Gizlilik Politikası
Sürüm 1.1 · Yürürlük: 15 Eylül 2026
Sürüm: 1.1 Yürürlük: 2026-09-15 Veri Sorumlusu: Anlycade
Bu politika KVKK Aydınlatma Metni’nin teknik özetidir. Hangi veriyi nasıl koruduğumuzun kısa hali.
1. Toplanan Veriler
| Sınıf | Veri |
|---|---|
| Kimlik | ad, soyad, e-posta, telefon |
| İşletme | işletme adı, adres, fatura bilgileri |
| Hesap | parola hash, 2FA secret, oturum token |
| Fatura | adres, vergi dairesi/no, ödeme referansı (kart bilgisi bizde tutulmaz) |
| Kullanım | randevu kayıtları, müşteri kayıtları, mesaj geçmişi |
| Üye (Events) | TC kimlik numarası — sütun bazında AES-256-GCM şifreli |
| Teknik | IP, User-Agent, çerez, hata logu, oturum süresi |
Kart bilgileri hiçbir zaman sunucularımıza ulaşmaz; ödeme PayTR’nin barındırdığı iframe üzerinden alınır (PCI kapsamı dışındayız).
2. Bilgilerin Kullanımı
Verileriniz yalnızca şu amaçlarla kullanılır: hizmetin sunulması, bildirim ve hatırlatma gönderimi, müşteri desteği, faturalandırma ve yasal yükümlülükler. Verileriniz hiçbir zaman satılmaz.
3. Saklama Süresi
| Veri | Süre |
|---|---|
| Hesap aktif | hesap silininceye kadar |
| Hesap silindi (soft) | 30 gün geri açılabilir |
| Hesap silindi (hard) | tamamen silinir (audit hariç) |
| Fatura | 10 yıl (VUK) |
| Audit log | 10 yıl |
4. Üçüncü Taraf Aktarım
Detay KVKK Aydınlatma Metni m.4’te. Özet:
- PayTR (TR) — ödeme
- Resend (ABD) — e-posta
- Meta (İrlanda/ABD) — WhatsApp Business Cloud API (mesajlar doğrudan Meta üzerinden gönderilir, aracı servis kullanılmaz)
- Google (ABD) — opsiyonel takvim entegrasyonu
- Sentry (AB/ABD) — hata raporlama
- Anthropic (ABD) — Events modülü AI metin özeti/davet taslağı (yalnız talep üzerine)
Not: SMS kanalı 2026 Mayıs’ta kaldırılmıştır; bildirimler yalnızca e-posta ve WhatsApp ile gönderilir. Bu belgenin önceki sürümünde yer alan SMS sağlayıcısı artık hiçbir veri almamaktadır.
5. Google Hesap Verileri (Google API Services User Data Policy)
Anlycade, Google Calendar entegrasyonu ile Google hesap verilerinize aşağıdaki sınırlı ve açıkça belirtilmiş amaçlarla erişir:
- Anlycade panelinde oluşturduğunuz randevuları Google Calendar hesabınıza senkronize etmek.
- Paneldeki değişiklikleri (tarih/saat güncellemesi, iptal) Calendar tarafına yansıtmak.
- Randevu içeriğine Google Meet linki üretmek.
- Çakışmaları önlemek için mevcut Calendar etkinliklerinizi okumak.
Anlycade’in Google hesap verilerini kullanımı, Google API Services User Data Policy’ye tam uyumludur; Limited Use gereklilikleri dahil.
Google’dan aldığımız verileri:
- Reklam amacıyla kullanmayız.
- Üçüncü taraflara transfer etmeyiz.
- Yapay zeka modelleri eğitmek için kullanmayız.
- İnsan tarafından okumayız; yalnızca kullanıcı destek talebinde bulunduğunda veya yasal zorunluluk olduğunda yetkili personel erişebilir.
Saklama ve silme: OAuth refresh token’ları AES-256-GCM ile şifrelenerek saklanır. Kullanıcı Ayarlar → Entegrasyonlar → Bağlantıyı Kes butonuna bastığında token’lar ve ilgili Calendar erişim yetkisi derhal iptal edilir ve Anlycade veritabanından silinir.
6. Yapay Zeka (AI) Kullanımı
Anlycade’de yapay zeka iki ayrı teknik mimari ile çalışır. Şeffaflık adına ikisini de ayrı ayrı açıklıyoruz; hangi verinin nereye gittiği aşağıda nettir.
6.1. Kendi sunucumuzda çalışan (self-hosted) makine öğrenmesi modelleri
Risk skorlama özelliklerimiz — randevuya gelmeme (no-show) riski ve müşteri kaybı (churn) riski — tamamen kendi altyapımızda, üçüncü taraf hiçbir yapay zeka/çıkarım (inference) servisine veri göndermeden çalışır. Bu modeller (XGBoost → ONNX) haftalık olarak kendi sunucumuzdaki bir Python eğitim ortamında üretilir; dışarıya hiçbir veri çıkmaz. Bildirim kanalı önerisi ve slot kalite skoru ise yapay zeka modeli değil, basit istatistiksel kurallardır.
Bu modeller, müşterilerinizin randevu davranışından türetilen toplulaştırılmış (aggregate) özellikler üzerinde çalışır: tamamlanan/iptal/gelmeyen randevu sayıları ve oranları, ortalama randevu öncesi süre, zamanlama tercihleri, bildirim teslim/okunma oranları gibi. Müşteri kimliği gibi doğrudan kişisel tanımlayıcılar modele girdi olarak verilmez; model yalnızca davranışsal sayısal özellikleri kullanır.
Tenant (işletme) izolasyonu: Özellik hesaplama ve skorlama her işletme için ayrı yapılır. Ancak model eğitimi şu an çoklu-işletme havuzlanmış (cross-tenant) veri üzerinde gerçekleştirilir: tek bir genel no-show modeli ve tek bir genel churn modeli, tüm işletmelerin davranışsal özellik satırları birleştirilerek eğitilir ve tüm işletmeler tarafından ortak kullanılır. Eğitim seti yalnızca toplulaştırılmış davranışsal sayılardan oluşur; ham müşteri içeriği, mesaj metni veya kimlik bilgisi eğitim verisinde yer almaz.
6.2. Üçüncü taraf yapay zeka — Anthropic (Claude)
Yalnızca Etkinlik (Events) modülündeki iki yardımcı metin özelliği üçüncü
taraf bir yapay zeka sağlayıcısına veri gönderir. Bu sağlayıcı Anthropic’tir
(Claude modeli, api.anthropic.com). Anthropic, bu kapsamda veri alt-işleyenimiz
(sub-processor) olarak hareket eder ve verileri yalnızca talep edilen çıktıyı
üretmek için işler.
- Toplantı AI Özeti — Talep ettiğinizde, panelde elle oluşturduğunuz toplantının başlığı, açıklaması, gündem maddeleri, kararlar/aksiyonlar/notlar ve atanan kişi adları Anthropic’e gönderilir ve bir özet üretilir. Bu özellik opt-in’dir (işletme ayarından açılması gerekir).
- Davet Metni Önerisi — Talep ettiğinizde, toplantı başlığı, açıklaması ve konum bilgisi Anthropic’e gönderilerek taslak davet metni üretilir. Bu özellik ayrı bir işletme ayarı gerektirmez; yapay zeka yapılandırılmışsa talep üzerine çalışır.
Kişisel veri maskeleme (PII redaksiyonu): Her iki özellikte de Anthropic’e gönderilmeden önce metindeki TC kimlik numarası, telefon, e-posta ve IBAN otomatik olarak maskelenir. Çıktının anlamlı olması için kişi adları kasıtlı olarak korunur (atanan kişi ve katılımcı adları gönderilir). Anthropic’e gönderilen veriler model eğitimi için kullanılmaz.
Şeffaflık notu: Otomatik maskeleme TC kimlik numarası, telefon, e-posta ve IBAN ile sınırlıdır; kişi adları tasarım gereği maskelenmez ve serbest metin alanlarına (açıklama, not) yazdığınız diğer bilgiler olduğu gibi işlenir. Bu nedenle bu alanlara yalnızca gerekli bilgiyi girmenizi öneririz.
6.3. Google API verileri ve yapay zeka
Google Calendar entegrasyonundan elde edilen kullanıcı verileri üçüncü taraf yapay zeka aracına (Anthropic/Claude) aktarılmaz. Toplantı AI Özeti ve Davet Metni özellikleri yalnızca panelde elle oluşturduğunuz Etkinlik (Events) kayıtlarından beslenir; Google Calendar verisi bu özelliklere giden veri yolunda yer almaz. Google entegrasyonu yalnızca takvim senkronizasyonu ve Google Meet linki üretimi için kullanılır.
Kendi sunucumuzdaki risk modelleri (6.1) açısından şu teknik gerçeği şeffaflıkla belirtiriz: Google Calendar tarafında bizim oluşturduğumuz bir randevuyu düzenlediğinizde veya iptal ettiğinizde, bu değişiklik kendi randevu kaydımıza yansır; bu davranışsal sonuç da diğer randevu verileriyle birlikte toplulaştırılarak 6.1’deki self-hosted risk modellerinin eğitiminde dolaylı olarak kullanılır. Google’dan gelen ham etkinlik içerikleri, e-posta/profil bilgileri veya OAuth token’ları model girdisi olarak kullanılmaz; yalnızca uygulama içinde zaten var olan randevu durum/zaman alanları kullanılır. Google’dan elde edilen kullanıcı verileri reklam amacıyla kullanılmaz, üçüncü taraflara satılmaz ve üçüncü taraf yapay zeka sağlayıcılarına aktarılmaz.
7. Meta WhatsApp Business Verileri
Anlycade, Meta Embedded Signup üzerinden bağladığınız WhatsApp Business Hesabı (WABA) ile aşağıdaki sınırlı ve açıkça belirtilmiş amaçlarla Meta verilerinize erişir:
- Sizin oluşturduğunuz randevuların müşterilerinize WhatsApp üzerinden onay/hatırlatma/iptal mesajı olarak gönderilmesi.
- Müşterinizin “Geliyorum / Gelemiyorum” gibi interaktif yanıtlarının okunup randevu durumuna işlenmesi.
- Mesaj iletim/teslim/okundu durumlarının (delivery/read receipts) kayıt altına alınması.
- Bağlı WhatsApp Business Hesabınızın adı ve telefon numarasının panel arayüzünde gösterilmesi.
Anlycade’in WhatsApp/Meta verilerini kullanımı Meta Platform Terms ve WhatsApp Business Solution Terms’a tam uyumludur.
Token saklama ve şifreleme: Meta sistem kullanıcı access token’ları AES-256-GCM ile şifrelenerek saklanır. Şifreleme anahtarı sunucu ortam değişkeninde tutulur ve veritabanından ayrıdır.
8. Güvenlik
- TLS 1.2+ tüm iletişim
- Argon2id parola hash’leme
- AES-256-GCM token ve TC kimlik şifreleme
- 2FA + Passkey desteği
- Tenant izolasyonu, tüm sorgularda
- Düzenli yedek + 90 gün retention
9. Veri Silme ve Erişim Hakkı
KVKK 11. madde ve Google API Services User Data Policy kapsamında şu haklara sahipsiniz:
- Hakkınızda tutulan verilere erişme
- Verilerin düzeltilmesini veya silinmesini isteme
- İşlenen verileri makine-okunur formatta dışa aktarma (CSV/JSON)
- Otomatik kararlara (risk skorlama vb.) itiraz etme
Talebinizi kvkk@anlycade.com adresine iletmeniz yeterli; 30 gün içinde yanıt verilir. Panelden doğrudan da kullanabilirsiniz: Ayarlar → Güvenlik → “Verilerimi indir” / “Hesabımı sil”.
10. Çocukların Verileri
Anlycade 18+ kullanım için tasarlanmıştır. 18 altı için bilinçli veri toplamayız.
11. Çerezler
Çerez Politikası ayrı belgedir.
12. İletişim
| Konu | Adres |
|---|---|
| Gizlilik / KVKK | kvkk@anlycade.com |
| Genel | contact@anlycade.com |
13. Değişiklikler
Önemli değişiklikler 30 gün önce duyurulur, eski rıza kayıtları sıfırlanır.