanı dışındaki işleme faaliyetleri için iletimi EU-Standardvertragsklauseln’e (AB standart sözleşme hükümlerine) dayandırırız (bkz. madde 3.2). İlgili sertifikasyon durumunu dataprivacyframework.gov adresinde inceleyebilirsiniz.

3.2 Standart Sözleşme Hükümleri

Veri işleme faaliyeti bir yeterlilik kararıyla kapsanmayan, üçüncü ülkelerdeki veri işleyenlerle, Avrupa Komisyonu’nun 4 Haziran 2021 tarihli Durchführungsbeschluss (EU) 2021/914 sayılı uygulama kararı uyarınca EU-Standardvertragsklauseln’i (AB standart sözleşme hükümlerini) akdettik. Avrupa veri koruma düzeyine uygun bir koruma düzeyini sağlamak için gerekli olduğu ölçüde tamamlayıcı teknik ve organizasyonel tedbirler alırız.

3.3 Çerezler ve Yerel Depolama

Web sitemizde ve platformda çerezler ve benzeri teknolojiler (Local Storage, Session Storage) kullanırız. Çerezler, web sitemizin çağrıları arasında belirli bilgileri saklamak için tarayıcınızın cihazınıza yerleştirdiği küçük metin dosyalarıdır.

Teknik olarak zorunlu çerezler ve depolama

Web sitemizin ve platformumuzun temel işlevlerini sağlamak için teknik olarak zorunlu çerezler ve yerel depolama içerikleri kullanırız - örn. sizi giriş yapmış bir kişi olarak tanımak, CSRF koruması gibi güvenlik mekanizmalarını uygulamak ve çerez tercihlerinizi saklamak için. Bu çerezler işletim için gereklidir ve devre dışı bırakılamaz.

Zorunlu çerezler, ilgili işlev için gerekli olduğu ölçüde KVKK m.5/2-c veya temel hak ve özgürlüklerinize zarar vermemek kaydıyla m.5/2-f kapsamında kullanılır. Zorunlu olmayan analiz ve pazarlama teknolojileri yalnızca ayrı açık rızanızla etkinleştirilir. Tercihlerinizi “Çerez Ayarları” üzerinden değiştirebilirsiniz.

Onaya tabi çerezler

Teknik işletim için gerekli olmayan çerezler ve benzeri teknolojiler için (özellikle erişim analizi ve pazarlama için) ve bunlarla bağlantılı, Meta Conversions API üzerinden sunucu tarafında dönüşüm ölçümü için (bkz. madde 2.9) açık onayınızı çerez bandımız üzerinden alırız (hukuki dayanak: Art. 6 Abs. 1 lit. a DSGVO). Bu çerezler ve bunlara ait Meta’ya veri iletimi yalnızca ilgili kategoriye onay vermeniz hâlinde etkinleştirilir. Verilmiş bir onayı, ileriye etkili olmak üzere istediğiniz an, alt bilgimizdeki (footer) ilgili bağlantı üzerinden geri alabilirsiniz.

Üçüncü taraf çerezleri

Harici bileşenlerin gömülmesinde (özellikle madde 2.4 uyarınca randevu rezervasyonu), ilgili sağlayıcı tarafından kendi teknik olarak gerekli çerezleri ayarlanabilir. Bu çerezler, ilgili sağlayıcının veri koruma hükümlerine tabidir.

3.4 Saklama süreleri

Aşağıdaki süreler, işleme amacı ve hukuki sebep devam ettiği ölçüde uygulanan azami sürelerdir. Silme şartları daha önce oluşursa veriler daha erken silinir, yok edilir veya anonim hâle getirilir.

• Demo ve müşteri görüşmelerine ait ses kayıtları, transkriptler, özetler ve çağrı kayıtları: görüşme tarihinden itibaren en fazla 1 yıl.
• Genel hesap verileri ve Mimar çalışma içerikleri: hesap açıkken gerekli olduğu sürece; hesap kapandıktan sonra ise yalnızca saklanması için geçerli bir hukuki sebep bulunan veriler bakımından en fazla 3 yıl.
• Destek ve iletişim kayıtları: ilgili talebin sonuçlanmasından itibaren en fazla 2 yıl.
• Teknik güvenlik günlükleri: oluşturulmalarından itibaren en fazla 2 yıl.

Hesap verilerine ilişkin süre; ödeme kartlarına, kayıtlı web sitesi girişlerine, bağlı hizmetlere (Make, Zapier), erişim anahtarlarına, Mimar’daki çalışma geçmişlerine, WhatsApp içeriklerine veya ayrı süre belirlenen görüşme kayıtlarına kendiliğinden uygulanmaz. Müşteri işletme adına işlenen verilerde hukuka uygun müşteri talimatları ve daha kısa saklama süreleri gözetilir. Fatura ve ticari belgeler, Türk vergi ve ticaret mevzuatındaki belgeye özgü süreler boyunca saklanır.

3.5 Verilerin Aktarımı

Kişisel verilerinizin, bu açıklamada belirtilen veri işleyenler dışındaki birimlere aktarılması söz konusu değildir - meğerki aktarıma açıkça onay vermiş olun, yasal bir yükümlülük aktarımı gerektirsin (örn. resmî bilgi talepleri) ya da aktarım, hukuki taleplerin takibi veya savunulması için gerekli olsun.

3.6 Kişisel Verilerin Korunması

Verilerinizi yetkisiz erişime, kayba veya manipülasyona karşı korumak için uygun teknik ve organizasyonel tedbirler alırız. Bunlara özellikle şunlar dâhildir:

• Tüm bağlantıların TLS 1.2 veya üzeri ile şifreli iletimi
• Saklanan verilerin veritabanı ve depolama düzeyinde şifrelenmesi („encryption at rest“)
• Hesaplar için isteğe bağlı iki faktörlü kimlik doğrulama
• AB veri merkezlerinde düzenli yedeklemeler
• Need-to-Know ilkesine göre sıkı erişim hakları ve Audit-Logs
• Sistemlerimizin düzenli güncellenmesi ve sertleştirilmesi (hardening)

3.7 Verilmiş Bir Onayın Geri Alınması

Bir işleme faaliyeti onayınıza dayandığı ölçüde (Art. 6 Abs. 1 lit. a DSGVO), bunu ileriye etkili olmak üzere istediğiniz an geri alabilirsiniz. Bunun için support@callivo.ai adresine bir e-posta gönderin ya da - mevcut olduğu ölçüde - hesabınızdaki ilgili işlevi kullanın. Geri alıma kadar gerçekleştirilen işlemenin hukuka uygunluğu bundan etkilenmez.

3.8 Zorunlu Veri Sağlama ve Sağlamamanın Sonuçları

İlke olarak kişisel verilerinizi bize sağlamakla yükümlü değilsiniz. Ancak belirli verilerin sağlanması, web sitemizin ve platformumuzun somut işlevlerini kullanabilmeniz için gereklidir - örneğin bir hesap oluşturma, bir demo rezervasyonu, test çağrısı veya ödeme işlemleri için. Gereken veriler olmadan ilgili hizmetleri hiç ya da yalnızca kısıtlı biçimde sunabiliriz.

3.9 İlgili Kişinin Hakları

İlgili kişi olarak aşağıdaki haklara sahipsiniz. Bu hakların kullanılmasına ilişkin talepleri lütfen support@callivo.ai adresine yöneltin. Bir aylık yasal süre içinde yanıt veririz (Art. 12 Abs. 3 DSGVO).

Bilgi edinme hakkı (Art. 15 DSGVO)

Hakkınızda kişisel veri işleyip işlemediğimiz ve hangi kişisel verileri işlediğimiz konusunda ve Art. 15 DSGVO’da belirtilen diğer bilgiler hakkında bilgi talep edebilirsiniz.

Düzeltme hakkı (Art. 16 DSGVO)

Yanlış verilerin düzeltilmesini ve eksik verilerin tamamlanmasını talep edebilirsiniz.

Taşınabilirlik hakkı (Art. 20 DSGVO)

Tarafınızdan sağlanan verileri yapılandırılmış, yaygın ve makine tarafından okunabilir bir formatta almayı ya da teknik olarak uygulanabilir olduğu ölçüde doğrudan başka bir veri sorumlusuna iletilmesini talep edebilirsiniz.

İşlemenin kısıtlanması hakkı (Art. 18 DSGVO)

Art. 18 DSGVO’daki koşullar altında kişisel verilerinizin işlenmesinin kısıtlanmasını talep edebilirsiniz.

Silme hakkı (Art. 17 DSGVO)

Art. 17 DSGVO’daki koşullar mevcut olduğu ve silmeye yasal saklama yükümlülükleri ya da meşru menfaatler engel olmadığı sürece, kişisel verilerinizin silinmesini talep edebilirsiniz.

İtiraz hakkı (Art. 21 DSGVO)

Kişisel verileri meşru menfaatlere dayanarak işlediğimiz ölçüde (Art. 6 Abs. 1 lit. f DSGVO), özel durumunuzdan kaynaklanan nedenlerle işlemeye istediğiniz an itiraz edebilirsiniz.

Şikâyet hakkı (Art. 77 DSGVO)

KVKK’nın 11. maddesi kapsamındaki taleplerinizi, mevzuatta öngörülen başvuru usullerine uygun olarak support@callivo.ai adresine veya şirket adresimize iletebilirsiniz. Başvurular en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Başvurunuzun ardından KVKK’nın 14. maddesindeki şartlar ve süreler çerçevesinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. GDPR’ın uygulanabildiği işlemlerde ilgili GDPR haklarınız ayrıca saklıdır.

3.10 Bu Gizlilik Politikasındaki Değişiklikler

Bu gizlilik politikasını, örneğin işleme faaliyetlerimizdeki ya da yasal koşullardaki değişiklikleri yansıtmak için zaman zaman uyarlayabiliriz. Güncel sürüm her zaman bu adres altında erişilebilir durumdadır. Sizi ilgilendiren önemli değişiklikleri uygun bir biçimde (örn. e-posta yoluyla ya da platformda bir bildirim aracılığıyla) duyururuz.

Son güncelleme: 21 Ekim 2026