Veri İşleme Sözleşmesi

TASLAK. Bu metin yazıldı ama henüz hukuki incelemeden geçmedi. Aynı bant uygulamanın içinde de gösteriliyor. Hukuk onayı gelince kaldırılacak.

Bu sözleşme, Agent IO uygulamasına kendi sunucunu, hesaplarını veya verini bağladığında geçerli olur.

1. TARAFLAR VE ROLLER

Sen (ya da temsil ettiğin kurum) VERİ SORUMLUSUSUN: hangi verinin işleneceğine sen karar verirsin. Agent IO VERİ İŞLEYENDİR: yalnızca senin talimatınla, senin belirlediğin kapsamda işlem yapar. Bu ayrım GDPR md. 4(7)-(8) ve 28, KVKK md. 3 ve 12, UK GDPR ve LGPD md. 5 kapsamındadır.

2. SAKLAMA YOK

Bağladığın sunuculardan okunan içerik cihazında işlenir ve sunucularımızda SAKLANMAZ. Kayıt tutmayız, günlüklerimize içerik yazmayız, model eğitimi için kullanmayız. Günlüklerimizde yalnızca teknik veri bulunur: durum kodu, süre, jeton sayısı, araç adı.

3. İSTİSNA — SUNUCU ÜZERİNDEN ÇALIŞTIRMA

"Uygulama kapalıyken de çalışsın" seçeneğini AYRICA imzalarsan, iş sunucularımızda yürütülür. Model çağrısı orada yapıldığı için içerik iş sürerken bellekte görünür; ancak veritabanımıza yazılan şey ŞİFRELİDİR (AES-256-GCM, anahtar ayrı) ve 24 saat içinde silinir. Bu seçenek varsayılan olarak KAPALIDIR ve ayrı bir onay gerektirir.

4. ALT İŞLEYENLER

Yanıtı üreten yapay zekâ modelleri üçüncü taraflarca sağlanır ve gönderilen içeriği görmeleri kaçınılmazdır:

Anthropic PBC (ABD) — Claude modelleri
OpenAI, L.L.C. (ABD) — GPT modelleri
OpenRouter, Inc. (ABD) — doğrudan anahtar yokken xAI (Grok), Meta (Llama) ve Moonshot (Kimi)
Google LLC (ABD/AB) — Gemini modelleri
Google Firebase (AB, europe-west1) — altyapı

Bu sağlayıcılardan sıfır-veri-saklama koşulları talep edilir. Alt işleyen listesi değişirse uygulama içinden bildirilir; itiraz hakkın saklıdır (GDPR md. 28(2)).

5. ULUSLARARASI AKTARIM

Altyapımız Avrupa Birliği'nde (europe-west1) barındırılır. Bir model sağlayıcısına aktarım gerektirdiğinde uygun aktarım güvencelerini kullanırız; hangi güvencenin geçerli olduğu her sağlayıcı için ayrı belirtilir (GDPR md. 44-49, KVKK md. 9). Çin (PIPL), Rusya (152-FZ), Hindistan (DPDPA) gibi ülkelerde bu yükümlülükler ayrıca değerlendirilir; veri saklamamak tek başına onları ortadan kaldırmaz.

6. GÜVENLİK ÖNLEMLERİ

Kimlik bilgilerin cihazında Keychain'de saklanır, sunucularımıza gönderilmez. Tüm bağlantılar TLS ile şifrelenir. Yalnızca genel ağdan erişilebilen adresler kabul edilir; özel ağ adresleri güvenlik gereği reddedilir. Araç yetkileri varsayılan olarak KAPALIDIR (GDPR md. 32).

7. SENİN YÜKÜMLÜLÜKLERİN

Bağladığın veriyi işlemeye hukuken yetkili olduğunu, gerekli aydınlatma ve rızaları aldığını beyan edersin. Özel nitelikli veriler (sağlık, biyometri, inanç, siyasi görüş, cinsel yaşam) ve ödeme kartı verileri için ek yükümlülükler senindir; bu tür verileri bağlamadan önce kendi hukuk danışmanına başvurmalısın.

8. VERİ SAHİBİ TALEPLERİ

Erişim, düzeltme, silme, taşınabilirlik ve itiraz taleplerini karşılamak veri sorumlusu olarak sana aittir. Saklamadığımız için silinecek bir kopyamız bulunmaz; talep hâlinde makul teknik desteği sağlarız (GDPR md. 15-22, KVKK md. 11, CCPA/CPRA §1798.100 vd.).

9. İHLAL BİLDİRİMİ

Altyapımızda bir güvenlik ihlali tespit edilirse gecikmeksizin, en geç 72 saat içinde bilgilendirilirsin (GDPR md. 33).

10. SÖZLEŞMENİN SONA ERMESİ

Bağlantıyı kaldırdığında kimlik bilgilerin cihazından silinir. Sunucu üzerinden çalıştırma açıksa bekleyen kayıtlar en geç 24 saat içinde otomatik silinir.