1. Veri sorumlusunun kimliği
1.1 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, Otai markalı dijital hizmetlerin işletmecisi Çallıoğlu İnşaat Turizm Sanayi ve Ticaret A.Ş. ("Otai"), aşağıda açıklanan kendi veri işleme faaliyetleri bakımından veri sorumlusudur.
1.2 Tescilli merkez adresi: Sedir Mahallesi, 725. Sokak No: 2, Muratpaşa, Antalya Vergi dairesi / numarası: Antalya Kurumlar Vergi Dairesi / 2270065139 E-posta: info@otai.app
1.3 Bu metin; Otai internet sitesi ziyaretçileri, Otai ile iletişime geçen kişiler, kurumsal müşteri yetkilileri/çalışanları, Otai hesap kullanıcıları ve Otai tarafından veri sorumlusu sıfatıyla verisi işlenen diğer gerçek kişiler için hazırlanmıştır.
2. Müşteri işletme iletişimlerindeki rol ayrımı
2.1 Otai üzerinden bir müşteri işletme ile iletişim kurduğunuzda; görüşmenin amacı, içeriği, yanıtlanması, talep/şikâyet yönetimi ve işletme operasyonları bakımından veri sorumlusu kural olarak iletişim kurduğunuz müşteri işletmedir. Otai bu verileri çoğunlukla müşteri işletmenin talimatlarıyla veri işleyen olarak işler.
2.2 Bu durumda müşteri işletmenin kendi aydınlatma metni esas alınır ve içerikle ilgili KVKK taleplerinin öncelikle ilgili müşteri işletmeye yöneltilmesi gerekir. Otai, veri işleyen sıfatıyla müşteri işletmeye yardımcı olur.
2.3 Otai; platform güvenliği, kötüye kullanımın önlenmesi, kendi sözleşme ve hesap yönetimi, doğrudan destek, yasal yükümlülükler ve hukuki hakların tesisi/kullanılması/korunması gibi kendi belirlediği sınırlı amaçlar bakımından ayrıca veri sorumlusu olabilir. Bu aydınlatma metni söz konusu faaliyetleri kapsar.
3. İşlenen kişisel veri kategorileri
3.1 Otai’nin fiilen kullanılan özelliklerine göre aşağıdaki kişisel veriler işlenebilir:
| Veri kategorisi | Örnekler |
|---|---|
| Kimlik ve mesleki bilgi | Ad-soyad, görev/unvan, temsil edilen işletme, kullanıcı rolü |
| İletişim | İş e-postası, telefon numarası, iletişim tercihleri |
| Müşteri işlem/sözleşme | Teklif, sözleşme, abonelik, fatura ve kurumsal ilişki kayıtları |
| Hesap ve entegrasyon | Kullanıcı/hesap kimliği, rol ve yetkiler; Meta Business/WABA kimliği, Phone Number ID, işletme telefonu, şablon/webhook ve yetkilendirme durumu |
| İletişim ve destek | İletişim formu, e-posta, toplantı, destek talebi ve verilen yanıtlar |
| İşlem güvenliği | IP adresi, erişim ve denetim kayıtları, tarih-saat, cihaz/tarayıcı bilgisi, hata/teşhis kayıtları, güvenlik olayları |
| Çerez ve cihaz depolama | Kimlik doğrulama/oturum kimlikleri; çerez ve benzeri cihaz depolama kayıtları; dil, arayüz, çerez ve açık rıza tercihleri; giriş sonrasına ertelenen sohbet isteği |
| Web kullanımı ve analitik | Ziyaret edilen sayfa ve yönlendiren sayfa, kullanım olayı, takma adlandırılmış ziyaretçi/oturum kimliği ve özellik performansı; isteğe bağlı analitik veriler yalnızca gerekli ayrı açık rıza sonrasında |
| Teşhis ve oturum tekrarı | Hata, performans, gezinme ve etkileşim telemetrisi; oturum tekrarı ve gelişmiş teşhis yalnızca gerekli ayrı açık rıza sonrasında ve maskeleme/veri minimizasyonuna tabi olarak |
| Hukuki işlem | İlgili kişi başvurusu, uyuşmazlık, resmî talep, denetim ve delil kayıtları |
3.13 Müşteri işletme adına veri işleyen sıfatıyla telefon numarası, WhatsApp görünen adı, mesaj/medya içeriği, mesaj zamanı ve durumu, dil, rezervasyon/hizmet referansı, talep, şikâyet, geri bildirim ve bunlardan oluşturulan operasyon kayıtları da işlenebilir. Bu içeriğin veri sorumlusu kural olarak ilgili müşteri işletmedir.
3.14 Otai sizden tam ödeme kartı verisi, finansal hesap erişim bilgisi, sağlık kaydı veya diğer gereksiz gizli ya da özel nitelikli kişisel verileri mesajla göndermenizi istemez. Serbest metin alanlarına gerekli olmayan hassas bilgileri yazmayınız. Bu tür bir veri kendiliğinden paylaşılırsa yalnızca talebin ilgili müşteri işletmeye iletilmesi/ele alınması, hukuki yükümlülük veya uygulanabilir başka bir işleme şartı çerçevesinde ve gerekli olduğu ölçüde işlenir.
4. Kişisel verilerin işlenme amaçları ve hukuki sebepleri
4.1 Kişisel veriler aşağıdaki amaç ve KVKK’nın 5’inci ve gerektiğinde 6’ncı maddelerinde yer alan işleme şartları kapsamında işlenir:
| Amaç | Başlıca hukuki sebep |
|---|---|
| Kurumsal hesap açılması, yetkilendirme, sözleşme/onboarding ve hizmet sunumu | Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma (m.5/2-c) |
| WhatsApp/Meta ve diğer yetkili entegrasyonların kurulması ve işletilmesi | Sözleşmenin kurulması/ifası (m.5/2-c); müşteri işletmenin belgelenmiş talimatı |
| Destek taleplerinin alınması ve yanıtlanması | Sözleşmenin kurulması/ifası (m.5/2-c); meşru menfaat (m.5/2-f) |
| Kimlik doğrulama, güvenli oturum, kullanıcının talep ettiği giriş/hesap birleştirme/widget/ertelenmiş işlem akışları ve açık dil/arayüz tercihleri | Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma (m.5/2-c); temel haklara zarar vermemek kaydıyla meşru menfaat (m.5/2-f) |
| Erişim yönetimi, asgariye indirilmiş hata ve güvenlik kayıtları, siber güvenlik, kötüye kullanım tespiti ve hizmet sürekliliği | Hukuki yükümlülük (m.5/2-ç); temel haklara zarar vermemek kaydıyla meşru menfaat (m.5/2-f) |
| Finans, faturalama, muhasebe, denetim ve mevzuata uyum | Kanunlarda öngörülme (m.5/2-a); hukuki yükümlülük (m.5/2-ç) |
| Başvuru, resmî makam talebi, uyuşmazlık ve hukuki süreçlerin yönetimi | Hukuki yükümlülük (m.5/2-ç); bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) |
| PostHog ve etkinse Vercel Web Analytics aracılığıyla isteğe bağlı kullanım analitiği | Analitik amacı için ayrı, aktif ve özgür açık rıza (m.5/1) |
| İsteğe bağlı etkileşim kayıtları ve performans/hata teşhisi | Oturum tekrarı ve gelişmiş teşhis amacı için ayrı, aktif ve özgür açık rıza (m.5/1) |
| Gerçek anonim istatistiklerle hizmet güvenilirliğinin geliştirilmesi | Kişisel veri niteliği geri döndürülemez biçimde ortadan kaldırılmışsa KVKK kapsamı dışındadır; anonimleştirme öncesi işleme için uygun KVKK şartı uygulanır |
| Opsiyonel pazarlama faaliyetleri | Pazarlama amacı için ayrıca gerekli açık rıza veya somut faaliyete uygulanabilen başka bir hukuki sebep |
4.14 Otai’nin müşteri işletme adına veri işleyen olduğu faaliyetlerde işleme amacı ve hukuki sebebi müşteri işletme tarafından belirlenir.
4.15 Aydınlatma yükümlülüğünün yerine getirilmesi açık rıza alınması anlamına gelmez. Analitik ile oturum tekrarı/gelişmiş teşhis için seçimler; bu metinden ayrı, birbirinden ayrıştırılmış, varsayılan olarak kapalı, belirli bir konuya ilişkin, bilgilendirmeye dayalı, özgür iradeyle ve geri alınabilir şekilde sunulur. Hizmet için zorunlu olmayan pazarlama, analitik veya teşhis açık rızası hizmetin ön şartı yapılmaz.
5. Yapay zekâ destekli işlemler
5.1 Otai; bir mesajı anlamlandırmak, müşteri işletme bilgisini bulmak, yanıt taslağı üretmek, çevirmek/özetlemek, talep veya şikâyeti sınıflandırmak ve ilgili iş akışına yönlendirmek amacıyla otomatik sistemler kullanabilir. Bu çıktılar hatalı veya eksik olabilir ve gerekli durumlarda insan kontrolü uygulanmalıdır.
5.2 Otai, WhatsApp Business Solution verilerini ortak/genel amaçlı yapay zekâ modelleri oluşturmak, eğitmek veya geliştirmek için kullanmaz. Bir yapay zekâ alt işleyeni kullanıldığında veri, yalnızca ilgili müşteri işletmeye sözleşmeli çıktıyı sağlamak amacıyla ve sağlayıcının model eğitimi yapmasını yasaklayan koşullarla işlenmelidir.
5.3 Otai’nin amacı, ilgili kişi hakkında tek başına hukuki veya benzer derecede önemli sonuç doğuran otomatik karar vermek değildir.
6. Kişisel verilerin aktarılması
6.1 Kişisel veriler, belirtilen amaçlarla sınırlı ve gerekli olduğu ölçüde şu alıcı gruplarına aktarılabilir:
6.2 Kullanılan hizmet sağlayıcı kategorileri yukarıda açıklanmıştır. Somut hizmette kullanılan sağlayıcıların tüzel kişilikleri, sözleşme veya mevzuat gerektirdiğinde yetkili müşteri işletmelere, Meta’ya ya da yetkili mercilere ayrıca bildirilir.
- ilgili müşteri işletme ve yetkili kullanıcıları;
- WhatsApp/Meta gibi kullanıcının veya müşteri işletmenin yetkilendirdiği iletişim ve entegrasyon sağlayıcıları;
- barındırma, veri tabanı/depolama, kimlik doğrulama, analitik, güvenlik, performans/hata izleme, loglama, destek, e-posta ve yapay zekâ çıkarım hizmeti sağlayan veri işleyenler;
- gizlilik yükümlülüğü altındaki hukuk, mali müşavirlik, denetim ve sigorta hizmeti sağlayıcıları;
- kanunen yetkili kamu kurumları, mahkemeler ve icra mercileri;
7. Yurt dışına aktarım
7.1 WhatsApp/Meta, bulut altyapısı, güvenlik veya yapay zekâ hizmetlerinin kullanılması nedeniyle kişisel veriler Türkiye dışında işlenebilir ya da yurt dışından erişilebilir hâle gelebilir.
7.2 Düzenli yurt dışı aktarımlar, KVKK’nın 9’uncu maddesindeki şartlardan birinin bulunması ve uygulanabilir aktarım mekanizmasının tamamlanması hâlinde gerçekleştirilir. Somut veri akışına göre bu mekanizma; Kurul yeterlilik kararı, Kurulca ilan edilen uygun tipte standart sözleşme, onaylı bağlayıcı şirket kuralları, Kurul izinli taahhütname veya kanunda öngörülen başka bir güvence olabilir. Arızi aktarım istisnaları yalnızca gerçekten arızi ve kanuni şartları karşılayan durumlarda kullanılır.
7.3 Açık rıza, süreklilik gösteren bütün yurt dışı aktarımları için genel/tek dayanak olarak kabul edilmez. İmzalanan KVKK standart sözleşmeleri kanuni süre içinde Kuruma bildirilir; sonraki aktarım ve alt işleyen zinciri ayrıca değerlendirilir.
7.4 Yurt dışı alıcıları; WhatsApp/Meta iletişim altyapısı, bulut/barındırma, veri tabanı/depolama, kimlik doğrulama, analitik, güvenlik/performans/hata izleme, destek/e-posta ve yapay zekâ çıkarım hizmeti sağlayıcılarıyla sınırlıdır. Aktarımın amaç ve kapsamı, ilgili hizmetin sunulması, ölçülmesi ve güvenliğinin sağlanmasıyla sınırlı tutulur. İsteğe bağlı analitik veya teşhis açık rızası, süreklilik gösteren yurt dışı aktarım için tek hukuki mekanizma olarak kullanılmaz.
8. Toplama yöntemi
8.1 Kişisel veriler; Otai internet sitesi, formlar, e-posta, destek görüşmeleri, sözleşme/onboarding süreçleri, Otai arayüzleri, çerezler ve benzeri cihaz depolama teknolojileri, sunucu ve güvenlik kayıtları ile yetkilendirilmiş Meta/WhatsApp ve müşteri entegrasyonları üzerinden tamamen veya kısmen otomatik elektronik yöntemlerle toplanır.
8.2 Verinin ilgili kişiden elde edilmediği hâllerde aydınlatma, uygulanabilir mevzuattaki süre ve yöntemlere göre; makul süre içinde, ilk iletişim sırasında veya ilk aktarımdan önce/aktarılırken yerine getirilir. Müşteri işletmenin veri sorumlusu olduğu iletişimlerde bu yükümlülük esas olarak müşteri işletmeye aittir.
10. Saklama ve imha
10.1 Kişisel veriler; ilgili işleme amacının gerektirdiği, müşteri işletmenin belgelenmiş talimatlarında veya sözleşmede öngörülen ve uygulanabilir mevzuat uyarınca zorunlu olan süre boyunca saklanır. Saklama ihtiyacı; verinin niteliği, işleme amacı, hukuki yükümlülükler, zamanaşımı süreleri, güvenlik gereksinimleri ve ilgili kişi hakları dikkate alınarak değerlendirilir.
10.2 Saklama amacı ve hukuki dayanak ortadan kalktığında kişisel veriler, uygulanabilir imha süreci kapsamında silinir, yok edilir, ilgili tarafa iade edilir veya ilgili kişiyle makul şekilde yeniden ilişkilendirilemeyecek biçimde anonim hâle getirilir. Aktif sistemlerden silinen ancak korumalı yedeklerde geçici olarak kalabilen veriler olağan yedek imha döngüsünde silinir veya üzerine yazılır; bu süre içinde olağan kullanıma kapalı tutulur.
10.3 Kurumsal hesap, sözleşme, fatura, muhasebe, güvenlik, destek, denetim, açık rıza geri çekme ve iletişim ret kayıtları yalnızca ilgili hukuki, sözleşmesel veya güvenlik amacı devam ettiği sürece saklanır ve bu ihtiyaç sona erdiğinde güvenli biçimde imha edilir. WhatsApp/Meta yetkilendirme bilgileri ise bağlantı ve erişim ihtiyacı sona erdiğinde iptal edilir veya silinir.
10.4 Takma adlandırılmış veya maskelenmiş veri anonim veri değildir. Anonim kabul edilen verinin ilgili kişiyle makul biçimde yeniden ilişkilendirilememesi gerekir.
11. KVKK’nın 11’inci maddesi kapsamındaki haklar
11.1 İlgili kişi olarak aşağıdaki haklara sahipsiniz:
- kişisel verilerinizin işlenip işlenmediğini öğrenme;
- işlenmişse bilgi talep etme;
- işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme;
- yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
- eksik veya yanlış işlenmişse düzeltilmesini isteme;
- KVKK’nın 7’nci maddesindeki şartlarla silme veya yok etme isteme;
- düzeltme/silme/yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme;
- münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme;
- kanuna aykırı işleme nedeniyle zararın giderilmesini isteme
12. Başvuru yöntemi
12.1 Başvurunuzu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak aşağıdaki yöntemlerle iletebilirsiniz:
12.2 Başvuruda, başvuru sahibini doğrulamaya ve talebin konusunu belirlemeye yetecek, seçilen başvuru yöntemine göre mevzuatın gerektirdiği bilgiler bulunmalıdır. Talebin niteliğiyle orantılı ek doğrulama bilgisi istenebilir; gereksiz bilgi veya belge talep edilmez.
12.3 Başvurular kural olarak en geç 30 gün içinde ve ücretsiz sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kurulun yürürlükteki tarifesindeki ücret uygulanabilir.
12.4 Müşteri işletme ile yaptığınız görüşmenin içeriğine ilişkin başvurularınızı öncelikle ilgili müşteri işletmeye yöneltiniz. Talebiniz Otai’ye ulaşırsa veri işleyen olduğumuz kısım için ilgili müşteri işletmeye iletir ve makul desteği sağlarız.
- Sedir Mahallesi, 725. Sokak No: 2, Muratpaşa, Antalya adresine yazılı olarak;
- güvenli elektronik imza veya mobil imza kullanarak info@otai.app adresine;
- daha önce tarafınızca bildirilen ve sistemimizde kayıtlı bulunan e-posta adresinizi kullanarak info@otai.app adresine
13. Güncellemeler
13.1 Bu metin, veri akışı veya mevzuat değiştiğinde güncellenebilir. Güncel metin yeni tarih ile yayımlanır. Yeni ve maddi ölçüde farklı bir işleme amacı, uygun hukuki sebep ve gerekli aydınlatma sağlanmadan geçmişe etkili uygulanmaz.
13.2 Önemli: Bu aydınlatma metni açık rıza metni değildir ve herhangi bir faaliyete otomatik olarak açık rıza verdiğiniz anlamına gelmez.