KVKK Aydınlatma Metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesi uyarınca, Yapı Masası web sitesi ve uygulamasındaki kişisel veri işleme faaliyetleri hakkında sizi bilgilendirir.

1. Veri sorumlusunun kimliği

Ticari unvan: Ornitoreng Yazılım Bilgi Teknolojileri Sanayi ve Ticaret Limited Şirketi
Adres: Ataköy 7-8-9-10. Kısım Mah. Çobançeşme E-5 Yan Yol Cad. A No: 22/1, İç Kapı No: 30, Bakırköy / İstanbul
MERSİS no: 0647081983500001
Ticaret sicil no: 1159057 — İstanbul Ticaret Sicili Müdürlüğü
Vergi dairesi / VKN: Bakırköy Vergi Dairesi / 6470819835
E-posta / KEP: [email protected] / [email protected]

Şirket; hesap yönetimi, satış, destek, ödeme ve kendi hukuki yükümlülükleri bakımından veri sorumlusudur. Müşteri firmanın Yapı Masası’na girdiği çalışan, müşteri ve proje verilerinde ise veri sorumlusu kural olarak müşteri firma; Ornitoreng sözleşmeyle verilen talimatlar kapsamında veri işleyendir.

2. İşlenen kişisel veriler

Kimlik ve iletişim: ad soyad, iş e-postası, telefon, firma ve görev/rol bilgisi.
Hesap ve müşteri işlemleri: üyelik, davet, abonelik, fatura, destek talebi ve işlem geçmişi.
Uygulama içeriği: müşteri/üye, çalışan, taşeron, proje, muhasebe ve çek/senet kayıtlarında kullanıcı tarafından girilen kişisel veriler ile yüklenen belgeler.
İşlem güvenliği: kullanıcı ve şirket kimliği, IP, cihaz/tarayıcı bilgisi, girişler, denetim izi ve hata kayıtları.
Stajyer (yapay zekâ asistanı): asistana yazılan metin, gönderilen fiş/fatura fotoğrafı, sorunun cevaplanması için gereken ölçüde ilgili kayıt verisi (ör. proje, üye, cari veya işçi adı, tutar, tarih), hazırlanan taslaklar, onay/ret kararları ve kullanım sayıları.

Serbest metin ve dosya alanlarına amaçla ilgisiz özel nitelikli kişisel veri veya yetkisiz üçüncü kişi verisi girilmemelidir.

3. İşleme amaçları ve hukuki sebepler

Veriler; üyelik ve sözleşmenin kurulması/ifası, hizmetin çalıştırılması, kullanıcı yetkilerinin uygulanması, ödeme ve faturalama, destek, güvenlik, suistimal önleme, yedekleme, hata giderme ve hukuki yükümlülükler için işlenir.

Hukuki sebepler; KVKK m.5/2-a (kanunda açıkça öngörülme), m.5/2-c (sözleşmenin kurulması veya ifası), m.5/2-ç (hukuki yükümlülük), m.5/2-e (bir hakkın tesisi, kullanılması veya korunması) ve m.5/2-f (meşru menfaat) hükümleridir. Açık rıza gereken ayrı bir faaliyet olursa rıza ayrıca alınır.

4. Toplama yöntemi

Veriler; kayıt ve giriş ekranları, kullanıcıların uygulamaya eklediği kayıt/dosyalar, destek iletişimi, ödeme işlemleri ve Stajyer asistanına yazılan metin ile gönderilen fotoğraflar üzerinden elektronik ortamda; teknik kayıtlar ise hizmet kullanılırken otomatik olarak toplanır.

5. Aktarım yapılan taraflar

Uygulamaya girdiğiniz veriler (projeler, işçiler, muhasebe kayıtları, belgeler) satılmaz ve pazarlama amacıyla paylaşılmaz. Hizmetin sağlanabilmesi için gerekli ölçüde Supabase (kimlik, veritabanı ve dosya depolama), Anthropic (Stajyer asistanının serbest soruları ve fotoğrafları; aşağıda 6. madde), PayTR ve banka/kart kuruluşları (ödeme), yedekleme/barındırma sağlayıcıları, yetkili kamu kurumları ve gerektiğinde hukuk/mali danışmanlara aktarım yapılabilir.

Bundan ayrı olarak, yapimasasi.com tanıtım sitesinde — uygulamanın içinde değil — açık rızanız alınmışsa ziyaret ve reklam ölçümü yapılır ve bu kapsamdaki veriler Google ile Meta’ya aktarılır. Ayrıntılar ve rızanızı geri alma yolu Çerez Politikası’ndadır.

6. Yurt dışına aktarım

Supabase ve bazı altyapı sağlayıcıları yurt dışında yerleşik olabilir veya veriyi yurt dışındaki sistemlerde işleyebilir. Aktarım; KVKK’nın 9. maddesi ve ilgili yönetmelik kapsamında yeterlilik kararı, uygun güvence (örneğin standart sözleşme) veya kanundaki istisnalardan uygulanabilir olana dayanılarak gerçekleştirilir.

Stajyer (yapay zekâ asistanı): Kullanıcı Stajyer’e serbest bir soru yazdığında veya fiş/fatura fotoğrafı gönderdiğinde; yazılan metin, fotoğraf ve sorunun cevaplanması için gereken kayıt verileri (ör. proje, üye, cari veya işçi adı, tutar, tarih), cevabın üretilmesi amacıyla Amerika Birleşik Devletleri’nde yerleşik Anthropic, PBC’nin yapay zekâ hizmetine gönderilir. Hazır sorular, Ana Sayfa’daki Stajyer kartı ve günlük kontroller veriyi yurt dışına göndermez. Asistan yalnız kullanıcının rolünün erişebildiği kayıtları okuyabilir; hazırladığı taslak kullanıcı onaylamadan kayda dönüşmez. Bu özellik firma bazında açılır. Müşteri firmanın kayıtlarındaki kişisel veriler bakımından veri sorumlusu müşteri firma, Ornitoreng veri işleyen, Anthropic ise alt veri işleyendir.

7. Saklama ve imha

Hesap ve uygulama verileri sözleşme/üyelik sürdüğü müddetçe ve sona erdikten sonra hukuki talep süreleri boyunca; mali kayıtlar ilgili mevzuattaki sürelerle; güvenlik kayıtları ise amaç için gerekli makul süreyle saklanır. Süre sonunda veriler silinir, yok edilir veya anonim hâle getirilir. Müşteri firmanın uygulama verilerine ilişkin saklama talimatları ve yasal yükümlülükleri saklıdır.

Abonelik sona erdiğinde firma hesabı önce salt-okunur moda geçer; bu aşamada veriler görüntülenebilir, Excel yedeği, PDF raporu ve yüklenen belgeler indirilebilir. Salt-okunur moda geçildikten sonra 60 gün içinde abonelik yenilenmezse, firmaya ait tüm uygulama verileri (projeler, işçiler, muhasebe kayıtları, çek/senetler ve yüklenen belgeler) kalıcı olarak silinir. Bu 60 gün boyunca uygulama içinden ve e-posta ile düzenli hatırlatma gönderilir. Firma yöneticisi hesabı kendisi kapatırsa, 7 günlük cayma süresinin ardından veriler kalıcı olarak silinir. Silinen veriler geri getirilemez.

8. Veri güvenliği

Şirket ve rol bazlı yetkilendirme, şifreli iletişim, erişim kontrolleri, denetim kayıtları, güvenli dosya bağlantıları ve yedekleme gibi idari ve teknik tedbirler uygulanır. Kullanıcılar kendi parolalarını ve davet kodlarını korumakla yükümlüdür.

9. KVKK m.11 kapsamındaki haklarınız

Kişisel verinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi isteme; amacı ve amaca uygun kullanımı öğrenme; aktarılan kişileri bilme; düzeltme, silme veya yok etme isteme; bu işlemlerin alıcılara bildirilmesini isteme; otomatik analiz sonucuna itiraz etme ve hukuka aykırılık nedeniyle zararınızın giderilmesini talep etme haklarına sahipsiniz.

10. Başvuru usulü

Başvurunuzu şirket adresine yazılı/noter aracılığıyla, güvenli elektronik imza veya mobil imzayla ya da daha önce sistemimizde doğrulanmış e-posta adresinizden [email protected] adresine iletebilirsiniz. Kimliğinizi ve talebinizi doğrulamaya yetecek bilgileri eklemelisiniz.

Başvurular en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Ek maliyet doğması hâlinde Kişisel Verileri Koruma Kurulu’nun belirlediği ücret uygulanabilir.