Gizlilik ve Kişisel Veri Politikası

Veri sorumlusunun kimliği

İşletme hesabınıza ait kişisel veriler bakımından veri sorumlusu, Marlen markasıyla faaliyet gösteren YATEM Bilişim ve Teknoloji Sistemleri A.Ş.'dir. MERSİS numarası 0940055136900001, ticaret sicil numarası ise 229150'dir.

KVKK kapsamındaki başvuru ve sorularınızı info@marlen.app veya KEP adresimiz yatem@hs01.kep.trüzerinden iletebilirsiniz. Merkez adresimiz Mutlukent Mah. 2016/1 Sok. No:11, 06800 Çankaya / Ankara.

Taraflar: kim neyin sorumlusu?

Marlen iki farklı veri grubuyla, iki farklı sıfatla ilgilenir:

• İşletme hesabınıza ve platform erişiminize ait veriler (ad, e-posta, telefon, kimlik doğrulama, hesap güvenliği, abonelik, fatura ve doğrudan Marlen'e iletilen destek kayıtları) için YATEM veri sorumlusudur.
• İşletmenin sisteme girdiği müşteri ve personel verileri (müşteri adı, telefon numarası, randevu geçmişi, paket ve ödeme kayıtları, notlar; personel profili, çalışma planı, hizmet ataması ve performans kayıtları) için işletme veri sorumlusu, YATEM ise veri işleyendir — bu verileri işletmenin talimatı doğrultusunda barındırır ve işler.

Bir personelin kendi hesabıyla platforma erişmesi bu ayrımı değiştirmez: YATEM yalnızca o kişinin giriş, hesap güvenliği ve doğrudan platformla ilişkisi için veri sorumlusu; çalışma hayatına ilişkin personel kayıtları için işletmenin veri işleyenidir.

İşletmenin müşterisiyseniz ve verilerinizle ilgili bir talebiniz varsa öncelikle hizmet aldığınız işletmeye başvurmanız gerekir; talebi bize ilettiğinizde ilgili işletmeye yönlendiririz.

Topladığımız veriler

• Hesap bilgileri: ad, e-posta adresi, telefon numarası ve şifre (şifreniz okunabilir biçimde saklanmaz). Hesap oluşturmak ve giriş yapmak için kullanılır.
• İşletme, müşteri ve personel verileri: işletme sahibi olarak kaydettiğiniz müşterilere ait ad, telefon, randevu, paket ve ödeme kayıtları ile personel profili, iletişim, çalışma planı ve hizmet kayıtları. Bu veriler yalnızca ilgili işletmeye aittir ve işletmeler arasında paylaşılmaz.
• Ödeme ve abonelik verileri: abonelik planı, ödeme tarihi, tutar ve işlem durumu. Kart numarası, son kullanma tarihi ve CVV bilgisi sunucularımıza hiç ulaşmaz; doğrudan ödeme kuruluşuna iletilir (aşağıya bakın).
• Cihaz ve bildirim verileri: push bildirimi gönderebilmek için cihazınıza ait bildirim kimliği ve platform bilgisi (iOS/Android). Bu kimlik kişiyi değil cihazı tanımlar.
• Fotoğraflar: izin verdiğinizde, hizmet görselleri veya işletme logosu yüklemek için kamera ya da galeriden seçtiğiniz fotoğraflar. Yalnızca yükleme amacıyla işlenir.
• Yapay zekâ asistanı mesajları: asistanı kullandığınızda yazdığınız mesajlar ve asistanın yanıtları.
• Destek yazışmaları: panel içi destekten, e-posta veya WhatsApp üzerinden ilettiğiniz mesajlar ve bunlara verilen yanıtlar.
• Kullanım ve teknik kayıtlar: hizmetin güvenliği ve hata ayıklama için işlem, oturum, işlemin niteliğine göre IP adresi veya ham adresi saklamayan IP özeti ve bildirim gönderim kayıtları.
• Demo ve pazarlama verileri: demo tarihi/saati, sektör ve işletme bilgisi, kampanya/ileti tercihleri ile onay-ret kayıtları; ayrıca izin verirseniz referans olarak kullanılacak ad, unvan, yorum, görsel veya başarı hikâyesi.
• Analitik ve reklam ölçüm verileri: çerez tercihi, sayfa adresi, kampanya kaynağı, tarayıcı/cihaz bilgisi, Google Analytics ve Meta Pixel tanımlayıcıları ile PageView, Lead ve CompleteRegistration olayları.

YATEM hesap sahiplerinden ve platform kullanıcılarından özel nitelikli kişisel veri talep etmez. Sağlık veya biyometrik veri gibi özel nitelikli verileri not, destek veya yapay zekâ asistanı alanlarına girmeyin. İşletmeler de müşteri/personel alanlarını bu tür veriler için ancak uygun işleme şartını ve gerekli ek tedbirleri sağladıklarında kullanabilir.

Verileri nasıl ve hangi hukuki sebeple kullanırız

Kişisel verilerinizi; web sitemiz, mobil uygulamamız ve uygulama içindeki formlar aracılığıyla, elektronik ortamda ve otomatik yollarla toplarız. Bazı bilgiler, hesabınızı kullanmanız veya destek talebi iletmeniz sırasında doğrudan tarafınızca sağlanır.

• Randevu, müşteri ve ödeme yönetimi hizmetini sunmak — sözleşmenin ifası (KVKK m.5/2-c).
• Talebiniz üzerine demo/deneme görüşmesini planlamak ve başvurunuzu sonuçlandırmak — sözleşme öncesi talebinizle gerekli işlemler (KVKK m.5/2-c).
• Randevu hatırlatmaları ve işlem bildirimleri (SMS, WhatsApp, e-posta, push) göndermek — sözleşmenin ifası. Pazarlama amaçlı iletiler için ayrıca açık rıza gerekir ve rızayı almak işletmenin sorumluluğundadır.
• Hesabınızın güvenliğini sağlamak, kötüye kullanımı ve dolandırıcılığı önlemek — meşru menfaat (KVKK m.5/2-f).
• Faturalandırma, muhasebe ve yasal yükümlülükleri yerine getirmek — hukuki yükümlülük (KVKK m.5/2-ç).
• Destek vermek, arıza gidermek ve kimlikle ilişkilendirilmeyen toplu hizmet performansı istatistikleri üretmek — sözleşmenin ifası ve meşru menfaat (KVKK m.5/2-c, f).
• YATEM'in müşteri adaylarına ve mevcut işletmelere kampanya/tanıtım iletisi göndermek, ileti tercihleri ile ret taleplerini yönetmek — açık rıza (KVKK m.5/1) ve 6563 sayılı Kanun kapsamında gereken ticari ileti onayı. Tacir/esnaf istisnasında da ret hakkı korunur.
• Müşteri adı, unvanı, yorumu, görseli veya başarı hikâyesini referans olarak yayımlamak — ayrı ve geri alınabilir açık rıza (KVKK m.5/1).
• Google Analytics ile açık rızaya dayalı ziyaret/kampanya analizi; Meta Pixel ile zorunlu PageView, Lead ve CompleteRegistration olayları üzerinden reklam dönüşümü ve kampanya ölçümü yapmak.

Verilerinizi otomatik bir sistemle profilleyip aleyhinize sonuç doğuran kararlar almayız ve üçüncü taraflara reklam amacıyla satmayız.

Veri paylaşımı ve yurt dışına aktarım

Verilerinizi pazarlama amacıyla üçüncü taraflara satmayız. Yalnızca hizmeti çalıştırmak için gerekli servis sağlayıcılarla, gerektiği kadarıyla paylaşırız:

• Vercel ve Supabase — uygulamanın çalıştırılması, barındırma, veritabanı, kimlik doğrulama ve dosya depolama.
• İletişim ve bildirim sağlayıcıları — yapılandırmaya göre Meta (WhatsApp), Resend (e-posta), Google/FCM (push), Netgsm/İleti Merkezi (SMS). Bu sağlayıcılara ilgili akış için gereken alıcı bilgisi ve mesaj içeriği aktarılır.
• Ödeme kuruluşu (PayTR) — abonelik tahsilatı ve kart verilerinin işlenmesi.
• OpenRouter ve seçili yapay zekâ modeli— yalnızca asistanı kullandığınızda yanıtların üretilmesi. Ağ geçidi OpenRouter'dır; hâlihazırdaki varsayılan model DeepSeek Chat'tir. Çıkarım uç noktası OpenRouter tarafından yalnız sıfır veri saklama (ZDR) koşulunu sağlayan sağlayıcılar arasından seçilir.
• Google Analytics — tanıtım, kayıt ve onboarding sayfalarında açık rızanızla ziyaret ve kampanya ölçümü.
• Meta Pixel — tanıtım, kayıt ve onboarding sayfalarında zorunlu olarak PageView, Lead ve CompleteRegistration olayları üzerinden reklam dönüşümü ve kampanya ölçümü.
• Vercel Analytics ve Speed Insights — yalnızca tanıtım sitesinde, çerezsiz ziyaretçi sayımı ve sayfa açılış performansı ölçümü.
• Yetkili merciler — yasal zorunluluk halinde, talebin kapsamıyla sınırlı olarak.

Bu sağlayıcıların bir kısmının alıcıları veya sunucuları yurt dışındadır; bu nedenle kişisel verilerin bir bölümü fiilen yurt dışına aktarılır. Her aktarım için KVKK m.5 veya m.6'daki işleme şartıyla birlikte m.9'daki yeterlilik kararı ya da uygun güvence yöntemlerinden birinin sağlanması gerekir. Standart sözleşme kullanılırsa imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır.

Güncel alt işleyici listesini (sağlayıcı adı, ülke, hizmet ve kullanılan aktarım mekanizması dahil) info@marlen.app adresinden talep edebilirsiniz.

Ödeme verileri

Abonelik ödemeleri, TCMB'nin faaliyette bulunan kuruluşlar listesinde yer alan PayTR altyapısı üzerinden alınır. Kart numarası, son kullanma tarihi ve CVV bilgileriniz doğrudan PayTR'ye iletilir; Marlen bu bilgileri görmez, kaydetmez ve saklamaz. Kartınızı ileride otomatik yenileme için kaydetmeyi seçerseniz kart yalnızca PayTR nezdinde saklanır ve bize yalnızca tekrar kullanılabilir bir referans (token) verilir. Bu izni panelden dilediğiniz zaman geri alabilirsiniz. Tarafımızda yalnızca fatura tutarı, tarih, plan ve işlem sonucu kaydedilir.

Yapay zekâ asistanı

Yapay zekâ asistanına yazdığınız mesajlar, yanıt üretilebilmesi için OpenRouter ağ geçidi üzerinden seçili modele (hâlihazırda DeepSeek Chat) iletilir. Asistanın çalışması için gereken bilgiler dışında müşteri kişisel verisi model istemine gömülmez ve asistan yalnızca kendi işletmenizin verisine erişebilir. Randevu iptali ve erteleme gibi işlemler, ayrıca doğrulanmış (OTP) oturum gerektirir. Konuşmalar hizmetin güvenliği ve kalitesi için kayıt altına alınır; burada “kalite”, destek/hata incelemesi ve kimlikle ilişkilendirilmeyen toplu performans değerlendirmesini ifade eder. YATEM konuşmaları kendi yapay zekâ modelini eğitmek için kullanmaz.

Her istek OpenRouter'ın sıfır veri saklama (ZDR) kısıtıyla gönderilir. Bu kısıt, yalnız konuşma içeriğini saklamayan ve eğitimde kullanmayan çıkarım uç noktalarına yönlendirmeye izin verir; uygun uç nokta yoksa istek sonuçlandırılmaz. OpenRouter, içerik yerine token sayısı ve gecikme gibi istek metadatasını tutabilir. YATEM'in kendi sisteminde tuttuğu konuşma kayıtları yukarıdaki saklama kurallarına tabidir. Buna rağmen sağlık verisi, ödeme bilgisi veya başka bir hassas bilgiyi asistana yazmayın.

Çerezler ve analitik

Uygulamada dört tür çerez/benzeri teknoloji kullanılır:

• Zorunlu çerezler: oturumunuzu açık tutmak ve güvenliği sağlamak için gereklidir; kapatılamaz.
• Tercih verileri: tema, seçili görünüm gibi arayüz ayarları. Bu alanlarda kimlik veya işletme verisi tutulmaz.
• Analitik çerezler: tanıtım, kayıt ve onboarding sayfalarında ziyaretçi sayısı ve kampanya performansını ölçmek için Google Analytics kullanılır ve yalnızca açık rıza verirseniz yüklenir.
• Zorunlu dönüşüm ölçümü: aynı sayfalarda Meta Pixel; PageView, demo tamamlandığında Lead ve hesap oluşturulduğunda CompleteRegistration olaylarını reklam dönüşümü/kampanya ölçümü için işler. Meta Pixel çerez tercihinizden bağımsız yüklenir ve tercih panelinden kapatılamaz. Kimliği doğrulanmış işletme panelinin diğer sayfalarında analitik veya pazarlama pikseli çalıştırılmaz.
• Çerezsiz ölçüm: yine yalnızca tanıtım sitesinde, Vercel Analytics ve Speed Insights ile ziyaretçi sayısı ve sayfa açılış hızı ölçülür. Bu araçlar çerez yazmaz, cihazınızda kalıcı bir tanımlayıcı saklamaz ve sizi siteler arasında takip etmez.

Tarayıcı ayarlarından çerezleri engelleyebilirsiniz; zorunlu çerezler engellendiğinde oturum açılamaz.

Veri saklama süreleri

• Hesap ve işletme verileri: hesabınız aktif olduğu sürece.
• Müşteri ve randevu kayıtları: işletme bunları silene ya da hesabını kapatana kadar. Saklama süresini belirlemek veri sorumlusu olarak işletmenin yükümlülüğüdür.
• Fatura ve ödeme kayıtları: vergi ve ticaret mevzuatı gereği 10 yıl.
• OTP ve ispat kayıtları: tek kullanımlık kodun yalnız özeti geçerlilik süresince tutulur ve başarıyla kullanıldığında silinir. Bildirim gönderim kayıtları ile sözleşme/aydınlatma ispatında tarih, kanal, metin sürümü ve ham adresi saklamayan IP özeti uyuşmazlık ve ispat amacıyla en fazla 3 yıl tutulur.
• Teknik ve güvenlik kayıtları: en fazla 12 ay.
• Demo başvuruları: görüşmenin sonuçlanmasından itibaren 12 ay; ayrıca pazarlama izni verilmişse izin geri alınana veya ilgili saklama süresi dolana kadar.
• Pazarlama izin/ret ve referans kayıtları: izin geri alınana ve ispat/mevzuat için gerekli süre sona erene kadar.

Saklama amacı ve süresi sona eren kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Hesabınızı sildiğinizde veriler aktif sistemden kaldırılır; yedeklerden tamamen silinmesi en geç 30 gün içinde tamamlanır. Yalnızca yukarıdaki yasal saklama yükümlülüğüne tabi kayıtlar, süresi dolana kadar erişime kapalı biçimde tutulur.

Veri güvenliği ve ihlal bildirimi

Tüm veri aktarımı şifreli bağlantı üzerinden yapılır, şifreleriniz okunabilir biçimde saklanmaz ve her işletmenin verisi veritabanı düzeyinde diğer işletmelerden yalıtılır. Panele erişim rol ve yetki bazlıdır; her personel yalnızca yetkili olduğu verileri görür.

Bir veri ihlali yaşanırsa durumu en kısa sürede ve en geç 72 saatiçinde Kişisel Verileri Koruma Kurulu'na ve etkilenen işletmelere bildiririz. İşletmeler, kendi müşterilerine yönelik bildirim yükümlülüğünden veri sorumlusu sıfatıyla kendileri sorumludur. Hesap güvenliği için güçlü bir şifre kullanmak ve giriş bilgilerini paylaşmamak kullanıcının sorumluluğundadır.

Haklarınız ve başvuru

KVKK m.11 uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme ve zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz.

Taleplerinizi info@marlen.app adresine iletebilirsiniz; en geç 30 gün içinde yanıt veririz. Bir işletmenin müşterisi olarak talepte bulunuyorsanız, verinizin sorumlusu ilgili işletme olduğu için talebinizi ona yönlendiririz.

Hesap silme

Hesabınızı ve ilişkili verilerinizi dilediğiniz zaman silebilirsiniz; ayrıntılı adımlar için Hesabınızı silme sayfasına bakın. Hesap silindiğinde işletmeye ait müşteri kayıtları da silinir; bu işlem geri alınamaz.

Çocukların gizliliği

Marlen işletmelere yönelik bir hizmettir ve 18 yaşından küçük kullanıcılara yönelik değildir. Bilerek çocuklardan kişisel veri toplamayız. 18 yaşından küçük bir müşterinin verisi panele girilecekse, gerekli veli onayını almak veri sorumlusu olarak işletmenin yükümlülüğündedir.

Bu politikadaki değişiklikler

Bu politikayı zaman zaman güncelleyebiliriz. Önemli değişikliklerde bu sayfadaki “Son güncelleme” tarihini günceller, kapsamı esaslı biçimde etkileyen değişiklikleri ayrıca e-posta veya panel bildirimi ile duyururuz.

İletişim

Gizlilik ve KVKK ile ilgili sorularınız için info@marlen.app adresinden bize ulaşabilirsiniz.