Gizlilik Politikası

Bu Politika aşağıdaki kişilerden elde edilen veya aşağıdaki kişilerle ilişkili kişisel verileri kapsayabilir:

• Bindter internet sitesi ziyaretçileri,
• Bindter hesap sahipleri,
• kayıtlı kullanıcılar,
• müşteriler,
• müşteri çalışanları veya yetkili kullanıcılar,
• destek talebinde bulunan kişiler,
• iletişim formu kullanan kişiler,
• demo veya deneme talep eden kişiler,
• Bindter'nin pazarlama iletişimlerine konu olan kişiler,
• Bindter üzerinde veya aracılığıyla etkileşimde bulunan son kullanıcılar,
• müşterilerin Bindter'ye bağladığı sistemlerde yer alan kişiler.

Bindter'nin müşterisi tarafından Hizmete aktarılan veya müşteri adına işlenen kişisel veriler bakımından bu Politika, verinin niteliğine ve tarafların rolüne göre uygulanır.

Bindter'nin kendi amaçları doğrultusunda kişisel veri işlediği durumlarda veri sorumlusu, aksi ayrıca belirtilmedikçe:

**[ŞİRKET UNVANI]**

**Adres:** [ŞİRKET ADRESİ] **E-posta:** [PRIVACY E-POSTA] **Web:** [WEB SİTESİ]

olarak hareket eder.

Bindter'nin müşterisi adına ve müşterisinin talimatları doğrultusunda veri işlediği durumlarda, müşteri ilgili veri işleme bakımından veri sorumlusu olabilir ve Bindter veri işleyen olarak hareket edebilir.

Bu değerlendirme yalnızca tarafların sözleşmede kendilerine verdiği isimlere göre değil, somut veri işleme faaliyetinin gerçek amacı ve araçlarına göre yapılır.

Bindter'nin kendi hesap, faturalandırma, güvenlik, destek, hizmet yönetimi ve benzeri faaliyetleri bakımından Bindter veri sorumlusu olarak hareket edebilir.

Buna karşılık bir Bindter müşterisinin:

• kendi müşterilerinden,
• internet sitesinden,
• e-ticaret mağazasından,
• ürün kataloğundan,
• destek sisteminden,
• CRM sisteminden,
• sohbet kanalından,
• başka bir üçüncü taraf sistemden

Bindter'ye aktardığı kişisel verilerin müşteri adına işlenmesi halinde, Bindter ilgili işlem bakımından veri işleyen olabilir.

Bu durumda müşteri, kişisel verilerin işlenme amaçlarını ve temel hukuki dayanağını belirlemekten ve kendi son kullanıcılarına karşı gerekli aydınlatmaları sağlamaktan sorumludur.

GDPR kapsamında controller ve processor rolleri, verinin işleme amacını ve araçlarını kimin belirlediği gibi kriterler dikkate alınarak değerlendirilir.

Bindter, kullanılan özelliklere göre aşağıdaki kişisel veri kategorilerinden bazılarını işleyebilir:

• ad ve soyad,
• kullanıcı adı,
• hesap kimliği,
• şirket/kuruluş bilgileri,
• hesap rolü,
• kullanıcı yetkileri.

• e-posta adresi,
• telefon numarası,
• iletişim tercihleri,
• destek iletişim bilgileri.

• abonelik bilgileri,
• satın alınan plan,
• ödeme durumu,
• fatura bilgileri,
• ticari müşteri bilgileri,
• işlem ve ödeme kayıtları.

Bindter, ödeme kartlarının tam finansal bilgilerinin kendi sistemlerinde tutulmasını gerektirmeyen üçüncü taraf ödeme hizmetlerinden yararlanabilir.

• IP adresi,
• cihaz türü,
• tarayıcı türü,
• işletim sistemi,
• dil ve bölge bilgileri,
• oturum bilgileri,
• erişim tarih ve saatleri,
• hata kayıtları,
• API kullanım bilgileri,
• güvenlik kayıtları,
• benzeri teknik loglar.

• kullanılan özellikler,
• kullanım miktarları,
• Kredi tüketimi,
• API çağrıları,
• oluşturulan veya silinen kaynaklar,
• hesap etkinlikleri,
• hizmet kullanım istatistikleri.

• destek talepleri,
• e-postalar,
• geri bildirimler,
• hata bildirimleri,
• müşteri hizmetleri görüşmeleri,
• bunlara ilişkin teknik kayıtlar.

Müşterinin Hizmete aktardığı veriler, bunlarla sınırlı olmamak üzere:

• metin,
• doküman,
• ürün bilgileri,
• katalog bilgileri,
• web sitesi içeriği,
• URL,
• açıklamalar,
• sohbet içerikleri,
• kullanıcı soruları,
• AI cevapları,
• entegrasyon verileri,
• müşteri tarafından sağlanan diğer içerikler

olabilir.

Müşteri İçeriğinin kişisel veri içerip içermediği ve bu verilerin hangi amaçlarla işleneceği, ilgili veri ve kullanım senaryosuna bağlıdır.

Kişisel veriler doğrudan sizden veya teknik ve ticari olarak gerekli olduğu ölçüde üçüncü taraflardan elde edilebilir.

Örneğin veriler:

• hesap oluşturmanız,
• Hizmeti kullanmanız,
• form doldurmanız,
• destek talebi göndermeniz,
• satın alma gerçekleştirmeniz,
• bizimle iletişime geçmeniz,
• web sitemizi kullanmanız,
• entegrasyon bağlamanız,
• API kullanmanız,
• müşteri tarafından bize veri aktarılması,
• müşterinin bağlı olduğu üçüncü taraf sistemlerden veri alınması

yoluyla elde edilebilir.

Verilerin doğrudan ilgili kişiden elde edilmediği durumlarda, uygulanabilir mevzuata göre gerekli bilgilendirmeler ve istisnalar dikkate alınır.

Web sitemizi ziyaret ettiğinizde, sistemlerin güvenli şekilde çalıştırılması ve kullanıcı deneyiminin sağlanması amacıyla bazı teknik bilgiler otomatik olarak işlenebilir.

Bunlara örnek olarak:

• IP adresi,
• cihaz bilgileri,
• tarayıcı bilgileri,
• erişim zamanı,
• işletim sistemi,
• sayfa veya kaynak bilgileri,
• hata ve güvenlik kayıtları

verilebilir.

Bu verilerin tamamı her kullanıcı için aynı kapsamda toplanmayabilir.

Bindter, çerezler, local storage, session teknolojileri, piksel veya benzeri teknolojileri kullanabilir.

Bu teknolojiler:

• oturum yönetimi,
• güvenlik,
• kimlik doğrulama,
• kullanıcı tercihleri,
• performans,
• analiz,
• pazarlama

gibi amaçlarla kullanılabilir.

Teknik olarak zorunlu olmayan ve uygulanabilir mevzuat bakımından izin gerektiren teknolojiler için uygun onay mekanizmaları kullanılabilir.

Çerezlerin ayrıntılı kullanımı ayrıca bir **Cookie Policy / Çerez Politikası** ile açıklanabilir.

Bindter, kişisel verileri kullanılan hizmete bağlı olarak aşağıdaki amaçlarla işleyebilir:

• hesabın oluşturulması ve yönetilmesi,
• Hizmetin sunulması,
• kullanıcı kimlik doğrulaması,
• yetkilendirme ve erişim kontrolü,
• aboneliklerin yönetilmesi,
• ödeme ve faturalandırmanın yürütülmesi,
• müşteri desteğinin sağlanması,
• teknik sorunların çözülmesi,
• güvenlik ve kötüye kullanımın önlenmesi,
• sistem performansının izlenmesi,
• hizmetin geliştirilmesi,
• hata tespiti,
• API ve entegrasyonların çalıştırılması,
• iletişim taleplerinin cevaplanması,
• yasal yükümlülüklerin yerine getirilmesi,
• uyuşmazlıkların çözülmesi,
• hukuki hakların kullanılması veya korunması,
• hizmetin kötüye kullanımının önlenmesi,
• dolandırıcılık ve güvenlik olaylarının tespit edilmesi,
• ticari iletişimlerin yürütülmesi,
• raporlama ve operasyonel analiz,
• müşteri tarafından talep edilen AI özelliklerinin sağlanması.

Kişisel veriler, toplandıkları amaçlarla bağdaşmayan yeni bir amaç için, uygulanabilir hukuk tarafından gerekli görülen hukuki değerlendirmeler yapılmadan kullanılmaz.

GDPR kapsamına giren işlemlerde kişisel verilerin işlenmesi, somut faaliyete göre aşağıdaki hukuki dayanaklardan birine veya birkaçına dayanabilir:

• sözleşmenin kurulması veya ifası,
• yasal yükümlülüğün yerine getirilmesi,
• Bindter'nin veya üçüncü kişinin meşru menfaatleri,
• ilgili kişinin açık rızası,
• hayati menfaatlerin korunması,
• kamu yararına dayalı hukuki dayanaklar,
• GDPR veya uygulanabilir başka bir mevzuatta öngörülen diğer hukuki dayanaklar.

Hangi hukuki dayanağın uygulanacağı, işlemenin gerçek amacı ve niteliğine göre belirlenir.

Meşru menfaat hukuki dayanağı kullanıldığında, uygulanabilir hukuk kapsamında ilgili kişinin hakları ve menfaatleri dikkate alınır. GDPR kapsamında hukuki dayanakların işlem bazında değerlendirilmesi gerekir.

KVKK bakımından kişisel verilerin işlenmesi, KVKK'da öngörülen işleme şartlarından ilgili olana dayanır.

Bazı veri işleme faaliyetleri bakımından açık rıza gerekebilir.

Açık rıza gerektiren durumlarda rıza, ilgili kişiye gerekli bilgiler sağlandıktan sonra alınır.

Açık rıza vermek zorunlu olmayan bir işlem için rıza verilmemesi, kural olarak yalnızca ilgili rızaya dayalı işlemin gerçekleştirilememesine neden olur.

Rıza geri çekilebilir.

Ancak rızanın geri çekilmesi, rıza geçerli olduğu dönemde gerçekleştirilen işlemlerin hukuka uygunluğunu geriye dönük olarak ortadan kaldırmaz.

GDPR bakımından rızanın özgürce, belirli, bilgilendirilmiş ve açık şekilde verilmesi ve geri çekilmesinin kolay olması gerekir.

Bindter, uygulanabilir hukuk kapsamında meşru menfaatini hukuka uygun şekilde gerçekleştirmek için gerekli olduğu durumlarda kişisel verileri işleyebilir.

Buna örnek olarak:

• platform güvenliği,
• dolandırıcılık tespiti,
• kötüye kullanımın önlenmesi,
• sistem güvenliği,
• hizmetin iyileştirilmesi,
• temel operasyonların yürütülmesi,
• ticari iletişimlerin belirli türleri,
• hukuki hakların korunması

gibi faaliyetler dahil olabilir.

Bu durumda ilgili kişinin temel hak ve özgürlükleri dikkate alınır.

Hizmetin sunulması için gerekli kişisel veriler, uygulanabilir hukuk çerçevesinde sözleşmenin kurulması veya ifası amacıyla işlenebilir.

Örneğin:

• hesap oluşturma,
• kullanıcı doğrulama,
• abonelik yönetimi,
• müşteri desteği,
• faturalandırma,
• teknik hizmet sunumu

gibi işlemler buna dahil olabilir.

Bindter, kanuni veya düzenleyici yükümlülüklerini yerine getirmek için kişisel verileri işleyebilir.

Örneğin:

• muhasebe,
• vergi,
• faturalandırma,
• resmi makam talepleri,
• mahkeme kararları,
• güvenlik yükümlülükleri,
• uyuşmazlıkların kayıt altına alınması

gibi durumlarda kişisel veriler ilgili süre ve kapsamla sınırlı olmak üzere işlenebilir.

Bindter'nin temel özelliklerinden biri yapay zekâ teknolojilerinin kullanılmasıdır.

Bu kapsamda kişisel veriler, kullanılan özelliğe bağlı olarak:

• AI yanıtlarının oluşturulması,
• bilgi arama,
• RAG sorguları,
• metin işleme,
• sınıflandırma,
• özetleme,
• ürün veya içerik eşleştirme,
• müşteri destek işlemleri,
• teknik analiz

gibi amaçlarla işlenebilir.

AI tarafından işlenen veri miktarı ve işleme şekli kullanılan özelliğe göre değişebilir.

Bindter, AI özelliklerini sağlamak için üçüncü taraf yapay zekâ ve teknoloji sağlayıcılarından yararlanabilir.

Bu sağlayıcılar:

• büyük dil modeli sağlayıcıları,
• embedding sağlayıcıları,
• bulut altyapıları,
• veri işleme hizmetleri,
• güvenlik servisleri,
• API sağlayıcıları

veya benzeri teknoloji sağlayıcıları olabilir.

Kullanılan sağlayıcılar zaman içinde teknik, ticari, güvenlik veya operasyonel nedenlerle değişebilir.

Bindter, Hizmetin sağlanması için gerekli olmayan şekilde kişisel verileri üçüncü taraflara satmayı veya kiralamayı amaçlamaz.

Bununla birlikte teknik işleme için gerekli üçüncü taraf hizmet sağlayıcıları kullanılabilir.

Müşteri veya kullanıcı verilerinin yapay zekâ modellerinin eğitiminde kullanılması, kullanılan AI sağlayıcısının teknik ve sözleşmesel yapılandırmasına ve ilgili hizmetin niteliğine bağlı olabilir.

Bindter, her üçüncü taraf sağlayıcı bakımından aynı veri işleme politikasını veya aynı teknik mimariyi garanti etmez.

Bindter'nin bir özelliği için kullanılan veri işleme koşulları, ilgili hizmetin teknik dokümantasyonunda, DPA'sında veya ilgili ürün koşullarında ayrıca açıklanabilir.

Bindter, hukuken ve teknik olarak mümkün olduğu ölçüde müşteri verilerinin Hizmetin amaçları dışında kullanılmasını sınırlamaya yönelik sözleşmesel ve teknik kontroller uygulamayı amaçlar.

Bir Bindter müşterisi, kendi müşterilerine ait kişisel verileri Bindter'ye aktardığında veya Bindter üzerinden işlediğinde, müşterinin kendi veri koruma yükümlülükleri devam eder.

Müşteri:

• hangi kişisel verileri topladığını,
• neden topladığını,
• hangi hukuki temele dayandığını,
• ne kadar süre sakladığını,
• kimlerle paylaştığını,
• gerekli aydınlatmaları ve izinleri

yürürlükteki mevzuata uygun şekilde belirlemekle sorumludur.

Bindter'nin teknik olarak bir özelliği desteklemesi, müşterinin bu özellik bakımından tüm hukuki şartları otomatik olarak yerine getirdiği anlamına gelmez.

Müşterinin kendi son kullanıcıları bakımından veri sorumlusu olduğu durumlarda, Bindter'nin müşterinin yerine getirmesi gereken hukuki yükümlülükleri otomatik olarak üstlendiği kabul edilmez.

Özellikle müşteri;

• kendi gizlilik politikasını,
• aydınlatma metinlerini,
• gerekli izin mekanizmalarını,
• veri işleme amaçlarını,
• saklama politikalarını,
• son kullanıcı taleplerine ilişkin prosedürleri

kendi faaliyetlerine göre oluşturmakla yükümlüdür.

Bindter, processor olarak hareket ettiği veri işleme faaliyetlerinde kişisel verileri müşterinin hukuka uygun talimatları doğrultusunda işlemek üzere tasarlanabilir.

Müşterinin verdiği talimatların hukuka aykırı olması veya açıkça hukuki risk oluşturması halinde Bindter, uygulanabilir hukuk ve sözleşme hükümleri çerçevesinde gerekli önlemleri alabilir.

Bindter'nin processor olarak hareket ettiği işlemlerde veri işleme amacı, kural olarak müşterinin talimatlarıyla belirlenir.

GDPR kapsamında processor ilişkilerinin sözleşmeyle düzenlenmesi ve processor'ın controller'ın talimatları doğrultusunda hareket etmesi gerekir.

Müşteri, Bindter'ye aktardığı kişisel verileri işlemek için gerekli hukuki dayanağa ve yetkiye sahip olduğunu garanti eder.

Özellikle müşteri;

• web sitesi taraması,
• ürün kataloğu içe aktarma,
• CRM bağlantısı,
• müşteri listesi aktarımı,
• chatbot görüşmeleri,
• e-posta veya iletişim verileri,
• destek kayıtları

gibi özellikleri kullanırken üçüncü kişilere ait verileri hukuka uygun şekilde işlemekten sorumludur.

Bindter, müşterinin belirttiği internet sitelerinden veya kaynaklardan veri alma, tarama, indeksleme veya işleme özellikleri sunabilir.

Bu işlem sırasında erişilebilen içeriklerin içinde kişisel veriler bulunabilir.

Müşteri, bu tür verilerin Bindter tarafından işlenmesi için gerekli yetkiye ve hukuki dayanağa sahip olduğundan sorumludur.

Bir internet sitesinin teknik olarak herkese açık olması, içerdiği kişisel verilerin her amaçla sınırsız şekilde kullanılabileceği anlamına gelmez.

Ürün kataloglarında:

• müşteri adları,
• satıcı bilgileri,
• iletişim bilgileri,
• kullanıcı yorumları,
• ürün yöneticisi bilgileri,
• müşteri soruları

gibi kişisel veriler bulunması halinde, bu veriler de kişisel veri niteliğinde olabilir.

Müşteri, Bindter'ye aktardığı katalog içeriğinin hukuka uygun şekilde işlenmesini sağlamakla sorumludur.

Bindter, kişisel verileri aşağıdaki taraflarla, gerekli olduğu ölçüde paylaşabilir:

• altyapı sağlayıcıları,
• bulut hizmet sağlayıcıları,
• AI sağlayıcıları,
• ödeme sağlayıcıları,
• e-posta ve iletişim sağlayıcıları,
• güvenlik sağlayıcıları,
• analiz ve teknik destek sağlayıcıları,
• hukuki veya mali danışmanlar,
• yetkili resmi makamlar,
• şirket birleşmesi, devri veya yeniden yapılandırılmasıyla ilişkili taraflar.

Kişisel veriler, amaçla bağlantılı, gerekli ve ölçülü olduğu ölçüde paylaşılmaya çalışılır.

Bindter'nin gelecekte grup şirketleri veya bağlı şirketler tarafından işletilmesi halinde kişisel veriler, Hizmetin sunulması, teknik altyapı, güvenlik, müşteri desteği, finansal ve operasyonel süreçler için gerekli olduğu ölçüde ilgili şirketlerle paylaşılabilir.

Bu paylaşım uygulanabilir veri koruma mevzuatına tabi olacaktır.

Bindter'nin tamamının veya belirli varlıklarının:

• satılması,
• devredilmesi,
• birleşmesi,
• yeniden yapılandırılması,
• yatırım veya satın alma işlemine konu olması

halinde kişisel veriler, ilgili işlemin hukuken gerekli veya izin verilen kapsamında yeni işletmeye veya ilgili taraflara aktarılabilir.

Bu durumda kişisel verilerin korunmasına ilişkin mevcut yükümlülüklerin mümkün olduğu ölçüde devam ettirilmesi amaçlanır.

Bindter'nin altyapısının veya kullandığı üçüncü taraf hizmet sağlayıcılarının farklı ülkelerde bulunması nedeniyle kişisel veriler ülke sınırları dışına aktarılabilir veya başka ülkelerde işlenebilir.

Türkiye bakımından yurt dışına veri aktarımında KVKK'nın uygulanabilir hükümlerine uygun mekanizmalar kullanılabilir.

Bunlara, somut aktarım bakımından uygun olduğu ölçüde:

• yeterlilik kararları,
• Kurul tarafından öngörülen uygun güvenceler,
• standart sözleşmeler,
• bağlayıcı şirket kuralları,
• kanunda öngörülen istisnai aktarım mekanizmaları

dahil olabilir.

KVKK'nın 2024 değişiklikleri sonrasında yurt dışına aktarım için standart sözleşmeler ve diğer uygun güvence mekanizmaları mevzuatta ayrıca düzenlenmiştir.

GDPR kapsamındaki uluslararası aktarımlarda ise yeterlilik kararları, Standard Contractual Clauses (“SCC”), Binding Corporate Rules (“BCR”) veya GDPR'da öngörülen diğer uygun mekanizmalar, işlemin koşullarına göre kullanılabilir.

Bir AI veya teknoloji sağlayıcısının Türkiye, Avrupa Ekonomik Alanı veya başka bir ülkede bulunması halinde ilgili verilerin o ülkeye aktarılması gerekebilir.

Bindter, kullanılan sağlayıcının konumunu veya teknik altyapısını zaman içinde değiştirebilir.

Bu nedenle Bindter, kişisel verilerin her durumda belirli bir ülkede tutulacağını garanti etmez.

Bindter, hizmet amaçları bakımından gerekli olmayan kişisel verilerin toplanmasını veya işlenmesini azaltmayı amaçlar.

Kişisel veriler:

• belirli,
• açık,
• meşru amaçlarla,
• amaçla bağlantılı,
• sınırlı,
• ölçülü

olacak şekilde işlenmeye çalışılır.

Bu yaklaşım KVKK'nın kişisel verilerin sınırlı ve ölçülü işlenmesine ilişkin ilkeleri ve GDPR'ın veri minimizasyonu ve amaç sınırlaması ilkeleriyle uyumludur.

Kişisel veriler, ilgili işleme amacı için gerekli olduğu sürece veya uygulanabilir hukuk tarafından daha uzun bir süre saklanması gerektiğinde ilgili yasal saklama süresi boyunca tutulabilir.

Saklama süresi aşağıdakilere bağlı olabilir:

• hesabın devam edip etmemesi,
• sözleşmesel ilişki,
• hukuki yükümlülükler,
• faturalandırma ve muhasebe gereklilikleri,
• güvenlik kayıtları,
• uyuşmazlıklar,
• yasal talepler,
• veri işleme amacı.

Her verinin aynı süre boyunca saklanacağı garanti edilmez.

Bir kullanıcı hesabının kapatılması, tüm kişisel verilerin teknik olarak aynı anda sistemlerden tamamen silineceği anlamına gelmez.

Bazı veriler:

• yedeklerde,
• güvenlik kayıtlarında,
• muhasebe kayıtlarında,
• yasal kayıt sistemlerinde,
• uyuşmazlık kayıtlarında,
• dolandırıcılık ve güvenlik sistemlerinde

uygulanabilir saklama süreleri boyunca tutulabilir.

Saklama amacı ortadan kalktığında veriler, uygulanabilir hukuk ve teknik imkânlar çerçevesinde silinebilir, yok edilebilir veya anonim hale getirilebilir.

Bindter, operasyonel süreklilik amacıyla verileri yedekleyebilir.

Yedek kopyaların ana sistemden farklı saklama süreleri bulunabilir.

Bir silme işleminin yedekleme sistemlerindeki tüm kopyaları aynı anda fiziksel olarak yok etmesi teknik olarak mümkün olmayabilir.

Bu durumda verilerin normal operasyonlarda yeniden kullanılmaması ve ilgili yedeklerin yaşam döngüsü sonunda ortadan kaldırılması hedeflenir.

Bindter, kişisel verilerin:

• yetkisiz erişime,
• kayba,
• kötüye kullanıma,
• değiştirilmesine,
• ifşasına

karşı korunması amacıyla makul teknik ve idari tedbirler uygulamayı amaçlar.

Bu tedbirler kullanılan sisteme göre değişebilir ve bunlarla sınırlı olmamak üzere:

• erişim kontrolleri,
• kimlik doğrulama,
• yetkilendirme,
• şifreleme veya benzeri koruma mekanizmaları,
• loglama,
• güvenlik izleme,
• yedekleme,
• erişim sınırlaması,
• güvenlik değerlendirmeleri

içerebilir.

Hiçbir internet veya bulut hizmetinin mutlak şekilde güvenli olduğu garanti edilemez.

Bindter, kişisel verilere ilişkin bir güvenlik olayı tespit ettiğinde olayın niteliğini, kapsamını, etkisini ve uygulanabilir mevzuattaki yükümlülükleri değerlendirmeye çalışır.

Bildirim gerektiren durumlarda ilgili düzenleyici makam ve/veya ilgili kişiler bakımından uygulanabilir bildirim yükümlülükleri yerine getirilebilir.

Bindter, hukuken gerekli olmayan durumlarda bir güvenlik olayına ilişkin doğrulanmamış veya eksik bilgileri kamuya açıklamak zorunda değildir.

Müşteri de kendi tarafındaki güvenlikten sorumludur.

Özellikle:

• hesap şifreleri,
• API anahtarları,
• erişim tokenları,
• üçüncü taraf entegrasyon bilgileri,
• kullanıcı yetkileri,
• cihaz güvenliği

uygun şekilde korunmalıdır.

Bindter hesabının veya entegrasyon bilgilerinin yetkisiz kişilerle paylaşılması nedeniyle meydana gelen olaylar, uygulanabilir hukuk ve tarafların sözleşmeleri kapsamında değerlendirilir.

Bindter, özel nitelikli kişisel verilerin mümkün olduğunca Hizmete aktarılmamasını önerir; ancak kullanılan müşteri senaryosuna göre bu tür veriler Hizmete aktarılabilir.

Özel nitelikli kişisel verilerin işlenmesi durumunda, uygulanabilir hukukta öngörülen ek şartların ve tedbirlerin karşılanması gerekir.

KVKK'da özel nitelikli kişisel verilerin işlenmesine ilişkin şartlar 2024 yılında değiştirilmiş ve yeni hukuki işleme şartları düzenlenmiştir.

Bindter'nin belirli bir özelliği desteklemesi, bu özelliğin müşterinin özel nitelikli kişisel veri işleme yükümlülüklerini otomatik olarak yerine getirdiği anlamına gelmez.

Bindter, çocuklardan kişisel veri toplamak amacıyla özel olarak tasarlanmış bir hizmet olmadıkça, çocuklara ait kişisel verilerin hukuka uygun şekilde işlenmesini gerektiren kurallara uygun hareket edilmesini bekler.

Müşteri, çocuklara yönelik bir kullanım senaryosu oluşturuyorsa ilgili mevzuat kapsamındaki ek yükümlülükleri değerlendirmekle sorumludur.

Bindter'nin bazı özellikleri otomatik sistemler, yapay zekâ veya makine öğrenmesi kullanabilir.

Bu işlemler:

• içerik sınıflandırma,
• arama,
• ürün eşleştirme,
• öneri,
• kişiselleştirme,
• güvenlik analizi,
• spam veya kötüye kullanım tespiti

gibi işlemleri içerebilir.

Bindter, yalnızca otomatik bir işlem sonucunda GDPR Madde 22 veya uygulanabilir diğer mevzuat kapsamında hukuken önemli bir karar oluşturmayı amaçlamaz; ancak kullanılan özelliğin niteliğine göre otomatik işlemenin sonuçları değişebilir.

Bir işlem GDPR veya ilgili mevzuat bakımından belirli haklar doğuruyorsa, ilgili kişinin uygulanabilir hakları saklıdır.

GDPR belirli koşullarda yalnızca otomatik işlemeye dayalı ve kişi üzerinde hukuki veya benzer şekilde önemli etkisi bulunan kararlar bakımından özel korumalar öngörür.

Bindter tarafından oluşturulan AI cevapları, kullanılan kaynaklarda kişisel veri bulunması halinde kişisel veri içerebilir.

Bu nedenle müşteri, son kullanıcılarına gösterilen AI yanıtlarında hangi bilgilerin görüntülenebileceğini ve hangi erişim seviyelerinin kullanılacağını uygun şekilde yapılandırmalıdır.

AI çıktılarının yanlış veya eksik olabilmesi, bu çıktının kişisel veri koruma bakımından ayrıca değerlendirilmesi gerektiği gerçeğini ortadan kaldırmaz.

KVKK kapsamında ilgili kişi, uygulanabilir şartlar dahilinde:

• kişisel verilerinin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi isteme,
• işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
• belirli şartlarda silinmesini veya yok edilmesini isteme,
• düzeltme, silme veya yok etme işlemlerinin üçüncü kişilere bildirilmesini isteme,
• münhasıran otomatik sistemlerle analiz sonucunda kişi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme

haklarına sahip olabilir.

Bu hakların kapsamı ve uygulanabilirliği KVKK'daki ilgili şartlara tabidir.

GDPR kapsamındaki kişiler, uygulanabilir şartlara göre:

• bilgilendirilme,
• erişim,
• düzeltme,
• silme,
• işlemenin sınırlandırılması,
• veri taşınabilirliği,
• itiraz,
• belirli otomatik karar verme faaliyetleriyle ilgili haklar

dahil olmak üzere çeşitli haklara sahiptir.

Bu hakların tamamı mutlak değildir ve bazı durumlarda GDPR veya diğer uygulanabilir mevzuat kapsamında istisnalar bulunabilir.

Örneğin yasal bir saklama yükümlülüğünün bulunması halinde bir silme talebi tamamen veya kısmen yerine getirilemeyebilir.

Bindter, uygulanabilir hukuk kapsamında:

• ürün duyuruları,
• hizmet güncellemeleri,
• ticari iletişimler,
• etkinlik duyuruları,
• kampanyalar

gönderebilir.

Pazarlama iletişimlerinin gönderilmesi gerekli izinlere veya başka bir hukuki dayanağa tabi ise ilgili mekanizmalar kullanılır.

Pazarlama iletişimleri içinde yer alan çıkış/abonelikten ayrılma seçeneği kullanıldığında, ilgili iletişim türleri durdurulabilir.

Ancak hizmetin çalışması için gerekli operasyonel, güvenlik veya hukuki bildirimler pazarlama iletişimi olarak değerlendirilmeyebilir.

GDPR kapsamında doğrudan pazarlama faaliyetlerine itiraz hakkı ayrıca düzenlenmiştir.

GDPR kapsamında belirli durumlarda kişi, özellikle meşru menfaat temelinde yapılan işleme veya doğrudan pazarlama faaliyetlerine itiraz edebilir.

Bindter, uygulanabilir hukuk kapsamındaki bu talepleri değerlendirir.

KVKK bakımından da ilgili kişinin Kanunun 11. maddesinde düzenlenen hakları ve uygulanabilir diğer başvuru yolları saklıdır.

İşleme açık rızaya dayanıyorsa ilgili kişi rızasını geri çekebilir.

Rızanın geri çekilmesi:

• geçmişte hukuka uygun olarak gerçekleştirilmiş işlemleri geçersiz kılmaz,
• rızaya dayanmayan diğer hukuki dayanakları otomatik olarak ortadan kaldırmaz,
• yasal saklama yükümlülüklerini kendiliğinden ortadan kaldırmaz.

Kişisel veri taleplerinin yetkisiz kişiler tarafından kullanılmasını önlemek amacıyla Bindter, talepte bulunan kişinin kimliğini makul ve gerekli ölçüde doğrulayabilir.

Bu doğrulama yalnızca talebin yerine getirilmesi için gerekli olduğu ölçüde kullanılmaya çalışılır.

Bindter, kimliğin yeterli şekilde doğrulanamadığı durumlarda talebi yerine getirmeyi reddedebilir veya ek bilgi isteyebilir.

KVKK kapsamındaki talepler ilgili mevzuatta öngörülen usullere uygun olarak Bindter'ye iletilebilir.

Başvurular:

**E-posta:** [KVKK E-POSTA] **Adres:** [ŞİRKET ADRESİ]

ve uygulanabilir mevzuatın kabul ettiği diğer yöntemlerle yapılabilir.

KVKK kapsamında veri sorumlularının ilgili kişi taleplerini, niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırması öngörülmektedir.

Başvurunun reddedilmesi veya cevabın yetersiz bulunması gibi durumlarda KVKK'da ayrıca öngörülen Kurula şikâyet ve diğer yasal yollar kullanılabilir.

GDPR kapsamında haklarını kullanmak isteyen kişiler, aşağıdaki iletişim kanalından Bindter'ye başvurabilir:

**Privacy E-mail:** [PRIVACY E-POSTA]

Bindter, uygulanabilir hukuk kapsamında başvuruları makul süre içerisinde değerlendirecek ve gerekli olması halinde kimlik doğrulaması isteyecektir.

GDPR kapsamındaki bazı talepler bakımından uygulanabilir süreler ve istisnalar GDPR'da ayrıca düzenlenmektedir.

Bindter, uygulanabilir hukuk kapsamında:

• açıkça dayanaksız,
• aşırı,
• tekrarlayan,
• üçüncü kişilerin verilerini talep eden,
• kimlik doğrulaması yapılamayan,
• hukuki olarak yerine getirilemeyen

talepleri ilgili mevzuatın izin verdiği ölçüde sınırlandırabilir veya reddedebilir.

Ancak bu durum ilgili kişilerin uygulanabilir yasal haklarını ortadan kaldırmaz.

Bir kişi, Bindter müşterisinin veri sorumlusu olduğu bir sistemde kendi kişisel verileriyle ilgili talepte bulunursa, veri işleme rolüne bağlı olarak talebin öncelikle ilgili müşteriye yönlendirilmesi gerekebilir.

Bindter, processor olarak hareket ettiği durumlarda müşterinin talimatları doğrultusunda gerekli desteği sağlamaya çalışır.

Bunun amacı, veri sorumlusunun gerçek yetki ve amaç kontrolünü korumaktır.

Kişisel verilere Bindter adına erişen çalışanlar, yükleniciler ve yetkili hizmet sağlayıcıları yalnızca görevleri için gerekli olduğu ölçüde erişime sahip olabilir.

Gerekli olduğu durumlarda bu kişiler gizlilik yükümlülüklerine tabi tutulabilir.

Bindter, Hizmeti sağlamak için belirli üçüncü taraf hizmet sağlayıcılarından yararlanabilir.

Bu kuruluşlar:

• altyapı,
• hosting,
• AI,
• ödeme,
• e-posta,
• güvenlik,
• izleme,
• analiz,
• destek

gibi hizmetler sağlayabilir.

GDPR kapsamında processor-subprocessor ilişkilerinde uygun sözleşmesel düzenlemeler ve ilgili hukuki yükümlülükler dikkate alınır.

Bindter, hizmetin gerektirdiği ölçüde alt veri işleyenleri kullanabilir veya değiştirebilir.

Teknoloji sağlayıcılarının:

• fiyatlarını,
• teknik altyapılarını,
• API'lerini,
• güvenlik politikalarını,
• hizmet şartlarını,
• veri merkezi konumlarını

değiştirmesi mümkündür.

Bu nedenle Bindter, gerektiğinde alt veri işleyenlerini değiştirme hakkını saklı tutar.

Uygulanabilir hukuk veya DPA kapsamında bildirim veya itiraz mekanizması gerekiyorsa ilgili prosedür uygulanır.

Bindter, uygulanabilir hukuk kapsamında veri işleme faaliyetlerine ilişkin gerekli kayıtları tutabilir.

Bu kayıtlar:

• işleme amaçları,
• veri kategorileri,
• alıcılar,
• saklama süreleri,
• güvenlik tedbirleri

gibi bilgileri içerebilir.

Bindter, Hizmetin teknik tasarımında veri koruma ve güvenlik ilkelerini dikkate almayı amaçlar.

Bunlara:

• gerekli olmayan verilere erişimin sınırlanması,
• rol tabanlı erişim,
• veri minimizasyonu,
• yetkilendirme,
• güvenlik logları,
• teknik izolasyon,
• güvenlik kontrolleri

gibi mekanizmalar dahil olabilir.

GDPR kapsamında privacy by design ve privacy by default ilkeleri özellikle önem taşımaktadır.

Bindter, kişisel veri niteliğini kaybetmiş anonimleştirilmiş veya toplulaştırılmış verileri:

• hizmet performansını analiz etmek,
• ürün geliştirmek,
• sistem kapasitesini planlamak,
• güvenliği iyileştirmek,
• istatistik oluşturmak

gibi amaçlarla kullanabilir.

Gerçek anlamda anonim hale getirilmiş veriler, kişisel veri olmaktan çıktıkları ölçüde veri koruma mevzuatının kapsamı dışında olabilir.

Ancak yalnızca takma ad verilmiş veya doğrudan kimlik bilgileri kaldırılmış veriler otomatik olarak anonim kabul edilmez.

Bindter, Hizmetin teknik ve ticari olarak geliştirilmesi amacıyla kişisel veri içermeyen veya uygun şekilde anonimleştirilmiş/toplulaştırılmış bilgileri kullanabilir.

Kişisel verilerin ürün geliştirme amacıyla kullanılması halinde, uygulanabilir hukuki dayanak ve veri koruma ilkeleri ayrıca değerlendirilir.

Bindter, Hizmetin performansını anlamak amacıyla teknik ve kullanım verilerini analiz edebilir.

Bu analiz:

• özellik kullanım oranları,
• hata oranları,
• performans ölçümleri,
• sistem kapasitesi,
• API kullanım bilgileri,
• güvenlik olayları

gibi verileri içerebilir.

Mümkün olduğu ölçüde analizlerin kişisel veri içermeyen veya azaltılmış veri ile gerçekleştirilmesi amaçlanır.

Bindter, aşağıdaki durumlarda kişisel verileri açıklayabilir:

• kanunen zorunlu olması,
• mahkeme kararı bulunması,
• yetkili resmi makam talebi,
• yasal soruşturma,
• güvenlik veya dolandırıcılık soruşturması,
• Bindter'nin hukuki haklarını koruması,
• kullanıcıların veya üçüncü kişilerin güvenliğinin korunması.

Bindter, hukuken izin verilmeyen veya yasal olarak korunmuş bilgileri gereksiz şekilde açıklamamayı amaçlar.

Bindter, Hizmetin:

• spam,
• dolandırıcılık,
• yetkisiz veri toplama,
• kimlik hırsızlığı,
• kötü amaçlı otomasyon,
• güvenlik saldırıları

gibi amaçlarla kullanılmasını önlemek için teknik kontroller uygulayabilir.

Bu amaçla belirli teknik kullanım verileri incelenebilir.

Sistem güvenliği amacıyla:

• IP adresi,
• erişim zamanı,
• kullanıcı kimliği,
• API çağrısı,
• hata,
• oturum,
• güvenlik olayı

gibi bilgiler loglanabilir.

Bu bilgiler gerektiğinde güvenlik olaylarını araştırmak, kötüye kullanımı önlemek ve Hizmeti korumak amacıyla kullanılabilir.

Bindter farklı ülkelerden kullanıcılar tarafından kullanılabilir.

Farklı ülkelerdeki veri koruma yasalarının kapsamı değişebilir.

Bindter, Hizmetin tabi olduğu uygulanabilir yasal yükümlülüklere göre farklı hak, bildirim ve aktarım mekanizmaları uygulayabilir.

GDPR'nin Bindter veya belirli bir işleme faaliyeti bakımından uygulanıp uygulanmayacağı, işlemenin niteliğine ve GDPR'ın bölgesel kapsamına göre değerlendirilir.

Bir kişinin Bindter web sitesine erişmesi tek başına her durumda GDPR'ın tüm hükümlerinin uygulanacağı anlamına gelmez.

GDPR'nin uygulanabilir olduğu durumlarda Bindter, ilgili GDPR yükümlülüklerini yerine getirmek için gerekli tedbirleri almayı amaçlar.

KVKK'nın Bindter veya belirli bir veri işleme faaliyeti bakımından uygulanabilirliği, tarafların Türkiye'deki hukuki ve ticari durumuna, veri işleme faaliyetlerine ve KVKK'daki kapsam hükümlerine göre değerlendirilir.

Bu Politikanın varlığı tek başına Bindter'nin her işlem bakımından aynı veri sorumlusu rolünde olduğu anlamına gelmez.

Müşteriyle ayrıca bir DPA imzalanmışsa, DPA özellikle processor olarak gerçekleştirilen veri işleme faaliyetleri bakımından bu Politikanın üzerindeki özel sözleşme hükümlerini belirleyebilir.

DPA ile bu Politika arasında çelişki olması halinde, somut işlem açısından özel olarak düzenlenen DPA hükmü öncelikli olabilir.

Müşteri tarafından verilen veri işleme talimatları:

• hukuka uygun,
• belirli,
• Hizmet kapsamında uygulanabilir

olmalıdır.

Bindter'nin teknik olarak sağlayamadığı veya hukuken gerçekleştiremeyeceği bir veri işleme işleminin yalnızca talimatla mümkün hale gelmesi beklenemez.

Müşteri veya kullanıcı, Bindter aracılığıyla bir üçüncü taraf hizmete bağlandığında, ilgili üçüncü tarafın kendi gizlilik ve kullanım koşullarına da tabi olabilir.

Bindter, Bindter dışındaki üçüncü tarafların kendi bağımsız veri işleme faaliyetlerinden sorumlu değildir.

Bindter web sitesi veya uygulaması üçüncü taraf sitelere bağlantılar içerebilir.

Bu sitelerin kendi gizlilik politikaları olabilir.

Bindter, kontrolünde olmayan üçüncü tarafların gizlilik uygulamalarından sorumlu değildir.

Bindter, kendisine doğrudan sağlanan kişisel verilerin mümkün olduğunca doğru şekilde işlenmesi için makul süreçler uygulamayı amaçlar.

Ancak müşteri veya kullanıcı tarafından sağlanan yanlış bilgilerin otomatik olarak tespit edilmesi veya düzeltilmesi garanti edilmez.

Müşteri veya kullanıcı, kendi sağladığı verilerin doğruluğundan sorumludur.

Kişisel veriler aşağıdaki durumlardan biri gerçekleştiğinde, uygulanabilir hukuk çerçevesinde silinebilir veya başka şekilde imha edilebilir:

• işleme amacı sona erdiğinde,
• yasal saklama süresi sona erdiğinde,
• geçerli bir silme hakkı bulunduğunda,
• müşteri talimatı gerektiği durumda müşteri tarafından talimat verildiğinde,
• sözleşmesel ilişkinin sona ermesiyle artık tutulmasına gerek kalmadığında.

Ancak yasal saklama yükümlülükleri, güvenlik kayıtları veya devam eden uyuşmazlıklar nedeniyle bazı veriler daha uzun süre tutulabilir.

Bindter, bazı durumlarda kişisel verileri anonim veya toplu hale getirebilir.

Anonimleştirme teknik olarak geri döndürülemez şekilde gerçekleştirildiği ölçüde ilgili veri artık kişisel veri olarak değerlendirilmeyebilir.

Pseudonymisation veya benzeri tekniklerin gerçek anonimleştirmeden farklı olduğu dikkate alınır.

Bindter, bu Politikayı:

• Hizmette yapılan değişiklikler,
• yeni özellikler,
• yeni entegrasyonlar,
• mevzuat değişiklikleri,
• güvenlik gereklilikleri,
• teknik değişiklikler

nedeniyle güncelleyebilir.

Güncellenmiş sürüm web sitesinde yayımlandığı veya belirtilen yürürlük tarihinden itibaren geçerli olabilir.

Önemli değişikliklerde, uygulanabilir hukuk tarafından gerekli görülen bildirim yöntemleri kullanılabilir.

Bu Politika, Bindter'nin veri işleme faaliyetlerinin genel çerçevesini açıklamak amacıyla hazırlanmıştır.

Herhangi bir özelliğin teknik olarak farklı şekilde veri işlediği durumlarda, o özellik için ayrıca yayımlanan teknik dokümantasyon, DPA, sözleşme veya özel veri işleme koşulları uygulanabilir.

Bindter, bu Politikanın dışında kalan bir veri işleme faaliyetini, uygulanabilir hukuk tarafından gerekli görülen şekilde ayrıca açıklama veya bilgilendirme hakkını saklı tutar.

Bindter'nin Hizmeti teknik olarak sağlaması;

• müşterinin kendi son kullanıcılarına karşı veri koruma yükümlülüklerini,
• müşterinin hukuki dayanak oluşturma yükümlülüğünü,
• gerekli aydınlatmaları yapma yükümlülüğünü,
• gerekli izinleri alma yükümlülüğünü,
• üçüncü taraf sistem kullanım izinlerini,
• veri saklama politikalarını

kendiliğinden Bindter'ye devretmez.

Tarafların sorumlulukları, özellikle müşteri verileri bakımından ayrıca imzalanmış DPA ve sözleşmelerle belirlenebilir.

Bindter processor olarak hareket ettiği durumlarda, uygulanabilir hukuk ve ilgili DPA kapsamındaki yükümlülükleri ölçüsünde müşterinin:

• veri sahibi taleplerine cevap vermesine,
• güvenlik yükümlülüklerine,
• veri ihlali değerlendirmelerine,
• veri koruma denetimlerine

yardımcı olabilir.

Bu yardım, Bindter'nin müşterinin yasal yükümlülüklerini tamamen üzerine aldığı anlamına gelmez.

GDPR processor yükümlülükleri arasında controller'ın ilgili kişi talepleri, güvenlik, veri ihlalleri ve belirli uyum yükümlülükleri bakımından desteklenmesi de yer almaktadır.

Bindter'nin processor olarak hareket ettiği bir veri güvenliği olayında, uygulanabilir hukuk ve DPA hükümleri doğrultusunda müşteriye gerekli bildirim yapılabilir.

Müşteri, bu bildirimi kendi veri koruma yükümlülükleri kapsamında değerlendirmek ve gerekiyorsa ilgili düzenleyici makamlara veya kişilere yapmakla sorumlu olabilir.

Kullanıcının hesap bilgilerini başka kişilerle paylaşması veya erişim bilgilerinin güvenli tutulmaması, kişisel verilerin korunmasını olumsuz etkileyebilir.

Müşteri ve kullanıcılar:

• güçlü kimlik doğrulama,
• güvenli parola,
• uygun kullanıcı yetkilendirmesi,
• kullanılmayan erişimlerin kaldırılması

gibi güvenlik önlemlerini uygulamalıdır.

Bu Politika, Bindter'nin Terms of Service / Kullanım Koşulları ile birlikte değerlendirilir.

Terms of Service Hizmetin kullanımına ilişkin sözleşmesel kuralları, bu Politika ise kişisel verilerin işlenmesine ilişkin uygulamaları düzenler.

Bir veri koruma konusu DPA ile ayrıca düzenlenmişse, ilgili DPA'nın özel hükümleri uygulanabilir.

Bu Politikanın herhangi bir hükmü, KVKK, GDPR veya başka bir uygulanabilir mevzuat kapsamında zorunlu olan bir hakkı ortadan kaldırmak veya sınırlamak amacıyla yorumlanmaz.

Bir sözleşme hükmünün veya politika hükmünün uygulanabilir hukuk bakımından geçersiz olması, diğer hükümlerin geçerliliğini kendiliğinden ortadan kaldırmaz.

Kişisel verilerle ilgili sorular, talepler veya gizlilik başvuruları için:

**[ŞİRKET UNVANI]**

**Privacy / Data Protection:** [PRIVACY E-POSTA]

**Adres:** [ŞİRKET ADRESİ]

**Genel İletişim:** [CONTACT E-POSTA]

Kişinin durumuna göre KVKK ve GDPR kapsamındaki talepler için uygun başvuru yöntemi sağlanabilir.

Uygulanabilir mevzuat kapsamında kişiler, kişisel verilerinin korunmasına ilişkin haklarının ihlal edildiğini düşündüklerinde ilgili veri koruma otoritesine başvurabilir.

Türkiye bakımından ilgili düzenleyici kurum:

**Kişisel Verileri Koruma Kurumu (KVKK)**

olup, GDPR bakımından ilgili durumda yetkili denetim makamına başvurma hakkı saklıdır.

GDPR kapsamında kişilerin kendi veri koruma otoritelerine şikâyette bulunma hakkı bulunmaktadır.

Bindter, kişisel verilerin korunmasını ve veri işleme faaliyetlerinin uygulanabilir mevzuata uygun şekilde yürütülmesini amaçlar.

Bununla birlikte Bindter bir altyapı ve yazılım hizmeti sağlayıcısı olduğundan, özellikle müşterinin kendi son kullanıcılarına ilişkin veri işleme faaliyetlerinde her hukuki yükümlülüğün Bindter tarafından otomatik olarak üstlenildiği varsayılamaz.

Bindter'nin müşterileri, Hizmete aktardıkları verilerin ve bu verilerin kullanım amaçlarının hukuka uygun olmasını sağlamakla yükümlüdür.

Bindter ise kendi kontrolündeki veri işleme faaliyetleri bakımından uygulanabilir gizlilik ve veri koruma yükümlülüklerine uygun hareket etmeyi amaçlar.

Bu Politikanın güncel sürümü:

**[PRIVACY POLICY URL]**

adresinde yayımlanır.

**© [YIL] [ŞİRKET UNVANI]. All rights reserved.**