KVKK Aydınlatma Metni ve Açık Rıza Metni

Sürüm

1.0

Yürürlük tarihi

6 Kasım 2026

Son güncelleme

6 Kasım 2026

Veri Sorumlusu: PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş.

BÖLÜM A — Aydınlatma Metni (KVKK m.10)

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır.

1. Veri Sorumlusunun Kimliği

Rol ayrımı: Protoolbag, kendi hesap/kimlik/faturalandırma verileriniz bakımından veri sorumlusudur. Müşteri-kiracının platforma yüklediği çalışan/İK, CRM ve diğer iş verilerinde ise veri işleyendir; bu verilerin veri sorumlusu ilgili müşteri kuruluştur ve o kuruluşun aydınlatma metni geçerlidir.

2. İşlenen Kişisel Veriler

• Kimlik: Ad, soyad, kullanıcı adı.
• İletişim: E-posta adresi, telefon.
• Profil: Avatar/profil fotoğrafı (imzalı-URL ile), biyografi, tercih edilen dil.
• Hesap/Yetki: Kullanıcı kimliği, rol (RBAC), kiracı/organizasyon bağı, hesap durumu, son giriş.
• Kimlik doğrulama: Şifre (tek yönlü hash'lenmiş), TOTP MFA durumu.
• İşlem güvenliği: IP adresi, denetim/log kayıtları, oturum ve hata olayları.
• Abonelik/Fatura: Plan, lisans, fatura/ödeme kayıtları.
• Tercih: Dil, tema, seçili organizasyon (tarayıcı yerel depolaması).
• Yapay zekâ etkileşimi: AI asistanına/doğal-dil sorgusuna girdiğiniz istem (prompt) ve bağlam metni (yalnızca ilgili özelliği kullandığınızda — bkz. §4).

Özel nitelikli veri (KVKK m.6): Protoolbag'in kendi (veri sorumlusu) verileri kapsamında özel nitelikli kişisel veri rutin olarak işlenmez. İK/bordro (PHR) modülünde işveren müşteri-kiracı tarafından işlenebilen T.C. kimlik numarası, IBAN, maaş, doğum tarihi, cinsiyet, medeni durum, adres gibi hassas veriler bakımından veri sorumlusu ilgili müşteri kuruluştur (bkz. Veri İşleme Sözleşmesi §3.1); bu kapsamda o kuruluşun aydınlatma metni ve açık rızası geçerlidir.

3. Kişisel Verilerin İşlenme Amaçları

• Platforma erişim, kimlik doğrulama ve hesap yönetimi,
• Rol tabanlı erişim ve çok kiracılı veri izolasyonu,
• Abonelik, lisanslama, faturalandırma,
• Bilgi güvenliği, denetim izi, kötüye kullanımın önlenmesi,
• Hizmete ilişkin bildirimlerin iletilmesi,
• Yasal yükümlülüklerin yerine getirilmesi, hukuki taleplerin karşılanması.

4. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amacı

Kişisel verileriniz, yalnızca yukarıdaki amaçlarla sınırlı olarak:

• Barındırma/altyapı hizmet sağlayıcısı (Supabase — veritabanı, kimlik doğrulama, dosya depolama, sunucu tarafı fonksiyonlar; bölge: AB — Frankfurt, Almanya),
• E-posta gönderim sağlayıcısı (varsayılan Resend — ABD; kiracı yapılandırmasına göre Microsoft Exchange 365 / SendGrid),
• Yapay zekâ / gömme (embedding) sağlayıcıları (Anthropic, Google, Groq, OpenAI ve Voyage AI — ABD; yalnızca AI özelliklerini kullandığınızda; ilgili API girdileri model eğitiminde kullanılmaz),
• Talep hâlinde yetkili kamu kurum ve kuruluşları ile hukuki merciler

ile paylaşılabilir. Ayrıntılı alt işleyen listesi: Veri İşleme Sözleşmesi §6.

Yurt dışına aktarım (KVKK m.9): Birincil veriler AB'de (Frankfurt) tutulur; verilerin Türkiye'den AB'ye aktarılması ile ABD merkezli yapay zekâ/gömme/e-posta sağlayıcılarına aktarım, KVKK m.9'da öngörülen şartlara (KVKK kapsamında öngörülen uygun aktarım araçları; GDPR bakımından Standart Sözleşme Hükümleri) uygun olarak gerçekleştirilir.

5. Kişisel Veri Toplamanın Yöntemi ve Hukuki Sebebi

Kişisel verileriniz; hesap oluşturma/davet, platform kullanımı ve otomatik sistem kayıtları yoluyla, elektronik ortamda toplanır. Hukuki sebepler (KVKK m.5):

• Sözleşmenin kurulması/ifası (m.5/2-c) — hizmet sunumu,
• Kanuni yükümlülük (m.5/2-ç) — faturalandırma, kayıt saklama,
• Meşru menfaat (m.5/2-f) — güvenlik, log, kötüye kullanım önleme,
• Hakkın tesisi/korunması (m.5/2-e) — hukuki talep/savunma,
• Açık rıza (m.5/1) — yalnızca rıza gerektiren hâllerde (bkz. Bölüm B).

6. İlgili Kişinin Hakları (KVKK m.11)

Her ilgili kişi; işlenip işlenmediğini öğrenme, bilgi talep etme, amaca uygunluğu öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini, KVKK m.7 çerçevesinde silinmesini/yok edilmesini, bunların aktarıldığı üçüncü kişilere bildirilmesini, otomatik sistemlerle analiz sonucu aleyhe bir sonuç çıkmasına itiraz etme ve zararın giderilmesini isteme haklarına sahiptir.

Başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, info@protoolbag.com adresine e-posta ile veya Bilişim Vadisi, Gülbahçe Mah. İçmeler Cad. No:14/1 İç Kapı No: B05, Urla / İzmir, Türkiye adresine yazılı olarak iletebilirsiniz. Başvurular KVKK m.13 uyarınca en geç 30 gün içinde sonuçlandırılır. Platform, veri dışa aktarma ve veri silme taleplerini teknik olarak destekler.

BÖLÜM B — Açık Rıza Metni (yalnızca rıza gerektiren hâller için)

Not: Aşağıdaki açık rıza, yalnızca KVKK m.5/2 ve m.6/3'teki istisnalardan hiçbirinin uygulanmadığı işleme faaliyetleri için alınır. Sözleşmenin ifası, kanuni yükümlülük veya meşru menfaate dayanan işlemeler açık rıza gerektirmez ve rıza reddi bu işlemeleri durdurmaz.

B.1 Açık Rıza Kapsamı

Aşağıdaki hususlarda, KVKK m.3/1-a anlamında özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirilmeye dayanarak açık rıza verdiğinizi beyan edersiniz:

• Yurt dışına aktarım — Kişisel verilerimin, hizmetin sunulabilmesi amacıyla yurt dışında yerleşik alt işleyenlere (ör. barındırma/e-posta sağlayıcıları) aktarılmasına açık rıza veriyorum.
• Pazarlama/bilgilendirme iletileri — Tarafıma ürün, kampanya ve bülten içeren ticari elektronik iletiler gönderilmesine açık rıza veriyorum. (Ticari elektronik iletiler 6563 sayılı Kanun ve İleti Yönetim Sistemi kurallarına uygun gönderilir.)
• Yapay zekâ özellikleri — İsteğe bağlı yapay zekâ özelliklerini (asistan, doğal-dil sorgu) kullandığımda girdiğim istem ve bağlam metninin, çıkarım amacıyla yurt dışında (ABD) yerleşik yapay zekâ sağlayıcılarına iletilmesine açık rıza veriyorum. (Ayrıntı: Gizlilik Politikası §8.)

B.2 İK / Özel Nitelikli Veri Açık Rızası (PHR modülü — müşteri-kiracı controller)

İK/bordro (PHR) modülünde çalışanlara ilişkin özel nitelikli kişisel veriler (KVKK m.6) işlendiğinde, veri sorumlusu ilgili işveren müşteri-kiracıdır. Bu kapsamdaki açık rıza, İK modülündeki ürün içi KVKK onay modülü aracılığıyla toplanır ve onay kayıtları platformda saklanır. İşverenin bu modülü doğru içerik ve rıza tipleriyle yapılandırması gerekir; Protoolbag yalnızca teknik altyapıyı sağlar (veri işleyen).

B.3 Rızanın Geri Alınması

Açık rızanızı dilediğiniz zaman info@protoolbag.com adresine yazarak geri alabilirsiniz. Geri alma, geri alma anına kadar yapılmış işlemeleri hukuka aykırı hâle getirmez.

English Summary

Section A is the KVKK Article 10 disclosure ("aydınlatma metni"): controller identity (PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş., Bilişim Vadisi, Gülbahçe Mah. İçmeler Cad. No:14/1 İç Kapı No: B05, Urla / İzmir, Türkiye; contact info@protoolbag.com), categories of personal data, purposes, recipients/transfers (Supabase hosting in the EU/Frankfurt, email providers, AI/embedding providers in the US — Anthropic, Google, Groq, OpenAI, Voyage AI, with API inputs not used to train models), the TR→EU + US cross-border transfer basis (Art. 9), collection method and legal bases (KVKK Art. 5), and data-subject rights (KVKK Art. 11, 30-day response). Sensitive HR data is noted as controller = customer-tenant (see DPA §3.1). It makes explicit that Protoolbag is a controller for account/billing data and a processor for customer HR/CRM data (where the customer-tenant is the controller).

Section B is a separate explicit-consent text ("açık rıza metni") used only where no Art. 5/2 or 6/3 exception applies — e.g. consent-based cross-border transfer, marketing messages, and special-category HR data in the PHR module (managed via the in-product KVKK consent module, with the employer-tenant as controller). Consent is withdrawable at any time.

Sürüm geçmişi