Gizlilik politikası

Alvoru, kişisel verilerin korunmasına büyük önem verir. Bu gizlilik politikası şununla uyumlu olarak hazırlanmıştır: Genel Veri Koruma Tüzüğü (Tüzük (EU) 2016/679, bundan böyle: GDPR) ve GDPR Uygulama Yasası ve Alvoru'nun kişisel verileri nasıl topladığını, işlediğini, güvence altına aldığını ve sildiğini açıklar.

1. Veri sorumlusu

GDPR madde 4 fıkra 7 anlamında veri sorumlusu şudur:

Gizlilik konuları için iletişim kişisi: Yousri şu yolla: info@alvoru.com. Alvoru, GDPR uyarınca bir Veri Koruma Görevlisi (VKG) atamak zorunda değildir.

2. Hangi kişisel verileri işliyoruz?

Alvoru yalnızca hizmetimizi sunmak için gerekli olan kişisel verileri işler. Hizmete bağlı olarak şunlar olabilir:

• İletişim ve şirket verileri: ad, şirket adı, e-posta adresi, telefon numarası, adres, KVK numarası ve görev bilgileri.
• Hesap verileri: giriş bilgileri, parola hash'i, oturum çerezleri, tercihler.
• Konuşma içeriği: son kullanıcılar ile AI kanallarımız (chatbot ve e-posta) arasındaki mesajlar ve konuşmalar.
• Rezervasyon ve ajanda verileri: randevuların adı, iletişim bilgileri, zamanı ve konusu.
• Teknik veriler: IP adresi, tarayıcı ve işletim sistemi, zaman damgası, sayfa davranışı.
• Çerez verileri: bkz. bölüm 10.
• Ödeme verileri: fatura verileri ve ödeme geçmişi; kredi kartı ve IBAN verileri Alvoru tarafından saklanmaz, yalnızca ödeme işlemcisi Mollie tarafından işlenir.

3. Amaçlar ve hukuki dayanaklar (GDPR madde 6)

Meşru menfaat temelli işlemler için (GDPR madde 6 fıkra 1 alt bent f) Alvoru bir meşru menfaat değerlendirmesi (LIA) yapmıştır. Özellikle güvenlik, dolandırıcılık tespiti ve kötüye kullanım önleme için: Alvoru'nun sistemlerini ve müşteri verilerini koruma konusunda meşru bir menfaati vardır. İşlem teknik verilerle (IP adresi, zaman damgası) sınırlı olduğundan, tüm kullanıcıların korunması için kesinlikle gerekli olduğundan ve bu gizlilik politikası aracılığıyla bilgilendirildiğinden, senin menfaatlerin bu meşru menfaatin üzerinde önceliğe sahip değildir.

4. Saklama süreleri

Alvoru, kişisel verileri toplandıkları amaçlar için gerekli olandan daha uzun süre saklamaz:

• Müşteri verileri (aktif): Sözleşmenin süresi boyunca ve sona ermeden sonra 60 güne kadar (bkz. Genel Koşullar madde 11).
• Faturalar ve mali idari işler: 7 yıl, AWR madde 52'ye uygun olarak (vergisel saklama yükümlülüğü).
• AI konuşma günlükleri: 12 ay, müşteri yazılı olarak daha kısa bir süre kabul etmedikçe.
• Pazarlama opt-in: rıza geri alınana kadar.
• Potansiyel müşteri verileri (müşteri olmayan): en fazla 12 ay.
• Teknik günlük dosyaları ve güvenlik günlükleri: en fazla 12 ay.
• Yedekler: en fazla 90 gün.

5. Üçüncü taraflarla paylaşım ve aktarım

Alvoru, kişisel verileri yalnızca hizmet sunumu için kesinlikle gerekli olan alt işleyicilerle paylaşır. Her alt işleyici ile GDPR madde 28'e uygun bir veri işleme sözleşmesi akdedilmiştir.

AEA dışındaki ülkelere aktarım yalnızca geçerli bir yeterlilik kararı, bir DPF sertifikasyonu veya AB Standart Sözleşme Hükümleri temelinde, gerektiğinde ek teknik ve organizasyonel önlemlerle desteklenerek gerçekleşir.

6. İlgili kişilerin hakları

GDPR uyarınca şu haklara sahipsin:

• Erişim (madde 15) — senden hangi verileri işlediğimizi bilmek.
• Düzeltme ve tashih (madde 16) — yanlış veya eksik kişisel verileri düzelttirme hakkına sahipsin. Bir düzeltme talebini şu yolla iletebilirsin: info@alvoru.com hangi verilerin yanlış olduğunu ve doğru verilerin ne olduğunu açıklayarak. Alvoru talebini bir ay içinde işler ve yapılan düzeltmeyi e-posta ile yazılı olarak onaylar.
• Silme (madde 17, "unutulma hakkı").
• Kısıtlama işlemenin (madde 18).
• Taşınabilirlik (madde 20) — verilerini makine tarafından okunabilir formatta almak.
• İtiraz (madde 21) — meşru menfaat temelli işlemlere veya doğrudan pazarlamaya karşı.
• Rızanın geri alınması (madde 7 fıkra 3) — rıza temelli işlemler için, önceki hukuka uygunluğa halel getirmeden.
• İnsan müdahalesi (madde 22) otomatik karar verme durumunda (bkz. bölüm 7).

Bir talebi şu yolla iletebilirsin: info@alvoru.com. Alvoru, GDPR madde 12 fıkra 3'e uygun olarak bir ay içinde yanıt verir. Kimliğini doğrulamak için Alvoru ek bilgi isteyebilir.

Alvoru'nun GDPR'ı ihlal ettiğini düşünüyorsan, şuraya şikayette bulunma hakkına sahipsin: Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Otomatik karar verme ve AI

Alvoru'nun AI chatbot'u ve e-posta otomasyonu mesajları otomatik olarak işler ve bağımsız olarak yanıtlar üretebilir. Rezervasyonlarda ve otomatik yer ayırtmalarda bu, GDPR madde 22 anlamında son kullanıcı için hukuki sonuçları olan kararlara yol açabilir.

Son kullanıcılar, GDPR madde 22 fıkra 3 uyarınca şu haklara sahiptir:

• insan müdahalesi elde etmek;
• görüşlerini bildirmek;
• karara itiraz etmek.

Bu hak, Alvoru'nun Hizmetini kullanan şirketle veya Alvoru'nun kendisiyle şu yolla iletişime geçilerek kullanılabilir: info@alvoru.com.

Sohbet konuşmalarının silinmesi (madde 17): Alvoru tarafından yönetilen bir web sitesinde AI sohbet botu aracılığıyla bir konuşma yapmış olan ziyaretçiler, sohbet geçmişlerinin silinmesini şu adrese bir e-posta göndererek talep edebilir: info@alvoru.com şunları belirterek: konuşmanın gerçekleştiği web sitesi, tarih (yaklaşık olarak) ve konuşmanın bir açıklaması. Alvoru talebi 30 gün içinde işler. 90 günden eski sohbet verileri otomatik olarak anonimleştirilir.

Aşağıdakinin 50. maddesi uyarınca: AB Yapay Zekâ Tüzüğü (2024/1689) AI sistemlerimiz son kullanıcıları bir yapay zekâ sistemiyle iletişim kurduklarına dair açıkça bilgilendirir.

7a. Müşteri web sitelerinin sohbet botu ziyaretçileri

Müşterilerimiz Alvoru AI sohbet botunu kendi web sitelerinde kullanır. Böyle bir müşteri web sitesinin ziyaretçisi olarak, sohbet konuşmaların Alvoru tarafından alt işleyici olarak işlenir. Bu durumda müşteri, GDPR anlamında veri sorumlusudur. Alvoru sohbet verilerini yalnızca ilgili müşterinin talimatıyla ve onun adına işler. O müşterinin verilerini nasıl işlediği hakkında daha fazla bilgi için sohbet botunu kullandığın web sitesinin gizlilik politikasına bak.

8. Güvenlik

Alvoru, kişisel verileri kayba veya herhangi bir hukuka aykırı işleme biçimine karşı korumak için uygun teknik ve organizasyonel önlemler alır (GDPR madde 32), bunlar arasında:

• Tüm iletişim için TLS 1.2+ şifreleme (HTTPS).
• Salt'lı parola hash'leme (bcrypt) ve rotasyonlu oturum yönetimi.
• Güvenlik duvarı ve fail2ban tüm sunucularda.
• API'lerde ve oturum açma denemelerinde hız sınırlaması.
• Minimum yetkiler ( least privilegeilkesi) hizmet kullanıcıları için.
• Yapılandırma ve veri dosyalarında kısıtlayıcı dosya izinleri (600).
• Şifrelemeli otomatik günlük yedeklemeler.
• Hassas verilere erişimin günlüğe kaydedilmesi ve izlenmesi.
• Yönetimsel erişim için iki faktörlü kimlik doğrulama.
• Kritik güvenlik açıklarının açıklanmasından sonra 72 saat içinde güvenlik güncellemeleri.

9. Veri ihlalleri

Bir veri ihlali şuraya bildirilir: Autoriteit Persoonsgegevens'e 72 saat içinde tespitten sonra, GDPR madde 33 uyarınca, ihlal muhtemelen gerçek kişilerin hak ve özgürlükleri açısından bir risk oluşturmuyorsa bunun dışında.

Veri ihlali ilgili kişiler için yüksek bir risk taşıyorsa, Alvoru ilgili kişileri uygun önlemleri alabilmeleri için gecikmeksizin bilgilendirir, GDPR madde 34 uyarınca.

Alvoru, GDPR madde 33 fıkra 5 uyarınca bir veri ihlalleri kaydı tutar.

10. Çerezler

Alvoru, Telekomünikasyon Yasası madde 11.7a temelinde çerezler ve benzer teknikler kullanır:

• İşlevsel çerezler (her zaman aktif, izin gerektirmez): oturum, tercihler, CSRF koruması, DDoS koruması (Cloudflare).
• Analitik ve pazarlama çerezleri: Alvoru şu anda hiç analitik veya pazarlama çerezleri yerleştirmiyor. alvoru.com'da Google Analytics, Meta Pixel veya benzeri bir izleyici çalışmıyor. Çerez banner'ı, gelecekte analitik kullanmak istersek önce senin açık opt-in'ini isteyebilmemiz için mevcuttur.

Çerez tercihlerini her sayfanın altındaki bağlantı veya çerez banner'ı aracılığıyla değiştirebilirsin. Tam bir genel bakış için bkz. Çerez bildirimi.

10a. Veri sağlamak zorunlu mu?

Aksi belirtilmedikçe, bize kişisel veri sağlamak yasal veya sözleşmesel bir yükümlülüğün değildir. Veri sağlamazsan, hizmeti sana sunamayabiliriz. Örneğin bir hesap oluşturmak ve servis mesajları almak için bir e-posta adresi sağlaman gerekir, ancak bir telefon numarası sağlamak genellikle isteğe bağlıdır.

11. Değişiklikler

Alvoru bu gizlilik politikasını zaman zaman değiştirebilir. Önemli değişiklikler, yürürlüğe girmeden en az 30 gün önce mevcut müşterilere e-posta ile ve bu sayfada duyurulur. En güncel sürüm her zaman şu adreste mevcuttur: alvoru.com/privacy.