Gizlilik Politikası ve Aydınlatma Metni

1. Amaç, kapsam ve taraflar

Bu Gizlilik Politikası ve Aydınlatma Metni ("Politika"), MCA Technologies [●tam ticari unvan] ("Şirket", "biz") tarafından işletilen ve juggerai.org, jhukuk.org, client.juggerai.org, health.juggerai.org alan adları ile bunlara bağlı mobil/web uygulamaları üzerinden sunulan Jugger AI ürün ailesinin (Jugger — işletme asistanı, Jugger Hukuk, Jugger Klinik, Jugger Health ve sporcu/danışan portalları; birlikte "Hizmet") kullanımı sırasında kişisel verilerinizin hangi amaçlarla, hangi hukuki sebeplere dayanarak, kimlerle paylaşılarak ve ne kadar süreyle işlendiğini; ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR", 2016/679) m.13–14 uyarınca sahip olduğunuz hakları açıklar.

Politika; Hizmet'e kaydolan veya misafir olarak kullanan gerçek kişileri ("Kullanıcı"), Kullanıcı'nın Hizmet'e aktardığı verilerde yer alan üçüncü kişileri (müşteri, tedarikçi, müvekkil, danışan, sporcu, personel ve ilgili kişiler) ve web sitelerimizi ziyaret edenleri kapsar. Kurumsal müşterilerimizin çalışanları adına yapılan kayıtlarda, ilgili işveren tarafından yapılan bilgilendirmeye ek olarak bu Politika da uygulanır.

Şirket Hollanda'da yerleşik olduğundan GDPR doğrudan; Türkiye'de yerleşik kişilere hizmet sunulduğundan KVKK ayrıca uygulanır. İki mevzuatın çeliştiği durumlarda ilgili kişi lehine olan hüküm esas alınır.

2. Veri sorumlusu / veri işleyen rolleri

Hizmet'in doğası gereği iki farklı rolde hareket ederiz:

Veri sorumlusunun kimliği: MCA Technologies [●tam ticari unvan] · Sicil: [●] (KvK / ticaret sicil no) · Vergi: [●] (BTW / vergi no) · Adres: [●] (kayıtlı adres), Hollanda · E-posta: [email protected] / [email protected]. Kişisel veri işleme süreçleriyle ilgili başvurular için Bölüm 14'teki yolları kullanabilirsiniz.

3. İşlediğimiz kişisel veriler

4. İşleme amaçları ve hukuki sebepler

Meşru menfaate dayandığımız her işleme için menfaat dengesi testi yapılmış olup, talebiniz hâlinde testin özeti tarafınıza sunulur.

5. Özel nitelikli (sağlık) veriler

Jugger Klinik ve Jugger Health üzerinden işlenen danışan/hasta ve sporcu verileri sağlık verisi niteliğinde olabilir (tanı, ölçek puanı, ilaç, seans notu, sakatlık, ölçüm, beslenme). Bu veriler bakımından veri sorumlusu, verileri giren sağlık meslek mensubu / antrenör veya kurumdur; Şirket veri işleyendir. Kullanıcı, KVKK m.6 ve GDPR m.9 kapsamındaki şartların (ilgili kişinin açık rızası, sır saklama yükümlülüğü altındaki kişi tarafından tıbbi teşhis/tedavi amacıyla işleme vb.) sağlandığını taahhüt eder; Şirket bu verileri yalnızca Hizmet'in sunulması için, Kullanıcı'nın talimatıyla ve Bölüm 10'daki ek güvenlik tedbirleriyle işler.

Bireysel sağlık takibi modunda Kullanıcı kendi sağlık verisini işletir; bu işleme açık rızanıza dayanır ve rızanızı dilediğiniz an geri alabilirsiniz (verileriniz silinir). Sağlık verileri, Kullanıcı açıkça istemedikçe yapay zekâ modellerine kimlikle eşleştirilebilir biçimde gönderilmez (Bölüm 6).

6. Yapay zekâ işlemesi ve gizlilik kasası

Hizmet, sohbet mesajlarınızı ve ilgili bağlamı (kayıt özetleri, dosya içerikleri) yanıt üretmek için büyük dil modeli sağlayıcılarına (Bölüm 7) iletir. Bu iletim için uyguladığımız güvenceler:

• Gizlilik kasası (takma adlandırma): Modele gönderilmeden önce kişi ve kurum adları, telefon, e-posta, TCKN, IBAN gibi tanımlayıcılar numaralı belirteçlerle değiştirilir; model yanıtı geldikten sonra belirteçler yalnızca sizin sunucunuzdaki oturumda geri çevrilir. Belirteç–değer eşlemesi model sağlayıcısına gitmez.
• Eğitimde kullanmama: Kullandığımız sağlayıcı sözleşmeleri (API/kurumsal koşullar) müşteri verisinin model eğitiminde kullanılmamasını ve sınırlı süreli (kötüye kullanım denetimi için tipik olarak ≤30 gün) saklanmasını öngörür.
• Veri minimizasyonu: Modele yalnızca o tur için gerekli bağlam gönderilir; tam veritabanı hiçbir zaman paylaşılmaz.
• Doğrulama ve iz: Modelin tetiklediği her yazma işlemi veritabanından geri okunarak doğrulanır ve tur izi (hangi araç, hangi sonuç) kaydedilir; kritik işlemler (dış e-posta, ödeme, silme) politika motoruyla kullanıcı onayına bağlanır.
• Kontrol sizde: Gizlilik kasası tüm modüllerde varsayılan olarak açıktır. Sohbet geçmişinizi ve yüklediğiniz dosyaları uygulama içinden silebilirsiniz.

7. Alıcı gruplar ve alt işleyiciler

Kişisel verilerinizi satmayız, kiralamayız. Aşağıdaki alıcı gruplarıyla, yalnızca belirtilen amaçla ve gerekli olduğu ölçüde paylaşırız:

Alt işleyen listesindeki değişiklikler bu sayfada yayımlanır; veri işleyen sıfatıyla hizmet verdiğimiz müşterilerimize ayrıca Veri İşleme Sözleşmesi uyarınca bildirim yapılır.

8. Yurt dışına aktarım

Sunucularımız AB'de bulunduğundan Türkiye'deki Kullanıcılar bakımından veriler yurt dışına aktarılmaktadır; ayrıca yapay zekâ ve bazı altyapı sağlayıcıları ABD'de yerleşiktir. Aktarımlar için:

• KVKK m.9: Kurul'un yeterlilik kararı bulunmayan ülkelere aktarım, Kurul tarafından ilan edilen standart sözleşmenin imzalanması ve beş iş günü içinde Kurul'a bildirilmesi yoluyla (uygun güvence) ve/veya ilgili kişinin bilgilendirilmiş açık rızası ile yapılır. Kayıt sırasında sunulan Açık Rıza Beyanı bu aktarımı kapsar; rızanızı geri aldığınızda Hizmet'in AB dışına aktarım gerektiren kısımları sunulamayabilir.
• GDPR m.44–46: AB dışına aktarımlar Avrupa Komisyonu'nun yeterlilik kararları (Birleşik Krallık; EU-US Data Privacy Framework kapsamındaki ABD şirketleri) veya Standart Sözleşme Maddeleri (SCC) ve gerektiğinde ek tedbirlerle (takma adlandırma, şifreleme) yapılır.

9. Saklama süreleri ve imha

Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik). Uyuşmazlık veya yasal talep hâlinde ilgili veriler, sürecin sonuna kadar kısıtlı erişimle saklanabilir.

10. Güvenlik tedbirleri ve ihlal bildirimi

• Aktarımda TLS 1.2+; disk ve yedeklerde şifreleme; entegrasyon kimlik bilgileri uygulama düzeyinde ayrıca şifrelenir.
• Rol tabanlı erişim; yönetici işlemlerinde denetim kaydı (kim, ne zaman, ne yaptı); canlı müşteri verisine erişim yalnızca destek talebi ve kayıt altında.
• Kullanıcı verileri kiracı bazında ayrıştırılır; her istek oturum belirteci ile yetkilendirilir; oturum süreleri sınırlıdır.
• Günlük yedekleme, felaket kurtarma için coğrafi olarak ayrık AB veri merkezleri.
• Güvenlik güncellemeleri, bağımlılık taraması, otomatik testler ve canlı ortam duman testleri; hız sınırlama ve kötüye kullanım tespiti.
• Yapay zekâ katmanında gizlilik kasası, politika motoru (onay eşikleri), tur izi ve geri okuma doğrulaması.
• Çalışan ve yüklenici gizlilik taahhütleri; en az yetki ilkesi.

İhlal bildirimi: Kişisel veri ihlali öğrenildiğinde KVKK m.12/5 ve Kurul kararı uyarınca en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na, GDPR m.33 uyarınca yetkili denetim otoritesine bildirilir; etkilenen kişiler ve veri sorumlusu müşterilerimiz makul sürede ve gerekli bilgilerle haberdar edilir.

11. Çerezler ve ölçüm

Zorunlu çerezler ve yerel depolama (oturum, dil, arayüz tercihleri) rıza gerektirmeden kullanılır. Google Analytics 4 yalnızca çerez bandından onay verdiğinizde çalışır (Consent Mode v2); onay verilmediğinde analitik ve reklam çerezleri yüklenmez. Ayrıntılar için Çerez Politikası.

12. Otomatik karar verme ve profilleme

Hizmet, verilerinizden hatırlatma, öneri ve rutin önerileri üretir (ör. "vadesi geçen alacak için hatırlatma hazırla"). Bu öneriler kullanıcı onayı olmadan hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen otomatik karar niteliğinde değildir; her öneri kullanıcı tarafından uygulanır ya da reddedilir. Reklam amaçlı profilleme yapmayız.

13. Çocuklar

Hizmet 18 yaşından küçüklere yönelik değildir. Sporcu portalı gibi bir Kullanıcı'nın kendi danışanlarına açtığı erişimlerde, 18 yaş altı kişilerin verisinin işlenmesi için gerekli veli/vasi rızasını almak Kullanıcı'nın (veri sorumlusunun) yükümlülüğüdür. Bir çocuğun verisinin izinsiz işlendiğini düşünüyorsanız bize yazın; kaydı sileriz.

14. Haklarınız ve başvuru

KVKK m.11 ve GDPR m.15–22 uyarınca: kişisel verinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme; eksik/yanlış işlenmişse düzeltilmesini isteme; silinmesini veya yok edilmesini isteme; düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde tazminat talep etme; verilerinizi yapılandırılmış biçimde alma (taşınabilirlik); işlemeyi kısıtlama ve rızanızı geri alma haklarına sahipsiniz.

Başvurunuzu Veri Sahibi Başvuru Formu ile [email protected] adresine (kayıtlı e-postanızdan) veya Bölüm 17'deki posta adresine iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarifesindeki ücret alınabilir. Sonuçtan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) veya Hollanda Veri Koruma Otoritesi'ne (Autoriteit Persoonsgegevens) şikâyette bulunabilirsiniz.

Uygulama içinden de: Profil → Hesap → Verilerimi indir ve Hesabımı kapat seçenekleriyle taşınabilirlik ve silme haklarınızı doğrudan kullanabilirsiniz.

15. Misafir (anonim) oturum

"Hemen başla" ile kayıt olmadan açılan misafir oturumlarında e-posta adresi istenmez; rastgele bir hesap kimliği ve oturum belirteci oluşturulur, girdiğiniz veriler bu kimliğe bağlı saklanır. Misafir hesaplar 30 gün işlem görmezse verileriyle birlikte silinir. Hesabınızı Google veya e-posta ile bağladığınızda misafir dönemi verileri hesabınıza taşınır ve bu Politika tam olarak uygulanır.

16. Değişiklikler

Politika'yı mevzuat, Hizmet ve alt işleyen değişikliklerine göre güncelleyebiliriz. Esaslı değişiklikler yürürlükten en az 15 gün önce uygulama içi bildirim ve/veya e-posta ile duyurulur; sürüm numarası ve yürürlük tarihi sayfanın altında yer alır. Değişiklikten sonra Hizmet'i kullanmaya devam etmeniz güncel Politika'yı okuduğunuz anlamına gelir; rızaya dayalı işlemeler için gerektiğinde yeniden onay istenir.

17. İletişim