Adres: 501 Silverside Road, Suite #105 - 5653, Wilmington, DE 19809, USA
E-posta: [email protected]
COTA CRM, PINHAN GROUP LLC'nin bir ürünüdür. pinhangroup.com
Amaç ve kapsam. Bu Gizlilik Politikası, PINHAN GROUP LLC'in ("Şirket", "biz") COTA CRM ürününe ilişkin web sitesi (cotacrm.com), alt alan adları, özel alan adları ve mobil uygulama kapsamında kişisel verileri nasıl işlediğini; Avrupa Birliği Genel Veri Koruma Tüzüğü (2016/679, "GDPR"), Birleşik Krallık GDPR'ı ve Data Protection Act 2018, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve Kaliforniya Tüketici Gizliliği Kanunu (CCPA/CPRA) dâhil uygulanabilir mevzuat çerçevesinde açıklar. Türkiye'deki ilgili kişiler için KVKK m.10 kapsamındaki ayrıntılı bilgilendirme KVKK Aydınlatma Metni'nde, çerezler Çerez Politikası'nda yer alır; bu politika onları tamamlar.
1. Biz kimiz
PINHAN GROUP LLC, ABD'nin Delaware eyaletinde kurulu limited şirkettir. Kayıtlı adresi: 501 Silverside Road, Suite #105 - 5653, Wilmington, DE 19809, USA. COTA CRM, PINHAN GROUP LLC'in bir ürünüdür; yapay zekâ asistanı COTAI de aynı ürünün parçasıdır. Gizlilik ve veri koruma konularında iletişim: [email protected].
Temsilciler.
- Avrupa Birliği (GDPR m.27) temsilcisi: Temsilci atandığında iletişim bilgileri bu sayfada yayımlanacaktır; o zamana kadar tüm talepler [email protected] adresine iletilebilir.
- Birleşik Krallık temsilcisi: Temsilci atandığında iletişim bilgileri bu sayfada yayımlanacaktır; o zamana kadar tüm talepler [email protected] adresine iletilebilir.
- Türkiye (KVKK / VERBİS) temsilcisi: Temsilci atandığında iletişim bilgileri bu sayfada yayımlanacaktır; o zamana kadar tüm talepler [email protected] adresine iletilebilir.
2. Kapsam ve roller
COTA CRM, işletmelere ve serbest meslek sahiplerine ("Müşteri") sunulan bir hizmet olarak (B2B SaaS) sağlanır; tüketicilere yönelik değildir. Rollerimiz işleme faaliyetine göre değişir:
- Şirket veri sorumlusu (controller) olduğunda: web sitesi ziyaretçileri; demo, iletişim ve ilgili kişi başvuru formlarını dolduranlar; Müşteri hesabı, faturalama ve destek verileri; Müşteri kullanıcılarının (personel) hesap ve güvenlik verileri; pazarlama iletişimi.
- Şirket veri işleyen (processor / service provider) olduğunda: Müşterinin COTA CRM'a girdiği veya yüklediği, kendi müşterilerine, hastalarına, danışanlarına, personeline ve diğer kişilere ilişkin veriler ("Müşteri Verisi"). Bu veriler bakımından veri sorumlusu Müşteridir; Şirket yalnız Müşterinin talimatı ve Veri İşleme Eki doğrultusunda işler, kendi amaçları için kullanmaz, satmaz veya paylaşmaz ve yapay zekâ modellerini Müşteri Verisiyle eğitmez. Yalnız toplulaştırılmış ve anonimleştirilmiş hizmet istatistikleri üretilir.
Bir işletmenin müşterisi, hastası veya danışanı iseniz verinizin sorumlusu o işletmedir; haklarınız için öncelikle o işletmeye başvurmalısınız ve işletmenin kendi aydınlatma metni geçerlidir. Bize ulaşan bu nitelikteki talepleri gecikmeksizin ilgili işletmeye iletiriz.
3. Topladığımız veriler
| Kategori | Veriler | Kaynak |
|---|---|---|
| Web sitesi ziyaretçisi | Zorunlu oturum çerezleri; çerez banner'ı tercihi; dil tercihi çerezi; sunucu erişim kayıtları (IP adresi, tarayıcı bilgisi, istek zamanı). Yalnız onayınızla analitik: rastgele ziyaretçi kimliği (cota_vid), görüntülenen sayfalar, yönlendiren site, UTM parametreleri, dil, saat dilimi, ekran boyutu, cihaz/tarayıcı/işletim sistemi. IP adresi analitikte ham olarak saklanmaz; günlük tuzlu SHA-256 özeti kullanılır. | Sizden ve tarayıcınızdan otomatik |
| Demo, iletişim ve başvuru formları | Ad soyad, e-posta, telefon, sektör, mesaj, ilgilenilen paket, yönlendirme (referans) kodu, IP adresi, tarayıcı bilgisi (user agent), aydınlatma/rıza zaman damgaları, ayrı ve isteğe bağlı pazarlama onayı | Sizden |
| Müşteri hesabı ve kullanıcıları | Ad, e-posta, telefon, rol ve şube, giriş doğrulama kodu (özet olarak saklanır, 10 dakika geçerli), faaliyet ve denetim kayıtları (IP dâhil), bildirim (push) belirteçleri; fatura ve ödeme kayıtları; destek yazışmaları | Müşteriden ve kullanıcılardan; hizmet kullanımından |
| Müşteri Verisi (işleyen sıfatıyla) | Müşterinin girdiği kişi verileri: ad, telefon, e-posta, adres, doğum tarihi, isteğe bağlı kimlik numarası, notlar, randevu, satın alma ve ödeme kayıtları, sadakat, araç/plaka, evcil hayvan bilgisi, öncesi/sonrası fotoğrafları, vücut ölçümleri, e-imza ve belgeler. Sektöre bağlı olarak sağlık verisi gibi özel nitelikli/özel kategorideki veriler içerebilir; bunun hukuki dayanağı ve gerekli açık rıza Müşterinin sorumluluğundadır. | Müşteri ve onun kullanıcıları |
| COTAI (yapay zekâ asistanı) | Sorularınız, iş bağlamı ve gider fişi görselleri (OCR). Telefon numaraları ve e-posta adresleri yapay zekâ sağlayıcısına gönderilmeden önce otomatik maskelenir; adlar takma adlandırılabilir. | Müşteri kullanıcıları |
Şirket web sitesi üzerinden özel nitelikli kişisel veri talep etmez; formlara bu tür veri yazmamanızı rica ederiz.
4. İşleme amaçları ve hukuki dayanaklar
| Amaç | GDPR / UK GDPR dayanağı | KVKK dayanağı |
|---|---|---|
| Demo ve sözleşme öncesi taleplerin yanıtlanması; hesabın açılması, hizmetin sunulması, faturalama ve destek | m.6(1)(b) sözleşme | m.5/2-c |
| İletişim formu sorularının yanıtlanması; sitenin ve hizmetin güvenliği, dolandırıcılık ve kötüye kullanımın önlenmesi, hizmetin geliştirilmesi (toplulaştırılmış) | m.6(1)(f) meşru menfaat | m.5/2-f |
| Analitik çerezler ve ziyaretçi ölçümü | m.6(1)(a) rıza (ePrivacy uyarınca) | m.5/1 açık rıza |
| Ticari elektronik ileti gönderimi (ayrı, isteğe bağlı onay) | m.6(1)(a) rıza | m.5/1 açık rıza; 6563 sayılı Kanun |
| Vergi, muhasebe ve ticaret mevzuatı yükümlülükleri; ilgili kişi başvurularının yönetimi; rızanın ispatı; yetkili mercilerin taleplerinin karşılanması | m.6(1)(c) hukuki yükümlülük; ispat ve savunma için (f) | m.5/2-ç, m.5/2-e |
Pazarlama onayını dilediğiniz an geri alabilirsiniz; geri alma, öncesindeki işlemeyi hukuka aykırı kılmaz. Onay, hizmetten yararlanmanın şartı değildir.
5. Verilerin kaynakları
Verileri çoğunlukla doğrudan sizden (formlar, hesap oluşturma), tarayıcınızdan/cihazınızdan otomatik olarak (çerezler, sunucu kayıtları) ve Müşteriden (kullanıcı hesapları ile Müşteri Verisi) alırız. Müşteri Verisini doğrudan ilgili kişilerden toplamayız; Müşteri tarafından sisteme girilir.
6. Alıcılar ve alt işleyenler
Verileri yalnız şunlarla paylaşırız: (i) hizmetin sunulması için görevlendirdiğimiz, yazılı veri koruma yükümlülükleriyle bağlı alt işleyenler (barındırma, bot koruması ve yedekleme, e-posta, SMS, WhatsApp, anlık bildirim, yapay zekâ sağlayıcıları vb.); (ii) hukuki yükümlülük veya yetkili merci talebi hâlinde kamu kurumları ve yargı mercileri; (iii) şirket birleşme, devir veya yeniden yapılanması hâlinde, bu politikaya uygun koruma sağlayan ilgili taraflar. Güncel alt işleyen listesi, amaçları ve konumları Alt İşleyenler sayfasındadır. Kişisel verileri satmayız, kiralamayız ve reklam amacıyla üçüncü taraflara açmayız.
7. Yurt dışına aktarımlar
Tüm veriler esas olarak Almanya (Avrupa Birliği) bulunan veri merkezinde barındırılır. Şirket ABD'de kurulu olduğundan ve bazı alt işleyenler ABD ve diğer ülkelerde bulunduğundan, verilere bu ülkelerden erişim veya aktarım söz konusu olabilir. Bu aktarımlar şu mekanizmalarla korunur:
- AB/AEA ve Birleşik Krallık: Avrupa Komisyonu'nun 2021/914 sayılı Standart Sözleşme Hükümleri (Müşteri-Şirket arasında Modül 2, Şirket-alt işleyen arasında Modül 3), Birleşik Krallık için IDTA Eki (Addendum), alt işleyenin sertifikalı olduğu durumlarda AB-ABD Veri Gizliliği Çerçevesi ve şifreleme ile erişim kontrolü gibi ek tedbirler.
- Türkiye: KVKK m.9 (7499 sayılı Kanun ile değişik) uyarınca Kurul tarafından yayımlanan standart sözleşmeler veya m.9'daki diğer güvenceler; standart sözleşme değiştirilmeden imzalanır ve Kuruma süresinde bildirilir. Açık rıza, olağan yurt dışı aktarımların dayanağı olarak kullanılmaz.
- ABD (CCPA/CPRA): hizmet sağlayıcı (service provider) sözleşme hükümleri.
8. Saklama süreleri
- Ziyaretçi analitiği: en fazla 180 gün; sonra otomatik silinir.
- Demo ve iletişim talepleri: son iletişimden itibaren en fazla 2 yıl.
- Pazarlama onayı kayıtları: onayın geri alınmasından itibaren 3 yıl (6563 sayılı Kanun ve yönetmeliği).
- İlgili kişi başvuru kayıtları: uyumun ispatı için gerekli olduğu ve yasal zamanaşımı süresince.
- Fatura ve muhasebe kayıtları: vergi ve ticaret mevzuatının öngördüğü süre.
- Müşteri Verisi: sözleşme süresince; sözleşmenin sona ermesinden sonra Müşteri Verisini 30 gün içinde dışa aktarabilir; ardından veriler silinir ve yedeklerden en geç 90 gün içinde yok edilir; hukuki saklama yükümlülüğü saklıdır.
Yerel yedekler 7 gün, şifreli uzak yedekler yaklaşık 30 gün tutulur.
9. Güvenlik
Müşteri başına ayrı veritabanı; tüm bağlantılarda TLS; e-posta ile tek kullanımlık kodlu giriş (özet olarak saklanır, 10 dakika geçerli, 5 deneme); rol ve şube bazlı erişim kontrolü; gizli bilgilerin şifrelenmesi; fotoğraf ve dosyalar için özel (herkese kapalı) depolama; hız sınırlama; faaliyet ve denetim kayıtları; istemci tarafında şifrelenmiş uzak yedekler; analitikte ham IP saklanmaması gibi teknik ve idari tedbirler uygularız. Hiçbir sistem mutlak güvenli değildir. Kişisel veri ihlalinde, kendi veri sorumlusu olduğumuz veriler için gerektiğinde yetkili otoriteleri 72 saat içinde bilgilendiririz; Müşteri Verisi bakımından ilgili Müşteriyi, öğrenmemizden itibaren gecikmeksizin ve 48 saat içinde bildiririz.
10. Haklarınız
GDPR / UK GDPR. Erişim, düzeltme, silme, işlemeyi kısıtlama, veri taşınabilirliği, meşru menfaate dayalı işlemeye itiraz ve rızaya dayalı işlemede rızayı geri alma haklarına sahipsiniz; ayrıca yetkili denetim otoritesine şikâyet hakkınız vardır.
KVKK m.11. Verilerinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde/yurt dışında aktarıldığı kişileri bilme; eksik/yanlış işlenmişse düzeltilmesini isteme; m.7 çerçevesinde silinmesini veya yok edilmesini isteme; bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhinize çıkan sonuca itiraz etme; kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme.
CCPA/CPRA (Kaliforniya sakinleri). Toplanan kişisel bilgi kategorileri, kaynakları, amaçları ve paylaşıldığı alıcılar hakkında bilgi alma (right to know); sildirme; düzeltme; kişisel bilginin satışından veya paylaşımından (çapraz bağlamlı davranışsal reklamcılık) vazgeçme (opt-out); ve haklarınızı kullandığınız için ayrımcılığa uğramama. Kişisel bilgilerinizi satmıyoruz ve CCPA anlamında "paylaşmıyoruz"; hassas kişisel bilgileri kişi hakkında çıkarım yapmak için kullanmıyoruz. Yetkili temsilciniz aracılığıyla da başvurabilirsiniz; kimlik doğrulaması isteyebiliriz.
11. Haklarınızı nasıl kullanırsınız; denetim otoriteleri
Başvurularınızı İlgili Kişi Başvuru Formu aracılığıyla veya [email protected] adresine e-posta ile iletebilirsiniz. Başvuruları, GDPR kapsamında en geç bir ay (zorunlu hâllerde uzatılabilir), KVKK kapsamında en geç 30 gün, CCPA kapsamında 45 gün içinde ücretsiz yanıtlarız; kimliğinizi doğrulamak için ek bilgi isteyebiliriz.
- Türkiye: Kişisel Verileri Koruma Kurulu (KVKK Kurulu).
- AB/AEA: yerleşik olduğunuz, çalıştığınız veya ihlalin gerçekleştiği Üye Devletin veri koruma otoritesi.
- Birleşik Krallık: Information Commissioner's Office (ICO).
- Kaliforniya: Kaliforniya Başsavcılığı (California Attorney General) ve California Privacy Protection Agency (CPPA).
12. Otomatik karar alma ve COTAI
Hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen, yalnızca otomatik işlemeye dayalı karar vermeyiz ve profilleme yapmayız. COTAI, açıkça yapay zekâ olarak etiketlenir (AB Yapay Zekâ Tüzüğü m.50). Çıktıları hatalı olabilir ve insan denetiminden geçirilmelidir. COTAI'ye gönderilen istemler ve iş bağlamı, kullanılan yapay zekâ sağlayıcısına (varsayılan olarak Anthropic, PBC; Müşteri etkinleştirirse diğer sağlayıcılar) iletilir; telefon ve e-posta bilgileri önceden otomatik maskelenir; Müşteri Verisi model eğitimi için kullanılmaz.
13. Çocuklar
Hizmetler işletmelere yöneliktir ve 16 yaşın altındaki kişilere (Türkiye'de ve kişisel verilerin işlenmesinde reşit olmayanların rızası bakımından 18 yaşın altındaki kişilere) yönelik değildir. Çocuklara ait kişisel veriyi bilerek toplamayız; toplandığını öğrenirsek gecikmeksizin sileriz. Müşteriler, çocuklara ait veriyi sisteme girerken kendi hukuki yükümlülüklerinden (örneğin veli/vasi rızası) sorumludur.
14. Çerezler
Çerezler ve benzeri teknolojiler hakkında ayrıntılı bilgi ile tercih yönetimi için Çerez Politikası'na bakınız. Tercihlerinizi sayfa altındaki Çerez ayarları bağlantısından dilediğiniz an değiştirebilirsiniz.
15. Değişiklikler
Bu politikayı mevzuat veya işleme faaliyetlerindeki değişikliklere göre güncelleriz. Güncel metin bu adreste yayımlanır; sayfa başındaki tarih son güncellemeyi gösterir. Önemli değişiklikleri hesap sahiplerine e-posta veya hizmet içi duyuru ile ayrıca bildiririz.
16. İletişim
PINHAN GROUP LLC, 501 Silverside Road, Suite #105 - 5653, Wilmington, DE 19809, USA · [email protected] · https://pinhangroup.com
