Hukuk sayfaları

Gizlilik politikası

Son güncelleme: 7 Ekim 2026 · 26 dk okuma

MercanWorks OÜ (“biz” ya da “Şirket”) olarak kişisel verilerinizin gizliliğine ve güvenliğine önem veriyoruz. Loop, N-XPLUS çatı markası altında MercanWorks OÜ tarafından sunulan, küçük ve orta ölçekli işletmeler için görev takibi ve kodsuz otomasyon hizmetidir.

Bu politika, loop.n-xplus.com adresindeki web sitesini (“Site”) ve Loop uygulamasını (“Hizmet”) kullandığınızda kişisel verilerinizin nasıl toplandığını, hangi amaçla kullanıldığını, kimlerle paylaşıldığını, ne kadar saklandığını ve nasıl korunduğunu açıklar. Metin ürünün bugünkü işleyişini anlatır; ürün değiştiğinde bu sayfa tarihiyle güncellenir ve metinde yazmayan bir amaçla veri işlenmez.

Türkiye’de yerleşik kişiler için ayrıca KVKK aydınlatma metni yayımlanmıştır ve iki metin birlikte geçerlidir. Çerezler ve tarayıcınızda tutulan kayıtlar çerez politikasında ayrıntılı olarak anlatılır.

1. Veri sorumlusu

MercanWorks OÜ, Estonya Cumhuriyeti yasalarına göre kurulmuş bir şirkettir ve Avrupa Birliği’nde yerleşiktir. Bu nedenle kişisel verilerinizin işlenmesi, nerede yaşarsanız yaşayın Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (“GDPR”) tabidir; Türkiye’de yerleşik kişiler bakımından ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uygulanır.

1.1. Hangi veride hangi sıfatla hareket ederiz

Hizmetin işleyişi gereği MercanWorks OÜ iki farklı sıfatla hareket eder. Bu ayrım, haklarınızı kime karşı kullanacağınızı belirlediği için önemlidir.

• Veri sorumlusu olarak: Hesap verilerinizi (ad, e-posta adresi, parola özeti, firmanızdaki rolünüz, tercihleriniz), firmanızın abonelik kayıtlarındaki kişisel verileri (firma sahibinin e-posta adresi, fatura bilgilerindeki gerçek kişi adı), hizmetin çalışması için tutulan teknik kayıtları ve Site’de izninizle çalışan reklam ölçümünün verilerini veri sorumlusu sıfatıyla işleriz. Bu veriler için başvuru muhatabınız biziz.
• Veri işleyen olarak: Firmanızın Loop’a girdiği iş verisinin (görevler, yorumlar, proje sohbeti mesajları, dosya ekleri, form tanımları ve yanıtları, alan değerleri ve bunların içinde yer alabilecek müşteri, tedarikçi ya da iş ortağı verileri) veri sorumlusu firmanızdır. Biz bu veriyi yalnız firmanızın talimatıyla ve hizmeti çalıştırmak için işleriz. Bu verinin hukuka uygun toplanmasından, ilgili kişilerin aydınlatılmasından ve gerekiyorsa rızalarının alınmasından firmanız sorumludur. Bu veriyi kendi amaçlarımız için kullanmaz, satmaz, reklam için kullanmaz ve herhangi bir yapay zekâ modelinin eğitiminde kullanmayız. Veri işleme ilişkisinin şartları (GDPR m.28/3) kullanım şartlarının veri işleme bölümündedir.

1.2. Loop işi izler, çalışanı izlemez

Loop konum, ekran görüntüsü, klavye ve fare hareketi, aktiflik ya da çevrim içi süre gibi kişiyi izleyen hiçbir veri toplamaz; bu tür bir ölçüm ürünün veri modelinde yoktur. Ölçülen şey görevdir: hangi iş, hangi aşamada ve ne zaman tamamlandı. Performans ekranındaki ölçümler görevlerin zamanında tamamlanma verisinden türetilir ve kişilerin çalışma kalitesini ölçmez.

2. Hangi verileri topluyoruz

2.1. Bize doğrudan ilettikleriniz

• Hesap: Adınız, e-posta adresiniz ve parolanızın kriptografik özeti. Parola yalnız kimlik doğrulama sağlayıcısında özetlenmiş hâlde durur, düz metin olarak hiçbir yerde saklanmaz ve tarafımızca görülemez. E-posta adresinizin doğrulanması zorunludur.
• Firma içindeki rolünüz: Firma sahibi, yönetici ya da üye olmanız ve erişim listesiyle sınırlanmış projelere erişiminiz.
• Tercihler: Görünüm seçiminiz (tema, açık ya da koyu mod, zemin ve vurgu rengi), bildirim tercihiniz ve pano düzeniniz hesabınızda tutulur; diğer görünüm tercihleri yalnız cihazınızda kalır.
• Davet kayıtları: Firmaya davet edilen e-posta adresi ve davetin durumu (bekliyor, kabul edildi, iptal edildi, süresi doldu).
• Yazışmalar: [email protected] ya da [email protected] adresine yazdığınızda adınız, e-posta adresiniz, mesajınız ve hak başvurularında kimliğinizi doğrulamak için sunduğunuz bilgiler. Site’deki “WhatsApp ile sohbet edin” düğmesi WhatsApp’ta bizimle bir yazışma başlatır. Yazarsanız telefon numaranız, WhatsApp’ta görünen adınız ve mesajlarınız bu yazışmayı yanıtlamak için işlenir; yazışma WhatsApp’ın kendi koşullarına da tabidir.

Hesap açmak için ad, e-posta adresi ve parola zorunludur; bunlar verilmezse hesap açılamaz. Tercihler ile tarayıcı ve telefon bildirimi isteğe bağlıdır.

2.2. Firmanızın iş verisi

Firmanız hizmeti kullanırken aşağıdaki kayıtlar girilir ve saklanır; bu kayıtlar için 1.1. maddedeki veri işleyen sıfatımız geçerlidir:

• Görevler, alt görevler, aşamalar, sorumlu atamaları ve atama geçmişi, görev türleri ve alan tanımları.
• Görev yorumları ve etkinlik geçmişi (kimin, ne zaman, neyi değiştirdiği).
• Projeler, proje sohbeti mesajları ve mesajlara eklenen dosyalar.
• Form tanımları ve form yanıtları (uygulama içi formlardan ve dışa açık formlardan).
• Otomasyon kuralları ve kural çalışma günlüğü (hangi kuralın, ne zaman, hangi sonuçla çalıştığı).
• “Gizli” işaretli alan değerleri. Bu değerler ayrı bir sütunda tutulur, yalnız firmanın yetkilendirdiği kişilerce tek bir denetimli yoldan okunur ve AI asistanına ya da dışa açık formlara gitmez.

2.3. Dışa açık formlar

Firmanız bir formu bağlantıyla dışa açtığında, formu dolduran kişinin yazdığı yanıtlar firmanızın iş verisi olarak saklanır ve bu yanıtların veri sorumlusu firmanızdır. Kötüye kullanımı ve aşırı isteği sınırlamak için gönderenin IP adresinin tek yönlü özeti (SHA-256) 7 gün tutulur; IP adresinin kendisi saklanmaz. Formu dolduran kişi için hesap açılmaz ve cihazına çerez yazılmaz.

2.4. Otomatik olarak toplanan teknik veriler

• Bildirim kayıtları: Kime, ne zaman ve hangi kanaldan bildirim gönderildiği ve teslim durumu.
• Tarayıcı ve telefon bildirimi: Yalnız siz açtığınızda, tarayıcınızın verdiği abonelik adresi ve şifreleme anahtarları ya da mobil uygulamada telefonunuzun bildirim jetonu ve telefon türü.
• Otomasyon sayacı ve olay kuyruğu: Kural çalışmalarının sayısı (aylık kota için) ve işlenmeyi bekleyen olaylar.
• AI asistanı konuşması: Yazdığınız istek ve yanıtın özeti. Özet kayda yazılırken 10 ile 11 haneli sayı dizileri ve e-posta adresleri maskelenir (7. bölüm).
• İstek bilgileri: Siteyi ve uygulamayı sunan Cloudflare, isteklerin IP adresini kendi gizlilik politikasına göre geçici olarak işler. Loop kendi uygulama kodunda erişim kaydı tutmaz; Cloudflare’in ve Supabase’in kendi işletim ve güvenlik kayıtları (IP adresi dahil) bu sağlayıcıların politikalarına ve saklama sürelerine tabidir.
• Çerez kullanmayan ziyaret sayımı: Site’deki ziyaret sayısı Cloudflare Web Analytics ile, çerez ve tanımlayıcı kullanılmadan ölçülür. Bu ölçüm kişi düzeyinde profil oluşturmaz; yalnız sayfa, geliş kaynağı, tarayıcı türü ve ülke bazında toplu sayı üretir.
• Tarayıcıda tutulan kayıtlar: Oturumunuzu açık tutan ve tercihlerinizi hatırlayan kayıtlar cihazınızda kalır. Oturum jetonu kimliğinizi doğrulamak için her istekte sunucuya taşınır. Tam liste çerez politikasındadır. Mobil uygulamada oturum telefonun güvenli deposunda (Android’de Keystore, iPhone’da Keychain) tutulur ve çıkışta silinir.
• Hata kayıtları: Uygulamada ya da Site’de bir hata oluştuğunda hatanın teknik özeti (hata metni, sayfa, uygulama sürümü, tarayıcı türü ve varsa firma) sunucuya yazılır; e-posta adresi, telefon ve kimlik numarası gibi değerler kayda yazılmadan maskelenir. Bu kaydı yalnız Loop’un yetkili operatörü görür.

2.5. Ödeme bilgileri

Ücretli paket ödemeleri Stripe tarafından işlenir. Kart bilgileri Stripe’ın kendi ödeme sayfasında girilir; kart numarası, güvenlik kodu ve son kullanma tarihi sunucularımıza hiç uğramaz ve hiçbir koşulda saklanmaz. Loop’ta yalnız paket, abonelik durumu ve Stripe müşteri ve abonelik kimlikleri tutulur. Stripe’a firma adı, firma sahibinin e-posta adresi ve fatura bilgileri iletilir. Free paket için kart bilgisi istenmez.

2.6. Yalnız izninizle toplanan reklam ölçümü verileri

Site’deki çerez bandında ya da “Çerez Tercihleri” panelinde reklam ölçümüne izin verirseniz, Google Ads dönüşüm etiketi şu verileri doğrudan Google’a gönderir: ziyaret ettiğiniz Loop sayfasının adresi (adresin sorgu kısmı olmadan), tarayıcınıza atanan rastgele tanımlayıcı, reklam tıklama kimliği ve bu kimliği taşıyan çerez, firma kurulumunda üretilen rastgele işlem numarası, IP adresiniz ve tarayıcı ve cihaz bilgisi. Sayfa adresi Google’a sorgu kısmı çıkarılarak gönderilir; adrese eklenmiş bir bilgi ve sizi Site’ye yönlendiren dış sayfanın adresi Google’a gitmez. Reklam tıklama kimliği adresten ayrıca alınır ve yalnız bu kimlik iletilir. İzin vermezseniz Google etiketi yüklenmez ve bu veriler toplanmaz. Ayrıntı çerez politikasının reklam ölçümü bölümündedir.

2.7. Toplamadığımız veriler

• İzniniz olmadan reklam ya da izleme çerezi; izinli reklam ölçümü dışında üçüncü taraf izleme betiği; kullanım telemetrisi (yalnız hata kaydı tutulur); izinli reklam ölçümündeki reklam tıklama kimliği ve rastgele tarayıcı tanımlayıcısı dışında reklam kimliği; cihaz parmak izi.
• Konum, ekran görüntüsü, klavye ve fare hareketi, aktiflik ya da çevrim içi süre.
• Kart numarası ya da banka hesap bilgisi.
• Posta ekranında bağladığınız Gmail ya da Outlook hesabının içeriği ve erişim jetonları. Bunlar sunucularımıza hiç gelmez (8. bölüm).

3. Çerezler ve benzeri teknolojiler

Site ve uygulama, çalışmaları için gereken kayıtları tarayıcınızın yerel deposunda tutar. Hizmetin çalışması için zorunlu olmayan tek kullanım, Site’de yalnız izninizle çalışan Google Ads reklam ölçümüdür. Bu nedenle Site’yi ilk açtığınızda bir çerez bandı gösterilir; reklam ölçümünü “Tümünü Kabul Et”, “Tümünü Reddet” ya da “Tercihleri Yönet” seçenekleriyle yönetebilirsiniz. Kararınızı istediğiniz zaman sayfanın alt bilgisindeki “Çerez Tercihleri” bağlantısından değiştirebilirsiniz. Kullanılan her kaydın adı, amacı ve süresi çerez politikasındadır.

4. Verileri hangi amaçlarla ve hangi hukuki sebeplerle işliyoruz

Posta ekranındaki Gmail ve Outlook verisi sunucularımıza gelmediği için bu tablodaki hukuki sebepler o veriye uygulanmaz (8. bölüm).

4.1. İşlemediğimiz amaçlar

• Kişisel verilerinizi pazarlama, reklam kişiselleştirmesi ya da davranışsal analiz amacıyla işlemeyiz. Tek istisna, Site’de yalnız açık rızanızla çalışan reklam dönüşüm ölçümüdür.
• Loop pazarlama e-postası göndermez ve bir duyuru listesi yoktur. Görev başına e-posta gönderilmez. Yalnız firma sahibine ve yöneticilerine, kendi seçtikleri sıklıkta (günlük ya da haftalık) firmanın iş durumunu özetleyen tek bir e-posta gönderilir ve bu özet ayarlardan kapatılabilir. Hesap doğrulama ve parola sıfırlama iletileri yalnız siz o işlemi başlattığınızda gönderilir. Bir firmaya davet edildiğinizde, daveti gönderen kişinin isteğiyle size bir davet e-postası gönderilir.

4.2. Performans ekranı

Performans ekranı, firmanızın talimatıyla görev tamamlanma verisinden türetilen bir rapordur ve GDPR anlamında iş performansına ilişkin bir değerlendirme içerebilir. Raporun çalışanlara karşı kullanımı, çalışanların bu konuda aydınlatılması ve gerekiyorsa iş hukukundan doğan yükümlülükler firmanızın sorumluluğundadır. Loop rapordan kendiliğinden hiçbir karar üretmez.

5. Kişisel verilerin yurt içine aktarılması

KVKK’nın 8. maddesine göre kişisel veriler kural olarak ilgili kişinin açık rızasıyla aktarılır. Kanunun 5. maddesinin ikinci fıkrasında sayılan şartlardan biri bulunduğunda (örneğin aktarımın kanunlarda açıkça öngörülmesi, bir sözleşmenin ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da bir hakkın tesisi, kullanılması veya korunması için zorunlu olması) ve özel nitelikli kişisel veriler bakımından Kanunun 6. maddesindeki şartlar bulunduğunda açık rıza aranmaz.

Kişisel verileriniz Türkiye’de yalnız şu durumlarda aktarılabilir:

• Yetkili kamu kurum ve kuruluşlarına (örneğin mahkemeler ve Kişisel Verileri Koruma Kurumu), kanuni bir yükümlülük hâlinde ve yazılı ve kapsamı belirli bir talep üzerine, talebin kapsamıyla sınırlı olarak (KVKK m.5/2-a ve ç).
• Gerektiğinde mali ve hukuki danışmanlarımıza, yasal yükümlülüklerimizin yerine getirilmesi ya da bir hakkın tesisi, kullanılması veya korunması için gereken ölçüde (KVKK m.5/2-ç ve e).

6. Kişisel verilerin yurt dışına aktarılması

6.1. Kanunun öngördüğü yollar

KVKK’nın 9. maddesi, 1 Haziran 2024’te yürürlüğe giren 7499 sayılı Kanunla değiştirilmiştir. Maddenin bugünkü hâline göre kişisel veriler yurt dışına şu yollardan biriyle aktarılabilir:

1. Yeterlilik kararı: Kanunun 5. ya da 6. maddesindeki işleme şartlarından biri bulunuyorsa ve aktarımın yapılacağı ülke, ülkedeki sektör ya da uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulunun yeterlilik kararı varsa. 2. Uygun güvenceler: Yeterlilik kararı yoksa; işleme şartlarından biri bulunuyor, ilgili kişinin aktarımın yapıldığı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânı varsa ve taraflar Kanunda sayılan uygun güvencelerden birini sağlamışsa. Bu güvenceler; kamu kurumları arasında Kurulun izin verdiği anlaşma, Kurulun onayladığı bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme ve Kurulun izin verdiği yazılı taahhütnamedir. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir. 3. Arızi aktarım: Yeterlilik kararı ve uygun güvence yoksa, yalnız düzenli olmayan ve süreklilik taşımayan aktarımlarda ve Kanunda sayılan hallerden biri bulunduğunda. Bu haller arasında muhtemel riskler hakkında bilgilendirilen ilgili kişinin aktarıma açık rıza vermesi ve aktarımın ilgili kişiyle yapılan bir sözleşmenin ifası için zorunlu olması da vardır.

Yurt dışına aktarılan verilerin başka ülkelere sonraki aktarımlarında da aynı kurallar uygulanır.

Kişisel Verileri Koruma Kurulu bu politikanın tarihi itibarıyla hiçbir ülke için yeterlilik kararı vermemiştir. Bu nedenle aşağıdaki aktarımların hiçbiri bir yeterlilik kararına dayanmaz.

6.2. Verilerin aktarıldığı alıcılar

MercanWorks OÜ Estonya’da, yani Avrupa Birliği’nde yerleşiktir ve Hizmet’i aşağıdaki sağlayıcılarla sunar. Türkiye’deki kullanıcılar bakımından bu sağlayıcılara yapılan iletim yurt dışına aktarım niteliğindedir.

Her sağlayıcının kendi alt işleyicileri (örneğin Supabase için Amazon Web Services) sağlayıcının kendi listesinde yer alır. Verileriniz hiçbir koşulda satılmaz ya da kiralanmaz ve veri simsarlarına aktarılmaz.

Kişisel Verileri Koruma Kurulu bu sağlayıcıların bulunduğu ülkeler için yeterlilik kararı vermemiştir. Bu nedenle Türkiye’deki kullanıcılar için bu ülkelerde Türkiye’deki koruma düzeyinin ve başvuru yollarının aynen sağlanacağı güvence altında değildir. Avrupa Birliği’ndeki kullanıcılara ilişkin bilgi 6.4. maddededir.

6.3. Google Ads reklam ölçümü

Site’de reklam ölçümüne izin verirseniz 2.6. maddedeki veriler Google Ireland Limited (İrlanda) ve Google LLC’ye (ABD) iletilir; Google bu verileri başka ülkelerdeki sunucularında da işleyebilir. Google bu verileri kendi koşullarına göre ve kendi amaçları için bağımsız veri sorumlusu olarak işler.

Bu aktarım yalnız açık rızanızla gerçekleşir; izin vermezseniz yapılmaz ve izninizi istediğiniz an geri alabilirsiniz. Türkiye’deki kullanıcılar bakımından bilmeniz gerekenler şunlardır: Kurulun bu ülkeler için verdiği bir yeterlilik kararı yoktur; bu ülkelerde Türkiye’deki koruma düzeyine ve başvuru yollarına eşdeğer bir güvence bulunmayabilir, verilere o ülkenin kamu makamları kendi hukukuna göre erişebilir ve haklarınızı Google’a karşı kullanmanız daha güç olabilir.

Google’ın bu verileri nasıl kullandığı, “Google’ın iş ortağı sitelerinden gelen bilgileri kullanımı” sayfasında anlatılır. Google, reklam sunucusu kayıtlarında IP adresinin bir bölümünü 9 ay, çerez bilgisini 18 ay sonra kaldırdığını açıklamaktadır.

6.4. Avrupa Birliği’ndeki kullanıcılar

Veritabanı ve kimlik doğrulama verileriniz Avrupa Birliği sınırları içinde saklanır. Avrupa Birliği dışına yapılan sınırlı aktarımlar şunlardır: AI asistanını çalıştırdığınızda yazdığınız metin ABD’de OpenAI’ye, ödeme verisi Stripe’a gider; dosya eklerinin içeriği Cloudflare’in küresel ağında saklanır ve Avrupa Birliği dışında işlenebilir; Google Workspace ile gönderilen e-postalar ve WhatsApp yazışmaları Avrupa Birliği dışındaki sunucularda da işlenebilir. Bu aktarımlarda uygulanan güvenceler hakkında bilgi almak için [email protected] adresine yazabilirsiniz. Avrupa Ekonomik Alanındaki ziyaretçilerin reklam ölçümü verisini Google Ireland Limited alır; Google, verileri ABD’ye aktarırken Avrupa Komisyonunun AB-ABD Veri Gizliliği Çerçevesine ilişkin yeterlilik kararına dayandığını açıklamaktadır.

6.5. Sağlayıcı değişikliği

Yeni bir veri işleyen eklenmeden ya da mevcut biri değiştirilmeden en az 30 gün önce 6.2. maddedeki tablo güncellenir ve değişiklik bu sayfada duyurulur. Firmanız bu süre içinde [email protected] adresine yazarak itiraz edebilir; itiraz giderilemezse firma sahibi firmayı kapatabilir (etkin abonelik varsa önce abonelik iptal edilir).

[yayın tarihi] tarihli güncellemeyle 6.2. maddedeki tabloya, hesap doğrulama, davet ve özet e-postalarının gönderiminde kullanılan Google Workspace eklendi. Firmanız bu değişikliğe bu tarihten itibaren 30 gün içinde [email protected] adresine yazarak itiraz edebilir.

6.6. Tarayıcınızın doğrudan kurduğu bağlantılar

Posta ekranını kullandığınızda tarayıcınız Google ya da Microsoft sunucularıyla doğrudan iletişim kurar; bu trafik sunucularımızdan geçmez ve MercanWorks OÜ bu veriyi aktarmaz. Ödeme sırasında Stripe’ın ödeme sayfasına yönlendirilirsiniz; o sayfa Stripe’ın kendi politikasına tabidir. Bu bağlantılarda IP adresiniz ilgili sağlayıcıya teknik olarak görünür.

7. AI kurulum asistanı

“Anlat, ben kurayım” asistanı, firmanızın görev türlerini, aşamalarını, alanlarını, iş adımlarını, görevlerini, formlarını ve otomasyon kurallarını yazdığınız anlatımdan kurmanıza yardım eder. Asistan yalnız siz çalıştırdığınızda devreye girer, arka planda kendiliğinden çalışmaz ve verilerinizi kendiliğinden okumaz. Dil modelini OpenAI sağlar.

• Gönderilen: Yazdığınız istek metni; firmanızın tür, alan, aşama, kural, proje ve ekip adları; asistanın sorumlu atayabilmesi için üyelerin ad ve rol listesi. Asistandan var olan bir işi bulmasını ya da güncellemesini isterseniz o aramada eşleşen görevlerin numarası, başlığı, aşaması, projesi, sorumluları ve son tarihi de gönderilir.
• Gönderilmeyen: Görevlerin açıklamaları, yorumlar, proje sohbeti mesajları, dosya ekleri, form yanıtları, alan değerleri ve gizli alan değerleri, posta içeriği ve ödeme bilgileri.
• Maskeleme: OpenAI’ye gönderilen istek metni maskelenmez ve yazdığınız her şey olduğu gibi gider; bu yüzden isteğe kişisel veri yazmamanızı öneririz. Maskeleme yalnız konuşma özeti kayda yazılırken uygulanır: 10 ile 11 haneli sayı dizileri (telefon numarası, T.C. kimlik numarası ve sipariş numarası aynı uzunlukta olduğu için ayırt edilmez) ve e-posta adresleri özet yazılırken maskelenir.
• Önizleme ve onay: Asistanın kurmak istediği her şey önce önizleme olarak gösterilir ve onayınız olmadan hiçbir kayıt yazılmaz. Konuşmanın maskeli özeti kalite ve kötüye kullanım denetimi ile kredi sayımı için 12 ay saklanır. Konuşmalarınızı ya da firmanızın verisini hiçbir modelin eğitiminde kullanmayız. OpenAI’nin API politikasına göre API üzerinden gönderilen girdi ve çıktılar varsayılan olarak model eğitiminde kullanılmaz ve OpenAI kötüye kullanımı izlemek için bu kayıtları en çok 30 gün tutar.
• Kredi: Asistan AI kredisiyle çalışır; bir kredi asistanla bir turdur. Free pakette AI kredisi yoktur, asistan kapalıdır ve OpenAI’ye hiçbir veri gitmez.
• Otomatik karar yoktur: Loop kişiler hakkında kendiliğinden hiçbir karar vermez; hukuki sonuç doğuran ya da kişiyi benzer ölçüde etkileyen bir karar üreten otomatik sistem üründe yoktur. KVKK m.11/1-g ve GDPR m.22 kapsamındaki itiraz hakkınız saklıdır.

8. Posta (Gmail ve Outlook) verileri

Posta ekranı, kendi Gmail ya da Outlook ve Microsoft 365 hesabınızı Loop’un içinden okumanızı ve yanıtlamanızı sağlar. Posta ekranı bir sağlayıcı yapılandırılmamışsa görünmez ve örnek firmayla gezerken çalışmaz. Gmail bağlantısı şu anda sunulmamaktadır; bu bölümün Gmail’e ilişkin hükümleri, bağlantı yeniden sunulursa geçerli olur.

Bu bölümde “Loop uygulaması” tarayıcınızda çalışan yazılımı, “sunucularımız” ise MercanWorks OÜ’nün işlettiği sunucuları anlatır. Gmail ve Outlook verinize yalnız tarayıcınızdaki Loop uygulaması erişir ve bu veriyi yalnız orada işler; sunucularımız bu veriyi almaz, saklamaz ve göremez.

8.1. Ne yapar

• Gelen kutunuzu listeler ve iletileri gösterir.
• Yanıt yazmanızı ve yeni ileti göndermenizi sağlar.
• İletiyi siler (kalıcı olarak silmez; ileti sağlayıcının silinenler klasöründen geri alınabilir), arşivler ve okundu ya da okunmadı olarak işaretler.
• Bunların dışında hesabınızda hiçbir işlem yapmaz; kişilerinize, takviminize, dosyalarınıza ya da paylaşılan posta kutularına erişmez.

8.2. Yetkilendirme tarayıcınızda yapılır

Hesabınızı bağlarken Google ya da Microsoft’un kendi giriş sayfasına yönlendirilirsiniz ve parolanızı Loop’a hiçbir zaman yazmazsınız. Yetkilendirme OAuth 2.0 ile tamamen tarayıcınızda tamamlanır; araya giren bir sunucu bileşeni yoktur ve jetonlar sunucularımıza iletilmez. İstenen izinler yalnız 8.1. maddedeki işlemler için gereken en dar kapsamdır. Kapsam değişirse bu sayfa güncellenir ve sağlayıcının onay ekranından yeniden yetkilendirmeniz istenir. Posta ekranındaki veri sunucularımıza gelmediği için 4. bölümdeki hukuki sebepler bu veriye uygulanmaz; yetkilendirme sizin Google ya da Microsoft’a verdiğiniz izindir ve 8.5. maddedeki yollarla istediğiniz zaman geri alınabilir.

8.3. İzin kapsamları

• Google (Gmail): gmail.modify (posta okuma; etiket, silinenler ve arşiv değişikliği; gönderme; kalıcı silme bu kapsamın dışındadır), openid ve email (hesabınızı e-posta adresiyle göstermek için). Gmail’e tam erişim, kişiler, takvim, Drive ya da başka bir Google hizmeti kapsamı istenmez. Google bağlantısında erişim jetonu yaklaşık bir saat geçerlidir, yenileme jetonu alınmaz ve kalıcı erişim yoktur.
• Microsoft (Outlook, Microsoft 365, Hotmail): Mail.ReadWrite (Loop bu yetkinin yalnız okuma, taşıma ve işaretleme kısmını kullanır; iletiyi silinenler klasörüne taşır, kalıcı olarak silmez), Mail.Send (sizin adınıza ileti gönderme), openid ve email, offline_access (bağlantının her açılışta yeniden giriş istemeden sürmesi için yenileme jetonu). Bu son izin nedeniyle Microsoft bağlantısı, siz kaldırana, Microsoft hesabınızdan iptal edene ya da Microsoft jetonu geçersiz kılana kadar sürer. Mail.ReadWrite.All ya da paylaşılan posta kutusu izinleri istenmez.

8.4. Veri yalnız cihazınızda kalır

Erişim ve yenileme jetonları tarayıcınızın yerel deposunda tutulur. İletilerin içeriği tarayıcınızın belleğinde işlenir ve cihazınızda kalıcı olarak saklanmaz. Posta içeriği ve jetonlar sunucularımıza, veritabanına, günlük kayıtlarına, AI asistanına ya da başka bir üçüncü tarafa gitmez; veri yalnız tarayıcınız ile Google ya da Microsoft sunucuları arasında, doğrudan ve şifreli olarak hareket eder. Bu veriyi göremeyiz, saklamayız, satmayız, reklam için ve model eğitiminde kullanmayız ve veri insanlar tarafından okunmaz. Bağlantı cihaza ve tarayıcıya bağlıdır: başka bir cihazda hesabınızı yeniden bağlamanız gerekir ve tarayıcı verilerini silerseniz bağlantı düşer.

8.5. Bağlantıyı kaldırma ve erişimi iptal etme

Posta ekranından bağlantıyı kaldırdığınızda jetonlar ve hesap bilgisi cihazınızdan silinir; sunucularımızda silinecek bir kopya yoktur. Erişimi ayrıca Google hesabınızın üçüncü taraf uygulama izinleri sayfasından ve Microsoft hesabınızın gizlilik ayarlarındaki uygulama izinleri bölümünden iptal edebilirsiniz.

8.6. İleti gövdesi ve uzak görseller

İleti gövdesi, betik çalıştırmayan yalıtılmış bir çerçevede gösterilir. İletideki uzak görseller yalnız ayrı ve kısıtlı bir çerçevede yüklenir; görsel isteği tarayıcınızdan doğrudan gönderenin sunucusuna gider ve o sunucu IP adresinizi görebilir. Loop bu isteklere aracılık etmez.

9. Google API Services User Data Policy, Sınırlı Kullanım

Loop's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements. Türkçesi: Loop’un Google API’lerinden aldığı bilgileri kullanması ve başka bir uygulamaya aktarması, Sınırlı Kullanım gereklilikleri dahil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası’na uygun olur.

Bu taahhüt Gmail hesabınızdan Posta ekranı için alınan bütün veriler için geçerlidir ve şu ilkeleri içerir:

• Gmail verisi yalnız kullanıcıya görünen Posta özelliğini (okuma, yanıtlama, gönderme, silme, arşivleme, okundu işaretleme) sunmak için kullanılır.
• Reklam sunmak, reklam hedeflemek ya da reklam için ölçüm yapmak amacıyla kullanılmaz.
• İnsanlar tarafından okunmaz. Politikanın tanıdığı istisnalar yalnız sizin açık izniniz, güvenlik amaçlı inceleme ve yasal zorunluluktur; veri sunucularımıza gelmediği için bu istisnaların hiçbiri uygulamada gerçekleşmez.
• Üçüncü taraflara aktarılmaz ve satılmaz; uzak görseller için 8.6. maddedeki sınırlı istisna geçerlidir.
• Genel amaçlı yapay zekâ ya da makine öğrenmesi modellerini geliştirmek, iyileştirmek ya da eğitmek için kullanılmaz.

Microsoft hesabınızdan alınan posta verileri için de aynı ilkeleri uygularız.

10. Saklama süreleri

Aşağıdaki süreler, aksi belirtilmedikçe, kodda tanımlıdır ve her gece otomatik olarak uygulanır. Süre dolduğunda veri silinir.

Dosya eklerinin içeriği Cloudflare R2’de, künyesi veritabanında tutulur; dosya silindiğinde içeriği de silinir. Bir dosya en çok 25 MB olabilir. Posta ekranı için sunucularımızda saklanan bir veri yoktur. Görev listesini ve performans raporunu uygulamanın içinden CSV olarak dışa aktarabilirsiniz; bütün firmayı tek seferde arşivleyen bir indirme özelliği yoktur.

11. Verilerin güvenliği

Verilerinizi yetkisiz erişime, kayba ve ifşaya karşı korumak için aşağıdaki önlemleri uygularız. Burada yalnız ürünün bugün uyguladığı önlemler yazılıdır.

• Firma ayrımı: Her firma yalnız kendi verisini görür; bu kural veritabanı düzeyinde satır güvenliğiyle uygulanır ve canlı testlerle ölçülür.
• Şifreli iletim: Bütün bağlantılar TLS ile şifrelidir.
• Parola: Yalnız kimlik doğrulama sağlayıcısında özetlenmiş olarak durur; düz metin parola hiçbir yerde yoktur.
• Gizli alanlar: Ayrı sütunda tutulur ve tek bir denetimli yoldan, yalnız yetkili kişilerce okunur.
• İçerik güvenliği politikası: Uygulamaya üçüncü taraf betik girmez. İzinli reklam ölçümü sayfanın içinde değil, ayrı ve kısıtlı bir çerçevede çalışır; gizli anahtarlar tarayıcıya gönderilmez.
• Posta: İleti gövdeleri betik çalıştırmayan yalıtılmış bir çerçevede gösterilir ve jetonlar sunucuya iletilmez.
• Dosya bütünlüğü: Her dosya ekinin SHA-256 özeti indirmede doğrulanır; tutmazsa dosya gösterilmez.
• Bağımlılıklar: Kullanılan yazılım bileşenleri bilinen güvenlik açıklarına karşı düzenli olarak taranır.
• Veri merkezi: Veritabanı Avrupa Birliği’ndedir. Sağlayıcıların güvenlik belgeleri 11.1. maddededir.
• İdari tedbirler: Erişim en az yetki ilkesiyle sınırlıdır, gerçek veriler üzerinde deneme yapılmaz ve test hesapları ayrıdır.

Bir güvenlik açığı bulduğunuzu düşünüyorsanız [email protected] adresine, konu satırına “güvenlik” yazarak bildirebilirsiniz.

Firmanızın iş verisini etkileyen bir ihlalde firmanızı gecikmeksizin bilgilendiririz; bu veri için denetim otoritesine ve ilgili kişilere bildirim yükümlülüğü firmanıza aittir. Veri sorumlusu olduğumuz hesap ve abonelik verilerinde ise bildirim KVKK kapsamında en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna, GDPR kapsamında en geç 72 saat içinde yetkili denetim otoritesine yapılır ve etkilenen kullanıcılar makul sürede bilgilendirilir.

11.1. Sağlayıcılarımızın güvenlik belgeleri

Sağlayıcılarımızın güvenlik programları ve belgeleri kendi sayfalarında yayımlanır: Supabase, Cloudflare, Stripe, OpenAI, Firebase ve Google Workspace. Bu belgeler sağlayıcının bilgi güvenliği düzeyini gösterir ve 6. bölümde anlatılan hukuki aktarım kurallarının yerine geçmez. Bu belgeler sağlayıcılara aittir; Loop’un ya da MercanWorks OÜ’nün kendisi için bir sertifika anlamına gelmez.

Supabase →

Cloudflare →

Stripe →

OpenAI →

Firebase →

Google Workspace →

12. Diğer sitelere verilen bağlantılar

Site’de ve uygulamada Google, Microsoft, Stripe ve WhatsApp gibi başka kuruluşların sayfalarına bağlantılar bulunur. Bu sayfalar kendi sahiplerinin gizlilik politikalarına tabidir ve bu politika o sayfalardaki veri işlemeyi kapsamaz. Bu sayfalara geçmeden önce ilgili politikaları incelemenizi öneririz. “WhatsApp ile sohbet edin” düğmesi sizi WhatsApp’a yönlendirir ve bu yazışma WhatsApp’ın gizlilik politikasına da tabidir.

WhatsApp’ın gizlilik politikası →

13. Çocukların verileri

Loop işletmeler için tasarlanmış bir hizmettir ve çocuklara yönelik değildir; çocuklardan bilerek kişisel veri toplamayız. Bir çocuğa ait kişisel verinin Hizmet’e girildiğini düşünüyorsanız [email protected] adresine yazabilirsiniz; başvurunuz 14. bölümdeki usulle değerlendirilir. Firmanızın iş verisinde yer alan kişilere ait veriler için veri sorumlusunun firmanız olduğunu hatırlatırız.

14. Haklarınız

KVKK’nın 11. maddesi ve GDPR’ın 15 ile 22. maddeleri kapsamında şu haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi isteme.
• İşlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme.
• Verilerinizin yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik ya da yanlış işlenmişse düzeltilmesini isteme.
• Silinmesini ya da yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Verilerinizin yalnız otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç doğmasına itiraz etme (Loop böyle bir karar vermez; 7. bölüm).
• Açık rızaya dayanan işlemelerde (reklam ölçümü, tarayıcı ve telefon bildirimi) rızanızı istediğiniz zaman geri alma. Reklam ölçümü iznini sayfanın alt bilgisindeki “Çerez Tercihleri” bağlantısından geri alabilirsiniz.
• Kanuna aykırı işleme nedeniyle zarara uğrarsanız zararın giderilmesini isteme.
• GDPR’a özgü olarak: erişim (m.15), veri taşınabilirliği (m.20; veri sorumlusu olduğumuz hesap verinizin yapılandırılmış bir kopyasını başvuru üzerine alırsınız), işlemenin kısıtlanmasını isteme (m.18) ve meşru menfaate dayanan işlemelere itiraz (m.21).

Bazı işlemleri uygulamanın içinden kendiniz yapabilirsiniz: görev ve performans verinizi CSV olarak dışa aktarabilir, tarayıcı ya da telefon bildirimini kapatabilir, posta bağlantısını kaldırabilir, firma sahibi olarak firmayı kapatabilir ve hesabınızı (Ayarlar, Hesabı sil) silebilirsiniz.

14.1. Başvuru

Bu hakları kullanmak için kayıtlı e-posta adresinizden [email protected] ya da [email protected] adresine yazılı olarak başvurabilirsiniz; başvuruda kimliğiniz doğrulanır. Talebiniz en geç 30 gün içinde ve ücretsiz olarak, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun biçimde yanıtlanır. Firmanızın iş verisinde yer alan kişilere ait veriler için başvuru muhatabı firmanızdır; bize ulaşan böyle bir talebi ilgili firmaya yönlendiririz.

14.2. Şikâyet hakkı

Avrupa Birliği’nde yerleşikseniz, yaşadığınız ya da çalıştığınız üye devletin denetim otoritesine ya da baş denetim otoritemiz olan Estonya Veri Koruma Müfettişliğine (Andmekaitse Inspektsioon) şikâyette bulunabilirsiniz. Türkiye’de yerleşikseniz, başvurunuzun reddedilmesi, yanıtın yetersiz bulunması ya da süresinde yanıtlanmaması hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz.

15. Bu politikadaki değişiklikler

Bu politika değiştiğinde yeni sürüm, sayfanın başındaki güncelleme tarihiyle birlikte bu sayfada yayımlanır. Ürüne yeni bir veri kategorisi, amaç, alıcı ya da saklama süresi eklendiğinde metin buna göre güncellenir; veri işleyen değişiklikleri 6.5. maddedeki 30 günlük önceden duyuru kuralına tabidir. Bu metin bir bilgilendirmedir ve onayınız aranmaz. Bir değişiklik açık rızaya dayanan yeni bir işleme getiriyorsa rızanız ayrıca ve önceden istenir.

16. İletişim

Bu politika ya da kişisel verileriniz hakkındaki sorularınız için [email protected] adresine, genel sorular için [email protected] adresine yazabilirsiniz. Posta adresimiz: MercanWorks OÜ, Harju maakond, Tallinn, Põhja-Tallinna linnaosa, Paavli tn 5a/1, 10412, Estonya.

KVKK aydınlatma metni →

Çerez politikası →

Kullanım şartları →

İptal ve iade →

İletişim sayfası →

Google API Services User Data Policy →

Google’ın iş ortağı sitelerinden gelen bilgileri kullanımı →

Google hesabı üçüncü taraf uygulama izinleri →

Microsoft hesabı uygulama izinleri →