Gizlilik ve Kişisel Verilerin Korunması Aydınlatma Metni

Son güncelleme: 3 Ekim 2026 · Veri sorumlusu: Lunify Yazılım ve Ticaret A.Ş. · Uygulama: Lunify Aura (katalog ve teklif (quote) uygulaması)

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, Lunify Yazılım ve Ticaret A.Ş. (“Lunify”) olarak Lunify Aura uygulamasında kişisel verilerinizi aşağıda açıklandığı şekilde işliyoruz. Bu metin, Lunify'ın kurumsal KVKK aydınlatma metninin bu uygulamaya özgü ekidir; çelişki halinde bu sayfadaki uygulamaya özel açıklamalar esas alınır.

1. Veri sorumlusunun kimliği

Lunify Yazılım ve Ticaret A.Ş. · Denizli / Türkiye · İletişim: destek@lunify.world

2. Bu uygulamada işlenen kişisel veriler

Veri kategorisi	Örnek veriler	İşleme amacı	Hukuki sebep (KVKK m.5)
Kimlik ve iletişim	Ad soyad, e-posta, firma	Hesap, giriş, destek	Sözleşmenin ifası
Katalog verileri	Ürün, fiyat, görsel ve marka bilgileri	Katalog yönetimi	Sözleşmenin ifası
Teklif ve müşteri kayıtları	Teklif verdiğiniz kişi/firma bilgileri, teklif PDF içerikleri	Teklif üretimi (veri işleyen olarak)	Sözleşmenin ifası
Oturum ve log	IP, oturum ve işlem logları	Güvenlik, hata takibi	Hukuki yükümlülük; meşru menfaat

3. Sizin yüklediğiniz üçüncü kişi verileri

Lunify Aura uygulamasına sizin girdiğiniz müşteri, tedarikçi ve çalışan verileri bakımından veri sorumlusu sizsiniz; Lunify bu verileri yalnızca hizmeti sunmak amacıyla, talimatınız doğrultusunda veri işleyen olarak işler. Bu veriler başka müşterilerle paylaşılmaz, satılmaz ve yapay zekâ modeli eğitmek için kullanılmaz.

4. Verilerin aktarıldığı taraflar

• Barındırma: Avrupa Birliği (Almanya) içindeki veri merkezi sağlayıcısı.
• Yapay zekâ: AURA’daki mevcut etkin yapılandırma, AI istemlerini OpenRouter’ın standart global API uç noktasına iletir; kullanılan alt model/sağlayıcı ve işleme konumu isteğe göre değişebilir. OpenRouter’ın AB/ABD bölgesel uç noktaları kullanılmamaktadır. Alt sağlayıcıların kayıt/saklama kuralları birbirinden farklı olabilir. Doğrudan DeepSeek API yapılandırması şu anda etkin değildir; etkinleştirilirse API işlemesi Çin’deki uç noktaya gider. AI’ya kişisel veya gizli veri girmeden önce bu aktarımın hukuki dayanağının ve gerekli güvencelerin ayrıca doğrulanması gerekir.
• E-posta ve Google entegrasyonları: Google/Gmail API, SMTP ve Brevo, yalnızca ilgili özelliği kullandığınızda. WhatsApp için QR oturumu kendi WhatsApp hesabınız üzerinden çalışır; WhatsApp/Meta’nın platform koşulları ve kendi gizlilik/kişisel veri işleme uygulamaları geçerlidir. Meta bu tabloda AURA’nın alt işleyeni olarak listelenmemektedir.
• Yetkili kamu kurumları: hukuki yükümlülük halinde.

Alt işleyenler ve veri konumu (güncel liste):

Alt işleyen	Hizmet	Veri konumu
IONOS SE	Sunucu barındırma (uygulama ve veritabanı)	Almanya (AB)
Google LLC / Google Ireland	Yalnızca sizin bağladığınız Gmail, Takvim, Görevler, Drive, Kişiler erişimi ve Google ile giriş	AB / ABD (uygun güvenceler)
OpenRouter ve seçilen alt model/sağlayıcılar	AI istem içeriği	Standart global uç nokta; alt sağlayıcı ve konum isteğe göre değişebilir; AB/ABD bölgesel uç noktası değil
SMTP/e-posta altyapısı (Brevo ve Lunify posta sunucusu)	Bildirim ve doğrulama e-postaları	AB

Uygulama verisinin birincil sunucu konumu Almanya’dır; ancak kullanıcının bağladığı entegrasyonlar ve AI özellikleri, verilerin bu konum dışında işlenmesine yol açabilir. Kurumsal müşteriler veri işleme sözleşmesi (DPA) için kvkk@lunify.world adresine yazabilir.

OpenRouter’ın standart global uç noktası kullanıldığından istemler ve alt sağlayıcılara aktarılan içerik Türkiye dışında işlenebilir. Bu açıklama tek başına KVKK m.9 kapsamında bir aktarım mekanizması bulunduğu anlamına gelmez. Kişisel veri içeren AI aktarımları için uygulanabilir hukuki mekanizma ve gerekli güvenceler somut aktarım bazında tamamlanmalıdır; bu doğrulanana kadar AI istemlerine kişisel/gizli veri eklemeyin. Haklarınız ve DPA talepleri: kvkk@lunify.world.

5. Google kullanıcı verilerinin kullanımı (Limited Use)

LUNIFY AURA'nın Google API'lerinden aldığı bilgileri kullanması ve diğer uygulamalara aktarması, Google API Hizmetleri Kullanıcı Verileri Politikası'na ve Limited Use şartlarına uygundur. Google hesabınızı bağladığınızda AURA yalnızca sizin talep ettiğiniz özellikler için erişir:

• Gmail (salt okunur): gelen kutunuzdaki mesajları uygulama içinde görüntülemek ve müşteri yazışmalarınızla eşleştirmek için okur; mesajlarınızı değiştirmez ve silmez.
• Takvim: AURA'da oluşturduğunuz randevu ve hatırlatmaları birincil takviminize yazar, siz değiştirdiğinizde güncelleştirir.
• Görevler: AURA'daki yapılacak işlerinizi Google Görevler listenizle eşitler.
• Kişiler (Contacts): WhatsApp’tan gelen numaraları isimlerle eşleştirmek, rehberinizdeki kişileri AURA kişi listenize aktarmak ve sizin onayınızla AURA’daki bir kişiyi Google rehberinize eklemek için kullanılır.
• Drive: siz istediğinizde teklif PDF'lerinizi ve belgelerinizi Drive'a kaydeder, referans verdiğiniz dosyaları okur.

Bu veriler reklam amaçlı kullanılmaz, üçüncü taraflara satılmaz, yapay zekâ modeli eğitimi için kullanılmaz ve insan tarafından okunmaz (yalnızca açık izniniz, güvenlik gerekliliği veya yasal zorunluluk halleri hariç). Bağlantıyı dilediğiniz an uygulama içindeki Google ekranından veya Google Hesabınızın “Bağlantılı uygulamalar” bölümünden kaldırabilirsiniz; kaldırdığınızda saklanan erişim ve yenileme anahtarları silinir.

English summary: LUNIFY AURA's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. Google data is accessed only to provide the features you request, is never used for advertising, profiling, AI/ML model training, or sale, and is not read by humans except with your explicit consent, for security purposes, or where required by law. You can revoke access at any time from the app or from your Google Account.

6. Saklama ve silme süreleri

• Hesabınız aktif olduğu sürece saklanır; hesap kapatıldıktan sonra en fazla 90 gün içinde silinir veya anonim hale getirilir.
• Sistem güvenlik ve erişim logları en fazla 12 ay tutulur.
• Mali kayıtlar mevzuat gereği 10 yıl saklanır.
• Günlük yedekler döngüsel olarak üzerine yazılır; silme talebiniz yedek döngüsü tamamlandığında yedeklerde de etkisini gösterir.
• Bağladığınız Google/WhatsApp hesabının bağlantısını kaldırdığınızda ilgili erişim anahtarları uygulamadan silinir.
• Giriş denemesi kayıtları 30 gün, kapanmış oturum kayıtları 30 gün, Luna (AI) sohbet geçmişi 180 gün sonra silinir.
• Denetim kaydı (kim neyi ne zaman değiştirdi) mali ve hukuki delil niteliğinde olduğu için 10 yıl saklanır ve silinemez.
• Bu takvim otomatik işler: her gece çalışan bir görev süresi dolan kayıtları siler. Hesabınızı Güvenlik ekranından silmeyi talep ederseniz, kaydınız 30 gün sonra (bu süre içinde iptal edebilirsiniz) silinir.
• Verilerinizi dilediğiniz an Güvenlik → Verileriniz ekranından JSON olarak indirebilirsiniz (veri taşınabilirliği).

7. Haklarınız (KVKK m.11) ve başvuru

Kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, aktarıldığı tarafları bilme, düzeltme, silme veya yok edilmesini isteme, işlemenin sınırlandırılmasını ve zararınızın giderilmesini talep etme haklarına sahipsiniz.

8. Güvenlik önlemleri

• Her hesap için izole veri alanı; sorgular oturum sahibinin kimliğiyle sınırlandırılır.
• Sunucu tarafında doğrulanan oturumlar; oturum çerezleri HttpOnly, Secure ve SameSite işaretli.
• Yüklenen dosyalar web kökü dışından/erişimi kapalı dizinden, yalnızca sahiplik kontrolünden sonra sunulur.
• Tüm trafik HTTPS/TLS ile şifrelenir (HTTP → HTTPS yönlendirme, HSTS); şifreler geri döndürülemez şekilde saklanır.
• Şifreleme: aktarımda TLS 1.2/1.3; şifreler bcrypt ile geri döndürülemez şekilde saklanır; Google erişim anahtarları ve sağlayıcı anahtarları veritabanında uygulama anahtarıyla şifrelenir; yedekler AES-256 ile şifrelenir.
• Yedekleme: her gece otomatik yedek (veritabanı + yüklenen dosyalar), alındıktan sonra bütünlük testi, 14 gün saklama, hata halinde yöneticiye uyarı. Hedefler: RPO 24 saat, RTO 4 saat (test edilen geri yükleme süresi ~15 dakika).
• İki adımlı doğrulama (2FA/TOTP) ve yedek kodlar; aktif oturum listesi, uzaktan oturum kapatma ve yeni cihazdan girişte e-posta uyarısı.
• Rol bazlı yetkilendirme (Kullanıcı / Yönetici / Firma yöneticisi), tutar limitini aşan tekliflerde ikinci kişi onayı; yetki kontrolleri sunucu tarafında uygulanır.
• Değiştirilemez denetim kaydı: teklif, stok, müşteri, kullanıcı ve ayar değişiklikleri kim/ne zaman/hangi değerden hangi değere bilgisiyle kaydedilir; kayıtlar yalnızca eklenebilir (ayrı, yalnızca-ekleme yetkili veritabanı kullanıcısı) ve hash zinciriyle bütünlüğü doğrulanabilir.
• Dosya yüklemeleri: tür dosya içeriğinden doğrulanır (beyan edilen türe güvenilmez), beyaz liste dışı ve çalıştırılabilir/SVG içerik reddedilir, boyut 25 MB ile sınırlıdır ve her dosya zararlı yazılım taramasından geçer.
• Günlük otomatik yedekleme, erişim logları, güvenlik duvarı ve brüt kuvvet koruması (fail2ban; giriş formunda 15 dakikada 8 hatalı denemeden sonra kilit).

Bağımsız sızma testi planlanmaktadır; sonuçlanınca bu bölüm güncellenecektir.

8.1. İhlal (olay) yönetimi ve bildirim

• Bir kişisel veri ihlalinden haberdar olduğumuzda olayı en kısa sürede sınırlandırır, kapsamını tespit eder ve kayıt altına alırız.
• KVKK uyarınca Kişisel Verileri Koruma Kurulu'na en kısa sürede ve en geç 72 saat içinde, GDPR kapsamındaki durumlarda ilgili denetim otoritesine aynı süre içinde bildirim yapılır.
• İhlalden etkilenen ilgili kişilere ve kurumsal müşterilere, makul en kısa sürede; etkilenen veri türü, olası sonuçlar ve alınan önlemler açıklanarak bildirim yapılır.
• İhlal bildirimi ve güvenlik iletişimi: guvenlik@lunify.world ve /.well-known/security.txt.

9. Güvenlik açığı bildirimi

Bir güvenlik açığı tespit ettiyseniz /.well-known/security.txt adresindeki iletişim kanalını kullanın.

10. Çerezler

Uygulama yalnızca oturum ve tercih çerezleri kullanır; reklam/izleme çerezi kullanılmaz. Ayrıntı: Çerez Politikası.

11. Değişiklikler

Bu metin güncellenebilir; güncel sürüm her zaman bu sayfada yayınlanır.