Gizlilik Politikası
Sürüm 2026-11-04-v9 · Son içerik güncellemesi: 4 Kasım 2026 — Pilot fazı sürümü
- 10 bölüm
- 11 şekil
- yaklaşık 9 dakikalık okuma
İçindekiler10 bölüm
MHB Lean ("biz", "platform") fabrikalar için Kaizen / Lean yönetim hizmeti sunar. Bu Aydınlatma Metni KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) m.10 + GDPR Art. 13 kapsamında kullanıcılarımızı (Patron, Çalışan, Kaizen Danışmanı) bilgilendirir: hangi verileri topladığımızı, neden işlediğimizi, kimlerle paylaştığımızı, ne kadar sakladığımızı ve haklarınızı nasıl kullanacağınızı açıklar.
1. Veri sorumlusu
- Ticari unvan: MHB Lean (kuruluş aşaması — Almanya/Türkiye entity bilgisi kuruluş tamamlandığında bu sayfada yayınlanacak ve mevcut kullanıcılara bildirilecektir).
- İletişim: privacy@mhblean.com
- Veri Sorumlusu İrtibat Kişisi / DPO: Pilot fazda atama yapılmamıştır (VERBİS eşiği altı). 50K+ veri sahibi eşiği aşıldığında atama bilgisi bu sayfada yayınlanacak ve mevcut kullanıcılara bildirilecektir.
- VERBİS sicil: Pilot fazda eşik altı (yıllık ciro 25M TRY altı, çalışan 50 altı). Eşik aşımı durumunda kayıt yapılır ve duyurulur.
2. İşlediğimiz veriler ve hukuki sebep
KVKK m.5/6 ve GDPR Art. 6 kapsamında her veri kategorisi için işleme hukuki sebebimiz:
| Veri kategorisi | Amaç | Hukuki sebep (KVKK) |
|---|---|---|
| Kimlik (e-posta, ad-soyad, organizasyon) | Hesap oluşturma, oturum açma | m.5(2)/c — sözleşmenin ifası |
| İçerik (kaizen, asakai, mesajlar, fotoğraflar) | Hizmetin sunulması | m.5(2)/c — sözleşmenin ifası |
| AI sohbet + Sensei hafızası | Kaizen asistan, öneri üretimi | m.5(2)/f — meşru menfaat (Gemini transit; aydınlatma yapılır; itiraz: /profil/bildirimler; kayıtları silme: patron hesabıyla /ayarlar/sensei/hafiza) |
| Ses kaydı (asakai toplantısı, sesli not, fikre eklenen ses) | Toplantı transkripsiyonu, özet ve aksiyon çıkarımı; fikre eklenen ses kaydı saklanır ve fikri görebilen kişiler dinleyebilir. | m.5(2)/f — meşru menfaat (aydınlatma yapılır; itiraz: /profil/bildirimler, durum: /ayarlar/gizlilik) |
| Teknik veri (giriş kayıtları, hata logları, oturum kaydı*) | Güvenlik, hata tespiti | m.5(2)/f — meşru menfaat |
| Analitik (PostHog event) | Kullanım iyileştirme | m.5(1) — açık rıza (uygulamada isteğe bağlı kutu ya da /ayarlar/gizlilik; tanıtım sitesinde çerez bandından onay) |
| Ödeme (Stripe) | Abonelik tahsilatı | m.5(2)/c — sözleşmenin ifası |
| Tanıtım sitesi formları (ad, e-posta, şirket ve formda verdiğiniz diğer bilgiler: konu, mesaj ya da kısa tanıtım, telefon, sektör, dil, deneyim, tesis ve çalışan sayısı, istediğiniz şablon) | Talebinize yanıt vermek (iletişim, danışman ilgi formu, kurumsal teklif) ve istediğiniz şablonu göndermek. Formlar e-postayla (Resend) kurucuya iletilir ve kurumsal posta kutumuzda (veritabanında) saklanır; şablon hazırsa bağlantısı e-posta adresinize de gönderilir; kurumsal teklif formu ayrıca kendi kaydında tutulur. | m.5(2)/c — sözleşmenin kurulması (kurumsal teklif; talebiniz üzerine) · m.5(2)/f — meşru menfaat (iletişim mesajı, şablon isteği ve danışman ilgi formu; talebinize yanıt vermek) |
| Oturumsuz geri bildirim formu (konu, mesaj ve mesaja kendiniz yazdığınız iletişim bilgileri, sayfa adresi) | Bildiriminizi incelemek ve istediyseniz size dönmek. Mesaj veritabanına kaydedilir ve e-postayla (Resend) ekibe iletilir. | m.5(2)/f — meşru menfaat (talebinize yanıt vermek) |
| Demo formu (ad, e-posta, telefon) | Demoyu açmak ve demo talebini kaydetmek | m.5(2)/f — meşru menfaat |
* Oturum kaydı (Sentry Replay): hata anında, kullanıcı yazılarını maskeli olarak (her metin "•" ile değişir, medya gizlenir) Sentry'ye gönderilir. Asıl sebep hata tekrarlanabilirliğidir; PII içeriği görülmez. Detay aşağıda "Hizmet sağlayıcılar" bölümü.
3. Hizmet sağlayıcılar (alt-işleyiciler)
Verilerinizi şu üçüncü tarafları kullanarak işliyoruz. Her birinin DPA (Data Processing Addendum) sözleşmesi imzalanmıştır veya imza sürecindedir.
| Sağlayıcı | Amaç | Lokasyon | KVKK m.9 hukuki sebep |
|---|---|---|---|
| Vercel | Hosting + compute | ABD / Hindistan (bom1, uygulama) / Almanya (fra1, tanıtım sitesi) | m.9(2)/a — açık rıza + standart sözleşme |
| Supabase | Veritabanı + auth + storage | Hindistan (ap-south-1, Mumbai) | m.9(2)/a — açık rıza + standart sözleşme |
| Sentry | Hata + oturum kaydı (maskeli) | ABD | m.9(2)/a — açık rıza + standart sözleşme |
| PostHog | Analitik (isteğe bağlı — uygulamada açık rızayla, tanıtım sitesinde çerez bandından onayla) | Almanya / AB | m.9(1) — yeterli koruma (AB) |
| Resend | Transaksiyonel e-posta | ABD | m.9(2)/a — açık rıza + standart sözleşme |
| Google Gemini API | AI sohbet + özet + vision + Sensei yanıtının sesli okunması (Cloud Text-to-Speech) | ABD (paid mode) | m.9(2)/a — açık rıza |
| LiveKit | Canlı toplantı ses/görüntü aktarımı (WebRTC) | Sözleşmede belirtilir | m.9(2)/a — açık rıza + standart sözleşme |
| Stripe | Ödeme (canlı: ileride) | Almanya / AB / ABD | m.5(2)/c — sözleşmenin ifası |
| Telegram | Bot bildirimleri (opt-in) | BAE (Dubai) | m.9(2)/a — açık rıza |
Listede değişiklik olduğunda bu sayfa güncellenir; işleme kapsamı genişlerse sözleşme sürümü artar ve bir sonraki girişte onayınız yeniden istenir.
4. Saklama süresi
- Hesap profili + içerik: hesap aktif olduğu sürece (silme talebi en geç 30 gün içinde sonuçlandırılır; süreç elle yürütülür).
- AI sohbet geçmişi: 90 gün (otomatik cron silme). Sensei araç çağrılarının girdi ve sonuçları da 90 gün sonra silinir; araç adı, durum ve maliyet kullanım özeti için kalır.
- Snap video (operatör görüntüsü): otomatik silme henüz aktif değil; talep üzerine elle silinir.
- Sensei hafızası: otomatik silme henüz aktif değil; talep üzerine elle silinir.
- Hata logları (Sentry): 90 gün (Sentry varsayılan).
- Analitik event (PostHog): 7 yıl (PostHog varsayılan, GDPR silme talebi ile kısaltılır).
- Transaksiyonel e-posta (Resend): 30 gün log.
- Süper-yönetici denetim kaydı: IP adresi ve tarayıcı bilgisi dahil, yasal yükümlülük gereği saklanır (önerilen 2 yıl; otomatik silme henüz aktif değil).
- Yedek (Supabase günlük fiziksel yedek): 7 gün saklanır. Noktasal geri yükleme (PITR) kullanılmıyor; Supabase dışında off-site kopya tutulmuyor.
- Tanıtım sitesi formları (iletişim, danışman ilgi formu, şablon isteği): kurucuya e-postayla iletilir (şablon hazırsa bağlantısı size de gönderilir) ve kurumsal posta kutumuzda saklanır. Bu kayıtlar ve kurumsal posta kutularımıza doğrudan yazdığınız e-postalar en geç 12 ay içinde silinir.
- Kurumsal teklif formu: veritabanındaki kayıt 24 ay dolunca otomatik olarak silinir. Kurumsal posta kutusundaki kopyası, öteki formlardaki gibi en geç 12 ay içinde silinir.
- Demo formu (ad, e-posta, telefon): demo bittikten 90 gün sonra anonimleştirilir; demo dünyası en geç 24 saat içinde silinir.
- Toplantı ses kaydı ve transkript: otomatik silme henüz aktif değil; talep üzerine elle silinir.
5. Haklarınız (KVKK m.11 + GDPR Art. 15-22)
- Erişim hakkı: Yazdığınız ve size atanan kayıtlara
/ayarlar/genel/verisayfasından makine-okunabilir JSON formatında erişebilirsiniz. Dosyaların kendisi, toplantının ortak kaydı ve özeti, firmanın ortak ölçüm kayıtları, firma ayarları ve şablonları, teknik günlükler, Kaizen Danışmanı sözleşme ve komisyon kayıtları ile oylar pakette değildir; bunlar için privacy@mhblean.com adresine yazabilirsiniz. - Düzeltme hakkı: Profil bilgilerinizi (ad-soyad, dil tercihi)
/profilsayfasından düzeltebilirsiniz. - Silme hakkı (Right to be Forgotten):
/ayarlar/genel/veri"Hesabımı sil" ile talebinizi iletirsiniz; talep KVKK m.13 uyarınca en geç 30 gün içinde sonuçlandırılır. Süreç şu anda otomatik değil, privacy@mhblean.com üzerinden elle işlenir. - Açık rıza geri çekme: Verdiğiniz açık rızaları
/ayarlar/gizliliksayfasından tek tek geri çekebilirsiniz; bu hakkınız KVKK m.11 uyarınca her zaman saklıdır. Uygulamada analitik izni varsayılan olarak kapalıdır; verdiyseniz aynı sayfada listelenir ve oradan geri çekilir. Tanıtım sitesindeki (mhblean.com) çerez tercihiniz hesabınıza değil tarayıcınıza bağlıdır;/gizliliksayfasındaki "Çerez tercihimi değiştir" düğmesiyle istediğiniz an yeniden açabilir veya tarayıcınızın site verilerini temizleyerek sıfırlayabilirsiniz. Kullanım Koşulları ve Aydınlatma Metni bir açık rıza değildir (sözleşme + KVKK m.10 bilgilendirmesi), bu nedenle geri çekilemez. - İtiraz hakkı: Toplantı ses kaydına (KVKK m.5/2-f meşru menfaat) ve AI profillemesine (Sensei hafızası)
/profil/bildirimlerüzerinden itiraz edebilirsiniz. Ses kaydına itirazınız kendi cihazınızdan kayıt başlatmanızı ve kaydınızın kendiliğinden başlamasını kapatır; başkasının aynı odada başlattığı ses kaydını durdurmaz, oda sesiyle birlikte sesiniz alınabilir. AI profillemesinde tutulan kayıtları patron hesabıyla/ayarlar/sensei/hafizaüzerinden silebilirsiniz. Durumunuzu/ayarlar/gizliliksayfasından görebilirsiniz. - Veri taşınabilirliği (GDPR Art. 20): JSON export (yukarıda).
- Şikâyet hakkı: KVKK Kurumu (kvkk.gov.tr) veya ilgili AB üye devletinin denetim otoritesine şikâyet hakkı.
Talepler için: privacy@mhblean.com — 30 gün içinde yanıtlanır (KVKK m.13).
6. Güvenlik
Tüm bağlantılar TLS şifreli. Veritabanında satır seviyesi izolasyon (RLS) ile organizasyonlar birbirinin verisini göremez. API key'leri sunucuda; tarayıcıya asla açık edilmez. Veritabanının günlük fiziksel yedeği Supabase tarafında 7 gün saklanır; noktasal geri yükleme (PITR) kullanılmıyor ve Supabase dışında off-site kopya tutulmuyor. Fotoğraflarda EXIF/GPS metadata sunucu tarafında otomatik silinir. Sentry oturum kaydı "maskAllText" ile yazılı içerik gönderilmez.
7. Çerezler
Zorunlu çerezler — Oturum (Supabase auth), tema, dil tercihi. Opt-out yok; hizmetin işlemesi için gerekli.
Analitik çerezler (PostHog) — Uygulamada (app.mhblean.com) yalnız açık izninizle çalışır: kayıt ve davet ekranlarındaki isteğe bağlı kutu varsayılan olarak boştur; izninizi /ayarlar/gizlilik sayfasından verebilir ve istediğiniz an aynı sayfadan geri çekebilirsiniz (izin hesabınıza bağlı kaydedilir; geri çektiğinizde analitik durur). Tanıtım sitesinde (mhblean.com) analitik, çerez bandındaki "Tamam, kabul" düğmesine basmadan BAŞLAMAZ; tercihiniz tarayıcınızda saklanır. Metin değişirse tercihiniz yeniden sorulur. Tercihinizi bu sayfadaki "Çerez tercihimi değiştir" düğmesiyle istediğiniz an yeniden açabilir veya tarayıcınızın site verilerini temizleyerek sıfırlayabilirsiniz.
Reklam çerezi yok. Cross-site tracking yapmıyoruz.
8. Özel nitelikli veri uyarısı
KVKK m.6 (özel nitelikli kişisel veri): sağlık, sendika, inanç, etnik köken, ceza mahkumiyeti gibi veriler özel nitelikli kabul edilir. Kaizen ve Asakai gibi serbest metin alanlarında bu tür bilgileri paylaşmamanızı rica ederiz. Kayıt formunda ve AI Asistan girdilerinde otomatik bir örüntü kontrolü sizi uyarır; diğer serbest metin alanlarında böyle bir kontrol bulunmaz ve yazılan içeriğin sorumluluğu kullanıcıya aittir.
9. Versiyon ve değişiklikler
Bu Aydınlatma Metni'nin sürümü, işleme kapsamı genişlediğinde artar; sürüm artınca bir sonraki girişinizde uygulama içinde yeniden onayınız istenir. Şu anki sürüm: 2026-11-04-v9. v9 değişikliği: 2. bölüme oturumsuz geri bildirim formu ve demo formu eklendi; fikre eklenen ses kaydının saklandığı ve fikri görebilen kişilerin dinleyebildiği, tanıtım sitesi formlarının kurumsal posta kutumuzda saklandığı yazıldı. 3. bölümde Google satırına Sensei yanıtının sesli okunması eklendi; PostHog satırı, tanıtım sitesinde analitiğin çerez bandından onayla açıldığını söyleyecek biçimde düzeltildi. 4. bölüme demo formu ile toplantı ses kaydı ve transkript satırları eklendi; kurumsal posta kutularımızdaki iletilerin en geç 12 ay içinde, Sensei araç çağrılarının girdi ve sonuçlarının 90 gün sonra silindiği, süper-yönetici denetim kaydının IP adresi ve tarayıcı bilgisini de tuttuğu yazıldı. 5. bölümde erişim hakkına veri paketinin dışında kalanlar, itiraz hakkına AI profillemesi ve itirazın başkasının başlattığı oda kaydını durdurmadığı eklendi. v8 (2026-10-31): 3. bölümdeki yurt dışı aktarım tablosu ölçümle düzeltildi: hata izleme hizmeti Sentry'nin veri bölgesi ABD'dir (önceki metin "Almanya / AB" yazıyordu) ve tanıtım sitesinin sunucu bölgesi (Almanya, Frankfurt) Vercel satırına eklendi. İşlenen veriler ve amaçlar değişmedi. v7 (2026-09-25): tanıtım sitesindeki formlar (iletişim, pilot başvurusu, danışman ilgi formu, kurumsal teklif, şablon isteği) 2. bölümdeki tabloya ayrı işleme kalemi olarak eklendi; formların hukuki sebebi (sözleşmenin kurulması ya da meşru menfaat) tabloda, saklama süreleri 4. bölümde yazılıdır. Pilot başvuru formu 8 Ekim 2026'da kaldırıldı; bu form üzerinden artık veri toplanmıyor. v6 (2026-09-22): AI sohbet ve Sensei hafızasının işleme sebebi açık rızadan meşru menfaate (KVKK m.5/2-f) çevrildi; bu işlemeye dair kayıtları patron hesabıyla /ayarlar/sensei/hafiza sayfasından silebilirsiniz. v5 (2026-09-21): uygulamadaki analitik (PostHog) yalnız açık izninizle çalışır — kayıt ve davet ekranlarındaki isteğe bağlı kutu (varsayılanı boş) ya da /ayarlar/gizlilik sayfasındaki anahtar; izninizi aynı sayfadan istediğiniz an geri çekebilirsiniz. v4 (2026-09-12): canlı toplantılar için LiveKit alt-işleyici olarak eklendi. v3 (2026-07-28): toplantı ses kaydının hukuki sebebi açık rızadan meşru menfaate (KVKK m.5/2-f) çevrildi — kayıt bu tek belgenin kapsamındadır ve modül başına ayrı onay istenmez; itiraz hakkınızı /profil/bildirimler üzerinden kullanabilir, durumunuzu /ayarlar/gizlilik sayfasından görebilirsiniz.
10. İletişim
Sorularınız için: privacy@mhblean.com. Veri Sorumlusu İrtibat Kişisi atandığında bu sayfada güncellenir.
