Gizlilik Politikası
Yürürlük tarihi: [DOLDURULACAK] · Son güncelleme: [DOLDURULACAK]
Bu Gizlilik Politikası, [DOLDURULACAK] ("Leadivo", "Şirket", "biz") tarafından sunulan Leadivo hizmeti ("Hizmet") ile internet sitesi ve müşteri paneli ("Platform") kapsamında kişisel verilerin hangi amaçlarla, hangi hukuki sebeplere dayanılarak, nasıl işlendiğini ve kimlere aktarıldığını açıklar. Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili ikincil mevzuat ile, kapsamına girdiği ölçüde Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR") esas alınarak hazırlanmıştır.
KVKK'nın 10. maddesi uyarınca müşterilerimize ve Platform kullanıcılarına yönelik ayrıntılı aydınlatma metni için KVKK Aydınlatma Metni sayfasını; Müşterilerimiz adına e-posta alan kişilere yönelik bilgilendirme için Alıcı Aydınlatma Metni sayfasını inceleyebilirsiniz.
1. Veri sorumlusu ve iletişim
| Bilgi | Değer |
|---|---|
| Unvan | [DOLDURULACAK] |
| Marka | Leadivo |
| MERSİS No | [DOLDURULACAK] |
| Vergi dairesi / No | [DOLDURULACAK] / [DOLDURULACAK] |
| Adres | [DOLDURULACAK] |
| E-posta | [DOLDURULACAK] |
| KEP adresi | [DOLDURULACAK] |
| Telefon | [DOLDURULACAK] |
| Kişisel veri iletişim adresi | [DOLDURULACAK] |
2. Tanımlar
Bu Politikada ve diğer hukuki metinlerimizde aşağıdaki terimler aynı anlamda kullanılır:
- Müşteri: Hizmete abone olan, tacir veya esnaf niteliğindeki gerçek ya da tüzel kişi.
- Kullanıcı: Müşteri adına Platforma erişen yetkili kişi (çalışan, temsilci).
- Ziyaretçi: İnternet sitemizi ziyaret eden kişi.
- Potansiyel Müşteri / Alıcı: Müşterinin hedef pazarındaki şirketlerde karar verici konumda bulunan ve Müşteri adına Hizmet aracılığıyla iş amaçlı e-posta gönderilen kişi.
- Gönderici Alan Adı ve Posta Kutusu: Müşterinin ana alan adını korumak amacıyla, Müşteri adına e-posta gönderimi için ayrıca temin edilen ikincil alan adları ve bu alan adlarındaki e-posta hesapları.
- Engelleme Listesi: Ret veya itiraz bildiren ya da olumsuz cevap veren Alıcıların, ilgili Müşteri tarafından bir daha iletişime geçilmemesi için tutulan Müşteriye özgü liste.
- Alt İşleyen: Şirketin, Hizmeti sunarken kişisel veri işleme faaliyetlerinde yararlandığı üçüncü taraf hizmet sağlayıcı.
- Veri İşleme Sözleşmesi (VİS): Şirket ile Müşteri arasında Alıcı verilerinin işlenmesine ilişkin Veri İşleme Sözleşmesi.
3. Şirketin rolleri
Şirket, işlediği kişisel veriler bakımından iki farklı sıfatla hareket eder:
- Veri sorumlusu olarak: Müşteri hesapları, Kullanıcılar, Ziyaretçiler, abonelik ve fatura süreçleri, destek yazışmaları, güvenlik ve denetim kayıtları bakımından Şirket veri sorumlusudur. Bu Politikanın 4 ila 9. bölümleri bu verilere ilişkindir.
- Veri işleyen olarak: Müşterinin hedefleme talimatları doğrultusunda bulunan Alıcıların verileri, Alıcılara gönderilen e-postalar, gelen cevaplar ve randevu kayıtları bakımından veri sorumlusu ilgili Müşteridir; Şirket bu verileri VİS kapsamında, yalnızca Müşterinin talimatlarıyla ve Müşteri adına işler. Bu verilere ilişkin açıklamalar 10. bölümde ve Alıcı Aydınlatma Metni'nde yer alır.
4. Veri sorumlusu sıfatıyla işlediğimiz kişisel veriler
| Veri kategorisi | Örnek veriler | İlgili kişi |
|---|---|---|
| Kimlik | Ad, soyad | Kullanıcı, Müşteri yetkilisi, gönderici olarak gösterilen kişi |
| İletişim | İş e-posta adresi, bildirim e-posta adresi, telefon | Kullanıcı, Müşteri yetkilisi |
| Müşteri işlem | Şirket adı, sektör, hedefleme segmentleri (sektörler, unvanlar, şirket büyüklükleri, bölgeler, dil, konu/teklif metni), kampanya ayarları, panelde yapılan işlemler | Kullanıcı |
| Gönderici kimliği | Ticaret unvanı, MERSİS/vergi kimlik numarası, adres, gönderici iletişim e-postası, e-postalarda gönderici olarak gösterilecek kişinin adı ve soyadı | Müşteri yetkilisi, gönderici olarak gösterilen kişi |
| Finans | Abonelik kimlikleri (LemonSqueezy müşteri, sipariş ve abonelik numaraları), abonelik durumu, yenileme ve bitiş tarihleri, tutar ve para birimi. Kart verileri Şirket tarafından görülmez ve saklanmaz. | Müşteri yetkilisi |
| İşlem güvenliği | Oturum çerezleri, kimlik doğrulama kayıtları, IP adresi, tarayıcı bilgisi, olay ve denetim kayıtları, kısa süreli hız sınırlama sayaçları | Kullanıcı, Ziyaretçi |
| Entegrasyon | Müşterinin girdiği Slack gelen webhook adresi | Kullanıcı |
| Talep/şikâyet | Destek talepleri, ilgili kişi başvuruları ve yazışmalar | Tüm ilgili kişiler |
Hizmet, özel nitelikli kişisel verilerin (KVKK m. 6; GDPR m. 9) işlenmesi için tasarlanmamıştır. Müşterilerimizden bu tür verileri Platforma girmemelerini talep ederiz.
5. İşleme amaçları ve hukuki sebepler
| Amaç | KVKK hukuki sebebi | GDPR hukuki sebebi |
|---|---|---|
| Abonelik sözleşmesinin kurulması ve ifası; hesap açılması, giriş (sihirli bağlantı/parola), kurulum, Gönderici Alan Adı ve Posta Kutusu temini, kampanyaların yürütülmesi | m. 5/2-c (sözleşmenin kurulması veya ifası) | m. 6/1-b |
| Olumlu cevap ve randevu bildirimlerinin e-posta veya Slack ile iletilmesi | m. 5/2-c | m. 6/1-b |
| Ödeme durumunun takibi, aboneliğin başlatılması/askıya alınması/sonlandırılması | m. 5/2-c | m. 6/1-b |
| Ticari elektronik ileti mevzuatı kapsamında gönderici kimlik bilgilerinin iletilere eklenmesi ve ret kayıtlarının tutulması | m. 5/2-ç (hukuki yükümlülük) ve m. 5/2-c | m. 6/1-c ve m. 6/1-b |
| Bilgi güvenliği, kötüye kullanımın önlenmesi, hız sınırlama, olay ve denetim kayıtları | m. 5/2-f (meşru menfaat), m. 5/2-ç | m. 6/1-f, m. 6/1-c |
| Hukuki uyuşmazlıklarda hakların tesisi, kullanılması ve korunması | m. 5/2-e | m. 6/1-f |
| Mevzuattan doğan saklama, bilgi verme ve yetkili mercilere cevap yükümlülükleri | m. 5/2-ç | m. 6/1-c |
| Hizmetle ilgili zorunlu bildirimler (güvenlik, değişiklik, faturalama) | m. 5/2-c | m. 6/1-b |
| Hizmetin geliştirilmesi amacıyla anonimleştirilmiş veya toplulaştırılmış istatistikler üretilmesi | m. 5/2-f | m. 6/1-f |
| İlgili kişi başvurularının cevaplanması | m. 5/2-ç | m. 6/1-c |
Şirket, Müşteri hesap verilerini pazarlama iletisi göndermek amacıyla kullanmaz; ileride kullanmayı planlaması hâlinde 6563 sayılı Kanun ve KVKK kapsamında gerekli onay ve aydınlatma süreçlerini ayrıca yürütür.
6. Verilerin toplanma yöntemi
Kişisel veriler; Platformdaki formlar ve panel aracılığıyla elektronik ortamda Kullanıcıdan, ödeme sağlayıcısı LemonSqueezy'den imzalı webhook bildirimleri yoluyla, e-posta ve destek kanallarından, internet sitesi ve Platform kullanımı sırasında otomatik yollarla (sunucu kayıtları ve zorunlu çerezler) toplanır. Çerezler hakkında bilgi için Çerez Politikası sayfasına bakınız.
7. Aktarım
Kişisel veriler, KVKK m. 8 ve m. 9 ile GDPR'ın V. Bölümüne uygun olarak aşağıdaki alıcı gruplarına aktarılabilir:
- Alt İşleyenler: Barındırma (Vercel Inc.), veritabanı ve kimlik doğrulama (Supabase Inc.), bildirim e-postası (Resend), e-posta gönderim altyapısı (Instantly.ai) yapay zekâ modelleri (Anthropic PBC ve/veya OpenAI) ve iç yönetici uyarıları (Slack Technologies). Güncel liste, verilerin bulunduğu yerler ve aktarım güvenceleri Alt İşleyenler sayfasındadır.
- Bağımsız veri sorumluları: Ödeme ve faturalama için satıcı sıfatıyla hareket eden (Merchant of Record) LemonSqueezy; Müşterinin seçtiği Slack çalışma alanı; Müşterinin kendi Cal.com hesabı.
- Yetkili kamu kurum ve kuruluşları ile yargı mercileri: Hukuki yükümlülük veya usulüne uygun talep bulunması hâlinde.
- Hukuk, mali ve teknik danışmanlar: Sır saklama yükümlülüğü altında ve gerekli olduğu ölçüde.
Yurt dışına aktarım
Alt İşleyenlerimizin önemli bir kısmı Amerika Birleşik Devletleri'nde yerleşiktir ve veriler [DOLDURULACAK] bölgesinde barındırılsa dahi yurt dışından erişim söz konusu olabilir. KVKK m. 9 ve 10.07.2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, aktarımın yapıldığı ülke için yeterlilik kararı bulunmadığı hâllerde aktarımlar Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmeler imzalanarak gerçekleştirilir ve standart sözleşmeler imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir. Avrupa Ekonomik Alanı'ndaki Müşteriler ve ilgili kişiler bakımından AB Komisyonunun 2021/914 sayılı kararıyla kabul edilen Standart Sözleşme Hükümleri (SCC) ve, mevcut olduğu ölçüde, AB-ABD Veri Gizliliği Çerçevesi (Data Privacy Framework) sertifikasyonu uygulanır.
8. Saklama süreleri
Kişisel veriler, işlendikleri amacın gerektirdiği ve mevzuatta öngörülen süre boyunca saklanır; sürenin sonunda Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir.
| Veri | Saklama süresi |
|---|---|
| Hesap ve Müşteri işlem verileri (segmentler, kampanya ayarları, bildirim ayarları, Slack webhook adresi) | Sözleşme süresince; sözleşmenin sona ermesinden itibaren 30 günlük dışa aktarma süresi ve bunu izleyen en geç 30 gün içinde silinir (toplam en fazla 60 gün) |
| Sözleşme ve abonelik kayıtları (kimlikler, durum, tarih ve tutar bilgileri) | Sözleşmenin sona ermesinden itibaren 10 yıl (TTK m. 82, TBK m. 146) |
| Gönderici kimlik bilgileri | Sözleşmenin sona ermesinden itibaren 3 yıl (Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m. 13 kapsamındaki ispat ihtiyacı) |
| Kimlik doğrulama verileri (e-posta, parola özeti, oturum bilgileri) | Hesap açık olduğu sürece; hesap kapandıktan sonra en geç 60 gün |
| Olay ve denetim kayıtları | 12 ay; bir güvenlik olayı veya uyuşmazlık incelemesine konu olanlar inceleme/uyuşmazlık sonuçlanıncaya kadar |
| Webhook teslim kayıtları | 12 ay |
| API maliyet kayıtları | 24 ay (kişisel veri içermeyecek şekilde tutulur) |
| Hız sınırlama sayaçları (IP adresi veya e-posta anahtarlı) | Veritabanında, sayaç penceresi süresince; her hâlde en geç 48 saat içinde silinir |
| Barındırma sağlayıcısı erişim kayıtları | Sağlayıcının standart kayıt saklama süresi; en fazla 30 gün |
| Destek yazışmaları | Yazışmanın sonuçlanmasından itibaren 3 yıl |
| İlgili kişi başvuruları ve cevapları | Başvurunun sonuçlanmasından itibaren 3 yıl |
| Yedekler | Canlı sistemden silinen veriler, yedeklerin olağan döngüsü içinde en geç 30 gün içinde yedeklerden de silinir |
Müşteri adına işlenen Alıcı verilerine ilişkin saklama süreleri Veri İşleme Sözleşmesi ve Alıcı Aydınlatma Metni'nde düzenlenmiştir.
9. Haklarınız ve başvuru yöntemi
KVKK m. 11 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK m. 7 çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.
GDPR kapsamındaki ilgili kişiler ayrıca erişim (m. 15), düzeltme (m. 16), silme (m. 17), işlemenin kısıtlanması (m. 18), veri taşınabilirliği (m. 20), itiraz (m. 21) ve otomatik karar almaya tabi olmama (m. 22) haklarına ve yerleşik oldukları ülkedeki denetim makamına şikâyette bulunma hakkına sahiptir.
Başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca:
- [DOLDURULACAK] adresine ıslak imzalı dilekçe ile şahsen veya noter aracılığıyla,
- [DOLDURULACAK] adresine kayıtlı elektronik posta (KEP) ile,
- güvenli elektronik imza veya mobil imza ile imzalanmış olarak [DOLDURULACAK] adresine,
- ya da daha önce Şirkete bildirdiğiniz ve sistemimizde kayıtlı bulunan e-posta adresinizden [DOLDURULACAK] adresine
iletebilirsiniz. Başvuruda ad-soyad, imza (yazılı başvurularda), T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta adresi, telefon numarası ve talep konusunun bulunması gerekir. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâllerinde KVKK m. 14 uyarınca Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz.
Kimliğinizi doğrulayamadığımız başvurularda ek bilgi talep edebiliriz.
10. Müşterilerimiz adına işlenen Alıcı verileri
Hizmet kapsamında Müşteri, hedef pazarını (sektör, unvan, şirket büyüklüğü, bölge ve dil) tanımlar; Şirket bu talimat doğrultusunda Apollo.io veri tabanından iş amaçlı iletişim verilerini temin eder, yapay zekâ modelleri yardımıyla kişiselleştirilmiş e-postalar hazırlar ve bu e-postaları Müşterinin adı ve kimlik bilgileriyle Gönderici Posta Kutuları üzerinden gönderir. Bu işlemlerde:
- Veri sorumlusu, e-postanın altbilgisinde kimlik bilgileri yer alan Müşteridir; Şirket veri işleyendir.
- Her e-postada Müşterinin unvanı, MERSİS/vergi kimlik numarası, adresi ve iletişim e-postası, bir ret (abonelikten çıkma) bağlantısı ve Alıcı Aydınlatma Metni bağlantısı yer alır.
- Ret bildiren, itiraz eden veya olumsuz cevap veren Alıcılar, ilgili Müşterinin Engelleme Listesine ve gönderim sağlayıcısının engelleme listesine eklenir ve bu Müşteri adına kendileriyle bir daha iletişime geçilmez. Gönderim sağlayıcısının engelleme listesi Şirketin gönderim altyapısı genelinde geçerlidir; bu nedenle ilgili kişiye bu altyapı üzerinden başka bir Gönderici adına da ileti gönderilmez. Bu listede yalnızca e-posta adresi tutulur.
- Alıcı verileri hiçbir Müşteri ile paylaşılmaz, Müşteriler arasında birleştirilmez ve Şirketin kendi pazarlama faaliyetlerinde kullanılmaz.
Alıcılar haklarını doğrudan ilgili Müşteriye veya [DOLDURULACAK] adresine iletebilir; Şirkete ulaşan talepler gecikmeksizin Müşteriye iletilir, ret ve itiraz talepleri ise Müşteri adına derhâl uygulanır.
11. Yapay zekâ kullanımı
E-posta metinlerinin kişiselleştirilmesi ve gelen cevapların sınıflandırılması (olumlu, nötr, olumsuz) için üçüncü taraf büyük dil modelleri (Anthropic PBC ve/veya OpenAI) API üzerinden kullanılır. Bu sağlayıcıların ticari API koşulları, API aracılığıyla iletilen içeriğin varsayılan olarak modellerin eğitiminde kullanılmayacağını öngörmektedir; içerikler, sağlayıcıların kötüye kullanımı önleme amaçlı sınırlı süreli kayıt politikalarına tabi olabilir. Modellere yalnızca görevin gerektirdiği asgari veri (Alıcının adı, unvanı, şirketi, sektörü; Müşterinin teklif metni; sınıflandırma için cevap metni) iletilir. Cevap sınıflandırması Alıcı hakkında hukuki sonuç doğuran veya onu benzer şekilde önemli ölçüde etkileyen bir karar niteliğinde değildir; yalnızca Müşteriye bildirim gönderilip gönderilmeyeceğini ve ret/olumsuz cevapların Engelleme Listesine eklenmesini belirler.
12. Güvenlik
Şirket, KVKK m. 12 ve GDPR m. 32 uyarınca uygun teknik ve idari tedbirleri alır. Başlıca tedbirler: veritabanında satır düzeyinde erişim kontrolü (RLS) ile her Müşterinin yalnızca kendi verilerine erişebilmesi; yönetici yetkilerinin sınırlı bir izin listesine bağlanması; hizmet anahtarlarının yalnızca sunucu tarafında tutulması; ödeme bildirimlerinin HMAC imzası ile, gönderim bildirimlerinin ve zamanlanmış görevlerin gizli anahtar ile doğrulanması; hız sınırlama; müşteri tarafından girilen webhook adreslerinin iç ağlara yönelik isteklere karşı filtrelenmesi; aktarım sırasında TLS şifrelemesi ve sağlayıcılar tarafından bekleyen veride şifreleme; olay ve denetim kayıtları. Ayrıntılı liste Veri İşleme Sözleşmesi Ek-2'de yer alır.
Bir kişisel veri ihlali hâlinde, KVKK m. 12/5 ve Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca ihlal, öğrenilmesinden itibaren en geç 72 saat içinde Kurula ve makul en kısa süre içinde ilgili kişilere bildirilir.
13. Çocukların verileri
Hizmet yalnızca işletmelere yöneliktir; 18 yaşından küçüklerin verileri bilerek işlenmez.
14. Değişiklikler
Bu Politika güncellenebilir. Önemli değişiklikler, yürürlüğe girmeden makul süre önce Müşterilere e-posta veya Platform üzerinden duyurulur. Güncel sürüm her zaman bu sayfada yayımlanır.
15. Dil
Bu Politikanın Türkçe metni esastır. İngilizce metin (Privacy Policy) bilgilendirme amaçlıdır; çelişki hâlinde Türkçe metin geçerlidir.