Gizlilik Politikası ve KVKK Aydınlatma Metni
Yürürlük tarihi: 18 Ekim 2026 · Sürüm: 2026-10-18
Bu metin, VibeKaizen'i kullanırken hangi verilerinizi işlediğimizi, neden işlediğimizi, kimlerle
paylaştığımızı, ne kadar sakladığımızı ve haklarınızı açıklar. Aynı zamanda 6698 sayılı Kişisel
Verilerin Korunması Kanunu (KVKK) m.10 kapsamındaki aydınlatma yükümlülüğümüzü ve Avrupa Birliği
Genel Veri Koruma Tüzüğü (GDPR) m.13-14 kapsamındaki bilgilendirmeyi yerine getirir.
1. Veri sorumlusu
Veri sorumlusu, VibeKaizen markası altında Mehmet Soydaş'tır (şahıs, Türkiye). Başvuru ve
sorular için: support@vibekaizen.com
Avrupa Birliği'nde yerleşik kullanıcılar için GDPR m.27 temsilcisi atanması gereken hâllerde
temsilci bilgileri bu metinde yayımlanır.
2. Hangi verileri işliyoruz
| Veri kategorisi | İçeriği | Nereden geliyor |
|---|---|---|
| Kimlik ve iletişim | E-posta adresi, varsa ad ve şirket adı | Sizden |
| Hesap ve güvenlik | Şifrenizin kriptografik özeti (şifrenin kendisi değil), oturum ve yenileme jetonları, giriş kayıtları | Sizden / sistemden |
| Ürün içeriği | Proje adı ve tanımı, ürün özeti, görev metinleri, sohbet mesajları, belgeler, kod deponuzun içeriği | Sizden / ajan çalışmasından |
| Kimlik bilgileri (sırlar) | Dil modeli API anahtarınız, varsa kendi model sunucunuzun adresi ve erişim anahtarı, GitHub erişim jetonunuz, uygulamanızın ortam değişkenleri | Sizden |
| Kullanım ve maliyet | Başlatılan görev sayısı, konteyner saatleri, ajan koşularının maliyeti, platform modeli jeton (token) ve maliyet kullanım kayıtları, koşu kayıtları ve ajan çıktıları | Sistemden |
| Teknik | IP adresi, tarayıcı bilgisi, istek kayıtları, hata kayıtları | Sistemden |
| Açılış sayfası ziyaretleri | Ziyaret edilen sayfa, tıklanan buton, gelinen site, IP adresi, tarayıcı bilgisi, dil ve zaman (çerez kullanılmaz) | Sistemden |
| Onay kayıtları | Hangi hukuki metnin hangi sürümünü, ne zaman, hangi IP ve tarayıcıyla kabul ettiğiniz | Sizden |
| Ödeme | Abonelik planı, dönem tarihleri, ödeme sağlayıcısındaki müşteri ve abonelik kimliği | Paddle'dan |
Kart bilgilerinizi hiç görmüyoruz. Ödeme bilgileri doğrudan Paddle'da işlenir ve saklanır.
Özel nitelikli kişisel veri (sağlık, inanç, biyometrik vb.) talep etmiyoruz ve platformun işleyişi
için gerekmiyor. Böyle verileri ürün içeriğine koymamanızı öneririz.
3. Neden işliyoruz ve hukuki sebebimiz
| Amaç | KVKK m.5 sebebi | GDPR m.6 sebebi |
|---|---|---|
| Hesabı açmak, hizmeti sunmak, ajanları çalıştırmak | Sözleşmenin kurulması/ifası (m.5/2-c) | Sözleşme (6/1-b) |
| Abonelik, faturalama, kota takibi | Sözleşmenin ifası; hukuki yükümlülük (m.5/2-c, ç) | Sözleşme; hukuki yükümlülük (6/1-b, c) |
| Güvenlik, kötüye kullanımın önlenmesi, hata teşhisi | Meşru menfaat (m.5/2-f) | Meşru menfaat (6/1-f) |
Açılış sayfasının nasıl kullanıldığını ölçmek; bot ve dolandırıcılık girişimlerini ayırt etmek; hesabın hangi kampanyadan geldiğini (bağlantıdaki utm_* parametreleri) hesapla birlikte kaydetmek | Meşru menfaat (m.5/2-f) | Meşru menfaat (6/1-f) |
| Hizmetle ilgili zorunlu bildirimler (ödeme sorunu, kota, plan değişikliği) | Sözleşmenin ifası (m.5/2-c) | Sözleşme (6/1-b) |
| Hukuki metinlerin kabulünü kanıtlamak | Hukuki yükümlülük (m.5/2-ç) | Hukuki yükümlülük (6/1-c) |
| Ürün haberleri içeren ticari elektronik ileti | Açık rıza (m.5/1) | Rıza (6/1-a) |
| Sitenin ve reklamlarımızın sonucunu ölçmek (analitik ve pazarlama etiketleri: Google Analytics, Google Ads, Meta, TikTok); onay verdiyseniz satın almanın bu sağlayıcılara sunucumuzdan da bildirilmesi (e-posta adresinizin geri döndürülemez özeti ve etiket kimlikleriyle) | Açık rıza (m.5/1), çerez bandındaki seçiminizle | Rıza (6/1-a) |
| Uyuşmazlıkta hak tesisi ve savunma | Meşru menfaat (m.5/2-e, f) | Meşru menfaat (6/1-f) |
Ticari elektronik ileti onayı hizmetin koşulu değildir; vermeseniz de platformu tam olarak
kullanırsınız ve dilediğiniz zaman geri alabilirsiniz.
4. Kodunuz ve dil modeli — özellikle okumanızı istediğimiz madde
Ajanlar çalışırken projenizin kodunu ve göreve ilişkin bağlamı bir dil modeline gönderir. Kodun
nereye gittiği, o rol için seçtiğiniz yola bağlıdır:
a) Kendi API anahtarınız (Anthropic, OpenAI veya Google).
- Bu aktarımda sizin sağlayıcıyla olan sözleşmeniz geçerlidir; bizim aracılığımız teknik bir iletimden ibarettir.
- Sağlayıcının verinizi ne kadar sakladığı, model eğitiminde kullanıp kullanmadığı ve hangi ülkede işlediği o sağlayıcının politikalarına bağlıdır. Anahtarınızı verdiğiniz sağlayıcının koşullarını okumanızı öneririz; kurumsal planlarda genellikle "eğitimde kullanılmaz" taahhüdü bulunur.
- Bizim tarafımızda anahtarınız şifreli saklanır (Fernet, simetrik şifreleme) ve yalnızca ajan koşusunun çalıştığı konteynere ortam değişkeni olarak verilir; arayüzde bir daha gösterilmez.
b) Platform modeli. Hiç anahtar tanımlamadığınız projelerde ve platform modeline atadığınız
rollerde kod ve görev bağlamı, açık bir kodlama modelini çalıştıran Fireworks AI, Inc. (ABD)
altyapısına gönderilir. Burada Fireworks bizim adımıza çalışan veri işleyendir:
- İstekler bizim ağ geçidimiz üzerinden, saklanmaması talimatıyla (store=false) gönderilir. Fireworks'ün hizmet koşullarına dâhil veri işleme sözleşmesi ve sıfır veri saklama politikası uyarınca içerik, çıktıyı üretmenin ötesinde saklanmaz ve model eğitiminde kullanılmaz.
- Fireworks'e erişim anahtarı bizdedir ve ajan ortamına hiç girmez.
- Bu aktarım ABD'ye yapılır; dayandığı mekanizma 6. maddede yazılıdır.
c) Kendi model sunucunuz. Kendi işlettiğiniz bir uç noktayı (örneğin Ollama, vLLM, LM Studio;
genellikle bir tünel üzerinden) bağlarsanız, ajanlar görev konteynerinden ve platform planlama
adımlarında kodunuzu ve görev bağlamını o sunucuya gönderir. O sunucuyu siz işletirsiniz; içinden
geçen veri bakımından sorumluluk sizdedir. Sunucunun adresi ve erişim anahtarı, diğer sırlarla
birlikte şifreli saklanır.
Ücretli planda, hiç anahtar tanımlanmamış bir projede inceleme dâhil bütün roller platform modelinde çalışır; deneme süresinde platform modeli kullanılmaz. Projede
bir Anthropic, OpenAI veya Google anahtarı varsa kod incelemesi her zaman o anahtarla yapılır.
Kodunuzu bir modele göndermek istemiyorsanız platform sizin için uygun değildir — çalışma biçimi
budur ve bunu saklamıyoruz.
5. Kimlerle paylaşıyoruz
Verilerinizi satmıyoruz. Hizmeti verebilmek için aşağıdaki hizmet sağlayıcılarını (veri işleyenleri)
kullanıyoruz:
| Sağlayıcı | Ne için | Nerede işliyor |
|---|---|---|
| Amazon Web Services | Sunucu, veritabanı, dosya ve yedek depolama, konteynerler | Frankfurt (eu-central-1), AB |
| Cloudflare | Alan adı, TLS, güvenlik ve trafik yönlendirme | Küresel dağıtık altyapı |
| Paddle | Ödeme, faturalama, vergi (kayıtlı satıcı) | AB / Birleşik Krallık / ABD |
| Sentry | Hata ve performans izleme | AB veya ABD (hesap bölgesine göre) |
| Amazon SES | Şifre sıfırlama ve zorunlu bildirim e-postaları | AB |
| GitHub | Kod deponuz — sizin bağladığınız hesapta | ABD |
| Fireworks AI, Inc. | Platform modeli koşuları — istekler saklanmaz, model eğitiminde kullanılmaz | ABD |
| Dil modeli sağlayıcınız (Anthropic, OpenAI, Google) | Ajan koşuları — sizin anahtarınızla, sizin sözleşmeniz kapsamında | Sağlayıcıya göre |
| Kendi model sunucunuz | Ajan ve planlama koşuları — sizin işlettiğiniz sunucuda | Sunucunuzun bulunduğu yer |
| Google (Google Analytics, Google Ads) | Ziyaret ve dönüşüm ölçümü — yalnızca analitik veya pazarlama onayınızla | ABD ve Google'ın diğer konumları |
| Meta Platforms (Meta Pixel) | Reklam ölçümü ve reklam kitleleri — yalnızca pazarlama onayınızla | İrlanda / ABD |
| TikTok (TikTok Pixel) | Reklam ölçümü — yalnızca pazarlama onayınızla | İrlanda / Singapur / ABD |
GitHub, dil modeli sağlayıcınız ve kendi model sunucunuz sizin yönlendirmenizle devreye girer:
hangi depoyu, hangi sağlayıcıyı veya sunucuyu bağladığınıza siz karar verirsiniz. Fireworks ise
platform modelini kullandığınızda bizim adımıza veri işleyen olarak devreye girer.
Bunların dışında; hukuki bir zorunluluk (mahkeme kararı, resmî talep) hâlinde yetkili kurumlarla,
bir devir/birleşme hâlinde ise devralan tarafla paylaşım olabilir. Böyle bir durumda mevzuatın izin
verdiği ölçüde sizi bilgilendiririz.
6. Yurt dışına aktarım
Ana altyapımız AB içindedir (Frankfurt). Bununla birlikte yukarıdaki bazı sağlayıcılar verinizi
Türkiye ve AB dışında işleyebilir. Bu aktarımlar:
- KVKK bakımından m.9 uyarınca; Kurul'un ilan ettiği standart sözleşme, taahhütname veya gerektiğinde açık rızanız gibi uygun bir aktarım şartına dayandırılır.
- GDPR bakımından m.44 vd. uyarınca; Avrupa Komisyonu'nun standart sözleşme hükümleri (SCC) veya yeterlilik kararları esas alınır.
Platform modeli için ABD'ye aktarım: Fireworks AI, Inc.'e yapılan aktarım KVKK bakımından m.9
uyarınca Kurul'un ilan ettiği standart sözleşmeye, GDPR bakımından Fireworks'ün veri işleme
sözleşmesine dâhil AB standart sözleşme hükümlerine (SCC) dayanır. Bu aktarım yalnızca platform
modelinde çalışan roller için yapılır; bütün rolleri kendi anahtarınıza veya kendi sunucunuza
alarak bu aktarımı durdurabilirsiniz.
Analitik ve pazarlama etiketleri için aktarım: Google, Meta ve TikTok etiketleri yalnızca çerez
bandında onay verirseniz yüklenir; bu sağlayıcılara yapılan aktarım açık rızanıza dayanır. Onayınızı
sitenin alt bilgisindeki «Çerez tercihleri» bağlantısından istediğiniz an geri alabilirsiniz.
Hangi sağlayıcı için hangi mekanizmanın kullanıldığını support@vibekaizen.com adresine yazarak
öğrenebilirsiniz.
7. Ne kadar saklıyoruz
| Veri | Saklama süresi |
|---|---|
| Hesap ve profil | Hesap açık olduğu sürece |
| Ürün içeriği, görevler, sohbet | Hesap açık olduğu sürece |
| Ajan koşu dökümleri | Planınızın saklama penceresi kadar (30 / 90 / 365 gün); süre sonunda döküm silinir, maliyet ve sonuç özeti kalır |
| Sırlar (API anahtarı, kendi model sunucunuzun adresi ve erişim anahtarı, jetonlar) | Siz silene veya hesap kapanana kadar; şifreli |
| Onay kayıtları | Hesap kapandıktan sonra 10 yıl — kabulü kanıtlama yükümlülüğü bizde olduğu için |
| Fatura ve mali kayıtlar | Vergi ve ticaret mevzuatı uyarınca 10 yıl |
| Platform modeli kullanım kayıtları (jeton ve maliyet) | Fatura kayıtları gibi 10 yıl |
| Teknik kayıtlar, hata kayıtları | 90 güne kadar |
| Açılış sayfası ziyaret kayıtları | 90 gün; sonra otomatik silinir |
| Yedekler | 30 güne kadar; silinen veriler bu süre içinde yedeklerden de düşer |
Silme talebinde proje verileri bir bekleme süresi (grace period) sonunda kalıcı olarak silinir;
bu süre, yanlışlıkla silmeyi geri alabilmeniz içindir. Yukarıda saklama süresi mevzuatla belirlenmiş
kalemler bu silmeden etkilenmez.
8. Haklarınız
KVKK m.11 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep
etme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/dışında aktarıldığı üçüncü
kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluşmuşsa silinmesini veya yok
edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle
analiz sonucu aleyhinize bir sonuç doğmasına itiraz etme ve zararınızın giderilmesini talep etme
haklarına sahipsiniz.
GDPR kapsamında ayrıca erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği,
itiraz ve rızayı geri alma haklarınız vardır.
Başvurunuzu support@vibekaizen.com adresine iletebilirsiniz. KVKK kapsamındaki talepleri **en geç 30
gün** içinde, GDPR kapsamındaki talepleri en geç bir ay içinde yanıtlarız. Başvurunuzu Veri
Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'deki usullerle de yapabilirsiniz; sonuçtan
memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.
Platform ayrıca kendi kendinize kullanabileceğiniz iki araç sunar: **proje verilerinizi dışa
aktarma** ve projeyi/hesabı silme.
9. Güvenlik
- Bütün trafik TLS ile şifrelenir.
- Sırlar (API anahtarları, jetonlar, ortam değişkenleri) veritabanında şifreli durur.
- Her projenin ajan çalışma alanı ayrı bir dosya alanında izole edilir; bir projenin konteyneri başka bir projenin verisine erişemez.
- Ajan konteynerleri platformun veritabanına ve önbelleğine ağ düzeyinde erişemez; yalnızca ihtiyaç duydukları dış servislere çıkabilirler.
- Veritabanı günlük olarak yedeklenir ve geri yükleme tatbikatı yapılır.
- Erişim yetkileri asgari düzeydedir ve sunuculara kabuk erişimi kayıt altındadır.
Hiçbir sistem %100 güvenli değildir; bunu iddia etmiyoruz. Bir veri ihlali yaşanırsa **KVKK uyarınca
en kısa sürede ve en geç 72 saat içinde** Kişisel Verileri Koruma Kurulu'na, GDPR uyarınca ilgili
denetim otoritesine bildirir ve etkilenen kişileri bilgilendiririz.
10. Otomatik karar ve profilleme
Hakkınızda hukuki sonuç doğuran otomatik bir karar vermiyoruz, profilleme yapmıyoruz. Ajanlar sizin
talimatınızla kod üretir; bu, sizin hakkınızda verilmiş bir karar değildir. Kota ve limit kontrolleri
planınızın sayılarına dayanan mekanik kontrollerdir ve sonuçları ekranda açıkça gösterilir.
Pazarlama etiketlerine onay verirseniz Google, Meta ve TikTok sitemizi ziyaret ettiğinizi kendi
reklam sistemlerinde reklam ölçümü ve kitle oluşturmak için kullanabilir. Onay vermezseniz bu
sağlayıcılara sitemizden hiçbir veri gönderilmez.
11. Uygulamanızın kendi kullanıcı verileri
Geliştirdiğiniz uygulama kişisel veri işliyorsa, o veriler bakımından veri sorumlusu sizsiniz;
biz yalnızca önizleme ve test ortamlarını çalıştırırken veri işleyen konumunda olabiliriz. Bu
durumda bir veri işleme sözleşmesi (DPA) talep edebilirsiniz.
Önemli bir uyarı: önizleme ve test ortamları geçicidir ve adresleri kimlik doğrulaması olmadan
erişilebilir. Buralara gerçek kişisel veri koymayın; test verisi kullanın.
12. Çocuklar
Platform 18 yaş altına yönelik değildir ve bilerek çocuklardan veri toplamayız.
13. Çerezler
Çerez ve benzeri teknolojiler için ayrı bir metin vardır: Çerezler ve Benzer Teknolojiler.
Kısaca: zorunlu olanlar dışındaki çerezler (analitik ve pazarlama) yalnızca çerez bandındaki
onayınızla kullanılır; onay vermezseniz hiçbiri yüklenmez.
14. Değişiklikler
Bu metni güncellediğimizde sürüm tarihini değiştirir ve esaslı değişikliklerde sizi bilgilendiririz.
Hangi sürümü ne zaman kabul ettiğiniz hesabınızda kayıtlıdır ve profil ekranından görebilirsiniz.