Gizlilik ve Bilgi Güvenliği Politikası

İşbu Gizlilik ve Bilgi Güvenliği Politikası ("Politika"), Yusuf Ordu – MadeInAI tarafından işletilen www.madeinailabs.com internet sitesi ("Site"), MadeInAI tarafından sunulan dijital çözümler, müşteri iletişim süreçleri, teknik altyapılar ve bunlarla bağlantılı bilgi varlıklarının korunmasına ilişkin temel esasları belirlemek amacıyla hazırlanmıştır.

Politika; Site ziyaretçilerini, iletişim formu kullanıcılarını, mevcut veya potansiyel müşterileri, müşteri temsilcilerini, yetkilileri, hizmet sağlayıcılarını ve MadeInAI sistemleriyle yetkili şekilde etkileşim kuran diğer kişileri kapsayabilir.

Bilgi güvenliği yaklaşımımız, güvenliğin tek bir teknoloji veya uygulama ile sağlanamayacağı kabulüne dayanır. Bu nedenle uygulanacak tedbirler; işlenen bilginin niteliği, işleme amacı, sistemin yapısı, mevcut teknik imkânlar, olası tehditler ve gerçekleşmesi hâlinde doğabilecek etkiler dikkate alınarak risk temelli şekilde değerlendirilir.

MadeInAI'ın bilgi ve kişisel veri işleme faaliyetlerinde aşağıdaki temel ilkelerin gözetilmesi amaçlanır:

Sistemlere, müşteri bilgilerine ve diğer bilgi varlıklarına erişim, işin yürütülmesi için gerekli yetki seviyeleri dikkate alınarak sınırlandırılır. Erişim yetkilerinin mümkün olduğu ölçüde asgari yetki ve bilmesi gereken prensipleri doğrultusunda düzenlenmesi hedeflenir.

Kullanılan altyapının niteliği ve uygulanabilirliği ölçüsünde bilgi varlıklarının korunması amacıyla teknik güvenlik kontrollerinden yararlanılır.

Site ve dijital hizmetlerin geliştirilmesi, yapılandırılması ve sürdürülmesinde güncel web uygulaması tehditleri dikkate alınır.

Bu kapsamda özellikle aşağıdaki risk kategorilerinin azaltılması hedeflenir:

MadeInAI internet sitesindeki iletişim formuna girilen ad-soyad, firma adı, e-posta adresi, telefon numarası, ilgilenilen hizmet ve mesaj bilgileri, iletişim talebinin MadeInAI'a ulaştırılması amacıyla teknik form iletim hizmetlerinden yararlanılarak işlenebilir.

Mevcut iletişim formu altyapısında, form içeriğinin MadeInAI tarafından kullanılan e-posta adresine iletilmesini sağlamak amacıyla FormSubmit hizmetinden yararlanılmaktadır.

Bu nedenle form üzerinden gönderilen bilgiler, teknik iletimin gerçekleştirilmesi sırasında ilgili hizmet sağlayıcının sistemlerinden geçebilir. Kullanıcıların iletişim formu üzerinden hizmetin değerlendirilmesi için gerekli olmayan özel nitelikli, finansal veya yüksek riskli verileri paylaşmamaları gerekir.

MadeInAI tarafından sunulan veya müşteriler adına yapılandırılan bazı iletişim çözümlerinde Retell AI gibi harici teknik altyapılardan yararlanılabilir.

İlgili çözümün niteliğine bağlı olarak ses verisi, görüşme metni, görüşme zamanı, telefon numarası, teknik işlem kayıtları veya görüşmenin yürütülmesi için gerekli diğer bilgiler hizmet sağlayıcıların sistemleri üzerinden işlenebilir.

MadeInAI'ın bir müşteri kurum adına ve onun talimatlarıyla işlem yaptığı hâllerde, ilgili görüşme verileri bakımından veri sorumlusu müşteri kurum olabilir ve MadeInAI veri işleyen sıfatıyla hareket edebilir.

MadeInAI; hizmetlerin sağlanması için barındırma, sunucu, alan adı, e-posta, form iletim, iletişim, otomasyon, sesli sistem, yedekleme, güvenlik veya benzeri teknik hizmet sağlayıcılardan yararlanabilir.

Üçüncü taraf hizmet sağlayıcılara yalnız ilgili hizmetin sağlanması için gerekli olduğu ölçüde veri aktarılması veya bu sağlayıcıların verilere teknik olarak erişebilmesi söz konusu olabilir.

Üçüncü taraf sağlayıcıların kendi sistemlerinin güvenliği, kesintileri, hizmet sürekliliği ve bağımsız işlem faaliyetleri kendi teknik ve hukuki sorumluluk alanlarına da tabidir. MadeInAI, kendi kontrol alanı dışında bulunan üçüncü taraf sistemler bakımından teknik olarak mutlak ve kesintisiz güvenlik garantisi vermez.

Kullanılan bazı bulut, iletişim, form iletim, otomasyon veya ses teknolojisi sağlayıcılarının altyapıları Türkiye dışında bulunabilir veya hizmet küresel altyapılar üzerinden sunulabilir.

Böyle bir durumda kişisel verilerin yurt dışına aktarılması, 6698 sayılı KVKK'nın 9. maddesi ve kişisel verilerin yurt dışına aktarılmasına ilişkin yürürlükte bulunan mevzuat çerçevesinde değerlendirilir.

Uygulanabilir olduğu ölçüde yeterlilik kararları, standart sözleşmeler, bağlayıcı şirket kuralları, Kurul tarafından öngörülen diğer uygun güvenceler veya kanunda yer alan istisnai aktarım şartlarından ilgili duruma uygun olan mekanizma esas alınır.

Aktarılacak veri kategorilerinin mümkün olan en düşük seviyede tutulması ve yalnız hizmetin gerektirdiği verilerin aktarılması hedeflenir.

Bilgiler süresiz olarak saklanmaz. Saklama süreleri; işleme amacı, müşteri ilişkisi, sözleşmesel yükümlülükler, hukuki yükümlülükler, uyuşmazlık ihtimali ve ilgili mevzuatta öngörülen süreler dikkate alınarak belirlenir.

İşlenmesini gerektiren amaç ve hukuki sebep sona erdiğinde veriler, uygulanabilir imha prosedürleri doğrultusunda silinebilir, yok edilebilir veya anonim hâle getirilebilir.

Teknik yedeklerde bulunan verilerin ana sistemden silinmesinden sonra sınırlı bir süre daha bulunması teknik olarak mümkün olabilir. Bu tür verilerin aktif olarak yeniden işlenmemesi ve olağan yedek döngüsü içerisinde kaldırılması hedeflenir.

Bir bilgi güvenliği olayının veya kişisel veri ihlalinin şüphesi ya da tespiti hâlinde olayın niteliğine göre;

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespit edilmesi hâlinde olay; KVKK, Kurul kararları ve yürürlükteki bildirim yükümlülükleri kapsamında değerlendirilir.

Kurula bildirim yapılmasını gerektiren hâllerde bildirim, ihlalin öğrenilmesinden itibaren yürürlükteki Kurul kararlarında öngörülen süreler içerisinde gerçekleştirilir. Etkilenen ilgili kişilere yapılması gereken bildirimler de olayın koşullarına göre uygun yöntemle yerine getirilir.

MadeInAI sistemlerinde olası bir güvenlik açığı tespit ettiğinizi düşünüyorsanız, madeinailabs@gmail.com adresi üzerinden tarafımıza bildirimde bulunabilirsiniz.

Bildirimde mümkünse etkilenen sayfa veya sistem, güvenlik açığının genel niteliği, tekrarlanması için gereken temel adımlar ve iletişim bilgileriniz paylaşılabilir.

Güvenlik araştırması sırasında tesadüfen kişisel veya gizli verilere erişilmesi hâlinde erişimin derhal durdurulması, verilerin kopyalanmaması, paylaşılmaması ve durumun MadeInAI'a bildirilmesi beklenir.

Bilgi güvenliğinin sağlanması yalnız sistem sağlayıcısının değil, sistemi kullanan kişilerin de dikkatli hareket etmesini gerektirir.

MadeInAI'ın işletmeler için sağladığı iletişim, otomasyon veya benzeri sistemlerde kişisel veri işleme faaliyeti müşterinin kendi faaliyetleri kapsamında gerçekleşebilir.

Müşteri kurum; kendi müşterileri, çalışanları, ziyaretçileri veya diğer ilgili kişiler bakımından veri sorumlusu olduğu ölçüde;

sorumludur.

MadeInAI'ın Site üzerindeki genel iletişim ve demo kanalları, özel nitelikli kişisel veri veya yüksek riskli finansal veri toplamak amacıyla oluşturulmamıştır.

Kullanıcıların özellikle sağlık bilgisi, biyometrik veri, genetik veri, ceza mahkûmiyeti ve güvenlik tedbiri bilgileri, siyasi düşünce, dini veya felsefi inanç bilgileri, sendika bilgileri veya kanunda özel nitelikli kabul edilen diğer verileri genel iletişim kanallarından paylaşmaması gerekir.

Ayrıca ödeme kartı numarası, CVV/CVC kodu, internet bankacılığı parolası, SMS doğrulama kodu, özel anahtar, API secret, hesap parolası ve benzeri kritik güvenlik bilgilerinin MadeInAI iletişim formlarına veya demo sistemlerine girilmemesi gerekir.

Site ve müşteri panelinde hizmetin çalışması, oturum yönetimi, güvenlik ve teknik fonksiyonların yürütülmesi için gerekli çerezler veya benzeri teknik kayıtlar kullanılabilir.

Analitik, reklam veya profil oluşturma amacı taşıyan ve açık rıza gerektiren teknolojilerin kullanıma alınması hâlinde, uygulanabilir mevzuat kapsamında gerekli bilgilendirme ve tercih mekanizmaları ayrıca sağlanır.

Çerezlere ilişkin ayrıntılı bilgi için MadeInAI Çerez Politikası ve Kişisel Verilerin Korunması ve Aydınlatma Metni incelenebilir.

Müşteri tarafından MadeInAI'a iletilen ve niteliği gereği gizli olduğu açıkça anlaşılan ticari, teknik veya operasyonel bilgilerin yalnız hizmetin gerektirdiği amaçlarla kullanılması esas alınır.

Bununla birlikte kullanıcı, MadeInAI'a iletme yetkisine sahip olmadığı üçüncü kişilere ait ticari sırları, telifli gizli materyalleri, erişim bilgilerini veya hukuka aykırı olarak elde edilmiş bilgileri sisteme aktarmamalıdır.

Taraflar arasında ayrıca bir gizlilik sözleşmesi imzalanmışsa, ilgili sözleşmedeki özel hükümler uygulanabilir.

İnternet, elektronik iletişim, bulut bilişim, üçüncü taraf hizmet sağlayıcıları ve yazılım sistemlerinin doğası gereği hiçbir elektronik sistemin güvenliğinin mutlak biçimde garanti edilmesi teknik olarak mümkün değildir.

MadeInAI, yürürlükteki mevzuatın ve faaliyet risklerinin gerektirdiği makul teknik ve idari önlemleri uygulamayı amaçlamakla birlikte; hiçbir sistemin hiçbir koşulda ihlal edilmeyeceği, hizmetin her zaman kesintisiz olacağı veya sıfır güvenlik riski taşıyacağı yönünde garanti vermez.

Yetkili kurumların kararları saklı kalmak üzere, MadeInAI'ın kendi kontrol alanı dışında gerçekleşen telekomünikasyon kesintıları, internet servis sağlayıcısı sorunları, üçüncü taraf altyapı kesintileri, sıfır gün güvenlik açıkları, kullanıcının erişim bilgilerinin kendi kusuru veya üçüncü kişiler nedeniyle ele geçirilmesi ya da benzeri dış etkenler ayrıca olayın somut koşullarına göre değerlendirilir.

MadeInAI; yürürlükteki mevzuatın zorunlu kıldığı, yetkili mahkeme, savcılık, idari makam veya diğer yetkili kamu kurumları tarafından hukuka ve usule uygun şekilde talep edilen bilgileri, talebin kapsamı ile sınırlı olmak üzere paylaşabilir.

Böyle bir aktarım, kullanıcı verilerinin ticari olarak üçüncü kişilere satılması veya serbestçe paylaşılması anlamına gelmez.

İşbu Politika, MadeInAI'ın kişisel veri işleme faaliyetlerini tek başına düzenleyen bir aydınlatma metni değildir.

Kişisel verilerin hangi amaçlarla, hangi hukuki sebeplere dayanılarak işlendiği, kimlere aktarılabileceği, yurt dışı aktarımı, saklama süreleri ve KVKK kapsamındaki haklara ilişkin ayrıntılar için MadeInAI Kişisel Verilerin Korunması ve Aydınlatma Metni ayrıca incelenmelidir.

Açık rızaya dayalı faaliyetler varsa bunlar için ayrıca ilgili Açık Rıza Metni uygulanır. Çerez kullanımına ilişkin ayrıntılar ise Çerez Politikası kapsamında değerlendirilir.

Bu Politika; mevzuat değişiklikleri, Kurul kararları, teknik altyapı değişiklikleri, yeni güvenlik riskleri, hizmet sağlayıcı değişiklikleri veya MadeInAI'ın ürün ve hizmetlerinde meydana gelen değişiklikler doğrultusunda güncellenebilir.

Güncel Politika, MadeInAI internet sitesinde yayımlandığı tarihten itibaren geçerli olur. Önemli değişiklikler olması hâlinde sürüm ve yürürlük tarihi buna göre güncellenir.

Gizlilik, veri güvenliği veya güvenlik açığı bildirimleri için MadeInAI ile aşağıdaki kanallar üzerinden iletişim kurulabilir.