Gizlilik Politikası / Privacy Policy

Sürüm

1.0

Yürürlük tarihi

6 Kasım 2026

Son güncelleme

6 Kasım 2026

Veri Sorumlusu / Controller: PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş.

1. Giriş ve Kapsam

Bu Gizlilik Politikası, PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş. ("Protoolbag", "biz") tarafından işletilen çok kiracılı (multi-tenant) Protoolbag SaaS platformu ve onun üzerinden sunulan ürünler (PMS — tesis/IoT izleme, FixFlow — bakım yönetimi/CMMS, PHR — İK/bordro, PPM — proje yönetimi, PEM — enerji yönetimi, CRM ve operatör konsolu) kapsamında kişisel verilerin nasıl işlendiğini açıklar.

Bu politika iki farklı hukuki rolümüzü ayırır:

• Veri Sorumlusu (Controller) olarak Protoolbag: Kendi hesap, kimlik, faturalandırma, abonelik ve platform işletim verileriniz bakımından. Bu politika esas olarak bu rolü kapsar.
• Veri İşleyen (Processor) olarak Protoolbag: Müşteri-kiracıların (abonelerin) platforma yükledikleri iş verileri ve bunların içerdiği kişisel veriler (ör. çalışan/bordro PII, CRM iletişim kişileri) bakımından. Bu veriler için veri sorumlusu ilgili müşteri-kiracıdır; işleme koşulları ayrı bir Veri İşleme Sözleşmesi (DPA) ile düzenlenir — bkz. Veri İşleme Sözleşmesi.

Uygulanabilir mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) (birincil) ve AB'de bulunan ilgili kişiler bakımından GDPR (Genel Veri Koruma Tüzüğü — 2016/679).

2. Veri Sorumlusunun Kimliği (KVKK m.10)

3. İşlenen Kişisel Veri Kategorileri

Aşağıdaki tablo, Protoolbag'in veri sorumlusu olduğu verileri kapsar. Müşteri-kiracının kendi yüklediği içerik (tickets, work orders, CRM kayıtları, İK/bordro kayıtları vb.) bu politikanın değil, DPA'nın konusudur.

3.1 Özel Nitelikli Kişisel Veriler (KVKK m.6 · GDPR m.9)

Protoolbag'in kendi (controller) verileri kapsamında özel nitelikli kişisel veri rutin olarak işlenmez.

Bununla birlikte, İK/bordro (PHR) modülünde müşteri-kiracı tarafından, çalışanlara ilişkin şu kategoriler işlenebilir: T.C. kimlik numarası, IBAN, brüt maaş, doğum tarihi, cinsiyet, medeni durum, adres ve acil durum iletişim bilgileri. KVKK m.6 anlamında bunların bir kısmı özel nitelikli kişisel veridir (ve cinsiyet/medeni durum gibi kalemler GDPR m.9 kapsamına girebilir); heightened/artırılmış koruma ve — kural olarak — açık rıza gerektirir. Bu verilerde veri sorumlusu müşteri-kiracıdır; Protoolbag yalnızca veri işleyendir ve işleme koşulları Veri İşleme Sözleşmesi §3.1'de düzenlenir. KVKK açık rıza yönetimi için İK modülünde ürün içi KVKK onay modülü sağlanır.

4. İşleme Amaçları

• Platforma erişim, kimlik doğrulama ve hesap yönetimi (davet usulü kayıt),
• Rol tabanlı erişim kontrolü ve çok kiracılı veri izolasyonunun sağlanması,
• Abonelik, lisanslama ve faturalandırma süreçlerinin yürütülmesi,
• Bilgi güvenliği, kötüye kullanımın önlenmesi, denetim izi (audit) ve gözlemlenebilirlik,
• Hizmete ilişkin bildirimler (ör. görev atama, iş akışı e-postaları),
• İsteğe bağlı yapay zekâ özelliklerinin (asistan, doğal-dil sorgu, AI builder) sunulması (bkz. §8),
• Yasal yükümlülüklerin yerine getirilmesi ve hukuki taleplere yanıt verilmesi.

5. Hukuki Sebepler (KVKK m.5/6 · GDPR m.6)

Zorunlu işlevsel tarayıcı depolaması (oturum belirteci, dil, tema) hizmetin sunulması için kesinlikle gereklidir; çerez değildir ve ayrı rıza gerektirmez — ayrıntı için bkz. Çerez Politikası.

6. Saklama Süreleri (Retention Schedule)

Kişisel veriler, işlendikleri amaç için gerekli olan ve ilgili mevzuatta öngörülen süre boyunca saklanır. Saklama süresi dolan veriler silinir, yok edilir veya anonim hâle getirilir (KVKK m.7).

Silme kaskadı ve yedek süre-dolumu: Silme, kiracı verisi silme süreciyle canlı veritabanında bağlı kayıtlar sırasıyla silinerek gerçekleştirilir; yedeklerdeki kopyalar ilgili yedek saklama penceresinin dolmasıyla ortadan kalkar. Mali/hukuki saklama yükümlülüğüne tabi kayıtlar istisna olarak anonimleştirilerek/kilitlenerek tutulabilir.

7. Alt İşleyenler ve Uluslararası Aktarım (Sub-processors & International Transfer)

7.1 Alt İşleyen Listesi

Verileriniz hizmetin sunulması için aşağıdaki alt işleyenler aracılığıyla işlenebilir. Güncel ve sözleşmesel liste DPA'nın alt işleyen tablosundadır — bkz. Veri İşleme Sözleşmesi §6.

Ödemeler şu anda havale/EFT ile alınmaktadır; çevrim içi ödeme hizmeti sağlayıcısı devreye alındığında bu listeye eklenir.

Müşteri-kiracının kendi yapılandırabildiği e-posta sağlayıcıları (Microsoft Exchange 365 / Graph, SendGrid), Müşteri'nin kendi alt işleyeni konumundadır; ayrıntı Veri İşleme Sözleşmesi §6.

7.2 Uluslararası Aktarım (GDPR Bölüm V / KVKK m.9)

• Birincil depolama (AB): Platform verisi Supabase'in Frankfurt (Almanya — AB/EEA) bölgesinde tutulur. GDPR bakımından bu, verinin esas olarak AB içinde kalması anlamına gelir.
• ABD'ye aktarım (AI ve gömme alt işleyenleri): Yukarıdaki yapay zekâ (Anthropic, Google, Groq, OpenAI) ve gömme (Voyage AI) ile e-posta (Resend) sağlayıcıları ABD merkezlidir; bu sağlayıcılara aktarımlar için Standart Sözleşme Hükümleri (SCC) ve/veya ilgili aktarım güvencesi uygulanır.
• TR → AB aktarımı (KVKK m.9): Verilerin Türkiye'den AB'deki (Frankfurt) altyapıya aktarılması KVKK m.9 anlamında yurt dışına aktarımdır ve uygun bir aktarım temeli gerektirir; bu aktarım, güncel KVKK yurt dışı aktarım rejimi kapsamında öngörülen araçlara (yeterlilik kararı, standart sözleşme, taahhütname veya açık rıza) uygun olarak gerçekleştirilir.

8. Yapay Zekâ Şeffaflığı (AI Transparency)

Platform, isteğe bağlı yapay zekâ özellikleri sunar. Bu bölüm, GDPR şeffaflık ilkeleri ve KVKK aydınlatma yükümlülüğü çerçevesinde bu özelliklerin nasıl çalıştığını açıklar.

• Hangi özellikler AI kullanır: AI asistanı, doğal-dil veri sorgusu, AI ile modül/tasarım oluşturma (AI builder) ve belge arama için metin gömme ve sonuç sıralama.
• Hangi sağlayıcılar: Çıkarım için Anthropic (Claude), Google (Gemini), Groq ve OpenAI arasından failover ile bir sağlayıcı; gömme için Voyage AI. Sağlayıcı listesi §7.1'dedir.
• Hangi veri gönderilir: Yalnızca ilgili özelliği kullandığınızda girdiğiniz istem (prompt) ve o isteme eşlik eden bağlam metni sağlayıcıya iletilir. Bu içerik, kullanıcının sağladığı kişisel veriyi içerebilir.
• Model eğitimi: İlgili sağlayıcıların API kullanım şartları uyarınca, API üzerinden gönderilen girdiler modellerin eğitiminde kullanılmaz.
• Uluslararası aktarım: Bu sağlayıcılar ABD merkezlidir; aktarım §7.2'deki güvencelere tabidir.
• İnsan gözetimi: Yapay zekâ çıktıları öneri/yardım niteliğindedir; nihai kararlar kullanıcı gözetimindedir. Sizin hakkınızda hukuki sonuç doğuran tamamen otomatik bir karar için kullanılmaz (GDPR m.22 / KVKK m.11).
• Devre dışı bırakma: Yapay zekâ özellikleri isteğe bağlıdır; kullanmadığınız sürece istem verisi ilgili sağlayıcılara gönderilmez.

9. İlgili Kişinin Hakları ve Başvuru Usulü (KVKK m.11 · GDPR m.15-22)

9.1 Haklarınız

İlgili kişi olarak şu haklara sahipsiniz:

• İşlenip işlenmediğini öğrenme ve bilgi/erişim talep etme (GDPR m.15 · KVKK m.11),
• Düzeltme (GDPR m.16 · KVKK m.11),
• Silme / unutulma (GDPR m.17 · KVKK m.7/11),
• İşlemenin kısıtlanması (GDPR m.18),
• Taşınabilirlik — yapılandırılmış, makine-okunur formatta (GDPR m.20),
• İşlemeye itiraz (GDPR m.21 · KVKK m.11),
• Tamamen otomatik kararlara / profillemeye itiraz (GDPR m.22 · KVKK m.11),
• Rızaya dayalı işlemede rızayı geri alma ve zararın giderilmesini talep etme.

9.2 Hakların Kullanımı ve Yerine Getirilen Mekanizmalar

Platform bu hakları teknik olarak destekler:

• Veri taşınabilirliği / dışa aktarım: Veri dışa aktarma özelliği (kullanıcı veya kiracı kapsamında JSON/CSV paketi; GDPR m.20'deki "yapılandırılmış, makine tarafından okunabilir" biçimle uyumlu).
• Silme / erasure: Kiracı verisi silme süreci (bağlı kayıtlar sırasıyla silinir, hiçbir kaydın kalmadığı doğrulanır, silme işleminin kaydı tutulur veya veri anonimleştirilir) ve kullanıcı hesabı silme süreci.
• Hesap verilebilirlik: Hassas değişikliklerin denetim kayıtlarıyla izlenmesi.

9.3 Başvuru Kanalı, Kimlik Doğrulama ve Süreler

• Başvuru kanalı: info@protoolbag.com adresine e-posta veya Bilişim Vadisi, Gülbahçe Mah. İçmeler Cad. No:14/1 İç Kapı No: B05, Urla / İzmir, Türkiye adresine yazılı başvuru.
• Kimlik doğrulama: Kötüye kullanımı önlemek için, talebi karşılamadan önce başvuranın kimliği makul yöntemlerle doğrulanır.
• Yanıt süresi: KVKK m.13 uyarınca en geç 30 gün; GDPR m.12 uyarınca 1 ay (karmaşık taleplerde GDPR'de 2 ay uzatma mümkündür). Kiracı iş verisine (processor rolü) ilişkin talepler ilgili müşteri-kiracıya (controller) yönlendirilir — bkz. Veri İşleme Sözleşmesi §7.

10. KVKK Aydınlatma ve Açık Rıza

Ayrıntılı KVKK m.10 aydınlatma metni ve açık rıza gerektiren hâllere ilişkin açık rıza metni için bkz. KVKK Aydınlatma Metni. İK modülündeki çalışan onayları ürün içi KVKK onay modülü ile yönetilir.

11. Güvenlik — Teknik ve İdari Tedbirler (TOM · KVKK m.12 · GDPR m.32)

Protoolbag, kişisel verilerin güvenliği için aşağıdaki teknik ve idari tedbirleri uygular.

• Kiracı izolasyonu: Tüm tablolarda satır düzeyi güvenlik (RLS) — veritabanındaki tüm tablolarda, her kiracı yalnızca kendi verisine erişecek şekilde.
• Kimlik doğrulama & yetkilendirme: imzalı oturum belirteçleri ve sayfa düzeyinde erişim denetimi, organizasyon kapsamlı rol tabanlı yetkilendirme (RBAC), TOTP ile çok faktörlü kimlik doğrulama (MFA), yalnızca davet usulü kayıt.
• İçerik güvenlik politikası (CSP): Yalnızca kendi alan adımızdan yüklenen komut dosyaları çalışır; dinamik kod çalıştırma engellidir; uygulama başka sitelerin çerçevesine yerleştirilemez; HSTS ve içerik türü koruması (nosniff) etkindir.
• Şifreleme: İletimde HTTPS/WSS + HSTS; beklemede Supabase yönetilen şifreleme; depolama için imzalı-URL modeli.
• Denetim kaydı: Sunucu tarafında doğrulanan sistem kayıtları (yalnızca izin verilen eylem türleri, IP adresiyle) ve hassas değişiklikler için denetim kayıtları.
• Dış bağlantı (SSRF) savunması: Platformdan dış sistemlere yapılan bildirimlerde (webhook) özel IP adreslerine erişim engellenir, DNS yeniden bağlama önlenir ve yönlendirmeler izlenmez.
• Gözlemlenebilirlik & olay müdahalesi: Sunucu ve tarayıcı hatalarının merkezi olarak kaydedilmesi ve operatör panosunda izlenmesi; yazılı bir olay müdahale prosedürü.

Standartlarla uyum (bilgi amaçlı): Yukarıdaki kontroller, ISO/IEC 27001 (BGYS), ISO/IEC 27701 (PIMS) ve SOC 2 güven ilkeleriyle uyumlu olacak şekilde tasarlanmıştır. Bu ifade bir uyum hedefidir; şirket, aksi belgelenmedikçe bu standartlara ilişkin herhangi bir sertifikaya sahip olduğunu iddia etmez.

Bu tedbirler mevcut durumu yansıtır ve sürekli gözden geçirilir; alan düzeyi şifreleme gibi ek sertleştirmeler değerlendirilmektedir.

12. Veri İhlali Bildirimi (KVKK m.12 · GDPR m.33-34)

Kişisel veri ihlali hâlinde:

• GDPR: Denetim makamına (supervisory authority) ihlalin farkına varılmasından itibaren 72 saat içinde bildirim (m.33); ilgili kişiler için yüksek risk varsa gecikmeksizin bildirim (m.34).
• KVKK: Kişisel Verileri Koruma Kurulu'na en kısa sürede (Kurul kararı uyarınca 72 saat) ve etkilenen ilgili kişilere makul sürede bildirim.
• Kiracı verisi: Müşteri-kiracının verisine ilişkin ihlallerde bildirim akışı DPA'ya tabidir (Protoolbag = veri işleyen; müşteriyi gecikmeksizin bilgilendirir) — bkz. Veri İşleme Sözleşmesi §8.
• İç süreç: İhlaller, Protoolbag'in yazılı olay müdahale prosedürüne göre ele alınır.

13. İşleme Envanteri / Kayıtlar (GDPR m.30) ve VERBİS

• İşleme faaliyetleri kaydı (RoPA): Protoolbag, GDPR m.30 kapsamında bir işleme faaliyetleri kaydı tutar ve işleme faaliyetleri değiştikçe günceller.
• VERBİS: Veri Sorumluları Sicili (VERBİS) kayıt yükümlülüğü, Kişisel Verileri Koruma Kurulu'nun belirlediği eşiklere göre değerlendirilir; kayıt yapıldığında sicil bilgisi §2'ye eklenir.

14. Değişiklikler

Bu politika güncellenebilir; güncel sürüm protoolbag.com/legal/privacy-policy adresinde ve uygulama portalının "Yasal belgeler" bölümünde yayımlanır. Her belgenin sürüm numarası ve yürürlük tarihi başlığın altında, değişiklikler belgenin sonundaki sürüm geçmişinde gösterilir. Esaslı değişikliklerde makul bildirim yapılır.

English Summary

This Privacy Policy explains how PROTOOLBAG YAZILIM TEKNOLOJİLERİ A.Ş. ("Protoolbag", Bilişim Vadisi, Gülbahçe Mah. İçmeler Cad. No:14/1 İç Kapı No: B05, Urla / İzmir, Türkiye; contact info@protoolbag.com) processes personal data across its multi-tenant SaaS platform (PMS, FixFlow, PHR, PPM, PEM, CRM, operator console). Protoolbag acts as a controller for its own account, authentication, billing and platform-operations data (the subject of this policy) and as a processor for customer-tenant business data — including HR/payroll and CRM PII — governed by a separate DPA.

Special-category data (§3.1): Protoolbag processes no special-category data as controller; the HR module's sensitive fields (national ID, IBAN, salary, birth date, gender, marital status, address, emergency contact) are processed as processor, with the customer-tenant as controller (see DPA §3.1).

Retention (§6) is a table by data category (account data while active plus statutory limitation periods; financial records 10 years; logs and error events under periodic retention rules; backups for the provider's rolling window), plus the deletion-cascade + backup-expiry note.

Sub-processors & international transfer (§7): a full table — Supabase (hosting/DB/auth/storage, EU / Frankfurt), Resend (email, US), Anthropic / Google / Groq / OpenAI (AI inference, US, API inputs not used to train models), and Voyage AI (embeddings, US); payments are currently by bank transfer, and an online payment provider will be added when it goes live. §7.2 covers GDPR Chapter V (US transfers under SCCs) and KVKK Art. 9 (TR→EU transfer under the current KVKK transfer regime).

AI transparency (§8): which features use AI, which providers, what data is sent, the no-training assertion, US transfer, human oversight, and opt-out. Data-subject rights + procedure (§9): all GDPR Art. 15-22 / KVKK Art. 11 rights, the data export, tenant erasure and account deletion processes, identity verification, and statutory windows (GDPR 1 month / KVKK 30 days). Security (§11) lists verifiable TOMs and notes controls designed to align with ISO/IEC 27001, 27701 and SOC 2 — no certification claimed. Breach (§12) maps GDPR Art. 33/34 (72h) and KVKK duties to the incident-response runbook. §13 notes a GDPR Art. 30 record of processing and VERBİS registration.

Sürüm geçmişi