KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

Bu aydınlatma metni kapsamında veri sorumlusu, sedrox.com alan adı üzerinden sunulan Sedrox platformunu işleten taraftır ("Sedrox"). Ticari unvan: [Ticari Unvan]. Merkez adresi: [Açık Adres]. MERSIS No: [MERSIS Numarası]. KEP adresi: [KEP Adresi]. Veri sorumlusuna her türlü başvurunuzu ve bu metne ilişkin sorularınızı kvkk@sedrox.com adresi üzerinden iletebilirsiniz.

2. İşlenen Kişisel Veri Kategorileri

Hizmetin sunulması ve iyileştirilmesi kapsamında aşağıdaki kişisel veri kategorilerini işliyoruz:

• Kimlik bilgileri: ad, soyad
• İletişim bilgileri: e-posta adresi, telefon numarası (isteğe bağlı)
• İşletme bilgileri: organizasyon adı, sektör, şube bilgileri, kullanıcı rolü ve yetkileri
• Teknik veriler: IP adresi, tarayıcı ve cihaz bilgileri, oturum çerezleri, işletim sistemi
• Kullanım ve gözlem verileri: sayfa görüntülemeleri, tıklama ve gezinme davranışı, ısı haritaları ve oturum kayıtları (session replay). Oturum kayıtlarında, ekranda görünen müşteri kimlik bilgileri (ad-soyad, telefon, e-posta, T.C. kimlik numarası, adres) teknik olarak maskelenir ve kayda dahil edilmez.
• İşlem verileri: oluşturduğunuz teklifler, siparişler, müşteri kayıtları, ürün katalogları
• İletişim kayıtları: müşterilerinize Sedrox üzerinden gönderdiğiniz e-posta ve WhatsApp mesajlarının üst verisi ve içeriği

3. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Hizmetin sunulması: CRM platformunun çalıştırılması, hesabınızın ve organizasyonunuzun yönetilmesi
• Faturalama ve ödeme süreçlerinin yürütülmesi (ücretli plana geçildiğinde)
• Sizinle iletişim kurulması, destek taleplerinizin karşılanması, güvenlik ve işlem bildirimlerinin gönderilmesi
• Hesabınızın ve platformun güvenliğinin sağlanması, kötüye kullanım ve dolandırıcılığın tespiti ve önlenmesi
• Yasal yükümlülüklerin yerine getirilmesi (vergi, ticari defter ve KVKK kapsamındaki saklama yükümlülükleri)
• Ürün analitiği ve kullanıcı deneyiminin iyileştirilmesi: hangi ekranların kullanıldığının, kullanıcıların nerede zorlandığının ve akışların nasıl geliştirilebileceğinin anlaşılması amacıyla oturum kayıtları, ısı haritaları ve etkileşim analizlerinin değerlendirilmesi

4. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel verileriniz KVKK madde 5 kapsamında aşağıdaki hukuki sebeplere dayanılarak, açık rızanız aranmaksızın işlenmektedir:

• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (KVKK m. 5/2-c): kullanıcı sözleşmemizin ve hizmetin yürütülmesi.
• Hukuki yükümlülüğümüzü yerine getirebilmemiz için zorunlu olması (KVKK m. 5/2-ç): vergi ve ticaret hukuku kapsamındaki saklama ve raporlama yükümlülükleri.
• Temel hak ve özgürlüklerinize zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (KVKK m. 5/2-f): platform güvenliği, dolandırıcılığın önlenmesi ve (ürün analitiği ile oturum kayıtları bakımından) hizmet kalitesinin iyileştirilmesi. Bu menfaat dengesinde, ekrandaki müşteri kimlik verilerinin maskelenmesi ve verilerin yalnızca ürün geliştirme amacıyla kullanılması gibi teknik ve idari güvenceler uygulanır.

İşlemenin yukarıdaki sebeplerden herhangi birine dayanmadığı hâllerde, ilgili işleme yalnızca açık rızanızla gerçekleştirilir ve rızanızı her zaman geri alabilirsiniz.

5. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amacı

Kişisel verileriniz, hizmetin sunulması amacıyla ve yalnızca ilgili amaçla sınırlı olarak, aşağıdaki üçüncü taraf hizmet sağlayıcıları (veri işleyenler) tarafından işlenmek üzere paylaşılmaktadır:

• Vercel Inc. (ABD): uygulama barındırma ve dağıtım altyapısı
• Supabase Inc. (AB / ABD): veritabanı, kimlik doğrulama ve dosya depolama altyapısı
• PostHog, Inc. (AB bölgesi, Frankfurt): ürün analitiği ve oturum kayıtları (session replay) altyapısı. Veriler AB bölgesinde barındırılır; oturum kayıtlarında müşteri kimlik verileri maskelenir.
• Google Ireland Ltd. (AB): "Google ile giriş" (OAuth) kimlik doğrulaması (yalnızca bu yöntemi kullandığınızda)
• Resend.com (ABD): platform e-postalarının iletilmesi (davet, hoş geldin, şifre değişikliği bildirimleri)
• Cloudflare Inc. (ABD): bot koruması (Turnstile) ve dağıtık ağ altyapısı

Bu hizmet sağlayıcılarının bir kısmı yurt dışında bulunduğundan, kişisel verileriniz KVKK madde 9 kapsamında yurt dışına aktarılmaktadır. Aktarım; verinin aktarıldığı tarafla yapılan uygun güvenceleri içeren sözleşmeler (standart sözleşme hükümleri dâhil) çerçevesinde ve Kanun’daki şartlara uygun olarak, gerektiğinde açık rızanıza dayanılarak gerçekleştirilir. Hizmet sağlayıcılarla, verilerinizi yalnızca talimatlarımız doğrultusunda ve bu metinde belirtilen amaçlarla işlemelerini sağlayan veri işleme sözleşmeleri (DPA) akdedilmiştir.

6. Kişisel Verilerin Saklanma Süreleri

Kişisel verileriniz, işleme amacının gerektirdiği süre boyunca ve aşağıdaki saklama sürelerine uygun olarak tutulur; sürenin sonunda silinir, yok edilir veya anonim hâle getirilir:

• Hesap ve organizasyon verileri: hesabınız aktif olduğu sürece ve hesabın kapatılmasından itibaren 1 yıl (vergi/ticari hukuk dayanağı)
• Denetim kayıtları (giriş, parola değişikliği, yetki değişiklikleri): 2 yıl
• Müşterilerinize gönderilen e-postaların içerik gövdesi: 6 ay
• E-posta üst verisi (gönderim zamanı, alıcı, durum): 1 yıl
• Oturum kayıtları (session replay): en fazla 30 gün; ürün analitiği olay verileri: en fazla 12 ay
• Oturum çerezleri ve teknik loglar: en fazla 90 gün

Saklama süreleri, ilgili mevzuattaki zorunlu süreler ve işleme amaçları dikkate alınarak belirlenmiştir. Güncel saklama süreleri her zaman bu metinde yayımlanır.

7. Veri Güvenliğine İlişkin Tedbirler

Kişisel verilerinizin hukuka aykırı işlenmesini ve verilere yetkisiz erişimi önlemek amacıyla KVKK madde 12 kapsamında uygun teknik ve idari tedbirler alınmaktadır. Başlıca tedbirler:

• Rol ve yetki bazlı erişim kontrolü ve organizasyon bazında veri izolasyonu (satır seviyesinde güvenlik, RLS)
• Verilerin aktarım sırasında şifrelenmesi (HTTPS/TLS) ve barındırma altyapısında dinlenme hâlinde şifreleme
• Ürün analitiği ve oturum kayıtlarında müşteri kimlik verilerinin (ad-soyad, telefon, e-posta, T.C. kimlik no, adres) maskelenmesi
• Veri minimizasyonu: analitik ve oturum kayıtlarına yalnızca ürün geliştirmesi için gerekli verilerin dahil edilmesi
• Yalnızca uygun güvenlik ve gizlilik taahhütleri veren, veri işleme sözleşmesi akdedilmiş hizmet sağlayıcılarla çalışılması

8. KVKK Madde 11 Kapsamındaki Haklarınız

KVKK madde 11 kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve bu verilerin amaca uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini ve bu işlemin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Verilerinizin silinmesini veya yok edilmesini ve bu işlemin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme

9. Haklarınızı Kullanma ve Başvuru Yöntemi

Yukarıdaki haklarınızı kullanmak için taleplerinizi kvkk@sedrox.com adresine iletebilirsiniz. Başvurunuz, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret alınabilir. Başvurunuzun sonucundan memnun kalmamanız hâlinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunma hakkınız saklıdır.

10. Aydınlatma Metnindeki Değişiklikler

Bu aydınlatma metni, mevzuattaki değişiklikler veya işleme faaliyetlerimizdeki güncellemeler doğrultusunda revize edilebilir. Güncel sürüm her zaman bu sayfada yayımlanır ve her sürüm bir sürüm numarasıyla izlenir; önemli değişikliklerde, gerektiğinde tekrar onayınız istenerek size uygulama içi bildirim veya e-posta ile haber verilir.